信息安全-等保建設(shè)方案

1等級保護(hù)建設(shè)流程極地安全提出的“按需防御的等級化安全體系”是依據(jù)國家信息安全等級保護(hù)制度，根據(jù)系統(tǒng)在不同階段的需求、業(yè)務(wù)特性及應(yīng)用重點，采用等級化的安全體系設(shè)計方法，幫助構(gòu)建一套覆蓋全面、重點突出、節(jié)約成本、持續(xù)運行的等級化安全防御體系?！暗燃壔痹O(shè)計方法，是根據(jù)需要保護(hù)的信息系統(tǒng)確定不同的安全等級，根據(jù)安全等級確定不同等級的安全目標(biāo)，形成不同等級的安全措施進(jìn)行保護(hù)。等級保護(hù)的精髓思想就是“等級化”。等級保護(hù)可以把業(yè)務(wù)系統(tǒng)、信息資產(chǎn)、安全邊界等進(jìn)行“等級化”，分而治之，從而實現(xiàn)信息安全等級保護(hù)的“等級保護(hù)、適度安全”思想。整體的安全保障體系包括技術(shù)和管理兩大部分，其中技術(shù)部分根據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》分為物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個方面進(jìn)行建設(shè)；而管理部分根據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》則分為安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理五個方面。整個安全保障體系各部分既有機(jī)結(jié)合，又相互支撐。之間的關(guān)系可以理解為“構(gòu)建安全管理機(jī)構(gòu)，制定完善的安全管理制度及安全策略，由相關(guān)人員，利用技術(shù)工手段及相關(guān)工具，進(jìn)行系統(tǒng)建設(shè)和運行維護(hù)?！备鶕?jù)等級化安全保障體系的設(shè)計思路，等級保護(hù)的設(shè)計與實施通過以下步驟進(jìn)行：系統(tǒng)識別與定級：確定保護(hù)對象，通過分析系統(tǒng)所屬類型、所屬信息類別、服務(wù)范圍以及業(yè)務(wù)對系統(tǒng)的依賴程度確定系統(tǒng)的等級。通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的等級，為下一步安全域設(shè)計、安全保障體系框架設(shè)計、安全要求選擇以及安全措施選擇提供依據(jù)。安全域設(shè)計：根據(jù)第一步的結(jié)果，通過分析系統(tǒng)業(yè)務(wù)流程、功能模塊，根據(jù)安全域劃分原則設(shè)計系統(tǒng)安全域架構(gòu)。通過安全域設(shè)計將系統(tǒng)分解為多個層次，為下一步安全保障體系框架設(shè)計提供基礎(chǔ)框架。確定安全域安全要求：參照國家相關(guān)等級保護(hù)安全要求，設(shè)計不同安全域的安全要求。通過安全域適用安全等級選擇方法確定系統(tǒng)各區(qū)域等級，明確各安全域所需采用的安全指標(biāo)。評估現(xiàn)狀：根據(jù)各等級的安全要求確定各等級的評估內(nèi)容，根據(jù)國家相關(guān)風(fēng)險評估方法，對系統(tǒng)各層次安全域進(jìn)行有針對性的等級風(fēng)險評估。并找出系統(tǒng)安全現(xiàn)狀與等級要求的差距，形成完整準(zhǔn)確的按需防御的安全需求。通過等級風(fēng)險評估，可以明確各層次安全域相應(yīng)等級的安全差距，為下一步安全技術(shù)解決方案設(shè)計和安全管理建設(shè)提供依據(jù)。安全保障體系方案設(shè)計：根據(jù)安全域框架，設(shè)計系統(tǒng)各個層次的安全保障體系框架以及具體方案。包括：各層次的安全保障體系框架形成系統(tǒng)整體的安全保障體系框架；詳細(xì)安全技術(shù)設(shè)計、安全管理設(shè)計。安全建設(shè)：根據(jù)方案設(shè)計內(nèi)容逐步進(jìn)行安全建設(shè)，滿足方案設(shè)計做要符合的安全需求，滿足等級保護(hù)相應(yīng)等級的基本要求，實現(xiàn)按需防御。持續(xù)安全運維：通過安全預(yù)警、安全監(jiān)控、安全加固、安全審計、應(yīng)急響應(yīng)等，從事前、事中、事后三個方面進(jìn)行安全運行維護(hù)，確保系統(tǒng)的持續(xù)安全，滿足持續(xù)性按需防御的安全需求。通過如上步驟，系統(tǒng)可以形成整體的等級化的安全保障體系，同時根據(jù)安全術(shù)建設(shè)和安全管理建設(shè)，保障系統(tǒng)整體的安全。而應(yīng)該特別注意的是：等級保護(hù)不是一個項目，它應(yīng)該是一個不斷循環(huán)的過程，所以通過整個安全項目、安全服務(wù)的實施，來保證用戶等級保護(hù)的建設(shè)能夠持續(xù)的運行，能夠使整個系統(tǒng)隨著環(huán)境的變化達(dá)到持續(xù)的安全。2方案參照標(biāo)準(zhǔn)GB/T21052-2007信息安全等級保護(hù)信息系統(tǒng)物理安全技術(shù)要求?信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求?信息安全技術(shù)信息系統(tǒng)安全保護(hù)等級定級指南（報批中）?信息安全技術(shù)信息安全等級保護(hù)實施指南（報批中）?信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)測評指南GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范GB/T20269-2006信息安全技術(shù)信息系統(tǒng)安全管理要求GB/T20281-2006信息安全技術(shù)防火墻技術(shù)要求與測試評價方法GB/T20275-2006信息安全技術(shù)入侵檢測系統(tǒng)技術(shù)要求和測試評價方法GB/T20278-2006信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求GB/T20277-2006信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測試評價方法GB/T20279-2006信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件技術(shù)要求GB/T20280-2006信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件測試評價方法等。