《网络工程规划与设计课件李健项目四子项目二任务6信息系统等级保护设计》由会员分享，可在线阅读，更多相关《网络工程规划与设计课件李健项目四子项目二任务6信息系统等级保护设计（44页珍藏版）》请在金锄头文库上搜索。
1、1,项目四 花都县电子政务外网规划与设计,任务六 电子政务外网信息系统安全保护设计,任务三 电子政务外网IP规划,任务一 电子政务外网网络需求获取,任务五 网络中心规划与设计,任务四 电子政务外网路由与MPLS VPN设计,任务七 外网平台应用系统规划与项目预算,任务二 电子政务外网拓扑结构设计,2,知识回顾：网络中心规划与设计,1、 网络中心环境设计,3、 存储备份系统规划,2、网络中心服务器规划,3,引入任务,1、 政务外网安全体系架构与信息安全系统应用,2、花都县政务外网信息系统安全方案设计,4,1、 政务外网安全体系架构与信息安全系统应用,5,电子政务网基本安全框架,6,政务外网安全体
2、系架构,6,7,加快电子政务外网等级保护工作文件,8,国家电子政务外网电子认证服务管理暂行办法,第 8页 / 共 4页,9,电子政务外网信息系统定级,10,外网当前网络主要存在的问题,10,11,电子政务外网安全保障体系,安全保障体系,网络信任体系,网络安全防护体系,安全服务体系,基,于,桥,CA,的,互,联,互,通,PKI/,CA,证,书,管,理,系,统,密,码,服,务,管,理,体,系,密,钥,管,理,服,务,物,理,层,安,全,传,输,层,安,全,系,统,层,安,全,管,理,层,安,全,安,全,咨,询,安,全,评,估,安,全,加,固,安,全,培,训,安全管理体系,应,用,层,安,全,安全策
3、略,管理制度,法律法规,技术标准,网络信任,网络安全防护,安全服务,基,于,桥,CA,的,互,联,互,通,PKI/,CA,证,书,管,理,系,统,密,码,服,务,管,理,密,钥,管,理,服,务,物,理,层,安,全,传,输,层,安,全,系,统,层,安,全,管,理,层,安,全,安,全,咨,询,安,全,评,估,安,全,加,固,安,全,培,训,信息安全基础设施,安全管理机制,应,用,层,安,全,安全策略,管理制度,法律法规,技术标准,标准规范与风险评估,12,电子政务外网安全系统重点建设内容,网络安全防护系统 划定安全域，实施安全等级保护, 建设网络防护子系统、因特网出口隔离管理子系统等； 网络信任系
4、统 按照国家网络信任体系建设的统一规划，在国家信息安全主管部门的指导下，建设顶层认证中心(根CA)和证书审核注册中心(RA)；构建外网网络信任系统 安全管理系统，建设中央和省两级安全管理中心, 制订安全标准规范, 建立安全管理和服务机制,13,电子政务外网安全域划分示意图,14,实名制安全准入， 实现终端安全,安全行为审计， 全面管理用户行为,安全域边界隔离，实现分级分域管理,网络授权， 控制指定的人访问指定的业务,基于安全域的信息系统安全方案设计,15,基于安全域的信息系统安全方案设计,应用安全域解决方案拓扑图,16,应用安全域解决方案主机安全准入,身份合法的人才可接入网络,健康的主机才可接
5、入网络,合法操作的主机才可使用网络,17,应用安全域解决方案用户行为审计1优盘认证,对被认证的U盘管理员可以选择对认证过的U盘做数据保护,可以设定认证U盘的有效期,避免病毒通过移动存储设备传播,18,应用安全域解决方案用户行为审计2访问日志,用户所有操作均可记录在案,19,应用安全域解决方案用户行为审计3网络实名,准入： 动态的自动绑定UID+MAC+IP+PORT，确保入网用户身份合法、主机标识和网络标识真实可信,实现“网络实名制”,出现非法言论等行为，快速定位到人,准出： 基于用户身份的访问权限控制， 基于用户身份带宽管理和流量计费,准入和准出一体化 统一的管理平台统一的账号密码 认证合二
