电子政务曙光网络安全解决方案

电子政务曙光网络安全解决方案内容摘要：

通过各种方式 截获网络传输数据、入侵数据库， 对信息安曙光防火墙、网络型 NIDS 保障网络安全 曙光主机型 HIDS 保障主机系统安全 曙光机群 DCMM 监 控系统 可实现全域资源 的集中管理、 统一配置 8 全造成严重的威胁。 因此，如何全方位的保护信息安全成为企业信息化建设的关键一环。 安全需求，催生防护新向 对于企业来讲，运算、存放核心数据的 高性能计算 机或者服务器的信息安全就更为关键。 随着高性能计算需求的不断增加，已建或新建的高性能计算 机群 为了方便用户使用、扩大用户的使用范围，逐渐由原来的客户端 /服务器模式（ C/S）转向浏览器 /服务器 模式（ B/S），并直接面向局域网乃至互联网用户，这使得原来与局域网或互联网物理隔离的高性能计算网面临着严重的安全问题。 因此在公司网络建设，尤其是计高性能计算机群中特别需要考虑安全问题。 曙光技术专家 高琦表示：“ 科学计算系统不但对内部提供各种服务， 越来越多的高性能计算 也 提供到商业用户中，高性能计算对外的情况屡见不鲜。 一方面内部安全是安全的主要问题， 据统计， 内部攻击和内部人员的误用造 成 70%的安全问题；另一方面，对外需要加强访问控制、非法入侵、安全过滤等边界安全。 另外，用户还有海量存储 、 后备磁带库灾难容错需求。 ” 四重措施，让安全面面俱到 知己知彼，百战不殆，只有对高性能计算机运行、通讯程序非常了解，才能让安全防范措施做到“滴水不漏”。 曙光技术专家 高琦讲道， 高性能计算（ HPC）是一个综合系统，涉及网络系统、主机系统两个层次。 网络系统的模型是一个分层次的拓扑结构，通常采用五层模型，即物理层、数据链路层、网络层、传输层、应用层。 主机系统也可以分为两个层次：操作系统、应用服务。 因此高性能计算（ HPC）的安全防护也需采用分层次的拓扑防护措施 ，即一个完整的高性能计算（ HPC）安全解决方案应该覆盖网络与主机的各个层次，并且与 安全管理相结合。 以该思想为出发点，曙光公司 推出 了 兼具专用防火墙、网络入侵检测系统（ NIDS）和 主机入侵检测系统（ HIDS） 、 VPN（ 虚拟专用网络）功能 、机群综合管理的 全方位 “ 立体安全 ”解决方案。 将 曙光 立体安全解决方案 部署于局域网与互联网、或局域网中某个特定区域， 就能 为局域网或局域网中的特定区域提供 多方面的立体 安全保护。 9 (立体安全方案架构图 ) 层层递进，构建立体安全 以前，在安全领域主要是以禁用主机上没用的服务端口、设置杀毒软件、软件版本的防火墙等 以实现抵御外部产生的威胁，而目前网络的安全措施主要是独立的硬件防火墙。 它可以实现用户信息的 访问控制和安全防范 、 实现对网络不同安全区域的隔离 ， 达到可控访问的目的。 例如入侵者如果打开了主机上某些被禁止的端口，由于防火墙并未开放该端口，因此入侵者仍然不可以使用该端口进行内外网之间的通讯，防止了内部资源或数据的外泄。 如曙光 天罗防火墙可以 通过 访问控制 、 安全过滤 、 抗攻击 、 流量带宽管理 、 防止非法入侵 等功能提高安全等级。 当其 检测到危险信息时，系统可以根据管理员的设置断开连接，实现入侵主动防护。 另外使用防火墙还可以有效地降低 安全管理的工作强度，提高计算机群系统安全的可管理性。 （立体安全解决方案网络拓扑图） 防火墙为高性能机群提供了基本的安全防范，然而防火墙只能提供被动的、静态的保护， 综合安全管理 网络安全 主机安全 数据安全 10 所提供的安全级别较低，如果与网络入侵检测系统（ NIDS）、 主机入侵检测系统（ HIDS） 、 数据安全、机群安全管理 4 个层面互相 配合，则可以提供动态的安全防护，全面提升计算机群的安全等级。 第一级防护：网络安全 处在互联网中的计算机首先要面对的就是网络安全。 一般情况下，防火墙 对于对被允许的主机和应用的攻击无能为力，因为这些攻击会伪装成对这些合法主机 和应用服务的访问，从而骗过防火墙，进入到受防火墙保护的区域之内。 因此对于安全要求较高的局域网、或者局域网中部署有关键应用的，应该在使用防火墙保护的基础上，采用入侵检测系统（ NIDS）提高相关区域的安全防护水平。 