方案模板省地税信息安全规划方案

年5月29日方案模板省地税信息安全规划方案文档仅供参考方案说明方案类型:省级地税安全建设整体安全规划方案。目标分析:目标网络是覆盖XX省地税的整个广域网。税务系统的结构可分为横向、纵向两个层面,横向包括:税务外网、税务内网和前置区,三个网络之间相互隔离,税务外网与互联网逻辑隔离,前置区与银行、社保等行业专网连接。纵向结构指的是税务内网,整体可分为四级:省级、地市级、区县级和厅所级。业务类型主要考虑核心的税收征管系统和网上报税系统。税务系统的边界具备一定的典型意义,涵盖了当前总结的各种边界类型,包括:互联网边界、业务受理平台(网上报税)、同业互联边界(前置区与银行、社保等专网边界),纵向级联边界,内部安全域边界等。不同的边界特点能够有各种灵活的方案设计。方案思路:地税系统信息化建设的一个主要内容是进行省级数据大集中,国家税务总局主要起到指导的作用,而具体建设均由地方财政解决。地税系统以往采用的安全产品还比较单一,主要是防火墙、防病毒等,对新型安全产品的认知逐渐加强,因此除了对防火墙这样的产品持续需求外,对于IPS等产品存在很多市场机会。本方案要点如下:完整性,提出了安全建设的完整架构,并提出了分期分批进行建设的整体思路。针对性,重点设计省级数据中心,保障核心税收征管系统的安全。同时针对各类不同的边界类型特点,利用丰富的产品种类进行方案设计,对于IPS等新型安全网关可重点设计。包含产品:防火墙、AV网关、IPS、IDS、APM、异常流量管理、网闸、内网安全管理、网络防病毒软件、漏洞扫描、安全审计、安全管理平台。

XX省地税信息安全规划方案联想网御科技(北京)有限公司

目录目录TOC\o"1-4"\h\z\u1 概述 51.1 背景介绍 51.2 规划目标 61.3 规划范围 61.4 规划原则 72 现状分析 82.1 网络现状 82.1.1 横向网络结构 8 税务外网 9 税务内网 9 前置区 102.1.2 纵向网络结构 112.2 应用现状 122.2.1 税收征管系统 122.2.2 货运发票系统 132.2.3 网上电子报税 132.2.4 行政管理系统 132.2.5 决策支持系统 132.2.6 外部信息系统 142.3 安全现状 143 安全风险分析 143.1 边界风险分析 143.2 内网风险分析 153.3 应用风险分析 163.4 安全管理风险分析 174 安全需求分析 184.1 边界安全需求分析 194.1.1 防止越权访问 204.1.2 建立安全通道 204.1.3 数据安全交换 214.2 内网安全需求分析 214.2.1 部署入侵检测 214.2.2 体系化防病毒 214.2.3 自动补丁分发 224.2.4 统一桌面管理 224.3 应用安全需求分析 224.3.1 业务运行监控 234.3.2 网络行为审计 234.3.3 安全风险评估 234.4 安全管理需求分析 244.5 安全需求分析总结 245 总体安全规划 255.1 整体安全框架 255.2 边界安全规划 265.2.1 边界划分 285.2.2 边界防护 285.3 内网安全规划 325.4 应用安全规划 345.5 安全管理规划 405.6 规划实现效果 416 安全建设方案 426.1 建设内容 426.2 建设目标 426.2.1 边界安全建设目标 426.2.2 内网安全建设目标 436.2.3 应用安全建设目标 436.2.4 安全管理建设目标 436.3 边界安全建设 456.3.1 省局边界安全建设 45 部署说明 46 具体功能 476.3.2 广域网边界安全建设 59 部署说明 59 具体功能 606.4 内网安全建设 626.4.1 部署说明 636.4.2 具体功能 646.5 应用安全建设 706.5.1 部署说明 706.5.2 具体功能 716.6 安全管理建设 786.6.1 部署说明 796.6.2 具体功能 796.7 配置清单 817 建设计划 828 方案总结 83

概述背景介绍底,金税三期启动,基本任务是用四到五年的时间,基本完成”一个平台,两级处理,三个覆盖,四个系统”的建设。一个平台——建立一个包含网络硬件和基础软件的统一技术基础平台;两级处理——依托统一的技术基础平台,逐步实现税务系统的数据信息在国家总局和省局的集中处理;三个覆盖——应用内容逐步覆盖所有税种,覆盖所有工作环节,覆盖各级国、地税机关,并与有关部门联网;四个系统——经过业务的重组、优化和规范,逐步形成一个以征管业务为主,包括行政管理、外部信息和决策支持在内的四个信息管理应用系统。其中”两级处理”就是要建立总局、省局两级数据处理中心和以省局为主、总局为辅的数据处理机制,逐步实现涉税电子数据在总局、省局两级的集中存储、集中处理和集中管理,以使业务流程更加简化,机构趋于扁平化,管理和监控更加严密,纳税服务更加简便,系统维护更加便捷,系统运行更加安全,并使得数据的宏观分析与微观分析相结合、全局分析与局部透视相结合,全面提升数据的价值。金税工程的第三期将地税信息化纳入规划,因此地税信息化建设进度得到前所未有的加快。XX地税借着这股信息化浪潮依照金税三期要求,已完成全省骨干广域网(包括省、地市州、区县、税务所4级网络)的建设,针对全省地税信息系统安全防护薄弱、可管理性差的现状,在各种税收征管系统迁移到广域网上之前,各级公文系统互联互通之前,新的业务系统上线之前,必须对全省广域网以及各级机关局域网的安全防护措施进行全面、整体建设,为全省地税创造高效、安全、可靠的网络运行环境。规划目标从XX省地税信息系统自身现状出发,经过对全省现有信息系统(包括:全省地税广域网,各级节点中的计算机终端、服务器、网络设备,以及省市两级中的各种应用系统)的安全现状评估、风险分析,充分了解、掌握全省地税信息系统安全需求。参考国际、国内相关信息安全技术及标准,以及较发达省份国税、地税信息安全系统的建设经验,在风险分析、安全需求的基础上,结合XX省地税的具体情况,帮助XX地税系统建立全面的信息系统安全规划,并满足XX地税信息系统安全防护、安全定级,最终保障全省地税业务持续性发展。要求”整体信息系统安全规划”能够满足安全建设以其为依托,根据分期、分段逐步建设的原则,做好具体的安全建设方案。规划范围本次XX地税信息安全规划项目将覆盖XX地税整个广域网(包括省、地市州、区县、税务所4级),以及各级机关局域网。同时基于税务数据省级大集中的发展趋势,重点防护省局数据中心。保障地税各业务得到及时、高效的处理。此次XX地税信息安全规划范围包括:省局广域网一级网络及内部局域网;省局数据中心区域以及各种网络接入边界(如:互联网边界、业务外联边界等);各州、地市局广域网二级网络和内部局域网;各区县分局广域网三级网络及局域网;各税务所的网络;本次XX地税信息安全建设将XX地税骨干网络一直覆盖到征稽所,形成完善的四级网络安全防护体系。最终将XX省地税信息安全系统建设成为一个技术先进、布局合理、高效稳定、安全可靠、经济实用的信息安全系统,为现有的应用及将来可能的应用提供安全可靠的保障。规划原则安全系统稳定可靠税务系统的业务都是在线实时的业务,网络基础设施已经是税务业务的命脉,一旦网络设备发生故障,业务系统将随之受到不同程度的影响,最严重的网络故障能够造成全部业务系统的瘫痪,因此要求XX地税的安全系统设计充分考虑稳定和可靠的性能。安全设计切合实际进行XX地税信息化建设的安全设计,必须要理解地税业务,不了解地税业务的方案设计只会是纸老虎,一捅而破,最终浪费投资。同时,税务行业的网络及信息安全虽有许多共同点,但每个单位的实际情况都各自有各自的特点,照搬照抄和生搬硬套都会脱离客户的实际。因此,XX地税信息化建设的安全系统设计能够借鉴其它地税单位的成功经验,又一定要根据实际情况量身打造安全解决方案。