银行整体安全服务项目书.doc

《银行整体安全服务项目书.doc》由会员分享，可在线阅读，更多相关《银行整体安全服务项目书.doc（35页珍藏版）》请在三一办公上搜索。

1、银行整体安全服务项目书目录1.公司介绍41.1.XX公司51.2.B公司52.信息安全风险及银行业面临的挑战62.1.信息安全的现状62.2.国内企业信息安全方面的问题72.3.银行和金融服务机构的安全挑战72.4.安全服务项目所涉及的任务83.XX银行上海分行整体安全服务介绍104.第一阶段：风险评估114.1.第一步：边界审核和远程测试（黑箱测试）124.1.1.方法论124.1.2.信息收集124.1.3.网络结构分析134.1.4.情景分析134.1.5.模拟攻击134.2.第二步：系统分析、改善建议和应用测试（白箱测试）194.2.1.方法论195.第二阶段：解决方案215.1.网络

2、架构分析215.1.1.网络架构分析目标215.1.2.方法论215.1.3.成果225.1.4.对客户的要求225.2.制定安全策略225.2.1.安全策略范围225.2.2.成果235.2.3.方法论235.3.整体安全实施方案266.保密原则276.1.文档管理276.1.1.客户数据文档处理策略276.1.2.用户报告处理原则276.2.客户参考内容276.2.1.交叉参考277.项目团队介绍297.1.项目团队架构297.2.项目人员情况表318.项目合作形式及合作内容329.项目时间表、工作量和项目费用339.1.项目时间表339.2.工作量估计339.3.项目费用3310.成功案

3、例3511.附件3611.1.测试工具3611.2.部分用户和合作伙伴的反馈意见371. 公司介绍XX公司是目前国内领先的安全方案供应商和安全服务提供商。在国家863信息安全专项工程金融安全子项目（合作方为XX分行）以及某国家关键部门的安全集成和后期延续性服务项目实施的过程中XX公司积累了大量的安全集成和安全服务经验。同时，在上述的整体安全项目的后续服务过程中，我们也发现在目前的国内金融系统的整体安全服务领域我们与国际主流安全服务商之间的差距，因此在XX银行上海分行的项目中，我们将和业界公认的领先者B公司合作，将国际领先的B企业级安全服务首次引入中国。B公司则是国际领先的信息安全服务公司，致力

4、于为改善国际企业和金融机构的信息安全。B（亚太）的用户包括亚洲著名的银行、银行交易机构、企业用户和外包服务供应商（参见成功案例）。在本项目中，易虹天地公司是B公司亚太区的总代理和分支业务机构，负责向亚太用户推广和实施 B 服务。XX公司与B公司的合作，旨在结合XX公司对国内金融行业业务系统现状、政策的了解，以及B公司在高级信息安全专业服务方面专业化和强大技术实力（ICSA.Lab）的优势，向中国用户提供全面而高水平的服务，增强国内银行和金融企业应对信息安全问题的能力，改变国内信息安全，尤其是安全管理较为落后的局面。通过与XX银行上海分行的前期交流，我们了解到，XX银行对自身的安全问题有一个较为

5、清晰的认识，对整体业务安全和系统稳定性、安全性等方面有一定需求，希望寻求相关公司提供解决方案，对包括业务系统在内的整体安全状况进行评估和测试。在此情况下，我们希望能够与XX银行上海分行一起，针对上述问题，实施整体安全服务。在对XX银行实施整体安全服务的过程中，我们将严格参照ISO 17799 (信息安全管理实施规范)的规范进行实施。同时，我们还参照包括香港金融机构的电子银行服务安全风险管理指南和国际结算银行的电子银行风险管理规范中的相关内容。鉴于国内外安全管理方面的不同发展进程，我们将尽量结合国内用户的实际情况，有选择地采用国外银行业安全实践XX银行之有效的安全标准和安全措施。1.1. XX公

6、司XX公司前身是上海XX有限公司，成立于vv年3月。 XX致力于推动我国信息产业的发展，利用联合的优势，自主开发信息安全软件，产品覆盖电子商务安全、金融银行安全、安全电子邮件、企业网络安全和IC应用卡等领域，并针对用户的实际要求，提供全方位、多层次的安全解决方案，并给出有效的安全咨询意见。成立至今的两年多的时间里，XX投入大量资金、人力，为维护企业网络安全、建立一个安全的可信赖的安全电子商务环境做出了大量的科研开发工作，填补了国内在信息安全领域多项空白，并已和政府、企业、银行、银行和ICP领域开展了多方位的合作，取得良好的社会与经济效益。1.2. B公司 B公司作为国际互连网安全领域的领导者，

