【正文】 以及運行當中，定期的風險評估可對組織的信息安全當前狀態(tài)提供一個科學的、準確的圖像，既可反映組織的信息安全現狀，為控制措施的選擇和應用提供參照，也可為下一次的安全評估提供基線。本項目中將提供每季一次的安全評估服務。 網絡安全風險評估服務設計網絡安全檢測與評估是保證計算機網絡信息系統(tǒng)安全運行的重要手段，對于準確掌握計算機網絡信息系統(tǒng)的安全狀況具有重要意義。網絡是病毒傳播的最快的途徑之一，病毒程序可以通過網上下載、電子郵件、使用盜版光盤或軟盤、人為投放等傳播途徑潛入內部網。 應用廣泛不依賴于操作系統(tǒng)，可以應用于所有使用IDE－ATA硬盤的PC系統(tǒng)。內外網之間數據的交換只能通過存儲介質來完成，從而保證安全（內網）環(huán)境與非安全（外網）環(huán)境的物理隔離。作為網絡安全隔離卡的一項配套產品，可以使已有的單布線網絡，通過已裝有網絡安全隔離卡的終端安全地從桌面聯(lián)接到兩個不同的網絡上去。標準的19″面板，支持8口或24口終端用戶工作站的內外網訪問，它檢測網絡安全隔離卡發(fā)出的特殊信號，識別出所連接的計算機，自動將其網絡線路切換至相應網絡的交換機上。網絡安全隔離卡原理示意圖如上圖所示網絡安全隔離卡是一個數據安全設備，它使用兩個獨立硬盤對應于兩種網絡環(huán)境，一個硬盤對應于外部局域網(如Internet)，另一個硬盤則對應于內部局域網。通過隔離卡操作軟件控制內部網絡與外部網絡之間的切換以及對應的網絡連接，在任何狀態(tài)兩塊硬盤均不存在數據共享，確保兩個網絡環(huán)境實現完全物理隔離。其次政府辦公及上網都在一套系統(tǒng)、一塊硬盤操作中進行，一旦出現黑客入侵，將出現城管局的數據被竊取或被損壞，從而造成不可估量的損失。實現自動關鍵詞發(fā)件內容審計檢查。三、功能設計l 網絡行為監(jiān)控、信息內容審計FTP 、HTT、POPSMTP、IMAP協(xié)議監(jiān)控、審計，同時還可以監(jiān)控、審計網絡聊天和即時通訊。 網絡安全審計系統(tǒng)設計一、部署意義TAW 是面向企業(yè)級的內容審計與行為審計為一體的產品，它能以旁路的方式部署在網絡中，不影響網絡的性能。不會影響業(yè)務系統(tǒng)的性能；l 由于網絡入侵檢測系統(tǒng)不像路由器、防火墻等關鍵設備方式工作，它不會成為系統(tǒng)中的關鍵路徑。主機型入侵檢測系統(tǒng)依賴于服務器固有的日志與監(jiān)視能力。網絡型入侵檢測（NIDS）系統(tǒng)是通過嗅探器按照匹配規(guī)則從網絡上獲取與入侵安全事件關聯(lián)的數據包，傳遞給入侵分析引擎器進行歸類篩選和安全分析判斷。它能監(jiān)視網絡中的活動事件，尋找有攻擊企圖和未經授權的訪問行為。 入侵檢測系統(tǒng)設計一、部署意義利用防火墻技術,經過詳細的配置，通常能夠在內外網之間提供安全的網絡保護，降低網絡安全風險?？煞乐构粽咄ㄟ^外部網對重要服務器的源路由攻擊、IP碎片包攻擊、DNS / RIP / ICMP攻擊、SYN攻擊、拒絕服務攻擊等多種攻擊。l 利用防火墻的帶寬控制功能，調整鏈路的帶寬利用防火墻是一種網關型的設備，而且天融信防火墻具有帶寬控制的特性，可以依據應用來限制流量，來調整鏈路的帶寬。規(guī)則設置上可配置默認為禁止所有，再打開必要的服務。l 連接方式：防火墻的一個內網口連接到交換機上（即外網交換機），防火墻外網端口連接Internet上，通過透明方式連接，創(chuàng)建DMZ區(qū)提供對對外發(fā)布服務器群的保護。防火墻集成所有安全軟件（如口令、加密、認證、審計等），比分散管理更經濟； 防火墻強化安全認證和監(jiān)控審計。通過使用防火墻過濾不安全的服務，提高網絡安全和減少子網中主機的風險，提供對系統(tǒng)的訪問控制；阻止攻擊者獲得攻擊網絡系統(tǒng)的有用信息，記錄和統(tǒng)計網絡利用數據以及非法使用數據、攻擊和探測策略執(zhí)行。需要制定一套完善的安全管理體系，同時需要相應的安全產品進行有效的配合，從管理和技術兩個方面保證系統(tǒng)安全的有效實施。