3安全區(qū)域框架XX的安全建設(shè)核心內(nèi)容是將網(wǎng)絡(luò)進(jìn)行全方位的安全防護(hù)，不是對整個系統(tǒng)進(jìn)行同一等級的保護(hù)，而是針對系統(tǒng)內(nèi)部的不同業(yè)務(wù)區(qū)域進(jìn)行不同等級的保護(hù)。因此，安全域劃分是進(jìn)行信息安全等級保護(hù)的首要步驟。需要通過合理的劃分網(wǎng)絡(luò)安全域，針對各自的特點而采取不同的技術(shù)及管理手段。從而構(gòu)建一整套有針對性的安防體系。而選擇這些措施的主要依據(jù)是按照等級保護(hù)相關(guān)的要求。安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系統(tǒng)內(nèi)根據(jù)信息的性質(zhì)、使用主體、安全目標(biāo)和策略等元素的不同來劃分的不同邏輯子網(wǎng)或網(wǎng)絡(luò)，每一個邏輯區(qū)域有相同的安全保護(hù)需求，具有相同的安全訪問控制和邊界控制策略，區(qū)域間具有相互信任關(guān)系，而且相同的網(wǎng)絡(luò)安全域共享同樣的安全策略。經(jīng)過梳理后的XX信息系統(tǒng)安全區(qū)域劃分如下圖（樣圖）所示：4安全風(fēng)險與需求分析風(fēng)險與需求分析部分按照物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)五個層面進(jìn)行，可根據(jù)實際情況進(jìn)行修改；同時根據(jù)安全域劃分的結(jié)果，在分析過程中將不同的安全域所面臨的風(fēng)險與需求分析予以對應(yīng)說明。4.1安全技術(shù)需求分析4.1.1物理安全風(fēng)險與需求分析物理安全風(fēng)險主要是指網(wǎng)絡(luò)周邊的環(huán)境和物理特性引起的網(wǎng)絡(luò)設(shè)備和線路的不可使用，從而會造成網(wǎng)絡(luò)系統(tǒng)的不可使用，甚至導(dǎo)致整個網(wǎng)絡(luò)的癱瘓。它是整個網(wǎng)絡(luò)系統(tǒng)安全的前提和基礎(chǔ)，只有保證了物理層的可用性，才能使得整個網(wǎng)絡(luò)的可用性，進(jìn)而提高整個網(wǎng)絡(luò)的抗破壞力。例如：?機(jī)房缺乏控制，人員隨意出入帶來的風(fēng)險；?網(wǎng)絡(luò)設(shè)備被盜、被毀壞；?線路老化或是有意、無意的破壞線路；?設(shè)備在非預(yù)測情況下發(fā)生故障、停電等；?自然災(zāi)害如地震、水災(zāi)、火災(zāi)、雷擊等；?電磁干擾等。因此，在通盤考慮安全風(fēng)險時，應(yīng)優(yōu)先考慮物理安全風(fēng)險。保證網(wǎng)絡(luò)正常運行的前提是將物理層安全風(fēng)險降到最低或是盡量考慮在非正常情況下物理層出現(xiàn)風(fēng)險問題時的應(yīng)對方案。4.1.2計算環(huán)境安全風(fēng)險與需求分析計算環(huán)境的安全主要指主機(jī)以及應(yīng)用層面的安全風(fēng)險與需求分析，包括：身份鑒別、訪問控制、系統(tǒng)審計、入侵防范、惡意代碼防范、軟件容錯、數(shù)據(jù)完整性與保密性、備份與恢復(fù)、資源合理控制等方面。?身份鑒別身份鑒別包括主機(jī)和應(yīng)用兩個方面。主機(jī)操作系統(tǒng)登錄、數(shù)據(jù)庫登陸以及應(yīng)用系統(tǒng)登錄均必須進(jìn)行身份驗證。過于簡單的標(biāo)識符和口令容易被窮舉攻擊破解。同時非法用戶可以通過網(wǎng)絡(luò)進(jìn)行竊聽，從而獲得管理員權(quán)限，可以對任何資源非法訪問及越權(quán)操作。因此必須提高用戶名/口令的復(fù)雜度，且防止被網(wǎng)絡(luò)竊聽；同時應(yīng)考慮失敗處理機(jī)制。?訪問控制訪問控制包括主機(jī)和應(yīng)用兩個方面。訪問控制主要為了保證用戶對主機(jī)資源和應(yīng)用系統(tǒng)資源的合法使用。非法用戶可能企圖假冒合法用戶的身份進(jìn)入系統(tǒng)，低權(quán)限的合法用戶也可能企圖執(zhí)行高權(quán)限用戶的操作，這些行為將給主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)帶來了很大的安全風(fēng)險。用戶必須擁有合法的用戶標(biāo)識符，在制定好的訪問控制策略下進(jìn)行操作，杜絕越權(quán)非法操作。?系統(tǒng)審計系統(tǒng)審計包括主機(jī)審計和應(yīng)用審計兩個方面。對于登陸主機(jī)后的操作行為則需要進(jìn)行主機(jī)審計。對于服務(wù)器和重要主機(jī)需要進(jìn)行嚴(yán)格的行為控制，對用戶的行為、使用的命令等進(jìn)行必要的記錄審計，便于日后的分析、調(diào)查、取證，規(guī)范主機(jī)使用行為。而對于應(yīng)用系統(tǒng)同樣提出了應(yīng)用審計的要求，即對應(yīng)用系統(tǒng)的使用行為進(jìn)行審計。重點審計應(yīng)用層信息，和業(yè)務(wù)系統(tǒng)的運轉(zhuǎn)流程息息相關(guān)。能夠為安全事件提供足夠的信息，與身份認(rèn)證與訪問控制聯(lián)系緊密，為相關(guān)事件提供審計記錄。?入侵防范主機(jī)操作系統(tǒng)面臨著各類具有針對性的入侵威脅，常見操作系統(tǒng)存在著各種安全漏洞，并且現(xiàn)在漏洞被發(fā)現(xiàn)與漏洞被利用之間的時間差變得越來越短，這就使得操作系統(tǒng)本身的安全性給整個系統(tǒng)帶來巨大的安全風(fēng)險，因此對于主機(jī)操作系統(tǒng)的安裝，使用、維護(hù)等提出了需求，防范針對系統(tǒng)的入侵行為。?惡意代碼防范病毒、蠕蟲等惡意代碼是對計算環(huán)境造成危害最大的隱患，當(dāng)前病毒威脅非常嚴(yán)峻，特別是蠕蟲病毒的爆發(fā)，會立刻向其他子網(wǎng)迅速蔓延，發(fā)動網(wǎng)絡(luò)攻擊和數(shù)據(jù)竊密。大量占據(jù)正常業(yè)務(wù)十分有限的帶寬，造成網(wǎng)絡(luò)性能嚴(yán)重下降、服務(wù)器崩潰甚至網(wǎng)絡(luò)通信中斷，信息損壞或泄漏。嚴(yán)重影響正常業(yè)務(wù)開展。