【正文】 ................................64 建設容災系統(tǒng)的必要性 ...............................................................................64 系統(tǒng)平臺所面臨 的問題 ...............................................................................65 容災系統(tǒng)需求 .............................................................................................65 異地容災系統(tǒng)總體設計方案 ......................................................................................67 異地容災系統(tǒng)方案設計分析 ........................................................................67 采用基于 SAN 虛擬化存儲的容災方案 .........................................................71 系統(tǒng)拓撲 ....................................................................................................81 1 某省 煙草信息安全現(xiàn)狀 某省 煙草 在相關領導的高度重視下，近年來，在加速信息化建設方面取得了顯著的成 效，并已走到了同行業(yè)前列，目前， 某省 煙草 的整個生產(chǎn)經(jīng)營均已和信息化平臺緊密相聯(lián)，無論是營銷專賣、日常辦公、財務管理、還是宏觀決策等等。隨著未來信息化建設的不斷深入和擴展，如何進一步加強信息化平臺的穩(wěn)定性、可靠性和安全性，將成為未來信息化建設需要考慮的重點問題。但 是， 按照 《煙草行業(yè)計算機網(wǎng)絡和信息安全技術與管理規(guī)范》（國煙辦【 2020】 17 號）的標準要求以及 “ 國家煙草專賣局煙草經(jīng)濟信息中心”的《煙草行業(yè)信息安全體系建設指南》的具體指導和要求 ，讓我們深刻感受到目前 某省 煙草 信息安全的建設仍然存在有不足，重點 表現(xiàn) 在 《煙草行業(yè)信息安全體系建設指南》 的“技術體系”方面。 5) 系統(tǒng)與通信保護方面，缺乏按照 安全等級， 對 信息系統(tǒng)進行安全域的劃分 并對跨越安全域邊界的訪問進行有效控制。 7) 在網(wǎng)絡邊界防護方面，缺乏 監(jiān)視和控制本單位網(wǎng)絡對外出口的通信情況 。 9) 在傳輸涉及煙草行業(yè)秘密或敏感信息時， 缺乏加密傳輸措施。 11) 檢測與響應方面，缺乏漏洞掃描工具； 缺乏 對 各種安全 日志 清晰統(tǒng)一的 管理 。 13) 缺乏高級別的備份與恢復設施。 2 某省 煙草信息安全需求 分析一下上一章節(jié)的 某省 煙草 現(xiàn)狀與信息安全不足，提出產(chǎn)品與技術的解決方案，如下： 1） 部署 終端安全 管理系統(tǒng)，對終端的訪問活動、違規(guī)操作進行監(jiān)控與控制， 防止非法外聯(lián)及 未經(jīng)授權的便攜式移動設備接入本單位網(wǎng)絡系統(tǒng)，也無法防止外單位人員的便攜式移動設備在未經(jīng)批準的情況下接入本單位網(wǎng)絡系統(tǒng)。 3） 標志鑒別方面，結合國家煙草總公司的 CA 認證系統(tǒng)，來配備數(shù)字證書，對關鍵業(yè)務的人員身份進行有效的鑒別。 5） 對外 出口處部署網(wǎng)絡流量分析與響應系統(tǒng)，識別各種拒絕服務攻擊與 監(jiān)視和控制本單位網(wǎng)絡對外出口的通信情況 ，并做到流量整形，保證對外出口安全通信。 