《網(wǎng)絡(luò)安全技術(shù)》課件第12章

第12章計算機網(wǎng)絡(luò)安全工程12.1網(wǎng)絡(luò)安全系統(tǒng)設(shè)計過程12.2區(qū)級電子政務(wù)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計實例習(xí)題

12.1網(wǎng)絡(luò)安全系統(tǒng)設(shè)計過程

計算機網(wǎng)絡(luò)安全從其本質(zhì)上來講就是保障網(wǎng)絡(luò)上的信息安全，即保證網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性。如何在網(wǎng)絡(luò)上保證合法用戶對資源的安全訪問，防止并杜絕黑客的蓄意攻擊與破壞，同時又不至于造成過多的網(wǎng)絡(luò)使用限制和性能的下降，或因投入過高而造成實施安全性的延遲，正成為當前網(wǎng)絡(luò)安全技術(shù)不懈追求的目標。

網(wǎng)絡(luò)安全設(shè)計一般應(yīng)遵循以下過程：

1.需求分析

需求分析一般包括確定網(wǎng)絡(luò)資源、分析安全需求兩方面的工作。

確定網(wǎng)絡(luò)資源是網(wǎng)絡(luò)安全系統(tǒng)設(shè)計中的首要步驟。一般的網(wǎng)絡(luò)建設(shè)很少是全新的建設(shè)，因此在進行方案設(shè)計的時候必須考慮原有網(wǎng)絡(luò)資源情況，盡量在保留原有設(shè)備和資源的前提下進行擴建和升級，避免造成浪費。網(wǎng)絡(luò)資源一般包括網(wǎng)絡(luò)中的硬件資源、軟件資源及存儲資源等。

安全需求分析是在確定網(wǎng)絡(luò)資源的基礎(chǔ)上結(jié)合系統(tǒng)的設(shè)計目標確定每一部分網(wǎng)絡(luò)資源對安全方面的要求以及要達到的目標。

2.方案設(shè)計

安全方案設(shè)計一般是在安全需求分析的指導(dǎo)下，針對現(xiàn)有網(wǎng)絡(luò)資源進行風(fēng)險評估以確定現(xiàn)有資源存在的安全風(fēng)險，然后制定相關(guān)的安全策略，并選擇所需的安全服務(wù)種類及安全機制。1)風(fēng)險評估

風(fēng)險評估是對信息和信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生的可能性的評估，一般根據(jù)網(wǎng)絡(luò)的開放程度，對安全故障可能造成的業(yè)務(wù)損失、現(xiàn)有網(wǎng)絡(luò)服務(wù)的風(fēng)險、當前的主要威脅和漏洞以及目前實施的控制措施進行分析，確定信息資產(chǎn)的風(fēng)險等級和優(yōu)先風(fēng)險控制。

常用的風(fēng)險評估可以采用量化分析法或定性分析法對系統(tǒng)面臨的風(fēng)險等級作出評估。所謂量化分析法屬于精確算法，就是用數(shù)字來進行評估，把考慮的所有問題都變成可以度量的數(shù)字，計算出風(fēng)險評估分數(shù)，從而得出面臨的風(fēng)險等級。定性分析方法則是在評估時對風(fēng)險的影響值和概率值用“高/中/低”的期望值或劃分等級的辦法來評估系統(tǒng)風(fēng)險。進行風(fēng)險評估是一個非常復(fù)雜的過程，除了常用的量化法和定性分析法以外，也可以利用一些風(fēng)險評估工具，如基于信息安全標準的風(fēng)險評估與管理工具ASSET、CCToolbox；基于知識的風(fēng)險評估與管理工具COBRA、MSAT、@RISK；基于模型的風(fēng)險評估與管理工具RA、CORA等。另外，還有一些基于漏洞檢測和面向特定服務(wù)的掃描工具，包括基于主機的風(fēng)險評估工具、面向應(yīng)用層的風(fēng)險評估工具以及密碼和帳戶的檢查工具等。2)制定安全策略

安全策略規(guī)定了用戶、管理人員和技術(shù)人員保護技術(shù)和信息資源的義務(wù)，也指明了完成這些機制要承擔的責任，是所有訪問機構(gòu)的技術(shù)和信息資源人員都必須遵守的規(guī)則。一般來說，安全策略包含兩個部分：總體的策略和具體的規(guī)則?？傮w的策略用于闡明企業(yè)或單位對于網(wǎng)絡(luò)安全的總體思想，而具體的規(guī)則用于說明網(wǎng)絡(luò)上什么活動是被允許的，什么活動是被禁止的。計算機網(wǎng)絡(luò)的安全策略一般包含物理安全策略、訪問控制策略、信息加密策略、網(wǎng)絡(luò)安全管理策略等幾個方面。具體也可以參照RFC2196中安全策略的詳細信息。3)決定安全服務(wù)

在工程中，網(wǎng)絡(luò)安全服務(wù)一般包含預(yù)警、評估、實現(xiàn)、支持和審計幾個過程。

預(yù)警：根據(jù)掌握的系統(tǒng)漏洞和安全審計結(jié)果，預(yù)測未來可能受到的攻擊危害，全面提供安全組織和廠家的安全通告。

評估：根據(jù)當前用戶的網(wǎng)絡(luò)狀況進行深入的、全面的網(wǎng)絡(luò)安全風(fēng)險評估與管理。主要包括威脅分析、脆弱性分析、資產(chǎn)評估、風(fēng)險分析等技術(shù)手段。

實現(xiàn)：根據(jù)預(yù)警和評估的成果，對不同的用戶制定不同的網(wǎng)絡(luò)安全解決方案。主要包括系統(tǒng)加固、產(chǎn)品選型，工程實施、維護等全面的技術(shù)實現(xiàn)。

支持：對用戶進行全面的安全培訓(xùn)和安全咨詢，以及對突發(fā)事件進行快速響應(yīng)支持。幫助用戶建立良好的安全管理體制，提高用戶安全意識。

審計：針對用戶的網(wǎng)絡(luò)安全現(xiàn)狀，審查核定網(wǎng)絡(luò)安全狀態(tài)，幫助用戶識別網(wǎng)絡(luò)環(huán)境的漏洞和存在的風(fēng)險，提供安全報告并且提出安全解決方案。4)選擇安全機制

根據(jù)安全策略和選擇的安全服務(wù)確定具體要采用的安全機制，即要實現(xiàn)的具體技術(shù)措施，包括網(wǎng)絡(luò)物理安全、計算機系統(tǒng)安全、數(shù)據(jù)安全、防火墻、入侵檢測、防病毒技術(shù)等。

3.系統(tǒng)集成

安全系統(tǒng)集成就是根據(jù)安全設(shè)計方案進行相關(guān)硬件和軟件的選擇和配置，并測試網(wǎng)絡(luò)系統(tǒng)安全性，建立有關(guān)安全的規(guī)章制度，并對安全系統(tǒng)進行審計、評估和維護，同時，還必須在網(wǎng)絡(luò)建成后對用戶、管理者和技術(shù)人員進行技術(shù)培訓(xùn)，使其對整個網(wǎng)絡(luò)進行有效管理和使用。12.2區(qū)級電子政務(wù)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計實例

電子政務(wù)網(wǎng)絡(luò)是政府信息網(wǎng)絡(luò)平臺，如何建立一個標準統(tǒng)一、功能完善、安全可靠的電子政務(wù)網(wǎng)絡(luò)是關(guān)系到整個政府信息能否得到有效利用的關(guān)鍵因素。區(qū)級電子政務(wù)網(wǎng)絡(luò)是市級電子政務(wù)網(wǎng)絡(luò)建設(shè)的重要組成部分，而隨著國民經(jīng)濟的發(fā)展，原有的電子政務(wù)網(wǎng)絡(luò)已不能滿足區(qū)內(nèi)各級政府辦公和為民服務(wù)的需要，因此計劃應(yīng)充分利用原有政務(wù)網(wǎng)的基礎(chǔ)，重新規(guī)劃建設(shè)覆蓋全區(qū)的電子政務(wù)網(wǎng)絡(luò)，以滿足全區(qū)范圍內(nèi)各行政部門辦公的需求。新建設(shè)的區(qū)政務(wù)網(wǎng)絡(luò)平臺作為全區(qū)各個辦事機構(gòu)的主要辦公平臺，涉及了很多部門(如財政、工商、稅務(wù)等)的內(nèi)部信息，因此，該網(wǎng)絡(luò)上將會有很多部門敏感信息進行傳輸和流轉(zhuǎn)。同時，區(qū)政府網(wǎng)絡(luò)平臺又是區(qū)統(tǒng)一的互聯(lián)網(wǎng)出口，將面臨網(wǎng)絡(luò)上的各種病毒和木馬等風(fēng)險的威脅，如果建成后網(wǎng)絡(luò)安全無法保障，或存在重大的安全漏洞，那么其后果將是極其嚴重的，因此，信息安全建設(shè)是區(qū)政務(wù)網(wǎng)絡(luò)建設(shè)中非常重要的部分。