7、其安全服务用户对象包括数百家大型公司和政府。其中：B为美国联邦储蓄和保险集团的检查人员提供长期的培训服务，美国证监会采用B的方法和认证作为在线交易的有效性和安全性的参考依据。在香港，B公司协助香港生产力促进局提高全港用户对网络安全问题的意识，同时作为香港金融管理局认同的安全服务提供商，B为协助香港金融管理局制定电子银行安全管理规范提供咨询意见并提供相关服务。同时B也是香港计算机网络应急处理协调中心顾问委员会的重要成员。B（香港）在香港金融管理局的安全规范指导下，为金融客户提供的服务内容包括：安全策略制定和实施、物理安全检测、安全风险控制、安全预警、阶段性评估、安全漏洞检测和记录、系统与网络安全

8、（含网络设备检查）、强身份认证和数据保密性分析。2. 信息安全风险及银行业面临的挑战2.1. 信息安全的现状信息安全是涉及计算机、网络技术、通信技术、密码技术、企业管理和社会工程的综合科学。旨在保护信息和相关应用系统的保密性、完整性和可用性。随着新技术的发展和普及，企业的业务活动越来越多地依赖更加复杂的计算机设备和通讯手段来完成，安全风险随之增加。无论是包括银行、保险、电信等行业在内的敏感企业，还是普通的制造和商业企业，都已经认识到了信息安全的重要性。尽管如此，信息安全方面的专业调查仍然向我们展示了一些令人震惊的结果：l 60%的企业机构可能受到拒绝服务类攻击。l 80%的用户不知道自己的网络

9、系统究竟提供了哪些服务，其中哪些可以从外部通过 Internet 访问。l 80%的企业不具备完备的安全政策。l 70%配备了防火墙的站点依然无法防范已知的攻击手段。上述现象的存在，主要由于企业的安全管理意识不强，安全管理手段欠佳造成的。大部企业虽然在安全方面有所认识，并采取了相应的安全手段，却不能很好地将安全问题提高到企业的业务战略的高度加以考虑。因此，在安全项目的实施中，常常会因为缺乏对安全工作的重视或认为安全工作必须服务于业务系统而进行妥协，在应用系统中埋下案例隐患。另外，企业在实施安全项目时，经常将安全工作简单地理解为采购大量软硬件设备，严格控制用户访问的过程，这显然不是正确的安全观点

10、。实践证明，信息安全的重点是管理，而非技术。企业必须认真地分析自身的业务需求，并据此制定相应的安全战略；在它的指导下，建立和健全安全管理体系，规范业务活动和操作流程，提高安全防范意识，实施技术保障手段和应急措施，最终有效地保证企业的信息安全，降低运营风险。2.2. 国内企业信息安全方面的问题国内企业在信息安全方面必须解决的问题包括：a) 缺乏完善的信息安全法规和特定行业的安全标准，使企业在实施信息安全项目时存在较大的盲目性。b) 国内市场上的安全技术、安全产品和安全服务严重滞后，无法满足企业的信息安全要求，也不能帮助国内企业应对国外最新发现的安全风险。c) 安全厂商、服务商和企业用户对信息安全

11、的风险、防范手段和安全技术缺乏系统研究，无法针对企业的需求，形成全面的信息安全战略。d) 企业信息安全项目的实施没有列入企业的战略高度，不能与企业的业务目标很好地统一。e) 企业用户普遍缺乏针对信息安全问题的紧急响应能力，无法及时发现隐患，阻止攻击、滥用等安全问题的出现。2.3. 银行和金融服务机构的安全挑战信息是银行和金融服务机构最重要的财富。如何保障信息资产的完整性、保密性和可用性，并允许用户以适当的方式对其进行便利的访问，已经成为一个日益突出的商业问题。在传统应用向Internet 应用发展的进程中，银行和金融企业面临的内外部风险不断增加，形成包括拒绝服务、数据修改、计算机欺诈、人为破坏

