【正文】 范能力和降低信息系統(tǒng)的安全風險?？尚械谋Ｕ洗胧┓桨缚蔀樾畔⑾到y(tǒng)的具體安全建設提供指導。在提出信息系統(tǒng)應采取的保障措施時，將考慮下列因素：l 保障措施的有效性；l 保障措施的合法性；l 組織的安全策略；l 對系統(tǒng)運行的影響；l 安全性和可信性。不是所有可能的保障措施都適用。將通過代價/利益分析來決定采用何種控制。十二、風險評估結果文檔安全風險評估全部結束后，將產(chǎn)生《市城管局信息系統(tǒng)安全風險評估和現(xiàn)狀報告》。此報告不僅可作為風險評估的官方資料保存，也為以后的安全風險評估提供參考和比較。風險評估報告同時幫助進行安全策略制定、程序制定、財政預算決策等。 CA系統(tǒng)設計（參考）由于需要考慮到系統(tǒng)的安全問題，所以在項目建設中需要考慮與市科信局CA中心互連，提供城市管理信息系統(tǒng)、OA系統(tǒng)、郵件系統(tǒng)等各類用戶的數(shù)字身份認證手段,確保其訪問系統(tǒng)的合法性。按照資源共享和安全管理的要求，本項目采用市科信部門規(guī)劃統(tǒng)一的CA系統(tǒng)。同時我們將利用市城管局原有的服務器在本地建立CA 前置平臺（注冊中心（ RA ）和PKI 平臺管理CA前置機）通過政府內(nèi)網(wǎng)專線和科信局CA中心接連，保證數(shù)據(jù)能時時同步。用戶也可以直接通過英特網(wǎng)連接到科信局的CA中心進行注冊、登陸等操作，保證用戶能時時地獲得許可。如圖： 遠程災備系統(tǒng)設計（參考）雖然我們在城管局機房中建立了完善的備份系統(tǒng)用來提高數(shù)據(jù)的安全性，但一些非人為所能抗拒的事物（如自然災害、火災等）存在，所以必須要考慮遠程災備系統(tǒng)。在項目建設中需要考慮與市檔案局災備中心互連，提供對城市管理局綜合業(yè)務信息系統(tǒng)、OA系統(tǒng)、郵件系統(tǒng)等數(shù)據(jù)的遠程備份。在市城管局數(shù)據(jù)中心建設中我們將在SAN網(wǎng)絡中的光纖交換機上預留接口，可以通過專用光纖與檔案局災備中心的連接，實現(xiàn)異地的數(shù)據(jù)備份，將數(shù)據(jù)復制和快照的結果保存到負責容災備份的陣列或磁帶庫之中，使數(shù)據(jù)的更安全、更可靠。如圖：優(yōu)勢：l 開放的體系結構能確保項目的分步實施，逐步擴容，不僅節(jié)省投資，還降低了項目的風險；l 整個SAN網(wǎng)采用全光纖設備，確保了系統(tǒng)的高效率。利用遠程IP網(wǎng)實現(xiàn)異地容災備份, 還能利用第三方備份軟件完成磁帶庫的備份。第4 產(chǎn)品部署 設備部署示意圖 設備部署設計數(shù)字城管網(wǎng)絡安全系統(tǒng)包括防火/毒墻、入侵檢測、網(wǎng)絡安全設計系統(tǒng)、網(wǎng)絡安全隔離卡等，不同的網(wǎng)絡安全設備具有不同的安全檢測和防范能力，通過將這些設備部署在系統(tǒng)特定的位置上，利用安全檢測、病毒檢測、物理隔離、安全審計等最新的技術手段將各種不法侵入和破壞阻擋在系統(tǒng)之外，保障系統(tǒng)的正常運行，具體部署如下：名稱產(chǎn)品型號部署作用部署地點數(shù)量備注防火/毒墻NGFW4000UFP抵御來自Internet的黑客或病毒攻擊城管中心機房（Internet接入處）1入侵檢測NGIDSUF檢測來自內(nèi)部或繞過防火/毒墻的攻擊城管中心機房（DMZ區(qū)的交換機上）1支持與防火/毒墻聯(lián)動網(wǎng)絡安全審計TAWS監(jiān)控用戶上網(wǎng)行為城管中心機房（外網(wǎng)交換機上）1網(wǎng)絡隔離卡HDPIIIA202實現(xiàn)內(nèi)外網(wǎng)的物理隔離城管局各辦公室的電腦中96配合隔離集線器使用第5 