本政務(wù)平臺的安全建設(shè)需要全面的、系統(tǒng)的從邊界數(shù)據(jù)防護系統(tǒng)、病毒防治系統(tǒng)、數(shù)據(jù)審計系統(tǒng)等幾個方面規(guī)劃。同時，安全規(guī)劃要與區(qū)政務(wù)網(wǎng)現(xiàn)有網(wǎng)絡(luò)整體安全規(guī)劃一致，統(tǒng)一考慮安全管理問題。12.2.1項目概述

安全系統(tǒng)的建設(shè)是電子政務(wù)建設(shè)和應(yīng)用的重要保障。由于政務(wù)應(yīng)用系統(tǒng)中存在著較多的敏感信息和重要數(shù)據(jù)，必須保證網(wǎng)絡(luò)和數(shù)據(jù)的安全，所以對系統(tǒng)的保密性要求很高。

1.項目安全系統(tǒng)設(shè)計目標

本項目安全系統(tǒng)設(shè)計的目標是：對原有區(qū)政務(wù)網(wǎng)絡(luò)平臺進行必要的安全建設(shè)，保障政務(wù)平臺的信息安全。從技術(shù)與管理兩方面著手，將全區(qū)的網(wǎng)絡(luò)應(yīng)用系統(tǒng)建設(shè)成一個具有縱深安全體系部署的可靠系統(tǒng)。重點建設(shè)內(nèi)容包括以下幾方面：

政務(wù)網(wǎng)絡(luò)平臺本身的基礎(chǔ)設(shè)施建設(shè)；

政務(wù)網(wǎng)絡(luò)平臺與各個邊界的安全建設(shè)；

各個業(yè)務(wù)系統(tǒng)及公眾服務(wù)體系安全的措施；

完善的病毒防護機制；

數(shù)據(jù)安全保障及有效的備份中心；

完善的綜管理系統(tǒng)和機制；

統(tǒng)一的全網(wǎng)認證體系。

2.項目總體安全構(gòu)架

本項目總體安全架構(gòu)建設(shè)由安全技術(shù)架構(gòu)和安全運行總體管理架構(gòu)兩部分組成。

1)安全技術(shù)架構(gòu)

網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全(網(wǎng)絡(luò)設(shè)備安全配置，核心設(shè)備及重要區(qū)域鏈路的冗余，網(wǎng)絡(luò)出口的負載均衡)。

邊界安全策略(邊界訪問控制，防火墻，入侵防御，網(wǎng)關(guān)防病毒)。

計算環(huán)境安全(統(tǒng)一防病毒體系，網(wǎng)絡(luò)審計)。

安全基礎(chǔ)設(shè)施(公鑰體系建設(shè)，安全管理中心)。2)安全運行管理架構(gòu)

安全運行管理架構(gòu)包括安全協(xié)調(diào)策略、事件響應(yīng)策略、日常監(jiān)控策略、升級管理策略、分析改進策略、培訓(xùn)教育策略和應(yīng)急響應(yīng)策略。

3.項目總體設(shè)計原則

系統(tǒng)建設(shè)應(yīng)充分考慮長遠發(fā)展需求，統(tǒng)一規(guī)劃、統(tǒng)一布局、統(tǒng)一設(shè)計。在實施策略上根據(jù)實際需要及投資金額，分期配置、分期實施、逐步擴展，保證系統(tǒng)應(yīng)用的完整性和用戶投資的有效性。在方案設(shè)計中，應(yīng)遵循以下設(shè)計原則：

(1)標準化原則。系統(tǒng)建設(shè)、業(yè)務(wù)處理和技術(shù)方案應(yīng)符合國家、市及區(qū)有關(guān)信息化標準的規(guī)定。數(shù)據(jù)指標體系及代碼體系統(tǒng)一化、標準化。(2)資源充分利用原則。所有設(shè)計必須在原有的基礎(chǔ)上利用現(xiàn)有資源對政務(wù)網(wǎng)絡(luò)平臺提出符合發(fā)展趨勢的設(shè)計規(guī)劃，并充分利用原有設(shè)備。

(3)實施及網(wǎng)絡(luò)切換的高效性原則。由于在網(wǎng)絡(luò)改造和切換的過程中將會嚴重影響整個區(qū)的政務(wù)辦公，因此，項目的實施設(shè)計應(yīng)遵循改造實施及網(wǎng)絡(luò)切換的高效性原則，要設(shè)計詳細的計劃和方案。(4)安全性原則。信息管理系統(tǒng)中的用戶有著各種各樣不同的權(quán)限級別和應(yīng)用層次，因此在系統(tǒng)設(shè)計時，應(yīng)該充分考慮不同用戶的需求，保證正常用戶能夠高效、快速地訪問授權(quán)范圍內(nèi)的系統(tǒng)信息和資源。同時，也必須能夠有效地阻止未授權(quán)用戶的非法入侵和非授權(quán)訪問。(5)可靠性原則。信息管理系統(tǒng)每天將處理全區(qū)幾十個部門的審批數(shù)據(jù)，任何時刻的系統(tǒng)設(shè)備故障都有可能給用戶帶來損失，這就要求系統(tǒng)具備很高的穩(wěn)定性和可靠性，以及很高的平均無故障率，保證故障發(fā)生時系統(tǒng)能夠提供有效的失效轉(zhuǎn)移或者快速恢復(fù)等性能。硬件環(huán)境應(yīng)消除單點故障，實現(xiàn)雙機容錯和負載均衡功能，保證系統(tǒng)的高可用性，即7×24小時不停機的工作模式。(6)開放性原則。開放性是現(xiàn)今計算機技術(shù)發(fā)展過程中形成的一種建立大系統(tǒng)、擴大系統(tǒng)交流范圍的技術(shù)原則。系統(tǒng)總體方案設(shè)計在體系結(jié)構(gòu)、硬件/軟件平臺的確定，以及產(chǎn)品選型、設(shè)計、開發(fā)等方面都要充分考慮“標準和開放”的原則。在應(yīng)用系統(tǒng)的設(shè)計與開發(fā)中，應(yīng)依據(jù)標準化和模塊化的設(shè)計思想，建立具有一定靈活性和可擴展性的應(yīng)用平臺，使系統(tǒng)不僅在體系結(jié)構(gòu)上保持很大的開放性而且可以提供各種靈活可變的接口，系統(tǒng)內(nèi)部也應(yīng)保持相當程度的可擴充性。(7)實用性及可擴展性原則。系統(tǒng)的建設(shè)既要充分體現(xiàn)政府系統(tǒng)業(yè)務(wù)的特點，充分利用現(xiàn)有資源，合理配置系統(tǒng)軟硬件，保護用戶投資；又要著眼建成使用后具有良好的擴展能力，可以根據(jù)不斷增長的業(yè)務(wù)需求，隨著信息技術(shù)的發(fā)展而不斷地平滑升級。各計算機應(yīng)用系統(tǒng)的開發(fā)，應(yīng)做到功能完善、使用方便、符合實際、運作高效。實用性的原則是系統(tǒng)能夠成功應(yīng)用的關(guān)鍵。在系統(tǒng)的設(shè)計階段就應(yīng)該充分考慮本區(qū)內(nèi)當前的各種業(yè)務(wù)層次的需求、各個環(huán)節(jié)的數(shù)據(jù)處理以及管理要求。在實際的項目實施過程中可以采用總體設(shè)計、分布實施的方案，保障核心部門的核心業(yè)務(wù)功能首先得到實現(xiàn)，然后再逐步擴展業(yè)務(wù)功能。(8)可維護性及易用性原則。由于信息管理系統(tǒng)的范圍大、應(yīng)用廣，因此對于系統(tǒng)的管理和維護性能提出了更高的要求。在方案設(shè)計時，易使用、易維護原則成為將來系統(tǒng)應(yīng)用實施過程中的重要條件。因此，系統(tǒng)設(shè)計必須充分考慮管理維護的可視化、層次化以及控制的實時性。系統(tǒng)面向掌握不同計算機知識層次的人員，要容易操作使用。(9)經(jīng)濟性原則。在保證系統(tǒng)能夠安全、可靠運行的前提下，充分利用原有的計算機設(shè)備、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)等投資，注重經(jīng)濟性，避免浪費，最大限度地降低系統(tǒng)造價，這也是重要的設(shè)計思路。同時計算機與網(wǎng)絡(luò)技術(shù)的發(fā)展是非常迅速的，通常不可能選擇一種永遠不過時的計算機及網(wǎng)絡(luò)技術(shù)。所以在構(gòu)造一個信息管理系統(tǒng)時，應(yīng)該將投資與目前的應(yīng)用緊密結(jié)合起來，選用便于向更高的技術(shù)過渡的方案。12.2.2需求分析

