企业信息安全解决方案456.doc

企业信息安全

解决方案白皮书

目录
1 概述 3
1.1 信息安全面临的难题分析 3
1.2 如何实现高效卓越的企业信息安全体系 4
1.3 信息安全方案特点 6
1.3.1 设计基本原则 6
1.3.2 建设目标及要求 7
1.4 安全体系基本内容 8
1.5 安全体系结构建议 8
1.6 信息安全 通用方案 9
1.6.1 安全系统架构 9
1.6.2 安全管理系统-制度建设 10
1.6.3 边界防护设计 11
1.6.4 系统安全保护 13
1.6.5 应用系统安全 15
1.6.6 数据安全防护 16
1.6.7 安全保障手段和技术方法要求 16
1.7 信息安全 专项方案 17
1.7.1 4A安全解决方案 17
1.7.2 PKI安全解决方案 21

1 概述
1.1 信息安全面临的难题分析
网络带给人们很大便利，但互联网是一个面向大众的公开网络，存在安全隐患。网络的安全形势日趋严峻，对很多公司来说，信息安全不仅是挑战技术，更是生存的历练。
一般来说，公司关注的安全威胁包括下面几种（按照关注程度从高到低排序）：
n 病毒或蠕虫
n 间谍软件/流氓软件
n 垃圾邮件
n 未经授权的雇员对文件或数据的访问
n 外部人员偷窃客户数据
n 网络钓鱼和域欺骗
n 带有公司数据的可移动设备遗失或失窃
n 知识产权失窃
n 拒绝服务攻击或其他网络攻击
n 僵尸网络对IT资源的远程控制
n 对无线/RFID系统的攻击
n VoIP入侵
公司在安全防范方面进行投资以期获得回报，一般来说，是为了达到几个目的：
n 员工处理安全相关问题的时间减少
n 更好地保护客户数据
n 安全漏洞减少
n 网络宕机时间减少
n 改进对知识产权的保护
n 采取更好的风险管理策略
n 用于处理偶发时间的时间减少
这些年来，一系列财务失败事件的发生加强了人们对企业风险的关注。美国在2002年颁布了《萨班斯-奥克斯利法案》，我国相关部委也发布了有着中国萨班斯法案之称的《企业内部控制基本规范》。
内控规范要求企业将内部控制框架纳入企业风险管理框架中，要求企业进行信息化系统落地，要求企业遵从财政部、国资委相关管理条文要求，特别是在战略、财务、法律风险管理信息的搜集、风险评估、风险行为管理等方面，符合深交所、上交所关于上市公司加强内部控制和信息披露方面的要求和控制点。
1.2 如何实现高效卓越的企业信息安全体系
企业需要评估IT安全风险，获得相关建议，降低安全复杂度，并量化安全投资的价值。
企业一般以信息化基础架构作为信息安全的切入点，希望防患于未然，将安全嵌入到业务流程和内控制度中，提供更好的整合度，变人工干预为自动化，从而提升管理和监控的效能。企业也认识到，需要与国际安全标准接轨，在内部贯彻ISO27001和ISO2000、ITIL，能更好保证管控制度落地，有效杜绝安全隐患。
我们建议，实现高效卓越的企业信息安全体系，可以参考如下过程，同时这也是我公司的信息安全咨询服务流程：

