信息安全解決方案

信息安全解決方案在華麗網(wǎng)絡(luò)應(yīng)用信息系統(tǒng)的網(wǎng)絡(luò)層，采用了防火墻技術(shù)?？紤]到企業(yè)對(duì)數(shù)據(jù)實(shí)時(shí)性和傳輸量的高要求，網(wǎng)絡(luò)性能必須達(dá)到較高水平。此外，企業(yè)安全性必須得到切實(shí)保障。目前，大多數(shù)企業(yè)已經(jīng)采用了各種網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品來(lái)保護(hù)其系統(tǒng)。華麗網(wǎng)絡(luò)應(yīng)用信息系統(tǒng)提供的網(wǎng)絡(luò)安全層解決方案具備易用性、易管理性和良好的擴(kuò)展性等特點(diǎn)，不僅滿足當(dāng)前網(wǎng)絡(luò)層安全技術(shù)的需求，還能有效保護(hù)企業(yè)現(xiàn)有的投資。應(yīng)用層安全方案在網(wǎng)絡(luò)的應(yīng)用層，華麗網(wǎng)絡(luò)應(yīng)用信息系統(tǒng)采用了嚴(yán)格的身份認(rèn)證、不同粒度的訪問(wèn)控制、數(shù)據(jù)完整性、保密性和非否認(rèn)性檢測(cè)以及安全審計(jì)記錄等技術(shù)來(lái)保障系統(tǒng)安全。身份認(rèn)證支持基于對(duì)稱密鑰的KerberosV5和基于公鑰的X.509證書(shū)等多種身份認(rèn)證技術(shù)。不同粒度的訪問(wèn)控制可根據(jù)不同的網(wǎng)絡(luò)應(yīng)用提供文件、頁(yè)面或端口級(jí)的訪問(wèn)控制。在數(shù)據(jù)完整性、保密性和非否認(rèn)性檢測(cè)方面，采用了高強(qiáng)度加密算法、數(shù)字簽名、時(shí)間戳和會(huì)話密鑰等技術(shù)。該網(wǎng)絡(luò)安全解決方案還可以無(wú)縫集成到第三方應(yīng)用系統(tǒng)的安全機(jī)制中，實(shí)現(xiàn)統(tǒng)一管理，不僅能進(jìn)行入侵檢測(cè)和漏洞掃描，而且能夠與其他系統(tǒng)無(wú)縫協(xié)作。數(shù)據(jù)安全及容錯(cuò)方案對(duì)企業(yè)而言，最寶貴的是存儲(chǔ)在存儲(chǔ)介質(zhì)中的數(shù)據(jù)信息，因此數(shù)據(jù)備份和容錯(cuò)方案至關(guān)重要。華麗網(wǎng)絡(luò)應(yīng)用信息系統(tǒng)采用了軟硬結(jié)合的全面解決方案，包括磁帶機(jī)、備份管理軟件和存儲(chǔ)區(qū)域網(wǎng)絡(luò)等技術(shù)，確保備份的可靠性、速度和性能價(jià)格比都達(dá)到較高水平。該系統(tǒng)支持包括SAN在內(nèi)的各種網(wǎng)絡(luò)備份技術(shù)，各種主流計(jì)算機(jī)操作系統(tǒng)、各種操作系統(tǒng)文件以及各種主流數(shù)據(jù)庫(kù)系統(tǒng)。此外，它還支持非結(jié)構(gòu)化數(shù)據(jù)（如LotusNotes）的備份，以及各種備份策略，如完全備份、增量備份和差分備份。備份過(guò)程中，支持各種數(shù)據(jù)校驗(yàn)技術(shù)，并提供了先進(jìn)的備份管理功能，實(shí)現(xiàn)備份和恢復(fù)的智能化，以及操作故障的自動(dòng)提示。該解決方案具有可擴(kuò)展性，能夠根據(jù)企業(yè)業(yè)務(wù)的發(fā)展進(jìn)行平滑擴(kuò)展，保護(hù)已有的投資。