【正文】 網(wǎng)絡(luò)安全系統(tǒng)設(shè)計(jì)方案第1 現(xiàn)狀和目標(biāo) 1第2 需求分析 2 系統(tǒng)安全需求分析 2 功能需求分析 5 管理需求分析 5 服務(wù)需求分析 6第3 系統(tǒng)設(shè)計(jì) 6 防火/毒墻系統(tǒng)設(shè)計(jì) 6 入侵檢測系統(tǒng)設(shè)計(jì) 8 網(wǎng)絡(luò)安全審計(jì)系統(tǒng)設(shè)計(jì) 10 內(nèi)外網(wǎng)隔離系統(tǒng)設(shè)計(jì) 11 防病毒系統(tǒng)設(shè)計(jì) 15 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估服務(wù)設(shè)計(jì) 16 CA系統(tǒng)設(shè)計(jì)（參考） 34 遠(yuǎn)程災(zāi)備系統(tǒng)設(shè)計(jì)（參考） 35第4 產(chǎn)品部署 37 設(shè)備部署示意圖 37 設(shè)備部署設(shè)計(jì) 37第5 產(chǎn)品選型 38 防火/毒墻 38 入侵檢測IDS 40 網(wǎng)絡(luò)安全審計(jì)系統(tǒng) 41 網(wǎng)絡(luò)隔離卡 43第6 產(chǎn)品清單 44第1 現(xiàn)狀和目標(biāo)市城市管理局網(wǎng)絡(luò)外網(wǎng)連接Internet（2根電信光纖）和政府專線（即Internet備用線路），內(nèi)網(wǎng)連接政府專網(wǎng)（黨政機(jī)關(guān)網(wǎng)、國土資源局等）、下屬單位以及區(qū)指揮中心。它不僅是數(shù)據(jù)存儲(chǔ)中心也是數(shù)據(jù)交換中心和業(yè)務(wù)處理中心，因此網(wǎng)絡(luò)安全問題將成為一個(gè)十分突出的問題。目前，市城市管理局網(wǎng)絡(luò)系統(tǒng)的安全存在以下問題：l 由于對外發(fā)布服務(wù)系統(tǒng)群與互聯(lián)網(wǎng)接口的存在，整個(gè)網(wǎng)絡(luò)系統(tǒng)容易遭受來自互聯(lián)網(wǎng)的黑客以及病毒攻擊；l 內(nèi)外網(wǎng)沒有做到物理隔離，一旦網(wǎng)絡(luò)被侵入將給客戶帶來巨大的損失；l 由于整個(gè)系統(tǒng)具有覆蓋地域較廣、使用人員較復(fù)雜、以及接入點(diǎn)眾多等特點(diǎn)，而整個(gè)系統(tǒng)沒有有效的訪問控制體制，使系統(tǒng)更加容易遭受來自內(nèi)部的非法攻擊行為；l 由于網(wǎng)絡(luò)系統(tǒng)的開放性，一旦某一個(gè)節(jié)點(diǎn)感染了病毒都能迅速的向全網(wǎng)蔓延，造成整個(gè)系統(tǒng)的癱瘓；l 操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及其他應(yīng)用軟件系統(tǒng)的漏洞都能導(dǎo)致整個(gè)信息系統(tǒng)的高安全風(fēng)險(xiǎn)；l 缺乏對系統(tǒng)故障以及安全事件的響應(yīng)與恢復(fù)制度。在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的今天，針對網(wǎng)絡(luò)的各種攻擊手段在不斷更新，故信息安全在市城市管理局信息化建設(shè)的每個(gè)階段都必須要考慮；l 用戶的身份驗(yàn)證和數(shù)據(jù)的異地備份也將是安全的主要考慮的方面。為了解決現(xiàn)階段市城市管理局網(wǎng)絡(luò)安全的問題，我們將對城管局網(wǎng)絡(luò)安全體系進(jìn)行設(shè)計(jì)。