系統(tǒng)程序漏洞掃描安全系統(tǒng)評估方案設(shè)計(jì)

目錄一、項(xiàng)目概述TOC\o"1-5"\h\z\o"CurrentDocument"1.1評估范圍2\o"CurrentDocument"1.2評估層次2\o"CurrentDocument"1.3評估方法2\o"CurrentDocument"1.4評估結(jié)果21.5風(fēng)險(xiǎn)評估手段31.5.1基于知識的分析方法31.5.2基于模型的分析方法31.5.3定星分析41.5.4定性分析.5\o"CurrentDocument"1.6評估標(biāo)準(zhǔn)5\o"CurrentDocument"二、網(wǎng)拓?fù)湓u估5\o"CurrentDocument"2.1拓?fù)浜侠硇苑治?\o"CurrentDocument"2.2可擴(kuò)展性分析5\o"CurrentDocument"三、網(wǎng)絡(luò)安全管理機(jī)制評估6\o"CurrentDocument"1調(diào)研訪談及數(shù)據(jù)采集6\o"CurrentDocument"2網(wǎng)絡(luò)安全管理機(jī)制健全性檢查7\o"CurrentDocument"3網(wǎng)絡(luò)安全管理機(jī)制合理性檢查7\o"CurrentDocument"3.4網(wǎng)絡(luò)管理協(xié)議分析8\o"CurrentDocument"四、脆弱性嚴(yán)重程度評估8\o"CurrentDocument"1安全漏洞掃描8\o"CurrentDocument"4.2人工安全檢查10\o"CurrentDocument"3安全策略評估11\o"CurrentDocument"4.4脆弱性識別12\o"CurrentDocument"五、網(wǎng)絡(luò)威脅響應(yīng)機(jī)制評估121遠(yuǎn)程滲透測試13\o"CurrentDocument"六、網(wǎng)絡(luò)安全配置均衡性風(fēng)險(xiǎn)評估14\o"CurrentDocument"6.1設(shè)備配置收集14\o"CurrentDocument"6.2檢查各項(xiàng)HA配置163設(shè)備日志分析17\o"CurrentDocument"七、風(fēng)險(xiǎn)級別認(rèn)定18\o"CurrentDocument"八、項(xiàng)目實(shí)施規(guī)劃18\o"CurrentDocument"九、項(xiàng)目階段19十、交付的文檔及報(bào)告20在項(xiàng)目中，安全掃描主要是通過評估工具以本地掃描的方式對評估范圍內(nèi)的系統(tǒng)和網(wǎng)絡(luò)進(jìn)行安全掃描，從內(nèi)網(wǎng)和外網(wǎng)兩個(gè)角度來查找網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器主機(jī)、數(shù)據(jù)和用戶帳號/口令等安全對像目標(biāo)存在的安全風(fēng)險(xiǎn)、漏洞和威脅。安全掃描項(xiàng)目包括如下內(nèi)容：,信息探測類/網(wǎng)絡(luò)設(shè)備與防火墻/RPC服務(wù),Web服務(wù),CGI問題,文件服務(wù)/域名服務(wù)/MaiI服務(wù)/Windows遠(yuǎn)程訪問/數(shù)據(jù)庫問題,后門程序/其他服務(wù),網(wǎng)絡(luò)拒絕服務(wù)（DOS）/其它問題從網(wǎng)絡(luò)層次的角度來看，掃描項(xiàng)目涉及了如下三個(gè)層面的安全問題。（-）系統(tǒng)層安全該層的安全問題來自網(wǎng)絡(luò)運(yùn)行的操作系統(tǒng)：UNIX系列、Linux系列、Windows系列以及專用操作系統(tǒng)等。安全性問題表現(xiàn)在兩方面：一是操作系統(tǒng)本身的不安全因素，主要包括身份認(rèn)證、訪問控制、系統(tǒng)漏洞等；二是操作系統(tǒng)的安全配置存在問題。身份認(rèn)證：通過Telnet進(jìn)行口令猜測等。訪問控制：注冊表普通用戶可寫，遠(yuǎn)程主機(jī)允許匿名FTP登錄，F(xiàn)TP服務(wù)器存在匿名可寫目錄等。系統(tǒng)漏洞：Windows緩沖出溢出漏洞。安全配置問題：部分SMB用戶存在弱口令，管理員帳號不需要密碼等。（-）網(wǎng)絡(luò)層安全該層的安全問題主要指網(wǎng)絡(luò)信息的安全性，包括網(wǎng)絡(luò)層身份認(rèn)證、網(wǎng)絡(luò)資源的訪問控制、數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性、遠(yuǎn)程接入'路由系統(tǒng)的安全、入侵檢查的手段等。網(wǎng)絡(luò)資源的訪問控制：檢測到無線訪問點(diǎn)。域名系統(tǒng)：ISCBINDSIG資源記錄無效過期時(shí)間拒絕服務(wù)攻擊漏洞，WindowsDNS拒絕服務(wù)攻擊。路由器：ciscoIOSWeb配置接口安全認(rèn)證可繞過，路由器交換機(jī)采用默認(rèn)密碼或弱密碼等。（三）應(yīng)用層安全該層的安全考慮網(wǎng)絡(luò)對用戶提供服務(wù)器所采用的應(yīng)用軟件和數(shù)據(jù)的安全性，包括：數(shù)據(jù)庫軟件、WEB服務(wù)、電子郵件、域名系統(tǒng)、應(yīng)用系統(tǒng)、業(yè)務(wù)應(yīng)用軟件以及其它網(wǎng)絡(luò)服務(wù)系統(tǒng)等。數(shù)據(jù)庫軟件：OracleTnslsnr沒有配置口令，MSSQL2000sa帳號沒有設(shè)置密碼。WEB服務(wù)：SQL注入攻擊、跨站腳本攻擊、基于WEB的DOS攻擊。電子郵件系統(tǒng)：SendmaiI頭處理遠(yuǎn)程溢出漏洞，MicrosoftWindows2000SMTP服務(wù)認(rèn)證錯(cuò)誤漏洞。為了確保掃描的可靠性和安全性，首先制定掃描計(jì)劃。