【導讀】視頻點播、主機托管以及廣電總局用戶訪問Inter等一系列業(yè)務(wù)功能。該網(wǎng)絡(luò)通過兩條出口鏈路接入互聯(lián)網(wǎng)。求，網(wǎng)絡(luò)安全作為信息化建設(shè)中必不可少的一項工作，以逐漸提現(xiàn)出其重要性。前，外網(wǎng)的部分托管主機依舊存在Nimda病毒）。對網(wǎng)絡(luò)安全提出新的要求。所以，為了保障廣電總局網(wǎng)絡(luò)系統(tǒng)資源的安全和穩(wěn)定。高質(zhì)量的信息服務(wù)。一臺為郵件服務(wù)器，另一臺為主DNS服務(wù)器。6509處于工作狀態(tài)。不同出口鏈路經(jīng)過防火墻后進。其中，VLAN201主要包含廣電總局托管服務(wù)。一個VLAN內(nèi)，不利于風險的分散原則，也容易造成單點故障。NAT，對于入侵者來說防護效果較不理想。網(wǎng)絡(luò)缺乏統(tǒng)一的病毒防護、查殺及隔離措施，一旦某臺主機感染病毒，有效的發(fā)現(xiàn)安全事件，也沒有舉證手段。安全防護機制是根據(jù)具體系統(tǒng)存在的各種安全漏洞和安全威脅采取相應(yīng)的。廣電總局的設(shè)備和主機類型較多，業(yè)務(wù)系統(tǒng)涵蓋廣電各個部門及相關(guān)機構(gòu)，種層次性的管理模式。比如，用戶管理需要分層次的授權(quán)機制；防病毒體系的病

　　

【正文】 2＝低風險 2＝大概可能 2＝中等損失 3， 4＝中等風險 3＝非?？赡? 3＝嚴重損失 6－ 9＝高風險 資源名稱 所受威脅 T L 風險 OA 系統(tǒng) 數(shù)據(jù)被竊取、篡改， DoS 攻擊等 2 3 6高 DNS 系統(tǒng) 非授權(quán)訪問 ， DoS 攻擊 等 2 2 4中 通過這樣的風險計算，就可以大致了解整個系統(tǒng)安全高風險的部位，這樣就可以有的放矢，針對高風險段采取針對性措施進行防護。 當在 廣電總局 所有風險評定完畢后，就需要 廣電總局 網(wǎng)絡(luò) 部門 進一步確定 廣電總局 能夠接受多高的風險，以及資產(chǎn)需要保護到什么程度。風險緩解是選擇適當?shù)目刂品绞綄L險降低到可接受水平的過程。通過把暴露安全漏洞所帶來的風險和實施及強制執(zhí)行安全策略所需要的費用進行比較，就可以確定 廣電總局 可接受的風險水平。如對于辦公 PC 網(wǎng)絡(luò) 之上的 Cisco 交換機，我們就不值得花錢制定嚴格的安全策略保護它們。再如：針對 DNS 服務(wù)器系統(tǒng)的威脅，我們只要提供防火墻設(shè)備對進出該網(wǎng)段的訪問進行 過濾 并提供基本的入侵檢測 即可，而不需要花費 太多 額外的資源去保護該業(yè)務(wù)系統(tǒng)。 我們建議與 廣電總局 網(wǎng)絡(luò) 部門協(xié)作，每個季度對整網(wǎng)實施一次 專業(yè) 的安全風險評估，在風險評估的基礎(chǔ)上提出進一步的安全解決方案，從風險管理的角度為合理分配資源、進一步制定安全策略提供重要依據(jù)。 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 26 頁 共 31 頁 物理安全管理 物理安全一直是安全領(lǐng)域重要一環(huán)。在 系統(tǒng)中，物理安全主要體現(xiàn)在針對物理基礎(chǔ)設(shè)施、物理設(shè)備和物理訪問的控制，在 廣電總局 環(huán)境中，全網(wǎng)物理安全主要通過機房物理安全來體現(xiàn)。