安全生产_博物馆信息安全设计方案培训资料

博物馆信息安全设计方案北京易凯信息技术有限公司2015年5月19日我们总羡慕别人的幸福，却常常忽略自己生活中的美好。其实，幸福很平凡也很简单，它就藏在看似琐碎的生活中。幸福的人，并非拿到了世界上最好的东西，而是珍惜了生命中的点点滴滴，用感恩的心态看待生活，用乐观的态度闯过磨难。目 录第1章 概述11.1 项目背景11.2 项目目标11.3 建设的必要性和可行性1第2章 现状分析22.1 办公内网网络现状22.2 互联外网网络现状2第3章 需求分析3第4章 信息安全总体方案设计44.1 设计原则44.2 设计依据54.2.1 政策文件54.2.2 基础类标准54.3 总体系统结构设计6第5章 信息安全详细建设方案85.1 办公内网信息安全保护设计95.1.1 安全区域划分与结构优化95.1.2 网络边界防护及访问控制125.1.3 网络安全审计系统135.1.4 入侵防御系统155.1.5 病毒恶意代码防范165.1.6 运维堡垒主机系统185.1.7 数据库审计系统195.1.8 漏洞扫描系统205.1.9 安全运营管理平台215.2 互联外网信息安全保护设计235.2.1 安全区域划分与结构优化235.2.2 网络边界防护及访问控制265.2.3 网络安全审计系统275.2.4 入侵防御系统295.2.5 病毒恶意代码防范305.2.6 运维堡垒主机系统325.2.7 上网行为管理系统335.2.8 漏洞扫描系统345.2.9 安全运营管理平台35第1章 概述1.1 项目背景1.2 项目目标1.3 建设的必要性和可行性第2章 现状分析2.1 办公内网网络现状2.2 互联外网网络现状第3章 需求分析第4章 信息安全总体方案设计4.1 设计原则本方案设计遵循以下设计原则：u 体系化的设计原则系统设计应充分考虑到各个层面的安全风险，构建完整的安全防护体系，充分保证系统的安全性。同时，应确保方案中使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性。u 产品的先进性原则信息系统的安全保障体系建设意义深远，对所需的各类安全产品提出了很高的要求。必须认真考虑各安全产品的技术水平、合理性、先进性、安全性和稳定性等特点，共同打好工程的技术基础。u 总体规划、分步建设原则信息系统安全保障体系的建设是一项长期的工程，并非一蹴而就解决所有安全问题。因此，在实际建设过程中要根据实际情况分轻重缓急，分期、分批的进行部署。u 标准化和规范化严格遵循国家有关等级保护的安全法律法规和技术规范要求，对项目的整体建设和实施进行体系化设计，充分体现标准化和规范化。u 技术的先进性和成熟性在设计理念、技术体系、产品选型等方面实现安全体系先进性和成熟性的统一。采用国内先进实用的安全技术和安全产品，选择目前和未来一定时期内有代表性和先进性的成熟安全技术，既保证当前系统的高安全可靠，又满足系统在生命周期内有持续的可维护和可扩展性。u 安全性原则安全管理体系建设是信息安全建设中重点建设内容之一，严格遵循国家有关信息系统安全保密政策、标准和规范，使信息系统在网络、应用、数据等多层面实现有力的安全保障。u 一致性原则在信息系统现状的基础上，通过体系化设计满足项目建设的功能和性能、安全可靠性、灵活性、开放性等系统建设目标，保证系统从需求到设计，设计到建设实施，建设实施到运行管理的可追溯性、可验证性。u 经济性原则在本项目方案设计过程中，充分利用现有资源，在可用性的前提条件下充分保证系统建设的经济性，提高投资效率，避免重复建设。4.2 设计依据本次建设中，各项工作及产出指标以下列政策文件和规范为准。