6、为一、用户自主选择可方便切换,20,电子政务外网的安全区域划分,数据中心安全域划分三个安全子域 安全管理中心 资源共享中心/省直服务器群 托管门户站群 网络接入安全域划分两个安全子域 省核心城域网安全域 广域接入网安全域,21,核心业务区（三级）,安全管理区（三级）,核心交换区,NIDS,流量控制,终端接入区,运营商A,运营商B,互联网接入区,VPN接入 入网审计,数据交换区（三级）,交换 服务器,安全域 控制卡,数据存储区（三级）,一般 业务系统,防篡改 系统,认证 服务器,漏洞 扫描,终端管理 服务器,网络审计 系统,存储系统,资料下载 服务器,信息发布 服务器,其他应用 服务器,财务系统
7、、资产管理系统、人事系统,重要人员 接入区,网络服务区（二级）,内部办公系统区（三级）,重要办公系统区（四级）,行业或部门专有系统,关键应用系统不被攻击；数据不被窃取或被修改。,应用安全域解决方案安全域边界隔离逻辑安全域,22,应用安全域解决方案同一时刻访问同一安全域,安全管理区（三级）,核心交换区,NIDS,流量控制,终端接入区,运营商A,运营商B,互联网接入区,VPN接入 入网审计,数据交换区（三级）,交换 服务器,安全域 控制卡,数据存储区（三级）,一般 业务系统,防篡改 系统,认证 服务器,漏洞 扫描,终端管理 服务器,网络审计 系统,存储系统,资料下载 服务器,信息发布 服务器,其他
8、应用 服务器,重要人员 接入区,网络服务区（二级）,核心业务区（三级）,重要办公系统区（四级）,行业或部门专有系统,防常规木马，特种木马用其他方式。,财务系统、资产管理系统、人事系统,内部办公系统区（三级）,23,应用安全域解决方案根据身份做应用授权,内部办公系统区（三级）,网络服务区（二级）,核心业务区（三级）,重要办公系统区（四级）,行业或部门专有系统,服务器不再被恶意攻击，也不会被非法用户窃取信息,24,对优盘等外设进行控制，明确只有指定的优盘可以用在指定的机器上，杜绝了敏感信息泄漏的最大源头。 建立安全的访问路径，逻辑上使网络中仅存在用户和应用系统两个主体，避免了数据被窃取、被篡改 同
9、一时间只能访问一个安全域，避免了大部分的木马攻击。 根据用户身份在网络层授权，使非授权用户无法找到服务器，从而避免攻击。 特有的安全域控制卡，实现无客户端情况下的认证、授权，部署简便。 统一互联网安全解决方案，实现外网接入用户做到事前认证，事中监测，事后审计的外网安全接入。,应用安全域解决方案特点,25,2、花都县政务外网信息系统等级保护设计,26,花都县政务外网信息系统等级保护设计,（1）政务外网等级保护安全整体规划方案 电子政务外网做国家政务网络系统的重要部门，承载着互联网访问窗口、对公众提供信息化交互服务。为确保后续的发展要求，此次建设总体的安全体系按照三级的规范来设计制定。 电子政务外
10、网网络安全主要关注网络结构、网络边界以及网络设备自身安全等方面，具体的控制点包括:结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。,27,信息系统等级保护设计,按照信息系统安全等级保护基本要求中三级网络安全要求,电子政务外网安全保护整体解决方案见下表所示。,28,信息系统等级保护设计,29,信息系统等级保护设计,30,信息系统等级保护设计,31,信息系统等级保护设计,32,信息系统等级保护设计,33,信息系统等级保护设计,34,信息系统等级保护设计,35,信息系统等级保护设计,（2）WEB服务防篡改设计 电子政务数据中心政务外网通过WEB的方式，
