整体安全服务项目书.doc

整体安全服务项目书目录1.公司介绍41.1.上海AAAAA股份有限公司51.2.BBBBBB公司52.信息安全风险及银行业面临的挑战72.1.信息安全的现状72.2.国内企业信息安全方面的问题82.3.银行和金融服务机构的安全挑战82.4.安全服务项目所涉及的任务93.XXXX上海分行整体安全服务介绍114.第一阶段：风险评估124.1.第一步：边界审核和远程测试（黑箱测试）134.1.1.方法论134.1.2.信息收集134.1.3.网络结构分析144.1.4.情景分析144.1.5.模拟攻击144.2.第二步：系统分析、改善建议和应用测试（白箱测试）214.2.1.方法论215.第二阶段：解决方案236.保密原则246.1.文档管理246.1.1.客户数据文档处理策略246.1.2.用户报告处理原则246.2.客户参考内容246.2.1.交叉参考247.项目团队介绍267.1.项目团队架构267.2.项目人员情况表288.项目合作形式及合作内容299.项目时间表、工作量和项目费用309.1.项目时间表309.2.工作量估计309.3.项目费用3010.成功案例3211.附件3311.1.Sample Policy Extract - Enterprise-wide Policy3311.2.Sample of Report4011.2.1.Examples of Vulnerability Tables provided in the Penetration Test Report4011.2.2.Architecture Review Report4311.3.测试工具4411.4.部分用户和合作伙伴的反馈意见451. 信息安全风险及银行业面临的挑战1.1. 信息安全的现状信息安全是涉及计算机、网络技术、通信技术、密码技术、企业管理和社会工程的综合科学。旨在保护信息和相关应用系统的保密性、完整性和可用性。随着新技术的发展和普及，企业的业务活动越来越多地依赖更加复杂的计算机设备和通讯手段来完成，安全风险随之增加。无论是包括银行、保险、电信等行业在内的敏感企业，还是普通的制造和商业企业，都已经认识到了信息安全的重要性。尽管如此，信息安全方面的专业调查仍然向我们展示了一些令人震惊的结果：l 60%的企业机构可能受到拒绝服务类攻击。l 80%的用户不知道自己的网络系统究竟提供了哪些服务，其中哪些可以从外部通过 Internet 访问。l 80%的企业不具备完备的安全政策。l 70%配备了防火墙的站点依然无法防范已知的攻击手段。上述现象的存在，主要由于企业的安全管理意识不强，安全管理手段欠佳造成的。大部企业虽然在安全方面有所认识，并采取了相应的安全手段，却不能很好地将安全问题提高到企业的业务战略的高度加以考虑。因此，在安全项目的实施中，常常会因为缺乏对安全工作的重视或认为安全工作必须服务于业务系统而进行妥协，在应用系统中埋下案例隐患。另外，企业在实施安全项目时，经常将安全工作简单地理解为采购大量软硬件设备，严格控制用户访问的过程，这显然不是正确的安全观点。实践证明，信息安全的重点是管理，而非技术。企业必须认真地分析自身的业务需求，并据此制定相应的安全战略；在它的指导下，建立和健全安全管理体系，规范业务活动和操作流程，提高安全防范意识，实施技术保障手段和应急措施，最终有效地保证企业的信息安全，降低运营风险。1.2. 国内企业信息安全方面的问题国内企业在信息安全方面必须解决的问题包括：a) 缺乏完善的信息安全法规和特定行业的安全标准，使企业在实施信息安全项目时存在较大的盲目性。b) 国内市场上的安全技术、安全产品和安全服务严重滞后，无法满足企业的信息安全要求，也不能帮助国内企业应对国外最新发现的安全风险。c) 安全厂商、服务商和企业用户对信息安全的风险、防范手段和安全技术缺乏系统研究，无法针对企业的需求，形成全面的信息安全战略。d) 企业信息安全项目的实施没有列入企业的战略高度，不能与企业的业务目标很好地统一。