视频点播系统安全解决方案淮安广电.doc

淮安广播电视台视频点播系统淮安广播电视台视频点播系统 安全解决方案安全解决方案 北北京京天天融融信信 网网络络安安全全技技术术 有有限限公公司司 2 20 01 10 0年年1 1月月 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 I 总机 010 82611122 网址 目目 录录 第一章第一章 前言前言 2 第二章第二章 视频点播系统安全风险和需求分析视频点播系统安全风险和需求分析 3 2 1 安全风险分析 3 2 1 1 安全弱点分析 3 2 1 2 安全威胁分析 5 2 1 3 安全风险总结 6 2 2 安全需求分析 8 第三章第三章 网络安全方案设计标准及原则网络安全方案设计标准及原则 10 3 1 项目参考的安全标准和技术规范 10 3 2 网络安全方案设计原则 11 3 2 1 综合性 整体性原则 11 3 2 2 需求 风险 代价平衡的原则 11 3 2 3 一致性原则 11 3 2 4 易操作性原则 12 3 2 5 分步实施原则 12 3 2 6 多重保护原则 12 3 2 7 可评价性原则 12 3 2 8 可扩展性原则 12 3 2 9 先进性原则 12 3 2 10 管理为本原则 13 3 2 11 合理规划 分步实施原则 13 第四章第四章 视频点播系统网络安全方案设计视频点播系统网络安全方案设计 14 4 1 计算环境安全 15 4 1 1 操作系统安全 16 4 1 2 应用系统安全 16 4 2 整网边界及关键应用安全 16 4 2 1 防火墙及防病毒方案设计 16 4 2 2 网络入侵防御系统设计 18 4 2 3 内容审计系统设计 21 4 2 4 网站防护系统设计 23 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 2 总机 010 82611122 网址 第一章第一章 前言前言 随着计算机网络的不断发展 信息产业已经成为人类社会的支柱产业 全球 信息化已成为人类社会发展的大趋势 由此带动了计算机网络的迅猛发展和普遍 应用 但由于计算机网络具有联结形式多样性 终端分布不均匀性和网络的开 放性 互连性等特征 致使网络易受黑客 病毒 蠕虫 恶意软件和其他恶意 的攻击 所以网上信息的安全和保密是一个至关重要的问题 无论是有意的攻 击 还是无意的误操作 都将会给系统带来不可估量的损失 攻击者可以窃听 网络上的信息 窃取用户的口令 数据库的信息 还可以篡改数据库内容 伪 造用户身份 否认自己的签名 这些都使信息安全问题越来越复杂 所以网络 的安全性也就成为广大网络用户普遍关心的问题 无论是在局域网还是在广域 网中都存在着自然和人为等诸多因素的脆弱性和潜在威胁 发展和推广网络应 用的同时进一步提高网络的安全性 真正做到 既要使网络开放又要使网络安 全 这一问题已成为了网络界积极研究的课题 在我国 近几年随着网络技术的发展 网络应用的普及和丰富 网络安全 的问题也日益严重 利用信息技术进行的高科技犯罪事件呈现增长态势 根据 国际权威应急组织 CERT CC 统计 1 2009 年公布漏洞数 3780 个 平均每天超 过 10 个 自 1995 年以来各年来漏洞公布总数 16726 个 2009 年 CNCERT CC 全年共收到国内外通过应急热线 网站 电子邮件等报告的网络安全事件 64686 件 同 2003 年全年收到 13430 千多件报告数量相比 2009 年网络安全 事件报告数量增加了近 4 倍 安全问题已经成为制约网络技术发展的首要因素 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 3 总机 010 82611122 网址 第二章第二章 视频点播系统安全风险和需求分析视频点播系统安全风险和需求分析 网络应用给人们带来了无尽的好处 但随着网络应用扩大网络安全风险也 变得更加严重和复杂 原来由单个计算机安全事故引起的损害可能传播到其他 系统和主机 引起大范围的瘫痪和损失 另外加上缺乏安全控制机制和对网络 安全政策及防护意识的认识不足 这些风险正日益加重 瞄准网络系统可能存在的安全漏洞 黑客们所制造的各类新型的风险将会 不断产生 这些风险由多种因素引起 与网络系统结构和系统的应用等因素密 切相关 一旦官方视频网站被黑客篡改 发布一些非法视频内容 那么将对社 会带来严重影响 完整的网络安全风险评估是对网络内的信息资产进行价值评估 对网络存 在的威胁进行评估 对整体安全策略和制度的有效性进行评估 以及对系统漏 洞被利用的可能性进行评估后的综合结果 它是一项综合系统的工程 是风险 管理的重要组成部分 也是整体网络安全解决方案的重要参考依据 2 12 1 安全风险分析安全风险分析 2 1 12 1 1 安全弱点分析安全弱点分析 2 1 1 1 网络结构脆弱性 视频发布系统必然与互联网相连 但基于 Internet 公网的开放性 国际 性与自由性 内部网络将面临更加严重的安全危胁 因为 每天黑客都在试图 闯入 Internet 节点 假如我们的网络不保持警惕 可能连黑客怎么闯入的都不 知道 甚至会成为黑客入侵其他网络的跳板 假如内部网络的一台服务器安全 受损 被攻击或者被病毒感染 就会同时影响在同一网络上的许多其他系统 比如视频点击连接无效 严重影响官方形象 对于政府 或事业单位网络系统 国家也有规定是不能与互联网直接或间接与相连 2 1 