【正文】 應用系統(tǒng)，無論是Windows，還是其它任何商用UNIX操作系統(tǒng)以及其它廠商開發(fā)的應用系統(tǒng)都存在著BUG，據(jù)統(tǒng)計在一個1000行的程序里就將有一個BUG，而象Windows 2000這個約有三千五百萬行至五千萬行的操作系統(tǒng)，其中會存在多少BUG呢？而這些BUG都將存在重大安全隱患，可想而知其安全性如何。每天黑客都在試圖闖入Internet節(jié)點，如果不保持警惕，很容易被入侵，甚至連黑客怎么闖入都不知道，而且該系統(tǒng)還可能成為黑客入侵其他網(wǎng)絡(luò)系統(tǒng)的跳板。網(wǎng)絡(luò)防病毒體系應包括：網(wǎng)關(guān)級的病毒防護、服務器級的病毒防護、群件級（主要指郵件系統(tǒng)）的病毒防護以及個人主機級別的病毒防護，所有的病毒防護組件均應能集中控制，并具備很強的擴展能力。具體可以概括為：在XX信息網(wǎng)中，保證非授權(quán)用戶不能訪問任何一臺服務器、路由器、交換機或防火墻等網(wǎng)絡(luò)設(shè)備。物理安全主要存在以下幾方面風險：l 地震、水災、火災等自然環(huán)境事故造成整個系統(tǒng)毀滅；l 電源故障造成設(shè)備斷電以至操作系統(tǒng)引導失敗或數(shù)據(jù)庫信息丟失；l 設(shè)備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏；l 電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱；l 報警系統(tǒng)的設(shè)計不足可能造成原本可以防止但實際發(fā)生了的事故；網(wǎng)絡(luò)安全不僅是入侵者到企業(yè)內(nèi)部網(wǎng)上進行攻擊、竊取或其它破壞，他們完全有可能在傳輸線路上安裝竊聽裝置，竊取你在網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)，再通過一些技術(shù)讀出數(shù)據(jù)信息，造成泄密或者做一些篡改來破壞數(shù)據(jù)的完整性；以上種種不安全因素都對網(wǎng)絡(luò)構(gòu)成嚴重的安全危脅。 XX信息網(wǎng)安全需求分析根據(jù)我們分析XX信息網(wǎng)信息系統(tǒng)的安全風險，主要由三部分內(nèi)容組成，第一是環(huán)境的威脅，第二是系統(tǒng)自身的脆弱性，第三是安全破壞的影響力。216。216。目前在全國有完善的授權(quán)培訓體系。同時，公司又充分運用方正的品牌、技術(shù)、渠道優(yōu)勢，整合國內(nèi)外資源，不斷為廣大用戶提供最好的信息安全的解決方案與應用服務。網(wǎng)絡(luò)與信息安全二者的有機結(jié)合需要能提供高技術(shù)、高質(zhì)量產(chǎn)品和高水準安全服務的公司。方正信息安全技術(shù)有限公司擁有雄厚的研發(fā)力量和網(wǎng)絡(luò)安全經(jīng)驗，依托北京大學研究所和北大方正研究院的研發(fā)力量，并以極大的信心和飽滿的熱情，在XX信息網(wǎng)絡(luò)安全方案初步設(shè)想的基礎(chǔ)上，根據(jù)XX信息管理網(wǎng)絡(luò)安全的特點和需求，本著切合實際、保護投資、著眼未來、分步建設(shè)的原則，提出了針對XX信息網(wǎng)安全需求的解決方案。因此，除了良好的產(chǎn)品品質(zhì)、可靠的企業(yè)品牌和信譽之外，能否為用戶提供全面和優(yōu)質(zhì)的網(wǎng)絡(luò)安全服務，已成為國內(nèi)用戶選擇安全產(chǎn)品的主要準則。同時行業(yè)和行業(yè)之間也存在比較大的差異，比如軍隊行業(yè)網(wǎng)絡(luò)結(jié)構(gòu)和政府行業(yè)網(wǎng)絡(luò)結(jié)構(gòu)差別就很大。