【正文】 數(shù)據(jù)。即使攻擊者能夠發(fā)起中間人攻擊，協(xié)商的秘密也不可能被竊聽者獲得。l 可以實(shí)現(xiàn)雙向的身份認(rèn)證。該協(xié)議向TCP/IP的客戶/服務(wù)器模式提供了客戶端和服務(wù)器的身份認(rèn)證、會(huì)話密鑰交換和信息鏈路加密等安全功能，已成為事實(shí)上的工業(yè)標(biāo)準(zhǔn)。因此，作為網(wǎng)絡(luò)可信機(jī)構(gòu)的證書管理設(shè)施，CA的主要職能就是管理和維護(hù)它所簽發(fā)的證書，提供各種證書服務(wù)，包括：證書的簽發(fā)、更新、回收、歸檔等等。CA用自己的私鑰對(duì)所有的用戶屬性、證書屬性和用戶的公鑰進(jìn)行數(shù)字簽名，產(chǎn)生用戶的數(shù)字證書。證書基于公鑰密碼體制，它將用戶的公開密鑰（Ke）同用戶本身的屬性（例如姓名，單位等）聯(lián)系在一起。l 證書（Certificate）和證書中心CA（Certificate Authority）要實(shí)現(xiàn)基于公鑰密碼算法的身份認(rèn)證求，就必須建立一種信任及信任驗(yàn)證機(jī)制，即每個(gè)網(wǎng)絡(luò)上的實(shí)體必須有一個(gè)可以被驗(yàn)證的數(shù)字標(biāo)識(shí)，這就是“數(shù)字證書（Certificate）”。公私密鑰對(duì)由特殊的密碼學(xué)算法產(chǎn)生，密碼學(xué)的理論可以保證，在人類現(xiàn)有的計(jì)算水平下，由公鑰Ke推算出私鑰Kd是幾乎不可能的。Kd和Ke是緊密相關(guān)，一一對(duì)應(yīng)的。身份認(rèn)證身份認(rèn)證采用基于證書的公鑰密碼體制來實(shí)現(xiàn)。4. 數(shù)據(jù)完整性對(duì)關(guān)鍵的數(shù)據(jù)信息，防止信息被非法入侵者篡改。對(duì)于OA資源中的目錄和文件進(jìn)行細(xì)粒度的權(quán)限劃分，確保每個(gè)使用者只能訪問授權(quán)的OA資源。采用SSL及CA認(rèn)證系統(tǒng)需要滿足以下安全需求：1. 身份認(rèn)證每個(gè)使用者必須擁有唯一的可靠的身份認(rèn)證標(biāo)識(shí)，安全系統(tǒng)能夠?qū)γ總€(gè)訪問者的身份進(jìn)行有效識(shí)別，使用者也要對(duì)安全系統(tǒng)進(jìn)行認(rèn)證，也就是使用者——系統(tǒng)之間的雙向身份認(rèn)證。確保用戶在進(jìn)入自己OA系統(tǒng)時(shí)的帳號(hào)、密碼以及隨后的通訊數(shù)據(jù)的安全性。目前，所有用戶通過瀏覽器訪問OA業(yè)務(wù)主機(jī)，輸入個(gè)人用戶名及密碼后登錄該系統(tǒng)處理日常OA業(yè)務(wù)，服務(wù)器采用標(biāo)準(zhǔn)80端口提供服務(wù)，所以用戶帳號(hào)及密碼都是以明碼方式在網(wǎng)絡(luò)上傳播，任何人竊聽或截獲用戶密碼及帳號(hào)，都可以偽裝成該用戶進(jìn)行相關(guān)破壞活動(dòng)。建立全方位、多層次的、整體的網(wǎng)絡(luò)防病毒解決方案。在防病毒產(chǎn)品的選型上，我們認(rèn)為一個(gè)成熟優(yōu)秀的、高效可靠的防病毒產(chǎn)品應(yīng)具有以下特點(diǎn)：l 先進(jìn)的體系結(jié)構(gòu)設(shè)計(jì)l 先進(jìn)的防殺病毒技術(shù)l 能夠在線實(shí)時(shí)查殺病毒l 準(zhǔn)確無誤的報(bào)警功能l 及時(shí)、方便地更新病毒定義代碼l 快速、有效地處理未知病毒l 多平臺(tái)的支持l 功能強(qiáng)大的控制臺(tái)，便于管理與維護(hù)而針對(duì)網(wǎng)絡(luò)這個(gè)層次而設(shè)計(jì)的防病毒產(chǎn)品，我們認(rèn)為其重要功能還應(yīng)該包括能夠?qū)W(wǎng)絡(luò)進(jìn)行實(shí)時(shí)病毒監(jiān)控、支持病毒有效地隔離。