12、、计算机病毒及其它潜在的安全问题和隐患。这种情况下，如何制订完善的企业安全战略，综合运用包括物理和电子手段在内的安全措施，对交易信息、资产和客户资料进行保护，具有非常重要的意义。银行的金融系统主要运行于分行网络、内部设施 、Internet、专网和虚拟专网等复杂环境，应用系统包括包括网上支付、网上银行、电子清算等。其中的每一个环节，无论是金融交易，还是金融系统或网络环境等，都是高度复杂的。这种复杂性本身就是一种重大的风险因素，如果不能有效地管理和把握，势必威胁企业的信息安全。多数金融企业对信息安全的认识仍有待于提高。一方面，部分企业对于安全战略的制订和实施缺乏紧迫感，直到出现安全问题，造成危害

13、，才去亡羊补牢；另一方面，在已经建立和实施了信息安全机制的企业中，多数企业还单纯寄希望于高技术手段的采购和实施，对安全管理的改善缺乏投入，安全管理严重滞后于技术采购，既不能发挥现有安全机制的作用，也不能消除多种安全技术并存时产生的种种安全漏洞。针对上述情况，银行和金融企业的安全工作应该从分析企业的业务模式和与业务相关的信息安全风险入手，由安全专家与银行的高层管理人员一起，审查银行的业务目标、安全战略和安全架构，制定出行之有效的安全战略，才通过适当安全技术的采用而加以实施；之后，还要对可能存在安全风险的地方，进行深入测试和审查，逐步加以完善。2.4. 安全服务项目所涉及的任务当企业网络接入到互连

14、网中，所面临的主要安全威胁有： 来自组织外界的导致服务中断因素（黑客攻击手段，如DDOS等） 在线重要信息的被窃和关键信息在传输过程中丢失； 数据和用户身份的误用或冒认；上述的这些安全威胁主要的方式有：拒绝服务攻击、数据篡改、计算机欺诈行为、系统破坏、资源滥用、计算机病毒、潜在的风险和灾难等。因此为了实现系统的整体安全目标，在技术和安全产品的基础上必须设计一个整体安全策略。安全项目的范围主要包括： 分析和评估客户现有的IT环境； 为了解客户主要资产以及相关的安全风险，双方必须进行一个高水平的系统安全风险评估； 建立一个企业级的安全策略； 对相关设备和主要的服务器设立安全策略的标准； 向管理层提

15、交安全目标综述。其中安全目标综述包括： 企业范围内的安全策略； 专项的安全说明，包括：n 防火墙安全策略；n 非军事区安全策略；n 路由器/交换机的安全策略；n 管理员工作站安全策略；n 关键服务器安全策略；n Internet主机安全策略；3. XX银行上海分行整体安全服务介绍XX公司和B公司很荣幸能够合作向XX银行上海分行一套完整而又行之有效的整体安全服务。在这个项目书中，我们将在整体安全的框架下，分步介绍在整个项目计划的每一步中所采用的方法、工具和相关技术。XX公司和B公司有足够的经验和资源在一个较短的时间段内完成既定的计划。我们对该项目中所涉及的技术问题有足够的了解，同时相信我们按时完

16、成任务。在执行该项目的过程中，XX银行上海分行即其员工的通力合作也是确保项目计划成功完成的一个重要保障。在整个项目计划中，主要包括以下几个重要过程： 风险评估 制定解决方案 计划实施 实施审查 维护与支持4. 第一阶段：风险评估对于XX银行上海分行这类以服务为导向的企业而言，企业唯一重要的财富是企业的用户信息。企业越来越将注意力放在在保证现有运营业务稳定的基础上，如何保护企业信息的完整性、保密性和可用性。另外，日益增长的Internet业务的需求为企业带来了众多的不安全因素。因此，对XX银行而言，在越来越满足信息的交流、数据的共享以及和第三方的电子业务合作过程中，企业的系统和数据安全绝对不能落

17、后于业务的迅猛发展。特别在基于Internet的业务环境中，企业的资产的防护力是非常脆弱的。其中由Internet带来的主要安全风险有： 外来的因素导致服务中断：黑客能够关闭网络服务或降低网络服务的效率； 在线交易信息的被窃或关键数据在传输过程中被恶意切断； 交易数据的欺诈或用户的冒认；除了上述的威胁以外，其他常见的威胁还有：拒绝服务攻击、数据篡改、计算机商业诈骗、破坏企业数据、滥用权限、计算机病毒和其他潜在的灾难。基于上述因素，XX银行希望能够评估和改善现有的安全策略以及安全架构以将运行风险降到最低。在整个安全服务项目中，第一阶段就是风险评估阶段。该阶段主要包括以下几个步骤的工作： 边界审核

