業(yè)務(wù)系統(tǒng)數(shù)據(jù)安全技術(shù)方案文獻(xiàn)

1、 業(yè)務(wù)系統(tǒng)數(shù)據(jù)安全技術(shù)方案 TOC o 1-5 h z HYPERLINK l bookmark6 o Current Document 業(yè)務(wù)數(shù)據(jù)安全平臺建設(shè)總體方案3業(yè)務(wù)系統(tǒng)數(shù)據(jù)安全解決方案 示范要點(diǎn) 3建設(shè)內(nèi)容 3 HYPERLINK l bookmark10 o Current Document 技術(shù)設(shè)計(jì)方案12業(yè)務(wù)數(shù)據(jù)安全平臺建設(shè)總體方案業(yè)務(wù)系統(tǒng)數(shù)據(jù)安全解決方案示范要點(diǎn)探索建立企業(yè)信息系統(tǒng)數(shù)據(jù)分級分類體系： 研究系統(tǒng)化的數(shù)據(jù)分類分級保護(hù)。建立信息安全管理體系，建立企業(yè)信息系統(tǒng)保護(hù)規(guī)范、保護(hù)基線和檢查辦法、人員行為規(guī)范、信息安全事件應(yīng)急響應(yīng)規(guī)范，建立信息保護(hù)意識培訓(xùn)與宣貫機(jī)制和相關(guān)材料。

2、建立新一代信息系統(tǒng)業(yè)務(wù)數(shù)據(jù)敏感標(biāo)記策略和打標(biāo)機(jī)制。建立企業(yè)信息系統(tǒng)保護(hù)的整體安全架構(gòu)，其中整體安全策略、安全架構(gòu)、安全基礎(chǔ)設(shè)施和安全措施的設(shè)計(jì),以及安全構(gòu)件庫的實(shí)現(xiàn)具有很大的參考性和推廣價(jià)值，值得各相關(guān)機(jī)構(gòu)借鑒，有利于形成信息保護(hù)的信息安全技術(shù)標(biāo)準(zhǔn)。信息保護(hù)相關(guān)安全設(shè)計(jì)、 開發(fā)與測試知識庫具有通用性，可以進(jìn)行推廣和培訓(xùn)，提升業(yè)系統(tǒng)研發(fā)人員的安全素質(zhì)。建設(shè)內(nèi)容數(shù)據(jù)分類分級策略建立企業(yè)信息系統(tǒng)數(shù)據(jù)分類分級體系：對業(yè)務(wù)數(shù)據(jù)進(jìn)行梳理和識別，制定數(shù)據(jù)分類分級框架， 形成數(shù)據(jù)分類分級列表， 識別出重要業(yè)務(wù)敏感數(shù)據(jù)的類型、所屬部門、 CIA 保護(hù)級別、存儲方式、期限以及應(yīng)采取的保護(hù)措施建議等。信息安全管理體

3、系建立信息安全管理規(guī)范， 確定信息保護(hù)方面的總體安全策略、信息安全交換管理機(jī)制和信息安全技術(shù)防護(hù)與安全管理要求。建立信息保護(hù)基線與檢查管理辦法，確定信息保護(hù)最低技術(shù)要求和最低管理要求，以及相應(yīng)檢查項(xiàng)、檢查方法和整體評估打分機(jī)制。(3)建立人員安全行為規(guī)范，規(guī)范信息操作運(yùn)維人員的行為，并建立相關(guān)個(gè)人信息保護(hù)獎勵與處罰機(jī)制數(shù)據(jù)敏感標(biāo)記策略和打標(biāo)機(jī)制根據(jù)現(xiàn)有的敏感數(shù)據(jù)傳輸、處理與存儲機(jī)制，建立數(shù)據(jù)敏感標(biāo)記策略，使 得數(shù)據(jù)標(biāo)記可以反映數(shù)據(jù)類別，CIA安全保護(hù)級別等。建立敏感標(biāo)記附加機(jī)制, 綁定數(shù)據(jù)與標(biāo)記，方便執(zhí)行安全策略。企業(yè)信息系統(tǒng)總體安全架構(gòu)設(shè)計(jì)和安全架構(gòu)策略企業(yè)信息系統(tǒng)整體安全架構(gòu)實(shí)現(xiàn)過程中需要

