信息安全技术体系设计-IBM.doc

1、文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 1 页, 共 26 页1.1 信息安全技术体系设计根据对塔里木油田信息安全技术需求的总结，参考 IBM 企业安全技术架构方法，提出塔里木油田安全技术架构框架。安全技术架构框架覆盖了塔里木油田未来 3 年所需要的安全技术功能服务组件。每个定义的安全技术功能服务组件，都能够形成独立安全服务平台，用于实现塔里木油田的安全技术目标。安全技术功能服务组件框架同时也是塔里木油田的安全技术功能服务组件库，便于塔里木油田的安全技术人员从组件库中选取所需的安全服务组件，以规范一致的方式来进行的安全技术解决方案设计。安 全 技 术 体 系信

2、息流控制 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过滤防病毒网关入侵检测防御互联网审计系统数据中心机房文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 2 页, 共 26 页图 4-2 信息安全技术体系框架针对服务模块所实现的安全机制在数据安全、应用安全、主机

3、系统安全、网络安全、物理环境安全方面有不同体现，展示如下：安 全 技 术 体 系统一用户管理数字证书服务单点登录统一授权服务网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙异常流量过滤防病毒网关入侵检测防御互联网审计系统数 据 安 全应 用 安 全主 机 系 统 安 全终 端 安 全网 络 安 全物 理 环 境 安 全数据备份中心数据中心机房网络安全域划分1.1.1 安全技术功能服务组件目录定义与安全架构方法模型中的五个安全域相对应，定义了五个安

4、全技术功能服务组件目录，分别是身份与信任管理目录、访问控制目录、信息流控制目录、完整性管理目录和安全审计管理目录。以下是每个安全服务组件目录的定义。身份与信任管理目录该目录定义了身份和信任管理方面的功能服务组件，它们能够对企业范围内的用户身份的识别、验证进行管理控制，提供对用户身份和信任凭证生命周期的管理。在本目录中包含的安全服务组件有集中用户管理、统一用户目录、数字证书服务、双因素认证、电子签章服务。访问控制目录文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 3 页, 共 26 页该目录定义了对 IT 资源（包括网络资源、平台系统资源、应用系统资源、数据资源等）进行

5、访问控制的功能服务组件，它们负责企业范围内的 IT 资源访问的管理控制。在本目录中包含的安全服务组件有集中身份认证及单点登录、统一统一授权服务、终端准入控制、远程访问控制、视频监控、物理门禁。信息流控制目录该目录定义了对网络信息流进行安全控制的功能服务组件，它们负责对企业范围内的信息流进行把关控制，保证信息流的机密保护、完整准确和合理可达。在本目录中包含的安全服务组件有数据防泄漏、入侵检测防护、信息流内容检测过滤、防火墙、DDOS 防护（拒绝服务防护） 。完整性管理目录该目录定义了保障 IT 实体（包括网络、平台系统、应用系统、数据等）完整性的功能服务组件，它们负责对企业范围内 IT 实体正确

6、、完整、可靠运行提供管理控制。在本目录中包含的安全服务组件有电子文档加密服务、网页防篡改策略符合性管理、终端桌面管理、防病毒服务、补丁管理、可用性保障服务。安全审计管理目录该目录定义了对安全审计管理的功能服务组件，它们负责对企业范围内的IT 安全事件进行记录和监控，保证 IT 安全事件的可追溯和及时响应。在本目录中包含的安全服务组件有安全事件统一监控管理、日志审计系统、操作行为审计、安全符合性检查和安全弱点管理。1.2 安全技术功能服务组件定义1.2.1 身份与信任管理目录身份与信任管理目录包含以下的安全技术功能服务组件。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第

7、 4 页, 共 26 页安 全 技 术 体 系信息流控制 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过滤防病毒网关入侵检测防御互联网审计系统数据中心机房身份与信任管理统一用户管理数字证书服务双因素认证每个安全技术功能服务组件的说明如下。集中用户管理服务名称 版本 归属集中用户管理服务