因此必須部署惡意代碼防范軟件進(jìn)行防御。同時保持惡意代碼庫的及時更新。?軟件容錯軟件容錯的主要目的是提供足夠的冗余信息和算法程序，使系統(tǒng)在實際運行時能夠及時發(fā)現(xiàn)程序設(shè)計錯誤，采取補(bǔ)救措施，以提高軟件可靠性，保證整個計算機(jī)系統(tǒng)的正常運行。?數(shù)據(jù)安全主要指數(shù)據(jù)的完整性與保密性。數(shù)據(jù)是信息資產(chǎn)的直接體現(xiàn)。所有的措施最終無不是為了業(yè)務(wù)數(shù)據(jù)的安全。因此數(shù)據(jù)的備份十分重要，是必須考慮的問題。應(yīng)采取措施保證數(shù)據(jù)在傳輸過程中的完整性以及保密性；保護(hù)鑒別信息的保密性?備份與恢復(fù)數(shù)據(jù)是信息資產(chǎn)的直接體現(xiàn)。所有的措施最終無不是為了業(yè)務(wù)數(shù)據(jù)的安全。因此數(shù)據(jù)的備份十分重要，是必須考慮的問題。對于關(guān)鍵數(shù)據(jù)應(yīng)建立數(shù)據(jù)的備份機(jī)制，而對于網(wǎng)絡(luò)的關(guān)鍵設(shè)備、線路均需進(jìn)行冗余配置，備份與恢復(fù)是應(yīng)對突發(fā)事件的必要措施。?資源合理控制資源合理控制包括主機(jī)和應(yīng)用兩個方面。主機(jī)系統(tǒng)以及應(yīng)用系統(tǒng)的資源是有限的，不能無限濫用。系統(tǒng)資源必須能夠為正常用戶提供資源保障。否則會出現(xiàn)資源耗盡、服務(wù)質(zhì)量下降甚至服務(wù)中斷等后果。因此對于系統(tǒng)資源進(jìn)行控制，制定包括：登陸條件限制、超時鎖定、用戶可用資源閾值設(shè)置等資源控制策略。4.1.3區(qū)域邊界安全風(fēng)險與需求分析區(qū)域邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊界入侵防范以及邊界安全審計等方面。?邊界訪問控制XX可劃分為如下邊界:描述邊界及風(fēng)險分析對于各類邊界最基本的安全需求就是訪問控制，對進(jìn)出安全區(qū)域邊界的數(shù)據(jù)信息進(jìn)行控制，阻止非授權(quán)及越權(quán)訪問。?邊界完整性檢測邊界的完整性如被破壞則所有控制規(guī)則將失去效力，因此需要對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，維護(hù)邊界完整性。?邊界入侵防范各類網(wǎng)絡(luò)攻擊行為既可能來自于大家公認(rèn)的互聯(lián)網(wǎng)等外部網(wǎng)絡(luò)，在內(nèi)部也同樣存在。通過安全措施，要實現(xiàn)主動阻斷針對信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等，實現(xiàn)對網(wǎng)絡(luò)層以及業(yè)務(wù)系統(tǒng)的安全防護(hù)，保護(hù)核心信息資產(chǎn)的免受攻擊危害。?邊界安全審計在安全區(qū)域邊界需要建立必要的審計機(jī)制，對進(jìn)出邊界的各類網(wǎng)絡(luò)行為進(jìn)行記錄與審計分析，可以和主機(jī)審計、應(yīng)用審計以及網(wǎng)絡(luò)審計形成多層次的審計系統(tǒng)。并可通過安全管理中心集中管理。4.1.4通信網(wǎng)絡(luò)安全風(fēng)險與需求分析通信網(wǎng)絡(luò)的安全主要包括：網(wǎng)絡(luò)結(jié)構(gòu)安全、網(wǎng)絡(luò)安全審計、網(wǎng)絡(luò)設(shè)備防護(hù)、通信完整性與保密性等方面。?網(wǎng)絡(luò)結(jié)構(gòu)網(wǎng)絡(luò)結(jié)構(gòu)是否合理直接影響著是否能夠有效的承載業(yè)務(wù)需要。因此網(wǎng)絡(luò)結(jié)構(gòu)需要具備一定的冗余性；帶寬能夠滿足業(yè)務(wù)高峰時期數(shù)據(jù)交換需求；并合理的劃分網(wǎng)段和VLAN。?網(wǎng)絡(luò)安全審計由于用戶的計算機(jī)相關(guān)的知識水平參差不齊，一旦某些安全意識薄弱的管理用戶誤操作，將給信息系統(tǒng)帶來致命的破壞。沒有相應(yīng)的審計記錄將給事后追查帶來困難。有必要進(jìn)行基于網(wǎng)絡(luò)行為的審計。從而威懾那些心存僥幸、有惡意企圖的少部分用戶，以利于規(guī)范正常的網(wǎng)絡(luò)應(yīng)用行為。?網(wǎng)絡(luò)設(shè)備防護(hù)由于XX中將會使用大量的網(wǎng)絡(luò)設(shè)備，如交換機(jī)、防火墻、入侵檢測設(shè)備等。這些設(shè)備的自身安全性也會直接關(guān)系到涉密網(wǎng)和各種網(wǎng)絡(luò)應(yīng)用的正常運行。如果發(fā)生網(wǎng)絡(luò)設(shè)備被不法分子攻擊，將導(dǎo)致設(shè)備不能正常運行。更加嚴(yán)重情況是設(shè)備設(shè)置被篡改，不法分子輕松獲得網(wǎng)絡(luò)設(shè)備的控制權(quán)，通過網(wǎng)絡(luò)設(shè)備作為跳板攻擊服務(wù)器，將會造成無法想象的后果。例如，交換機(jī)口令泄漏、防火墻規(guī)則被篡改、入侵檢測設(shè)備失靈等都將成為威脅網(wǎng)絡(luò)系統(tǒng)正常運行的風(fēng)險因素。?通信完整性與保密性由于網(wǎng)絡(luò)協(xié)議及文件格式均具有標(biāo)準(zhǔn)、開發(fā)、公開的特征，因此數(shù)據(jù)在網(wǎng)上存儲和傳輸過程中，不僅僅面臨信息丟失、信息重復(fù)或信息傳送的自身錯誤，而且會遭遇信息攻擊或欺詐行為，導(dǎo)致最終信息收發(fā)的差異性。因此，在信息傳輸和存儲過程中，必須要確保信息內(nèi)容在發(fā)送、接收及保存的一致性；并在信息遭受篡改攻擊的情況下，應(yīng)提供有效的察覺與發(fā)現(xiàn)機(jī)制，實現(xiàn)通信的完整性。而數(shù)據(jù)在傳輸過程中，為能夠抵御不良企圖者采取的各種攻擊，防止遭到竊取，應(yīng)采用加密措施保證數(shù)據(jù)的機(jī)密性。4.2安全管理需求分析“三分技術(shù)、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術(shù)管理措施外，安全管理是保障安全技術(shù)手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國家等級保護(hù)中的要求，也是作為一個安全體系來講，不可或缺的重要組成部分。