XX电信信息安全系统解决方案.doc

贵州电信信息安全系统解决方案的贵州电信信息安全系统解决方案北京绿盟科技有限公司2005年7月目 录1贵州电信安全风险与安全需求分析41.1 安全风险分析41.1.1 系统脆弱性和潜在的危险性分析41.1.2 安全风险评估71.2 安全需求分析81.2.1 信息安全管理体系的建设需求81.2.2 物理与链路层安全需求111.2.3 网络层安全需求111.2.4 主机与系统层安全需求121.2.5 应用层安全需求132贵州电信安全系统总体设计与规划152.1安全系统整体框架设计152.2 总体安全策略172.2.1 技术策略182.2.2 管理策略222.3 统一安全综合管理平台设计232.3.1 需求及现状分析232.3.2 主要问题以及建设必要性242.3.3 系统总体目标262.3.4 安全综合管理平台框架292.3.5 系统主要功能及实施312.4 通信平台安全体系392.4.1 物理安全措施392.4.2 链路传输加密系统设计412.5 网络平台安全体系422.5.1 网络安全优化422.5.2 防火墙子系统设计442.5.3 入侵检测与安全审计系统设计462.6 主机平台安全体系502.6.1 系统安全漏洞扫描与加固子系统设计502.6.2 操作系统安全子系统543 信息安全管理体系563.1 在安全管理的主要内容563.2 安全管理技术平台573.3 安全管理体系583.3.1 安全体系583.3.2 安全组织机构595.3.3 安全管理制度603.4 基于策略的安全管理664安全服务704.1 安全咨询服务704.1.1 安全需求分析704.1.2 安全顾问714.1.3 安全方案设计724.1.4 安全研究与产品测评724.2 安全技术支持服务734.2.1 安全产品实施734.2.2 网络安全日常维护734.2.3 安全信息通告服务744.3 安全评估服务744.3.1 安全评估对象744.3.2 安全评估内容754.4 应急响应服务754.4.1 安全应急响应体系754.4.2 应急响应服务的内容774.5 安全培训服务781贵州电信安全风险与安全需求分析1.1 安全风险分析在贵州电信信息网络系统中，由于在网络技术与协议上的开放性，以及根据我们前面分析的各种在网络使用和管理上、技术上、安全管理等多方面暴露出的问题，使得整个网络存在着各种类型的安全隐患和潜在的危险，黑客及怀有恶意的人员将可能利用这些安全隐患对网络进行攻击，造成严重的后果。因此如何保护重要信息不受黑客和不法分子的入侵，保证贵州电信信息网络系统的可用性、保密性和完整性等安全目标的问题摆在我们面前。1.1.1 系统脆弱性和潜在的危险性分析我们根据贵州电信信息网络系统的实际情况，结合用户的安全现状以及存在的安全问题，对贵州电信网络中潜在的安全威胁与安全隐患进行综合分析与评估，具体分析如下： 1、传输线路信息泄漏：贵州电信行业网是大型的广域网络系统，网络覆盖的范围广，用户数据量大而且采用的都是通用的协议和平台，因此在网络上的信息和数据容易遭到外部人员的窃听，特别是在通过公共通信网传输数据的通道或平台上。2、来自“外部”的入侵：贵州电信行业网是一个有分布式的广域网络，整体比较复杂，同时与internet相连，并向外提供信息发布的服务，具有一定的开放性；而目前没有严格的安全防范措施，因此很容易遭到internet上黑客的攻击。此外，省烟草网络还通过广域网与其它单位（卷烟厂、分市公司等）相连，也存在被下级单位或分支机构攻击的可能性。3、非授权访问：有意避开系统访问控制机制，对系统设备及资源进行非正常使用，擅自扩大权限，越权访问信息。在贵州电信信息网络系统中具体表现在：l 破坏信息的完整性；l 更改信息的内容、形式；l 删除某个消息或消息的某些部分；l 在消息中插入一些信息，让收方读不懂或接收错误的信息。4、冒充合法用户：网上“黑客”非法增加节点，使用假冒主机欺骗合法用户及主机；使用假冒的系统控制程序套取或修改使用权限、口令、密钥等信息，然后，利用这些信息进行登录，从而达到欺骗系统，占用合法用户资源的目的。贵州电信信息网络系统中存在这方面的安全隐患，具体有：l 假冒主机欺骗合法主机及合法用户；l 假冒网络控制程序套取或修改使用权限等信息，越权使用网络设备和资源；l 接管合法用户，欺骗系统，占用合法用户的资源。5、破坏数据的完整性：以非法手段窃得对数据的使用权，删除、修改或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。6、数据篡改与丢失：对于像贵州电信这样的大型企事业单位来说各类业务数据是其最重要的信息资产，随着信息化的发展，信息平台中的数据也成为信息安全所要考虑的重点。