XX证券网络安全部署设计方案Word文档格式.docx
- 文档编号:19841026
- 上传时间:2023-01-10
- 格式:DOCX
- 页数:46
- 大小:427.04KB
XX证券网络安全部署设计方案Word文档格式.docx
《XX证券网络安全部署设计方案Word文档格式.docx》由会员分享,可在线阅读,更多相关《XX证券网络安全部署设计方案Word文档格式.docx(46页珍藏版)》请在冰豆网上搜索。
∙数据存储、备份和容灾解决方案
XX推出的自主产品:
∙XX证券集中交易系统
∙XX证券统一消息平台
∙XX证券经纪人管理系统
∙XX银证通交易系统
∙XX电话委托系统
∙XX银行印鉴比验管理系统
∙XXIP宽带业务运营支撑管理系统
∙XX宽带用户接入认证与计费服务器
∙XX企业网络资源管理与运行监控系统
第二章安全体系层次模型和安全技术
在制定XX证券网络安全方案之前,就安全体系的层次以及相应的技术做简要的分析。
在设计中,我们也将遵循以下基本理论和原则。
2.1安全体系结构
网络安全体系结构主要考虑安全对象和安全机制,安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安全和计算机病毒防治等,其安全体系结构如下图所示:
2.2安全体系层次模型
按照网络OSI的7层模型,网络安全贯穿于整个7层。
针对网络系统实际运行的TCP/IP协议,网络安全贯穿于信息系统的4个层次。
下图表示了对应网络系统网络的安全体系层次模型:
2.2.1安全层次分析
⏹物理层:
物理层信息安全,主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击(干扰等)
⏹链路层:
链路层的网络安全需要保证通过网络链路传送的数据不被窃听。
主要采用划分VLAN(局域网)、加密通讯(远程网)等手段。
⏹网络层:
网络层的安全需要保证网络只给授权的客户使用授权的服务,保证网络路由正确,避免被拦截或监听。
⏹操作系统:
操作系统安全要求保证客户资料、操作系统访问控制的安全,同时能够对该操作系统上的应用进行审计。
⏹应用平台:
应用平台指建立在网络系统之上的应用软件服务,如数据库服务器、电子邮件服务器、Web服务器等。
由于应用平台的系统非常复杂,通常采用多种技术(如SSL等)来增强应用平台的安全性。
⏹应用系统:
应用系统完成网络系统的最终目的-为用户服务。
应用系统的安全与系统设计和实现关系密切。
应用系统使用应用平台提供的安全服务来保证基本安全,如通讯内容安全,通讯双方的认证,审计等手段。
2.2.2网络安全策略
安全策略分安全管理策略和安全技术实施策略两个方面:
⏹管理策略:
安全系统需要人来执行,即使是最好的、最值得信赖的系统安全措施,也不能完全由计算机系统来完全承担安全保证任务,因此必须建立完备的安全组织和管理制度。
⏹技术策略:
技术策略要针对网络、操作系统、数据库、信息共享授权提出具体的措施。
2.2.3安全管理原则
计算机信息系统的安全管理主要基于三个原则。
⏹多人负责原则:
每项与安全有关的活动都必须有两人或多人在场。
这些人应是系统主管领导指派的,应忠诚可靠,能胜任此项工作。
⏹任期有限原则:
一般地讲,任何人最好不要长期担任与安全有关的职务,以免误认为这个职务是专有的或永久性的。
⏹职责分离原则:
除非系统主管领导批准,在信息处理系统工作的人员不要打听、了解或参与职责以外、与安全有关的任何事情。
2.4.5网络安全设计
由于网络的互连是在链路层、网络层、传输层、应用层不同协议层来实现,各个层的功能特性和安全特性也不同,因而其网络安全措施也不相同。
1)物理层安全涉及传输介质的安全特性,抗干扰、防窃听将是物理层安全措施制定的重点。
2)在链路层,通过"
桥"
这一互连设备的监视和控制作用,使我们可以建立一定程度的虚拟局域网,对物理和逻辑网段进行有效的分割和隔离,消除不同安全级别逻辑网段间的窃听可能。
3)在网络层,可通过对不同子网的定义和对路由器的路由表控制来限制子网间的接点通信,通过对主机路由表的控制来控制与之直接通信的节点。
同时,利用网关的安全控制能力,可以限制节点的通信、应用服务,并加强外部用户识别和验证能力。
