涉密政务网络安全专项方案与实现Word格式.docx
- 文档编号:21079034
- 上传时间:2023-01-27
- 格式:DOCX
- 页数:10
- 大小:27.12KB
涉密政务网络安全专项方案与实现Word格式.docx
《涉密政务网络安全专项方案与实现Word格式.docx》由会员分享,可在线阅读,更多相关《涉密政务网络安全专项方案与实现Word格式.docx(10页珍藏版)》请在冰豆网上搜索。
隔离服务器实现网络间文件交换拷贝等。
这些物理隔离方法对于信息交换实效性要求不高,仅局限于少许文件交换小规模网络中被采取。
切断物理通路以避免基于网络攻击和入侵,但不能有效地阻止依靠磁盘拷贝传输病毒、木马程序等流入内网。
另外,采取隔离卡安全点分散轻易造成管理困难。
依据用户不一样需求,物理隔离技术分为桌面级和企业级。
硬盘隔离卡、物理隔离集线器等能满足通常对物理隔离需求,能最大程度地保障用户工作站安全地访问涉密网络,又能够访问非涉密网络,属于桌面级应用;
单向和双向物理隔离网闸既能够保障涉密网络和非涉密网络之间数据交换安全又能够很方便实现单向/双向数据交换。
二)入侵检测技术
伴随网络技术发展,网络环境变得越来越复杂,对于网络安全来说,单纯防火墙技术暴露出显著不足和弱点,入侵是我们面临最大问题。
“入侵”<
Intrusion)是个广义概念关键是指对系统资源非授权使用,能够造成系统数据丢失和破坏、系统拒绝服务等危害。
入侵者不仅来自外部,同时也指内部用户未授权活动:
入侵检测系统IDS<
IntrusionDetectionSystem>
是一个主动保护自己免受攻击一个网络安全技术,它从计算机网络系统中若干关键点搜集信息,并分析这些信息,从而发觉网络或系统中是否有违反安全策略行为和遭到攻击迹象。
入侵检测是动态安全技术关键技术之一,也是现在比较成熟安全技术,传统操作系统加固技术和防火墙隔离技术等全部是静态安全防御技术,对网络环境下日新月异攻击手段缺乏主动反应。
入侵检测<
IntrusionDetection)作为一个主动主动安全防护提供了对内部攻击、外部攻击和误操作实时保护,在网络系统受到危害和入侵。
入侵检测系统能很好填补防火墙不足,从某种意义上讲是防火墙补充。
是继“防火墙”、“数据加密”等传统安全保护方法后新安全保障技术。
所以,入侵检测系统被认为是防火墙以后第二道安全闸门,在不影响网络性能情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作实时保护。
入侵检测系统试图发觉入侵者或识别出对计算机非法访问行为,并对其进行隔离。
它能发觉其它安全方法无法发觉攻击行为,并能搜集能够用来诉讼犯罪证据。
入侵检测含有监视分析用户和系统行为、审计系统配置和漏洞、感知系统和数据完整性、识别攻击行为、对异常行为进行统计、自动地系统相关补丁、进行审计跟踪识别违反安全法规行为、使用诱骗服务、黑客行为等功效,使系统管理员能够较有效地监视、审计、评定自己网络安全,因为入侵检测和响应亲密相关,而且现在没有独立响应系统,所以多数入侵检测系统全部含有响应功效。
入侵检测系统也有自己缺点,在识别大规模组合式、分布式入侵攻击方面,还没有很好方法和成熟处理方案,出现误报和漏报现象严重,用户往往淹没在海量报警信息中,而遗漏真正报警,所以它基础上还产生了后一代产品IPS(IntrusionProtectSystem>
,IPS是一个更主动、机智防御系统,它拦截行为和其分析行为处于同一层次,能够更敏锐地捕捉入侵流量,并能将危害切断在发生之前。
三)防火墙技术
防火墙是一个或一组实施访问控制策略系统,它在内部网络和外部网络之间形成一道安全保护屏障,能够依据访问控制策略对出入网络信息流进行安全控制。
它有利于抵御多个恶意Internet通信量,预防它们进入您系统。
有些防火墙有利于预防其它人在您毫无觉察情况下使用您计算机攻击其它计算机,还有利于抵挡病毒和入侵者。
防火墙能够有不一样结构和规模,能够是一台主机、路由器,也能够是多台计算机组成体系,也能够由软件组建.
