1、整體安全服務項目書目錄1. 公司介紹 . 錯誤！未定義書簽。 1.1. 上海 AAAAA 股份有限公司 . 錯誤！未定義書簽。 1.2. BBBBBB 公司. 錯誤！未定義書簽。2. 信息安全風險及銀行業面臨的挑戰 . 3 2.1. 信息安全的現狀 . 3 2.2. 國內企業信息安全方面的問題 . 4 2.3. 銀行和金融服務機構的安全挑戰 . 4 2.4. 安全服務項目所涉及的任務 . 63. XXXX 上海分行整體安全服務介紹 . 84. 第一階段：風險評估 . 9 4.1. 第一步：邊界審核和遠程測試（黑箱測試） . 11 4.1.1. 方法論 . 11 4.1.2. 信息收集 . 11

2、 4.1.3. 網絡結構分析 . 11 4.1.4. 情景分析 . 12 4.1.5. 模擬攻擊 . 12 4.2. 第二步：系統分析、改善建議和應用測試（白箱測試） . 20 4.2.1. 方法論 . 205. 第二階段：解決方案 . 236. 保密原則 . 31 6.1. 文檔管理 . 31 6.1.1. 客戶數據文檔處理策略 . 31 6.1.2. 用戶報告處理原則 . 31 6.2. 客戶參考內容 . 32 6.2.1. 交叉參考 . 327. 項目團隊介紹 . 33 7.1. 項目團隊架構 . 33 7.2. 項目人員情況表 . 358. 項目合作形式及合作內容 . 369. 項目時

3、間表、工作量和項目費用 . 37 9.1. 項目時間表 . 37 9.2. 工作量估計 . 37 9.3. 項目費用 . 3710. 成功案例 . 3911. 附件. 40 11.1. Sample Policy Extract - Enterprise-wide Policy . 40 11.2. Sample of Report. 47 11.2.1. Examples of Vulnerability Tables provided in the Penetration Test Report . 47 11.2.2. Architecture Review Report . 49 11

4、.3. 測試工具 . 5011.4. 部分用戶和合作伙伴的反饋意見 . 錯誤！未定義書簽。第 ii 頁 共 50 頁1. 信息安全風險及銀行業面臨的挑戰1.1. 信息安全的現狀信息安全是涉及計算機、網絡技術、通信技術、密碼技術、企業管理和社會工程的綜合科學。 旨在保護信息和相關應用系統的保密性、 完整性和可用性。 隨著新技術的發展和普及， 企業的業務活動越來越多地依賴更加復雜的計算機設備和通訊手段來完成，安全風險隨之增加。無論是包括銀行、保險、電信等行業在內的敏感企業，還是普通的制造和商業企業， 都已經認識到了信息安全的重要性。盡管如此，信息安全方面的專業調查仍然向我們展示了一些令人震驚的結果

5、：60%的企業機構可能受到拒絕服務類攻擊。80%的用戶不知道自己的網絡系統究竟提供了哪些服務， 其中哪些可以從外部通過 Internet 訪問。80%的企業不具備完備的安全政策。70%配備了防火墻的站點依然無法防范已知的攻擊手段。上述現象的存在， 主要由于企業的安全管理意識不強， 安全管理手段欠佳造成的。大部企業雖然在安全方面有所認識， 并采取了相應的安全手段， 卻不能很好地將安全問題提高到企業的業務戰略的高度加以考慮。 因此，在安全項目的實施中，常常會因為缺乏對安全工作的重視或認為安全工作必須服務于業務系統而進行妥協，在應用系統中埋下案例隱患。另外，企業在實施安全項目時， 經常將安全工作簡單

6、地理解為采購大量軟硬第 3 頁 共 50 頁件設備，嚴格控制用戶訪問的過程，這顯然不是正確的安全觀點。實踐證明，信息安全的重點是管理， 而非技術。 企業必須認真地分析自身的業務需求， 并據此制定相應的安全戰略； 在它的指導下， 建立和健全安全管理體系， 規范業務活動和操作流程， 提高安全防范意識， 實施技術保障手段和應急措施， 最終有效地保證企業的信息安全，降低運營風險。1.2. 國內企業信息安全方面的問題國內企業在信息安全方面必須解決的問題包括：a) 缺乏完善的信息安全法規和特定行業的安全標準，使企業在實施信息安全項目時存在較大的盲目性。b) 國內市場上的安全技術、安全產品和安全服務嚴重滯后