產(chǎn)品選型 防火/毒墻根據(jù)招標文件要求，本方案防火/毒墻采用天融信NGFW4000UFP網(wǎng)絡衛(wèi)士防火墻天融信公司的網(wǎng)絡衛(wèi)士（NetGuard）防火墻系列產(chǎn)品，是實時網(wǎng)絡防護系統(tǒng)的最佳選擇。網(wǎng)絡衛(wèi)士防火墻采用先進的核檢測技術，突破了芯片設計、網(wǎng)絡通信、安全防御及內(nèi)容分析等諸多難點，實時進行網(wǎng)絡行為、內(nèi)容和狀態(tài)分析，在網(wǎng)絡邊界布署應用防護措施，確保企業(yè)網(wǎng)絡安全，而不會影響網(wǎng)絡性能。網(wǎng)絡衛(wèi)士防火墻系統(tǒng)采用專有的易于管理的平臺，包括了全套的安全服務——防火墻、VPN、入侵檢測/阻斷和流量控制，同時還具有高效的應用層服務，如反病毒、內(nèi)容過濾等功能。NGFW4000UF 系列是網(wǎng)絡衛(wèi)士系列防火墻的高端產(chǎn)品，是集成防火墻、VPN、SSLVPN、帶寬管理、反病毒、反垃圾郵件等多功能的綜合性網(wǎng)關產(chǎn)品，具有高性能、高可靠性、高安全性的特點，普遍適用于銀行、電信、教育等大型網(wǎng)絡系統(tǒng)，特別適用于網(wǎng)絡結構復雜、應用豐富、高帶寬、大流量的大中型企業(yè)骨干級網(wǎng)絡環(huán)境。產(chǎn)品特點l 綜合網(wǎng)關 NGFW4000UF采用天融信自主知識產(chǎn)權的安全操作系統(tǒng)TOS（Topsec Operating System），并采用模塊化結構設計，既提高了產(chǎn)品性能，又提高了產(chǎn)品的靈活性、高效性和安全性。通過簡單的license控制，NGFW4000UF可以集成防火墻、VPN、SSLVPN、帶寬管理、反病毒、反垃圾郵件等眾多功能，是高性能的綜合性的網(wǎng)關產(chǎn)品。l 病毒檢測作為NGFW4000UF的可擴展模塊，TOPSEC AV是郵件病毒及網(wǎng)絡文件病毒過濾解決方案，它對流經(jīng)防火墻的網(wǎng)絡數(shù)據(jù)內(nèi)容進行安全檢查。為企業(yè)提供簡便有效的病毒過濾功能，防止電腦病毒以及惡性程序的入侵。該方案采用基于透明代理和深度數(shù)據(jù)包檢測(DPI) 的技術，在企業(yè)局域網(wǎng)邊界處對常用的應用層協(xié)議（SMTP、POPHTTP、FTP）數(shù)據(jù)流進行過濾處理。用戶不需要更改網(wǎng)絡結構和客戶端計算機的參數(shù)設置，只需要在網(wǎng)關防火墻處插入TOPSEC AV，即可對通過的數(shù)據(jù)進行在線過濾。查殺郵件正文附件、網(wǎng)頁及下載文件中包含的病毒，并即時將病毒處理信息通過應用層協(xié)議客戶端返回給用戶。l 適應復雜的核心網(wǎng)絡核心網(wǎng)絡的安全性、穩(wěn)定性是當今網(wǎng)絡的焦點，如何保證核心網(wǎng)絡的安全，保證數(shù)據(jù)的24小時傳輸成為網(wǎng)絡安全的最受關注的問題。