政務云安全設(shè)計方案

1、政務云安全設(shè)計方案目錄 TOC o 1-3 h z u HYPERLINK l _Toc498440549 一、 項目概述 PAGEREF _Toc498440549 h 5 HYPERLINK l _Toc498440550 1.1 建設(shè)目標 PAGEREF _Toc498440550 h 5 HYPERLINK l _Toc498440551 1.2 設(shè)計原則 PAGEREF _Toc498440551 h 5 HYPERLINK l _Toc498440552 1.3 參考依據(jù) PAGEREF _Toc498440552 h 6 HYPERLINK l _Toc498440553 二、

2、總體設(shè)計架構(gòu) PAGEREF _Toc498440553 h 7 HYPERLINK l _Toc498440554 2.1 總體框架設(shè)計 PAGEREF _Toc498440554 h 7 HYPERLINK l _Toc498440555 2.2 政務外網(wǎng)安全架構(gòu)設(shè)計 PAGEREF _Toc498440555 h 8 HYPERLINK l _Toc498440556 2.3 政務內(nèi)網(wǎng)安全架構(gòu)設(shè)計 PAGEREF _Toc498440556 h 10 HYPERLINK l _Toc498440557 2.4 政務內(nèi)外網(wǎng)擺渡區(qū)架構(gòu)設(shè)計 PAGEREF _Toc498440557 h 11

3、 HYPERLINK l _Toc498440558 2.5 政務內(nèi)外網(wǎng)架構(gòu)總體設(shè)計（含縣區(qū)） PAGEREF _Toc498440558 h 12 HYPERLINK l _Toc498440559 三、 安全體系設(shè)計 PAGEREF _Toc498440559 h 13 HYPERLINK l _Toc498440560 3.1 總體安全策略 PAGEREF _Toc498440560 h 13 HYPERLINK l _Toc498440561 3.2 網(wǎng)絡(luò)安全 PAGEREF _Toc498440561 h 14 HYPERLINK l _Toc498440562 3.2.1 網(wǎng)絡(luò)結(jié)構(gòu)

4、安全 PAGEREF _Toc498440562 h 14 HYPERLINK l _Toc498440563 3.2.2 網(wǎng)絡(luò)安全審計 PAGEREF _Toc498440563 h 15 HYPERLINK l _Toc498440564 3.2.3 網(wǎng)絡(luò)訪問控制 PAGEREF _Toc498440564 h 15 HYPERLINK l _Toc498440565 3.2.4 邊界完整性檢查 PAGEREF _Toc498440565 h 16 HYPERLINK l _Toc498440566 3.2.5 入侵防范 PAGEREF _Toc498440566 h 16 HYPERLI

5、NK l _Toc498440567 3.2.6 惡意代碼防范 PAGEREF _Toc498440567 h 17 HYPERLINK l _Toc498440568 3.2.7 網(wǎng)絡(luò)設(shè)備防護 PAGEREF _Toc498440568 h 17 HYPERLINK l _Toc498440569 3.3 主機安全 PAGEREF _Toc498440569 h 18 HYPERLINK l _Toc498440570 3.3.1 身份鑒別 PAGEREF _Toc498440570 h 19 HYPERLINK l _Toc498440571 3.3.2 訪問控制 PAGEREF _Toc

6、498440571 h 19 HYPERLINK l _Toc498440572 3.3.3 安全審計 PAGEREF _Toc498440572 h 20 HYPERLINK l _Toc498440573 3.3.4 剩余信息保護 PAGEREF _Toc498440573 h 21 HYPERLINK l _Toc498440574 3.3.5 入侵防范 PAGEREF _Toc498440574 h 21 HYPERLINK l _Toc498440575 3.3.6 惡意代碼防范 PAGEREF _Toc498440575 h 22 HYPERLINK l _Toc498440576

7、 3.3.7 資源控制 PAGEREF _Toc498440576 h 22 HYPERLINK l _Toc498440577 3.4 應用安全 PAGEREF _Toc498440577 h 23 HYPERLINK l _Toc498440578 3.4.1 身份鑒別 PAGEREF _Toc498440578 h 23 HYPERLINK l _Toc498440579 3.4.2 訪問控制 PAGEREF _Toc498440579 h 24 HYPERLINK l _Toc498440580 3.4.3 安全審計 PAGEREF _Toc498440580 h 24 HYPERLI

8、NK l _Toc498440581 3.4.4 剩余信息保護 PAGEREF _Toc498440581 h 24 HYPERLINK l _Toc498440582 3.4.5 通信完整性 PAGEREF _Toc498440582 h 25 HYPERLINK l _Toc498440583 3.4.6 通信保密性 PAGEREF _Toc498440583 h 25 HYPERLINK l _Toc498440584 3.4.7 抗抵賴 PAGEREF _Toc498440584 h 26 HYPERLINK l _Toc498440585 3.4.8 軟件容錯 PAGEREF _To

9、c498440585 h 26 HYPERLINK l _Toc498440586 3.4.9 資源控制 PAGEREF _Toc498440586 h 27 HYPERLINK l _Toc498440587 3.5 數(shù)據(jù)安全 PAGEREF _Toc498440587 h 27 HYPERLINK l _Toc498440588 3.5.1 數(shù)據(jù)傳輸安全 PAGEREF _Toc498440588 h 27 HYPERLINK l _Toc498440589 3.5.2 數(shù)據(jù)完整性與保密性 PAGEREF _Toc498440589 h 28 HYPERLINK l _Toc4984405

10、90 3.5.3 數(shù)據(jù)備份與恢復 PAGEREF _Toc498440590 h 28 HYPERLINK l _Toc498440591 3.6 安全產(chǎn)品部署 PAGEREF _Toc498440591 h 30 HYPERLINK l _Toc498440592 四、 總體實施方案概述 PAGEREF _Toc498440592 h 31 HYPERLINK l _Toc498440593 4.1 項目管理 PAGEREF _Toc498440593 h 31 HYPERLINK l _Toc498440594 4.1.1 項目整體管理 PAGEREF _Toc498440594 h 31

11、 HYPERLINK l _Toc498440595 4.1.2 項目管理范圍 PAGEREF _Toc498440595 h 32 HYPERLINK l _Toc498440596 4.1.3 項目進度管理 PAGEREF _Toc498440596 h 32 HYPERLINK l _Toc498440597 4.1.4 項目成本管理 PAGEREF _Toc498440597 h 34 HYPERLINK l _Toc498440598 4.1.5 項目質(zhì)量管理 PAGEREF _Toc498440598 h 34 HYPERLINK l _Toc498440599 4.1.6 項目人