现有的许多安全事件证明入侵者的最终目的往往是企业的核心数据，对重要数据的窃取、篡改、破坏，而这些等将对企业开来巨大的损失，因此如何保护企业的核心业务数据的完整性、可靠性、保密性及不可抵赖性是贵州电信信息安全需要考虑的重点。7、破坏系统的可用性：不断对服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，严重影响正常用户的使用。在贵州电信中存在破坏系统可用性的威胁，而且发生的可能比较大，具体表现为：l 使合法用户不能正常访问网络资源；l 使有严格时间要求的服务不能及时得到响应；l 更改信息发布系统发布的内容，造成不良的影响。8、网络病毒问题：在贵州电信信息网络系统中，由于病毒的泛滥，曾对计算机信息网络系统的正常运行造成了很大的影响；特别是近来频繁爆发的各种通过电子邮件、文件共享等传播的网络蠕虫病毒对整个网络的威胁日益增加，如前期爆发的冲击波病毒，严重影响了整个网络系统的正常运行并造成巨大损失。虽然贵州电信信息网络系统中已经部署了防病毒产品，但是由于各种客观原因，病毒问题还是存在，因此网络病毒的威胁绝对不容忽视。9、来自内部人员的威胁：据idc统计，2001年来自于内部人员的安全事件占安全事件总数的70以上。可能是内部员工的计算机与internet相连，其机器遭到黑客的攻击，黑客再利用它作为跳板，攻击重要的服务器；而且来自于内部员工（或者内外勾结）的破坏行为，往往对整个系统的破坏作用将更大。贵州电信信息网络系统中也同样面临来自内部人员的威胁。内部安全威胁包括两个方面：一是内部员工的恶意攻击，由于在网络内部较网络外部更容易直接通过局域网连接到核心服务器等关键设备，尤其是管理员拥有一定的权限可以轻而易举地对内网进行破坏，造成严重后果。另外一方面是由于内部人员的误操作，或者为了贪图方便绕过安全系统等违规的操作从而对网络构成威胁。由此看来，在贵州电信信息网络系统中，网络内部安全更需要引起重视。10、安全管理比较薄弱：随着网络安全事件的频繁发生，各企业开始纷纷加强投入信息安全方面的建设，越来越多的各项安全技术、产品被广泛的使用，但目前许多用户在安全管理方面比较薄弱，而贵州电信信息网络系统中也面临着同样的问题。目前，在贵州电信信息网络安全建设中，在技术上缺乏完善的安全综合管理平台，对所有的安全系统进行统一协调的管理，将它们融合为一个整体；而在管理上缺乏良好的安全管理体制和策略，包括制度的不完善、机构混乱、策略不统一等都需要提高，而这些直接导致了整个安全体系的华而不实，造成网络整体安全防御能力的下降，无法真正达到贵州电信的安全要求和建设目标。综上所述，在贵州电信信息网络系统中，存在针对信息系统可用性、保密性以及完整性的许多安全问题，而造成像贵州电信信息网络系统这样开放系统脆弱性的原因是信息传播的广域性和自身网络协议的开放性、以及安全管理制度等几方面所致。因此，需要从整体上进行充分的、综合的评估分析，确认系统中最迫切需要解决的安全问题，从而为安全体系的规划以及建设提供明确的指导性建议，建设贵州电信信息网络安全系统必须从增强安全意识出发，在系统的设计结构上增强安全功能，同时进行安全技术和安全管理两个层次的建设，逐步完善信息安全体系的建设，全面保障贵州电信信息网络系统的可靠、稳定的运行。下面我们就在贵州电信行业计算机网络与信息安全系统的安全需求的基础上进行整体设计与规划。1.1.2 安全风险评估风险评估就是确认安全风险以及影响大小的过程，一般采用定量以及定性分析方法，确定保护数据的风险等级以及安全措施实施的优先次序。在进行贵州电信安全风险评估过程中，我们综合考虑了如下因素：l 安全事件可能造成的业务损失，包含由于信息和其他资产的保密性、完整性或可用性损失可能造成的后果；l 当前主要的威胁和漏洞带来的现实安全问题，以及目前实施的控制措施；在整个安全风险评估过程中，根据贵州电信信息安全系统所保护的范围进行了全方位的分析。根据上述的安全威胁以及安全隐患的分析，在贵州电信网络信息系统中，各主要威胁的风险评估如下表所示：序号风险与威胁发生的概率危害程度安全目标已有措施1自然灾害和环境事故低中可用性已经采取物理安全措施2信息泄漏低（专网）/中低保密性3网络入侵中中可用性、完整性internet出口处防火墙4非授权访问低高完整性通过系统认证进行控制5冒充合法用户低中保密性、可用性、完整性6口令使用与破解中中保密性7破坏数据完整性中高完整性8数据丢失低高可用性、完整性9网络病毒传播高中可用性部署了病毒防杀系统10恶意代码与后门低高可用性、完整性、保密性11破坏系统可用性低高可用性12安全管理缺陷中高可用性、完整性、保密性建立了部分管理制度13不良的内部人员低高可用性、完整性14人员意识薄弱高中可用性、保密性、完整性从上述安全评估结果来看，目前贵州电信中存在的安全风险影响到贵州电信可用性、完整性以及保密性等的主要安全目标。