| 1、项目背景 xxx省电子政务网工程，是为省委、省政府、南大、审计厅、外贸厅等政府机关单位而建立的统一的计算机信息网络，它将提供宽带、高速、安全、便捷的多媒体交换平台，其主要功能 包括：数据、视频、语音、多媒体通信、视频会议、数据共享、安全防护等，以满足多媒体网络通信和省委、省政府、省委机要局的机要通信的要求。项目建设内容包括省直机关宽带网、纵向网、数据库资源整合及其多媒体信息共享和交换平台。建立xxx省电子政务专用网络的重大意义在于树立全省各级政府、各部门在宽带多媒体网和互联网上的形象，组织和规范各级政府的网站要求，提高政府工作的透明度，降低办公费用，提高办事效率，有利于勤政、廉政建设，大幅提高政府的信息化水平，以适应政府管理和宏观调控的需要。 2、网络概况 xxx省电子政务专用网络整个结构以省委、省政府的园区网为顶点，形成连接各地市的骨干网络。由于xxx市特殊的位置和作用，党政领导部门分布集中，xxx市城域网作为电子政务网中一个重要的部分，形成若干个核心连接点。其余各地市则以局域网方式直接接入。 xxx省广域网是电子政务专网广域连接的基础。广域网的建设是在已建成的光纤通信信道之上,以xxx市城域网为顶级结点,各市(地)为二级结点构成广域主干网, 利用宽带网络传输技术，实现与地市传输平台的互联。为了确保广域网的可靠运行，主干的光纤连接，在进入宽带的传输网时，采用路由器。在传输平台的地市节点，采用专用光缆通过路由器连接到地市的网络通信平台接点上。在地市的网络通信平台接点上，接入党政领导的局域网。地市下属各区县，则可以通过就近直连到地市的网络通信平台上，或借助地县之间已有的ＳＤＨ或ＡＴＭ传输网络，汇接到地市传输平台接点，再通过地（市）、县之间网络通信平台的路由配置，实现县与地市的互连互通。地市与县传输平台的带宽应保证在２Ｍ以上。这样就实现了全省省、市(地)、县(区)主要领导互连互通。 电子政务专网的应用系统由视频会议、网络电话、电子邮件、应急指挥和突发事件信息采集、传输系统等网络基本应用构成，包括以联网数据库为基础的信息服务系统、视频信息系统以及办公业务系统、内网省级网站等，此系统提供以下服务内容： 高效、保密的信息传输系统, 支持信息接收发送、存储管理、加工分析、查询检索、应急处理。 内部视频会议系统和专网网络电话通讯系统。 党政领导决策、指挥的数据库和专项信息应用系统、决策支持系统。 视频资料库,实现与突发事件现场信息采集系统的连接,应急指挥系统。 电子邮件、公文报送、网上会议等基本的办公应用系统 专网的某网站，实现全网信息共享。 信息采集系统,制定相关的制度和标准,保证各级领导获取及时、准确、简要的信息,从而全面了解情况,做到科学决策,同时保证省级各部门和各市(地)、县(区)的信息反馈有畅通的渠道。 3、系统分析 网络给人们带来巨大便利的同时，也带来了许多挑战，其中安全问题尤为突出。日益严重的网络信息安全问题，不仅使上网企业、机构及用户蒙受巨大经济损失，而且使国家的安全与主权面临严重威胁。由单个用户的误操作引起的对客户机的系统的损坏可能传播到其他系统和主机，引起大范围的瘫痪和损失；另外，加上一些人缺乏安全控制机制和对网络安全政策及防护意识的认识不足，这些风险会日益加重。引起这些风险的原因有多种，其中网络系统结构和系统的应用等因素尤为重要。下面从物理安全、链路安全、网络安全、系统安全、应用安全及管理安全等方面进行分类描述： 3.1 物理安全风险 物理设备是整个网络的基础，物理安全是整个网络系统安全的前提。物理安全的风险主要有： 地震、水灾、火灾等自然环境事故造成整个系统毁灭； 电源故障造成设备断电以至操作系统引导失败或数据库信息丢失； 设备被盗、被毁造成数据丢失或信息泄漏； 电磁辐射可能造成数据信息被窃取或偷阅； 报警系统的设计不足可能造成原本可以防止但实际发生了的事故。 