1、XX司法局整体网络安全技术解决方案二一零年三月XX司法局整体网络安全技术解决方案1目 录一、前言4二、网络安全现状及需求分析.52.1网络现状.52.1.1网络结构52.1.2网络应用62.1.3现有的安全措施62.1.4主要存在的信息安全隐患72.2网络安全需求.7三、网络安全风险分析.83.1物理层的安全风险分析.83.1.1普通物理安全风险83.1.2单点破网安全风险83.2网络层安全风险分析.83.2.1数据传输风险分析83.2.2网络边界风险分析93.2.3网络设备的安全风险93.3系统层的安全风险.93.4应用层安全风险分析.113.4.1身份认证漏洞113.4.2www服务漏洞1
2、13.4.3电子邮件系统漏洞113.4.4DNS服务漏洞123.4.5病毒侵害123.5管理层安全风险分析.12四、网络安全的解决方案.144.1网络安全方案设计原则.144.1.1整体安全原则144.1.2积极防御原则144.1.3多重保护原则144.1.4一致性原则154.1.5易操作性原则154.1.6可扩展性原则154.2网络安全整体解决方案说明.154.2.1物理层安全方案154.2.2网络层安全方案164.2.3系统层安全方案174.2.4应用层安全方案184.2.5信息安全方案194.2.6管理层安全方案20XX司法局整体网络安全技术解决方案24.3网络安全总体方案概述.214.
3、3.1网络安全总体结构拓扑图.214.3.2DDoS防御网关的部署及作用.244.3.3防火墙的部署及作用244.3.4入侵检测系统的部署及作用.254.3.5安全扫描系统的部署及作用.264.3.6内网安全保密及审计系统的部署及作用.264.3.7CA身份认证系统的部署及作用.274.3.8安全区域的划分274.4防火墙方案设计.284.4.1防火墙作用284.4.2主要功能特点284.6VPN方案设计.374.6.1VPN安全机制384.6.2VPN基本功能394.6.3VPN特性404.6.4VPN客户端的功能414.7入侵检测系统方案设计.414.7.1入侵检测系统作用414.7.2入
4、侵检测主要功能特点.424.7.2入侵检测系统与防火墙间连动设计.434.8安全扫描系统方案设计.444.8.1系统概述444.8.2系统主要功能特点.454.9DDoS防御网关设计.464.9.1DDoS防御网关系统特点.464.10内网安全保密及审计系统设计.464.10.1内网保密及审计系统作用.464.10.2内网保密及审计系统功能说明.474.11内部CA方案设计. 534.11.1系统特点.544.12各安全产品的选型.544.12.1防火墙的选型.544.12.2入侵检测系统的选型554.12.3安全扫描器的选型.564.12.4DDoS防御网关的选型.574.12.5内网安全保
5、密及审计的选型584.13 各安全产品的管理维护措施59五、内部CA建设. 615.1综述.615.2特点.615.3内部CA功能.625.4内部CA结构与技术原理.635.4.1内部CA系统体系设计63XX司法局整体网络安全技术解决方案35.4.2网络结构设计645.4.3通用证书流程645.5内部CA系统的安全策略.655.5.1操作系统的安全性655.5.2数据库的安全性665.5.3网络安全防卫665.5.4证书应用系统的安全性.665.6设备配置参考.675.6.1CA软件报价675.6.2CA所需硬件和第三方软件.67六、网络管理软件方案.686.1方案概述.686.2需求分析.7
6、06.2.1项目概述706.2.2建设目标716.3技术方案.716.3.1系统选型716.3.2功能描述74七、系统实施方案. 937.1 安全系统安装前网络安全评估937.2 漏洞修复及安全系统安装937.3 安全系统安装后网络安全评估937.4 试运行93八、费用预算. 948.1网络安全产品设备清单及报价.948.2内部CA身份认证系统设备清单及报价.958.2.1内部CA软件报价958.2.2CA所需硬件和第三方软件报价.95XX司法局整体网络安全技术解决方案4一、前言近年来，XX司法局不断加大信息化建设投资力度，加快政府办公自动化信息系统建设步伐，把信息化建设作为提高工作效率、增强