首先，基于企业自身安全方面的成熟度和企业信息安全需求，结合国家和行业政策标准要求，进行合理评估，制定最佳的安全策略和风险防御计划。
在瞬息万变的形势下，企业应从整体角度考虑信息安全的投资和安全保障风险的价值，制定符合自身需求的安全策略和风险防御计划，并随着市场压力的变化和业务目标的调整，不断调整企业自身的应对策略，追求安全能力的动态平衡。企业的治理活动包括设定经营战略和目标,确定风险偏好。制定内部政策和监督绩效;风险管理活动包括识别和评价那些可能会影响目标实现能力的风险,应用风险管理来获得竞争优势和确定风险应对策略和控制活动;遵守活动包括遵照目标经营,确保遵守法律和法规、内部政策与程序以及利益相关者的委托。
其次，对企业进行信息安全能力评级，结合各类风险知识库和规范的风险评估流程，从资产调查开始，进行安全管理评估、网络安全评估、应用安全评估、主机安全评估和漏洞测试，进行系统安全等级评价和差距评估。
然后，构筑企业的信息安全路线图，寻求安全的解决之道，通过信息安全技术与产品的优化组合，寻求最优解决方案。
最后，提出实施计划，进行安全体系实施，形成安全的最佳实践，并在此实践的基础上进行日常运营和持续改进。
在整个安全体系的建立过程中，应重点梳理业务系统相关实施与运维支持相关的制度和流程，以内控管理制度为基础，参考ISO20000及ISO270001相关标准，设计具有一定前瞻性的业务系统内控体系框架；对业务系统关键流程、风险控制、制度及文档体系进行评估，提出内部整改方案，与信息安全解决方案整体考虑，统一实施。在公司控制层上，应形成有效的IT治理架构、IT战略与规划、IT组织与政策等。

我公司信息安全解决之道：
我公司拥有多年的企业信息化建设的经验，在企业信息安全方面可以提供专业经验和行业知识，能够运用我们的解决方案和专业技术，确定业务和技术的发展趋势并寻求最佳解决方案来帮助客户。
我们的咨询团队可以深入了解客户业务，帮助客户实现卓越高效的信息安全。在信息安全的几个领域，我们拥有先进技术或有长期合作的技术领先的公司，我们携手合作，为客户提供最佳的服务。比如，在身份认证和访问管理方面，我们与日本NTT Data合作，提出 统一用户管理VIM和单点登录（SSO）产品解决方案；在数据安全和隐私方面的保护方面，我们提出DRM数字版权管理解决方案，可以有效防范数据泄密，保证数字产品的授权、加密、阅读、转换等过程中的数字版权保护；在企业安全应用、基础架构安全以及业务的连续性管理方面，我们结合日立公司的系统运行管理软件和桌面管理软件，全面介绍这方面的解决方案。

1.3 信息安全方案特点
1.3.1 设计基本原则
安全体系建设总体目标是：对企业信息化进行全方位、分层次的安全保护，建立动态信息安全防护体系，实现加强系统的安全，保障网络的畅通及相关应用系统的可靠运行，减少各种安全事件对信息系统的威胁，避免信息安全事件造成的损失。
建设系统安全体系应遵循以下原则：
l 整体性原则
结构化分析安全问题，做到全面覆盖，突出重点
l 符合性、标准化与规范化原则
依据国家信息安全政策、符合相关法规标准要求。安全体系的整体设计要求基于国际标准和国家颁布的有关标准（比如：等级保护、分级保护、SOX、企业内部控制基本规范等），坚持统一、标准、规范的原则，为未来业务发展奠定良好的基础。
l 针对性原则
根据客户组织结构特点，网络特点、业务特点，针对性解决安全问题。
l 可持续性，灵活性与可扩展性原则
应满足信息系统全生命周期的持续安全保障要求。安全体系设计必须具有良好的灵活性与可扩展性，能够根据业务不断深入发展的需要，提供技术升级、系统更新的灵活性。在软件升级时不应影响组织的日常办公工作。
l 可管理性与易维护性原则
随着公司业务的不断发展，安全管理任务必定会日益繁重，因此系统安全体系的建设必须有良好的可管理性和易维护性。
1.3.2 建设目标及要求
信息安全保障工程建设的总体目标是：切实为信息系统提供可靠的安全服务，增强信息系统安全性，从技术角度防范信息系统安全风险，为促进业务系统效率提供安全保障，实现系统的安全资源共享和相互配合服务，为信息系统数据传输提供安全保障，全面推动信息系统安全在系统中的应用。
安全体系建设的具体目标：
l 构建可信可控的网络平台
　　合理划分安全域，明确不同安全域之间的信任关系，并相应地采取物理隔离、防火墙、访问控制列表等安全措施，实现不同安全域之间网络层面的访问控制和检测；
l 构建安全可靠的系统平台
　　通过部署完善的各安全子系统及存储备份系统，并结合全面的安全服务和管理，实现系统层面的访问控制和数据的存储安全；
l 构建安全有效的管理平台
在充分利用目前先进的安全技术的基础上，加强管理建设，建立有效的责任机制、人才培训机制、应急响应机制，完善安全管理制度，为信息化建设和运维提供安全有效的管理保障。
1.4 安全体系基本内容
信息系统安全管理是由用户、应用软件厂商、系统软件厂商、硬件设备厂商等多方提供的，对于安全体系的分析大体如下：
系统安全应包含以下三方面的内容：
保密性：防止网络中信息被泄漏或被非授权实体使用，确保信息只能由授权实体知晓和使用；
完整性：系统的数据不被无意或蓄意的删除、修改、伪造、乱序、重放、插入或破坏。数据只能由授权实体修改；
可用性：数据或服务在需要时允许授权个人或实体使用。
从网络安全技术的观点分析，安全问题分以下几类：
1、物理安全：是主机和网络设备等硬件的安全。
2、网络安全：通过网络链路传送的数据被窃听；非法用户与非授权的客户的非法使用，而造成网络路由错误，信息被拦截或监听。
3、系统安全：目前流行的许多操作系统和数据库系统均存在系统安全漏洞，如Windows操作系统和其它一些操作系统。
4、应用安全：事实上在网络系统之上的应用软件服务，如应用服务器、电子邮件服务器、Web服务器等均存在大量的安全隐患，很容易受到病毒、黑客的攻击。
5、信息安全：包括规范化操作、合法性使用、防止信息泄露、信息篡改、信息抵赖、信息假冒等等。
1.5 安全体系结构建议
本系统的安全体系的整体建议分为三个层面：安全组织体系、安全管理体系、安全技术体系。本系统的安全体系结构中的安全技术体系需要与系统开发技术紧密结合，大体框架为下图中间部分所标示：

