軟件平臺(tái)安全體系建設(shè)方案

1、軟件平臺(tái)安全體系建設(shè)方案目錄 TOC o 1-5 h z HYPERLINK l bookmark4 o Current Document 安全體系總體設(shè)計(jì)3 HYPERLINK l bookmark6 o Current Document 技術(shù)目標(biāo)3 HYPERLINK l bookmark8 o Current Document 管理目標(biāo)4 HYPERLINK l bookmark10 o Current Document 安全技術(shù)方案5 HYPERLINK l bookmark12 o Current Document 網(wǎng)絡(luò)與邊界安全5 HYPERLINK l bookmark14 o

2、Current Document 主機(jī)系統(tǒng)安全5 HYPERLINK l bookmark16 o Current Document 應(yīng)用安全6 HYPERLINK l bookmark18 o Current Document 數(shù)據(jù)安全6 HYPERLINK l bookmark20 o Current Document 防火墻設(shè)計(jì)7 HYPERLINK l bookmark22 o Current Document WEB入侵防護(hù)設(shè)計(jì)9 HYPERLINK l bookmark24 o Current Document 安全隔離網(wǎng)關(guān)設(shè)計(jì)9 HYPERLINK l bookmark26 o

3、Current Document 安全管理方案11 HYPERLINK l bookmark28 o Current Document 安全組織體系建設(shè)11 HYPERLINK l bookmark30 o Current Document 安全管理制度建設(shè)12 HYPERLINK l bookmark32 o Current Document 信息安全管理原則13 HYPERLINK l bookmark34 o Current Document 其他管理措施14 HYPERLINK l bookmark36 o Current Document 售后服務(wù)內(nèi)容、要求和期限14 HYPERLI

4、NK l bookmark38 o Current Document 維護(hù)方案15 HYPERLINK l bookmark40 o Current Document 技術(shù)培訓(xùn)方案15 HYPERLINK l bookmark42 o Current Document 其它16安全體系總體設(shè)計(jì)安全系統(tǒng)建設(shè)的原則，一是必須符合國(guó)家電子政務(wù)安全規(guī)劃及國(guó)家的其他相 關(guān)規(guī)定，二是要從平臺(tái)實(shí)際工作需求出發(fā)，建設(shè)既符合要求又滿足實(shí)際需求的安 全系統(tǒng)。安全系統(tǒng)建設(shè)的重點(diǎn)是，確保信息的安全，確保業(yè)務(wù)應(yīng)用過(guò)程的安全防護(hù)、 身份識(shí)別和管理。安全系統(tǒng)建設(shè)的任務(wù)，需從技術(shù)和管理兩個(gè)方面進(jìn)行安全系統(tǒng) 的建設(shè)基本技術(shù)要求

5、從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全幾 個(gè)層面提出；基本管理要求從安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系 統(tǒng)運(yùn)維管理幾個(gè)方面提出，基本技術(shù)要求和基本管理要求是確保信息系統(tǒng)安全不 可分割的兩個(gè)部分。本項(xiàng)目安全體系結(jié)構(gòu)如下圖所示。數(shù)據(jù)安全：數(shù)據(jù)備份、數(shù)據(jù)庫(kù)安全策略危用安全：應(yīng)用系統(tǒng)安全、PKI/CA認(rèn)、I證岳統(tǒng)安全：操作系統(tǒng)安全策路、防病毒丿血絡(luò)安全：網(wǎng)絡(luò)邊界安全、防亦i安全管理：安全管理制度、人員安全管 理、齋統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理物理安全：環(huán)境建設(shè)、設(shè)備冗余3. 7.卜1安全體系結(jié)構(gòu)圖信息系統(tǒng)根據(jù)其在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，遭到破壞 后對(duì)國(guó)家安全、社會(huì)秩

6、序、公共利益以及公民、法人和其他組織的合法權(quán)益的危 害程度等，由低到高劃分為五級(jí)。根據(jù)等級(jí)保護(hù)相關(guān)管理文件，本項(xiàng)目安全等級(jí)建議定級(jí)為第二級(jí)。技術(shù)目標(biāo)從安全體系上考慮，實(shí)現(xiàn)多種安全技術(shù)或措施的有機(jī)整合，形成一個(gè)整體、 動(dòng)態(tài)、實(shí)時(shí)、互動(dòng)的有機(jī)防護(hù)體系。具體包括：1）本地計(jì)算機(jī)安全：主機(jī)系統(tǒng)文件、主機(jī)系統(tǒng)的配置、數(shù)據(jù)結(jié)構(gòu)、業(yè)務(wù)原 始數(shù)據(jù)等的保護(hù)。2）網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全：網(wǎng)絡(luò)系統(tǒng)安全配置、網(wǎng)絡(luò)系統(tǒng)的非法進(jìn)入和傳輸數(shù) 據(jù)的非法竊取和盜用。3）邊界安全：橫向網(wǎng)絡(luò)接入邊界，內(nèi)部局域網(wǎng)不同安全域或子網(wǎng)邊界的保 護(hù)。4）業(yè)務(wù)應(yīng)用安全：業(yè)務(wù)系統(tǒng)的安全主要是針對(duì)應(yīng)用層部分。應(yīng)用軟件的設(shè) 計(jì)是與其業(yè)務(wù)應(yīng)用模式分不開(kāi)的，

