系统平台安全架构设计方案

安全设计安全体系总体设计安全系统建设重点是，确保信息安全，确保业务应用过程安全防护、身份识别和管理。安全系统建设任务，需从技术和管理两个方面进行安全系统建设，基本技术要求从物理安全、网络安全、主机安全、应用安全和数据安全几个层面提出；基本管理要求从安全管理制度、人员安全管理、系统建设管理和系统运维管理几个方面提出，基本技术要求和基本管理要求是确保信息系统安全不可分割两个部分。本项目安全体系结构以下列图所表示。3.7.1-1安全体系结构图技术目标从安全体系上考虑，实现多个安全技术或方法有机整合，形成一个整体、动态、实时、互动有机防护体系。详细包含：当地计算机安全：主机系统文件、主机系统配置、数据结构、业务原始数据等保护。网络基础设施安全：网络系统安全配置、网络系统非法进入和传输数据非法窃取和盗用。边界安全：横向网络接入边界，内部局域网不一样安全域或子网边界保护。业务应用安全：业务系统安全主要是针对应用层部分。应用软件设计是与其业务应用模式分不开，同时也是建立在网络、主机和数据库系统基础之上，所以业务部分软件分发、用户管理、权限管理、终端设备管理需要充分利用相关安全技术和良好安全管理机制。管理目标安全建设管理目标就是依照覆盖信息系统生命周期各阶段管理域来建立完善信息安全管理体系，从而在实现信息能够充分共享基础上，保障信息及其余资产，确保业务连续性并使业务损失最小化，详细目标以下：定时对局域网网络设备及服务器设备进行安全隐患检验，确保全部运行网络设备和服务器操作系统安装了最新补丁或修正程序，确保全部网络设备及服务器设备配置安全。提供全方面风险评定、安全加固、安全通告、日常安全维护、安全应急响应及安全培训服务。对已经有安全制度，进行愈加全方面补充和完善。应明确需要定时修订安全管理制度，并指定责任人或负责部门负责制度日常维护。应委托公正第三方测试单位对系统进行安全性测试，并出具安全性测试汇报。应经过第三方工程监理控制项目标实施过程。安全技术方案网络与边界安全网络安全是指经过各种伎俩确保网络免受攻击或是非法访问，以确保网络正常运行和传输安全。1、防火墙经过防火墙进行缺省路由巡径、内部私有地址转换和公众服务静态地址映射，开启2-3层安全防护功效，完成Internet基础安全接入，实现互联网接入域正当接入控制、内容过滤、传输安全需求。2、安全隔离网闸布置安全隔离网闸，实现网间有效数据交换。3、网络基础设施可用性本项目政务网关键交换机、政务网边界防火墙采取主备冗余设计，以确保业务信息可靠传输。主机系统安全1、操作系统安全策略及时检测、发觉操作系统存在安全漏洞；对发觉操作系统安全漏洞做出及时、正确处理；及时给系统打补丁，系统内部相互调用不对外公开；经过配置安全扫描系统对操作系统进行安全扫描，发觉其中存在安全漏洞，并有针对性地对网络设备进行重新配置或升级。2、网络防病毒建立完善病毒防护管理体系，负责病毒软件自动分发、自动升级、集中配置和管理、统一事件和告警处理。经过统一管理服务器管理全部病毒防护产品，包含防病毒、防病毒网关、防垃圾邮件、防木马程序、主机入侵防护。对网络内应用服务器进行全方面防护，从而切断病毒在服务器内寄生和传输。对全部客户机进行全方面防护，彻底消除病毒对客户机破坏，确保全网安全。应用安全1、应用系统访问控制控制不一样用户在不一样数据、不一样业务步骤上查询、添加、修改、删除权限，提供面向URL控制能力，提供面向Service控制能力，提供面向IP控制能力，提供Session超时控制。限制登录失败次数：限制客户在可配置时间长度内登录失败次数，防止客户密码遭到窃取。