[精选]IBM信息系统安全设计方案.pptx

《[精选]IBM信息系统安全设计方案.pptx》由会员分享，可在线阅读，更多相关《[精选]IBM信息系统安全设计方案.pptx（95页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、中国移动企业信息化系统平安加固方案设计软课题报告2004/12IBM平安工程组日程安排 课题背景介绍 企业信息化系统信息平安体系 平安加固方案及实施方案 防病毒平安标准 数据库平安标准 防火墙平安标准 企业信息化系统平安域标准 问答2 Presentation Title|Confidential|Document ID 课题背景介绍研究内容 中国移动集团公司信息系统平安加固方案及实施方案平安加固方案是整个软课题的入口，是总部信息办和各省公司信息办对其所负责的平台统一信息平台、OA等的平安指南。平安标准与具体平台无关的指导性的平安要求，作为各个平台平安操作手册制定时的平安依据。-平安域划分-防

2、病毒系统管理与配置-网络设备平安-数据库平安标准-防火墙平安标准 中国移动平安操作过程手册平安配置手册根据信息系统平安操作标准，结合中国移动具体网络及应用环境和设备，在现有平安策略和标准中的相关局部上进行深化和细化，详细制定每个具体设备具体流程的操作标准，形成具有很强操作性的平安操作过程手册。-操作系统平安配置手册SUN SOLARIS/IBM AIX/HP UX/WIN 2000-数据库平安配置手册Oracle/DB2/Sql Server/Domino/Exchange-门户系统平安配置手册 WebSphere Portal/BEA WebLogic/Sun One Portal/Orac

3、le AS Portal/MS SharePoint-网络平安配置手册DNS,FTP,防病毒，VPN，防火墙，交换机，路由器4 Presentation Title|Confidential|Document ID 研究成果1本软课题，共有31个提交件 中国移动企业信息化系统 平安加固方案及实施方案标准与具体产品平台无关 中国移动企业信息化系统 平安域标准 中国移动防病毒平安标准 中国移动网络设备平安标准 中国移动防火墙平安标准 中国移动数据库平安标准产品操作手册见下页5 Presentation Title|Confidential|Document ID 研究成果2 通用应用系统-中国移动

4、WEB效劳器平安配置手册包括通用，IIS,Apache-中国移动DNS效劳器平安配置手册包括通用，windows DNS,Unix Bind-中国移动FTP效劳器平安配置手册包括通用，IIS,WU-ftp-中国移动电子邮件平安配置手册包括通用，Domino,Exchange 操作系统-中国移动操作系统平安配置手册 包括通用，Solaris,win2000,HP UX,AIX 数据库-中国移动Oracle平安配置手册-中国移动DB2平安配置手册-中国移动Domino平安配置手册-中国移动SQL Server平安配置手册 门户-中国移动Websphere Portal平安配置手册-中国移动BEA

5、Weblogic平安配置手册-中国移动SUN One Portal平安配置手册-中国移动Oracle AS Portal平安配置手册-中国移动MS Sharepoint平安配置手册 VPN-中国移动CheckPoint VPN平安配置手册-中国移动Nortel VPN平安配置手册-中国移动IBM VPN平安配置手册 路由器，交换机-中国移动华为路由器交换机平安配置手册-中国移动CISCO路由器交换机平安配置手册 防火墙-中国移动CISCO PIX防火墙平安配置手册-中国移动Netscreen防火墙平安配置手册-中国移动CheckPoint防火墙平安配置手册 防病毒-中国移动Symantec防病

6、毒平安配置手册-中国移动趋势防病毒平安配置手册-中国移动瑞星防病毒平安配置手册6 Presentation Title|Confidential|Document ID 研究方式 本课题的研究方式分为两类-平安加固方案和实施方案以及与平台无关的5个平安标准 IBM负责编写 中国移动提供相关信息，并负责审查和提供修改建议-25个与平台相关的平安操作手册 中国移动负责编写 IBM提供模板，并负责审核和提供修改建议 IBM负责手册中通用局部的撰写 IBM负责文档的整合感谢相关各省移动对本课题的大力支持。7 Presentation Title|Confidential|Document ID 企业信