安全系统扩展灵活当前信息技术发展速度非常快,系统设计既要考虑解决眼前的现实问题,又要考虑未来扩展的需要,只有充分地考虑系统的扩展性才能提高投资的有效性、保证技术体制的连续性、避免重复投资。安全体系科学完善系统设计应充分考虑到各个层面的安全风险,整体规划构建完整的安全防护体系,又要充分考虑投资有限、安全动态发展的因素进行分期建设、逐步完善的现实情况。同时,应确保方案中使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性。安全措施协同关联建立协同防御体系,设计时所采用的各种安全措施,应充分考虑相互间的关联性,经过综合防护手段,保证安全措施的一致性、有效性,避免一点突破,全网失控。安全管理简单高效充分考虑各级各单位安全管理的长期性、复杂性以及技术力量的不均衡,经过集中高效的安全管理措施,实现安全策略的集中、快速部署,安全运行情况的统一管理,安全风险的整体把握。现状分析根据金税三期的要求和规划,我们从网络现状、应用现状、安全现状三方面分析XX地税信息化建设的现状。网络现状考虑到税务网的特点,以及XX省地税广域网结构,我们从横向网络结构和纵向级联结构两个方面分析网络现状横向网络结构建成后的税务系统网络结构分为三个部分,分别是税务外网、税务内网和前置区,三个网络之间相互隔离。如下图:图地税横向网络结构税务外网税务外网是税务对外综合性服务系统的载体,和Internet直接连接,而且按照国家相关规定和税务系统的业务网物理隔离。主要应用有:信息发布网站:各级税务系统的Web网站是其公众形象的重要体现形式之一,其主要功能是发布正式的官方的文件和信息、定期发布税收统计数据、宣传税务法规等。网上报税服务:网上申报是一种新的报税模式和发展趋势,它利用网络技术、严密的安全策略,将纳税人、税务局、银行三者有机的结合在一个平台上。纳税人足不出户便能够完成申报、缴款等工作。极大地提高了三方的工作效率,加强税收监管力度。邮件和Internet浏览服务:除了提供对外服务,税务系统对外服务网络还对内部人员提供邮件服务和Internet浏览服务。税务内网税务内网是税务系统应用的核心网络,税务广域网就是指税务内网,税务内网包括分布在省局、地市局、区县局和税务所的以税收征管系统为核心应用,包括税务系统的办公用机、服务器和数据库,是税务系统广域网的主要组成部分,包含了税收征管系统、办公自动化、电视电话会议系统以及数据灾备中心四个子区域。税收征管系统是地税系统的核心应用,该区域包含了省局、地市分局、区县分局乃至税务所用于处理税收征管业务的终端、应用服务器、数据库和承载应用的网络设备,范围上跨越了税务系统纵向网络的四个层面,税收征管系统基本的业务流程如下:基层税所(或分局)的征收所(大厅)录入申报征收的数据,数据提交后经由路由器经过网络传输到县级税务局,再由县级税务局的路由器经由网络传输到市级税务局,最后由市级路由器传输到省级数据中心;同时,各市与容灾中心还有专线备份,确保在主干网络出现故障时采用备份线路及备份处理中心处理正常的申报征收业务。办公自动化(OA)区域则主要指用于日常办公的终端、办公自动化应用服务器和数据库,该区域与税收征管系统存在很大的重叠,对于地税系统,办公自动化系统主要包含的应用有:电子邮件、公文传递及批复、文件传输、内部主页等日常办公文件处理。电视电话会议:由于税务系统公开征收期一般集中在当月的1号到10号,有突发性的特点,而其它时间网络上传输的数据量很小,为了提高网络利用率,在保证税收征管系统的数据安全、可靠传输的基础上,逐步利用税务专网开展IP电话、视频会议、远程教学等多媒体附加业务,实现数据、语音、视频三网合一。具体做法是:在省局及地市分局部署语音网守或MCU,在省、市、县及税所(分局)设置语音网关及视频终端。灾备中心:主要存储省税务系统的重要数据,以保障数据的”存储安全”,灾备中心其它的存储要求还包括办公自动化数据、偶发性的电视电话会议、IP电话、数据查询/决策支持等。在数据省级大集中模式下,只需要在省局部署灾备中心。前置区地税系统的前置区主要包含税务系统与业务相关部门如银行、财政、社保专网的数据接口和交换的前置系统。由于银行、财政、社保专网系统相对于税务系统来说属于不可信任网络,因此采取前置的方式,相当于部署了一道两者之间的”缓冲地带”。前置机不挂在税务内网上,地税系统业务主机和前置机之间的数据交换一般采用安全交换的方式进行。省级数据大集中后,在省局信息中心部署”前置”系统,数据只在省局完成与省级银行、财政、社保的连接。纵向网络结构图纵向级联地税系统的网络架构从纵向的角度来看,整体可分为四级:省级、地市州级、区县级和税务所级。由三级纵向连接构成:省中心与地市中心的连接、地市中心与县区中心的连接、县区中心与税务所的连接。税务广域骨干网络的结构是由税务系统的上下级的隶属关系、业务的流向的所决定的,表现为数据从税务所层层上传,集中到省局,访问由上而下,单位按行政隶属关系实现省局与各市局、各县(区)局之间可自由互访。跨行政隶属关系不能进行互访,同时考虑到防止采用总线结构或环路结构所带来的单点故障问题,因此整体网络一般采用全星型连接的拓扑结构。即以省局信息中心为核心,汇总全省各个分支接点,成为税务广域网一级节点;下属各地市分局成为广域网的二级节点,汇总地市下属各区县分局节点,二级节点一般采用双备份线路汇总到省局,以提升系统的可用性;各地市下属区县分局则成为作为广域网的三级节点,汇总区县下属税务所,三级节点一般也采用双备份线路汇总到地市分局,以提升系统的可用性;各税务所成为广域网的四级节点,租用运营商线路建立与区县分局连接。应用现状税收征管系统税收征管工作是税务系统业务的核心,近年来总局一直相对地税的税收征管系统进行统一规划,将建成:管理子系统:主要用于税前的事务处理,包括税务登记、认定管理、发票管理、待批文书、税额核定、证件管理、档案管理、外部信息采集以及咨询服务九大模块。征收子系统:主要用于税中的事务处理,包括纳税申报、税款征收、纳税评估、出口退税管理、税收计划(含重点税源分析)、税收会计、税收统计、票证管理八大模块。稽查子系统:主要用于税后的事务处理,包括稽查选案、稽查实施、稽查审理、案卷管理以及反避税五大模块。处罚子系统:主要用于税前、税中、税后的违法违章的处罚的事务处理。执行子系统:主要用于前四大子系统产生的各类税务决定的执行与保全事务处理,包括一般执行、税收保全、强制执行三大模块。救济子系统:主要用于对纳税争议的事务处理,包括行政复议、行政诉讼应诉、行政赔偿三大模块。监控子系统:主要用于市局、省局、总局的纵向监控、指导、协调,包括日常业务、统计查询、分析监控、质量考核、报表管理和决策支持六大模块。金税三期规划中,计划用上述七大子系统35个主模块将使金税工程二期的发票管理功能与整个涉税管理功能紧密结合,融为一体,从而,全面覆盖基层地税机关的所有税种、各个环节、各个方面的税收业务处理,同时满足市局、省局和总局各级管理层的监控、分析、查询和辅助决策需求。货运发票系统根据总局的要求,XX省地税局新上了一套货运发票系统,此系统采用B/S结构,纳税人经过县地税局此系统终端上报省局数据处理中心,有省局统一数据处理,现阶段货运发票系统还是基于Internet的VPN网络进行数据传输,由于省地税广域网的建成,近期内将此系统转移到地税内网(广域网)内进行传输。网上电子报税为进一步提高税务系统为纳税人服务的质量,许多省的税务系统开始规划电子申报应用系统,特别是在采取了大集中模式的省份,该业务使得纳税人足不出户,经过互联网进行纳税申报。而承载电子申报业务的服务器作为税务外网的一个组成部分。纳税人经过互联网将数据提交到该电子申报应用服务器,服务器经过信息交换的方式,将信息传递到税务内网(广域网)进行处理。网上电子保税的应用是一种发展趋势,XX地税正在紧锣密鼓的筹备中。行政管理系统行政管理系统包括四个子系统:综合办公、人力资源、财务管理、监察监督。综合办公子系统:工作安排、文件管理、信访管理、督查督办、会议管理、信息采编、宣传管理、信息服务等八个模块。