XX银行天珣内网安全风险管理与审计系统实施方案.doc

天珣内网安全风险管理与审计系统实施方案 北京启明星辰信息技术有限公司 Beijing Venus Information Tech 目 录 1. 综述 2 1.1. 内网安全挑战 2 1.2. 现状和需求 3 2. 系统设计方案 4 2.1. 方案原则及总体规划 4 2.1.1. 可靠性 4 2.1.2. 有效性 4 2.1.3. 选择架构，而不仅仅是工具 5 2.1.4. 制定和实施统一的终端管理策略 5 2.1.5. 其他规划考虑 5 2.2. 需求分析 6 2.3. 主要功能 6 3. 系统实施与准入控制部署 12 3.1. 系统实施原则 12 3.1.1. 最大限度降低对用户的影响 12 3.1.2. 全面细致规划，分步实施 13 3.1.3. 安全策略从简到繁，安全级别步进式提高 13 3.2. 部署环境要求 14 3.2.1. 策略服务器要求 14 3.2.2. 客户端要求 14 3.3. 策略服务器的部署 14 3.4. 准入控制部署 15 3.4.1. 网络准入控制介绍 15 3.4.2. 应用准入控制介绍 18 3.4.3. 准入控制部署建议 19 3.5. 客户端部署 21 3.6. 建议的安全策略 22 综述 内网安全挑战 根据CSI/FBI等权威机构公布的数据，在所有已经发生的安全事件中，超过80%的安全时间都发生在企业内网中，内网安全面临前所未有的挑战。内网安全面临的挑战，集中表现在以下两个方面： 内网安全控制挑战 终端未经安全认证和授权即可随意接入内网； 内部终端存在的安全漏洞不能及时修复； 终端接入后对内网的非授权访问难以管理； 被动防御蠕虫病毒及木马的破坏和传播； 蠕虫攻击导致网络或系统瘫痪，影响核心业务的运作； 用户随意改动IP地址，对网络审计带来困难； 用户随意安装和运行软件，随意占用有限带宽资源。 终端数据安全挑战 1. 终端使用未经认证的U盘等移动存储设备进行数据保存； 2. 通过U盘等进行数据交换，不受控制； 3. 未经认证的U盘成为病毒传播的载体； 4. 存有关键数据的U盘丢失或失窃造成严重的泄密事故； 5. 终端用户可以轻易通过拨号、私设代理等非法外联手段，传播内部重要数据或资料。 终端行为审计 内部关键数据失窃后，难以追查； 通过网络共享交换数据不受控制； 滥用打印机打印小说或必威体育官网网址资料。 内网终端IT支持挑战 无法精确统计IT资产，确定每台电脑的硬件配置，确定软件的安装情况； 无法跟踪资产的历史使用纪录，也不能及时掌握资产变动情况； 终端电脑的使用故障，需要IT维护人员赶到现场处理； 无法及时掌握终端进程运行情况，木马程序可能就混在其中； 需要合适的工具帮助管理员快速有效分发软件和补丁； 需要对PC外设如USB、Modem、无线设备等进行监控和管理； 无法快速定位电脑所接的交换机端口，无法快速定位交换机端口所接电脑。 现状和需求 XX银行目前的网络拓扑如下图所示： 网络包括4个节点：总行数据中心办公开发网（客户端50）、总行办公网（客户端200）、故宫支行办公网（客户端10）、中华支行办公网（客户端10）。 接入层交换机为Cisco2948和2950系列交换机，均可支持802.1x认证，汇聚层为cisco3550系列交换机。所有用户日常工作均需要访问OA服务器。 目前终端安全管理仍存在如下问题： 企业制定的安全策略难以执行； 不受管理及不安全的电脑接入； 电脑安全漏洞得不到及时修复； 非授权访问难以管理； 被动防御蠕虫病毒及木马； 蠕虫攻击导致网络或系统瘫痪，影响核心业务的运作； 用户随意改动IP地址，对网络审计带来困难； 无法及时掌握终端进程运行情况，木马程序可能就混在其中； 需要合适的工具帮助管理员快速有效分发软件和补丁； 需要对PC外设如USB、Modem、无线设备等进行监控和管理； 无法控制移动存储设备的使用和审计； 无法实现与内网合规管理紧密关联的终端审计； 系统设计方案 方案原则及总体规划 为了实现上述功能目标，我们需要结合XX银行的网络和应用特点，本着保护投资，节约成本，和目标性能平衡的原则进行合理规划。对于XX银行终端管理管理模式和架构，我们建议遵循以下原则： 可靠性 终端安全管理系统与XX银行的每一个用户都直接相关，如果系统可靠性差导致影响业务，将产生非常负面的后果，因此系统的可靠性是最重要的。终端安全管理的客户端不能因为本身故障影响用户的正常使用电脑，服务器也不能有任何单点故障影响客户端的使用。 有效性 终端安全管理系统因为要在用户电脑上安装客户端，容易遭到用户抵制而停用客户端软件，甚至卸载客户端软件，导致终端安全管理系统不能充分发挥作用，降低系统的有效性。终端安全管理应该使用准入控制技术，发现没有安装运行终端安全管理系统客户端的电脑，强制安装运行。并能