它既涉及對外部攻擊的有效防范，又包括制定完善的內(nèi)部安全保障制度；既涉及防病毒攻擊，又涵蓋實時檢測、數(shù)據(jù)加密和安全評估等內(nèi)容。尤其對于政府和軍隊而言，如果網(wǎng)絡(luò)安全問題不能得到妥善的解決，將會對國家安全帶來嚴重的威脅。 XXXX網(wǎng)絡(luò)安全系統(tǒng)設(shè)計方案方正信息安全技術(shù)有限公司版權(quán)所有169。一些國內(nèi)用戶對網(wǎng)絡(luò)安全的認識存在一些誤區(qū)：把網(wǎng)絡(luò)安全幾乎全部依賴于所安裝的防火墻系統(tǒng)和防病毒軟件，認為只要安裝了這些設(shè)備，網(wǎng)絡(luò)就安全了；他們沒有認識到網(wǎng)絡(luò)安全是動態(tài)的、整體的，不可能僅靠單一安全產(chǎn)品就能實現(xiàn)。因此，網(wǎng)絡(luò)安全解決方案不應僅僅提供對于某種安全隱患的防范能力，而是應涵蓋對于各種可能造成網(wǎng)絡(luò)安全問題隱患的整體防范能力；同時，它還應該是一種動態(tài)的解決方案，能夠隨著網(wǎng)絡(luò)安全需求的增加而不斷改進和完善。行業(yè)用戶的網(wǎng)絡(luò)一般比較復雜，網(wǎng)絡(luò)節(jié)點繁多，而且行業(yè)用戶網(wǎng)絡(luò)上面?zhèn)鬏數(shù)臄?shù)據(jù)大部分為涉秘信息，因此網(wǎng)絡(luò)信息安全的設(shè)計必須非常的完善和全面。信息安全服務已不再僅僅局限于產(chǎn)品售后服務，而是貫穿從前期咨詢、安全風險評估、安全項目實施到安全培訓、售后技術(shù)支持、系統(tǒng)維護、產(chǎn)品更新這種項目周期的全過程。方正信息安全技術(shù)有限公司是北大方正集團的全資子公司，是專注于信息安全和網(wǎng)絡(luò)管理解決方案的研發(fā)、生產(chǎn)、銷售、服務、咨詢的專業(yè)廠商。方正信息安全技術(shù)有限公司（以下簡稱方正信息安全）通過自身的研發(fā)以及與國內(nèi)外著名IT公司的合作，形成了完備的網(wǎng)絡(luò)安全產(chǎn)品線體系和網(wǎng)絡(luò)管理產(chǎn)品線體系，涉及防火墻、防病毒、入侵檢測、虛擬專用網(wǎng)等各個安全領(lǐng)域和網(wǎng)絡(luò)架構(gòu)管理、桌面管理等網(wǎng)絡(luò)管理領(lǐng)域。方正信息安全已經(jīng)在政府、公安、銀行、證券、保險、電信、教育、電力、能源、交通等各個行業(yè)擁有眾多用戶群。我們已經(jīng)建立了完備的C++授權(quán)服務體系，通過覆蓋全國的專業(yè)授權(quán)服務渠道構(gòu)建完善的服務網(wǎng)絡(luò)，目前已在全國建立了包括西藏和臺灣在內(nèi)的60多家授權(quán)服務中心，真正有能力為用戶提供本地化的高質(zhì)量售后實施與咨詢服務。 主機系統(tǒng)：配置一臺UNIX服務器作為數(shù)據(jù)庫服務器，在其上運行數(shù)據(jù)庫系統(tǒng)軟件，主要提供數(shù)據(jù)存儲服務，配置一臺UNIX服務器作為應用服務器，在其上運行中間件系統(tǒng)軟件，主要處理專網(wǎng)業(yè)務，并響應前端WEB接入請求及對后臺數(shù)據(jù)庫中數(shù)據(jù)進行調(diào)用。 PC服務器：配置兩臺部門級PC服務器作為公網(wǎng)及專網(wǎng)的WEB服務器，提供WEB接入、公網(wǎng)、專網(wǎng)信息的發(fā)布功能，配置一臺PC服務器作為系統(tǒng)管理服務器，提供安全、網(wǎng)絡(luò)管理服務功能，配置一臺PC服務器作為MAIL服務器，提供 郵件系統(tǒng)處理和存儲功能。只有三方面的綜合作用，才會構(gòu)成實際的安全風險。因此，對于XX電子政務綜合應用平臺這樣帶有重要信息傳輸?shù)木W(wǎng)絡(luò)，數(shù)據(jù)在鏈路上傳輸必須加密。 