【正文】 蕪湖市社保局信息安全解決方案北京天融信科技有限公司2012年3月目 錄第一章 項目背景 4 信息安全嚴(yán)峻形勢 4 單位職能簡介 5第二章 安全風(fēng)險分析 6 風(fēng)險分析方法 6 網(wǎng)絡(luò)安全弱點分析 7 網(wǎng)絡(luò)結(jié)構(gòu)脆弱性 7 系統(tǒng)和應(yīng)用脆弱性 8 網(wǎng)絡(luò)訪問脆弱性 10 硬件平臺脆弱性 10 管理脆弱性 10 網(wǎng)絡(luò)安全威脅分析 11 威脅來源 11 非人為的安全威脅 12 人為的安全威脅 12 網(wǎng)絡(luò)安全風(fēng)險分析 15 物理安全風(fēng)險 15 終端安全風(fēng)險 15 網(wǎng)絡(luò)安全風(fēng)險 16 系統(tǒng)安全風(fēng)險 17 管理安全風(fēng)險 17第三章 建設(shè)需求分析 19 自身安全防護的需求 19 互聯(lián)網(wǎng)出口單點故障 19 對基礎(chǔ)防護平臺的需求 20 對統(tǒng)一運維審計平臺的需求 21 對集中安全管理的需求 21 管理安全的需求 22 蕪湖社保局的符合政策層面的需求 22第四章 整體方案設(shè)計 24 方案設(shè)計原則 24 信息安全規(guī)劃圖 26 規(guī)劃內(nèi)容簡介 26第五章 方案詳細設(shè)計 27 詳細設(shè)計概述 27 計算環(huán)境防護 27 終端安全管理 27 安全邊界防護 31 防火墻部署 31 網(wǎng)閘部署 32 保護通信網(wǎng)絡(luò) 34 負載均衡系統(tǒng) 34 安全運維審計 37 安全管理平臺 39 安全措施選擇 39 安全措施整合 40 技術(shù)部署選擇 40 安全策略設(shè)計 41 安全功能要求 41第六章 天融信公司簡介 43第一章 項目背景 信息安全嚴(yán)峻形勢近幾年以來全球網(wǎng)絡(luò)威脅持續(xù)增長，網(wǎng)絡(luò)罪犯在惡意代碼和服務(wù)的開發(fā)、傳播和使用上愈發(fā)趨于專業(yè)化，目的愈發(fā)商業(yè)化，行為愈發(fā)組織化，手段愈發(fā)多樣化。網(wǎng)絡(luò)犯罪背后的黑色產(chǎn)業(yè)鏈獲利能力大幅提高，互聯(lián)網(wǎng)的無國界性使得全球各國用戶都避之不及，造成的損失也隨著范圍的擴散而快速增多。二十年前，黑客攻擊網(wǎng)絡(luò)、竊取信息主要是為了好奇或者想炫耀自己的能力。而今，網(wǎng)絡(luò)攻擊更多的是獲取經(jīng)濟利益的目的，已經(jīng)形成了黑色產(chǎn)業(yè)鏈。這意味著，網(wǎng)絡(luò)安全形勢已日趨嚴(yán)峻。此外，近年來隨著全球網(wǎng)絡(luò)通訊技術(shù)高度發(fā)展，帶寬的不斷增加，互聯(lián)網(wǎng)兼容人數(shù)迅速增長。與此同時，公民的隱私及安全問題很突出，特別是涉及公眾個人的隱私泄露，如銀行卡及手機支付等個人賬號密碼信息的竊取，給公眾帶來很多損害，引起群眾的強烈反響。新興IT技術(shù)的應(yīng)用，物聯(lián)網(wǎng)、云計算、移動互聯(lián)、社交網(wǎng)絡(luò)以及三網(wǎng)融合等等技術(shù)正成為IT領(lǐng)域發(fā)展的新動向，引起了企業(yè)的關(guān)注、用戶的關(guān)注。但是它們的發(fā)展正在成為病毒泛濫和黑客攻擊的新的溫床。而且一旦出現(xiàn)問題，其破壞力將會越來越大。近年來，利用信息網(wǎng)絡(luò)的安全漏洞或后門竊取、倒賣涉密信息獲取利益，或在互聯(lián)網(wǎng)上惡意公開個人私密信息的事件頻繁發(fā)生；而傳統(tǒng)網(wǎng)絡(luò)IP化、設(shè)備實現(xiàn)軟件化、3G業(yè)務(wù)等新技術(shù)、新形式的出現(xiàn)，電信網(wǎng)、互聯(lián)網(wǎng)和重要信息系統(tǒng)面臨的安全形勢越來越嚴(yán)峻。