【正文】 須在新加入的PC這一新的邊界上，進行必要的安全檢察，配置必要的安全防護，才能滿足網(wǎng)絡安全的需要。隨著用戶PC的不斷接入，內(nèi)部網(wǎng)絡的邊界在不斷擴充。然而隨著移動終端的普及（便攜機銷售超過臺式機），產(chǎn)生了移動辦公方式，內(nèi)部網(wǎng)絡上接入的終端變得動態(tài)化。不能管理內(nèi)部PC通過這些接口上網(wǎng)，就類似在防火墻的城堡下，存在很多沒有安全警衛(wèi)的后門、小道，內(nèi)部內(nèi)部網(wǎng)絡的安全性無法保障。. 終端成為邊界帶來新的需求隨著信息網(wǎng)絡技術的發(fā)展，網(wǎng)絡安全的勢態(tài)發(fā)現(xiàn)了變化，終端正在成為新的網(wǎng)絡邊界。對于**集團信息系統(tǒng)由于數(shù)據(jù)來源多、數(shù)據(jù)量大、數(shù)據(jù)類型復雜，將面臨大量的攻擊事件。為了凈化網(wǎng)絡流量，減少垃圾郵件的危害，在網(wǎng)絡的邊界處需要部署反垃圾郵件設備。. 反垃圾郵件的需求郵件應用是互聯(lián)網(wǎng)上最基本的網(wǎng)絡應用，但由于互聯(lián)網(wǎng)的開放性，垃圾郵件的問題也同樣突出，并日漸成為用戶的夢魘。對于組織來說，這些應用本身不屬于威脅的范疇，但會影響組織的工作效率，降低組織的生產(chǎn)力，因此需要進行合理的控制。相比而言，技術手段則更加有效，需要安裝內(nèi)容過濾產(chǎn)品防止非法信息的傳播。. 內(nèi)容過濾安全需求分析互聯(lián)網(wǎng)雖然給用戶帶來巨大的價值，但它也是非法信息傳播的溫床，反動、色情、暴力等信息在互聯(lián)網(wǎng)上隨處可見，垃圾郵件占據(jù)了大量的合法帶寬和用戶存儲資源。對于**集團業(yè)務、辦公信息等敏感內(nèi)容，將帶來較大的危害性。要求對關鍵業(yè)務、關鍵系統(tǒng)、關鍵數(shù)據(jù)的訪問采用認證鑒別技術，保證合法用戶訪問合法數(shù)據(jù)。這些數(shù)據(jù)傳輸中涉及到大量的身份認證，確保機密性和不可抵賴性。. 用戶身份認證和授權需求分析中心與下級機構(gòu)以及合作伙伴互聯(lián)過程中，要向特定的遠程用戶或主機提供訪問許可，同時中心內(nèi)部業(yè)務人員在作業(yè)現(xiàn)場或出差在外，需要通過目前已知的所有上網(wǎng)方式接入到企業(yè)內(nèi)部網(wǎng)。 病毒的實時檢測更困難眾所周知，對待病毒應以預防為主，如果發(fā)生了病毒感染，往往就已經(jīng)造成了不可挽回的損失，因此對網(wǎng)上傳輸?shù)奈募M行實時病毒檢測成了亟待解決的重要問題。隨著網(wǎng)速的提高，在數(shù)據(jù)傳輸時間變短的同時，病毒的傳送時間會變得更加微不足道。用戶通過網(wǎng)絡甚至可以獲得專門編寫病毒的工具軟件，只需要通過簡單的操作就可以生成破壞性的病毒。制作病毒的方法更簡單由于網(wǎng)絡的普及，使得編寫病毒的知識越來越容易獲得。一方面可能會導致本機機密資料的泄漏，另一方面會導致一些網(wǎng)絡服務的中止。病毒破壞性更大計算機病毒不再僅僅以侵占和破壞單機的資料為目的。 