信息安全解決方案資料

1、15.1 信息安全體系結(jié)構(gòu)現(xiàn)狀15.2 網(wǎng)絡(luò)安全需求(xqi)15.3 網(wǎng)絡(luò)安全產(chǎn)品15.4 某大型企業(yè)網(wǎng)絡(luò)安全解決方案案例15.5 電子政務(wù)安全平臺(tái)實(shí)施方案小結(jié)習(xí)題共八十五頁20世紀(jì)80年代中期，美國國防部為適應(yīng)軍事計(jì)算機(jī)的保密需要，在20世紀(jì)70年代的基礎(chǔ)理論研究成果計(jì)算機(jī)保密模型(BellLapadula模型)的基礎(chǔ)上，制定了“可信計(jì)算機(jī)系統(tǒng)安全評(píng)價(jià)(pngji)準(zhǔn)則”(TCSEC)，其后又對(duì)網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫等方面作出了一系列安全解釋，形成了安全信息系統(tǒng)體系結(jié)構(gòu)的最早原則。至今，美國已研制出符合TCSEC要求的安全系統(tǒng)(包括安全操作系統(tǒng)、安全數(shù)據(jù)庫、安全網(wǎng)絡(luò)部件)達(dá)100多種，但這些系統(tǒng)

2、仍有局限性，還沒有真正達(dá)到形式化描述和證明的最高級(jí)安全系統(tǒng)。15.1 信息安全體系結(jié)構(gòu)現(xiàn)狀(xinzhung)共八十五頁1989年，確立了基于OSI參考模型的信息安全體系結(jié)構(gòu)，1995年在此基礎(chǔ)上進(jìn)行修正，頒布了信息安全體系結(jié)構(gòu)的標(biāo)準(zhǔn)，具體包括五大類安全服務(wù)、八大種安全機(jī)制和相應(yīng)的安全管理標(biāo)準(zhǔn)(詳見1.4.1節(jié))。20世紀(jì)90年代初，英、法、德、荷四國針對(duì)TCSEC準(zhǔn)則只考慮保密性的局限，聯(lián)合提出了包括保密性、完整性、可用性概念的“信息技術(shù)安全評(píng)價(jià)準(zhǔn)則”(ITSEC)，但是該準(zhǔn)則中并沒有給出綜合解決以上問題的理論模型和方案。近年來六國七方(美國國家安全局和國家技術(shù)標(biāo)準(zhǔn)研究所、加、英、法、德、荷

3、)共同提出了“信息技術(shù)安全評(píng)價(jià)通用準(zhǔn)則”(CC for ITSEC)。CC綜合了國際上已有的評(píng)測準(zhǔn)則和技術(shù)標(biāo)準(zhǔn)的精華，給出了框架和原則要求，但它仍然缺少綜合解決信息的多種安全屬性(shxng)的理論模型依據(jù)。共八十五頁標(biāo)準(zhǔn)于1999年7月通過國際標(biāo)準(zhǔn)化組織的認(rèn)可，被確立為國際標(biāo)準(zhǔn)，編號(hào)為ISO/IEC 15408。ISO/IEC 15408標(biāo)準(zhǔn)對(duì)安全的內(nèi)容和級(jí)別給予了更完整的規(guī)范(gufn)，為用戶對(duì)安全需求的選取提供了充分的靈活性。然而，國外研制的高安全級(jí)別的產(chǎn)品對(duì)我國是封鎖禁售的，即使出售給我們，其安全性也難以令人放心。共八十五頁安全體系結(jié)構(gòu)理論與技術(shù)主要包括安全體系模型的建立及其形式化描

4、述與分析(fnx)，安全策略和機(jī)制的研究，檢驗(yàn)和評(píng)估系統(tǒng)安全性的科學(xué)方法和準(zhǔn)則的建立，符合這些模型、策略和準(zhǔn)則的系統(tǒng)的研制(比如安全操作系統(tǒng)、安全數(shù)據(jù)庫系統(tǒng)等)。我國在系統(tǒng)安全的研究及應(yīng)用方面與先進(jìn)國家和地區(qū)存在著很大的差距。近幾年來，我國進(jìn)行了安全操作系統(tǒng)、安全數(shù)據(jù)庫、多級(jí)安全機(jī)制的研究，但由于自主安全內(nèi)核受控于人，難以保證沒有漏洞，而且大部分有關(guān)的工作都以美國1985年的TCSEC標(biāo)準(zhǔn)為主要參照系。 共八十五頁開發(fā)的防火墻、安全路由器、安全網(wǎng)關(guān)、黑客入侵檢測系統(tǒng)等產(chǎn)品和技術(shù)，主要集中在系統(tǒng)應(yīng)用環(huán)境的較高層次上，在完善性、規(guī)范性、實(shí)用性上還存在許多不足，特別是在多平臺(tái)的兼容性、多協(xié)議的適應(yīng)性

5、、多接口的滿足性方面存在很大的差距，其理論基礎(chǔ)和自主的技術(shù)手段也有待于發(fā)展和強(qiáng)化。然而，我國的系統(tǒng)安全的研究與應(yīng)用畢竟已經(jīng)起步，具備了一定的基礎(chǔ)和條件。1999年10月，我國發(fā)布了“計(jì)算機(jī)信息系統(tǒng)安全保護(hù)(boh)等級(jí)劃分準(zhǔn)則”，該準(zhǔn)則為安全產(chǎn)品的研制提供了技術(shù)支持，也為安全系統(tǒng)的建設(shè)和管理提供了技術(shù)指導(dǎo)。共八十五頁Linux開放源代碼為我們自主研制安全操作系統(tǒng)提供了前所未有的機(jī)遇。作為信息系統(tǒng)賴以支持的基礎(chǔ)系統(tǒng)軟件操作系統(tǒng)，其安全性是關(guān)鍵。長期以來，我國廣泛使用的主流操作系統(tǒng)都是從國外引進(jìn)的。從國外引進(jìn)的操作系統(tǒng)，其安全性難以令人放心。具有我國自主版權(quán)的安全操作系統(tǒng)產(chǎn)品在我國各行各業(yè)都迫切需

6、要。我國的政府、國防、金融等機(jī)構(gòu)對(duì)操作系統(tǒng)的安全都有各自的要求，都迫切需要找到一個(gè)既滿足功能、性能要求，又具備足夠的安全可信度的操作系統(tǒng)。Linux的發(fā)展及其在國際上的廣泛應(yīng)用，在我國也產(chǎn)生了廣泛的影響，只要(zhyo)其安全問題得到妥善解決，就會(huì)得到我國各行各業(yè)的普遍接受。共八十五頁網(wǎng)絡(luò)安全需求主要包括下述幾種需求。1. 物理安全需求由于重要信息可能會(huì)通過電磁輻射或線路干擾而被泄漏，因此需要對(duì)存放機(jī)密信息的機(jī)房進(jìn)行(jnxng)必要的設(shè)計(jì)，如構(gòu)建屏蔽室、采用輻射干擾機(jī)等，以防止電磁輻射泄漏機(jī)密信息。 此外，還可對(duì)重要的設(shè)備和系統(tǒng)進(jìn)行(jnxng)備份。15.2 網(wǎng)絡(luò)安全需求(xqi)共八十五

