【正文】 定期將需要轉(zhuǎn)移的數(shù)據(jù)拷貝到軟盤等存儲介質(zhì)上，然后再將其復(fù)制到目標(biāo)網(wǎng)絡(luò)中。 基于以上分析，我們推薦選用在啟明星辰 天闐 NS2200 千兆入侵檢測產(chǎn)品，來實現(xiàn)對 榆林市政府應(yīng)急中心局域網(wǎng)核心部分提供安全防護(hù)。 ? 遠(yuǎn)程升級 ： 支持在線和手動兩種升級方式。系統(tǒng)還提供高級配置界面，為專家級用戶提供強(qiáng)大的支持。 增值功能 ? 網(wǎng)絡(luò)行為監(jiān)控、流量監(jiān)視、違規(guī)網(wǎng)絡(luò)連接檢測等功能，掌控自己的網(wǎng)絡(luò)。 ? 檢測技術(shù)解決了目前常用的模式匹配和協(xié)議解碼技術(shù)帶來的入侵檢測產(chǎn)品可用性不高的問題。 ? 發(fā)生 與 控制臺 的連 接斷開 時 ， 探測器 也可持續(xù)工作，記錄事件日志 。 IDS 采用分布式入侵檢測系統(tǒng)構(gòu)架，綜合使用模式匹配、異常分析、狀態(tài)協(xié)議分析、行為分析、內(nèi)容恢復(fù)、網(wǎng)絡(luò)審計等入侵分析技術(shù)，全面監(jiān)視網(wǎng)絡(luò)的通信狀態(tài)，實時捕獲 入侵、誤用、濫用等違反網(wǎng)絡(luò)安全策略的行為，并針對可疑的入侵行為，依據(jù)策略做出主動反應(yīng)、及時的告警及事件日志記錄，最大限度保障網(wǎng)絡(luò)系統(tǒng)安全。入侵檢測系統(tǒng)幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊，擴(kuò)展了系統(tǒng)管理員的安全管理能力 (包括安全審計、監(jiān)視、進(jìn)攻識別和響應(yīng) )，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。構(gòu)建安全體系的目標(biāo)之一是使系統(tǒng)具 有良好的可伸縮性，而且不易影響系統(tǒng)的安全性。 （ 2） 確定網(wǎng)絡(luò)訪問點 網(wǎng)絡(luò)管理員應(yīng)當(dāng)了解潛在的入侵者會從哪里進(jìn)入系統(tǒng)。本方案中防火墻主要用于 榆林市政府應(yīng)急中心 局域網(wǎng)外網(wǎng)和電子政務(wù)內(nèi)網(wǎng)及互聯(lián)網(wǎng)的邏輯隔離。 如前所述，計算機(jī)病毒無論從傳播方式上還是從破壞程度上都越來越網(wǎng)絡(luò)化。 病毒防護(hù)安全需求 通過對 榆林市政府應(yīng)急中心 系統(tǒng)網(wǎng)絡(luò)環(huán) 境和主要網(wǎng)絡(luò)業(yè)務(wù)狀況進(jìn)行分析，我們認(rèn)為計算機(jī)病毒是威脅系統(tǒng)正常運(yùn)行的一個重要因素。對客戶端、服務(wù)器端的不同地址和不同服務(wù)協(xié)議的流量分析。 ? 防火墻僅對數(shù)據(jù)包頭進(jìn)行分析并依據(jù)策略進(jìn)行判斷，而不對數(shù)據(jù)包的負(fù)載或內(nèi)容進(jìn)行深層次的分析，對規(guī)則中允許的端口和服務(wù)一直視為正常的用戶，不執(zhí)行保 安功能。 網(wǎng)絡(luò)入侵檢測系統(tǒng)位于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上，通過實時偵聽網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試。并且在交換的過程中，安全通道會阻斷所有的 TCP 直接連接，因此保證了內(nèi)網(wǎng)和外網(wǎng)的物理隔離。 ? 高安全性 作為安全設(shè)備，防火墻本身必須具有高安全性，本身沒有安全漏洞，不開放服務(wù)，可 以抵抗各種類型的攻擊。日志是對一些可能的攻擊行為進(jìn)行分析和防范的十分重要的情報。 