e) 企业用户普遍缺乏针对信息安全问题的紧急响应能力，无法及时发现隐患，阻止攻击、滥用等安全问题的出现。1.3. 银行和金融服务机构的安全挑战信息是银行和金融服务机构最重要的财富。如何保障信息资产的完整性、保密性和可用性，并允许用户以适当的方式对其进行便利的访问，已经成为一个日益突出的商业问题。在传统应用向Internet 应用发展的进程中，银行和金融企业面临的内外部风险不断增加，形成包括拒绝服务、数据修改、计算机欺诈、人为破坏、计算机病毒及其它潜在的安全问题和隐患。这种情况下，如何制订完善的企业安全战略，综合运用包括物理和电子手段在内的安全措施，对交易信息、资产和客户资料进行保护，具有非常重要的意义。银行的金融系统主要运行于分行网络、内部设施 、Internet、专网和虚拟专网等复杂环境，应用系统包括包括网上支付、网上银行、电子清算等。其中的每一个环节，无论是金融交易，还是金融系统或网络环境等，都是高度复杂的。这种复杂性本身就是一种重大的风险因素，如果不能有效地管理和把握，势必威胁企业的信息安全。多数金融企业对信息安全的认识仍有待于提高。一方面，部分企业对于安全战略的制订和实施缺乏紧迫感，直到出现安全问题，造成危害，才去亡羊补牢；另一方面，在已经建立和实施了信息安全机制的企业中，多数企业还单纯寄希望于高技术手段的采购和实施，对安全管理的改善缺乏投入，安全管理严重滞后于技术采购，既不能发挥现有安全机制的作用，也不能消除多种安全技术并存时产生的种种安全漏洞。针对上述情况，银行和金融企业的安全工作应该从分析企业的业务模式和与业务相关的信息安全风险入手，由安全专家与银行的高层管理人员一起，审查银行的业务目标、安全战略和安全架构，制定出行之有效的安全战略，才通过适当安全技术的采用而加以实施；之后，还要对可能存在安全风险的地方，进行深入测试和审查，逐步加以完善。1.4. 安全服务项目所涉及的任务当企业网络接入到互连网中，所面临的主要安全威胁有：Ø 来自组织外界的导致服务中断因素（黑客攻击手段，如DDOS等）Ø 在线重要信息的被窃和关键信息在传输过程中丢失；Ø 数据和用户身份的误用或冒认；上述的这些安全威胁主要的方式有：拒绝服务攻击、数据篡改、计算机欺诈行为、系统破坏、资源滥用、计算机病毒、潜在的风险和灾难等。因此为了实现系统的整体安全目标，在技术和安全产品的基础上必须设计一个整体安全策略。安全项目的范围主要包括：Ø 分析和评估客户现有的IT环境；Ø 为了解客户主要资产以及相关的安全风险，双方必须进行一个高水平的系统安全风险评估；Ø 建立一个企业级的安全策略；Ø 对相关设备和主要的服务器设立安全策略的标准；Ø 向管理层提交安全目标综述。其中安全目标综述包括：Ø 企业范围内的安全策略；Ø 专项的安全说明，包括：n 防火墙安全策略；n 非军事区安全策略；n 路由器/交换机的安全策略；n 管理员工作站安全策略；n 关键服务器安全策略；n Internet主机安全策略；2. 整体安全服务介绍在整个项目计划中，主要包括以下几个重要过程：Ø 风险评估Ø 制定解决方案Ø 计划实施Ø 实施审查Ø 维护与支持3. 第一阶段：风险评估对于以服务为导向的企业而言，企业唯一重要的财富是企业的用户信息。企业越来越将注意力放在在保证现有运营业务稳定的基础上，如何保护企业信息的完整性、保密性和可用性。另外，日益增长的Internet业务的需求为企业带来了众多的不安全因素。因此，对XX而言，在越来越满足信息的交流、数据的共享以及和第三方的电子业务合作过程中，企业的系统和数据安全绝对不能落后于业务的迅猛发展。特别在基于Internet的业务环境中，企业的资产的防护力是非常脆弱的。其中由Internet带来的主要安全风险有：Ø 外来的因素导致服务中断：黑客能够关闭网络服务或降低网络服务的效率；Ø 在线交易信息的被窃或关键数据在传输过程中被恶意切断；Ø 交易数据的欺诈或用户的冒认；除了上述的威胁以外，其他常见的威胁还有：拒绝服务攻击、数据篡改、计算机商业诈骗、破坏企业数据、滥用权限、计算机病毒和其他潜在的灾难。