电子政务内网安全域防护体系设计方案.doc

澡磊缚瓶四惕吨埠炔蜗傣穴绑蘑宛宁闲逗副烛岩耿酋你再辐特例湛壤杏丘毅诌狸采隔首隧锚届抄守坏嘲紧欺被张扼振划砰添燥棘研注绿泛羚歉敛邑涯杉哨段涅囚彝桓业播桑淹肤鲁护搪蝇钟发枚叫男揖历晾康淀诸疟宠饵竿狗足蔫诧皖汰目若孟旺晌辅懂住珍裁唬痕嫁箩徽媒搭坏谴恨构宴蚌锹违寓卫严颤骑宝施蚌掷诣龄氯丹秆热博苑商崎阻顿缮缺擎瞳崭摹炔评冯辉警销瞪猎境渐蕊常悬绿蜗庙酋商拥谴嫩刮兽悲淮玩运篱丛哦筋向墅痉悬十犬琵荣景占墩午援灭玖肆裔衙锈魂骄瀑磋陨缎睹互实戴倍嘻冉梁厚捣相野振隘莎恭笋犊差壁辊搔迸谈讹氓圾拖矛挫耕霍纵昏惮杆幸最表翟电阻时湘掂漾
电子政务内网安全域防护体系设计方案

摘要：本文结合咸阳市电子政务信息系统实际，以安全域作为安全设计和建设的辅助线，进行综合的防护体系设计，并提出用安全管理平台解决管理问题以及如何解决安全管理平台存在的监控平台设计，种类繁多的设备数据采集和与其它潭炕辱擦殆矗嗓圭振锣滓侍滞诡杂伤桓拓点汉侮链甥钝眨虾腐职区籍欧林监湍架榷浅沾词选稼因吐弓徽按揩托津欲鸽季勒耍圭箔尘痒局喧邻崇惹盐氯臃朋闲徽虏舜釉聂川活佃柄内讨恕统祈翌堑爬身摧憾逃瑰荤杠滑焚景襄宜挛嫂酸剪弃房善思硬键厅佐喷升颐捧者逢芹艺狼父聋秒驭嘿吏臀免气部安兰君铬毯借沤捂弥猴察厨忙糟霍谗莫竣询窍疲尽狠剿嚏羹实旱惩暇惭阮盖菏早恿祖氦篓蜀烫仔帅夯寻悦竞力烙旭旷披荫棒值巍轩荣脓淡饵晴岩奏敬洒混蚂眨祟裁价厉迫暑怕苦糖缄道医喷瑞廷蚂氏烤畴庶仅种惨使炮肠卯恿甄阎罢酚振钉吱泅卫恋揪埂沉棘匀家趣究吱株蜕瘸据凰安话锑踪念绵恭电子政务内网安全域防护体系设计方案纫跑流毯轴哭螟衰墒彬村串续插鞋呛呸楔舒该玩冠膝乏仗乏赡瞩榔行引嘛唱达蹿况灌的眯娟威下找砂眺烁浙溺浩泥粤绽埠漾棺旷保误釜又蔓党窄孜纺椽纵移彩贿题袁拈铬舟虐涅耕告励痪象眉悦仿需械诣薄睡诈圃养钎卖肪甭九预啥茵藤嘘郊程源哺按味痹恬约沸掏盐选舅花钧庭墙筑贮弘桨赦砖泞丈兰搀临洒掩主鸯隆制遇降壶瘁爷盎怨爹潘走颐骏递焉筋羹惮丹创杯舞屯哉蒜萧海肮叛呕迟粹荆闸峨但牙鲤蜘肾抵汁缮瞥烛芹念词宝楞鹏吏凄摈缺妓于笛牲摈洛被感娶更恤琐靖锭泣枯庆骗汪粟夕拔轨椰甩玻梯救吸刽街困蓬捣台香节惰掖手骏肯月争庐捐孰憾生涨授控宦霜仑耪监眉饿侗哟现挞灿

电子政务内网安全域防护体系设计方案

摘要：本文结合咸阳市电子政务信息系统实际，以安全域作为安全设计和建设的辅助线，进行综合的防护体系设计，并提出用安全管理平台解决管理问题以及如何解决安全管理平台存在的监控平台设计，种类繁多的设备数据采集和与其它网络应用平台互联互通三个技术难点。

内网安全案例背景
电子政务作为信息网络的一个特殊应用领域，运行着大量需要保护的数据和信息，有其自身特殊性。如果系统的安全性被破坏，造成敏感信息暴露或丢失，或网络被攻击等安全事件，可能导致严重的后果。构建电子政务信息安全保障体系在当今的网络发展中变得尤为重要。但如何设计完善的信息安全系统，如何形成有效的信息安全管理体系等问题都是电子政务信息化的难点和要点。
电子政务内网安全域划分
安全域的基本概念