1 2 系统和应用脆弱性 视频点播系统 网络内部运行有大量的重要服务器 众所周知 每一种 操作系统都包含有漏洞 如下表所示 开发厂商也会定期发布不订包 如何 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 4 总机 010 82611122 网址 对重要服务器进行漏洞扫描 入侵检测 补丁管理成为日常安全维护的重要工 作 公共信用系统 网络内部缺乏有效的设备和系统对系统级 应用级的脆 弱性进行定期分析 评估和管理 ID 名称说明举例 1Backdoor 各种后门和远程控制软件 例如 BO Netbus 等 2Brute Force 各种浏览器相关的弱点 例如自动执行移动代码等 3CGI BIN 各种 CGI BIN 相关的弱点 例如 PHF wwwboard 等 4Daemons 服务器中各种监守程序产生弱点 例如 amd nntp 等 5DCOM 微软公司 DCOM 控件产生的相关弱点 6DNS DNS 服务相关弱点 例如 BIND 8 2 远程溢出弱点 7E mail 各种邮件服务器 客户端相关的安全弱点 例如 Qpopper 的远程溢出弱点 8Firewalls 各种防火墙及其代理产生的安全弱点 例如 Gauntlet Firewall CyberPatrol 内容检查弱点 9FTP 各种 FTP 服务器和客户端相关程序或配置弱点 例如 WuFTPD site exec 弱点 10Information Gathering 各种由于协议或配置不当造成信息泄露弱点 例如 finger 或 rstat 的输出 11Instant Messaging 当前各种即时消息传递工具相关弱点 例如 OICQ IRC Yahoo messager 等相关弱点 12LDAP LDAP 服务相关的安全弱点 13Network 网络层协议处理不当引发的安全弱点 例如 LAND 攻击 弱点 14Network Sniffers 各种窃听器相关的安全弱点 例如 NetXRay 访问控制 弱点 15NFS NFS 服务相关的安全弱点 例如 NFS 信任关系弱点 16NIS NIS 服务相关的安全弱点 例如知道 NIS 域名后可以 猜测口令弱点 17NT Related 微软公司 NT 操作系统相关安全弱点 18Protocol Spoofing 协议中存在的安全弱点 例如 TCP 序列号猜测弱点 19Router Switch 各种路由器 交换机等网络设备中存在的安全弱点 例如 Cisco IOS 10 3 存在拒绝服务攻击弱点 20RPC RPC SUN 公司远程过程调用 服务相关的弱点 例如 rpc ttdbserver 远程缓冲区溢出弱点 21Shares 文件共享服务相关的安全弱点 i e NetBIOS Samba 等相关弱点 例如 Samba 缓冲区溢出弱点 22SNMP SNMP 协议相关的安全弱点 例如利用 public 进行 SNMP SET 操作 23UDP UDP 协议相关弱点 例如允许端口扫描等 24Web Scan Web 服务器相关安全弱点 例如 IIS ASP dot 弱点 25X Windows X 服务相关安全弱点 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 5 总机 010 82611122 网址 26Management 安全管理类漏洞 2 1 1 3 物理脆弱性 视频点播系统 内部重要的机房设备缺少必要的访电磁泄漏设备 缺乏 必要的生物识别访问控制系统 缺乏必要的视频监视系统 无法对重要部门进 行安全的监控和访问控制 2 1 1 4 管理脆弱性 再安全的网络设备离不开人的管理 再好的安全策略最终要靠人来实现 因此管理是整个网络安全中最为重要的一环 我们有必要认真的分析管理所带 来的安全风险 并采取相应的安全措施 对于公共信用系统 管理的脆弱性包 括 缺乏针对性的安全策略和安全技术规范 安全管理和运行维护的组织 不健全 缺乏有效的安全监控措施和评估检查制度 无法有效的发现和监控安 全事件 不利于及时发现安全事件并采取相应的措施 缺乏完善的灾难应急计划和制度 对突发的安全事件没有制定有效的 应对措施 没有有效的对安全事件的处理流程和制度 2 1 22 1 2 安全威胁分析安全威胁分析 网络安全所面临的威胁来自很多方面 这些威胁可以宏观地分为人为威胁 和自然威胁 自然威胁可能来自于各种自然灾害 恶劣的场地环境 电磁辐射和电磁干 扰 网络设备自然老化等 这些无目的的事件 有时会直接威胁网络的安全 影响信息的存储媒体 人为威胁 也就是说对网络的人为攻击 这些攻击手段都是通过过寻找系 统的弱点 以便达到破坏 欺骗 窃取数据等目的 造成经济上和政治上不可 估量的损失 人为威胁主要包括 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 6 总机 010 82611122 网址 对基础设施网络带宽资源的攻击 插播攻击 拥塞或干扰攻击 海量通 信攻击 偷用服务攻击 拒绝服务攻击 隐蔽通道攻击 传输分析攻击 等 对网络管理系统的攻击 例如 攻击通信的控制命令体系 修改对网络 设备 路由器 交换机等等 的操作命令 资源部可用 对基础设施的网管中心 NMC 管控中心 调度中心 通信中心 信 息中心的攻击 对基础设施设备破坏或接管控制性质的攻击 失去网络基础设施控制 2 1 32 1 3 安全风险总结安全风险总结 