4.2.1 政策文件n 信息系统等级保护安全设计技术要求（GB/T2010-25070）n 信息安全等级保护管理办法公通字200743号n 国家电子政务工程建设项目管理暂行办法发展改革委令200755号n 国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）n 信息安全等级保护工作的实施意见公通字200466号n 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知公信安2010303号n 关于开展信息安全等级保护安全建设整改工作的指导意见公信安20091429号4.2.2 基础类标准n 计算机信息系统安全保护等级划分准则（GB17859-1999） n 信息系统安全等级保护基本要求（GB/T22239-2008）4.3 总体系统结构设计信息系统总体网络结构设计图如下：图 41总体系统架构设计图第5章 信息安全详细建设方案安全技术体系设计的主要目的是以等级保护的防护要求为依据，在充分利用现有网络和安全设备的基础上，采购必要的安全产品，实现业务分域保护、优化网络结构和建立健全安全防御机制。5.1 办公内网信息安全保护设计5.1.1 安全区域划分与结构优化不同业务系统之间缺少明确的边界，不利于根据业务重要性采取不同等级的安全防护措施。通过进行安全域划分，实现有效的访问控制机制，对于来自不同“业务区”的安全威胁进行安全隔离。.1 安全区域划分与结构优化设计结合系统面临的风险、保护等级并综合业务访问数据流向，将办公内网划分为安全接入区、核心区、数据区、对外服务器区、对内服务器区、藏品区、办公区、无线区、票务区、触摸屏区、触摸屏展示区、微信展示区、北京音乐区和展陈区和安全管理区安全域。各安全域的描述如下：n 安全接入区：提供办公内网到互联外网的安全接入。n 对内服务器区：承载办公内网各大重要业务系统。n 对外服务器区：对外提供数字图书馆、票务、微信等服务。n 数据域：承载各大重要业务系统的数据库服务器。n 安全管理域：主要承载的是安全管理相关的系统或设备，包括漏洞扫描、堡垒主机、防病毒和安全运营管理平台服务器等。n 核心域：承载核心交换机，实现各区域间的数据快速交换功能。n 品藏区：各种重要品藏服务器及终端。n 办公区：内部办公终端及服务器。n 无线区：用户无线上网接入。n 票务区、触摸屏区、触摸屏展示区、微信展示区、北京音乐区和展陈区：对外操作终端。.2 安全区域划分结构图办公内网系统整体网络结构调整后如下图所示图 51整体网络系统结构图5.1.2 网络边界防护及访问控制 按照分域分级保护思路，根据信息系统等级保护级别，结合各防护对象的不同安全防护需求划分安全域，各安全域之间通过部署防火墙和网络设备的访问控制列表，实现安全域之间的安全隔离和访问控制。各安全域的访问控制策略，通过在各区域的边界防火墙和交换机上设置访问控制策略，只允许特定授权的终端用户访问该安全域；通过在数据交换系统（网闸）上进行策略设置，控制办公内网和互联外网间的数据单向传输。.1 办公内网边界防护及访问控制设计办公内网边界防护如下：1. 在办公内网和互联外网间安全接入区部署2台单向网闸，只允许数据从特定服务器单向向外联单位访问服务器推送数据，反之则拒绝，部署2台防病毒网关实现对两网间的病毒防护；2台网闸采用双机热备的方式部署，提高核心链路的可靠性；2. 在藏品区边界部署2台防火墙，启用单向访问控制策略， 2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；3. 在数据域边界部署2台防火墙，2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；4. 在对内和对外服务器区边界各部署2台防火墙， 2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；5. 在无线区、办公区、票务区、触摸屏区、触摸屏展示区与核心区间部署2台防火墙，实现对各区域的边界划分与防护；6. 在微信展示区、北京音乐区和展陈区与核心区间部署2台防火墙，实现对各区域的边界划分与防护。.2 边界防护系统部署图 52系统边界防护示意图5.1.3 网络安全审计系统结合办公内网整体安全防护需求，对办公内网网络流量和用户行为进行安全审计，防止滥用网络资源和非授权访问。通过网络安全审计系统对网络访问行为进行采集、分析和识别，实时监控网络访问情况，记录网络安全事件，发现安全隐患。.1 网络安全审计系统设计通过部署网络安全审计系统实现对网络访问行为的采集、分析和识别，记录网络安全事件，发现安全隐患。