中交水运规划设计院网络安全建设方案

《中交水运规划设计院网络安全建设方案》由会员分享，可在线阅读，更多相关《中交水运规划设计院网络安全建设方案（16页珍藏版）》请在金锄头文库上搜索。

1、中交水运规划设计院内网安全管理解决方案北京圣博润高新技术有限公司2006年3月目录第一章 方案概况 331.1 概述 331.2.需求分析 33第二章 方案原则、依据及目标 552.1方案原则 552.2方案依据 552.3方案目标 66第三章 系统架构 883.1安全策略规划 883.2内网安全系统的建设 883.2.1内网审计9.9.3.2.3内网监控9.9.3.2.4详细的审计、分析与报告1.0103.2.5技术特色1.0.10第四章 系统应用部署和安全策略 13134.1系统部署 13134.1.2集中式部署1.3.134.1.2分布式管理部署1.3.134.2安全策略 14144.2

2、.1安全技术1.5.154.2.2安全管理策略1.6.16第一章 方案概况1.1 概述随着信息网络的迅速发展,在当今的信息时代，信息技术已经彻底改变我们的生活 和工作方式，也改变现行企事业单位的管理模式。作为信息的管理部门，必须考虑当 前技术的发展给我们的工作所带来的利益和威胁 .如何利用信息网络进行安全的通信， 同时保护计算机自身信息的安全性，成为当前网络安全和信息安全迫在眉睫的问题。针对日益严重的内部信息泄漏问题，FBI对484家公司调查显示。面对来自于公司 内部的安全威胁，85的安全损失是由企业内部原因造成的。对于很多国内企业来说， 这可能有点耸人听闻，但是，他们肯定遇到过类似的事情,由

3、于某一员工误操作造成公 司服务器上重要文档丢失；由于没有定义每位员工在系统内的访问权限，使本该由一 定级别的人员才能掌握的业务秘密泄露给竞争对手对于这些来自公司内部的安全 问题，不是靠单纯安装杀毒软件或防火墙就能解决的。1.2. 需求分析中交水运规划设计院的内部网络安全本质上是一种管理需求，目的是使中交水运 规划设计院的各项工作能够安全的进行，管理是主要方式。信息化工作模式建立在技 术含量较高的计算机及网络技术之上，在管理过程中仅仅依靠人力不能够满足网络安 全管理的需要，也不能够面对今后随着技术发展带来的更多安全需求，因此必须依靠 各种技术手段来为网络安全管理提供有效的工具，降低管理成本，提高

4、管理效率。具 体的内网安全问题可以归结为:缺乏有效的实时 IP/MAC 管理机制1 随着网络知识的普及，大量终端用户可以轻易的修改本机的 IP 地址，而网络管 理人员通过现有的技术并不能实时的发现这些操作，这样做会导致如下问题：2 1.一旦发生网络瘫痪或网络阻塞问题，网络管理人员一般通过终端计算机的 IP 地址进行查找，但如果用户修改了 IP地址就会造成无法及时发现问题源的现象，导致 解决问题的时间被延误。3 2. 如果用户修改的 IP 地址和网关或服务器冲突，就会造成网络瘫痪或服务失 效，同时网络管理人员无法对问题进行跟踪。4 3. 如果用户感染病毒，病毒有可能会自动修改用户的 MAC 地址

5、，就会导致该用户隐身于整个网络中，使整个网络存在一个看不见的漏洞。缺乏内部网络之间的网络访问控制中交水利规划院的网络已经很好的划分了 VLAN,但是对VLAN之间的访问控制没 有进行有效的设置，这样会导致如下问题：1.内部数据的不安全性,如果内部用户无意或有意对服务器段或其他网段进行 操作会对该网段的数据造成破坏。2如果内部用户感染病毒，病毒会肆无忌惮的传播到每个VLAN中。最大的安全等于最小的权限,这是网络安全的一条不变得法则。虽然中交水利 规划院的网络已经很好的划分了 VLAN,但是VLAN的划分存在配置复杂，设置相对死板 对网络管理人员的要求比较高。的划分存在配置复杂,设置相对死板,对网