在容錯(cuò)方面，該解決方案具有實(shí)時(shí)監(jiān)控、自動(dòng)備份切換、雙機(jī)熱備份和雙機(jī)互備援等特點(diǎn)，具有強(qiáng)大的伸縮能力、對(duì)現(xiàn)有系統(tǒng)影響小以及管理簡(jiǎn)便等優(yōu)勢(shì)。病毒防范方案針對(duì)在internet上,病毒肆虐,企業(yè)信息系統(tǒng)每天都有面臨預(yù)測(cè)的可能,華麗網(wǎng)絡(luò)應(yīng)用信息系統(tǒng)本部對(duì)行業(yè)系統(tǒng)安全解決方案提供了病毒防范方案,其技術(shù)特點(diǎn)是:企業(yè)級(jí)網(wǎng)絡(luò)防毒;病毒庫(kù)網(wǎng)絡(luò)自動(dòng)更新;管理簡(jiǎn)單有效.第一部分基本解決方案第一道安全屏障網(wǎng)絡(luò)防火墻系統(tǒng)防火墻通過(guò)網(wǎng)絡(luò)地址轉(zhuǎn)換(nat)功能來(lái)隱藏內(nèi)部網(wǎng)絡(luò)的ip地址;通過(guò)其動(dòng)態(tài)訪問(wèn)過(guò)濾功能動(dòng)態(tài)檢查流經(jīng)的ip數(shù)據(jù)包,根據(jù)設(shè)定的規(guī)則決定數(shù)據(jù)包是否可以通過(guò),并將不合法的數(shù)據(jù)包過(guò)濾掉;通過(guò)其url地址限定功能限制對(duì)某些站點(diǎn)的訪問(wèn),防止內(nèi)部網(wǎng)絡(luò)對(duì)外部網(wǎng)絡(luò)進(jìn)行不安全的訪問(wèn).第二道安全屏障網(wǎng)絡(luò)防毒系統(tǒng)網(wǎng)絡(luò)防毒系統(tǒng)可以采用c/s模式,在網(wǎng)絡(luò)防毒服務(wù)器中安裝殺毒軟件服務(wù)器端程序,并通過(guò)internet利用liveupdate功能,從免疫中心實(shí)時(shí)獲取最新的病毒碼信息.服務(wù)器和網(wǎng)絡(luò)工作站都安裝客戶端軟件,利用從服務(wù)器端獲取的病毒碼信息對(duì)本地工作站進(jìn)行病毒掃描,并對(duì)發(fā)現(xiàn)的病毒采取相應(yīng)措施進(jìn)行清除.客戶端根據(jù)需要可用三種方式進(jìn)行病毒掃描:實(shí)時(shí)掃描、預(yù)置掃描和人工掃描.由于病毒掃描可能帶來(lái)服務(wù)器性能上的降低,因此可采用預(yù)置掃描方式,將掃描時(shí)間設(shè)定在服務(wù)器訪問(wèn)率最低的夜間.網(wǎng)絡(luò)工作站可根據(jù)各自需要,選擇合適的方式進(jìn)行病毒掃描.第三道安全屏障入侵檢測(cè)系統(tǒng)安全漏洞掃描入侵檢測(cè)系統(tǒng)是專門針對(duì)黑客攻擊行為而研制的網(wǎng)絡(luò)安全產(chǎn)品.國(guó)際上先進(jìn)的分布式入侵檢測(cè)構(gòu)架,可最大限度地、全天候地實(shí)施監(jiān)控,提供企業(yè)級(jí)的安全檢測(cè)手段.在事后分析的時(shí)候,可以清楚地界定責(zé)任人和責(zé)任事件,為網(wǎng)絡(luò)管理人員提供強(qiáng)有力的保障.入侵檢測(cè)系統(tǒng)采用攻擊防衛(wèi)技術(shù),具有高可靠性、高識(shí)別率、規(guī)則更新迅速等特點(diǎn).系統(tǒng)具有強(qiáng)大的功能、方便友好的管理機(jī)制,可廣泛應(yīng)用于行業(yè)各單位.