【精品解決方案】協(xié)同辦公系統(tǒng)（OA）安全解決方案.doc

更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 協(xié)同辦公系統(tǒng)安全解決方案 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 1引言引言3 2網絡安全的威脅網絡安全的威脅4 網絡攻擊的定義4 攻擊的動機4 網絡安全系統(tǒng)為什么會失敗5 網絡安全體系6 安全服務維7 協(xié)議層次維7 系統(tǒng)單元維7 二維安全框架8 3網絡安全元素網絡安全元素9 物理安全9 網絡隔離與防火墻技術10 網絡隔離10 防火墻10 防火墻的基本類型10 對稱與不對稱加密信息加密的目的11 網絡加密傳送與認證11 利用ca實現(xiàn)安全公文傳輸.13 數據級備份15 系統(tǒng)級備份15 “最小授權“原則.15 依據ca的授權機制.16 操作系統(tǒng)的授權機制16 系統(tǒng)的授權保證16 4網絡安全的實現(xiàn)網絡安全的實現(xiàn)16 完備適當的網絡安全策略16 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 高水平的網絡安全技術隊伍17 建立專業(yè)的 ca 中心18 管理、管理、管理18 5我們公司的安全策略我們公司的安全策略19 客戶可能面臨的網絡安全隱患19 公司對客戶安全使用的控制級別19 我們公司目前可以為客戶解決的安全問題19 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 1引言 隨著政府上網、海關上網、電子商務、網上娛樂等一系列網絡應用的蓬勃 發(fā)展，internet 正在越來越多地離開原來單純的學術環(huán)境，融入到社會的各個 方面。一方面，網絡用戶成分越來越多樣化，出于各種目的的網絡入侵和攻擊 越來越頻繁；另一方面，網絡應用越來越深地滲透到國家、企業(yè)等關鍵要害領 域。換言之，網絡的安全，包括網絡上的信息數據安全和網絡設備服務的運行 安全，日益成為與國家、政府、企業(yè)、個人的利益息息相關的“大事情“。 安全 保障能力是新世紀一個國家綜合國力、經濟競爭實力和生存能力的重要組成部 分。不夸張地說，它在下個世紀里完全可以與核武器對一個國家的重要性相提 并論。這個問題解決不好將全方位地危及我國的政治、軍事、經濟、文化、社 會生活的各個方面，使國家處于信息戰(zhàn)和高度經濟金融風險的威脅之中。 我們的企業(yè)也是如此，如果您的企業(yè)沒有一套好的網絡安全策略，那么你 們企業(yè)的一切資料都是公開的，不安全的。試想一下你們公司的保密文件在您 的競爭對手中人手一份，我想對你的企業(yè)是一個很大的打擊。 目前我國對計算機網絡安全產品的認證研究剛開始起步，尚沒有對計算機 安全發(fā)布權威性的標準方案。新刑法中關于計算機網絡犯罪的條款也沒有解決 法律上的問題。所以，不管在設計網絡安全方案時，還是在確認事故、攻擊、 入侵等級時都顯得無所適從。對于企業(yè)來說，尤其是大的 isp，等待國家去研 究發(fā)布相應的標準是不恰當的。應當盡快組織自己的 it 部門或購買其它公司的 相應服務來確立自己企業(yè)網的安全策略，并且下決心去實施，并且定期地檢查 實際情況與安全策略的差距。 企業(yè)的安全策略是企業(yè)在網絡安全工作中的法律。網絡安全工作要有法可 依。如果說網絡安全的目標是一座大廈的話，那么相應的安全策略就是施工的 藍圖。它使網絡建設和管理過程中的安全工作避免盲目性。但是，它并沒有得 到足夠的重視。國際調查顯示，目前 55%的企業(yè)網沒有自己的安全策略。網絡 安全策略應該對企業(yè)的各種網絡服務的安全、檔次、地位和用戶的權限、分類、 安全故障處理、網絡拓撲結構、管理員的職責、入侵和攻擊的防御和檢測、備 份和災難恢復計劃等內容。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 2網絡安全的威脅 網絡面臨的安全威脅大體可分為兩種： 一、是對網絡數據的威脅。 二、是對網絡設備的威脅。 這些威脅可能來源于各種各樣的因素： 可能是有意的，也可能是無意的； 可能是來源于企業(yè)外部的， 也可能是內部人員造成的；可能是人為的，也可能 是自然力造成的。 總結起來，大致有下面幾種主要威脅： (1) 非人為、自然力造成的數據丟失、設備失效、線路阻斷 (2) 人為但屬于操作人員無意的失誤造成的數據丟失 (3) 來自外部和內部人員的惡意攻擊和入侵 前面兩種的預防基本相同，可以加強企業(yè)內部的管理，可以規(guī)范操作來減 少這種不必要的損失。 最后一種是當前 internet 網絡所面臨的最大威脅，是 電子商務、政府、企業(yè)、個人上網等順利發(fā)展的最大障礙，也是企業(yè)網絡安全 策略最需要解決的問題。 