【正文】 互 聯(lián)網(wǎng)或其它公共信息網(wǎng)絡(luò)相聯(lián)接，必須實行物理隔離。 ? 分級部署 ： 對大型的分布式網(wǎng)絡(luò)環(huán)境提供分級部署功能，完成總部對下屬分支機構(gòu)的集中管理和升 級文件分發(fā)等功能。在控制臺端可以對探測器遠程升級。 附加功能 ? 網(wǎng)絡(luò)流量統(tǒng)計 ： 提供對探測器監(jiān)視網(wǎng)絡(luò)環(huán)境的流量圖形化統(tǒng)計功能，可以分不同的探測器查看 TCP 連接數(shù)目，網(wǎng)絡(luò)字節(jié)流 量統(tǒng)計，網(wǎng)絡(luò)報文流量統(tǒng)計，網(wǎng)絡(luò)報警事件統(tǒng)計等多種統(tǒng)計信息。 ? 多種響應(yīng)方式 ： 對告警信息提供了防火墻聯(lián)動 、 發(fā)送電子郵件 、 聲音報警 、 Windows 消息報警 、 TCP阻斷等多種響應(yīng)方式。 ? 基于 SSL 加密和身份認證的通訊機制，保證傳輸安全。 ? 強大的響應(yīng)功能，提供防火墻聯(lián)動，郵件報警等多種響應(yīng)方式。 ? 檢測規(guī)則庫和國家反計算機入侵和防病毒研究中心合作建 設(shè) ， 保證了檢測規(guī)則庫的權(quán)威性和時效性。 入侵檢測功能 ? 檢測 1500 多種攻擊手段。 3 運行性能 ? IDS 采用內(nèi)存零拷貝、零系統(tǒng)調(diào)用以及獨創(chuàng)的 AMPFAT 等高性能網(wǎng)絡(luò)數(shù)據(jù)包處理技術(shù)，有效降低了網(wǎng)絡(luò)數(shù)據(jù)包的處理開銷，即使在高流量的網(wǎng)絡(luò)環(huán)境下也可以保持出色的運行性能。 重新連接時 探測器 向 主控制臺 發(fā)送斷開期間保存的所有日志數(shù)據(jù) 。 主控制臺和副控制臺可以記錄探測器的所有事件，且主控制臺可以設(shè)置探測器 的配置。 IDS 入侵檢測系統(tǒng)的核心技術(shù) 1 入侵檢測引擎 入侵檢測 引擎綜合使用了特征匹配、 協(xié)議重組、 協(xié)議分析和異常行為檢測等方法 ： ? 自適應(yīng)多協(xié)議融合分析技術(shù)（ AMPFAT， Adaptive Mutiple Protocol Fusion Analysis Technique） ：綜合采用智能協(xié)議棧判別、會話重組、依據(jù)協(xié)議的 IP 數(shù)據(jù)包數(shù)據(jù)萃取、依據(jù)協(xié)議的模式匹配、緩存“零拷貝”等 高性 能網(wǎng)絡(luò)數(shù)據(jù)包處理技術(shù) ，提高檢測效率；采用 安全策略預(yù)檢分流及事件縮略再分析技術(shù)更進一步提高檢測性能。入侵檢測安全服務(wù)中心安裝在內(nèi)部網(wǎng)管理區(qū)的一臺主機上，對入侵檢測探測器進行控制和管理。 入侵檢測系統(tǒng)應(yīng)能實時監(jiān)測外部黑客入侵、內(nèi)部用戶越權(quán)訪問和誤用，并能對攻擊作出反應(yīng)，以及提供補救措施。 防火墻基本安全策略： ? 防火墻以路由方式接入； ? 防火墻通過 NAT 地址轉(zhuǎn)換隱藏 榆林市政府應(yīng)急中心 系統(tǒng) 網(wǎng)絡(luò)拓撲結(jié)構(gòu)； ? Inter 網(wǎng)絡(luò)用戶只允許訪問 榆林市政府應(yīng)急中心 系 統(tǒng) 網(wǎng)絡(luò)的網(wǎng)上查詢服務(wù)器的受理端口； ? 只允許查詢受理服務(wù)器訪問數(shù)據(jù)中心區(qū)的數(shù)據(jù)服務(wù)器的特定端口； ? 公共服務(wù)區(qū)的計算機只允許訪問 Inter。 