7、科学决策能力的重要手段。但是，也应该看到，信息化在给XX司法局机构日常工作带来效率的同时，也带来了新的信息安全问题，并且，这个问题现在显得越来越紧迫。随着各种软件安全漏洞的不断增加，黑客技术不断提高，更加迫切要求XX司法局办公自动化信息网具有更高的安全防范体系。因此,XX司法局办公自动化信息网网络安全整体化建设已经迫在眉睫。XX司法局整体网络安全技术解决方案5二、网络安全现状及需求分析2.1网络现状2.1.1网络结构XX司法局通用办公网络经过多年的投资扩建，网络规模较大，各种应用服务已较为完善，网络结构图如下：考虑到网络线路负荷能力、历史投资设备合理利用等的因素，目前司法局的对互联网数据交换方
8、式如下：（1）内部办公网目前拥有工作站约300台，通过二楼ADSL动态拨号上网方式访问互联网，由于考虑到二楼ADSL为动态拨号以及网络速度因素，此线路设置为单向访问方式：只允许内网办公网访问互联网，而不允许互联网用户访问司法局内部网络；（2）十楼ADSL路由器为固定公网地址，互联网用户通过此线路访问司法局的对外应用服务器：短信服务器、12348法律服务咨询语音网关服务器、12348法律服务咨询统计处理服务器、邮件服务器、电子政务应用平台服务器。由于考虑到十楼ADSL为固定公网地址以及网络速度因素，此线路设置为单向访问方式：只允许互联网用户访问司法局的对外应用服务器，而不允许内网办公网访问互联网
9、。（3）广州市信息中心通过专用光纤线路与司法局相连，但目前尚未开通此线路。2.1.2网络应用1、应用服务对内应用服务器主要有:司法行政统计汇总分析服务器、办公自动化OA服务器、安职帮教管理信息系统服务器、财务服务器等。主要实现内部信息资源共享、交换，上级指令下达，各种报表提交等功能。是XX司法局网络系统运作的核心。安全性相当重要,需要相关的网络安全措施对其进行安全防护;审计及预警。对外应用服务器主要有：12348法律服务咨询语音网关服务器、12348法律服务咨询统计处理服务器、电子政务应用平台服务器、邮件服务器、短信服务器等。主要实现为互联网公众提供相关的法律咨询、宣传等应用。2、与外单位互联
10、随着政务的公开，XX司法局也需要通过广州市政府外网向其它政府部门如上级市政府、下属各级单位和其他同级单位交换数据，并对其它单位的查询作出响应，这些都要求XX司法局与外单位互联。2.1.3现有的安全措施由于没有配置专业安全产品，目前XX司法局网络的安全措施主要有：1、操作系统和应用软件自身的身份认证功能，实现访问限制。2、定期使用磁带或磁盘进行数据备份。XX司法局整体网络安全技术解决方案72.1.4 主要存在的信息安全隐患1. 由于没有采用相关的访问控制产品及控制技术，没有相关网络安全产品来防范来自不安全网络或不信任域的非法访问和非授权访问。2. 网络监控措施不足。据了解，目前网络没有部署相关监
11、控系统，无法实现对网络的实时监控。往往内部的攻击比外部攻击更具有致命性。增加内部网络监控机制可以做到最大限度的网络资源保护，从网络监控中得到的信息来确定网络安全规范及安全风险评估。3. 没有定期进行网络的安全漏洞检测。还有重要的服务器，需要借助漏洞扫描工具定期进行扫描，及时发现问题，及时解决，消除安全隐患，可以使用的扫描器做定期的网络扫描。2.2网络安全需求通过以上对XX司法局网络安全现状的分析，我们提出了建设办公网络的安全需求：1、采用相关的访问控制产品及控制技术，防范来自不安全网络或不信任域的非法访问和非授权访问。2、采用安全检测技术，实时检查进出网络的数据流，动态防范各种来自内、外网络的
12、恶意攻击。3、采用加密设备，应用加密、认证技术防范信息在网络传输过程中被非法窃取而造成的信息泄露，并通过认证技术保证数据的完整性、真实性、可靠性。4、采用网络安全评估系统，定期或不定期对网络系统或操作系统进行安全扫描，评估网络系统及操作系统的安全等级，并分析提出补救措施。5、制定完善安全管理制度，并通过培训等手段来增强员工的安全防范技术及防范意识。6、采用数据备份及灾难恢复技术，对司法局的重要服务器文件进行数据备份，形成一个开放、智能和集成的自动存储和备份恢复环境。7、根据信息的重要性和保密性要求，划分不同的安全区域，实施多层认证，达到多重保护。8、选择技术雄厚、服务及时周到的网络安全专业公司