計(jì)劃主要包括掃描開始時(shí)間、掃描對象、預(yù)計(jì)結(jié)束時(shí)間、掃描項(xiàng)目、預(yù)期影響、需要對方提供的支持等等。在實(shí)際開始評估掃描時(shí)，評估方會正式通知項(xiàng)目組成員。奧怡軒按照預(yù)定計(jì)劃，在規(guī)定時(shí)間內(nèi)進(jìn)行并完成評估工作。如遇到特殊情況（如設(shè)備問題、停電、網(wǎng)絡(luò)中斷等不可預(yù)知的狀況）不能按時(shí)完成掃描計(jì)劃或致使掃描無法正常進(jìn)行時(shí)，由雙方召開臨時(shí)協(xié)調(diào)會協(xié)商予以解決。4.2人工安全檢查安全掃描是使用風(fēng)險(xiǎn)評估工具對絕大多數(shù)評估范圍內(nèi)主機(jī)、網(wǎng)絡(luò)設(shè)備等系統(tǒng)環(huán)境進(jìn)行的漏洞掃描。但是，評估范圍內(nèi)的網(wǎng)絡(luò)設(shè)備安全策略的弱點(diǎn)和部分主機(jī)的安全配置錯(cuò)誤等并不能被掃描器全面發(fā)現(xiàn)，因此有必要對評估工具掃描范圍之外的系統(tǒng)和設(shè)備進(jìn)行手工檢查。路由器的安全檢查主要考慮以下幾個(gè)方面：,帳號口令/網(wǎng)絡(luò)與服務(wù)/訪問控制策略/日志審核策略/空閑端口控制交換機(jī)的安全檢查主要考慮以下幾個(gè)方面：/帳號口令,網(wǎng)絡(luò)與服務(wù)/VLAN的劃分主機(jī)的安全檢查主要考慮以下幾個(gè)方面：,補(bǔ)丁安裝情況/帳號、口令策略,網(wǎng)絡(luò)與服務(wù)檢查,文件系統(tǒng)檢查/日志審核檢查/安全性檢查1）安全掃描此階段通過技術(shù)手段評估系統(tǒng)中的漏洞。對撐握整個(gè)被評估系統(tǒng)的安全狀態(tài)提供重要數(shù)據(jù)。被掃描的系統(tǒng)有：/Windows系統(tǒng)/Linux系統(tǒng),Unix客服熱線系統(tǒng)在安全掃描階段使用的主要工具有：/InternetScanner/NESSUS/AcunetixWebVulnerabiIityScanner掃描過程中可能會導(dǎo)致某些服務(wù)中斷，雙方應(yīng)該事先做好協(xié)調(diào)工作，并做好應(yīng)急處理方案，在發(fā)現(xiàn)問題后及時(shí)上報(bào)，并及時(shí)恢復(fù)系統(tǒng)的運(yùn)行。4.3安全策略評估安全策略是對整個(gè)網(wǎng)絡(luò)在安全控制、安全管理、安全使用等方面最全面、最詳細(xì)的策略性描述，它是整個(gè)網(wǎng)絡(luò)安全的依據(jù)。不同的網(wǎng)絡(luò)需要不同的策略，它必須能回答整個(gè)網(wǎng)絡(luò)中與安全相關(guān)的所有問題，例如，如何在網(wǎng)絡(luò)層實(shí)現(xiàn)安全性、如何控制遠(yuǎn)程用戶訪問的安全性、在廣域網(wǎng)上的數(shù)據(jù)傳輸如何實(shí)現(xiàn)安全加密傳輸和用戶的認(rèn)證等。對這些問題幫出詳細(xì)回答,并確定相應(yīng)的防護(hù)手段和實(shí)施方法，就是針對整個(gè)網(wǎng)絡(luò)的一份完整的安全策略。策略一旦制度，應(yīng)做為整個(gè)網(wǎng)絡(luò)行為的準(zhǔn)則。這一步工作，就是從整體網(wǎng)絡(luò)安全的角度對現(xiàn)有的網(wǎng)絡(luò)安全策略進(jìn)行全局的評估，它也包含了技術(shù)和管理方面的內(nèi)容，具體包括：（1）安全策略是否全面覆蓋了整體網(wǎng)絡(luò)在各方面的安全性描述；（2）在安全策略中描述的所有安全控制、管理和使用措施是否正確和有效；（3）安全策略中的每一項(xiàng)內(nèi)容是否都得到確認(rèn)和具體落實(shí)。4.4脆弱性識別脆弱性賦值類型識別對象識別內(nèi)容技術(shù)脆弱性物理環(huán)境從機(jī)房場地、防火、供配電、防靜電、接地與防雷、電磁防護(hù)、通信線路的保護(hù)、區(qū)域防護(hù)、設(shè)備管理等方面進(jìn)行識別網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識別系統(tǒng)軟件從補(bǔ)丁安裝、物理保護(hù)'用戶帳號、口令策略、資源共享、事件審計(jì)、訪問控制、新系統(tǒng)配置、注冊表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識別應(yīng)用中間件從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識別應(yīng)用系統(tǒng)從審計(jì)機(jī)制、審計(jì)存儲、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識別管理脆弱性技術(shù)管理從物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識別組織管理從安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識別賦值標(biāo)識定義5很高如果被威脅利用，將對資產(chǎn)造成完全損害4高如果被威脅利用，將對資產(chǎn)造成重大損害3中等如果被威脅利用，將對資產(chǎn)造成一般損害2低如果被威脅利用，將對資產(chǎn)造成較小損害1很低如果被威脅利用，將對資產(chǎn)造成的損害可以忽略五、網(wǎng)絡(luò)威脅響應(yīng)機(jī)制評估防火墻稱得上是安全防護(hù)的防線，防火墻對于企業(yè)網(wǎng)絡(luò)的安全，已經(jīng)無法實(shí)施100"的六、網(wǎng)絡(luò)安全配置均衡性風(fēng)險(xiǎn)評估6.1設(shè)備配置收集1、核心層交換機(jī)目前的網(wǎng)絡(luò)狀態(tài)正常，在配置上也針對某些安全方面的問題進(jìn)行布置,具體情況都做了詳細(xì)的說明，以下是核心層交換機(jī)配置上的一些安全防護(hù)措施：(D核心交換機(jī)進(jìn)入特權(quán)模式需要密碼，對它進(jìn)行了密文的設(shè)置。