方案模板-XX省電子政務(wù)外網(wǎng)平臺(tái)安全方案

方案說(shuō)明方案類型：省級(jí)電子政務(wù)外網(wǎng)平安建設(shè)整體解決方案目標(biāo)分析：目標(biāo)網(wǎng)絡(luò)平臺(tái)是省級(jí)電子政務(wù)外網(wǎng)平臺(tái)，網(wǎng)絡(luò)及業(yè)務(wù)規(guī)劃的比擬完整。業(yè)務(wù)內(nèi)容既包含了效勞于社會(huì)公眾的對(duì)外政務(wù)公開(kāi)，也包括為各級(jí)政府部門提供信息共享與交換，為各級(jí)政府非涉密業(yè)務(wù)系統(tǒng)提供網(wǎng)絡(luò)平臺(tái)支撐，同時(shí)逐步整合和建立工商、稅務(wù)、財(cái)政等所有政務(wù)部門的業(yè)務(wù)應(yīng)用系統(tǒng)。該平臺(tái)承載業(yè)務(wù)的主要平安域如下：互聯(lián)網(wǎng)效勞區(qū)：用于承載政務(wù)公開(kāi)、局部外聯(lián)單位接入共享信息資源效勞區(qū)：用于承載各級(jí)政務(wù)部門進(jìn)行信息共享跨部門應(yīng)用效勞區(qū)：用于承載需要跨部門辦公的應(yīng)用系統(tǒng)單個(gè)部門應(yīng)用效勞區(qū)：用于承載各政務(wù)部門獨(dú)立的應(yīng)用系統(tǒng)方案思路：該電子政務(wù)外網(wǎng)平臺(tái)的建設(shè)將分期進(jìn)行，本方案主要針對(duì)一期建設(shè)而提供的平安建設(shè)方案，其要點(diǎn)如下：方案體系設(shè)計(jì)時(shí)，考慮根據(jù)等級(jí)保護(hù)相關(guān)技術(shù)要求，結(jié)合IATF體系設(shè)計(jì)方法而形成一整套平安解決方案。并歸納了等保相關(guān)技術(shù)要求在方案中的實(shí)現(xiàn)方式，具備一定的典型意義。同時(shí)為表達(dá)完整性，規(guī)劃設(shè)計(jì)了包括省平臺(tái)以及各接入單位的全面平安方案，并根據(jù)實(shí)際需求進(jìn)行分期分批建設(shè)的規(guī)劃思路，共分為三期建設(shè)。該網(wǎng)絡(luò)平臺(tái)歷史上平安投入很少，一期平安建設(shè)重點(diǎn)在于邊界類平安，考慮到邊界的復(fù)雜性及工程需要，方案涵蓋了公司大局部邊界網(wǎng)關(guān)類產(chǎn)品。考慮到后期工程控制，參加了非邊界網(wǎng)關(guān)的APM產(chǎn)品，形成統(tǒng)一品牌優(yōu)勢(shì)。包含產(chǎn)品：防火墻、VPN網(wǎng)關(guān)、UTM網(wǎng)關(guān)、AV網(wǎng)關(guān)、IPS、IDS、APM、LeadsecManager、異常流量管理、網(wǎng)閘、內(nèi)網(wǎng)平安管理、雙因素身份認(rèn)證、漏洞掃描、平安審計(jì)、網(wǎng)頁(yè)防篡改，平安運(yùn)維效勞。

XX省電子政務(wù)外網(wǎng)平安建設(shè)方案聯(lián)想網(wǎng)御科技〔北京〕

目錄TOC\o"1-4"\h\z\u1 工程工程概述 52 平安建設(shè)路線 6 設(shè)計(jì)原那么 62 等級(jí)保護(hù)建設(shè)原那么 6 體系化的設(shè)計(jì)原那么 6 產(chǎn)品的先進(jìn)性原那么 6 按步驟有序建設(shè)原那么 6 平安效勞細(xì)致化原那么 6 等級(jí)化建設(shè)思路 73 平安需求分析 9 平安技術(shù)層面需求分析 9 外網(wǎng)平臺(tái)平安需求 9 計(jì)算環(huán)境平安需求 9 應(yīng)用系統(tǒng)平安需求 11 根底設(shè)施平安需求 12 管理系統(tǒng)平安需求 12 平安管理層面需求分析 13 平安效勞層面需求分析 134 平安方案設(shè)計(jì) 14 方案設(shè)計(jì)框架 14 平安區(qū)域框架 15 平安等級(jí)劃分 16 定級(jí)流程 17 定級(jí)結(jié)果 19 平安體系技術(shù)層面設(shè)計(jì) 19 外網(wǎng)平臺(tái)平安設(shè)計(jì) 19 外部邊界 20 內(nèi)部邊界 25 VPN虛擬專網(wǎng) 26 計(jì)算環(huán)境平安設(shè)計(jì) 27 終端平安管理 27 網(wǎng)絡(luò)防病毒 29 主機(jī)審計(jì) 29 數(shù)據(jù)庫(kù)審計(jì) 30 入侵檢測(cè)系統(tǒng) 30 主機(jī)加固 31 應(yīng)用系統(tǒng)平安設(shè)計(jì) 32 網(wǎng)絡(luò)平安審計(jì) 32 雙因素身份認(rèn)證 32 平安評(píng)估工具 33 Web頁(yè)面防護(hù) 34 應(yīng)用平安監(jiān)控 35 數(shù)據(jù)統(tǒng)一備份 35 根底設(shè)施平安設(shè)計(jì) 36 平安管理設(shè)計(jì) 37 平安體系管理層面設(shè)計(jì) 375 整體平安設(shè)計(jì)配置方案 39 整體部署結(jié)構(gòu) 39 省數(shù)據(jù)中心 45 接入單位 45 等級(jí)保護(hù)技術(shù)措施總表 46

工程工程概述添加工程背景情況介紹XX省電子政務(wù)外網(wǎng)工程將建設(shè)政務(wù)外網(wǎng)傳輸網(wǎng)絡(luò)，統(tǒng)一硬件平臺(tái)，操作系統(tǒng)與數(shù)據(jù)庫(kù)平臺(tái)，共享數(shù)據(jù)平臺(tái)，根底業(yè)務(wù)在線辦理與跨部門綜合應(yīng)用等內(nèi)容。按照《XX省電子政務(wù)外網(wǎng)工程可行性研究報(bào)告》〔簡(jiǎn)稱：可研報(bào)告〕的規(guī)劃，省政務(wù)外網(wǎng)工程的總體建設(shè)目標(biāo)為：建設(shè)一個(gè)統(tǒng)一的根底通信網(wǎng)絡(luò)平臺(tái)；建立一個(gè)統(tǒng)一的系統(tǒng)支撐平臺(tái)；逐步整合和建立所有政務(wù)部門的業(yè)務(wù)應(yīng)用系統(tǒng)；構(gòu)筑統(tǒng)一管理的平安保障體系。其中平安保障體系是即將開(kāi)展的迫切工作內(nèi)容之一，本建設(shè)方案旨在提供省政務(wù)外網(wǎng)工程在信息平安保障體系建設(shè)方面的思路，通過(guò)閱讀本方案可以清晰的知道本期建設(shè)的內(nèi)容，同時(shí)根據(jù)業(yè)務(wù)保護(hù)的重要程度進(jìn)行分期建設(shè)方案設(shè)計(jì)。

平安建設(shè)路線設(shè)計(jì)原那么等級(jí)保護(hù)建設(shè)原那么XX省電子政務(wù)外網(wǎng)屬國(guó)家重要信息系統(tǒng)，其平安建設(shè)不能無(wú)視國(guó)家相關(guān)政策要求，在平安保障體系建設(shè)上最終所要到達(dá)的保護(hù)效果應(yīng)符合《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》。體系化的設(shè)計(jì)原那么系統(tǒng)設(shè)計(jì)應(yīng)充分考慮到各個(gè)層面的平安風(fēng)險(xiǎn)，構(gòu)建完整的平安防護(hù)體系，充分保證系統(tǒng)的平安性。同時(shí)，應(yīng)確保方案中使用的信息平安產(chǎn)品和技術(shù)方案在設(shè)計(jì)和實(shí)現(xiàn)的全過(guò)程中有具體的措施來(lái)充分保證其平安性。產(chǎn)品的先進(jìn)性原那么XX省電子政務(wù)外網(wǎng)平安保障體系建設(shè)規(guī)模龐大，意義深遠(yuǎn)。對(duì)所需的各類平安產(chǎn)品提出了很高的要求。必須認(rèn)真考慮各平安產(chǎn)品的技術(shù)水平、合理性、先進(jìn)性、平安性和穩(wěn)定性等特點(diǎn)，共同打好工程的技術(shù)根底。按步驟有序建設(shè)原那么XX省電子政務(wù)外網(wǎng)平安保障體系的建設(shè)是一項(xiàng)長(zhǎng)期的工程，并非一蹴而就解決所有平安問(wèn)題。因此，在實(shí)際建設(shè)過(guò)程中要根據(jù)實(shí)際情況分輕重緩急，分期、分批的進(jìn)行部署。平安效勞細(xì)致化原那么要使得平安保障體系發(fā)揮最大的成效，除平安產(chǎn)品的部署外還提供平安效勞，根據(jù)XX電子政務(wù)外網(wǎng)具表達(dá)狀及承載的重要業(yè)務(wù)，全面而細(xì)致的平安效勞會(huì)提升日常運(yùn)維及應(yīng)急處理風(fēng)險(xiǎn)的能力。平安效勞就需要把平安效勞商的專業(yè)技術(shù)經(jīng)驗(yàn)與行業(yè)經(jīng)驗(yàn)相結(jié)合，結(jié)合XX省電子政務(wù)外網(wǎng)的實(shí)際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)平安穩(wěn)定的運(yùn)行。等級(jí)化建設(shè)思路“等級(jí)化平安體系”是依據(jù)國(guó)家信息平安等級(jí)保護(hù)制度，根據(jù)系統(tǒng)在不同階段的需求、業(yè)務(wù)特性及應(yīng)用重點(diǎn)，采用等級(jí)化與體系化相結(jié)合的平安體系設(shè)計(jì)方法，幫助構(gòu)建一套覆蓋全面、重點(diǎn)突出、節(jié)約本錢、持續(xù)運(yùn)行的平安防御體系?！暗燃?jí)化”設(shè)計(jì)方法，是根據(jù)需要保護(hù)的信息系統(tǒng)確定不同的平安等級(jí)，根據(jù)平安等級(jí)確定不同等級(jí)的平安目標(biāo)，形成不同等級(jí)的平安措施進(jìn)行保護(hù)。“體系化”設(shè)計(jì)方法，是根據(jù)業(yè)務(wù)目標(biāo)確定平安目標(biāo)，通過(guò)結(jié)構(gòu)化方法進(jìn)行分解，將問(wèn)題、對(duì)象或目標(biāo)拆分成子問(wèn)題、對(duì)象或目標(biāo)的迭代方法。這一設(shè)計(jì)方法包含三個(gè)主要原那么，分別是“充分覆蓋”、“互補(bǔ)重疊”和“不可再細(xì)分”。整體的平安保障體系包括技術(shù)和管理兩大局部，其中管理局部可以分為策略、組織和運(yùn)作三個(gè)局部。即，整個(gè)體系分為四局部，包括策略體系、組織體系、技術(shù)體系和運(yùn)作體系。整個(gè)平安保障體系的四個(gè)局部既有機(jī)結(jié)合，又相互支撐，之間的關(guān)系為“根據(jù)策略體系中策略，由組織體系〔或人員〕，利用技術(shù)體系作為工具和手段，進(jìn)行操作來(lái)維持運(yùn)行體系”。根據(jù)等級(jí)化平安保障體系的設(shè)計(jì)思路，等級(jí)保護(hù)的設(shè)計(jì)與實(shí)施通過(guò)以下步驟進(jìn)行：系統(tǒng)識(shí)別與定級(jí)：通過(guò)分析系統(tǒng)所屬類型、所屬信息類別、效勞范圍以及業(yè)務(wù)對(duì)系統(tǒng)的依賴程度確定系統(tǒng)的等級(jí)。通過(guò)此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的等級(jí)，為下一步平安域設(shè)計(jì)、平安保障體系框架設(shè)計(jì)、平安要求選擇以及平安措施選擇提供依據(jù)。平安域設(shè)計(jì)：根據(jù)第一步的結(jié)果，通過(guò)分析系統(tǒng)業(yè)務(wù)流程、功能模塊，根據(jù)平安域劃分原那么設(shè)計(jì)系統(tǒng)平安域架構(gòu)。通過(guò)平安域設(shè)計(jì)將系統(tǒng)分解為多個(gè)層次，為下一步平安保障體系框架設(shè)計(jì)提供根底框架。平安保障體系框架設(shè)計(jì)：根據(jù)平安域框架，設(shè)計(jì)系統(tǒng)各個(gè)層次的平安保障體系框架〔包括策略、組織、技術(shù)和運(yùn)作〕，各層次的平安保障體系框架形成系統(tǒng)整體的平安保障體系框架。確定平安域平安要求：參照國(guó)家相關(guān)等級(jí)保護(hù)平安要求，設(shè)計(jì)等級(jí)平安指標(biāo)庫(kù)。通過(guò)平安域適用平安等級(jí)選擇方法確定系統(tǒng)各區(qū)域等級(jí)，明確各平安域所需采用的平安指標(biāo)。評(píng)估現(xiàn)狀：根據(jù)各等級(jí)的平安要求確定各等級(jí)的評(píng)估內(nèi)容，根據(jù)國(guó)家相關(guān)風(fēng)險(xiǎn)評(píng)估方法，對(duì)系統(tǒng)各層次平安域進(jìn)行有針對(duì)性的等級(jí)風(fēng)險(xiǎn)評(píng)估。通過(guò)等級(jí)風(fēng)險(xiǎn)評(píng)估，可以明確各層次平安域相應(yīng)等級(jí)的平安差距，為下一步平安技術(shù)解決方案設(shè)計(jì)和平安管理建設(shè)提供依據(jù)。平安技術(shù)解決方案設(shè)計(jì)：針對(duì)平安要求，建立平安技術(shù)措施庫(kù)。通過(guò)等級(jí)風(fēng)險(xiǎn)評(píng)估結(jié)果，設(shè)計(jì)系統(tǒng)平安技術(shù)解決方案。平安管理建設(shè)：針對(duì)平安要求，建立平安管理措施庫(kù)。通過(guò)等級(jí)風(fēng)險(xiǎn)評(píng)估結(jié)果，進(jìn)行平安管理建設(shè)。