【正文】 。 體系結(jié)構(gòu)設(shè)計(jì) ? 完善的日志審計(jì)功能，記錄用戶操作的一舉一動(dòng)。 ? 多個(gè) 探測器 連接一個(gè) 控制臺(tái)。其主要功能如下： ? 實(shí)時(shí)網(wǎng)絡(luò)數(shù)據(jù)流跟蹤，分析網(wǎng)絡(luò)通信會(huì)話軌跡； ? 網(wǎng)絡(luò)攻擊模式識(shí)別； ? 網(wǎng)絡(luò)安全違規(guī)活動(dòng)捕獲； ? 網(wǎng)絡(luò)安全事件的自動(dòng)響應(yīng)； ? 提供智能化網(wǎng)絡(luò)安全審計(jì)方案； ? 支持用戶自定義網(wǎng)絡(luò)安全策略和網(wǎng)絡(luò)安全事件； ? 具有生成分析報(bào)告的能力； ? 自動(dòng)或人工方式更新知識(shí)庫； ? 能相互監(jiān)視和控制程序的運(yùn)行，確保系統(tǒng)的健壯 性； 配置入侵檢測系統(tǒng)，主要完成以下工作： 能提供安全審計(jì)、監(jiān)視、攻擊識(shí)別和反攻擊等多項(xiàng)功能，對內(nèi)部攻擊、外部攻擊和誤操作進(jìn)行實(shí)時(shí)監(jiān)控 。 （ 3） 限制用戶訪問的范圍 應(yīng)當(dāng)在網(wǎng)絡(luò)中構(gòu)筑多道 屏障，使得非法闖入系統(tǒng)者不能自動(dòng)進(jìn)入整個(gè)系統(tǒng)，尤其要注意網(wǎng)絡(luò)中關(guān)鍵敏感地區(qū)的防范。 系統(tǒng)安全建議 本方案通過對 榆林市政府應(yīng)急中心 系統(tǒng)對外服務(wù)的網(wǎng)絡(luò)和應(yīng)用現(xiàn)狀的 細(xì)致風(fēng)險(xiǎn)分析和安全需求理解，有針對性的部署了以下具有針對性的安全策略，其中采用的安全技術(shù)有：防火墻技術(shù)、入侵檢測技術(shù)、隔離網(wǎng)閘技術(shù)、病毒防護(hù)技術(shù)?？梢愿鶕?jù)管理員的選擇，定制不同形式的報(bào)表。 入侵檢測系統(tǒng)可以部署在網(wǎng)絡(luò)中的核心，這里我們建議在 榆林市政府應(yīng)急中心 系統(tǒng)網(wǎng)絡(luò)中引入 入侵檢測 系統(tǒng) ，監(jiān)視并記錄 網(wǎng)絡(luò)中 的所有 反問行為和 操作，有效防止非法操作和惡意攻擊。 ? 可以擴(kuò)展 系統(tǒng)的建設(shè)必須考慮到未來發(fā)展的需要，系統(tǒng)必須具有良好的可擴(kuò)展性和良好的可升級性。防火墻本身必需具有很強(qiáng)的抗攻擊能力，以確保其 自身的安全性。病毒可以自我復(fù)制，永久的或通常是不可恢復(fù)的破壞自我復(fù)制的現(xiàn)場，到達(dá)破壞信息系 統(tǒng)、取得信息甚至使系統(tǒng)癱瘓。借助WINDOWS 95/98 系統(tǒng)中存在的漏洞，攻擊和入侵者可以直接竊取用戶口令、竊取重要數(shù)據(jù)文件、安裝木馬程序、采用逐漸參透方法入侵其它主機(jī)等。例如，偽裝成一個(gè)合法用戶，參與正常的通信過程，造成數(shù)據(jù)泄密。 ? 路由器實(shí)現(xiàn)的動(dòng)態(tài)路由協(xié)議存在著一定的安全漏洞，有可能被惡意的攻擊者利用來破壞網(wǎng)絡(luò)的路由設(shè)置，達(dá)到破壞網(wǎng)絡(luò)或?yàn)楣糇鰷?zhǔn)備。