【正文】 以及運行當(dāng)中，定期的風(fēng)險評估可對組織的信息安全當(dāng)前狀態(tài)提供一個科學(xué)的、準(zhǔn)確的圖像，既可反映組織的信息安全現(xiàn)狀，為控制措施的選擇和應(yīng)用提供參照，也可為下一次的安全評估提供基線。本項目中將提供每季一次的安全評估服務(wù)。 網(wǎng)絡(luò)安全風(fēng)險評估服務(wù)設(shè)計網(wǎng)絡(luò)安全檢測與評估是保證計算機網(wǎng)絡(luò)信息系統(tǒng)安全運行的重要手段，對于準(zhǔn)確掌握計算機網(wǎng)絡(luò)信息系統(tǒng)的安全狀況具有重要意義。網(wǎng)絡(luò)是病毒傳播的最快的途徑之一，病毒程序可以通過網(wǎng)上下載、電子郵件、使用盜版光盤或軟盤、人為投放等傳播途徑潛入內(nèi)部網(wǎng)。 應(yīng)用廣泛不依賴于操作系統(tǒng)，可以應(yīng)用于所有使用IDE－ATA硬盤的PC系統(tǒng)。內(nèi)外網(wǎng)之間數(shù)據(jù)的交換只能通過存儲介質(zhì)來完成，從而保證安全（內(nèi)網(wǎng)）環(huán)境與非安全（外網(wǎng)）環(huán)境的物理隔離。作為網(wǎng)絡(luò)安全隔離卡的一項配套產(chǎn)品，可以使已有的單布線網(wǎng)絡(luò)，通過已裝有網(wǎng)絡(luò)安全隔離卡的終端安全地從桌面聯(lián)接到兩個不同的網(wǎng)絡(luò)上去。標(biāo)準(zhǔn)的19″面板，支持8口或24口終端用戶工作站的內(nèi)外網(wǎng)訪問，它檢測網(wǎng)絡(luò)安全隔離卡發(fā)出的特殊信號，識別出所連接的計算機，自動將其網(wǎng)絡(luò)線路切換至相應(yīng)網(wǎng)絡(luò)的交換機上。網(wǎng)絡(luò)安全隔離卡原理示意圖如上圖所示網(wǎng)絡(luò)安全隔離卡是一個數(shù)據(jù)安全設(shè)備，它使用兩個獨立硬盤對應(yīng)于兩種網(wǎng)絡(luò)環(huán)境，一個硬盤對應(yīng)于外部局域網(wǎng)(如Internet)，另一個硬盤則對應(yīng)于內(nèi)部局域網(wǎng)。通過隔離卡操作軟件控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的切換以及對應(yīng)的網(wǎng)絡(luò)連接，在任何狀態(tài)兩塊硬盤均不存在數(shù)據(jù)共享，確保兩個網(wǎng)絡(luò)環(huán)境實現(xiàn)完全物理隔離。其次政府辦公及上網(wǎng)都在一套系統(tǒng)、一塊硬盤操作中進行，一旦出現(xiàn)黑客入侵，將出現(xiàn)城管局的數(shù)據(jù)被竊取或被損壞，從而造成不可估量的損失。實現(xiàn)自動關(guān)鍵詞發(fā)件內(nèi)容審計檢查。三、功能設(shè)計l 網(wǎng)絡(luò)行為監(jiān)控、信息內(nèi)容審計FTP 、HTT、POPSMTP、IMAP協(xié)議監(jiān)控、審計，同時還可以監(jiān)控、審計網(wǎng)絡(luò)聊天和即時通訊。 網(wǎng)絡(luò)安全審計系統(tǒng)設(shè)計一、部署意義TAW 是面向企業(yè)級的內(nèi)容審計與行為審計為一體的產(chǎn)品，它能以旁路的方式部署在網(wǎng)絡(luò)中，不影響網(wǎng)絡(luò)的性能。