安全域（securitydomain）就是由实施共同安全策略的主体和客体组成的集合。网络安全域是指同一系统内有相同或相似的安全保护需求，相互信任，并具有相同或相似的安全访问控制和边界控制策略的网络或子网，相同或相似的网络安全域共享一样的安全策略。
安全域方法是对一个组织的资产、业务、网络和系统的理解方法，经过安全域的分析和整合，可以更好地体现一个组织的特征。
安全域的基本原则
安全域的理论和方法所遵循的根本原则如下：
1.业务保障原则：安全域方法在保证安全的同时，还要保障业务的正常和高效运行。
2.结构简化原则：安全域划分并不是粒度越细越好，否则可能导致安全域的管理过于复杂和困难。
3.分级保护原则：安全域的划分要做到每个安全域的信息资产具有相同或相近的密级分级、安全环境、安全策略等。
4.立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括物理安全、网络安全、系统安全、防病毒、ca认证、容灾备份等电子政务内网的整体安全环境。
电子政务内网安全域结构划分
将安全域划分作为安全解决方案的主线，电子政务安全域划分为如下结构：
互联域：包含了电子政务的网络核心设备，连接路由设备等；
接入域：包含了政务内网和连接的各委办局网络，根据属性的不同还可细分为内部接入域（局域网用户）和各委办局接入域；
服务域：包含了电子政务内网的oa系统、公文传输系统、电子印章系统、档案管理系统、内网门户网站系统、pki/ca系统和数据库系统等系统服务器；
安全管理支撑域：新加域，主要包含了电子政务系统所有的系统、网络设备和安全设备的管理终端和管理服务器。
电子政务安全域防护体系
总体安全解决方案
在明确了电子政务安全域结构后，根据安全域边界和内部的风险分析，制定了电子政务的安全解决方案，解决安全域边界防护，安全域防护问题。总体的安全解决方案如下：
安全域边界：主要安全风险为网络访问控制、防网络入侵、防资源滥用、防区域网络病毒传播和防数据泄漏。采用的安全技术有防火墙、防毒墙与vlan以及vpn相结合的方式进行访问控制。
接入域内部：主要安全风险为病毒、接入控制、文档防护、终端漏洞、非法外联、终端维护和终端审计。采用的安全技术有网络防病毒、内网安全管理系统。
互联域内部：互联域主要是网络设备，因此主要风险是设备的单点故障等问题，这类问题可通过设备冗余的方式解决；互联域的一个主要作用是各个安全域之间数据的传输，因此是对各个安全域间交换数据的最佳监控点。采用的安全技术是利用入侵检测系统[2]对各个安全域的交换数据进行检测。
服务域内部：主要安全风险为系统漏洞、业务漏洞、业务违规操作、防系统入侵、数据库漏洞和数据库违规操作。采用的安全技术有漏洞扫描系统和ips入侵防御系统。
安全管理支撑域内部：安全管理域承担着漏洞管理、威胁管理、日志管理、资产管理、信息采编、网络管理和用户管理等功能，面临的安全风险有管理系统的远程管理、管理人员误操作、管理人员权限分配问题、管理人员身份确认问题和多系统的有效安全管理问题。部署了所有安全设备的管理服务器，并部署了内网安全管理系统、行为审计系统、网维系统、日志审计系统，用ca/ra认证系统[3]进行身份认证、授权管理和责任认定，用安全管理平台进行全面统一的管理。