網網絡絡攻攻擊擊的定的定義義 對網絡安全管理員來說，可能導致一個網絡受到破壞、網絡服務受到影響 的所有行為都應稱為攻擊，也可以說攻擊是指謀取超越目標網絡安全策略所限 定的服務（入侵）或者使目標網絡服務受到影響甚至停止（攻擊）的所有行為。 攻擊行為從攻擊者開始在接觸目標機的那個時刻起可以說就已經開始了。 攻攻擊擊的的動動機機 招致網絡攻擊的原因有方方面面。國家機密、商業(yè)競爭、對顧主單位的不 滿、對網絡安全技術的挑戰(zhàn)、對企業(yè)核心機密的企望、網絡接入帳號、信用卡 號等金錢利益的誘惑、利用攻擊網絡站點而出名、對網絡的好奇心等，當然其 它一些原因也都可能引起攻擊者的蓄意攻擊行為。目前國內多數網絡系統(tǒng)管理 人員和工程施工人員對網絡安全問題重視不夠，意識淡漠，建設中或建設后在 沒有采取足夠的安全防護措施的情況下，將網絡接入因特網上，給企業(yè)造成不 必要的損失。值得注意的是當前出于政治目的和商業(yè)競爭目的的網絡攻擊日益 增多。某集成商的演示系統(tǒng)在開標前夕突然失去服務，而該系統(tǒng)之前從未出現(xiàn) 類似問題。競爭對手出于競爭目的， 為打擊對手的商業(yè)信譽可能會發(fā)動攻擊行 為。從前言的敘述中，我們也看到了網絡攻擊和入侵對于獲取其它目標國家或 機構的機密信息是一種非常重要的手段。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 網網絡絡安全系安全系統(tǒng)為統(tǒng)為什么會失什么會失敗敗 網絡安全概念中有一個“木桶“理論，講的是一個淺顯而重要的原則：一個 桶能裝的水量不取決于桶有多高，而取決于組成該桶的最短的那塊木條的高度。 應用在網絡安全領域就是：網絡安全系統(tǒng)的強度取決于其中最為薄弱的一環(huán)。 這是由攻擊和防守的特性決定的。相對于攻擊來說，防守的任務更為艱巨，任 何一個節(jié)點、某一個軟件、其中的某個服務、某個用戶的脆弱口令等等都可能 造成整個防御系統(tǒng)的失效。攻擊者的做法則是耐心地收集、測試可能出現(xiàn)的漏 洞，只要找到一處，則攻擊往往就成功了多半。但防守者也有自己很大的優(yōu)勢， 那就是擁有對設備的物理控制權。并且，通常情況下，防守者總是擁有對網絡 安全體系更為準確的了解。但是，據統(tǒng)計約 90%的網站都遭受過網絡攻擊。 從技術角度分析，網絡安全體系失敗的原因有以下幾種原因： 首先，從芯片、操作系統(tǒng)到應用程序，任何一個環(huán)節(jié)都可能被開發(fā)者留下“ 后門“?，F(xiàn)在的制造技術水平下，可以在 cpu 芯片中植入無線發(fā)射接收功能；在 操作系統(tǒng)、數據庫管理系統(tǒng)或應用程序中能夠預先安置從事情報收集、受控激 發(fā)破壞的程序。這些“內奸“，可以接收特殊病毒、 接收來自網絡或無線電指令 來觸發(fā) cpu 的自殺功能、搜集和發(fā)送敏感信息、將敏感信息隱藏在網絡協(xié)議層 中傳輸等。最近揭發(fā)出來的 piii 芯片序列號和 ms office 文檔中隱藏 mac 地址 等內幕已經告訴了我們許多東西。另外，設計編程人員為了自便或測試目的也 經常設置一些“后門“。 這些“后門“ 對網絡安全造成了非常嚴重的威脅，但對 于普通網絡運行者來說，基本上不能控制。 其次，網絡設備和軟件不可能是完美的，在設計開發(fā)過程中必然會出現(xiàn)缺 陷和漏洞。這些漏洞和缺陷恰恰是黑客進行攻擊的目標。這些安全漏洞的發(fā)現(xiàn) 依賴于艱辛的測試和研究。國際上現(xiàn)在有許多的研究組、討論組頻繁地公布各 種各樣新發(fā)現(xiàn)的安全漏洞。網絡安全管理員和黑客通過研究或其它渠道都有可 能率先獲知。網絡安全體系隨著黑客發(fā)現(xiàn)新的安全漏洞而變得脆弱，同時也隨 著安全管理員首先發(fā)現(xiàn)安全漏洞并及時更改配置彌補而重新變得堅固。其中的 時間差往往是成敗的歸因。這需要網絡運行者投入相當的技術力量研究或者購 買相當的網絡安全服務。 事實上，對于網絡企業(yè)網或者 isp 的公網來說，管理的失敗是網絡安全體 系失敗的非常重要的原因。 最近報道的若干網絡入侵案件證明了這一點。網絡 管理員配置不當或者網絡應用升級不及時造成的安全漏洞、使用脆弱的用戶口 令、隨意使用普通網絡站點下載的軟件、在防火墻內部架設撥號服務器卻沒有 對帳號認證等嚴格限制、用戶安全意識不強，將自己的帳號隨意轉借他人或與 別人共享等 等，這些管理落實上的問題都是無論多么精妙的安全策略和網絡安 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 全體系都不能解決的，都會使網 絡處于危險之中。 網網絡絡安全體系安全體系 安全方案的科學性、可行性是其順利實施的保障。 安全方案必須架構在科學的安全體系和安全框架之上。安全框架是安全方 案設計和分析的基礎。 為了系統(tǒng)、科學地分析安全方案涉及的各種安全問題，在大量調查研究的 基礎上，我們重點分析、借鑒了提出的三維安全體系結構，并在其基礎上提出 了能夠指導安全方案總體設計的安全體系（見圖） ，它反映了信息系統(tǒng)安全需求 和體系結構的共性。 