對核心交換機(jī)的虛擬線路進(jìn)行密碼的設(shè)置，遠(yuǎn)程登錄需要輸入密碼。使用UDLD對某些端口進(jìn)行鏈路的檢測，以減少丟包的概率。在核心交換機(jī)上全局下關(guān)閉禁用HttpServer,防止非法入侵全局下開啟Bpdu-Guard,因?yàn)楹诵慕粨Q機(jī)在全局下開啟Portfast特性.2、核心層交換機(jī)的穩(wěn)定性直接關(guān)系到整個(gè)網(wǎng)絡(luò)數(shù)據(jù)流量能否正常通過，核心層交換機(jī)的安全性問題自然會影響到能否一直保持穩(wěn)定的狀態(tài)，起到至關(guān)的作用，保護(hù)好核心交換機(jī)的安全問題很大原因其實(shí)是在保護(hù)核心交換機(jī)的穩(wěn)定性，做好安全防護(hù)工作，保護(hù)好核心交換機(jī)的穩(wěn)定性成為我們規(guī)則的焦點(diǎn)，下面是對本核心層交換機(jī)的安全防護(hù)問題進(jìn)行完善，從而提高核心層交換機(jī)的安全性。3、使用SSH來作為遠(yuǎn)程的登錄，使用TELNET進(jìn)行遠(yuǎn)程登錄，Telnet會話中輸入的每個(gè)字符都將會被明文發(fā)送，這將被像Sniffer這樣的抓包軟件獲取它的用戶名、密碼等敏感信息。因此，使用安全性更高的SSH加密無疑比使用Telnet更加安全。4、在虛擬線路中對遠(yuǎn)程登錄的最大連接數(shù)進(jìn)行限制，默認(rèn)，一般情況下網(wǎng)絡(luò)設(shè)備會開放5-15個(gè)虛擬的連接線路，不過，不同廠商，不同型號，所開放的虛擬線路連接數(shù)也都不一樣，可以通過登錄到此設(shè)備，可以用遠(yuǎn)程登陸或本地登陸，在該設(shè)備上對配置進(jìn)行查看，再根據(jù)實(shí)際情況進(jìn)行修改；一般情況下，很多人都沒有對遠(yuǎn)程登陸范圍進(jìn)行限制，這樣使得每個(gè)人都有機(jī)會去TELNET,這多少給了惡意用戶提供攻擊的機(jī)會，比如可以使用SYNFlood攻擊；它偽造一個(gè)SYN報(bào)文，偽造一個(gè)源地址或者不存在的地址，通過向服務(wù)器發(fā)起連接，服務(wù)器在收到報(bào)文后用SYN-ACK應(yīng)答，而此應(yīng)答發(fā)出去后，服務(wù)器就等待源發(fā)個(gè)ACK的確認(rèn)包過來后以完成三次握手，建立起連接，但是，攻擊者使用的源是一個(gè)不存在或是偽造的地址,服務(wù)器將永遠(yuǎn)不會收到攻擊者發(fā)送過來的ACK報(bào)文，這樣將造成一個(gè)半連接。如果攻擊者發(fā)送大量這樣的報(bào)文，會在被攻擊主機(jī)上出現(xiàn)大量的半連接，消耗所有的資源，使得正常的用信息進(jìn)行宣告出去，整網(wǎng)中所有交換機(jī)的原來VLAN信息全被刪除，都學(xué)習(xí)到SERVER交換機(jī)發(fā)送過來的最新VLAN信息流。這兩種方式都直接導(dǎo)致網(wǎng)絡(luò)流量的導(dǎo)向，使得網(wǎng)絡(luò)中交換機(jī)所學(xué)到的VLAN信息不全，網(wǎng)絡(luò)資源的浪費(fèi)，網(wǎng)絡(luò)部分業(yè)務(wù)的中斷，甚至網(wǎng)絡(luò)的環(huán)路，為了防范以上的問題，需要布置根防護(hù)，當(dāng)根網(wǎng)橋在啟用根防護(hù)的端口上接收到其他交換機(jī)發(fā)送過來的BPDU,不管修訂版本號是多高，根網(wǎng)橋不對此包作處理，直接端將口進(jìn)入”不一致"的STP狀態(tài)，并且交換機(jī)不會從這個(gè)端口轉(zhuǎn)發(fā)流量；這種方法能夠有效地鞏固根網(wǎng)橋的位置，還能夠有效的避免第2層環(huán)路，它能將接口強(qiáng)制為指定端口，進(jìn)而能夠防止周圍的交換機(jī)成為根交換機(jī)。當(dāng)新交換機(jī)接入網(wǎng)絡(luò)時(shí)，先將交換機(jī)的模式設(shè)置為透明模式，再把它改為客戶模式，從而保證不會出現(xiàn)以上所說的情況。6.2檢查各項(xiàng)HA配置1、核心層交換機(jī)上開啟了HSRP協(xié)議，在匯聚層華為設(shè)備上配置了VRRP協(xié)議，因?yàn)镠SRP是思科私有，所以華為只能使用業(yè)界的VRRP,在兩臺核心交換機(jī)上，對VLAN的SVI口進(jìn)行配置；HSRP是一種熱備份路由網(wǎng)關(guān)協(xié)議，具有很高的可靠性，它通過雙方預(yù)先設(shè)定好的虛擬IP地址，發(fā)送HELLO數(shù)據(jù)包，經(jīng)過一系列的狀態(tài)比較，最終協(xié)商出誰是Active誰是Standby,HSRP相當(dāng)于是臺虛擬的路由器，有自己的虛擬IP地址及MAC地址，終端用戶將這虛擬的IP地址作為網(wǎng)關(guān)；默認(rèn)情況下，只有Active路由器在工作，Standby路由器一直處在空閑狀態(tài)之中，雙方每3S會發(fā)送HELLO去偵測對方以確定對方是否存在，當(dāng)10S過后，還沒收到對方發(fā)送過來的HELLO包，Standby會認(rèn)為對方設(shè)備出現(xiàn)故障或者對方已經(jīng)不存在，這時(shí)它會把自己的狀態(tài)從standby變?yōu)閍ctive.這對于終端的用戶是透明的，保證終端用戶數(shù)據(jù)能得到可靠的傳輸，當(dāng)一臺設(shè)備鏈路出現(xiàn)問題，HSRP只需要經(jīng)過一個(gè)鄰居狀態(tài)standby-active,能快速的切換到另一臺設(shè)備，用戶的可用性得到保障；HSRP還可以對整個(gè)網(wǎng)絡(luò)進(jìn)行負(fù)載分擔(dān)。