安信信托服务器安全管理方案

1. 服务器网络拓扑结构

用户1用户n互联网硬件防火墙路由器服务器1服务器n

2. 服务器安全性维护

服务器安全性维护主要包括三个层面： 1) 网络硬件防护 2) 软件安全防护 3) IT管理员维护

2.1 网络硬件防护

推荐本系统采用硬件防火墙作为系统的网络硬件防护措施。

硬件防火墙是指把防火墙程序做到芯片里面，位于操作系统的更底层，由硬件执行这些功能，能减少CPU的负担，使路由更稳定，并能够提供部分软件防火墙不能提供的其他功能，如内容过滤、入侵侦测、入侵防护以及VPN等。

硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。

本系统硬件防火墙有两种措施可以采用：托管服务器和在本地机房增加硬件防火墙，两者之间的对比如下表所示：

托管机房 约8000元/年*台 1. 当服务器少时，费用较便宜； 本地机房增加硬件防火墙 约4万元，一次性消费 1. 相对来讲，数据安全性高； 费用 优点 2. 当服务器多时，均摊价格小，费用2. 硬件防火墙性能好； 便宜； 1. 只能通过合同手段约束服务器硬盘不被窃取； 1. 服务器被破解后，仍然存在被窃取的可能性； 2. 当服务器少时，价格贵； 3. 自主购买的硬件防火墙，如果要达到托管机房的性能，价格高； 缺点 2. 服务器被破解后，仍然存在被窃取的可能性； 3. 当服务器多时，价格贵； 上表中，如果采取“在本地机房增加硬件防火墙”的方案，推荐采用华为Eudemon 300，性能为：

 防火墙类型：电信级防火墙  人数： 无用户数  网络吞吐量：1000Mbps  入侵检测： DDoS

 主要功能： 采用先进的动态检测技术(ASPF)  网络管理： SNMP(V1/V2c/V3), 命令行和GUI  安全标准： 支持DES、3DES、AES、国密专用算法...  控制端口： Console口

2.2 软件安全防护

系统采用Windows 2003 server作为操作系统，为加强系统的防护工作，需要增加以下的防护工作：

1. Windows系统的更新：

微软会不定期的针对server 2003发布相应的更新，因此需要保证操作系统始终处于及时更新的状态； 2. 反病毒软件安装及其更新：

国内也称杀毒软件，简称杀软，是一种可以对病毒、木马等一切已知的对计算机有危害的程序代码进行清除的程序工具，通常集成监控识别、病毒扫描和清除和自动升级等功能，有的反病毒软件还带有数据恢复等功能。 后两者同时具有黑客入侵，网络流量控制等功能。

系统的反病毒软件要始终保持对病毒库的更新，并至少每天保证一次对磁盘的扫描，同时，由于杀毒的过程消耗较多的CPU资源，推荐设置在凌晨0点开始进行杀毒操作。 3. 软件防火墙处于打开状态：

虽然系统已经采取了硬件防火墙，但是为了安全起见，也需要将软件防火墙处于开启状态，尤其在托管机房中的服务器，由于硬件防火墙不可能对端口进行很好的屏蔽，因此需要利用软件防火墙实现对端口屏蔽等操作。

在本系统中，推荐采用以下的反病毒软件和防火墙： 1. 反病毒软件，推荐卡巴斯基杀毒软件。

其优点包括：

a) 几乎所有的功能都是在后台模式下运行，但是占用资源很高； b) 最具特色的是该产品每2小时更新病毒代码；

c) 更新文件只有3-20kb，对网络带宽的影响极其微小，能确保用户系

统得到最为安全的保护；

d) 对木马的查杀优于很多国内软件； 该软件的缺点为：

a) 对电脑的硬件和软件要求相对较高； b) 杀毒速度慢（扫描文件过多）；

2. 软件防火墙，推荐采用McAfee，该软件具有：

a) 保护个人信息； b) 即时报警；

c) 详细事件记录； d) 阻塞特定的互联网系统； e) 多层安全； f) 24小时自动更新；

g) 整合了hackerwatch.com的资源，使得能查看详细的攻击信息； 如果系统已经采用了硬件防火墙，也可以采用Windows自带的防火墙。 需要注意的是：

1. 为确保系统的安全性，Windows server 2003、卡巴斯基杀毒软件、防火墙都推荐采用正版软件；

2. 要始终保证操作系统的更新最新的补丁； 3. 要保证杀毒软件的病毒库是最新的；

2.3 IT管理员维护

软件系统安全性是一场“矛”与“盾”的较量，非法分子想出各种各样的手段去攻击现有的操作系统、杀毒软件和防火墙的漏洞，而目前的杀毒软件、防火墙都还不具备智能的发现未知病毒（危险）的能力，因此作为以信息为基础的公司，需要加强对IT管理员这一岗位的重视。

IT管理员在维护方面需要做到以下工作：

1. 至少每周一次的系统日志的整体审查，包括操作系统日志，杀毒日志，

防火墙日志等；如果时间允许，IT管理员最好能够对上述日志进行每天一次的例行审查，以判断是否存在非法侵入等情况；

2. 如果存在自己的硬件防火墙，要维持硬件防火墙至少每周一次的例行检

查，包括配置文件、磁盘使用情况、CPU负载、精灵程序、系统文件、异常日志等；如果时间允许，IT管理员最好能够对上述日志进行每天一次的例行审查； 3. 对系统重要数据的备份：

目前的系统运行是支撑在数据库的基础上，如果出现数据丢失的情况，后果非常严重；因此IT管理员要维持对系统数据的日常备份，一般可以采用每周一次全备份，每天一次差量备份的方案。

在经济条件允许的情况下，最好做到双服务器互相备份，从而更好地保证系统的安全性。

当然，IT管理员除了要做到以上的维护操作以外，还需要进行其日常的其他操作，例如操作系统安装、正常软件程序的安装卸载、公司网络管理维护等。