一、安全服務業務介紹
東華軟件股份公司安全服務業務從客戶對網絡與信息安全的實際需求出發，準照國家政策、參考國際標準和最佳實踐、領略行業特性，對網絡與信息安全管理和技術各層面進行分析，提出相應的信息安全管理和技術解決方案。整個安全服務的周期從企業和政府的信息安全規劃和建設入手，設計并實施各類安全解決方案，同時提供周期性或不定期的信息安全風險評估，最終還幫助客戶提高和優化運營機制，使信息安全建設和發展形成健康、良性的循環，逐步提升企業和政府的信息安全保障能力。
東華軟件股份公司安全服務業務主要可以分成以下四個服務階段主體并形成閉環，具體包括：
- 設計咨詢階段（PLAN）：安全管理和技術咨詢；
- 實施建設階段（DO）：安全集成和SOC實施和支持、等級保護設計和實施；
- 評估審計階段（CHECK）：安全風險評估服務；
- 運營改進階段（ACTION）：安全運營保障服務（外包）、安全培訓。
根據安全服務業務四個服務階段主體，每個階段包含相應的產品組件和模塊，企業和政府可以根據實際的安全需求對各產品模塊進行選擇，具體如下表所示：
| 1 | PLAN:安全管理和技術咨詢服務RA-SCS | |||
| 1 | 安全體系咨詢和設計 | RA-SCS-AS | 采用安全框架技術，為用戶設計符合其自身特點的安全體系。 | |
| 2 | 安全規劃和解決方案咨詢和設計 | RA-SCS-PS | 通過分析客戶所面臨的安全問題，系統設計和規劃安全工作和建設項目。 | |
| 3 | 安全管理體系咨詢和設計 | RA-SCS-MS | 通過國際、國內標準和客戶實際情況為客戶設計完善的安全管理體系，例如BS7799認證 | |
| 4 | 安全運營保障體系咨詢和設計 | RA-SCS-OS | 參照最佳實踐，對于業務系統安全的持續運行提供安全系統的設計，例如：ITIL | |
| 5 | 安全技術框架設計 | RA-SCS-TS | 針對客戶的資產、業務和系統特征，為客戶設計完整的不同層面的安全機制 | |
| 6 | 安全風險控制和內部審核咨詢 | RA-SCS-RC | 根據用戶的安全現狀和目標，為用戶制訂策略、制度和標準規范文件，并設計相應的實施方案。 | |
| 2 | DO:安全集成服務RA-SIS | |||
| 1 | 解決方案和安全產品實施 | RA-SIS-PI | 解決方案設計，產品采購，集成實施，產品培訓和售后服務。 | |
| 3 | DO:SOC實施和支持RA-SOC | |||
| 1 | SOC軟件集成實施 | RA-SOC-PI | SOC產品的集成實施 | |
| 2 | SOC運營支持服務 | RA-SOC-OS | SOC產品的后期維護、支持和專家分析服務 | |
| 3 | SOC產品增值服務 | RA-SOC-CS | SOC產品的高端顧問服務 | |
| 4 | 等級保護咨詢和實施RA-SS | |||
| 1 | 等級保護設計和咨詢 | RA-SS-DC | 根據國家等級保護政策提供系統定級、方案設計 | |
| 2 | 等級保護方案實施 | RA-SS-PI | 根據已經設計的等級保護方案進行技術和管理的實施 | |
| 5 | CHECK:安全風險評估服務RA-RAS | |||
| 1 | 網絡安全風險評估 | RA-RAS-NS | 通過成熟的評估過程衡量用戶網絡層面的安全風險 | |
| 2 | 主機安全風險評估 | RA-RAS-HS | 通過成熟的評估過程衡量用戶主機層面的安全風險 | |
| 3 | 數據庫安全風險評估 | RA-RAS-DBS | 通過成熟的評估過程衡量用戶數據庫層面的安全風險 | |
| 4 | 應用安全風險評估 | RA-RAS-AS | 通過成熟的評估過程衡量用戶應用層面的安全風險 | |
| 5 | 安全管理風險評估 | RA-RAS-MS | 通過成熟的評估過程衡量用戶安全管理方面的安全風險 | |
| 6 | 業務系統安全風險評估 | RA-RAS-BS | 通過成熟的評估過程衡量用戶業務系統各層面的安全風險 | |
| 6 | ACTION:安全運營保障服務（外包服務）RA-ES | |||
| 1 | 網站安全運行保障 | RA-ES-WO | 根據專家經驗檢查用戶網站的運行安全狀態，分析配置、日志，實時監控和解決問題 | |