7） 部署文檔加密系統(tǒng)，在 傳輸涉及煙草行業(yè)秘密或敏感信息時， 保證加密傳輸。 9） 部署安全運維平臺，對各種安全日志 清晰統(tǒng)一的 管理 。 11） 部署高級別的備份與恢復系統(tǒng)。 3 終端 與內(nèi)網(wǎng) 安全管理系統(tǒng)規(guī)劃 在知識型經(jīng)濟之下，企業(yè)信息資產(chǎn)顯得特別重要，能否有效保護專有技術等內(nèi)部信息，更是企業(yè)成功的關鍵。利用互聯(lián)網(wǎng)溝通固然方便，但卻使機密的商業(yè)資料很容易透過開放的互聯(lián)網(wǎng)泄露給競爭對手。另據(jù)調查結果表明，目前員工在工作場所花費在網(wǎng)上的與工作無關時間越來越多，企業(yè)的生產(chǎn)力受到很大影響。 內(nèi)網(wǎng)綜合管理系統(tǒng)正是為企業(yè)解決上述問題的有利的工具?？梢宰屇S時了解您企業(yè)的計算機用戶的資源利用情況。同時，用戶環(huán)境，客戶端程序應具備卸載管理，防止未經(jīng)授權的卸載 使終端計算機脫離管理?？蛻舳?代理模塊安裝在每一臺需要被監(jiān)視的計算機上，用來收集數(shù)據(jù)信息，并執(zhí)行來自服務器模塊的指令?？刂婆_模塊一般安裝在公司的管理 人員的計算機上，用來監(jiān)控每臺安裝有代理模塊的計算機，管理各類審計系統(tǒng)，制定安全策略。這種系統(tǒng)的特性減少了硬件和網(wǎng)絡提升后所帶來的軟件成本上升的壓力。獲得了多項國家認證證書。補丁庫采用增量升級，每周升級三到五次，補丁庫中所有補丁都經(jīng)過嚴格地測試與簽名，確保補丁庫的安全性與來源可靠性。 補丁分發(fā)管理系統(tǒng)可以導入目前主流漏洞掃描產(chǎn)品的掃描結果，并結合主機端漏洞掃描的結果，進行有針對性的有效分發(fā)。 ? 支持自定義補丁 /腳本：大多數(shù)補丁管理產(chǎn)品僅 僅基于源廠商所發(fā) 布的補丁庫，對于系統(tǒng)配置不當?shù)仍蛩鶎е碌陌踩┒礋o能為力。 ? 全面的安全資產(chǎn)管理： 補丁系統(tǒng)可以管理受控網(wǎng)絡節(jié)點、非受控網(wǎng)絡節(jié)點，可以自由分組、靈活調配。 ? 豐富的任務管理方式： 3 種時間模式， 7 種新建任務模式、 4 種分發(fā)模式、任意節(jié)點、任意文件的子任務管 理。 ? 網(wǎng)絡適應力強，控制效果有效可靠：可以很好地適應 DHCP、 PC 防火墻、 NAT等復雜場景，配置部署簡單。 ? 網(wǎng)絡負載?。河捎诓恍枰獋鬟f復雜的證書和控制協(xié)議，基于 ARP 的干擾措施只需要很小的網(wǎng)絡負荷就能實現(xiàn)安全接入的控制。 ? 先進的架構：采用分布式部署，支持多 VLAN 內(nèi)多控制點的設置，反應迅速，滿足系統(tǒng)伸縮性和實時性的要求。 比如通過 “只讀（ ReadOnly） ”、 “只寫（ WriteOnly） ”的配合可以解決外網(wǎng)資料向內(nèi)網(wǎng)的 “擺渡 ”的難題。 ? 細致靈活的策略模型：支持在單臺計算機上不同用戶擁有不同的移動存儲授權。比如，防止將 Word 文檔改名偽裝成 MP3 文件躲避審計。 ? 隨遇 而安的適應力：可以很好地適應 DHCP、 PC 防火墻、 NAT 等復雜場景，網(wǎng)絡層配置簡單，且底層 SSL 機制支持系統(tǒng)透過 Inter 部署。 ? 實用方便：系統(tǒng)支持操作員不離開其控制臺把客戶端 “推 ”向遠程 PC 機的特性，方便大規(guī)模部署。 ? 先進的架構：采用分布式 P2P 技術架構，滿足系統(tǒng)伸縮性和實時性的要求。 ? 查詢決策：強大的查詢工具使您能快速的分析和了解企業(yè)的 IT 環(huán)境，從而使您能在軟件、硬件有更新或升級需求時作出明智的決定。在最少的時間、努力和花費下做更多的事。 