《企業(yè)信息安全解決方案.ppt》由會員分享，可在線閱讀，更多相關(guān)《企業(yè)信息安全解決方案.ppt（87頁珍藏版）》請在裝配圖網(wǎng)上搜索。

企業(yè)信息安全解決方案,近年來，垃圾郵件日益蔓延，企業(yè)網(wǎng)頁不時遭到黑客篡改攻擊，計算機病毒泛濫成災(zāi)，網(wǎng)絡(luò)信息系統(tǒng)中的各種犯罪活動已經(jīng)嚴重危害著社會的發(fā)展和企業(yè)的安全，給全球的企業(yè)造成了巨大的損失。計算機網(wǎng)絡(luò)犯罪案件急劇上升，已經(jīng)成為普遍的國際性問題。形形色色的安全問題不僅給企業(yè)帶來了巨額的經(jīng)濟損失，也嚴重阻礙了我國的信息化進程。,企業(yè)信息安全隱患1、外來的攻擊大部分外來攻擊可分為三類：闖入、拒絕服務(wù)、信息竊取。闖入最常見的攻擊就是闖入，他們闖進計算機里，就向普通合法用戶一樣使用你的電腦。闖入的手段是比較多的，常見的類型是，利用社會工程學(xué)攻擊（如：你打個電話給ISP，說你是某個用戶，為了做某些工作，要求立即改變密碼）。比如一種最簡單的方式是猜測用戶名的密碼，在有些情況下這是比較容易的，有許多一般用戶并不太重視自己的密碼，或嫌麻煩怕忘記密碼而將密碼取的容易猜測到，還有一種方法，是搜索整個系統(tǒng)，發(fā)現(xiàn)軟件，硬件的漏洞（BUG）或配置錯誤，以獲得系統(tǒng)的進入權(quán)。,拒絕服務(wù)這是一種將對方機器的功能或服務(wù)給以遠程摧毀或中斷的攻擊方式，拒絕服務(wù)（Denialofservices）攻擊的手段也是多種多樣的，最早出現(xiàn)的大概是叫“郵包炸彈”，即攻擊者用一個程序不斷地向被攻擊者的郵箱發(fā)出大量郵件同時還匿藏自己的地址信息，以至于郵件使用者幾乎無法處理。甚至導(dǎo)致郵件服務(wù)系統(tǒng)因為大量的服務(wù)進程而崩潰。而被襲擊者也無法確認誰是攻擊者。另一些攻擊手段是利用軟件本身的設(shè)計漏洞進行遠程攻擊，其中比較著名的是微軟的OOB(OutOfBond)漏洞，只要對著運行95或NT的139口發(fā)出一個不合法的包，就會導(dǎo)致操作系統(tǒng)輕則斷掉網(wǎng)絡(luò)連接，重則徹底死機或重啟。,信息竊取有一些攻擊手段允許攻擊者即使不操作被攻擊的電腦系統(tǒng)也能得到想要的數(shù)據(jù)。比較典型的是用網(wǎng)絡(luò)嗅查器(Sniffer)監(jiān)聽網(wǎng)絡(luò)中的包信息，從中發(fā)現(xiàn)有用的信息，如：用戶名，密碼，甚至付款信息等。Sniffer的工作有點象現(xiàn)實社會里裝電話竊聽裝置一樣。在共享式網(wǎng)絡(luò)環(huán)境里，Sniffer是很可怕的，它可以監(jiān)聽大量的網(wǎng)絡(luò)信息。,2、來自企業(yè)內(nèi)部的威脅隨著各行各業(yè)信息化建設(shè)的推進，內(nèi)部泄密已經(jīng)成為威脅企業(yè)信息安全的最大隱患。FBI和CSI對484家公司的信息安全作了調(diào)查，結(jié)果發(fā)現(xiàn)：●有超過85%的安全威脅來自企業(yè)內(nèi)部●有16%來自內(nèi)部未授權(quán)的存取●有14%專利信息被竊取●有12%內(nèi)部人員的財務(wù)欺騙●有11%資料或網(wǎng)絡(luò)的破壞●中國國內(nèi)80％的網(wǎng)站存在安全隱患，20％的網(wǎng)站有嚴重安全問題,信息安全解決方案的市場需求為了解除內(nèi)外因素對企業(yè)造成的信息安全危機，把由其帶來的經(jīng)濟損失降到最低，配備一個適合企業(yè)自身且行之有效的網(wǎng)絡(luò)安全方案就顯得迫在眉睫了。僅僅是單純的網(wǎng)絡(luò)安全產(chǎn)品已經(jīng)不能滿足企業(yè)的網(wǎng)絡(luò)安全防護需求。企業(yè)用戶的整體需求要求網(wǎng)絡(luò)安全產(chǎn)品必須向綜合方向發(fā)展，那么技術(shù)也就必須要朝融合的方向發(fā)展。用戶需要能夠系統(tǒng)地完善和保障自己的網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全解決方案市場的出現(xiàn)和發(fā)展，既是用戶需求帶動的結(jié)果，也是網(wǎng)絡(luò)安全領(lǐng)域向全方位、縱深化、專業(yè)化方向發(fā)展的結(jié)果。,中小型企業(yè)網(wǎng)絡(luò)安全市場潛力巨大賽迪顧問認為：2005年及未來五年，中國網(wǎng)絡(luò)安全產(chǎn)品市場用戶需求空間很大，市場前景廣闊，尤其是中小型企業(yè)用戶的IT應(yīng)用已經(jīng)逐漸完善，他們的網(wǎng)絡(luò)安全防護意識也已經(jīng)形成，另外網(wǎng)絡(luò)安全服務(wù)市場也基本尚未開發(fā)。賽迪顧問建議，政府應(yīng)當(dāng)積極為網(wǎng)絡(luò)安全產(chǎn)業(yè)創(chuàng)造優(yōu)良的發(fā)展環(huán)境。用戶應(yīng)當(dāng)進一步加強網(wǎng)絡(luò)安全防范意識，并采取有效手段切實提高防范能力。廠商則應(yīng)當(dāng)規(guī)范競爭秩序，在合作競爭中尋求整個安全產(chǎn)業(yè)鏈的發(fā)展出路；廠商還要正確引導(dǎo)用戶的需求，通過提高自身技術(shù)和服務(wù)創(chuàng)新能力來提升競爭力，從而樹立良好的品牌形象并獲得持續(xù)發(fā)展。,網(wǎng)絡(luò)安全因素影響網(wǎng)絡(luò)安全的方面有物理安全、網(wǎng)絡(luò)隔離技術(shù)、加密與認證、網(wǎng)絡(luò)安全漏洞掃描、網(wǎng)絡(luò)反病毒、網(wǎng)絡(luò)入侵檢測和最小化原則等多種因素，它們是設(shè)計信息安全方案所必須考慮的，是制定信息安全方案的策略和技術(shù)實現(xiàn)的基礎(chǔ)。（1）物理安全物理安全的目的是保護路由器、交換機、工作站、網(wǎng)絡(luò)服務(wù)器、打印機等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞、和搭線竊聽攻擊。驗證用戶的身份和權(quán)限，防止越權(quán)操作；確保網(wǎng)絡(luò)設(shè)備有一個良好的電磁兼容環(huán)境，建立完備的機房安全管理制度，妥善保管備份磁帶和文檔資料；防止非法人員進入機房進行偷竊和破壞活動等。此外，抑制和防止電磁泄漏也是物理安全的主要問題，往往采用屏蔽措施和偽噪聲技術(shù)來解決。（2）網(wǎng)絡(luò)隔離技術(shù)根據(jù)功能、保密水平、安全水平等要求的差異將網(wǎng)絡(luò)進行分段隔離，對整個網(wǎng)絡(luò)的安全性有很多好處。可以實現(xiàn)更為細化的安全控制體系，將攻擊和入侵造成的威脅分別限制在較小的子網(wǎng)內(nèi)，提高網(wǎng)絡(luò)的整體安全水平。路由器、虛擬局域網(wǎng)VLAN、防火墻是當(dāng)前主要的網(wǎng)絡(luò)分段手段。,（3）加密與認證信息加密的目的是保護網(wǎng)內(nèi)的數(shù)據(jù)、文件、密碼和控制信息，保護網(wǎng)絡(luò)會話的完整性。對稱密碼的特點是有很強的保密強度且運算速度快，但其必需通過安全的途徑傳送，因此密鑰管理至關(guān)重要。公鑰密碼的優(yōu)點是可以適應(yīng)網(wǎng)絡(luò)的開放性要求，且方便密鑰管理，尤其可實現(xiàn)方便的數(shù)字簽名和驗證，但其算法復(fù)雜，加密數(shù)據(jù)速率較低。,（4）網(wǎng)絡(luò)安全漏洞掃描安全掃描是網(wǎng)絡(luò)安全防御中的一項重要技術(shù)，其原理是采用模擬攻擊的形式對目標可能存在的已知安全漏洞進行逐項檢查。目標可以是工作站、服務(wù)器、路由器、交換機、數(shù)據(jù)庫等各種對象。然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提交安全性分析報告，為提高網(wǎng)絡(luò)安全整體水平產(chǎn)生重要依據(jù)。