电子政务网络安全体系建设研究

1、电子政务网络平安体系建设研究李森1.2李陶深1洪茹2(1. 广西大学计算机与电子信息学院,广西南宁,530004; 2. 广西互联网络中心,南宁 530022摘要:电子政务的网络平安问题是电子政务正常运行的根本前提,也是推进电子政务开展亟待解决的问题。本文在分析电子政务特点、平安风险及平安需求的根底上,阐述了电子政务网络平安体系的实现。关键词:电子政务;网络平安;网络平安体系Research on Construction of E-government Network Security SystemLi Sen1.2 Li Taoshen1 Hong Ru2(1. School of com

2、puter , Electronics and Information, Guangxi University, Nanning530004,China; 2. Guangxi Internet Network Center, Nanning 530022, China;Abstract:The network security problem of E-government is the basic premise of E-governments normal operation. It is also a problem in urgent need of solving so as t

3、o promote the development of E-government. The paper sets forth the realization of E-government network security system, which based on the analysis of the E-governments characteristic, the risk of security and the requirement of security.Key words: E-government, network security, network security s

4、ystem电子政务网络平安体系建设是电子政务开展的切实需要,随着我国电子政务建设的推进,很多应用系统急需网络平安根底设施的支持。由于电子政务涉及到国家的平安机密信息,它比个人或商务信息更重要,需要更高的平安性;同时电子政务必须要与民众交流,需要一定的开放性。故电子政务网络平安建设需考虑不同平安层次、不同部门的大规模、复杂交互应用,确保信息的机密性、真实性、可用性和可控性。1. 电子政务平安风险分析信息平安风险分析的思路是划分物理层、网络层、系统层、应用层、管理层等不同的层次,将人、系统和操作等因素综合在一起进行风险分析。归纳起来讲,存在如下平安风险:(1物理平安风险网络物理平安是整个网络系统平

5、安的前提。物理平安的风险包括:地震、水灾、火灾等环境事故造成整个系统消灭;电源故障造成设备断电以至操作系统引导失败或数据库信息丧失;设备被盗、被毁造成数据丧失或信息泄漏;电磁辐射可能造成数据信息被窃取或偷阅。(2链路传输风险入侵者在传输线路上安装窃听装置,窃取用户在网上传输的重要数据,再通过一些技术读出数据信息,造成泄密或者做一些篡改来破坏数据的完整性。(3结构平安风险网络结构规划不合理将增大网络平安的风险。比方,易感染病毒的主机与受保护主机在同一子网;脆弱主机与受保护主机处于同一子网;象关键的效劳器设备是要求特别关心的,需要重点保护。如果把它与其它办公网处于同一子网,那么就很容易受非法、非授

6、权的访问。网络结构规划的好坏将直接影响网络平安风险的大小。(4系统平安风险所谓系统平安通常是指网络设备操作系统、网络效劳器操作系统、网络应用系统的平安。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统,系统本身大多存在平安漏洞。这些平安漏洞都将存在重大平安隐患。但是从实际应用上,系统的平安程度和对其进行平安配置及系统的应用面有很大关系,操作系统如果没有采用相应的平安配置,那么其是漏洞百出,掌握一般攻击技术的人都可能入侵得手。如果进行平安配置,比方,填补平安漏洞,关闭一些不常用的效劳,禁止开放一些不常用而又比拟敏感的端口等,那么入侵者要成功进

7、入内部网是不容易,这需要相当高的技术水平及相当长时间。因此应正确估价自己的网络风险并根据自己的网络风险大小做出相应的平安解决方案。(5应用平安风险应用系统的平安涉及很多方面。应用系统是动态的、不断变化的。应用的平安性也是动态的。这就需要我们对不同的应用,检测平安漏洞,采取相应的平安措施,降低应用的平安风险。(6资源共享风险网络系统内部办公网络可能存在的风险包括:员工有意、无意把硬盘中重要信息目录共享,因为缺少必要的访问控制策略,长期暴露在网络邻居上,可能被外部人员轻易偷取或者被内部其他员工窃取并传播出去造成泄密。(7电子邮件风险电子邮件为政务外网系统用户提供电子邮件应用。内部网用户通过拔号或其

