解决问题的四步骤.doc

《解决问题的四步骤.doc》由会员分享，可在线阅读，更多相关《解决问题的四步骤.doc（27页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、一、 问题识别 ： 所产生的问题： 多达4000万个信用卡账户在一个黑客事件中被 暴露。根据加利福尼亚州普莱森顿市的Javelin Strategy&Research公司的首席分析师James Van Dyke说，单从数字角度看，这很可能是最 大的数据平安破坏事件。其中暴露的账户包括 安2200万个维萨卡账户、 1390万个万事达卡 账户、少量的美国运通卡账户与Discover卡账 户。产生该问题的原因： 人员方面：1、银行与信用卡公司对员工在安 全防范方面的管理与培训不够。 2、银行与信用卡公司内部员工的恶意行为与粗心。 3、由于银行与信用卡公司之前没有经历过这样的 损失，所以导致员工缺乏保

2、护客户数据的财务 动机。 组织方面：1、银行与信用卡公司对其处理方的监管不够严密， 金融机构在某种程度上像是放任了其发生破坏 行为，此外它们对平安要求的规定也很模糊。 2、Cardsystems公司在处理将信用卡资料传给适宜 的银行时，本不应该保存客户的数据，但是 Cardsystems公司存储了成千上万名持卡人的交 易记录，包括姓名、账号、到日期以及平安代码 等。 3、银行与与信用卡公司是有义务确保支付处理方遵 守平安准那么的，并且联邦金融机构检查委员会对 这些金融机构是有执法权的，银行哈支付方必须 每隔36个月向委员会提交一份IT与平安评估报 告，但是，只有当问题或风险出现，必须调查时，

3、委员会才可以调查支付处理公司。 技术方面：维护数据平安的技术较弱而犯罪不断进步的技术 手段。该问题所产生的影响：在Cardsystems公司的破坏事件被披露 之后的很短一段时间内，针对万事达客 户的带有时机主义特点的网络钓鱼欺 诈行为也开场猖獗起来。其方式是：通 过电子邮件提供一个连接，使用户根据 提示点击进入，输入用户名与密码， 诱惑他们核实或更新其账户资料。二、 方案实施：案例中所考虑的一些解决措施人员方面：银行与信用卡公司加强了对内部员工的控制，使得 员工不能访问及其工作不相关的文件、应用程序以及 网络的一些区域。在这个方面，公司可以利用复杂密 码、令牌、智能卡以及生物统计身份认证设备来

4、强化 密码保护，从而建立这些控制。组织方面：银行与信用卡公司开场重视对员工的管理与培训，以 及对客户的教育。技术方面：部署反网络钓鱼软件、使用反网络钓鱼效劳与部署多 层次认证系统。具体在技术方面，将物理磁带的货运 输方式为通过平安告诉的网络传输方式所取代。其他方面：?萨班斯奥克斯利法案?生效后，上市公司必须保证法律方面其经过审计人员确认过的财务记录的准确性。遵守该 法案，就要证明含有财务报告的个人受到处分。数据 平安专家布鲁斯认为，政府应该将这一模式应用于个人 数据平安方面，如果公司丧失了一个账户，就应对其处 以罚金。还有一个纽约的民主党参议院建议，让一个 管理身份失窃的办公室将对任何处理敏感

5、个人数据的 组织设立最低平安标准，并且对美欧执行标准的组织 处以罚金。相关案例分析：某市商业银行网络平安解决方案某市商业银行经过多年的建立，已经形成比拟完善的综合网络，整体构造是通过广域网连接的二级网络，在二级网络上运行着银行业务系统、办公自动化系统、代理业务系统等，由于应用系统的复杂化，网络平安体系的建立与网络平安的全面解决方案更是迫在眉睫。根据某市商业银行网络的实际情况，本方案从以下几个方面来解决某市商业银行网络的平安隐患。Internet接入平安中心生产网络的网络平安全网防病毒系统体系办公自动化系统的平安生产前置机平安办公网络及生产网络物理线路共享情况下保证生产网络的平安一、 技术平安手

