【正文】 網(wǎng)絡安全系統(tǒng)設計方案第1 現(xiàn)狀和目標 1第2 需求分析 2 系統(tǒng)安全需求分析 2 功能需求分析 5 管理需求分析 5 服務需求分析 6第3 系統(tǒng)設計 6 防火/毒墻系統(tǒng)設計 6 入侵檢測系統(tǒng)設計 8 網(wǎng)絡安全審計系統(tǒng)設計 10 內(nèi)外網(wǎng)隔離系統(tǒng)設計 11 防病毒系統(tǒng)設計 15 網(wǎng)絡安全風險評估服務設計 16 CA系統(tǒng)設計（參考） 34 遠程災備系統(tǒng)設計（參考） 35第4 產(chǎn)品部署 37 設備部署示意圖 37 設備部署設計 37第5 產(chǎn)品選型 38 防火/毒墻 38 入侵檢測IDS 40 網(wǎng)絡安全審計系統(tǒng) 41 網(wǎng)絡隔離卡 43第6 產(chǎn)品清單 44第1 現(xiàn)狀和目標市城市管理局網(wǎng)絡外網(wǎng)連接Internet（2根電信光纖）和政府專線（即Internet備用線路），內(nèi)網(wǎng)連接政府專網(wǎng)（黨政機關網(wǎng)、國土資源局等）、下屬單位以及區(qū)指揮中心。它不僅是數(shù)據(jù)存儲中心也是數(shù)據(jù)交換中心和業(yè)務處理中心，因此網(wǎng)絡安全問題將成為一個十分突出的問題。目前，市城市管理局網(wǎng)絡系統(tǒng)的安全存在以下問題：l 由于對外發(fā)布服務系統(tǒng)群與互聯(lián)網(wǎng)接口的存在，整個網(wǎng)絡系統(tǒng)容易遭受來自互聯(lián)網(wǎng)的黑客以及病毒攻擊；l 內(nèi)外網(wǎng)沒有做到物理隔離，一旦網(wǎng)絡被侵入將給客戶帶來巨大的損失；l 由于整個系統(tǒng)具有覆蓋地域較廣、使用人員較復雜、以及接入點眾多等特點，而整個系統(tǒng)沒有有效的訪問控制體制，使系統(tǒng)更加容易遭受來自內(nèi)部的非法攻擊行為；l 由于網(wǎng)絡系統(tǒng)的開放性，一旦某一個節(jié)點感染了病毒都能迅速的向全網(wǎng)蔓延，造成整個系統(tǒng)的癱瘓；l 操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及其他應用軟件系統(tǒng)的漏洞都能導致整個信息系統(tǒng)的高安全風險；l 缺乏對系統(tǒng)故障以及安全事件的響應與恢復制度。在網(wǎng)絡技術不斷發(fā)展的今天，針對網(wǎng)絡的各種攻擊手段在不斷更新，故信息安全在市城市管理局信息化建設的每個階段都必須要考慮；l 用戶的身份驗證和數(shù)據(jù)的異地備份也將是安全的主要考慮的方面。為了解決現(xiàn)階段市城市管理局網(wǎng)絡安全的問題，我們將對城管局網(wǎng)絡安全體系進行設計。主要包含以下系統(tǒng)：防火/毒墻系統(tǒng)、入侵檢測系統(tǒng)、網(wǎng)絡安全審計系統(tǒng)、內(nèi)外網(wǎng)隔離系統(tǒng)設計、網(wǎng)絡防病毒系統(tǒng)、網(wǎng)絡安全風險評估服務、CA中心、遠程災備系統(tǒng)。第2 需求分析 系統(tǒng)安全需求分析在闡述網(wǎng)絡面臨的安全威脅之前，我們有必要簡單的了解一下威脅的實質(zhì)。威脅就是將會對資產(chǎn)造成不利影響的潛在的事件或行為，包括自然的、故意的以及偶然的情況。威脅至少包含以下屬性：動機（自然威脅除外）、能力、影響方式等。可以說威脅是不可避免的，我們只能采取有效的措施，盡量減少各種情況造成的威脅。