第一章網絡安全現狀與問題

1.1目前安全解決方案的盲目性

現在有很多公司提供各種各樣的網絡安全解決方案，涉及加密、身份

認證、防病毒、防黑客等各個方面，每種解決方案都強調所論述方面

面臨威脅的嚴重性，自己在此方面的卓越性，但對于用戶來說這些方

面是否真正是自己的薄弱之處，會導致多大的損失，如何評估，投入

多大可以滿足規定，相應這些問題應當采用什麼措施，這些用戶真正

關心的問題卻很少有人提及。

1.2網絡安全規劃上的滯后

網絡在面對目前越來越復雜的非法入侵、內部犯罪、惡意代碼、病毒威脅等

行為時，往往是頭痛醫頭、腳痛醫腳，面對層出不窮的安全問題，疲于奔命，再加

上各種各樣的安全產品與安全服務，使用戶摸不著頭腦，沒有清楚的思緒，其因

素是由于沒有一套完整的安全體系，不能從整體上有所把握。

在目前網絡業務系統向交易手段模塊化、經紀業務平臺化與總部集中監控的

趨勢下，安全規劃顯然未跟上網絡管理方式發展的趨勢。

第二章網絡動態安全防范體系

用戶目前接受的安全策略建議普遍存在著“以偏蓋全”的現象，它們過度強調了某個方

面的重要性，而忽略了安全構件（產品）之間的關系。因此在客戶化的、可操作的安全策略

基礎上，需要構建一個具有全局觀的、多層次的、組件億的安全防御體系。它應涉及網絡邊

界、網絡基礎、核心業務和桌面等多個層面，涵蓋路由器、互換機、防火墻、接入服務器、

數據庫、操作系統、DNS.WWW.MAIL及其它應用系統。

靜態的安全產品不也許解次動態的安全問題，應當使之客戶化、可定義、可管理。無論

靜態或動態（可管理）安全產品，簡樸的疊加并不是有效的防御措施，應當規定安全產品構

件之間可以互相聯動，以便實現安全資源的集中管理、統一審計、信息共享。

目前黑客襲擊的方式具有高技巧性、分散性、隨機性和局部連續性的特點，因此即使是

多層面的安全防御體系，假如是靜態的，也無法抵御來自外部和內部的襲擊，只有將眾多

的襲擊手法進行搜集、歸類、分析、消化、綜合，將其體系化，才有也許使防御系統與之相

匹配、相耦合，以自動適應襲擊的變化，從而形成動態的安全防御體系。

網絡的安全是一個動態的概念。網絡的動態安全模型可以提供應用戶更完整、更合理的安全

機制，全網動態安全體系可由下面的公式概括：

網絡安全=風險分析+制定策略+防御系統+安全管理+安全服務

動態安全模型，如圖所示。

動態安全體系

從安全體系的可實行、動態性角度，動態安全體系的設計充足考慮到風險評估、安全策

略的制定、防御系統、安全管理、安全服務支持體系等各個方面，并且考慮到各個部分之間

的動態關系與依賴性。

進行風險評估和提出安全需求是制定網絡安全策略的依據。風險分析（又

稱風險評估、風險管理），是指擬定網絡資產的安全威脅和脆弱性、并估計也許

由此導致的損失或影響的過程。風險分析有兩種基本方法：定性分析和定量分

析。在制定網絡安全策略的時候，要從全局進行考慮，基于風險分析的結果進行

決策，建議公司究竟是加大投入，采用更強有力的保護措施，還是容忍一些小

的損失而不采用措施。因此，采用科學的風險分析方法對公司的網絡進行風險分

析是非常關鍵的。

一旦擬定有關的安全規定，下一步應是制定及實行安全策略，來保證把風險

控制在可接受的范圍之內。安全策略的制定，可以依據相關的國內外標準或行業

標準，也可以自己設計。有很多方法可以用于制定安全策略，但是，并不是每一

