[计算机硬件及网络]信息安全建设-整体方案v

[计算机硬件及网络]信息安全建设-整体方案v内容摘要：

目前已知的所有上网方式接入到企业内部网。 也可在某些通过地址转换方式上网的局域网以私有 IP 地址通过安全 IP 通道接入企业内部网。 这些数据传输中涉及到大量的身份认证，确保机密性和不可抵赖性。 主要需要认证的用户包括应用系统用户、数据用户、操作系统用户等。 要求对关键业务、关键系统、关键数据的访问采用认证鉴别技术，保证合法用户访问合法数据。 . 网络传输安全需求分析 中心与各级机构之间以及移动用户与信息 中心进行业务操作过程中，通过租用电信运营商线路或者通过 INTERNET 进行数据业务的传输，在传输过程中，信息将面临搭线窃听、电磁信号分析都攻击手段，通过这些攻击手段，具有恶意行为的攻击者可以窃取信息的内容。 对于 **集团 业务、办公信息等敏感内容，将带来较大的危害性。 信息系统安全建设建议 方案 第 12页 共 53 页 因此需要在信息传输两端部署具有 VPN 能力的设备或者软件保证传输安全。 . 内容过滤安全需求分析 互联网虽然给用户带来巨大的价值，但它也是非法信息传播的温床，反动、色情、暴力等信息在互联网上随处可见，垃圾邮件占据了大量的合法带宽和用户存储资源。 虽然国家 有相关法律条例禁止这些不良信息，但仅仅依靠行政手段是无法达到彻底清除的目的。 相比而言，技术手段则更加有效，需要安装内容过滤产品防止非法信息的传播。 . 上网行为管理的需求 随着互联网的快速发展，即时通讯、 P2P 下载、网上炒股、在线视频播放等应用也变得日益广泛。 对于组织来说，这些应用本身不属于威胁的范畴，但会影响组织的工作效率，降低组织的生产力，因此需要进行合理的控制。 譬如，需要对 P2P 下载进行速度限制，禁止网上炒股，等等。 . 反垃圾邮件的需求 邮件应用是互联网上最基本的网络应用，但由于互联网的开放性，垃圾邮件的问 题也同样突出，并日渐成为用户的梦魇。 垃圾邮件的危害不仅在于要占用用户大量的时间去对邮件进行筛选、处理，还因为垃圾邮件本身还是病毒、木马等威胁传播的重要途径，会对用户的终端和业务网络造成危害。 为了净化网络流量，减少垃圾邮件的危害，在 网络的边界处需要部署反垃圾邮件设备。 . 安全审计需求 日志审计是信息安全的重要方面，它是实现安全事件的可追查性、不可否认性的重要数据环节。 对于 **集团 信息系统由于数据来源多、数据量大、数据类型复杂，将面临大量的攻击事件。 良好的安全审计能力是分析 **集团 信息系统安全状况的必要条件。 . 终端成为边界带来新的需求 随着信息网络技术的发展，网络安全的势态发现了变化，终端正在成为新的网络边界。 首先，随着网络接入技术的发展，终端接入网络的方式已经不再局限于局域网接口，包括双网卡， WiFi， CDMA/GPRS 上网卡， Modem 拨号，红外，蓝牙 „ ，这些接口已经成为企业内部网络的另一道边界。 不能管理内部 PC 通过这些接口上网，就类似在防火墙的城堡下，存在很多没有安全警卫的后门、小道，内部内部网络的安全性无法保障。 信息系统安全建设建议 方案 第 13页 共 53 页 其次，在传统的企业网络中，终端具有固定的办公位置，内部网络相对是静态的。 然而随着移动终端的 普及（便携机销售超过台式机），产生了移动办公方式，内部网络上接入的终端变得动态化。 一方面，员工的终端可能在多个位置动态接入内部网络；另一方面，各种非公终端也可能接入内网（包括员工个人 PC，以及合作伙伴，客户的 PC）。 随着用户 PC的不断接入，内部网络的边界在不断扩充。 内部网络的动态化，需要我们从另外一个视角来看边界安全问题。 在内网边界动态变化的过程中，我们必须在新加入的 PC 这一新的边界上，进行必要的安全检察，配置必要的安全防护，才能满足网络安全的需要。 目前大多数的终端安全解决方案中，网关安全和终端安全是孤立 起来考虑的，不能做到有效的协同。 