7、息化系统信息平安体系中国移动企业信息化系统平安体系 9 Presentation Title|Confidential|Document ID 企业信息化系统平安体系的三层结构 10 Presentation Title|Confidential|Document ID 第一层：平安策略第二层：平安标准和标准平安策略平安标准和标准11 Presentation Title|Confidential|Document ID 平安操作手册、流程、细则第三层：平安操作手册、流程、细则12 Presentation Title|Confidential|Document ID 信息化系统平安加固方案及

8、实施方案加固方案和实施方案分为三个局部平安管理层面：第一局部 平安体系完善方案针对信息化平安体系的整体架构，分析目前在策略、标准、标准方面缺失的局部，制定标准体系标准完善方案 第二局部 平安体系部署/实施方案给出各省市部署和实施该平安体系的建议，该局部是指导性的，概括性的，各省公司应该根据此加固方案和实施方案制定自己的详细的、切实可行的实施方案。平安技术层面：第三局部 总部平安技术体系加固方案和建设方案根据集团总部信息化系统目前所采用的平安技术现状，结合平安体系的具体要求，制定平安技术体系建设方案。14 Presentation Title|Confidential|Document ID 平

9、安体系完善方案1 通过分析中国移动企业信息化系统平安体系结构，发现目前在第二层标准/标准这一层的第二个子层具体标准这一层的建设还比较缺乏。以下图所列的标准，除了红色局部外，其它标准还不存在。虽然在标准总则中对这些标准进行了简单的说明，但是还不够全面和深入，对于实际操作还是缺乏明确的依据。针对以上分析，建议信息化办公室在下一阶段将体系建设的重点放在平安标准建设上，逐步完善体系中所提到的平安标准。15 Presentation Title|Confidential|Document ID 平安体系完善方案2 在待建设标准中，有些标准之间是存在一定的关联的，我们建议在建设时能够同时予以考虑和建设。-

10、风险管理标准 和 信息资产管理标准-数据备份和恢复 和 介质平安管理标准 和 业务连续性方案标准-系统平安自测标准 和 平安许可证制度 和 内部平安审计标准-人力资源平安管理 和 个人平安守则 和 用户管理标准 和 远程访问平安标准-平安事件检测和响应标准 和 系统日志标准 其它的标准可以酌情和以上标准整合在一起考虑。-系统生命周期平安管理-平安加密-文档管理标准-补丁管理标准-物理平安标准16 Presentation Title|Confidential|Document ID 平安体系完善方案3 针对待建的19个平安标准，针对每个具体的标准定义了该标准建设的目标以及该标准中应该包含的内容

11、概要 例如：信息资产管理标准-目标 对于企业信息化系统平安管理来说，如果没有一份完整的能够说明我们所拥有的信息资产情况的清单，就没有方法评估资产的价值、应该采取的保护措施、应该投入的资源情况等，也就无法开展有意义的企业信息化系统平安工作。所以，中国移动要求所有部门/分公司必须维护一份完整、详细的企业信息化系统资产清单，以便于跟踪企业信息化系统平安状态。-内容 定义信息资产分类标准 定义信息分级保护标准 设计信息资产识别方法 定义识别和登记信息资产的流程 定义信息资产登记表模版 定义信息资产清单维护方法17 Presentation Title|Confidential|Document ID

12、平安体系部署/实施方案1信息平安体系建设的生命周期18 Presentation Title|Confidential|Document ID 平安体系部署/实施方案2企业信息化系统平安建设步骤 如以下图所示，建议企业信息化系统平安建设分为以下三个步骤，首先是在集团公司一级进行总体体系部署的规划，然后进行试点，试点成功后进行推广。而在每一个步骤中的建设都应遵守平安体系建设的PDCA模型，确保中国移动的平安体系能够不断地自我开展，循环上升。总部信息化办公室试点省公司 3省公司 4省公司 1其它省公司推广省公司 2 项目 2项目 1项目 3项目 319 Presentation Title|Con

