网络安全技术建议书.doc

网络安全技术建议书综述建设背景广电总局部网承载着广电总局各部门间日常工作的公文流转、审批等一系列办公自动化系统。目前,该网络与广电总局外部网络采取完全的物理隔离。随着广电总局部网络功能和业务的发展需求,网络安全作为信息化建设中必不可少的一项工作,以逐渐提现出其重要性。首先,在广电总局部网络的日常运维过程中,出现了一定的安全问题。其次,随着信息化工作的开展,广电总局直属机关与总局部网络的互联互通将对网络安全提出新的要求。所以,为了保障广电总局网络系统资源的安全和稳定运行,迫切需要建立一个统一的安全防护体系,从而为广电总局及各直属机关提供高质量的信息服务。本次项目主要是针对广电总局部的安全提出解决方案,涉及防火墙系统、安全审计系统、网络型入侵检测系统、日志分析系统、防病毒体系、OA业务安全防护系统、安全管理、系统安全增强及性能优化以及未来与广电总局直属机关互联互通时的安全相关技术和建议。网络现状及安全需求广电总局部网络的网拓扑结构可以用下图表示:广电总局广域网拓扑SUNE3500:两台。OA系统主服务器,采用双机备份。SUNA5100:磁盘阵列E250:两台。一台为网DNS,finity4000:两台。ULTRA10:网网管服务器部网络结构由两台CISCO6509承担网核心交换工作。该交换机上划分VLAN。隔离不同业务系统及不同部门间子网。网业务主机直接接入到6509上。14台2926及2台3548通过千兆上联到6509。提供对各部门日常办公桌面机的接入。直观看来,此网络已经具有了一定的安全性,实施了完全的物理隔离措施。但是,仔细分析我们可以看出,这个网络仍然存在很多安全隐患。虽然划分了VLAN,但是VLAN只起到了隔离广播信息的功能。对于网中对重要服务器的访问和各部门间的互访缺乏实际的访问控制。重要业务主机(服务机)与员工自用桌面机处于同一逻辑层。缺乏安全等级的划分,服务器与员工桌面机间无安全等级差别或隔离手段,如果某部门工作PC机被安装了木马,就完全可能被利用成为恶意攻击的跳板从而对核心服务器或其他部门的主机发起攻击,达到隐藏真正破坏者的功能。重要网络设备、重要服务器及业务系统如OA系统的身份认证技术未采用加密机制,用户密码以明码方式在网络上传播。如果恶意用户在网络中安装网络分析软件,可截获用户密码,冒充正常用户身份进行破坏活动。部网络缺乏统一的病毒防护、查杀及隔离措施,一旦某台用户主机感染病毒,会在短时间造成病毒在广电部网络中的广泛传播。未来各直属机关的远程接入也有可能成为攻击发起的来源,需要实施隔离。目前广电外网安全只单纯依赖被动型的安全手段如防火墙,而缺乏主动发现型的安全手段,比如安全漏洞审计系统、入侵检测系统等。无法防患于未然。缺乏对攻击的监测和记录手段,比如入侵检测系统、日志服务器等,无法有效的发现安全事件,也没有举证手段。由于存在众多安全问题,所以迫切需要建立一个统一的安全防护体系,保障广电总局部网络系统资源的安全和稳定运行,从而为广电总局各部门、各直属机关提供高质量的信息服务。以下我们将从网络结构安全结构、网络安全技术、防病毒体系及安全管理等几个方面阐述我们的安全建议。安全设计原则整体性原则安全作为一个特殊的技术领域,有着自己的特点。安全问题必须遵从整体性原则,网络中的任何一个漏洞或隐患都可能造成整网的安全水平的降低。网络安全系统应该包括三种机制:安全防护机制;安全监测机制;安全恢复机制。安全防护机制是根据具体系统存在的各种安全漏洞和安全威胁采取相应的防护措施,避免非法攻击的进行;安全监测机制是监测系统的运行情况,及时发现和制止对系统进行的各种攻击;安全恢复机制是在安全防护机制失效的情况下,进行应急处理和尽量、及时地恢复信息,减少攻击的破坏程度由于业务的重要性及安全需求,广电总局部网络业务系统目前相对简单。但是,随着信息化发展的需求,处于严格控管下的互联互通将是网络发展的趋势。因此在本次设计中,我们从全网角度出发,关注广电信息化建设的目标,各广电各业务系统安全,根据各业务系统特点提出从防护->检测->回复的完整的解决方案,而不是治标不治本。集中性原则安全重在管理,所谓“三分技术,七分管理”阐述了安全的本质。而安全管理重在集中。广电总局的设备和主机类型较多,业务系统涵盖广电各个部门及相关机构,业务模式相对复杂且管理机构和管理模式也千差万别。在全网安全方案的设计中,无论是安全管理制度的制定和施行,或是安全产品的选型和实施,还是长期安全服务方案的制定,我们都将根据集中性原则,目标是实现对各设备和业务系统的集中安全管理以及安全事件发生后的集中响应,这些都将依赖于管理制度统一的、集中的制定和施行。层次性原则在广电总局部网络安全方案设计中,无论具体的软硬件部署,还是管理制度的制定,我们都遵循层次性原则。安全问题的层次性原则集