中国移动企业信息化系统
安全加固方案设计软课题报告
IBM安全项目组
Presentation Title | Confidential | Document ID
日程安排
课题背景介绍
企业信息化系统信息安全体系
安全加固方案及实施计划
防病毒安全规范
数据库安全规范
防火墙安全规范
企业信息化系统安全域规范
问答
Presentation Title | Confidential | Document ID
课题背景介绍
Presentation Title | Confidential | Document ID
研究内容
中国移动集团公司信息系统安全加固方案及实施计划 安全加固方案是整个软课题的入口，是总部信息办和各省公司信息办对其所负责的平台（统一信息平台、OA等）的安全指南。
安全规范 与具体平台无关的指导性的安全要求，作为各个平台安全操作手册制定时的安全依据。
安全域划分
防病毒系统管理与配置
网络设备安全
数据库安全规范
防火墙安全规范
中国移动安全操作过程手册（安全配置手册） 根据信息系统安全操作规范，结合中国移动具体网络及应用环境和设备，在现有安全策略和规范中的相关部分上进行深化和细化，详细制定每个具体设备具体流程的操作规范，形成具有很强操作性的安全操作过程手册。
操作系统安全配置手册(SUN SOLARIS/IBM AIX/HP UX /WIN 2000)
数据库安全配置手册（Oracle/ DB2/ Sql Server / Domino/ Exchange）
门户系统安全配置手册 (WebSphere Portal/ BEA WebLogic/ Sun One Portal/ Oracle AS Portal/ MS SharePoint)
网络安全配置手册（DNS,FTP,防病毒，VPN，防火墙，交换机，路由器）
Presentation Title | Confidential | Document ID
研究成果（1）
本软课题，共有31个提交件
《中国移动企业信息化系统 安全加固方案及实施计划》
规范（与具体产品平台无关）
《中国移动企业信息化系统 安全域规范》
《中国移动防病毒安全规范》
《中国移动网络设备安全规范》
《中国移动防火墙安全规范》
《中国移动数据库安全规范》
产品操作手册（见下页）
Presentation Title | Confidential | Document ID
研究成果（2）
通用应用系统
《中国移动WEB服务器安全配置手册》 （包括通用，IIS, Apache)
《中国移动DNS服务器安全配置手册》 （包括通用，windows DNS, Unix Bind)
《中国移动FTP服务器安全配置手册》 （包括通用，IIS, WU-ftp)
《中国移动电子邮件安全配置手册》 （包括通用，Domino, Exchange)
操作系统
《中国移动操作系统安全配置手册》 （包括通用，Solaris, win2000, HP UX, AIX)
数据库
《中国移动Oracle安全配置手册》
《中国移动DB2安全配置手册》
《中国移动Domino安全配置手册》
《中国移动SQL Server安全配置手册》
门户
《中国移动Websphere Portal安全配置手册》
《中国移动BEA Weblogic安全配置手册》
《中国移动SUN One Portal安全配置手册》
《中国移动Oracle AS Portal安全配置手册》
《中国移动MS Sharepoint安全配置手册》
VPN
《中国移动CheckPoint VPN安全配置手册》
《中国移动Nortel VPN安全配置手册》
《中国移动IBM VPN安全配置手册》
路由器，交换机
《中国移动华为路由器交换机安全配置手册》
《中国移动CISCO路由器交换机安全配置手册》
防火墙
《中国移动CISCO PIX防火墙安全配置手册》
《中国移动Netscreen防火墙安全配置手册》
《中国移动CheckPoint防火墙安全配置手册》
防病毒
《中国移动Symantec防病毒安全配置手册》
《中国移动趋势防病毒安全配置手册》
《中国移动瑞星防病毒安全配置手册》
Presentation Title | Confidential | Document ID
研究方式
本课题的研究方式分为两类
《安全加固方案和实施计划》以及与平台无关的5个安全规范
IBM负责编写
中国移动提供相关信息，并负责审查和提供修改建议
25个与平台相关的安全操作手册
中国移动负责编写
IBM提供模板，并负责审核和提供修改建议
IBM负责手册中通用部分的撰写
IBM负责文档的整合
感谢相关各省移动对本课题的大力支持。
Presentation Title | Confidential | Document ID
企业信息化系统信息安全体系
Presentation Title | Confidential | Document ID
中国移动企业信息化系统安全体系
Presentation Title | Confidential | Document ID
企业信息化系统安全体系的三层结构
Presentation Title | Confidential | Document ID
第一层：安全策略
第二层：安全规范和标准
安全策略
安全规范和标准
Presentation Title | Confidential | Document ID
第三层：安全操作手册、流程、细则
安全操作手册、流程、细则
Presentation Title | Confidential | Document ID
