網(wǎng)絡(luò)安全工程設(shè)計實例

1、第6章 網(wǎng)絡(luò)安全工程設(shè)計實例計算機網(wǎng)絡(luò)的快速發(fā)展也促使網(wǎng)絡(luò)安全的需求大大增加，因為任何一個網(wǎng)絡(luò)的建設(shè)都不可能假設(shè)自己處于一個純粹干凈的網(wǎng)絡(luò)環(huán)境中，要想避免被來自于網(wǎng)絡(luò)內(nèi)外的惡意使用者的攻擊和探測，就必須要結(jié)合各項安全技術(shù)來保障網(wǎng)絡(luò)的合法使用，因此，如何建設(shè)一個安全的網(wǎng)絡(luò)構(gòu)架已經(jīng)成為網(wǎng)絡(luò)工程建設(shè)中必不可少的關(guān)鍵環(huán)節(jié)。本章將以電子政務(wù)網(wǎng)為例，介紹如何設(shè)計電子政務(wù)網(wǎng)絡(luò)安全系統(tǒng)方案。6. 1 項目概述電子政務(wù)網(wǎng)絡(luò)是政府信息網(wǎng)絡(luò)平臺，如何建立一個標(biāo)準(zhǔn)統(tǒng)一、功能完善、安全可靠的電子政務(wù)網(wǎng)絡(luò)是關(guān)系到整個政府信息能否得到有效利用的關(guān)鍵因素。區(qū)級電子政務(wù)網(wǎng)絡(luò)是市級電子政務(wù)網(wǎng)絡(luò)建設(shè)的重要組成部分，而隨著國民經(jīng)濟的

2、發(fā)展，原有的電子政務(wù)網(wǎng)絡(luò)已不能滿足區(qū)內(nèi)各級政府辦公和為民服務(wù)的需要，因此計劃在充分利用原有政務(wù)網(wǎng)的基礎(chǔ)上，重新規(guī)劃建設(shè)一個覆蓋全區(qū)的電子政務(wù)網(wǎng)絡(luò)，以滿足全區(qū)范圍內(nèi)各行政部門辦公需求。新建設(shè)的區(qū)政務(wù)網(wǎng)絡(luò)平臺作為全區(qū)各個辦事機構(gòu)的主要辦公平臺，涉及了很多部門（如財政、工商、稅務(wù)等）的內(nèi)部信息，因此，該網(wǎng)絡(luò)上將會有很多部門敏感信息進行傳輸和流轉(zhuǎn)。同時，區(qū)政府網(wǎng)絡(luò)平臺又是區(qū)統(tǒng)一的互聯(lián)網(wǎng)出口，將面臨網(wǎng)絡(luò)上的各種病毒和木馬等風(fēng)險的威脅，如果建成后網(wǎng)絡(luò)安全無法保障，或存在重大安全漏洞，那么其后果將是極其嚴(yán)重的，因此，信息安全建設(shè)是區(qū)政務(wù)網(wǎng)絡(luò)建 設(shè)中及其重要的部分。本次政務(wù)平臺的安全建設(shè)是需要全面的、系統(tǒng)的從

3、邊界數(shù)據(jù)防護系統(tǒng)、病毒防治系統(tǒng)、數(shù)據(jù)審計系統(tǒng)等幾個方面規(guī)劃。同時本次的安全規(guī)劃要與區(qū)政務(wù)網(wǎng)現(xiàn)有網(wǎng)絡(luò)整體安全規(guī)劃一致，統(tǒng)一考慮安全管理問題。安全系統(tǒng)的建設(shè)是電子政務(wù)建設(shè)和應(yīng)用的重要保障。政務(wù)應(yīng)用系統(tǒng)中存在較多的敏感信息，對系統(tǒng)的保密性要求很高。政務(wù)應(yīng)用系統(tǒng)中的數(shù)據(jù)信息將決定業(yè)務(wù)工作能否順利開展，必須保證網(wǎng)絡(luò)和數(shù)據(jù)的安全。1. 項目安全系統(tǒng)設(shè)計目標(biāo)本項目安全系統(tǒng)設(shè)計的目標(biāo)是：對原有區(qū)政務(wù)網(wǎng)絡(luò)平臺進行必要的安全建設(shè)，保障政務(wù)平臺的信息安全。從技術(shù)與管理兩方面著手，將全區(qū)的網(wǎng)絡(luò)應(yīng)用系統(tǒng)建設(shè)成一個具有縱深安全體系部署的可靠系統(tǒng)。重點建設(shè)內(nèi)容包括以下幾方面：Ø 政務(wù)網(wǎng)絡(luò)平臺本身的基礎(chǔ)設(shè)施建設(shè)；&

4、#216; 政務(wù)網(wǎng)絡(luò)平臺與各個邊界的安全建設(shè)；Ø 各個業(yè)務(wù)系統(tǒng)及公眾服務(wù)體系安全的措施Ø 建立完善的病毒防護機制；Ø 數(shù)據(jù)安全保障及有效的備份中心；Ø 建設(shè)完善的綜管理系統(tǒng)和機制；Ø 建立統(tǒng)一全網(wǎng)認(rèn)證體系。2項目總體安全構(gòu)架本項目總體安全架構(gòu)建設(shè)由安全技術(shù)架構(gòu)和安全運行總體管理架構(gòu)兩部分組成。1) 安全技術(shù)架構(gòu)Ø 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全（網(wǎng)絡(luò)設(shè)備安全配置，核心設(shè)備及重要區(qū)域鏈路的冗余，網(wǎng)絡(luò)出口的負(fù)載均衡）。Ø 邊界安全策略（邊界訪問控制，防火墻，入侵防御，網(wǎng)關(guān)防病毒）。Ø 計算環(huán)境安全（統(tǒng)一防病毒體系，網(wǎng)絡(luò)審計）。

5、16; 安全基礎(chǔ)設(shè)施（公鑰體系建設(shè)，安全管理中心）。2) 安全運行管理架構(gòu)安全運行管理架構(gòu)包括安全協(xié)調(diào)策略、事件響應(yīng)策略、日常監(jiān)控策略、升級管理策略、分析改進策略、培訓(xùn)教育策略、應(yīng)急響應(yīng)策略。3. 項目總體設(shè)計原則系統(tǒng)建設(shè)應(yīng)充分考慮長遠發(fā)展需求，統(tǒng)一規(guī)劃、統(tǒng)一布局、統(tǒng)一設(shè)計。在實施策略上根據(jù)實際需要及投資金額，分期配置、分期實施、逐步擴展，保證系統(tǒng)應(yīng)用的完整性和用戶投資的有效性。因此在方案設(shè)計中，將遵循以下設(shè)計原則：(1) 標(biāo)準(zhǔn)化原則。系統(tǒng)建設(shè)、業(yè)務(wù)處理和技術(shù)方案應(yīng)符合國家、市及區(qū)有關(guān)信息化標(biāo)準(zhǔn)的規(guī)定。數(shù)據(jù)指標(biāo)體系及代碼體系統(tǒng)一化、標(biāo)準(zhǔn)化。(2) 資源充分利用原則。所有設(shè)計必須在原有的基礎(chǔ)上利

6、用現(xiàn)有資源對政務(wù)網(wǎng)絡(luò)平臺提出符合發(fā)展趨勢的設(shè)計規(guī)劃，并充分利用原有設(shè)備。(3) 實施及網(wǎng)絡(luò)切換的高效性原則。由于在網(wǎng)絡(luò)改造和切換的過程中將會嚴(yán)重影響整個區(qū)的政務(wù)辦公，因此，項目的實施設(shè)計將保障改造實施及網(wǎng)絡(luò)切換的高效性原則，要設(shè)計詳細的計劃和方案。(4) 安全性原則。信息管理系統(tǒng)中的用戶有著各種各樣不同的權(quán)限級別和應(yīng)用層次，因此在系統(tǒng)設(shè)計時，應(yīng)該充分考慮不同用戶的需求，保證正常用戶能夠高效、快速地訪問授權(quán)范圍內(nèi)的系統(tǒng)信息和資源。同時，也必須能夠有效地阻止未授權(quán)用戶的非法入侵和非授權(quán)訪問。(5) 可靠性原則。信息管理系統(tǒng)每天將處理著全區(qū)幾十個部門的審批數(shù)據(jù)，任何時刻的系統(tǒng)設(shè)備故障都有可能給用戶帶