1.6 信息安全 通用方案
1.6.1 安全系统架构
一般来说，信息系统在网络布局上包括了互联网、专网、局域网；在业务类型上分为公开信息系统和受控信息系统；在数据存储和传输上分为可公开资源和保护资源，为此将交易系统安全架构分为：网络系统安全、应用系统安全和数据安全。
应从安全管理机构、安全管理制度、安全管理技术和安全教育培训等方面加强信息管理系统的安全性。安全系统从架构上分为多层，每个安全层有各自的功能和作用范围，如下图所示。

n 网络系统安全
边界安全防护：为信息管理系统网络系统提供基本防护服务，包括防火墙、入侵检测。
操作系统安全保护：漏洞扫描、防病毒、网页防篡改等。
故障恢复和备份服务：保证出现意外事故时系统运行的连续性，信息系统应具备可靠、可查、可恢复等。
n 应用系统安全
认证与授权：为应用系统提供身份认证、授权服务和访问控制等。
n 数据安全防护
数据安全防护：主要提供包括加解密、签名及签名验证等安全服务，以支持信息的机密性、完整性和不可抵赖性。
n 安全管理系统
从行政管理和制度建设方面全面建立安全管理系统。
n 安全信任系统
构筑安全信任系统，通过PKI、密码服务系统的建设保障身份认证、权限认证、和数据加密过程的安全控制；通过DRM数字版权保护系统的实施，从根本上解决文件泄密，达到知识产权保护的目的。
1.6.2 安全管理系统-制度建设
n ISO27001
信息安全管理体系标准（ISO27001)可有效保护信息资源,保护信息化进程健康、有序、可持续发展。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的 ISO9000标准。
n ITIL
ITIL是Information Technology Infrastructure Library的缩写。ITIL融合全球最佳实践，是IT部门用于计划、研发、实施和运维的高质量的服务准则，是目前全球IT服务领域最受认可的系统而实用的结构化方法。ITIL已经成为IT服务管理领域最佳实践事实上的国际标准。ITIL可以与ISO 9001兼容，提高IT组织服务质量。
n ISO20000
ISO20000标准着重于通过“IT服务标准化”来管理IT问题，即将IT问题归类，识别问题的内在联系，然后依据服务水准协议进行计划、推行和监控，并强调与客户的沟通。该标准同时关注体系的能力，体系变更时所要求的管理水平、财务预算、软件控制和分配。