通過(guò)如上步驟，系統(tǒng)可以形成整體的等級(jí)化的平安保障體系，同時(shí)根據(jù)平安術(shù)建設(shè)和平安管理建設(shè)，保障系統(tǒng)整體的平安。平安需求分析平安技術(shù)層面需求分析外網(wǎng)平臺(tái)平安需求外部邊界防護(hù)主要指數(shù)據(jù)中心網(wǎng)絡(luò)平臺(tái)的所有外部網(wǎng)絡(luò)邊界，包括：國(guó)家電子政務(wù)外網(wǎng)邊界：該邊界位于信息中心網(wǎng)絡(luò)與國(guó)家電子政務(wù)外網(wǎng)之間。專網(wǎng)邊界兩側(cè)都是內(nèi)部用戶，網(wǎng)絡(luò)環(huán)境、應(yīng)用環(huán)境、用戶身份及規(guī)章制度都很接近，所面臨的網(wǎng)絡(luò)平安風(fēng)險(xiǎn)及相應(yīng)的需求也根本類似。主要需要考慮防止內(nèi)部的非法訪問(wèn)以及病毒、蠕蟲(chóng)等惡性平安事件的快速蔓延?；ヂ?lián)網(wǎng)邊界：互聯(lián)網(wǎng)接入主要用于提供對(duì)外基于互聯(lián)網(wǎng)的WEB業(yè)務(wù)、各廳局/縣級(jí)單位的VPN接入，因此在同一個(gè)邊界具備兩種屬性。外網(wǎng)邊界直接面臨社會(huì)各界用戶，使用環(huán)境復(fù)雜面臨的平安風(fēng)險(xiǎn)極大。各類復(fù)合網(wǎng)絡(luò)攻擊手段以及針對(duì)網(wǎng)站的流量攻擊均是常見(jiàn)的平安威脅。應(yīng)予以嚴(yán)格的平安防護(hù)手段在此邊界進(jìn)行設(shè)防，維護(hù)整個(gè)數(shù)據(jù)中心不被外部侵入。內(nèi)部平安域邊界在數(shù)據(jù)中心網(wǎng)絡(luò)中，可以劃分處多個(gè)網(wǎng)絡(luò)平安域，包括多個(gè)效勞器區(qū)、辦公區(qū)、多個(gè)接入?yún)^(qū)、維護(hù)管理區(qū)等等。這些平安域之間存在著內(nèi)部邊界，為能更加有針對(duì)性的對(duì)各平安域進(jìn)行防護(hù)，在不同的邊界應(yīng)采取不同的邊界防護(hù)措施。數(shù)據(jù)傳輸平安對(duì)于外部單位用戶的接入存在兩種方式：專線方式、互聯(lián)網(wǎng)方式。通過(guò)互聯(lián)網(wǎng)進(jìn)行接入傳輸?shù)臄?shù)據(jù)屬于電子政務(wù)內(nèi)部的信息，這些敏感的數(shù)據(jù)信息在互聯(lián)網(wǎng)上十分容易被非法竊取、篡改或刪除。因此必須采用技術(shù)手段保證數(shù)據(jù)的機(jī)密性、完整性以及可用性。計(jì)算環(huán)境平安需求保護(hù)計(jì)算環(huán)境關(guān)注的是采用信息保障技術(shù)確保用戶信息在進(jìn)入、離開(kāi)或駐留客戶機(jī)與效勞器時(shí)具有可用性、完整性和秘密性。主要是指主機(jī)硬件、OS，應(yīng)用軟件等的平安需求。包括：終端行為的管理終端設(shè)備部署較為分散，難于統(tǒng)一管理，操作人員的計(jì)算機(jī)水平也參差不齊，因此終端設(shè)備的平安管理成為網(wǎng)絡(luò)管理人員最為棘手的平安問(wèn)題。終端泄密、非授權(quán)訪問(wèn)、內(nèi)部攻擊等都都對(duì)數(shù)據(jù)中心平安造成威脅。各類終端和效勞器系統(tǒng)的補(bǔ)丁管理同樣是一個(gè)重要問(wèn)題。不及時(shí)的給系統(tǒng)打漏洞補(bǔ)丁會(huì)造成蠕蟲(chóng)以及不懷好意者的入侵。終端防病毒病毒是對(duì)計(jì)算環(huán)境造成危害最大的隱患，當(dāng)前病毒威脅非常嚴(yán)峻，特別是蠕蟲(chóng)病毒的爆發(fā)，會(huì)立刻向其他子網(wǎng)迅速蔓延，這樣會(huì)大量占據(jù)正常業(yè)務(wù)十分有限的帶寬，造成網(wǎng)絡(luò)性能嚴(yán)重下降甚至網(wǎng)絡(luò)通信中斷，嚴(yán)重影響正常業(yè)務(wù)開(kāi)展。因此必須采取有效手段進(jìn)行查殺，阻止病毒的蔓延危害整個(gè)數(shù)據(jù)中心。主機(jī)審計(jì)對(duì)于效勞器和重要主機(jī)需要進(jìn)行嚴(yán)格的行為控制，對(duì)用戶的行為、使用的命令等進(jìn)行必要的記錄審計(jì)，同時(shí)生成審計(jì)報(bào)表，便于日后的分析、調(diào)查、取證。數(shù)據(jù)庫(kù)審計(jì)對(duì)于關(guān)鍵的數(shù)據(jù)庫(kù)系統(tǒng)需要進(jìn)行審計(jì)。異常的數(shù)據(jù)庫(kù)操作將會(huì)造成數(shù)據(jù)的不完整和數(shù)據(jù)喪失，必須對(duì)管理員特別是數(shù)據(jù)庫(kù)管理員的操作行為進(jìn)行審計(jì)，一方面完整記錄數(shù)據(jù)庫(kù)的操作行為，另一方面對(duì)高危操作進(jìn)行及時(shí)阻止干預(yù)。最大限度的保護(hù)審計(jì)署核心信息資產(chǎn)的平安。網(wǎng)絡(luò)入侵行為檢測(cè)攻擊行為不僅來(lái)自于大家公認(rèn)的互聯(lián)網(wǎng)等外部網(wǎng)絡(luò)，在內(nèi)部也要防止攻擊行為。通過(guò)部署平安措施，要實(shí)現(xiàn)主動(dòng)阻斷針對(duì)信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等，能防御針對(duì)操作系統(tǒng)漏洞的攻擊，能夠?qū)崿F(xiàn)應(yīng)用層的平安防護(hù)，保護(hù)核心信息資產(chǎn)的免受攻擊危害。平安加固無(wú)論是審計(jì)、入侵檢測(cè)或是防病毒，某種意義上來(lái)說(shuō)都是被動(dòng)防御，大都不具備主動(dòng)防御的能力。如在危險(xiǎn)來(lái)臨之前就能主動(dòng)加固系統(tǒng)，增強(qiáng)系統(tǒng)本身的抵御能力，那么在實(shí)際運(yùn)行中發(fā)揮十分重要的作用。應(yīng)用系統(tǒng)平安需求對(duì)于存在于電子政務(wù)外網(wǎng)平臺(tái)上的眾多應(yīng)用系統(tǒng)，同樣存在著多種類型平安需求，包括：網(wǎng)絡(luò)行為審計(jì)由于用戶的計(jì)算機(jī)相關(guān)的知識(shí)水平參差不齊，一旦某些平安意識(shí)薄弱的管理用戶誤操作，將給信息系統(tǒng)帶來(lái)致命的破壞。有必要進(jìn)行基于網(wǎng)絡(luò)行為的審計(jì)。從而威懾那些心存僥幸、有惡意企圖的少局部用戶，以利于標(biāo)準(zhǔn)正常的網(wǎng)絡(luò)應(yīng)用行為。統(tǒng)一雙因素身份認(rèn)證對(duì)于系統(tǒng)資源以及設(shè)備的管理訪問(wèn)，大都局限于簡(jiǎn)單的用戶名/口令這樣的單因素認(rèn)證方式。單一密碼方式被公認(rèn)為弱身份，存在問(wèn)題很多。如：容易受到強(qiáng)力攻擊、社會(huì)工程學(xué)指導(dǎo)下可以猜想密碼、用戶設(shè)置的密碼強(qiáng)度較低〔采用經(jīng)常采用名字、生日、號(hào)碼等因素構(gòu)成密碼〕。因此需要建立一種全新的認(rèn)證授權(quán)方式，雙因素身份認(rèn)證是目前有效且平安性很高的解決手段。系統(tǒng)風(fēng)險(xiǎn)評(píng)估管理對(duì)于外網(wǎng)平臺(tái)上大量的效勞器系統(tǒng)，因此，對(duì)效勞器各項(xiàng)效勞的平安配置就顯得尤為重要，如果有一點(diǎn)疏忽也會(huì)直接造成審計(jì)署信息系統(tǒng)被攻擊。我們建議定期/不定期的全面掌握網(wǎng)絡(luò)設(shè)備、平安設(shè)備、主機(jī)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)的風(fēng)險(xiǎn)情況，并以此在平安事件發(fā)生前進(jìn)行加固，全面提高抗風(fēng)險(xiǎn)能力。WEB頁(yè)面防護(hù)Web應(yīng)用的普及使得在電子政務(wù)外網(wǎng)平臺(tái)上中存在的Web效勞器很容易成為黑客的攻擊目標(biāo)。被篡改的網(wǎng)頁(yè)將給業(yè)務(wù)系統(tǒng)帶來(lái)很大的平安隱患，造成信息喪失、泄露等平安事件。需要專業(yè)的主頁(yè)防篡改工具有效阻止主頁(yè)篡改事件的發(fā)生，維護(hù)Web頁(yè)面的平安。應(yīng)用平安管理從用戶角度看，其業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)是最關(guān)心的核心問(wèn)題，而業(yè)務(wù)系統(tǒng)能否實(shí)施良好的監(jiān)控管理那么是關(guān)鍵因素之一。因此需要技術(shù)手段對(duì)應(yīng)用系統(tǒng)的狀況進(jìn)行全面監(jiān)控，能夠全盤呈現(xiàn)業(yè)務(wù)環(huán)境，實(shí)施主動(dòng)監(jiān)控，進(jìn)行運(yùn)行趨勢(shì)分析，及時(shí)發(fā)現(xiàn)存在的問(wèn)題。數(shù)據(jù)統(tǒng)一備份數(shù)據(jù)是信息資產(chǎn)的直接表達(dá)。所有的措施最終無(wú)不是為了業(yè)務(wù)數(shù)據(jù)的平安。因此數(shù)據(jù)的備份十分重要，是必須考慮的問(wèn)題。建立數(shù)據(jù)的統(tǒng)一備份，是應(yīng)對(duì)突發(fā)事件的必要措施。根底設(shè)施平安需求電子政務(wù)得很多應(yīng)用，如：網(wǎng)上審批、企業(yè)資質(zhì)年檢等都是面向各政府部門、企業(yè)單位的應(yīng)用，很多基于互聯(lián)網(wǎng)環(huán)境傳遞敏感信息，因此在政務(wù)處理過(guò)程中需要采取必要得平安認(rèn)證與授權(quán)效勞，建立統(tǒng)一的、集中的身份認(rèn)證和權(quán)限控制機(jī)制。通過(guò)身份認(rèn)證、授權(quán)管理及責(zé)任認(rèn)證平臺(tái)，為全網(wǎng)所有的應(yīng)用系統(tǒng)及業(yè)務(wù)系統(tǒng)提供統(tǒng)一的身份認(rèn)證和授權(quán)管理效勞，并可對(duì)事故責(zé)任進(jìn)行追查。建設(shè)應(yīng)根據(jù)XX省具體情況分析。管理系統(tǒng)平安需求完整的平安技術(shù)體系的搭建需要眾多的平安設(shè)備和平安系統(tǒng)，型號(hào)和品牌不一、物理部署位置分散、技術(shù)人員能力水平差異大。有限的管理人員難以對(duì)平安設(shè)備進(jìn)行集中管理、及時(shí)快捷的部署平安策略，全面掌握設(shè)備運(yùn)行和網(wǎng)絡(luò)運(yùn)行的風(fēng)險(xiǎn)狀況。如何用好平安設(shè)備和平安系統(tǒng)支撐業(yè)務(wù)平安穩(wěn)定運(yùn)行成了一個(gè)棘手的問(wèn)題。所以，需要建立平安管理中心，進(jìn)行運(yùn)行監(jiān)控和平安風(fēng)險(xiǎn)管理。集中運(yùn)行監(jiān)控能夠?qū)崿F(xiàn)對(duì)防火墻、VPN、IDS、IPS、防病毒網(wǎng)關(guān)、漏洞掃描、UTM、網(wǎng)閘、網(wǎng)絡(luò)設(shè)備、效勞器/主機(jī)等設(shè)備的進(jìn)行全面的監(jiān)控管理，生成拓?fù)涞貓D，實(shí)時(shí)掌握各設(shè)備的部署情況、運(yùn)行狀況、設(shè)備的接入\斷開(kāi)變動(dòng)。當(dāng)網(wǎng)絡(luò)資源和設(shè)備受到攻擊，或運(yùn)行異常時(shí)，會(huì)以告警等信息方式，通知管理員。統(tǒng)一風(fēng)險(xiǎn)管理實(shí)現(xiàn)集中采集防火墻、VPN、IDS、IPS、防病毒網(wǎng)關(guān)、漏洞掃描、UTM、網(wǎng)閘、網(wǎng)絡(luò)設(shè)備、效勞器/主機(jī)等設(shè)備的平安日志和事件，并進(jìn)行統(tǒng)一的存儲(chǔ)、備份、管理和統(tǒng)計(jì)分析，能夠協(xié)助管理員實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)中的攻擊行為和平安風(fēng)險(xiǎn)，以及時(shí)調(diào)整平安設(shè)備策略，積極應(yīng)對(duì)平安威脅，從而實(shí)現(xiàn)網(wǎng)絡(luò)的整體平安。建立集中的平安運(yùn)行監(jiān)控系統(tǒng)和統(tǒng)一的風(fēng)險(xiǎn)管理系統(tǒng)是有效幫助平安管理人員實(shí)施好平安措施的重要保障，是實(shí)現(xiàn)業(yè)務(wù)穩(wěn)定運(yùn)行、長(zhǎng)治久安的根底。平安管理層面需求分析“三分技術(shù)、七分管理”更加突出的是管理層面在平安體系中的重要性。除了技術(shù)管理措施外，平安管理是保障平安技術(shù)手段發(fā)揮具體作用的最有效手段，建立健全平安管理體系不但是國(guó)家等級(jí)保護(hù)中的要求，也是作為一個(gè)平安體系來(lái)講，不可或缺的重要組成局部。平安管理體系依賴于國(guó)家相關(guān)標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、國(guó)際平安標(biāo)準(zhǔn)等標(biāo)準(zhǔn)和標(biāo)準(zhǔn)來(lái)指導(dǎo)，形成可操作的體系。