下载文档原格式
访问控制策略
一、定义
访问控制策略（Access Control Policy，简称ACP）是一种统一的、通用的、可操作的控制机制，用来描述系统资源访问的规则、权限和控制机制，它规定了访问信息系统、网络、资源或服务的用户，其访问行为的原则、权限和安全措施等内容。
二、用途
1、访问控制策略可以被用在信息安全中，它为系统的访问安全提供具体的指导意见和框架，为访问权限的管理提供帮助；
2、同时，ACP还可以用于保护系统的隐私，避免未经许可的人员访问系统中的敏感信息；
3、访问控制策略还可以用于减少安全漏洞，管理系统安全的威胁，通过设定安全的权限，以保护系统的安全。
三、特点
1、访问控制策略是一种通用的机制，可以应用于不同的访问环境；
2、可以指定不同级别的访问权限，能够对用户的访问进行有效的控制；
3、访问控制策略可以增加安全管理的灵活性，有助于保护系统的安全性；
4、同时，它还可以根据不同的访问环境对用户进行认证，以确保用户的安全性。
Juniper网络安全防火墙设备快速安装手册V1.02007-4目录1、前言 (4)1.1、J UNIPER防火墙配置概述 (4)1.2、J UNIPER防火墙管理配置的基本信息 (4)1.3、J UNIPER防火墙的常用功能 (5)2、JUNIPER防火墙三种部署模式及基本配置 (6)2.1、NAT模式 (6)2.2、R OUTE-路由模式 (7)2.3、透明模式 (8)2.4、基于向导方式的NAT/R OUTE模式下的基本配置 (8)2.5、基于非向导方式的NAT/R OUTE模式下的基本配置 (17)2.5.1、NS-5GT NAT/Route模式下的基本配置 (18)2.5.2、NS-25-208 NAT/Route模式下的基本配置 (19)2.6、基于非向导方式的透明模式下的基本配置 (20)3、JUNIPER防火墙几种常用功能的配置 (21)3.1、MIP的配置 (21)3.1.1、使用Web浏览器方式配置MIP (22)3.1.2、使用命令行方式配置MIP (24)3.2、VIP的配置 (24)3.2.1、使用Web浏览器方式配置VIP (25)3.2.2、使用命令行方式配置VIP (26)3.3、DIP的配置 (27)3.3.1、使用Web浏览器方式配置DIP (27)3.3.2、使用命令行方式配置DIP (29)4、JUNIPER防火墙IPSEC VPN的配置 (29)4.1、站点间IPS EC VPN配置：STAIC IP-TO-STAIC IP (29)4.1.1、使用Web浏览器方式配置 (30)4.1.2、使用命令行方式配置 (34)4.2、站点间IPS EC VPN配置：STAIC IP-TO-DYNAMIC IP (36)4.2.1、使用Web浏览器方式配置 (37)4.2.1、使用命令行方式配置 (40)5、JUNIPER中低端防火墙的UTM功能配置 (42)5.1、防病毒功能的设置 (43)5.1.1、Scan Manager的设置 (43)5.1.2、Profile的设置 (44)5.1.3、防病毒profile在安全策略中的引用 (46)5.2、防垃圾邮件功能的设置 (48)5.2.1、Action 设置 (49)5.2.2、White List与Black List的设置 (49)5.2.3、防垃圾邮件功能的引用 (51)5.3、WEB/URL过滤功能的设置 (51)5.3.1、转发URL过滤请求到外置URL过滤服务器 (51)5.3.2、使用内置的URL过滤引擎进行URL过滤 (53)5.3.3、手动添加过滤项 (54)5.4、深层检测功能的设置 (58)5.4.1、设置DI攻击特征库自动更新 (58)5.4.2、深层检测（DI）的引用 (59)6、JUNIPER防火墙的HA（高可用性）配置 (61)6.1、使用W EB浏览器方式配置 (62)6.2、使用命令行方式配置 (64)7、JUNIPER防火墙一些实用工具 (65)7.1、防火墙配置文件的导出和导入 (65)7.1.1、配置文件的导出 (66)7.1.2、配置文件的导入 (66)7.2、防火墙软件（S CREEN OS）更新 (67)7.3、防火墙恢复密码及出厂配置的方法 (68)8、JUNIPER防火墙的一些概念 (68)关于本手册的使用：① 本手册更多的从实际使用的角度去编写，如果涉及到的一些概念上的东西表述不够透彻、清晰，请使用者自行去找一些资料查证；② 本手册在编写的过程中对需要使用者特别注的地方，都有“注”标识，请大家仔细阅读相关内容；对于粗体、红、蓝色标注的地方也需要多注意；③ 本着技术共享的原则，我们编写了该手册，希望对在销售、使用Juniper防火墙的相应技术人员有所帮助1、前言我们制作本安装手册的目的是使初次接触Juniper网络安全防火墙设备（在本安装手册中简称为“Juniper防火墙”）的工程技术人员，可以通过此安装手册完成对Juniper防火墙基本功能的实现和应用。