4、考慮如下方面：企業(yè)信息系統(tǒng)業(yè)務(wù)數(shù)據(jù)【旅客數(shù)據(jù)】分類分級策略企業(yè)信息系統(tǒng)整體安全架構(gòu)設(shè)計(jì)實(shí)現(xiàn)需要遵循的策略企業(yè)信息系統(tǒng)整體安全架構(gòu)設(shè)計(jì)需要簡單化和有一定的經(jīng)濟(jì)性，將所有 安全措施實(shí)現(xiàn)切分為通用安全措施實(shí)現(xiàn)和個(gè)性化安全措施實(shí)現(xiàn)，前者應(yīng) 歸納到安全基礎(chǔ)設(shè)施中，后者作為嵌入到各子系統(tǒng)，單獨(dú)編碼實(shí)現(xiàn)。企業(yè)信息系統(tǒng)安全基礎(chǔ)設(shè)施及其支撐安全運(yùn)行的方式企業(yè)信息系統(tǒng)主要安全措施及其與安全基礎(chǔ)設(shè)施之間的關(guān)系圖3-1-1企業(yè)信息系統(tǒng)整體安全架構(gòu)設(shè)計(jì)示意圖一應(yīng)用分區(qū)分層安全策略安全 指連品隹管理與身份認(rèn)證基E出設(shè)旅全理施安基設(shè)權(quán)限管理與訪問控制基礎(chǔ)設(shè)旅 . 加解密基礎(chǔ)謾端民航商務(wù)信息系統(tǒng)系疣安全管理、監(jiān)控與審計(jì)基礎(chǔ)設(shè)

5、施 高可用與災(zāi)奮基礎(chǔ)設(shè)施圖3-1-2企業(yè)信息系統(tǒng)整體安全架構(gòu)設(shè)計(jì)不意圖二關(guān)注應(yīng)用分區(qū)分層、縱深防御、差異化部署和安全訪問策略，企業(yè)信息系 統(tǒng)群的運(yùn)行環(huán)境安全設(shè)計(jì)和自身安全設(shè)計(jì)。(1)安全架構(gòu)設(shè)計(jì)策略1)企業(yè)信息系統(tǒng)的分區(qū)分層。分區(qū)是為了橫向隔離各 web前端，如各航 空公司的專屬系統(tǒng)，為了保證相互操作不會產(chǎn)生干擾，某個(gè)航空公司系統(tǒng)被 攻擊或淪陷后不影響其他航空公司的系統(tǒng)，需要采取有效設(shè)計(jì)對子系統(tǒng)系統(tǒng) 以及子系統(tǒng)數(shù)據(jù)進(jìn)行解耦，進(jìn)行必要的子系統(tǒng)間的隔離。企業(yè)信息系統(tǒng)分層是為了建立系統(tǒng)的整體縱深層次，在各個(gè)不同層次上添加不同的安全措施， 使得同一威脅，有多個(gè)安全防護(hù)措施同時(shí)進(jìn)行針對性防御。目前已知的

6、企業(yè) 信息系統(tǒng)的網(wǎng)絡(luò)安全層次為Internet區(qū)域、DMZ Web服務(wù)器區(qū)域和內(nèi)網(wǎng)應(yīng)用 服務(wù)器層次，信任度逐漸升高，項(xiàng)目執(zhí)行過程中可能會根據(jù)實(shí)際情況和安全 需要劃分更多的網(wǎng)絡(luò)層次，使得不同網(wǎng)絡(luò)層次專注不同網(wǎng)絡(luò)威脅，并為后續(xù) 的縱深防御打下基礎(chǔ)。對于數(shù)量龐大的web應(yīng)用，將會根據(jù)其數(shù)據(jù)敏感屬性、 用戶敏感屬性、訪問鏈路的安全級別進(jìn)行歸類分區(qū)，形成合理的基于云計(jì)算 的web網(wǎng)站群分布格局，盡量縮小網(wǎng)絡(luò)出口的數(shù)量，以利于后續(xù)的統(tǒng)一監(jiān)測、 統(tǒng)一管理和統(tǒng)一防范。I nt巳met安全域后臺安全域圖3-1-3企業(yè)信息系統(tǒng)安全域劃分示意圖縱深防御策略。單一安全防御措施經(jīng)常因?yàn)樵O(shè)計(jì)不當(dāng)、 維護(hù)不當(dāng)、硬件失效等原