我們將針對 廣 電總局 網(wǎng)絡(luò) 系統(tǒng)提供一些機房管理制度建議，同時在全網(wǎng) 運維 過程中與 廣電總局 運維部門協(xié)作不斷完善這些制度。 機房參觀訪問制度 該制度將從參觀介紹人和參觀對象、參觀申請及審批、參觀批次和人數(shù)、機房參觀流程、參觀級別定義及其資料管理等方面，為 廣電總局 在 運維 過程中的客戶參觀提供安全管理依據(jù)。 機房施工管理制度 我們 結(jié)合以前項目中安全管理的經(jīng)驗，為 廣電總局 制定了如下的機房施工管理制度， 廣電總局 運維部門也可以結(jié)合各機房情況改進該管理制度，以求充分切合實際。 運維 值班管理制度 值班管理制度是機房管理制度中較為核心的內(nèi)容，我們 將配合 廣電總局 網(wǎng)絡(luò)部門從值班基本守則、值班工作內(nèi)容、值班中常見問題處理等多方面提供 運維 值班管理建議。 運維 故障處理制度 為保證 廣電總局 網(wǎng)絡(luò)的安全運行，保障全網(wǎng)的服務(wù)質(zhì)量， 我們 為 廣電總局 提供 運維 故障處理的建議。建議將從故障發(fā)現(xiàn)、故障處理流程、故障級別、故障匯報和故障報告等多方面提供全網(wǎng) 運維 故障處理解決的方法。 如下為我們?yōu)?廣電總局 設(shè)計的故障報告的一個簡要格式： 其他運維管理制度 針對 廣電總局 運維實際，我們從設(shè)備使用管理、設(shè)備文檔管理等方面提供設(shè)備檔案管理制度的建議，同時也提供了關(guān)于設(shè)備配置 更改制度的一些想法。 針對 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 27 頁 共 31 頁 某些災(zāi)難（電力、空調(diào)、水力，火災(zāi)）， 提供了相應(yīng)的機房災(zāi)難應(yīng)急措施。 良好的物理安全是保證整個系統(tǒng)安全的重要部分， 廣電總局 機房管理制度的發(fā)展與完善需要 廣電總局 運維部門和專業(yè)安全服務(wù)商 密切協(xié)作，在長期的 運維 中得到加強。 邏輯安全管理 邏輯安全管理進一步從技術(shù)層面建立一些安全管理制度，諸如用戶管理、口令管理、網(wǎng)絡(luò)設(shè)備安全管理和主機系統(tǒng)安全管理的制度。 就用戶管理而言，我們建議對 廣電總局 設(shè)備或是網(wǎng)段的訪問必須明確限制到需要訪問的個人，我們采取兩種管理措施：預(yù)防性管理和探測性管理。預(yù)防性管理，用于識別每個授權(quán)用戶 并拒絕非授權(quán)用戶的訪問。探測性管理，用于記錄和報告授權(quán)用戶的行為，以及記錄和報告非授權(quán)訪問或?qū)ο到y(tǒng)、程序和數(shù)據(jù)的訪問企圖。 在 廣電總局 進行訪問控制管理時，我們建議對各網(wǎng)絡(luò)設(shè)備控制臺的訪問分別分配一個用戶口令，而對網(wǎng)絡(luò)設(shè)備的邏輯訪問分別采用另一個用戶 口令。對業(yè)務(wù)系統(tǒng)的訪問控制，建議每個業(yè)務(wù)系統(tǒng)獨立分配相應(yīng)的用戶。對 傳統(tǒng)傳統(tǒng)口令用戶，有以下建議： 選擇不容易被猜到的口令； 在安裝完新的網(wǎng)絡(luò)基礎(chǔ)設(shè)備后盡快修改默認口令，不要忘記修改控制臺訪問口令和用于維護目的的口令； 盡可能限制對口令的訪問，盡可能利用某些產(chǎn)品提供 的對配置文件口令加密的功能； 制定指導方針，要求用戶多長時間必須更改口令。