网络入侵检测系统（ NIDS） 能 监视网络流量， 通过侦听特定网段的数据包，实现对该网段实时监视 、发现 可疑连接 和 非法访问的闯入等，防范网络层至应用层的 各种 恶意攻击和误操作。 网络入侵检测系统通过与防火墙联动，对网络数据包的过滤和访问控制，将访问限制在网络被允许的主机（ IP 地址）和应用服务（端口），从而极大地 缩小所需管理的安全范 ，实现针对网络入侵的安全防护。 第二级防护：主机系统安全 虽然网络入侵检测可以对各种应用服务，如 Web、 SMTP、 POP3 等提供保护，然而这些更多是对网络数据包的检查， 而且 防御手段通常会滞后于攻击手段的发展，因此也就存在由于这种滞后而造成网络的 威胁 ，而使受保护网络被侵入 ，如 网络中的某台主机 受到了攻击 并成为攻击的中转站 ， 入侵者通 过 对被攻破的 主机 系统进行修改，掩藏自己 并 对网络中其它主机发动攻击。 这些行为是网络入侵检测系统无法解决的， 这时就需要完善的主机防护系统。 而 主机入侵检测系统（ HIDS） 就能很好的解决这一问题， 作为立体安全中十分重要的一环 主机入侵检测系统（ HIDS） 能 防范对 主机 系统文件的恶意纂改和误操作，实时监视可疑连接、定期检查系统日志，扫描用户行为，发现非法访问闯入等。 因此主机入侵检测系统可以很好地弥补网络入侵检测系统的盲区，二者形成互补 ， 对绕过防火墙的攻击行为进行细粒度的检测和防御，实现从网络到主机的全面防护。 第三级防护： 数据安全 高性能计算机群多数都是用于科学研究或重要数据处理，因此其原始资料、计算结果等 11 都属于安全敏感数据，这些敏感数据在局域网、互联网中传输时极易被窃取、篡改， 因此在设计高性能计算机群的安全问题时，数据传输中的安全问题也必须要考虑。 而 利用防火墙的虚拟专用网络 （ VPN－ Virtual Private Network）功能 实现 互联网用户和局域网用户 、 HPC 用户接口之间 的安全通讯成为一种极为必要的手段。 VPN 是指在公众网络上所建立的企业网络，此网络拥有与专用网络相同的安全、管理及功能等特点，它替代了传统的拨号访问，利用 INTERNET 公网资源作为企业专网的延续。 它能通过加密、认证、数字签名等保证数据的安全性、完整性。 VPN 在立体安全中的应用为关键数据的传输建起了一个高安全的专用数据传输通道，成为立体安全极为重要的一部分。 综合管理：机群安全管理 作为立体安全，一个高效便捷的管理系统十分重要。 曙光机群安全管理系统可实现网络的全域资源管理，实行集中管理，统一配置。 防火墙、 IDS、 VPN 与机群 安全 管理紧密结合，为机群服务器提供更高的安全、更强的管理，从而实现了曙光公司所倡导的 “ 立体安全 ” 理念。 电子政务网络安全概述 以 Inter 为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关 键业务系统扩展，典型的如行政部门业务系统、金融业务系统、 政府机关 商务系统等。 伴随网络的普及，安全日益成为影响网络效能的重要问题，而 Inter 所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。 如何使信息网络系统不受黑客和工业间谍的入侵，已成为政府机构、企事业单位信息化健康发展所要考虑的重要事情之一。 网络 规划 （一） 各级 网络 利用现有线路及网络进行完善扩充，建成互联互通、标准统一、结构简单、功能完善、安全可靠、高速实用、先进稳定的 级别分明却又 统一 的 网络。 （二）数据中心 12 建设 集中 的数据中心，对 所有的 信息资源、空间、信用等数据进行集中存放、集中管理。 为 省及各市 部门、单位的关键应用及关键设施提供机房、安全管理与维护。 网络总体结构 政府机构从事的行业性质是跟国家紧密联系的，所涉及信息可以说都带有机密性，所以其信息安全问题，如敏感信息的泄露、黑客的侵扰、网络资源的非法使用以及计算机病毒等。 都将对政府机构信息安全构成威胁。 为保证政府网络系统的安全，有必要对其网络进行专门安全设计。 所谓电子政务就是政府机构运用现代计算机技术和网络技术，将其管理和服 务的职能转移到网络上完成，同时实现政府组织结构和工作流程的重组优化，超越时间、空间和部门分隔的制约，向全社会提供高效、优质、规范、透明和全方位的管理与服务。 