課件項目五任務(wù)信息系統(tǒng)等級保護設(shè)計

項目五

花都縣電子政務(wù)外網(wǎng)規(guī)劃與設(shè)計任務(wù)六電子政務(wù)外網(wǎng)信息系統(tǒng)安全保護設(shè)計任務(wù)三電子政務(wù)外網(wǎng)IP規(guī)劃任務(wù)一電子政務(wù)外網(wǎng)網(wǎng)絡(luò)需求獲取任務(wù)五

網(wǎng)絡(luò)中心規(guī)劃與設(shè)計任務(wù)四電子政務(wù)外網(wǎng)路由與MPLSVPN設(shè)計任務(wù)七外網(wǎng)平臺應(yīng)用系統(tǒng)規(guī)劃與項目預(yù)算任務(wù)二電子政務(wù)外網(wǎng)拓撲結(jié)構(gòu)設(shè)計1知識回顧：網(wǎng)絡(luò)中心規(guī)劃與設(shè)計1、網(wǎng)絡(luò)中心環(huán)境設(shè)計3、存儲備份系統(tǒng)規(guī)劃2、網(wǎng)絡(luò)中心服務(wù)器規(guī)劃2引入任務(wù)1、政務(wù)外網(wǎng)安全體系架構(gòu)與信息安全系統(tǒng)應(yīng)用2、花都縣政務(wù)外網(wǎng)信息系統(tǒng)安全方案設(shè)計31、政務(wù)外網(wǎng)安全體系架構(gòu)與信息安全系統(tǒng)應(yīng)用4政務(wù)外網(wǎng)邏輯隔離(互聯(lián)網(wǎng))政府網(wǎng)站政府外網(wǎng)物理網(wǎng)絡(luò)物理隔離各類業(yè)務(wù)專網(wǎng)政務(wù)內(nèi)網(wǎng)政府辦公業(yè)務(wù)系統(tǒng)……政務(wù)內(nèi)網(wǎng)網(wǎng)絡(luò)平臺國辦電子政務(wù)網(wǎng)基本安全框架5政務(wù)外網(wǎng)安全體系架構(gòu)66加快電子政務(wù)外網(wǎng)等級保護工作文件7《國家電子政務(wù)外網(wǎng)電子認證服務(wù)管理暫行辦法》第8頁/共4頁8電子政務(wù)外網(wǎng)信息系統(tǒng)定級電子政務(wù)外網(wǎng)信息系統(tǒng)定級序號信息系統(tǒng)名稱安全保護等級業(yè)務(wù)信息安全等級系統(tǒng)服務(wù)安全等級1政務(wù)外網(wǎng)IP通信網(wǎng)絡(luò)3232縣級政務(wù)外網(wǎng)VPN業(yè)務(wù)3333縣級外網(wǎng)互聯(lián)網(wǎng)托管中心2224政務(wù)外網(wǎng)門戶網(wǎng)站3329外網(wǎng)當(dāng)前網(wǎng)絡(luò)主要存在的問題10“安全域”劃分不是基于信息系統(tǒng)依靠“應(yīng)用層”授權(quán)可同時訪問互聯(lián)網(wǎng)和安全域終端管理太麻煩&IDS利用效率低身份認證網(wǎng)關(guān)承擔(dān)巨大壓力10電子政務(wù)外網(wǎng)安全保障體系安全保障體系網(wǎng)絡(luò)信任體系網(wǎng)絡(luò)安全防護體系安全服務(wù)體系基于橋CA的互聯(lián)互通PKI/CA證書管理系統(tǒng)密碼服務(wù)管理體系密鑰管理服務(wù)物理層安全傳輸層安全系統(tǒng)層安全管理層安全安全咨詢安全評估安全加固安全培訓(xùn)安全管理體系應(yīng)用層安全安全策略管理制度法律法規(guī)技術(shù)標(biāo)準(zhǔn)網(wǎng)絡(luò)信任網(wǎng)絡(luò)安全防護安全服務(wù)基于橋CA的互聯(lián)互通PKI/CA證書管理系統(tǒng)密碼服務(wù)管理密鑰管理服務(wù)物理層安全傳輸層安全系統(tǒng)層安全管理層安全安全咨詢安全評估安全加固安全培訓(xùn)信息安全基礎(chǔ)設(shè)施安全管理機制應(yīng)用層安全安全策略管理制度法律法規(guī)技術(shù)標(biāo)準(zhǔn)標(biāo)準(zhǔn)規(guī)范與風(fēng)險評估11電子政務(wù)外網(wǎng)安全系統(tǒng)重點建設(shè)內(nèi)容網(wǎng)絡(luò)安全防護系統(tǒng)劃定安全域，實施安全等級保護,建