网络信息安全加固方案Word文件下载.docx

1、防火墙系统的不足主要有以下几个方面（略）2. 当前网络不具备针对 X攻击专项的检测及防护能力。 （略）3. 对正常网络访问行为导致的信息泄密事件、网络资源滥用行为等方面难以实现针 对内容、行为的监控管理及安全事件的追查取证。4. 当前XX业务平台仍缺乏针对网络内容及已经授权的正常内部网络访问行为的有 效监控技术手段，因此对正常网络访问行为导致的信息泄密事件、网络资源滥用 行为等方面难以实现针对内容、行为的监控管理及安全事件的追查取证。5. 随着XX业务平台自有门户网站的建设，Web应用已经为最普遍的信息展示和业务管理的接入方式和技术手段，正因为空前的流行，致使 75%以上的攻击都瞄准了网站We

2、b应用。这些攻击可能导致 XXX遭受声誉和经济损失，可能造成恶劣的社 会影响。当前增值业务平台主要面对如下 WEB应用方面的风险和威胁：1） 防火墙在阻止Web应用攻击时能力不足，无法检测及阻断隐藏在正常访问流 量内的WE应用层攻击；2） 对于已经上线运行的网站，用简单的方法修补漏洞需要付出过高的代价；3） 面对集团对于 WEBS用安全方面的的“合规检查”的压力。6. 随着信息安全的发展， XXXX集团在信息安全领域的管理制度也愈加规范和细化， 在网络、系统、应用等多方面提出了相应的安全要求、检查细项及考核办法，并已将信息安全工作纳入到日常运维工作中去。在近期发布的 XXXXX平台安全管理办法

3、（试行）、XXXX新建业务平台安全验收指引（试行） 等管理规范中，明确说明了增值业务平台需要建设 XXXX系统、XXXX系统对业务平台网络边界进行 防护，另外亦需要对系统漏洞、数据库漏洞、 WEBS用等方面提供安全防护。由此可见，业务平台当前缺乏相应的整体的安全监测及防护手段，无法满足上级主 管部门的管理要求。2.3 信息安全形势分析1. 系统漏洞仍旧是XXX网络面临的安全风险之一。据国家信息安全漏洞共享平台 （CNVD收录的漏洞统计，2011年发现涉及电信运营企业网络设备（如路由器、交换机等）的漏洞203个，其中高危漏洞73个；发现直接面向公众服务的零日 DNS漏洞23个, 应用广泛的域名解

4、析服务器软件 Bind9 漏洞 7 个。2. 拒绝服务攻击对XXX业务运营造成较大损害及破坏企业形象， 2011年发生的分布式拒绝服务攻击（DDoS事件中平均约有 7%勺事件涉及到基础电信运营企业的域名系 统或服务。2011年7月域名注册服务机构 XXXX的DNS服务器遭受DDoS攻击，导致其负责解 析的域名在部分地区无法解析。2011年8月，某XXXDNS艮务器也连续两次遭到拒绝服务攻击，造成局部用户无法正常使用互联网。3. 网站安全事件层出不穷，黑客利用 SQL注入、XSS脚本攻击等工具和技术手段进行网页篡改及信息窃取以非法获利，造成较大社会影响。在 CNCER接收的网络安全事件（不含漏洞

5、 ）中，网站安全类事件占到 61.7%；境内被篡改网站数量为 36612个，较2010 年增加 5.1%；4 月-12 月被植入网站后门的境内网站为 12513 个。4. 受控僵尸主机数目有增无减， 黑客利用受控主机进行信息窃取、 跳板类攻击等现象逐步增多。据抽样检测表明， 2011 年境外有近 4.7 万个 IP 地址作为木马或僵尸网络控 制服务器参与控制我国境内主机，其控制的境内主机数量由 2010年的近 500 万增加至近 890 万，呈现大规模化扩散趋势。2.4 XXX 安全事件1. 系统及主机漏洞利用类：XX网相册漏洞利用：X网相册存在上传漏洞， 被国家安全人员上传恶意文件获取系统