8、1.0 身份与信任管理描述 集中用户管理服务能够为企业用户提供集中统一的用户账号管理服务，管理企业用户使用各种企业 IT 系统时的用户账号。本服务有利于降低用户管理的成本，有利于强化用户账号安全策略实施。关键服务 集中用户管理服务应该为塔里木油田信息系统提供以下的管理服务：组织管理，实现对塔里木油田组织结构的管理，使得企业能够按照自身情况以部门或者地域进行组织结构的定义，管理内部用户在塔里木油田的组织结构的分布；账号管理，实现对塔里木油田所有内部用户自然人身份的主账号的管理，包括创建，激活、中止，废除、修改和删除，以及主账号与用户在目标 IT 系统的账号的关联同步管理；用户审批管理，实现对塔里

9、木油田用户账号建立、变动的审批管理；角色管理，定义和管理在塔里木油田企业用户的工作岗位/角文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 5 页, 共 26 页色，提高企业用户管理的效率和灵活性。通过角色定义，可以将某类角色和不同目标系统上的账号进行对应，实现基于角色的企业用户管理；基于角色的访问管理：通过角色定义，可以将某类角色和目标系统上的资源进行对应，支持基于角色的访问授权。当前实施情况 目前，塔里木油田虽然建立了统一授权与单点登录系统，但仅覆盖部分应用系统，且未覆盖主机系统及数据库层面。部分应用系统在账号管理方面采用了竖井式的建设，未使用统一的企业用户目录，独

10、立管理自身的账号。统一用户目录名称 版本 归属统一用户目录 1.0 身份与信任管理描述 统一用户目录能够为企业用户该提供集中的用户基础数据信息管理和存储服务。关键服务 统一用户目录服务应该为塔里木油田信息系统提供以下的管理服务：企业用户目录：实现将塔里木油田所有用户信息存储在企业用户目录，企业用户目录设计需要反映出塔里木油田的组织结构；一般来讲，企业用户目录的设计应该具备高效处理的扁平结构。其中企业用户目录中对用户的标识可以为员工工号、邮件地址、HR 系统中员工编号等。信任凭证安全存储：实现所有用户的敏感的信任凭证信息的安全存储，建议采用不可逆的加密算法实现对敏感的信任凭证的加密存储。目录整合

11、与数据同步：实现塔里木油田企业用户目录的良好整合功能，能够整合企业已有系统的非规范用户信息，实现与已有系统的用户信息的同步。其中目录整合须建立企业用户目录系统与其他系统间的用户信息对应关系；双方数据的同步接口将遵循该对应关系，实现一次性或定期的数据同步。目录复制与恢复：实现企业用户目录的复制与恢复，有效保障用户目录信息的高可用性。当前实施情况 目前，塔里木油田没有统一的企业用户目录机制。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 6 页, 共 26 页数字证书服务名称 版本 归属数字证书服务 1.0 身份与信任管理描述 数字证书服务是一种增强性的用户信任凭证服务，

12、该服务提供企业用户和应用的数字证书的管理和验证。关键服务 数字证书系统是加强塔里木油田应用安全的重要手段，需要采用可靠的方式，实现联网应用用户的强身份鉴别和认证，支持网络应用的信息传输保护，提高业务应用的抗抵赖性。数字证书服务应该为塔里木油田信息系统提供以下的管理服务：证书策略管理：根据企业的安全策略，设定数字证书的策略，使得证书的管理满足企业的业务安全要求；证书申请：系统接受用户输入的信息并提供一系列证书模块，供用户根据自己的需要选择并申请，系统验证用户信息，如果成功，系统向用户返回下载证书所需的凭证。证书签发：根据证书策略，对于通过审核的证书申请，生成数字证书；并将签发成功的证书发布到 L

13、DAP，或企业用户目录中。证书下载：验证用户的下载凭证，对验证通过的用户，提供证书下载服务。证书验证：向企业的用户或者应用提供统一的证书有效性验证； 证书撤销：根据企业证书策略，对不安全的证书实行撤销，撤销后证书将失效。证书更新：根据企业证书策略，对正在使用中的证书进行有效期等更新。证书冻结：根据企业证书策略，可以对短期内不会使用的证书进行冻结操作，在冻结期内证书被限定不可使用。被冻结的证书可通过解冻操作恢复使用。证书解冻：相对于证书冻结操作，此功能将冻结的证书解冻，使得证书可以重新使用。当前实施情况 目前，塔里木油田的大部分应用系统已经实现与数字证书身份认证系统的接口改造，初步实现了系统安全

