网络安全建设方案.doc

网络安全建设方案.doc

《网络安全建设方案.doc》由会员分享，可在线阅读，更多相关《网络安全建设方案.doc（22页珍藏版）》请在冰豆网上搜索。

网络安全建设方案

2016年7月

第22页共22页

1.前言 1

1.1.方案涉及范围 1

1.2.方案参考标准 2

1.3.方案设计原则 3

2.安全需求分析 4

2.1.符合等级保护的安全需求 4

2.1.1.等级保护框架设计 4

2.1.2.相应等级的安全技术要求 5

2.2.自身安全防护的安全需求 5

2.2.1.物理层安全需求 5

2.2.2.网络层安全需求 6

2.2.3.系统层安全需求 7

2.2.4.应用层安全需求 8

3.网络安全建设内容 8

3.1.边界隔离措施 10

3.1.1.下一代防火墙 10

3.1.2.入侵防御系统 12

3.1.3.流量控制系统 12

3.1.4.流量清洗系统 14

3.2.应用安全措施 14

3.2.1.WEB应用防火墙 14

3.2.2.上网行为管理系统 15

3.2.3.内网安全准入控制系统 16

3.3.安全运维措施 16

3.3.1.堡垒机 16

3.3.2.漏洞扫描系统 17

3.3.3.网站监控预警平台 18

3.3.4.网络防病毒系统 19

3.3.5.网络审计系统 20

1.前言

1.1.方案涉及范围

方案设计中的防护重点是学校中心机房的服务器区域，这些服务器承载了学校内部的所有业务系统，因此是需要重点防护的信息资产。

学校目前采取了数据大集中的模式，将所有的业务数据集中在中心机房，数据大集中模式将导致数据中心的安全风险也很集中，因此必须对中心机房服务器区域进行重点防护。

方案中还要对综合网管区域、数据存储区域、办公区域进行规划和设计，纳入到整体的安全防护体系内。

1.2.方案参考标准

本方案的主要规划的重点内容是网络安全防护体系，规划的防护对象以学校数据中心为主，规划的参考标准是等级保护，该方案的设计要点就是定级和保障技术的规划，针对教育部和省教育厅对等级保护的相关要求，本方案将主要参考以下的标准进行规划：

方案的建设思想方面，将严格按照湘教发【2011】33号文件关于印发《湖南省教育信息系统安全等级保护工作实施方案》的通知，该文件对计算机信息系统的等级化保护提出了建设要求，是我省今后一段时期内信息安全保障工作的纲领性文件，文件中对我省教育行业信息安全保障工作指出了总体思路。

系统定级方面：

参考《信息系统安全等级保护定级指南》，该指南适用于党政机关网络于信息系统，其中涉及国家秘密的网络与信息系统，按照国家有关保密规定执行，其他网络与信息系统定级工作参考本指南进行，本指南对定级工作的原则、职责分工、工作程序、定级要素和方法进行了描述，并对网络与信息系统提出了最低安全等级要求，高等职业学校应不低于最低安全等级要求。

在本项目中我们建议学校数据中心可按照二级的建设目标进行规划。

本方案参考的指南和标准具体见下表：

安全要素

遵循标准

指导思想

中办[2003]27号文件（《国家信息化领导小组关于加强信息安全保障工作的意见》）

等级保护

《信息系统安全等级保护定级指南》

《电子政务信息安全保障技术框架》

技术方面

GB18336信息技术安全技术信息技术安全性评估准则

信息安全技术信息系统安全等级保护基本要求（试用稿）

1.3.方案设计原则

学校数据中心安全体系的建设应遵循国家相关信息安全保障体系建设的总体原则，按照统一规划、统一标准、适度超前；分级、分阶段实施；互联互通、资源共享、安全保密；以需求为导向、以应用促发展的原则进行建设，本方案将严格遵从以下的建设原则：