設(shè)網(wǎng)絡(luò)防護子系統(tǒng)、因特網(wǎng)出口隔離管理子系統(tǒng)等；網(wǎng)絡(luò)信任系統(tǒng)按照國家網(wǎng)絡(luò)信任體系建設(shè)的統(tǒng)一規(guī)劃，在國家信息安全主管部門的指導(dǎo)下，建設(shè)頂層認證中心(根CA)和證書審核注冊中心(RA)；構(gòu)建外網(wǎng)網(wǎng)絡(luò)信任系統(tǒng)安全管理系統(tǒng)，建設(shè)中央和省兩級安全管理中心,制訂安全標(biāo)準(zhǔn)規(guī)范,建立安全管理和服務(wù)機制12電子政務(wù)外網(wǎng)安全域劃分示意圖13實名制安全準(zhǔn)入，實現(xiàn)終端安全安全行為審計，全面管理用戶行為安全域邊界隔離，實現(xiàn)分級分域管理網(wǎng)絡(luò)授權(quán)，控制指定的人訪問指定的業(yè)務(wù)基于安全域的信息系統(tǒng)安全方案設(shè)計14基于安全域的信息系統(tǒng)安全方案設(shè)計應(yīng)用安全域解決方案拓撲圖15應(yīng)用安全域解決方案——主機安全準(zhǔn)入用戶名、密碼接入交換機IP地址接入交換機端口用戶IP地址用戶MAC地址VLAN信息硬盤序列號身份合法的人才可接入網(wǎng)絡(luò)健康的主機才可接入網(wǎng)絡(luò)合法操作的主機才可使用網(wǎng)絡(luò)16應(yīng)用安全域解決方案——用戶行為審計1—優(yōu)盤認證對被認證的U盤管理員可以選擇對認證過的U盤做數(shù)據(jù)保護可以設(shè)定認證U盤的有效期避免病毒通過移動存儲設(shè)備傳播17應(yīng)用安全域解決方案——用戶行為審計2—訪問日志用戶所有操作均可記錄在案18應(yīng)用安全域解決方案——用戶行為審計3—網(wǎng)絡(luò)實名準(zhǔn)入：動態(tài)的自動綁定UID+MAC+IP+PORT，確保入網(wǎng)用戶身份合法、主機標(biāo)識和網(wǎng)絡(luò)標(biāo)識真實可信骨干網(wǎng)絡(luò)網(wǎng)關(guān)RG-ACE系列（帶寬及流量管理）安全接入交換機安全計費管理RG-SMP

日志管理RG-eLogCERNET準(zhǔn)出準(zhǔn)入實現(xiàn)“網(wǎng)絡(luò)實名制”出現(xiàn)非法言論等行為，快速定位到人準(zhǔn)出：基于用戶身份的訪問權(quán)限控制，基于用戶身份帶寬管理和流量計費準(zhǔn)入和準(zhǔn)出一體化統(tǒng)一的管理平臺\統(tǒng)一的賬號密碼認證合二為一、用戶自主選擇可方便切換19電子政務(wù)外網(wǎng)的安全區(qū)域劃分?jǐn)?shù)據(jù)中心安全域劃分三個安全子域安全管理中心資源共享中心/省直服務(wù)器群托管門戶站群網(wǎng)絡(luò)接入安全域劃分兩個安全子域省核心城域網(wǎng)安全域廣域接入網(wǎng)安全域20核心業(yè)務(wù)區(qū)（三級）安全管理區(qū)（三級）核心交換區(qū)NIDS流量控制終端接入?yún)^(qū)運營商A運營商B互聯(lián)網(wǎng)接入?yún)^(qū)VPN接入入網(wǎng)審計數(shù)據(jù)交換區(qū)（三級）交換服務(wù)器非涉密網(wǎng)安全隔離系統(tǒng)安全域控制卡數(shù)據(jù)存儲區(qū)（三級）一般業(yè)務(wù)系統(tǒng)防篡改系統(tǒng)認證服務(wù)器漏洞掃描終端管理服務(wù)器網(wǎng)絡(luò)審計系統(tǒng)存儲系統(tǒng)資料下載服務(wù)器信息發(fā)布服務(wù)器其他應(yīng)用服務(wù)器財務(wù)系統(tǒng)、資產(chǎn)管理系統(tǒng)、人事系統(tǒng)···重要人員接入?yún)^(qū)網(wǎng)絡(luò)服務(wù)區(qū)（二級）內(nèi)部辦公系統(tǒng)區(qū)（三級）重要辦公系統(tǒng)區(qū)（四級）行業(yè)或部門專有系統(tǒng)關(guān)鍵應(yīng)用系統(tǒng)不被攻擊；數(shù)據(jù)不被竊取或被修改。