18、以及远程测试（黑箱测试）； 系统分析、改善建议和应用测试（白箱测试）；在风险评估阶段，项目目标（待定）在风险评估阶段，对客户方的需求（待定）在风险评估阶段，项目环境（待定）在风险评估阶段，项目计划在合同制定以后3周内，在得到用户的许可以后开始执行。整个计划中，两个步骤将分别将持续12个工作日（大约2周）。在整个项目需要2个安全分析专家，同时指定的项目经理将和客户保持交流以确保按时保质地完成项目报告。项目的初期，将由双方开始一个启动会议以实现： 将安全专家和该项目团队中的其他人员进行合作； 对项目的范围以及项目计划进行综述； 对安全专家的工作任务以及工作日期进行确定。整个系统分析与改善报告将在远

19、程测试完成以后两周内提交给客户。该项目的两个步骤分别是客户无须提供详细材料的黑箱测试和基于客户提供的材料进行的白箱测试咨询服务，在一定的时间段内，我们希望能够实现下列目标： 系统分析报告（含行为报告和管理报告） 一个加固后的系统安全架构包括对现有安全产品的建议； 将相关的知识传授给客户方的员工； 对将来的计划提供建议。每个报告将包括： 总结性陈述； 对达到该结果所进行的项目过程的描述； 该项目中所有行为的报告； 详细的系统漏洞报告（参见附件），包括安全建议和相关背景信息。4.1. 第一步：边界审核和远程测试（黑箱测试）4.1.1. 方法论远程测试的针对对象是由用户指定的服务器或网络设备，整个测

20、试过程是采用黑箱模式（客户无须提供其网络细节或仅有客户提供必要的信息）。整个远程测试主要包括以下几个步骤：信息收集、网络结构分析、实战分析和后续的相关分析、探测以及最终报告。4.1.2. 信息收集来自各个网络的公共信息将被收集，其中包括whois数据库、路由信息、DNS信息等。另外所收集的信息还包括设备供应商、应用开发商等信息。4.1.3. 网络结构分析网络结构分析的主要目的是对用户应用网络的边界因素进行结构分析。该步骤的主要目标是拥护如何建立自己的DMZ区以及路由器、防火墙和网络代理的布置点等。信息收集阶段还对用户网络的拓扑结构信息进行收集，包括：子网的分布、路由器、服务器和网络之间的路由次

21、数统计以及其他潜在的通道。该阶段包括路由分析和过滤分析，Web服务以及其他服务将会被识别出来，该过程中会大量地使用端口扫描。整个过程包括两种操作方式：普通方式和秘密方式秘密方式将采用各种工具来检查直接连接在Internet上的设备而不被其他工具发觉，同时它还试图识别这些设备、它们的操作系统以及在该操作系统上跑的服务。普通模式将采用普通方法且在完成这些操作时。不掩盖操作行为。4.1.4. 情景分析在该阶段，XX公司将协助用户发现系统的漏洞、错误的系统设置、可能的bug以及其他与安全有关的问题。一旦我们发现这些问题后，我们将研究这些问题，并且向用户演示一个模拟攻击情景并解释是如何发现这些问题以及这

22、些问题所造成的潜在威胁。4.1.5. 模拟攻击在该步骤中，在用户的现场监督下，将会有两类的模拟攻击被发动。一类是普通的非破坏性攻击，一类是模拟的DOS攻击。在该阶段，对测试人员的素质要求会非常高，测试者将试图采用各类手段试图进入用户的网络中，因此对测试人员的知识、经验以及一些创造性的素质要求比较高，因此它更象一向艺术而不仅仅是技术。在这阶段，测试者将试图： 发现哪些服务器能够被远程攻击危害，如果这些服务器或相关系统被发现有漏洞的话； 采用多种通用的攻击手段（spoofing 或 bouncing）来试图进入用户系统； 发现在服务器上跑的应用是否有安全漏洞（如buffer overflows、r

