《数字能源、数字环保信息安全整体解决方案.doc》由会员分享，可在线阅读，更多相关《数字能源、数字环保信息安全整体解决方案.doc（44页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、数字能源、数字环保信息安全整体解决方案（初稿）目录一、背景与目标41.1、建设背景41.2、需求与问题51.2.1、资产分析赋值51.2.2、应用层面安全61.2.2.1、等级保护建设规范61.2.2.2、应用层面临安全风险61.2.3、网络层面安全81.2.3.1、等级保护建设规范81.2.3.2、网络层面临安全风险91.2.4、主机层面安全101.2.4.1、等级保护建设规范101.2.4.2、主机层面临安全风险111.2.5、物理层面安全111.2.5.1、等级保护建设规范111.2.5.2、物理层面临安全风险121.2.6、安全管理层面121.2.6.1、等级保护建设规范121.2.6
2、.2、管理过程存在的问题141.3、建设目标与意义14二、系统设计思路与原则142.1、建设思路142.2、建设原则15三、系统建设内容163.1、资产风险评估163.2、风险处置加固173.2.1、威胁性处置加固173.2.1.1、恶意网址过滤173.2.1.2、病毒检测防范183.2.1.3、僵尸网络隔离183.2.1.4、DLP数据防泄漏193.2.1.5、防止非授权访问193.2.1.6、无线热点发现203.2.1.7、细粒度网络审计203.2.1.8、远程访问传输加密213.2.2、脆弱性处置加固213.2.2.1、网络设备安全配置基线213.2.2.2、操作系统安全配置基线223.
3、2.2.3、数据库系统安全配置基线243.3、安全管理363.3.1、安全集成参考363.3.2、安全制度参考363.3.3、安全运维参考37四、实施策略与关键技术404.1、深度内容解析404.2、双向内容检测技术404.3、分离平面设计414.4、单次解析架构424.5、多核并行处理42五、实施步骤与进度安排435.1、环境调研阶段435.2、信息资产确认阶段435.3、实施方案编写与确认阶段435.4、安全评估与安全防护施行阶段435.5、项目运维知识培训阶段445.6、验收报告编写与项目验收总结阶段44六、方案优势446.1、专业的CTI中心、完善的用户档案系统446.2、ISO900
4、1售后质量管理体系446.3、十年值得品牌信赖456.4、专业功防团队45一、背景与目标1.1、建设背景xx市是一座新兴工业城市，形成了以钢铁、新能源和新材料三大产业为支柱的多元化发展格局，并呈现集约化发展的良好态势。2012年xx市全年生产总值(GDP)830.32亿元，比上年增长10.3%，其中，工业增加值467.46亿元，占生产总值的56.3%，新能源、钢铁、新材料三大支柱产业实现增加值212.35亿元，占规模以上工业的72.88%。 随着经济的增长，带来能源消耗持续增加，2010年xx市全社会共计消耗能源980.17 万吨标煤（其中电力消费97.6亿度），“十一五”期间年均增长10.6
5、7%。xx市规模以上工业企业近280户，年耗能5000吨以上重点用能单位数量为20户，工业能耗904.44万吨标煤，占全社会能耗的92.27%。万元GDP 能耗2.66吨标煤，是全国平均水平的3.5倍。化石能源燃烧排放的二氧化碳为2597.5万吨，人均碳排放量22.7吨，分别是全国和全省的3.70、5.84倍，化学需氧量排放量24570.1吨，二氧化硫排放量为62667.85吨，氨氮排放量为2738.27吨，氮氧化物排放量34016.3吨，二氧化硫、烟（粉）尘等污染物90%来自工业。2010 年工业增加值360.11亿元，新能源、钢铁、新材料三大支柱产业实现增加值280.95 亿元，占规模以上
6、工业的77.3%。xx市作为国家第三批资源枯竭城市，节能减排任务十分艰巨，xx市政府采取了一系列举措，2011年xx市被列为全国节能减排财政政策综合示范城市之一，2012年，xx市发布关于加快推进智慧xx建设的意见，主要目标是充分整合信息化资源，推进跨部门的信息化共享和协同。文件中提出根据城市发展和社会民生需求，有计划、分步骤的组织实施智慧xx建设12项重点工程，其中数字环保和数字能源两个重点工程指出建设环境保护、排放管理等一体化的城市智能环保管理平台和市能源监测管理中心。通过对全市重点企业的能耗和污染物排放、城市照明能耗、公共建筑的能耗、新能源和可再生能源项目、城市环境数据、交通能耗进行实时
