第二篇電子政務系統(tǒng)的技術(shù)支撐第四章電子政務系統(tǒng)的總體結(jié)構(gòu)第五章IT根底設施平臺第六章信息資源效勞層第七章應用效勞支持層第八章業(yè)務應用及表現(xiàn)層第九章電子政務系統(tǒng)平安保障體系1精選ppt9.1電子政務系統(tǒng)平安保障體系框架電子政務系統(tǒng)平安需求分析1.政務業(yè)務對電子政務系統(tǒng)的根本平安要求嚴格的保密要求信息交換準確的要求嚴格的權(quán)限管理要求嚴格的程序和流程要求確保責任2精選ppt電子政務系統(tǒng)平安需求分析(續(xù)一〕2.電子政務系統(tǒng)平安威脅產(chǎn)生的原因1).電子政務系統(tǒng)對網(wǎng)絡的高度依賴2).網(wǎng)絡過于開放3).電子政務平安技術(shù)的缺陷

3精選ppt電子政務系統(tǒng)平安需求分析(續(xù)二〕3.電子政務系統(tǒng)平安性要素有效性、真實性機密性數(shù)據(jù)的完整性可靠性和不可抵賴性4精選ppt電子政務系統(tǒng)平安策略和平安措施1.平安威脅的來源平安威脅主要來至于內(nèi)外兩個方面:〔1〕內(nèi)部方面主要表現(xiàn)在內(nèi)部人員的對電子政務系統(tǒng)的攻擊、內(nèi)外勾結(jié)、濫用職權(quán)?！?〕外部方面主要表現(xiàn)在病毒傳播、黑客攻擊、信息間諜以及技術(shù)缺陷、故障等。5精選ppt電子政務系統(tǒng)平安策略和平安措施〔續(xù)一〕2．平安策略信息系統(tǒng)平安策略針對信息傳輸、發(fā)布和處理所面臨的和潛在的來自網(wǎng)絡內(nèi)部和外部的平安威脅制定。制定平安策略要注意保證信息的完整性、可靠性、可用性和平安保密性。一個良好的平安策略應該具備以下幾點：技術(shù)上可實現(xiàn)，組織上可執(zhí)行，職責范圍明確，約束具有強制性。6精選ppt電子政務系統(tǒng)平安策略和平安措施〔續(xù)二〕3.平安措施在國家信息平安技術(shù)保障體系中，要對信息根底設施進行多層防護，包括網(wǎng)絡和根底設施防護、邊界防護、計算環(huán)境防護以及根底設施提供支持。這分別涉及到主干網(wǎng)絡的可用性、無線網(wǎng)絡平安框架、系統(tǒng)互連和虛擬專用網(wǎng)〔VPN〕；網(wǎng)絡登錄保護、遠程訪問、多級平安；終端用戶環(huán)境和系統(tǒng)應用程序的平安。支撐的根底設施包括密鑰管理根底設施/公共密鑰根底設施〔KeyManagementInfrastructure，簡稱KMI/PublicKeyInfrastructure，簡稱PKI〕。7精選ppt電子政務系統(tǒng)平安策略和平安措施〔續(xù)三〕表9.1是按電子政務系統(tǒng)的層次框架列舉的平安威脅和應對的防范措施〔略。表格大，不好粘貼，請大家看書?！?精選ppt電子政務系統(tǒng)平安保障體系框架

電子政務系統(tǒng)平安保障體系框架如圖9.1所示。9精選ppt電子政務系統(tǒng)平安保障體系框架〔續(xù)一〕圖9.1電子政務系統(tǒng)平安保障體系框架10精選ppt電子政務系統(tǒng)平安保障體系框架〔續(xù)二〕電子政務平安保障體系是電子政務系統(tǒng)的有機組成局部，是電子政務系統(tǒng)運行的必要組成局部。電子政務平安保障體系一般分為平安技術(shù)系統(tǒng)和平安管理系統(tǒng)。平安技術(shù)系統(tǒng)可以包括：物理平安；網(wǎng)絡根底平臺平安；信息資源層平安；業(yè)務應用層平安等。11精選ppt電子政務系統(tǒng)平安保障體系框架〔續(xù)三〕平安管理系統(tǒng)可以包括：平安組織；平安策略和制度；平安標準；平安評估；平安審計等。平安管理系統(tǒng)和平安技術(shù)系統(tǒng)是相輔相成的。在電子政務系統(tǒng)建設時，在對平安技術(shù)系統(tǒng)進行設計之時，必須考慮平安管理系統(tǒng)的建設和實施。12精選ppt9.2平安技術(shù)系統(tǒng)