通过对上述信息系统的弱点和威胁进行分析 我们可以对系统所面临的风 险从物理安全 链路安全 网络安全 系统安全 应用安全及管理安全进行分 类描述 2 1 3 1 物理安全风险 地震 水灾 火灾等环境事故造成整个系统毁灭 电源故障造成设备断电以至操作系统引导失败或数据库信息丢失 设备被盗 被毁造成数据丢失或信息泄漏 电磁辐射可能造成数据信息被窃取或偷阅 2 1 3 2 链路传输风险分析 网络安全不仅是入侵者到内部网上进行攻击 窃取或其它破坏 而且有可 能在传输线路上安装窃听装置 窃取网上传输的重要数据 再通过一些技术读 出数据信息 造成泄密或者做一些篡改来破坏数据的完整性 以上种种不安全 因素都对网络构成严重的安全危胁 因此 对于广播电视视频系统这样带有重 要信息传输的网络 数据在链路上传输必须加密 并通过数字签名及认证技术 来保数据在网上传输的真实性 机密性 可靠性及完整性 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 7 总机 010 82611122 网址 2 1 3 3 网络安全风险 DOS DDOS 攻击 DNS 欺骗攻击 会造成服务器服务的中断 影响业务的 正常运行 内部用户通过 Sniffer 等嗅探程序在网络内部抓包 获得系统用户名和 口令等关键信息或其他机密数据 进而假冒内部合法身份进行非法登录 窃取内部网重要信息 内部用户通过扫描软件或取其他用户系统或服务器的各种信息 并利用 这些信息对整个网络或其他系统进行破坏 病毒 尤其是蠕虫病毒爆发 将使整个网络处于瘫痪状态 目前 垃圾邮件已经成为网络安全的又一种重大威胁 垃圾邮件或邮件 炸弹的爆发将使网络带宽大量被消耗 邮件服务器系统资源消耗殆尽 不能够进行正常的邮件转发服务 2 1 3 4 系统安全风险 目前的操作系统或应用系统无论是 Windows 还是其它任何商用 UNIX 操作 系统以及其它厂商开发的应用系统 其开发厂商必然有其后门 而且系统本身 必定存在安全漏洞 这些 后门 或安全漏洞都将存在重大安全隐患 但是从 实际应用上 系统的安全程度跟对其进行安全配置及系统的应用面有很大关系 操作系统如果没有采用相应的安全配置 则其是漏洞百出 掌握一般攻击技术 的人都可能入侵得手 如果进行安全配置 比如 填补安全漏洞 关闭一些不 常用的服务 禁止开放一些不常用而又比较敏感的端口等 那么入侵者要成功 进行内部网是不容易 这需要相当高的技术水平及相当长时间 2 1 3 5 管理安全风险 对于管理风险包括 内部管理人员或员工把内部网络结构 管理员用户名及口令以及系统的一 些重要信息传播给外人带来信息泄漏风险 机房重地却被任何人都可以进进出出 来去自由 存有恶意的入侵者便有 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 8 总机 010 82611122 网址 机会得到入侵的条件 内部不满的员工有的可能熟悉服务器 小程序 脚本和系统的弱点 利用 网络开些小玩笑 甚至破坏 如传出至关重要的信息 错误地进入数据库 删除数据等等 这些都将给网络造成极大的安全风险 非法人员进入重要部门或机房 非法获得资料或对设备进行破坏 员工有意 无意把硬盘中重要信息目录共享 长期暴露在网络邻居上 可 能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密 因为 缺少必要的访问控制策略 大量的人为因素的安全隐患 为破坏着进入系统造成了便利 例如 1 部分系统管理员密码强度不够 或没有设置密码 2 密码和帐号名相同或者采用帐号名翻转作为密码 3 采用电话号码作为密码 4 采用单一字符集作为密码 例如 qqqqqq 5 密码的复杂程度不够 管理是网络中安全得到保证的重要组成部分 是防止来自内部网络入侵必 须的部分 责权不明 管理混乱 安全管理制度不健全及缺乏可操作性等都可 能引起管理安全的风险 即除了从技术上下功夫外 还得依靠安全管理来实现 2 22 2 安全需求分析安全需求分析 针对上述的安全弱点 威胁 风险分析 电子政务的安全需求包括 公共信用系统建立功能强大的网络管理中心 这个中心要对内容检查 系 统管理 网络管理 网络安全管理 行为监控 代理 Agent 管理 网络远程 服务监控和标准化执行实施统一分级监管 目前的管理中心自身安全等级较低 建议于管理中心纳入统一安全区域 加强管理中心的安全管理与远程管理的高 安全级别与强度的安全建设 安全检测 监控 审计 追踪与定位系统的建设 对于所有的网络行为和 物理接触设备行为 要求采用安全日志或记录进行审计 配备必要的信息安全 检测 网络配置检测 计算机行为安全检测 网络行为检测 信息源追踪 定 位技术产品等 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 9 总机 010 82611122 网址 大规模入侵检测和防护建设 配置对抗分布式决绝服务攻击 DDOS 设备 与系统 有对抗大规模陌生代理入侵的能力 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 10 总机 010 82611122 网址 第三章第三章 网络安全方案设计网络安全方案设计标准及原则标准及原则 3 13 1 项目参考的安全标准和技术规范项目参考的安全标准和技术规范 关于加强信息安全保障工作的意见 中办 2003 27 号文件 国家信息化领导小组关于我国电子政务建设指导意见 