图书馆计算机信息系统建设投标文件技术部分全套

图书馆计算机信息系统建设投标文件技术部分第1章总体概述阅读辅导、xxx社会教育中心，是xxx公共文化服务体系的重要组成部分。作为xxx市市级xxx图书馆，它将承担着为全市各区xxx图书馆(室)和中小学图书馆进行业务辅导、资源共享的任务。xxxxxx图书馆位于xxx市红荔路1011号(原xxx图书馆馆址)。其服务对象包括：0—18岁的青xxx;需要利用有关xxx文献信息的教育教学工作者、家长、科研人员及其他成人读者；需要获取xxx资讯的生产厂家和组织机构。同时，xxxxxx图书馆是由中国数字图书馆授权的中国数字图书馆xxx中心馆(以下简称“中心馆”),在全国十六个省市建设有中国数字图书馆xxx分馆。中心馆和分馆运用高新技术与手段，采集、加工、存贮xxx信息资源，为广大读者提供数字信息资源服务。中心馆作为牵头单位承接了文化部重点科技项目：中国xxx信息大世界——网上图书馆(以下简称“网上图书馆”),目前该项目已经结题，但建设工作仍在继续之中，服务亟待扩展。xxxxxx图书馆计算机信息系统系统工程的建设既是xxxxxx图书馆数字化建设，也是中国数字图书馆xxx中心馆的建设，两者是相辅相成、相互补充、相互融合的，是一体化建设。本项目既要充分考虑到xxxxxx图书馆本馆和本地区的计算机信息系统建设的需求，也要全面考虑到xxxxxx图书馆作为中国数字图书馆xxx中心馆的地位和任务，以便实现xxxxxx图书馆“立足xxx、服务全国、面向世界”的目标。xxxxxx图书馆计算机信息系统建设的主要目标是建设适应现代xxx图书馆发展需求的网络平台，其中的安全技术标部分的主要建设目标是保障项目中各子系统的网络安全与信息安全。1、计算机信息系统安全设备及相关集成(含软硬件)部分(安全机柜另行采购，不在木项目招标范围内);のUPS系统的设计ØUPS系统的安装调试3、协助计算机信息系统服务器设备及相关集成项目的中标供应商完成计算机信息系统中的主机系统、存储系统、网络系统、安全系统、UPS设备、外设与终端等六部分内容之间的硬件集成工4、协助业主、总集成商、监理单位完成软硬件总集成任务。为了保证能够达到上述目标任务，在进行项目建设时，需要严格1.4.1实用性原则实用性原则主要体现在以下方面：以现行需求为基础，适当考虑使用方便的技术设备和措施。创造一个开放的网络平台，支持多种业务的同时传输，如支持语音、图象等多媒体业务。1.4.2安全性原则1)协议的安全性在网络中运行着很多网络协议，包括路由协议和各种为上层应用服务的广域网，局域网络协议等，路由器上也存在着很多服务，有些服务是网络运行所必需的，必须打开它，而有些服务是对网络运行无关紧要或无用的，可以关闭。正是这些网络协议或服务，确保了网络系统的正常运行，因此，我们首先应确保这些网络协议或服务的安全性。2)应用服务协议的安全对这些路由协议和各种上层应用服务的协议，我们应区别对待。首先，对于网络运行所必需的协议，如路由协议等，我们不但应正常运行，而且必须加以保护，以防止非法路由器加入或伪造的路由信息，系统如何能够鉴别出哪些路由信息是可靠的呢，就必须采用一些加密技术或邻机校验方法，以完成认证，对于网络运行无关紧要或无用的协议，则应严格限制或关闭，而对于对网络运行有危害或本身有安全缺陷的协议，则应关闭。3)路由协议的安全在路由协议安全性方面，我们可以采用路由器邻居相互校验，校验方式可以是明码方式或MD5加密方式，对于OSPF、BGP既可采用MD5校验方式，也可以采用明码方式。通过明码或MD5加密方式校验，可以确保只有有效的路由器才能加入到网络，从而能够避免非法的路由器或伪造的路由信息加入到网络中，使路由出错，导致网络瘫痪。4)设备的安全性对网络设备的访问与配置，主要有以下两种方式：控制口console的控制和远程登录telnet的控制。A控制口console的控制B远程登录telnet的控制C用户的分级管理D设备支持WEB配置1.4.3可靠性原则为保证各项业务应用，网络必须具有高可靠性，决不能出现单点故障。要对整个网络的机房布局、结构设计、设备选型、日常维护等各个方面进行高可靠性的设计和建设。在关键设备采用硬件备份、冗余等可靠性技术的基础上，采用相关的软件技术提供较强的管理机制、控制手段和事故监控与安全保密等技术措施提高1.4.4成熟和先进性原则在网络结构设计、网络配置、网络管理方式等方面采用国际上先进同时又是成熟、实用的技术。设备厂商和系统集成商应有相关1.4.5规范性原则网络设计所采用的组网技术和设备应符合国际标准、国家标准和业界标准，为网络的扩展升级、与其他网络的互联提供良好的基1.4.6开放性和标准化原则在设计时，要求提供开放性好、标准化程度高的技术方案；设备的各种接口满足开放和标准化原则，如果是不同厂商的产品，必须之间具备可操作性与可管理性。1.4.7可扩充和扩展化原则有充分的机制方便各网点的扩展、业务量和业务种类的扩展，保证建设完成后的网络在向新的技术升级时，能保护现有的投资。网络可扩展的关键在于能否实现合理的层次化设计，采取层次化的设计可以根据网络需求的变化，可在不影响现有网络运行的状况下，迅速扩展。网络的建设必须具有良好的灵活性与可扩展性，能够根据今后业务不断深入发展的需要，扩大设备容量和提高用户数量和质量的功能。具备支持多种网络传输、多种物理接口的能力，提供技术升级、设备更新的灵活性。在网络设备选型过程中，每个核心骨干层次设计中所采用的设备本身应具有极高的端口密度，层次化设计为整个网络的扩展奠定了基础。同时，我们应充分考虑路由协议的选用，使路由协议为整个网络的发展带来极强的路由扩展能力。1.4.8可管理性原则整个网络系统的设备和服务器的安全性、数据流量、性能等得到很好的监视和控制，并可以进行远程管理和故障诊断。本方案所遵守的技术标准但不限于以下标准：《计算机信息系统安全等级保护网络技术要求》GA/T387-2002《信息安全技术网络基础安全技术要求》GB/T20270-2006《国家电子政务网络技术和运行管理规范》GB/T21061-2007《基于网络的企业信息集成规范》GB/Z18729-2002《系统设计方案建议书》《信息技术设备用不间断电源通用技术条件》GB/T-14715-1993第2章技术方案设计2.1总体框架设计本部分内容包括计算机信息系统安全设备(含软硬件)的采购、部署、安装、调试及集成。本项目为包干工程，安全设备(含软硬件)安装、调试、集成直至能够正常使用。xxxxxx图书馆中心机房的供电：主要由两套并联的UPS系统集中为四楼的IT机房及楼层网络设备供电。2.2安全风险与安全需求分析2.2.1安全体系结构计算机安全事业始于本世纪60年代末期。当时，计算机系统的脆弱性已日益为美国政府和私营部门的一些机构所认识。但是，由于当时计算机的速度和性能较落后，使用的范围也不广，再加上美国政府把它当作敏感问题而施加控制，因此，有关计算机安全的研究一直局限在比较小的范围内。进入80年代后，计算机的性能得到了成百上千倍的提高，应用的范围也在不断扩大，计算机已遍及世界各个角落。并且，人们利用通信网络把孤立的单机系统连接起来，相互通信和共享资源。但是，随之而来并日益严峻的问题是计算机信息安全的问题。人们在这方面所做的研究与计算机性能及应用的飞速发展不相适应，因此，它已成为未来信息技术中的主要问题之一。由于计算机信息有共享和易于扩散等特性，它在处理、存储、传输和使用上有着严重的脆弱性，很容易被干扰、滥用、遗漏和丢失，甚至被泄露、窃取、篡改、冒充和破坏，还有可能受到计算机病毒的感染。国际标准化组织(ISO)将"计算机安全"定义为："为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。"