信息化系统
安全加固方案及实施计划
Presentation Title | Confidential | Document ID
加固方案和实施计划分为三个部分
安全管理层面：
第一部分 安全体系完善计划 针对信息化安全体系的整体架构，分析目前在策略、规范、标准方面缺失的部分，制定标准体系规范完善计划
第二部分 安全体系部署/实施计划 给出各省市部署和实施该安全体系的建议，该部分是指导性的，概括性的，各省公司应该根据此加固方案和实施计划制定自己的详细的、切实可行的实施计划。
安全技术层面：
第三部分 总部安全技术体系加固方案和建设计划 根据集团总部信息化系统目前所采用的安全技术现状，结合安全体系的具体要求，制定安全技术体系建设计划。
Presentation Title | Confidential | Document ID
安全体系完善计划(1)
通过分析中国移动企业信息化系统安全体系结构，发现目前在第二层规范/标准这一层的第二个子层具体规范这一层的建设还比较缺乏。下图所列的规范，除了红色部分外，其它规范还不存在。虽然在规范总则中对这些规范进行了简单的说明，但是还不够全面和深入，对于实际操作还是缺乏明确的依据。
针对以上分析，建议信息化办公室在下一阶段将体系建设的重点放在安全规范建设上，逐步完善体系中所提到的安全规范。
Presentation Title | Confidential | Document ID
安全体系完善计划（2）
在待建设规范中，有些规范之间是存在一定的关联的，我们建议在建设时能够同时予以考虑和建设。
风险管理规范 和 信息资产管理规范
数据备份和恢复 和 介质安全管理规范 和 业务连续性计划规范
系统安全自测规范 和 安全许可证制度 和 内部安全审计规范
人力资源安全管理 和 个人安全守则 和 用户管理规范 和 远程访问安全规范
安全事件检测和响应规范 和 系统日志规范
其它的规范可以酌情和以上规范整合在一起考虑。
系统生命周期安全管理
安全加密
文档管理规范
补丁管理规范
物理安全规范
Presentation Title | Confidential | Document ID
安全体系完善计划（3）
针对待建的19个安全规范，针对每个具体的规范定义了该规范建设的目标以及该规范中应该包含的内容概要
例如：信息资产管理规范
目标
对于企业信息化系统安全管理来说，如果没有一份完整的能够说明我们所拥有的信息资产情况的清单，就没有办法评估资产的价值、应该采取的保护措施、应该投入的资源情况等，也就无法开展有意义的企业信息化系统安全工作。所以，中国移动要求所有部门/分公司必须维护一份完整、详细的企业信息化系统资产清单，以便于跟踪企业信息化系统安全状态。
内容
定义信息资产分类标准
定义信息分级保护标准
设计信息资产识别方法
定义识别和登记信息资产的流程
定义信息资产登记表模版
定义信息资产清单维护方法
Presentation Title | Confidential | Document ID
安全体系部署/实施计划（1）
信息安全体系建设的生命周期
Presentation Title | Confidential | Document ID
安全体系部署/实施计划（2）
企业信息化系统安全建设步骤
如下图所示，建议企业信息化系统安全建设分为以下三个步骤，首先是在集团公司一级进行总体体系部署的规划，然后进行试点，试点成功后进行推广。而在每一个步骤中的建设都应遵守安全体系建设的PDCA模型，确保中国移动的安全体系能够不断地自我发展，循环上升。
总部信息化办公室
试点
省公司 3
省公司 4
省公司 1
其它省公司
推广
省公司 2
项目 2
项目 1
项目 3
项目 3
Presentation Title | Confidential | Document ID
总部安全技术体系加固方案和建设计划
主要安全产品和技术分类
Presentation Title | Confidential | Document ID
总部安全技术体系加固方案和建设计划
总部信息化系统安全体系改进建议
Presentation Title | Confidential | Document ID
安全总控中心
集中地检测、分析、关连、报告、处理安全入侵和违规事件
集中存储安全事件数据和风险信息
增加整个组织信息安全管理的效率及经济性
支持企业信息安全决策机制及风险评估
为企业信息安全管理量化提供必要基础设施
入侵检测机制
安全事件管理
安全指导中心
安全风险评估
安全弱点扫描
病毒防护处理
安全总控
中心(SOC)
病毒入侵
防火墙／防病毒
网关管理
拒绝服务攻击
入侵检测
非法系统访问
系统管理
应用安全弱点
应用管理
风险管理平台
安全事件关联机制
安全事件响应机制
Presentation Title | Confidential | Document ID
网络安全审计系统
网络安全审计系统主要用于监视并记录网络中的各类操作，实时地综合分析网络和系统中发生的安全事件，包括各种外部事件(如外部入侵行为)和内部事件(如内部人员的文件拷贝、信息获取、信息发布、资源变迁等)，并根据设置的安全规则，智能地判断出违规行为，并对违规行为进行记录、报警和阻断。
主要功能
对网络中典型的应用如TELNET、HTTP、FTP、SMTP、POP3等进行全面审计，提供详细信息。按照需要，跟踪并记录指定客户的网络操作，真实地再现用户操作的过程，还原该操作。也可以还原电子邮件、网页访问操作等。