23、ace conditions等） 发现一些配置信息，如数据库、文件系统或网络设备； 发现一些其他配置信息，如路由器、交换机、防火墙和服务器等。测试者将使用各种方式来进行模拟攻击,比如说，可以通过攻击防火墙来发现它是否能被破坏。测试者将试图检测应用系统中所有在跑的业务并检测它们的弱点。其中特别是一些以超级帐户权限（如root）运行的应用。另外测试者将测试一些设置有疏漏的网络设备，如路由器等，以确认是否能够利用这些漏洞来提供进入网络系统的后门。一旦一台服务器能够被破坏，测试者将通过模拟黑客以该服务器为平台进行其他的测试，主要包括以下的几点： 安装特洛依木马以试图搜索用户口令； 安装侦听器（Snif

24、fer）来搜索用户口令； 下载应用程序以离线分析应用程序中的漏洞（如：写得不完善的CGI程序和HTML程序）； 下载口令文件； 发现其他能被攻击的与被测系统有信任关系的系统；值得注意的是在整个测试过程中，所有的数据都是由三方约定好的指定负责人来对数据进行加密保存，且在最终提交报告时，所有与该项操作有关的日志将被包含在整个报告中。在整个模拟攻击测试中，包括以下几个测试部分：4.1.5.1. 防火墙测试测试内容 一些未设置好的防火墙能够被多种绕过防火墙的技术所破坏； 另一种典型的IP Spoof工具可以将数据包篡改为好象来自内部的数据包 一些在内部网或DMZ区的客户端由于为得到合适的配置，将有可能

25、被端口扫描工具发现作为攻击点； 一些恶意的applet和带有特洛依木马程序附件的邮件可以被用来破坏内部网安全。测试工具 Internet扫描器 多种恶意脚本程序 IP spoof 工具 多种端口扫描器 远程探测工具 恶意的Java applets 特洛依木马程序实施 识别远程系统 对DMZ区和Internet网络的分析 在约定时间内的蛮力攻击 IP spoofi攻击 端口扫描 对错误配置的客户端进行攻击 恶意applets 和 Trojan 攻击4.1.5.2. UNIX 安全审核测试内容 UNIX系统是一类比较复杂的多用户、多任务的分布式操作系统，它有多种的系统漏洞将导致系统的安全威胁； 多

26、种UNIX操作系统（包括Sun、HP、SCO Unix、Compaq、AIX、BSD、Linux等）都有自己的安全问题； 操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。测试工具 Unix 系统管理工具 针对多种UNIX的安全工具； 口令破译工具； TCP/IP网络工具； D.o.S.和其他UNIX攻击工具包。实施 收集系统信息； 关于C/S机制的分析； 检查文件系统的安全； 用户及口令的安全； 基于网络的安全； 可执行软件程序的安全； 帐户和审计工具的设置。4.1.5.3. Windows NT 系统的安全审核测试内容 Windows NT 有许多安全漏洞

27、从而导致系统的毁坏； 在该系统上跑的许多微软的应用程序本身有许多安全漏洞； 操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。测试工具 NT的系统管理工具； NT 扫描器； NT D.o.S. 攻击工具包 ； NetBios 黑客工具； NT L0phtCrack 工具。实施 信息收集； 域之间的信任关系审查； NTFS 的安全； 基于NetBios的攻击； Remote Access Services审查； Users, groups, ACL的审查； 注册登记表的安全； 安全行为审计。4.1.5.4. TCP/IP网络层攻击测试内容 由于TCP/IP 协议

28、本身具备多种安全漏洞，尤其是身份认证和权限控制等； 在该攻击中，将被测试的协议有：命名服务 (DNS), 邮件传输服务(SMTP, POP, IMAP, MIME), 文件传输r (FTP, TFTP, RCP, UUCP),控制信息 (ICMP)； 典型的D.O.S.攻击就是利用了协议本身的漏洞来攻击的。测试工具 DNS工具包； 邮件攻击； 文件传输攻击工具包； ICMP工具包。实施 识别网络资源； DMZ区和Internet网络架构分析Architecture analysis of DMZ and internal network； DNS 服务攻击； Mail 服务攻击； 文件传输攻击