漏洞檢測(cè)和安全風(fēng)險(xiǎn)評(píng)估技術(shù),因其可預(yù)知主體受攻擊的可能性和具體的指證將要發(fā)生的行為和產(chǎn)生的后果,而受到網(wǎng)絡(luò)安全業(yè)界的重視.這一技術(shù)的應(yīng)用可幫助識(shí)別檢測(cè)對(duì)象的系統(tǒng)資源,分析這一資源被攻擊的可能指數(shù),了解支撐系統(tǒng)本身的脆弱性,評(píng)估所有存在的安全風(fēng)險(xiǎn).漏洞掃描系統(tǒng)就是這一技術(shù)的實(shí)現(xiàn),她包括了網(wǎng)絡(luò)模擬攻擊,漏洞檢測(cè),報(bào)告服務(wù)進(jìn)程,提取對(duì)象信息,以及評(píng)測(cè)風(fēng)險(xiǎn),提供安全建議和改進(jìn)措施等功能,幫助用戶控制可能發(fā)生的安全事件,最大可能的消除安全隱患.第二部分增強(qiáng)解決方案以上看到,該網(wǎng)絡(luò)綜合采用了各種網(wǎng)絡(luò)安全技術(shù),包括防火墻、入侵檢測(cè)、安全漏洞掃描、網(wǎng)絡(luò)防病毒等.在系統(tǒng)的一些網(wǎng)絡(luò)中還采用vpn等技術(shù).這些安全技術(shù)在一定程度上保護(hù)了網(wǎng)絡(luò)、主機(jī)和系統(tǒng)服務(wù)免受來(lái)自外部的攻擊和破壞,對(duì)病毒的危害也能夠起到一定的防范效果.但是,這些安全措施在防范來(lái)自內(nèi)部的攻擊,保護(hù)應(yīng)用系統(tǒng)和信息安全方面卻無(wú)能為力.“后續(xù)的工作將是在逐步完善安全體系的基礎(chǔ)上,把建設(shè)重點(diǎn)由以網(wǎng)絡(luò)安全為主應(yīng)用安全為輔轉(zhuǎn)入以應(yīng)用安全為主網(wǎng)絡(luò)安全為輔的階段.”一、信息安全隱患分析我們可以從信息在網(wǎng)絡(luò)系統(tǒng)中的存儲(chǔ)、處理、傳輸和用戶對(duì)這些信息的訪問(wèn)活動(dòng)等方面來(lái)分析這些信息潛在的安全威脅.數(shù)據(jù)庫(kù)數(shù)據(jù)和文件的明文存儲(chǔ):系統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)中的信息一般存儲(chǔ)在由數(shù)據(jù)庫(kù)管理系統(tǒng)維護(hù)的數(shù)據(jù)庫(kù)中或操作系統(tǒng)文件中.這些以明文形式存儲(chǔ)的信息存在泄漏的可能,因?yàn)槟玫酱鎯?chǔ)介質(zhì)的人可以讀出這些信息;黑客可以繞過(guò)操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)的控制獲取這些信息;系統(tǒng)后門使軟硬件系統(tǒng)制造商很容易得到這些信息…信息的明文傳輸:現(xiàn)代應(yīng)用系統(tǒng)一般采用c/s(客戶/服務(wù)器)或b/s(瀏覽器/服務(wù)器)結(jié)構(gòu),都在網(wǎng)絡(luò)上運(yùn)行,所處理的信息也必須在網(wǎng)絡(luò)主機(jī)間頻繁傳輸.在行業(yè)的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中,信息傳輸基本上是明文方式.偶有采用ssl(安全套接字層)等加密傳輸?shù)?但由于外國(guó)安全系統(tǒng)出口的限制,所能夠用到的ssl是低安全級(jí)別的.這些明文或只受到低安全保護(hù)的信息在網(wǎng)絡(luò)上傳輸,不具有信息安全所要求的保密、完整和發(fā)送方的不可抵賴性要求.