信息安全解決方案資料

1、15.1 信息安全體系結構現(xiàn)狀15.2 網(wǎng)絡安全需求(xqi)15.3 網(wǎng)絡安全產(chǎn)品15.4 某大型企業(yè)網(wǎng)絡安全解決方案案例15.5 電子政務安全平臺實施方案小結習題共八十五頁20世紀80年代中期，美國國防部為適應軍事計算機的保密需要，在20世紀70年代的基礎理論研究成果計算機保密模型(BellLapadula模型)的基礎上，制定了“可信計算機系統(tǒng)安全評價(pngji)準則”(TCSEC)，其后又對網(wǎng)絡系統(tǒng)、數(shù)據(jù)庫等方面作出了一系列安全解釋，形成了安全信息系統(tǒng)體系結構的最早原則。至今，美國已研制出符合TCSEC要求的安全系統(tǒng)(包括安全操作系統(tǒng)、安全數(shù)據(jù)庫、安全網(wǎng)絡部件)達100多種，但這些系統(tǒng)

2、仍有局限性，還沒有真正達到形式化描述和證明的最高級安全系統(tǒng)。15.1 信息安全體系結構現(xiàn)狀(xinzhung)共八十五頁1989年，確立了基于OSI參考模型的信息安全體系結構，1995年在此基礎上進行修正，頒布了信息安全體系結構的標準，具體包括五大類安全服務、八大種安全機制和相應的安全管理標準(詳見1.4.1節(jié))。20世紀90年代初，英、法、德、荷四國針對TCSEC準則只考慮保密性的局限，聯(lián)合提出了包括保密性、完整性、可用性概念的“信息技術安全評價準則”(ITSEC)，但是該準則中并沒有給出綜合解決以上問題的理論模型和方案。近年來六國七方(美國國家安全局和國家技術標準研究所、加、英、法、德、荷

3、)共同提出了“信息技術安全評價通用準則”(CC for ITSEC)。CC綜合了國際上已有的評測準則和技術標準的精華，給出了框架和原則要求，但它仍然缺少綜合解決信息的多種安全屬性(shxng)的理論模型依據(jù)。共八十五頁標準于1999年7月通過國際標準化組織的認可，被確立為國際標準，編號為ISO/IEC 15408。ISO/IEC 15408標準對安全的內容和級別給予了更完整的規(guī)范(gufn)，為用戶對安全需求的選取提供了充分的靈活性。然而，國外研制的高安全級別的產(chǎn)品對我國是封鎖禁售的，即使出售給我們，其安全性也難以令人放心。共八十五頁安全體系結構理論與技術主要包括安全體系模型的建立及其形式化描

4、述與分析(fnx)，安全策略和機制的研究，檢驗和評估系統(tǒng)安全性的科學方法和準則的建立，符合這些模型、策略和準則的系統(tǒng)的研制(比如安全操作系統(tǒng)、安全數(shù)據(jù)庫系統(tǒng)等)。我國在系統(tǒng)安全的研究及應用方面與先進國家和地區(qū)存在著很大的差距。近幾年來，我國進行了安全操作系統(tǒng)、安全數(shù)據(jù)庫、多級安全機制的研究，但由于自主安全內核受控于人，難以保證沒有漏洞，而且大部分有關的工作都以美國1985年的TCSEC標準為主要參照系。 共八十五頁開發(fā)的防火墻、安全路由器、安全網(wǎng)關、黑客入侵檢測系統(tǒng)等產(chǎn)品和技術，主要集中在系統(tǒng)應用環(huán)境的較高層次上，在完善性、規(guī)范性、實用性上還存在許多不足，特別是在多平臺的兼容性、多協(xié)議的適應性

5、、多接口的滿足性方面存在很大的差距，其理論基礎和自主的技術手段也有待于發(fā)展和強化。然而，我國的系統(tǒng)安全的研究與應用畢竟已經(jīng)起步，具備了一定的基礎和條件。1999年10月，我國發(fā)布了“計算機信息系統(tǒng)安全保護(boh)等級劃分準則”，該準則為安全產(chǎn)品的研制提供了技術支持，也為安全系統(tǒng)的建設和管理提供了技術指導。共八十五頁Linux開放源代碼為我們自主研制安全操作系統(tǒng)提供了前所未有的機遇。作為信息系統(tǒng)賴以支持的基礎系統(tǒng)軟件操作系統(tǒng)，其安全性是關鍵。長期以來，我國廣泛使用的主流操作系統(tǒng)都是從國外引進的。從國外引進的操作系統(tǒng)，其安全性難以令人放心。具有我國自主版權的安全操作系統(tǒng)產(chǎn)品在我國各行各業(yè)都迫切需

6、要。我國的政府、國防、金融等機構對操作系統(tǒng)的安全都有各自的要求，都迫切需要找到一個既滿足功能、性能要求，又具備足夠的安全可信度的操作系統(tǒng)。Linux的發(fā)展及其在國際上的廣泛應用，在我國也產(chǎn)生了廣泛的影響，只要(zhyo)其安全問題得到妥善解決，就會得到我國各行各業(yè)的普遍接受。共八十五頁網(wǎng)絡安全需求主要包括下述幾種需求。1. 物理安全需求由于重要信息可能會通過電磁輻射或線路干擾而被泄漏，因此需要對存放機密信息的機房進行(jnxng)必要的設計，如構建屏蔽室、采用輻射干擾機等，以防止電磁輻射泄漏機密信息。 此外，還可對重要的設備和系統(tǒng)進行(jnxng)備份。15.2 網(wǎng)絡安全需求(xqi)共八十五

7、頁2. 訪問控制需求網(wǎng)絡需要防范非法用戶的非法訪問和合法用戶的非授權訪問。非法用戶的非法訪問也就是黑客或間諜的攻擊行為。在沒有任何防范措施的情況下，網(wǎng)絡的安全主要是靠主機系統(tǒng)自身的安全設置(如用戶名及口令)簡單控制的。但對于用戶名及口令的保護方式，對有攻擊目的的人而言，根本就不是一種障礙。他們可以通過對網(wǎng)絡上信息的監(jiān)聽或者通過猜測得到用戶名及口令，這對他們而言都不是難事，而且只需花費很少的時間。因此(ync)，要采取一定的訪問控制手段，防范來自非法用戶的攻擊，保證只有合法用戶才能訪問合法資源。 共八十五頁合法用戶的非授權訪問是指合法用戶在沒有得到許可的情況下訪問了他本不該訪問的資源。一般來說，