協(xié)議層次 安 全 管 理 安 全 管 理 認 證 訪 問 控 制 數 據 完 整 性 數 據 保 密 抗 抵 賴 審 計 可 用 性 安全服務 通 信 平 臺 網 絡 平 臺 系 統(tǒng) 平 臺 應 用 平 臺 物 理 環(huán) 境 安 理 管 全 層 用 應 傳 層 層 層 層 鏈 絡 網 輸 理 物 路 系統(tǒng)單元 安全體系結構安全體系結構 具體說明如下： 安全體系是一個三維結構： 1. 第一維（x 軸）是安全服務特性，給出了 7 種安全屬性； 2. 第二維（y 軸）是系統(tǒng)單元，給出了信息網絡系統(tǒng)的組成； 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 3. 第三維（z 軸）是協(xié)議層次，給出了國際標準化組織 iso 的開放系統(tǒng)互 連（osi）模型。 安全體系的具體模型介紹如下： 安全服安全服務維務維 安全服務具體如下： 1) 身份認證，用于確認所聲明的身份的有效性； 2) 訪問控制，防止非授權使用資源或以非授權的方式使用資源； 3) 數據保密，數據存儲和傳輸時加密，防止數據竊取、竊聽； 4) 數據完整，防止數據篡改； 5) 不可抵賴，取兩種形式的一種，用于防止發(fā)送者企圖否認曾經發(fā)送過數 據或其內容和用以防止接收者對所收到數據或內容的抗否認； 6) 審計管理，設置審計記錄措施，分析審計記錄； 7) 可用性、可靠性，在系統(tǒng)降級或受到破壞時能使系統(tǒng)繼續(xù)完成其功能， 使得在不利的條件下盡可能少地受到侵害者的破壞。 協(xié)議層協(xié)議層次次維維 協(xié)議層次維由 iso/osi 參考模型的七層構成。與 tcp/ip 層次對應，可以 把會話層、表示、應用層統(tǒng)一為“應用層”。 系系統(tǒng)單統(tǒng)單元元維維 系統(tǒng)單元維描述了信息網絡的各個成分。 1) 通信平臺，信息網絡的通信平臺； 2) 網絡平臺，信息網絡的網絡系統(tǒng)； 3) 系統(tǒng)平臺，信息網絡的操作系統(tǒng)平臺； 4) 應用平臺，信息網絡各種應用的開發(fā)、運行平臺； 5) 物理環(huán)境，信息網絡運行的物理環(huán)境及人員管理。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 貫穿于上述三個方面，各個層次的是安全管理。通過技術手段和行政管理 手段，安全管理將涉及到各系統(tǒng)單元在各個協(xié)議層次提供的各種安全服務。 二二維維安全框架安全框架 上述安全體系給出了一個科學的信息系統(tǒng)安全解決方案的體系結構。為直 觀起見，同時也為了便于提出可實施的安全方案，我們把這一模型投影到系統(tǒng) 單元平面，并把系統(tǒng)單元分成網絡平臺和應用平臺兩個層次，形成一個二維結 構。投影的方法是把協(xié)議層平面和功能平面折疊到系統(tǒng)單元平面，如圖-2 所示。 這種投影所得到的結果將直接指導我們網絡安全方案的設計和實施。 身份認 證 用戶授權 與訪問控 制 應用層安 全通信協(xié) 議 數字簽名主機和服 務的審計 記錄分析 應用系統(tǒng)的容 錯容災、服務 管理 應用層代理或網 管 電路層防火 墻 (如socks) 傳輸層安 全通信協(xié) 議 包過濾防火 墻 主機、 路由器 等源發(fā) 認證 主機或路由器 間ipsec等協(xié) 議 第三方公 證 流量分析 入侵檢測 相鄰節(jié) 點間的 認證 點到點之 間的鏈路 加密 網絡結構設 計， 路由系統(tǒng)安 全， 基礎服務安 全， 網絡管理 應用層 傳輸層 網絡層 數據鏈 路層與 物理層 應 用 系 統(tǒng) 網 絡 平 臺 認 證 訪 問 控 制 數 據 完 整 性 數 據 保 密 性 抗 抵 賴 審 計 可 用 性 二維安全框架 盡管這一結構反映了信息系統(tǒng)的安全需求，但是沒有反映各種安全服務之 間的邏輯關系。因此，我們在圖-3 中給出了各種安全服務之間的關系模型。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 主 體 標識/認證 完整/保密 訪問控制 審計/抗抵賴 授權數據庫 資 源 之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之之 之 在網絡不同的協(xié)議層次，盡管網絡中的實體不同，但都有主體和資源之分。 在網絡層，主體是客戶機，資源是服務器或網絡服務。對主體和資源的識別以 服務器或協(xié)議端口為粒度，認證服務主要指服務器地址的認證。網絡層的訪問 控制主要指防火墻等過濾機制。在應用層系統(tǒng)中，對主體的認證是指用戶身份 認證，訪問控制的粒度可以具體到某種操作，如對數據項的追加、修改和刪除。 從這一模型可以得出如下結論：對資源的訪問控制是安全保密的核心，而 對用戶的身份認證或服務器的地址的認證是訪問控制的前提。 