安全解决方案

目录1.本章导读61.1.文档目的61.2.文档范围61.3.使用对象62.方案背景63.平安风险分析73.1.网络平安分析73.2.物理平安分析73.3.主机系统平安分析73.4.应用系统平安分析73.5.管理平安分析74.总体建议85.平安体系设计方案85.1.网络平安设计85.1.1.内部网络平安建设85.1.2.外部网络平安建设95.1.3.病毒防护建设105.2.物理平安设计105.2.1.物理位置的选择105.2.2.物理访问控制115.2.3.防盗窃和防破坏115.2.4.防雷击115.2.5.防火115.2.6.防水和防潮115.2.7.防静电115.2.8.温湿度控制125.2.9.电力供给125.2.10.电磁防护125.3.主机系统平安设计125.3.1.身份鉴别125.3.2.平安标记125.3.3.访问控制135.3.4.可信路径135.3.5.平安审计135.3.6.剩余信息保护135.3.7.入侵防范135.3.8.恶意代码防范135.3.9.资源控制145.4.应用系统平安设计145.4.1.系统级平安控制145.4.2.数据传输平安控制145.4.3.资源访问平安控制155.4.4.系统分级保护控制165.4.5.功能操作的平安控制175.4.6.平安审计控制175.5.管理平安设计17方案背景以Internet为代表的信息网络技术应用正日益普及和广泛，应用领域从传统小型业务系统逐渐向大型关键业务系统扩展，典型的例如党政部门信息系统、金融业务系统、企业商务系统等。网络平安已经成为影响网络效能重要的问题，而Internet所具有的开放性、自由性和国际性在增加应用自由度的时候，对平安提出了更高级的要求。一般来说，网络平安由信息平安和控制平安两局部组成。信息平安指信息的完整性、可用性、保密性和可靠性；控制平安那么指身份认证、不可否认性、授权和访问控制。互联网的开放性、分散性和交互性特征为信息交流、信息共享、信息效劳创造了理想空间，网络技术迅速的开展和广泛的应用，为人类社会进步提供了巨大推动力。然而，正是由于互联网的特性，产生了信息污染、信息泄漏、信息不易受控等诸多平安问题。目前，我国网络平安存在的主要问题有：1.计算机系统遭受病毒感染和破坏的情况相当严重。据国家计算机病毒应急处理中心数据看，从国家计算机病毒应急处理中心日常监测结果看来，计算机病毒呈现出异常活泼的态势。2.电脑黑客活动己形成重要威胁。网络信息系统具有致命的脆弱性、易受攻击性和开放性，从国内情况来看，目前我国95%与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入。3.信息根底设施面临网络平安的挑战。面对信息平安的严峻形势，我国的网络平安系统在预测、反响、防范和恢复能力方面存在许多薄弱环节。据英国《简氏战略报告》和其它网络组织对各国信息防护能力的评估，我国被列入防护能力最低的国家之一，不仅大大低于美国、俄罗斯和以色列等信息平安强国，而且排在印度、韩国之后。近年来，国内与网络有关的各类违法行为以每年30%的速度递增。网络环境的多变性、复杂性，以及信息系统的脆弱性，决定了网络平安威胁的客观存在。我国日益开放并且走向世界，建立保护屏障和加强平安监管不可缺少。近年来，随着网络平安事件的发生，人们越来越清楚的意识到，信息时代所引发的信息平安问题涉及到人们生活的方方面面。因此可以说，在信息化社会里，信息平安的重要性再怎么强调也不过分。平安风险分析网络平安分析该层次的平安问题主要表达在网络方面的平安性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的平安，域名系统的平安，路由系统的平安，入侵检测的手段，网络设施防病毒等。物理平安分析该层次的平安包括通信线路的平安，物理设备的平安，机房的平安等。物理层的平安主要表达在通信线路的可靠性〔线路备份、网管软件、传输介质〕，软硬件设备平安性〔替换设备、拆卸设备、增加设备〕，设备的备份，防灾害能力、防干扰能力，设备的运行环境〔温度、湿度、烟尘〕，不间断电源保障等等。主机系统平安分析该层次的平安问题来自包括效劳器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的平安，如windowsxp、Windows2003、linux、unix等。