【正文】 ，如下圖所示。從下圖中可以看到，所有三個層面都包含了安全管理的內(nèi)容，這正體現(xiàn)了技術(shù)手段為輔、嚴(yán)格高效的管理為主的現(xiàn)代管理思想 。這些基本安全服務(wù)包括身份鑒別、訪問控制、數(shù)據(jù)完整性、數(shù)據(jù)保密性、抗抵賴、審計跟蹤和可用性服務(wù)。這五種服務(wù)并不是相互獨(dú)立的，而且不同的應(yīng)用環(huán)境有不同的程度的要求，在下圖中給出了主要安全服務(wù)之間的邏輯關(guān)系。分析表明，在信息系統(tǒng)中，最為重要也最為普遍的安全服務(wù)是實(shí)體的身份標(biāo)識和身份鑒別、以及各種資源的訪問控制。在開放式應(yīng)用環(huán)境中，主體與客體的雙向身份鑒別非常重要。 系系 統(tǒng)統(tǒng) 安安 全全 的的 總總 體體 框框 架架 結(jié)結(jié) 構(gòu)構(gòu) 根據(jù)我們對 XXX 政務(wù)網(wǎng)絡(luò)和應(yīng)用系統(tǒng)安全需求的理解，我們 建立了如下的系統(tǒng)安全的總體框架，用于網(wǎng)絡(luò)系統(tǒng)項目的具體設(shè)計實(shí)施考慮： 第 22 頁 安 全策 略和管 理經(jīng) 貿(mào)專 網(wǎng)電 信 公 網(wǎng)友 商 網(wǎng) 經(jīng) 貿(mào) 網(wǎng) I n t e r n e t授 權(quán) 管 理 基 礎(chǔ) 設(shè) 施公 共 安 全 服 務(wù) 平 臺M I S / O A系 統(tǒng)對 外 信 息發(fā) 布 系 統(tǒng)應(yīng) 用系 統(tǒng)傳輸加密VPN防病毒防火墻完整性...身份認(rèn)證入侵檢測備份容災(zāi)。 。建議建設(shè)一套完善的基于 PKI 體系的 CA認(rèn)證系統(tǒng)（在自治區(qū)政府的 CA認(rèn)證系統(tǒng)下統(tǒng)一部署），會極大的提升整個網(wǎng)絡(luò)的安全層次。 ???? 網(wǎng)網(wǎng) 絡(luò)絡(luò) 安安 全全 系系 統(tǒng)統(tǒng) 設(shè)設(shè) 計計 政務(wù)網(wǎng)絡(luò)是一個相對開放的網(wǎng)絡(luò)環(huán)境，用戶多，來自內(nèi)部和外部的不安全因素都較多。 從網(wǎng)絡(luò)結(jié)構(gòu)角度，安全可分為以下 層次： 政務(wù)網(wǎng)絡(luò)與外界的連接的安全： VPN 系統(tǒng)、防火墻系統(tǒng)； 政務(wù)網(wǎng)絡(luò)內(nèi)部的數(shù)據(jù)流通安全：防病毒系統(tǒng)、入侵檢測系統(tǒng)； 政務(wù)網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)存儲、管理方面的安全：內(nèi)容安全系統(tǒng)； 政務(wù)網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)中心的安全：安全應(yīng)用系統(tǒng)； 實(shí)現(xiàn)安全的主要的技術(shù)、方法 早期的安全防護(hù)技術(shù)多采用傳統(tǒng)的用戶名、口令身份認(rèn)證及訪問控制技術(shù)和低強(qiáng)度的數(shù)據(jù)加密技術(shù)。近年來， PKI 公鑰體系結(jié)構(gòu)、身份認(rèn)證技術(shù)、密鑰分發(fā)技術(shù)、防火墻技術(shù)， VPN 技術(shù)、入侵檢測技術(shù)和安全性分析技術(shù)已成為 信息網(wǎng)絡(luò)安全防護(hù)技術(shù)的新熱點(diǎn)。 我們根據(jù)網(wǎng)絡(luò)狀況，結(jié)合多年的經(jīng)驗(yàn)，認(rèn)為：網(wǎng)絡(luò)安全的整體解決方案應(yīng)為建立基于PKI 安全結(jié)構(gòu)之上的，整體的身份驗(yàn)證、傳輸加密、信息加密、數(shù)據(jù)完整性保護(hù)、 VPN 技術(shù)以及防火墻和安全代理服務(wù)器等多種安全技術(shù)的綜合的一體的解決方案。