蠕蟲病毒更加泛濫其表現(xiàn)形式是郵件病毒會越來越多，這類病毒是由受到感染的計算機自動向用戶的郵件列表內(nèi)的所有人員發(fā)送帶毒文件，往往在郵件當中附帶一些具有欺騙性的話語，由于是熟人發(fā)送的郵件，接受者往往沒有戒心。 病毒與黑客程序相結(jié)合隨著網(wǎng)絡的普及和網(wǎng)速的提高，計算機之間的遠程控制越來越方便，傳輸文件也變得非?？旖荩驗槿绱?，病毒與黑客程序（木馬病毒）結(jié)合以后的危害更為嚴重，病毒的發(fā)作往往伴隨著用戶機密資料的丟失。. 防病毒需求分析防病毒必須立足于系統(tǒng)全網(wǎng)的角度，除了在終端部署放病毒產(chǎn)品控制病毒對終端的破壞，更應該在網(wǎng)絡中部署安全產(chǎn)品，控制病毒的傳播。但對利用合法的訪問手段或其它的攻擊手段（比如，利用內(nèi)部系統(tǒng)的漏洞等）對系統(tǒng)入侵和內(nèi)部用戶的入侵等是沒有辦法控制的。所以需要對邊界部署訪問控制系統(tǒng)，有效地監(jiān)控內(nèi)部網(wǎng)和公共網(wǎng)之間的活動，并對數(shù)據(jù)進行過濾與控制，保證內(nèi)部網(wǎng)絡的安全。如果在邊界沒有一個可集中控制訪問請求的措施，很容易被惡意攻擊者或其它企圖人員利用這些邊界進行非法入侵。 安全需求分析根據(jù)**集團信息系統(tǒng)的現(xiàn)狀以及風險分析，我們認為**集團信息系統(tǒng)應著重解決如下安全需求：. 邊界訪問控制需求分析 **集團信息系統(tǒng)的邊界之內(nèi)包含多個局域網(wǎng)以及計算資源組件。216。 存在IM/P2P、網(wǎng)絡游戲等濫用行為，影響工作效率和組織生產(chǎn)力；216。 邊界復雜，缺乏對邊界策略的統(tǒng)一控制；216。 多數(shù)業(yè)務網(wǎng)段間僅采用VLAN隔離，存在較大風險；216。從**集團的網(wǎng)絡結(jié)構(gòu)來看，目前所面臨的主要問題可以簡要歸納為：216。4. 破壞性大網(wǎng)絡上病毒將直接影響網(wǎng)絡的工作，輕則降低速度，影響工作效率，重則使網(wǎng)絡崩潰， 破壞服務器信息，造成巨大的直接和間接的經(jīng)濟損失。3. 難于徹底清除智能化的網(wǎng)絡病毒既可以像傳統(tǒng)病毒一下感染服務器或客戶端主機的應用文件系統(tǒng)，也兼具網(wǎng)絡黑客技術的特點，通過各種途徑破壞服務器或客戶機的重要數(shù)據(jù)，通過電子郵件系統(tǒng)散播惡意代碼，設置系統(tǒng)后門，竊取系統(tǒng)的重要數(shù)據(jù)與機密信息等。1. 傳播的形式復雜多樣計算機病毒在網(wǎng)絡上一般是通過“工作站服務器工作站”的途徑進行傳播的，但傳播的形式復雜多樣，通過網(wǎng)絡共享、服務漏洞、電子郵件等多種方式進行傳播。3. 來自郵件、網(wǎng)頁、便攜機、可移動存儲設備的蠕蟲、病毒以及惡意代碼由于**集團的核心業(yè)務系統(tǒng)與辦公用機處于一個安全域內(nèi)，一旦某臺辦公用機被侵入，整個**集團的網(wǎng)絡、系統(tǒng)及應用都會很快被波及；4. 自然災害、火災、水災等人力不可抗拒因素。鑒于現(xiàn)在很多網(wǎng)絡病毒通過郵件方式進行傳播，如果內(nèi)部辦公人員不小心打開某個帶有病毒或“特洛伊木馬”程序的郵件附件，而有部分員工設置的機器密碼不符合密碼設置的安全規(guī)定，或者未及時為主機和PC機打上patch及hotfix，那么**集團網(wǎng)絡系統(tǒng)的穩(wěn)定就受到了極大的威脅；2. 