江西国税信息系统安全域划分与等级保护设计_图文

1、同济大学硕士学位论文江西国税信息系统安全域划分与等级保护设计姓名:赵新亮申请学位级别:硕士专业:软件工程指导教师:王力生;张洁卉20060401 第二章国税系统安全现状2.1国税系统现状随着江西国税信息化建设事业的不断加速发展,全省国税已建立起庞大的网络信息系统:网络方面,全省四级(省、市、县、农村分局内部广域网络已构建完毕,广域网络节点517个,国税部门还通过外部广域网络(包括政府网和Internet与纳税人、银行、国库、海关以及其它政府部门进行各类信息的交换;主机系统方面包含了IBM的H80,M80、M85、P670和HP大型机系列等,数据库采用了ORACLE 及SQLSERVER企业版,

2、应用系统方面,“增值税发票管理系统”、“综合征管系统”、“出口退税系统”、“多元化电子申报纳税系统”、“办公自动化系统”等各类应用系统已成为国税部门进行业务处理和行政办公不可或缺的重要工具。网络信息系统的广泛应用对江西国税提高工作效率、完善社会形象都起到了举足轻重的作用。2.1.1广域网结构江西国税广域网主要由省局局域网、11个下属市局局域网及各市辖属的区、县、农村分局局域网络共同组成,它与国税总局网络形成了总局、省局、市局、县(区局、农村分局的分级结构的专线网络。江西国税广域网承载了江西省范围内的所有国税业务系统。网络系统结构如图2一l江西省国家税务局广域网网络拓扑图。 图2.2江西省国家税

3、务局省局局域网网络拓扑图2.1.3市局局域网结构各市国税局的信息系统目前主要是市局本地的局域网内网,并与下级各区县分局、农村分局连接。另外,各地市局部分办公用户通过统一拨号接入等方式建立了Internet的连接,由于均使用独立的终端机,因此从物理上与本地局域网是相互隔离的。市国税局信息系统局域网标准网络拓扑图参见图2.3。各市国税局局域网网络除了与上级省局和下级区、县、农村分局两个出口外,还有与银行、国库的接口,个别市局的直属分局也单独建立网络与市局局域网连接。除了南昌市局采用了Cisco设备外,其他市局出口基本采用了华为的NE05、NE08和NEl6路由器,并都通过双SDH线路建立了广域网上

4、下级的冗余链路。目前各市局信息系统均在与银行、国库等外部网络通信的链路上部署了防火墙,建立了严格的访问控制策略。在对省局和下级县、区、农村分局广域网出口,除了南昌市局没有控制外,各地也基本部署了天融信或联想防火墙。市局网络信息系统相对省局而言比较简单,业务访问关系主要是访问省局,具体如图2t3所示: 图2.3江西省国家税务局市局局域网标准网络拓扑图2。2系统面临的威胁威胁是可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素,威胁是一个客观存在的事物,无论对于多么安全的信息系统,它都存在。威胁可能源于对系统直接或间接的攻击,例如:信息泄露、篡改、删除等,在机密性、完整性或可用性等方面

5、造成损害。威胁可能源于意外的,或有预谋的事件。一般来说,威胁总是要利用系统、应用或服务的弱点才可能成功地对资产造成伤害。从宏观上讲,威胁按照安全事件的性质可以分为人为错误、非授权蓄意行为、不可抗力、以及设施/设备错误等;按照威胁的主体可以分为系统合法用户、系统非法用户、系统组件和物理环境四种类型。1.操作错误这种威胁的主体为省局、市局及下属分局范围的管理员用户或其他合法用户,威胁的客体为整个江西国税系统范围内的所有资产。这种威胁是非故意行为,主要是由于江西国税业务系统的主机应用种类较多,管理员平时的处理和维护操作比较多,而系统管理员人数和技术能力的相对有限,技术培训比较少,必然导致这种威胁发生

6、的可能性的存在。2.滥用授权 第三章安全域的划分与管理 图3.1安全域划分例图3.4安全域访问控制根据安全域的划分原则和安全域的等级划分情况,江西国税采用3个网络等级9个安全等级的访问控制方式来建立安全域等级,同一网络内不同安全域的访问和风险示意图如图3.2所示: 第三章安全域的划分与管理 图32安全域划分例图安全域间访问风险说明: 3.5安全域的管理为了更好的指导今后网络安全的维护和建设工作,制定安全域管理规范对安全域划分总体原则、边界整合的技术等提出要求。通过安全域的划分,控制网络安全风险,降低系统风险;有效建立安全管理控制点,指导系统安全规划,设计,入网和验收工作;更好的利用系统安全措施

7、,发挥安全设备的利用率:降低系统运行维护阶段风险;明确网络和业务之间的接口,管理和安全关系,提供检查审核依据;明确业务网、支撑网与Intcrnet边界接口的安全域划分的原则,制定相应划分规范和标准;保证系统运行、改造、调整以及新设备入网时安全域能够保持一致,边界控制继续有效;规范安全域划分项目中的操作方式、流程和制度。3.5.1目标1.在复杂网络中如何划分安全域划分以及如何对安全域进行保护;2.边界整合:通过网络调整实现安全域边界的整合,包括远程接入,内部员工远程接入,多个第三方厂商远程接入等; 筇五章安全规划与建设5.2安全域访问控制安全域的访问控制主要通过防火墙来实现,各防火墙的安全策略与

