方案模板-XX省政法網(wǎng)安全方案

方案說明方案類型：省級政法網(wǎng)目標分析：省級政法網(wǎng)是各省政府信息化建設的一個新動向。其背景是各省的政法委〔是黨領導和管理政法工作的職能部門〕、公安、法院、檢察院、平安、司法六大部門都屬于政法系統(tǒng)。但目前除了公安、法院、檢察部門已經(jīng)自己建成了獨立的從國家到縣級網(wǎng)絡，其他單位根本上都沒有自成一體的縱向網(wǎng)絡。而政法部門之間也逐漸開展了一些信息互聯(lián)業(yè)務。因此，中央政法委提出建立一個統(tǒng)一為政法部門搭建的覆蓋全省的骨干網(wǎng)絡。好處有二：節(jié)約本錢，防止各部門重復建設從省到縣的骨干網(wǎng)絡；便于互聯(lián)業(yè)務開展。可以預見今后政法信息化互聯(lián)業(yè)務將成為新的增長點，卷宗調閱，視頻會議、公文傳遞等如果有一個統(tǒng)一的骨干網(wǎng)絡，將更容易部署。目前已有局部省建立了政法網(wǎng)骨干網(wǎng)。其特點根本如下：傳輸網(wǎng)絡行業(yè)隔離：由于各行業(yè)都有較嚴格的管理制度與平安標準，因此政法網(wǎng)建設時，縱向的傳輸系統(tǒng)一般都通過劃分MPLSVPN等方式，保證相互之間的隔離。數(shù)據(jù)共享區(qū)域交互：由于政法系統(tǒng)間信息共享的業(yè)務需求，一般會在省、市級單位建立數(shù)據(jù)共享平臺，解決各單位之間的數(shù)據(jù)交換問題。系統(tǒng)管理縱強橫弱：由于政法網(wǎng)行業(yè)分隔的特點，導致政法網(wǎng)的網(wǎng)絡與平安管理呈現(xiàn)出各行業(yè)垂直管理較強，區(qū)域平臺橫向管理較弱的特點。各行業(yè)的網(wǎng)絡管理、應用管理、平安管理主要以設備管理、直接控制為主，橫向管理主要以監(jiān)督檢測、制度管理為主。方案特點：該方案為規(guī)劃方案，并不涉及具體采用哪些產(chǎn)品。適用于比擬前期的工程。可幫助用戶進行體系規(guī)劃和預算設計。方案側重于網(wǎng)絡結構和體系的規(guī)劃，對從物理平安到平安管理都進行了全面考慮。雖然本政法網(wǎng)方案為非涉密網(wǎng)方案，但其中也有一個章節(jié)專門討論了涉密信息系統(tǒng)的建設要點?！惨驗檎ňW(wǎng)也有可能在這個骨干網(wǎng)上單獨建立一個涉密網(wǎng)。但涉密網(wǎng)和非涉密網(wǎng)一定是完全獨立規(guī)劃和建設的。〕方案核心內(nèi)容是構建了一種組網(wǎng)與數(shù)據(jù)交換模式，六大單位橫向依靠MPLSVPN進行隔離，同時在省、市兩級建立數(shù)據(jù)共享區(qū)域，各單位各自規(guī)劃出業(yè)務前置區(qū)，所有需要進行交換的數(shù)據(jù)均首先到達各自的業(yè)務前置區(qū)，再經(jīng)由網(wǎng)閘設備擺渡到政法網(wǎng)省、市級的數(shù)據(jù)共享區(qū)。其中根據(jù)公安部、最高法、最高檢等單位的內(nèi)部政策，與其他專網(wǎng)進行數(shù)據(jù)交換時，網(wǎng)閘是必須采用的設備。包含產(chǎn)品：該方案為體系規(guī)劃方案，無具體產(chǎn)品。如果需要具體部署方案，可以參考公司標準方案在后面作為補充。

XXX政法綜合信息支撐網(wǎng)平安建設方案聯(lián)想網(wǎng)御科技〔北京〕2011年3月目錄1 工程概述 5 網(wǎng)絡規(guī)劃概述 62 風險分析 7 信息共享區(qū)風險分析 7 各單位專網(wǎng)風險分析 113 需求匯總 14 信息共享區(qū)平安需求 14 各單位專網(wǎng)平安需求 154 平安架構 16 平安建設標準 16 平安設計原那么 16 平安架構設計 175 xx政法網(wǎng)管理體系設計 19 政法網(wǎng)平安組織建設 19 平安標準和制度建設 20 平安運維建設 226 xx政法網(wǎng)技術體系設計 24 物理/鏈路平安防護 24 網(wǎng)絡平安防護 25 計算區(qū)域平安防護 26 應用平安防護 29 平安管理中心建設 337 涉密信息系統(tǒng)設計概述 36 涉密信息系統(tǒng)設計標準 36 涉密系統(tǒng)平安保密方案的主要內(nèi)容 36 方案設計中的幾個要點 378 各單位技術體系設計要求 39 物理/鏈路平安防護要求 39 網(wǎng)絡平安防護要求 40 計算區(qū)域平安防護要求 41 應用平安防護要求 42 平安管理中心建設建議 44工程概述政法網(wǎng)的建設是國家電子政務的重要組成局部，是現(xiàn)代司法、立法和警務執(zhí)法工作的需要。政法網(wǎng)不僅可以為國家機關和社會提供各種政法信息效勞，而且可以為是打擊犯罪活動和保障經(jīng)濟建設提供及時、準確和全面的信息效勞，是信息時代開展的要求，是一場新的司法、立法和警務執(zhí)法的革命。xx省經(jīng)過多年建設，公安、法院、檢察院等政法單位都不同程度的建立了自己的縱向業(yè)務信息網(wǎng)絡。這些信息化建設為xx省的政法工作開展起到了相當大的促進作用。而隨著現(xiàn)代政法工作的業(yè)務開展，各部門之間協(xié)同工作、信息共享的需求越來越強烈。因此，建設一個統(tǒng)一平臺的政法網(wǎng)絡，已經(jīng)成為xx省政法信息化進程的必需。近年來，國內(nèi)已經(jīng)有多個省份建立了自己的省級政法網(wǎng)，根本的形式是建設成省級公安、檢察、法院、司法等單位共享的“數(shù)據(jù)、語音、視頻”的三網(wǎng)合一的網(wǎng)絡平臺。綜合這些省份的建設，總體上具有以下特點：一、傳輸網(wǎng)絡行業(yè)隔離：由于各行業(yè)都有較嚴格的管理制度與平安標準，因此政法網(wǎng)建設時，縱向的傳輸系統(tǒng)一般都通過劃分MPLSVPN等方式，保證相互之間的隔離。二、數(shù)據(jù)共享區(qū)域交互：由于政法系統(tǒng)間信息共享的業(yè)務需求，一般會在省、市級單位建立數(shù)據(jù)共享平臺，解決各單位之間的數(shù)據(jù)交換問題。三、系統(tǒng)管理縱強橫弱：由于政法網(wǎng)行業(yè)分隔的特點，導致政法網(wǎng)的網(wǎng)絡與平安管理呈現(xiàn)出各行業(yè)垂直管理較強，區(qū)域平臺橫向管理較弱的特點。各行業(yè)的網(wǎng)絡管理、應用管理、平安管理主要以設備管理、直接控制為主，橫向管理主要以監(jiān)督檢測、制度管理為主。政法網(wǎng)建設中的縱向隔離與橫向共享的特點，是與其它電子政務系統(tǒng)建設的明顯區(qū)別，也是在系統(tǒng)設計與平安設計時必須要考慮的重要特點。而如何建立一個行之有效的平安管理體系，解決政法網(wǎng)跨行業(yè)平安管理和監(jiān)控的矛盾，也是保證網(wǎng)絡平臺的穩(wěn)定運行和業(yè)務的平安高效運轉所需要解決的重要問題。本方案將分析xx政法網(wǎng)所面臨的風險，并針對風險進行平安體系設計。同時，對與xx政法網(wǎng)相連的六大系統(tǒng)網(wǎng)絡進行風險分析并提出與xx政法網(wǎng)平安體系相適應的平安建設要求。網(wǎng)絡規(guī)劃概述xx省政法網(wǎng)已經(jīng)進行了整體網(wǎng)絡架構的設計。整個政法網(wǎng)將采用統(tǒng)一的骨干網(wǎng)絡，同時采用MPLSVPN技術，將六大系統(tǒng)隔離開來。骨干網(wǎng)絡將由省及各市政法委的路由器構成，省級政法單位通過各單位路由器連接到骨干網(wǎng)，各市級政法單位通過自己的路由器分別連接到所屬市的政法委路由器上。其骨干網(wǎng)絡拓撲示意圖如下：請自己補充網(wǎng)絡拓撲圖整個政法網(wǎng)通過MPLSVPN劃分為政法委、公安、法院、檢察院、平安、司法六大系統(tǒng)各單位專網(wǎng)絡和一個信息共享信息共享區(qū)絡，其MPLSVPN網(wǎng)絡示意圖如下：圖：政法網(wǎng)MPLSVPN網(wǎng)絡下面我們就從縱向和橫向兩個緯度對xx省政法網(wǎng)將要面臨的平安風險進行詳細的分析。