7、，無法滿足企業的信息安全要求，也不能幫助國內企業應對國外最新發現的安全風險。c) 安全廠商、服務商和企業用戶對信息安全的風險、防范手段和安全技術缺乏系統研究，無法針對企業的需求，形成全面的信息安全戰略。d) 企業信息安全項目的實施沒有列入企業的戰略高度，不能與企業的業務目標很好地統一。e) 企業用戶普遍缺乏針對信息安全問題的緊急響應能力，無法及時發現隱患，阻止攻擊、濫用等安全問題的出現。1.3. 銀行和金融服務機構的安全挑戰信息是銀行和金融服務機構最重要的財富。 如何保障信息資產的完整性、 保密性和可用性， 并允許用戶以適當的方式對其進行便利的訪問， 已經成為一個日益突出的商業問題。第 4 頁

8、 共 50 頁在傳統應用向 Internet 應用發展的進程中，銀行和金融企業面臨的內外部風險不斷增加，形成包括拒絕服務、數據修改、計算機欺詐、人為破壞、計算機病毒及其它潛在的安全問題和隱患。 這種情況下，如何制訂完善的企業安全戰略，綜合運用包括物理和電子手段在內的安全措施， 對交易信息、 資產和客戶資料進行保護，具有非常重要的意義。銀行的金融系統主要運行于分行網絡、內部設施 、Internet 、專網和虛擬專網等復雜環境，應用系統包括包括網上支付、網上銀行、電子清算等。其中的每一個環節，無論是金融交易，還是金融系統或網絡環境等，都是高度復雜的。這種復雜性本身就是一種重大的風險因素， 如果不能

9、有效地管理和把握， 勢必威脅企業的信息安全。多數金融企業對信息安全的認識仍有待于提高。 一方面，部分企業對于安全戰略的制訂和實施缺乏緊迫感，直到出現安全問題，造成危害，才去亡羊補牢；另一方面， 在已經建立和實施了信息安全機制的企業中， 多數企業還單純寄希望于高技術手段的采購和實施， 對安全管理的改善缺乏投入， 安全管理嚴重滯后于技術采購， 既不能發揮現有安全機制的作用， 也不能消除多種安全技術并存時產生的種種安全漏洞。針對上述情況，銀行和金融企業的安全工作應該從分析企業的業務模式和與業務相關的信息安全風險入手， 由安全專家與銀行的高層管理人員一起， 審查銀行的業務目標、 安全戰略和安全架構，

10、制定出行之有效的安全戰略， 才通過適當安全技術的采用而加以實施； 之后，還要對可能存在安全風險的地方， 進行深入測試和審查，逐步加以完善。第 5 頁 共 50 頁1.4. 安全服務項目所涉及的任務當企業網絡接入到互連網中，所面臨的主要安全威脅有：來自組織外界的導致服務中斷因素（黑客攻擊手段，如 DDOS 等）在線重要信息的被竊和關鍵信息在傳輸過程中丟失；數據和用戶身份的誤用或冒認；上述的這些安全威脅主要的方式有：拒絕服務攻擊、數據篡改、計算機欺詐行為、系統破壞、資源濫用、計算機病毒、潛在的風險和災難等。因此為了實現系統的整體安全目標， 在技術和安全產品的基礎上必須設計一個整體安全策略。安全項目

11、的范圍主要包括：分析和評估客戶現有的 IT 環境；為了解客戶主要資產以及相關的安全風險，雙方必須進行一個高水平的系統安全風險評估；建立一個企業級的安全策略；對相關設備和主要的服務器設立安全策略的標準；向管理層提交安全目標綜述。其中安全目標綜述包括：企業范圍內的安全策略；專項的安全說明，包括：防火墻安全策略；非軍事區安全策略；路由器/交換機的安全策略；第 6 頁 共 50 頁管理員工作站安全策略；關鍵服務器安全策略；Internet 主機安全策略；第 7 頁 共 50 頁2. 整體安全服務介紹在整個項目計劃中，主要包括以下幾個重要過程：風險評估制定解決方案計劃實施實施審查維護與支持第 8 頁 共

