《博物馆信息安全设计方案培训资料》由会员分享，可在线阅读，更多相关《博物馆信息安全设计方案培训资料（39页珍藏版）》请在金锄头文库上搜索。
1、博物馆信息安全设计方案北京易凯信息技术有限公司2015年5月19日目 录第1章 概述11.1 项目背景11.2 项目目标11.3 建设的必要性和可行性1第2章 现状分析22.1 办公内网网络现状22.2 互联外网网络现状2第3章 需求分析3第4章 信息安全总体方案设计44.1 设计原则44.2 设计依据54.2.1 政策文件54.2.2 基础类标准54.3 总体系统结构设计6第5章 信息安全详细建设方案85.1 办公内网信息安全保护设计95.1.1 安全区域划分与结构优化95.1.2 网络边界防护及访问控制125.1.3 网络安全审计系统135.1.4 入侵防御系统155.1.5 病毒恶意代码
2、防范165.1.6 运维堡垒主机系统185.1.7 数据库审计系统195.1.8 漏洞扫描系统205.1.9 安全运营管理平台215.2 互联外网信息安全保护设计235.2.1 安全区域划分与结构优化235.2.2 网络边界防护及访问控制265.2.3 网络安全审计系统275.2.4 入侵防御系统295.2.5 病毒恶意代码防范305.2.6 运维堡垒主机系统325.2.7 上网行为管理系统335.2.8 漏洞扫描系统345.2.9 安全运营管理平台35-36-第1章 概述1.1 项目背景1.2 项目目标1.3 建设的必要性和可行性第2章 现状分析2.1 办公内网网络现状2.2 互联外网网络现
3、状第3章 需求分析第4章 信息安全总体方案设计4.1 设计原则本方案设计遵循以下设计原则：u 体系化的设计原则系统设计应充分考虑到各个层面的安全风险，构建完整的安全防护体系，充分保证系统的安全性。同时，应确保方案中使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性。u 产品的先进性原则信息系统的安全保障体系建设意义深远，对所需的各类安全产品提出了很高的要求。必须认真考虑各安全产品的技术水平、合理性、先进性、安全性和稳定性等特点，共同打好工程的技术基础。u 总体规划、分步建设原则信息系统安全保障体系的建设是一项长期的工程，并非一蹴而就解决所有安全问题。因此，在实际建
4、设过程中要根据实际情况分轻重缓急，分期、分批的进行部署。u 标准化和规范化严格遵循国家有关等级保护的安全法律法规和技术规范要求，对项目的整体建设和实施进行体系化设计，充分体现标准化和规范化。u 技术的先进性和成熟性在设计理念、技术体系、产品选型等方面实现安全体系先进性和成熟性的统一。采用国内先进实用的安全技术和安全产品，选择目前和未来一定时期内有代表性和先进性的成熟安全技术，既保证当前系统的高安全可靠，又满足系统在生命周期内有持续的可维护和可扩展性。u 安全性原则安全管理体系建设是信息安全建设中重点建设内容之一，严格遵循国家有关信息系统安全保密政策、标准和规范，使信息系统在网络、应用、数据等多
5、层面实现有力的安全保障。u 一致性原则在信息系统现状的基础上，通过体系化设计满足项目建设的功能和性能、安全可靠性、灵活性、开放性等系统建设目标，保证系统从需求到设计，设计到建设实施，建设实施到运行管理的可追溯性、可验证性。u 经济性原则在本项目方案设计过程中，充分利用现有资源，在可用性的前提条件下充分保证系统建设的经济性，提高投资效率，避免重复建设。4.2 设计依据本次建设中，各项工作及产出指标以下列政策文件和规范为准。4.2.1 政策文件n 信息系统等级保护安全设计技术要求（GB/T2010-25070）n 信息安全等级保护管理办法公通字200743号n 国家电子政务工程建设项目管理暂行办法