6、root 权限，该事件曾上报至副总理及政治局常委处，影响程度深、影 响范围广；充值系统漏洞利用：某黑客组织利用 XXX充值卡系统漏洞，使用网络渗透手段、 黑客工具等方法计算出充值卡号进行出售， 造成未售出的充值卡已被充值使用 或手机免费充值的情况； 话费系统漏洞利用：利用系统漏洞入侵话费系统，篡改话费信息；网厅、积分商城WEB用漏洞攻击：利用网站漏洞入侵 XXX网站，获取客户信 息、冒充客户进行业务订阅或修改客户积分，达到非法获利的目的。2. 木马及病毒传播类：内部办公主机被控：某XXX被发现其内部计算机被境外人员通 过木马方式控制， 同时该计算机向内部网络扩散蠕虫病毒， 可窃取计算机硬盘文件

7、、 重要账号等关键数据。3. 网页篡改类：XXXX网站曾多次发现主页被篡改，植入广告及其他恶意内容，使其 变成非法信息传播的平台，影响企业形象，并对业务平台运行带来安全隐患。4. 分布式拒绝服务（DDoS攻击类：XX网站曾发现遭受 DDoS拒绝服务攻击，造成其 视频业务受损，客户反响强烈。三、安全解决方案随着XX业务平台提供的服务不断增加，IT架构与系统也变得更复杂，安全体系也应随 需而变。在多年不断研究和实践的基础上，我们提出了全新的安全体系框架。关诞康功国索砂层批准 环门缺3 协淌沟通定期梅育独立审计内咅师若外:M5U安全体系为安全战略服务，我们设计的安全体系包含安全组织体系、 安全管理体

8、系、安全技术体系。在安全组织体系中，要建立组织、明确职责、提高人员安全技能、重视雇用期间的 安全、要与绩效结合；在安全管理体系中，以安全策略为主线， 落实安全制度和流程，对记录存档。我们 从最佳安全实践出发， 将安全管理体系中的过程动态化、 持续化，包含风险评估程序、安全工作计划、安全项目管理、运行维护监控、安全审计程序、持续改进计划 等，真正与XXX增值业务平台安全建设和安全保障过程结合起来；在安全技术体系中，将多种安全技术相结合， 包含准备、预防、检测、保护、响应、 监控、评价等。面对不断出现的新兴威胁，需要多种安全技术的协调与融合。安全体系像是企业/组织的免疫系统，体系的不断完善、组织/

9、人员的尽职尽责、全员的风险预警意识，才能真正做到主动管理风险。针对业务平台存在的种种安全风险及威胁的现状，我们提出如下解决方案：从安全技术体系角度出发， 建立起运维审计管理体系和安全检测及防护体系， 利用“预警、检测、防护、响应”的风险管理安全方法，指导业务平台系统完成安全技术体系的建设。从安全组织体系和安全管理体系角度出发， 建立起完善的组织架构、管理办法以及 工作计划，根据 PDCA流程的管理要求，完善业务平台安全管理体系和组织体系的 建设和优化。3.1安全运维管理及审计体系安全运维管理及审计体系主要面对上级主管部门要求的周期性主动安全检查工作和内网安全审计两方面工作内容，从事前预防和事后

10、审计两个角度实现安全运维工作计划和安全 管理规范的落地。在“事前”阶段，对各业务平台系统配置规范、 自身漏洞管理两个方面提供相应检查的技术手段，避免由于配置不规范或漏洞存在而被恶意利用的风险， 同时满足上级单位对于基线安全达标的规范要求；在“事后”阶段，对各业务系统运维行为、数据库操作行为、第三方人员网络应用行为进行安全审计，全面记录网络系统中的各种会话和事件， 实现对网络信息的智能关联分析、评估及安全事件的准确定位，为事后追查及整体网络安全策略的制定 提供权威可靠的支持，同时满足上级单位对于安全审计方面的规范要求。3.2安全检测及防护体系安全检测及防护体系主要面对业务系统当前存在的风险和威胁