組安全策略都合用于每個信息系統或環境，或是所有類型的公司。安全策略的制

定，要針對不同的網絡應用、不同的安全環境、不同的安全目的而量身定制，各

公司應當按照自己的規定，選擇合適的安全體系規劃網絡的安全。制定自己的安

全策略應考慮以下三點內容：（1）評估風險。（2）公司與合作伙伴、供應商及服

務提供者共同遵守的法律、法令、規例及合約條文。（3）公司為網絡安全運作所

訂立的原則、目的及信息解決的規定。

安全管理貫穿在安全的各個層次實行。實踐一再告訴人們僅有安全技術防范,

而無嚴格的安全管理體系相配套，是難以保障網絡系統安全的。必須制定一系列

安全管理制度，對安全技術和安全設施進行管理。從全局管理角度來看，要制定

全局的安全管理策略：從技術管理角度來看，要實現安全的配置和管理；從人員

管理角度來看，要實現統一的用戶角色劃分策略，制定一系列的管理規范。實現

安全管理應遵循以下幾個原則：可操作性原則；全局性原則；動態性原則；管理

與技術的有機結合；責權分明原則；分權制約原則；安全管理的制度化。

第三章動態風險分析

根據木桶原理，木桶所能容納水的多少是由木桶壁中最短那塊木頭決定的,

同樣，一個網絡系統中最重要的威脅是由最薄弱的安全漏洞決定的，往往解決最

重要的安全問題可以使系統的安全性有很大提高。

動態風險分析重要解決的問題就是系統的從錯綜復雜的用戶環境中找出被

評估系統中的薄弱之處，評估發生此類問題導致的損失，提供最佳的解決方案,

使用戶清楚的知道被評估系統中面臨的威脅是什麼，最重要的問題是什麼，避免

在網絡安全面的盲目性，獲得最佳的投資效費比。如下圖所示

定義問題的范圍要有什么信息及為什么？

「

定義公司的安全策略把公司的信息資產重新估價

把問題的關切限度順序集總

進行風險評估

找出有什么威脅

弄清楚公司的網絡配置

找出有那些漏洞

順序選出要實行的保障措施

是舌能接受所余下的風險

3.1定義范圍

?動態安全風險分析的第一步就是要擬定被保護系統的范圍，即擬定我

們有什么資源、要保護什么資源，如：

信息發布系統，WWW系統等。

辦公系統，如Email系統、總部及分部辦公系統等。

另一方面是要定義用戶對選定資源中各系統的關切順序，不同系統遭

受破壞后帶來的損失是不同樣的，如交易系統中的交易服務器的重要限度

應是最高的。

3.2威脅評估與分析

擬定了風險管理范圍后，在充足分析系統現狀的基礎上，一方面進一

步分析也許存在的安全威脅，及其傳播途徑，另一方面通過對網絡、

系統等各個環節的脆弱性分析，驗證這些威脅對系統的危害限度,找

出重要安全問題。

3.2.1現狀調查與分析

現狀調查是風險管理的基礎，根據用戶的總體規定對用戶環境和安全現狀

進行全面和細致的調查，可以準確理解用戶安全需求。

下一步進行的威脅分析及脆弱性分析將針對用戶環境中的網絡系統、服務器系

統、應用系統以及數據系統等展開安全分析工作，因此用戶現狀調查也必須針對

這些方面進行。用戶現狀調查的重要內容如下圖所示。

麻件知網絡運縉調杏

悔作無話湄本

用

由田東綠調杏

戶

現

狀防水他w綠涮杏

調

查

卻提而東緯調杏

R1由甘仙心仝和技

田內鈿*淵杏H德

?最后生成用戶現狀調查總結是對用戶現狀調查過程的總結報告。它總結性描

述我公司對用戶現狀及用戶系統安全性的大約印象。涉及以下內容：