主要表现在三方面，一是操作系统本身的缺陷带来的不平安因素，主要包括身份认证、访问控制、系统漏洞等。二是对操作系统的平安配置问题。三是病毒对操作系统的威胁。应用系统平安分析该层次的平安问题主要由提供效劳所采用的应用软件和数据的平安性产生，包括Web效劳、电子邮件系统、DNS等。此外，还包括病毒对系统的威胁。管理平安分析平安管理包括平安技术和设备的管理、平安管理制度、部门与人员的组织规那么等。管理的制度化极大程度地影响着整个网络的平安，严格的平安管理制度、明确的部门平安职责划分、合理的人员角色配置都可以在很大程度上降低其它层次的平安漏洞。总体建议从网络平安、物理平安、操作系统、应用系统以及管理平安五个方面建立平安保障体系。平安体系设计方案网络平安设计内部网络平安建设针对局域网采取平安措施由于局域网采用的是以播送为技术根底的以太网，任何两个节点之间的通信数据包不仅为这两个节点的网卡所接收，也同时为处在同一以太网上的任何一个节点的网卡所截取。因此，只要对接入以太网的任意一个节点进行监听，就可以捕获发生在整个以太网的所有数据包，并能对其进行解包分析。从而窃取关键的信息。这就是局域网固有的平安隐患。网络分段由于局域网采用以交换机为中心、路由器为边界、防火墙为路障的网络格局，又基于中心交换机的访问控制功能和三层交换功能，综合应用物理分段与逻辑分段两种方法来实现对局域网的平安控制，其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法监听。以交换式集线器替代共享式集线器由于局部网络最终用户的接入是通过分支集线器而不是交换机，而使用最广泛的分支集线器通常是共享式集线器。当用户与主机进行数据通信时，两台机器之间的数据包还是会被同一台集线器上的其他用户所监听。例如一种危险的情况：用户telnet到一台主机上，由于telnet程序本身缺少加密功能，用户所键入的每一个字符〔包括用户名、密码、关键配置等〕都会被明文发送，这就是一个很大的平安隐患。如果采用交换式集线器，使单播包仅在两个节点之间传送，从而防止非法监听。VLAN的划分目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址道的VLAN和基于应用协议的VLAN。基于交换机端口的VLAN目前在实际中使用较多。技术比拟成熟且效果显著。在集中式网络环境下，我们是将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许添加任何用户的节点，从而较好地保护敏感的主机资源。在分布式网络环境下，我们按机构或部门的设置划分VLAN。各部门内部的所有效劳器和用户节点都在各自的VLAN里，互不干扰。VLAN内部的连接采用交换实现，而VLAN与VLAN之间的连接那么采用路由实现。外部网络平安建设由于外网采用公网来进行数据传输，信息在外网上传输时被截取和利用的概率比局域网要大得多。在单位的众多应用系统上，可能会存在无线网络、远程访问、远程的数据处理等功能方面的应用，因此必须采取必要的手段使得外网上的发送和接收信息时能够保证：除了发送方和接收方外，其他人是无法得悉的〔隐私性〕传输过程中不被篡改〔真实性〕发送方能确定接收方不是假冒的〔非伪装性〕发送方不能否认自己的发送行为〔不可抵赖性〕为到达以上的目的，可以采取如下几个方面的措施。加密技术应用加密技术的根本思想是不依赖于网络中数据通道的平安性来实现网络系统的平安。而是通过对网络数据的加密来保障网络的平安可靠性。数据加密技术可以分为三类，即对称型加密、不对称型加密和不可逆加密。VPN技术应用VPN技术的核心是采用隧道技术，将企业专用网的数据加密封装后，通过虚拟的公网隧道进行传输，从而防止敏感数据被窃取。企业通过公网建立VPN，就如同通过自己的专用网建立内部网一样，享有较高的平安性、优先性、可靠性和可管理性。对于需要进行远程访问的用户，采用VPN技术是最正确的选择。防火墙在单位的网络出口和入口设计基于防火墙防护的技术，进行内网的别离，构建信任区、非信任区、DMZ区、效劳器区、用户区。通过防火墙控制访问的业务，对于非信任区，将不允许任何未授权的用户、未经授权的数据、未经授权的地址进入。通过防火墙技术控制效劳器的业务，对于为我们提供业务的效劳器，所提供的效劳总是表现在数据库、mail、web、ftp等制定的业务，针对这些业务，结合系统平安和应用平安及本单位的业务现状，进行合理的配置，关闭有些不对外效劳的业务，保证效劳器的平安性。