市城市管理局網(wǎng)絡是多種資產(chǎn)的龐大組合，其所面臨的威脅也就是對網(wǎng)絡能夠造成不利影響的一些潛在的事件或者行為，同樣這些威脅包括自然的、故意的以及偶然的情況。我們對城管局網(wǎng)絡面臨的威脅進行分析，我們將努力減少市城市管理局網(wǎng)絡面臨的安全威脅，并努力控制在最小的范圍內(nèi)。一、來自外部安全威脅分析 邊界網(wǎng)絡設備安全威脅網(wǎng)絡系統(tǒng)邊界網(wǎng)絡設備是指不同應用、不同業(yè)務、不同網(wǎng)絡相互連接的設備，如核心路由器及與核心路由器連接的交換機等。從攻擊的角度分析，邊界網(wǎng)絡設備面臨的威脅主要有以下兩點：第一：入侵者通過控制邊界網(wǎng)絡設備，進一步了解網(wǎng)絡拓撲結構，利用網(wǎng)絡滲透搜集信息，為擴大網(wǎng)絡入侵范圍奠定基礎。比如，入侵者可以利用這些網(wǎng)絡設備的系統(tǒng)（Cisco的IOS）漏洞或者配置漏洞，實現(xiàn)對其的控制。第二：通過各種手段，對網(wǎng)絡設備實施拒絕服務攻擊，使網(wǎng)絡設備癱瘓，從而造成整個網(wǎng)絡通信的癱瘓。網(wǎng)絡正日趨被人們所了解，而網(wǎng)絡協(xié)議自然也被越來越多的人所研究，許多網(wǎng)絡協(xié)議的設計漏洞被不斷的公開，這使得越來越多的攻擊利用了網(wǎng)絡協(xié)議的設計漏洞。很多入侵者利用網(wǎng)絡協(xié)議的設計漏洞或者設備本身的漏洞對邊界網(wǎng)絡設備實施拒絕服務攻擊，造成這些網(wǎng)絡設備的性能下降乃至完全癱瘓。 信息基礎安全平臺威脅信息基礎平臺主要是指支撐各種應用與業(yè)務運行的各種操作系統(tǒng)與數(shù)據(jù)庫系統(tǒng)。目前城管局主機采用的操作系統(tǒng)主要是Windows 2000操作系統(tǒng)和SQL Server 2000數(shù)據(jù)庫。相對邊界網(wǎng)絡設備來說，熟知操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的人員的范圍要廣的多，而且在互聯(lián)網(wǎng)上，很容易就能找到許多針對各種操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的漏洞的詳細描述，所以針對操作系統(tǒng)和數(shù)據(jù)庫的入侵攻擊在互聯(lián)網(wǎng)絡中也是最多最常見的。不管是什么操作系統(tǒng)或者數(shù)據(jù)庫系統(tǒng)，只要它運行于網(wǎng)絡上，就必然會有或多或少的端口服務暴露在互聯(lián)網(wǎng)上，而這些端口服務又恰恰可能存在致命的安全漏洞，這無疑會給該系統(tǒng)帶來嚴重的安全威脅，從而也給系統(tǒng)所在的網(wǎng)絡帶來很大的安全威脅。 應用與業(yè)務的網(wǎng)絡威脅在整個網(wǎng)絡系統(tǒng)中，應用與業(yè)務網(wǎng)絡中的數(shù)據(jù)是至關重要，而入侵者當然也會明白這一點，但是應用或業(yè)務網(wǎng)絡往往并不能輕易的被直接入侵成功，所以，惡意的入侵者往往會采取逐步網(wǎng)絡滲透的方法來最終達成其入侵目的。一旦這些關鍵應用系統(tǒng)遭到黑客的入侵或者破壞，將會影響整個市城市管理局網(wǎng)絡的運行，甚至會導致全網(wǎng)業(yè)務系統(tǒng)的崩潰，造成間接或直接的巨大的經(jīng)濟損失。二、來自內(nèi)部安全威脅分析 內(nèi)部網(wǎng)絡的失誤操作行為由于人員的技術水平的局限性以及經(jīng)驗的不足，可能會出現(xiàn)各種意想不到的操作失誤，勢必對系統(tǒng)或者網(wǎng)絡的安全產(chǎn)生較大的影響。 