具體描述如下： TCP/IP 協(xié)議的弱點(diǎn) 由于 TCP/IP 協(xié)議作為事實(shí)上的工業(yè)標(biāo)準(zhǔn) ， 以其 IP Over Everything 的思想 ， 簡化了網(wǎng)絡(luò)構(gòu)建的復(fù)雜性 ， 并隨著技術(shù)的發(fā)展 ， 并最終實(shí)現(xiàn) Everything Over IP 的網(wǎng)絡(luò)融合 ， 這種網(wǎng)絡(luò)發(fā)展的趨勢是不可逆轉(zhuǎn)的 ， 是由 IP 技術(shù)的競爭優(yōu)勢確定的。包括網(wǎng)絡(luò)傳送、網(wǎng)絡(luò)服務(wù)、應(yīng)用安全、安全識(shí)別、安全防御、安全監(jiān)控、審計(jì)分析、集中管理等多個(gè)方面?；蛘咴趧e的用戶關(guān)機(jī)后，盜用其 IP 進(jìn)行非法操作，來隱瞞自已的身份。 為了便于分析網(wǎng)絡(luò)安全和設(shè)計(jì)網(wǎng)絡(luò)安全解決方案，我們采取對網(wǎng)絡(luò)分層的方法，并且在每個(gè)層面上進(jìn) 行細(xì)致的分析，根據(jù)風(fēng)險(xiǎn)分析的結(jié)果設(shè)計(jì)出符合具體實(shí)際的、可行的網(wǎng)絡(luò)安全整體解決方案。通過 Inter 的數(shù)據(jù)傳輸，存在時(shí)間上的延遲，更存在地理位置上的跨越，要避免數(shù)據(jù)徹底不受竊聽，基本是不 可能的。許多大型網(wǎng)站都曾被黑客用 DDOS 方式攻擊而造成很大的損失。 重要業(yè)務(wù)數(shù)據(jù)泄漏：由于在同級局域網(wǎng)和上下級網(wǎng)絡(luò)數(shù)據(jù)傳輸線路之間存在被竊聽的威脅，同時(shí)局域網(wǎng)絡(luò)內(nèi)部也存在著內(nèi)部攻擊行為，其中包括登錄通行字和一些敏感信息，可能被侵襲者搭線竊取和篡改，造成泄密。這就要求我們必須對站點(diǎn)的訪問活動(dòng)進(jìn)行多層次的記錄，及時(shí)發(fā)現(xiàn)非法入侵行為。 在榆林市政府應(yīng)急中心網(wǎng)絡(luò)中建立整體防病毒體系，對從網(wǎng)絡(luò)入口到網(wǎng)絡(luò)內(nèi)的服務(wù)器和所有計(jì)算機(jī)設(shè)備采取全面病毒防護(hù)，并且根據(jù)需要在網(wǎng)絡(luò)中心設(shè)置病毒防護(hù)管理中心，可以使反病毒工作按照不同部門或地域的實(shí)際情況，分組設(shè)置反病毒管理工作。使 被信任主機(jī)喪失工作能力 。 網(wǎng)絡(luò)訪問的合理性 網(wǎng)絡(luò)的訪問策略是不是合理，訪問是不是有序，訪問的目標(biāo)資源是否受控等問題，都會(huì)直接影響到 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 系統(tǒng) 的穩(wěn)定與安全。 操作系統(tǒng)平臺(tái)風(fēng)險(xiǎn)分析 操作系統(tǒng)平臺(tái)的安全風(fēng)險(xiǎn)主要來自為針對操作系統(tǒng)漏洞的攻擊。 ? 硬件或軟件的故障 /錯(cuò)誤導(dǎo)致的數(shù)據(jù)丟失。 辦公自動(dòng)化系統(tǒng)平臺(tái)風(fēng)險(xiǎn)分析 ? 硬件 /軟件故障造成系統(tǒng)癱瘓 ? 計(jì)算機(jī)病毒的入侵 ? 特洛伊木馬的惡意程序造成失密 ? 郵件系統(tǒng)故障 ? 辦公終端非法連接互聯(lián)網(wǎng) 榆林市政府應(yīng)急中心網(wǎng)站系統(tǒng)平臺(tái)風(fēng)險(xiǎn)分析 ? 