此概念偏重于静态信息保护。也有人将"计算机安全"定义为："计算机的硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄露，系统连续正常运行。"该定义着重于动态意义描述。计算机安全的内容应包括两方面：即物理安全和逻辑安全。物理安全指系统设备及相关设备受到物理保护，免于破坏、丢失等。逻辑安全包括信息完整性、保密性和可用性：●保密性指高级别信息仅在授权情况下流向低级别的客体与主●完整性指信息不会被非授权修改及信息保持一致性等；可用性指合法用户的正常请求能及时、正确、安全地得到服一个系统存在的安全问题可能主要来源于两方面：或者是安全控制机构有故障；或者是系统安全定义有缺陷。前者是一个软件可靠性问题，可以用优秀的软件设计技术配合特殊的安全方针加以克服；而后者则需要精确描述安全系统。美国国防部(DOD)于1985年出版了《可信计算机系统的评价准则》(又称"桔皮书"),使计算机系统的安全性评估有了一个权威性的标准。DOD的桔皮书中使用了可信计算基础(TrustedComputingBase,TCB)这一概念，即计算机硬件与支持不可信应用及不可信用户的操作系统的组合体。桔皮书将计算机系统的可信程度划分为D、C1、C2、B1、B2、B3和A1七个层次。在DOD的评估准则中，从B级开始就要求具有强制存取控制和形式化模型技术的应用。桔皮书论述的重点是通用的操作系统，为了使它的评判方法使用于网络，美国国家计算机安全中心于1987年出版了《可信网络指南》。该书从网络安全的角度出发，解释了准则中的观点。根据计算机网络通信系统依照的开放系统互联参考模型，我们认为网络安全实际上包含了构成整个网络信息系统的各个层面的物理层的安全物理层信息安全，主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击(干扰等)。链路层的安全链路层的网络安全需要保证通过网络链路传送的数据不被窃听。(局域网)、加密通讯(远程网)等手段。网络层的安全网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。操作系统的安全操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。应用平台的安全应用平台指建立在网络系统之上的应用软件服务，如数据库服务器、电子邮件服务器、Web服务器等。由于应用平台的系统非常复杂，通常采用多种技术(如SSL等)来增强应用平台的安全性。应用系统的安全应用系统完成网络系统的最终目的--为用户服务。应用系统的安全与系统设计和实现关系密切。应用系统使用应用平台提供的安全服务来保证基本安全，如通讯内容安全，通讯双方的认证，审从安全技术实现的角度来看，网络信息系统的安全体系也应该是一个多层次、多方面的结构。它应当包含：1、访问控制。通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。2、检查安全漏洞。通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。3、攻击监控。通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采取响应的行动(如断开网络连接、记录攻击过程、跟踪攻击源等)。4、加密通讯。主动的加密通讯，可使攻击者不能了解、修改敏感信息。5、认证。良好的认证体系可防止攻击者假冒合法用户6、检测预防和清除病毒，防止各种病毒带来的信息危害。尽快地恢复数据和系统服务。8、多层防御。攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。9、设立安全监控中心，为信息系统提供安全体系管理、监控、保护及紧急情况服务。通常，系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务(断开),外界是不可能构成安全威胁的。但是，若要提供更多的服务，将网络建成了一个开放的网络环境，各种安全包括系统级的安全问题也随之产生。构建平台安全系统，一方面由于要进行认证、加密、监听、分析、记录等工作，由此影响网络效率，并且降低客户应用的灵活性；另一方面也增加了管理费用。但是，来自网络的安全威胁是实际存在的，特别是在网络上运行关键业务时，网络安全是首先要解决的问题。因此我们应当选择适当的技术和产品，制订灵活的网络安全策略，在保证网络安全的情况下，提供灵活的网络服务通道。同时采用适当的安全体系设计和管理计划，能够有效降低网络安全对网络性能的影响并降低管理费用。2.2.2网络信息系统安全风险分析信息系统作为业务运营的支撑系统，系统安全的重要性是不言而喻的。网络互联技术的采用为xxxxxx图书馆计算机信息系统实现信息共享和业务互动提供了便利，但同时也使信息系统安全风险变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失；另外加上缺乏安全控制机制和对信息安全政策及防护意识的认识不足，安全风险正日益加重。瞄准计算机网络系统可能存在的安全漏洞，黑客们所制造的各类新型的风险将会不断产生，这些风险由多种因素引起，与网络系统结构和网络应用服务等因素密切相关。完整的网络安全风险评估是对网络内的信息资产进行价值评估、对网络中存在的威胁进行评估、对整体安全策略和制度的有效性进行评估、以及对系统漏洞(弱点)被利用的可能性进行评估后的综合结果。它是一项综合系统的工程，是风险管理的重要组成部分，也是整体信息安全解决方案的重要参考依据。我们所理解的风险关系如下图所示：图2.1网络安全的风险关系下面将首先分层次对xxxxxx图书馆计算机信息系统中存在的安全弱点进行描述，然后结合网络信息系统可能面临的安全威胁总结出xxxxxx图书馆计算机信息系统网络信息系统中目前存在的安全风险。2.2.3信息系统中存在的安全弱点xxxxxx图书馆计算机信息系统中存在较多的安全弱点(脆弱性),分别体现在构成信息系统的物理环境和设备、数据链路、网络系统和通讯协议、操作系统和应用平台以及管理等各个层面，例如：l物理层脆弱性网络信息系统的顺利有效运行必须依赖其所处的物理环境(如机房)和硬件基础设施(各种服务器、路由器、交换机、工作站等硬件设备和通信线路)的可靠运行，任何一处的失效都可能导致整个系统的不可用。物理层可能存在的安全弱点包括：n机房和传输线路缺少必要的防电磁泄漏机制n机房缺乏必要的门禁系统n机房缺乏必要的视频监视系统n物理设备缺乏必要的灾难备份机制I链路层脆弱性图书馆计算机信息系统中局域网均采用基于开放互联标准的以太网组网方式，各局域网间互联采用了公共传输线路，因此在数据链路层存在着一定的安全弱点，主要体现在以下两个方n由于传输链路是完全开放的，任何人都可能采用监听机制窃取或篡改在局域网或广域网链路上所传输的信息数据n由于局域网的物理地址是可以动态分配的，因此，人们就可以盗用他人的物理地址发送或接受分组信息xxxxxx图书馆计算机信息系统由局域网系统通过租用的广域网线路(DDN、PSTN)互联而成，网络通讯协议采用标准的TCP/IP,因此网络层面存在较多的安全弱点，主要分为以下几个方面：nIP协议本身的安全弱点：IP协议本身未加密使得人们非法盗窃信息和口令等成为可能n网络操作系统的安全弱点：一些重要的网络设备，如路由器、交换机、网关防火墙等，其所采用的网络操作系统，不论是IOS,windows,Linux还是Unix,都存在固有的安全弱点，可能导致网容易造成设备被他人非法操控n网络拓扑结构的安全弱点：网络拓扑结构是否按照安全体系结构和安全机制进行设计，直接影响到网络平台的安全保障能力，不同机构的局域网之间是否进行隔离及如何进行隔离，网段划分是否合理，路由是否正确，网络的容量、带宽是否考虑网络流量的峰值，网络设备有无冗余设计等都与安全问题密切相关nSNMP网管协议的安全弱点：由于SNMP协议的认证机制非常简单，且使用未加密的明码传输，这就存在人们通过非法途径获得SNMP协议分组并分析破解有关网络管理信息的可能性I系统和应用脆弱性n网络内部运行有大量的重要服务器，操作系统和应用软件不可能是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标，曾经出现过的黑客攻入网络内部的事件，这些事件的大部分就是因为安全弱点被暴露所招致的苦果。