《精品资料2022年收藏某某XX报社网络安全方案建议书2.0》由会员分享，可在线阅读，更多相关《精品资料2022年收藏某某XX报社网络安全方案建议书2.0（52页珍藏版）》请在金锄头文库上搜索。
1、海南日报社网络安全整改方案建议书联系信息关于本文中的任何信息，请联系工程师王磊，详细联系方式为：电话：0898-68592015手机：18708912856电子邮件：版本历史版本日期备注2.02010年12月第2版免责声明本文档不得视为或解释为海南神州希望网络有限公司和客户之间有效而且有约束力的协议。文档根据从客户处获得的信息而编制，海南神州希望网络有限公司对本文档内容的准确性、完整性或充分性或文档的使用不做任何担保，而且特别明确表示，对于本文档的适销性和对特定目的的适用性，不做任何明示或暗示的担保。此外，海南神州希望网络有限公司保留修订本文档及其内容的权利。版权 2010版权所有。未经海南神
2、州希望网络有限公司同意，严禁复制或者修订本文档的任何内容。用户仅能够在内部复制和传播。一、背景4二、海南日报社网络安全现状52.1网络现状52.1网络发展5三、安全需求分析63.1、系统层安全分析63.1.1、主机系统风险分析63.1.2、病毒入侵风险分析63.2、网络层安全分析63.2.1、网络边界风险分析63.2.2、数据传输风险分析63.2.3、网络入侵风险分析73.3、应用层安全分析73.4、管理层安全分析7四、方案设计思路84.1、设计模型84.2、安全域保护94.3、参考标准11五、方案设计原则12六、 技术实现136.1、通信网络安全136.2、网络资源管理系统156.3、上网行
3、为管理15七、 设备部署说明15八、 建设设备选型188.1、UTM 统一安全网关推荐188.2、入侵检测系统推荐208.3、入侵防御系统推荐238.4、上网行为检测248.5、网络资源管理系统278.5、内网安全风险管理31附录：关于海南神州希望网络有限公司35一、背景随着信息化的日益深刻，信息网络技术的应用日益普及，网络安全问题已经会成为影响网络效能的重要问题。而 Internet 所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。海南日报社秉着向人民群众宣传党的路线、方针、政策，传播政治、经济、文化信息。坚持政治家办报方针，坚持正面宣传为主，坚持正确的舆论导向
4、的办报的宗旨为海南的两个文明建设努力创造有利的舆论环境。经过多年发展，南海网已经成为海南最有影响力的新闻门户网站。与此同时，海南日报计算机信息化的建设也紧锣密鼓的进行，在数字化出版、发行、采编等各个方面均有较为全面的应用。但是敏感信息一旦泄露、黑客的侵扰以及计算机病毒等，都将对其业务造成重大影响，甚至对社会利益造成巨大损失。如何使报社信息网络系统不受黑客和病毒的入侵，如何保障数据传输的安全性、可靠性，是报社信息化过程中所必须考虑的重要事情之一。海南日报社领导也非常重视安全问题，希望能够通过专业厂商为海南日报社规划合理、有效、全面的安全解决方案，搭建整体的网络安全体系，从而对海南日报社的信息系统
5、和数据服务中心进行有效的安全保护。1二、海南日报社网络安全现状2.1网络现状海南日报社网络系统是是一个覆盖全楼的局域网络，它包含如下几个区域： 一是楼层汇聚区域，主要负责数据转发和策略设置。二是核心交换区，实现骨干网络之间的优化传输，实现冗余、可靠性和高速的传输。三是数据中心服务区和DMZ区，是报社核心数据的存储和交互区域。四是外出移动办公用户，实现数据信息及时发布到业务系统。2.1网络发展随着业务的发展，海南日报社网络系统原有的基于内部网络的相对安全将被打破，无法满足业务发展的安全需求，急需重新制定安全策略，建立完整的安全保障体系。现阶段，海南日报网络结构如下图所示： 三、安全需求分析3.1
6、、系统层安全分析 3.1.1、主机系统风险分析 海南日报社网络中存在不同操作系统的主机如 MAC、Windows 这些操作系统自身存在许多安全漏洞。 3.1.2、病毒入侵风险分析 病毒的具有非常强的破坏力和传播能力。越是网络应用水平高，共享资源问频繁的环境中，计算机病毒的蔓延速度就会越快。 3.2、网络层安全分析 3.2.1、网络边界风险分析 网络的边界是指两个不同安全级别的网络的接入处，包括同 Internet 网的接入处，以及内部网不同安全级别的子网之间的连接处。对于海南日报社信息系统网络边界主要存在于 Internet 接入外部网络的连接处和内部网络中办公系统和业务系统之间。3.2.2、
7、数据传输风险分析 在外出移动办公用户和内网OA有关键数据的传输，在这之间存在数据传输的安全风险。3.2.3、网络入侵风险分析 由于直接连接外网，所以面临着各种入侵的风险，如何发现隐藏在正常数据包中的攻击行为将是网络安全面临的问题。3.3、应用层安全分析 应用层安全是指用户在网络上的应用系统的安全，包括 WEB、FTP、邮件系统、DNS等网络基本服务系统、业务系统等。在海南日报社网络主要运行着：业务系统、办公自动化系统等；各应用包括对外部和内部的信息共享以及各种跨局域网的应用方式，其安全需求是在信息共享的同时，保证信息资源的合法访问及通信隐秘性。 3.4、管理层安全分析系统的安全保障最终来自于严