13、，做好网络安全检测、评估、漏洞修补、救援等服务工作，保证网络的长期安全。XX司法局整体网络安全技术解决方案8三、网络安全风险分析为了便于分析网络安全风险和设计网络安全解决方案，我们采取对网络分层的方法，并且在每个层面上进行细致的分析，根据风险分析的结果设计出符合具体实际的、可行的网络安全整体解决方案。从系统和应用出发，网络的安全因素可以划分到如下的五个层次中，即物理层、网络层、系统层、应用层和安全管理。3.1物理层的安全风险分析3.1.1普通物理安全风险普通的物理安全是指各种服务器、路由器、交换机、工作站等硬件设备和通信链路的安全。风险的来源有：水灾、火灾、雷击等自然灾害，人为的破坏或误操作，
14、外界的电磁干扰，设备固有的弱点或缺陷等等。物理安全的威胁可以直接造成设备的损坏，系统和网络的不可用，数据的直接损坏或丢失等等。3.1.2单点破网安全风险内部网往往有一些员工为了方便，避开监控，偷偷通过Modem拨号上网，这样，进行单点“偷渡”，导致两网隔离出现缺口，互联网上的黑客可以通过拨号点攻入。3.2网络层安全风险分析3.2.1数据传输风险分析由于在同级局域网和上下级网络数据传输线路之间存在被窃听和篡改的威胁，同时局域网络内部也存在着内部攻击行为，其中包括登录通行字和一些敏感信息，可能被侵袭者搭线窃取和篡改，造成泄密。XX司法局整体网络安全技术解决方案9由于TCP/IP协议采用明文传输，如
15、果没有专门的软件或硬件对数据进行控制，所有的广域网通信都将不受限制地进行传输，因此任何一个对通信进行监测的人都可以对通信数据进行截取。这种形式的“攻击”是相对比较容易成功的，只要使用现在可以很容易得到的“包检测”软件即可。由于目前尚无安全的数据库及个人终端安全保护措施，还不能抵御来自网络上的各种对数据库及个人终端的攻击。同时一旦不法分子针对网上传输数据做出伪造、删除、窃取、窜改等攻击，都将造成十分严重的影响和损失。存储数据对于业务系统来说极为重要，如果由于通信线路的质量原因或者人为的恶意篡改，都将导致难以想象的后果，这也是网络犯罪的最大特征。3.2.2网络边界风险分析3.2.2.1部门间业务往
16、来的安全风险司法局需要与下属机构之间产生正常的数据交换，这必须开放一些服务端口和访问权限，而在进行这些正常的数据交换时，帐号信息可能被中间者嗅探、破解，造成安全威胁。3.2.2.2与互联网连接带来的风险政府办公自动化网络与互联网相连时，可能被中间者或外面人员利用黑客手段进行攻击，也给网络带来安全风险。3.2.3网络设备的安全风险由于专用网络系统中使用大量的网络设备，如交换机、路由器等。使得这些设备的自身安全性也会直接关系到政府系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏，交换机和路由器存在设备配置风险等。3.3系统层的安全风险系统级的安全风险分析主要针对贵方网络采用的操作系统、
17、数据库、及相关商用产品的安全漏洞和病毒威胁进行分析。网络通常采用的操作系统（主要为Windwos2000advancedserver/Professional，WindowsME，Windwos95/98）本身在安全方面有一定考虑，但服务器、XX司法局整体网络安全技术解决方案10数据库的安全级别较低，存在一些安全隐患。同时病毒也是系统安全的主要威胁，所有这些都造成了系统安全的脆弱性。各种网络操作系统无论是Windows还是Unix都存在先天隐患和由于不断增加新功能，对产品升级所带的漏洞，Unix操作系统就是一个很好的例子。大多数Unix源代码是公开的，几十年来各种各样的人不断地使用Unix系统
18、的框架，这个框架当初是未经严格论证的，直至今日，不管是Solaris还是SCOUnix都还是构建在这个基础上，导致了Unix系统存在很多致命的漏洞。同样的情况在Windows中也存在。下表为Windows和Unix操作系统的20大最严重漏洞。十大Windows系统漏洞 十大Unix系统漏洞InternetInformation Services (IIS) RemoteProcedure Calls (RPC)微软数据存取组件(MDAC)-RemoteData Services ApacheWeb Server微软SQL Server SecureShell (SSH)NETBIOS-Wind
19、ows网络共享不受保护 SimpleNetwork Management Protocol(SNMP)匿名登入-NullSessions FileTransfer Protocol(FTP)LAN Manager认证-LM杂凑脆弱 R-Services- 信任关系Windows认证-密码太脆弱 LinePrinter Daemon (LPD)IE浏览器 Sendmail远程登录存取 BIND/DNSWindows Scripting Host Unix认证-账号无须密码，或密码太脆弱这些漏洞被总结如下： 一般漏洞 1、操作系统和应用程序的安装使用缺省设置。 2、账号不设密码或密码强度不够。 3