29、； ICMP 攻击； Denial-of-service 评估。4.1.5.5. WWW 应用攻击测试内容 由于Web服务是直接挂在公共网络上的，因此它最容易受到多种攻击（如内容被改）且通过它能够给DMZ带来威胁； 造成Web应用漏洞的主要因素有：Http协议、CGI脚本以及数据库接口设计的问题等； Web 服务器的设置错误也是造成安全漏洞的主要原因； 在某些环境下，系统资源也可能被滥用做D.O.S.攻击的工具测试工具 HTTP 和 SSL工具包； CGI 探测器； SQL 攻击脚本； Web 服务器自身安全工具包。实施 识别和分析相关软件； 分析CGI脚本和其他相关程序； 数据库攻击； We

30、b服务器设置分析； Web服务器攻击测试。4.1.5.6. 应用安全测试测试内容 在应用系统中使用的软件程序在实施过程中一般总会有安全漏洞； 这些漏洞的造成原因往往是保密数据的被窃、超级用户权限使用、数据修改等。测试工具 SUID程序测试工具； 数据库工具； 其他安全工具。实施 识别和分析应用软件 审核与这些应用有关的商业操作； 评估应用软件的安全分析； 软件设置分析； 错误跟踪、安全审计、备份策略。4.1.5.7. Denial-of-Service攻击测试测试内容 通用的D.O.S.攻击就是利用TCP/IP协议的漏洞而进行一种消耗企业网络资源，降低企业服务质量的攻击手段； 这类攻击非常常见

31、也是目前主流的针对大型企业的网络攻击手段； 基于TCP/IP协议的攻击手段，尤其是针对应用的攻击非常常见，其他常见的攻击则是消耗企业的网络资源。 测试工具 基于TCP/IP协议的 DoS 工具，如：teardrop, land, nestea, boink, smurf 针对用户网络应用的 DoS 攻击脚本 针对用户网络资源的 DoS 攻击脚本 拨号攻击。实施 辨识和分析潜在的l DoS 目标 协议攻击测试 应用攻击测试 网络资源攻击测试 Modem攻击测试4.2. 第二步：系统分析、改善建议和应用测试（白箱测试）4.2.1. 方法论整个系统分析将对以下的几个方向进行分析： 对服务器的评估，主

32、要包括：操作系统管理权限的不适当配置或缺省配置中存在的问题； 入侵检测系统的放置和配置； 防火墙系统的放置和配置； 路由器和交换机配置分析； 应用测试。4.2.1.1. Unix服务器的分析方法UNIX系统是一类比较复杂的多用户、多任务的分布式操作系统。它有多种的系统漏洞将导致系统的安全威胁，多种UNIX操作系统（包括Sun、HP、SCO Unix、Compaq、AIX、BSD、Linux等）都有自己的安全问题。操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。在整个项目过程中，我们使用下列方法来实现对UNIX服务器的安全分析： 文件系统分析（权限、日志以及其

33、他非必要的文件） 进程分析（所跑的进程、启动、日志等） 配置分析（操作管理员、Kernel、启动、审计） 脆弱性分析（overflows, 打补丁, 不安全的symlinks/paths/umask） 对身份验证方式以及服务器之间的Trust关系的审核4.2.1.2. Windows NT / 2000 服务器的分析方法Windows NT操作系统本身采用了一些安全功能以解决其安全问题，但是一些缺省的配置往往在安全问题上有所忽略。而且，由于该类操作系统市场份额较大，且针对性的黑客攻击手段非常多。因此，对Windows NT操作系统的分析，主要集中在对操作系统的误配置以及其他被外界发现的系统漏洞

34、。我们将向用户提供修改意见和其他安全行为指导。5. 第二阶段：解决方案在这阶段，XX银行上海分行将会得到我们对其业务系统进行评估后得到的结果，并根据上述结果和整个系统架构分析报告，我们将一起共同制定整个XX银行上海分行的安全策略并在架构设计上给出我们的意见，以便将在业务发展的过程中可能潜在的安全威胁。5.1. 网络架构分析5.1.1. 网络架构分析目标问题在银行原有的业务系统中采用了多家集成商的产品以及多种网络解决方案，在用户将这些产品和方案集中在一起的时候，如何才能确信整个网络系统是足够安全和强壮的，这个问题涉及到如何在已有的网络和应用环境下，建立一个有效的安全架构并为未来的网络建设以及可能