流量控制根据单位业务的需要，可以定义出每个用户、每个对象在单位网络中可以分配的网络带宽，将最大的带宽用户单位最重要的业务需要。可以定义基于协议的流量控制，为单一的对象、为一个组的对象定义最大流量和最小流量。病毒防护建设加强病毒防范。包括建立病毒防护制度和普及病毒防护知识；对病毒采取合理的技术防护措施。为到达从技术上防护病毒的目的，必须在技术配置之前作好防病毒资源的准备工作，其中尤为重要的是杀毒软件〔单机版、网络版〕、预防病毒产品的购置和病毒特征库的准备。在单位的应用效劳器上中，部署基于windows或者linux的网络杀毒软件，并在内网中设置一台电脑专门用来运行杀毒软件的效劳器端程序用来对内网的效劳器进行病毒监控，同时，采用国外先进杀毒技术和最新病毒库。内部网络防病毒系统可以与外部邮件防病毒网关结合，统一管理和控制，同时提供外部邮件防病毒网关的病毒库及查杀引擎的升级效劳，形成点防御与面防御相结合的网络防病毒体系；制定可行的病毒感染应急措施。当软件受到计算机病毒的侵害，局部或全部数据和功能受到损坏，使系统不能工作或工作效率急剧下降时，需要立即起用应急措施：应急措施应该条理清楚、步骤清楚、具有强可操作性；多种备用方案，每种方案均可独立实施，且各种方案的优先排序；有明确的负责人与各级责任人的职责；便于培训和实施演习。物理平安设计指存放计算机、网络设备的机房以及信息系统的设备和存储数据的介质等免受物理环境、自然灾难以及人为操作失误和恶意操作等各种威胁所产生的攻击。物理平安是防护信息系统平安的最底层，缺乏物理平安，其他任何平安措施都毫无意义。物理平安主要涉及的方面包括环境平安〔防火、防水、防雷击等〕及设备和介质的防盗窃防破坏等方面。具体包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供给和电磁防护等十个控制点。物理位置的选择物理位置的选择，主要是在初步选择系统物理运行环境时进行考虑。物理位置的正确选择是保证系统能够在平安的物理环境中运行的前提，它在一定程度上决定了面临的自然灾难以及可能的环境威胁。如果没有正确的选择物理位置，必然会造成后期为保护系统物理环境而投入大量资金、设备，甚至无法弥补。因此，物理位置选择必须考虑周围的整体环境以及具体楼宇的物理位置是否能够为信息系统的运行提供物理上的根本保证。物理访问控制物理访问控制主要是对内部授权人员和临时外部人员进出系统主要物理工作环境进行人员控制。对进出口进行控制，是防护物理平安的第一道关口，也是防止外部非授权人员对系统进行本地恶意操作的重要防护措施。防盗窃和防破坏主要考虑系统运行的设备、介质以及通信线缆的平安性。物理访问控制主要侧重在进出口，这在一定程度上防止了设备的被盗，但在机房内部，该控制点那么无法提供保护。因此，防盗窃和防破坏控制点主要侧重在机房内部对设备、介质和通信线缆进行此方面的保护。防雷击该控制点主要考虑采取措施防止雷电对电流、设备造成的不利影响，从而引起巨大的经济损失。雷电对设备的破坏主要有两类：直击雷破坏，即雷电直击在建筑物或设备上，使其发热燃烧和机械劈裂破坏；另一类是感应雷破坏，即雷电的第二次作用，强大的雷电磁场产生的电磁效应和静电效应使金属构件产生高至数十万伏的电压。目前，大多数建筑物都设有防直击雷的措施－避雷装置，因此，防雷击主要集中在防感应雷。防火该控制点主要考虑采取各种措施防止火灾的发生以及发生后能够及时灭火。分别从设备灭火、建筑材料防火和区域隔离防火等方面考虑。防水和防潮该控制点主要是考虑防止室内由于各种原因的积水、水雾或湿度太高造成设备运行异常。同时，也是控制室内湿度的较好措施。防静电该控制点主要考虑在物理环境里，尽量防止产生静电，以防止静电对设备、人员造成的伤害。大量静电如果积聚在设备上，会导致磁盘读写错误、损坏磁头、对CMOS静电电路也会造成极大威胁。由于静电放电对电子元器件的损害初期仅表现出某些性能参数下降，但随着这种效应的累加，最终造成设备的严重损坏。防静电措施包括最根本的接地、到防静电地板、设备防静电等方面。对室内温湿度的控制，也是防止静电产生的较好措施。温湿度控制机房内的各种设备必须在一定的温度、湿度范围内才能正常运行。温、湿度过高或过低都会对设备产生不利影响。