| 2 | 終端安全運營保障 | RA-ES-TO | 針對終端提供安全運營的周期性和長期服務 | |
| 3 | 安全監控服務 | RA-ES-MS | 對用戶信息系統的安全運行狀態進行日常監控，實時發現并處理安全問題。 | |
| 4 | 安全加固服務 | RA-ES-HS | 主機、網絡和數據庫的補丁、系統配置加固和優化，以提高系統的安全性。 | |
| 5 | 應急響應服務 | RA-ES-ERS | 對黑客事件進行應急處理、恢復和追蹤取證。 | |
| 6 | 駐地安全運營保障服務 | RA-ES-LS | 提供本地化的安全支持和服務 | |
| 7 | 安全通告服務 | RA-ES-BS | 系統地向用戶傳遞最新安全技術和安全信息。 | |
| 7 | ACTION:安全培訓RA-TS | |||
| 1 | 公開培訓課程 | RA-TS-PTC | 認證培訓學員。 | |
| 2 | 定制培訓課程 | RA-TS-TTC | 為用戶設計，定制安全培訓課程。 | |
東華軟件可幫助企業完成其信息系統風險管理過程中的鑒定、分析、評價和處理等任務，有利于組織對信息系統實施風險管理。經過精細的風險評估，企業可在通過投資提升安全降低風險、承受風險、轉移風險等方面做出正確的選擇。
所提供的評估服務，是采用半定量的分析方法，依照信息資產價值、弱點被利用的難易程度、威脅的可能性、影響的嚴重性、風險值五個要素對組織的信息系統進行風險評估。
1.1 面向客戶
需要了解企業安全現狀的客戶：
- 當企業進行IT規劃設計、添加新的信息系統及對信息系統重大升級時。
- 當企業與其它組織（部門）進行網絡互聯時。
- 當企業技術平臺進行大規模更新時（例如，從Linux系統移植到Solaris系統）。
- 在企業發生計算機安全事件后，或懷疑可能會發生安全事件時。
- 關心組織現有的信息安全措施是否充分或是否具有相應的安全效力時。
- 當組織安全管理組織結構發生變動時。
- 當需要對組織安全狀況進行周期性評估，以查看是否滿足組織持續運營時。
1.2 產品特點
- 涉及企業IT運營和信息化平臺的各個層面；
- 管理和技術評估相融合。
1.3 客戶收益
風險評估服務可以幫助客戶明確資產的配置和分布、業務運行模式、網絡體系結構、技術基礎結構、資產環境（周邊控制、安全措施）以及信息安全策略和制度等信息，準確了解企業的網絡和系統現狀。
全面給出每個層次的安全隱患和脆弱性報告，使用戶對信息安全各個層次的安全性狀況和整體安全狀況有全面具體的了解。
對組織的信息系統的安全風險進行半定量分析，清晰的展現信息系統當前的安全現狀，提供公正、客觀、翔實的數據作為決策參考，為組織下一步控制和降低安全風險、改善安全狀況、實施信息系統的風險管理提供依據。
1.4 企業可根據需求選擇以下服務類別：
- 網站安全評估與加固服務
- 主機安全評估與加固服務
- 數據庫全評估與加固服務
- 網絡安全評估與加固服務
- 滲透測試服務
- 緊急響應服務
- 安全顧問服務
二、安全風險評估服務介紹
2.1 安全風險評估:
信息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。并為防范和化解信息安全風險，或者將風險控制在可接受的水平，從而最大限度地保障網絡和信息安全提供科學依據。
2.2 為什么要做風險評估
安全源于風險。
在信息化建設中，建設與運營的網絡與信息系統由于可能存在的系統設計缺陷、隱含于軟硬件設備的缺陷、系統集成時帶來的缺陷，以及可能存在的某些管理薄弱環節，尤其當網絡與信息系統中擁有極為重要的信息資產時，都將使得面臨復雜環境的網絡與信息系統潛在著若干不同程度的安全風險。
風險評估可以不斷深入地發現系統建設中的安全隱患，采取或完善更加經濟有效的安全保障措施，來消除安全建設中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發的解決方法，提高系統安全的科學管理水平，進而全面提升網絡與信息系統的安全保障能力。
2.3 風險評估方法
組織確認自己所擁有的資產，分析資產所面對的威脅、所具有的脆弱性、損害發生的可能性、損害的程度等，并最終得出資產所面臨的風險等級，包括以下四個要素：