尤其是公共電話網(wǎng)絡(luò)，已逐漸變成繼互聯(lián)網(wǎng)、短信網(wǎng)絡(luò)之后一個新的騷擾平臺，僅在2008年有記錄可查的騷擾電話數(shù)量就超過9000萬次，而未被投訴和發(fā)現(xiàn)的騷擾電話數(shù)量則至少超過2億次。信息安全問題隨著國家信息化戰(zhàn)略的推廣凸顯其重要地位。信息安全不僅給國家信息化進程帶來現(xiàn)實的挑戰(zhàn)，而且基于信息網(wǎng)絡(luò)的滲透、攻防、電子戰(zhàn)等概念，也影響到國防安全，給國家與國家之間帶來新的競爭關(guān)系，直接影響到國家安全和社會穩(wěn)定。蕪湖市人力資源與社會保障局各層領(lǐng)導(dǎo)對安全工作非常重視，從逐年加大在安全建設(shè)方面的投資，進行了一系列的安全組織、制度、管理和技術(shù)方面的安全建設(shè)工作，在近期要求的安全工作包括加強基礎(chǔ)安全管理，包括落實組織保障和安全責(zé)任；逐步開展安全建設(shè)。要從網(wǎng)絡(luò)、主機、應(yīng)用系統(tǒng)不同層面建設(shè)多層次、立體化安全防護體系；要集中統(tǒng)一建設(shè)必備的網(wǎng)絡(luò)安全防護手段；在劃分安全區(qū)域，統(tǒng)一邊界的基礎(chǔ)上，實現(xiàn)重點防護和隔離。 單位職能簡介蕪湖市人力資源和社會保障局主要職責(zé)l 貫徹執(zhí)行國家、省人力資源和社會保障工作方針政策和法律法規(guī)；起草有關(guān)地方性法規(guī)規(guī)章草案；l 擬訂人力資源和社會保障事業(yè)發(fā)展規(guī)劃、政策并組織實施和監(jiān)督檢查。擬訂并組織實施全市人力資源發(fā)展規(guī)劃、需求目錄工作，擬定人才流動政策法規(guī)，負責(zé)全市人才開發(fā)、人才引進工作，建立全市統(tǒng)一規(guī)范的人力資源市場，促進人力資源合理、有效配置。l 負責(zé)促進就業(yè)工作，擬訂統(tǒng)籌城鄉(xiāng)就業(yè)發(fā)展的規(guī)劃和政策，完善公共就業(yè)服務(wù)體系；建立就業(yè)援助制度，完善職業(yè)資格制度；統(tǒng)籌建立面向城鄉(xiāng)勞動者的職業(yè)培訓(xùn)制度。第二章 安全風(fēng)險分析 風(fēng)險分析方法分析安全風(fēng)險的方法，主要參考ISO13335，從信息資產(chǎn)、漏洞（弱點）、威脅等多個因素進行全面的評估，具體分析模型如下圖所表示： ISO13335以風(fēng)險為核心的安全模型示意圖說明：216。 蕪湖社保局所面臨的安全風(fēng)險的大小，是與蕪湖社保局所擁有的信息資產(chǎn)對應(yīng)的，因為信息資產(chǎn)擁有價值，這種價值則增加了安全風(fēng)險的等級；216。 蕪湖社保局信息資產(chǎn)總是存在一些弱點（即漏洞），這些弱點被安全威脅利用后，造成安全風(fēng)險的增加；216。 針對蕪湖社保局的信息資產(chǎn)，總是存在一些人為的或者非人為的威脅因素，而威脅只有利用了信息資產(chǎn)的弱點之后，才會轉(zhuǎn)換為對信息資產(chǎn)的風(fēng)險；216。 因為蕪湖社保局存在安全風(fēng)險，為降低安全風(fēng)險，蕪湖社保局必須采取必要的安全措施；同時安全風(fēng)險的存在使蕪湖社保局產(chǎn)生了對安全的需求，安全需求只有在采取了相當(dāng)?shù)陌踩胧┮院?，才能夠被滿足。下面，我們將根據(jù)所描述的信息資產(chǎn)分析的結(jié)果，進一步從安全威脅、安全弱點進行全面的分析，從而歸納出蕪湖社保局信息網(wǎng)所存在的安全風(fēng)險，并引導(dǎo)出蕪湖社保局信息網(wǎng)對安全防護體系的需求。 