不會影響業(yè)務(wù)系統(tǒng)的性能；l 由于網(wǎng)絡(luò)入侵檢測系統(tǒng)不像路由器、防火墻等關(guān)鍵設(shè)備方式工作，它不會成為系統(tǒng)中的關(guān)鍵路徑。主機型入侵檢測系統(tǒng)依賴于服務(wù)器固有的日志與監(jiān)視能力。網(wǎng)絡(luò)型入侵檢測（NIDS）系統(tǒng)是通過嗅探器按照匹配規(guī)則從網(wǎng)絡(luò)上獲取與入侵安全事件關(guān)聯(lián)的數(shù)據(jù)包，傳遞給入侵分析引擎器進行歸類篩選和安全分析判斷。它能監(jiān)視網(wǎng)絡(luò)中的活動事件，尋找有攻擊企圖和未經(jīng)授權(quán)的訪問行為。 入侵檢測系統(tǒng)設(shè)計一、部署意義利用防火墻技術(shù),經(jīng)過詳細的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護，降低網(wǎng)絡(luò)安全風(fēng)險?？煞乐构粽咄ㄟ^外部網(wǎng)對重要服務(wù)器的源路由攻擊、IP碎片包攻擊、DNS / RIP / ICMP攻擊、SYN攻擊、拒絕服務(wù)攻擊等多種攻擊。l 利用防火墻的帶寬控制功能，調(diào)整鏈路的帶寬利用防火墻是一種網(wǎng)關(guān)型的設(shè)備，而且天融信防火墻具有帶寬控制的特性，可以依據(jù)應(yīng)用來限制流量，來調(diào)整鏈路的帶寬。規(guī)則設(shè)置上可配置默認為禁止所有，再打開必要的服務(wù)。l 連接方式：防火墻的一個內(nèi)網(wǎng)口連接到交換機上（即外網(wǎng)交換機），防火墻外網(wǎng)端口連接Internet上，通過透明方式連接，創(chuàng)建DMZ區(qū)提供對對外發(fā)布服務(wù)器群的保護。防火墻集成所有安全軟件（如口令、加密、認證、審計等），比分散管理更經(jīng)濟； 防火墻強化安全認證和監(jiān)控審計。通過使用防火墻過濾不安全的服務(wù)，提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機的風(fēng)險，提供對系統(tǒng)的訪問控制；阻止攻擊者獲得攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，記錄和統(tǒng)計網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)、攻擊和探測策略執(zhí)行。需要制定一套完善的安全管理體系，同時需要相應(yīng)的安全產(chǎn)品進行有效的配合，從管理和技術(shù)兩個方面保證系統(tǒng)安全的有效實施。從安全功能的角度，需要對二個物理網(wǎng)絡(luò)(政府內(nèi)網(wǎng)與Internet網(wǎng))進行有效的物理隔離同時保證彼此可以進行安全訪問控制；對服務(wù)器進行保護，服務(wù)器主要承載整個城管局業(yè)務(wù)應(yīng)用、對外服務(wù)、負責(zé)數(shù)據(jù)的備份等。l 破壞性大網(wǎng)絡(luò)上病毒將直接影響網(wǎng)絡(luò)的工作，輕則降低速度，影響工作效率，重則使網(wǎng)絡(luò)崩潰， 破壞服務(wù)器信息，造成巨大的直接和間接的經(jīng)濟損失。l 傳播的形式復(fù)雜多樣計算機病毒在網(wǎng)絡(luò)上一般是通過“工作站服務(wù)器工作站”的途徑進行傳播的，但傳播的形式復(fù)雜多樣，通過網(wǎng)絡(luò)共享、服務(wù)漏洞、電子郵件等多種方式進行傳播。