圖書館計(jì)算機(jī)信息系統(tǒng)建設(shè)投標(biāo)文件技術(shù)部分全套

圖書館計(jì)算機(jī)信息系統(tǒng)建設(shè)投標(biāo)文件技術(shù)部分第1章總體概述閱讀輔導(dǎo)、xxx社會(huì)教育中心，是xxx公共文化服務(wù)體系的重要組成部分。作為xxx市市級(jí)xxx圖書館，它將承擔(dān)著為全市各區(qū)xxx圖書館(室)和中小學(xué)圖書館進(jìn)行業(yè)務(wù)輔導(dǎo)、資源共享的任務(wù)。xxxxxx圖書館位于xxx市紅荔路1011號(hào)(原xxx圖書館館址)。其服務(wù)對(duì)象包括：0—18歲的青xxx;需要利用有關(guān)xxx文獻(xiàn)信息的教育教學(xué)工作者、家長(zhǎng)、科研人員及其他成人讀者；需要獲取xxx資訊的生產(chǎn)廠家和組織機(jī)構(gòu)。同時(shí)，xxxxxx圖書館是由中國(guó)數(shù)字圖書館授權(quán)的中國(guó)數(shù)字圖書館xxx中心館(以下簡(jiǎn)稱“中心館”),在全國(guó)十六個(gè)省市建設(shè)有中國(guó)數(shù)字圖書館xxx分館。中心館和分館運(yùn)用高新技術(shù)與手段，采集、加工、存貯xxx信息資源，為廣大讀者提供數(shù)字信息資源服務(wù)。中心館作為牽頭單位承接了文化部重點(diǎn)科技項(xiàng)目：中國(guó)xxx信息大世界——網(wǎng)上圖書館(以下簡(jiǎn)稱“網(wǎng)上圖書館”),目前該項(xiàng)目已經(jīng)結(jié)題，但建設(shè)工作仍在繼續(xù)之中，服務(wù)亟待擴(kuò)展。xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)系統(tǒng)工程的建設(shè)既是xxxxxx圖書館數(shù)字化建設(shè)，也是中國(guó)數(shù)字圖書館xxx中心館的建設(shè)，兩者是相輔相成、相互補(bǔ)充、相互融合的，是一體化建設(shè)。本項(xiàng)目既要充分考慮到xxxxxx圖書館本館和本地區(qū)的計(jì)算機(jī)信息系統(tǒng)建設(shè)的需求，也要全面考慮到xxxxxx圖書館作為中國(guó)數(shù)字圖書館xxx中心館的地位和任務(wù)，以便實(shí)現(xiàn)xxxxxx圖書館“立足xxx、服務(wù)全國(guó)、面向世界”的目標(biāo)。xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)建設(shè)的主要目標(biāo)是建設(shè)適應(yīng)現(xiàn)代xxx圖書館發(fā)展需求的網(wǎng)絡(luò)平臺(tái)，其中的安全技術(shù)標(biāo)部分的主要建設(shè)目標(biāo)是保障項(xiàng)目中各子系統(tǒng)的網(wǎng)絡(luò)安全與信息安全。1、計(jì)算機(jī)信息系統(tǒng)安全設(shè)備及相關(guān)集成(含軟硬件)部分(安全機(jī)柜另行采購(gòu)，不在木項(xiàng)目招標(biāo)范圍內(nèi));のUPS系統(tǒng)的設(shè)計(jì)?UPS系統(tǒng)的安裝調(diào)試3、協(xié)助計(jì)算機(jī)信息系統(tǒng)服務(wù)器設(shè)備及相關(guān)集成項(xiàng)目的中標(biāo)供應(yīng)商完成計(jì)算機(jī)信息系統(tǒng)中的主機(jī)系統(tǒng)、存儲(chǔ)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、安全系統(tǒng)、UPS設(shè)備、外設(shè)與終端等六部分內(nèi)容之間的硬件集成工4、協(xié)助業(yè)主、總集成商、監(jiān)理單位完成軟硬件總集成任務(wù)。為了保證能夠達(dá)到上述目標(biāo)任務(wù)，在進(jìn)行項(xiàng)目建設(shè)時(shí)，需要嚴(yán)格1.4.1實(shí)用性原則實(shí)用性原則主要體現(xiàn)在以下方面：以現(xiàn)行需求為基礎(chǔ)，適當(dāng)考慮使用方便的技術(shù)設(shè)備和措施。創(chuàng)造一個(gè)開放的網(wǎng)絡(luò)平臺(tái)，支持多種業(yè)務(wù)的同時(shí)傳輸，如支持語(yǔ)音、圖象等多媒體業(yè)務(wù)。1.4.2安全性原則1)協(xié)議的安全性在網(wǎng)絡(luò)中運(yùn)行著很多網(wǎng)絡(luò)協(xié)議，包括路由協(xié)議和各種為上層應(yīng)用服務(wù)的廣域網(wǎng)，局域網(wǎng)絡(luò)協(xié)議等，路由器上也存在著很多服務(wù)，有些服務(wù)是網(wǎng)絡(luò)運(yùn)行所必需的，必須打開它，而有些服務(wù)是對(duì)網(wǎng)絡(luò)運(yùn)行無(wú)關(guān)緊要或無(wú)用的，可以關(guān)閉。正是這些網(wǎng)絡(luò)協(xié)議或服務(wù)，確保了網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行，因此，我們首先應(yīng)確保這些網(wǎng)絡(luò)協(xié)議或服務(wù)的安全性。2)應(yīng)用服務(wù)協(xié)議的安全對(duì)這些路由協(xié)議和各種上層應(yīng)用服務(wù)的協(xié)議，我們應(yīng)區(qū)別對(duì)待。首先，對(duì)于網(wǎng)絡(luò)運(yùn)行所必需的協(xié)議，如路由協(xié)議等，我們不但應(yīng)正常運(yùn)行，而且必須加以保護(hù)，以防止非法路由器加入或偽造的路由信息，系統(tǒng)如何能夠鑒別出哪些路由信息是可靠的呢，就必須采用一些加密技術(shù)或鄰機(jī)校驗(yàn)方法，以完成認(rèn)證，對(duì)于網(wǎng)絡(luò)運(yùn)行無(wú)關(guān)緊要或無(wú)用的協(xié)議，則應(yīng)嚴(yán)格限制或關(guān)閉，而對(duì)于對(duì)網(wǎng)絡(luò)運(yùn)行有危害或本身有安全缺陷的協(xié)議，則應(yīng)關(guān)閉。3)路由協(xié)議的安全在路由協(xié)議安全性方面，我們可以采用路由器鄰居相互校驗(yàn)，校驗(yàn)方式可以是明碼方式或MD5加密方式，對(duì)于OSPF、BGP既可采用MD5校驗(yàn)方式，也可以采用明碼方式。通過(guò)明碼或MD5加密方式校驗(yàn)，可以確保只有有效的路由器才能加入到網(wǎng)絡(luò)，從而能夠避免非法的路由器或偽造的路由信息加入到網(wǎng)絡(luò)中，使路由出錯(cuò)，導(dǎo)致網(wǎng)絡(luò)癱瘓。4)設(shè)備的安全性對(duì)網(wǎng)絡(luò)設(shè)備的訪問與配置，主要有以下兩種方式：控制口console的控制和遠(yuǎn)程登錄telnet的控制。A控制口console的控制B遠(yuǎn)程登錄telnet的控制C用戶的分級(jí)管理D設(shè)備支持WEB配置1.4.3可靠性原則為保證各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，決不能出現(xiàn)單點(diǎn)故障。要對(duì)整個(gè)網(wǎng)絡(luò)的機(jī)房布局、結(jié)構(gòu)設(shè)計(jì)、設(shè)備選型、日常維護(hù)等各個(gè)方面進(jìn)行高可靠性的設(shè)計(jì)和建設(shè)。在關(guān)鍵設(shè)備采用硬件備份、冗余等可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強(qiáng)的管理機(jī)制、控制手段和事故監(jiān)控與安全保密等技術(shù)措施提高1.4.4成熟和先進(jìn)性原則在網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、網(wǎng)絡(luò)配置、網(wǎng)絡(luò)管理方式等方面采用國(guó)際上先進(jìn)同時(shí)又是成熟、實(shí)用的技術(shù)。設(shè)備廠商和系統(tǒng)集成商應(yīng)有相關(guān)1.4.5規(guī)范性原則網(wǎng)絡(luò)設(shè)計(jì)所采用的組網(wǎng)技術(shù)和設(shè)備應(yīng)符合國(guó)際標(biāo)準(zhǔn)、國(guó)家標(biāo)準(zhǔn)和業(yè)界標(biāo)準(zhǔn)，為網(wǎng)絡(luò)的擴(kuò)展升級(jí)、與其他網(wǎng)絡(luò)的互聯(lián)提供良好的基1.4.6開放性和標(biāo)準(zhǔn)化原則在設(shè)計(jì)時(shí)，要求提供開放性好、標(biāo)準(zhǔn)化程度高的技術(shù)方案；設(shè)備的各種接口滿足開放和標(biāo)準(zhǔn)化原則，如果是不同廠商的產(chǎn)品，必須之間具備可操作性與可管理性。1.4.7可擴(kuò)充和擴(kuò)展化原則有充分的機(jī)制方便各網(wǎng)點(diǎn)的擴(kuò)展、業(yè)務(wù)量和業(yè)務(wù)種類的擴(kuò)展，保證建設(shè)完成后的網(wǎng)絡(luò)在向新的技術(shù)升級(jí)時(shí)，能保護(hù)現(xiàn)有的投資。網(wǎng)絡(luò)可擴(kuò)展的關(guān)鍵在于能否實(shí)現(xiàn)合理的層次化設(shè)計(jì)，采取層次化的設(shè)計(jì)可以根據(jù)網(wǎng)絡(luò)需求的變化，可在不影響現(xiàn)有網(wǎng)絡(luò)運(yùn)行的狀況下，迅速擴(kuò)展。網(wǎng)絡(luò)的建設(shè)必須具有良好的靈活性與可擴(kuò)展性，能夠根據(jù)今后業(yè)務(wù)不斷深入發(fā)展的需要，擴(kuò)大設(shè)備容量和提高用戶數(shù)量和質(zhì)量的功能。具備支持多種網(wǎng)絡(luò)傳輸、多種物理接口的能力，提供技術(shù)升級(jí)、設(shè)備更新的靈活性。在網(wǎng)絡(luò)設(shè)備選型過(guò)程中，每個(gè)核心骨干層次設(shè)計(jì)中所采用的設(shè)備本身應(yīng)具有極高的端口密度，層次化設(shè)計(jì)為整個(gè)網(wǎng)絡(luò)的擴(kuò)展奠定了基礎(chǔ)。同時(shí)，我們應(yīng)充分考慮路由協(xié)議的選用，使路由協(xié)議為整個(gè)網(wǎng)絡(luò)的發(fā)展帶來(lái)極強(qiáng)的路由擴(kuò)展能力。1.4.8可管理性原則整個(gè)網(wǎng)絡(luò)系統(tǒng)的設(shè)備和服務(wù)器的安全性、數(shù)據(jù)流量、性能等得到很好的監(jiān)視和控制，并可以進(jìn)行遠(yuǎn)程管理和故障診斷。本方案所遵守的技術(shù)標(biāo)準(zhǔn)但不限于以下標(biāo)準(zhǔn)：《計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)網(wǎng)絡(luò)技術(shù)要求》GA/T387-2002《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》GB/T20270-2006《國(guó)家電子政務(wù)網(wǎng)絡(luò)技術(shù)和運(yùn)行管理規(guī)范》GB/T21061-2007《基于網(wǎng)絡(luò)的企業(yè)信息集成規(guī)范》GB/Z18729-2002《系統(tǒng)設(shè)計(jì)方案建議書》《信息技術(shù)設(shè)備用不間斷電源通用技術(shù)條件》GB/T-14715-1993第2章技術(shù)方案設(shè)計(jì)2.1總體框架設(shè)計(jì)本部分內(nèi)容包括計(jì)算機(jī)信息系統(tǒng)安全設(shè)備(含軟硬件)的采購(gòu)、部署、安裝、調(diào)試及集成。本項(xiàng)目為包干工程，安全設(shè)備(含軟硬件)安裝、調(diào)試、集成直至能夠正常使用。xxxxxx圖書館中心機(jī)房的供電：主要由兩套并聯(lián)的UPS系統(tǒng)集中為四樓的IT機(jī)房及樓層網(wǎng)絡(luò)設(shè)備供電。2.2安全風(fēng)險(xiǎn)與安全需求分析2.2.1安全體系結(jié)構(gòu)計(jì)算機(jī)安全事業(yè)始于本世紀(jì)60年代末期。當(dāng)時(shí)，計(jì)算機(jī)系統(tǒng)的脆弱性已日益為美國(guó)政府和私營(yíng)部門的一些機(jī)構(gòu)所認(rèn)識(shí)。但是，由于當(dāng)時(shí)計(jì)算機(jī)的速度和性能較落后，使用的范圍也不廣，再加上美國(guó)政府把它當(dāng)作敏感問題而施加控制，因此，有關(guān)計(jì)算機(jī)安全的研究一直局限在比較小的范圍內(nèi)。進(jìn)入80年代后，計(jì)算機(jī)的性能得到了成百上千倍的提高，應(yīng)用的范圍也在不斷擴(kuò)大，計(jì)算機(jī)已遍及世界各個(gè)角落。并且，人們利用通信網(wǎng)絡(luò)把孤立的單機(jī)系統(tǒng)連接起來(lái)，相互通信和共享資源。但是，隨之而來(lái)并日益嚴(yán)峻的問題是計(jì)算機(jī)信息安全的問題。人們?cè)谶@方面所做的研究與計(jì)算機(jī)性能及應(yīng)用的飛速發(fā)展不相適應(yīng)，因此，它已成為未來(lái)信息技術(shù)中的主要問題之一。