3網絡安全元素 物理安全物理安全 物理安全的目的是保護路由器、交換機、工作站、各種網絡服務器、打 印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線竊聽攻擊；驗證用 戶的身份和使用權限、防止用戶越權操作；確保網絡設備有一個良好的電磁兼 容工作環(huán)境；建立完備的機房安全管理制度，妥善保管備份磁帶和文檔資料； 防止非法人員進入機房進行偷竊和破壞活動。 抑制和防止電磁泄漏是物理安全 的一個主要問題。目前主要防護措施有兩類：一類是對傳導發(fā)射的防護，主要 采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉 耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下 水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機 系統(tǒng)工作的同時，利用干擾裝置產生一種與計算機系統(tǒng)輻射相關的偽噪聲向空 間輻射來掩蓋計算機系統(tǒng)的工作頻率和信息特征。 在物理安全方面，internet 網和傳統(tǒng)電信網非常類似。 網網絡絡隔離與防火隔離與防火墻墻技技術術 網網絡絡隔離隔離 根據功能、保密水平、安全水平等要求的差異將網絡進行分段隔離，對整 個網絡的安全性有很多好處?？梢詫崿F(xiàn)更為細化的安全控制體系，將攻擊和入 侵造成的威脅分別限制在較小的子網內，提高網絡整體的安全水平。路由器、 虛擬局域網(vlan)、防火墻是當前主要的網絡分段手段。前面兩種的配置較為 直觀，下面主要分析防火墻技術。 防火防火墻墻 防火墻在網絡中的地位與它的名字非常相似，它根據網絡安全水平和可信 任關系將網絡劃分成一些相對獨立的子網，兩側間的通信受到防火墻的檢查控 制。它可以根據即定的安全策略允許特定的用戶和數據包穿過，同時將安全策 略不允許的用戶和數據包隔斷，達到保護高安全等級的子網、阻止墻外黑客的 攻擊、限制入侵蔓延等目的。根據防火墻的位置，可以分為外部防火墻和內部 防火墻。外部防火墻將企業(yè)網與外部因特網隔離開來，而內部防火墻的任務經 常是在各個部門子網之間進行通信檢查控制。網絡安全體系不應該提供外部系 統(tǒng)跨越安全系統(tǒng)直接到達受保護的內部網絡系統(tǒng)的途徑。安全體系在任何情況 下都不應該被旁路。 防火墻并不是萬能的，它在很多方面存在弱點。它無法防 止來自防火墻內側的攻擊，對各種已識別類型的攻擊的防御有賴于正確的配置， 對各種最新的攻擊類型的防御取決于防火墻知識庫更新的速度和相應的配置更 新的速度。一般來說，防火墻擅長于保護設備服務，而不擅長保護數據。并且， 防火墻可能會導致內部網絡安全管理的松懈。 防火防火墻墻的基本的基本類類型型 實現(xiàn)防火墻的技術包括兩大類型：包過濾(pf)、應用級防火墻。它們之間 各有所長，具體使用哪一種或是否混合使用，要看具體需要。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 加密與加密與認證認證 對對稱與不稱與不對對稱加密信息加密的目的稱加密信息加密的目的 對稱與不對稱加密信息加密的目的是保護網內的數據、文件、口令和控制 信息，保護網絡會話的完整性。 網絡加密可以在鏈路級、網絡級、應用級等進行。信息加密過程是由形形 色色的加密算法來具體實施。據不完全統(tǒng)計，到目前為止，已經公開發(fā)表的各 種加密算法多達數百種。如果按照收發(fā)雙方密鑰是否相同來分類，可以將這些 加密算法分為對稱（私鑰）密碼算法和不對稱（公鑰）密碼算法。 在對稱密碼中，加密和解密使用相同的密鑰，即加密密鑰和解密密鑰是相 同或等價的。比較著名的常規(guī)密碼算法有：美國的 des 及其各種變形、歐洲的 idea、rc4、rc5 以及以代換密碼和轉輪密碼為代表的古典密碼等。 對稱密碼 的優(yōu)點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過 安全的途徑傳送。因此，其密鑰管理成為系統(tǒng)安全的重要因素。 在不對稱密碼中，加密和解密使用的密鑰互不相同，而且?guī)缀醪豢赡軓募?密密鑰推導出解密密鑰。比較著名的公鑰密碼算法有：rsa、diffe-hellman 等。 最有影響的公鑰密碼算法是 rsa，它能抵抗到目前為止已知的所有密碼攻擊。 公鑰密碼的優(yōu)點是可以適應網絡的開放性要求，且密鑰管理問題也較為簡單， 尤其可方便的實現(xiàn)數字簽名和驗證。但其算法復雜。加密數據的速率較低。 盡管如此，隨著現(xiàn)代電子技術和密碼技術的發(fā)展，公鑰密碼算法將是一種很有 前途的網絡安全加密體制。 現(xiàn)在流行的 pgp 和 ssl 等加密技術將常規(guī)密碼和公鑰密碼結合在一起使用，利 用 des 或 idea 來加密信息，而采用 rsa 來傳遞會話密鑰。 加密技術是網絡安 全最有效的技術之一。 