信息與網絡安全架構與方案

信息系統(tǒng)安全技術--整體網絡安全解決方案第1頁，共35頁。用戶網絡安全的需求用戶系統(tǒng)風險分析用戶安全目標分析安全技術管理規(guī)范設計安全機制集成與服務用戶網絡結構系統(tǒng)設計整體安全解決方案第2頁，共35頁。產品、服務質量保證體系安全知識培訓網絡設備組件的加固與維護日常檢測——漏洞/異常攻擊事故報告應急事故恢復安全中心——風險分析、制定/實施/維護安全策略利用企業(yè)的資源最大限度地滿足客戶的需求！基于角色的培訓安全動態(tài)知識長期培訓主機保護產品組件加固服務網絡入侵檢測產品漏洞掃描產品應急服務小組攻防實驗室安全分析工程師安全知識數(shù)據(jù)庫維護第3頁，共35頁。網絡安全與信息安全安全的定義遠離危險的狀態(tài)或特性，為防范間諜活動或蓄意破壞、犯罪、攻擊或逃跑而采取的措施。安全不是技術,安全是一個過程。網絡安全網絡的組成方式、拓撲結構和網絡應用信息安全信息的來源、去向，內容的真實無誤及保證信息的完整性，信息不會被非法泄露擴散保證信息的保密性網絡信息安全的基本要求數(shù)據(jù)的保密性、數(shù)據(jù)的完整性、數(shù)據(jù)的可用性、數(shù)據(jù)的可控性第4頁，共35頁。網絡信息安全技術體系第5頁，共35頁。身份認證技術密碼技術訪問控制技術防病毒技術防火墻技術漏洞掃描技術入侵檢測技術審計技術INTERNET案例一：網絡拓撲分析應用案例一：SVPN典型應用服務子網代理服務器郵件服務器內部子網管理中心網絡DNS服務器路由器分支子網2路由器代理服務器分支子網1路由器第6頁，共35頁。第7頁，共35頁。網絡現(xiàn)狀分析內部子網采用私有地址，通過代理服務器訪問INTERNET服務子網對外提供WWW服務和電子郵件服務中心子網與分支子網通過INTERNET網絡連接并有重要信息傳遞服務子網和內部子網與INTERNET之間無任何保護措 施,無網絡安全管理手段應用案例一：SVPN典型應用第8頁，共35頁。安全需求分析內部與外部的隔離外部能訪問內部指定區(qū)域提供的服務實現(xiàn)對子網之間通信的加密傳輸能夠對內部網絡與外部網絡之間的通信進行審計用網關設備代替代理服務器其它安全要求應用案例一：SVPN典型應用INTERNET案例一：網絡安全設計服務子網代理服務器郵件服務器內部子網管理中心網絡DNS服務器路由器分支子網2代理服務器分支子網1路由器NNEEsseecc330000FFWW2

35

6告警

內網接口外網接口

8

9電源

0

?NNEEsseecc330000FFWW2

35

68

90

?告警

內網接口外網接口電源NNEEsseecc330000FFWW2

35

68

90

?告警

內網接口外網接口電源NNEEsseecc330000FFWW2

35

6告警

內網接口第9頁，共35頁。外網接口

8

9電源

0

?CAMANSG1SG2SG3路由器應用案例一：SVPN典型應用第10頁，共35頁。實現(xiàn)的主要功能子網之間的通信加密各子網與外部網絡的訪問控制管理中心對各子網安全進行統(tǒng)一管理實現(xiàn)網絡地址轉換（NAT）其它應用案例一：SVPN典型應用第11頁，共35頁。安全策略實施安全策略制定安全策略實現(xiàn)安全策略檢驗安全策略修改其它應用案例一：SVPN典型應用DDNE-MAIL省管理中心網絡WWW路由器路由器路由器某尋呼臺信息網絡DNS縣網絡中心縣網絡中心其它應用案例二：防火墻典型應用第12頁，共35頁。第13頁，共35頁。網絡現(xiàn)狀分析及需求內部所有網絡采用私有地址，自成體系省和縣通過DDN專線進行網絡通信通過ADSL接入INTERNET使用防火墻的NAT功能使所有用戶能訪問INTERNET，并進行訪問控制能對外提供INTERNET服務應用案例二：防火墻典型應用DDNE-MAILWWW路由器路由器路由器其它NNEEsseecc330000FFWW告警