由于計(jì)算機(jī)信息有共享和易于擴(kuò)散等特性，它在處理、存儲(chǔ)、傳輸和使用上有著嚴(yán)重的脆弱性，很容易被干擾、濫用、遺漏和丟失，甚至被泄露、竊取、篡改、冒充和破壞，還有可能受到計(jì)算機(jī)病毒的感染。國(guó)際標(biāo)準(zhǔn)化組織(ISO)將"計(jì)算機(jī)安全"定義為："為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄露。"此概念偏重于靜態(tài)信息保護(hù)。也有人將"計(jì)算機(jī)安全"定義為："計(jì)算機(jī)的硬件、軟件和數(shù)據(jù)受到保護(hù)，不因偶然和惡意的原因而遭到破壞、更改和泄露，系統(tǒng)連續(xù)正常運(yùn)行。"該定義著重于動(dòng)態(tài)意義描述。計(jì)算機(jī)安全的內(nèi)容應(yīng)包括兩方面：即物理安全和邏輯安全。物理安全指系統(tǒng)設(shè)備及相關(guān)設(shè)備受到物理保護(hù)，免于破壞、丟失等。邏輯安全包括信息完整性、保密性和可用性：●保密性指高級(jí)別信息僅在授權(quán)情況下流向低級(jí)別的客體與主●完整性指信息不會(huì)被非授權(quán)修改及信息保持一致性等；可用性指合法用戶的正常請(qǐng)求能及時(shí)、正確、安全地得到服一個(gè)系統(tǒng)存在的安全問題可能主要來(lái)源于兩方面：或者是安全控制機(jī)構(gòu)有故障；或者是系統(tǒng)安全定義有缺陷。前者是一個(gè)軟件可靠性問題，可以用優(yōu)秀的軟件設(shè)計(jì)技術(shù)配合特殊的安全方針加以克服；而后者則需要精確描述安全系統(tǒng)。美國(guó)國(guó)防部(DOD)于1985年出版了《可信計(jì)算機(jī)系統(tǒng)的評(píng)價(jià)準(zhǔn)則》(又稱"桔皮書"),使計(jì)算機(jī)系統(tǒng)的安全性評(píng)估有了一個(gè)權(quán)威性的標(biāo)準(zhǔn)。DOD的桔皮書中使用了可信計(jì)算基礎(chǔ)(TrustedComputingBase,TCB)這一概念，即計(jì)算機(jī)硬件與支持不可信應(yīng)用及不可信用戶的操作系統(tǒng)的組合體。桔皮書將計(jì)算機(jī)系統(tǒng)的可信程度劃分為D、C1、C2、B1、B2、B3和A1七個(gè)層次。在DOD的評(píng)估準(zhǔn)則中，從B級(jí)開始就要求具有強(qiáng)制存取控制和形式化模型技術(shù)的應(yīng)用。桔皮書論述的重點(diǎn)是通用的操作系統(tǒng)，為了使它的評(píng)判方法使用于網(wǎng)絡(luò)，美國(guó)國(guó)家計(jì)算機(jī)安全中心于1987年出版了《可信網(wǎng)絡(luò)指南》。該書從網(wǎng)絡(luò)安全的角度出發(fā)，解釋了準(zhǔn)則中的觀點(diǎn)。根據(jù)計(jì)算機(jī)網(wǎng)絡(luò)通信系統(tǒng)依照的開放系統(tǒng)互聯(lián)參考模型，我們認(rèn)為網(wǎng)絡(luò)安全實(shí)際上包含了構(gòu)成整個(gè)網(wǎng)絡(luò)信息系統(tǒng)的各個(gè)層面的物理層的安全物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽、對(duì)物理通路的攻擊(干擾等)。鏈路層的安全鏈路層的網(wǎng)絡(luò)安全需要保證通過(guò)網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽。(局域網(wǎng))、加密通訊(遠(yuǎn)程網(wǎng))等手段。網(wǎng)絡(luò)層的安全網(wǎng)絡(luò)層的安全需要保證網(wǎng)絡(luò)只給授權(quán)的客戶使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免被攔截或監(jiān)聽。操作系統(tǒng)的安全操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時(shí)能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進(jìn)行審計(jì)。應(yīng)用平臺(tái)的安全應(yīng)用平臺(tái)指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫(kù)服務(wù)器、電子郵件服務(wù)器、Web服務(wù)器等。由于應(yīng)用平臺(tái)的系統(tǒng)非常復(fù)雜，通常采用多種技術(shù)(如SSL等)來(lái)增強(qiáng)應(yīng)用平臺(tái)的安全性。應(yīng)用系統(tǒng)的安全應(yīng)用系統(tǒng)完成網(wǎng)絡(luò)系統(tǒng)的最終目的--為用戶服務(wù)。應(yīng)用系統(tǒng)的安全與系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)關(guān)系密切。應(yīng)用系統(tǒng)使用應(yīng)用平臺(tái)提供的安全服務(wù)來(lái)保證基本安全，如通訊內(nèi)容安全，通訊雙方的認(rèn)證，審從安全技術(shù)實(shí)現(xiàn)的角度來(lái)看，網(wǎng)絡(luò)信息系統(tǒng)的安全體系也應(yīng)該是一個(gè)多層次、多方面的結(jié)構(gòu)。它應(yīng)當(dāng)包含：1、訪問控制。通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的訪問控制體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前。2、檢查安全漏洞。通過(guò)對(duì)安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無(wú)效。3、攻擊監(jiān)控。通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取響應(yīng)的行動(dòng)(如斷開網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等)。4、加密通訊。主動(dòng)的加密通訊，可使攻擊者不能了解、修改敏感信息。5、認(rèn)證。良好的認(rèn)證體系可防止攻擊者假冒合法用戶6、檢測(cè)預(yù)防和清除病毒，防止各種病毒帶來(lái)的信息危害。盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。8、多層防御。攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo)。9、設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護(hù)及緊急情況服務(wù)。通常，系統(tǒng)安全與性能和功能是一對(duì)矛盾的關(guān)系。如果某個(gè)系統(tǒng)不向外界提供任何服務(wù)(斷開),外界是不可能構(gòu)成安全威脅的。但是，若要提供更多的服務(wù)，將網(wǎng)絡(luò)建成了一個(gè)開放的網(wǎng)絡(luò)環(huán)境，各種安全包括系統(tǒng)級(jí)的安全問題也隨之產(chǎn)生。構(gòu)建平臺(tái)安全系統(tǒng)，一方面由于要進(jìn)行認(rèn)證、加密、監(jiān)聽、分析、記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶應(yīng)用的靈活性；另一方面也增加了管理費(fèi)用。但是，來(lái)自網(wǎng)絡(luò)的安全威脅是實(shí)際存在的，特別是在網(wǎng)絡(luò)上運(yùn)行關(guān)鍵業(yè)務(wù)時(shí)，網(wǎng)絡(luò)安全是首先要解決的問題。因此我們應(yīng)當(dāng)選擇適當(dāng)?shù)募夹g(shù)和產(chǎn)品，制訂靈活的網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)安全的情況下，提供靈活的網(wǎng)絡(luò)服務(wù)通道。同時(shí)采用適當(dāng)?shù)陌踩w系設(shè)計(jì)和管理計(jì)劃，能夠有效降低網(wǎng)絡(luò)安全對(duì)網(wǎng)絡(luò)性能的影響并降低管理費(fèi)用。2.2.2網(wǎng)絡(luò)信息系統(tǒng)安全風(fēng)險(xiǎn)分析信息系統(tǒng)作為業(yè)務(wù)運(yùn)營(yíng)的支撐系統(tǒng)，系統(tǒng)安全的重要性是不言而喻的。網(wǎng)絡(luò)互聯(lián)技術(shù)的采用為xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)實(shí)現(xiàn)信息共享和業(yè)務(wù)互動(dòng)提供了便利，但同時(shí)也使信息系統(tǒng)安全風(fēng)險(xiǎn)變得更加嚴(yán)重和復(fù)雜。原來(lái)由單個(gè)計(jì)算機(jī)安全事故引起的損害可能傳播到其他系統(tǒng)和主機(jī)，引起大范圍的癱瘓和損失；另外加上缺乏安全控制機(jī)制和對(duì)信息安全政策及防護(hù)意識(shí)的認(rèn)識(shí)不足，安全風(fēng)險(xiǎn)正日益加重。瞄準(zhǔn)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)可能存在的安全漏洞，黑客們所制造的各類新型的風(fēng)險(xiǎn)將會(huì)不斷產(chǎn)生，這些風(fēng)險(xiǎn)由多種因素引起，與網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)和網(wǎng)絡(luò)應(yīng)用服務(wù)等因素密切相關(guān)。完整的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估是對(duì)網(wǎng)絡(luò)內(nèi)的信息資產(chǎn)進(jìn)行價(jià)值評(píng)估、對(duì)網(wǎng)絡(luò)中存在的威脅進(jìn)行評(píng)估、對(duì)整體安全策略和制度的有效性進(jìn)行評(píng)估、以及對(duì)系統(tǒng)漏洞(弱點(diǎn))被利用的可能性進(jìn)行評(píng)估后的綜合結(jié)果。它是一項(xiàng)綜合系統(tǒng)的工程，是風(fēng)險(xiǎn)管理的重要組成部分，也是整體信息安全解決方案的重要參考依據(jù)。我們所理解的風(fēng)險(xiǎn)關(guān)系如下圖所示：圖2.1網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)關(guān)系下面將首先分層次對(duì)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)中存在的安全弱點(diǎn)進(jìn)行描述，然后結(jié)合網(wǎng)絡(luò)信息系統(tǒng)可能面臨的安全威脅總結(jié)出xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)中目前存在的安全風(fēng)險(xiǎn)。2.2.3信息系統(tǒng)中存在的安全弱點(diǎn)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)中存在較多的安全弱點(diǎn)(脆弱性),分別體現(xiàn)在構(gòu)成信息系統(tǒng)的物理環(huán)境和設(shè)備、數(shù)據(jù)鏈路、網(wǎng)絡(luò)系統(tǒng)和通訊協(xié)議、操作系統(tǒng)和應(yīng)用平臺(tái)以及管理等各個(gè)層面，例如：l物理層脆弱性網(wǎng)絡(luò)信息系統(tǒng)的順利有效運(yùn)行必須依賴其所處的物理環(huán)境(如機(jī)房)和硬件基礎(chǔ)設(shè)施(各種服務(wù)器、路由器、交換機(jī)、工作站等硬件設(shè)備和通信線路)的可靠運(yùn)行，任何一處的失效都可能導(dǎo)致整個(gè)系統(tǒng)的不可用。