灃東新城管委會(huì)網(wǎng)絡(luò)安全策略

1、洼東新城管委會(huì)網(wǎng)絡(luò)安全策暁網(wǎng)絡(luò)系統(tǒng)拓?fù)浣Y(jié)構(gòu)管委會(huì)辦公大樓是洼東新城行政中心，主樓一座共有4層，每層10 多個(gè)房間。副樓3座，每座2層，每層5個(gè)房間。整個(gè)辦公大樓采用超五 類雙絞線進(jìn)行智能化綜合布線，共布有500多個(gè)信息點(diǎn)。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)采 用星型結(jié)構(gòu)，為單網(wǎng)線、單硬盤內(nèi)外網(wǎng)物理隔離的網(wǎng)絡(luò)系統(tǒng)。網(wǎng)絡(luò)安全設(shè)置洼東新城管委會(huì)是政府派出機(jī)構(gòu)部門，承擔(dān)著整個(gè)開發(fā)區(qū)的社會(huì)事 務(wù)、經(jīng)濟(jì)運(yùn)作，所以網(wǎng)絡(luò)系統(tǒng)的安全性十分重要。對(duì)此，我們采用了多種 安全措施。網(wǎng)絡(luò)物理隔離系統(tǒng)。物理隔離技術(shù)自問世以來，經(jīng)過實(shí)踐的檢驗(yàn)和應(yīng) 用，不斷發(fā)展成熟，目前已歷經(jīng)了三個(gè)階段，每個(gè)階段都產(chǎn)生了一種具有 代表性的產(chǎn)品和解決方案。目前，這

2、三代物理隔離產(chǎn)品和方案在政府部門 都有應(yīng)用。第一代物理隔離：主要采用雙機(jī)雙網(wǎng)的技術(shù)，即采取配置兩臺(tái)電腦， 分別連接內(nèi)外兩個(gè)網(wǎng)絡(luò)的做法。這種方式存在著很多缺點(diǎn)，比如導(dǎo)致投資 成木的增加，占用較大的辦公空間等。另外，雙機(jī)的使用會(huì)帶來很多不便, 并且網(wǎng)絡(luò)設(shè)置復(fù)雜、維護(hù)難度也較大。第二代物理隔離：雙硬盤隔離骨技術(shù)，主要是在原有機(jī)器上增加一塊硬盤和一個(gè)隔離卡來實(shí)現(xiàn)物理隔離。兩塊硬盤分別対應(yīng)內(nèi)外網(wǎng)，用戶啟動(dòng) 外網(wǎng)時(shí)關(guān)閉內(nèi)網(wǎng)碩盤，啟動(dòng)內(nèi)網(wǎng)時(shí)關(guān)閉外網(wǎng)碩盤。此種隔離方式對(duì)用戶造 成了成木浪費(fèi)，而且頻繁的加電和斷電容易對(duì)硬盤造成損壞。第三代物理隔離：?jiǎn)斡脖P物理隔離卡技術(shù)，這是目前國(guó)內(nèi)最先進(jìn)的客 戶端物理隔離產(chǎn)品。

3、也是國(guó)外普遍采用的隔離技術(shù)。其實(shí)現(xiàn)原理是將計(jì)算 機(jī)的單個(gè)硬盤從物理層上分割為公共和安全兩個(gè)分區(qū)，安裝兩套操作系 統(tǒng)。單硬盤隔離卡有嚴(yán)密的硬盤數(shù)據(jù)保護(hù)功能：有方便的使用方式，如熱 啟動(dòng)切換兩個(gè)網(wǎng)絡(luò)i有較強(qiáng)的可擴(kuò)展功能，如可實(shí)現(xiàn)低端的雙硬盤隔離卡 不能實(shí)現(xiàn)的數(shù)據(jù)安全傳輸功能等。用戶可以根據(jù)自己的需要在不同的網(wǎng)絡(luò) 環(huán)境（內(nèi)網(wǎng)或外網(wǎng)）中自由切換?？梢钥闯銮皟纱漠a(chǎn)品和方案存在很多不可彌補(bǔ)的缺陷，經(jīng)過多方咨 詢、論證，開發(fā)區(qū)網(wǎng)絡(luò)系統(tǒng)最后選用了第三代物理隔離產(chǎn)品。物理隔離系 統(tǒng)通過対單個(gè)硬盤上磁道的讀寫控制技術(shù)，在一個(gè)硬盤上分隔出兩個(gè)無法 互相訪問的工作區(qū)間。在安全狀態(tài)時(shí)，主機(jī)只能使用硬盤的安全區(qū)與內(nèi)部

