【導(dǎo)讀】到積極的推動(dòng)作用。開展從手工管理模式向開放式、電子化管理模式轉(zhuǎn)換的有益探索。實(shí)現(xiàn)部門間的互聯(lián)互通與資源共享。平的跨越式發(fā)展，有助于建設(shè)一個(gè)高效廉潔的政府。為實(shí)施電子政務(wù)工程，在原有局域網(wǎng)的基礎(chǔ)上對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行改造。有關(guān)部門要求外網(wǎng)和專網(wǎng)物理隔離。光纖網(wǎng)同步建設(shè)，采用高速路由器接口。在市專網(wǎng)建成之前，可租用電信專

　　

【正文】 括路由、 web 服務(wù)、 服務(wù)以及提供互聯(lián)審批業(yè)務(wù)應(yīng)用平臺(tái)的數(shù)據(jù)服務(wù)。 “專網(wǎng)服務(wù)區(qū)”的安全防護(hù)包括兩個(gè)方面：網(wǎng)絡(luò)安全和應(yīng)用安全。 不同的應(yīng)用面臨的安全 威脅是不一樣的，我們考慮針對(duì)不同的應(yīng)用采取不同的措施進(jìn)行安全防護(hù)。列舉如下： ? web 服務(wù) web 服務(wù) 是市科委面向市政專網(wǎng)提供的最基本服務(wù)項(xiàng)目，也是市科委的形象。目前，絕大多數(shù)網(wǎng)絡(luò)攻擊是針對(duì) web 服務(wù)器的。在防火墻，入侵檢測等措施的防護(hù)下，還需要使用頁面恢復(fù)工具，對(duì)可能造成的破壞進(jìn)行及時(shí)恢復(fù)。 ? 服務(wù) 服務(wù)是保證市科委和市政專網(wǎng)其它部門正常通訊聯(lián)系的主要服務(wù)項(xiàng)目，也是病毒傳播的主要渠道。所以，如何防止 服務(wù)器成為病毒傳播的窗口，是我們必須慎重考慮的問題。對(duì)于這一問題的解決，我們建議采 用趨勢的殺毒軟件。 ? 互聯(lián)審批業(yè)務(wù)應(yīng)用平臺(tái) 北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 27 互聯(lián)審批業(yè)務(wù)應(yīng)用平臺(tái)是市科委與其它職能部門合作的重要應(yīng)用平臺(tái)和通道。該應(yīng)用的核心問題是應(yīng)用數(shù)據(jù)的安全。所以，這一部分我們可以考慮采用雙機(jī)熱備的方法來備份數(shù)據(jù)以保證業(yè)務(wù)數(shù)據(jù)的安全。 內(nèi)網(wǎng)服務(wù)區(qū) “內(nèi)網(wǎng)服務(wù)區(qū)”提供內(nèi)網(wǎng)的應(yīng)用服務(wù)和數(shù)據(jù)存儲(chǔ)，它的安全是整個(gè)系統(tǒng)安全的核心。這一部分設(shè)有文件服務(wù)器、 OA 服務(wù)器、 DB 服務(wù)器、打印共享服務(wù)器、安全審計(jì)認(rèn)證服務(wù)器和內(nèi)網(wǎng)業(yè)務(wù)服務(wù)器。 對(duì)于這一部分的安全問題，我們主要從人員的角度來考慮。因?yàn)?，能夠使用這些服務(wù)的人都是系統(tǒng)內(nèi)部的辦公人 員。辦公人員的身份認(rèn)證，數(shù)據(jù)文檔的加密存儲(chǔ)，數(shù)據(jù)的通訊傳輸是我們考慮的重點(diǎn)。對(duì)于人員的安全認(rèn)證問題可以參看以上 2 部分。 上網(wǎng)辦公區(qū) 由于處于“上網(wǎng)辦公區(qū)”的用戶需要在內(nèi)網(wǎng)和外網(wǎng)中切換，那么每個(gè)客戶端都有可能成為系統(tǒng)間病毒的傳播者和黑客侵入系統(tǒng)的橋梁，所以對(duì)于“上網(wǎng)辦公區(qū)”來說，需要考慮以下幾點(diǎn)： ? 不同網(wǎng)絡(luò)的物理隔離 —— 防止黑客的攻擊 需要制定嚴(yán)密的客戶接入策略，保證客戶端對(duì)各個(gè)網(wǎng)絡(luò)的訪問是單一連通的，即客戶端在某一時(shí)段內(nèi)只和一個(gè)網(wǎng)絡(luò)連通，而不能同時(shí)連通兩個(gè)或兩個(gè)以上的網(wǎng)絡(luò)。 ? 不同網(wǎng)絡(luò)的信息隔離 —— 防止病 毒的擴(kuò)散 出于防病毒的考慮，對(duì)于一般客戶而言，不同網(wǎng)絡(luò)的信息也必須隔離。這可以通過多硬盤分布式存儲(chǔ)和管理的方式來實(shí)現(xiàn)。 這兩個(gè)方面的安全問題可以通過物理隔離系統(tǒng)得到有效的解決。 北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 28 信息交換安全保障 我們?cè)?jīng)說過，為了保證內(nèi)網(wǎng)的安全，采用內(nèi)外網(wǎng)物理隔離的方式來徹底屏蔽來自外網(wǎng)的安全威脅。但是，有很多應(yīng)用都必須將外網(wǎng)的數(shù)據(jù)轉(zhuǎn)到內(nèi)網(wǎng)，或者將內(nèi)網(wǎng)的數(shù)據(jù)傳到外網(wǎng)。比如，本方案中就存在兩個(gè)的這樣問題。 ? 在互聯(lián)網(wǎng)用戶提交的審批數(shù)據(jù)如何傳入內(nèi)網(wǎng)，供內(nèi)網(wǎng)工作 人員審核； ? 通過互聯(lián)網(wǎng)傳遞的郵件如何進(jìn)入內(nèi)網(wǎng)？ 這都是在本方案中必須解決的問題。 信息的安全流轉(zhuǎn) 互聯(lián)網(wǎng)用戶登陸到市科委的應(yīng)用平臺(tái)，提交的審批數(shù)據(jù)必須轉(zhuǎn)移到內(nèi)網(wǎng)以供內(nèi)部工作人員審批用。但是，任何從外網(wǎng)傳入的數(shù)據(jù)都有可能攜帶黑客程序和病毒代碼。如何保證傳入內(nèi)網(wǎng)的數(shù)據(jù)的安全是需要解決的核心問題。 在這里，我們采用安全信息流轉(zhuǎn)系統(tǒng)。 北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 29 信息交流服務(wù)器的工作原理圖 應(yīng)用服務(wù)機(jī)、傳輸代理機(jī)、控制機(jī)之間使用安全的自定義網(wǎng)絡(luò)協(xié)議傳輸數(shù)據(jù)（各種文件、數(shù)據(jù)庫等），在控制機(jī)上使用“物理請(qǐng)求 /應(yīng)答”式開關(guān)來連接 /斷開網(wǎng) 絡(luò)連接，真正地實(shí)現(xiàn)安全兩網(wǎng)隔離。訪問控制模塊通過對(duì)有連接請(qǐng)求的主機(jī)的嚴(yán)格控制，以阻斷未經(jīng)授權(quán)的非法連接，達(dá)到限制網(wǎng)絡(luò)通訊的目的：只有已經(jīng)授權(quán)的合法應(yīng)用服務(wù)器上產(chǎn)生的連接請(qǐng)求才會(huì)被響應(yīng)，其他請(qǐng)求將一律被拒絕，并在應(yīng)用服務(wù)器端進(jìn)行數(shù)據(jù)格式的變換，需傳送文件進(jìn)行標(biāo)識(shí)，以此保證數(shù)據(jù)和連接的合法性，和應(yīng)用服務(wù)系統(tǒng)的安全性，確保內(nèi)外網(wǎng)絡(luò)的計(jì)算機(jī)數(shù)據(jù)資源的安全交換，從而達(dá)到安全的兩網(wǎng)隔離之目的。 系統(tǒng)詳細(xì)工作過程：本系統(tǒng)位于兩個(gè)互相隔離的計(jì)算機(jī)網(wǎng)絡(luò)之間，通常情況下，控制機(jī)和兩個(gè)網(wǎng)絡(luò)都不相連。當(dāng)有信息需要從一個(gè)網(wǎng)絡(luò)（例如： 網(wǎng)絡(luò) 1）傳遞到另一個(gè)網(wǎng)絡(luò)（網(wǎng)絡(luò) 2）時(shí)，網(wǎng)絡(luò) 1先將信息提交到代理機(jī) 1上，再由代理機(jī) 1向控制機(jī)提出申請(qǐng)，在條件允許的情況下，隔離開關(guān)盒動(dòng)作，將控制機(jī)和代理機(jī)1連通，信息由代理機(jī) 1傳遞到控制機(jī)上，傳遞完畢后，開關(guān)盒動(dòng)作，斷開控制機(jī)和代理機(jī) 1的連接。