7、同時(shí)也是建立在網(wǎng)絡(luò)、主機(jī)和數(shù)據(jù)庫(kù) 系統(tǒng)基礎(chǔ)之上的，因此業(yè)務(wù)部分的軟件分發(fā)、用戶管理、權(quán)限管理、終 端設(shè)備管理需要充分利用相關(guān)的安全技術(shù)和良好的安全管理機(jī)制。管理目標(biāo)安全建設(shè)管理目標(biāo)就是根據(jù)覆蓋信息系統(tǒng)生命周期的各階段管理域來(lái)建立 完善的信息安全管理體系，從而在實(shí)現(xiàn)信息能夠充分共享的基礎(chǔ)上，保障信息及 其他資產(chǎn)，保證業(yè)務(wù)的持續(xù)性并使業(yè)務(wù)的損失最小化，具體的目標(biāo)如下：1）定期對(duì)局域網(wǎng)網(wǎng)絡(luò)設(shè)備及服務(wù)器設(shè)備進(jìn)行安全隱患的檢查，確保所有運(yùn) 行的網(wǎng)絡(luò)設(shè)備和服務(wù)器的操作系統(tǒng)安裝了最新補(bǔ)丁或修正程序，確保所 有網(wǎng)絡(luò)設(shè)備及服務(wù)器設(shè)備的配置安全。2）提供全面風(fēng)險(xiǎn)評(píng)估、安全加固、安全通告、日常安全維護(hù)、安全應(yīng)急響

8、應(yīng)及安全培訓(xùn)服務(wù)。3）對(duì)已有的安全制度，進(jìn)行更加全面的補(bǔ)充和完善。4）應(yīng)明確需要定期修訂的安全管理制度，并指定負(fù)責(zé)人或負(fù)責(zé)部門(mén)負(fù)責(zé)制 度的日常維護(hù)。5）應(yīng)委托公正的第三方測(cè)試單位對(duì)系統(tǒng)進(jìn)行安全性測(cè)試，并出具安全性測(cè) 試報(bào)告。6）應(yīng)通過(guò)第三方工程監(jiān)理控制項(xiàng)目的實(shí)施過(guò)程。安全技術(shù)方案網(wǎng)絡(luò)與邊界安全網(wǎng)絡(luò)安全是指通過(guò)各種手段保證網(wǎng)絡(luò)免受攻擊或是非法訪問(wèn)，以保證網(wǎng)絡(luò)的 正常運(yùn)行和傳輸?shù)陌踩?、防火墻通過(guò)防火墻進(jìn)行缺省路由巡徑、內(nèi)部私有地址轉(zhuǎn)換和公眾服務(wù)靜態(tài)地址映射, 開(kāi)啟2-3層安全防護(hù)功能，完成Internet基礎(chǔ)安全接入，實(shí)現(xiàn)互聯(lián)網(wǎng)接入域的 合法接入控制、內(nèi)容過(guò)濾、傳輸安全需求。2、安全隔離網(wǎng)閘布

9、置安全隔離網(wǎng)閘，實(shí)現(xiàn)網(wǎng)間有效的數(shù)據(jù)交換。3、網(wǎng)絡(luò)基礎(chǔ)設(shè)施的可用性本項(xiàng)目政務(wù)網(wǎng)核心交換機(jī)、政務(wù)網(wǎng)邊界防火墻采用主備冗余設(shè)計(jì)，以保證業(yè) 務(wù)信息的可靠傳輸。主機(jī)系統(tǒng)安全1、操作系統(tǒng)安全策略及時(shí)檢測(cè)、發(fā)現(xiàn)操作系統(tǒng)存在的安全漏洞；對(duì)發(fā)現(xiàn)的操作系統(tǒng)安全漏洞做出及時(shí)、正確的處理；及時(shí)給系統(tǒng)打補(bǔ)丁，系統(tǒng)內(nèi)部的相互調(diào)用不對(duì)外公開(kāi)；通過(guò)配備安全掃描系統(tǒng)對(duì)操作系統(tǒng)進(jìn)行安全掃描，發(fā)現(xiàn)其中存在的安全漏洞, 并有針對(duì)性地對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行重新配置或升級(jí)。2、網(wǎng)絡(luò)防病毒建立完善的病毒防護(hù)管理體系，負(fù)責(zé)病毒軟件的自動(dòng)分發(fā)、自動(dòng)升級(jí)、集中 配置和管理、統(tǒng)一事件和告警處理。通過(guò)統(tǒng)一的管理服務(wù)器管理所有的病毒防護(hù) 產(chǎn)品，包括防病毒、防

