數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)項(xiàng)目技術(shù)方案-全文預(yù)覽
【正文】 數(shù)據(jù)庫系統(tǒng)安全?？刂婆_可掛接存儲設(shè)備（如NAS存儲）。通過部署入侵檢測系統(tǒng)可以起到以下目的：（1）入侵檢測網(wǎng)絡(luò)入侵檢測系統(tǒng)（IDS）可以實(shí)現(xiàn)對黑客攻擊（緩沖區(qū)溢出、SQL注入、暴力猜測、拒絕服務(wù)、掃描探測、非授權(quán)訪問等）、蠕蟲病毒、木馬后門、間諜軟件、僵尸網(wǎng)絡(luò)等進(jìn)行實(shí)時檢測及報警。. 部署方式及說明IPS串行部署在網(wǎng)絡(luò)主干鏈路上，用于安全域邊界的入侵防護(hù)，可以采用透明工作模式，工作口不需要配置ip，不影響網(wǎng)絡(luò)路由結(jié)構(gòu)。. 入侵防御. 部署目的雖然訪問控制系統(tǒng)（如防火墻）可以靜態(tài)的實(shí)施訪問控制策略，防止一些非法的訪問等，但對利用合法的訪問手段或其它的攻擊手段（比如，利用內(nèi)部系統(tǒng)的漏洞等）對系統(tǒng)入侵和內(nèi)部用戶的入侵等是沒有辦法控制的；因此，系統(tǒng)內(nèi)需要建設(shè)統(tǒng)一的符合國家規(guī)定的安全檢測機(jī)制，實(shí)現(xiàn)對網(wǎng)絡(luò)系統(tǒng)進(jìn)行自動的入侵檢測和分析，對非法信息予以過濾，提高系統(tǒng)整體安全性。. WEB應(yīng)用安全網(wǎng)關(guān). 部署目的Web應(yīng)用安全網(wǎng)關(guān)（Web Application Gateway，簡稱WAG）是新一代Web安全防護(hù)與應(yīng)用交付類應(yīng)用安全產(chǎn)品，主要針對Web服務(wù)器進(jìn)行HTTP/HTTPS流量分析，防護(hù)以Web應(yīng)用程序漏洞為目標(biāo)的攻擊，并針對Web應(yīng)用訪問各方面進(jìn)行優(yōu)化，以提高Web或網(wǎng)絡(luò)協(xié)議應(yīng)用的可用性、性能和安全性，確保Web業(yè)務(wù)應(yīng)用能夠快速、安全、可靠地交付。. 部署方式及說明防火墻串行部署在網(wǎng)絡(luò)主干鏈路上，用于網(wǎng)絡(luò)安全邊界的訪問控制，可以采用透明工作模式，工作口不需要配置ip，不影響網(wǎng)絡(luò)路由結(jié)構(gòu)。由于防DOS串行在網(wǎng)絡(luò)出口，所以選擇雙機(jī)部署。即使是對于初級網(wǎng)絡(luò)水平的人來說，使用這些攻擊也是很簡單的事情。其中，TCP SYN FLOOD和UDP FLOOD等常見虛假源IP地址攻擊事件約占70%，對其溯源和處臵難度較大。利益驅(qū)使DDoS的規(guī)模進(jìn)一步擴(kuò)大。在網(wǎng)絡(luò)中各個主機(jī)上部署網(wǎng)絡(luò)版防病毒軟件，并且在安全管理區(qū)部署網(wǎng)絡(luò)防病毒主控端。（4）數(shù)據(jù)庫安全域數(shù)據(jù)庫安全域邊界部署一臺安全域防火墻，采取有效的訪問控制策略；同時在安全域交換機(jī)旁路部署一臺安全審計系統(tǒng)，對網(wǎng)絡(luò)運(yùn)維管理和數(shù)據(jù)庫操作進(jìn)行全面審計。在網(wǎng)絡(luò)出口部署兩臺入侵防御設(shè)備對進(jìn)行XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進(jìn)行檢測，從而判斷數(shù)據(jù)中是否含有惡意攻擊與惡意代碼。安全域之間利用防火墻進(jìn)行隔離。（5）生命周期原則對于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過程中要考慮工程化的管理。（3）深度防御原則根據(jù)網(wǎng)絡(luò)應(yīng)用訪問的順序，逐層進(jìn)行防御，保護(hù)核心應(yīng)用的安全。是將業(yè)務(wù)按安全域的要求強(qiáng)性劃分，還是合并安全域以滿足業(yè)務(wù)要求？