第四章防火墙访问控制列表v1.0 幻灯片 1包过滤指在网络层对每一个数据包进行检查，根据配置的安全策略来转发或拒绝数据包。
包过滤防火墙的基本原理是：通过配置ACL（Access Control List，访问控制列表）实施数据包的过滤。
实施过滤主要是基于数据包中的源/目的IP 地址、源/目的端口号、IP 标识和报文传递的方向等信息。
访问控制列表定义的数据流在防火墙上的处理规则，防火墙根据规则对数据流进行处理。
因此，访问控制列表的核心作用是：根据定义的规则对经过防火墙的流量进行筛选，由关键字确定筛选出的流量如何进行下一步操作。
在防火墙应用中，访问控制列表是对经过防火墙的数据流进行网络安全访问的基本手段，决定了后续的应用数据流是否被处理。
访问控制列表根据通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流。
ACL 能够通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流，是包过滤、NAT、IPSec、QoS、策略路由等应用的基础。
访问控制列表的使用：1、访问控制列表可以用于防火墙2、访问控制列表可以用于Qos(Quality of Service)，对数据流量进行控制3、在DCC中，访问控制列表还可用来规定触发拨号的条件4、访问控制列表还可以用于地址转换5、在配置路由策略时，可以利用访问控制列表来作路由信息的过滤包过滤包过滤作为一种网络安全保护机制，用于控制在两个不同安全级别的网络之间流入和流出网络的数据。
在防火墙转发数据包时，先检查包头信息（例如包的源地址/目的地址、源端口/目的端口和上层协议等），然后与设定的规则进行比较，根据比较的结果决定对该数据包进行转发还是丢弃处理。
地址转换NAT（Network Address Translation）是将数据报报头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。
公司公司第三方管理办法
（V1.0）
公司有限公司
二〇一一年十一月
目录
第一章总则 (3)
第二章组织与职责 (3)
第三章第三方公司及人员管理 (4)
第四章第三方安全域及防护要求 (6)
第五章第三方接入管理 (7)
第六章第三方帐号及权限管理 (8)
第七章第三方系统安全管理 (9)
第九章第三方信息安全审核、监督与检查 (11)
第十章附则 (13)
第一章总则
第一条为了加强对第三方合作伙伴、人员、系统的安全管理，防止引入第三方给公司带来的安全风险，特制定本管理办法。
第二条本办法适用于公司有限公司各部门、省客户服务中心、各市分公司（以下简称：各单位）。
第三条本办法所指第三方包括第三方公司、第三方系统、第三方人员：
（一）第三方公司是指向公司公司提供服务的外部公
司。
（二）第三方系统是指为公司公司服务或与公司公司
合作运营的系统。
这些系统可能不在公司公司机房内，但
能通过接口与公司公司的系统发生数据交互。
（三）第三方人员是指为公司公司提供开发、测试、运
维等服务或参与合作运营系统管理的非公司公司人员。
第四条对第三方公司的信息安全管理应遵循如下原则：“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责”的原则。
第二章组织与职责
第五条公司公司第三方安全管理责任部门为对口合作（包括。