內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)（相對于本地局域網(wǎng)以外的網(wǎng)絡(luò)），考慮采用硬件防火墻設(shè)備進行邏輯隔離，控制來自內(nèi)外網(wǎng)絡(luò)的用戶對重要業(yè)務系統(tǒng)的訪問。因特網(wǎng)的共享性和開放性使網(wǎng)上信息安全存在先天不足，因為其賴以生存的TCP/IP協(xié)議族，缺乏相應的安全機制，而且因特網(wǎng)最初的設(shè)計考慮是該網(wǎng)不會因局部故障而影響信息的傳輸，基本沒有考慮安全問題，因此他在安全可靠、服務質(zhì)量、帶寬和方便性等方面存在著不適應性。影響所及，還可能涉及許多其它安全敏感領(lǐng)域，如網(wǎng)絡(luò)傳輸中的數(shù)據(jù)被黑客篡改和刪除，其后果將不堪設(shè)想。但是從實際應用上，系統(tǒng)的安全程度與對其進行安全配置及系統(tǒng)的應用面有很大關(guān)系。一旦被利用并攻擊，將帶來不可估量的損失，如前段時間網(wǎng)絡(luò)上流傳非常兇猛的“沖擊波”病毒，就是一個以微軟公司W(wǎng)indows系列操作系統(tǒng)的一個漏洞為基礎(chǔ)的破壞性、傳染性都很強的蠕蟲病毒。WWW服務器安全風險l 服務器崩潰，各種WEB應用服務停止；l WEB服務腳本的安全漏洞，遠程溢出(.Printer漏洞)；l 通過WEB服務服務獲取系統(tǒng)的超級用戶特權(quán)；l WEB頁面被惡意刪改；l 通過WEB服務上傳木馬等非法后門程序，以達到對整個服務器的控制；l WEB服務器的數(shù)據(jù)源，被非法入侵，用戶的一些私有信息被竊；l 利用WEB服務器作為跳板，進而攻擊內(nèi)部的重要數(shù)據(jù)庫服務器；l 拒絕服務器攻擊或分布式拒絕服務攻擊；l 針對IIS攻擊的工具，如IIS Crash；l 各種網(wǎng)絡(luò)病毒的侵襲，如Nimda,Redcode II等；l 惡意的JavaApplet,Active X攻擊等；l WEB 服務的某些目錄可寫；l CGIBIN目錄未授權(quán)可寫，采用默認設(shè)置，一些系統(tǒng)程序沒有刪除。因為缺少必要的訪問控制策略。 服務漏洞Web服務器本身不能保證沒有漏洞，不法分子可能利用服務的漏洞修改頁面，甚至破壞服務器。黑客或一些不法份子會通過一些手段，設(shè)法在線路上獲得傳輸?shù)臄?shù)據(jù)信息，造成信息的泄密。例如：一種簡單的附著在文件上的病毒將遵照以下步驟感染你系統(tǒng)中的文件。l 病毒將自身拷貝到計算機內(nèi)存后，它將等待你來運行機器上的其他程序。l 病毒繼續(xù)這個過程，直到計算機上的所有程序被感染或關(guān)機。因此，XX信息網(wǎng)網(wǎng)絡(luò)中一旦有一臺主機受病毒感染，則病毒程序就完全可能在極短的時間內(nèi)迅速擴散，傳播到網(wǎng)絡(luò)上的所有主機，有些病毒會在你的系統(tǒng)中自動打包一些文件自動從發(fā)件箱中發(fā)出。存有惡意的入侵者便有機會得到入侵的條件。這些都將給網(wǎng)絡(luò)造成極大的安全風險。第三章XX信息網(wǎng)安全解決方案設(shè)計與組成信息安全“三元論”方正信息安全公司的安全理念突出地表現(xiàn)為國際公認的“三元論”——信息安全有三個要素：策略、管理和技術(shù)。立體安全防護體系為了更為有效的保證政府、企業(yè)、行業(yè)信息化網(wǎng)絡(luò)和電子政務、電子商務應用的安全，方正信息安全公司提出了兩個理念：立體安全防護體系和安全服務支撐體系。防護、檢測、響應、恢復和取證組成了一個完整的、動態(tài)的安全循環(huán)，在安全策略的指導下保證信息系統(tǒng)的安全。