xxx门户网站信息安全架构设计方案v1

xxx门户网站信息安全架构设计方案v1内容摘要：

安全总体策略 两大体系 管理体系 技术体系 分类 保护要求 M (制度管理 ) P （人员管理） T （技术培训） A （安全评估） P （保护技术） D （安全监测） R （应急反应） R （安全恢 复） 技术 物理层 * * * * * * 网络层 * * * * * 节点管理 * * * * * 应用层 * * * * * * 数据与恢复 * * * * * 管理 安全建设管理 * * * 安全运维管理 * * * 安全机构管理 * * * * 人员安全管理 * * * * * XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 4 安全制度建设 * * * * * * * * 三 . 信息系统 基本 情况 图 21 XXX 政府网站 网络拓扑图 网站基础设施主要托 管在 IDC 机房，系统 2020 年搭建，采用的是 HP 的服务器、 TRS的小集群做搜索引擎及内容管理。 基础设施、网络设备、网站应用三方面的主要现状如下： 目前 XXX 的服务器及存储主要是 HP 和 Net App 的产品，服务器主要是 HP 380G4 和 HP 580G2，存储主要是 HP MSA1000 磁盘阵列和 Net App FAS3020。 服务器性能、部分单机的稳定性以及系统的存储容量等已难以满足使用需要。 XXX 政府网站 的网络设备由两台 DLink DGS3324SR 交换机组成，网站出口处部署了一台天融信的 NGFW4000VPN 防火墙（ 70 个 Key）、一台 Collapsar200 DDOS 防护设备，网站内部署了绿盟科技的 “冰之眼 ”入侵检测系统、 “极光 ”安全评估系统、 “黑洞 ”抗拒绝服务攻击系统。 XXX 政府网站 建立了网站内容管理、全文检索等系统，内容管理采用 TRS 内容协作平台 （ 以下简称 TRS WCM)，站点检索采用 TRS 站点检索系统 ——TRS WSS 和 TRS 关系数据XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 5 库网关 ——TRS Gateway 实现。 另外为增强网站的服务能力和应用 水平，还开发有网上业务服务、文献服务、咨询台等多个网上应用系统。 四 . 信息系统 安全 平台 架构 需求分析 根据 《 信息系统安全等级保护基本要求 》 、 《 XXX 政府网站 信息系统安全现状分析》，通过对比系统将要达到的安全等级的安全要求，得到现状和要求间的差距，即为安全需求。 如图所示： 图 《基本要求》的框架结构 第三级基本 要求 物理安全 网络安全 主机安全 应用安全 第一级基本要求 第二级基本要求 第四级基本要求 第五级基本要求 数据 安全 及 备份 恢复 技术要求 管理要求 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 6 图 系统安全需求 物理安全需求 等保建设差距 根据等级保护标准进行现状分析，网站主要存在的问题如下：  VIP4 区内的电源线和信号线布置不规范，信号线上没有端口标识；  机房没有专门的防盗报警系统，只是在机房出入口和 VIP4 区设置了视频监控系统。 等保建设 建议 物理访问控制、防盗窃和防破坏：解决方案是机房安装保安监控，并且布设门禁系统。 防雷击、防火、防水和防潮、防静电：解决方案是机房安装防雷、消防、防静电处理、接地、漏水监测系统。 温湿度控制：解决方案是配置恒温恒湿空调。 电力供应：解决方案是机房安装 UPS 系统。 电磁防护：解决方案是机房装修时在墙面、吊顶及地面进行电测防护，可以考虑安装彩钢板或铝塑板等，可以有效的防治电磁信号外泄。 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 7 网络安全 需求 等保建设差距 根据等级保护标准进行现状分析，网站 主要存在的问题如下：  重要网段与其他网段之间有网段划分 ,但是不同网 段之间没有隔离措施。  未依据重要程度对业务服务进行分类，网络设备上无带宽控制的相关配置。  外联防火墙没有开启审计日志。  没有部署边界检查设备，不能检测到非法外联行为。  部分网络设备没有 对管理员登录地址进行限制；  当对网络设备进行远程管理时，使用 TELNET 明文通信传输方式，没有采取必要措施防止鉴别信息在网络传输过程中被窃听。 等保 建设 建议 访问控制需求；解决方案是规划安全区域，利用防火墙进行边界访问控制； 入侵防范需求；解决方案是利用网络 IDS 和 IPS 进行入侵监测和防护； 安全审计需求；解决方案是利用网络审 计设备进行网络上的操作审计； 病毒防范需求；解决方案是安装防病毒软件； 结构安全需求；解决方案是网络结构设计时避免单点故障，考虑必要的冗余及协议恢复； 网络设备防护需求；解决方案是增加网络设备自身的安全设置。 主机安全 需求 等保建设差距 根据等级保护标准进行现状分析，网站主要存在的问题如下：  没有启用登录失败处理功能；  没有较强的强制密码策略。  审计内容除了用户登录行为以外，缺乏对系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件的审计。 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 8 等保建设建议 服务器的身份鉴别、访问控制、补丁升级 、 剩余信息保护、 资源控制的需求；解决方案是 部署 WSUS 补丁服务器和主机审计软件。 安全审计、入侵防范的需求；解决方案是依靠网络安全里的审计和入侵检测 、主机审计软件 完成。 病毒防范的需求；解决方案是部署防病毒软件，对网络上的病毒进行防范。 