1.6.3 边界防护设计
1.6.3.1 概述
建设网络防护系统的目的是将网络系统在计算机网络的链路层、网络层和传输层建立各个局部网络的边界安全防护体系，把可能出现的网络安全风险减少到较小的程度，与其它安全防护措施配合工作，保证整个网络的安全。
网络层安全保护也可称为边界防护，是指在属于可信安全域的内部网络与不可信的外部网络连接时，对内部网络与外部网络连接的边界进行保护。这一概念不但适用于各交易中心网络与专网之间的防护关系，也能运用在各个业务子网之间的安全保护中。
网络层边界保护方案根据安全保障体系建设的要求，通过各种边界保护策略，提供全面的边界保护，这里本着多重深度防御的思想。
1.6.3.2 设计规范和依据
〈〈计算机信息系统安全等级保护通用技术要求〉〉；
〈〈计算机信息系统安全等级保护网络技术要求〉〉；
〈〈计算机信息系统安全等级保护操作系统技术要求〉〉。
1.6.3.3 主要功能
1、防火墙
1） 布署位置
与互联网连接的外网接口处；
核心数据存储区入口处；
与专网连接的入口处；
2） 基本功能
对防火墙保护的内部网络提供的服务进行限制—服务过滤；
对防火墙保护的内部网络提供访问地址限制—IP地址过滤；
对防火墙保护的内部网络提供屏蔽保护并提供附加地址资源—NAT网络地址转换；
对合法的访问连接动态地打开所需的端口，并在连接结束的时候，自动地关闭—动态过滤；
提供网络数据流的安全审计功能，提供网络活动日志，并对部分网络攻击和可疑网络活动报警。连接到高风险外部网络的内部网络，必然会遭受攻击。这需要网络管理员审计通过防火墙的重要信息，并及时响应审计发现的问题和报警信息；
提供安全代理访问、防止某些利用异常协议数据进行的网络攻击；
支持设定多种安全域，并对各个安全域实施不同的安全策略。包括在内部网络节点和外部网之间设立非军事区DMZ域；
支持设备的MAC地址与IP地址绑定，可以防止内部网络的IP伪冒和滥用；
具有一定的分布式拒绝服务攻击抵御能力。
2、入侵检测
现代信息安全保障体系建设要求对安全环境进行动态监测，以便能够发现安全态势的变化，检测外部入侵，发现违规网络活动。因此需要在信息系统网络节点配置网络入侵检测系统（IDS）。
1） 布署位置
与互联网连接的外网接口处。
2） 基本功能
入侵是破坏计算机或网络系统信息保密性、完整性、可用性的行为。包括来自目标网络外部的非法入侵和授权用户进行的违规访问。入侵检测系统能够监视和分析发生在计算机系统或者网络上的事件，并根据系统安全策略进行攻击响应。
网络入侵检测系统以嗅探器方式侦听网络信息流，分析截获的网络数据包，发现入侵或异常行为，并进行报警、记日志和攻击阻断等响应。IDS能够全面的记录和管理日志，进行离线分析，并对特殊事件提供回放功能。
3、路由控制
除了利用防火墙进行基本网络边界保护以外，可以利用具有网络控制功能的设施进行辅助网络边界保护，这就是路由控制机制。路由控制机制主要是依靠路由器、交换机等智能网络设备来实现，利用路由控制机制可以实现内部的网络安全分割。
1） 布署位置
与互联网连接处；
与专网的连接处；
2） 基本功能
路由器具有ACL访问控制功能，能够实现基于简单安全策略的数据包过滤，可以用于实现辅助网络边界保护。虽然路由器的访问控制功能和安全保护性能不如防火墙，在一些未配置防火墙的网络节点，它可以部分代替防火墙功能。
抗分布式拒绝服务（DDOS）攻击，分布式拒绝服务攻击网络系统的可用性，是一种难以防范的网络攻击形式，通过路由控制可以抵御DDOS攻击。
4、虚拟局域网VLAN
在交换以太网环境下，利用虚拟局域网VLAN技术可以有效地改善网络安全性和网络性能。
VLAN是指在交换局域网的基础上，通过支持VLAN的交换机系统构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个 VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。
系统网络的VLAN划分可根据子网结构和网络应用系统的实际情况，按以上策略进行划分，并根据系统安全策略控制相应VLAN的访问权限。
1） 外网区网络安全策略
外网的防护是边界防护的重点，它包括了防火墙、入侵检测、路由控制。
其中防火墙采用双机热备份结构，防止出现“单一失效点”。
在外网与内网数据区之间采用逻辑隔离保护措施。
2） 核心数据区网络安全策略
由于核心数据区的重要性，为其配备了防火墙、入侵检测、VLAN以及基于设备的安全认证系统。（安全认证系统不属于网络层面的防护体系，它是基于PKI的高级信任设施，属于交易中心总体安全架构的内容。）
3） 应用业务区网络安全策略
各个应用子系统之间采用逻辑隔离保护措施，包括了防火墙和VLAN划分。
1.6.4 系统安全保护
1.6.4.1 概述
操作系统是业务和关键信息的主要承载体，只有保障操作系统平台的安全和正常运行，才能保证系统为用户提供各种应用服务。对主机操作系统的保护成为系统安全防御中的重中之重。
多数的攻击和入侵目标是网络中的主机。针对主机操作系统的安全威胁主要包括：计算机病毒感染、系统漏洞、非法攻击、特洛伊木马等。
操作系统保护包括对重要服务器和主机的保护。
操作系统保护的总体目标是保障操作系统平台的安全和正常运行，为应用系统提供及时多样的服务。
1.6.4.2 主要功能
1、病毒防治
本方案中的病毒防治系统主要对安全支撑平台中可能感染的病毒进行查杀，具有如下基本功能：
