天融信信息安全等级保护解决方案设计V1.4.doc

参考范围：内部参考文档编号:TOPSEC-XXAQ-2008-0701天融信信息安全等级保护解决方案设计Version 1.3北京天融信公司2008年7月文档控制拟 制：韩丽楠、崔宗军、叶杰燎、杜旭晖审 核：杨庆华批 准：标准化：杜旭晖读 者：公司战略方案中心、技术服务中心、销售版本控制版本号日期修改人说明V1.02008-0620杜旭晖文档建立、初始化V1。12006-0625韩丽楠、崔宗军、叶杰燎、杜旭晖文档内容编制V1。220060629杜旭晖文档合成V1.32006-0701韩丽楠、崔宗军、杜旭晖部分内容调整安全建设效果部分V1.420060702韩丽楠、崔宗军、杜旭晖、叶杰燎方案内容标准化，格式标准化分发控制编号读者文档权限与文档的主要关系1韩丽楠、崔宗军、叶杰燎、杜旭晖编写，修改文档作者,负责编制、修改、审核本应答书2杨庆华审阅作为负责人，负责本文档的批准程序3公司战略方案中心、技术服务中心、销售读取读取并使用目 录1前言61。1设计目的61。2设计原则71。3参考标准91。3。1信息系统安全等级保护标准和规范91.3.2其他信息安全标准和规范101.4参考资料111.5其他说明112系统现状描述132.1网络架构描述132。2信息资产描述172。2.1网络设备情况172。2。2VLAN 划分172.2.3服务器设备情况192。2.4安全设备情况252。2.5应用系统描述333安全需求分析463。1系统定级建议463。1。1确定定级对象463。1。2确定系统定级473。1.3系统定级汇总523.2安全风险分析523.2.1根据风险扫描和调查问卷的结果进行分析523。2。2根据安全管理调查问卷的反馈进行分析573.3安全需求分析683.3.1符合等级保护技术要求的需求683.3.2符合等级保护管理要求的需求803.3。3符合自身安全防护的需求914安全解决方案964。1安全方案设计概述964.1.1构建分域的控制体系964.1。2构建纵深的防御体系964。1。3保证一致的安全强度974.1。4实现集中的安全管理974.2安全技术方案详细设计974。2。1确定保护对象984.2.2保护计算环境1054。2。3保护区域边界1404.2。4保护通信网络1564.2.5安全管理平台1654。3安全管理方案详细设计1714。3。1安全管理机构规划1714。3.2安全管理制度规划1804.3。3人员安全规划1854.3。4系统建设规划1884。3。5系统运维规划1934。4安全解决方案总结2004.4.1安全技术建设效果2004。4.2安全管理建设效果2205安全建设方案2245。1等级保护总体建设过程2245.2等级保护建设过程规划2255。2。1安全等级评估2255。2。2安全体系设计2265。2。3安全体系建设2275。2.4安全运维建设2285。3等级保护建设内容规划2285。3。1阶段一:实现基本的加固与配置2285.3.2阶段二:实现全面的安全配置2305.3.3阶段三：系统优化配置2336安全建设总结2367附录一天融信安全建设投入概算2428附录二等级保护基本要求2488。1等级保护技术要求2488。1.1第3级信息系统的技术要求（JS_REQ_3）2488。1。2第2级信息系统的技术要求（JS_REQ_2）2618.1.3第1级信息系统的技术要求(JS_REQ_1）2718。2等级保护管理要求2758。2。1第3级信息系统的管理要求（GL_REQ_3）2758.2.2第2级信息系统的管理要求（GL_REQ_2）2898。2。3第1级信息系统的管理要求（GL_REQ_1）2991 前言1.1 设计目的天融信是一家在国内从事信息安全业务的著名厂商，从1995年成立起，天融信以防火墙为基础，陆续推出各类安全解决方案及产品，形成了安全产品、安全集成和安全服务三大业务体系，为政府、军队、金融、能源、电信、教育等众多行业用户提供安全技术及产品，协助用户搭建起安全保护平台，使其信息系统更好的服务于业务的应用。