常见防火墙类型包含四大类:
包过滤型、代理服务型、电路级网关和规则检测防火墙。
防火墙技术是内部网络最关键安全技术之一,关键功效就是控制对受保护网络非法访问,进行边界防护。
但防火墙也有自己局限,所以它未来功效将向多方面发展,将部分网络安全功效集成到防火墙中,其中就有两种功效十分关键,第一是用户认证和加密,第二是分布式防火墙发展。
分布式防火墙技术己在逐步兴起,并在国外部分大网络设备开发商中得到了实现,因为其优越安全防护体系,符合未来发展趋势。
而且分布式防火墙还能够有效堵住内部网漏洞。
分布式防火墙安全体系含有以下特点:
灵活性和易管理性,分布式防火墙是集中管理,在一台管理站上可添加删除、修改资源,并可对全部资源进行权限设置,大大方便了管理员使用;
高可靠性,因为多过滤器使用能够使网络权限划分愈加细致全方面,从而提升了整个系统安全性;
成本低,在分布式防火墙中用得最多是过滤器,过滤器本身设备简单,和硬件防火墙相比,价格优势很大。
黑客一直尝试对连接到网络计算机提议攻击。
防火墙意在“隐藏”在线计算机,以达成保护计算机目标。
防火墙还能够检测通信,并分析通信起源和目标地。
假如位置受到怀疑话,那么通信就会被阻断。
和某一位置通信被阻断时,您防火墙甚至能够创建一个日志文件,上面统计着试图侵入您计算机站点地址和名称。
为了安全,每一台连接网络计算机全部需要防火墙。
网络防火墙技术是用来加强网络之间访问控制,预防外部网络用户以非法手段经过外部网络进人内部网络,访问内部网络资源,保护内部网络操作环境特殊网络互联设备。
它对两个或多个网络之间传输数据包,如链接方法根据一定安全策略来实施检验,以决定网络之间通信是否被许可,并监视网络运行状态。
作为内部网络和外部公共网络之间第一道屏障,防火墙是最先受到大家重视网络安全产品之一。
防火墙关键产品有堡垒主机、包过滤路由器、电路层网关、监督型防火墙等类型。
防火包过滤型产品是防火墙初级产品,其技术依据是网络中分包传输技术。
即使,包过滤技术优点是简单实用,实现成本较低,在应用环境比较简单情况下,能够以较小代价在一定程度上确保系统安全,不过无法识别基于应用层恶意侵人,如恶意Java小程序和电子邮件中附带病毒。
电路层网关技术实现防火墙关键是用于把IP地址转换成临时、外部、注册护地址标准。
它许可含有私有IP地址内部网络访问因特网,在内部网络经过安全网卡访问外部网络时,将产生一个映射统计,不过并不能真正实现内部网络有效防护。
因为防火包过滤产品和电路网关防火墙产品技术特点,它们并不能满足涉密网内网和外网之间安全防护要求。
最新防火墙是监测型防火墙,它能够对各层数据进行主动、实时监测,并在对数据加以分析基础上,能够有效地判定出各层中非法侵人。
它能够安置在多种应用服务器和其它网络节点之中,不仅能够检测来自网络外部攻击,同时对来自内部恶意破坏也有极强防范作用。
据权威机构统计,在针对网络系统攻击中,有相当百分比攻击来自网络内部。
所以,监测型防火墙不仅超越了传统防火墙定义,且在安全性上也超越了前两代产品。
四)信息加密技术
信息加密技术是网络信息安全关键和关键,它经过软件或硬件将信息变换或编码,将机密明文加密变为密文,只有掌握解密方法接收方才能解密得到明文,从而实现了信息隐蔽。
五)网络病毒防护技术
面对病毒猖獗,需要建立有效技术方法,能从病毒传染多种可能路径入手,不受病毒种类和变形限制,能够以防为主,防杀结合,也需要建立合理病毒防范体系和制度。
现在网络防病毒产品得到了快速发展,己经含有以下关键技术:
1)能够提供集中式安全控管防毒策略
采取架构在服务器端集中式管理和布署方法,系统人员能够很方便地管理和布署整个网络防毒策略。
经过Web界面管理主控台,一旦发生紧急情况时,管理者能够从网络上任一地点经过Web浏览器立即处理。
2)能够全方面防护病毒
能删除从多种渠道入侵病毒、恶意木马和蠕虫;
如针对电子邮件、磁盘、光盘、共享档案和网络下载,均要能够有效防堵:
除了扫描计算机文件之外,还能提供随系统开机而开启木马程序清除工具。
3)支持远程化
支持远程管理,用户可在主服务器安装系统后远程安装各辅助服务器和用户端。
系统管理员能够经过控制台对用户端瑞星杀毒软件进行设置,避免用户端疏忽而产生整个病毒防护系统漏洞。