n 支持对网络、服务器和工作站进行实时病毒监控；
n 能够在中心控制台上向多个目标系统分发新版杀毒软件；
n 能够在中心控制台上对多个目标系统监视病毒防治情况；
n 支持多种平台的病毒防范；
n 支持对Internet/Intranet服务器的病毒防治，能够阻止恶意的Java或Active X小程序的破坏；
n 支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒；
n 支持对压缩文件的病毒检测；
n 支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，删除，重命名等；
n 提供对病毒特征信息和检测引擎的定期在线更新服务；
n 支持日志记录功能；
n 支持多种方式的告警功能（声音、图像、EMAIL等）。
2、漏洞扫描
漏洞可以分为：
n 设计漏洞：系统设计缺陷；
n 实现漏洞：软件编码缺陷；
n 配置漏洞：系统参数错误；
漏洞的防范是增强系统安全的主要手段之一。通过调整系统配置、软件升级和给系统打安全补丁改善系统安全状况，其中最主要的是操作系统内核的加固：
采用高等级安全操作系统是解决系统安全的根本性方法。目前安全操作系统的应用受到安全操作系统产品本身成熟度和所支持的应用系统与辅助硬件的限制。操作系统的内核加固是可选择的改善操作系统安全性的重要途径。
对特别重要的主机系统进行操作系统内核加固。
3、黑客防护
网络黑客而言，他们的主要目的在于窃取数据和非法修改系统，其手段之一是窃取合法用户的口令，在合法身份的掩护下进行非法操作；其手段之二便是利用网络操作系统的某些合法但不为系统管理员和合法用户所熟知的操作指令。
信息网络系统要弥补这些漏洞，需要使用专门的系统风险评估工具，来帮助系统管理员找出哪些指令是不应该安装的，哪些指令是应该缩小其用户使用权限的。在完成了这些工作之后，操作系统自身的安全性问题将在一定程度上得到保障。
这里包括主页防篡改技术。
4、系统监控
安全审核在系统外部对受保护的系统自动地模拟各种访问动作，通过系统对这些动作的响应对系统的安全状况进行评估。安全审核通过改善系统对经典安全模型的实现（包括安全机制的实现和使用）达到增强安全性的目的，典型的产品如ISS的扫描器。
系统监控：在交易中心和各分中心分别建立网络系统监控系统，提供对网络服务器和网络交换设备的监控。
1.6.5 应用系统安全
应用系统的安全方案涉及以下几个方面的建设：
n 身份认证服务系统；
n 访问控制及授权管理；
n 数据加密；
n 操作留痕。
1.6.5.1 身份认证服务系统
身份认证系统基于PKI体系架构，利用公钥证书在系统中表明个体和机构的身份，该公钥证书和密码系统结合可以为应用系统提供安全保障。身份认证要解决的根本问题是验证操作者有效性问题，PKI应用的核心就是利用数字证书实现身份认证，这种证书称为公钥证书或签名证书。
身份认证服务系统的作用范围主要包括以下几个方面：
n 应用系统的管理平台，用于提供管理员登录的身份验证；
n 各个应用系统的信息维护平台，用于对子系统维护的注册认证；
n 各种设备之间的访问接入，提供了对各种设备的身份注册和认证。
1.6.5.2 授权管理与权限认证
任何多用户的信息系统不可避免的涉及到权限管理问题，系统的使用者越多、使用者本身的社会属性或分工越复杂，权限问题也就越复杂。
本系统基于传统权限访问控制技术，实现统一用户管理系统，能实现统一的用户身份和角色管理、系统级访问控制管理和统一的注册认证，同时为各应用系统提供用户信息共享服务，实现单点登录、互联互通。
1.6.5.3 数据加密
通过PKI加密、数字水印加密等技术手段，对重要资源进行高强度安全保护。
1.6.5.4 审计服务和管理
由于在SSO系统中，用户从唯一的入口通过单一的身份来登录所有应用系统，因此在用户的登陆入口处可以集中进行审计记录。这种审计记录基于用户身份，可以准确地记录用户对资源访问的详细情况，为抗否认性提供了依据，并可以实现完善的审计服务和管理。通常的HTTP记录不包含用户信息，只能记录到IP。通过对SSO日志的分析，可以统计出信息的讯问频率，得出用户访问某些资源的兴趣和次数。
1.6.6 数据安全防护
信息数据系统的安全保护其主要目的是：防止各应用系统中的数据资源的丢失、被篡改、非授权访问，以及建立全面操作核查数据比对管理体系，提高基本数据源使用的安全可靠性。
为了实现上述目标，方案在数据层安全保护方面重点从以下几个方面进行规划：
·数据存储安全：保障数据源信息的数例存储；
·数据传输安全：确保数据在信息交换、传输中的安全；
·数据备份与恢复：在数据源被毁坏的情况下确保数据可被恢复，保障系统正常运行；
·数据核查：完善对数据源及其操作的监管能力。
系统的数据信息来源较多、类型繁杂，在对交易中心的业务应用系统进行调研分析后，根据所处理和存储的数据在重要程度及保密性、完整性、可用性等方面的不同要求，将采用防丢失、防篡改、防窃取等技术措施，提高对重要数据的保护力度。
1.6.7 安全保障手段和技术方法要求
针对信息系统数据的安全分级与分类，以及应用系统的关键性、数据更新频率、数据集中程度、不可抵赖性等因素，采取各种保护措施，对必须保护的数据提供足够的保护，对不重要的数据不提供多余的保护。
要求的安全技术有：
·身份认证鉴别；
·访问控制；
·关键数据加密；
·防伪水印；
·安全审计。