8、每個成員的主機系統(tǒng)中，有一部分信息是可以對外開放的，而有些信息是要求保密或具有一定的隱私性的。外部(wib)用戶被允許訪問一定的信息，但他們同時有可能通過一些手段越權訪問別人不允許他訪問的信息，從而會造成他人的信息泄密， 因此必須加密訪問控制的機制，對服務及訪問權限進行嚴格控制。共八十五頁3. 加密需求與CA系統(tǒng)構建加密傳輸是網(wǎng)絡安全的重要手段之一。信息的泄漏很多都是在鏈路上被搭線竊取的，數(shù)據(jù)也可能因為在鏈路上被截獲、被篡改后傳輸給對方，造成(zo chn)數(shù)據(jù)的真實性、完整性得不到保證。如果利用加密設備對傳輸數(shù)據(jù)進行加密，使得在網(wǎng)上的數(shù)據(jù)以密文傳輸(因為數(shù)據(jù)是密文)，那么即使在傳輸過程中被截

9、獲，入侵者也讀不懂，而且加密還能通過先進的技術手段對數(shù)據(jù)傳輸過程中的完整性、真實性進行鑒別，從而保證數(shù)據(jù)的保密性、完整性及可靠性。因此，必須配備加密設備對數(shù)據(jù)進行傳輸加密。共八十五頁網(wǎng)絡系統(tǒng)采用加密措施，而加密系統(tǒng)通常(tngchng)都通過加密密鑰來實現(xiàn)，但密鑰的分發(fā)及管理的可靠性卻存在安全問題。為解決此問題，提出了CA系統(tǒng)的構建，即通過信任的第三方來確保通信雙方互相交換信息。共八十五頁4. 入侵檢測系統(tǒng)需求防火墻是實現(xiàn)網(wǎng)絡安全最基本、最經(jīng)濟、最有效的措施之一。防火墻可以對所有的訪問進行嚴格控制(允許、禁止、報警)，但防火墻不可能完全防止有些新的攻擊或那些不經(jīng)過防火墻的其他攻擊。所以，為確保

10、網(wǎng)絡更加安全，必須(bx)配備入侵檢測系統(tǒng)，對透過防火墻的攻擊進行檢測，并做相應的反應(記錄、報警、阻斷)。共八十五頁5. 安全風險評估系統(tǒng)需求網(wǎng)絡系統(tǒng)和操作系統(tǒng)存在安全漏洞(如安全配置不嚴密等)等是使黑客等入侵者的攻擊屢屢得手的重要因素。入侵者通常都是通過一些程序來探測網(wǎng)絡中系統(tǒng)存在的一些安全漏洞，然后通過發(fā)現(xiàn)的安全漏洞，采取相應的技術(jsh)進行攻擊，因此，必需配備網(wǎng)絡安全掃描系統(tǒng)和系統(tǒng)安全掃描系統(tǒng)來檢測網(wǎng)絡中存在的安全漏洞，并采取相應的措施填補系統(tǒng)漏洞，對網(wǎng)絡設備等存在的不安全配置重新進行安全配置。共八十五頁6. 防病毒系統(tǒng)需求病毒的危害性極大并且(bngqi)傳播極為迅速，必須配備從

11、單機到服務器的整套防病毒軟件，實現(xiàn)全網(wǎng)的病毒安全防護。必須配備從服務器到單機的整套防病毒軟件，防止病毒入侵主機并擴散到全網(wǎng)，實現(xiàn)全網(wǎng)的病毒安全防護，以確保整個單位的業(yè)務數(shù)據(jù)不受到病毒的破壞，日常工作不受病毒的侵擾。由于新病毒的出現(xiàn)比較快，因此要求防病毒系統(tǒng)的病毒代碼庫的更新周期必須比較短。共八十五頁7. 漏洞掃描需求在網(wǎng)絡建設中必須部署漏洞掃描系統(tǒng)，它能主動檢測本地主機系統(tǒng)存在安全性弱點的程序，采用模仿黑客入侵的手法對目標網(wǎng)絡中的工作站、服務器、數(shù)據(jù)庫等各種系統(tǒng)以及路由器、交換機、防火墻等網(wǎng)絡設備可能存在的安全漏洞進行逐項檢查(jinch)，測試該系統(tǒng)上有沒有安全漏洞存在，然后就將掃描結果向系

12、統(tǒng)管理員提供周密、可靠的安全性分析報告，從而讓管理人員從掃描出來的安全漏洞報告中了解網(wǎng)絡中服務器提供的各種服務及這些服務呈現(xiàn)在網(wǎng)絡上的安全漏洞，在系統(tǒng)安全防護中做到有的放矢，及時修補漏洞，從根本上解決網(wǎng)絡安全問題，有效地阻止入侵事件的發(fā)生。共八十五頁8. 電磁泄漏防護需求計算機系統(tǒng)和網(wǎng)絡系統(tǒng)在工作時會產(chǎn)生電磁輻射，信息以電信號方式傳輸時也會產(chǎn)生電磁輻射，造成電磁泄漏。對重要的保密計算機，應使用屏蔽(pngb)技術、電磁干擾技術和傳輸加密技術，避免因電磁泄漏而引起的信息泄密。共八十五頁解決(jiju)網(wǎng)絡信息安全問題的主要途徑是利用密碼技術和網(wǎng)絡訪問控制技術。密碼技術用于隱蔽傳輸信息、認證用戶身