10、病毒網(wǎng)關(guān)、防垃圾郵件、防木馬程序、主機(jī)入侵防護(hù)。對(duì) 網(wǎng)絡(luò)內(nèi)的應(yīng)用服務(wù)器進(jìn)行全面防護(hù)，從而切斷病毒在服務(wù)器內(nèi)的寄生和傳播。對(duì) 所有的客戶機(jī)進(jìn)行全面防護(hù)，徹底消除病毒對(duì)客戶機(jī)的破壞，保證全網(wǎng)安全。應(yīng)用安全1、應(yīng)用系統(tǒng)訪問(wèn)控制控制不同用戶在不同數(shù)據(jù)、不同業(yè)務(wù)環(huán)節(jié)上的查詢、添加、修改、刪除的權(quán) 限，提供面向URL的控制能力，提供面向Service的控制能力，提供面向IP的 控制能力，提供Session的超時(shí)控制。限制登錄失敗次數(shù)：限制客戶在可配置的時(shí)間長(zhǎng)度內(nèi)登錄失敗的次數(shù)，避免 客戶密碼遭到竊取。2、數(shù)據(jù)庫(kù)系統(tǒng)安全首先，通過(guò)系統(tǒng)權(quán)限、數(shù)據(jù)權(quán)限、角色權(quán)限管理建立數(shù)據(jù)庫(kù)系統(tǒng)的權(quán)限控制 機(jī)制，任何業(yè)務(wù)終端禁

11、止直接訪問(wèn)數(shù)據(jù)庫(kù)服務(wù)器，只能夠通過(guò)Web服務(wù)器或接口 服務(wù)器進(jìn)行訪問(wèn)數(shù)據(jù)庫(kù)服務(wù)器，并設(shè)置嚴(yán)格的數(shù)據(jù)庫(kù)訪問(wèn)權(quán)限。其次，建立完備的數(shù)據(jù)修改日志，通過(guò)安全審計(jì)記錄和跟蹤用戶對(duì)數(shù)據(jù)庫(kù)的 操作，明確對(duì)數(shù)據(jù)庫(kù)的安全責(zé)任。3、身份認(rèn)證系統(tǒng)建立基于PKI/CA的安全基礎(chǔ)設(shè)施。通過(guò)信息加密、數(shù)字簽名、身份認(rèn)證等 措施綜合解決信息的機(jī)密性、完整性、身份真實(shí)性和操作的不可否認(rèn)性問(wèn)題。本項(xiàng)目能集成CA方式認(rèn)證。數(shù)據(jù)安全數(shù)據(jù)安全主要是采用備份的方式實(shí)現(xiàn)。對(duì)于應(yīng)用軟件及系統(tǒng)軟件的備份恢復(fù)，由于應(yīng)用及系統(tǒng)軟件穩(wěn)定性較高，可 采用一次性的全備份，以防止當(dāng)系統(tǒng)遭到任何程度的破壞，都可以方便快速地將 原來(lái)的系統(tǒng)恢復(fù)出來(lái)。對(duì)于數(shù)據(jù)

12、的備份，由于數(shù)據(jù)的不穩(wěn)定性，可分別采用定期全備份、差分備份、 按需備份和增量備份的策略，來(lái)保證數(shù)據(jù)的安全。配置數(shù)據(jù)備份系統(tǒng)，以實(shí)現(xiàn)本 地關(guān)鍵系統(tǒng)和重要數(shù)據(jù)的備份。本項(xiàng)目應(yīng)實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)和業(yè)務(wù)數(shù)據(jù)庫(kù)的備份。本項(xiàng)目配備網(wǎng)頁(yè)防篡改軟件，通過(guò)在網(wǎng)頁(yè)被訪問(wèn)時(shí)進(jìn)行完整性檢查，杜絕網(wǎng) 站向外發(fā)送被篡改的頁(yè)面內(nèi)容；配備一套數(shù)據(jù)安全防護(hù)軟件，用于數(shù)據(jù)加密，確 保系統(tǒng)生產(chǎn)數(shù)據(jù)的安全。防火墻設(shè)計(jì)防火墻部署建議控制大型網(wǎng)絡(luò)的安全的一種方法就是把網(wǎng)絡(luò)化分成單獨(dú)的邏輯網(wǎng)絡(luò)域，如組 織內(nèi)部的網(wǎng)絡(luò)域和外部網(wǎng)絡(luò)域，每一個(gè)網(wǎng)絡(luò)域由所定義的安全邊界來(lái)保護(hù)。這種 邊界的實(shí)施可通過(guò)在相連的兩個(gè)網(wǎng)絡(luò)之間安全網(wǎng)關(guān)來(lái)控制其間訪問(wèn)和信息流。網(wǎng)