但随着终端的边界化，只有站在网关的视点来看待终端安全，才能确保内网的真正安全。 要使得网关和终端能够完美融合，真正的起到纵深防御，遥相呼应，需要在网关产品上整合终端安全策略，在网关产品上对内网终端进行统一的安全管理。 信息安全体系建设 . 建设原则 在设计技术方案时 遵从以下 原则：  实用性原则 **集团 的安全体系建设将始终遵循“面向应用，注重实效”的指导思想。 紧密结合 **集团 现有网络和应用情况，充分保证原有系统和结构的可用性。  完整性原则 **集团 网络安全建设必需保证整个防御体系的 完整性。 在安全体系建设中，我们采取多种安全防御的技术和措施来保障 **集团 的网络系统安全运行。  整体均衡 原则 要 对信息 系统进行 全面均衡 的 保护 ，要 提高整个 信息 系统的 安全最低点 的安全性能 ，保证各个层面防护的均衡。  安全目标与效率、投入之间的 平衡原则 要综合考虑安全目标与效率、投入之间的均衡关系，确定合适的平衡点，不能为了追求安全而牺牲效率，或投入过大。  区域 等级原则 要将信息系统按照合理的原则划分为不同安全等级，分区域分等级进行安全防护。 信息系统安全建设建议 方案 第 14页 共 53 页  动态发展原则 安全防范体系的建设不是一个一劳永逸的工作，而是一 个长期不断完善的过程，所以技术方案要能够随着安全技术的发展、外部环境的变化、安全目标的调整而 不断 升级发展。  节省投资原则 在满足上述原则的基础上，应尽量作到节省设备采购投资，不要形成一种“用价值 10元的设备来保护价值 5 元 的资产”的局面。 . 安全建设的思路和方法 建议首先采用安全域划分方法将整个信息系统分成多个安全等级不同的相对独立的子系统，既按照业务流程的不同层面划分为不同的安全域针对每个安全域或安全子域来标识其中的关键资产，分析所存在的安全隐患和面临的安全风险，然后给出相应的保护措施。 由于不同的安全 域 之 间存在着数据流，这时候就需要考虑安全域边界的访问控制、身份验证、信息过滤、防病毒、入侵防御和审计等安全策略的实施。 根据对市场 已 有的安全 技术分析，功能全面、维护简单且性价比较高的 UTM 类产品是比较好的选择。 UTM 产品提供了完整的边界安全保护能力，可以有效的实施访问控制、入侵检测与防护、防病毒、应用层信息过滤、流量管理、带宽管理等能力。 同时由于一台 UTM 设备即可实现 较为 完整的边界安全解决方案，将大大降低用户采购成本和维护成本。 . 安全域划分 网络的建设是由业务系统的驱动建设而成的，初始的网络建设大多没有统一规划， 有些系统是独立的网络，有些系统又是共用一个网络。 而这些系统的业务特性、安全需求和等级、使用的对象、面对的威胁和风险各不相同。 当前 **集团 网络系统是一个庞大复杂的系统，在支持业务不断发展的前提下，如何保证系统的安全性是一个巨大的挑战，对系统进行区域划分，进行层次化、有重点的保护是有保证系统和信息安全的有效手段。 按数据分类分区域分等级保护，就是按数据分类进行分级，按数据分布进行区域划分，根据区域中数据的分类确定该区域的安全风险等级。 目的是把一个大规模复杂系统的安全问题，分解为更小区域的安全保护问题。 这是实现 大规模复杂信息的系统安全等级保护的有效方法。 根据 **集团 信息系统的特点将整个 **集团 信息系统分为如下安全域： 信息系统安全建设建议 方案 第 15页 共 53 页 1. 中心接入域 ：包括外联区（与 公网 相连）、内联区（与二级机构相连）、 DMZ 区（对外公开服务器）以及内部网中的总部大楼和信息中心的接入部分。 2. 中心办公域 ：总部工作人员办公用网络。 3. 中心生产域： 生产终端所在网络。 4. 中心服务域 ：所有的业务生产系统的服务器都放置在这个区域。 5. 二级机构办公域 ：二级 机构 的办公网络，每个具体的二级 机构 办公域形成一个独立子安全域。 6. 二级机构生产域 ：二级 机构 的生产网络，每个具体的二级 机 构 生产域形成一个独立子安全域。 