由于信息安全系统的建设是一个动态的、具有生命周期的系统过程，因此在安全系统建设完成之后，随着技术的发展以及业务的扩展，系统可能会产生新的漏洞、新的安全问题和隐患，因此需要持续不断对系统进行检测、监控以及评估，及时发现系统中存在的新的弱点，并采取相应的技术和管理手段，弥补漏洞、加固系统，进一步完善安全保障体系，使得信息网络安全系统的建设形成一个动态的、良性循环的、系统化的生命周期过程。1.2 安全需求分析安全需求是通过对安全风险的系统评估确定的，我们在进行安全系统建设过程中将充分考虑实施安全控制措施的支出与安全故障可能造成的业务损失进行权衡考虑。安全需求是建立良好的安全体系的前提条件，我们从贵州电信行业网络系统得实际情况出发，根据对用户网络系统脆弱性以及安全威胁的风险评估，结合贵州电信安全系统的总体建设目标，我们把整体的安全需求根据不同的侧重点，从信息安全管理体系、物理与链路层安全、网络层安全、系统层安全、应用层安全等各个层次进行充分的考虑。安全需求涵盖了整个信息系统的每个层次，具有一定的纵深性和涵盖面，其中安全管理部分我们认为是非中重要的一项，因为完善的安全防御体系是以各类安全技术的应用加以安全管理贯穿于始终，才能实现安全系统的良好运作发挥其性能。通过对贵州电信行业网络信息系统中各个层次的安全需求综合分析，才能有的放矢地设计和规划出满足贵州电信安全要求、并贴近贵州电信实际情况的、有效的信息安全保障体系。贵州电信信息安全保障体系各层次的安全需求具体描述如下：1.2.1 信息安全管理体系的建设需求“三分技术，七分管理”说明了管理在整个信息网络安全系统建设过程中的重要性。确实如此，因为在整个安全过程中，不管是安全事件的产生（黑客攻击、病毒代码等）、安全产品的研发、安全系统的规划与实施、安全系统的维护与监管、安全事件的处理等所有与安全相关的内容都是由人在负责和处理，因此需要有一个规范化、系统化的安全管理体系来维系人和技术这两个因素之间的关系。另外，没有绝对安全的信息系统，再优秀的安全产品和安全体系如果没有统一的策略与管理无法提供良好安全防护能力。因此在贵州电信信息网络安全系统建设过程中，明确了安全管理的重要性，整个信息安全系统的建设以安全管理为核心，通过对安全防护技术体系、安全服务体系以及安全人员的统一调控和管理，实现贵州电信全省安全体系架构的建设。贵州电信信息安全管理体系主要由两个方面组成：一个是安全管理技术平台，另一个是安全管理体系的建设，这个两个方面相辅相成，缺一不可；安全管理体系从组织上、策略上、制度上明确人员的职责分工和要求，对安全过程中各工作的内容进行了明确定义和详细的规定；而安全管理技术平台则从技术上实现对全网运行状况监管，实现全网统一管理，同时在技术上监督相关人员在执行安全管理制度方面的情况，因此两者是互为一体的。1、安全管理技术平台为了能够实现对贵州电信全省信息网络系统的安全性进行统一、集中的监管，建立全省安全综合管理平台是十分必要的，统一安全综合管理平台是整个信息安全技术体系的基础平台和核心。在贵州电信信息安全系统建设中，安全管理技术平台要达到如下目标：l 建立全网的安全管理与监控中心。l 对全网所有系统的运行状况进行监控，保障系统运行安全，监控和保护信息处理过程的安全。运行安全保障的目标包括：操作系统、各类安全产品、主要网络设备、主要应用系统等。l 建立省公司、分公司、县（市）公司等三级的、分布式的、多层次的安全管理与监控的网络，实现全网的集中管理。通过各级的安全监控中心，监控数据能够层层分析和汇总，传输到省局的安全监控中心，从而能够观察和控制全省系统的运行状况，及时发现系统的安全隐患，为全省it的决策提供科学的依据。l 安全综合管理平台将把所有其它孤立的安全产品集成到一起，一方面对这些产品提供互相交互的机制，一方面对管理层提供统一的数据汇总；警报和管理的机制。l 建立一个全网的应急响应和反馈机制。对网络外部和内部人员的入侵、越权和误操作等行为进行监控，及时以各种形式，向控制中心发出警报，更重要的是，在紧急情况下，能够依据系统设定的规则，自动的与其它相关产品协同一致，切断非法行为，隔离破坏者，缓解破坏的程度等。l 提供详细的审计和事后日志纪录，并通过对相关历史纪录的数据挖掘和分析，获得有价值的统计、分析报告，并为追查可能发生的安全事件提供证据。2、安全管理体系企业安全策略不可能在一开始就覆盖了所有的安全隐患，也不可能随着企业信息化建设的不断发展而不做任何改变，在安全体系建设完成后，良好的运行维护管理是保障企业信息安全的重要因素。因此，建立贵州电信完善的安全策略、安全规范和管理制度，才能更好的对贵州电信整个安全体系进行控制和管理，也将确保整个系统具有更长的生命周期，并持续高效、稳定地运行。因此，在贵州电信安全管理体系建设过程中，主要包括以下几个部分：l 建立一个专门负责安全管理的组织机构，即贵州电信信息安全管理委员会，来保障整个安全体系的顺利运行。该委员会由来自于技术部门和业务部门的人员构成，并由负责信息安全的领导直接管理。