,（5）網(wǎng)絡(luò)反病毒在傳統(tǒng)的企業(yè)安全方案中，考慮網(wǎng)絡(luò)安全因素的時候往往只重視網(wǎng)絡(luò)系統(tǒng)，而忽視了反病毒的重要性，盡管后來購買了反病毒軟件，但因為在設(shè)計時沒有考慮反病毒策略，結(jié)果導(dǎo)致反病毒效果大打折扣。事實上，隨著新技術(shù)的發(fā)展，病毒的概念在逐漸的發(fā)生演變，已經(jīng)從過去單純的對引導(dǎo)區(qū)和系統(tǒng)文件感染發(fā)展到了可通過網(wǎng)絡(luò)自動傳播，并且有的不再以系統(tǒng)文件為宿主，而直接寄生在操作系統(tǒng)之上，網(wǎng)頁、Email、共享目錄等都成了網(wǎng)絡(luò)病毒傳播的途徑，就近年來發(fā)生的安全事件來看，多半都是網(wǎng)絡(luò)型病毒造成的，因此，反病毒技術(shù)也由掃描查殺發(fā)展到了到實時監(jiān)控，并且針對特殊的應(yīng)用服務(wù)還出現(xiàn)了相應(yīng)的防毒系統(tǒng)，如：網(wǎng)關(guān)型病毒防火墻，郵件反病毒系統(tǒng)等。,（6）網(wǎng)絡(luò)入侵檢測網(wǎng)絡(luò)入侵檢測的目的主要是監(jiān)控主機和網(wǎng)絡(luò)系統(tǒng)上發(fā)生的一切事件，一旦發(fā)現(xiàn)有攻擊的跡象或其它不正常現(xiàn)象就采取截斷、報警等方式進行處理并通知管理員，同時詳細記錄有關(guān)的事件日志，以備分析取證。它的實時監(jiān)控和反應(yīng)大大增強了網(wǎng)絡(luò)系統(tǒng)的安全性。入侵檢測系統(tǒng)一般分為主機型和網(wǎng)絡(luò)型，前者監(jiān)控宿主機系統(tǒng)上的攻擊特征，后者監(jiān)控網(wǎng)絡(luò)上有符合入侵特征的數(shù)據(jù)包，當(dāng)前的入侵檢測系統(tǒng)大多都可以與防火墻和反病毒軟件連動，從而更有效地阻斷黑客或病毒的入侵。,（7）最小化原則從網(wǎng)絡(luò)安全的角度考慮問題，打開的服務(wù)越多，可能出現(xiàn)的安全問題就會越多?！白钚』瓌t”指的是網(wǎng)絡(luò)中賬號設(shè)置、服務(wù)配置、主機間信任關(guān)系配置等應(yīng)該為網(wǎng)絡(luò)正常運行所需的最小限度。關(guān)閉網(wǎng)絡(luò)安全策略中沒有定義的網(wǎng)絡(luò)服務(wù)并將用戶的權(quán)限配置為策略定義的最小限度、及時刪除不必要的賬號等措施可以將系統(tǒng)的危險性大大降低。在沒有明確的安全策略的網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)管理員通過簡單關(guān)閉不必要或者不了解的網(wǎng)絡(luò)服務(wù)、刪除主機間的信任關(guān)系、及時刪除不必要的賬號等手段也可以將入侵危險降低一半以上。,安全方案的設(shè)計和實現(xiàn)安全方案的好壞直接關(guān)系著企業(yè)的信息安全能否真正得到解決，一個不合適的方案不僅浪費了企業(yè)寶貴的財力、物力和人力，而且還無法達到保護企業(yè)信息資源的效果，而一個好的安全方案，則能夠用合適的投入帶來最佳的安全回報，所以說，安全方案的設(shè)計是至關(guān)重要的。企業(yè)要了解一定的安全知識，具備一定的辨識力，必要的情況下可以聘請專業(yè)安全咨詢公司做監(jiān)理來完成安全方案的設(shè)計和實現(xiàn)。,（1）安全需求分析●機房、主機環(huán)境、網(wǎng)絡(luò)設(shè)備和通信線路對安全的需求●Internet接入服務(wù)器的安全需求●內(nèi)部網(wǎng)用戶安全訪問Internet的安全需求●對內(nèi)網(wǎng)用戶訪問Internet的監(jiān)控及帶寬控制的需求●內(nèi)部網(wǎng)服務(wù)器和外部網(wǎng)站系統(tǒng)的安全需求●電子郵件系統(tǒng)的安全需求●內(nèi)外網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)傳輸安全的需求●計算機病毒防范的需求●用戶身份鑒別和認證的安全需求●數(shù)據(jù)保密存儲的需求,（2）制定安全策略安全策略在安全方案中起著統(tǒng)領(lǐng)全局的重要作用，對于網(wǎng)絡(luò)的建設(shè)者和運營者而言，實現(xiàn)安全的第一要務(wù)是明確本網(wǎng)的業(yè)務(wù)定位、提供的服務(wù)類型和提供服務(wù)的對象。企業(yè)的安全策略的制定應(yīng)該在充分的考察和研究以后，至少要對下面的內(nèi)容進行限定：●物理安全策略●訪問控制策略●開放的網(wǎng)絡(luò)服務(wù)及運行級別策略●網(wǎng)絡(luò)拓撲、隔離手段、依賴和信任關(guān)系●機房設(shè)備和數(shù)據(jù)的物理安全及保障●網(wǎng)絡(luò)管理職能的分割與責(zé)任分擔(dān)●用戶的權(quán)利分級和責(zé)任●攻擊和入侵應(yīng)急處理流程和災(zāi)難恢復(fù)計劃●密碼安全●網(wǎng)絡(luò)安全管理●操作系統(tǒng)及應(yīng)用和安全產(chǎn)品的更新策略●系統(tǒng)安全配置策略,（3）安全產(chǎn)品和安全服務(wù)安全產(chǎn)品主要有：●網(wǎng)絡(luò)安全類：掃描器、防火墻、入侵檢測系統(tǒng)、網(wǎng)站恢復(fù)系統(tǒng)等●反病毒類：涉及服務(wù)器、網(wǎng)關(guān)、郵件、專用系統(tǒng)等的反病毒系統(tǒng)●商用密碼類：虛擬私有網(wǎng)、公共密鑰體系、密鑰管理系統(tǒng)、加密機等●身份認證類：動態(tài)口令、智能卡、證書、指紋、虹膜等安全服務(wù)主要有：●安全需求分析●安全策略制定●系統(tǒng)漏洞審計●系統(tǒng)安全加固●系統(tǒng)漏洞修補●滲透攻擊測試●數(shù)據(jù)庫安全管理與加固●安全產(chǎn)品配置●緊急事件響應(yīng)●網(wǎng)絡(luò)安全培訓(xùn),典型的企業(yè)信息安全解決方案,（1）網(wǎng)絡(luò)應(yīng)用概述該企業(yè)的網(wǎng)絡(luò)系統(tǒng)是典型的Intranet系統(tǒng)，總部的主網(wǎng)絡(luò)系統(tǒng)通過DDN專線與Internet相連，運行有網(wǎng)站服務(wù)器系統(tǒng)、郵件服務(wù)器系統(tǒng)和Intranet服務(wù)器及內(nèi)部服務(wù)器，分別用于發(fā)布公司的網(wǎng)站、構(gòu)建公司的Email系統(tǒng)及實現(xiàn)本地和遠程網(wǎng)絡(luò)化辦公，其中總部的主網(wǎng)絡(luò)系統(tǒng)和分支機構(gòu)的子網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)通信是通過Internet公網(wǎng)來完成的，此外，公司的研發(fā)中心等重要部門設(shè)置在總部。,（2）安全需求分析為確保公司的整個網(wǎng)絡(luò)系統(tǒng)能夠安全穩(wěn)定的運行，需要對重要服務(wù)器、重要子網(wǎng)進行安全保護，對傳輸?shù)臄?shù)據(jù)進行加密，用戶的身份進行鑒別等，主要必須解決以下方面的安全問題：●服務(wù)器系統(tǒng)的安全：包括網(wǎng)站服務(wù)器、郵件服務(wù)器、Intranet服務(wù)器和內(nèi)部服務(wù)器等?！窆究偛亢头种C構(gòu)的內(nèi)部網(wǎng)安全：以防備來自Internet的攻擊，如：病毒、木馬和黑客等?！裼脩舻纳矸菡J定：包括公司員工、網(wǎng)站訪客和網(wǎng)絡(luò)會員等?！駭?shù)據(jù)傳輸安全：包括總部與分支機構(gòu)之間、內(nèi)部網(wǎng)用戶到服務(wù)器、移動用戶和家庭用戶到服務(wù)器等?！癖Ｗo重要部門：如研發(fā)中心有公司產(chǎn)品源代碼等重要的資料。,（3）安全策略制定●物理安全策略：如機房環(huán)境、門禁系統(tǒng)、設(shè)備鎖、數(shù)據(jù)備份、CMOS安全設(shè)置等?！裨L問控制策略：為公司總部內(nèi)部網(wǎng)與Internet網(wǎng)之間、公司總部與分支機構(gòu)之間、Internet用戶與公司網(wǎng)絡(luò)之間等需要進行互連的網(wǎng)絡(luò)制定訪問控制規(guī)則?！