企業(yè)網(wǎng)絡(luò)安全建設(shè)學(xué)習(xí)資源第5章組建隔離網(wǎng)絡(luò)第5章目錄5.3突破物理隔離網(wǎng)絡(luò)5.1

分區(qū)域搭建局域網(wǎng)單向隔離技術(shù)5.2組建隔離網(wǎng)絡(luò)內(nèi)外網(wǎng)網(wǎng)絡(luò)架構(gòu)安全特性：1．

對外網(wǎng)采取必要的安全防護(hù)。2．

保障內(nèi)網(wǎng)的信息安全。3．

對內(nèi)網(wǎng)數(shù)據(jù)采取保護(hù)措施。4．

保護(hù)托管服務(wù)器。圖5-1

內(nèi)外網(wǎng)網(wǎng)絡(luò)架構(gòu)示意圖5.1分區(qū)域搭建局域網(wǎng)5.1.1按硬件種類分區(qū)域管理圖5-2按硬件種類分區(qū)域管理5.1.2按系統(tǒng)功能分區(qū)域管理圖5-3按系統(tǒng)功能分區(qū)域管理5.1分區(qū)域搭建局域網(wǎng)5.1.3按重要性分區(qū)域管理圖5-4按文件數(shù)據(jù)的重要性分區(qū)域管理5.1分區(qū)域搭建局域網(wǎng)圖5-5單向光閘設(shè)備的結(jié)構(gòu)示意圖5.2單向隔離技術(shù)5.2單向隔離技術(shù)5.2.1產(chǎn)生的原因如何解決安全與應(yīng)用之間的矛盾？應(yīng)用的需要和安全的需要催生了一種新型的技術(shù)——物理隔離技術(shù)。5.2.2安全功能1．

單向傳輸功能2．

數(shù)據(jù)容錯功能5.2單向隔離技術(shù)5.2.3類型和應(yīng)用場景1．

單向擺渡設(shè)備的類型1）桌面型單向擺渡設(shè)備；2）

網(wǎng)絡(luò)型單向擺渡設(shè)備。2．

單向擺渡設(shè)備的應(yīng)用場景1）外部向內(nèi)部網(wǎng)絡(luò)傳輸文件的單向擺渡設(shè)備部署，

如下圖所示。5.2單向隔離技術(shù)5.2.3類型和應(yīng)用場景2．

單向擺渡設(shè)備的應(yīng)用場景2）靜態(tài)文件/數(shù)據(jù)庫/郵件單向擺渡設(shè)備部署，

如右圖所示。

下圖是信息流單向傳輸示意圖。5.2單向隔離技術(shù)5.2.3類型和應(yīng)用場景2．

單向擺渡設(shè)備的應(yīng)用場景3）在網(wǎng)站發(fā)布情形下，

單向擺渡設(shè)備的典型部署，

如下圖所示。3．

單向?qū)霐?shù)據(jù)單向?qū)霐?shù)據(jù)就是實(shí)現(xiàn)數(shù)據(jù)的單向傳輸。圖5-9網(wǎng)頁發(fā)布部署示意圖5.2單向隔離技術(shù)5.2.4

目的和用途1．

單向擺渡設(shè)備能實(shí)現(xiàn)內(nèi)外網(wǎng)的安全隔離；2．

單向擺渡設(shè)備能夠?qū)ν饩W(wǎng)進(jìn)行監(jiān)控。圖5-11桌面型單向擺渡設(shè)備硬件結(jié)構(gòu)（板卡式）5.2.5技術(shù)思路和硬件結(jié)構(gòu)圖5-10單向擺渡設(shè)備的技術(shù)實(shí)現(xiàn)思路5.2單向隔離技術(shù)5.2.5技術(shù)思路和硬件結(jié)構(gòu)網(wǎng)絡(luò)型單向擺渡設(shè)備軟硬件結(jié)構(gòu)設(shè)計。圖5-12網(wǎng)絡(luò)型單向擺渡設(shè)備軟硬件結(jié)構(gòu)設(shè)計5.2單向隔離技術(shù)5.2.6

產(chǎn)品形式1．

單向擺渡設(shè)備由各個獨(dú)立的部分組成；2．

集成模式。5.2.7安全部署對不同的單向擺渡設(shè)備，

其部署是不同的。1．

對獨(dú)立各部分組成的單向擺渡設(shè)備可以直接將其部署在內(nèi)網(wǎng)和外網(wǎng)當(dāng)中，中間用光纖連接，

只要不同的網(wǎng)絡(luò)區(qū)域是由不同人負(fù)責(zé)管理。2．

對于如果上位機(jī)中只有短信發(fā)射功能，

下位機(jī)只有短信接收功能的單向擺渡設(shè)備，

可以利用短信來傳遞信息，將上位機(jī)和下位機(jī)直接部署在內(nèi)外網(wǎng)，也可保證內(nèi)網(wǎng)的信息安全。只是發(fā)送的信息要經(jīng)過嚴(yán)格的審查、核查、審計。3．

對集成模式的單向擺渡設(shè)備，

我們采用在內(nèi)外網(wǎng)分別各部署一臺單向擺渡設(shè)備的方式，

兩臺單向擺渡設(shè)備之間用網(wǎng)線連接，

只要不同的網(wǎng)絡(luò)或工作區(qū)域是由不同人負(fù)責(zé)管理，

就可以保證內(nèi)網(wǎng)信息不能被傳出到外網(wǎng)，

外網(wǎng)不能

直接獲取內(nèi)網(wǎng)的信息。5.3突破物理隔離網(wǎng)絡(luò)1．

違規(guī)造成內(nèi)網(wǎng)被突破1）違規(guī)使用U盤2）監(jiān)控系統(tǒng)違規(guī)外聯(lián)互聯(lián)網(wǎng)2．

利用設(shè)備缺陷造成內(nèi)網(wǎng)被突破1）CPU存在泄露電磁信號2）

顯卡發(fā)出FM無線電信號3．

管理失誤造成內(nèi)網(wǎng)信息泄露1）沒有把好網(wǎng)絡(luò)設(shè)備的供應(yīng)鏈2）沒有把好網(wǎng)絡(luò)設(shè)備驗收關(guān)4．

列舉可被攻擊利用的途徑黑客突破物理隔離網(wǎng)絡(luò)的實(shí)例1.

USB自動運(yùn)行和固件攻擊2.

本—古里安大學(xué)的遠(yuǎn)程攻擊研究1）“HVACKer

”攻擊2）

U盤用作射頻發(fā)射器3）

超聲波通信3.

CPU電磁信號4.突破法拉第籠的電磁信道5.

LED狀態(tài)指示燈6.紅外遙控7.無線電廣播和移動設(shè)備8.攻擊者現(xiàn)在有很多種方法能夠從一臺沒有聯(lián)網(wǎng)的計算機(jī)中竊取信息，

比如：1）

BitWhisper攻擊——利用設(shè)備發(fā)熱量入侵未聯(lián)網(wǎng)的PC；2）GnuPG軟件——通過無線電波竊取加密密鑰；3）GSMem——通過智能手機(jī)入侵氣隙網(wǎng)絡(luò)；4）Funtenna攻擊——通過聲波來遠(yuǎn)程竊取氣隙網(wǎng)絡(luò)中的數(shù)據(jù)；5）Fansmitter軟件——通過風(fēng)扇噪聲來竊取加密密鑰；6）DiskFiltration——通過硬盤噪聲來攻擊物理隔離計算機(jī)；7）利用USBee來從氣隙網(wǎng)絡(luò)中提取數(shù)據(jù)；8）AirHopper——通過電腦顯示卡竊取數(shù)據(jù)。9）“HVACKer

”攻擊——通過供熱通風(fēng)與空氣調(diào)節(jié)系統(tǒng)執(zhí)行惡意操作；10）MOSQUITO——利用超聲波創(chuàng)建通信信道，建立雙工傳輸模式。第6章應(yīng)用系統(tǒng)安全防護(hù)技術(shù)第6章目錄66..11

應(yīng)用系統(tǒng)整體設(shè)計原則6.3

內(nèi)網(wǎng)使用管理制度6.2系統(tǒng)級安全防護(hù)應(yīng)用級安全防護(hù)6.36.1應(yīng)用系統(tǒng)整體設(shè)計原則設(shè)計內(nèi)網(wǎng)應(yīng)用系統(tǒng)時，采用“五橫兩縱

”總體技術(shù)架構(gòu)。1．

保證底層或基礎(chǔ)安全2．

做好數(shù)據(jù)防護(hù)6.1應(yīng)用系統(tǒng)整體設(shè)計原則3．

對系統(tǒng)軟件的要求表6-1對應(yīng)用系統(tǒng)軟件的要求內(nèi)容要點(diǎn)細(xì)化標(biāo)準(zhǔn)用戶管理、權(quán)限管理要充分利用操作系統(tǒng)和數(shù)據(jù)庫

的安全性三權(quán)分立三個系統(tǒng)管理員（賬號管理員、權(quán)限管理員、

日志審計員）應(yīng)有獨(dú)

立的賬號、UKey、權(quán)限，并相互制約應(yīng)用系統(tǒng)支持操作失效時間的配置，當(dāng)操作員在所

配置的時間內(nèi)沒有對界面進(jìn)行任何操作則該應(yīng)用自動

失效①支持操作失效時間的配置②支持當(dāng)操作員在所配置的時間內(nèi)沒有對界面

進(jìn)行任何操作則該應(yīng)用自動失效系統(tǒng)支持操作失效時間的配置，

同時達(dá)到所配置的時間內(nèi)沒有對界

面進(jìn)行任何操作時，系統(tǒng)會使用戶自動失效，用戶要想使用需要重新

登錄系統(tǒng)系統(tǒng)應(yīng)提供完善的審計功能，對系統(tǒng)關(guān)鍵數(shù)據(jù)的每

一次增加、修改和刪除都能記錄相應(yīng)的修改時間、操

作人員和修改前的數(shù)據(jù)記錄支持系統(tǒng)關(guān)鍵數(shù)據(jù)進(jìn)行維護(hù)的記錄功能在對系統(tǒng)關(guān)鍵數(shù)據(jù)進(jìn)行增加、修改和刪除時，系統(tǒng)會記錄相應(yīng)的修

改時間、操作人員和修改前的數(shù)據(jù)記錄實(shí)際登錄系統(tǒng)，輸入相應(yīng)的口令，應(yīng)以加密形式顯示，

同時檢測最

小口令長度、強(qiáng)制修改口令的時間間隔、

口令的唯一性、

口令復(fù)雜度、

口令過期失效后允許入網(wǎng)的寬限次數(shù)①程序源代碼應(yīng)存放在安全的位置②有支撐系統(tǒng)版本控制管理辦法，有相應(yīng)的版本管理規(guī)章制度；軟

