視頻信息安全設(shè)計方案優(yōu)質(zhì)資料

視頻信息安全設(shè)計方案優(yōu)質(zhì)資料(可以直接使用，可編輯優(yōu)質(zhì)資料，歡迎下載）

視頻信息安全設(shè)計方案優(yōu)質(zhì)資料(可以直接使用，可編輯優(yōu)質(zhì)資料，歡迎下載）城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)信息安全設(shè)計方案二〇一五年十一月目錄1項目背景12信息安全相關(guān)知識12.1信息安全服務(wù)與機制2安全服務(wù)2安全機制32.2安全體系架構(gòu)3網(wǎng)絡(luò)安全基本模型3信息安全框架32.3信息安全起因4技術(shù)缺陷4管理缺陷52.4網(wǎng)絡(luò)攻擊方式5口令攻擊5軟件攻擊6竊聽攻擊7欺詐攻擊7病毒攻擊8拒絕服務(wù)攻擊82.5信息安全后果92.6信息安全技術(shù)92.6.1PKI體系9用戶身份認證12認證機制13認證協(xié)議153聯(lián)網(wǎng)視頻信息的特點173.1系統(tǒng)多級架構(gòu)173.2網(wǎng)絡(luò)狀況復雜173.3視頻數(shù)據(jù)量大174視頻系統(tǒng)信息安全分類174.1信令加密184.2媒體流加密185安全系統(tǒng)的實現(xiàn)185.1認證中心185.2視頻安全平臺185.3系統(tǒng)評價186系統(tǒng)建成預期效果197安全技術(shù)展望19項目背景互聯(lián)網(wǎng)、大數(shù)據(jù)時代雖然帶來了安防行業(yè)新的機遇與信息面貌，但是伴隨信息聚集性越來越高，云安全問題也帶來了新的挑戰(zhàn)。對不法分子來說，只要擊破云服務(wù)器，意味著可以獲得更多的資源，例如iCloud泄露門，12306信息泄露，攜程信息泄露等。海康威視“安全門”事件，對正在大力發(fā)展信息經(jīng)濟與互聯(lián)網(wǎng)經(jīng)濟的中國，提出了信息安全的極大思考。信息安全任重而道遠，千里之堤，毀于蟻穴。所以在信息安全上，應仔細排查安全隱患，防患于未然。公開數(shù)據(jù)顯示，有74.1%的網(wǎng)民在過去半年內(nèi)遇到網(wǎng)絡(luò)信息安全事件。有專家估計，中國每年因網(wǎng)絡(luò)信息安全問題造成的經(jīng)濟損失高達數(shù)百億美元。在今年的全國兩會上，中國移動廣東公司總經(jīng)理鐘天華代表建議，加快制定網(wǎng)絡(luò)信息安全法，從監(jiān)管主體、設(shè)施安全、運行安全、信息安全、法律責任等方面規(guī)范網(wǎng)絡(luò)信息安全。各省城市視頻監(jiān)控聯(lián)網(wǎng)系統(tǒng)共享平臺已基本建設(shè)完成，標準基于國標GB/T28181，但對于視頻信息安全的要求沒有嚴格要求。在國家對網(wǎng)絡(luò)和信息安全高度重視的當下，扮演政府、企業(yè)、社區(qū)“守門人”角色的安防行業(yè)，實現(xiàn)自主可控異常重要。需要一套完整解決方案。信息安全相關(guān)知識網(wǎng)絡(luò)信息安全是一個關(guān)系國家安全和主權(quán)、社會穩(wěn)定、民族文化繼承和發(fā)揚的重要問題。其重要性，正隨著全球信息化步伐的加快越來越重要。網(wǎng)絡(luò)信息安全是一門涉及計算機科學、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。它主要是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。信息安全服務(wù)與機制安全服務(wù)信息安全服務(wù)產(chǎn)生的基礎(chǔ)是整個網(wǎng)絡(luò)系統(tǒng)需要規(guī)避安全風險、控制安全成本以及保障業(yè)務(wù)持續(xù)性。從實踐環(huán)節(jié)看，信息安全服務(wù)是由參與通信的開放系統(tǒng)的某一層(OSI)所提供的服務(wù)，它確保了該系統(tǒng)或數(shù)據(jù)傳輸具有足夠的安全性。結(jié)合信息安全的基本要素，明確五大類安全服務(wù)，即鑒別、訪問控制、數(shù)據(jù)完整、數(shù)據(jù)保密、抗抵賴。鑒別服務(wù)（authentication）主要用來鑒別參與通信的對等實體和數(shù)據(jù)源，確認其合法性、真實性。訪問控制服務(wù)（accesscontrol）用于防止未授權(quán)用戶非法使用資源。包括用戶身份認證，用戶權(quán)限確認。數(shù)據(jù)完整性服務(wù)（integrity）用于對付主動威脅，阻止非法實體對通信雙方交換數(shù)據(jù)的改動和刪除。數(shù)據(jù)保密性服務(wù)（confidentiality）防止系統(tǒng)內(nèi)交換數(shù)據(jù)被截獲或非法存取而造成泄密，提供加密保護?？沟仲囆苑?wù)（no-repudiation）防止發(fā)送方發(fā)送數(shù)據(jù)后否認自己發(fā)送過此數(shù)據(jù)，接收方接收后否認收到過此數(shù)據(jù)或偽造接收數(shù)據(jù)。安全機制安全體系架構(gòu)網(wǎng)絡(luò)安全基本模型網(wǎng)絡(luò)安全基本模型包括通信主體雙方、攻擊者和可信第三方，通信雙方在網(wǎng)絡(luò)上傳輸信息，需要先在發(fā)收之間建立一條邏輯通道。這就要先確定從發(fā)送端到接收端的路由，再選擇該路由上使用的通信協(xié)議，如TCP/IP。為了在開放式的網(wǎng)絡(luò)環(huán)境中安全地傳輸信息，需要對信息提供安全機制和安全服務(wù)。信息的安全傳輸包括兩個基本部分：一是對發(fā)送的信息進行安全轉(zhuǎn)換，如信息加密以便達到信息的保密性，附加一些特征碼以便進行發(fā)送者身份驗證等；二是發(fā)送雙方共享的某些秘密信息，如加密密鑰，除了對可信任的第三方外，對其他用戶是保密的。為了使信息安全傳輸，通常需要一個可信任的第三方，其作用是負責向通信雙方分發(fā)秘密信息，以及在雙方發(fā)生爭議時進行仲裁。一個安全的網(wǎng)絡(luò)通信必須考慮以下內(nèi)容：實現(xiàn)與安全相關(guān)的信息轉(zhuǎn)換的規(guī)則或算法用于信息轉(zhuǎn)換算法的密碼信息（如密鑰）秘密信息的分發(fā)和共享使用信息轉(zhuǎn)換算法和秘密信息獲取安全服務(wù)所需的協(xié)議信息安全框架物理安全進入辦公室需經(jīng)人臉識別門禁系統(tǒng)確認后才能打開辦公室門，出辦公室門需按出門按鈕。通信和網(wǎng)絡(luò)安全能完成對出入辦公室人員的授權(quán)管理，能對進出辦公室人員的歷史出入記錄進行查詢及輸出。運行安全信息安全信息安全起因首先，視頻監(jiān)控網(wǎng)絡(luò)安全問題是現(xiàn)實存在的，在互聯(lián)網(wǎng)傳輸中不加密問題更甚。即便是美國國防部內(nèi)部網(wǎng)絡(luò)都曾被黑客入侵，何況是民用監(jiān)控。其次，視頻監(jiān)控網(wǎng)絡(luò)安全問題是普遍存在的，并非只海康威視一家。此前便有報道，只要在Google中搜索簡單的關(guān)鍵字，就可以無阻礙地連入全球超過1000個沒有保護措施的監(jiān)控攝像頭。用戶對網(wǎng)絡(luò)安全重視程度不夠，缺乏安全意識，在安裝完監(jiān)控產(chǎn)品之后，沒有對密碼進行修改，實際上只要用戶按照產(chǎn)品說明書的說明修改了初始默認密碼，就能很大程度上避免網(wǎng)絡(luò)安全隱患。第三，在視頻傳輸中，利用公安專用通信網(wǎng)保密性最佳，其次為視頻圖像專網(wǎng)，再次為虛擬專用網(wǎng)（VPN，VirtualPrivateNetwork），未加密的公網(wǎng)傳輸，包括移動互聯(lián)網(wǎng)傳輸保密性是很差的。目前平安城市視頻監(jiān)控系統(tǒng)承載網(wǎng)絡(luò)主要是公安專用通信網(wǎng)和視頻虛擬專網(wǎng)兩種。現(xiàn)有系統(tǒng)的承載網(wǎng)絡(luò)情況復雜，平臺部署在不同的承載網(wǎng)絡(luò)上。