人力资源子系统:包括人事管理、教育管理、党群管理等三个模块。财务管理子系统:包括预算管理、收入支出管理、基本建设管理、固定资产管理、内部审计管理、政府采购和基础信息管理等七个模块。监察监督子系统:包括廉洁自律、案件管理、纠风工作、执法监察、行政监察、廉政教育等六个模块。决策支持系统决策支持包括两个子系统,税收业务和行政管理。税收业务子系统,包括查询、执法监督、分析、预测四个模块。行政管理子系统,包括查询、监督、分析、预测四个模块。外部信息系统外部信息包括三个子系统:为纳税人服务、外部门信息交换、国际情报交换。为纳税人服务子系统,包括网站、多元化申报系统、呼叫中心、12366热线服务等四个模块。外部信息交换子系统,包括外部信息采集(工商、银行、海关、财政、外管、技监、公安、统计、法院等相关部门信息等模块)和外部信息交换(工商部门、公安部门、民政部门、国地税、文件信息、机构编制人员信息、纪检监察信息、财务信息等模块)。国际情报交换子系统。安全现状现阶段XX省地税信息系统中,安全防护措施、防护手段较少,省局基本没有安全方面的投入,主要还是依靠总局分配的少量安全设备和系统。现阶段主要有防火墙,IDS和仅在省局部署了内网管理系统和杀毒软件。由于总局近年对省局的信息安全投入较少,安全覆盖面较小,地市州级和县级完全没有覆盖,导致出现大量的安全问题,如:大量的病毒在税务网中任意传播,木马后门等。多次影响到核心业务的安全。安全风险分析边界风险分析这些边界处如果没有严格的访问控制,病毒防护,入侵检测等措施,那将会给全省地税的网络及信息系统带来极大的安全风险。具体表现在以下方面:黑客攻击XX省地税网络规模较大结构复杂。当前具有多个网络边界,Internet出口边界就是其中之一,省地税局经过Internet向广大纳税人提供网上电子报税服务,网上对外税收政策的宣传服务等,因为Internet的开放性,对于地税向Internet提供的每一项服务都有可能带来黑客攻击。例如来自Internet的黑客能够直接经过网络对服务器进行扫描,一旦发现漏洞即可实施攻击,盗取重要信息,造成服务终端或重要信息泄漏。病毒入侵当前各种病毒威胁非常严峻、传播速度十分快、扩散范围也相当广。任何一台计算机爆发病毒,特别是蠕虫病毒,会马上向整个地税网络迅速蔓延,这样会会占用大量网络带宽,造成网络性能严重下降甚至网络通信中断,以及导致计算机不可用,严重影响正常业务。垃圾邮件电子邮件系统的使用将大大提高办公效率,是无纸化办公的重要组成部分昆。然而,这也给信息系统带来了较大的风险。垃圾邮件就是很典型的例子,它能够使用户信箱崩溃,也能够携带木马潜入用户网络。例如内部安全意识较低的用户,直接打开带病毒、木马、后门程序的恶意邮件,就有可能感染病毒或植入木马程序,直接威胁网络及终端计算机的可用性和安全性。越权访问和资源滥用因地税的业务系统众多,数据资源众多,然而这些数据访问并不是面向专网内各级的所有计算机用户全部开放的,不合法的用户越权访问,将增加业务系统的服务压力和信息泄漏的风险,严重威胁业务系统的可用性、安全性,同时消耗大量带宽资源。内网风险分析威胁和风险不但来自于网络边界外部,内部终端计算机也是整个XX省地税专网的高风险源,其主要包括以下几个方面:服务器主机和终端计算机安全管理省地税网内有大量计算机设备,包括小型机、服务器和普通终端计算机。这些计算机系统经常被发现各种安全漏洞,特别Windows操作系统平台的安全漏洞数量多、爆发频繁。如果没有有效、及时的查找漏洞、修补漏洞,它们随时构成省地税网及信息系统的致命威胁。另外,这些计算机也将面对病毒的入侵。内部用户误操作XX地税全省的计算机用户数量庞大,对计算机相关的知识水平参差不齐,一旦某些安全意识薄弱的用户误操作,也将给信息系统带来破坏。例如某些用户在恶意网站上下载或是错误使用了某些存储介质,从而导致计算机感染了病毒或木马程序,很可能会给整个内部网络带来灾难性的破坏。合法用户的恶意行为从网络诞生的那一天开始,黑客就存在,发展到今天已经到了无孔不入的地步,而且还在进一步蔓延,许多黑客攻击行为已经不需要太多的网络攻击知识,只需简单的攻击程序和设置就能够实现。在内部用户当中,也不乏这样的角色,她们本身不具有很高超的攻击水平,而只是用现成的攻击程序来实现”黑客”的目的,有些她们甚至可能在不知情的情况下被一些真正的黑客所利用去攻击内部网络。应用风险分析应用安全风险主要是指XX省地税网络信息系统中各业务应用系统所面临的各种安全风险,包括基于B/S或C/S结构的各种专有业务平台、公文系统、视频系统、邮件系统、FTP服务器、DNS服务器等。这些业务应用系统开放的服务也可能会带来新的安全风险。特别是将来可能有一些移动办公的人员,是经过基于internet的VPN方式接入访问,可能会带入病毒或木马等。如果不做好安全防护,将给其它业务系统带来致命的危害。具体包括以下几个方面:Web服务器安全风险Web服务脚本的安全漏洞,远程溢出(.Printer漏洞)。经过Web服务获取系统的超级用户特权。Web页面被恶意删改。经过Web服务上传木马等非法后门程序,以达到对整个服务器的控制。Web服务器的数据源被非法入侵,用户的一些私有信息被窃。利用Web服务器作为跳板,进而攻击内部的重要数据库服务器。拒绝服务攻击或分布式拒绝服务攻击。针对IIS、Tomcat攻击的工具,如IISCrash。各种网络病毒的侵袭,如Nimda,RedcodeII等。恶意的JavaApplet,ActiveX攻击等。Web服务的某些目录可写。CGI-BIN目录未授权可写,采用默认设置,一些系统程序没有删除。省地税在自己的税务专网上将会提供大量的基于B/S的服务,如果server端的系统配置不够严谨,安全策略不当,随时都有可能造成安全事件的发生,导致网上业务受到影响并由此带来直接的经济损失。业务服务器安全风险业务服务器是XX省地税的核心服务器,为各种业务提供重要的支撑。这些不同的业务系统大部分是由多家公司开发定制,对安全设计多为不足,这样可能会导致信息系统具有如下的潜在风险:源程序中存在的BUG。源程序中出于程序调试的方便,人为设置许多”后门”。应用系统自身很弱的身份认证。应用系统的用户名和口令以明文方式被传递,容易截获。数据库安全风险XX省地税很多关键业务系统都运行在数据库平台上,如果数据库安全无法保证,其上的应用系统也将无法正常运行。一般在数据安全管理中,对管理员权限划分不细,往往都使用超级管理员进行查看、建库、更新等各种管理操作。这也给黑客带来了很多的机会,如果因为管理员口令不强,数据库存十分容易被攻破,引起数据丢失、错误甚至数据库的瘫痪。数据库补丁也要求及时更新,否则其安全漏洞一旦被利用,同样影响数据库安全。另外需要建立对数据库操作行为的审计。安全管理风险分析由于XX省地税网规模较大、覆盖面广,用户众多。安全建设做为一个整体,不能各自为政,必须进行统一的安全管理、监控,才能保障全网安全。如:集中部署网络安全保护策略,确保网络安全策略的统一;广泛采集与分析来自于计算机、网络、存储、安全等设施的告警事件,经过关联来自于不同地点、不同层次、不同类型的安全事件,发现真正的安全风险。管理维护技术人员技能水平不一,对安全设备与安全措施的使用、理解与管理也存在着一定的风险。由于没有正确地配置安全设备,导致某一安全区域内的防护手段失效。同时,对于某一安全区域内发生突发安全事件,必须迅速准确采取措施,部署或者更新安全策略,以及快速定位威胁来源,集中掌握整网安全情况。安全需求分析业务的需求驱动信息化的发展,信息化服务的核心目标是业务,信息安全是信息化的重要组成部分,信息安全应该紧紧围绕业务这个核心,为业务的安全提供服务和保障。然而,整个网络中涉及到大量的信息资产,如分布全省、数量庞大的终端计算机,各种各样的服务器,如Web服务器、前置机、应用服务器、数据库服务器等。