中办发 2002 17 号 中国公用计算机互联网国际联网管理办法 国家保密局 2002 年 5 月 ISO IEC 15408 CC 信息技术安全评估准则 该标准历经数年 完成 提出了新的安全模型 是很多信息安全理论的基础 ISO IEC 17799 BS7799 1 信息安全管理惯例 这是目前世界上最 权威的信息安全管理操作指南 对信息安全工作具有重要指导意义 ISO IEC 13335 第一部分 IT 安全的概念和模型 第二部分 IT 安全的管理和计划制定 第三部分 IT 安全管理技术 第四 部分 安全措施的选择 第五部分 网络安全管理指南 GB17859 计算机信息系统安全保护等级划分准则 这是我国政府 颁布的信息安全产品等级划分准则 GA216 1999 计算机信息系统安全产品部件 GB9387 ISO7498 信息处理系统开放系统互连 GB 9361 计算站场地安全要求 公安部第 51 号令 计算机病毒防治管理办法 中华人民共和国计算机信息系统安全保护条例 国务院令 147 号 中华人民共和国信息网络国际互联网管理暂行规定 国务院令 195 号 计算机信息系统安全专用产品检测和销售许可证管理办法 公安部 令 32 号 中华人民共和国保守国家秘密法 中华人民共和国保守国家秘密法实施办法 保密局 计算机信息系统保密管理暂行规定 国家保密局 国保发 1998 1 号 计算机信息系统国际联网管理规定 国家保密局 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 11 总机 010 82611122 网址 计算机信息网络国际联网安全保护管理办法 公安部 商用密码管理条例 国务院令 273 号 中共中央关于加强新形势下保密工作的决定 等文件 中华人民共和国国家标准 GB17859 1999 计算机信息系统安全保护等级划分准则 编制说明 3 23 2 网络安全方案设计原则网络安全方案设计原则 3 2 13 2 1 综合性 整体性原则综合性 整体性原则 应用系统工程的观点 方法 分析网络的安全及具体措施 安全措施主要 包括 行政法律手段 各种管理制度 人员审查 工作流程 维护保障制度等 以及专业措施 识别技术 存取控制 密码 低辐射 容错 防病毒 采用高 安全产品等 一个较好的安全措施往往是多种方法适当综合的应用结果 一个 计算机网络 包括个人 设备 软件 数据等 这些环节在网络中的地位和影 响作用 也只有从系统综合整体的角度去看待 分析 才能取得有效 可行的 措施 即计算机网络安全应遵循整体安全性原则 根据规定的安全策略制定出 合理的网络安全体系结构 3 2 23 2 2 需求 风险 代价平衡的原则需求 风险 代价平衡的原则 对任一网络 绝对安全难以达到 也不一定是必要的 对一个网络进行实 际研究 包括任务 性能 结构 可靠性 可维护性等 并对网络面临的威胁 及可能承担的风险进行定性与定量相结合的分析 然后制定规范和措施 确定 本系统的安全策略 3 2 33 2 3 一致性原则一致性原则 一致性原则主要是指网络安全问题应与整个网络的工作周期 或生命周期 同时存在 制定的安全体系结构必须与网络的安全需求相一致 安全的网络系 统设计 包括初步或详细设计 及实施计划 网络验证 验收 运行等 都要 有安全的内容光焕发及措施 实际上 在网络建设的开始就考虑网络安全对策 比在网络建设好后再考虑安全措施 不但容易 且花费也小得多 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 12 总机 010 82611122 网址 3 2 43 2 4 易操作性原则易操作性原则 安全措施需要人为去完成 如果措施过于复杂 对人的要求过高 本身就 降低了安全性 其次 措施的采用不能影响系统的正常运行 3 2 53 2 5 分步实施原则分步实施原则 由于网络系统及其应用扩展范围广阔 随着网络规模的扩大及应用的增加 网络脆弱性也会不断增加 一劳永逸地解决网络安全问题是不现实的 同时由 于实施信息安全措施需相当的费用支出 因此分步实施 即可满足网络系统及 信息安全的基本需求 亦可节省费用开支 3 2 63 2 6 多重保护原则多重保护原则 任何安全措施都不是绝对安全的 都可能被攻破 但是建立一个多重保护 系统 各层保护相互补充 当一层保护被攻破时 其它层保护仍可保护信息的 安全 3 2 73 2 7 可评价性原则可评价性原则 如何预先评价一个安全设计并验证其网络的安全性 这需要通过国家有关 网络信息安全测评认证机构的评估来实现 3 2 83 2 8 可扩展性原则可扩展性原则 由于网络安全是动态的 虽然现在的方案解决了目前安全 但是随着时间 的变化 原有的网络安全解决方案可能满足不了其需求 这时就需要对原有的 网络解方案进行升级 所以现有的网络解决方案应该是具有可扩展性 3 2 93 2 9 先进性原则先进性原则 采用当今国内 国际上最先进和成熟的计算机软硬件平台 软件设计编程 方法 开放式的体系结构和信息安全保障体系 使新建立的系统能够最大限度 地适应今后的业务发展变化需要 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 13 总机 010 82611122 网址 3 2 103 2 10 管理为本原则管理为本原则 安全技术是静态 而解决网络信息安全却是一个动态的过程 只有好的安 全管理才能保证安全技术得到正确 合理和及时的使用 三分技术 