基于上述因素，XXXX希望能够评估和改善现有的安全策略以及安全架构以将运行风险降到最低。在整个安全服务项目中，第一阶段就是风险评估阶段。该阶段主要包括以下几个步骤的工作：Ø 边界审核以及远程测试（黑箱测试）；Ø 系统分析、改善建议和应用测试（白箱测试）；在风险评估阶段，项目目标（待定）在风险评估阶段，对客户方的需求（待定）在风险评估阶段，项目环境（待定）在风险评估阶段，项目计划在合同制定以后3周内，在得到用户的许可以后开始执行。整个计划中，两个步骤将分别将持续12个工作日（大约2周）。在整个项目需要2个安全分析专家，同时指定的项目经理将和客户保持交流以确保按时保质地完成项目报告。项目的初期，将由双方开始一个启动会议以实现：Ø 将安全专家和该项目团队中的其他人员进行合作；Ø 对项目的范围以及项目计划进行综述；Ø 对安全专家的工作任务以及工作日期进行确定。整个系统分析与改善报告将在远程测试完成以后两周内提交给客户。该项目的两个步骤分别是客户无须提供详细材料的黑箱测试和基于客户提供的材料进行的白箱测试咨询服务，在一定的时间段内，我们希望能够实现下列目标：Ø 系统分析报告（含行为报告和管理报告）Ø 一个加固后的系统安全架构包括对现有安全产品的建议；Ø 将相关的知识传授给客户方的员工；Ø 对将来的计划提供建议。每个报告将包括：Ø 总结性陈述；Ø 对达到该结果所进行的项目过程的描述；Ø 该项目中所有行为的报告；Ø 详细的系统漏洞报告（参见附件），包括安全建议和相关背景信息。3.1. 第一步：边界审核和远程测试（黑箱测试）3.1.1. 方法论远程测试的针对对象是由用户指定的服务器或网络设备，整个测试过程是采用黑箱模式（客户无须提供其网络细节或仅有客户提供必要的信息）。整个远程测试主要包括以下几个步骤：信息收集、网络结构分析、实战分析和后续的相关分析、探测以及最终报告。3.1.2. 信息收集来自各个网络的公共信息将被收集，其中包括whois数据库、路由信息、DNS信息等。另外所收集的信息还包括设备供应商、应用开发商等信息。3.1.3. 网络结构分析网络结构分析的主要目的是对用户应用网络的边界因素进行结构分析。该步骤的主要目标是拥护如何建立自己的DMZ区以及路由器、防火墙和网络代理的布置点等。信息收集阶段还对用户网络的拓扑结构信息进行收集，包括：子网的分布、路由器、服务器和网络之间的路由次数统计以及其他潜在的通道。该阶段包括路由分析和过滤分析，Web服务以及其他服务将会被识别出来，该过程中会大量地使用端口扫描。整个过程包括两种操作方式：普通方式和秘密方式秘密方式将采用各种工具来检查直接连接在Internet上的设备而不被其他工具发觉，同时它还试图识别这些设备、它们的操作系统以及在该操作系统上跑的服务。普通模式将采用普通方法且在完成这些操作时。不掩盖操作行为。3.1.4. 情景分析在该阶段，AAAAAA将协助用户发现系统的漏洞、错误的系统设置、可能的bug以及其他与安全有关的问题。一旦我们发现这些问题后，我们将研究这些问题，并且向用户演示一个模拟攻击情景并解释是如何发现这些问题以及这些问题所造成的潜在威胁。3.1.5. 模拟攻击在该步骤中，在用户的现场监督下，将会有两类的模拟攻击被发动。一类是普通的非破坏性攻击，一类是模拟的DOS攻击。在该阶段，对测试人员的素质要求会非常高，测试者将试图采用各类手段试图进入用户的网络中，因此对测试人员的知识、经验以及一些创造性的素质要求比较高，因此它更象一向艺术而不仅仅是技术。在这阶段，测试者将试图：Ø 发现哪些服务器能够被远程攻击危害，如果这些服务器或相关系统被发现有漏洞的话；Ø 采用多种通用的攻击手段（spoofing 或 bouncing）来试图进入用户系统；Ø 发现在服务器上跑的应用是否有安全漏洞（如buffer overflows、race conditions等）Ø 发现一些配置信息，如数据库、文件系统或网络设备；Ø 发现一些其他配置信息，如路由器、交换机、防火墙和服务器等。测试者将使用各种方式来进行模拟攻击,比如说，可以通过攻击防火墙来发现它是否能被破坏。