14、登录，下一步将不断强化数字证书的应用，完全取消用户名/口令，统一采用数字证书登录系统。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 7 页, 共 26 页双因素认证服务名称 版本 归属双因素认证服务 1.0 身份与信任管理描述 采用时间同步技术的双因素认证系统，它能够用强大的用户认证系统替代基本的口令安全机制，帮助消除因口令欺诈而导致的损失，防止恶意入侵者或员工对资源的破坏，能够解决由口令泄密导致的所有入侵问题。关键服务 双因素身份验证系统主要由三个部分组成：产生动态口令、认证代理和身份管理服务器。1产生动态口令由物理介质-令牌将动态口令提供给用户。那么很多人都对动

15、态口令是如何产生的非常感兴趣。它产生实现原理一般是采用特定的运算函式或流程，即基本函数，加上具有变动性的一些参数，即基本元素。利用基本元素经过基本函数的运算流程得到结果，产生的内容再转换为使用的密码，由于基本元素具有每次变化的特性，因此每次产生的密码都会不相同，所以称为动态口令。2认证代理认证代理是实现认证功能的中间组件，它部署在应用服务器上，用来实施动态口令的安全策略。常用的应用服务包括活动目录服务器、Web Services、远程访问服务器、VPN集中器等。主要功能是将具体应用的身份认证请求通过安全的通道传输给身份管理服务器，并通知用户验证结果。3身份管理 服务器 管理服务器是双因素认证系

16、统的核心。其主要作用为：验证用户口令的有效性、向用户签发口令令牌、签发可信代理主机证书、实时监控，创建日志信息等。计算机管理系统、局域网、远程拨号、Internet/VPN 连接或 Intranet/Extranet 应用中的用户认证，所有这一切都可以通过双因素认证完成。当前实施情况 目前，塔里木油田未实现对重要主机系统、网络设备的双因素认证管理。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 8 页, 共 26 页电子签章服务名称 版本 归属电子签章服务 1.0 身份与信任管理描述 电子印章是运用印章图像，将电子签章的操作转化为与纸质文件盖章操作相同的可视效果。用户

17、用电子签章对申请书进行签章操作时，可以看到电子版申请书上会显示红色的图章图像，同纸质的盖章效果一样。是随着计算机技术和互联网应用的发展而产生的一项新兴技术，在电子商务和电子政务中用以身份识别、授权管理、责任认定等。 中华人民共和国电子签名法明确规定：“可靠的电子签名与手写签名或者盖章具有同等的法律效力”。关键服务 电子签章特点：安全可靠 1、采用标准的 RSA 算法产生公钥和密钥，并生成 ITU-TX509 国际标准定义的电子证书； 2、用电子证书和位图图章绑定，确保电子印章来源可靠； 3、在电子印章中绑定数字水印，防止非法拷贝印章位图； 4、采用标准的散列算法 (HASH)产生数字摘要，确保

18、电子签章和被签文件紧密绑定； 5、采用标准的 DES 算法加密电子签章实体数据； 6、采用电子钥匙 (硬件设备，例如 EKey、智能卡等)存储密钥，和软件联合控制签章权限； 7、可结合指纹认证、虹膜认证、签名认证等生物验证技术确保用户身份可靠。 8、通过签章记录可追溯从原始签章到当前签章的全过程功能强大 1、可在文件上添加电子签章，就像我们常用的纸质公文上的签章效果； 2、可在线(Internet)或离线签章； 3、可将电子签章和文件紧密绑定(整个文件或文件部分 )，一旦绑定区域被篡改，电子签章将失效； 4、可随时对电子签章的可靠性及其绑定的部分的完整性进行验证； 5、对特定平台 (例如 Wo

19、rd 等)可控制文件打印权限及打印份数，以及可随时锁定文件； 6、可通过浏览器管理电子签章服务器(管理员)或修改的个人信息(用户 )。 文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 9 页, 共 26 页标准规范 1、根据国家行政机关公文格式(GB/T9704-1999)生成位图图章； 2、根据国际标准 ITU-TX509 生成电子证书； 3、采用标准的 DES(Data Encryption Standard)算法； 4、采用标准的 RAS(R. Rivest、A. Shamir、L. Adleman)算法； 5、采用标准的 Secure Hashing Algo