通過防火墻監(jiān)視限制進出網(wǎng)絡(luò)的數(shù)據(jù)包，可以防范外對內(nèi)及內(nèi)對外的非法訪問，提高了網(wǎng)絡(luò)的防護能力，當然需要根據(jù)安全策略制定合理的防火墻策略；也可以利用上網(wǎng)行為控制審計的方法來增加系統(tǒng)的安全性等等。從某種意義上講，安全問題就是要解決緊急響應和異常處理問題。 XX信息網(wǎng)安全系統(tǒng)設(shè)計的原則和目標結(jié)合XX信息網(wǎng)內(nèi)部網(wǎng)絡(luò)的實際情況，針對目前計算機網(wǎng)絡(luò)硬件安全設(shè)備的總體設(shè)計和實施，方正集團依據(jù)國家有關(guān)信息安全政策、法規(guī)，根據(jù)XX信息網(wǎng)工作實際需要和我國政府工作信息化建設(shè)的實際情況，使之達到安全、可靠運行、節(jié)儉使用，便于工作和管理維護，符合國家有關(guān)規(guī)定信息安全系統(tǒng)的設(shè)計和實現(xiàn)應遵循如下原則：252。252。252。252。252。252。作為信息安全的保障，我們在安全產(chǎn)品選型時強烈建議使用國內(nèi)自主開發(fā)的優(yōu)秀的網(wǎng)絡(luò)安全產(chǎn)品，將安全風險降至最低。因此通過上面的分析，我們推薦XX信息網(wǎng)的網(wǎng)絡(luò)安全方案使用如下的設(shè)計模式：防火墻＋入侵檢測＋防病毒＋網(wǎng)管軟件是切實可行的。通過采取對進出網(wǎng)絡(luò)數(shù)據(jù)流的監(jiān)測、分析、過濾或計量等方式，以包過濾、地址轉(zhuǎn)換、包狀態(tài)檢測、應用代理、流量計費或帶寬控制等技術(shù)，來實現(xiàn)對Internet出口處的統(tǒng)一、有效的管理。重點保護關(guān)鍵服務器是非常有實際意義的安全措施。針對上面的安全層次，依據(jù)我們的安全系統(tǒng)設(shè)計原則，并結(jié)合XX網(wǎng)絡(luò)系統(tǒng)的實際情況和需求，采用一系列產(chǎn)品搭建安全防范體系，通過安全技術(shù)和管理手段，使安全產(chǎn)品充分發(fā)揮其安全保護的作用。內(nèi)部網(wǎng)絡(luò)和外部公用信息網(wǎng)的連接處為網(wǎng)絡(luò)邊界。對于網(wǎng)絡(luò)XX與Internet網(wǎng)連接出口來說，是XX M接口，我們本著合理投資，充分應用的原則，從實用性的角度配置使用方正FS XX百兆防火墻。不安全地連接到網(wǎng)絡(luò)服務會影響整個機構(gòu)的安全，所以，只能讓用戶直接訪問已明確授權(quán)使用的服務和已明確授權(quán)使用的內(nèi)容。由于優(yōu)良的性能、完善的功能和特有的黑區(qū)設(shè)計，我們推薦方正信息安全的方正FS XX百兆防火墻，用于限制外部網(wǎng)絡(luò)對數(shù)據(jù)中心內(nèi)網(wǎng)資源（含公網(wǎng)服務器區(qū)）的非法訪問，保護數(shù)據(jù)中心內(nèi)網(wǎng)上的各種信息資源。公網(wǎng)用戶可以通過方正FS XX映射的公網(wǎng)地址訪問內(nèi)部隱藏掉合法地址的服務器所提供的服務,在方正FS XX防火墻上啟動多級內(nèi)容過濾功能，以限制內(nèi)部員工訪問反動、黃色和其他不良網(wǎng)站，同時可以對URL、 攜帶的Java Applet、JavaScript、ActiveX等可能含有木馬的程序進行過濾，防止其利用內(nèi)部網(wǎng)系統(tǒng)進行破壞。方正FS XX防火墻的DMZ口接公眾網(wǎng)服務器區(qū)的交換機，形成對DMZ區(qū)的保護。將外部對內(nèi)部（內(nèi)部局域網(wǎng)）、DMZ內(nèi)服務訪問明確限制，防止非法對內(nèi)部重要系統(tǒng)，特別是業(yè)務系統(tǒng)的訪問?！?