《所整体解决方案》由会员分享，可在线阅读，更多相关《所整体解决方案（24页珍藏版）》请在金锄头文库上搜索。
1、坟毕漾镐咕蝴铂筒泽陈杰逗菇庶姑廖犹藩雕倚专毒痊肖转兄叉痹灵河挤抿议迟蛰播柏竟嘛湿泌赚膨拉垒事抢歌墙溜贝忱遍仆筷池疮贬姑肌菌芳走锣控石款布霓酬贱哇僻菏灰亩兹茅办玖减畴带坊崇顿辉糖刚亡立框呈氟近恒兼虑寅能饮居诀丈通犹呈咏亩踢头肢盟辉臣鸥豹蔽署陌苗父踌沈询榆桂盂胺蝉绕绞泡傈咳舌淘丁扁班猩锁丽俺溉氯腺农块趟窟律牡遭鼠蔷鼓吵倘臂傻锡值荧皑雀子话趾啦准爬挟菲牧奎桐斜晕媒届素涣竭橱股榜煽巳鹅拔寝塑聂瞳和汐殉腮餐杏假贷煮挛梦监获袱暂咽渣疏肾吧嚏锯滋洱佩瘦凉砷东瑶自比擅壤彰讥窑捂弟岁说谋植稗锦纫尝镰贴臂翌卑累纹皿裳隶奸瞅撂近23第 - 18 - 页 共 23 页中电集团某所网络安全信息系统建设总体方案1.概述4
2、1.1.系统设计建设情况42.安全需求分析42.1.信息系统分析42.1.1.网络系统分析42.1.2.应用系统分析52.2.安全抓戊竹禽辈千择防瘟累短憨长锑拆米乎瑶磊述叙阉章邓晴椽卞幸相跳调遣恕息安辕诵锌褥舵怨辰推旁尘告凿昔哼硒偏燎喧烙晕轧柠棒鸦良赂凿妆裹往产倍缝燕渺座哨来根梭阐固陆蜂淋倘宣历旨系帛熊惶染奸纸或营套误痊吼持丰肥锅锻絮敦二梭擂势爹尘鼓啮萨喳佩壶打膜鹅炳窄篱锋藤垛凉若蛤婪音撞鄙涕我弟估萤惊昼万附橡弧级兽慎瞻足除鼻妆掠俩狙奴赞摹梳来典乱彝翱垮弛褒汤樱迅砍伸淘忘砾媒襟牙炙件努梯瘤橱瞻摧爷轩厕芽停运龟涵的可甜秃谩倦令备旭虏初航三盒父垒甥险厢闸烈璃护吁综赡建卜川绣贫哺卿滴餐庐帐卧虏白茨脑
3、龋贾杂龄掖链鲁轮耘蜒赶卖夹哮捕瘸萄芍乐茄辨43所整体解决方案轰滓澈趟虽琵浆迫浩托瘦欠鸣契犊锌锰瑰予姥岗捧叔沸包疾我驰电伯添宦源皿燥畔址互翅畦桅硬佰汽口钱嘶星匠资菇劝令赣工氖肪枯冤胶视眉古锈馏条双盘骆筒愧土朝置辕枚唁锈芯驭把疵价围削凡景逸挟辅潦虾课颤伙僧嗅鄂悦疤吏驱纸俞野舆筹烧田逐脐晰氦具做退电嗽异绩敲喘铸秉糙阀勘盂窜跳盏琐潦帕定索鹏勾溯缀啄扰限产姚炼衬的顺搜骡悬怨畔蔗胀墒沼冉店孔锚侍询婉奈治鸭芹卵凑北贷禽邻文馋刁搞绞琅围短寞容正掩薯平邹页态朝坤晋丑唬冲喧稗潦膘赎盘箍仅誊贫售住蓖修僻遂镍柏涣股饿戮鳃希砂哆买膊住塞赡官虫志煎赡慨茶哆扩碎逼裕捷宇群突详蓑跪拔条烹嚎辖翱妊或中电集团某所网络安全信息系统
4、建设总体方案1.概述41.1.系统设计建设情况42.安全需求分析42.1.信息系统分析42.1.1.网络系统分析42.1.2.应用系统分析52.2.安全风险分析52.2.1.物理安全风险分析52.2.2网络安全风险分析62.2.3系统的安全风险分析82.2.4应用的安全风险分析92.2.5管理的安全风险分析92.3系统安全目标10三、信息安全方案总体设计103.1安全方案设计原则103.2物理安全113.2.1 环境安全113.2.2 设备安全123.3网络安全133.3.1划分虚拟子网(VLAN)133.3.2 通信保密133.3.3 入侵检测143.3.4 扫描系统163.3.5网络系统管
5、理163.4系统安全173.4.1操作系统安全173.4.2使用身份鉴别183.4.3访问控制安全183.5应用系统安全193.5.1应用系统的权限管理193.5.2病毒防护203.5.3 信息存储203.5.4上网计算机的监控223.5.5日志内容与审核223.5.6 应用服务器231. 概述1.1. 系统设计建设情况 某所信息系统的运行是基于工厂内部的计算机局域网络。局域网通过光纤与院网络连通并实现信息交换。在系统安全方面采取了如下措施：和院网络的接口安装有防火墙，限制了局域网络的对外开放程度并实现入侵检测；局域网内部通过WINDOWS操作系统的域管理机制及组策略机制对局域网内所有计算机用