13、份等。網(wǎng)絡訪問控制技術用于對系統(tǒng)進行安全保護，抵抗各種外來攻擊。目前，在市場上比較流行，而又能夠代表未來發(fā)展方向的安全產(chǎn)品大致有以下幾類。15.3 網(wǎng)絡安全產(chǎn)品(chnpn)共八十五頁1. 防火墻防火墻在某種意義上可以說是一種訪問控制產(chǎn)品。它在內部網(wǎng)絡與不安全(nqun)的外部網(wǎng)絡之間設置障礙，阻止外界對內部資源的非法訪問，防止內部對外部的不安全(nqun)訪問。 防火墻的主要技術有包過濾技術、應用網(wǎng)關技術和代理服務技術。防火墻能夠較為有效地防止黑客利用不安全(nqun)的服務對內部網(wǎng)絡進行的攻擊，并且能夠實現(xiàn)數(shù)據(jù)流的監(jiān)控、過濾、記錄和報告功能，較好地隔斷內部網(wǎng)絡與外部網(wǎng)絡的連接。但它本身可能

14、存在安全(nqun)問題，也可能會是一個潛在的瓶頸。共八十五頁2. 安全路由器由于WAN連接需要專用(zhunyng)的路由器設備，因而可通過路由器來控制網(wǎng)絡傳輸。通常采用訪問控制列表技術來控制網(wǎng)絡信息流。共八十五頁3. 虛擬專用網(wǎng)(VPN)虛擬專用網(wǎng)(VPN)是在公共數(shù)據(jù)網(wǎng)絡上通過采用(ciyng)數(shù)據(jù)加密技術和訪問控制技術來實現(xiàn)兩個或多個可信內部網(wǎng)之間的互連。VPN的構架通常都要求采用(ciyng)具有加密功能的路由器或防火墻，以實現(xiàn)數(shù)據(jù)在公共信道上的可信傳遞。共八十五頁4. 安全服務器安全服務器主要針對一個局域網(wǎng)內部信息存儲、傳輸?shù)陌踩Ｃ軉栴}，其實現(xiàn)功能包括對局域網(wǎng)資源的管理和控制，對

15、局域網(wǎng)內用戶的管理，以及對局域網(wǎng)中所有安全相關事件(shjin)的審計和跟蹤。共八十五頁5. 電子簽證機構CA和PKI產(chǎn)品電子簽證機構(CA)作為通信的第三方，為各種服務提供可信任的認證服務。CA可向用戶發(fā)行電子證書，為用戶提供成員身份驗證和密鑰管理等功能。PKI產(chǎn)品可以提供更多的功能和更好的服務，可作為所有應用(yngyng)的計算基礎結構的核心部件。共八十五頁6. 用戶認證產(chǎn)品由于IC卡技術的日益(ry)成熟和完善，IC卡被更為廣泛地用于用戶認證產(chǎn)品中，用來存儲用戶的個人私鑰，并與其他技術(如動態(tài)口令)相結合，對用戶身份進行有效的識別。同時，還可將IC卡上的個人私鑰與數(shù)字簽名技術相結合，實

16、現(xiàn)數(shù)字簽名機制。隨著模式識別技術的發(fā)展，諸如指紋、視網(wǎng)膜、臉部特征等高級的身份識別技術也會投入應用，并與數(shù)字簽名等現(xiàn)有技術結合，使得對于用戶身份的認證和識別功能更趨完善。共八十五頁7. 安全(nqun)管理中心由于網(wǎng)上的安全產(chǎn)品較多，且分布在不同的位置，這就需要建立一套集中管理的機制和設備，即安全管理中心。它用來給各網(wǎng)絡安全設備分發(fā)密鑰，監(jiān)控網(wǎng)絡安全設備的運行狀態(tài)，負責收集網(wǎng)絡安全設備的審計信息等。共八十五頁8. 入侵檢測系統(tǒng)(IDS)入侵檢測作為傳統(tǒng)保護機制(比如訪問控制、身份識別等)的有效補充，形成了信息系統(tǒng)中不可或缺的反饋鏈。9. 安全數(shù)據(jù)庫由于大量的信息存儲在計算機數(shù)據(jù)庫內，有些信息是

17、有價值的，也是敏感的，需要(xyo)保護，安全數(shù)據(jù)庫可以確保數(shù)據(jù)庫的完整性、可靠性、有效性、機密性、可審計性及存取控制與用戶身份識別等。共八十五頁10. 安全操作系統(tǒng)給系統(tǒng)中的關鍵服務器提供安全運行平臺，構成安全WWW服務、安全FTP服務、安全SMTP服務等，并作為各類網(wǎng)絡安全產(chǎn)品的堅實(jinsh)底座，確保這些安全產(chǎn)品的自身安全。在上述所有主要的發(fā)展方向和產(chǎn)品種類中，都包含了密碼技術的應用，并且是非常基礎性的應用。很多的安全功能和機制的實現(xiàn)都建立在密碼技術的基礎之上，甚至可以說沒有密碼技術就沒有安全可言。共八十五頁但是，我們也應該(ynggi)看到密碼技術與通信技術、計算機技術以及芯片技術

18、的融合正日益緊密，其產(chǎn)品的分界線越來越模糊，彼此也越來越不能分割。在一個計算機系統(tǒng)中，很難簡單地劃分某個設備是密碼設備，某個設備是通信設備。而這種融合的最終目的還是在于為用戶提供高可信任的、安全的計算機和網(wǎng)絡信息系統(tǒng)。共八十五頁網(wǎng)絡安全問題的解決是一個(y )綜合性問題，涉及諸多因素，包括技術、產(chǎn)品和管理等。國際上已有眾多的網(wǎng)絡安全解決方案和產(chǎn)品，但由于出口政策和自主性等問題，目前還不能直接用于解決我國自己的網(wǎng)絡安全問題，因此我國的網(wǎng)絡安全問題只能借鑒這些先進技術和產(chǎn)品自行解決。可幸的是，目前國內已有一些網(wǎng)絡安全問題解決方案和產(chǎn)品。不過，這些解決方案和產(chǎn)品與國外同類產(chǎn)品相比尚有一定的差距。共八