防火墻部署方案 根據(jù)前文描述， 榆林市政府應(yīng)急中心 系統(tǒng)網(wǎng)絡(luò)可以劃分為局域網(wǎng)外網(wǎng)邊界和數(shù)據(jù)中心網(wǎng)絡(luò)邊界，外聯(lián)網(wǎng)絡(luò)邊界和內(nèi)網(wǎng)邊界，以下主要討論局域網(wǎng)外網(wǎng)邊界的安全問題。 （ 5） 充分考慮人的因素 在構(gòu)建安全體系時，人的因素是非常重要的。通常是通過網(wǎng)絡(luò)連接、撥號訪問以及配置不當(dāng)?shù)闹鳈C入侵系統(tǒng)。 邊界保護機制的需求 1. 對源地址、目的地址和服務(wù)做出限制，并阻斷危險的協(xié)議，比如 ICMP 協(xié)議。 防火墻是一個或一組系統(tǒng)，它在網(wǎng)絡(luò)之間執(zhí)行訪問控制策略。這種邊界的實施可通過在相連的兩個網(wǎng)絡(luò)之間安全網(wǎng)關(guān)來控制其間訪問和信息流。在 榆林市政府應(yīng)急中心 系統(tǒng)的網(wǎng)絡(luò)環(huán)境中，防殺毒不能再采用傳統(tǒng)的單機殺毒方式，而應(yīng)該采用網(wǎng)絡(luò)殺毒工具和方法。 因此，首先我們需要在 榆林市政府應(yīng)急中心 系統(tǒng)的全網(wǎng)絡(luò)系統(tǒng)中部署防病毒軟件，并且建成后的網(wǎng)絡(luò)防病毒系統(tǒng)要具有以下功能特點： ? 網(wǎng)絡(luò)集中分布式管理 ? 基于策略的防病毒管理 ? 客戶端策略鎖定 ? 策略強制執(zhí)行 ? 網(wǎng)絡(luò)自動安裝 ? 網(wǎng)絡(luò)智能化增量升級 ? 網(wǎng)絡(luò)集中報警功能 ? 新病毒樣本收集與提交 ? 管理高效性 客戶 PC 是用戶訪問業(yè)務(wù)信息、進行業(yè)務(wù)操作的前臺，很多客戶 PC 都是基于微軟 Windows平 臺的。 當(dāng)前的病毒發(fā)展呈現(xiàn)出復(fù)合型威脅態(tài)勢，傳播方式多樣化、速度極快，在網(wǎng)絡(luò)中極易形成交叉感染的狀況，同時計算機病毒的危害也不再只限于破壞文件和本機，它甚至可以發(fā)動網(wǎng)絡(luò)攻擊，導(dǎo)致網(wǎng)絡(luò)設(shè)備和服務(wù)器崩潰。報警信息要分為不同的級別：對有入侵動機的行為向用戶顯示提示信息、對嚴重的違規(guī)現(xiàn)象實行警告通知、對極其危險的攻擊可通過網(wǎng)管或者互動防火墻進行及時阻斷、以及向安全管理中心報告?？梢赃x擇不同的時間間隔生成報表，反映用戶在一定時期內(nèi)受到的攻擊類型、嚴重程度、發(fā)生頻率、攻擊來源等信息，使管理員隨時對網(wǎng)絡(luò)安全狀況有正確的了解。 針對 榆林市政府應(yīng)急中心 系統(tǒng) 的具體情況和行業(yè)特點，我們得到的入侵檢測的需求包括以下幾個方面： ? 入侵檢測要求 能夠?qū)粜袨檫M行檢測，是對入侵檢測設(shè)備的核心需求，要求可以檢測的種類包括：異常行為檢測（包括針對各種服務(wù)器的攻擊等）、可移動存儲設(shè)備檢測、撥號上網(wǎng)檢測等等。 ? 在遭到黑客攻擊后，因防火墻不保留數(shù)據(jù)包內(nèi)容的日志，所以事后無法把日志作為監(jiān)查日志，而入侵檢測系統(tǒng)把數(shù)據(jù)包內(nèi)容完整的作為日志保留，可用于事后的審計。 防火墻系統(tǒng)是基于策略的對網(wǎng)絡(luò)邊界實施靜態(tài)安全防范的技術(shù)，根據(jù)系統(tǒng)的策略 (IP Address/port/…) 只允許通過策略所允許的數(shù)據(jù)包，但不能切斷隱藏在正常數(shù)據(jù)包中的黑客攻擊試圖。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問時，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應(yīng)，包括實時報警、事件登錄，或執(zhí)行用戶自定義的安全策略等。 ? 