4)自动化
系统定时自动查对版本,并提醒升级程序。
主服务器程序升级后,自动分发给局域网内各服务器和用户端,进行自动升级。
5)智能化
对登录用户端实施版本智能查询查对,确保全部节点版本一致,避免因版本差异造成杀毒能力差异,出现网络防毒微弱步骤。
三.实现涉密网络安全技术手段
一)建立健全安全管理制度
依据上级部门相关制度,制订了对应管理要求,建立健全了一系列规章制度,关键包含:
《涉密人员管理要求》、《泄露国家秘密事件汇报和查出措施》、《涉密通信、计算机信息系统及办公自动化保密管理措施》、《保密工程密级界定和岗位定密工作措施》、《文件资料定密和保密工作管理细则》、《计算机及移动存放设备管理要求》、《计算机和移动存放设备维修管理要求》、《机密资料室保密管理制度》、《密件保密管理要求》、《传输密件保密工作管理措施》、《机密资料室保密管理制度》、《计算机网络管理制度》、《机房保密管理员岗位责任制》、《密码工作人员岗位责任制》、《密码密钥使用管理要求》等。
全部制度悬挂和显著位置,并汇编成一本《保密管理工作制度汇编》。
制度保障作用为网络安全提供了有力支持,制度约束替换了人为管理,有效为网络安全保密工作提供了规范和标准。
另外还设置了由主管领导担任组长安全应急小组,目标在于对于网络中突发事件能够立即地响应;
领导亲自指挥能够立即快速对事件进行协调和调度,最大程度降低业务停顿时间;
避免非法入侵对数据破坏;
避免主页被黑造成影响;
对于已经破坏数据采取对应技术手段进行恢复;
经过培训提升人员对突发事件处理能力;
追踪非法入侵人员。
(二>
采取成熟网络安全产品和技术
1.内外网物理隔离
内外网独立布线,物理线路上已实现隔离。
对于处理涉密信息内网计算机,采取专机和物理隔离卡相结合方法,单位大多数人员人手一台计算机,作为内网专机使用,利用部分配置较低计算机独立连接外网。
实现物理隔离含有以下优势:
1)内外网绝对隔离。
将单一PC从物理上分隔成两个虚拟工作站,它们分别有自己独立硬和操作系统,并能经过各自专用接口和网络连接。
从而最大程度地确保了内网和外网环境物理隔离。
2)全控制。
安装在主板和两块硬盘之间,完全控制硬盘通道。
并经过继电器来控制网和外网间硬盘转换和网络连接,确保其工作状态稳定性及可靠性。
3)转换自如。
用户可依据需要在任何时间任何系统中方便自如地进行内部网和外部网间转换。
2.加密机对数据进行加密
国家发改委统一配发两台加密机,由成全部卫士通股份生产,加密机密级为机密级,一台用于ATM网络数据加密,另一台TCP/IP密码机用于SDH线路数据传输加密,发改系统全部网络全部采取同型号加密机进行加密解密。
三)采取网络防毒技术
在现代化办公环境中,计算机使用己经很普遍,几乎全部计算机用户全部不一样程度地受到过计算机病毒危害,大家所以对计算机病毒感到神秘和恐惧。
计算机病毒其实就是一个可实施程序,因为和生物界病毒类似,能够寻求并附着到寄主身上存活,造成寄主行为异常,所以被形象地比方为数字病毒。
除了自我复制特征外,很多病毒还被设计为含有毁坏应用程序、删除文件甚至重新格式化硬盘能力。
因为在网络环境下,计算机病毒有不可估量威胁性和破坏力,所以计算机网络病毒防范是网络安全性建设中关键一环。
网络反病毒技术包含预防病毒、检测病毒和消除病毒三种技术。
在网络中,计算机病毒爆发对用户系统安全和数据安全组成了极大威胁,部分黑客甚至利用病毒,盗取个人隐私甚至密码账号等信息,严重能够窃取国家机密。
有病毒可能造成整个系统瘫痪,所以,配置网络病毒防护系统十分关键。
网络防毒技术能够提供集中式安全控管防毒策略;
采取架构在服务器端集中式管理和布署方法,系统人员能够很方便地管理和布署整个网络防毒策略。
本课题所研究网络使用是瑞星杀毒软件网络版,一个中心控制台即服务器端,160台用户终端使用授权。
因为移动存放设备使用,造成了部分恶意小程序感染,即使没有破坏性,不过也会影响用户使用,针对部分随移动存放介质运行而自动运行病毒,每台计算机全部安装了木马扫描程序。
即使终端计算机不能连接Internet进行杀毒软件升级,但能够经过服务器进行自动升级。
网络管理员定时下载升级包,存放于瑞星系统中心所在内网服务器上,用户端能够自动扫描新版本进行升级。