理想的空气湿度范围被定义在40％－70％，高的湿度可能会在天花板、墙面以及设备外表形成水珠，造成危害，甚至还可能产生电连接腐蚀问题。低于40％的低湿度增加了静电产生的危害。温度控制在20摄氏度左右是设备正常工作的良好温度条件。电力供给稳定、充足的电力供给是维持系统持续正常工作的重要条件。许多因素威胁到电力系统，最常见的是电力波动。电力波动对一些精密的电子配件会造成严重的物理损害。应控制电力在10％以内的波动范围。采用稳压器和过电压保护装置是很好的控制电力波动的措施。保证充足短期电力供给措施是可配备不间断电源〔UPS〕，重要系统可配备备份供电系统，以备不时之需。电磁防护现代通信技术是建立在电磁信号传播的根底上，而空间电磁场的开放特性决定了电磁泄漏是危及系统平安性的一个重要因素，电磁防护主要是提供对信息系统设备的电磁信号进行保护，确保用户信息在使用和传输过程中的平安性。电磁防护手段从线缆物理距离上隔离、设备接地、到设备的电磁屏蔽等方面。主机系统平安设计主机系统平安是包括效劳器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的平安。终端/工作站是带外设的台式机与笔记本计算机，效劳器那么包括应用程序、网络、web、文件与通信等效劳器。主机系统是构成信息系统的主要局部，其上承载着各种应用。因此，主机系统平安是保护信息系统平安的中坚力量。主机系统平安包括：身份鉴别、平安标记、访问控制、可信路径、平安审计、剩余信息保护、入侵防范、恶意代码防范和资源控制等九个控制点。身份鉴别为确保系统的平安，必须对系统中的每一用户或与之相连的效劳器或终端设备进行有效的标识与鉴别，只有通过鉴别的用户才能被赋予相应的权限，进入系统并在规定的权限内操作。平安标记在主机系统层面，在高级别系统中要实现强度较强的访问控制必须要增加平安标记，通过对主体和客体进行标记，主体不能随意更改权限，权限是由系统客观具有的属性以及用户本身具有的属性决定的，因此，在很大程度上使非法访问受到限制，增加了访问控制的力度。访问控制在系统中实施访问控制是为了保证系统资源〔操作系统和数据库管理系统〕受控合法地使用。用户只能根据自己的权限大小来访问系统资源，不得越权访问。可信路径在计算机系统中，用户一般并不直接与内核打交道，通过应用层作为接口进行会话。但由于应用层并不是能完全信任的，因此在系统的平安功能中，提出了“可信路径〞这一概念。平安审计同网络平安审计相似，对主机进行平安审计，目的是为了保持对操作系统和数据库系统的运行情况以及系统用户行为的跟踪，以便事后追踪分析。主机平安审计主要涉及的方面包括：用户登录情况、系统配置情况以及系统资源使用情况等。剩余信息保护为保证存储在硬盘、内存或缓冲区中的信息不被非授权的访问，操作系统应对这些剩余信息加以保护。用户的鉴别信息、文件、目录等资源所在的存储空间，操作系统将其完全去除之后，才释放或重新分配给其他用户。入侵防范由于基于网络的入侵检测只是在被监测的网段内对网络非授权的访问、使用等情况进行防范，它无法防范网络内单台主机、效劳器等被攻击的情况。基于主机的入侵检测，可以说是基于网络的“补充〞，补充检测那些出现在“授权〞的数据流或其他遗漏的数据流中的入侵行为。恶意代码防范恶意代码一般通过两种方式造成各种破坏，一种是通过网络，另外一种就是通过主机。网络边界处的恶意代码防范可以说是防范工作的“第一道门槛〞，然而，如果恶意代码通过网络进行蔓延，那么直接后果就是造成网络内的主机感染，所以说，网关处的恶意代码防范并不是“一劳永逸〞。另外，通过各种移动存储设备的接入主机，也可能造成该主机感染病毒，而后通过网络感染其他主机。所以说，这两种方式是交叉发生的，必须在两处同时进行防范，才能尽可能的保证平安。由于信息系统具有网络层次多、节点多、覆盖地域广等特点，各部门对计算机的使用和维护水平也不尽相同，这些均要求防恶意代码软件能够提供统一管理和集中监控，能够在恶意代码监控中心的统一管理下，统一、自动升级，将潜在的恶意代码感染源去除在感染之前。同时，也极大的简化了系统维护工作，有利于防范恶意代码策略的有效实施。资源控制操作系统是非常复杂的系统软件，其最主要的特点是并发性和共享性。在逻辑上多个任务并发运行，处理器和外部设备能同时工作。多个任务共同使用系统资源，使其能被有效共享，大大提高系统的整体效率，这是操作系统的根本目标。