風險分析xx政法網(wǎng)的整個系統(tǒng)現(xiàn)狀主要可以按照兩個層面來看：首先所有運行于網(wǎng)絡系統(tǒng)平臺之上的各種應用系統(tǒng)的載體是網(wǎng)絡中各個終端和效勞器群，這些終端和效勞器群作為根底計算設施構成了“計算設施”層面。同時貫穿于整個系統(tǒng)的還有一個重要的系統(tǒng)：管理系統(tǒng)，他對網(wǎng)絡層面、計算設施層面和應用層面都起到直接的監(jiān)控和管理作用。所以，總體來看，我們在對xx政法網(wǎng)進行整體平安風險及需求分析時，根本上可以按照以下模型來進行綜合分析：信息共享區(qū)風險分析xx省政法網(wǎng)信息共享區(qū)是指省、市兩級政法網(wǎng)的信息共享業(yè)務VPN網(wǎng)絡。其功能是為六大系統(tǒng)之間的數(shù)據(jù)共享和協(xié)同辦公應用搭建一個平安高效的信息平臺。信息共享業(yè)務VPN網(wǎng)絡示意圖如下：圖：信息共享VPN網(wǎng)絡信息共享區(qū)物理/鏈路層平安風險網(wǎng)絡信息系統(tǒng)的順利有效運行必須依賴其所處的物理環(huán)境〔如機房〕和硬件根底設施〔各種效勞器、路由器、交換機、工作站等硬件設備和通信線路〕的可靠運行，任何一處的失效都可能導致整個系統(tǒng)的不可用。物理/鏈路層可能存在的平安弱點包括：物理環(huán)境平安風險如地震、水災、火災、雷電等環(huán)境事故造成網(wǎng)絡中斷、系統(tǒng)癱瘓、數(shù)據(jù)喪失等；機房電力設備和其它配套設備的運行故障造成設備斷電以至操作系統(tǒng)引導失敗或數(shù)據(jù)庫信息喪失；因接地不良、機房屏蔽性能差引起的靜電干擾或外界的電磁干擾使系統(tǒng)不能正常工作；電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱。物理設備的平安風險包括信息系統(tǒng)所依賴的網(wǎng)絡設備如交換機、路由器等，效勞器如PC效勞器、小型機等，一旦發(fā)生故障，將直接影響信息系統(tǒng)和各種網(wǎng)絡應用的正常運轉；個人電腦如臺式機和便攜機等被非法盜取或毀壞而造成信息泄漏或數(shù)據(jù)喪失。通信線路的平安風險可能的風險有：通信中斷，由于通信線路自身故障或被惡意切斷或過高電壓等導致信息系統(tǒng)的通信線路出現(xiàn)意外中斷，造成信息系統(tǒng)資源的不可用。傳輸錯誤，信息系統(tǒng)的重要數(shù)據(jù)在傳輸過程中可能出現(xiàn)錯誤，導致信息完整性和可用性的破壞。鏈路層的平安風險網(wǎng)絡不平安的因素不僅是入侵者在網(wǎng)絡上發(fā)動攻擊、進行信息竊取或其他破壞，還包括：入侵者可能在傳輸線路上安裝竊聽裝置，竊取網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)；局域網(wǎng)用戶隨意更改物理地址或盜用他人的物理地址來進行網(wǎng)絡活動，將會給訪問控制、網(wǎng)絡計費等帶來麻煩。通信鏈路承載能力缺乏或出現(xiàn)故障將導致丟包率升高甚至通信中斷。這些都將對網(wǎng)絡構成嚴重平安威脅。信息共享區(qū)邊界平安風險如前圖，我們可以看出目前政法網(wǎng)信息共享業(yè)務VPN網(wǎng)絡的邊界位于信息共享VPN網(wǎng)與其他六大系統(tǒng)VPN網(wǎng)絡之間。在此邊界上的風險主要有：應考慮防止不同級別和單位的用戶越權、非法訪問，保證網(wǎng)絡平安策略的一致性；防范病毒和蠕蟲從各單位VPN網(wǎng)絡傳播進入信息共享VPN網(wǎng)絡，并防止病毒和蠕蟲通過本網(wǎng)絡向其他網(wǎng)絡蔓延；解決橫向數(shù)據(jù)交換時的平安需求與政策需求，在保證平安與不違反各系統(tǒng)制度的前提下，提供橫向數(shù)據(jù)交換手段；防范可能發(fā)生的由某單位網(wǎng)絡內(nèi)發(fā)起的對信息共享VPN區(qū)域的攻擊行為。信息共享區(qū)計算區(qū)域平安風險總體來說，計算區(qū)域內(nèi)的計算設施面臨的主要平安風險有以下幾種：主機的各種平安漏洞效勞器的平安配置終端的強制管理操作人員的技術水平信息共享區(qū)應用系統(tǒng)平安風險xx政法網(wǎng)信息共享VPN網(wǎng)絡內(nèi)部網(wǎng)絡上將要運行著多種應用系統(tǒng)，這些應用系統(tǒng)所面臨的主要平安風險主要包括以下幾個方面：病毒對應用系統(tǒng)的威脅：計算機病毒可以直接破壞操作系統(tǒng)和數(shù)據(jù)文件，使得應用系統(tǒng)無法正常運行。近年來，頻繁爆發(fā)的蠕蟲病毒更是令人防不勝防，它通過大量消耗網(wǎng)絡資源導致網(wǎng)絡癱瘓或者效勞器宕機，從而導致應用系統(tǒng)也無法正常運行；應用系統(tǒng)自身的漏洞：應用系統(tǒng)自身由于設計或程序上的缺陷，可能存在各種漏洞，例如WEB應用效勞的平安漏洞，可能導致WEB效勞器容易被黑客攻擊，篡改網(wǎng)頁，使得WEB效勞器無法提供正常WEB應用訪問效勞；應用系統(tǒng)操作審計：數(shù)據(jù)庫是系統(tǒng)中最重要的信息資產(chǎn)，然后由于系統(tǒng)自身漏洞或程序設計上的缺陷，可能存在各種被攻擊的可能，沒有審計機制，就無法及時發(fā)現(xiàn)、追查各類違規(guī)操作行為；身份與權限管理：沒有身份認證機制，就不能建立信任關系，也就不可追蹤各類操作的合規(guī)性，沒有權限管理機制，就不能保證應用系統(tǒng)與數(shù)據(jù)的正確用法。操作人員可能對應用系統(tǒng)進行不當操作而威脅到應用系統(tǒng)，例如越權訪問應用系統(tǒng)、違規(guī)占用網(wǎng)絡資源影響應用系統(tǒng)等。信息共享區(qū)管理系統(tǒng)平安風險xx政法網(wǎng)所面臨的一個很大問題就是管理問題。其中原因包括：網(wǎng)絡覆蓋廣泛，整個網(wǎng)絡將覆蓋全省，建立從省到科、所、隊的四級網(wǎng)絡；用戶眾多且分屬各個單位，人員管理無法統(tǒng)一；技術人員水平不一，對平安設備與平安措施的使用與管理也存在著一定的風險。例如，由于沒有正確地配置平安設備，導致某一平安域內(nèi)的防護手段失效。同時，對于某一平安域內(nèi)發(fā)生突發(fā)的平安事件，現(xiàn)有的平安管理手段很難迅速準確對這種風險進行快速響應，也無法快速定位威脅來源在哪里，因此也無法及時調整平安策略來應對這樣的平安事件。涉密信息傳遞平安風險xx政法網(wǎng)建設的目標之一，是為今后在各單位之間傳遞涉密信息建立一個可靠的根底平臺。而涉密信息的存儲、處理和傳輸，國家保密局都有著嚴格的要求和規(guī)定。因此，涉密信息系統(tǒng)的建設必須嚴格按照國家保密局相關流程和法規(guī)進行設計和建設。各單位專網(wǎng)風險分析xx省政法網(wǎng)各單位專網(wǎng)是指通過本次建設的xx政法網(wǎng)MPLSVPN網(wǎng)絡為xx政法系統(tǒng)：政法委、公安、檢察院、法院等六大單位分別構建的虛擬專用網(wǎng)絡。省、市級各單位的專用網(wǎng)絡分別接入所在地區(qū)的政法網(wǎng)VPN網(wǎng)絡，縣級以下的縱向連接由各單位自行負責。各單位專網(wǎng)VPN網(wǎng)絡示意圖如下：圖：A單位各單位專網(wǎng)VPN網(wǎng)絡示意圖各單位專網(wǎng)物理/鏈路層平安風險各單位專網(wǎng)的物理/鏈路層平安情況和信息共享區(qū)類似?？蓞⒁娗懊鎸π畔⒐蚕韰^(qū)的物理/鏈路平安風險分析。各單位專網(wǎng)邊界平安風險如上圖，我們可以看出目前政法網(wǎng)六大各單位專網(wǎng)的邊界有兩處：一是外部邊界，位于各單位各單位專網(wǎng)與信息共享VPN網(wǎng)絡之間；二是各單位內(nèi)部邊界，位于各單位省、市、縣各級單位的縱向連接點。對于各單位專網(wǎng)，主要承當著路由信息傳遞、數(shù)據(jù)傳輸?shù)热蝿?