《IT系统整体安全解决方案总结.docx》由会员分享，可在线阅读，更多相关《IT系统整体安全解决方案总结.docx（20页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、IT 系统整体安全解决方案2023-8目录一、信息系统安全的含义3二、信息系统涉及的内容4三、现有信息系统存在的突出问题61、信息系统安全治理问题突出62、缺乏信息化安全意识与对策73、重安全技术，轻安全治理74、系统治理意识淡薄7四、信息系统安全技术及规划81、网络安全技术及规划8（1） 网络加密技术8（2） 防火墙技术、内外网隔离、网络安全域的隔离9（3） 网络地址转换技术10（4） 操作系统安全内核技术11（5） 身份验证技术11（6） 网络防病毒技术11（7） 网络安全检测技术13（8） 安全审计与监控技术13（9） 网络备份技术142、信息安全技术及规划14（1） 鉴别技术14（2）
2、 数据信息加密技术15（3） 数据完整性鉴别技术15（4） 防抵赖技术15（5） 数据存储安全技术16（6） 数据库安全技术16（7） 信息内容审计技术17五、信息系统安全治理171、信息系统安全治理原则18（1） 、多人负责原则18（2） 、任期有限原则18（3） 、职责分别原则192、信息系统安全治理的工作内容19一、信息系统安全的含义信息系统安全包括两方面的含义，一是信息安全，二是网络安全， 涉及到的试信息化过程中被保护信息系统的整体的安全，是信息系统体系性安全的综合。具体来说，信息安全指的是信息的保密性、完整性和可用性的保持；网络安全主要从通信网络层面考虑，指的是使信息的传输和网络的运
3、行能够得到安全的保障，内部和外部的非法攻击得到有效的防范和遏制。信息系统安全概括的讲，依据保护目标的要求和环境的状况，信息网络和信息系统的硬件、软件机器数据需要受到牢靠的保护，通信、访问等操作要得到有效保障和合理的掌握，不受偶然的或者恶意攻击的缘由而患病到破坏、更改、泄漏，系统连续牢靠正常的运行，网络效劳不被中断。信息化安全的保障涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，涉及到安全体系的建设， 安全风险的评估、掌握、治理、策略指定、制度落实、监视审计、持续改进等方面的工作。信息化安全与一般的安全范畴有很多不同的特点，信息化安全有其特别性，首先，信息化安全使不能完全
4、到达但有需要不断追求的状态，所谓的安全是相比照较而言的。其次，信息化安全是一个过程，是前进的方向，不是静止不变的。只有将该过程针对保护目标资源不断的应用于网络和其支撑体系，才可能提高系统的安全性。第三，在信息系统安全中，人始终是一个重要的角色，由于人的动机、素养、品德、责任、心情等因素，在治理、操作、攻击等方面有不同表现， 可能造成信息系统的安全问题。第四，信息系统安全是一个不断应付攻击的循环过程，攻击和防范是循环中交替的冲突性角色。防范攻击的技术、策略和治理并不是一劳永逸的，需要更适应性的进展需求。第五，信息系统安全是需要定期进展风险评估的，风险存在和躲避风险都是不断变化的。信息系统安全涉及
5、的内容既有技术方面的问题，更重要的是治理方面的问题，两方面相互补充，缺一不行。技术方面主要侧重于防范、记录、诊断、审计、分析、追溯各种攻击，治理方面侧重于相应于技术实现实行的人员、流程治理和规章制度。因此，从某种意义上讲， 信息系统安全不仅是技术难题，而且也是治理问题。二、信息系统涉及的内容信息系统安全所涉及到的主要内容包括：系统运行的安全：主要侧重于保证信息处理和通信传输系统的安全。其安全的要求是保证系统正常运行，避开由于系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失，避开物理的担忧全导致运行的不正常或瘫痪，避开由于电磁泄露而产生信息泄漏，干扰他人或受他人干扰。访问权限和系统信