件升級、補(bǔ)丁植入流程管理合理③有軟件版本記錄文件及軟件介質(zhì)與軟件操作手冊，有詳細(xì)軟件版

本號、軟件升級與補(bǔ)丁植入情況記錄系統(tǒng)運(yùn)行時（包括應(yīng)用軟件）須有完整的日志記錄日志記錄的完整性系統(tǒng)運(yùn)行時應(yīng)記錄完整的日志。如記錄操作員、操作時間、系統(tǒng)狀

態(tài)、操作的詳細(xì)事項、IP地址等軟件目錄設(shè)置及其訪問權(quán)限應(yīng)有相應(yīng)的規(guī)范，

以保

證系統(tǒng)的安全性和可維護(hù)性各應(yīng)用軟件目錄設(shè)置及其訪問權(quán)限應(yīng)有相應(yīng)的

規(guī)范有各應(yīng)用軟件目錄設(shè)置及其訪問權(quán)限相應(yīng)的規(guī)范文件為保證安全性，

口令不允許以明碼的形式顯示在輸

出設(shè)備上，應(yīng)能對口令進(jìn)行限制：最小口令長度、強(qiáng)

制修改口令的時間間隔、

口令的唯一性、

口令過期失

效后允許入網(wǎng)的寬限次數(shù)應(yīng)用程序的源代碼不允許放在運(yùn)行主機(jī)上，應(yīng)另行

存放，并具有版本控制能力①口令不允許以明碼顯示在輸出設(shè)備上②最小口令長度的限制③強(qiáng)制修改時間間隔限制④口令的唯一性限制⑤口令過期失效后允許入網(wǎng)的寬限次數(shù)限制①應(yīng)用程序的源代碼不允許放在運(yùn)行主機(jī)上，

應(yīng)另行存放②應(yīng)具有版本控制信息接口程序連接登錄必須進(jìn)行認(rèn)證支持接口程序連接登錄時的認(rèn)證接口程序連接登錄時，需進(jìn)行用戶名、密碼、動態(tài)碼等認(rèn)證用戶身份鑒別對重要信息操作要進(jìn)行身份鑒別身份鑒別應(yīng)貫穿用戶所有操作，而不只在登錄入口處進(jìn)行鑒別不允許用明文方式保存系統(tǒng)使用的各類密碼用戶密碼或系統(tǒng)使用的各類密碼要加密存儲數(shù)據(jù)庫中的用戶密碼、操作員密碼等字段應(yīng)以加密方式保存6.1應(yīng)用系統(tǒng)整體設(shè)計原則4．

做好運(yùn)維管理5．

提供安全保障1）采用硬件安全網(wǎng)關(guān)對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全登錄認(rèn)證。2）采用軟件對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全加固3）采用堡壘機(jī)對網(wǎng)絡(luò)系統(tǒng)的所有用戶進(jìn)行安全防護(hù)4）加強(qiáng)對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全管理6.2系統(tǒng)級安全防護(hù)6.2.1系統(tǒng)驅(qū)動最小化處理1．

普通操作系統(tǒng)存在的安全隱患操作系統(tǒng)越大，存在安全漏洞的可能性也越多，

其危險性也越大。2．

采取的措施對操作系統(tǒng)采取最小化原則，

即在滿足用戶需求的情況下，

保留操作系統(tǒng)最少的功能。3．目的減少操作系統(tǒng)的安全隱患。4．

解決方案在硬件上，

拆除所有用戶不需要的功能模塊。在軟件上，

取消操作系統(tǒng)上所有的藍(lán)牙、WiFi、紅外等模塊或驅(qū)動，

卸載用戶不需要的驅(qū)動。6.2系統(tǒng)級安全防護(hù)6.2.2

及時修補(bǔ)內(nèi)網(wǎng)操作系統(tǒng)1．

內(nèi)網(wǎng)操作系統(tǒng)升級的必要性及時升級是避免網(wǎng)絡(luò)系統(tǒng)被攻擊、防病毒非常有效的方法。2．

采取的措施1）及時下載離線系統(tǒng)補(bǔ)丁，對內(nèi)網(wǎng)中的各個操作系統(tǒng)進(jìn)行及時升級。2）

定期對網(wǎng)絡(luò)系統(tǒng)中的操作系統(tǒng)進(jìn)行安全檢測，

發(fā)現(xiàn)漏洞及時修補(bǔ)。3．

操作系統(tǒng)及時打補(bǔ)丁、升級的作用1）給操作系統(tǒng)打補(bǔ)丁，及時修補(bǔ)漏洞，

能夠修補(bǔ)大部分的系統(tǒng)漏洞，

能有效地阻止黑客的大部分攻擊。2）對0Day漏洞還要采取其他防護(hù)措施來防護(hù)，

如在網(wǎng)絡(luò)系統(tǒng)中部署

主動防御系統(tǒng)等。6.2系統(tǒng)級安全防護(hù)6.2.3

外部接口防護(hù)1．

遇到的問題要嚴(yán)格管理內(nèi)網(wǎng)中各種設(shè)備上的各種接口或端口，

這些計算機(jī)的接口存

在著重大的安全隱患。2．

采取的措施對多余的、不必要的接口最好采用物理的辦法將其拆除；

不能拆除或預(yù)留的接口，

要采用“外部接口防護(hù)系統(tǒng)

”對其進(jìn)行保護(hù)。使用BIOS系統(tǒng)對外部接口進(jìn)行管控。6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理1．

要解決的問題內(nèi)網(wǎng)核心技術(shù)數(shù)據(jù)不被竊取。2．

對外設(shè)采取的措施要拆除內(nèi)網(wǎng)上所有的光驅(qū)、軟驅(qū)等可寫設(shè)備，

嚴(yán)格管控U口的使用。

內(nèi)網(wǎng)

上只保留有一個輸出數(shù)據(jù)終端，

并建立專門的管理審核制度。6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理3．

防顯示屏幕信息泄露1）

問題的提出網(wǎng)絡(luò)系統(tǒng)的屏幕顯示是安全防護(hù)的一個漏洞！2）采取的措施（1）水印技術(shù)添加水印是一種很有效的措施，而且添加的水印是很難通過軟件去

除的。①終端打開機(jī)密文檔時，屏幕自動嵌入帶有身份信息的水??；②有權(quán)限的員工登錄文檔發(fā)布系統(tǒng)后，可以在線瀏覽、分享、外發(fā)

帶有用戶信息的水印文檔；③

訪問業(yè)務(wù)系統(tǒng)時自動在界面上加載帶有身份信息的水??；④從受保護(hù)業(yè)務(wù)系統(tǒng)下載文件均帶有可定位到下載人員的水印信息；⑤通過水印的內(nèi)容，可快速定位數(shù)據(jù)泄露設(shè)備和該設(shè)備的管理人員。6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理3．

防顯示屏幕信息泄露2）采取的措施（1）水印技術(shù)（續(xù)）①文字水?、跅l形碼或二維碼水?、?/p>

圖片水印圖6-1文字水印“嚴(yán)禁復(fù)制

”圖6-2條形碼和二維碼水印圖6-3

圖片水印6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理3．

防顯示屏幕信息泄露2）采取的措施（1）水印技術(shù)（續(xù)）④界面裝飾水印圖6-5裝飾墻磚水印圖6-4彩色條紋水印6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理4．

打印機(jī)水印防護(hù)技術(shù)1）

問題的提出打印機(jī)也是可能的數(shù)據(jù)泄露設(shè)備。2）解決方案條形碼、二維碼、文字水印等上面已有敘述，在此不再贅述。（1）

網(wǎng)屏水印網(wǎng)屏編碼水印技術(shù)具有抗折疊、冗余備份、抗損傷等的特點(diǎn)。圖6-6放大的網(wǎng)屏打印水印圖6-7使用摩爾條紋技術(shù)隱藏一個“A”字母的防偽樣品由于人工智能技術(shù)的發(fā)展，

使用摩爾光柵技術(shù)進(jìn)行信息隱藏已經(jīng)是無密可保了！可增加打印機(jī)安全管理系統(tǒng)，對打印機(jī)進(jìn)行打印前的安全審計。6.2系統(tǒng)級安全防護(hù)6.2.4

輸出信息設(shè)備管理4．

打印機(jī)水印防護(hù)技術(shù)2）解決方案（續(xù)）（2）摩爾條紋圖像水印原圖

信息重現(xiàn)6.3應(yīng)用級安全防護(hù)6.3.1應(yīng)用系統(tǒng)軟件防護(hù)1．

必要性應(yīng)用系統(tǒng)軟件也會存在各種各樣的安全漏洞。2．

防護(hù)措施1）一般的防護(hù)方法反編譯防護(hù)；

反調(diào)試跟蹤；運(yùn)行環(huán)境探測；

增加無用的判斷、跳轉(zhuǎn)，等等。2）軟件授權(quán)3）

防破解4）Android混淆技術(shù)（1）Java代碼亂序混淆（2）Java類名、方法名混淆（3）DEX加殼保護(hù)（4）Dalvik字節(jié)碼加密6.3應(yīng)用級安全防護(hù)6.3.2防病毒檢查系統(tǒng)1．

系統(tǒng)的必要性防止將外網(wǎng)的病毒、木馬等惡意程序帶入內(nèi)網(wǎng)。2．

采取的措施要堅持首選國產(chǎn)的防病毒軟件，

要選擇有國家相關(guān)部門認(rèn)證的系統(tǒng)軟件。6.3應(yīng)用級安全防護(hù)6.3.3數(shù)據(jù)加解密系統(tǒng)1．

要解決的問題1）保證網(wǎng)絡(luò)信息系統(tǒng)的數(shù)據(jù)存儲安全；2）保證網(wǎng)絡(luò)信息系統(tǒng)的數(shù)據(jù)傳輸安全。2．

采用的措施定制文件存儲、傳輸加解密系統(tǒng)。選用相應(yīng)等級的加密算法和加密密碼（商密、普密、核密）

。安全是相對的。6.3應(yīng)用級安全防護(hù)6.3.4數(shù)據(jù)防護(hù)技術(shù)1．

問題的提出復(fù)制屏幕上顯示的各種數(shù)據(jù)。2．

解決方案不允許一般用戶脫離系統(tǒng)控制私自生成文件。設(shè)置專門的系統(tǒng)瀏覽終端，

和系統(tǒng)文件生成終端。嚴(yán)格控制用戶的權(quán)限，

使一般用戶不具備數(shù)據(jù)或數(shù)據(jù)庫復(fù)制的功能。加強(qiáng)對用戶的操作行為管理。6.3應(yīng)用級安全防護(hù)6.3.5