某區(qū)政務(wù)網(wǎng)安全現(xiàn)狀拓撲圖如圖12.1所示。

圖12.1區(qū)政務(wù)網(wǎng)安全現(xiàn)狀拓撲圖

1.網(wǎng)絡(luò)平臺基本狀況

目前區(qū)政務(wù)網(wǎng)絡(luò)平臺由一臺核心交換機(Quidway?S6506)、

三臺內(nèi)外接入交換機以及三個服務(wù)器區(qū)和外網(wǎng)出口等幾個部分組成的。

在區(qū)電子政務(wù)內(nèi)網(wǎng)中，各鄉(xiāng)鎮(zhèn)與園區(qū)通過光纖連接到中心機房，并通過匯聚交換機(Quidway?S3526)匯總后接入網(wǎng)絡(luò)核心；各委辦局通過接入交換機(Quidway?S3526)匯總后接入網(wǎng)絡(luò)核心；區(qū)政府大院局域網(wǎng)也通過3COM6509交換機匯總后接入核心網(wǎng)絡(luò)。網(wǎng)絡(luò)服務(wù)器按照功能分為了三個區(qū)域，一個是對外提供服務(wù)或有公眾網(wǎng)絡(luò)需求的服務(wù)器，此區(qū)域設(shè)置在出口處的防火墻DMZ區(qū)，提供對外服務(wù)。另兩個區(qū)域分別是公文服務(wù)器區(qū)和OA服務(wù)器區(qū)，數(shù)據(jù)庫、OA、電子政務(wù)等服務(wù)器分別連接到一臺匯聚交換機上(Quidway?S3526)。一臺千兆聯(lián)想防火墻(聯(lián)想網(wǎng)御防火墻2000FWE-T3)實施安全策略以控制用戶對這些服務(wù)器的訪問。視頻服務(wù)器和視頻采集服務(wù)器均直接接入核心交換機(Quidway?S6506)。區(qū)政府的各種服務(wù)器通過匯聚形成服務(wù)器群，統(tǒng)一連接到核心交換機。對于Web、OA和經(jīng)濟分析系統(tǒng)采用了雙機熱備，共用磁盤陣列，集中式存取重要數(shù)據(jù)。外網(wǎng)出口有三個，政務(wù)外網(wǎng)用戶通過防火墻(華依千兆防火墻HY-F2000KU)接入?yún)^(qū)核心網(wǎng)絡(luò)；通過PSTN訪問區(qū)內(nèi)網(wǎng)的用戶經(jīng)過撥號路由設(shè)備(QuidwayR2621＋RT-6AM)接入?yún)^(qū)核心網(wǎng)絡(luò)；Internet訪問用戶則通過防火墻(華依百兆防火墻HY-F2000K)接入?yún)^(qū)核心網(wǎng)絡(luò)。

2.網(wǎng)絡(luò)安全狀況

從安全拓撲圖可以看出，區(qū)電子政務(wù)外網(wǎng)是一個多連接的網(wǎng)絡(luò)。多連接體現(xiàn)為網(wǎng)絡(luò)連接既有節(jié)點內(nèi)部不同網(wǎng)段的連接(如區(qū)府大院內(nèi)各部門間的連接)，又有節(jié)點間的連接(如區(qū)府電子政務(wù)系統(tǒng)與各局委辦專用網(wǎng)絡(luò)的連接)，同時還存在外部連接(與互聯(lián)網(wǎng)的連接)。如果將網(wǎng)絡(luò)結(jié)構(gòu)按照應(yīng)用系統(tǒng)嚴格劃分，使每種應(yīng)用都運行在獨立的網(wǎng)絡(luò)中，那么網(wǎng)絡(luò)中用戶相互信任程度就很高，安全問題會降低到最小。但是實際情況不允許這樣劃分，主要原因在于主機設(shè)備、網(wǎng)絡(luò)設(shè)備、通信線路的共用以及不同應(yīng)用間的數(shù)據(jù)交換。如果進行硬性的劃分必然會增加投資、管理以及維護工作的難度。由于主機為支持應(yīng)用的需求開放了多種網(wǎng)絡(luò)服務(wù)，客戶端通過特定的通信線路執(zhí)行某種特定應(yīng)用程序的同時，又用來執(zhí)行非必要的網(wǎng)絡(luò)服務(wù)，這樣就產(chǎn)生了非法訪問和黑客攻擊的可能。目前區(qū)政務(wù)網(wǎng)均統(tǒng)一部署了瑞星防病毒系統(tǒng)；各自按照部門劃分了VLAN，進行訪問控制；并分別部署了兩臺百兆鷹眼入侵檢測系統(tǒng)，與防火墻形成聯(lián)動，其主要的安全設(shè)備如表12.1所示。表12.1某區(qū)電子政務(wù)網(wǎng)目前主要安全設(shè)備表

3.安全系統(tǒng)需求

由于政務(wù)外網(wǎng)將承載區(qū)大部分的應(yīng)用系統(tǒng)，并同互聯(lián)網(wǎng)邏輯隔離，因此受到的安全威脅較大，也比較復(fù)雜。政務(wù)外網(wǎng)的安全需求主要來自應(yīng)用系統(tǒng)安全、網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全、安全基礎(chǔ)措施和支撐性基礎(chǔ)措施四個方面。

1)應(yīng)用系統(tǒng)安全

本期政務(wù)外網(wǎng)建成后，將運行多個應(yīng)用系統(tǒng)，如郵件交換系統(tǒng)、公文流轉(zhuǎn)系統(tǒng)、OA系統(tǒng)等等，這些應(yīng)用系統(tǒng)對政務(wù)外網(wǎng)的接入單位提供服務(wù)。需要通過認證授權(quán)、應(yīng)用審計和運行監(jiān)控等手段對這些應(yīng)用系統(tǒng)的正常運行進行保護。2)網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全

網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全包括以下兩方面。

(1)網(wǎng)絡(luò)邊界安全：網(wǎng)絡(luò)邊界處是整個政務(wù)外網(wǎng)安全方面最脆弱、最容易發(fā)生隱患的部位。來自外部網(wǎng)絡(luò)或是內(nèi)部的攻擊和威脅，都會對政務(wù)外網(wǎng)造成不可估量的影響。應(yīng)對進出邊界的數(shù)據(jù)流進行有效的控制與監(jiān)視，實施訪問控制。

(2)網(wǎng)絡(luò)骨干和平臺安全：對于提供數(shù)據(jù)傳輸服務(wù)的網(wǎng)絡(luò)，應(yīng)能保證政務(wù)外網(wǎng)上傳輸?shù)母鞣N數(shù)據(jù)流能正確實現(xiàn)傳輸。需要通過流量監(jiān)控，核心設(shè)備和鏈路的冗余，網(wǎng)絡(luò)設(shè)備的安全配置等方式保證數(shù)據(jù)流的高效傳輸。3)安全基礎(chǔ)設(shè)施

為保證系統(tǒng)的正常運轉(zhuǎn)，需要為各類系統(tǒng)設(shè)備提供一個安全、可靠、溫濕度及潔凈度均符合要求的運行環(huán)境；為相關(guān)工作人員提供方便、快捷、舒適的工作環(huán)境和順暢高效的通信通道；并需要防止非法用戶進入計算機控制室及防止各種偷竊、破壞活動的發(fā)生。

4)支撐性基礎(chǔ)措施安全

系統(tǒng)安全的重要工作是對全網(wǎng)(包括公務(wù)網(wǎng)和政務(wù)外網(wǎng))的安全狀態(tài)進行集中的監(jiān)控，對與區(qū)電子政務(wù)網(wǎng)安全相關(guān)的服務(wù)請求做出及時的響應(yīng)和及時支持。為此需要在網(wǎng)絡(luò)中心建立集中的管理監(jiān)控平臺，及時掌握全網(wǎng)的安全狀態(tài)。12.2.3策略建設(shè)

安全建設(shè)是一個體系過程，任何一個環(huán)節(jié)存在問題都會導(dǎo)致整個系統(tǒng)安全性出現(xiàn)問題。這是信息系統(tǒng)安全中的“木桶理論”，即信息系統(tǒng)的安全程度是由整個系統(tǒng)的最弱環(huán)節(jié)而非最強環(huán)節(jié)決定。安全系統(tǒng)的策略建設(shè)主要包括網(wǎng)絡(luò)與基礎(chǔ)設(shè)施保護策略、計算機環(huán)境保護策略、邊界安全保護策略和支撐性基礎(chǔ)措施保護策略四個方面。