20、、不进行备份或备份不完全。 4、开放大量的端口。 5、对进出报文的源地址和目标地址不进行过滤。 6、没有日志记录或日志不完全。 7、有漏洞的CGI程序。 Windows漏洞 1、Unicode漏洞（允许用户遍历Web服务器的目录结构）。 2、ISAPI缓冲区溢出漏洞。 3、IISRDS（远程数据服务）漏洞。 4、NETBIOS未受保护的Windows网络共享。 5、无会话连结（匿名登录）的信息泄漏问题。 6、局域网密码的散列强度不够。 Unix漏洞 1、RPC（远程过程调用）服务的缓冲区溢出问题。 2、Sendmail的漏洞。XX司法局整体网络安全技术解决方案11 3、BIND域名服务系统的漏
21、洞。 4、R开头的命令（包括rlogin，rsh，rcp等）。 5、LPD（远程打印协议守护进程）的漏洞。 6、sadmind和mountd的漏洞。 7、SNMP的缺省字符串。这些漏洞的详细信息以及诊断和修复方法可见：http:/www.sans.org/top20.htm3.4应用层安全风险分析针对政府网络，应用层主要存在以下漏洞和风险：3.4.1身份认证漏洞服务系统登录和主机登录使用的是静态口令，口令在一定时间内是不变的，且在数据库中有存储记录，可重复使用。这样非法用户通过网络窃听，非法数据库访问，穷举攻击，重放攻击等手段很容易得到这种静态口令，然后，利用口令，可对资源非法访问和越权操作。
22、3.4.2 www服务漏洞WebServer目前正在成为电子政务系统对外宣传、开展业务的基地，但公开服务器本身不能保证没有漏洞，不法分子可能利用服务的漏洞修改页面甚至破坏服务器。系统中的BUG，使得黑客可以远程对公开服务器发出指令，从而导致对系统进行修改和损坏，包括无限制地向服务器发出大量指令，以至于服务器“拒绝服务”，最终引起整个系统的崩溃。这就要求我们必须提高服务器的抗破坏能力，防止拒绝服务（DoS）或分布式拒绝服务（DDoS）之类的恶意攻击，提高服务器备份与恢复、防篡改与自动修复能力。3.4.3电子邮件系统漏洞电子邮件为网络系统用户提供电子邮件应用。内部网用户进行电子邮件发送和接收时存在
23、被黑客跟踪或收到一些恶意程序（如，特洛伊木马、蠕虫等）、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因素。近年来流行的“Iloveyou”邮件病毒和尼母达邮件病毒，曾一度给网络用户带来恐慌。XX司法局整体网络安全技术解决方案123.4.4 DNS服务漏洞DNS域名服务为网络应用提供了极大的灵活性。几乎所有的网络应用均采用域名服务。但是，域名服务通常为黑客提供了入侵网络的有用信息，如服务器的IP、操作系统信息、推导出可能的网络结构等。同时，类似BIND-DNS缓冲溢出的安全问题已被发现，绝大多数的域名系统均存在类似的问题。如由于D
24、NS查询使用无连接的UDP协议，利用可预测的查询ID可欺骗域名服务器给出错误的主机名-IP对应关系。3.4.5病毒侵害“冲击波”、“震荡波”蠕虫病毒一度给网络造成恐慌，网络是病毒传播的最好、最快的途径之一。病毒程序可以冲网上下载、使用盗版光盘、人为投放等迁入内网。网络中一旦有主机感染病毒，则病毒程序完全可能在极短的时间被迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器死机等不安全因素。而目前，黑客攻击手段与病毒已经融为一体，病毒侵害更不容忽视。3.5管理层安全风险分析再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是
25、对于一个比较庞大和复杂的网络，更是如此。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。网络应按照国家关于计算机和网络的一些安全管理条例，如计算站场地安全要求、计算机信息网络国际联网安全保护管理办法、中华人民共和国计算机信息系统安全保护条例等，制订安全管理制度。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入网络机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等）