癜踩渲眉案虏呗裕簩Σ僮飨到y(tǒng)、應(yīng)用系統(tǒng)、安全產(chǎn)品等進行升級更新、設(shè)置用戶訪問權(quán)限及信任關(guān)系等?！窆芾韱T和用戶策略：制定機房出入管理制度、實行安全責(zé)任制等?！癜踩芾聿呗裕喊踩?guī)則設(shè)置、安全審計、日志分析、漏洞檢測及修補等?！衩艽a安全策略：密碼復(fù)雜度、密碼更改周期、密碼有效期等?！窬o急事件策略：針對攻擊和入侵可能導(dǎo)致的結(jié)果制定應(yīng)急處理流程和災(zāi)難恢復(fù)計劃。,（4）產(chǎn)品選擇及部署使用安全產(chǎn)品是貫徹安全策略的有效手段，能夠解決大多數(shù)的安全問題。往往需要把安全產(chǎn)品與安全管理和服務(wù)有機地結(jié)合起來，才能達到較高的安全水平?！窠粨Q機：劃分VLAN進行子網(wǎng)隔離、抵抗嗅探類程序和提高網(wǎng)絡(luò)傳輸效率?！穹阑饓Γ航鉀Q內(nèi)外網(wǎng)隔離及服務(wù)器安全防范等問題，主要部署在網(wǎng)絡(luò)的Internet接點和重要部門的子網(wǎng)與其它內(nèi)部子網(wǎng)之間，其中個人防火墻系統(tǒng)安裝在客戶端?！裉摂M私有網(wǎng)：解決網(wǎng)絡(luò)間數(shù)據(jù)傳輸?shù)陌踩Ｃ?，主要部署需要安全保密的線路兩端的節(jié)點處，如：防火墻和客戶端?！裆矸菡J證：解決用戶身份鑒定問題，主要部署在專用認證服務(wù)器或需要認證的服務(wù)器系統(tǒng)中?！穹床《荆悍婪恫《?、木馬、蠕蟲等有害程序的感染與傳播，主要部署在服務(wù)器系統(tǒng)和客戶機系統(tǒng)?！袢肭謾z測系統(tǒng)：安全監(jiān)控和黑客入侵實時報警攔截，主要部署在需要保護的服務(wù)器主機和需要保護的子網(wǎng)。,（5）安全教育培訓(xùn)在安全方案里面，安全教育也是比較重要的一個環(huán)節(jié)，安全教育能使得掌握基本的安全知識，有利于安全意識的提高，能夠及時制止或避免有可能發(fā)生的安全事件，能夠使安全產(chǎn)品更好地發(fā)揮其作用，也方便了安全管理和服務(wù)的實施。一般來說，主要是針對一般網(wǎng)絡(luò)用戶和網(wǎng)絡(luò)管理員及信息主管等對象實施安全培訓(xùn)，內(nèi)容至少要包含以下一些方面：●基本網(wǎng)絡(luò)知識●OSI七層網(wǎng)絡(luò)模型及TCP/IP協(xié)議●計算機病毒及防治●常見網(wǎng)絡(luò)入侵手段的分析與防范●操作系統(tǒng)及其應(yīng)用的安全設(shè)置●安全產(chǎn)品的安裝和配置●企業(yè)網(wǎng)絡(luò)系統(tǒng)的安全管理和維護●數(shù)據(jù)備份與恢復(fù),3、網(wǎng)絡(luò)信息安全解決方案的業(yè)界動態(tài)2005年6月，在由計算機世界方案評析實驗室（CCWSolutionAnalysisLab）主辦的2005年優(yōu)秀信息安全應(yīng)用解決方案評選中，有14家參選者脫穎而出，獲得優(yōu)秀信息安全解決方案獎。它們是：賽門鐵克、聯(lián)想網(wǎng)御、上海安縱、saftnetchina、美訊智、中聯(lián)綠盟、冠群電腦、（中國）冠群金辰、anaynetworks、網(wǎng)新易尚、中創(chuàng)軟件、東軟軟件、天融信、華勤通信。,計算機世界方案評析實驗室（CCWSolutionAnalysisLab）是國內(nèi)知名解決方案評估實驗室，此次安全解決方案評選歷經(jīng)1個月時間的籌備，共收集安全解決方案30多個。經(jīng)過國家信息中心首席工程師/主任寧家駿、國家信息安全評測認證中心總工程師陳曉樺、國家電力調(diào)度通信中心總工程師辛耀中等專家團成員的綜合評選下，根據(jù)計算機世界方案評析實驗室專門為信息安全方案橫向評估制定的40多項評估指標體系，對不同廠商的解決方案從需求把握、行業(yè)知識、設(shè)計思路、產(chǎn)品功能特性等方面進行了全方位的衡量。根據(jù)量化評分規(guī)則，對整體解決方案進行綜合評定。,賽門鐵克（Symantec）企業(yè)網(wǎng)絡(luò)防病毒解決方案,賽門鐵克成立于1982年，是互聯(lián)網(wǎng)安全技術(shù)的全球領(lǐng)導(dǎo)廠商，為企業(yè)、個人用戶和服務(wù)供應(yīng)商提供廣泛的內(nèi)容和網(wǎng)絡(luò)安全軟件及硬件的解決方案，旗下的諾頓品牌是個人安全產(chǎn)品全球零售市場的領(lǐng)導(dǎo)者，在行業(yè)中屢獲獎項。2005年，它推出了一個全方位、多層次的、整體的網(wǎng)絡(luò)防病毒解決方案。方案中涉及的防病毒產(chǎn)品有：,網(wǎng)絡(luò)結(jié)構(gòu)方面：Symantec從第一層工作站、第二層服務(wù)器、第三層電子郵件服務(wù)器到第四層防火墻都有相應(yīng)的防毒軟件提供完整的、全面的防病毒保護，尤其是對電子郵件的防病毒，Symantec具有最全面的解決方案，包括市場上流行的所有郵件系統(tǒng)以及其他的基于Unix平臺下的郵件系統(tǒng)。在系統(tǒng)平臺支持方面：Symantec對各種操作系統(tǒng)提供全面的支持，如：IBMAIX，Linux，AS/400，OS/390，SUNSolaris，Dos，Windows/3x，Windows95/98，WindowsNTWorkstation/Server，Windows2000，OS/2，NOVELLNetware，Macintosh等。,在防病毒技術(shù)方面：Symantec采用各種先進的反病毒技術(shù)，尤其在對付未知病毒和多態(tài)病毒方面，采用了各種先進的技術(shù)對其進行查殺，如：啟發(fā)式偵測技術(shù)(BloodhundTM),神經(jīng)網(wǎng)絡(luò)技術(shù)，打擊技術(shù)(Striker32)和防宏病毒技術(shù)(MVP)等，因此NAV產(chǎn)品不僅能查、殺各種未知病毒，還能修復(fù)被病毒感染的文件。在防病毒軟件和防病毒策略管理方面：通過賽門鐵克的SSC(SymantecSystemCenter)賽門鐵克網(wǎng)絡(luò)防病毒解決方案企業(yè)網(wǎng)絡(luò)防病毒提供統(tǒng)一的、集中的、智能的、自動化的、強制執(zhí)行的有效管理方式。,在病毒定義碼和掃描引擎升級方面：采用模塊化(NAVEX)的升級方式，也就是說，用戶每次升級都包括最新的病毒定義碼和掃描引擎，而且各種NAV產(chǎn)品采用的是同一套病毒定義碼和掃描引擎，方便用戶病毒定義碼和掃描引擎的升級，同時計算機在升級完最新的病毒定義碼和掃描引擎后無需重新啟動計算機。在技術(shù)支持和服務(wù)方面：Symantec有專門的人員和機構(gòu)對用戶出現(xiàn)的問題和新病毒提供快速及時的響應(yīng)，并能迅速提供相應(yīng)的解決方案。,聯(lián)想網(wǎng)御的“等級化安全體系”業(yè)務(wù)策略聯(lián)想網(wǎng)御公司是國內(nèi)領(lǐng)先的信息安全服務(wù)與產(chǎn)品提供商。2005年5月11日，聯(lián)想網(wǎng)御在北京發(fā)布了2005財年的業(yè)務(wù)策略，將以“等級化安全體系”為核心全面展開。這是國內(nèi)第一家安全廠商在對國家等級保護相關(guān)政策（27號文件和66號文件）及客戶應(yīng)用需求做了深入的理論研究和實踐探索的基礎(chǔ)上，配合國家安全建設(shè)的步驟，率先將該理論作為業(yè)務(wù)的戰(zhàn)略思想。充分顯示了聯(lián)想網(wǎng)御在安全理念、方案、產(chǎn)品、技術(shù)的前瞻性和實踐積累上已遙遙領(lǐng)先國內(nèi)其他廠商。長期以來，絕大多數(shù)企業(yè)并不清楚怎么建設(shè)安全系統(tǒng)才是經(jīng)濟合理的，既有在投資時吝惜了一部分錢卻造成日后嚴重信息安全損失的案例，也有“投資千萬元保護百萬元資產(chǎn)”的事情，而且還不在少數(shù)。等級化安全體系對于解決安全建設(shè)中的相關(guān)問題是一種行之有效的方法，能幫助客戶做到心中有數(shù)、建設(shè)有序、控制有力?！?