该委员会必须制定整个贵州电信的安全政策和策略以及一系列体现安全政策的安全的规章制度，安全系统的建设规划以及实施，人员的培训，安全系统的监控与维护，安全事故的处理等，都统一由委员会策划、监督执行。l 建立一套完善的、贴近实际情况的贵州电信信息安全管理规范及体制。通过对设备、系统、人员、运行、预警、保障等各个环节的规范化和制度化，并通过技术手段监督、严格贯彻实行，这样才能真正地达到技术与管理的有机统一，提供全网信息安全保障。l 要提高整个企业信息化整体安全水平，安全意识是前提，安全知识与技术是基础，安全队伍建设是保障，安全管理是根本。任何系统不是完美无缺的，它也会带来负面影响，如系统性能的降低，操作步骤增加，维护工作复杂等问题。提高贵州电信全省各级员工从上到下对信息的重视程度，提高全员的安全意识和安全知识是非常实效的安全措施；同时，培养具有专业水准的网络安全管理员也是贵州电信网络安全系统建设成功长久的有力保障。1.2.2 物理与链路层安全需求1、物理安全在现有基础上加强关键贵州电信各级单位网络机房的物理安全保护。建立关键主干机房的监控系统，对关键机房的日常情况进行监控，并将相关视频信息传输至监控中心。2、数据传输链路大量数据通过行业内广域网进行传输，对数据的传输安全应达到安全保密以及完整的要求，并且传输链路应通过备份链路的方式，保证信息传输不受到人为、物理的其它因素影响。1.2.3 网络层安全需求网络层是网络入侵者进攻信息系统的渠道和通路。许多安全问题都集中体现在网络的安全方面，因此在贵州电信信息网络安全系统中，网络平台安全体系的需求主要体现在：l 网络安全优化主要包括根据贵州电信各级单位局域网不同网段的不同功能要求和不同的安全等级，对整个网络体系架构进行相关的安全域划分。并根据不同的安全需求，设立相关访问控制。对现有的网络设备加强安全策略配置如访问控制列表，进行严格的访问控制。l 防火墙防火墙是网络层安全领域最成熟、使用最广泛的技术，用于割断信任网络与不信任网络的有效工具。在贵州电信各级网络中部署防火墙隔离内外网，设置各级安全屏蔽，将全网在网络上分割为相对独立的子网，防止来自外部的非法访问和操作。l 网络入侵检测与安全审计系统建立贵州电信各级单位的网络入侵检测与安全审计系统，及时监测并报告来自外部和网络其它部分的黑客入侵行为，拒绝服务攻击，违规操作等，并能对相关入侵行为进行主动反馈，报警和阻断。l 网络安全监管与故障处理通过建立各级单位的网络管理系统，实现对全网关键网络设备的运行状态、链路的情况进行实时监控与管理，及时发现网络故障情况，并采取相应的响应报警机制，马上通知管理人员进行处理，尽量保障网络的可用性。1.2.4 主机与系统层安全需求主机系统是贵州电信整个应用业务的基础平台，其安全性会影响到全省各项应用业务系统能否正常运营。主机平台安全的主要需求包括，通过相关的技术手段和措施，保障系统内部所有相关主机及操作系统，主流应用软件，客户端系统不受到恶意的攻击和破坏。在贵州安全系统中，主机与系统层安全需求具体包括如下：l 主机系统漏洞扫描与加固采用安全扫描技术，对贵州电信各级单位网络中关键的主机和服务器进行定期漏洞扫描与评估，针对相关的系统漏洞，提出修补的措施，并定期进行相关操作系统的裁剪、修补和加固的工作。l 操作系统安全通过使用主机访问控制等技术措施及手段，对贵州电信信息网络系统中的核心业务主机与服务器系统严格划分、管理、控制用户的权限和行为，增强操作系统的健壮性以及安全性，使操作系统达到更高层次的安全等级。l 网络病毒防杀系统完善贵州电信全省的网络病毒检测与防范系统，及时检测和控制各种文件、宏和其它网络病毒的传播和破坏，具有集中统一的管理界面，系统具有自动升级，自动数据更新，可管理性等特性。l 主机安全监管通过网络安全综合管理，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。l 系统冗余和备份针对贵州电信信息网络系统中关键的主机应用系统，应该建立相应的系统冗余与备份措施，如可通过服务器集群、双机热备等措施，最大程度保障主机系统的可用性，最大程度的保障烟草业务的连续性。1.2.5 应用层安全需求应用平台安全是系统最终保障的目标，数据的保密性、高可靠性和防篡改等特性，以及应用系统对于系统功能和相关数据的严格控制，将成为整个应用和数据安全体系的主要需求。在贵州电信安全系统建设过程中，应用安全需求具体包括：l 建立pki/ca体系，为应用安全提供认证、加密、数字签名、数据完整性等功能和服务。l 要求应用利用授权管理和身份认证的机制，建立安全的应用体系架构。从而能够确保对使用应用系统的用户的辨识和访问控制，例如：领导，机关人员等不同的用户级别和不同级别的验证方式(口令，ic卡，usb卡等)。l 有效地建立信息资源的标记、加密存储和保管机制。