35、的新应用打下扎实的基础？在前期对整个系统的网络建设进行了足够的安全分析且对关键的安全目标进行了深入的分析以后，我们将给出系统架构分析报告。解决方案在安全结构分析报告中，我们将整合外界的资源以及两家公司在该领域的经验来和用户一起分析现有的系统安全架构，并向用户提供可行有效的系统整改建议。这是一个多家共同参与的过程且能够在组织建设上向客户提供合适的建议。5.1.2. 方法论一旦参与架构分析的人员能够落实，那么我们将采用下列的各种方法来确保我们的项目是顺利实施的： 目标分析； 对现有架构的介绍； 对可能的变化进行介绍； 对已经发现的问题的介绍； 制定系统问题表； 制定商业目标表； 对每项细节因素的分

36、析； 制定整改目标； 发现的其他问题； 架构修改计划。5.1.3. 成果 2天的系统架构分析 Workshop； 架构修改建议和观察的问题报告； 管理总结； 管理层报告。5.1.4. 对客户的要求为了便于该项目的顺利进行，要求客户提供以下的支持： 相关技术人员能够参与会议 详细的系统架构图，包括：硬件、软件和数据流图。5.2. 制定安全策略制定一个整体安全策略的目的是在采用新的技术工具和实现现有技术升级的基础上的一个更高层次的安全手段，正如我们一致认同的：安全问题三分技术七分管理，只有一个有效的安全管理策略和技术因素紧密结合在一起，我们才能认为是一个整体安全解决方案。5.2.1. 安全策略范围

37、整个安全咨询过程中，我们将会： 分析和评估XX银行上海分行的现有IT实践行为； 在前期工作的基础上，对XX银行上海分行现有的主要资产以及相关的威胁进行一个整体评估； 制定一个企业级的整体安全策略； 对与安全相关的设备和服务器建立安全标准； 向XX银行上海分行高层提交含上述内容的报告。5.2.2. 成果 企业级的整体安全策略； 专项安全策略陈述，包括：n 防火墙安全策略；n DMZ安全策略；n 路由器/交换机安全策略；n 管理层的安全策略；n 关键服务器安全策略；n Internet服务器安全策略。5.2.3. 方法论安全策略的目标是罗列出企业级安全策略各项内容，同时将这些要求转换成可行的安全文

38、件，并促使相关部门安全这些文件要求来实现各项安全规划。安全策略的方法是通过量化各种安全等级并且分析用户的各项IT设备的潜在威胁。参与这项工作的人员在策略审核和设计方面都具有多年的经验。最终提交的安全策略是基于BS7799-1999 对相关领域的知道意见的。另外，在该项项目中，我们得到了ICSA实验室的技术支持，他们在安全设备（包括：防火墙、IDS、防病毒、加密产品）上的研究经验（包括：行业标准、性能研究、风险测试）将很好的体现在我们的方案中。该阶段的工作将会由一个启动会议来启动（包括：人员介绍、项目任务的阐述和分解以及信息收集等），另外关于B专家在各阶段点的阶段性工作应该双方有所约定。总而言之

39、，整个计划包括以下几个步骤： 为制定安全策略准备材料，包括信息收集、信息分析、讨论关于将提交的安全策略中的目标和方向； 对企业资产及威胁的阐述，并对各种威胁进行解释和评估； 起草安全策略的草案供项目组成员和客户高层审阅； 做为评估的结果，准备最终安全策略报告； 向用户相关人员移交并解释安全策略。5.2.3.1. 第一阶段：企业级安全策略企业级安全策略是在对客户进行一个深入的高水平的评估后进行，它对整个安全策略进行分别阐述。5.2.3.1.1. 安全策略范围我们的安全策略将以以下的方式进行： 定义用户内部的计算机网络系统以及IT资产的应用以及管理规范，安全分析报告将包括企业内部的主要应用以及外部

40、相关的应用； 支持与Internet路由相关的链接以及基于Web的应用； 提供物理环境的安全； 提供人员安全的指导策略； 提供系统管理员的安全策略； 定义权限控制以及身份认证的目标； 分别定义详细的内部和外部人员的安全策略； 制定备份安全策略。5.2.3.1.2. 安全分析在安全策略设计阶段，我们主要完成以下的一些任务： 对现有的所有与企业安全有关部门的安全相关文件、策略进行审核； 对用户所处商业环境中的安全威胁进行评估； 将所有的发现集中体现在整体安全策略中。对文件的审核以及风险评估将用户现有的安全情况，均衡考虑安全保护和生产力的因素，并解决以下问题： 识别用户需要保护的对象； 识别这些安全