7、來損失，這要求系統(tǒng)具備很高的穩(wěn)定性和可靠性，以及很高的平均無故障率，保證故障發(fā)生時系統(tǒng)能夠提供有效的失效轉(zhuǎn)移或者快速恢復(fù)等性能。硬件環(huán)境應(yīng)消除單點故障，實現(xiàn)雙機容錯和負(fù)載均衡功能，保證系統(tǒng)的高可用性，即7×24小時不停機的工作模式。(6) 開放性原則。開放性是現(xiàn)今計算機技術(shù)發(fā)展過程中形成的一種建立大系統(tǒng)，擴大系統(tǒng)交流范圍的技術(shù)原則。系統(tǒng)總體方案設(shè)計在體系結(jié)構(gòu)、硬件平臺、軟件平臺的確定方面，從產(chǎn)品選型到設(shè)計、開發(fā)都要充分考慮“標(biāo)準(zhǔn)和開放”的原則。在應(yīng)用系統(tǒng)的設(shè)計與開發(fā)方面，依據(jù)標(biāo)準(zhǔn)化和模塊化的設(shè)計思想，在此基礎(chǔ)上建立具有一定靈活性和可擴展性的應(yīng)用平臺，使系統(tǒng)不僅在體系結(jié)構(gòu)上保持很大的開

8、放性而且同時提供各種靈活可變的接口，系統(tǒng)內(nèi)部也保持相當(dāng)程度的可擴充性。(7) 實用性及可擴展性原則。系統(tǒng)的建設(shè)既要充分體現(xiàn)政府系統(tǒng)業(yè)務(wù)的特點，充分利用現(xiàn)有資源，合理配置系統(tǒng)軟硬件，保護用戶投資；又要著眼建成后使用，具有良好的擴展能力，可以根據(jù)不斷增長的業(yè)務(wù)需求，能夠隨著信息技術(shù)的發(fā)展而不斷地平滑升級。各計算機應(yīng)用系統(tǒng)的開發(fā)，應(yīng)做到功能完善、使用方便、符合實際、運作高效。實用性的原則是系統(tǒng)能夠成功應(yīng)用的關(guān)鍵。在系統(tǒng)的設(shè)計階段就應(yīng)該充分考慮本區(qū)內(nèi)當(dāng)前的各種業(yè)務(wù)層次的需求、各個環(huán)節(jié)的數(shù)據(jù)處理以及管理要求。在實際的項目實施過程中可以采用總體設(shè)計、分布實施的方案，保障核心部門的核心業(yè)務(wù)功能首先得到實現(xiàn)，

9、增加系統(tǒng)的實用性。然后再逐步擴充，保障系統(tǒng)建設(shè)的有效性和連貫性。(8) 可維護性及易用性原則。由于信息管理系統(tǒng)的范圍大、應(yīng)用廣，因此對于系統(tǒng)的管理和維護性能帶來了更高的要求。在方案設(shè)計時，易管理、易維護性原則成為將來系統(tǒng)應(yīng)用實施過程中的重要條件。因此，系統(tǒng)設(shè)計必須充分考慮管理維護的可視化、層次化以及控制的實時性。系統(tǒng)面向掌握不同計算機知識層次的人員，要容易操作使用。(9) 經(jīng)濟性原則。在保證系統(tǒng)能夠安全、可靠運行的前提下，最大限度地降低系統(tǒng)造價，充分利用原有的計算機設(shè)備、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)等的投資，進行平滑過渡，注重經(jīng)濟性，避免浪費。同時計算機與網(wǎng)絡(luò)技術(shù)的發(fā)展是非常迅速的，通常不可能

10、選擇一種永遠不過時的計算機及網(wǎng)絡(luò)技術(shù)。所以在構(gòu)造一個信息管理系統(tǒng)時，應(yīng)該將投資與目前的應(yīng)用緊密結(jié)合起來，選用便于向更高的技術(shù)過渡的方案。6. 2 需求分析某區(qū)政務(wù)網(wǎng)安全現(xiàn)狀拓?fù)鋱D如圖6.1所示。圖6.1 區(qū)政務(wù)網(wǎng)安全現(xiàn)狀拓?fù)鋱D1. 網(wǎng)絡(luò)平臺基本狀況目前區(qū)政務(wù)網(wǎng)絡(luò)平臺由1臺核心交換機（Quidway® S6506）、院內(nèi)外接入交換機以及3個服務(wù)器區(qū)和外網(wǎng)出口等幾個部分組成的。在區(qū)電子政務(wù)內(nèi)網(wǎng)中，各鄉(xiāng)鎮(zhèn)與園區(qū)通過光纖連接到中心機房，并通過匯聚交換機（Quidway® S3526）匯總后接入網(wǎng)絡(luò)核心；各委辦局也通過匯聚交換機（Quidway® S3526）匯總后接入網(wǎng)絡(luò)

11、核心；區(qū)政府大院局域網(wǎng)以3COM6509交換機為核心交換機接入核心網(wǎng)絡(luò)。網(wǎng)絡(luò)服務(wù)器按照功能分為了三個區(qū)域，一個是對外提供服務(wù)或有公眾網(wǎng)絡(luò)需求的服務(wù)器，此區(qū)域設(shè)置在出口處的防火墻DMZ區(qū)，提供對外服務(wù)。另一個區(qū)域分別是公文服務(wù)器區(qū)和OA服務(wù)器區(qū)，數(shù)據(jù)庫、OA、電子政務(wù)等服務(wù)器分別連接到一臺匯聚交換機（Quidway® S3526）。一臺千兆聯(lián)想防火墻（聯(lián)想網(wǎng)御防火墻2000FWE-T3）上實施安全策略以控制用戶對這些服務(wù)器的訪問。視頻服務(wù)器和視頻采集服務(wù)器均直接接入核心交換機（Quidway® S6506）。區(qū)政府的各種服務(wù)器通過匯聚形成服務(wù)器群，統(tǒng)一連接到核心交換機。對于W

12、eb、OA和經(jīng)濟分析系統(tǒng)采用了雙機熱備，共用磁盤陣列，集中式存取重要數(shù)據(jù)。外網(wǎng)出口有三個，政務(wù)外網(wǎng)用戶通過防火墻（華依千兆防火墻HY-F2000KU）接入?yún)^(qū)核心網(wǎng)絡(luò)，通過PSTN訪問區(qū)內(nèi)網(wǎng)的用戶經(jīng)過撥號路由設(shè)備（Quidway R2621RT-6AM）接入網(wǎng)絡(luò)，Internet訪問用戶則通過防火墻（華依百兆防火墻HY-F2000K）接入?yún)^(qū)核心網(wǎng)絡(luò)。2. 網(wǎng)絡(luò)安全狀況從安全拓?fù)鋱D可以看出，區(qū)電子政務(wù)外網(wǎng)的網(wǎng)絡(luò)是一個多連接的網(wǎng)絡(luò)。多連接體現(xiàn)為網(wǎng)絡(luò)連接既有節(jié)點內(nèi)部不同網(wǎng)段的連接（如區(qū)府大院內(nèi)各部門間的連接），又有節(jié)點間的連接（如區(qū)府電子政務(wù)系統(tǒng)與各局委辦專用網(wǎng)絡(luò)的連接），同時還存在外部連接（與國際互

13、聯(lián)網(wǎng)的連接）。如果將網(wǎng)絡(luò)結(jié)構(gòu)，按照應(yīng)用系統(tǒng)嚴(yán)格劃分，每種應(yīng)用都運行在獨立的網(wǎng)絡(luò)中，那么網(wǎng)絡(luò)中用戶相互信任程度就很高，安全問題會降低到最小。但是實際情況不允許這樣劃分，主要原因在于主機設(shè)備、網(wǎng)絡(luò)設(shè)備以及通訊線路的共用，不同應(yīng)用間也要交換數(shù)據(jù)。如果進行硬性的劃分必然造成投資、管理以及維護工作難度的加大。主機為支持多種應(yīng)用而開放了多種網(wǎng)絡(luò)服務(wù)，客戶端通過特定的通訊線路執(zhí)行某種特定應(yīng)用程序的同時，這條線路也可以用來執(zhí)行非必要的網(wǎng)絡(luò)服務(wù)，這樣就產(chǎn)生了非法訪問和黑客攻擊的可能。目前區(qū)政務(wù)網(wǎng)均統(tǒng)一部署了防毒軟件：采用瑞星防病毒系統(tǒng)。各自按照部門劃分了VLAN，進行訪問控制。并分別部署有2臺百兆鷹眼入侵檢測系

14、統(tǒng)，與防火墻形成聯(lián)動，其主要的安全設(shè)備如表6.1所示。 表6.1 某區(qū)電子政務(wù)網(wǎng)目前主要安全設(shè)備表編號名稱數(shù)量備注1聯(lián)想網(wǎng)御防火墻2000FWE-T32政務(wù)外網(wǎng)防火墻2三零衛(wèi)士鷹眼百兆入侵檢測系統(tǒng)NIDS100-S32政務(wù)外網(wǎng)3華依千兆防火墻HY-F2000KU1政務(wù)外網(wǎng)防火墻，租用4華依百兆防火墻HY-F2000K2一臺是市政務(wù)外網(wǎng)防火墻，一臺是獨享2M帶寬外網(wǎng)防火墻，均為租用3. 安全系統(tǒng)需求由于政務(wù)外網(wǎng)將承載區(qū)大部分的應(yīng)用系統(tǒng)，并同互聯(lián)網(wǎng)邏輯隔離，因此受到的安全威脅較大，也比較復(fù)雜。政務(wù)外網(wǎng)的安全需求主要來自應(yīng)用系統(tǒng)安全、網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全、安全基礎(chǔ)措施和支撐性基礎(chǔ)措施四個方面：1) 應(yīng)