1.網(wǎng)絡(luò)與基礎(chǔ)設(shè)施保護策略

在網(wǎng)絡(luò)上通常傳輸著有三種不同的數(shù)據(jù)流：用戶數(shù)據(jù)、控制數(shù)據(jù)、管理數(shù)據(jù)。保護網(wǎng)絡(luò)與基礎(chǔ)設(shè)施的根本目的是保護這三種數(shù)據(jù)流能正確實現(xiàn)傳輸。通常用于保護網(wǎng)絡(luò)設(shè)施的相關(guān)技術(shù)有網(wǎng)絡(luò)流量控制、冗余、備份技術(shù)等等。

2.計算機環(huán)境保護策略

信息系統(tǒng)中的每一個主機都是構(gòu)成信息系統(tǒng)的一員，它們的安全情況都直接影響到整個信息系統(tǒng)的安全。因此，建設(shè)一個安全的信息系統(tǒng)首先要做的就是確保信息系統(tǒng)中的每一臺主機的安全狀況良好。對信息系統(tǒng)中主機安全防護的方法有多種，可以通過操作系統(tǒng)安全加固(打安全補丁、設(shè)置安全配置)、安裝防病毒軟件，對于安全要求嚴格的主機，還可以通過在系統(tǒng)上安裝安全加固軟件、主機入侵監(jiān)測系統(tǒng)等軟件并對其數(shù)據(jù)進行備份來增強主機的安全等級。

3.邊界安全保護策略

絕大多數(shù)的網(wǎng)絡(luò)都需要與外界相連，區(qū)政務(wù)外網(wǎng)信息系統(tǒng)除了與機關(guān)外的各委辦局之間存在網(wǎng)絡(luò)連接外，部門委辦局還與其上級單位的局域網(wǎng)之間進行網(wǎng)絡(luò)連接，這些連接的接入點被稱為邊界。對邊界的保護就是實施訪問控制，對進出的數(shù)據(jù)流進行有效的控制與監(jiān)視。

4.支撐性基礎(chǔ)設(shè)施保護策略

深度防御的根本在于提高針對網(wǎng)絡(luò)的入侵與攻擊的防范能力，支撐性基礎(chǔ)設(shè)施是能夠提供安全服務(wù)的一套相互關(guān)聯(lián)的活動與基礎(chǔ)設(shè)施，其所提供的安全服務(wù)用于實現(xiàn)框架式的技術(shù)解決方案并對其進行管理。目前的深層防御策略定義了兩個支撐性的基礎(chǔ)設(shè)施——檢測與響應(yīng)，其作用是檢測、識別可能的網(wǎng)絡(luò)攻擊和非法行為；做出有效響應(yīng)以及對攻擊行為進行調(diào)查分析。通?？梢圆捎冒踩珜徲嬒到y(tǒng)來檢測記錄可能的網(wǎng)絡(luò)非法行為，并對其進行調(diào)查分析和總結(jié)，從而加固系統(tǒng)的安全。12.2.4措施建設(shè)

通過對區(qū)政務(wù)信息中心將來運行環(huán)境的分析，我們提出了相應(yīng)的安全規(guī)劃，同時明確了用戶的安全需求，下面列出的是關(guān)于安全集成設(shè)計的說明，以切實可行的方案滿足用戶的需求。

將各個業(yè)務(wù)不同的服務(wù)器按照其功能劃分為幾個服務(wù)器區(qū)，同時針對各個服務(wù)器區(qū)的職能和個別業(yè)務(wù)的需求，劃分嚴格的安全策略。因此除了在防火墻實施嚴格的安全訪問控制策略外，還需要在網(wǎng)絡(luò)VLAN劃分時，詳細考慮網(wǎng)絡(luò)各部分的規(guī)劃。

由于各個應(yīng)用服務(wù)器以及數(shù)據(jù)服務(wù)器的重要性，應(yīng)部署入侵防御系統(tǒng)、安全審計系統(tǒng)等設(shè)備，對區(qū)域內(nèi)重要服務(wù)器的訪問行為進行多種防護。

為了保障系統(tǒng)的穩(wěn)定性，重要網(wǎng)絡(luò)部分均采用雙鏈路連接。

現(xiàn)在的網(wǎng)絡(luò)面臨著各種各樣的安全威脅，如蠕蟲病毒、黑客的攻擊、用戶誤操作等等，因此需要對整網(wǎng)的數(shù)據(jù)流進行監(jiān)控，一旦發(fā)現(xiàn)可疑的行為，應(yīng)迅速采取相關(guān)的安全手段，將攻擊帶來的影響最小化。

為了數(shù)據(jù)的統(tǒng)一存儲及提高磁盤空間的效率，將建立一套全網(wǎng)的SAN系統(tǒng)以方便數(shù)據(jù)的存儲。

在區(qū)網(wǎng)絡(luò)中心以外的地方增加一臺磁帶備份服務(wù)器，以使系統(tǒng)崩潰或災(zāi)難發(fā)生時數(shù)據(jù)不會被丟失，并能恢復(fù)到崩潰或災(zāi)難之前的運行狀態(tài)。

信息系統(tǒng)中每個服務(wù)器的安全情況都直接影響到整個信息系統(tǒng)的安全。因此，建設(shè)一個安全的信息系統(tǒng)首先要做的就是確保信息系統(tǒng)中的每一臺服務(wù)器安全狀況良好，這是通過對整個服務(wù)器群區(qū)域內(nèi)的服務(wù)器進行系統(tǒng)安全加固來實現(xiàn)。

隨著區(qū)電子政務(wù)網(wǎng)絡(luò)平臺的擴展，越來越多的用戶單位都接入這套網(wǎng)絡(luò)，極需對接入的PC機的防病毒軟件和病毒庫做統(tǒng)一的管理和更新。

隨著網(wǎng)絡(luò)平臺的擴展，涉及到的網(wǎng)絡(luò)設(shè)備種類、數(shù)量繁多。不可能通過人工一臺一臺地進行維護，這樣就給管理和維護人員帶來了極大的挑戰(zhàn)。通過一個統(tǒng)一的管理平臺，能夠內(nèi)嵌和調(diào)用其他廠商的監(jiān)管系統(tǒng)，對各種設(shè)備進行自動的遠程實時監(jiān)控和分析，找出故障點和原因，以便及時采取相應(yīng)措施，并提高工作效率。

為了保障應(yīng)用系統(tǒng)的安全，提供詳盡的應(yīng)用安全措施。

綜合以上設(shè)計思想，新區(qū)政務(wù)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計如圖12.2所示。圖12.2新區(qū)政務(wù)網(wǎng)安全設(shè)計拓撲圖

1.網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全

1)網(wǎng)絡(luò)設(shè)備安全配置

在系統(tǒng)的詳細設(shè)計階段，對網(wǎng)絡(luò)中每個設(shè)備的功能就應(yīng)該有明確的定義。在設(shè)備部署過程中，應(yīng)該根據(jù)設(shè)計階段的定義確定設(shè)備應(yīng)提供的網(wǎng)絡(luò)服務(wù)，對于設(shè)計定義之外的網(wǎng)絡(luò)服務(wù)應(yīng)該禁用，因為不必要的網(wǎng)絡(luò)服務(wù)只會為攻擊者提供更多的攻擊途徑和門戶。除此之外，有兩點應(yīng)該著重注意：即設(shè)備缺省配置和已知的不安全服務(wù)。很多設(shè)備(或其中軟件系統(tǒng))為了方便用戶應(yīng)用，都會有一個出廠缺省配置。一定要根據(jù)系統(tǒng)的詳細設(shè)計文檔仔細核對設(shè)備提供的網(wǎng)絡(luò)服務(wù)，禁用不該有的缺省服務(wù)。2)核心設(shè)備及重要區(qū)域鏈路的冗余

由于區(qū)政務(wù)信息中心網(wǎng)絡(luò)本身具有的特性，網(wǎng)絡(luò)核心是整個網(wǎng)絡(luò)的交通樞紐，如果網(wǎng)絡(luò)核心癱瘓，整個信息系統(tǒng)的應(yīng)用將隨之崩潰。隨著公共服務(wù)業(yè)務(wù)的展開，政府機關(guān)日常辦公對信息系統(tǒng)的依賴性增大，因此采用網(wǎng)絡(luò)雙交換核心成為大勢所趨，并采用高性能的三層交換機來保證網(wǎng)絡(luò)的連通性和穩(wěn)定性。該項目將采用網(wǎng)絡(luò)雙交換核心的設(shè)計理念，以及重要區(qū)域雙鏈路的設(shè)計，同時與另外兩個分中心建立環(huán)狀網(wǎng)絡(luò)，充分保證區(qū)政務(wù)信息中心的高可用性和穩(wěn)定性。如圖12.2中的“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示。3)網(wǎng)絡(luò)出口的負載均衡

網(wǎng)絡(luò)出口負載均衡有多種方式可以實現(xiàn)。針對不同方式分析如下：

單一的ISP運營商的兩條鏈路同一點接入。整個網(wǎng)絡(luò)接入互聯(lián)網(wǎng)使用單一的ISP鏈路運營商，就等于將網(wǎng)絡(luò)對外訪問的可靠性完全依靠在單一的ISP鏈路運營商身上。采用雙鏈路的目的本來就為了預(yù)防因運營商的故障造成對外訪問中斷，同一運營商的兩條鏈路很難解決這個問題。

