【正文】 ）交易所與各個營業(yè)點之間的連接 交易所內(nèi)部與各個營業(yè)點之間的連接時通過專線的方式，使用了 3 的路由器及由電信提供的 CSU/DSU 設(shè)備。 7）其他 因 為對公司的了解并不是很深，只是對現(xiàn)了解到的情況進行分析，希望公司看過本方案以后能夠提供更多的網(wǎng)絡(luò)連接，部門之間通訊的情況。 2) 來自內(nèi)部網(wǎng)的病毒的破壞； 3) 內(nèi)部用戶的惡意攻擊、誤操作，但由于目前發(fā)生的概率較小，本部分暫不作考慮。 1). 來自于外部網(wǎng)絡(luò)的訪問，除有特定的身份認證外，只能到達 指定的訪問目的地，不能訪問內(nèi)部資源。 1). 交易業(yè)務(wù)系統(tǒng)的安全需求： 與普通網(wǎng)絡(luò)應(yīng)用不同的是，業(yè)務(wù)系統(tǒng)是湖南證券股份有限湖南證券股份有限應(yīng)用的核心。 2). Inter 服務(wù)平臺的安全需求： 安聯(lián)內(nèi)部網(wǎng) DMZ 外部服務(wù)區(qū) 外部用戶 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 12 頁 Inter 服務(wù)平臺分為兩個部分：提供湖南證券股份有限公司的網(wǎng)絡(luò)用戶對 Inter 的訪問；提供 Inter 對公司網(wǎng)內(nèi)服務(wù)的訪問。實施網(wǎng)絡(luò)安全系統(tǒng)項目，整體規(guī)劃網(wǎng)絡(luò)安全系統(tǒng)，作好以下幾個方面的規(guī)劃和實施： ? 應(yīng)用程序加密 ? 應(yīng)用完整性 ? 用戶完整性 ? 系統(tǒng)完整性 ? 網(wǎng)絡(luò)完整性 . 近期目標 目前迫在眉睫的工作是保護整個系統(tǒng)的網(wǎng)絡(luò)完整性和系統(tǒng)的完整性，建立安全的網(wǎng)絡(luò)邏輯結(jié)構(gòu)，為今后的實施應(yīng)用完整性和用戶完整性奠定基礎(chǔ)。 操作系統(tǒng) 操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時能夠?qū)υ摬僮飨到y(tǒng)上的應(yīng)用進行審計。保護成本、被保護信息的價值必須平衡，價值僅 1 萬元的信息如果用 5萬元的技術(shù)和設(shè)備去保護是一種不適當?shù)谋Ｗo。其次，采用的措施不能影響系統(tǒng)正常運行。而應(yīng)基于“最低權(quán)限”和“相互監(jiān)督”的法則，減少保密信息的介入范圍，盡力消除使用者為使用資源不得不信任他人或被他人信任的問題，建立起完整的安全控制體系和保證體系。 . 安全管理的實現(xiàn) 信息系統(tǒng)的安全管理部門應(yīng)根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保密性，制訂相應(yīng)的 管理制度或采用相應(yīng)規(guī)范，其具體工作是： ? 確定該系統(tǒng)的安全等級。 ? 制訂應(yīng)急措施。 物理層安全涉及傳輸介質(zhì)的安全特性，抗干擾、防竊聽將是物理層安全措施制定的重點。然而，在群件系統(tǒng)中共享的信息卻必須保證其安全性，以防止有意無意的破壞。 ? 多層防御： 攻擊者在突破第一道防線后，延緩或阻斷其到達攻擊目標。 在本章結(jié)尾，我們總結(jié)了本方案的特點。 整個網(wǎng)絡(luò)安全結(jié)構(gòu)如下圖： 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 20 頁 . 對 Inter 服務(wù)網(wǎng)段 如上圖示，內(nèi)部用戶訪問 Inter,通過撥號上網(wǎng)的方式，通過單個客戶機分別撥號上網(wǎng)首先會對整個內(nèi)部安全造成很大影響，同時造成資金的浪費。 3). 