网络数据流量监测功能，包括实时流量监测和历史流量记录，用户可以使用该功能发现一些网络异常现象，尤其是当网络中有拒绝服务攻击（DoS）行为时可以及时发现并采取措施。流量监测功能可以自动定时记录用户所指定的主机和端口的流量。通过查询所记录的主机和端口的历史流量，系统可以绘制流量曲线图，生成统计报表。
……
Presentation Title | Confidential | Document ID
主机入侵检测系统
在目前的中国移动网络结构中使用了实时监视系统，在Internal Zone, Admin Zone, 和Interconnection Zone部署了ISS入侵检测软件。
由于内部网采用的各种操作系统可能会带来安全问题，如运行各种UNIX的操作系统。包括操作系统本身的配置不安全和可能驻留在操作系统内部的黑客程序等带来的威胁。因此，可建立主机IDS以进一步防止黑客的威胁。
Presentation Title | Confidential | Document ID
安全扫描、安全政策检查
安全是需要随时注意及改善的，故系统管理人员需随时了解网络和系统安全状况，因此中国移动需要一套系统弱点扫描的工具，能够协助系统管理人员找出重要服务器上可能具有的安全漏洞，以便及早修补。
网络漏洞扫描系统
数据库风险评估和安全政策审计系统
系统风险评估和安全政策审计系统
Presentation Title | Confidential | Document ID
业务连续性计划/灾难恢复计划
现在社会中，业务的连续性对一个企业越来越重要，在企业中已不是IT一个部门的问题，而是整个企业生死相关的问题。通过对实际情况(包括核心业务，业务中断的损失，可容忍任务中断的时间)进行分析，建设一套切合实际的，投资合理的，内容可靠的业务连续性及容灾备份方案。
如右图所示，容灾备援方案包括一个相互关连的流程，具体包括风险管理、业务冲击分析、恢复能力分析、容灾策略制定、容灾技术方案的制定和实施、企业业务连续性计划的制定和企业容灾方案的管理。
Presentation Title | Confidential | Document ID
网络安全体系建设
根据业务上或管理上以及《企业信息化安全域规范》的各种安全相关需求，对现有的网络系统通过各种网络安全防范的技术手段和管理规范进行一系列的安全改造，从而将网络上存在的安全风险和安全隐患降至最低。
本项目的范围包括了所有与网络系统相关的运作安全考虑。包括了
内部局域网安全建设和改造
和第三方合作伙伴的网络连接安全建设和改造
Internet连接安全规范
用户远程网络接入连接相关的安全方面的考虑
Presentation Title | Confidential | Document ID
各信息系统的统一单点登录
统一认证和授权系统由以下四个部分组成：
目录服务：存储多种不同来源的用户/资源信息。包括：
存储子模块：即目录服务模块
同步子模块：即元目录，或动态用户管理（User Provisioning）模块
身份管理：管理用户身份信息，并提供自动工作流程和自服务、分权管理功能。
认证管理：认证方式可以分为以下四类：
所知（Something you know）
所持（Something you have）
所具有（Something you are）和所为（Something you do）
访问管理：进行访问规则定义，并进行访问规则的中心控制，实现SSO。
Presentation Title | Confidential | Document ID
个人及桌面安全管理
通过对用户桌面电脑使用的操作系统和其他相关安全系统平台进行安全定制，对员工使用的桌面系统进行统一，并对用户日常使用过程中应当注意的安全问题加以明确的规定，从而确保了对桌面系统的安全管理。
该项目的范围包括
统一主流的桌面操作系统平台和其他相关安全系统平台、定制其安全策略
统一制定用户桌面系统使用安全操作手册
建立桌面电脑补丁的自动分发机制
Presentation Title | Confidential | Document ID
员工安全意识普及教育
安全意识培养机制目的
Why? 确保所有员工都理解企业所面临的风险，
What? 确保所有员工都了解企业的安全要求
How? 确保所有员工都具有相应的技能遵守安全要求
在通常情况下，绝大多数员工当他们知道了什么是正确的，以及为什么是正确的之后，都会自觉地遵守。
通过提升员工安全意识，可以及时发现，避免安全事件的发生，降低安全事件的影响，从而节约了信息安全成本。
中国移动需要一套系统的、有针对性的、层次分明的教育计划来实现我们的目标。通过教育，让所有的人了解自己在企业信息化系统安全中的角色(role)、责任(responsibility)和义务(liability)，以及如何正确、安全地使用企业信息化系统。
Presentation Title | Confidential | Document ID
信息安全风险评估
信息安全风险评估项目的目标
了解支撑中国移动关键业务运作的信息系统的安全状况
评估核心信息资产所面临的风险
发现信息安全实践中的薄弱环节和改进机会
明确信息系统的安全需求
提出信息安全控制措施改进方案。
信息安全风险评估项目的主要收益包括
明确核心信息资产面临的主要风险
平衡信息安全风险和投入
培养信息安全风险评估队伍
Presentation Title | Confidential | Document ID
防病毒安全规范
Presentation Title | Confidential | Document ID
病毒发展趋势与企业的病毒威胁分析
病毒发展趋势