7、頁2. 訪問控制需求網(wǎng)絡(luò)需要防范非法用戶的非法訪問和合法用戶的非授權(quán)訪問。非法用戶的非法訪問也就是黑客或間諜的攻擊行為。在沒有任何防范措施的情況下，網(wǎng)絡(luò)的安全主要是靠主機(jī)系統(tǒng)自身的安全設(shè)置(如用戶名及口令)簡單控制的。但對(duì)于用戶名及口令的保護(hù)方式，對(duì)有攻擊目的的人而言，根本就不是一種障礙。他們可以通過對(duì)網(wǎng)絡(luò)上信息的監(jiān)聽或者通過猜測得到用戶名及口令，這對(duì)他們而言都不是難事，而且只需花費(fèi)很少的時(shí)間。因此(ync)，要采取一定的訪問控制手段，防范來自非法用戶的攻擊，保證只有合法用戶才能訪問合法資源。 共八十五頁合法用戶的非授權(quán)訪問是指合法用戶在沒有得到許可的情況下訪問了他本不該訪問的資源。一般來說，

8、每個(gè)成員的主機(jī)系統(tǒng)中，有一部分信息是可以對(duì)外開放的，而有些信息是要求保密或具有一定的隱私性的。外部(wib)用戶被允許訪問一定的信息，但他們同時(shí)有可能通過一些手段越權(quán)訪問別人不允許他訪問的信息，從而會(huì)造成他人的信息泄密， 因此必須加密訪問控制的機(jī)制，對(duì)服務(wù)及訪問權(quán)限進(jìn)行嚴(yán)格控制。共八十五頁3. 加密需求與CA系統(tǒng)構(gòu)建加密傳輸是網(wǎng)絡(luò)安全的重要手段之一。信息的泄漏很多都是在鏈路上被搭線竊取的，數(shù)據(jù)也可能因?yàn)樵阪溌飞媳唤孬@、被篡改后傳輸給對(duì)方，造成(zo chn)數(shù)據(jù)的真實(shí)性、完整性得不到保證。如果利用加密設(shè)備對(duì)傳輸數(shù)據(jù)進(jìn)行加密，使得在網(wǎng)上的數(shù)據(jù)以密文傳輸(因?yàn)閿?shù)據(jù)是密文)，那么即使在傳輸過程中被截

9、獲，入侵者也讀不懂，而且加密還能通過先進(jìn)的技術(shù)手段對(duì)數(shù)據(jù)傳輸過程中的完整性、真實(shí)性進(jìn)行鑒別，從而保證數(shù)據(jù)的保密性、完整性及可靠性。因此，必須配備加密設(shè)備對(duì)數(shù)據(jù)進(jìn)行傳輸加密。共八十五頁網(wǎng)絡(luò)系統(tǒng)采用加密措施，而加密系統(tǒng)通常(tngchng)都通過加密密鑰來實(shí)現(xiàn)，但密鑰的分發(fā)及管理的可靠性卻存在安全問題。為解決此問題，提出了CA系統(tǒng)的構(gòu)建，即通過信任的第三方來確保通信雙方互相交換信息。共八十五頁4. 入侵檢測系統(tǒng)需求防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的措施之一。防火墻可以對(duì)所有的訪問進(jìn)行嚴(yán)格控制(允許、禁止、報(bào)警)，但防火墻不可能完全防止有些新的攻擊或那些不經(jīng)過防火墻的其他攻擊。所以，為確保

10、網(wǎng)絡(luò)更加安全，必須(bx)配備入侵檢測系統(tǒng)，對(duì)透過防火墻的攻擊進(jìn)行檢測，并做相應(yīng)的反應(yīng)(記錄、報(bào)警、阻斷)。共八十五頁5. 安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)需求網(wǎng)絡(luò)系統(tǒng)和操作系統(tǒng)存在安全漏洞(如安全配置不嚴(yán)密等)等是使黑客等入侵者的攻擊屢屢得手的重要因素。入侵者通常都是通過一些程序來探測網(wǎng)絡(luò)中系統(tǒng)存在的一些安全漏洞，然后通過發(fā)現(xiàn)的安全漏洞，采取相應(yīng)的技術(shù)(jsh)進(jìn)行攻擊，因此，必需配備網(wǎng)絡(luò)安全掃描系統(tǒng)和系統(tǒng)安全掃描系統(tǒng)來檢測網(wǎng)絡(luò)中存在的安全漏洞，并采取相應(yīng)的措施填補(bǔ)系統(tǒng)漏洞，對(duì)網(wǎng)絡(luò)設(shè)備等存在的不安全配置重新進(jìn)行安全配置。共八十五頁6. 防病毒系統(tǒng)需求病毒的危害性極大并且(bngqi)傳播極為迅速，必須配備從

11、單機(jī)到服務(wù)器的整套防病毒軟件，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)。必須配備從服務(wù)器到單機(jī)的整套防病毒軟件，防止病毒入侵主機(jī)并擴(kuò)散到全網(wǎng)，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)，以確保整個(gè)單位的業(yè)務(wù)數(shù)據(jù)不受到病毒的破壞，日常工作不受病毒的侵?jǐn)_。由于新病毒的出現(xiàn)比較快，因此要求防病毒系統(tǒng)的病毒代碼庫的更新周期必須比較短。共八十五頁7. 漏洞掃描需求在網(wǎng)絡(luò)建設(shè)中必須部署漏洞掃描系統(tǒng)，它能主動(dòng)檢測本地主機(jī)系統(tǒng)存在安全性弱點(diǎn)的程序，采用模仿黑客入侵的手法對(duì)目標(biāo)網(wǎng)絡(luò)中的工作站、服務(wù)器、數(shù)據(jù)庫等各種系統(tǒng)以及路由器、交換機(jī)、防火墻等網(wǎng)絡(luò)設(shè)備可能存在的安全漏洞進(jìn)行逐項(xiàng)檢查(jinch)，測試該系統(tǒng)上有沒有安全漏洞存在，然后就將掃描結(jié)果向系

12、統(tǒng)管理員提供周密、可靠的安全性分析報(bào)告，從而讓管理人員從掃描出來的安全漏洞報(bào)告中了解網(wǎng)絡(luò)中服務(wù)器提供的各種服務(wù)及這些服務(wù)呈現(xiàn)在網(wǎng)絡(luò)上的安全漏洞，在系統(tǒng)安全防護(hù)中做到有的放矢，及時(shí)修補(bǔ)漏洞，從根本上解決網(wǎng)絡(luò)安全問題，有效地阻止入侵事件的發(fā)生。共八十五頁8. 電磁泄漏防護(hù)需求計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)在工作時(shí)會(huì)產(chǎn)生電磁輻射，信息以電信號(hào)方式傳輸時(shí)也會(huì)產(chǎn)生電磁輻射，造成電磁泄漏。對(duì)重要的保密計(jì)算機(jī)，應(yīng)使用屏蔽(pngb)技術(shù)、電磁干擾技術(shù)和傳輸加密技術(shù)，避免因電磁泄漏而引起的信息泄密。共八十五頁解決(jiju)網(wǎng)絡(luò)信息安全問題的主要途徑是利用密碼技術(shù)和網(wǎng)絡(luò)訪問控制技術(shù)。密碼技術(shù)用于隱蔽傳輸信息、認(rèn)證用戶身