“等級化安全體系”旨在根據(jù)不同用戶在不同階段的需求、業(yè)務(wù)特性及應(yīng)用重點，根據(jù)“定級>管理要求>建設(shè)方案”三步走的原則，利用等級化與體系化相結(jié)合的安全體系設(shè)計方法，在遵循國家等級保護制度的同時，將等級化安全理念融會到產(chǎn)品、方案及應(yīng)用中，為客戶建設(shè)一套覆蓋全面、重點突出、節(jié)約成本、持續(xù)運行的安全保障體系。聯(lián)想網(wǎng)御還分別針對行業(yè)大客戶以及中小型客戶量身定做了等級化安全體系方案和等級保護方案，并闡述了如何以網(wǎng)御精品構(gòu)建等級化安全體系，包括聯(lián)想網(wǎng)御產(chǎn)品研發(fā)戰(zhàn)略的等級化思路、多NP萬兆級防火墻等級化服務(wù)平臺、SOC安全管理等級化平臺等?？芍^從方案、產(chǎn)品、技術(shù)角度將該方法體系落到了實處。,上海安縱的可變基礎(chǔ)平臺—XSTF現(xiàn)在信息安全需要集成這個概念已經(jīng)普遍為人所認識。然而目前的安全集成還處在初級階段，往往只是產(chǎn)品的疊加，相互間缺乏標準的通信接口，更為重要的是，還不能與應(yīng)用緊密地結(jié)合起來。因此，用戶迫切需要一個完整的、與應(yīng)用緊密相關(guān)的并且是容易部署、管理和應(yīng)用的安全解決方案。,上海安縱信息科技有限公司研究開發(fā)的“XSTF”是一個具有高度標準化、良好擴展性，并與應(yīng)用緊密結(jié)合的可變安全基礎(chǔ)平臺，將各種“針對特定環(huán)境或者特殊用途的安全技術(shù)和產(chǎn)品”與“對它們的應(yīng)用、整合、管理”分離開，從而屏蔽底層安全技術(shù)細節(jié)，使用戶可參與定制與自身業(yè)務(wù)應(yīng)用相關(guān)的安全系統(tǒng)。同時由于平臺的開放性，使系統(tǒng)可以快速整合第三方安全產(chǎn)品，大大提高系統(tǒng)的安全防護能力。用戶可以用這個平臺對業(yè)務(wù)應(yīng)用環(huán)境的安全需求建模，選擇不同安全組件，統(tǒng)一管理和部署，從而快速有效地定制符合自身應(yīng)用需求的安全解決方案。整個安全系統(tǒng)是一個“X”模型，而XSTF平臺就是其中的匯聚點。向上，它提供針對業(yè)務(wù)應(yīng)用的安全系統(tǒng)建模方法和工具，以實現(xiàn)個性化定制的需求。對下，提供安全中間件封裝工具和相應(yīng)技術(shù)規(guī)范，可以快速將不同類型的安全產(chǎn)品和技術(shù)封裝成平臺可用的安全中間件，從而納入整個安全系統(tǒng)。,冠群金辰中小企業(yè)信息安全解決方案據(jù)國家經(jīng)貿(mào)委統(tǒng)計，中國各類中小企業(yè)數(shù)量超過1000萬家;在國民經(jīng)濟中，60%的總產(chǎn)值來自于中小企業(yè)，并為社會提供了70%以上的就業(yè)機會。隨著信息技術(shù)與網(wǎng)絡(luò)應(yīng)用的普及，越來越多中小企業(yè)業(yè)務(wù)對于信息技術(shù)的依賴程度較之以往有了顯著的提高。然而，中小企業(yè)在加快自身信息化建設(shè)步伐的同時，由于將更多的精力集中到了各種業(yè)務(wù)應(yīng)用的開展上，再加之受限于資金、技術(shù)、人員以及安全意識等多方面因素，造成了大多數(shù)中小企業(yè)在信息安全建設(shè)方面的相對滯后。隨著病毒的網(wǎng)絡(luò)化與黑客攻擊手段的豐富與先進，防毒、反黑已經(jīng)成為了中小企業(yè)信息安全建設(shè)所面臨的重要課題。,從一個信息安全產(chǎn)品乃至解決方案的發(fā)展歷程來看，了解用戶的期望，是最基礎(chǔ)的一步:首先，從中小型企業(yè)普遍缺乏資金的角度來看，信息安全廠商提供的產(chǎn)品或方案需要具備高度的可用性、針對性、以及經(jīng)濟性，也就是我們常說的物美價廉;其次，要保證解決方案的易用性，以彌補中小企業(yè)在專業(yè)技術(shù)人員方面的匱乏;再次，要保證方案和產(chǎn)品在防毒反黑方面有強大的功能，能夠確實起到保護信息系統(tǒng)正常運轉(zhuǎn)，保障業(yè)務(wù)持續(xù)開展的效果。,但是，在這些用戶關(guān)心的問題中，最關(guān)鍵的還是產(chǎn)品或解決方案的性能。真正的信息安全保障，不僅僅是單純的信息保護，還應(yīng)該重視提高安全預(yù)警能力、系統(tǒng)的入侵檢測能力，系統(tǒng)的事件反應(yīng)能力和系統(tǒng)遭到入侵引起破壞的快速恢復(fù)能力。,冠群金辰所推崇的深層防御戰(zhàn)略正體現(xiàn)了信息保障的核心思想。深層防御戰(zhàn)略的含義是多方面的，它試圖全面覆蓋一個層次化的、多樣性的安全保障框架。深層防御戰(zhàn)略的核心目標就是在攻擊者成功地破壞了某個保護機制的情況下，其它保護機制依然能夠提供附加的保護。在深層防御戰(zhàn)略(DefenseinDepth)中，人、技術(shù)和操作是三個主要核心因素，要保障信息及信息系統(tǒng)的安全，三者不可或缺;從技術(shù)上講深層防御戰(zhàn)略體現(xiàn)為在包括主機、網(wǎng)絡(luò)、系統(tǒng)邊界和支撐性基礎(chǔ)設(shè)施等多個網(wǎng)絡(luò)環(huán)節(jié)之中如何實現(xiàn)預(yù)警、保護、檢測、反應(yīng)和恢復(fù)(WPDRR)這五個安全內(nèi)容。,基于對信息安全保障這一安全概念的準確理解，冠群金辰從為用戶提供完善的信息安全保障的角度出發(fā)，提出了3S理念，即:SecuritySolution(安全解決方案)、SecurityApplication(安全應(yīng)用)和SecurityService(安全服務(wù))。從最早的防計算機病毒領(lǐng)域全面轉(zhuǎn)型到提供整體的信息安全解決方案。在這個轉(zhuǎn)型過程中，秉承深層防御戰(zhàn)略的安全思想，不斷對自己的整體安全解決方案進行充實。到目前已經(jīng)逐步形成三大系列七大產(chǎn)品:主機系列安全產(chǎn)品:龍淵主機核心防護、泰阿KILL安全胄甲;網(wǎng)絡(luò)傳輸設(shè)施系列安全產(chǎn)品:軒轅防火墻、干將/莫邪入侵檢測系統(tǒng)、承影漏洞掃描器;網(wǎng)絡(luò)邊界系列產(chǎn)品:軒轅防火墻、赤霄網(wǎng)關(guān)過濾系統(tǒng)、純均虛擬專用網(wǎng),冠群金辰中小型企業(yè)信息安全解決方案針對中小企業(yè)的當(dāng)前最重要的反黑、防毒的主要信息安全任務(wù)，冠群金辰還提出了一套層次化和多樣性的針對性解決方案:●防毒篇:針對計算機病毒的網(wǎng)絡(luò)化趨勢，根據(jù)病毒的傳播來源方式，從三個層次上對病毒進行檢測和查殺:邊界:赤霄網(wǎng)關(guān)過濾系統(tǒng)對HTTP、FTP、SMTP應(yīng)用進行病毒查殺為防止計算機病毒通過用戶上網(wǎng)瀏覽、下載或發(fā)送電子郵件等方式傳入到用戶網(wǎng)絡(luò)中，應(yīng)該采用網(wǎng)關(guān)防病毒機制。網(wǎng)關(guān)集中防毒的好處是防毒效率高，設(shè)計、實現(xiàn)和維護都比較簡單。,網(wǎng)絡(luò):干將/莫邪入侵檢測系統(tǒng)對網(wǎng)絡(luò)病毒進行檢測和定位對網(wǎng)絡(luò)中流動的病毒進行檢測和定位是另外一種很重要的手段。網(wǎng)絡(luò)中沒有安裝有效殺毒工具的站點或者感染上未知病毒的站點很可能會迅速破壞整個網(wǎng)絡(luò)的可用性或感染網(wǎng)絡(luò)中的機器，由于這類站點一般都不會主動發(fā)出病毒報警，因此及時、迅速、準確地對它們進行檢測和定位對有效的預(yù)防和殺除病毒很有幫助，同時它也起到一種有效的病毒預(yù)警作用。主機:泰阿KILL安全胄甲對主機病毒進行查殺對于已經(jīng)入侵到主機的病毒，殺毒工具自然是最有效的安全手段了，但是從管理上講，為有效地檢測和控制病毒，應(yīng)該采用網(wǎng)絡(luò)殺毒工具。網(wǎng)絡(luò)殺毒工具的管理有效性體現(xiàn)為幾個方面:殺毒策略統(tǒng)一集中配置，自動并且是強制升級方式;集中病毒報警。