網(wǎng)絡衛(wèi)士系列防火墻能夠在核心網(wǎng)絡中同所有核心網(wǎng)絡設備一起實現(xiàn)高可用性及高安全性的拓撲結構，最大限度地滿足了網(wǎng)絡的健全性及穩(wěn)定性，保證了整個核心網(wǎng)絡的不間斷工作。當核心網(wǎng)絡中的某條鏈路產(chǎn)生故障時，網(wǎng)絡衛(wèi)士系列防火墻能夠動態(tài)的切換鏈路，實現(xiàn)數(shù)據(jù)的不間斷傳輸。同時結合防火墻的其他安全特性，使整個網(wǎng)絡無比健壯。l 多級過濾的立體訪問控制采用了多級過濾措施，以基于OS 內(nèi)核的核檢測技術為核心，提供從鏈路層到應用層的全面安全控制。在MAC層提供基于MAC地址的過濾控制能力，同時支持對各種二層協(xié)議的過濾功能；在網(wǎng)絡層和傳輸層提供基于狀態(tài)檢測的分組過濾，可以根據(jù)網(wǎng)絡地址、網(wǎng)絡協(xié)議以及TCP 、UDP 端口進行過濾，并進行完整的協(xié)議狀態(tài)分析；在應用層通過深度內(nèi)容檢測機制，可以對高層應用協(xié)議命令、訪問路徑、內(nèi)容、訪問的文件資源、關鍵字、移動代碼等實現(xiàn)內(nèi)容安全控制；同時還直接支持豐富的第三方認證，提供用戶級的認證和授權控制。網(wǎng)絡衛(wèi)士系列防火墻的多級過濾形成了立體的、全面的訪問控制機制，實現(xiàn)了全方位的安全控制。l 安全高效的TOS操作系統(tǒng)具有完全自主知識產(chǎn)權的TOS安全操作系統(tǒng)，采用全模塊化設計，使用中間層理念，減少了系統(tǒng)對硬件的依賴性。注：產(chǎn)品具體配置和性能參數(shù)詳見第三篇 入侵檢測IDS網(wǎng)絡衛(wèi)士（NetGuard）入侵檢測系統(tǒng)是北京天融信公司獲得多項國際、國內(nèi)安全認證與獎項的新一代入侵檢測與防護系統(tǒng)。它采用多重檢測、多層加速、SSL加密訪問檢測等多項天融信獨創(chuàng)安全技術，致力于降低IDS的誤報率、漏報率，提高IDS的捕包與分析能力，并加強IDS對蠕蟲攻擊以及隱含在加密數(shù)據(jù)流中攻擊的檢測能力，極大地突破了目前IDS市場普遍存在的瓶頸問題。產(chǎn)品特點通過特有的雙網(wǎng)卡分流重組技術，可以利用雙網(wǎng)卡分別處理上行和下行網(wǎng)絡流量，相當于把網(wǎng)卡能力提升一倍，保證了網(wǎng)絡衛(wèi)士IDS高效的檢測性能。系統(tǒng)內(nèi)置600條以上的蠕蟲檢測規(guī)則，實時跟蹤、檢測當前最新的蠕蟲事件，最大限度地解決蠕蟲發(fā)現(xiàn)滯后的問題。通過解碼基于SSL加密的訪問數(shù)據(jù)，分析、檢測SSL加密訪問中的攻擊行為，從而可以保護內(nèi)部提供SSL 加密訪問的重要服務器的安全性。完整記錄多種應用協(xié)議（HTTP、FTP、SMTP、POPTELNET 等）的內(nèi)容，并按照相應的協(xié)議格式進行回放，清楚再現(xiàn)入侵者的攻擊過程，重現(xiàn)內(nèi)部網(wǎng)絡資源濫用時泄漏的保密信息內(nèi)容。通過天融信網(wǎng)絡衛(wèi)士安全管理系統(tǒng)（TSM）基于狀態(tài)機的實時關聯(lián)檢測技術，對IDS的報警事件和其他事件進行關聯(lián)分析，有效地提高了IDS檢測的準確率。