網(wǎng)絡(luò)安全弱點分析弱點是資產(chǎn)本身存在的，可以被威脅利用、引起組織信息資產(chǎn)或業(yè)務(wù)目標(biāo)的損害，一般的，安全風(fēng)險總是針對系統(tǒng)的安全弱點，所謂安全弱點就是系統(tǒng)在某個方面存在缺陷，而有可能被系統(tǒng)的攻擊者利用，對系統(tǒng)發(fā)起攻擊。所以安全弱點是分析安全風(fēng)險的首要因素，針對蕪湖社保局信息網(wǎng)絡(luò)，我們分析其存在以下的安全弱點： 網(wǎng)絡(luò)結(jié)構(gòu)脆弱性針對蕪湖社保局信息網(wǎng)絡(luò)的基礎(chǔ)協(xié)議TCP/IP，由于其自身的缺陷，也使蕪湖社保局信息網(wǎng)絡(luò)存在先天的一些弱點。TCP/IP協(xié)議在產(chǎn)生之處，還沒有全面考慮安全方面的因素，因而在安全方面存在先天的不足，典型利用TCP/IP協(xié)議的弱點，發(fā)起攻擊行為的就是“拒絕服務(wù)攻擊”，比如“SYN FLOOD”攻擊，它就是利用了TCP協(xié)議中，建立可靠連接所必須經(jīng)過的三次握手行為，攻擊者只向攻擊目標(biāo)發(fā)送帶“SYN”表示的數(shù)據(jù)包，導(dǎo)致攻擊目標(biāo)一味地等待發(fā)起連接請求的源地址再次發(fā)送確認(rèn)信息，而導(dǎo)致系統(tǒng)處于長期等待狀態(tài)，直至系統(tǒng)的資源耗盡，而無法正常處理其他合法的連接請求。利用TCP/IP協(xié)議弱點例子還有就是IP欺騙攻擊，IP欺騙由若干步驟組成，首先，目標(biāo)主機已經(jīng)選定。其次，信任模式已被發(fā)現(xiàn)，并找到了一個被目標(biāo)主機信任的主機。黑客為了進行IP欺騙，進行以下工作：使得被信任的主機喪失工作能力，同時采樣目標(biāo)主機發(fā)出的TCP序列號，猜測出它的數(shù)據(jù)序列號。然后，偽裝成被信任的主機，同時建立起與目標(biāo)主機基于地址驗證的應(yīng)用連接。如果成功，黑客可以使用一種簡單的命令放置一個系統(tǒng)后門，以進行非授權(quán)操作。使被信任主機喪失工作能力，攻擊者將要代替真正的被信任主機。 系統(tǒng)和應(yīng)用脆弱性蕪湖社保局信息網(wǎng)絡(luò)運行有大量的重要服務(wù)器，眾所周知，每一種操作系統(tǒng)都包含有漏洞（如下表所示），開發(fā)廠商也會定期發(fā)布不訂包。如何對重要服務(wù)器進行漏洞掃描、入侵檢測、補丁管理成為日常安全維護的重要工作。蕪湖社保局信息網(wǎng)絡(luò)網(wǎng)絡(luò)內(nèi)部缺乏有效的設(shè)備和系統(tǒng)對系統(tǒng)級、應(yīng)用級的脆弱性進行定期分析、評估和管理。ID名稱說明舉例1Backdoor各種后門和遠程控制軟件，例如BO、Netbus等2Brute Force各種瀏覽器相關(guān)的弱點，例如自動執(zhí)行移動代碼等3CGIBIN各種CGIBIN相關(guān)的弱點，例如PHF、board等4Daemons服務(wù)器中各種監(jiān)守程序產(chǎn)生弱點，例如amd, nntp等5DCOM微軟公司DCOM控件產(chǎn)生的相關(guān)弱點6DNSDNS服務(wù)相關(guān)弱點，例如BIND 7Email各種郵件服務(wù)器、客戶端相關(guān)的安全弱點，例如Qpopper的遠程溢出弱點8Firewalls各種防火墻及其代理產(chǎn)生的安全弱點，例如Gauntlet Firewall CyberPatrol內(nèi)容檢查弱點9FTP各種FTP服務(wù)器和客戶端相關(guān)程序或配置弱點，例如WuFTPD site