19、十五頁安全解決方案的目標是在不影響企業(yè)局域網(wǎng)當前業(yè)務的前提下，實現(xiàn)對其局域網(wǎng)全面的安全管理(gunl)。將安全策略、硬件及軟件等方法結合起來，構成一個統(tǒng)一的防御系統(tǒng)，可有效阻止非法用戶進入網(wǎng)絡，減少網(wǎng)絡的安全風險。15.4 某大型(dxng)企業(yè)網(wǎng)絡安全解決方案實例共八十五頁創(chuàng)建一種安全方案意味著設計一種如何處理計算機安全問題的計劃，也就是盡力在黑客征服系統(tǒng)以前保護系統(tǒng)。 通常，設計一套安全方案涉及以下步驟: (1) 網(wǎng)絡安全需求分析(fnx)。確切了解網(wǎng)絡信息系統(tǒng)需要解決哪些安全問題是建立合理安全需求的基礎。(2) 確立合理的安全策略。(3) 制訂可行的技術方案 ，包括工程實施方案(產(chǎn)品的選

20、購與訂制)、制訂管理辦法等。共八十五頁15.4.1 威脅分析威脅就是將會對資產(chǎn)造成不利影響的潛在的事件或行為，包括自然的、故意的以及偶然的情況。可以說威脅是不可避免的，我們必須采取有效的措施，以降低各種情況造成的威脅。1. 邊界網(wǎng)絡設備安全威脅邊界網(wǎng)絡設備面臨(minlng)的威脅主要有以下兩點: (1) 入侵者通過控制邊界網(wǎng)絡設備進一步了解網(wǎng)絡拓撲結構，利用網(wǎng)絡滲透搜集信息，為擴大網(wǎng)絡入侵范圍奠定基礎。比如，入侵者可以利用這些網(wǎng)絡設備的系統(tǒng)(Cisco的IOS)漏洞或者配置漏洞，實現(xiàn)對其控制。共八十五頁(2) 通過各種手段對網(wǎng)絡設備實施拒絕服務攻擊，使網(wǎng)絡設備癱瘓，從而造成網(wǎng)絡通信的癱瘓。2

21、. 信息基礎安全平臺威脅(wixi)信息基礎平臺主要是指支撐各種應用與業(yè)務運行的各種操作系統(tǒng)。操作系統(tǒng)主要有Windows系列與UNIX系統(tǒng)。相對邊界網(wǎng)絡設備來說，熟知操作系統(tǒng)的人員的范圍要廣得多，而且在網(wǎng)絡上，很容易就能找到許多針對各種操作系統(tǒng)的漏洞的詳細描述，所以，針對操作系統(tǒng)和數(shù)據(jù)庫的入侵攻擊在網(wǎng)絡中也是最常見的。共八十五頁不管是什么操作系統(tǒng)(xtng)，只要它運行于網(wǎng)絡上，就必然會有或多或少的端口服務暴露在網(wǎng)絡上，而這些端口服務又恰恰可能存在致命的安全漏洞，這無疑會給該系統(tǒng)(xtng)帶來嚴重的安全威脅，從而也給系統(tǒng)(xtng)所在的網(wǎng)絡帶來很大的安全威脅。共八十五頁3. 內部網(wǎng)絡的失

22、誤操作行為由于人員的技術水平的局限性以及經(jīng)驗的不足，可能會出現(xiàn)各種意想不到的操作失誤，勢必會對系統(tǒng)或者網(wǎng)絡的安全產(chǎn)生較大(jio d)的影響。4. 源自內部網(wǎng)絡的惡意攻擊與破壞據(jù)統(tǒng)計，有70%的網(wǎng)絡攻擊來自于網(wǎng)絡的內部。對于網(wǎng)絡內部的安全防范會明顯地弱于對于網(wǎng)絡外部的安全防范，而且由于內部人員對于內部網(wǎng)絡的熟悉程度一般是很高的，因此，由網(wǎng)絡內部發(fā)起的攻擊也就必然更容易成功， 一旦攻擊成功，其強烈的攻擊目的也就必然促成了更為隱蔽和嚴重的網(wǎng)絡破壞。共八十五頁5. 網(wǎng)絡病毒威脅在網(wǎng)絡環(huán)境下，網(wǎng)絡病毒除了具有可傳播(chunb)性、可執(zhí)行性、破壞性、可觸發(fā)性等計算機病毒的共性外，還具有一些新的特點，網(wǎng)

23、絡病毒的這些新的特點都會對網(wǎng)絡與應用造成極大的威脅。共八十五頁15.4.2 制訂策略根據(jù)網(wǎng)絡系統(tǒng)的實際安全需求，結合網(wǎng)絡安全體系模型，建議采用如下網(wǎng)絡安全防護措施。1. 訪問控制建議在網(wǎng)絡的各個入口處部署防火墻，對進入企業(yè)網(wǎng)絡系統(tǒng)的網(wǎng)絡用戶進行訪問控制，主要實現(xiàn)如下防護功能: (1) 對網(wǎng)絡用戶進行身份驗證，保證網(wǎng)絡用戶的合法性; (2) 能夠屏蔽流行(lixng)的攻擊手段; (3) 對遠程訪問的用戶提供通信線路的加密連接; (4) 能提供完整的日志和審計功能。共八十五頁2. VPN防火墻系統(tǒng)防火墻是指設置在不同網(wǎng)絡或網(wǎng)絡安全域之間的一系列部件的組合。它是不同網(wǎng)絡或網(wǎng)絡安全域之間信息的唯一出

24、入口，能根據(jù)網(wǎng)絡的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡的信息流。防火墻可以(ky)確定哪些內部服務允許外部訪問，哪些外人被許可訪問所允許的內部服務，哪些外部服務可由內部人員訪問。并且防火墻本身具有較強的抗攻擊能力，它是提供信息安全服務，實現(xiàn)網(wǎng)絡和信息安全的基礎設施。共八十五頁同時網(wǎng)絡通信要對用戶(yngh)“透明”，部署帶VPN功能的防火墻，可以同時實現(xiàn) “虛擬”和“專用”的安全特性，充分利用已有公共網(wǎng)絡基礎設施的高效性。VPN實現(xiàn)的協(xié)議有IPSec、 L2F、L2TP、PPTP、MPPE、SSL等。其中互聯(lián)網(wǎng)絡層的安全標準是IPSec，事實證明，基于IPSec技術構建的VPN是應用最廣、