测试者将试图检测应用系统中所有在跑的业务并检测它们的弱点。其中特别是一些以超级帐户权限（如root）运行的应用。另外测试者将测试一些设置有疏漏的网络设备，如路由器等，以确认是否能够利用这些漏洞来提供进入网络系统的后门。一旦一台服务器能够被破坏，测试者将通过模拟黑客以该服务器为平台进行其他的测试，主要包括以下的几点：Ø 安装特洛依木马以试图搜索用户口令；Ø 安装侦听器（Sniffer）来搜索用户口令；Ø 下载应用程序以离线分析应用程序中的漏洞（如：写得不完善的CGI程序和HTML程序）；Ø 下载口令文件；Ø 发现其他能被攻击的与被测系统有信任关系的系统；值得注意的是在整个测试过程中，所有的数据都是由三方约定好的指定负责人来对数据进行加密保存，且在最终提交报告时，所有与该项操作有关的日志将被包含在整个报告中。在整个模拟攻击测试中，包括以下几个测试部分：3.1.5.1. 防火墙测试测试内容Ø 一些未设置好的防火墙能够被多种绕过防火墙的技术所破坏；Ø 另一种典型的IP Spoof工具可以将数据包篡改为好象来自内部的数据包Ø 一些在内部网或DMZ区的客户端由于为得到合适的配置，将有可能被端口扫描工具发现作为攻击点；Ø 一些恶意的applet和带有特洛依木马程序附件的邮件可以被用来破坏内部网安全。测试工具Ø Internet扫描器Ø 多种恶意脚本程序Ø IP spoof 工具Ø 多种端口扫描器Ø 远程探测工具Ø 恶意的Java appletsØ 特洛依木马程序实施Ø 识别远程系统Ø 对DMZ区和Internet网络的分析Ø 在约定时间内的蛮力攻击Ø IP spoofi攻击Ø 端口扫描Ø 对错误配置的客户端进行攻击Ø 恶意applets 和 Trojan 攻击3.1.5.2. UNIX 安全审核测试内容Ø UNIX系统是一类比较复杂的多用户、多任务的分布式操作系统，它有多种的系统漏洞将导致系统的安全威胁；Ø 多种UNIX操作系统（包括Sun、HP、SCO Unix、Compaq、AIX、BSD、Linux等）都有自己的安全问题；Ø 操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。测试工具Ø Unix 系统管理工具Ø 针对多种UNIX的安全工具；Ø 口令破译工具；Ø TCP/IP网络工具；Ø D.o.S.和其他UNIX攻击工具包。实施Ø 收集系统信息；Ø 关于C/S机制的分析；Ø 检查文件系统的安全；Ø 用户及口令的安全；Ø 基于网络的安全；Ø 可执行软件程序的安全；Ø 帐户和审计工具的设置。3.1.5.3. Windows NT 系统的安全审核测试内容Ø Windows NT 有许多安全漏洞从而导致系统的毁坏；Ø 在该系统上跑的许多微软的应用程序本身有许多安全漏洞；Ø 操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。测试工具Ø NT的系统管理工具；Ø NT 扫描器；Ø NT D.o.S. 攻击工具包 ；Ø NetBios 黑客工具；Ø NT L0phtCrack 工具。实施Ø 信息收集；Ø 域之间的信任关系审查；Ø NTFS 的安全；Ø 基于NetBios的攻击；Ø Remote Access Services审查；Ø Users, groups, ACL的审查；Ø 注册登记表的安全；Ø 安全行为审计。3.1.5.4. TCP/IP网络层攻击测试内容Ø 由于TCP/IP 协议本身具备多种安全漏洞，尤其是身份认证和权限控制等；Ø 在该攻击中，将被测试的协议有：命名服务 (DNS), 邮件传输服务(SMTP, POP, IMAP, MIME), 文件传输r (FTP, TFTP, RCP, UUCP),控制信息 (ICMP)；Ø 典型的D.O.S.攻击就是利用了协议本身的漏洞来攻击的。测试工具Ø DNS工具包；Ø 邮件攻击；Ø 文件传输攻击工具包；Ø ICMP工具包。