13、份等。網(wǎng)絡(luò)訪問控制技術(shù)用于對(duì)系統(tǒng)進(jìn)行安全保護(hù)，抵抗各種外來攻擊。目前，在市場上比較流行，而又能夠代表未來發(fā)展方向的安全產(chǎn)品大致有以下幾類。15.3 網(wǎng)絡(luò)安全產(chǎn)品(chnpn)共八十五頁1. 防火墻防火墻在某種意義上可以說是一種訪問控制產(chǎn)品。它在內(nèi)部網(wǎng)絡(luò)與不安全(nqun)的外部網(wǎng)絡(luò)之間設(shè)置障礙，阻止外界對(duì)內(nèi)部資源的非法訪問，防止內(nèi)部對(duì)外部的不安全(nqun)訪問。 防火墻的主要技術(shù)有包過濾技術(shù)、應(yīng)用網(wǎng)關(guān)技術(shù)和代理服務(wù)技術(shù)。防火墻能夠較為有效地防止黑客利用不安全(nqun)的服務(wù)對(duì)內(nèi)部網(wǎng)絡(luò)進(jìn)行的攻擊，并且能夠?qū)崿F(xiàn)數(shù)據(jù)流的監(jiān)控、過濾、記錄和報(bào)告功能，較好地隔斷內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的連接。但它本身可能

14、存在安全(nqun)問題，也可能會(huì)是一個(gè)潛在的瓶頸。共八十五頁2. 安全路由器由于WAN連接需要專用(zhunyng)的路由器設(shè)備，因而可通過路由器來控制網(wǎng)絡(luò)傳輸。通常采用訪問控制列表技術(shù)來控制網(wǎng)絡(luò)信息流。共八十五頁3. 虛擬專用網(wǎng)(VPN)虛擬專用網(wǎng)(VPN)是在公共數(shù)據(jù)網(wǎng)絡(luò)上通過采用(ciyng)數(shù)據(jù)加密技術(shù)和訪問控制技術(shù)來實(shí)現(xiàn)兩個(gè)或多個(gè)可信內(nèi)部網(wǎng)之間的互連。VPN的構(gòu)架通常都要求采用(ciyng)具有加密功能的路由器或防火墻，以實(shí)現(xiàn)數(shù)據(jù)在公共信道上的可信傳遞。共八十五頁4. 安全服務(wù)器安全服務(wù)器主要針對(duì)一個(gè)局域網(wǎng)內(nèi)部信息存儲(chǔ)、傳輸?shù)陌踩Ｃ軉栴}，其實(shí)現(xiàn)功能包括對(duì)局域網(wǎng)資源的管理和控制，對(duì)

15、局域網(wǎng)內(nèi)用戶的管理，以及對(duì)局域網(wǎng)中所有安全相關(guān)事件(shjin)的審計(jì)和跟蹤。共八十五頁5. 電子簽證機(jī)構(gòu)CA和PKI產(chǎn)品電子簽證機(jī)構(gòu)(CA)作為通信的第三方，為各種服務(wù)提供可信任的認(rèn)證服務(wù)。CA可向用戶發(fā)行電子證書，為用戶提供成員身份驗(yàn)證和密鑰管理等功能。PKI產(chǎn)品可以提供更多的功能和更好的服務(wù)，可作為所有應(yīng)用(yngyng)的計(jì)算基礎(chǔ)結(jié)構(gòu)的核心部件。共八十五頁6. 用戶認(rèn)證產(chǎn)品由于IC卡技術(shù)的日益(ry)成熟和完善，IC卡被更為廣泛地用于用戶認(rèn)證產(chǎn)品中，用來存儲(chǔ)用戶的個(gè)人私鑰，并與其他技術(shù)(如動(dòng)態(tài)口令)相結(jié)合，對(duì)用戶身份進(jìn)行有效的識(shí)別。同時(shí)，還可將IC卡上的個(gè)人私鑰與數(shù)字簽名技術(shù)相結(jié)合，實(shí)

16、現(xiàn)數(shù)字簽名機(jī)制。隨著模式識(shí)別技術(shù)的發(fā)展，諸如指紋、視網(wǎng)膜、臉部特征等高級(jí)的身份識(shí)別技術(shù)也會(huì)投入應(yīng)用，并與數(shù)字簽名等現(xiàn)有技術(shù)結(jié)合，使得對(duì)于用戶身份的認(rèn)證和識(shí)別功能更趨完善。共八十五頁7. 安全(nqun)管理中心由于網(wǎng)上的安全產(chǎn)品較多，且分布在不同的位置，這就需要建立一套集中管理的機(jī)制和設(shè)備，即安全管理中心。它用來給各網(wǎng)絡(luò)安全設(shè)備分發(fā)密鑰，監(jiān)控網(wǎng)絡(luò)安全設(shè)備的運(yùn)行狀態(tài)，負(fù)責(zé)收集網(wǎng)絡(luò)安全設(shè)備的審計(jì)信息等。共八十五頁8. 入侵檢測系統(tǒng)(IDS)入侵檢測作為傳統(tǒng)保護(hù)機(jī)制(比如訪問控制、身份識(shí)別等)的有效補(bǔ)充，形成了信息系統(tǒng)中不可或缺的反饋鏈。9. 安全數(shù)據(jù)庫由于大量的信息存儲(chǔ)在計(jì)算機(jī)數(shù)據(jù)庫內(nèi)，有些信息是

17、有價(jià)值的，也是敏感的，需要(xyo)保護(hù)，安全數(shù)據(jù)庫可以確保數(shù)據(jù)庫的完整性、可靠性、有效性、機(jī)密性、可審計(jì)性及存取控制與用戶身份識(shí)別等。共八十五頁10. 安全操作系統(tǒng)給系統(tǒng)中的關(guān)鍵服務(wù)器提供安全運(yùn)行平臺(tái)，構(gòu)成安全WWW服務(wù)、安全FTP服務(wù)、安全SMTP服務(wù)等，并作為各類網(wǎng)絡(luò)安全產(chǎn)品的堅(jiān)實(shí)(jinsh)底座，確保這些安全產(chǎn)品的自身安全。在上述所有主要的發(fā)展方向和產(chǎn)品種類中，都包含了密碼技術(shù)的應(yīng)用，并且是非?；A(chǔ)性的應(yīng)用。很多的安全功能和機(jī)制的實(shí)現(xiàn)都建立在密碼技術(shù)的基礎(chǔ)之上，甚至可以說沒有密碼技術(shù)就沒有安全可言。共八十五頁但是，我們也應(yīng)該(ynggi)看到密碼技術(shù)與通信技術(shù)、計(jì)算機(jī)技術(shù)以及芯片技術(shù)

18、的融合正日益緊密，其產(chǎn)品的分界線越來越模糊，彼此也越來越不能分割。在一個(gè)計(jì)算機(jī)系統(tǒng)中，很難簡單地劃分某個(gè)設(shè)備是密碼設(shè)備，某個(gè)設(shè)備是通信設(shè)備。而這種融合的最終目的還是在于為用戶提供高可信任的、安全的計(jì)算機(jī)和網(wǎng)絡(luò)信息系統(tǒng)。共八十五頁網(wǎng)絡(luò)安全問題的解決是一個(gè)(y )綜合性問題，涉及諸多因素，包括技術(shù)、產(chǎn)品和管理等。國際上已有眾多的網(wǎng)絡(luò)安全解決方案和產(chǎn)品，但由于出口政策和自主性等問題，目前還不能直接用于解決我國自己的網(wǎng)絡(luò)安全問題，因此我國的網(wǎng)絡(luò)安全問題只能借鑒這些先進(jìn)技術(shù)和產(chǎn)品自行解決?？尚业氖?，目前國內(nèi)已有一些網(wǎng)絡(luò)安全問題解決方案和產(chǎn)品。不過，這些解決方案和產(chǎn)品與國外同類產(chǎn)品相比尚有一定的差距。共八