安全管理體系依賴于國家相關(guān)標(biāo)準(zhǔn)、行業(yè)規(guī)范、國際安全標(biāo)準(zhǔn)等規(guī)范和標(biāo)準(zhǔn)來指導(dǎo)，形成可操作的體系。主要包括：?安全管理制度?安全管理機(jī)構(gòu)?人員安全管理?系統(tǒng)建設(shè)管理?系統(tǒng)運維管理根據(jù)等級保護(hù)的要求在上述方面建立一系列的管理制度與操作規(guī)范，并明確執(zhí)行。5技術(shù)體系方案設(shè)計5.1方案設(shè)計目標(biāo)二級系統(tǒng)安全保護(hù)環(huán)境的設(shè)計目標(biāo)是：落實GB17859-1999對二級系統(tǒng)的安全保護(hù)要求，滿足二級系統(tǒng)在自主訪問控制、身份鑒別、客體重用、審計、數(shù)據(jù)完整性五個基本屬性的安全需求。以系統(tǒng)安全審計為核心，通過增強(qiáng)的身份鑒別、更細(xì)粒度的自主訪問控制以及客體重用等安全機(jī)制，使系統(tǒng)具有核查安全事件等基本安全保護(hù)能力。通過為滿足物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個方面基本技術(shù)要求進(jìn)行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理五個方面基本管理要求進(jìn)行管理體系建設(shè)。使得XX系統(tǒng)的等級保護(hù)建設(shè)方案最終既可以滿足等級保護(hù)的相關(guān)要求，又能夠全方面為XX系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。5.2方案設(shè)計框架根據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》，分為技術(shù)和管理兩大類要求，具體如下圖所示:本方案將嚴(yán)格根據(jù)技術(shù)與管理要求進(jìn)行設(shè)計。首先應(yīng)根據(jù)本級具體的基本要求設(shè)計本級系統(tǒng)的保護(hù)環(huán)境模型，根據(jù)《信息安全技術(shù)信息系統(tǒng)等級保護(hù)安全設(shè)計技術(shù)要求》（報批稿），保護(hù)環(huán)境按照安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心進(jìn)行設(shè)計，內(nèi)容涵蓋基本要求的5個方面。同時結(jié)合管理要求，形成如下圖所示的保護(hù)環(huán)境模型：安全i安容管s=魴SJ-安一全管理".也安全管理平臺素味祥S------安全i安容管s=魴SJ-安一全管理".也安全管理平臺素味祥S-------通信網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全申計:適侑代迨性計算環(huán)境安全

匚］二垂皮虹二二…頑施…???『■!?藝甌重通睡］自主部問投制［延區(qū)重垂亟項二二二二二.二二:

曉源控制區(qū)域邊界安全沮界訪何捶制Ii邊界完整性希查］?地押a艮防薄J邊界安全市訃物理安全:物埋迭恥［機(jī)回耳最:機(jī)島管1理［設(shè)特與仆質(zhì)骨理安全

管理系統(tǒng)建設(shè)管理一，.系統(tǒng)運維管理A:員安"猷理-信息系統(tǒng)的安全保護(hù)等級由業(yè)務(wù)信息安全性等級和系統(tǒng)服務(wù)保證性等級較高者決定，因此，對某一個定級后的信息系統(tǒng)的安全保護(hù)的側(cè)重點可以有多種組合。對于2級保護(hù)系統(tǒng)，其組合為：（在S1A2G2,S2A2G2,S2A1G2選擇）。以下詳細(xì)方案設(shè)計時應(yīng)將每個項目進(jìn)行相應(yīng)的組合級別說明。5.3安全技術(shù)體系設(shè)計5.3.1物理安全設(shè)計物理環(huán)境安全策略的目的是保護(hù)網(wǎng)絡(luò)中計算機(jī)網(wǎng)絡(luò)通信有一個良好的電磁兼容工作環(huán)境，并防止非法用戶進(jìn)入計算機(jī)控制室和各種偷竊、破壞活動的發(fā)生。?機(jī)房選址機(jī)房和辦公場地選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。?機(jī)房管理機(jī)房出入口安排專人值守，控制、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來訪人員須經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍。?機(jī)房環(huán)境合理規(guī)劃設(shè)備安裝位置，應(yīng)預(yù)留足夠的空間作安裝、維護(hù)及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關(guān)標(biāo)準(zhǔn)規(guī)定。機(jī)房門大小應(yīng)滿足系統(tǒng)設(shè)備安裝時運輸需要。機(jī)房墻壁及天花板應(yīng)進(jìn)行表面處理，防止塵埃脫落，機(jī)房應(yīng)安裝防靜電活動地板。機(jī)房安裝防雷和接地線，要求防雷接地和機(jī)房接地分別安裝，且相隔一定的距離；設(shè)置滅火設(shè)備和火災(zāi)自動報警系統(tǒng)；配備空調(diào)系統(tǒng)，以保持房間恒濕、恒溫的工作環(huán)境；在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備；提供短期的備用電力供應(yīng)，滿足關(guān)鍵設(shè)備在斷電情況下的正常運行要求。鋪設(shè)線纜要求電源線和通信線纜隔離鋪設(shè)，避免互相干擾。?設(shè)備與介質(zhì)管理為了防止無關(guān)人員和不法分子非法接近網(wǎng)絡(luò)并使用網(wǎng)絡(luò)中的主機(jī)盜取信息、破壞網(wǎng)絡(luò)和主機(jī)系統(tǒng)、破壞網(wǎng)絡(luò)中的數(shù)據(jù)的完整性和可用性，必須采用有效的區(qū)域監(jiān)控、防盜報警系統(tǒng)，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴(yán)格的出入管理制度和環(huán)境監(jiān)控制度，以保障區(qū)域監(jiān)控系統(tǒng)和環(huán)境監(jiān)控系統(tǒng)的有效運行。