3.2 链路传输风险 网络安全不仅是入侵者到企业内部网上进行攻击、窃取或其它破坏，他们完全有可能在传输线路上安装窃听装置，窃取你在网上传输的重要数据，再通过一些技术读出数据信息，造成信息泄漏或者做一些修改来破坏数据的完整性；以上种种不安全因素都对网络数据传输构成严重的安全威胁。因此，对于某省政务网这样庞大的网络系统，如果网络上传输的信息被黑客篡改，将会造成巨大的损失，并可能产生恶劣的政治影响。因此，应通过加密的方式很好地保证数据在网上传输的机密性、完整性，如采用链路加密机或VPN设备来回避链路传输风险。 3.3. 网络结构的安全风险 3.3.1. 公网带来的安全风险 因特网的共享性和开放性使网上信息安全存在先天不足，因为其赖以生存的TCP/IP协议族，缺乏相应的安全机制，而且因特网最初的设计考虑是该网不会因局部故障而影响信息的传输，基本没有考虑安全问题，因此它在安全可靠、服务质量、带宽和方便性等方面存在着不适应性。同时网上有各种各样的人，他们的意图也是形形色色的。所以说当公司连入Internet时，该网络便面临着严重的安全威胁。每天黑客都在试图闯入Internet节点，如果不保持警惕，很容易被入侵，甚至连黑客怎么闯入都不知道，而且该系统还可能成为黑客入侵其他网络系统的跳板。影响所及，还可能涉及许多其它安全敏感领域，如网络传输中的数据被黑客篡改和删除，其后果将不堪设想。 3.3.2. 内部网络之间的安全风险 一个大机构可能由众多分支机构组成，虽然这些单位都属于一个系统，但终归各有各的重要或私有数据。具体到每一个节点来说，其它所有网络节点都是不可信任域，都可能对该系统造成一定的安全威胁。比如： 入侵者使用Scanner等嗅探程序通过网络探测扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放的TCP端口、系统保存用户名和口令等安全信息的关键文件等，并通过相应攻击程序对内网进行攻击。 入侵者通过网络监听Sniffer等手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息。 入侵者通过发送大量数据包对内部网重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。 3.3.3. 内部局域网带来安全风险 在已知的网络安全事件中,约70%的攻击是来自内部网。首先，各节点内部网中用户之间通过网络共享网络资源。对于常用的操作系统Windows 95/98，其网络共享的数据便是局域网所有用户都可读甚至可写，这样就可能因无意中把重要的涉密信息或个人隐私信息存放在共享目录下，因此造成信息泄漏。另外，内部管理人员有意或者无意泄漏系统管理员的用户名、口令等关键信息；泄漏内部网的网络结构以及重要信息的分布情况。甚至存在内部人员编写程序通过网络进行传播，或者故意把黑客程序放在共享资源目录做个陷阱，乘机控制并入侵他人主机。因此，网络安全不仅要防范外部“黑客”，同时也要防范内部“黑客”。 3.3.4 系统的安全风险 系统安全通常是指网络操作系统、应用系统的安全。对一个网络系统而言，操作系统或应用系统存在不安全因素，将是黑客攻击得手的关键因素，因为黑客攻击某网络系统，一般都是通过攻击软件扫描该网络系统中主机是否存在安全漏洞，通过可利用的安全漏洞进行攻击并控制这台主机，为以后进一步攻击打下基础。就目前的操作系统或应用系统来说，无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，都存在着或多或少的安全漏洞。如果黑客利用这些漏洞进行系统的攻击，后果可想而知。从实际应用考虑，系统的安全漏洞并不是不可避免的，因为系统本身也会有自己的安全配置，只要定期的安装相应系统的补丁，关闭不常用的服务，禁止开放一些不常用而又比较敏感的端口等，那么入侵者要成功进入内部网是不容易的。 3.4. 应用的安全风险 应用是广泛的、动态的，因为我们不知道未来会出现一种什么样新的应用。