19、十五頁安全解決方案的目標(biāo)是在不影響企業(yè)局域網(wǎng)當(dāng)前業(yè)務(wù)的前提下，實(shí)現(xiàn)對(duì)其局域網(wǎng)全面的安全管理(gunl)。將安全策略、硬件及軟件等方法結(jié)合起來，構(gòu)成一個(gè)統(tǒng)一的防御系統(tǒng)，可有效阻止非法用戶進(jìn)入網(wǎng)絡(luò)，減少網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。15.4 某大型(dxng)企業(yè)網(wǎng)絡(luò)安全解決方案實(shí)例共八十五頁創(chuàng)建一種安全方案意味著設(shè)計(jì)一種如何處理計(jì)算機(jī)安全問題的計(jì)劃，也就是盡力在黑客征服系統(tǒng)以前保護(hù)系統(tǒng)。 通常，設(shè)計(jì)一套安全方案涉及以下步驟: (1) 網(wǎng)絡(luò)安全需求分析(fnx)。確切了解網(wǎng)絡(luò)信息系統(tǒng)需要解決哪些安全問題是建立合理安全需求的基礎(chǔ)。(2) 確立合理的安全策略。(3) 制訂可行的技術(shù)方案 ，包括工程實(shí)施方案(產(chǎn)品的選

20、購與訂制)、制訂管理辦法等。共八十五頁15.4.1 威脅分析威脅就是將會(huì)對(duì)資產(chǎn)造成不利影響的潛在的事件或行為，包括自然的、故意的以及偶然的情況?？梢哉f威脅是不可避免的，我們必須采取有效的措施，以降低各種情況造成的威脅。1. 邊界網(wǎng)絡(luò)設(shè)備安全威脅邊界網(wǎng)絡(luò)設(shè)備面臨(minlng)的威脅主要有以下兩點(diǎn): (1) 入侵者通過控制邊界網(wǎng)絡(luò)設(shè)備進(jìn)一步了解網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，利用網(wǎng)絡(luò)滲透搜集信息，為擴(kuò)大網(wǎng)絡(luò)入侵范圍奠定基礎(chǔ)。比如，入侵者可以利用這些網(wǎng)絡(luò)設(shè)備的系統(tǒng)(Cisco的IOS)漏洞或者配置漏洞，實(shí)現(xiàn)對(duì)其控制。共八十五頁(2) 通過各種手段對(duì)網(wǎng)絡(luò)設(shè)備實(shí)施拒絕服務(wù)攻擊，使網(wǎng)絡(luò)設(shè)備癱瘓，從而造成網(wǎng)絡(luò)通信的癱瘓。2

21、. 信息基礎(chǔ)安全平臺(tái)威脅(wixi)信息基礎(chǔ)平臺(tái)主要是指支撐各種應(yīng)用與業(yè)務(wù)運(yùn)行的各種操作系統(tǒng)。操作系統(tǒng)主要有Windows系列與UNIX系統(tǒng)。相對(duì)邊界網(wǎng)絡(luò)設(shè)備來說，熟知操作系統(tǒng)的人員的范圍要廣得多，而且在網(wǎng)絡(luò)上，很容易就能找到許多針對(duì)各種操作系統(tǒng)的漏洞的詳細(xì)描述，所以，針對(duì)操作系統(tǒng)和數(shù)據(jù)庫的入侵攻擊在網(wǎng)絡(luò)中也是最常見的。共八十五頁不管是什么操作系統(tǒng)(xtng)，只要它運(yùn)行于網(wǎng)絡(luò)上，就必然會(huì)有或多或少的端口服務(wù)暴露在網(wǎng)絡(luò)上，而這些端口服務(wù)又恰恰可能存在致命的安全漏洞，這無疑會(huì)給該系統(tǒng)(xtng)帶來嚴(yán)重的安全威脅，從而也給系統(tǒng)(xtng)所在的網(wǎng)絡(luò)帶來很大的安全威脅。共八十五頁3. 內(nèi)部網(wǎng)絡(luò)的失

22、誤操作行為由于人員的技術(shù)水平的局限性以及經(jīng)驗(yàn)的不足，可能會(huì)出現(xiàn)各種意想不到的操作失誤，勢(shì)必會(huì)對(duì)系統(tǒng)或者網(wǎng)絡(luò)的安全產(chǎn)生較大(jio d)的影響。4. 源自內(nèi)部網(wǎng)絡(luò)的惡意攻擊與破壞據(jù)統(tǒng)計(jì)，有70%的網(wǎng)絡(luò)攻擊來自于網(wǎng)絡(luò)的內(nèi)部。對(duì)于網(wǎng)絡(luò)內(nèi)部的安全防范會(huì)明顯地弱于對(duì)于網(wǎng)絡(luò)外部的安全防范，而且由于內(nèi)部人員對(duì)于內(nèi)部網(wǎng)絡(luò)的熟悉程度一般是很高的，因此，由網(wǎng)絡(luò)內(nèi)部發(fā)起的攻擊也就必然更容易成功， 一旦攻擊成功，其強(qiáng)烈的攻擊目的也就必然促成了更為隱蔽和嚴(yán)重的網(wǎng)絡(luò)破壞。共八十五頁5. 網(wǎng)絡(luò)病毒威脅在網(wǎng)絡(luò)環(huán)境下，網(wǎng)絡(luò)病毒除了具有可傳播(chunb)性、可執(zhí)行性、破壞性、可觸發(fā)性等計(jì)算機(jī)病毒的共性外，還具有一些新的特點(diǎn)，網(wǎng)

23、絡(luò)病毒的這些新的特點(diǎn)都會(huì)對(duì)網(wǎng)絡(luò)與應(yīng)用造成極大的威脅。共八十五頁15.4.2 制訂策略根據(jù)網(wǎng)絡(luò)系統(tǒng)的實(shí)際安全需求，結(jié)合網(wǎng)絡(luò)安全體系模型，建議采用如下網(wǎng)絡(luò)安全防護(hù)措施。1. 訪問控制建議在網(wǎng)絡(luò)的各個(gè)入口處部署防火墻，對(duì)進(jìn)入企業(yè)網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)用戶進(jìn)行訪問控制，主要實(shí)現(xiàn)如下防護(hù)功能: (1) 對(duì)網(wǎng)絡(luò)用戶進(jìn)行身份驗(yàn)證，保證網(wǎng)絡(luò)用戶的合法性; (2) 能夠屏蔽流行(lixng)的攻擊手段; (3) 對(duì)遠(yuǎn)程訪問的用戶提供通信線路的加密連接; (4) 能提供完整的日志和審計(jì)功能。共八十五頁2. VPN防火墻系統(tǒng)防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出

24、入口，能根據(jù)網(wǎng)絡(luò)的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流。防火墻可以(ky)確定哪些內(nèi)部服務(wù)允許外部訪問，哪些外人被許可訪問所允許的內(nèi)部服務(wù)，哪些外部服務(wù)可由內(nèi)部人員訪問。并且防火墻本身具有較強(qiáng)的抗攻擊能力，它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。共八十五頁同時(shí)網(wǎng)絡(luò)通信要對(duì)用戶(yngh)“透明”，部署帶VPN功能的防火墻，可以同時(shí)實(shí)現(xiàn) “虛擬”和“專用”的安全特性，充分利用已有公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施的高效性。VPN實(shí)現(xiàn)的協(xié)議有IPSec、 L2F、L2TP、PPTP、MPPE、SSL等。其中互聯(lián)網(wǎng)絡(luò)層的安全標(biāo)準(zhǔn)是IPSec，事實(shí)證明，基于IPSec技術(shù)構(gòu)建的VPN是應(yīng)用最廣、