物理層可能存在的安全弱點(diǎn)包括：n機(jī)房和傳輸線路缺少必要的防電磁泄漏機(jī)制n機(jī)房缺乏必要的門禁系統(tǒng)n機(jī)房缺乏必要的視頻監(jiān)視系統(tǒng)n物理設(shè)備缺乏必要的災(zāi)難備份機(jī)制I鏈路層脆弱性圖書館計(jì)算機(jī)信息系統(tǒng)中局域網(wǎng)均采用基于開放互聯(lián)標(biāo)準(zhǔn)的以太網(wǎng)組網(wǎng)方式，各局域網(wǎng)間互聯(lián)采用了公共傳輸線路，因此在數(shù)據(jù)鏈路層存在著一定的安全弱點(diǎn)，主要體現(xiàn)在以下兩個(gè)方n由于傳輸鏈路是完全開放的，任何人都可能采用監(jiān)聽機(jī)制竊取或篡改在局域網(wǎng)或廣域網(wǎng)鏈路上所傳輸?shù)男畔?shù)據(jù)n由于局域網(wǎng)的物理地址是可以動(dòng)態(tài)分配的，因此，人們就可以盜用他人的物理地址發(fā)送或接受分組信息xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)由局域網(wǎng)系統(tǒng)通過(guò)租用的廣域網(wǎng)線路(DDN、PSTN)互聯(lián)而成，網(wǎng)絡(luò)通訊協(xié)議采用標(biāo)準(zhǔn)的TCP/IP,因此網(wǎng)絡(luò)層面存在較多的安全弱點(diǎn)，主要分為以下幾個(gè)方面：nIP協(xié)議本身的安全弱點(diǎn)：IP協(xié)議本身未加密使得人們非法盜竊信息和口令等成為可能n網(wǎng)絡(luò)操作系統(tǒng)的安全弱點(diǎn)：一些重要的網(wǎng)絡(luò)設(shè)備，如路由器、交換機(jī)、網(wǎng)關(guān)防火墻等，其所采用的網(wǎng)絡(luò)操作系統(tǒng)，不論是IOS,windows,Linux還是Unix,都存在固有的安全弱點(diǎn)，可能導(dǎo)致網(wǎng)容易造成設(shè)備被他人非法操控n網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的安全弱點(diǎn)：網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是否按照安全體系結(jié)構(gòu)和安全機(jī)制進(jìn)行設(shè)計(jì)，直接影響到網(wǎng)絡(luò)平臺(tái)的安全保障能力，不同機(jī)構(gòu)的局域網(wǎng)之間是否進(jìn)行隔離及如何進(jìn)行隔離，網(wǎng)段劃分是否合理，路由是否正確，網(wǎng)絡(luò)的容量、帶寬是否考慮網(wǎng)絡(luò)流量的峰值，網(wǎng)絡(luò)設(shè)備有無(wú)冗余設(shè)計(jì)等都與安全問題密切相關(guān)nSNMP網(wǎng)管協(xié)議的安全弱點(diǎn)：由于SNMP協(xié)議的認(rèn)證機(jī)制非常簡(jiǎn)單，且使用未加密的明碼傳輸，這就存在人們通過(guò)非法途徑獲得SNMP協(xié)議分組并分析破解有關(guān)網(wǎng)絡(luò)管理信息的可能性I系統(tǒng)和應(yīng)用脆弱性n網(wǎng)絡(luò)內(nèi)部運(yùn)行有大量的重要服務(wù)器，操作系統(tǒng)和應(yīng)用軟件不可能是百分之百的無(wú)缺陷和無(wú)漏洞的，然而，這些漏洞和缺陷恰恰是黑客進(jìn)行攻擊的首選目標(biāo)，曾經(jīng)出現(xiàn)過(guò)的黑客攻入網(wǎng)絡(luò)內(nèi)部的事件，這些事件的大部分就是因?yàn)榘踩觞c(diǎn)被暴露所招致的苦果。n業(yè)務(wù)終端均采用基于Windows平臺(tái)的PC工作站，存在較多的安全漏洞，極易受到病毒、黑客程序的入侵和攻擊，并很容易通過(guò)網(wǎng)絡(luò)應(yīng)用(文件共享、電子郵件等)傳播到其他主機(jī)和終端上，最終導(dǎo)致整個(gè)信息系統(tǒng)性能下降甚至癱瘓。l管理脆弱性n缺乏針對(duì)性的安全策略和安全技術(shù)規(guī)范，安全管理和運(yùn)行維護(hù)的組織不健全。n缺乏有效的安全監(jiān)控措施和評(píng)估檢查制度，無(wú)法有效的發(fā)現(xiàn)和監(jiān)控安全事件，不利于及時(shí)發(fā)現(xiàn)安全事件并采取相應(yīng)的措施。n缺乏完善的災(zāi)難應(yīng)急計(jì)劃和制度，對(duì)突發(fā)的安全事件沒有制定有效的應(yīng)對(duì)措施，沒有有效的對(duì)安全事件的處理流程和制度。2.2.4信息系統(tǒng)所面臨的安全威脅一般來(lái)說(shuō)網(wǎng)絡(luò)所面臨的威脅大體可分為兩種：一是對(duì)網(wǎng)絡(luò)中信息的威脅；二是對(duì)網(wǎng)絡(luò)中設(shè)備的威脅。影響計(jì)算機(jī)網(wǎng)絡(luò)的因素很多，有些因素可能是有意的，也可能是無(wú)意的；可能是人為的，也可能是非人為的；可能是外來(lái)黑客對(duì)網(wǎng)絡(luò)系統(tǒng)資源的非法使用，歸結(jié)起來(lái)，針對(duì)信息系統(tǒng)安全的威脅主要有三：n來(lái)自于各種自然災(zāi)害，如洪水、地震、颶風(fēng)、泥石流、雪崩、雷電風(fēng)暴及其它類似事件。l環(huán)境威脅n包括惡劣的場(chǎng)地環(huán)境、電力故障、電磁輻射和電磁干擾、網(wǎng)絡(luò)設(shè)備自然老化等。這些都屬于無(wú)目的的事件，有時(shí)會(huì)直接威脅網(wǎng)絡(luò)系統(tǒng)的安全，影響信息的存儲(chǔ)和傳輸媒介。I人為威脅n即對(duì)網(wǎng)絡(luò)的人為攻擊，多是通過(guò)尋找目標(biāo)系統(tǒng)的弱點(diǎn)，以便達(dá)到破壞、欺騙、竊取數(shù)據(jù)等目的，造成有形資產(chǎn)和無(wú)形資產(chǎn)上不可估量的損失。人為威脅可能來(lái)自于未經(jīng)培訓(xùn)的員工、蓄意破壞者或黑客。從安全事件發(fā)生的概率上看，我們將更多地關(guān)注人為威脅。人為威脅可表現(xiàn)為兩種：非惡意的和惡意的。非惡意威脅非惡意的威脅主要是由于合法用戶的正常過(guò)失引起的數(shù)據(jù)機(jī)密性和完整性問題，如系統(tǒng)配置不當(dāng)、操作失誤、共享賬號(hào)、管理疏忽等。非惡意威脅通常來(lái)自計(jì)算機(jī)操作經(jīng)驗(yàn)不足、培訓(xùn)不足或缺乏安全意識(shí)的用戶和員工。惡意威脅惡意威脅即我們通常所說(shuō)的攻擊，一般都是有目的破壞性活動(dòng)，可能的來(lái)源包括對(duì)現(xiàn)狀不滿或懷有惡意的內(nèi)部人員，以及離職員通常對(duì)系統(tǒng)具有某種級(jí)別的合法訪問權(quán)限，可侵襲計(jì)算機(jī)安全或應(yīng)用程序的所有組件，并了解哪些攻擊行為和漏洞可使組織遭受最大的損失，這種類型的攻擊極難檢測(cè)或進(jìn)行保護(hù)，也是危害最大的一種。攻擊又可以分為以下兩種：一種是主動(dòng)攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動(dòng)攻擊，它是在不影響網(wǎng)絡(luò)正常工作的情況下，進(jìn)行截獲、竊取、破譯以獲得重要機(jī)密信息。由于網(wǎng)絡(luò)信息系統(tǒng)結(jié)構(gòu)復(fù)雜，眾多的分支機(jī)構(gòu)互相聯(lián)網(wǎng)，人為的惡意攻擊危害性最大，容易導(dǎo)致數(shù)據(jù)的泄漏和破壞及其他安全隱2.2.5網(wǎng)絡(luò)信息系統(tǒng)中可能遭遇到的病毒威脅分析目前絕大多數(shù)病毒傳播的途徑是網(wǎng)絡(luò)。對(duì)于一個(gè)網(wǎng)絡(luò)系統(tǒng)而言，針對(duì)病毒的入侵渠道和病毒集散地進(jìn)行防護(hù)是最有效的防治策實(shí)時(shí)檢測(cè)其中是否有病毒，是構(gòu)建一個(gè)完整有效反病毒體系的關(guān)1來(lái)自系統(tǒng)外部(Internet或外網(wǎng))的病毒入侵：這是目前病毒進(jìn)入最多的途徑。因此在與外部連接的網(wǎng)關(guān)處進(jìn)行病毒攔截是效率最高，耗費(fèi)資源最少的措施。可以使進(jìn)入內(nèi)部系統(tǒng)的病毒數(shù)量大為減少。但很明顯，它只能阻擋進(jìn)出內(nèi)部系統(tǒng)病毒的入侵。I網(wǎng)絡(luò)郵件/群件系統(tǒng)：如果網(wǎng)絡(luò)內(nèi)采用了自己的郵件/群件系統(tǒng)實(shí)施辦公和信息自動(dòng)化，那么一旦有某個(gè)用戶感染了病毒，通過(guò)郵件方式該病毒將以幾何級(jí)數(shù)在網(wǎng)絡(luò)內(nèi)迅速傳播，并且很容易導(dǎo)致郵件系統(tǒng)負(fù)荷過(guò)大而癱瘓。因此在郵件系統(tǒng)上部署反病毒也顯I文件服務(wù)器：文件資源共享是網(wǎng)絡(luò)提供的基本功能。文件服務(wù)器大大提高了資源的重復(fù)利用率，并且能對(duì)信息進(jìn)行長(zhǎng)期有效的存儲(chǔ)和保護(hù)。但是一旦服務(wù)器本身感染了病毒，就會(huì)對(duì)所有的訪問者構(gòu)成威脅。因此文件服務(wù)器也需要設(shè)置反病毒保護(hù)。l最終用戶：病毒最后的入侵途徑就是最終的桌面用戶。由于網(wǎng)絡(luò)共享的便利性，某個(gè)感染病毒的桌面機(jī)可能隨時(shí)會(huì)感染其它的機(jī)器，或是被種上了黑客程序而向外傳送機(jī)密文件。因此在網(wǎng)絡(luò)內(nèi)對(duì)所有的客戶機(jī)進(jìn)行防毒控制也是非常重要的。1集中管理：對(duì)于一個(gè)大型網(wǎng)絡(luò)來(lái)說(shuō)，部署的防毒系統(tǒng)將十分復(fù)雜和龐大。尤其在各網(wǎng)點(diǎn)在地域上分離的情況下，通過(guò)一個(gè)監(jiān)控中心對(duì)整個(gè)系統(tǒng)內(nèi)的防毒服務(wù)和情況進(jìn)行管理和維護(hù)顯得十分重要。這樣可以大大降低維護(hù)人員的數(shù)量和維護(hù)成本，并且縮短了升級(jí)、維護(hù)系統(tǒng)的響應(yīng)時(shí)間。防毒系統(tǒng)的最大特點(diǎn)是需要不斷的升級(jí)和更新防毒軟件，以應(yīng)對(duì)新產(chǎn)生的各類病毒。因此各點(diǎn)的防毒軟件集中進(jìn)行升級(jí)行動(dòng)也是有效防毒的重要一環(huán)。2.3信息系統(tǒng)安全風(fēng)險(xiǎn)總結(jié)通過(guò)對(duì)上述信息系統(tǒng)的弱點(diǎn)和威脅進(jìn)行分析，我們可以對(duì)系統(tǒng)所面臨的風(fēng)險(xiǎn)從物理安全、鏈路安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)安全及管理安全進(jìn)行分類描述：2.3.1物理安全風(fēng)險(xiǎn)物理安全是整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提。物理層面存在的安全風(fēng)險(xiǎn)可以細(xì)分為如下三個(gè)方面：1、物理環(huán)境安全風(fēng)險(xiǎn)數(shù)據(jù)丟失等；I機(jī)房電力設(shè)備和其它配套設(shè)備的運(yùn)行故障造成設(shè)備斷電以至操作系統(tǒng)引導(dǎo)失敗或數(shù)據(jù)庫(kù)信息丟失；I機(jī)房安全設(shè)施自動(dòng)化水平低，不能有效監(jiān)控環(huán)境和信息系統(tǒng)工作，即使發(fā)生非法侵入事件也無(wú)法迅速察覺；l因接地不良、機(jī)房屏蔽性能差引起的靜電干擾或外界的電磁干擾使系統(tǒng)不能正常工作；l電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱。2、物理設(shè)備的安全風(fēng)險(xiǎn)l信息系統(tǒng)所依賴的網(wǎng)絡(luò)設(shè)備如交換機(jī)、路由器等，服務(wù)器如PC1個(gè)人電腦如臺(tái)式機(jī)和便攜機(jī)等被非法盜取或毀壞而造成信息I通信中斷：由于通信線路自身故障或被惡意切斷或過(guò)高電壓等導(dǎo)致信息系統(tǒng)的通信線路出現(xiàn)意外中斷，造成信息系統(tǒng)資源的不I傳輸錯(cuò)誤：信息系統(tǒng)的重要數(shù)據(jù)在傳輸過(guò)程中可能出現(xiàn)錯(cuò)誤，導(dǎo)致信息完整性和可用性的破壞。I入侵者可能在傳輸線路上安裝竊聽裝置，竊取網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)，再通過(guò)一些技術(shù)讀出數(shù)據(jù)信息，造成泄密或者做一些篡改l局域網(wǎng)用戶隨意更改物理地址或盜用他人的物理地址來(lái)進(jìn)行網(wǎng)絡(luò)活動(dòng)，將會(huì)給訪問控制、網(wǎng)絡(luò)計(jì)費(fèi)等帶來(lái)麻煩。2.3.3網(wǎng)絡(luò)安全風(fēng)險(xiǎn)在xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)中，從安全程度和安全角度的不同主要可以劃分為幾個(gè)不同的網(wǎng)絡(luò)安全區(qū)域：我們將從以下幾個(gè)角度來(lái)分析公司網(wǎng)絡(luò)環(huán)境中存在的安全風(fēng)險(xiǎn)：(1)來(lái)自外部網(wǎng)絡(luò)的安全威脅攻擊，會(huì)造成網(wǎng)絡(luò)通訊和應(yīng)用服務(wù)的中斷，影響業(yè)務(wù)的正常運(yùn)行；I蠕蟲病毒的傳播和爆發(fā)，將使整個(gè)網(wǎng)絡(luò)處于癱瘓狀態(tài)；1目前，垃圾郵件已經(jīng)成為網(wǎng)絡(luò)安全的又一種重大威脅，垃圾郵件或郵件炸彈的爆發(fā)將使網(wǎng)絡(luò)帶寬大量被消耗，郵件服務(wù)器系統(tǒng)資源消耗殆盡，不能夠進(jìn)行正常的郵件轉(zhuǎn)發(fā)服務(wù)；(2)來(lái)自內(nèi)部網(wǎng)絡(luò)的安全威脅l內(nèi)部用戶通過(guò)Sniffer等嗅探程序在網(wǎng)絡(luò)內(nèi)部抓包，獲得系統(tǒng)用戶名和口令等關(guān)鍵信息或其他機(jī)密數(shù)據(jù)，進(jìn)而假冒內(nèi)部合法身份進(jìn)行非法登錄，竊取內(nèi)部網(wǎng)重要信息；1內(nèi)部用戶通過(guò)掃描軟件獲取其他用戶系統(tǒng)或服務(wù)器的配置信息和安全漏洞，并利用這些信息對(duì)整個(gè)網(wǎng)絡(luò)或其他系統(tǒng)進(jìn)行破壞；I局域網(wǎng)內(nèi)部沒有采取有效的訪問控制機(jī)制，任何一個(gè)稍微有點(diǎn)計(jì)算機(jī)操作能力的人員都可以利用從Internet下載的黑客攻擊工具進(jìn)行網(wǎng)絡(luò)攻擊，由于內(nèi)部人員比較熟悉系統(tǒng)的情況，其攻擊行為更容易取得成功(據(jù)權(quán)威數(shù)據(jù)表明，有97%的攻擊是來(lái)自內(nèi)部攻擊和內(nèi)外勾結(jié)的攻擊，而且內(nèi)部攻擊成功的概率要遠(yuǎn)遠(yuǎn)高于來(lái)自于外部網(wǎng)絡(luò)的攻擊，造成的后果也嚴(yán)重的多);(3)網(wǎng)絡(luò)傳輸?shù)陌踩珕栴}I攻擊者有可能在傳輸線路上安裝竊聽裝置，竊取網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)，再通過(guò)一些技術(shù)讀出數(shù)據(jù)信息，造成泄密或者做一些篡改來(lái)破壞數(shù)據(jù)的完整性。