安全管理模塊1．

建設(shè)內(nèi)容應(yīng)用信息系統(tǒng)安全管理模塊的內(nèi)容包括：

身份鑒別、訪問控制、可靠性與可用性、系統(tǒng)

監(jiān)控、

日志審計、管理員行為審計、系統(tǒng)安全評估與加固、數(shù)據(jù)備份、系統(tǒng)安全應(yīng)急處置等

九個部分內(nèi)容。2．

具體的技術(shù)措施應(yīng)用信息系統(tǒng)的軟件架構(gòu)采用管理員用戶三權(quán)分立的模式；應(yīng)用軟件功能采用模塊化、

插件式設(shè)計；每個功能模塊都有啟用和禁止控制開關(guān)，針對每個用戶都能配置其應(yīng)用功能。管理員用戶實(shí)行三權(quán)分立的原則。1）用戶分類2）多用戶日志3）多用戶安全管理要求業(yè)務(wù)用戶的信息能夠彼此隔離；用戶的相關(guān)操作，系統(tǒng)有明確風(fēng)險提醒；

系統(tǒng)支持對用

戶接入IP和MAC地址進(jìn)行綁定配置。系統(tǒng)應(yīng)支持多因素認(rèn)證，應(yīng)支持多種用戶認(rèn)證方式。4）系統(tǒng)監(jiān)控（1）

出入訪問控制——五元組規(guī)則（2）系統(tǒng)的健康狀況或運(yùn)行狀態(tài)監(jiān)控6.3應(yīng)用級安全防護(hù)6.3.6

文件安全檢查預(yù)警系統(tǒng)1．

系統(tǒng)的必要性避免秘密信息隱藏在正常文件中被夾帶出去。2．

解決方案在局域網(wǎng)系統(tǒng)網(wǎng)絡(luò)的出入口處部署“文件安全檢查預(yù)警系統(tǒng)

”。文件安全檢查預(yù)警系統(tǒng)應(yīng)具備如下的檢測功能：1）對圖像文件可進(jìn)行OCR內(nèi)容搜索。2）可檢查文件是否被加密，

如Office文檔、PDF、壓縮包是否被加密。3）采用關(guān)鍵詞過濾和文本分類技術(shù)來檢查文本文檔。4）對壓縮包文件，

可進(jìn)行層層分析，

直到已遍歷其中所有的文件。5）對所有的文件進(jìn)行檢查，

看是否夾帶多余的數(shù)據(jù)，

分析文件結(jié)構(gòu)中是否還存在隱藏的數(shù)據(jù)。6）可自動識別文件類型，對文件類型和文件擴(kuò)展名不符的進(jìn)行預(yù)警。7）對app、exe、dll等執(zhí)行文件進(jìn)行病毒分析。8）該系統(tǒng)與現(xiàn)有的郵件分析系統(tǒng)整合，

能夠解析Https協(xié)議。（通過對

比加解密數(shù)據(jù)）6.3應(yīng)用級安全防護(hù)6.3.7

系統(tǒng)監(jiān)控1．

必要性要保障網(wǎng)絡(luò)系統(tǒng)的運(yùn)行狀況良好；要保證該網(wǎng)絡(luò)系統(tǒng)上的設(shè)備不被非法的啟動、操作、

更換和改動。2．

解決方案1）網(wǎng)絡(luò)探測技術(shù)應(yīng)用2）堡壘機(jī)應(yīng)用3）在網(wǎng)絡(luò)信息系統(tǒng)中要建立完善的“

日志審計系統(tǒng)”4）網(wǎng)口實(shí)時監(jiān)測5）嚴(yán)格控制內(nèi)部網(wǎng)絡(luò)的出入口6）采取防止內(nèi)網(wǎng)滲透的措施7）防止屏幕或網(wǎng)站的數(shù)據(jù)被獲取8）應(yīng)具有臨時阻斷查看的能力9）對服務(wù)器運(yùn)行狀態(tài)要進(jìn)行監(jiān)控10）系統(tǒng)狀態(tài)監(jiān)控（1）監(jiān)控系統(tǒng)內(nèi)服務(wù)器、計算機(jī)的CPU、硬盤等是否正常。（2）監(jiān)控系統(tǒng)內(nèi)是否有異常程序運(yùn)行。（3）監(jiān)控電源是否正常，如是否存在電源載波。（4）監(jiān)控系統(tǒng)的資源利用率。6.4

內(nèi)網(wǎng)使用管理制度建立統(tǒng)一領(lǐng)導(dǎo)、分級管理、技管并重、動態(tài)防護(hù)、綜合防范的管理體系和多層次、全方位的防御體系。6.4.1必要性光有好的防護(hù)技術(shù)是不夠的，

再好的技術(shù)也需人去控制。6.4.2完善安全管理制度1．

建立內(nèi)部級網(wǎng)絡(luò)安全管理制度2．

建立符合行業(yè)等級保護(hù)或分級保護(hù)要求的網(wǎng)絡(luò)安全管理制度“強(qiáng)調(diào)千遍不如執(zhí)行一次

”，

要及時執(zhí)行獎懲，

有功就獎，

有過就罰。第7章特殊需求的網(wǎng)絡(luò)設(shè)計獨(dú)立專線方案7.2無線加專線的通信方案7.3

混合網(wǎng)絡(luò)方案7.4

移動終端防護(hù)處理技術(shù)7.5

無信息互通的網(wǎng)絡(luò)接口7.6有信息互通的網(wǎng)絡(luò)接口7.7

聯(lián)系緊密的網(wǎng)絡(luò)連接7.8與總部網(wǎng)絡(luò)連接7.9

與高保密性網(wǎng)絡(luò)連接7.17章

錄第

目圖7-1使用VPDN/PSDN專線連接的網(wǎng)絡(luò)7.1

使用獨(dú)立專線的方案圖7-2無線加密傳輸系統(tǒng)示意圖7.2

無線加專線的通信方案圖7-3基于互聯(lián)網(wǎng)和獨(dú)立專網(wǎng)組成的混合網(wǎng)絡(luò)7.3

混合網(wǎng)絡(luò)方案7.4

移動終端防護(hù)處理技術(shù)1、移動終端應(yīng)具有較高安全性的登錄認(rèn)證功能。2、在移動終端設(shè)備上不應(yīng)有可移動的存儲卡，

且私密文件需要加密存儲。3、可在移動終端設(shè)備固有的存儲芯片上，

安裝芯片環(huán)境檢測功能，

芯片應(yīng)具有上電自檢功能。圖7-4采用單向擺渡設(shè)備連接的網(wǎng)絡(luò)7.5

無信息互通的網(wǎng)絡(luò)接口這里我們重點(diǎn)要

解決信息“安全出

”

的問題——“

出號機(jī)

”。圖7-5：

局域網(wǎng)系統(tǒng)網(wǎng)絡(luò)部署示例圖7.6

有信息互通的網(wǎng)絡(luò)接口7.6

有信息互通的網(wǎng)絡(luò)接口7.6.1基于單片機(jī)的單向網(wǎng)閘——

出號機(jī)該出號機(jī)適合低速、每次傳送小信息量的應(yīng)用場景。該出號機(jī)設(shè)計的目的是能嚴(yán)格

控制傳輸?shù)膬?nèi)容并控制每次傳輸信息的量，還能實(shí)時監(jiān)控傳輸?shù)膬?nèi)容并可遠(yuǎn)程關(guān)停該單

向擺渡設(shè)備。1．

系統(tǒng)的設(shè)計要求1）系統(tǒng)有2個獨(dú)立供電的單片機(jī)系統(tǒng)；2）兩個前后端系統(tǒng)的電性能完全隔離；3）兩個系統(tǒng)之間的數(shù)據(jù)采用單向傳輸?shù)耐緩絹韺?shí)現(xiàn)；4）傳輸?shù)膬?nèi)容嚴(yán)格被限制，一般用純文本格式文件或直接傳輸字符的方式進(jìn)行

傳送，而且信息量較??；傳輸時加內(nèi)容校驗位，

以驗證其正確性；5）要具有完整的日志記錄功能，尤其對傳輸?shù)男畔⒁敿?xì)記錄；6）系統(tǒng)獨(dú)立工作，無需人為干預(yù)；7）管理員或運(yùn)維人員可遠(yuǎn)程控制關(guān)閉該單向擺渡設(shè)備；8）系統(tǒng)被完整的封閉在獨(dú)立的密閉箱體內(nèi)；9）外部連接采用通用的網(wǎng)線接口；10）系統(tǒng)可以級聯(lián)。7.6

有信息互通的網(wǎng)絡(luò)接口7.6.1基于單片機(jī)的單向網(wǎng)閘——

出號機(jī)2．

系統(tǒng)的工作原理圖7-6基于單片機(jī)的出號機(jī)原理示意圖7.6

有信息互通的網(wǎng)絡(luò)接口7.6.1基于單片機(jī)的單向網(wǎng)閘——

出號機(jī)3．

系統(tǒng)設(shè)備外形設(shè)計使用標(biāo)準(zhǔn)機(jī)箱，進(jìn)行安全加固。4．

系統(tǒng)安全性問題1）

由系統(tǒng)管理員和安全設(shè)備管理員共同登錄系統(tǒng)后設(shè)置。2）系統(tǒng)管理員和安全設(shè)備管理員不應(yīng)是同一人，

而且啟用設(shè)備和開啟設(shè)備時要二人以上同時在場。3）在傳輸?shù)膬?nèi)容上，

增加效驗碼。如果不正確，

工作人員應(yīng)及時通知后臺管理員進(jìn)行處置。4）在前、后端系統(tǒng)中均加裝硬件看門狗。5．

系統(tǒng)的市場適用性通過本設(shè)備能夠保證只是導(dǎo)出“用戶指定的數(shù)據(jù)

”，

所以它就沒有降低內(nèi)網(wǎng)系統(tǒng)的安全級別，

使用本設(shè)備自動導(dǎo)出“指定的數(shù)據(jù)

”是完全可行的。7.6

有信息互通的網(wǎng)絡(luò)接口7.6.1基于單片機(jī)的單向網(wǎng)閘——

出號機(jī)6．

系統(tǒng)功能小結(jié)圖7-7“基于單片機(jī)的出號機(jī)

”功能1）尋找可行的單向傳輸方法，

使系統(tǒng)數(shù)據(jù)傳輸更可靠、更安全；2）采用單片機(jī)系統(tǒng)架構(gòu)，

可以起到防攻擊、防篡改的作用。7.6

有信息互通的網(wǎng)絡(luò)接口7.6.1基于單片機(jī)的單向網(wǎng)閘——

出號機(jī)7．

單向擺渡設(shè)備與“出號機(jī)