平安效勞層面需求分析平安技術(shù)手段是從系統(tǒng)與網(wǎng)絡(luò)層面解決問(wèn)題的方式之一，可以發(fā)揮具體的平安防護(hù)作用，但是如果把這些平安技術(shù)手段有效的利用起來(lái)，成為平安體系建設(shè)的重中之重。平安體系中除了技術(shù)體系、管理體系之外，還需要專業(yè)的技術(shù)人員配合技術(shù)與管理手段到達(dá)更高的具體防護(hù)效果。專業(yè)的技術(shù)人員是平安體系中更關(guān)鍵更重要的因素，除了利用好平安技術(shù)產(chǎn)品外，還需要利用其專業(yè)的技術(shù)經(jīng)驗(yàn)與行業(yè)經(jīng)驗(yàn)，通過(guò)專業(yè)的平安效勞來(lái)具體解決問(wèn)題。平安方案設(shè)計(jì)方案設(shè)計(jì)框架根據(jù)《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》，分為技術(shù)和管理兩大類要求，具體如下列圖所示：為使得《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》能夠進(jìn)行落地實(shí)施建設(shè)，通過(guò)對(duì)等級(jí)保護(hù)要求的整合分析，結(jié)合業(yè)界成熟的信息平安體系建設(shè)理論，提出了從平安管理、根底設(shè)施、網(wǎng)絡(luò)平臺(tái)、計(jì)算區(qū)域、應(yīng)用系統(tǒng)幾個(gè)層面，進(jìn)行整體平安設(shè)計(jì)的思路。平安防護(hù)體系框架如下列圖所示：同時(shí)考慮以平安管理中心為管理建設(shè)重點(diǎn)，形成長(zhǎng)治久安的管理核心，以平安運(yùn)維為長(zhǎng)期效勞，共同構(gòu)建起XX電子政務(wù)外網(wǎng)整體平安建設(shè)框架。平安區(qū)域框架XX省電子政務(wù)外網(wǎng)平安建設(shè)核心內(nèi)容是將中心機(jī)房網(wǎng)絡(luò)進(jìn)行全方位的平安防護(hù)，構(gòu)建一整套有針對(duì)性的安防體系。因此，需要通過(guò)合理的劃分網(wǎng)絡(luò)平安域，針對(duì)各自的特點(diǎn)而采取不同的技術(shù)及管理手段。選擇這些措施的主要依據(jù)是按照等級(jí)保護(hù)相關(guān)的要求。經(jīng)過(guò)梳理后的XX省電子政務(wù)外網(wǎng)信息系統(tǒng)平安區(qū)域劃分如下列圖所示：平安等級(jí)劃分按按照公安部《信息系統(tǒng)平安保護(hù)等級(jí)定級(jí)指南》〔試用稿v3.2〕〔以下簡(jiǎn)稱《定級(jí)指南》〕的要求，非涉密信息系統(tǒng)的平安保護(hù)等級(jí)分為以下五級(jí)：第一級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國(guó)家平安、社會(huì)秩序和公共利益。第二級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國(guó)家平安。第三級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家平安造成損害。第四級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國(guó)家平安造成嚴(yán)重?fù)p害。第五級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)國(guó)家平安造成特別嚴(yán)重?fù)p害。定級(jí)流程確定信息系統(tǒng)平安保護(hù)等級(jí)的一般流程如下：確定作為定級(jí)對(duì)象的信息系統(tǒng)；確定業(yè)務(wù)信息平安受到破壞時(shí)所侵害的客體；根據(jù)不同的受侵害客體，從多個(gè)方面綜合評(píng)定業(yè)務(wù)信息平安被破壞對(duì)客體的侵害程度；根據(jù)業(yè)務(wù)信息平安等級(jí)矩陣表得到業(yè)務(wù)信息平安等級(jí)；確定系統(tǒng)效勞平安受到破壞時(shí)所侵害的客體；根據(jù)不同的受侵害客體，從多個(gè)方面綜合評(píng)定系統(tǒng)效勞平安被破壞對(duì)客體的侵害程度；根據(jù)系統(tǒng)效勞平安等級(jí)矩陣表得到系統(tǒng)效勞平安等級(jí)；由業(yè)務(wù)信息平安等級(jí)和系統(tǒng)效勞平安等級(jí)的較高者確定定級(jí)對(duì)象的平安保護(hù)等級(jí)。上述步驟如下列圖流程所示。3、綜合評(píng)定對(duì)客體的侵害程度2、確定業(yè)務(wù)信息平安受到破壞時(shí)所侵害的客體3、綜合評(píng)定對(duì)客體的侵害程度2、確定業(yè)務(wù)信息平安受到破壞時(shí)所侵害的客體6、綜合評(píng)定對(duì)客體的侵害程度5、確定系統(tǒng)效勞平安受到破壞時(shí)所侵害的客體7、系統(tǒng)效勞平安等級(jí)4、業(yè)務(wù)信息平安等級(jí)8、定級(jí)對(duì)象的平安保護(hù)等級(jí)矩陣表矩陣表1、確定定級(jí)對(duì)象業(yè)務(wù)信息平安等級(jí)矩陣表業(yè)務(wù)信息平安被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家平安第三級(jí)第四級(jí)第五級(jí)系統(tǒng)效勞平安等級(jí)矩陣表系統(tǒng)效勞平安被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家平安第三級(jí)第四級(jí)第五級(jí)定級(jí)結(jié)果根據(jù)上述定級(jí)流程，XX省電子政務(wù)外網(wǎng)各主要系統(tǒng)定級(jí)結(jié)果為：序號(hào)部署環(huán)境系統(tǒng)名稱業(yè)務(wù)系統(tǒng)平安保護(hù)等級(jí)省數(shù)據(jù)中心單個(gè)部門效勞器區(qū)所承載的業(yè)務(wù)系統(tǒng)3跨部門效勞器區(qū)所承載的業(yè)務(wù)系統(tǒng)3共享信息資源平安域承載的業(yè)務(wù)系統(tǒng)3平安管理域業(yè)務(wù)系統(tǒng)3網(wǎng)絡(luò)管理域業(yè)務(wù)系統(tǒng)3互聯(lián)網(wǎng)效勞器區(qū)承載得互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)3各廳局等互聯(lián)用戶單位局域網(wǎng)各廳局單位局域網(wǎng)3縣級(jí)單位局域網(wǎng)各縣級(jí)單位局域網(wǎng)2鄉(xiāng)鎮(zhèn)級(jí)單位局域網(wǎng)各鄉(xiāng)鎮(zhèn)單位局域網(wǎng)2平安體系技術(shù)層面設(shè)計(jì)外網(wǎng)平臺(tái)平安設(shè)計(jì)XX省電子政務(wù)外網(wǎng)平臺(tái)的平安設(shè)計(jì)主要指邊界內(nèi)、外部邊界的平安防護(hù)措施?？傮w部署圖如下所示：根據(jù)內(nèi)、外部不同邊界的不同屬性分別進(jìn)行了防護(hù)措施設(shè)計(jì)，采用了防火墻、VPN網(wǎng)關(guān)、入侵防護(hù)系統(tǒng)、平安隔離網(wǎng)閘、AV防病毒網(wǎng)關(guān)、異常流量管理等設(shè)備。外部邊界防火墻防火墻技術(shù)是目前網(wǎng)絡(luò)邊界保護(hù)最有效也是最常見(jiàn)的技術(shù)。采用防火墻技術(shù)，對(duì)XX省電子政務(wù)外網(wǎng)重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，可以對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的平安規(guī)那么進(jìn)行過(guò)濾，將所有不平安的或不符合平安規(guī)那么的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問(wèn)，防止各類非法攻擊行為。對(duì)于外部平安邊界來(lái)說(shuō)，需要在國(guó)家電子政務(wù)外網(wǎng)接入平安域、VPN接入平安域〔中心端〕、互聯(lián)網(wǎng)效勞器區(qū)平安域、遠(yuǎn)程專線各接入單位、遠(yuǎn)程VPN接入單位這六個(gè)平安域的平安邊界上部署防火墻。在VPN接入平安域〔中心端〕平安邊界上部署防火墻，可以對(duì)外部接入的訪問(wèn)進(jìn)行訪問(wèn)控制，保證只有合法的用戶可以訪問(wèn)授權(quán)的資源。對(duì)非法的訪問(wèn)行為，將拒絕訪問(wèn)，從而到達(dá)保護(hù)內(nèi)部效勞和系統(tǒng)的目的。同時(shí)，可以在防火墻上對(duì)訪問(wèn)行為進(jìn)行記錄和審計(jì)，對(duì)入侵和非法訪問(wèn)進(jìn)行跟蹤以及事后分析。各專線用戶接入采用直接接入到核心交換機(jī)的方式，沒(méi)有進(jìn)行會(huì)聚，因此對(duì)于來(lái)自與個(gè)專線用戶接入采用交換機(jī)自帶的防火墻模塊進(jìn)行平安隔離。在互聯(lián)網(wǎng)效勞器區(qū)平安域的平安邊界部署防火墻，將對(duì)外提供效勞的效勞器部署在防火墻的DMZ區(qū)，通過(guò)制定訪問(wèn)控制策略，來(lái)對(duì)對(duì)外的業(yè)務(wù)效勞器進(jìn)行專門的保護(hù)，可以對(duì)來(lái)自互聯(lián)網(wǎng)的用戶訪問(wèn)請(qǐng)求進(jìn)行訪問(wèn)控制。同時(shí)，可以通過(guò)防火墻上集成的入侵檢測(cè)功能，對(duì)來(lái)自互聯(lián)網(wǎng)的入侵行為，進(jìn)行檢測(cè)并阻斷。由于互聯(lián)網(wǎng)效勞器區(qū)平安邊界面臨的平安風(fēng)險(xiǎn)較多，需要通過(guò)嚴(yán)格執(zhí)行平安策略發(fā)揮防火墻最正確成效：集中放置面向Internet效勞的主機(jī)，在一個(gè)集中、受控的環(huán)境下監(jiān)控網(wǎng)絡(luò)流量關(guān)閉不必要的效勞嚴(yán)格限制進(jìn)、出網(wǎng)絡(luò)的ICMP流量和UDP流量允許網(wǎng)絡(luò)管理流量進(jìn)局域網(wǎng)系統(tǒng)嚴(yán)格制定防火墻策略，限制所有無(wú)關(guān)訪問(wèn)在國(guó)家電子政務(wù)外網(wǎng)接入平安域，部署一臺(tái)防火墻，控制進(jìn)出國(guó)家電子政務(wù)外網(wǎng)的數(shù)據(jù)流量。由于面對(duì)的是外部復(fù)雜的網(wǎng)絡(luò)環(huán)境，因此這些邊界防火墻需要具備更多的深度過(guò)濾功能：能夠阻止常見(jiàn)的蠕蟲(chóng)擴(kuò)散，能夠?qū)2P帶寬進(jìn)行流量管理等。同時(shí)能夠精細(xì)的進(jìn)行設(shè)備管理，減輕管理員管理負(fù)擔(dān)。UTM統(tǒng)一威脅管理遠(yuǎn)程專線各接入單位的外部邊界上部署UTM統(tǒng)一威脅管理設(shè)備，可以通過(guò)制定嚴(yán)格的訪問(wèn)策略、保證接入單位訪問(wèn)行為的合法性以及數(shù)據(jù)中心與接入單位進(jìn)行數(shù)據(jù)交互行為的合法性。同時(shí)對(duì)個(gè)單位進(jìn)行全方位的平安防護(hù)。采用UTM設(shè)備來(lái)構(gòu)本錢方案的核心產(chǎn)品既有效節(jié)約了建設(shè)資金，又到達(dá)了更好的防護(hù)效果?？筛鶕?jù)實(shí)際需要開(kāi)啟相應(yīng)的功能模塊，采用UTM部署在互聯(lián)網(wǎng)邊界是一個(gè)一舉兩得的解決方案。各功能模塊配置說(shuō)明：防火墻首先需要配置防火墻功能。對(duì)重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，可以對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的平安規(guī)那么進(jìn)行過(guò)濾，將所有不平安的或不符合平安規(guī)那么的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問(wèn)，防止非法攻擊；可以對(duì)網(wǎng)絡(luò)流量進(jìn)行精確的控制，可以對(duì)用戶進(jìn)行多種認(rèn)證等。防病毒據(jù)ICSA〔國(guó)際計(jì)算機(jī)平安協(xié)會(huì)〕的統(tǒng)計(jì)說(shuō)明，超過(guò)90%的病毒是通過(guò)Internet傳播的。而利用ASIC硬件技術(shù)進(jìn)行數(shù)據(jù)包內(nèi)容病毒掃描，在性能上有了質(zhì)的飛躍，可以提供近乎實(shí)時(shí)的病毒過(guò)濾性能。網(wǎng)關(guān)病毒過(guò)濾特性還可以有效地防止病毒進(jìn)入內(nèi)網(wǎng)之后利用計(jì)算機(jī)系統(tǒng)漏洞肆意傳播，大量消耗系統(tǒng)資源和網(wǎng)絡(luò)帶寬所造成的DoS/DDoS〔拒絕效勞/分布式拒絕效勞〕攻擊。入侵檢測(cè)/防護(hù)網(wǎng)絡(luò)入侵檢測(cè)/防護(hù)系統(tǒng)(IDS/IPS)是一種實(shí)時(shí)網(wǎng)絡(luò)入侵檢測(cè)傳感器，它能對(duì)外界各種可疑的網(wǎng)絡(luò)活動(dòng)進(jìn)行識(shí)別及采取行動(dòng)。