20、rithm (SHA-1)散列算法。使用方便 1、采用浮动菜单的样式放置功能按钮，轻轻一点就可在文件上添加签章； 2、可通过浏览器维护电子签章服务器或修改个人的信息； 3、B/S 模式访问服务器，即使您在外地，也可通过互联网对文件签章； 4、所有应用平台采用同样的签章界面，您只要会用一种(例如：for Word)，其他平台一通百通； 5、实时帮助和在线论坛将随时帮助您使用本系统。 实践证明，已有众多的政府部门、企业单位采用优泰电子签章、电子签名技术，以实现电子政务、电子商务中的文件传送、身份验证。伴随着电子商务的更大发展，优泰科技的产品也将更大范围地服务于广大企业商家。当前实施情况 目前，塔里

21、木油田的大部分应用系统未实现电子签章服务。1.2.2 访问控制目录访问控制目录包含以下的安全技术功能服务组件。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 10 页, 共 26 页安 全 技 术 体 系信息流控制 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过

22、滤防病毒网关入侵检测防御互联网审计系统数据中心机房访问控制单点登录统一授权服务端点准入控制每个安全技术功能服务组件的说明如下。单点登陆名称 版本 归属单点登陆 1.0 访问控制描述 单点登录是以集中的方式，实现企业用户对应用系统和平台设备的访问进行单点登录和集中身份认证。关键服务 单点登录应该为塔里木油田信息系统提供以下的管理服务：访问集中认证：通过对访问者的身份信任凭证的集中检验来核实身份的正确性；支持多种认证机制：能够支持多种信任凭证认证机制，例如密码、一次性口令、证书等；单点认证：用户只需要通过集中认证服务的验证，不必在企业的应用和平台进行重复验证。当前实施情况 目前，塔里木油田的 IT

23、 系统，包括操作系统、数据库和网络设备，各系统独立进行用户身份认证，均没有采用集中身份认证机制，未建立统一单点登录机制。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 11 页, 共 26 页终端安全准入名称 版本 归属终端安全准入 1.0 访问控制描述 终端安全准入服务提供对接入企业网络的合法合规终端的检查，只允许通过合法身份检查、并且达到安全合规要求的终端接入内部网络。关键服务 终端安全准入服务提供以下的关键安全服务：终端合法身份认证：对登录终端的合法性进行确认，通过检查终端的合法唯一标识，以及终端用户的合法身份检查，禁止非法终端接入内部网络，此功能的实现需要结合

24、身份与信任管理目录中的服务平台终端安全合规检查：对接入内部网络的合法终端的安全合规进行检验，禁止不合规的终端接入内部网络不合规终端安全修补：对合法但不合规的终端，提供安全修补的服务，此功能需要结合补丁管理服务及终端桌面管理服务。当前实施情况 目前塔里木油田已使用 SEP 完成终端准入机制，但在终端准入前未对申请准入的终端设备进行合规性检查。统一授权服务名称 版本 归属统一授权服务 1.0 访问控制描述 统一授权服务是以集中的方式对企业用户访问应用或平台的资源的权限进行检验。关键服务 统一授权服务能够提供以下的功能：访问授权验证：用户通过身份认证后，需要对用户访问资源的权限进行检验，以确定用户是

25、否能够访问目标资源访问权限策略管理：根据业务安全要求，对用户的访问策略进行设置，包括访问访问主体、对象资源、访问时间等；实现将访问授权策略数据的存储和管理；资源对象管理：对应用或平台的资源进行细粒度对象的管理访问请求管理：根据业务安全要求，对用户的访问资源请求进行控制，配合访问策略管理服务，实现进行的细致的资源访问控制文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 12 页, 共 26 页当前实施情况 目前尚未结合单点登录系统、集中用户管理系统实现统一访问授权管理。1.2.3 信息流控制目录信息流控制目录包含以下的安全技术功能服务组件。安 全 技 术 体 系信息流控制

26、 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过滤防病毒网关入侵检测防御互联网审计系统数据中心机房信息流控制虚拟终端应用防火墙数据防泄漏网络防火墙异常流量过滤防病毒网关入侵检测防御每个安全技术功能服务组件的说明如下。数据防泄漏名称 版本 归属数据防泄漏 1.0 信息流控制积木块编号描述