網(wǎng)絡(luò)的脆弱性成倍增加，保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)已不再是簡(jiǎn)單的在客戶機(jī)上安裝桌面病毒掃描程序就可以解決的問題了。這樣雖然可以保證桌面平臺(tái)避免病毒的威脅，但沒有從根本上杜絕病毒在網(wǎng)絡(luò)上傳播，無法解決由于病毒造成的網(wǎng)絡(luò)流量異常、系統(tǒng)服務(wù)過載等這類嚴(yán)重威脅網(wǎng)絡(luò)正常服務(wù)的問題。從CIH到Code Red，以及最近的Nimda計(jì)算機(jī)病毒的相繼發(fā)生，造成信息傳輸量暴增、系統(tǒng)負(fù)荷量過重等問題，凸顯出網(wǎng)絡(luò)安全防病毒機(jī)制的迫切需求。目前已知的計(jì)算機(jī)病毒超過20，000種，并且每月發(fā)現(xiàn)的新病毒超過300種，即每天都有10余種新病毒出現(xiàn)。 防病毒體系對(duì)于廣電總局來說數(shù)據(jù)的安全是最重要的，而病毒是對(duì)數(shù)據(jù)造成嚴(yán)重威脅的主要因素之一。我們建議選用了一套1～25用戶的一次性動(dòng)態(tài)口令集中認(rèn)證系統(tǒng)，負(fù)責(zé)重要設(shè)備和系統(tǒng)的口令認(rèn)證。當(dāng)“標(biāo)記”擁有者登錄到網(wǎng)絡(luò)時(shí)，當(dāng)前代碼已被鍵入到該擁有者的PIN中，服務(wù)器和標(biāo)志發(fā)生器在時(shí)間上是同步的，因此編碼的改變可共享。目前，常見的這類系統(tǒng)的基礎(chǔ)是“token”標(biāo)記，它是一個(gè)數(shù)字編碼，與用戶永久性ID號(hào)一起生成一個(gè)唯一的、不會(huì)被發(fā)覺的口令，而且僅能使用一次。由于動(dòng)態(tài)口令每分鐘更改一次，即使靜態(tài)密碼被猜中，而動(dòng)態(tài)密碼被猜出的機(jī)會(huì)趨于0。目前，常用的驗(yàn)證方法包括Challenge and Response，digital certificates，tokens，RADIUS和S/Key。對(duì)用戶進(jìn)行身份認(rèn)證可以了解誰(shuí)試圖訪問特定資源，這對(duì)于保護(hù)資源是必需的。為了保證全網(wǎng)管理中用戶身份驗(yàn)證的可靠性，我們建議在網(wǎng)管中心部署一套集中認(rèn)證及一次性口令系統(tǒng)，全網(wǎng)關(guān)鍵網(wǎng)絡(luò)設(shè)備和主要業(yè)務(wù)系統(tǒng)的用戶驗(yàn)證都集中在該服務(wù)器商，便于對(duì)于這些設(shè)備的集中管理。l 是否提供二次開發(fā)接口。l 日志服務(wù)器應(yīng)支持常用數(shù)據(jù)庫(kù)，可將日志信息存儲(chǔ)在數(shù)據(jù)庫(kù)中。l 日志收集和分析Agent與Console運(yùn)行在不同平臺(tái)，兩者的分離使日志分析系統(tǒng)更具有層次性結(jié)構(gòu)的特點(diǎn)，便于未來升級(jí)和集中管理。建議采用三級(jí)結(jié)構(gòu)的日志分析系統(tǒng)，第一級(jí)為需要記錄日志的主機(jī)或設(shè)備，該主機(jī)配置syslog日志指向日志服務(wù)器；第二級(jí)為日志服務(wù)器，負(fù)責(zé)日志接受，同步處理入數(shù)據(jù)庫(kù)以及日志的統(tǒng)計(jì)分析；第三級(jí)為日志服務(wù)器的console，用于配置日志系統(tǒng)安全策略，接受日志系統(tǒng)報(bào)警和監(jiān)視日志系統(tǒng)分析統(tǒng)計(jì)結(jié)果。因此，我們建議在安全審計(jì)系統(tǒng)中，應(yīng)采用服務(wù)與產(chǎn)品相結(jié)合的方式，由專業(yè)安全服務(wù)公司制定專業(yè)的審計(jì)流程和定期的安全審計(jì)服務(wù)。