n业务终端均采用基于Windows平台的PC工作站，存在较多的安全漏洞，极易受到病毒、黑客程序的入侵和攻击，并很容易通过网络应用(文件共享、电子邮件等)传播到其他主机和终端上，最终导致整个信息系统性能下降甚至瘫痪。l管理脆弱性n缺乏针对性的安全策略和安全技术规范，安全管理和运行维护的组织不健全。n缺乏有效的安全监控措施和评估检查制度，无法有效的发现和监控安全事件，不利于及时发现安全事件并采取相应的措施。n缺乏完善的灾难应急计划和制度，对突发的安全事件没有制定有效的应对措施，没有有效的对安全事件的处理流程和制度。2.2.4信息系统所面临的安全威胁一般来说网络所面临的威胁大体可分为两种：一是对网络中信息的威胁；二是对网络中设备的威胁。影响计算机网络的因素很多，有些因素可能是有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是外来黑客对网络系统资源的非法使用，归结起来，针对信息系统安全的威胁主要有三：n来自于各种自然灾害，如洪水、地震、飓风、泥石流、雪崩、雷电风暴及其它类似事件。l环境威胁n包括恶劣的场地环境、电力故障、电磁辐射和电磁干扰、网络设备自然老化等。这些都属于无目的的事件，有时会直接威胁网络系统的安全，影响信息的存储和传输媒介。I人为威胁n即对网络的人为攻击，多是通过寻找目标系统的弱点，以便达到破坏、欺骗、窃取数据等目的，造成有形资产和无形资产上不可估量的损失。人为威胁可能来自于未经培训的员工、蓄意破坏者或黑客。从安全事件发生的概率上看，我们将更多地关注人为威胁。人为威胁可表现为两种：非恶意的和恶意的。非恶意威胁非恶意的威胁主要是由于合法用户的正常过失引起的数据机密性和完整性问题，如系统配置不当、操作失误、共享账号、管理疏忽等。非恶意威胁通常来自计算机操作经验不足、培训不足或缺乏安全意识的用户和员工。恶意威胁恶意威胁即我们通常所说的攻击，一般都是有目的破坏性活动，可能的来源包括对现状不满或怀有恶意的内部人员，以及离职员通常对系统具有某种级别的合法访问权限，可侵袭计算机安全或应用程序的所有组件，并了解哪些攻击行为和漏洞可使组织遭受最大的损失，这种类型的攻击极难检测或进行保护，也是危害最大的一种。攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。由于网络信息系统结构复杂，众多的分支机构互相联网，人为的恶意攻击危害性最大，容易导致数据的泄漏和破坏及其他安全隐2.2.5网络信息系统中可能遭遇到的病毒威胁分析目前绝大多数病毒传播的途径是网络。对于一个网络系统而言，针对病毒的入侵渠道和病毒集散地进行防护是最有效的防治策实时检测其中是否有病毒，是构建一个完整有效反病毒体系的关1来自系统外部(Internet或外网)的病毒入侵：这是目前病毒进入最多的途径。因此在与外部连接的网关处进行病毒拦截是效率最高，耗费资源最少的措施。可以使进入内部系统的病毒数量大为减少。但很明显，它只能阻挡进出内部系统病毒的入侵。I网络邮件/群件系统：如果网络内采用了自己的邮件/群件系统实施办公和信息自动化，那么一旦有某个用户感染了病毒，通过邮件方式该病毒将以几何级数在网络内迅速传播，并且很容易导致邮件系统负荷过大而瘫痪。因此在邮件系统上部署反病毒也显I文件服务器：文件资源共享是网络提供的基本功能。文件服务器大大提高了资源的重复利用率，并且能对信息进行长期有效的存储和保护。但是一旦服务器本身感染了病毒，就会对所有的访问者构成威胁。因此文件服务器也需要设置反病毒保护。l最终用户：病毒最后的入侵途径就是最终的桌面用户。由于网络共享的便利性，某个感染病毒的桌面机可能随时会感染其它的机器，或是被种上了黑客程序而向外传送机密文件。因此在网络内对所有的客户机进行防毒控制也是非常重要的。1集中管理：对于一个大型网络来说，部署的防毒系统将十分复杂和庞大。尤其在各网点在地域上分离的情况下，通过一个监控中心对整个系统内的防毒服务和情况进行管理和维护显得十分重要。这样可以大大降低维护人员的数量和维护成本，并且缩短了升级、维护系统的响应时间。防毒系统的最大特点是需要不断的升级和更新防毒软件，以应对新产生的各类病毒。因此各点的防毒软件集中进行升级行动也是有效防毒的重要一环。2.3信息系统安全风险总结通过对上述信息系统的弱点和威胁进行分析，我们可以对系统所面临的风险从物理安全、链路安全、网络安全、系统安全、应用安全、数据安全及管理安全进行分类描述：2.3.1物理安全风险物理安全是整个网络系统安全的前提。物理层面存在的安全风险可以细分为如下三个方面：1、物理环境安全风险数据丢失等；I机房电力设备和其它配套设备的运行故障造成设备断电以至操作系统引导失败或数据库信息丢失；I机房安全设施自动化水平低，不能有效监控环境和信息系统工作，即使发生非法侵入事件也无法迅速察觉；l因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能正常工作；l电磁辐射可能造成数据信息被窃取或偷阅。2、物理设备的安全风险l信息系统所依赖的网络设备如交换机、路由器等，服务器如PC1个人电脑如台式机和便携机等被非法盗取或毁坏而造成信息I通信中断：由于通信线路自身故障或被恶意切断或过高电压等导致信息系统的通信线路出现意外中断，造成信息系统资源的不I传输错误：信息系统的重要数据在传输过程中可能出现错误，导致信息完整性和可用性的破坏。I入侵者可能在传输线路上安装窃听装置，窃取网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改l局域网用户随意更改物理地址或盗用他人的物理地址来进行网络活动，将会给访问控制、网络计费等带来麻烦。2.3.3网络安全风险在xxxxxx图书馆计算机信息系统中，从安全程度和安全角度的不同主要可以划分为几个不同的网络安全区域：我们将从以下几个角度来分析公司网络环境中存在的安全风险：(1)来自外部网络的安全威胁攻击，会造成网络通讯和应用服务的中断，影响业务的正常运行；I蠕虫病毒的传播和爆发，将使整个网络处于瘫痪状态；1目前，垃圾邮件已经成为网络安全的又一种重大威胁，垃圾邮件或邮件炸弹的爆发将使网络带宽大量被消耗，邮件服务器系统资源消耗殆尽，不能够进行正常的邮件转发服务；(2)来自内部网络的安全威胁l内部用户通过Sniffer等嗅探程序在网络内部抓包，获得系统用户名和口令等关键信息或其他机密数据，进而假冒内部合法身份进行非法登录，窃取内部网重要信息；1内部用户通过扫描软件获取其他用户系统或服务器的配置信息和安全漏洞，并利用这些信息对整个网络或其他系统进行破坏；I局域网内部没有采取有效的访问控制机制，任何一个稍微有点计算机操作能力的人员都可以利用从Internet下载的黑客攻击工具进行网络攻击，由于内部人员比较熟悉系统的情况，其攻击行为更容易取得成功(据权威数据表明，有97%的攻击是来自内部攻击和内外勾结的攻击，而且内部攻击成功的概率要远远高于来自于外部网络的攻击，造成的后果也严重的多);(3)网络传输的安全问题I攻击者有可能在传输线路上安装窃听装置，窃取网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，其开发厂商必然有其后门。