產(chǎn)品規(guī)格 產(chǎn)品型號 終端與內(nèi)網(wǎng)安全管理系統(tǒng) 產(chǎn)品形態(tài) 軟件 產(chǎn)品功能 桌面安全管理 桌面安全管理 桌面審計管理 客戶機屏幕監(jiān)控功能 主機防火墻 流量控制 補丁分發(fā)管理 補丁分發(fā) 補丁管理 軟件分發(fā) 任務管理 安全接入管理 接入控制 接入管理 非法外聯(lián)監(jiān)控 非法外聯(lián)管理 移動介質管理 存儲設備管理 外設管理 安全配置管理 網(wǎng)絡資產(chǎn)管理 資產(chǎn)統(tǒng)計 資產(chǎn)變 更處理 自定義信息管理 安全性 系統(tǒng)安全性 服務器與客戶機之間的通信經(jīng)過必要的加密措施 有管理員帳號管理功能 控制臺支持分級、分組、分權限管理 服務器與客戶機的認證防止未獲授權使用 電子郵件內(nèi)容加密 備份數(shù)據(jù)加密 數(shù)據(jù)安全性 提供自動備份功能 支持多種備份裝置 (如磁帶機、 CDRW、 DVDRW、網(wǎng)絡驅動器 ) 系統(tǒng)性能 數(shù)據(jù)庫性能 高性能的后臺數(shù)據(jù)庫 網(wǎng)絡性能 高性能的數(shù)據(jù)壓縮和數(shù)據(jù)傳輸，降低數(shù)據(jù)大小及傳輸時間 快速客戶機并發(fā)輪詢 客戶機網(wǎng)絡流量 控制 管理功能 客戶端程序功能 客戶端程序兼容 WINDOWS 系列操作系統(tǒng) 客戶端程序卸載必須通過控制臺 客戶端程序具有反安裝保護功能 處理機制 采用高性能的后臺數(shù)據(jù)庫 高性能的數(shù)據(jù)壓縮和數(shù)據(jù)傳輸，減低數(shù)據(jù)的大小及數(shù)據(jù)傳輸?shù)臅r間 具有快速的客戶機并發(fā)輪詢機制 客戶機網(wǎng)絡流量控制 安裝方式 單獨安裝 域安裝 WEB 安裝 遠程推送 內(nèi)部郵件發(fā)送客戶端下載連接 配置功能 用戶轉換 修改密碼 計算機管理 描述管理 用戶及權限管 理 查詢歷史 選項設置數(shù)據(jù)清除周期 升級序列號 客戶端自動升級 產(chǎn)品部署 本方案建議采用集中部署終端與內(nèi)網(wǎng)安全管理系統(tǒng)的方式： ? 全網(wǎng)部署一臺終端與內(nèi)網(wǎng)服務器，負責全網(wǎng)各終端計算機的信息收集與策略下發(fā)，實現(xiàn)對終端計算機的管理，并在服務器上配置補丁系統(tǒng)，將補丁文件的存貯、發(fā)放和管理集中在服務順進行。負責對各終端計算機進行查看，并進行策略制定、下發(fā) ? 終端計算機上安裝客戶端程序。 ? 部署客戶端可以采用登錄 WEB 頁面下載安裝和電子郵件分發(fā)客戶端相結合的方法。 系統(tǒng)部署示意圖如下： 4 安全域的重新劃分 按照《煙草行業(yè)信息安全體系建設指南》的要求，將煙草行業(yè)電子政務系統(tǒng)、煙草行業(yè)電子商務系統(tǒng)等不同用途的系統(tǒng)劃分在不同安全域；將信息系統(tǒng)用戶功能區(qū)域與信息系統(tǒng)管理功能區(qū)域相劃分在不同安全域，將應用服務（如門戶網(wǎng)站、應用系統(tǒng)操作界面）與數(shù)據(jù)存儲服務（如中間件服務器、數(shù)據(jù)庫服務器）劃分在不同安全域。通過防火墻 對跨越安全域邊界的訪問進行有效控制。 圖 41 安全域重新劃分的規(guī)劃拓撲圖 安全域重新劃分后，需要增加部署 2 套千兆防火墻系統(tǒng)、 1 套千兆入侵檢測系統(tǒng)及對應的兩臺交換機系統(tǒng)。 同時 某省 煙草廣域網(wǎng)骨干路由器匯聚 著 下屬地市分公司 等單位 的 通訊 。如：下屬單位網(wǎng)絡路由循環(huán)將可 能導致 某省 煙草廣域 網(wǎng)絡癱瘓；內(nèi)部人員在瀏覽互聯(lián)網(wǎng)和收發(fā)郵件時，可能面臨來自互聯(lián)網(wǎng)的攻擊和蠕蟲在網(wǎng)絡內(nèi)的泛濫，從而造成網(wǎng)絡流量異常的情況。 