單一的ISP運營商的兩條鏈路不同點接入。這樣可能在一定程度上減小用戶兩條鏈路被放置在同一運營商同一地點同一機房的可能性，相對增加了對外訪問的可靠性，但是當該運營商的整個網(wǎng)絡(luò)出現(xiàn)故障時，這兩條鏈路也會完全癱瘓。兩條鏈路不同點的接入方式還將給網(wǎng)絡(luò)的管理和劃分造成較大的問題。這種接入方式造成了網(wǎng)絡(luò)有兩個外網(wǎng)出口的事實，這就需要區(qū)的網(wǎng)絡(luò)管理人員自己劃分哪些應(yīng)用或者哪些人員從哪個網(wǎng)絡(luò)出口對外訪問。這實際是非常困難的，首先網(wǎng)絡(luò)管理人員必須清楚各種應(yīng)用的流量大小，以及人員訪問出現(xiàn)的峰值，在區(qū)政務(wù)網(wǎng)高速發(fā)展的情況下，應(yīng)用不斷增多，一旦將應(yīng)用與出口劃分固定，就會對今后發(fā)展造成極大的障礙。

不同的ISP運營商的鏈路同一點接入。采用不同運營商的鏈路，對出口的瓶頸進行適當?shù)木徑?，并實現(xiàn)整個網(wǎng)絡(luò)出口的不間斷性，這就意味要部署負載均衡設(shè)備，對這兩條鏈路進行動態(tài)的分配，當某條ISP鏈路掉(down)時，整個負載就直接劃到另外一條鏈路上去，保證網(wǎng)絡(luò)的不間斷性。同時負載均衡設(shè)備還可實時地調(diào)整兩條鏈路的負載情況，當一條鏈路流量過大時，可以自動將部分流量調(diào)整到另一條鏈路上，真正地發(fā)揮雙鏈路的作用。

根據(jù)以上三種情況的分析，確定第三種方式是最合理的接入方式。負載均衡設(shè)備部署如圖12.2中的“公眾網(wǎng)”模塊所示。負載均衡設(shè)備都是串接在網(wǎng)絡(luò)出口處。通過該設(shè)備，區(qū)政務(wù)外網(wǎng)就無需通過ISP協(xié)作、大帶寬連接、選定的IP地址塊、ASN或高端路由器來消除系統(tǒng)故障。由于鏈路控制器解決方案不依靠BGP提供故障切換功能，它不存在BGP多歸屬所面臨的延遲、高更新成本、次等流量管理等問題。通過使用鏈路控制器，能夠使用成本低的帶寬，并且可對基于性能、成本和業(yè)務(wù)政策的鏈路選擇進行完全的粒狀控制。

2.邊界安全

1)邊界策略的制定

在區(qū)政務(wù)網(wǎng)絡(luò)基礎(chǔ)平臺建設(shè)中，由于職能和業(yè)務(wù)的不同，網(wǎng)絡(luò)分為了不同的區(qū)域。我們需要按照不同的要求對每個區(qū)域采取相對獨立的策略設(shè)置。網(wǎng)絡(luò)核心由配置了防火墻模塊的萬兆交換機組成，重要的網(wǎng)絡(luò)用戶和視頻服務(wù)、認證服務(wù)等直接通過核心交換機，由核心交換機上的防火墻模塊處理這些數(shù)據(jù)流量，以保證這些用戶和服務(wù)的數(shù)據(jù)交換的高速及時。如圖12.2“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示。對于其他跨區(qū)域的數(shù)據(jù)流量，要嚴格制定網(wǎng)絡(luò)邊界策略。比如，對于對外服務(wù)的Mail服務(wù)器、政府網(wǎng)站服務(wù)器和DNS服務(wù)器來說，一方面要面對互聯(lián)網(wǎng)上的用戶訪問，一方面還要訪問位于數(shù)據(jù)庫區(qū)的門戶系統(tǒng)數(shù)據(jù)庫。數(shù)據(jù)庫區(qū)域是整個信息網(wǎng)絡(luò)平臺的核心，其安全級別是遠遠高于對外服務(wù)區(qū)的，因此我們就要制定相應(yīng)的邊界訪問策略，只允許政務(wù)中心服務(wù)器的固定IP和固定端口訪問門戶數(shù)據(jù)服務(wù)器的相應(yīng)端口。同樣，由于信息平臺中包括政務(wù)網(wǎng)絡(luò)用戶和辦公人員，我們也要針對他們定制相應(yīng)的邊界策略，區(qū)分不同區(qū)域的訪問權(quán)限。2)防火墻

如圖12.2所示，本項目除配置了兩塊核心交換機防火墻板卡外，還有三臺防火墻，分別位于分中心1核心交換機、分中心2核心交換機和互聯(lián)網(wǎng)出口的邊界。

核心區(qū)域的防火墻部署

核心交換區(qū)域是所有應(yīng)用服務(wù)的核心，在功能上與網(wǎng)絡(luò)的核心類似，所有的服務(wù)處理及數(shù)據(jù)庫集中于此，而且任何原因造成的破壞和中斷都會造成嚴重后果。為了保障全區(qū)應(yīng)用服務(wù)的安全運行，對于這一區(qū)域的安全保護措施必須加強。另外這一區(qū)域不同于連接Internet區(qū)域，由于服務(wù)及數(shù)據(jù)量非常集中，數(shù)據(jù)量及延遲的要求是這一區(qū)域安全設(shè)計必須考慮的問題。鑒于這些原因，在核心交換區(qū)域的核心交換機上配備了防火墻板卡，在保證服務(wù)器區(qū)域安全的同時也排除了由于安全措施對各種服務(wù)的延遲影響，如圖12.2所示“政府網(wǎng)絡(luò)核心區(qū)域”模塊核心交換機防火墻配置。

外網(wǎng)出口區(qū)域的防火墻部署

Internet區(qū)域?qū)儆谌_放區(qū)域，不但數(shù)據(jù)流量大，而且由于沒有統(tǒng)一的安全保障體系，病毒、攻擊、入侵、非法站點隨處可見。為了保證區(qū)政務(wù)外網(wǎng)網(wǎng)絡(luò)的安全，對于這兩個網(wǎng)絡(luò)的連接只在策略上采取控制手段是遠遠不夠的，必須通過專門的設(shè)備來保證內(nèi)部網(wǎng)絡(luò)的安全。因此通過對一臺千兆防火墻來達到硬件級的隔離效果，具體部署在核心交換機與外網(wǎng)之間，分別強制所有由內(nèi)向外和由外向內(nèi)傳輸?shù)臄?shù)據(jù)必須經(jīng)過防火墻的安全處理。同時在技術(shù)方式上內(nèi)部網(wǎng)絡(luò)訪問Internet統(tǒng)一通過NAT方式，借助NAT技術(shù)的地址安全保障功能使外部網(wǎng)絡(luò)無法獲知內(nèi)部網(wǎng)絡(luò)情況，從而阻斷絕大部分攻擊。DMZ區(qū)服務(wù)器通過外網(wǎng)防火墻進行安全的數(shù)據(jù)交換。如圖12.2所示“公眾網(wǎng)”模塊和“DMZ”模塊防火墻配置。3)入侵防御系統(tǒng)與入侵檢測

入侵防御對于網(wǎng)絡(luò)的安全運行和改進完善起著極其重要的作用，通過對全網(wǎng)內(nèi)所有數(shù)據(jù)流的實時采集與分析，使得我們能夠洞察內(nèi)部網(wǎng)絡(luò)的各種非法行為。

入侵防御同時也可以對網(wǎng)絡(luò)的操作做一個完整的記錄，當違反網(wǎng)絡(luò)安全規(guī)則的事件發(fā)生時，能有效地追查責任和分析原因，必要時還能為懲罰惡意攻擊行為提供必要的技術(shù)證據(jù)。如果與報警功能結(jié)合在一起，就可以在違反網(wǎng)絡(luò)安全規(guī)則的事件發(fā)生之后，或在威脅網(wǎng)絡(luò)安全的重要操作進行時，及時制止和補救，避免損失擴大。由于對區(qū)政務(wù)網(wǎng)絡(luò)的入侵主要集中在連接Internet的出口區(qū)域，所以從安全方面考慮，在這個區(qū)域內(nèi)布設(shè)入侵防御設(shè)備，可以更為有效地阻斷入侵行為，為網(wǎng)絡(luò)管理人員提供重要的數(shù)據(jù)依據(jù)，并在第一時間對入侵行為進行阻斷。