在核心交换机上部署网络安全审计系统引擎，通过在交换机上配置镜像端口的方式将流经交换机上的所有数据映射至网络安全审计系统，网络安全审计系统对抓到的包进行分析、匹配、统计，从而实现网络安全审计，同时在安全管理区部署安全审计管理中心。.2 网络安全审计系统部署图 53网络安全审计系统部署示意图网络安全审计系统执行以下的安全策略：l 对访问应用系统安全域的访问行为进行审计。审计内容主要包括数据传输（FTP协议）、网页浏览（HTTP协议）、电子邮件收发（SMTP、POP3、IMAP协议）、远程登陆（TELNET）、网上邻居（NETBIOS协议）等。l 使用网络安全审计系统记录事件发生的时间、地点、类型、主体和结果（成功或失败），并将所有审计的内容通过SYSLOG发送到部署在安全管理安全域的安全审计服务器上进行汇总和分析。安全审计服务器配有500G以上的存储空间，可确保审计记录能够保存至少六个月。安全运维人员每周对存储空间进行一次检查，当存储空间少于20%时，及时增加存储空间，防止由于存储空间溢出造成审计记录的丢失。l 通过三权分立机制对网络安全审计系统进行严格控制，系统管理员主要负责设备的日常维护，安全管理员主要负责数据分析和报告编制，审计管理员主要负责对系统操作行为的审计和分析，确保任何人均无法单独中断审计进程，无法删除、修改或覆盖审计记录。l 审计管理员每周输出所有审计设备的审计报表，同时对审计报表进行分析，及时发现可疑操作行。5.1.4 入侵防御系统通过在办公内网部署入侵检测系统及时发现各种网络攻击、破坏和异常访问等入侵行为，并在第一时间采取相应的防护手段，如记录证据用于跟踪、恢复、及时响应等。在办公内网核心交换机部署入侵检测系统，通过在核心交换机上配置镜像端口的方式将流经核心交换机上的所有数据映射至入侵检测系统。.1 入侵检测系统设计办公内网入侵检测系统安全策略如下：l 网络行为检测：使用细粒度检测技术、协议分析技术、误用检测技术、协议异常检测等技术，对基于TCP/IP的各种网络行为进行实时检测，有效防止各种攻击和欺骗。l 蠕虫检测：实时跟踪当前最新的蠕虫事件，针对当前已经发现的蠕虫及时的提供相关的事件规则。存在漏洞但是还未发现相关蠕虫事件的，通过分析其相关漏洞提供相关的入侵事件规则，最大限度地解决网络蠕虫发现滞后问题。l 监控管理：通过入侵检测系统提供的控制台，监控入侵检测系统收集的数据，并将这些数据进行分析，生成便于理解的报表，供安全管理人员使用。l 异常报警：入侵检测系统在发现入侵行为时可以通过多种方式进行报警，如报警声音、警示、报警邮件等。l 日志记录：对发现的入侵行为进行记录，并妥善保管记录信息。l 入侵检测库升级：入侵检测系统内置的检测库是决定系统检测能力的关键因素，因此每月对入侵检测系统库进行一次升级。由于办公内网内网与互联网完全安全隔离，入侵检测系统无法通过互联网上的厂商升级网站进行在线升级，因此通过运维人员手动升级，确保入侵检测库的完整性和有效性。.2 办公内网入侵检测系统部署部署示意图如下所示：图 54总中心入侵检测部署示意图5.1.5 病毒恶意代码防范在办公内网系统的网络边界处部署防病毒网关，有效的将病毒或木马拒之门外，也能防止已被感染的病毒蔓延。防毒网关工作于OSI七层协议的第七层，专注于恶意代码防范、阻断恶意代码传输、运用分析技术处置恶意代码等。.1 恶意代码防护设计办公内网整体网络结构复杂，涉及众多业务服务器、数据库服务器、计算机终端和各种网络设备，病毒可能带来一定的威胁风险。本方案设计在办公内网与互联外网网络边界安全接入区，部署网络防病毒网关，与部署在主机、服务器上的防病毒软件相联动，形成覆盖全面，分层防护的多级病毒过滤系统。.2 恶意代码防护系统部署具体部署示意图如下：图 55 恶意代码范湖部署示意图防毒墙安全策略如下：l 利用防毒墙专用的防毒硬件系统和强大的防病毒引擎，对进出网络的数据进行病毒高效查杀。l 对HTTP、FTP、SMTP、POP3、IMAP、NETBIOS等的协议进行恶意代码检测。l 对病毒感染进行定位，记录系统实时处理的病毒信息，记录感染的事件、IP、MAC、用户名、协议类型、地址等。l 基于查杀记录制作详尽的病毒检测报表。