虛擬專用網(wǎng)通常是在公用網(wǎng)絡(luò)上建立的專用網(wǎng)絡(luò)，是為特別用戶設(shè)置的加密通訊網(wǎng)絡(luò)，而平安城市視頻監(jiān)控系統(tǒng)匯接的社會圖像資源是通過多種方式接入到各級共享平臺，雖然在接入時會采取一些安全接入措施，但仍很難避免被非法侵入。未加密的公網(wǎng)傳輸毫無保密性可言。除了接入網(wǎng)絡(luò)的設(shè)備會受到網(wǎng)絡(luò)安全隱患威脅外這一無法回避的因素外，安防企業(yè)多是習慣于用局域網(wǎng)或者專網(wǎng)視角來看待問題。技術(shù)缺陷互聯(lián)網(wǎng)使用的通訊協(xié)議是TCP／IP．TCP／IP在最初的設(shè)計時．主要考慮的是如何實現(xiàn)網(wǎng)絡(luò)連接．并沒有充分考慮到網(wǎng)絡(luò)的安全問題．而TCP／IP協(xié)議是完全公開的，這就導致入侵者可以利用TCP／IP協(xié)議的漏洞對網(wǎng)絡(luò)進行攻擊。另外計算機使用的操作系統(tǒng)．比如說目前仍普遍使用的微軟windows操作系統(tǒng)在設(shè)計上也存在安全漏洞，用戶經(jīng)常需要更新．下載它的安全補丁．以修補它的安全漏洞。其他的技術(shù)缺陷還包括應用程序的編寫對安全性考慮不足．網(wǎng)絡(luò)通訊設(shè)備包括路由器、交換機存在安全的缺陷等等．這些技術(shù)上的缺陷都容易被入侵者利用．從而構(gòu)成安全威脅。管理缺陷由于網(wǎng)絡(luò)使用單位的負責人、網(wǎng)絡(luò)管理員思想上不重視或者疏忽．沒有正視黑客入侵所造成的嚴重后果．沒有投入必要的人力、物力和財力來加強網(wǎng)絡(luò)的安全性，沒有采取有效的安全策略和安全機制．缺乏先進的網(wǎng)絡(luò)安全技術(shù)、工具、手段和產(chǎn)品等等，這也導致了網(wǎng)絡(luò)的安全防范能力差。主要有以下幾個方面：內(nèi)部管理漏洞。缺乏健全的額管理制度或制度執(zhí)行不力，給內(nèi)部人員違規(guī)或犯罪留下機會。與外部威脅相比，來自內(nèi)部的攻擊和犯罪更難防范，而且是網(wǎng)絡(luò)安全的主要來源，據(jù)統(tǒng)計，大約80%的安全威脅來自系統(tǒng)內(nèi)部。動態(tài)環(huán)境變化。單位變化，人員流動，原有內(nèi)部人員對網(wǎng)絡(luò)的破壞。社會問題、道德問題和立法問題。網(wǎng)絡(luò)攻擊方式互聯(lián)網(wǎng)技術(shù)在飛速發(fā)展的同時．黑客技術(shù)也在飛速發(fā)展，網(wǎng)絡(luò)世界的安全性不斷地在受到挑戰(zhàn)。對于黑客來說．要進入普通人的電腦非常容易。只果你要上網(wǎng)．就免不了遇到病毒和黑客。下面列舉一些黑客常用攻擊手段：口令攻擊口令攻擊就是通過竊取口令的方式進行破壞的活動，口令攻擊是比較常用的一種攻擊方式。在現(xiàn)實生活中．由于用戶名和密碼被盜造成損失的例子有很多，一旦用戶名和密碼被盜．入侵者還可以冒用此用戶的名義對系統(tǒng)進行進一步的破壞和攻擊．從而給用戶本身或者整個系統(tǒng)造成非常大的損失。就目前的黑客技術(shù)來說．用戶名和密碼的盜取對黑客不再是有難度的事情，黑客盜取口令的方法有很多。比如說，有的黑客通過FTP、TFTP和Telnet等工具．可以搜集用戶賬戶資料、獲得口令文件，然后對1：3令文件進行解密來獲得口令?；蛘呷绻脩舻目诹钤O(shè)置缺乏安全性．可能被輕易地被“字典攻擊”猜到用戶的El令?！白值涔簟本褪峭ㄟ^編寫一個應用程序．根據(jù)一定的規(guī)律．由應用程序自動反復地去嘗試口令．強行破解用戶口令?！弊值涔簟币蠛诳鸵凶銐虻哪托暮蜁r間．但對那些口令安全系數(shù)極低的用戶，只要短短的幾分鐘．甚至數(shù)十秒就可以被破解。2021年11月，知名專業(yè)安全網(wǎng)站SecurityStreetRapid公布了3個RTSP安全漏洞，編號分別為：CVE-2021-4878、CVE-2021-4879及CVE-2021-4880。這三個漏洞均為監(jiān)控設(shè)備對RTSP請求處理不當導致的緩沖區(qū)溢出漏洞。通過該漏洞，攻擊者只要知道設(shè)備的IP地址，即可采用電腦對設(shè)備進行拒絕服務(wù)攻擊，從而導致設(shè)備癱瘓或被攻擊者接管。弱口令。弱口令是指容易被攻擊者猜測到或被破解工具破解的口令。此次媒體報道中提及的弱口令問題主要是由于未修改設(shè)備初始密碼或設(shè)備密碼過于簡單導致的安全問題。弱口令問題普遍存在，主要的解決方式是建立嚴格、規(guī)范化的口令管理流程和管理機制。軟件攻擊軟件攻擊有時又叫漏洞攻擊．許多系統(tǒng)包括計算機系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)都有這樣那樣的安全漏洞(Bug)和后門(backdoor)。特別是計算機系統(tǒng)．在安裝好操作系統(tǒng)后．出現(xiàn)漏洞和缺陷的可能性是最大的，這些漏洞需要廠商發(fā)布補丁(patch)程序來進行修補。各個硬件廠商和軟件廠商，包括微軟在內(nèi)．都在不斷地發(fā)布自己的補丁．這要求用戶及時的去下載這些補?。M行系統(tǒng)更新操作。如果系統(tǒng)管理人員沒有對網(wǎng)絡(luò)和操作系統(tǒng)的漏洞及時打補?。肭终呔涂梢院苋菀桌眠@些公開的漏洞，侵入系統(tǒng)．從而對整個網(wǎng)絡(luò)帶來災難性的后果。軟件攻擊除了利用系統(tǒng)的漏洞外．還可以利用一些后門程序。后門，就是秘密入口。比如說．在程序開發(fā)階段，程序員可能會設(shè)置一些后門．以便于測試、修改和增強模塊功能。正常情況下，程序開放完成后需要去掉各個模塊的后門，不過有時由于疏忽或者其他原因，比如說如保留后門便于日后訪問、測試或維護．后門沒有去掉，一些別有用心的人就會利用專門的掃描工具發(fā)現(xiàn)并利用這些后門，然后進入系統(tǒng)并發(fā)動攻擊。國內(nèi)的安防產(chǎn)品的漏洞問題由來已久，主要原因在于社會和國家對信息化依賴越來越高。境外惡意攻擊者一般會對網(wǎng)絡(luò)進行掃描，發(fā)現(xiàn)系統(tǒng)存在弱口令問題后會利用其中未修復的安全漏洞進行攻擊，然后植入后門軟件進行長期控制。所有暴露在互聯(lián)網(wǎng)環(huán)境下的設(shè)備都會面臨黑客攻擊的風險，很多用戶缺乏安全意識，在安全上考慮不足也導致容易出現(xiàn)安全漏洞。竊聽攻擊網(wǎng)絡(luò)竊聽是最直接的獲取數(shù)據(jù)的手段．如果在共享的網(wǎng)絡(luò)通道上，用沒有加密的明文傳輸敏感數(shù)據(jù)．這些信息很可能被竊聽和監(jiān)視。竊聽者可以采用如sniffef等網(wǎng)絡(luò)協(xié)議分析工具，非常容易地在信息傳輸過程中獲取所有信息的內(nèi)容，這些信息包括賬號．密碼等重要信息。一旦入侵者監(jiān)聽到用戶傳輸?shù)目诹睿涂梢岳每诹钊肭值较到y(tǒng)中。比如說．政府部門內(nèi)部的普通工作人員．如果通過內(nèi)部網(wǎng)絡(luò)竊聽手段。獲取了領(lǐng)導的賬號和密碼，從而可以利用這些密碼．查閱只能由領(lǐng)導查閱的秘密文件等。這類方法有一定的局限性，但危害性較大．監(jiān)聽者往往能夠獲得其所在網(wǎng)段的所有用戶賬號和口令．對內(nèi)部網(wǎng)絡(luò)安全威脅巨大，因為內(nèi)網(wǎng)數(shù)據(jù)往往是密級非常高的．如果被非法竊聽而導致信息泄露，將對國家造成非常大的損失。欺詐攻擊欺詐攻擊是利用假冒方式騙取連接和信息資源、損害企業(yè)的聲譽和利益的方式。比如說．黑客在被攻擊主機上啟動一個可執(zhí)行程序．該程序顯示一個偽造的登錄界面。當用戶在這個偽裝的界面上鍵入登錄信息后．黑客程序會將用戶輸入的信息傳送到攻擊者主機．然后關(guān)閉界面給出提示錯誤．要求用戶重新登錄。此后．才會出現(xiàn)真正的登錄界面．這就是欺詐攻擊的一種方式。再比如說，黑客可以制作自己的網(wǎng)頁．一旦用戶點擊了假冒鏈接地址．