具有自定義傳輸協(xié)議要求 系統(tǒng)能夠支持自定義信息交換報文和協(xié)議進行信息傳遞和交換，防止黑客利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議的各種漏洞進行攻擊 ? 具有可審計功能要求 所有數(shù)據(jù)交換操作都必須有詳細的日志記錄，配合數(shù)字簽名等措施，系統(tǒng)必須提供有效的審計數(shù)據(jù)，和審計工具。 針對數(shù)據(jù)中心網(wǎng)絡(luò)和辦公網(wǎng)絡(luò)，由于兩個區(qū)域要求的安全級別不同，那么最安全的方式就是物理隔離，使數(shù)據(jù)中心網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)在物理隔離的前提下，還能夠確小機中的數(shù)據(jù)通 過網(wǎng)閘“擺渡”到辦公網(wǎng)絡(luò)進行處理。 隔離 交換 技術(shù) 隔離交換技術(shù)是針對不同安全級別網(wǎng)絡(luò)之間的隔離需求而研制的一種新型物理隔離系統(tǒng)，工作在不同安全級別的網(wǎng)段之間，利用“信 息擺渡技術(shù)”，終斷了原有的 TCP/IP 連接，使得沒有任何存活的 TCP/IP 連接能穿過該系統(tǒng)，從而有效防止針對網(wǎng)絡(luò)協(xié)議和操作系統(tǒng)漏洞的各種攻擊，并且在物理上斷開內(nèi)外網(wǎng)絡(luò)連接的同時，還能夠?qū)崿F(xiàn)適度的、可控的內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)交換，其工作原理如下圖所示： 安全隔離網(wǎng)閘工作原理圖 隔離交換系統(tǒng)主要有外網(wǎng)主機模塊、外網(wǎng)通信網(wǎng)口、內(nèi)網(wǎng)主機模塊、內(nèi)網(wǎng)通信網(wǎng)口和安全通道組成，外網(wǎng)主機模塊和內(nèi)網(wǎng)主機模塊采用獨立的系統(tǒng)，包含各自的處理單元和存儲單元， 分別連接可信內(nèi)網(wǎng)和非可信的網(wǎng)絡(luò)，負責(zé)對應(yīng)用數(shù)據(jù)進行預(yù)處理及安全檢查?？梢杂行У挚咕芙^服務(wù)攻擊的能力，防范攻擊者利用 TCP/IP 協(xié)議自身弱點發(fā)起對 榆林市政府應(yīng)急中心 專網(wǎng)系統(tǒng)的攻擊。 ? 高可靠性 由于防火墻是網(wǎng)絡(luò)中的重要設(shè)備，意外的宕機都會造成網(wǎng)絡(luò)的癱瘓，因此防火墻必須是運行穩(wěn)定，故障率低的系統(tǒng)，并且要求能夠?qū)崿F(xiàn)雙機熱備，最好能夠?qū)崿F(xiàn)防火墻集群技術(shù)，以保證不間斷的網(wǎng)絡(luò)服務(wù)。另外 ,防火墻系統(tǒng)也能夠?qū)φ５木W(wǎng)絡(luò)使用情況做出統(tǒng)計。 ? 控制協(xié)議和服務(wù) 針對網(wǎng)絡(luò)協(xié)議設(shè)計的先天缺陷，防火墻采取控制協(xié)議和服務(wù)的方法，使得只有授權(quán)的協(xié)議和服務(wù)才可以通過防火墻，從而大大降低了因某種服務(wù)、協(xié)議的漏洞而引起災(zāi)難性安全事故的可能性。防火墻通常位于不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一連接處，根據(jù)組織的業(yè)務(wù)特點、行業(yè)背景、管理制度所制定的安全策略，運用包過濾、代理網(wǎng)關(guān)、 NAT 轉(zhuǎn)換、IP+MAC 地址綁定等技術(shù)，實現(xiàn)對出入網(wǎng)絡(luò)的信息流進行全面的控制（允許通過、拒絕通過、過程監(jiān)測），控制類別包括 IP 地址、 TCP/UDP 端口、協(xié)議、服務(wù)、連接狀態(tài)等網(wǎng)絡(luò)信息的各個方面。 