12、力資源管理 PAGEREF _Toc498440599 h 36 HYPERLINK l _Toc498440600 4.1.7 項目溝通管理 PAGEREF _Toc498440600 h 37 HYPERLINK l _Toc498440601 4.1.8 文檔與配置管理 PAGEREF _Toc498440601 h 38 HYPERLINK l _Toc498440602 4.1.9 項目變更管理 PAGEREF _Toc498440602 h 39 HYPERLINK l _Toc498440603 4.1.10 信息系統(tǒng)安全管理 PAGEREF _Toc498440603 h 39

13、 HYPERLINK l _Toc498440604 4.1.11 項目風險管理 PAGEREF _Toc498440604 h 40 HYPERLINK l _Toc498440605 4.1.12 項目驗收管理 PAGEREF _Toc498440605 h 41 HYPERLINK l _Toc498440606 4.2 建設(shè)范圍及內(nèi)容 PAGEREF _Toc498440606 h 42 HYPERLINK l _Toc498440607 4.3 項目管理組織機構(gòu) PAGEREF _Toc498440607 h 42 HYPERLINK l _Toc498440608 4.3.1 項目

14、組織計劃涉及的內(nèi)容 PAGEREF _Toc498440608 h 42 HYPERLINK l _Toc498440609 4.3.2 人員組織架構(gòu) PAGEREF _Toc498440609 h 49 HYPERLINK l _Toc498440610 4.4 實施規(guī)劃 PAGEREF _Toc498440610 h 53 HYPERLINK l _Toc498440611 4.4.1 實施環(huán)節(jié)規(guī)劃總表 PAGEREF _Toc498440611 h 53 HYPERLINK l _Toc498440612 4.4.2 設(shè)備訂貨及到貨 PAGEREF _Toc498440612 h 53

15、HYPERLINK l _Toc498440613 4.4.3 詳細實施方案設(shè)計 PAGEREF _Toc498440613 h 54 HYPERLINK l _Toc498440614 4.4.4 檢測方案 PAGEREF _Toc498440614 h 56 HYPERLINK l _Toc498440615 五、 技術(shù)培訓 PAGEREF _Toc498440615 h 57 HYPERLINK l _Toc498440616 5.1.1 培訓計劃 PAGEREF _Toc498440616 h 57 HYPERLINK l _Toc498440617 5.1.2 培訓流程 PAGERE

16、F _Toc498440617 h 58 HYPERLINK l _Toc498440618 5.1.3 培訓內(nèi)容 PAGEREF _Toc498440618 h 58 HYPERLINK l _Toc498440619 5.1.4 培訓方式 PAGEREF _Toc498440619 h 60 HYPERLINK l _Toc498440620 5.1.5 培訓目標 PAGEREF _Toc498440620 h 61 HYPERLINK l _Toc498440621 5.1.6 培訓對象 PAGEREF _Toc498440621 h 61 HYPERLINK l _Toc4984406

17、22 5.1.7 培訓管理 PAGEREF _Toc498440622 h 61 HYPERLINK l _Toc498440623 六、 售后服務方案 PAGEREF _Toc498440623 h 62 HYPERLINK l _Toc498440624 6.1 技術(shù)服務機構(gòu) PAGEREF _Toc498440624 h 62 HYPERLINK l _Toc498440625 6.2 售后維保服務目標 PAGEREF _Toc498440625 h 64 HYPERLINK l _Toc498440626 6.3 維保服務方式 PAGEREF _Toc498440626 h 65 HY

18、PERLINK l _Toc498440627 6.3.1 遠程支持 PAGEREF _Toc498440627 h 65 HYPERLINK l _Toc498440628 6.3.2 現(xiàn)場支持 PAGEREF _Toc498440628 h 65 HYPERLINK l _Toc498440629 6.3.3 預防性健康檢查方式 PAGEREF _Toc498440629 h 65 HYPERLINK l _Toc498440630 6.3.4 服務響應時間 PAGEREF _Toc498440630 h 66 HYPERLINK l _Toc498440631 6.4 設(shè)備保修及故障處理

19、 PAGEREF _Toc498440631 h 66 HYPERLINK l _Toc498440632 6.4.1 設(shè)備保修及部件調(diào)整 PAGEREF _Toc498440632 h 66 HYPERLINK l _Toc498440633 6.4.2 故障處理及解決時限 PAGEREF _Toc498440633 h 67 HYPERLINK l _Toc498440634 6.4.3 故障反饋 PAGEREF _Toc498440634 h 68 HYPERLINK l _Toc498440635 6.5 預防性健康檢查服務 PAGEREF _Toc498440635 h 68 HYP

20、ERLINK l _Toc498440636 6.5.1 巡檢計劃 PAGEREF _Toc498440636 h 68 HYPERLINK l _Toc498440637 6.5.2 巡檢內(nèi)容 PAGEREF _Toc498440637 h 69 HYPERLINK l _Toc498440638 6.5.3 維護保養(yǎng)時間計劃表 PAGEREF _Toc498440638 h 69 HYPERLINK l _Toc498440639 6.5.4 升級及應急演練服務 PAGEREF _Toc498440639 h 71 HYPERLINK l _Toc498440640 6.5.5 技術(shù)咨詢服

21、務 PAGEREF _Toc498440640 h 71 HYPERLINK l _Toc498440641 6.6 廠商配合及服務文檔 PAGEREF _Toc498440641 h 71 HYPERLINK l _Toc498440642 6.6.1 技術(shù)服務配合協(xié)調(diào) PAGEREF _Toc498440642 h 71 HYPERLINK l _Toc498440643 6.6.2 服務文檔 PAGEREF _Toc498440643 h 71 HYPERLINK l _Toc498440644 6.7 保密承諾 PAGEREF _Toc498440644 h 72 HYPERLINK

22、l _Toc498440645 七、 實施應急方案 PAGEREF _Toc498440645 h 72 HYPERLINK l _Toc498440646 7.1 應急流程 PAGEREF _Toc498440646 h 72 HYPERLINK l _Toc498440647 7.2 風險分析與預防措施 PAGEREF _Toc498440647 h 72 HYPERLINK l _Toc498440648 7.3 應急處理措施 PAGEREF _Toc498440648 h 73 HYPERLINK l _Toc498440649 八、 技術(shù)轉(zhuǎn)移 PAGEREF _Toc49844064

23、9 h 74 HYPERLINK l _Toc498440650 8.1 系統(tǒng)集成項目測試計劃編寫規(guī)范 PAGEREF _Toc498440650 h 75 HYPERLINK l _Toc498440651 8.2 項目工作情況周報 PAGEREF _Toc498440651 h 76 HYPERLINK l _Toc498440652 8.3 個人工作情況周報 PAGEREF _Toc498440652 h 77 HYPERLINK l _Toc498440653 8.4 文檔管理 PAGEREF _Toc498440653 h 78項目概述建設(shè)目標依照國家相關(guān)法律、法規(guī)要求，結(jié)合智慧城市