考虑应用层对传输数据进行加密。l 建立全省数据备份中心，有效地建立数据的本地在线备份以及异地远程备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。l 通过网络安全综合管理系统，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。从上述贵州电信安全系统的建设需求分析中可以看出，整个系统的建设包含了从安全管理体系、物理与链路安全、网络安全、系统安全以及应用安全等五个方面的要求，结合了从管理到技术的各个层次；针对安全建设的主要目标保密性、完整性、可用性来看，在贵州电信目前的目标主要是可用性、完整性、保密性，也就是说，在现阶段的安全保障的重点是整个贵州电信网络系统的可用性，以后随着烟草业务、应用的发展，会逐步增加完整性以及保密性的安全建设目标，从而逐步建立起完善的贵州电信信息安全保障体系。2贵州电信安全系统总体设计与规划在完成贵州电信安全威胁分析以及风险评估之后，根据贵州电信安全系统的安全需求以及安全建设的总体目标，在此基础设计和规划了贵州电信整体安全体系框架。在此框架中，以安全策略为基础，融会了技术和管理两个层次的安全体系，形成系统可用性、可控性、抗攻击性、完整性、保密性以及可扩展性的安全服务和目标。2.1安全系统整体框架设计在进行贵州电信信息与网络系统安全体系总体设计规划时，需要全面考虑信息网络系统的风险分析与评估、信息网络安全需求分析、信息网络整体安全策略、信息网络安全的技术标准与规范、安全体系的设计、安全产品的测试选型、工程实施与监理、信息网络安全教育与技术培训、安全审核与检查等众多方面。只有这样才能真正建立起一个符合贵州电信需求的信息网络安全体系。同时，一个完整的安全体系和安全解决方案，必须根据用户网络体系结构和网络风险分析的具体情况来确定。没有一个“以不变应万变”的通用的安全解决方案，尽管信息安全在于竭尽全力保护信息资产免受威胁，甚至要考虑到所有类型的威胁。但是，从目前安全技术的总体发展水平与诸种因素情况来看，绝对安全其实是不可能的，但必须通过相应措施把风险降低到可接受的程度。在贵州电信安全体系框架中，全面覆盖了通信平台、网络平台、系统平台、应用平台，覆盖网络的各个层次，覆盖各项安全功能，是一个多维度全方位的安全结构模型。安全体系的建立，既涉及安全理论与技术，又涉及安全策略与管理，是一项跨学科的综合性信息系统工程，需要从设施、技术到管理整个经营运作体系的通盘考虑，因此必须以系统工程的方法进行设计。基于此种认识，我们将首先对安全体系架构从各个方面加以梳理和展现，提出一个以安全策略为核心和指导、技术为基础、管理为根本、安全服务为目标的贵州电信信息网络安全系统框架，从而帮助用户更好理解信息安全，也对具体的方案设计给出纲领性的指导。参见图2所示：图2、贵州电信信息网络安全系统的框架示意图从总体安全框架可以看出，在基于以各种安全技术的安全基础设施的保障下、以安全策略为指导，通过统一的安全综合管理平台，提供全面的安全服务内容，形成一个互为协作的统一体，整个系统覆盖从物理通信到网络、系统平台直至数据和应用平台的各个层面的安全需求，从而形成完整的信息安全体系架构。依据此安全框架，结合前面我们对贵州电信网络与信息安全系统的需求分析，将整个安全体系划分为以下几个层次：通信平台安全、网络平台安全、系统平台安全、应用平台安全、统一安全综合管理平台等五个层次。每一个层次具体的安全技术与措施描述如下：1、通信平台安全体系通信平台安全体系主要包括系统的物理安全以及链路通信的安全，其中物理安全主要是指防止物理通路的损坏、对物理通路的攻击（干扰）、物理环境安全、网络设备及主机的物理安全等；链路通信安全需要保证通过网络链路传送的数据不被窃听。2、网络平台安全体系网络平台安全体系主要解决网络互联时在网络通信层的安全问题，具体采用的安全技术和措施包括：网络设备安全、网络访问控制、网络和链路层数据加密、防火墙、入侵检测和安全审计、网络监控与管理等。3、系统平台安全体系系统平台安全体系的主要解决主机操作系统的访问控制以及主机存在的漏洞等。具体的安全技术和措施包括：病毒防范、操作系统的漏洞检测、系统安全与保护、操作系统的安全配置、操作系统安全加固、系统备份、主机监控与管理等。4、应用层安全体系应用系统的安全性主要考虑应用系统能与系统层和网络层的安全服务无缝连接，对建立在操作系统之上的应用软件服务，如数据库服务、电子邮件服务、web服务以及各种业务系统等。需要采取的安全技术与措施包括：身份认证、访问控制、数据保密性和完整性（安全通信）、内容审计、数据备份等。5、安全管理体系安全管理贯穿在安全的各个层次实施，本身可以从不同的视角加以描述：l 从全局管理角度审视，要制订全局的安全管理策略。l 从用户管理角度审视，要实现统一的用户角色划分策略。