弱身份認(rèn)證:行業(yè)應(yīng)用系統(tǒng)基本上基于商用軟硬件系統(tǒng)設(shè)計(jì)和開(kāi)發(fā),用戶身份認(rèn)證基本上采用基于口令的鑒別模式,而這種模式很容易被攻破.有的應(yīng)用系統(tǒng)還使用自己的用戶鑒別方法,將用戶名、口令以及一些安全控制信息以明文的形式記錄在數(shù)據(jù)庫(kù)或文件中,這種脆弱的安全控制措施在操作人員計(jì)算機(jī)應(yīng)用水平不斷提高,信息敏感性不斷增強(qiáng)的今天不能再用了.二、信息安全增強(qiáng)解決方案信息安全解決方案應(yīng)該全面考慮信息存儲(chǔ)、傳輸、處理和訪問(wèn)等各環(huán)節(jié)的安全要求,使信息安全方案沒(méi)有攻擊者可以利用的安全薄弱環(huán)節(jié).按照信息安全全面性要求原則,信息安全方案必須包括如下組成部分:安全的身份認(rèn)證:安全的身份認(rèn)證是安全的第一步,不安全的身份認(rèn)證可能造成用戶假冒,使其它安全措施失去作用.通信安全:采用數(shù)據(jù)加密、信息摘要和數(shù)字簽名等安全措施對(duì)通信過(guò)程中的信息進(jìn)行保護(hù),實(shí)現(xiàn)數(shù)據(jù)在通信中的保密、完整和不可抵賴性安全要求.文件安全:通過(guò)文件加密、信息摘要和訪問(wèn)控制等安全措施,來(lái)實(shí)現(xiàn)文件存儲(chǔ)和傳輸?shù)谋Ｃ芎屯暾砸?并實(shí)現(xiàn)對(duì)文件訪問(wèn)的控制.數(shù)據(jù)庫(kù)安全:通過(guò)數(shù)據(jù)存儲(chǔ)加密、完整性檢驗(yàn)和訪問(wèn)控制來(lái)保證數(shù)據(jù)庫(kù)數(shù)據(jù)的機(jī)密和完整性,并實(shí)現(xiàn)數(shù)據(jù)庫(kù)數(shù)據(jù)的訪問(wèn)安全.安全審計(jì):通過(guò)記錄審計(jì)信息來(lái)為信息安全問(wèn)題的分析和處理提供線索.公司針對(duì)信息安全的要求,結(jié)合自身技術(shù)特點(diǎn)開(kāi)發(fā)出了有關(guān)身份認(rèn)證、通信安全、文件安全、數(shù)據(jù)庫(kù)安全等的信息安全產(chǎn)品,并在這些產(chǎn)品中集成了審計(jì)功能.1、kdckdc(keydistributioncenter)是kerberos第5版的實(shí)現(xiàn)和增強(qiáng),可以為企業(yè)提供集中的用戶管理、服務(wù)管理和通信安全服務(wù).其功能包括:用戶管理票據(jù)授權(quán)服務(wù)應(yīng)用服務(wù)管理服務(wù)器票據(jù)管理用戶鑒別安全審計(jì)kdc不但可以和其他安全產(chǎn)品集成使用,也可以和支持kerberos的其他產(chǎn)品集成,如oracle8i等.kdc提供了調(diào)用接口(api),用戶可以在應(yīng)用中調(diào)用kdc的安全功能.kdc使“一次登錄”成為可能,即用戶在使用所有可以訪問(wèn)的數(shù)據(jù)和系統(tǒng)時(shí)只需要登錄一次.2、安全通信代理除在自己的信息安全產(chǎn)品中包含了通信安全功能外,還為不具備通信安全的系統(tǒng)提供了一個(gè)可配置的通信安全解決方案,即安全通信代理.安全通信代理包括客戶端和服務(wù)器兩部分.安全代理結(jié)構(gòu)通信安全代理客戶端運(yùn)行在應(yīng)用系統(tǒng)客戶機(jī)上.