25、安全特性最完備的實(shí)現(xiàn)形式。共八十五頁3. 入侵檢測系統(tǒng)在傳統(tǒng)的網(wǎng)絡(luò)安全概念里，似乎配置了防火墻就標(biāo)志著網(wǎng)絡(luò)的安全，其實(shí)不然，防火墻僅僅是部署在網(wǎng)絡(luò)邊界的安全設(shè)備，它的作用是防止(fngzh)外部的非法入侵，僅僅相當(dāng)于計(jì)算機(jī)網(wǎng)絡(luò)的第一道防線。雖然通過防火墻可以隔離大部分的外部攻擊，但是仍然會(huì)有小部分攻擊通過正常的訪問的漏洞滲透到內(nèi)部網(wǎng)絡(luò)。另外，據(jù)統(tǒng)計(jì)，有70以上的攻擊事件來自內(nèi)部網(wǎng)絡(luò)，也就是說內(nèi)部人員作案，而這恰恰是防火墻的盲區(qū)。入侵檢測系統(tǒng)(IDS)可以彌補(bǔ)防火墻的不足，為網(wǎng)絡(luò)安全提供實(shí)時(shí)的入侵檢測及采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤、恢復(fù)、斷開網(wǎng)絡(luò)連接等。共八十五頁入侵檢測系統(tǒng)是實(shí)時(shí)的網(wǎng)

26、絡(luò)違規(guī)自動(dòng)識(shí)別和響應(yīng)系統(tǒng)。它運(yùn)行于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上，通過實(shí)時(shí)監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)流，識(shí)別、記錄入侵和破壞性代碼流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試時(shí)，入侵檢測系統(tǒng)能夠根據(jù)系統(tǒng)安全策略作出反應(yīng)。該系統(tǒng)可安裝于防火墻前后，可以對(duì)攻擊防火墻本身的數(shù)據(jù)流進(jìn)行(jnxng)響應(yīng)，同時(shí)可以對(duì)穿透防火墻的數(shù)據(jù)流進(jìn)行(jnxng)響應(yīng)。共八十五頁在被保護(hù)的局域網(wǎng)中，入侵檢測設(shè)備應(yīng)安裝于易受到攻擊的服務(wù)器或防火墻附近。這些保護(hù)措施主要是為了監(jiān)控經(jīng)過出口及對(duì)重點(diǎn)服務(wù)器進(jìn)行訪問的數(shù)據(jù)流。入侵檢測報(bào)警(bo jng)日志的功能是對(duì)所有對(duì)網(wǎng)絡(luò)系統(tǒng)有可能造成危害的數(shù)據(jù)流進(jìn)

27、行報(bào)警(bo jng)及響應(yīng)。由于網(wǎng)絡(luò)攻擊大多來自于網(wǎng)絡(luò)的出口位置，因此入侵檢測在此處將承擔(dān)實(shí)時(shí)監(jiān)測大量出入整個(gè)網(wǎng)絡(luò)的具有破壞性的數(shù)據(jù)流的任務(wù)。這些數(shù)據(jù)流引起的報(bào)警(bo jng)日志，可作為系統(tǒng)受到網(wǎng)絡(luò)攻擊的主要證據(jù)。入侵檢測、防火墻和漏洞掃描聯(lián)動(dòng)體系示意圖如圖15-4-1所示。共八十五頁圖 15-4-1 入侵檢測、防火墻和漏洞掃描聯(lián)動(dòng)體系示意圖共八十五頁4. 漏洞掃描系統(tǒng)網(wǎng)絡(luò)的應(yīng)用越來越廣泛，而網(wǎng)絡(luò)不可避免的安全問題也就越來越突出，如今，每天都有數(shù)十種有關(guān)(yugun)操作系統(tǒng)、網(wǎng)絡(luò)軟件、應(yīng)用軟件的安全漏洞被公布，利用這些漏洞可以很容易地破壞乃至完全地控制系統(tǒng);另外，由于管理員的疏忽或者技

28、術(shù)水平的限制所造成的配置漏洞也是廣泛存在的，這對(duì)于系統(tǒng)的威脅同樣很嚴(yán)重。共八十五頁動(dòng)態(tài)安全(nqun)的概念是幫助管理員主動(dòng)發(fā)現(xiàn)問題。最有效的方法是定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全(nqun)性分析，及時(shí)發(fā)現(xiàn)并修正存在的弱點(diǎn)和漏洞，保證系統(tǒng)的安全(nqun)性。因此企業(yè)網(wǎng)絡(luò)系統(tǒng)需要一套幫助管理員監(jiān)控網(wǎng)絡(luò)通信數(shù)據(jù)流、發(fā)現(xiàn)網(wǎng)絡(luò)漏洞并解決問題的工具，以保證整體網(wǎng)絡(luò)系統(tǒng)平臺(tái)安全(nqun)。共八十五頁在企業(yè)網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)漏洞掃描系統(tǒng)配置中，我們建議采用啟明星辰公司的“天鏡”網(wǎng)絡(luò)漏洞掃描系統(tǒng)。天鏡網(wǎng)絡(luò)漏洞掃描系統(tǒng)包括了網(wǎng)絡(luò)模擬攻擊、漏洞檢測、報(bào)告服務(wù)進(jìn)程、提取對(duì)象信息、評(píng)測風(fēng)險(xiǎn)、提供安全建議和改進(jìn)措施等功能，幫助用

29、戶控制可能發(fā)生的安全事件，最大可能地消除安全隱患。該系統(tǒng)具有強(qiáng)大的漏洞檢測能力和檢測效率、 貼切用戶需求(xqi)的功能定義、靈活多樣的檢測方式、詳盡的漏洞修補(bǔ)方案和友好的報(bào)表系統(tǒng)以及方便的在線升級(jí)等優(yōu)點(diǎn)。共八十五頁通過在企業(yè)網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)進(jìn)行自動(dòng)的安全漏洞檢測和分析，我們可以做到以下幾點(diǎn): (1) 對(duì)企業(yè)網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)重要服務(wù)器和PC進(jìn)行漏洞掃描，發(fā)現(xiàn)由于安全管理配置不當(dāng)、疏忽或操作系統(tǒng)本身存在的漏洞(這些漏洞會(huì)使系統(tǒng)中的資料容易被網(wǎng)絡(luò)上懷有惡意的人竊取，甚至造成系統(tǒng)本身的崩潰)，生成詳細(xì)的可視化報(bào)告，同時(shí)向管理人員提出相應(yīng)(xingyng)的解決辦法及安全建議。(2) 對(duì)企業(yè)網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)邊界組