同时网络管理人员定时不定时进行病毒检验,对于没有立即升级杀毒软件或感染木马和病毒计算机,进行单独清理,严重时候重新安装操作系统。
网络防病毒系统能够加强对服务器进行保护,提供对病毒检测、清除、免疫和对抗能力。
在用户端主机也安装防病毒软件,将病毒在当地清除而不至于扩散到其它主机或服务器。
再加上防病毒制度和方法,组成了一套完整网络防病毒体系。
以上手段是每个涉密网络必需所含有功效和防护手段,另外对部分制度和管理手段进行了改善。
四)建立灾难恢复系统
建立灾难恢复系统,利用在当地或远离灾难现场地方备份系统重新组织系统运行和恢复业务过程,保护数据完整性,使政务数据损失最少、甚至没有数据损失;
快速恢复工作,使业务停立即间最短,甚至不中止业务。
五)对系统定时进行脆弱性检验
针对系统和网络漏洞,定时不定时对系统进行扫描,定时测试和评价系统安全性,立即发觉安全漏洞,包含网络模拟攻击,漏洞检测,汇报服务进程,提取对象信息,和评测风险,提供安全提议和改善方法等功效,帮助用户控制可能发生安全事件,发觉安全隐患。
六)开发改善安全软件
1.系统和数据备份
数据备份目标是为了在系统数据瓦解时能够快速恢复数据。
备份系统由三个原因组成:
实施备份设备、存放备份介质、控制备份软件。
备份方法有磁盘镜像、磁盘阵列、双机容错、数据拷贝。
一个完整系统备份方案应包含:
备份硬件、备份软件、日常备份制度CBackupRoutines>
和灾难恢复方法(DisasterRecoveryPlan>
四个部分。
本课题所研究网络备份系统采取一台DELL775NNAS服务器、一台DELL122T磁带机组成,天天晚9时开启数据备份程序,每晚数据备份分两步:
首先将所数据备份到NAS上;
然后将NAS上数据备份到磁带上。
磁带每七天更换一次,每次更换下来磁带存入委档案室。
NAS上数据循环境保护存一周。
每个季度将数据刻录到DVD光盘上,异地存放,存入档案室。
全部办公系统数据均存放于服务器。
在服务器上为特殊用户开辟空间,方便于将关键数据保留到用户自用服务器文件夹上,并和服务器数据一同备份。
建立备份系统关键目标是避免因为多种情况造成网络、数据、系统不可用给网络中运行业务造成影响,一旦灾难发生,能够经过该系统为网络恢复提供有力确保。
备份方法要确保关键线路、关键设备、关键数据、关键系统等要素可用性,从而确保电子政务系统稳定运行,提升其对各类事件免疫能力。
2.科学网络管理方法
对网络进行科学管理,依据实际情况将网络管理分为故障管理、性能管理、配置管理、安全管理、系统管理。
1)故障管理。
故障管理目标是确保网络能够可靠、持久运行。
对监控对象进行实时告警监视。
当检测到系统异常或报警时,创建报警日志,提供故障诊疗和故障相关性分析,确定其性质和位置,并立即地通知网络管理员,缩短管理员排除故障时间,确保网络正常运行。
2)性能管理。
对网络上各类设备协议实体、业务性能统计数据<
比如网络吞吐率、响应时间、网络可用性等)进行采集、分析处理、入库存放,经过各类应用从不一样角度对数据进行分析、显示,帮助用户合理控制网络负荷,提升网络运行质量。
性能管理功效关键包含:
性能数据采集和处理、异常性能数据监视、性能数据分析、性能数据查询、性能数据报表、性能数据汇总。
3)配置管理。
对网络、设备、系统参数修改和配置,和系统内管理对象资源配置情况管理和分析等功效。
前者完成对网络、系统、设备、软件等参数配置和控制管理功效;
后者关键是对信息资源进行管理、分析。
经过图形、文字等形式综合显示出资源信息、和资源之间关系,而且含有编辑<
增加、删除、更改)、分类统计和打印输出这些资源配置数据功效,掌握和控制网络状态,包含网络内各个设备状态及其连接关系,关键包含编辑功效、网络拓扑管理等功效。
4)安全管理。
安全管理是网管系统正常、安全、可靠运行保障,包含权限分配管理、注册登记、操作权限检验等功效,实现用户分级和管理分区两种权限管理机制,能够灵活、合理对系统使用者进行管理。
5)系统管理。
对网管系统本身管理,是网管系统安全可靠、正常运行确保。
关键功效包含设备管理、进程管理、日志管理、备份管理、恢复和容错管理等功效。