防火墻技術(shù) 防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的組織內(nèi)部網(wǎng)和不可信任的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件組合。 ? 對信息的非正常的修改，包括破壞數(shù)據(jù)一致性的非法修改以及刪除。授權(quán)用戶可能濫用他們的權(quán)限，蓄意竊取或破壞信息。數(shù)據(jù)庫系統(tǒng)平臺是應(yīng)用系統(tǒng)的基礎(chǔ)， 其面臨的安全風(fēng)險包括： ? 偶然的、無意的侵犯 /或破壞。 Windows NT/2020/XP 系統(tǒng)的安全水平取決于管理員在安裝過程、補(bǔ)丁安裝過程、應(yīng)用服務(wù)配置過程中的安全修養(yǎng)和實際考慮。而數(shù)據(jù)是依賴于軟件而存在的，也就是說數(shù)據(jù)資產(chǎn)也間接地依賴于某些硬件，因此數(shù)據(jù)資產(chǎn)的安全威脅和脆弱性也顯然包括了服務(wù)器、工作站等硬件所受的技術(shù)故障、人員錯誤以及物理和環(huán)境的威脅和脆弱性。即使沒有破譯傳輸?shù)男畔?，也可以通過刪減信息內(nèi)容等方式，造成對信息的破壞，比如將一份報文的后半部分去掉，造成時間、地點等重要內(nèi)容的缺失，導(dǎo)致信息的嚴(yán)重失真； ? 重放攻擊：即使攻擊者無法破譯報文內(nèi)容，也無法對報文進(jìn)行篡改或刪減，但也可以通過重新發(fā)送收到的數(shù)據(jù)包的方式，進(jìn)行重放攻擊。這要求保證： 1）只有授權(quán)用戶才可以訪問服務(wù)和信息； 2）授權(quán)用戶只能訪問那些他們被授權(quán)訪問的服務(wù)； 3）信息的公開要與策略一致； ? 維護(hù)存儲 在服務(wù)器上信息的完整性，以免信息被破壞或被損壞，并使系統(tǒng)像期望的那樣運(yùn)行。 ? 路由器口令的弱點是沒有計數(shù)器功能的，所有每個人都可以不限次數(shù)地嘗試登錄口令，在口令字典等工具的幫助下很容易破解登錄口令。黑客為了進(jìn)行 IP 欺騙，進(jìn)行以下工作：使得被信任的主機(jī)喪失工作能力，同時采樣目標(biāo)主機(jī)發(fā)出的 TCP 序列號，猜測出它的數(shù)據(jù)序列號。 數(shù)據(jù)層 數(shù)據(jù)層存儲的主要是業(yè)務(wù)數(shù)據(jù)，包括文件級數(shù)據(jù)和機(jī)密級數(shù)據(jù)。 安全傳送包括采用 IPsec、 SSL 等技術(shù)，采用 VPN 隧道對傳輸數(shù)據(jù)進(jìn)行加密。系統(tǒng)級層次的安全主要依靠操作系統(tǒng)的可靠性、漏洞補(bǔ)救、病毒防護(hù)等措施保障，該層次的安全性可以結(jié)合網(wǎng)絡(luò)層、應(yīng)用層和管理層的措施共同防護(hù)。因此我們有必要認(rèn)真的分析管理所帶來的安全風(fēng)險，并采取相應(yīng)的安全措施。如果辦公系統(tǒng)與 業(yè)務(wù)系統(tǒng)沒有采取相應(yīng)安全措施，同樣是內(nèi)部網(wǎng)用戶的個別員工可能訪問到他本不該訪問的信息。除此之外，在一些特殊重要的網(wǎng)絡(luò)應(yīng)用中，可利用“網(wǎng)絡(luò)隔離和 信息交換”技術(shù)，將兩個網(wǎng)絡(luò)從物理上隔斷而保證應(yīng)用上連通實現(xiàn)的“信息擺渡”。網(wǎng)絡(luò)設(shè)備作為網(wǎng)絡(luò)資源和數(shù)據(jù)通訊的關(guān)鍵設(shè)備，有必要提供充分的安全保護(hù)功能，交換機(jī)、路由器、防火墻、入侵檢測、防病毒、網(wǎng)閘、管理平臺等產(chǎn)品提供了多種網(wǎng)絡(luò)安全機(jī)制，為網(wǎng)絡(luò)資源和數(shù)據(jù)交換提供了有力的安全保護(hù)。比如通過發(fā)送大量報文使得網(wǎng)絡(luò)帶寬資源被消耗。但由于構(gòu)成 Inter 的 TCP/IP 協(xié)議本身缺乏安全性，提供一種開放式的環(huán)境，網(wǎng)絡(luò)安全成為一個在開放式環(huán)境中必要的技術(shù)，成為必須面對的一個實際問題。 