6、息资源保护：对网络中的各种软硬件资源主机、硬盘、文件、数据库、子网等进展访问掌握，防止未授权的用户进展非法访问，访问权限掌握技术包括口令设置、身份识别、路由设置、端口掌握等。系统信息资源保护包括身份认证、用户口令鉴别、用户存取权限掌握、数据库存取权限掌握、安全审计、计算机病毒防治、数据保密、数据备份、灾难恢复等。信息内容安全：侧重与保护信息的保密性、真实性和完整性。避开攻击者利用系统的漏洞进展窃听、冒充、诈骗等有损合法用户的行为。信息内容安全还包括信息传播产生后果的安全、信息过滤等，防止和掌握非法、有害的信息进展传播后的后果。作业和交易的安全：网络中的两个实体之间的信息沟通不被非法窃取、篡改和
7、冒充， 保证信息在通信过程中的真实性、完整性、保密性和不行否认性。作业和交易安全的技术包括数据加密、身份认证。数字签名等，其核心是加密技术的应用。人员和安全的规章制度保障：重大的信息化安全事故通常来自单位阻挡的内部，所以对于人员的治理、确定信息系统安全的根本方针和相应的规章治理制度，是信息系统安全不行缺少的一个局部。在人员角色、流程、职责、考察、审计、聘任、解聘、辞职、培训、责任分散等方面，建立可操作的治理安全防范体系。安全体系整体的防范和应急反响功能：对于信息系统涉及到的安全问题，建立系统的防范体系，对可能消灭的安全威逼和破坏进展预演，对消灭的灾难、意外的破坏能够准时的恢复。三、现有信息系统
8、存在的突出问题1、信息系统安全治理问题突出信息系统安全治理包括三个层次的内容：组织建设、制度建设和人员意识。组织建设问题是指有关信息安全治理机构的设立。信息安全的治理包括安全规划、风险治理、应急反响打算、安全教育培训、安全策略制定、安全系统的评估和审计等多方面的内容。安全治理虽然有一些机构成立，但是各个机构的职责并不是很明确，建立的规章制度可落实性差，甚至没有规章制度。对人的治理，还需要解决多人负责、责任到人、任期有限的问题。领导对信息化还不够重视，没有形成群防群治的意识。信息安全的教育和培训还不够。2、缺乏信息化安全意识与对策治理层在对信息资产所面临威逼的严峻性生疏缺乏，或者只限于信息技术安
9、全方面，没有形成一个合理的信息化安全整体方针来指导和组织信息化安全治理工作，表现为缺乏完整的信息安全治理制度，缺乏对员工进展必要的安全法律法规和安全风险防范教育和培训，现有的安全规章制度组织机构未能严格发挥作用。3、重安全技术，轻安全治理虽然现在使用计算机、内部办公局域网来构建信息系统，但是相应的治理措施不到位，如系统运行、维护、开发等岗位不清，职责局部，存在一人身兼数职现象。信息化安全大约 70以上的问题是由于治理方面的缘由造成的，也就是解决信息化安全问题，不仅仅从技术方面入手，同时更应当加强安全治理的工作。4、系统治理意识淡薄现有的安全治理模式仍是传统的治理方法，出了问题才去想补救的方法，
10、头疼医头，脚疼医脚，是一种就事论事，静态的治理方法， 不是建立唉安全风险评估根底之上的动态的持续改进治理方法。四、信息系统安全技术及规划1、网络安全技术及规划由于互联网所存在的诸多担忧全因素，使得网络使用者必需实行相应的网络安全技术来堵塞漏洞，保证供给通信效劳的安全性。快速进展的网络安全技术能从不同角度逐步保护网络信息不受侵害，网络安全的根本技术主要包括网络加密技术、防火墙技术、网络地址转换技术、操作系统安全内核技术、身份验证技术、网络防病毒技术、检测审计技术、备份技术等。（1） 网络加密技术网络信息加密的目的是保护网内的数据、文件、口令和掌握信息， 保护网上传输的数据。网络加密常用的方法有链
11、路加密、端点加密和节点加密三种。链路加密的目的是保护网路节点之间的链路信息安全；端点加密是对源端用户到目的端用户的数据供给加密保护；节点加密的目的是对源节点到目的节点之间的传输链路供给加密保护。一般常用的加密方法是链路加密和端点加密。链路加密侧重于在通信链路上而不考虑信源和信宿，是对保密信息通过各链路承受不同的加密密钥供给安全保护。链路加密是面对节点的，对于网络高层主体是透亮的，它对高层的协议信息地址、检错、帧头帧尾都加密，因此数据在传输中是密文的，但在中心节点必需解密得到路由信息。端到端加密是指信息由发送端自动加密，形成 TCP/IP 数据包，然后作为不行阅读和不行识别的数据穿过网络，当这些