8、它方式进行电子邮件发送和接收,这就存在被黑客跟踪或收到一些特洛伊木马、病毒程序等,由于许多用户平安意识比拟淡薄,对一些来历不明的邮件,没有警惕性,给入侵者提供时机,给系统带来不平安因素。(8病毒侵害风险网络是病毒传播的最好、最快的途径之一。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。曾经的CIH、爱虫病毒、蒙娜丽莎等都令世人震惊。因此,病毒的危害的不可以轻视的。网络中一旦有一台主机受病毒感染,那么病毒程序就完全可能在极短的时间内迅速扩散,传播到网络上的所有主机。病毒侵害可能造成的结果:干扰系统的正常运行。如在计算机屏幕上出现各种画面,影响操作人员的视线

9、。修改系统引导文件,造成系统不能正常启动;或者修改应用程序的运行参数导致应用系统无法正常运行,影响正常的效劳。删除计算机上的文件,可能导致网络系统中重要信息丧失,严重得可能导致整个计算机系统甚至网络系统瘫痪。(9数据信息风险数据平安对于任何一个受保护的网络系统而言尤其重要,数据在广域网线路上传输,很难保证在传输过程中不被非法窃取,篡改。现今很多先进技术,黑客或者工业间谍会通过一些手段,设法在线路上做些手脚,获得在网上传输的数据信息,也就造成泄密。因此,根据系统的平安级别,为了确保信息从发起端到接收端的整个过程的平安性,配备加密设备,对传输信息进行加密。并对到达目的地的数据进行完整性鉴别,确保数

10、据没有被非法篡改或者重放攻击。(10管理平安风险内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。机房重地却是任何人都可以进出。存有恶意的入侵者便有时机得到入侵的条件。内部不满的员工有的可能熟悉效劳器、小程序、脚本和系统的弱点。利用网络开些小玩笑,甚至破坏。如传出至关重要的信息、错误地进入数据库、删除数据等等。这些都将给网络造成极大的平安风险。管理是网络中平安得到保证的重要组成局部,是防止来自内部网络入侵必须的局部。责权不明,管理混乱、平安管理制度不健全及缺乏可操作性等都可能引起管理平安的风险。即除了从技术上下功夫外,还得依靠平安管理来实现。

11、(11黑客攻击风险黑客通过DoS/DDoS攻击、恶意程序、木马、间谍软件、暴力破解等层出不穷的手段破坏正常的网络效劳、窃取机密信息、酿造恶劣影响事件等。2. 电子政务平安需求平安需求可以从管理层、物理层、网络层、系统层、应用层等方面加以分析。在平安管理方面,要考虑政策、法规、制度、管理权限、级别划分、平安域划分、责任认定、平安培训等,制定切实有效的管理制度和运行维护机制;建设支撑平安管理的技术支撑体系;在物理平安方面,要根据实际情况建立相应的平安防护机制;在网络平安方面,要解决政务外网与互联网的逻辑隔离;对各个平安域,要防范黑客入侵、身份冒充、非法访问;要解决信息在平安域间传输时的完整性、可用

12、性、保密性问题;要解决移动接入用户身份鉴别和平安传输等问题;在系统平安方面,要解决操作系统平安、数据库平安、病毒及恶意代码防范等问题;从应用平安平安需求进行分析,要实现全网统一的身份鉴别和授权访问机制;要解决重要终端用户敏感信息和数据的完整性、可用性、保密性问题,数据的访问控制等问题。通过上面的分析,已经可以清楚地了解到政务外网面临怎样的平安风险和威胁以及对应解决的途径。3. 电子政务平安策略(1保障电子政务网与互联网之间连接与交换的平安将成为电子政务平安体系建设的重要内容。一方面要强化审计,监控电子政务网与互联网的信息交换;另一方面要保障电子政务网自身平安防护体系的健全,防范内部攻击。(2利