源自內(nèi)部網(wǎng)絡的惡意攻擊與破壞據(jù)統(tǒng)計，有70%的網(wǎng)絡攻擊來自于網(wǎng)絡的內(nèi)部。 支持性基礎設施的主動攻擊威脅對未加密或弱加密的通信線路的搭線竊聽；用獲取包含錯誤信息的證書進行偽裝攻擊；拒絕服務攻擊(如攻擊目錄服務等)；中間攻擊；攻擊PIN獲取對用戶私鑰的訪問、在支持性基礎設施的組件中引入惡意代碼攻擊、在密鑰分發(fā)期間對密鑰實施攻擊、對PKI私鑰實施密碼攻擊、對密鑰恢復后的密鑰進行末授權訪問、在用戶認證期間使用戶不能生成失效信息；利用備份信息進行攻擊。 對信息系統(tǒng)及數(shù)據(jù)主動攻擊威脅試圖阻斷或攻破保護機制(內(nèi)網(wǎng)或外網(wǎng))；偷竊或篡改信息；利用社會工程攻擊欺騙合法用戶(如匿名詢問合法用戶賬號)；偽裝成合法用戶和服務器進行攻擊；IP地址欺騙攻擊；拒絕服務攻擊；利用協(xié)議和基礎設施的安全漏洞進行攻擊；利用遠程接入用戶對內(nèi)網(wǎng)進行攻擊；建立非授權的網(wǎng)絡連接；監(jiān)測遠程用戶鏈路、修改傳輸數(shù)據(jù)；解讀未加密或弱加密的傳輸信息；惡意代碼和病毒攻擊。如對網(wǎng)絡運行和設備之間通信的直接攻擊，它企圖切斷網(wǎng)管人員與基礎設施的設備之間的通信，比如切斷網(wǎng)管人員與交換機、路由器之間的通信，使網(wǎng)管人員失去對它們的控制。二是網(wǎng)絡管理通訊混亂使網(wǎng)絡基礎設施失去控制的攻擊。 支持性基礎設施的被動攻擊威脅機房和處理信息終端的信息電磁泄露；獲取鑒別信息和控制信息。 區(qū)域邊界/外部連接的被動攻擊威脅截取末受保護的網(wǎng)絡信息；流量分析攻擊；遠程接入連接?？梢哉f威脅是不可避免的，我們必須采取有效的措施，降低各種情況造成的威脅。. 威脅威脅就是將會對資產(chǎn)造成不利影響的潛在的事件或行為，包括自然的、故意的以及偶然的情況。l 安全技術的脆弱性：操作系統(tǒng)和數(shù)據(jù)庫的安全脆弱性，系統(tǒng)配置的安全脆弱性，訪問控制機制的安全脆弱性，測評和認證的脆弱性。主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等；l 主機、可管理的網(wǎng)絡設備等包含可設置的“軟件”的資產(chǎn)的安全弱點（這些弱點的原因可能是軟件缺陷，也可能是配置不當或者人員使用不當）；l 保存在數(shù)據(jù)介質(zhì)中的業(yè)務數(shù)據(jù)、數(shù)字化的業(yè)務相關信息與知識的安全弱點。本次**集團網(wǎng)絡信息安全建設的內(nèi)容就在于保障上述有形及無形資產(chǎn)。 網(wǎng)絡現(xiàn)狀. 網(wǎng)絡現(xiàn)狀**集團已經(jīng)配置了當務之急的網(wǎng)絡系統(tǒng)設備和基本的技術防范設備，如路由器、交換機、防病毒軟件等，如并制定了較為詳細具體的管理制度，對管理人員也作了細致的分工；系統(tǒng)與外部網(wǎng)絡已經(jīng)實現(xiàn)了邏輯隔離；系統(tǒng)內(nèi)部也劃分了基本的安全域；系統(tǒng)安全策略已基本形成并趨于健全。