進入到這個網(wǎng)頁后，如果用戶此時輸入銀行賬號、密碼、驗證碼后，該假冒網(wǎng)頁會提示驗證碼錯誤．隨后再轉(zhuǎn)向正常的網(wǎng)頁．這樣．黑客就巧妙地從中獲取了用戶的機密信息。病毒攻擊計算機病毒實際上是一段可執(zhí)行程序，為什么稱之為病毒，主要是因為它和現(xiàn)實世界的病毒一樣具有傳染性．潛伏性和破壞性。在越來越依賴網(wǎng)絡(luò)的今天．由于病毒導致的系統(tǒng)破壞將帶來巨大的損失。計算機病毒對計算機的影響是災難性的。從20世紀80年代起．計算機使用者就開始和計算機病毒斗爭，特別是隨著近年互聯(lián)網(wǎng)的發(fā)展．網(wǎng)絡(luò)應用的普及、人們對計算機的依賴程度的不斷提高．這一切為病毒的傳播提供了方便的渠道，同時也使計算機病毒的種類迅速增加．擴散速度大大加快．受感染的范圍越來越廣，病毒的破壞性也越來越嚴重。以前病毒的傳播方式主要是單機之問通過軟盤介質(zhì)傳染．而現(xiàn)在病毒可以更迅速地通過網(wǎng)絡(luò)共享文件、電子郵件及互聯(lián)網(wǎng)在全世界范圍內(nèi)傳播拒絕服務(wù)攻擊DOS(denial-of-service)攻擊，簡稱DoS攻擊．是通過向攻擊目標施加超強力的服務(wù)要求．要求被攻擊目標提供超出它能力范圉的服務(wù)，從而引起的攻擊目標對正常服務(wù)的拒絕或服務(wù)性能大大降低。簡單的說拒絕服務(wù)攻擊就是想辦法將被攻擊的計算機資源或網(wǎng)絡(luò)帶寬資源耗盡．導致網(wǎng)絡(luò)或系統(tǒng)不勝負荷以至于癱瘓．而停止提供正常的服務(wù)。DoS攻擊由于可以通過使用一些公開的軟件和工具進行攻擊，因而它的發(fā)動較為簡單．”拒絕服務(wù)”的攻擊方式是：用戶發(fā)送許多要求確認的信息到服務(wù)器．使服務(wù)器里充斥著這種大量要求回復的無用信息．所有的信息都有需回復的虛假地址．而當服務(wù)器試圖回傳時．卻無法找到用戶。服務(wù)器于是暫時等候，然后再切斷連接。服務(wù)器切斷連接時．黑客再度傳送新一批需要確認的信息，這個過程周而復始．最終導致服務(wù)器資源耗盡而癱瘓。信息安全后果在現(xiàn)代網(wǎng)絡(luò)信息社會環(huán)境下．由于存在各種各樣的安全威脅，比如病毒、誤操作、設(shè)備故障和黑客攻擊等，從而可能會造成重要數(shù)據(jù)文件的丟失。安全問題具體的后果包括：企業(yè)的資料被有意篡改，網(wǎng)站的頁面被丑化或者修改。比如說，在被攻擊的網(wǎng)站首頁上貼上謠言、黃色圖片或反動言論．從而造成法律上和政治上的嚴重后果。破壞計算機的硬件系統(tǒng)，比如說磁盤系統(tǒng)．從而造成文件永久丟失。使得商業(yè)機密或技術(shù)成果泄露或者被散播。安全問題還可能使得服務(wù)被迫停止，并給客戶層帶來服務(wù)質(zhì)量低劣的印象，使得企業(yè)形象被破壞，從而造成惡劣影響和難以挽回的損失。信息安全技術(shù)PKI體系公鑰密碼體制分為三個部分，公鑰、私鑰、加密解密算法，它的加密解密過程如下：? 加密：通過加密算法和公鑰對內(nèi)容(或者說明文)進行加密，得到密文。加密過程需要用到公鑰。? 解密：通過解密算法和私鑰對密文進行解密，得到明文。解密過程需要用到解密算法和私鑰。注意，由公鑰加密的內(nèi)容，只能由私鑰進行解密，也就是說，由公鑰加密的內(nèi)容，如果不知道私鑰，是無法解密的。公鑰密碼體制的公鑰和算法都是公開的(這是為什么叫公鑰密碼體制的原因)，私鑰是保密的。大家都以使用公鑰進行加密，但是只有私鑰的持有者才能解密。在實際的使用中，有需要的人會生成一對公鑰和私鑰，把公鑰發(fā)布出去給別人使用，自己保留私鑰。證書認證機構(gòu)（CA）認證授權(quán)機構(gòu)（CA,CertificateAuthority），也稱為電子認證中心，是負責發(fā)放和管理數(shù)字證書的權(quán)威機構(gòu)，并作為網(wǎng)絡(luò)活動中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗的責任。CA中心為每個使用公開密鑰的用戶發(fā)放一個數(shù)字證書，數(shù)字證書的作用是證明證書中列出的用戶合法擁有證書中列出的公開密鑰。CA機構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書。在SET交易中，CA不僅對持卡人、商戶發(fā)放證書，還要對獲款的銀行、網(wǎng)關(guān)發(fā)放證書。CA是證書的簽發(fā)機構(gòu),它是PKI的核心。CA是負責簽發(fā)證書、認證證書、管理已頒發(fā)證書的機關(guān)。它要制定政策和具體步驟來驗證、識別用戶身份，并對用戶證書進行簽名，以確保證書持有者的身份和公鑰的擁有權(quán)。CA也擁有一個證書（內(nèi)含公鑰）和私鑰。網(wǎng)上的公眾用戶通過驗證CA的簽字從而信任CA，任何人都可以得到CA的證書（含公鑰），用以驗證它所簽發(fā)的證書。如果用戶想得到一份屬于自己的證書，他應先向CA提出申請。在CA判明申請者的身份后，便為他分配一個公鑰，并且CA將該公鑰與申請者的身份信息綁在一起，并為之簽字后，便形成證書發(fā)給申請者。如果一個用戶想鑒別另一個證書的真?zhèn)?，他就用CA的公鑰對那個證書上的簽字進行驗證，一旦驗證通過，該證書就被認為是有效的。為保證用戶之間在網(wǎng)上傳遞信息的安全性、真實性、可靠性、完整性和不可抵賴性，不僅需要對用戶的身份真實性進行驗證，也需要有一個具有權(quán)威性、公正性、唯一性的機構(gòu)，負責向電子商務(wù)的各個主體頒發(fā)并管理符合國內(nèi)、國際安全電子交易協(xié)議標準的電子商務(wù)安全證，并負責管理所有參與網(wǎng)上交易的個體所需的數(shù)字證書，因此是安全電子交易的核心環(huán)節(jié)數(shù)字證書證書實際是由證書簽證機關(guān)（CA）簽發(fā)的對用戶的公鑰的認證。證書的內(nèi)容包括：電子簽證機關(guān)的信息、公鑰用戶信息、公鑰、權(quán)威機構(gòu)的簽字和有效期等等。證書的格式和驗證方法普遍遵循X.509國際標準。信息發(fā)送者用其私匙對從所傳報文中提取出的特征數(shù)據(jù)（或稱數(shù)字指紋）進行RSA算法操作，以保證發(fā)信人無法抵賴曾發(fā)過該信息（即不可抵賴性），同時也確保信息報文在傳遞過程中未被篡改（即完整性）。當信息接收者收到報文后，就可以用發(fā)送者的公鑰對數(shù)字簽名進行驗證。數(shù)字證書為實現(xiàn)雙方安全通信提供了電子認證。在因特網(wǎng)、公司內(nèi)部網(wǎng)或外部網(wǎng)中，使用數(shù)字證書實現(xiàn)身份識別和電子信息加密。數(shù)字證書中含有公鑰對所有者的識別信息，通過驗證識別信息的真?zhèn)螌崿F(xiàn)對證書持有者身份的認證。1.使用數(shù)字證書能做什么?數(shù)字證書在用戶公鑰后附加了用戶信息及CA的簽名。公鑰是密鑰對的一部分，另一部分是私鑰。公鑰公之于眾，誰都可以使用。私鑰只有自己知道。由公鑰加密的信息只能由與之相對應的私鑰解密。為確保只有某個人才能閱讀自己的信件，發(fā)送者要用收件人的公鑰加密信件；收件人便可用自己的私鑰解密信件。同樣，為證實發(fā)件人的身份，發(fā)送者要用自己的私鑰對信件進行簽名；收件人可使用發(fā)送者的公鑰對簽名進行驗證，以確認發(fā)送者的身份。在線交易中您可使用數(shù)字證書驗證對方身份。用數(shù)字證書加密信息，可以確保只有接收者才能解密、閱讀原文，信息在傳遞過程中的保密性和完整性。有了數(shù)字證書網(wǎng)上安全才得以實現(xiàn)，電子郵件、在線交易和信用卡購物的安全才能得到保證。2.數(shù)字證書的類型個人數(shù)字證書，主要用于標識數(shù)字證書自然人所有人的身份，包含了個人的身份信息及其公鑰，如用戶姓名、證件號碼、身份類型等，可用于個人在網(wǎng)上進行合同簽定、定單、錄入審核、操作權(quán)限、支付信息等活動。機構(gòu)數(shù)字證書，主要用于標識數(shù)字證書機構(gòu)所有人的身份，包含機構(gòu)的相關(guān)信息及其公鑰，如：企業(yè)名稱、組織機構(gòu)代碼等，可用于機構(gòu)在電子商務(wù)、電子政務(wù)應用中進行合同簽定、網(wǎng)上支付、行政審批、網(wǎng)上辦公等各類活動。