【文章內(nèi)容簡(jiǎn)介】 、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則 對(duì)任何信息系統(tǒng)，絕對(duì)安全難以達(dá)到，也不一定是必要的。對(duì)一個(gè)信息系統(tǒng)要進(jìn)行實(shí)際的研究 (包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等 )，并對(duì)系統(tǒng)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定系統(tǒng)的安全策略。 綜合性、整體性原則 運(yùn)用系統(tǒng)工程的觀(guān)點(diǎn)、方法，分析系統(tǒng)的安全及具體措施。安全措施主要包括：行政法律手段、各種管理制度 (人員審查、工作流程、維護(hù)保障制度等 )以及專(zhuān)業(yè)技術(shù)措施 (訪(fǎng)問(wèn)控制、加密技術(shù)、認(rèn)證技術(shù)、攻出檢測(cè)技術(shù)、容錯(cuò)、防病毒等 )。一個(gè)較好的安全措施往往是多種方法適當(dāng)綜合的應(yīng)用結(jié)果。 計(jì)算機(jī)信息系統(tǒng)的各個(gè)環(huán)節(jié)，包括個(gè)人 (使用、維護(hù)、管理 )、設(shè)備 (含設(shè)施 )、軟件 (含應(yīng)用系統(tǒng) )、數(shù)據(jù)等，在網(wǎng)信息安全中的地位和影響作用，也只有從系統(tǒng)整體的角度去看待、分析，才可能得到有效、可行的措施。不同的安全措施其代價(jià)、效果對(duì)不同系統(tǒng)并不完全相同。計(jì)算機(jī)信息系統(tǒng)安全應(yīng)遵循整體安全性原則，根據(jù)確定的安全策略制定出合理的安全體系結(jié)構(gòu)。 一致性原則 一致性原則主要是指信息系統(tǒng)安全問(wèn)題應(yīng)與整個(gè)系統(tǒng)的工作周期 (或生命周期 )同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與系統(tǒng)的安全需求相一致。安全的系統(tǒng)設(shè)計(jì) (包括初步或詳細(xì)設(shè)計(jì) )及實(shí)施計(jì)劃、驗(yàn)證、驗(yàn)收、運(yùn)行等，都要有安全的內(nèi)容及措施。實(shí)際上，在系統(tǒng)建設(shè)的開(kāi)始就 考慮系統(tǒng)安全對(duì)策，比在系統(tǒng)建設(shè)好后再考慮安全措施，不但容易，且花費(fèi)也少得多。 易操作性原則 安全措施需要人去完成，如果措施過(guò)于復(fù)雜，對(duì)人的要求過(guò)高，本身就降低了安全性；其次，措施的采用不能影響系統(tǒng)的正常運(yùn)行。 適應(yīng)性原則 安全措施必須能隨著系統(tǒng)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改和升級(jí)。 多重保護(hù)原則 任何安全措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。 設(shè)計(jì)依據(jù) 本設(shè)計(jì)方案參考了以下標(biāo)準(zhǔn)文件： 1. GB/T 222392020《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》 2. GB/T 209842020《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 3. GB/T 183362020《 信息技術(shù) 安全技術(shù) 信息技術(shù) 安全性評(píng)估準(zhǔn)則 》 4. GB/T 197162020《信息技術(shù) 信息安全管理實(shí)用規(guī)則》 5. IATF 《信息技術(shù)保障框架》 6. GB/T 202692020《 信息安全技術(shù) 信息系統(tǒng)安全管理要求 》 7. GB/T 202702020《 信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要 》 8. GB/T 202712020《 