信息安全 方案 设计 拓扑 示意图： „ „„ „ „ „„ „„ „分 / 子 公 司 分 / 子 公 司总 部北 京 公 司互 联 网核 心 服 务 器 区业 务 安 全 审 计入 侵 检 测互 联 网 行 为 审 计办 公 / 生 产 区安 全 网 关安 全 运 营 中 心V P N 接 入安 全 网 关安 全 网 关安 全 网 关 信息系统安全建设建议 方案 第 16页 共 53 页 . 安全网关 (UTM)设计 部署方案 根据 **集团 网络的现状和日后的发展需要， 通过安全域划分原则部署和配置 我 公司的一体化 安全网关 （ UTM） 设备 ： 中心接入域： 合法接入控制：接入域内各子域边界的访问控制以及对应用数据进行安全过滤，对接入的数据或者用户进行身份认证与授权。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的病毒传播。 抗拒绝服务攻击：根据 网络异常行为判断出拒绝服务攻击并予以阻断。 传输安全：接入域和其他安全域的互联方式可能需要加密传输，因此需要对敏感数据采用 VPN 技术进行加密。 中心办公域： 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 抗拒绝服务攻击：根据网络异常行为判断出拒绝服务攻击并予以阻断。 防泄密：监控接入域客户的非业务流量，特别是进行文件和信息交换的协议，比如：电子邮件、 FTP、 WEB 访问等。 通过控制文 件传输以及纪录文件传输行为两种方式进行防泄密保护。 内容过滤：对基于标准协议的内容进行过滤，防止色情、非法信息的下载与传播。 上网行为管理：对 IM 应用进行管理和控制，对 P2P/网络视频等行为进行阻断或者限流，确保带宽的有效利用。 防垃圾邮件：防止邮件炸弹攻击，对垃圾邮件进行过滤，提升工作效率。 中心生产域 : 信息系统安全建设建议 方案 第 17页 共 53 页 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 安全审计：对所有与业务相关的 通讯进行纪录，保证可进行事后分析和可追查性检查。 中心服务域 : 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 抗拒绝服务攻击：根据网络异常行为判断出拒绝服务攻击并予以阻断。 二级机构办公域： 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 抗拒绝服务攻击：根 据网络异常行为判断出拒绝服务攻击并予以阻断。 防泄密：监控接入域客户的非业务流量，特别是进行文件和信息交换的协议，比如：电子邮件、 FTP、 WEB 访问等。 通过控制文件传输以及纪录文件传输行为两种方式进行防泄密保护。 内容过滤：对基于标准协议的内容进行过滤，防止色情、非法信息的下载与传播。 上网行为管理：对 IM 应用进行管理和控制，对 P2P/网络视频等行为进行阻断或者限流，确保带宽的有效利用。 防垃圾邮件：防止邮件炸弹攻击，对垃圾邮件进行过滤，提升工作效率。 二级机构生产域 合法接入控制：仅允许可信主机进入 办公域，同时仅允许有业务需求的主机访问外部网络。 信息系统安全建设建议 方案 第 18页 共 53 页 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 安全审计：对所有与业务相关的通讯进行纪录，保证可进行事后分析和可追查性检查。 系统功能 天清汉马 USG 一体化安全网关 采用 高性能 的 硬件 架构和 一体化的软件设计 ，集 防火墙、VPN、入侵防御（ IPS）、防病毒、外联控制、抗拒绝服务攻击（ AntiDoS） 、 内容过滤、反垃圾邮件 、 NetFlow 等多种安全技术于一身， 同时 全面支持 QoS、高可用性（ HA） 、日志审计等功能 ， 为 网络边界提供 了全面实时的安全 防护。 除此之外，天。