25、安全特性最完備的實現(xiàn)形式。共八十五頁3. 入侵檢測系統(tǒng)在傳統(tǒng)的網(wǎng)絡安全概念里，似乎配置了防火墻就標志著網(wǎng)絡的安全，其實不然，防火墻僅僅是部署在網(wǎng)絡邊界的安全設備，它的作用是防止(fngzh)外部的非法入侵，僅僅相當于計算機網(wǎng)絡的第一道防線。雖然通過防火墻可以隔離大部分的外部攻擊，但是仍然會有小部分攻擊通過正常的訪問的漏洞滲透到內部網(wǎng)絡。另外，據(jù)統(tǒng)計，有70以上的攻擊事件來自內部網(wǎng)絡，也就是說內部人員作案，而這恰恰是防火墻的盲區(qū)。入侵檢測系統(tǒng)(IDS)可以彌補防火墻的不足，為網(wǎng)絡安全提供實時的入侵檢測及采取相應的防護手段，如記錄證據(jù)用于跟蹤、恢復、斷開網(wǎng)絡連接等。共八十五頁入侵檢測系統(tǒng)是實時的網(wǎng)

26、絡違規(guī)自動識別和響應系統(tǒng)。它運行于有敏感數(shù)據(jù)需要保護的網(wǎng)絡上，通過實時監(jiān)聽網(wǎng)絡數(shù)據(jù)流，識別、記錄入侵和破壞性代碼流，尋找網(wǎng)絡違規(guī)模式和未授權的網(wǎng)絡訪問嘗試。當發(fā)現(xiàn)網(wǎng)絡違規(guī)模式和未授權的網(wǎng)絡訪問嘗試時，入侵檢測系統(tǒng)能夠根據(jù)系統(tǒng)安全策略作出反應。該系統(tǒng)可安裝于防火墻前后，可以對攻擊防火墻本身的數(shù)據(jù)流進行(jnxng)響應，同時可以對穿透防火墻的數(shù)據(jù)流進行(jnxng)響應。共八十五頁在被保護的局域網(wǎng)中，入侵檢測設備應安裝于易受到攻擊的服務器或防火墻附近。這些保護措施主要是為了監(jiān)控經(jīng)過出口及對重點服務器進行訪問的數(shù)據(jù)流。入侵檢測報警(bo jng)日志的功能是對所有對網(wǎng)絡系統(tǒng)有可能造成危害的數(shù)據(jù)流進

27、行報警(bo jng)及響應。由于網(wǎng)絡攻擊大多來自于網(wǎng)絡的出口位置，因此入侵檢測在此處將承擔實時監(jiān)測大量出入整個網(wǎng)絡的具有破壞性的數(shù)據(jù)流的任務。這些數(shù)據(jù)流引起的報警(bo jng)日志，可作為系統(tǒng)受到網(wǎng)絡攻擊的主要證據(jù)。入侵檢測、防火墻和漏洞掃描聯(lián)動體系示意圖如圖15-4-1所示。共八十五頁圖 15-4-1 入侵檢測、防火墻和漏洞掃描聯(lián)動體系示意圖共八十五頁4. 漏洞掃描系統(tǒng)網(wǎng)絡的應用越來越廣泛，而網(wǎng)絡不可避免的安全問題也就越來越突出，如今，每天都有數(shù)十種有關(yugun)操作系統(tǒng)、網(wǎng)絡軟件、應用軟件的安全漏洞被公布，利用這些漏洞可以很容易地破壞乃至完全地控制系統(tǒng);另外，由于管理員的疏忽或者技

28、術水平的限制所造成的配置漏洞也是廣泛存在的，這對于系統(tǒng)的威脅同樣很嚴重。共八十五頁動態(tài)安全(nqun)的概念是幫助管理員主動發(fā)現(xiàn)問題。最有效的方法是定期對網(wǎng)絡系統(tǒng)進行安全(nqun)性分析，及時發(fā)現(xiàn)并修正存在的弱點和漏洞，保證系統(tǒng)的安全(nqun)性。因此企業(yè)網(wǎng)絡系統(tǒng)需要一套幫助管理員監(jiān)控網(wǎng)絡通信數(shù)據(jù)流、發(fā)現(xiàn)網(wǎng)絡漏洞并解決問題的工具，以保證整體網(wǎng)絡系統(tǒng)平臺安全(nqun)。共八十五頁在企業(yè)網(wǎng)絡系統(tǒng)網(wǎng)絡漏洞掃描系統(tǒng)配置中，我們建議采用啟明星辰公司的“天鏡”網(wǎng)絡漏洞掃描系統(tǒng)。天鏡網(wǎng)絡漏洞掃描系統(tǒng)包括了網(wǎng)絡模擬攻擊、漏洞檢測、報告服務進程、提取對象信息、評測風險、提供安全建議和改進措施等功能，幫助用

29、戶控制可能發(fā)生的安全事件，最大可能地消除安全隱患。該系統(tǒng)具有強大的漏洞檢測能力和檢測效率、 貼切用戶需求(xqi)的功能定義、靈活多樣的檢測方式、詳盡的漏洞修補方案和友好的報表系統(tǒng)以及方便的在線升級等優(yōu)點。共八十五頁通過在企業(yè)網(wǎng)絡系統(tǒng)網(wǎng)絡進行自動的安全漏洞檢測和分析，我們可以做到以下幾點: (1) 對企業(yè)網(wǎng)絡系統(tǒng)網(wǎng)絡重要服務器和PC進行漏洞掃描，發(fā)現(xiàn)由于安全管理配置不當、疏忽或操作系統(tǒng)本身存在的漏洞(這些漏洞會使系統(tǒng)中的資料容易被網(wǎng)絡上懷有惡意的人竊取，甚至造成系統(tǒng)本身的崩潰)，生成詳細的可視化報告，同時向管理人員提出相應(xingyng)的解決辦法及安全建議。(2) 對企業(yè)網(wǎng)絡系統(tǒng)網(wǎng)絡邊界組