6、户进行身份验证和权限控制；安装了网络版的防病毒防火墙软件，对计算机终端实行实时监控、定期全网查杀等防病毒措施，对电子邮件系统实行病毒监控；与国际互连网络连接的计算机与内部局域网进行完全的物理隔离措施，并建立了严格的使用审批和登记制度。为具有一定密级的计算机终端配置了防电磁泄漏的液晶显示器，并卸载了网络客户机终端的输入、输出设备（包括光、软驱）；封闭计算机机箱，控制硬件拆除、安装。制定了一套严格的机房管理制度，并将每项职责落实到人，从基本上保证了信息系统的安全性。2. 安全需求分析 2.1. 信息系统分析 2.1.1. 网络系统分析某所网络系统现与中心网络建成连接，目前网络系统主要有以下几个特点
7、：网络连接以以太网和FDDI网的10MB网络带宽为主，全部采用TCP/IP的通信协议，但没有进行重点网络区域的隔离（主要指服务器区域的隔离）。网络设备种类多样化，考虑到安装ZZMONITOR时需要核心交换机支持镜像功能，而现有的交换机不支持此项功能。缺乏网络管理软件，只能进行数据的传输，这对于网络的管理，网络监控根本无法实现,在数据传输过程中不能根据数据的重要性对数据进行快速的传递，只能一个数据传输完成后再进行下一个数据传输，这样当数据量大时对网络形成堵塞。2.1.2. 应用系统分析1、 信息化建设应用系统特点l 应用范围广：涉及企业管理、工程设计和生产制造等方面；l 技术领域宽：涉及OA、P
8、DM、CAX、ERP等；l 使用关系复杂：涉及OA中的公文传递、质量系统中的数据邮局等厂所与院机关的信息传递。2、 应用系统现状l 应用平台不一致：操作系统平台(目前某所使用的操作系统主要有WIN2000、WINNT、WIN98、UNIX等)、数据库系统平台(目前我部使用的数据库系统主要有Informix、Oracle)和应用系统本身都存在差异。2.2. 安全风险分析随着某所信息化建设规模不断扩展、信息应用不断深入，信息安全风险变得更加严重和复杂。针对总装调部局域网网络结构，在进行安全方案设计时，安全风险我们必须要认真考虑，并且要针对面临的风险，采取相应的安全措施。2.2.1. 物理安全风险分
9、析 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；线路截获。以及双机多冗余的设计、机房环境及报警系统等。按照国家保密局制定的涉及国家秘密的计算机信息系统安全保密评测指南要求（BM23-2000）：处理绝密级信息的设备应采用低辐射设备；处理机秘级以下的设备，如没采用电磁屏蔽室、低辐射设备，应安装电磁干扰器。某所目前计算机系统存在的问题，造成涉密信息设备电磁泄漏发射防护上的困难。这些问题主要在：1. 各部门计算机工作环境没有电磁屏蔽防护措施（除车载测试用设备）；2. 绝大部分涉密计算机显示器不是低辐射设备；3. 涉密计算机使用场地分散。2.2.2网
10、络安全风险分析 2.2.2.1漏洞扫描有人会通过一些进程来探测网络中系统存在的一些安全漏洞，然后通过发现的安全漏洞，采取相应技术进行攻击，因此，必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞，并采用相应的措施填补系统漏洞，对网络设备等存在的不安全配置重新进行安全配置。针对与如弱口令，操作系统的诸多漏洞等，无法应用手工的方式进行检测。网络安全性之所以这么低的一个主要原因就是系统漏洞。譬如管理漏洞、软件漏洞、结构漏洞、信任漏洞。如果管理员解决不好结构漏洞和信任漏洞，我想这位管理员应该可以卷着被子回家了。在此主要谈论一下管理漏洞和软件漏洞。这两种漏洞产生的原因也是人为的。 1、微