為通知系統(tǒng)管理員有攻擊行為發(fā)生，IDS將此攻擊及一切可疑流量記錄到攻擊日志中，并根據(jù)設(shè)置發(fā)送報(bào)警郵件。UTM可以檢測(cè)并阻斷多種類型攻擊，例如DoS/DDoS〔拒絕效勞/分布式拒絕效勞〕攻擊〔包括TCPSYNflood,UDPflood和ICMPflood，PingofDeath，Teardrop等〕。通過(guò)配置網(wǎng)絡(luò)中UTM的IDS/IPS模塊，可以防止各類網(wǎng)絡(luò)攻擊和入侵行為的發(fā)生。直接對(duì)網(wǎng)絡(luò)入侵行為進(jìn)行阻斷，不給黑客以任何可乘之機(jī)。UTM可以進(jìn)行手動(dòng)、自動(dòng)的更新攻擊特征庫(kù)，擴(kuò)充攻擊特征數(shù)量，防范最新攻擊。異常流量管理數(shù)據(jù)中心提供面向互聯(lián)網(wǎng)的效勞，包括門戶網(wǎng)站、互聯(lián)網(wǎng)數(shù)據(jù)收集效勞等，這些效勞集中在互聯(lián)網(wǎng)效勞區(qū)平安域中。對(duì)于效勞的訪問(wèn)流量，是我們需要保護(hù)的流量。但是，往往有一些“異?！钡牧髁?，通過(guò)局部或完全占據(jù)網(wǎng)絡(luò)資源，使得正常的業(yè)務(wù)訪問(wèn)延遲或中斷。可能發(fā)生在互聯(lián)網(wǎng)效勞區(qū)平安邊界的異常流量，根據(jù)產(chǎn)生原因的不同，大致可以分為兩類：攻擊流量、病毒流量。攻擊流量：是以拒絕效勞式攻擊〔DDOS〕為代表，他們主要來(lái)自于互聯(lián)網(wǎng)，攻擊的目標(biāo)是互聯(lián)網(wǎng)效勞區(qū)平安域中的效勞系統(tǒng)。病毒流量：病毒流量可能源自數(shù)據(jù)中心內(nèi)部或互聯(lián)網(wǎng)，主要是由蠕蟲(chóng)病毒所引發(fā)，一旦內(nèi)部主機(jī)感染病毒，病毒會(huì)自動(dòng)的在網(wǎng)絡(luò)中尋找漏洞主機(jī)并感染。互聯(lián)網(wǎng)中的大量蠕蟲(chóng)病毒，也可能通過(guò)平安邊界，進(jìn)入到數(shù)據(jù)中心網(wǎng)絡(luò)中來(lái)。通過(guò)在互聯(lián)網(wǎng)效勞區(qū)平安邊界最外側(cè)部署異常流量管理系統(tǒng)，可以實(shí)時(shí)的發(fā)現(xiàn)并阻斷異常流量，為正常的互聯(lián)網(wǎng)訪問(wèn)請(qǐng)求提供高可靠環(huán)境。異常流量管理系統(tǒng)部署在互聯(lián)網(wǎng)效勞區(qū)平安邊界最外層，直接面向互聯(lián)網(wǎng)，阻斷來(lái)自互聯(lián)網(wǎng)的攻擊，阻斷病毒的自動(dòng)探測(cè)和傳播。異常流量系統(tǒng)必須具備智能的流量分析能力、特征識(shí)別能力，具備大流量入侵時(shí)足夠的性能處理能力。異常流量系統(tǒng)之后部署的即是邊界防火墻設(shè)備。平安隔離網(wǎng)閘根據(jù)XX省電子政務(wù)外網(wǎng)的業(yè)務(wù)需求，數(shù)據(jù)中心提供對(duì)互聯(lián)網(wǎng)的訪問(wèn)效勞。對(duì)這些訪問(wèn)行為，需要對(duì)數(shù)據(jù)交換、傳輸協(xié)議、傳輸內(nèi)容、平安決策等進(jìn)行嚴(yán)格的檢查，以防止有互聯(lián)網(wǎng)引入風(fēng)險(xiǎn)。數(shù)據(jù)中心內(nèi)部劃分了專門的互聯(lián)網(wǎng)效勞器平安域，將對(duì)外提供效勞的Web效勞器等部署在防火墻的DMZ區(qū)，負(fù)責(zé)接收和相應(yīng)來(lái)自互聯(lián)網(wǎng)的業(yè)務(wù)訪問(wèn)請(qǐng)求。防火墻進(jìn)行嚴(yán)格的訪問(wèn)控制的設(shè)定，確保訪問(wèn)身份的合法性。但是，防火墻無(wú)法高度保證傳輸內(nèi)容、協(xié)議、數(shù)據(jù)的平安性。同時(shí)，需要對(duì)互聯(lián)網(wǎng)業(yè)務(wù)效勞器對(duì)數(shù)據(jù)中心內(nèi)網(wǎng)數(shù)據(jù)庫(kù)的訪問(wèn)進(jìn)行嚴(yán)格的管理控制，不允許互聯(lián)網(wǎng)用戶訪問(wèn)到互聯(lián)網(wǎng)業(yè)務(wù)效勞器的數(shù)據(jù)庫(kù)?？梢酝ㄟ^(guò)在互聯(lián)網(wǎng)效勞器平安域與數(shù)據(jù)中心內(nèi)網(wǎng)的平安邊界上，在互聯(lián)網(wǎng)效勞器平安域中的業(yè)務(wù)效勞器與單個(gè)部門效勞器平安域中的業(yè)務(wù)數(shù)據(jù)庫(kù)之間部署平安隔離網(wǎng)閘，對(duì)各部門的數(shù)據(jù)庫(kù)實(shí)現(xiàn)按需數(shù)據(jù)同步。用戶可以通過(guò)互聯(lián)網(wǎng)訪問(wèn)到互聯(lián)網(wǎng)效勞器區(qū)中的指定業(yè)務(wù)效勞器中，互聯(lián)網(wǎng)效勞器區(qū)的業(yè)務(wù)效勞器負(fù)責(zé)接收用戶的業(yè)務(wù)訪問(wèn)請(qǐng)求，并通過(guò)平安隔離網(wǎng)閘訪問(wèn)內(nèi)網(wǎng)單個(gè)部門效勞器平安域的相應(yīng)數(shù)據(jù)庫(kù)完成業(yè)務(wù)處理，并將業(yè)務(wù)處理結(jié)果，按照用戶部門的不同，存儲(chǔ)在單個(gè)部門效勞器平安域中、訪問(wèn)用戶所在的部門的數(shù)據(jù)庫(kù)中，完成用戶通過(guò)互聯(lián)網(wǎng)對(duì)自己部門業(yè)務(wù)效勞器的訪問(wèn)。通過(guò)這種方式，可以為訪問(wèn)提供更高的平安性保障。平安隔離網(wǎng)閘兩側(cè)網(wǎng)絡(luò)之間所有的TCP/IP連接在其主機(jī)系統(tǒng)上都要進(jìn)行完全的應(yīng)用協(xié)議復(fù)原，復(fù)原后的應(yīng)用層信息根據(jù)用戶的策略進(jìn)行強(qiáng)制檢查后，以格式化數(shù)據(jù)塊的方式通過(guò)隔離交換矩陣進(jìn)行單向交換，在另外一端的主機(jī)系統(tǒng)上通過(guò)自身建立的平安會(huì)話進(jìn)行最終的數(shù)據(jù)通信，即實(shí)現(xiàn)“協(xié)議落地、內(nèi)容檢測(cè)”。這樣，既從物理上隔離、阻斷了具有潛在攻擊可能的一切連接，又進(jìn)行了強(qiáng)制內(nèi)容檢測(cè)，從而實(shí)現(xiàn)最高級(jí)別的平安。AV防病毒網(wǎng)關(guān)現(xiàn)今，病毒的開(kāi)展呈現(xiàn)出以下趨勢(shì):病毒與黑客程序相結(jié)合、蠕蟲(chóng)病毒更加泛濫、病毒破壞性更大、制作病毒的方法更簡(jiǎn)單、病毒傳播速度更快，傳播渠道更多、病毒感染對(duì)象越來(lái)越廣。一旦辦公終端區(qū)的主機(jī)感染病毒，病毒可能主動(dòng)的對(duì)整個(gè)內(nèi)部網(wǎng)絡(luò)中所有主機(jī)進(jìn)行探測(cè)，一旦發(fā)現(xiàn)漏洞主機(jī)，將自動(dòng)傳播。整個(gè)探測(cè)過(guò)程會(huì)極大的消耗網(wǎng)絡(luò)的帶寬資源，并且可能造成病毒由辦公終端平安域傳播到其他重要的業(yè)務(wù)效勞平安域和管理平安域中，引發(fā)攻擊和破壞行為。斬?cái)鄠鞑ネ緩绞欠乐箓魅静”l(fā)最為有效的手段之一，而這種防治手段不僅在傳染病防治方面十分有效，在防止計(jì)算機(jī)病毒擴(kuò)散方面起到了同樣的效果。因此，在互聯(lián)網(wǎng)邊界部署防病毒網(wǎng)關(guān)，在最接近病毒發(fā)生源平安邊界處進(jìn)行集中防護(hù)，可以有效防止病毒從其他區(qū)域傳播到數(shù)據(jù)中心內(nèi)部其他平安域中。部署的防病毒網(wǎng)關(guān)應(yīng)特別注意設(shè)備性能，產(chǎn)品必須具備良好的體系架構(gòu)保證性能，能夠靈活的進(jìn)行網(wǎng)絡(luò)部署。同時(shí)為使得到達(dá)最正確防毒效果，AV防病毒網(wǎng)關(guān)設(shè)備和桌面防病毒軟件應(yīng)為不同的廠家產(chǎn)品。內(nèi)部邊界防火墻在數(shù)據(jù)中心的內(nèi)部，又詳細(xì)的劃分為單個(gè)部門效勞器群平安域、共享信息資源平安域、跨部門應(yīng)用效勞器平安域、平安管理平安域、網(wǎng)絡(luò)管理平安域、辦公終端平安域共六個(gè)平安域。共享信息資源平安域、跨部門應(yīng)用效勞器平安域依據(jù)平安責(zé)任單位、承載業(yè)務(wù)應(yīng)用的不同而劃分，在這些平安域的邊界處通過(guò)部署防火墻設(shè)備，進(jìn)行更為嚴(yán)格的訪問(wèn)控制功能，并且，可以阻斷發(fā)生在內(nèi)部網(wǎng)絡(luò)中，針對(duì)業(yè)務(wù)效勞器的攻擊行為，與外部邊界防火墻組成多層防護(hù)的平安防護(hù)體系。平安管理平安域、網(wǎng)絡(luò)管理平安域中集中了對(duì)平安管理、網(wǎng)絡(luò)管理的效勞器，這些效勞器可以集中的管理整個(gè)數(shù)據(jù)中心的網(wǎng)絡(luò)及平安設(shè)備，因此需要高度的防護(hù)。通常，這些平安域只有授權(quán)的管理員可以訪問(wèn)，其他的訪問(wèn)請(qǐng)求，需要被阻斷。在這兩個(gè)平安域的平安邊界部署防火墻，可以對(duì)這兩個(gè)區(qū)域進(jìn)行嚴(yán)格的訪問(wèn)控制，防止非授權(quán)用戶訪問(wèn)，阻斷可能發(fā)生的入侵與攻擊行為。UTM統(tǒng)一威脅管理對(duì)于數(shù)據(jù)中心的單個(gè)部門效勞器區(qū)，由于數(shù)量多且沒(méi)有會(huì)聚層，為到達(dá)節(jié)約投資以及更好的防護(hù)效果，這里部署高端UTM，利用其多端口特性同時(shí)支持多個(gè)單個(gè)部門效勞器區(qū)的接入。開(kāi)啟其虛擬網(wǎng)關(guān)功能，將不同的業(yè)務(wù)部門通過(guò)不同的虛擬網(wǎng)關(guān)進(jìn)行有效的管理。此外通過(guò)防火墻、IPS等模塊的平安策略配置使到達(dá)最正確防護(hù)效果。IPS入侵防護(hù)系統(tǒng)在互聯(lián)網(wǎng)效勞器區(qū)平安域、數(shù)據(jù)中心內(nèi)部的共享信息資源平安域、跨部門應(yīng)用效勞器平安域均已經(jīng)設(shè)計(jì)部署了防火墻，對(duì)每個(gè)平安域進(jìn)行嚴(yán)格的訪問(wèn)控制。但是，防火墻通常不具備內(nèi)容檢測(cè)的能力，不具備檢測(cè)新型的混合攻擊和防護(hù)的能力。而這三個(gè)效勞器區(qū)做承載的核心業(yè)務(wù)是最容易成為入侵目標(biāo)的局部。為了確保數(shù)據(jù)中心內(nèi)部各效勞器區(qū)的平安訪問(wèn)，必須建立一整套的平安防護(hù)體系，進(jìn)行多層次、多手段的檢測(cè)和防護(hù)。入侵防護(hù)系統(tǒng)〔IPS〕就是平安防護(hù)體系中重要的一環(huán)，它能夠及時(shí)識(shí)別網(wǎng)絡(luò)中發(fā)生的入侵行為并實(shí)時(shí)報(bào)警并且進(jìn)行有效攔截防護(hù)。IPS是繼“防火墻”、“信息加密”等傳統(tǒng)平安保護(hù)方法之后的新一代平安保障技術(shù)。它監(jiān)視計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對(duì)它們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性或試圖繞過(guò)平安機(jī)制的入侵行為并進(jìn)行有效攔截。IPS就是自動(dòng)執(zhí)行這種監(jiān)視和分析過(guò)程，并且執(zhí)行阻斷的硬件產(chǎn)品。將IPS串接在防火墻后面，在防火墻進(jìn)行訪問(wèn)控制，保證了訪問(wèn)的合法性之后，IPS動(dòng)態(tài)的進(jìn)行入侵行為的保護(hù)，對(duì)訪問(wèn)狀態(tài)進(jìn)行檢測(cè)、對(duì)通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測(cè)、對(duì)內(nèi)容進(jìn)行深度的檢測(cè)。阻斷來(lái)自內(nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。由于IPS對(duì)訪問(wèn)進(jìn)行深度的檢測(cè)，因此，IPS產(chǎn)品需要通過(guò)先進(jìn)的硬件架構(gòu)、軟件架構(gòu)和處理引擎對(duì)處理能力進(jìn)行充分保證。VPN虛擬專網(wǎng)各廳局及縣、鄉(xiāng)用戶分別在專線接入平安域〔用戶端〕和VPN接入平安域〔用戶端〕，可以通過(guò)專線或VPN的方式對(duì)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心進(jìn)行訪問(wèn)。VPN訪問(wèn)可以做為專線訪問(wèn)方式的冗余鏈路。在VPN接入平安域〔用戶端〕部署了VPN網(wǎng)關(guān)，負(fù)責(zé)與數(shù)據(jù)中心進(jìn)行VPN互聯(lián)。