通過這種集中管理方式可以做到:減少對客戶端人員的技術(shù)和技能要求;全網(wǎng)策略集中同一，保證了防殺病毒的有效性和實時性。,●反黑篇:同樣，對于黑客攻擊我們也可以從三個層次上進行檢測和預(yù)防:邊界:軒轅防火墻阻斷非法攻擊進入網(wǎng)絡(luò)在邊界通過防火墻、物理隔離設(shè)備將攻擊阻擋在網(wǎng)絡(luò)外部，對于遠程訪問可以通過VPN方式提供安全的信息傳輸通道，防止黑客竊取信息或非法進入用戶網(wǎng)絡(luò)。網(wǎng)絡(luò):干將/莫邪入侵檢測系統(tǒng)對網(wǎng)絡(luò)攻擊進行檢測，并作出反應(yīng)承影漏洞掃描器對網(wǎng)絡(luò)進行評估，減少安全脆弱性對網(wǎng)絡(luò)中的流量進行檢測，查找正在發(fā)生或?qū)⒁l(fā)生的網(wǎng)絡(luò)攻擊，并及時采取反應(yīng)措施，比如報警、阻斷、記錄等。在防止威脅的同時，還可以主動去發(fā)現(xiàn)并減少用戶系統(tǒng)的安全脆弱性，通過安全脆弱性評估工具可以實現(xiàn)這一點。,主機:龍淵主機核心防護提高關(guān)鍵服務(wù)器操作系統(tǒng)的安全級別對于用戶業(yè)務(wù)來講，主機是基礎(chǔ)的承載平臺，所有應(yīng)用、數(shù)據(jù)都駐留在主機上，因此主機的安全是用戶業(yè)務(wù)安全的最后堡壘，也是最重要的一環(huán)。主機的安全包括主機操作系統(tǒng)的安全、數(shù)據(jù)庫系統(tǒng)的安全以及應(yīng)用系統(tǒng)的安全，其中操作系統(tǒng)的安全又是所有安全的基礎(chǔ)。在主機上要采取各種可能安全措施(比如安全配置、權(quán)限分離、防止緩沖區(qū)溢出攻擊等)來減少自身的安全脆弱性、通過加密保證信息的保密性和完整性、通過完善的日志和審計功能對攻擊行為進行記錄和追蹤、通過備份等應(yīng)急機制來實現(xiàn)系統(tǒng)的安全恢復(fù)。,冠群金辰相關(guān)產(chǎn)品簡介龍淵服務(wù)器核心防護(eTrustAccessControl)基于操作系統(tǒng)級的安全保護，可有效地將商用操作系統(tǒng)提升到B1級，是基于主機的防火墻、其具備的高強能力的緩沖區(qū)溢出攻擊防范，完備的審計功能，集中分布式管理等特點都使其適應(yīng)用戶關(guān)鍵業(yè)務(wù)服務(wù)器的安全加固，從而全面保護關(guān)鍵業(yè)務(wù)數(shù)據(jù)和應(yīng)用。干將/莫邪入侵檢測系統(tǒng)(eTrustIntrusionDetection)入侵檢測系統(tǒng)eTrustIntrusionDetection能監(jiān)控網(wǎng)絡(luò)流量、實時檢測可疑的網(wǎng)絡(luò)活動和入侵攻擊，它還可同路由器、防火墻等設(shè)備實現(xiàn)聯(lián)動、協(xié)調(diào)各種安全保護措施，使其最大程度地發(fā)揮整體安全的作用，,泰阿KILL安全胄甲KILL安全胄甲是全中文的網(wǎng)絡(luò)防病毒產(chǎn)品，具有領(lǐng)先的反病毒技術(shù)和強大的集中管理功能，尤其適應(yīng)計算機病毒網(wǎng)絡(luò)化趨勢。結(jié)合冠群金辰的eID、KILL過濾網(wǎng)關(guān)、KILL安全胄甲可為企業(yè)網(wǎng)絡(luò)提供全方位、立體化的防病毒保護。赤霄KILL郵件過濾網(wǎng)關(guān)(KILLMailShieldGateway)KILL郵件過濾網(wǎng)是一個集中檢測帶毒郵件的獨立硬件系統(tǒng)，它與用戶的郵件系統(tǒng)類型無關(guān)，并支持SMTP認證。郵于KILL郵件過濾網(wǎng)關(guān)的物理旁路性和冗余性，它確保了郵件系統(tǒng)的高性能、高可靠性和高兼容性，可有效地防范計算機病毒越來越多地通過郵件方式傳播的途徑。,承影網(wǎng)絡(luò)漏洞掃描器(Scanner)承影網(wǎng)絡(luò)漏洞掃描器是適合于企業(yè)安全漏洞掃描工具，用來檢查網(wǎng)絡(luò)環(huán)境下各種網(wǎng)絡(luò)系統(tǒng)與設(shè)備的安全缺陷和弱點，并生成漏洞診斷報告和安全建議，幫助管理員鞏固企業(yè)的信息系統(tǒng)安全。軒轅防火墻(FireWall)軒轅防火墻是集多種功能于一體的高性能硬件防火墻，是提供百兆和千兆級性能，支持NAT、透明模式等多種工作方式，除了具有狀態(tài)檢測、用戶認證、NAT/PAT、虛擬防火墻、透明代理等功能特點外，還具有豐富的防火墻增值功能，其簡便的管理方式，極佳的性能價格比使得軒轅防火墻適用于各類型企業(yè)及政府機關(guān)的網(wǎng)絡(luò)邊界保護。,純均虛擬專用網(wǎng)(eTrustVPN)虛擬專用網(wǎng)eTrustVPN可使企業(yè)個人和企業(yè)部門通過因特網(wǎng)、撥號接入網(wǎng)絡(luò)等公眾網(wǎng)絡(luò)設(shè)施實現(xiàn)與企業(yè)內(nèi)部網(wǎng)安全可靠的連接，如同本地連接一樣。它提供點對點、點對網(wǎng)絡(luò)、網(wǎng)絡(luò)對網(wǎng)絡(luò)等多種工作方式。,綠盟科技信息安全解決方案,中小企業(yè)的信息安全建設(shè)可以根據(jù)各自的條件采用不同的策略。綠盟科技針對中小企業(yè)信息安全的特點制定出三種中小企業(yè)安全方案。,經(jīng)濟型（適用于主機數(shù)100用戶以下）防護措施訪問控制系統(tǒng)+防病毒:最基本的安全措施：防火墻系統(tǒng)與網(wǎng)絡(luò)防病毒系統(tǒng)，通?？梢缘謸踝?0%的攻擊行為；入侵檢測系統(tǒng):網(wǎng)絡(luò)入侵檢測系統(tǒng)可以幫助用戶動態(tài)發(fā)現(xiàn)內(nèi)部和外部的入侵企圖，及時阻斷，也便于查找攻擊破壞源，縮短響應(yīng)時間，降低攻擊損失程度；定期脆弱性評估、維護服務(wù):簡單而有必要的的安全服務(wù)內(nèi)容能發(fā)現(xiàn)更多的安全隱患；做到提前預(yù)知與防護；,標準型（適用于主機數(shù)100-300用戶）訪問控制系統(tǒng)+防病毒（含垃圾郵件防護模塊）:最基本的安全措施，通常已經(jīng)建設(shè)但需要增加必要的模塊；如防垃圾郵件模塊；入侵檢測系統(tǒng)+風(fēng)險評估系統(tǒng)（64地址用戶即可）:根據(jù)實際情況可進行分布式部署入侵檢測系統(tǒng)與中心節(jié)點的風(fēng)險評估系統(tǒng)，建立動態(tài)、實時、周期性防護體系；日常咨詢服務(wù)+緊急響應(yīng):必要的安全咨詢服務(wù)于緊急響應(yīng)來解決日常安全問題和突發(fā)安全事件，是中小企業(yè)中對實時性要求較高的企業(yè)不可缺少的一部分；,增強型（適用于主機數(shù)300-800用戶）咨詢服務(wù)+整體風(fēng)險評估便于進行全方位的安全架構(gòu)設(shè)計；發(fā)現(xiàn)更多的未知安全隱患；訪問控制系統(tǒng)（含VPN模塊）+防病毒（含垃圾郵件防護模塊）充分考慮系統(tǒng)的可擴展性，保護用戶投資；分布式入侵檢測系統(tǒng)（或多網(wǎng)段檢測）+風(fēng)險評估系統(tǒng)（一個C類地址即可）可進行分布式部署發(fā)現(xiàn)多個網(wǎng)段的異常信息流與內(nèi)部關(guān)鍵字信息定制；建立定期嚴格的安全評估策略；,專用抗拒絕服務(wù)系統(tǒng)保護用戶實時發(fā)布系統(tǒng)和對外網(wǎng)站系統(tǒng)的電子商務(wù)平臺等，便于提升服務(wù)質(zhì)量；日常咨詢+緊急響應(yīng)便于處理日常問題或突發(fā)事件的產(chǎn)生；安全制度+安全培訓(xùn)必要的安全管理措施與安全基礎(chǔ)培訓(xùn)能增強整體安全水準，提高安全意識；,下面我們通過一個簡單的案例來了解一下信息網(wǎng)絡(luò)安全建設(shè)的實例：國內(nèi)一知名電子設(shè)備制造企業(yè)，有員工1000人左右，內(nèi)部主機總數(shù)約400臺。整個網(wǎng)絡(luò)采用分層的單出口結(jié)構(gòu)，接入層采用一臺CISCO設(shè)備，通過一條至電信部門的10M專線與廣域網(wǎng)相連。