41、对象产生威胁的因素； 提供企业级安全策略的基础因素。整个安全策略主要包括以下内容： 安全策略综述； 数据分类策略； 物理安全策略； 权限控制安全策略； 数据安全策略； 应用安全策略； 网络与通信安全策略； 安全审计策略； 安全事故反应。5.2.3.1.3. 对用户的要求为便于安全专家工作，用户方要求提供以下的支持： 所有早期的安全相关的材料，包括安全审计报告以及安全事故记录； 所有和安全相关部门的人员，以便于交流； 安排管理层的协商。该步骤需要花费11个人日并且至少需要两个安全专家介入。5.2.3.2. 第二阶段：设备的安全策略基于对企业的前期安全审核以及第一阶段的工作，分析小组将制定用户网络

42、中现有的网络设备和网络服务器的安全策略。这项工作能够协助用户发现网络系统中的漏洞并向用户提交整改意见。5.2.3.2.1. 安全策略范围对现有的网络设备以及服务器的安全策略主要包括以下内容： 路由器和交换机； 防火墙和代理设置； DMZ策略； Web服务器（Internet/Intranet），邮件服务器和文件服务器； 关键业务服务器； 管理员工作站。5.2.3.2.2. 安全分析在安全策略设计阶段，我们主要完成以下的一些任务： 对所有已使用的文件和设置进行审核，同时会见IT人员和用户； 评估整个企业的安全风险； 将发现的问题在安全策略建议书中陈列出来。详细的策略陈述将包括： 防火墙安全策略；

43、 DMZ安全策略； 路由器/交换机安全策略； 管理员工作站安全策略； 关键业务服务器安全策略； Internet服务器安全策略。5.2.3.2.3. 对用户的要求为便于安全专家工作，用户方要求提供以下的支持： 已在使用的安全策略综述； 提供便利能够直接审查安全设备和服务器； 提供便利能够直接审查安全设备和服务器的日志和报告； 审查网络拓扑图和IT架构文件。该步骤需要花费11个人日并且至少需要两个安全专家介入。5.3. 整体安全实施方案6. 保密原则由于系统安全服务的特殊性，我们将和用户签定保密协议（参见附件），我们在处理与用户有关的数据时，遵循以下的原则： 所有的数据收集以及分析工作将在项目经

44、理的笔记本电脑内完成； 该笔记本电脑内的数据将会是保密存放； 一旦报告提交给用户以后，所有的相关数据将会被销毁。6.1. 文档管理6.1.1. 客户数据文档处理策略为了研究和分析的目的，我们会在项目进程中保留部分关于技术细节的数据，但是我们会遵循以下的原则： 在相关处理完成以后，这些数据会被处理掉； 一些重要的数据，在以后阶段可能用到的（如和产品提供商有关的信息），将在项目过程中被安全地保存； 任何与客户有关的数据信息将按期销毁。6.1.2. 用户报告处理原则一旦用户报告被提交且被用户接受，所有的与该项目有关的数据将根据用户的意见封存或销毁。6.2. 客户参考内容6.2.1. 交叉参考所有与安

45、全有关的发现，将存储在我们自己的知识库中，但是我们不会提到任何用户名字所有与安全有关的发现将仅用作技术领域的交叉参考。在未得到用户书面许可的，我们不会将用户名字向任何第三方透露。7. 项目团队介绍7.1. 项目团队架构XX银行上海分行安全咨询项目意义深远，影响面大。XX公司作为参选公司，深感责任重大。把此项目立项为公司的最重大的项目，选派公司银行安全方面的专家，按照项目需求全力进行方案建议书的设计和编写。假如XX公司能够有幸成为该项目最终的合作伙伴，为保证整个项目的成功实施，将选派公司最优秀的项目管理和技术专家组成“XX银行上海分行安全咨询项目组”配合XX银行全力参与项目的整体工作。并且有信心保证整体项目的成功实施。鉴于本次项目实施的技术难度以及国内外实施类似项目较大的技术差距，我们特别邀请了B公司（原ICSA）的海外资深专家参与该项目，为本项目的实施过程中的某些技术难点提供知识库支持、远程和部分现场技术实施支持。本次项目的工作重点主要是