入侵防御的部署如圖12.2“公眾網(wǎng)”模塊所示。在Internet與防火墻之間串行接入IPS設(shè)備，使其不但能對來自Internet的數(shù)據(jù)進行分析和檢測，也能夠?qū)?nèi)網(wǎng)中的DMZ區(qū)、核心交換機和應(yīng)用服務(wù)器匯聚交換機等的數(shù)據(jù)流進行實時采集與分析，使得我們能夠洞察網(wǎng)絡(luò)內(nèi)外的各種非法行為，及時彌補安全漏洞。通過入侵檢測設(shè)備，可以實時監(jiān)控整個網(wǎng)絡(luò)的數(shù)據(jù)流量，實時發(fā)現(xiàn)攻擊行為并立即報警，為動態(tài)網(wǎng)絡(luò)安全防御提供了良好的基礎(chǔ)設(shè)備支持。利用入侵檢測系統(tǒng)，可以在無人干擾的情況下進行7×24小時的安全監(jiān)控，一旦發(fā)現(xiàn)入侵行為，可以及時地通知管理人員，或者采取其他相應(yīng)的措施，如切斷可疑連接等。4)網(wǎng)關(guān)防病毒

區(qū)政務(wù)外網(wǎng)的Internet出口處，是各類病毒進入的重要途徑，網(wǎng)關(guān)防病毒技術(shù)能夠在網(wǎng)絡(luò)邊界處，對混合型病毒進行全面掃描，防止病毒通過網(wǎng)絡(luò)邊界傳入。網(wǎng)關(guān)防病毒的部署如圖12.2“公眾網(wǎng)”模塊所示。

將防病毒網(wǎng)關(guān)部署在互聯(lián)網(wǎng)的出口處，對進入的數(shù)據(jù)進行掃描，以阻止病毒爆發(fā)、堵塞網(wǎng)絡(luò)病毒(Internet蠕蟲)，并在病毒爆發(fā)期間阻塞高威脅漏洞，隔離并清除包括無保護設(shè)備(當其進入網(wǎng)絡(luò)時)在內(nèi)的傳染源。防病毒網(wǎng)關(guān)不僅能夠采取準確的預(yù)防病毒爆發(fā)的安全性措施，并且能夠前瞻性地檢測、預(yù)防并排除病毒爆發(fā)的危險。

3.計算機環(huán)境安全

1)統(tǒng)一防病毒體系

在網(wǎng)絡(luò)中，病毒已從存儲介質(zhì)(軟、硬、光盤)的感染發(fā)展為網(wǎng)絡(luò)通信和電子郵件的感染。其傳播速度極快，破壞力更強。據(jù)統(tǒng)計，一個新病毒從一臺計算機出發(fā)后僅六個小時就足以感染全球互聯(lián)網(wǎng)機器。網(wǎng)絡(luò)一旦被病毒侵入而發(fā)作，將會對重要數(shù)據(jù)的安全、網(wǎng)絡(luò)環(huán)境的正常運行帶來嚴重的危害。區(qū)政務(wù)外網(wǎng)的安全非常重要，一旦病毒發(fā)生與擴散，造成的后果不可估量，所以防止計算機病毒是區(qū)政務(wù)外網(wǎng)安全設(shè)計的重要環(huán)節(jié)。

整個病毒防護系統(tǒng)的部署包括三個部分：服務(wù)器父中心端、服務(wù)器子中心端和客戶端。

由于區(qū)政務(wù)外網(wǎng)信息點較多，在政務(wù)網(wǎng)核心區(qū)應(yīng)該部署專用的防病毒服務(wù)器，同時，在各個分中心同樣應(yīng)該部署防病毒服務(wù)器，對防病毒客戶端要進行集中管理，安裝防病毒客戶端軟件，防病毒控制中心要能夠?qū)λ械目蛻舳诉M行強制防病毒策略的實施，避免人為因素造成病毒防護失敗。應(yīng)選用具有多層病毒防護體系的防病毒軟件來構(gòu)建區(qū)政務(wù)網(wǎng)的防病毒部署，由防病毒父中心對位于不同區(qū)域的一級防病毒子中心和直屬客戶端進行控制和更新，再由防病毒一級子中心對所屬的防病毒客戶端或二級子中心進行日常的維護和更新，由此形成多級的立體的防病毒體系。2)網(wǎng)絡(luò)審計

安全審計是網(wǎng)絡(luò)安全系統(tǒng)中的一個重要環(huán)節(jié)。各單位信息網(wǎng)絡(luò)都包含了許多業(yè)務(wù)系統(tǒng)，對于一些重要業(yè)務(wù)系統(tǒng)的操作訪問需要進行審計，防止濫用。

通過安全審計技術(shù)能夠收集審計跟蹤的信息；通過列舉被記錄的安全事件的類別(例如對安全要求的明顯違反或成功操作)，能適應(yīng)各種不同的需要。已知安全審計的存在可對某些潛在的侵犯安全的攻擊源起到威懾作用。如圖12.2中的“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示，在核心交換機處安裝一臺網(wǎng)絡(luò)安全審計系統(tǒng)，并采用統(tǒng)一的控制中心進行管理。網(wǎng)絡(luò)安全審計系統(tǒng)上有兩種端口，分別為管理端口和探頭。分布型網(wǎng)絡(luò)安全審計系統(tǒng)由控制中心和檢測引擎組成，控制中心是安裝在客戶指定的服務(wù)器上的軟件，檢測引擎是有管理端口和探頭的硬件設(shè)備。網(wǎng)絡(luò)審計系統(tǒng)能夠?qū)崿F(xiàn)實時采集網(wǎng)絡(luò)中對應(yīng)用系統(tǒng)的訪問信息，進行協(xié)議分析，恢復(fù)還原應(yīng)用層數(shù)據(jù)，自動記錄重要的事件，協(xié)助網(wǎng)管人員全面地掌握網(wǎng)絡(luò)使用情況，及時發(fā)現(xiàn)、制止非法訪問。審計范圍是與外網(wǎng)相連接的鏈路，通過在交換機做鏡像來采集數(shù)據(jù)。

4.支撐性基礎(chǔ)措施安全

支撐性基礎(chǔ)措施安全包括公鑰體制建設(shè)和系統(tǒng)綜合管理平臺兩個方面。1)公鑰體系建設(shè)

公鑰體系建設(shè)分為兩個方面：統(tǒng)一授權(quán)管理和統(tǒng)一認證，兩者是相互關(guān)聯(lián)的有機整體，其目的是為了解決電子政務(wù)網(wǎng)絡(luò)中要解決的安全核心問題，包括網(wǎng)絡(luò)中各實體身份認證、身份真實性、授權(quán)合法性及信息的保密性、完整性和不可抵賴性。其平臺建設(shè)應(yīng)根據(jù)系統(tǒng)應(yīng)用當前的實際情況，有計劃、有重點地進行和展開，先建立證書應(yīng)用環(huán)境，即部署證書發(fā)放模塊(RA系統(tǒng))實現(xiàn)基于證書的身份認證，然后擴大應(yīng)用范圍，并實現(xiàn)重要業(yè)務(wù)的責任認定，最后待該平臺從功能上、性能上、穩(wěn)定性等幾個方面不斷完善以后，將其同各類應(yīng)用平臺集成，實現(xiàn)安全應(yīng)用系統(tǒng)。區(qū)電子政務(wù)網(wǎng)絡(luò)公鑰體系建設(shè)主要包括SHECARA系統(tǒng)建設(shè)、應(yīng)用系統(tǒng)安全認證建設(shè)和網(wǎng)絡(luò)遠程接入認證建設(shè)三個方面(注：SHECA，即上海電子商務(wù)安全證書管理中心，是上海市唯一從事數(shù)字證書簽發(fā)和管理業(yè)務(wù)的權(quán)威性認證中心)。(1)

SHECARA系統(tǒng)建設(shè)。SHECARA(以下簡稱“RA”)作為SHECA系統(tǒng)證書管理服務(wù)功能在區(qū)電子政務(wù)各單位的延伸，不但能夠方便自行管理數(shù)字證書，更能根據(jù)各自應(yīng)用的具體情況進行證書信息定制，使得數(shù)字證書更能滿足對用戶屬性信息的需要。RA系統(tǒng)建設(shè)需要部署以下內(nèi)容：

RA服務(wù)器：RA服務(wù)器作為RA服務(wù)的主體，需要首先在用戶單位進行安裝部署；

管理終端：管理終端的作用是對RA服務(wù)器進行日常維護和管理；

制證終端：制證終端的作用是對用戶證書的申請、審核、制作、管理；

防火墻：若用戶有條件，最好在RA服務(wù)區(qū)出口處部署一臺防火墻，用以加強RA服務(wù)區(qū)的網(wǎng)絡(luò)環(huán)境安全性；配置政務(wù)外網(wǎng)與互聯(lián)網(wǎng)的邊界防火墻，以使得RA服務(wù)器能夠同SHECA指定的服務(wù)器建立通信。(2)應(yīng)用系統(tǒng)安全認證建設(shè)。應(yīng)用系統(tǒng)安全認證建設(shè)作為數(shù)字證書的典型應(yīng)用，不但技術(shù)成熟，部署迅速，而且效果突出，用戶操作便捷，因此推薦采用其作為初次建立安全支撐平臺的工作內(nèi)容。應(yīng)用系統(tǒng)安全認證建設(shè)需要部署以下內(nèi)容：