對介質(zhì)進(jìn)行分類標(biāo)識，存儲在介質(zhì)庫或檔案室中。5.3.2計算環(huán)境安全設(shè)計5.3.21身份鑒別身份鑒別可分為主機(jī)身份鑒別和應(yīng)用身份鑒別兩個方面：主機(jī)身份鑒別：為提高主機(jī)系統(tǒng)安全性，保障各種應(yīng)用的正常運行，對主機(jī)系統(tǒng)需要進(jìn)行一系列的加固措施，包括：?對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別，且保證用戶名的唯一性。?根據(jù)基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長度不少于8位并定期更換；?啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。?遠(yuǎn)程管理時應(yīng)啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽。應(yīng)用身份鑒別：為提高應(yīng)用系統(tǒng)系統(tǒng)安全性應(yīng)用系統(tǒng)需要進(jìn)行一系列的加固措施，包括：對登錄用戶進(jìn)行身份標(biāo)識和鑒別，且保證用戶名的唯一性。根據(jù)基本要求配置用戶名/口令，必須具備一定的復(fù)雜度；口令必須具備采用3種以上字符、長度不少于8位并定期更換；啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進(jìn)行相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以上要求。5?3?2?2訪問控制二級系統(tǒng)一個重要要求是實現(xiàn)自主訪問控制。應(yīng)在安全策略控制范圍內(nèi)，使用戶對自己創(chuàng)建的客體具有各種訪問操作權(quán)限，并能將這些權(quán)限的部分或全部授予其他用戶；自主訪問控制主體的粒度應(yīng)為用戶級，客體的粒度應(yīng)為文件或數(shù)據(jù)庫表級；自主訪問操作應(yīng)包括對客體的創(chuàng)建、讀、寫、修改和刪除等。由此主要控制的是對應(yīng)用系統(tǒng)的文件、數(shù)據(jù)庫等資源的訪問，避免越權(quán)非法使用。采用的措施主要包括：啟用訪問控制功能：制定嚴(yán)格的訪問控制安全策略，根據(jù)策略控制用戶對應(yīng)用系統(tǒng)的訪問，特別是文件操作、數(shù)據(jù)庫訪問等，控制粒度主體為用戶級、客體為文件或數(shù)據(jù)庫表級。權(quán)限控制：對于制定的訪問控制規(guī)則要能清楚的覆蓋資源訪問相關(guān)的主體、客體及它們之間的操作。對于不同的用戶授權(quán)原則是進(jìn)行能夠完成工作的最小化授權(quán)，避免授權(quán)范圍過大，并在它們之間形成相互制約的關(guān)系。賬號管理：嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名默認(rèn)帳戶，修改默認(rèn)口令；及時刪除多余的、過期的帳戶，避免共享帳戶的存在。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進(jìn)行相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以上要求。5?3?2?3系統(tǒng)安全審計系統(tǒng)審計包含主機(jī)審計和應(yīng)用審計兩個層面：主機(jī)審計：部署終端安全管理系統(tǒng)，啟用主機(jī)審計功能，或部署主機(jī)審計系統(tǒng)，實現(xiàn)對主機(jī)監(jiān)控、審計和系統(tǒng)管理等功能。監(jiān)控功能包括服務(wù)監(jiān)控、進(jìn)程監(jiān)控、硬件操作監(jiān)控、文件系統(tǒng)監(jiān)控、打印機(jī)監(jiān)控、非法外聯(lián)監(jiān)控、計算機(jī)用戶賬號監(jiān)控等。審計功能包括文件操作審計、外掛設(shè)備操作審計、非法外聯(lián)審計、IP地址更改審計、服務(wù)與進(jìn)程審計等。審計范圍覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；內(nèi)容包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；審計記錄包括事件的日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；保護(hù)審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。系統(tǒng)管理功能包括系統(tǒng)用戶管理、主機(jī)監(jiān)控代理狀態(tài)監(jiān)控、安全策略管理、主機(jī)監(jiān)控代理升級管理、計算機(jī)注冊管理、實時報警、歷史信息查詢、統(tǒng)計與報主華表等。應(yīng)用審計：應(yīng)用層安全審計是對業(yè)務(wù)應(yīng)用系統(tǒng)行為的審計，需要與應(yīng)用系統(tǒng)緊密結(jié)合，此審計功能應(yīng)與應(yīng)用系統(tǒng)統(tǒng)一開發(fā)。應(yīng)用系統(tǒng)審計功能記錄系統(tǒng)重要安全事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等，并保護(hù)好審計結(jié)果，阻止非法刪除、修改或覆蓋審計記錄。部署數(shù)據(jù)庫審計系統(tǒng)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計，范圍覆蓋到每個用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進(jìn)行相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以上要求。5.324入侵防范針對入侵防范主要體現(xiàn)在主機(jī)及網(wǎng)絡(luò)兩個層面。針對主機(jī)的入侵防范，可以從多個角度進(jìn)行處理：?入侵檢測系統(tǒng)可以起到防范針對主機(jī)的入侵行為；?部署漏洞掃描進(jìn)行系統(tǒng)安全性檢測；?