另外,省级数据大集中后,各种业务访问错综复杂:从税务所、区县、地市州、省局计算机用户对业务服务器的访问;从财政、社保、银行等政府专网的数据交换、查询;从互联网到外网的网站访问;从互联网发起的纳税申报,以及外网到内网的数据交换;…如何全面分析XX地税各个信息系统安全需求,从而根据安全需求统一规划安全建设、分步骤实施,建立XX地税信息系统安全体系。如果安全需求分析缺失必将导致安全建设的偏离甚至错误。为了全面地对XX地税的信息系统安全需求进行分析和归类,我们参照业界通用的分析方法和国家<信息安全风险评估指南>,根据安全风险的来源,从边界安全需求、内网安全需求、应用安全需求和管理安全需求四个层面,针对每一层面分别具体分析安全需求。它兼顾了全网的信息资产、数据访问流向、风险源等各个要素,避免了需求分析的遗漏。分析模型如下图:图安全需求分析模型边界安全需求分析建成后的XX地税信息系统网络将包括多个边界,从全网横向分:前置区税务外网税务内网税务内网网络结构庞大复杂,又能够细分为:省、地市州、区县纵向级联边界省中心上行国税边界数据中心业务服务器边界数据中心办公服务器边界数据中心安全管理区边界图税务网边界示意图这些边界处需要部署相应的安全措施,避免各个区域边界连接给整个XX地税的网络信息系统带来极大的安全危胁。防止越权访问XX地税网络结构复杂,用户覆盖面广,分布在各地不同安全等级之间的用户越权访问是XX地税的主要安全风险。例如一个区县税务局的用户越权进入XX地税的税务征收数据库,查看其它业务数据库的信息,必须在各个边界部署安全阻止这种越权访问造成XX地税敏感信息流失、不必要的数据流量占用有限广域网带宽、甚至信息系统不可用。建立安全通道XX地税省级大集中建成后,大量的业务信息依托网络平台。有的基层税所并不是经过税务专网进行连接,往往会经过ADSL这样的互联网链路进行数据传输。这种传输方式十分容易被非法窃取、篡改或删除。例如以窃取商业秘密为目的的”网络大盗”,利用互联网的开放性,采集流经经过互联网传送的税务业务数据,窃取有价值的商业情报。对于使用互联网链路的下属单位,必须要建立如IPSECVPN这样的加密安全连接通道,保证数据传送的完整性、可用性、机密性。数据安全交换XX地税整个信息化涉及到不同的专网之间的数据交换,如XX地税与财政、社保、银行等其它政府专网的数据交换,以及地税外网本身对外信息发布、电子申报系统与地税内网信息系统的数据交换。这些不同网络之间的数据交换要符合国家电子政务网的相应要求,即采用安全隔离与信息交换系统进行隔离控制。内网安全需求分析内网安全需求主要解决XX地税各级局域网可能潜在的风险。其主要包括以下几个方面:部署入侵检测攻击行为不但来自于大家公认的互联网等外部网络,在税务内网当中,也不乏黑客。她们本身不具有很高超的攻击水平,而只是用现成的攻击程序来实现”黑客”的目的,有些她们甚至可能在不知情的情况下被一些真正的黑客所利用去攻击内部网络。XX地税的信息化应用,将使得大量的、重要的税务信息运行和存放在信息系统中。对于整个网络边界接入和内部局域网用户经过核心交换机的数据访问,是否存在攻击行为、流量是否异常等,需要时时掌握并结合边界防护设备进行联动、动态的策略更新,防止网络各区域相互之间的入侵行为蔓延,危害网络平台的安全运行。体系化防病毒XX地税省中心与下级地市州、区县单位连接,属于一个大型网络,任何一台终端计算机感染病毒将危及整个网络。当前病毒威胁也非常严峻,特别是蠕虫病毒的爆发,会马上向其它子网迅速蔓延,这样会大量占据正常业务十分有限的带宽,造成网络性能严重下降甚至造成网络通信中断,威及正常业务开展。因此,需要在网络重要的边界处部署网关防病毒,阻止了病毒在各个安全区域之间扩散的问题。同时,还必须考虑终端计算机、服务器自身防病毒的能力建设,要防止病毒在区域内部传播影响业务运行的安全。XX地税计算机数量庞大、分布广,经过城域网、广域网连接的网络带宽窄,还要解决好分级部署、统一管理的问题,要能够实现包括防病毒策略的设定和配置,日志的收集,病毒码,扫描引擎等组件的更新。经过集中管理方式能够做到减少对客户端人员的技术和技能要求,全网策略集中统一,保证防杀病毒的有效性和实时性。自动补丁分发XX地税信息系统内部运行着大量的计算机设备,包括高端服务器以及大量的终端设备,特别是核心服务器作为各种重要应用服务的载体,操作系统可能会存在不同程度的安全漏洞,这些安全漏洞随时构成XX地税信息系统的致命威胁。因此,要建立XX地税的终端计算机和服务器的补丁自动分发管理系统,减少和避免主机系统漏洞产生的风险。统一桌面管理XX地税终端计算机数量庞大,而且十分分散,没有采取统一管理和行为规范,这样极易构成内部用户的违规操作。对内网计算机用户进行统一、集中的安全策略管理,是从源头上降低全网风险,提高整网安全性的重要措施。一方面,要限制办公计算机用户的各种操作行为,如文件访问、程序使用、端口通信、网络共享、打印等行为进行审计和管理;对终端计算机上各种外设和接口的使用进行管理;对终端计算机接入网络的安全准入管理;限制非法建立通路连接互联网或非授权网络的行为。另一方面,要对业务终端等重要的计算机上的信息资产进行保护,防止发生机密信息被盗窃、丢失,甚至主动泄密等安全事件。限制非法外联;限制外来计算机非法接入内网;内网计算机资产管理;应用安全需求分析应用安全需求主要解决XX地税网络信息系统中各应用系统所面临的各种安全风险,包括业务应用平台、数据库平台、电子邮件系统、前置区服务平台等。在事前提供应用系统安全运行状态监控和预警,防止管理方面的安全事件发生,同时对应用系统和网络的风险及时掌握、做好安全加固工作,实现业务服务的安全运行。业务运行监控XX地税数据中心各个WEB服务器、应用服务器、数据库服务器及相关的应用系统构成了最核心的信息资产,这些服务器、应用信息系统的运行状况如何,是否存在故障的可能等情况仅仅经过管理员手工的被动查看和管理,难以做到业务系统安全持续运行。建立自动监控各个核心服务器平台、应用平台、数据库平台的运行情况,并能够根据预定阀值告警、全面掌握整个信息系统的运行态势,事前预防业务故障,将系统宕机的概率降至最低。网络行为审计XX地税各级用户的计算机相关的知识水平参差不齐,一旦某些安全意识薄弱的用户误操作,也将给XX地税信息系统带来致命的破坏。例如某个管理员对数据库的错误操作,将导致数据的不完整和数据丢失。因此,必须对管理员特别是数据库管理员的操作行为进行审计,一方面完整记录数据库的操作行为,另一方面对高危操作进行及时阻止干预。最大限度的保护XX地税核心信息资产的安全。XX地税的大量计算机用户在进行办公、生产应用时,尽管身份合法,但往往也可能进行一些与自身份内事务不相干的应用,甚至传播和泄漏机密信息。特别是在XX地税机关外办公的大量计算机用户,她们借用网络和应用平台,经过各种协议,如Telnet、Ftp、Http、Icmp、Snmp、Mail、Arp、Dns、Netbios等,究竟传递和发送了什么样的信息内容,应该进行必要的审计,从而威慑那些心存侥幸、有恶意企图的少部分用户,以利于规范正常的网络应用行为。安全风险评估XX地税的包含税收征收管理系统、电视电话会议系统与办公自动化系统等,它们承载着XX地税信息化的核心应用,对这些信息系统的各类服务器的安全配置就显得尤为重要。如果有一点疏忽也会直接造成XX地税信息系统被攻击。例如用户在配置SQLServer时没有对管理添加密码,黑客就能够经过SQLServer直接轻松渗透到XX地税网络当中来截取、修改或删除数据。我们建议定期/不定期的全面掌握网络设备、安全安全设备、主机、应用系统、数据库系统的风险情况,并以此在安全事件发生前进行加固,全面提高抗风险能力。安全管理需求分析由于XX地税网络覆盖面广,用户众多,技术人员水平不一。如何了解设备的运行情况,如何部署安全策略,如何统一集中管理网络安全风险是摆在XX地税网络管理人员及安全管理人员的重要课题。例如,由于没有正确地配置安全设备,导致某一安全区域内的防护手段失效。