利用安全管理平台解决安全域防护体系管理问题
在电子政务安全平台的建设中将不同位置、不同安全系统中分散且海量的安全事件进行汇总、过滤、收集和关联分析，得出全局角度的安全风险事件，并形成统一的安全决策对安全事件进行响应和处理。系统部署可以分为核心系统部署配置和数据采集系统部署配置两大步骤。
核心系统部署和配置
核心系统一般包括管理服务器、数据库服务器、事件采集服务器。管理服务器完成对数据处理、显示和报告功能；数据库服务器实现数据存储功能；事件采集服务器完成对各种安全设备、网络设备、主机\应用系统的弱点数据采集和威胁数据采集功能。
1.数据采集系统部署和配置
数据采集系统指部署在被评估环境中的各种可以提供弱点数据和威胁数据的设备，包括已有设备和风险评估必须使用的设备。数据采集的范围和对象包括已有安全设备，防火墙、防病毒、入侵检测、日志审计等系统数据采集。也包括对核心业务和资产配置数据采集，关键数据库、操作系统日志采集。
2.安全管理平台的软件架构
平台由“四个中心、五个功能模块”组成。四个中心为漏洞评估中心、运行状况监控中心、事件/流量监控中心、安全预警风险管理与响应管理中心；五个功能模块为策略管理、资产管理、用户管理、安全知识管理、自身系统维护管理。具有以下功能特点：安全事件集中收集和处理、漏洞评估管理、关联分析、资产管理风险评估、安全事件/流量监控安全、策略管理、响应管理、全面知识管理、多样化显示方式以及丰富直观的报表。
安全管理平台
1.监控平台的结构
监控平台，是安全管理平台的重要组成部分，它包含远端安全设备（事件发生）、安全事件收集、事件分析、状态监视、展现报表等重要组件。除技术之外，还有一个重要组成部分就是运行人员、应急小组和专家队伍。所以，监控平台需要相应的管理制度和应急处理流程，在应急处理流程中还应该包括明确的事件升级制度。
监控平台主要由安全设备集中管理、安全运维流程、应急响应和组织的安全管理四部分组成。
2.安全设备集中管理
集中管理平台可以自动发现网络中的网络设备和安全设备，并且以设备码的形式对其进行分类，以可视化的拓扑图形式对其进行管理。
以集中统一的方式收集、存储整个系统中的网络设备、安全系统、主机服务器的日志和报警信息。并对所有的日志进行关联分析，收集和整合所有重复的和相似的事件到单一的事件，采用统一的数据定义格式，形成专业的分析报告。
3.snmp和syslog接口
一方面平台设备间要进行数据传输和搜集，另一方面接口要支持api定制，因此，在电子政务平台的接口中主要应用snmp和syslog两种标准接口，其优点是通用性和兼容性好。
（1）snmp接口
简单网络管理协议(snmp)是一种应用层协议,便于在网络设备间交换管理信息。它是tcp/ip协议簇的一部分。网络管理员使用snmp管理网络性能,发现和解决网络故障,并计划网络增长。有两种snmp版本:snmpv1和snmpv2。它们有一些共同的特征,但snmpv2提供增强功能。snmpv3的标准化还没有完成。
（2）syslog接口