設(shè)備數(shù)字證書，用于在網(wǎng)絡(luò)應用中標識網(wǎng)絡(luò)設(shè)備的身份，主要包含了設(shè)備的相關(guān)信息及其公鑰，如：域名、網(wǎng)址等，可用于VPN服務(wù)器、WEB服務(wù)器等各種網(wǎng)絡(luò)設(shè)備在網(wǎng)絡(luò)通訊中標識和驗證設(shè)備身份。此外，還有代碼簽名數(shù)字證書，是簽發(fā)給軟件提供者的數(shù)字證書，包含了軟件提供者的身份信息及其公鑰，主要用于證明軟件發(fā)布者所發(fā)行的軟件代碼來源于一個真實軟件發(fā)布者，可以有效防止軟件代碼被篡改。用戶身份認證所謂身份認證，就是判斷一個用戶是否為合法用戶的處理過程。最常用的簡單身份認證方式是系統(tǒng)通過核對用戶輸入的用戶名和口令，看其是否與系統(tǒng)中存儲的該用戶的用戶名和口令一致，來判斷用戶身份是否正確。復雜一些的身份認證方式采用一些較復雜的加密算法與協(xié)議，需要用戶出示更多的信息(如私鑰)來證明自己的身份，如Kerberos身份認證系統(tǒng)。身份認證一般與授權(quán)控制是相互聯(lián)系的，授權(quán)控制是指一旦用戶的身份通過認證以后，確定哪些資源該用戶可以訪問、可以進行何種方式的訪問操作等問題。在一個數(shù)字化的工作體系中，應該有一個統(tǒng)一的身份認證系統(tǒng)供各應用系統(tǒng)使用，但授權(quán)控制可以由各應用系統(tǒng)自己管理。統(tǒng)一用戶管理系統(tǒng)(IDS),實現(xiàn)網(wǎng)上應用系統(tǒng)的用戶、角色和組織機構(gòu)統(tǒng)一化管理，實現(xiàn)各種應用系統(tǒng)間跨域的單點登錄和單點退出和統(tǒng)一的身份認證功能，用戶登錄到一個系統(tǒng)后，再轉(zhuǎn)入到其他應用系統(tǒng)時不需要再次登錄，簡化了用戶的操作，也保證了同一用戶在不同的應用系統(tǒng)中身份的一致性。身份認證可分為用戶與系統(tǒng)間的認證和系統(tǒng)與系統(tǒng)之間的認證。身份認證必須做到準確無誤地將對方辨認出來，同時還應該提供雙向的認證。目前使用比較多的是用戶與系統(tǒng)間的身份認證，它只需單向進行，只由系統(tǒng)對用戶進行身份驗證。隨著計算機網(wǎng)絡(luò)化的發(fā)展，大量的組織機構(gòu)涌入國際互聯(lián)網(wǎng)，以及電子商務(wù)與電子政務(wù)的大量興起，系統(tǒng)與系統(tǒng)之間的身份認證也變得越來越重要。身份認證的基本方式可以基于下述一個或幾個因素的組合：所知（Knowledge）：即用戶所知道的或所掌握的知識，如口令；所有（Possesses）：用戶所擁有的某個秘密信息，如智能卡中存儲的用戶個人化參數(shù)，訪問系統(tǒng)資源時必須要有智能卡；特征（Characteristics）：用戶所具有的生物及動作特征，如指紋、聲音、視網(wǎng)膜掃描等。根據(jù)在認證中采用的因素的多少，可以分為單因素認證、雙因素認證、多因素認證等方法。身份認證系統(tǒng)所采用的方法考慮因素越多，認證的可靠性就越高。認證機制基于口令的身份認證機制基于口令的身份認證技術(shù)因其簡單易用，得到了廣泛的使用。但隨著網(wǎng)絡(luò)應用的深入和網(wǎng)絡(luò)攻擊手段的多樣化，口令認證技術(shù)也不斷發(fā)生變化，產(chǎn)生了各種各樣的新技術(shù)。最常采用的身份認證方式是基于靜態(tài)口令的認證方式，它是最簡單、目前應用最普遍的一種身份認證方式。但它是一種單因素的認證，安全性僅依賴于口令，口令一旦泄露，用戶即可被冒充；同時易被攻擊，采用窺探、字典攻擊、窮舉嘗試、網(wǎng)絡(luò)數(shù)據(jù)流竊聽、重放攻擊等很容易攻破該認證系統(tǒng)。相對靜態(tài)口令，動態(tài)口令也叫一次性口令，它的基本原理是在用戶登錄過程中，基于用戶口令加入不確定因子，對用戶口令和不確定因子進行單向散列函數(shù)變換，所得的結(jié)果作為認證數(shù)據(jù)提交給認證服務(wù)器。認證服務(wù)器接收到用戶的認證數(shù)據(jù)后，把用戶的認證數(shù)據(jù)和自己用同樣的散列算法計算出的數(shù)值進行比對，從而實現(xiàn)對用戶身份的認證。在認證過程中，用戶口令不在網(wǎng)絡(luò)上傳輸，不直接用于驗證用戶的身份。動態(tài)口令機制每次都采用不同的不確定因子來生成認證數(shù)據(jù)，從而每次提交的認證數(shù)據(jù)都不相同，提高了認證過程的安全性。挑戰(zhàn)/響應認證機制挑戰(zhàn)/響應方式的身份認證機制就是每次認證時認證服務(wù)器端都給客戶端發(fā)送一個不同的“挑戰(zhàn)”碼，客戶端程序收到這個“挑戰(zhàn)”碼，根據(jù)客戶端和服務(wù)器之間共享的密鑰信息，以及服務(wù)器端發(fā)送的“挑戰(zhàn)”碼做出相應的“應答”。服務(wù)器根據(jù)應答的結(jié)果確定是否接受客戶端的身份聲明。從本質(zhì)上講，這種機制實際上也是一次性口令的一種。一個典型的認證過程如下圖所示：認證過程為：1)客戶向認證服務(wù)器發(fā)出請求，要求進行身份認證；2)認證服務(wù)器從用戶數(shù)據(jù)庫中查詢用戶是否是合法的用戶，若不是，則不做進一步處理；3)認證服務(wù)器內(nèi)部產(chǎn)生一個隨機數(shù)，作為“挑戰(zhàn)”碼，發(fā)送給客戶；4)客戶將用戶名字和隨機數(shù)合并，使用單向Hash函數(shù)（例如MD5算法）生成一個字節(jié)串作為應答；5)認證服務(wù)器將應答串與自己的計算結(jié)果比較，若二者相同，則通過一次認證；否則，認證失?。?)認證服務(wù)器通知客戶認證成功或失敗。EAP認證機制EAP（ExtensibleAuthenticationProtocol）擴展認證協(xié)議在RFC2248中定義，是一個普遍使用的認證機制，它常被用于無線網(wǎng)絡(luò)或點到點的連接中。EAP不僅可以用于無線局域網(wǎng)，而且可以用于有線局域網(wǎng)，但它在無線局域網(wǎng)中使用的更頻繁。EAP實際是一個認證框架，不是一個特殊的認證機制。EAP提供一些公共的功能，并且允許協(xié)商所希望的認證機制。這些機制被稱為EAP方法。由于EAP方法除了IETF定義了一部分外，廠商也可以自定義方法，因此EAP具有很強的擴展性。IETF的RFC中定義的方法包括EAP-MD5、EAP-OTP、EAP-GTC、EAP-TLS、EAP-SIM和EAP-AKA等。無線網(wǎng)絡(luò)中常用的方法包括EAP-TLS、EAP-SIM、EAP-AKA、PEAP、LEAP和EAP-TTLS。目前EAP在802.1X的網(wǎng)絡(luò)中使用廣泛，可擴展的EAP方法可以為接入網(wǎng)絡(luò)提供一個安全認證機制。鑰認證機制隨著網(wǎng)絡(luò)應用的普及，對系統(tǒng)外用戶進行身份認證的需求不斷增加，即某個用戶沒有在一個系統(tǒng)中注冊，但也要求能夠?qū)ζ渖矸葸M行認證，尤其是在分布式系統(tǒng)中，這種要求格外突出。這種情況下，公鑰認證機制就顯示出它獨特的優(yōu)越性。公鑰認證機制中每個用戶被分配給一對密鑰，稱之為公鑰和私鑰，其中私鑰由用戶保管，而公鑰則向所有人公開。用戶如果能夠向驗證方證實自己持有私鑰，就證明了自己的身份。當它用作身份認證時，驗證方需要用戶方對某種信息進行數(shù)字簽名，即用戶方以用戶私鑰作為加密密鑰，對某種信息進行加密，傳給驗證方，而驗證方根據(jù)用戶方預先提供的公鑰作為解密密鑰，就可以將用戶方的數(shù)字簽名進行解密，以確認該信息是否是該用戶所發(fā)，進而認證該用戶的身份。公鑰認證機制中要驗證用戶的身份，必須擁有用戶的公鑰，而用戶公鑰是否正確，是否是所聲稱擁有人的真實公鑰，在認證體系中是一個關(guān)鍵問題。常用的辦法是找一個值得信賴而且獨立的第三方認證機構(gòu)充當認證中心（CertificateAuthority，CA），來確認聲稱擁有公開密鑰的人的真正身份。