來自內(nèi)部網(wǎng)絡的惡意攻擊與破壞據(jù)統(tǒng)計，有70%的網(wǎng)絡攻擊來自于網(wǎng)絡的內(nèi)部。對于網(wǎng)絡內(nèi)部的安全防范會明顯的弱于對于網(wǎng)絡外部的安全防范，而且由于內(nèi)部人員對于內(nèi)部網(wǎng)絡的熟悉程度一般是很高的，所以，由網(wǎng)絡內(nèi)部發(fā)起的攻擊也就必然更容易成功，因此一旦攻擊成功，其強烈的攻擊目的也就必然促使了更為隱蔽和嚴重的網(wǎng)絡破壞。三、病毒威脅分析在網(wǎng)絡環(huán)境下，網(wǎng)絡病毒除了具有可傳播性、可執(zhí)行性、破壞性、可觸發(fā)性等計算機病毒的共性外，還具有一些新的特點，網(wǎng)絡病毒的這些新的特點都會對網(wǎng)絡與應用造成極大的威脅。l 感染速度快城管局網(wǎng)絡是一個大型網(wǎng)絡，一個節(jié)點有病毒疫情，如果不采取措施進行實時防范的話，病毒就可以在很短的時間內(nèi)傳遍全網(wǎng)，就會給網(wǎng)絡造成危害。l 擴散面廣網(wǎng)絡由網(wǎng)管中心與各節(jié)點網(wǎng)絡構成，如果病毒滲入其中任何一個關聯(lián)網(wǎng)絡，病毒就會通過各種途徑迅速地感染網(wǎng)絡上服務器與工作站，感染范圍有可能覆蓋全網(wǎng)。l 傳播的形式復雜多樣計算機病毒在網(wǎng)絡上一般是通過“工作站服務器工作站”的途徑進行傳播的，但傳播的形式復雜多樣，通過網(wǎng)絡共享、服務漏洞、電子郵件等多種方式進行傳播。l 病毒的智能化程序越來越高網(wǎng)絡病毒可以利用系統(tǒng)的漏洞進行傳播或攻擊；在攜帶特洛伊木馬程序進行對系統(tǒng)遠程破壞與控制；為系統(tǒng)開后門；散播拒絕服務攻擊點，對目標采取分布式拒絕服務攻擊等等。l 難于徹底清除智能化的網(wǎng)絡病毒既可以像傳統(tǒng)病毒一樣感染服務器或客戶端主機的應用文件系統(tǒng)，也兼具網(wǎng)絡黑客技術的特點，通過各種途徑破壞服務器或客戶機的重要數(shù)據(jù)，通過電子郵件系統(tǒng)散播惡意代碼，設置系統(tǒng)后門，竊取系統(tǒng)的重要數(shù)據(jù)與機密信息等。病毒要完成這些復雜的動作，就要對系統(tǒng)進行比較復雜的設置，對系統(tǒng)的影響較大，僅有防病毒軟件很難徹底地從系統(tǒng)上將病毒清除掉。l 破壞性大網(wǎng)絡上病毒將直接影響網(wǎng)絡的工作，輕則降低速度，影響工作效率，重則使網(wǎng)絡崩潰， 破壞服務器信息，造成巨大的直接和間接的經(jīng)濟損失。防病毒一直是網(wǎng)絡安全中需要考慮的因素之一，通過加強管理和預防，將可以對病毒進行有效的控制和預防。 功能需求分析為保障市城市管理局網(wǎng)絡整個業(yè)務的正常持續(xù)的運行，需要對全網(wǎng)的網(wǎng)絡運行狀態(tài)和安全狀態(tài)進行有效監(jiān)視。對網(wǎng)絡邊界設備（Router 、Switch、 Firewall）、基礎設備（主機服務器、數(shù)據(jù)庫）、應用服務（OA、WEB、Mail等）進行相應的保護。從安全功能的角度，需要對二個物理網(wǎng)絡(政府內(nèi)網(wǎng)與Internet網(wǎng))進行有效的物理隔離同時保證彼此可以進行安全訪問控制；對服務器進行保護，服務器主要承載整個城管局業(yè)務應用、對外服務、負責數(shù)據(jù)的備份等。服務器的安全會影響整個業(yè)務的正常運行，需要對服務器所在的網(wǎng)段進行隔離保護，對黑客、對系統(tǒng)采取有效的監(jiān)視防御，同時還需要對網(wǎng)絡病毒進行有效的查殺。 