l 每日通过互联网进行病毒库下载，下载完成后对病毒库进行升级测试，通过刻录光盘的方式将病毒库导入内网，为防毒墙进行病毒库升级，确保恶意代码库的完整性和有效性。5.1.6 运维堡垒主机系统 运维堡垒主机系统设计由于目前系统所使用的主机存在一部分较老的系统，直接修改主机操作系统配置的方式会对应用系统造成一定的安全风险，通过部署运维堡垒主机系统，通过堡垒主机强制限定仅此管理员的IP地址可管理此设备，同时对管理操作进行审计，在应用系统中限定安全管理员身份角色，安全管理员对各系统用户的授权严格管理，在部署的业务系统中创建不同的用户群组，限定最小权限。堡垒主机的身份鉴别策略如下：l 对登录堡垒主机的所有账户设置复杂口令，最小长度设置8位，口令中同时包含数字、字母和特殊字符，区分大小写。l 设置最大登录失败次数为3次，失败登录3次后锁定5分钟内再次登录。l 在堡垒主机中启用HTTPS的方式进行数据传输、并使身份鉴别信息以加密的方式进行传输。 运维堡垒主机部署在安全管理区，部署1台堡垒主机，具体部署如下图所示：图 56运维审计部署示意图5.1.7 数据库审计系统 数据库系统安全审计设计在办公内网总中心数据域交换机上部署数据库安全审计系统，对数据库管理系统的访问和操作行为进行细粒度安全审计。数据库安全审计策略如下：l 在内网应用汇聚层交换机和隔离设备外部的核心交换机上配置镜像端口，收集网络中数据流量。l 审计记录源IP地址、操作时间、操作对象（数据库用户、表、字段）、SQL命令等内容。l 通过筛选重要事件和风险事件查找所关心的审计记录。l 记录事件发生的时间、地点、类型、主体和结果（成功或失败），并将所有审计的内容发送至部署在安全管理安全域的数据库审计管理服务器上进行汇总和分析。数据库审计管理服务器配有1TB以上的存储空间，确保审计记录能够保存至少六个月。安全运维人员每周对数据库审计管理服务器的存储空间进行检查，当存储空间小于20%时，立即增加存储空间，防止由于存储空间溢出造成审计记录丢失。 数据库安全审计系统部署数据库安全审计系统部署示意图如下：图 57数据库安全审计系统部署示意图5.1.8 漏洞扫描系统 漏洞扫描系统设计为了更好地保护主机的安全，减少主机被入侵的风险，通过漏洞扫描系统对服务器操作系统和数据库管理系统定期进行扫描，根据漏洞扫描系统的检测报告，分析系统的安全漏洞，并采取防护措施。安全运维人员每月对漏洞扫描系统进行漏洞库升级，确保系统可及时发现最新的系统漏洞。 漏洞扫描系统部署办公内网总中心漏洞扫描系统部署示意图如下：图 58 漏洞扫描系统部署示意图 5.1.9 安全运营管理平台在安全管理中心部署安全运营管理平台，提供对安全设备、服务器、网络设备等各种硬件性能的监控功能，及对服务器操作系统、应用中间件、数据库、网络设备等进行配置基线分析，提供安全预警功能，提供资产管理、知识库管理和控制展示等功能。 安全运营管理平台设计本方案中在办公内网部署安全运营平台，其定位为业务系统运行状态和运行信息汇集枢纽、安全风险统一集中分析和管理平台、安全事件处置响应和指挥调度的基础支撑平台。信息安全运营平台能够实现由零散安全产品到信息保障体系的转变。它除了包含技术以外，还有两个重要的组成部分：人（维护人员、应急小组）和操作过程（相应的管理制度和事件处理流程），体现了信息保障所强调的人、技术、操作这三个核心原则。因此它不仅是技术手段上的快速提升，实现对重要信息系统的安全预警。安全管理平台将全面提升系统的管理能力，具体包括：l 集中管理海量安全事件建设安全管理平台，可以实现对以往基于“点”的安全建设进行全面整合和综合管理，解决安全建设的零散性，进行跨产品、跨平台的安全信息的统一收集和处理，对多种数据进行相互沟通和关联，从海量安全事件中提取真正有效的数据，并提供智能化分析手段发现更深层次的安全问题，解决已往安全管理分散、管理成本高等问题对安全管理所造成的瓶颈问题。l 构筑基于资产业务的风险管理体系建设安全管理平台，改变以往以安全事件和单个资产为视角的传统模式，结合平台的业务属性，使得用户的系统管理人员能够直观清晰全面的认识到业务是否面临着风险、所产生风险的严重程度如何，该如何进行风险相关的处理工作，以及业务风险在未来的发展趋势和防范手段。l 形成统一的安全体系建设安全管理平台，可以为用户建立起一套完善的安全体系。