7、监测，xx市能源监测管理中心建设方案使市委、市政府领导能总览全市能源环境概况，掌握全市节能改造、环境治理、新能源与可再生等项目动态、成果，科学提高政府节能减排管理水平，为实现管理节能和技术节能提供数据支撑。随着数字环保和数字能源平台项目建设提速，“安全”越来越成为一块迫切需要巩固和加强的内容。信息安全不仅关系到数字环保和数字能源平台的稳健运行，更关乎到整体平台的行的安全可靠。基于这样的背景，本项目将于2013年开始启动。1.2、需求与问题1.2.1、资产分析赋值信息：信息是一种资产，像其他重要的业务资产一样，对组织具有价值，因此需要妥善保护。信息安全：信息安全主要指信息的保密性、完整性和可用性
8、的保持；即指通过采用计算机软硬件技术、网络技术、密钥技术等安全技术和各种组织管理措施，来保护信息在其生命周期内的产生、传输、交换、处理和存储的各个环节中，信息的保密性、完整性和可用性不被破坏。通过信息资产汇总分析与并给与资产安全等级赋值，有助于xx数字能源、数字环保整体平台信息安全体系规划、周期性风险评估工作展开。1.2.2、应用层面安全1.2.2.1、等级保护建设规范参照GB/T 22239-2008标准明确要求，应用安全主要从身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等9个方面进行技术要求，以下为应用安全的要求部分截取摘要。（1）、身份鉴
9、别本项要求包括： a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别； b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； GB/T 22239200821 c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； d) 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； e) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。（2）、访问控制本项要求包括： a) 应提供访问控制功能，依据安全策略控制用户对文件、数据库表
10、等客体的访问； b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c) 应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限； d) 应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。 e) 应具有对重要信息资源设置敏感标记的功能； f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；1.2.2.2、应用层面临安全风险随着基于B/S架构业务（电子商务、电子政务等）系统越来越被普及使用，给广大的普通老百姓用户带来极大的便利，不出门即可买到心意的商品，轻松点击便可了解天下传闻；由于电子交易过程庞大的金钱利益诱惑，基于B/S的
11、应用系统也越来越遭受黑客的恶意攻击，根据OWASP研究报告分析，应用层面临安全风险如下：1.2.3、网络层面安全1.2.3.1、等级保护建设规范参照GB/T 22239-2008明确要求，网络安全主要从结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等7个方面进行技术要求，以下为网络安全的要求部分截取摘要。（1）、结构安全本项要求包括： a) 应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； b) 应保证网络各个部分的带宽满足业务高峰期需要； c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； d) 应绘制与当前运行情况相符的
12、网络拓扑结构图； e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； g) 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。（2）、访问控制本项要求包括： a) 应在网络边界部署访问控制设备，启用访问控制功能； b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； c) 应对进出网络的信息内容进行过滤，实现对应用层 HTT
13、P、FTP、TELNET、SMTP、POP3等协议命令级的控制； d) 应在会话处于非活跃一定时间或会话结束后终止网络连接； e) 应限制网络最大流量数及网络连接数； f) 重要网段应采取技术手段防止地址欺骗； g) 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户； h) 应限制具有拨号访问权限的用户数量。(3)、安全审计本项要求包括： a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b) 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c) 应能够根据记录数据进行分析，并生成审