VRRP是業(yè)界定義的一種類似于HSRP的網(wǎng)關(guān)冗余協(xié)議，功能與作用基本與HSRP相同，區(qū)別在于VRRP可以使用物理的IP地址作為虛擬IP地址，VRRP的狀態(tài)機(jī)相比起HSRP減少很多等。2、通過對核心交換機(jī)HSRP協(xié)議的配置進(jìn)行分析，HSRP全都是在VLAN的SVI接口里進(jìn)行配置，在主核心交換機(jī)中設(shè)定一個(gè)共同的虛擬IP地址，并對它的優(yōu)先級進(jìn)行設(shè)定，開啟七、風(fēng)險(xiǎn)級別認(rèn)定網(wǎng)絡(luò)安全管理是一項(xiàng)系統(tǒng)工程，要從根本上去規(guī)避安全風(fēng)險(xiǎn)，則必須對整個(gè)網(wǎng)絡(luò)安全體系進(jìn)行系統(tǒng)化的分析，從管理和技術(shù)兩大方面入手，雙管齊下，必須變被動為主動，提早發(fā)現(xiàn)問題，解決問題，盡可能杜絕安全管理上的漏洞。通過將現(xiàn)有制度按體系分層歸類，找出現(xiàn)有制度及運(yùn)作的存在問題，和國際標(biāo)準(zhǔn)IS017799進(jìn)行對比，提出修補(bǔ)意見。根據(jù)現(xiàn)有的制度，建立安全管理指導(dǎo)的框架，方便各中心根據(jù)自身實(shí)際形成必要的安全指導(dǎo)制度。《技術(shù)性的系統(tǒng)安全掃描報(bào)告》《技術(shù)性的系統(tǒng)安全加固方案》《關(guān)鍵系統(tǒng)基線檢查報(bào)告》《遠(yuǎn)程滲透測試報(bào)告》《IS027001差距分析》《網(wǎng)絡(luò)安全機(jī)制評估報(bào)告》八、項(xiàng)目實(shí)施規(guī)劃表1項(xiàng)目實(shí)施規(guī)劃序號工作名稱詳細(xì)1項(xiàng)目準(zhǔn)備項(xiàng)目啟動會安全評估前的培訓(xùn)2安全評估使用掃描工具進(jìn)行安全掃描遠(yuǎn)程滲透測試對系統(tǒng)進(jìn)行基線檢查對系統(tǒng)相關(guān)人員進(jìn)行訪談對管理制度進(jìn)行審查3企業(yè)安全現(xiàn)狀分析技術(shù)上的工具掃描結(jié)果、遠(yuǎn)程滲透測試、基線檢查結(jié)果分析管理層面的漏洞分析差距分析，與IS027001做比較4安全加固在技術(shù)層面上使用技術(shù)手段對系統(tǒng)進(jìn)行安全加固在管理層面上制定合理的管理制度TOC\o"1-5"\h\z\o"CurrentDocument"1中間評估文檔21\o"CurrentDocument"10.2最終報(bào)告21\o"CurrentDocument"十一、安全評估具體實(shí)施內(nèi)容22\o"CurrentDocument"11.1網(wǎng)絡(luò)架構(gòu)安全狀況評估221.1內(nèi)容描述2211.1.2過程任務(wù)2311.1.3輸入指導(dǎo)2311.1.4輸出成果2312.2系統(tǒng)安全狀態(tài)評估232.1內(nèi)容描述2311.2.2過程任務(wù)26輸入指導(dǎo)2811.2.4輸出成果28\o"CurrentDocument"11.3策略文件安全評估283.1內(nèi)容描述28過程任務(wù)293.3輸入指導(dǎo)303.4輸出成果30\o"CurrentDocument"11.4最終評估結(jié)果305評估結(jié)束后的培訓(xùn)針對當(dāng)前企業(yè)存在的安全問題做一次有針對性的培訓(xùn)6項(xiàng)目后期的宣傳工作通過FLASH、海報(bào)等方式加強(qiáng)安全方面的宣傳教育工作。九、項(xiàng)目階段第一階段：前期準(zhǔn)備階段?項(xiàng)目計(jì)劃?需求調(diào)研?確定項(xiàng)目目標(biāo)和詳細(xì)范圍?完成詳細(xì)方案設(shè)計(jì)?項(xiàng)目前期溝通與培訓(xùn)第二階段：評估實(shí)施?技術(shù)評估?策略文檔及規(guī)范審查第三階段：評估報(bào)告和解決方案數(shù)據(jù)整理和綜合分析安全現(xiàn)狀報(bào)告安全解決方案第四階段：支持和維護(hù)?系統(tǒng)加固安全培訓(xùn)定期回復(fù)?抽樣遠(yuǎn)程二次評估實(shí)施安全評估的整個(gè)過程如下圖所示10.1中間評估文檔《網(wǎng)絡(luò)架構(gòu)整體安全分析評估報(bào)告》《系統(tǒng)漏洞掃描報(bào)告》（包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、PC機(jī)、安全設(shè)備等）《技術(shù)性弱點(diǎn)綜合評估報(bào)告》《安全策略文檔體系評估報(bào)告》10.2最終報(bào)告《安全評估整體結(jié)果報(bào)告》;《安全整體解決方案建議》;《系統(tǒng)安全加固建議方案》。十一、安全評估具體實(shí)施內(nèi)容11.1網(wǎng)絡(luò)架構(gòu)安全狀況評估內(nèi)容描述網(wǎng)絡(luò)架構(gòu)安全評估主要涉及到以下幾個(gè)方面的內(nèi)容：網(wǎng)絡(luò)拓?fù)浜蛥f(xié)議：拓?fù)浣Y(jié)構(gòu)合理性分析、可擴(kuò)展性分析；對周邊接入的全面了解，安全域劃分的級別，信任網(wǎng)絡(luò)或者不信任網(wǎng)絡(luò)之間是否有控制，控制本身帶來的安全程度以及是否有可以繞過控制的途徑；所采用的路由協(xié)議，是否存在配置漏洞，冗余路由配置情況，路由協(xié)議的信任關(guān)系；對網(wǎng)絡(luò)管理相關(guān)協(xié)議的分析整理；對業(yè)務(wù)應(yīng)用相關(guān)協(xié)議的分析整理；各網(wǎng)絡(luò)節(jié)點(diǎn)（包括接入節(jié)點(diǎn)）的安全保障措施。