13、 關(guān)要經(jīng)過(guò)配置，以過(guò)濾區(qū)域之間的通信量和根據(jù)組織的訪問(wèn)控制方針來(lái)堵塞未授 權(quán)訪問(wèn)。這種網(wǎng)關(guān)的一個(gè)典型應(yīng)用就是通常所說(shuō)的防火墻。防火墻部署作用防火墻技術(shù)是目前網(wǎng)絡(luò)邊界保護(hù)最有效也是最常見(jiàn)的技術(shù)。采用防火墻技術(shù), 對(duì)重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，可以對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安 全規(guī)則進(jìn)行過(guò)濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，防范各類(lèi)攻 擊行為，杜絕越權(quán)訪問(wèn)，防止非法攻擊，抵御可能的DOS和DDOS攻擊。通過(guò)合 理布局，形成多級(jí)的縱深防御體系。通過(guò)防火墻的部署，實(shí)現(xiàn)基于數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、 流量、用戶、通信時(shí)間等信息，執(zhí)行嚴(yán)格的訪問(wèn)控制。并將互聯(lián)網(wǎng)服務(wù)區(qū)通過(guò)

14、單 獨(dú)的防火墻接口形成獨(dú)立安全域進(jìn)行隔離。而安全管理區(qū)集中了對(duì)安全管理和網(wǎng)絡(luò)管理的服務(wù)器，這些服務(wù)器可以集中 的管理整個(gè)數(shù)據(jù)中心的網(wǎng)絡(luò)及安全設(shè)備，因此需要高度的防護(hù)。通常，這些安全 域只有授權(quán)的管理員可以訪問(wèn)，其他的訪問(wèn)請(qǐng)求，需要被阻斷。在此邊界部署防 火墻可以對(duì)改區(qū)域進(jìn)行嚴(yán)格的訪問(wèn)控制，防止非授權(quán)用戶訪問(wèn)，阻斷可能發(fā)生的 入侵與攻擊行為。釆用防火墻實(shí)現(xiàn)以下的安全策略：安全域隔離：實(shí)現(xiàn)服務(wù)器區(qū)域與辦公網(wǎng)絡(luò)區(qū)域之間的邏輯隔離?；蛘咄ㄟ^(guò)防 火墻提供多個(gè)端口，實(shí)現(xiàn)服務(wù)器A區(qū)域與服務(wù)器B區(qū)域、辦公網(wǎng)絡(luò)區(qū)域等多區(qū)域 的邏輯隔離。訪問(wèn)控制策略：防火墻工作在不同安全區(qū)域之間，對(duì)各個(gè)安全區(qū)域之間流轉(zhuǎn) 的數(shù)據(jù)進(jìn)

15、行深度分析，依據(jù)數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、流量、 用戶、通信時(shí)間等信息，進(jìn)行判斷，確定是否存在非法或違規(guī)的操作，并進(jìn)行阻 斷，從而有效保障了各個(gè)重要的計(jì)算環(huán)境；地址轉(zhuǎn)換策略：針對(duì)核心的應(yīng)用服務(wù)器區(qū)域，部署的防火墻將采取地址轉(zhuǎn)換 策略，將來(lái)自內(nèi)網(wǎng)用戶的直接訪問(wèn)變?yōu)殚g接訪問(wèn)，更有效的保護(hù)了應(yīng)用服務(wù)器;應(yīng)用控制策略：在防火墻上執(zhí)行內(nèi)容過(guò)濾策略，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、TELNET. SMTP、POP3等協(xié)議命令級(jí)的控制，從而提供給系統(tǒng)更精準(zhǔn)的安全性；會(huì)話監(jiān)控策略：在防火墻配置會(huì)話監(jiān)控策略，當(dāng)會(huì)話處于非活躍一定時(shí)間或 會(huì)話結(jié)束后，防火墻自動(dòng)將會(huì)話丟棄，訪問(wèn)來(lái)源必須重新建立會(huì)話才能