6、段需求分析1.1、网络现状网络总体构造：图一 网络拓扑构造目前某市商业银行已经建成了以中心网络为一级网络，支行及网点为二级网络的生产网络，同时还并行有一套覆盖到办公大楼、支行、网点的办公自动化系统停可弦？行系统目前处于筹建阶段，在图一中办公网局部没有接入商业银行生产网络，虚线表示当办公自动化需要从生产主机获得帐表信息时，才手工联接两个网络，完成帐表信息导出之后，手工断开两个网络之间的连接。在平安方案中需要在系统部署前统一考虑两个网络连接在一起之后的平安问题。OA效劳器在部署以后未来可能提供远程移动办公支持，移动用户通过远程接入Internet，利用浏览器访问OA效劳器本身提供的Web效劳。OA

7、效劳器本身基于Lotus Notes建立。生产网络是银行网络的最根本应用。某市商业银行生产网络分为3个大的局部：第一局部：中心生产网络核心包括以SNA网络为根底的生产机系统，以两台RS9000作为生产系统，且互相备份。所有对生产主机的访问均通过前置机群完成。第二局部：外联单位。外联单位是主要涉及到商业银行及银联之间的结算等业务，企业通过各种多样的方式接入商业银行网络，第三局部：支行及网点。某市商业银行目前有多个网点与支行。通过DDN接入中心网络。同时采用PSTN作为备份线路。由于目前办公网络虽然在逻辑上独立于生产网络，但是办公网络在物理线路上及生产网络共享，因此生产网络需要考虑来自办公网络的平

8、安威胁。1.2、办公网络平安技术需求分析办公自动化系统是基于Unix平台的办公自动化系统，某市商业银行初步拟定采用Lotus Notes作为办公自动化的开发及运行平台，利用Lotus Notes自身提供的邮件效劳功能，对办公自动化系统的用户提供内部办公自动化效劳，同时利用Lotus Notes系统自身提供的Web效劳功能，由于管理的需要，办公系统要定期从生产主机上提取数据进展统计分析生成报表。其中，信贷业务、帐务查询数据要传往办公网上的效劳器，数据在这两个网段上经过加工，供其他系统查询。因此，办公网要保持及生产网的连接，同时生产主机也要为其提供相应的效劳。在办公网上还运行着许多及生产网无关的主

9、机与工作站，结果造成生产网上的主机暴露于这些主机与工作站的直接访问之下，从而造成系统的平安隐患。办公自动化系统的平安技术需求如下：编号目标需求内容1. 办公自动化效劳器自身平安保证办公自动化系统的根底运行平台Unix操作系统的平安2. 办公自动化系统平台自身平安保证办公自动化系统的根底开发运行平台Lotus Notes系统的平安3. 办公自动化系统自身平安保证基于Lotus Notes开发的办公自动化系统本身平安4. 远程移动办公平安保证远程移动办公用户能够平安可靠的使用本系统5. 防病毒体系针对办公自动化系统覆盖面广，终端以Windows系统为主体的特点，需要建立全网统一的防病毒体系6. 实

10、时网络入侵检测对内部办公自动化系统进展分布式入侵行为的实时检测，并实施统一集中管理表一 办公自动化系统的平安需求 1.3、生产网络平安技术需求分析某市商业银行生产网络是典型的银行生产系统，以大型Unix主机为核心，采用SNA网络；前置机围绕大型Unix主机，负责将外围IP网络或其他网络转换到SNA网络中。商业银行及传统银行多级网络的区别在于某市商业银行生产网络为二级网络，在支行、网点等的业务连接到中心，必须通过前置机访问中心网络，在支行、网点不存在二级的前置机直接访问核心网络。目前商业银行的生产网络在中心节点及二级节点之间的没有采用加密传输与认证机制。生产网络平安技术需求如下：编号目标需求内容

11、1. 生产机的平安保证生产系统主机的平安2. 前置机的平安保证前置机的平安3. 网络传输平安保证生产网络传输的平安4. 系统审计建立网络平安审计及系统审计机制5. 实时网络入侵检测对生产网络进展分布式入侵行为的实时检测，并实施统一集中管理表二 生产网络平安技术需求表1.4、网络互联平安某市商业银行网络互联平安分为三局部：第一局部：及外部网络的互联平安。某市商业银行网络及移动、银联系统、人行、医保与社保、电信等系统需要进展网络互联，这局部网络互联的需求如下：编号目标需求内容1. 访问控制保证指定用户访问指定前置机2. 过滤机制过滤及前置机业务无关访问3. 地址转化保证前置机及外部网络之间彼此隔离