而且系统本身必定存在安全漏洞。这些“后门”或安全漏洞都将存在重大安全隐患。但是从实际应用上，系统的安全程度跟对其进行安全配置及系统的应用面有很大关系，操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手。如果进行安全配置，比如，填补安全漏洞，关闭一些不常用的服务，禁止开放一些不常用而又比较敏感的端口等，那么入侵者要成功进行内部网是不容易，这需要相当高的技术水平及相当长时间。2.3.5应用安全风险应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也动态。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。资源共享信息系统内部用户有意、无意把硬盘中重要信息目录共享，并缺少必要的访问控制策略，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密。各级机构网络均连入互联网，电子邮件将成为内外用户间信息传递的一种重要手段，可能存在被黑客跟踪或收到一些特洛伊木马、病毒程序等的危险，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，让黑客掌握了系统的主动权，给系统带来不安全因素。病毒和恶意程序随着计算机工业和互联网的发展，会编写病毒程序的人也越来越多，遭受计算机病毒感染的机会也越来越大。网络是病毒传播的使用盗版光盘或软盘、人为投放等传播途径潜入内部网。因此，使用计算机的人都必须提高警惕，以防病毒感染。所谓计算机病毒，是指一种能使自己附加到目标机系统的文件上的程序。它在所有破坏性设备中最具危险性，可以导致服务拒绝、破坏数据，甚至使计算机系统完全瘫痪。当病毒被释放到网络环境时，其无法预测的扩散能力使它极具危险性。病毒会突破系统的访问控制，对系统造成破坏，可能造成机器死机、信息泄漏、文件丢失等威胁。在一个互联互通的网络计算环境下，只要任何一个节点网络中的任何一台主机遭受到病毒感染，那么病毒将很容易在很短的时间内迅速地蔓延到整个网络中去，最终造成无法估量的侵害。近年来人们遭受更多的当属蠕虫病毒的威胁。蠕虫病毒是一种通过网络传播的恶性病毒，它利用系统(包括操作系统、数据库、应用软件)的漏洞，攻击该漏洞依附的TCP、UDP等协议的端口，造成系统瘫痪，或对网络造成拒绝服务。蠕虫病毒可以在短短几个小时甚至几十分钟时间内，横扫全球，搅乱世界。几十万台、上百万台机器在顷刻间崩溃，数据丢失，服务停顿，造成无数经济损失和名誉损失。此外如特洛伊木马类型的恶意程序，由于它们并不会自我复制，常常不被归类成病毒，但它们表面上看起来好像有某种用途或可以提供娱乐效果的程序，如NetBus就伪装成一个小游戏。其真正目的很可能恰好与外表相反，会对文件进行破坏，或在计算机中植入病毒。特洛伊木马类型的恶意程序最大的坏处就是潜入计算机，窃取用户的合法账号和口令，从而使攻击者方便地侵入内部局域网。2.3.6数据安全风险数据安全对xxxxxx图书馆计算机信息系统来说尤其重要，如果数据在存储、处理过程中被非法复制或破坏，或在传输过程中被非法窃取或篡改，则其可用性、机密性、真实性、完整性就得不到保证，可能给企业造成巨大的经济损失。2.3.7管理安全风险安全的网络设备离不开人的管理，好的安全策略最终要靠人来实施，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。安全管理包括技术和设备的安全管理，制度化的安全管理，部门与人员的组织规则等。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理的安全风险，即使采用了各种先进的安全技术手段，信息系统仍然无法有效抵御所受到的各种安全威胁。管理层面的安全风险举例如下：u内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。u机房重地却被任何人都可以进进出出，来去自由。存有恶意的入侵者便有机会得到入侵的条件。u内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的错误地进入数据库、删除数据等等。这些都将给网络造成极大的u非法人员进入重要部门或机房，非法获得资料或对设备进行破u员工有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密，因为缺少必要的访问控制策略。u大量的人为因素的安全隐患，为破坏着进入系统造成了便利，1.部分系统管理员密码强度不够，或没有设置密码；2.密码和帐号名相同或者采用帐号名翻转作为密码；3.采用电话号码作为密码；4.采用单一字符集作为密码，例如qqqqqq;2.4信息系统安全需求分析目前xxxxxx图书馆计算机信息系统的局域网基本上都没有采取机构必须采取必要的网络安全防护，否则任何一个节点的安全风险都可能影响全网系统的安全。根据对xxxxxx图书馆计算机信息系统安全风险的全面分析认为，从整体安全的角度出发，在构成信息系统的各个层面上都存在着加强安全防护的需求，具体包括以下几个方面。2.4.1物理层安全需求主要是解决物理环境、物理设备和通信线路的安全问题，包括：确保各台关键网络设备和服务器主机设备所工作的物理环境条件满足网络系统正常安全运行的需要；搭线窃听攻击；防止因管理疏忽而使非法人员闯入网络设备间、信息中心机房等关键区域进行偷窃或物理破坏；确保重要的网络设备和主机设备具有高效屏蔽的工作环境，避免因电磁辐射导致关键信息泄露；2.4.2网络通讯安全需求访问控制需求I防范非法用户的非法访问非法用户的非法访问也就是黑客或间谍的攻击行为。在没有任何防范措施的情况下，网络的安全主要是靠主机系统自身的安全，如用户名及口令字这些简单的控制。但对于用户名及口令的保护方式，对有攻击目的的人而言，根本就不是一种障碍。他们可以通过对网络上信息的监听，得到用户名及口令或者通过猜测用户及口令，这都将不是难事，而且可以说只要花费很少的时间。因此，要采取一定的访问控制手段，防范来自非法用户的攻击，严格控制只有合法用户才能访问合法资源。l防范合法用户的非授权访问合法用户的非授权访问是指合法用户在没有得到许可的情况下访问了他本不该访问的资源。一般来说，每个成员的主机系统中，有一部份信息是可以对外开放，而有些信息是要求保密或具有一定的隐私性。外部用户(指数字网络合法用户)被允许正常访问的一定的信息，但他同时通过一些手段越权访问了别人不允许他访问的信息，因此而造成他人的信息泄密。所以，还得加密访问控制的机制，对服务及访问权限进行严格控制。I防范假冒合法用户的非法访问从管理上及实际需求上是要求合法用户可正常访问被许可的资源。既然合法用户可以访问资源。那么,入侵者便会在用户下班或关机的情况下，假冒合法用户的IP地址或用户名等资源进行非法访问。因此，必需从访问控制上做到防止假冒而进行的非法访问。传输加密需求加密传输是网络安全重要手段之一。信息的泄漏很多都是在链路上被搭线窃取，数据也可能因为在链路上被截获、被篡改后传输给对方，造成数据真实性、完整性得不到保证。如果利用加密设备对传输数据进行加密，使得在网上传的数据以密文传输，因为而且加密技术还能对数据传输过程中的完整性、真实性进行鉴别。