6、发展改革委令200755号n 国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）n 信息安全等级保护工作的实施意见公通字200466号n 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知公信安2010303号n 关于开展信息安全等级保护安全建设整改工作的指导意见公信安20091429号4.2.2 基础类标准n 计算机信息系统安全保护等级划分准则（GB17859-1999） n 信息系统安全等级保护基本要求（GB/T22239-2008）4.3 总体系统结构设计信息系统总体网络结构设计图如下：图 41总体系统架构设计图第5章 信息安全详细建设方案安全技术体系设计
7、的主要目的是以等级保护的防护要求为依据，在充分利用现有网络和安全设备的基础上，采购必要的安全产品，实现业务分域保护、优化网络结构和建立健全安全防御机制。5.1 办公内网信息安全保护设计5.1.1 安全区域划分与结构优化不同业务系统之间缺少明确的边界，不利于根据业务重要性采取不同等级的安全防护措施。通过进行安全域划分，实现有效的访问控制机制，对于来自不同“业务区”的安全威胁进行安全隔离。5.1.1.1.1 安全区域划分与结构优化设计结合系统面临的风险、保护等级并综合业务访问数据流向，将办公内网划分为安全接入区、核心区、数据区、对外服务器区、对内服务器区、藏品区、办公区、无线区、票务区、触摸屏区、
8、触摸屏展示区、微信展示区、北京音乐区和展陈区和安全管理区安全域。各安全域的描述如下：n 安全接入区：提供办公内网到互联外网的安全接入。n 对内服务器区：承载办公内网各大重要业务系统。n 对外服务器区：对外提供数字图书馆、票务、微信等服务。n 数据域：承载各大重要业务系统的数据库服务器。n 安全管理域：主要承载的是安全管理相关的系统或设备，包括漏洞扫描、堡垒主机、防病毒和安全运营管理平台服务器等。n 核心域：承载核心交换机，实现各区域间的数据快速交换功能。n 品藏区：各种重要品藏服务器及终端。n 办公区：内部办公终端及服务器。n 无线区：用户无线上网接入。n 票务区、触摸屏区、触摸屏展示区、微信
9、展示区、北京音乐区和展陈区：对外操作终端。5.1.1.1.2 安全区域划分结构图办公内网系统整体网络结构调整后如下图所示图 51整体网络系统结构图5.1.2 网络边界防护及访问控制 按照分域分级保护思路，根据信息系统等级保护级别，结合各防护对象的不同安全防护需求划分安全域，各安全域之间通过部署防火墙和网络设备的访问控制列表，实现安全域之间的安全隔离和访问控制。各安全域的访问控制策略，通过在各区域的边界防火墙和交换机上设置访问控制策略，只允许特定授权的终端用户访问该安全域；通过在数据交换系统（网闸）上进行策略设置，控制办公内网和互联外网间的数据单向传输。5.1.2.1.1 办公内网边界防护及访问
10、控制设计办公内网边界防护如下：1. 在办公内网和互联外网间安全接入区部署2台单向网闸，只允许数据从特定服务器单向向外联单位访问服务器推送数据，反之则拒绝，部署2台防病毒网关实现对两网间的病毒防护；2台网闸采用双机热备的方式部署，提高核心链路的可靠性；2. 在藏品区边界部署2台防火墙，启用单向访问控制策略， 2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；3. 在数据域边界部署2台防火墙，2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；4. 在对内和对外服务器区边界各部署2台防火墙， 2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；5. 在无线区、办公区、票务区、触摸屏区