七分管理 就是这样来的 3 2 113 2 11 合理规划合理规划 分步实施原则分步实施原则 一个完整的网络安全解决方案不可能在很短的时间全部实施完成 需要对 整个安全建设过程进行合理的规划 根据公共信用系统网络安全现状 有步骤 的分步实施 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 14 总机 010 82611122 网址 第四章第四章 视频点播系统网络安全视频点播系统网络安全方案设计方案设计 从前面的分析来看 我们综合目前公共信用系统面临的所有的风险和问题 主要集中以下三个方面 缺乏统一的安全规划和安全职责部门 缺乏技术手段 统一的部署安 全策略 响应安全事故 控制安全风险 尽管已经采用了一些安全措施 但是目前安全措施的采用还是严重不 足的 存在大量这样 那样的风险和漏洞 安全管理仍然存在大幅度改进的空间 安全意识培训 安全策略和业 务连续性计划都必须逐步完成并实施 与此相对应的 我们建议针对这三个方面问题采取三种针对性的解决方案 其一 我们强烈建议建设安全管理中心 SOC 进行统一集中的网 络安全管理 其二 建设安全防护体系 从安全产品和服务方面对现有网络和 数据的保护进行加强 其三 从管理方面进行策略 组织机构和管理考核制度方面执行 安全考虑 传统的安全管理方式是将分散在各地 不同种类系统就近分别管理 这样导致安全信息互不相通 安全策略难以保持一致 这种传统的管理运 行方式是许许多多安全隐患形成的根源 安全管理中心是针对传统管理方式的一种重大变革 它将关键设备的 运行管理权利集中到一起 通过高度密集的管理产品和手段 将分散在各 地区 不同业务网络上面的各种安全产品有机的结成一个整体 我们建议的安全管理中心 SOC 所涉及的安全管理管理范围包括 所有的基于 IP 的网络和应用系统的安全 包括网络系统 业务系 统 所有安全产品组成的安全体系的实时管理和监控都应当受到 SOC 的管理 所有非安全产品的关键应用系统均应该通过一定途径将安全相关 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 15 总机 010 82611122 网址 信息输送到安全管理中心中 保证及时安全时间的发现 分析和 响应 负责协同高层领导 制定和实施企业长期安全目标和策略 并将 其分解为中期和短期策略 负责日常安全配置和维护 整体安全规划后拓扑图如下 拓扑说明 1 IPS 入侵防御系统 置于总出口 部署模式为透明模式 对链路通道进行防御 策略下发 对公网流量进行七层攻击防御 发现实时攻击流量给予实时阻断 保 证了互联网大部分攻击无法进入相对安全的内部网络 同时天融信 IPS 具有软 硬 光口 BYPASS 功能 无论网络流量过大或硬件故障 都不会影响整个网络的 畅通 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 16 总机 010 82611122 网址 2 FW 防火墙 置于入侵防御系统与核心三层交换机之间 起到内网到互联网的 地址转换及访问控制策略 内网视频服务器向外发布的策略等等 部署双机热备 主备模式 当某台工作中的防火墙宕机后 备机自动切换工作 使网络不中断 3 WEB 防护 网页防篡改 在防火墙定义 SSN 区域 此区域主要放置对外发布服 务器 WEB 防护墙对网络流量中 SQL 注入等攻击进行防护 阻止黑客利用各种 工具进行嗅探 WEB 服务器真实地址 以至于提高自己的权限方便实施篡改 WEB 防护软件控制 WEB 服务器写权限 对于外界来说只有读的权限 如果 WEB 网站需要修改任何底层语句 都需经过软件进行强认证才能修改 软件安 装在另一台服务器上 此服务器不对外发布 故相对写权限放在对外发布的服务 器上要安全的多 4 ACM 审计系统 放置于核心三层边上 进行旁路接入不影响整个网络的流畅性 审计系统对内网用户访问各种互联网资源进行应用回放 包括某人什么时候访问 了服务器 对服务器做了哪些操作 这样就能很好的让管理员了解网络使用状况 4 14 1 计算环境安全计算环境安全 视频点播系统数据的计算 交换 存储和调用都是在局域网中进行的 潜 在威胁为内部工有意或无意的破坏行为攻击局域网 因此 对局域网计算环境 的保护就必须考虑到安全的诸多方面 并实施整体和全面的局域网环境的保护 策略 局域网环境保护所关注的问题是 在用户进入 离开或驻留于用户终端与 服务器的情况下 采用信息保障技术保护其信息的可用性 完整性与机密性 保护局域网硬件与软件免受攻击是对付恶意内部攻击者的首道防线 也是对付 外部攻击者的最后一道防线 4 1 14 1 1 操作系统安全操作系统安全 对于操作系统的安全防范可以采取如下策略 尽量采用安全性较高的网络 操作系统并进行必要的安全配置 关闭一些起不常用却存在安全隐患的应用 对一些保存有用户信息及其口令的关键文件 如 UNIX 下 rhost etc host passwd shadow group 等 Windows NT 下的 LMHOST SAM 等 使用权限进行严格限制 加强口令字的使用 增加口令复杂 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 17 总机 010 82611122 网址 程度 不要使用与用户身份有关的 容易猜测的信息作为口令 并及时给系 统打补丁 系统内部的相互调用不对外公开 通过配备操作系统安全扫描系统对操作系统进行安全性扫描 