主要包含以下系統(tǒng)：防火/毒墻系統(tǒng)、入侵檢測系統(tǒng)、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)、內(nèi)外網(wǎng)隔離系統(tǒng)設(shè)計(jì)、網(wǎng)絡(luò)防病毒系統(tǒng)、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估服務(wù)、CA中心、遠(yuǎn)程災(zāi)備系統(tǒng)。第2 需求分析 系統(tǒng)安全需求分析在闡述網(wǎng)絡(luò)面臨的安全威脅之前，我們有必要簡單的了解一下威脅的實(shí)質(zhì)。威脅就是將會(huì)對資產(chǎn)造成不利影響的潛在的事件或行為，包括自然的、故意的以及偶然的情況。威脅至少包含以下屬性：動(dòng)機(jī)（自然威脅除外）、能力、影響方式等?？梢哉f威脅是不可避免的，我們只能采取有效的措施，盡量減少各種情況造成的威脅。市城市管理局網(wǎng)絡(luò)是多種資產(chǎn)的龐大組合，其所面臨的威脅也就是對網(wǎng)絡(luò)能夠造成不利影響的一些潛在的事件或者行為，同樣這些威脅包括自然的、故意的以及偶然的情況。我們對城管局網(wǎng)絡(luò)面臨的威脅進(jìn)行分析，我們將努力減少市城市管理局網(wǎng)絡(luò)面臨的安全威脅，并努力控制在最小的范圍內(nèi)。一、來自外部安全威脅分析 邊界網(wǎng)絡(luò)設(shè)備安全威脅網(wǎng)絡(luò)系統(tǒng)邊界網(wǎng)絡(luò)設(shè)備是指不同應(yīng)用、不同業(yè)務(wù)、不同網(wǎng)絡(luò)相互連接的設(shè)備，如核心路由器及與核心路由器連接的交換機(jī)等。從攻擊的角度分析，邊界網(wǎng)絡(luò)設(shè)備面臨的威脅主要有以下兩點(diǎn)：第一：入侵者通過控制邊界網(wǎng)絡(luò)設(shè)備，進(jìn)一步了解網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，利用網(wǎng)絡(luò)滲透搜集信息，為擴(kuò)大網(wǎng)絡(luò)入侵范圍奠定基礎(chǔ)。比如，入侵者可以利用這些網(wǎng)絡(luò)設(shè)備的系統(tǒng)（Cisco的IOS）漏洞或者配置漏洞，實(shí)現(xiàn)對其的控制。第二：通過各種手段，對網(wǎng)絡(luò)設(shè)備實(shí)施拒絕服務(wù)攻擊，使網(wǎng)絡(luò)設(shè)備癱瘓，從而造成整個(gè)網(wǎng)絡(luò)通信的癱瘓。網(wǎng)絡(luò)正日趨被人們所了解，而網(wǎng)絡(luò)協(xié)議自然也被越來越多的人所研究，許多網(wǎng)絡(luò)協(xié)議的設(shè)計(jì)漏洞被不斷的公開，這使得越來越多的攻擊利用了網(wǎng)絡(luò)協(xié)議的設(shè)計(jì)漏洞。很多入侵者利用網(wǎng)絡(luò)協(xié)議的設(shè)計(jì)漏洞或者設(shè)備本身的漏洞對邊界網(wǎng)絡(luò)設(shè)備實(shí)施拒絕服務(wù)攻擊，造成這些網(wǎng)絡(luò)設(shè)備的性能下降乃至完全癱瘓。 信息基礎(chǔ)安全平臺(tái)威脅信息基礎(chǔ)平臺(tái)主要是指支撐各種應(yīng)用與業(yè)務(wù)運(yùn)行的各種操作系統(tǒng)與數(shù)據(jù)庫系統(tǒng)。目前城管局主機(jī)采用的操作系統(tǒng)主要是Windows 2000操作系統(tǒng)和SQL Server 2000數(shù)據(jù)庫。相對邊界網(wǎng)絡(luò)設(shè)備來說，熟知操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的人員的范圍要廣的多，而且在互聯(lián)網(wǎng)上，很容易就能找到許多針對各種操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的漏洞的詳細(xì)描述，所以針對操作系統(tǒng)和數(shù)據(jù)庫的入侵攻擊在互聯(lián)網(wǎng)絡(luò)中也是最多最常見的。