利用安全管理平台，可以进行安全意识宣讲、相关法律制度普及、安全技术培训、安全知识共享，从而提高用户各个层面人员整体的安全意识和安全水平。l 具备完善的风险响应控制能力建设安全管理平台，可以全面提高对于风险响应的能力。包括发现问题后必须能快速找到解决方法并最快速度进行响应，响应的过程中要求明确响应的责任人、响应办法并反馈响应结果，对响应的整个过程必须有记录和考核；建立一支有经验的响应队伍，这个队伍包括内部人员和外部专家支持；支持自动化的响应和通知手段，降低响应时间，提高响应效率。 安全运营管理平台部署图 59安全运营管理平台部署示意图5.2 互联外网信息安全保护设计5.2.1 安全区域划分与结构优化.1 安全区域划分与结构优化设计结合系统面临的风险、保护等级并综合业务访问数据流向，将互联外网划分为安全接入区、应用服务器区、DMZ区、核心区、汇聚区1、汇聚区2和安全管理区安全域。各安全域的描述如下：n 安全接入区：提供互联网到办公内网数据交换与业务访问。n 应用服务器区：承载各大重要业务系统。n 数据域：承载各大重要业务系统的数据库服务器。n 安全管理域：主要承载的是安全管理相关的系统或设备，包括漏洞扫描、堡垒主机、防病毒系统和安全运营管理平台服务器等。n 核心域：承载核心交换机，实现各区域间的数据快速交换功能。n DMZ区：对外发布信息服务器。n 汇聚区1：提供A2、B1、F2等竖井接入；n 汇聚区2：提供A1、C1、G2等竖井接入；.2 安全区域划分结构图互联外网系统整体网络结构调整后如下图所示图 510整体网络系统结构图5.2.2 网络边界防护及访问控制 按照分域分级保护思路，根据信息系统等级保护级别，结合各防护对象的不同安全防护需求划分安全域，各安全域之间通过部署防火墙和网络设备的访问控制列表，实现安全域之间的安全隔离和访问控制。各安全域的访问控制策略，通过在各区域的边界防火墙和交换机上设置访问控制策略，只允许特定授权的终端用户访问该安全域。.1 边界防护及访问控制设计互联外网边界防护如下：1. 在应用服务器区和DMZ区边界共用2台防火墙，实现边界隔离与安全防护，2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；2. 在汇聚区1和汇聚区2边界各部署2台防火墙，2台防火墙采用双机热备的方式部署，提高核心链路的可靠性；.2 边界防护系统部署图 511系统边界防护示意图5.2.3 网络安全审计系统依据等级保护标准要求，结合互联外网整体安全防护需求，对网络流量和用户行为进行安全审计，防止滥用网络资源和非授权访问。通过网络安全审计系统对网络访问行为进行采集、分析和识别，实时监控网络访问情况，记录网络安全事件，发现安全隐患。.1 网络安全审计系统设计通过网络安全审计系统实现对网络访问行为的采集、分析和识别，记录网络安全事件，发现安全隐患。在核心交换机上部署网络安全审计系统引擎，通过在交换机上配置镜像端口的方式将流经交换机上的所有数据映射至网络安全审计系统，网络安全审计系统对抓到的包进行分析、匹配、统计，从而实现网络安全审计，同时在安全管理区部署安全审计管理中心。.2 网络安全审计系统部署图 512网络安全审计系统部署示意图网络安全审计系统执行以下的安全策略：l 对访问应用系统安全域的访问行为进行审计。审计内容主要包括数据传输（FTP协议）、网页浏览（HTTP协议）、电子邮件收发（SMTP、POP3、IMAP协议）、远程登陆（TELNET）、网上邻居（NETBIOS协议）等。l 使用网络安全审计系统记录事件发生的时间、地点、类型、主体和结果（成功或失败），并将所有审计的内容通过SYSLOG发送到部署在安全管理安全域的安全审计服务器上进行汇总和分析。安全审计服务器配有500G以上的存储空间，可确保审计记录能够保存至少六个月。安全运维人员每周对存储空间进行一次检查，当存储空间少于20%时，及时增加存储空间，防止由于存储空间溢出造成审计记录的丢失。l 通过三权分立机制对网络安全审计系统进行严格控制，系统管理员主要负责设备的日常维护，安全管理员主要负责数据分析和报告编制，审计管理员主要负责对系统操作行为的审计和分析，确保任何人均无法单独中断审计进程，无法删除、修改或覆盖审计记录。