7、因無法永久有效的應(yīng)對某類網(wǎng)絡(luò)威脅，這種情況需要針對某類 威脅具有多層次的防御措施，比如 SQL注入攻擊，可以在DMZ區(qū)域web服 務(wù)器前端用接部署WAF設(shè)備，同時(shí)在應(yīng)用程序內(nèi)采取防 SQL注入手段和報(bào) 警與日志審計(jì)手段，如果前端的 WAF安全功能失效，應(yīng)用程序自身仍然可以 抵御和發(fā)現(xiàn)該類攻擊。針對具體威脅的防護(hù)手段具有多種形式，主要可分為 防御、檢測和審計(jì)等形式，為了防御安全威脅，第一選擇是防御措施，使得 該攻擊不產(chǎn)生不良后果；第二選擇是檢測措施，發(fā)現(xiàn)攻擊的行為，及時(shí)報(bào)警、 及時(shí)響應(yīng)、及時(shí)阻斷，也能夠做到攻擊影響最小化；第三選擇是審計(jì)措施， 通過對攻擊行為和過程記錄日志，并進(jìn)行事后分析，還原攻

8、擊過程，確定攻 擊者身份，找出內(nèi)部脆弱性，并追究攻擊者法律責(zé)任，在某種程度上也能起 到威懾和挽回?fù)p失的效果。企業(yè)信息系統(tǒng)縱深防御會根據(jù)風(fēng)險(xiǎn)分析的結(jié)果，在多個(gè)網(wǎng)絡(luò)層次上部署不同安全措施，形成全方位和立體化的防御體系。攻擊面最小化。 企業(yè)信息系統(tǒng)包含了不同安全級別的數(shù)據(jù)， 并且面對了不同敏感度的用戶。從用戶的體驗(yàn)角度出發(fā)，為用戶提供全方位的接入方式和訪問方式，如全天候的 BYOD 的支持，但從安全角度出發(fā)，需要對接入方式、訪問方式進(jìn)行限制，如某航空公司的 Web 應(yīng)用，覆蓋了航空公司所有業(yè)務(wù)操作內(nèi)容，如航班控制、座位控制、用戶管理、授權(quán)管理等內(nèi)容，為了保證總體的安全性，并減少總體安全成本，總體設(shè)計(jì)

9、要求用戶管理和授權(quán)管理等操作需要VPN 接入到內(nèi)網(wǎng)進(jìn)行操作，而那些不敏感的查閱操作，或影響較小的操作可以提供 Internet 訪問方式。 通過這種方式規(guī)避了敏感業(yè)務(wù)暴露在Internet 中產(chǎn)生的高風(fēng)險(xiǎn)。 為了實(shí)現(xiàn)攻擊面最小化策略， 需要對 企業(yè)信息系統(tǒng)功能細(xì)分，根據(jù)其數(shù)據(jù)、業(yè)務(wù)和用戶的敏感性，區(qū)別發(fā)布與部署，進(jìn)而提供差異化的安全訪問方式，而減少整體安全風(fēng)險(xiǎn)。對于一些敏感的查詢，需要控制每次的查詢量和查詢范圍，有效降低數(shù)據(jù)泄露造成的影響面。企業(yè)信息系統(tǒng)在整體設(shè)計(jì)中包含的主要控制措施如下：身份管理，企業(yè)信息系統(tǒng)中包含了眾多的用戶， 如航空公司用戶、機(jī)場用戶、代理商用戶、以及越來越多的旅客用戶和