12、信息一旦到达目的 地，将自动解密、重组，成为可读数据。端点加密是面对网络高层主体的，它不对下层协议进展信息加密，协议信息以明文的形式传输， 用户数据在中心节点不需解密。端点加密系统的价格比较廉价，并且与链路加密和节点加密相比更牢靠，更简洁设计、实现和维护。端点加密还避开了其他加密系统所固有的同步问题，此外，从用户的角度动身，端点加密更自然些， 在对数据信息进展加密的同时，不影响网络上其他的用户。（2） 防火墙技术、内外网隔离、网络安全域的隔离在内外部网络之间，设置防火墙包括分组过滤和应用代理实现内外网的隔离与访问掌握是保护内部网络安全的主要措施之一。防火墙可以表示为：防火墙过滤器安全策略网关。
13、防火墙可以监控进出网络的数据信息，从而完成仅让安全、核准的数据信息进入， 同时又地址对内部网络构成威逼的数据进入任务。通常，防火墙效劳的主要目的是：限制他人进入内部网络、过滤掉担忧全效劳和非法用户、限定访问的特别站点等等。防火墙的主要技术类型包括网络级数据包过滤器和应用级代理效劳器。由于网络级数据包过滤器和应用级代理效劳器两种类型的防火墙系统各有优缺点，因此在实际中，应将二者结合起来使用。分组过滤器作用在网络层和传输层，只有满足过滤规律的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。应用代理， 俗称“网关“，作用在应用层，特点是完全隔绝了网络通信流，通过对各种应用效劳编制特
14、地的代理程序，实现监视和掌握应用层通信流的作用。实际中的应用网关通常有专用工作站实现。对于内部网络不同网络安全域的隔离及访问掌握，防火墙被用来隔离内部网络的一个网段与另外一个网段。这样就能防止影响一个网段的问题穿过整个网络传播。针对某些网络，在某些状况下，它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感，这样，在它们之间设置防火墙就可以限制局部网络安全问题对全局网络造成的影响。（3） 网络地址转换技术网络地址转换技术也称为地址共享器或地址映射器，设计的初衷是为了解决网络 IP 地址缺乏的问题，现在多用于网络安全。内部主机向外部主机连接时，使用同一个 IP 地址，相反的，
15、外部主机要向内部主机连接时，必需通过网关映射到内部主机上。它使外部网络看不到内部网络，从而隐蔽内部网络，到达保密的目的，使系统的安全性提高，并且节约从 ISP 处得到的外部 IP 地址。（4） 操作系统安全内核技术除了传统的网络安全技术以外，在操作系统层次上也应当考虑相关的网络安全问题，操作系统平台的安全措施包括：承受安全性较高的操作系统；对操作系统进展安全配置；利用安全扫描系统检查操作系统的漏洞等。（5） 身份验证技术身份验证是用户向系统出示自己身份证明的过程。身份识别是系统查核用户身份证明的过程。这两个过程是判明和确认通信双发真实身份的两个重要环节。在拨号上网、主机登录、远程访问等都涉及到
16、身份验证技术的应用。口令认证、数字证书认证是比较常用的身份验证方式。身份验证的载体可以存储在诸如 USBKey、IC 卡等介质上， 还可以配备生物活体的身份验证。基于公开密钥的数字签名技术，一般承受不对称机密技术，通过对整个明文进展某种变换，得到一个值，作为核实签名。承受者使用发送者的公开密钥对签名进展解密运算，如其结果为明文或与明文的某种运算结果全都，则签名有效，证明双方的身份是真实的。固然， 签名也可以承受多种方式。（6） 网络防病毒技术在网络环境下，计算机病毒具有不行估量的威逼性和破坏力。如果不重视计算机网络防病毒，那可能给社会造成灾难性的后果，因此计算机病毒的防范也是网络安全技术中重要