24、業(yè)務、應用、數(shù)據(jù)、基礎(chǔ)設(shè)施等架構(gòu)的規(guī)劃，以提升信息安全保障能力為總目標，以安全防護和集中監(jiān)控為基礎(chǔ)，以安全檢查、風險評估、等級保護為抓手，以應急機制為保障，適應大數(shù)據(jù)、云計算和基于公共網(wǎng)絡(luò)面向公眾的要求，為許昌電子政務信息化發(fā)展提供有效的信息安全保障。充分調(diào)研安全防護現(xiàn)狀，合理規(guī)劃安全域，制訂可具體操作的安全策略，并在充分利用信息安全設(shè)施的基礎(chǔ)上，構(gòu)建信息系統(tǒng)的安全技術(shù)體系、安全管理體系與服務體系，形成集防護、檢測、響應、恢復于一體的安全保障體系，保證各系統(tǒng)等信息系統(tǒng)安全穩(wěn)定運行，以滿足智慧城市全方位的安全保護需求。設(shè)計原則1.統(tǒng)一規(guī)劃，集約建設(shè)：基于許昌電子政務網(wǎng)絡(luò)的特點，著眼全局，以統(tǒng)一的

25、規(guī)劃、制度、標準和技術(shù)體系對建設(shè)和管理加以規(guī)范，同時綜合考慮先進、成熟的技術(shù)的利用和未來系統(tǒng)升級拓展的需求，對基礎(chǔ)設(shè)施進行集約建設(shè)，提高投資效能。2.需求主導，實用高效：緊緊圍繞電子政務工作需求，立足實際，急用先行，突出重點，先易后難，著力建設(shè)實用高效的電子政務網(wǎng)絡(luò)系統(tǒng)。3.整合資源，創(chuàng)新發(fā)展：加強資源整合，避免重復建設(shè)。不斷推進技術(shù)、管理和服務創(chuàng)新，實現(xiàn)電子政務網(wǎng)絡(luò)可持續(xù)發(fā)展。4.防控結(jié)合，保障安全：堅持積極防御、綜合防范的方針，嚴格落實等級保護機制，優(yōu)先采用國產(chǎn)化設(shè)備和系統(tǒng)，綜合運用信息安全技術(shù)，強化許昌電子政務網(wǎng)絡(luò)安全措施和管理，做到既確保安全又方便使用。參考依據(jù)GB-17859 計算機

26、信息系統(tǒng)安全等級保護劃分準則GBT-22240 信息系統(tǒng)安全保護等級定級指南GBT-22239 信息系統(tǒng)安全等級保護基本要求GBT-25070 信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求GBT-25058 信息系統(tǒng)安全等級保護實施指南信息系統(tǒng)安全等級保護測評指南GBT-20270 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GBT-20271 信息系統(tǒng)通用安全技術(shù)要求GBT-21052 信息系統(tǒng)物理安全技術(shù)要求GBT-20269 信息系統(tǒng)安全管理要求GBT-20984 信息安全風險評估規(guī)范GAT708 信息系統(tǒng)安全等級保護體系框架總體設(shè)計架構(gòu)總體框架設(shè)計根據(jù)風險分析、需求分析，結(jié)合許昌政務云數(shù)據(jù)中心實際情況，以國家等級保護三級

27、防護為指導方針，設(shè)計出信息安全體系框架，具體如下圖：政務外網(wǎng)安全架構(gòu)設(shè)計安全域劃分：互聯(lián)接入?yún)^(qū)、核心交換區(qū)、核心業(yè)務區(qū)、核心數(shù)據(jù)區(qū)、業(yè)務服務區(qū)與運維管理區(qū)。互聯(lián)接入?yún)^(qū)：用于電子政務外網(wǎng)接入，主干設(shè)備采用“口字型”，雙機架構(gòu)部署，防止單點故障，提高鏈路穩(wěn)定性與可靠性，流量清洗、防火墻、入侵防護系統(tǒng)、防病毒網(wǎng)關(guān)采用透明模式部署，鏈路負載均衡設(shè)備采用路由模式部署，進行智能選路與DNS解析，設(shè)備之間開啟鏈路探測技術(shù)，一臺設(shè)備故障進行單條鏈路的整體切換，保障業(yè)務持續(xù)穩(wěn)定運行。核心交換區(qū)：部署核心交換網(wǎng)絡(luò)，旁路部署APT威脅檢測系統(tǒng)，通過端口鏡像方式采集全網(wǎng)流量，針對惡意代碼與未知威脅數(shù)據(jù)進行檢測，當發(fā)現(xiàn)

28、威脅時，及時告警并通過與入侵防護系統(tǒng)聯(lián)動，進行入侵威脅阻斷。業(yè)務服務區(qū)：部署統(tǒng)一門戶與部分對外提供服務的前置系統(tǒng)。雙機架構(gòu)，透明串行部署WAF，針對SQL注入、XSS跨站等針對http/https應用系統(tǒng)的攻擊代碼進行檢測并阻斷，實時監(jiān)控后臺門戶服務器的健康狀態(tài)，形成詳細的報表。部署網(wǎng)頁防篡改系統(tǒng)，針對動、靜態(tài)頁面進行保護，防止頁面篡改造成不良影響。旁路部署SSL VPN系統(tǒng)，針對遠程接入業(yè)務與需求，提供身份鑒別、數(shù)據(jù)加密并能夠與堡壘機進行聯(lián)動，實現(xiàn)外部遠程加密運維調(diào)試。運維管理區(qū)：旁路部署運維堡壘主機、漏洞掃描系統(tǒng)與日志審計系統(tǒng)。堡壘主機用于運維管理與審計，漏洞掃描進行主機、中間件、應用與數(shù)

29、據(jù)庫掃描，并提供漏洞修補建議方案。日志審計用于采集前端網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機、應用與數(shù)據(jù)庫日志系統(tǒng)，進行日志規(guī)范化，形成日志記錄并針對違反安全規(guī)則的日志信息進行預警。核心業(yè)務區(qū)：旁路部署業(yè)務網(wǎng)審計系統(tǒng)，實現(xiàn)“人-應用-中間件”全方位審計機制，監(jiān)測業(yè)務操作數(shù)據(jù)流量，監(jiān)測違規(guī)與惡意業(yè)務操作行為并及時預警。政務內(nèi)網(wǎng)安全架構(gòu)設(shè)計安全域劃分：內(nèi)網(wǎng)接入?yún)^(qū)、核心交換區(qū)、核心業(yè)務區(qū)、核心數(shù)據(jù)區(qū)、終端用戶區(qū)與運維管理區(qū)。互聯(lián)接入?yún)^(qū)：用于電子政務內(nèi)網(wǎng)接入，主干設(shè)備采用“口字型”，雙機架構(gòu)部署，防止單點故障，提高鏈路穩(wěn)定性與可靠性，防火墻、入侵防護系統(tǒng)采用透明模式部署，設(shè)備之間開啟鏈路探測技術(shù)，一臺設(shè)備故障進行單