注：產(chǎn)品具體配置和性能參數(shù)詳見第三篇 網(wǎng)絡安全審計系統(tǒng)網(wǎng)絡衛(wèi)士安全審計系統(tǒng)TAW是天融信公司自主開發(fā)的安全審計產(chǎn)品。TAW集內(nèi)容審計與行為監(jiān)控為一體，以旁路的方式部署在網(wǎng)絡中，具有及時的網(wǎng)絡數(shù)據(jù)采集能力、智能的信息處理能力、強大的審計分析功能。該產(chǎn)品以天融信公司具有自主知識產(chǎn)權的TOS（Topsec Operating System）做為系統(tǒng)平臺，采用開放性的系統(tǒng)架構及模塊化的設計，是一款安全、高效、易于管理和擴展的網(wǎng)絡安全產(chǎn)品。產(chǎn)品特點對用戶的網(wǎng)絡行為監(jiān)控、網(wǎng)絡傳輸內(nèi)容審計 （如員工是否在工作時間上網(wǎng)沖浪、聊天，是否訪問不健康網(wǎng)站，是否通過網(wǎng)絡泄漏了公司的機密信息，是否通過網(wǎng)絡傳播了反動言論等）。l 掌握網(wǎng)絡使用情況，提高工作效率；l 網(wǎng)絡傳輸信息的實時采集、海量存儲；l 網(wǎng)絡傳輸信息的統(tǒng)計分析；l 網(wǎng)絡行為后期取證；l 對網(wǎng)絡潛在威脅者予以威懾；l 分布式、高速數(shù)據(jù)采集，集中式、智能分析審計。l 采用“自適應深度協(xié)議分析”技術，全面解析網(wǎng)絡傳輸信息；l 基于“計算滴”理念，充分利用系統(tǒng)資源，加速審計分析能力；l 基于“逐步細化、深入追蹤”理念，可以方便的追蹤特定網(wǎng)絡行為；l 以TOS（Topsec Operating System）為系統(tǒng)平臺，可以與防火墻等其他網(wǎng)絡設備聯(lián)動。注：產(chǎn)品具體配置和性能參數(shù)詳見第三篇 網(wǎng)絡隔離卡產(chǎn)品特點：l 內(nèi)外網(wǎng)絕對隔離該隔離卡是一種數(shù)據(jù)安全裝置，它將單一的PC 從物理上分隔成兩個虛擬工作站，它們分別有自己獨立的硬盤和操作系統(tǒng)，并能通過各自的專用接口與網(wǎng)絡連接。從而最大限度地保證了安全（內(nèi)網(wǎng)）與非安全（外網(wǎng)）環(huán)境的物理隔離。l 全控制該隔離卡安裝在主板和兩塊硬盤之間，完全控制硬盤通道。并通過繼電器來控制內(nèi)網(wǎng)和外網(wǎng)間的硬盤轉(zhuǎn)換和網(wǎng)絡的連接，保證其工作狀態(tài)的穩(wěn)定性及可靠性能。l 轉(zhuǎn)換自如用戶可根據(jù)需要在任何時間任何系統(tǒng)中方便自如地進行內(nèi)部網(wǎng)和外部網(wǎng)之間的轉(zhuǎn)換。兩種切換方式硬切（按鈕切換）和軟切（軟件切換）。l 應用廣泛不依賴于操作系統(tǒng)，可以應用于所有使用IDE－ATA 硬盤的PC 系統(tǒng)?？梢赃m應于局域網(wǎng)、拔號上網(wǎng)、ISDN、寬帶等不同的網(wǎng)絡環(huán)境。l 對網(wǎng)絡技術、協(xié)議完全透明l 安裝方便，操作簡單，不需要用戶進行專門的維護注：產(chǎn)品具體配置和性能參數(shù)詳見第三篇 第6 產(chǎn)品清單產(chǎn)品類型產(chǎn)品型號數(shù)量防火/毒墻天融信NGFW4000UFP1入侵檢測天融信NGIDSUF1網(wǎng)絡安全設計系統(tǒng)天融信TAWS1網(wǎng)絡安全隔離卡山東中孚HDPIIIA2029645