10、與航空公司形成戰(zhàn)略合作關(guān)系的酒店、出租車、旅游景點(diǎn)用戶等，用戶，對這些用戶進(jìn)行全生命周期管理，不僅可以增加其對航空公司的價(jià)值，還能顯著提高系統(tǒng)的安全性。身份管理應(yīng)至少支持身份創(chuàng)建、修改、掛失、激活、查詢、凍結(jié)、備份、刪除等功能。應(yīng)至少支持集中管理模式、自助管理模式和外部其他大客戶自助管理模式。 企業(yè)信息系統(tǒng)的訪問者還包括對端的服務(wù)器或客戶端，此類機(jī)器或軟件的身份也應(yīng)納入到身份管理范圍。權(quán)限管理，權(quán)限與用戶關(guān)聯(lián)，因?yàn)橛脩艟哂胁环€(wěn)定特征，權(quán)限時(shí)常發(fā)生變化。通常權(quán)限的生命周期短于用戶的生命周期，一個(gè)用戶經(jīng)常與多個(gè)權(quán)限關(guān)聯(lián)，造成權(quán)限管理工作量遠(yuǎn)超過身份管理的工作量，權(quán)限管理的相關(guān)設(shè)計(jì)顯得尤為重要， 業(yè)

11、界較為通用的 RBAC 權(quán)限管理模式具有適用范圍廣，高可擴(kuò)展， 并且可大幅降低權(quán)限管理的工作量。 系統(tǒng)將會采取RBAC 權(quán)限管理模式，進(jìn)行靈活授權(quán)。權(quán)限管理也應(yīng)該支持集中管理模式、公司自助管理模式和外部其他大客戶自助管理模式。身份認(rèn)證，用戶在使用系統(tǒng)前必須通過身份驗(yàn)證，由于 web 用戶的類別復(fù)雜性和網(wǎng)絡(luò)位置不確定性， 企業(yè)信息系統(tǒng)將會提供多種身份認(rèn)證模式，以適應(yīng)這些復(fù)雜情況。身份認(rèn)證的脆弱性將會產(chǎn)生極高的安全風(fēng)險(xiǎn)，因此身份認(rèn)證方式的多樣性應(yīng)該以不能影響 企業(yè)信息系統(tǒng)的整體安全強(qiáng)度為前提。企業(yè)信息系統(tǒng)中計(jì)劃支持身份認(rèn)證方式至少包括：口令認(rèn)證、 U 盾【數(shù)字證書】認(rèn)證、短信認(rèn)證、及其三者之間的復(fù)

12、合認(rèn)證方式。訪問控制，未來的企業(yè)信息系統(tǒng)將會基于用戶的角色進(jìn)行訪問控制，權(quán)限管理系統(tǒng)提供角色權(quán)限信息，應(yīng)用功能負(fù)責(zé)調(diào)用通用的權(quán)限匹配決策接口進(jìn)行訪問控制。訪問控制將會從三個(gè)層次開展工作。第一個(gè)層次為DMZ區(qū)web服務(wù)器層，通過配置防火墻策略、WAF策略、IPS策略、蜜罐策略、防篡改策略以及web 服務(wù)器安全策略，應(yīng)對該層次的主要威脅。 第二層為應(yīng)用服務(wù)器層，通過應(yīng)用自身安全設(shè)計(jì)實(shí)現(xiàn)、應(yīng)用服務(wù)器安全策略、前端路由器和防火墻策略、防篡改策略、加解密策略、監(jiān)控與日志審計(jì)策略和防火墻策略等，應(yīng)對該層次的安全威脅，第三個(gè)層次為數(shù)據(jù)層，通過部署數(shù)據(jù)庫自身安全策略，數(shù)據(jù)庫審計(jì)策略、數(shù)據(jù)庫多級備份策略等方式，

13、應(yīng)對本層次安全威脅，數(shù)據(jù)層還包括另外一個(gè)分支，即后臺系統(tǒng)，主要是通過準(zhǔn)入控制策略和數(shù)據(jù)安全策略應(yīng)對本層次的安全威脅。安全傳輸，安全傳輸需要防范各航空公司敏感數(shù)據(jù)外泄，同時(shí)還需要隔離各航空公司相關(guān)數(shù)據(jù)，防范相互干擾。安全傳輸可能會涉及到各種不同技術(shù)，如 HTTPS/SSL， VPN ，應(yīng)用層加密，專線等技術(shù)。安全傳輸設(shè)計(jì)會根據(jù)不同場景運(yùn)用不同技術(shù)，實(shí)現(xiàn)安全傳輸目標(biāo)。企業(yè)信息系統(tǒng)確立的安全傳輸策略為：所 有跨不安全等級網(wǎng)絡(luò)連接均需要進(jìn)行安全連接， 如 ALG 訪問后端系統(tǒng)。所有Internet連接均需要進(jìn)行安全連接，如對 ALG和APG的訪問。所 有外部相關(guān)機(jī)構(gòu)的連接， 在合規(guī)的前提下， 應(yīng)盡量考

