【正文】 具體情況介紹如下：學校門戶網(wǎng)站系統(tǒng)：2012年門戶網(wǎng)站（網(wǎng)絡版）歷經(jīng)系統(tǒng)開發(fā)、模擬測試、網(wǎng)絡、硬件設備安裝部署，在試點和實施過程當中發(fā)現(xiàn)系統(tǒng)仍有不足之處，需要對系統(tǒng)進行深入完善和改進，主要考慮到由于門戶網(wǎng)站（網(wǎng)絡版）作為學校集中部署的網(wǎng)絡化重要業(yè)務系統(tǒng)，其具有應用面廣、用戶規(guī)模大，并涉及到學校對互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上部署的特性，因此系統(tǒng)自身和運行環(huán)境均存在一定的安全風險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和措施。. 網(wǎng)絡結構說明學校信息系統(tǒng)網(wǎng)絡拓撲圖現(xiàn)狀如下：3. 安全需求分析. 物理安全需求分析目前在機房建設方面還存在如下問題： 物理訪問控制； 防雷擊； 防火墻； 防水防潮； 溫濕度控制；. 網(wǎng)絡安全需求分析邊界入侵防范：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設備來實現(xiàn)。安全域邊界安全審計：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署署網(wǎng)絡安全審計等安全設備來實現(xiàn)。數(shù)據(jù)庫審計：該信息系統(tǒng)缺少針對數(shù)據(jù)的審計設備，不能很好的滿足主機安全審計的要求，需要部署專業(yè)的數(shù)據(jù)庫審計設備。漏洞掃描：需要部署漏洞掃描實現(xiàn)對全網(wǎng)漏洞的掃描。. 數(shù)據(jù)安全需求分析備份與恢復：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復方案，需要制定相關策略。. 安全管理制度需求分析根據(jù)前期差距分析結果，該單位還欠缺較多安全管理制度，需要后續(xù)補充。. 總體安全體系設計本項目提出的等級保護體系模型，必須依照國家等級保護的相關要求，利用密碼、代碼驗證、可信接入控制等核心技術，在“一個中心三重防御”的框架下實現(xiàn)對信息系統(tǒng)的全面防護。依照GB/T250702010 信息系統(tǒng)等級保護安全設計技術要求中對安全管理中心的要求，一個符合基于可信計算和主動防御的等級保護體系模型的安全管理中心應至少包含以下三個部分：系統(tǒng)管理實現(xiàn)對系統(tǒng)資源和運行的配置。安全管理實現(xiàn)對系統(tǒng)中的主體、客體進行統(tǒng)一標記，對主體進行授權，配置一致的安全策略，確保標記、授權和安全策略的數(shù)據(jù)完整性，并對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并進行審計。此外，對安全審計員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作。n 安全計算環(huán)境參照基于可信計算和主動防御的等級保護模型，安全計算環(huán)境可劃分成節(jié)點和典型應用兩個子系統(tǒng)。信息安全事故的源頭主要集中在用戶終端，要實現(xiàn)一個可信的、安全的計算環(huán)境，就必須從終端安全抓起。n 安全區(qū)域邊界為保護邊界安全，本解決方案針對構建一個安全的區(qū)域邊界提出的解決手段是在被保護的信息邊界部署一個“應用訪問控制系統(tǒng)”。由于國內外在這一方面的相關技術非常成熟，因此，在本次系統(tǒng)整改總體設計中更多的是考慮如何將防火墻、防病毒網(wǎng)關、網(wǎng)絡安全審計系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機地結合在一起，實現(xiàn)協(xié)同防護和聯(lián)動處理。n 安全通信網(wǎng)絡目前，在通信網(wǎng)絡安全方面，采用密碼等核心技術實現(xiàn)的各類VPN都可以很有效的解決這類問題，達到在滿足等級保護相關要求的同時，可靈活提高通信網(wǎng)絡安全性的效果。這些區(qū)域具有不同的使命，具有不同的功能，分域保護的框架為明確各個域的安全等級奠定了基礎，保證了信息流在交換過程中的安全性。