22

33內網接口

55

66外網接口

88

99電源

00

??INTERNET防火墻ADSL縣網絡中心縣網絡中心第14頁，共35頁。省管管理理中中心心網網絡絡應用案例二：防火墻典型應用第15頁，共35頁。主要實現(xiàn)的功能提供訪問控制提供網絡地址轉換（NAT）內部所有用戶都能夠訪問INTERNET提供端口映射功能，使INTERNET用戶能訪問尋呼臺的WWW、E-MAIL和其它服務其它應用案例二：防火墻典型應用內部核心子網INTERNET分支機構1分支機構2電子政務網絡拓撲概述第16頁，共35頁。應用案例三：綜合應用領導層子網分支機構2業(yè)務處室子網公共處室子網服務處室子網直屬人事機構

處室子網共享數(shù)據(jù)庫子網INTERNET分支機構1電子政務網絡拓撲詳細分析第17頁，共35頁。應用案例三：綜合應用領導層子網分支機構2業(yè)務處室子網公共處室子網服務處室子網直屬人事機構

處室子網共享數(shù)據(jù)庫子網INTERNET分支機構1此人正試圖進入網絡監(jiān)聽并竊取敏感信息電子政務網絡風險及需求分析分支機構工作人員正試圖在領導層子網安裝木馬分支機構工作人員正試圖越權訪問業(yè)務子網安裝木馬非內部人員正試圖篡改公共網絡服務器的數(shù)據(jù)第18頁，共35頁。應用案例三：綜合應用領導層子網業(yè)務處室子網公共處室子網服務處室子網直屬人事機構

處室子網共享數(shù)據(jù)庫子網分支機構2分支機構1NNEEsseecc330000FFWW2

3告警內網接口

5

6外網接口

8

9電源

0

?NNEEsseecc330000FFWW2

35

68

90

?告警

內網接口

外網接口電源INTERNETNNEEsseecc330000FFWW2

3告警內網接口

5

6外網接口

8

9電源

0

?防火墻FW1防火墻FW2防火墻FW3安全認證服務器安全管理器安全網關SG1安全網關SG2安全網關SG3路由器路由器路由器交換機電子政務網絡內網基礎網絡平臺安全應用案例三：綜合應用NNEEsseecc330000FFWW2

35

68

90

?告警內網接口外網接口電源第19頁，共35頁。分支機構2INTERNET分支機構1NNEEsseecc330000FFWW2

3告警內網接口

5

6外網接口

8

9電源

0

?內部核心子網NNEEsseecc330000FFWW2

35

68

90

?告警

內網接口外網接口電源NNEEsseecc330000FFWW告警

2

3內網接口

5

6外網接口

8

9電源

0NNEEsseecc330000FFWW告警

2

3內網接口

5

6外網接口

8

9電源

0交換機安全網關SG2安全網關SG3安全網關SG1路由器路由器路由器安全管理器安全認證服務器內網核心網絡與各級子網間的安全設計第20頁，共35頁。分支機構2INTERNET分支機構1NNEEsseecc330000FFWW2

3告警內網接口

5

6外網接口

8

9電源

0

?內部核心子網NNEEsseecc330000FFWW2

35

68

90

?告警內網接口外網接口電源NNEEsseecc330000FFWW

2

3告警內網接口

5

6外網接口

8

9電源

0

?NNEEsseecc330000FFWW

2

3告警內網接口

5

6外網接口

8

9電源

0

?交換機安全網關SG1安全網關SG2安全網關SG3路由器路由器路由器安全管理器安全認證服務器網絡漏洞掃描器內網網絡漏洞掃描系統(tǒng)設計第21頁，共35頁。分支機構2分支機構1NNEEsseecc330000FFWW2