1.7 信息安全 专项方案
1.7.1 4A安全解决方案
4A级解决方案着眼于应用级和系统级的集中统一的帐号（Account）管理、授权(Authorization)管理、认证（Authentication）管理和安全审计(Audit)的安全系统。
1.7.1.1 解决方案特点
方案特点
n 统一的身份、账号管理体系，业务系统基于主账户的强身份认证和统一入口。
n 账户同步机制，非法账号、休眠账号的发现、检测与控制。
n 身份认证集中完成，适应企业内部多个身份，角色自由切换。
n 授权管理统一完成，管理分级、分权，灵活设置用户不同的访问策略。
n 主机、网络设备、业务系统、中间件等IT环境轻松集成
n 可以采用数字证书，通过加密、签名等有效手段保证网络层、应用层、内容层安全可靠的认证机制
n 实现单点登录, Agent型反向代理方式，支持跨企业，支持Web、C/S
n 集中安全审计管理，收集、记录、管理用户对业务支撑系统的高敏感度的数据访问和关键操作行为记录。
n 适用于SOX法，可平稳实现对《企业内部控制基本规范》的支持
管理范围：
n 应用资源
业务支撑系统的所有应用系统，包括绩效，CRM，供应链，HR等。
n 系统资源：
业务支撑系统的所有后台系统，包括主机操作系统、数据库系统、网络设备、安全设备（防火墙）等。
1.7.1.2 VIM和SSO产品介绍
· ID・权限的一元管理
・对分散在多个系统中的的用户信息和权限信息进行统一管理。
· 信息自动更新提供功能
・通过对用户信息的登录和变更操作，相互联动的各业务系统自动进行权限赋予和停止。
· 自助服务
・最终用户自己进行密码的再设定和个人档案的更新。
· 监控・报告
・现在的帐户状况（可用ID、已停用ID、权限设定状态）等信息的记录和报告。
・帐户作成／废除、权限赋予／变更、申请／承认等的记录和报告。
・用户登录和使用各业务系统资源的记录和报告。
· 申请作业流程
・用户可以进行访问权限变更的申请，管理者可以进行审查和承认。
· 帐户的生命周期管理
・通过对帐户进行定期的盘点，实现帐户的生命周期管理（从帐户生成到删除）。
· 与单点登录系统联动
・通过与SSO的联动，可以实现Web系统的单点登录。
· 高度认证对应
・通过与IC卡・指纹认证・PKI等的联动，实现高精确度的认证机能。
· 多样的信息服务接口
・通过提供如LDAP、Web（IIS、Netscape、Apache、Domino等）、ActiveDirectory、Radius等多种服务接口，可以为各种各样的系统提供认证服务功能。