同时,对于某一安全区域内发生突发的安全事件,现有的安全管理手段很难迅速准确对这种风险进行快速响应,也无法快速定位威胁来源在哪里,因此也无法及时调整安全策略来应对这样的安全事件。建立统一的安全运行监控系统和集中的风险管理系统是有效帮助管理人员实施好安全措施的重要保障,是实现业务稳定运行、长治久安的基础。安全需求分析总结总结来看,XX地税信息化建设的安全需求有以下特征:XX地税核心的信息资产是省中心数据中心的各服务器群,其中税收征收管理系统又是最最核心的,它们是需要最优先、多层次的”重兵保护”;XX地税信息系统访问源分散、复杂,是高风险源。这些终端计算机既有来自地税系统内部,也有来自其它政府专网和上级国税单位,甚至还有来自互联网的。应经过先进的方法论结合业务特征,将不同的访问源划分安全区域,并从源头上部署对应的安全措施,将安全风险第一时间屏蔽在XX地税的网络之外;进而,对XX地税内部网络各个基础设施健全安全防护机制。如终端、服务器系统防病毒、补丁管理,桌面统一监管,应用系统运行监控,以及全网网络设备、主机系统、应用系统的风险评估等;建立全网的安全网管系统,对全网的安全设备和安全系统进行全面的运行监控,以及全网安全运行的风险管理和审计。总体安全规划整体安全框架根据前面对信息系统发展的分析和信息化安全建设的需求分析,结合联想网御公司对金税三期建设规划的深刻理解,以及众多国税、地税项目建设经验积累,设计了XX地税安全建设整体框架。在此基础上,能够结合信息化发展进程分期落实,逐步推进,最终不断完善建立起信息安全防护体系。整个信息系统的安全体系框架能够分成四个部分,分别是边界安全系统,内网安全系统,应用安全系统,安全管理系统,这四个系统之间的关系如下图所示:图安全体系组成图其中,边界安全系统包括所有网络设备及传输信道的安全以及不同安全区域之间的安全隔离;内网安全系统包括所有主机、服务器、业务终端、移动终端等的安全管理与控制,也包括用户权限管理,数据的保密,行为审计等;应用安全系统包括各类操作系统、数据库、应用软件等的可用性监控、仿真,操作审计以及身份认证与权限管理;安全管理系统包括对安全制度、安全风险、安全设备以及系统持续运行的管理维护。下面详细介绍集边界安全、内网安全、应用安全、安全管理于一体的整体安全防护体系规划方案。整个架构以安全管理为支撑共分为四大系统,涵盖十余个子系统。细分结构如下图所示:图安全体系框架模型边界安全规划XX地税系统的网络设计遵循层次化设计的总体原则,将整个省地税网络进行垂直分层(按照管理模式)和水平分割(按照地域),从而将大型网络面临的复杂问题分解到多个层次相对简单的网络中去解决。这样既有利于简化网络的管理,其结构又符合整体业务流程。我们深入分析地税的业务关系后,以国家等级化保护的相关要求参照,首先将XX地税这个复杂的网络信息系统依据隶属关系及应用划分为多个网络层次,每个层次多个安全区域。这是整体信息安全建设最为关键和重要的第一步,它将为后期整体安全建设奠定最坚实的基础。以下是整体信息系统结构划分示意图:图税务信息系统整体结构划分示意图边界划分边界防护边界安全防护详细建议说明如下:内网各安全域边界内部安全域主要指XX地税省数据中心各服务器区,它们是XX地税核心的信息资产,安全级别高,必须重点保护。其中又能够根据提供服务类别不同,细分为:业务服务器区:也能够称为税务征管系统服务器区,主要指税务征收系统相关的应用服务器、数据库服务器、存储设备等,为整个XX地税提供业务生产服务;办公服务器区:主要指办公自动化系统,如邮件服务器、OA服务器,以及电视电话会议系统等,它们支撑无纸化、自动化办公;安全管理服务器区:主要指提供全网网络管理、安全管理服务的服务器群,如运行网管系统、安全集中管理系统、网络版防病毒系统、补丁分发系统等。这些服务器群分别接入汇聚层交换机,再连接到省中心局域网核心交换机。建议分别在业务服务器区(各种税收征管系统服务器区)、办公服务器区、安全管理服务器区的汇聚层交换机与核心交换机之间,部署入侵防御、网关防病毒、防火墙等安全设备防止非授权访问、蠕虫攻击、应用层病毒入侵等安全威胁。需要注意,XX地税在不久的将来,将在省局建立一整套数据灾备中心,那么灾备区的安全防护我们建议采用与业务服务器区的安全防护措施一样,主要经过IPS进行防护。图内网各安全区域安全防护示意图纵向级联边界纵向级联边界主要指省局、地市州局、区县局、税务所之间,地税广域网的边界。这些边界所划分的每一级,能够看作高风险区域。要做到每一级、每个区域的访问控制,同时也要控制每一级、每个区域将安全风险扩散出去。因此,我们建议在省级广域网接入处部署高性能的防火墙和防病毒网关设备,地市州级广域网边界部署高性能的防火墙设备,在区县级广域网边界部署中端防火墙设备,在税务所广域网接入边界部署低端防火墙设备,进行双向安全策略控制,特别是对蠕虫病毒扩散的控制。因为这类广域网边界数量大,要根据省、地市州、县、所网络的规模大小,选择性能相当的安全设备,避免投资浪费。图内网纵向级联边界安全防护示意图网站、网上报税边界网站、网上报税等业务属于税务外网,它们是XX地税经过互联网向公众发布信息、进行信息反馈的重要渠道,同时也是开展网上报税新业务的重要手段,并为办公用户提供访问互联网的服务。互联网的高风险是人人尽知,木马、攻击、病毒入侵往往时刻影响着税务外网的安全运行,一旦发生安全事件必将损坏XX地税的公众形象,后果十分严重。安全防护一定要到位,建议部署如下:图门户、网上报税边界安全防护示意图在互联网接入的最外层,部署异常流量管理系统,首先过滤到大量的带宽占用型、连接耗尽型的攻击行为;再经过防火墙安全策略检查,以及网关防病毒设备基于应用层的病毒过滤,保证合法的正常的连接请求访问税务外网。XX地税正在筹备网上电子保税,此系统上线后税务外网的电子保税前置机还要同税务内网的服务器进行数据交换,同样,遵照国家保密局提出的对不同专网间数据安全交换要求,采用安全隔离与交换系统(网闸)控制税务内外网的数据交换。前置区边界前置区部署了银行前置机、财政前置机、社保前置机等,它们一方面分别与对端的银行、财政、社保等政府单位的专网相连接,另一方面,它们需要和XX地税后台数据中心的税务信息系统进行数据交换。最终实现财政、银行、社保等单位与地税信息系统的信息交换。下图以财政专网为例说明前置区边界安全:图前置区边界安全防护示意图在前置区,分别配置接入路由器与对端财政专网连接,再分别部署防火墙进行安全策略控制后,对端财政专网仅能够访问相应的前置机。前置机再经过安全隔离与交换系统(网闸)与税务内网的税务信息系统进行数据交换,这完全符合保密局提出的对不同专网间数据安全交换要求。同业互联边界同业互联边界,即与国税单位的同行业互联,对于这些同属税务行业的网络连接,需要防范对端单位的安全威胁扩散到地税网络内部。特别是进行严格的访问控制、深度防范病毒入侵,最终保证数据交换的安全。同样,在同业互联边界,国税单位与地税存在系统内的上下行数据交换,当经过专线连接到XX地税接入路由器后,需要部署防火墙和防病毒网关,经过她们的安全检查、过滤后再连接到省中心核心交换机。XX省地税网与政务网接入边界的安全防护能够划到此类解决方法中。图国税网互联边界安全防护示意图内网安全规划内网安全建设是保障XX地税整个网络内部的终端、服务器计算机的安全运行,减少这些信息资产的安全漏洞,提升它们的防病毒能力,实现终端的可控安全管理,并对内部网络上的一些攻击行为进行监控。我们建议部署入侵检测系统、网络版防病毒、自动补丁分发、内网终端安全管理系统等,一方面强化终端、服务器自身的安全防护能力,另一方面要控制和规范终端计算机用户的桌面操作行为,防止信息泄漏、内网攻击等安全事件的发生。入侵检测系统IDS是实现网络安全的重要设备,能够基于攻击特征进行响应。在税务系统的网络中IDS的需求点有两个:首先,税务外网区对外提供对外服务,时刻面临来自互联网的威胁,在外网区有必要部署IDS;其次,税务内网区要经过税务广域网进行上下级连接,内网区的服务器作为重要信息资产应严格加以保护,需要部署IDS。