15、用系統(tǒng)安全本期政務(wù)外網(wǎng)建成后，將運行多個應(yīng)用系統(tǒng)，如郵件交換系統(tǒng)、公文流轉(zhuǎn)系統(tǒng)、OA系統(tǒng)等等，這些應(yīng)用系統(tǒng)對政務(wù)外網(wǎng)的接入單位提供服務(wù)。需要通過認(rèn)證授權(quán)、應(yīng)用審計和運行監(jiān)控等對這些應(yīng)用系統(tǒng)的正常運行進行保護。2) 網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全網(wǎng)絡(luò)及系統(tǒng)技術(shù)安全包括以下三個方面。Ø 網(wǎng)絡(luò)邊界安全：網(wǎng)絡(luò)邊界處是整個政務(wù)外網(wǎng)安全方面最脆弱，最容易發(fā)生隱患的部位，無論是來自外部網(wǎng)絡(luò)的或是內(nèi)部的攻擊或威脅，都會對政務(wù)外網(wǎng)造成不可估量的影響。應(yīng)對進出邊界的數(shù)據(jù)流進行有效的控制與監(jiān)視，實施訪問控制。Ø 網(wǎng)絡(luò)骨干和平臺安全：網(wǎng)絡(luò)是提供數(shù)據(jù)傳輸服務(wù)的，應(yīng)保證政務(wù)外網(wǎng)上傳輸有各種數(shù)據(jù)流能正確實現(xiàn)傳輸。需

16、要通過流量監(jiān)控，核心設(shè)備和鏈路的冗余，網(wǎng)絡(luò)設(shè)備的安全配置等方式保證數(shù)據(jù)流的高效傳輸。Ø 計算環(huán)境安全：信息系統(tǒng)中的每一個主機都是構(gòu)成信息系統(tǒng)的一員，它們的安全情況都直接影響到整個信息系統(tǒng)的安全。因此，要通過系統(tǒng)安全加固、防病毒等方式確保系統(tǒng)中的每一臺主機的安全。3) 安全基礎(chǔ)設(shè)施為保證系統(tǒng)的正常運轉(zhuǎn)，需要為系統(tǒng)的運行提供一個良好的環(huán)境，為各類系統(tǒng)設(shè)備提供一個安全、可靠、溫濕度及潔凈度均符合要求的運行環(huán)境，同時為相關(guān)工作人員提供方便、快捷、舒適的工作環(huán)境和順暢高效的通信通道，并防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發(fā)生。4) 支撐性基礎(chǔ)措施安全系統(tǒng)安全的重要工作是對全網(wǎng)（包

17、括公務(wù)網(wǎng)和政務(wù)外網(wǎng)）的安全狀態(tài)進行集中的監(jiān)控，對區(qū)電子政務(wù)網(wǎng)的安全相關(guān)的服務(wù)請求做出及時的響應(yīng)和及時支持。為此需要在網(wǎng)絡(luò)中心建立集中的管理監(jiān)控平臺，及時掌握全網(wǎng)的安全狀態(tài)。6. 3 策略建設(shè)安全建設(shè)是一個體系過程，任何一個環(huán)節(jié)存在問題都會導(dǎo)致整個系統(tǒng)安全性出現(xiàn)問題。這是信息系統(tǒng)安全中的“木桶理論”說明的，即信息系統(tǒng)的安全程度是由整個系統(tǒng)的最弱環(huán)節(jié)而非最強環(huán)節(jié)決定。安全系統(tǒng)的策略建設(shè)主要包括網(wǎng)絡(luò)與基礎(chǔ)設(shè)施保護策略、計算機環(huán)境保護策略、邊界安全保護策略和支撐性基礎(chǔ)措施保護策略四個方面。1. 網(wǎng)絡(luò)與基礎(chǔ)設(shè)施保護策略網(wǎng)絡(luò)是提供數(shù)據(jù)傳輸服務(wù)的，通常在網(wǎng)絡(luò)上傳輸有三種不同的數(shù)據(jù)流：用戶數(shù)據(jù)、控制數(shù)據(jù)、管理

18、數(shù)據(jù)。保護網(wǎng)絡(luò)與基礎(chǔ)設(shè)施的根本目的是保護這三種數(shù)據(jù)流能正確實現(xiàn)傳輸。通常用于保護網(wǎng)絡(luò)設(shè)施的相關(guān)技術(shù)有網(wǎng)絡(luò)流量控制、冗余、備份技術(shù)等等。2. 計算環(huán)境保護策略信息系統(tǒng)中的每一個主機都是構(gòu)成信息系統(tǒng)的一員，它們的安全情況都直接影響到整個信息系統(tǒng)的安全。因此，建設(shè)一個安全的信息系統(tǒng)首先要作的就是確保信息系統(tǒng)中的每一臺主機的安全狀況都是良好。對信息系統(tǒng)中的主機安全防護的方法可以通過操作系統(tǒng)安全加固(打安全補丁、設(shè)置安全配置)、安裝防病毒軟件，對于安全要求嚴(yán)格的主機，還可以通過在系統(tǒng)上安裝安全加固軟件、主機入侵監(jiān)測系統(tǒng)等軟件并對其數(shù)據(jù)進行備份來增強主機的安全等級。3. 邊界安全保護策略絕大多數(shù)的網(wǎng)絡(luò)都需

19、要與外界相連，區(qū)政府政務(wù)外網(wǎng)信息系統(tǒng)除了與機關(guān)外的各委辦局之間存在網(wǎng)絡(luò)連接外，部門委辦局還與其上級單位的局域網(wǎng)之間進行網(wǎng)絡(luò)連接，這些連接的接入點被稱為邊界。對邊界的保護關(guān)注的是如何對進出的數(shù)據(jù)流進行有效的控制與監(jiān)視，實施訪問控制。4. 支撐性基礎(chǔ)設(shè)施保護策略深度防御的根本在于提高針對網(wǎng)絡(luò)的入侵與攻擊的防范能力，支撐性基礎(chǔ)設(shè)施是能夠提供安全服務(wù)的一套相互關(guān)聯(lián)的活動與基礎(chǔ)設(shè)施，其所提供的安全服務(wù)用于實現(xiàn)框架式的技術(shù)解決方案并對其進行管理。目前的深層防御策略定義了兩個支持性的基礎(chǔ)設(shè)施檢測與響應(yīng)，用于檢測、識別可能的網(wǎng)絡(luò)攻擊和非法行為、做出有效響應(yīng)以及對攻擊行為進行調(diào)查分析。我們可以采用安全審計系統(tǒng)來

20、檢測記錄可能的網(wǎng)絡(luò)非法行為，并對其進行調(diào)查分析和總結(jié)，從而加固系統(tǒng)的安全。6. 4 措施建設(shè)通過對區(qū)政務(wù)信息中心將來運行環(huán)境的分析，我們提出了區(qū)政務(wù)信息中心安全規(guī)劃，同時明確了用戶的安全需求，下面列出的是關(guān)于安全集成設(shè)計的說明，以切實可行的方案滿足用戶的需求。Ø 將各個業(yè)務(wù)不同的服務(wù)器按照其功能劃分為幾個服務(wù)器區(qū)，同時針對各個服務(wù)器區(qū)的職能和個別業(yè)務(wù)的需求，劃分嚴(yán)格的安全策略。因此除了在防火墻實施嚴(yán)格的安全訪問控制策略外，還需要在網(wǎng)絡(luò)VLAN劃分時，詳細考慮網(wǎng)絡(luò)的各個部分規(guī)劃。Ø 由于各個應(yīng)用服務(wù)器以及數(shù)據(jù)服務(wù)器的重要性，應(yīng)部署入侵防御系統(tǒng)、安全審計系統(tǒng)等設(shè)備，對區(qū)域內(nèi)重要