深信服下一代防火墙NGAF技术白皮书深信服科技有限公司二零一一年八月目录1.概述 (3)2. 为什么需要下一代防火墙 (3)2.1网络发展的趋势使防火墙以及传统方案失效 (3)2.2替代性方案能否弥补 (4)2.2.1“打补丁式的方案” (4)2.2.2 UTM统一威胁管理 (4)3.下一代防火墙的诞生与价值 (4)3.1Gantner定义下一代防火墙 (4)3.2深信服下一代应用防火墙—NGAF (5)4.产品功能特点 (6)4.1更精细的应用层安全控制 (6)4.1.1可视化应用识别 (7)4.1.2多种用户识别方式 (7)4.1.3一体化应用访问控制策略 (8)4.1.4基于应用的流量管理 (9)4.2更全面的内容级安全防护 (10)4.2.1灰度威胁关联分析技术 (10)4.2.2基于攻击过程的服务器保护 (12)4.2.3强化的WEB安全防护 (13)4.2.4完整的终端安全保护 (14)4.3更高性能的应用层处理能力 (15)4.3.1单次解析架构 (15)4.3.2多核并行处理技术 (16)4.4更完整的安全防护方案 (16)5.关于深信服 (17)1.概述防火墙自诞生以来，在网络安全防御系统中就建立了不可替代的地位。
作为边界网络安全的第一道关卡防火墙经历了包过滤技术、代理技术和状态监视技术的技术革命，通过ACL 访问控制策略、NAT地址转换策略以及抗网络攻击策略有效的阻断了一切未被明确允许的包通过，保护了网络的安全。
防火墙就像故宫的城墙，对进出防火墙的一切数据包进行检查，保证合法数据包能够进入网络访问合法资源同时防止非法人员通过非法手段进入网络或干扰网络的正常运行。
防火墙技术在当时被堪称完美！随着时代的变迁，故宫的城墙已黯然失色，失去了它原有的防御能力。
同样防火墙在面对网络的高速发展，应用的不断增多的时代也失去了它不可替代的地位。
自2009年10月Gartner提出“Defining the Next-Generation Firewall”一文，重新定义下一代防火墙，下一代防火墙的概念在业内便得到了普遍的认可。
中国移动网络互联安全管理办法第一章总则第一条为加强中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络互联安全管理，保障在安全可控的前提下满足不同网络之间的互访需求，根据《中华人民共和国计算机信息系统安全保护条例》、《中国移动网络与信息安全保障体系（NISS）总纲》等国家和公司相关规定，制定本办法。
第二条网络互联应符合“谁主管、谁负责，谁接入、谁负责”总体原则，遵从“基于需求”、“集中化”及“可控”等具体原则。
通过规范申请、审批等过程，实现安全的网络互联。
第三条本办法由中国移动通信有限公司网络部制定、监督实施和解释。
第四条本办法自发布之日起执行，各省公司应制定具体实施细则。
第二章适用范围第五条本办法适用于有限公司及各省公司的建设部门，通信网、业务网和各支撑系统维护部门以及与中国移动相关的所有合作伙伴，如SP、CP、代维公司、银行、设备供应商等等。
第六条CMNet专线用户的管理以业务部门相关规定为准，不在本办法管理范围内。
第七条电信运营商之间网络的互联管理不在本办法规定范围内，可参见信息产业部《电信管理条例》、《公用电信网间互联管理规定》（信息产业部第9号令）以及《中国移动互联互通管理办法》等。
第八条本办法所指“网络互联”仅限于两个需要建立长期连接的网络之间的互联。
其它连接类型的管理要求可参见《中国移动远程接入管理办法》。
网络互联可分为两大类：(一)内部网络互联：指中国移动内部各安全域之间的互联，包括各支撑系统之间、支撑系统与业务系统之间、业务系统之间以及总部和各省公司两级安全域之间的互联等；(二)内部与外部网络互联：指中国移动网络与与第三方网络之间的互联，第三方网络包括但不限于合作伙伴、客户网络、设备提供商等等。
第三章组织及职责第九条总体原则(一)“谁主管、谁负责，谁接入、谁负责”原则。
中国移动通信网、业务网和各支撑系统的维护部门作为第一责任人，分别直接负责所辖网络的网络互联管理工作。
北京华胜天成科技股份有限公司
管理体系文件Array
2009年03月01日发布2009年03月01日生效
目录
1 目的 (1)
2 适用范围 (1)
3 术语表 (1)
4 访问控制方针 (1)
4.1 通用方针 (1)
4.2 网络访问控制 (2)
4.2.1 网络区域划分 (2)
4.2.2 网络区域隔离 (2)
4.3 身份授予与鉴别 (2)
4.3.1 账户管理 (2)
4.4 外部信息交换控制 (3)
4.4.1 公开信息披露 (3)
4.4.2 外部信息交换 (3)
5 相关过程、模板、指导、检查表 (3)
1目的
访问控制方针旨在基于华胜天成的业务需求，为信息资产的访问控制制定方针原则。
各信息安全控制措施的选择和实施，以及信息安全管理规定的编写，应依据本方针进行。