主要應(yīng)用為內(nèi)部辦公、網(wǎng)站發(fā)布、郵件系統(tǒng)、財務(wù)辦公、部分電子商務(wù)以及客戶關(guān)系管理系統(tǒng)、人事管理系統(tǒng)等。,企業(yè)總部設(shè)在廣州，在南京有一分支機構(gòu)。網(wǎng)絡(luò)曾經(jīng)過多次改造擴建，目前初具規(guī)模，設(shè)備主要采用CISCO設(shè)備，服務(wù)器系統(tǒng)大多數(shù)采用Windows系列，提供服務(wù)的服務(wù)器目前有5臺，正打算擴展部分服務(wù)系統(tǒng)；此外還有內(nèi)部服務(wù)器系統(tǒng)，主要做用戶文件管理與共享；內(nèi)部網(wǎng)絡(luò)各子網(wǎng)分布在不同的樓層，在交換設(shè)備上作了VLAN的劃分，各子網(wǎng)間不允許互訪。財務(wù)網(wǎng)絡(luò)采用獨立網(wǎng)段，與其它子網(wǎng)邏輯隔離；不允許進行外部訪問，只可以通過電話線路撥號上網(wǎng)。分支機構(gòu)和部分出差移動辦公人員通過電話撥號上網(wǎng)與內(nèi)部網(wǎng)絡(luò)通過郵件進行信息傳遞。,該企業(yè)由于內(nèi)部網(wǎng)上病毒危害較大，采購了一套國外網(wǎng)絡(luò)防病毒系統(tǒng)；網(wǎng)絡(luò)管理人員對服務(wù)器系統(tǒng)大約2個月左右進行升級一次，此外在路由設(shè)備上作了基本的地址轉(zhuǎn)換等訪問控制規(guī)則設(shè)置。實際情況是僅采取以上措施仍然沒有達到預(yù)期效果，發(fā)生了多起嚴重的安全事件：蠕蟲爆發(fā)造成了網(wǎng)絡(luò)阻塞；垃圾郵件占用了郵件服務(wù)器過多的空間；web服務(wù)時常中斷，在采用監(jiān)聽工具查找時，發(fā)現(xiàn)了經(jīng)常被外部掃描窺探的痕跡；內(nèi)部員工在上班時間利用網(wǎng)絡(luò)做大流量文件傳輸，嚴重占用了網(wǎng)絡(luò)帶寬資源，經(jīng)常會影響到正常的業(yè)務(wù)信息查詢等工作；此外還有內(nèi)部員工出于好奇作一些嘗試性的攻擊破壞，使得內(nèi)部服務(wù)器區(qū)的服務(wù)器經(jīng)常性的需要進行備份恢復(fù)處理等等。為此，該公司信息管理人員深感安全防護已經(jīng)成為迫在眉睫的工作。,綠盟科技在對網(wǎng)絡(luò)實際情況進行了詳細的分析之后決定為其選擇“增強型方案”，在方案設(shè)計時主要遵循以下幾個重要原則：統(tǒng)一性與整體性原則一個完整網(wǎng)絡(luò)系統(tǒng)的各個環(huán)節(jié)，包括設(shè)備、軟件、數(shù)據(jù)、人員等，在網(wǎng)絡(luò)安全中的地位和影響作用，只有從系統(tǒng)整體的角度去看待、分析，才可能得到有效、可行的安全措施。因此，整體安全保障體系建設(shè)應(yīng)遵循統(tǒng)一性、整體性原則，便于今后系統(tǒng)的擴展。技術(shù)與管理相結(jié)合原則信息網(wǎng)絡(luò)系統(tǒng)是一個相對復(fù)雜的系統(tǒng)工程，涉及人、技術(shù)、操作等要素，單靠技術(shù)或單靠管理都不可能實現(xiàn)。必須將各種安全技術(shù)與運行管理機制、人員思想教育與技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合。,動態(tài)防護原則要根據(jù)網(wǎng)絡(luò)安全的變化不斷調(diào)整安全措施，適應(yīng)新的網(wǎng)絡(luò)環(huán)境，滿足新的網(wǎng)絡(luò)安全需求。積極防御原則消極防御只能是被動挨打，所以應(yīng)在技術(shù)和管理上創(chuàng)建一個靈活機動、適應(yīng)性強的安全保障體系，做到積極防御。多重保護原則任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統(tǒng)，各層保護相互補充，當(dāng)一層被攻破時，其他層仍可保護系統(tǒng)的安全。,分階段實施原則要根據(jù)實際安全需求情況，以及建設(shè)內(nèi)容的重要程度和建設(shè)成本等，實行分階段建設(shè)的原則，做到安全體系的建設(shè)既能夠滿足現(xiàn)階段相當(dāng)一段時間內(nèi)安全的需要，又能夠充分利用有限的資金和資源。,在經(jīng)過整體分析后，整體安全需求及解決方法描述如下：邊界安全服務(wù)器以及內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)連接處的入口，保證服務(wù)器區(qū)以及內(nèi)部資源不被非法訪問；在防火墻系統(tǒng)中設(shè)VPN模塊，防止各種非授權(quán)訪問，也滿足了分支機構(gòu)的訪問和移動辦公的安全訪問需要；對于財務(wù)網(wǎng)絡(luò)還設(shè)置了代理服務(wù)器多重保護；抗拒絕服務(wù)不僅僅能對內(nèi)部各服務(wù)器系統(tǒng)進行抗拒絕服務(wù)保護，還能夠?qū)Ψ阑饓ο到y(tǒng)進行防護；設(shè)置專業(yè)防拒絕服務(wù)的專用黑洞系統(tǒng)；,入侵檢測對于分布環(huán)境下重要網(wǎng)段的攻擊檢測，發(fā)現(xiàn)來源于內(nèi)部或外部的攻擊，進行記錄和阻斷；也便于發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)部的異常信息流，如訪問非法網(wǎng)站、內(nèi)部異常掃描、非主流業(yè)務(wù)的大流量傳輸?shù)?；對于蠕蟲大規(guī)模爆發(fā)時即可以查出源地址，便于及時進行處理；利用基于網(wǎng)絡(luò)的分布式入侵檢測技術(shù)，在服務(wù)器區(qū)以及在內(nèi)部網(wǎng)絡(luò)各子網(wǎng)接入部分部署入侵檢測系統(tǒng)；在后期建設(shè)中隨著網(wǎng)絡(luò)規(guī)模的擴大，在各子網(wǎng)中也可以部署入侵檢測系統(tǒng)，并且采用同一控制臺進行集中統(tǒng)一管理；安全檢查保證動態(tài)網(wǎng)絡(luò)在變化時的風(fēng)險檢測，同時評估安全風(fēng)險變化和安全工程的作用；部署專業(yè)級風(fēng)險評估系統(tǒng)，周期性對網(wǎng)絡(luò)內(nèi)部進行評估檢測，提供專家級補救建議；,安全服務(wù)保證網(wǎng)絡(luò)遇到各種突發(fā)安全事件時能得到妥善處理；在日常維護中提供專家級咨詢服務(wù)；并有利于提高整體安全意識等，滿足動態(tài)性安全需要；在進行安全項目實施前作一次脆弱性安全評估，確定整體安全策略；提供一年內(nèi)安全咨詢、緊急響應(yīng)、安全通告、專業(yè)安全培訓(xùn)、安全制度的更新完善；,建設(shè)后,建設(shè)前,項目所采取的安全系統(tǒng)考慮到了現(xiàn)階段的需求，并充分考慮到今后的擴展性，整個安全系統(tǒng)的投入僅占信息網(wǎng)絡(luò)整體建設(shè)的8%。網(wǎng)絡(luò)管理人員和各類業(yè)務(wù)人員參加培訓(xùn)之后對安全體系的認識有了顯著的提高，出臺了各種安全制度，完善了安全策略措施，該企業(yè)的領(lǐng)導(dǎo)對信息化的進一步建設(shè)也表示出了從未有過的信心。,藍盾企業(yè)網(wǎng)絡(luò)安全解決方案,主要功能特點1.軟、硬件一體化的結(jié)構(gòu)防火墻對于用戶來說，只是一個類似路由器的硬件設(shè)備，整體系統(tǒng)采用黑盒設(shè)計，防火墻系統(tǒng)與硬件緊密結(jié)合，發(fā)揮硬件最高效能，減少由于操作系統(tǒng)問題而產(chǎn)生網(wǎng)絡(luò)漏洞的可能，提高系統(tǒng)自身安全性。2.獨特的第四網(wǎng)絡(luò)接口(對內(nèi)服務(wù)器群)藍盾防火墻防內(nèi)版擁有四個網(wǎng)絡(luò)接口，專門開辟了第四區(qū)間——對內(nèi)服務(wù)區(qū)，將原來安裝在內(nèi)部網(wǎng)絡(luò)中一些重要的服務(wù)器集中聯(lián)入本區(qū)域，此區(qū)域與第三區(qū)域不同。對于第三區(qū)域，內(nèi)網(wǎng)、外網(wǎng)都能訪問;對于第四區(qū)域，只開放給內(nèi)網(wǎng)某一部分IP訪問，外網(wǎng)無法訪問。