14、慮安全連接。如 CITA 、公安部等單位的訪問。所 有共用物理信道的各航空公司的數(shù)據(jù)流，應(yīng)進(jìn)行邏輯隔離。安全存儲， 企業(yè)信息系統(tǒng)的安全存儲需要實(shí)現(xiàn)以下目的：黑 客即使竊取了數(shù)據(jù)也無法加以利用保 護(hù)內(nèi)部運(yùn)維人員，防范其意志不堅(jiān)定，發(fā)生倒賣敏感數(shù)據(jù)的情況對 不同公司的數(shù)據(jù)實(shí)現(xiàn)邏輯隔離安全存儲可能會涉及到加解密相關(guān)技術(shù)， 還可能涉及到賬戶權(quán)限管理與訪問控制，物理存儲設(shè)備的物理隔離和邏輯存儲的邏輯隔離。安全存儲設(shè)計(jì)內(nèi)容只包括數(shù)據(jù)存儲的隔離與加解密相關(guān)設(shè)計(jì)。日志審計(jì)與監(jiān)控，系統(tǒng)的日志審計(jì)能力應(yīng)具有如下能力：可 還原用戶各種訪問會話，具有跨系統(tǒng)的日志信息整合能力，對用戶行為可進(jìn)行全方位的監(jiān)控與審計(jì)?？?掌

15、握所有系統(tǒng)的狀態(tài)信息，并可對系統(tǒng)運(yùn)行狀態(tài)進(jìn)行實(shí)時(shí)顯示和報(bào)警可 根據(jù)用戶和系統(tǒng)的狀態(tài)信息，判斷是否發(fā)生的違規(guī)行為和攻擊行為，并能引導(dǎo)運(yùn)維或應(yīng)急人員進(jìn)行實(shí)時(shí)分析、快速阻斷、及時(shí)恢復(fù)和完整取證?？沟仲?，主要是指企業(yè)信息系統(tǒng)用戶或運(yùn)維人員對自己的操作行為負(fù)責(zé)，將會采取如下兩種手段進(jìn)行抗抵賴設(shè)計(jì)：日 志記錄，通過對用戶行為記錄日志，并采取措施保障日志信息的完整性。主體日志信息為文本信息，另外一種補(bǔ)充日志信息為視頻信息，主要是針對一些極端重要場合，如運(yùn)維人員的敏感操作。數(shù) 字簽名，用戶的所有操作行為進(jìn)行數(shù)字簽名，前提是用戶具有系統(tǒng)頒發(fā)的數(shù)字證書。數(shù)字簽名抗抵賴主要運(yùn)用在財(cái)務(wù)相關(guān)操作上，如用戶購買機(jī)票的在線

16、付款操作。系統(tǒng)完整性防護(hù)。該項(xiàng)措施主要是保護(hù)信息系統(tǒng)的完整性，包括應(yīng)用、操作系統(tǒng)和網(wǎng)絡(luò)，主要是防止系統(tǒng)被篡改，注入病毒木馬，或者惡意調(diào)整了系統(tǒng)結(jié)構(gòu)。當(dāng)發(fā)現(xiàn)企業(yè)信息系統(tǒng)被惡意篡改時(shí)，系統(tǒng)應(yīng)及時(shí)報(bào)警，通知運(yùn)維人員及時(shí)響應(yīng)。系統(tǒng)完整性防護(hù)中包含了若干重要的技術(shù)：代 碼數(shù)字簽名，特別是各種專屬前端系統(tǒng)及其下載到客戶端運(yùn)行的代碼，系統(tǒng)要求應(yīng)進(jìn)行數(shù)字簽名，這種措施只能發(fā)現(xiàn)篡改行為，無 法預(yù)防。防 篡改軟硬件設(shè)備，這種設(shè)備具有發(fā)現(xiàn)代碼篡改和快速修復(fù)代碼的能力防 病毒網(wǎng)管或統(tǒng)一威脅管理設(shè)備，拒病毒木馬于網(wǎng)絡(luò)之外安全基礎(chǔ)設(shè)施設(shè)計(jì)統(tǒng)一用戶管理和身份認(rèn)證、 RBAC 授權(quán)管理與訪問控制、統(tǒng)一加解密，統(tǒng)一日志審計(jì)中主