目前的操作系統(tǒng)或應(yīng)用系統(tǒng)無(wú)論是Windows還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應(yīng)用系統(tǒng)，其開發(fā)廠商必然有其后門。而且系統(tǒng)本身必定存在安全漏洞。這些“后門”或安全漏洞都將存在重大安全隱患。但是從實(shí)際應(yīng)用上，系統(tǒng)的安全程度跟對(duì)其進(jìn)行安全配置及系統(tǒng)的應(yīng)用面有很大關(guān)系，操作系統(tǒng)如果沒有采用相應(yīng)的安全配置，則其是漏洞百出，掌握一般攻擊技術(shù)的人都可能入侵得手。如果進(jìn)行安全配置，比如，填補(bǔ)安全漏洞，關(guān)閉一些不常用的服務(wù)，禁止開放一些不常用而又比較敏感的端口等，那么入侵者要成功進(jìn)行內(nèi)部網(wǎng)是不容易，這需要相當(dāng)高的技術(shù)水平及相當(dāng)長(zhǎng)時(shí)間。2.3.5應(yīng)用安全風(fēng)險(xiǎn)應(yīng)用系統(tǒng)的安全涉及很多方面。應(yīng)用系統(tǒng)是動(dòng)態(tài)的、不斷變化的。應(yīng)用的安全性也動(dòng)態(tài)。這就需要我們對(duì)不同的應(yīng)用，檢測(cè)安全漏洞，采取相應(yīng)的安全措施，降低應(yīng)用的安全風(fēng)險(xiǎn)。資源共享信息系統(tǒng)內(nèi)部用戶有意、無(wú)意把硬盤中重要信息目錄共享，并缺少必要的訪問控制策略，長(zhǎng)期暴露在網(wǎng)絡(luò)鄰居上，可能被外部人員輕易偷取或被內(nèi)部其他員工竊取并傳播出去造成泄密。各級(jí)機(jī)構(gòu)網(wǎng)絡(luò)均連入互聯(lián)網(wǎng)，電子郵件將成為內(nèi)外用戶間信息傳遞的一種重要手段，可能存在被黑客跟蹤或收到一些特洛伊木馬、病毒程序等的危險(xiǎn)，由于許多用戶安全意識(shí)比較淡薄，對(duì)一些來(lái)歷不明的郵件，沒有警惕性，給入侵者提供機(jī)會(huì)，讓黑客掌握了系統(tǒng)的主動(dòng)權(quán)，給系統(tǒng)帶來(lái)不安全因素。病毒和惡意程序隨著計(jì)算機(jī)工業(yè)和互聯(lián)網(wǎng)的發(fā)展，會(huì)編寫病毒程序的人也越來(lái)越多，遭受計(jì)算機(jī)病毒感染的機(jī)會(huì)也越來(lái)越大。網(wǎng)絡(luò)是病毒傳播的使用盜版光盤或軟盤、人為投放等傳播途徑潛入內(nèi)部網(wǎng)。因此，使用計(jì)算機(jī)的人都必須提高警惕，以防病毒感染。所謂計(jì)算機(jī)病毒，是指一種能使自己附加到目標(biāo)機(jī)系統(tǒng)的文件上的程序。它在所有破壞性設(shè)備中最具危險(xiǎn)性，可以導(dǎo)致服務(wù)拒絕、破壞數(shù)據(jù)，甚至使計(jì)算機(jī)系統(tǒng)完全癱瘓。當(dāng)病毒被釋放到網(wǎng)絡(luò)環(huán)境時(shí)，其無(wú)法預(yù)測(cè)的擴(kuò)散能力使它極具危險(xiǎn)性。病毒會(huì)突破系統(tǒng)的訪問控制，對(duì)系統(tǒng)造成破壞，可能造成機(jī)器死機(jī)、信息泄漏、文件丟失等威脅。在一個(gè)互聯(lián)互通的網(wǎng)絡(luò)計(jì)算環(huán)境下，只要任何一個(gè)節(jié)點(diǎn)網(wǎng)絡(luò)中的任何一臺(tái)主機(jī)遭受到病毒感染，那么病毒將很容易在很短的時(shí)間內(nèi)迅速地蔓延到整個(gè)網(wǎng)絡(luò)中去，最終造成無(wú)法估量的侵害。近年來(lái)人們?cè)馐芨嗟漠?dāng)屬蠕蟲病毒的威脅。蠕蟲病毒是一種通過(guò)網(wǎng)絡(luò)傳播的惡性病毒，它利用系統(tǒng)(包括操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用軟件)的漏洞，攻擊該漏洞依附的TCP、UDP等協(xié)議的端口，造成系統(tǒng)癱瘓，或?qū)W(wǎng)絡(luò)造成拒絕服務(wù)。蠕蟲病毒可以在短短幾個(gè)小時(shí)甚至幾十分鐘時(shí)間內(nèi)，橫掃全球，攪亂世界。幾十萬(wàn)臺(tái)、上百萬(wàn)臺(tái)機(jī)器在頃刻間崩潰，數(shù)據(jù)丟失，服務(wù)停頓，造成無(wú)數(shù)經(jīng)濟(jì)損失和名譽(yù)損失。此外如特洛伊木馬類型的惡意程序，由于它們并不會(huì)自我復(fù)制，常常不被歸類成病毒，但它們表面上看起來(lái)好像有某種用途或可以提供娛樂效果的程序，如NetBus就偽裝成一個(gè)小游戲。其真正目的很可能恰好與外表相反，會(huì)對(duì)文件進(jìn)行破壞，或在計(jì)算機(jī)中植入病毒。特洛伊木馬類型的惡意程序最大的壞處就是潛入計(jì)算機(jī)，竊取用戶的合法賬號(hào)和口令，從而使攻擊者方便地侵入內(nèi)部局域網(wǎng)。2.3.6數(shù)據(jù)安全風(fēng)險(xiǎn)數(shù)據(jù)安全對(duì)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)來(lái)說(shuō)尤其重要，如果數(shù)據(jù)在存儲(chǔ)、處理過(guò)程中被非法復(fù)制或破壞，或在傳輸過(guò)程中被非法竊取或篡改，則其可用性、機(jī)密性、真實(shí)性、完整性就得不到保證，可能給企業(yè)造成巨大的經(jīng)濟(jì)損失。2.3.7管理安全風(fēng)險(xiǎn)安全的網(wǎng)絡(luò)設(shè)備離不開人的管理，好的安全策略最終要靠人來(lái)實(shí)施，因此管理是整個(gè)網(wǎng)絡(luò)安全中最為重要的一環(huán)，尤其是對(duì)于一個(gè)比較龐大和復(fù)雜的網(wǎng)絡(luò)，更是如此。安全管理包括技術(shù)和設(shè)備的安全管理，制度化的安全管理，部門與人員的組織規(guī)則等。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理的安全風(fēng)險(xiǎn)，即使采用了各種先進(jìn)的安全技術(shù)手段，信息系統(tǒng)仍然無(wú)法有效抵御所受到的各種安全威脅。管理層面的安全風(fēng)險(xiǎn)舉例如下：u內(nèi)部管理人員或員工把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來(lái)信息泄漏風(fēng)險(xiǎn)。u機(jī)房重地卻被任何人都可以進(jìn)進(jìn)出出，來(lái)去自由。存有惡意的入侵者便有機(jī)會(huì)得到入侵的條件。u內(nèi)部不滿的員工有的可能熟悉服務(wù)器、小程序、腳本和系統(tǒng)的錯(cuò)誤地進(jìn)入數(shù)據(jù)庫(kù)、刪除數(shù)據(jù)等等。這些都將給網(wǎng)絡(luò)造成極大的u非法人員進(jìn)入重要部門或機(jī)房，非法獲得資料或?qū)υO(shè)備進(jìn)行破u員工有意、無(wú)意把硬盤中重要信息目錄共享，長(zhǎng)期暴露在網(wǎng)絡(luò)鄰居上，可能被外部人員輕易偷取或被內(nèi)部其他員工竊取并傳播出去造成泄密，因?yàn)槿鄙俦匾脑L問控制策略。u大量的人為因素的安全隱患，為破壞著進(jìn)入系統(tǒng)造成了便利，1.部分系統(tǒng)管理員密碼強(qiáng)度不夠，或沒有設(shè)置密碼；2.密碼和帳號(hào)名相同或者采用帳號(hào)名翻轉(zhuǎn)作為密碼；3.采用電話號(hào)碼作為密碼；4.采用單一字符集作為密碼，例如qqqqqq;2.4信息系統(tǒng)安全需求分析目前xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)的局域網(wǎng)基本上都沒有采取機(jī)構(gòu)必須采取必要的網(wǎng)絡(luò)安全防護(hù)，否則任何一個(gè)節(jié)點(diǎn)的安全風(fēng)險(xiǎn)都可能影響全網(wǎng)系統(tǒng)的安全。根據(jù)對(duì)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)安全風(fēng)險(xiǎn)的全面分析認(rèn)為，從整體安全的角度出發(fā)，在構(gòu)成信息系統(tǒng)的各個(gè)層面上都存在著加強(qiáng)安全防護(hù)的需求，具體包括以下幾個(gè)方面。2.4.1物理層安全需求主要是解決物理環(huán)境、物理設(shè)備和通信線路的安全問題，包括：確保各臺(tái)關(guān)鍵網(wǎng)絡(luò)設(shè)備和服務(wù)器主機(jī)設(shè)備所工作的物理環(huán)境條件滿足網(wǎng)絡(luò)系統(tǒng)正常安全運(yùn)行的需要；搭線竊聽攻擊；防止因管理疏忽而使非法人員闖入網(wǎng)絡(luò)設(shè)備間、信息中心機(jī)房等關(guān)鍵區(qū)域進(jìn)行偷竊或物理破壞；確保重要的網(wǎng)絡(luò)設(shè)備和主機(jī)設(shè)備具有高效屏蔽的工作環(huán)境，避免因電磁輻射導(dǎo)致關(guān)鍵信息泄露；2.4.2網(wǎng)絡(luò)通訊安全需求訪問控制需求I防范非法用戶的非法訪問非法用戶的非法訪問也就是黑客或間諜的攻擊行為。在沒有任何防范措施的情況下，網(wǎng)絡(luò)的安全主要是靠主機(jī)系統(tǒng)自身的安全，如用戶名及口令字這些簡(jiǎn)單的控制。但對(duì)于用戶名及口令的保護(hù)方式，對(duì)有攻擊目的的人而言，根本就不是一種障礙。他們可以通過(guò)對(duì)網(wǎng)絡(luò)上信息的監(jiān)聽，得到用戶名及口令或者通過(guò)猜測(cè)用戶及口令，這都將不是難事，而且可以說(shuō)只要花費(fèi)很少的時(shí)間。因此，要采取一定的訪問控制手段，防范來(lái)自非法用戶的攻擊，嚴(yán)格控制只有合法用戶才能訪問合法資源。l防范合法用戶的非授權(quán)訪問合法用戶的非授權(quán)訪問是指合法用戶在沒有得到許可的情況下訪問了他本不該訪問的資源。一般來(lái)說(shuō)，每個(gè)成員的主機(jī)系統(tǒng)中，有一部份信息是可以對(duì)外開放，而有些信息是要求保密或具有一定的隱私性。外部用戶(指數(shù)字網(wǎng)絡(luò)合法用戶)被允許正常訪問的一定的信息，但他同時(shí)通過(guò)一些手段越權(quán)訪問了別人不允許他訪問的信息，因此而造成他人的信息泄密。所以，還得加密訪問控制的機(jī)制，對(duì)服務(wù)及訪問權(quán)限進(jìn)行嚴(yán)格控制。I防范假冒合法用戶的非法訪問從管理上及實(shí)際需求上是要求合法用戶可正常訪問被許可的資源。既然合法用戶可以訪問資源。那么,入侵者便會(huì)在用戶下班或關(guān)機(jī)的情況下，假冒合法用戶的IP地址或用戶名等資源進(jìn)行非法訪問。因此，必需從訪問控制上做到防止假冒而進(jìn)行的非法訪問。傳輸加密需求加密傳輸是網(wǎng)絡(luò)安全重要手段之一。信息的泄漏很多都是在鏈路上被搭線竊取，數(shù)據(jù)也可能因?yàn)樵阪溌飞媳唤孬@、被篡改后傳輸給對(duì)方，造成數(shù)據(jù)真實(shí)性、完整性得不到保證。如果利用加密設(shè)備對(duì)傳輸數(shù)據(jù)進(jìn)行加密，使得在網(wǎng)上傳的數(shù)據(jù)以密文傳輸，因?yàn)槎壹用芗夹g(shù)還能對(duì)數(shù)據(jù)傳輸過(guò)程中的完整性、真實(shí)性進(jìn)行鑒別?？梢员ＷC數(shù)據(jù)的保密性、完整性及可靠性。因此，網(wǎng)絡(luò)系統(tǒng)中必需采用相應(yīng)的加密技術(shù)對(duì)數(shù)據(jù)進(jìn)行傳輸加密。防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的措施之一。防火墻可以對(duì)所有的訪問進(jìn)行嚴(yán)格控制(允許、禁止、報(bào)警)。但網(wǎng)絡(luò)配置了防火墻卻不一定安全，防火墻不可能完全防止有些新的攻擊或那些不經(jīng)過(guò)防火墻的其它攻擊。因?yàn)榫W(wǎng)絡(luò)安全是整體的，動(dòng)態(tài)的，不是單一產(chǎn)品能夠完全實(shí)現(xiàn)，所以確保網(wǎng)絡(luò)更加安全必須配備入侵防護(hù)系統(tǒng)，對(duì)透過(guò)防火墻的攻擊進(jìn)行檢測(cè)并做相應(yīng)反應(yīng)(記錄、報(bào)警、阻斷)。