，因此，高速、穩(wěn)定的邊界防護是專網(wǎng)邊界的根本要求。此外，在專網(wǎng)邊界上應考慮防止不同級別用戶之間的越權、非法訪問，保證網(wǎng)絡平安策略的一致性。因此在邊界上的風險主要有：應考慮防止不同級別的用戶越權、非法訪問，保證網(wǎng)絡平安策略的一致性；防范病毒和蠕蟲從信息共享VPN網(wǎng)絡傳播進入，并防止病毒和蠕蟲在本單位網(wǎng)絡縱向蔓延；防范可能發(fā)生的由本單位內(nèi)部發(fā)起的對上下級網(wǎng)的攻擊行為。各單位專網(wǎng)計算區(qū)域平安風險總體來說，計算區(qū)域內(nèi)的計算設施面臨的主要平安風險有以下幾種：主機的各種平安漏洞效勞器的平安配置終端的強制管理操作人員的技術水平各單位專網(wǎng)應用系統(tǒng)平安風險各單位專網(wǎng)的應用系統(tǒng)平安情況和信息共享區(qū)類似?？蓞⒁娗懊鎸π畔⒐蚕韰^(qū)的應用系統(tǒng)平安風險分析。各單位專網(wǎng)管理系統(tǒng)平安風險各單位專網(wǎng)也面臨著很大的管理問題。其中原因包括：網(wǎng)絡覆蓋廣泛，借助于xx政法網(wǎng)，各單位專網(wǎng)將覆蓋全省，建立從省、市到科、所、隊的四級網(wǎng)絡；骨干網(wǎng)的設備由政法網(wǎng)統(tǒng)一管理，因此各單位不但要有自身的管理隊伍，還要和政法網(wǎng)的統(tǒng)一管理機構相互協(xié)作，以保證專網(wǎng)業(yè)務的暢通，并在發(fā)現(xiàn)問題時能夠及時查找到原因；各單位內(nèi)部用戶眾多，且水平參差不齊，各單位的管理體系應與政法網(wǎng)的統(tǒng)一管理體系相互協(xié)調。以保證管理的連貫性和接口的一致。不至因為管理機制的差異導致平安事件無法得到高效處理。需求匯總通過前一章節(jié)中橫向和縱向的風險分析，我們總結出xx政法網(wǎng)的主要平安需求如下：信息共享區(qū)平安需求應考慮防止不同級別和單位的用戶越權、非法訪問，保證網(wǎng)絡平安策略的一致性；防范病毒和蠕蟲從各單位VPN網(wǎng)絡傳播進入信息共享VPN網(wǎng)絡，并防止病毒和蠕蟲通過本網(wǎng)絡向其他網(wǎng)絡蔓延；解決橫向數(shù)據(jù)交換時的平安需求與政策需求，在保證平安與不違反各系統(tǒng)制度的前提下，提供橫向數(shù)據(jù)交換手段；防范可能發(fā)生的由某單位網(wǎng)絡內(nèi)發(fā)起的對信息共享VPN區(qū)域的攻擊行為；及時發(fā)現(xiàn)和加固主機的各種平安漏洞；發(fā)現(xiàn)效勞器的配置錯誤并改良效勞器的平安配置；對終端進行強制平安管理；提高所有操作人員的技術水平；防范病毒對應用系統(tǒng)的威脅；防范應用系統(tǒng)自身的漏洞；對應用系統(tǒng)操作進行審計，及時發(fā)現(xiàn)、追查各類違規(guī)操作行為；統(tǒng)一身份與權限管理，防范各種越權、濫用或入侵系統(tǒng)的行為；；建立統(tǒng)一的平安管理平臺；統(tǒng)一人員管理；建立健全相應的平安標準和規(guī)章制度；各單位間涉密信息交換應符合國家保密局相關政策和規(guī)定的要求。在保證涉密信息的平安前提下進行橫向涉密信息交換。各單位專網(wǎng)平安需求應考慮防止不同級別的用戶越權、非法訪問，保證網(wǎng)絡平安策略的一致性；防范病毒和蠕蟲從信息共享VPN網(wǎng)絡傳播進入，并防止病毒和蠕蟲在本單位網(wǎng)絡縱向蔓延；防范可能發(fā)生的由本單位內(nèi)部發(fā)起的對上下級網(wǎng)的攻擊行為。及時發(fā)現(xiàn)和加固主機的各種平安漏洞；發(fā)現(xiàn)效勞器的配置錯誤并改良效勞器的平安配置；對終端進行強制平安管理；提高所有操作人員的技術水平；防范病毒對應用系統(tǒng)的威脅；防范應用系統(tǒng)自身的漏洞；對應用系統(tǒng)操作進行審計，及時發(fā)現(xiàn)、追查各類違規(guī)操作行為；統(tǒng)一身份與權限管理，防范各種越權、濫用或入侵系統(tǒng)的行為；；建立統(tǒng)一的平安管理平臺；統(tǒng)一人員管理；建立健全相應的平安標準和規(guī)章制度。平安架構通過前面的平安分析和需求匯總，我們已經(jīng)充分了解了xx政法網(wǎng)所面臨的平安問題。下一步，就是針對這些風險，選擇適宜的平安模型進行平安方案的設計。這個平安模型不但應該成熟全面，還應該適合xx政法網(wǎng)的現(xiàn)狀，并便于將來的實施和進一步的擴展。針對xx政法網(wǎng)的行業(yè)特點，我們建議平安模型參考以下的建設標準和原那么：平安建設標準xx政法網(wǎng)的設計建設和維護必須符合國家法律法規(guī)和部門規(guī)章制度的要求，遵循國家政策的相關規(guī)定，并且按照一定的標準進行設計建設和維護?！峨娮诱招畔⑵桨驳燃壉Ｗo實施指南〔試行〕》《電子政務標準化指南》《金盾工程建設總體規(guī)劃》；《全國檢察機關信息化建設規(guī)劃綱要》；《全國人民法院計算機信息網(wǎng)絡建設規(guī)劃》《全國司法行政系統(tǒng)信息化建設規(guī)劃》等……平安設計原那么xx政法網(wǎng)的平安建設應該本著以下一些原那么：平安體系科學完善系統(tǒng)設計應充分考慮到各個層面的平安風險，構建完整的平安防護體系，充分保證系統(tǒng)的平安性。同時，應確保方案中使用的信息平安產(chǎn)品和技術方案在設計和實現(xiàn)的全過程中有具體的措施來充分保證其平安性。平安措施協(xié)同關聯(lián)建立協(xié)同防御體系，設計時所采用的各種平安措施，應充分考慮相互間的關聯(lián)性，通過綜合防護手段，保證平安措施的一致性、有效性，防止一點突破，全網(wǎng)失控。平安管理簡單高效充分考慮各級各單位平安管理的長期性、復雜性以及技術力量的不均衡，通過集中高效的平安管理措施，建立適應各級單位的平安管理體系。平安架構設計通過綜合考慮，我們建議xx政法網(wǎng)按照以下平安建設框架進行平安體系的規(guī)劃和建設。圖：平安體系框架針對xx政法網(wǎng)所面臨的從網(wǎng)絡邊界、計算區(qū)域、應用系統(tǒng)到平安管理的風險分析，將采用以下的平安技術和管理手段等來分別進行風險防范。首先在邊界平安層面，要通過平安隔離技術實現(xiàn)六大系統(tǒng)網(wǎng)絡和信息共享網(wǎng)絡的相互隔離，還要通過訪問控制和VPN等技術手段在隔離的根底上實現(xiàn)平安連通。并通過入侵檢測和網(wǎng)絡審計等手段，進一步加強訪問控制措施；在計算區(qū)域平安層面，通過漏洞掃描等方式發(fā)現(xiàn)系統(tǒng)的固有漏洞，并通過補丁管理、系統(tǒng)加固等方式及時消除平安隱患。同時通過對終端的強制管理和系統(tǒng)登錄控制等手段，防范非法的對外連接和對系統(tǒng)的非授權訪問。最后通過系統(tǒng)日志審計和終端審計等方式，實現(xiàn)對平安事件的預警和事后審計；對于應用系統(tǒng)平安層面，首先要通過統(tǒng)一的身份認證系統(tǒng)實現(xiàn)對所有業(yè)務的平安策略和訪問權限的統(tǒng)一。同時通過防篡改技術、存儲平安和災難恢復等手段，實現(xiàn)對業(yè)務系統(tǒng)中最關鍵的局部：“數(shù)據(jù)”進行全方位防護。最后還要通過防病毒系統(tǒng)對病毒、蠕蟲和木馬等應用系統(tǒng)常見威脅進行過濾和去除。平安管理是整個平安體系能否正常和高效運轉的關鍵。通過建設統(tǒng)一的平安管理平臺和平安審計平臺，實現(xiàn)對網(wǎng)絡真實平安現(xiàn)狀的隨時掌控。同時通過建立高效的管理機構并對下級單位進行適當?shù)氖跈喙芾恚竭_日常管理的高效化。并真正實現(xiàn)及時的應急響應。除了以上的技術手段和管理手段，還要依托已有的平安政策進行完善的平安標準制定和平安制度建設。通過標準和制度建設，能夠統(tǒng)一平安管理認識并實現(xiàn)平安策略的統(tǒng)一。對于今后更加深入的進行平安建設也將起到指導作用。