注意:如果各地市州地税局有数据处理中心,那么在地市州级内网核心交换机位置也需要部署IDS。与省局相比只是设备性能、型号的区别。IDS部署示意图如下:图IDS部署示意图内网终端管理系统税务系统多年来积累了大量的信息资产,在安全建设时也把主要精力集中在边缘布控的方式上来,尽管边缘已经布控的很全面了,但某些单位依然出现过严重的安全事故,比如内网计算机经过电话拨号上网,导致引入病毒等等。这证明,仅仅经过边缘布控是不能解决全部问题的,而且内网的安全管理也越来越让税务信息系统头痛。经过在全省税务内网中部署终端安全管理系统,主要能够解决以下几个方面的问题:限制非法外联;限制非法主机接入内网;内网补丁管理;内网计算机资产管理;内网终端管理系统结构上包括:服务器、控制台、客户端程序三部分。服务器是系统运行和维护的中心,策略的存储中心,存储着用户信息、计算机信息、组织体系、策略信息及日志信息;控制台是用户操作界面,实现对服务器的管理,整个平台控制中心;客户端是运行在受控计算机终端上,采用安全通信技术接收服务器的统一管理并接收下发的策略,执行下发的指令。整个系统支持分级部署、分级管理,这样就能够完整覆盖XX全省地税系统。部署方式如下:图内网终端管理系统部署示意图网络版防病毒由于XX地税网络中已经部署瑞星网络版防病毒软件,在此方案中不再单独论述。应用安全规划应用安全规划是指XX地税运行税务、办公、管理等应用相关的主机系统、应用平台、数据库平台的安全规划。我们建议部署应用管理系统、漏洞扫描系统、网络行为审计系统、数据库审计系统等,实现各类服务器主机、应用程序、数据库运行情况的监控,做到事前预警;实现审计数据库操作行为,避免管理人员误操作导致数据丢失、错误,影响信息系统的完整性和机密性;实现对终端计算机用户重点人员、关键应用的审计,防止信息泄密、滥用资源;并实现对全网应用系统、服务器主机、网络设备的漏洞定期/不定期的评估,事前掌握信息资产的弱点,防止被她人利用产生安全威胁。应用安全管理XX省地税的网络中运行了很业务应用系统,如:税收征管系统,货运发票系统,行政管理系统,决策支持系统,外部信息系统等,在对系统监控管理方面,用户最关心的是核心业务应用系统的监控管理,这些应用系统是否健康运行直接关系到关键的业务系统,为了及时发现应用系统运行状态,快速定位应用系统故障,分析应用趋势合理划分应用资源,因此,我们建议在此网络中部署应用安全管理系统。图:应用安全管理系统(APM)图应用安全管理系统部署示意图上面是单机部署的示意图:左边是整个业务基础架构,APM能够对其进行监视,并可为参数设置阈值,当被监视参数超出阈值的时候就会触发动作,产生告警,通知管理员和操作人员进行处理;APM还内嵌各种图表和报表,能够经过它们来分析不同时间的变化趋势并评估其性能。APM支持多级分布式部署,如:能够在XX省地税网络系统中的省、地市州两级网络的数据中心部署。漏洞扫描XX省地税网络信息系统中网络设备、小型机、服务器、主机,以及操作系统、数据库、应用软件中都可能存在安全漏洞,这些系统漏洞的存在将给黑客攻击或病毒、木马提供各种有利条件,使网络整体安全性严重下降。为了保障全省地税信息系统的安全,随时监控系统和设备的安全性,因此,我们建议在省局的网络中部署1台机架式漏洞扫描系统和1台手持式漏洞扫描系统,定期对整个网络进行系统扫描、弱点评估,评估对象包括主机、网络设备、数据库系统及应用系统(如WEB)。对重要的网段和网络中的重要资源及关键服务器还应该增加扫描的频率。要从网络各个典型位置(如边界外部、专网等)对系统进行评估和扫描。利用漏洞扫描系统可集中找出当前网络中的安全漏洞,包括各个系统、设备及服务的漏洞,了解漏洞内容,使管理员不需要花费巨大的精力去逐项核查每个可能存在的安全隐患。能够提供全面的风险评估报告和修正报告,包括对扫描所检测出来的安全漏洞描述,并提供相应的修正方法及补丁下载网址,进而减少全省地税信息系统漏洞,降低风险指数。经过机架式漏洞扫描系统的部署能够随时对省局内的网络及其上的重要网络设备、主机系统、操作系统、应用系统等进行全面的漏洞扫描和安全评估。经过1台手持式漏洞扫描系统让各地市州地税局轮流使用,实现XX省地税全网中的系统和设备安全。漏洞扫描系统的安装使用非常方便,只要将其接入到地税的网络并配置IP地址即可正常的使用,其工作范围可包含整个网络地址,能够从任意地址经过浏览器登陆并下达扫描任务。漏洞扫描系统部署完成后,能够实现以下主要的安全策略:对网络内部的核心重要设备(小型机、服务器、工作站、网络交换设备、数据库、网络安全设备等)进行安全漏洞扫描检查。向网络管理员提供各种安全漏洞的解决方案建议,指导管理员对重要设备进行安全加固。经过系统版本升级,持续增强对各种最新漏洞的检测能力。图漏洞扫描系统部署示意图网络行为审计XX地税省局机关中,内部人员能够经过外网区访问互联网,内部人员使用网络出现的各种违规行为,造成网络拥堵、信息泄露、数据被窃取和篡改、不良信息传播等等问题,网络的应用行为和信息内容的安全审计管理已是省局面临要解决的问题,需要行之有效的网络应用行为和信息内容的安全监控审计技术手段,防范内部安全隐患和风险,辅助完整的安全责任查证和认定体系。网络行为审计系统经过网络旁路的方式,监听捕获并分析网络数据包,还原出完整的协议原始信息,并准确记录网络访问的关键信息。它能实现网络访问记录、邮件访问记录、上网时间控制、不良站点访问禁止等功能。我们建议在XX地税省局的外网区互联网出口交换机上,经过旁路的方式部署一套网络行为审计系统,实现对互联网访问的网络行为审计。图网络行为审计系统部署示意图数据库审计数据库作为XX地税信息系统的数据中心,是全省地税信息网络的动力源,承担着巨大的责任,对它的保护也就显得特别重要。数据库审计系统正是针对数据库的安全而提出的一种数据库操作审计产品,其基本思想是经过对网络数据的实时采集,以及对各种上层数据库通讯协议数据的实时分析和还原,对被监控网络中的数据库使用情况进行监控,对各种违规行为实时报告,甚至对某些特定的违规主机进行封锁,以帮助网络管理员对数据库资源进行有效的管理和维护。数据库审计面对网络中的用户对数据库的操作行为(如读、写记录等)、用户事件(如用户帐号的创立、删除等)和系统状态(如数据库的启动和关闭等)加以审计,审计信息作为安全事件分析和追踪的基础。我们建议在省局的数据中心关键数据库服务器接入的交换机上部署数据库审计系统,经过旁路侦听方式实现网络审计和数据库审计功能。系统设计如下图所示。图数据库审计系统部署示意图

安全管理规划对一个省局来讲,全面的信息安全建设后,全省仅防火墙产品就有上百台之多,而且分布在全省各个地市,任何一个点的产品出现问题都会对业务造成影响,另外,税务系统经常会有新的应用上线,每一次新系统上线,都要把全网的防火墙等安全设备重新调试,而地方的人员技术水平不能够承担调试工作,这就给省局或者是市局的管理人员带来了很大的工作量。迫切需要经过产品的手段进行统一集中管理。统一安全管理平台的建设是为了实现对业界主流品牌防火墙、防病毒、入侵检测系统、入侵防御系统、网关防病毒、内网安全管理系统、行为审计等各种各样的安全设备和安全系统进行集中管理。统一安全管理平台可分两级建设,省局建设一套覆盖全省的安全管理中心,各地市州建设一套覆盖本地市州的安全管理分中心。经过统一安全管理平台,一方面能够生成全网安全设备的拓扑图,并根据预先定义阀值等直观的反映设备运行情况;另一方面,实现集中进行日志审计,智能化的展现当前安全运行的风险情况。从配置管理、运行状态监控、运行风险分析多个方面,帮助安全管理员有效的、轻松的应对工作。图安全管理平台的部署规划实现效果XX地税的信息化建设项目是国家重点”金税”工程的一部分,而信息化建设中的安全建设则是工程中的重点。其建设效果极具现实意思以及今后工程的示范意义。