21、服務(wù)器的訪問行為進行多種防護；Ø 為了保障系統(tǒng)的穩(wěn)定性，重要網(wǎng)絡(luò)部分均采用雙鏈路連接。Ø 現(xiàn)在的網(wǎng)絡(luò)面臨著各種各樣的安全威脅，比如說蠕蟲病毒、黑客攻擊、用戶誤操作等等，因此需要對整網(wǎng)的數(shù)據(jù)流進行監(jiān)控，一旦發(fā)現(xiàn)可疑的行為，將迅速采取相關(guān)的安全手段，將攻擊帶來的影響最小化。Ø 為了數(shù)據(jù)的統(tǒng)一存儲以提高磁盤空間的效率，將建立一套全網(wǎng)的SAN系統(tǒng)以方便數(shù)據(jù)的存儲。Ø 在區(qū)網(wǎng)絡(luò)中心以外的地方增加一臺磁帶備份服務(wù)器，以防止系統(tǒng)崩潰或災(zāi)難發(fā)生時，數(shù)據(jù)不會被丟失，并能恢復(fù)到崩潰或災(zāi)難之前的運行狀態(tài)，以減少損失。Ø 信息系統(tǒng)中的每一個服務(wù)器都是構(gòu)成信息系統(tǒng)的重要

22、一員，它們的安全情況都直接影響到整個信息系統(tǒng)的安全。因此，建設(shè)一個安全的信息系統(tǒng)首先要作的就是確保信息系統(tǒng)中的每一臺服務(wù)器都的安全狀況是良好，這是通過對整個服務(wù)器群區(qū)域內(nèi)服務(wù)器進行系統(tǒng)安全加固來實現(xiàn)。Ø 隨著區(qū)電子政務(wù)網(wǎng)絡(luò)平臺的擴展，越來越多的用戶單位都接進這套網(wǎng)絡(luò)，勢必需要對接進來的PC機的防病毒軟件做統(tǒng)一的管理和病毒庫的統(tǒng)一更新。Ø 隨著網(wǎng)絡(luò)平臺的擴展，涉及到的網(wǎng)絡(luò)設(shè)備的種類多樣，數(shù)量繁多。通過人工一臺一臺地維護將變得不再可行，這樣的環(huán)境給管理和維護人員都帶來極大的挑戰(zhàn)。通過一個統(tǒng)一的管理平臺，能夠內(nèi)嵌和調(diào)用其他廠商的監(jiān)管系統(tǒng)，對各種設(shè)備進行自動的遠程實時監(jiān)控和分析，尋

23、找出故障點和原因，以便及時采取相應(yīng)措施同時大大降低了管理人員的精力并提高了效率；針對網(wǎng)絡(luò)中的安全設(shè)備，還需要建立統(tǒng)一的安全管理平臺。Ø 為了保障應(yīng)用系統(tǒng)的安全，提供詳盡的應(yīng)用安全措施。綜合以上設(shè)計思想，新政務(wù)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計如圖6.2所示。178圖6.2 新區(qū)政府網(wǎng)安全設(shè)計拓?fù)鋱D1. 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全(1) 網(wǎng)絡(luò)設(shè)備安全配置在系統(tǒng)的詳細設(shè)計階段，對網(wǎng)絡(luò)中每個設(shè)備的功能就應(yīng)該有了明確的定義。在方案實現(xiàn)階段中的設(shè)備部署過程中，應(yīng)該根據(jù)設(shè)計階段的定義確定設(shè)備應(yīng)提供的網(wǎng)絡(luò)服務(wù)，對于設(shè)計定義之外的網(wǎng)絡(luò)服務(wù)應(yīng)該禁用，因為不必要的網(wǎng)絡(luò)服務(wù)只會為攻擊者提供更多的攻擊途徑和門戶。除此之外，有兩點應(yīng)該著

24、重注意：設(shè)備缺省配置和已知的不安全服務(wù)。很多設(shè)備（或其中軟件系統(tǒng)）為了方便用戶應(yīng)用，都會有一個出廠缺省配置。一定要根據(jù)系統(tǒng)的詳細設(shè)計文檔仔細核對設(shè)備提供的網(wǎng)絡(luò)服務(wù)，禁用不該有的缺省服務(wù)。(2) 核心設(shè)備及重要區(qū)域鏈路的冗余由于區(qū)政務(wù)信息中心網(wǎng)絡(luò)本身具有的特性，網(wǎng)絡(luò)核心是整個網(wǎng)絡(luò)的交通樞紐，如果網(wǎng)絡(luò)核心癱瘓，整個信息系統(tǒng)的應(yīng)用將隨之崩潰。隨著公共服務(wù)業(yè)務(wù)的展開，政府機關(guān)日常辦公對信息系統(tǒng)的依賴性增大，因此采用網(wǎng)絡(luò)雙交換核心成為大勢所趨，采用高性能的三層交換機來保證網(wǎng)絡(luò)的連通性和穩(wěn)定性。為充分發(fā)揮行政中心建設(shè)的服務(wù)功能，該項目將采用網(wǎng)絡(luò)雙交換核心的設(shè)計理念，以及重要區(qū)域雙鏈路的設(shè)計，同時與另外兩個

25、分中心建立環(huán)狀網(wǎng)絡(luò)，充分保證區(qū)政務(wù)信息中心的高可用性和穩(wěn)定性。如圖6.2“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示。(3) 網(wǎng)絡(luò)出口的負(fù)載均衡網(wǎng)絡(luò)出口負(fù)載均衡有多種方式可以實現(xiàn)。針對不同方式的分析如下：Ø 單一的ISP運營商的兩條鏈路同一點接入。整個網(wǎng)絡(luò)接入互聯(lián)網(wǎng)使用單一的ISP鏈路運營商，就等于將網(wǎng)絡(luò)對外訪問的可靠性完全依靠在單一的ISP鏈路運營商。采有雙鏈路的目的本來就為了預(yù)防因運營商的故障造成的對外訪問中斷，同一運營商的兩條鏈路很難解決這個問題。Ø 單一的ISP運營商的兩條鏈路不同點接入。單一運營商的兩條鏈路不同點的接入，可能在一定程度上減小用戶兩條鏈路被放置在同一運營商同一地點同

26、一機房的可能性，相對的增加了對外訪問的可靠性，但是當(dāng)改運營商的整個網(wǎng)絡(luò)出現(xiàn)故障時，這兩條鏈路也完全癱瘓。兩條鏈路不同點的接入方式還將給網(wǎng)絡(luò)的管理和劃分造成較大的問題。這種接入方式造成了網(wǎng)絡(luò)有兩個外網(wǎng)出口的事實，這就需要區(qū)的網(wǎng)絡(luò)管理人員自己劃分哪些應(yīng)用或者哪些人員從哪個網(wǎng)絡(luò)出口對外訪問。這實際是非常困難的，首先網(wǎng)絡(luò)管理人員必須清楚各種應(yīng)用的流量大小，以及人員訪問出現(xiàn)的峰值，在區(qū)政務(wù)網(wǎng)高速發(fā)展的情況下，應(yīng)用不斷增多，一旦將應(yīng)用從某出口劃分死，將對今后發(fā)展造成極大的障礙。Ø 不同的ISP運營商的鏈路同一點接入。采用不同運營商的鏈路，對出口的瓶頸進行適當(dāng)?shù)木徑?，并實現(xiàn)整個網(wǎng)絡(luò)出口的不間斷性，

27、這就意味要部署負(fù)載均衡設(shè)備，對這兩條鏈路進行動態(tài)的分配，當(dāng)某條ISP鏈路down掉時，整個負(fù)載就直接劃到另外一條鏈路上去，保證網(wǎng)絡(luò)的不間斷性。同時負(fù)載均衡設(shè)備還可實時的調(diào)整兩條鏈路的負(fù)載情況，當(dāng)一條鏈路出現(xiàn)流量過大，可以自動將部分流量調(diào)整到另一條鏈路上，真正的發(fā)揮了雙鏈路的作用。根據(jù)以上的三種情況的分析，確定第三種方式為最為合理的接入方式。負(fù)載均衡設(shè)備部署如圖6.2“公眾網(wǎng)”模塊所示。通過在出口處部署負(fù)載均衡設(shè)備，串接在網(wǎng)絡(luò)出口處。通過該設(shè)備區(qū)政務(wù)外網(wǎng)無需通過ISP 協(xié)作、大帶寬連接、選定的IP地址塊、ASN 或高端路由器來消除系統(tǒng)故障。由于鏈路控制器解決方案不依靠BGP提供故障切換功能，它不

28、存在BGP多歸屬所面臨的延遲、高更新成本、次等流量管理等問題。通過使用鏈路控制器，能夠使用成本低的帶寬，并且可對基于性能、成本和業(yè)務(wù)政策的鏈路選擇進行完全的粒狀控制。2. 邊界安全1) 邊界策略的制定在區(qū)信息網(wǎng)絡(luò)基礎(chǔ)平臺建設(shè)中，由于職能和業(yè)務(wù)的不同，網(wǎng)絡(luò)分為了不同的區(qū)域。我們需要按照不同的要求對每個區(qū)域采取相對獨立的策略設(shè)置。網(wǎng)絡(luò)核心由萬兆交換機組成，對于重要的網(wǎng)絡(luò)用戶為了保證其網(wǎng)絡(luò)通訊質(zhì)量，在核心交換機上配置防火墻模塊，重要的網(wǎng)絡(luò)用戶和視頻服務(wù)、認(rèn)證服務(wù)等直接通過核心交換機，由核心上的防火墻模塊處理這些數(shù)據(jù)流量，以保證這些用戶和服務(wù)的數(shù)據(jù)交換的高速及時。如圖6.2“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示