l 从资源管理角度审视，要实现资源的分布配置和统一的资源目录管理。l 从技术管理角度审视，要针对各个层面的要求实现统一的安全监管，为it决策提供依据。2.2 总体安全策略针对以上对贵州电信安全现状、安全风险、安全建设目标以及安全需求的的分析总结，结合安全体系建设的总体架构，从技术上及管理上对安全应对措施进行归纳总结，可制定出安全系统的总体策略。系统总体安全保密策略的设计必须坚持管理与技术并重的原则，以确保系统信息的安全保密性为主，采用多层次保护、最小授权、综合保护和严格管理等措施，从宏观整体的角度提出的安全策略，它是内部网络安全建设中总的指导原则。具体来说，针对贵州电信信息网络安全系统的总体安全策略详细阐述如下：2.2.1 技术策略1、物理安全策略物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。加强并完善贵州电信各级单位网络的物理安全措施，具体包括：采用符合标准的布线措施，防止电磁泄漏包括对传导发射的防护和对辐射的防护，机房建设符合一定的防雷、防火、防静电等指标，采用门禁系统、监控系统等，通过各种措施保障环境、设备和存储介质的安全。2、信息加密策略信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全；端-端加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。在贵州电信信息网络安全系统中，需要考虑信息加密的问题。3、访问控制策略访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。在贵州电信信息网络安全系统中，访问控制策略应包括以下主要内容：（1）入网访问控制入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入该网络。（2）网络的权限控制网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。用户对网络资源的访问权限可以用一个访问控制表来描述。（3）目录级安全控制网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限（supervisor）、读权限（read）、写权限（write）、创建权限（create）、删除权限（erase）、修改权限（modify）、文件查找权限（file scan）、存取控制权限（access control）。用户对文件或目标的有效权限取决于以下二个因素：用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问 ，从而加强了网络和服务器的安全性。（4）属性安全控制当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。（5）网络服务器安全控制网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。（6）防火墙控制防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进/出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络，并通过制定相应的规则限制进出网络的各类数据流，以阻断来自外部网络的非法访问。4、网络监测和控制策略在贵州电信信息网络安全系统中，应建立网络的实时智能监控系统，以便对网络实施监控与检测，及时发现非法的网络访问及操作，同时对网络故障进行侦测，并对安全事件和问题进行详细记录、报警与阻断等。l 在网络层部署入侵检测系统，加强对网络外部的入侵攻击，根据规则制定判断各类已知的入侵行为，并进行响应。l 在网络内部部署安全审计系统，实时监测网络内部的所有行为，对内部的操作起到监视作用，加强对内部的安全保护和控制。l 同时建立针对网络设备的安全监管措施，加强对网络设备运行状态的检测，及时发现网络设备的故障和问题，最大保障网络系统的可用性。5、主机系统安全策略主机系统的安全策略主要是从操作系统的角度考虑系统安全措施，防止不法分子利用操作系统的一些漏洞、后门取得对系统的非法操作权限。在贵州电信信息网络安全系统中，主机系统安全策略包括：l 配置操作系统，使其达到尽可能高的安全级别。l 进行详细的日志记录，并定期查看分析。l 对所提供的应用服务，开放端口等做安全设置。l 定期地利用安全漏洞检测工具及时检测、发现操作系统存在的安全漏洞，并对发现的操作系统安全漏洞做出及时、正确的处理。l 建立病毒防护体系，定义病毒软件的安装、运行、配置、病毒库升级、病毒爆发应急预案等策略，有效抵御病毒对系统产生的安全威胁。l 建立关键业务应用的主机系统的备份机制，包括双机热备等。