網網絡絡加密加密傳傳送與送與認證認證 對網絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶 注冊時首先輸入用戶名和口令，服務器將驗證所輸入的用戶名是否合法。如果 驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網絡之外。用戶 的口令是用戶入網的關鍵所在。 為保證口令的安全性，用戶口令不能顯示在顯示屏上，用戶口令通常是經 過加密后存儲在主機系統(tǒng)中的，即使是系統(tǒng)管理員也難以破解。但是，非常遺 憾的是傳統(tǒng)的因特網上傳輸的是明文，包括 telnet、ftp、http、pop3 等應用， 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 這樣網絡竊聽可以非常容易地得到明文的用戶口令。針對明文網絡傳輸的弱點， 可以采用的加強措施包括： 1. ssh：加強 telnet，登錄時的口令加密后傳輸。該軟件網絡上可以免費獲得。 2. ssl：幾乎可以和大多數應用配合使用。最典型的應用是加強 http。它 使用公鑰與私鑰結合的方法，可以抵御重發(fā)（replay）、人中介（man-in- the-middle）、窮舉分析（plain-text）等攻擊。關于三種攻擊方法的原理 超出了本文的討論范圍。該軟件網絡上也可以免費獲得。但 ca 證書的申請 一般需要交費。 3. 一次性用戶口令：如 s/key 系統(tǒng)等。這樣即使明文口令被截獲，但由于 下次登錄時系統(tǒng)將使用新口令，而使攻擊無效。 4. pgp：通用的公鑰加密工具?？梢杂脕砑用茈娮余]件、機密文檔等。安全 性的關鍵在于私鑰本身的安全性。網絡上可以免費獲得該軟件的國際版。 5. 自動回呼設備：撥號服務器設定特定用戶對特定電話號碼的自動回撥可 以防止假冒的撥號用戶。多數撥號服務器支持該功能。 3.3.3 如何建立 ca 中心 作為 pki 的解決方案決策者，有以下關鍵的因素影響 ca 的運營能否成功。 1. 提供成熟的且經受考驗的 ca 技術。完整的 pki 功能包括證書簽發(fā)、證 書生命周期管理、各種類型證書的處理、全面的系統(tǒng)管理、目錄集成、密鑰管 理等等。在 pki 投入運行前，需要確定這些功能在高強度、實時的環(huán)境下不會 有問題。 2. 適用于廣泛應用的開放結構。pki 運營者需要考慮 pki 是否能集成到所 有的應用中，這些應用的原有用戶能否很容易地安裝和使用數字證書 3. 高可靠性和可擴展性。需要保證 ca 中心提供 724 的可靠服務，包括 系統(tǒng)、網絡、客戶支持、災難恢復等等。需要具備擴展性，讓開始很小的系統(tǒng) 能隨著應用的擴展而支持上百萬的用戶。 4. 安全的運營架構。不僅在設施上，而且在策略、資金、法律等方面都需 要建立安全的架構。 5. 滿足外部電子商務的需求。在電子商務中，pki 需要與外界的認證體系 相互操作。 基于服務的 ca 與自建 ca 在這些成功關鍵因素方面的對比如表所示。通過 比較可以看出，基于服務的 ca 在成功運作的各個方面，比自建 ca 有著明顯的 優(yōu)勢。 a 證書的發(fā)放與回收 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 為了用戶的網絡安全，我們會對我們公司的 id 用戶發(fā)放證書，對沒有權限 的人員或證書遺失的人員采取證書的回收。以保證我們的用戶的網絡安全。也 就是說沒有安全權限的人員是不可能進入我們公司的網站的。 b ca 機制設置 我們的傳輸是經過非常安全的加密處理過的，我們的密碼加密已經達到了 120 位，可以說是非常的安全。我們公司的機制設置是非常緊密的，目前全國 軟件公司做到這一點的也屈指可數。 利用利用 ca 實現(xiàn)實現(xiàn)安全公文安全公文傳輸傳輸 我們可以集成第三方提供安全公文 安全電子公文可以采用經過國家主管部門鑒定和認可的密碼算法和密碼 模塊，如 pci 數據密碼卡、usb 數據密碼機、pcmcia 安全 pc 卡等，綜合運用對 稱和非對稱密碼體制，結合數字證書、數字信封、電子蓋章、身份認證、授權 訪問等安全技術，對電子公文和電子印章的存儲、傳輸和使用進行全程加解密 和簽名驗證。同時，采用國辦認可的方正 ceb 及國際通行的 adobe pdf 作為公 文交換的標準格式，能夠有效保證公文的嚴肅性、保密性和真實性，真正滿足 了通過網絡傳輸公文時所要求的準確、及時、安全、保密等條件，可以廣泛應 用于黨政機關和企事業(yè)單位的公文交換、傳輸領域。 安全電子公文中特別強調了安全性，體現(xiàn)在以下幾個方面： 采用專用硬件密碼設備，保護電子公文、電子印章等數據的保密性， 確保信息不被非授權竊取或泄漏； 采用專用硬件密碼設備，保護公文等數據信息的完整性，確保信息不 被非法篡改、刪除、丟失或重放； 能夠確保用戶身份可鑒別和信息不可偽造； 能夠確保只有經過授權的合法用戶才能使用電子印章； 能夠確保收發(fā)文行為的不可否認性； 能夠保證起草、用印、審核、打印等諸多環(huán)節(jié)的安全性，防止了篡改 草稿、非授權獲得電子印章、打印超過規(guī)定數量的公文等安全漏洞。 