30、條鏈路的整體切換，保障業(yè)務持續(xù)穩(wěn)定運行。核心交換區(qū)：部署核心交換網(wǎng)絡(luò)，旁路部署APT威脅檢測系統(tǒng)，通過端口鏡像方式采集全網(wǎng)流量，針對惡意代碼與未知威脅數(shù)據(jù)進行檢測，當發(fā)現(xiàn)威脅時，及時告警并通過與入侵防護系統(tǒng)聯(lián)動，進行入侵威脅阻斷。終端用戶區(qū)：部署統(tǒng)一的內(nèi)網(wǎng)終端安全控制系統(tǒng)，實現(xiàn)網(wǎng)絡(luò)準入、非法外聯(lián)、軟件與補丁分發(fā)，外設(shè)控制、介質(zhì)管理、終端行為審計等功能。運維管理區(qū)：旁路部署運維堡壘主機、漏洞掃描系統(tǒng)、日志審計系統(tǒng)、終端管理服務器端與大數(shù)據(jù)云安全管理監(jiān)控平臺。堡壘主機用于運維管理與審計，漏洞掃描進行主機、中間件、應用與數(shù)據(jù)庫掃描，并提供漏洞修補建議方案。日志審計用于采集前端網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機

31、、應用與數(shù)據(jù)庫日志系統(tǒng)，進行日志規(guī)范化，形成日志記錄并針對違反安全規(guī)則的日志信息進行預警。大數(shù)據(jù)云安全管理監(jiān)控平臺，將各自獨立的安全設(shè)備組成為一個有機的整體，通過基于資產(chǎn)管理的事件關(guān)聯(lián)分析和管理，及時發(fā)現(xiàn)安全風險、安全事件和業(yè)務安全隱患，并結(jié)合安全策略和安全知識的管理，提供多種安全響應機制，從而使得客戶能夠?qū)崟r掌控網(wǎng)絡(luò)的安全態(tài)勢，與各類安全設(shè)備形成一個完整的安全保障體系，從而實現(xiàn)了高效、全面的網(wǎng)絡(luò)安全防護、檢測和響應。它完全具備監(jiān)控、預警、響應、追蹤等功能，并具備可審計功能，即對內(nèi)部安全管理人員的相關(guān)操作進行日志記錄。核心業(yè)務區(qū)：旁路部署虛擬化安全防護系統(tǒng)，將虛擬化內(nèi)部“東西”向數(shù)據(jù)流量牽引至

32、物理機外部，利用已部署的安全產(chǎn)品進行惡意代碼檢測與預警，防止物理機內(nèi)部虛機之間傳輸惡意代碼流量。核心數(shù)據(jù)區(qū)：旁路部署數(shù)據(jù)庫審計系統(tǒng)，針對數(shù)據(jù)庫操作流量進行安全檢測與控制，防止違規(guī)數(shù)據(jù)操作指令下發(fā)并形成詳細的數(shù)據(jù)庫操作審計記錄，做到事后責任的精確追溯。政務內(nèi)外網(wǎng)擺渡區(qū)架構(gòu)設(shè)計部署業(yè)務需要電子政務內(nèi)外網(wǎng)進行定向的數(shù)據(jù)傳輸與同步，設(shè)計如下內(nèi)外網(wǎng)數(shù)據(jù)擺渡區(qū)：防火墻：邊界訪問控制設(shè)備，防止由外網(wǎng)發(fā)起的未授權(quán)或違規(guī)的向內(nèi)網(wǎng)訪問的數(shù)據(jù)流量。入侵檢測系統(tǒng)：配置兩路監(jiān)聽授權(quán)，旁路部署方式進行應用層入侵威脅檢測，當檢測到應用層威脅數(shù)據(jù)報文時，通過與防火墻系統(tǒng)聯(lián)動，進行數(shù)據(jù)傳輸阻斷，形成七層安全防護體系。網(wǎng)絡(luò)審計系

33、統(tǒng)：針對內(nèi)外網(wǎng)之間的應用訪問與數(shù)據(jù)操作行為進行全面審計記錄，當檢測違規(guī)應用數(shù)據(jù)操作行為及時記錄并預警。單向?qū)胂到y(tǒng)：針對數(shù)據(jù)出入內(nèi)網(wǎng)，各部署一套單向?qū)胂到y(tǒng)，進行數(shù)據(jù)格式與內(nèi)容過濾，只允許在前置系統(tǒng)與后置系統(tǒng)之間的定向UDP訪問與文件傳輸。安全隔離與信息交換系統(tǒng)：針對部分需雙向進行TCP數(shù)據(jù)傳輸?shù)臉I(yè)務系統(tǒng)，通過安全隔離與信息交換系統(tǒng)進行授權(quán)數(shù)據(jù)訪問并進行數(shù)據(jù)格式規(guī)范與內(nèi)容過濾。政務內(nèi)外網(wǎng)架構(gòu)總體設(shè)計（含縣區(qū)）針對縣區(qū)接入機房，通過部署防火墻與入侵防御系統(tǒng)形成七層全訪問防護體系。防火墻：邊界訪問控制設(shè)備，路由模式部署，防止未授權(quán)訪問，過濾違規(guī)數(shù)據(jù)報文并通過標準的syslog向市級中心的日志審計系

34、統(tǒng)進行日志信息上報。；入侵防護系統(tǒng)：透明串行部署，針對應用層數(shù)據(jù)進行深度代碼檢查，發(fā)現(xiàn)應用層攻擊代碼進行阻斷并形成詳細的報表記錄。安全體系設(shè)計根據(jù)風險分析中提出的防護策略，在整體保障框架的指導下，本節(jié)將就具體的安全技術(shù)措施、安全管理措施與服務措施來設(shè)計安全體系保障方案，以滿足相應等級的基本安全保護能力?？傮w安全策略遵循國家、地方相關(guān)法規(guī)和標準；貫徹等級保護和分域保護的原則；管理與技術(shù)并重，互為支撐，互為補充，相互協(xié)同，形成有效的綜合防范體系；充分依托已有的信息安全基礎(chǔ)設(shè)施，加快、加強信息安全保障體系建設(shè)。第三級安全的信息系統(tǒng)具備對信息和系統(tǒng)進行基于安全策略強制的安全保護能力。在技術(shù)策略方面，第