當(dāng)客戶機(jī)要向服務(wù)器發(fā)送信息時(shí),信息不直接發(fā)送到服務(wù)器,而是發(fā)送到通信安全代理客戶端.客戶端將信息加密后發(fā)送到通信安全代理服務(wù)器.通信安全代理服務(wù)器將請(qǐng)求脫密后發(fā)給真正的服務(wù)器并獲取返回的內(nèi)容,將返回內(nèi)容加密并返回給通信安全代理客戶機(jī).通信安全代理客戶機(jī)將通信安全代理服務(wù)器返回的內(nèi)容脫密并返回給請(qǐng)求者.通信安全代理客戶端與服務(wù)端之間的通信過(guò)程采用一次會(huì)話一個(gè)密鑰的動(dòng)態(tài)密鑰加密方式,并通過(guò)會(huì)話標(biāo)識(shí)、請(qǐng)求序號(hào)、完整性校驗(yàn)碼等來(lái)實(shí)現(xiàn)防重放、防篡改.3、文件保密柜文件保密柜可分為企業(yè)文件保密柜和個(gè)人文件保密柜兩種.企業(yè)文件保密柜企業(yè)文件保密柜包括文件柜服務(wù)器和文件柜客戶機(jī),功能包括:文件加密存儲(chǔ):文件以加密的形式存儲(chǔ)在文件柜中,防止文件內(nèi)容的泄漏.文件傳輸加密:文件從服務(wù)器傳輸?shù)娇蛻魴C(jī)過(guò)程中采用加密保護(hù)措施.訪問(wèn)控制:企業(yè)文件柜允許多用戶共享文件,企業(yè)文件柜提供訪問(wèn)控制功能,防止文件的非授權(quán)訪問(wèn).安全審計(jì):記錄用戶對(duì)文件的訪問(wèn),提供安全審計(jì)記錄查詢功能.文件查詢:可以根據(jù)查詢條件來(lái)查找相關(guān)的文件,包括全文查找.文件組織與管理:以層次形式顯示和組織文件,支持文件在層次結(jié)構(gòu)中的拖動(dòng).個(gè)人文件保密柜個(gè)人文件保密柜功能包括:加密存儲(chǔ):文件以加密的形式存儲(chǔ)在文件柜中,防止文件內(nèi)容的泄漏.文件查詢:可以根據(jù)查詢條件來(lái)查找相關(guān)的文件,包括全文查找.文件組織與管理:以層次形式顯示和組織文件,支持文件在層次結(jié)構(gòu)中的拖動(dòng).作為企業(yè)文件保密柜客戶機(jī)使用.文件保密柜的特點(diǎn)安全:采用182位密鑰長(zhǎng)度加密,且不同文件采用不同密鑰.全文查找:自主研制的加密算法支持快速全文查找功能.多平臺(tái)支持:支持unix/linux/microsoftos.操作方便:支持右鍵和拖放操作.支持二次開(kāi)發(fā):通過(guò)編程接口支持二次開(kāi)發(fā).4、數(shù)據(jù)庫(kù)加密系統(tǒng)數(shù)據(jù)庫(kù)加密系統(tǒng)包括數(shù)據(jù)庫(kù)加密服務(wù)器、odbc驅(qū)動(dòng)器、jdbc驅(qū)動(dòng)器和一個(gè)工具集.數(shù)據(jù)庫(kù)安全體系結(jié)構(gòu)數(shù)據(jù)庫(kù)加密系統(tǒng)能夠適應(yīng)c/s和b/s兩種應(yīng)用形式.數(shù)據(jù)庫(kù)安全c/s模式系統(tǒng)結(jié)構(gòu)在c/s模式應(yīng)用系統(tǒng)中,客戶端應(yīng)用(包括開(kāi)發(fā)工具)與odbc驅(qū)動(dòng)器交互來(lái)訪問(wèn)數(shù)據(jù)庫(kù)加密系統(tǒng)服務(wù)器.