系統(tǒng)組成 實現(xiàn)整個安全電子公文系統(tǒng)包括以下組成部分： 公文交換服務器； 公文交換客戶端； 密鑰管理系統(tǒng)； 證書管理工具； 印章制作工具； 終端密碼模塊； 高精度掃描儀； 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 高清晰彩色打印機。 其中，公文交換服務器完成公文傳輸與交換相關的業(yè)務流程；公文交換客 戶端是用戶進行公文處理的平臺，用戶在公文交換客戶端完成收發(fā)文操作；密 鑰管理系統(tǒng)主要用于產生和分發(fā)密鑰，并對用戶信息和密鑰進行管理，包括用 戶 ic 卡的分發(fā)、用戶證書的生成以及密鑰的備份、恢復等；證書管理工具主要 完成個人證書的管理，包括導入導出個人證書、驗證證書等功能；印章制作工 具對電子印章進行統(tǒng)一的制作、分發(fā)和管理；終端密碼模塊用于完成所需要的 密碼運算服務，包括對印章加密和簽名、對公文加密和簽名等；高精度掃描儀 用于把紙質的印章圖案掃描成圖形文件以及把紙質的公文文件通過掃描轉換為 圖片文件；高清晰彩色打印機用于打印收到的公文。 在安全電子公文系統(tǒng)中，一次完整的公文辦理流程如下圖所示： 打字員 審核人 蓋章人 公文接收員 公文受控使用 起草公文并上傳到服務器上 公文交換服務器 a 公文交換服務器 b 審核公文內容，并 指定公文 的接收人以及使用的電子印章 對已審核過的公文加蓋指定 的電子印章，并加密后傳遞 公文通過網絡傳遞 解密驗證公文的完整性和合 法性，并發(fā)送回執(zhí)給發(fā)文方 公文發(fā)送單位 公文接收單位 生成便于傳閱和歸檔的黑章 電子公文（ceb 或 pdf 格式） 內部辦公（oa） 服務器 打印生成正式公文 圖.公文辦理流程圖 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 從圖中可以看出，這里的公文的辦理流程，涉及到公文發(fā)送和公文接收兩 個流程。其中，公文發(fā)送流程包含四個關鍵環(huán)節(jié)，分別是上傳公文、公文審核、 電子蓋章和公文發(fā)送。公文接收流程包含三個關鍵環(huán)節(jié)，分別是驗證公文并發(fā) 送回執(zhí)、公文打印和生成黑章公文。 3.4 備份與恢復 備份磁帶是在網絡系統(tǒng)由于各種原因出現(xiàn)災難事件時最為重要的恢復和分 析的手段和依據。網絡運行部門應該制定完整的系統(tǒng)備份計劃，并嚴格實施。 備份計劃中應包括網絡系統(tǒng)和用戶數據備份、完全和增量備份的頻度和責任人。 備份數據磁帶的物理安全是整個網絡安全體系中最重要的環(huán)節(jié)之一。通過 備份磁帶，一方面可以恢復被破壞的系統(tǒng)和數據；另一方面，通過恢復磁帶數 據，攻擊者也可以獲得系統(tǒng)的重要數據，例如系統(tǒng)加密口令、數據庫各種存檔 以及用戶其它數據，從而為正面進攻網絡系統(tǒng)獲得入手點。甚至，通過恢復備 份數據，攻擊者已經獲得足夠的數據，使得入侵網絡已無必要，直接造成重要 失密事件。 定期地檢驗備份磁帶的有效性也非常重要。機械地定期備份，到急需恢復 數據時發(fā)現(xiàn)磁帶數據損壞不管怎樣也是一件非常讓人氣憤的事。所以，定期的 恢復演習是對備份數據有效性的有力鑒定，同時也是對網管人員數據恢復技術 操作的演練，作到遇問題不慌，從容應付，保障網絡服務的提供。 數據數據級備級備份份 數據級備份就是備份我們系統(tǒng)上的初始化數據，我們建議用戶在使用我們 系統(tǒng)的時候，經常的備份我們的數據，保證我們的系統(tǒng)在崩潰的時候可以恢復 數據。 系系統(tǒng)級備統(tǒng)級備份份 系統(tǒng)級備份就是把我們的系統(tǒng)的文件全部的備份下來，我們系統(tǒng)崩潰的時 候可以直接的啟動我們的系統(tǒng)備份文件。 我再補充一點，我們的系統(tǒng)崩潰的機率很小，至少我們現(xiàn)在還沒有發(fā)現(xiàn)我 們的系統(tǒng)崩潰。 “最小授最小授權權“原原則則 從網絡安全的角度考慮問題，打開的服務越多，可能出現(xiàn)的安全漏洞就會 越多?！白钚∈跈唷霸瓌t指得是網絡中帳號設置、服務配置、主機間信任關系配 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 置等應該為網絡正常運行所需的最小限度。關閉網絡安全策略中沒有定義的網 絡服務并將用戶的權限配置為策略定義的最小限度、及時刪除不必要的帳號等 措施可以將系統(tǒng)的危險性大大降低。在沒有明確的安全策略的網絡環(huán)境中，網 絡安全管理員通過簡單關閉不必要或者不了解的網絡服務、刪除主機信任關系、 及時刪除不必要的帳號等手段也可以將入侵危險降低一半以上。 當前最為簡單、流行的攻擊手段包括主機掃描、端口掃描、用戶掃描、猜 口令、緩沖區(qū)溢出等一系列手段。 