當(dāng)一個數(shù)據(jù)包從一個屬于某一 VLAN 的端口進(jìn)行廣播時 ,交換機(jī)收到數(shù)據(jù)包然后拷貝到這一 VLAN 所包括的所有端口上。我們在方案中選擇的交換機(jī)的所有端口都可以支持 的標(biāo)記。即使一個多層交換機(jī)的第三層轉(zhuǎn)發(fā)模塊具有能提供完好的安全性和存取控制，如果不采用 VLAN 技術(shù)，對一個用戶來說，很容易通過重構(gòu)他 (她 )的工作站的 IP 地址從而對與他 (她 )的子網(wǎng)內(nèi)的網(wǎng)絡(luò)資源進(jìn)行利用或破壞，因?yàn)樵谶@種情況下用戶是能夠由第二層交換核心實(shí)現(xiàn)數(shù)據(jù)交換而不是通過第三層交換模塊。 如果不定義 VLAN，一個基于多層交換技術(shù)的網(wǎng)將是一個單獨(dú)的、龐大的廣播域。一些局域網(wǎng)交換機(jī)采用智能廣播控制技術(shù)來解決這個問題。 現(xiàn)在讓我們看一下實(shí)踐中是如何將多層次交換技術(shù)與 VLAN 技術(shù)相結(jié)合的。我們要做的就是決定哪一個多層交換機(jī)上的哪一個端口屬于哪一個 IP 子網(wǎng)。當(dāng)我們連接一個局域網(wǎng)網(wǎng)段到一個多層交換機(jī)上時，主要目的是想通過把網(wǎng)段分成若干個更小的網(wǎng)段來提高性能，那么 就會有一定數(shù)量的屬于同一子網(wǎng)的端口連接在同一個多層交換機(jī)上。所有這些工作只需要經(jīng)過網(wǎng)絡(luò)管理控制平臺的操作即可。因?yàn)橛脩舨煌ㄟ^第三層交換設(shè)備，就不可能訪問與它們不在同一個 VLAN 上的資源，同時也涉及到了廣播問題 ，這是由于劃分后的廣播域要小于我們采用傳統(tǒng)路由器連接共享的網(wǎng)段所形成的廣播域。再在內(nèi)網(wǎng)中，基于業(yè)務(wù)的對網(wǎng)絡(luò)用戶進(jìn)行分類，相關(guān)的用戶分在同 1個 Vlan 中，便于他們進(jìn)行溝通，與業(yè)務(wù)無關(guān)的用戶則無法與該 Vlan 成員進(jìn)行通信，除非通過第 3 層路由。 防防 火火 墻墻 技技 術(shù)術(shù) 防火墻技術(shù)是建立在現(xiàn)代網(wǎng)絡(luò)通信技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)內(nèi)部網(wǎng)絡(luò)的安全策略（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，并且其自身具有較強(qiáng)的抗攻擊能力。 物物 理理 隔隔 離離 技技 術(shù)術(shù) 根據(jù)國家相關(guān)規(guī)定，辦公業(yè)務(wù)網(wǎng)絡(luò)需要內(nèi)、外網(wǎng)物理隔離?？梢砸慌_電腦，配上 2 塊網(wǎng)卡，可在內(nèi)、外網(wǎng)中分別工作，而且不僅能互相隔離，還能實(shí)現(xiàn)安全的數(shù)據(jù)交換。外網(wǎng)區(qū)分區(qū)和內(nèi)網(wǎng)分區(qū)中分別裝有不同的操作系統(tǒng)，分別連接內(nèi)部和外部兩個網(wǎng)絡(luò)，并且彼此獨(dú)立、相互隔離、互不影響。在啟用外網(wǎng)時，操作系統(tǒng)對于數(shù)據(jù)交換區(qū)是可以任 意地讀寫，我們就可以把外網(wǎng)的數(shù)據(jù)（如從 Inter 上下載下來有用的資料或應(yīng)用程序）復(fù)制到數(shù)據(jù)交換區(qū)中。由于內(nèi)網(wǎng)時數(shù)據(jù)交換區(qū)是只讀的，因此數(shù)據(jù)只能夠從外網(wǎng)導(dǎo)入到內(nèi)網(wǎng)中，而內(nèi)網(wǎng)中的保密數(shù)據(jù)是絕對不可能通過這個通道傳 到外網(wǎng)中去。 