17、要包括的安全基礎(chǔ)設(shè)施如下：( 1) 身份管理與身份認(rèn)證基礎(chǔ)設(shè)施。企業(yè)信息系統(tǒng)計(jì)劃使用統(tǒng)一身份管理IAM 作為身份管理的基礎(chǔ)設(shè)施， IAM 的核心是 LDAP 服務(wù)器， 具有復(fù)雜組織分支管理能力和快速查詢響應(yīng)能力， 符合企業(yè)信息系統(tǒng)的用戶組成復(fù)雜特點(diǎn)， IAM的認(rèn)證代理可以支持用戶名口令認(rèn)證方式， 具備口令的復(fù)雜度檢查、 長度檢查，以及口令生命周期控制能力。另外企業(yè)信息系統(tǒng)已引入 PKI 體系和硬件身份認(rèn)證載體 U 盾，這將會形成企業(yè)信息系統(tǒng)身份認(rèn)證的主要組成部分。另外已經(jīng)租用了中國聯(lián)通的短信網(wǎng)關(guān)，部分應(yīng)用已經(jīng)開始使用短信身份認(rèn)證方式，為了保證短信認(rèn)證。 因此企業(yè)信息系統(tǒng)將會具備統(tǒng)一身份管理的能

18、力， 以及口令認(rèn)證、數(shù)字證書認(rèn)證和短信認(rèn)證等三種安全身份認(rèn)證方式。授權(quán)管理和訪問控制基礎(chǔ)設(shè)施。企業(yè)信息系統(tǒng)授權(quán)管理將會采取RBAC 基于角色的權(quán)限管理方式，前期的權(quán)限管理將會基于統(tǒng)一身份管理系統(tǒng)，將各種角色權(quán)限標(biāo)識與身份綁定，并在用戶訪問各子系統(tǒng)時(shí)，由 IAM 將角色標(biāo)識推送到各子系統(tǒng)，由子系統(tǒng)調(diào)用標(biāo)準(zhǔn)接口進(jìn)行授權(quán)。加 解密基礎(chǔ)設(shè)施。加密系統(tǒng)的安全性取決于加密算法強(qiáng)度、加密密鑰長度以及密鑰本身的存儲和傳輸安全性。企業(yè)信息系統(tǒng)計(jì)劃支持國際所有主流的對稱/非對稱加密算法以及中國保密局要求的各種算法，以滿足國際國內(nèi)的加密合規(guī)要求。企業(yè)信息系統(tǒng)系統(tǒng)將會定義安全密鑰的最低長度和生成方式， 并將加密算法、

19、 密鑰生成算法、 密鑰規(guī)范要求統(tǒng)一封裝到開發(fā)庫中，供各子系統(tǒng)調(diào)用，形成統(tǒng)一的加密強(qiáng)度。企業(yè)信息系統(tǒng)目前已引入 PKI 體系，作為加密體系的信任根，通過PKI 證書，形成密鑰的安全存儲和安全傳輸方式。另外將會采取U 盾和加密機(jī)等硬件，形成密鑰安全存儲的核心支持部件。(4)系統(tǒng)安全管理、監(jiān)控與審計(jì)基礎(chǔ)設(shè)施。系統(tǒng)未來將會形成自己的SOC平臺，形成生產(chǎn)環(huán)境安全策略統(tǒng)一分發(fā)執(zhí)行、日志信息實(shí)時(shí)采集分析、安全狀況實(shí)時(shí)動態(tài)形象展示、安全態(tài)勢感知預(yù)警、用戶全會話行為還原、聚合與跟蹤審計(jì)能力。5) 高可用與災(zāi)備基礎(chǔ)設(shè)施。 為了滿足與各航空公司簽署的 SLA 服務(wù)水平協(xié)議，計(jì)劃建立多層次的高可用服務(wù)能力。在存儲備份