下面我們就按照上面的平安體系框架從管理和技術兩個角度，為xx政法網(wǎng)的信息共享區(qū)進行平安措施的規(guī)劃，并對各單位專網(wǎng)的平安規(guī)劃和建設提出相應的標準和要求。xx政法網(wǎng)管理體系設計前面已經(jīng)明確，平安管理是整個平安體系能否正常和高效運轉的關鍵。對于xx政法網(wǎng)來說，完整的管理體系更是保證整個政法網(wǎng)個系統(tǒng)之間能夠步調一致的工作，進行對威脅的預警、及時處理、事后審計的關鍵。進行一個完整的信息平安管理體系，至少包括平安組織建設、平安標準和平安制度建設和平安運維建設三個局部。xx政法網(wǎng)必須建立一個以統(tǒng)一、高效的平安管理體系。xx政法各單位應建設與政法網(wǎng)管理體系相適應的自身管理體系。在已有平安體系的根底上，按照國家相關政策和政法網(wǎng)的要求，完善自己已有的管理體系。政法網(wǎng)平安組織建設要保證xx政法網(wǎng)具有一個統(tǒng)一，高效的平安管理機構，首先將建立政法委牽頭的政法網(wǎng)信息平安管理體系。具體組織為：在省政法委建立“省政法網(wǎng)信息平安領導小組”，負責全省政法網(wǎng)的信息平安領導工作。包括：制定信息平安管理制度，監(jiān)督和指導各單位信息平安工作的貫徹和實施，考核和檢查各部門的信息平安工作情況等工作。各市政法委設立相應的“市政法網(wǎng)平安管理小組”，接受省平安領導小組的管理。具體業(yè)務包括：負責本系統(tǒng)各級平安管理員的選用與監(jiān)督，監(jiān)督落實各市級單位信息平安工作的貫徹與實施，維護本系統(tǒng)各類平安設備的正常運行，及時處理本系統(tǒng)各類平安事故，并向省平安領導小組匯報等工作。縣級政法委應配置1-2名平安管理人員，平安管理員負責政法網(wǎng)信息平安方面的相關工作。各單位要建立能獨立承當本單位信息平安管理的完整隊伍。并能夠與政法委的信息平安領導小組以及各信息平安管理小組相配合，共同做好政法網(wǎng)的管理和維護工作。公安、法院等各大系統(tǒng)應在各系統(tǒng)建立專職的省級平安管理小組，接受省政法委平安領導小組的統(tǒng)一管理與部署，監(jiān)督落實本系統(tǒng)的平安管理工作。各市級單位應建立市級平安管理小組，并配置1-2名專職平安管理人員，縣級應配置1-2名兼職平安管理人員，平安管理員負責政法網(wǎng)信息平安方面的相關工作。平安標準和制度建設政法網(wǎng)平安標準和制度平安管理建設總體架構圖上面是xx政法網(wǎng)平安管理體系建設總體架構圖，整個架構有總體方針、組織體系、平安策略、管理制度四級組成，成個架構呈金字塔型?？傮w方針位于信息平安管理體系的第一層，是整個組織信息平安體系的最高指導方針。總體方針可以表達為xx政法網(wǎng)對于信息平安運維保障體系中管理體系的總體要求和建設目標。平安策略體系和平安管理制度、標準及流程是平安管理體系對信息技術人員提供指導或要求的標準，因此它們的建設將建立在與xx政法網(wǎng)各級信息系統(tǒng)環(huán)境密切結合的根底上。設計中將結合ISO17799的"資產(chǎn)管理"、"物理和環(huán)境平安"、"通信和操作管理"、"訪問控制"、"系統(tǒng)采購、開發(fā)與維護"、"信息平安事件管理"、"業(yè)務連續(xù)性管理"、"符合性"等要求進行的定義。分別對物理平安、網(wǎng)絡平安、訪問控制環(huán)境、系統(tǒng)平安、應用平安、數(shù)據(jù)平安、病毒防護、平安教育、應急恢復、帳號口令、平安審計、系統(tǒng)開發(fā)、平安工程、風險管理等方面提出了標準的、不同等級的平安策略要求。平安策略體系是完全從平安角度對上述平安管理機制進行的闡述，目的是建立用戶信息平安的"統(tǒng)一"策略管理機制，真正實現(xiàn)xx政法網(wǎng)的統(tǒng)一管理。平安策略體系是所有平安管理制度、平安操作標準及相關流程的上層策略，從平安角度提出了平安技術操作標準和平安管理執(zhí)行標準。平安策略的內(nèi)容一經(jīng)公布將在一定時間內(nèi)長期有效，涉及到的所有部門或個人均須對其負責。xx政法網(wǎng)平臺在"總體平安方針"、"信息平安組織體系"、"信息平安策略體系"的指導下，結合各業(yè)務信息系統(tǒng)、各種信息技術角色的具體情況，從應用和操作的角度對相關平安管理制度、操作標準和流程等進行明確的要求。平安管理制度、標準及流程是最終面對所有被管理對象的文檔和要求，易于落實和執(zhí)行。這些平安管理制度可以以某種共同的特殊平安需求進行制定，如機房平安管理制度、文檔平安管理制度等，也可以按照某種角色的平安職責進行制定，如網(wǎng)絡管理員平安管理制度，開發(fā)人員平安管理制度等。平安管理制度中的流程、表單記錄，是xx電子政務網(wǎng)建立平安內(nèi)部控制體系進行內(nèi)部審計的重要依據(jù)。信息平安管理體系總體框架各單位平安標準和制度建設各單位應建立與xx政法網(wǎng)相適應的平安管理體系。在xx政法網(wǎng)的總體平安管理體系和制度框架下，結合目前本單位已經(jīng)建立的標準和制度，進行完善和補充。也要從物理平安、網(wǎng)絡平安、訪問控制環(huán)境、系統(tǒng)平安、應用平安、數(shù)據(jù)平安、病毒防護、平安教育、應急恢復、帳號口令、平安審計、系統(tǒng)開發(fā)、平安工程、風險管理等方面提出標準的、不同等級的平安策略要求。平安策略的內(nèi)容一經(jīng)公布將在一定時間內(nèi)長期有效，涉及到的所有部門或個人均須對其負責。此工程工作需要在管理體系建設效勞階段進行設計，需要在長期效勞過程中才能逐步完善起來。平安運維建設政法網(wǎng)平安運維建設運維體系由監(jiān)控管理系統(tǒng)、運行維護系統(tǒng)、人才培訓系統(tǒng)三局部構成。監(jiān)控管理系統(tǒng)的內(nèi)容是，重點建設政法網(wǎng)和政法六大單位的應用系統(tǒng)、信息資源、網(wǎng)絡系統(tǒng)、平安系統(tǒng)、機房環(huán)境系統(tǒng)的監(jiān)控管理，確保系統(tǒng)正常運行；運行維護系統(tǒng)的內(nèi)容是，建設政法網(wǎng)和政法六大單位的運行管理和檢查監(jiān)督制度，各類應用、網(wǎng)絡、平安系統(tǒng)的運行維護、系統(tǒng)完善和提升，和應急響應系統(tǒng)等。人才培訓系統(tǒng)的建設內(nèi)容是，組織政法網(wǎng)和政法六大單位的建設和推廣應用培訓，組織計算機審計初級、中級培訓，組織應用系統(tǒng)認證培訓，建設政法網(wǎng)和政法六大單位的培訓場地、設備設施；協(xié)助建設政法信息化人才培訓體制、機制和相關組織措施，確保政法人才的信息化。監(jiān)控管理系統(tǒng)和應急響應系統(tǒng)從技術上有效保障應用系統(tǒng)、數(shù)據(jù)中心和網(wǎng)絡系統(tǒng)持續(xù)穩(wěn)定運行。各單位平安運維建設各單位運維體系由監(jiān)控管理系統(tǒng)、運行維護系統(tǒng)、人才培訓系統(tǒng)三局部構成。監(jiān)控管理系統(tǒng)的內(nèi)容是，重點建設各單位的應用系統(tǒng)、信息資源、網(wǎng)絡系統(tǒng)、平安系統(tǒng)、機房環(huán)境系統(tǒng)的監(jiān)控管理，確保系統(tǒng)正常運行；運行維護系統(tǒng)的內(nèi)容是，建設各單位的運行管理和檢查監(jiān)督制度，各類應用、網(wǎng)絡、平安系統(tǒng)的運行維護、系統(tǒng)完善和提升，和應急響應系統(tǒng)等。人才培訓系統(tǒng)的建設內(nèi)容是，組織各單位的建設和推廣應用培訓，組織計算機審計初級、中級培訓，組織應用系統(tǒng)認證培訓，建設本單位的培訓場地、設備設施；協(xié)助建設政法信息化人才培訓體制、機制和相關組織措施，確保政法人才的信息化。監(jiān)控管理系統(tǒng)和應急響應系統(tǒng)從技術上有效保障應用系統(tǒng)、數(shù)據(jù)中心和網(wǎng)絡系統(tǒng)持續(xù)穩(wěn)定運行。