26、，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的XX司法局整体网络安全技术解决方案13追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。XX司法局整体网络安全技术解决方案14四、网络安全的解决方案4.1网络安全方案设计原则网络安全建设是一项系统工程，网络系统安全体系建设应按照“统一规划、统筹安排，统一标准、相互配套”的原则进行，采用先进的“平台化”建设思想，避免重复投入、重复
27、建设，充分考虑整体和局部的利益，坚持近期目标与远期目标相结合。在进行网络系统安全方案设计、规划时，应遵循以下原则：4.1.1整体安全原则应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，根据规定的安
28、全策略制定出合理的网络安全体系结构。4.1.2积极防御原则随着黑客技术的提高，对网络安全也提出更高的要求，所以应尽量选用智能化、高度自动化、响应速度快的网络安全产品，配备技术力量雄厚、响应及时的本地化服务队伍，才能做好各种预防检测工作，达到防患于未然。4.1.3多重保护原则任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。XX司法局整体网络安全技术解决方案154.1.4一致性原则一致性原则主要是指网络安全问题应与整个网络的工作周期（或生命周期）同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网
29、络系统设计（包括初步或详细设计）及实施计划、网络验证、验收、运行等，都要有安全的内容及措施，实际上，在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施，不但容易，且花费也小得多。4.1.5易操作性原则安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。故此，在本方案中，我公司建议区政府和政府办公网采用防火墙的工作模式是透明模式，这样，防火墙的工作不影响网络运行的原本设置；当然，各学校也可以根据实际应用情况，选择适合的工作模式。4.1.6可扩展性原则由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网
30、络脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。同时由于实施信息安全措施需相当的费用支出。因此充分考虑系统的可扩展性，根据资金情况分步实施，既可满足网络系统及信息安全的基本需求，亦可节省费用开支。4.2网络安全整体解决方案说明网络系统的全面解决方案包括物理安全、网络安全、系统安全、应用安全、信息安全及管理安全等各个方面。4.2.1物理层安全方案保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾、雷击等自然灾害，人为的破坏或误操作及各种计算机犯罪行为导致破坏的过程。XX司法局整体网络安全技术解决方案16
31、严格禁止政府部门用户拨号上网，避免单点破网，被黑客“偷渡”入网。4.2.2网络层安全方案4.2.2.1、加强访问控制 网络结构合理分布后，在网络可以通过交换机划分VLAN功能来实现不同部门、不同级别用户之间简单的访问控制。 网络与外界网络、网络与不信任域网络之间可以通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制。 根据网络的具体应用，也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。 对于远程拔号访问用户的安全性访问，可以利用防火墙的一次性口令认证机制，对远程拔号用户进行身份认证，实现远程用户的安全访问。4.2.2.2、入侵检测由于防火墙等安全控制系统