30、件、基礎(chǔ)組件和其他系統(tǒng)進(jìn)行漏洞掃描，檢查系統(tǒng)的潛在問題，發(fā)現(xiàn)操作系統(tǒng)存在的漏洞和安全隱患。共八十五頁(3) 漏洞掃描系統(tǒng)對(duì)網(wǎng)絡(luò)及各種( zhn)系統(tǒng)進(jìn)行定期或不定期的掃描監(jiān)測，并向安全管理員提供系統(tǒng)最新的漏洞報(bào)告，使管理員能夠隨時(shí)了解網(wǎng)絡(luò)系統(tǒng)當(dāng)前存在的漏洞并及時(shí)采取相應(yīng)的措施進(jìn)行修補(bǔ)。(4) 通過漏洞掃描的結(jié)果，對(duì)系統(tǒng)進(jìn)行加固和優(yōu)化。在核心交換機(jī)上接入一臺(tái)裝有漏洞掃描系統(tǒng)軟件的PC或筆記本電腦，直接輸入目標(biāo)主機(jī)的IP地址，對(duì)其系統(tǒng)的漏洞進(jìn)行掃描。共八十五頁5. 防病毒系統(tǒng)一般計(jì)算機(jī)的病毒有超過20%是通過網(wǎng)絡(luò)下載文檔時(shí)感染的，另外有26%是經(jīng)電子郵件的附加文檔感染的，這就需要一套方便、易用的病

31、毒掃描器，使企業(yè)的計(jì)算機(jī)環(huán)境免受病毒和其他惡意代碼的攻擊。建議采用三層防病毒部署體系來實(shí)現(xiàn)(shxin)對(duì)企業(yè)網(wǎng)絡(luò)的病毒防護(hù)。共八十五頁1) E-mail網(wǎng)關(guān)防病毒系統(tǒng)在企業(yè)網(wǎng)絡(luò)系統(tǒng)建成之后，網(wǎng)絡(luò)成了病毒傳播的主要途徑。如果在某網(wǎng)絡(luò)上有一個(gè)用戶不小心擴(kuò)散了一個(gè)被病毒感染的文檔，其結(jié)果將可能是毀滅性的。為了阻止這些“可疑的候選文件”，需要對(duì)電子郵件進(jìn)行嚴(yán)格的審查。事實(shí)上，嵌入Word文檔中的宏病毒通常通過網(wǎng)絡(luò)發(fā)送至未察覺的用戶。防病毒軟件需要對(duì)這一易受攻擊的區(qū)域進(jìn)行保護(hù)(boh)，對(duì)所有通過網(wǎng)關(guān)出入的電子郵件進(jìn)行掃描，一旦檢測到病毒，能夠自動(dòng)將該文件隔離并向系統(tǒng)管理員發(fā)出警告。它同時(shí)對(duì)內(nèi)容進(jìn)行過

32、濾(以阻止病毒欺騙)和創(chuàng)建歷史記錄(以跟蹤每個(gè)檢測到的病毒起源)。共八十五頁一般來說，基于郵件系統(tǒng)的病毒發(fā)作主要是從客戶端開始的，同時(shí)這種病毒感染的對(duì)象主要是基于Windows平臺(tái)的主機(jī)(zhj)和服務(wù)器，對(duì)其他平臺(tái)沒有感染能力，所以，我們主要是對(duì)郵件的內(nèi)容進(jìn)行病毒查殺。共八十五頁2) 服務(wù)器病毒系統(tǒng)如果服務(wù)器被感染，其感染文件將成為病毒感染的源頭，它們會(huì)迅速從桌面感染發(fā)展(fzhn)到整個(gè)網(wǎng)絡(luò)的病毒爆發(fā)。因此，基于服務(wù)器的病毒保護(hù)是XXX網(wǎng)絡(luò)系統(tǒng)的重點(diǎn)之一。所以，建議對(duì)在各個(gè)局域網(wǎng)的交換區(qū)與局域網(wǎng)內(nèi)部網(wǎng)段上的服務(wù)器進(jìn)行特別的保護(hù)，將病毒掃描技術(shù)和服務(wù)器的管理能力結(jié)合在一起(用于Novell

33、NetWare、Microsoft NT和UNIX服務(wù)器)，對(duì)服務(wù)器接收和發(fā)送的被病毒感染的文件以及已經(jīng)存在于其他服務(wù)器的病毒進(jìn)行檢測。一旦檢測到病毒，立刻將該感染文件隔離或刪除。共八十五頁3) 客戶端防病毒系統(tǒng)(xtng)在XXX網(wǎng)絡(luò)系統(tǒng)(xtng)中有大量的個(gè)人用戶，桌面系統(tǒng)(xtng)和遠(yuǎn)程PC是主要的病毒感染源。根據(jù)統(tǒng)計(jì)，50%以上的病毒是通過軟盤進(jìn)入系統(tǒng)(xtng)的，因此對(duì)桌面系統(tǒng)(xtng)的病毒應(yīng)嚴(yán)加防范。為了確保檢測和清除經(jīng)訪問入口所進(jìn)入的普通和新發(fā)現(xiàn)的病毒，桌面系統(tǒng)(xtng)都需要安裝防病毒軟件。另外，這種防病毒軟件要能夠?qū)㈦[藏于電子郵件附件中的病毒在對(duì)其他用戶造成感染之

34、前清除。共八十五頁當(dāng)發(fā)現(xiàn)(fxin)病毒已進(jìn)入時(shí)，正是采取病毒響應(yīng)計(jì)劃的時(shí)候。病毒響應(yīng)計(jì)劃的主要目的是利用每種可能的方法來徹底清除所有的病毒。如果有足夠的備份，不會(huì)丟失太多數(shù)據(jù)，就應(yīng)考慮徹底刪掉感染系統(tǒng)中的所有數(shù)據(jù)，再重新配置。下一步就需要分析病毒是如何進(jìn)來的以及要干些什么，這項(xiàng)工作和刪除病毒一樣重要，因?yàn)樵谒斜桓腥镜南到y(tǒng)中，有90%的系統(tǒng)會(huì)在三個(gè)月內(nèi)以同樣或相似的方式再次被感染。共八十五頁15.4.3 應(yīng)用部署方案通過對(duì)網(wǎng)絡(luò)整體進(jìn)行系統(tǒng)分析，并考慮目前(mqin)網(wǎng)上運(yùn)行的業(yè)務(wù)需求，本方案對(duì)原有網(wǎng)絡(luò)系統(tǒng)進(jìn)行全面的安全加強(qiáng)，主要實(shí)現(xiàn)以下目的:(1) 保障現(xiàn)有的關(guān)鍵應(yīng)用長期、可靠地運(yùn)行，避免病

35、毒和黑客的攻擊。(2) 防止內(nèi)、外部人員的非法訪問，特別是要對(duì)內(nèi)部人員的非法訪問進(jìn)行控制。(3) 確保網(wǎng)絡(luò)平臺(tái)上數(shù)據(jù)交換的安全性，杜絕內(nèi)、外部黑客的攻擊。共八十五頁(4) 方便內(nèi)部(nib)授權(quán)人員(如公司領(lǐng)導(dǎo)、出差員工等)從互聯(lián)網(wǎng)上遠(yuǎn)程方便、安全地訪問內(nèi)部(nib)網(wǎng)絡(luò)，實(shí)現(xiàn)信息的最大可用性。(5) 能對(duì)網(wǎng)絡(luò)的異常行為進(jìn)行監(jiān)控，并做出回應(yīng)，建立動(dòng)態(tài)防護(hù)體系。為了實(shí)現(xiàn)上述目的，我們采用了主動(dòng)防御體系和被動(dòng)防御體系相結(jié)合的全面網(wǎng)絡(luò)安全解決方案，如圖15-4-2所示。共八十五頁圖 15-4-2 某大型企業(yè)網(wǎng)絡(luò)防御布置示意圖共八十五頁該防御體系由漏洞掃描與入侵檢測聯(lián)動(dòng)系統(tǒng)、入侵檢測與防火墻的聯(lián)動(dòng)系統(tǒng)