這樣構(gòu)成的系統(tǒng)，既可“防外”又可“防內(nèi)”，徹底解決了一般防火墻只能“防外”不能“防內(nèi)”的不足。,3.NAT方式節(jié)省網(wǎng)絡(luò)地址資源對于一個小型網(wǎng)絡(luò)來說，申請的IP地址不會太多，如果網(wǎng)絡(luò)中的每一臺設(shè)備都需要一個IP地址，會造成IP地址的嚴重不足。藍盾防火墻提供的網(wǎng)絡(luò)地址轉(zhuǎn)換(NetworkAddressTranslation)功能不僅可以隱藏內(nèi)部網(wǎng)絡(luò)地址信息，使外界無直接訪問內(nèi)部網(wǎng)絡(luò)設(shè)備，同時，它還幫助網(wǎng)絡(luò)可以超越地址的限制，合理地安排網(wǎng)絡(luò)中上公用Internet地址和私有地址的內(nèi)部網(wǎng)用戶順利的訪問Internet的信息資源，不但不會造成任何網(wǎng)絡(luò)應(yīng)用的阻礙，同時還可以節(jié)省大量的網(wǎng)絡(luò)地址資源。,4.高性能的系統(tǒng)核心現(xiàn)在商業(yè)操作平臺如Win98、NT、UNIX、LINUX存在著不少漏洞，不斷被黑客在互聯(lián)網(wǎng)上公開、傳播，作為攻擊的目標。藍盾安全小組從底層做起，自行開發(fā)出一套防火墻專用安全平臺，對與流量關(guān)系密切的模塊進行優(yōu)化處理，做到高安全性、高穩(wěn)定性和高效率。本系統(tǒng)核心專門為TCP/IP及Firewall而設(shè)計，能大大提升系統(tǒng)性能。例如IPChecksum部分由匯編語言編寫，比同類系統(tǒng)性能提高20%-60%。5.靈活的WWW端口控制通過系統(tǒng)的8887端口，可進入WWW設(shè)置管理界面，進行安全規(guī)則和其它功能的設(shè)定。為了進一步加強防火墻自身的安全性，避免其它人員打開8887端口，猜測密碼，我們在系統(tǒng)內(nèi)核中增加了一個端口控制層，通過BDKEY控制軟件，可自由打開或關(guān)閉8887端口。,6.提供第三區(qū)域除了內(nèi)部網(wǎng)絡(luò)界面和外部網(wǎng)絡(luò)界面，系統(tǒng)還增加一個網(wǎng)絡(luò)界面，讓管理員靈活應(yīng)用。如建立DMZ(DemilitarizedZone)，在其中放置代理服務(wù)器或公共應(yīng)用服務(wù)器。7.支持多種標準服務(wù)目前，能夠支持哪些傳輸標準是評價一個防火墻系統(tǒng)的重要指標之一，藍盾防火墻系統(tǒng)支持95種通信協(xié)議和730種應(yīng)用服務(wù)，包括WWW、FTP、POP3、數(shù)據(jù)庫服務(wù)、多媒體服務(wù)、Microsoft網(wǎng)絡(luò)服務(wù)等等。用戶不必擔(dān)心使用了防火墻后出現(xiàn)某些服務(wù)失效的副作用。,8.美觀易用的界面系統(tǒng)設(shè)有基于WWW的管理界面，管理員可以通過由HTML、Javaapplet組成的圖形界面對系統(tǒng)進行管理。把復(fù)雜繁多的系統(tǒng)功能設(shè)置變?yōu)橹庇^易用的WWW界面，大大降低了對網(wǎng)絡(luò)管理員的高要求，提高了系統(tǒng)的易用性。9.物理斷開功能系統(tǒng)具有獨特的物理斷開功能，在每個網(wǎng)絡(luò)接口中都內(nèi)置有物理開關(guān)模塊。在某些特殊情況下，網(wǎng)絡(luò)管理員可以通過網(wǎng)絡(luò)對其強行斷開，立即中止該接口數(shù)據(jù)傳輸。,功能模塊1.智能防御模塊系統(tǒng)自動統(tǒng)計、分析通過防火墻的各種連接數(shù)據(jù)，探測出攻擊者，立即斷開與該主機的任何連接，并采取將其IP地址列入黑名單等措施，保護內(nèi)網(wǎng)所有主機的安全。2.自動反掃描模塊掃描是黑客攻擊的前奏，攻擊前，黑客一般會先掃描一下目標主機打開的服務(wù)端口，然后再進行針對性攻擊。本系統(tǒng)在內(nèi)核設(shè)計中引入自動反掃描機制，以最快的速度發(fā)現(xiàn)掃描器，即時斷開其連接，并將該IP地址列入黑名單，在一定時間(約10分鐘)內(nèi)，該主機無法再對防火墻系統(tǒng)和防火墻保護的內(nèi)網(wǎng)進行任何訪問。,3.雙向網(wǎng)絡(luò)地址轉(zhuǎn)換模塊內(nèi)部網(wǎng)絡(luò)用戶一般沒有合法的InternetIP地址(RegisteredIPAddress)，不能直接對外部網(wǎng)絡(luò)進行訪問，這可以通過網(wǎng)絡(luò)地址轉(zhuǎn)換系統(tǒng)得到完滿的解決。當(dāng)用戶需要對外訪問時，藍盾防火墻系統(tǒng)將會從IP池中的IP動態(tài)分配給用戶，使用戶得到合法的IP地址與外部訪問。端口地址轉(zhuǎn)換(PortAddressTranslation)可以擴展公司可使用的InternetIP，用戶的訪問將會映射到IP池中IP的一個端口上去，這使每個合法InternetIP可以映射六萬多個內(nèi)部網(wǎng)主機，并發(fā)訪問為16384條。如果企業(yè)希望內(nèi)部網(wǎng)絡(luò)中的服務(wù)器可以讓Internet用戶訪問的話，可以利用反向NAT(R-NAT)或反向PAT(R-PAT)系統(tǒng)，為內(nèi)部網(wǎng)絡(luò)服務(wù)器作靜態(tài)地址和端口映射，這樣Internet用戶就可以通過本防火墻系統(tǒng)直接訪問該服務(wù)器了。,我們的網(wǎng)絡(luò)地址轉(zhuǎn)換系統(tǒng)支持九十多種通信協(xié)議(包括IGMP、ICMP、TCP、UDP等)和七百多種TCP/UDP服務(wù)，其中主要包括:常用服務(wù):HTTP、FTP、SMTP、NNTP、TELNET、ECHO、FINGER、SYSTAT、DYATIME、DNS、TFTP、GOPHER、POP3、RTELNET、RLOGIN、CISCO-SYS、SNMP、IRC、IMAP4、UUCP等。數(shù)據(jù)庫服務(wù):OracleSQL*NET、SQL-NET、ODBC、SQLSRV、SQLSERV等，用戶可以通過防火墻進行數(shù)據(jù)庫操作。,多媒體流:ProgressiveNetworksRealAudio、XingTechnologiesStreamworks、WhitePinesCuSeeMe、VocalTecInternetPhone、VDOnetVDOLive、MicrosoftNetShow、VxtremeWebTheater2等。支持H.323應(yīng)用，包括IntelInternetVideoPhone、MicrosoftNetmeeting等。NetBios、RPC:MicrosoftNetwork可以通過本防火墻系統(tǒng)進行通信。同時支持RemoteProcedureCall。使用Windows、WindowsNT的網(wǎng)絡(luò)系統(tǒng)也可以采用本系統(tǒng)作為保護企業(yè)數(shù)據(jù)的防火墻。如果用戶有需要，可以自己定義所需的服務(wù)。通過NAT和PAT的結(jié)合，巧妙的建立了連接Intranet和Internet的橋梁，藍盾防火墻系統(tǒng)將守護著這棟橋梁。,4.WWW端口控制模塊通過防火墻的8887端口，可進入防火墻的設(shè)置管理界面，進行安全規(guī)則和其它功能的設(shè)定。為了進一步加強防火墻自身的安全性，避免其它人員打開8887端口，猜測密碼，我們在系統(tǒng)的內(nèi)核中增加了一個端口控制層，通過BDKEY控制軟件，可自由打開或關(guān)閉8887端口，并達到如下目標:1、只有用戶名/密碼驗證正確的管理人員，才能使用BDKEY軟件。2、通過BDKEY向防火墻發(fā)送啟動端口(8887)控制命令后，防火墻會自動綁定管理員主機IP，只有該IP才可以進入8887端口。3、防火墻會自動驗證管理員在BDKEY中填寫的主機IP地址。4、管理人員設(shè)置完畢后，可關(guān)閉8887端口。,5.物理斷開模塊本系統(tǒng)的三個網(wǎng)絡(luò)硬件接口中，都內(nèi)置一個物理開關(guān)模塊，通過設(shè)置，可斷開任一網(wǎng)絡(luò)接口的聯(lián)接，即時中止該網(wǎng)絡(luò)接口的任何通信，這樣，在某些特殊環(huán)境下，可進一步提高系統(tǒng)的安全性。