在外網(wǎng)時，操作系統(tǒng)對于數(shù)據(jù)交換區(qū)是可以任意地讀寫，我們就可以把外網(wǎng)的數(shù)據(jù)（如從 Inter 上下載下來有用的資料或應(yīng)用程序）復(fù)制到數(shù)據(jù)交換區(qū)中。所以，最好的方法是在內(nèi)網(wǎng)及外網(wǎng)的操作系統(tǒng)上都安裝有殺毒軟件，并且及時升級病毒庫，對進(jìn)出的所有程序進(jìn)行檢查。 第 27 頁 如果用戶是經(jīng)常要把內(nèi)網(wǎng)的一些信息往 Inter 上發(fā)放，而并不需要從 Inter 上下載數(shù)據(jù)到內(nèi)部網(wǎng)絡(luò)，用戶可以把數(shù)據(jù)交換區(qū)設(shè)置成一個單 向流出的通道（內(nèi)網(wǎng)：可讀寫；外網(wǎng)：只讀），這樣就可以把內(nèi)網(wǎng)的數(shù)據(jù)往 Inter 上發(fā)放，而外網(wǎng)的黑客和病毒卻無法對內(nèi)網(wǎng)造成任何的威脅。不過這種方式并不建議使用，因?yàn)樵谶@種方式下，如果處理的不好的話就有可能被黑客入侵或受到病毒的感染。 由上面的分析可知，只要我們正確地配置，就可以充份地利用單硬盤物理隔離卡數(shù)據(jù)交換這一獨(dú)特的功能，使我們在保持內(nèi)外網(wǎng)物理隔離的同時，也可以安全地、便利地交換數(shù)據(jù)。 VPN 的支持多種通信模式，包括模擬撥號、 ISDN、專線， Data over Cable（電纜傳輸數(shù)據(jù)）或 xDSL 等。典型的， VPN 定義的安全技術(shù)包括加密和鑒別，同時使用 IP 隧道封裝保密的數(shù)據(jù)。 安安 全全 檢檢 測測 和和 實(shí)實(shí) 時時 監(jiān)監(jiān) 控控 技技 術(shù)術(shù) 由于網(wǎng)絡(luò)入侵活動與日俱增，無論是政府、還是企業(yè)都對它們所依賴的信息網(wǎng)絡(luò)的安全性極為關(guān)注。網(wǎng)絡(luò)入侵是一種無形戰(zhàn)線上沒有硝煙的戰(zhàn)斗，入侵者可能來自世界的任何一個角落，也可能來自系統(tǒng)內(nèi)部。更另人擔(dān)憂的是這些通 過網(wǎng)絡(luò)進(jìn)行的入侵活動很難被發(fā)現(xiàn)，第 28 頁 甚至在系統(tǒng)被入侵者控制后系統(tǒng)管理人員還沒有發(fā)覺。網(wǎng)絡(luò)監(jiān)測預(yù)警系統(tǒng)就是實(shí)現(xiàn)上述目標(biāo)的有效工具。近年來，網(wǎng)絡(luò)安全監(jiān)測預(yù)警系統(tǒng)領(lǐng)域發(fā)展很快，因?yàn)樗抢^防火墻等網(wǎng)絡(luò)安全產(chǎn)品之后作為提高信息網(wǎng)絡(luò)安全性的一個新的、重要的發(fā)展熱點(diǎn)，越來越 多的重要信息網(wǎng)絡(luò)系統(tǒng)上都安裝了安全監(jiān)測預(yù)警系統(tǒng)，用于對付愈演愈烈的網(wǎng)絡(luò)黑客攻擊和各種計算機(jī)犯罪。 網(wǎng)網(wǎng) 絡(luò)絡(luò) 防防 病病 毒毒 技技 術(shù)術(shù) 由于在網(wǎng)絡(luò)環(huán)境下，計算機(jī)病毒有不可估量的威脅性和破壞力，因此計算機(jī)病毒的防范是網(wǎng)絡(luò)安全性建設(shè)中重要的一環(huán)。 網(wǎng)絡(luò)反病毒技術(shù)包括預(yù)防病毒、檢測病毒和消毒三種技術(shù)： 預(yù)防病毒技術(shù)：它通過自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲得系統(tǒng)的控制權(quán)，監(jiān)視和判斷系統(tǒng)中是否有病毒存在，進(jìn)而阻止計算機(jī)病毒進(jìn)入計算機(jī)系統(tǒng)和對系統(tǒng)進(jìn)行破壞。 檢測病毒技術(shù)：它是通過對計算機(jī)病毒的特征來進(jìn)行判斷的技術(shù)，如自身校驗(yàn)、關(guān)鍵字、文件長度的變化等。 