?用戶環境中各個設備及所含系統的大體情況，重要針對與安全漏洞有關的項

目。

?用戶對安全策略的規定。

?對用戶系統安全性的初步分析。

3.2.2面臨威脅種類

＞由于政府業是個開放化、社會化的行業，其信息系統由封閉式系統逐步

轉向開放式系統，勢必存在著諸多不安全風險因素，重要涉及：

＞系統錯誤

＞重要涉及系統設計缺陷、系統配置管理問題等，如操作系統漏洞、用戶

名管理問題，弱身份認證機制等；

＞內部人員作案

＞個別政府職工運用自己掌握的內部系統或數據信息，從事非法挪用資

金、破壞系統等活動；

＞黑客襲擊

黑客重要運用分部工作站、電話、互聯網等設備進行非法網絡或查看、復制、

修改數據，常見襲擊手法有：

后門

由于設計、維護或者黑客的襲擊而產生的計算機系統的一個安全漏洞，通過它一

個隱藏的軟件或硬件工具可以繞過安全系統的控制進行信息訪問。

緩沖區溢出

大量的數據進入程序堆棧，導致返回地址被破壞，惡意準備的數據可以導致系統

故障或者非授權訪問的產生。

口令破解

通過工具對加密密碼進行破解的方法，系統管理員也可用來評估系統用戶密碼

的健壯性。

網絡監聽

通過監聽網絡上的數據包，來獲取有關信息的行為，常見于以太網中。黑客可以

使用它捕獲用戶名和密碼，同時也被網絡管理人員用來發現網絡故障。

欺騙

出于一種有預謀的動機，假裝成IP網絡上另一個人或另一臺機器，以便進

行非法訪問。常見的欺騙有以下幾種：

DNS欺騙

冒充其他系統的DNS,提供虛假的IP地址和名字之間的解析。

路由欺騙

向其它路由器提供虛假的路由，導致網絡不能正常訪問或者信息的泄露。

IP劫持

未經授權的用戶友通過授權的會話（TCP連接）的襲擊行為，使該用戶以一個

已經通過授權的用戶角色出現，完畢非授權訪問。

IP地址盜用

非法使用未分派給自己的IP地址進行的網絡活動。

擊鍵監視

記錄用戶的每一次擊鍵和信息系統反饋給用戶的每一個字符的活動。

跳躍式襲擊

通過非法獲得的未授權訪問，從一個被襲擊的主機上進行危及另一個主機安全

的活動。

惡意郵件

一種針對開放系統的具有惡意數據的電子郵件，假如打開郵件，就會對系統產生

破壞或導致信息的泄露。

邏輯炸彈

故意被包含在一個系統中的軟件、硬件或固件中，看起來無害，當其被執行時,

將引發未授權的收集、運用、篡改或破壞數據的行為，如特洛伊木馬。

根工具包(Rootkit)

一種黑客工具集合，可以截獲被入侵計算機上傳送的信息、掩飾系統已被入侵的

事實或提供后門等。

拒絕服務

一種通過網絡來阻止一個信息系統的部分或所有功能正常工作的行為，常

見的拒絕服務如下。

郵件炸彈

發送給單個系統或人的大量的電子郵件，阻塞或者破壞接受系統。

ICMP包泛濫襲擊(IPSmurf)

襲擊者運用偽造的源IP地址，頻繁地向網絡上的廣播地址發送無用的ICMP

數據包，導致網絡上流量的增大，從而妨礙了正常的網絡服務。

數據擁塞(Spam)

通過輸入過度大的數據使得固定網站緩沖區溢出，從而破環程序。或是，將

一些無用的或不相關的信息灌入到某個人或某個新聞組的信箱內，使其數據溢

出。

TCP連接擁塞(SYNFlood)

大量的TCPSYN數據包擁塞被襲擊機器，導致無法建立新的連接。

蠕蟲

能在因特網上進行自我復制和擴散的一種計算機程序，它極大地花費網絡資源,

導致拒絕服務。

撥號服務查找器(WildDialer)