接著，開關(guān)盒自動(dòng)連通控制機(jī)和代理機(jī) 2，將代理機(jī) 1提交的信息傳遞到代理機(jī) 2上，傳遞完畢后，開關(guān)盒動(dòng)作，斷開控制機(jī)和代理機(jī) 2的連接，回到最初的隔離狀態(tài)。反之，網(wǎng)絡(luò) 2也可以將信息通過控制機(jī)，提交到網(wǎng)絡(luò) 1中。在整個(gè)信息交換過程中，任一時(shí)刻網(wǎng)絡(luò) 1和網(wǎng)絡(luò) 2都不會(huì)直接相連，這就有效的 抑制了互聯(lián)網(wǎng)上各種惡意的破壞。 系統(tǒng)在設(shè)計(jì)過程中，應(yīng)用了多個(gè)方面的技術(shù)來抑制各類攻擊： 北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 30 系統(tǒng)中所應(yīng)用的傳輸格式，不同于網(wǎng)絡(luò)上通用的傳輸格式，有效抑制了不符合傳輸格式的數(shù)據(jù)包。 對(duì)數(shù)據(jù)包進(jìn)行了合法性檢驗(yàn)，能夠有效攔截非法的數(shù)據(jù)包，實(shí)現(xiàn)了控制機(jī)和代理機(jī)的“隱身”。 通過配置，設(shè)置系統(tǒng)允許的機(jī)器的檔案，而且能夠隨時(shí)更改。對(duì)沒有檔案紀(jì)錄的主機(jī)，拒絕服務(wù)。 系統(tǒng)對(duì)端口的設(shè)置，以及數(shù)據(jù)包的校驗(yàn)環(huán)節(jié)加入了隨機(jī)數(shù)處理，使得非 法用戶，無法捉摸本系統(tǒng)的傳輸途徑。 5．傳輸數(shù)據(jù)的格式可由用戶定義變換，無人破解。 6．傳遞的文件和數(shù)據(jù)進(jìn)行標(biāo)識(shí)，未標(biāo)識(shí)的信息無法通過系統(tǒng)進(jìn)行傳輸，保證了兩網(wǎng)的數(shù)據(jù)安全 本系統(tǒng)使用方便簡單，只需在安全管理員的配置后便可以輕松使用，無須用戶的介入系統(tǒng)配置。 基于漏洞掃描評(píng)估系統(tǒng)和入侵檢測系統(tǒng)的安全性設(shè)計(jì) 要防止內(nèi)外入侵者的入侵，首先我們要對(duì)自己系統(tǒng)的安全性存在的漏洞作一個(gè)全面的漏洞評(píng)估，這樣才能從系統(tǒng)自身開始加強(qiáng)整體的安全性。我們可以利用ISS 的基于網(wǎng)絡(luò)的漏洞掃描工具 Inter Scanner 和基于主機(jī)的漏洞掃描工具System Agent 對(duì)網(wǎng)絡(luò)中的設(shè)備及主機(jī)進(jìn)行漏洞掃描。對(duì)于各保護(hù)對(duì)象以及網(wǎng)絡(luò)中的其他網(wǎng)絡(luò)設(shè)備來說，例如交換機(jī)，路由器和防火墻等等，我們都可以利用Inter Scanner 對(duì)其進(jìn)行定期的掃描，以確定了解網(wǎng)絡(luò)中存在那些漏洞，從而使我們可以針對(duì)存在的漏洞進(jìn)行修補(bǔ)處理。在市科委網(wǎng)絡(luò)邏輯圖中，可以看到，我們對(duì)網(wǎng)絡(luò)中的所有網(wǎng)絡(luò)設(shè)備和主機(jī)都使用 Inter Scanner 進(jìn)行掃描，對(duì)于北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 31 系統(tǒng)中的重要服務(wù)器，我們安裝了 System Scanner Agent，使用 System Scanner進(jìn)行掃描。 在一臺(tái)電腦中安裝 Inter Scanner 和 System Scanner Console，在需要保護(hù)的主機(jī)中，也就是系統(tǒng)重要服務(wù)器中， DMZ 區(qū)重要服務(wù)器中安裝 System Scanner Agent，通過 Inter Scanner 和 System Scanner 的遠(yuǎn)程掃描功能，對(duì)網(wǎng)絡(luò)中的設(shè)備和主機(jī)進(jìn)行漏洞掃描，可以通過安全制度的建立實(shí)行定時(shí)掃描，定期對(duì)重要服務(wù)器的文件、帳戶、組、口令的配置檢測，指出不符合安全的配置；檢測操作系統(tǒng)內(nèi)部是否有黑客程序駐留。