对网络进行级别划分与控制,网络级别的划分大致包括Internet/企业网、骨干网/区域网、区域网/部门网、部门网/工作组网等,其中Internet/企业网的接口要采用专用防火墙,骨干网/区域网、区域网/部门网的接口利用路由器的可控路由表、安全邮件服务器、安全拨号验证服务器和安全级别较高的操作系统。
增强网络互连的分割和过滤控制,也可以大大提高安全保密性。
随着企业个人与个人之间、各部门之间、企业和企业之间、国际间信息交流的日益频繁,信息传输的安全性成为一个重要的问题。
物理实体的安全管理现已有大量标准和规范,如GB9361-88《计算机场地安全要求》、GFB2887-88《计算机场地技术条件》等。
在本方案中,主要讨论的是物理层以上的安全措施。
第三章网络安全需求分析
XX证券有限责任公司以沪、深、京、穗为中心,辐射全国,下辖46家证券营业部,构成覆盖广泛、布局合理的营业网络。
员工总数近千人,是全国最大的综合类券商之一。
3.2项目背景
随着公司的迅速发展,关键业务不断增长,内部网络上的应用系统越来越多,另外,网上交易系统的普及,使得业务系统更直接的面对复杂的Internet网。
在这种趋势下,信息安全问题愈来愈显得突出。
XX证券管理层已经敏锐地认识到网络安全的重要性,为了提高整个系统的安全,决定大力推动网络安全的建设。
我们希望通过安全方案的实施,为XX证券的电子商务系统、网上办公、信息交流等提供一个安全的环境和完整平台。
通过先进技术建立起的网络安全系统,可以从根本上解决来自网络外部及内部对网络安全造成的各种威胁,以最优秀的网络安全整体解决方案为基础形成一个更加完善的业务系统和办公自动系统。
利用高性能的网络安全环境,拥有集防入侵、防病毒、防火墙、数据加密、身份验证于一身的功能,有效地保护核心数据和提供数据的安全传输,避免重要信息被破坏或丢失等安全事故的发生。
XX网络作为计算机网络系统集成商,致力于金融(证券、银行、保险)和IP宽带业(电讯、IDC)的系统集成与应用系统研发,在证券系统集成方面具有丰富的经验和独到的见解。
本次应邀为XX证券做信息系统的安全解决方案,一定会全力投入,并在此感谢XX证券的信任与合作。
在制定本方案之前,XX公司对标书的内容做了详细的分析,并同XX证券信息中心工程师进行了技术交流,对现有网络和系统有了一定了解,收集了比较全面的资料,为安全方案的设计提供了有力的数据基础。
3.1网络安全现状
3.1.1网络结构现状:
在公司广域网互联网访问出口调整之后,总公司在北京(XX大厦)、上海(张杨路)、深圳(建艺大厦)建立了互联网出口,提供移动办公、网上证券交易、互联网访问等服务,并互为备份,取消了以往各部门分别拥有的互联网访问线路。
XX证券从网络架构上大体可分为外网和内部局域网两个部分。
区域中心与各营业部通过专线互联,与总部和集中交易营业部均有备份链路,其它营业部也有拨号备份线路。
此外,对于关键证券交易数据还单独设置了一套卫星证券通讯网络(天网)和专线网络(地网)互为备份。
鉴于目前公司所使用的国产防火墙与国外厂商产品相比存在着技术、性能、管理上的差距,从进一步提高公司网络系统的安全性出发,计划在沪、深两地公司互联网出口处分别部署进口防火墙,用于隔离公司广域网与互联网,目前配置的国产防火墙后移,用于隔离总部局域网与营业部局域网。
3.1.2项目需求
本次安全项目招标,主要涉及到三个方面,这在标书上已经有明确说明:
(1)防火墙系统:
1)上海张杨路:
目前使用的联想网御2000防火墙后移,用于隔离张杨路地区总部应用与营业部局域网,抵御来自营业部的攻击;
新购防火墙置于互联网10M出口,隔离公网与内网,抵御来自互联网的攻击。
2)上海证券大厦:
在互联网访问主要经由张杨路统一出口后,原ADSL线路保留用做备用通道,保留原华依2000+防火墙,隔离公网与内网,抵御来自互联网的攻击。
3)深圳建艺大厦:
原华依防火墙后移,用做总部应用与营业部的隔离;
新购防火墙置于互联网5M出口,隔离公网与内网。
4)北京XX大厦:
由于将原有的128KDDN线路升级至2M用于网上交易,原部署的联想网御2000防火墙继续使用。