16、繼續(xù)訪問(wèn) 資源；會(huì)話限制策略：對(duì)于二級(jí)信息系統(tǒng)，從維護(hù)系統(tǒng)可用性的角度必須限制會(huì)話 數(shù)，來(lái)保障服務(wù)的有效性，防火墻可對(duì)保護(hù)的應(yīng)用服務(wù)器采取會(huì)話限制策略，當(dāng) 服務(wù)器接受的連接數(shù)接近或達(dá)到閥值時(shí)，防火墻自動(dòng)阻斷其他的訪問(wèn)連接請(qǐng)求, 避免服務(wù)器接到過(guò)多的訪問(wèn)而崩潰；地址綁定策略：對(duì)于二級(jí)系統(tǒng)，必須采取IP+MAC地址綁定技術(shù)，從而有效 防止地址欺騙攻擊，同時(shí)采取地址綁定策略后，還應(yīng)當(dāng)在各個(gè)二級(jí)計(jì)算環(huán)境的交 換機(jī)上綁定MAC,防止攻擊者私自將終端設(shè)備接入二級(jí)計(jì)算環(huán)境進(jìn)行破壞；日志審計(jì)策略：防火墻詳細(xì)記錄了訪問(wèn)日志，可提供給網(wǎng)絡(luò)管理人員進(jìn)行分 析。WEB入侵防護(hù)設(shè)計(jì)（1）WEB入侵防護(hù)部署建議相關(guān)單位為

17、了提供便民服務(wù)，為了實(shí)現(xiàn)各種電子政務(wù)應(yīng)用，必須將一部分原 來(lái)在內(nèi)網(wǎng)的數(shù)據(jù)信息面對(duì)公網(wǎng)，面對(duì)外單位企業(yè)網(wǎng)絡(luò)，本方案的商事主體公眾服 務(wù)平臺(tái)WEB應(yīng)用服務(wù)器部署于DMZ區(qū)域，對(duì)公眾公布相關(guān)社會(huì)大數(shù)據(jù)平臺(tái)數(shù)據(jù)治 理。盡管商事主體公眾服務(wù)平臺(tái)WEB應(yīng)用服務(wù)器已受到防火墻的安全防護(hù)，但來(lái) 自互聯(lián)網(wǎng)的病毒、木馬、蠕蟲(chóng)應(yīng)用層攻擊很容易會(huì)沖破防火墻的防線，對(duì)WEB應(yīng) 用服務(wù)器帶來(lái)威脅，如網(wǎng)頁(yè)篡改，SQL注入等等，為提升網(wǎng)絡(luò)的安全性能，建議 在互聯(lián)網(wǎng)和電子政務(wù)外網(wǎng)WEB應(yīng)用服務(wù)器分別部署一臺(tái)硬件WEB防篡改設(shè)備，與 防火墻一同構(gòu)筑2-7層立體防護(hù)。（2）硬件WEB防篡改設(shè)備作用硬件WEB防篡改設(shè)備集成入侵防御與

18、檢測(cè)、病毒過(guò)濾、帶寬管理和URL過(guò)濾 等功能，通過(guò)深入到7層的分析與檢測(cè)，實(shí)時(shí)阻斷網(wǎng)絡(luò)流量中隱藏的病毒、蠕蟲(chóng)、 木馬、間諜軟件、網(wǎng)頁(yè)篡改等攻擊和惡意行為，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)應(yīng)用、網(wǎng)絡(luò)基礎(chǔ)設(shè)施 和網(wǎng)絡(luò)性能的全面保護(hù)。安全隔離網(wǎng)關(guān)設(shè)計(jì)安全隔離網(wǎng)關(guān)部署建議相關(guān)部門(mén)一般按照國(guó)家電子政務(wù)建設(shè)要求組建自己的電子政務(wù)網(wǎng)絡(luò)，采用三 級(jí)聯(lián)網(wǎng)。相關(guān)單位為了提供便民服務(wù)，為了實(shí)現(xiàn)各種電子政務(wù)應(yīng)用，必須將一部 分原來(lái)在內(nèi)網(wǎng)的數(shù)據(jù)信息面對(duì)公網(wǎng)，面對(duì)上下級(jí)單位、面對(duì)外單位企業(yè)網(wǎng)絡(luò)。相關(guān)的政務(wù)網(wǎng)一般主要由四部分組成：內(nèi)部運(yùn)行信息系統(tǒng)的局域網(wǎng)（政務(wù)內(nèi)網(wǎng)）上下級(jí)互聯(lián)的廣域網(wǎng)（政務(wù)專(zhuān)網(wǎng)）市級(jí)各部門(mén)信息資源共享的政務(wù)外網(wǎng)提供信息發(fā)布查詢等