病毒技术与系统攻击技术的结合 （蠕虫病毒、木马/黑客病毒）
混合型病毒传播方式多变 （蠕虫病毒）
电子邮件病毒感染 （脚本病毒、蠕虫病毒、木马病毒）
新病毒爆发时间短危害大 （蠕虫病毒、木马病毒、脚本病毒等）
企业的病毒威胁分析
恶意破坏桌面终端、服务器系统、网络系统
性能降低、功能失效；破坏系统和数据，造成系统崩溃，网络阻塞
盗窃桌面终端和服务器系统中的机密信息
帐户密码、信用卡资料、机密文件
文档服务器、邮件服务器成为病毒跳板
网络接口成为重要的病毒入侵途径
Web, FTP, SMTP
防病毒管理面临压力
职责不明确、管理规范不完善、用户防病毒意识不高
Presentation Title | Confidential | Document ID
企业防病毒安全对策
企业防病毒架构体系建设
覆盖全面、多层次。
涵盖集团公司、各省/直辖市、各地市
覆盖桌面终端、服务器、邮件系统、网关
防毒及时
及时更新病毒码、病毒引擎
统一管理
以集团公司、各省或直辖市为单位，由信息化责任部门设立集团公司、省或直辖市内统一的防病毒管理中心
统一防病毒策略制定、统一防病毒工作监控
企业防病毒管理机制加强
防病毒管理策略
防病毒管理职责定义
防病毒管理方法和机制
Presentation Title | Confidential | Document ID
集团公司防病毒架构
第一层：集中管理层。
集团总部的统一防病毒管理中心统一管理集团总部的防病毒事务，负责集团总部防病毒架构的工作策略配置的制定和分发。部署防病毒服务器，负责对各个部门的桌面工作站或文档服务器的防病毒控制。
第二层：各部门的终端层。
分布于集团总部内网的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。
边界层：网关防病毒。
这个层次分布于集团网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受集团总部防病毒管理中心的统一管理。
Presentation Title | Confidential | Document ID
省/直辖市防病毒架构
第一层：集中管理层。
成立统一防病毒管理中心。这个层次通过中央控制台统一管理企业的防病毒事务，负责省防病毒架构的工作策略配置的制定和分发。
第二层：分布层。
部署二层防病毒服务器。这个层次具有多个分布在不同地市部门的防病毒服务器，负责局域网内桌面工作站或者文档服务器的防病毒控制。防病毒服务器接受第一层的防病毒管理中心的统一管理控制。
第三层：终端层。
这个层次分布于网络的各个节点，数量众多，通过防病毒软件进行病毒监视和防护。桌面工作站和文档服务器接受二层防病毒服务器的直接管理。
边界层：
网关防病毒。这个层次分布于网络出入接口，在这些外部网络接入点部署邮件防病毒过滤服务器、Web防病毒过滤服务器、FTP防病毒过滤服务器。这些边界防病毒过滤服务器接受省/直辖市中心的统一管理。
Presentation Title | Confidential | Document ID
防病毒工具功能要求
防病毒网关支持HTTP，HTTPS，FTP等协议，对所有通过防火墙的HTTP通信和FTP通信进行病毒检测扫描从而保护您的网络免受病毒攻击；也能够使用内容过滤方法（类别列表和数据字典）提供有效的Web内容过滤。
Web与FTP防病毒网关
病毒扫描与过滤，对邮件中的病毒文件扫描和过滤，保持病毒码和扫描引擎的更新，支持对多种压缩格式的文件进行解压扫描。内容过滤，采用预定义的字词列表，检查主题、内容和附件等方法内容过滤阻挡垃圾邮件；使用黑名单、白名单等工具管理邮件的收发。
邮件防病毒
（集成于邮件服务器的防病毒工具，邮件防病毒网关）
防病毒客户端提供集成化的安全功能，将客户端病毒防护、防火墙、入侵检测集成于一体。防病毒功能方面支持文件系统实时防护、病毒扫描、软件更新、集中管理控制。
防病毒客户端
实现统一集中的管理，如防病毒软件的安装、维护、病毒定义码和扫描引擎的更新升级、网络防病毒策略的配置、报警的集中管理、定时调度、隔离、实时扫描和监控等。支持跨越广域网管理、分级管理、和分组管理。
中心防病毒控制台与管理服务器
Presentation Title | Confidential | Document ID
防病毒运维组织架构
省/直辖市公司建立防病毒管理中心
主要负责防病毒系统的整体规划、落实防病毒系统的具体制度、落实防病毒管理员的工作职责等工作。省/直辖市公司、各地市公司可以参照运维组织架构设立相应的防病毒机构。
省/直辖市公司、各地市公司要设立防病毒日常维护小组
负责防病毒系统的日常维护。省/直辖市公司日常维护小组的成员必须是专职的，地市公司原则上也要有专职的防病毒日常维护人员，也可以根据网络及防病毒系统实际状况由系统管理员兼职。系统管理员也作为网络防病毒日常维护的一部分，与防病毒日常维护小组相互协调工作。
防病毒应急响应小组
由省/直辖市公司防病毒日常维护人员和安全服务提供商以及防病毒厂商技术人员组成，组成人员可以兼职。省/直辖市公司应急响应系统主要负责解决由于病毒造成网络阻塞等重大问题和事件。
Presentation Title | Confidential | Document ID
防病毒管理策略要点
这些防病毒策略要求用于指导建立可靠有效的防病毒机制，指引安全管理组织和病毒处理小组才能够有效地减轻病毒的对公司的潜在威胁。
信息资产分类与控制
信息资产负责人的防病毒责任
信息资产分类防病毒控制
人员安全
防病毒安全培训
安全时间和故障响应
系统维护管理