但是普通版本 unix 的標準配置中卻缺少限制特定地址訪問特定服務的 功能，例如根據網絡安全策略，可能只能允許某個 ip 地址使用 telnet 服務， 另一個子網用戶可以使用 ftp 服務。 “最小授權“原則雖然只是一個思想原則，但是通過具體實現(xiàn)可以以最小的 代價迅速地大大加強網絡安全水平。所以將其獨立列為網絡安全的一個重要元 素。 依據依據 ca 的授的授權權機制機制 操作系操作系統(tǒng)統(tǒng)的授的授權權機制機制 系系統(tǒng)統(tǒng)的授的授權權保保證證 4 網絡安全的實現(xiàn) 沒有絕對的網絡安全。不同屬性的網絡具有不同的安全需求。國家安全、 軍事等網絡對于前面所述的三種威脅都適用，需要調動整個國家的技術力量來 研究專門的網絡安全技術。對于 isp 網絡和企業(yè)網，對于上面論述的網絡安全 幾個重要元素，受投資規(guī)模的限制，不可能全部最高強度的實施，但是正確的 做法是分析網絡中最為脆弱的部分而著重解決，將有限的資金用在最為關鍵的 地方。這有賴于網絡安全策略分析的充分投入。本文認為實現(xiàn)整體網絡安全包 括三個要素：完備適當的網絡安全策略、高水平的網絡安全技術隊伍、嚴格的 管理落實。 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 完完備備適當的網適當的網絡絡安全策略安全策略 對于網絡的建設者和運行者來說，實現(xiàn)安全的第一要務是明確本網的業(yè)務 定位、提供的服務類型和提供服務的對象。這些數據直接影響到安全策略的制 定和實施過程。對于較大規(guī)模的企業(yè)網和 isp 網絡，運行者應該有自己的網絡 安全技術專家，它們直接參與工程的設計、談判、運行,擁有對整體網絡拓撲和 服務非常透徹的了解。這樣可以保證網絡安全策略自始至終的連續(xù)性。 網絡安全的技術研究國內起步較晚，雖然目前許多網絡專家開始注意并研究相 關的技術，但是總體來說網絡安全技術的專門人才還比較缺乏。因此多數網絡 的建設者和運行者并不擁有相應的技術力量。這時，購買市場上的網絡安全服 務是比較明智的策略。例如，網絡安全風險評估、網絡設計安全評估、網絡安 全維護等服務。其中第一項在發(fā)達國家已經非常普遍。許多大的網絡公司也雇 傭專門的安全評估小組對其網絡進行模擬攻擊，以求避免類似“不識廬山真面目， 只緣身在此山中“的效果。多方位、多角度地考察網絡安全漏洞和弱點是提高網 絡安全水平的重要保證。 l、機房設備和數據的物理安全及其保障 這一項與傳統(tǒng)電信網類似。 2、網絡安全管理職能的分割與責任分擔 責任明確化、具體化永遠是有力的實施手段。如果運維人力資源允許，將網絡 的安全維護、系統(tǒng)和數據備份、軟件配置和升級等責任具體到網管人員，實行 包機制度和機歷本制度等，保證責任人之間的備份和替換關系。一般來說，不 可能網管安全責任人全部具有非常高的安全技術水平，同時出于人力資源的考 慮，設立網絡安全技術支援小組，將技術的跟蹤研究與措施的具體實施分割開 來是一種較為經濟的考慮。 不同于電信網應用軟件管理的特點，internet 網的軟件升級是非常頻繁和細碎 的事情。軟件升級的目的除了提供新得功能以外，就是彌補過去的安全漏洞。 所以往往需要網管人員經常及時地更新和升級軟件。這應該列為網管人員的重 要責任之一。 3、用戶的權利分級和責任 各種用戶應該享受的服務種類；用戶在享受服務的同時，應該承當的義務范圍； 對發(fā)現(xiàn)有惡意使用網絡、利用網絡騷擾攻擊其它網絡或用戶的使用者應該采取 的處理辦法。 4、攻擊和入侵應急處理流程和災難恢復計劃 發(fā)現(xiàn)黑客入侵后的處理流程，該問題與安全運行級別和安全故障等級的劃分直 接相關。流程應該保證發(fā)現(xiàn)入侵后不使入侵造成的損失擴大，不會造成運行的 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 混亂，及時得到安全技術人員的支持，某種等級的安全故障必須向上級主管部 門匯報等等。 5、口令安全管理 包括口令的選取、保存、更改周期、定期檢查、保密等內容。 網絡安全策略就是企業(yè)安全工作的法律，任何用戶和管理員都必須遵守。發(fā)現(xiàn) 問題要立即糾正。安全工作要作到有法可依、有法必依、違法必糾。 高水平的網高水平的網絡絡安全技安全技術隊術隊伍伍 安全技術力量的形成首先必須是專業(yè)化。抽調專門的技術人員專門從事企 業(yè)的網絡安全建設和管理?？梢韵葟妮^小的核心開始，通過各種渠道呼吁、宣 傳、教育，提高各級領導對網絡安全問題的重視程度，向大家演示黑客攻擊的 現(xiàn)實威脅是一種有效的辦法。使領導層、管理層和技術人員大家形成一個共識： 網絡安全工作非常重要，投資是必要的。 其次，逐步加強安全工作核心小組的實力。根據企業(yè)使用的技術種類和以 后的發(fā)展方向，形成一定的內部研究分工，比如 unix、nt、路由、數據庫和其 它應用、國際相關討論組、以及上述的各種網絡安全元素等。