端口掃描 — 通過探測防火墻在偵聽的端口，來發(fā)現(xiàn)系統(tǒng)的漏洞；或者事先知道路由器軟件的某個版本存在漏洞，通過查詢特定端口，判斷是否存在該漏洞。 另外，網(wǎng)絡(luò)本身的可靠性與線路安全也是值得關(guān) 注的問題。它是整個網(wǎng)絡(luò)系統(tǒng)安全的前提。存儲數(shù)據(jù)對于網(wǎng)絡(luò)系統(tǒng)來說極為重要 ，如果由于通信線路的質(zhì)量原因或者人為的惡意篡改，都將導(dǎo)致難以想象的后果，這也是網(wǎng)絡(luò)犯罪的最大特征。 系統(tǒng)層安全－ 系統(tǒng)級的安全風(fēng)險 分析主要針對專用網(wǎng)絡(luò)采用的操作系統(tǒng)、數(shù)據(jù)庫、及相 關(guān)商用產(chǎn)品的安全漏洞和病毒威脅進(jìn)行分析。因此，最可行的做法是管理制度和管理解決方案的結(jié)合。此外，僅僅依靠安全技術(shù)和安全的管理是無法徹底解決安全問題的，解決安全問題是個循序的過程，還需要對緊急事件進(jìn)行及時的處理響應(yīng)并完善更新策略規(guī)則，增強(qiáng)整個系統(tǒng)安全性 。 應(yīng)用系統(tǒng)主要有以下幾類用戶：市應(yīng)急平 臺、市內(nèi)各部門、分中心、各局辦，都是通過電子政務(wù)內(nèi)網(wǎng)或互聯(lián)網(wǎng)直接連接和市應(yīng)急平臺應(yīng)用系統(tǒng)進(jìn)行通訊。 典型利用 TCP/IP 協(xié)議的弱點，發(fā)起攻擊行為的就是“拒絕服務(wù)攻擊”，比如“ SYN FLOOD” 攻擊，它就是利用了 TCP 協(xié)議中，建立可靠連接所必須經(jīng)過的三次握手行為，攻擊者只向攻擊目標(biāo)發(fā)送帶“ SYN”表示的數(shù)據(jù)包，導(dǎo)致攻擊目標(biāo)一味地等待發(fā)起連 接請求的源地址再次發(fā)送確認(rèn)信息，而導(dǎo)致系統(tǒng)處于長期等待狀態(tài)，直至系統(tǒng)的資源耗盡，而無法正常處理其他合法的連接請求。 對于 榆林市政府應(yīng)急中心網(wǎng)絡(luò) ，由于 TCP/IP 協(xié)議的弱點，有可能造成以下的破壞。 ? 發(fā)布假路由，路由欺騙，導(dǎo)致整個網(wǎng)絡(luò)的路由混亂。 這就要求系統(tǒng)能夠?qū)W(wǎng)絡(luò)中發(fā)生的各種訪問，乃至網(wǎng)絡(luò)中傳遞的數(shù)據(jù)包進(jìn)行很好的監(jiān)控，特別是針對 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)，由于其既存在對內(nèi)提供服務(wù)的設(shè)備，也存在對外提 供服務(wù)的設(shè)備，這些服務(wù)器在安裝的過程中有可能沒有關(guān)閉掉一些毫無用處的服務(wù)，或者即使關(guān)閉了這些服務(wù)，也因為操作系統(tǒng)自身存在的漏洞而給攻擊者可乘之機(jī)，特別是對互聯(lián)網(wǎng)提供服務(wù)的設(shè)備，很容易成為 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)的“安全短板”，被來自 互聯(lián)網(wǎng)的攻擊者利用，從而發(fā)起對內(nèi)網(wǎng)的攻擊。因此，對應(yīng)用系統(tǒng)安全風(fēng)險的分析也就 是對各種系統(tǒng)平臺的安全風(fēng)險分析。安全漏洞就是某種形式的脆弱性。 WINDOWS 9X 系統(tǒng)通常存在的安全漏洞包括以下方面： ? WINDOWS 9X 系統(tǒng)經(jīng)常出現(xiàn)的拒絕服務(wù)攻擊漏洞 ? IE 瀏覽器出現(xiàn)的各種安全漏洞 ? WINDOWS 資源共享導(dǎo)致的安全漏洞 ? 