14、计报表； d) 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。1.2.3.2、网络层面临安全风险 网络病毒泛滥问题随着互联网在人类社会活动中的全面普及，人们越来越频繁的通过网络传递和存储重要信息和资料。据来自权威安全研究机构的调查统计，互联网中的网页浏览和文件下载已经成为各种计算机病毒和木马传播的主要途径，但传统的网关产品却无法提供病毒过滤和防护能力。因此，人们需要一种能主动防护病毒的设备，从而为网络使用者营造安全的上网环境。 机密信息泄露问题随着网络技术的发展，人们可以随意在网络中利用文件(FTP、Email、TFTP 等)、文字(BBS、QQ、MSN、UC聊天等)、语音(QQ、
15、UC、MSN 语聊等)、视频(QQ、UC、MSN 视频等)等多种方式进行沟通。这些通讯手段方便了人们的交流与协作，但如果不加以管理，它们也将成为信息泄密的工具和途径。传统网关设备（如路由器、防火墙、UTM 等）无法对网络中传输的数据内容进行深度分析，更无法对这些内容进行记录和过滤。这导致用户无法有效阻止机密信息和资料通过网络外泄，且一旦出现信息泄密事件，用户也无法获得维护自身权益所必须的有效证据。 网络钓鱼攻击问题“网络钓鱼”攻击利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内 容。诈骗者通常会将自己伪装成知名银行
16、、在线零售商和信用卡公司等可信的品牌，在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。 非授权访问问题没有预先经过同意，就使用网络或计算机资源被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。 僵尸网络问题僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。 攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被
17、感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。之所以用僵尸网络这个名字，是为了更形象的让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。1.2.4、主机层面安全1.2.4.1、等级保护建设规范参照GB/T 22239-2008标准明确要求，网络安全主要从结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等7个方面进行技术要求，以下为网络安全的要求部分截取摘要。（1）、结构安全本项要求包括： a) 应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； b) 应
18、保证网络各个部分的带宽满足业务高峰期需要； c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； d) 应绘制与当前运行情况相符的网络拓扑结构图； e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； g) 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。（2）、访问控制本项要求包括： a) 应在网络边界部署访问控制设备，启用访问控制功能；
19、b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； c) 应对进出网络的信息内容进行过滤，实现对应用层 HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制； d) 应在会话处于非活跃一定时间或会话结束后终止网络连接； e) 应限制网络最大流量数及网络连接数； f) 重要网段应采取技术手段防止地址欺骗； g) 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户； i) 应限制具有拨号访问权限的用户数量。(3)、安全审计本项要求包括： a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志