拒絕服務(wù)攻擊 ? 端口掃描 ? 篡改網(wǎng)站主頁 ? 非授權(quán)用戶訪問 ? 冒充合法用戶的訪問 ? Web 服務(wù)器主機(jī)的詳細(xì)信息被泄漏 ? Web 服務(wù)器私人信息和保密信息被竊 ? 利用 Bug 對 Web 站點(diǎn)進(jìn)行破壞 ? 互聯(lián)網(wǎng)上傳輸信息被非法截獲，納稅人信息和申報(bào)數(shù)據(jù)被非法篡改 安全風(fēng) 險(xiǎn)分析匯總 安全風(fēng)險(xiǎn)類別 安全風(fēng)險(xiǎn)描述 安全需求 網(wǎng)絡(luò)架構(gòu) 網(wǎng)絡(luò)訪問的合理性 來自外接專網(wǎng)的 越權(quán)訪問 訪問控制 來自外接專網(wǎng)的 惡意攻擊 入侵檢測 來自外接專網(wǎng)的 病毒入侵 病毒防護(hù) 來自政務(wù)網(wǎng)系統(tǒng)同級、上級和下級節(jié)點(diǎn)的 越權(quán)訪問 訪問控制 來自政務(wù)網(wǎng)系統(tǒng)同級、上級和下級節(jié)點(diǎn)的 惡意攻擊 入侵檢測 來自政務(wù)網(wǎng)系統(tǒng)同級、上級和下級節(jié)點(diǎn)的 病毒入侵 病毒防護(hù) TCP/IP 的弱點(diǎn) 利用 TCP/IP 弱點(diǎn)進(jìn)行 拒絕服務(wù)攻擊 邊界隔離 利用 TCP/IP 弱點(diǎn)進(jìn)行 IP 欺騙攻擊 邊界隔離 蠕蟲病毒攻擊 系統(tǒng)加固 網(wǎng)絡(luò)設(shè)備的風(fēng)險(xiǎn) 路由器弱口令的風(fēng)險(xiǎn) 漏洞掃描 口令明文傳遞的風(fēng)險(xiǎn) 加密傳輸 假路由、路由欺騙攻擊 漏洞掃描 敏感信息在廣域網(wǎng) 中傳輸?shù)陌踩[患 文件查詢系統(tǒng)在傳輸過程中被竊取、篡改、刪除 通訊信道加密 網(wǎng)絡(luò)及系統(tǒng)漏 洞的安全隱患 黑客利用已知的漏洞對網(wǎng)絡(luò)或系統(tǒng)進(jìn)行惡意攻擊 漏洞掃描 應(yīng)用系統(tǒng) 關(guān)鍵業(yè)務(wù)主機(jī)出現(xiàn)故障和系統(tǒng)漏洞的安全隱患 不能實(shí)時(shí)監(jiān)控關(guān)鍵業(yè)務(wù)主機(jī)硬件系統(tǒng)的運(yùn)行情況 集中安全管理 （主機(jī)性能監(jiān)控） 不能實(shí)時(shí)報(bào)告關(guān)鍵業(yè)務(wù)主機(jī)系統(tǒng)故障 集中安全管 理 （主機(jī)穩(wěn)定性監(jiān)控） 操作系統(tǒng)的安全級別低，缺乏對使用關(guān)鍵業(yè)務(wù)主機(jī)操作系統(tǒng)用戶權(quán)限的嚴(yán)格控制、文件系統(tǒng)的保護(hù)等 訪問控制 （主機(jī)安全防護(hù)） 數(shù)據(jù)庫系統(tǒng)的安全隱患 不能實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫系統(tǒng)的運(yùn)行情況包括：數(shù)據(jù)庫文件存儲(chǔ)空間、系統(tǒng)資源的使用率、配置情況、數(shù)據(jù)庫當(dāng)前的各種死鎖資源情況、數(shù)據(jù)庫進(jìn)程的狀態(tài)、進(jìn)程所占內(nèi)存空間等。 I N T E R N E T保 護(hù) 主 機(jī)F i r e w a l l 防火墻部署示意圖 針對 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 系統(tǒng) 的具體情況，我們得到 對 防火墻的需求包括以下幾個(gè)方面： ? 