17、的一环。网络防病毒技术包括预防病毒、检测病毒和消退病毒三种技术。预防病毒技术，它通过自身常驻系统内存，优先获得系统的掌握权，监视和推断系统中是否由病毒存在，进而阻挡计算机病毒进入计算机系统和对系统进展破坏。技术手段包括：加密可执行程序、引导保护、系统监控与读写掌握如防病毒卡等。检测技术，通过对计算机病毒的特征来进展推断的侦测技术，如自身检验、关键字、文件长度变化等。病毒检测始终是病毒防护的支柱，然而，随着病毒的数目和可能的切入点的大量增加，识别奇异代码串的进程变得越来越简单，而且简洁产生错误和疏忽。因此，因此最的防病毒技术应将病毒检测、多层数据保护和集中是治理等多种功能集成起来，形成多层次防范
18、体系，既有稳健的病毒检测功能，又有客户机/效劳器数据保护力量，也就是掩盖全网的多层次方法。消退病毒技术，通过对计算机病毒的分析，开发出具有杀除病毒程序并恢复原文件的软件。大量的病毒针对网上资源和应用程序进展攻击，这样的病毒存在于信息共享的网络中，因而要在网关上设防， 在病毒从客户机向效劳器转移的过程中杀掉，把病毒感染的区域限制在最小的范围内。网络防病毒技术是相对的，并不能封杀全部的病毒，对于消灭的类型的病毒，网络防病毒技术有可能消灭滞后的现象，因此应准时更病毒库。（7） 网络安全检测技术网络安全取决于网络系统中最薄弱的环节，所以，应准时的觉察网络系统中最薄弱的环节。检测网络中最薄弱环节的方法是
19、定期对网络系统进展安全性分析，准时觉察并修正存在的漏洞和弱点。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统中存在的弱点和漏洞，建议补救措施和安全策略，到达增加网络安全性的目的。（8） 安全审计与监控技术审计是记录用户使用计算机网络系统进展全部活动的过程，它是提高安全性的重要工具，不仅能够识别谁访问了系统，还能指出系统正被怎样的使用，对于确定是否有网络攻击的状况，审计信息对于确定问题和攻击源很重要。同时，系统大事的记录能够更快速和系统的识别问题，并且它是后面阶段事故处理的重要依据，为网络犯罪行为及泄密行为供给取证根底。另外，通过对安全大事
20、的不断收集与积存并且加以分析，有选择性的对其中的某些站点或用户进展审计跟踪， 以便对觉察或可能产生的破坏性行为供给有力的证据。承受各层次的安全审计措施是网络安全系统的重要组成局部，对于审计数据的维护是其重要内容之一，建议网络系统建立安全审计中心或审计小组，对全部各层次的审计数据进展统一处理和治理。（9） 网络备份技术备份技术为一个目的而存在：尽可能的全盘恢复运行计算机系统所需的数据和系统信息。依据系统安全需求可选择的备份机制有：场地内高速度、大容量自动的数据存储、备份与恢复；场地外的数据存储、备份与恢复；对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问
21、或对网络攻击及破坏数据完整性时起到保护作用，同时也是系统灾难恢复的前提之 一。2、信息安全技术及规划信息安全技术主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面。（1） 鉴别技术鉴别是对网络中的主体进展验证的过程，通常有三种方式验证主体身份。一是只有该主体了解的隐秘，如口令、密钥；而是主体携带的物品，如智能卡和令牌卡；三是只有该主体具有的独一无二的特征或力量，如指纹、声音、视网膜或签字等。口令机制：口令是相互商定的代码，假设只有用户和系统知道。口令有时由用户选择，有时由系统安排。智能卡：访问不但需要口令，也需要使用物理智能卡，在允许其进入系统之前检查是否允许其接触系统
22、。主体特征识别：利用个人特征进展鉴别的方式具有很高的安全 性。目前已有的设备包括：视网膜鉴别仪、声音验证设备、手型识别器和指纹识别器等。（2） 数据信息加密技术数据信息加密技术目的是对传输中的数据流信息加密，仪防止通信线路上的窃听、泄漏、篡改和破坏。信息加密过程是由加密算法来实现的，以很小的代价供给很牢靠的安全保护。在多数状况下，信息加密是保证信息保密性的唯一方法。（3） 数据完整性鉴别技术对于动态传输的数据信息，很多协议确保信息完整性的方法大多是收错重传、丢弃后续包的方法，但黑客的攻击可以转变信息的内容， 所以应实行有效的措施来保证信息的完整性。（4） 防抵赖技术防抵赖技术包括对源和目的地双