通過MODEM撥號，在電話網中搜尋能提供MODEM撥號服務的系統的工具。

網絡掃描

>一種通過發送網絡信息，獲得其它網絡連接狀態的行為。

>病毒

將自身連接到可執行文獻、驅動程序或文獻模板上，從而感染目的主機或文獻的

可自我復制、自我傳播的程序

3.2.3威脅產生途徑

＞面對上述種種威脅，假如逐個分析每種威脅，就會陷入舍本逐末的工作

中而無法自拔，對系統的安全建設沒有實際指導意義，我們應將重點集

中在也許發生的威脅及它將如何發生這兩個問題上來。先來分析威脅發

生的途徑，針對網絡系統，其重要面對來自兩方面的威脅：

＞來自周邊系統的威脅

?政府信息系統在由封閉式系統逐步轉向開放式系統的過程中，與外界的接

口也在不斷增多，由本來只與總部接口逐漸擴大到與電信接口、銀行接口、

與Internet接口等，在帶來業務上發展同時，也帶來也許遭受襲擊的途徑,

涉及：

?來自公司其他部門的危險因素

?來自InterneL的危險因素

即有多少接口就有多少威脅發生的途徑。

＞來自內部的威脅

通過對網絡已有犯罪案例的分析可以發現，內部犯罪一直以其嚴重的危害性與

相對較高的成功機率給網絡帶來巨大損失，其威脅途徑基本是：

來自本地網的內部威脅

指從本地一臺主機通過內部網對本地另一臺主機的襲擊。

?來自本地系統的內部威脅

指直接對主機的非法行為，如侵襲者通過磁盤拷貝、電子郵件等

盜竊主機上的機密數據。

3.2.4脆弱性分析

?在分析了威脅發生的途徑后，就需要驗證也許發生的威脅在系統上是否存在

在這些方面的薄弱環節，有也許使惡意行為通過這些方法得逞。對系統的脆

弱性評估應從以下三個角度進行：

?系統角度：采用系統分析工具對選定系統的分析；

內網角度：采用漏洞掃描工具從內部網絡進行掃描，采用滲透性測

試，模擬已進入內網的非法行為進行安全性測試；

外網角度：從外部對系統進行掃描及滲透性測試，如從Internet發起

測試。

3.3損失分析

風險事故導致的損失大小要從三個方面來衡量：損失性質、損失范圍和損失

時間分布。

損失性質指損失是屬于公司品牌性質的、經濟性的還是技術性的。損

失范圍涉及：嚴重限度、分布情況。時間分布指損失的時間范圍，即

遭受損失后可以在多長的時間內恢復回來。

對于損失的嚴重限度，可以采用定量評估的方式進行財產估價，針對

業務系統的財產估價，重要通過估算每日平均交易額、分部開戶數、

分部平均開戶金額等幾個方面估價。

3.4風險評價

i.上述工作是對各部分威脅逐個分析，而在風險評價階段重要考慮單

個風險綜合起來的效果，及風險是否能被用戶接受。重要工作分三

步：

ii.擬定風險評價基準。指用戶對每一種風險后果的可接受水平，單個風

險和整體風險都要擬定評價基準。

擬定整體風險水平，它是綜合了所有個別風險后擬定的。

將單個風風險級別說明

險與單個

評價基準、

整體風險

水平與整

體評價基

準對比，擬

定風險是

否在可接

受范圍內，

進而擬定

下一步應

當進行的

工作。

由于威脅

的限度很

難用品體

數字來表

達，而為了

盡也許明

晰風險限

度，我們采

用下述風

險評級的

方式進行

標記：

風險評級

極高5極有也許出問題

很高4很有也許出問題

高3有也許出問題

一般2不會出大問題

低1基本不會出問題

3.5建議方案

＞對于發現的風險，一般有三種策略去解決它，具體選擇哪一種取決于面臨的

風險形勢：

＞接受風險

