民航管理局內(nèi)部網(wǎng)絡(luò)安全解決方案(編輯修改稿)
2025-05-23 01:50 本頁面
【文章內(nèi)容簡(jiǎn)介】 施、防病毒措施等等。只有人與具體安全措施的完美結(jié)合，方能切實(shí)有效地實(shí)現(xiàn)安全性。 易于實(shí)施、管理和維護(hù)整套安全工程設(shè)計(jì)必須具有良好的可實(shí)施性與可管理性，同時(shí)還要具有尚佳的易維護(hù)性。 測(cè)評(píng)認(rèn)證原則鑒于管理局的行業(yè)特性，建議貴單位在安全系統(tǒng)建設(shè)中，安全產(chǎn)品應(yīng)盡量選用國(guó)產(chǎn)的經(jīng)過國(guó)家或軍隊(duì)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證部門認(rèn)證的產(chǎn)品。四、安全體系規(guī)劃我們的解決方案是提供一個(gè)企業(yè)級(jí)安全管理方案，以解決IT基礎(chǔ)設(shè)施內(nèi)各個(gè)領(lǐng)域的問題，為此明確了以下的這些安全領(lǐng)域:物理安全、網(wǎng)絡(luò)安全、服務(wù)器安全、用戶安全、應(yīng)用程序與服務(wù)安全、數(shù)據(jù)安全和安全管理。由于各項(xiàng)安全技術(shù)所涉及的底層技術(shù)各不相同， 用來保護(hù)每一安全領(lǐng)域機(jī)制也有所不同，根據(jù)國(guó)家有關(guān)信息系統(tǒng)安全建設(shè)的指導(dǎo)設(shè)計(jì)原則，我們建議如下的機(jī)制:表2. 安全對(duì)策一覽表 總體設(shè)計(jì)由于技術(shù)領(lǐng)域的交叉性，可能有些安全項(xiàng)目的建設(shè)已經(jīng)在其它項(xiàng)目實(shí)施，或應(yīng)獨(dú)立實(shí)施，例如：物理安全可能應(yīng)在網(wǎng)絡(luò)建設(shè)時(shí)就已經(jīng)實(shí)施，但是由于我國(guó)安全建設(shè)相對(duì)滯后，大多數(shù)企業(yè)在網(wǎng)絡(luò)和機(jī)房建設(shè)時(shí)對(duì)于防盜、防毀、防災(zāi)（防火、防水、防震、防雷擊）處理考慮比較周詳，但對(duì)于防輻射尚有欠缺。又例如：數(shù)據(jù)備份可能單獨(dú)作為一項(xiàng)工程——系統(tǒng)容災(zāi)及數(shù)據(jù)備份來實(shí)施。因此在本方案中對(duì)于防盜、防毀、防災(zāi)的物理安全以及系統(tǒng)容災(zāi)及數(shù)據(jù)備份不做過多闡述。網(wǎng)絡(luò)安全總體規(guī)劃圖如圖2所示：圖2． 某民航管理局網(wǎng)絡(luò)安全總體規(guī)劃示意圖 在管理局中心交換機(jī)與管理局的邊界路由器之間配置防火墻（如圖2），這種方案的優(yōu)點(diǎn)是突出重點(diǎn)保護(hù)中心局網(wǎng)，有效防止了來自所有遠(yuǎn)程網(wǎng)絡(luò)的不安全因素，同時(shí)非常有效地控制了各個(gè)安全區(qū)域之間的相互訪問，安全強(qiáng)度較高；缺點(diǎn)是對(duì)于設(shè)備要求較高，適應(yīng)這種接入方式的防火墻必須具有混合接入模式，另外它要求配置的安全策略相應(yīng)較多。建議實(shí)施IP綁定，防止IP冒用。建議防火墻應(yīng)具備用戶認(rèn)證功能模塊，以便于實(shí)現(xiàn)用戶強(qiáng)化的身份驗(yàn)證。 對(duì)管理局中心網(wǎng)絡(luò)系統(tǒng)中所配置的防火墻實(shí)施策略評(píng)估，保證防火墻的策略必須是安全的。 