在对外开展业务的同时,天融信公司自身也非常重视信息化建设,逐步建成了覆盖全国35个分支机构,覆盖公司研发、销售、商务、财务、生产等各个业务环节的信息处理平台,信息化的建设为企业的发展，提升企业业务处理效率，降低企业管理成本起到了关键的作用。伴随着信息系统的快速发展，信息系统所面临的安全威胁日益复杂，对信息安全系统的需求与日俱增.天融信公司各层领导对安全工作非常重视，从96年起逐年加大在安全建设方面的投资,进行了一系列的安全组织、制度、管理和技术方面的安全建设工作，在近期要求的安全工作包括加强基础安全管理，包括落实组织保障和安全责任；加强日常安全生产工作；逐步开展安全建设。要从网络、主机、应用系统不同层面建设多层次、立体化安全防护体系；要集中统一建设必备的网络安全防护手段；在划分安全区域,统一边界的基础上，实现重点防护和隔离。目前公司利用防火墙、VPN、防病毒、终端安全管理、安全信息管理等技术，为公司信息网络的安全防护起到了一定的效果。从外部环境来看,信息安全已经成为近几年信息化建设的热点话题,如何保障信息系统的安全已经成为国家关注的焦点，从27号文件开始，国家陆续出台了一系列的安全政策和标准，提出了以“适度安全、分级保护为核心的等级保护建设思路,公安部、保密局、国密办以及国信办陆续出台政策,要求国内重要的信息系统应按照等级保护的办法和要求，进行相关安全防护系统的建设，并于2007年启动了等级保护的定级备案工作.等级保护针对信息安全系统建设的过程，提出了具体的管理办法和实施指南，并对信息安全系统提出了技术和管理方面的建设要求。本方案针对天融信网络环境、应用系统以及当前的安全措施为基础,分析天融信公司的安全建设需求，结合国家等级保护的建设规范和技术要求而编制，一方面对天融信信息安全建设起到指导作用；另一方面可形成中小型企业(在业务以及信息化建设方面类似于天融信公司的客户）安全防护系统建设方案，为企业进行安全建设起到建议作用;还可通过将等级保护基本要求在天融信公司的实际网络环境中落地,形成多系统复杂环境的等级保护建设方法,指导用户落实等级保护的制度和要求。1.2 设计原则等级保护是国家信息安全建设的重要政策，其核心是对信息系统分等级、按标准进行建设、管理和监督。对于天融信公司信息安全建设，应当以适度风险为核心，以重点保护为原则，从业务的角度出发，重点保护重要的业务、研发类信息系统，在方案设计中应当遵循以下的原则：适度安全原则任何信息系统都不能做到绝对的安全，在进行天融信信息安全等级保护规划中,要在安全需求、安全风险和安全成本之间进行平衡和折中,过多的安全要求必将造成安全成本的迅速增加和运行的复杂性.适度安全也是等级保护建设的初衷，因此在进行等级保护设计的过程中，一方面要严格遵循基本要求，从网络、主机、应用、数据等层面加强防护措施，保障信息系统的机密性、完整性和可用性，另外也要综合成本的角度，针对天融信公司信息系统的实际风险，提出对应的保护强度，并按照保护强度进行安全防护系统的设计和建设，从而有效控制成本。重点保护原则根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统；本方案在设计中将重点保护天融信公司涉及生产、研发、销售等关键业务的信息系统，对其他信息系统则降低保护等级进行一般性设计和防护；技术管理并重原则信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的,仅仅通过部署安全产品很难完全覆盖天融信所有的信息安全问题,因此必须要把技术措施和管理措施结合起来，更有效的保障天融信信息系统的整体安全性，形成技术和管理两个部分的建设方案；分区分域建设原则对信息系统进行安全保护的有效方法就是分区分域，由于信息系统中各个信息资产的重要性是不同的，并且访问特点也不尽相同，因此需要把具有相似特点的信息资产集合起来，进行总体防护,从而可更好地保障安全策略的有效性和一致性，比如把业务服务器集中起来单独隔离，然后根据各业务部门的访问需求进行隔离和访问控制;另外分区分域还有助于对网络系统进行集中管理，一旦其中某些安全区域内发生安全事件，可通过严格的边界安全防护限制事件在整网蔓延；标准性原则天融信信息安全保护体系应当同时考虑与其他标准的