要建立安全的公鑰認證系統(tǒng)，必須先建立一個穩(wěn)固、健全的CA體系，尤其是公認的權(quán)威機構(gòu)，即“RootCA”，這也是當前公鑰基礎(chǔ)設(shè)施（PKI）建設(shè)的一個重點。認證協(xié)議許多協(xié)議在向用戶或設(shè)備授權(quán)訪問和訪問權(quán)限之前需要認證校驗，通常要用到認證相關(guān)的機制，前面討論了常用的認證機制，本節(jié)介紹使用這些認證機制的協(xié)議，這些協(xié)議包括RADIUS、TACACS、Kerberos、LDAP等。RADIUS和TACACS通常用在撥號環(huán)境中，Kerberos是在校園網(wǎng)中用的比較多的協(xié)議。LDAP提供一種輕量級的目錄服務(wù)，嚴格來說不能算作一種認證協(xié)議，而對用戶進行認證授權(quán)只是LDAP的一種應用。RADIUS認證協(xié)議RADIUS（RemoteAuthenticationDialInUserService）協(xié)議最初是由Livingston公司提出的，目的是為撥號用戶進行認證和計費。后來經(jīng)過多次改進，形成了一個通用的AAA協(xié)議。RADIUS協(xié)議認證機制靈活，能夠支持各種認證方法對用戶進行認證。可以采用上述任何一種認證機制。RADIUS是一種可擴展的協(xié)議，它進行的全部工作都是基于屬性進行的，由于屬性可擴展性，因此很容易支持不同的認證方式。RADIUS協(xié)議通過UDP協(xié)議進行通信，RADIUS服務(wù)器的1812端口負責認證，1813端口負責計費工作。采用UDP的基本考慮是因為NAS和RADIUS服務(wù)器大多在同一個局域網(wǎng)中，使用UDP更加快捷方便。TACACS認證協(xié)議TACACS（TerminalAccessControllerAccessControlSystem）最先是由BBN為MILNET開發(fā)的一種基于UDP的訪問控制協(xié)議，一些廠商對協(xié)議進行了擴展，最終形成了一種新的AAA協(xié)議，其中CISCO公司對TACACS協(xié)議多次進行增強擴展，目前成為TACACS+協(xié)議，H3C在TACACS（RFC1492）基礎(chǔ)上進行了功能增強，形成了H3C擴展的TACACS協(xié)議。無論TACACS、TACACS+還是H3C擴展TACACS協(xié)議，其認證、授權(quán)和計費是分離的，并且與原始TACACS協(xié)議相比，TACACS+和HWTACACS可以使用TCP作為傳輸層協(xié)議，端口號為49。TACACS+允許任意長度和內(nèi)容的認證交換，與RADIUS一樣，具有很強的擴展性，并且客戶端可以使用任何認證機制。由于TACACS+的認證與其他服務(wù)是分開的，所以認證不是強制的，這點與RADIUS是不同的。Kerberos認證協(xié)議在一個分布式環(huán)境中，采用上述兩種認證協(xié)議時，如果發(fā)生賬號改動的情況，每臺機器上的都要進行相應的賬號修改，工作量非常大。Kerberos是MIT為解決分布式網(wǎng)絡(luò)認證而設(shè)計的可信第三方認證協(xié)議。Kerberos基于對稱密碼技術(shù)，網(wǎng)絡(luò)上的每個實體持有不同的密鑰，是否知道該密鑰便是身份的證明。網(wǎng)絡(luò)上的Kerberos服務(wù)起著可信仲裁者的作用，可提供安全的網(wǎng)絡(luò)認證。Kerberos常見的有兩個版本：第4版和第5版，目前使用的標準版本是版本5。Kerberos是一種受托的第三方認證服務(wù)，它是建立在Needham和Schroeder認證協(xié)議基礎(chǔ)上，它要求信任第三方，即Kerberos認證服務(wù)器（AS）。AS為客戶和服務(wù)器提供證明自己身份的票據(jù)以及雙方安全通信的會話密鑰。Kerberos中還有一個票據(jù)授予服務(wù)器（TGS），TGS向AS的可靠用戶發(fā)出票據(jù)。除客戶第一次獲得的初始票據(jù)是由Kerberos認證服務(wù)器簽發(fā)外，其他票據(jù)都是由TGS簽發(fā)的，一個票據(jù)可以使用多次直至期限?？蛻舴秸埱蠓?wù)方提供一個服務(wù)時，不僅要向服務(wù)方發(fā)送從票據(jù)授予服務(wù)器領(lǐng)來的票據(jù)，同時還要自己生成一個鑒別碼(Authenticator，Ac)一同發(fā)送，該證是一次性的。LDAP協(xié)議LDAP（LightweightDirectoryAccessProtocol）是基于X.500標準的，但是比X.500簡單，并且可以根據(jù)需要定制。與X.500不同，LDAP支持TCP/IP，這對訪問Internet是必須的。LDAP是一個目錄服務(wù)協(xié)議，目前存在眾多版本的LDAP，而最常見的則是V2和V3兩個版本，它們分別于1995年和1997年首次發(fā)布。一般在分布式、跨平臺認證的場景下，LDAP比前面介紹的認證協(xié)議具有一定優(yōu)勢。LDAP協(xié)議嚴格來說并不屬于單純認證協(xié)議，對用戶進行授權(quán)認證是LDAP協(xié)議的一個典型應用。例如Microsoft的Windows操作系統(tǒng)就使用了ActiveDirectoryServer來保存操作系統(tǒng)的用戶、用戶組等信息，用于用戶登錄Windows時的認證和授權(quán)。目錄服務(wù)其實也是一種數(shù)據(jù)庫系統(tǒng)，只是這種數(shù)據(jù)庫是一種樹形結(jié)構(gòu)，而不是通常使用的關(guān)系數(shù)據(jù)庫。目錄服務(wù)與關(guān)系數(shù)據(jù)庫之間的主要區(qū)別在于：二者都允許對存儲數(shù)據(jù)進行訪問，只是目錄主要用于讀取，其查詢的效率很高，而關(guān)系數(shù)據(jù)庫則是為讀寫而設(shè)計的。所以LDAP協(xié)議非常適合數(shù)據(jù)庫相對穩(wěn)定，而查詢速度要求比較高的認證場合。聯(lián)網(wǎng)視頻信息的特點系統(tǒng)多級架構(gòu)網(wǎng)絡(luò)狀況復雜視頻數(shù)據(jù)量大視頻系統(tǒng)信息安全分類通常，視頻監(jiān)控系統(tǒng)業(yè)務(wù)數(shù)據(jù)和媒體數(shù)據(jù)采用分離的通道進行操作，其傳輸通道類型可分為信令流和媒體流。視頻流和視頻控制信令應以不同的物理通道進行傳輸，視頻控制信令通過信令流傳輸，視頻流通過媒體流傳輸。視頻控制協(xié)議是視頻監(jiān)控終端與視頻設(shè)備(視頻管理服務(wù)器/監(jiān)控平臺、DVR、攝像頭等設(shè)備)間的控制指令集，即建立視頻監(jiān)控圖像連接的基本指令集。為保證通信中指令集不包含網(wǎng)絡(luò)攻擊指令、其他非法字符集或嵌入機密數(shù)據(jù)向外泄露。視頻傳輸系統(tǒng)應具備視頻協(xié)議安全控制功能，對所有視頻監(jiān)控交互指令進行嚴格安全過濾，阻斷非法數(shù)據(jù)傳輸和網(wǎng)絡(luò)攻擊的入侵。信令加密業(yè)務(wù)數(shù)據(jù)加密是指每個控制命令或者參數(shù)設(shè)置命令都必須進行加密處理，采取加密業(yè)務(wù)信令通道的辦法來保證信息的安全性，保證數(shù)據(jù)鑒別、防篡改、防窺視、鑒別來源、防止非法訪問、防偽造。系統(tǒng)對信令進行加密，所有信令都使用加密技術(shù)，為了支持加密技術(shù)，需增加會話準備操作，進行握手交換標識，以讀取密碼生成密鑰，進而對分組進行加密。媒體流加密對于視頻流的實時加密流程與信令流類似，同樣需要進行交換標識，以讀取密碼生成密鑰。安全系統(tǒng)的實現(xiàn)認證中心視頻安全平臺系統(tǒng)評價系統(tǒng)建成預期效果安全技術(shù)展望XXXX業(yè)務(wù)網(wǎng)網(wǎng)絡(luò)信息安全加固項目案例介紹概述隨著信息化技術(shù)的深入和互聯(lián)網(wǎng)的迅速發(fā)展,整個世界正在迅速地融為一體，IT系統(tǒng)已經(jīng)成為XXX整合、共享內(nèi)部資源的核心平臺，同時，隨著XXX經(jīng)營理念的不斷深化，利用各種各樣的業(yè)務(wù)平臺來為XXX提供更多的增值業(yè)務(wù)服務(wù)的情況越來越多，因此IT系統(tǒng)及各種各樣的業(yè)務(wù)平臺在XXX系統(tǒng)內(nèi)的地位越來越重要，更為XXX提供的新業(yè)務(wù)利潤增長做出了不可磨滅的貢獻。