27、数据泄露防护也被称为 DLP。它是版权管理的一种变体，且常被企业用来进行更大范围的数据防护。版权管理倾向于将一些文档和文件类型进行打包，以便对其进行保护；而 DLP更注重对企业的网关进行保护和监控。DLP 技术是通过一定的技术或管理手段，防止企业的指定数据或信息资产以违反文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 13 页, 共 26 页安全策略规定的形式流出企业。DLP 关注的焦点在于防止敏感信息经电子邮件、文件传输、即时消息、网页发布、便携式存储设备或介质等途径泄露出去。信息、数据都是最有价值的资产之一。很多企业都认识到数据安全对其业务发展将造成很大的影响力，

28、一旦重要数据泄漏，经济损失、企业形象损失、竞争力削弱以及法规惩罚等。关键服务 DLP 厂商通常可以提供主机(端点)DLP 产品和网关 DLP 产品两种解决方案，两者是互补的关系，网关 DLP 产品对于通过 Web、邮件或者即时消息方式的数据泄露能够实时反应，但对于通过 USB 存储设备、抓屏、打印等方式的实时数据泄露防护，必须要通过主机 DLP 方式实现。据王昊介绍，网关 DLP 的优势在于处理图形文件的防护，通过网关的人工智能分析能够有效地防止更改过的任何图形文件泄露;主机 DLP的优势在于对加密的数据文件也能够有效防护。和上网行为管理产品相对比，DLP 方案的功能明显强大许多。上网行为管理

29、产品可以阻止简单的基于关键字的数据外泄，但它如何实现对上传的某个 Word 文档中是否包含某些敏感内容来进行判断和阻断呢?这明显是上网行为管理产品做不到的。上网行为管理产品可以防止一些简单的数据外泄，比如阻断 Web 或者即时消息传送的文件，但是这种防护的手段是非常粗放的，只能针对文件的后缀名、文件名等，会造成大量的误报，如果更改文件名或者后缀即可绕过上网行为管理产品的控制，因此对于数据泄露防护还是需要专业的产品。专业的 DLP 产品从设计之初就已经考虑了各种数据泄露的途径，包括 Web、打印机、 USB 存储设备、邮件和即时消息等，实现了真正的数据外泄防护。DLP 解决方案的部署是一个长期的

30、过程，它应当与数据的整个生命周期相对应，并不是一次部署以后就不需要去管理和维护了。因此，企业在部署完 DLP 解决方案后，还应当不断地检验它的执行效果，然后根据检测结果来调整 DLP 策略，以便它在数据整个生命周期中的各个阶段都有能到企业的要求。当前实施情况 目前，塔里木油田未采用该技术。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 14 页, 共 26 页虚拟终端名称 版本 归属数据防泄漏 1.0 信息流控制积木块编号描述 虚拟终端(VT) ：是一种提供类似于 Internet 的 Telnet 协议的远程终端仿真的国际标准化组织(ISO)协议。在远程终端的用户，

31、可以在远程计算机上运行应用程序，就象他们是坐在这台计算机前面一样。 关键服务 主要功能如下：集中管理用户应用集中的软件升级集中管理用户操作系统镜像集中的系统升级集中管理用户数据降低管理成本数据安全集中当前实施情况 目前，塔里木油田未采用该技术。异常流量过滤名称 版本 归属异常流量过滤 1.0 信息流控制积木块编号描述 异常流量过滤对网络信息数据流的 3-7 层的内容检测，检测过滤来自互联网的恶意代码、垃圾邮件等，过滤进出网络的不安全信息内容关键服务 异常流量过滤能够提供以下的功能：网关防恶意软件，检测 HTTP, FTP, SMTP, POP3, IMAP, P2P, IM 等协议之上的病毒，

32、过滤间谍软件、木马、欺诈、键盘记录器等软件。反垃圾邮件，通过黑名单、病毒检查、用户定义规则、垃圾邮件指纹以及贝叶斯统计分析等，对垃圾邮件进行判定，并文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 15 页, 共 26 页予以投递、隔离或阻断处理。用户行为管理：边界应用控制与过滤方案具备 URL 过滤、关键字过滤、内容过滤等多种访问控制策略，控制非法应用、过滤非法网站、规范用户上网行为，避免企业关键信息外泄。记录用户应用访问信息，输出审计报告；流量管理：可精确识别 BT、电驴、迅雷、MSN、QQ、Yahoo Messenger、PPLive 等近百种 P2P/IM应用，