35

68

90

?告警內網接口外網接口電源內部核心子網NNEEsseecc330000FFWW2

35

68

90

?告警

內網接口外網接口電源NNEEsseecc330000FFWW告警

2

3內網接口

5

6外網接口

8

9電源

0

?NNEEsseecc330000FFWW告警

2

3內網接口

5

6外網接口

8

9電源

0

?交換機安全網關SG1安全網關SG2安全網關SG3路由器INTERNET路由器路由器安全管理器安全認證服務器網絡入侵檢測探頭網絡入侵策略管理器內網網絡入侵檢測系統(tǒng)設計第22頁，共35頁。INTERNET辦公廳辦公業(yè)務網 （簡稱“內網”）路由器交換機安全管理器防火墻FW物理隔離器（K1)E-MAIL服務器WWW服務器應用服務器數(shù)據(jù)庫服務器電子政務外網基礎平臺安全設計第23頁，共35頁。INTERNET辦公廳辦公業(yè)務網 （簡稱“內網”）路由器交換機安全管理器防火墻FW物理隔離器（K1)E-MAIL服務器WWW服務器應用服務器數(shù)據(jù)庫服務器網絡漏洞掃描器外網網絡漏洞掃描系統(tǒng)設計第24頁，共35頁。INTERNET路由器交換機安全管理器物理隔離器（K1)辦公廳辦公業(yè)務網（簡稱“內網”）E-MAIL服務器WWW服務器應用服務

數(shù)據(jù)庫服器

務器網絡漏洞掃描器網絡入侵檢測探頭網絡入侵策略管理器防火墻FW外網網絡入侵檢測系統(tǒng)設計第25頁，共35頁。INTERNET路由器交換機安全管理器物理隔離器（K2)E-MAIL服務器WWW服務器應用服務器數(shù)據(jù)庫服務器防火墻FW物理隔離器（K1)辦公廳辦公業(yè)務網 （簡稱“內網”）政府系統(tǒng)辦公業(yè)務資源網（簡稱

“專網”）Web網站監(jiān)測&自動修復系統(tǒng)外網WEB服務器安全設計第26頁，共35頁。INTERNET路由器交換機安全管理器物理隔離器（K2)E-MAIL服務器WWW服務器應用服務

數(shù)據(jù)庫服器

務器防火墻FW物理隔離器（K1)辦辦辦辦公公廳廳辦辦公公業(yè)務業(yè)網務網（簡稱（稱（“簡內稱網“”內）

網”）政府系統(tǒng)辦公業(yè)務資

源網（簡稱“專網”）內網、外網和專網的隔離系統(tǒng)設計第27頁，共35頁。典型整體解決方案的應用案例應用案例一：成都市某機關單位

應用案例二：北京市某機關單位應用案例三：國家某部委全國信息網絡系統(tǒng)

應用案例四：電子政務安全應用平臺第28頁，共35頁。相對性綜合性：涉及管理及技術多個層面網絡安全產品的單一性動態(tài)性：技術跟進和維護支持的重要性管理難度大黑盒性網絡安全特點第29頁，共35頁。P2DR：動態(tài)安全模型第30頁，共35頁。信息安全產品的平臺化戰(zhàn)略第31頁，共35頁。圍繞COE所提供的關鍵業(yè)務的風險分析形成對各種風險的適度控制機制把各安全控制的功能模塊融合在一個統(tǒng)一的管理、監(jiān)控和響應的平臺中信息安全平臺化戰(zhàn)略是COE的重要組成部分對網絡安全現(xiàn)狀作出正確判斷較為準確地估計特定網絡用戶的風險建立相應的控制風險的機制,并把這些機制容為一體形成防護體系最大限度地提高系統(tǒng)的可用性,并把網絡帶來的風險減低到可接受程度網絡信息安全目標第32頁，共35頁。動態(tài)網絡安全防護策略第33頁，共35頁。網絡安全策略