35、三級要求按照確定的安全策略，實施強制性的安全保護，使數(shù)據(jù)信息免遭非授權(quán)的泄露和破壞，保證較高安全的系統(tǒng)服務。這些安全技術(shù)主要包括物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應用層、數(shù)據(jù)層的以下內(nèi)容：對計算機、網(wǎng)絡(luò)的設(shè)備、環(huán)境和介質(zhì)采用較嚴格的防護措施，確保其為信息系統(tǒng)的安全運行提供硬件支持，防止由于硬件原因造成信息的泄露和破壞；通過對政務云內(nèi)各組成部分采用網(wǎng)絡(luò)安全監(jiān)控、安全審計、數(shù)據(jù)、設(shè)備及系統(tǒng)的備份與恢復、集中統(tǒng)一的病毒監(jiān)控體系、兩種鑒別方式組合實現(xiàn)的強身份鑒別、細粒度的自主訪問控制、滿足三級要求的操作系統(tǒng)和數(shù)據(jù)庫、較高強度密碼支持的存儲和傳輸數(shù)據(jù)的加密保護、客體重用等安全機制，實現(xiàn)對政協(xié)云內(nèi)的信息安全保護和系

36、統(tǒng)安全運行的支持；采用分區(qū)域保護和邊界防護（如應用級防火墻、網(wǎng)絡(luò)隔離部件、信息過濾和邊界完整性檢查等），在不同區(qū)域邊界統(tǒng)一制定邊界訪問控制策略，實現(xiàn)不同安全等級區(qū)域之間安全互操作的較嚴格控制；按照系統(tǒng)化的要求和層次化結(jié)構(gòu)的方法設(shè)計和實現(xiàn)安全子系統(tǒng)，增強各層面的安全防護能力，通過安全管理中心，在統(tǒng)一安全策略下對系統(tǒng)安全事件集中審計、集中監(jiān)控和數(shù)據(jù)分析，并做出響應和處理，從而構(gòu)建較為全面的動態(tài)安全體系。網(wǎng)絡(luò)安全網(wǎng)絡(luò)結(jié)構(gòu)安全網(wǎng)絡(luò)結(jié)構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，對于本次電子政務內(nèi)外網(wǎng)建設(shè)，每個層、區(qū)域的線路和設(shè)備均采用冗余設(shè)計。經(jīng)過合理規(guī)劃，在終端與服務器之間建立安全訪問路徑。本次安全架構(gòu)設(shè)計如下圖

37、：如上圖所示，核心網(wǎng)絡(luò)設(shè)備、防火墻、入侵防御等均為雙機冗余結(jié)構(gòu)設(shè)計，設(shè)計除了可以避免因一臺設(shè)備或單個系統(tǒng)異常而導致業(yè)務中斷外，還可以對系統(tǒng)業(yè)務流量負載分擔，避免大流量環(huán)境下線路擁堵和帶寬不足的問題。采取的主要技術(shù)措施如下：（1）主要網(wǎng)絡(luò)設(shè)備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期需要，同時具有可擴展、可管理等特性。（2）采用雙運營商高帶寬鏈路保障了業(yè)務要求。（3）通過采用防火墻、交換機等設(shè)備，在業(yè)務終端與業(yè)務服務器之間建立了安全的訪問路徑。（4）在網(wǎng)絡(luò)設(shè)備（防火墻、路由器、交換機）上配置優(yōu)先級，通過技術(shù)手段（ACL依次匹配、QOS等）對業(yè)務服務的重要次序來指定分配，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)

38、先保護重要主機。網(wǎng)絡(luò)安全審計網(wǎng)絡(luò)安全審計系統(tǒng)主要用于審計記錄網(wǎng)絡(luò)中的各類網(wǎng)絡(luò)、應用協(xié)議與數(shù)據(jù)庫業(yè)務操作流量，監(jiān)控系統(tǒng)中存在的潛在威脅，綜合分析安全事件，包括各種域間和域內(nèi)事件。審計體系采用旁路部署網(wǎng)絡(luò)安全審計系統(tǒng)，對全網(wǎng)數(shù)據(jù)流進行監(jiān)測、審計記錄，同時和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理平臺提供監(jiān)控數(shù)據(jù)用于分析預警并生成詳細的審計報表。主要技術(shù)措施如下：（1）安全審計系統(tǒng)對網(wǎng)絡(luò)中的數(shù)據(jù)庫行為、業(yè)務操作、網(wǎng)絡(luò)協(xié)議、應用協(xié)議等進行審計記錄； （2）審計記錄包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；（4）應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；（5）應對審計記錄進

39、行保護，避免受到未預期的刪除、修改或覆蓋等。網(wǎng)絡(luò)訪問控制訪問控制是網(wǎng)絡(luò)系統(tǒng)安全防范和保護的主要策略之一，它的主要任務是保證系統(tǒng)資源不被非法使用，是系統(tǒng)安全、保護網(wǎng)絡(luò)資源的重要手段。而安全訪問控制的前提是必須合理的建立安全域，根據(jù)不同的安全訪問控制需求建立不同的安全域。本次電子政務內(nèi)網(wǎng)建設(shè)，采用防火墻+準入控制的方式對終端設(shè)備（包含網(wǎng)絡(luò)打印機）實現(xiàn)安全準入管理。技術(shù)防護機制如下：部署終端準入控制系統(tǒng)，通過安全策略制定，結(jié)合接入交換機，實現(xiàn)網(wǎng)絡(luò)準入控制。為了防止交換機更換、配置修改或主機變更，致使在網(wǎng)絡(luò)邊界無法有效控制未授權(quán)終端接入的情況發(fā)生，在核心安全域邊界防火墻配置了與終端準入控制系統(tǒng)聯(lián)動策略

40、，進行終端接入的二次驗證審核，針對不滿足接入安全基線的終端進行二次控制與授權(quán)通過對系統(tǒng)網(wǎng)絡(luò)的邊界風險與需求分析，在網(wǎng)絡(luò)層進行訪問控制部署防火墻產(chǎn)品，同時設(shè)置相應的安全策略（基線），對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴格的安全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問，防止各類非法攻擊行為。邊界完整性檢查邊界完整性檢查核心是要對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，維護網(wǎng)絡(luò)邊界完整性。利用非法外聯(lián)監(jiān)控和非法內(nèi)接監(jiān)控設(shè)備來進行網(wǎng)絡(luò)邊界完整性檢查。非法外聯(lián)監(jiān)控主要解決發(fā)現(xiàn)和管理用戶非法自行建立通路連接非授權(quán)網(wǎng)絡(luò)的行為。通過非法外聯(lián)監(jiān)控的管理，可以防止