12、表三 及外部网络的互联平安需求第二局部：内部办公网及生产网之间的互联平安。内部办公网及生产网之间共享物理线路，两个网络物理上彼此互联，这两个网互联的平安需求如下：编号目标需求内容1. 保证各自网络的平安边界即办公网络的平安事故不能影响生产网络的正常运行2. 保证网络的逻辑隔离即从办公网络内部不能危害生产网络3. 保证网络效劳质量即保证生产网络在现有带宽需求中的效劳质量，办公网络的应用带宽需求不应影响生产网络正常有序工作表四 内部办公网及生产网之间互联的平安需求第三局部：及公共 系统的互联平安。为了网上银行系统能够满足企业用户的需求，因此网上银行系统需要及公共 连接，同时某市商业银行的信息网络建

13、立规划中包括了通过Internet提供网上银行业务，对网上银行系统的互联平安需求如下：编号目标需求内容1. 拨号访问路由接入的访问控制对来自公共 网络的访问进展控制，对匿名用户的访问资源进展控制2. 网上银行应用效劳器的平安保证应用效劳器运行的操作系统平台平安3. 网上银行应用效劳系统的平安保证应用效劳的自身平安4. 实时网络入侵检测对针对网上银行前置业务的攻击进展入侵行为的实时检测，并实施统一集中管理表五 网上银行的互联平安需求表二、针对平安风险的技术解决手段2.1、防火墙技术防火墙可以作为不同网络或网络平安域之间信息的出入口，将内部网与公众网如Internet分开，它能根据企业的平安策略控

14、制出入网络的信息流，且本身具有较强的抗攻击能力。在逻辑上，防火墙是一个别离器，一个限制器，也是一个分析器，有效地监控了内部网与Internet之间的任何活动，保证了内部网络的平安。防火墙技术可以有效控制的风险包括：利用Finger来开掘用户信息l利用TCP/IP指纹识别确定操作系统类型l利用Telnet旗标确定操作系统类型l利用效劳的旗标信息确定效劳类型l用专用工具进展效劳类型探测l对效劳器进展端口扫描l利用Unix的FTP效劳漏洞SITEl EXEC漏洞利用Unix的FTP效劳漏洞setproctitle()漏洞l利用Bind效劳漏洞l利用Telnet效劳漏洞l利用后门及木马ll利用send

15、mail效劳漏洞l利用lpd效劳漏洞l利用NFS效劳漏洞l利用X-windows效劳漏洞l绑定Shell端口l利用IPC$列举用户名l从AD上查找前置机主机lWindowsl RPC DCOM远程溢出MS026Windows RPCl DCOM远程溢出MS039网络蠕虫堵塞整个网络，影响生产网络l利用前置机群及生产主机之间的信任关系攻击生产网络核心l利用办公自动化效劳器及前置机群或生产主机之间的信任关系攻击生产网络l蠕虫影响办公网内部Window平台l蠕虫影响办公网内部邮件系统l办公网应用形式较为丰富，因此对网络带宽消耗可能造成生产网的数据通信带宽缺乏，从而导致生产网不畅通二级网点或支行及中心

16、连接没有必要的访问控制与边界控制手段，因此来自二级网点或支行局域网的用户可能威胁办公自动化系统与中心生产系统应用防火墙技术之后，有效的控制了上述风险的同时，可以简化管理，同时本节提出的防火墙技术可以降低管理员的负担，提供更多更灵活的选择。2.2、网络防病毒体系计算机病毒感染所造成的威胁以及破坏是目前广阔计算机用户所面临的主要问题。本方案采用网络防病毒体系，要求网络防病毒体系应针对整个网络或是单一的工作站都能进展有效保护的防病毒解决方案。可以对Windows 2000/NT/95/98/3.x，以及DOS与Macintosh,Novell NetWare，Linux与UNIX等操作系统提供保护，

17、作为一个一体化的网络防病毒解决方案，应具备特征代码检查方式与基于规那么的变态分析器病毒扫描程序，从而检测到病毒。防病毒引擎可以从多个侧面与途径防止计算机病毒侵入系统，保护整个企业IT系统的平安，具有强大的功能与优秀的可管理性。应用网络防病毒体系构造之后，可控制网络蠕虫堵塞整个网络，影响生产网络、病毒威胁桌面PC等风险：应用了网络防病毒技术之后，可以从三个层面有效防范病毒的传播与蔓延：Internet下载l软盘与光盘传播l邮件传播l2.3、网络入侵检测技术应用入侵检测的网络监测功能、攻击行为检查、高速流量捕获、策略响应、防火墙联动、关联事件分析等技术要素，可实现如下风险的控制：利用Lotusl