＞評估后用戶認為風險事件導致的損失在可容忍的范圍之內，可以把風險事件

的不利后果接受下來。或有良好的組織管理及應急計劃管理，當風險事件發

生時可以立即執行應急計劃。

＞減少風險

＞減少風險發生的也許性或減少后果導致的不利影響，具體要達成的目的及采

用的措施要根據上述分析結果中發現的問題及用戶的盼望來定。

＞轉移風險

即外包的方式，借用協議或協議，在風險事故發生時將損失i部分轉移到第三方,

一般在用戶資源有限，不能實行減少風險策略時采用。

第四章網絡安全策略

安全策略是整體安全策略應包含三個層面：人、技術和行動。

4.1與人相關的安全策略

?培訓

?針對具體崗位的知識需求開展基于角色的網絡安全知識與技能培訓。培

訓的投資回報比極高(R.O.I=211:1)o(R.O.I=returnoninvestment,數據

來源于2023年CSI會議論文)

?意識培養

培養全體工作人員以及用戶的安全意識與自我保護水平(R.O.I=872:l)。

?人事安全

?定義工作崗位、合理分派資源，減少內皆襲擊事件發生的也許性。

?物理安全

?物理安全較早便己引起了人們的關注，但實踐表白，信息時代，物理安

全恰恰是信息系統安全中最容易被忽視然而卻會導致巨大損失的環節。

?安全管理

要加強網絡和信息安全管理，涉及規章制度和操作流程的制定、相關

法律法規的普及以及安全組織結構的建立。

4.2與“技術”相關的安全策略

?網絡可用性的保護

?在信息安全的三大屬性（保密性、完整性、可用性）中，安全需求重要

體現為可用性需求。因此，在“技術”的層面上，一方面要保證網絡可

用。

?接入保護

?接入訪問用戶是網絡一個重要的業務，俁障接入的安全性也是網絡安全

工作的重點。

?行業標準的遵循

?行業標準作為技術性法規，是網絡安全三常操作和工程實行的依據，作

為生產任務重、執行上級頒布的政府部門來說，更好地理解行業標準,

并準確而有效地遵循，是非常重要的。

?系統采購

?系統采購對安全工作的成敗影響很大，在許多方面直接影響安全工作。

?認證與授權

認證與授權是實現網絡行為可信、有序的基礎，也是網絡安全的前

提。因此，除要在用戶接入時實行認證技術外，還應注意內部工作人

員行為的授權以及與外界交流活動中的認證和授權。

4.3與“行動”相關的策略

?防護

?應根據資產風險級別進行等級防護，并擬定安全策略的執行順序，有效

地進行投資。

?監控

?加強安全監控，提高風險管理能力，掌握網絡狀態，將安全事故控制在

初期或一定規模之下。

?響應和恢復

逐步建立完善的應急響應體系，將安全事故的損失減小到最小。在安全建設的初

期，可以將大部分專業安全服務外包，但應逐步形成自己的應急響應力量。

第五章縱深防御體系

安全不管襲擊和防守總體來說都是過程。安全的成功與否關鍵在于我門對過程的

把握。在這個過程中我們的防御層數越多，對網絡資源進行未授權訪問的難度就

越大c這一戰略通過提洪冗余防御層來保訐安全性，在某一層?或者在某些情況

下多個層-被攻破時，冗余的防御層可以對資源進行保護。

縱

邊界安全深

防

平臺安全御

網絡平臺安全體

系統平臺安全系

業務安全

5.1邊界安全

邊界：我們保護的系統和外界接口部分。

在我們防護的范圍的邊界，是整個防護過程的開始。也是我們要防護的第一

個塹壕。如何把守這個塹壕，

分為以下幾個重點：從也許接觸到系統的幾個途徑來分析。

5.1.1邊界接入網絡設備安全(router,firewall)

