概述
2001年11月，美國最大的能源企業(yè)安然由于各種丑聞事件的爆發(fā)而宣告破產(chǎn)，安然公司的破產(chǎn)并非偶然，公司治理的內(nèi)部機(jī)制和外部機(jī)制出現(xiàn)的嚴(yán)重問題是其根本原因所在。在這樣一個背景下，企業(yè)安全內(nèi)控建設(shè)成為各個企業(yè)所關(guān)注的焦點(diǎn)，而在企業(yè)安全內(nèi)控建設(shè)的動力方面又分為外因與內(nèi)因兩部分。
內(nèi)因的產(chǎn)生主要是由于包括企業(yè)內(nèi)部對知識產(chǎn)權(quán)保護(hù)及機(jī)密性信息保護(hù)的要求及在實際信息工作中所遇到的問題所推動的。而外因主要包括在大環(huán)境下的法規(guī)遵從要求，具體如下圖：
薩班斯法案
SOX法案共分11章，公認(rèn)薩班斯法案中最嚴(yán)苛、最復(fù)雜、執(zhí)行成本最高的404條款規(guī)定，在美上市企業(yè)必須建立內(nèi)部控制體系，包括控制環(huán)境、風(fēng)險評估、控制活動、信息溝通和監(jiān)督五個部分。內(nèi)部控制活動的記錄不僅要細(xì)化到諸如產(chǎn)品付款時間之類的細(xì)節(jié)，而且對重大缺陷都必須予以披露。
圖1: SOX相關(guān)條款
信息安全等級保護(hù)
1994年《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號令）規(guī)定，“計算機(jī)信息系統(tǒng)實行安全等級保護(hù)，安全等級的劃分標(biāo)準(zhǔn)和安全等級保護(hù)的具體辦法，由公安部會同有關(guān)部門制定”。2003年中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)的《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號）明確指出“實行信息安全等級保護(hù)”，“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級保護(hù)制度，制定信息安全等級保護(hù)的管理辦法和技術(shù)指南”。
GB 17859_1999 |
信息系統(tǒng)安全等級保護(hù)定級指南 |
信息系統(tǒng)安全等級保護(hù)基本要求 |
信息系統(tǒng)安全等級保護(hù)實施指南 |
信息系統(tǒng)安全等級保護(hù)測評要求 |
信息系統(tǒng)安全等級保護(hù)評估指南 |
信息系統(tǒng)安全等級保護(hù)管理監(jiān)督檢查要求 |
能源行業(yè)內(nèi)控管理需求
目前國內(nèi)三大石油公司中石油、中石化、中海油均在美國上市，為了應(yīng)對薩班斯法案對企業(yè)內(nèi)控提出的要求，必須加大信息系統(tǒng)在總體控制方面的責(zé)任，在信息系統(tǒng)對管理流程的介入程度上，采取自上而下的基于風(fēng)險管理的分配原則，盡量縮減成本，同時實現(xiàn)內(nèi)控的合理化、流程和控制的集中化。
圖2: 能源企業(yè)安全體系建設(shè)模型
能源行業(yè)安全內(nèi)控管理解決方案
生產(chǎn)商本身也需要通過相關(guān)薩班斯法案的審計，利用自身作為ITOIP解決方案提供商的優(yōu)勢。結(jié)合自身的相關(guān)經(jīng)驗，石油石化行業(yè)推出了安全內(nèi)控管理解決方案。。
◆ 安全網(wǎng)絡(luò)－固化企業(yè)內(nèi)控管理