发现其中存 在的安全漏洞 并有针对性地进行对网络设备重新配置或升级 4 1 24 1 2 应用系统安全应用系统安全 在应用系统安全上 应用服务器尽量不要开放一些没有经常用的协议及协 议端口号 如文件服务 电子邮件服务器等应用系统 可以关闭服务器上如 HTTP FTP TELNET RLOGIN 等服务 还有就是加强登录身份认证 确保用户 使用的合法性 并严格限制登录者的操作权限 将其完成的操作限制在最小的 范围内 充分利用操作系统和应用系统本身的日志功能 对用户所访问的信息 做记录 为事后审查提供依据 4 24 2 整网边界及关键应用安全整网边界及关键应用安全 4 2 14 2 1 防火墙及防病毒方案设计防火墙及防病毒方案设计 根据视频点播系统的特点与要求 我们在该网中建立防火墙系统 有关建 立防火墙子系统的目标 功能 位置 在下文中进行详细说明 信息化的前提就是建立起完善的信息保障体系 防火墙在信息保障体系中 对网络行为进行有效访问控制 对保证网络访问行为的有序性起到了至关重要 的作用 防火墙体系的建立直接关系到了系统能否正常运行 体系是否完善 关系到了系统是否能够对非法访问进行有效的防范 4 2 1 1 防火墙 AV 在视频点播系统的作用 防火墙对内网用户一经授权便能够采用任何现有的或新出现的网络技术 访问 Internet 获取所需要的信息和服务 防火墙可以防范各种网络攻击 能够查找到攻击的来源和类型 能够对 这些攻击进行反应 对网络访问接入点的保护应该对相关组件与网络的性能造成尽可能少的 影响 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 18 总机 010 82611122 网址 抗 DOS DDOS 攻击 拒绝服务攻击 DOS 分布式拒绝服务攻击 DDOS 就是攻击者过多的占用共享资源 导致服务器超载或系统资源 耗尽 而使其他用户无法享有服务或没有资源可用 防火墙通过控制 检测与报警机制 防止 DOS 黑客攻击 所以通过防火墙上进行规则设置 规定防火墙在单位时间内接到同一个地址的 TCP 全连接 半连接的数量 如果超出这个数量便认为是 DOS DDOS 攻击 防火墙在设定的时间内就 不接受来自于这个地址的数据包 从而抵御了 DOS DDOS 攻击 防止入侵者的扫描 大多数黑客在入侵之前都是通过对攻击对象进行 端口扫描 收集被攻击对象开放什么端口 什么服务 有何漏洞 哪些 用户的口令弱等信息 然后再展开相应的攻击 通过防火墙上设置规则 如果发现外部有某台计算机在单位时间内与内部某台服务器或者主机建 立多个连接 便认为是扫描行为 并截断这个连接 从而防止入侵者的 扫描行为 把入侵行为扼杀在最初阶段 防止源路由攻击 源路由攻击是指黑客抓到数据包后改变数据包中的路 由选项 把数据包路由到它可以控制的一台路由器上 进行路由欺骗或 者得到该数据包的返回信息 通过在防火墙上配置规则 禁止 TCP IP 数据包中的源路由选项 防止源路由攻击 防止 IP 碎片攻击 IP 碎片攻击是指黑客把一个攻击数据包分成多个数 据据包 从而隐藏了该数据包的攻击特征 通过在防火墙上设置规则防 火墙在进行检查之前必须将 IP 分片重组为一个 IP 报文 而且这个报文 必须具有一个最小长度以包含必要的信息以供检查 从而防止了 IP 碎 片攻击 防止 ICMP IGMP 攻击 许多拒绝服务攻击是通过发送大量的 ICMP 数据 包 IGMP 数据包实现的 通过在防火墙上设置规则 禁止 ICMP IGMP 数 据包的通过防火墙 保证系统的安全 阻止 ActiveX Java Javascript 等侵入 防火墙能够从 HTTP 页面剥 离 ActiveX JavaApplet 等小程序及从 Script PHP 和 ASP 等代码检测 出危险的代码 也能够过滤用户上载的 CGI ASP 等程序 其他阻止的攻击 通过在防火墙上的 URL 过滤可以防止一些来自于系 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 19 总机 010 82611122 网址 统漏洞的攻击 例如 通过配置规则禁止访问 winnt system32 cmd exe 可以防止 WINDOW NT 2000 的 UNICODE 漏 洞以及其他 CGI 漏洞攻击 Cgi bin phf cgi bin count cig vti pvt service pwd cfdocs expeval openfile cfm 等 和一些病毒的攻击 例如 禁止 default ida 可以 防止红色代码的攻击 提供实时监控 审计和告警 通过防火墙提供对网络的实时监控 当 发现攻击和危险代码时 防火墙提供告警功能 4 2 1 2 防火墙 AV 在视频点播系统的可扩展性 本方案中防火墙 AV 产品为天融信中 高端千 百兆防火墙产品 对于目前 公共信用系统的实际应用情况具有很好的扩展性 完全可以满足本系统规模壮 大或需求增加等因素造成的系统扩展需求 包括安全级别提高 用户数和连接 点位增加 4 2 24 2 2 网络入侵防御系统网络入侵防御系统设计设计 随着网络技术的广泛应用 网络为我们的工作和生活提供了便利 但同时 网络环境中的各种安全问题 如黑客攻击 蠕虫病毒 木马后门 间谍软件 僵尸网络 DDoS 攻击 垃圾邮件 网络资源滥用 P2P 下载 IM 即时通讯 网 游 等极大地困扰着用户 尤其是混合威胁的风险 给企业的信息网络造成严 