電子郵件攜帶的病毒和木馬程序 ? IRC、 ICQ、 OICQ 等網(wǎng)絡(luò)聯(lián)絡(luò)工具帶來的安全漏洞 ? WINDOWS 9X 系統(tǒng)中存在的其它安全漏洞 數(shù)據(jù)庫系統(tǒng)平臺風(fēng)險分析 數(shù)據(jù)庫系統(tǒng)一 般可以理解成兩部分：一部分是數(shù)據(jù)庫，按一定的方式存取數(shù)據(jù)；另一部分是數(shù)據(jù)庫管理系統(tǒng)（ DBMS），為用戶及應(yīng)用程序提供數(shù)據(jù)訪問，并具有對數(shù)據(jù)庫進(jìn)行管理、維護(hù)等多種功能。 ? 人為的失誤。 ? 隱通道。 邊界防護(hù)的需求 邊界防護(hù)的設(shè)計是將組織的網(wǎng)絡(luò)，根據(jù)其信息性質(zhì)、使用主體、安全目標(biāo)和策略的不同來劃分為不同的安全域（從縱向上我們將 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 劃分內(nèi)網(wǎng)和電子政務(wù)專網(wǎng)兩個層面，從橫向上又分為涉密內(nèi)網(wǎng)、服務(wù)器群和辦公內(nèi)網(wǎng)三個組成部分，從而形成多個安全域），不同的安全域之間形成了網(wǎng)絡(luò)邊 界， 通過邊界保護(hù)，嚴(yán)格規(guī)范 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 系統(tǒng)內(nèi)部 的 訪問 ，防范不同網(wǎng)絡(luò)區(qū)域之間的非法訪問和攻擊， 從而 確保 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 各個區(qū)域的有序訪問。 ? 控制協(xié)議和服務(wù) 針對網(wǎng)絡(luò)協(xié)議設(shè)計的先天缺陷，防火墻采取控制協(xié)議和服務(wù)的方法，使得只有授權(quán)的協(xié)議和服務(wù)才可以通過防火墻，從而大大降低了因某種服務(wù)、協(xié)議的漏洞而引起災(zāi)難性安全事故的可能性。 ? 高可靠性 由于防火墻是網(wǎng)絡(luò)中的重要設(shè)備，意外的宕機(jī)都會造成網(wǎng)絡(luò)的癱瘓，因此防火墻必須是運(yùn)行穩(wěn)定，故障率低的系統(tǒng)，并且要求能夠?qū)崿F(xiàn)雙機(jī)熱備，最好能夠?qū)崿F(xiàn)防火墻集群技術(shù)，以保證不間斷的網(wǎng)絡(luò)服務(wù)。 隔離 交換 技術(shù) 隔離交換技術(shù)是針對不同安全級別網(wǎng)絡(luò)之間的隔離需求而研制的一種新型物理隔離系統(tǒng)，工作在不同安全級別的網(wǎng)段之間，利用“信 息擺渡技術(shù)”，終斷了原有的 TCP/IP 連接，使得沒有任何存活的 TCP/IP 連接能穿過該系統(tǒng)，從而有效防止針對網(wǎng)絡(luò)協(xié)議和操作系統(tǒng)漏洞的各種攻擊，并且在物理上斷開內(nèi)外網(wǎng)絡(luò)連接的同時，還能夠?qū)崿F(xiàn)適度的、可控的內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)交換，其工作原理如下圖所示： 安全隔離網(wǎng)閘工作原理圖 隔離交換系統(tǒng)主要有外網(wǎng)主機(jī)模塊、外網(wǎng)通信網(wǎng)口、內(nèi)網(wǎng)主機(jī)模塊、內(nèi)網(wǎng)通信網(wǎng)口和安全通道組成，外網(wǎng)主機(jī)模塊和內(nèi)網(wǎng)主機(jī)模塊采用獨立的系統(tǒng)，包含各自的處理單元和存儲單元， 分別連接可信內(nèi)網(wǎng)和非可信的網(wǎng)絡(luò)，負(fù)責(zé)對應(yīng)用數(shù)據(jù)進(jìn)行預(yù)處理及安全檢查。 ? 具有自定義傳輸協(xié)議要求 系統(tǒng)能夠支持自定義信息交換報文和協(xié)議進(jìn)行信息傳遞和交換，防止黑客利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議的各種漏洞進(jìn)行攻擊 ? 具有可審計功能要求 所有數(shù)據(jù)交換操作都必須有詳細(xì)的日志記錄，配合數(shù)字簽名等措施，系統(tǒng)必須提供有效的審計數(shù)據(jù)，和審計工具。 