12、 50 頁3. 第一階段：風險評估對于以服務為導向的企業而言，企業唯一重要的財富是企業的用戶信息。企業越來越將注意力放在在保證現有運營業務穩定的基礎上， 如何保護企業信息的完整性、保密性和可用性。另外，日益增長的 Internet 業務的需求為企業帶來了眾多的不安全因素。因此，對 XX 而言，在越來越滿足信息的交流、數據的共享以及和第三方的電子業務合作過程中， 企業的系統和數據安全絕對不能落后于業務的迅猛發展。特別在基于 Internet 的業務環境中，企業的資產的防護力是非常脆弱的。其中由 Internet 帶來的主要安全風險有：外來的因素導致服務中斷： 黑客能夠關閉網絡服務或降低網絡服務的

13、效率；在線交易信息的被竊或關鍵數據在傳輸過程中被惡意切斷；交易數據的欺詐或用戶的冒認；除了上述的威脅以外，其他常見的威脅還有：拒絕服務攻擊、數據篡改、計算機商業詐騙、破壞企業數據、濫用權限、計算機病毒和其他潛在的災難。基于上述因素， XXXX 希望能夠評估和改善現有的安全策略以及安全架構以將運行風險降到最低。在整個安全服務項目中，第一階段就是風險評估階段。該階段主要包括以下幾個步驟的工作：邊界審核以及遠程測試（黑箱測試）；系統分析、改善建議和應用測試（白箱測試）；第 9 頁 共 50 頁在風險評估階段，項目目標（待定）在風險評估階段，對客戶方的需求（待定）在風險評估階段，項目環境（待定）在風險

14、評估階段，項目計劃在合同制定以后 3 周內，在得到用戶的許可以后開始執行。整個計劃中，兩個步驟將分別將持續 12 個工作日（大約 2 周）。在整個項目需要 2 個安全分析專家，同時指定的項目經理將和客戶保持交流以確保按時保質地完成項目報告。項目的初期，將由雙方開始一個啟動會議以實現：將安全專家和該項目團隊中的其他人員進行合作；對項目的范圍以及項目計劃進行綜述；對安全專家的工作任務以及工作日期進行確定。整個系統分析與改善報告將在遠程測試完成以后兩周內提交給客戶。該項目的兩個步驟分別是客戶無須提供詳細材料的黑箱測試和基于客戶提供的材料進行的白箱測試咨詢服務， 在一定的時間段內， 我們希望能夠實現下

15、列目標：系統分析報告（含行為報告和管理報告）一個加固后的系統安全架構包括對現有安全產品的建議；將相關的知識傳授給客戶方的員工；對將來的計劃提供建議。每個報告將包括：總結性陳述；對達到該結果所進行的項目過程的描述；第 10 頁 共 50 頁該項目中所有行為的報告；詳細的系統漏洞報告（參見附件），包括安全建議和相關背景信息。3.1. 第一步：邊界審核和遠程測試（黑箱測試）3.1.1.方法論遠程測試的針對對象是由用戶指定的服務器或網絡設備， 整個測試過程是采用黑箱模式（客戶無須提供其網絡細節或僅有客戶提供必要的信息）。整個遠程測試主要包括以下幾個步驟：信息收集、網絡結構分析、實戰分析和后續的相關分析

16、、探測以及最終報告。3.1.2.信息收集來自各個網絡的公共信息將被收集， 其中包括 whois 數據庫、路由信息、DNS信息等。另外所收集的信息還包括設備供應商、應用開發商等信息。3.1.3.網絡結構分析網絡結構分析的主要目的是對用戶應用網絡的邊界因素進行結構分析。 該步驟的主要目標是擁護如何建立自己的 DMZ 區以及路由器、防火墻和網絡代理的布置點等。信息收集階段還對用戶網絡的拓撲結構信息進行收集，包括：子網的分布、路由器、服務器和網絡之間的路由次數統計以及其他潛在的通道。該階段包括路由分析和過濾分析， Web 服務以及其他服務將會被識別出來，該過程中會大量地使用端口掃描。整個過程包括兩種操