32、都属于静态防护安全体系，但对于一些允许通过防火墙的访问而导致的攻击行为和内部网的攻击行为，防火墙是无能为力的。因此，还必须配备入侵检测系统，或者使用防火墙内置的入侵检测模块。入侵检测技术是近年出现的新型网络安全技术，是对入侵行为的监控，它通过对网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为或被攻击的迹象。利用实时入侵检测技术，可对特定网段、主机和服务建立攻击监控体系，有效阻止外部黑客的入侵和来自内部网络的攻击。该系统通常安装在内部网络重要网段和服务区的共享网络设备上，它的功能是实时分析进出网络数据流，对网络违规事件跟踪、实时报警、阻断连接并做日志
33、。它既可以对付内部人员的攻击，也可以防范来自外部网络的攻击行为。4.2.2.3、网络安全评估对于黑客的攻击，我们除了被动防御外，还应做到主动预防。网络安全性扫描分析系统通过实践性的方法扫描分析网络系统，检查系统存在的弱点和漏洞，提出建议补救措施和安全策略的报告，根据扫描报告结果来配置或修改网络系统，达到增强网络安全性的目的。操XX司法局整体网络安全技术解决方案17作系统安全扫描系统是从操作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找出系统配置、用户配置的安全弱点，建议补救措施。安全扫描目前业界优秀的产品主要有安全扫描系统、ISS 公司Scanner产品及启明星辰等公司产品
34、。建议由安全服务公司负责检测，可以得到专业安全服务，减少安全扫描产品的投资。4.2.3系统层安全方案4.2.3.1、操作系统安全针对UNIX系统，可采取以下措施： 系统的补丁程序； 将系统的安全级别设置为最高，停止不必要的服务，该关的功能关闭； 强账号和口令的安全管理，定期检查/etc/passwd和/etc/shadow文件，经常更换各账号口令，查看su日志文件和拒绝登录消息日志文件。对于WindowsNT/2000/2003网络系统，可采取以下措施： 使用NTFS文件系统，它可以对文件和目录使用ACL存取控制表； 系统管理员账号由原先的“Administrator”改名，使非法登录用户不但
35、要猜准口令，还要先猜出用户名； 对于提供Internet公共服务的计算机，废止Guest账号，移走或限制所有的其他用户账号； 打开审计系统，审计各种操作成功和失败的情况，及时发现问题前兆，定期备份日志文件； 及时安装补丁程序。与此同时，利用相应的扫描软件对其进行安全性扫描评估、检测其存在的安全漏洞，分析系统的安全性，提出补救措施。最后对管理人员应加强身份认证机制及认证强度。建议使用增强身份验证系统，比如基于令牌的一次性口令认证系统等。4.2.3.2、应用系统安全应用系统通常包括数据库系统及专为某些应用开发的系统。对于数据库系统的安全，通常需要注意以下方面：XX司法局整体网络安全技术解决方案18
36、用户分类：不同类型的用户应该授予不同的数据库访问，管理权限。比如：数据库系统登陆权限，资源管理权限，数据库管理员权限，远程访问权限等。数据分类：对每类用户他能够使用的数据库是不同的，要进行数据库分类。不同的用户访问不同的数据库系统。审计功能：DBMS提供审计功能对维护数据库的安全是十分重要的，它用来监视各用户对数据库施加的动作。可以通过用户审计和系统审计两种方式来发现数据库使用过程中出现的问题，从而找到安全隐患。数据库扫描：利用数据库安全扫描软件可以对数据库的安全状况进行完整的分析，并给出修补漏洞，增强安全性的建议。周期性的对数据库进行这种扫描可以降低人为造成的（有意或无意的）数据库的安全风险
37、。对于非常机密的数据，可以考虑以加密的形式存储数据。数据库备份与恢复：因为数据在存储，传输过程中可能出现故障，同时计算机系统本身也可能发生一些意料之外的事情，如果没有事先采取数据备份措施，将会导致惨重的损失。因此数据库的备份与恢复也是数据库的一个安全功能，它必须提供。数据库系统的备份可以采取多种方式进行。对于专为某项应用开发的系统，也应该进行安全配置，尽量做到只开放必须使用的服务，而关闭不经常用的协议及协议端口号。还有就是对应用系统的使用要加强用户登录身份认证。确保用户使用的合法性，严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。并充分利用应用系统本身的日志功能，对用户所访问的信息