從安全功能的角度，需要對二個物理網絡(政府內網與Internet網)進行有效的物理隔離同時保證彼此可以進行安全訪問控制；對服務器進行保護，服務器主要承載整個城管局業(yè)務應用、對外服務、負責數據的備份等。l 破壞性大網絡上病毒將直接影響網絡的工作，輕則降低速度，影響工作效率，重則使網絡崩潰， 破壞服務器信息，造成巨大的直接和間接的經濟損失。l 傳播的形式復雜多樣計算機病毒在網絡上一般是通過“工作站服務器工作站”的途徑進行傳播的，但傳播的形式復雜多樣，通過網絡共享、服務漏洞、電子郵件等多種方式進行傳播。對于網絡內部的安全防范會明顯的弱于對于網絡外部的安全防范，而且由于內部人員對于內部網絡的熟悉程度一般是很高的，所以，由網絡內部發(fā)起的攻擊也就必然更容易成功，因此一旦攻擊成功，其強烈的攻擊目的也就必然促使了更為隱蔽和嚴重的網絡破壞。 應用與業(yè)務的網絡威脅在整個網絡系統(tǒng)中，應用與業(yè)務網絡中的數據是至關重要，而入侵者當然也會明白這一點，但是應用或業(yè)務網絡往往并不能輕易的被直接入侵成功，所以，惡意的入侵者往往會采取逐步網絡滲透的方法來最終達成其入侵目的。 信息基礎安全平臺威脅信息基礎平臺主要是指支撐各種應用與業(yè)務運行的各種操作系統(tǒng)與數據庫系統(tǒng)。比如，入侵者可以利用這些網絡設備的系統(tǒng)（Cisco的IOS）漏洞或者配置漏洞，實現對其的控制。市城市管理局網絡是多種資產的龐大組合，其所面臨的威脅也就是對網絡能夠造成不利影響的一些潛在的事件或者行為，同樣這些威脅包括自然的、故意的以及偶然的情況。第2 需求分析 系統(tǒng)安全需求分析在闡述網絡面臨的安全威脅之前，我們有必要簡單的了解一下威脅的實質。目前，市城市管理局網絡系統(tǒng)的安全存在以下問題：l 由于對外發(fā)布服務系統(tǒng)群與互聯(lián)網接口的存在，整個網絡系統(tǒng)容易遭受來自互聯(lián)網的黑客以及病毒攻擊；l 內外網沒有做到物理隔離，一旦網絡被侵入將給客戶帶來巨大的損失；l 由于整個系統(tǒng)具有覆蓋地域較廣、使用人員較復雜、以及接入點眾多等特點，而整個系統(tǒng)沒有有效的訪問控制體制，使系統(tǒng)更加容易遭受來自內部的非法攻擊行為；l 由于網絡系統(tǒng)的開放性，一旦某一個節(jié)點感染了病毒都能迅速的向全網蔓延，造成整個系統(tǒng)的癱瘓；l 操作系統(tǒng)、數據庫系統(tǒng)以及其他應用軟件系統(tǒng)的漏洞都能導致整個信息系統(tǒng)的高安全風險；l 缺乏對系統(tǒng)故障以及安全事件的響應與恢復制度。它不僅是數據存儲中心也是數據交換中心和業(yè)務處理中心，因此網絡安全問題將成為一個十分突出的問題。主要包含以下系統(tǒng)：防火/毒墻系統(tǒng)、入侵檢測系統(tǒng)、網絡安全審計系統(tǒng)、內外網隔離系統(tǒng)設計、網絡防病毒系統(tǒng)、網絡安全風險評估服務、CA中心、遠程災備系統(tǒng)?？梢哉f威脅是不可避免的，我們只能采取有效的措施，盡量減少各種情況造成的威脅。從攻擊的角度分析，邊界網絡設備面臨的威脅主要有以下兩點：第一：入侵者通過控制邊界網絡設備，進一步了解網絡拓撲結構，利用網絡滲透搜集信息，為擴大網絡入侵范圍奠定基礎。很多入侵者利用網絡協(xié)議的設計漏洞或者設備本身的漏洞對邊界網絡設備實施拒絕服務攻擊，造成這些網絡設備的性能下降乃至完全癱瘓。不管是什么操作系統(tǒng)或者數據庫系統(tǒng)，只要它運行于網絡上，就必然會有或多或少的端口服務暴露在互聯(lián)網上，而這些端口服務又恰恰可能存在致命的安全漏洞，這無疑會給該系統(tǒng)帶來嚴重的安全威脅，從而也給系統(tǒng)所在的網絡帶來很大的安全威脅。 來自內部網絡的惡意攻擊與破壞據統(tǒng)計，有70%的網絡攻擊來自于網絡的內部。l 擴散面廣網絡由網管中心與各節(jié)點網絡構成，如果病毒滲入其中任何一個關聯(lián)網絡，病毒就會通過各種途徑迅速地感染網絡上服務器與工作站，感染范圍有可能覆蓋全網。