可以保证数据的保密性、完整性及可靠性。因此，网络系统中必需采用相应的加密技术对数据进行传输加密。防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制(允许、禁止、报警)。但网络配置了防火墙却不一定安全，防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击。因为网络安全是整体的，动态的，不是单一产品能够完全实现，所以确保网络更加安全必须配备入侵防护系统，对透过防火墙的攻击进行检测并做相应反应(记录、报警、阻断)。2.4.3操作系统安全需求安全漏洞检测和修补需求网络系统存在安全漏洞(如安全配置不严密等)和操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。入侵者通常都是通过一些程序来探测网络中系统中存在的一些安全漏洞，然后通过发现的安全漏洞，采取相就技术进行攻击，因此，必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞，并采用相应的措施填补系统漏洞，对网络设备等存在的不安全配置重新进行安全配置。安全加固需求对关键的服务器主机系统进行安全加固，提供用户认证、访问控制和审计，严格控制用户对服务器系统的访问，禁止黑客利用系统的开口隐患和安全管理功能的不足之处进行非法访问，避免内部用户的滥用。2.4.4网络应用安全需求防病毒需求针对防病毒危害性极大并且传播极为迅速的特点，必须配备涵盖客户端、服务器、邮件系统、互联网网关的整套防病毒体系，实现全网的病毒安全防护，彻底切断病毒繁殖和传播的途径。防垃圾邮件需求必须采用有效的手段防范互联网垃圾邮件进入网络内部邮件服务器系统，干扰正常业务通信。必须采用必要的用户身份认证和授权管理机制，对网络用户身份的真实性、合法性进行集中的控制。对重要的业务数据和管理数据应提供可靠的备份机制，防止因非法攻击或意外事件造成数据的破坏；对敏感数据的存储和通讯采用可靠的加密机制，使攻击者无法窃取、篡改和破坏敏感信息。2.4.6安全管理需求提高人的安全意识可以通过安全常识培训来实现。对人的行为的约束只能通过严格的管理体制，并利用法律手段来实现。网络系统中也可以通过部署相应的安全管理产品，采用一定的技术手段监控各种网络行为。根据用户的实际需要，我们将主要从网络层、系统层和应用层几个方面考虑安全的问题，确保系统具有足够的安全保护措施来保证系统稳定运行和防止外界的恶意攻击。具体安全需求如下：l网络隔离和访问控制防范外部网络用户或Internet黑客利用公司网络的对外互联通信接口非法侵入局域网，或进而通过广域网侵入某个分公司局域网进行各种破坏活动，尤其是防范外界人员对公司的核心管理和业务主机系统进行攻击，同时也要防止因内部网用户的滥用或误用而导致内部网络遭受外界侵害；对各级单位网络之间的通信进行控制，防范任何一个单位网络中的非授权用户通过企业广域网平台非法访问及侵入其他单位网络进行各种破坏活动，同时也防止外部人员利用某个单位的网络间接对其他单位网络进行攻击，此外，对于采用单机拨号方式联网的远程营业网点提供可靠的用户身份认证和网络访问授权管理，防止外界非授权人员通过拨号方式非法侵入公司网络；I数据传输安全xxxxxx图书馆计算机信息系统中传输的数据一旦被攻击者窃听、篡改均会造成社会影响和经济损失。因此需要采取密码学技术保证数据的机密性，确保信息数据在网络(主要是广域网)传输过程中不被非法窃取。通过数字签名机制检验数据从数据源到目的地的传输过程中是否被篡改以及数据的真实来源，实现数据的完整性和真实性。l网络入侵检测和攻击防范对xxxxxx图书馆计算机信息系统网络中各重要网段上流经的各种通信流量进行实时监视和分析，及时发现并阻止非法攻击行为，防止其对网络中的关键应用系统和信息数据造成侵害，不管攻击是来自网络内部或外部；l网络安全评估和漏洞扫描采用专业工具对重要的网络和主机设备如路由器、交换机、服务器、工作站、防火墙等提供自动的安全漏洞检测和分析，对网络中的应用服务协议进行安全风险评估，帮助及时检测、发现系统和服务中所固有的及因配置不当而存在的安全漏洞，并提供有效的报告和建议以便对所发现的漏洞做出及时、正确的处理；l病毒防范需要建立全方位、多层次的病毒防范体系，能够在病毒发作后杀毒，更重要的是起到事先预防、报警的作用，保护重要文件和数I安全审计提供一个分布式的集日志存储、分析、管理等功能于一身的安全审计平台，在具有多种网络设备及主机类型的复杂网络环境中，通过记录、分析网络中的各类日志信息，并实时监视网络中的各种设备状态，及时、有效分析出网络中发生的安全事件及入侵行I安全管理建立安全管理制度，包括对安全产品的管理制度、安全人员的工作职责、安全服务计划等，从管理上提高系统的安全水平。当然，系统内部安全性问题也很重要，尤其是重要的服务器系统和应用系统的安全问题，应当充分利用系统自身提供的安全功能进行有效的安全管理配置，必要时辅以适当的安全软件，如系统安全加固、用户身份认证和授权等，确保整个信息系统的安全性。关于这方面的设计我们将在其他方案中专门进行详细阐述。第3章安全方案总体设计3.1常用信息安全保护技术网络信息安全强调的是通过技术和管理手段，能够实现和保护消息在公用网络信息系统传输、交换和存储流通的保密性、完整性、可用性、真实性和不可抵赖性。因此当前网络信息安全保护技术主要是两个类型：主动防御技术和被动防御技术。当然在实际系统安全建设中，可根据安全风险、投资规模，选择其中几种安全防御技术，分次分批的部署安全产品，提高系统的安全防护水平。(1)主动防御技术I数据加密：密码技术是公认保护网络信息安全的最实用办法。对数据最有效的保护就是加密，因为加密的方式可用不同的手段来实现。l身份鉴别：身份鉴别强调一致性验证，验证要与一次性证明相匹配。通常身份鉴别包括：验证依据、验证系统和安全要求。I存取控制：存取控制是主体对客体具有规定权限操作的能力。存取控制的内容包括：人员限制、访问权限设置、数据标识、控制类型和风险分析等。它是内部网络信息安全的重要方面。I权限设置。规定合法用户访问网络信息资源的资格范围，即反映能对资源进行何种操作。1虚拟专用网技术。使用虚拟专用网VPN或虚拟局域网VLAN技术。VPN技术就是在公网基础上进行逻辑分割而虚拟构建的一种特殊通信环境，使其具有私有性何隐蔽性。VPN也使一种策略，可为用户提供定制的传输何安全服务。(2)被动防御技术1防火墙技术：防火墙是内部网与Internet(或一般外网)间实现安全策略要求的访问控制保护，是一种具有防范免疫功能的系统或系统组保护技术，其核心的控制思想是包过滤技术(也有应用代理技术)。1入侵防护系统。IDS就是在系统中的检查位置执行入侵检测功能的程序或硬件执行体，可对当前的系统资源何状态进行监控，检测可能的入侵行为。l安全扫描器。它可自动检测远程或本地主机及网络系统的安全性漏洞点的专用功能程序，可用于观察网络信息系统的运行情况。1病毒防护。通过各种检测手段如特征码比对、行为监测等发现并清除文件中附带的病毒，避免对系统、应用和数据造成危害。1口令验证。它利用密码检查器中的口令验证程序查验口令集中的薄弱口令，防止攻击者假冒身份登入系统。I审计跟踪。它对网络信息系统的运行状况进行详细审计，并保持审计记录和日志，帮助发现系统存在的安全弱点和入侵点，尽量降低安全风险。l物理保护和安全管理。它通过制定标准、管理办法和条例，对物理实体和信息系统加强规范管理，减少人为管理因素不力的负3.1.1防火墙技术防火墙作为置于不同网络安全域之间的访问控制设备，是增强内部网络安全性的重要安全措施，防火墙通过检测和控制网络之间的信息交换和访问行为来实现对网络的安全保护。