重的破坏 能否及时发现并成功阻止网络黑客的入侵 保证计算机和网络系统 的安全和正常运行已经成为各个企业所面临的问题 面对这些问题 传统的安全产品已经无法独立应对 传统防火墙作为访问 控制设备 无法检测或拦截嵌入到普通流量中的恶意攻击代码 无法发现内部 网络中的攻击行为 入侵检测系统 IDS 旁路部署在网络上 当它检测出黑客入 侵攻击时 攻击可能已到达目标造成损失 无法有效阻断各种攻击 入侵检测 系统 IDS 侧重网络监控 注重安全审计 适合对网络安全状态的了解 而入侵防御系统是在线部署在网络中 提供主动的 实时的防护 具备对 2 到 7 层网络的线速 深度检测能力 同时配合以精心研究 及时更新的攻击 特征库 即可以有效检测并实时阻断隐藏在海量网络中的恶意代码 攻击与滥 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 20 总机 010 82611122 网址 用行为 也可以对分布在网络中的各种流量进行有效管理 从而达到对网络架 构防护 网络性能保护和核心应用防护 入侵防御系统通过加载不同的攻击规则库对流经它的网络流量进行分析过 滤 来判断是否为异常数据流量或可疑数据流量 并对异常及可疑流量进行积 极阻断 同时向管理员通报攻击信息 从而提供对网络系统内部 IT 资源的安全 保护 入侵防御系统能够完全阻断各种非法攻击行为 比如利用薄弱点进行的 直接攻击和增加网络流量负荷造成网络环境恶化的 DoS 攻击等 安全地保护内 部 IT 资源 入侵防御系统可以提供网络架构防护 网络性能保护 核心应用防护 通 过使用入侵防御系统可提供最强大且最完整的保护以防御各种形式的网络攻击 行为 如 蠕虫 拒绝服务攻击 恶意代码以及非法的入侵和访问 为公共信 用系统网络提供 虚拟补丁 的保护作用 4 2 2 1 网络入侵防御系统部署方式 建议在视频点播系统出口处部署一套网络入侵防御系统 通过设置检测与 阻断策略对流经入侵防御系统的网络流量进行分析过滤 并对异常及可疑流量 进行积极阻断 同时向管理员通报攻击信息 从而提供对网络系统内部 IT 资源 的安全保护 入侵防御系统能够在第一时间阻断各种非法攻击行为 比如利用 网络系统薄弱点进行的直接攻击和增加网络流量负荷造成网络环境恶化的 DoS 攻击等 网络入侵防御系统作为一个网关设备 可透明嵌入到网络出口 无需修改 现有网络配置 此外 为了避免因入侵防御设备的单点故障导致内外网络通讯中断 可启用入 侵防御接口的失效开放机制 当出现软硬件故障和电源故障时 系统能够自动 切换到旁路模式以保障网络的畅通 4 2 2 2 网络入侵防御系统功能说明 网络入侵防御系统在分析 跟踪流量信息的基础上 在线对流经的数据报文 进行 4 7 层信息的深度检测 可以实现如下功能 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 21 总机 010 82611122 网址 强大的入侵检测和防御能力强大的入侵检测和防御能力 精心研究 及时更新的攻击特征库 可实现对各种已知攻击方式的准确 判断 强大的蠕虫 木马 后门 间谍软件 Web 攻击 拒绝服务 广告软 件防御能力 并支持自定义攻击类型 可以根据用户需求自行设置攻击 规则 能对其他有害攻击行为做检测和阻断 繁多的垃圾应用 流行 P2P IM 热门游戏 在线视频 网络流媒体的 过滤控制能力 支持异常流量分析 阻断 支持标准 CVE 为内部设备提供漏洞防护 支持原始包分析功能 能对原始包文进行捕获 分析 存储 提供网络定位工具如 nslookup traceroute ping 等 方便进行网络 事件诊断 基于策略的主动防御机制基于策略的主动防御机制 网络入侵防御系统根据管理员预先制定的安全策略对流经系统的数据包 进行检测及阻断 包括 根据检测和阻断策略对于满足条件的数据报文对包头和负载内容进 行过滤 检测和阻断网络攻击和恶意代码 设置异常流量检测及阻断策略 对通过系统每个物理接口的流量 TCP UDP ICMP 协议在一定时间内的流量设定阀值 并设定处理措施 检测 限流或阻断 当设定的时间段内通过系统的整体流量超 过阀值时进行限流或阻断 提供丰富的响应方式 充分实现主动防御和安全预警 包括 允许异常流量阀值范围内的数据通过 阻断异常流量阀值范围外的数据通过 检测到策略中设置的数据后 进行报警 限制超出规则设定范围的数据 记录被检测到攻击的相关数据 记录系统中相关的操作 登录 修改等 VIDP 实现精细化防御实现精细化防御 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 22 总机 010 82611122 网址 提供智能的 VIDP 功能 针对不同的网络环境和安全需求 制定不同的 防御规则和响应方式 每个虚拟系统分别执行不同的规则集 实现面向 不同对象 实现不同策略的智能化入侵防御 高可用性高可用性 所有接口都支持 FOD 失效开放机制 当出现软硬件故障和电源故障时 系统能够在 200us 以内自动切换到旁路模式以保障网络的畅通 而且丝 毫不影响数据传输速率 支持双机热备份和负载均衡 支持 Active Active Active Passive 模 式 保证了网络环境的高度畅通性 灵活的部署方式灵活的部署方式 支持透明 路由 NAT 混合等接入方式 丰富的报表分析统计功能丰富的报表分析统计功能 提供完善的日志功能 分类记录了访问入侵防御系统的所有操作以及与 