內(nèi)部控制對數(shù)據(jù)的安全保護(hù)貫穿數(shù)據(jù)生命周期的全過程，根據(jù)數(shù)據(jù)的構(gòu)成，在任何情況下，數(shù)據(jù)只存在于“計算”、“通訊”與“存儲”三種狀態(tài)之一，其中對通信安全的保障是企業(yè)內(nèi)控重要部分，為遵循薩班斯法案的數(shù)據(jù)保護(hù)要求能源企業(yè)需要建立一個具有主動防御能力的安全網(wǎng)絡(luò)，提出了智能安全滲透網(wǎng)絡(luò)iSPN解決方案可以為能源行業(yè)提供一個很好的解決辦法。
圖4: 智能安全滲透網(wǎng)絡(luò)
智能安全滲透網(wǎng)絡(luò)（iSPN, intelligent Safe Pervasive Network）是一個整體安全架構(gòu)，從局部安全、全局安全、智能安全三個層面，為用戶提供一個多層次、全方位的立體防護(hù)體系，使網(wǎng)絡(luò)成為智能化的安全實體。局部安全針對關(guān)鍵問題點(diǎn)進(jìn)行安全部署，抵御最基礎(chǔ)的安全威脅；全局安全利用安全策略完成產(chǎn)品間的分工協(xié)作，達(dá)到協(xié)同防御的目的；智能安全在統(tǒng)一的安全管理平臺基礎(chǔ)上，借助于開放融合的大安全模型，將網(wǎng)絡(luò)安全變?yōu)閺母兄巾憫?yīng)的智能實體。
解決方案優(yōu)勢
全面的邊界安全防護(hù)
推出基于核心交換機(jī)的SecBlade防火墻/IPS模塊和SecPath防火墻/IPS盒式設(shè)備，是業(yè)界唯一能同時提供萬兆插卡和盒式設(shè)備的廠商，可根據(jù)用戶的實際情況提供兩種不同產(chǎn)品形態(tài)的解決辦法。
SecPath/SecBlade防火墻產(chǎn)品集成了包過濾和狀態(tài)檢測技術(shù)，對不同信任級別的安全區(qū)域制定相應(yīng)安全策略，防止非授權(quán)訪問。SecPath盒式設(shè)備支持 OAA開放應(yīng)用架構(gòu)，可在設(shè)備上部署防病毒、網(wǎng)流分析等業(yè)務(wù)模塊；SecPath/SecBlade IPS是業(yè)界唯一集成漏洞庫、專業(yè)病毒庫、協(xié)議庫的IPS產(chǎn)品，特征庫數(shù)量已達(dá)上萬種，并保持不斷更新，能精確實時地識別并防御蠕蟲、病毒、木馬、DDoS等網(wǎng)絡(luò)攻擊，細(xì)粒度地控制P2P/IM造成的帶寬濫用。
通過對防火墻和IPS的有機(jī)結(jié)合和功能互補(bǔ)，為用戶提供2-7層的全面安全防護(hù)，有效的抵御來自網(wǎng)絡(luò)邊界的各種安全風(fēng)險。
統(tǒng)一安全管理
不同廠商、不同種類的網(wǎng)絡(luò)和安全設(shè)備之間缺乏信息交互，容易形成信息孤島。SecCenter可對異構(gòu)環(huán)境下的全網(wǎng)設(shè)備進(jìn)行統(tǒng)一管理，支持上百家廠商的防火墻、IPS/IDS、路由器、交換機(jī)、防病毒系統(tǒng)、服務(wù)器等多種類型的產(chǎn)品，通過對海量信息的采集、分析、關(guān)聯(lián)、匯聚和統(tǒng)一處理，實時輸出分析報告，幫助管理員及時地對網(wǎng)絡(luò)安全狀況進(jìn)行分析與決策。
安全與網(wǎng)絡(luò)的深度融合
基于H3C在網(wǎng)絡(luò)及安全領(lǐng)域的深厚技術(shù)積累，用戶可選擇在核心交換機(jī)中增加萬兆SecBlade防火墻/IPS模塊，針對大型園區(qū)網(wǎng)、內(nèi)部區(qū)域邊界隔離等需求時，可提供完善的安全防護(hù)功能，并且無需部署獨(dú)立的安全設(shè)備，簡化網(wǎng)絡(luò)結(jié)構(gòu)，避免單點(diǎn)故障，便于用戶管理，真正實現(xiàn)安全與網(wǎng)絡(luò)的深度融合。