網(wǎng)絡(luò)安全管理機(jī)制：網(wǎng)絡(luò)的安全策略是否存在，以及是否和業(yè)務(wù)系統(tǒng)相互吻合，有無合理的安全制度作為保障;網(wǎng)絡(luò)體系架構(gòu)是如何進(jìn)行管理的，是否有良好的機(jī)制和制度保障網(wǎng)絡(luò)架構(gòu)本身不被改變,沒有非法的不符合安全策略的架構(gòu)改變；網(wǎng)絡(luò)設(shè)備BUG的檢查處理機(jī)制，即系統(tǒng)管理人員接收到或者發(fā)現(xiàn)網(wǎng)絡(luò)設(shè)備存在BUG的時(shí)候，是否有一個(gè)流程可以處理；網(wǎng)絡(luò)安全事件緊急響應(yīng)措施；網(wǎng)絡(luò)防黑常用配置的資料整理、分類和準(zhǔn)備；網(wǎng)絡(luò)故障的分析手段的資料整理、分類和準(zhǔn)備；針對網(wǎng)絡(luò)架構(gòu)、協(xié)議和流量的安全審計(jì)制度和實(shí)施情況調(diào)查。網(wǎng)絡(luò)認(rèn)證與授權(quán)機(jī)制：網(wǎng)絡(luò)服務(wù)本身提供的密碼和身份認(rèn)證手段，系統(tǒng)是否還要其它密碼和身份認(rèn)證體系；在相關(guān)的網(wǎng)絡(luò)隔離點(diǎn)，是否有恰當(dāng)?shù)脑L問控制規(guī)則設(shè)立，是否被有效的執(zhí)行；是否有集中的網(wǎng)絡(luò)設(shè)備認(rèn)證管理機(jī)制，是否被正確的配置和執(zhí)行；網(wǎng)絡(luò)加密與完整性保護(hù)機(jī)制：數(shù)據(jù)加密傳輸；完整性校驗(yàn)的實(shí)現(xiàn)。網(wǎng)絡(luò)對抗與響應(yīng)機(jī)制：是否有漏洞的定期評估機(jī)制和入侵檢測和記錄系統(tǒng)的機(jī)制；網(wǎng)絡(luò)建設(shè)中是否良好的考慮了網(wǎng)絡(luò)的高可用性和可靠性問題，是否被正確使用和良好的配置,是否有機(jī)制保障不被修改。網(wǎng)絡(luò)安全配置均衡性分析：安全機(jī)制本身配置是否不合理或者存在脆弱性。掃描Echo,Time,Chargen等不必要的服務(wù)UNIX/Linux掃描后門Trinoo,…掃描SMTP版本及各種漏洞掃描對Rcommand(rsh.rlogin,rexec),teInet的BruteforceAttack?掃描FTP,TFTP服務(wù)器的各種漏洞SNMP漏洞掃描(CommunityName,讀/寫)掃描DNS服務(wù)(bind)的漏洞掃描RPC服務(wù)的各種漏洞，NFS共享/NIS等掃描xWindow服務(wù)器遠(yuǎn)程漏洞掃描Echo,Time,Chargen等不必要的服務(wù),還有Finger,Gopher,POP3,SSH等危險(xiǎn)服務(wù)網(wǎng)絡(luò)設(shè)備掃描通訊設(shè)備(Router,SwitchingHub,F/W)等的安全狀況掃描SNMP漏洞(CommunityName,讀/寫)掃描ICMP漏洞(TimeStamp等)掃描測試各種StealthPort掃描默認(rèn)密碼的BruteForce攻擊應(yīng)用系統(tǒng)掃描Web服務(wù)器、FTP服務(wù)器等應(yīng)用系統(tǒng)IIS,Netscape等服務(wù)器漏洞RDS,Unicode等漏洞各種CGI漏洞掃描WebProxy服務(wù)器掃描數(shù)據(jù)庫Oracle,MS-SQL,MySQL服務(wù)器漏洞各種默認(rèn)密碼掃描登錄后，可否執(zhí)行各種StoredProcedure掃描網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備配置策略網(wǎng)絡(luò)設(shè)備特定漏洞在自動化漏洞掃描基礎(chǔ)上，奧怡軒技術(shù)顧問會對目標(biāo)系統(tǒng)進(jìn)行滲透測試。滲透測試，是在授權(quán)情況下，利用安全掃描器和富有經(jīng)驗(yàn)的安全工程師的人工經(jīng)驗(yàn)對網(wǎng)絡(luò)中的核心服務(wù)器及重要的網(wǎng)絡(luò)設(shè)備（包括服務(wù)器、交換機(jī)、防火墻等）進(jìn)行非破壞性質(zhì)的模擬黑客攻擊，目的是侵入系統(tǒng)并獲取機(jī)密信息并將入侵的過程和細(xì)節(jié)產(chǎn)生報(bào)告給用戶。滲透測試和工具掃描可以很好的互相補(bǔ)充。工具掃描具有很好的效率和速度，但是存在一定的誤報(bào)率，不能發(fā)現(xiàn)高層次、復(fù)雜的安全問題；滲透測試需要投入的人力資源較大、對測試者的專業(yè)技能要求很高（滲透測試報(bào)告的價(jià)值直接依賴于測試者的專業(yè)技能），但是非常準(zhǔn)確，可以發(fā)現(xiàn)邏輯性更強(qiáng)、更深層次的脆弱性。在獲得必要的訪問權(quán)限條件下，奧怡軒依據(jù)專家經(jīng)驗(yàn)，定制人工評估CHECKLIST,對重點(diǎn)系統(tǒng)進(jìn)行本地登錄并做逐項(xiàng)安全檢查。對UNIX系統(tǒng)的人工評估內(nèi)容包括但不限于以下內(nèi)容：系統(tǒng)安全補(bǔ)丁是否最新；對于遠(yuǎn)程登錄的管理，包括登錄方式和登錄用戶；系統(tǒng)開放的服務(wù)，是否存在不必要服務(wù)；系統(tǒng)允許的網(wǎng)絡(luò)連接，是否啟用信任主機(jī)方式，是否對網(wǎng)絡(luò)連接設(shè)置訪問控制；系統(tǒng)中用戶管理與口令策略；系統(tǒng)文件管理，是否以安全模式加載文件系統(tǒng)，文件系統(tǒng)的訪問權(quán)限設(shè)置是否安全；系統(tǒng)審計(jì)設(shè)置，是否使嘗試登錄失敗記錄有效，是否配置成不接受其他機(jī)器發(fā)送的日志信息等；系統(tǒng)抗攻擊能力，是否做TCP序列號預(yù)測攻擊防護(hù)，是否限定系統(tǒng)禁止堆棧緩存溢出，是否對TCP/IP網(wǎng)絡(luò)參數(shù)進(jìn)行安全配置；對登錄用戶是否設(shè)置超時(shí)退出參數(shù)；是否修改系統(tǒng)的banner信息，防止系統(tǒng)泄漏信息。