網(wǎng)絡(luò)反病毒技術(shù)的具體實(shí)現(xiàn)方法包括對網(wǎng)絡(luò)服務(wù)器中的文件進(jìn)行頻繁地掃描和監(jiān)測；在工作站上用防病毒引擎和對網(wǎng)絡(luò)目錄及文 件設(shè)置訪問權(quán)限等。也就是說，整個網(wǎng)絡(luò)的防病毒體系是建立在每個局域網(wǎng)的防病毒系統(tǒng)上的。從總部到分支機(jī)構(gòu)，由上到下，各個局域網(wǎng)的防病毒系統(tǒng)相結(jié)合，最終形成一個立體的、完整的網(wǎng)絡(luò)病毒防護(hù)體系，如下圖示。網(wǎng)絡(luò)各層次的防病毒產(chǎn)品均可以通過中心實(shí)現(xiàn)統(tǒng)一集中的管理，如防病毒軟件的安裝、維護(hù)、病毒定義碼和掃描引擎的更新升 級、網(wǎng)絡(luò)防病毒策略的配置、報警的集中管理、定時調(diào)度、隔離、實(shí)時掃描和監(jiān)控等。 。 對網(wǎng)絡(luò)設(shè)備的保護(hù) 攻擊者對網(wǎng)絡(luò)設(shè)備的攻擊主要從以下三個方面，即對管理界面 (如 Console, Tel, SNMP) 的攻擊、對數(shù)據(jù)界面的過載攻擊、對處理器的過載攻擊。非特權(quán)存取允許用戶監(jiān)控設(shè)備的狀態(tài)，特權(quán)存取允許用戶對設(shè)備進(jìn)行配置。在一些情況下，僅設(shè)置 login and enable 口令不能夠提供足夠的安全。通過設(shè)立 mand exectimeout mm ss 改變 login timeout的缺省時間 10min 為 60sec。 加強(qiáng)對設(shè)備口令的管理提高網(wǎng)絡(luò)系統(tǒng)的安全性 通過在每臺設(shè)備上建立本地的用戶身份認(rèn)證數(shù)據(jù)庫來對登陸設(shè)備的用戶進(jìn)行認(rèn)證。 AAA 使用戶安全控制的各個方面，包括對資源的訪問，可以在一個集中控制下的地方進(jìn)行定義。 TACACS+是通過 AAA 來實(shí)施的，并且通過 AAA 命令來使用。不允許通過 AUX 訪問網(wǎng)絡(luò)設(shè)備。 對網(wǎng)絡(luò)設(shè)備的 SNMP 進(jìn)行有限制性的訪問 在網(wǎng)絡(luò)中設(shè)置專用網(wǎng)管工作站。 對交換 機(jī)進(jìn)行有限制性的訪問 IP Permit list 可以阻止未經(jīng)授權(quán)的源地址通過 Tel 和 SNMP 的 inbound traffic訪問交換機(jī)。 Outbound Tel、 Trivial File Transfer Protocol (TFTP)和其它的基于 IP 的服務(wù)不受 IP permit 。 針對資源掠奪性攻擊的策略 在 TCP/IP 協(xié)議中，攻擊者對四種服務(wù)都可以進(jìn)行掠奪性攻擊，即 Echo(7)、 Discard(9)、Daytime(13)、 Chargen(19)。另外還有一種應(yīng)用Finger(TCP 和 UDP 79)，攻擊者可以利用 Finger發(fā)現(xiàn)某個用戶在某個時刻登錄到網(wǎng)絡(luò)設(shè)備，網(wǎng)絡(luò)設(shè)備中也要關(guān)掉這種服務(wù)。美國已在多年以前已經(jīng)把 PKI 技術(shù)應(yīng)用于信息安全領(lǐng)域，相關(guān)的法律法規(guī)也對 PKI 技術(shù)進(jìn)行了認(rèn)可（數(shù)字簽名具有法律效力），并建立了多家具有權(quán)威的 CA（ Certification Authority）認(rèn)證機(jī)構(gòu)，使用 CA 證書系統(tǒng)行到廣泛的應(yīng)用?？上驳氖墙鼛啄陙恚瑹o論是從國家信息安全的領(lǐng)導(dǎo)機(jī)構(gòu)還是到從事信息安全技術(shù)的開發(fā)者，都已經(jīng)充分認(rèn)識到PKI 系統(tǒng)對信息安全的重要性，已有不少國家級部委建立了 CA 系統(tǒng)為基礎(chǔ)的安全設(shè)施。