17、作方式：普通方式和秘密方式第 11 頁 共 50 頁秘密方式將采用各種工具來檢查直接連接在 Internet 上的設備而不被其他工具發覺，同時它還試圖識別這些設備、 它們的操作系統以及在該操作系統上跑的服務。普通模式將采用普通方法且在完成這些操作時。不掩蓋操作行為。3.1.4.情景分析在該階段，AAAAAA 將協助用戶發現系統的漏洞、 錯誤的系統設置、 可能的bug 以及其他與安全有關的問題。 一旦我們發現這些問題后， 我們將研究這些問題，并且向用戶演示一個模擬攻擊情景并解釋是如何發現這些問題以及這些問題所造成的潛在威脅。3.1.5.模擬攻擊在該步驟中，在用戶的現場監督下，將會有兩類的模擬攻擊

18、被發動。一類是普通的非破壞性攻擊，一類是模擬的 DOS 攻擊。在該階段，對測試人員的素質要求會非常高，測試者將試圖采用各類手段試圖進入用戶的網絡中， 因此對測試人員的知識、 經驗以及一些創造性的素質要求比較高，因此它更象一向藝術而不僅僅是技術。在這階段，測試者將試圖：發現哪些服務器能夠被遠程攻擊危害，如果這些服務器或相關系統被發現有漏洞的話；采用多種通用的攻擊手段（ spoofing 或 bouncing ）來試圖進入用戶系統；第 12 頁 共 50 頁發現在服務器上跑的應用是否有安全漏洞（如 buffer overflows 、raceconditions 等）發現一些配置信息，如數據庫、文

19、件系統或網絡設備；發現一些其他配置信息，如路由器、交換機、防火墻和服務器等。測試者將使用各種方式來進行模擬攻擊 ,比如說，可以通過攻擊防火墻來發現它是否能被破壞。 測試者將試圖檢測應用系統中所有在跑的業務并檢測它們的弱點。其中特別是一些以超級帳戶權限（如 root）運行的應用。另外測試者將測試一些設置有疏漏的網絡設備， 如路由器等， 以確認是否能夠利用這些漏洞來提供進入網絡系統的后門。一旦一臺服務器能夠被破壞， 測試者將通過模擬黑客以該服務器為平臺進行其他的測試，主要包括以下的幾點：安裝特洛依木馬以試圖搜索用戶口令；安裝偵聽器（ Sniffer ）來搜索用戶口令；下載應用程序以離線分析應用程序

20、中的漏洞（如：寫得不完善的 CGI程序和HTML 程序）；下載口令文件；發現其他能被攻擊的與被測系統有信任關系的系統；值得注意的是在整個測試過程中， 所有的數據都是由三方約定好的指定負責人來對數據進行加密保存， 且在最終提交報告時， 所有與該項操作有關的日志將被包含在整個報告中。在整個模擬攻擊測試中，包括以下幾個測試部分：第 13 頁 共 50 頁.防火墻測試測試內容一些未設置好的防火墻能夠被多種繞過防火墻的技術所破壞；另一種典型的 IP Spoof 工具可以將數據包篡改為好象來自內部的數據包一些在內部網或 DMZ 區的客戶端由于為得到合適的配置， 將有可能被端口掃描工具發現作為

21、攻擊點；一些惡意的 applet 和帶有特洛依木馬程序附件的郵件可以被用來破壞內部網安全。測試工具Internet 掃描器多種惡意腳本程序IP spoof 工具多種端口掃描器遠程探測工具惡意的 Java applets特洛依木馬程序實施識別遠程系統對 DMZ 區和 Internet 網絡的分析在約定時間內的蠻力攻擊IP spoofi 攻擊端口掃描第 14 頁 共 50 頁對錯誤配置的客戶端進行攻擊惡意 applets 和 Trojan 攻擊.UNIX 安全審核測試內容UNIX 系統是一類比較復雜的多用戶、 多任務的分布式操作系統， 它有多種的系統漏洞將導致系統的安全威脅；多種 U