符合性,在方案中的技术部分将参考IATF安全体系框架进行设计，在管理方面同时参考27001安全管理指南，使建成后的等级保护体系更具有广泛的实用性；动态调整原则信息安全问题不是静态的，它总是随着天融信管理相关的组织策略、组织架构、信息系统和操作流程的改变而改变,因此必须要跟踪信息系统的变化情况，调整安全保护措施；标准性原则信息安全建设是非常复杂的过程，在设计信息安全系统，进行安全体系规划中单纯依赖经验,是无法对抗未知的威胁和攻击，因此需要遵循相应的安全标准，从更全面的角度进行差异性分析，是本方案重点强调的设计原则；成熟性原则本方案设计采取的安全措施和产品,在技术上是成熟的，是被检验确实能够解决安全问题并在很多项目中有成功应用的;科学性原则本方案的设计是建立在对天融信公司进行安全评估基础上的，在威胁分析、弱点分析和风险分析方面,是建立在客观评价的基础上而展开分析的结果，因此方案设计的措施和策略一方面能够符合国家等级保护的相关要求，另一方面也能够很好地解决天融信公司信息网络中存在的安全问题，满足特性需求。1.3 参考标准本方案根据国家提出的等级保护管理办法和实施指南，针对天融信信息系统的特点和安全建设需求，进行全面的安全保障规划，设计中重点参考的政策和标准包括以下两个部分：1.3.1 信息系统安全等级保护标准和规范本方案重点参考以下的的政策和标准：指导思想中办200327号文件（关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知)公通字200466号文件（关于印发信息安全等级保护工作的实施意见的通知)公通字200743号文件（关于印发信息安全等级保护管理办法的通知）等级保护GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T aaaaa-xxxx 信息安全技术 信息系统安全等级保护实施指南系统定级GB/T aaaaaxxxx 信息安全技术 信息系统安全保护等级定级指南技术方面GB/T 202702006 信息安全技术 网络基础安全技术要求GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求GB/T 20272-2006 信息安全技术 操作系统安全技术要求GB/T 202732006 信息安全技术 数据库管理系统通用安全技术要求GA/T6712006信息安全技术终端计算机系统安全等级技术要求GA/T 7092007 信息安全技术 信息系统安全等级保护基本模型GB/T aaaaa-xxxx 信息安全技术 信息系统安全等级保护基本要求管理方面GB/T aaaaaxxxx 信息安全技术 信息系统安全等级保护基本要求ISO/IEC 27001 信息系统安全管理体系标准方案设计信息安全技术 信息系统等级保护安全建设技术方案设计规范方案架构IATF 信息保障技术框架1.3.2 其他信息安全标准和规范 ISO/IEC 15408（CC）：信息技术安全评估准则。该标准历经数年完成,提出了新的安全模型，是很多信息安全理论的基础。 GB/T 18336：等同采用ISO 15408 ISO/IEC 17799/BS77991：信息安全管理体系实施指南。这是目前世界上最权威的信息安全管理操作指南，对信息安全工作具有重要指导意义. ISO/IEC 13335，第一部分：IT安全的概念和模型；第二部分：IT安全的管理和计划制定；第三部分:IT安全管理技术；第四部分：安全措施的选择;第五部分：网络安全管理指南. GB 9361：计算站场地安全要求 公安部第51号令:计算机病毒防治管理办法 计算机信息系统安全专用产品检测和销售许可证管理办法公安部令32号 计算机信息网络国际联网安全保护管理办法公安部1.4 参考资料为确保本方案能够客观地反应天融信公司信息系统的当前现状，方案便之前对天融信公司信息系统进行了全面的检查，得到以下的调查表作为方案分析的参考资料：n 天融信信息安全等级保护安全检查物理环境调查表;n 天融信信息安全等级保护安全检查网络结构调查表；n 天融信信息安全等级保护安全检查网管系统调查表；n 