高可靠性
通過設(shè)備的雙機(jī)狀態(tài)熱備、L3 Monitor等先進(jìn)技術(shù)，可實現(xiàn)雙鏈路、雙網(wǎng)關(guān)備份，在鏈路故障或設(shè)備故障的情況下，及時發(fā)現(xiàn)故障并快速自動切換，極大提高網(wǎng)絡(luò)可靠性，保證用戶業(yè)務(wù)的不間斷運(yùn)行。
虛擬化安全服務(wù)
通過劃分多個虛擬系統(tǒng)來實現(xiàn)對用戶多個業(yè)務(wù)獨(dú)立安全策略部署的需求。當(dāng)用戶業(yè)務(wù)劃分發(fā)生變化或者產(chǎn)生新的業(yè)務(wù)部門時，可以通過添加或者減少虛擬系統(tǒng)的方式十分靈活的解決后續(xù)網(wǎng)絡(luò)擴(kuò)展問題，簡化了網(wǎng)絡(luò)管理的復(fù)雜度，并有效降低用戶安全建設(shè)的成本。
安全管理－強(qiáng)化企業(yè)內(nèi)控管理
在強(qiáng)化內(nèi)控管理的層面，我們提出使用統(tǒng)一的、強(qiáng)制的終端控制手段來完成對安全管理、用戶身份、訪問權(quán)限三者的統(tǒng)一控制和管理，同時采用相關(guān)的監(jiān)控手段來進(jìn)行保證，使其從三個獨(dú)立的系統(tǒng)成為一個即有聯(lián)合性又可獨(dú)立工作的功能實體。
行為監(jiān)管解決方案能徹底解決以上問題，是業(yè)界應(yīng)用識別最全面的解決方案，方案由應(yīng)用控制網(wǎng)關(guān)和安全管理平臺組成。同時, 應(yīng)用控制網(wǎng)關(guān)包括SecPath ACG盒式設(shè)備和H3C S75E/S95核心交換機(jī)上的SecBlade ACG插卡兩種產(chǎn)品形態(tài)，針對P2P/IM、網(wǎng)絡(luò)游戲、炒股、非法網(wǎng)站訪問等行為，進(jìn)行精細(xì)化識別和控制，解決帶寬濫用影響正常業(yè)務(wù)、訪問非法網(wǎng)站感染病毒蠕蟲的問題；同時，安全管理平臺SecCenter對應(yīng)用控制網(wǎng)關(guān)上報的網(wǎng)絡(luò)事件進(jìn)行深入分析并輸出審計報告，幫助管理員全面了解網(wǎng)絡(luò)應(yīng)用模型和流量趨勢，加強(qiáng)整網(wǎng)安全，提高員工工作效率。
解決方案優(yōu)勢
最全面的P2P/IM應(yīng)用控制
通過在ACG應(yīng)用控制網(wǎng)關(guān)，可精確識別BT、電驢、迅雷、MSN、QQ、Yahoo Messenger、PPLive等近百種P2P/IM應(yīng)用，可基于時間、用戶、區(qū)域、應(yīng)用協(xié)議，通過告警、限速、阻斷等手段進(jìn)行靈活控制，保證網(wǎng)速的正常和業(yè)務(wù)不被影響。
用戶非法行為管理
ACG應(yīng)用控制網(wǎng)關(guān)采用先進(jìn)的分析技術(shù)，能對網(wǎng)絡(luò)多媒體、網(wǎng)絡(luò)游戲、炒股等應(yīng)用進(jìn)行識別與控制，通過URL過濾、關(guān)鍵字過濾、內(nèi)容過濾等多種訪問控制策略，控制非法應(yīng)用，過濾非法網(wǎng)站，規(guī)范用戶上網(wǎng)行為，提高員工工作效率。
網(wǎng)絡(luò)與安全的深度融合
在網(wǎng)絡(luò)及安全領(lǐng)域的深厚技術(shù)積累，用戶可選擇在核心交換機(jī)中增加SecBlade ACG模塊，在提供完善的網(wǎng)絡(luò)應(yīng)用控制功能的同時，無需單獨(dú)部署獨(dú)立的安全設(shè)備，簡化網(wǎng)絡(luò)結(jié)構(gòu)，便于用戶管理，真正實現(xiàn)安全與網(wǎng)絡(luò)的深度融合。