6.MAC綁定模塊為了防止IP欺騙、地址偽裝，本系統(tǒng)提供“MAC綁定”功能。它可以將IP地址和網(wǎng)卡的硬件地址綁定起來，主要用于綁定一些重要的管理員IP和授權(quán)IP。7.實時報警和紀錄安全分析模塊本系統(tǒng)提供實時報警功能，對于端口掃描和其它網(wǎng)絡(luò)攻擊，紀錄系統(tǒng)會即時發(fā)出警報，提醒管理人員。本系統(tǒng)可以對每一條訪問進行紀錄，紀錄方式包括簡要紀錄、詳細記錄、發(fā)出警告、記費紀錄(包括來源、目的地、流量、連接時間、次數(shù)等)。,系統(tǒng)提供對任何可疑的行為作出實時的告警提示，告警可疑通過可聞可見的的方式發(fā)出，也可以通過Email發(fā)出信息、發(fā)出SNMP告警到網(wǎng)管系統(tǒng)，或者激活一些用戶定義的告警方式等等。系統(tǒng)提供的統(tǒng)計系統(tǒng)，是體現(xiàn)系統(tǒng)紀錄價值的重要功能。統(tǒng)計功能包括記費統(tǒng)計、使用情況統(tǒng)計、URL訪問統(tǒng)計等等。統(tǒng)計結(jié)果可以直接通過WWW管理界面輸出，或通過網(wǎng)絡(luò)輸出到第三方計費系統(tǒng)。,金山網(wǎng)絡(luò)信息安全整體解決方案,隨著信息化進程的不斷加速，來自快速增長的網(wǎng)絡(luò)威脅無疑成為了企業(yè)信息安全的巨大隱患。由于企業(yè)自身業(yè)務(wù)的需要及網(wǎng)絡(luò)的龐大復(fù)雜性，由網(wǎng)絡(luò)攻擊、黑客入侵、病毒傳播等造成的網(wǎng)絡(luò)堵塞、系統(tǒng)崩潰、數(shù)據(jù)損毀、機密外泄等事件，對企業(yè)來說極易產(chǎn)生災(zāi)難性的后果。企業(yè)內(nèi)部網(wǎng)絡(luò)一般存在如下需求：抵御內(nèi)外部網(wǎng)絡(luò)的計算機病毒防止非法訪問造成的信息泄密確保各個分支機構(gòu)的通訊安全企業(yè)整體的網(wǎng)絡(luò)安全成本控制防范來自外部網(wǎng)絡(luò)的攻擊和入侵防止由內(nèi)部人員引起的內(nèi)部威脅杜絕垃圾郵件對網(wǎng)絡(luò)資源的占用保護內(nèi)部重要的服務(wù)器及網(wǎng)絡(luò)資源,針對這種安全需求，金山做出典型的網(wǎng)絡(luò)安全整體解決方案：,從網(wǎng)絡(luò)的邊界防護到網(wǎng)絡(luò)中的分布式防護，金山信息安全產(chǎn)品為企業(yè)級網(wǎng)絡(luò)層層設(shè)防把關(guān)，不僅能夠有效防御來自網(wǎng)絡(luò)之外的安全威脅，亦能有效遏制網(wǎng)絡(luò)內(nèi)部威脅，做到安全管理內(nèi)外兼?zhèn)?。網(wǎng)內(nèi)防護金山毒霸網(wǎng)絡(luò)版金山毒霸網(wǎng)絡(luò)版采用了業(yè)界主流的B/S開發(fā)模式，由管理中心、系統(tǒng)中心、升級服務(wù)、服務(wù)防毒模塊、客戶機防毒模塊共同組成全網(wǎng)反病毒體系。能夠有效攔截和清除目前泛濫的各種網(wǎng)絡(luò)病毒，并提供強大的管理功能和全網(wǎng)漏洞統(tǒng)一掃描修復(fù)功能，真正使企業(yè)反病毒工作變的輕松高效：,您可以在總部的IT中心實現(xiàn)對總部、分支部門、派出機構(gòu)、辦事處等網(wǎng)絡(luò)的反病毒集中統(tǒng)一管理基于WEB的控制臺將使您在任何一臺聯(lián)網(wǎng)的終端實施全局操控，真正實現(xiàn)了管理“無處不在”快速智能的升級體系將自動更新您的反病毒體系，多種安裝部署方式能夠最大限度貼和網(wǎng)絡(luò)需求結(jié)合反黑的“全網(wǎng)漏洞掃描”使您能夠徹底杜絕利用漏洞傳播和攻擊的病毒威脅。強大的病毒防殺能力和可靠的實時檢測將成為安全的堅實后盾多途徑報警將使您能在第一時間獲取病毒疫情報告，快速制定應(yīng)對策略,金山毒霸中小企業(yè)版金山毒霸中小企業(yè)版是一套專為中小型企業(yè)級網(wǎng)絡(luò)環(huán)境設(shè)計的反病毒解決方案，它采用業(yè)界主流的B/S開發(fā)模式，由系統(tǒng)中心（擁有基于Web的控制臺）、客戶端、服務(wù)器端形成了全網(wǎng)反病毒體系，能夠為企事業(yè)單位網(wǎng)絡(luò)范圍內(nèi)的桌面系統(tǒng)和網(wǎng)絡(luò)服務(wù)器提供可伸縮、跨平臺的全面病毒防護：金山毒霸中小企業(yè)版率先推出采用了全網(wǎng)智能漏洞修復(fù)技術(shù)，它支持管理員通過控制臺統(tǒng)一掃描網(wǎng)絡(luò)內(nèi)計算機的各種安全漏洞，并作針對性修復(fù)。整個修復(fù)過程對普通用戶完全透明，且不會因用戶登錄權(quán)限而受到限制。率先實現(xiàn)的全天候全網(wǎng)主動實時功能讓安全永遠領(lǐng)先一步分步式的防毒節(jié)點結(jié)合跨多平臺的防毒技術(shù)使網(wǎng)絡(luò)防毒不留盲點,基于Web的中央管理控制、多途徑部署方式（Web安裝、登錄腳本安裝、遠程安裝、光盤安裝）讓體系的管理控制與部署更加高效便捷多途徑報警機制、圖形化的安全日志信息保證快速應(yīng)對病毒疫情，合理制定安全策略“簡”“繁”隨意切換的客戶端界面充分照顧到普通桌面用戶多種使用需求。金山防水墻金山防水墻系統(tǒng)采用集成化網(wǎng)絡(luò)安全防衛(wèi)思想，遵循P2DR安全模型，應(yīng)用集成防衛(wèi)的理論與技術(shù)，采用分布式的體系結(jié)構(gòu)，通過安全策略的設(shè)計及集中的安全控制管理平臺，提供一套功能強大的安全管理控制系統(tǒng)；在降低網(wǎng)絡(luò)安全管理成本的同時，能有效的保護網(wǎng)絡(luò)和主機系統(tǒng)的安全，防止內(nèi)部的信息泄漏。,網(wǎng)關(guān)防護金山防火墻金山防火墻高度集成了防火墻、ASICVPN、入侵檢測、帶寬管理、防拒絕服務(wù)網(wǎng)關(guān)、多媒體通信安全、認證授權(quán)、內(nèi)容安全控制、ADSL/ISDN接入安全、高可用性配置能力等眾多安全角色，提供高度安全、可信和健壯的安全解決方案，真正實現(xiàn)了單一設(shè)備對網(wǎng)絡(luò)的多重防護。金山防毒墻金山防毒墻采用專有易管理的安全操作平臺，集成了高效穩(wěn)定的金山毒霸反病毒引擎，通過對多種協(xié)議的支持，處理來自外部網(wǎng)絡(luò)的病毒、垃圾郵件和網(wǎng)絡(luò)入侵行為，同時還具有防火墻、VPN、入侵檢測及阻斷等多種安全服務(wù)，是一款UTM產(chǎn)品的杰出代表。金山防毒墻利用的深度檢測技術(shù)，保證了金山防毒墻能夠在網(wǎng)絡(luò)的各個層面對網(wǎng)絡(luò)資源和數(shù)據(jù)實施全面防護。,郵件防護金山毒霸安全郵件網(wǎng)關(guān)金山毒霸安全郵件網(wǎng)關(guān)將病毒防御、反垃圾郵件、內(nèi)容審查以及抗攻擊能力無縫地整合到一個解決方案中：作為保證電子郵件本身安全和電子郵件系統(tǒng)穩(wěn)定的一道防線，杜絕來自Internet的病毒、垃圾郵件、非法內(nèi)容郵件等進出企業(yè)內(nèi)部郵件系統(tǒng)的可能性。,構(gòu)建在擁有自主產(chǎn)權(quán)的殺毒引擎、垃圾郵件檢測引擎以及內(nèi)容審查之上，支持多種操作系統(tǒng)，適用于任何采用了SMTP協(xié)議的郵件系統(tǒng)。能夠在病毒程序、垃圾郵件和不良信息進入您的內(nèi)部郵件系統(tǒng)之前，便對其進行遏制、阻截。有效阻止機密的泄漏，避免網(wǎng)絡(luò)帶寬的損耗，節(jié)省郵件系統(tǒng)存儲空間；大幅地提高郵件系統(tǒng)的穩(wěn)定性和工作效率，保護企業(yè)的商機和聲譽。,題目：校園信息安全解決方案企業(yè)信息安全解決方案醫(yī)院信息安全解決方案電信部門信息安全解決方案電子政務(wù)信息安全解決方案金融證券業(yè)信息安全解決方案,應(yīng)用概述安全需求分析安全策略制定產(chǎn)品選擇與部署安全管理與服務(wù),