在管理局局網(wǎng)內(nèi)外配置網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（IDS），對(duì)進(jìn)出管理局中心網(wǎng)絡(luò)的所有行為進(jìn)行監(jiān)控并進(jìn)行日志審記，探測(cè)網(wǎng)絡(luò)攻擊行為，并根據(jù)定制的策略進(jìn)行響應(yīng)（阻斷、報(bào)警），因此這里選用的IDS產(chǎn)品最好能與管理局使用的防火墻產(chǎn)品進(jìn)行聯(lián)動(dòng)。 在管理局中心局網(wǎng)內(nèi)配置網(wǎng)絡(luò)漏洞掃描系統(tǒng)，實(shí)施對(duì)整個(gè)局網(wǎng)系統(tǒng)的安全漏洞掃描評(píng)估。 對(duì)管理局中心服務(wù)器配置基于主機(jī)的操作系統(tǒng)漏洞掃描器，實(shí)施對(duì)主機(jī)操作系統(tǒng)的安全漏洞掃描評(píng)估。 對(duì)管理局中心服務(wù)器配置基于主機(jī)的數(shù)據(jù)庫漏洞掃描器，實(shí)施對(duì)相關(guān)數(shù)據(jù)庫的安全漏洞掃描評(píng)估。 在管理局中心系統(tǒng)處部署的防火墻與路由器之間部署VPN或者防火墻本身含VPN模塊，而在各省市管理局局網(wǎng)絡(luò)邊界處配置VPN來保證省管理局中心與各省市管理局之間的保密通訊（在圖2中未畫出），具體配置見圖3。 物理安全 防電磁輻射管理局網(wǎng)絡(luò)系統(tǒng)大量采用了5類UTP線纜，而廣域網(wǎng)則是租用的DDN線路，由于電信號(hào)在傳輸時(shí)隨著信號(hào)的變化電磁場(chǎng)也在不斷變化，這就會(huì)產(chǎn)生電磁輻射，而上述線路基本沒有任何屏蔽能力；同時(shí)由于管理局所采用的計(jì)算機(jī)及網(wǎng)絡(luò)設(shè)備均不是低輻射產(chǎn)品，同樣也存在較強(qiáng)的電磁輻射。因此，如果不采取有效的防電磁輻射措施，管理局的信息很容易被國(guó)外間諜機(jī)構(gòu)采用電磁波還原技術(shù)所竊取，從而造成嚴(yán)重后果。對(duì)于計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備的防電磁輻射，主要采用以下一些方法來抑制：對(duì)于較為集中的重要設(shè)備可以為其建立屏蔽室，對(duì)于分散的不能在屏蔽室存放的設(shè)備則宜采用低輻射設(shè)備，若因無相應(yīng)低輻射設(shè)備或采用低輻射設(shè)備成本太高，也可以考慮使用主動(dòng)式電磁干擾設(shè)備來降低被竊聽的風(fēng)險(xiǎn)。對(duì)于線路防電磁輻射，主要采用以下一些方法來抑制：將非屏蔽網(wǎng)線更換成有屏蔽能力的5類STP或光纖，但這樣相對(duì)成本較高。對(duì)網(wǎng)絡(luò)通訊進(jìn)行加密，雖然其本身不能防止電磁輻射，但卻能夠很有效防范因電磁泄露而被敵人竊聽信息，因此如果更新線路成本太高或者無法達(dá)成，則可以考慮對(duì)網(wǎng)絡(luò)通訊進(jìn)行加密。 重要設(shè)備及信息點(diǎn)的物理保護(hù)對(duì)于重要設(shè)備（如：中心服務(wù)器）需要進(jìn)行物理保護(hù)，它主要包括三個(gè)方面：環(huán)境安全：對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)（參見國(guó)家標(biāo)準(zhǔn)GB5017393《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》、GB233789《計(jì)算機(jī)場(chǎng)地技術(shù)條件》、CB936188《計(jì)算機(jī)場(chǎng)地安全要求》）。設(shè)備安全：主要包括設(shè)備的防盜、防毀壞和電源保護(hù)等。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1