網(wǎng)絡 流量分析與響應系統(tǒng)能夠用于網(wǎng)絡出口流量的監(jiān)控檢測和分析，通過對出口骨干網(wǎng)絡流量信息或系統(tǒng)信息的收集，采用多種方法進行分析、檢測，實時監(jiān)控、檢測骨干網(wǎng)絡中 DoS/DDoS 攻擊、蠕蟲病毒、垃圾郵件及其他網(wǎng)絡異常事件，提取異常特征，并啟動報警和響應系統(tǒng)進行過濾、阻斷和防御。 網(wǎng)絡 流量分析與響應系統(tǒng)的部署與作用 網(wǎng)絡 流量分析與響應系統(tǒng)采用旁路的部署方 案， 通過連接到 到網(wǎng)絡中，收集 所有出口路 由器的 Netflow 數(shù)據(jù)。 圖 51 網(wǎng)絡流量分析與響 應系統(tǒng)部署拓撲圖 部署 網(wǎng)絡 流量分析與響應系統(tǒng)的作用： 網(wǎng)絡 流量實時分析 實時檢測因大量數(shù)據(jù)包的泛濫式攻擊造成的網(wǎng)絡流量異常，包括網(wǎng)絡中的DoS/DDoS 攻擊、蠕蟲病毒、大量的垃圾郵件等異常流量。管理員還可以通過系統(tǒng)圖形化的詳細的主機流量、應用流量、會話流 量等排名，了解網(wǎng)絡流量的問題點。 流量趨勢預警 實時監(jiān)控、分析網(wǎng)絡的通信流量情況，及時提供關于流量變化趨勢的報表，顯示網(wǎng)絡運行狀況。 用戶可以根據(jù)自身的網(wǎng)絡情況及其關注的主要內(nèi)容，設置相應的監(jiān)控參數(shù)，包括可以指定監(jiān)控的 IP 地址，端口、數(shù)據(jù)包的傳輸速率等信息，并可以設置組合條件。 攻擊檢測 采用數(shù)據(jù)流智能重組，以數(shù)據(jù)流為對象，通過特征檢測、協(xié)議分析相結合的檢測方法，根據(jù)強大的攻擊特征庫，檢測各種攻擊。系統(tǒng)支持自定義攻擊事件，可以對從網(wǎng)絡層到應用層的各協(xié)議字段設定檢測特征。 通信行為分析 采用應用層內(nèi)容檢測、協(xié)議解碼分析、行為分析等多種檢測技術，實現(xiàn)對網(wǎng)絡通信行為的 檢測分析。 1) 協(xié)議解碼分析：通過對數(shù)據(jù)包的捕獲和協(xié)議解碼分析，實現(xiàn)對通信行為的深度檢測。 網(wǎng)絡信息審計 強大的網(wǎng)絡信息審計功能，可以全面收集網(wǎng)絡系統(tǒng)信息，詳細 記錄網(wǎng)絡活動 和應用連接的歷史信息。通過數(shù)據(jù)挖掘和數(shù)據(jù)倉庫，對于異常流量的監(jiān)控、檢測、分析和響應均形成完整的網(wǎng)絡審計日志，便于管理員對骨干網(wǎng)絡的運行和使用情況進行全面地監(jiān)控、記錄、審計和重放，為進一步審核和調整安全策略提供依據(jù)。 6 防病毒網(wǎng)關的規(guī)劃 在省公司對 Inter 出口處增加一臺防病毒網(wǎng)關設備， 加強對 蠕蟲病毒以及垃圾郵件的防御 。通過 防病毒 過濾網(wǎng)關的保護，可有效提升網(wǎng)絡環(huán)境的安全狀況，保護網(wǎng)絡范圍內(nèi)系統(tǒng)和數(shù)據(jù)安全，避免直接或間接的經(jīng)濟或名譽損失。 主要功能 a) 蠕蟲過濾 蠕蟲可以利用電子郵件、文件傳輸?shù)确绞竭M行擴散，也可以利 用系統(tǒng)的漏洞發(fā)起動態(tài)攻擊。如尼姆達（ Nimda）、紅色代碼（ CodeRed）、蠕蟲王（ Slammer）、沖擊波（ Blaster）等。在網(wǎng)絡層和傳輸 層過濾蠕蟲利用漏洞的動態(tài)攻擊數(shù)據(jù)，在應用層過濾利用正常協(xié)議（ SMTP、 HTTP、POP FTP 等）傳輸?shù)撵o態(tài)蠕蟲代碼。這一技術標志著，防病毒過濾網(wǎng)關 不僅可以過濾靜態(tài)蠕蟲代碼，而且能夠阻斷蠕蟲的動態(tài)攻擊（包括所引發(fā)