30、件、基礎組件和其他系統(tǒng)進行漏洞掃描，檢查系統(tǒng)的潛在問題，發(fā)現(xiàn)操作系統(tǒng)存在的漏洞和安全隱患。共八十五頁(3) 漏洞掃描系統(tǒng)對網(wǎng)絡及各種( zhn)系統(tǒng)進行定期或不定期的掃描監(jiān)測，并向安全管理員提供系統(tǒng)最新的漏洞報告，使管理員能夠隨時了解網(wǎng)絡系統(tǒng)當前存在的漏洞并及時采取相應的措施進行修補。(4) 通過漏洞掃描的結果，對系統(tǒng)進行加固和優(yōu)化。在核心交換機上接入一臺裝有漏洞掃描系統(tǒng)軟件的PC或筆記本電腦，直接輸入目標主機的IP地址，對其系統(tǒng)的漏洞進行掃描。共八十五頁5. 防病毒系統(tǒng)一般計算機的病毒有超過20%是通過網(wǎng)絡下載文檔時感染的，另外有26%是經(jīng)電子郵件的附加文檔感染的，這就需要一套方便、易用的病

31、毒掃描器，使企業(yè)的計算機環(huán)境免受病毒和其他惡意代碼的攻擊。建議采用三層防病毒部署體系來實現(xiàn)(shxin)對企業(yè)網(wǎng)絡的病毒防護。共八十五頁1) E-mail網(wǎng)關防病毒系統(tǒng)在企業(yè)網(wǎng)絡系統(tǒng)建成之后，網(wǎng)絡成了病毒傳播的主要途徑。如果在某網(wǎng)絡上有一個用戶不小心擴散了一個被病毒感染的文檔，其結果將可能是毀滅性的。為了阻止這些“可疑的候選文件”，需要對電子郵件進行嚴格的審查。事實上，嵌入Word文檔中的宏病毒通常通過網(wǎng)絡發(fā)送至未察覺的用戶。防病毒軟件需要對這一易受攻擊的區(qū)域進行保護(boh)，對所有通過網(wǎng)關出入的電子郵件進行掃描，一旦檢測到病毒，能夠自動將該文件隔離并向系統(tǒng)管理員發(fā)出警告。它同時對內容進行過

32、濾(以阻止病毒欺騙)和創(chuàng)建歷史記錄(以跟蹤每個檢測到的病毒起源)。共八十五頁一般來說，基于郵件系統(tǒng)的病毒發(fā)作主要是從客戶端開始的，同時這種病毒感染的對象主要是基于Windows平臺的主機(zhj)和服務器，對其他平臺沒有感染能力，所以，我們主要是對郵件的內容進行病毒查殺。共八十五頁2) 服務器病毒系統(tǒng)如果服務器被感染，其感染文件將成為病毒感染的源頭，它們會迅速從桌面感染發(fā)展(fzhn)到整個網(wǎng)絡的病毒爆發(fā)。因此，基于服務器的病毒保護是XXX網(wǎng)絡系統(tǒng)的重點之一。所以，建議對在各個局域網(wǎng)的交換區(qū)與局域網(wǎng)內部網(wǎng)段上的服務器進行特別的保護，將病毒掃描技術和服務器的管理能力結合在一起(用于Novell

33、NetWare、Microsoft NT和UNIX服務器)，對服務器接收和發(fā)送的被病毒感染的文件以及已經(jīng)存在于其他服務器的病毒進行檢測。一旦檢測到病毒，立刻將該感染文件隔離或刪除。共八十五頁3) 客戶端防病毒系統(tǒng)(xtng)在XXX網(wǎng)絡系統(tǒng)(xtng)中有大量的個人用戶，桌面系統(tǒng)(xtng)和遠程PC是主要的病毒感染源。根據(jù)統(tǒng)計，50%以上的病毒是通過軟盤進入系統(tǒng)(xtng)的，因此對桌面系統(tǒng)(xtng)的病毒應嚴加防范。為了確保檢測和清除經(jīng)訪問入口所進入的普通和新發(fā)現(xiàn)的病毒，桌面系統(tǒng)(xtng)都需要安裝防病毒軟件。另外，這種防病毒軟件要能夠將隱藏于電子郵件附件中的病毒在對其他用戶造成感染之

34、前清除。共八十五頁當發(fā)現(xiàn)(fxin)病毒已進入時，正是采取病毒響應計劃的時候。病毒響應計劃的主要目的是利用每種可能的方法來徹底清除所有的病毒。如果有足夠的備份，不會丟失太多數(shù)據(jù)，就應考慮徹底刪掉感染系統(tǒng)中的所有數(shù)據(jù)，再重新配置。下一步就需要分析病毒是如何進來的以及要干些什么，這項工作和刪除病毒一樣重要，因為在所有被感染的系統(tǒng)中，有90%的系統(tǒng)會在三個月內以同樣或相似的方式再次被感染。共八十五頁15.4.3 應用部署方案通過對網(wǎng)絡整體進行系統(tǒng)分析，并考慮目前(mqin)網(wǎng)上運行的業(yè)務需求，本方案對原有網(wǎng)絡系統(tǒng)進行全面的安全加強，主要實現(xiàn)以下目的:(1) 保障現(xiàn)有的關鍵應用長期、可靠地運行，避免病

35、毒和黑客的攻擊。(2) 防止內、外部人員的非法訪問，特別是要對內部人員的非法訪問進行控制。(3) 確保網(wǎng)絡平臺上數(shù)據(jù)交換的安全性，杜絕內、外部黑客的攻擊。共八十五頁(4) 方便內部(nib)授權人員(如公司領導、出差員工等)從互聯(lián)網(wǎng)上遠程方便、安全地訪問內部(nib)網(wǎng)絡，實現(xiàn)信息的最大可用性。(5) 能對網(wǎng)絡的異常行為進行監(jiān)控，并做出回應，建立動態(tài)防護體系。為了實現(xiàn)上述目的，我們采用了主動防御體系和被動防御體系相結合的全面網(wǎng)絡安全解決方案，如圖15-4-2所示。共八十五頁圖 15-4-2 某大型企業(yè)網(wǎng)絡防御布置示意圖共八十五頁該防御體系由漏洞掃描與入侵檢測聯(lián)動系統(tǒng)、入侵檢測與防火墻的聯(lián)動系統(tǒng)