落实防病毒管理流程：文档维护、工具变更、紧急时间响应等
防止恶意软件：病毒扫描和文件数据交换控制
远程办公
移动电脑
遵守防病毒法律规定
Presentation Title | Confidential | Document ID
防病毒管理职责定义
集团公司防病毒管理职能
集团公司在防病毒架构体系建设中起到规范标准化、建设指导和监督者的作用。
制定中移动统一的防病毒架构体系建设规范，为各省/直辖市的防病毒架构建设和改进提供了规范性的指导建议；
制定中移动防病毒的管理制度和管理机制规范，指导和规范各省/直辖市的防病毒管理工作；
监督各省/直辖市的防病毒工作，定期以安全审计检查的方式监督下属公司工作是否到位。
省/直辖市公司防病毒管理职能
制定防病毒有关具体管理制度和操作规程细则；
部署病毒防护策略和病毒解决方案；
协调和分配各地分公司防病毒任务和职责权限；
发布计算机病毒疫情，以及突发病毒解决方案；
根据计算机病毒疫情调整防病毒管理策略；
贯彻落实省/直辖市公司病毒防护策略和病毒解决方案；
定时统计、分析、汇总和上报本公司防病毒检测情况报告。
地市公司防病毒管理职能
根据省/直辖市公司下发的最新病毒信息和解决办法处理各种病毒问题；
负责管理辖内病毒防治的管理和日常维护；
定时统计、分析、汇总和上报本公司防病毒检测情况报告。
日常运维管理职能由集团公司、省/直辖市公司和地方公司防病毒相关部门执行和运作。
Presentation Title | Confidential | Document ID
防病毒管理机制建设要点
防病毒管理机制建设的主要目标是：
有效地管理公司内部病毒事件带来的风险
提高公司所有人员对在防病毒管理过程中相关法规制度的理解与遵守
预防病毒潜在的危险，并能够处理突发病毒事件，保证业务运营连续性
防病毒文档管理
管理文档
运行维护文档
防病毒软件管理
安装软件管理
软件升级更新管理
Presentation Title | Confidential | Document ID
防病毒管理机制建设要点
终端计算机用户防病毒条例
建立全网用户应该遵循以下用户使用条例：
未经许可不能卸载防病毒软件，不能更改配置。
如认为防病毒软件影响正常使用，应及时联系管理员进行判断处理。
定时检查更新状态，定时执行扫描。
注意不要使用未经扫描的软盘启动。
不允许访问含有色情、暴力等不健康内容的网站
不随意从互联网上下载软件、游戏、电影等。
不运行任何可疑文件。
对于主题名新奇的电子邮件不要随便打开。
病毒突发事件应急响应机制
成员组成
管理部门、技术部门的相关人员
处理步骤和流程
确认方案
隔离
清楚
恢复
后续检查
Presentation Title | Confidential | Document ID
防病毒管理机制建设要点
防病毒预警机制
新病毒讯息公告与处理
疑似病毒信息发布
防病毒意识培训
防病毒知识普及
防病毒知识全员普及内容
病毒疫情预警
安全漏洞公告
特定病毒处理通告
病毒防治论坛
用于计算机用户在线防病毒技术交流、讨论、求助和建议等
提供相关预防病毒知识
Presentation Title | Confidential | Document ID
数据库安全规范
Presentation Title | Confidential | Document ID
数据库安全威胁与对策
数据库主要安全威胁
数据被篡改、窃取
用户身份被伪造、密码被盗用
未经授权对表、列、行的存取
缺乏有效的跟踪、监控机制
数据库安全管理关键要点
管理细分和委派原则
数据库管理员与安全管理员
最小权限原则
本着"最小权限"原则，从需求和工作职能两方面严格限制对数据库的访问权
帐号安全原则
密码规则、用户帐号管理
有效的审计
用户行为和数据库活动
加强关键数据库安全保护
数据库备份恢复、数据加密
Presentation Title | Confidential | Document ID
数据库基本安全技术
安全补丁
及时修补安全漏洞
存储数据加密技术
加密敏感数据
系统入侵
安全审计
监控用户的行为
缺乏跟踪
密码规则
强制密码安全
账号密码脆弱
数据库备份
备份恢复
数据破坏
网络加密
保护网络
网络数据侦听、窃取
权限管理
限制权限
存储数据加密
加密存储数据
访问控制
限制数据存取
未授权的数据存取
帐户认证
确认用户身份
未验证用户
安全技术
解决方法
安全风险
Presentation Title | Confidential | Document ID
数据库系统的安全防护架构
数据库系统的安全除依赖自身内部的安全机制外，还与外部网络环境、运行主机环境等因素息息相关。从广义上讲，数据库系统的安全框架可以划分为三个层次：
1. 网络系统层次；
2. 操作系统层次；
3. 数据库管理系统层次。
Presentation Title | Confidential | Document ID
网络系统层次安全防护
数据库的安全首先倚赖于网络系统
网络系统的安全是数据库安全的第一道屏障，外部入侵首先就是从入侵网络系统开始的
针对数据库系统的安全风险，可以采用以下的网络系统层次安全加固方法：
采用防火墙系统
对数据库服务器与外部不受信任网络进行隔离，屏蔽外界对数据库系统的攻击，如SQL注入、未授权访问、密码攻击等；
采用入侵检测系统
对数据库系统的攻击进行监测，发现并切断外部点恶意攻击，如SQL注入、未授权访问、密码攻击等；
采用VPN技术
对网络传输进行安全加密，保护数据库访问的安全，能够有效抵御网络窃听的攻击。
Presentation Title | Confidential | Document ID