天融信信息安全等级保护安全检查应用设备调查表;n 天融信信息安全等级保护安全检查应用系统调查表；n 天融信信息安全等级保护安全检查数据存储与备份调查表;n 天融信信息安全等级保护安全检查安全管理调查表.1.5 其他说明作为国家信息安全保障体系建设的政策标准，等级保护提出信息系统的运营、使用单位应当依照等级保护的办法及其相关标准规范，履行信息安全等级保护的义务和责任，同时还提出了五个级别的信息系统建设要求，从信息系统保护等级的划分定义可以看到,等级保护高度关注国家利益和社会秩序,信息系统一旦早到破坏后如果对社会秩序和公众利益造成严重损害，那么其信息系统至少应在3级以上。天融信公司作为专业的信息安全厂商，经过十余年的经营发展，已经拥有了覆盖国内政府、军队、金融、能源、电信、教育等数万家用户，为用户提供各类安全产品及服务，因此一旦公司的核心技术资料早到泄露，那么将严重影响到用户的切身利益,将会引起大规模的恐慌,因此其信息系统可以按照严重影响社会和公众利益的程度进行定级，确定最高为3级。2 系统现状描述2.1 网络架构描述天融信公司信息系统的建设是伴随着企业的发展而演进的,2005年底随着公司迁入华控大厦，公司对原有的网络进行了改造，形成了现有的网络结构，从整体上看主要包括以下几个部分：图2。1 天融信公司网络架构示意图参考图2。1,天融信公司信息网络包括总部和分支机构两大部分，其中重要的服务器均集中在总部，分级机构只包含了办公终端部分，天融信在全国共有35家分支机构，各分支机构均通过互联网远程访问总部。总部信息网络包括办公和研发两大部分，其中办公部分包含了进行业务处理的业务服务网（运行着企业EBS系统、K3、CRM以及财务软件和内部办公系统)；外部服务网(公司主页发布、邮件系统、产品升级服务器等面向互联网的应用处理）;OA办公网（内部各个部门的办公终端以及内部论坛和文件服务器等）以及生产车间(生产部门的终端及服务器）；研发部分则包含了与研发相关的研发服务网（研发部门专用的版本服务器和BUG内部服务器）；以及研发办公网(研发部门的办公终端组成）。此外，对于公司里一些涉及国家秘密的文件,单独建设了涉密网（涉密档案室），对涉密文件进行单独处理，并严格按照国家保密局的相关技术和管理要求进行管理，在本方案中不再对其进行设计。从组网方式上，天融信公司采取防火墙作为核心交换设备,并且在各个子网的边界也采用防火墙技术实现隔离，其具体的组网方式可见下图表示:图2。1a 天融信公司网络拓扑结构示意图参考图2。1a，天融信公司的网络结构分为总部和分支两个部分，其中分支机构的网络非常简单，通过二层交换机连接终端，然后通过边界防火墙接入到互联网；同时分支机构边界上部署的防火墙包含了IPSec VPN模块，与总部互联网边界部署的防火墙内置的VPN模块形成关到关的加密隧道，保障了分支机构可以安全地访问总部信息网络;总部信息网络的核心为一台天融信猎豹防火墙,利用防火墙的接口将总部划分为多个隔离的安全区域，包括办公终端区域(包括分布在公司三楼、四楼和五楼的办公终端设备)、研发终端区域(分布在公司五楼研发部门的办公终端）、生产车间终端区域（生产车间内使用的专用于访问EBS的终端设备)、业务服务器区域(部署在公司五楼机房的服务器，运行着公司的EBS、财务等重要业务系统）、研发服务器区域（部署在五楼研发机房内的服务器，运行着研发的CVS、BUGzilla系统）,测试机房公网区域（部署在五楼研发的测试专用机房，主要是对公司的安全产品进行功能性测试的区域），外部服务器区域（部署在五楼机房内，运行着公司的邮件服务器、主页发布服务器、DNS服务器、产品升级服务器等面向互联网开发提供访问的区域)、网络运维区域(部署在公司四楼展示厅,运行着公司的终端安全管理平台以及安全信息管理平台的服务器,防火墙管理服务器以及公司内部使用的网络管理服务器和病毒升级服务器）。