4、網(wǎng)連接，而此時(shí)外部網(wǎng)連接是斷開的，且碩盤的公共區(qū)通道是封閉的：在 公共狀態(tài)時(shí)主機(jī)只能使用硬盤的公共區(qū)與外部網(wǎng)連接，而此時(shí)內(nèi)部網(wǎng)連接 是斷開的，.且硬盤的安全區(qū)是封閉的。兩種狀態(tài)轉(zhuǎn)換時(shí)，用戶運(yùn)行切換程 序，系統(tǒng)通過硬件重啟信號(hào)重新啟動(dòng)，這樣，pc內(nèi)存的所有數(shù)據(jù)被消除。 pc的兩個(gè)狀態(tài)分別有獨(dú)立的操作系統(tǒng)，并獨(dú)立導(dǎo)入，兩個(gè)硬盤分區(qū)不會(huì)同 時(shí)激活。出于安全的目的，兩個(gè)分區(qū)不能直接交換數(shù)據(jù)，但單碩盤物理隔 離卡設(shè)置了一個(gè)功能區(qū)，在兩個(gè)狀態(tài)下，功能區(qū)均表現(xiàn)為硬盤的d盤，各 個(gè)分區(qū)可以把功能區(qū)作為一個(gè)過渡區(qū)來交換數(shù)據(jù)。根據(jù)開發(fā)區(qū)實(shí)際需要， 我們創(chuàng)建了單向的安全通道，即數(shù)據(jù)只能從公共區(qū)向安全區(qū)轉(zhuǎn)移，而不能

5、逆向轉(zhuǎn)移，從而保證安全區(qū)的數(shù)據(jù)安全。安全信息交流系統(tǒng)。出于開發(fā)區(qū)的實(shí)際需要，有時(shí)必須在內(nèi)外網(wǎng)間傳 輸數(shù)據(jù)，例如開發(fā)區(qū)門戶網(wǎng)站有個(gè)欄目是企業(yè)報(bào)送統(tǒng)計(jì)數(shù)據(jù)，企業(yè)從外網(wǎng) 發(fā)送文件，傳輸?shù)絻?nèi)網(wǎng)辦公系統(tǒng)。我們選擇了安全信息交流系統(tǒng)，該系統(tǒng) 的嵌入式技術(shù)，從根本解決了隔離網(wǎng)絡(luò)間信息安全交流的問題，提供了一 套高穩(wěn)定性、高可靠性、迅速安全的信息傳遞與交流解決方案。該信息交流系統(tǒng)由硬件和軟件兩部分組成，硬件包括一臺(tái)信息交流服 務(wù)器，軟件包括請(qǐng)求端、服務(wù)端和控制端三部分。其屮硬件部分作為數(shù)據(jù) 轉(zhuǎn)移的中間態(tài)存儲(chǔ)物質(zhì)，用來存儲(chǔ)往來于兩個(gè)隔離網(wǎng)絡(luò)問的數(shù)據(jù)和文檔， 其中包含一個(gè)高速電子開關(guān)，從物理上保證內(nèi)外網(wǎng)的隔離狀態(tài)

6、，當(dāng)其連入 內(nèi)網(wǎng)時(shí)，斷開外網(wǎng)連接，連入外網(wǎng)時(shí)，斷開內(nèi)網(wǎng)連接。整個(gè)安全信息交流服務(wù)器工作流程如下：位于外網(wǎng)應(yīng)用服務(wù)器上的請(qǐng)求端，結(jié)合具體應(yīng)用提取用戶請(qǐng)求和數(shù) 據(jù)，將其按照時(shí)間順序排列形成請(qǐng)求對(duì)列，等待控制端處理。信息交流服 務(wù)器連入外網(wǎng),斷開內(nèi)網(wǎng)連接，控制端從請(qǐng)求端請(qǐng)求請(qǐng)求隊(duì)列,請(qǐng)求端返 冋請(qǐng)求隊(duì)列到控制端，控制端將請(qǐng)求隊(duì)列存儲(chǔ)在侍息交流服務(wù)器的指定存 儲(chǔ)設(shè)備上。信息交流服務(wù)器連入內(nèi)網(wǎng)，斷開外網(wǎng)連接，控制端向服務(wù)端發(fā) 送請(qǐng)求隊(duì)列。位于內(nèi)網(wǎng)應(yīng)用服務(wù)器上的服務(wù)端接收請(qǐng)求隊(duì)列，并進(jìn)行處理, 返回請(qǐng)求結(jié)果，形成響應(yīng)隊(duì)列，等待控制端處理?？刂贫讼蚍?wù)端請(qǐng)求響 應(yīng)隊(duì)列，服務(wù)端返回響應(yīng)隊(duì)列到控制端，控制端將響