2适用范围
本方针适用于华胜天成信息安全管理体系范围内的各类型访问控制，包括但不限于：
信息资产访问控制；
权限及密码管理；
网络访问控制；
物理安全访问控制；
应用系统访问控制等。
3术语表
4访问控制方针
访问控制应依据以下两个原则进行：
最小授权原则
当没有明确授予访问权限时，应为禁止访问。
应仅对用户授予他们开展业务活动所必需的访问权限。
需要时获取
访问权限应仅当使用者必须要访问信息时授予。
4.1 通用方针
信息安全的访问控制，应基于分级的原则。
在不同级别之间，应设置访问控制措施；
访问控制角色应进行分离，包括如下角色：
✓访问请求
✓访问授权
✓访问管理
✓访问控制审计；
访问控制应包括如下管理过程：
✓访问控制措施的部署；
✓访问控制权限的申请、审批及授予
✓访问控制权限的回顾及审计
✓访问控制权限的撤销
应对公司内部访问以上级别的信息资产设置访问控制措施；
工作职责范围内的对本部门机密以及内部访问级别的信息资产的访问，不需要特别申请访问权限；
工作职责范围外对任何机密级别的信息资产的访问，需要有信息资产所有者以及信息访问者所在部门直接主管的共同授权；
工作职责范围外对任何内部访问级别的信息资产的访问，需要有信息资产所有者的审批；
对绝密级别的信息资产的访问，需要有信息资产所有者以及信息访问者所在事业部的总经理的共同明确授权；由资产所有者维护访问清单及授权记录，并负责至少三个月按照访问
清单对实际访问权限进行回顾；
访问控制的执行状况，应该由信息安全流程经理组织访问控制权限的审计活动；应基于信息安全事件的发生频率和影响，以及信息资产的等级设定审计的频率；
对物理环境的访问控制，参照《物理环境管理规范》执行；
对信息资产的访问控制，参照《信息资产管理规范》
4.2 网络访问控制
网络区域划分与隔离是进行访问控制的基础，目的是确认并管理企业网络内部边界和外部边界，使各个区域之间相互独立，保证各个区域间的影响最小化。
以下为网络访问控制的
4.2.1网络区域划分
华胜天成所有网络区域应根据其支撑的业务和业务的安全需求进行划分，对于安全需求比较高的敏感区域应进行识别，明确每个区域与其它区域的边界以及企业内部与外部区域的边界。
华胜天成网络区域包括但不限于：
✓公司普通办公网络区域；
✓财务、人事敏感办公网络区域；
✓公司分支机构网络区域；
✓企业软件开发、测试网络环境。
4.2.2网络区域隔离
应根据业务需求对网络区域之间采用不同的手段进行隔离，对于敏感网络区域的边界必须采用足够的技术手段进行防护。
华胜天成敏感区域边界包括但不限于：
✓敏感办公区域与普通办公区域的网络边界；
✓企业内部网络与Internet网络边界；
✓企业内部网络区域与分支机构之间的网络边界；
✓软件开发、测试环境与企业生产系统的网络边界。
4.3 身份授予与鉴别
身份授予与鉴别是对访问企业资源的用户赋予身份并在用户访问资源时进行身份鉴别，目的是保证访问网络系统资源的用户是合法的。
关于身份授予与鉴别政策定义如下：
4.3.1账户管理
应基于不同业务的需求对访问华胜天成资源的用户分别建立用户账户的授予与撤销的管理措施和执行过程。
授予用户的身份应是唯一的，即一个用户账户唯一地对应一个用户，不允许多人共享一个账户。
对任何用户的登录应进行身份鉴别。
身份鉴别的方法应根据用户所处环境的风险确定。
对重要资源的访问保证有足够的口令强度和防攻击能力，用户必须使用符合安全要求的口令，并妥善保护口令。
信息系统的所有者应维护特权账户的清单和对应使用人员，并至少每三个月对特权帐号进行回顾。
4.4 外部信息交换控制
外部信息交换控制政策是防止在与外部进行信息交换不受控，从而造成华胜天成公司的敏感信息泄漏或被篡改。
由于华胜天成是上市公司，任何公开信息的披露，应遵循严格的审批和授权过程。
4.4.1公开信息披露
未经允许，不得将任何公司“内部”及其上级别的信息披露给公司外部人员；
公开信息仅应通过获得授权的部门对外披露；
4.4.2外部信息交换
严禁将“绝密”及其上级别的信息传递给第三方；
若需将“机密”信息与第三方共享，应获得信息所需部门二级经理以及资产所有者的审批。
传递信息前，必须与第三方签订保密协议。
在信息交换过程中，应采取适当的控制措施，保证信息的保密性、完整性不被破坏。
5相关过程、模板、指导、检查表
1)《账号口令安全管理规定》
2)《门禁系统安全管理规定》
3)《信息交换安全策略》。
