怎样为信息系统构建安全防护体系？

1、结构化及纵深防御保护框架

　　系统在框架设计时应从一个完整的安全体系结构出发，综合考虑信息网络的各个环节，综合使用不同层次的不同安全手段，为核心业务系统的安全提供全方位的管理和服务。

　　在信息系统建设初期，考虑系统框架设计的时候要基于结构化保护思想，覆盖整体网络、区域边界、计算环境的关键保护设备和保护部件本身，并在这些保护部件的基础上系统性地建立安全框架。使得计算环境中的应用系统和数据不仅获得外围保护设备的防护，而且其计算环境内的操作系统、数据库自身也具备相应的安全防护能力。同时要明确定义所有访问路径中各关键保护设备及安全部件间接口，以及各个接口的安全协议和参数，这将保证主体访问客体时，经过网络和边界访问应用的路径的关键环节，都受到框架中关键保护部件的有效控制。

　　在进行框架设计时可依据IATF（信息保护技术框架）深度防护战略的思想进行设计，IATF模型从深度防护战略出发，强调人、技术和操作三个要素，基于纵深防御架构构建安全域及边界保护设施，以实施外层保护内层、各层协同的保护策略。该框架使能够攻破一层或一类保护的攻击行为无法破坏整个信息基础设施。在攻击者成功地破坏了某个保护机制的情况下，其它保护机制仍能够提供附加的保护。

　　在安全保障体系的设计过程中，必须对核心业务系统的各层边界进行全面分析和纵深防御体系及策略设计，在边界间采用安全强隔离措施，为核心业务系统建立一个在网络层和应用层同时具备较大纵深的防御层次结构，从而有效抵御外部通过网络层和应用层发动的入侵行为。

2、全生命周期的闭环安全设计

　　在进行信息系统的安全保障体系建设工作时，除设计完善的安全保障技术体系外，还必须设计建立完整的信息安全管理体系、常态化测评体系、集中运维服务体系以及应急和恢复体系，为核心信息系统提供全生命周期的安全服务。

　　在项目开展的全过程中，还应该遵循SSE-CMM（信息安全工程能力成熟度模型）所确定的评价安全工程实施综合框架，它提供了度量与改善安全工程学科应用情况的方法，也就是说，对合格的安全工程实施者的可信性，是建立在对基于一个工程组的安全实施与过程的成熟性评估之上的。SSE-CMM将安全工程划分为三个基本的过程域：风险、工程、保证。风险过程识别所开发的产品或系统的危险性，并对这些危险性进行优先级排序。针对危险性所面临的问题，工程过程要与其他工程一起来确定和实施解决方案。由安全保证过程来建立对最终实施的解决方案的信任，并向顾客转达这种安全信任。因此，在安全工程实施过程中，严格按照SSE-CMM体系来指导实施流程，将有效地提高安全系统、安全产品和安全工程服务的质量和可用性。

3、信息系统的分域保护机制

　　对信息系统进行安全保护设计时，并不是对整个系统进行同一级别的保护，应针对业务的关键程度或安全级别进行重点的保护，而安全域划分是进行按等级保护的重要步骤。

　　控制大型网络的安全的一种方法就是把网络划分成单独的逻辑网络域，如内部服务网络域、外部服务网络域及生产网络域，每一个网络域由所定义的安全边界来保护，这种边界的实施可通过在相连的两个网络之间的安全网关来控制其间访问和信息流。网关要经过配置，以过滤两个区域之间的通信量，并根据访问控制方针来堵塞未授权访问。

　　根据信息系统实际情况划分不同的区域边界，重点关注从互联网→外部网络→内部网络→生产网络，以及以应用系统为单元的从终端→服务器→应用→中间件→数据库→存储的纵向各区域的安全边界，综合采用可信安全域设计，从而做到纵深的区域边界安全防护措施。

　　实现结构化的网络管理控制要求的可行方法就是进行区域边界的划分和管理。在这种情况下，应考虑在网络边界和内部引入控制措施，来隔离信息服务组、用户和信息系统，并对不同安全保护需求的系统实施纵深保护。

　　一般来说核心业务系统必然要与其它信息系统进行交互。因此，应根据防护的关键保护部件的级别和业务特征，对有相同的安全保护需求、相同的安全访问控制和边界控制策略的业务系统根据管理现状划分成不同的安全域，对不同等级的安全域采用对应级别的防护措施。根据域间的访问关系和信任关系，设计域间访问策略和边界防护策略，对于进入高等级域的信息根据结构化保护要求进行数据规划，对于进入低等级域的信息进行审计和转换。

4、融入可信计算技术

　　可信计算技术是近几年发展起来的一种基于硬件的计算机安全技术，其通过建立信任链传递机制，使得计算机系统一直在受保护的环境中运行，有效地保护了计算机中存储数据的安全性，并防止了恶意软件对计算机的攻击。在信息系统安全保障体系设计时，可以考虑融入可信计算技术，除重视安全保障设备提供的安全防护能力外，核心业务系统安全保障体系的设计将强调安全保障设备的可靠性和关键保护部件自身安全性，为核心业务系统建立可信赖的运行环境。