部署終端安全管理系統(tǒng)，開啟補(bǔ)丁分發(fā)功能模塊及時進(jìn)行系統(tǒng)補(bǔ)丁升級；?操作系統(tǒng)的安裝遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，關(guān)閉多余服務(wù)等;另外根據(jù)系統(tǒng)類型進(jìn)行其它安全配置的加固處理。針對網(wǎng)絡(luò)入侵防范，可通過部署網(wǎng)絡(luò)入侵檢測系統(tǒng)來實現(xiàn)。將網(wǎng)絡(luò)入侵檢測系統(tǒng)位于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上，通過實時偵聽網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問時，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應(yīng)，包括實時報警、事件登錄，或執(zhí)行用戶自定義的安全策略等。入侵檢測系統(tǒng)可以部署在XX的核心處以及主要服務(wù)器區(qū)，這里我們建議在這些區(qū)域的交換機(jī)上部署入侵檢測系統(tǒng)，監(jiān)視并記錄網(wǎng)絡(luò)中的所有訪問行為和操作，有效防止非法操作和惡意攻擊。同時，入侵檢測系統(tǒng)還可以形象地重現(xiàn)操作的過程，可幫助安全管理員發(fā)現(xiàn)網(wǎng)絡(luò)安全的隱患。需要說明的是，IDS是對防火墻的非常有必要的附加而不僅僅是簡單的補(bǔ)充。入侵檢測系統(tǒng)作為網(wǎng)絡(luò)安全體系的第二道防線，對在防火墻系統(tǒng)阻斷攻擊失敗時，可以最大限度地減少相應(yīng)的損失。因此，IDS應(yīng)具備更多的檢測能力，能夠和其他安全產(chǎn)品（邊界防火墻、內(nèi)網(wǎng)安全管理軟件等）進(jìn)行聯(lián)動。主機(jī)惡意代碼防范各類惡意代碼尤其是病毒、木馬等是對XX的重大危害，病毒在爆發(fā)時將使路由器、3層交換機(jī)、防火墻等網(wǎng)關(guān)設(shè)備性能急速下降，并且占用整個網(wǎng)絡(luò)帶寬。針對病毒的風(fēng)險，我們建議重點是將病毒消滅或封堵在終端這個源頭上。時，在所有終端主機(jī)和服務(wù)器上部署網(wǎng)絡(luò)防病毒系統(tǒng)，加強(qiáng)終端主機(jī)的病毒防護(hù)能力并及時升級惡意代碼軟件版本以及惡意代碼庫。在XX安全管理安全域中，可以部署防病毒服務(wù)器，負(fù)責(zé)制定和終端主機(jī)防病毒策略，在XX內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的一級升級服務(wù)器，在下級節(jié)點建立二級升級服務(wù)器，由管理中心升級服務(wù)器通過互聯(lián)網(wǎng)或手工方式獲得最新的病毒特征庫，分發(fā)到數(shù)據(jù)中心節(jié)點的各個終端，并下發(fā)到各二級服務(wù)器。在網(wǎng)絡(luò)邊界通過防火墻進(jìn)行基于通信端口、帶寬、連接數(shù)量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發(fā)時的大流量沖擊。同時，防毒系統(tǒng)可以為安全管理平臺提供關(guān)于病毒威脅和事件的監(jiān)控、審計日志，為全網(wǎng)的病毒防護(hù)管理提供必要的信息。5.3?2?6軟件容錯軟件容錯的主要目的是提供足夠的冗余信息和算法程序，使系統(tǒng)在實際運行時能夠及時發(fā)現(xiàn)程序設(shè)計錯誤，采取補(bǔ)救措施，以提高軟件可靠性，保證整個計算機(jī)系統(tǒng)的正常運行。因此在應(yīng)用系統(tǒng)軟件設(shè)計時要充分考慮軟件容錯設(shè)計，包括：提供數(shù)據(jù)有效性檢驗功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；在故障發(fā)生時，應(yīng)用系統(tǒng)應(yīng)能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?.3?2.7數(shù)據(jù)完整性與保密性目前乂乂中傳輸?shù)男畔⒅饕欠墙Y(jié)構(gòu)化類型的數(shù)據(jù)，對信息完整性校驗提出了一定的需求。在應(yīng)用系統(tǒng)中，將采用消息摘要機(jī)制來確保完整性校驗，其方法是：發(fā)送方使用散列函數(shù)（如SHA、MD5等）對要發(fā)送的信息進(jìn)行摘要計算，得到信息的鑒別碼，連同信息一起發(fā)送給接收方，將信息與信息摘要進(jìn)行打包后插入身份鑒別標(biāo)識，發(fā)送給接收方。接收方對接收到的信息后，首先確認(rèn)發(fā)送方的身份信息，解包后，重新計算，將得到的鑒別碼與收到的鑒別碼進(jìn)行比較，若二者相同，則可以判定信息未被篡改，信息完整性沒有受到破壞。通過上述方法，可以滿足應(yīng)用系統(tǒng)對于信息完整性校驗的需求。而對于用戶數(shù)據(jù)特別是身份鑒別信息的數(shù)據(jù)保密，應(yīng)用系統(tǒng)采用密碼技術(shù)進(jìn)行數(shù)據(jù)加密實現(xiàn)鑒別信息的存儲保密性。在傳輸過程中主要依靠VPN系統(tǒng)可以來保障數(shù)據(jù)包的數(shù)據(jù)完整性、保密性、可用性。目前VPN的組建主要采用兩種方式，基于IPSEC協(xié)議的VPN以及基于SSL協(xié)議的VPN。IPSecVPN適用于組建site-to-site形態(tài)的虛擬專有網(wǎng)絡(luò)，IPSEC協(xié)議提供的安全服務(wù)包括：保密性一一IPSec在傳輸數(shù)據(jù)包之前將其加密.以保證數(shù)據(jù)的保密性。完整性一一IPSec在目的地要驗證數(shù)據(jù)包，以保證該數(shù)據(jù)包任傳輸過程中沒有被修改或替換。完整性校驗是IPSECVPN重要的功能之一。真實性——IPSec端要驗證所有受IPSec保護(hù)的數(shù)據(jù)包。防重放一一IPSec防止了數(shù)據(jù)包被捕捉并重新投放到網(wǎng)上，即目的地會拒絕老的或重復(fù)的數(shù)據(jù)包，它通過報文的序列號實現(xiàn)。SSLVPN適用于遠(yuǎn)程接入環(huán)境，例如：移動辦公接入。它和IPSECVPN適用于不同的應(yīng)用場景，可配合使用。