38、做记录，为事后审查提供依据。4.2.4应用层安全方案4.2.4.1、身份认证“公钥基础设施”对于实现电子的或网上的“业务处理”，使电子政务达到其成熟阶段具有不可或缺的、极为重要的意义。同时，“公钥基础设施”也是信息时代所有社会经济活动中所不可缺少的一项基础设施。公钥基础设施是由硬件、软件、各种产品、过程、标准和人构成的一个一体化的结构，正是由于它的存在，才能在电子事务处理中建立信任和信心。公钥基础设施可以做到：XX司法局整体网络安全技术解决方案19 确认发送方的身份 保证发送方所发信息的机密性 保证发送方所发信息不被篡改 发送方无法否认已发该信息的事实公开密钥基础设施(PKI)是一种遵循标准的
39、密钥管理平台,它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。PKI必须具有认证机关(CA)、证书库、密钥备份及恢复系统、证书作废处理系统、客户端证书处理系统等基本成分,构建PKI也将围绕着这五大系统来构建。目前先建立基于VPN的加密通讯，将来可以在省、地市级部门建立CA中心，实现网上传输信息的机密性保护、完整性保护，并防止对信息内容的抵赖。4.2.4.2、病毒防护计算机病毒是指一种能使自己附加到目标机系统的文件上的程序。它在所有破坏性设备中最具危险性，可以导致服务拒绝、破坏数据，甚至使计算机系统完全瘫痪。当病毒被释放到网络环境时，其无法预测的扩散能力使它极具
40、危险性。病毒会突破系统的访问控制，对系统造成破坏。病毒的防护必须通过防病毒系统来实现，政府办公网大多为Windows系统，因此，防范病毒的入侵，就应该根据具体的系统类型，配置相应的、最新的防病毒系统。从单机到网络实现全网的病毒安全防护体系，病毒无论从外部网络还是从内部网络中的某台主机进入网络系统，通过防病毒软件的实时检测功能，将会把病毒扼杀在发起处，防止病毒的扩散。推荐选用瑞星公司的防病毒系统。4.2.5信息安全方案4.2.5.1、加密传输要保护政府办公网的数据在传输过程中不被泄露，必须对数据进行加密。数据加密的方法有从链路层加密、网络层加密及应用层加密。链路层加密机主要根据链路协议（Fram
41、eRelay、X。25、DDN、PSTN），采用相应类型的加密机；网络层加密由于是在网层上，因此它对链路层是透明的，与链路是何种协议无关；应用层加密主要适用于具体的加密需求，针对具体的应用进行开发。使用单位可以根据自身网络特点及应用需求选择合适的加密方法。对于贵校，我们建议采用网络层加密设备，来保护数据在网络上传输的安全性。XX司法局整体网络安全技术解决方案20推荐选用内置在防火墙上的VPN加密模块。VPN的特点： 高加密强度的安全隧道，认证通信双方的身份，实现基于应用的访问控制。 有详细的日志和审计记录，对所处理的每一次通信或服务都可以进行详细的记录 提供穿越防火墙的VPN应用模式，可以以直
42、连的方式把通过认证的数据直接传送到主机的应用程序。 支持移动VPN客户端，配套VPN单机软件，可实现远程安全办公。 可以与第三方认证产品集成，提供更强的身份认证和访问控制功能。4.2.5.2、信息鉴别保护数据的完整性、真实性、可靠性也是网络系统安全防护的一个重要方面。数据在传输过程中存在着被非法窃取、篡改的安全威胁，为此，为了保证数据的完整性，就必须采用信息鉴别技术。VPN设备便能实现这样的功能，其实现过程：原始数据包到达VPN设备时首先对数据进行加密并用HASH函数对数据进行HASH运算产生信息摘要与加密后的数据一同发出去，数据包到达目的方的VPN加密设备后，先用加密的密钥对对数据包进行解密
43、，然后用HASH函数对解密后的数据进行HASH运算，也产生信息摘要，把这个信息摘要与收到的信息摘要进行对比，由于进行HASH运算后产生的信息摘要可以被认为具有唯一性，所以，如果这两个信息摘要完全相同，则说明解密的数据是完整的原始数据，否则说明数据在传输过程中已经被修改过，失去的完整性。数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性。数据源身份认证的实现是通过数字签名技术。数字签名的基本原理是发送方利用自已的私钥对信息进行加密（签名）后发送给对方，对方收到信息后用发送方的公钥进行解密，如果顺利解成明文这说明信息来源是可信的，否则证明信息来源是不可靠的。同时采用数字签名技术达到
44、防抵赖目的。本方案中，我们可以选择VPN设备，实现保护数据的机密性、完整性、真实性、可靠性。4.2.6管理层安全方案网络系统的安全性不仅与硬件、网络、系统等技术方面有关，还与它的管理和使用有着极为密切的关系。1、加强基础设施和运行环境建设计算机机房、配电室、交换机机房等计算机系统重要基础设施应严格管理，配备防盗、防火、防水等设备；安装电视监控系统、监控报警等装置；计算机设备采用UPS不间断电XX司法局整体网络安全技术解决方案21源供电（重要机房可采用双回路供电或配备发电机组）；设备要可靠接地; 供电、通信线路要布线整齐、规范、连接牢靠; 机房环境要干净、整洁，保持特定的温度和湿度。2、加强设备