19、社會(huì)化服務(wù)的國(guó)際互聯(lián)網(wǎng)（外網(wǎng)）相關(guān)政務(wù)內(nèi)外網(wǎng)、上下級(jí)互聯(lián)互通涉及數(shù)據(jù)的交換，必然帶來(lái)一定的安全風(fēng) 險(xiǎn)。原來(lái)利用互連網(wǎng)發(fā)動(dòng)攻擊的黑客、病毒、下級(jí)單位的人員疏忽、惡意試探也 可能利用相關(guān)內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)交換的連接嘗試攻擊本單位相關(guān)內(nèi)部政務(wù)網(wǎng)，影響 到本單位內(nèi)部網(wǎng)的重要數(shù)據(jù)正常運(yùn)行，所以安全問(wèn)題變得越來(lái)越復(fù)雜和突出。相關(guān)網(wǎng)絡(luò)信息交換的安全原則和要求體現(xiàn)在如下幾個(gè)方面：建立統(tǒng)一的安全 隔離平臺(tái)，相關(guān)政務(wù)內(nèi)網(wǎng)的辦公、業(yè)務(wù)管理系統(tǒng)通過(guò)統(tǒng)一出口實(shí)現(xiàn)與外部應(yīng)用、 單位網(wǎng)間的可信信息交換，統(tǒng)一管理，執(zhí)行統(tǒng)一的安全策略，實(shí)現(xiàn)政務(wù)內(nèi)網(wǎng)信息 和上下級(jí)單位、外部應(yīng)用網(wǎng)數(shù)據(jù)交換的高度可控性。5. 3. 2安全隔離網(wǎng)關(guān)功能性

20、支持為保障網(wǎng)絡(luò)的安全隔離，安全隔離網(wǎng)關(guān)設(shè)備應(yīng)具備如下特性：高性能的軟硬件處理平臺(tái)：采用先進(jìn)的最新64位多核高性能處理器和高速 存儲(chǔ)器。電信級(jí)設(shè)備高可靠性：可釆用N： 1虛擬化技術(shù)，將多臺(tái)設(shè)備虛擬化為一臺(tái) 邏輯設(shè)備，完成業(yè)務(wù)備份同時(shí)提高系統(tǒng)整體性能：可采用1： N虛擬化，劃分多 個(gè)邏輯的虛擬防火墻，基于容器化的虛擬化技術(shù)使得虛擬系統(tǒng)與實(shí)際物理系統(tǒng)特 性一致，并且可以基于虛擬系統(tǒng)進(jìn)行吞吐、并發(fā)、新建、策略等性能分配。強(qiáng)大的安全防護(hù)功能：支持豐富的攻擊防范功能、包過(guò)濾和應(yīng)用層狀態(tài)包過(guò) 濾（ASPF）功能，吞吐量不低于20G,并發(fā)鏈接數(shù)不低于2400萬(wàn)，至少滿足12 個(gè)千兆電口，12個(gè)千兆光口，4個(gè)萬(wàn)

21、兆接口的接入，實(shí)現(xiàn)多個(gè)接入?yún)^(qū)域的安全隔 離，提供萬(wàn)兆防護(hù)性能。全面的應(yīng)用層流量識(shí)別與管理：支持精確檢測(cè)各種P2P/IM/網(wǎng)絡(luò)游戲/炒股/ 網(wǎng)絡(luò)視頻/網(wǎng)絡(luò)多媒體等應(yīng)用；支持精確的P2P流量識(shí)別，以達(dá)到對(duì)P2P流量進(jìn) 行管理的目的，同時(shí)可提供不同的控制策略，實(shí)現(xiàn)靈活的P2P流量控制。高精度、高效率的入侵檢測(cè)引擎?；诰_狀態(tài)的全面檢測(cè)引擎，引擎集成 多項(xiàng)檢測(cè)技術(shù)，實(shí)現(xiàn)基于精確狀態(tài)的全面檢測(cè)，具有極高的入侵檢測(cè)精度；引擎 采用并行檢測(cè)技術(shù)，軟、硬件可靈活適配，大大提高入侵檢測(cè)的效率。實(shí)時(shí)的病毒防護(hù)：采用知名防病毒公司的流引擎查毒技術(shù)，迅速、準(zhǔn)確查殺 網(wǎng)絡(luò)流量中的病毒等惡意代碼。迅捷的URL分類(lèi)過(guò)濾：

22、提供基礎(chǔ)的URL黑白名單 過(guò)濾同時(shí)，可以配置URL分類(lèi)過(guò)濾服務(wù)器在線查詢。IPv6狀態(tài)防火墻：實(shí)現(xiàn)真正意義上實(shí)現(xiàn)IPv6條件下的防火墻功能，同時(shí)完 成IPv6的攻擊防范。集成鏈路負(fù)載均衡特性：通過(guò)鏈路狀態(tài)檢測(cè)、錢(qián)路繁忙保護(hù)等技術(shù)，有效實(shí) 現(xiàn)出口的多鏈路自動(dòng)均衡和自動(dòng)切換。集成SSLVPN特性：滿足移動(dòng)辦公、出差的安全訪問(wèn)需求，可結(jié)合USB-Key、 短信進(jìn)行移動(dòng)用戶的身份認(rèn)證，與原有認(rèn)證系統(tǒng)相結(jié)合、實(shí)現(xiàn)一體化的認(rèn)證接入。DLP基礎(chǔ)功能支持：支持郵件過(guò)濾，提供SMTP郵件地址、標(biāo)題、附件和內(nèi)容 過(guò)濾；支持網(wǎng)頁(yè)過(guò)濾，提供HTTPURL和內(nèi)容過(guò)濾；支持網(wǎng)絡(luò)傳輸協(xié)議的文件過(guò)濾； 支持應(yīng)用層過(guò)濾，提供J