18、Notes的Web效劳器漏洞Lotus Notes口令认证可被绕过利用Lotus Notes的Web效劳器漏洞Lotusl Notes配置信息被远程读取利用Unix的FTP效劳漏洞SITEl EXEC漏洞利用Unix的FTP效劳漏洞setproctitle()漏洞l利用Bind效劳漏洞l利用Telnet效劳漏洞l利用后门及木马ll利用sendmail效劳漏洞l利用lpd效劳漏洞l利用NFS效劳漏洞l利用X-windows效劳漏洞lWindowsl RPC DCOM远程溢出MS026Windows RPCl DCOM远程溢出MS039TCP登录会话劫持发送一个伪造的报告到telnet/login

19、/shl安装木马l应用网络入侵检测技术之后不仅有效控制了上述风险，同时入侵检测要求如自身平安性、抗IDS逃避、抗事件风暴等技术要素，有效防止了入侵检测自身引入的新的风险，同时分级管理、多用户权限、分布式部署的要求大大降低了管理员的负担。2.4、基于X.509证书的身份认证技术及SSL技术针对某市商业银行办公自动化系统远程移动办公平安认证技术，本方案采用X509证书协议，为远程移动办公的身份认证提供根底保障。同时采用SSL技术实现了远程移动办公用户及办公自动化效劳器之间的通信平安，在SSL中，利用如下平安机制保证认证信息不被篡改与伪造：通过SSL协议完成客户端浏览器与效劳器之间的双向身份认证。l

20、客户端数字证书与个人私钥存储在外部介质如USB-key中。l由统一的用户管理中心中心为客户端与效劳器分发的密钥对，其密钥长度1024bit。认证过程中使用证书撤消列表验证证书有效状态。l应用证书身份认证及SSL技术以后控制的风险如下：内部命名标准情况下暴力破解口令l利用内部名单搜寻登录办公自动化系统的授权用户l利用公开的默认口令尝试办公自动化系统l获取内部公文l获取帐表系统报表数据l获取内部通讯录l篡改公文内容l网络窃听，获得更多播送信息l窃听以明文方式传输的用户名与密码l匿名用户利用WebSphare的Web效劳缺陷远程获取敏感信息l匿名用户利用WebSphare的Web效劳缺陷远程绕过We

21、bSphare的根本认证l缺乏有效的身份认证手段识别远程企业用户与匿名用户l企业用户远程交易时数据传输缺乏加密保证l2.5、网络平安审计技术本方案采用网络平安审计技术，主要针对使用互联网访问非法站点，传递与发布非法信息，内部网络中的资源滥用，内部商业信息泄漏等等问题。对被监控网络中的Internet使用情况进展监控，对各种网络违规行为实时报告，甚至对某些特定的违规主机进展封锁，以帮助网络管理员对网络信息资源进展有效的管理与维护。应用网络平安审计技术以后可以控制的风险包括：Internet资源被滥用l获取内部公文l获取帐表系统报表数据l获取内部通讯录l获取口令文件的shadow，破解系统管理员口

22、令l2.6、VPN技术针对某市商业银行保证生产网络、办公网以及通信机密性的需求，方案规划系统采用VPN技术解决方案。应用VPN技术以后可以控制的风险包括：窃听以明文方式传输的用户名与密码l网络窃听，获得更多播送信息lTCP登录会话劫持发送一个伪造的报告到telnet/login/shlTCP登录会话劫持从已存在的telnet/login/sh中窃听TCP报文序号l获取下属支行或网点的业务数据l获取业务数据中的敏感信息：如卡号、口令等l网络窃听，获得更多播送信息：如前置主机群内别的业务系统数据l在办公网通过修改IP进入生产网l在办公网内通过网络窃听可以随意窃听整个局域网内的所有数据，包括生产网及办公网的数据l三、产品解决方案本文只给出总体部署，详细的平安产品选型及实际部署情况等略。图 总体部署第 27 页