l 建立主机服务器系统的安全监管措施，及时检测主机系统的运行故障，并进行响应。6、数据保护策略数据保护策略主要通过各种手段保障数据的保密性、完整性、不可抵赖性等要求，在贵州电信信息网络安全系统中，数据保护策略包括：l 采用磁盘阵列、磁带库、自动备份管理系统等技术措施保障数据的安全；l 通过建立完善的数据备份与灾难恢复系统，并定义相关的备份范围、备份方式、备份周期、灾难恢复预案、责任人等策略，通过完善的备份策略实施加强对数据的保护。7、应用安全策略在贵州电信信息网络安全系统中，应用安全策略主要是从应用系统的身份认证、授权管理以及应用业务数据的监控等方面进行建设，具体包括：l 建立身份认证/授权体系，进一步提高应用系统的安全保密性；l 通过建立网络安全综合管理平台，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。8、统一安全管理策略通过在贵州电信信息网络安全系统中建立统一安全综合管理平台，对网络中所有的主机设备、网络设备、安全设备等进行统一的监管，将所有的安全事件进行收集、关联和分析，从整体上对全网的安全进行监测和管理，达到最高效的管理以及良好的安全保障2.2.2 管理策略安全技术是基础，管理才是核心，良好的管理才能将各安全技术充分发挥，管理策略包括安全组织架构建立、安全规范制度建立、总体安全管理等，在贵州电信信息网络安全系统中，管理策略应包括以下几方面的内容：1、组织机构建立贵州电信行业网络的安全管理中心，组建一个专门负责安全管理团队负责主要工作，来保障整个安全体系的顺利运行。该团队由来自于技术部门和业务部门的人员构成，并由高层的领导直接管理。该团队必须制定整个企业的统一安全政策和策略以及一系列体现安全政策的安全的规章制度，并进行安全策略和制度的发布。在安全管理中心设立安全应急响应小组，由来自于技术部门的安全专家组成，主要职责为安全入侵事件预演、安全事件应急响应处理等等。2、规范制度完善贵州电信行业网络的安全管理制度，具体包括：l 必须遵守的国家有关安全规定和制度；l 机房管理制度；l 网络病毒管理制度；l 个人计算机及网络使用制度；l 管理员操作维护制度；l 数据备份与恢复制度；l 建立审计报警数据处理和上报制度；l 内部网络发生安全事故强制上报制度；l 非常情况下的应急响应制度等。3、教育培训安全意识和相关技能的教育培训是安全管理中重要的内容，其实施力度将直接关系到企业安全策略被理解的程度和被执行的效果。为了保证安全的成功实施和有效性，在贵州电信系统中，应当对各级单位的管理人员、用户、技术人员进行安全培训。所有的机关人员必须了解并严格执行安全策略。在安全教育具体实施过程中应该有一定的层次性：l 主管信息安全工作的高级负责人或各级管理人员：重点是了解、掌握信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制定等。 l 负责信息安全运行管理及维护的技术人员：重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。 l 用户：重点是学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责等。 2.3 统一安全综合管理平台设计2.3.1 需求及现状分析正如上述我们对贵州电信行业信息网络安全系统的整体设计中提到，对于全网的安去体系建设将设计到多种技术、产品分别在通信、网络、系统、应用各个层次进行安全防护，在全网信息安全系统中将会设计和配置各种相应的安全措施，主要包括：l 防火墙l 入侵检测与安全审计系统l 链路加密系统l 病毒防杀系统l 身份认证系统l 访问控制系统l 安全漏洞扫描系统l 数据备份系统l 网管系统在贵州电信行业信息网络系统中，不同的安全设施实现不同的安全防范功能，并且采用分布式的方式安装在网络的不同区域。如何对这些安全设施进行有效的监控和管理，使这些安全措施有机结合，共同地组成一个安全的整体实现全网安全整体框架，这是安全统一管理平台所需着重考虑的。根据贵州电信信息系统的网络和应用系统的设计，以及拟采取的各类安全措施，全网信息网络统一管理平台对于统一安全管理与监控存在以下需求：l 统一安全综合管理平台系统采用分层次的结构设计。l 能够提供安全保密监控管理平台，实现对整个安全体系的统一监管；l 能够对全网的网络设备及主机服务等资源进行统一监管；l 能够与防火墙监控管理系统联接、整合；l 能够与网络入侵检测与安全审计系统监控管理网络系统联接、整合；l 能够与病毒防杀管理中心联接、整合；l 能够与身份认证、访问控制系统联接、整合；l 能够实现基于入侵检测与安全审计网络系统的安全事件处理流程；l 能够实现基于安全漏洞扫描的网络系统安全评估与对策支持；l 实现统一的分级、分层次管理，包括实时安全事件检测、报警、响应、处理；l 能够支持安全突发事件处理和应急响应预案的实施；l 能够对全网的安全信息进行收集、统计并分析并产生详细的报表；总的来说，统一安全综合管理平台是一个对贵州电信信息系统平台上的各类安全设备进行全面监控和管理，并实现设备之间的互动、联动，以及实现数据分析、报警、响应及决策支持的综合管理系统。