1.防火墙应具有较高的稳定可靠性，要求产品能连续无故障运行，支持双机热备份，并支持Active—Active、Active—Standby,支持状态同步(STP)协议。2.防火墙应具有较高的安全性，要求防火墙产品无后门程序和安全漏洞，具有很高的抗网络攻击的能3.过滤和管理进出网络的数据包；4.封堵禁止的访问行为；5.记录通过防火墙的信息内容和活动；6.对网络攻击进行检测和告警；7.通过自身以及和IDS系统的联动达到阻止网络入侵和非法访8.其他附加的功能，如：负载均衡、应用层过滤、防病毒等功安全管理要求防火墙策略的制定和管理决定了防火墙是否能够真正的发挥保护作用，如果安装了防火墙但是并没有根据安全需求去配置防火墙策略，或者是配置了错误的策略，就会使防火墙形同虚设。所以防火墙策略的配置和管理是非常重要的环节。攻击者可以监视网络通信来获取明文传输口令，所以管理员与防火墙的通信需要安全的信道，很多的防火墙都提供安全的登录方式如：OTP(one理方式。3.1.2虚拟专用网技术务提供商)和其它NSP(网络服务提供商)提供的公用网，采用密码技术、协议技术等建立起专用数据通信链路的技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的，如IETF草案认为：基于IP的VPN为："使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。进行说明。是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。IPSEC有两个基本功能：1)保护IP数据包安全；2)为抵御网络攻击提供防护措施。IPSEC综合采用密码技术、安全协议技术、密钥管理技术来实现上述两个功能，不仅能为局域网与拨号用户、域、网站、远程站之间的通信提供强有力的保护，而且还能用来助于xxx市电子政务用户以如下三种方式配置IPSEC:n广域网：路由器-对-路由器模式，网关-对-网关模式；n远程访问：拨号客户机，专网对internet的访问。算法保证数据的机密性、完整性、不可否认性而完成秘密传输，可以成为点政务应用、无线接入设备、Web服务以及安全接入管理的关键协议。SSL协议层包含两类子协议——SSL握手协议和SSL记录协议。它们共同为应用访问连接提供认证、加密和防篡理，而不对其他协议层产生任何影响。SSL安全功能组件包括三部分：认证，服务器对客户端进行验证同时对服务器和客户端进行验证；加密，对通信进行加密，只有经过加密的双方才能交换信息并相互识别；完整性检验，进行信息内容检测，防止被篡改。保证通信进程安全的一个关键步骤是对通信双方进行认证，SSL握手子协议负责这一进程处理：客户端向服务器提交有效证书，服务器采用公共密钥算法对证书信息进行检验，以确认终端用户的合法性。SSLVPN控制功能强大，能方便实现更多远程用户在不同地点远程接入，实现更多网络资源访问，且对客户端设备要求低，因而主要是由于其接入控制功能比较强。SSLVPN提供安全、可代理连接，只有经认证的用户才能对资源进行访问。SSLVPN能对加密隧道进行细分，从而使得终端用户能够同时接入Internet和访问内部企业网资源，也就是说它具备可控功能。另外，SSLVPN还能细化接入控制功能，易于将不同访问权限赋予不同用户，实现伸缩性访问，这种精确的接入控制功能对远程接入IPSECVPN来说难以实现的。SSLVPN基本上不受接入位置限制，可以从众多Internet接入设备、任何远程位置访问网络资源。SSLVPN通信基于标准TCP/UDP协议传输，因而能遍历所有NAT设备、基于代理的防火墙和状态检测防火墙。这使得用户能够从任何地方接入，无论是处于其他公司网络中基于代理的防火墙之后，或是宽带连接中。随着远程接入需求的不断增长，SSLVPN是实现任意位置的远程安全接入的理想选择。SSLVPN具有简单、易用、低成本的特点，特别适用于xxx电子政务外网域安全防护。入侵防护系统—IPS入侵防护系统通过收集和分析计算机网络或计算机系统中若干关键眯的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的集合便是入侵防护系统。与其它安全产品不同的是，入侵防护系统需要更多的智能，它必须可以将行到的数据进行分析，并得出有用的结果。入侵防护系统通常由数据采集部分、数据分析部分、控制台部分以及日志部分几个部件构成，并且这几个部件往往位于不同的主机上。数据采集部分从整个信息系统中获得事件，并向系统的其他部分提供此事件。数据分析部分分析得到的数据，并产生分析结果。控制台部分则是结分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。日志部分是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。入侵防护系统主要技术l数据流实时监测功能入侵防护系统应提供实时监测网络上的数据流的功能，对防范网络恶意攻击及误操作提供主动的实时保护，在网络系统受到危害时拦截和响应入侵。I生成和管理审计数据的功能入侵防护系统应根据网络安全策略对网络和系统活动进行检查，捕获网络安全违规事件，并对生成的审计数据进行分析处理和过滤，多方位反映系统安全状况。l特征库更新能力入侵防护系统应提供特征库更新功能。入侵防护系统应记录网络安全事件的详细信息，采取邮件等其他形式提示系统安全管理员采取一定的安全措施。入侵防护系统宜具有与防火墙或者其它网络设备联动的功能，实入侵防护系统管理技术I入侵防护系统只应允许授权人员设置入侵管理规则，如定义攻击特征、指定非标准服务端口、入侵响应方式等。入侵管理规则应操作简单、安全有效，并保证入侵防护系统的功能实现没有被旁路。I入侵防护系统应对入侵管理规则范围内的所有操作有完备的日志记录，包括入侵事件的日期、时间、来源、攻击目标、事件类型、过程、事件的结果等内容。I入侵防护系统只能允许授权人员查阅、统计、管理、维护日志记录。日志记录不得被更改或任意删除，日志所占存储空间将满时，入侵防护系统应及时告警，以便系统管理员及时将日志导出或删除。1系统管理员应定期更新攻击特征数据库，定期分析入侵检测记录，并根据系统已经存在或潜在的安全漏洞及时调整监控策略。3.1.4病毒检测防范技术防病毒技术防病毒的内容是在内部网络上安装和运行防病毒系统，针对网络的实际情况，包括各种主机操作系统，进行病毒扫描和清除。防病毒主要技术l管理功能中央分级管理，整个系统具有统一的管理和策略控制；在整个网络结构中，应该能够实现防病毒体系的多级管理，中央管理员应能够实现对整个防病毒系统的中央集中控管。跨平台管理，应能够统一管理整个网络结构中不同系统下的防病毒系统，比如：访问权限包括：读、写、修改或完全控制等。网络策略的强制执行，防病毒管理中心能够强制客户端执行企业级安全策略，以保持信任域策略的一致性。防病毒管理中心能够锁定客户端的防病毒策略，禁止客户端的用户修改管理中心下发的防病毒策略。远程自动安装，应能够实现对多平台的计算机的远程安装。l警报和日志功能应具有集中化的报警、日志报告功能，能生成统计分析报告。具备实时报警功能，应能够通过网络广播、电子邮件等形式向管理员通报各种病毒发作的警告。防毒功能隔离染毒用户，防止病毒传播。防病毒产品应占用较少的系统资源，在系统繁忙时应能调整资源的占用率，不影响主机上的业务能检测蠕虫病毒、宏病毒、木马型病毒等各种已知病毒和未知病毒，对病毒检测、清除能力强，管理工作站可对防毒客户端进行配置，包括对客户端的启动、停止、关闭、监测、扫描、清除、隔离、告警、日志记录、处理方式、代码提取、代码传送及其它各类控制参数进行设置。