2.4.3操作系統(tǒng)安全需求安全漏洞檢測(cè)和修補(bǔ)需求網(wǎng)絡(luò)系統(tǒng)存在安全漏洞(如安全配置不嚴(yán)密等)和操作系統(tǒng)安全漏洞等是黑客等入侵者攻擊屢屢得手的重要因素。入侵者通常都是通過(guò)一些程序來(lái)探測(cè)網(wǎng)絡(luò)中系統(tǒng)中存在的一些安全漏洞，然后通過(guò)發(fā)現(xiàn)的安全漏洞，采取相就技術(shù)進(jìn)行攻擊，因此，必需配備網(wǎng)絡(luò)安全掃描系統(tǒng)和系統(tǒng)安全掃描系統(tǒng)檢測(cè)網(wǎng)絡(luò)中存在的安全漏洞，并采用相應(yīng)的措施填補(bǔ)系統(tǒng)漏洞，對(duì)網(wǎng)絡(luò)設(shè)備等存在的不安全配置重新進(jìn)行安全配置。安全加固需求對(duì)關(guān)鍵的服務(wù)器主機(jī)系統(tǒng)進(jìn)行安全加固，提供用戶認(rèn)證、訪問控制和審計(jì)，嚴(yán)格控制用戶對(duì)服務(wù)器系統(tǒng)的訪問，禁止黑客利用系統(tǒng)的開口隱患和安全管理功能的不足之處進(jìn)行非法訪問，避免內(nèi)部用戶的濫用。2.4.4網(wǎng)絡(luò)應(yīng)用安全需求防病毒需求針對(duì)防病毒危害性極大并且傳播極為迅速的特點(diǎn)，必須配備涵蓋客戶端、服務(wù)器、郵件系統(tǒng)、互聯(lián)網(wǎng)網(wǎng)關(guān)的整套防病毒體系，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)，徹底切斷病毒繁殖和傳播的途徑。防垃圾郵件需求必須采用有效的手段防范互聯(lián)網(wǎng)垃圾郵件進(jìn)入網(wǎng)絡(luò)內(nèi)部郵件服務(wù)器系統(tǒng)，干擾正常業(yè)務(wù)通信。必須采用必要的用戶身份認(rèn)證和授權(quán)管理機(jī)制，對(duì)網(wǎng)絡(luò)用戶身份的真實(shí)性、合法性進(jìn)行集中的控制。對(duì)重要的業(yè)務(wù)數(shù)據(jù)和管理數(shù)據(jù)應(yīng)提供可靠的備份機(jī)制，防止因非法攻擊或意外事件造成數(shù)據(jù)的破壞；對(duì)敏感數(shù)據(jù)的存儲(chǔ)和通訊采用可靠的加密機(jī)制，使攻擊者無(wú)法竊取、篡改和破壞敏感信息。2.4.6安全管理需求提高人的安全意識(shí)可以通過(guò)安全常識(shí)培訓(xùn)來(lái)實(shí)現(xiàn)。對(duì)人的行為的約束只能通過(guò)嚴(yán)格的管理體制，并利用法律手段來(lái)實(shí)現(xiàn)。網(wǎng)絡(luò)系統(tǒng)中也可以通過(guò)部署相應(yīng)的安全管理產(chǎn)品，采用一定的技術(shù)手段監(jiān)控各種網(wǎng)絡(luò)行為。根據(jù)用戶的實(shí)際需要，我們將主要從網(wǎng)絡(luò)層、系統(tǒng)層和應(yīng)用層幾個(gè)方面考慮安全的問題，確保系統(tǒng)具有足夠的安全保護(hù)措施來(lái)保證系統(tǒng)穩(wěn)定運(yùn)行和防止外界的惡意攻擊。具體安全需求如下：l網(wǎng)絡(luò)隔離和訪問控制防范外部網(wǎng)絡(luò)用戶或Internet黑客利用公司網(wǎng)絡(luò)的對(duì)外互聯(lián)通信接口非法侵入局域網(wǎng)，或進(jìn)而通過(guò)廣域網(wǎng)侵入某個(gè)分公司局域網(wǎng)進(jìn)行各種破壞活動(dòng)，尤其是防范外界人員對(duì)公司的核心管理和業(yè)務(wù)主機(jī)系統(tǒng)進(jìn)行攻擊，同時(shí)也要防止因內(nèi)部網(wǎng)用戶的濫用或誤用而導(dǎo)致內(nèi)部網(wǎng)絡(luò)遭受外界侵害；對(duì)各級(jí)單位網(wǎng)絡(luò)之間的通信進(jìn)行控制，防范任何一個(gè)單位網(wǎng)絡(luò)中的非授權(quán)用戶通過(guò)企業(yè)廣域網(wǎng)平臺(tái)非法訪問及侵入其他單位網(wǎng)絡(luò)進(jìn)行各種破壞活動(dòng)，同時(shí)也防止外部人員利用某個(gè)單位的網(wǎng)絡(luò)間接對(duì)其他單位網(wǎng)絡(luò)進(jìn)行攻擊，此外，對(duì)于采用單機(jī)撥號(hào)方式聯(lián)網(wǎng)的遠(yuǎn)程營(yíng)業(yè)網(wǎng)點(diǎn)提供可靠的用戶身份認(rèn)證和網(wǎng)絡(luò)訪問授權(quán)管理，防止外界非授權(quán)人員通過(guò)撥號(hào)方式非法侵入公司網(wǎng)絡(luò)；I數(shù)據(jù)傳輸安全xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)中傳輸?shù)臄?shù)據(jù)一旦被攻擊者竊聽、篡改均會(huì)造成社會(huì)影響和經(jīng)濟(jì)損失。因此需要采取密碼學(xué)技術(shù)保證數(shù)據(jù)的機(jī)密性，確保信息數(shù)據(jù)在網(wǎng)絡(luò)(主要是廣域網(wǎng))傳輸過(guò)程中不被非法竊取。通過(guò)數(shù)字簽名機(jī)制檢驗(yàn)數(shù)據(jù)從數(shù)據(jù)源到目的地的傳輸過(guò)程中是否被篡改以及數(shù)據(jù)的真實(shí)來(lái)源，實(shí)現(xiàn)數(shù)據(jù)的完整性和真實(shí)性。l網(wǎng)絡(luò)入侵檢測(cè)和攻擊防范對(duì)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)網(wǎng)絡(luò)中各重要網(wǎng)段上流經(jīng)的各種通信流量進(jìn)行實(shí)時(shí)監(jiān)視和分析，及時(shí)發(fā)現(xiàn)并阻止非法攻擊行為，防止其對(duì)網(wǎng)絡(luò)中的關(guān)鍵應(yīng)用系統(tǒng)和信息數(shù)據(jù)造成侵害，不管攻擊是來(lái)自網(wǎng)絡(luò)內(nèi)部或外部；l網(wǎng)絡(luò)安全評(píng)估和漏洞掃描采用專業(yè)工具對(duì)重要的網(wǎng)絡(luò)和主機(jī)設(shè)備如路由器、交換機(jī)、服務(wù)器、工作站、防火墻等提供自動(dòng)的安全漏洞檢測(cè)和分析，對(duì)網(wǎng)絡(luò)中的應(yīng)用服務(wù)協(xié)議進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，幫助及時(shí)檢測(cè)、發(fā)現(xiàn)系統(tǒng)和服務(wù)中所固有的及因配置不當(dāng)而存在的安全漏洞，并提供有效的報(bào)告和建議以便對(duì)所發(fā)現(xiàn)的漏洞做出及時(shí)、正確的處理；l病毒防范需要建立全方位、多層次的病毒防范體系，能夠在病毒發(fā)作后殺毒，更重要的是起到事先預(yù)防、報(bào)警的作用，保護(hù)重要文件和數(shù)I安全審計(jì)提供一個(gè)分布式的集日志存儲(chǔ)、分析、管理等功能于一身的安全審計(jì)平臺(tái)，在具有多種網(wǎng)絡(luò)設(shè)備及主機(jī)類型的復(fù)雜網(wǎng)絡(luò)環(huán)境中，通過(guò)記錄、分析網(wǎng)絡(luò)中的各類日志信息，并實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)中的各種設(shè)備狀態(tài)，及時(shí)、有效分析出網(wǎng)絡(luò)中發(fā)生的安全事件及入侵行I安全管理建立安全管理制度，包括對(duì)安全產(chǎn)品的管理制度、安全人員的工作職責(zé)、安全服務(wù)計(jì)劃等，從管理上提高系統(tǒng)的安全水平。當(dāng)然，系統(tǒng)內(nèi)部安全性問題也很重要，尤其是重要的服務(wù)器系統(tǒng)和應(yīng)用系統(tǒng)的安全問題，應(yīng)當(dāng)充分利用系統(tǒng)自身提供的安全功能進(jìn)行有效的安全管理配置，必要時(shí)輔以適當(dāng)?shù)陌踩浖?，如系統(tǒng)安全加固、用戶身份認(rèn)證和授權(quán)等，確保整個(gè)信息系統(tǒng)的安全性。關(guān)于這方面的設(shè)計(jì)我們將在其他方案中專門進(jìn)行詳細(xì)闡述。第3章安全方案總體設(shè)計(jì)3.1常用信息安全保護(hù)技術(shù)網(wǎng)絡(luò)信息安全強(qiáng)調(diào)的是通過(guò)技術(shù)和管理手段，能夠?qū)崿F(xiàn)和保護(hù)消息在公用網(wǎng)絡(luò)信息系統(tǒng)傳輸、交換和存儲(chǔ)流通的保密性、完整性、可用性、真實(shí)性和不可抵賴性。因此當(dāng)前網(wǎng)絡(luò)信息安全保護(hù)技術(shù)主要是兩個(gè)類型：主動(dòng)防御技術(shù)和被動(dòng)防御技術(shù)。當(dāng)然在實(shí)際系統(tǒng)安全建設(shè)中，可根據(jù)安全風(fēng)險(xiǎn)、投資規(guī)模，選擇其中幾種安全防御技術(shù)，分次分批的部署安全產(chǎn)品，提高系統(tǒng)的安全防護(hù)水平。(1)主動(dòng)防御技術(shù)I數(shù)據(jù)加密：密碼技術(shù)是公認(rèn)保護(hù)網(wǎng)絡(luò)信息安全的最實(shí)用辦法。對(duì)數(shù)據(jù)最有效的保護(hù)就是加密，因?yàn)榧用艿姆绞娇捎貌煌氖侄蝸?lái)實(shí)現(xiàn)。l身份鑒別：身份鑒別強(qiáng)調(diào)一致性驗(yàn)證，驗(yàn)證要與一次性證明相匹配。通常身份鑒別包括：驗(yàn)證依據(jù)、驗(yàn)證系統(tǒng)和安全要求。I存取控制：存取控制是主體對(duì)客體具有規(guī)定權(quán)限操作的能力。存取控制的內(nèi)容包括：人員限制、訪問權(quán)限設(shè)置、數(shù)據(jù)標(biāo)識(shí)、控制類型和風(fēng)險(xiǎn)分析等。它是內(nèi)部網(wǎng)絡(luò)信息安全的重要方面。I權(quán)限設(shè)置。規(guī)定合法用戶訪問網(wǎng)絡(luò)信息資源的資格范圍，即反映能對(duì)資源進(jìn)行何種操作。1虛擬專用網(wǎng)技術(shù)。使用虛擬專用網(wǎng)VPN或虛擬局域網(wǎng)VLAN技術(shù)。VPN技術(shù)就是在公網(wǎng)基礎(chǔ)上進(jìn)行邏輯分割而虛擬構(gòu)建的一種特殊通信環(huán)境，使其具有私有性何隱蔽性。VPN也使一種策略，可為用戶提供定制的傳輸何安全服務(wù)。(2)被動(dòng)防御技術(shù)1防火墻技術(shù)：防火墻是內(nèi)部網(wǎng)與Internet(或一般外網(wǎng))間實(shí)現(xiàn)安全策略要求的訪問控制保護(hù)，是一種具有防范免疫功能的系統(tǒng)或系統(tǒng)組保護(hù)技術(shù)，其核心的控制思想是包過(guò)濾技術(shù)(也有應(yīng)用代理技術(shù))。1入侵防護(hù)系統(tǒng)。IDS就是在系統(tǒng)中的檢查位置執(zhí)行入侵檢測(cè)功能的程序或硬件執(zhí)行體，可對(duì)當(dāng)前的系統(tǒng)資源何狀態(tài)進(jìn)行監(jiān)控，檢測(cè)可能的入侵行為。l安全掃描器。它可自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)及網(wǎng)絡(luò)系統(tǒng)的安全性漏洞點(diǎn)的專用功能程序，可用于觀察網(wǎng)絡(luò)信息系統(tǒng)的運(yùn)行情況。1病毒防護(hù)。通過(guò)各種檢測(cè)手段如特征碼比對(duì)、行為監(jiān)測(cè)等發(fā)現(xiàn)并清除文件中附帶的病毒，避免對(duì)系統(tǒng)、應(yīng)用和數(shù)據(jù)造成危害。1口令驗(yàn)證。它利用密碼檢查器中的口令驗(yàn)證程序查驗(yàn)口令集中的薄弱口令，防止攻擊者假冒身份登入系統(tǒng)。I審計(jì)跟蹤。它對(duì)網(wǎng)絡(luò)信息系統(tǒng)的運(yùn)行狀況進(jìn)行詳細(xì)審計(jì)，并保持審計(jì)記錄和日志，幫助發(fā)現(xiàn)系統(tǒng)存在的安全弱點(diǎn)和入侵點(diǎn)，盡量降低安全風(fēng)險(xiǎn)。l物理保護(hù)和安全管理。它通過(guò)制定標(biāo)準(zhǔn)、管理辦法和條例，對(duì)物理實(shí)體和信息系統(tǒng)加強(qiáng)規(guī)范管理，減少人為管理因素不力的負(fù)3.1.1防火墻技術(shù)防火墻作為置于不同網(wǎng)絡(luò)安全域之間的訪問控制設(shè)備，是增強(qiáng)內(nèi)部網(wǎng)絡(luò)安全性的重要安全措施，防火墻通過(guò)檢測(cè)和控制網(wǎng)絡(luò)之間的信息交換和訪問行為來(lái)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的安全保護(hù)。1.防火墻應(yīng)具有較高的穩(wěn)定可靠性，要求產(chǎn)品能連續(xù)無(wú)故障運(yùn)行，支持雙機(jī)熱備份，并支持Active—Active、Active—Standby,支持狀態(tài)同步(STP)協(xié)議。2.