操作系统层次安全加固
数据库系统安装在主机系统之上，为了有效的保障数据库系统安全，必须对主机系统平台进行规范的安全加固。
操作系统用户安全设置
用户组权限设置
数据库使用程序的安全性
操作系统安全日志设置
记录数据库服务的启动、关闭等操作，以及主机管理员、数据库服务管理员、和应用开发人员的行为等
关闭非必要的服务和程序
禁止不使用的数据库服务、应用服务、协议
修补操作系统和更新包
Presentation Title | Confidential | Document ID
数据库管理系统层次安全加固（一）
数据库安全策略要点
系统安全性策略要点
用户帐户管理
用户身份确认方式管理
操作系统安全要求
数据库安全性策略要点
根据具体的业务应用要求设计数据对象访问、数据加密
用户安全性策略要点
密码安全、用户角色分组、权限管理
数据库管理者安全性策略要点
特权用户密码保护
特权用户使用限制
应用程序开发者安全策略要点
应用程序开发者的权限限制
应用程序开发者角色的使用限制
Presentation Title | Confidential | Document ID
数据库管理系统层次安全加固（二）
数据库帐户安全设置要点
定义数据库系统访问帐户负责人员和业务用途，删除无关的或者不再使用的数据库系统访问人员帐户；
修改数据库管理系统内建帐户的初始密码；
对数据库帐户所使用的资源（如CPU等）进行限制。
密码安全设置要点
多次注册失败帐户锁定
过旧帐户锁定
防止密码重用
密码复杂性设置
密码的传输和存储安全
访问权限安全设置要点
检查帐户的权限是否与业务使用的要求相符，避免帐户获得超出其业务工作必须的权限；
给予帐户需要的最少权限，包括系统权限和对象权限；
采用存储过程、和数据表视图的方式来限制用户进行数据存取操作。
Presentation Title | Confidential | Document ID
数据库管理系统层次安全加固（三）
数据库加密
对数据库中存储的重要数据进行加密处理，以实现数据存储的安全保护
数据库系统的加密工具包
数据库加密系统
数据库备份与恢复
备份方法
导出、脱机备份和联机备份
备份策略建议
恢复方法
数据文件损坏、控制文件损坏、文件系统损坏、介质恢复
日志与审计
日志记录数据库服务、数据库管理员和用户帐户的访问和操作行为
审计跟踪用户的活动，发现安全设置的漏洞，分析安全事件
语句审计、特权审计、模式对象审计
管理员客户端安全
数据库安全补丁
Presentation Title | Confidential | Document ID
进一步数据库安全考虑
细粒度访问控制
应用程序安全检查
数据库系统与基于标准的公共密钥体系PKI集成
关键数据库系统灾难备份
Presentation Title | Confidential | Document ID
防火墙安全规范
Presentation Title | Confidential | Document ID
防火墙分类
包过滤（Packet Filter）
应用层代理（Proxy）
电路层代理（Circuit Proxy）
动态包过滤（Dynamic Packet Filter）
全状态检测（Stateful Inspection）
自适应代理（Adaptive Proxy）
深度包检测（Deep Packet Inspection）
Presentation Title | Confidential | Document ID
防火墙常用技术
NAT
双机热备
桥接、路由
内容过滤
带宽管理
附加功能：
攻击保护，联动功能，入侵检测
Presentation Title | Confidential | Document ID
防火墙体系结构
屏蔽路由器（Screening Router）
双穴主机网关（Dual Homed Gateway）
屏蔽主机网关（Screened Host Gateway）
屏蔽子网 （Screened Subnet）
Presentation Title | Confidential | Document ID
包过滤防火墙的基本功能安全要求
未鉴别的端到端策略：一个内部或外部网络上的主体通过防火墙发送数据流到一个外部或内部网络上的客体。
用户数据保护功能
识别与鉴别功能
保密功能
可信安全功能保护
安全审计功能
Presentation Title | Confidential | Document ID
应用网关防火墙的基本功能安全要求
有鉴别的端到端策略：一个内部或外部网络上的主体在发送数据流前，必须通过防火墙的鉴别，才能将数据流传送给一个外部或内部网络上的客体。
用户数据保护功能
识别与鉴别功能
保密功能
可信安全功能保护
安全审计功能
Presentation Title | Confidential | Document ID
防火墙的特殊功能安全要求
模块化多端口
多级过滤
内容过滤
多种形式审计告警
VPN（IPsec 和 SSL）
入侵检测
带宽管理
集中的安全网管
支持封装
Presentation Title | Confidential | Document ID
防火墙安全策略
防火墙安全策略配置:
通信策略
访问策略
应用策略
安全策略管理流程：
增添安全策略
更改安全策略
删除安全策略
Presentation Title | Confidential | Document ID
防火墙管理人员角色分类
超级管理员
负责本公司IP网络安全管理员和安全审计员的选用和监督，负责生成安全管理员和安全审计员的账号及相应权限