不管是什么操作系統(tǒng)或者數(shù)據(jù)庫系統(tǒng)，只要它運(yùn)行于網(wǎng)絡(luò)上，就必然會(huì)有或多或少的端口服務(wù)暴露在互聯(lián)網(wǎng)上，而這些端口服務(wù)又恰恰可能存在致命的安全漏洞，這無疑會(huì)給該系統(tǒng)帶來嚴(yán)重的安全威脅，從而也給系統(tǒng)所在的網(wǎng)絡(luò)帶來很大的安全威脅。 應(yīng)用與業(yè)務(wù)的網(wǎng)絡(luò)威脅在整個(gè)網(wǎng)絡(luò)系統(tǒng)中，應(yīng)用與業(yè)務(wù)網(wǎng)絡(luò)中的數(shù)據(jù)是至關(guān)重要，而入侵者當(dāng)然也會(huì)明白這一點(diǎn)，但是應(yīng)用或業(yè)務(wù)網(wǎng)絡(luò)往往并不能輕易的被直接入侵成功，所以，惡意的入侵者往往會(huì)采取逐步網(wǎng)絡(luò)滲透的方法來最終達(dá)成其入侵目的。一旦這些關(guān)鍵應(yīng)用系統(tǒng)遭到黑客的入侵或者破壞，將會(huì)影響整個(gè)市城市管理局網(wǎng)絡(luò)的運(yùn)行，甚至?xí)?dǎo)致全網(wǎng)業(yè)務(wù)系統(tǒng)的崩潰，造成間接或直接的巨大的經(jīng)濟(jì)損失。二、來自內(nèi)部安全威脅分析 內(nèi)部網(wǎng)絡(luò)的失誤操作行為由于人員的技術(shù)水平的局限性以及經(jīng)驗(yàn)的不足，可能會(huì)出現(xiàn)各種意想不到的操作失誤，勢必對系統(tǒng)或者網(wǎng)絡(luò)的安全產(chǎn)生較大的影響。 來自內(nèi)部網(wǎng)絡(luò)的惡意攻擊與破壞據(jù)統(tǒng)計(jì)，有70%的網(wǎng)絡(luò)攻擊來自于網(wǎng)絡(luò)的內(nèi)部。對于網(wǎng)絡(luò)內(nèi)部的安全防范會(huì)明顯的弱于對于網(wǎng)絡(luò)外部的安全防范，而且由于內(nèi)部人員對于內(nèi)部網(wǎng)絡(luò)的熟悉程度一般是很高的，所以，由網(wǎng)絡(luò)內(nèi)部發(fā)起的攻擊也就必然更容易成功，因此一旦攻擊成功，其強(qiáng)烈的攻擊目的也就必然促使了更為隱蔽和嚴(yán)重的網(wǎng)絡(luò)破壞。三、病毒威脅分析在網(wǎng)絡(luò)環(huán)境下，網(wǎng)絡(luò)病毒除了具有可傳播性、可執(zhí)行性、破壞性、可觸發(fā)性等計(jì)算機(jī)病毒的共性外，還具有一些新的特點(diǎn)，網(wǎng)絡(luò)病毒的這些新的特點(diǎn)都會(huì)對網(wǎng)絡(luò)與應(yīng)用造成極大的威脅。l 感染速度快城管局網(wǎng)絡(luò)是一個(gè)大型網(wǎng)絡(luò)，一個(gè)節(jié)點(diǎn)有病毒疫情，如果不采取措施進(jìn)行實(shí)時(shí)防范的話，病毒就可以在很短的時(shí)間內(nèi)傳遍全網(wǎng)，就會(huì)給網(wǎng)絡(luò)造成危害。l 擴(kuò)散面廣網(wǎng)絡(luò)由網(wǎng)管中心與各節(jié)點(diǎn)網(wǎng)絡(luò)構(gòu)成，如果病毒滲入其中任何一個(gè)關(guān)聯(lián)網(wǎng)絡(luò)，病毒就會(huì)通過各種途徑迅速地感染網(wǎng)絡(luò)上服務(wù)器與工作站，感染范圍有可能覆蓋全網(wǎng)。l 傳播的形式復(fù)雜多樣計(jì)算機(jī)病毒在網(wǎng)絡(luò)上一般是通過“工作站服務(wù)器工作站”的途徑進(jìn)行傳播的，但傳播的形式復(fù)雜多樣，通過網(wǎng)絡(luò)共享、服務(wù)漏洞、電子郵件等多種方式進(jìn)行傳播。