23、ava/ActiveXBlocking和SQL注入攻擊防范。安全管理方案安全組織體系建設(shè)為實(shí)現(xiàn)統(tǒng)一領(lǐng)導(dǎo)和分級(jí)管理的原則，安全管理必須設(shè)立專(zhuān)門(mén)的管理機(jī)構(gòu)，配 備相應(yīng)的安全管理人員，并實(shí)行第一把手”責(zé)任制。系統(tǒng)的安全管理機(jī)構(gòu)，將根據(jù)國(guó)家的有關(guān)信息網(wǎng)絡(luò)安全的法規(guī)、方針、政策 等，承擔(dān)所屬系統(tǒng)的各項(xiàng)安全管理工作，具體為：1）擬定并組織實(shí)施所屬計(jì)算機(jī)信息系統(tǒng)安全管理的各項(xiàng)規(guī)章制度；2）監(jiān)督、指導(dǎo)所屬計(jì)算機(jī)信息系統(tǒng)安全保護(hù)工作，定期組織檢查計(jì)算機(jī)信息系統(tǒng)安全運(yùn)行情況，及時(shí)排除各種安全隱患；3）貫徹國(guó)家安全主管部門(mén)的規(guī)章制度和要求，組織落實(shí)安全技術(shù)措施，保障計(jì)算機(jī)信息系統(tǒng)的運(yùn)行安全；4）組織宣傳計(jì)算機(jī)信息系

24、統(tǒng)安全方面的法律、法規(guī)和有關(guān)政策，開(kāi)展計(jì)算 機(jī)信息系統(tǒng)的安全培訓(xùn)和教育；5）負(fù)責(zé)聯(lián)系和協(xié)調(diào)所屬計(jì)算機(jī)信息系統(tǒng)的各項(xiàng)安全工作；6）在結(jié)合現(xiàn)有組織和人員配置情況下，組織結(jié)構(gòu)及崗位職責(zé)設(shè)置要充分體 現(xiàn)統(tǒng)一領(lǐng)導(dǎo)和分級(jí)管理的原則，主要內(nèi)容包括：管理機(jī)構(gòu)的建立，管理 機(jī)構(gòu)的職能、權(quán)限劃分，人員崗位、數(shù)量、職責(zé)定義。安全管理制度建設(shè)安全管理制度是保證網(wǎng)絡(luò)系統(tǒng)安全的基礎(chǔ)，需要通過(guò)一系列規(guī)章制度的實(shí)施, 來(lái)確保各類(lèi)人員按照規(guī)定的職責(zé)行事，做到各行其職、各負(fù)其責(zé)，避免責(zé)任事故 的發(fā)生和防止惡意的侵犯。安全管理制度包括：安全技術(shù)規(guī)范、人員安全管理制度、設(shè)備安全管理制度、 運(yùn)行安全管理制度、安全操作管理制度、安全等級(jí)

25、保護(hù)制度、有害數(shù)據(jù)防治管理 制度、敏感數(shù)據(jù)保護(hù)制度、安全技術(shù)保障制度、安全計(jì)劃管理制度等。安全技術(shù)規(guī)范包括：1、日常操作管理辦法（針對(duì)網(wǎng)絡(luò)安全管理員）安全事件的分析主要集中在網(wǎng)絡(luò)安全管理員，因此日常操作規(guī)范主要是對(duì)不 同級(jí)別安全管理員的日常工作職責(zé)、內(nèi)容、操作流程所做的規(guī)定，從而實(shí)現(xiàn)安全 防護(hù)的程序化和統(tǒng)一化管理。2、安全策略配置管理辦法根據(jù)安全問(wèn)題潛在環(huán)境的差異和對(duì)環(huán)境關(guān)注程度的不同，選擇相應(yīng)的網(wǎng)絡(luò)安 全策略是網(wǎng)絡(luò)安全建設(shè)非常重要的一步，突出重點(diǎn)、兼顧一般的策略配置能夠降 低風(fēng)險(xiǎn)。3、數(shù)據(jù)備份管理辦法鑒于重要的數(shù)據(jù)文件存在著對(duì)文件破壞后難以恢復(fù)性的特點(diǎn)，岀于對(duì)數(shù)據(jù)安 全性、可恢復(fù)性的考慮，必