”的區(qū)別1）單向擺渡設(shè)備是通用設(shè)備；“

出號機(jī)

”是定制的特種單向擺渡設(shè)備，

它可以應(yīng)用于高密級網(wǎng)絡(luò)向低密級網(wǎng)絡(luò)自動傳遞必要的數(shù)據(jù)信息。2）“基于單片機(jī)的出號機(jī)

”的特點(diǎn)是傳輸信息速度慢，傳輸?shù)膬?nèi)容數(shù)據(jù)量小，傳輸?shù)膬?nèi)容嚴(yán)格被“格式化

”（這樣有利于安全傳輸驗證）

，在傳輸

時傳輸內(nèi)容同時通過短信被發(fā)送到監(jiān)控管理人的手機(jī)上，

以便實(shí)時對系統(tǒng)進(jìn)行監(jiān)控。3）“基于單片機(jī)的出號機(jī)

”的日志也要被納入“

日志審計系統(tǒng)

”的安全

設(shè)備管理中。4）該“

出號機(jī)

”是一個定制產(chǎn)品，

能提高系統(tǒng)的自動化程度，

減輕工作

人員的勞動強(qiáng)度，

提高工作效率，解放生產(chǎn)力。5）特別提示：

本設(shè)備在高密級的網(wǎng)絡(luò)中使用要慎重，

如果要使用，還需要相關(guān)部門的批準(zhǔn)。7.6

有信息互通的網(wǎng)絡(luò)接口7.6.2“雙向網(wǎng)閘

”方式在選擇雙向網(wǎng)閘產(chǎn)品時，

要注意其適用條件。7.6.3傳輸鏈路加密在鏈路上可以采用加密隧道或?qū)Ｓ镁€路；

在兩個網(wǎng)絡(luò)或兩個子域的邊界上可

以加裝邊界防護(hù)設(shè)備和加解密設(shè)備；

在傳輸協(xié)議上可以采用加密協(xié)議，

等等。7.7

聯(lián)系緊密的網(wǎng)絡(luò)連接圖7-8

采用專線組網(wǎng)的網(wǎng)絡(luò)使用無線模塊應(yīng)經(jīng)過相關(guān)部門的安全方案審核，才可使用，

要慎重。7.8

與總部網(wǎng)絡(luò)連接參見本章第7.1節(jié)和7.3節(jié)。該部分重點(diǎn)是要做好通道以及邊界安全防護(hù)措施。2．

兩個網(wǎng)絡(luò)之間（機(jī)房）

無連接線

，

如圖7-10所示。1）高密網(wǎng)與低密網(wǎng)之間沒有有線連接；2）系統(tǒng)部署不受區(qū)域限制。即高密系

統(tǒng)不用部署在“現(xiàn)場”，也可以有效地保證系統(tǒng)的安全性。3）本系統(tǒng)包括：

出號機(jī)（主體）和短

信接收處理模塊。4）短信接收處理模塊部署在低密網(wǎng)處。圖7-10用短信貓傳輸信息7.9

與高保密性網(wǎng)絡(luò)連接1．

兩個網(wǎng)絡(luò)之間（機(jī)房）

用單向光纖連接

，

如圖7-9所示。圖7-9用單向光纖進(jìn)行安全連接7.9

與高保密性網(wǎng)絡(luò)連接3．

用雙“單向擺渡設(shè)備

”，

網(wǎng)線連接在兩個單向擺渡設(shè)備之間

，

如圖7-11所示。圖7-11用雙“單向擺渡設(shè)備

”進(jìn)行安全連接7.9

與高保密性網(wǎng)絡(luò)連接4.單向擺渡設(shè)備安全部署方案1）單向擺渡設(shè)備能實(shí)現(xiàn)單向無回饋地傳輸。2）單向擺渡設(shè)備的完整性效驗：

對于數(shù)據(jù)格式內(nèi)容檢查和病毒查殺的數(shù)據(jù)進(jìn)行完整性效驗。及時發(fā)現(xiàn)數(shù)據(jù)是否被篡改、刪除、插入等。3）單向擺渡設(shè)備的違規(guī)告警：

對于單向?qū)氲臄?shù)據(jù)格式內(nèi)容檢查不合格、數(shù)據(jù)完整性效驗失敗或者發(fā)現(xiàn)病毒、木馬的，

應(yīng)當(dāng)及時阻斷信息單向?qū)胄袨椋?/p>

且

記錄審計日志并告警。4）單向擺渡設(shè)備的配置管理：

單向擺渡設(shè)備的配置管理應(yīng)當(dāng)在本地進(jìn)行。圖7-12單向?qū)朐O(shè)備安全部署示例（帶邊界防護(hù)）第8章云數(shù)據(jù)安全第8章目錄8.2云與分布式的區(qū)別云安全防范措施云面臨的風(fēng)險8.18.38.3關(guān)于云圖8-12020年中國互聯(lián)網(wǎng)行業(yè)發(fā)展?fàn)顩r第8章

“云

”數(shù)據(jù)安全8.1

關(guān)于“云

”云是網(wǎng)絡(luò)、互聯(lián)網(wǎng)的一種比喻說法，

是互聯(lián)網(wǎng)和底層網(wǎng)絡(luò)基礎(chǔ)設(shè)施的抽象概括。8.1.1“云

”的本質(zhì)“云

”就是通過網(wǎng)絡(luò)按需分配計算資源。云具有大規(guī)模、虛擬化、高可靠及

彈性配置等屬性。云有五個基本特征：第一，

云是由云單元組成的；第二，

寬帶網(wǎng)絡(luò)是云的基礎(chǔ)；第三，

云是分布的系統(tǒng)；第四，

云用的是虛擬化技術(shù)；第五，

云是要保證安全的?！霸?/p>

”有兩種基本類型，即公有云和私有云。圖8-2

用戶可在不同地點(diǎn)用不同設(shè)備隨時訪問“云

”8.1

關(guān)于“云

”8.1.1“云

”的本質(zhì)1．

云計算云計算是并行計算、分布式計算和網(wǎng)格計算的發(fā)展，或者說是這些計算機(jī)科學(xué)概念的商業(yè)實(shí)現(xiàn)。云計算

是虛擬化、應(yīng)用計算、基礎(chǔ)設(shè)施即服務(wù)（IaaS）

、平臺即服務(wù)（PaaS）

、軟件即服務(wù)（SaaS）等概念混合演

進(jìn)并躍升的結(jié)果。1）云計算的特點(diǎn)（1）超大規(guī)模（2）虛擬化（3）高可靠性（4）通用性（5）高可擴(kuò)展性（6）按需服務(wù)（7）極其廉價2）云計算的主要服務(wù)形式（1）軟件即服務(wù)（SoftwareasaService，SaaS）（2）平臺即服務(wù)（PlatformasaService，PaaS）（3）基礎(chǔ)設(shè)施即服務(wù)（InfrastructureasaService，

IaaS）（4）功能即服務(wù)（FunctionasaService，F(xiàn)aaS）8.1

關(guān)于“云

”8.1.1“云

”的本質(zhì)2．

云服務(wù)云服務(wù)是基于“云計算

”技術(shù)，

實(shí)現(xiàn)各種終端設(shè)備之間的互聯(lián)互通，

為用戶提供需要的資源、信息和應(yīng)用服務(wù)。3．

云存儲云存儲是一種新型數(shù)據(jù)訪問服務(wù)，

它以數(shù)據(jù)管理和數(shù)據(jù)存儲為核心，

它是在云計算的基礎(chǔ)上發(fā)展起來的。8.1

關(guān)于“云

”8.1.1“云

”的本質(zhì)4．

云應(yīng)用“云應(yīng)用

”是“云計算

”概念的子集，

是云計算在應(yīng)用層的體現(xiàn)。1）“云應(yīng)用

”與傳統(tǒng)軟件的區(qū)別（1）跨平臺性（2）

易用性（3）輕量性（4）安全性（5）云應(yīng)用的優(yōu)勢2）云好比傳統(tǒng)的租用服務(wù)器我們先來看看租用服務(wù)器業(yè)務(wù)。（1）租用主機(jī)。（2）租用物理服務(wù)器。（3）租用虛擬主機(jī)。（4）租用虛擬專用服務(wù)器（VirtualPrivateServer，VPS）。是不是云和租用服務(wù)器很相似，

只不過云的功能更強(qiáng)大、

問題更復(fù)雜而已。8.1

關(guān)于“云

”8.1.1“云

”的本質(zhì)4．

云應(yīng)用云可提供全方位有償服務(wù)圖8-3云可提供全方位有償服務(wù)8.1

關(guān)于“云

”8.1.2為什么上“云

”一個企業(yè)為運(yùn)行局域網(wǎng)，

需耗費(fèi)大量的人力、物力和資金。1．

上“云

”是社會進(jìn)步的必然結(jié)果企業(yè)上云是時代發(fā)展進(jìn)步的結(jié)果，

是企業(yè)發(fā)展的需要。2．

上云的好處1）低成本；2）可擴(kuò)展性；3）

高彈性；4）

高可靠性。企業(yè)上云，

可以大大提高資源配置效率、降低信息化建設(shè)成本、改善企業(yè)

工作效率、提升企業(yè)管理水平、保障企業(yè)數(shù)據(jù)安全，

企業(yè)上云是未來的大趨

勢！8.1

關(guān)于“云

”8.1.3

怎么上云1．

云提供商為企業(yè)上云

，

已準(zhǔn)備好云產(chǎn)品體系為方便用戶，

云提供商打造了全方位的云產(chǎn)品體系。1）基礎(chǔ)上云2）

管理上云3）行業(yè)上云相信在不遠(yuǎn)的將來，政府、企業(yè)會紛紛上云，

實(shí)現(xiàn)數(shù)字化、智能化的發(fā)展。2．

用戶和企業(yè)為上云應(yīng)做好哪些準(zhǔn)備1）要評估不同的用戶、合作伙伴和客戶的訪問信息，

然后制定好數(shù)據(jù)存取和共享的內(nèi)容。2）要從主要的功能開始，

用好后，

逐步擴(kuò)展。3）不要急于求成，

要制定好上云的實(shí)施進(jìn)度，

做到穩(wěn)扎穩(wěn)打。4）要制定好工作流程。5）上云是一種新的管理方式，

要與云提供商協(xié)商、溝通好，

要為變更管理模式做好準(zhǔn)備，

做好工作職責(zé)的轉(zhuǎn)變，

要各盡其責(zé)。8.1

關(guān)于“云

”8.1.3

怎么上云3．

選擇合適的云部署方式1）私有云2）

公共云3）混合云4）

多云4．

云應(yīng)用測試1）

內(nèi)部測試2）跨系統(tǒng)測試個人用戶、企業(yè)用戶和云服務(wù)提供商都要嚴(yán)格規(guī)范自己的行為，

要共同努力，

為創(chuàng)建和諧、健康、有序、合規(guī)、安全的網(wǎng)絡(luò)營商環(huán)境而貢獻(xiàn)自己的一

分力量。項目云存儲分布式存儲相同點(diǎn)目的都是用于對大數(shù)據(jù)的存儲系統(tǒng)適用場景對可靠性、穩(wěn)定性和性能要求較高的應(yīng)用對成本較為敏感或者要求業(yè)務(wù)快速上線的場景系統(tǒng)實(shí)現(xiàn)通過雙控、遠(yuǎn)程復(fù)制、