建議至少在危及到特權(quán)帳戶的安全或發(fā)生重大人事變動時必須更換口令； 在口令選擇方面，有以下基本原則： 不要使用登錄名，不管以何種形式（如原樣或顛倒、大寫和重復等） 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 28 頁 共 31 頁 不要用名字的第一個、中間一個或最后一個字（不管是現(xiàn)用名還是曾用名） 不要用最親近的家人的名字（包括配偶、子女、父母和寵物） 不要用其他任何容易得到的關(guān)于你的信息 不要使用純數(shù)字或完全同一個字母組成的口令 不要使用在英文字典中的單詞 不要使用短于 6 位的口令 不要將口令告訴任何人 不要將口令電子郵件給任何人 如果可能，應(yīng)該使用大小寫混合的字母 使用包括非字母字符的口令 使用容易記的口令，這樣就不必將它寫下來 使用不用看鍵盤就可以很快鍵出的口令 針對網(wǎng)絡(luò)設(shè)備和主機系統(tǒng)的安全管理，除了用戶身份的驗證和認證管理之外，則更多的注重對于完整性，數(shù)據(jù)機密性、可用性和審計管理上。 針對網(wǎng)絡(luò)設(shè)備，我們從網(wǎng)絡(luò)操作系統(tǒng)鏡像、路由認證、路由過濾上保證這些基礎(chǔ)設(shè)施的完整性。 廣電總局 網(wǎng)絡(luò)設(shè)備的 OS 的更新將遵從網(wǎng)絡(luò)設(shè)備的安全管理制度，確保 OS 鏡像的完整性。而網(wǎng)絡(luò)基礎(chǔ)設(shè)施的數(shù)據(jù)機密性方面， 我們 將從網(wǎng)絡(luò)設(shè)備會話、 下載 TFTP 配置、 SNMP 與網(wǎng)絡(luò)設(shè)備之間的事務(wù)、設(shè)備信息的 HTTP訪問這四個方面建立安全加密的管理制度。同時，我們也提供一些冗余措施以提高網(wǎng)絡(luò)設(shè)備的可用性。在網(wǎng)絡(luò)運行中，我們也將通過確認網(wǎng)絡(luò)基礎(chǔ)設(shè)施配置、監(jiān)視記錄網(wǎng)絡(luò)活動、入侵檢測等審計手段，提高整個網(wǎng)絡(luò)設(shè)備安全管理水平。 針對主機設(shè)備，我們將為 廣電總局 每臺關(guān)鍵主機建立完整性管理庫，建議 廣電總局 的運維部門定期根據(jù)管理制度對重要服務(wù)器的完整性進行檢查，以達到主機設(shè)備完整性要求。我們還將為關(guān)鍵主機系統(tǒng)建立安全審計制度，通過定期分析 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 29 頁 共 31 頁 系統(tǒng)日志、監(jiān)測系統(tǒng)應(yīng)用運行狀況， 以確保主機系統(tǒng)在一定程度具有抵抗入侵的能力。 日常安全管理 日常安全管理更加偏重于日常安全審計以及安全事件響應(yīng)的內(nèi)容。日常安全審計的制度和流程在第五章安全服務(wù)方案中將有詳細介紹。以下將針對日常安全管理中的故障處理提供管理上的建議，服務(wù)上的建議詳見第五章。 對于日常運維中安全故障處理，建議建立安全響應(yīng)管理制度，該制度從安全響應(yīng)小組、檢測故障、處理故障、響應(yīng)故障、故障恢復等方面提供故障安全管理的依據(jù)。 