l 對內(nèi)是要建立一個安全堡壘，控制網(wǎng)絡內(nèi)部用戶非授權通信和進行的一些有意的、無意的破壞活動，保證網(wǎng)絡系統(tǒng)信息平臺和應用系統(tǒng)平臺的正常運行。根據(jù)**集團網(wǎng)絡信息系統(tǒng)的安全現(xiàn)狀和基本安全構(gòu)想，設計了以下網(wǎng)絡信息安全建議方案，以此來保障**集團網(wǎng)絡信息系統(tǒng)的有效運維和信息資源的安全性、可用性和完整性（CIA屬性）。近兩年來，黑客攻擊、網(wǎng)絡病毒等等已經(jīng)屢見不鮮，而且一次比一次破壞力大，對網(wǎng)絡信息安全造成的威脅也越來越大，一旦網(wǎng)絡存在安全隱患，遭受重大損失在所難免。在我國，每年因黑客入侵、計算機病毒的破壞給企業(yè)造成的損失令人觸目驚心。某某集團信息安全建設項目設計方案 概述同時隨著全球化和網(wǎng)絡化，全球信息化建設的加快對我國的影響越來越大,網(wǎng)絡的飛速發(fā)展以及企業(yè)對計算機的依賴性逐漸增強，隨之而來的網(wǎng)絡信息安全問題日益突出。據(jù)美國FBI統(tǒng)計，美國每年因網(wǎng)絡信息安全問題所造成的經(jīng)濟損失高達75億美元，而全球平均每20秒鐘就發(fā)生一起網(wǎng)絡計算機侵入事件。網(wǎng)絡防黑客、防病毒等安全問題也必須引起相關企業(yè)、事業(yè)單位的重視。由于利益的驅(qū)使，針對信息系統(tǒng)的安全威脅越來越多，為了有效防范和化解風險，保證**集團信息系統(tǒng)平穩(wěn)運行和業(yè)務持續(xù)開展，須建立**集團的信息安全保障體系，抵御外來和內(nèi)在的信息安全威脅，提升整體信息安全管理水平和抗風險能力，以增強**集團的信息安全風險防范能力。本項目具體的網(wǎng)絡信息安全目標即：l 建立一個安全屏障，保護**集團的網(wǎng)絡信息系統(tǒng)不受來自網(wǎng)絡開放所帶來的網(wǎng)絡信息安全問題的影響，和通信數(shù)據(jù)安全的非法破壞。l 通過系統(tǒng)的信息安全體系規(guī)劃和建設，加強內(nèi)部控制和內(nèi)部管理，降低運營風險，建立高效、統(tǒng)一、運轉(zhuǎn)協(xié)調(diào)的管理體制。目前的拓撲示意圖如下：. 網(wǎng)絡現(xiàn)狀拓撲示意圖 信息安全分析. 資產(chǎn)在本方案中，**集團網(wǎng)絡的相關資產(chǎn)包括：l 有形資產(chǎn)：有通信基礎設備、網(wǎng)絡設備（路由器、交換機、防火墻等）、主機（含外購的操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、郵件服務器等）、外圍設備、存儲設備、數(shù)據(jù)介質(zhì)等構(gòu)成的IT支撐系統(tǒng)；l 無形資產(chǎn)：業(yè)務系統(tǒng)，業(yè)務數(shù)據(jù)，數(shù)字化的業(yè)務相關信息與知識（以文檔或程序的形式存在）。. 弱點資產(chǎn)包括有形資產(chǎn)和無形資產(chǎn)兩部分，相應的弱點主要包括：l 通信基礎設施、網(wǎng)絡設備、主機、外圍設備、存儲設備、數(shù)據(jù)介質(zhì)等“硬件”的物理安全弱點。