對于網(wǎng)絡(luò)內(nèi)部的安全防范會明顯的弱于對于網(wǎng)絡(luò)外部的安全防范，而且由于內(nèi)部人員對于內(nèi)部網(wǎng)絡(luò)的熟悉程度一般是很高的，所以，由網(wǎng)絡(luò)內(nèi)部發(fā)起的攻擊也就必然更容易成功，因此一旦攻擊成功，其強烈的攻擊目的也就必然促使了更為隱蔽和嚴(yán)重的網(wǎng)絡(luò)破壞。 應(yīng)用與業(yè)務(wù)的網(wǎng)絡(luò)威脅在整個網(wǎng)絡(luò)系統(tǒng)中，應(yīng)用與業(yè)務(wù)網(wǎng)絡(luò)中的數(shù)據(jù)是至關(guān)重要，而入侵者當(dāng)然也會明白這一點，但是應(yīng)用或業(yè)務(wù)網(wǎng)絡(luò)往往并不能輕易的被直接入侵成功，所以，惡意的入侵者往往會采取逐步網(wǎng)絡(luò)滲透的方法來最終達成其入侵目的。 信息基礎(chǔ)安全平臺威脅信息基礎(chǔ)平臺主要是指支撐各種應(yīng)用與業(yè)務(wù)運行的各種操作系統(tǒng)與數(shù)據(jù)庫系統(tǒng)。比如，入侵者可以利用這些網(wǎng)絡(luò)設(shè)備的系統(tǒng)（Cisco的IOS）漏洞或者配置漏洞，實現(xiàn)對其的控制。市城市管理局網(wǎng)絡(luò)是多種資產(chǎn)的龐大組合，其所面臨的威脅也就是對網(wǎng)絡(luò)能夠造成不利影響的一些潛在的事件或者行為，同樣這些威脅包括自然的、故意的以及偶然的情況。第2 需求分析 系統(tǒng)安全需求分析在闡述網(wǎng)絡(luò)面臨的安全威脅之前，我們有必要簡單的了解一下威脅的實質(zhì)。目前，市城市管理局網(wǎng)絡(luò)系統(tǒng)的安全存在以下問題：l 由于對外發(fā)布服務(wù)系統(tǒng)群與互聯(lián)網(wǎng)接口的存在，整個網(wǎng)絡(luò)系統(tǒng)容易遭受來自互聯(lián)網(wǎng)的黑客以及病毒攻擊；l 內(nèi)外網(wǎng)沒有做到物理隔離，一旦網(wǎng)絡(luò)被侵入將給客戶帶來巨大的損失；l 由于整個系統(tǒng)具有覆蓋地域較廣、使用人員較復(fù)雜、以及接入點眾多等特點，而整個系統(tǒng)沒有有效的訪問控制體制，使系統(tǒng)更加容易遭受來自內(nèi)部的非法攻擊行為；l 由于網(wǎng)絡(luò)系統(tǒng)的開放性，一旦某一個節(jié)點感染了病毒都能迅速的向全網(wǎng)蔓延，造成整個系統(tǒng)的癱瘓；l 操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及其他應(yīng)用軟件系統(tǒng)的漏洞都能導(dǎo)致整個信息系統(tǒng)的高安全風(fēng)險；l 缺乏對系統(tǒng)故障以及安全事件的響應(yīng)與恢復(fù)制度。它不僅是數(shù)據(jù)存儲中心也是數(shù)據(jù)交換中心和業(yè)務(wù)處理中心，因此網(wǎng)絡(luò)安全問題將成為一個十分突出的問題。主要包含以下系統(tǒng)：防火/毒墻系統(tǒng)、入侵檢測系統(tǒng)、網(wǎng)絡(luò)安全審計系統(tǒng)、內(nèi)外網(wǎng)隔離系統(tǒng)設(shè)計、網(wǎng)絡(luò)防病毒系統(tǒng)、網(wǎng)絡(luò)安全風(fēng)險評估服務(wù)、CA中心、遠程災(zāi)備系統(tǒng)。