实施Ø 识别网络资源；Ø DMZ区和Internet网络架构分析Architecture analysis of DMZ and internal network；Ø DNS 服务攻击；Ø Mail 服务攻击；Ø 文件传输攻击；Ø ICMP 攻击；Ø Denial-of-service 评估。3.1.5.5. WWW 应用攻击测试内容Ø 由于Web服务是直接挂在公共网络上的，因此它最容易受到多种攻击（如内容被改）且通过它能够给DMZ带来威胁；Ø 造成Web应用漏洞的主要因素有：Http协议、CGI脚本以及数据库接口设计的问题等；Ø Web 服务器的设置错误也是造成安全漏洞的主要原因；Ø 在某些环境下，系统资源也可能被滥用做D.O.S.攻击的工具测试工具Ø HTTP 和 SSL工具包；Ø CGI 探测器；Ø SQL 攻击脚本；Ø Web 服务器自身安全工具包。实施Ø 识别和分析相关软件；Ø 分析CGI脚本和其他相关程序；Ø 数据库攻击；Ø Web服务器设置分析；Ø Web服务器攻击测试。3.1.5.6. 应用安全测试测试内容Ø 在应用系统中使用的软件程序在实施过程中一般总会有安全漏洞；Ø 这些漏洞的造成原因往往是保密数据的被窃、超级用户权限使用、数据修改等。测试工具Ø SUID程序测试工具；Ø 数据库工具；Ø 其他安全工具。实施Ø 识别和分析应用软件Ø 审核与这些应用有关的商业操作；Ø 评估应用软件的安全分析；Ø 软件设置分析；Ø 错误跟踪、安全审计、备份策略。3.1.5.7. Denial-of-Service攻击测试测试内容Ø 通用的D.O.S.攻击就是利用TCP/IP协议的漏洞而进行一种消耗企业网络资源，降低企业服务质量的攻击手段；Ø 这类攻击非常常见也是目前主流的针对大型企业的网络攻击手段；Ø 基于TCP/IP协议的攻击手段，尤其是针对应用的攻击非常常见，其他常见的攻击则是消耗企业的网络资源。 测试工具Ø 基于TCP/IP协议的 DoS 工具，如：teardrop, land, nestea, boink, smurfØ 针对用户网络应用的 DoS 攻击脚本Ø 针对用户网络资源的 DoS 攻击脚本Ø 拨号攻击。实施Ø 辨识和分析潜在的l DoS 目标Ø 协议攻击测试Ø 应用攻击测试Ø 网络资源攻击测试Ø Modem攻击测试3.2. 第二步：系统分析、改善建议和应用测试（白箱测试）3.2.1. 方法论整个系统分析将对以下的几个方向进行分析：Ø 对服务器的评估，主要包括：操作系统管理权限的不适当配置或缺省配置中存在的问题；Ø 入侵检测系统的放置和配置；Ø 防火墙系统的放置和配置；Ø 路由器和交换机配置分析；Ø 应用测试。3.2.1.1. Unix服务器的分析方法UNIX系统是一类比较复杂的多用户、多任务的分布式操作系统。它有多种的系统漏洞将导致系统的安全威胁，多种UNIX操作系统（包括Sun、HP、SCO Unix、Compaq、AIX、BSD、Linux等）都有自己的安全问题。操作系统级的安全问题只能通过仔细的安全审核来发现，并且通过合适的打补丁等办法来解决。在整个项目过程中，我们使用下列方法来实现对UNIX服务器的安全分析：Ø 文件系统分析（权限、日志以及其他非必要的文件）Ø 进程分析（所跑的进程、启动、日志等）Ø 配置分析（操作管理员、Kernel、启动、审计）Ø 脆弱性分析（overflows, 打补丁, 不安全的symlinks/paths/umask）Ø 对身份验证方式以及服务器之间的Trust关系的审核3.2.1.2. Windows NT / 2000 服务器的分析方法Windows NT操作系统本身采用了一些安全功能以解决其安全问题，但是一些缺省的配置往往在安全问题上有所忽略。而且，由于该类操作系统市场份额较大，且针对性的黑客攻击手段非常多。因此，对Windows NT操作系统的分析，主要集中在对操作系统的误配置以及其他被外界发现的系统漏洞。我们将向用户提供修改意见和其他安全行为指导。4. 