41、用戶訪問非信任網(wǎng)絡(luò)資源，并防止由于訪問非信任網(wǎng)絡(luò)資源而引入安全風險或者導致信息泄密。對于非法外聯(lián)，可以發(fā)現(xiàn)終端試圖訪問非授信網(wǎng)絡(luò)資源的行為，如試圖與沒有通過系統(tǒng)授權(quán)許可的終端進行通信，自行試圖通過撥號連接互聯(lián)網(wǎng)等行為。對于發(fā)現(xiàn)的非法外聯(lián)行為，可以記錄日志并產(chǎn)生報警信息。入侵防范基于網(wǎng)絡(luò)的開放性與自由性，網(wǎng)絡(luò)中存在各種未知的威脅和不法分子的攻擊。網(wǎng)絡(luò)入侵檢測和防御技術(shù)則是從多種計算機系統(tǒng)及網(wǎng)絡(luò)中收集信息，再通過這些信息分析入侵特征的網(wǎng)絡(luò)安全系統(tǒng)。網(wǎng)絡(luò)入侵檢測技術(shù)還可以與防火墻等其它安全產(chǎn)品緊密結(jié)合，最大程度地為網(wǎng)絡(luò)系統(tǒng)提供安全保障。通過對安全域邊界風險與需求分析，采取的技術(shù)措施如下：（1）在數(shù)據(jù)

42、交換擺渡區(qū)部署網(wǎng)絡(luò)入侵檢測系統(tǒng)（IDS）系統(tǒng)，基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)使用原始網(wǎng)絡(luò)包作為數(shù)據(jù)源，實時監(jiān)視并分析通過網(wǎng)絡(luò)的所有通信業(yè)務，監(jiān)視端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等行為。（2）在數(shù)據(jù)交換擺渡區(qū)監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；（3）當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警。惡意代碼防范網(wǎng)絡(luò)邊界惡意代碼的防范主要是采用邊界過濾技術(shù)，主要有入侵防御、防病毒網(wǎng)關(guān)、一體化安全網(wǎng)關(guān)技術(shù)、DDOS等，通過防病毒

43、網(wǎng)關(guān)對數(shù)據(jù)進行深層次的安全代碼檢查，將可疑惡意代碼進行隔離、查殺和過濾。根據(jù)國家相關(guān)安全技術(shù)要求，病毒網(wǎng)關(guān)應具備查殺當時流行的病毒和木馬的能力，其病毒庫應能夠在線或離線及時更新，更新周期不應超過一周，遇緊急情況或國際、國內(nèi)重大病毒事件時，能夠及時更新。惡意代碼是對業(yè)務系統(tǒng)最大的安全威脅之一。本次所采取的技術(shù)措施如下：（1）通過部署防病毒網(wǎng)關(guān)，截斷了病毒通過網(wǎng)絡(luò)傳播的途徑；（2）通過在互聯(lián)域部署抗DDOS攻擊的系統(tǒng)（設(shè)備），對流量進行清洗和過濾，凈化了網(wǎng)絡(luò)流量；（3）通過部署網(wǎng)絡(luò)防病毒軟件，保護服務器和客戶端的安全；（4）利用防病毒網(wǎng)關(guān)、抗DDOS系統(tǒng)和網(wǎng)絡(luò)防病毒軟件共同組成三層立體網(wǎng)絡(luò)防御體系

44、，包含了從桌面到服務器、從內(nèi)部用戶到網(wǎng)絡(luò)邊界的全面的解決方案，以抵御來自黑客和病毒的威脅；對系統(tǒng)網(wǎng)絡(luò)與系統(tǒng)進行全方位的保護。網(wǎng)絡(luò)設(shè)備防護系統(tǒng)中連接了許多網(wǎng)絡(luò)設(shè)備（路由器、交換機、防火墻等），這些設(shè)備的自身安全也直接關(guān)系到系統(tǒng)及各網(wǎng)絡(luò)應用的正常運行。例如設(shè)備登錄信息、配置信息泄露等。各種網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務器系統(tǒng)、交換機、路由器、網(wǎng)絡(luò)安全審計等都必須具備管理員身份鑒別機制，可以采用帳號、靜態(tài)口令、動態(tài)口令、KEY、數(shù)字證書等方式或兩種以上組合方式進行身份鑒別，密碼配置必須滿足“復雜”要求，長度不少于8位字符，且不能為全數(shù)字或單詞等，必須由兩種或兩種以上字符類型（大小寫字母、數(shù)字、特殊字符等）

45、構(gòu)成，同時應配置最大登陸失敗次數(shù)，通常為3-5次，超過最大登陸次數(shù)后，即將登陸源IP進行鎖定禁止再次嘗試登陸，以防口令暴力猜解。設(shè)備應根據(jù)物理安全要求，固定安裝于機柜并粘貼相應標識。對所有網(wǎng)絡(luò)設(shè)備均開啟登錄身份驗證功能，對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；同時對安全設(shè)備管理員登錄地址進行限制；網(wǎng)絡(luò)管理員和安全管理員的用戶名的標識都具有唯一性；網(wǎng)絡(luò)安全設(shè)備、服務器的口令采用強口令并定期更換；在安全設(shè)備、服務器、安全系統(tǒng)上開啟登錄失敗處理功能，如采取限制非法登錄次數(shù)和當網(wǎng)絡(luò)登錄連接超時自動退出等措施。啟用網(wǎng)絡(luò)安全的SSH及SSL功能，保證對設(shè)備進行遠程管理時防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。所采取

46、的技術(shù)措施如下：（1）核心交換機、路由器、防火墻、隔離網(wǎng)閘等網(wǎng)絡(luò)設(shè)備應限制遠程登陸管理IP地址范圍或禁止遠程管理，必要時只允許管理終端域的IP主機或堡壘機方可以管理權(quán)限通過網(wǎng)絡(luò)登陸設(shè)備配置和維護操作，通過網(wǎng)絡(luò)遠程配置管理必須采用加密方式（如：SSH或HTTPS）建立連接，以防連接會話被竊聽或篡改。（2）所有操作必須經(jīng)過管理終端域管理終端或堡壘機操作，通過堡壘授權(quán)賬號與權(quán)限劃分，有審計員帳號監(jiān)督審計，審計管理員可隨時查看系統(tǒng)管理員對網(wǎng)絡(luò)設(shè)備所做的操作，帳號登陸后若長時間未有操作，應能夠自動退出系統(tǒng)或結(jié)束當前管理會話連接，嚴格杜絕超級管理員權(quán)限帳號或永久在線帳號存在。（3）部署運維堡壘主機對登錄操

47、作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別，杜絕默認帳號，不合規(guī)則的帳戶登錄訪問；操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施，三次登錄失敗賬號自動鎖定。操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，且具有唯一性。主機安全主機系統(tǒng)安全主要來自網(wǎng)絡(luò)上運行的操作系統(tǒng)和數(shù)據(jù)庫，該層次的安全問題主要表現(xiàn)在兩方面：一是操作系統(tǒng)和數(shù)據(jù)庫本身的安全漏洞和隱患；二是對操作系統(tǒng)和數(shù)據(jù)庫的錯誤配置。通常，我們對于操作系統(tǒng)和數(shù)據(jù)庫本身在安全方面考慮較少，而且會因為設(shè)計、編碼的原因存在各種各樣的安全漏