另外,依据本身网络特点,独立设置网络防护方法,对多项功效进行开发和改善,提升系统安全性,在兼顾节省系统资源同时,提升了网络高效性和易维护性。
3.提升操作系统安全
针对不一样服务器,应用不一样服务器安全设置,这里将域控制器安全设置部分实现功效设置进行解释,这里很多内容结合了BMZ1-《包含国家秘密计算机信息系统保密技术要求》和BMZ2-《包含国家秘密计算机信息系统安全保密方案设计指南》具体要求。
为了加强操作系统安全管理,从物理安全、登录安全、用户安全、文件系统、打印机安全、注册表安全、数据安全和各应用系统安全等方面制订强化安全方法。
在设置要求格式后,首优异行安全审核日志设置,对访问权限、容量、连续时间等进行具体统计,方便后期检验问题,并防范非法用户更改日志。
七)采取域控制器模式进行管理
采取WINDOWS域控制器模式。
用二台IBM255<
双至强1.5GCPU,双千兆网卡,双36G硬盘RAID1)和一台IBMEXP300磁盘阵列柜<
14块36G硬盘分为三个RAID5)组成服务器群集,两台服务器均配置为域控制器,全部网内计算机必需加入域,将全部用户端计算机当地用户权限收回,全部用户只能经过登录域进入计算机进而使用办公内网网络资源。
全部用户端计算机和网络设备资源统一由域控制器管理分配。
在域控制器上经过用户分组和分组用户策略配置用户对资源使用权限。
对于全部一般用户权限设置确保了以下几点:
1)用户密码必需最少八位,且必需包含字母。
用户名和是登录域控制器和使用网络资源唯一路径,因密码丢失或泄露而造成损失由个人负担。
系统强制要求密码15天更换一次。
2)用户无权查看和更改用户端计算机系统协议和IP地址等用户端设置。
3)用户无权查看和更改用户端计算机注册表。
4)用户无权在用户端计算机上安装应用程序和驱动程序。
5)终端用户无权在用户端计算机上格式化硬盘和变更硬盘及其中任何文件夹权限设置。
6)终端用户无权在用户端计算机上安装新硬件设备包含打印机、扫描仪等。
7)终端用户无权在用户端计算机上共享文件夹和打印机。
8)终端对于用户需要特殊加密保护文件,在其用户端计算机受骗地硬盘权限经过服务给特殊设置,确保除该用户之外其它用户既便是登录进该用户端计算机也无法打开其文件夹和文件。
9)终端用户ID使用范围受到限制,如领导ID只能在自己计算机及其它部分几台计算机上使用,通常见户ID只能在处室内部计算机上使用。
10)终端用户环境设置经过域用户策略实现,使得用户设置调整愈加便利。
加入域计算机能够经过权限设置,确保用户使用权限。
假如用户计算机未加入域或用户未能正确地登录域,用户无法使用网络资源。
八)关键交换机上划分VLAN
在实施区域划分策略时,VLAN技术是关键划分手段。
现在常见VLAN关键分为通常VLAN和私有VLAN<
PrivateVLAN)。
具体全部是和VLAN实现形式相关,后一个PVLAN是现在最新交换机广域网主流方法。
在安全等级较高情况下假如需要网络用户之间不产生任何访问就可使用PVLAN方法以提升系统安全性。
基于策略组成VLAN能实现多个分配方法,包含VLAN交换机端口、MAC地址、IP地址、网络层协议等。
网络管理人员可依据自己管理模式和本单位需求来决定选择哪种类型VLAN,通常情况下会自主建立很多绑定策略。
本课题采取是基于策略划分VLAN方法,在关键交换机上对端口进行了VLAN划分,以处室为单位进行计划,全部委领导划分在一个VLAN内,设有二个公共VLAN,一个用于服务于全委应用服务器,一个用于和国家发改委纵向网相连,每个VLAN设置各自IP段,除了公共VLAN全部能够访问外,其它不一样VLAN之间严禁访问,严禁文件共享、打印共享。
各VLAN之间不能相互访问,能够避免内部数据丢失和病毒传输,使整个系统愈加安全。
九)安全审计实现
自从审计概念提出后,中国外全部设计了部分审计系统,大多数网络管理软件也全部含有审计功效,基础上以网络审计为主,而且全部侧重于某首先审计,对内
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 政务 网络安全 专项 方案 实现
![提示](https://static.bdocx.com/images/bang_tan.gif)