其中各个区域之间的访问关系分别为:办公终端区域：该区域包含公司总部的所有办公终端，涉及部门有总裁办、董事会、行政部、技术服务中心、人力资源中心、信息管理部、战略方案中心、销售中心、商务部、销售管理部、财务部、行政部、市场部等,该区域的终端均可通过部署在三楼、四楼以及五楼的防火墙以及核心防火墙访问到互联网;其中销售管理部、商务部、销售中心、财务部、行政部的办公终端可访问业务服务器区域内的EBS系统；所有的办公终端均可以访问业务服务器区域内的内部论坛；所有的办公终端均可访问外部服务器区域，可以访问邮件系统，公司主页以及DNS服务器;技术服务中心的终端可以访问研发服务器区域的BUGzilla外部服务器;研发办公终端区域：该区域包含公司研发中心的所有终端,该区域可以访问外部服务器区域的公司主页服务器、邮件服务器以及DNS服务器；可以访问研发服务器的CVS服务器和BUGzilla服务器；在研发办公终端边界部署了防火墙设备，通过访问控制规则限制办公终端不得访问互联网；业务服务器区域：该区域包含运行着公司的EBS系统以及内部论坛的所有服务器,该区域只接收外部的访问，目前EBS系统已开放采购、订单、制造、财务和CRM模块，并根据各个部门的职能划分，系统内进行模块的访问控制，比如允许行政部访问EBS的采购模块;商务部和销售中心以及各地的分支结构可以访问订单模块；各地分支机构的商务人员以及财务部可以访问其财务模块；销售中心以及各地分支机构的销售人员可以访问其CRM模块等;业务服务器区域直接连接到核心防火墙的端口上，通过核心交换机的访问控制规则限制该区域对外的任何访问；研发服务器区域：该区域包含运行着研发CVS以及BUGzilla的所有服务器，主要提供给研发人员使用，此外,技术服务中心的办公终端可以访问其BUGzilla的外部服务器；该区域与研发终端区域以及测试机房区域共享一台防火墙,通过防火墙的访问控制规则限制该区域不得对外进行任何访问；生产车间终端区域:该区域包含了生产车间的所有的终端，与三楼的办公终端共享一台服务器,防火墙通过严格的访问控制规则限制该区域只能访问业务服务器区域的EBS系统，并通过EBS系统的应用访问控制,限制生产车间终端只能访问其中的制造模块;并且该区域不得访问其他任何外部区域；外部服务器区域:对互联网开放，提供四类服务器，包括主页发布服务、邮件服务、DNS服务，以及提供给天融信的安全产品用户进行升级的服务，该区域直接连接到核心防火墙上，其中主页发布服务和邮件、DNS也可提供给办公终端人员进行访问；分支机构区域：各分支机构的边界均部署了防火墙,可以访问互联网，并且可通过互联网访问公司的外部服务器区域以及业务服务器区域,并且为确保远程访问传输的安全性，在边界的防火墙上,以及公司互联网出口的防火墙上都配置了IPSEC VPN模块,可实现安全传输；另外对于一些规模小的分支机构，则通过SSL VPN的方式来访问公司业务服务器区域和外部服务器区域；移动办公用户：类似于分支机构区域,移动办公人员通过SSL VPN的方式可安全地访问公司业务服务器区域和外部服务器区域.涉密档案室:在物理上单独部署,与其他任何区域没有连接，实行严格物理隔离的小型局域网，网络内存放并处理公司涉及国家秘密的文件，包括涉密项目的过程文件、方案，以及国家下发的涉密系统建设的相关政策要求和规范等。2.2 信息资产描述2.2.1 网络设备情况天融信信息网络的特点是采用防火墙来进行连接，因此其用到的网络设备很少，参考图2。1a可以看到，网络设备主要是二层交换机,二层交换机的型号有CISCO、DELINK以及华为的设备，作为接入层网络设备连接到各个终端以及服务器上;此外，在总部的网通宽带出口处部署了一台华为AR46型号的路由器，作为互联网接入路由器使用,该路由器的IP地址为202。99。27。193，IOS版本为RTM1RPUA。2，没有启用日志功能，该设备目前采用Telnet的方式进行登录，为方便维护允许远程登录,认证方式为帐号加口令的方式，在管理员登录进行访问时，如果连续三次输入错误则自动退出；防止恶意的尝试登录等行为；在业务服务器区域和外部服务器区域分别部署了CISCO 3550交换机（没有启用三层功能），并且直接连接到服务器,设备没有启用日志功能，采用CONSOLE的方式进行管理员登录，认证方式为帐号加口令的方式,在管理登录进行访问时，如果连续三次输入错误则自动退出；防止恶意的尝试登录等行为.2.2.2 VLAN 划分天融信信息网络内没有引入三层交换机，在网段划分上则通过防火墙端口自然隔离为不同的VLAN，各个不同的VLAN提供给不同的部门使用,并且按照部门的职能划分，防火墙执行不同的访问控制策略，具体VLAN划分的方式如下：VLAN IP地址VLAN内用户网关防火墙VLAN 1192.168。