应用安全 需求 等保建设差距 根据等级保护标准进行现状分析，网站主要存在的问题如下：  部分服务器 没有采用 SSL 等通讯加密功能。  Web 应用程序可被 SQL 注入。  视频点播 /直播服务器 2 和 日志分析服务器 存在 XSS 漏洞 ，利用该漏洞，可以进行跨站攻击；  应用服务器 存在 SQL 数据库注入漏 洞，渗透测试的结果表明能够利用此漏洞获取服务器系统权限，同时利用其为跳板对同网段主机和内网主机进行进一步渗透，最终获取防火墙、 网站日志分析服务器 、存储设备等其他服务器的控制权限。 等保建设建议 应用安全的需求我们主要依靠搭建 双因素身份认证 系统，完成用户的身份识别、抗抵赖等功能。 针对 WEB 应用的特殊性，我们增加 WEB 应用防火墙，来保障 WEB 网站的安全。 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 9 数据安全及恢复 需求 等保建设差距 根据等级保护标准进行现状分析，网站主要存在的问题如下：  防火墙没有硬件冗余。 等保建设建议 数据安全 的需求；解决方案是部署 双 因素身份认证系统。 备份和恢复 的需求；解决方案是 采用冗余技术设计网络拓扑结构， 提供主要网络设备、通信线路和数据处理系统的硬件冗余。 五 . 安全方案 设计原则 从以上各方面的 需求 出发， 在设计 XXX 政府网站 信息安全架构 方案时，我们将遵循以下原则： 合规性 本次信息安全架构设计 把 满足等级保护合规 建设 要求 放在第一位。 在 项目中 对安全 需求的处理方法， 推荐 的安全 控制措施 ，包括 其 部署、应用的方式，都是 以满足等级保护三级要求为目标 而进行设计的。 稳定可靠 对政府门户网站来说，信息系统的稳定可靠是 最重要 的。 在本次项目中 建议 的安全控制措 施，包括其部署、应用的方式，都是在政府行业门户网站中有众多先例的，已经被广大政府机构所接受。 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 10 实时性和高效性 在本次 信息安全架构设计 中 考虑了 XXX 政府网站 未来五年的业务增长情况， 建议 采用高处理能力的安全产品， 以 保证实时性和高效性。 安全风险可控 根据业务与运行的数据，进行安全区域的划分，将整体网络分割为不同的区域，并在边界进行严格的访问控制。 集中化 管理 在本次 项目中建议选择 集中式管理。 通过集中化的管理， 可以方便有效的监控、管理 网络中部署的安全产品。 灵活性和扩展性 在本次 项目中 设计的架构 在 政府 行业有着广泛 的应用 ，充分保证满足用户的可靠性运行要求、灵活性和扩展性要求。 六 . 安全 架构 技术 解决方案 数据中心 安全产品 部署总览 针对以上安全威胁与需求，建议在 XXX 政府网站 部署以下安全设备，构建安全技术体系，全面抵御威胁。 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 11 图 61 安全设备部署总图 安全设备 部署位置 安全防护 已有 新增 防火墙  托管机房Inter 入口、IPS 后 网络边界访问控制，各安全区域之间访问控制。 将整体网络隔离为不同的安全域，是安全体系形成的基础。 1 台 1 台 抗拒绝服务系统  托管机房Inter 入口 对 DDoS 攻击进行检测 与防护。 保护托管的 Web服务等区域的安全。 1 台 1 台 入侵检测系统  双核心交换机镜像口 检测入侵与可疑行为并实时报告。 对重要的业务系统实施入侵检测手段，简化安全管理工作，提高安全监控力度。 1 台 1 台 入侵保护系统  Inter 入口、抗拒绝服务系检测入侵与可疑行为并实时阻断。 1 台 1 台 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 12 统后 WEB 应用防火墙  WEB 服务器前 检测针对 WEB 的入侵与可疑行为并实时阻断。 N/A 2 台 安全漏洞扫描系统  网管区部署一台安全漏洞扫描系统 对网络内的服务器、终端和网络设备进行扫描，集中发现安全漏洞， 是漏洞管理系统的核心。 1 台 N/A 防毒软件  在网管区安装防病毒服务器  Windows 服务器与客户端上，安装防毒软件客户端 在网络与 Windows计算机上进行病毒的实时检查与保护。 进行病毒的预防、检测与清除。 1 套 N/A 网页检测和防篡改系统  服务器区部署一台网页检测和防篡改系统 对网站 的各个应用进行统一监测和 防篡改防护。 1 套 N/A WSUS 补丁服务系统  服务器区部署一台 WSUS 补丁服务器 对网站系统内的 Windows服务器进行统一管理。 减少运维人员工作量，使 Windows 系统自动安装补丁，提 高系统安全性。 N/A 1 套 主机审计 系统  在网管区部署一台安全管理服务器  在每一台WINDOWS 服务器上安装安全管理软件 对 WINDOWS 系统进行保护，同时进行安全管理。 实现对WINDOWS 系统进行 安全 审计 和资源管理，实时掌握安全状况，协助进行补丁分发。 N/A 1 套 双因素身份认证系统  在网管区部署双因素身份认证管理服务器  对重要服务器安装因素身份认证 Agent 启用动态密码防护，对所有身份认证进行统一管理。 N/A 1 套 XXX 政府网站 信息安全架构 设 计方案 169。 2020 密级： 商业机密 13  在网管区部署冗余的双因素身份认证管理服务器 安全管理平台（ SOC）  在网管 区部署SOC 管理服务器  网管区部署SOC 数据库和事件管理服务器 对安全设备进行统一集中管理。 N/A 1 套 容灾中心安全产品 部署总览 基于 《 XXXX 政府门户网站基础设施架构设计及升级改造方案》、《 XXXX 政府门户网站应用系统架构设计及升级改造方案》。 我们 建议在 容灾中心的安全产品部署如下： X。