33、可基于时间、用户、区域、应用协议，通过告警、限速、阻断等手段进行灵活控制，保证网速的正常和业务不被影响；流量统计：基于通用流量统计模型，提供基于用户、应用、时间段、源/目的 IP 等丰富的业务流量统计信息日志。可以对业务组以及某个业务下的所有子业务的流量趋势、业务带宽占用趋势以及业务流量分布等各种流量信息进行统计分析并生成日志。流量信息包括上下行双向流量；流量整形，通过限流、放行、阻断、干扰以及告警等的带宽管理方法，实现基于用户、应用、时间段以及源/目的 IP 等精细的带宽控制，合理分配网络带宽。当前实施情况 目前，塔里木油田统一出口平台部署了流量控制设备实现流量控制、统计和整形。邮件系统内置

34、了防垃圾邮件模块和防病毒模块。各局域网与统一互联网平台之间都部署了上网行为管理设备。网络防火墙名称 版本 归属网络防火墙 1.0 信息流控制积木块编号描述 网络防火墙是指在不同安全级别的网络区域的安全边界上，针对网络区域之间的数据流访问实现访问控制。关键服务 需要通过防火墙是加强塔里木油田不同安全级别的网络区域之间信息流访问的安全控制，保护 IT 系统访问安全。边界信息流控制服务应该为塔里木油田提供以下的安全服务：过滤进出的 TCP/IP 数据包。管理进出网络的访问行为。封堵被禁止的业务。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 16 页, 共 26 页实现网络

35、地址翻译。基于会话状态检测和 TCP/IP 动态端口进行数据流控制。将所有跨越边界的会话通信分为两段，实现数据流的中转。对网络攻击进行检测、告警和阻断。记录进出网络的访问信息。当前实施情况 目前，塔里木油田虽然有防火墙设备，但还需要增加防火墙设备的投入，以及防火墙安全配置的管理。应用防火墙名称 版本 归属应用防火墙 1.0 信息流控制积木块编号描述 Web 应用防护系统（也称：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF） 。提供了一种安全运维控制手段：基于对 HTTP/HTTPS 流量的双向分析，为WEB 应用提供实时的防护。关键服务 主要功

36、能：缓解 HTTP 及 HTTPS 应用下各类安全威胁，如SQL 注入、XSS、跨站伪造（CSRF） 、cookie 篡改以及应用层 DDoS 等，有效应对网页篡改、网页挂马、敏感信息泄露等安全问题，充分保障 WEB 应用的高可用性和可靠性。当前实施情况 目前，塔里木油田虽然未采用该技术。防病毒网关名称 版本 归属防病毒网关 1.0 信息流控制描述 部署在了 Internet 的统一出口处，即 Web 服务器的前端，防范病毒和蠕虫的侵扰。关键服务 主要功能如下：1、术采用的是基于流的病毒扫描，而不是基于文件的病毒扫描，所以数据包在扫描过程中的延迟相对较小。2、对 HTTP、FTP、SMTP、I

37、MAP 等协议的数据进行病毒扫描，一旦发现病毒就会采取相应的手段进行隔离或查杀。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 17 页, 共 26 页3、提供允许、阻断、重定向等灵活的防病毒策略，支持病毒日志和报表，方便审计和设备故障诊断。当前实施情况 目前，塔里木油田虽然未采用该技术。入侵检测防御名称 版本 归属入侵检测防御 1.0 信息流控制描述 探测服务器区域的攻击与恶意嗅探行为，必要时及时阻断。关键服务 主要功能如下：1、准确监测网络异常流量。2、自动对各类攻击性的流量，尤其是应用层的威胁进行实时阻断，实时、主动拦截黑客攻击、蠕虫、网络病毒、后门木马、D.o

38、.S 等恶意流量，保护企业信息系统和网络架构免受侵害，防止操作系统和应用程序损坏或宕机。当前实施情况 目前，塔里木油田虽然已经购买该设备，但已经过了服务期限，由于策略无法更新，功能失效。1.2.4 完整性管理目录完整性管理目录包含以下的安全技术功能服务组件。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 18 页, 共 26 页安 全 技 术 体 系信息流控制 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终

39、端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过滤防病毒网关入侵检测防御互联网审计系统数据中心机房完整性管理网页防篡改电子文档加密防病毒服务桌面安全管理系统配置符合性管理补丁管理每个安全技术功能服务组件的说明如下。电子文档加密服务名称 版本 归属电子文档加密服务 1.0 完整性管理描述 机密文档防泄露服务提供对数据库加密服务和的电子文档安全保护服务。关键服务 电子文档安全保护服务应该为塔里木油田提供以下的安全功能：文档加密：受保护的文档不能以明文的形式存放在客户端或者服务器上，所有受保护的文档在