安全管理员
负责职权范围内IP网络安全防范工作的具体实施、安全配置操作和维护工作、以及相关网络安全问题的处理。
安全审计员
负责所管理主机系统及网络设备的安全定期审查和维护工作。安全审计员仅可以对日志进行审计分析。
Presentation Title | Confidential | Document ID
防火墙用户参数管理
认证模式
有效时间
连续认证失败时间
连续认证失败次数
恢复时间
口令管理
闲置时间
并发用户管理
Presentation Title | Confidential | Document ID
防火墙日志审计与监控
日志收集
日志分析
建立安全基线
界定可疑活动
日志存储
安全审计建议
建立安全审计报告
安全问题应对流程
审计与整体监控系统配合
Presentation Title | Confidential | Document ID
防火墙日常维护管理
防火墙系统资源监控
系统日志监控
数据包捕获分析
定期备份
同步备份、手动备份、 自动备份
远程异地方式、 本地存储方式
Presentation Title | Confidential | Document ID
防火墙适用环境－单级防火墙结构
Presentation Title | Confidential | Document ID
防火墙适用环境－多级防火墙结构
Presentation Title | Confidential | Document ID
防火墙部署原则
骨干层
汇聚层
接入层
Presentation Title | Confidential | Document ID
企业信息化系统安全域规范
Presentation Title | Confidential | Document ID
安全域规范的主要内容
企业信息化系统的现状
企业信息化系统的安全域划分
安全域的管理、技术、设备需求定义
安全域的威胁等级和保护等级
企业信息化系统安全域的网络保护
Presentation Title | Confidential | Document ID
企业信息化系统的应用系统现状
统一信息平台应用：
统一信息平台包括了OA系统，主要提供企业各种公文处理、电子邮件和信息发布等功能；同时还包括统计查询、电子报销、资源预定、办公用品申领、电子期刊、档案管理、知识管理、考核管理、研发项目管理、搜索引擎、远程办公应用等。
MIS应用：
MIS包括财务系统、人力资源系统、综合统计系统等应用系统；还包括电子采购系统、全面预算管理系统等。
对外通过合作伙伴门户与外部的合作伙伴连接，对内与BOSS系统和网管系统存在接口。
Presentation Title | Confidential | Document ID
企业信息化系统的应用系统现状（图）
Presentation Title | Confidential | Document ID
企业信息化系统的网络架构（图）
Presentation Title | Confidential | Document ID
企业信息化系统的应用架构
紧密耦合结构的应用：
例如终端标准化，有一个全集团的终端标准化系统，还有各个业务单位终端标准化子系统。
松散耦合结构的应用：
例如OA系统，各个业务单位都有自身的OA系统，其服务器在各个业务单位的服务器区域，而OA互连主要通过公文网关。
全部集中在集团总部的应用：
例如电子采购系统，各个业务单位没有单独的电子采购系统，只有集中的系统。
Presentation Title | Confidential | Document ID
企业信息化系统的应用架构 （图）
集团总部
信息化
广域专网
CMNET VPN
PSTN
省公司
信息化
全集团
信息化系统
服务器
集团总部
Presentation Title | Confidential | Document ID
集团总部企业信息化的网络拓扑（图）
Presentation Title | Confidential | Document ID
省公司企业信息化的网络拓扑（图）
集团公司
CMNet
网管
省计费中心
SOC
外部接入
OA
办公自动化
DCN
省信息化
集团总部
信息化
……
内部办公
局域网
CMNet
网管
网管
地市
1
银证邮
/
ISP
地市
1
地市
信息化
银证邮
/
ISP
县级信息化
省网管中心
SOC
MIS服务器
地市
分公司
MIS
OA
OA服务器
因特网
网管
网管
BOSS
统一信息平台
统一信息
平台服务器
集团公司
全集团公司
信息化
CMNet
CMNet
专线
集团总部
Presentation Title | Confidential | Document ID
企业信息化的一级安全域划分
公共区
不在中国移动直接控制范围内的区域。
包括外界的各种访问设备和用户资源，从外部对中国移动信息化系统进行访问并要求服务。
半安全区
安全区
核心安全区
位于中国移动信息化系统控制范围内，是公共区与安全区之间的“过渡”区域。
包括所有能被非信任来源直接访问并提供服务的系统和设备。
位于中国移动信息化系统控制范围内，是安全控制和保护级别较高的区域。
包括中国移动信息化系统内部用户终端和一些重要程度不高且经常使用的服务器。
位于中国移动信息化系统控制范围内，是安全控制和保护级别最高的区域。
包括中国移动信息化系统重要的应用服务器、数据库服务器、管理控制台和服务器。
Presentation Title | Confidential | Document ID