對數(shù)據(jù)庫的人工評估包括但不限于以下內(nèi)容：檢查系統(tǒng)及數(shù)據(jù)庫版本檢查數(shù)據(jù)庫補(bǔ)丁檢查數(shù)據(jù)庫配置信息檢查安全的密碼策略檢查帳號策略檢查數(shù)據(jù)庫配置文件權(quán)限檢查權(quán)限檢查數(shù)據(jù)庫調(diào)試和開發(fā)環(huán)境是否分開認(rèn)證審計(jì)檢查是否建立良好的日志管理策略檢查備份策略過程任務(wù)確定評估范圍，獲得目標(biāo)系統(tǒng)信息，包括ip地址段等;獲得必要的系統(tǒng)訪問權(quán)限；安裝部屬掃描設(shè)備和工具；進(jìn)行自動漏洞掃描；進(jìn)行滲透測試；進(jìn)行重點(diǎn)系統(tǒng)的本地登錄，做安全審查；分析掃描評估結(jié)果和數(shù)據(jù)；編寫技術(shù)評估報(bào)告。自動工具評估流程如下圖所示：

漏洞掃描流程自動掃描評估之后，評估人員會登錄到重點(diǎn)系統(tǒng)，在系統(tǒng)本地進(jìn)行更細(xì)致和更有針對性的人工評估。實(shí)施人工評估時(shí)，鑒于項(xiàng)目進(jìn)度控制，將根據(jù)抽樣原則，有選擇性地對典型的服務(wù)器、桌面系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備進(jìn)行人工評估。抽樣原則如下：各系統(tǒng)被評估的網(wǎng)絡(luò)設(shè)備和主機(jī)系統(tǒng)的數(shù)量與該系統(tǒng)總數(shù)量成正比；選擇業(yè)務(wù)特點(diǎn)具有代表性的主機(jī)和網(wǎng)絡(luò)設(shè)備進(jìn)行評估，例如應(yīng)用于某類業(yè)務(wù)系統(tǒng)的Solaris的主機(jī)可以只評估其中一臺。人工評估流程如下圖所示:

人工評估流程輸入指導(dǎo)人工評估流程■系統(tǒng)描述的信息■■網(wǎng)絡(luò)拓?fù)?、ip地址■網(wǎng)絡(luò)拓?fù)?、■網(wǎng)絡(luò)拓?fù)洹p地址（段）■必要的系統(tǒng)登錄和訪問權(quán)限輸出成果《系統(tǒng)漏洞掃描報(bào)告》（包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、pc機(jī)、安全設(shè)備等）《技術(shù)性弱點(diǎn)綜合評估報(bào)告》11.3策略文件安全評估內(nèi)容描述根據(jù)BS7799標(biāo)準(zhǔn)定義，一個(gè)機(jī)構(gòu)要建立起有效的信息安全管理體系，必須是以完善的策略文檔體系為依托的,這種文檔系統(tǒng)是組織實(shí)現(xiàn)風(fēng)險(xiǎn)控制、評價(jià)和改進(jìn)信息安全管理體系、實(shí)現(xiàn)持續(xù)改進(jìn)不可缺少的依據(jù)。因此在建立完整有效的安全策略文檔體系之前，應(yīng)先對現(xiàn)有的文檔體系進(jìn)行系統(tǒng)周密的分析評估，有助于發(fā)掘不足和問題，明確真正需求，從而有針對一、項(xiàng)目概述1.1評估范圍針對網(wǎng)絡(luò)、應(yīng)用、服務(wù)器系統(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)評估。1.2評估層次評估層次包括網(wǎng)絡(luò)系統(tǒng)、主機(jī)系統(tǒng)、終端系統(tǒng)相關(guān)的安全措施，網(wǎng)絡(luò)業(yè)務(wù)路由分配安全，管理策略與制度。其中網(wǎng)絡(luò)系統(tǒng)包含路由器、交換機(jī)、防火墻、接入服務(wù)器、網(wǎng)絡(luò)出口設(shè)備及相關(guān)網(wǎng)絡(luò)配置信息和技術(shù)文件；主機(jī)系統(tǒng)包括各類UNIX、Windows等應(yīng)用服務(wù)器；終端系統(tǒng)設(shè)備。1.3評估方法安全評估工作內(nèi)容：/管理體系審核；/安全策略評估；/顧問訪談；/安全掃描；/人工檢查；,遠(yuǎn)程滲透測試；/遵循性分析；1.4評估結(jié)果通過對管理制度、網(wǎng)絡(luò)與通訊、主機(jī)和桌面系統(tǒng)、業(yè)務(wù)系統(tǒng)等方面的全面安全評估，形成安全評估報(bào)告，其中應(yīng)包含評估范圍中信息系統(tǒng)環(huán)境的安全現(xiàn)狀'存在安全問題、潛在威脅和改進(jìn)措施。協(xié)助對列出的安全問題進(jìn)行改進(jìn)或調(diào)整，提供指導(dǎo)性的建設(shè)方案：《安全現(xiàn)狀分析報(bào)告》《安全解決方案》性地開展后續(xù)工作。文檔審核是針對清現(xiàn)有的信息安全策略文檔體系，通過對所有與信息系統(tǒng)、信息管理、信息安全相關(guān)的策略、規(guī)章制度、工作流程、培訓(xùn)教材等各個(gè)文檔內(nèi)容的深入分析，結(jié)合現(xiàn)場問詢和實(shí)地觀察等方法，以信息安全管理標(biāo)準(zhǔn)(IS017799等)的要求和業(yè)界有效的管理經(jīng)驗(yàn)作為參照，分析評估目標(biāo)文檔體系的完整性、有效性和符合性。過程任務(wù)初步設(shè)定項(xiàng)目實(shí)施方法和計(jì)劃安排；了解納入評估范圍的各個(gè)部門的業(yè)務(wù)活動和信息系統(tǒng)運(yùn)行管理情況；取得現(xiàn)有的信息安全相關(guān)策略文件；文件和資料進(jìn)行初步分析，必要時(shí)帶著問題進(jìn)行現(xiàn)場調(diào)查，以確認(rèn)前期的發(fā)現(xiàn)；對各種途徑得到的數(shù)據(jù)進(jìn)行綜合分析，以BS7799標(biāo)準(zhǔn)要求為參照，最終評估現(xiàn)有的信息安全策略文檔體系的完整性、有效性和符合性；提出改進(jìn)建議。