安全認證網(wǎng)關(guān)部署：安全認證網(wǎng)關(guān)作為應(yīng)用系統(tǒng)安全認證的重要組成部分，能夠?qū)崿F(xiàn)基于數(shù)字證書的用戶身份安全認證、訪問控制、數(shù)據(jù)傳輸加密，并為應(yīng)用系統(tǒng)提供用戶證書信息獲取接口。安全認證網(wǎng)關(guān)部署在客戶端和應(yīng)用服務(wù)器通信鏈路之間。

應(yīng)用系統(tǒng)接入：根據(jù)安全認證網(wǎng)關(guān)獲取用戶證書信息的接口，改造用戶登錄認證模塊。

客戶端：安裝數(shù)字證書USBKey驅(qū)動。

防火墻配置：若在應(yīng)用服務(wù)區(qū)和用戶工作區(qū)之間部署防火墻，需要配置防火墻開放安全認證網(wǎng)關(guān)端口，允許客戶端訪問該端口。(3)網(wǎng)絡(luò)遠程接入認證建設(shè)。網(wǎng)絡(luò)遠程接入認證建設(shè)的目標是基于SHECA簽發(fā)的數(shù)字證書，通過部署安全認證網(wǎng)關(guān)，實現(xiàn)工作人員能夠通過Internet網(wǎng)絡(luò)安全地連接到電子政務(wù)網(wǎng)，并能夠正常使用各應(yīng)用系統(tǒng)。網(wǎng)絡(luò)遠程接入認證部署內(nèi)容包括遠程接入認證客戶端和安全認證網(wǎng)關(guān)兩方面，其中前者采用數(shù)字證書和安全認證客戶端套件，實現(xiàn)基于數(shù)字證書的遠程登錄，實現(xiàn)雙網(wǎng)獨立；后者采用SSL/VPN技術(shù)，實現(xiàn)對客戶端證書驗證和訪問控制，在客戶端和服務(wù)端建立高強度加密的安全通信鏈路。部署具體內(nèi)容如下：

在互聯(lián)網(wǎng)和電子政務(wù)外網(wǎng)邊界防火墻的DMZ區(qū)部署安全認證網(wǎng)關(guān)，如圖12.2中DMZ模塊所示，以確保所有需要進入政務(wù)外網(wǎng)的訪問請求都必須首先通過安全認證網(wǎng)關(guān)的認證后才能進行；

在邊界防火墻中配置策略，允許外部用戶訪問安全認證網(wǎng)關(guān)的服務(wù)端口(僅需一個端口即可)；

在需要進行遠程訪問電子政務(wù)外網(wǎng)應(yīng)用的終端計算機上安裝安全認證客戶端軟件，以實現(xiàn)對政務(wù)外網(wǎng)的訪問以及客戶端策略的執(zhí)行；

在安全認證網(wǎng)關(guān)上配置訪問控制策略，如允許哪些用戶訪問哪些應(yīng)用，是否允許客戶端在訪問政務(wù)外網(wǎng)的時候訪問互聯(lián)網(wǎng)的其他應(yīng)用。2)系統(tǒng)綜合管理平臺

對區(qū)中心大樓內(nèi)政務(wù)平臺的所有小型機、服務(wù)器、存儲設(shè)備、網(wǎng)絡(luò)設(shè)備、UPS、機房空調(diào)設(shè)備進行監(jiān)控。該平臺要能夠?qū)崿F(xiàn)對網(wǎng)絡(luò)設(shè)備、服務(wù)器和機房中的各種設(shè)備的運行情況進行監(jiān)視，能夠提前對設(shè)備的異常情況發(fā)出報警，及時控制異常設(shè)備。平臺由網(wǎng)絡(luò)管理和機房環(huán)境監(jiān)控組成。(1)網(wǎng)絡(luò)管理系統(tǒng)。由于新網(wǎng)絡(luò)中心的網(wǎng)絡(luò)規(guī)模大，設(shè)備多，還有很多重要應(yīng)用服務(wù)器，因此需要通過高效的網(wǎng)絡(luò)管理系統(tǒng)對整個網(wǎng)絡(luò)進行監(jiān)控，從而保證網(wǎng)絡(luò)的正常運行。好的網(wǎng)關(guān)系統(tǒng)不僅在網(wǎng)絡(luò)發(fā)生故障時能夠報警并準確快速定位故障點，而且還要在故障發(fā)生前就能夠根據(jù)各種網(wǎng)絡(luò)設(shè)備的流量、負載的情況，及時察覺網(wǎng)絡(luò)的異常，將網(wǎng)絡(luò)故障消滅在萌芽狀態(tài)。網(wǎng)絡(luò)管理系統(tǒng)能解決的問題有以下幾方面：

提供網(wǎng)絡(luò)穩(wěn)定安全運行最為強大的技術(shù)保障，使業(yè)務(wù)運營連續(xù)高效。

完全掌握全網(wǎng)整體結(jié)構(gòu)，有助于發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，便于做出網(wǎng)絡(luò)升級參考。

及時的預(yù)警以及告警、快速的故障定位以及恢復(fù)，提高了網(wǎng)絡(luò)運行質(zhì)量以及穩(wěn)定性。

降低故障發(fā)生率，提升用戶滿意度。

擴大業(yè)務(wù)市場占有率，直接帶來效益。

網(wǎng)絡(luò)的科學(xué)升級，從而避免浪費，保護投資。

強大的報表系統(tǒng)體現(xiàn)了整個網(wǎng)絡(luò)的運行情況和工作業(yè)績。(2)機房環(huán)境監(jiān)控系統(tǒng)：包括七個組成部分，UPS設(shè)備監(jiān)控、機房專用空調(diào)監(jiān)控、配電設(shè)備監(jiān)控、門禁系統(tǒng)監(jiān)控、機房環(huán)境監(jiān)控、直放站合入器監(jiān)控和圖像監(jiān)控。根據(jù)要求，我們?yōu)閰^(qū)政務(wù)網(wǎng)機房安裝其中的四部分。

UPS：機房內(nèi)的UPS對于網(wǎng)絡(luò)設(shè)備是至關(guān)重要的，它不僅在斷電時為網(wǎng)絡(luò)設(shè)備提供電源，而且在正常供電時也能對市電進行濾波和功率因素修正，可以完全解決所有的電源問題，如斷電、市電高/低壓、電壓瞬時跌落、減幅振蕩、高壓脈沖、電壓波動、浪涌電壓、諧波失真、雜波干擾、頻率波動等電源問題。所以UPS是否正常工作，對網(wǎng)絡(luò)系統(tǒng)是很重要的。機房環(huán)境監(jiān)控設(shè)備能夠?qū)PS工作狀態(tài)進行監(jiān)控，并通過監(jiān)控系統(tǒng)輸出相應(yīng)的數(shù)據(jù)，顯示在大屏幕上，使工作人員能夠非常直觀地了解UPS的工作狀態(tài)。同時當UPS處在非正常工作狀態(tài)下時，機房環(huán)境監(jiān)控系統(tǒng)會立刻聯(lián)動報警系統(tǒng)，通過聲光、電話、PB機等報警。

環(huán)境監(jiān)控：該系統(tǒng)能夠準確地探測機房內(nèi)的溫度、濕度等。工作人員對環(huán)境監(jiān)控系統(tǒng)設(shè)定閾值，保證機房環(huán)境在其設(shè)定的范圍內(nèi)，一旦機房的環(huán)境與我們對系統(tǒng)設(shè)定的狀態(tài)不符，該系統(tǒng)會立即通過聲光、電話、PB機告警。

圖像監(jiān)控：對圖像的監(jiān)控即對閉路監(jiān)控系統(tǒng)的控制，能與其他監(jiān)控設(shè)備聯(lián)動，也可獨立控制。

空調(diào)監(jiān)控：該系統(tǒng)能夠遙測空調(diào)回風(fēng)溫度、濕度，壓縮機、風(fēng)機、加濕器、加熱器的工作狀態(tài)，對溫度過高或過低、濕度過大或過小、風(fēng)機故障、壓縮機故障、加濕器故障、排氣壓力過高、進氣壓力過低等所有狀態(tài)進行告警，并具有遙控開機、關(guān)機，溫、濕度設(shè)置，告警復(fù)位等功能。