關注對流入和流出一個邊界的數據進行有效的控制和監視。邊界保護重要體現在

對路由互換設備的保護以及防火墻系統的設立。在邊界保護中重要采用的技術可

以通過路由器和互換機上的各種策略配置實現，對于路由淵可以采用關閉各種

不必要的服務和增長ACL的方式，對互換機采用配置虛擬局域網的方式。假如

考慮對邊界點的進一步防范的能力，還需要采用防火墻和入侵監測的輔助設備。

5.1.2邊界主機設備

接入邊界設備的途徑：身份認證。

5.1.3邊界信息點的安全。

信息點的安全。

5.2平臺安全

應用是搭建在平臺上的，因此平臺是我門要保護的的第二個塹壕。平

臺總體上分網絡，系統平臺。

5.2.1網絡平臺的安全

1.安全網絡環境建設原則：

2.對原由系統平滑改造，不對原系統導致影響.

3.采用不同等級的安全區域隔離方式。

對不同等級間的網絡連接采用中間件（或防火墻）互聯，并加入審計

功能。

對接入網絡和核心網絡進行安全監視。內部網，（vlan劃分，router、switch設

立，及其自身的安全）

522系統平臺

保障各種應用服務和操作系統的可用性和安全性。

?采用最小權限原則啟動服務。

?配置各類應用服務自身的安全屬性，及時升級各類應用服務的安全補

To

?適當考慮負載均衡措施。

?制定標準的各類操作系統安裝與初始化配置流程

?制定應用軟件的安裝、升級與卸載規范

?按權限等級劃分不同用戶組，并嚴格控制目錄及文獻的權限

?及時安裝系統補丁和應用程序補丁

?配置操作系統日記功能，并做好日記的記錄分析和安全備份

?制定服務器和網絡設備的遠程控制規范

?l)windows系歹ll,Novell系歹U,Linux系歹lj

?參照WindowsNT和Windows2023系統的標準安全配置方案。

?參照Novell系統的標準安全配置方案

?參照Linux系統的標準安全配置方案

2)sqlserver和orcale自身的安全

參照MsSQLserver,ORECAL數據庫標準安全配置方案

5.2.3業務系統開發的安全

?業務開發安全規范

定制相應的軟件開發項目管理制度如：

《軟件階段評審報告》

《軟件測試記錄單》

《軟件變更記錄單》

《軟件產品升級意見單》

《應用業務上網操作規范》

安全的開發程序===培訓

?業務開發的安全性測試

不管是外購軟件還是自編軟件，我們都要對其進行驗收安全測試，采用的方

法，業務應用完畢后，搭建模擬環境，進行安全外圍測試。

自編軟件源代碼級安全風險分析和安全測試

第六章安全管理保障體系

實踐一再告訴人們僅有安全技術防范，而無嚴格的安全管理制度相配套，是難以

保障系統安全的。我們必須通過制訂完善的安全管理制度并且運用最新的信息安

全技術對整個網絡系統進行安全管理C

安全保障管理系統

本管理體系將分為三層結構：安全手冊（框架）、運作程序文獻（涉及作業指導

書）、操作表單（記錄下層文獻直接支撐上層文獻。

6.1安全管理組織架構

在網絡總部設立安全管理專職機構安全管理部（組），設立安全管理專門

負責人安全總監，以負責對公司安全進行統一管理（當然也涉及網上交易

的安全管理）。在全國各個分部的電腦部設立安全專員，受安全管理部垂直領導,

負責分部平常安全管理工作，負責保持與總部的聯系。

＞安全管理部具有以下職能：

＞安全資源管理

＞對各種軟硬件安全資源（涉及人員）統一管理，涉及購置、登錄、保管（涉

及異地備份）、標記、分類、分級等。

＞安全監察評估

＞不定期/定期（月末）督查、測試和評估公司安全狀況（技術和管理兩方面），

發現問題予以解決。