訪問控制 防火墻必須能夠?qū)崿F(xiàn)網(wǎng)絡(luò)邊界的隔離，具有基于狀態(tài)檢測的包過濾功能，能夠?qū)崿F(xiàn)針對源地址、目的地址、網(wǎng)絡(luò)協(xié)議、服務(wù)、時(shí)間、帶寬等的訪問控制，能夠?qū)崿F(xiàn)郵件內(nèi)容過濾，支持網(wǎng)絡(luò)地址轉(zhuǎn)換等功能。 ? 高速網(wǎng)絡(luò)切換要求 由于 榆林市政府應(yīng)急中心 系統(tǒng)有網(wǎng)上數(shù)據(jù)查詢系統(tǒng)，因此要求隔離交換系統(tǒng)能夠有比較快的數(shù)據(jù)交換能力，不影響處理業(yè)務(wù)的正常效率。 因此，入侵檢測系統(tǒng)作為網(wǎng)絡(luò)安全體系的第二道防線，對在防火墻系統(tǒng)阻斷攻擊失敗時(shí)，最大限度地減少相應(yīng)的損失。 對于 榆林市政府應(yīng)急中心 系統(tǒng)網(wǎng)絡(luò)來說，一個(gè)完整的立體的病毒防護(hù)機(jī)制是十分必要的，網(wǎng)絡(luò)中病毒的安全防護(hù)，是要建立企業(yè)整體防病毒體系，對從網(wǎng)絡(luò)入口到網(wǎng)絡(luò)內(nèi)的服務(wù)器和所有計(jì)算機(jī)設(shè)備采取全面病毒防護(hù)， 并且需要在網(wǎng)絡(luò)中心設(shè)置病毒防護(hù)管理中心，可以使反病毒工作按照不同部門或地域的實(shí)際情況，分組設(shè)置反病毒管理工作。一些防火墻偏重?cái)r阻傳輸流的通行，而另一些防火墻則偏重允許傳輸流通過。如下圖所示： 防火墻部署示意圖 通過對以上部署示意圖的分析，在本方案中充分考慮了設(shè)備的高可用性，因此在 局域網(wǎng)外網(wǎng)與 榆林市電子政務(wù)內(nèi) 網(wǎng)之間部署了一臺(tái)防火墻。 事件分析示意圖 2 智能管理模式 探測器和控制臺(tái)間 PeerToPeer 方式的分散性結(jié)構(gòu)，可以使一個(gè)探測器連接多個(gè)控制臺(tái)，或者一個(gè)控制臺(tái)連接多個(gè)探測器。 ? 優(yōu)異的檢測性能，通過使用高速數(shù)據(jù)包處理技術(shù)，提高了大流量下的檢測能力，可以適應(yīng)百兆和千兆的網(wǎng)絡(luò)環(huán)境。 ? 日志審計(jì)和報(bào)表 ： 日志審計(jì)功能。 然而，對于 榆林市政府應(yīng)急中心 系統(tǒng)而言，很多對外業(yè)務(wù)服務(wù)必須通過互聯(lián)網(wǎng)來完成。另外，許多來自外網(wǎng)，與業(yè)務(wù)相關(guān)的資料和文檔也需要傳入數(shù)據(jù)中心小機(jī)，以便數(shù)據(jù)保存。 附加功能 ? 網(wǎng)絡(luò)流量統(tǒng)計(jì) ： 提供對探測器監(jiān)視網(wǎng)絡(luò)環(huán)境的流量圖形化統(tǒng)計(jì)功能，可以分不同的探測器查看 TCP 連接數(shù)目，網(wǎng)絡(luò)字節(jié)流 量統(tǒng)計(jì)，網(wǎng)絡(luò)報(bào)文流量統(tǒng)計(jì)，網(wǎng)絡(luò)報(bào)警事件統(tǒng)計(jì)等多種統(tǒng)計(jì)信息。 ? 檢測規(guī)則庫和國家反計(jì)算機(jī)入侵和防病毒研究中心合作建 設(shè) ， 保證了檢測規(guī)則庫的權(quán)威性和時(shí)效性。 