· VIM的内部控制功能
内部控制系统是指在企业等组织内部，为消除违规行为、操作故障、误操作，通过制订组织有効运营所必需的各项业务基准和手续，在此之上进行管理・监督・保障等一系列工作所需的组织机制。
萨班斯・奥克斯莱法案（SOX法）规定，构筑和运行公司内部控制系统是经营者的义务，与此同时通过外部监管人员对之进行监管并公开发表监管意见也是经营者的义务之一。在我国,由五部委联合出台了《企业内部控制基本规范》，用于提高和规范企业进行内部控制管理。“内部控制”必要的基本功能一般包括以下項目。

項　　目
概要説明
Directory
Identity
内部控制主要功能
ＩＤ发行・同步
ＩＤ/ＰＷ新增・删除，在各系统中自动同步
○
○
口令管理
基于口令策略，督促口令定期更新
△部分实现）
○
策略管理
定义管理用户ＩＤ和角色之间的对应关系
×
○
自助服务
用户可自行更新、初始化口令
×
○
日志分析・报告作成
使违规ＩＤ发行、不当授权等的调查成为可能
×
○
访问管理
管理用户可访问的系统及可访问的功能范围
△部分实现）
○
单点登录
一次认证后，可使用许可范围内的所有功能
×
△（需其他系统支持）
工作流程
定义新用户ＩＤ发行相关処理流程，并内置审批程序
×
○
· SSO功能一览
功能
说明
认证方式
密码认证功能
对访问用户的ID和密码进行验证，确定是否可以访问。
数字证书认证功能
对访问用户的数字证书进行验证，确定是否可以访问。
IC卡认证功能(PKI)
对访问用户的ID卡里保存的数字证书进行验证，确定是否可以访问。
生物认证功能
对访问用户的指纹进行进行验证，确定是否可以访问。
客户认证(需要定制开发)
根据所生成的客户模块，非标准方式的任意设备进行对应与验证。
认证数据库
LDAP认证功能
执行LDAP服务器联结以及取得用户信息。
PKI认证功能
使用CA证书以及CRL对CA认证中心发布的证书进行确认。
客户认证(需要定制开发)
生成联结外部数据库的模块，可以使用认证策略对任意数据库进行认证。
认可
认可
对访问用户是否具有Web页面的访问功能进行确认。
高度ACL认可功能
根据多个指定的条件进行访问控制列表的认可处理的功能。
单点登录
代理型反向代理方式
不依存于Web服务器的操作系统和开发语言；
可以分阶段向大规模组织中导入；
能适用于多种不同的Web服务器混在的环境。
跨域的单点登录
可以实现多个域间的单点登录功能。
单点注销
即使在多个域中运行，也能一次性注销。
认证脚本功能
对于现有的BASIC FORM认证的Web应用软件，能利用脚本语言替代登录。
信息提供功能
能够通过Cookie向AP提供访问用户信息。
独立代理功能
对于不支持的Web服务器，能够独立地设置代理。
插件(需要定制开发)
利用开发的代理插件，对任意的Web应用软件进行链接。
防修改功能
利用数字证书防止非法修改Cookie的内容。
SSL功能
支持认证服务器与代理的通信,同时实现代理与Web服务器之间的的加密。
访问Ticket加密
对Cookie的内容进行数字加密。
IP地址检查
对访问Ticket监听，如果IP地址不同，即使重复提交，也会被拒绝。
登录服务器可对外扩展
根据登录用户的数量和信赖条件，登录服务器可以进行向外的扩展。
Web服务器的负荷分散
可以适用于负荷分散的Web服务器。
履历输出
对所有的访问进行记录并可以进行报表输出。
Web设置变更
可以从Web页面进行代理的设置或者变更。
远程设置
能通过远程进行履历的查询和代理设置与变更。
测试功能
能与任意的用户登录，进行支持SSO对应的应用软件测试。
手机访问
利用手机，通过手机网关实现SSO单点登录。
VIM联动
与 Identity Manager进行联动。