應(yīng)用安全域解決方案——安全域邊界隔離—邏輯安全域21應(yīng)用安全域解決方案——同一時刻訪問同一安全域安全管理區(qū)（三級）核心交換區(qū)NIDS流量控制終端接入?yún)^(qū)運營商A運營商B互聯(lián)網(wǎng)接入?yún)^(qū)VPN接入入網(wǎng)審計數(shù)據(jù)交換區(qū)（三級）交換服務(wù)器非涉密網(wǎng)安全隔離系統(tǒng)安全域控制卡數(shù)據(jù)存儲區(qū)（三級）一般業(yè)務(wù)系統(tǒng)防篡改系統(tǒng)認證服務(wù)器漏洞掃描終端管理服務(wù)器網(wǎng)絡(luò)審計系統(tǒng)存儲系統(tǒng)資料下載服務(wù)器信息發(fā)布服務(wù)器其他應(yīng)用服務(wù)器重要人員接入?yún)^(qū)網(wǎng)絡(luò)服務(wù)區(qū)（二級）核心業(yè)務(wù)區(qū)（三級）重要辦公系統(tǒng)區(qū)（四級）行業(yè)或部門專有系統(tǒng)防常規(guī)木馬，特種木馬用其他方式。財務(wù)系統(tǒng)、資產(chǎn)管理系統(tǒng)、人事系統(tǒng)···內(nèi)部辦公系統(tǒng)區(qū)（三級）22應(yīng)用安全域解決方案——根據(jù)身份做應(yīng)用授權(quán)安全管理區(qū)（三級）核心交換區(qū)NIDS流量控制終端接入?yún)^(qū)運營商A運營商B互聯(lián)網(wǎng)接入?yún)^(qū)VPN接入入網(wǎng)審計數(shù)據(jù)交換區(qū)（三級）交換服務(wù)器非涉密網(wǎng)安全隔離系統(tǒng)安全域控制卡數(shù)據(jù)存儲區(qū)（三級）一般業(yè)務(wù)系統(tǒng)防篡改系統(tǒng)認證服務(wù)器漏洞掃描終端管理服務(wù)器網(wǎng)絡(luò)審計系統(tǒng)存儲系統(tǒng)資料下載服務(wù)器信息發(fā)布服務(wù)器其他應(yīng)用服務(wù)器財務(wù)系統(tǒng)、資產(chǎn)管理系統(tǒng)、人事系統(tǒng)···重要人員接入?yún)^(qū)內(nèi)部辦公系統(tǒng)區(qū)（三級）網(wǎng)絡(luò)服務(wù)區(qū)（二級）核心業(yè)務(wù)區(qū)（三級）重要辦公系統(tǒng)區(qū)（四級）行業(yè)或部門專有系統(tǒng)服務(wù)器不再被惡意攻擊，也不會被非法用戶竊取信息23對優(yōu)盤等外設(shè)進行控制，明確只有指定的優(yōu)盤可以用在指定的機器上，杜絕了敏感信息泄漏的最大源頭。建立安全的訪問路徑，邏輯上使網(wǎng)絡(luò)中僅存在用戶和應(yīng)用系統(tǒng)兩個主體，避免了數(shù)據(jù)被竊取、被篡改同一時間只能訪問一個安全域，避免了大部分的木馬攻擊。根據(jù)用戶身份在網(wǎng)絡(luò)層授權(quán)，使非授權(quán)用戶無法找到服務(wù)器，從而避免攻擊。特有的安全域控制卡，實現(xiàn)無客戶端情況下的認證、授權(quán)，部署簡便。統(tǒng)一互聯(lián)網(wǎng)安全解決方案，實現(xiàn)外網(wǎng)接入用戶做到事前認證，事中監(jiān)測，事后審計的外網(wǎng)安全接入。應(yīng)用安全域解決方案特點242、花都縣政務(wù)外網(wǎng)信息系統(tǒng)等級保護設(shè)計25花都縣政務(wù)外網(wǎng)信息系統(tǒng)等級保護設(shè)計（1）政務(wù)外網(wǎng)等級保護安全整體規(guī)劃方案電子政務(wù)外網(wǎng)做國家政務(wù)網(wǎng)絡(luò)系統(tǒng)的重要部門，承載著互聯(lián)網(wǎng)訪問窗口、對公眾提供信息化交互服務(wù)。為確保后續(xù)的發(fā)展要求，此次建設(shè)總體的安全體系按照三級的規(guī)范來設(shè)計制定。電子政務(wù)外網(wǎng)網(wǎng)絡(luò)安全主要關(guān)注網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備自身安全等方面，具體的控制點包括:結(jié)構(gòu)安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護等七個控制點。