6、络管理人员 的要求比较高。对一些造成网络性能下降的软件缺乏控制当前网络的发展，导致了 P2P软件的发展，这种软件大大增加了网络负载，对 正常的网络访问产生了极大的影响。仅仅从防火墙进行配置会对防火墙的性能造成影 响。同时根据防火墙原理它并不能完全有效的阻止网络回包，这样会给P2P这类软件 造成可乘之机。缺乏统一的系统补丁升级系统 当前网络蠕虫病毒的泛滥主要原因就是系统补丁升级不及时造成的。如何统一 地及时地强制地给所有终端用户安装补丁是每个网路所面临的问题。对防病毒软件缺乏统一的管理 虽然中交水运规划设计院购买的网络版杀毒软件但是由于缺乏强制的安全策略 导致有的客户端没有安装能够及时升级的网络

7、版杀毒软件，造成了网络安全的隐患。第二章方案原则、ft据及目标2.1 方案原则为保证方案的能够最终达到国家保密部门规定的相关保密要求 ,在设计方案时遵 循如下的设计原则:系统安全原则：管理系统自身安全包括物理安全、系统安全、数据安全和运行 安全等；可扩展原则：统一规划，兼顾长远，既要满足现有的需求，又要兼顾系统的可 扩展性，保证分布实施的延续性。系统在结构、规模、应用能力等各个方面都必须具 备很强的扩展能力；按照GB17859-1999计算机信息系统安全保护等级划分准则的要求建设；可靠性原则。执行ISO9OO2质量认证体系要求，确保安全保密设备的高可靠性 和稳定性；经济性原则。内网安全管理系统

8、的建设、运行维护以及将来的扩展建设，必须 符合经济性原则；易操作原则。内网安全管理系统的使用、维护、管理、发行等方面要易操作；高效原则。内网安全管理系统的处理能力要求能满足现阶段的实际需求，保证 系统的高效运行，并能根据系统的发展进行不断提升；功能完整原则。内网安全管理系统的功能完整，应用安全扩展系统功能完整；灵活性原则。内网安全管理系统的系统扩展、应用安全建设方面都必须满足灵 活性要求。2.2 方案依据本设计方案的主要依据是国家保密局文件 “涉及国家秘密的计算机信息系统安全 保密方案设计指南”(BMZ2-2001)，同时，还参考了以下标准和法规、文件：国家标准GB2887-2000电子计算机

9、场地通用规范；国家标准GB9254-1998信息技术设备的无线电骚扰限值和测量方法；国家标准GB9361-1998计算站场地安全要求；国家标准GB17859-1999计算机信息系统安全保护等级划分准则；国家标准GB50174-1993电子计算机机房设计规范；国家军用标准GJB3433-1998军用计算机网络安全体系结构；国家公共安全和保密标准GGBB1-1999信息设备电磁泄漏发射限值；国家保密标准BMB2-1998使用现场的信息设备电磁泄漏发射检查测试方法 和安全判据；国家保密标准BMB3-1999处理涉密信息的电磁屏蔽室的技术要求和 测试方法 国家保密标准BMB4-2000电磁干扰器技术要

10、求和测试方法；国家保密标准BMB5-2000涉密信息设备使用现场的电磁泄漏发射防护要求；国家保密指南BMZ1-2000涉及国家秘密的计算机信息系统保密技术要求；国家保密指南BMZ2-2001涉及国家秘密的计算机信息系统安全保密方案设计 指南国家保密指南BM23-2000涉及国家秘密的计算机信息系统安全保密测评指南;A CISPR22信息技术设备一无线电干扰特征一极限值和测量方法； CISPR24信息技术设备一免疫性特征一极限值和测量方法；A 国务院令147号中华人民共和国计算机信息系统安全保护条例；A 国务院令 195 号中华人民共和国计算机信息网络国际联网管理暂行规定；A 中华人民共和国公安