实现电子政务的意义在于突破了传统的工业时代“一站式”的政府办公模式，建立了适应网络时代的“一网式”和“一表式”的新模式，开辟了推动社会信息化的新途径，创造了政府实施产业政策的新手段。 电子政务的出现有利于政府转变职能，提高运作效率。 区 、 县 局 普 通拨 号 客 户 端地 、 市 局省 局国 家 总 局政 府 专 网国 家 局 直 属 单 位国 家 局 直 属 单 位政 府 专 网政 府 专 网政 府 专 网地 、 市 局 网 络地 、 市 局地 、 市 局省 局曙 光 天 罗 防 火 墙地 、 市 局省 局 网 络国 家 局 网 络 图示：原有电子政务网络情况 13 电子政务网络 的应用系统和网络连接方 式多样，由于网络本身及应用系统的复杂性，无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。 非法进入的攻击者可能窃听网络上的信息、窃取用户的口令、数据库的信息 ； 还可以篡改数据库内容、伪造用户身份、否认自己的签名；更有甚者，攻击者可以删除数据库内容、摧毁网络节点等等。 因此在 电子政务网络 的建设中，构建网络安全系统以确保网络信息的安全可靠是非常必要的。 14 第 2 章 . 电子政务 网络安全风险分析 电子政务的网络结构和应用如今随着网络发展及普及，政府行业单位也从原 来单机到局域网并扩展到广域网，把分布在全国各地的系统 内单位通过网络互连起来，从整体上提高了办事效率。 例如，一个国家总局 网络一方面通过宽带网与国家 总 局直属单位互连，另一方面国家 总 局网络经电信公司的专网与各省局单位网络互连 ； 而各省局单位又通过专网与其各自的下属地市局单位互连。 本行业系统各局域网经广域线路互联构成一个全国性的 政府机关 网(Intra)。 对于各级网络系统而言，通过本地局域网，用户间可以共享网络资源 (如 ： 文件服务器、打印机等 )。 对于各级用户而言，根据用户应用需要，通过广域网络，各级用户之间可以利用电子邮件互相进行信息交流。 而单位间通过网络互相提供浏览器访问方式对外部用户发布信息 ， 提供游览、查询等服务。 如发布一些政策、规划 ； 如网上报税等。 各级用户间还有行业数据需要通过网络进行交换。 而这些数据大多都可能涉及到秘密信息。 又可能各级单位通过网络召开电视电话会议，比如研讨一些有关国家政策性的内容，因此其内容在网上传输也需要保密。 比如 通过网络使用单位系统内部的 IP 电话。 网络应用给人们带来了无尽的好处，但随着网络应用扩大网络安全风险也变得更加严重和复杂。 原来由单个计算机安全事故引起的损害可能传播到其他系统和 主机，引起大范围的瘫痪和损失；另外加上缺乏安全控 制机制和对网络安全政策及防护意识的认识不足，这些风险正日益加重。 而这些风险与网络系统结构和系统的应用等因素密切相关。 下面从物理安全、链路安全、网络安全、系统安全、应用安全及管理安全进行分类描述： 物理安全风险分析 网络物理安全是整个网络系统安全的前提。 物理安全的风险主要有： 地震、水灾、火灾等环境事故造成整个系统毁灭； 电源故障造成设备断电以至操作系统引导失败或数据库信息丢失； 设备被盗、被毁造成数据丢失或信息泄漏； 电磁辐射可能 造成数据信息被窃取或偷阅； 报警系统的设计不足可能造成原本可以防止但实际发生了的事故。 15 链路传输风险分析 网络安全不仅是入侵者到 政府机关 内部网上进行攻击、窃取或其它破坏，他们完全有可能在传输线路上安装窃听装置，窃取你在网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性 ； 以上种种不安全因素都对网络构成严重的安全 威胁。 因此，对于政府这样带有重要信息传输的网络，数据在链路上传输必须加密。 并通过数字签名及认证技术来 保障数据 在网上传输的真实性、机密性、可靠性及完整 性。 远程办公安全接入 目前， 政府网络应用 环境纷乱复杂，既有内部的应用如：内部 OA 系统、文件共享、 Email等应用服务，又有众多面向 下属单位 、合作伙伴 等对外的应用。 如何地有效解决远程用户安全访问网络内部资源。 虚拟专用网技术 (VPN， Virtual Private Network)是指在公共网络中建立专用网络，数据通过安全的“加密通道”在公共网络中传播。 政府机关 只需要租用本地的数据专线，连接上本地的公众信息网，那么各。