邊界防護的需求 邊界防護的設(shè)計是將組織的網(wǎng)絡(luò)，根據(jù)其信息性質(zhì)、使用主體、安全目標(biāo)和策略的不同來劃分為不同的安全域（從縱向上我們將 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 劃分內(nèi)網(wǎng)和電子政務(wù)專網(wǎng)兩個層面，從橫向上又分為涉密內(nèi)網(wǎng)、服務(wù)器群和辦公內(nèi)網(wǎng)三個組成部分，從而形成多個安全域），不同的安全域之間形成了網(wǎng)絡(luò)邊 界， 通過邊界保護，嚴格規(guī)范 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 系統(tǒng)內(nèi)部 的 訪問 ，防范不同網(wǎng)絡(luò)區(qū)域之間的非法訪問和攻擊， 從而 確保 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 各個區(qū)域的有序訪問。 ? 繞過 DBMS 直接對數(shù)據(jù)進行讀寫。 ? 隱通道。 ? 病毒。 ? 人為的失誤。自然的或意外的事故。 WINDOWS 9X 系統(tǒng)通常存在的安全漏洞包括以下方面： ? WINDOWS 9X 系統(tǒng)經(jīng)常出現(xiàn)的拒絕服務(wù)攻擊漏洞 ? IE 瀏覽器出現(xiàn)的各種安全漏洞 ? WINDOWS 資源共享導(dǎo)致的安全漏洞 ? 電子郵件攜帶的病毒和木馬程序 ? IRC、 ICQ、 OICQ 等網(wǎng)絡(luò)聯(lián)絡(luò)工具帶來的安全漏洞 ? WINDOWS 9X 系統(tǒng)中存在的其它安全漏洞 數(shù)據(jù)庫系統(tǒng)平臺風(fēng)險分析 數(shù)據(jù)庫系統(tǒng)一 般可以理解成兩部分：一部分是數(shù)據(jù)庫，按一定的方式存取數(shù)據(jù)；另一部分是數(shù)據(jù)庫管理系統(tǒng)（ DBMS），為用戶及應(yīng)用程序提供數(shù)據(jù)訪問，并具有對數(shù)據(jù)庫進行管理、維護等多種功能。缺省安裝的 WINDOWS NT/2020/XP 操作系統(tǒng)的安全問題非常嚴重，它們通常會出現(xiàn)下述安全漏洞： ? 沒有安裝最新的 Service Pack. ? 沒有關(guān)閉不必要的系統(tǒng)服務(wù) ? 最新的 SERVICE PACK 沒有解決的安全漏洞 ? 缺省安裝的服務(wù)程序帶來的各種安全漏洞 ? 系統(tǒng)注冊表屬性安全漏洞 ? 文件系統(tǒng)屬性安全漏洞 ? 缺省帳號安全漏洞 ? 文件共享方面的安全漏洞 ? 其它方面的各種安全漏洞 Windows 9x 的安全漏洞 當(dāng)前 WINDOWS 9X 操作系統(tǒng)是辦公網(wǎng)絡(luò)、網(wǎng)絡(luò)管理和監(jiān)視等的重要組成部分。安全漏洞就是某種形式的脆弱性。硬件平臺的安全風(fēng)險主要表現(xiàn)在： ? 火災(zāi) ? 水災(zāi) ? 鼠害 ? 地震、雷電等意外的天災(zāi) ? 偷竊，是指非法用戶盜竊財政機構(gòu)硬件資產(chǎn)和數(shù)據(jù)資產(chǎn)的可能性 ，它包括內(nèi)部人員的偷竊和外部人員的偷竊。因此，對應(yīng)用系統(tǒng)安全風(fēng)險的分析也就 是對各種系統(tǒng)平臺的安全風(fēng)險分析。對于一些業(yè)務(wù)系統(tǒng)，特別是數(shù)據(jù)庫系統(tǒng)，這種重放攻擊會造成數(shù)據(jù)失真以及數(shù)據(jù)錯誤； ? 偽裝成合法用戶：利用偽造 用戶標(biāo)識，通過電子郵件、實時報文或請求文件傳輸?shù)靡赃M入通信信道，實現(xiàn)惡意目的。 