2.3.2 主要问题以及建设必要性贵州电信行业信息网络系统是一个庞大的省广域网，拥有多级子网且分布广泛，网络管理人员可能需要随时掌握多达上百台的主要设备以及系统的运行状况，其中包括了网络设备、主机服务系统、网络安全产品等许多重要设备，管理人员往往需要花费大量的时间精力来分别处理这些信息。因此在进行有效、统一的管理方面存在很多问题，需要迫切解决。l 贵州电信行业全网网络结构的纵深和庞大、设备种类的复杂性、网络信息的多样性是实现全网整体安全防御体系框架的难题，如何及时掌握各主机服务器的运行状况、各种网络设备的状态性能以及各种安全设备状态事件等，如何对跨地区、跨网络的设备服务进行有效、统一的管理都是我们急需解决的问题。l 目前信息网络安全的技术产品众多，从防病毒到防火墙、加密机，再到入侵检测、身份认证、网络安全扫描、安全审计等，市场上的信息安全类产品已多达十几个大类，各种品牌更是不计其数。同样，在贵州电信行业信息网络安全整体建设中也将涉及许多技术和产品，如何使将这些安全产品与安全技术融合为一个整体是十分重要的，因此建设有必要一个共同的平台能够将网络中所有的资源统一管理，充分发挥各产品的功效，在保障信息安全上发挥出更强大效用。l 在信息安全体系的建设中各产品都有基于自身的管理模式，每使用一种产品将带来一种新的管理模式，因此管理员可能需要了解各种产品的管理模式与方法，会收集到许多以各种方式体现的安全事件信息，如何在这一大堆信息中进行判断、找出真正需要的信息并切实了解当前网络的状况将是管理员非常头痛的事情。在贵州电信行业信息网络系统中，实现统一管理将为信息管理带来极大的方便性、准确性和高效性。l 目前市场上无论是传统意义上的网管系统，还是各类层出不穷的安全产品，都只能解决部分问题。而且各类产品之间缺乏互操作性，很难做到协同调度、统一管理，从而也无法保证整个网络策略上的完整性和行动上的一致性。这种局面不仅会加重网络管理人员的负担，势必也会大大增加整个网络的维护费用。而随着贵州电信行业信息化的发展，也会出现同样的问题。l 现有的安全产品中非所有的系统都采用snmp作为管理结构，例如在入侵检测和防火墙产品中，许多厂商采用了checkpoint提出的opsec规范，此外许多产品的管理已经偏向于采用基于web和xml数据表示的管理模式，并应用cim模型。许多国内厂商的安全产品的管理机制采用了web机制。但是目前大多数的安全管理产品大多还是基于传统的snmp，所实现的功能实际上大多还是在传统网管系统和系统管理软件的基础上的扩展，因此对于各种不支持snmp的安全系统难以实现统一管理。l 对全网的统一管理将体现在技术和管理两个方面之上，整个技术平台将要与以后实施的安全策略和管理制度相匹配。根据目前的网络规模，比较适合采用集中管理与区域自治相结合的管理方式。而且具体的管理方法在实施过程中将根据实际的情况加以改进。因此，统一安全综合管理平台需要根据实际贵州电信信息网络系统的管理模式来定制开发，以适应特定的管理要求。基于以上的分析，需要达到对贵州电信行业网络统一管理是十分必要的，只有这样才能真正实现全网的整体安全体系框架。统一安全综合管理平台的实施将采用基于贵州电信信息系统计划的安全设施建设计划，在现有系统的基础上，参照国际流行的安全管理框架、规范和标准，并充分考虑现有各产品的管理体系，在基于原有的产品上进行一定的定制开发来实现。2.3.3 系统总体目标统一安全综合管理平台是贵州电信信息安全系统建设必要的组成部分。它为系统管理员和用户提供对整个安全体系的监管。它在计算机网络应用体系与各类安全技术、安全产品、安全防御措施等安全手段之间搭起桥梁，使得各类安全手段能与现有的计算机网络应用体系紧密的结合实现无缝连接。促成计算机网络安全与计算机网络应用的真正的一体化，使得计算机网络应用体系逐步过渡向安全的计算机网络应用体系。在贵州电信安全系统中，统一安全综合管理平台主要达到以下的总体目标和功能：1、实现对贵州电信信息系统中所有安全设施的统一监控和管理。根据贵州电信信息系统上配置的各个安全系统，有针对性地进行统一的监控管理。包括：l 监视各个安全子系统的各个部件的运行状况。l 发现各个安全系统中的运行异常情况。l 向各个安全子系统发布相应的总体安全策略。l 通过统一安全综合管理平台系统，实现对各个安全子系统的实时操控。l 收集各个安全子系统执行安全策略的结果。统一安全综合管理平台系统对各个安全系统的监控和管理可以利用各个安全子系统中已有的中心和分中心进行信息采集和控