13、用PKI、PMI、密码等技术建立电子政务网信任体系和授权管理体系,保障电子政务网中信息传输和应用的平安。(3通过建立电子政务网网络平安管理中心,建立一支平安系统运行维护和应急支援技术队伍,加强平安管理和实现有效监控。(4在电子政务网的建设中,严格遵循国家法规,选购和使用经国家批准的平安设备与技术。4. 电子政务平安域划分在平安域划分时应该遵循以下的一些根本原那么:(1根据系统中各设备所承当的工作角色和对平安方面要求的不同进行划分;在划分的同时有针对性的考虑平安产品的部署。从网络构架层面来讲,系统局域网整体结构平安域的划分是与平安产品的部署密不可分的,一方面平安域的划分为平安产品的部署提供了一个

14、健康标准灵活的网络环境;另一方面,将平安域划分为域内划分和域外划分两种,域和域之间主要采用通过交换设备划分VLAN和防火墙来彼此策略隔离;在域内主要根据不同被保护对象的平安需求采用部署AAA、IDS和防病毒系统等来完成,因此,平安域的划分不能脱离平安产品的部署。(2平安域的个数不应过多,否那么在策略设置上过于复杂,会给今后管理带来很大不便。(3平安域划分的目的是发挥平安产品的整体效能,并不是对原有局域网整体结构的彻底颠覆。因此在对局域网结构改造的同时需要考虑保护已有投资,防止重复投入与建设。在平安体系设计中,将对不同的平安域采取不同的平安等级保护措施。按如下方式划分6个平安域:互联网出口区互联

15、网效劳区骨干网核心交换区RA区网络管理中心区接入节点单位网络5. 电子政务平安等级保护按照国家标准,电子政务网网络管理中心至少要到达第三级(监督保护级的要求。接入节点单位接入网络至少到达第二级的要求。6. 电子政务网络平安体系(1物理层平安(环境平安、设备平安、介质平安物理层平安主要利用已有的平安资源加以整合(如机房设施、存储设备等。(2网络层平安网络层平安一方面要考虑城域网的接入用户与网络管理中心的网络接入平安,主要采用第三层VPN接入认证系统予以实现,并利用基于PKI技术实现设备管理和认证。同时,应重点考虑实现电子政务网与因特网的逻辑隔离。采用防火墙、网络入侵检测、抗拒效劳攻击系统、非法外

16、联监控、实时监控系统(网络审计系统等技术和手段,按照政务外网与互联网联接的原那么,对电子政务网与因特网联接的出口严格控制,统一管理。(3系统层平安系统层主要考虑采用漏洞扫描技术,对系统中的漏洞进行定期的检测和及时的修补。采用操作系统和数据库平安加固等技术对关键业务主机(如门户系统、电子邮件系统、数据库系统实现系统层的加固保护。(4应用层平安应用层考虑的重点主要是邮件系统和主机防病毒。防病毒必须与日常管理相结合。在管理上应制定一套有关的规章制度,供政务外网的用户共同遵守。从日常管理上堵住病毒流入和导出的途径。在技术上采用设置防病毒网关和配置网络防病毒软件相结合的方式,及时将病毒去除或者阻断。整个

17、电子政务外网网络病毒防治体系应统一策略管理、统一病毒特征码升级,形成一个统一的整体。实现基于CA的身份认证和集中授权管理以及访问控制、设置审计系统对平安事件进行记录和分析、提供数据加密和密钥平安管理的效劳、通过平安认证实现电子政务网中的业务应用系统与因特网之间的平安数据交换。根据平安域划分和系统多层次防护,可得出如下的电子政务网络平安防护体系示意图: 网络平安防护体系部署了下面一系列平安产品:防火墙系统支持正反向代理技术的防火墙做为电子政务网与因特网实现逻辑隔离的技术手段。防火墙可以实现以下根本功能:网络层访问控制:从因特网进入的访问请求只能访问防火墙开放的端口和效劳。支持正向和反向代理,防火