在技術上保證不 落后國際領先水平很遠，以電話、電子郵件或者 bbs 的方式為全網提供普遍的 技術咨詢和技術支持，對本網和客戶技術人員提供培訓服務，在建設和維護上 為領導決策提供網絡安全方面的參考。 再次，繼續(xù)充實安全技術隊伍，形成自己的安全技術特長，承擔國家重大網絡 安全研究應用任務。 建立建立專業(yè)專業(yè)的的 ca 中心中心 運作一個 ca 系統(tǒng)的關鍵 由于網上交易是實時在線的，對于建立并運營 ca 系統(tǒng)的企業(yè)，必須滿足用 戶對高可靠、高安全服務的要求。從用戶的角度看，一個成功的 ca 意味著較容 易地獲得數字證書，能夠在訪問控制、信息加密、安全交易等商業(yè)應用中方便 地使用這些數字證書。從企業(yè)的角度來看，運營 pki 意味著為用戶提供一個可 信的在線服務。 我們可以建立我們專業(yè)的 ca 中心 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 管理、管理、管理管理、管理、管理 即使是一個完美的安全策略，如果得不到很好的實施，也是空紙一張。一 般來說，安全與方便通常是互相矛盾的。據反映，有些網絡安全專家雖然知道 自己網絡中存在的安全漏洞以及可能招致的攻擊，但是出于管理協(xié)調方面的問 題，卻無法去更正。因為是大家一起在管理使用一個網絡，包括用戶數據更新 管理、路由政策管理、數據流量統(tǒng)計管理、新服務開發(fā)管理、域名和地址管理 等等。網絡安全管理只是其中的一部分，并且在服務層次上，處于對其它管理 提供服務的地位上。這樣，在與其它管理服務存在沖突的時候，網絡安全往往 需要作出讓步。 流于形式是安全管理失敗的主要原因。筆者作為安全管理員期間，在多個公共 服務器用戶的目錄中都曾經發(fā)現(xiàn)管理單位發(fā)給用戶的警告文件，內容大致是不 要使用簡單單詞作為自己的口令，尤其不要使用用戶名做口令以及其它注意事 項。但是，這樣的警告是否起作用了呢？事實上，相當部分用戶從來沒有登錄 過，當然也就根本沒有看到過該警告。在相當部分公共服務主機上，使用脆弱 口令的用戶往往超過 10%，有些站點甚至超過 30%。這通常關系到各地數據業(yè)務 部門為用戶初始化口令時的安全政策，有的初始化成了用戶名，有的初始化成 了統(tǒng)一口令（如 123456），同時沒有保證用戶及時修改的措施。于是，上面的 警告和口令安全策略也就流于形式，根本沒有起到加強網絡安全的作用。 管理落實是實現(xiàn)網絡安全的關鍵。 5我們公司的安全策略 客客戶戶可能面可能面臨臨的網的網絡絡安全安全隱隱患患 客戶在使用我們的軟件的時候，可能會遇到一些安全隱患，譬如： 客戶的密碼可能丟失，密碼被別人修改，造成客戶不能進入我們的系統(tǒng)， 并且客戶的個人資料可能被別人竊取，這樣就給單位和個人造成了很大的不不 必要損失。 公司公司對對客客戶戶安全使用的控制安全使用的控制級別級別 我們公司對客戶有一定的控制，以驗證客戶的權限?？蛻舻纳蟼骱拖螺d要 有驗證的權限，這個權限是只有我們的 id 用戶才有。我們要在我們公司的網站 更多協(xié)同辦公 oa 系統(tǒng)資料請訪問：/mydoc-5887523-1.html&folderid=70561 上核實客戶的 id 權限。 我我們們公司目前可以公司目前可以為為客客戶戶解決的安全解決的安全問題問題 （1） 我們對每一個客戶都有用戶 id 的驗證，只有通過我們驗證的用戶才可以 登陸我們的系統(tǒng)。沒有通過驗證的人員是無法進入我們的系統(tǒng)的。 （2） 我們公司在 ca 認證方面已經達到了 128 位加密。 （3） 在公司的內部我們采用了 ip 和用戶名之間的綁定。 （4） 在公司的外網，我們采用了一定區(qū)域內的 ip 和用戶名之間的綁定，我們 還對加密狗進行加密，這樣就更加保障了我們公司的網絡安全。 （5） 我們公司在對付一些人員和網絡黑客對我們公司員工密碼的攻擊和猜測 上作到了反攻擊和反猜測，我們還把輸入密碼錯誤后的滯留時間控制為 1 秒鐘，這樣一來不管對方的計算機再快，也無發(fā)在短時間內攻擊我們 的軟件。 （6） 如果您認為這樣還不夠安全我們還可以給公司的領導配一個個人使用的 加密狗。用戶必須要有我們公司提供的與您的用戶名和密碼匹配的加密 狗才可以遠程登陸。這樣實現(xiàn)后，就算用戶的密碼被盜，但沒有加密狗， 也沒有辦法登陸到服務器上。如果加密狗也同時被盜，只要用戶及時的 把加密狗掛失，我們就會取消該加密狗的所有權限，該用戶的登陸名和 密碼也會及時作廢。這樣就沒有人可以登陸您的帳號，使您個人和公司 的信息資料都得到了保障。 ut2apodfxxc02gybkskcww97mrqqwhoj5tl15zt6jipyytycummtarp3v1n5luizi3xh3bhwyreko8d9g7nmzqowpjetldrw08gvs8dsdqqygc3ce7moo2tlf0jf1gk74iuxybmtivr97ckrfvqult5fn2t6mpjr6rbzvpsortzvij5nb5ndvvsr4iwr1t