36、及防病毒系統(tǒng)組成。用戶主動防范攻擊行為，尤其是防范從單位內部發(fā)起的攻擊。對在企業(yè)內網(wǎng)發(fā)起的攻擊和攻破了防火墻的黑客攻擊行為，可以依靠入侵檢測系統(tǒng)阻斷和發(fā)現(xiàn)攻擊的行為，同時通過(tnggu)與防火墻的互動，自動修改策略設置上的漏洞，阻擋攻擊的繼續(xù)進入。本方案在交換機上連入入侵檢測系統(tǒng)，并將其與交換機相連的端口設置為鏡像端口，由IDS傳感器對防火墻的內口、關鍵服務器進行監(jiān)聽，并進行分析、報警和響應; 在入侵檢測的控制臺上觀察檢測結果，并形成報表打印輸出。共八十五頁在實現(xiàn)防火墻和入侵檢測(jin c)系統(tǒng)的聯(lián)動后，防火墻“訪問控制策略”會動態(tài)地添加阻斷的策略。“漏洞掃描系統(tǒng)”是一種網(wǎng)絡維護人員使用的

37、安全分析工具，主動發(fā)現(xiàn)網(wǎng)絡系統(tǒng)中的漏洞，修改防火墻和入侵檢測(jin c)系統(tǒng)中不適當?shù)脑O置，防患于未然。同時，防火墻主要起到對外防止黑客入侵，對內進行訪問控制和授權員工從外網(wǎng)安全接入的作用，在這里主要發(fā)揮防火墻和VPN的雙重作用。共八十五頁(1) 保障局域網(wǎng)不受來自外網(wǎng)的黑客攻擊，主要擔當防火墻功能。(2) 能夠根據(jù)需要，讓外網(wǎng)向Internet的訪問提供服務，如Web、E-mail、DNS等服務。(3) 對外網(wǎng)用戶訪問(Internet)提供靈活的訪問控制功能，如可以控制任何一個內部員工能否上網(wǎng)，能訪問哪些網(wǎng)站，能不能收發(fā)E-mail、ftp等，能夠在什么時間(shjin)上網(wǎng)等。簡而言之

38、，對外網(wǎng)用戶能夠基于“六元組”(即源地址、目的地址、源端口號、目的端口號、協(xié)議、時間(shjin)進行靈活的訪問控制。共八十五頁(4) 下屬單位能夠(nnggu)通過防火墻與安全客戶端軟件之間的安全互聯(lián)，建立通過Internet相連的“虛擬專用網(wǎng)”，解決在網(wǎng)上傳輸?shù)膬炔啃畔踩珕栴}，方便管理，并極大地降低了成本。共八十五頁企業(yè)根據(jù)自身的需要，網(wǎng)絡防病毒系統(tǒng)應選用賽門鐵克、趨勢科技、瑞星等知名品牌系統(tǒng)。整個系統(tǒng)的實施過程應保持流暢(lichng)和平穩(wěn)，做到盡量不影響既有網(wǎng)絡系統(tǒng)的正常工作; 安裝在原有應用系統(tǒng)上的防毒產(chǎn)品必須保證其穩(wěn)定性，不影響其他應用的功能; 在安裝過程中應盡量減少關閉和重啟

39、整個系統(tǒng); 防病毒系統(tǒng)的管理層次與結構應盡量符合機關自身的管理結構; 防病毒系統(tǒng)的升級和部署功能應做到完全自動化，整個系統(tǒng)應具有每日更新的能力; 應做到能夠對整個系統(tǒng)進行集中的管理和監(jiān)控，并能集中生成日志報告與統(tǒng)計信息。共八十五頁15.5.1 電子政務平臺政務平臺是一個高質量、高效率、智能化的辦公系統(tǒng)，該平臺以數(shù)據(jù)庫為基礎，利用了文件傳輸、電子郵件、短消息等現(xiàn)代數(shù)字通信與Internet技術。隨著網(wǎng)絡的發(fā)展與普及，政府行業(yè)(hngy)單位也由局域網(wǎng)擴充到廣域網(wǎng)。互聯(lián)網(wǎng)的開放性會使政府網(wǎng)絡受到來自外部互聯(lián)網(wǎng)的安全威脅、內部網(wǎng)絡與外部網(wǎng)絡互聯(lián)的安全威脅和內部網(wǎng)絡的安全威脅。15.5 電子政務安全(

40、nqun)平臺實施方案共八十五頁國家保密局于2000 年1月 1日起頒布實施的計算機信息系統(tǒng)國際互聯(lián)網(wǎng)保密管理(gunl)規(guī)定，對國家機要部門使用互聯(lián)網(wǎng)規(guī)定如下: 涉及國家秘密的計算機信息系統(tǒng)，不得直接或間接地與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡相連接，必須實行物理隔離。2001年12月，國家公安部發(fā)布的端設備隔離部件安全技術要求中對物理隔離做了明確的定義: 公共網(wǎng)絡和專網(wǎng)在網(wǎng)絡物理連線上是完全隔離的，且沒有任何公用的存儲信息。共八十五頁2002年7月，國家信息化領導小組頒布的國家信息化領導小組關于我國電子政務建設指導意見中規(guī)定(gudng): 電子政務網(wǎng)絡由政務內網(wǎng)和政務外網(wǎng)構成，兩網(wǎng)之間物理隔離

41、，政務外網(wǎng)與互聯(lián)網(wǎng)之間邏輯隔離。此外，國家保密局在保密知識培訓中也多次指出，網(wǎng)絡之間只有在線路、設備和存儲3個方面均實現(xiàn)了獨立，才滿足物理隔離的要求。共八十五頁15.5.2 物理隔離物理隔離產(chǎn)品是用來解決網(wǎng)絡安全問題的。尤其是在那些需要絕對保證安全的保密網(wǎng)、專網(wǎng)和特種網(wǎng)絡與互聯(lián)網(wǎng)進行連接時，為了防止來自(li z)互聯(lián)網(wǎng)的攻擊和保證這些高安全性網(wǎng)絡的保密性、安全性、完整性、防抵賴和高可用性，幾乎全部要求采用物理隔離技術。共八十五頁學術界一般認為，最早提出物理隔離技術的應該是以色列和美國的軍方，但是到目前為止，并沒有完整的關于物理隔離技術的定義和標準。從不同(b tn)時期的用詞也可以看出，物理