用戶行為審計
SecCenter采集網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器的安全日志，結(jié)合ACG記錄的用戶應(yīng)用訪問信息，實時輸出審計報告。當(dāng)發(fā)生安全事故后，可以根據(jù)記錄的信息對用戶既往行為進(jìn)行分析和追根朔源，對潛在的破壞者可起到威懾作用。
安全統(tǒng)一管理
SecCenter可對ACG進(jìn)行圖形化策略配置，并可針對不同的用戶定制不同的安全策略。同時，SecCenter能對上百個廠商的各種產(chǎn)品進(jìn)行安全事件管理，通過對海量信息的采集、分析、關(guān)聯(lián)、匯聚和統(tǒng)一處理，協(xié)助管理員實時監(jiān)控網(wǎng)絡(luò)應(yīng)用狀況，及時發(fā)現(xiàn)安全隱患。
安全審計－深化企業(yè)內(nèi)控管理
企業(yè)會在企業(yè)網(wǎng)中部署各種安全設(shè)備，包括防火墻、防毒墻、IDS、VPN等設(shè)備。為了進(jìn)行事后的審計及操作記錄，這些網(wǎng)絡(luò)設(shè)備隨時隨地都在發(fā)送Syslog信息，每天產(chǎn)生的Log信息達(dá)到G級的數(shù)量，任何一個網(wǎng)絡(luò)管理員很難通過Syslog來準(zhǔn)確定位網(wǎng)絡(luò)發(fā)生的安全故障。
這種產(chǎn)品是基于硬件的安全智能、高效實施的安全信息及事件管理（SIEM）系統(tǒng)。它能夠提供對全網(wǎng)海量的安全事件和日志的集中收集與統(tǒng)一審計分析，兼容異構(gòu)網(wǎng)絡(luò)中多廠商的各種設(shè)備，對收集數(shù)據(jù)高度聚合存儲及歸一化處理，實時監(jiān)控全網(wǎng)安全狀況，同時能夠根據(jù)不同用戶需求提供豐富的自動報告，提供具有說服力的網(wǎng)絡(luò)安全狀況與政策符合性審計報告，系統(tǒng)自動執(zhí)行以上收集、監(jiān)控、告警、報告、歸檔等所有任務(wù)，使IT及安全管理員脫離繁瑣的手工管理工作，極大提高效率，能夠集中精力用于更有價值的活動，保障網(wǎng)絡(luò)安全，深化企業(yè)內(nèi)控管理。
SecCenter系列產(chǎn)品支持以最小資金成本進(jìn)行網(wǎng)絡(luò)安全管理，以最好的投入產(chǎn)出比來減少企業(yè)支出。它可以每秒分析高達(dá)上萬條事件，能夠滿足大型的網(wǎng)絡(luò)環(huán)境需要，通過使用SecCenter，用戶可以減少防范網(wǎng)絡(luò)安全威脅的工作和時間，可以預(yù)先滿足政府要求的安全規(guī)范，并以多種實時安全智能顯著減少網(wǎng)絡(luò)故障響應(yīng)時間，能夠發(fā)現(xiàn)、了解并預(yù)先防范黑客和病毒的活動與安全威脅。SecCenter系列產(chǎn)品的高性能、多功能和合理的價格使其成為強(qiáng)有力的IT架構(gòu)安全智能系統(tǒng)平臺。
解決方案優(yōu)勢
◆ 支持近百家主流廠商的網(wǎng)絡(luò)設(shè)備及主機(jī)系統(tǒng)
◆ 提供網(wǎng)絡(luò)拓?fù)浜屯{的可視化
◆ 可對網(wǎng)絡(luò)的安全事件進(jìn)行實時監(jiān)控與關(guān)聯(lián)分析
◆ 支持安全審計分析，管理員可根據(jù)分析結(jié)果對網(wǎng)絡(luò)問題快速定位
◆ 提供多種網(wǎng)絡(luò)檢測報告輸出結(jié)果，可直接輸出符合SOX法案合規(guī)標(biāo)準(zhǔn)的審計報告