　　以可信安全技术为主线，实现关键业务计算环境关键保护部件自身的安全性。依托纵深防御架构应用可信与可信计算技术（含密码技术）、可信操作系统、安全数据库，确保系统本身安全机制和关键防护部件可信赖。在可信计算技术中，密码技术是核心，采用我国自主研发的密码算法和引擎，通过TCM模块，来构建可信计算的密码支撑技术，最终形成有效的防御恶意攻击手段。通过系统硬件执行相对基础和底层的安全功能，能保证一些软件层的非法访问和恶意操作无法完成，可信计算技术的应用可以为建设安全体系提供更加完善的底层基础设施，并为核心业务系统提供更强有力的安全保障。

5、细化安全保护策略与保障措施

　　在核心业务系统不同区域边界之间基本都以部署防火墙为鲜明特点，强化网络安全策略，根据策略控制进出网络的信息，防止内部信息外泄和抵御外部攻击。

　　在区域边界处部署防火墙等逻辑隔离设备实施访问控制，设置除因数据访问而允许的规则外，其他全部默认拒绝，并根据会话状态信息（如包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用）对数据流进行控制；对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；自动终止非活跃会话连接；限制网络最大流量及网络连接数，防止DOS等攻击行为；使用IP与MAC绑定技术，防范地址欺骗等攻击行为；使用路由器、防火墙、认证网关等边界设备，配置拨号访问控制列表对系统资源实现单个用户的允许或拒绝访问，并限制拨号访问权限的用户数量。

　　在核心业务系统内网的核心交换边界部署网络入侵检测系统，对网络边界处入侵和攻击行为进行检测，并在最重要的区域和易于发生入侵行为的网络边界进行网络行为监控，在核心交换机上部署双路监听端口IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致。在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

　　在区域边界处部署防病毒网关，对进出网络的数据进行扫描，可以把病毒拦截在外部，减少病毒渗入内网造成危害的可能。防病毒网关是软硬件结合的设备，通常部署在防火墙和中心交换机之间，可以在病毒进入网络时对它进行扫描和查杀。防病毒网关可以采用全透明方式，适用于各种复杂的网络环境，通过多层过滤、深度内容分析、关联等技术策略，对网络数据进行高效过滤处理，可以提升网络环境的安全状况。防病毒网关需要具备以下特性：

　　（1）防病毒、防木马以及针对操作系统、应用程序漏洞进行的攻击。

　　（2）防蠕虫攻击，防病毒网关根据自有的安全策略可以拦截蠕虫的动态攻击，防止蠕虫爆发后对网络造成的阻塞。

　　（3）过滤垃圾邮件功能，防病毒过滤网关通过检查邮件服务器的地址来过滤垃圾邮件。防病毒网关通过黑名单数据库以及启发式扫描的数据库，对每封邮件进行判断并且识别，提高了对垃圾邮件的检测力度，实现了垃圾邮件网关的功能。

　　边界设备等作为区域边界的基础平台，其安全性至关重要。由于边界设备存在安全隐患（如：安装、配置不符合安全需求；参数配置错误；账户/口令问题；权限控制问题；安全漏洞没有及时修补；应用服务和应用程序滥用等）被利用而导致的安全事件往往是最经常出现的安全问题，所以对这些基础设施定期地进行安全评估、安全加固与安全审计，对增强区域边界的安全性有着重要的意义。

6、常态化的安全运维

　　信息系统的安全不仅依赖于增加和完善相应的安全措施，而且在安全体系建设完成之后，需要通过相应的安全体系运行保障手段，诸如定期的评估、检查加固、应急响应机制及持续改进措施，以确保安全体系的持续有效性。

　　（1）定期进行信息安全等级保护测评。根据国家要求，信息系统建设完成后，运营、使用单位或者其主管部门应当选择具有信息安全测评资质的单位，依据相关标准定期对信息系统开展信息安全等级保护测评。通过测评可以判定信息系统的安全状态是否符合等级保护相应等级的安全要求，是否达到了与其安全等级相适应的安全防护能力。通过对信息系统等级符合性检验，最终使系统达到等级保护的相关要求，降低信息安全风险事件的发生概率。

　　（2）定期进行安全检查及整改。确定安全检查对象，主要包括关键服务器、操作系统、网络设备、安全设备、主要通信线路和客户端等，通过全面的安全检查，对影响系统、业务安全性的关键要素进行分析，发现存在的问题，并及时进行整改。

　　（3）对于互联网系统或与互联网连接的系统，定期进行渗透测试。渗透测试是一种信息系统进行安全检测的方法，是从攻击者的角度来对信息系统的安全防护能力进行安全检测的手段，在对现有信息系统不造成任何损害的前提下，模拟入侵者对指定系统进行攻击测试。渗透测试通常能以非常明显、直观的结果来反映出系统的安全现状。

　　（4）定期进行安全教育培训。技术培训主要是提高员工的安全意识和安全技能，使之能够符合相关信息安全工作岗位的能力要求，全面提高自身整体的信息安全水平。针对不同层次、不同职责、不同岗位的员工，进行有关信息安全管理的理论培训、安全管理制度教育、安全防范意识宣传和专门安全技术训练，确保信息安全策略、规章制度和技术规范的顺利执行，从而最大限度地降低和消除安全风险。