5)公司互联网网站(上海、深圳)与互联网的边界继续使用原有的联想网御2000防火墙,采用访问策略隔绝与交易无关的端口及服务,阻挡对公司网站的攻击。
(2)网络防病毒系统:
1)拟在公司内部署企业防病毒服务器,用户端安装防病毒客户端。
防范病毒通过文件、邮件的传播,保护应用及桌面系统的安全。
2)公司病毒防护控制服务器的作用是在公司内部广域网集中部署病毒定义和产品更新,极大地降低部署成本。
通过控制台能够部署防病毒解决方案,并创建、执行和更新策略,保证网络服务器和工作站在任何时候都配置正确,无论是在企业范围还是跨多个平台。
同时允许管理员审核网络,识别未受保护、易于遭到病毒攻击的节点,并确定哪些节点受到SymantecAntiVirusCorporateEdition、McAfee®
VirusScan、TrendMicroOfficeScanTM、ComputerAssociates®
或其他防病毒产品的保护。
3)鉴于客户端病毒库的更新需要占用带宽资源,目前情况下公司广域网的中心仍在深圳,将病毒控制中心设置在网络核心既可以提高响应效率又可以减少对沪、深间带宽的压力。
所以拟将该病毒防护控制服务器部署在深圳建艺大厦。
4)防病毒系统拟采用SYMANTECANTIVIRUSENTERPRISEEDITION8.6,用户数200。
(3)入侵检测系统:
1)由于公司广域网的核心交换机部署在深圳,且上海地区各部门、营业部汇聚后亦设置了区域核心路由器,因此计划在深圳、上海各部署一台网络入侵检测引擎,通过侦听、分析核心交换机的网络通讯包,寻找违反安全策略的行为或攻击迹象,为网络系统提供保护,防范透过网络的攻击行为。
入侵检测引擎主要是通过监听网络上传输的数据包,通过将基于数据流的处理和重点分析相结合来识别一种协议内具体状态的恶意流量,从而发现可疑的对网络的攻击行为,并做出报警或启动其它措施对事件做出响应。
这一系统拟部署在网络核心以降低响应时间、减少对系统资源的占用。
2)同时在广域网中针对核心的应用服务器部署漏洞扫描产品作为与入侵检测产品紧密配合的部分,通过对操作系统、网络系统的监测,及时指出所存在的漏洞,以便管理人员及时对系统进行升级和打补丁。
避免操作系统、应用系统、网络系统所具有的漏洞被利用对系统进行攻击给系统带来的隐患。
通过漏洞扫描帮助安全管理人员了解漏洞及其潜在的影响,并应用适当的保护措施和修补程序来有效修复其IT环境中的漏洞。
扫描工具通过利用漏洞数据库,对企业内重要的主机、服务器进行扫描,识别到新的漏洞,就会提供详细的说明和补救信息。
使管理员能够快速地确定风险最大的系统和应用程序,并迅速采取应对措施在重大事故发生前提前预防。
3)入侵检测与漏洞扫描对普通用户始终处于后台运行状态,用户不会感觉到系统的存在,也无需安装任何软件。
4)本次公司网络安全防护系统入侵检测产品拟采用安氏(ISS)的RealSecureNetworkSensor;
漏洞扫描产品拟采用安氏的InternetScanner,终端数30。
第四章网络安全体系设计
我们在进行安全系统设计、规划时,主要遵循以下原则,这将很大程度上决定安全系统设计成功与否。
4.1设计原则:
1)需求、风险、代价平衡分析的原则:
对任何网络来说,绝对安全难以达到,也不一定必要。
对一个网络要进行实际分析,对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析,然后制定规范和措施,确定本系统的安全策略。
保护成本、被保护信息的价值应当平衡,价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的。
2)综合性、整体性原则:
运用系统工程的观点、方法,分析网络的安全问题,并制定具体措施。
一个较好的安全措施往往是多种方法适当综合的应用结果。
一个计算机网络包括个人、设备、软件、数据等环节。
它们在网络安全中的地位和影响作用,只有从系统综合的整体角度去看待和分析,才可能获得有效、可行的措施。
3)一致性原则:
这主要是指网络安全问题应与整个网络的工作周期同时存在,制定的安全体系结构必须与网络的安全需求相一致。
实际上,在网络建设之初就考虑网络安全对策,比等网络建设好后再考虑,不但容易,而且花费也少得多。
4)易操作性原则:
安全措施要由人来完成,如果措施过于复杂,对人的技能的要求过高,本身就降低了安全性。
其次,采用的措施不能影响系统正常运行。
5)适应性、灵活性原则:
安全措施必须能随着网络性能及安全需求的变化而变化,要容易适应、容易修改。
6)多重保护原则:
任何单一的安全保护措施都不是绝对安全的,都可能被攻破。
只有建立一个多重保护系统,各层保护相互补充,把安全风险降到最小。
7)可评价性原则:
如何预先评价一个安全设计并验证其网络的安全性,这需要通过国家有关网络信息安全测评认证机构的评估来实现。
网络安全是一个全面的系统工程。
包括网络隔离、访问控制、防火墙、防病毒、入侵检测等多种手段结合,才能起到最优的安全防范作用。
XX公司在证券行业全面安全解决方案有丰富的经验和独到见解,完成了多家券商,如世纪、江南、招商、东莞、国海证券等等的安全项目,值得客户信赖。
4.2网络系统风险设计
根据对XX证券网络系统和应用系统的分析,参考国际标准化组织ISO开放系统互联(OSI)模型,我们将网络系统安全划分成五个层次,即物理层安全、网络层安全、系统层安全、应用层安全以及管理层安全。
⏹物理层安全包括通信线路的安全,物理设备的安全,机房的安全等。
一个网络的物理层安全主要体现在通信线路的可靠性(线路备份、网管软件、传输介质);
软硬件设备安全性(替换设备、拆卸设备、增加设备);
设备的备份;
防灾害、防干扰能力;
设备的运行环境(温度、湿度、烟尘);
不间断电源保障等等。
⏹网络层安全包括网络层身份认证,网络资源的访问控制,数据传输的保密和完整性,远程接入的安全,路由系统的安全等。
⏹系统层安全这一层次的安全问题来自网络上运行的操作系统:
UNIX系列、Linux系列、Windows系列、NetWare、以及专用操作系统。
该层次的安全问题主要表现在两方面:
一是操作系统本身的安全漏洞和隐患;
二是对操作系统的错误配置。
⏹应用层安全用户采用的应用软件和数据库的安全性,包括数据库软件、Web服务、邮件系统、域名服务系统、业务应用软件,以及其他网络服务系统(如Telnet、FTP等)。
⏹管理层安全包括安全技术和设备的管理,安全管理制度的制定,部门和人员的组织规划等。
4.2.1物理层风险分析
网络的物理安全风险主要指网络周边环境和物理特性引起的网络设备和线路的不可用,而造成网络系统的不可用。
它是整个网络系统安全的前提。
如:
Ø
设备被盗、被毁坏
链路老化或被有意或者无意的破坏
因辐射造成信息泄露
设备意外故障、停电
地震、火灾、水灾等自然灾害
因此,XX证券在网络安全考虑时,首先要考虑物理安全。
例如:
设备被盗、被毁坏;
设备老化、意外故障;
计算机系统通过无线电辐射泄露秘密信息等。
除此之外,还应使用物理隔离手段将办公网络与业务网隔离开。
4.2.3网络层风险分析
4.2.3.1数据传输风险分析
1.重要业务数据泄漏
由于在同级局域网和上下级网络数据传输线路之间存在被窃听的威胁,同时局域网络内部也存在着内部攻击行为,其中包括登录密码和一些敏感信息,可能被侵袭者搭线窃取和篡改,造成泄密。
如果没有专门的软件或硬件对数据进行控制,所有的广域网通信都将不受限制地进行传输,因此任何一个对通信进行监测的人都可以对通信数据进行截取。
这种形式的“攻击”是相对比较容易成功的,只要使用现在可以很容易得到的“包检测”软件即可。
2.重要数据被破坏
由于目前尚无安全的数据库及个人终端安全保护措施,还不能抵御来自网络上的各种对数据库及个人终端的攻击。
同时一旦不法分子针对网上传输数据做出伪造、删除、窃取、窜改等攻击,都将造成十分严重的影响和损失。
存储数据对于证券交易系统来说极为重要,如果由于通信线路的质量原因或者人为的恶意篡改,都将导致难以想象的后果,这也是网络犯罪的最大特征。
4.2.3.2网络边界风险分析
因为XX证券中间业务系统与银行、移动等外部系统相连,中间业务的另一方可能处于一个较为开放的网络环境中,而且中间业务委托方的网络很可能与INTERNET网络进行互连,所以中间业务网络环境的复杂性和开放性成为中间业务网络系统潜在威胁的最大来源。
非法用户很容易在线路上搭线窃取信息或对服务器或工作站破坏。
当与内部网络相连的一台机器安全受损,就会同时影响在同一网络上的许多其它系统。