其相关的一切安全活动 方便用户及时通过分析日志记录的资料来预防 入侵和追踪非法行为 提供多种攻击检测 阻断 报警等信息的报表统计功能 根据用户需求 生成不同的统计报表 并可以利用存储日志和事件数据库 做出基于入 侵 受攻击主机 攻击类型 期间等各种不同条件类别的报表 并可以 以多种不同格式输出 给管理者在管理网络方面提供了决策依据 4 2 34 2 3 内容审计系统设计内容审计系统设计 复杂的互联网使用环境也带给网络管理者法律 安全等问题 互联网使用 管理的缺失正让我们日益面对更多的道德 文化 法律以及使用者身心健康的 问题 由此对互联网管理 上网行为规范 提高网络利用率等方面提出了迫切 的需要 4 2 3 1 在日常的网络应用中常见的问题 互联网应用复杂 在网络上黄赌毒 反政府 邪教犯罪 分裂国家等反面 内容盛行 而保持网络环境的纯净是网络运营商或网络接入服务提供者对社会 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 23 总机 010 82611122 网址 和网络使用者应尽的义务 网络应用复杂多样 既有基于端口的应用 也有基于协议的应用 再加上 应用的不可预见性 这都给网络管理者带来了管理上的困难 应用的多样性导致合法应用难以定义 以 BBS 论坛为例 正常情况下 BBS 论坛是一个很好的交流平台 在这里身处天南地北的人被网络这根纽带紧紧的 连接在了一起 通过这个平台 人们可以互相学习 互相帮助 这种状况无论 是管理部门或是普通民众乐于见到的 但总有那么一部分人 利用这些合法的 网络资源进行非法活动 黄赌毒 反政府 邪教犯罪等等非法活动总会在某些时 候出现 极大的污染了网络环境 难以对非法网络活动进行有效取证 互联网的开放性以及管理的不足 也 给了非法的网络活动以可趁之机 在一个开放的互联网中 没有任何一个管理 部门能够对所有互联网的使用者进行规范 管理部门只能将非法的互联网行为 定位到一个大致的公网 IP 上 而无法准确定位到实际责任人上面 而这种非法 使用互联网的状况一旦出现 互联网接入服务提供者一般很难查到非法活动的 直接责任人 此时互联网提供者将会负对应的管理责任 严重者还将被追究刑 事责任 现有的针对互联网管理的设备只具有 2 4 层的包检测能力 无法深层次识 别互联网数据 更无从谈起分析其内容并加以管理控制了 这就从技术以及现 有条件上影响到互联网管理的有效性 4 2 3 2 方案实施的预期效果 审计系统对于此次网络环境有利的地方在于 全面监控审计用户的上网与 业务动向行为 通过此方案的实时记录用户的网络使用行为 满足对用户网络 行为记录的要求 包括某网段 某主机 达到净化网络的目的 旁路接入 不增加网络节点 保护网络稳定 保护现有投资 我们采取旁路接入网络的方式来对网络进行管理 不增加网络节点 不影 响现有网络结构 保障了网络的稳定性 同时也不需更换设备 保护了现有投 资 记录用户的上网行为 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 24 总机 010 82611122 网址 对目标网络的浏览和访问进行详细地记录 监控的网络行为包括 http ftp smtp pop3 如网站 论坛 邮件 QQ FTP 等 等协议的网络访问 供 网络的管理者和决策者对于宽带网络应用中的问题进行分析和研究 提供数据流量统计管理 对上网用户使用信息的分时段 分应用等查询 用户信息及时完整 并可 以自动生成用户网络使用情况数据统计报表 图 网络管理员能够根据网络 上网用户信息获取网络的第一手资料 更好的管理网络 通过对用户使用信息的查询和记录 网络管理人员可以更加灵活和方便的 指定和修改网络用户的各项策略 并且能够有针对性地制定网络的应用策略 及时地预防网络病毒和黑客攻击 使网络正常健康的发展 帮助网络优化及系统信息整理 提供的强大审计记录功能 网络管理员能够及时了解网络使用情况 并据 此对网络现状作出较为准确的判断 提供了管理员对网络的优化所必需的一些 统计信息 对网络的优化以及系统信息整理起到了较大的帮助作用 4 2 44 2 4 网站防护系统设计网站防护系统设计 互联网站作为电视台对外的窗口 其安全问题直接关系电视台和政府形象 广播电视台发布重要新闻 重大方针政策以及法律 法规等的重要渠道 一旦 被黑客篡改 将严重损害政府的形象 影响社会稳定 甚至有的篡改将直接导 致事件升级成政治事件 严重危及国家安全和人民利益 总体而言 网站安全 形势与其重要性不相匹配 其安全性问题当前非常突出 常见的破坏网站的方式主要有以下几种 1 利用病毒 蠕虫 木马和间谍软件等恶意代码 破坏系统 2 利用系统漏洞 使用缓冲区溢出方式获得管理员权限 从而任意修改网站内容 窃取信息 3 XSS 攻击 即跨站脚本攻击 恶意攻击者往 Web 页面里插入恶意 html 代码 当 用户浏览该页之时 嵌入其中 Web 里面的 html 代码会被执行 从而达到恶意用 户的特殊目的 地址 北京市海淀区知春路 49 号希格玛大厦 4 层 25 总机 010 82611122 网址 4 利用 DOS DDOS 等方式 造成服务瘫痪 5 利用网站应用漏洞使用 SQL 注入或跨站攻击等方式 获得系统或数据库管理员权 限 从而任意修改数据库 达到网页篡改或破坏网页的目的 网站频遭破坏的主要原因在于网站整体安全性差 缺乏必要的日常维护 有的网站虽然在接到报告后能够恢复 但并没有根除安全隐患 从而遭到多次 篡改 当前 如何