同城/異地災(zāi)備實(shí)現(xiàn)存儲通過多副本打散到不同工作域?qū)崿F(xiàn)存儲8.2

云與分布式的區(qū)別表8-1云存儲和分布式存儲的相同點(diǎn)和不同點(diǎn)常見應(yīng)用虛擬桌面化（VDI）

，小機(jī)房數(shù)據(jù)中心虛擬機(jī)，業(yè)務(wù)輕便上線用戶操作體驗提供圖形化操作界面操作界面用戶一般不可見對外接口支持iSCSI、FiberChannel、FCoE、RDMA等支持iSCSI、RDMA等計算資源利用率高利用率低存儲資源利用率低利用率很低不同點(diǎn)在概念層次上，

云計算與分布式計算之間，

既相互獨(dú)立又交叉聯(lián)系。云計算是分布式計算面向應(yīng)用的延伸，

分布式計算是云計算的實(shí)現(xiàn)基礎(chǔ)，

沒有分布式計

算的技術(shù)，

云計算只能是紙上談兵。云存儲與分布式存儲也是如此。相同點(diǎn)①都屬于高性能計算的范疇；②目的都用于對大數(shù)據(jù)的分析與處理；③都與并行計算有關(guān)。計算資源借助云上計算資源進(jìn)行計算，云上計算可以是一個

分布式計算系統(tǒng)，也可以是一個集中式的計算中心將不同物理區(qū)域的計算資源整合起來進(jìn)行計算8.2

云與分布式的區(qū)別表8-2云計算與分布式計算的相同點(diǎn)和不同點(diǎn)計算機(jī)用戶沒有用戶參與，而是交給網(wǎng)絡(luò)另一端的服務(wù)器完成由多個用戶合作完成應(yīng)用分發(fā)通過類似網(wǎng)絡(luò)的東西，

由系統(tǒng)自動進(jìn)行資源組合通過應(yīng)用設(shè)計，將任務(wù)進(jìn)行分解應(yīng)用層面面向用戶的應(yīng)用層面向計算任務(wù)的操作層項目云計算分布式計算不同點(diǎn)8.3

云面臨的安全風(fēng)險云安全的策略構(gòu)想是使用者越多，

每個使用者就越安全，

因為如此龐大的用戶群，

足以覆蓋互聯(lián)網(wǎng)的每個角落，

只要某個網(wǎng)站被掛馬或某個新木馬病毒出現(xiàn)，就會立刻被截獲，

而且“云

”馬上就有了免疫力，

從而保障了“云

”中客戶端和

云服務(wù)器的安全。1．

傳統(tǒng)的安全風(fēng)險在云環(huán)境下仍然存在2．

從安全管理角度來看

，

云面臨的安全問題1）安全部署困難2）安全資源按需自助服務(wù)3）安全資源按需計量計費(fèi)4）安全資源彈性伸縮5）安全服務(wù)統(tǒng)一運(yùn)維管理6）要加強(qiáng)內(nèi)部安全防范8.3

云面臨的安全風(fēng)險3．

從業(yè)務(wù)安全角度來看

，

云面臨的安全問題1）虛擬機(jī)逃逸2）

東西向安全防護(hù)3）用戶數(shù)據(jù)安全4）共享業(yè)務(wù)安全5）用戶身份安全6）應(yīng)用程序接口安全7）運(yùn)用技術(shù)安全8）

云平臺安全審計9）未知的風(fēng)險8.4

云安全防范措施在云環(huán)境中，

網(wǎng)絡(luò)邊界實(shí)際上消失了。8.4.1云安全的內(nèi)涵1．

可靠的云2．

安全的云3．

可信的云4．

可控的云5．

云安全服務(wù)8.4

云安全防范措施8.4.2

云安全服務(wù)的方式1．

提供單一

的安全軟件1）部署復(fù)雜。2）安全組件管理復(fù)雜。3）用戶購買流程復(fù)雜，

而且部署的方式無法做到安全性能的彈性擴(kuò)展。2．

提供SECaaS服務(wù)3．

安全產(chǎn)品入駐云平臺的安全市場4．

云服務(wù)商自己提供安全服務(wù)8.4

云安全防范措施8.4.3

安全資源池解決方案1．

云安全資源池架構(gòu)1）

云安全管理2）

云安全資源2．

云安全資源池解決方案的優(yōu)點(diǎn)1）軟件定義安全2）安全自動化部署3）安全數(shù)據(jù)隔離4）安全彈性擴(kuò)展5）安全可靠云安全管理平臺資源管理服務(wù)編排服務(wù)開通報表分析云監(jiān)測云防御云審計云服務(wù)計算資源

存儲管理

網(wǎng)絡(luò)管理基于內(nèi)核的虛擬化物理服務(wù)器策略下發(fā)流量調(diào)度安全配置安全報警云上合規(guī)云安全可視化大數(shù)據(jù)分析表8-3云安全資源池架構(gòu)8.4

云安全防范措施8.4.4

云安全防護(hù)技術(shù)1．

云防火墻1）云防火墻和下一代防火墻（NextGenerationFireWall，NGFW）的區(qū)別

云防火墻是以防火墻即服務(wù)（FWaaS）

的方式服務(wù)于云安全。下一代防火墻包含了早期防火墻產(chǎn)品所未能提供的新技術(shù)，

比如：（1）入侵防護(hù)系統(tǒng)（2）深度數(shù)據(jù)包檢查（DPI）（3）應(yīng)用程序控制2）安全訪問服務(wù)邊緣（Security

AccessServicesEdge，SASE）框架3）云Web應(yīng)用程序防火墻2．

云殺毒整個的“云

”就是一個巨大的“殺毒軟件系統(tǒng)”

。3．

軟件即服務(wù)應(yīng)用4．

混合云技術(shù)應(yīng)用5．

云審計6．“云安全”防護(hù)的核心技術(shù)“云安全”核心技術(shù)是指“

內(nèi)核級自我保護(hù)”“啟發(fā)式判斷”“沙箱”“虛擬機(jī)”“智

能主動防御”等。8.4

云安全防范措施8.4.5云安全解決方案示例1．

“探針+云

”安全方案“云

”籠罩下的用戶越多，“云

”記錄和分享的安全信息也就越多，整體的用戶防護(hù)

能力也就越強(qiáng)大，這就是網(wǎng)絡(luò)的真諦，也是所謂“云安全”的精華之所在。1）要想建立這樣的“云安全

”系統(tǒng)，并使之正常運(yùn)行，

需要解決如下問題。（1）需要海量的客戶端，

即云安全探針。（2）需要專業(yè)的反病毒技術(shù)和經(jīng)驗。（3）需要大量的資金和技術(shù)投入。（4）“云安全”必須是開放的系統(tǒng)，而且需要大量合作伙伴的加入。2）作為“云安全

”解決方案，還應(yīng)具有如下的功能。（1）木馬下載攔截。（2）木馬判斷攔截。（3）

自動在線診斷。（4）監(jiān)控功能。（5）漏洞掃描。（6）強(qiáng)力修復(fù)。（7）加強(qiáng)管理。（8）高級工具集。8.4

云安全防范措施8.4.5云安全解決方案示例2．

“虛擬化技術(shù)

”安全方案1）桌面虛擬鏡像數(shù)據(jù)加密；2）

結(jié)合PKI技術(shù)的雙因子云終端身份認(rèn)證；3）

以云終端為識別依據(jù)的安全域劃分；4）數(shù)據(jù)動態(tài)邊界自動加密；5）通過加密手段將統(tǒng)一存儲的風(fēng)險進(jìn)行分?jǐn)偅?）針對桌面終端的數(shù)據(jù)安全，

完全杜絕外發(fā)途徑；7）做好網(wǎng)絡(luò)層進(jìn)行的傳輸控制；8）通過對多用戶采取主機(jī)隔離、網(wǎng)絡(luò)隔離、數(shù)據(jù)隔離、應(yīng)用隔離；9）在統(tǒng)一的平臺上支持對普通PC終端、云桌面及虛擬化終端、移動智能終端和物聯(lián)網(wǎng)終端等多種終端網(wǎng)絡(luò)的協(xié)同管理。8.4

云安全防范措施8.4.5云安全解決方案示例3．

“云預(yù)警系統(tǒng)

”安全方案通過云預(yù)警系統(tǒng)與中心服務(wù)器交換資料，

中心服務(wù)器通過所有收集到的資料便能夠迅速準(zhǔn)確地做出響應(yīng)，

從而保證云中的安全。4．

全網(wǎng)防御安全方案全網(wǎng)防御云安全體系，

它包括智能化客戶端、集群式服務(wù)端和開放的平臺

三個層次。1）穩(wěn)定高效的智能客戶端2）集群式服務(wù)端3）開放的平臺8.4

云安全防范措施8.4.5云安全解決方案示例5．

依托于“信譽(yù)服務(wù)

”的安全方案“信譽(yù)服務(wù)

”安全方案具有如下的特性：1）Web信譽(yù)服務(wù)2）

電子郵件信譽(yù)服務(wù)3）文件信譽(yù)服務(wù)4）行為關(guān)聯(lián)分析技術(shù)5）

自動反饋機(jī)制6）威脅信息匯總在防病毒研究技術(shù)支持中心的技術(shù)人員能提供實(shí)時響應(yīng)，

即7*24小時的全天候威脅監(jiān)控和攻擊防御，

以探測、預(yù)防并清除攻擊。8.4

云安全防范措施8.4.5云安全解決方案示例6．

全功能安全防御方案全功能安全防御旨在為互聯(lián)網(wǎng)信息搭建一個無縫透明的安全體系。1）全功能安全防御以防惡意程序引擎為核心，

以技術(shù)集成為基礎(chǔ)，

實(shí)現(xiàn)