我们有必要将公开服务器同外网及内部网络进行必要的隔离,避免网络结构信息外泄;
同时还要对外网的服务请求加以过滤,只允许正常通信的数据包到达相应主机,其它的请求服务在到达主机之前就应该遭到拒绝。
4.2.3.3网上交易安全风险
目前证券交易方式主要分为营业部柜台交易、电话交易、网上交易,前两种交易方式安全系数较高,而网上交易主要通过公网完成交易的全过程,由于公网的开放性和复杂性,使网上交易风险大大高于前者。
XX证券系统的网络提供与INTERNET连接的基于WEB的网上交易服务,并且,XX证券内部用户也有上网需求,但现有的网络安全防范措施还很薄弱,存在的安全风险主要有:
♦入侵者通过Sniffer等嗅探程序来探测扫描网络及操作系统存在的安全漏洞,如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等,并通过相应攻击程序对内网进行攻击。
♦入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息,进而假冒内部合法身份进行非法登录,窃取内部网的重要信息。
♦入侵者通过发送大量PING包对内部网中重要服务器进行攻击,使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。
Internet网是全球性公共网络,并不由任何一个机构所控制。
数据在Internet网上传输的途径是不完全确定的。
Internet网本身并不是一个完全安全可靠的网络环境。
在Internet网上可能有人采用相似的名称和外观仿冒证券网站和服务器,用于骗取投资者的数据资料。
如果用于证实投资者身份的数字证书和口令被窃取,他人有可能仿冒投资者身份进行交易委托和查询。
在网上传输的指令、数据有可能被某些个人、团体或机构通过某种渠道截取、篡改、重发。
但他们并不一定能够了解该数据的真实内容。
由于网络交易的非接触性,交易双方可能对交易结果进行抵赖。
在网上的数据传输可能因通信繁忙出现延迟,或因其它原因出现中断、停顿或数据错误,从而使得网上交易出现延迟、停顿或中断。
网上发布的证券交易行情信息可能滞后,与真实情况不完全一致。
4.2.3.4管理系统和业务系统间的访问安全风险
XX证券内部网中办公系统与业务系统之间如果没有采用相应一些访问控制,也可能造成内部重要信息泄漏或非法攻击。
XX证券办公系统不仅提供办公自动化,而且还可能涉及到如财务数据报表、领导决策等机密信息。
XX证券业务系统涉存放着大量重要的数据库信息,包含无数客户的账户信息。
因此依据办公系统与业务系统都有各自的重要信息,在通常情况下这两个系统之间是不允许随意访问的。
我们知道网络安全不仅来自外部网络,同样存在于内部网,而且来自内部的攻击更严重、更难防范。
如果办公系统与业务系统没有采取相应安全措施,同样是内部网用户的个别员工可能访问到他本不该访问的信息。
还可能通过可以访问的条件制造一些其它不安全因素(伪造、篡改数据等)。
或者在别的用户关机后,盗用其IP进行非法操作,来隐瞒自己的身份。
4.2.3.5网络设备的安全风险
由于XX证券网络系统中使用大量的网络设备,如交换机、路由器等。
使得这些设备的自身安全性也会直接关系的证券系统和各种网络应用的正常运转。
例如,路由设备存在路由信息泄漏、交换机和路由器设备配置风险等。
1.重要的路由信息泄漏
如果从一个联网的UNIX工作站上使用“跟踪路由”命令的话,就可以看见数据从客户机传送到服务器要经过多少种不同的节点和系统,所有这些都被认为是最容易受到黑客攻击的目标。
一般地,一个监听攻击只需通过在传输数据的末尾获取IP包的信息即可以完成。
这种办法并不需要特别的物理访问。
如果对网络用线具有直接的物理访问的话,还可以使用网络诊断软件来进行窃听。
2.网络设备配置中存在的风险
现以Cisco路由器的几个安全问题为例,作如下说明:
⏹
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- XX 证券 网络安全 部署 设计方案
![提示](https://static.bdocx.com/images/bang_tan.gif)