2、数据库系统安全首先，经过系统权限、数据权限、角色权限管理建立数据库系统权限控制机制，任何业务终端禁止直接访问数据库服务器，只能够经过Web服务器或接口服务器进行访问数据库服务器，并设置严格数据库访问权限。其次，建立完备数据修改日志，经过安全审计统计和跟踪用户对数据库操作，明确对数据库安全责任。3、身份认证系统建立基于PKI/CA安全基础设施。经过信息加密、数字署名、身份认证等方法综合处理信息机密性、完整性、身份真实性和操作不可否定性问题。本项目能集成CA方式认证。数据安全数据安全主要是采取备份方式实现。对于应用软件及系统软件备份恢复，因为应用及系统软件稳定性较高，可采取一次性全备份，以预防当系统遭到任何程度破坏，都能够方便快速地将原来系统恢复出来。对于数据备份，因为数据不稳定性，可分别采取定时全备份、差分备份、按需备份和增量备份策略，来确保数据安全。配置数据备份系统，以实现当地关键系统和主要数据备份。本项目应实现对应用系统和业务数据库备份。本项目配置网页防篡改软件，经过在网页被访问时进行完整性检验，杜绝网站向外发送被篡改页面内容；配置一套数据安全防护软件，用于数据加密，确保系统生产数据安全。防火墙设计（1）防火墙布署提议控制大型网络安全一个方法就是把网络化分成单独逻辑网络域，如组织内部网络域和外部网络域，每一个网络域由所定义安全边界来保护。这种边界实施可经过在相连两个网络之间安全网关来控制其间访问和信息流。网关要经过配置，以过滤区域之间通信量和依照组织访问控制方针来堵塞未授权访问。这种网关一个经典应用就是通常所说防火墙。（2）防火墙布署作用防火墙技术是现在网络边界保护最有效也是最常见技术。采取防火墙技术，对主要节点和网段进行边界保护，能够对全部流经防火墙数据包按照严格安全规则进行过滤，将全部不安全或不符合安全规则数据包屏蔽，防范各类攻击行为，杜绝越权访问，预防非法攻击，抵抗可能DOS和DDOS攻击。经过合理布局，形成多级纵深防御体系。经过防火墙布署，实现基于数据包源地址、目标地址、通信协议、端口、流量、用户、通信时间等信息，执行严格访问控制。并将互联网服务区经过单独防火墙接口形成独立安全域进行隔离。而安全管理区集中了对安全管理和网络管理服务器，这些服务器能够集中管理整个数据中心网络及安全设备，所以需要高度防护。通常，这些安全域只有授权管理员能够访问，其余访问请求，需要被阻断。在此边界布署防火墙能够对改区域进行严格访问控制，预防非授权用户访问，阻断可能发生入侵与攻击行为。采取防火墙实现以下安全策略：安全域隔离：实现服务器区域与办公网络区域之间逻辑隔离。或者经过防火墙提供多个端口，实现服务器A区域与服务器B区域、办公网络区域等多区域逻辑隔离。访问控制策略：防火墙工作在不一样安全区域之间，对各个安全区域之间流转数据进行深度分析，依据数据包源地址、目标地址、通信协议、端口、流量、用户、通信时间等信息，进行判断，确定是否存在非法或违规操作，并进行阻断，从而有效保障了各个主要计算环境；地址转换策略：针对关键应用服务器区域，布署防火墙将采取地址转换策略，未来自内网用户直接访问变为间接访问，更有效保护了应用服务器；应用控制策略：在防火墙上执行内容过滤策略，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级控制，从而提供给系统更精准安全性；会话监控策略：在防火墙配置会话监控策略，当会话处于非活跃一定时间或会话结束后，防火墙自动将会话丢弃，访问起源必须重新建立会话才能继续访问资源；会话限制策略：对于二级信息系统，从维护系统可用性角度必须限制会话数，来保障服务有效性，防火墙可对保护应用服务器采取会话限制策略，当服务器接收连接数靠近或达成阀值时，防火墙自动阻断其余访问连接请求，防止服务器接到过多访问而瓦解；地址绑定策略：对于二级系统，必须采取IP+MAC地址绑定技术，从而有效预防地址坑骗攻击，同时采取地址绑定策略后，还应该在各个二级计算环境交换机上绑定MAC，预防攻击者私自将终端设备接入二级计算环境进行破坏；日志审计策略：防火墙详细统计了访问日志，可提供给网络管理人员进行分析。