20、能力上，形成本地RAID磁盤、數(shù)據(jù)庫本地同步備份、同城備份和異地災(zāi)難恢復(fù)備份。在信息處理能力上，服務(wù)器采取多核CPU 、雙機(jī)熱備、集群、和異地災(zāi)備集群方式，由于采用了虛擬化技術(shù)，處理能力可以實(shí)施擴(kuò)展，有力的保證了處理備份能力。另外在網(wǎng)絡(luò)能力上，遠(yuǎn)程傳輸租用不同運(yùn)營商的光纖線路，具有不同的物理信道，并進(jìn)行周期性測試，保障遠(yuǎn)程傳輸能力的高可用，在生產(chǎn)環(huán)境內(nèi)部網(wǎng)絡(luò)， 采用了關(guān)鍵節(jié)點(diǎn)和關(guān)鍵線路采取熱備方式保證其高可用性。安全構(gòu)件庫身份認(rèn)證構(gòu)件庫：用戶名口令認(rèn)證、 U 盾認(rèn)證、短信認(rèn)證、基于IAM 的認(rèn)證。加解密構(gòu)件庫：加解密web service 服務(wù)、對稱加密、非對稱加密、 Hash算法、數(shù)字簽名和

21、數(shù)字信封，支持國際通用標(biāo)準(zhǔn)算法和國內(nèi) SM2/3/4 算法。各構(gòu)件庫示例代碼與使用說明手冊2.技術(shù)設(shè)計(jì)方案企業(yè)信息系統(tǒng)網(wǎng)絡(luò)安全設(shè)計(jì)基本方案如下:付桎*1e州I”卜DD05j.lrl|K：-J融-N巨榴ADiiiLift-* SjL 111 L.前懦Hh H圖3-2-1企業(yè)信息系統(tǒng)網(wǎng)絡(luò)安全設(shè)計(jì)方案ADS流量清洗中心，主要用于部署相關(guān)策略防范流量類型的 DDOS網(wǎng)絡(luò)攻 擊。DDoS流量清洗解決方案由異常流量分析系統(tǒng)和流量清洗系統(tǒng)組成，異常 流量分析系統(tǒng)使用Netflow等方式對出口路由器流量數(shù)據(jù)進(jìn)行采集，并對采集 到的數(shù)據(jù)進(jìn)行深入分析，發(fā)現(xiàn) DDoS異常流量后，將觸發(fā)告警，并通知流量清 洗系統(tǒng)。流

22、量清洗系統(tǒng)接收到異常流量分析系統(tǒng)發(fā)送的通知后，通過路由技術(shù) （如BGP、OSFP等）對攻擊流量進(jìn)行牽引，然后對攻擊流量進(jìn)行識別與清洗， 將攻擊流量過濾，最后再使用路由技術(shù)（如策略路由、 GRE等）將清洗后的正 常流量回注到網(wǎng)絡(luò)中，由此實(shí)現(xiàn)對 DDoS異常流量的清洗和過濾。WAF設(shè)備主要是針對應(yīng)用層攻擊進(jìn)行阻斷，如 SQL注入、命令行注入、 路徑遍歷等攻擊。云安全中心主要是基于云端強(qiáng)大的安全分析能力，對互聯(lián)網(wǎng) 疑似攻擊流量進(jìn)行分析，并下發(fā)安全策略給 WAF設(shè)備和IDP設(shè)備，進(jìn)行聯(lián)動 阻斷。服務(wù)器端實(shí)施抗篡改設(shè)計(jì)，并針對漏洞進(jìn)行周期性掃描，發(fā)現(xiàn)漏洞，及時(shí) 報(bào)警，及時(shí)修復(fù)。在數(shù)據(jù)庫端實(shí)施數(shù)據(jù)加密和完整性保護(hù)策略，保證數(shù)據(jù)的安 全性，實(shí)現(xiàn)數(shù)據(jù)拿走了也看不懂的效果。信息系統(tǒng)安全設(shè)計(jì)方案如下:應(yīng)用1 應(yīng)用2身份管理身份認(rèn)證M安主傳輒.M日葬計(jì)系際整性防護(hù)安全策珞安全措施身份管理與身份認(rèn)證基礎(chǔ)設(shè)