通常计算机资源包括以下几类：中央处理器、存储器、外部设备、信息〔包括程序和数据〕，为保证这些资源有效共享和充分利用，操作系统必须对资源的使用进行控制，包括限制单个用户的多重并发会话、限制最大并发会话连接数、限制单个用户对系统资源的最大和最小使用限度、当登录终端的操作超时或鉴别失败时进行锁定、根据效劳优先级分配系统资源等。应用系统平安设计系统级平安控制系统级平安是信息管理平台平安防护的第一道大门，主要表达在系统登录方面，由于信息管理平台提供了相关的接口和效劳，需要保证没有权限的人不能获取对应的效劳，或者不信任的其他业务系统不能访问对应的接口。同时，通过与指纹仪、IC卡的集成，加强系统登录平安控制和某些重要功能和数据操作的平安控制。数据传输平安控制数据传输平安主要是保证传输在网络上的电子文件的平安性，目前很多系统对于电子文件的阅读，主要是采取在用户本机安装阅读工具，并先将电子文件从效劳器下载到本地机，再调用本地阅读工具来进行阅读，这样导致文件在传输过程中会存在平安隐患。资源访问平安控制索引目录的访问控制。系统采用角色、用户的方式控制用户对系统内索引目录的访问〔包括读、写〕，保证不同角色的用户只能访问到权限范围内的索引目录信息，可以精确到系统内每一个库、每一条数据、每条数据中的每一个字段；电子文件的访问控制。系统采用角色、用户的方式控制用户对系统内电子文件的访问〔包括浏览、下载、打印〕，保证不同角色的用户只能访问到权限范围内的电子文件信息，系统可以精确到系统内每一个文件；双层水印生成功能。水印的生成分为两种，一种是显示和打印都是同一个水印。一种为双层水印，显示为一层，打印为一层。水印内容可自行设定，定制的内容可包括固定文字、用户属性〔如用户名、用户部门等〕、属性、各种日期等。水印信息也可以是由用户指定的彩色图像；电子文件的防扩散。采用数字版权保护技术，结合特有的平安文件格式〔如PDF〕，为组织的电子文档提供内容级的平安保护，防止因人员离职、恶意拷贝或病毒影响等因素造成组织的重要数据文件扩散或者泄露，做到“事先防范、事后追查〞。具体包括：文件加密。对文档采用高强度的加密算法，即使文件被泄露出去，也不能被翻开；身份认证。对于合法用户，采用用户名、密码、机器绑定等综合信息对文档进行访问，保证文档只能被合法的用户在对应的机器上翻开；文档的使用过程跟踪。记录每一个受保护文档的使用情况，文档在何时、被何人、在哪台机器上、做了何种操作；提供文档使用记录的检索、条件检索；提供文档使用记录的备份；追踪非法访问记录。这些记录为事后追查提供了依据，判断是管理方面的问题还是技术方面的问题；文档的权限控制。对同一个文档针对不同用户指定不同的权限；能控制文档的阅读、打印、拷贝、打印份数等权限；能设定文档的有效访问时间，过期无效；可以“召回〞某些机密文档的权限，增加或者减少用户的使用权限，也可以授权“可授权〞的权限。控制使用者的截屏操作。电子文件阅读审批流程。用户对于需要阅读或者下载但又无权阅读或下载的电子文件，可以通过在系统中建立审批流程的方式，通过相关责任人审批通过后，才能根据审批结果进行电子文件的阅读和下载。系统分级保护控制系统应将可以访问的用户按照平安管理权限分为：“系统管理员〞、“平安保密员〞、“平安审计员〞和“其他用户〞。管理员之间的权限能够相互制约、相互监督，防止由于权限过于集中带来的平安风险。不同的用户角色及权限程序应提供不同的访问界面及菜单来控制用户对该系统功能的访问，对不同用户的权限应能设置到具体内容。应将可以访问系统的用户按照平安管理权限分为：“系统管理员〞、“平安保密员〞、“平安审计员〞和其他用户。管理员之间的权限能够相互制约、相互监督，防止由于权限过于集中带来的平安风险。不同的用户角色及权限程序应提供不同的访问界面及菜单来控制用户对该系统功能的访问，对不同用户的权限应能设置到具体内容。系统的主要人员分为“系统管理员〞、“平安保密员〞、“平安审计员〞、“查询用户〞、“临时查询用户〞等用户角色。初始状态下系统的用户为“三员〞即：“系统管理员〞、“平安保密员〞、“平安审计员〞。功能操作的平安控制光盘制作。利用此功能，用户可以将系统内数据〔包括索引目录和电子文件〕通过采集、分盘的方式刻录到光盘上，一方面起到了数据备份的作用；另一方面，由于制作后的光盘上自带数据阅读检索系统，所以能提供对索引目录的检索和电子文件的阅读；数据回收站。当用户在系统内删除索引目录时，系统会先将索引目录信息删除到数据回收站，用户