26信息系統(tǒng)等級保護設(shè)計按照《信息系統(tǒng)安全等級保護基本要求》中三級網(wǎng)絡(luò)安全要求,電子政務(wù)外網(wǎng)安全保護整體解決方案見下表所示。27信息系統(tǒng)等級保護設(shè)計測評要求（從結(jié)構(gòu)安全與網(wǎng)段劃分方面考慮）解決方案a)網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；雙核心、高性能設(shè)備互為冗余備份b)應(yīng)設(shè)計和繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖；通過網(wǎng)絡(luò)管理軟件進行繪制并美化c)應(yīng)根據(jù)機構(gòu)業(yè)務(wù)的特點，在滿足業(yè)務(wù)高峰期需要的基礎(chǔ)上，合理設(shè)計網(wǎng)絡(luò)帶寬；采用具備萬兆為主干的鏈路d)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；通過訪問控制及路由控制進行路徑的隔離e)應(yīng)根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；實施時將嚴(yán)格對不同工作職能等的工作部門進行不同子網(wǎng)的分配f)重要網(wǎng)段應(yīng)采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施防止地址欺騙；通過部署具備防地址欺騙的安全交換機和匯聚交換機的防火墻業(yè)務(wù)板實現(xiàn)g)應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要業(yè)務(wù)數(shù)據(jù)主機。在安全交換機上啟用QOS實現(xiàn)28信息系統(tǒng)等級保護設(shè)計測評要求（從網(wǎng)絡(luò)訪問控制方面考慮）解決方案a)應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；通過具備高級訪問控制列表的安全交換機和交換機的防火墻業(yè)務(wù)板實現(xiàn)b)應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；通過部署具備高級訪問控制列表的安全交換機實現(xiàn)c)應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入；通過部署安全準(zhǔn)入系統(tǒng)，杜絕不注冊用戶和終端的網(wǎng)絡(luò)接入d)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；由應(yīng)用系統(tǒng)實現(xiàn)e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。通過防火墻、IPS設(shè)備等安全設(shè)備實現(xiàn)29信息系統(tǒng)等級保護設(shè)計測評要求（從撥號訪問控制方面考慮）解決方案a)應(yīng)在基于安全屬性的允許遠程用戶對系統(tǒng)訪問的規(guī)則的基礎(chǔ)上，對系統(tǒng)所有資源允許或拒絕用戶進行訪問，控制粒度為單個用戶；通過部署安全準(zhǔn)入系統(tǒng)，對每一個遠程用戶進行分類訪問控制（通過局域網(wǎng)出口設(shè)備或其他設(shè)備）b)應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量；通過局域網(wǎng)出口設(shè)備或其他設(shè)備c)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許用戶對受控系統(tǒng)進行資源訪問。