11、、触摸屏展示区与核心区间部署2台防火墙，实现对各区域的边界划分与防护；6. 在微信展示区、北京音乐区和展陈区与核心区间部署2台防火墙，实现对各区域的边界划分与防护。5.1.2.1.2 边界防护系统部署图 52系统边界防护示意图5.1.3 网络安全审计系统结合办公内网整体安全防护需求，对办公内网网络流量和用户行为进行安全审计，防止滥用网络资源和非授权访问。通过网络安全审计系统对网络访问行为进行采集、分析和识别，实时监控网络访问情况，记录网络安全事件，发现安全隐患。5.1.3.1.1 网络安全审计系统设计通过部署网络安全审计系统实现对网络访问行为的采集、分析和识别，记录网络安全事件，发现安全隐患。
12、在核心交换机上部署网络安全审计系统引擎，通过在交换机上配置镜像端口的方式将流经交换机上的所有数据映射至网络安全审计系统，网络安全审计系统对抓到的包进行分析、匹配、统计，从而实现网络安全审计，同时在安全管理区部署安全审计管理中心。5.1.3.1.2 网络安全审计系统部署图 53网络安全审计系统部署示意图网络安全审计系统执行以下的安全策略：l 对访问应用系统安全域的访问行为进行审计。审计内容主要包括数据传输（FTP协议）、网页浏览（HTTP协议）、电子邮件收发（SMTP、POP3、IMAP协议）、远程登陆（TELNET）、网上邻居（NETBIOS协议）等。l 使用网络安全审计系统记录事件发生的时间
13、、地点、类型、主体和结果（成功或失败），并将所有审计的内容通过SYSLOG发送到部署在安全管理安全域的安全审计服务器上进行汇总和分析。安全审计服务器配有500G以上的存储空间，可确保审计记录能够保存至少六个月。安全运维人员每周对存储空间进行一次检查，当存储空间少于20%时，及时增加存储空间，防止由于存储空间溢出造成审计记录的丢失。l 通过三权分立机制对网络安全审计系统进行严格控制，系统管理员主要负责设备的日常维护，安全管理员主要负责数据分析和报告编制，审计管理员主要负责对系统操作行为的审计和分析，确保任何人均无法单独中断审计进程，无法删除、修改或覆盖审计记录。l 审计管理员每周输出所有审计设备
14、的审计报表，同时对审计报表进行分析，及时发现可疑操作行。5.1.4 入侵防御系统通过在办公内网部署入侵检测系统及时发现各种网络攻击、破坏和异常访问等入侵行为，并在第一时间采取相应的防护手段，如记录证据用于跟踪、恢复、及时响应等。在办公内网核心交换机部署入侵检测系统，通过在核心交换机上配置镜像端口的方式将流经核心交换机上的所有数据映射至入侵检测系统。5.1.4.1.1 入侵检测系统设计办公内网入侵检测系统安全策略如下：l 网络行为检测：使用细粒度检测技术、协议分析技术、误用检测技术、协议异常检测等技术，对基于TCP/IP的各种网络行为进行实时检测，有效防止各种攻击和欺骗。l 蠕虫检测：实时跟踪当
15、前最新的蠕虫事件，针对当前已经发现的蠕虫及时的提供相关的事件规则。存在漏洞但是还未发现相关蠕虫事件的，通过分析其相关漏洞提供相关的入侵事件规则，最大限度地解决网络蠕虫发现滞后问题。l 监控管理：通过入侵检测系统提供的控制台，监控入侵检测系统收集的数据，并将这些数据进行分析，生成便于理解的报表，供安全管理人员使用。l 异常报警：入侵检测系统在发现入侵行为时可以通过多种方式进行报警，如报警声音、警示、报警邮件等。l 日志记录：对发现的入侵行为进行记录，并妥善保管记录信息。l 入侵检测库升级：入侵检测系统内置的检测库是决定系统检测能力的关键因素，因此每月对入侵检测系统库进行一次升级。由于办公内网内网与互联网完全安全隔离，入侵检测系统无法通过互联网上的厂商升级网站进行在线升级，因此通过运维人员手动升级，确保入侵检测库的完整性和有效性。5.1.4.1.2 办公内网入侵检测系统部署部署示意图如下所示：图 54总中心