7、應(yīng)隊(duì)列存儲(chǔ)到信息交 流服務(wù)器的指定存儲(chǔ)設(shè)備上。信息交流服務(wù)器連入外網(wǎng)，斷開內(nèi)網(wǎng)連接， 控制端將響應(yīng)隊(duì)列發(fā)送到請(qǐng)求端。請(qǐng)求端接收響應(yīng)隊(duì)列，向用戶分發(fā)響應(yīng) 結(jié)果。信息交流系統(tǒng)，內(nèi)外網(wǎng)之間做到了既隔離乂連通。防火墻系統(tǒng)。為了防止有人從外部非法進(jìn)入內(nèi)部局域網(wǎng)，目前國(guó)際上 的普遍做法是在廣域網(wǎng)和局域網(wǎng)之間裝上防火墻(firewall),對(duì)不同用 戶設(shè)定使用權(quán)限和密碼，防止非法用戶的訪問。防火墻是在內(nèi)部網(wǎng)和外部 網(wǎng)z間實(shí)施的一套安全防范系統(tǒng)，它使得內(nèi)部網(wǎng)與外部網(wǎng)互相隔離，所有 從內(nèi)到外和從外到內(nèi)的信息都需經(jīng)過防火墻的檢查，只有被安全策略允許 的數(shù)據(jù)包方可通過防火墻。冃前防火墻主要有三大類：包過濾：包過濾(

8、packetfiltering)技術(shù)是在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包實(shí)施 有選擇的通過，依據(jù)系統(tǒng)內(nèi)設(shè)置的過濾邏輯，檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包的 源地址、目的地址、所用的端口號(hào)、協(xié)議狀態(tài)等因素，或它們的組合來確 定是否允許該數(shù)據(jù)包通過。代理服務(wù)：代理服務(wù)(proxy service)是建立在網(wǎng)絡(luò)應(yīng)用層，提供 應(yīng)用層上的協(xié)議過濾和轉(zhuǎn)發(fā)功能。代理服務(wù)器在外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng) 服務(wù)時(shí)發(fā)揮了中問轉(zhuǎn)接作用，內(nèi)部網(wǎng)絡(luò)只接受代理提出的服務(wù)請(qǐng)求，拒絕 外部網(wǎng)絡(luò)其它節(jié)點(diǎn)的直接請(qǐng)求。通過代理應(yīng)用對(duì)內(nèi)網(wǎng)與外網(wǎng)z問的服務(wù)進(jìn) 行轉(zhuǎn)及的設(shè)備稱為應(yīng)用層網(wǎng)關(guān)，代理服務(wù)軟件就裝在應(yīng)用層網(wǎng)關(guān)上?；旌闲头阑饓Γ涸S多防火墻混合使用了包過濾和代理服務(wù)這

9、兩種技 術(shù)，稱為混合型防火墻。從安全性和管理的方便性等考慮，我們選用了混 合型防火墻，改產(chǎn)品已通過公安部檢測(cè)，獲得了公安部的銷售許可證和陜 西省保密局的推薦證明。該防火墻使我們的網(wǎng)絡(luò)系統(tǒng)安全性得到了一個(gè)很 大的提高。網(wǎng)絡(luò)防殺病毒系統(tǒng)。隨著網(wǎng)絡(luò)的發(fā)展，計(jì)算機(jī)病毒傳播的速度日益加 快，破壞范圍也擴(kuò)展到整個(gè)互聯(lián)網(wǎng)，嚴(yán)重危害了計(jì)算機(jī)網(wǎng)絡(luò)的安全，因此 我們選用了防殺病毒系統(tǒng)。殺毒系統(tǒng)由系統(tǒng)中心、服務(wù)器端、客戶端和控 制臺(tái)這四個(gè)相互關(guān)聯(lián)的子系統(tǒng)組成的。每個(gè)子系統(tǒng)包括若干個(gè)不同的模塊，除承擔(dān)各自的任務(wù)外，還可以與 另外系統(tǒng)通訊，共同完成對(duì)網(wǎng)絡(luò)的病毒防護(hù)作用，我們通過防病毒軟件實(shí) 現(xiàn)了豐富的功能。先進(jìn)的殺毒技術(shù)：我們使用的殺毒軟件放棄了以電腦病毒的程序特征 查殺病毒的傳統(tǒng)技術(shù)模式，采用了更為先進(jìn)的“病毒行為分析判斷”技術(shù) 來建立新的電腦病毒實(shí)時(shí)監(jiān)控系統(tǒng)。前置式無毒收件箱：采用了網(wǎng)絡(luò)i辦議層安全防范技術(shù)，可對(duì)傳送過程 中的電子郵件進(jìn)行偵測(cè)，如發(fā)現(xiàn)郵件的附件含有病毒就會(huì)自動(dòng)清除，再將 處理后的無毒郵件送至用戶的收件箱，絲毫不會(huì)影響郵件收發(fā)的速度。此 外，該技術(shù)還可以