實(shí)施策略文件評估的流程如下圖所示:12.3.3輸入指導(dǎo)企業(yè)介紹，企業(yè)管理結(jié)構(gòu)圖，主要業(yè)務(wù)系統(tǒng)描述，企業(yè)的短期和長期發(fā)展目標(biāo)，在信息系統(tǒng)建設(shè)和應(yīng)用方面的短期和長期發(fā)展目標(biāo)描述,對于信息安全系統(tǒng)建設(shè)的短期和長期發(fā)展目標(biāo)描述所有與信息系統(tǒng)、信息管理、信息安全相關(guān)的策略、規(guī)章制度、工作流程、培訓(xùn)教材、用戶手冊、網(wǎng)絡(luò)拓?fù)涞雀鞣N文字資料和圖表12.3.4輸出成果《安全策略文檔體系評估報(bào)告》11.4最終評估結(jié)果經(jīng)過技術(shù)評估、管理評估、策略文件審查、專業(yè)培訓(xùn)、數(shù)據(jù)分析等幾個(gè)階段之后，對通過各種途徑采集到的各類信息進(jìn)行綜合性分析與判斷，除了提交各個(gè)階段特有的一些報(bào)告和結(jié)果之外，還會提交一些綜合性的評估報(bào)告及改進(jìn)建議，包括：《安全評估整體結(jié)果報(bào)告》;《安全整體解決方案建議》;《系統(tǒng)安全加固建議方案》。1.5風(fēng)險(xiǎn)評估手段在風(fēng)險(xiǎn)評估過程中，可以采用多種操作方法，包括基于知識(Knowledge-based)的分析方法、基于模型(Model-based)的分析方法、定性(Qualitative)分析和定量(Quantitative)分析，無論何種方法，共同的目標(biāo)都是找出組織信息資產(chǎn)面臨的風(fēng)險(xiǎn)及其影響，以及目前安全水平與組織安全需求之間的差距。基于知識的分析方法在基線風(fēng)險(xiǎn)評估時(shí)，組織可以采用基于知識的分析方法來找出目前的安全狀況和基線安全標(biāo)準(zhǔn)之間的差距?；谥R的分析方法又稱作經(jīng)驗(yàn)方法，它牽涉到對來自類似組織(包括規(guī)模、商務(wù)目標(biāo)和市場等)的“最佳慣例”的重用，適合一般性的信息安全社團(tuán)。采用基于知識的分析方法,組織不需要付出很多精力、時(shí)間和資源，只要通過多種途徑采集相關(guān)信息，識別組織的風(fēng)險(xiǎn)所在和當(dāng)前的安全措施，與特定的標(biāo)準(zhǔn)或最佳慣例進(jìn)行比較，從中找出不符合的地方，并按照標(biāo)準(zhǔn)或最佳慣例的推薦選擇安全措施，最終達(dá)到消減和控制風(fēng)險(xiǎn)的目的?；谥R的分析方法，最重要的還在于評估信息的采集，信息源包括：會議討論；對當(dāng)前的信息安全策略和相關(guān)文檔進(jìn)行復(fù)查；制作問卷，進(jìn)行調(diào)查；對相關(guān)人員進(jìn)行訪談；?進(jìn)行實(shí)地考察；為了簡化評估工作，組織可以采用一些輔助性的自動化工具，這些工具可以幫助組織擬訂符合特定標(biāo)準(zhǔn)要求的問卷，然后對解答結(jié)果進(jìn)行綜合分析，在與特定標(biāo)準(zhǔn)比較之后給出最終的推薦報(bào)告?；谀Ｐ偷姆治龇椒?001年1月，由希臘、德國、英國、挪威等國的多家商業(yè)公司和研究機(jī)構(gòu)共同組織開發(fā)了—名為CORAS的項(xiàng)目，即PlatformforRiskAnalysisofSecurityCriticalSystemso該項(xiàng)目的目的是開發(fā)一個(gè)基于面向?qū)ο蠼Ｌ貏e是UML技術(shù)的風(fēng)險(xiǎn)評估框架，它的評估對象是對安全要求很高的一般性的系統(tǒng)，特別是IT系統(tǒng)的安全oCORAS考慮到技術(shù)、人員以及所有與組織安全相關(guān)的方面，通過CORAS風(fēng)險(xiǎn)評估，組織可以定義、獲取并維護(hù)IT系統(tǒng)的保密性、完整性、可用性、抗抵賴性、可追溯性、真實(shí)性和可靠性。與傳統(tǒng)的定性和定量分析類似，CORAS風(fēng)險(xiǎn)評估沿用了識別風(fēng)險(xiǎn)、分析風(fēng)險(xiǎn)、評價(jià)并處理風(fēng)險(xiǎn)這樣的過程，但其度量風(fēng)險(xiǎn)的方法則完全不同，所有的分析過程都是基于面向?qū)ο蟮哪Ｐ蛠磉M(jìn)行的。CORAS的優(yōu)點(diǎn)在于：提高了對安全相關(guān)特性描述的精確性，改善了分析結(jié)果的質(zhì)量；圖形化的建模機(jī)制便于溝通，減少了理解上的偏差；加強(qiáng)了不同評估方法互操作的效率；等等。定量分析進(jìn)行詳細(xì)風(fēng)險(xiǎn)分析時(shí)，除了可以使用基于知識的評估方法外，最傳統(tǒng)的還是定量和定性分析的方法。定量分析方法的思想很明確:對構(gòu)成風(fēng)險(xiǎn)的各個(gè)要素和潛在損失的水平賦予數(shù)值或貨幣金額，當(dāng)度量風(fēng)險(xiǎn)的所有要素(資產(chǎn)價(jià)值'威脅頻率、弱點(diǎn)利用程度、安全措施的效率和成本等)都被賦值，風(fēng)險(xiǎn)評估的整個(gè)過程和結(jié)果就都可以被量化了。簡單說，定量分析就是試圖從數(shù)字上對安全風(fēng)險(xiǎn)進(jìn)行分析評估的一種方法。定量風(fēng)險(xiǎn)分析中有幾個(gè)重要的概念：暴露因子(ExposureFactor,EF)特定威脅對特定資產(chǎn)造成損失的百分比，或者說損失的程度。單一損失期望(SingleLossExpectancy,SLE)或者稱作SOC(SingleOccuranceCosts),即特定威脅可能造成的潛在損失總量。