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求 》 9. GB/T 202722020《 信息安全技術(shù) 操作系統(tǒng) 安全技術(shù)要求 》 10. GB/T 202732020《 信息安全技術(shù) 數(shù)據(jù)庫(kù)管理系統(tǒng) 安全技術(shù)要求 》 11. GB/T 202822020《 信息安全技術(shù) 信息系統(tǒng) 安全 工程管理 要求 》 5 安全系統(tǒng)實(shí)現(xiàn) 安全網(wǎng)絡(luò)系統(tǒng) 系統(tǒng)安全設(shè)計(jì)網(wǎng)絡(luò)拓?fù)淙缦拢? 防病毒 針對(duì)防病毒危害性極大并且傳播極為迅速，必須配備從服務(wù)器到單機(jī)的整套 防病毒軟件，防止病毒入侵主機(jī)并擴(kuò)散到全網(wǎng)，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)。并且由于新病毒的出現(xiàn)比較快，所以要求防病毒系統(tǒng)的病毒代碼庫(kù)的更新周期必須比較 短。 防病毒建立獨(dú)立的防病毒服務(wù)器。 網(wǎng)絡(luò)防病毒軟件主要考慮以下幾個(gè)方面： 1) 病毒查殺能力：也就是對(duì)實(shí)際流行病毒的查殺能力。查殺病毒的種數(shù)要包括可能染上的所有病毒。 2) 對(duì)新病毒的反應(yīng)能力：就是及時(shí)、有效地查殺新出現(xiàn)的病毒，這是一個(gè)防病毒軟件好壞的重要方面。 3) 病毒實(shí)時(shí)監(jiān)測(cè)能力：目前的病毒傳播途徑都有一定的實(shí)時(shí)性，用戶(hù)無(wú)法人為地了解可能感染的時(shí)間。因此，防病毒軟件必須要具有實(shí) 時(shí)監(jiān)測(cè)能力。 4) 快速、方便的升級(jí)能力：就是防病毒軟件要能及時(shí)、方便地進(jìn)行病毒代碼和病毒查殺引擎的更新，盡可能地減少人力的介入。 5) 集中管理、遠(yuǎn)程安裝：就是管理員可以在一臺(tái)機(jī)器上對(duì)全網(wǎng)的機(jī)器進(jìn)行統(tǒng)一安裝，和針對(duì)性的設(shè)置，而且，安裝時(shí)能夠自動(dòng)區(qū)分服務(wù)器與客戶(hù)端，并安裝相應(yīng)的軟件，大大減輕管理員“奔波”于每臺(tái)機(jī)器進(jìn)行安裝、設(shè)置的繁重工作。 6) 對(duì)現(xiàn)有資源的占用情況：防病毒程序進(jìn)行實(shí)時(shí)監(jiān)控都或多或少地要占用部分系統(tǒng)資源，這就不可避免地要帶來(lái)系統(tǒng)性能的降低。 7) 系統(tǒng)兼容性：防病毒軟件有一部分常駐程序，如果跟其它軟件不兼容將會(huì)帶 來(lái)更大的問(wèn)題。 8) 管理方便、日志記錄：防病毒系統(tǒng)要有生成病毒監(jiān)控報(bào)告等輔助管理功能，以方便管理員隨時(shí)了解各臺(tái)計(jì)算機(jī)病毒感染的情況，并借此制定或調(diào)整防病毒策略；也要有相應(yīng)的權(quán)限管理功能，如只能是對(duì)出現(xiàn)且只能是管理員從系統(tǒng)整體角度出發(fā)對(duì)各臺(tái)計(jì)算機(jī)進(jìn)行設(shè)置，如果各員工隨意修改自己使用的計(jì)算機(jī)上防毒軟件參數(shù)，可能會(huì)造成一些意想不到的漏洞，使病毒趁虛而入。因此，還必須具有完整的日志記錄，以便安全審計(jì)。 防病毒產(chǎn)品主要功能要求： 1) 網(wǎng)絡(luò)病毒防護(hù)產(chǎn)品必須包括中心控管系統(tǒng)及客戶(hù)端、服務(wù)器端、郵件 /群件防毒軟件幾個(gè)部份。 2) 管理員 可以通過(guò)防病毒系統(tǒng)執(zhí)行針對(duì)該病毒的防范策略，如：在客戶(hù)端 /服務(wù)器端強(qiáng)制關(guān)閉病毒對(duì)應(yīng)開(kāi)放的未知端口及漏洞等等，并統(tǒng)一部署分發(fā)到客戶(hù)端 /服務(wù)器端 /網(wǎng)關(guān) /群件；通過(guò)部署防范策略實(shí)現(xiàn)免疫功能。 3) 防病毒廠(chǎng)商的防病毒系統(tǒng)具備病毒爆發(fā)防御功能。