這就要求系統(tǒng)能夠?qū)W(wǎng)絡(luò)中發(fā)生的各種訪問，乃至網(wǎng)絡(luò)中傳遞的數(shù)據(jù)包進行很好的監(jiān)控，特別是針對 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)，由于其既存在對內(nèi)提供服務(wù)的設(shè)備，也存在對外提 供服務(wù)的設(shè)備，這些服務(wù)器在安裝的過程中有可能沒有關(guān)閉掉一些毫無用處的服務(wù)，或者即使關(guān)閉了這些服務(wù)，也因為操作系統(tǒng)自身存在的漏洞而給攻擊者可乘之機，特別是對互聯(lián)網(wǎng)提供服務(wù)的設(shè)備，很容易成為 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)的“安全短板”，被來自 互聯(lián)網(wǎng)的攻擊者利用，從而發(fā)起對內(nèi)網(wǎng)的攻擊。這意味著要能對完整性的破壞進行識別和響應(yīng)； ? 維護服務(wù)和信息的可用性。 ? 發(fā)布假路由，路由欺騙，導(dǎo)致整個網(wǎng)絡(luò)的路由混亂。 ? 每個管理員都可能使用相同的口令，因此，雖然訪問日志可以詳細記錄管理員對路由器進行登錄、修改操作，但無法區(qū)分是哪位管理員進行的操作。 對于 榆林市政府應(yīng)急中心網(wǎng)絡(luò) ，由于 TCP/IP 協(xié)議的弱點，有可能造成以下的破壞。然后，偽裝成被信任的主機，同時建立起與目標(biāo)主機基于地址驗證的應(yīng)用連接。 典型利用 TCP/IP 協(xié)議的弱點，發(fā)起攻擊行為的就是“拒絕服務(wù)攻擊”，比如“ SYN FLOOD” 攻擊，它就是利用了 TCP 協(xié)議中，建立可靠連接所必須經(jīng)過的三次握手行為，攻擊者只向攻擊目標(biāo)發(fā)送帶“ SYN”表示的數(shù)據(jù)包，導(dǎo)致攻擊目標(biāo)一味地等待發(fā)起連 接請求的源地址再次發(fā)送確認信息，而導(dǎo)致系統(tǒng)處于長期等待狀態(tài)，直至系統(tǒng)的資源耗盡，而無法正常處理其他合法的連接請求。 應(yīng)用系統(tǒng)平臺 硬件平臺 操作系統(tǒng)平臺 數(shù)據(jù)庫系統(tǒng)平臺 中間件系統(tǒng)平臺 辦公自動化系統(tǒng)平臺 網(wǎng)站系統(tǒng)平臺 系統(tǒng)風(fēng)險分析 網(wǎng)絡(luò)架構(gòu)風(fēng)險分析 從網(wǎng)絡(luò)架構(gòu)的角度，我們認為存在的安全隱患主要來自于以 下幾個方面，包括 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 的基礎(chǔ) TCP/IP 自身的弱點，網(wǎng)絡(luò)設(shè)備存在的安全隱患、網(wǎng)絡(luò)服務(wù)器存在的安全風(fēng)險、網(wǎng)絡(luò)訪問的合理性和數(shù)據(jù)傳輸?shù)陌踩浴? 應(yīng)用系統(tǒng)主要有以下幾類用戶：市應(yīng)急平 臺、市內(nèi)各部門、分中心、各局辦，都是通過電子政務(wù)內(nèi)網(wǎng)或互聯(lián)網(wǎng)直接連接和市應(yīng)急平臺應(yīng)用系統(tǒng)進行通訊。 安全監(jiān)控一般采用防火墻和入侵檢測系統(tǒng)配合的方式，防火墻是處于網(wǎng)絡(luò)邊界的設(shè)備，自身可能被攻破，需要在內(nèi)部進行監(jiān)控，采用入侵檢測設(shè)備識別網(wǎng)絡(luò)行為的可信任性，判斷是否是內(nèi)部系統(tǒng)網(wǎng)絡(luò)或數(shù)據(jù)資源的可疑行為，并對這些行為做出處理響應(yīng)；入侵檢測是對防御技術(shù)的重要補充，入侵檢測設(shè)備的能效既針對外部網(wǎng)絡(luò)，也針對內(nèi)部網(wǎng)絡(luò)。此外，僅僅依靠安全技術(shù)和安全的管理是無法徹底解決安全問題的，解決安全問題是個循序的過程，還需要對緊急事件進行及時的處理響應(yīng)并完善更新策略規(guī)則，增強整個系統(tǒng)安全性 。 所以網(wǎng)絡(luò)的安全解決方案應(yīng)該主要從三個層