xx政法網(wǎng)技術體系設計平安防護技術體系是一個集物理平安、網(wǎng)絡平安、系統(tǒng)平安、應用平安、平安管理于一體的較為完善的整體解決方案。xx政法網(wǎng)的平安防護體系分為五個系統(tǒng)10余個子系統(tǒng)。整個平安體系的建設將以平安管理系統(tǒng)為核心，將各種異構的平安產(chǎn)品、網(wǎng)絡設備、用戶終端和管理員有機的連接起來，構成一個智能的、聯(lián)動的閉環(huán)響應體系。為詳細說明各系統(tǒng)的工作原理、主要功能以及關聯(lián)關系，下面分別描述各子系統(tǒng)的方案設計。物理/鏈路平安防護物理與線路傳輸平安是整個系統(tǒng)平安的前提。在物理與線路傳輸平安體系設計中包括物理環(huán)境的平安，物理線路的平安，通信鏈路的平安等。本次工程所需各種設備均應安裝在標準電信機房內(nèi)。機房建設應遵循GB50173-93《電子計算機機房設計標準》等標準建設，能夠滿足包括防雷、防水、防火、防電磁輻射等內(nèi)容的區(qū)域保護和災難保護。通信信道為運營商提供，應采用長途環(huán)路保護、本地環(huán)路保護等手段進行保護，同時，對于關鍵設備，應采取冗余保護措施，并根據(jù)具體情況，提供帶寬、端口的冗余，便于今后擴容升級。政法網(wǎng)傳輸鏈路為專用信道，所需設備及鏈路均與公眾網(wǎng)別離，保證了與公眾網(wǎng)的隔離。同時，應做好備件保護、電路保護、分路保護、容錯保護、災難保護等措施，保護鏈路平安。1、建設MPLSVPN專網(wǎng)在xx政法網(wǎng)全網(wǎng)按照六大系統(tǒng)和信息共享系統(tǒng)，采用MPLSVPN技術進行隔離保護。2、建設涉密信息加密隧道除了六大系統(tǒng)自身已經(jīng)建立的涉密信息傳輸通道以外，信息共享區(qū)也必須建立專用的涉密信息加密隧道，以便于涉密信息的傳輸。其技術要求要嚴格按照國家保密局相關政策和標準制定并建設。3、劃分VLAN在xx省政法網(wǎng)信息共享區(qū)的網(wǎng)絡平臺上，利用基于802.1Q協(xié)議的VLAN技術，根據(jù)信息共享的需要，規(guī)劃VLAN，確保同一業(yè)務系統(tǒng)的主機屬于同一個VLAN，可跨交換機甚至局域網(wǎng)進行互訪，而不同業(yè)務系統(tǒng)VLAN之間除非明確允許，否那么是不能互相訪問的。4、鏈路冗余采用鏈路備份機制，對主干傳輸鏈路提供故障切換，確保數(shù)據(jù)傳輸不中斷。網(wǎng)絡平安防護訪問控制防護設計政法網(wǎng)的骨干網(wǎng)是整個政法網(wǎng)的核心，因此需要全面保護。應在省骨干網(wǎng)與省級政法六大單位網(wǎng)絡之間，以及市骨干網(wǎng)與市級政法六大單位網(wǎng)絡之間部署防火墻進行訪問控制。以保證對政法網(wǎng)骨干網(wǎng)絡的平安防護。其次，應在政法網(wǎng)內(nèi)不同平安域之間部署防火墻系統(tǒng)，對網(wǎng)絡進行平安訪問控制。對于xx政法網(wǎng)，首先需要在省、及市級信息共享區(qū)域的效勞器群前部署防火墻設備。還應視情在不同業(yè)務間部署防火墻設備，保證共享業(yè)務間不會有越權訪問等平安問題。平安隔離與信息交換防護設計根據(jù)公安部、最高法、最高檢等單位的內(nèi)部政策，各系統(tǒng)行業(yè)專網(wǎng)不允許與其它網(wǎng)絡直接連接，如果需要進行數(shù)據(jù)交換，必須采用平安隔離網(wǎng)閘，以數(shù)據(jù)擺渡的方式進行數(shù)據(jù)交換。為解決政法網(wǎng)各大系統(tǒng)信息共享的問題，在省委兩級政法委設立專門的共享平臺，通過共享平臺，以平安隔離的方式，與各系統(tǒng)專網(wǎng)進行數(shù)據(jù)交換。在政法委機房中部署共享平臺效勞器群，由政法委負責維護，供各部門信息共享使用。在公安、檢察院、法院、司法廳、平安廳5大系統(tǒng)專網(wǎng)邊界，設立前置效勞器或前置效勞器群。前置效勞器通過平安隔離網(wǎng)閘，接入到政法網(wǎng)中。各系統(tǒng)內(nèi)部專業(yè)系統(tǒng)中需要共享出來的數(shù)據(jù)，先傳遞到前置效勞器，然后由平安隔離網(wǎng)閘擺渡到政法網(wǎng)中，并傳送到政法委的共享平臺效勞器群。各系統(tǒng)如果需要從共享平臺獲得數(shù)據(jù)，也是通過平安隔離網(wǎng)閘，從共享平臺中將數(shù)據(jù)擺渡過來，進行相應處理。采用這種方法，既能保證各行業(yè)專網(wǎng)的政策要求和平安標準，又能保證政法網(wǎng)及時得到相關數(shù)據(jù)。計算區(qū)域平安防護網(wǎng)絡病毒防范系統(tǒng)要求在政法網(wǎng)內(nèi)所有系統(tǒng)中所有終端安裝網(wǎng)絡防病毒系統(tǒng)。通過全面的網(wǎng)絡病毒防護，在各級內(nèi)網(wǎng)構建起一道最根本病毒防線。其中政法網(wǎng)信息共享區(qū)防病毒系統(tǒng)由政法委建設并管理，通過建立多層病毒防護體系，將病毒的威脅減小到最低：1、網(wǎng)絡層病毒阻斷和查殺：在網(wǎng)絡邊界通過網(wǎng)關防毒系統(tǒng)進行基于網(wǎng)絡的病毒防范和蠕蟲阻斷，可以在很大程度上防止蠕蟲病毒爆發(fā)時的大流量沖擊，并將病毒和蠕蟲消滅在傳播階段。2、內(nèi)網(wǎng)單機全面防毒：通過在整個系統(tǒng)內(nèi)部全面部署病毒防護產(chǎn)品，查殺終端上駐留的病毒。利用網(wǎng)絡殺毒工具強大的管理功能在政務網(wǎng)實現(xiàn)統(tǒng)一的防毒策略。防病毒系統(tǒng)除必須具有高效的殺毒能例外，還必須具有的功能包括：殺毒策略統(tǒng)一集中配置跨平臺管理自動并且是強制升級方式客戶端策略強制鎖定集中病毒報警通過這種集中管理方式可以做到減少對客戶端人員的技術和技能要求，全網(wǎng)策略集中統(tǒng)一，保證防殺病毒的有效性和實時性。主機評估與加固政法網(wǎng)中存在大量的重要的信息資產(chǎn)，比方重要的文件效勞器、重要的數(shù)據(jù)庫效勞器等，這些重要效勞器所承載和存儲的關鍵信息的完整性、保密性和可用性就變得更加重要，是政法網(wǎng)整個信息系統(tǒng)的核心資產(chǎn)，一旦這些核心資產(chǎn)由于平安風險而被破壞、竊取，將會立即威脅到政法網(wǎng)的各種業(yè)務，甚至引起失泄密事故，影響社會和諧。必須建立重要主機系統(tǒng)的平安評估和加固機制，來對這些核心信息資產(chǎn)進行重點防護。一方面，在不同時期的新的平安形勢和新的業(yè)務要求下，風險評估和系統(tǒng)加固效勞可以進行主動的平安預警和平安防護，并對原來的平安體系和信息系統(tǒng)進行系統(tǒng)檢查和評估，通告合理性建議給信息管理人員，對平安體系進行必要的調整和維護，合理配置信息系統(tǒng)；另一方面，在面臨新的平安威脅和風險時，可以對原有平安設備的平安策略進行評估，確認平安策略是否符合新的威脅和風險的抵御要求，并向信息管理人員進行預警提示和策略修改建議。通過系統(tǒng)加固可以及時的調整平安體系和平安策略，并對重要的效勞器和主機進行必要的系統(tǒng)維護和加固處理，使防護系統(tǒng)持續(xù)的具備最新的抵抗平安風險的能力，使信息資產(chǎn)具備最新的免疫系統(tǒng)和根本的自防御功能。內(nèi)網(wǎng)平安系統(tǒng)內(nèi)網(wǎng)平安系統(tǒng)主要解決內(nèi)部計算環(huán)境中的平安問題，即解決專網(wǎng)中主機效勞器和計算機終端這些計算設施的平安問題。1、在專網(wǎng)的各個終端部署可信終端管理系統(tǒng)，隨時監(jiān)視并控制各PC終端的操作行為和系統(tǒng)進程，對于違反既定的平安策略的終端操作行為進行自動的強制平安策略控制，并通知防火墻拒絕違規(guī)終端的訪問請求，杜絕違規(guī)操作。通過進程管理，采用黑白名單方式，約束終端只能運行經(jīng)過允許的應用程序，禁止用戶使用BT等違規(guī)軟件，防止病毒進程在系統(tǒng)中潛伏。