48、洞（已知的、未知的），還可能留有隱蔽通道或后門。我們建議在日常的網(wǎng)絡(luò)及系統(tǒng)維護過程中，系統(tǒng)管理員應及時安裝廠商公布的最新升級軟件包和補丁包，減少安全漏洞和隱患。操作人員對系統(tǒng)功能、系統(tǒng)服務、數(shù)據(jù)庫管理系統(tǒng)等的誤操作或者錯誤配置，也同樣會給信息網(wǎng)絡(luò)系統(tǒng)帶來一定的安全風險。我們建議應定期檢查系統(tǒng)配置，糾正錯誤的配置，比如關(guān)閉不需要的系統(tǒng)服務，或者采用更安全的服務等。根據(jù)等保的防護要求，具體從以下幾個方面對主機的安全進行防護：身份鑒別建立運維審計鑒別機制，部署運維堡壘主機對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別，杜絕默認帳號，不合規(guī)則的帳戶登錄訪問；操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具

49、有不易被冒用的特點，口令應有復雜度要求并定期更換；啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施，三次登錄失敗賬號自動鎖定。操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，且具有唯一性。采用的技術(shù)措施如下：（1）對服務器進行遠程管理須采用安全的模式，針對系統(tǒng)管理員除用戶名和密碼外，還需采用數(shù)字證書或UKEY等其他身份鑒別手段。（2）使用身份認證系統(tǒng)生成電子證書并結(jié)合USB Key電子鑰匙作為身份鑒別的基礎(chǔ)。（3）結(jié)合終端安全管理系統(tǒng)對弱口令和其它控制項進行監(jiān)督，并且利用漏洞掃描系統(tǒng)對弱口令進行檢查。訪問控制建立標記規(guī)則，在服務器等實體資產(chǎn)上粘貼屬性標簽，文檔介質(zhì)類粘貼或

50、打印密級等標記，對于電子數(shù)據(jù)使用文件名或文件注釋進行標記。部署運維堡壘主機，建立訪問控制策略，依據(jù)最小原則授予用戶權(quán)限，操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)要使用不同的特權(quán)用戶，對用戶權(quán)限分配應當定期檢查。采用的技術(shù)措施如下：（1）嚴格限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；及時刪除多余的、過期的帳戶，避免共享帳戶的存在。（2）主機在正式接入網(wǎng)絡(luò)投入使用之前，需由專業(yè)安全管理員進行主機系統(tǒng)安全加固操作，啟用主機系統(tǒng)集成的的軟件防火墻規(guī)則、啟用本地安全策略；（3）創(chuàng)建或編輯管理員組策略，為每個系統(tǒng)分配特定的權(quán)限，權(quán)限分配原則需遵循最小化原則；（4）數(shù)據(jù)庫系統(tǒng)或應用系統(tǒng)帳號與主機系統(tǒng)帳

51、號權(quán)限應分開管理，為系統(tǒng)重要文件等資源嚴格配置讀、寫權(quán)限。（5）系統(tǒng)安全管理員應定期對主機系統(tǒng)閑置帳號、廢棄帳號、過期帳號進行清理，禁用guest帳號，禁用系統(tǒng)共享，定期檢查系統(tǒng)帳號權(quán)限是否與原分配一致，避免帳號非法權(quán)限提升。安全審計在云計算中心配置數(shù)據(jù)庫綜合審計，對主機和數(shù)據(jù)庫信息進行審計。采用的技術(shù)措施如下：（1）日志安全管理分析系統(tǒng)對所有的主機、數(shù)據(jù)庫日志進行綜合審計，同時日志安全管理分析系統(tǒng)，實時監(jiān)視主機系統(tǒng)用戶所做的操作，如：文件讀寫、數(shù)據(jù)庫連接、運行特定的系統(tǒng)進程或系統(tǒng)命令等操作，并上報至日志審計系統(tǒng)統(tǒng)一集中存儲、匯總、關(guān)聯(lián)分析，及時發(fā)現(xiàn)主機系統(tǒng)威脅行為。審計記錄應包括事件的日期、

52、時間、類型、主體標識、客體標識和結(jié)果描述等。（2）主機日志審計系統(tǒng)應具備自我保護能力，確保審計服務不被外界或人為因素中斷，審計數(shù)據(jù)應能夠長期保存且不能被修改或刪除，能夠生成各種分類報表以備審查。綜合運用信息安全管理系統(tǒng)（SOC）對所有的主機、數(shù)據(jù)庫日志進行綜合審計，同時采用終端安全管理系統(tǒng)，實時監(jiān)視主機系統(tǒng)用戶所做的操作，如：文件讀寫、數(shù)據(jù)庫連接、運行特定的系統(tǒng)進程或系統(tǒng)命令等操作，并上報至日志審計系統(tǒng)統(tǒng)一集中存儲、匯總、關(guān)聯(lián)分析，及時發(fā)現(xiàn)主機系統(tǒng)威脅行為。審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結(jié)果描述等。主機日志審計系統(tǒng)應具備自我保護能力，確保審計服務不被外界或人為因素中

53、斷，審計數(shù)據(jù)應能夠長期保存且不能被修改或刪除，能夠生成各種分類報表以備審查。相關(guān)技術(shù)措施：終端安全管理系統(tǒng)，安全管理運營中心系統(tǒng)（SOC）。剩余信息保護主機剩余信息保護主要是指重要數(shù)據(jù)存儲設(shè)備在報廢后，其原先曾經(jīng)存儲的數(shù)據(jù)，不可被非授權(quán)還原，從而避免數(shù)據(jù)被非法獲得。采取的主要技術(shù)措施如下：（1）使用專有的磁盤空間擦寫工具和內(nèi)存釋放工具，保證在使用后的信息不被未授權(quán)人員獲得。（2）需要在安全管理制度中規(guī)定，重要數(shù)據(jù)存儲介質(zhì)（硬盤、磁帶庫）在報廢后，應將重要存儲介質(zhì)拆除，并移交給國家保密專業(yè)部門預以銷毀；或使用專業(yè)的數(shù)據(jù)銷毀設(shè)備，對存儲介質(zhì)進行多次信息消除，確保重要數(shù)據(jù)不被還原。（3）采用介質(zhì)物理