22、NIX 操作系統（包括 Sun、HP、SCO Unix 、Compaq 、AIX、BSD、Linux 等）都有自己的安全問題；操作系統級的安全問題只能通過仔細的安全審核來發現，并且通過合適的打補丁等辦法來解決。測試工具Unix 系統管理工具針對多種 UNIX 的安全工具；口令破譯工具；TCP/IP 網絡工具；D.o.S.和其他 UNIX 攻擊工具包。實施收集系統信息；關于 C/S 機制的分析；檢查文件系統的安全；用戶及口令的安全；基于網絡的安全；第 15 頁 共 50 頁可執行軟件程序的安全；帳戶和審計工具的設置。.Windows NT 系統的安全審核測試內容Windows NT

23、 有許多安全漏洞從而導致系統的毀壞；在該系統上跑的許多微軟的應用程序本身有許多安全漏洞；操作系統級的安全問題只能通過仔細的安全審核來發現，并且通過合適的打補丁等辦法來解決。測試工具NT 的系統管理工具；NT 掃描器；NT D.o.S. 攻擊工具包 ；NetBios 黑客工具；NT L0phtCrack 工具。實施信息收集；域之間的信任關系審查；NTFS 的安全；基于 NetBios 的攻擊；Remote Access Services 審查；第 16 頁 共 50 頁Users, groups, ACL 的審查；注冊登記表的安全；安全行為審計。.TCP/IP網絡層攻擊測試內容由于

24、 TCP/IP 協議本身具備多種安全漏洞，尤其是身份認證和權限控制等；在該攻擊中，將被測試的協議有： 命名服務 (DNS), 郵件傳輸服務 (SMTP,POP, IMAP, MIME), 文件傳輸 r (FTP, TFTP, RCP, UUCP), 控制信息(ICMP) ；典型的 D.O.S. 攻擊就是利用了協議本身的漏洞來攻擊的。測試工具DNS 工具包；郵件攻擊；文件傳輸攻擊工具包；ICMP 工具包。實施識別網絡資源；DMZ 區和 Internet 網絡架構分析 Architecture analysis of DMZ andinternal network ；DNS 服務攻擊；Mail 服

25、務攻擊；第 17 頁 共 50 頁文件傳輸攻擊；ICMP 攻擊；Denial-of-service 評估。.WWW 應用攻擊測試內容由于Web 服務是直接掛在公共網絡上的， 因此它最容易受到多種攻擊 （如內容被改）且通過它能夠給 DMZ 帶來威脅；造成 Web 應用漏洞的主要因素有： Http 協議、CGI 腳本以及數據庫接口設計的問題等；Web 服務器的設置錯誤也是造成安全漏洞的主要原因；在某些環境下，系統資源也可能被濫用做 D.O.S.攻擊的工具測試工具HTTP 和 SSL 工具包；CGI 探測器；SQL 攻擊腳本；Web 服務器自身安全工具包。實施識別和分析相關軟件；分析

26、CGI 腳本和其他相關程序；數據庫攻擊；Web 服務器設置分析；Web 服務器攻擊測試。第 18 頁 共 50 頁.應用安全測試測試內容在應用系統中使用的軟件程序在實施過程中一般總會有安全漏洞；這些漏洞的造成原因往往是保密數據的被竊、超級用戶權限使用、數據修改等。測試工具SUID 程序測試工具；數據庫工具；其他安全工具。實施識別和分析應用軟件審核與這些應用有關的商業操作；評估應用軟件的安全分析；軟件設置分析；錯誤跟蹤、安全審計、備份策略。.Denial-of-Service攻擊測試測試內容通用的 D.O.S. 攻擊就是利用 TCP/IP 協議的漏洞而進行一種消耗企業

27、網絡資源，降低企業服務質量的攻擊手段；這類攻擊非常常見也是目前主流的針對大型企業的網絡攻擊手段；基于 TCP/IP 協議的攻擊手段， 尤其是針對應用的攻擊非常常見， 其他常第 19 頁 共 50 頁見的攻擊則是消耗企業的網絡資源。測試工具基于 TCP/IP 協議的 DoS 工具，如：teardrop, land, nestea, boink, smurf針對用戶網絡應用的 DoS 攻擊腳本針對用戶網絡資源的 DoS 攻擊腳本撥號攻擊。實施辨識和分析潛在的 l DoS 目標協議攻擊測試應用攻擊測試網絡資源攻擊測試Modem 攻擊測試3.2. 第二步：系統分析、改善建議和應用測試（白箱測試）3.2