其他監(jiān)控：機房環(huán)境監(jiān)控系統(tǒng)暫時不需要對配電設(shè)備系統(tǒng)監(jiān)控，但我們在監(jiān)控系統(tǒng)中預(yù)留了配電接口，對以后配電系統(tǒng)擴大升級需要監(jiān)控時，可以輕松實現(xiàn)配電系統(tǒng)監(jiān)控的兼容。對門禁的監(jiān)控需要門禁系統(tǒng)開放其協(xié)議，從而實現(xiàn)對門禁的開關(guān)狀態(tài)以及人員進出狀態(tài)的讀取，但門禁系統(tǒng)暫時無法提供其協(xié)議，所以我們預(yù)留門禁系統(tǒng)接口。12.2.5產(chǎn)品選型

1.防火墻(千兆)

1)防火墻性能要求

根據(jù)網(wǎng)絡(luò)設(shè)計要求防火墻處理能力應(yīng)達到2Gb/s；最大并發(fā)連接數(shù)應(yīng)大于200萬；每秒新建連接數(shù)應(yīng)達到25000；延時應(yīng)小于40μs；VPN隧道數(shù)應(yīng)達到2000；應(yīng)支持虛擬網(wǎng)卡技術(shù)；支持內(nèi)核級會話檢測；支持QoS；支持VPN；支持本地認證、Radius認證；支持LDAP認證；支持一次性口令認證；支持X.509證書；支持分級管理；支持配置文件的導(dǎo)入導(dǎo)出；支持條件查詢?nèi)罩疽约岸喾N輸出方式；支持狀態(tài)監(jiān)控；支持TCP/IP、IPX、H.323、SIP、MSN協(xié)議；支持802.1Q；支持雙機熱備；支持負載均衡；支持多出口的路由均衡；MTBF(最大平均無故障時間)應(yīng)達到100000小時。2)防火墻產(chǎn)品選型

根據(jù)以上性能指標要求，我們選擇了華依HY-F2000K(U)、天融信NGFW4000、網(wǎng)御神州SecGate_3600-G7三款市場定位相同的主流廠商的核心交換機產(chǎn)品進行對比分析，具體對比結(jié)果和綜合各項指標后的綜合評價分別如圖12.3和圖12.4所示。

根據(jù)上面的對比結(jié)果，建議采用華依公司的HY-F2000K(U)防火墻。圖12.3防火墻產(chǎn)品對比圖12.4防火墻產(chǎn)品綜合評價

2.負載均衡

1)負載均衡系統(tǒng)性能要求

網(wǎng)絡(luò)負載均衡建立在現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)之上，它提供了一種有效、透明的方法來擴展網(wǎng)絡(luò)設(shè)備的帶寬，增加吞吐量，加強網(wǎng)絡(luò)數(shù)據(jù)處理能力，提高網(wǎng)絡(luò)的靈活性和可用性。因為大量的并發(fā)訪問或數(shù)據(jù)流量流經(jīng)負載均衡設(shè)備，所以其產(chǎn)品的穩(wěn)定性、處理能力至關(guān)重要，同時產(chǎn)品的可管理性和安全性非常重要。主要技術(shù)指標為：背板能力≥14Gb/s；流量吞吐量≥500Mb/s；二層能力：線速；四層能力≥6萬；七層能力≥2.2萬；并發(fā)會話數(shù)量≥400萬；支持HA：心跳及網(wǎng)絡(luò)兩種方式，支持毫秒級雙機切換；平均無故障時間≥50000小時；支持多種均衡算法；提供API接口支持SSH，HTTPS(Web)安全管理；應(yīng)用加速，服務(wù)器和帶寬成本低；具備IP應(yīng)用的集成解決方案。2)負載均衡系統(tǒng)產(chǎn)品選型

根據(jù)以上性能指標要求，我們選擇了Radware公司的LinkProof202和F5公司的Big-IPLinkController1500兩款負載均衡系統(tǒng)產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標后的綜合評價分別如圖12.5和圖12.6所示。

根據(jù)上面的對比結(jié)果，建議采用Radware公司的LinkProof202負載均衡產(chǎn)品。圖12.5負載均衡系統(tǒng)產(chǎn)品對比圖12.6負載均衡系統(tǒng)產(chǎn)品綜合評價

3.入侵防御

區(qū)政務(wù)網(wǎng)信息系統(tǒng)防御入侵的要求除了采用防火墻外，還需要配備入侵防御設(shè)備作為防火墻的補充，實時檢測內(nèi)部網(wǎng)絡(luò)，發(fā)現(xiàn)非法入侵則通過防火墻聯(lián)動阻斷。1)入侵防御系統(tǒng)功能要求

在互聯(lián)網(wǎng)出口處部署IPS設(shè)備，要求采用成熟、穩(wěn)定的產(chǎn)品。由于IPS為串聯(lián)設(shè)備，為保證網(wǎng)絡(luò)的穩(wěn)定性，要求一旦IPS設(shè)備出現(xiàn)問題，可以通過旁路避免影響用戶使用網(wǎng)絡(luò)。IPS對所有流經(jīng)的數(shù)據(jù)進行深度分析與檢測，具備實時阻斷攻擊的能力，同時應(yīng)對正常數(shù)據(jù)流量不產(chǎn)生任何影響。IPS應(yīng)可以有效檢測并實時阻斷隱藏在海量網(wǎng)絡(luò)流量中的病毒、攻擊與濫用行為，也可以對分布在網(wǎng)絡(luò)中的各種流量進行有效管理，從而達到對網(wǎng)絡(luò)中各應(yīng)用的保護、網(wǎng)絡(luò)基礎(chǔ)設(shè)施的保護和網(wǎng)絡(luò)性能的保護。IPS應(yīng)在跟蹤流狀態(tài)的基礎(chǔ)上，對報文進行二至七層信息的深度檢測，可以在蠕蟲、病毒、木馬、DoS/DDoS、后門、Walk-in蠕蟲、連接劫持、帶寬濫用等威脅發(fā)生前成功地檢測并阻斷，IPS也能夠有效防御針對路由器、交換機、DNS服務(wù)器等網(wǎng)絡(luò)重要基礎(chǔ)設(shè)施的攻擊。2)入侵檢測系統(tǒng)產(chǎn)品選型

根據(jù)以上性能指標要求，我們選擇了Radware的DP-202和TippingPoint的TippingPoint200兩款入侵檢測系統(tǒng)產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標后的綜合評價分別如圖12.7和圖12.8所示。

根據(jù)上面的對比結(jié)果，建議采用Radware公司的DP202入侵檢測產(chǎn)品。圖12.7入侵檢測產(chǎn)品對比圖12.8入侵檢測產(chǎn)品綜合評價

4.網(wǎng)絡(luò)審計系統(tǒng)

1)網(wǎng)絡(luò)審計系統(tǒng)性能要求

安全審計系統(tǒng)應(yīng)包括對HTTP、TELNET、FTP、SMTP、POP3、SMB、ICQ、OICQ、MSNMessenger等協(xié)議的審計，并應(yīng)該包括對網(wǎng)絡(luò)中的TCP和UDP協(xié)議流量、所有主機的通信流量和當前的TCP活動連接流量進行統(tǒng)計。2)網(wǎng)絡(luò)審計系統(tǒng)產(chǎn)品選型

根據(jù)以上性能指標要求，我們選擇了三零鷹眼NSAS1000-4A和復(fù)旦光華S_Audit兩款網(wǎng)絡(luò)，具體的對比結(jié)果和綜合各項指標后的綜合評價分別如圖12.9和圖12.10所示。

根據(jù)上面的對比結(jié)果，建議采用三零公司的鷹眼NSAS1000-4A產(chǎn)品。圖12.9網(wǎng)絡(luò)審計系統(tǒng)產(chǎn)品對比圖12.10網(wǎng)絡(luò)審計系統(tǒng)綜合評價

5.網(wǎng)絡(luò)防病毒

1)產(chǎn)品性能要求

網(wǎng)絡(luò)防病毒產(chǎn)品的主要技術(shù)指標參數(shù)要求能夠支持7000用戶使用；包括對網(wǎng)絡(luò)中所有客戶端、服務(wù)器的郵件和網(wǎng)關(guān)的病毒防護；擁有廣泛的平臺支持，具備自動化集中管理能力和先進的掃描輪詢方式；具備強大的病毒查殺和修復(fù)能力，以及全方位的域保護能力；快速響應(yīng)和病毒庫更新，具備強大的系統(tǒng)管理能力，網(wǎng)絡(luò)自動更新，軟件分發(fā)，以及良好的自我保護機制。2)防病毒產(chǎn)品選型

根據(jù)以上性能指標要求，我們選擇了symantec公司的antivirus和趨勢公司的ClientServerSuite兩款在國內(nèi)占有率最高的網(wǎng)絡(luò)防病毒產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標后的綜合評價分別如圖12.11和圖12.12所示。

根據(jù)上面的對比結(jié)果，建議采用趨勢公司的ClientSer