l 病毒的智能化程序越來越高網(wǎng)絡(luò)病毒可以利用系統(tǒng)的漏洞進(jìn)行傳播或攻擊；在攜帶特洛伊木馬程序進(jìn)行對系統(tǒng)遠(yuǎn)程破壞與控制；為系統(tǒng)開后門；散播拒絕服務(wù)攻擊點(diǎn)，對目標(biāo)采取分布式拒絕服務(wù)攻擊等等。l 難于徹底清除智能化的網(wǎng)絡(luò)病毒既可以像傳統(tǒng)病毒一樣感染服務(wù)器或客戶端主機(jī)的應(yīng)用文件系統(tǒng)，也兼具網(wǎng)絡(luò)黑客技術(shù)的特點(diǎn)，通過各種途徑破壞服務(wù)器或客戶機(jī)的重要數(shù)據(jù)，通過電子郵件系統(tǒng)散播惡意代碼，設(shè)置系統(tǒng)后門，竊取系統(tǒng)的重要數(shù)據(jù)與機(jī)密信息等。病毒要完成這些復(fù)雜的動(dòng)作，就要對系統(tǒng)進(jìn)行比較復(fù)雜的設(shè)置，對系統(tǒng)的影響較大，僅有防病毒軟件很難徹底地從系統(tǒng)上將病毒清除掉。l 破壞性大網(wǎng)絡(luò)上病毒將直接影響網(wǎng)絡(luò)的工作，輕則降低速度，影響工作效率，重則使網(wǎng)絡(luò)崩潰， 破壞服務(wù)器信息，造成巨大的直接和間接的經(jīng)濟(jì)損失。防病毒一直是網(wǎng)絡(luò)安全中需要考慮的因素之一，通過加強(qiáng)管理和預(yù)防，將可以對病毒進(jìn)行有效的控制和預(yù)防。 功能需求分析為保障市城市管理局網(wǎng)絡(luò)整個(gè)業(yè)務(wù)的正常持續(xù)的運(yùn)行，需要對全網(wǎng)的網(wǎng)絡(luò)運(yùn)行狀態(tài)和安全狀態(tài)進(jìn)行有效監(jiān)視。對網(wǎng)絡(luò)邊界設(shè)備（Router 、Switch、 Firewall）、基礎(chǔ)設(shè)備（主機(jī)服務(wù)器、數(shù)據(jù)庫）、應(yīng)用服務(wù)（OA、WEB、Mail等）進(jìn)行相應(yīng)的保護(hù)。從安全功能的角度，需要對二個(gè)物理網(wǎng)絡(luò)(政府內(nèi)網(wǎng)與Internet網(wǎng))進(jìn)行有效的物理隔離同時(shí)保證彼此可以進(jìn)行安全訪問控制；對服務(wù)器進(jìn)行保護(hù)，服務(wù)器主要承載整個(gè)城管局業(yè)務(wù)應(yīng)用、對外服務(wù)、負(fù)責(zé)數(shù)據(jù)的備份等。服務(wù)器的安全會(huì)影響整個(gè)業(yè)務(wù)的正常運(yùn)行，需要對服務(wù)器所在的網(wǎng)段進(jìn)行隔離保護(hù)，對黑客、對系統(tǒng)采取有效的監(jiān)視防御，同時(shí)還需要對網(wǎng)絡(luò)病毒進(jìn)行有效的查殺。 管理需求分析l 產(chǎn)品管理在管理上需要實(shí)現(xiàn)，對防火墻的集中管理，能夠在網(wǎng)管中心對所有節(jié)點(diǎn)的防火墻日志信息進(jìn)行集中的管理和設(shè)置；對入侵監(jiān)測控制系統(tǒng)，能夠在網(wǎng)管中心對所有節(jié)點(diǎn)的入侵檢測系統(tǒng)進(jìn)行集中控制；對網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，能夠在網(wǎng)管中心對所有節(jié)點(diǎn)的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)進(jìn)行集中分析日志；對防病毒控制系統(tǒng)，能夠?qū)λ泄?jié)點(diǎn)的防病毒軟件進(jìn)行包括集中下發(fā)、集中版本升級、病毒庫更新、集中配置管理、遠(yuǎn)程安裝、遠(yuǎn)程殺毒、遠(yuǎn)程報(bào)警功能。