建議將掃描的時(shí)間定在網(wǎng)絡(luò)流量 比較小的時(shí)間段，以加快掃描的速度。并且將掃描的結(jié)果分送主管和技術(shù)人員，根據(jù)報(bào)告中的漏洞修復(fù)方法對(duì)漏洞進(jìn)行修復(fù)。 我們一方面通過對(duì)整個(gè)網(wǎng)絡(luò)定期進(jìn)行漏洞評(píng)估，另一方面我們必須采取措施來對(duì)網(wǎng)絡(luò)中的突發(fā)事件進(jìn)行實(shí)時(shí)的監(jiān)控并做出實(shí)時(shí)的響應(yīng)，所以在北京市科委信息網(wǎng)中選用布置 ISS 公司的 RealSecure 入侵監(jiān)測系統(tǒng)，對(duì) 從 Inter 進(jìn)入北京市科委信息網(wǎng)唯一入口上和對(duì)專網(wǎng)服務(wù)區(qū)的網(wǎng)絡(luò)服務(wù)器上的網(wǎng)絡(luò)入侵、攻擊進(jìn)行監(jiān)控，通過對(duì)網(wǎng)絡(luò)數(shù)據(jù)包解碼、分析識(shí)別，當(dāng)匹配到網(wǎng)絡(luò)攻擊模式和發(fā)現(xiàn)未授權(quán)的網(wǎng)絡(luò)訪問時(shí)，監(jiān)測系統(tǒng)會(huì)迅速發(fā)出響應(yīng) 動(dòng)作。（見市科委網(wǎng)絡(luò)邏輯圖） 要建立一種更好的網(wǎng)絡(luò)安全，就必須有一套嚴(yán)格有效的規(guī)章管理制度，具體制度如下： ? 建立網(wǎng)絡(luò)用戶使用網(wǎng)絡(luò)資源的規(guī)章制度； ? 嚴(yán)格劃分不同工作人員的權(quán)限； ? 嚴(yán)格設(shè)定各種信息資源、設(shè)備資源的使用權(quán)限； ? 關(guān)鍵信息的傳輸采用端到端的專用加密工具； ? 完善認(rèn)證 /授權(quán)的技術(shù)控制手段； ? 采用數(shù)字簽名技術(shù)和第三方確認(rèn)的控制措施； ? 加強(qiáng)用戶管理，防止非法侵入； ? 加強(qiáng)對(duì)用戶從網(wǎng)上卸下的軟件進(jìn)行病毒檢查； ? 定時(shí)備份系統(tǒng)，防止系統(tǒng)崩潰； 北京市科學(xué)技術(shù)委員會(huì)網(wǎng)上審批系統(tǒng)建設(shè)項(xiàng)目網(wǎng)絡(luò)方案 北京首創(chuàng)信息技術(shù)有限公司 II－ 32 ? 加強(qiáng)組織管理，完善各項(xiàng)規(guī)章制度。 ? 防火墻，能夠監(jiān)視網(wǎng)絡(luò)通信情況、記錄通信狀 態(tài)、作出允許 /拒絕等判斷，防火墻提供以下的功能： ? 授權(quán)控制：控制特定特定的用戶在特定的時(shí)間內(nèi)使用特定的應(yīng)用，防火墻用專有的 FTP 和 Tel 的請(qǐng)求只有經(jīng)過防火墻認(rèn)證 /授權(quán)后才能進(jìn)行通信。 ? 地址轉(zhuǎn)換：管理員可以決定哪些 IP 地址需要映射成能夠接入的 IP 地址。 ? 通信記錄：對(duì)進(jìn)出網(wǎng)絡(luò)的用戶及服務(wù)提供全面的記錄，以備對(duì)系統(tǒng)安全性進(jìn)行審核。 ? 對(duì)于拔號(hào)訪問采用認(rèn)證 /授權(quán)控制策略，通過拔號(hào)安全服務(wù)器實(shí)現(xiàn) TACAS+、RADIUS 等身份認(rèn)證協(xié)議。 防火墻 作為一個(gè)專用設(shè)施 ，應(yīng) 易于安裝而且非常穩(wěn)定。防火墻系列在成本和維護(hù)方面經(jīng) 濟(jì)有效，并提供無與倫比的安全性和性能。