8、访问规则如下:5。2.1服务器群前防火墙作用:将服务器独立出来,设立SSN区访问策略:服务器群内的对外访问全部放开(TCP、UDP、1cMP;外部访问服务器群内只开放服务器的固定业务端口。5.2.2银行接入防火墙作用:防止外网接入对国税内网的攻击。根据防火墙特性,建立较为安全的访问规则,以确保内网安全,访问规则的建立如图5.3所示: 图5.3防火墙访问规则5.2.3CTAIS区防火墙第五章安全规划与建设作用:CTAIS作为国税核心应用系统,应用防火墙隔离防护。核心系统安全规则的建立,确保了核心区的安全访问,安全规则的建立如图5.4所示: 图5.4安全规划5.2.4多元化防火墙作用:由于多元化服

9、务区存在外网与内网的数据交换,为保证内网的安全性,需要将该区域设立为非军事区。访问策略:多元化服务区内的服务器对外只开放固定端口,只允许固定服务器访问对外WEB网站服务器,只允许固定服务器访问多元化服务器。5.2.5广域网防火墙策略内网的对外(省局、县区分局访问全部放开(TCP、UDP、ICMP:外部访问内网只开放服务器的固定业务端口。网络访问规则建立如图5.5所示:第五章安全规划与建设 图5.5广域网络防火墙规则5,2.6防火墙公共管理所有防火墙开放管理网段、禁止所有节点的病毒、蠕虫可能利用的端口TCP:135、137、139、445、5554、9996UDP:1434、137、139。5.

10、3安全域审计5.3.1lDS(入侵检查系统部署省局部署:省局在CTAIS安全区域、多元化报税服务区、应用服务器区部署了一台干兆硬件入侵检测系统,在内网广域网边界部署了一台百兆硬件入侵检测系统,在外网接入及外网网站部署了一台百兆硬件入侵检测系统。对这些重要安全区域的安全事件进行实时安全监测。市局部署:市局在应用服务器区部署了一台百兆硬件入侵检测系统,在内网广域网边界部署了一台百兆硬件入侵检测系统。IDS逻辑结构如图5,6所示:第五章安夸规划与建设 图5.6全省入侵检测结构5.3.2安全日志系统目前江西国税尚没有建立专业的安全日志审计系统,但充分利用了防火墙系统和入侵检测系统的日志审计功能,建立了

11、相应的日志服务器,通过人为分析对安全事件进行一定程度的安全审计。5.3.3网络防病毒系统部署Kill网络防病毒系统的部署考虑全省国税用户众多,病毒的升级对于网络和服务器有较大的压力。全省Kill网络防病毒系统采用省、市两级部署方式。各地市部署一台Kill防病毒服务器,负责相应地市的国税用户进行病毒升级。各地市服务器Kill防病毒服务器通过网络到省局Kill服务器进行病毒升级。第五章安全规划与建设Kill网络防病毒系统策略:对于所有用户创建树状逻辑管理视图,将予网中的所有机器按行政划分、地理分布或网络结构重新布局(不同子网的机器可以位于同一容器中,目的是方便管理员的管理,及时掌握、了解、处理网络

12、中的病毒疫情。利用组织树可以将防病毒策略分发应用到组织树的所有容器中,不同的容器可以赋予不同的策略,位于同一容器中的机器,将接受相同的策略。网络化防病毒体系建设如图5.7所示: 图5.7全省防病毒情况5.4安全域的其他安全防护体系建设1、安全漏洞扫描工具的部署:省局部署实施了一台“极光”远程评估系统,为省局及各地市对所属范围内主机和终端设备进行定期安全检查提供便捷、高效的辅助手段,通过定期的安全漏洞扫描和及时采取的安全措施,基本形成了全省统一的安全预警体系。2、SUS补丁分发系统的建设:省局及11个市局分别部署了SUS补丁分发系统,实现了专网内无法访问Internet的服务器及终端设备也可以在

13、线进行安全补丁修补,大大降低操作系统漏洞导致的非法入侵和病毒蠕虫感染事件。3、KILL网络防病毒体系的构建:在全省范围内部署安装了全省统一的网络 江西国税信息系统安全域划分与等级保护设计作者:赵新亮学位授予单位:同济大学被引用次数:1次参考文献(30条1.曾国祥税收学 20012.戴子钧税收执法教育读本 19993.GB 178859-1999.计算机信息系统安全保护等级划分准则4.GAT 388-2002.计算机信息系统安全等级保护操作系统技术要求5.GB/T 17859.计算机信息系统安全等级保护划分准则6.GAT 389-2002.计算机信息系统安全等级保护数据库管理系统技术要求7.Mi

14、chael E Whitman.Herbert J Mattord信息安全原理 20058.张曜加密解密与网络安全技术 20029.王志洪现代计算机安全技术 200410.杨尚森网络管理与维护技术 200411.Jim keogh.宁建平.梁超.英宇J2EE参考大全 200412.沈苏彬网络安全原理与应用 200613.Ali Akbar Keyur Shah BEA Weblogic Server 管理指南 200314.Joe Zuffoletto Bea Weblogic Server 宝典 200415.William Stallings.杨明.胥子辉密码编码学与网络安全:原理与实践

15、200116.Carol McCullough-Dieter Oracle 9i 数据库管理员:实现与管理 200417.Craig Larman Applying UML and patterns 200418.Andrew S Tanenbaum.熊贵喜.王小虎Computer Networks 200119.Douglas R Stinson.冯登国密码学原理与实践 200320.国家信息安全工程技术研究中心电子政务总体设计与技术实现 200521.杨义先.钮心忻无线通信安全技术 200322.王书琴局域网内的安全误区期刊论文-计算机安全 2005(523.张建军解读<电子政务标准化指南-信息安全>期刊论文-信息网络安全 2003(624.王勇量子理论在信息安全领域的应用前景期刊论文-信息网络安全 2003(625.林飞陷阱机制及其在网络诱骗系统中的应用期刊论文-信息网络安全 2003(626.管海明.任朝荣PKI缺陷分析及新一代PKI的要求期刊论文-计算