信息安全軟件的功能平臺化。2）在強(qiáng)大的后臺技術(shù)分析能力和在線透明交互模式的支持下，

全功能安全防御可以在用戶“知情并同意

”的情況下在線收集、分析用戶計算機(jī)中可

疑的病毒和木馬等惡意程序樣本，

并且通過及時更新的防病毒數(shù)據(jù)庫進(jìn)行用

戶分發(fā)。3）通過扁平化的服務(wù)體系實(shí)現(xiàn)用戶與技術(shù)后臺的零距離對接。8.4

云安全防范措施8.4.5云安全解決方案示例7．

基于漏洞掃描的安全方案云安全漏洞掃描探測系統(tǒng)是基于APT入侵檢測模式的深度安全評估系統(tǒng)。云安全漏洞掃描探測系統(tǒng)具有如下特性：1）能發(fā)現(xiàn)Web應(yīng)用服務(wù)器安全漏洞。2）能夠準(zhǔn)確掃描網(wǎng)站存在的漏洞，

能發(fā)現(xiàn)網(wǎng)站安全風(fēng)險。3）支持VPN入侵檢測服務(wù)器，

能夠解決屏蔽網(wǎng)站無法掃描的問題。4）支持常規(guī)的檢測漏洞模型和智能滲透檢測模型，具有超強(qiáng)的漏洞分析能力。5）支持簡單模式（單個域名）

、批量模式（多個域名）

、快速掃描、深度掃描

等模式。6）具有專業(yè)、清晰、準(zhǔn)確的可視化的報表。7）具有針對常見郵件系統(tǒng)、論壇、博客、Web編輯器的專業(yè)檢測模型。8）支持cookies登錄狀態(tài)深入檢測功能。9）集成了Javascript智能解析引擎，對惡意代碼、DOM類型的跨站腳本漏洞和任

意頁面的跳轉(zhuǎn)漏洞能夠檢測。10）系統(tǒng)操作簡單，

能夠輕松地完成高質(zhì)量的入侵安全檢測。8.4

云安全防范措施8.4.5云安全解決方案示例8．

基于云計算的安全方案基于云計算的安全系統(tǒng)能夠保護(hù)計算機(jī)免受病毒、木馬或其他安全威脅的

侵害。1）

由于采用“云結(jié)構(gòu)

”，

該系統(tǒng)能夠縮短收集、檢測惡意軟件的時間，

及配置整個解決方案的時間。2）系統(tǒng)只管理一個窗口，

用戶和企業(yè)的所有活動都在該窗口中進(jìn)行，

而該窗口將會持續(xù)分析有無惡意軟件并快速地做出響應(yīng)。3）

云計算服務(wù)系統(tǒng)可以在簽名文件尚未發(fā)布之前就對威脅做出響應(yīng)。4）如果用戶電腦裝有該系統(tǒng)，

那么一旦電腦被檢測到存在可疑文件，

那么會立刻與云服務(wù)器聯(lián)系，

以確定可疑文件是否是惡意的。通過這一方式，

云平臺還能利用所收集的數(shù)據(jù)為用戶和企業(yè)提供定制的安全解決方案。5）該系統(tǒng)能夠提供實(shí)時的安全保護(hù)。6）今后要加強(qiáng)惡意軟件檢測技術(shù)的研究，

以適應(yīng)用戶行為的改變以及安全威脅的變化。8.4

云安全防范措施8.4.5云安全解決方案示例9．

基于程序自動分析的安全方案理想狀態(tài)下，

一個惡意程序從攻擊某臺電腦，

到整個“云安全

”網(wǎng)絡(luò)對其擁有免疫、查殺能力，僅需幾秒的時間。

由于整個過程全部通過互聯(lián)網(wǎng)并經(jīng)

程序自動控制，

所以用戶可以在最大程度上提高對木馬和病毒的防范能力。這個“云安全

”方案的核心是使用“木馬/惡意程序自動分析系統(tǒng)

”，

該系統(tǒng)能夠?qū)Υ罅坎《緲颖具M(jìn)行動態(tài)分類與共性特征分析。8.4

云安全防范措施8.4.5云安全解決方案示例10．

云存儲安全方案云存儲安全是云安全中最重要的內(nèi)容。云存儲系統(tǒng)是一個復(fù)雜的系統(tǒng)，有客戶端程序、接入網(wǎng)、公

用訪問接口、應(yīng)用軟件、服務(wù)器、存儲設(shè)備、

網(wǎng)絡(luò)設(shè)備等組成。云存儲系統(tǒng)在邏輯上分為數(shù)據(jù)存儲層、

數(shù)據(jù)管理層和數(shù)據(jù)服務(wù)層。1）云存儲安全需求（1）數(shù)據(jù)備份的安全性（2）安全分級的安全性（3）存儲的安全性（4）訪問的安全性2）實(shí)行有效的云存儲安全措施（1）加強(qiáng)信息加密算法的應(yīng)用（2）部署云防火墻①其具有強(qiáng)大的抗攻擊架構(gòu)。②把被攻擊的網(wǎng)站或者服務(wù)器地址接到云端網(wǎng)絡(luò)，可實(shí)現(xiàn)抗攻擊。③各云端節(jié)點(diǎn)采用同構(gòu)互換等架構(gòu)措施。④云防火墻的規(guī)?？梢詣討B(tài)伸縮，滿足應(yīng)用和用戶規(guī)模增長的需要。⑤云防火墻比傳統(tǒng)的硬件防火墻節(jié)省成本。（3）

同態(tài)加密3）開展云存儲安全專題培訓(xùn)8.4

云安全防范措施8.4.6

提升云安全的有效措施1．

私有云奠定了云安全基礎(chǔ)2．

風(fēng)險評估是安全的重要保障3．

不同云模型能精準(zhǔn)支持不同業(yè)務(wù)4．

珍惜“面向服務(wù)的架構(gòu)

”體系的寶貴經(jīng)驗5．

做好雙重角色轉(zhuǎn)換6．

制定并啟用網(wǎng)絡(luò)安全標(biāo)準(zhǔn)云安全是云用戶、云企業(yè)、云服務(wù)提供商共同面對的安全問題，

所遇到的安全威脅和安全風(fēng)險，

以及安全解決方案都是由大家共同來承擔(dān)，

需要大家團(tuán)結(jié)協(xié)作，

安全問題由大家共同來完成。云安全屬于全局的、宏觀的安全問題。但對云

中的個體來講，

可能會發(fā)生不安全事件，但對整個“云

”來講是安全的。第9章系統(tǒng)加固與應(yīng)急處置第9章目錄99..22

系統(tǒng)工作區(qū)域空間防護(hù)9.5

應(yīng)急處置預(yù)案及措施99..11

系統(tǒng)選型的基本原則數(shù)據(jù)庫安全加固主機(jī)安全加固9.39.49.1

系統(tǒng)選型的基本原則1．

網(wǎng)絡(luò)系統(tǒng)的硬件，

要盡量選用國產(chǎn)的產(chǎn)品。2．

硬件的操作系統(tǒng)要選用安全的操作系統(tǒng)，

最好是國產(chǎn)的操作系統(tǒng)。3．

應(yīng)用系統(tǒng)也要選用國產(chǎn)的應(yīng)用軟件。4．

對網(wǎng)絡(luò)系統(tǒng)的硬件、操作系統(tǒng)、應(yīng)用系統(tǒng)要定期進(jìn)行安全風(fēng)險評估，

做好安全防范。5．

安全防護(hù)類設(shè)備和系統(tǒng)要堅持使用國內(nèi)的產(chǎn)品。安全漏洞檢測工具，在檢查/檢測時可以使用國外的產(chǎn)品，但不要部署。6．

如果必須使用國外的硬件、操作系統(tǒng)、應(yīng)用系統(tǒng)，

那么要對其進(jìn)行安全檢測和安全風(fēng)險評估，

并做好安全監(jiān)測和防護(hù)。9.2

系統(tǒng)工作區(qū)域空間防護(hù)網(wǎng)絡(luò)信息系統(tǒng)是一個電磁信號的系統(tǒng)，

要加強(qiáng)對網(wǎng)絡(luò)信息系統(tǒng)工作的區(qū)域空間及附近的區(qū)域空間進(jìn)行管理，

要對該區(qū)域空間的電磁信號進(jìn)行監(jiān)測，

要定期對該區(qū)域空間進(jìn)行安全檢測和安全風(fēng)險評估。要避免電磁信號泄漏，造成數(shù)據(jù)泄露，

要設(shè)置電磁信號干擾器；

要避免該區(qū)

域空間被電磁信號攻擊，

如激活隱藏的病毒、遠(yuǎn)程強(qiáng)電磁場輻射等，造成對信息

系統(tǒng)的破壞，

要對該區(qū)域空間及附近的區(qū)域空間進(jìn)行電磁信號屏蔽，

總之，

要做好對電磁信號的防護(hù)。9.3

主機(jī)安全加固9.3.1

服務(wù)器安全加固1．

服務(wù)器面臨的安全威脅1）面對操作系統(tǒng)安全漏洞，往往是以“打補(bǔ)丁

”的方式不斷的升級更新。2）

目前的病毒查殺類產(chǎn)品都是采用病毒庫的方式。3）執(zhí)行程序運(yùn)行過程中不滿足最小權(quán)限原則。4）來自網(wǎng)絡(luò)內(nèi)部的非授權(quán)訪問，

使數(shù)據(jù)完整性面臨威脅。5）單純的用戶名和口令認(rèn)證方式容易受到緩沖區(qū)溢出攻擊、字典攻擊等。6）沒有可執(zhí)行程序控制帶來的安全威脅。（1）惡意程序攻擊。（2）安裝不安全軟件。7）接入移動存儲設(shè)備的安全威脅。8）缺乏統(tǒng)一的服務(wù)器管理。9.3

主機(jī)安全加固9.3.1

服務(wù)器安全加固2．

服務(wù)器安全加固解決方案1）服務(wù)器加固總體思路服務(wù)器加固的核心內(nèi)容可以總結(jié)為主動防御機(jī)制、操作系統(tǒng)層保護(hù)機(jī)制和

三權(quán)分立的管理機(jī)制。2）主動防御機(jī)制通過對可執(zhí)行程序的有效控制，

使系統(tǒng)具備主動防御的能力，達(dá)到防御未

知病毒、未知威脅的目的。主動防御機(jī)制就是建立可信程序的“

白名單

”。3）操作系統(tǒng)層保護(hù)機(jī)制從服務(wù)器操作系統(tǒng)層面的保護(hù)出發(fā)，

利用文件過濾驅(qū)動技術(shù)，進(jìn)行執(zhí)行程

序可信度量和訪問行為的控制，

構(gòu)筑系統(tǒng)底層的加固機(jī)制，

同時形成對上層應(yīng)用和數(shù)據(jù)的安全支撐。4）三權(quán)分立的管理機(jī)制管理中心采用三權(quán)分立的原則，

設(shè)立賬號管理員、權(quán)限管理員和日志審計

員。三個管理員分工明確、相互合作、相互制約。9.3

主機(jī)安全加固9.3.1

服務(wù)器安全加固3．

服務(wù)器其他安全加固措施1）系統(tǒng)賬號安全（1）要保證服務(wù)器的密碼有較強(qiáng)的復(fù)雜度；（2）要禁止超級管理員用戶直接登錄；（3）要防止跳板機(jī)機(jī)制；（4）要設(shè)置密碼最大錯誤次數(shù)，