我們 建議與 廣電總局 建立一個集中的小組作為處理突發(fā)事故的基本中心，該小組職能如下： 跟蹤最新的故障和入侵跡象； 成為故障報告的主要聯(lián)系點； 將故障通知給其他人； 估計損失并且應(yīng)付故障； 研究如何避免同一缺陷引起更多的破壞； 當安全故障發(fā)生時，小組應(yīng)該依照以下方面檢查是否網(wǎng)絡(luò)安全受到破壞： 關(guān)鍵 數(shù)據(jù)是否有損失； 系統(tǒng)運行性能是否差； 異常通信模式； 異常系統(tǒng)使用時間； 登陸失敗的次數(shù)過多； 從這些方面做初步檢查后，再利用入侵檢測系統(tǒng)以統(tǒng)計方法和基于規(guī)則的方 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 30 頁 共 31 頁 法相結(jié)合，從正常的網(wǎng)絡(luò)活動中辨別出異常，這樣才能發(fā)現(xiàn)故障來源。 在處理故障過程中，必須按照一定的步驟，確保所有的操作都有明確目標，我們首先從區(qū)分操作的優(yōu)先次序著手，同 時評估由故障帶來的損害，最后通過各種渠道進行報告和報警，隨之就是事故的響應(yīng)，這方面瑪賽在長期的安全服務(wù)領(lǐng)域積累了大量經(jīng)驗，可以為 廣電總局 提供完全專業(yè)可靠的安全響應(yīng)服務(wù)，而從故障或事故中進行恢復的也是我們和 廣電總局 共同合作的過程。 安全管理是整體網(wǎng)絡(luò)安全解決方案的基石，有了良好的安全管理體制，才能真正建立整體安全防護體系，安全解決方案也才能真正在運維過程中得以實施。 安全培訓 現(xiàn)在國際上 安全 案件的分析和系統(tǒng)安全專家保護網(wǎng)絡(luò)的案例來看，系統(tǒng)安全其實就是系統(tǒng)管理員和黑客頭腦和計算機知識的戰(zhàn)斗。因為人員的安全觀念， 系統(tǒng)管理員的實際安全知識直接影響到整個系統(tǒng)安全方案的實施。而一個安全的網(wǎng)絡(luò)系統(tǒng)的保護不僅和系統(tǒng)管理員的系統(tǒng)安全知識有關(guān) ，而且和領(lǐng)導的決策、工作環(huán)境中每個員工的安全操作等都有關(guān)系。 我們建議對廣電總局員工進行 安全知識培訓和安全技術(shù)培訓。其中安全技術(shù)培訓分為：初級安全培訓、中級安全培訓和高級安全培訓。 我們建議 通過本次安全工程對 用戶進行安全知識培訓，初級安全培訓和中級安全培訓建議安排在安全集成前對用戶進行，高級安全培訓建議在安全服務(wù)前進行。 四、 總結(jié) 本方案設(shè)計 有如下特點： 注重整體安全理念， 著眼于為 廣電總局 建立統(tǒng)一 的安全防護體系 。 從用戶實際需求出發(fā)，遵照集中管理思想，從集成，服務(wù)和培訓三個方面制定安全解決方案。 北京瑪賽網(wǎng)絡(luò)系統(tǒng)有限公司 北京西城區(qū)金融街 33 號通泰大廈 B 座 419 室 100032 電話 : (8610) 88087212 傳真 : (8610) 88087300 Email: URL: 第 31 頁 共 31 頁 以服務(wù)和產(chǎn)品為依托，建立統(tǒng)一安全管理平臺。 注重長期服務(wù)，確保運維管理中的安全性。 注重整體安全理念。 瑪賽作為全國首批互聯(lián)網(wǎng)安全服務(wù)試點單位， 希望利用長期專業(yè)安全設(shè)計和服務(wù)方面的優(yōu)勢為 廣電總局 網(wǎng)絡(luò)系統(tǒng) 的安全保駕護航。