通過部署安全準(zhǔn)入系統(tǒng)，設(shè)置嚴(yán)格的訪問規(guī)則30信息系統(tǒng)等級保護設(shè)計測評要求（從網(wǎng)絡(luò)安全審計方面考慮）解決方案a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行全面的監(jiān)測、記錄；通過部署網(wǎng)管系統(tǒng)實現(xiàn)設(shè)備狀態(tài)檢測，通過安全準(zhǔn)入系統(tǒng)實現(xiàn)用戶行為審計；上網(wǎng)行為審計系統(tǒng)實現(xiàn)b)對于每一個事件，其審計記錄應(yīng)包括:事件的日期和時間、用戶、事件類型、事件是否成功，及其他與審計相關(guān)的信息；通過架設(shè)syslog服務(wù)器與防火墻對接獲取日志，通過網(wǎng)管和準(zhǔn)入系統(tǒng)的日志系統(tǒng)、以及IDS和上網(wǎng)行為審計系統(tǒng)實現(xiàn)c)安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；同上d)安全審計應(yīng)可以對特定事件，提供指定方式的實時報警；利用網(wǎng)管系統(tǒng)、入侵檢測系統(tǒng)、安全準(zhǔn)入系統(tǒng)的告警功能實現(xiàn)e)審計記錄應(yīng)受到保護避免受到未預(yù)期的刪除、修改或覆蓋等。管理員人工保留實現(xiàn)31信息系統(tǒng)等級保護設(shè)計測評要求（從邊界完整性檢查方面考慮）解決方案a)應(yīng)能夠檢測內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為（即“非法外聯(lián)”行為）；通過安全準(zhǔn)入系統(tǒng)實現(xiàn)非法外聯(lián)的檢測和報告b)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到網(wǎng)絡(luò)的行為進行檢查，并準(zhǔn)確定出位置，對其進行有效阻斷；通過安全準(zhǔn)入系統(tǒng)所屬客戶端軟件進行阻斷c)應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢測后準(zhǔn)確定出位置，并對其進行有效阻斷。通過安全準(zhǔn)入系統(tǒng)所屬客戶端軟件進行阻斷32信息系統(tǒng)等級保護設(shè)計測評要求（從網(wǎng)絡(luò)入侵防范、惡意代碼防范方面考慮）解決方案a)應(yīng)在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為:端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵事件的發(fā)生；部署入侵檢測實現(xiàn)b)當(dāng)檢測到入侵事件時，應(yīng)記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴(yán)重入侵事件時提供報警。部署入侵檢測實現(xiàn)a)應(yīng)在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對惡意代碼進行檢測和清除；邊界防火墻實現(xiàn)b)應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新；邊界防火墻實現(xiàn)c)應(yīng)支持惡意代碼防范的統(tǒng)一管理。邊界防火墻實現(xiàn)33信息系統(tǒng)等級保護設(shè)計測評要求（從網(wǎng)絡(luò)設(shè)備防護方面考慮）解決方案a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)b)應(yīng)對網(wǎng)絡(luò)上的對等實體進行身份鑒別；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)c)應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)d)網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)e)身份鑒別信息應(yīng)具有不易被冒用的特點，例如口令長度、復(fù)雜性和定期的更