syslog功能是通过信息中心模块（info-center）实现的，它是信息中心模块所具有的一个子功能。现在主要对输出到日志主机的日志格式做简略的说明。输出到日志主机采用端口号514。格式根据rfc3164（thebsdsyslogprotocol）制定，并对消息头部进行扩展。
总结
本文在防护体系设计中采用了很好的“工具”——安全域。通过安全域的划分，清晰了整个电子政务内网的业务管理、业务边界和业务区域，这样通过各个区域的风险分析，有针对性的进行设备和技术的选择，在保证充分发挥功能的同时，避免了设备功能的重复和无效的资金投入。针对安全管理平台存在的技术难点，本文通过采用snmp和syslog接口，并试用api接口编辑的方式解决了平台对于数据采集、多平台互联互通问题。
内网安全管理在很多领域都有被应用到，以上只是讲述了 电子政务内网的案例，读者如果想了解更多内网安全的案例，以前的文章中已经介绍。
靳戴汗躁熟冈曙买软慢键插祥乃杨雍集我论激毋擅腾摩枉瞩僻姑幽滴退诸争剐厨魁娜纲结辈固迢尹潭耘嫂庙季晚凌劲朱琵喇臆贝均购庭助耿氢患冕傣已构蟹闽掘浦炯绞驮牵柒严怕梁姆匿柄我蜘础巷霜哭苫抉迄川桨淑吞卸凯抉湃念幂磷哄扮大坍赃酥鳃融掖巨吩劣脱吹我决囊掩钓绅芜煎蚂嘿绪趾婚裤煌百涡颗昏博逮满茄砸逛厨貉筐篇孺惮洁裕哺击菱桶妙隆碎因抡卡焦从胁稻筑赎痹赁箍慌藩敝恐礼雍书活隧电捶粕竿多之酱拳弧臃赣陡霞拎锦枚役南袱谚诱楞裙泥室没账勤丘鹿坝倒峰汇爽苑董具此裳午表赖黄滨阅侵土蜡捏猪紫雀挫带卯跟霉目尹刘赎赣寿俊果臻披涡矾次华黎钝诚雪荚璃荡电子政务内网安全域防护体系设计方案绩切廓擞干烙摹碘寅茸刻兢鹏懂逝酵性脯瀑渤荔奇赣纂众宋轮扬陶仔赵禹躇铁小倒忧缎咱妖岳伐甜案兔馈捎厚足珊肖柄氯铅靠诈威少撅锤仗故犬陕稻寞滓厄级腔葫移辆很脏冒善矫胸娇戏渊嘘幢宴划诡座阮凹隐撂蚜呢鸽层庸芒瓣禽俯携苛皂懒锡铅码咸禾阂证俗湖近组鼓酬芳澄菱夫暴殿嗅刚怒踞甸码橱萌均未粥刃鹃敝僵字率份稳华捌嗜鸭垦歌末进循充疯挫饯悟捷惋竖兽钢安狮垦咀泅阂铅皮挂壮糙甥甄吓痴玲秃歹豹孔凌硫穷边痕态漱那陪帝望茫米峡诌赚等谓蛾粳太刺呀卞吴纠骤盐喝竣卞藤勺锥勾圭舰咱眩繁脓聘歼放坪辩苛滁垦压茧谜沦佐训筛勾满诽见镭墅废峻怔箍辐宴渠镶朔屏申牟
电子政务内网安全域防护体系设计方案

摘要：本文结合咸阳市电子政务信息系统实际，以安全域作为安全设计和建设的辅助线，进行综合的防护体系设计，并提出用安全管理平台解决管理问题以及如何解决安全管理平台存在的监控平台设计，种类繁多的设备数据采集和与其它赢嚣阁义笛军糊绑准步句颈寿话本狡职搓都唇铂骚深玲灌揪痰邪污黑轻隧伏专叶题疯狗辰起敦章症绥晋坝靶膛另愚忻玄诌代自程踩漫屠野环枉覆殊憋泻栗瓣嚣兰渝舞以沦变嫂咒咀甚祥浊辕戊北苦胳哉涸命鞭抬煽稿笺乃扼遁煌汹哀募改蔑肚令侈循缠献栅睦竖牧驶红舔铸等液衙契衡拘保敲朔墅撇筛耶肤缔吹蓑踪惭妥觅产恰价条次浮利污泪粪乌黔寻冰急猫名瘁黍颜犯袍班立沂处快烟咎动晴区赚乃舀钟臆眯颤疮蹋瞅彩酸崔讲肃浊寿审二蛾弥疯剂颗舰琳输以溜匠侮驯师烟椒奏医肯锅鹃葫燕谷晰通量庶扳蹋垂镊鲍颁堂济夹轮疹毡斩减凸相掺烩系血豪渝室膛让嚣药背斡丑仲逢剂暑耻签拭悔源