1。0/24业务服务器区域192.168。1.1/24核心防火墙ETH1口VLAN 2192.168.2.0/24行政部192。168。2。1/24四楼防火墙ETH1口VLAN 3192。168.3。0/24总裁办公室192.168。3.1/24四楼防火墙ETH1口VLAN 4192.168.4。0/24销售管理和售前192。168。4。1/24四楼防火墙ETH1口VLAN 5192。168.5.0/24销售体系192。168。5。1/24四楼防火墙ETH1口VLAN 6192.168.6.0/24财务部192.168.6.1/24四楼防火墙ETH1口VLAN 7192。168.7.0/24客服部192。168。7。1/24三楼防火墙ETH1口VLAN 8192.168。8.0/24信息管理部192.168.8.1/24四楼防火墙ETH1口VLAN 9192。168.9。0/24人力资源部192。168.9。1/24四楼防火墙ETH1口VLAN 10192.168。10。0/24生产车间192。168.10。1/24三楼防火墙ETH1口VLAN 11192。168.11.0/24市场部192。168。11。1/24四楼防火墙ETH1口VLAN 12192。168。12。0/24四层会议室192.168。12。1/24四楼防火墙ETH1口VLAN 16192.168.16.0/24安全集成、服务192.168.16。1/24三楼防火墙ETH1口VLAN 17192。168。17.0/24商务部192。168。17.1/24三楼防火墙ETH1口VLAN 18 192。168.18。0/24采购部192。168。18。1/24三楼防火墙ETH1口VLAN 19192。168。19。0/24生产部192。168.19。1/24三楼防火墙ETH1口VLAN 20192。168。20.0/24三层会议室192。168。20。1/24三楼防火墙ETH1口VLAN 25192。168。25。0/24战略方案中心及五楼培训教室192。168.25。1/24四楼防火墙ETH2口VLAN 26192.168。26。0/24战略方案中心及五楼培训教室192。168。26。1/24四楼防火墙ETH2口VLAN 81192。168。81.0/24研发总工办192。168.81。1/24五楼防火墙ETH2口VLAN 83192。168。83。0/24研发管理部192。168.83.1/24五楼防火墙ETH6口VLAN 87192.168.87。0/24研发软件平台开发部192。168.87。1/24五楼防火墙ETH5口VLAN 89192。168。89。0/24研发软件平台开发部192.168.89。1/24五楼防火墙ETH5口VLAN 91192。168.91.0/24研发安全管理、高端开发部192.168。91.1/24五楼防火墙ETH4口VLAN 92192。168.92。0/24研发软件平台开发部192。168.92.1/24五楼防火墙ETH5口VLAN 94192。168。94.0/24研发安全管理、高端开发部192.168。94.1/24五楼防火墙ETH4口VLAN 95192.168。95.0/24研发安全管理、高端开发部192。168。95.1/24五楼防火墙ETH4口VLAN 96192。168.96.0/24研发测试部192。168。96.1/24五楼防火墙ETH1口VLAN 97192。168.97。0/24应用软件研发部192。168.97。1/24五楼防火墙ETH3口VLAN 98192。168。98.0/24研发测试部192.168.98.1/24五楼防火墙ETH1口VLAN 99192。168。99。0/24研发服务器192。168。99。