23、方的证明，常用的方法是数字签名。数字签名承受肯定的数据交换协议，使得通信双方能够满足两个条件：承受方能够鉴别发送方所宣称的身份，发送方以后不能否认它发送过数据这一事实。实现防抵赖技术的途径主要有：承受可信的第三方数字证书；使用时间戳；承受一个在线的第三方、数字签名与时间戳相结合等方法。鉴于为保障数据传输的安全，需承受数据加密技术、数据完整性鉴别技术与防抵赖技术。因此为节约投资、简化系统配置、便于治理、使用便利，有必要选取集成的安全保密技术措施及设备。（5） 数据存储安全技术在信息系统中，存储的信息主要包括纯粹的数据信息和各种功能性文件信息两大类。对于纯粹的数据信息的保护，以数据库信息的保护最为
24、典型，而对各种功能文件的保护，终端安全很重要。（6） 数据库安全技术对数据库系统所治理的数据和资源供给安全保护，一般包括以下几点：物理完整性，即数据能够免于物理方面的破坏，如调电、火灾等；规律完整性，能够保持数据库的构造，如对一个字段的修改不至于影响其他字段；元素完整性，包括在每个元素中的数据是准确的；数据的加密；用户鉴别，确保每隔用户被正确识别，避开非法用户的入侵； 可获得性，指用户一般可访问数据库和全部授权访问的数据； 可审计性，能够追踪到谁访问过数据库。要实现对数据库的安全保护，一种选择是安全数据库系统，即从系统的涉及、实现、使用和治理等各个阶段都要遵循肯定的系统安全策略；二是以现有的数
25、据库系统所供给的功能为根底构建安全模块， 旨在加强现有数据库系统的安全性。（7） 信息内容审计技术实时对进出内部网络的信息进展内容审计，以防止或追查可能的泄密行为。五、信息系统安全治理面对信息化安全的脆弱性，除了在网络设计上增加安全效劳功 能，完善系统的安全保密措施外，还必需花大力气加强网络和信息的安全治理，由于诸多的担忧全因素恰恰反映在组织治理和人员治理等方面，而这又是计算机网络安全所必需考虑的根本问题，所以应引起个计算机网络应用部门的重视。在建立治理体系、制度的同时，建议建立反响团队、诊断团队、监察团队，并且进展常常性的学习和培训。1、信息系统安全治理原则对于信息系统的安全治理，需要确定其
26、安全治理原则，一般的， 信息系统的安全治理原则有以下三个：（1） 、多人负责原则每一项与安全有关的操作和治理活动，都必需有两人或多人在场。所进展的活动应当是与安全治理相关的各项活动：访问掌握使用证件的发放与回收；信息处理系统使用的媒介发放与回收； 处理保密信息；硬件和软件的维护；系统软件的设计、实现和修改； 重要程序和数据的删除和销毁等。（2） 、任期有限原则一般的讲，任何人最好不要长期担当与安全有关的职务，以免使他认为这个职务使专有的或永久性的。为遵循任期有限原则，工作人员应不定期的循环任职，强制实行休假制度，并规定对工作人员进展轮番培训，以使任期有限制度切实可行。（3） 、职责分别原则在信
27、息系统工作的人员不要打听、了解或参与职责意外的任何与安全有关的事情，出于对安全的考虑，下面每组内的两项信息处理工作建议分开：计算机操作与计算机编程； 机密资料的接收与发送； 安全治理与系统治理；应用程序与系统程序的编制； 访问证件的治理与其他工作；计算机操作与信息处理系统使用媒介的保管等。2、信息系统安全治理的工作内容信息系统的安全治理部门应依据治理原则和该系统处理数据的保密性，制定相应的治理制度或实行相应的标准。具体工作是：依据工作的重要程度，确定该系统的安全等级。依据确定的安全等级，确定安全治理范围；制定相应的机房治理制度。对于安全等级要求较高的系统，要实行分区掌握，限制工作人员出入与自己工作无关的区域。出入治理可承受证件识别或安装自动识别登记系统，承受磁卡、身份卡等手段， 对人员进展识别、登记治理；制定严格的操作标准。操作标准要依据职责分别和多人负责的原则，各负其责，不能超越自己的治理范围；制定完备的系统维护制度。对系统进展维护时，应实行数据保护措施，如数据备份等。维护时要首先经上级主管部门批准，并有安全治理人员在场，故障的缘由、维护内容和维护前后的状况要具体记录；