1.7.2 PKI安全解决方案
我公司提供PKI安全解决方案，通过电子证书认证，可以满足证书管理需求，方便、快捷的对证书生命周期进行管理；通过此系统可以真实表示网络环境中用户的身份，完善统一身份认证管理、权限认证，实现数字加密、数字签名以及其他的扩展应用。
PKI是硬件、软件、人员、策略和操作规程的总和，它们要完成创建、管理、保存、发放和废止证书的功能。PKI 基于公开密钥加密算法来保证网络通讯安全。
数字加密的特殊应用包括数字证书、数字签名。
几种认证方式的比较

用户名/口令
动态口令
生物特征
数字证书
（非对称密钥）
安全性
低
较高
高
高
双向认证
单向
单向
单向
双向
确保信息的保密性、完整性和不可否认性
不能
不能
不能
能
成本
低
较高
最高
高

PKI系统总体结构
• CA：基本任务证书申请、发放、归档、废止、恢复、更新、查询等
• RA：进行用户身份信息的审核，确保其真实性；证书下载、发放、管理
• 证书受理点：录入、审核、提交身份信息；制作、发放数字证书
• 密钥管理中心-KMC：密钥的生成、分发、备份、恢复、更新、归档、查询、销毁
密钥管理中心
受理点
受理点
受理点
受理点
RA
RA
CA
D/B
D/B
D/B
HSM

证书/密钥的存储设备
• 硬盘
• 软盘
• IC卡
• Others，如：USB Key

建设PKI的必要性
n 数字证书：保证业务用户或者是系统服务器的身份认证
n 数据加密：保证业务数据的保密性
n 数据签名+数字时间戳：保证业务操作的不可抵赖性
n 数据签名：保证数据的完整性
n 数字证书扩展应用：结合业务逻辑方便的实现访问控制

－内部资料，注意保密－ Page 22 of 22