45、管理和使用工作建立包括设备购置管理、设备使用管理、设备维修管理和设备仓储管理等内容的规章制度。计算机管理部门要定期对设备运行环境、设备运行状况、各项规章制度、操作规程的执行情况进行检查，对发现的问题及时解决，确保计算机系统的安全、可靠运行。3、建立健全安全管理内控制度建立计算机系统使用管理规定、部门主管和工作人员计算机密码管理规定、违反计算机管理规章制度处理办法等内控管理制度；严格实行运行、维护、开发分离的岗位责任制；禁止混岗和代岗，禁止公用和公开密码；对重要数据的改账处理要经过授权由专人负责，并登记日志；建立健全备份制度，核心程序及数据结构要严格保密，实行专人分工保管；对已制定的规章制度，要
46、专人负责，真正落实，从根本上杜绝内部安全隐患。4、加强工作人员的思想和安全意识办公一方面对工作人员要进行经常的思想道德水平和法制观念办公，培养他们自觉抵制各种诱惑的能力，使他们不违法、不犯罪; 另一方面要提高他们的安全防范意识和能力，不给犯罪分子以可乘之机。4.3网络安全总体方案概述4.3.1网络安全总体结构拓扑图网络安全系统是整体的、动态的。网络安全系统符合MPDRR模型（M-management，P-product，D-detection，R1-responce，R2-recovery），因此，要真正实现一个系统的安全，就需要建立一个从保护、检测、响应到恢复的一套全方位的安全保障体系。我们
47、提供的网络安全方案正是基于MPDRR模型构建的，符合网络安全系统整体性和动态性的特点。它集防火墙、DDoS防御网关、入侵检测、安全扫描系统、内网安全保密及审计系统于一体，将多种网络安全技术和优秀网络安全产品在技术上有机集成，实现安全产品之间的互通与联动，是一个统一的、可扩展的安全体系平台。它具体包括了防火墙和VPN的解决方案、DDoS防御网关、入侵检测方案、安全扫描方案、内网安全保密及审计方案和内部CA认证方案。具体见网络拓扑结构图：XX司法局整体网络安全技术解决方案23（一）网络结构优化司法局现有网络规模较大，为避免网络线路数据传输出现瓶颈，采用两个连接互联网出口，此联网方式较为合理，建议保
48、留使用。1、二楼ADSL动态拨号上网，设置为只允许内网办公网访问互联网，而不允许互联网用户访问司法局内部网络；2、十楼ADSL路由器为固定公网地址，互联网用户通过此线路访问司法局的对外应用服务器：短信服务器、12348法律服务咨询语音网关服务器、12348法律服务咨询统计处理服务器、邮件服务器、电子政务应用平台服务器。由于考虑到十楼ADSL为固定公网地址以及网络速度因素，此线路设置为单向访问方式：只允许互联网用户访问司法局的对外应用服务器，而不允许内网办公网访问互联网。司法局的现有网络结构存在网络区域划分不清晰的缺陷，表现在二楼与十楼服务器区域既有对外访问的服务器又有内部服务器，服务器区域为核
49、心区域，建议合理调整。服务器区域调整方式为对外服务器区域设置在十楼机房，负责对外提供各种应用；内部服务器区域设置为2楼机房，负责对内提供各种应用服务。（二）网络安全产品部署考虑到司法局网络安全现状，在现有网络的基础上进行合理的规划，部署若干安全产品，构建一个强大的网络安全“全网防御”体系，有效保证司法局网络的整体安全。（1）在两个ADSL连接的互联网出口处，各部署DDoS防御网关一套，防御目前黑客最常见的攻击行为DDoS攻击。（2）内部办公网通过二楼ADSL动态拨号上网方式访问互联网，在此线路出口处，部署防火墙一台，防火墙的安全规则设置为只允许内网办公网访问互联网，而不允许互联网用户访问司法局内部网络；该防火墙须具备6个端口，分别将内部服务器区、CA身份认证区域、各楼层办公网、广州市政府外网、互联网合理隔离，并对每个区域设置严格的访问控制策略。（3）十楼ADSL路由器为固定公网地址，互联网用户通过此线路访问司法局的对外应用服务器。在此线路出口处，部署防火墙一台，防火墙的安全规则设置为只允许互联网用户访问司法局的对外应用服务器，而不允许内网办公网访问互联网。该防火墙使用3个端口，分别将对外服务器区域、各楼层办公网、互联网隔离隔离，并对每个区域设置严格的访问控制策