13、fidential|Document ID 总部平安技术体系加固方案和建设方案主要平安产品和技术分类20 Presentation Title|Confidential|Document ID 总部平安技术体系加固方案和建设方案总部信息化系统平安体系改进建议21 Presentation Title|Confidential|Document ID 平安总控中心 集中地检测、分析、关连、报告、处理平安入侵和违规事件 集中存储平安事件数据和风险信息 增加整个组织信息平安管理的效率及经济性 支持企业信息平安决策机制及风险评估 为企业信息平安管理量化提供必要基础设施入侵检测机制安全事件管理安全指导中

14、心安全风险评估安全弱点扫描病毒防护处理安全总控中心(SOC)病毒入侵 拒绝服务攻击非法系统访问 非法系统访问 应用安全弱点22 Presentation Title|Confidential|Document ID 网络平安审计系统 网络平安审计系统主要用于监视并记录网络中的各类操作，实时地综合分析网络和系统中发生的平安事件，包括各种外部事件如外部入侵行为和内部事件如内部人员的文件拷贝、信息获取、信息发布、资源变迁等，并根据设置的平安规则，智能地判断出违规行为，并对违规行为进行记录、报警和阻断。主要功能-对网络中典型的应用如TELNET、FTP、SMTP、POP3等进行全面审计，提供详细信息。

15、按照需要，跟踪并记录指定客户的网络操作，真实地再现用户操作的过程，复原该操作。也可以复原电子邮件、网页访问操作等。-网络数据流量监测功能，包括实时流量监测和历史流量记录，用户可以使用该功能发现一些网络异常现象，尤其是当网络中有拒绝效劳攻击DoS行为时可以及时发现并采取措施。流量监测功能可以自动定时记录用户所指定的主机和端口的流量。通过查询所记录的主机和端口的历史流量，系统可以绘制流量曲线图，生成统计报表。-23 Presentation Title|Confidential|Document ID 主机入侵检测系统 在目前的中国移动网络结构中使用了实时监视系统，在Internal Zone,A

16、dmin Zone,和Interconnection Zone部署了ISS入侵检测软件。由于内部网采用的各种操作系统可能会带来平安问题，如运行各种UNIX的操作系统。包括操作系统本身的配置不平安和可能驻留在操作系统内部的黑客程序等带来的威胁。因此，可建立主机IDS以进一步防止黑客的威胁。24 Presentation Title|Confidential|Document ID 平安扫描、平安政策检查 平安是需要随时注意及改善的，故系统管理人员需随时了解网络和系统平安状况，因此中国移动需要一套系统弱点扫描的工具，能够协助系统管理人员找出重要效劳器上可能具有的平安漏洞，以便及早修补。-网络漏洞扫

17、描系统-数据库风险评估和平安政策审计系统-系统风险评估和平安政策审计系统25 Presentation Title|Confidential|Document ID 业务连续性方案/灾难恢复方案 现在社会中，业务的连续性对一个企业越来越重要，在企业中已不是IT一个部门的问题，而是整个企业生死相关的问题。通过对实际情况包括核心业务，业务中断的损失，可容忍任务中断的时间进行分析，建设一套切合实际的，投资合理的，内容可靠的业务连续性及容灾备份方案。如右图所示，容灾备援方案包括一个相互关连的流程，具体包括风险管理、业务冲击分析、恢复能力分析、容灾策略制定、容灾技术方案的制定和实施、企业业务连续性方案的

18、制定和企业容灾方案的管理。26 Presentation Title|Confidential|Document ID 网络平安体系建设 根据业务上或管理上以及企业信息化平安域标准的各种平安相关需求，对现有的网络系统通过各种网络平安防范的技术手段和管理标准进行一系列的平安改造，从而将网络上存在的平安风险和平安隐患降至最低。本工程的范围包括了所有与网络系统相关的运作平安考虑。包括了-内部局域网平安建设和改造-和第三方合作伙伴的网络连接平安建设和改造-Internet连接平安标准-用户远程网络接入连接相关的平安方面的考虑27 Presentation Title|Confidential|Document ID