11、， 完成“事中”阶段业务系统被动安全检测及防护的工作内容，主要包括以下几方面内容：骨干层网络XXXX系统的建设，对由外部网络向内部业务系统的网络入侵行为实现 实时监测，为后续防护策略细粒度的制定及安全事件应急处理给出准确的指导意见； 各业务平台内部入侵防护系统建设， 对内部各业务系统之间的网络入侵、 蠕虫病毒、木马等方面进行实时监测及防护，实现各业务系统内部信息安全防护；针对已部署Portal门户服务器，可对外提供WEE应用服务的业务系统实现专项 WEB应用安全防护。3.3安全技术体系整体建设方案根据当前安全形势、上级单位的管理要求及网络现状的分析， 我们提出如下整体安全建设方案，主要关注安全

12、运维管理及审计体系建设及安全检测机防护体系建设两个方面的内容，以满足前文所述的“事前”、“事中”、“事后”的全周期整体网络安全防护需求。安全产品整体部署示意图3.3.1安全运维管理及审计体系建设3.3.1.1安全运维管理体系针对增值业务平台整体平面提供安全运维管理的技术手段， 在骨干层汇聚交换机处部署远程安全评估系统和配置核查系统，在保证IP可达的前提条件下，实现对网络中各服务器、 网络设备、终端进行漏洞管理和配置规范检查的工作， 在业务系统上线之前或日常运维过程中，提前发现系统内存在的配置错误或系统漏洞， 避免网络存在可供利用的安全隐患， 满足上级单位文提出的基线达标的技术要求以及实现新业务

13、系统上线安全验收标准的落实。3.3.1.2安全审计体系针对各增值业务平台分别提供细粒度的安全审计技术手段， 在各业务平台内部组网交换机处，利用流量镜像方式将网络流量发送到安全审计设备处， 安全审计设备完成包括数据库操作行为、第三方人员网络应用行为等在内的常见内网应用进行检测、 记录及告警上报的工作，满足上级单位安全管理规范中对安全审计方面的具体要求。3.3.2安全检测及防护体系建设3.3.2.1骨干层安全检测及防护体系在骨干层部署入侵检测系统，对缓冲区溢出、 SQL注入、暴力猜测、DDoS攻击、扫描探测等常见外网恶意入侵行为进行检测及上报， 满足上级单位对于边界防护的具体技术要求；UDP FL

14、OOD ICMP FLOOD CG HTTP GET等常见链路带宽型、资源耗尽型和应用层DDoS攻击实现专项防护，保护应用系统正在运行的安全。3.3.2.2 各业务系统细粒度安全检测及防护体系在部署有Web应用服务器的业务系统内部，串联透明部署Web防火墙系统，实现对 Web应用服务器的贴身式安全防护，有效阻止恶意人员通过 SQL注入、XSS脚本、CSRF等等常见的 WEB用攻击手段来获取系统权限、窃取机密信息、传播木马病 毒等行为；对于存在内部信息交互需求的业务系统之间， 通过串联方式部署入侵防护系统， 提 供细粒度的内网入侵检测及防护能力， 解决当前面临的对于例如内网蠕虫爆发、 木 马传播

15、等安全事件缺乏有效检测手段的安全隐患。3.4 本期项目建设建议方案根据上级单位管理规范要求、 当前信息安全形势以及业务平台当前安全风险及事件的分 析，结合我们在安全技术体系建设的研究经验，建议本期项目完成如下工作内容：为了实现系统对网络恶意入侵、 端口扫描、 内网病毒等攻击进行实时监测及上报的 功能，本期建议部署入侵检测系统。为了解决当前常见的大流量 DDoS拒绝服务攻击的安全问题，保障业务平台持续、 稳定的提供服务，本期建议部署 DDoS拒绝服务攻击专项防护系统。为了实现针对WEB用常见的类似SQL注入、XSS跨站脚本等攻击手段进行实时防 护的功能，本期建议部署 WE应用防护系统。3.4.1