20、记录； b) 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c) 应能够根据记录数据进行分析，并生成审计报表； d) 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。1.2.4.2、主机层面临安全风险 系统弱口令弱口令安全是完全可以防止的，系统管理员为了方便记忆，设置一些简单的口令，如域名，名字，QQ等，这些信息又是可以从whois中又可以获取的，被黑的记录基本上是99%。 用户账户的安全性规则Solaris和Irix等Unix系统中，除去超级用户外，还存在如lp、sys、adm、nobody等管理帐户。虽然它们没有超级用户的特权，但同 样应
21、受到保护，因为这些帐户的系统进程可以控制基本的系统功能，如电子邮件、关系数据库访问、打印等。这些管理帐户内的任何一个遭到攻击，都可能导致相应 子系统中的文件被大规模地暴露和损坏。例如，lp帐户所受的破坏可能会造成攻击者对打印子系统获得完全控制，从而使黑客能够任意地修改打印输出的内容。 不必要的网络服务所谓不必要的网络访问服务是指实现主机系统网络服务功能所不需要运行的服务。对于Web主机而言，很多网络访问服务在操作系统安装时就被缺省配置，其所对 应的TCP/UDP端口也对外打开，如非常危险的finger服务和它对应的79号TCP端口。通过对网站的端口扫描，可以发现很多系统管理员对外提供了 或多或
22、少的不必要的网络访问服务。而从系统内部审核不必要网络访问服务的方法是禁止不必要的网络访问服务的最有效手段之一。 1.2.5、物理层面安全1.2.5.1、等级保护建设规范参照GB/T 22239-2008标准要求，物理安全主要从物理位置的选择、物理访问控制、防盗窃防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等十个方面进行评测，以下为物理安全的要求部分截取摘要。（1）、物理位置的选择本项要求包括： a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。（2）、物理访问控制本项要求包括：
23、a) 机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b) 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c) 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域； d) 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。（3）、防盗窃防破坏本项要求包括： a) 应将主要设备放置在机房内； b) 应将设备或主要部件进行固定，并设置明显的不易除去的标记； c) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d) 应对介质分类标识，存储在介质库或档案室中； e) 应利用光、电等技术设置机房防盗报警系统； f) 应对机
24、房设置监控报警系统。1.2.5.2、物理层面临安全风险1.2.6、安全管理层面1.2.6.1、等级保护建设规范 安全管理制度按照国内等级保护条例，目前等级保护一共分为5个等级，每个等级参照GB/T 22239-2008标准都有明确的要求，等级保护基本要求分为技术与管理两大块，管理部分分为安全管理制度、安全管理机构、人员安全管理、系统建设与管理及系统运维管理，以下为安全管理制度要求部分截取摘要。（1）、管理制度本项要求包括： a) 应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等； b) 应对安全管理活动中的各类管理内容建立安全管理制度； c) 应对要求
25、管理人员或操作人员执行的日常管理操作建立操作规程；d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。（2）、制定与发布本项要求包括： a) 应指定或授权专门的部门或人员负责安全管理制度的制定； b) 安全管理制度应具有统一的格式，并进行版本控制； c) 应组织相关人员对制定的安全管理制度进行论证和审定； d) 安全管理制度应通过正式、有效的方式发布； e) 安全管理制度应注明发布范围，并对收发文进行登记。（3）、评审与修订本项要求包括： a) 信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定； b) 应定期或不定期对安全管理
26、制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。 安全管理机构按照国内等级保护条例，目前等级保护一共分为5个等级，每个等级参照GB/T 22239-2008标准都有明确的要求，等级保护基本要求分为技术与管理两大块，管理部分分为安全管理制度、安全管理机构、人员安全管理、系统建设与管理及系统运维管理，以下为安全管理机构要求部分截取摘要。（1）、岗位设置本项要求包括： a) 应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； b) 应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责； c) 应成立指导和管理信息安