WEB入侵防护设计（1）WEB入侵防护布署提议政府单位为了提供便民服务，为了实现各种电子政务应用，必须将一部分原来在内网数据信息面对公网，面对外单位企业网络，本方案商事主体公众服务平台WEB应用服务器布署于DMZ区域，对公众公布相关社会信用信息。尽管商事主体公众服务平台WEB应用服务器已受到防火墙安全防护，但来自互联网病毒、木马、蠕虫应用层攻击很轻易会冲破防火墙防线，对WEB应用服务器带来威胁，如网页篡改，SQL注入等等，为提升网络安全性能，提议在互联网和电子政务外网WEB应用服务器分别布署一台硬件WEB防篡改设备，与防火墙一同构筑2-7层立体防护。（2）硬件WEB防篡改设备作用硬件WEB防篡改设备集成入侵防御与检测、病毒过滤、带宽管理和URL过滤等功效，经过深入到7层分析与检测，实时阻断网络流量中隐藏病毒、蠕虫、木马、间谍软件、网页篡改等攻击和恶意行为，实现对网络应用、网络基础设施和网络性能全方面保护。安全隔离网关设计⑴安全隔离网关布署提议政府部门通常按照国家电子政务建设要求组建自己电子政务网络，采取三级联网。政府单位为了提供便民服务，为了实现各种电子政务应用，必须将一部分原来在内网数据信息面对公网，面对上下级单位、面对外单位企业网络。政府政务网通常主要由四部分组成：内部运行信息系统局域网（政务内网）上下级互联广域网（政务专网）市级各部门信息资源共享政务外网提供信息公布查询等社会化服务国际互联网（外网）政府政务内外网、上下级互联互通包括数据交换，必定带来一定安全风险。原来利用互连网发动攻击黑客、病毒、下级单位人员疏忽、恶意试探也可能利用政府内部网络数据交换连接尝试攻击本单位政府内部政务网，影响到本单位内部网主要数据正常运行，所以安全问题变得越来越复杂和突出。政府网络信息交换安全标准和要求表现在以下几个方面：建立统一安全隔离平台，政府政务内网办公、业务管理系统经过统一出口实现与外部应用、单位网间可信信息交换，统一管理，执行统一安全策略，实现政务内网信息和上下级单位、外部应用网数据交换高度可控性。安全隔离网关功效性支持为保障网络安全隔离，安全隔离网关设备应具备以下特征：高性能软硬件处理平台：采取先进最新64位多核高性能处理器和高速存放器。电信级设备高可靠性：可采取N：1虚拟化技术，将多台设备虚拟化为一台逻辑设备，完成业务备份同时提升系统整体性能：可采取1：N虚拟化，划分多个逻辑虚拟防火墙，基于容器化虚拟化技术使得虚拟系统与实际物理系统特征一致，而且能够基于虚拟系统进行吞吐、并发、新建、策略等性能分配。强大安全防护功效：支持丰富攻击防范功效、包过滤和应用层状态包过滤（ASPF）功效，吞吐量不低于20G，并发链接数不低于2400万，最少满足12个千兆电口，12个千兆光口，4个万兆接口接入，实现多个接入区域安全隔离，提供万兆防护性能。全方面应用层流量识别与管理：支持精准检测各种P2P/IM/网络游戏/炒股/网络视频/网络多媒体等应用；支持精准P2P流量识别，以达成对P2P流量进行管理目标，同时可提供不一样控制策略，实现灵活P2P流量控制。高精度、高效率入侵检测引擎。