通過主機防火墻功能，對進出主機的TCP端口進行嚴格審計，使得外界病毒無法傳染，主機上已經(jīng)染了病毒也無法進行傳播。通過網(wǎng)絡準入控制，使接入專網(wǎng)的計算機必須符合相應的平安要求，通過相應的平安認證，否那么無法使用專網(wǎng)內(nèi)資源。與防火墻進行聯(lián)動，一旦發(fā)現(xiàn)終端上有不平安行為，立即通知防火墻，阻斷相應終端的網(wǎng)絡訪問。具體部署時，在每一臺內(nèi)網(wǎng)終端上安裝可信終端管理軟件，此軟件與操作系統(tǒng)綁定，用戶無法卸載。所有入網(wǎng)終端，如果沒有安裝管理軟件或進行了違規(guī)操作，都將斷掉網(wǎng)絡連接，并通知管理效勞器，記入日志。同時，為適應安監(jiān)局專網(wǎng)地域廣闊、用戶分散的特點，在實際部署時，每一級局域網(wǎng)部署一套可信終端管理效勞器，用于本級終端的平安策略下發(fā)與審計報警。并在國家局部署一套中心效勞器，用于向各下級效勞器下發(fā)總體平安策略，并收集各下級效勞器的日志，形成審計報告。通過本系統(tǒng)的實施，一方面，可以加強管理員對終端系統(tǒng)的控制；另一方面，通過對終端上病毒、蠕蟲的多種手段的圍堵，使病毒無法在網(wǎng)絡中駐留，解決網(wǎng)絡病毒傳播問題。2、通過部署補丁管理系統(tǒng)，可以及時對終端上的軟件進行升級，彌補軟件漏洞，防止被病毒和攻擊行為利用。其功能應包括：補丁分發(fā)：補丁分發(fā)功能是補丁分發(fā)管理系統(tǒng)的核心功能。補丁管理效勞器負責對用戶網(wǎng)絡中的安裝了客戶端的桌面或效勞器進行補丁分發(fā)與安裝。不僅包括針對于各種操作系統(tǒng)漏洞的修補程序，也包括對用戶系統(tǒng)中不平安配置的修復程序，對用戶系統(tǒng)中間諜程序探測與自動刪除，對用戶系統(tǒng)中受阻止應用程序的屏蔽與刪除，對用戶定制漏洞定義進行修復的程序等。補丁管理：補丁管理功能實現(xiàn)對補丁庫中的補丁程序進行日常的管理與維護，包括補丁的添加，補丁刪除，漏洞信息查詢，補丁信息查詢，補丁信息修改，自定義補丁等。具體部署時，在每一臺內(nèi)網(wǎng)終端上安裝終端管理軟件，此軟件與操作系統(tǒng)綁定，用戶無法隨意卸載。所有入網(wǎng)終端，如果沒有安裝管理軟件或進行了違規(guī)操作，都將斷掉網(wǎng)絡連接，并通知管理效勞器，記入日志。同時，為適應政法網(wǎng)終端系統(tǒng)覆蓋區(qū)域較廣、較分散的特點，在具體部署時，省市兩級政法委機房部署補丁管理效勞器，用于本級終端的平安策略下發(fā)與審計報警，并收集各下級效勞器的日志，形成審計報告。3、記錄必要的漏洞信息和終端日志信息，提供應平安管理平臺，形成管理平安體系的數(shù)據(jù)采集單位，為平安管理系統(tǒng)提供必要的分析數(shù)據(jù)。內(nèi)網(wǎng)平安管理平臺部署示意圖應用平安防護平安認證系統(tǒng)政法網(wǎng)CA系統(tǒng)建設的目的是：為政法網(wǎng)將要開展的各種信息共享業(yè)務提供統(tǒng)一的認證體系。建立應用平安體系的總體思路是：在政法網(wǎng)的橫向業(yè)務系統(tǒng)中根據(jù)系統(tǒng)的統(tǒng)一規(guī)劃，建立CA認證中心，作為整個政法網(wǎng)絡體系的根底信任設施，以實現(xiàn)數(shù)字證書的受理、發(fā)放、更新與廢止；同時，建立直接效勞于各個應用系統(tǒng)的統(tǒng)一認證及授權管理系統(tǒng)，實現(xiàn)基于數(shù)字證書的各項平安應用功能，為各個應用系統(tǒng)直接提供可信認證、完整性保護、訪問控制、單點登錄、權限管理等根本平安效勞，進行實現(xiàn)各類應用系統(tǒng)的平安互聯(lián)互通、平安信息共享、平安應用整合，其總體邏輯結構框架圖如下：CA認證系統(tǒng)CA認證系統(tǒng)統(tǒng)一認證授權管理中間件應用1應用2應用3…應用平安管理標準平安認證系統(tǒng)邏輯結構框架圖建議xx政法網(wǎng)建立構筑于統(tǒng)一的CA認證中心。不僅負責信息共享區(qū)域的CA認證，還將同一為政法六大系統(tǒng)建立統(tǒng)一的身份認證體系。整個PKI系統(tǒng)可分為三層，包括CA、RA、LRA〔LocalRA〕。CA這一級由xx省CA中心統(tǒng)一建設，對于政法網(wǎng)而言，只需要根據(jù)自身情況建立RA和LRA。結合政法系統(tǒng)的信息系統(tǒng)建設情況，在省政法網(wǎng)中心部署RA中心，各市級政法網(wǎng)中心部署RA分中心，在省級政法各單位以及地市政法各單位部署LRA受理點。其關系示意圖如下：RA中心由注冊效勞器、管理終端計算機和業(yè)務終端計算機組成。將它們部署在各單位網(wǎng)絡中心的平安管理區(qū)，注冊效勞器經(jīng)過加密機進行數(shù)據(jù)加密后與政法網(wǎng)中心的CA系統(tǒng)進行平安通訊。RA作為CA認證體系中的一局部，能夠直接從xx省中心那里繼承CA認證的合法性。根據(jù)CA中心制定的政策和管理標準的規(guī)定對證書申請者提交的身份信息進行審查，以決定是否為用戶發(fā)放證書，并向CA中心提交證書申請為用戶簽發(fā)證書，根據(jù)CA中心簽發(fā)的證書配置證書載體，分發(fā)給證書申請者。各省級政法單位以及地市政法單位LRA證書受理點，使用PC機作為操作終端，連接訪問到RA中心效勞器，是為用戶提供證書申請效勞的受理窗口。由此，負責接收用戶的證書申請請求，對用戶提交的資料進行初級審核，并將資料提交到相應的注冊審核RA中心。入侵檢測系統(tǒng)入侵檢測系統(tǒng)是防火墻技術的補充，作為網(wǎng)絡平安體系的第二道防線，對在防火墻系統(tǒng)阻斷攻擊失敗時，可以最大限度地減少相應的損失。IDS也可以與防火墻等平安產(chǎn)品進行聯(lián)動，實現(xiàn)動態(tài)的平安維護。此外，IDS是平安管理與風險管理中重要的數(shù)據(jù)與信息來源，可以為平安管理平臺提供重要的網(wǎng)絡平安狀態(tài)信息。本次部署的網(wǎng)絡入侵檢測系統(tǒng)位于省市兩級6大系統(tǒng)的中心機房中，中心機房核心網(wǎng)絡區(qū)域，并接在其核心交換機的鏡像端口上。通過實時偵聽網(wǎng)絡數(shù)據(jù)流，尋找網(wǎng)絡違規(guī)模式和未授權的網(wǎng)絡訪問嘗試。當發(fā)現(xiàn)網(wǎng)絡違規(guī)行為和未授權的網(wǎng)絡訪問時，網(wǎng)絡監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)平安策略做出反響，包括實時報警、事件登錄，或執(zhí)行用戶自定義的平安策略〔例如與防火墻建立聯(lián)動〕等。同時，入侵檢測系統(tǒng)還可以形象地重現(xiàn)操作的過程，可幫助平安管理員發(fā)現(xiàn)網(wǎng)絡平安的隱患。為平安管理平臺提供必要的可供分析的數(shù)據(jù)。入侵檢測系統(tǒng)所需具備的功能包括：1、防范網(wǎng)絡攻擊事件：正如入侵檢測系統(tǒng)的平安策略中描述的，針對數(shù)據(jù)中心區(qū)域和網(wǎng)絡邊界區(qū)域，入侵檢測系統(tǒng)采用細粒度檢測技術，協(xié)議分析技術，誤用檢測技術，協(xié)議異常檢測，可有效防止各種攻擊和欺騙。并且還能夠通過策略編輯器中的用戶自定義功能定制針對網(wǎng)絡中各種TCP/IP協(xié)議的網(wǎng)絡事件監(jiān)控；2、防范拒絕效勞攻擊：入侵檢測系統(tǒng)在防火墻進行邊界防范的根底上，能夠應付各種SNA類型和應用層的強力攻擊行為,包括消耗目的端各種資源如網(wǎng)絡帶寬、系統(tǒng)性能等攻擊。主要防范的攻擊類型有TCPFlood，UDPFlood，PingAbuse等；3、防范預探測攻擊：部署在數(shù)據(jù)中心區(qū)域和網(wǎng)絡邊界區(qū)域的入侵檢測系統(tǒng)，能夠很好的防范各種SNA類型和應用層的預探測攻擊行為。