SSL的英文全稱是“SecureSocketsLayer”，中文名為"安全套接層協(xié)議層”，它是網(wǎng)景（Netscape）公司提出的基于WEB應(yīng)用的安全協(xié)議。SSL協(xié)議指定了一種在應(yīng)用程序協(xié)議（如Http、Telenet、NMTP和FTP等）和TCP/IP協(xié)議之間提供數(shù)據(jù)安全性分層的機(jī)制，它為TCP/IP連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、消息完整性以及可選的客戶機(jī)認(rèn)證。SSL與IPSec安全協(xié)議一樣，也可提供加密和身份驗證安全方法，因此安全性上二者無明顯差別。SSLVPN使用SSL/HTTPS技術(shù)作為安全傳輸機(jī)制。這種機(jī)制在所有的標(biāo)準(zhǔn)Web瀏覽器上都有，不用額外的軟件實現(xiàn)。使用SSLVPN，在移動用戶和內(nèi)部資源之間的連接通過應(yīng)用層的Web連接實現(xiàn)，而不是像IPSecVPN在網(wǎng)絡(luò)層開放的“通道”。SSL對移動用戶是理想的技術(shù)，因為：SSL無需被加載到終端設(shè)備上SSL無需終端用戶配置SSL無需被限于固定終端，只要有標(biāo)準(zhǔn)瀏覽器即可使用產(chǎn)品部署方面，SSLVPN只需單臂旁路方式接入。單臂旁路接入不改變原有網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)路配置，不增加故障點，部署簡單靈活，同時提供完整的SSLVPN服務(wù)。遠(yuǎn)程用戶只需應(yīng)用標(biāo)準(zhǔn)IE瀏覽器即可登陸網(wǎng)關(guān)，通過身份鑒別，在基于角色的策略控制下實現(xiàn)對企業(yè)內(nèi)部資源的存取訪問。遠(yuǎn)程移動用戶只需打開標(biāo)準(zhǔn)IE瀏覽器，登陸SSLVPN網(wǎng)關(guān)，經(jīng)過用戶認(rèn)證后即可根據(jù)分配給該用戶的相應(yīng)策略進(jìn)行相關(guān)業(yè)務(wù)系統(tǒng)的訪問。5.3?2?8備份與恢復(fù)備份與恢復(fù)主要包含兩方面內(nèi)容，首先是指數(shù)據(jù)備份與恢復(fù)，另外一方面是關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路以及服務(wù)器等硬件設(shè)備的冗余。數(shù)據(jù)是最重要的系統(tǒng)資源。數(shù)據(jù)丟失將會使系統(tǒng)無法連續(xù)正常工作。數(shù)據(jù)錯誤則將意味著不準(zhǔn)確的事務(wù)處理?？煽康南到y(tǒng)要求能立即訪問準(zhǔn)確信息。將綜合存儲戰(zhàn)略作為計算機(jī)信息系統(tǒng)基礎(chǔ)設(shè)施的一部分實施不再是一種選擇，而已成為必然的趨勢。數(shù)據(jù)備份系統(tǒng)應(yīng)該遵循穩(wěn)定性、全面性、自動化、高性能、操作簡單、實時性等原則。備份系統(tǒng)先進(jìn)的特性可提供增強(qiáng)的性能，易于管理，廣泛的設(shè)備兼容性和較高的可靠性，以保證數(shù)據(jù)完整性。廣泛的選件和代理能將數(shù)據(jù)保護(hù)擴(kuò)展到整個系統(tǒng)，并提供增強(qiáng)的功能，其中包括聯(lián)機(jī)備份應(yīng)用系統(tǒng)和數(shù)據(jù)文件，先進(jìn)的設(shè)備和介質(zhì)管理，快速、順利的災(zāi)難恢復(fù)以及對光纖通道存儲區(qū)域網(wǎng)（SAN）的支持等。對于核心交換設(shè)備、外部接入鏈路以及系統(tǒng)服務(wù)器進(jìn)行雙機(jī)、雙線的冗余設(shè)計，保障從網(wǎng)絡(luò)結(jié)構(gòu)、硬件配置上滿足不間斷系統(tǒng)運行的需要。5.3?2.9資源控制為保證XX的應(yīng)用系統(tǒng)正常的為用戶提供服務(wù)，必須進(jìn)行資源控制，否則會出現(xiàn)資源耗盡、服務(wù)質(zhì)量下降甚至服務(wù)中斷等后果。通過對應(yīng)用系統(tǒng)進(jìn)行開發(fā)或配置來達(dá)到控制的目標(biāo)，包括：?會話自動結(jié)束：當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠及時檢測并自動結(jié)束會話，釋放資源；?會話限制：對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制，同時對單個帳戶的多重并發(fā)會話進(jìn)行限制，設(shè)定相關(guān)閾值，保證系統(tǒng)可用性。?登陸條件限制：通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。?超時鎖定：根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定。?用戶可用資源閾值：限制單個用戶對系統(tǒng)資源的最大或最小使用限度，保障正常合理的資源占用。應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進(jìn)行相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以上要求。5.3.3區(qū)域邊界安全設(shè)計邊界訪問控制通過對XX的邊界風(fēng)險與需求分析，在網(wǎng)絡(luò)層進(jìn)行訪問控制需部署防火墻產(chǎn)品，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進(jìn)行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問，防止各類非法攻擊行為。同時可以和內(nèi)網(wǎng)安全管理系統(tǒng)、網(wǎng)絡(luò)入侵檢測系統(tǒng)等進(jìn)行安全聯(lián)動，為網(wǎng)絡(luò)創(chuàng)造全面縱深的安全防御體系。在各安全域邊界部署XX產(chǎn)品，部署效果如下：?產(chǎn)品部署效果：網(wǎng)絡(luò)安全的基礎(chǔ)屏障：防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。防火墻同時可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。