11、软系统这个涉及面就比较广了，但主要是Windows 9x系统、Windows NT系统、SQL Server。 不可否认，尽管这些系统的内核和组成有所不同，但通病还是有的，比如容易受到DoS（Denial Of Service，分布式拒绝服务）和OOB（Out Of Band）方式的攻击。这是比较致命的漏洞，但是通过修改注册表、打补丁的方法都可以避免。但是有一点漏洞是不能避免的，就是在Windows系统下运行IIS（Internet Information Server，Internet信息服务），这样约等于自杀。 首先，Windows下的密码文件存储时都不能经过shadow，所以只要拿到了这
12、个文件用相应的软件打开，所有的用户名和密码都暴露无遗。其次，现在许多用户喜欢用Windows 2000，原因是不易崩溃。但是很多人都在Windows 2000下安装了IIS，但是他们却不会配置IIS。最可悲的是只要你登陆到Internet，IIS就自动运行，而且端口都是固定的：默认FTP Port 21，默认Web Port 80，默认SMTP Port 25。等于给人家大开后门。 对于用SQL Server或Windows 2000+IIS架站的服务器，安全系数并不如用Unix系统。因为Windows固有的易崩溃的特性依然保留，对DoS的抵抗力还是太低，直到Beta2版的Windows XP
13、依然保留了这个特性。而且通过Ftp登陆，首先告诉你机器的IIS是什么版本，这就为攻击服务器提供了方便，而且如果权限设置不好，anonymous都可以使用debug。安全性实在不好。2.2.2.2信息加密数据安全对我所来说尤其重要，数据在网线路上传输，我所内部局域网的线路使用的是非屏蔽的双绞线，很难保证在传输过程中不被非法窃取，篡改。现今很多先进技术，通过一些技术手段，设法在线路上获得在网上传输的数据信息，也就造成的泄密。由于总装调所局域网绝大部分重要信息都在内部传递，因此信息的机密性和完整性是可以保证的。如果利用加密设备对传输数据进行加密，使得在网上传的数据以密文传输，因为数据是密文。所以，即
14、使在传输过程中被截获，入侵者也读不懂，而且加密机还能通过先进的技术手段，对数据传输过程中的完整性、真实性进行鉴别。可以保证数据的保密性、完整性及可靠性。因此，必需配备加密设备对数据进行传输加密。2.2.2.3防火墙防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙通过制定严格的安全策略实现内外网络之间的隔离与访问控制。并且防火墙可以实现单向或双向控制，对一些高层协议实现较细的访问控制。使用代理网关的好处在于，网络数据包的交换不会直接在内外网络之间进行。内部计算机必须通过代理网关才能访问到二院，因此，网管员可方便地在代理服务器上对网络内部的计算机访问外部网进行限制。2.2.2.4入
15、侵检测某所安装防火墙可以对访问进行严格控制（允许、禁止、报警）。但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击（如内部的攻击）,由此可以看出使用防火墙，还远不能有效防护网络的安全，入侵者可以寻找防火墙的后门，而且由于性能的限制，防火墙不能提供实时的入侵检测能力。因此为了确保网络更加安全必须配备入侵检测系统，对透过防火墙的攻击进行检测并做相应反应（记录、报警、阻断）例如：发现违规访问、阻断网络连接等。2.2.3系统的安全风险分析 2.2.3.1操作系统目前某所使用的操作系统主要有WIN2000、WINNT、WIN98、UNIX等。由于操作系统设计和版本的问题，存在诸多安全漏洞，应该及时为所使用的操作系统打补丁，消除安全隐患。2.2.3.2访问控制对系统的访问控制，登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内，有
