xx市工商局网络完整安全方案(编辑修改稿)

xx市工商局网络完整安全方案(编辑修改稿)内容摘要：

信息技术有限公司 —— 解决方案 10 为了对网络系统进行基本的分析，按照提供的服务性质我们把网络系统划分为内部办公区、内部服务区、重点业务区。 具体划分如下： 内部网络 内部办公区 各楼层 PC机 、县区局工商所 PC 机 内部服务区 内网服务器（文件服务器、打印服务器等） 重点业务区 OA 系统服务器（数据库服务器、应用服务器）； 各区域安全管理需求 : 区域名称 安全管理需求 技术情况 重点业务区 安全风险需求 操作系统 弱点 、漏洞 现状： 使用 OS 厂商补丁 建议： 通过安全评估技术加固操作系统 网络攻击防范 现状： 暂无技术手段 建议： 通过入侵检测技术监控网络攻击； 通过安全隔离系统实现隔离控制 访问权限识别 现状： 使用 OS 提供的口令认证 建议： 通过 CA认证技术加强控制 病毒防范 现状： 使用桌面防病毒系统 建议： 通过具备集中管理能力的网络防病毒系统，加强全网病毒防杀能力。 访问动作监控（本地、网络） 现状： 使用 OS 提供日志记录 建议： 通过安全管理审计系统加强控制 数据存储安全、服务提供稳定 现状： 使用双机容错系统、数据备份系统保障数据安全。 应用管理需求 违规操作监控 误操作防范 现状： 暂无技术手段 建议： 通过安全管理审计系统加强控制 网管需求 配置管理与调度管理 现状： 使用 CiscoWork 20xx 实现网络设备的配置管理 ，在服务器配置管理与全网流量调度方面，暂无技术手段。 建议： 通过安全管理审计系统与网络管理系统配合加强管理。 内部服务区 安全风险需求 操作系统 弱点 、漏洞 现状： 使用 OS 厂商补丁 建议： 通过安全评估技术加固操作系统 网络攻击防范 现状： 暂无技术手段 建议： 通过入侵检测技术监控网络攻击 病毒防范 现状： 使用桌面防病毒系统 建议： 通过具备集中管理能力的网络防病毒系统，加强全网病毒防杀能力。 北京安盟信息技术有限公司 —— 解决方案 11 访问动作监控（本地、网络） 现状： 使用 OS 提供日志记录 建议： 通过安全管理审计系统加强控制 应用管 理需求 通用网络应用监控 现状： 暂无技术手段 建议： 通过安全管理审计系统加强控制 网管需求 配置管理与调度管理 现状： 使，暂无技术手段。 建议： 通过安全管理审计系统与网络管理系统配合加强管理。 内部办公区 病毒防范 现状： 使用桌面防病毒系统 建议： 通过具备集中管理能力的网络防病毒系统，加强全网病毒防杀能力。 （ 2）需要进一步分析的内容  评定资产价值  根据不同的关键程度等级划分数据级别  有形资产 /无形资产  明确对资产的潜在威胁和资产受此威胁攻击的可能性  威胁是任何对网络或网络设备造成损害的个人 、对象或事件  脆弱性是网络系统存在的可能被威胁利用的缺陷  分析受到威胁后造成的影响  影响是一旦遭到威胁后，对 XX 市工商局 造成直接的损失和潜在的影响。  数据破坏  丧失数据的完整性  资源不可用  诋毁名誉  „  风险缓解与安全成本  确定 XX 市工商局 能够接受多高的风险以及资产需要保护到什么程度。  风险缓解是选择适当的控制方式将风险降低到可以接受水平的过程。  性能成本（可用性、效率）  经济成本：实施和管理安全程序的花费必须与潜在利益进行比较 北京安盟信息技术有限公司 —— 解决方案 12 有三种对策性问题的解决有助于内部网或内部用户的安全防范 1） 内部互访 如何控 制网络不同部门之间的互相访问； 2） 管理维护 如何对不断变更的用户进行有效的管理； 3） 安全认证 如何加强远程拨号用户的安全认证管理 ； 在网络规模较小，只有少数的访问服务器提供远程访问时，一般采用访问服务器的本地安全数据来提供安全认证。 