當(dāng)新病毒爆發(fā)時(shí)，通過(guò)病毒爆發(fā)防護(hù)策略 OPP，在病毒代碼未完成之前，通過(guò)爆發(fā)防護(hù)策略自動(dòng)對(duì)企業(yè)網(wǎng)絡(luò)中的各節(jié)點(diǎn)，客戶(hù)端、服務(wù)端對(duì)病毒傳播端口、共享、攻擊的文件等進(jìn)行關(guān)閉保護(hù)，切斷病毒傳播途徑，預(yù)防最新病毒的攻擊。 4) 可自動(dòng)下載，提供對(duì)常駐內(nèi)存型病毒、木馬程序、間諜軟件等有害代碼的清除功能 ，并能有效恢復(fù)被感染的系統(tǒng)文件及注冊(cè)。 5) 運(yùn)用先進(jìn)技術(shù)防范未知病毒、 Inter惡意代碼（ Jave /Active X） ，可對(duì)未知病毒進(jìn)行隔離 。 6) 當(dāng)網(wǎng)絡(luò)中有異常流量產(chǎn)生時(shí)，可通知管理員，可對(duì)病毒數(shù)據(jù)包進(jìn)行丟棄并隔離發(fā)包計(jì)算機(jī)，拒絕此計(jì)算機(jī)聯(lián)入企業(yè)核心網(wǎng)絡(luò) 7) 對(duì)被感染網(wǎng)絡(luò)病毒的計(jì)算機(jī)可實(shí)行遠(yuǎn)程自動(dòng)和本地清除，并對(duì)注冊(cè)表和系統(tǒng)文件進(jìn)行自動(dòng)修復(fù) 8) 發(fā)現(xiàn)病毒后，有多種處理方法，例如自動(dòng)清除、刪除或隔離。 9) 病毒處理方式必須支持智能式的處理方式。根據(jù)不同的病毒類(lèi)型，采取不同的處理策略。 10)對(duì)無(wú)法清除病毒的感染文件進(jìn)行隔離，并能夠得到相應(yīng)的防病毒解決方案 11)防病毒廠(chǎng)商提供的防病毒產(chǎn)品必須要支持網(wǎng)絡(luò)病毒識(shí)別碼。防病毒軟件必須提供兩種病毒識(shí)別碼（傳統(tǒng)的病毒識(shí)別碼、網(wǎng)絡(luò)病毒識(shí)別碼）。 12)防病毒軟件具備遠(yuǎn)程病毒集中清除修復(fù)功能。可對(duì)網(wǎng)絡(luò)中感染病毒的計(jì)算機(jī)進(jìn)行遠(yuǎn)程自動(dòng)清除修復(fù)，提供的病毒清除修復(fù)工具必須支持集中升級(jí)，病毒清除修復(fù)必須支持所有病毒的修復(fù)程序，管理員通過(guò) WEB管理控制臺(tái)對(duì)企業(yè)內(nèi)部的所有客戶(hù)端執(zhí)行自動(dòng)修復(fù)功能。 13)具有全網(wǎng) 集中監(jiān)控 和 管理 的 功能 ， 并要求實(shí)時(shí)監(jiān)控 ； 14)是通過(guò) TCPIP的方式實(shí)現(xiàn)，必須支持遠(yuǎn) 程瀏覽器（ WEB）管理方式 ； 15)支持病毒源頭查詢(xún)機(jī)制，通過(guò)日志查找病毒源頭 ； 16)支持目錄和文件防修改、刪除、寫(xiě)入保護(hù)功能 。 17)可 跨廣域網(wǎng) 進(jìn)行 管理 ； 18)事件驅(qū)動(dòng)機(jī)制，對(duì)廣域網(wǎng)帶寬占用很小 ； 19)基于 TCP/IP協(xié)議的通訊方式。 20)可以做到多級(jí)管理，而且有不同的權(quán)限設(shè)置。 21)防病毒策略的統(tǒng)一配置管理，能根據(jù)不同的防病毒需求分別制定和實(shí)施不同的防病毒策略 ； 22)具有分組（域）管理客戶(hù)端防病毒策略和調(diào)度相關(guān)任務(wù)執(zhí)行的能力。 23)具有單一節(jié)點(diǎn)集中報(bào)警和日志功能，能生成統(tǒng)計(jì) 分析 報(bào)告。 24)提供占用網(wǎng)絡(luò)通訊流量最小的增量病毒定義碼、引擎的更新升級(jí)方 式 ； 25)提供多種方式的更新升級(jí)方法 ； 26)能方便實(shí)現(xiàn)全 網(wǎng) 病毒定義碼、引擎的統(tǒng)一更新升級(jí) ； 27)提供客戶(hù)端定時(shí)自動(dòng)更新、升級(jí)功能 ； 28)提供手工的方式進(jìn)行升級(jí)部署 ； 29)更新、升級(jí)后避免重啟主機(jī)或關(guān)閉相關(guān)應(yīng)用進(jìn)程 。 