伴隨著網(wǎng)絡(luò)的發(fā)展，也產(chǎn)生了各種各樣的安全風險和威脅，網(wǎng)絡(luò)中蠕蟲、病毒及垃圾郵件肆意泛濫，木馬無孔不入，DDOS攻擊越來越常見、WEB應用安全事件層出不窮、，黑客攻擊行為幾乎每時每刻都在發(fā)生,而伴隨著上級主管部門對于信息安全的重視及審查工作愈加深化，所有這些風險防范及安全審查工作極大的困擾著XXX運維人員,能否及時發(fā)現(xiàn)網(wǎng)絡(luò)黑客的入侵,有效地檢測出網(wǎng)絡(luò)中的異常流量,并同時在“事前”、“事中”及“事后”都能主動協(xié)助XXX完成自身信息安全體系的建設(shè)以及滿足上級部門審查規(guī)范，已成為XXX運維人員所面臨的一個重要問題。本方案針對XXXX公司業(yè)務(wù)平臺的安全現(xiàn)狀進行分析，并依據(jù)我公司安全體系建設(shè)的總體思路來指導業(yè)務(wù)平臺信息安全體系建設(shè)解決方案的制作，從安全技術(shù)體系建設(shè)的角度給出詳細的產(chǎn)品及服務(wù)解決方案。網(wǎng)絡(luò)現(xiàn)狀及風險分析2.1網(wǎng)絡(luò)現(xiàn)狀業(yè)務(wù)平臺拓撲圖XXXX公司業(yè)務(wù)平臺網(wǎng)絡(luò)共有包括XXX、XXX、XXX平臺等四十余個業(yè)務(wù)系統(tǒng)，（因涉及客戶信息，整體網(wǎng)絡(luò)架構(gòu)詳述略）業(yè)務(wù)平臺內(nèi)部根據(jù)業(yè)務(wù)種類的不同，分別部署有數(shù)據(jù)庫、報表、日志等相應業(yè)務(wù)系統(tǒng)服務(wù)器。2.2風險及威脅分析根據(jù)上述網(wǎng)絡(luò)架構(gòu)進行分析，我們認為該業(yè)務(wù)平臺存在如下安全隱患：隨著攻擊者知識的日趨成熟,攻擊工具與手法的日趨復雜多樣，單純XX的已經(jīng)無法滿足信息安全防護的需要，部署了×XX的安全保障體系仍需要進一步完善，防火墻系統(tǒng)的不足主要有以下幾個方面（略）當前網(wǎng)絡(luò)不具備針對X攻擊專項的檢測及防護能力。（略）對正常網(wǎng)絡(luò)訪問行為導致的信息泄密事件、網(wǎng)絡(luò)資源濫用行為等方面難以實現(xiàn)針對內(nèi)容、行為的監(jiān)控管理及安全事件的追查取證。當前XX業(yè)務(wù)平臺仍缺乏針對網(wǎng)絡(luò)內(nèi)容及已經(jīng)授權(quán)的正常內(nèi)部網(wǎng)絡(luò)訪問行為的有效監(jiān)控技術(shù)手段，因此對正常網(wǎng)絡(luò)訪問行為導致的信息泄密事件、網(wǎng)絡(luò)資源濫用行為等方面難以實現(xiàn)針對內(nèi)容、行為的監(jiān)控管理及安全事件的追查取證。隨著XX業(yè)務(wù)平臺自有門戶網(wǎng)站的建設(shè)，Web應用已經(jīng)為最普遍的信息展示和業(yè)務(wù)管理的接入方式和技術(shù)手段，正因為空前的流行，致使75%以上的攻擊都瞄準了網(wǎng)站W(wǎng)eb應用。這些攻擊可能導致XXX遭受聲譽和經(jīng)濟損失，可能造成惡劣的社會影響。當前增值業(yè)務(wù)平臺主要面對如下WEB應用方面的風險和威脅：防火墻在阻止Web應用攻擊時能力不足，無法檢測及阻斷隱藏在正常訪問流量內(nèi)的WEB應用層攻擊;對于已經(jīng)上線運行的網(wǎng)站,用簡單的方法修補漏洞需要付出過高的代價；面對集團對于WEB應用安全方面的的“合規(guī)檢查”的壓力。隨著信息安全的發(fā)展，XXXX集團在信息安全領(lǐng)域的管理制度也愈加規(guī)范和細化,在網(wǎng)絡(luò)、系統(tǒng)、應用等多方面提出了相應的安全要求、檢查細項及考核辦法，并已將信息安全工作納入到日常運維工作中去.在近期發(fā)布的《XXXXX平臺安全管理辦法(試行)》、《XXXX新建業(yè)務(wù)平臺安全驗收指引(試行)》等管理規(guī)范中,明確說明了增值業(yè)務(wù)平臺需要建設(shè)XXXX系統(tǒng)、XXXX系統(tǒng)對業(yè)務(wù)平臺網(wǎng)絡(luò)邊界進行防護,另外亦需要對系統(tǒng)漏洞、數(shù)據(jù)庫漏洞、WEB應用等方面提供安全防護。由此可見，業(yè)務(wù)平臺當前缺乏相應的整體的安全監(jiān)測及防護手段，無法滿足上級主管部門的管理要求.2.3信息安全形勢分析系統(tǒng)漏洞仍舊是XXX網(wǎng)絡(luò)面臨的安全風險之一.據(jù)國家信息安全漏洞共享平臺（CNVD）收錄的漏洞統(tǒng)計，2021年發(fā)現(xiàn)涉及電信運營企業(yè)網(wǎng)絡(luò)設(shè)備（如路由器、交換機等）的漏洞203個，其中高危漏洞73個；發(fā)現(xiàn)直接面向公眾服務(wù)的零日DNS漏洞23個，應用廣泛的域名解析服務(wù)器軟件Bind9漏洞7個.拒絕服務(wù)攻擊對XXX業(yè)務(wù)運營造成較大損害及破壞企業(yè)形象,2021年發(fā)生的分布式拒絕服務(wù)攻擊（DDoS）事件中平均約有7％的事件涉及到基礎(chǔ)電信運營企業(yè)的域名系統(tǒng)或服務(wù)。2021年7月域名注冊服務(wù)機構(gòu)XXXX的DNS服務(wù)器遭受DDoS攻擊，導致其負責解析的域名在部分地區(qū)無法解析。2021年8月，某XXXDNS服務(wù)器也連續(xù)兩次遭到拒絕服務(wù)攻擊，造成局部用戶無法正常使用互聯(lián)網(wǎng)。網(wǎng)站安全事件層出不窮，黑客利用SQL注入、XSS腳本攻擊等工具和技術(shù)手段進行網(wǎng)頁篡改及信息竊取以非法獲利，造成較大社會影響.在CNCERT接收的網(wǎng)絡(luò)安全事件(不含漏洞)中,網(wǎng)站安全類事件占到61.7％；境內(nèi)被篡改網(wǎng)站數(shù)量為36612個，較2021年增加5.1％;4月—12月被植入網(wǎng)站后門的境內(nèi)網(wǎng)站為12513個。受控僵尸主機數(shù)目有增無減,黑客利用受控主機進行信息竊取、跳板類攻擊等現(xiàn)象逐步增多.據(jù)抽樣檢測表明,2021年境外有近4。7萬個IP地址作為木馬或僵尸網(wǎng)絡(luò)控制服務(wù)器參與控制我國境內(nèi)主機,其控制的境內(nèi)主機數(shù)量由2021年的近500萬增加至近890萬,呈現(xiàn)大規(guī)?；瘮U散趨勢。2.4XXX安全事件系統(tǒng)及主機漏洞利用類：XX網(wǎng)相冊漏洞利用：X網(wǎng)相冊存在上傳漏洞，被國家安全人員上傳惡意文件獲取系統(tǒng)root權(quán)限,該事件曾上報至副總理及政治局常委處，影響程度深、影響范圍廣；充值系統(tǒng)漏洞利用：某黑客組織利用XXX充值卡系統(tǒng)漏洞，使用網(wǎng)絡(luò)滲透手段、黑客工具等方法計算出充值卡號進行出售,造成未售出的充值卡已被充值使用或免費充值的情況；話費系統(tǒng)漏洞利用：利用系統(tǒng)漏洞入侵話費系統(tǒng)，篡改話費信息；網(wǎng)廳、積分商城WEB應用漏洞攻擊:利用網(wǎng)站漏洞入侵XXX網(wǎng)站，獲取客戶信息、冒充客戶進行業(yè)務(wù)訂閱或修改客戶積分,達到非法獲利的目的。木馬及病毒傳播類:內(nèi)部辦公主機被控：某XXX被發(fā)現(xiàn)其內(nèi)部計算機被境外人員通過木馬方式控制，同時該計算機向內(nèi)部網(wǎng)絡(luò)擴散蠕蟲病毒，可竊取計算機硬盤文件、重要賬號等關(guān)鍵數(shù)據(jù).網(wǎng)頁篡改類：XXXX網(wǎng)站曾多次發(fā)現(xiàn)主頁被篡改，植入廣告及其他惡意內(nèi)容，使其變成非法信息傳播的平臺，影響企業(yè)形象,并對業(yè)務(wù)平臺運行帶來安全隱患。