27、全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权； d) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。（2）、人员配备本项要求包括： a) 应配备一定数量的系统管理员、网络管理员、安全管理员等； b) 应配备专职安全管理员，不可兼任； c) 关键事务岗位应配备多人共同管理。1.2.6.2、管理过程存在的问题 1制度建设方面对介质管理、日常检查管理规范还存在不足，需要进一步完善。直属单位对应急预案演练管理不到位。 2运维安全。一是账号及密码管理策略落实不到位，服务器、数据库、网络设备和安全设备等均不同程度存在账号访问控制不严、未实现权限分离、使用默认账号、口令简单
28、和未定期更换等现象。二是对外包运维厂商的监管力度和手段不足，外包运维厂商在对系统进行操作时存在未严格遵守相关规章制度情况。三是CA数字证书应用不广，对登录用户身份鉴别措施简单无法保证信息传输保密性。四是流程建设滞后、痕迹化要求不到位，机房出入记录不完整，存在记录缺失情况。五是部分主机未做好运行状态监控。 3系统建设。软件开发项目建设过程控制不足，应用系统上线前未进行第三方安全测试，无法降低系统因设计缺陷导致的安全风险。1.3、建设目标与意义本项目首先通过对信息资产并进行全面风险评估，了解xx数字环保与数字能源平台信息系统的基本安全现状，发现系统的安全问题及其可能的危害，为做好业务系统的安全加固
29、和维护工作做好基础准备；分析网络信息系统的安全需求，找出目前的安全策略和实际需求的差距，为xx数字环保与数字能源平台选择正确的安全解决方案、确定有效的安全措施、选择可靠的安全产品提供充分的依据；构建全面的信息安全管理体系（ISMS），制定严谨的网络安全策略和安全基线，为建立全面的安全防护层次提供一套完整、规范的指导模型。同时，对安全运维和日常安全事件的管理起到协助和指导的作用。二、系统设计思路与原则2.1、建设思路PDCA循环是信息安全工作中的一个重要模型，它是全面信息安全管理所应遵循的科学程序。全面信息安全管理活动的全部过程，就是信息安全计划的制订和组织实现的过程，这个过程就是按照PDCA循
30、环，不停顿地周而复始地运转。 PDCA循环是能使任何一项活动有效进行的一种合乎逻辑的工作程序，特别是在信息安全管理中得到了广泛的应用。P、D、C、A四个英文字母所代表的意义如下：1、 P（Plan）计划。包括方针和目标的确定以及活动计划的制定； 2、 D（DO）执行。执行就是具体运作，实现计划中的内容； 3、 C（Check）检查。就是要总结执行计划的结果，分清哪些对了，哪些错了，明确效果，找出问题； 4、A（Action）行动（或处理）。对总结检查的结果进行处理，成功的经验加以肯定，并予以制定固定方法，便于以后工作时遵循；对于失败的教训也要总结，以免重现。对于没有解决的问题，应提给下一个PD
31、CA循环中去解决。 PDCA循环就是按照这样的顺序进行信息安全管理，并且循环不止地进行下去的科学程序。 全面信息安全管理活动的运转，离不开管理循环的转动，这就是说，改进与解决信息安全问题，赶超先进水平的各项工作，都要运用PDCA循环的科学程序。提高信息安全管理水平，需要先提出目标，即信息安全提高到什么程度，要有个计划；这个计划不仅包括目标，而且也包括实现这个目标需要采取的措施；计划制定之后，就要按照计划进行检查，看是否达实现了预期效果，有没有达到预期的目标；通过检查找出问题和原因；最后就要进行处理，将经验和教训制订成标准、形成制度。2.2、建设原则u 标准性原则整个信息安全项目建设过程遵循国际
32、和国内的多项标准，包括ISO27001，ISO13335，ISO15408/GB18336，SSE-CMM，SP 800-30，CVE，PMI项目管理规范，信息安全等级保护管理办法等；u 行业性原则财政部、国家发改委关于xx市节能减排财政政策综合示范实施方案的批复（财建201232号） 关于开展节能减排财政政策综合示范工作的通知（财建2011383号） xx市国民经济和社会发展第十二个五年规划纲要（2011年1月26日，xx市第七届人民代表大会第八次会议通过）关于加快推进智慧xx建设的意见（余发201231号）xx市“十二五”节能减排综合性工作方案（余府发20126号）u 规范性原则在服务工作