基于精准状态全方面检测引擎，引擎集成多项检测技术，实现基于精准状态全方面检测，具备极高入侵检测精度；引擎采取并行检测技术，软、硬件可灵活适配，大大提升入侵检测效率。实时病毒防护：采取著名防病毒企业流引擎查毒技术，快速、准确查杀网络流量中病毒等恶意代码。迅捷URL分类过滤：提供基础URL黑白名单过滤同时，能够配置URL分类过滤服务器在线查询。IPv6状态防火墙：实现真正意义上实现IPv6条件下防火墙功效，同时完成IPv6攻击防范。集成链路负载均衡特征：经过链路状态检测、链路繁忙保护等技术，有效实现出口多链路自动均衡和自动切换。集成SSLVPN特征：满足移动办公、出差安全访问需求，可结合USB-Key、短信进行移动用户身份认证，与原有认证系统相结合、实现一体化认证接入。DLP基础功效支持：支持邮件过滤，提供SMTP邮件地址、标题、附件和内容过滤；支持网页过滤，提供HTTPURL和内容过滤；支持网络传输协议文件过滤；支持应用层过滤，提供Java/ActiveXBlocking和SQL注入攻击防范。安全管理方案安全组织体系建设为实现统一领导和分级管理标准，安全管理必须设置专门管理机构，配置对应安全管理人员，并实施“第一把手”责任制。系统安全管理机构，将依照国家关于信息网络安全法规、方针、政策等，负担所属系统各项安全管理工作，详细为：确定并组织实施所属计算机信息系统安全管理各项规章制度；监督、指导所属计算机信息系统安全保护工作，定时组织检验计算机信息系统安全运行情况，及时排除各种安全隐患；落实国家安全主管部门规章制度和要求，组织落实安全技术方法，保障计算机信息系统运行安全；组织宣传计算机信息系统安全方面法律、法规和关于政策，开展计算机信息系统安全培训和教育；负责联络和协调所属计算机信息系统各项安全工作；在结合现有组织和人员配置情况下，组织结构及岗位职责设置要充分表现统一领导和分级管理标准，主要内容包含：管理机构建立，管理机构职能、权限划分，人员岗位、数量、职责定义。安全管理制度建设安全管理制度是确保网络系统安全基础，需要经过一系列规章制度实施，来确保各类人员按照要求职责行事，做到各行其职、各负其责，防止责任事故发生和预防恶意侵犯。安全管理制度包含：安全技术规范、人员安全管理制度、设备安全管理制度、运行安全管理制度、安全操作管理制度、安全等级保护制度、有害数据防治管理制度、敏感数据保护制度、安全技术保障制度、安全计划管理制度等。安全技术规范包含：1、日常操作管理方法(针对网络安全管理员)安全事件分析主要集中在网络安全管理员，所以日常操作规范主要是对不一样级别安全管理员日常工作职责、内容、操作流程所做要求，从而实现安全防护程序化和统一化管理。2、安全策略配置管理方法依照安全问题潜在环境差异和对环境关注程度不一样，选择对应网络安全策略是网络安全建设非常主要一步，突出重点、兼顾通常策略配置能够降低风险。3、数据备份管理方法鉴于主要数据文件存在着对文件破坏后难以恢复性特点，出于对数据安全性、可恢复性考虑，必须适时进行数据备份，以实现安全防范目标，同时能够提升遭破坏后数据恢复速度。更主要是对备份数据是否存在安全隐患，确保备份数据真正安全可靠，这是数据备份管理规范区分于传统数据备份重大区分所在。4、攻击事件预警管理方法预警是对出现攻击事件报警，其主要内容包含：安全事件报警形式(电子邮件、LAN即时消息等)、预警结果传送渠道、预警结果处理。5、日志管理方法(针对网络安全管理员)日志是软件对安全防护系统工作运行结果进行统计，是管理员进行统计分析和发觉问题一个方式。其主要内容包含：日志生成、统计分析、主要情况通报