l 审计管理员每周输出所有审计设备的审计报表，同时对审计报表进行分析，及时发现可疑操作行。5.2.4 入侵防御系统通过部署入侵检测系统及时发现各种网络攻击、破坏和异常访问等入侵行为，并在第一时间采取相应的防护手段，如记录证据用于跟踪、恢复、及时响应等。在核心交换机部署入侵检测系统，通过在核心交换机上配置镜像端口的方式将流经核心交换机上的所有数据映射至入侵检测系统。.1 入侵检测系统设计入侵检测系统安全策略如下：l 网络行为检测：使用细粒度检测技术、协议分析技术、误用检测技术、协议异常检测等技术，对基于TCP/IP的各种网络行为进行实时检测，有效防止各种攻击和欺骗。l 蠕虫检测：实时跟踪当前最新的蠕虫事件，针对当前已经发现的蠕虫及时的提供相关的事件规则。存在漏洞但是还未发现相关蠕虫事件的，通过分析其相关漏洞提供相关的入侵事件规则，最大限度地解决网络蠕虫发现滞后问题。l 监控管理：通过入侵检测系统提供的控制台，监控入侵检测系统收集的数据，并将这些数据进行分析，生成便于理解的报表，供安全管理人员使用。l 异常报警：入侵检测系统在发现入侵行为时可以通过多种方式进行报警，如报警声音、警示、报警邮件等。l 日志记录：对发现的入侵行为进行记录，并妥善保管记录信息。l 入侵检测库升级：入侵检测系统内置的检测库是决定系统检测能力的关键因素，因此每月对入侵检测系统库进行一次升级。由于办公内网内网与互联网完全安全隔离，入侵检测系统无法通过互联网上的厂商升级网站进行在线升级，因此通过运维人员手动升级，确保入侵检测库的完整性和有效性。.2 互联外网入侵检测系统部署部署示意图如下所示：图 513总中心入侵检测部署示意图5.2.5 病毒恶意代码防范在互联网出口边界处部署防病毒网关，有效的将病毒或木马拒之门外，也能防止已被感染的病毒蔓延。防病毒网关工作于OSI七层协议的第七层，专注于恶意代码防范、阻断恶意代码传输、运用分析技术处置恶意代码等。.1 恶意代码防护设计本方案设计在办公内网与互联外网网络边界安全接入区，部署网络防病毒网关，与部署在主机、服务器上的防病毒软件相联动，形成覆盖全面，分层防护的多级病毒过滤系统。.2 恶意代码防护系统部署具体部署示意图如下：图 514 恶意代码范湖部署示意图防病毒网关安全策略如下：l 利用防毒墙专用的防毒硬件系统和强大的防病毒引擎，对进出网络的数据进行病毒高效查杀。l 对HTTP、FTP、SMTP、POP3、IMAP、NETBIOS等的协议进行恶意代码检测。l 对病毒感染进行定位，记录系统实时处理的病毒信息，记录感染的事件、IP、MAC、用户名、协议类型、地址等。l 基于查杀记录制作详尽的病毒检测报表。l 每日通过互联网进行病毒库下载，下载完成后对病毒库进行升级测试，通过刻录光盘的方式将病毒库导入内网，为防毒墙进行病毒库升级，确保恶意代码库的完整性和有效性。5.2.6 运维堡垒主机系统 运维堡垒主机系统设计由于目前应用服务区业务系统所使用的主机存在一部分较老的系统，直接修改主机操作系统配置的方式会对应用系统造成一定的安全风险，通过部署运维堡垒主机系统，通过堡垒主机强制限定仅此管理员的IP地址可管理此设备，同时对管理操作进行审计，在应用系统中限定安全管理员身份角色，安全管理员对各系统用户的授权严格管理，在部署的业务系统中创建不同的用户群组，限定最小权限。堡垒主机的身份鉴别策略如下：l 对登录堡垒主机的所有账户设置复杂口令，最小长度设置8位，口令中同时包含数字、字母和特殊字符，区分大小写。l 设置最大登录失败次数为3次，失败登录3次后锁定5分钟内再次登录。l 在堡垒主机中启用HTTPS的方式进行数据传输、并使身份鉴别信息以加密的方式进行传输。 运维堡垒主机部署在安全管理区，部署1台堡垒主机，具体部署如下图所示：图 515运维审计部署示意图5.2.7 上网行为管理系统在防病毒网关和核心交换机间部署上网行为管理设备，实现对用户操作行为的管控和审计。上网行为管理设备采用双机部署。上网行为管理设备部署如下图所示:上网行为管理系统部署示意图如下：图 516数据库安全审计系统部署示意图5.2.8 漏洞扫描系统 漏洞扫描系统设计为了更好地保护主机的安全，减