必須綜合考慮業(yè)務(wù)隔離的難度和合并安全域的風(fēng)險（會出現(xiàn)有些資產(chǎn)保護(hù)級別不夠），從而給出合適的安全域劃分。在保證安全的同時，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。訪問控制啟用訪問控制功能，實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離 對系統(tǒng)安全加固，限制默認(rèn)帳戶、時刪除多余的、過期的帳戶等安全審計用戶行為、系統(tǒng)資源、系統(tǒng)安全事件審計采用主機(jī)審計措施，通過安全管理平臺對操作系統(tǒng)、數(shù)據(jù)庫進(jìn)行監(jiān)控管理入侵防范操作系統(tǒng)最小安裝的原則、及時更新系統(tǒng)補(bǔ)丁對主機(jī)進(jìn)行漏洞檢查，并部署入侵防范設(shè)備。（2）對信息系統(tǒng)及數(shù)據(jù)主動攻擊威脅試圖阻斷或攻破保護(hù)機(jī)制（內(nèi)網(wǎng)或外網(wǎng)）；偷竊或篡改信息；利用社會工程攻擊欺騙合法用戶（如匿名詢問合法用戶賬號）；偽裝成合法用戶和服務(wù)器進(jìn)行攻擊；IP地址欺騙攻擊；拒絕服務(wù)攻擊；利用協(xié)議和基礎(chǔ)設(shè)施的安全漏洞進(jìn)行攻擊；利用遠(yuǎn)程接入用戶對內(nèi)網(wǎng)進(jìn)行攻擊；建立非授權(quán)的網(wǎng)絡(luò)連接；監(jiān)測遠(yuǎn)程用戶鏈路、修改傳輸數(shù)據(jù)；解讀未加密或弱加密的傳輸信息；惡意代碼和病毒攻擊。二是網(wǎng)絡(luò)管理通訊混亂使網(wǎng)絡(luò)基礎(chǔ)設(shè)施失去控制的攻擊。. 安全威脅分析. 被動攻擊產(chǎn)生的威脅（1）網(wǎng)絡(luò)和基礎(chǔ)設(shè)施的被動攻擊威脅局域網(wǎng)/骨干網(wǎng)線路的竊聽；監(jiān)視沒被保護(hù)的通信線路；破譯弱保護(hù)的通信線路信息；信息流量分析；利用被動攻擊為主動攻擊創(chuàng)造條件以便對網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)備進(jìn)行破壞，如截獲用戶的賬號或密碼以便對網(wǎng)絡(luò)設(shè)備進(jìn)行破壞；機(jī)房和處理信息終端的電磁泄露。提供信息訪問。因用戶網(wǎng)絡(luò)為新建網(wǎng)絡(luò)，所以本次建設(shè)將完全按照《信息安全技術(shù)信息安全等級保護(hù)基本要求》中技術(shù)部分要求進(jìn)行。根據(jù)用戶需求，在本次建設(shè)完畢后XX數(shù)據(jù)中心網(wǎng)絡(luò)將達(dá)到等保三級的技術(shù)要求。XX數(shù)據(jù)中心平臺也可通過政務(wù)外網(wǎng)，環(huán)保專網(wǎng)與相關(guān)部分進(jìn)行信息交互。運(yùn)行的脆弱性：監(jiān)控系統(tǒng)的脆弱性，無入侵檢測設(shè)備，響應(yīng)和恢復(fù)機(jī)制的不完善。. 主動攻擊產(chǎn)生的威脅（1）對網(wǎng)絡(luò)和基礎(chǔ)設(shè)施的主動攻擊威脅一是可用帶寬的損失攻擊，如網(wǎng)絡(luò)阻塞攻擊、擴(kuò)散攻擊等。三是網(wǎng)絡(luò)管理通信的中斷攻擊，它是通過攻擊網(wǎng)絡(luò)底層設(shè)備的控制信號來干擾網(wǎng)絡(luò)傳輸?shù)挠脩粜畔?；引入病毒攻擊；引入惡意代碼攻擊。3. 安全需求分析. 等級保護(hù)要求分析. 網(wǎng)絡(luò)安全類別控制點(diǎn)重點(diǎn)要求項(xiàng)對應(yīng)措施網(wǎng)絡(luò)安全結(jié)構(gòu)安全交換設(shè)備的冗余、網(wǎng)絡(luò)劃分與隔離安全域劃分，通過安全管理平臺進(jìn)行網(wǎng)絡(luò)拓?fù)涔芾碓L問控制網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能安全域邊界增加部署防火墻設(shè)備安全審計對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、
公司管理相關(guān)推薦
鄂ICP備17016276號-1