26、須適時(shí)的進(jìn)行數(shù)據(jù)備份，以實(shí)現(xiàn)安全防范的目的，同 時(shí)能夠提高遭破壞后的數(shù)據(jù)恢復(fù)速度。更重要的是對(duì)備份數(shù)據(jù)是否存在安全隱患, 確保備份數(shù)據(jù)的真正安全可靠，這是數(shù)據(jù)備份管理規(guī)范區(qū)別于傳統(tǒng)數(shù)據(jù)備份的重 大區(qū)別所在。4、攻擊事件預(yù)警管理辦法預(yù)警是對(duì)岀現(xiàn)攻擊事件的報(bào)警，其主要內(nèi)容包括：安全事件報(bào)警形式（電子 郵件、LAN即時(shí)消息等）、預(yù)警結(jié)果傳送渠道、預(yù)警結(jié)果的處理。5、日志管理辦法（針對(duì)網(wǎng)絡(luò)安全管理員）日志是軟件對(duì)安全防護(hù)系統(tǒng)工作運(yùn)行結(jié)果進(jìn)行的記錄，是管理員進(jìn)行統(tǒng)計(jì)分 析和發(fā)現(xiàn)問(wèn)題的一種方式。其主要內(nèi)容包括：日志生成、統(tǒng)計(jì)分析、重要情況通 報(bào)。6、定期報(bào)告辦法把安全事件等情況向相關(guān)領(lǐng)導(dǎo)逐級(jí)進(jìn)行定期或不定

27、期的總結(jié)統(tǒng)計(jì)匯報(bào)，為領(lǐng) 導(dǎo)決策提供依據(jù)。其主要內(nèi)容包括：報(bào)告形式、報(bào)告對(duì)象、報(bào)告程序及頻率、報(bào) 告內(nèi)容。信息安全管理原則1、多人負(fù)責(zé)原則每一項(xiàng)與安全有關(guān)的活動(dòng)，都必須有兩人或多人在場(chǎng)。這些人應(yīng)是系統(tǒng)主管 領(lǐng)導(dǎo)指派的，他們忠誠(chéng)可靠，能勝任此項(xiàng)工作；他們應(yīng)該簽署工作情況記錄以證 明安全工作已得到保障。以下各項(xiàng)是與安全有關(guān)的活動(dòng)：（1）信息處理系統(tǒng)使用的媒介發(fā)放與回收；（2）處理保密信息；（3）硬件和軟件的維護(hù);（4）系統(tǒng)軟件的設(shè)計(jì)、實(shí)現(xiàn)和修改;（5）重要程序和數(shù)據(jù)的刪除和銷(xiāo)毀等。2、任期有限原則一般地講，任何人最好不要長(zhǎng)期擔(dān)任與安全有關(guān)的職務(wù)，以免使他認(rèn)為這個(gè) 職務(wù)是專(zhuān)有的或永久性的。為遵循任期有

28、限原則，工作人員應(yīng)不定期地循環(huán)任職, 強(qiáng)制實(shí)行休假制度，并規(guī)定對(duì)工作人員進(jìn)行輪流培訓(xùn)，以使任期有限制度切實(shí)可 行。3、職責(zé)分離原則在信息處理系統(tǒng)工作的人員不要打聽(tīng)、了解或參與職責(zé)以外的任何與安全有 關(guān)的事情，除非系統(tǒng)主管領(lǐng)導(dǎo)批準(zhǔn)。出于對(duì)安全的考慮，下面每組內(nèi)的兩項(xiàng)信息處理工作應(yīng)當(dāng)分開(kāi)。（1）敏感資料的接收和傳送；（2）安全管理和系統(tǒng)管理；（3）應(yīng)用程序和系統(tǒng)程序的編制；（4）計(jì)算機(jī)操作與信息處理系統(tǒng)使用媒介的保管等。安全教育和培訓(xùn)為了將安全隱患減少到最低，不僅需要對(duì)安全管理員進(jìn)行專(zhuān)業(yè)性的安全技術(shù) 培訓(xùn)，還需要加強(qiáng)對(duì)一般辦公人員的安全知識(shí)的普及。通過(guò)對(duì)用戶的不斷教育和 培訓(xùn)，提高用戶的安全意識(shí)、法制觀念和技術(shù)防范水平，確保網(wǎng)絡(luò)系統(tǒng)的安全運(yùn) 行。根據(jù)用戶的不同層次制定相應(yīng)的教育培訓(xùn)計(jì)劃及培訓(xùn)方式。其他管理措施建議在項(xiàng)目實(shí)施過(guò)程中，委托第三方測(cè)試單位進(jìn)行安全性測(cè)試，委托第三方 工程監(jiān)理控制