地址轉(zhuǎn)換（ NAT） 由于目前湖南證券股份有限有限公司采用 A 類地址，而外部采用 Inter 合法地址，Gauntlet Firewall1 提供內(nèi)、外地址的翻譯，即可隱藏內(nèi)部 IP. 4). FireWall1 未來的 GVPN 功能 將來外匯管理局的內(nèi)部 Intra 中的 Gauntlet 防火墻可形成 GVPN，采用 Gauntlet 的 GVPN技術(shù)對內(nèi)部的外出員工可建立一條可信賴的連接，直接訪問內(nèi)部網(wǎng)絡(luò)的資源。如果是與交易有關(guān)的包讓它占有較大的帶寬，如果與交易無關(guān)的包則讓它占較小的帶寬，這樣可以保證主干業(yè)務(wù)的暢通運行。 配置方法：在幾個重要部門的交換機上安裝一個硬件的的 VPN 設(shè)備，所有需要到另一個部門的信息都會通過 VPN 網(wǎng)關(guān) ,進行加密，根據(jù) IPSEC 方式，在 IP 包頭添加另一個網(wǎng)段的 VPN網(wǎng)關(guān)的 IP 地址。作用：對重要的文件 進行實時的跟蹤，對用戶的權(quán)限、密碼、注冊表文件或 /etc 目錄下的文件、數(shù)據(jù)庫內(nèi)的數(shù)據(jù)進行保護。 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 23 頁 . 外部用戶訪問公司網(wǎng)站安全分析和建議 當外部用戶訪問公司托管的網(wǎng)站服務(wù) 器時，因為現(xiàn)在在網(wǎng)站服務(wù)器上沒有做任何的防范所以和容易被黑客破壞，當發(fā)生頁面被換成非健康內(nèi)。作用：防止病毒功過客戶端，文件服務(wù)器，全殲服務(wù)器，網(wǎng)關(guān)服務(wù)器進行傳播，有效的防止了這種非技術(shù)型的系統(tǒng)破壞。其他特點： VPN 網(wǎng)關(guān)會可以在這幾個部門之間相互建立不同的信任關(guān)系，建立不同的加密算 法；作用：防止了不滿員工的偵聽，保證了信息傳輸過程中的安全性，提高各個重要部門的安全性等等。這樣就可以分析出哪些連接是沒有必要的，然后再把該連 接通過防火墻給屏蔽掉。 . 連接各營業(yè)點的網(wǎng)段 連接各營業(yè)點的網(wǎng)段是連接公司總部與各分公司的接口，各營業(yè)點通過 到總公司的 3 主干路由器上。建議： a. 在撥號上網(wǎng)的主機上配置物理隔離卡，當用戶上網(wǎng)時，物理隔離卡可以把硬盤分為上網(wǎng)部分與安全部分，這兩部分將相互隔離， 這樣就保證了有非法用戶通過該機進入內(nèi)部系統(tǒng)。 其總體結(jié)構(gòu)如下： 1). 內(nèi)部網(wǎng)絡(luò)系統(tǒng)： 包括： ? LAN1， LAN2…..LAN8 等內(nèi)部網(wǎng)段； ? 內(nèi)部服務(wù)子網(wǎng) 即 [初步設(shè)想 ]的 VPN 的部分。 ? 設(shè)立安全監(jiān)控中心： 為信息系統(tǒng)提供安全體系管理、監(jiān)控，保護及緊急情況服務(wù)。 . 安全產(chǎn)品選型原則 在進行 湖南證券股份有限有限公司網(wǎng)絡(luò)安全方案的產(chǎn)品選型時，要求安全產(chǎn)品至少應(yīng)包含以下功能： ? 訪問控制： 通過對特定網(wǎng)段、服務(wù)建立的訪問控制體系，將絕大多數(shù)攻擊阻止在到達攻擊目標之前。 在網(wǎng)絡(luò)層，可通過對不同子網(wǎng)的定義和對路由器的路由表控制來限制子網(wǎng)間的接點通信，通過對主機路由表的控制來控 制與之直接通信的節(jié)點。 ? 建立人員雇用和解聘制度，對工作調(diào)動和離職人員要及時調(diào)整相應(yīng)的授權(quán)。 ? 制訂相應(yīng)的機房出入管理制度。 2). 技術(shù)策略 技術(shù)策略要針對網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、信息共享授權(quán)提出具 體的措施。 