联想网御的技术方案将给XX地税的信息化安全建设项目带来以下价值:技术先进性使XX地税信息化安全建设项目技术保障充分联想网御技术方案所采用的所有安全产品均是在细致的考虑了该产品的技术水平、合理性、先进性、安全性和稳定性等关键要素的基础上做出的选择。所选产品的这些优良特性将给本次项目提供充分的技术保障;所选产品是此项目能够顺利展开实施以及日后日常维护的基础设施,可充分保障XX地税信息系统的可持续运行。系统体系化使XX地税信息化安全建设项目建设路线清晰我们经过对此项目安全需求的透彻分析与归纳,提出了建设四大安全体系的技术路线。该路线成为指导整个方案的核心思想。既完全满足了本项目提出的所有安全产品及方案要求,又合理的进行了体系化设计。这样就使得安全建路线清晰,使得XX省地税各级单位明确自身安全建设状况,有针正确进行相关建设。而系统的体系化也为未来安全管理、维护以及后期的安全建设打下了坚实的基础。系统关联化使XX地税信息化安全建设项目安全智能联动此项目涉及众多的安全产品,组成了四大致系。如何将这些产品有序的组织起来,共同发挥更大的效率是本项目需要重点考虑的问题。联想网御的技术方案充分考虑到了各产品及体系之间的关联应用。内网安全、应用安全以及边界安全三个不同层面的安全关联使得XX省地税信息系统的整体安全性能得到极大提升,针对某类的安全问题能够从多个系统角度共同关联防护;同时利用联想网御安全管理平台先进的管理能力,构成智能、联动的完整安全体系,最大化的保障全省地税信息系统的系统安全,保障业务系统的可持续运行。管理集中化使XX地税信息化安全建设项目轻松安全管理鉴于此项目所涉及的安全产品众多,分散的安全管理工作势必将极大的增加系统管理人员的工作负担。联想网御安全管理平台可采用单级或者分级的部署方式,对所有安全产品进行统一管理、关联分析。使得省局、市局相关管理人员轻松把握全网安全态势,全面提高省地税信息系统的安全管理水平。安全建设方案XX省地税的广域网刚刚建成,全网信息化安全建设刚刚起步,需要的安全建设众多,而安全建设是一个整体、全网的事情,非部署某个安全产品或者系统。建设方案应充分考虑到各个层面的安全风险,构建完整的安全防护体系,充分保证系统的安全性。既要根据当前现状充分考虑当前切实的安全需求,又要整体规划,长远设计。结合XX省地税的当前现状及后期信息化发展,安全建设方案我们将以上文中的”总体安全规划”为依托,详细设计边界安全建设、内网安全建设、应用安全建设、安全管理建设。下面我们详细分析信息安全建设方案。建设内容按照总体安全规划,建设内容主要包括:边界安全建设内网安全建设应用安全建设安全管理建设建设目标边界安全建设目标严格区XX地税广域网分各级网络边界,在网络边界上控制对各级网络内部的非法访问,对于来自各级外部的非法访问采取强制性的控制措施;抵御来自互联网络和其它外联网络的各种攻击行为,确保网络基础平台稳定可靠的运行;在省局内部网络不同安全域之间建立必要的安全访问控制策略,确保不同级别安全域之间的网络互访合法、有序和受控;未雨绸缪,第一时间阻止来自Internet的恶意病毒和垃圾邮件;为安全管理平台提供必要的审计和监控数据,而且能够经过安全管理平台,实现与其它安全设备的联动防护,形成动态防御、按需调整、灵活可变的安全防御体系。内网安全建设目标对网络内各终端进行入网检查,对不符合安全策略的终端进行隔离。确保入网终端安全。限制内部用户非法外联,开辟新的互联网出口。能够做到基于用户的IT资源使用授权。必要时能够实现细粒度管理。对网络内各终端提供统一的安全监控以及审计,构建可信终端环境。建立计算机病毒预警及防范机制,控制计算机病毒在终端上的传播。建立统一的软件补丁分发管理系统,及时弥补系统漏洞。建立内网IT资产(软硬件资产及资产变更)的统一管理。为安全管理平台提供必要的审计和监控数据,而且能够经过安全管理平台,实现与其它安全设备的联动防护,形成安全关联防护系统。应用安全建设目标Web网站网页内容的监控和防护。税收征管系统的可用性监控、故障报警、趋势分析。对各种数据库系统提供安全监控和审计。建立身份认证系统,实现对应用系统访问的权限管理。为安全管理平台提供必要的审计和监控数据,而且能够经过安全管理平台实现与其它安全设备的联动防护,形成安全关联防御系统。安全管理建设目标建立省、地市州两级安全设备管理体系,能够集中管理控制各级单位部署的安全设备,并实现统一下发安全策略。建立全面的策略优化系统,能够智能全面的调整和预警垃圾策略;具有一定的安全事件集中收集和过滤能力,实现现有重要网络安全产品的事件收集和集中管理。经过安全时间的集中收集和过滤功能,实现报警功能。建立基本的安全相关事件响应管理系统。

边界安全建设面对XX地税全省性复杂的信息系统,单独对每项信息资产确定保护方法,非常复杂、可操作性差,往往由于疏忽或错误导致安全漏洞。将整个信息系统当成一个安全等级来防护,也难免造成没有防范层次和防范重点,对风险控制能力不足,最终达不到保障安全运行要求或者投资过大、无法实施。因此,对XX地税全省网络及信息系统的安全建设,首先就要进行安全区域划分和边界整合,从而进行边界安全防护工作,搭建起整体安全建设的框架。为便于描述,我们分省局横向网络平面和地市州、区县纵向网络平面来介绍。省局边界安全建设图省局边界安全部署图部署说明部署产品部署位置作用说明防火墙Internet出口用来隔离互联网,并经过安全策略控制来自互联网的所有访问行为地税广域网出口用来隔离和控制下属机构对省局的所有访问行为银行网络出口用来隔离和控制外联网对地税专网的访问行为省局安全管理服务器区边界用来隔离和控制用户对安全管理服务器区的访问行为,防止内、外部用户的越权访问国税、政务网出口用来隔离和控制外联网对地税专网的访问行为IPS省局业务服务器区边界用来隔离和控制对核心业务服务器区的访问,防攻击、病毒,并及时预警和阻断防病毒网关Internet出口防止来自Internet的病毒入侵地税广域网出口防止来自地税广域网的病毒入侵省局办公服务器区边界防止来自内外部的病毒入侵,包括来自省局机关网的病毒入侵。异常流量管理(Guard)Internet出口主要用来检测来自互联网的异常流量,抵御来自互联网的拒绝服务攻击,保障网络可用网闸银行网出口,前置机与地税内网之间实现银行网与地税网之间的物理隔离与数据交换具体功能防火墙功能功能描述系统平台采用VSP通用安全平台构建系统平台安全引擎采用USE统一安全引擎工作模式支持路由、透明、混合模式等多种工作模式状态检测支持状态检测技术,符合GB/T-18019<包过滤防火墙技术要求>,实现基于IP地址、服务端口、IP协议、用户、时间等安全策略的状态包过滤NAT支持地址转化功能,支持一一映射、多对一映射等不同方式的双向地址转换透明代理实现基于策略的HTTP、FTP、TELNET、SMTP、POP3等透明代理路由支持支持静态路由、策略路由、多出口路由等路由功能VLAN支持支持VLAN协议,支持802.1Q,ISL等VLAN协议动态协议防火墙支持H.323、SIP、FTP等多种动态协议的过滤地址绑定支持IP/MAC绑定;支持自动探测IP/MAC地址功能。