由于目前在安全掃描審計(jì)軟件中，都存在一定的安全威脅，掃描軟件中的部分攻擊模式庫(kù)存在對(duì)網(wǎng)絡(luò)主機(jī)和網(wǎng)絡(luò)資源的潛在危險(xiǎn)性。一方面，網(wǎng)管人員可以通過這個(gè)集中安全數(shù)據(jù)庫(kù)查詢?nèi)W(wǎng)安全狀況，另一方面，在發(fā)生安全事件或緊急響應(yīng)時(shí)提供給我們和客戶迅速了解受害機(jī)情況，找到對(duì)策，減少損失。該系統(tǒng)部署在管理網(wǎng)段內(nèi)，對(duì)內(nèi)網(wǎng)各業(yè)務(wù)系統(tǒng)及用戶主機(jī)定期進(jìn)行掃描審計(jì)，并存貯相關(guān)審計(jì)信息。一方面網(wǎng)絡(luò)型掃描軟件可以幫助用戶實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)漏洞，另一方面，也是進(jìn)行全網(wǎng)安全審計(jì)的重要工具。同時(shí)，在管理網(wǎng)段再配置一臺(tái)PC Server，安裝入侵檢測(cè)系統(tǒng)的管理端，如果未來由于擴(kuò)容等性能問題需要增加網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)時(shí)，該管理端可做為全部入侵檢測(cè)系統(tǒng)的集中控制臺(tái)。需要在防火墻和交換機(jī)上設(shè)置相應(yīng)規(guī)則以保護(hù)入侵檢測(cè)主機(jī)。檢測(cè)所有不同級(jí)別間的用戶對(duì)OA業(yè)務(wù)系統(tǒng)及網(wǎng)管系統(tǒng)的訪問情況。根據(jù)廣電總局的具體網(wǎng)絡(luò)狀況，我們?cè)趶V電總局內(nèi)網(wǎng)中部署一套套基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)。5. 為了規(guī)范廣電總局內(nèi)網(wǎng)用戶的行為，同時(shí)提供一種對(duì)用戶訪問行為的監(jiān)控機(jī)制和與相關(guān)管理制度的執(zhí)行對(duì)照機(jī)制，依靠基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)可以提供一定時(shí)期內(nèi)基于用戶或基于協(xié)議的訪問統(tǒng)計(jì)數(shù)據(jù)，用來更好的檢驗(yàn)相關(guān)管理制度的執(zhí)行情況，為后期網(wǎng)絡(luò)策略的調(diào)整和規(guī)劃提供依據(jù)。如何及早發(fā)現(xiàn)這類攻擊方式并處理，是必須解決的問題之一。2. 廣電總局自身網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)目前雖然并不復(fù)雜，但隨著直屬機(jī)關(guān)的接入和網(wǎng)絡(luò)規(guī)模的發(fā)展，為了進(jìn)一步的提高安全事件的即時(shí)響應(yīng)和舉證能力，必須具備某種手段對(duì)可能的有意或無意的攻擊作出檢測(cè)、告警并留下證據(jù)。1. 網(wǎng)絡(luò)的快速增長(zhǎng)和復(fù)雜程度的提高將產(chǎn)生大量的安全隱患。目前，國(guó)際頂尖的入侵檢測(cè)系統(tǒng)IDS主要以模式發(fā)現(xiàn)技術(shù)為主，并結(jié)合異常發(fā)現(xiàn)技術(shù)。入侵檢測(cè)技術(shù)通過對(duì)入侵行為的過程與特征的研究，使安全系統(tǒng)對(duì)入侵事件和入侵過程能做出實(shí)時(shí)響應(yīng)，從理論的分析方式上可分為兩種相異的分析技術(shù)： 1. 異常發(fā)現(xiàn)技術(shù)。ICSA入侵檢測(cè)系統(tǒng)論壇的定義即：通過從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象(的一種安全技術(shù))。