l 終端接入域，該區(qū)域說明如下：主要是無線和有線終端接入；l 對外服務器域，該區(qū)域說明如下：該區(qū)域主要承載對外發(fā)布服務器，比如學校的網(wǎng)站；l 內部服務器域，該區(qū)域說明如下：主要承載對內的服務器和存儲，比如OA和學校專業(yè)先關零時性的試驗服務器。5. 詳細方案設計技術部分. 物理安全根據(jù)GB/T250702010 信息系統(tǒng)等級保護安全設計技術要求中物理安全的要求，應從以下方面進行整改： . 網(wǎng)絡安全. 安全域邊界隔離技術根據(jù)《信息系統(tǒng)安全等級保護基本要求》，應該在學校各安全域的邊界處部署防火墻設備，保證跨安全域的訪問都通過防火墻進行控制管理。. 入侵防范技術根據(jù)等級保護基本要求，二級業(yè)務系統(tǒng)應該在互聯(lián)網(wǎng)出口處實現(xiàn)入侵防范功能，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。. 鏈路負載均衡技術根據(jù)等級保護基本要求，二級業(yè)務系統(tǒng)應該在互聯(lián)網(wǎng)出口處進行優(yōu)化控制，保證用戶訪問選擇最優(yōu)的鏈路。. 網(wǎng)絡安全審計針對用戶訪問業(yè)務系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須部署一套日志審計系統(tǒng)利用實時跟蹤分析技術，從發(fā)起者、訪問時間、訪問對象、訪問方法、使用頻率各個角度，提供豐富的統(tǒng)計分析報告，幫助用戶在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時，及時發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡資源的使用。因此，建議在二期部署一套日志審計系統(tǒng)對全網(wǎng)行為進行監(jiān)控、日志進行記錄。. 主機安全. 數(shù)據(jù)庫安全審計建議在二期部署數(shù)據(jù)庫審計系統(tǒng)，實現(xiàn)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計，范圍覆蓋到每個用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。. 運維堡壘主機對運維的管理現(xiàn)狀進行分析，我們認為造成這種不安全現(xiàn)狀的原因是多方面的，總結起來主要有以下幾點：n 各IT系統(tǒng)獨立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認證、授權、審計的依據(jù)和前提，因此身份的混亂實際上造成設備訪問的混亂。n 核心服務器或設備的物理安全和臨機訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，但是對他們的網(wǎng)絡訪問缺少控制或欠缺控制力度，在帳號、密碼、認證、授權、審計等各方面缺乏有效的集中管理技術手段。由于設備和服務器眾多，系統(tǒng)管理員壓力太大等因素，越權訪問、誤操作、濫用、惡意破壞等情況時有發(fā)生，這嚴重影響信息系統(tǒng)的運行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權限，闖入部門內部網(wǎng)絡，造成不可估量的損失。部署設計：運維審計系統(tǒng)部署在安全管理域，通過交換機的訪問控制策略限定只能由堡壘主機內控管理平臺直接訪問服務器的遠程維護端口。. 主機防病毒技術學校目前網(wǎng)絡內所有終端使用免費的殺毒軟件，基本滿足等級保護二級的要求，但是現(xiàn)在主要服務器并沒有部署專業(yè)的殺毒軟件，建議第一期部署殺毒軟件。. 應用安全根據(jù)等級保護的要求，二級業(yè)務系統(tǒng)必須加密傳輸，因此需要部署SSL VPN技術實現(xiàn)應用系統(tǒng)遠程訪問的加密，如果后期OA系統(tǒng)需要實現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSL VPN設備。6. 詳細方案設計管理部分安全管理體系的作用是通過建立健全組織機構、規(guī)章制度，以及通過人員安全管理、安全教育與培訓和各項管理制度的有效執(zhí)行，來落實人員職責，確定行為規(guī)范，保證技術措施真正發(fā)揮效用，與技術體系共同保障安全策略的有效貫徹和落實。. 總體安全方針與安全策略總體安全方針與安全策略是指導用戶方所有信息安全工作的綱領性文件，是信息安全決策機構對信息安全工作的決策和意圖的表述。本次項目中深信服將協(xié)助用戶方確定安全管理體系的層