随着网络规模的增长以及对访问安全要求的提高，一般需要一台安全服务器为所有的拨号用户提供集中的安全数据库，用户无需在每台访问路由器上增加更改拨号用户安全信息，从而有助于实现统一的访问控制策 略。 安全建设 目标 XX 市工商局 的网络安全管理的建设目标是：在现有网络基础设施 和装备的基础上，以保障网络安全稳定运行为主线，充分利用先进的安全技术手段，建成和不断完善“全网网络安全管理体系”。 充分利用传统网管技术与安全技术优势，构建技术能力与整体策略相呼应的动态安全管理体系，并经由规划 应用审计 规划的科学工程实现过程，满足网络安全管理的准确性、时效性和可分析性的需求。 同时，以网络实时监控、科学审计为依托构建多层次立体综合安全框架，形成以保障 市政府 核心业务安全为重点，各系统稳定运行为基础的网络安全管理体系。 网络安全管理的需求是变化的。 管理、信息系统、安全体系和事务处理应当互相促进 、平衡发展。 因此在本项目建设初期，我们考虑到用户网络环境的实际应用状况，充分顾及与现有应用的共通性，兼顾网络的整体发展和以后工程的衔接，力争做好网管核心的建设。 建设原则 为达成全网信息化建设的规划目标，在规划设计中除遵循保障的业务运行效率，以及具有良好的可扩展性能这两个基本原则外，还遵循以下原则： 1）实用性原则 充分考虑已有资源（软硬件及网络设备）的合理利用，做好新旧系统平稳过渡，避免出现不必要的浪费； 2）先进性原则 北京安盟信息技术有限公司 —— 解决方案 13 使网络安全系统在技术上达到同行业国内领先水平和二十一世纪国际先进水平，是本系 统追求的总体目标。 采用先进的网络工程学原理，确保实用有效，并提供完整的技术文档资料； 3）需求、风险、代价平衡的原则 进行实际研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定安全策略； 4）综合性、整体性原则 一个较好的安全管理措施往往是多种方法适当综合的应用结果。 一个计算机网络，包括个人、设备、软件、数据等，这些环节在网络中的地位和影响作用，也只能从系统综合的角度去看待、分析，才能获得有效、可行的措施。 即遵循整体安全性 原则，根据规定的策略制定出合理的网络安全体系结构； 5）易用性原则 技术人员可以简便的安装、运行安全技术。 主要产品应具备简单、方便、友好的全中文用户界面，使用户易于理解、易学、易操作； 6）动态实施管理原则 随着网络规模的扩大及应用的增加，网络应用与安全性也会不断变化，一劳永逸地解决网络应用与安全问题是不现实的。 也就是说要根据网络的变化不断调整应对措施，结合我们提供的网络服务与安全技术服务，适应新的网络环境及安全需求。 5 解决方案 在现有网络基础设施和装备的基础上，以不影响网络实时性要求为前提，充分利用 先进的安全技术手段，以网络实时监控、科学审计、应用认证为依托构建多层次立体综合安全框架，形成以保障 XX 市工商局 的核心业务安全为重点，各级部门日常业务工作为基础的网络安全管理体系。 从系统工程角度看总体目标是建设 XX市工商局 网络安全管理体系，形成 全系统 网路统一的安全管理策略。 北京安盟信息技术有限公司 —— 解决方案 14 长远网络安全体系建设包含以下要点： （ 1）广域网安全技术集成 VPN 技术、安全路由技术、认证技术 （ 2）局域网安全技术集成 访问控制、入侵检测、隔离网闸、评估等 （ 3）综合审计技术 以上所有安全技术与网管技术、应用系统之间的协调管理。 整体框架示意如下： 安全管理体系框架标准化发展目标持续性接口网管安全应用制度、规范 已经或将要采用的安全技术与内部网络安全技术使用统一的技术标准，确保可以各种技术应用可纳入统一管理平台，以便在整体安全策略指导下，最大限度的发挥安全技术的防御能力。 针对 OSI 七层协议考虑安全建设技术规范： 物理层的安全防护：在物理层上主要通过制定物理层面的管理规范和措施以及采用 物理隔离网闸 来提供 统一的 安全解决方案。 链路层安全保护：主要是链路加密设备对数据加密保护。 