28、.1.方法論整個系統分析將對以下的幾個方向進行分析：對服務器的評估，主要包括：操作系統管理權限的不適當配置或缺省配置中存在的問題；第 20 頁 共 50 頁入侵檢測系統的放置和配置；防火墻系統的放置和配置；路由器和交換機配置分析；應用測試。.Unix服務器的分析方法UNIX 系統是一類比較復雜的多用戶、多任務的分布式操作系統。它有多種的系統漏洞將導致系統的安全威脅， 多種 UNIX 操作系統（包括 Sun、HP、SCOUnix、Compaq 、AIX、BSD、Linux 等）都有自己的安全問題。操作系統級的安全問題只能通過仔細的安全審核來發現，并且通過合適的打補丁等辦法來解決。在

29、整個項目過程中，我們使用下列方法來實現對 UNIX 服務器的安全分析：文件系統分析（權限、日志以及其他非必要的文件）進程分析（所跑的進程、啟動、日志等）配置分析（操作管理員、 Kernel 、啟動、審計）脆弱性分析（ overflows, 打補丁, 不安全的 symlinks/paths/umask ）對身份驗證方式以及服務器之間的 Trust 關系的審核. Windows NT / 2000 服務器的分析方法Windows NT 操作系統本身采用了一些安全功能以解決其安全問題，但是一些缺省的配置往往在安全問題上有所忽略。 而且，由于該類操作系統市場份額較大，且針對性的黑客攻擊手

30、段非常多。 因此，對Windows NT 操作系統的分析，第 21 頁 共 50 頁主要集中在對操作系統的誤配置以及其他被外界發現的系統漏洞。 我們將向用戶提供修改意見和其他安全行為指導。第 22 頁 共 50 頁4. 第二階段：解決方案在這階段，XXXX 上海分行將會得到我們對其業務系統進行評估后得到的結果，并根據上述結果和整個系統架構分析報告， 我們將一起共同制定整個 XXXX上海分行的安全策略并在架構設計上給出我們的意見， 以便將在業務發展的過程中可能潛在的安全威脅。4.1. 網絡架構分析4.1.1.網絡架構分析目標問題在銀行原有的業務系統中采用了多家集成商的產品以及多種網絡解決方案，在

31、用戶將這些產品和方案集中在一起的時候， 如何才能確信整個網絡系統是足夠安全和強壯的， 這個問題涉及到如何在已有的網絡和應用環境下， 建立一個有效的安全架構并為未來的網絡建設以及可能的新應用打下扎實的基礎？在前期對整個系統的網絡建設進行了足夠的安全分析且對關鍵的安全目標進行了深入的分析以后，我們將給出系統架構分析報告。解決方案在安全結構分析報告中， 我們將整合外界的資源以及兩家公司在該領域的經驗來和用戶一起分析現有的系統安全架構， 并向用戶提供可行有效的系統整改建第 23 頁 共 50 頁議。這是一個多家共同參與的過程且能夠在組織建設上向客戶提供合適的建議。4.1.2.方法論一旦參與架構分析的人

32、員能夠落實， 那么我們將采用下列的各種方法來確保我們的項目是順利實施的：目標分析；對現有架構的介紹；對可能的變化進行介紹；對已經發現的問題的介紹；制定系統問題表；制定商業目標表；對每項細節因素的分析；制定整改目標；發現的其他問題；架構修改計劃。4.1.3.成果2 天的系統架構分析 Workshop ；架構修改建議和觀察的問題報告；管理總結；管理層報告。第 24 頁 共 50 頁4.1.4.對客戶的要求為了便于該項目的順利進行，要求客戶提供以下的支持：相關技術人員能夠參與會議詳細的系統架構圖，包括：硬件、軟件和數據流圖。4.2. 制定安全策略制定一個整體安全策略的目的是在采用新的技術工具和實現現