6). 多重保護原則 任何安全保護措施 都不是絕對安全的，都可能被攻破。一個較好的安全措施往往是多種方法適當綜合的應(yīng)用結(jié)果。由于應(yīng)用平臺的系統(tǒng)非常復(fù)雜，通常采用多種技術(shù)（如 SSL 等）來增強應(yīng)用平臺的安全性。 . 遠期目標 全面部署湖南證券股份有限有限公司全局的整體安全防御系 統(tǒng)，鞏固和完善網(wǎng)絡(luò)安全及管理系統(tǒng)，使湖南證券股份有限有限公司信息網(wǎng)在安全的前提下更好、更方便、更有效的實現(xiàn)中央銀行的監(jiān)管職能。如通過電子郵件、FTP 引入病毒、危險的 Java 或 ActiveX 應(yīng) 用等。對于業(yè)務(wù)系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。授權(quán)和代理由防火墻來完成。 ? 來自 Inter 的 Web 瀏覽可能存在的惡意 Java/ActiveX 控件。但因為對公司的這些情況并不了解，所以暫時沒有進行描述。當數(shù)據(jù) 由各個營業(yè)點傳送到此后，再通過集中的服務(wù)器進行業(yè)務(wù)處理。 . 網(wǎng)絡(luò)結(jié)構(gòu) 公司的網(wǎng)絡(luò)大致結(jié)構(gòu)示意圖，如下 圖所示 : 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 8 頁 對網(wǎng)絡(luò)結(jié)構(gòu)的具體描述： 1) 外部用戶訪問網(wǎng)上交易主機 外部用戶通過 Inter 來訪問網(wǎng)上交易主機，網(wǎng)上交易主機作為前置機讓外部用戶進行查詢，前置機使用并口線（ RS232）與后臺的服務(wù)器進行連接 ,當用戶需要進行證券交易時，向交易主機發(fā)出需要購進或拋出的股票的請求，交易主機再把客戶的信息傳給后臺的處理服務(wù)器，完成整個交易過程。利用高性能的網(wǎng)絡(luò)安全環(huán)境，提供整體防病毒、防火墻、防黑客、數(shù)據(jù)加密、身份驗證等于一身的功能，有效地保證秘密、機密文件的安全傳輸，嚴格地制止經(jīng)濟情報失、泄密現(xiàn)象發(fā)生，避免重大經(jīng)濟案件的發(fā)生。 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 1 頁 湖南證券股份有限公司 網(wǎng)絡(luò)安全方案 建議書 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 2 頁 目 錄 美國網(wǎng)絡(luò)聯(lián)盟公司 ................................................................................... 錯誤 !未定義書簽。通過先進技術(shù)建立起的網(wǎng)絡(luò)安全系統(tǒng)，可以從根本上解決來自網(wǎng)絡(luò)外部及內(nèi)部對網(wǎng)絡(luò)安全造成的各種威脅，以最優(yōu)秀的網(wǎng)絡(luò)安全 整體解決方案為基礎(chǔ)形成一個更加完善的業(yè)務(wù)系統(tǒng)和辦公自動化系統(tǒng)。 Netware、 NT、Unix 的補丁程序都不是最新的程序，對某些安全漏洞及 Y2k 問題沒有進行相應(yīng)的升級。現(xiàn)一共有 16 個營業(yè)點。 . 其他 對公司的網(wǎng)絡(luò)整體的分析還包括人員管理，應(yīng)用服務(wù)系統(tǒng)。 4) 來自外部網(wǎng)絡(luò)的攻擊，具體有三條途徑： 湖南證券股份有限公司網(wǎng)絡(luò)安全方案建議書 共 59 頁 第 10 頁 ? Inter 連接的部分； ? 