42、隔離技術一直在演變和發(fā)展。較早的用詞為Physical Disconnection，直譯為物理斷開。這種情況是完全可以理解的，保密網(wǎng)與互聯(lián)網(wǎng)連接后，出現(xiàn)很多問題，在沒有解決安全問題或沒有解決問題的技術手段之前，先斷開再說。后來有Physical Separation，直譯為物理分開。后期發(fā)現(xiàn)完全斷開也不是辦法，互聯(lián)網(wǎng)總還是要用的，采取的策略多為該連的連，不該連的不連，這樣的該連的部分與不該連的部分要分開。共八十五頁事實上，沒有與互聯(lián)網(wǎng)相連的系統(tǒng)不多，互聯(lián)網(wǎng)的用途還是很大，因此，希望能將一部分高安全性的網(wǎng)絡隔離封閉(fngb)起來。后來多使用Physical Gap，直譯為物理隔離，意為通過制造

43、物理的豁口，來達到隔離的目的?，F(xiàn)在，一般用Gap Technology來表示物理隔離，它已成為互聯(lián)網(wǎng)上的一個專用名詞。共八十五頁物理隔離技術不是要替代防火墻、入侵檢測、漏洞掃描(somio)和防病毒系統(tǒng)，相反，它是用戶“深度防御”的安全策略的另一塊基石。物理隔離技術是絕對要解決互聯(lián)網(wǎng)的安全問題，而不是什么其他的問題。物理隔離的指導思想與防火墻有很大的不同: 防火墻的思路是在保障互聯(lián)互通的前提下，盡可能安全，而物理隔離的思路是在保證必須安全的前提下，盡可能互聯(lián)互通。共八十五頁目前物理(wl)隔離的技術路線有3種: 網(wǎng)絡開關(Network Switcher)、實時交換(Real-timeSwit

44、ch)和單向連接(One Way Link)。網(wǎng)絡開關是在一個系統(tǒng)里安裝兩套虛擬系統(tǒng)和一個數(shù)據(jù)系統(tǒng)，數(shù)據(jù)被寫入到一個虛擬系統(tǒng)，然后交換到數(shù)據(jù)系統(tǒng)，再交換到另一個虛擬系統(tǒng)。實時交換相當于在兩個系統(tǒng)之間共用一個交換設備，交換設備連接到網(wǎng)絡A，得到數(shù)據(jù)，然后交換到網(wǎng)絡B。共八十五頁單向連接早期指數(shù)據(jù)向一個方向移動，一般指從高安全性的網(wǎng)絡向低安全性的網(wǎng)絡移動。 物理(wl)隔離的一個特征就是內網(wǎng)與外網(wǎng)永不連接，內網(wǎng)和外網(wǎng)在同一時間最多只有一個同隔離設備建立非TCP/IP協(xié)議的數(shù)據(jù)連接。其數(shù)據(jù)傳輸機制是存儲和轉發(fā)。物理(wl)隔離的好處是明顯的，即使外網(wǎng)在最壞的情況下，內網(wǎng)也不會有任何破壞。修復外網(wǎng)系統(tǒng)

45、也非常容易。共八十五頁15.5.3 電子政務平臺安全解決方案政務平臺的安全解決方案見圖15-5-1。 它主要包括防火墻系統(tǒng)、入侵檢測系統(tǒng)、漏洞(ludng)掃描系統(tǒng)、網(wǎng)絡防病毒系統(tǒng)、安全管理系統(tǒng)、物理隔離等設備。首先，將整個網(wǎng)絡系統(tǒng)分為兩部分: (1) 內外系統(tǒng): 與政府專網(wǎng)相連，主要功能是內部辦公，并且含有一些涉密文件。(2) 外網(wǎng)系統(tǒng): 與互聯(lián)網(wǎng)連接，主要功能是對外發(fā)布信息，由政府網(wǎng)站服務器組成。共八十五頁圖 15-5-1 政府機構網(wǎng)絡系統(tǒng)方案圖共八十五頁安裝防火墻將外網(wǎng)系統(tǒng)與互聯(lián)網(wǎng)隔離，安裝物理(wl)隔離系統(tǒng)將內網(wǎng)與外網(wǎng)系統(tǒng)隔離。本方案中的防火墻系統(tǒng)、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、網(wǎng)絡防

46、病毒系統(tǒng)、安全管理系統(tǒng)具體的作用可以參考15.4節(jié)的相關內容。共八十五頁物理隔離可以采用一些(yxi)安全公司的知名產(chǎn)品。一般來說，隔離模塊采用專用的雙通道隔離交換卡實現(xiàn)，通過內嵌的安全芯片完成內、外網(wǎng)主機模塊間安全的數(shù)據(jù)交換。內、外網(wǎng)主機模塊間不存在任何網(wǎng)絡連接，因此不存在基于網(wǎng)絡協(xié)議的數(shù)據(jù)轉發(fā)。隔離交換模塊是內、外網(wǎng)主機模塊間數(shù)據(jù)交換的唯一通道，本身沒有操作系統(tǒng)和應用編程接口，所有的控制邏輯和傳輸邏輯固化在安全芯片中，自主實現(xiàn)內、外網(wǎng)數(shù)據(jù)的交換和驗證。在極端情況下，即使黑客攻破了外網(wǎng)主機模塊，但由于無從了解隔離交換模塊的工作機制，因此無法進行滲透，內網(wǎng)系統(tǒng)的安全仍然可以保障。共八十五頁由內、外網(wǎng)主機模塊(m kui)分別負責接收來自所連接網(wǎng)絡的訪問請求，兩模塊(m kui)間沒有直接的物理連接，形成一個物理隔斷，從而保證了可信網(wǎng)和非可信網(wǎng)之間沒有數(shù)據(jù)包的交換，沒有網(wǎng)絡連接的建立。在