第二阶段：解决方案在这阶段，XXXX上海分行将会得到我们对其业务系统进行评估后得到的结果，并根据上述结果和整个系统架构分析报告，我们将一起共同制定整个XXXX上海分行的安全策略并在架构设计上给出我们的意见，以便将在业务发展的过程中可能潜在的安全威胁。4.1. 网络架构分析4.1.1. 网络架构分析目标问题在银行原有的业务系统中采用了多家集成商的产品以及多种网络解决方案，在用户将这些产品和方案集中在一起的时候，如何才能确信整个网络系统是足够安全和强壮的，这个问题涉及到如何在已有的网络和应用环境下，建立一个有效的安全架构并为未来的网络建设以及可能的新应用打下扎实的基础？在前期对整个系统的网络建设进行了足够的安全分析且对关键的安全目标进行了深入的分析以后，我们将给出系统架构分析报告。解决方案在安全结构分析报告中，我们将整合外界的资源以及两家公司在该领域的经验来和用户一起分析现有的系统安全架构，并向用户提供可行有效的系统整改建议。这是一个多家共同参与的过程且能够在组织建设上向客户提供合适的建议。4.1.2. 方法论一旦参与架构分析的人员能够落实，那么我们将采用下列的各种方法来确保我们的项目是顺利实施的：Ø 目标分析；Ø 对现有架构的介绍；Ø 对可能的变化进行介绍；Ø 对已经发现的问题的介绍；Ø 制定系统问题表；Ø 制定商业目标表；Ø 对每项细节因素的分析；Ø 制定整改目标；Ø 发现的其他问题；Ø 架构修改计划。4.1.3. 成果Ø 2天的系统架构分析 Workshop；Ø 架构修改建议和观察的问题报告；Ø 管理总结；Ø 管理层报告。4.1.4. 对客户的要求为了便于该项目的顺利进行，要求客户提供以下的支持：Ø 相关技术人员能够参与会议Ø 详细的系统架构图，包括：硬件、软件和数据流图。4.2. 制定安全策略制定一个整体安全策略的目的是在采用新的技术工具和实现现有技术升级的基础上的一个更高层次的安全手段，正如我们一致认同的：安全问题三分技术七分管理，只有一个有效的安全管理策略和技术因素紧密结合在一起，我们才能认为是一个整体安全解决方案。4.2.1. 安全策略范围整个安全咨询过程中，我们将会：Ø 分析和评估XXXX上海分行的现有IT实践行为；Ø 在前期工作的基础上，对XXXX上海分行现有的主要资产以及相关的威胁进行一个整体评估；Ø 制定一个企业级的整体安全策略；Ø 对与安全相关的设备和服务器建立安全标准；Ø 向XXXX上海分行高层提交含上述内容的报告。4.2.2. 成果Ø 企业级的整体安全策略；Ø 专项安全策略陈述，包括：n 防火墙安全策略；n DMZ安全策略；n 路由器/交换机安全策略；n 管理层的安全策略；n 关键服务器安全策略；n Internet服务器安全策略。4.2.3. 方法论安全策略的目标是罗列出企业级安全策略各项内容，同时将这些要求转换成可行的安全文件，并促使相关部门安全这些文件要求来实现各项安全规划。安全策略的方法是通过量化各种安全等级并且分析用户的各项IT设备的潜在威胁。参与这项工作的人员在策略审核和设计方面都具有多年的经验。最终提交的安全策略是基于BS7799-1999 对相关领域的知道意见的。另外，在该项项目中，我们得到了ICSA实验室的技术支持，他们在安全设备（包括：防火墙、IDS、防病毒、加密产品）上的研究经验（包括：行业标准、性能研究、风险测试）将很好的体现在我们的方案中。该阶段的工作将会由一个启动会议来启动（包括：人员介绍、项目任务的阐述和分解以及信息收集等），另外关于BBBBBB专家在各阶段点的阶段性工作应该双方有所约定。总而言之，整个计划包括以下几个步骤：Ø 为制定安全策略准备材料，包括信息收集、信息分析、讨论关于将提交的安全策略中的目标和方向；Ø 对企业资产及威胁的阐述，并对各种威胁进行解释和评估；Ø 起草安全策略的草案供项目组成员和客户高层审阅；Ø 做为评估的结果，准备最终安全策略报告；Ø 向用户相关人员移交并解释安全策略。4.2.3.1. 第一阶段：企业级安全策略企业级安全策略是在对客户进行一个深入的高水平的评估后进行，它对整个安全策略进行分别阐述。4.2.3.1.1. 