求一份系统安全解决方案参考文档

[weiweichen]

目前正在做一个在线购物的项目，项目已接近尾声，
问题来了，项目经理要求写一份安全解决方案文档
主要三个方面
1。硬件
硬件还要考虑网络的安全

2。软件，包括三部分:操作系统,数据库,应用程序
操作系统要从补丁、端口等等方面考虑
数据库当然要考虑数据的加密，备份与恢复，权限的管理等等
应用程序要考虑加密的方法，被人破解的可能性和应对方法
软件还包括IE的漏洞处理或使用要求，比如不允许安装什么插件等等

3.制度,也就是系统操作人员的相关规定
制度是考虑要有什么样的制度配合才能使系统安全，比如机房登记准入制度，远程桌面是否允许开通等等方面
双人复核制度等等
要怎样的配合才能防止数据被非法截获并解密

=============================
解决方案包括会存在什么问题，你怎样解决，解决后带来什么好处，遗留什么问题待解决，要在文档里体现出来
解决的办法是你设想的有效的详细可行的办法，而不是抽象的方法
比如网关病毒过滤不是安装个杀毒软件的描述就行，你要比较几个杀毒软件的好坏，最终推荐使用那一种


写程序的头痛写文档,哪位仁兄写过类似的文档啊,发一份参考一下...急啊....
发到我的邮箱:[e-mail]
星期四下班前要交啊.....

[little06]

突悠
1。硬件
防破坏，防接触，防窃听
如http://cn.juniper.net/solutions/literature/brochures/150024.pdf
2。软件，包括三部分:操作系统,数据库,应用程序
操作系统，
防病毒，防木马，防漏洞，防不安全代码，防不安全密码，防不安全程序

基本是都是突悠

能做好的，没有实力的大公司都是空谈

[luckyjame]

俺也忽悠下吧,给你点建议....
1。硬件
用专业交换机或者硬件防火墙,
对外端口做重映射,比如8080,对到出口80,只开需要的端口.屏蔽其他一切端口
对内,只允许固定几台MAC的机器访问交换机,所有网络布线,都进行检查,最好公司自己布网,租用电信专用光纤..

2。软件，包括三部分:操作系统,数据库,应用程序
2.1操作系统没什么好说,如果真懂,最好用linux控制权限..windows2003也行,管理员密码每周变更,保持一定复杂度,只允许几个人登录服务器....补丁这东西,没什么好说的.
2.2数据库,oracle,还是其他的什么.....如果没什么资源的话,可以专门搞台PC机,用windows计划任务,进行定时数据库备份操作.
这个我做过,下面的bat脚本可以参考
"md e:\db_backup\%date:~0,10%
exp user001/user001@dbName buffer=32 file=e:\db_backup\%date:~0,10%\db_%date:~0,10%_01.dmp,e:\db_backup\%date:~0,10%\db_%date:~0,10%_02.dmp filesize=500M owner=(user001) log=e:\db_backup\%date:~0,10%\explog_%date:~0,10%.log compress=y"
可以用计划任务控制时间(这个可以按需求,是24小时,还是七天,都是可控制的,从这点说,windows还是很好用的.)....当时,实际上,也不是非专用机器,总之搞台能24小时跑的机器就好.
2.3应用程序的权限就很复杂了,安全上,就是加密码,比如不存明文密码,使用md5hash存储,PC间传输数据数据,都使用des加密之类的,应用系统进行session时间控制,专门写filter,自定义权限标签控制访问页面的权限....具体的业务权限,就没什么好说了.

3.制度,也就是系统操作人员的相关规定
这种.....就没法说了.....最不可控的就是这个.....