29、。對于其他跨區(qū)域的數(shù)據(jù)流量，要嚴(yán)格制定網(wǎng)絡(luò)邊界策略。比如，對于對外服務(wù)的Mail服務(wù)器、政府網(wǎng)站服務(wù)器和DNS服務(wù)器來說，一方面要面對互聯(lián)網(wǎng)上的用戶訪問，一方面又要訪問位于數(shù)據(jù)庫區(qū)的門戶系統(tǒng)數(shù)據(jù)庫。數(shù)據(jù)庫區(qū)域是整個信息網(wǎng)絡(luò)平臺的核心，其安全級別是遠遠高于對外服務(wù)區(qū)的，因此我們就要制定相應(yīng)的邊界訪問策略，只允許政務(wù)中心服務(wù)器的固定IP和固定端口訪問門戶數(shù)據(jù)服務(wù)器的相應(yīng)端口。 同樣，由于信息平臺中包括政務(wù)網(wǎng)絡(luò)用戶和辦公人員，我們也要針對他們定制相應(yīng)的邊界策略，區(qū)分不同區(qū)域的訪問權(quán)限。2) 防火墻 如圖6.2所示，本次項目除配置了2塊核心交換機防火墻板卡，1臺防火墻，分別位于分中心1核心交換機、分中

30、心2核心交換機和互聯(lián)網(wǎng)出口的邊界防火墻（一臺）。Ø 核心區(qū)域的防火墻部署核心交換區(qū)域是所有應(yīng)用服務(wù)的核心，在功能上與網(wǎng)絡(luò)的核心類似，所有的服務(wù)處理及數(shù)據(jù)庫集中于此，而且任何原因造成的破壞和中斷都會造成嚴(yán)重后果。為了保障全區(qū)應(yīng)用服務(wù)的安全運行，對于這一區(qū)域的安全保護措施必須加強。另外這一區(qū)域不同于連接Internet區(qū)域，由于服務(wù)及數(shù)據(jù)量非常集中，數(shù)據(jù)量及延遲上的要求是這一區(qū)域安全設(shè)計必須考慮到的問題。鑒于這些原因，在核心交換區(qū)域核心交換機上配備了防火墻板卡，在保證服務(wù)器區(qū)域安全的同時也排除了由于安全措施對各種服務(wù)的延遲影響，如圖6.2所示“政府網(wǎng)絡(luò)核心區(qū)域”模塊核心交換機防火墻配置。

31、Ø 外網(wǎng)出口區(qū)域的防火墻部署Internet區(qū)域?qū)儆谌_放區(qū)域，其上不但數(shù)據(jù)流量大，而且由于沒有統(tǒng)一的安全保障體系，病毒、攻擊、入侵、非法站點隨處可見。為了保證區(qū)政務(wù)外網(wǎng)網(wǎng)絡(luò)的安全，對于這兩個網(wǎng)絡(luò)的連接只在策略上采取控制手段是遠遠不夠的，必須通過專門的設(shè)備來保證內(nèi)部網(wǎng)絡(luò)的安全。因此通過對1臺千兆防火墻來達到硬件級的隔離效果，具體部署為在核心交換機與外網(wǎng)之間架設(shè)防火墻，分別強制所有由內(nèi)而外和由外而內(nèi)的數(shù)據(jù)必須經(jīng)過防火墻的安全處理。同時在技術(shù)方式上內(nèi)部網(wǎng)絡(luò)訪問Internet統(tǒng)一通過NAT方式，借助NAT技術(shù)的地址安全保障功能使外部網(wǎng)絡(luò)無法獲知內(nèi)部網(wǎng)絡(luò)情況，從而阻斷絕大部分攻擊。DMZ區(qū)

32、服務(wù)器通過外網(wǎng)防火墻進行安全的數(shù)據(jù)交換。如圖6.2所示“公眾網(wǎng)”模塊和“DMZ”模塊防火墻配置。3) 入侵防御系統(tǒng)入侵防御對于網(wǎng)絡(luò)的安全運行和改進、完善發(fā)揮著極其重要的作用，通過對全網(wǎng)內(nèi)所有的數(shù)據(jù)流的實時采集與分析，使得我們能夠洞察內(nèi)部網(wǎng)絡(luò)的各種非法行為，通過入侵檢測，可以實時監(jiān)控整個網(wǎng)絡(luò)的數(shù)據(jù)流量，實時發(fā)現(xiàn)攻擊行為并立即報警，為動態(tài)網(wǎng)絡(luò)安全防御提供了良好的基礎(chǔ)設(shè)備支持。入侵防御同時也可以對網(wǎng)絡(luò)的操作，做一個完整的記錄，以備違反網(wǎng)絡(luò)安全規(guī)則的事件發(fā)生后，能有效的追查責(zé)任和分析原因，必要時還為懲罰惡意攻擊行為提供必要的技術(shù)證據(jù)。如果與報警功能結(jié)合在一起，就可以在違反網(wǎng)絡(luò)安全規(guī)則的事件發(fā)生之后，或

33、在威脅網(wǎng)絡(luò)安全的重要操作進行時，及時制止和補救，避免損失擴大。區(qū)政務(wù)信息系統(tǒng)安全建設(shè)要求，對區(qū)政務(wù)網(wǎng)絡(luò)的入侵主要集中在連接Internet的出口區(qū)域，所以我們從安全方面考慮，在這個區(qū)域內(nèi)布設(shè)入侵防御設(shè)備來更為有效的阻斷入侵行為，為網(wǎng)絡(luò)管理人員提供重要的數(shù)據(jù)依據(jù)，并第一時間對入侵行為進行阻斷。入侵防御的部署如圖6.2“公眾網(wǎng)”模塊所示。在Internet與防火墻之間串行接入IPS設(shè)備，使其不但能對來自Internet的數(shù)據(jù)進行分析和檢測，也能夠?qū)?nèi)網(wǎng)中的DMZ區(qū)、核心交換機和應(yīng)用服務(wù)器匯聚交換機等的數(shù)據(jù)流進行實時采集與分析，使得我們能夠洞察網(wǎng)絡(luò)內(nèi)外的各種非法行為，及時彌補安全漏洞。通過入侵檢測設(shè)

34、備，可以實時監(jiān)控整個網(wǎng)絡(luò)的數(shù)據(jù)流量，實時發(fā)現(xiàn)攻擊行為并立即報警，為動態(tài)網(wǎng)絡(luò)安全防御提供了良好的基礎(chǔ)設(shè)備支持。利用入侵檢測系統(tǒng)，可以在無人干擾的情況下進行7×24小時的安全監(jiān)控，一旦發(fā)現(xiàn)入侵行為，可以及時的通知管理人員，或者采取其他相應(yīng)的措施，如切斷可疑連接等。4) 網(wǎng)關(guān)防病毒區(qū)政務(wù)外網(wǎng)的Intenet出口處，是各類病毒進入的重要途徑，網(wǎng)關(guān)防病毒技術(shù)能夠在網(wǎng)絡(luò)邊界處，將混合性病毒進入網(wǎng)絡(luò)前即在網(wǎng)絡(luò)邊界進行全面掃描，防止病毒通過網(wǎng)絡(luò)邊界傳入。網(wǎng)關(guān)防病毒的部署如圖6.2“公眾網(wǎng)”模塊所示。將防病毒網(wǎng)關(guān)部署在互聯(lián)網(wǎng)的出口處，對外網(wǎng)進入的數(shù)據(jù)進行掃描，以阻止病毒爆發(fā)、堵塞網(wǎng)絡(luò)病毒（Intern

35、et 蠕蟲）、在病毒爆發(fā)期間阻塞高威脅漏洞，隔離并清除包括無保護設(shè)備（當(dāng)其進入網(wǎng)絡(luò)時）在內(nèi)的傳染源。防病毒網(wǎng)關(guān)不僅能夠采取準(zhǔn)確的預(yù)防病毒爆發(fā)的安全性措施，并且能夠前瞻性地檢測、預(yù)防并排除病毒爆發(fā)危險。3. 計算環(huán)境安全1) 統(tǒng)一防病毒體系在網(wǎng)絡(luò)中，病毒已從存儲介質(zhì)（軟、硬、光盤）的感染發(fā)展為網(wǎng)絡(luò)通訊和電子郵件的感染上來。其傳播速度極快、破壞力更強，據(jù)統(tǒng)計一個新病毒從一臺計算機出發(fā)僅六個小時就能感染全球互聯(lián)網(wǎng)機器。網(wǎng)絡(luò)一旦被病毒侵入而發(fā)作，將會對重要數(shù)據(jù)的安全、網(wǎng)絡(luò)環(huán)境的正常運行帶來嚴(yán)重的危害。區(qū)政務(wù)外網(wǎng)的重要程度非常高，病毒一旦發(fā)生與擴散，造成的后果不可估量，所以防止計算機病毒是區(qū)政務(wù)外網(wǎng)安全