18、墙作为内部对外的访问的代理,使用内部网络的IP地址不暴露在因特网。应用层的访问控制:通过对应用层协议的分析,实现应用层的访问控制。防止IP地址欺骗:通过对防火墙的端口进行限制,可以有效防止黑客利用IP地址欺骗的方法从因特网访问政务外网网络。日志平安审计:防火墙能对进出网络的访问行为做记录,为网络访问行为的分析和事故审查提供依据。入侵防御系统采用入侵防御系统可以实现从数据链路层到应用层的数据报文检测与分析的能力,实时阻断恶意网络流量的攻击与破坏,如阻止各种针对系统漏洞的攻击,屏蔽蠕虫、病毒和间谍软件,防御DOS及DDOS攻击,阻断或限制P2P应用等,从而到达对电子政务网网络根底措施的保护、应用的

19、保护和网络性能的保护。VPN网关和平安认证网关实现面向移动用户和不同网络平安域之间的可信接入与传输的关键就是基于PKI认证机制并与第三层VPN技术相结合,为移动用户、不同网络平安域中需要跨域联接的用户和不同网络平安域相互联接的网络设备提供可信接入和数据加密效劳。其中包括在网络管理中心可利用VPN接入网关构建第三层VPN通道,采用国家主管部门批准的对称加密算法对敏感数据进行加密,利用电子证书对人员和设备的身份进行认证,构建一个端对端的加密平安通道,实现不同网络平安域之间的可信接入和传输。各接入单位和个人主要采用如下三种模式:客户透明模式:由各接入单位同样购置接入认证网关,发起IPSec隧道。这种

20、方式主要用于单位的整个网络的接入。客户启动模式:由终端实体安装桌面平安套件,发起VPN呼叫,建立IPSec隧道。通过认证实现网络接入。这种方式主要用于个人用户和单个终端的移动接入。净荷加密方式:不对IP报文头加密,直接对数据局部进行加密处理,可以穿透应用层的代理效劳器。这种方式主要用于网络内设置了代理效劳器的接入单位。建立基于PKI技术的平安认证网关,实现基于CA的身份认证,与授权管理系统相结合,实现网络访问的集中授权管理、访问控制以及用户行为审计。原那么上,由平安认证网关负责对用户进行联网访问的根本授权,各业务应用系统负责对用户进行各种业务操作的应用授权。平安审计网络平安审计不是“日志记录等

21、浅层次的平安审计概念,是全方位、分布式、多层次的强审计概念,真正全面实现CC国际标准的平安审计功能要求。电子政务系统中需要重点审计的几个方面网络通信系统:主要包括对网络流量中典型协议分析、识别、判断和记录、Telnet、HTTP、Email、FTP、网上聊天、文件共享等的入侵检测;还包括流量监测以及对异常流量的识别和报警、网络设备运行的监测等。重要效劳器主机操作系统:主要包括系统启动、运行情况、管理员登录、操作情况、系统配置更改(如注册表、配置文件、用户系统等以及病毒或蠕虫感染、资源消耗情况的审计;硬盘、CPU、内存、网络负载、进程、操作系统平安日志、系统内部事件、对重要文件的访问等的审计。重要效劳器主机应用平台软件:主要包括重要应用平台进程的运行、Web Server、Mail Server、Lotus、Exchange Server、中间件系统、健康状况(相应时间等等的审计。应用软件直接操作数据库的违规访问行为、对数据库配置的更改、数据备份操作和其他维护管理操作、对重要数据的访问和更改、数据完整性等的审计。重要应用系统的审计:主要包括办公自动化系统、公文流转和操作、网页完整性、相关政务业务系统等的审计。其中相关