第一步：选择系统平台

1 这里推荐 Windows Server 2003/32位，原因：该版操作系统成熟可靠，可用软件丰富，能支持超大内存；

2 安装操作系统时，请不要安装网上下载的Ghost版或精简版，不能安装有病毒的系统，否则可能前功尽弃。

第二步：部署所需环境

1 安装操作系统后，顺便安装好IIS和FTP，方便建立WEB和FTP用。（如果没有安装IIS，可以下载IIS组件自行安装）；

2 如果需要ASP环境，请开启ASP运行条件；

3 如果需要SQL Server数据库，请安装对应软件，建议SQL Server 2005，根据自己的系统要求进行选择。

4 如果需要Net环境，请下载对应的Net安装包版本安装。

5 安装其他软件，如入侵防护系统，杀毒软件等。

第三步：配置所需安全

1 所需环境部署后，需要设置系统安全，包括磁盘权限和数据库，以及其他组件，这里2 设置磁盘权限，包括系统盘和其他磁盘；

3 变更系统账户，如将 Administrator 重命名，尽可能设置复杂密码。

第四步：配置管理工具

1 安装主机管理系统，建议安装免费，方便开设站点，并可方便备份和恢复的主机管理系统；

2 用主机系统开设站点，绑定域名，部署网页文件，测试能否正常访问；

3 安装其他主机管理软件，比如一些被控端，但注意做好权限设置工作。

第五步：部署运营监控

1 部署远程监控系统，如：代维系统，方便统一监控服务器状况，如IO、CPU、内存、带宽等使用情况，及时预警；

2 查杀网页木马，找出原来存在的网页木马文件，可以用：云查杀系统或入侵防护系统扫描，发现木马文件妥善处理；

3 入侵防护系统可以实时监控网页木马、畸形文件、远程登录、用户提权、防注入、进程限制、防篡改限制、非法内容生成控制等，推荐；

4 如果数据重要，建议安装安全套装，提高安全系数。

第六步：注意事项

1 不建议开启服务器上软件的自动升级功能，比如杀毒软件/输入法等，因为很可能破坏系统的安全体系；

2 不要在服务器安装不必要的软件，比如QQ，以及有些杀毒软件，特别消耗资源；

3 不要轻易在服务器上打开未知软件和客户网站，否则可能造成中毒；

4 其他影响服务器安全的事项。

目前用友针对于数据库加密，通过用友安全通来实现

产品理念：企业机密，无懈可击。

畅捷安全基于“事前防范、事中监视”的设计思路，形成以“密码技术为支撑，以身份认证为基础、以数据安全为核心、以行为管理为辅助”的全方位财务数据安全防护管理体系，彻底消除各种因泄露数据造成的安全隐患。

服务器安全防护系统

提供对财务数据库的全面安全加密、防护和接入控制。主要功能有：

系统设置、数据库加密、数据库目录防护、数据库准入控制、策略管理、日志管理和升级管理等。

  客户端安全防护系统

提供对财务客户端的安全防护管理，动态加密财务客户端产生的各种输出文档，并提供截屏、打印和拷贝等安全防护控制。主要功能有：

策略管理、日志管理、客户端状态维护、客户端安全防护、升级管理和主机身份认证管理。

  管控中心系统

管控中心在计算机插入加密卡后自动启动，实现身份认证、终端管理、终端授权、终端审计和监控。

  个人文件保密柜

系统在保护企业财务数据安全的基础上，提供基于个人的文件保密柜，保护个人的文档安全。文件保密柜中文件采用高强度数据加密，客户只能使用密码才可以打开本人的文件保密柜。用桌面右键点击桌面文档，可以实现自动加密并发送进个人文件保密柜。

系统安全：

1设置较为复杂的主机密码，建议8位数以上，大小写混合带数字、特殊字符，不要使用123456、password等弱口令。

2开启系统自动更新功能，定期给系统打补丁。

3windows主机安装安全狗、360主机卫士等防入侵的产品。

4做好网站的注入漏洞检查，做好网站目录访问权限控制。(建议将网站设置为只读状态，对需要上传附件等目录单独开通写权限功能，对上传文件目录设置为禁止脚本执行权限)

5如果用于网站服务，建议安装我们预装“网站管理助手”的操作系统模板，该系统我们做过安全加固，比纯净版要更安全。新建网站强烈建议用网站管理助手创建，本系统创建的网站会相互隔离，避免一个网站被入侵就导致其他网站也受影响。

6关闭不需要的服务，如server,worksation等服务一般用不上，建议禁用。

7启用TCP/IP筛选功能,关闭危险端口,防止远程扫描、蠕虫和溢出攻击。 比如mssql数据库的1433端口，一般用不上远程连接的话，建议封掉，只允许本机连接。

8如果自己安装数据库，建议修改为普通用户运行，默认是system权限运行的，非常不安全。查看帮助

9如果是自主安装纯净版的系统，建议修改掉3389、22等默认端口，用其他非标准端口可以减少被黑的几率。