16、 安全产品部署拓扑图0Q日志X：Wet应用防护系统XX咬扌Q管理志t.数据库应用防护系统-2fit日志管理流量清洗系统安全产品部署示意图本期项目在XX交换机与XX XX XX网络间新增入侵检测系统一套。 首先需将原有业务链路按比例进行分光放大， 然后接入入侵检测系统中， 从增值业务平台整体角度对安全威胁进行实时监控及检测上报。本期项目在XX交换机处新增流量清洗系统一套， 通过旁路部署方式接入至网络中，规避单点故障引入的安全风险。当检测到 DDoS拒绝服务攻击时，利用流量清洗系统内置的专业检测及处理模块，在增值业务平台整体汇聚层面上即完成 DDoS巨绝服务攻击流量的清洗工作， 避免攻击流量传递到

17、各平台内部， 保障增值业务平台系统所承载的业务免受 DDoS拒绝服务攻击所影响。本期项目在XX和XX汇聚交换机之间新建两套 Web应用防护系统，通过 Bypass光 交换机透明串联部署在网络中， 针对增值业务平台中提供 Web应用服务的平台提供专项安全防护。既满足了业务平台整体 WEE应用安全防护的需求，同时通过光路Bypass功能也规避了串联安全防护设备所面临的单点故障引入的安全风险。342信号流程入侵检测信号流将网络流量通过分光方式传送到入侵检测系统， 完成包括应用层漏洞攻击、缓冲区溢出、端口扫描等网络入侵攻击行为的实时检测及上报工作。抗拒绝服务信号流在检测到DDoS攻击后，并非采取简单的

18、阻断手段进行处理，而是将正常网络 流量与DDoS攻击流量通过BGP OSPF静态路由等相应路由协议共同牵引至 抗拒绝服务攻击系统进行专项流量清洗处理工作， 再将处理后的正常网络流量回注至增值业务平台网络内部，在保障 DDoS攻击流量被清洗掉的同时，亦可满足正常网络流量的通过要求。WE应用攻击防护信号流随着WE应用的愈加广泛与复杂，正常WE应用行为与利用 WEB进行的恶意攻 击行为混杂在一起，传统防火墙等防护手段对此束手无策。 而当信号流经过串联部署的WEB用防护系统处理后，正常 WEB用流被允许通过，WEB用恶 意攻击行为被实时拦截，可有效保护 WE呢用服务器的安全。3.5产品列表产品名称产品

19、功能型号数目入侵检测系统对网络恶意入侵、端口扫描、内网病 毒等攻击进行实时监测1异常流量清洗系统对常见网络层 DDoS和应用层DDoS攻 击进行实时防护，清洗异常流量，保 障正常流量通过。WE应用防火墙通过行为模式分析，协议还原等手段对WEB用常见的类似 SQL注入、XSS 跨站脚本攻击等 OWASP TOP1攻击手 段进行实时防护23.6方案总结经过以上本期信息安全防护体系的部署及实施， XXX 公司增值业务平台整体安全性得到全面的提升，完成了核心骨干层及 WEB用层网络的安全检测及防护体系的建设工作， 包括如防DDoS攻击、入侵检测、 Web应用安全防护等方面的具体工作内容，有效抵御当前业务 平台面临的安全风险及威胁，同时满足是上级主管部门对于业务平台的相关安全管理规范和 检查要求，为业务平台安全稳定的运行保驾护航。四、XXXX产品功能简介4.1 产品简介4.1.1XXXX 入侵检测产品4.1.2XXX WEB应用防火墙4.1.3XXXX%拒绝服务攻击系统4.2产品优势五、 附录：公司介绍欢迎您的下载，资料仅供参考!致力为企业和个人提供合同协议， 策划案计划书，学习资料等等打造全网一站式需求