強(qiáng)化網(wǎng)絡(luò)安全策略通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問時，一次一密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不必分散在各個主機(jī)上，而集中在防火墻一身上。對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶⑻峁┚W(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。防止內(nèi)部信息的外泄通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而曝露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS等服務(wù)。精確流量管理通過部署防火墻設(shè)備，不僅可以實現(xiàn)精準(zhǔn)訪問控制與邊界隔離防護(hù)，還能實現(xiàn)阻止由于病毒或者P2P軟件引起的異常流量、進(jìn)行精確的流量控制等。對各級節(jié)點安全域?qū)崿F(xiàn)全面的邊界防護(hù)，嚴(yán)格控制節(jié)點之間的網(wǎng)絡(luò)數(shù)據(jù)流。邊界完整性檢查邊界完整性檢查核心是要對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，維護(hù)網(wǎng)絡(luò)邊界完整性。通過部署終端安全管理系統(tǒng)可以實現(xiàn)這一目標(biāo)。終端安全管理系統(tǒng)其中一個重要功能模塊就是非法外聯(lián)控制，探測內(nèi)部網(wǎng)中非法上互聯(lián)網(wǎng)的計算機(jī)。非法外聯(lián)監(jiān)控主要解決發(fā)現(xiàn)和管理用戶非法自行建立通路連接非授權(quán)網(wǎng)絡(luò)的行為。通過非法外聯(lián)監(jiān)控的管理，可以防止用戶訪問非信任網(wǎng)絡(luò)資源，并防止由于訪問非信任網(wǎng)絡(luò)資源而引入安全風(fēng)險或者導(dǎo)致信息泄密。?終端非法外聯(lián)行為監(jiān)控可以發(fā)現(xiàn)終端試圖訪問非授信網(wǎng)絡(luò)資源的行為，如試圖與沒有通過系統(tǒng)授權(quán)許可的終端進(jìn)行通信，自行試圖通過撥號連接互聯(lián)網(wǎng)等行為。對于發(fā)現(xiàn)的非法外聯(lián)行為，可以記錄日志并產(chǎn)生報警信息。?終端非法外聯(lián)行為管理可以禁止終端與沒有通過系統(tǒng)授權(quán)許可的終端進(jìn)行通信，禁止撥號上網(wǎng)行為。邊界入侵防范在各區(qū)域邊界，防火墻起到了協(xié)議過濾的主要作用，根據(jù)安全策略在偏重在網(wǎng)絡(luò)層判斷數(shù)據(jù)包的合法流動。但面對越來越廣泛的基于應(yīng)用層內(nèi)容的攻擊行為，防火墻并不擅長處理應(yīng)用層數(shù)據(jù)。在網(wǎng)絡(luò)邊界和主要服務(wù)器區(qū)安全域均已經(jīng)設(shè)計部署了防火墻，對每個安全域進(jìn)行嚴(yán)格的訪問控制。鑒于以上對防火墻核心作用的分析，需要其他具備檢測新型的混合攻擊和防護(hù)的能力的設(shè)備和防火墻配合，共同防御來自應(yīng)用層到網(wǎng)絡(luò)層的多種攻擊類型，建立一整套的安全防護(hù)體系，進(jìn)行多層次、多手段的檢測和防護(hù)。入侵防護(hù)系統(tǒng)（IPS）就是安全防護(hù)體系中重要的一環(huán)，它能夠及時識別網(wǎng)絡(luò)中發(fā)生的入侵行為并實時報警并且進(jìn)行有效攔截防護(hù)。IPS是繼“防火墻”、“信息加密”等傳統(tǒng)安全保護(hù)方法之后的新一代安全保障技術(shù)。它監(jiān)視計算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對它們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性或試圖繞過安全機(jī)制的入侵行為并進(jìn)行有效攔截。IPS就是自動執(zhí)行這種監(jiān)視和分析過程，并且執(zhí)行阻斷的硬件產(chǎn)品。將IPS串接在防火墻后面，在防火墻進(jìn)行訪問控制，保證了訪問的合法性之后，IPS動態(tài)的進(jìn)行入侵行為的保護(hù)，對訪問狀態(tài)進(jìn)行檢測、對通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測、對內(nèi)容進(jìn)行深度的檢測。阻斷來自內(nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。由于IPS對訪問進(jìn)行深度的檢測，因此，IPS產(chǎn)品需要通過先進(jìn)的硬件架構(gòu)、軟件架構(gòu)和處理引擎對處理能力進(jìn)行充分保證。5?3?3?4邊界安全審計各安全區(qū)域邊界已經(jīng)部署了相應(yīng)的安全設(shè)備負(fù)責(zé)進(jìn)行區(qū)域邊界的安全。對于流經(jīng)各主要邊界（重要服務(wù)器區(qū)域、外部連接邊界）需要設(shè)置必要的審計機(jī)制，進(jìn)行數(shù)據(jù)監(jiān)視并記錄各類操作，通過審計分析能夠發(fā)現(xiàn)跨區(qū)域的安全威脅，實時地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件。一般可采取開啟邊界安全設(shè)備的審計功能模塊，根據(jù)審計策略進(jìn)行數(shù)據(jù)的日志記錄與審計。同時審計信息要通過安全管理中心進(jìn)行統(tǒng)一集中管理，為安全管理中心提供必要的邊界安全審計數(shù)據(jù)，利于管理中心進(jìn)行全局管控。邊界安全審計和主機(jī)審計、應(yīng)用審計、網(wǎng)絡(luò)審計等一起構(gòu)成完整的、多層次的審計系統(tǒng)。5.3.4安全管理中心設(shè)計由于XX覆蓋面廣，用戶眾多，技術(shù)人員水平不一。為了能準(zhǔn)確了解系統(tǒng)的運行狀態(tài)、設(shè)備的運行情況，統(tǒng)一部署安全策略，應(yīng)進(jìn)行安全管理中心的設(shè)計，根據(jù)二級系統(tǒng)的要求，應(yīng)在系統(tǒng)