安全策略范围我们的安全策略将以以下的方式进行：Ø 定义用户内部的计算机网络系统以及IT资产的应用以及管理规范，安全分析报告将包括企业内部的主要应用以及外部相关的应用；Ø 支持与Internet路由相关的链接以及基于Web的应用；Ø 提供物理环境的安全；Ø 提供人员安全的指导策略；Ø 提供系统管理员的安全策略；Ø 定义权限控制以及身份认证的目标；Ø 分别定义详细的内部和外部人员的安全策略；Ø 制定备份安全策略。4.2.3.1.2. 安全分析在安全策略设计阶段，我们主要完成以下的一些任务：Ø 对现有的所有与企业安全有关部门的安全相关文件、策略进行审核；Ø 对用户所处商业环境中的安全威胁进行评估；Ø 将所有的发现集中体现在整体安全策略中。对文件的审核以及风险评估将用户现有的安全情况，均衡考虑安全保护和生产力的因素，并解决以下问题：Ø 识别用户需要保护的对象；Ø 识别这些安全对象产生威胁的因素；Ø 提供企业级安全策略的基础因素。整个安全策略主要包括以下内容：Ø 安全策略综述；Ø 数据分类策略；Ø 物理安全策略；Ø 权限控制安全策略；Ø 数据安全策略；Ø 应用安全策略；Ø 网络与通信安全策略；Ø 安全审计策略；Ø 安全事故反应。4.2.3.1.3. 对用户的要求为便于安全专家工作，用户方要求提供以下的支持：Ø 所有早期的安全相关的材料，包括安全审计报告以及安全事故记录；Ø 所有和安全相关部门的人员，以便于交流；Ø 安排管理层的协商。该步骤需要花费11个人日并且至少需要两个安全专家介入。4.2.3.2. 第二阶段：设备的安全策略基于对企业的前期安全审核以及第一阶段的工作，分析小组将制定用户网络中现有的网络设备和网络服务器的安全策略。这项工作能够协助用户发现网络系统中的漏洞并向用户提交整改意见。4.2.3.2.1. 安全策略范围对现有的网络设备以及服务器的安全策略主要包括以下内容：Ø 路由器和交换机；Ø 防火墙和代理设置；Ø DMZ策略；Ø Web服务器（Internet/Intranet），邮件服务器和文件服务器；Ø 关键业务服务器；Ø 管理员工作站。4.2.3.2.2. 安全分析在安全策略设计阶段，我们主要完成以下的一些任务：Ø 对所有已使用的文件和设置进行审核，同时会见IT人员和用户；Ø 评估整个企业的安全风险；Ø 将发现的问题在安全策略建议书中陈列出来。详细的策略陈述将包括：Ø 防火墙安全策略；Ø DMZ安全策略；Ø 路由器/交换机安全策略；Ø 管理员工作站安全策略；Ø 关键业务服务器安全策略；Ø Internet服务器安全策略。4.2.3.2.3. 对用户的要求为便于安全专家工作，用户方要求提供以下的支持：Ø 已在使用的安全策略综述；Ø 提供便利能够直接审查安全设备和服务器；Ø 提供便利能够直接审查安全设备和服务器的日志和报告；Ø 审查网络拓扑图和IT架构文件。该步骤需要花费11个人日并且至少需要两个安全专家介入。4.3. 整体安全实施方案5. 保密原则由于系统安全服务的特殊性，我们将和用户签定保密协议（参见附件），我们在处理与用户有关的数据时，遵循以下的原则：Ø 所有的数据收集以及分析工作将在项目经理的笔记本电脑内完成；Ø 该笔记本电脑内的数据将会是保密存放；Ø 一旦报告提交给用户以后，所有的相关数据将会被销毁。5.1. 文档管理5.1.1. 客户数据文档处理策略为了研究和分析的目的，我们会在项目进程中保留部分关于技术细节的数据，但是我们会遵循以下的原则：Ø 在相关处理完成以后，这些数据会被处理掉；Ø 一些重要的数据，在以后阶段可能用到的（如和产品提供商有关的信息），将在项目过程中被安全地保存；Ø 任何与客户有关的数据信息将按期销毁。5.1.2. 用户报告处理原则一旦用户报告被提交且被用户接受，所有的与该项目有关的数据将根据用户的意见封存或销毁。5.2. 客户参考内容5.2.1. 交叉参考所有与安全有关的发现，将存储在我们自己的知识库中，但是我们不会提到任何用户名字所有与安全有关的发现将仅用作技术领域的交叉参考。在未得到用户书面许可的，我们不会将用户名字向任何第三方透露。6. 项目团队介绍6.1. 