33、中的过程和文档，严格遵循深信服的内部规范：深信服安全服务项目管理规范、深信服信息安全服务规范；u 可控性原则进行项目实施时，深信服公司将从用户信誉、成功经验、人员水平、工具可控性、项目过程可控性多个角度保证整个项目过程和结果的可控性；u 整体性原则项目实施中，深信服公司将从国际标准、深信服规范、BDH需求分析和深信服长期的实施经验等多个角度保证整体全面，包括安全涉及的各个层面，避免遗漏；u 最小影响原则深信服会从项目管理层面和工具技术层面，将可能影响降低到最低限度，包括安全服务设计蓝图、资产单元风险规避的个性化、工具最小影响措施，以及和客户充分的沟通机制；三、系统建设内容3.1、资产风险评估风
34、险评估模块策略智能联动深信服NGAF支持风险评估模块，可以主动探测目标IP，进行端口、服务扫描，及时发现业务风险；例如， ftp、mysql、oracle、mssql、ssh、RDP、网上邻居NetBIOS、VNC等多种应用的弱口令及溢出漏洞；sql注入、XSS跨站脚本、目录遍历、敏感信息泄露、命令执行等应用层安全漏洞。风险评估结果可实现与IPS、服务器防护模块的智能联动，自动生成策略，让APT防护更加高效全面。3.2、风险处置加固3.2.1、威胁性处置加固3.2.1.1、恶意网址过滤NGAF同步Google每日可发现9500个新的恶意网址深信服NGAF内置了庞大的恶意网址库，并且实时更新，当
35、内网用户访问恶意网站，将被提前告知，并实时预警拦截，让“好奇害死猫”流血信息安全事件不再重演。3.2.1.2、病毒检测防范深信服NGAF防病毒采用先进流引擎查毒技术，针对HTTP、FTP、SMTP、POP3等协议进行查杀；能实时查杀大量文件型、网络型和混合型等各类病毒；并采用新一代虚拟脱壳和行为判断技术，准确查杀各种变种病毒、未知病毒；内置10万条以上的病毒库，并且可以自动或者手动升级。3.2.1.3、僵尸网络隔离深信服NGAF融合了僵尸网络识别库，利用业界领先的僵尸网络识别检测技术对黑客的攻击行为进行有效识别，针对以反弹式木马为代表的恶意软件进行深度防护，目前有15万条规则，并实时予以更新。
36、同时，深信服NGAF正在完善安全云平台，部署在全球各地的深信服下一代防火墙设备可以自动或手动上传可疑的应用流量到安全云平台，平台会自动分析，形成新的恶意软件识别策略下发到全球所有设备的规则库上。3.2.1.4、DLP数据防泄漏深信服NGAF内置常见敏感信息的特征库，如身份证、MD5、手机号码、银行卡号、邮箱等，且可以灵活根据敏感信息特征自定义策略规则；支持http响应报文中非法敏感信息的外泄检测；支持数据库文件敏感信息检测，防止数据库文件被“拖库”、“暴库”。3.2.1.5、防止非授权访问在黑客攻击渗透过程中，利用肉鸡对攻击目标进行账户/口令暴力猜解或者数据监听，获取合法账户/口令后可以绕过一
37、切安全防护设备进行合法登陆，这些都是黑客攻击过程中的惯用思路，深信服NGAF提供用户登录防护功能，对WEB登陆方式、非WEB登陆方式(telnet、irc、ldap、mysql、pop3、RDP等)进行强化保护，提供登陆前短信动态口令认证功能，黑客即使成功获取管理员账户口令，因无法获取动态验证口令，也无法完成对目标系统的访问，从而杜绝账户盗用、非授权访问等风险。3.2.1.6、无线热点发现发现并过滤内网中的非法无线热点和非法移动终端，禁止无线热点共享上网，造成管理漏洞。3.2.1.7、细粒度网络审计用户、IP地址、链接、网站类别、时间、网页标题，并支持网页快照，网页内容直观显示3.2.1.8、
38、远程访问传输加密3.2.2、脆弱性处置加固3.2.2.1、网络设备安全配置基线编号：安全要求-设备-通用-配置-可选要求内容限制具备管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到管理员权限账号后执行相应操作。操作指南1参考配置操作Router# config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)# service password-encryptionRouter(config)# username normaluser password
39、3d-zirc0niaRouter(config)# username normaluser privilege 1Router(config)# line vty 0 4 Router(config-line)# login localRouter(config-line)# exec-timeout 5 0Router(config-line)# end2补充操作说明设定账号密码加密保存创建normaluser账号并指定权限级别为1；设定远程登录启用路由器账号验证；设定超时时间为5分钟；3.2.2.2、操作系统安全配置基线操作系统安全配置基线以windows 2003做示例（1）、补丁安装