它对所有用户数据一起加密，用户数据通过通信线路送到另一节点后解密。 网络层和安全防护：网络层的安全防护是面向 IP包的。 网络层主要采用防火墙作为安全防护手段，实现初级的安全防护。 在网络层也可以根据一些安全协议实施加密保护。 在网络层也可实施相应的入侵检测。 传输层的安全防护：传输层处于通信子网和资源子网之间，起着承上启下的作用。 传输层也支持多种安全服务： 1)对等实体认证服务； 2)访问控制服务；3)数据保密服务； 4)数据完整性服务； 5)数据源点认证服务。 应用层的安全防护：原则上讲所有安全服务均可在应用层提供。 在应用层北京安盟信息技术有限公司 —— 解决方案 15 可以实施强大的基于用户的身份认证。 在应用层也是实施数据加密，访问控制的理想位置。 在应用层还可加强数据的备 份和恢复措施。 应用层可以是对资源的有效性进行控制，资源包括各种数据和服务。 应用层的安全防护是面向用户和应用程序的，因此可以实施细粒度的安全控制。 安全体系的建设是循序渐进的过程，基础安全管理平台建设一般通过以下5个方面集成安全技术。 （ 1）加固服务器的抗攻击能力 作为业务核心的服务器，因其在系统中所处的重要地位而最易受到黑客的攻击，故应对其采取以下安全防护机制 :  操作系统安全评估  系统访问控制  主机入侵检测  主机防病毒  系统完整性检查 以实现防御核心安全机制的全面强化，大幅提升其自身的可靠性和安全级别。 （ 2）提高网络通信枢纽对网络的安全控制能力 对于其它网络设备作为网络通信枢纽采用以下安全机制以提高网络体系整体的安全防御能力 :  网络设备安全评估  网络访问控制  网络防病毒 （ 3）对网络行为的分析监控 作为安全防御体系核心的网络入侵检测系统 和上网行为管理系统 ，承担着全面监控网络安全状况的重要职责。 其主要任务描述如下 :  检测恶意行为 通过时实监控 、 解析网络数据流，及时发现针对服务器及其它网络终端设备的恶意行为，并做出反应。  早期攻击预警 收集 并 解析位于公网出口处探测器发来的信息，监控外部用户对内网终端 的访问，并可对外部攻击行为作出早期预警，以提高防御系统的反应时效。  监控违规操作 监控局域网内部数据信息，对违规操作等行为进行报警和控制。 一是 对互联网访问行为进行记录和控制，封堵或减少内网用户使用 P2P,在线看电影，大流量下载等行为，对带宽进行合理有效分配； IPS,防 arp 攻击等的安全防御，对内网单机的安全措施做有效管理。 二是检查客户端是否安装了符合规定的操作系统、杀毒软件、防火墙程序等，不符合规定的不允许访问外网，以防带入不安全因素北京安盟信息技术有限公司 —— 解决方案 16 到内网。 三是验证钓鱼网站证书，防止用户名密码被盗。 四是集成企业级状态 检测防火墙，可选 IPS，网关杀毒 的 整网防护措施。 全面保护内网。 五是可以记录下所有的网络行为访问记录，比如外发消息，监控用户网访问过的网址和试图访问的网址等，在内部人员上网前进行认证，明确责任。 网络安全管理目标体系是一个经由规划 应用 审计 规划的动态实现过程，上述的所有安全策略和方法只是完成了初期安全规划。 然后应定期对安全体系中所有功能模块或系统提供的系统日志和安全日志进行审计 、 分析 、 总结。 形成更为完善的安全策略和规划，以指导安全系统的运行。 整个安全体系将依照上述过程不断循环往复，进而不断完善成熟。 从 事件发展的时间周期上看，安全体系分为三部分配合运做，以达到最终的协调统一。  事前预防：安全评估的系统漏洞修补和入侵检测对攻击前探测的早期预警，构成了事前防御部分；  事中保护：入侵检测系统对网络体系中信息流全方位的监测控制形成了事中保护安全机制。 与访问控制、网络防病毒、系统完整性检查协同形成安全屏障；  事后审计：安全事件发生后无论产生何种后果，都须对网络系统进行全面的完整性检查与系统日志和安全日志的审计。