在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心總部的互聯(lián)網(wǎng)效勞器區(qū)平安邊界，部署了防火墻進(jìn)行訪問(wèn)控制，同時(shí)，可以旁路部署VPN網(wǎng)關(guān)，保證合法的用戶可以通過(guò)防火墻，與VPN網(wǎng)關(guān)建立VPN隧道，與廳局、縣、鄉(xiāng)組成VPN網(wǎng)絡(luò)，保護(hù)所承載的XX省電子政務(wù)外網(wǎng)網(wǎng)絡(luò)內(nèi)部的敏感數(shù)據(jù)。VPN在技術(shù)上采用標(biāo)準(zhǔn)的IPSEC協(xié)議，采用隧道技術(shù)以及加密、身份認(rèn)證等方法，在公眾網(wǎng)絡(luò)上構(gòu)建專用網(wǎng)絡(luò)的技術(shù)，數(shù)據(jù)通過(guò)平安的“加密管道”在公眾網(wǎng)絡(luò)中傳播。數(shù)據(jù)中心內(nèi)部業(yè)務(wù)訪問(wèn)中涉及的敏感信息可以在受保護(hù)的隧道內(nèi)加密傳輸。IPSec提供的平安效勞包括：保密性——IPSec在傳輸數(shù)據(jù)包之前將其加密．以保證數(shù)據(jù)的保密性。完整性——IPSec在目的地要驗(yàn)證數(shù)據(jù)包，以保證該數(shù)據(jù)包任傳輸過(guò)程中沒(méi)有被修改或替換。真實(shí)性——IPSec端要驗(yàn)證所有受IPSec保護(hù)的數(shù)據(jù)包。防重放——IPSec防止了數(shù)據(jù)包被捕捉并重新投放到網(wǎng)上，即目的地會(huì)拒絕老的或重復(fù)的數(shù)據(jù)包，它通過(guò)報(bào)文的序列號(hào)實(shí)現(xiàn)。計(jì)算環(huán)境平安設(shè)計(jì)終端平安管理數(shù)據(jù)中心內(nèi)部辦公終端平安域和各廳局、縣、鄉(xiāng)在進(jìn)行業(yè)務(wù)訪問(wèn)和數(shù)據(jù)處理的過(guò)程中，內(nèi)部泄密和內(nèi)部攻擊已經(jīng)成為威脅網(wǎng)絡(luò)平安應(yīng)用的最大隱患。在數(shù)據(jù)中心內(nèi)部辦公終端平安域和各廳局、縣、鄉(xiāng)的終端主機(jī)上統(tǒng)一部署內(nèi)網(wǎng)平安管理系統(tǒng)，通過(guò)對(duì)終端和訪問(wèn)行為進(jìn)行限制和保護(hù)，到達(dá)平安業(yè)務(wù)訪問(wèn)的目的。同時(shí)，可以在數(shù)據(jù)中心平安管理平安域中部署內(nèi)網(wǎng)平安管理系統(tǒng)的管理主機(jī)效勞器、控制臺(tái)、數(shù)據(jù)庫(kù)，對(duì)數(shù)據(jù)中心終端主機(jī)和必要的廳局、縣、鄉(xiāng)終端主機(jī)進(jìn)行統(tǒng)一的管理。通過(guò)部署內(nèi)網(wǎng)平安管理系統(tǒng)，可實(shí)現(xiàn)終端平安加固、網(wǎng)絡(luò)接入控制、非法外聯(lián)控制、資產(chǎn)管理、I/O接口管理、終端配置維護(hù)、終端審計(jì)監(jiān)控等功能終端平安加固實(shí)現(xiàn)補(bǔ)丁管理，對(duì)內(nèi)網(wǎng)終端計(jì)算機(jī)補(bǔ)丁狀態(tài)進(jìn)行定期檢測(cè)并自動(dòng)安裝與更新。實(shí)現(xiàn)防病毒軟件監(jiān)測(cè)，判斷終端計(jì)算機(jī)是否安裝了防病毒軟件、防病毒軟件運(yùn)行是否正常以及病毒庫(kù)是否保持最新等情況，并對(duì)于未進(jìn)行防病毒軟件部署的主機(jī)進(jìn)行內(nèi)網(wǎng)接入限制實(shí)現(xiàn)主機(jī)防火墻功能，有效防范網(wǎng)絡(luò)入侵和攻擊行為網(wǎng)絡(luò)接入控制對(duì)接入內(nèi)網(wǎng)的終端計(jì)算機(jī)進(jìn)行身份鑒別或者平安狀態(tài)檢查，阻止未授權(quán)或不平安的終端計(jì)算機(jī)接入內(nèi)網(wǎng)和訪問(wèn)內(nèi)網(wǎng)資源。非法外聯(lián)控制通過(guò)控制外接設(shè)備的使用和終端計(jì)算機(jī)的撥號(hào)行為進(jìn)行網(wǎng)絡(luò)非法外聯(lián)控制，充分保證內(nèi)網(wǎng)計(jì)算機(jī)平安性資產(chǎn)管理實(shí)現(xiàn)終端計(jì)算機(jī)的硬件配置〔包括CPU類型、主頻、內(nèi)存、硬盤、顯示卡、網(wǎng)卡等等〕的自動(dòng)登記,使網(wǎng)管人員在控制臺(tái)的機(jī)器上，可以觀察到各個(gè)機(jī)器的配置信息能夠自動(dòng)將終端計(jì)算機(jī)的操作系統(tǒng)、安裝的軟件、運(yùn)行的程序和效勞、系統(tǒng)日志、共享資源、以及補(bǔ)丁、端口等信息統(tǒng)計(jì)匯總，并可進(jìn)行分類管理I/O接口管理管理員可集中制定策略，允許或阻斷用戶對(duì)受控終端的各種輸出設(shè)備進(jìn)行訪問(wèn)，包括USB可移動(dòng)存儲(chǔ)設(shè)備、打印機(jī)、DVD/CD-ROM、軟盤、磁帶機(jī)、PCMCIA設(shè)備、COM/LPT端口、1394設(shè)備、紅外設(shè)備等；對(duì)本地打印機(jī)使用情況進(jìn)行審計(jì)；對(duì)受控終端的可移動(dòng)存儲(chǔ)設(shè)備的使用情況進(jìn)行審計(jì)；對(duì)撥號(hào)訪問(wèn)情況進(jìn)行審計(jì)終端配置維護(hù)通過(guò)終端管理系統(tǒng)，IT管理人員可獲得終端計(jì)算機(jī)各種相關(guān)信息，如主機(jī)名、IP地址、網(wǎng)絡(luò)參數(shù)、帳戶信息等IT管理人員可以響應(yīng)遠(yuǎn)程終端計(jì)算機(jī)的協(xié)助請(qǐng)求，臨時(shí)接管遠(yuǎn)程終端計(jì)算機(jī)，進(jìn)行本地化操作終端審計(jì)監(jiān)控對(duì)終端計(jì)算機(jī)運(yùn)行的進(jìn)程進(jìn)行監(jiān)控，可限制用戶運(yùn)行某些程序。可對(duì)終端計(jì)算機(jī)的網(wǎng)站訪問(wèn)、網(wǎng)絡(luò)聊天和BT下載等行為進(jìn)行管理和審計(jì)網(wǎng)絡(luò)防病毒病毒是對(duì)XX省電子政務(wù)外網(wǎng)網(wǎng)絡(luò)的重大危害，病毒在爆發(fā)時(shí)將使路由器、3層交換機(jī)、防火墻等網(wǎng)關(guān)設(shè)備性能急速下降，并且占用整個(gè)網(wǎng)絡(luò)帶寬。針對(duì)病毒的風(fēng)險(xiǎn)，我們建議通過(guò)終端與網(wǎng)關(guān)相結(jié)合的方式，以用戶終端控制加網(wǎng)絡(luò)防火墻進(jìn)行綜合控制。重點(diǎn)是將病毒消滅或封堵在終端這個(gè)源頭上。在數(shù)據(jù)中心內(nèi)部辦公終端平安域的平安邊界上部署了防病毒網(wǎng)關(guān)，可以對(duì)病毒進(jìn)行過(guò)濾、防止病毒擴(kuò)散。同時(shí)，在所有終端主機(jī)和效勞器上部署網(wǎng)絡(luò)防病毒系統(tǒng)，加強(qiáng)終端主機(jī)的病毒防護(hù)能力，與防病毒網(wǎng)關(guān)組成縱深防御的病毒防御體系。在數(shù)據(jù)中心平安管理平安域中，可以部署防病毒效勞器，負(fù)責(zé)制定和終端主機(jī)防病毒策略，在數(shù)據(jù)中心內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的一級(jí)升級(jí)效勞器，在廳局、縣、鄉(xiāng)建立二級(jí)升級(jí)效勞器，由管理中心升級(jí)效勞器通過(guò)互聯(lián)網(wǎng)或手工方式獲得最新的病毒特征庫(kù)，分發(fā)到數(shù)據(jù)中心節(jié)點(diǎn)的各個(gè)終端，并下發(fā)到各二級(jí)效勞器。在網(wǎng)絡(luò)邊界通過(guò)防火墻進(jìn)行基于通信端口、帶寬、連接數(shù)量的過(guò)濾控制，可以在一定程度上防止蠕蟲(chóng)病毒爆發(fā)時(shí)的大流量沖擊。同時(shí)，防毒系統(tǒng)可以為平安管理平臺(tái)提供關(guān)于病毒威脅和事件的監(jiān)控、審計(jì)日志，為全網(wǎng)的病毒防護(hù)管理提供必要的信息。主機(jī)審計(jì)主機(jī)審計(jì)系統(tǒng)是保證內(nèi)網(wǎng)數(shù)據(jù)平安的平安產(chǎn)品，在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心內(nèi)部及各廳局、縣、鄉(xiāng)的終端部署主機(jī)審計(jì)系統(tǒng)，可以實(shí)現(xiàn)對(duì)主機(jī)的控制、監(jiān)控、審計(jì)和系統(tǒng)管理?？刂乒δ馨ㄓ?jì)算機(jī)硬件資源控制、軟件資源控制、移動(dòng)存儲(chǔ)設(shè)備使用控制、IP與MAC地址綁定等。監(jiān)控功能包括效勞監(jiān)控、進(jìn)程監(jiān)控、硬件操作監(jiān)控、文件系統(tǒng)監(jiān)控、打印機(jī)監(jiān)控、非法外聯(lián)監(jiān)控、計(jì)算機(jī)用戶賬號(hào)監(jiān)控等。審計(jì)功能包括文件操作審計(jì)、外掛設(shè)備操作審計(jì)、非法外聯(lián)審計(jì)、IP地址更改審計(jì)、效勞與進(jìn)程審計(jì)等。系統(tǒng)管理功能包括系統(tǒng)用戶管理、主機(jī)監(jiān)控代理狀態(tài)監(jiān)控、平安策略管理、主機(jī)監(jiān)控代理升級(jí)管理、計(jì)算機(jī)注冊(cè)管理、實(shí)時(shí)報(bào)警、歷史信息查詢、統(tǒng)計(jì)與報(bào)表等。另外，系統(tǒng)還包括其它一些輔助功能，例如資產(chǎn)管理、補(bǔ)丁分發(fā)、操作系統(tǒng)日志收集。數(shù)據(jù)庫(kù)審計(jì)針對(duì)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心內(nèi)網(wǎng)的關(guān)鍵效勞器，將通過(guò)部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，對(duì)用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計(jì)，從而把握數(shù)據(jù)庫(kù)系統(tǒng)的整體平安。在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心內(nèi)網(wǎng)的關(guān)鍵數(shù)據(jù)庫(kù)效勞器部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，包括數(shù)據(jù)庫(kù)審計(jì)插件以及數(shù)據(jù)庫(kù)審計(jì)控制臺(tái)。審計(jì)控制臺(tái)采用分級(jí)模式，可以實(shí)現(xiàn)向下一級(jí)或引擎下達(dá)管理策略，同時(shí)處理來(lái)自下一層監(jiān)控中心的信息與事件。面對(duì)網(wǎng)絡(luò)中的用戶操作行為〔如讀、寫記錄等〕、用戶事件〔如用戶帳號(hào)的創(chuàng)立、刪除等〕和系統(tǒng)狀態(tài)〔如數(shù)據(jù)庫(kù)的啟動(dòng)和關(guān)閉等〕加以審計(jì)，審計(jì)信息作為平安事件分析和追蹤的根底。通過(guò)抓取網(wǎng)絡(luò)中的數(shù)據(jù)包，并對(duì)抓到的包進(jìn)行分析、匹配、統(tǒng)計(jì)，通過(guò)數(shù)據(jù)庫(kù)遠(yuǎn)程連接進(jìn)行分析，從數(shù)據(jù)庫(kù)訪問(wèn)操作入手，對(duì)抓到的數(shù)據(jù)包進(jìn)行語(yǔ)法分析，從而審計(jì)對(duì)數(shù)據(jù)庫(kù)中的哪些數(shù)據(jù)進(jìn)行操作，可以對(duì)特定的數(shù)據(jù)操作制定規(guī)那么，產(chǎn)生報(bào)警事件。入侵檢測(cè)系統(tǒng)在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心重要的平安域邊界已經(jīng)部署了防火墻。利用防火墻技術(shù)，經(jīng)過(guò)仔細(xì)的配置，通常能夠在內(nèi)外網(wǎng)或平安域之間提供平安的網(wǎng)絡(luò)保護(hù)，降低了網(wǎng)絡(luò)平安風(fēng)險(xiǎn)，但是入侵者可尋找防火墻背后可能敞開(kāi)的后門，或者入侵者也可能就在防火墻內(nèi)。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)位于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上，通過(guò)實(shí)時(shí)偵聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問(wèn)嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問(wèn)時(shí)，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)平安策略做出反響，包括實(shí)時(shí)報(bào)警、事件登錄，或執(zhí)行用戶自定義的平安策略等。