防火墻應(yīng)具有較高的安全性，要求防火墻產(chǎn)品無(wú)后門程序和安全漏洞，具有很高的抗網(wǎng)絡(luò)攻擊的能3.過(guò)濾和管理進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包；4.封堵禁止的訪問行為；5.記錄通過(guò)防火墻的信息內(nèi)容和活動(dòng)；6.對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警；7.通過(guò)自身以及和IDS系統(tǒng)的聯(lián)動(dòng)達(dá)到阻止網(wǎng)絡(luò)入侵和非法訪8.其他附加的功能，如：負(fù)載均衡、應(yīng)用層過(guò)濾、防病毒等功安全管理要求防火墻策略的制定和管理決定了防火墻是否能夠真正的發(fā)揮保護(hù)作用，如果安裝了防火墻但是并沒有根據(jù)安全需求去配置防火墻策略，或者是配置了錯(cuò)誤的策略，就會(huì)使防火墻形同虛設(shè)。所以防火墻策略的配置和管理是非常重要的環(huán)節(jié)。攻擊者可以監(jiān)視網(wǎng)絡(luò)通信來(lái)獲取明文傳輸口令，所以管理員與防火墻的通信需要安全的信道，很多的防火墻都提供安全的登錄方式如：OTP(one理方式。3.1.2虛擬專用網(wǎng)技術(shù)務(wù)提供商)和其它NSP(網(wǎng)絡(luò)服務(wù)提供商)提供的公用網(wǎng)，采用密碼技術(shù)、協(xié)議技術(shù)等建立起專用數(shù)據(jù)通信鏈路的技術(shù)。在虛擬專用網(wǎng)中，任意兩個(gè)節(jié)點(diǎn)之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是利用某種公眾網(wǎng)的資源動(dòng)態(tài)組成的，如IETF草案認(rèn)為：基于IP的VPN為："使用IP機(jī)制仿真出一個(gè)私有的廣域網(wǎng)"是通過(guò)私有的隧道技術(shù)在公共數(shù)據(jù)網(wǎng)絡(luò)上仿真一條點(diǎn)到點(diǎn)的專線技術(shù)。所謂虛擬，是指用戶不再需要擁有實(shí)際的長(zhǎng)途數(shù)據(jù)線路，而是使用Internet公眾數(shù)據(jù)網(wǎng)絡(luò)的長(zhǎng)途數(shù)據(jù)線路。所謂專用網(wǎng)絡(luò)，是指用戶可以為自己制定一個(gè)最符合自己需求的網(wǎng)絡(luò)。進(jìn)行說(shuō)明。是一個(gè)工業(yè)標(biāo)準(zhǔn)網(wǎng)絡(luò)安全協(xié)議，為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)，保護(hù)TCP/IP通信免遭竊聽和篡改，可以有效抵御網(wǎng)絡(luò)攻擊，同時(shí)保持易用性。IPSEC有兩個(gè)基本功能：1)保護(hù)IP數(shù)據(jù)包安全；2)為抵御網(wǎng)絡(luò)攻擊提供防護(hù)措施。IPSEC綜合采用密碼技術(shù)、安全協(xié)議技術(shù)、密鑰管理技術(shù)來(lái)實(shí)現(xiàn)上述兩個(gè)功能，不僅能為局域網(wǎng)與撥號(hào)用戶、域、網(wǎng)站、遠(yuǎn)程站之間的通信提供強(qiáng)有力的保護(hù)，而且還能用來(lái)助于xxx市電子政務(wù)用戶以如下三種方式配置IPSEC:n廣域網(wǎng)：路由器-對(duì)-路由器模式，網(wǎng)關(guān)-對(duì)-網(wǎng)關(guān)模式；n遠(yuǎn)程訪問：撥號(hào)客戶機(jī)，專網(wǎng)對(duì)internet的訪問。算法保證數(shù)據(jù)的機(jī)密性、完整性、不可否認(rèn)性而完成秘密傳輸，可以成為點(diǎn)政務(wù)應(yīng)用、無(wú)線接入設(shè)備、Web服務(wù)以及安全接入管理的關(guān)鍵協(xié)議。SSL協(xié)議層包含兩類子協(xié)議——SSL握手協(xié)議和SSL記錄協(xié)議。它們共同為應(yīng)用訪問連接提供認(rèn)證、加密和防篡理，而不對(duì)其他協(xié)議層產(chǎn)生任何影響。SSL安全功能組件包括三部分：認(rèn)證，服務(wù)器對(duì)客戶端進(jìn)行驗(yàn)證同時(shí)對(duì)服務(wù)器和客戶端進(jìn)行驗(yàn)證；加密，對(duì)通信進(jìn)行加密，只有經(jīng)過(guò)加密的雙方才能交換信息并相互識(shí)別；完整性檢驗(yàn)，進(jìn)行信息內(nèi)容檢測(cè)，防止被篡改。保證通信進(jìn)程安全的一個(gè)關(guān)鍵步驟是對(duì)通信雙方進(jìn)行認(rèn)證，SSL握手子協(xié)議負(fù)責(zé)這一進(jìn)程處理：客戶端向服務(wù)器提交有效證書，服務(wù)器采用公共密鑰算法對(duì)證書信息進(jìn)行檢驗(yàn)，以確認(rèn)終端用戶的合法性。SSLVPN控制功能強(qiáng)大，能方便實(shí)現(xiàn)更多遠(yuǎn)程用戶在不同地點(diǎn)遠(yuǎn)程接入，實(shí)現(xiàn)更多網(wǎng)絡(luò)資源訪問，且對(duì)客戶端設(shè)備要求低，因而主要是由于其接入控制功能比較強(qiáng)。SSLVPN提供安全、可代理連接，只有經(jīng)認(rèn)證的用戶才能對(duì)資源進(jìn)行訪問。SSLVPN能對(duì)加密隧道進(jìn)行細(xì)分，從而使得終端用戶能夠同時(shí)接入Internet和訪問內(nèi)部企業(yè)網(wǎng)資源，也就是說(shuō)它具備可控功能。另外，SSLVPN還能細(xì)化接入控制功能，易于將不同訪問權(quán)限賦予不同用戶，實(shí)現(xiàn)伸縮性訪問，這種精確的接入控制功能對(duì)遠(yuǎn)程接入IPSECVPN來(lái)說(shuō)難以實(shí)現(xiàn)的。SSLVPN基本上不受接入位置限制，可以從眾多Internet接入設(shè)備、任何遠(yuǎn)程位置訪問網(wǎng)絡(luò)資源。SSLVPN通信基于標(biāo)準(zhǔn)TCP/UDP協(xié)議傳輸，因而能遍歷所有NAT設(shè)備、基于代理的防火墻和狀態(tài)檢測(cè)防火墻。這使得用戶能夠從任何地方接入，無(wú)論是處于其他公司網(wǎng)絡(luò)中基于代理的防火墻之后，或是寬帶連接中。隨著遠(yuǎn)程接入需求的不斷增長(zhǎng)，SSLVPN是實(shí)現(xiàn)任意位置的遠(yuǎn)程安全接入的理想選擇。SSLVPN具有簡(jiǎn)單、易用、低成本的特點(diǎn)，特別適用于xxx電子政務(wù)外網(wǎng)域安全防護(hù)。入侵防護(hù)系統(tǒng)—IPS入侵防護(hù)系統(tǒng)通過(guò)收集和分析計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵瞇的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。進(jìn)行入侵檢測(cè)的軟件與硬件的集合便是入侵防護(hù)系統(tǒng)。與其它安全產(chǎn)品不同的是，入侵防護(hù)系統(tǒng)需要更多的智能，它必須可以將行到的數(shù)據(jù)進(jìn)行分析，并得出有用的結(jié)果。入侵防護(hù)系統(tǒng)通常由數(shù)據(jù)采集部分、數(shù)據(jù)分析部分、控制臺(tái)部分以及日志部分幾個(gè)部件構(gòu)成，并且這幾個(gè)部件往往位于不同的主機(jī)上。數(shù)據(jù)采集部分從整個(gè)信息系統(tǒng)中獲得事件，并向系統(tǒng)的其他部分提供此事件。數(shù)據(jù)分析部分分析得到的數(shù)據(jù)，并產(chǎn)生分析結(jié)果?？刂婆_(tái)部分則是結(jié)分析結(jié)果作出反應(yīng)的功能單元，它可以作出切斷連接、改變文件屬性等強(qiáng)烈反應(yīng)，也可以只是簡(jiǎn)單的報(bào)警。日志部分是存放各種中間和最終數(shù)據(jù)的地方的統(tǒng)稱，它可以是復(fù)雜的數(shù)據(jù)庫(kù)，也可以是簡(jiǎn)單的文本文件。入侵防護(hù)系統(tǒng)主要技術(shù)l數(shù)據(jù)流實(shí)時(shí)監(jiān)測(cè)功能入侵防護(hù)系統(tǒng)應(yīng)提供實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)上的數(shù)據(jù)流的功能，對(duì)防范網(wǎng)絡(luò)惡意攻擊及誤操作提供主動(dòng)的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害時(shí)攔截和響應(yīng)入侵。I生成和管理審計(jì)數(shù)據(jù)的功能入侵防護(hù)系統(tǒng)應(yīng)根據(jù)網(wǎng)絡(luò)安全策略對(duì)網(wǎng)絡(luò)和系統(tǒng)活動(dòng)進(jìn)行檢查，捕獲網(wǎng)絡(luò)安全違規(guī)事件，并對(duì)生成的審計(jì)數(shù)據(jù)進(jìn)行分析處理和過(guò)濾，多方位反映系統(tǒng)安全狀況。l特征庫(kù)更新能力入侵防護(hù)系統(tǒng)應(yīng)提供特征庫(kù)更新功能。入侵防護(hù)系統(tǒng)應(yīng)記錄網(wǎng)絡(luò)安全事件的詳細(xì)信息，采取郵件等其他形式提示系統(tǒng)安全管理員采取一定的安全措施。入侵防護(hù)系統(tǒng)宜具有與防火墻或者其它網(wǎng)絡(luò)設(shè)備聯(lián)動(dòng)的功能，實(shí)入侵防護(hù)系統(tǒng)管理技術(shù)I入侵防護(hù)系統(tǒng)只應(yīng)允許授權(quán)人員設(shè)置入侵管理規(guī)則，如定義攻擊特征、指定非標(biāo)準(zhǔn)服務(wù)端口、入侵響應(yīng)方式等。入侵管理規(guī)則應(yīng)操作簡(jiǎn)單、安全有效，并保證入侵防護(hù)系統(tǒng)的功能實(shí)現(xiàn)沒有被旁路。I入侵防護(hù)系統(tǒng)應(yīng)對(duì)入侵管理規(guī)則范圍內(nèi)的所有操作有完備的日志記錄，包括入侵事件的日期、時(shí)間、來(lái)源、攻擊目標(biāo)、事件類型、過(guò)程、事件的結(jié)果等內(nèi)容。I入侵防護(hù)系統(tǒng)只能允許授權(quán)人員查閱、統(tǒng)計(jì)、管理、維護(hù)日志記錄。日志記錄不得被更改或任意刪除，日志所占存儲(chǔ)空間將滿時(shí)，入侵防護(hù)系統(tǒng)應(yīng)及時(shí)告警，以便系統(tǒng)管理員及時(shí)將日志導(dǎo)出或刪除。1系統(tǒng)管理員應(yīng)定期更新攻擊特征數(shù)據(jù)庫(kù)，定期分析入侵檢測(cè)記錄，并根據(jù)系統(tǒng)已經(jīng)存在或潛在的安全漏洞及時(shí)調(diào)整監(jiān)控策略。3.1.4病毒檢測(cè)防范技術(shù)防病毒技術(shù)防病毒的內(nèi)容是在內(nèi)部網(wǎng)絡(luò)上安裝和運(yùn)行防病毒系統(tǒng)，針對(duì)網(wǎng)絡(luò)的實(shí)際情況，包括各種主機(jī)操作系統(tǒng)，進(jìn)行病毒掃描和清除。防病毒主要技術(shù)l管理功能中央分級(jí)管理，整個(gè)系統(tǒng)具有統(tǒng)一的管理和策略控制；在整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)中，應(yīng)該能夠?qū)崿F(xiàn)防病毒體系的多級(jí)管理，中央管理員應(yīng)能夠?qū)崿F(xiàn)對(duì)整個(gè)防病毒系統(tǒng)的中央集中控管?？缙脚_(tái)管理，應(yīng)能夠統(tǒng)一管理整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)中不同系統(tǒng)下的防病毒系統(tǒng)，比如：訪問權(quán)限包括：讀、寫、修改或完全控制等。網(wǎng)絡(luò)策略的強(qiáng)制執(zhí)行，防病毒管理中心能夠強(qiáng)制客戶端執(zhí)行企業(yè)級(jí)安全策略，以保持信任域策略的一致性。防病毒管理中心能夠鎖定客戶端的防病毒策略，禁止客戶端的用戶修改管理中心下發(fā)的防病毒策略。遠(yuǎn)程自動(dòng)安裝，應(yīng)能夠?qū)崿F(xiàn)對(duì)多平臺(tái)的計(jì)算機(jī)的遠(yuǎn)程安裝。l警報(bào)和日志功能應(yīng)具有集中化的報(bào)警、日志報(bào)告功能，能生成統(tǒng)計(jì)分析報(bào)告。具備實(shí)時(shí)報(bào)警功能，應(yīng)能夠通過(guò)網(wǎng)絡(luò)廣播、電子郵件等形式向管理員通報(bào)各種病毒發(fā)作的警告。防毒功能隔離染毒用戶，防止病毒傳播。防病毒產(chǎn)品應(yīng)占用較少的系統(tǒng)資源，在系統(tǒng)繁忙時(shí)應(yīng)能調(diào)整資源的占用率，不影響主機(jī)上的業(yè)務(wù)能檢測(cè)蠕蟲病毒、宏病毒、木馬型病毒等各種已知病毒和未知病毒，對(duì)病毒檢測(cè)、清除能力強(qiáng)，管理工作站可對(duì)防毒客戶端進(jìn)行配置，包括對(duì)客戶端的啟動(dòng)、停止、關(guān)閉、監(jiān)測(cè)、掃描、清除、隔離、告警、日志記錄、處理方式、代碼提取、代碼傳送及其它各類控制參數(shù)進(jìn)行設(shè)置。