《信息系统网络安全设计方案培训资料》由会员分享，可在线阅读，更多相关《信息系统网络安全设计方案培训资料（117页珍藏版）》请在金锄头文库上搜索。
1、内外网安全等级保护建设项目初步设计方案 编制单位： 编制时间： 二一五年三月目录1.信息安全概述6什么是信息安全？6为什么需要信息安全61.1 安全理念71.1.1系统生命周期与安全生命周期71.1.23S安全体系以客户价值为中心81.1.3关注资产的安全风险91.1.4安全统一管理91.1.5安全 = 管理 + 技术101.2 计算机系统安全问题101.2.1 从计算机系统的发展看安全问题111.2.2 从计算机系统的特点看安全问题112.物理安全122.1 设备的安全123.访问控制163.1访问控制的业务需求163.2用户访问的管理173.3用户责任193.4网络访问控制203.5操作系
2、统的访问控制243.6应用系统的访问控制283.7系统访问和使用的监控293.8移动操作及远程办公324.网络与通信安全344.1网络中面临的威胁345.系统安全设计方案445.1系统安全设计原则445.2建设目标455.3总体方案465.4总体设计思想475.4.1内网设计原则475.4.2有步骤、分阶段实现安全建设485.4.3完整的安全生命周期495.5网络区域划分与安全隐患496.0网络安全部署49保护目标49威胁来源49安全策略506.1防火墙系统516.1.1防火墙系统的设计思想516.1.2 防火墙的目的526.1.3 防火墙的控制能力536.1.4 防火墙特征536.1.5 第
3、四代防火墙的抗攻击能力556.1.6 防火墙产品的选型与推荐566.2入侵检测系统616.2.1什么是入侵检测系统616.2.2如何选择合适的入侵检测系统616.2.3IDS的实现方式-网络IDS626.2.4IDS的实现方式-主机IDS636.2.5基于网络的入侵检测系统的主要优点有：646.2.6入侵检测系统的设计思想656.2.7入侵检测产品的选型与推荐666.3漏洞扫描系统716.3.1漏洞扫描系统产品选型与推荐716.3.2漏洞扫描系统的部署方案736.4网络信息监控与取证系统746.4.1网络信息监控与取证系统产品的选型与推荐746.4.2网络信息监控与取证系统的部署方案776.5
4、内部安全管理系统（防水墙系统）786.5.1内部安全管理系统产品选型与推荐796.5.2内部安全管理系统的部署方案856.6其他计算机系统安全产品介绍866.6.1天镜系漏洞扫描866.6.2数据库审计系统896.6.3iGuard网页防篡改系统936.6.4防垃圾邮件网关996.6.5集中安全管理平台 GSMDesktop 7.11066.6.6中软运行管理系统2.0R21101.信息安全概述什么是信息安全？信息是一家机构的资产，与其它资产一样，应受到保护。信息安全的作用是保护信息不受大范围威胁所干扰，使机构业务能够畅顺，减少损失及提供最大的投资回报和商机。信息可以有多种存在方式，可以写在纸
5、上、储存在电子文档里，也可以用邮递或电子手段发送，可以在电影上放映或者说话中提到。无论信息以何种方式表示、共享和存储，都应当适当地保护起来。因此信息安全的特征是保留信息的如下特性： 保密性(confidentiality)：保证信息只让合法用户访问； 完整性(integrity)：保障信息及其处理方法的准确性（accuracy）、完全性（completeness）； 可用性(availability)：保证合法用户在需要时可以访问到信息及相关资产。实现信息安全要有一套合适的控制（controls），如策略（policies）、惯例(practices)、程序(procedures)、组织的机构
6、(organizational structures)和软件功能(software functions)。这些控制需要被建立以保证机构的安全目标能够最终实现。为什么需要信息安全信息及其支持进程、系统和网络是机构的重要资产。信息的保密性、完整性和可用性对机构保持竞争能力、现金流、利润、守法及商业形象至关重要。但机构及其信息系统和网络也越来越要面对来自四面八方的威胁，如计算机辅助的诈骗、间谍、破坏、火灾及水灾等。损失的来源如计算机病毒、计算机黑客及拒绝服务攻击等手段变得更普遍、大胆和复杂。机构对信息系统及服务的依赖意味着更容易受到攻击。公网和专网的互联以及信息资源的共享增加了访问控制的难度。分布式
7、计算的趋势已经削弱了集中管理的效果。很多信息系统没有设计得很安全。利用技术手段获得的安全是受限制的，因而还应该得到相应管理和程序的支持。选择使用那些安全控制需要事前小心周密计划和对细节的关注。信息安全管理至少需要机构全体员工的参与，同时也应让供应商、客户或股东参与，如果有必要，可以向外界寻求专家的建议。对信息安全的控制如果融合到需求分析和系统设计阶段，则效果会更好，成本也更便宜。1.1 安全理念绝对安全与可靠的信息系统并不存在。一个所谓的安全系统实际上应该是“使入侵者花费不可接受的时间与金钱，并且承受很高的风险才能闯入”系统。安全性的增加通常导致企业费用的增长，这些费用包括系统性能下降、系统复
8、杂性增加、系统可用性降低和操作与维护成本增加等等。安全是一个过程而不是目的。弱点与威胁随时间变化。安全的努力依赖于许多因素，例如职员的调整、新业务应用的实施、新攻击技术与工具的导入和安全漏洞。1.1.1 系统生命周期与安全生命周期系统生命周期通常由以下阶段组成：概念与需求定义、系统功能设计、系统开发与获取、系统实现与测试、系统的持久操作支持和最终系统处理。在过去的几年里，实现系统生命周期支持的途径已经转变，以适应将安全组成部分和安全过程综合到系统工程过程中的需要。与系统生命周期相对应，安全生命周期由以下几个阶段构成：安全概念和需求定义、安全机制设计、安全集成与实现、安全管理解决方案和安全风险分