主控制臺(tái)和副控制臺(tái)可以記錄探測器的所有事件，且主控制臺(tái)可以設(shè)置探測器 的配置。 防火墻基本安全策略： ? 防火墻以路由方式接入； ? 防火墻通過 NAT 地址轉(zhuǎn)換隱藏 榆林市政府應(yīng)急中心 系統(tǒng) 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)； ? Inter 網(wǎng)絡(luò)用戶只允許訪問 榆林市政府應(yīng)急中心 系 統(tǒng) 網(wǎng)絡(luò)的網(wǎng)上查詢服務(wù)器的受理端口； ? 只允許查詢受理服務(wù)器訪問數(shù)據(jù)中心區(qū)的數(shù)據(jù)服務(wù)器的特定端口； ? 公共服務(wù)區(qū)的計(jì)算機(jī)只允許訪問 Inter。 邊界保護(hù)機(jī)制的需求 1. 對源地址、目的地址和服務(wù)做出限制，并阻斷危險(xiǎn)的協(xié)議，比如 ICMP 協(xié)議。 因此，首先我們需要在 榆林市政府應(yīng)急中心 系統(tǒng)的全網(wǎng)絡(luò)系統(tǒng)中部署防病毒軟件，并且建成后的網(wǎng)絡(luò)防病毒系統(tǒng)要具有以下功能特點(diǎn)： ? 網(wǎng)絡(luò)集中分布式管理 ? 基于策略的防病毒管理 ? 客戶端策略鎖定 ? 策略強(qiáng)制執(zhí)行 ? 網(wǎng)絡(luò)自動(dòng)安裝 ? 網(wǎng)絡(luò)智能化增量升級 ? 網(wǎng)絡(luò)集中報(bào)警功能 ? 新病毒樣本收集與提交 ? 管理高效性 客戶 PC 是用戶訪問業(yè)務(wù)信息、進(jìn)行業(yè)務(wù)操作的前臺(tái)，很多客戶 PC 都是基于微軟 Windows平 臺(tái)的。 針對 榆林市政府應(yīng)急中心 系統(tǒng) 的具體情況和行業(yè)特點(diǎn)，我們得到的入侵檢測的需求包括以下幾個(gè)方面： ? 入侵檢測要求 能夠?qū)粜袨檫M(jìn)行檢測，是對入侵檢測設(shè)備的核心需求，要求可以檢測的種類包括：異常行為檢測（包括針對各種服務(wù)器的攻擊等）、可移動(dòng)存儲(chǔ)設(shè)備檢測、撥號上網(wǎng)檢測等等。 ? 具有自定義傳輸協(xié)議要求 系統(tǒng)能夠支持自定義信息交換報(bào)文和協(xié)議進(jìn)行信息傳遞和交換，防止黑客利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議的各種漏洞進(jìn)行攻擊 ? 具有可審計(jì)功能要求 所有數(shù)據(jù)交換操作都必須有詳細(xì)的日志記錄，配合數(shù)字簽名等措施，系統(tǒng)必須提供有效的審計(jì)數(shù)據(jù)，和審計(jì)工具。 ? 高可靠性 由于防火墻是網(wǎng)絡(luò)中的重要設(shè)備，意外的宕機(jī)都會(huì)造成網(wǎng)絡(luò)的癱瘓，因此防火墻必須是運(yùn)行穩(wěn)定，故障率低的系統(tǒng)，并且要求能夠?qū)崿F(xiàn)雙機(jī)熱備，最好能夠?qū)崿F(xiàn)防火墻集群技術(shù)，以保證不間斷的網(wǎng)絡(luò)服務(wù)。 