入侵檢測(cè)系統(tǒng)可以部署在數(shù)據(jù)中心內(nèi)網(wǎng)的網(wǎng)絡(luò)的核心處以及主要效勞器區(qū)〔互聯(lián)網(wǎng)效勞器區(qū)、單個(gè)部門應(yīng)用效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)〕，這里我們建議在這些區(qū)域的交換機(jī)上部署入侵檢測(cè)系統(tǒng)，監(jiān)視并記錄網(wǎng)絡(luò)中的所有訪問(wèn)行為和操作，有效防止非法操作和惡意攻擊。同時(shí)，入侵檢測(cè)系統(tǒng)還可以形象地重現(xiàn)操作的過(guò)程，可幫助平安管理員發(fā)現(xiàn)網(wǎng)絡(luò)平安的隱患。需要說(shuō)明的是，IDS是對(duì)防火墻的非常有必要的附加而不僅僅是簡(jiǎn)單的補(bǔ)充。入侵檢測(cè)系統(tǒng)作為網(wǎng)絡(luò)平安體系的第二道防線，對(duì)在防火墻系統(tǒng)阻斷攻擊失敗時(shí)，可以最大限度地減少相應(yīng)的損失。因此，IDS應(yīng)具備更多的檢測(cè)能力，能夠和其他平安產(chǎn)品〔邊界防火墻、內(nèi)網(wǎng)平安管理軟件等〕進(jìn)行聯(lián)動(dòng)。主機(jī)加固數(shù)據(jù)中心的業(yè)務(wù)效勞器主機(jī)及其承載的關(guān)鍵業(yè)務(wù)系統(tǒng)是XX省電子政務(wù)外網(wǎng)重要的信息資產(chǎn)，主機(jī)的平安性很大程度上決定了整個(gè)業(yè)務(wù)系統(tǒng)的機(jī)密性、完整性、可用性及可確認(rèn)性、可鑒別性和可靠性。主機(jī)的漏洞和弱點(diǎn)是資產(chǎn)擁有者和攻擊者的必爭(zhēng)之地，主機(jī)的漏洞和弱點(diǎn)代表著風(fēng)險(xiǎn)的可能性和風(fēng)險(xiǎn)的嚴(yán)重性，每年系統(tǒng)新的漏洞和弱點(diǎn)層出不窮，平安事件發(fā)生的數(shù)量成幾何倍增長(zhǎng)，而同時(shí)平安攻擊工具及方法傳播速度日益加快，使得主機(jī)的平安性遭受著前所未有的挑戰(zhàn)。主機(jī)平安加固效勞根據(jù)客戶主機(jī)系統(tǒng)應(yīng)用的具體情況，制定相應(yīng)系統(tǒng)的測(cè)試方案、加固方案與回退方案，針對(duì)不同類型的目標(biāo)系統(tǒng)，通過(guò)打補(bǔ)丁、修改平安配置、增加平安機(jī)制等方法，合理加強(qiáng)設(shè)備與應(yīng)用的平安性。平安加固效勞能夠幫助數(shù)據(jù)中心減少誤操作，減小由主機(jī)引發(fā)的平安隱患的可能性，使得整個(gè)信息系統(tǒng)最大可能的平安。應(yīng)用系統(tǒng)平安設(shè)計(jì)網(wǎng)絡(luò)平安審計(jì)在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心網(wǎng)絡(luò)核心交換機(jī)處并接部署網(wǎng)絡(luò)行為監(jiān)控與審計(jì)系統(tǒng)，形成對(duì)全網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測(cè)并進(jìn)行相應(yīng)平安審計(jì)，同時(shí)和其它網(wǎng)絡(luò)平安設(shè)備共同為集中平安管理提供監(jiān)控?cái)?shù)據(jù)用于分析及檢測(cè)。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)將獨(dú)立的網(wǎng)絡(luò)傳感器硬件組件連接到網(wǎng)絡(luò)中的數(shù)據(jù)會(huì)聚點(diǎn)設(shè)備上，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)包進(jìn)行分析、匹配、統(tǒng)計(jì)，通過(guò)特定的協(xié)議算法，從而實(shí)現(xiàn)入侵檢測(cè)、信息復(fù)原等網(wǎng)絡(luò)審計(jì)功能。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)采用旁路技術(shù)，不用在目標(biāo)主機(jī)中安裝任何組件。同時(shí)網(wǎng)絡(luò)審計(jì)系統(tǒng)可以與其它網(wǎng)絡(luò)平安設(shè)備進(jìn)行聯(lián)動(dòng)，將各自的監(jiān)控記錄送往平安管理平安域中的平安管理效勞器，集中對(duì)網(wǎng)絡(luò)異常、攻擊和病毒進(jìn)行分析和檢測(cè)。其他各廳局、縣、鄉(xiāng)鎮(zhèn)的網(wǎng)絡(luò)行為監(jiān)控通過(guò)各自平安域中的交換機(jī)、路由器、防火墻、主機(jī)等設(shè)備來(lái)輔助實(shí)現(xiàn)，它們將各自的監(jiān)控記錄送往XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心的平安管理效勞器，集中對(duì)網(wǎng)絡(luò)異常、攻擊和病毒進(jìn)行分析和檢測(cè)。雙因素身份認(rèn)證對(duì)于XX省電子政務(wù)外網(wǎng)的各廳局、縣、鄉(xiāng)鎮(zhèn)通過(guò)VPN或?qū)＞€訪問(wèn)數(shù)據(jù)中心內(nèi)部效勞器，僅僅通過(guò)用戶名/密碼的身份真正方式不夠平安，而雙因素認(rèn)證提供了比密碼更加平安的新模式，這種網(wǎng)絡(luò)平安超出了傳統(tǒng)意義的靜態(tài)密碼功能。用戶要想訪問(wèn)某個(gè)特定的數(shù)據(jù)或信息資源，除了輸入一個(gè)靜態(tài)密碼，還要輸入一個(gè)動(dòng)態(tài)的代碼。根據(jù)XX省電子政務(wù)外網(wǎng)對(duì)雙因素認(rèn)證的需求和應(yīng)用情況，可將雙因素強(qiáng)身份認(rèn)證系統(tǒng)部署為一個(gè)面向各個(gè)相關(guān)應(yīng)用系統(tǒng)的統(tǒng)一強(qiáng)身份驗(yàn)證效勞，或者和VPN接入聯(lián)合對(duì)外部接入用戶進(jìn)行身份認(rèn)證。所有對(duì)重要業(yè)務(wù)系統(tǒng)的訪問(wèn)均需經(jīng)過(guò)認(rèn)證系統(tǒng)的強(qiáng)身份驗(yàn)證，包括內(nèi)部和外部用戶。通過(guò)雙因素的認(rèn)證機(jī)制，每一個(gè)用戶和一個(gè)身份認(rèn)證令牌進(jìn)行綁定，大大提高了登陸系統(tǒng)的認(rèn)證平安級(jí)別，防止了用戶名+密碼形式的平安風(fēng)險(xiǎn)。采用雙因素認(rèn)證手段，可以方便地控制用戶帳號(hào)的狀態(tài)，如可以通過(guò)設(shè)置令牌的失效，禁止用戶登錄關(guān)鍵系統(tǒng)。通過(guò)雙因素身份認(rèn)證的部署，即能滿足內(nèi)部工作人員原有的工作習(xí)慣〔用戶名+密碼〕，同時(shí)又不會(huì)對(duì)現(xiàn)有的業(yè)務(wù)系統(tǒng)造成大規(guī)模改造工作，保證在最短的時(shí)間內(nèi)實(shí)現(xiàn)內(nèi)外網(wǎng)系統(tǒng)對(duì)用戶的加強(qiáng)身份認(rèn)證。平安評(píng)估工具根據(jù)對(duì)XX省電子政務(wù)外網(wǎng)的風(fēng)險(xiǎn)評(píng)估和需求分析，建議在每一個(gè)節(jié)點(diǎn)網(wǎng)絡(luò)部署漏洞掃描產(chǎn)品。漏洞掃描系統(tǒng)在網(wǎng)絡(luò)中并不是一個(gè)實(shí)時(shí)啟動(dòng)的系統(tǒng)，只需要定期掛接到網(wǎng)絡(luò)中，對(duì)當(dāng)前網(wǎng)段上的重點(diǎn)效勞器以及主要的桌面機(jī)和網(wǎng)絡(luò)設(shè)備進(jìn)行一次掃描，即可得到當(dāng)前系統(tǒng)中存在的各種平安漏洞，針對(duì)性地對(duì)系統(tǒng)采取補(bǔ)救措施，即可在相當(dāng)一段時(shí)間內(nèi)保證系統(tǒng)的平安。漏洞掃描系統(tǒng)通過(guò)掃描核心模塊對(duì)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心中的所有的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備〔路由器、交換機(jī)〕、平安設(shè)備、防病毒軟件中存在的脆弱性。同時(shí)，結(jié)合設(shè)備本身自帶的漏洞知識(shí)庫(kù)進(jìn)行同步數(shù)據(jù)檢測(cè)，檢測(cè)完之后會(huì)將相應(yīng)的掃描、檢測(cè)結(jié)果反響到掃描結(jié)果庫(kù)中對(duì)所有數(shù)據(jù)進(jìn)行匯總，對(duì)掃描結(jié)果可以以報(bào)告形式呈現(xiàn)。平安掃描能夠分析系統(tǒng)當(dāng)前的設(shè)置和防御，指出XX省電子政務(wù)外網(wǎng)潛在的平安漏洞，以改良系統(tǒng)對(duì)入侵的防御能力。平安掃描技術(shù)是用來(lái)評(píng)估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的平安性能，是網(wǎng)絡(luò)平安防御中的一項(xiàng)重要技術(shù)，其原理是采用模擬攻擊的形式對(duì)目標(biāo)可能存在的平安漏洞進(jìn)行逐項(xiàng)檢查。目標(biāo)可以是工作站、效勞器、交換機(jī)、數(shù)據(jù)庫(kù)應(yīng)用等各種對(duì)象。然后根據(jù)掃描結(jié)果向管理員提供平安性分析報(bào)告，為提高網(wǎng)絡(luò)平安整體水平產(chǎn)生重要依據(jù)。平安掃描技術(shù)與防火墻、入侵檢測(cè)系統(tǒng)互相配合，能夠提供很高平安性的網(wǎng)絡(luò)。平安掃描工具源于“黑客”在入侵網(wǎng)絡(luò)系統(tǒng)時(shí)采用的工具。商品化的平安掃描工具為網(wǎng)絡(luò)平安漏洞的發(fā)現(xiàn)提供了強(qiáng)大的支持。在網(wǎng)絡(luò)平安體系的建設(shè)中，平安掃描工具的運(yùn)行相對(duì)獨(dú)立，能較全面檢測(cè)流行漏洞，檢測(cè)最嚴(yán)重的平安問(wèn)題，安裝運(yùn)行簡(jiǎn)單，可以大規(guī)模減少平安管理員的手工勞動(dòng)，降低平安審計(jì)人員的勞動(dòng)強(qiáng)度，有利于保持全網(wǎng)平安政策的統(tǒng)一和穩(wěn)定。通過(guò)部署漏洞掃描產(chǎn)品，可以到達(dá)如下目標(biāo)：能夠?qū)X省電子政務(wù)外網(wǎng)數(shù)據(jù)匯總新中所有的設(shè)備和主機(jī)的平安狀況進(jìn)行評(píng)估，給出當(dāng)前網(wǎng)絡(luò)的存在的平安漏洞。對(duì)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)平安狀況進(jìn)行綜合分析，找出網(wǎng)絡(luò)的薄弱點(diǎn)，為決策提供參考，做到平安建設(shè)有的放矢。對(duì)發(fā)現(xiàn)的平安問(wèn)題給出詳細(xì)描述和解決方法。幫助管理員及時(shí)地處理發(fā)現(xiàn)的問(wèn)題。通過(guò)升級(jí)最新的掃描插件，可以發(fā)現(xiàn)最新的平安漏洞，幫助預(yù)防以蠕蟲(chóng)為代表的攻擊破壞行為。制定周期評(píng)估方案，獲得網(wǎng)絡(luò)平安狀況的變化趨勢(shì)。整個(gè)過(guò)程自動(dòng)進(jìn)行。減輕XX省電子政務(wù)外網(wǎng)管理人員的工作負(fù)擔(dān)，大大提高工作效率。Web頁(yè)面防護(hù)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心的互聯(lián)網(wǎng)效勞器區(qū)對(duì)外提供Web效勞，Web應(yīng)用的普及使得XX省電子政務(wù)外網(wǎng)信息系統(tǒng)中存在的Web效勞器很容易成為黑客的攻擊目標(biāo)。需要專業(yè)的主頁(yè)防篡改工具有效阻止主頁(yè)篡改事件的發(fā)生，維護(hù)Web頁(yè)面的平安。在XX省電子政務(wù)外網(wǎng)互聯(lián)網(wǎng)效勞器區(qū)中的每個(gè)web效勞器配置一套主頁(yè)防篡改系統(tǒng)，全面監(jiān)測(cè)WEB效勞器的頁(yè)面是否正常。對(duì)于突破網(wǎng)站防火墻的篡改行為，進(jìn)行實(shí)時(shí)監(jiān)控，確保網(wǎng)站信息平安。一旦發(fā)現(xiàn)網(wǎng)站信息被篡改之后，立刻通知監(jiān)控中心并迅速恢復(fù)正常的網(wǎng)頁(yè)文件。724不間斷地保護(hù)網(wǎng)站，任何惡意篡改痕跡將被實(shí)時(shí)保存，并主動(dòng)和及時(shí)通知管理人員，做到防范于未然。在XX省電子政務(wù)外網(wǎng)互聯(lián)網(wǎng)效勞器區(qū)Web部署的主頁(yè)防篡改系統(tǒng)可以保障主要的WEB頁(yè)面信息的平安和準(zhǔn)確性。