我們?cè)趯?duì)網(wǎng)絡(luò)機(jī)構(gòu)調(diào)整的基礎(chǔ)上，將利用防火墻技術(shù)對(duì)不同安全等級(jí)的系統(tǒng)進(jìn)行安全等級(jí)的劃分，不同等級(jí)之間的訪問依靠防火墻策略進(jìn)行嚴(yán)格規(guī)定，確保在防火墻規(guī)范下的網(wǎng)絡(luò)中的流量模型是包含實(shí)際業(yè)務(wù)模型的最小集合。確保數(shù)據(jù)傳輸?shù)乃矫苄浴Ｎ覀兘ㄗh在廣電總局直屬機(jī)關(guān)與廣電總局內(nèi)網(wǎng)鏈路接入處設(shè)置防火墻，限制直屬機(jī)關(guān)接入對(duì)內(nèi)網(wǎng)的訪問策略?？尚刨嚩茸畹汀Ｆ胀ㄓ脩艏?jí)：安全級(jí)別較管理級(jí)低，用戶為總局內(nèi)部員工，由于處于局域網(wǎng)內(nèi)部，業(yè)務(wù)訪問量較大，有意或無意造成網(wǎng)絡(luò)安全隱患的概率較高，因此管理力度需較遠(yuǎn)程接入用戶加強(qiáng)，安全需求級(jí)別較直屬機(jī)關(guān)接入用戶高。網(wǎng)絡(luò)管理級(jí)：安全級(jí)別居中，包含廣電總局內(nèi)網(wǎng)網(wǎng)管系統(tǒng)及新增的安全管理系統(tǒng)，這類系統(tǒng)如果遭受入侵或干擾，將暴露整網(wǎng)結(jié)構(gòu)及相關(guān)信息，間接影響整網(wǎng)的安全狀況。業(yè)務(wù)系統(tǒng)級(jí)：安全級(jí)別最高，包含廣電總局內(nèi)網(wǎng)辦公自動(dòng)化系統(tǒng)主機(jī)與內(nèi)網(wǎng)DNS系統(tǒng)，這類系統(tǒng)發(fā)生問題將直接導(dǎo)致廣電總局辦公系統(tǒng)的全面癱瘓，因此對(duì)這類級(jí)別的安全防護(hù)需求最高。鑒于網(wǎng)絡(luò)層加密設(shè)備的突出優(yōu)點(diǎn)，應(yīng)根據(jù)具體需求，在各個(gè)網(wǎng)絡(luò)結(jié)點(diǎn)與內(nèi)部網(wǎng)絡(luò)相連接的進(jìn)出口處安裝配備網(wǎng)絡(luò)層加密設(shè)備。目前全球大部分廠商的網(wǎng)絡(luò)安全產(chǎn)品都支持IPsec標(biāo)準(zhǔn)由于網(wǎng)絡(luò)層加密設(shè)備不依賴于底層的具體傳輸鏈路，它一方面可以降低網(wǎng)絡(luò)安全設(shè)備的投資；而另一方面，更重要的是它可以為上層的各種應(yīng)用提供統(tǒng)一的網(wǎng)絡(luò)層安全基礎(chǔ)設(shè)施和可選的虛擬專用網(wǎng)服務(wù)平臺(tái)。一般來說，VPN設(shè)備可以一對(duì)一和一對(duì)多地運(yùn)行，并具有對(duì)數(shù)據(jù)完整性的保證功能，它安裝在被保護(hù)網(wǎng)絡(luò)和路由器之間的位置。它通過利用跨越不安全的公共網(wǎng)絡(luò)的線路建立IP安全隧道，能夠保護(hù)子網(wǎng)間傳輸信息的機(jī)密性、完整性和真實(shí)性。IP加密機(jī)制IPsec是在TCP/IP體系中實(shí)現(xiàn)網(wǎng)絡(luò)安全服務(wù)的重要措施。根據(jù)具體策略，來保護(hù)內(nèi)部敏感信息和秘密的機(jī)密性、完整性及不可抵賴性。如果網(wǎng)絡(luò)結(jié)構(gòu)龐大，涉及多種通訊線路，如果采用多種鏈路加密設(shè)備則增加了系統(tǒng)投資費(fèi)用，同時(shí)為系統(tǒng)維護(hù)、升級(jí)、擴(kuò)展也帶來了相應(yīng)困難。如果網(wǎng)絡(luò)結(jié)構(gòu)包含多種鏈路，則必須購(gòu)買相應(yīng)的鏈路加密設(shè)備保護(hù)其上通訊數(shù)據(jù)的安全。加密機(jī)自身的算法使用國(guó)內(nèi)自研算法，對(duì)外不公開。目前在國(guó)內(nèi)主要應(yīng)用于金融及軍隊(duì)，提供小于10M的吞吐能力。目前，可以在網(wǎng)絡(luò)層