36、設(shè)計的重要環(huán)節(jié)。整個病毒防護系統(tǒng)的部署包括三個部分：服務(wù)器父中心端，服務(wù)器子中心端和客戶端。由于區(qū)政務(wù)外網(wǎng)信息點較多，在政務(wù)網(wǎng)核心區(qū)部署專用的防病毒服務(wù)器，同時，在各個分中心同樣部署防病毒服務(wù)器，對防病毒客戶端進行集中管理，在各客戶端安裝防病毒客戶端軟件，防病毒控制中心可以對所有的客戶端進行強制防病毒策略的實施，避免因為人為原因造成病毒防護失敗。區(qū)政務(wù)信息系統(tǒng)應(yīng)選用的是具有多層的病毒防護體系的防病毒軟件來構(gòu)建整個區(qū)政務(wù)網(wǎng)的防病毒部署，由防病毒父中心對位于不同區(qū)域的一級防病毒子中心和直屬客戶端進行控制和更新，再由防病毒一級子中心對所屬下面的防病毒客戶端或二級子中心進行日常的維護更新，由此形成多級

37、的立體的防病毒體系。2) 網(wǎng)絡(luò)審計安全審計是網(wǎng)絡(luò)安全系統(tǒng)中一個重要的環(huán)節(jié)。各單位信息網(wǎng)絡(luò)包含了許多業(yè)務(wù)系統(tǒng)，特別對于一些重要的業(yè)務(wù)系統(tǒng)，需要對重要的操作訪問進行審計，防止濫用。通過安全審計技術(shù)能夠收集審計跟蹤的信息，通過列舉被記錄的安全事件的類別（例如對安全要求的明顯違反或成功操作的完成），能適應(yīng)各種不同的需要。已知安全審計的存在可對某些潛在的侵犯安全的攻擊源起到威懾作用。如圖6.2“政府網(wǎng)絡(luò)核心區(qū)域”模塊所示，在核心交換機處安裝1臺網(wǎng)絡(luò)安全審計系統(tǒng)，并采用統(tǒng)一的控制中心進行管理。網(wǎng)絡(luò)安全審計系統(tǒng)上有兩種端口，分別為管理端口、探頭。分布型網(wǎng)絡(luò)安全審計系統(tǒng)由控制中心和檢測引擎組成，控制中心是軟件

38、安裝在客戶指定的服務(wù)器上，檢測引擎是有管理端口和探頭的硬件設(shè)備。網(wǎng)絡(luò)審計系統(tǒng)能實現(xiàn)實時采集網(wǎng)絡(luò)中對應(yīng)用系統(tǒng)的訪問信息，進行協(xié)議分析，恢復(fù)還原應(yīng)用層數(shù)據(jù)，自動記錄重要的事件，協(xié)助網(wǎng)管人員全面地掌握網(wǎng)絡(luò)使用情況，及時發(fā)現(xiàn)、制止非法訪問。審計范圍是與外網(wǎng)相連接的鏈路，通過在交換機做鏡像來采集數(shù)據(jù)。4. 支撐性基礎(chǔ)措施安全支撐性基礎(chǔ)措施安全包括公鑰體制建設(shè)和系統(tǒng)綜合管理平臺兩個方面。1) 公鑰體系建設(shè)公鑰體系建設(shè)分為兩個方面：統(tǒng)一授權(quán)管理和統(tǒng)一認(rèn)證，兩者是相互關(guān)聯(lián)的有機整體，其目的是為了解決電子政務(wù)網(wǎng)絡(luò)中要解決的安全核心問題，包括網(wǎng)絡(luò)中各實體身份認(rèn)證、身份真實性、信息保密性、信息完整性、授權(quán)合法性、不

39、可抵賴性。其平臺建設(shè)應(yīng)根據(jù)系統(tǒng)應(yīng)用當(dāng)前的實際情況，有計劃、有重點地進行和展開，先建立證書應(yīng)用環(huán)境，即部署證書發(fā)放模塊（RA系統(tǒng)）實現(xiàn)基于證書的身份認(rèn)證，然后擴大應(yīng)用范圍，并實現(xiàn)重要業(yè)務(wù)的責(zé)任認(rèn)定，最后待該平臺從功能上、性能上、穩(wěn)定性等幾個方面不斷完善以后，將其同各類應(yīng)用平臺集成，實現(xiàn)安全應(yīng)用系統(tǒng)。區(qū)電子政務(wù)網(wǎng)絡(luò)公鑰體系建設(shè)主要包括SHECA RA系統(tǒng)建設(shè)、應(yīng)用系統(tǒng)安全認(rèn)證建設(shè)和網(wǎng)絡(luò)遠程接入認(rèn)證建設(shè)三個方面。（注：SHECA，即上海電子商務(wù)安全證書管理中心，是上海市惟一從事數(shù)字證書簽發(fā)和管理業(yè)務(wù)的權(quán)威性認(rèn)證中心）(1) SHECA RA系統(tǒng)建設(shè)。SHECA RA(以下簡稱“RA”)作為SHECA

40、系統(tǒng)證書管理服務(wù)功能在電子政務(wù)各單位的延伸，不但能夠方便區(qū)證書應(yīng)用自行管理數(shù)字證書，更能根據(jù)各自應(yīng)用的具體情況進行證書信息定制，使得數(shù)字證書在應(yīng)用過程中更能滿足應(yīng)用對用戶屬性信息的需要。RA系統(tǒng)建設(shè)需要部署如下內(nèi)容：Ø RA服務(wù)器：RA服務(wù)器作為RA服務(wù)的主體，需要首先在用戶單位進行安裝部署；Ø 管理終端：管理終端的作用是對RA服務(wù)器進行日常維護和管理；Ø 制證終端：制證終端的作用是對用戶證書的申請、審核、制作、管理；Ø 防火墻：若用戶有條件，最好在RA服務(wù)區(qū)出口處部署一臺防火墻，以加強RA服務(wù)區(qū)的網(wǎng)絡(luò)環(huán)境安全性；配置政務(wù)外網(wǎng)與互聯(lián)網(wǎng)的邊界防火墻，以使R

41、A服務(wù)器能夠同SHECA指定的服務(wù)器通訊。(2) 應(yīng)用系統(tǒng)安全認(rèn)證建設(shè)。應(yīng)用系統(tǒng)安全認(rèn)證建設(shè)作為數(shù)字證書的典型應(yīng)用，不但技術(shù)成熟，部署迅速，而且效果突出，用戶操作便捷，因此推薦采用其作為初次建立安全支撐平臺的工作內(nèi)容。應(yīng)用系統(tǒng)安全認(rèn)證建設(shè)需要部署以下內(nèi)容：Ø 安全認(rèn)證網(wǎng)關(guān)部署：安全認(rèn)證網(wǎng)關(guān)作為應(yīng)用系統(tǒng)安全認(rèn)證的重要組成部分，能夠?qū)崿F(xiàn)基于數(shù)字證書的用戶身份安全認(rèn)證、訪問控制、數(shù)據(jù)傳輸加密，并為應(yīng)用系統(tǒng)提供用戶證書信息獲取接口。安全認(rèn)證網(wǎng)關(guān)部署在客戶端和應(yīng)用服務(wù)器通訊鏈路之間；Ø 應(yīng)用系統(tǒng)接入：根據(jù)安全認(rèn)證網(wǎng)關(guān)獲取用戶證書信息的接口改造用戶登錄認(rèn)證模塊；Ø 客戶端：安

42、裝數(shù)字證書USB Key驅(qū)動；Ø 防火墻配置：若在應(yīng)用服務(wù)區(qū)和用戶工作區(qū)之間部署了防火墻，需要配置防火墻開放安全認(rèn)證網(wǎng)關(guān)安全認(rèn)證的端口，允許客戶端訪問該端口。(3) 網(wǎng)絡(luò)遠程接入認(rèn)證建設(shè)。網(wǎng)絡(luò)遠程接入認(rèn)證建設(shè)的目標(biāo)是基于SHECA簽發(fā)的數(shù)字證書，通過部署安全認(rèn)證網(wǎng)關(guān)，實現(xiàn)工作人員能夠通過Internet網(wǎng)絡(luò)安全地連接到電子政務(wù)網(wǎng)，并能夠如同在政務(wù)網(wǎng)環(huán)境中正常使用各應(yīng)用系統(tǒng)。網(wǎng)絡(luò)遠程接入認(rèn)證部署內(nèi)容包括遠程接入認(rèn)證客戶端和安全認(rèn)證網(wǎng)關(guān)兩方面，其中前者采用數(shù)字證書和安全認(rèn)證客戶端套件，實現(xiàn)基于數(shù)字證書的遠程登錄，實現(xiàn)雙網(wǎng)獨立；后者采用SSL/VPN技術(shù)，實現(xiàn)對客戶端證書驗證和訪問控制，在