40、存储时都应经过加密处理，文档在网络上传输时也应是加密的。文档解密：根据文档安全策略，对加密的文档提供安全解密；文档授权与访问控制：只有经过系统授权的用户才能访问文档，对用户访问文档的方式根据制定好授权策略进行控制，如阅览、打印、复制、修改等；支持离线保护功能：员工在外地出差工作时，需要使用大量的加密文档进行工作，因此，要保证受保护的加密文档在离文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 19 页, 共 26 页开内网时还能处于受保护的状态，保证文档的安全性。数据库加密服务提供以下的功能：数据库加密设置: 根据敏感性要求设置数据表的列加密，而不是对数据表全部数据加密

41、。数据存储加密：采用成熟加密技术对敏感数据加密存储，并采用校验措施来防止数据非授权修改数据通信加密：数据库访问采用通信加密，防数据重放或篡改访问授权：需要对机密数据的访问者进行身份和授权验证加密密钥保护：对密钥提供管理和安全存储，避免密钥被非法获取当前实施情况 目前部分关键系统采用数据库加密方式保护信息数据。未实施电子文档安全保护产品网页防篡改服务名称 版本 归属网页防篡改服务 1.0 完整性管理描述 网页防篡改服务提供对企业对外服务的网站系统的完整性保护，防止系统文件被非法篡改。关键服务 网页防篡改服务应该为塔里木油田提供以下的安全功能：阻断非法进程对受保护文件的写操作；基于事件触发机制，实

42、时发现受保护文件的任何非授权变更；依据数字指纹技术，验证所有对外发布文件的合法性，确保非法发布网页无法发布；提供受保护文件/目录自动备份；提供文件备份服务，自动从备份服务器恢复这些被改动的文件、文件夹。当前实施情况 已实施网页防篡改产品，能够对静态页面进行保护。信策略符合性管理名称 版本 归属文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 20 页, 共 26 页策略符合性管理 1.0 完整性管理描述 系统配置符合性管理也称为安全基线检查工具，安全基线是一个信息系统的最小安全保证, 即该信息系统最基本需要满足的安全要求。安全基线的内容分为三个方面：1）系统存在的安全漏

43、洞。2 ）系统配置的脆弱性。 3）系统状态的检查。关键服务 安全基线检查工具基于业务系统安全运行的要求（最低/基本） ，对目标系统的漏洞、配置和重要状态进行检查，并根据策略要求对系统进行安全配置。注意：系统尽管安全基线检查工具能够从技术层面对安全配置进行全面、高效的检查，但对于业务系统特有的安全问题以及业务系统管理层面的问题，仍需要结合传统的安全评估服务手段以及传统的安全检查工具(如：漏洞扫描、代码检查)来实现。当前实施情况 目前，塔里木油田未采用该技术。终端桌面管理名称 版本 归属终端桌面管理 1.0 完整性管理描述 终端桌面管理服务提供对塔里木油田内部网络的终端系统的安全管理，包括对内部终

44、端提供统一的安全合规策略检查，提供操作系统/软件补丁分发，软件进程控制和审计，非法外联外设管理和控制等关键服务 终端桌面管理服务提供以下的关键安全服务：终端安全漏洞检查：提供终端桌面系统的安全合规性策略检查和评估，并对发现的终端系统的漏洞提供漏洞修复指引。用户行为控制：提供实时监控终端行为，包括网络行为、软件使用行为、文件拷贝行为及移动介质使用行为等；软件进程安全管理：通过白名单、黑名单方式定义违禁软件，这些违禁软件被运行时会发生告警事件，或者直接被禁止运行。非法外联外设控制：控制终端在规定网络场景（如接入内部网络）禁止自行建立外部网络连接，禁止使用非授权的外部设备以及移动存储设备补丁管理：对