企业信息化一级安全域的安全措施
公共区
半安全区
安全区
核心安全区
外部防火墙
防毒网关
代理服务
外部域名
…
防毒服务器
流量监控
文件服务
加密服务
…
访问控制
系统管理
入侵检测
日志服务
…
外界访问
互联网
拨号
专线
外边界
内边界
核心边界
Presentation Title | Confidential | Document ID
二级安全域的划分－应用系统分类
全国互访应用：
如e-learning系统，从全集团的角度向所有中国移动员工提供服务。其用户是集团总部和各省公司信息化系统内部员工，从内部安全区或外部半安全区发起访问。
局部应用：
如OA系统，主要是集团总部和各省公司信息化系统为各自的内部员工提供服务，其用户访问来自各自安全区内的日常办公区，服务器放置在各自核心安全区内的服务器区。如果有互访要求，可以通过各自集团－省公司互联区内的公文网关进行数据传输。
对外应用：
如电子采购系统，用户是中国移动的供应商，信息化系统内部只有发布、更新和维护工作。这类应用的用户终端位于公共区，因此其服务器只能放置在半安全区的DMZ区。如果该服务器的保护级别要求很高，也可以放置在核心安全区，通过DMZ区的应用代理服务器作应用数据转发。
Presentation Title | Confidential | Document ID
二级安全域的划分－集团总部（一）
Presentation Title | Confidential | Document ID
二级安全域的划分－集团总部（二）
Presentation Title | Confidential | Document ID
二级安全域的划分－省公司（一）
Presentation Title | Confidential | Document ID
二级安全域的划分－省公司（二）
Presentation Title | Confidential | Document ID
公共区
两个子区域：
非移动用户接入区
移动用户接入区
公共区的业务数据流
公共区的安全策略
公共区的安全设备需求
Presentation Title | Confidential | Document ID
半安全区
两个子区域：
DMZ区
集团－省公司互联区
DMZ区的业务数据流
DMZ区的安全策略
DMZ区的安全设备需求
集团－省公司互联区的业务数据流
集团－省公司互联区的安全策略
集团－省公司互联区的安全设备需求
Presentation Title | Confidential | Document ID
安全区
三个子区域：
日常办公区
内部系统互联区
省－地市公司互联区
日常办公区的业务数据流
内部系统互联区的业务数据流
省－地市公司互联区的业务数据流
安全区的安全策略
安全的安全设备需求
Presentation Title | Confidential | Document ID
核心安全区
两个子区域：
服务器区
管理区
服务器区的业务数据流
服务器区的安全策略
服务器区的安全设备需求
管理区的业务数据流
管理区的安全策略
管理区的安全设备需求
Presentation Title | Confidential | Document ID
企业信息化系统的威胁等级－威胁分析
公共区：与互联网直接相联，威胁主要是来自外部威胁，包括黑客攻击、病毒扩散等，因此属于非信任区，其受到的威胁等级最高。
半安全区：与非信任区直接相联并接受其访问，也会受到一定的外部威胁和内部威胁，因此属于半信任区，其受到的威胁等级较高。
安全区：非信任区不能直接访问，主要是内部威胁存在，但是有一定的安全控制机制，因此属于信任区，其受到的威胁等级较低。
核心安全区：类似安全区，但是有更加严格的安全控制机制进行管理，属于高度信任区，其受到的威胁等级最低。
Presentation Title | Confidential | Document ID
企业信息化系统的威胁等级－赋值表
内部人员的操作失误、恶意代码和病毒、篡改等
1
核心安全区
恶意代码或病毒、越权或滥用
2
安全区
黑客攻击、恶意代码和病毒、越权或滥用
3
半安全区
严重的黑客攻击、恶意代码和病毒、篡改、泄密
4
公共区
可能带来的威胁
威胁等级
系统名称
Presentation Title | Confidential | Document ID
企业信息化系统的保护等级－指标列表
低
低
低
外部连接用户
低
赋值为1
中
中
中
内部连接用户
中
赋值为2
高
高
高
管理用户
高
赋值为3
可用性
完整性
保密性
用户重要程度
影响程度
指标
信息资产的安全需求
信息资产的价值
指标类型
Presentation Title | Confidential | Document ID
企业信息化系统的保护等级－赋值表
15
3
3
3
3
3
核心安全区
13
3
3
2
2
3
安全区
9
2
2
1
2
2
半安全区
5
1
1
1
1
1
公共区
可用性
完整性
保密性
用户重要程度
影响程度
安全域名称
合计
信息资产的安全需求
信息资产的价值
指标类型
Presentation Title | Confidential | Document ID
企业信息化系统安全域的网络保护
通用网络保护
交换机上的控制
路由器上的控制
防火墙上的控制
Presentation Title | Confidential | Document ID
问答
Presentation Title | Confidential | Document ID