重点保护原则

本次项目建设，属于学校信息安全保障体系的基础防护平台建设阶段，以基础性保障为准，同时对中心机房进行重点防护，根据《信息系统安全等级保护定级指南》，本方案针对重要的核心部位严格按照二级要求进行规划，确保重要的信息资产能够得到重点的防护，具备相当的抗攻击能力；

分布实施原则

数据中心建设的效果将直接影响学校的信息化建设，特别是安全保障体系的建设，因此在规划阶段必须通盘考虑，实施的时候可按照阶段进行分布实施，确保学校信息化建设，以及安全保障体系的建设能够有序开展，并且前期的工作能够为后期的建设打好基础，避免重复建设；

管理与技术并进的原则

学校数据中心是一个高技术的系统工程，要实现各业务系统的功能和性能，又要采取先进的安全技术，还要对已建立的系统实施有效的安全管理，在进行安全技术基础设施建设时应注意建立配套的运行管理机制和安全规章制度。

经济实用性原则

对学校数据中心安全体系设计时，既要考虑安全风险和需求，又要考虑系统建设的成本，在保证整体安全的前提下，尽可能的减少投资规模，压缩开支。

优化系统设计，合理进行系统配置，所采用的产品，要便于操作、实用高效。

标准化原则

技术的标准化是信息系统建设的基本要求，也是电子化和信息化的前提。

学校数据中心构成复杂、应用多种多样，为了保证信息的安全互通互连，确保安全保障体系建设的典型意义和全面推广应用价值，必须严格遵循国家和有关部门关于信息系统安全管理的规定及建设规范，按照统一的标准进行设计。

适度安全原则

任何信息系统都不能做到绝对的安全，学校数据中心也不例外。

因此，在安全体系设计时，要在安全需求、安全风险和安全成本之间进行平衡和折中，过多的安全要求必将造成安全成本的迅速增加和运行的复杂性。

统一规划原则

信息安全保障体系的建设必须适应其信息化的要求，必须兼顾核心业务和非核心业务的信息化需求，从安全技术保障、安全组织保障和安全运营保障等角度出发，为学校规划全面的信息安全保障体系。

2.安全需求分析

从安全建设的角度，本方案认为学校的安全建设来自两个方面，一是从符合国家政策的角度，需要按照公安部的相关标准，按照分级、分域的建设思路，进行总体的安全规划和设计；另外也需要从自身安全防护的角度，分析对抗外部恶意攻击、防范内部误操作行为、规避物理安全风险、强化安全管理等方面的建设需求。

具体内容如下：

2.1.符合等级保护的安全需求

2.1.1.等级保护框架设计

本方案中，针对学校数据中心，按照功能类型的方式进行区域的划分，根据信息资产重要性的差别，划分为服务器区域、办公区域、运维区域、数据存储区域等；各区域内设备类型的差别，以及对业务应用影响的区别，导致各个区域应该采用不同的安全防护要求。

其中，服务器区域内主要是各类应用服务器，包括数据库服务器、各类业务系统等，该区域是数据中心最重要的信息资产，必须重点进行防护。

运维区域内主要是目前已经采用的网络管理软件，包括运行网管软件的服务器和数据库系统，在本期项目建设中，还可以将一些软件的安全防护系统部署在该区域内，比如堡垒机、漏洞扫描系统等，其重要性仅次于服务器区域。

数据存储区域则是方案建议规划出的一个区域，作为综合网管区域的本地数据灾备中心，该区域主要部署了磁盘柜等存储设备，由于在物理上该区域与服务器区域紧密相连，因此其重要性也是比较高的；

办公区域：

包括学校的办公人员的桌面用机，该区域的设备遭到破坏后，对业务系统不会造成大面积的影响，因此重要性最低，但是该区域要做好防病毒、补丁管理、行为管理等方面，要防止该区域的设备被攻击者利用，作为进一步攻击其他区域的“跳板”；

2.1.2.相应等级的安全技术要求

综合参考《信息系统安全等级保护定级指南》，我们可将学校网络和信息系统划分为网络基础设施、业务处理平台和应用系统三个层次，其中，业务处理平台包括了本地计算区域和区域边界。

