清華中學(xué)網(wǎng)絡(luò)安全改造規(guī)劃方案v(文件)
【正文】 系統(tǒng)授權(quán)、系統(tǒng)完整性、補(bǔ)丁和修正程序方面實時修改。 （ 7） 網(wǎng)管人員統(tǒng)一管理計算機(jī)及其相關(guān)設(shè)備，完整保存計算機(jī)及其相關(guān)設(shè)備的驅(qū)動程序、保修卡及重要隨機(jī)文件。未發(fā)生故障或故障隱患時當(dāng)班人員不可對中繼、光纖、網(wǎng)線及各種設(shè)備進(jìn)行任何調(diào)試，對所發(fā)生的故障、處理過程和結(jié)果等做好詳細(xì)登記。 （ 1） 機(jī)房管理 （ 2） 計算機(jī)病毒防范制度 （ 3）數(shù)據(jù)保密及數(shù)據(jù)備份制度 （ 4） 網(wǎng)絡(luò)安全管理員的職責(zé) . 機(jī)房管理 （ 1） 路由器、交換機(jī)和服務(wù)器以及通信設(shè)備是網(wǎng)絡(luò)的關(guān)鍵設(shè)備，須放置計算機(jī)機(jī)房內(nèi)，不得自行配置或更換，更不能挪作它用。因此應(yīng)該單獨(dú)進(jìn)行保護(hù)，考慮到成本問題，本次方案建議在劃分服務(wù)器 vlan 后，在服務(wù)器群與核心交換機(jī)之間部署原有防火墻，以此對防止內(nèi)網(wǎng) 用戶對服務(wù)器有意、無意的攻擊。 UTM 是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，通 過監(jiān)測、限制、更改跨越 UTM 的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運(yùn)行狀況，有選擇地接受外部訪問，對內(nèi)部強(qiáng)化設(shè)備監(jiān)管、控制對服務(wù)器與外部網(wǎng)絡(luò)的訪問，在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間架起一道屏障，以防止發(fā)生不可預(yù)測的、潛在的破壞性侵入 。根據(jù)清華中學(xué)網(wǎng)絡(luò)現(xiàn)狀，有步驟的分步實施。 . 先進(jìn)性原則 采用當(dāng)今國內(nèi)、國際上最先進(jìn)和成熟的計算機(jī)軟硬件平臺、軟件設(shè)計編程方法、開放式的體系結(jié)構(gòu)和信息安全保障體系，使新建立的系統(tǒng)能夠最大限度地適應(yīng)今后的業(yè)務(wù)發(fā)展變化需要。 清華中學(xué)網(wǎng)絡(luò)安全改造 規(guī)劃 方案 重慶 天融信 第 7 頁 . 多重保護(hù)原則 任何安全措施都不是絕對安全的，都可能被攻破。 . 分步實施原則 由于網(wǎng)絡(luò)系統(tǒng)及其應(yīng)用擴(kuò)展范圍廣闊，隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大及應(yīng)用的增加，網(wǎng)絡(luò)脆弱性也會不斷增加。 . 一致性原則 一致性原則主要是指網(wǎng)絡(luò)安全問題應(yīng)與整個網(wǎng)絡(luò)的工作周期（或生命周期）同時存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相 一致。一個較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。 圖 11 清華中學(xué)網(wǎng)絡(luò)現(xiàn)狀簡圖 . 現(xiàn)狀描述 如圖 11，網(wǎng)絡(luò)現(xiàn)狀如下： ? 學(xué)校通過電信 30M 光纖接入互聯(lián)網(wǎng)，巴南區(qū)教育城域網(wǎng)沒有使用； ? 學(xué)校 網(wǎng)絡(luò) 分為【學(xué)生區(qū)】與【教師區(qū)】 ； 【 學(xué)生區(qū) 】 主要包含學(xué)生機(jī)房，通過機(jī)房接入交換機(jī)連接到網(wǎng)絡(luò)機(jī)房，并通過一臺學(xué)生區(qū)專用防火墻接入 Inter；【教師區(qū)】網(wǎng)絡(luò)與【學(xué)生區(qū)】網(wǎng)絡(luò)類似， 只是【教師區(qū)】包含服務(wù)器，與【學(xué)生區(qū)】使用不同的防火墻連接入 Inter； ? 【學(xué)生區(qū)】與【教師區(qū)】最終通過一臺交換機(jī)接入互聯(lián)網(wǎng)； 清華中學(xué)網(wǎng)絡(luò)安全改造 規(guī)劃 方案 重慶 天融信 第 5 頁 ? 網(wǎng)絡(luò)中包含一臺 3 層交換機(jī)，但是沒有使用三層功能，整個網(wǎng)絡(luò)沒有進(jìn)行 vlan 劃分； ? 網(wǎng)絡(luò)設(shè)備經(jīng)過多年逐次添加，布線混亂 . 網(wǎng)絡(luò)存在問題 對于一套對網(wǎng)絡(luò)可靠性、安全性要求較高的學(xué)校網(wǎng)絡(luò)系統(tǒng)，存在以下安全問題： ? 沒有通過劃分 vlan 對關(guān)鍵應(yīng)用（如服務(wù)器群）或關(guān)鍵終端進(jìn)行二層隔離，使整個網(wǎng)絡(luò) 良好運(yùn)行受到廣播風(fēng)暴、 ARP 病毒的威脅； ? 網(wǎng)絡(luò)防火墻（包括【學(xué)生區(qū)】與【教師區(qū)】）部署于 2020 年 ，根據(jù)測試，設(shè)備已經(jīng)超負(fù)荷運(yùn)行、功能相對簡單，不能滿足保護(hù)整個網(wǎng)絡(luò)安全需要； ? 網(wǎng)絡(luò)結(jié)構(gòu)需要優(yōu)化：當(dāng)前網(wǎng)絡(luò)沒有主干鏈路、 vlan 的概念，給網(wǎng)絡(luò)管理、網(wǎng)絡(luò)排錯、網(wǎng)絡(luò)維護(hù)帶來極大的困擾； ? 在攻擊、網(wǎng)絡(luò)病毒、蠕蟲等網(wǎng)絡(luò)威脅日益嚴(yán)重的今天，整個網(wǎng)絡(luò)缺乏入侵防御、網(wǎng)絡(luò)防毒體系，使得整個網(wǎng)絡(luò)極易受到來自互聯(lián)網(wǎng)的威脅； ? 服務(wù)器群沒有進(jìn)行重點(diǎn)保護(hù) ：服務(wù)器群可能遭受外部或者內(nèi)部的攻擊威脅； ? 網(wǎng)絡(luò)流量沒有良好的控制手段，互聯(lián)網(wǎng)資源不能得到合理分配； ? 機(jī)房布線不規(guī)范，不僅影響美觀，更重要是嚴(yán)重影響故障查找與管理； 2. 本次建議 規(guī)劃原 則 . 需求、風(fēng)險、代價平衡的原則 無論對于任何形式的信息系統(tǒng)，絕對的信息安全都是難以達(dá)到的，而且在一定程度上也是沒有必要的。 版本控制 版本號 日期 參與人員 更新說明 202005 天融信項目組 建立文檔，初始化 分發(fā)控制 編號 讀者
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1