8、格完善的安全管理，网络中面临的安全管理风险有： 安全管理制度问题 存在着由于管理制度不健全或不落实，造成信息由内部人员有意或无意通过网络传播或扩散出去，造成严重的影响和损失的可能性。 安全管理人员问题 信息安全管理人员需要对网络系统、应用系统和安全管理具有深厚的理论知识和丰富实践经验，存在着缺乏足够的安全管理人员的风险。 统一安全管理问题 办公网中将存在多种信息安全设备，多种技术和产品多层面、分布式共存不同厂商的不同产品产生大量不同形式的安全信息，使得整个系统的相互协作和集中管理成为安全管理的难点。 四、方案设计思路4.1、设计模型 随着对于网络系统的攻击日趋频繁，安全概念不仅仅局限于信息的保
9、护，人们需要对整个信息和网络系统的保护和防御，以确保自身安全性。 目前安全模型已经从以前的被动保护转到了现在的主动防御，强调整个生命周期的防御和恢复。PDR模型就是最早提出的体现这样一种思想的安全模型。所谓PDR模型指的就是基于防护（Protection）、检测（Detection）、响应（Reaction）的安全模型。上个世纪 90年代末， ANS联盟在 PDR模型的基础上建立了新的 P2DR模型。该模型是可量化、可由数学证明、基于时间的、以 PDR为核心的安全模型。这里 P2DR 是策略（Policy）、防护（Protection）、检测（Detection）、响应（Response）的缩
10、写。如下图所示。 策略（Policy）策略是 P2DR 模型的核心，所有的防护、检测、响应都是依据策略。它描述系统中哪些资源要得到保护，以及如何实现对它们的保护等。 防护（Protection）防护是主动防御的防御部分，系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部，防护手段也因此多种多样。 检测（Detection）检测是动态响应和加强防护的依据。通过不间断的检测网络和系统，来发现威胁。 响应（Response）响应是主动防御的实现。根据策略以及检测到的情况动态的调整防护，达到主动防御的目的。信息系统的安全是基于时间特性的，P2DR 安全模型的特点就在于动态性和基于时间的特性。
11、我们可以通过定义下列时间量来描述 P2DR模型的时间特性。 防护时间Pt：表示从入侵开始到侵入系统的时间。防护时间由两方面共同决定：入侵能力，防护能力。高的入侵能力和相对弱的防护能力可以使得防护时间 Pt缩短。显然防护时间越长系统越安全。 检测时间Dt：表示检测系统发现系统的安全隐患和潜在攻击检测的时间。改进检测算法和设计可缩短 Dt。 响应时间Rt：表示从检测到系统漏洞或监控到非法攻击到系统启动处理措施的时间。一个监控系统的响应可能包括见识、切换、跟踪、报警、反击等内容。而安全事件的事后处理（如恢复、总结等）不纳入事件响应的范畴之内。 暴露时间Et：表示系统处于不安全状态的时间。 可以定义
12、EtDtRtPt。显然 Et越小表示系统越安全，当 Et0时，可以认为系统是安全的。 随着技术的进步，人们在 P2DR 模型以后又提出了 APPDRR 模型，即在 P2DR模型中加入恢复（Recovery）手段。这样一旦系统安全事故发生了，也能恢复系统功能和数据，恢复系统的正常运行。4.2、安全域保护对信息系统进行安全保护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护。因此，安全域划分是进行信息安全建设的首要步骤。安全域是指同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同
13、的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。当然，安全域的划分不能单纯从安全角度考虑，而是应该以业务角度为主，辅以安全角度，并充分参照现有网络结构和管理现状，才能以较小的代价完成安全域划分和网络梳理，而又能保障其安全性。对信息系统安全域（保护对象）的划分应主要考虑如下方面因素：1) 业务和功能特性 v 业务系统逻辑和应用关联性 v 业务系统对外连接：对外业务，支撑，内部管理 2) 安全特性的要求 v 安全要求相似性：可用性、保密性和完整性的要求 v 威胁相似性：威胁来源、威胁方式和强度 v 资产价值相近性：重要与非重要资产分离 3) 参照现有状
14、况 v 现有网络结构的状况：现有网络结构、地域和机房等v 参照现有的管理部门职权划分海南日报社的信息安全网络，应依据网络现状、业务系统的功能和特性、业务系统面临的威胁、业务系统的价值及相关安全防护要求等因素，对网络进安全域的划分。根据以上安全域划分考虑因素及示意图， 针对海南日报社网络安全保障体系系统建设，划分安全域如下图，以实现按需防护的建设理念。4.3、参考标准 技术标准信息系统安全等级保护基本要求（GB/T 22239-2008） 信息系统安全等级保护定级指南（GB/T 22240-2008） GB/T 18336 信息技术 安全技术 信息技术安全性评估准则（等同采用ISO/IEC 15
15、408） ISO/IEC 15408（CC）信息技术安全评估准则 管理标准信息系统安全等级保护基本要求ISO/IEC 17799:2005信息安全管理体系实施指南（采用BS 7799-1）ISO/IEC 27001:2005信息安全管理体系规范（采用 BS 7799-2）ISO/IEC 13335信息技术安全管理指南五、方案设计原则在设计技术方案时要遵从以下原则： 实用性原则 安全体系建设将始终遵循“面向应用，注重实效”的指导思想。紧密结合现有网络和应用情况，充分保证原有系统和结构的可用性。 完整性原则 网络安全建设必需保证整个防御体系的完整性。在安全体系建设中，我们采取多种安全防御的技术和措施来保障网络系统安全运行。 整体均衡原则 要对信息系统进行全面均衡的保护，要提高整个信息系统的安全最