全面的監(jiān)測(cè)和保障XX省電子政務(wù)外網(wǎng)Web效勞的平安。防止黑客對(duì)網(wǎng)頁(yè)進(jìn)行惡意篡改。通過(guò)網(wǎng)絡(luò)掃描網(wǎng)站的網(wǎng)頁(yè)，監(jiān)測(cè)網(wǎng)頁(yè)是否被修改，當(dāng)發(fā)現(xiàn)網(wǎng)頁(yè)被修改后，系統(tǒng)能夠自動(dòng)報(bào)警和恢復(fù)。應(yīng)用平安監(jiān)控XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心有多個(gè)業(yè)務(wù)系統(tǒng)，由于業(yè)務(wù)系統(tǒng)的復(fù)雜性，一個(gè)應(yīng)用往往涉及到多臺(tái)效勞器的多個(gè)線程，因此出現(xiàn)問(wèn)題的概率也相對(duì)較大，問(wèn)題反響的時(shí)間也無(wú)法保障，另外現(xiàn)在基于Web的三層B/S越來(lái)越復(fù)雜，一旦出現(xiàn)問(wèn)題變得異常麻煩，可能需要?jiǎng)佑镁W(wǎng)絡(luò)管理員、應(yīng)用管理員、數(shù)據(jù)庫(kù)管理員等多個(gè)崗位的人員進(jìn)行核查、排錯(cuò)。在系統(tǒng)監(jiān)控管理方面，用戶最關(guān)心的是業(yè)務(wù)系統(tǒng)的監(jiān)控管理，目前通用的系統(tǒng)管理軟件無(wú)法對(duì)用戶多樣的關(guān)鍵業(yè)務(wù)系統(tǒng)進(jìn)行有效監(jiān)控、管理和展現(xiàn)。通過(guò)部署應(yīng)用平安管理系統(tǒng)，可以在一個(gè)平臺(tái)上實(shí)現(xiàn)對(duì)多個(gè)關(guān)鍵業(yè)務(wù)系統(tǒng)全面、高效、統(tǒng)一管理。應(yīng)用平安管理系統(tǒng)并聯(lián)在核心交換機(jī)上，對(duì)業(yè)務(wù)狀態(tài)進(jìn)行管理和監(jiān)控。同時(shí)，在數(shù)據(jù)中心的平安管理平安域中，部署控制臺(tái)，進(jìn)行集中的監(jiān)控和管理。通過(guò)部署應(yīng)用平安管理系統(tǒng)，可以實(shí)現(xiàn)下述功能：統(tǒng)一管理：它提供了一個(gè)通用的圖形界面和網(wǎng)絡(luò)管理根底架構(gòu)，用于跨設(shè)備執(zhí)行管理功能、集成應(yīng)用，并實(shí)現(xiàn)網(wǎng)元管理統(tǒng)一化。全網(wǎng)絡(luò)可視性：借助發(fā)現(xiàn)、物理和邏輯拓?fù)鋱D、集中事件管理、圖表和統(tǒng)計(jì)消息等功能，能夠全面顯示和深入報(bào)告網(wǎng)絡(luò)的行為。網(wǎng)元管理：它通過(guò)數(shù)據(jù)中心本地網(wǎng)元管理器對(duì)每個(gè)設(shè)備提供直接的訪問(wèn)，并允許從平安管理區(qū)中配置所有的網(wǎng)絡(luò)設(shè)備。另外，還支持跨多種設(shè)備類型進(jìn)行基于策略的管理。遠(yuǎn)程管理：能夠管理大型的、分布式的網(wǎng)絡(luò)?？煞植际讲渴饝?yīng)用平安管理系統(tǒng)到廳局、縣、鄉(xiāng)鎮(zhèn)，從本地捕捉網(wǎng)絡(luò)統(tǒng)計(jì)數(shù)據(jù)，并將相關(guān)的信息傳送到數(shù)據(jù)中心的控制器。數(shù)據(jù)統(tǒng)一備份在XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心內(nèi)部，劃分了單個(gè)部門效勞器平安域、共享信息資源平安域、跨部門應(yīng)用效勞平安域，這三個(gè)平安域分別為單個(gè)部門應(yīng)用、跨部門應(yīng)用、共享資源提供了效勞，這些效勞的數(shù)據(jù)將采用集中統(tǒng)一備份的方式，便于資源協(xié)調(diào)和管理。根據(jù)XX省電子政務(wù)外網(wǎng)的現(xiàn)狀和需求，將采用SAN存儲(chǔ)架構(gòu)與的模式來(lái)進(jìn)行網(wǎng)絡(luò)集中備份。在每一個(gè)業(yè)務(wù)效勞區(qū)平安域中，部署一個(gè)SAN光纖交換機(jī)，通過(guò)將需要備份的效勞器、交換機(jī)、存儲(chǔ)陣列等與光纖交換機(jī)進(jìn)行連接，并通過(guò)光纖交換機(jī)連接至統(tǒng)一備份區(qū)域中的磁帶庫(kù)。磁帶庫(kù)可以采用雙鏈路與光纖交換機(jī)互聯(lián)，提供冗余性保證，并且可以提高帶寬。在效勞器上安裝備份管理軟件，通過(guò)制定備份策略，對(duì)業(yè)務(wù)數(shù)據(jù)進(jìn)行按需備份管理。通過(guò)SAN網(wǎng)絡(luò)將數(shù)據(jù)集中備份到磁盤磁帶庫(kù)，SAN的架構(gòu)提供了對(duì)數(shù)據(jù)的高速備份能力，沒(méi)有占據(jù)數(shù)據(jù)中心內(nèi)網(wǎng)的帶寬資源。根底設(shè)施平安設(shè)計(jì)根據(jù)《電子簽名法》等相關(guān)法律法規(guī)，對(duì)于電子政務(wù)平安根底設(shè)施的建設(shè)有著明確的要求。而PKI/PMI體系經(jīng)過(guò)多年的開(kāi)展，被證明是保證基于互聯(lián)網(wǎng)的電子政務(wù)和電子商務(wù)平安的最正確解決方案。綜合采用認(rèn)證、簽名、加密等平安技術(shù)，規(guī)劃、設(shè)計(jì)一個(gè)基于數(shù)字證書的網(wǎng)絡(luò)信任體系框架和平安保障體系，有效保障XX省電子政務(wù)應(yīng)用系統(tǒng)計(jì)算環(huán)境的平安，實(shí)現(xiàn)可靠的身份平安、網(wǎng)絡(luò)平安、數(shù)據(jù)平安和應(yīng)用平安，為各個(gè)應(yīng)用系統(tǒng)提供可信身份認(rèn)證、完整性保護(hù)、不可抵賴性及統(tǒng)一的認(rèn)證授權(quán)效勞等根本平安效勞功能。對(duì)于建設(shè)方式，根據(jù)目前的現(xiàn)實(shí)情況主要的方式有：通過(guò)建立附屬于國(guó)家電子政務(wù)根CA的XX省電子政務(wù)子CA；使用XX省CA中心提供的效勞。在遵循XX省電子政務(wù)建設(shè)“十一五”總體規(guī)劃的根底上，同時(shí)考慮省政務(wù)外網(wǎng)一期工程的投資和應(yīng)用需求，考慮采用XX省CA中心提供的證書效勞進(jìn)行試點(diǎn)應(yīng)用，不再自行建設(shè)PKI/PMI體系。平安管理設(shè)計(jì)集中平安管理平臺(tái)的建設(shè)是XX省電子政務(wù)外網(wǎng)建設(shè)的重點(diǎn)。在平安管理平安域中建立平安管理中心，對(duì)全網(wǎng)的平安設(shè)備、平安事件、平安策略、平安運(yùn)維進(jìn)行統(tǒng)一集中的監(jiān)控、調(diào)度、預(yù)警和管理。集中平安管理平臺(tái)針對(duì)每個(gè)平安域的設(shè)備提供靈活的策略制定和管理，實(shí)現(xiàn)本平安域內(nèi)的信息收集和處理。同時(shí)，在平安管理平安域中部署設(shè)備管理系統(tǒng)效勞器和控制臺(tái)，通過(guò)與各事件效勞器組件或平安設(shè)備通信，實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)的全局管理。管理員在平安管理平安域的控制臺(tái)上，可以集中的對(duì)設(shè)備的報(bào)警策略進(jìn)行指定和下發(fā)，同時(shí)，監(jiān)視可處理報(bào)警信息。平安管理平臺(tái)可以以拓?fù)鋱D的方式來(lái)直觀清晰的顯示設(shè)備關(guān)鍵屬性和運(yùn)行狀態(tài)。同時(shí)，可以根據(jù)用戶需要可以記錄一段時(shí)間內(nèi)的設(shè)備關(guān)鍵信息，在設(shè)備出現(xiàn)問(wèn)題時(shí)，可以回放這一時(shí)間段內(nèi)的信息記錄，系統(tǒng)以曲線圖形式給出關(guān)鍵信息的變動(dòng)情況，協(xié)助定位問(wèn)題，同時(shí)根據(jù)狀態(tài)變動(dòng)曲線，可以為系統(tǒng)未來(lái)運(yùn)行狀態(tài)變化趨勢(shì)提供參考。此外，管理員還可以通過(guò)控制臺(tái)集中制定平安策略并下發(fā)到設(shè)備中，并可以統(tǒng)一的對(duì)設(shè)備進(jìn)行升級(jí)。通過(guò)部署集中平安管理平臺(tái)實(shí)現(xiàn)：平安策略的集中部署、平安事件的深度感知、平安事件的關(guān)聯(lián)分析、平安威脅的協(xié)同響應(yīng)。通過(guò)部署集中平安管理平臺(tái)，提高平安管理的效率，保障網(wǎng)絡(luò)的平安運(yùn)行。通過(guò)平安管理中心的建設(shè)，真正實(shí)現(xiàn)平安技術(shù)層面和管理層面的結(jié)合，全面提升XX省電子政務(wù)外網(wǎng)信息網(wǎng)絡(luò)的信息平安保障能力。同時(shí)鑒于整體網(wǎng)絡(luò)的復(fù)雜性，平安管理平臺(tái)可以根據(jù)實(shí)際用戶環(huán)境進(jìn)行定制開(kāi)發(fā)。平安體系管理層面設(shè)計(jì)平安體系管理層面設(shè)計(jì)主要是依據(jù)《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》中的管理要求而設(shè)計(jì)。管理要求平安管理制度各類管理規(guī)定、管理方法和暫行規(guī)定。從平安策略主文檔中規(guī)定的平安各個(gè)方面所應(yīng)遵守的原那么方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理方法和實(shí)施方法，是具有可操作性，且必須得到有效推行和實(shí)施的制度。制定嚴(yán)格的知足與發(fā)布流程，方式，范圍等；定期或不定期對(duì)平安管理制度進(jìn)行檢查和審定，修訂缺乏及改良。平安管理機(jī)構(gòu)包括的平安管理機(jī)構(gòu)組織形式和運(yùn)作方式：設(shè)置平安管理崗位、配備專職平安員、建立授權(quán)與審批制度、建立內(nèi)外部溝通合作渠道、定期進(jìn)行全面平安檢查。人員平安管理制定人員錄用，離崗、考核、培訓(xùn)幾個(gè)方面的規(guī)定，并嚴(yán)格執(zhí)行；規(guī)定外部人員訪問(wèn)流程，并嚴(yán)格執(zhí)行。系統(tǒng)建設(shè)管理從工程實(shí)施的前、中、后三個(gè)方面，從初始定級(jí)設(shè)計(jì)到驗(yàn)收評(píng)測(cè)完整的工程周期角度進(jìn)行系統(tǒng)建設(shè)管理。系統(tǒng)運(yùn)維管理信息系統(tǒng)日常運(yùn)行維護(hù)管理，利用管理制度以及平安管理中心進(jìn)行，包括：資產(chǎn)管理、設(shè)備管理、密碼管理、應(yīng)急管理等，使系統(tǒng)始終處于相應(yīng)等級(jí)平安狀態(tài)中。具體參見(jiàn).5章節(jié)“平安管理設(shè)計(jì)”。整體平安設(shè)計(jì)配置方案整體部署結(jié)構(gòu)根據(jù)對(duì)各個(gè)平安系統(tǒng)的詳細(xì)設(shè)計(jì)，已經(jīng)可以比擬清晰的勾畫出XX電子政務(wù)外網(wǎng)平安建設(shè)的整體全景，如下列圖所示：信息平安建設(shè)是一個(gè)循序漸進(jìn)的過(guò)程，不可能一蹴而就。所以，我們將本著首先定位關(guān)鍵資源、關(guān)鍵區(qū)域，先對(duì)關(guān)鍵資源、關(guān)鍵區(qū)域進(jìn)行保護(hù),然后按照發(fā)散性的思路進(jìn)行縱深層面的平安分析和擴(kuò)展保護(hù)。本階段我們將就最為關(guān)鍵的層面對(duì)XX省電子政務(wù)外網(wǎng)數(shù)據(jù)中心的核心資產(chǎn)進(jìn)行重點(diǎn)的建設(shè)。由于邊界平安防護(hù)是平安建設(shè)的根底性工作，因此本期建設(shè)重點(diǎn)內(nèi)容即根據(jù)劃分好的平安域進(jìn)行邊界類防護(hù)，同時(shí)進(jìn)行最常見(jiàn)的病毒防御、WEB頁(yè)面防護(hù)以及與應(yīng)用密切相關(guān)的平安措施?？傮w建設(shè)可以分為以下三期：總體步驟總體步驟描述部署產(chǎn)品產(chǎn)品數(shù)量部署位置作用區(qū)域/部署作用第一期數(shù)據(jù)中心外網(wǎng)平臺(tái)的邊界防護(hù)，包括內(nèi)、外部各邊界；計(jì)算區(qū)域的防病毒體系、入侵檢測(cè)系統(tǒng)的建設(shè)；應(yīng)用系統(tǒng)平安的應(yīng)用平安監(jiān)控、漏洞掃描、網(wǎng)頁(yè)防篡改的建設(shè)。周期性平安運(yùn)維。UTM66個(gè)接入單位邊界6個(gè)接入單位，全面防護(hù)個(gè)接入單位局域網(wǎng)平安。進(jìn)行統(tǒng)一威脅管理。UTM1單個(gè)部門應(yīng)用效勞器區(qū)會(huì)聚各個(gè)部門應(yīng)用效勞器區(qū)，進(jìn)行統(tǒng)一威脅管理，利用UTM各防護(hù)模塊以及虛擬網(wǎng)關(guān)功能嚴(yán)格區(qū)分不同的業(yè)務(wù)部門。