所以应用的安全性也是多方面的，这就需要我们对不同的应用，采取相应的安全措施，对未来的应用也要做好防范的准备。 3.4.1 WWW网上浏览应用安全 WWW网上浏览基本是每个公司都可能进行的应用，也是网络系统被入侵的一个不安全因素。网络具有地域广、自由度大等特点，同时上网的有各种各样的人，他们可能在某些站点上放置一些病毒或者特洛伊木马程序，如果不小心从网上下载了带有这些不安全因素的资料，就会给内部的网络安全造成极大的危险。有些人利用假冒手段骗取你的关键信息例如用户名和密码等，都是对你的主机受到攻击埋下的安全隐患。 3.4.2 电子邮件应用安全 电子邮件是目前最为广泛的网络应用之一。内部网用户可通过拔号或其它方式进行电子邮件发送和接收。由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，随意打开的邮件可能就是被携带了特洛伊木马或者红色代号、尼姆达等病毒程序，给入侵者提供机会，给系统带来不安全因素。 3.4.3 软件的漏洞或者“后门” 随着软件类型的多样化，软件上的漏洞也是日益增加，一些系统软件、桌面软件等等都被发现过存在安全隐患。可以说任何一个软件系统都可能会因为程序员的一个疏忽、设计中的一个缺陷等原因而存在漏洞，这也是网络安全的主要威胁之一。 3.5 资源共享 办公网络应用通常是共享网络资源，比如文件、打印机共享等。由此就可能存在着：员工有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密。 3.6 数据信息安全 数据安全对任何一个公司来说都至关重要，在网上传输的数据可能存在保密性质，而出于网络本身的自由、广泛等特性，数据在广域网线路上传输，很难保证在传输过程中不被非法窃取和篡改。黑客或一些不法份子会通过一些手段，设法在线路上获得传输的数据信息，造成信息泄密。对于任何一个公司来说，数据丢失、破坏、被修改或泄漏等情况都是不允许发生的。 3.7 管理的安全风险 网络系统的严格管理是企业、机构及用户免受攻击的重要措施。事实上，很多企业、机构及用户的网站或系统都疏于这方面的管理。据IT界企业团体ITAA的调查显示，美国90％的IT企业对黑客攻击准备不足。目前，美国75％－85％的网站都抵挡不住黑客的攻击，约有75％的企业网上信息失窃，其中25％的企业损失在25万美元以上。 内部人员的管理也很重要，内部员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。机房重地如果没有任何门禁系统，可以随意出入，存有恶意的入侵者便有机会得到入侵的条件。内部工作人员没有按一定的安全操作规程，因人为的误操作而带来安全风险。内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点，利用内部网络进行测试，甚至破坏。如传出至关重要的命令、错误地进入数据库、删除数据等等。这些都将给网络带来极大的安全风险。 管理是网络安全得到保证的重要组成部分，责权不明，管理混乱、安全管理制度不健全及缺乏可预防性、操作性等都可能引起管理安全的风险。 4、安全体系 4.1 物理安全 在物理安全上主要考虑如下几个方面： 机房场地设计和建设要按照国家相关的规定，以便可以防止水灾、火灾等自然环境事故。 考虑安装门禁系统，防止设备被盗。 考虑安装报警装置，当门禁等重要设备被损坏，能够及时采取措施。 备份重要设备。如：对重要网络设备及网络线路进行备份，对重要服务器进行备份等。 4.2、访问控制安全 4.2.1 外部网路访问内部网络 外部网路是一个非常广的范围，网络上有各种各样的人，进行着各种各样的行为，如果把内部一台机器暴露给外部网。入侵者就可能由此知道你内部网络的拓扑结构，对内部网络的攻击简直轻而易举。所以我们要采取一定的访问控制手段，严格的保护内部网络的安全。 