主要防范的攻擊類型有TCPSYNScan，TCPACKScan，PingSweep，TCPFINScan等；4、防范內(nèi)部攻擊：對于局域網(wǎng)而言，內(nèi)部人員自身對網(wǎng)絡擁有相當?shù)脑L問權限，因此比照外部攻擊者，對資產(chǎn)發(fā)起攻擊的成功概率更高。雖然在網(wǎng)絡邊界部署防火墻，防范外部攻擊者滲透到網(wǎng)絡中，但是對內(nèi)部員工的控制規(guī)那么是相對寬松的，入侵檢測系統(tǒng)通過對訪問數(shù)據(jù)包的細化檢測，在防火墻邊界防護的根底上，更好地覺察內(nèi)部員工的攻擊行為；5、加密通信中的數(shù)據(jù)也可能含有攻擊信息，利用入侵檢測系統(tǒng)對加密數(shù)據(jù)進行解包、檢測，是技術開展的趨勢，也是目前解決此類問題的最正確方案。信息審計子系統(tǒng)在主機效勞器上部署主機傳感器程序〔審計客戶端程序〕，負責實現(xiàn)審計系統(tǒng)中主機審計的功能；在系統(tǒng)的核心交換機上部署網(wǎng)絡傳感器，通過旁路偵聽方式實現(xiàn)網(wǎng)絡審計和數(shù)據(jù)庫審計功能。審計系統(tǒng)要實現(xiàn)如下功能：輸入輸出設備審計與監(jiān)控文件訪問的審計打印行為的審計與監(jiān)控非法外聯(lián)行為的審計與監(jiān)控非法內(nèi)聯(lián)的審計與監(jiān)控IP地址使用的監(jiān)控進程管理的審計記錄網(wǎng)絡連接的審計與控制網(wǎng)絡入侵行為的審計與檢測數(shù)據(jù)庫非法訪問的審計與監(jiān)控應用系統(tǒng)審計漏洞掃描系統(tǒng)在政法網(wǎng)省、市級骨干網(wǎng)絡中必須部署先進的漏洞掃描系統(tǒng)，以實現(xiàn)對骨干網(wǎng)絡的漏洞及時發(fā)現(xiàn)和加固。在實際的平安事件中，網(wǎng)絡攻擊一般都是利用系統(tǒng)中的漏洞來實施入侵行為的。為充分保障這些信息系統(tǒng)平安中的脆弱點，通過部署漏洞掃描系統(tǒng)，在政法網(wǎng)中建立系統(tǒng)平安弱點評估系統(tǒng)，定期對整個網(wǎng)絡進行系統(tǒng)掃描、弱點評估，評估對象包括主機、網(wǎng)絡設備、數(shù)據(jù)庫系統(tǒng)及應用系統(tǒng)〔如WEB〕。對重要的網(wǎng)段和網(wǎng)絡中的重要資源及關鍵效勞器還應該增加掃描的頻率。要從網(wǎng)絡各個典型位置〔如邊界外部、專網(wǎng)等〕對系統(tǒng)進行評估和掃描。利用漏洞掃描系統(tǒng)可集中找出當前網(wǎng)絡中的平安漏洞，包括各個系統(tǒng)、設備及效勞的漏洞，了解漏洞內(nèi)容，使管理員不需要花費巨大的精力去逐項核查每個可能存在的平安隱患?？梢蕴峁┤娴娘L險評估報告和修正報告，包括對掃描所檢測出來的平安漏洞描述，并提供相應的修正方法及補丁下載網(wǎng)址，進而減少政法網(wǎng)系統(tǒng)漏洞，降低風險指數(shù)。漏洞掃描系統(tǒng)可以采用固定式和移動式相結合的方式部署，實現(xiàn)對整個網(wǎng)絡的無縫覆蓋。平安管理中心建設xx政法網(wǎng)系統(tǒng)工程進行平安建設后，將出現(xiàn)有多個廠商、數(shù)量眾多的平安設備和平安系統(tǒng)。管理員需要學習每種平安設備的使用方式，并時時巡視每臺設備的運行情況和報警情況。管理員管理負擔越來越重，無從掌控全局的平安狀況，很難保證整個網(wǎng)絡環(huán)境的平安性。同時，大量平安設備和平安系統(tǒng)的運行產(chǎn)生海量的平安事件，管理員如何有效的查找并發(fā)現(xiàn)平安問題，關聯(lián)分析出產(chǎn)生問題的根源是個十分嚴峻、棘手的事情。由此，xx政法網(wǎng)需要部署集中平安管理系統(tǒng)，從平安設備監(jiān)控管理和平安事件風險管理兩方面來解決上述難題。平安設備管理系統(tǒng)采用三層分布式體系結構，主要由被管設備層、管理中心層、控制臺層組成。在xx政法網(wǎng)數(shù)據(jù)中心的平安管理區(qū)部署集中平安管理系統(tǒng)效勞器，對xx政法網(wǎng)骨干網(wǎng)的平安設備和平安系統(tǒng)進行統(tǒng)一管理和審計，并對各市級政法網(wǎng)分平安管理中心進行平安審計，必要時跨越分平安管理中心直接對整個政法網(wǎng)的平安設備和平安系統(tǒng)進行管理和審計。在各市政法網(wǎng)數(shù)據(jù)中心的平安管理區(qū)部署分平安管理系統(tǒng)效勞器，對市級政法網(wǎng)的平安設備和平安系統(tǒng)進行統(tǒng)一管理。同時將管理和審計信息傳送到省xx政法網(wǎng)平安管理中心進行統(tǒng)一的審計。平安管理中心應包含以下功能：平安運行統(tǒng)一監(jiān)控平安管理平臺通過SNMP協(xié)議、ICMP等管理協(xié)議與平安設備通信，以標準平臺效勞：發(fā)現(xiàn)效勞、輪詢效勞、內(nèi)核效勞、訪問接口效勞、數(shù)據(jù)管理效勞、權限認證效勞、級聯(lián)效勞、調度效勞、事件效勞、告警效勞、通知效勞為根底，通過管理客戶端、WEB客戶端為用戶提供了平安報警和設備監(jiān)控〔拓撲地圖、設備監(jiān)視、歷史狀態(tài)分析〕等效勞。平安風險集中管理平安管理平臺可以進行日志監(jiān)視。系統(tǒng)可以實時監(jiān)視接收到的事件的狀況，如最近日志列表、系統(tǒng)風險狀況等；監(jiān)控事件狀況的同時也可以監(jiān)控設備運行參數(shù)，以配合確定設備及網(wǎng)絡的狀態(tài)；日志監(jiān)視支持以圖形化方式實時監(jiān)控日志流量、系統(tǒng)風險等變化趨勢。平安管理平臺還可以進行日志管理。通過SNMP、SYSLOG等方式采集管理對象的日志信息，再統(tǒng)一管理、分析、報警；自動完成日志數(shù)據(jù)的格式解析和分類；為用戶提供日志數(shù)據(jù)的存儲、備份、恢復、刪除、導入和導出操作等功能。綜合各種平安設備的平安事件，以統(tǒng)一的審計結果向用戶提供可定制的報表，全面反映網(wǎng)絡平安總體狀況，重點突出，簡單易懂。通過部署集中平安管理平臺，實現(xiàn)平安策略的集中部署、平安事件的深度感知、平安事件的關聯(lián)分析、平安威脅的協(xié)同響應。涉密信息系統(tǒng)設計概述涉密信息系統(tǒng)的建設將嚴格按照國家相關標準和規(guī)定詳細設計。這里僅列出設計的原那么和框架，詳細的設計見專門的涉密信息系統(tǒng)設計方案。涉密信息系統(tǒng)設計標準對于涉密系統(tǒng)的建設，國家保密局提出了涉密系統(tǒng)保密管理的原那么：“同步建設、嚴格審批、注重防范、標準管理”。具體來說，同步建設，就是涉密系統(tǒng)的建設必須與采用的保密設施同步規(guī)劃和建設；嚴格審批，就是涉密系統(tǒng)建成后必須經(jīng)過保密部門批準才能使用；注重防范，就是涉密系統(tǒng)的建設必須突出保密防范，并加大技術和資金投入；標準管理，就是要針對涉密系統(tǒng)制定一套嚴格的防范和管理措施。近年來，國家保密局已經(jīng)發(fā)布了如下規(guī)定和技術標準：BMB3-1999《處理涉密信息的電磁屏蔽室的技術要求和測試方法》BMB5-2000《涉密信息設備使用現(xiàn)場的電磁泄漏發(fā)射防護要求》BMB17-2006《涉及國家秘密的信息系統(tǒng)分級保護技術要求》BMZ2-2001《涉及國家秘密的計算機信息系統(tǒng)平安保密方案設計指南》BMZ3-2001《涉及國家秘密的計算機信息系統(tǒng)平安保密測評指南》涉密系統(tǒng)平安保密方案的主要內(nèi)容涉密系統(tǒng)平安保密建設是一個復雜的系統(tǒng)工程，無論是對已建計算機信息系統(tǒng)進行平安保密改造，還是新建一個涉密系統(tǒng)，都必須進行平安保密設計，提供平安保密方案。