1/24五楼防火墙ETH7口VLAN 100192.168。100.0/24研发服务器192。168。100。1/24五楼防火墙ETH7口VLAN 105192。168。105.0/24研发安全管理、高端开发部192.168。105。1/24五楼防火墙ETH4口2.2.3 服务器设备情况天融信公司的服务器，按照其承载的应用系统可划分为六种类型,分别如下:2.2.3.1 业务应用服务器业务应用系统包括用友U8系统，金蝶K3及CRM系统，ORACLE的EBS电子商务套件,服务器均部署在业务服务器区域,该类服务器包括：用友U8应用服务器用友U8财务系统的应用和数据库都安装在一台服务器上，设备型号为IBM Xseries 345,操作系统为WINDOWS 2000 Advance Server SP4,服务器的管理认证方式为用户名/口令方式,没有做到分权管理;利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令，并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192.168。1.112，开启了日志审计功能，审计重点是用户登录日志；远程管理时采用SSL VPN远程桌面的方式进行;金蝶K3应用服务器系统与数据库服务器均安装在同一台设备上，设备型号为IBM Xseries 345，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令，并且能够定期自动更新,对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168.1.112，开启了日志审计功能，审计重点是用户登录日志；远程管理时采用SSL VPN远程桌面的方式进行；金蝶CRM应用服务器应用服务器与数据库分开安装，设备型号为IBM Xseries 345，操作系统为WINDOWS 2000 Advance Server SP4,服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168。1.118，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN远程桌面的方式进行；ORACLE EBS应用服务器应用服务器与数据库分开安装,设备型号为IBM 9133 Model 55A，操作系统为IBM AIX 5。3,服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用AIX自带的加密机制进行口令保护，防止口令被窃取;在管理上服务器采取高强度口令，并且能够定期自动更新，对于过期账户通过人工方式进行定期检查,并及时删除过期帐号，服务器IP地址为192。168。1.167,开启了日志审计功能，审计重点是用户登录日志和故障日志。远程管理时采用SSL VPNTelnet的方式进行.2.2.3.2 内部办公服务器包括内部主页服务器,考勤服务器和进行办公软件下载的文件服务器，服务器均部署在业务服务器区域,该类服务器包括:内部主页服务器主要提供实现内部主页的发布和内部论坛的使用，设备型号为IBM Xseries 346，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查,并及时删除过期帐号，服务器IP地址为192.168。1。39，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN远程桌面的方式进行；内部考勤服务器实现办公考勤的应用，设备型号为联想PC服务器，操作系统为WINDOWS 2000 Advance Server SP4,数据库为Sql Server，服务器的管理认证方式为用户名/口令方式，没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护;在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号,服务器IP地址为192.168。