11、部令32号计算机信息系统安全专用产品检测和销售许可 证管理办法；A 国家保密局文件计算机信息系统保密管理暂行规定（国保发19981号）；A 中央保密委员会办公室、国家保密局文件涉及国家秘密的通信、办公自动化 和计算机信息系统审批暂行办法（中保办发19986 号）；A 中共中央办公厅国务院办公厅关于转发中共中央保密委员会办公室、国家保 密局关于国家秘密载体保密管理的规定的通知（厅字200058号）。2.3 方案目标中交水运规划设计院要求最大可能的保护其办公网络和系统资源与数据可以得到充分 的信任，获得良好的管理。本项目的总体目标是在不影响中交水运规划设计院网络正常工作的前提下，实现对网 络的全面

12、安全加固。北京圣博润高新技术有限公司（以下简称圣博润）根据中交水运规划设计院的需求， 提供包括整体安全策略、规划、设计、部署、管理、紧急响应以及配套服务组成的网络安全 整体解决方案。安全管理的安全目标：安全管理是整个内部安全管理体系的核心，使得安全策略、和 安全系统最终形成一个统一的安全整体，为企业创造真正的价值，根据实际情况，规划不 同密级的安全，为不同用户制定相应的安全策略，并统一的管理所有设备；第三章 系统架构3.1 安全策略规划内网安全策略是企业实现内网安全管理的基础，内网安全策略是企业网络信息系 统安全建设的指导原则、配置规则和检查依据。内网安全系统的建设主要依据企业网 络信息系统统

13、一的内部安全策略。内部安全策略是一种指导方法，通常都以一种规范、制度、流程等体现出来，用 以指导我们快速、合理、全面的建设内部安全系统，同时我们所规划和实现的内部安 全策略本身又是可扩展的，随着时间的不断推移和内部安全需求的进一步变化，我们 都是根据调整企业的内部安全策略来更好的指导我们建设内部安全系统。我们认为，内部安全策略分为：（1） 主机资源审计与保护策略 主机资源审计策略是对主机资源进行收集、并现在统一管理的内部安全策略，它 指导如何准确、便捷的收集企业内网内所有主机的相关信息，同时指导我们根据不同 主机的资源现状制定不同的保护手段和管理制度。（2） 在线信息保护策略 在线信息保护策略

14、是指根据企业的实际情况，并结合相关的法规政策、企业制度， 对企业内部暴露在网络上面的重要信息进行保护的内部安全策略，它指导企业如何定 义重要信息、区分不同的信息的重要程度、并根据不同信息的重要程度制定不同的保 护方案和访问控制规则，同时也保证了我们企业的内部网络资源得到最大化的合理应 用。3.2 内网安全系统的建设一套统一的、安全的、可扩展的内部安全系统是我们构建整个安全目标的重要因 素，内部安全系统是我们整个内部安全体系的基础框架，通过我们的内部安全系统， 我们可以 具体完成我们的安全管理工作，使我们的管理电子化、自动化； 实现安全策略，把安全策略作为系统配置的形式下发到所有终端主机； 科学

15、的划分安全域，我们的管理工作趋于统一化、合理化、高效化。3.2.1 内网审计在拥有了有效的防止内部信息泄漏的方式后，对计算机资源的审计和管理也变的 同样重要，如何有效的、最大化的掌握每一个主机的资源状态，对统一的安全管理尤 为重要！通过实时审计网络数据流，根据用户设定的安全控制策略，对受控对象的活动进 行审计。采用基于主机和基于网络相结合的控制机制和技术手段，可以多层次、多手 段地实现对网络的控制管理。通过集中管理、自我防护机制，全面体现了管理层对内 网关键资源的全局控制、把握和调度能力，为网络管理人员提供了一种审计、检查当 前系统运行状态的有效手段。对受控终端进行审计是通过规则进行的。审计规则设置的是对服务器规则控制下 的行为的记录和统计。在服务器设置相应的审计规则后，如果客户端所在的设备有符 合规则的行为发生，则在服务器的日志中会有相应记录。可以根据需要配置受控终端 的文件操作、进程、网络访问等事件的规则。系统根据规则自动记录安全审计日志并 存入系统日志信息库，这些信息是事后了解和判断网络安全事故的宝贵资料。审计功能包括：自动登记受控终