对服务器区域的安全防护机制按照二级的要求进行建设，对应用系统的安全防护机制按照二级的要求进行建设，其他区域可参考此标准，根据自身重要性的区别，适当调整技术要求。

2.2.自身安全防护的安全需求

从自身安全防护的角度，我们认为学校数据中心除了满足相关标准以外，还需要考虑物理、终端、边界、网络、系统和管理方面的安全风险，并由此产生了以下的安全需求。

2.2.1.物理层安全需求

保证网络信息系统各种设备的物理安全是保证整个网络信息系统安全的基础。

物理安全是保护计算机网络设备、设施以及其他介质免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

它主要包括三个方面：

环境安全：

对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》；

设备安全：

主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；

介质安全：

包括信息系统数据所依赖的存储介质和传输介质的安全，确保不会因为物理介质的故障导致信息数据受损；

2.2.2.网络层安全需求

网络是信息系统赖以存在的实体，离开了网络平台，信息的传递、业务的开展将无从依托，因此如何保障网络的安全，是构建学校数据中心系统安全架构的基础性工作，对于数据中心来讲，网络安全主要解决运行环境的安全问题，对应网络层安全威胁，网络安全主要的技术手段包括访问控制技术、加密传输技术、检测与响应技术等，对照学校数据中心的实际情况，我们看到其存在以下的安全需求：

访问控制需求

l防范非法用户的非法访问

非法用户的非法访问也就是黑客或间谍的攻击行为。

在没有任何防范措施的情况下，网络的安全主要是靠主机系统自身的安全，如用户名及口令字这些简单的控制。

但对于用户名及口令的保护方式，对有攻击目的的人而言，根本就不是一种障碍。

他们可以通过对网络上信息的监听，得到用户名及口令或者通过猜测用户及口令，这都将不是难事，而且可以说只要花费很少的时间。

因此，要采取一定的访问控制手段，防范来自非法用户的攻击，严格控制只有合法用户才能访问合法资源。

l防范合法用户的非授权访问

合法用户的非授权访问是指合法用户在没有得到许可的情况下访问了他本不该访问的资源。

一般来说，每个成员的主机系统中，有一部份信息是可以对外开放，而有些信息是要求保密或具有一定的隐私性。

外部用户（指来自外部网络的合法用户）被允许正常访问的一定的信息，但他同时通过一些手段越权访问了别人不允许他访问的信息，因此而造成他人的信息泄密。

所以，还得加密访问控制的机制，对服务及访问权限进行严格控制。

l防范假冒合法用户的非法访问

从管理上及实际需求上是要求合法用户可正常访问被许可的资源。

既然合法用户可以访问资源。

那么，入侵者便会在用户下班或关机的情况下，假冒合法用户的IP地址或用户名等资源进行非法访问。

因此，必需从访问控制上做到防止假冒而进行的非法访问。

入侵防御需求

防火墙是实现网络安全最基本、最经济、最有效的措施之一。

防火墙可以对所有的访问进行严格控制（允许、禁止、报警）。

但网络配置了防火墙却不一定安全，防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击。

因为网络安全是整体的，动态的，不是单一产品能够完全实现，所以确保网络更加安全必须配备入侵检测和响应系统，对透过防火墙的攻击进行检测并做相应反应（记录、报警、阻断）。

2.2.3.系统层安全需求

安全漏洞检测和修补需求

网络系统存在安全漏洞（如安全配置不严密等）和操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。

入侵者通常都是通过一些程序来探测网络中系统中存在的一些安全漏洞，然后通过发现的安全漏洞，采取相就技术进行攻击，因此，必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞，并采用相应的措施填补系统漏洞，对网络设备等存在的不安全配置重新进行安全配置。

安全加固需求

对关键的服务器主机系统进行安全加固，提供用户认证、访问控制和审计，严格控制用户对服务器系统的访问，禁止黑客利用系统的开口隐患和安全管理功能的不足之处进行非法访问，避免内部用户的滥用。

2.2.4.应