带宽管理支持完善的带宽管理功能,支持最小保证带宽、最大带宽、带宽优先级设定等功能抗DOS攻击具备抗DOS/DDOS攻击功能,可识别和防御synflood、Pingflood、udpflood、teardrop、sweep、land-base、pingofdeath、smurf、winnuke、圣诞树等攻击,维护自身安全入侵检测具备入侵检测防护功能,可对常见入侵方式进行检测并能够抵御攻击VPN具备标准的IPSECVPN功能,支持3DES、DES等加密算法,支持AH和ESP封装模式以及MD5、SHA1、SHA2等通用摘要算法;支持隧道接力并可经过隧道接力实现分级的树状VPN结构;支持预共享密钥和X.509证书等认证方式;支持网关-网关、网关-客户端的、动态网关之间等方式的IPSecVPN隧道方式,支持Hub-Spoken星形组网方式;安全管理支持远程安全管理和本地管理功能,支持SNMP协议集中管理支持集中管理功能蠕虫过滤支持对常见网络蠕虫病毒的过滤,采用协议分析方式P2P过滤支持对P2P流量进行阻断或流量控制,采用协议分析方式关联协议支持CSC安全关联协议,可与其它产品进行安全联动HA功能支持MRP多重冗余协议,支持完善的HA功能,包括热备和负载均衡等方式,负载均衡方式能够支持＞4台设备的集群日志审计产品具备完善的日志审计功能,支持日志记录、统计、查询等;支持日志审计,能够根据设定条件生成各种类型的报表;支持日志服务器入侵防御系统(IPS)功能类别功能描述安全平台硬件架构采用AISC硬件架构操作系统采用VSP通用安全平台,具备高效、智能、安全、健壮、易扩展等特点入侵检测与防护入侵防护引擎基于USE统一安全引擎,实现基于状态的深度检测工作模式支持透明、路由、混合三种工作模式路由协议支持静态路由、策略路由、动态路由(RIP、OSPF、BGP)、单臂路由、组播路由等虚拟入侵防护系统最多支持256个虚拟入侵防护系统IPS协议分析实现TCP/UDP/IP协议分析,实现对主流应用协议、动态协议的跟踪实现TCP/UDP/IP协议解码器实现对主要应用协议的解码器分析IPS动作模式能够针对不同的特征制定不同的入侵防护系统动作(丢弃、经过、重置、重置客户端、重置服务器、丢弃会话、清除会话、经过会话)IPS特征库数量内置IPS特征库、特征库数量大于3000IPS特征库升级实现IPS特征库在线升级和本地文件升级攻击类型病毒、蠕虫、木马、间谍软件、广告软件、可疑代码、带宽劫持、探测与扫描、后门、非法接入、混合威胁、VoIP攻击(VoIPAttack);实现对RPC、SMTP、HTTP、IIS、sql、Apache等应用系统和应用协议攻击检测和防护阻断DoS和DDoS(拒绝服务攻击)实现对拒绝服务攻击的防护,如SYN_Flood、UDP_Flood、Pingdeth等的防护用户自定义攻击特征用户能够灵活基于本网络的实际情况自定义攻击特征,并根据攻击特征定义响应动作方式P2P应用限制实现对P2P协议如Kazaa、eMule/eDonkey、WinMX、BT等应用的限制IM应用限制实现对IM协议如MSN、ICQ、YahooMessenger、Skype、QQ等应用的限制SPAN接口监听模式设备可实现IDS监听功能VPN隧道IPS防护实现对VPN隧道的IPS检测防护流量整形保证带宽实现对某一网络对象的保证带宽设定最高带宽实现对某一网络对象的最高带宽限定优先级设定实现对网络对象或应用的带宽优先级设定关联安全应用支持CSC安全关联协议可实现与ISM内网安全管理系统之间的联动设备、日志管理设备管理可经过LeadSec安全管理系统实现安全审计、日志分析、安全报警等功能设备监控对CPU、内存、磁盘、网口、用户在线状态、连接数、路由表等信息监控日志记录、报警实现SNMPtrap、邮件、日志等多种形式,实现短信等方式报警支持标准syslog日志格式日志审计能够按条件进行日志查询日志存储本地和网络数据库两种存放方式,支持主流的数据库,日志数据能够导出日志授权对授权管理员划分不同的安全角色,并按照安全角色进行授权管理增强安全功能防火墙功能实现状态检测防火墙功能,支持基于网络接口、IP、协议、时间表的策略支持VPN支持IPSEC、L2TP、PPTP、SSL等VPN技术病毒检查实现对HTTP、FTP、POP3、SMTP、IMAP等协议的进行病毒检查和隔离实现对灰色软件、间谍软件及其变种进行阻断内置病毒库、病毒库可实时在线升级、支持病毒库本地升级反垃圾邮件技术支持自定义禁忌词汇、支持匹配码、正则表示式方式、支持多语言、支持对邮件主体和主题进行过滤支持实时黑名单RBL,在线查询垃圾邮件服务器WEB内容检查可支持在线Web分类过滤特征库查询,支持多种语言、支持URL过滤、支持内容过滤(支持通配符、正则表示式)高可用性设备集群基于MRP多重冗余协议,实现2-32台设备的集群链路聚合支持多端口聚合,实现零成本扩展带宽双机热备实现双机热备下主从切换、实现宕机、单端口、双端口故障的双机热备状态同步实现集群设备间的状态表同步防病毒网关功能类别功能描述安全平台硬件架构采用AISC硬件架构操作系统采用VSP通用安全平台,具备高效、智能、安全、健壮、易扩展等特点防病毒功能防病毒引擎基于USE统一安全引擎,支持启发式病毒扫描工作模式支持透明、路由、混合三种工作模式路由协议支持静态路由、策略路由、动态路由(RIP、OSPF、BGP)、单臂路由、组播路由等虚拟防病毒网关最多支持256个虚拟防病毒网关功能支持协议实现对HTTP、FTP、POP3、SMTP、IMAP等协议进行病毒检查和隔离实现对灰色软件、间谍软件及其变种进行阻断病毒类型可过滤邮件病毒、文件病毒、恶意网页代码、木马后门、蠕虫病毒等规则过滤可自定义病毒特征和过滤规则,识别特殊病毒、未知病毒、突发病毒病毒库及更新升级内置病毒库病毒库可实时在线升级支持病毒库本地升级VPN隧道病毒过滤实现对VPN隧道的病毒扫描IM协议病毒过滤支持即时通讯协议的病毒过滤:AOL,Yahoo,MSN,和iCQ等流量整形保证带宽对某一网络对象的保证带宽设定最高带宽对某一网络对象的最高带宽限定优先级设定对网络对象或应用的带宽优先级设定设备、日志管理设备管理可经过LeadSec安全管理系统实现安全审计、日志分析、安全报警等功能设备监控对CPU、内存、磁盘、网口、用户在线状态、连接数、路由表等信息监控日志记录、报警实现SNMPtrap、邮件、日志等多种形式,实现短信等方式报警支持标准syslog日志格式日志审计能够按条件进行日志查询日志存储本地和网络数据库两种存放方式,支持主流的数据库,日志数据能够导出日志授权对授权管理员划分不同的安全角色,并按照安全角色进行授权管理关联安全应用支持CSC安全关联协议可实现与ISM内网安全管理系统之间的联动增强安全功能防火墙功能支持状态检测防火墙功能,支持基于网络接口、IP、协议、时间表的策略定制;支持VPN支持IPSEC、L2TP、PPTP、SSL等VPN协议入侵防护IPS及蠕虫防御内置IPS特征库,支持特征库在线升级,具备3000种以上攻击特征库规则经过对数据包的特征完全内容分析,结合IPS防御技术,拦截蠕虫攻击支持对DOS/DDOS的深度检测和防护具备对入侵行为特征自定义功能P2P和IM软件限制P2P软件包括T、Edonkey、Emule、Gnutella、KaZaa、WinNY等IM软件包括:QQ、MSN、YAHOO、AOL、ICQ、Skype等反垃圾邮件技术支持自定义禁忌词汇、支持匹配码、正则表示式方式、支持多语言、支持对邮件主体和主题进行过滤支持实时黑名单RBL,在线查询垃圾邮件服务器WEB内容检查可支持在线Web分类过滤特征库查询,支持多种语言、支持URL过滤、支持内容过滤(支持通配符、正则表示式)高可用性设备集群基于MRP多重冗余协议,实现2-32台设备的集群链路聚合支持多端口聚合,实现零成本扩展带宽双机热备实现双机热备下主从切换、支持宕机、单端口、双端口故障的双机热备切换时间主从防病毒网关切换时间小于1秒状态同步实现集群设备间的状态表同步异常流量管理(Guard)功能类别功能描述安全平台硬件架构采用网络处理器硬件架构操作系统不依赖任何通用操作系统,直接基于NP芯片的高速网络处理能力,采用微码实现核心安全功能,具备高效、安全、健壮、易扩展等特点抗攻击功能防御流量型flood攻击抗SYNflood攻击抗UDPflood攻击抗pingflood攻击抗streamflood攻击等防御应用型flood攻击抗CC攻击抗DNS攻击抗connectionflood攻击抗httpgetflood攻击等防御DOS攻击抗pingofdeath攻击抗land攻击抗teardrop攻击抗smurf攻击等其它抗攻击抗IP流攻击抗TCP无标记攻