可以說威脅是不可避免的，我們只能采取有效的措施，盡量減少各種情況造成的威脅。從攻擊的角度分析，邊界網(wǎng)絡(luò)設(shè)備面臨的威脅主要有以下兩點：第一：入侵者通過控制邊界網(wǎng)絡(luò)設(shè)備，進一步了解網(wǎng)絡(luò)拓撲結(jié)構(gòu)，利用網(wǎng)絡(luò)滲透搜集信息，為擴大網(wǎng)絡(luò)入侵范圍奠定基礎(chǔ)。很多入侵者利用網(wǎng)絡(luò)協(xié)議的設(shè)計漏洞或者設(shè)備本身的漏洞對邊界網(wǎng)絡(luò)設(shè)備實施拒絕服務(wù)攻擊，造成這些網(wǎng)絡(luò)設(shè)備的性能下降乃至完全癱瘓。不管是什么操作系統(tǒng)或者數(shù)據(jù)庫系統(tǒng)，只要它運行于網(wǎng)絡(luò)上，就必然會有或多或少的端口服務(wù)暴露在互聯(lián)網(wǎng)上，而這些端口服務(wù)又恰恰可能存在致命的安全漏洞，這無疑會給該系統(tǒng)帶來嚴(yán)重的安全威脅，從而也給系統(tǒng)所在的網(wǎng)絡(luò)帶來很大的安全威脅。 來自內(nèi)部網(wǎng)絡(luò)的惡意攻擊與破壞據(jù)統(tǒng)計，有70%的網(wǎng)絡(luò)攻擊來自于網(wǎng)絡(luò)的內(nèi)部。l 擴散面廣網(wǎng)絡(luò)由網(wǎng)管中心與各節(jié)點網(wǎng)絡(luò)構(gòu)成，如果病毒滲入其中任何一個關(guān)聯(lián)網(wǎng)絡(luò)，病毒就會通過各種途徑迅速地感染網(wǎng)絡(luò)上服務(wù)器與工作站，感染范圍有可能覆蓋全網(wǎng)。病毒要完成這些復(fù)雜的動作，就要對系統(tǒng)進行比較復(fù)雜的設(shè)置，對系統(tǒng)的影響較大，僅有防病毒軟件很難徹底地從系統(tǒng)上將病毒清除掉。對網(wǎng)絡(luò)邊界設(shè)備（Router 、Switch、 Firewall）、基礎(chǔ)設(shè)備（主機服務(wù)器、數(shù)據(jù)庫）、應(yīng)用服務(wù)（OA、WEB、Mail等）進行相應(yīng)的保護。l 組織管理良好的安全產(chǎn)品配置和過硬的安全技術(shù)，并不能很好的解決系統(tǒng)的安全問題，必須輔以完善的安全管理體制，才能促使其作用得到完美體現(xiàn)。第3 系統(tǒng)設(shè)計 防火/毒墻系統(tǒng)設(shè)計一、部署意義防火墻是近年發(fā)展起來的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點檢查網(wǎng)絡(luò)通信，根據(jù)用戶設(shè)定的安全規(guī)則，在保護內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通信。設(shè)置防火墻可提高內(nèi)部網(wǎng)絡(luò)安全性，降低受攻擊的風(fēng)險； 防火墻體現(xiàn)網(wǎng)絡(luò)安全策略的具體實施。二、設(shè)備部署在外網(wǎng)接入口處（即網(wǎng)關(guān)口）部署NGFW4000防火墻及相應(yīng)模塊，NGFW4000千兆防火墻上可最多擴展到7個端口。通過與訪問控制規(guī)則相比較，只有合法的訪問才能通過。l 過濾網(wǎng)絡(luò)中不必要傳輸?shù)睦鴶?shù)據(jù)防火墻是一種網(wǎng)關(guān)型的設(shè)備，各個區(qū)域之間的通信，可以通過防火墻的添加，如果在其上添加一些策略，就可以過濾掉部分無用的信息，在網(wǎng)絡(luò)中只能傳輸必要的應(yīng)用數(shù)據(jù)。