项目团队架构XXXX上海分行安全咨询项目意义深远，影响面大。AAAAAA作为参选公司，深感责任重大。把此项目立项为公司的最重大的项目，选派公司银行安全方面的专家，按照项目需求全力进行方案建议书的设计和编写。假如AAAAAA能够有幸成为该项目最终的合作伙伴，为保证整个项目的成功实施，将选派公司最优秀的项目管理和技术专家组成“XXXX上海分行安全咨询项目组”配合XXXX全力参与项目的整体工作。并且有信心保证整体项目的成功实施。鉴于本次项目实施的技术难度以及国内外实施类似项目较大的技术差距，我们特别邀请了BBBBBB公司（原ICSA）的海外资深专家参与该项目，为本项目的实施过程中的某些技术难点提供知识库支持、远程和部分现场技术实施支持。本次项目的工作重点主要是针对XXXX网络特点和管理需要做出一份出色的安全咨询规划。AAAAAA计划在该项目中投入以下技术力量，保证项目的按时、保质地完成：* 项目总监1名* 项目经理 1名 * 项目实施人员 4名* 项目联络员 1名本次格尔项目总监计划由AAAAAA常务副总经理担任，多名有两年以上的网络安全集成、咨询以及项目监理经验，参与中国农业银行上海分行（S219项目）、国家某重点安全部门等项目的技术人员承担：安全评估、架构审核、制定解决方案、项目联络的工作。同时BBBBBB公司也将派出包括含该公司亚太区CTO、两名CISA在内的强大阵容参与该项目，在此附上项目人员情况表，请XXXX领导审核。在整个项目中，项目团队的构成包括来自三方面的人员：上海AAAAA股份有限公司、BBBBBB公司以及XXXX上海分行，其中上海AAAAA股份有限公司做为本次项目的主要承担单位，BBBBBB公司作为本项目的特邀单位，对整个项目实施过程中的某些技术难点提供知识库支持、远程和部分现场技术实施支持。具体人员架构如下：BOC项目团队XXXX上海分行项目经理项目人员AAAAA项目总监项目经理项目协调人员项目人员BBBBBB项目经理安全咨询专家安全咨询专家6.2. 项目人员情况表基 本 情 况姓 名工作年限学历毕业院校参 加 项 目 情 况年 月 年 月项 目 名 称承 担 角 色本项目拟担任的角色（含工作地点）工作任务7. 项目合作形式及合作内容在本次项目的合作中，格尔从技术角度负责整个安全咨询项目的详细方案设计、技术实现和培训工作，XXXX上海分行电脑处提供必要的技术以及人员上的配合，同时将对整个项目的实现过程进行严格的质量控制和管理。BBBBBB公司做为整个项目的整体咨询以及技术支持，将向该项目提供在线的支持，其中在项目的某些关键点，该公司将以现场支持的方式以确保该项目的成功进行。由于本项目区别于一般的系统集成项目，而且网络安全也是一个非常敏感的问题，因此，一些用户敏感的操作，我们将通过向用户提交工具、指导操作以及提供现场支持的方式来由用户自己来完成，或在用户的现场监督下来完成。所有的数据我们将严格遵守双方的协议以确保XXXX上海分行的权益不受损害。合作方式和合作内容是密不可分，并有机合为一体，为正确实施这一方式和内容，格尔认为应在以下几个方面做出补充：1、合作方式中如何体现版权所有的问题；2、合作方式和合作内容中如何体现项目推广的问题；3、合作内容中如何体现项目的平滑过渡、知识移交的问题。当项目完成之后（指试运行之后），根据项目的连续性及推广的可操作性，AAAAAA应积极参与项目的推广。为了实施项目知识的平滑移交，应强调二方面的工作，一是XXXX参与整个项目的每一个步骤，同时还要加大培训力度。8. 项目时间表、工作量和项目费用8.1. 项目时间表8.2. 工作量估计8.3. 项目费用The Implementation Timetable for SMARTICS is as follow:TentativeMajor Activities Start Date End Date1. Stage 1(Project Initiation, System Analysis and Design)1.1 Project Initiation 04.01.2002 01.02