分布式拒絕服務(wù)(DDoS）攻擊類：XX網(wǎng)站曾發(fā)現(xiàn)遭受DDoS拒絕服務(wù)攻擊，造成其視頻業(yè)務(wù)受損，客戶反響強烈.安全解決方案隨著XX業(yè)務(wù)平臺提供的服務(wù)不斷增加,IT架構(gòu)與系統(tǒng)也變得更復雜，安全體系也應隨需而變。在多年不斷研究和實踐的基礎(chǔ)上,我們提出了全新的安全體系框架。安全體系為安全戰(zhàn)略服務(wù)，我們設(shè)計的安全體系包含安全組織體系、安全管理體系、安全技術(shù)體系。在安全組織體系中,要建立組織、明確職責、提高人員安全技能、重視雇用期間的安全、要與績效結(jié)合；在安全管理體系中，以安全策略為主線，落實安全制度和流程,對記錄存檔。我們從最佳安全實踐出發(fā)，將安全管理體系中的過程動態(tài)化、持續(xù)化，包含風險評估程序、安全工作計劃、安全項目管理、運行維護監(jiān)控、安全審計程序、持續(xù)改進計劃等，真正與XXX增值業(yè)務(wù)平臺安全建設(shè)和安全保障過程結(jié)合起來；在安全技術(shù)體系中，將多種安全技術(shù)相結(jié)合,包含準備、預防、檢測、保護、響應、監(jiān)控、評價等.面對不斷出現(xiàn)的新興威脅，需要多種安全技術(shù)的協(xié)調(diào)與融合。安全體系像是企業(yè)/組織的免疫系統(tǒng)，體系的不斷完善、組織/人員的盡職盡責、全員的風險預警意識,才能真正做到主動管理風險。針對業(yè)務(wù)平臺存在的種種安全風險及威脅的現(xiàn)狀，我們提出如下解決方案：從安全技術(shù)體系角度出發(fā),建立起運維審計管理體系和安全檢測及防護體系,利用“預警、檢測、防護、響應"的風險管理安全方法，指導業(yè)務(wù)平臺系統(tǒng)完成安全技術(shù)體系的建設(shè).從安全組織體系和安全管理體系角度出發(fā),建立起完善的組織架構(gòu)、管理辦法以及工作計劃，根據(jù)PDCA流程的管理要求,完善業(yè)務(wù)平臺安全管理體系和組織體系的建設(shè)和優(yōu)化。3.1安全運維管理及審計體系安全運維管理及審計體系主要面對上級主管部門要求的周期性主動安全檢查工作和內(nèi)網(wǎng)安全審計兩方面工作內(nèi)容,從事前預防和事后審計兩個角度實現(xiàn)安全運維工作計劃和安全管理規(guī)范的落地。在“事前”階段，對各業(yè)務(wù)平臺系統(tǒng)配置規(guī)范、自身漏洞管理兩個方面提供相應檢查的技術(shù)手段，避免由于配置不規(guī)范或漏洞存在而被惡意利用的風險，同時滿足上級單位對于基線安全達標的規(guī)范要求；在“事后"階段，對各業(yè)務(wù)系統(tǒng)運維行為、數(shù)據(jù)庫操作行為、第三方人員網(wǎng)絡(luò)應用行為進行安全審計，全面記錄網(wǎng)絡(luò)系統(tǒng)中的各種會話和事件，實現(xiàn)對網(wǎng)絡(luò)信息的智能關(guān)聯(lián)分析、評估及安全事件的準確定位，為事后追查及整體網(wǎng)絡(luò)安全策略的制定提供權(quán)威可靠的支持，同時滿足上級單位對于安全審計方面的規(guī)范要求.3。2安全檢測及防護體系 安全檢測及防護體系主要面對業(yè)務(wù)系統(tǒng)當前存在的風險和威脅，完成“事中”階段業(yè)務(wù)系統(tǒng)被動安全檢測及防護的工作內(nèi)容，主要包括以下幾方面內(nèi)容：骨干層網(wǎng)絡(luò)XXXX系統(tǒng)的建設(shè),對由外部網(wǎng)絡(luò)向內(nèi)部業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)入侵行為實現(xiàn)實時監(jiān)測，為后續(xù)防護策略細粒度的制定及安全事件應急處理給出準確的指導意見；各業(yè)務(wù)平臺內(nèi)部入侵防護系統(tǒng)建設(shè)，對內(nèi)部各業(yè)務(wù)系統(tǒng)之間的網(wǎng)絡(luò)入侵、蠕蟲病毒、木馬等方面進行實時監(jiān)測及防護，實現(xiàn)各業(yè)務(wù)系統(tǒng)內(nèi)部信息安全防護;針對已部署Portal門戶服務(wù)器,可對外提供WEB應用服務(wù)的業(yè)務(wù)系統(tǒng)實現(xiàn)專項WEB應用安全防護。3。3安全技術(shù)體系整體建設(shè)方案根據(jù)當前安全形勢、上級單位的管理要求及網(wǎng)絡(luò)現(xiàn)狀的分析，我們提出如下整體安全建設(shè)方案，主要關(guān)注安全運維管理及審計體系建設(shè)及安全檢測機防護體系建設(shè)兩個方面的內(nèi)容，以滿足前文所述的“事前”、“事中"、“事后”的全周期整體網(wǎng)絡(luò)安全防護需求。安全產(chǎn)品整體部署示意圖安全運維管理及審計體系建設(shè)3。3.1。1安全運維管理體系針對增值業(yè)務(wù)平臺整體平面提供安全運維管理的技術(shù)手段，在骨干層匯聚交換機處部署遠程安全評估系統(tǒng)和配置核查系統(tǒng)，在保證IP可達的前提條件下，實現(xiàn)對網(wǎng)絡(luò)中各服務(wù)器、網(wǎng)絡(luò)設(shè)備、終端進行漏洞管理和配置規(guī)范檢查的工作,在業(yè)務(wù)系統(tǒng)上線之前或日常運維過程中，提前發(fā)現(xiàn)系統(tǒng)內(nèi)存在的配置錯誤或系統(tǒng)漏洞,避免網(wǎng)絡(luò)存在可供利用的安全隱患，滿足上級單位文提出的基線達標的技術(shù)要求以及實現(xiàn)新業(yè)務(wù)系統(tǒng)上線安全驗收標準的落實.3。3。1.2安全審計體系針對各增值業(yè)務(wù)平臺分別提供細粒度的安全審計技術(shù)手段，在各業(yè)務(wù)平臺內(nèi)部組網(wǎng)交換機處，利用流量鏡像方式將網(wǎng)絡(luò)流量發(fā)送到安全審計設(shè)備處，安全審計設(shè)備完成包括數(shù)據(jù)庫操作行為、第三方人員網(wǎng)絡(luò)應用行為等在內(nèi)的常見內(nèi)網(wǎng)應用進行檢測、記錄及告警上報的工作，滿足上級單位安全管理規(guī)范中對安全審計方面的具體要求。3。3。2安全檢測及防護體系建設(shè)3.3.2。1骨干層安全檢測及防護體系在骨干層部署入侵檢測系統(tǒng)，對緩沖區(qū)溢出、SQL注入、暴力猜測、DDoS攻擊、掃描探測等常見外網(wǎng)惡意入侵行為進行檢測及上報，滿足上級單位對于邊界防護的具體技術(shù)要求;在骨干層核心交換機處旁路部署抗拒絕服務(wù)攻擊產(chǎn)品，針對當前常見的SYNFLOOD、UDPFLOOD、ICMPFLOOD、CC、HTTPGET等常見鏈路帶寬型、資源耗盡型和應用層DDoS攻擊實現(xiàn)專項防護，保護應用系統(tǒng)正在運行的安全.3。3.2。2各業(yè)務(wù)系統(tǒng)細粒度安全檢測及防護體系在部署有Web應用服務(wù)器的業(yè)務(wù)系統(tǒng)內(nèi)部,串聯(lián)透明部署Web防火墻系統(tǒng)，實現(xiàn)對Web應用服務(wù)器的貼身式安全防護，有效阻止惡意人員通過SQL注入、XSS腳本、CSRF等等常見的WEB應用攻擊手段來獲取系統(tǒng)權(quán)限、竊取機密信息、傳播木馬病毒等行為;對于存在內(nèi)部信息交互需求的業(yè)務(wù)系統(tǒng)之間，通過串聯(lián)方式部署入侵防護系統(tǒng)，提供細粒度的內(nèi)網(wǎng)入侵檢測及防護能力，解決當前面臨的對于例如內(nèi)網(wǎng)蠕蟲爆發(fā)、木馬傳播等安全事件缺乏有效檢測手段的安全隱患。3。4本期項目建設(shè)建議方案根據(jù)上級單位管理規(guī)范要求、當前信息安全形勢以及業(yè)務(wù)平臺當前安全風險及事件的分析,結(jié)合我們在安全技術(shù)體系建設(shè)的研究經(jīng)驗,建議本期項目完成如下工作內(nèi)容：為了實現(xiàn)系統(tǒng)對網(wǎng)絡(luò)惡意入侵、端口掃描、內(nèi)網(wǎng)病毒等攻擊進行實時監(jiān)測及上報的功能，本期建議部署入侵檢測系統(tǒng).