＞安全事件響應

＞對公司發生的各種安全事件迅速響應，搶修恢復，調查事故因素，劃分責任,

撰寫事故調查分析報告，采用糾正和防止措施，收集證據，為處罰或起訴提

供客觀依據。

＞安全管理體系維護

對公司安全管理體系的動態變更進行操作和管理。

＞安全設施維修

對公司安全設施（重要是通訊線路、服務器、防火墻等硬件）進行定期檢修、

保養。

＞安仝課程培訓

組織和協調對新、老員工定期開展公司基本安全知識、技術、上崗技能等方

面的培訓、考核。

＞制訂安全策略

＞協助安全總監制訂公司安全策略，定義公司的安全事件和審計事件的種類和

級別。

＞業界安全動態跟蹤

對網絡的安全技術和管理方面的最新發展狀況進行關注和跟蹤，為更新和

增強公司的安全策略提供建議。

＞安全總監的職責：

＞制訂安仝戰略

＞負責制訂公司安全戰略和安全策略，推動公司實行安全策略，對公司安全負

責。

＞監控安全管理體系

主持建立、運作和保持安全管理體系工作。

＞報告公司安全狀況

＞定期以書面報告向總經理報告公司安全狀況，并提出相應問題解決方案。

＞解決最大安全事故

＞主持解決公司重大安全事故，并解決與客戶的安全糾紛。

＞跟蹤信息安全的最新進展

保持對外聯絡和協調工作，跟蹤信息安全的最新進展，適時向公司總經理提出提

高公司安全的方案或建議。

6.2安全管理體系運營管理

公司對安全管理體系的執行情況需要進行定期監督審核，保證體系運營的有效

性，重要分為三個層次的活動。

1.每月的安全督查

由安全管埋部經埋主持，由安全管埋部組織實行，作為平常監督活動，重要

以詢問和查看記錄為主，最后出具督查報告。

2.每季的安全審核

由安全總監主持，組織專門人員成立審核組，事先發放審核計劃，準備書面

檢查表，逐個部門進行審核。審核結果必須獲得部門經理的認可。最后形成審核

報告，經安全總監審批后予以發放。

3.每年的安全會議

由總經理主持，安全總監組織策劃，安全管理部負責會議記錄，會議出席對象是

總部部門經理、分部總經理以及電腦部經理。會議對公司安全管理體系的年度執

行情況進行報告，評估，提出問題和對策。會議最后形成年度安全報告，經總經

埋審批后予以發放

6.3安全技術管理

為了能使網絡對整個網絡安全狀況有一個全局性把握，我們建議用

戶建立集中的安全技術管理體系，重要涉及以下兩方面內容：

6.3.1分布式部署、分級管理、與集中監控

所謂分級管理，是從縱向上加強總部的集中監控能力，并保持各分部一

定的靈活性，即在總部設立整個網絡的安全管理中心，在各分部設立安全管理子

控制中心，由總部制定全局安全策略，制定能由計算機、路由器等設備實行的安

全措施的規則和約束，不能由計算機等自動實行的安全策略由安全管理制度等

手段實行。分部在總部統一安全策略的指導下，實行符合本地特點的局部可執行

安全策略，即分布在各端系統、中繼系統和應用系統中的安全策略，從而做到牽

一發而動全身的目的。

分布式部署，指網絡為減少風險，在整個公司所采用的安全措施與安全產品,

可以在公司總部統一策略管理下，分布部署在各分部。

集中監控，是指分部本地的安全策略與安全狀況監控集中在分部安全控制中

心，所有分部的安全策略與安全狀況監控集中在總部安全管理中心。

6.3.2各管理層面的安全資源管理平臺

所謂安全資源管理平臺是在橫向上加強對安全產品及措施的管理與互動分

析，以便于制定統一的安全策略與安全情況的深度分析，由于網絡安全涉及加

密、認證、防病毒、防黑客等多個層面，所以總部與分部的安全管理中心，應搭

建一個管理平臺，覆蓋防黑客、病毒、私密系統