數(shù)據(jù)庫(kù)安全b/s模式系統(tǒng)結(jié)構(gòu)數(shù)據(jù)庫(kù)加密服務(wù)器數(shù)據(jù)庫(kù)加密服務(wù)器主要由服務(wù)管理、sql執(zhí)行引擎、數(shù)據(jù)字典管理、dbms訪問(wèn)接口、數(shù)據(jù)備份與恢復(fù)、其他系統(tǒng)服務(wù)等模塊組成.從客戶端來(lái)的請(qǐng)求首先交給服務(wù)管理模塊,服務(wù)管理模塊將請(qǐng)求分派到實(shí)際的服務(wù)模塊執(zhí)行.有關(guān)密文數(shù)據(jù)訪問(wèn)的請(qǐng)求交給sql執(zhí)行引擎.sql執(zhí)行引擎對(duì)到來(lái)的sql進(jìn)行詞法和語(yǔ)法分析.通過(guò)了詞法、語(yǔ)法檢查sql請(qǐng)求在sql執(zhí)行引擎中形成執(zhí)行計(jì)劃并被執(zhí)行.在sql執(zhí)行過(guò)程中會(huì)調(diào)用數(shù)據(jù)加密功能對(duì)寫(xiě)入數(shù)據(jù)庫(kù)的數(shù)據(jù)進(jìn)行加密,對(duì)從數(shù)據(jù)中取出的數(shù)據(jù)進(jìn)行脫密.odbc驅(qū)動(dòng)器odbc驅(qū)動(dòng)器符合microsoftodbc標(biāo)準(zhǔn),并在內(nèi)部實(shí)現(xiàn)了與服務(wù)器間的安全通信.因此,任何可以通過(guò)odbc工作的應(yīng)用系統(tǒng)和開(kāi)發(fā)工具都可以通過(guò)這個(gè)驅(qū)動(dòng)器訪問(wèn)數(shù)據(jù)庫(kù)加密系統(tǒng),即數(shù)據(jù)庫(kù)數(shù)據(jù)的通信和存儲(chǔ)安全對(duì)應(yīng)用系統(tǒng)是透明的.jdbc驅(qū)動(dòng)器jdbc驅(qū)動(dòng)器符合jdbc標(biāo)準(zhǔn),并在內(nèi)部實(shí)現(xiàn)了與服務(wù)器間的安全通信.因此,任何可以通過(guò)jdbc工作的應(yīng)用系統(tǒng)和開(kāi)發(fā)工具都可以通過(guò)這個(gè)驅(qū)動(dòng)器訪問(wèn)數(shù)據(jù)庫(kù)加密系統(tǒng),即數(shù)據(jù)庫(kù)數(shù)據(jù)的通信和存儲(chǔ)安全對(duì)應(yīng)用系統(tǒng)是透明的.工具集企業(yè)管理器:以一種集成的方式實(shí)現(xiàn)系統(tǒng)的所有管理工作.管理器功能包括節(jié)點(diǎn)管理、服務(wù)器配置、停止服務(wù)器、活動(dòng)用戶管理、數(shù)據(jù)庫(kù)中對(duì)象及其加密屬性管理、密文數(shù)據(jù)的明文備份與恢復(fù).交互命令處理器:執(zhí)行命令來(lái)完成系統(tǒng)管理和數(shù)據(jù)操縱功能.這些命令包括連接命令、服務(wù)器配置與管理命令、表的安全屬性管理命令、備份與恢復(fù)命令、sql等.命令處理器可以直接執(zhí)行命令腳本文件,以批量化和自動(dòng)化一些管理工作和數(shù)據(jù)操縱工作.數(shù)據(jù)庫(kù)加密系統(tǒng)的特點(diǎn)高安全性:128位密鑰長(zhǎng)度,數(shù)據(jù)項(xiàng)級(jí)數(shù)據(jù)加密,即不同數(shù)據(jù)項(xiàng)采用不同密鑰加密.用戶還可選擇硬件加密卡來(lái)執(zhí)行加/脫密等安全操作,保證密鑰不出現(xiàn)在硬件加密卡以外的任何地方,使系統(tǒng)更加安全.高效率:自主研制的密文查詢算法保證密文訪問(wèn)的效率.安全功能透明性:系統(tǒng)