54、銷毀工具，確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。入侵防范通過部署主機防火墻或主機防病毒軟件中的入侵檢測模塊監(jiān)視外來的入侵行為并記錄，定期進行系統(tǒng)升級和安全加固；具體采用的技術(shù)措施如下：（1）部署漏洞掃描系統(tǒng)進行系統(tǒng)安全性檢測，發(fā)現(xiàn)系統(tǒng)安全漏洞，并及時提供修補建議，統(tǒng)一管理，策略集中下發(fā)與漏掃掃描結(jié)果的統(tǒng)一上傳，形成統(tǒng)一的脆弱性掃描報表，便于指導相關(guān)人員進行漏洞及時發(fā)現(xiàn)、提前預警及修復。（2）部署web應用防火墻與網(wǎng)頁防篡改系統(tǒng)，針對門戶網(wǎng)站進行應用入侵防范，防止注入、跨站攻擊及網(wǎng)頁篡改行為發(fā)生。（3）對于基于WINDOWS系統(tǒng)的服務器

55、主機和PC終端主機的入侵防范，可配備基于主機的入侵防范系統(tǒng)軟件（一般主機防病毒產(chǎn)品均帶有入侵防范模塊），實時監(jiān)視對主機系統(tǒng)的訪問行為，發(fā)現(xiàn)可疑行為，立即啟用預先設(shè)定的安全防護措施。也可以通過終端安全管理系統(tǒng)聯(lián)合安全網(wǎng)關(guān)設(shè)備對威脅發(fā)起源進行阻斷，中斷威脅行為；通過終端安全管理系統(tǒng)為主機系統(tǒng)配置相應的安全訪問策略，入侵防范系統(tǒng)應能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警。（4）對于非WINDOWS平臺的主機，一般采取人工的風險評估與安全加固的方式防范入侵。（5）同時，主機操作系統(tǒng)安裝配置要求遵循模塊最小化原則，不安裝與應用無關(guān)的功能模塊或操作系統(tǒng)組件，

56、停止與應用無關(guān)的系統(tǒng)服務，及時更新操作系統(tǒng)安全補丁；開啟操作系統(tǒng)還原功能，以便在系統(tǒng)文件遭到損壞時能夠及時恢復。（6）還可以采取主機入侵防范系統(tǒng)、服務器補丁管理系統(tǒng)。（7）利用漏洞掃描系統(tǒng)發(fā)現(xiàn)主機系統(tǒng)脆弱性并進行加固，結(jié)合終端安全管理系統(tǒng)監(jiān)視系統(tǒng)關(guān)鍵注冊表項。惡意代碼防范主機惡意代碼防范，主要是采用防病毒軟件和木馬查殺工具。目前國內(nèi)主流的防病毒軟件都集成木馬查殺工具，能夠查殺常見的病毒和木馬程序等惡意代碼。具體采用的技術(shù)措施如下：（1）為了有效地防御病毒和木馬程序等惡意代碼，主機防病毒軟件應具備集中管理、統(tǒng)一更新功能，部署網(wǎng)絡(luò)版主機防病毒系統(tǒng)，并確保防病毒系統(tǒng)惡意代碼庫能夠得到及時更新。（2）

57、在主機上安裝防病毒產(chǎn)品進行安全防護。整個局域網(wǎng)統(tǒng)一部署網(wǎng)絡(luò)版的病毒防護系統(tǒng)，針對惡意軟件和ARP、蠕蟲等網(wǎng)絡(luò)病毒進行防護，安裝并開啟個人防火墻，防止非法入侵計算機終端。（3）操作系統(tǒng)盡量規(guī)避使用windows操作系統(tǒng)平臺。資源控制利用負載均衡或流量控制設(shè)備同時結(jié)合服務器操作系統(tǒng)的自身功能，為每個系統(tǒng)用戶分配即定的系統(tǒng)資源，如網(wǎng)絡(luò)帶寬等；實時監(jiān)視系統(tǒng)主要硬件資源，配置CPU、內(nèi)存、磁盤、網(wǎng)絡(luò)利用率真閥值，當利用率超過閥值時，立即產(chǎn)生系統(tǒng)報警事件通知管理員; 配置主機系統(tǒng)安全補丁檢查、防病毒軟件庫更新檢查、系統(tǒng)弱口令檢查等安全基線規(guī)則，實時監(jiān)測并及時提醒管理員對系統(tǒng)加固。采取的技術(shù)措施如下：（1）

58、Windows系統(tǒng)通過本地安全策略限制登錄IP，Unix系統(tǒng)可通過TCP wrapper工具進行訪問IP限制。使用監(jiān)控管理軟件對服務器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況進行監(jiān)視，設(shè)置系統(tǒng)資源過低報警的門限值。（2）通過配置主機系統(tǒng)安全策略，結(jié)合終端安全管理系統(tǒng)，限制主機系統(tǒng)用戶登陸方式、登陸IP地址等；配置超時鎖屏規(guī)則，確保終端在長時間無人值守時屏幕不被非法窺視或冒名操作。應用安全身份鑒別提供專有的登錄控制模塊對登錄用戶進行身份標識和鑒別；對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別，其中一種是不可偽造的；提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等

59、措施。任何軟件提供商通過網(wǎng)絡(luò)發(fā)布、修改代碼或程序，都會面臨著軟件被仿冒和篡改的風險。代碼簽名證書能夠使軟件提供商針對其軟件代碼進行數(shù)字簽名，來標識真實身份，不易被篡改。具體采用的技術(shù)措施如下：（1）各應用子系統(tǒng)應具備有效的身份認證與鑒別功能，確保只有合法授權(quán)的用戶方可登陸應用系統(tǒng)。目前各個系統(tǒng)主要采用“用戶名+口令”的方式進行身份鑒別，計劃后期采用“USB KEY+數(shù)字證書”的身份鑒別方式，以形成兩種組合方式進行身份鑒別。（2）對于用戶登錄信息系統(tǒng)的密碼配置必須滿足“復雜”要求，長度不少于8位字符，且不能為全數(shù)字或字母，必須由兩種或兩種以上字符類型（大小寫字母、數(shù)字、特殊字符等）構(gòu)成。（3）配

60、置最大登陸失敗次數(shù)，通常為3-5次，超過最大登陸次數(shù)后，即將登陸源IP進行鎖定禁止再次嘗試登陸，以防口令暴力猜解。帳號登陸后若長時間未有操作，應能夠自動退出系統(tǒng)、結(jié)束當前管理會話，確保在長時間離開時不被非法冒名操作。（5）配置系統(tǒng)用戶首次登陸時必須修改自己的登陸密碼，配置密碼失效周期，每一個月必須修改一次登錄密碼。訪問控制建立訪問控制策略，依據(jù)最小原則授予用戶權(quán)限，應用系統(tǒng)要分配不同的特權(quán)用戶，訪問策略統(tǒng)一由授權(quán)帳號分配。身份認證系統(tǒng)解決了“你是誰”的問題，要解決“你可以做什么”的問題還必須依賴權(quán)限管理系統(tǒng)。權(quán)限管理系統(tǒng)需要按照統(tǒng)一的標準，放到各個應用系統(tǒng)各自開發(fā)，安全架構(gòu)不做統(tǒng)一考慮。具體采