40、（2）、账户、口令策略修改（3）、网络与服务加固（5）、文件系统加固3.2.2.3、数据库系统安全配置基线账号ORACLE应提供账号管理及认证授权功能，并应满足以下各项要求。编号：安全要求-设备-ORACLE-配置-1-可选要求内容应按照用户分配账号，避免不同用户间共享账号。操作指南1、 参考配置操作create user abc1 identified by password1;create user abc2 identified by password2;建立role，并给role授权，把role赋给不同的用户2、 补充操作说明1、abc1和abc2是两个不同的账号名称，可根据不同用户，
41、取不同的名称；检测方法3、 判定条件不同名称的用户可以连接数据库4、 检测操作connect abc1/password1连接数据库成功5、补充说明编号：安全要求-设备-ORACLE-配置-2-可选要求内容应删除或锁定与数据库运行、维护等工作无关的账号。操作指南1、 参考配置操作alter user username lock;drop user username cascade;2、 补充操作说明检测方法3、 判定条件首先锁定不需要的用户在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除4、检测操作5、补充说明编号：安全要求-设备-ORACLE-配置-3要求内容限制具备数据库超级管
42、理员（SYSDBA）权限的用户远程登录。（导致数据库重起后，无法打开数据库）操作指南1、参考配置操作1. 在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。2. 在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。2、补充操作说明检测方法3、判定条件1. 不能通过Sql*Net远程以SYSDBA用户连接到数据库。2. 在数据库主机上以sqlplus /as sysdba连接到数据库需要输入口令。4、检测操作1. 以Oracle用户登陆到系统中。2.
43、 以sqlplus /as sysdba登陆到sqlplus环境中。3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。Show parameter REMOTE_LOGIN_PASSWORDFILE4. 检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES是否被设置成NONE。5、补充说明编号：安全要求-设备-ORACLE-配置-8要求内容在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。操作指南1、 参考配置
44、操作grant权限to username;revoke 权限from username;2、 补充操作说明用第一条命令给用户赋相应的最小权限用第二条命令收回用户多余的权限检测方法3、 判定条件业务测试正常4、 检测操作业务测试正常5、补充说明编号：安全要求-设备-ORACLE-配置-9要求内容使用数据库角色（ROLE）来管理对象的权限。操作指南1、参考配置操作1. 使用Create Role命令创建角色。2. 使用用Grant命令将相应的系统、对象或Role的权限赋予应用用户。2、补充操作说明检测方法3、判定条件对应用用户不要赋予DBA Role或不必要的权限。4、检测操作1. 以DBA用户登
45、陆到sqlplus中。2. 通过查询dba_role_privs、dba_sys_privs和dba_tab_privs等视图来检查是否使用ROLE来管理对象权限。5、补充说明编号：安全要求-设备-ORACLE-配置-10-可选要求内容对用户的属性进行控制，包括密码策略、资源限制等。操作指南1、参考配置操作可通过下面类似命令来创建profile，并把它赋予一个用户CREATE PROFILE app_user2 LIMIT FAILED_LOGIN_ATTEMPTS 6 PASSWORD_LIFE_TIME 60 PASSWORD_REUSE_TIME 60 PASSWORD_REUSE_MAX 5 PASSWORD_VERIFY_FUNCTION verify_function PASSWORD_LOCK_TIME 1/24 PASSWORD_GRACE_TIME 90;ALTER USER jd PROFILE app_user2;2、补充操作说明检测方法3、判定条件1. 可通过设置profile来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。2. 可通过设置profile来限制数据库账户的CPU资源占用。4、检测操作1. 以DBA用户登陆到sqlplus中。2. 查询视图dba_profiles和d