11、将重要的信息和数据进行公开发布，而管理中心特殊的政府职能，就决定了其WEB站点必将成为黑客关注的焦点。目前，而针对主页系统的攻击包括篡改、拒绝服务、恶意脚本、信息泄露等攻击，常见的防护手段是防火墙、入侵检测和防病毒来，在采纳上述三种技术之上，如果对主页内容进一步进行防护，那将大大降低攻击的成功率，进一步提升WEB应用的安全性，这种技术就是主页防篡改。,36,信息系统等级保护设计,WEB服务防篡改解决方案,37,信息系统等级保护设计,（2）WEB服务防篡改设计 通过WEB防火墙能有效进行webshell 的检测、过滤与侦测、监控 通过单一WAF设备支持多个网站管理员分别配置管理防护策略，并提供独
12、立的攻击事件报警、分析日志与报表； WEB防火墙预置了攻击防御策略；设备上线，无需配置即可防御绝大多数攻击；同时也提供白名单功能，供高级客户使用，达到有效防止网页篡改。,38,信息系统等级保护设计,（3）内部访问控制及安全审计规划 要对各类系统产生的安全日志实现全面、有效的综合分析，就必须为安全管理员建立一个能够集中收集、管理、分析各种安全日志的安全审计管理中心，使网络管理员不用像以前那样从庞杂的日志信息中手工搜寻网络入侵的行为，为管理员提供一个方便、高效、直观的审计平台，大大提高安全管理员的工作效率和质量，更加有效地保障网络的安全运行。 主要从接入安全管理、安全审计、日志审计三个方面进行设计
13、。,39,信息系统等级保护设计,（3）内部访问控制及安全审计规划 接入安全管理： 电子政务外网信息系统中有许多核心服务器系统、网络系统、应用系统和数据库系统等，这些系统的日常维护和管理都需要相关人员包括第三方人员的操作，这些维护操作的对象是核心系统，操作人员权限相对都是超级权限，带来的安全风险更大，所以对这些核心系统的维护操作需要专业的安全内控系统进行必要的授权、管理和审计，防止未授权的访问和误操作，对核心系统的维护人员的所有行为进行记录和展现，以备审查。,40,信息系统等级保护设计,（3）内部访问控制及安全审计规划 安全审计： 电子政务外网网络中普通用户，网络中有大量的访问和数据包被传递，如
14、何在这些访问中发现存在的安全隐患，除了利用入侵防御系统进行实时监测以外，还需要有一种手段，可以对访问过程进行还原在发生安全事故时，通过对访问过程的还原，一方面能有效发现系统中可能存在的安全隐患，另一方面还为安全事故的事后处理提供证据。,41,信息系统等级保护设计,（3）内部访问控制及安全审计规划 日志审计： 针对电子政务外网信息系统，网络中各种安全设备（防火墙、 IDS 系统、病毒检测等）、操作系统（包括 Windows 和 Unix ）、应用服务（ email、 www 、 ftp 、 DNS ）等都可产生大量的审计数据。这些日志数据详实地记录了系统和网络的运行事件，是安全审计的重要数据。这
15、些日志信息对于记录、检测、分析、识别各种安全事件和威胁有非常重要的作用。但由于目前网络攻击的手段越来越多样，攻击方法越来越隐蔽，单纯依靠这些彼此孤立的日志记录和简单的局部分析已经无法满足网络安全监测的目标。,42,深化任务技能训练,1.讲解技能训练任务单5 2.下发技能训练任务书5 3.学生按照技能训练任务书4的相关要求完成靳江市电子政务外网逻辑拓扑结构设计与网络链路选择 4.学生填写技能训练检查单5 5.依据技能训练任务考核5的要求，采取自评、小组互评、教师评价的方式对学生完成的技能训练作品进行评价 6.教师点评学生技能训练作品,43,归纳总结、任务拓展,1.政务外网安全体系架构与信息安全系统应用。 2.花都县政务外网信息安全方案设计。 3. 分析省级电子政务外网、省级金融行业网络安全规划与设计。,