一旦超過則禁止當(dāng)前IP用戶訪問服務(wù)器；（5）要設(shè)置密碼有效期管理，

定期由系統(tǒng)強(qiáng)制要求用戶更新密碼；（6）要用密鑰登錄，

增加動態(tài)認(rèn)證機(jī)制。2）

目錄及文件權(quán)限3）

防火墻規(guī)則4）系統(tǒng)和程序漏洞5）關(guān)閉不必要的系統(tǒng)服務(wù)6）

日志記錄7）備份還原機(jī)制8）修改服務(wù)器系統(tǒng)的版本號9.3

主機(jī)安全加固9.3.1

服務(wù)器安全加固4．

Linux服務(wù)器安全加固常用方法1）

強(qiáng)制用戶不重復(fù)使用最近使用的密碼，

降低密碼猜測攻擊風(fēng)險2）確保rsyslog服務(wù)已啟用，記錄日志用于審計3）檢查密碼長度和密碼是否使用多種字符類型4）確保sshLogLevel設(shè)置為INFO,記錄登錄和注銷活動5）設(shè)置較低的Max

AuthTrimes參數(shù)將降低SSH服務(wù)器被暴力攻擊成功的風(fēng)

險。6）設(shè)置SSH空閑超時退出時間,可降低未授權(quán)用戶訪問其他用戶ssh會話的

風(fēng)險。7）設(shè)置密碼失效時間，

強(qiáng)制定期修改密碼，

減少密碼被泄露和猜測風(fēng)險，

使用非密碼登錄方式，

如密鑰對。8）設(shè)置密碼修改最小間隔時間，

限制密碼更改過于頻繁9）SSHD強(qiáng)制使用V2安全協(xié)議9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固1．

對系統(tǒng)終端采取的加固措施1）

當(dāng)系統(tǒng)終端與網(wǎng)絡(luò)系統(tǒng)連接時，

使用VPN鏈接通道連接，

這樣可以增

強(qiáng)其安全性。2）給系統(tǒng)終端做好安全設(shè)置，

給終端操作系統(tǒng)及時打補(bǔ)丁，

給終端增加安全防護(hù)軟件。3）用最新版的漏洞掃描工具對終端進(jìn)行漏洞掃描，

針對漏洞對終端進(jìn)行修補(bǔ)。4）對于安全要求較高的終端，

要謹(jǐn)慎選擇、使用如Windows8、

Windows10等操作系統(tǒng)。5）要刪除操作系統(tǒng)中多余的用戶。6）要關(guān)閉用戶遠(yuǎn)程功能，

如果必要的話，

可臨時開啟。7）對系統(tǒng)啟動項進(jìn)行優(yōu)化處理。9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固在此我們以Windows操作系統(tǒng)為例，介紹一下Windows終端操作系統(tǒng)安全加固措施。1）賬戶管理（1）Administrator賬戶管理加固檢測判定如果存在

Administrator賬號，并且隸屬于Administrators組，

表明不符合安全要求安全配置參考重命名賬戶：鍵入新的賬戶名稱如果不存在無關(guān)賬戶，或無關(guān)賬戶處于禁用狀態(tài)，表明符合安全要求加固檢測判定在用戶管理里，禁用Guest賬戶（2）Guest賬戶管理（3）無關(guān)賬戶管理加固檢測判定（5）賬戶鎖定閾值安全加固要求對于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，根據(jù)用戶的要求，應(yīng)配置設(shè)備使用戶不能重復(fù)使用最近多少次內(nèi)已使用的口令加固操作參考在賬戶密碼策略的強(qiáng)制密碼歷史中，根據(jù)用戶的要求，查看屬性加固檢測判定在賬戶密碼策略中，選擇強(qiáng)制密碼歷史，查看其安全設(shè)置安全加固要求密碼復(fù)雜度要求：通常至少包含以下類別的字符中的三種：英文大寫字母（A到Z）；英文小寫字母(a到

z)，阿拉伯?dāng)?shù)字(0到9)；非字母字符（例如!、$、#、%），Unicode碼（如漢字）加固檢測判定在賬戶密碼策略中，選擇“密碼必須符合復(fù)雜性要求”，如“

已啟用”，表明符合安全要求安全加固要求對于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，根據(jù)用戶的要求，配置用戶連續(xù)認(rèn)證失敗次數(shù)，然后鎖定該用戶使用的賬戶加固操作參考在賬戶鎖定策略中設(shè)置賬戶鎖定閾值（3）密碼最長使用期限安全加固要求對于采用靜態(tài)口令認(rèn)證技術(shù)的電腦，根據(jù)用戶的要求，設(shè)置密碼最小長度加固檢測判定在賬戶密碼策略中，選擇“密碼長度最小值”，查看其“密碼最小長度數(shù)值”（4）強(qiáng)制密碼歷史安全加固要求對于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，根據(jù)用戶的要求，設(shè)置口令生存期加固檢測判定在賬戶密碼策略中，查看密碼最長使用期限9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2

．Windows操作系統(tǒng)終端安全加固2）密碼管理（1）密碼復(fù)雜度（2）密碼長度最小值安全加固要求“從遠(yuǎn)程系統(tǒng)強(qiáng)制關(guān)機(jī)”的權(quán)限只指派給

Administrators組加固操作參考在“本地策略\用戶權(quán)限分配\從遠(yuǎn)程系統(tǒng)強(qiáng)制關(guān)機(jī)”屬性中，設(shè)置為只指派給

Administrators組。安全加固要求“取得文件或其他對象的所有權(quán)”只指派給

Administrators組加固操作參考將“本地策略\用戶權(quán)限分配\取

得

文

件或

其

他

對象的

所

有

權(quán)”

，設(shè)

置為

只指派

給Administrators

組9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固3）認(rèn)證授權(quán)（1）遠(yuǎn)程強(qiáng)制關(guān)機(jī)授權(quán)（2）文件所有權(quán)授權(quán)加固檢測判定進(jìn)入“本地策略\用戶權(quán)限分配”

中，查看對話框中僅顯示“Administrators”組，

表明符合安全要求要嚴(yán)格控制用戶權(quán)限，

如：目錄瀏覽權(quán)限、文件訪問權(quán)限、任意

文件類型上傳等?！?/p>

”加固檢測判定進(jìn)入“本地策略\用戶權(quán)限分配”

中，查看對話框中僅顯示“Administrators”組，

表明符合安全要求9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固4）

日志審計（1）

審核策略更改安全加固要求配置日志功能，對用戶登錄進(jìn)行記錄，記錄內(nèi)容包括用戶登錄使用的賬戶、登錄是否成功、

登錄時間、

以及遠(yuǎn)程登錄時使用的IP地址等加固操作參考進(jìn)入

“本地策略\審核策略\審核登錄事件

”，勾選“成功

”和“失敗

”安全加固要求啟用對

Windows系統(tǒng)的審核對象訪問，成功與失敗都要審核加固操作參考進(jìn)入“本地策略\審核策略\審核對象訪問

”，“成功

”和“失敗

”都勾選安全加固要求啟用對

Windows系統(tǒng)的審核策略更改，成功與失敗都要審核加固操作參考進(jìn)入“本地策略\審核策略\審核策略更改

”，“成功

”與“失敗

”都勾選（2）

審核登錄事件加固檢測判定進(jìn)入“本地策略\審核策略

”中，查看其“安全設(shè)置

”，如果顯示為“成功，失敗

”，表明符

合安全要求（3）

審核對象訪問加固檢測判定進(jìn)入“本地策略\審核策略

”，選擇“審核登錄事件

”，查看其“安全設(shè)置

”如果顯示為“成

功，失敗

”，表明符合安全要求進(jìn)入“事件查看器（本地）\Windows

日志”①在“應(yīng)用程序”

中，設(shè)置“

日志最大大小”

?！斑_(dá)到事件日志最大大小時”選擇“按需要覆蓋事件

（舊事件優(yōu)先）”②在“安全”

中，設(shè)置“

日志最大大小”，“達(dá)到事件日志最大大小時”選擇“按需要覆蓋事件（舊事

件優(yōu)先）”③在“系統(tǒng)”

中，設(shè)置“

日志最大大小”，“達(dá)到事件日志最大大小時”選擇“按需要覆蓋事件（舊事

件優(yōu)先）”9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2

．Windows操作系統(tǒng)終端安全加固4）

日志審計（4）審核進(jìn)程跟蹤安全加固要求啟用對

Windows系統(tǒng)的審核特權(quán)使用，成功與失敗都要審核加固操作參考進(jìn)入“本地策略\審核策略\審核特權(quán)使用”，勾選“成功”與“失敗”對審核策略中的所有項均進(jìn)行以上配置操作。（5）

日志文件大小加固檢測判定在“本地策略\審核策略”

中，選擇“審核特權(quán)使用”，查看其“安全設(shè)置”，如果顯示為“成功，失敗”，

表明符合安全要求對windows日志中的‘應(yīng)用程序’‘安全’‘系統(tǒng)’三項均需要進(jìn)行配置。加固檢測判定進(jìn)入“事件查看器（本地）\

Windows日志”，查看“應(yīng)用程序”“安全”“系統(tǒng)”

的“屬性”

即可安全加固要求設(shè)置日志容量和覆蓋規(guī)則，保證日志存儲加固操作參考9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固5）系統(tǒng)服務(wù)（1）啟用Windows防火墻安全加固要求啟用Windows防火墻加固操作參考根據(jù)用戶的要求，打開或關(guān)閉Windows防火墻，查看“家庭或工作（專用）

網(wǎng)絡(luò)位置設(shè)置

”

與“公用網(wǎng)絡(luò)位置設(shè)置

”中防火墻的配置情況加固檢測判定進(jìn)入“控制面板\Windows防火墻\打開或關(guān)閉Windows防火墻

”，查看“家庭或工作（專

用）

網(wǎng)絡(luò)位置設(shè)置

”與“公用網(wǎng)絡(luò)位置設(shè)置

”，如果均選擇“啟用Windows防火墻

”，并

勾選“Windows防火墻阻止新程序時通知我

”，表明符合安全要求。安全加固要求關(guān)閉Windows

自動播放，

防止從移動設(shè)備或光盤感染惡意代碼加固操作參考運(yùn)行g(shù)pedit.msc，打開本地組策略編輯器，在自動播放策略中，選擇“關(guān)閉自動播放

