济宁职业技术学院 信息安全解决方案
北京启明星辰信息技术股份有限公司 Venus Information Technology ( Beijing )
2011年4月
文档说明
本文档内容为济宁职业技术学院信息系统网络安全的建议书，旨在通过本文档为济宁职业技术学院的信息系统提供安全保障的思路和建议。
本文档所涉及到的文字、图表等，仅限于北京启明星辰信息技术股份有限公司及济宁职业技术学院使用，未经同意不得擅自拷贝、传播、复制、泄露或复写本文档的全部或部分内容。
目 录
1
概述........................................................................................................................................... 6 1.1 1.2 2
建设目标 ........................................................................................................................... 6 设计原则 ........................................................................................................................... 7
需求分析 ................................................................................................................................. 10 2.1 物理层安全风险分析 ..................................................................................................... 10 2.1.1 物理设备的脆弱性 ................................................................................................. 10 2.1.2 环境因素的脆弱性分析 ......................................................................................... 11 2.2 网络层安全风险分析 ..................................................................................................... 11 2.2.1 网络的访问控制 ..................................................................................................... 11 2.2.2 内部用户的违规行为 ............................................................................................. 12 2.2.3 网络拓扑结构的安全风险 ..................................................................................... 12 2.2.4 内部网用户带来的安全威胁 ................................................................................. 12 2.2.5 数据库的安全风险 ................................................................................................. 13 2.2.6 网络动态监控 ......................................................................................................... 13 2.2.7 互连设备的安全隐患 ............................................................................................. 14 2.2.8 网络设备的风险分析 ............................................................................................. 14 2.3 系统层的安全风险分析 ................................................................................................. 14 2.3.1 Windows NT/2000/XP的安全问题 ........................................................................ 15 2.3.2 Unix的安全问题 .................................................................................................... 15 2.3.3 主机访问安全脆弱性 ............................................................................................. 16 2.3.4 泄密信息安全控制 ................................................................................................. 16 2.4 应用层安全风险分析 ..................................................................................................... 16 2.4.1 恶意代码 ................................................................................................................. 16 2.4.2 抵赖性 ..................................................................................................................... 17 2.4.3 入侵取证问题 ......................................................................................................... 17 2.4.4 应用系统自身的脆弱性 ......................................................................................... 18 2.5 管理层安全风险分析 ..................................................................................................... 18 2.5.1 误操作 ..................................................................................................................... 18 2.5.2 人为故意 ................................................................................................................. 18 2.5.3 安全意识 ................................................................................................................. 19 2.5.4 管理手段 ................................................................................................................. 19
3 安全保障设计思路 ................................................................................................................. 20 3.1 保障框架 ......................................................................................................................... 20 3.1.1 安全保障总体框架 ................................................................................................. 20 3.1.2 信息风险模型 ......................................................................................................... 21 3.1.3 三观安全体系 ......................................................................................................... 22 3.2 安全保障模型 ................................................................................................................. 23 3.2.1 安全事件处理模型—PDR模型 ............................................................................. 23 3.2.2 信息安全保障体系建设模型—花瓶模型 ............................................................. 24
4 安全解决方案设计 ................................................................................................................. 26 4.1 安全保障体系建设内容 ................................................................................................. 26 4.2 安全域的划分 ................................................................................................................. 27 4.2.1 安全域划分原则 ..................................................................................................... 28 4.3 网络防护子系统建设 ..................................................................................................... 29 4.3.1 网络防护 ................................................................................................................. 29 4.4 网络监控子系统建设 ..................................................................................................... 30 4.4.1 脆弱性监控 ............................................................................................................. 30 4.4.2 内部威胁监控 ......................................................................................................... 31 4.4.3 应用监控 ................................................................................................................. 31 4.5 应用审计子系统建设 ..................................................................................................... 31 4.5.1 网络行为审计 ......................................................................................................... 31 4.5.2 业务行为审计 ......................................................................................................... 32 4.6 安全管理子系统建设 ..................................................................................................... 32 4.6.1 安全管理组织 ......................................................................................................... 33 4.6.2 安全管理策略 ......................................................................................................... 33 4.6.3 安全管理制度 ......................................................................................................... 34
5 信息系统安全部署方案 ......................................................................................................... 35 5.1 5.2
产品部署 ......................................................................................................................... 35 产品选型和报价 ............................................................................................................. 36
6 安全咨询服务 ......................................................................................................................... 37 6.1 安全评估与审计服务 ..................................................................................................... 37 6.1.1 评估范围 ................................................................................................................. 37 6.1.2 评估内容 ................................................................................................................. 38 6.1.3 评估流程 ................................................................................................................. 38 6.1.4 评估方法 ................................................................................................................. 38 6.1.5 评估工具 ................................................................................................................. 46 6.1.6 形成报告 ................................................................................................................. 47 6.2 增强与加固服务 ............................................................................................................. 47 6.2.1 服务描述 ................................................................................................................. 47 6.2.2 服务流程 ................................................................................................................. 48 6.2.3 安全加固服务内容 ................................................................................................. 50
7 方案优势 ................................................................................................................................. 52 7.1 7.2 7.3 7.4
产品优势 ......................................................................................................................... 52 安全技术优势 ................................................................................................................. 52 工程能力优势 ................................................................................................................. 53 案例优势 ......................................................................................................................... 53
8 安全产品指标要求 ................................................................................................................. 56 8.1 8.2 8.3
入侵检测 ......................................................................................................................... 56 网络安全审计 ................................................................................................................. 58 漏洞扫描 ......................................................................................................................... 59
8.4 8.5 WEB安全防护网关 ....................................................................................................... 61 安全服务 ......................................................................................................................... 63
某职业技术学院信息安全解决方案(DOC 63页)[实用全面资料]