- 資產識別
- 確定威脅（Threat)
- 識別脆弱性（Vulnerability)
- 實施控制方法
采用的主要方法包括定量分析，定性分析，半定性半定量等
定量分析：
- 對后果和可能性進行分析
- 采用量化的數值描述后果（估計出可能損失的金額）和可能性（概率或頻率）
- 分析的有效性取決于所用的數值精確度和完整性。
定量風險分析的優點
- 大體來說其結果都是建立在獨立客觀的程序或量化指標上
- 大部分的工作集中在制定資產價值和減緩可能風險
- 主要目的是做成本效益的審核
定量風險分析的缺點
- 風險計算方法復雜
- 需要自動化工具及相當的基礎知識
- 投入大
- 個人難以執行
- 很難中途改變方向
- 不會有范圍之外的結果
定性分析：
- 對后果和可能性進行分析
- 采用文字形式或敘述性的數值范圍描述風險的影響程度和可能性的大�。ㄈ绺�、中、低等）
- 分析的有效性取決于所用的數值精確度和完整性。
定性風險分析的優點
- 簡易的計算方式
- 不必精確算出資產價值
- 不需得到量化的威脅發生率
- 非技術或非安全背景的員工也能輕易參與
- 流程和報告形式比較有彈性
定性風險分析的缺點
- 本質上是非常主觀的
- 對關鍵資產的財務價值評估參考性較低
- 缺乏對風險降低的成本分析
風險評估實施步驟：
三、信息安全集成
3.1 東華特色信息安全系統集成與服務
隨著我國各行各業信息化的快速發展，網絡環境的日益復雜、網絡規模的快速擴大，信息安全的問題也越來越大、越來越多。為了滿足國內各行業用戶的安全需求，公司經過多年的技術積累，以及與國內、外先進的信息安全公司的全面合作，我們給客戶提供信息安全系統集成及技術綜合一體化的信息網絡安全解決方案和信息安全綜合服務，構筑全面高效的信息安全防御體系。
公司一直非常重視信息安全方面的技術研究和工程實施，從2002年以來承接完成了一系列具有行業示范的信息安全的系統集成項目典型案例，包括防火墻、統一威脅集中分析與管理UTM、加密機（VPN）系統、上網行為監控與審計系統、入侵檢測系統、信息安全評估系統、網絡審計系統、服務器加固系統、數據庫監控系統、防病毒系統、內網安全管理、身份認證CA系統等信息安全產品技術以及信息安全服務。公司與業界知名信息安全廠商保持良好的合作關系，涵蓋國內外信息安全行業的主流廠商，通過了解最新的技術發展趨勢，把國內外的先進技術和產品用一流的服務帶給用戶；組織各廠商及時的進行各種信息安全系統“庫”的更新服務，與原信息安全廠商緊密配合形成“雙備份”服務支持系統為客戶提供全方位的信息安全服務。我們公司通過國家保密局審核的“涉及國家秘密的計算機信息系統集成單位”，獲涉密甲級資質，我們熟悉國家及行業信息安全方針與政策，熟悉業界主流的信息安全軟、硬件產品及技術，擅長信息安全多廠家、多平臺、多種應用的系統集成。
我們希望與各合作伙伴精誠合作，為中國的各行業用戶提供一流的信息安全系統集成和服務，積極推動中國的信息安全事業的發展。為此，我們將堅持不懈地創新和努力。
3.2 信息安全解決方案和技術特色
在信息安全系統集成工程中，我們將遵循國家相關信息安全法規及行業管理規章制度，進行系統設計。將整個信息系統分成不同的信息安全分區，各信息安全分區，根據其應用重要程度、存在的風險程度等因素，采取不同的信息安全技術措施，保證客戶信息網絡系統安全運行。重點考慮以下幾個信息安全技術措施：網絡邊界、網絡核心監控、服務器與數據庫系統安全、內網安全管理、應用系統安全等。
網絡邊界：主要采用防火墻技術、采用統一威脅管理UTM技術和加密機技術，上網行為監控與管理和入侵防護系統IPS等技術；尤其是統一威脅管理UTM，它主要提供一項或多項安全功能，同時將多種安全特性集成到一個硬件設備里，形成標準的統一威脅管理平臺�；竟δ馨ǎ壕W絡防火墻FW、入侵檢測和防御（IDS/IPS/IDP）網關防病毒AV。輔助功能：虛擬專網VPN、抗拒絕服務攻擊（anti-DOS)、服務質量（QOS）、負載均衡（LB）、高可用性（HA）、帶寬管理、流量監控分析、日計審計報告等。將集成更多的技術和功能。該技術將在特定應用領域“逐步取代傳統意義上防火墻系統”。VPN系統以IPSEC和密碼技術為核心，針對實際情況，采用由國家主管部門批準的密碼方案，提出的適合VPN網絡安全方案。該系統集專用操作系統、信息加/解密、身份認證、防火墻、流量保護和控制、安全規則管理、豐富完整的日志審計等功能為一體，提供了可靠、高速、安全的網絡安全功能。