能够扫描包括使用多种主流压缩格式进行多重压缩的文件内的管理技术应实施病毒的检测和预防控制，加强用户的防病毒意识。防止病毒应基于安全意识、合适的系统访问和变更管理控制。控l安装并定期更新防病毒检测和修复软件；l对于不明来历或未授权的电子媒体上的任何文件、从不可信的网络上收到的文件，在使用前应进行病毒检查；1任何电子邮件附件在下载或使用前应针对恶意软件进行检查。该检查可以在不同的位置进行，例如，在电子邮件服务器、台式计算机处或者当进入网络时；I相应的从病毒攻击中恢复的业务连续性计划，包括所有必要数据和软件备份以及恢复安排；I安装经国家认可的病毒防治产品，根据系统安全需求制定病毒防范策略。定期组织查杀系统的病毒；I系统应在病毒侵入时及时报警并予以隔离、清除或采用既定病毒防范策略中规定的处理方式。系统应对病毒事件的发生及处理过程有详细的日志记录；I定期更新病毒特征库，及时对病毒防治产品进行版本升级。定期对病毒相关日志记录进行详细统计与分析，及时调整病毒防范策略。3.2安全系统总体设计3.2.1安全产品部署拓扑图在xxxxxx图书馆计算机信息系统的安全建设中应根据安全目标、网络状况、目前用户最关注的安全重点和现有投资规模选择当前最迫切需要的安全防护机制，用以确保xxxxxx图书馆计算机信息系统网络信息系统的安全可靠运行。经过对xxxxxx图书馆计算机信息系统的安全风险和安全需求分析，我们提出一个整合防火墙、VPN、入侵防护、防病毒于一体的安全解决方案，希望能帮助xxxxxx图书馆计算机信息系统有效抵御来自外部和内部网络的非法攻击。作为xxxxxx图书馆计算机信息系统的网络现状，下图是xxxxxx图书馆计算机信息系统中的安全产品部署拓扑图。图3.1安全产品部署拓扑图本期项目建设需求清单：3.2.2网络安全产品部署本项目建设中安全产品部署包括以下四个子系统：防火墙系统在本方案中，本期项目建设采用双链路备份。网络中防火墙部署方式如下：I互联网出口墙，部署在网出口边界路由器与内网核心交换机之间，设置恰当的访问控制规则，审核来自外部网络的访问请求，通过与访问控制规则的比较，确保只有合法的访问才能通过，从而为内部网络建立安全的防御屏障，拒绝来自广域网上一切无关节点和用户的访问。l办公区和读者区n对于网络安全内部的防范，在办公区和读者区与中心交换机之间部署两套H3CNS-DPtechFW1000-GS防火墙，通过与访问控制规则的比较，确保只有合法的访问才能通过，从而为内部网络建立安全的防御屏障。安全、可代理连接，只有经认证的用户才能对资源进行访问。SSLVPN能对加密隧道进行细分，从而使得终端用户能够同时接入Internet和访问内部企业网资源，也就是说它具备可控功能。另还能细化接入控制功能，易于将不同访问权限赋予不同用户，实现伸缩性访问，这种精确的接入控制功能对远程接入侵防护系统n建议在网络的外部连接着关键服务器主机或有重要数据流经的网段上部署H3C网络入侵防护系统，实时监测防御流经网络尤其是进出关键服务器主机或进出网络的各种通信数据流，及时发现来自网络内部、外部的攻击行为并进行报警和响应。n由于在网络的对外出口位置已经部署防火墙系统提供安全隔离屏障，为了使入侵防护系统与防火墙系统更有效地进行配合，我们可以把防火墙系统作为网络与外界通信的第一道安全屏障，而把网络入侵防护系统作为第二道安全屏障，连接在被保护网络的交换机上，这样即使外部网络的攻击能够穿透防火墙而进入局域网，也会立即被网络入侵防护系统发现并拦截，同时，通过网络入侵防护系统与防火墙系统的联动，可以动态调整防火墙上的安全策略设置，把后续的攻击拦截在防火墙之外。防病毒系统为了构建一个完善、有效的反病毒体系，在分析了xxx市xxx图书馆网络架构及相关应用之后，我司建议采用结合产品、防御策略、服务为一体的反病毒体系。在xxx市xxx图书馆网络中所有能访问互连网的工作站上，安装在xxx市xxx图书馆总部指定一台配置较高PC上安装安装Kaspersky反病毒软件集中管理和控制，也可以对各地区网络中在各地和各分部分别建立自己的管理服务器，分别指定一台配置各地网Kaspersky反病毒软件集中管理和控制。首先要在总部和各地分部的服务器、工作站上完成反病毒部署，然后逐步在各地和各分部完成反病毒软件的部署。各分部在各网络内实现本地的网络安全管理，总部也可以对各分部进行统一的综合管控。由管理服务器，管理本地及二级服务器通信，管理下级工作站，进行信息的汇总分析。第4章各子系统设计4.1防火墙子系统4.1.1防火墙系统部署的意义防火墙是近年发展起来的重要安全技术，其主要作用是在网络入口点检查网络通信，根据用户设定的安全规则，在保护内部网络安全的前提下，提供内外网络通信。通过使用Firewall过滤不安全的服务器，提高网络安全和减少子网中主机的风险，提供对系统的访问控制；阻止攻击者获得攻击网络系统的有用信息，记录和统计网络利用数据以及非法使用数据、攻击和探测策略执行。防火墙属于一种被动的安全防御工具。设立防火墙的目的就是保护一个网络不受来自另一个网络的攻击，防火墙的主要功能包括以下几个方面：(1)防火墙提供安全边界控制的基本屏障。设置防火墙可提高内部网络安全性，降低受攻击的风险。(2)防火墙体现网络安全策略的具体实施。防火墙集成所有安全软件(如口令、加密、认证、审计等),比分散管理更经济。(3)防火墙强化安全认证和监控审计。因为所有进出网络的通信流都通过防火墙，使防火墙也能提供日志记录、统计数据、报警处理、审计跟踪等服务。(4)防火墙能阻止内部信息泄漏。防火墙实际意义上也是一个隔离器，即能防外，又能防止内部未经授权用户对互联网的访问。4.1.2防火墙的部署方式在本方案中，本期项目建设采用双链路备份。网络中防火墙部署方式如下：I互联网出口墙，部署在网出口边界路由器与内网核心交换机之间，设置恰当的访问控制规则，审核来自外部网络的访问请求，通过与访问控制规则的比较，确保只有合法的访问才能通过，从而为内部网络建立安全的防御屏障，拒绝来自广域网上一切无关节点和用户的访问。I办公区和读者区n对于网络安全内部的防范，在办公区和读者区与中心交换机之间部署两套迪普NS-DPtechFW1000-GS防火墙，通过与访问控制规则的比较，确保只有合法的访问才能通过，从而为内部网络建立安全的防御屏障。4.1.3防火墙的技术特点扩展性最强基于先进的OAA开放应用架构，防火墙能灵活扩展病毒防范、网络流量监控和SSLVPN等硬件业务模块，实现2-7层的全面安强大的攻击防范能力增强型状态安全过滤支持基础、扩展和基于接口的状态检测包过滤技术；支持H3C特有ASPF应用层报文过滤协议，支持对每一个连接状态信息的维护监测并动态地过滤数据包，支持对应用层协议的状态监控。丰富的VPN特性移动用户、合作伙伴和分支机构安全、便捷的接入。应用层内容过滤可以有效的识别网络中各种P2P模式的应用，并且对这些应用采取限流的控制措施，有效保护网络带宽；支持邮件过滤，提供SMTP邮件地址、标题、附件和内容过滤；支持网页过滤，提供提供多对一、多对多、静态网段、双向转换、EasyIP和DNS映A体系的数字证书(X.509格式)认证功能。支持基于用户身份的管理，实现不同身份的用户拥有不同的命令执行权限，并且支持用户视图分级，对于不同级别的用户赋予不同的管理配置权限。提供各种日志功能、流量统计和分析功能、各种事件监控和统计功能、邮件告警功能。4.1.4防火墙产品资质销售许可证国家信息安全认证产品型号证书涉密信息系统产品检测证书军用信息安全产品认证证书(军队评测中心)全、可代理连接，只有经认证的用户才能对资源进行访问。SSLVPN能对加密隧道进行细分，从而使得终端用户能够同时接入Internet和访问内部资源，也就是说它具备可控功能。