北京apec成功案例 -
1APEC 峰会案例
1.1 需求背景
APEC 峰会运作是通过非约束性的承诺与成员的自愿，强调开放对话及平等尊重各成员意见，不同于其他经由条约确立的政府间组织。成立之初是一个区域性经济论坛和磋商机构，是亚太区内各地区之间促进经济成长、合作、贸易、投资的论坛，经过十几年的发展，已逐渐演变为亚太地区重要的经济合作论坛，也是亚太地区最高级别的政府间经济合作机制。
今年是APEC 峰会25周年，也是13年后APEC 峰会再次回到中国。2014年某峰会是继2008年北京奥运会、2010年上海世博会后，在中国又一次极具深远影响力的盛会，对中国不断提高国际形象、扩大国际影响、提升国际话语权有着重要的意义。
1.2 安全需求
为了保障APEC 会议期间的信息安全，针对网站系统安全进行分析，发现操作系统层没有安装主机安全产品，面对日益增长的黑客攻击，操作系统层成为整个网站系统中的脆弱环节，存在严重安全隐患。为此在Web 服务器、数据库服务器部署了椒图科技JHSE(椒图主机安全环境系统) ，用于保障核心网站服务器操作系统及数据安全。
1.3系统环境
操作系统：Windows 10台
Linux 10台
系统应用：IIS 、Resin 、Tomcat
数据库：Oracle 、Mysql 、Sqlserver
1.4 解决方案
椒图主机安全环境系统(以下简称JHSE) 部署在操作系统中，用于保障信息数据安全，满足APEC 峰会期间信息防泄漏、访问控制、安全审计等功能。
JHSE 的强制访问控制功能保证了文件的保密性、完整性、可用性，使重要文件得到充分的保护。同时该功能保证了权限最小化、降低了用户权限扩散的风险、避免了恶意提权的发生。
JHSE 的审计功能，将操作发起的主体、响应操作的客体、操作发起的时间、操作行为、行为的成功与失败，都详细记录下来，汇总记录成文件并做分类。方便追踪事件源头，管理员方便查阅日志。
部署示意图如下：
图5.1.3-1 APEC部署示意图
1.5 策略配置
系统保护域：在操作系统稳定运行的基础上，保护操作系统核心资源不能被修改、删除，不允许修改本地安全策略和组策略，保护各个磁盘不能被格式化。
JHSE 保护域：保护JHSE
自身安全，安装目录不能被修改、删除，进程不会
被恶意终止，JHSE 调用的资源不能被修改、删除。
数据库保护域：保护Oracle 、Mysql 、Sqlserver 安装目录不能被修改、删除，应用的进程不能被恶意终止。Oracle 、Mysql 、Sqlserver 可以正常运行，同时其连续性得到了保障。有效防止Oracle 、Mysql 、Sqlserver 数据库被非法利用。只允许Oracle 客户端访问，Oracle 数据库的配置文件在安全域内透明加解密，并对重要数据进行完整性保护。
网站保护域：配置tomcat 、resin 、IIS 、应用安装目录均是只读权限，该目录不会被恶意修改、删除，应用的进程不会被终止，网站业务系统的连续性得到了保障。配置网站内容存放目录为只读权限，仅有负责网站发布的应用对其可以正常访问，其他方式不能修改、删除与网站内容相关的文件，防止网站被非法篡改。
1.6 方案效果
1、通过双重身份认证，使账户持有人需要物理设备USBKEY 才能登陆到操作系统，避免了非法人员登陆到操作系统。
2、网站系统正常运行，即使使用root 用户，也不能访问网站系统程序的目录，更不能卸载、恶意终止、替换Java 、tomcat 、IIS 、resin 程序，不能杀掉其进程，网站系统，不能被非法终止，以有效保证网站的连续性。
3、保护重要数据不会被非法篡改，即使是root 权限，Oracle 数据库的配置文件及重要数据也不会被非法修改、复制、删除，可以有效保证网站的连续性和安全性，有效防止应用服务器和Oracle 数据库被非法利用。
4、免疫已知、未知木马、病毒、漏洞攻击，即使获得超级管理员权限登陆到服务器，也不能中止业务相关程序，恶意篡改核心数据。
5、把操作系统透明提升到安全操作系统，且完全满足国家等级保护操作系统三级要求。