病毒要完成這些復雜的動作，就要對系統(tǒng)進行比較復雜的設置，對系統(tǒng)的影響較大，僅有防病毒軟件很難徹底地從系統(tǒng)上將病毒清除掉。對網絡邊界設備（Router 、Switch、 Firewall）、基礎設備（主機服務器、數據庫）、應用服務（OA、WEB、Mail等）進行相應的保護。l 組織管理良好的安全產品配置和過硬的安全技術，并不能很好的解決系統(tǒng)的安全問題，必須輔以完善的安全管理體制，才能促使其作用得到完美體現。第3 系統(tǒng)設計 防火/毒墻系統(tǒng)設計一、部署意義防火墻是近年發(fā)展起來的重要安全技術，其主要作用是在網絡入口點檢查網絡通信，根據用戶設定的安全規(guī)則，在保護內部網絡安全的前提下，提供內外網絡通信。設置防火墻可提高內部網絡安全性，降低受攻擊的風險； 防火墻體現網絡安全策略的具體實施。二、設備部署在外網接入口處（即網關口）部署NGFW4000防火墻及相應模塊，NGFW4000千兆防火墻上可最多擴展到7個端口。通過與訪問控制規(guī)則相比較，只有合法的訪問才能通過。l 過濾網絡中不必要傳輸的垃圾數據防火墻是一種網關型的設備，各個區(qū)域之間的通信，可以通過防火墻的添加，如果在其上添加一些策略，就可以過濾掉部分無用的信息，在網絡中只能傳輸必要的應用數據。NGFW4000系列防火墻可防止黑客通過外部網對重要服務器的TCP/UDP的端口非法掃描，消除系統(tǒng)安全的隱患。 這對于提高城管辦網絡中的應用服務器的安全非常有意義。入侵檢測系統(tǒng)是一種自動識別和實時響應的智能安全系統(tǒng)。目前入侵檢測系統(tǒng)分為網絡型入侵檢測系統(tǒng)(Networkbased IDS，簡稱NIDS)和主機型入侵檢測系統(tǒng)(Hostbased IDS，簡稱HIDS)。主機型入侵檢測（HIDS）系統(tǒng)雖然比網絡型入侵檢測（NIDS）系統(tǒng)誤報率要低，系統(tǒng)的復雜性也要少得多，但是需要安裝在受保護的服務器上，這樣會降低應用業(yè)務系統(tǒng)的效率。網絡入侵檢測系統(tǒng)的優(yōu)點是：l 能夠檢測那些來自網絡的攻擊，能夠檢測到超過授權的非法訪問；l 網絡入侵檢測系統(tǒng)不需要改變服務器等主機的配置。三、功能設計l 網絡衛(wèi)士入侵檢測系統(tǒng)中內置 2600余種入侵檢測規(guī)則，可以細粒度檢測各種入侵攻擊企圖；l 靈活的響應方式：網絡衛(wèi)士入侵檢測系統(tǒng)對所檢測到的入侵企圖和違背設定安全策略的活動做出響應，并提供了多種響應方式；l 網絡入侵阻斷：網絡衛(wèi)士入侵檢測系統(tǒng)可以阻斷對特定服務器的訪問或來自特定用戶的服務；l 實時會話監(jiān)控功能：提供實時監(jiān)控當前TCP會話并根據需要進行切斷、保存會話內容的功能；l 流量統(tǒng)計功能：提供基于各種協(xié)議的流量統(tǒng)計功能和基于訪問端、服務端的流量統(tǒng)計功能；l 入侵報表功能：提供針對網絡流量的統(tǒng)計報表；提供各種豐富的入侵事件報表；提供針對當前系統(tǒng)設置的詳細分析報表；提供用戶自定義報表；l 協(xié)議還原功能：監(jiān)控并還原郵件內容（POP3, SMTP, IMAP, WEB MAIL）；監(jiān)控并記錄WWW、FTP、TELNET等TCP會話的訪問信息。二、設備部署為了保護整體網絡的安全監(jiān)控用戶上網行為，在連接用戶工作區(qū)的交換機上（外網交換機）部署安全審計系統(tǒng)（TAW），該端口需設定為監(jiān)聽模式。對于郵件的附件文件可以直接打開，比如使用WORD 可以直接打開附件的內容。城管局網絡開始時就沒有進行很好的規(guī)劃，由于前期綜合布線較早沒有考慮保密局提出政府辦公實現內外網分離的要求，而對現行辦公樓的重新布線不切實際，難度也大。網絡安全隔離卡網絡安全隔離卡安裝在主板和硬盤之間，完全控制硬盤與主板之間的數據通道