為了解決當前常見的大流量DDoS拒絕服務(wù)攻擊的安全問題,保障業(yè)務(wù)平臺持續(xù)、穩(wěn)定的提供服務(wù),本期建議部署DDoS拒絕服務(wù)攻擊專項防護系統(tǒng).為了實現(xiàn)針對WEB應用常見的類似SQL注入、XSS跨站腳本等攻擊手段進行實時防護的功能，本期建議部署WEB應用防護系統(tǒng)。3。4.1安全產(chǎn)品部署拓撲圖安全產(chǎn)品部署示意圖本期項目在XX交換機與XX、XX、XX網(wǎng)絡(luò)間新增入侵檢測系統(tǒng)一套.首先需將原有業(yè)務(wù)鏈路按比例進行分光放大，然后接入入侵檢測系統(tǒng)中，從增值業(yè)務(wù)平臺整體角度對安全威脅進行實時監(jiān)控及檢測上報。本期項目在XX交換機處新增流量清洗系統(tǒng)一套，通過旁路部署方式接入至網(wǎng)絡(luò)中,規(guī)避單點故障引入的安全風險。當檢測到DDoS拒絕服務(wù)攻擊時，利用流量清洗系統(tǒng)內(nèi)置的專業(yè)檢測及處理模塊，在增值業(yè)務(wù)平臺整體匯聚層面上即完成DDoS拒絕服務(wù)攻擊流量的清洗工作，避免攻擊流量傳遞到各平臺內(nèi)部，保障增值業(yè)務(wù)平臺系統(tǒng)所承載的業(yè)務(wù)免受DDoS拒絕服務(wù)攻擊所影響。本期項目在XX和XX匯聚交換機之間新建兩套Web應用防護系統(tǒng)，通過Bypass光交換機透明串聯(lián)部署在網(wǎng)絡(luò)中,針對增值業(yè)務(wù)平臺中提供Web應用服務(wù)的平臺提供專項安全防護.既滿足了業(yè)務(wù)平臺整體WEB應用安全防護的需求，同時通過光路Bypass功能也規(guī)避了串聯(lián)安全防護設(shè)備所面臨的單點故障引入的安全風險。信號流程入侵檢測信號流將網(wǎng)絡(luò)流量通過分光方式傳送到入侵檢測系統(tǒng)，完成包括應用層漏洞攻擊、緩沖區(qū)溢出、端口掃描等網(wǎng)絡(luò)入侵攻擊行為的實時檢測及上報工作?？咕芙^服務(wù)信號流在檢測到DDoS攻擊后,并非采取簡單的阻斷手段進行處理，而是將正常網(wǎng)絡(luò)流量與DDoS攻擊流量通過BGP、OSPF、靜態(tài)路由等相應路由協(xié)議共同牽引至抗拒絕服務(wù)攻擊系統(tǒng)進行專項流量清洗處理工作，再將處理后的正常網(wǎng)絡(luò)流量回注至增值業(yè)務(wù)平臺網(wǎng)絡(luò)內(nèi)部,在保障DDoS攻擊流量被清洗掉的同時,亦可滿足正常網(wǎng)絡(luò)流量的通過要求。WEB應用攻擊防護信號流隨著WEB應用的愈加廣泛與復雜,正常WEB應用行為與利用WEB進行的惡意攻擊行為混雜在一起，傳統(tǒng)防火墻等防護手段對此束手無策。而當信號流經(jīng)過串聯(lián)部署的WEB應用防護系統(tǒng)處理后，正常WEB應用流被允許通過，WEB應用惡意攻擊行為被實時攔截，可有效保護WEB應用服務(wù)器的安全。3。5產(chǎn)品列表產(chǎn)品名稱產(chǎn)品功能型號數(shù)目入侵檢測系統(tǒng)對網(wǎng)絡(luò)惡意入侵、端口掃描、內(nèi)網(wǎng)病毒等攻擊進行實時監(jiān)測1異常流量清洗系統(tǒng)對常見網(wǎng)絡(luò)層DDoS和應用層DDoS攻擊進行實時防護，清洗異常流量,保障正常流量通過。1WEB應用防火墻通過行為模式分析，協(xié)議還原等手段對WEB應用常見的類似SQL注入、XSS跨站腳本攻擊等OWASPTOP10攻擊手段進行實時防護23.6方案總結(jié)經(jīng)過以上本期信息安全防護體系的部署及實施，XXX公司增值業(yè)務(wù)平臺整體安全性得到全面的提升，完成了核心骨干層及WEB應用層網(wǎng)絡(luò)的安全檢測及防護體系的建設(shè)工作,包括如防DDoS攻擊、入侵檢測、Web應用安全防護等方面的具體工作內(nèi)容,有效抵御當前業(yè)務(wù)平臺面臨的安全風險及威脅，同時滿足是上級主管部門對于業(yè)務(wù)平臺的相關(guān)安全管理規(guī)范和檢查要求，為業(yè)務(wù)平臺安全穩(wěn)定的運行保駕護航。

XXXX產(chǎn)品功能簡介4。1產(chǎn)品簡介XXXX入侵檢測產(chǎn)品XXXWEB應用防火墻XXXX抗拒絕服務(wù)攻擊系統(tǒng)產(chǎn)品優(yōu)勢附錄：公司介紹關(guān)于開展網(wǎng)絡(luò)與信息安全聯(lián)合檢查的通知各縣（市)、市區(qū)聯(lián)社:為加強網(wǎng)絡(luò)與信息系統(tǒng)的安全管理和技術(shù)防護，促進安全防護能力和水平的提升，預防和減少重大信息安全事件的發(fā)生，切實保障本單位網(wǎng)絡(luò)與信息安全。根據(jù)《黑龍江省農(nóng)村信用社網(wǎng)絡(luò)與信息安全檢查工作方案》，結(jié)合我市農(nóng)村信用社網(wǎng)絡(luò)與信息安全管理實際情況，制定了《齊齊哈爾市農(nóng)村信用社網(wǎng)絡(luò)與信息安全檢查工作方案》。要求各縣(市)聯(lián)社將信息安全管理工作高度重視起來，切實保障黨的十八大勝利召開。并就檢查工作相關(guān)事宜通知如下:一、工作部署市聯(lián)社聯(lián)合檢查組由網(wǎng)絡(luò)中心、電子銀行部、信貸管理部、財務(wù)部、負債部、人力資源部組成.科技部門負責網(wǎng)絡(luò)安全檢查，其他部門負責信息安全檢查。二、工作要求（一）各聯(lián)社要高度認識此項工作，按照檢查方案認真落實。切實加強組織領(lǐng)導，明確工作責任,確保檢查工作順利實施并收到實效.(二）對檢查工作中發(fā)現(xiàn)的薄弱環(huán)節(jié)和問題,要及時采取有效措施加以整改,由于客觀原因不能及時整改的,要制定整改計劃和方案，并采取應急防范措施，確保網(wǎng)絡(luò)和信息系統(tǒng)安全穩(wěn)定運行。（三）要識別檢查中的安全風險，嚴格執(zhí)行相關(guān)工作紀律,按照有關(guān)保密要求，加強此次檢查的保密管理。附件：《齊齊哈爾市農(nóng)村信用社網(wǎng)絡(luò)與信息安全檢查工作方案》；《關(guān)于印發(fā)《黑龍江省農(nóng)村信用社網(wǎng)絡(luò)與信息安全自查工作方案》的通知》。齊齊哈爾市農(nóng)村信用合作社聯(lián)合社二○一二年八月二十八日附件齊齊哈爾市農(nóng)村信用社網(wǎng)絡(luò)與信息安全檢查工作方案為落實省聯(lián)社《關(guān)于印發(fā)《黑龍江省農(nóng)村信用社網(wǎng)絡(luò)與信息安全檢查工作方案》》的通知精神，力求使本次檢查工作達到預期效果，特制定本方案。一、檢查目的通過開展信息安全檢查,進一步梳理、掌握本單位重要網(wǎng)絡(luò)與信息安全基本情況，查找突出的問題和薄弱環(huán)節(jié)，分析面臨的安全威脅和風險，有針對性的采取防范對策和改進措施,加強網(wǎng)絡(luò)與信息系統(tǒng)安全管理和技術(shù)防護，促進安全防護能力和水平提升，預防和減少重大信息安全事件的發(fā)生。二、檢查范圍此次檢查工作范圍是轄內(nèi)的網(wǎng)絡(luò)與信息系統(tǒng)，檢查工作按照“誰主管誰負責、誰運行誰負責”的原則開展。三、檢查重點（一）系統(tǒng)安全運行情況.檢查各個信息系統(tǒng)運行情況。綜合業(yè)務(wù)網(wǎng)絡(luò)殺毒軟件更新、運行情況；外網(wǎng)辦公用計算機病毒查殺情況;操作系統(tǒng)和軟件使用情況是否安全；是否存在內(nèi)外網(wǎng)混用情況；終端機是否開啟安全防護措施.（二)安全管理情況.1、信息安全主管領(lǐng)導、信息安全管理部門、信息安全工作人員履職以及崗位責任情況等;①信息安全主管領(lǐng)導明確及工作落實情況。是否有領(lǐng)導分工等相關(guān)文件,是否明確了信息安全主管領(lǐng)導,檢查信息安全相關(guān)工作批示和會議記錄等文件，了解主管領(lǐng)導工作落實情