36、及防病毒系統(tǒng)組成。用戶主動(dòng)防范攻擊行為，尤其是防范從單位內(nèi)部發(fā)起的攻擊。對(duì)在企業(yè)內(nèi)網(wǎng)發(fā)起的攻擊和攻破了防火墻的黑客攻擊行為，可以依靠入侵檢測系統(tǒng)阻斷和發(fā)現(xiàn)攻擊的行為，同時(shí)通過(tnggu)與防火墻的互動(dòng)，自動(dòng)修改策略設(shè)置上的漏洞，阻擋攻擊的繼續(xù)進(jìn)入。本方案在交換機(jī)上連入入侵檢測系統(tǒng)，并將其與交換機(jī)相連的端口設(shè)置為鏡像端口，由IDS傳感器對(duì)防火墻的內(nèi)口、關(guān)鍵服務(wù)器進(jìn)行監(jiān)聽，并進(jìn)行分析、報(bào)警和響應(yīng); 在入侵檢測的控制臺(tái)上觀察檢測結(jié)果，并形成報(bào)表打印輸出。共八十五頁在實(shí)現(xiàn)防火墻和入侵檢測(jin c)系統(tǒng)的聯(lián)動(dòng)后，防火墻“訪問控制策略”會(huì)動(dòng)態(tài)地添加阻斷的策略?！奥┒磼呙柘到y(tǒng)”是一種網(wǎng)絡(luò)維護(hù)人員使用的

37、安全分析工具，主動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中的漏洞，修改防火墻和入侵檢測(jin c)系統(tǒng)中不適當(dāng)?shù)脑O(shè)置，防患于未然。同時(shí)，防火墻主要起到對(duì)外防止黑客入侵，對(duì)內(nèi)進(jìn)行訪問控制和授權(quán)員工從外網(wǎng)安全接入的作用，在這里主要發(fā)揮防火墻和VPN的雙重作用。共八十五頁(1) 保障局域網(wǎng)不受來自外網(wǎng)的黑客攻擊，主要擔(dān)當(dāng)防火墻功能。(2) 能夠根據(jù)需要，讓外網(wǎng)向Internet的訪問提供服務(wù)，如Web、E-mail、DNS等服務(wù)。(3) 對(duì)外網(wǎng)用戶訪問(Internet)提供靈活的訪問控制功能，如可以控制任何一個(gè)內(nèi)部員工能否上網(wǎng)，能訪問哪些網(wǎng)站，能不能收發(fā)E-mail、ftp等，能夠在什么時(shí)間(shjin)上網(wǎng)等。簡而言之

38、，對(duì)外網(wǎng)用戶能夠基于“六元組”(即源地址、目的地址、源端口號(hào)、目的端口號(hào)、協(xié)議、時(shí)間(shjin)進(jìn)行靈活的訪問控制。共八十五頁(4) 下屬單位能夠(nnggu)通過防火墻與安全客戶端軟件之間的安全互聯(lián)，建立通過Internet相連的“虛擬專用網(wǎng)”，解決在網(wǎng)上傳輸?shù)膬?nèi)部信息安全問題，方便管理，并極大地降低了成本。共八十五頁企業(yè)根據(jù)自身的需要，網(wǎng)絡(luò)防病毒系統(tǒng)應(yīng)選用賽門鐵克、趨勢(shì)科技、瑞星等知名品牌系統(tǒng)。整個(gè)系統(tǒng)的實(shí)施過程應(yīng)保持流暢(lichng)和平穩(wěn)，做到盡量不影響既有網(wǎng)絡(luò)系統(tǒng)的正常工作; 安裝在原有應(yīng)用系統(tǒng)上的防毒產(chǎn)品必須保證其穩(wěn)定性，不影響其他應(yīng)用的功能; 在安裝過程中應(yīng)盡量減少關(guān)閉和重啟

39、整個(gè)系統(tǒng); 防病毒系統(tǒng)的管理層次與結(jié)構(gòu)應(yīng)盡量符合機(jī)關(guān)自身的管理結(jié)構(gòu); 防病毒系統(tǒng)的升級(jí)和部署功能應(yīng)做到完全自動(dòng)化，整個(gè)系統(tǒng)應(yīng)具有每日更新的能力; 應(yīng)做到能夠?qū)φ麄€(gè)系統(tǒng)進(jìn)行集中的管理和監(jiān)控，并能集中生成日志報(bào)告與統(tǒng)計(jì)信息。共八十五頁15.5.1 電子政務(wù)平臺(tái)政務(wù)平臺(tái)是一個(gè)高質(zhì)量、高效率、智能化的辦公系統(tǒng)，該平臺(tái)以數(shù)據(jù)庫為基礎(chǔ)，利用了文件傳輸、電子郵件、短消息等現(xiàn)代數(shù)字通信與Internet技術(shù)。隨著網(wǎng)絡(luò)的發(fā)展與普及，政府行業(yè)(hngy)單位也由局域網(wǎng)擴(kuò)充到廣域網(wǎng)?；ヂ?lián)網(wǎng)的開放性會(huì)使政府網(wǎng)絡(luò)受到來自外部互聯(lián)網(wǎng)的安全威脅、內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)互聯(lián)的安全威脅和內(nèi)部網(wǎng)絡(luò)的安全威脅。15.5 電子政務(wù)安全(

40、nqun)平臺(tái)實(shí)施方案共八十五頁國家保密局于2000 年1月 1日起頒布實(shí)施的計(jì)算機(jī)信息系統(tǒng)國際互聯(lián)網(wǎng)保密管理(gunl)規(guī)定，對(duì)國家機(jī)要部門使用互聯(lián)網(wǎng)規(guī)定如下: 涉及國家秘密的計(jì)算機(jī)信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相連接，必須實(shí)行物理隔離。2001年12月，國家公安部發(fā)布的端設(shè)備隔離部件安全技術(shù)要求中對(duì)物理隔離做了明確的定義: 公共網(wǎng)絡(luò)和專網(wǎng)在網(wǎng)絡(luò)物理連線上是完全隔離的，且沒有任何公用的存儲(chǔ)信息。共八十五頁2002年7月，國家信息化領(lǐng)導(dǎo)小組頒布的國家信息化領(lǐng)導(dǎo)小組關(guān)于我國電子政務(wù)建設(shè)指導(dǎo)意見中規(guī)定(gudng): 電子政務(wù)網(wǎng)絡(luò)由政務(wù)內(nèi)網(wǎng)和政務(wù)外網(wǎng)構(gòu)成，兩網(wǎng)之間物理隔離