NGFW4000系列防火墻可防止黑客通過外部網(wǎng)對重要服務(wù)器的TCP/UDP的端口非法掃描，消除系統(tǒng)安全的隱患。 這對于提高城管辦網(wǎng)絡(luò)中的應(yīng)用服務(wù)器的安全非常有意義。入侵檢測系統(tǒng)是一種自動識別和實時響應(yīng)的智能安全系統(tǒng)。目前入侵檢測系統(tǒng)分為網(wǎng)絡(luò)型入侵檢測系統(tǒng)(Networkbased IDS，簡稱NIDS)和主機型入侵檢測系統(tǒng)(Hostbased IDS，簡稱HIDS)。主機型入侵檢測（HIDS）系統(tǒng)雖然比網(wǎng)絡(luò)型入侵檢測（NIDS）系統(tǒng)誤報率要低，系統(tǒng)的復(fù)雜性也要少得多，但是需要安裝在受保護的服務(wù)器上，這樣會降低應(yīng)用業(yè)務(wù)系統(tǒng)的效率。網(wǎng)絡(luò)入侵檢測系統(tǒng)的優(yōu)點是：l 能夠檢測那些來自網(wǎng)絡(luò)的攻擊，能夠檢測到超過授權(quán)的非法訪問；l 網(wǎng)絡(luò)入侵檢測系統(tǒng)不需要改變服務(wù)器等主機的配置。三、功能設(shè)計l 網(wǎng)絡(luò)衛(wèi)士入侵檢測系統(tǒng)中內(nèi)置 2600余種入侵檢測規(guī)則，可以細粒度檢測各種入侵攻擊企圖；l 靈活的響應(yīng)方式：網(wǎng)絡(luò)衛(wèi)士入侵檢測系統(tǒng)對所檢測到的入侵企圖和違背設(shè)定安全策略的活動做出響應(yīng)，并提供了多種響應(yīng)方式；l 網(wǎng)絡(luò)入侵阻斷：網(wǎng)絡(luò)衛(wèi)士入侵檢測系統(tǒng)可以阻斷對特定服務(wù)器的訪問或來自特定用戶的服務(wù)；l 實時會話監(jiān)控功能：提供實時監(jiān)控當(dāng)前TCP會話并根據(jù)需要進行切斷、保存會話內(nèi)容的功能；l 流量統(tǒng)計功能：提供基于各種協(xié)議的流量統(tǒng)計功能和基于訪問端、服務(wù)端的流量統(tǒng)計功能；l 入侵報表功能：提供針對網(wǎng)絡(luò)流量的統(tǒng)計報表；提供各種豐富的入侵事件報表；提供針對當(dāng)前系統(tǒng)設(shè)置的詳細分析報表；提供用戶自定義報表；l 協(xié)議還原功能：監(jiān)控并還原郵件內(nèi)容（POP3, SMTP, IMAP, WEB MAIL）；監(jiān)控并記錄WWW、FTP、TELNET等TCP會話的訪問信息。二、設(shè)備部署為了保護整體網(wǎng)絡(luò)的安全監(jiān)控用戶上網(wǎng)行為，在連接用戶工作區(qū)的交換機上（外網(wǎng)交換機）部署安全審計系統(tǒng)（TAW），該端口需設(shè)定為監(jiān)聽模式。對于郵件的附件文件可以直接打開，比如使用WORD 可以直接打開附件的內(nèi)容。城管局網(wǎng)絡(luò)開始時就沒有進行很好的規(guī)劃，由于前期綜合布線較早沒有考慮保密局提出政府辦公實現(xiàn)內(nèi)外網(wǎng)分離的要求，而對現(xiàn)行辦公樓的重新布線不切實際，難度也大。網(wǎng)絡(luò)安全隔離卡網(wǎng)絡(luò)安全隔離卡安裝在主板和硬盤之間，完全控制硬盤與主板之間的數(shù)據(jù)通道