邊界防護(hù)的需求 邊界防護(hù)的設(shè)計(jì)是將組織的網(wǎng)絡(luò)，根據(jù)其信息性質(zhì)、使用主體、安全目標(biāo)和策略的不同來劃分為不同的安全域（從縱向上我們將 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 劃分內(nèi)網(wǎng)和電子政務(wù)專網(wǎng)兩個(gè)層面，從橫向上又分為涉密內(nèi)網(wǎng)、服務(wù)器群和辦公內(nèi)網(wǎng)三個(gè)組成部分，從而形成多個(gè)安全域），不同的安全域之間形成了網(wǎng)絡(luò)邊 界， 通過邊界保護(hù)，嚴(yán)格規(guī)范 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 系統(tǒng)內(nèi)部 的 訪問 ，防范不同網(wǎng)絡(luò)區(qū)域之間的非法訪問和攻擊， 從而 確保 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 各個(gè)區(qū)域的有序訪問。 ? 人為的失誤。安全漏洞就是某種形式的脆弱性。 這就要求系統(tǒng)能夠?qū)W(wǎng)絡(luò)中發(fā)生的各種訪問，乃至網(wǎng)絡(luò)中傳遞的數(shù)據(jù)包進(jìn)行很好的監(jiān)控，特別是針對 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)，由于其既存在對內(nèi)提供服務(wù)的設(shè)備，也存在對外提 供服務(wù)的設(shè)備，這些服務(wù)器在安裝的過程中有可能沒有關(guān)閉掉一些毫無用處的服務(wù)，或者即使關(guān)閉了這些服務(wù)，也因?yàn)椴僮飨到y(tǒng)自身存在的漏洞而給攻擊者可乘之機(jī)，特別是對互聯(lián)網(wǎng)提供服務(wù)的設(shè)備，很容易成為 榆林市政府應(yīng)急中心網(wǎng)絡(luò) 專網(wǎng)的“安全短板”，被來自 互聯(lián)網(wǎng)的攻擊者利用，從而發(fā)起對內(nèi)網(wǎng)的攻擊。 對于 榆林市政府應(yīng)急中心網(wǎng)絡(luò) ，由于 TCP/IP 協(xié)議的弱點(diǎn)，有可能造成以下的破壞。 應(yīng)用系統(tǒng)主要有以下幾類用戶：市應(yīng)急平 臺(tái)、市內(nèi)各部門、分中心、各局辦，都是通過電子政務(wù)內(nèi)網(wǎng)或互聯(lián)網(wǎng)直接連接和市應(yīng)急平臺(tái)應(yīng)用系統(tǒng)進(jìn)行通訊。因此，最可行的做法是管理制度和管理解決方案的結(jié)合。存儲(chǔ)數(shù)據(jù)對于網(wǎng)絡(luò)系統(tǒng)來說極為重要 ，如果由于通信線路的質(zhì)量原因或者人為的惡意篡改，都將導(dǎo)致難以想象的后果，這也是網(wǎng)絡(luò)犯罪的最大特征。 另外，網(wǎng)絡(luò)本身的可靠性與線路安全也是值得關(guān) 注的問題。但由于構(gòu)成 Inter 的 TCP/IP 協(xié)議本身缺乏安全性，提供一種開放式的環(huán)境，網(wǎng)絡(luò)安全成為一個(gè)在開放式環(huán)境中必要的技術(shù)，成為必須面對的一個(gè)實(shí)際問題。網(wǎng)絡(luò)設(shè)備作為網(wǎng)絡(luò)資源和數(shù)據(jù)通訊的關(guān)鍵設(shè)備，有必要提供充分的安全保護(hù)功能，交換機(jī)、路由器、防火墻、入侵檢測、防病毒、網(wǎng)閘、管理平臺(tái)等產(chǎn)品提供了多種網(wǎng)絡(luò)安全機(jī)制，為網(wǎng)絡(luò)資源和數(shù)據(jù)交換提供了有力的安全保護(hù)。如果