防火墻〔互聯(lián)網(wǎng)邊界〕1省數(shù)據(jù)中心互聯(lián)網(wǎng)邊界作用于省數(shù)據(jù)中心所有平安域；控制進(jìn)出外網(wǎng)的所有數(shù)據(jù)流量，阻止各類非法應(yīng)用。防火墻〔內(nèi)部平安域〕5除辦公終端區(qū)意外所有內(nèi)部平安域邊界作用于省數(shù)據(jù)中心內(nèi)部各平安域；對(duì)內(nèi)部各平安域進(jìn)行獨(dú)立防護(hù)，進(jìn)行訪問(wèn)控制、攻擊防御。VPN網(wǎng)關(guān)1省數(shù)據(jù)中心互聯(lián)網(wǎng)邊界，在防火墻一側(cè)旁路部署作用于VPN接入?yún)^(qū)；為各接入單位移動(dòng)用戶提供VPN接入效勞。IPS入侵防護(hù)系統(tǒng)3省數(shù)據(jù)中心互聯(lián)網(wǎng)效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)區(qū)域邊界作用于互聯(lián)網(wǎng)效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)；實(shí)時(shí)監(jiān)控并阻斷針對(duì)數(shù)據(jù)中心內(nèi)網(wǎng)效勞器平安域中各業(yè)務(wù)效勞器的入侵行為，與該區(qū)域邊界防火墻共同作用。AV防病毒網(wǎng)關(guān)1省數(shù)據(jù)中心互聯(lián)網(wǎng)邊界作用于省數(shù)據(jù)中心內(nèi)部各平安域；邊界集中進(jìn)行病毒過(guò)濾，防止病毒侵入或向外擴(kuò)散，與網(wǎng)絡(luò)防病毒組成多層次深度防御。網(wǎng)絡(luò)防病毒〔已購(gòu)〕根據(jù)實(shí)際數(shù)量省數(shù)據(jù)中心所有平安域終端、效勞器。作用于省數(shù)據(jù)中心所有平安域；抑制來(lái)自外部或內(nèi)部的惡意病毒傳播，保持網(wǎng)絡(luò)清潔。與AV防病毒網(wǎng)關(guān)組成多層次深度防御。平安隔離網(wǎng)閘1省數(shù)據(jù)中心互聯(lián)網(wǎng)效勞器區(qū)與單個(gè)部門應(yīng)用效勞器區(qū)之間的邊界作用于互聯(lián)網(wǎng)效勞器區(qū)、單個(gè)部門應(yīng)用效勞器區(qū)；對(duì)訪問(wèn)行為和數(shù)據(jù)庫(kù)的同步進(jìn)行命令檢查、協(xié)議檢查、數(shù)據(jù)檢查。平安的將數(shù)據(jù)擺渡到數(shù)據(jù)庫(kù)效勞器，保護(hù)數(shù)據(jù)庫(kù)效勞器不受到來(lái)自互聯(lián)網(wǎng)的攻擊和直接訪問(wèn)。入侵檢測(cè)系統(tǒng)〔核心〕1省數(shù)據(jù)中心核心交換機(jī)，并接方式作用于省數(shù)據(jù)中心所有平安域；實(shí)時(shí)監(jiān)測(cè)目標(biāo)網(wǎng)絡(luò)流量，及時(shí)發(fā)現(xiàn)入侵行為并進(jìn)行報(bào)警和審計(jì)。異常流量管理系統(tǒng)1省數(shù)據(jù)中心互聯(lián)網(wǎng)效勞器區(qū)邊界，部署在最外側(cè)，AV網(wǎng)關(guān)之前作用于省數(shù)據(jù)中心互聯(lián)網(wǎng)效勞器區(qū)；阻斷來(lái)自互聯(lián)網(wǎng)的流量型攻擊行為，保護(hù)WEB網(wǎng)站的可用性，保障正常的業(yè)務(wù)流量。應(yīng)用平安監(jiān)控1省數(shù)據(jù)中心，網(wǎng)絡(luò)可達(dá)各效勞器即可作用于省數(shù)據(jù)中心效勞器區(qū)平安域；對(duì)應(yīng)用效勞器、系統(tǒng)、數(shù)據(jù)庫(kù)進(jìn)行狀態(tài)監(jiān)測(cè)和監(jiān)控，實(shí)時(shí)發(fā)現(xiàn)故障并報(bào)警，快速定位故障點(diǎn)，為恢復(fù)環(huán)境提供依據(jù)。網(wǎng)頁(yè)防篡改1省數(shù)據(jù)中心WEB效勞器作用于數(shù)據(jù)中心互聯(lián)網(wǎng)效勞器區(qū)；實(shí)時(shí)監(jiān)控web頁(yè)面的正常工作狀況，發(fā)現(xiàn)篡改后及時(shí)進(jìn)行修復(fù)。平安管理平臺(tái)1省數(shù)據(jù)中心平安管理區(qū)管理所有平安設(shè)備及局部網(wǎng)絡(luò)設(shè)備；對(duì)平安設(shè)備和局部網(wǎng)絡(luò)設(shè)備進(jìn)行統(tǒng)一管理、狀態(tài)監(jiān)控、策略下發(fā)、集中審計(jì)。第二期數(shù)據(jù)中心計(jì)算環(huán)境平安建設(shè)，包括平安審計(jì)，數(shù)據(jù)庫(kù)審計(jì)，雙因素身份認(rèn)證；各接入單位邊界平安及網(wǎng)絡(luò)防病毒系統(tǒng)的建設(shè)；平安管理制度的逐步制定。周期性平安運(yùn)維。網(wǎng)絡(luò)平安審計(jì)1省數(shù)據(jù)中心核心交換機(jī)，并接方式作用于省數(shù)據(jù)中心所有平安域；對(duì)省數(shù)據(jù)中心網(wǎng)絡(luò)行為監(jiān)控和審計(jì)，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)應(yīng)用異常行為。為集中平安管理提供監(jiān)控?cái)?shù)據(jù)。數(shù)據(jù)庫(kù)審計(jì)3省數(shù)據(jù)中心〔單個(gè)部門應(yīng)用效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)〕區(qū)域的接入交換機(jī)作用于省數(shù)據(jù)中心單個(gè)部門應(yīng)用效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)；對(duì)數(shù)據(jù)庫(kù)用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計(jì)，從而把握數(shù)據(jù)庫(kù)系統(tǒng)的整體平安。入侵檢測(cè)系統(tǒng)〔各效勞器區(qū)〕4省數(shù)據(jù)中心〔互聯(lián)網(wǎng)效勞器區(qū)、單個(gè)部門應(yīng)用效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)〕4個(gè)區(qū)域的接入交換機(jī)，并接方式作用于互聯(lián)網(wǎng)效勞器區(qū)、單個(gè)部門應(yīng)用效勞器區(qū)、跨部門應(yīng)用效勞器區(qū)、共享信息資源效勞器區(qū)；實(shí)時(shí)監(jiān)測(cè)本平安域的網(wǎng)絡(luò)流量，及時(shí)發(fā)現(xiàn)入侵行為并進(jìn)行報(bào)警和審計(jì)。雙因素身份認(rèn)證1平安管理區(qū)作用于需要進(jìn)行強(qiáng)制認(rèn)證的應(yīng)用效勞器以及網(wǎng)絡(luò)設(shè)備；通過(guò)統(tǒng)一強(qiáng)身份驗(yàn)證效勞，防止單一認(rèn)證方式的平安隱患，實(shí)現(xiàn)平安訪問(wèn)。漏洞掃描1省數(shù)據(jù)中心，網(wǎng)絡(luò)可達(dá)各效勞器即可作用于省數(shù)據(jù)中心所有主機(jī)、網(wǎng)絡(luò)設(shè)備及效勞器；提供工具對(duì)外網(wǎng)平臺(tái)各類主機(jī)、效勞器、網(wǎng)絡(luò)設(shè)備等進(jìn)行平安漏洞掃描，及時(shí)發(fā)現(xiàn)問(wèn)題，通過(guò)解決方案。二期各接入單位邊界UTM根據(jù)實(shí)際數(shù)量各接入單位外網(wǎng)邊界，包括互聯(lián)網(wǎng)和專網(wǎng)兩種方式作用于各接入單位內(nèi)網(wǎng)；控制進(jìn)出各接入單位內(nèi)網(wǎng)的所有數(shù)據(jù)流量，阻止各類非法應(yīng)用，統(tǒng)一威脅管理。第三期數(shù)據(jù)中心計(jì)算環(huán)境平安建設(shè)的終端平安管理的建設(shè)；各接入單位內(nèi)網(wǎng)平安管理的建設(shè)；周期性平安運(yùn)維。終端平安管理系統(tǒng)根據(jù)實(shí)際數(shù)量省數(shù)據(jù)中心所有平安域終端各接入單位內(nèi)網(wǎng)所有終端作用于省數(shù)據(jù)中心所有平安域終端及各接入單位內(nèi)網(wǎng)終端；統(tǒng)一進(jìn)行內(nèi)網(wǎng)終端的平安管理，通過(guò)對(duì)終端和訪問(wèn)行為進(jìn)行限制和保護(hù)，實(shí)現(xiàn)終端平安加固、網(wǎng)絡(luò)接入控制、非法外聯(lián)控制、資產(chǎn)管理、I/O接口管理、終端配置維護(hù)、終端審計(jì)監(jiān)控等。省數(shù)據(jù)中心省數(shù)據(jù)中心的建設(shè)是XX電子政務(wù)外網(wǎng)建設(shè)的重點(diǎn)，如整體設(shè)計(jì)全景圖所示，根據(jù)詳細(xì)方案設(shè)計(jì)分別從平安技術(shù)、平安管理、平安運(yùn)維多個(gè)層面進(jìn)行建設(shè)。根據(jù)平安平臺(tái)、計(jì)算環(huán)境、應(yīng)用系統(tǒng)、根底設(shè)施、平安管理的架構(gòu)搭建完整的平安體系。接入單位各接入單位的平安建設(shè)是XX省電子政務(wù)外網(wǎng)建設(shè)的組成局部。根據(jù)接入方式不同有兩種類型：專線接入VPN接入如下列圖所示：對(duì)于各接入單位的平安建設(shè)，應(yīng)參照省數(shù)據(jù)中心建設(shè)的模式開(kāi)展，酌情部署，原那么上須與省數(shù)據(jù)中心保持一致，根據(jù)平安系統(tǒng)整體結(jié)構(gòu)中各分系統(tǒng)的設(shè)計(jì)進(jìn)行建設(shè)，共同建立起上下統(tǒng)一的平安防護(hù)體系。同時(shí)根據(jù)省數(shù)據(jù)中心的要求建立相應(yīng)的管理制度。經(jīng)過(guò)省數(shù)據(jù)中心的數(shù)據(jù)集中，各接入單位沒(méi)有更多的業(yè)務(wù)系統(tǒng)，因此除了邊界平安措施外，內(nèi)部的平安建設(shè)主要圍繞計(jì)算環(huán)境開(kāi)展，部署網(wǎng)絡(luò)防病毒、終端平安管理軟件等，實(shí)現(xiàn)各單位局域網(wǎng)的計(jì)算環(huán)境平安。本次建設(shè)以省數(shù)據(jù)中心為重點(diǎn)，因此這里不再展開(kāi)詳細(xì)論述接入單位的內(nèi)部建設(shè)。等級(jí)保護(hù)技術(shù)措施總表根據(jù)整體平安建設(shè)配置方案，針對(duì)《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》，本方案采取了必要的平安技術(shù)措施用于滿足根本要求，具體如下表所示：要求類別具體要求解決方案本方案中對(duì)應(yīng)方法、措施物理平安物理位置的選擇機(jī)房和辦公場(chǎng)地選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；機(jī)房場(chǎng)地應(yīng)防止設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁物理平安參照左欄解決方案解決。物理訪問(wèn)控制機(jī)房出入口安排專人值守，控制、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來(lái)訪人員需經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍；對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域；重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員物理平安參照左欄解決方案解決。防盜竊和防破壞將主要設(shè)備放置在機(jī)房?jī)?nèi)；將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中；利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。物理平安參照左欄解決方案解決。防雷擊機(jī)房建筑設(shè)置避雷裝置；設(shè)置防雷保安器，防止感應(yīng)雷；機(jī)房設(shè)置交流電源地線。物理平安參照左欄解決方案解決。防火機(jī)房設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警，并自動(dòng)滅火；機(jī)房及相關(guān)的工作房間和輔助房采用具有耐火等級(jí)的建筑材料；機(jī)房采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開(kāi)。物理平安參照左欄解決方案解決。防水和防潮水管安裝，不得穿過(guò)機(jī)房屋頂和活動(dòng)地板下；采取措施防止雨水通過(guò)機(jī)房窗戶、屋頂和墻壁滲透；采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；安裝對(duì)水敏感的檢測(cè)儀表或元件，對(duì)機(jī)房