exec弱點10Information Gathering各種由于協(xié)議或配置不當(dāng)造成信息泄露弱點，例如finger或rstat的輸出11Instant Messaging當(dāng)前各種即時消息傳遞工具相關(guān)弱點，例如OICQ、IRC、Yahoo messager等相關(guān)弱點12LDAPLDAP服務(wù)相關(guān)的安全弱點，13Network網(wǎng)絡(luò)層協(xié)議處理不當(dāng)引發(fā)的安全弱點，例如LAND攻擊弱點14Network Sniffers各種竊聽器相關(guān)的安全弱點，例如NetXRay訪問控制弱點15NFSNFS服務(wù)相關(guān)的安全弱點，例如NFS信任關(guān)系弱點16NISNIS服務(wù)相關(guān)的安全弱點，例如知道NIS域名后可以猜測口令弱點17NT Related微軟公司NT操作系統(tǒng)相關(guān)安全弱點18Protocol Spoofing協(xié)議中存在的安全弱點，例如TCP序列號猜測弱點19Router/Switch各種路由器、交換機等網(wǎng)絡(luò)設(shè)備中存在的安全弱點，例如Cisco IOS 20RPCRPC（SUN公司遠程過程調(diào)用）服務(wù)相關(guān)的弱點，21Shares文件共享服務(wù)相關(guān)的安全弱點，. NetBIOS/Samba等相關(guān)弱點，例如Samba緩沖區(qū)溢出弱點22SNMPSNMP協(xié)議相關(guān)的安全弱點，例如利用“public”進行SNMP_SET操作23UDPUDP協(xié)議相關(guān)弱點，例如允許端口掃描等24Web ScanWeb服務(wù)器相關(guān)安全弱點，例如IIS ASP dot弱點25X WindowsX服務(wù)相關(guān)安全弱點26Management安全管理類漏洞 網(wǎng)絡(luò)訪問脆弱性網(wǎng)絡(luò)的訪問策略是不是合理，訪問是不是有序，訪問的目標(biāo)資源是否受控等問題，都會直接影響到政府機關(guān)網(wǎng)絡(luò)的穩(wěn)定與安全。如果存在網(wǎng)絡(luò)內(nèi)訪問混亂，外來人員也很容易接入網(wǎng)絡(luò)，地址被隨意使用等問題，將導(dǎo)致網(wǎng)絡(luò)難以管理，網(wǎng)絡(luò)工作效率下將，無法部署安全設(shè)備、對攻擊者也無法進行追蹤審計。這就要求系統(tǒng)能夠?qū)W(wǎng)絡(luò)中發(fā)生的各種訪問，乃至網(wǎng)絡(luò)中傳遞的數(shù)據(jù)包進行很好的監(jiān)控，特別是針對蕪湖社保局信息網(wǎng)絡(luò)，由于其既存在對內(nèi)提供服務(wù)的設(shè)備，也存在對外提供服務(wù)的設(shè)備，這些服務(wù)器在安裝的過程中有可能沒有關(guān)閉掉一些毫無用處的服務(wù)，或者即使關(guān)閉了這些服務(wù)，也因為操作系統(tǒng)自身存在的漏洞而給攻擊者可乘之機，特別是對互聯(lián)網(wǎng)提供服務(wù)的設(shè)備，很容易成為政務(wù)網(wǎng)絡(luò)的“安全短板”，被來自互聯(lián)網(wǎng)的攻擊者利用，從而發(fā)起對內(nèi)網(wǎng)的攻擊。同時我們還看到，蕪湖社保局信息網(wǎng)絡(luò)除了對互聯(lián)網(wǎng)存在接口以外，對其他專網(wǎng)也存在較多的接口，這些外聯(lián)系統(tǒng)對于蕪湖社保局來講，是不可信任或者不可管理的，那么如果對這些外聯(lián)系統(tǒng)發(fā)出的訪問范圍，訪問內(nèi)容脫離控制，后果是不堪設(shè)想的。 硬件平臺脆弱性硬件平臺的脆弱性指硬件平臺包括硬件平臺的糾錯能力，它的脆弱性直接影響著軟