45、系统/软件提供补丁库管理，并提供补丁下载的服务。补丁管理服务包括补丁库升级、补丁测试、补丁分发、补丁安装等功能；文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 21 页, 共 26 页软件分发：提供桌面终端的统一软件分发，软件下发后需要获取软件下发整体情况，用以及时调整软件下发策略；远程维护和管理：提供管理员远程监视或者远程协助的功能，管理员能够对发生问题的桌面终端提供远程维护，协助终端用户解决问题。当前实施情况 已实施终端桌面管理系统，但功能未全面应用，部分安全功能还未实现防病毒服务名称 版本 归属防病毒服务 1.0 完整性管理积木块编号描述 恶意代码防护服务是检测

46、、监控和杀除恶意代码，保护应用系统和平台系统（主机系统、终端系统等）的安全。关键服务 恶意代码服务应该为塔里木油田提供以下的安全功能：策略管理：以集中的方式管理塔里木油田的 PC 服务器系统恶意代码防范策略扫描引擎和代码库更新：持续更新扫描引擎和恶意代码特征库，并自动提供给服务器和终端系统恶意代码扫描、清除：对主机系统或终端检查并清除恶意代码；系统恶意代码实时保护：对主机系统和终端进行实时性的监控，一旦发现恶意代码行为及时告警并拦截；网络恶意代码实时保护：对网络层的恶意代码流进行实时监测，及时过滤恶意代码流并告警。当前实施情况 塔里木油田总部的部署了统一企业版终端防病毒系统，防病毒管理中心部署

47、在内网服务器网段，客户端防病毒软件覆盖内部所有的电脑终端。补丁管理名称 版本 归属补丁管理 1.0 完整性管理积木块编号描述 补丁管理系统就是一套软件，我们可以把他安装在服务器上，文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 22 页, 共 26 页通过服务器宏观的管理公司内部所有计算机的补丁安装情况。关键服务 按照补丁管理系统的设置方法基本可以分为以下两种。一是代理方式的补丁管理系统，也就是说用服务器将各种软件，各种系统的补丁全部下载，保存到服务器专门的文件夹下。其他客户机更新补丁前需要把 UPDATE 站点指向服务器的IP 地址或域名，这样客户机就可以直接到服务

48、器上下载并更新补丁了。例如微软公司推出的 WSUS 就是这种代理方式的补丁管理系统；还有一种方式是体现更多的管理功能，这类补丁管理系统也需要一台服务器，不过这个服务器并不会下载各种软件及系统的补丁到本地硬盘，他主要起到的是管理和统筹安排作用，通过他可以设置客户机什么时候下载补丁，什么时候安装补丁，什么时候检查更新等，当然客户机更新补丁的地址仍然和默认的一样，服务器仅仅起到管理作用。当前实施情况 塔里木油田已经部署补丁管理系统。1.2.5 安全审计管理目录安全审计管理目录包含以下的安全技术功能服务组件。安 全 技 术 体 系信息流控制 完整性管理 安全审计管理访问控制身份与信任管理统一用户管理数

49、字证书服务单点登录统一授权服务 网页防篡改电子文档加密防病毒服务统一安全事件管理日志审计系统操作行为审计桌面安全管理漏洞扫描系统上网行为管理系统虚拟终端应用防火墙端点准入控制系统配置符合性管理补丁管理双因素认证数据防泄漏网络防火墙服务分类基础设施建设网络安全域划分数据备份中心支撑功能模块异常流量过滤防病毒网关入侵检测防御互联网审计系统数据中心机房安全审计管理统一安全事件管理日志审计系统操作行为审计漏洞扫描系统上网行为管理系统互联网审计系统每个安全技术功能服务组件的说明如下。文档名称 文档密级2019-10-8 华为保密信息,未经授权禁止扩散 第 23 页, 共 26 页统一安全事件管理名称 版本 归属安全事件统一管理 1.0 安全审计管理描述 本服务是负责对塔里木油田企业范围内的 IT 系统（网络、安全设备、操作系统、数据库及业务系统）的事件进行采集、过滤、综合关联分析和监控，及时发现安全事件，保证 IT 安全事件的可追溯和及时响应。关键服务 本服务应该为塔里木油田提供以下的安全功能：事件生成与收集：收集从操作系统平台、网络设备、应用系统以及其它安全服务产生的审计事件和数据过滤与标准化：定义规则过滤特定的事件，以及将所获得数据加以标准化，使之符合统一的事件格式规范事件存储：将审计事件加以集中保存，并提供访问控制和完整性保护以禁止未经授权的用户读取、复制、修改和删除审计