另外，SSLVPN还能细化接入控制功能，易于将不同访问权限赋予不同用户，实现伸缩性访问，这种精确的接入控制功能对远程接入IPSEC户在最低成本的情况下部署移动用户、远程分支和外联网的VPN接入，实现用户网络的安全连通。网关同时还具有完善的防火墙功能，支持外部攻击防范、内网安全、流量监控、邮件过滤、网页过滤、应用层过滤等功能，能够有效的保护网络安全；采用应用状态检测技术，可对连接状态过程和异常命令进行检测；提供多种智能分析和管理手段；提供基本的路由能力，支持路由策略及策略路由；支持丰富的QoS特性。网关的推出，进一步增强了H3C公司安全解决方市场领先的安全防护功能1增强型状态安全过滤：支持基础、扩展和基于接口的状态检测包过滤技术，支持按照时间段进行过滤；支持H3C特有ASPF应应用层协议的状态监控，支持TCP/UDP应用的状态监控。击的防范、提供ARP主动反向查询、TCP报文标志位不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、ICMP重定向或不可达报文控制功能、Tracert报文控制功能、定功能；支持智能防范蠕虫病毒技术。并且对这些应用采取限流的控制措施，有效保护网络带宽；支持邮件过滤，提供SMTP邮件地址、标题、附件和内容过滤；支持网页过滤，提供HTTPURL和内容过滤；支持应用层过滤，提供支持基于PKI/CA体系的数字证书(X.509格式)认证功能；在PPP线路上支持CHAP和PAP验证协议；支持用户身份管理，不同身份的用户拥有不同的命令执行权限；支持用户视图分级，不同级别的用户赋予不同的管理配置权限。1集中管理与审计：提供各种日志功能、流量统计和分析功能、各种事件监控和统计功能、邮件告警功能。1全面NAT应用支持：提供多对一、多对多、静态网段、双向转换、EasyIP和DNS映射等NAT应用方式；支持多种应用协议正确穿越NAT,提供DNS、FTP、H.323、专业灵活的VPN服务l利用动态VPN(DVPN)技术，简化VPN配置，实现按需动态智能网络集成及QoS保证1支持路由、透明及混合运行模式l支持静态路由协议l支持路由策略及策略路由l支持基于802.1qVLAN1支持流分类、流量监管、流量整形及接口限速电信级设备高可靠性种工作模式，实现负载分担和业务备份I远端链路状态监测(L3monitor)1设备关键部件均采用冗余设计智能图形化的管理l通过Web方式进行远程配置管理。1通过H3CiMC实现与网络设备的统一管理。1通过H3CBIMS系统对数量众多、位置分散的设备提供智能和1通过H3CVPNManager系统对VPN进行动态和图形化的业务管建议在网络的外部连接着关键服务器主机或有重要数据流经的流经网络尤其是进出关键服务器主机或进出网络的各种通信数据流，及时发现来自网络内部、外部的攻击行为并进行报警和响由于在网络的对外出口位置已经部署防火墙系统提供安全隔离屏障，为了使入侵防护系统与防火墙系统更有效地进行配合，我们可以把防火墙系统作为网络与外界通信的第一道安全屏障，而把网络入侵防护系统作为第二道安全屏障，连接在被保护网络的交换机上，这样即使外部网络的攻击能够穿透防火墙而进入局域网，也会立即被网络入侵防护系统发现并拦截，同时，通过网络入侵防护系统与防火墙系统的联动，可以动态调整防火墙上的安全策略设置，把后续的攻击拦截在防火墙之外。高精度、高效率的入侵检测引擎withRigorousStateTest,基于精确状态的全面检测)引擎。FIRST引擎集成了多项检测技术，实现了基于精确状态的全面检测，具有极高的入侵检测精度；同时，FIRST引擎采用了并行检测技术，软、硬件可灵活适配，大大提高了入侵检测的效率。全面、及时的攻击特征库年的网络技术与安全技术积累，造就了资深的攻击特征库团队和安全服务团队，建有攻防实验室，最新的部署于全球的蜜罐系统，紧跟网络技术与安全技术的发展前沿和网络攻防的最新动态，定期更新并发布攻击特征库升级包，源源不断地为强大的检测引擎注入高质量的“燃油”。精细化的深度防御与应用控制l客户机和服务器保护-抵御针对应用和操作系统漏洞的攻击-摈弃代价昂贵的应急补丁工作-精细化的深度防御与应用控制l病毒过滤-全球顶尖级病毒分析专家团队-拥有超过40万的病毒样本-阻止多种类型的网络蠕虫/病毒攻击-深度过滤隐藏在IM/P2P/email等常用软件中携带的病毒-过滤压缩后的病毒、木马-过滤变种病毒-保护DNS和其他网络基础设施-访问控制-提高网络带宽和路由器性能-正规化非法网络流量-优化网络性能-根据时间定制过滤规则-自定义URL过滤规则-URL过滤与带宽管理关联定制组合-提高带宽和服务器性能-阻止或限制P2P/IM等非关键流量-抵御零日攻击-最新特征库自动发布基于对象的虚拟系统所有策略都使用对象来定义，包括动作对象、时间表对象、服务对象、协议对象等。针对不同的网络环境和安全需求，可基于对象制定不同的安全策略和响应方式，每个虚拟系统分别执行不同的安全策略，实现面向不同对象、不同安全策略的智能化入侵检测和带宽管理。安全技术与网络的深度融合SecPathT200融合了丰富的网络特性，可在各种复杂的网络环境系统等进行配合，形成整网安全解决方案。丰富的响应方式各响应方式可以相互组合。设备出厂时已内置了一些常用的响应组合，便于部署和维护。高可靠性，打造99.999%安全网络SecPathT200使用无源连接设备PFC(PowerF供掉电保护功能。在T200掉电的情况下，PFC将网络流量自动绕开T200,旁路到下一跳设备上去；当恢复电源供给后，PFC又会自动禁止旁路功能，所有流量将再度流经T200接受检测。内置的监测模块以很高的频率定时监测设备的健康状况。一旦探测到检测引擎或软件系统故障，该模块会将T200设置成一个简单的二层交换设备，网络流量将在两个接口之间直接贯通，从而保持网络业务的连续性。SecPathT200支持冗余部署。互为备份的多台T200可以工作在强大、灵活的管理功能在单台或小规模部署时，为了节约设备成本和管理成本，SecPathT200提供了对单机的基于Web的图形化管理系统，让客户不用购买、部署额外的管理服务器硬件和管理软件就能实现对T200的图形化管理。在大规模部署时，SecPathT200提供了强大的集中管理系统，客户通过集中管理系统可以在全网范围内制定统一的安全策略，方便地分发到各地的T200上，同时各地的T200上产生的攻击事件可以集中上报到管理中心。为用户提供全网深度防御解决方案。销售许可证国家信息安全产品型号证书计算机软件著作权登记证书4.4防病毒子系统4.4.1防病毒子系统的部署管理服务器实施部署配置根据xxx市xxx图书馆网络系统的实际状况，卡巴斯基建议通过总部的一台FTP服务器，用户访问点击安装链接，安装Kaspersky桌面反病毒软件。l根据xxx市xxx图书馆网络系统的实际状况，卡巴斯基有限公司建议在总部一台基于NT的机器上安装集中控管软件AdministrationKit,负责监控所属网络中的防毒产品。利用这个的病毒定义和程序组件进行自动更新。在总部的NT服务器上部注：这样部署便于管理员及时处理染毒工作站，在最短时间内控制病毒在网络中扩散。如果要跨防火墙管理工作站，需要配置防火墙打开反病毒软件专用的通讯端口(TCP13000、14000),工作站需要打开反病毒软件专用的通讯端口(UDP15000)。可以使用针对客户端的防毒软件KAVforworkstation,自动和强制地保护客户端的工作站。1总部配备专业网络安全管理人员，通过防毒集中控制系统对上述防毒产品进行集中维护管理、控制和更lKaspersky每小时一次更新病毒库，每次更新数据量约3-20K,对网络应用的影响极小。1在xxx市xx