”加固檢測判定打開本地組策略編輯器，查看其狀態(tài)，默認(rèn)為“未配置

”，如果為“

已啟用

”，表明符合安全要求（2）關(guān)閉自動播放功能安全加固要求安裝防病毒軟件，并及時更新，提高系統(tǒng)防病毒能力加固操作參考查看是否安裝殺毒軟件；

打開防病毒軟件控制面板，查看病毒碼更新日期加固檢測判定查看是否安裝殺毒軟件；

打開防病毒軟件控制面板，查看病毒碼更新日期的更新時間安全加固要求修復(fù)系統(tǒng)漏洞，應(yīng)及時安裝最新的補(bǔ)丁集。加固操作參考運(yùn)行cmd.exe，輸入systeminfo加固檢測判定運(yùn)行cmd.exe，輸入systeminfo，查看系統(tǒng)補(bǔ)丁的安裝情況9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固6）補(bǔ)丁和防護(hù)軟件（1）系統(tǒng)安全補(bǔ)丁管理（2）

防病毒管理9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固7）共享文件夾及訪問權(quán)限（1）關(guān)閉默認(rèn)共享安全加固要求設(shè)置共享文件夾訪問權(quán)限，

只允許授權(quán)的賬戶擁有權(quán)限共享此文件夾加固操作參考進(jìn)入“系統(tǒng)工具\(yùn)共享文件夾

”下，查看每個共享文件夾的共享權(quán)限，

只將權(quán)限授權(quán)于指定

賬戶加固操作參考運(yùn)行regedit.exe，進(jìn)入注冊表編輯器，更改注冊表鍵值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\下，

增加REG_DWORD類型的AutoShareServer鍵，值為0（2）設(shè)置共享文件夾訪問權(quán)限加固檢測判定運(yùn)行regedit.exe，進(jìn)入注冊表編輯器，查看注冊表鍵值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\下，

如果有AutoShareServer項，并且值為0，表明符合安全要求加固檢測判定進(jìn)入“系統(tǒng)工具\(yùn)共享文件夾

”下，查看每個共享文件夾的共享權(quán)限安全加固要求關(guān)閉

Windows硬盤默認(rèn)共享9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固8）遠(yuǎn)程維護(hù)（1）遠(yuǎn)程協(xié)助安全管理安全加固要求如無特別需要，關(guān)閉遠(yuǎn)程協(xié)助加固操作參考進(jìn)入“遠(yuǎn)程設(shè)置

”，查看“遠(yuǎn)程協(xié)助

”的狀態(tài)。安全加固要求終端計算機(jī)如無特別需要，關(guān)閉遠(yuǎn)程桌面加固操作參考進(jìn)入“遠(yuǎn)程設(shè)置

”，查看“遠(yuǎn)程桌面

”的狀態(tài)加固檢測判定進(jìn)入“遠(yuǎn)程設(shè)置

”，如不勾選“遠(yuǎn)程協(xié)助

”中“允許遠(yuǎn)程協(xié)助連接這臺計算機(jī)

”，表明

關(guān)閉了遠(yuǎn)程協(xié)助，符合安全要求進(jìn)入“遠(yuǎn)程設(shè)置

”，如不勾選“不允許連接到這臺計算機(jī)

”，表明關(guān)閉了遠(yuǎn)程桌面，符

合安全要求（2）遠(yuǎn)程桌面安全管理加固檢測判定9.3

主機(jī)安全加固9.3.2系統(tǒng)終端安全加固2．

Windows操作系統(tǒng)終端安全加固9）其他（1）數(shù)據(jù)執(zhí)行保護(hù)安全加固要求配置系統(tǒng)核心的數(shù)據(jù)執(zhí)行保護(hù)，提高系統(tǒng)抵抗非法修改文件能力加固操作參考進(jìn)入“控制面板\系統(tǒng)\高級系統(tǒng)設(shè)置\性能

”，選擇“僅為基本

Windows程序和服務(wù)啟用DEP”安全加固要求關(guān)閉最近打開文檔的歷史加固操作參考執(zhí)行g(shù)pedit.msc；進(jìn)入“開始

”菜單和任務(wù)欄，勾選“不保留最近打開文檔的歷史

”，并在

“編輯策略設(shè)置

”中選擇“

已啟用

”加固檢測判定進(jìn)入“控制面板\系統(tǒng)高級系統(tǒng)設(shè)置性能

”,查看

“數(shù)據(jù)執(zhí)行保護(hù)

”選項卡，如果設(shè)置為

“僅為基本

Windows程序和服務(wù)啟用DEP”，表明符合安全要求加固檢測判定執(zhí)行g(shù)pedit.msc，進(jìn)入“開始

”菜單和任務(wù)欄，查看如勾選“不保留最近打開文檔的歷史

”，

表明符合安全要求。（2）關(guān)閉Windows任務(wù)欄最近打開的文件選項9.4

數(shù)據(jù)庫安全加固9.4.1加固的必要性數(shù)據(jù)庫作為業(yè)務(wù)系統(tǒng)數(shù)據(jù)的重要載體，

若其安全防御不完善、防護(hù)強(qiáng)度不

夠，將可能成為攻擊者的重要突破口。9.4.2面臨的安全風(fēng)險1．

系統(tǒng)存在SQL注入漏洞；2．

系統(tǒng)存在數(shù)據(jù)庫漏洞；3．

系統(tǒng)使用數(shù)據(jù)庫默認(rèn)賬號和弱口令；4．

數(shù)據(jù)庫身份認(rèn)證簡單；5．

數(shù)據(jù)庫網(wǎng)絡(luò)安全防護(hù)不到位；6．

數(shù)據(jù)庫的審計日志存在安全風(fēng)險；7．

數(shù)據(jù)庫權(quán)限配置不完善；8．

數(shù)據(jù)庫安全策略配置存在缺陷；9．

數(shù)據(jù)庫存在后門和木馬；10．

數(shù)據(jù)庫越權(quán)訪問控制不當(dāng)，

等等。9.4

數(shù)據(jù)庫安全加固9.4.3安全加固措施建議用戶在防護(hù)工作中做好自查，

從漏洞排查、安全加固、監(jiān)控響應(yīng)三個維度，

通過數(shù)據(jù)安全防護(hù)產(chǎn)品+安全服務(wù)形式進(jìn)行加固和安全防護(hù)。1．

對數(shù)據(jù)庫進(jìn)行漏洞掃描2．

加強(qiáng)數(shù)據(jù)庫準(zhǔn)入管理3．

部署數(shù)據(jù)庫防火墻4．

對數(shù)據(jù)庫進(jìn)行監(jiān)控5．

對數(shù)據(jù)庫進(jìn)行滲透測試9.4

數(shù)據(jù)庫安全加固9.4.3安全加固措施6．

數(shù)據(jù)庫安全加固1）數(shù)據(jù)庫漏洞加固（1）數(shù)據(jù)庫版本升級加固（2）使用第三方工具進(jìn)行加固2）數(shù)據(jù)庫弱口令加固（1）修改弱口令加固（2）第三方工具加固3）數(shù)據(jù)庫身份認(rèn)證加固（1）提高數(shù)據(jù)庫自身身份認(rèn)證能力（2）第三方工具加固9.4

數(shù)據(jù)庫安全加固9.4.3安全加固措施6．

數(shù)據(jù)庫安全加固4）數(shù)據(jù)庫網(wǎng)絡(luò)安全加固（1）提高數(shù)據(jù)庫網(wǎng)絡(luò)自身加密能力（2）第三方工具加固5）數(shù)據(jù)庫審計日志安全加固（1）開啟數(shù)據(jù)庫審計日志加固（2）第三方工具加固6）數(shù)據(jù)庫權(quán)限配置安全加固（1）數(shù)據(jù)庫自身權(quán)限配置加固（2）第三方工具加固7）數(shù)據(jù)庫安全策略加固8）數(shù)據(jù)庫后門程序和木馬病毒清理9.4

數(shù)據(jù)庫安全加固9.4.3安全加固措施6．

數(shù)據(jù)庫安全加固9）數(shù)據(jù)庫的權(quán)限控制原則（1）

只授予用戶能滿足需要的最小權(quán)限；（2）創(chuàng)建用戶的時候限制用戶的登錄主機(jī)，

限制綁定指定IP地址和MAC

碼；（3）初始化數(shù)據(jù)庫的時候，刪除沒有密碼的賬號和無用的缺省賬號，修

改必要的管理賬號；（4）為每個用戶設(shè)置滿足密碼復(fù)雜度的密碼；（5）修改數(shù)據(jù)庫默認(rèn)賬號密碼；（6）新建數(shù)據(jù)庫賬號專門給應(yīng)用系統(tǒng)使用；（7）對應(yīng)用系統(tǒng)數(shù)據(jù)庫賬號進(jìn)行IP地址和MAC碼綁定。10）數(shù)據(jù)庫的數(shù)據(jù)備份策略（1）數(shù)據(jù)采用鏡像的方式存儲；（2）對磁盤做適當(dāng)?shù)莫?dú)立磁盤冗余陣列處理；（3）數(shù)據(jù)要在不同的物理設(shè)備上備份。11）采用多人制管理制度9.4

數(shù)據(jù)庫安全加固9.4.4

數(shù)據(jù)庫保險箱數(shù)據(jù)庫保險箱（Database

Coffer，DBC）是數(shù)據(jù)庫安全加固產(chǎn)品，

可以實(shí)現(xiàn)數(shù)

據(jù)高度安全、應(yīng)用完全透明、密文高效訪問。1．

硬件存儲引起的數(shù)據(jù)泄露2．

文件引起的數(shù)據(jù)泄露3．

特權(quán)用戶造成的數(shù)據(jù)泄露4．

外部入侵造成的數(shù)據(jù)泄露9.5

應(yīng)急處置預(yù)案及措施9.5.1

制定應(yīng)急預(yù)案的必要性任何事情都可能有意外發(fā)生，對于正常運(yùn)行的網(wǎng)絡(luò)系統(tǒng)也不例外，

因此做好

應(yīng)對網(wǎng)絡(luò)系統(tǒng)意外事件的應(yīng)急處置準(zhǔn)備是非常必要的。應(yīng)急處置預(yù)案就是在發(fā)生突發(fā)安全事件時，

能夠進(jìn)行應(yīng)急處理的解決方案。

應(yīng)急處置預(yù)案分為綜合應(yīng)急處置預(yù)案、專項應(yīng)急處置預(yù)案和現(xiàn)場處置方案。因為突發(fā)安全事件是千變?nèi)f化的、是意料不到的，

應(yīng)急處置預(yù)案再充分也有

考慮不到的地方，

因此處理突發(fā)事件時還是需要人的