防火墻系統(tǒng)是基于策略的對網(wǎng)絡(luò)邊界實施靜態(tài)安全防范的技術(shù)，根據(jù)系統(tǒng)的策略 (IP Address/port/…) 只允許通過策略所允許的數(shù)據(jù)包，但不能切斷隱藏在正常數(shù)據(jù)包中的黑客攻擊試圖。 針對 榆林市政府應(yīng)急中心 系統(tǒng) 的具體情況和行業(yè)特點，我們得到的入侵檢測的需求包括以下幾個方面： ? 入侵檢測要求 能夠?qū)粜袨檫M(jìn)行檢測，是對入侵檢測設(shè)備的核心需求，要求可以檢測的種類包括：異常行為檢測（包括針對各種服務(wù)器的攻擊等）、可移動存儲設(shè)備檢測、撥號上網(wǎng)檢測等等。報警信息要分為不同的級別：對有入侵動機(jī)的行為向用戶顯示提示信息、對嚴(yán)重的違規(guī)現(xiàn)象實行警告通知、對極其危險的攻擊可通過網(wǎng)管或者互動防火墻進(jìn)行及時阻斷、以及向安全管理中心報告。 因此，首先我們需要在 榆林市政府應(yīng)急中心 系統(tǒng)的全網(wǎng)絡(luò)系統(tǒng)中部署防病毒軟件，并且建成后的網(wǎng)絡(luò)防病毒系統(tǒng)要具有以下功能特點： ? 網(wǎng)絡(luò)集中分布式管理 ? 基于策略的防病毒管理 ? 客戶端策略鎖定 ? 策略強(qiáng)制執(zhí)行 ? 網(wǎng)絡(luò)自動安裝 ? 網(wǎng)絡(luò)智能化增量升級 ? 網(wǎng)絡(luò)集中報警功能 ? 新病毒樣本收集與提交 ? 管理高效性 客戶 PC 是用戶訪問業(yè)務(wù)信息、進(jìn)行業(yè)務(wù)操作的前臺，很多客戶 PC 都是基于微軟 Windows平 臺的。這種邊界的實施可通過在相連的兩個網(wǎng)絡(luò)之間安全網(wǎng)關(guān)來控制其間訪問和信息流。 邊界保護(hù)機(jī)制的需求 1. 對源地址、目的地址和服務(wù)做出限制，并阻斷危險的協(xié)議，比如 ICMP 協(xié)議。 （ 5） 充分考慮人的因素 在構(gòu)建安全體系時，人的因素是非常重要的。 防火墻基本安全策略： ? 防火墻以路由方式接入； ? 防火墻通過 NAT 地址轉(zhuǎn)換隱藏 榆林市政府應(yīng)急中心 系統(tǒng) 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)； ? Inter 網(wǎng)絡(luò)用戶只允許訪問 榆林市政府應(yīng)急中心 系 統(tǒng) 網(wǎng)絡(luò)的網(wǎng)上查詢服務(wù)器的受理端口； ? 只允許查詢受理服務(wù)器訪問數(shù)據(jù)中心區(qū)的數(shù)據(jù)服務(wù)器的特定端口； ? 公共服務(wù)區(qū)的計算機(jī)只允許訪問 Inter。入侵檢測安全服務(wù)中心安裝在內(nèi)部網(wǎng)管理區(qū)的一臺主機(jī)上，對入侵檢測探測器進(jìn)行控制和管理。 主控制臺和副控制臺可以記錄探測器的所有事件，且主控制臺可以設(shè)置探測器 的配置。 3 運(yùn)行性能 ? IDS 采用內(nèi)存零拷貝、零系統(tǒng)調(diào)用以及獨創(chuàng)的 AMPFAT 等高性能網(wǎng)絡(luò)數(shù)據(jù)包處理技術(shù)，有效降低了網(wǎng)絡(luò)數(shù)據(jù)包的處理開銷，即使在高流量的網(wǎng)絡(luò)環(huán)境下也可以保持出色的運(yùn)行性能。 ? 檢測規(guī)則庫和國家反計算機(jī)入侵和防病毒研究中心合作建 設(shè) ， 保證了檢測規(guī)則庫的權(quán)威性和時效性。 ? 基于 SSL 加密和身份認(rèn)證的通訊機(jī)制，保證傳輸安全。 附加功能 ? 網(wǎng)絡(luò)流量統(tǒng)計 ： 提供對探測器監(jiān)視網(wǎng)絡(luò)環(huán)境的流量圖形化統(tǒng)計功能，可以分不同的探測器查看 TCP 連接數(shù)目，網(wǎng)絡(luò)字節(jié)流 量統(tǒng)計，網(wǎng)