網絡核心監控：采用網絡入侵檢測系統、信息安全評估系統和網絡審計系統等技術。尤其是采用網絡入侵檢測機制，對內網和外網中有敏感信息經過或存放的網段上所通過的數據流進行實時監控和分析，及時發現來自內、外網絡用戶的入侵行為和違規操作，并及時提供報警和攔截的響應；由于網絡具有開放性，使主機、網絡設備直接面對大量的攻擊的可能。攻擊可能來自于網絡的各個方面。而日益增加的網絡攻擊手段，也不斷地降低網絡的安全性。操作系統的日益復雜，協議本身的安全漏洞，都是對網絡的大量威脅。安全漏洞的增長已大大超出了技術人員可以有效解決的能力范圍。更糟糕的是，新的漏洞隨時都會在網絡環境中出現。為了降低安全策略和實施之間的差距，需要有效的手段、工具來隨時評估和實施網絡安全。
服務器加固：與傳統的防火墻、入侵檢測系統等基于網絡防護的安全產品不同，加固技術是基于對主機的內核級安全加固防護，當未經授權的非法用戶通過各種手段突破了防火墻等網絡安全產品進入了內部主機，甚至竊取了Windows 2000/2003系統管理員最高權限后，內核加固技術就將成為最后也是最堅固的一道防線。它通過對Windows 2000/2003系統原有系統管理員即administrator的無限權力進行分散，使其不再具有對系統自身安全構成威脅的能力，從而達到從根本上保障Windows 2000/2003系統安全的目的。也就是說即使非法入侵者擁有了Windows 2000/2003系統管理員最高權限也不能對經過內核加固技術保護的系統一切核心或重要內容進行任何破壞和操作。內核加固模塊穩定的工作于Windows NT /2000/2003 系統下，提升系統的安全等級，具有國家第三級安全等級標準主要特性，為用戶構造一個更加安全的操作系統平臺。
內網安全管理：主要考慮終端系統安全工作，在內部網絡中非法篡改數據、越權獲取資料，隨意安裝、使用可移動的存儲設備，隨意更改IP地址、非法外聯撥號等行為時有發生；內部人員對組織的結構、制度、運作等情況非常熟悉，容易接觸敏感信息，使得組織內部的機密信息更加容易透過網絡被有意無意的泄露出去，事后追查非常麻煩。所以，建立一個基于監測、發現、制止、響應、責任追究的管理與技術防范機制，通過將監控和審計手段有機結合，及時阻止危及內部網絡安全的違規時間發生、實時監控內部人員的違規操作、規范敏感信息和機密數據的存儲和轉移方式。
服務是整體防毒系統中極為重要的一環。防病毒系統建立起來之后，為對病毒進行有效的防范，我們組成相關廠商提供及時、全面的服務。我們有足夠的本地化技術人員作依托，不管是對系統使用中出現的問題，還是用戶發現的可疑文件，都能進行快速的分析和方案提供。
采用以上信息安全技術以及相應的網絡安全措施和管理制度，對網絡安全設備進行統一管理和統一策略制定，進行網絡安全服務和應急響應。網絡安全的發展日新月異，誰也無法實現一勞永逸的安全服務，所以當緊急安全問題發生，一般技術人員又無法迅速解決的時候，及時發現問題、解決問題就必須依靠緊急響應來實現。當客戶的主機或網絡正遭到攻擊或發現入侵成功的痕跡，而又無法當時解決和追查來源時。我們將根據客戶的要求，以最快的速度趕到現場，協助客戶解決問題，查找后門，保存證據和追查來源。此項緊急響應服務由東華公司和相關安全廠商組成的響應安全技術服務小組負責�？梢耘c客戶自己的網絡安全中心以及反應體系配合協作，共同完成對客戶網絡安全事件的緊急響應和處理。作為一個規范的網絡安全服務商，東華集團和相關安全廠商有一整套完整的緊急響應機制，也具備處理緊急事務經驗的工程師。
3.3 部分成功案例
北京奧生物研究中心
寧夏電力公司
遼寧電力公司
北京海關
北京安貞醫院
豐臺區電子政務
邯鋼集團
河北環保局
水利部內網
中石化全網ERP服務器防護系統
大慶采油二廠
中國家統計資料館網絡系統建設項目
黑龍江、遼寧、河北質檢項目
上海鐵路集裝箱信息中心網絡建設項目
山東省電子政務外網
國家工商行政管理總局
氣象科學研究院
東風朝陽柴油機公司
南陽防爆集團
山西昆明卷煙廠
山東濰柴動力