4.2.2 内部网络之间的访问 每个内部网络同属于一个公司，虽然有些内容对于整个公司来说是共享的，但毕竟各有各的私有数据。例如财务部不希望人事部了解关于财务的信息，所以在内部网络之间做深一层的访问控制，可以更有效的防止内部信息的泄漏。 4.2.3 非法用户的访问 从管理上及实际需求上是要求合法用户可正常访问被许可的资源。但是一些没有获得访问权的人员可能越权或者假冒合法用户的IP地址或用户名等资源进行非法访问。因此，必须从访问控制上做到防止非法用户的访问。 4.3 信息保密 加密传输是实现网络安全重要手段之一。如信息的泄漏很多是在链路上被搭线窃取，数据也可能因为在链路上被截获而造成泄密。为了保证数据在网络上传输的机密性，必须采用加密技术，对数据进行加密传输。经加密后的数据即使在网上传输过程中被截获，也不能被读懂。 4.4 入侵检测 随着黑客入侵事件的日益猖獗，只从防御角度构造安全系统是不够的。入侵检测技术是继防火墙、数据加密等安全保护措施后新一代安全保护技术。它对计算机和网络资源上的恶意使用行为进行识别和响应，不仅可以检测来自外部的入侵行为，同时可以监督内部用户的未授权活动。所以，确保网络安全还必须采用入侵检测系统，对所有进出内部网络的访问行为进行检查并做相应反应（记录、报警、阻断）。 4.5 CA认证 对于网络系统（例如防火墙、入侵检测）的管理或者对于网上各种业务处理需要提供一种可靠的身份认证，不仅要支持用户名、口令的弱认证机制，还需要一些基于CA认证系统平台的数字证书强认证机制。 4.6 安全扫描 网络安全扫描可以根据完整的安全漏洞集合，进行全盘的侦测功能，而这些安全漏洞集合也正是导致网络遭受破坏的主要因素；因此，网络安全扫描可以在网络黑客动作之前，协助管理者及早发现网络上可能存在的安全漏洞。 4.7 实时信息审计和内容恢复 网络应用中会涉及内部网的敏感信息、外部网的恶意信息，那就需要实时监控网络上的数据，进行数据流的采集、分析和跟踪，对应用内容进行恢复和回放，防止信息的泄漏或者恶意的破坏。 4.8 病毒防护 目前红色代码或者尼姆达等各种新型病毒的传播都是极为迅速，而且其破坏性足以使整个网络瘫痪，所以防毒、杀毒的举措是必不可少的。 4.9 网络结构优化 很多组织都会将提供对外服务的服务器和内部网络放在一起，这样黑客很可能通过访问提供服务的服务器来对内部网进行攻击。所以对这些服务器和内部网路应该进行隔离。 4.10 安全备份和灾难恢复 设备的突然故障造成系统无法正常运行，误操作或者介质损坏造成数据的丢失，都是一些无法预知的事故，安全备份可以做到防患于未然。网络备份的最终目的是保障网络系统的顺利运行。所以优秀的网络安全方案应能够备份系统的关键数据，在网络出现故障甚至损坏时，能够迅速地恢复网络系统。 4.11 信息安全服务 在人们不断的要求硬件或者软件上所提供的安全时，人为的信息安全服务也不能被人忽视，信息安全服务包括：全方位的网络安全咨询、网络安全技术培训；静态的网络安全风险评估；特别事件应急响应等。对xxx省政务网这样重要的网络，必须更加重视安全服务，通过安全服务来保障整体网络安全真正得以实现。 5、项目实施 在省中心连到互联网的出口处安装双机热备千兆防火墙，在政务专网上安装千兆防火墙，在政务公众网上安装百兆防火墙。在各地市中心的政务公众网和政务专网上安装百兆防火墙。在省中心安装入侵监测系统和漏洞扫描系统，并部署CA中心，在整个政务网上部署网络防病毒系统。 图 错误！未定义样式。?错误！未定义书签。  |
|小黑屋|最新主题|手机版|微赢网络技术论坛
( 苏ICP备08020429号 )
GMT+8, 2024-10-1 12:21 , Processed in 0.157677 second(s), 12 queries , Gzip On, MemCache On.
Powered by Discuz! X3.5
© 2001-2023 Discuz! Team.