33、有技術升級的基礎上的一個更高層次的安全手段， 正如我們一致認同的： 安全問題三分技術七分管理， 只有一個有效的安全管理策略和技術因素緊密結合在一起， 我們才能認為是一個整體安全解決方案。4.2.1.安全策略范圍整個安全咨詢過程中，我們將會：分析和評估 XXXX 上海分行的現有 IT 實踐行為；在前期工作的基礎上，對 XXXX 上海分行現有的主要資產以及相關的威脅進行一個整體評估；制定一個企業級的整體安全策略；對與安全相關的設備和服務器建立安全標準；向 XXXX 上海分行高層提交含上述內容的報告。4.2.2.成果企業級的整體安全策略；專項安全策略陳述，包括：第 25 頁 共 50 頁防火墻安全策

34、略；DMZ 安全策略；路由器/交換機安全策略；管理層的安全策略；關鍵服務器安全策略；Internet 服務器安全策略。4.2.3.方法論安全策略的目標是羅列出企業級安全策略各項內容， 同時將這些要求轉換成可行的安全文件，并促使相關部門安全這些文件要求來實現各項安全規劃。安全策略的方法是通過量化各種安全等級并且分析用戶的各項 IT 設備的潛在威脅。參與這項工作的人員在策略審核和設計方面都具有多年的經驗。 最終提交的安全策略是基于 BS7799-1999 對相關領域的知道意見的。另外，在該項項目中，我們得到了 ICSA 實驗室的技術支持，他們在安全設備（包括：防火墻、 IDS、防病毒、加密產品）上

35、的研究經驗（包括：行業標準、性能研究、風險測試）將很好的體現在我們的方案中。該階段的工作將會由一個啟動會議來啟動（包括：人員介紹、項目任務的闡述和分解以及信息收集等），另外關于 BBBBBB 專家在各階段點的階段性工作應該雙方有所約定。總而言之，整個計劃包括以下幾個步驟：為制定安全策略準備材料，包括信息收集、信息分析、討論關于將提交的安全策略中的目標和方向；第 26 頁 共 50 頁對企業資產及威脅的闡述，并對各種威脅進行解釋和評估；起草安全策略的草案供項目組成員和客戶高層審閱；做為評估的結果，準備最終安全策略報告；向用戶相關人員移交并解釋安全策略。.第一階段：企業級安全策略企業

36、級安全策略是在對客戶進行一個深入的高水平的評估后進行， 它對整個安全策略進行分別闡述。.1.安全策略范圍我們的安全策略將以以下的方式進行：定義用戶內部的計算機網絡系統以及 IT 資產的應用以及管理規范， 安全分析報告將包括企業內部的主要應用以及外部相關的應用；支持與 Internet 路由相關的鏈接以及基于 Web 的應用；提供物理環境的安全；提供人員安全的指導策略；提供系統管理員的安全策略；定義權限控制以及身份認證的目標；分別定義詳細的內部和外部人員的安全策略；制定備份安全策略。.2.安全分析在安全策略設計階段，我們主要完成以下的一些任務：對現有的所有與企業安全有

37、關部門的安全相關文件、策略進行審核；第 27 頁 共 50 頁對用戶所處商業環境中的安全威脅進行評估；將所有的發現集中體現在整體安全策略中。對文件的審核以及風險評估將用戶現有的安全情況， 均衡考慮安全保護和生產力的因素，并解決以下問題：識別用戶需要保護的對象；識別這些安全對象產生威脅的因素；提供企業級安全策略的基礎因素。整個安全策略主要包括以下內容：安全策略綜述；數據分類策略；物理安全策略；權限控制安全策略；數據安全策略；應用安全策略；網絡與通信安全策略；安全審計策略；安全事故反應。.3.對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持：所有早期的安全相關的材料，包括安全

38、審計報告以及安全事故記錄；所有和安全相關部門的人員，以便于交流；安排管理層的協商。第 28 頁 共 50 頁該步驟需要花費 11 個人日并且至少需要兩個安全專家介入。.第二階段：設備的安全策略基于對企業的前期安全審核以及第一階段的工作， 分析小組將制定用戶網絡中現有的網絡設備和網絡服務器的安全策略。 這項工作能夠協助用戶發現網絡系統中的漏洞并向用戶提交整改意見。.1.安全策略范圍對現有的網絡設備以及服務器的安全策略主要包括以下內容：路由器和交換機；防火墻和代理設置；DMZ 策略；Web 服務器（Internet/Intranet ），郵件服務器和文件服務器；關鍵業務