與各分部連接的部分； 5) 外部網(wǎng)的破壞主要的方式為： ? 黑客用戶的惡意攻擊、竊取信息， ? 通過網(wǎng)絡(luò)傳送的病毒和 Inter 的電子郵件夾帶的病毒。 2). 網(wǎng)絡(luò)內(nèi)部用戶對外的訪問必須經(jīng)過授權(quán)才能訪問外部的 Server。湖南證券股份有限有限公司的業(yè)務(wù)系統(tǒng)包括總部和分部所有的業(yè)務(wù)系統(tǒng)。 公司內(nèi)網(wǎng)絡(luò)客戶對 Inter 的訪問，有可能帶來某些類型的網(wǎng)絡(luò)安全。網(wǎng)絡(luò)完整性主要是對網(wǎng)絡(luò)系統(tǒng)的保護，通過設(shè)置防火墻系統(tǒng)等保證通訊安全；系統(tǒng)的完整性是信息系統(tǒng)的保護主要有防病毒、風(fēng)險評估、入侵檢測、審計分析等方面。 應(yīng)用平臺 應(yīng)用平臺指建立在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù)，如數(shù)據(jù)庫服務(wù)器、 電子郵件服務(wù)器、Web 服務(wù)器等。 2). 綜合性、整體性原則 ： 運用系統(tǒng)工程的觀點、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措施。 5). 適應(yīng)性、靈活性原則 安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改。 . 網(wǎng)絡(luò)安全策略 安全策略分安全管理策略和安全技術(shù)實施策略兩個方面： 1). 管理策略 安全系統(tǒng)需要人來執(zhí)行，即使是最好的、最值得信賴的系統(tǒng)安全措施，也不能完全由計算機系統(tǒng)來完全承擔(dān)安全保證任務(wù)，因此必須建立完備的安全組織和管理制度。 ? 根據(jù)確定的安全等級，確定安全管理的范圍。要制訂在緊急情況下，系統(tǒng)如何盡快恢復(fù)的應(yīng)急措施，使損失減至最小。 在鏈路層，通過“橋”這一互連設(shè)備的監(jiān)視和控制作用，使我們可以建立一定程度的虛擬局域網(wǎng)，對物理和邏輯網(wǎng)段進行有效的分割和隔離，消除不同安全級別邏輯網(wǎng)段間的竊聽可能。 物理實體的安全管理現(xiàn)已有大量標準和規(guī)范，如 GB936188《計算機場地安全要求》、GFB288788《計算機場地技術(shù)條件》等。 ? 隱藏內(nèi)部信息： 使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。 . 整體結(jié)構(gòu)安全建議描述 由于湖南證券股份有限有限公司網(wǎng)的安全體系包括內(nèi)外兩部分，而目前著重于外部的安全建設(shè)，所以目前的安全假設(shè)為： 將公司內(nèi)部網(wǎng)絡(luò)看作信任網(wǎng)絡(luò)，暫不考慮安全問題；將外部網(wǎng)視為不信 任網(wǎng)絡(luò)，需要采取安全措施。因為當撥號連接建立以后，會動態(tài)的分配到一個合法的 IP 地址，那樣如果有非法用戶對該地址進行嘗試的攻擊，很可能通過該機進入整個內(nèi)部系統(tǒng)。 c. 使用 Proxy 的方式，讓所有的用戶通過盡量少的電話線上網(wǎng)，在該 proxy 服務(wù)器上安裝物理隔離卡，這樣可以防止不必要的危險性，又可以降低費用，同時可以對所有用戶訪問的時間流量進行統(tǒng)計。 c. 可以在網(wǎng)段上安裝入侵檢測軟件，它可以對進來的包進行解碼并且分析包的內(nèi)容，是什么類型的服務(wù)，使用的端口號，源地址及目的地址等。這樣所有的包在到達另一個部門前先需要經(jīng)過該部門的 VPN 網(wǎng)關(guān)的解密。 ，配置方法：在文件服務(wù)器，群間服務(wù)器，網(wǎng)關(guān)服務(wù)器，客戶機上分別安裝防病毒軟件