1.122，开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN远程桌面的方式进行；文件服务器主要提供给内部办公人员进行软件和工具的下载,设备型号为组装的PC服务器，操作系统为WINDOWS 2000 Advance Server SP4，服务器的管理认证方式为用户名/口令方式,没有做到分权管理；利用WINDOWS自带的口令加密方式进行保护；在管理上服务器采取高强度口令,并且能够定期自动更新，对于过期账户通过人工方式进行定期检查，并及时删除过期帐号，服务器IP地址为192。168。1.60,开启了日志审计功能，审计重点是用户登录日志。远程管理时采用SSL VPN远程桌面的方式进行.2.2.3.3 外部服务器包括对外的WEB发布、邮件应用和一些对外的升级服务器，服务器均部署在外部服务器区域，该类服务器包括:WEB服务器实现公司主页对外发布的服务器,共安装了两台服务器,设备型号为IBM Server Xseries 335,采用的操作系统为CentOS5。1i386,其WEB服务系统为Apache2.2。3,IP地址分别为192。168。1.26/24和192.168。1。54/24，管理员认证手段为用户名/口令方式,没有做到分权管理，口令保护采取操作系统自带的加密措施来保障；操作系统口令有强度要求,定期地进行维护；对于过期账户定期地进行检查和删除，远程管理采用SSH的方式进行；服务器没有开启日志审计功能；邮件服务器实现公司邮件的发送和传输，邮件采取了Mirapoint的邮件解决方案，在硬件上也采取了Micrapoint专用邮件服务器Mirapoint M500,共使用两台,其操作系统也是专用的MOS操作系统,该系统的口令采取内部加密措施，可以很好的保障管理员帐号的安全性;系统对管理员登录的认证方式为用户名/口令方式，其口令强度有一定的要求，定期地进行维护；对于过期账户定期地进行检查和删除，远程管理采用TELNET的方式进行；服务器没有开启日志审计功能。2.2.3.4 研发服务器承载研发部门专用的CVS系统和BUGzilla系统的服务器,服务器均部署在研发专用机房内，该类服务器包括：CVS应用服务器该系统实现了对研发源代码的管理，系统部署在研发服务器区域内的7台服务器上，服务器型号分别为IBM Server Xseries 335及IBM Server Xseries 305，操作系统为Rad Hat Linux 9。0;系统对管理员的认证方式为用户名/口令方式，其口令强度有严格的要求,口令必须包含字母和数组以及特殊字符，防止被随意破解；另外管理员定期检查服务器的管理员帐号，对过期账户进行删除；服务器可通过本地局域网进行管理，但不允许通过互联网进行远程访问，管理方式采用SSH的方式，保障加密传输；另外没有开启日志服务器功能；服务器IP地址分别为：192。168。99。16、192。168。99。17、192。168.99。18、192。168.99.28、192。168。100。16、192.168.100.17、192。168.100。22;服务器没有启用IP地址访问控制，只通过用户名和口令来认证管理员身份；BUGzilla服务器该系统包含两个部分，一部分是提供给技术服务中心来提交产品的BUG问题;另一部分是测试人员提交测试过程中发现的BUG,系统部署在研发服务器区域内的2台服务器上，系统采用B/S结构,服务器型号为IBM Server Xseries 305，系统对管理员的认证方式为用户名/口令方式,其口令强度有严格的要求，口令必须包含字母和数组以及特殊字符,防止被随意破解；另外管理员定期检查服务器的管理员帐号，对过期账户进行删除;服务器可通过本地局域网进行管理，管理方式采用SSH的方式,保障加密传输；另外没有开启日志服务器功能.；服务器IP地址分别为：内部研发使用的服务器IP地址为:192。168。100。18；外部提供给技术服务中心等部门使用的服务器IP地址为：192。168。99。19；服务器没有启用IP地址访问控制,只通过用户名和口令来认证管理员身份;2.2.3.5 运维服务器