用私鑰對數(shù)據(jù)進(jìn)行加密，用公鑰驗(yàn)證簽名，可以保證數(shù)據(jù)的完整性并且防止抵賴。在應(yīng)用系統(tǒng)中利用證書對用戶進(jìn)行身份認(rèn)證，以實(shí)現(xiàn)用戶名、口令方式無法比擬的安全強(qiáng)度，在此基礎(chǔ)上實(shí)現(xiàn)的訪問控制也具有高可靠性。 安安 全全 管管 理理 體體 系系 包括以下方面內(nèi)容： 應(yīng)完善制度并加強(qiáng)人員培訓(xùn)教育； 人員安全管理：包括安全審查、崗位安全考慮、安全培訓(xùn)制度、安全保密契約管理、離崗人員的安全管理制度等 文檔管理制度：各種文檔（電子和書面）必須有清晰的密級劃分，妥善管理。 設(shè)備選購、使用和維護(hù)制度：設(shè)備的選型、購置、檢測、安裝、使用、保管、維護(hù)等環(huán)節(jié)必須有明 確的規(guī)章制度作指導(dǎo)。 應(yīng)急措施管理：制定緊急案例并制定應(yīng)急實(shí)施計劃。 第 32 頁 最后要說的是，最重要的還是人的因素。 在 培訓(xùn)用戶 時，應(yīng)該加強(qiáng) 用戶 的法制教育和德育教育，讓 網(wǎng)絡(luò)用戶 了解我國在計算機(jī)應(yīng)用方面的相應(yīng)法規(guī)，做一個遵紀(jì)守法的好 公民 。 后臺數(shù)據(jù)庫通常屬于核心區(qū)域設(shè)計，將來升級、擴(kuò)展、遷移工作量大、易造成對業(yè)務(wù)影響，我們建議采用高性能的服務(wù)器作為數(shù)據(jù)庫服務(wù)器，比如中高端的 UNIX 服務(wù)器，做后臺業(yè)務(wù)數(shù)據(jù)處理，設(shè)計數(shù)據(jù)庫服務(wù)器性能需求的時候盡可能提高，以延長業(yè)務(wù)后臺的使用周期。從而可以保證系統(tǒng)的高可靠性、穩(wěn)定性，保障數(shù)據(jù)庫業(yè)務(wù)連續(xù)可用。 Node A 和 node B 都是資源組 a 的成員，該資源組 a 被設(shè)置成 node A 對其擁有最高優(yōu)先級。如果 node B 發(fā)生任何故障，不會發(fā)生任何事件。 應(yīng)應(yīng) 用用 服服 務(wù)務(wù) 器器 系系 統(tǒng)統(tǒng) 由 XXX 電子政務(wù)業(yè)務(wù)架構(gòu)可以看到，應(yīng)用服務(wù)器處在中間層次，無論 XXX 電子政務(wù)業(yè)務(wù)邏輯架構(gòu)采用 JAVA 還是 .Net，都意味著應(yīng)用服務(wù)器是 XXX 電子政務(wù)信息業(yè)務(wù)邏輯處理和數(shù)據(jù)展示的樞紐，其重要性可想而知。 硬件服務(wù)器系統(tǒng)可以采用普通的 UNIX 服務(wù)器也可以是 PC 服務(wù)器，運(yùn)行方式建議采用單機(jī)或集群的方式。顯然，集群中的應(yīng)用服務(wù)器越多，業(yè)務(wù)系統(tǒng)癱瘓的機(jī)率就越小，這需要我們確定集群中服務(wù)器的最佳數(shù)量。按照全區(qū)每天處理 1 萬筆業(yè)務(wù)估算，目前部署 2~3 臺應(yīng)用服務(wù)器就可以滿足目前及今后 2~3年的業(yè)務(wù)處理要求，在更遠(yuǎn)的將來，如果業(yè)務(wù)持續(xù)高速增長，可以往集 群里面增添應(yīng)用服務(wù)器來解決這些問題。 總之，對比數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器而言，其他的服務(wù)器處于相對的邊緣層，通過服務(wù)器橫向擴(kuò)展相對于數(shù)據(jù)庫服務(wù)器較容易得到計算能力、 I/O、容量的提升，因此選擇服務(wù)器硬件平臺的時候，我們會盡量按照用戶當(dāng) 前和未來一段時間內(nèi)的需求進(jìn)行規(guī)劃，而不至于造成太大的浪費(fèi)和性能閑置。在信息化日新月異的時代，為了提高企業(yè)的市場競爭力，充分利用、挖掘和開發(fā)企業(yè)的信息資源 來為政府的政務(wù) 永續(xù)發(fā)展提