內(nèi)部網(wǎng)絡(luò)：內(nèi)部網(wǎng)絡(luò)（內(nèi)部局域網(wǎng)）到外部網(wǎng)絡(luò)（Internet）也要進行嚴格的限制。內(nèi)部員工對外網(wǎng)WWW訪問采用代理方式。● 被動防御和主動防御被動防御是指通過防火墻預置策略和防御閥值實施靜態(tài)防護，F(xiàn)SXX防火墻通過其深層的狀態(tài)檢測技術(shù)和內(nèi)建防御策略可以有效防止多種攻擊，如ICMP 重定向、IP 來源路由、DOSamp。IPMAC地址綁定作用在于：l 避免用戶隨意更改IP地址。而借助防火墻的多映射功能，可以將對外的同一地址映射為內(nèi)部網(wǎng)絡(luò)和DMZ區(qū)域不同服務的不同端口?！窀邔討帽O(jiān)控和過濾FSXX防火墻在完成高性能的包過濾策略和深層狀態(tài)檢測的同時，也提供對常用高層應用服務如：HTTP 、FTP 、SMTP等應用層的監(jiān)控和過濾支持?！?防火墻選型防火墻是網(wǎng)絡(luò)安全領(lǐng)域首要的、基礎(chǔ)的設(shè)施，它對維護內(nèi)部網(wǎng)絡(luò)的安全起著重要的作用。其功能強大，是未來防火墻技術(shù)發(fā)展的一個主要趨勢。它盡可能地減少由于添加了安全設(shè)備而給網(wǎng)絡(luò)速度造成影響。以世界的趨勢來講，能具備安全性及速度的網(wǎng)絡(luò)產(chǎn)品是通常使用客戶化的操作系統(tǒng)及硬件，該類產(chǎn)品與使用一般操作系統(tǒng)的網(wǎng)絡(luò)安全產(chǎn)品比較有一下優(yōu)勢： ——減少安裝、操作的負擔，易于安裝使用。訪問控制是防火墻系統(tǒng)的基本功能，防火墻會檢查向 Intranet 發(fā)送的信息包，只有經(jīng)過驗證的信息包才能進入許可的服務或用戶網(wǎng)絡(luò)，而所有未經(jīng)驗證的信息包都會受到阻擋。而采用狀態(tài)檢測技術(shù)的防火墻在運行過程中一直維護著一張動態(tài)狀態(tài)表，這張表記錄了從受保護網(wǎng)絡(luò)發(fā)出的數(shù)據(jù)包的狀態(tài)信息，然后防火墻根據(jù)該表內(nèi)容對返回受保護網(wǎng)絡(luò)的數(shù)據(jù)包進行分析判斷，這樣，只有響應受保護網(wǎng)絡(luò)請求的數(shù)據(jù)包才被放行。也就是說，如果要保護的主機與防火墻直接相連，可以將此機器的 IP 與其物理網(wǎng)卡地址捆綁，這樣其他內(nèi)部機器就不可能盜用這個IP地址通過防火墻。 內(nèi)容過濾是在、ftp和smtp等協(xié)議層根據(jù)過濾條件對信息流進行控制，可以過濾URL、攜帶的Java Applet、JavaScript、ActiveX、Servlet、CGI、PHP、img；電子郵件的subject、to、from和text域，電子郵件附加的DOC和ZIP文件；FTP下載和上載文件的內(nèi)容等可能包含危險信息，如病毒、非法的關(guān)鍵字、非法操作命令等。252。 轉(zhuǎn)換發(fā)送者或收信者的數(shù)據(jù)格式為特別文句。(a)WEB安全功能：252。252。(b)Dos形態(tài)的攻擊、入侵檢測或Blocking功能、Fragmentation，SYN flooding等抗攻擊能力。NAT技術(shù)有多種，它們包括靜態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換、動態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換、網(wǎng)絡(luò)地址及端口轉(zhuǎn)換、動態(tài)網(wǎng)絡(luò)地址及端口轉(zhuǎn)換等等。有助于防止受到來自外部網(wǎng)絡(luò)、虛擬專用網(wǎng)絡(luò) (VPN)、網(wǎng)絡(luò)監(jiān)控和網(wǎng)絡(luò)入侵檢