管理需求分析l 產(chǎn)品管理在管理上需要實現(xiàn)，對防火墻的集中管理，能夠在網(wǎng)管中心對所有節(jié)點的防火墻日志信息進行集中的管理和設置；對入侵監(jiān)測控制系統(tǒng)，能夠在網(wǎng)管中心對所有節(jié)點的入侵檢測系統(tǒng)進行集中控制；對網(wǎng)絡安全審計系統(tǒng)，能夠在網(wǎng)管中心對所有節(jié)點的網(wǎng)絡安全審計系統(tǒng)進行集中分析日志；對防病毒控制系統(tǒng)，能夠?qū)λ泄?jié)點的防病毒軟件進行包括集中下發(fā)、集中版本升級、病毒庫更新、集中配置管理、遠程安裝、遠程殺毒、遠程報警功能。l 組織管理良好的安全產(chǎn)品配置和過硬的安全技術，并不能很好的解決系統(tǒng)的安全問題，必須輔以完善的安全管理體制，才能促使其作用得到完美體現(xiàn)。需要制定一套完善的安全管理體系，同時需要相應的安全產(chǎn)品進行有效的配合，從管理和技術兩個方面保證系統(tǒng)安全的有效實施。 服務需求分析由于黑客攻擊和病毒泛濫對系統(tǒng)的安全隨時提出了挑戰(zhàn)，需要提供服務的公司具有專業(yè)的安全人才和專業(yè)的安全技術，能夠?qū)ψ钚碌南到y(tǒng)安全漏洞、攻擊技術以及用戶行業(yè)現(xiàn)狀有深入的理解，并能將相應的技術通過產(chǎn)品升級和應急服務等方式及時提供給用戶，只有這樣才能保證用戶系統(tǒng)在安全性和可用性上具有持續(xù)的保障。由于需要對安全事件進行及時相應，在產(chǎn)品和技術服務支持上只有能同時擁有自主產(chǎn)品和安全服務的綜合性安全公司廠才能對用戶系統(tǒng)安全有所保障。第3 系統(tǒng)設計 防火/毒墻系統(tǒng)設計一、部署意義防火墻是近年發(fā)展起來的重要安全技術，其主要作用是在網(wǎng)絡入口點檢查網(wǎng)絡通信，根據(jù)用戶設定的安全規(guī)則，在保護內(nèi)部網(wǎng)絡安全的前提下，提供內(nèi)外網(wǎng)絡通信。通過使用防火墻過濾不安全的服務，提高網(wǎng)絡安全和減少子網(wǎng)中主機的風險，提供對系統(tǒng)的訪問控制；阻止攻擊者獲得攻擊網(wǎng)絡系統(tǒng)的有用信息，記錄和統(tǒng)計網(wǎng)絡利用數(shù)據(jù)以及非法使用數(shù)據(jù)、攻擊和探測策略執(zhí)行。防火墻屬于一種被動的安全防御工具。設立防火墻的目的是保護一個網(wǎng)絡不受來自另一個網(wǎng)絡的攻擊，防火墻的主要功能包括以下幾個方面： 防火墻提供安全邊界控制的基本屏障。設置防火墻可提高內(nèi)部網(wǎng)絡安全性，降低受攻擊的風險； 防火墻體現(xiàn)網(wǎng)絡安全策略的具體實施。防火墻集成所有安全軟件（如口令、加密、認證、審計等），比分散管理更經(jīng)濟； 防火墻強化安全認證和監(jiān)控審計。因為所有進出網(wǎng)絡的數(shù)據(jù)流都必須通過防火墻，防火墻也能提供日志記錄、統(tǒng)計數(shù)據(jù)、報警處理、審計跟蹤等服務； 防火墻能阻止內(nèi)部信息泄漏。防火墻實際意義上也是一個隔離器，即能防外，又能防止內(nèi)部未經(jīng)授權用戶對外網(wǎng)的訪問。二、設備部署在外網(wǎng)接入口處（即網(wǎng)關口）部署NGFW4000防火墻及相應模塊，NGFW4000千兆防火墻上可最多擴展到7個端口。l 連接方式：防火墻的一個內(nèi)網(wǎng)口連接到交換機上（即外網(wǎng)交換機），防火墻外網(wǎng)端口連接Internet上，通過透明方式連接，創(chuàng)建DMZ區(qū)提供對對外發(fā)布服務器群的保護。