年度發(fā)生率(AnnuaIizedRateofOccurrence,ARO)即威脅在一年內(nèi)估計(jì)會發(fā)生的頻率。年度損失期望(AnnualizedLossExpectancy,ALE)或者稱作EAC(EstimatedAnnualCost),表示特定資產(chǎn)在一年內(nèi)遭受損失的預(yù)期值?？疾於糠治龅倪^程，從中就能看到這幾個(gè)概念之間的關(guān)系：(D首先，識別資產(chǎn)并為資產(chǎn)賦值；通過威脅和弱點(diǎn)評估，評價(jià)特定威脅作用于特定資產(chǎn)所造成的影響，即EF(取值在0%~100%之間)；計(jì)算特定威脅發(fā)生的頻率，即ARO；計(jì)算資產(chǎn)的SLE：SLE=AssetValueXEF計(jì)算資產(chǎn)的ALE：ALE=SLEXARO定性分析定性分析方法是目前采用最為廣泛的一種方法，它帶有很強(qiáng)的主觀性，往往需要憑借分析者的經(jīng)驗(yàn)和直覺，或者業(yè)界的標(biāo)準(zhǔn)和慣例，為風(fēng)險(xiǎn)管理諸要素(資產(chǎn)價(jià)值，威脅的可能性,弱點(diǎn)被利用的容易度，現(xiàn)有控制措施的效力等)的大小或高低程度定性分級，例如“高”、“中”、“低”三級。定性分析的操作方法可以多種多樣，包括小組討論(例如Delphi方法)、檢查列表(CheckIist)、問卷(Questionnaire)、人員訪談(Interview)、調(diào)查(Survey)等。定性分析操作起來相對容易，但也可能因?yàn)椴僮髡呓?jīng)驗(yàn)和直覺的偏差而使分析結(jié)果失準(zhǔn)。與定量分析相比較，定性分析的準(zhǔn)確性稍好但精確性不夠，定量分析則相反；定性分析沒有定量分析那樣繁多的計(jì)算負(fù)擔(dān)，但卻要求分析者具備一定的經(jīng)驗(yàn)和能力；定量分析依賴大量的統(tǒng)計(jì)數(shù)據(jù)，而定性分析沒有這方面的要求；定性分析較為主觀，定量分析基于客觀；此外，定量分析的結(jié)果很直觀，容易理解，而定性分析的結(jié)果則很難有統(tǒng)一的解釋。組織可以根據(jù)具體的情況來選擇定性或定量的分析方法。1.6評估標(biāo)準(zhǔn)1、《計(jì)算機(jī)網(wǎng)絡(luò)安全管理》2、IS015408《信息安全技術(shù)評估通用準(zhǔn)則》3、GB17859-1999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》4、相關(guān)各方達(dá)成的協(xié)議二、網(wǎng)拓?fù)湓u估2.1拓?fù)浜侠硇苑治瞿壳熬W(wǎng)絡(luò)都基本采取傳統(tǒng)的三層架構(gòu)，核心、匯聚與接入，其他設(shè)備都圍繞著這三層進(jìn)行擴(kuò)展，各設(shè)備之間的線路基本采用千兆光纖接入方式，實(shí)現(xiàn)高速數(shù)據(jù)傳輸，降低延時(shí)，減少干擾，設(shè)備間存在冗余，從而保證各數(shù)據(jù)間傳輸?shù)目煽啃裕鳂I(yè)務(wù)之間的穩(wěn)定性。2.2可擴(kuò)展性分析核心設(shè)備、匯聚設(shè)備是否都存在部分空模板、空接口，可以滿足未來幾年內(nèi)的擴(kuò)展核心設(shè)備的背板帶寬在高峰期間業(yè)務(wù)流量能正常通過，從中可看出目前核心設(shè)備的帶寬完全能承載當(dāng)前的流量；背板帶寬越大，各端口所分配到的可用帶寬越大，性能越高，處理能力越快。三、網(wǎng)絡(luò)安全管理機(jī)制評估3.1調(diào)研訪談及數(shù)據(jù)采集1、整網(wǎng)對于核心層設(shè)備、匯聚層設(shè)備以及接入樓層設(shè)備，進(jìn)行遠(yuǎn)程登錄方式、本地登錄模式、特權(quán)模式的用戶名與密碼配置，密碼都是以數(shù)字、大小寫字母和字符一體化，防止非法用戶的暴力破解，即便通過其它方式獲取到配置清單，也無法知道這臺設(shè)備的密碼，密碼都是以密文的形式顯示在配置清單里，這樣，無論是合法用戶還是惡意用戶，只要沒有設(shè)備的用戶名和密碼都不能登錄到該設(shè)備，自然也無法對設(shè)備的內(nèi)容等相關(guān)配置信息進(jìn)行修改，相當(dāng)于給設(shè)備安裝了一層保護(hù)墻，從而保護(hù)了設(shè)備的最基本的安全性。2、整個(gè)網(wǎng)絡(luò)采用一種統(tǒng)一的安全制度對網(wǎng)絡(luò)設(shè)備、服務(wù)器集進(jìn)行有效的檢查，管理，實(shí)時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中是否存在的一些問題，如果發(fā)現(xiàn)問題的存在，都會采取制定的流程及時(shí)給予解決，使得網(wǎng)絡(luò)設(shè)備能一直正常運(yùn)行，可用性得到提高，業(yè)務(wù)流量保持穩(wěn)定性狀態(tài)，以下是安全制度管理的部分選項(xiàng)。(D定期掃描漏洞：定期對整網(wǎng)服務(wù)器進(jìn)行掃描，檢查是否有漏洞的存在，數(shù)據(jù)的來源，事件的分析，主機(jī)服務(wù)信息，是否存在高危險(xiǎn)性事件，主機(jī)流量分析等，以確保網(wǎng)絡(luò)的安全性。檢查版本升級：定期對整網(wǎng)服務(wù)器進(jìn)行檢查，各主機(jī)的系統(tǒng)版本是否最新，各主機(jī)的軟件，特別是殺毒軟件、防火墻、輔助軟件有沒及時(shí)的更新，特征庫當(dāng)前是否為最新。策略：定期對整網(wǎng)服務(wù)器的密碼進(jìn)行檢查，查看是否開啟密碼策略、帳戶鎖定策略、本地審核策略，并作了相應(yīng)的設(shè)置。關(guān)閉用戶：定期對整網(wǎng)服務(wù)器進(jìn)行周密的檢查，是否對GUEST用戶、長期未登錄用戶進(jìn)行關(guān)閉。關(guān)閉服務(wù)：定期對整網(wǎng)服務(wù)器進(jìn)行松緊，是否對一些