30)病毒定義碼更新周期小于一周，當(dāng)病毒爆發(fā)流行或其它緊急情況發(fā)生時(shí)，病毒定義碼一定要及時(shí)更新，病毒定義碼更新升級(jí)周期小于 24小時(shí)。 31)對(duì)更新、升級(jí)中可能出現(xiàn)的錯(cuò)誤具有可靠的預(yù)防和應(yīng)急恢復(fù)措施。 防火墻 防火墻是網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的手段之一 ,可以實(shí)現(xiàn)內(nèi)部、外部網(wǎng)或不同信任域網(wǎng)絡(luò)之間的隔離，達(dá)到有效的控制對(duì)網(wǎng)絡(luò)訪(fǎng) 問(wèn)的作用。 本方案中防火墻采用雙機(jī)冗余設(shè)計(jì)。 防火墻作為一個(gè)核心的關(guān)鍵安全設(shè)備，對(duì)性能、功能有較高的要求，將選用先進(jìn)的防火墻，具體的要求如下： 1) 千兆防火墻，要求配置至少 4 個(gè)千兆多模光纖接口和 1 個(gè)10/100M 自適應(yīng)電口； 2) 標(biāo)準(zhǔn)機(jī)架式硬件結(jié)構(gòu)； 3) 網(wǎng)絡(luò)吞吐率大于 990Mbps； 4) 防火墻并發(fā)連接數(shù)，大于 120 萬(wàn)； 5) 防火墻網(wǎng)絡(luò)延遲小于 100μ s； 6) 采用專(zhuān)用硬件平臺(tái)和專(zhuān)用安全操作系統(tǒng)或者嵌入式安全操作系統(tǒng)； 7) 防火墻自身安全性強(qiáng)，支持 NSNMP 網(wǎng)管協(xié)議，能通過(guò)第三方網(wǎng)管軟件對(duì)防火墻進(jìn)行監(jiān)測(cè)； 8) 防火墻具有高可用性，支持雙 機(jī)熱備份 ,主從防火墻切換時(shí)已建立連接不中斷； 9) 防火墻必須支持 TRUNK 工作模式； 10)隔離內(nèi)外網(wǎng)絡(luò)的通信，對(duì)進(jìn)出的網(wǎng)絡(luò)訪(fǎng)問(wèn)進(jìn)行安全控制，嚴(yán)格控制外部用戶(hù)非法進(jìn)入內(nèi)部專(zhuān)用網(wǎng)絡(luò)，限制內(nèi)部用戶(hù)出訪(fǎng)公網(wǎng)或互聯(lián)網(wǎng)的站點(diǎn)和資源； 11)強(qiáng)大的日志記錄和管理功能； 12)支持透明模式 /路由模式 /混合模式等接入方式； 13)具備雙向 NAT 功能（靜態(tài)、動(dòng)態(tài)），支持內(nèi)部網(wǎng)絡(luò)主機(jī)和服務(wù)器采用私有地址，對(duì)外界隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)洌? 14)有源、目地址路由功能，適應(yīng)有多個(gè)網(wǎng)絡(luò)出口的環(huán)境； 15)具有透明應(yīng)用代理功能，支持 FTP、 HTTP、 TELNET、 PING、SSH、 FTP— DATA、 SMTP、 WINS、 TACACS、 DNS、 TFTP、 POP RTELNET、SQLSERV、 NNTP、 IMAP、 SNMP、 NETBIOS、 DNS、 IPSEC— ISAKMP、RLOGIN、 DHCP、 MSSQL（ S、 M、 R）、 RADIUS164 SQLNET— 152SQLNET— 152 、 MSN、 MYSQL、 、 GRE 等協(xié)議命令級(jí)的控制，實(shí)現(xiàn)對(duì)文件級(jí)的過(guò)濾； 16)支持眾多網(wǎng)絡(luò)通信協(xié)議和應(yīng)用協(xié)議，如 DHCP 、 VLAN 、 ADSL 、IPX 、 RIP 、 ISL 、 、 Spanning tree 、 DEC 、 NETBEUI 、IPSEC 、 PPTP 、 AppleTalk 、 、 BOOTP 等，保證用戶(hù)所需要的各種網(wǎng)絡(luò)應(yīng)用，包括：擴(kuò)展 IP 寬帶接入、 IP 電話(huà)、視頻會(huì)議、 VOD 點(diǎn)播等，特別要求對(duì)視頻有良好的支持； 17)具備針對(duì)對(duì)象配置安全策略功能，安全策略、安全對(duì)象分組功能； 18)具備審計(jì)能力，可提供對(duì)違規(guī)通信、安