43、客戶端和服務(wù)端建立高強度加密的安全通訊鏈路。部署具體內(nèi)容如下：Ø 在互聯(lián)網(wǎng)和電子政務(wù)外網(wǎng)邊界防火墻的DMZ區(qū)部署安全認(rèn)證網(wǎng)關(guān)，如圖6.2“DMZ”模塊所示，以確保所有需要進入政務(wù)外網(wǎng)的訪問請求都必須首先通過安全認(rèn)證網(wǎng)關(guān)的認(rèn)證后才能進行；Ø 在邊界防火墻中配置策略，允許外部用戶訪問安全認(rèn)證網(wǎng)關(guān)的服務(wù)端口(僅需1個端口即可)；Ø 在需要進行遠程訪問電子政務(wù)外網(wǎng)應(yīng)用的終端計算機上安裝安全認(rèn)證客戶端軟件，以實現(xiàn)對政務(wù)外網(wǎng)的訪問以及客戶端策略的執(zhí)行；Ø 在安全認(rèn)證網(wǎng)關(guān)上配置訪問控制策略，如允許哪些用戶訪問哪些應(yīng)用，是否允許客戶端在訪問政務(wù)外網(wǎng)的時候訪問互聯(lián)網(wǎng)其他應(yīng)

44、用。2) 系統(tǒng)綜合管理平臺對區(qū)中心大樓內(nèi)政務(wù)平臺內(nèi)的所有小型機、服務(wù)器、存儲設(shè)備、網(wǎng)絡(luò)設(shè)備、UPS、機房空調(diào)設(shè)備監(jiān)控。該平臺要能夠?qū)崿F(xiàn)對網(wǎng)絡(luò)設(shè)備、服務(wù)器和機房中的各種設(shè)備的運行情況進行監(jiān)視，能夠提前對設(shè)備的異常情況發(fā)出報警，及時控制異常設(shè)備。平臺由網(wǎng)絡(luò)管理和機房環(huán)境監(jiān)控組成。(1) 網(wǎng)絡(luò)管理系統(tǒng)。新網(wǎng)絡(luò)中心的網(wǎng)絡(luò)規(guī)模大，設(shè)備多，同時有很多重要應(yīng)用服務(wù)器，因此需要通過高效的網(wǎng)絡(luò)管理系統(tǒng)來對整個網(wǎng)絡(luò)進行監(jiān)控，從而保證網(wǎng)絡(luò)的正常運行。好的網(wǎng)關(guān)系統(tǒng)不僅在網(wǎng)絡(luò)發(fā)生故障時報警并能夠準(zhǔn)確快速定位故障點，并且需要在故障發(fā)生前就能夠根據(jù)各種網(wǎng)絡(luò)設(shè)備的流量、負(fù)載的情況，及時察覺網(wǎng)絡(luò)的異常，將網(wǎng)絡(luò)故障消滅在萌芽狀態(tài)

45、。網(wǎng)絡(luò)管理系統(tǒng)能解決的問題有以下幾方面：Ø 提供網(wǎng)絡(luò)穩(wěn)定安全運行最為強大的技術(shù)保障，使業(yè)務(wù)運營連續(xù)高效。Ø 完全掌握全網(wǎng)整體結(jié)構(gòu)，有助于發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，便于做出網(wǎng)絡(luò)升級參考。Ø 及時的預(yù)警以及告警，提高網(wǎng)絡(luò)運行質(zhì)量以及穩(wěn)定性，快速的故障定位以及恢復(fù)。Ø 降低故障發(fā)生率，提升用戶滿意度。Ø 擴大業(yè)務(wù)市場占有率，直接帶來效益。Ø 科學(xué)的升級我們的網(wǎng)絡(luò)，保護我們的投資，避免浪費。Ø 強大的報表系統(tǒng)來體現(xiàn)整個網(wǎng)絡(luò)的運行情況和工作業(yè)績。(2) 機房環(huán)境監(jiān)控系統(tǒng)：機房環(huán)境系統(tǒng)包括七個組成部分：UPS設(shè)備監(jiān)控、機房專用空調(diào)監(jiān)控

46、、配電設(shè)備監(jiān)控、門禁系統(tǒng)監(jiān)控、機房環(huán)境監(jiān)控、直放站合入器監(jiān)控、圖像監(jiān)控。根據(jù)要求，我們?yōu)閰^(qū)政務(wù)網(wǎng)機房安裝其中的四部分。Ø UPS：機房內(nèi)的UPS對于網(wǎng)絡(luò)設(shè)備是至關(guān)重要的，它不僅在斷電時為網(wǎng)網(wǎng)絡(luò)設(shè)備提供電源，而且在正常供電時它能對市電進行濾波和功率因素修正，可以完全解決所有的電源問題，如斷電、市電高、低壓、電壓瞬時跌落、減幅振蕩、高壓脈沖、電壓波動、浪涌電壓、諧波失真、雜波干擾、頻率波動等電源問題。所以UPS是否正常工作，對我們的網(wǎng)絡(luò)系統(tǒng)是很重要的。機房環(huán)境監(jiān)控設(shè)備對UPS工作狀態(tài)進行監(jiān)控，并通過監(jiān)控系統(tǒng)輸出相應(yīng)的數(shù)據(jù)，顯示在大屏幕上，使工作人員能夠非常直觀的了解UPS的工作狀態(tài)。同時

47、當(dāng)UPS處在非正常工作狀態(tài)下，環(huán)境監(jiān)控系統(tǒng)會立刻聯(lián)動報警系統(tǒng)，通過聲光、電話、PB等報警。Ø 環(huán)境監(jiān)控：該系統(tǒng)能夠準(zhǔn)確的探測機房內(nèi)的溫度、濕度等。工作人員對環(huán)境監(jiān)控系統(tǒng)設(shè)定閾值，保證機房環(huán)境在其設(shè)定的范圍內(nèi)，一旦機房的環(huán)境與我們對系統(tǒng)設(shè)定的狀態(tài)不符，該系統(tǒng)會立即通過聲光、電話、PB機告警。Ø 圖像：對圖像的監(jiān)控即對閉路監(jiān)控系統(tǒng)的控制，能與其他監(jiān)控設(shè)備聯(lián)動，也可更具需要獨立控制。Ø 精密空調(diào)監(jiān)控：該系統(tǒng)能夠遙測空調(diào)回風(fēng)溫度、濕度壓縮機、風(fēng)機、加濕器、加熱器的工作狀態(tài)，以及溫度過高、溫度過低、濕度過大、濕度過小、高壓告警、風(fēng)機故障、壓縮機故障、加濕器故障、排氣壓力過高

48、、進氣壓力過低等所有告警，可遙控開機、關(guān)機，溫、濕度設(shè)置，告警復(fù)位。 Ø 其他監(jiān)控：機房環(huán)境監(jiān)控系統(tǒng)暫時不需要對配電設(shè)備系統(tǒng)監(jiān)控，但我們在監(jiān)控系統(tǒng)中預(yù)留了配電接口，對以后配電系統(tǒng)擴大升級需要監(jiān)控時，可以輕松實現(xiàn)配電系統(tǒng)監(jiān)控的兼容。對門禁的監(jiān)控需要門禁系統(tǒng)開放其協(xié)議，從而實現(xiàn)對門禁的開關(guān)狀態(tài)，人員的進出狀態(tài)的讀取，并以RS485接口送往智能采集模塊或者工業(yè)計算機，隨后智能采集模塊或者工業(yè)計算機以RS232 接口送多路復(fù)用設(shè)備進行時隙復(fù)用或抽取，再通過標(biāo)準(zhǔn)E1 傳輸送到監(jiān)控中心，顯示在監(jiān)視大屏幕上。但門禁系統(tǒng)暫時無法提供其協(xié)議，所以我們預(yù)留門禁系統(tǒng)接口。 6. 5 產(chǎn)品選型1. 防火墻（

49、千兆）1) 防火墻性能要求根據(jù)網(wǎng)絡(luò)設(shè)計要求防火墻網(wǎng)絡(luò)處理能力應(yīng)達到2Gbps；最大并發(fā)連接數(shù)應(yīng)大于200萬；每秒新建連接數(shù)應(yīng)達到25000；MTBF（小時）應(yīng)達到90，000 ；延時應(yīng)小于40s；VPN隧道數(shù)應(yīng)達到2000；應(yīng)支持虛擬網(wǎng)卡技術(shù)；支持內(nèi)核級會話檢測；支持QoS；支持VPN；支持本地認(rèn)證，Radius認(rèn)證；支持LDAP認(rèn)證；支持一次性口令認(rèn)證；支持X.509證書；支持分級管理；支持配置文件的導(dǎo)入導(dǎo)出；支持條件查詢?nèi)罩疽约岸喾N輸出方式；支持狀態(tài)監(jiān)控；支持TCP/IP、IPX、H.323、SIP、MSN協(xié)議，支持802.1Q；支持雙機熱備，支持負(fù)載均衡，支持多出口的路由均衡；MTBF(