41、，政務(wù)外網(wǎng)與互聯(lián)網(wǎng)之間邏輯隔離。此外，國家保密局在保密知識(shí)培訓(xùn)中也多次指出，網(wǎng)絡(luò)之間只有在線路、設(shè)備和存儲(chǔ)3個(gè)方面均實(shí)現(xiàn)了獨(dú)立，才滿足物理隔離的要求。共八十五頁15.5.2 物理隔離物理隔離產(chǎn)品是用來解決網(wǎng)絡(luò)安全問題的。尤其是在那些需要絕對(duì)保證安全的保密網(wǎng)、專網(wǎng)和特種網(wǎng)絡(luò)與互聯(lián)網(wǎng)進(jìn)行連接時(shí)，為了防止來自(li z)互聯(lián)網(wǎng)的攻擊和保證這些高安全性網(wǎng)絡(luò)的保密性、安全性、完整性、防抵賴和高可用性，幾乎全部要求采用物理隔離技術(shù)。共八十五頁學(xué)術(shù)界一般認(rèn)為，最早提出物理隔離技術(shù)的應(yīng)該是以色列和美國的軍方，但是到目前為止，并沒有完整的關(guān)于物理隔離技術(shù)的定義和標(biāo)準(zhǔn)。從不同(b tn)時(shí)期的用詞也可以看出，物理

42、隔離技術(shù)一直在演變和發(fā)展。較早的用詞為Physical Disconnection，直譯為物理斷開。這種情況是完全可以理解的，保密網(wǎng)與互聯(lián)網(wǎng)連接后，出現(xiàn)很多問題，在沒有解決安全問題或沒有解決問題的技術(shù)手段之前，先斷開再說。后來有Physical Separation，直譯為物理分開。后期發(fā)現(xiàn)完全斷開也不是辦法，互聯(lián)網(wǎng)總還是要用的，采取的策略多為該連的連，不該連的不連，這樣的該連的部分與不該連的部分要分開。共八十五頁事實(shí)上，沒有與互聯(lián)網(wǎng)相連的系統(tǒng)不多，互聯(lián)網(wǎng)的用途還是很大，因此，希望能將一部分高安全性的網(wǎng)絡(luò)隔離封閉(fngb)起來。后來多使用Physical Gap，直譯為物理隔離，意為通過制造

43、物理的豁口，來達(dá)到隔離的目的。現(xiàn)在，一般用Gap Technology來表示物理隔離，它已成為互聯(lián)網(wǎng)上的一個(gè)專用名詞。共八十五頁物理隔離技術(shù)不是要替代防火墻、入侵檢測、漏洞掃描(somio)和防病毒系統(tǒng)，相反，它是用戶“深度防御”的安全策略的另一塊基石。物理隔離技術(shù)是絕對(duì)要解決互聯(lián)網(wǎng)的安全問題，而不是什么其他的問題。物理隔離的指導(dǎo)思想與防火墻有很大的不同: 防火墻的思路是在保障互聯(lián)互通的前提下，盡可能安全，而物理隔離的思路是在保證必須安全的前提下，盡可能互聯(lián)互通。共八十五頁目前物理(wl)隔離的技術(shù)路線有3種: 網(wǎng)絡(luò)開關(guān)(Network Switcher)、實(shí)時(shí)交換(Real-timeSwit

44、ch)和單向連接(One Way Link)。網(wǎng)絡(luò)開關(guān)是在一個(gè)系統(tǒng)里安裝兩套虛擬系統(tǒng)和一個(gè)數(shù)據(jù)系統(tǒng)，數(shù)據(jù)被寫入到一個(gè)虛擬系統(tǒng)，然后交換到數(shù)據(jù)系統(tǒng)，再交換到另一個(gè)虛擬系統(tǒng)。實(shí)時(shí)交換相當(dāng)于在兩個(gè)系統(tǒng)之間共用一個(gè)交換設(shè)備，交換設(shè)備連接到網(wǎng)絡(luò)A，得到數(shù)據(jù)，然后交換到網(wǎng)絡(luò)B。共八十五頁單向連接早期指數(shù)據(jù)向一個(gè)方向移動(dòng)，一般指從高安全性的網(wǎng)絡(luò)向低安全性的網(wǎng)絡(luò)移動(dòng)。 物理(wl)隔離的一個(gè)特征就是內(nèi)網(wǎng)與外網(wǎng)永不連接，內(nèi)網(wǎng)和外網(wǎng)在同一時(shí)間最多只有一個(gè)同隔離設(shè)備建立非TCP/IP協(xié)議的數(shù)據(jù)連接。其數(shù)據(jù)傳輸機(jī)制是存儲(chǔ)和轉(zhuǎn)發(fā)。物理(wl)隔離的好處是明顯的，即使外網(wǎng)在最壞的情況下，內(nèi)網(wǎng)也不會(huì)有任何破壞。修復(fù)外網(wǎng)系統(tǒng)

45、也非常容易。共八十五頁15.5.3 電子政務(wù)平臺(tái)安全解決方案政務(wù)平臺(tái)的安全解決方案見圖15-5-1。 它主要包括防火墻系統(tǒng)、入侵檢測系統(tǒng)、漏洞(ludng)掃描系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、安全管理系統(tǒng)、物理隔離等設(shè)備。首先，將整個(gè)網(wǎng)絡(luò)系統(tǒng)分為兩部分: (1) 內(nèi)外系統(tǒng): 與政府專網(wǎng)相連，主要功能是內(nèi)部辦公，并且含有一些涉密文件。(2) 外網(wǎng)系統(tǒng): 與互聯(lián)網(wǎng)連接，主要功能是對(duì)外發(fā)布信息，由政府網(wǎng)站服務(wù)器組成。共八十五頁圖 15-5-1 政府機(jī)構(gòu)網(wǎng)絡(luò)系統(tǒng)方案圖共八十五頁安裝防火墻將外網(wǎng)系統(tǒng)與互聯(lián)網(wǎng)隔離，安裝物理(wl)隔離系統(tǒng)將內(nèi)網(wǎng)與外網(wǎng)系統(tǒng)隔離。本方案中的防火墻系統(tǒng)、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、網(wǎng)絡(luò)防

46、病毒系統(tǒng)、安全管理系統(tǒng)具體的作用可以參考15.4節(jié)的相關(guān)內(nèi)容。共八十五頁物理隔離可以采用一些(yxi)安全公司的知名產(chǎn)品。一般來說，隔離模塊采用專用的雙通道隔離交換卡實(shí)現(xiàn)，通過內(nèi)嵌的安全芯片完成內(nèi)、外網(wǎng)主機(jī)模塊間安全的數(shù)據(jù)交換。內(nèi)、外網(wǎng)主機(jī)模塊間不存在任何網(wǎng)絡(luò)連接，因此不存在基于網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)轉(zhuǎn)發(fā)。隔離交換模塊是內(nèi)、外網(wǎng)主機(jī)模塊間數(shù)據(jù)交換的唯一通道，本身沒有操作系統(tǒng)和應(yīng)用編程接口，所有的控制邏輯和傳輸邏輯固化在安全芯片中，自主實(shí)現(xiàn)內(nèi)、外網(wǎng)數(shù)據(jù)的交換和驗(yàn)證。在極端情況下，即使黑客攻破了外網(wǎng)主機(jī)模塊，但由于無從了解隔離交換模塊的工作機(jī)制，因此無法進(jìn)行滲透，內(nèi)網(wǎng)系統(tǒng)的安全仍然可以保障。共八十五頁由內(nèi)、外網(wǎng)主機(jī)模塊(m kui)分別負(fù)責(zé)接收來自所連接網(wǎng)絡(luò)的訪問請(qǐng)求，兩模塊(m kui)間沒有直接的物理連接，形成一個(gè)物理隔斷，從而保證了可信網(wǎng)和非可信網(wǎng)之間沒有數(shù)據(jù)包的交換，沒有網(wǎng)絡(luò)連接的建立。在