l 組織管理良好的安全產(chǎn)品配置和過硬的安全技術(shù)，并不能很好的解決系統(tǒng)的安全問題，必須輔以完善的安全管理體制，才能促使其作用得到完美體現(xiàn)。需要制定一套完善的安全管理體系，同時(shí)需要相應(yīng)的安全產(chǎn)品進(jìn)行有效的配合，從管理和技術(shù)兩個(gè)方面保證系統(tǒng)安全的有效實(shí)施。 服務(wù)需求分析由于黑客攻擊和病毒泛濫對系統(tǒng)的安全隨時(shí)提出了挑戰(zhàn)，需要提供服務(wù)的公司具有專業(yè)的安全人才和專業(yè)的安全技術(shù)，能夠?qū)ψ钚碌南到y(tǒng)安全漏洞、攻擊技術(shù)以及用戶行業(yè)現(xiàn)狀有深入的理解，并能將相應(yīng)的技術(shù)通過產(chǎn)品升級和應(yīng)急服務(wù)等方式及時(shí)提供給用戶，只有這樣才能保證用戶系統(tǒng)在安全性和可用性上具有持續(xù)的保障。由于需要對安全事件進(jìn)行及時(shí)相應(yīng)，在產(chǎn)品和技術(shù)服務(wù)支持上只有能同時(shí)擁有自主產(chǎn)品和安全服務(wù)的綜合性安全公司廠才能對用戶系統(tǒng)安全有所保障。第3 系統(tǒng)設(shè)計(jì) 防火/毒墻系統(tǒng)設(shè)計(jì)一、部署意義防火墻是近年發(fā)展起來的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點(diǎn)檢查網(wǎng)絡(luò)通信，根據(jù)用戶設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通信。通過使用防火墻過濾不安全的服務(wù)，提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)，提供對系統(tǒng)的訪問控制；阻止攻擊者獲得攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，記錄和統(tǒng)計(jì)網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)、攻擊和探測策略執(zhí)行。防火墻屬于一種被動(dòng)的安全防御工具。設(shè)立防火墻的目的是保護(hù)一個(gè)網(wǎng)絡(luò)不受來自另一個(gè)網(wǎng)絡(luò)的攻擊，防火墻的主要功能包括以下幾個(gè)方面： 防火墻提供安全邊界控制的基本屏障。設(shè)置防火墻可提高內(nèi)部網(wǎng)絡(luò)安全性，降低受攻擊的風(fēng)險(xiǎn)； 防火墻體現(xiàn)網(wǎng)絡(luò)安全策略的具體實(shí)施。防火墻集成所有安全軟件（如口令、加密、認(rèn)證、審計(jì)等），比分散管理更經(jīng)濟(jì)； 防火墻強(qiáng)化安全認(rèn)證和監(jiān)控審計(jì)。因?yàn)樗羞M(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流都必須通過防火墻，防火墻也能提供日志記錄、統(tǒng)計(jì)數(shù)據(jù)、報(bào)警處理、審計(jì)跟蹤等服務(wù)； 防火墻能阻止內(nèi)部信息泄漏。防火墻實(shí)際意義上也是一個(gè)隔離器，即能防外，又能防止內(nèi)部未經(jīng)授權(quán)用戶對外網(wǎng)的訪問。二、設(shè)備部署在外網(wǎng)接入口處（即網(wǎng)關(guān)口）部署NGFW4000防火墻及相應(yīng)模塊，NGFW4000千兆防火墻上可最多擴(kuò)展到7個(gè)端口。l 連接方式：防火墻的一個(gè)內(nèi)網(wǎng)口連接到交換機(jī)上（即外網(wǎng)交換機(jī)），防火墻外網(wǎng)端口連接Internet上，通過透明方式連接，創(chuàng)建DMZ區(qū)提供對對外發(fā)布服務(wù)器群的保護(hù)。