進行涉密系統(tǒng)平安保密方案設計，首先要進行系統(tǒng)分析，以了解、掌握涉密系統(tǒng)的詳細情況；然后，根據(jù)涉密系統(tǒng)的實際情況分析網(wǎng)絡的脆弱性和面臨的威脅，并進行風險分析，確定平安保密的防護重點；依據(jù)國家有關信息平安保密標準、法規(guī)和文件進行平安保密系統(tǒng)設計，明確所采用的平安保密技術、措施和產(chǎn)品，提供恰當?shù)呐渲梅桨?，并標準整個涉密系統(tǒng)的平安保密管理；最后，提出平安保密建設的實施方案和經(jīng)費概算。因此，涉密系統(tǒng)平安保密方案的主要內(nèi)容應包括：系統(tǒng)分析脆弱性分析和威脅分析風險分析平安保密系統(tǒng)設計平安保密技術和措施平安保密產(chǎn)品的選型原那么平安保密產(chǎn)品、設施選型和依據(jù)平安保密系統(tǒng)配置方案平安保密管理措施平安保密建設實施方案方案設計中的幾個要點涉密系統(tǒng)與非涉密系統(tǒng)的劃分涉密系統(tǒng)平安保密方案設計首先應根據(jù)單位的業(yè)務工作要求，劃分涉密系統(tǒng)與非涉密系統(tǒng).。由于涉密系統(tǒng)不得直接或間接國際聯(lián)網(wǎng)，必須實行物理隔離，并嚴格按照涉密系統(tǒng)的平安保密技術要求進行防護，因此，應該使涉密最小化，才能使平安保密經(jīng)費更加合理，才能更有利于網(wǎng)絡的開展應用。確定恰當?shù)纳婷芟到y(tǒng)規(guī)模和范圍的前提是定密準確。對涉密系統(tǒng)所處理和傳輸?shù)男畔?，有的定密過嚴，把不該定密的定了密，該定低密級的定高了，增加了平安保密經(jīng)費的負擔，也制約了應用；有的該定密的沒有定密，該定高密級的定低了，增加了泄密隱患。涉密系統(tǒng)內(nèi)平安域的劃分涉密系統(tǒng)的平安域由實施共同平安策略的域及其中的主體、客體組成。涉密系統(tǒng)應該利用其網(wǎng)絡結構〔如廣域網(wǎng)、局域網(wǎng)、物理子網(wǎng)和邏輯子網(wǎng)等〕，并按信息密級和信息重要性進行系統(tǒng)平安域劃分。不同的平安域需要互連互通時，應采用平安保密設備〔如防火墻、保密網(wǎng)關等〕進行邊界防護，并實施訪問控制。同一平安域應采用VLAN、域、組等方式根據(jù)信息的密級、重要性和授權進行進一步劃分。重視管理目前，涉密系統(tǒng)平安保密方案設計中存在無視管理，以技術代替管理的現(xiàn)象。管理與技術的作用應該是七分管理，三分技術的關系。加強管理可以彌補技術的缺乏；而無視管理那么再好的技術也不平安。因此，涉密系統(tǒng)平安保密方案設計中必須特別強調不能無視平安保密管理，應該強調管理和技術相結合的平安保密解決方案。各單位技術體系設計要求平安防護技術體系是一個集物理平安、網(wǎng)絡平安、系統(tǒng)平安、應用平安、平安管理于一體的較為完善的整體解決方案。各單位平安體系必須符合國家對電子政務網(wǎng)建設的相關標準和要求，同時參考xx政法網(wǎng)的平安防護體系進行建設。要求各單位平安體系的建設要以平安管理系統(tǒng)為核心，將各種異構的平安產(chǎn)品、網(wǎng)絡設備、用戶終端和管理員有機的連接起來，構成一個智能的、聯(lián)動的閉環(huán)響應體系。物理/鏈路平安防護要求物理與線路傳輸平安是整個系統(tǒng)平安的前提。在物理與線路傳輸平安體系設計中包括物理環(huán)境的平安，物理線路的平安，通信鏈路的平安等。目前各單位都已經(jīng)建設了專用機房。各單位機房的建設應遵循GB50173-93《電子計算機機房設計標準》等標準建設，能夠滿足包括防雷、防水、防火、防電磁輻射等內(nèi)容的區(qū)域保護和災難保護。通信信道為運營商提供，應采用長途環(huán)路保護、本地環(huán)路保護等手段進行保護，同時，對于關鍵設備，應采取冗余保護措施，并根據(jù)具體情況，提供帶寬、端口的冗余，便于今后擴容升級。各單位所采用的政法網(wǎng)傳輸鏈路為專用信道，所需設備及鏈路均與公眾網(wǎng)別離，保證了與公眾網(wǎng)的隔離。同時，應做好備件保護、電路保護、分路保護、容錯保護、災難保護等措施，保護鏈路平安。1、維護MPLSVPN專網(wǎng)xx政法網(wǎng)已經(jīng)按照六大系統(tǒng)和信息共享系統(tǒng)，采用MPLSVPN技術進行隔離保護，各單位必須使用和維護好自身的VPN專網(wǎng)。2、建設涉密信息加密隧道各單位之間要進行涉密信息的傳輸時，必須建設專用的涉密信息加密隧道。其技術要求要嚴格按照國家保密局相關政策和標準制定并建設。3、劃分VLAN各單位內(nèi)部的網(wǎng)絡平臺上，建議利用基于802.1Q協(xié)議的VLAN技術，根據(jù)不同業(yè)務需要，在各自網(wǎng)絡內(nèi)規(guī)劃VLAN，確保同一業(yè)務系統(tǒng)的主機屬于同一個VLAN，可跨交換機甚至局域網(wǎng)進行互訪，而不同業(yè)務系統(tǒng)VLAN之間除非明確允許，否那么是不能互相訪問的。4、鏈路冗余綜合利用各單位已有的專用網(wǎng)絡，作為鏈路備份機制，對主干傳輸鏈路提供故障切換，確保數(shù)據(jù)傳輸不中斷。網(wǎng)絡平安防護要求各單位縱向網(wǎng)平安防護各單位根據(jù)自身網(wǎng)絡提點，建立縱向網(wǎng)絡間的平安防護體系。保證上、下級之間網(wǎng)絡的訪問完全可控。根據(jù)各單位網(wǎng)絡的建設規(guī)劃和業(yè)務特點，各單位系統(tǒng)的省級節(jié)點是各單位網(wǎng)絡的業(yè)務核心，主要的業(yè)務系統(tǒng)與數(shù)據(jù)交換都發(fā)生在這省級核心節(jié)點，因此，省級節(jié)點的防護除必要的網(wǎng)絡隔離外，還應對應用層數(shù)據(jù)進行過濾，杜絕應用層攻擊對各業(yè)務系統(tǒng)的破壞。市級6大系統(tǒng)的節(jié)點是各單位節(jié)點中重要的數(shù)據(jù)傳輸節(jié)點，縱向各級和橫向各系統(tǒng)的數(shù)據(jù)會在這里進行頻繁的交互，在這些節(jié)點除進行網(wǎng)絡層防護外，還應加強對網(wǎng)絡病毒、蠕蟲的控制，防止病毒對骨干網(wǎng)絡的影響。各區(qū)縣及各部門的接入節(jié)點業(yè)務比擬單純，這里的防護應本著低本錢、高效率的原那么進行設計。各單位共享區(qū)域邊界防護各單位都有信息需要和政法網(wǎng)的信息共享區(qū)進行交互。根據(jù)公安部、最高法、最高檢等單位的內(nèi)部政策，各系統(tǒng)行業(yè)專網(wǎng)不允許與其它網(wǎng)絡直接連接，如果需要進行數(shù)據(jù)交換，必須采用平安隔離網(wǎng)閘，以數(shù)據(jù)擺渡的方式進行數(shù)據(jù)交換。在公安、檢察院、法院、司法廳、平安廳5大系統(tǒng)專網(wǎng)邊界，設立前置效勞器或前置效勞器群。前置效勞器通過平安隔離網(wǎng)閘，接入到政法網(wǎng)中。各系統(tǒng)內(nèi)部專業(yè)系統(tǒng)中需要共享出來的數(shù)據(jù)，先傳遞到前置效勞器，然后由平安隔離網(wǎng)閘擺渡到政法網(wǎng)中，并傳送到政法委的共享平臺效勞器群。各系統(tǒng)如果需要從共享平臺獲得數(shù)據(jù)，也是通過平安隔離網(wǎng)閘，從共享平臺中將數(shù)據(jù)擺渡過來，進行相應處理。采用這種方法，既能保證各行業(yè)專網(wǎng)的政策要求和平安標準，又能保證政法網(wǎng)及時得到相關數(shù)據(jù)。計算區(qū)域平安防護要求網(wǎng)絡病毒防范系統(tǒng)要求在各單位系統(tǒng)中所有終端安裝網(wǎng)絡防病毒系統(tǒng)。通過全面的網(wǎng)絡病毒防護，在各級內(nèi)網(wǎng)構建起一道最根本病毒防線。各單位系統(tǒng)的防病毒系統(tǒng)均應按照以下要求進行建設或升級：通過建立多層病毒防護體系，將病毒的威脅減小到最低：1、網(wǎng)絡層病毒阻斷和查殺：在網(wǎng)絡邊界通過網(wǎng)關防毒系統(tǒng)進行基于網(wǎng)絡的病毒防范和蠕蟲阻斷，可以在