50、最大平均無故障時間）應(yīng)達到100000小時。2) 防火墻產(chǎn)品選型根據(jù)以上性能指標(biāo)要求，我們選擇了華依HY-F2000K（U）、天融信NGFW4000、網(wǎng)御神州SecGate_3600-G7三款市場定位相同的主流廠商的核心交換機產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標(biāo)后的綜合評價分別如圖6.3和6.4所示。 圖6.3 防火墻產(chǎn)品對比 6.4 防火墻產(chǎn)品綜合評價我們根據(jù)上面的對比結(jié)果，建議采用華依公司的HY-F2000K（U）防火墻。2. 負(fù)載均衡1) 負(fù)載均衡系統(tǒng)性能要求網(wǎng)絡(luò)負(fù)載均衡建立在現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)之上，它提供了一種有效、透明的方法，來擴展網(wǎng)絡(luò)設(shè)備的帶寬、增加吞吐量、加強網(wǎng)絡(luò)數(shù)據(jù)處理能力

51、、提高網(wǎng)絡(luò)的靈活性和可用性。因為大量的并發(fā)訪問或數(shù)據(jù)流量流經(jīng)負(fù)載均衡設(shè)備，所以其產(chǎn)品的穩(wěn)定性、處理能力至關(guān)重要，同時產(chǎn)品的可管理性和安全性非常重要。主要技術(shù)指標(biāo)背板能力14Gb/s；流量吞吐量500Mb/s；二層能力：線速；四層能力6萬；七層能力2.2萬；并發(fā)會話數(shù)量400萬；支持HA:心跳及網(wǎng)絡(luò)兩種方式，支持毫秒級雙機切換，平均無故障時間50000小時；支持多種均衡算法；提供API接口支持SSH，HTTPS（WEB）安全管理；應(yīng)用加速，服務(wù)器和帶寬成本低；具備IP應(yīng)用的集成解決方案。2) 負(fù)載均衡系統(tǒng)產(chǎn)品選型根據(jù)以上性能指標(biāo)要求，我們選擇了Radware公司的LinkProof 202和F5

52、公司的Big-IP Link Controller 1500兩款負(fù)載均衡系統(tǒng)產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標(biāo)后的綜合評價分別如圖6.5和6.6所示。 圖6.5 負(fù)載均衡系統(tǒng)產(chǎn)品對比 圖6.6 負(fù)載均衡系統(tǒng)產(chǎn)品綜合評價我們根據(jù)上面的對比結(jié)果，建議采用Radware公司的LinkProof 202負(fù)載均衡產(chǎn)品。3. 入侵防御區(qū)政務(wù)網(wǎng)信息系統(tǒng)防御入侵的要求除了采用防火墻外，還需要配備入侵防御設(shè)備，作為防火墻的補充，實時檢測內(nèi)部網(wǎng)絡(luò)，發(fā)現(xiàn)非法入侵則通過防火墻聯(lián)動阻斷入侵。1) 入侵防御系統(tǒng)功能要求在互聯(lián)網(wǎng)出口處部署IPS設(shè)備，要求采用成熟、穩(wěn)定的產(chǎn)品。由于IPS為串聯(lián)設(shè)備，為保證網(wǎng)絡(luò)的穩(wěn)

53、定性，要求一旦IPS設(shè)備出現(xiàn)問題，可以通過旁路避免影響用戶使用網(wǎng)絡(luò)。IPS對所有流經(jīng)的流量進行深度分析與檢測，具備實時阻斷攻擊的能力，同時應(yīng)對正常流量不產(chǎn)生任何影響。IPS應(yīng)可以有效檢測并實時阻斷隱藏在海量網(wǎng)絡(luò)流量中的病毒、攻擊與濫用行為，也可以對分布在網(wǎng)絡(luò)中的各種流量進行有效管理，從而達到對網(wǎng)絡(luò)上應(yīng)用的保護、網(wǎng)絡(luò)基礎(chǔ)設(shè)施的保護和網(wǎng)絡(luò)性能的保護。IPS應(yīng)在跟蹤流狀態(tài)的基礎(chǔ)上，對報文進行2層到7層信息的深度檢測，可以在蠕蟲、病毒、木馬、DoS/DDoS、后門、Walk-in蠕蟲、連接劫持、帶寬濫用等威脅發(fā)生前成功地檢測并阻斷，IPS也能夠有效防御針對路由器、交換機、DNS服務(wù)器等網(wǎng)絡(luò)重要基礎(chǔ)設(shè)施

54、的攻擊。 2) 入侵檢測系統(tǒng)產(chǎn)品選型根據(jù)以上性能指標(biāo)要求，我們選擇了Radware的DP202和TippingPoint的TippingPoint 200兩款入侵檢測系統(tǒng)產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標(biāo)后的綜合評價分別如圖6.7和6.8所示。 圖6.7 入侵檢測產(chǎn)品對比 圖6.8 入侵檢測產(chǎn)品綜合評價我們根據(jù)上面的對比結(jié)果，建議采用Radware公司的DP202入侵檢測產(chǎn)品。4. 網(wǎng)絡(luò)審計系統(tǒng)1) 網(wǎng)絡(luò)審計系統(tǒng)性能要求安全審計是網(wǎng)絡(luò)安全系統(tǒng)中一個重要的環(huán)節(jié)。各單位信息網(wǎng)絡(luò)包含了許多業(yè)務(wù)系統(tǒng)，特別對于一些重要的業(yè)務(wù)系統(tǒng)，需要對重要的操作訪問進行審計，防止濫用。通過安全審計技術(shù)能夠收

55、集審計跟蹤的信息，通過列舉被記錄的安全事件的類別（例如對安全要求的明顯違反或成功操作的完成），能適應(yīng)各種不同的需要。已知安全審計的存在可對某些潛在的侵犯安全的攻擊源起到威懾作用。安全審計系統(tǒng)應(yīng)包括對HTTP、TELNET、FTP、SMTP、POP3、SMB、ICQ、OICQ、MSN Messenger等協(xié)議的審計，并應(yīng)該包括對網(wǎng)絡(luò)中的TCP和UDP協(xié)議流量，以及對網(wǎng)絡(luò)中的所有主機的通信流量和當(dāng)前的TCP活動連接流量進行統(tǒng)計。2) 網(wǎng)絡(luò)審計系統(tǒng)產(chǎn)品選型根據(jù)以上性能指標(biāo)要求，我們選擇了三零鷹眼NSAS1000-4A和復(fù)旦光華S_Audit兩款網(wǎng)絡(luò)，具體的對比結(jié)果和綜合各項指標(biāo)后的綜合評價分別如圖6

56、.9和6.10所示。 圖6.9 網(wǎng)絡(luò)審計系統(tǒng)產(chǎn)品對比 圖6.10 網(wǎng)絡(luò)審計系統(tǒng)綜合評價我們根據(jù)上面的對比結(jié)果，建議采用三零公司的鷹眼NSAS1000-4A產(chǎn)品。5. 網(wǎng)絡(luò)防病毒1) 產(chǎn)品性能要求網(wǎng)絡(luò)防病毒產(chǎn)品主要技術(shù)指標(biāo)參數(shù)要求能夠支持7000用戶使用；包括對網(wǎng)絡(luò)中所有客戶端、服務(wù)器的郵件和網(wǎng)關(guān)的病毒防護；擁有廣泛的平臺支持，具備自動化集中管理能力和先進的掃描輪詢方式；具備強大的病毒查殺和修復(fù)能力，以及全方位的域保護能力；快速響應(yīng)和病毒庫更新，具備強大的系統(tǒng)管理能力，網(wǎng)絡(luò)自動更新，軟件分發(fā)，以及良好的自我保護機制。 2) 防病毒產(chǎn)品選型根據(jù)以上性能指標(biāo)要求，我們選擇了symantec公司的antivirus和趨勢公司的Client Server Suite兩款在國內(nèi)占有率最高的網(wǎng)絡(luò)防病毒產(chǎn)品進行對比分析，具體的對比結(jié)果和綜合各項指標(biāo)后的綜合評價分別如圖6.11和6.12所示。 圖6.11 防病毒產(chǎn)品對比 圖6.12 防病毒產(chǎn)品綜合評價我們根據(jù)上面的對比結(jié)果，建議采用趨勢公司的Client Server Suite( OfficeScan