9、析。涉及到任何功能和系统级别的需求，通过理解安全需求、参加安全产品评估并最终在工程设计和实现系统等方式，应该在生命周期过程的早期便提出安全问题。近年来发现，在系统开发之后实现系统安全非常困难，而且已经有了不少教训。因此，必须在发掘需求和定义系统时便考虑安全需求。为了在系统工程过程中有效地集成安全方法与控制，设计者与开发者应该调整现有的过程模型，以产生一个交互的系统开发生命周期。该周期更关注使系统获得安全性的安全控制和保护机制。1.1.2 3S安全体系以客户价值为中心3S安全体系由三部分组成：安全解决方案（Security Solution）、安全应用（Security Application）
10、和安全服务（Security Service）。这三部分又都以客户价值为中心。安全解决方案（Security Solution）包括安全解决方案的设计与实施，安全产品选型与系统集成。安全应用（Security Application）包括根据用户的实际应用环境，为用户定制应用安全系统。安全服务（Security Service）则贯穿了整个安全建设的始终，从最初的安全风险评估与风险管理，帮助用户制定信息安全管理系统，系统安全加固，紧急安全响应，到安全项目实施后的安全培训教育。附图1. 3S安全体系1.1.3 关注资产的安全风险安全技术涉及到方方面面的问题。对各种系统和设备的安全管理必然是一个复
11、杂的、高负荷的工作。在若干的安全事件中，我们关注的是那些针对关键资产的安全漏洞发起的攻击，这些攻击才会对资产形成威胁。因此，对于企业资产和资产风险的管理应该是整个安全管理的第一步，即通过对这些资产的安全评估，了解资产安全状况的水准。这些工作是其他安全保护技术的基础，也是有效管理企业IT安全的基石。安全弱点管理平台可以智能发现关键IT业务资产和经营这些资产的技术（操作系统、应用程序、硬件版本等等），将其与确认的弱点进行对比，并提供包含逐步修补指导说明的基于风险的弱点管理任务列表，指导IT管理员合理及时处理安全弱点，从而显著地降低风险。安全对抗平台对关键网段进行监视，并且可以随时准备转移到安全事件
12、的突发区，进行事件分析，帮助管理员和专家抵抗、反击攻击者。在安全事件发生后，可以重建安全事件过程、恢复关键数据，能够极大地提高系统的生存能力，并且起到威慑攻击者的目的。1.1.4 安全统一管理安全事件不是独立的、偶然的。一次成功的攻击事件，必然会在网络的相关设备和系统中有所反应。不论是人为发起的攻击，还是来自病毒的攻击行为，都可以从防火墙、路由器、交换机、入侵检测和主机系统中获取相关的证据。攻击的证据零散地分布在这些系统中，如果能够有效地、智能地加以整合，我们就可以清晰地了解到整个安全事件的过程，帮助管理员更好地管理信息系统的安全。来自管理方面的需求也迫切地需要一个安全统一管理平台。从广义的角
13、度来看，网络设备应该也属于网络安全的一部分。在一个大型的网络中，对于分布在不同网段、不同地理位置的网络设备、安全设备的管理会消耗管理员大量的精力。而安全系统往往会部署在异构平台上，对于这些异构平台的掌握、对于安全系统的掌握也会浪费管理员的时间和精力。安全统一管理自动整合来自运行路由器、交换机、入侵检测、防病毒、防火墙等安全产品的事件数据，同时通过其客户端以及SAPI有效收集第三方安全检测产品产生的安全事件数据，并将其存储在中心数据库中以便方便地进行访问和编写报表。管理员使用安全统一管理平台管理、监视、报警和报告跨平台的用户活动信息。有了这些信息，系统管理员将可以在出现可能对关键电子商务系统造成
14、负面影响的袭击和问题之前，立即做出反应。1.1.5 安全 = 管理 + 技术信息和支持进程、系统以及网络都是重要的业务资产。为保证企业富有竞争力，保持现金流顺畅和组织赢利，以及遵纪守法和维护组织的良好商业形象，信息的保密性、完整性和可用性是至关重要的。很多信息系统在设计时，没有考虑到安全问题。通过技术手段获得安全保障十分有限，必须辅之以相应的管理手段和操作程序才能得到真正的安全保障。确定需要使用什么控制措施需要周密计划，并对细节问题加以注意。作为信息安全管理的最基本要求，企业内所有的雇员都应参与信息安全管理。信息安全管理还需要供应商、客户或股东的参与。也需要参考来自组织之外的专家的建议。如果在
15、制定安全需求规范和设计阶段时就考虑到了信息安全的控制措施，那么信息安全控制的成本会很低，并更有效率。1.2 计算机系统安全问题目前，计算机系统和信息安全问题是IT业最为关心和关注的焦点之一。据ICSA统计，有11的安全问题导致网络数据被破坏，14导致数据失密，15的攻击来自系统外部，来自系统内部的安全威胁高达60。由于受到内部心怀不满的职工安放的程序炸弹侵害，Omega Engineering公司蒙受了价值300万美元的销售收入和合同损失，由于受到来自网络的侵袭，Citibank银行被窃了1000万美元，后来他们虽然追回了750万美元损失，但却因此失去了7的重要客户，其声誉受到了沉重打击。这只是人们知道的两个因安全问题造成巨大损失的例子，实际上，更多的安全入侵事件没有报告。据美国联邦调查局估计，仅有7的入侵事件被报告了，而澳大利亚联邦警察局则认为这个数字只有5。因为许多入侵根本没有被检测到，还有一些受到