l 人的脆弱性：人的安全意識不足導致的各種被攻擊可能，如接受未知數(shù)據(jù)，設置弱口令等。l 運行的脆弱性：監(jiān)控系統(tǒng)的脆弱性，無入侵檢測設備，響應和恢復機制的不完善。威脅至少包含以下屬性：動機（自然威脅除外）、能力、影響方式等。 被動攻擊產(chǎn)生的威脅 網(wǎng)絡和基礎設施的被動攻擊威脅局域網(wǎng)/骨干網(wǎng)線路的竊聽；監(jiān)視沒被保護的通信線路；破譯弱保護的通信線路信息；信息流量分析；利用被動攻擊為主動攻擊創(chuàng)造條件以便對網(wǎng)絡基礎設施設備進行破壞，如截獲用戶的賬號或密碼以便對網(wǎng)絡設備進行破壞；機房和處理信息終端的電磁泄露。 計算環(huán)境的被動攻擊威脅獲取鑒別信息和控制信息；獲取明文或解密弱密文實施重放攻擊。 主動攻擊產(chǎn)生的威脅 對網(wǎng)絡和基礎設施的主動攻擊威脅一是可用帶寬的損失攻擊，如網(wǎng)絡阻塞攻擊、擴散攻擊等。最嚴重的網(wǎng)絡攻擊是使網(wǎng)絡基礎設施運行控制失靈。三是網(wǎng)絡管理通信的中斷攻擊，它是通過攻擊網(wǎng)絡底層設備的控制信號來干擾網(wǎng)絡傳輸?shù)挠脩粜畔?；引入病毒攻擊；引入惡意代碼攻擊。 計算環(huán)境的主動攻擊威脅引入病毒攻擊；引入惡意代碼攻擊；冒充超級用戶或其他合法用戶；拒絕服務和數(shù)據(jù)的篡改；偽裝成合法用戶和服務器進行攻擊；利用配置漏洞進行攻擊；利用系統(tǒng)脆弱性(操作系統(tǒng)安全脆弱性、數(shù)據(jù)庫安全脆弱性)實施攻擊；利用服務器的安全脆弱性進行攻擊；利用應用系統(tǒng)安全脆弱性進行攻擊。 來自內(nèi)部的安全威脅分析1. 內(nèi)部網(wǎng)絡的失誤操作行為由于人員的技術水平的局限性以及經(jīng)驗的不足，或?qū)W(wǎng)絡信息安全的漫不經(jīng)心或者誤操作可能會出現(xiàn)各種意想不到的失誤，勢必對系統(tǒng)或者網(wǎng)絡的安全產(chǎn)生較大的影響。對于網(wǎng)絡內(nèi)部的安全防范會明顯的弱于對于網(wǎng)絡外部的安全防范，而且由于內(nèi)部人員對于內(nèi)部網(wǎng)絡的熟悉程度一般是很高的，所以，由網(wǎng)絡內(nèi)部發(fā)起的攻擊也就必然更容易成功，因此一旦攻擊成功，其強烈的攻擊目的也就必然促使了更為隱蔽和嚴重的網(wǎng)絡破壞。 網(wǎng)絡病毒威脅在網(wǎng)絡環(huán)境下，網(wǎng)絡病毒除了具有可傳播性、可執(zhí)行性、破壞性、可觸發(fā)性等計算機病毒的共性外，還具有一些新的特點，網(wǎng)絡病毒的這些新的特點都會對網(wǎng)絡與應用造成極大的威脅。2. 病毒的智能化程序越來越高網(wǎng)絡病毒可以利用系統(tǒng)的漏洞進行傳播或攻擊；在攜帶特洛伊木馬程序進行對系統(tǒng)進行遠程破壞與控制；自身就有木馬功能，為系統(tǒng)開后門；散播拒絕服務攻擊點，對目標采取分布式拒絕服務攻擊等等。病毒要完成這些復雜的動作，就要對系統(tǒng)進行比較復雜的設置，對系統(tǒng)的影響也比較大，僅有防病毒軟件很難徹底地從系統(tǒng)上將病毒清除掉。. 風險由于網(wǎng)絡信息安全是一個系統(tǒng)工程，網(wǎng)絡上的攻擊行為和方法也急劇增長，造成的安全損失也越來越大