新等；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)f)應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)g)應(yīng)具有登錄失敗處理功能，如結(jié)束會話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時，自動退出；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)h)應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，例如將管理與審計的權(quán)限分配給不同的網(wǎng)絡(luò)設(shè)備用戶。通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)i)應(yīng)設(shè)置網(wǎng)絡(luò)登錄連接超時，并自動退出；通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)j)應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，例如將管理與審計的權(quán)限分配給不同的網(wǎng)絡(luò)設(shè)備用戶。通過設(shè)置網(wǎng)絡(luò)設(shè)備實現(xiàn)34信息系統(tǒng)等級保護設(shè)計（2）WEB服務(wù)防篡改設(shè)計電子政務(wù)數(shù)據(jù)中心政務(wù)外網(wǎng)通過WEB的方式，將重要的信息和數(shù)據(jù)進行公開發(fā)布，而管理中心特殊的政府職能，就決定了其WEB站點必將成為黑客關(guān)注的焦點。目前，而針對主頁系統(tǒng)的攻擊包括篡改、拒絕服務(wù)、惡意腳本、信息泄露等攻擊，常見的防護手段是防火墻、入侵檢測和防病毒來，在采納上述三種技術(shù)之上，如果對主頁內(nèi)容進一步進行防護，那將大大降低攻擊的成功率，進一步提升WEB應(yīng)用的安全性，這種技術(shù)就是主頁防篡改。35信息系統(tǒng)等級保護設(shè)計WEB服務(wù)防篡改解決方案36信息系統(tǒng)等級保護設(shè)計（2）WEB服務(wù)防篡改設(shè)計通過WEB防火墻能有效進行webshell的檢測、過濾與偵測、監(jiān)控通過單一WAF設(shè)備支持多個網(wǎng)站管理員分別配置管理防護策略，并提供獨立的攻擊事件報警、分析日志與報表；WEB防火墻預(yù)置了攻擊防御策略；設(shè)備上線，無需配置即可防御絕大多數(shù)攻擊；同時也提供白名單功能，供高級客戶使用，達到有效防止網(wǎng)頁篡改。37信息系統(tǒng)等級保護設(shè)計（3）內(nèi)部訪問控制及安全審計規(guī)劃要對各類系統(tǒng)產(chǎn)生的安全日志實現(xiàn)全面、有效的綜合分析，就必須為安全管理員建立一個能夠集中收集、管理、分析各種安全日志的安全審計管理中心，使網(wǎng)絡(luò)管理員不用像以前那樣從龐雜的日志信息中手工搜尋網(wǎng)絡(luò)入侵的行為，為管理員提供一個方便、高效、直觀的審計平臺，大大提高安全管理員的工作效率和質(zhì)量，更加有效地保障網(wǎng)絡(luò)的安全運行。主要從接入安全管理、安全審計、日志審計三個方面進行設(shè)計。38信息系統(tǒng)等級保護設(shè)計（3）內(nèi)部訪問控制及安全審計規(guī)劃接入安全管理：電子政務(wù)外網(wǎng)信息系統(tǒng)中有許多核心服務(wù)器系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)等，這些系統(tǒng)的日常維護和管理都需要相關(guān)人員包括第三方人員的操作，這些維護操作的對象是核心系統(tǒng)，操作人員權(quán)限相對都是超級權(quán)限，帶來的安全風(fēng)險更大，所以對這些核心系統(tǒng)的維護操作需要專業(yè)的安全內(nèi)控系統(tǒng)進行必要的授權(quán)、管理和審計，防止未授權(quán)的訪問和誤操作，