能夠掃描包括使用多種主流壓縮格式進(jìn)行多重壓縮的文件內(nèi)的管理技術(shù)應(yīng)實(shí)施病毒的檢測(cè)和預(yù)防控制，加強(qiáng)用戶的防病毒意識(shí)。防止病毒應(yīng)基于安全意識(shí)、合適的系統(tǒng)訪問和變更管理控制?？豯安裝并定期更新防病毒檢測(cè)和修復(fù)軟件；l對(duì)于不明來(lái)歷或未授權(quán)的電子媒體上的任何文件、從不可信的網(wǎng)絡(luò)上收到的文件，在使用前應(yīng)進(jìn)行病毒檢查；1任何電子郵件附件在下載或使用前應(yīng)針對(duì)惡意軟件進(jìn)行檢查。該檢查可以在不同的位置進(jìn)行，例如，在電子郵件服務(wù)器、臺(tái)式計(jì)算機(jī)處或者當(dāng)進(jìn)入網(wǎng)絡(luò)時(shí)；I相應(yīng)的從病毒攻擊中恢復(fù)的業(yè)務(wù)連續(xù)性計(jì)劃，包括所有必要數(shù)據(jù)和軟件備份以及恢復(fù)安排；I安裝經(jīng)國(guó)家認(rèn)可的病毒防治產(chǎn)品，根據(jù)系統(tǒng)安全需求制定病毒防范策略。定期組織查殺系統(tǒng)的病毒；I系統(tǒng)應(yīng)在病毒侵入時(shí)及時(shí)報(bào)警并予以隔離、清除或采用既定病毒防范策略中規(guī)定的處理方式。系統(tǒng)應(yīng)對(duì)病毒事件的發(fā)生及處理過(guò)程有詳細(xì)的日志記錄；I定期更新病毒特征庫(kù)，及時(shí)對(duì)病毒防治產(chǎn)品進(jìn)行版本升級(jí)。定期對(duì)病毒相關(guān)日志記錄進(jìn)行詳細(xì)統(tǒng)計(jì)與分析，及時(shí)調(diào)整病毒防范策略。3.2安全系統(tǒng)總體設(shè)計(jì)3.2.1安全產(chǎn)品部署拓?fù)鋱D在xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)的安全建設(shè)中應(yīng)根據(jù)安全目標(biāo)、網(wǎng)絡(luò)狀況、目前用戶最關(guān)注的安全重點(diǎn)和現(xiàn)有投資規(guī)模選擇當(dāng)前最迫切需要的安全防護(hù)機(jī)制，用以確保xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)的安全可靠運(yùn)行。經(jīng)過(guò)對(duì)xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)的安全風(fēng)險(xiǎn)和安全需求分析，我們提出一個(gè)整合防火墻、VPN、入侵防護(hù)、防病毒于一體的安全解決方案，希望能幫助xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)有效抵御來(lái)自外部和內(nèi)部網(wǎng)絡(luò)的非法攻擊。作為xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)的網(wǎng)絡(luò)現(xiàn)狀，下圖是xxxxxx圖書館計(jì)算機(jī)信息系統(tǒng)中的安全產(chǎn)品部署拓?fù)鋱D。圖3.1安全產(chǎn)品部署拓?fù)鋱D本期項(xiàng)目建設(shè)需求清單：3.2.2網(wǎng)絡(luò)安全產(chǎn)品部署本項(xiàng)目建設(shè)中安全產(chǎn)品部署包括以下四個(gè)子系統(tǒng)：防火墻系統(tǒng)在本方案中，本期項(xiàng)目建設(shè)采用雙鏈路備份。網(wǎng)絡(luò)中防火墻部署方式如下：I互聯(lián)網(wǎng)出口墻，部署在網(wǎng)出口邊界路由器與內(nèi)網(wǎng)核心交換機(jī)之間，設(shè)置恰當(dāng)?shù)脑L問控制規(guī)則，審核來(lái)自外部網(wǎng)絡(luò)的訪問請(qǐng)求，通過(guò)與訪問控制規(guī)則的比較，確保只有合法的訪問才能通過(guò)，從而為內(nèi)部網(wǎng)絡(luò)建立安全的防御屏障，拒絕來(lái)自廣域網(wǎng)上一切無(wú)關(guān)節(jié)點(diǎn)和用戶的訪問。l辦公區(qū)和讀者區(qū)n對(duì)于網(wǎng)絡(luò)安全內(nèi)部的防范，在辦公區(qū)和讀者區(qū)與中心交換機(jī)之間部署兩套H3CNS-DPtechFW1000-GS防火墻，通過(guò)與訪問控制規(guī)則的比較，確保只有合法的訪問才能通過(guò)，從而為內(nèi)部網(wǎng)絡(luò)建立安全的防御屏障。安全、可代理連接，只有經(jīng)認(rèn)證的用戶才能對(duì)資源進(jìn)行訪問。SSLVPN能對(duì)加密隧道進(jìn)行細(xì)分，從而使得終端用戶能夠同時(shí)接入Internet和訪問內(nèi)部企業(yè)網(wǎng)資源，也就是說(shuō)它具備可控功能。另還能細(xì)化接入控制功能，易于將不同訪問權(quán)限賦予不同用戶，實(shí)現(xiàn)伸縮性訪問，這種精確的接入控制功能對(duì)遠(yuǎn)程接入侵防護(hù)系統(tǒng)n建議在網(wǎng)絡(luò)的外部連接著關(guān)鍵服務(wù)器主機(jī)或有重要數(shù)據(jù)流經(jīng)的網(wǎng)段上部署H3C網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)，實(shí)時(shí)監(jiān)測(cè)防御流經(jīng)網(wǎng)絡(luò)尤其是進(jìn)出關(guān)鍵服務(wù)器主機(jī)或進(jìn)出網(wǎng)絡(luò)的各種通信數(shù)據(jù)流，及時(shí)發(fā)現(xiàn)來(lái)自網(wǎng)絡(luò)內(nèi)部、外部的攻擊行為并進(jìn)行報(bào)警和響應(yīng)。n由于在網(wǎng)絡(luò)的對(duì)外出口位置已經(jīng)部署防火墻系統(tǒng)提供安全隔離屏障，為了使入侵防護(hù)系統(tǒng)與防火墻系統(tǒng)更有效地進(jìn)行配合，我們可以把防火墻系統(tǒng)作為網(wǎng)絡(luò)與外界通信的第一道安全屏障，而把網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)作為第二道安全屏障，連接在被保護(hù)網(wǎng)絡(luò)的交換機(jī)上，這樣即使外部網(wǎng)絡(luò)的攻擊能夠穿透防火墻而進(jìn)入局域網(wǎng)，也會(huì)立即被網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)發(fā)現(xiàn)并攔截，同時(shí)，通過(guò)網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)與防火墻系統(tǒng)的聯(lián)動(dòng)，可以動(dòng)態(tài)調(diào)整防火墻上的安全策略設(shè)置，把后續(xù)的攻擊攔截在防火墻之外。防病毒系統(tǒng)為了構(gòu)建一個(gè)完善、有效的反病毒體系，在分析了xxx市xxx圖書館網(wǎng)絡(luò)架構(gòu)及相關(guān)應(yīng)用之后，我司建議采用結(jié)合產(chǎn)品、防御策略、服務(wù)為一體的反病毒體系。在xxx市xxx圖書館網(wǎng)絡(luò)中所有能訪問互連網(wǎng)的工作站上，安裝在xxx市xxx圖書館總部指定一臺(tái)配置較高PC上安裝安裝Kaspersky反病毒軟件集中管理和控制，也可以對(duì)各地區(qū)網(wǎng)絡(luò)中在各地和各分部分別建立自己的管理服務(wù)器，分別指定一臺(tái)配置各地網(wǎng)Kaspersky反病毒軟件集中管理和控制。首先要在總部和各地分部的服務(wù)器、工作站上完成反病毒部署，然后逐步在各地和各分部完成反病毒軟件的部署。各分部在各網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)本地的網(wǎng)絡(luò)安全管理，總部也可以對(duì)各分部進(jìn)行統(tǒng)一的綜合管控。由管理服務(wù)器，管理本地及二級(jí)服務(wù)器通信，管理下級(jí)工作站，進(jìn)行信息的匯總分析。第4章各子系統(tǒng)設(shè)計(jì)4.1防火墻子系統(tǒng)4.1.1防火墻系統(tǒng)部署的意義防火墻是近年發(fā)展起來(lái)的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點(diǎn)檢查網(wǎng)絡(luò)通信，根據(jù)用戶設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通信。通過(guò)使用Firewall過(guò)濾不安全的服務(wù)器，提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)，提供對(duì)系統(tǒng)的訪問控制；阻止攻擊者獲得攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，記錄和統(tǒng)計(jì)網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)、攻擊和探測(cè)策略執(zhí)行。防火墻屬于一種被動(dòng)的安全防御工具。設(shè)立防火墻的目的就是保護(hù)一個(gè)網(wǎng)絡(luò)不受來(lái)自另一個(gè)網(wǎng)絡(luò)的攻擊，防火墻的主要功能包括以下幾個(gè)方面：(1)防火墻提供安全邊界控制的基本屏障。設(shè)置防火墻可提高內(nèi)部網(wǎng)絡(luò)安全性，降低受攻擊的風(fēng)險(xiǎn)。(2)防火墻體現(xiàn)網(wǎng)絡(luò)安全策略的具體實(shí)施。防火墻集成所有安全軟件(如口令、加密、認(rèn)證、審計(jì)等),比分散管理更經(jīng)濟(jì)。(3)防火墻強(qiáng)化安全認(rèn)證和監(jiān)控審計(jì)。因?yàn)樗羞M(jìn)出網(wǎng)絡(luò)的通信流都通過(guò)防火墻，使防火墻也能提供日志記錄、統(tǒng)計(jì)數(shù)據(jù)、報(bào)警處理、審計(jì)跟蹤等服務(wù)。(4)防火墻能阻止內(nèi)部信息泄漏。防火墻實(shí)際意義上也是一個(gè)隔離器，即能防外，又能防止內(nèi)部未經(jīng)授權(quán)用戶對(duì)互聯(lián)網(wǎng)的訪問。4.1.2防火墻的部署方式在本方案中，本期項(xiàng)目建設(shè)采用雙鏈路備份。網(wǎng)絡(luò)中防火墻部署方式如下：I互聯(lián)網(wǎng)出口墻，部署在網(wǎng)出口邊界路由器與內(nèi)網(wǎng)核心交換機(jī)之間，設(shè)置恰當(dāng)?shù)脑L問控制規(guī)則，審核來(lái)自外部網(wǎng)絡(luò)的訪問請(qǐng)求，通過(guò)與訪問控制規(guī)則的比較，確保只有合法的訪問才能通過(guò)，從而為內(nèi)部網(wǎng)絡(luò)建立安全的防御屏障，拒絕來(lái)自廣域網(wǎng)上一切無(wú)關(guān)節(jié)點(diǎn)和用戶的訪問。I辦公區(qū)和讀者區(qū)n對(duì)于網(wǎng)絡(luò)安全內(nèi)部的防范，在辦公區(qū)和讀者區(qū)與中心交換機(jī)之間部署兩套迪普NS-DPtechFW1000-GS防火墻，通過(guò)與訪問控制規(guī)則的比較，確保只有合法的訪問才能通過(guò)，從而為內(nèi)部網(wǎng)絡(luò)建立安全的防御屏障。4.1.3防火墻的技術(shù)特點(diǎn)擴(kuò)展性最強(qiáng)基于先進(jìn)的OAA開放應(yīng)用架構(gòu)，防火墻能靈活擴(kuò)展病毒防范、網(wǎng)絡(luò)流量監(jiān)控和SSLVPN等硬件業(yè)務(wù)模塊，實(shí)現(xiàn)2-7層的全面安強(qiáng)大的攻擊防范能力增強(qiáng)型狀態(tài)安全過(guò)濾支持基礎(chǔ)、擴(kuò)展和基于接口的狀態(tài)檢測(cè)包過(guò)濾技術(shù)；支持H3C特有ASPF應(yīng)用層報(bào)文過(guò)濾協(xié)議，支持對(duì)每一個(gè)連接狀態(tài)信息的維護(hù)監(jiān)測(cè)并動(dòng)態(tài)地過(guò)濾數(shù)據(jù)包，支持對(duì)應(yīng)用層協(xié)議的狀態(tài)監(jiān)控。豐富的VPN特性移動(dòng)用戶、合作伙伴和分支機(jī)構(gòu)安全、便捷的接入。應(yīng)用層內(nèi)容過(guò)濾可以有效的識(shí)別網(wǎng)絡(luò)中各種P2P模式的應(yīng)用，并且對(duì)這些應(yīng)用采取限流的控制措施，有效保護(hù)網(wǎng)絡(luò)帶寬；支持郵件過(guò)濾，提供SMTP郵件地址、標(biāo)題、附件和內(nèi)容過(guò)濾；支持網(wǎng)頁(yè)過(guò)濾，提供提供多對(duì)一、多對(duì)多、靜態(tài)網(wǎng)段、雙向轉(zhuǎn)換、EasyIP和DNS映A體系的數(shù)字證書(X.509格式)認(rèn)證功能。支持基于用戶身份的管理，實(shí)現(xiàn)不同身份的用戶擁有不同的命令執(zhí)行權(quán)限，并且支持用戶視圖分級(jí)，對(duì)于不同級(jí)別的用戶賦予不同的管理配置權(quán)限。提供各種日志功能、流量統(tǒng)計(jì)和分析功能、各種事件監(jiān)控和統(tǒng)計(jì)功能、郵件告警功能。