39、服務器；管理員工作站。.2.安全分析在安全策略設計階段，我們主要完成以下的一些任務：對所有已使用的文件和設置進行審核，同時會見 IT 人員和用戶；評估整個企業的安全風險；將發現的問題在安全策略建議書中陳列出來。詳細的策略陳述將包括：防火墻安全策略；DMZ 安全策略；第 29 頁 共 50 頁路由器/交換機安全策略；管理員工作站安全策略；關鍵業務服務器安全策略；Internet 服務器安全策略。.3.對用戶的要求為便于安全專家工作，用戶方要求提供以下的支持：已在使用的安全策略綜述；提供便利能夠直接審查安全設備和服務器；提供便利能夠直接審查安全設備和服務器的日志和報告；

40、審查網絡拓撲圖和 IT 架構文件。該步驟需要花費 11 個人日并且至少需要兩個安全專家介入。4.3. 整體安全實施方案第 30 頁 共 50 頁5. 保密原則由于系統安全服務的特殊性，我們將和用戶簽定保密協議（參見附件），我們在處理與用戶有關的數據時，遵循以下的原則：所有的數據收集以及分析工作將在項目經理的筆記本電腦內完成；該筆記本電腦內的數據將會是保密存放；一旦報告提交給用戶以后，所有的相關數據將會被銷毀。5.1. 文檔管理5.1.1.客戶數據文檔處理策略為了研究和分析的目的，我們會在項目進程中保留部分關于技術細節的數據，但是我們會遵循以下的原則：在相關處理完成以后，這些數據會被處理掉；一些

41、重要的數據， 在以后階段可能用到的 （如和產品提供商有關的信息） ，將在項目過程中被安全地保存；任何與客戶有關的數據信息將按期銷毀。5.1.2.用戶報告處理原則一旦用戶報告被提交且被用戶接受， 所有的與該項目有關的數據將根據用戶的意見封存或銷毀。第 31 頁 共 50 頁5.2. 客戶參考內容5.2.1.交叉參考所有與安全有關的發現，將存儲在我們自己的知識庫中，但是我們不會提到任何用戶名字所有與安全有關的發現將僅用作技術領域的交叉參考。在未得到用戶書面許可的，我們不會將用戶名字向任何第三方透露。第 32 頁 共 50 頁6. 項目團隊介紹6.1. 項目團隊架構XXXX 上海分行安全咨詢項目意義

42、深遠， 影響面大。AAAAAA 作為參選公司，深感責任重大。 把此項目立項為公司的最重大的項目， 選派公司銀行安全方面的專家，按照項目需求全力進行方案建議書的設計和編寫。假如 AAAAAA 能夠有幸成為該項目最終的合作伙伴， 為保證整個項目的成功實施， 將選派公司最優秀的項目管理和技術專家組成 “XXXX 上海分行安全咨詢項目組” 配合 XXXX 全力參與項目的整體工作。并且有信心保證整體項目的成功實施。鑒于本次項目實施的技術難度以及國內外實施類似項目較大的技術差距， 我們特別邀請了 BBBBBB 公司（原 ICSA）的海外資深專家參與該項目， 為本項目的實施過程中的某些技術難點提供知識庫支持、遠程和部分現場技術實施支持。本次項目的工作重點主要是針對 XXXX 網絡特點和管理需要做出一份出色的安全咨詢規劃。 AAAAAA 計劃在該項目中投入以下技術力量，保證項目的按時、保質地完成：* 項目總監 1 名* 項目經理 1 名* 項目實施人員 4 名* 項目聯絡員 1 名本次格爾項目總監計劃由 AAAAAA 常務副總經理擔任，多名有兩年以上的網絡安全集成、咨詢以及項目監理經驗，參與中國農業銀行上海分行（ S219 項第 33 頁 共 50 頁目）、國家某重點安全部門等項目的技術人員承擔：安全評估、架構審核、制定解決方案、