4.1.4防火墻產(chǎn)品資質(zhì)銷售許可證國(guó)家信息安全認(rèn)證產(chǎn)品型號(hào)證書涉密信息系統(tǒng)產(chǎn)品檢測(cè)證書軍用信息安全產(chǎn)品認(rèn)證證書(軍隊(duì)評(píng)測(cè)中心)全、可代理連接，只有經(jīng)認(rèn)證的用戶才能對(duì)資源進(jìn)行訪問。SSLVPN能對(duì)加密隧道進(jìn)行細(xì)分，從而使得終端用戶能夠同時(shí)接入Internet和訪問內(nèi)部資源，也就是說(shuō)它具備可控功能。另外，SSLVPN還能細(xì)化接入控制功能，易于將不同訪問權(quán)限賦予不同用戶，實(shí)現(xiàn)伸縮性訪問，這種精確的接入控制功能對(duì)遠(yuǎn)程接入IPSEC戶在最低成本的情況下部署移動(dòng)用戶、遠(yuǎn)程分支和外聯(lián)網(wǎng)的VPN接入，實(shí)現(xiàn)用戶網(wǎng)絡(luò)的安全連通。網(wǎng)關(guān)同時(shí)還具有完善的防火墻功能，支持外部攻擊防范、內(nèi)網(wǎng)安全、流量監(jiān)控、郵件過(guò)濾、網(wǎng)頁(yè)過(guò)濾、應(yīng)用層過(guò)濾等功能，能夠有效的保護(hù)網(wǎng)絡(luò)安全；采用應(yīng)用狀態(tài)檢測(cè)技術(shù)，可對(duì)連接狀態(tài)過(guò)程和異常命令進(jìn)行檢測(cè)；提供多種智能分析和管理手段；提供基本的路由能力，支持路由策略及策略路由；支持豐富的QoS特性。網(wǎng)關(guān)的推出，進(jìn)一步增強(qiáng)了H3C公司安全解決方市場(chǎng)領(lǐng)先的安全防護(hù)功能1增強(qiáng)型狀態(tài)安全過(guò)濾：支持基礎(chǔ)、擴(kuò)展和基于接口的狀態(tài)檢測(cè)包過(guò)濾技術(shù)，支持按照時(shí)間段進(jìn)行過(guò)濾；支持H3C特有ASPF應(yīng)應(yīng)用層協(xié)議的狀態(tài)監(jiān)控，支持TCP/UDP應(yīng)用的狀態(tài)監(jiān)控。擊的防范、提供ARP主動(dòng)反向查詢、TCP報(bào)文標(biāo)志位不合法攻擊防范、超大ICMP報(bào)文攻擊防范、地址/端口掃描的防范、ICMP重定向或不可達(dá)報(bào)文控制功能、Tracert報(bào)文控制功能、定功能；支持智能防范蠕蟲病毒技術(shù)。并且對(duì)這些應(yīng)用采取限流的控制措施，有效保護(hù)網(wǎng)絡(luò)帶寬；支持郵件過(guò)濾，提供SMTP郵件地址、標(biāo)題、附件和內(nèi)容過(guò)濾；支持網(wǎng)頁(yè)過(guò)濾，提供HTTPURL和內(nèi)容過(guò)濾；支持應(yīng)用層過(guò)濾，提供支持基于PKI/CA體系的數(shù)字證書(X.509格式)認(rèn)證功能；在PPP線路上支持CHAP和PAP驗(yàn)證協(xié)議；支持用戶身份管理，不同身份的用戶擁有不同的命令執(zhí)行權(quán)限；支持用戶視圖分級(jí)，不同級(jí)別的用戶賦予不同的管理配置權(quán)限。1集中管理與審計(jì)：提供各種日志功能、流量統(tǒng)計(jì)和分析功能、各種事件監(jiān)控和統(tǒng)計(jì)功能、郵件告警功能。1全面NAT應(yīng)用支持：提供多對(duì)一、多對(duì)多、靜態(tài)網(wǎng)段、雙向轉(zhuǎn)換、EasyIP和DNS映射等NAT應(yīng)用方式；支持多種應(yīng)用協(xié)議正確穿越NAT,提供DNS、FTP、H.323、專業(yè)靈活的VPN服務(wù)l利用動(dòng)態(tài)VPN(DVPN)技術(shù)，簡(jiǎn)化VPN配置，實(shí)現(xiàn)按需動(dòng)態(tài)智能網(wǎng)絡(luò)集成及QoS保證1支持路由、透明及混合運(yùn)行模式l支持靜態(tài)路由協(xié)議l支持路由策略及策略路由l支持基于802.1qVLAN1支持流分類、流量監(jiān)管、流量整形及接口限速電信級(jí)設(shè)備高可靠性種工作模式，實(shí)現(xiàn)負(fù)載分擔(dān)和業(yè)務(wù)備份I遠(yuǎn)端鏈路狀態(tài)監(jiān)測(cè)(L3monitor)1設(shè)備關(guān)鍵部件均采用冗余設(shè)計(jì)智能圖形化的管理l通過(guò)Web方式進(jìn)行遠(yuǎn)程配置管理。1通過(guò)H3CiMC實(shí)現(xiàn)與網(wǎng)絡(luò)設(shè)備的統(tǒng)一管理。1通過(guò)H3CBIMS系統(tǒng)對(duì)數(shù)量眾多、位置分散的設(shè)備提供智能和1通過(guò)H3CVPNManager系統(tǒng)對(duì)VPN進(jìn)行動(dòng)態(tài)和圖形化的業(yè)務(wù)管建議在網(wǎng)絡(luò)的外部連接著關(guān)鍵服務(wù)器主機(jī)或有重要數(shù)據(jù)流經(jīng)的流經(jīng)網(wǎng)絡(luò)尤其是進(jìn)出關(guān)鍵服務(wù)器主機(jī)或進(jìn)出網(wǎng)絡(luò)的各種通信數(shù)據(jù)流，及時(shí)發(fā)現(xiàn)來(lái)自網(wǎng)絡(luò)內(nèi)部、外部的攻擊行為并進(jìn)行報(bào)警和響由于在網(wǎng)絡(luò)的對(duì)外出口位置已經(jīng)部署防火墻系統(tǒng)提供安全隔離屏障，為了使入侵防護(hù)系統(tǒng)與防火墻系統(tǒng)更有效地進(jìn)行配合，我們可以把防火墻系統(tǒng)作為網(wǎng)絡(luò)與外界通信的第一道安全屏障，而把網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)作為第二道安全屏障，連接在被保護(hù)網(wǎng)絡(luò)的交換機(jī)上，這樣即使外部網(wǎng)絡(luò)的攻擊能夠穿透防火墻而進(jìn)入局域網(wǎng)，也會(huì)立即被網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)發(fā)現(xiàn)并攔截，同時(shí)，通過(guò)網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)與防火墻系統(tǒng)的聯(lián)動(dòng)，可以動(dòng)態(tài)調(diào)整防火墻上的安全策略設(shè)置，把后續(xù)的攻擊攔截在防火墻之外。高精度、高效率的入侵檢測(cè)引擎withRigorousStateTest,基于精確狀態(tài)的全面檢測(cè))引擎。FIRST引擎集成了多項(xiàng)檢測(cè)技術(shù)，實(shí)現(xiàn)了基于精確狀態(tài)的全面檢測(cè)，具有極高的入侵檢測(cè)精度；同時(shí)，F(xiàn)IRST引擎采用了并行檢測(cè)技術(shù)，軟、硬件可靈活適配，大大提高了入侵檢測(cè)的效率。全面、及時(shí)的攻擊特征庫(kù)年的網(wǎng)絡(luò)技術(shù)與安全技術(shù)積累，造就了資深的攻擊特征庫(kù)團(tuán)隊(duì)和安全服務(wù)團(tuán)隊(duì)，建有攻防實(shí)驗(yàn)室，最新的部署于全球的蜜罐系統(tǒng)，緊跟網(wǎng)絡(luò)技術(shù)與安全技術(shù)的發(fā)展前沿和網(wǎng)絡(luò)攻防的最新動(dòng)態(tài)，定期更新并發(fā)布攻擊特征庫(kù)升級(jí)包，源源不斷地為強(qiáng)大的檢測(cè)引擎注入高質(zhì)量的“燃油”。精細(xì)化的深度防御與應(yīng)用控制l客戶機(jī)和服務(wù)器保護(hù)-抵御針對(duì)應(yīng)用和操作系統(tǒng)漏洞的攻擊-擯棄代價(jià)昂貴的應(yīng)急補(bǔ)丁工作-精細(xì)化的深度防御與應(yīng)用控制l病毒過(guò)濾-全球頂尖級(jí)病毒分析專家團(tuán)隊(duì)-擁有超過(guò)40萬(wàn)的病毒樣本-阻止多種類型的網(wǎng)絡(luò)蠕蟲/病毒攻擊-深度過(guò)濾隱藏在IM/P2P/email等常用軟件中攜帶的病毒-過(guò)濾壓縮后的病毒、木馬-過(guò)濾變種病毒-保護(hù)DNS和其他網(wǎng)絡(luò)基礎(chǔ)設(shè)施-訪問控制-提高網(wǎng)絡(luò)帶寬和路由器性能-正規(guī)化非法網(wǎng)絡(luò)流量-優(yōu)化網(wǎng)絡(luò)性能-根據(jù)時(shí)間定制過(guò)濾規(guī)則-自定義URL過(guò)濾規(guī)則-URL過(guò)濾與帶寬管理關(guān)聯(lián)定制組合-提高帶寬和服務(wù)器性能-阻止或限制P2P/IM等非關(guān)鍵流量-抵御零日攻擊-最新特征庫(kù)自動(dòng)發(fā)布基于對(duì)象的虛擬系統(tǒng)所有策略都使用對(duì)象來(lái)定義，包括動(dòng)作對(duì)象、時(shí)間表對(duì)象、服務(wù)對(duì)象、協(xié)議對(duì)象等。針對(duì)不同的網(wǎng)絡(luò)環(huán)境和安全需求，可基于對(duì)象制定不同的安全策略和響應(yīng)方式，每個(gè)虛擬系統(tǒng)分別執(zhí)行不同的安全策略，實(shí)現(xiàn)面向不同對(duì)象、不同安全策略的智能化入侵檢測(cè)和帶寬管理。安全技術(shù)與網(wǎng)絡(luò)的深度融合SecPathT200融合了豐富的網(wǎng)絡(luò)特性，可在各種復(fù)雜的網(wǎng)絡(luò)環(huán)境系統(tǒng)等進(jìn)行配合，形成整網(wǎng)安全解決方案。豐富的響應(yīng)方式各響應(yīng)方式可以相互組合。設(shè)備出廠時(shí)已內(nèi)置了一些常用的響應(yīng)組合，便于部署和維護(hù)。高可靠性，打造99.999%安全網(wǎng)絡(luò)SecPathT200使用無(wú)源連接設(shè)備PFC(PowerF供掉電保護(hù)功能。在T200掉電的情況下，PFC將網(wǎng)絡(luò)流量自動(dòng)繞開T200,旁路到下一跳設(shè)備上去；當(dāng)恢復(fù)電源供給后，PFC又會(huì)自動(dòng)禁止旁路功能，所有流量將再度流經(jīng)T200接受檢測(cè)。內(nèi)置的監(jiān)測(cè)模塊以很高的頻率定時(shí)監(jiān)測(cè)設(shè)備的健康狀況。一旦探測(cè)到檢測(cè)引擎或軟件系統(tǒng)故障，該模塊會(huì)將T200設(shè)置成一個(gè)簡(jiǎn)單的二層交換設(shè)備，網(wǎng)絡(luò)流量將在兩個(gè)接口之間直接貫通，從而保持網(wǎng)絡(luò)業(yè)務(wù)的連續(xù)性。SecPathT200支持冗余部署。互為備份的多臺(tái)T200可以工作在強(qiáng)大、靈活的管理功能在單臺(tái)或小規(guī)模部署時(shí)，為了節(jié)約設(shè)備成本和管理成本，SecPathT200提供了對(duì)單機(jī)的基于Web的圖形化管理系統(tǒng)，讓客戶不用購(gòu)買、部署額外的管理服務(wù)器硬件和管理軟件就能實(shí)現(xiàn)對(duì)T200的圖形化管理。在大規(guī)模部署時(shí)，SecPathT200提供了強(qiáng)大的集中管理系統(tǒng)，客戶通過(guò)集中管理系統(tǒng)可以在全網(wǎng)范圍內(nèi)制定統(tǒng)一的安全策略，方便地分發(fā)到各地的T200上，同時(shí)各地的T200上產(chǎn)生的攻擊事件可以集中上報(bào)到管理中心。為用戶提供全網(wǎng)深度防御解決方案。銷售許可證國(guó)家信息安全產(chǎn)品型號(hào)證書計(jì)算機(jī)軟件著作權(quán)登記證書4.4防病毒子系統(tǒng)4.4.1防病毒子系統(tǒng)的部署管理服務(wù)器實(shí)施部署配置根據(jù)xxx市xxx圖書館網(wǎng)絡(luò)系統(tǒng)的實(shí)際狀況，卡巴斯基建議通過(guò)總部的一臺(tái)FTP服務(wù)器，用戶訪問點(diǎn)擊安裝鏈接，安裝Kaspersky桌面反病毒軟件。l根據(jù)xxx市xxx圖書館網(wǎng)絡(luò)系統(tǒng)的實(shí)際狀況，卡巴斯基有限公司建議在總部一臺(tái)基于NT的機(jī)器上安裝集中控管軟件AdministrationKit,負(fù)責(zé)監(jiān)控所屬網(wǎng)絡(luò)中的防毒產(chǎn)品。利用這個(gè)的病毒定義和程序組件進(jìn)行自動(dòng)更新。在總部的NT服務(wù)器上部注：這樣部署便于管理員及時(shí)處理染毒工作站，在最短時(shí)間內(nèi)控制病毒在網(wǎng)絡(luò)中擴(kuò)散。如果要跨防火墻管理工作站，需要配置防火墻打開反病毒軟件專用的通訊端口(TCP13000、14000),工作站需要打開反病毒軟件專用的通訊端口(UDP15000)。可以使用針對(duì)客戶端的防毒軟件KAVforworkstation,自動(dòng)和強(qiáng)制地保護(hù)客戶端的工作站。1總部配備專業(yè)網(wǎng)絡(luò)安全管理人員，通過(guò)防毒集中控制系統(tǒng)對(duì)上述防毒產(chǎn)品進(jìn)行集中維護(hù)管理、控制和更lKaspersky每小時(shí)一次更新病毒庫(kù)，每次更新數(shù)據(jù)量約3-20K,對(duì)網(wǎng)絡(luò)應(yīng)用的影響極小。1在xxx市xx