9.2.1物理平安物理平安是指物理連接方面的平安，尤其是指不同密級之間網(wǎng)絡的連接標準，保證物理結(jié)構(gòu)上的平安。內(nèi)容主要包含以下幾個方面:1).電磁泄漏主要措施是：對重要的、涉密的設備進行電磁泄漏防護。13精選ppt物理平安〔續(xù)一〕2).惡意的物理破壞主要措施是：采用網(wǎng)管設備進行監(jiān)控，對重要設備采用專用機房、專用設施、專門人員進行保護。3).電力中斷雙電源是網(wǎng)絡正常運行的有力保障。4).平安拓撲結(jié)構(gòu)14精選ppt物理平安〔續(xù)二〕平安拓撲是平安體系的一個很重要的組成局部。電子政務系統(tǒng)包含著大量的國家機密內(nèi)容。因此，電子政務系統(tǒng)涉及涉密網(wǎng)絡與非涉密網(wǎng)絡之間的連接，也有政府辦公外網(wǎng)與非涉密網(wǎng)的連接，故拓撲結(jié)構(gòu)非常復雜。要根據(jù)涉密規(guī)定作具體分析。接入方式分為物理隔離、邏輯隔離、基于物理隔離的數(shù)據(jù)交換等幾種不同形式，原那么上辦公單位與數(shù)據(jù)中心的連接均用防火墻進行邏輯隔離，保證可信的數(shù)據(jù)傳輸及對非法訪問的拒絕。15精選ppt物理平安〔續(xù)三〕物理隔離：完全網(wǎng)絡上的隔離，對于涉密網(wǎng)與非涉密網(wǎng)之間的連接，無設備相連。邏輯隔離：使用防火墻進行數(shù)據(jù)交換方面的審查，通行可信數(shù)據(jù)，拒絕非法請求。此種隔離針對政府辦公外網(wǎng)與電子政務網(wǎng)之間的連接。給予物理隔離的數(shù)據(jù)交換：使用基于物理隔離的數(shù)據(jù)交換進行數(shù)據(jù)交換方面的審查，通行可信數(shù)據(jù)，拒絕非法請求。此項方式是防火墻模式的進一步提高，政府涉密外網(wǎng)有比較高的要求，可選用此設備，但是由于原理限制，大大降低了網(wǎng)絡速度。16精選ppt物理平安〔續(xù)四〕5).平安旁路問題主要指政府等辦公部門主要針對的是物理隔離的內(nèi)部網(wǎng)絡的員工撥號行為要加以注意。17精選ppt網(wǎng)絡根底平臺層平安

網(wǎng)絡根底平臺一般包括網(wǎng)絡和設備、系統(tǒng)軟件〔OS和DBMS〕等。該平臺平安防護系統(tǒng)由防火墻、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、病毒防治系統(tǒng)和平安審計系統(tǒng)、操作系統(tǒng)平安和數(shù)據(jù)庫平安等組成，是一個平安網(wǎng)絡系統(tǒng)的根底組成局部，在統(tǒng)一平安策略的指導下，保障系統(tǒng)的整體平安。18精選ppt網(wǎng)絡根底平臺層平安(續(xù)一〕

1).防火墻防火墻技術(shù)是用一個或一組網(wǎng)絡設備，在兩個或多個網(wǎng)絡間加強訪問控制，以保護一個網(wǎng)絡不受來自另一個網(wǎng)絡攻擊的平安技術(shù)。2).入侵檢測系統(tǒng)

19精選ppt網(wǎng)絡根底平臺層平安(續(xù)二〕入侵檢測系統(tǒng)的功能一般如下:識別各種黑客入侵的方法和手段，防范外部黑客的入侵。檢測內(nèi)部人員的誤操作、資源濫用和惡意行為多層次和靈活的平安審計，幫助用戶對內(nèi)外網(wǎng)行為進行追蹤實時的報警和響應，幫助用戶及時發(fā)現(xiàn)并解決平安問題協(xié)助管理員加強網(wǎng)絡平安管理20精選ppt網(wǎng)絡根底平臺層平安(續(xù)三〕3).漏洞掃描系統(tǒng)漏洞掃描系統(tǒng)負責定期或不定期地調(diào)用網(wǎng)絡平安性分析、操作系統(tǒng)平安性分析軟件對整個內(nèi)部系統(tǒng)進行平安掃描和檢測，及時發(fā)現(xiàn)網(wǎng)絡新的平安漏洞并予以補救。21精選ppt網(wǎng)絡根底平臺層平安(續(xù)四〕一個成熟的平安掃描工具應提供如下功能：掃描、分析、檢測和發(fā)現(xiàn)系統(tǒng)的平安薄弱環(huán)節(jié)。準確全面地報告脆弱性和漏洞。掃描、報告目標系統(tǒng)的信息及對外效勞。提供詳細信息和平安建議。按需生成各種分析報告遠程在線升級22精選ppt網(wǎng)絡根底平臺層平安(續(xù)五〕4)．病毒防治系統(tǒng)病毒防治系統(tǒng)建設簡述病毒防治系統(tǒng)負責對各類計算機病毒的檢測與殺滅,主要功能包括：系統(tǒng)病毒預防、病毒診斷、病毒殺滅和網(wǎng)絡病毒檢測

23精選ppt網(wǎng)絡根底平臺層平安(續(xù)六〕病毒防治系統(tǒng)建設時要注意以下幾點：構(gòu)建綜合的平安體系多層防御體系防毒與網(wǎng)絡管理集成在網(wǎng)關(guān)、效勞器上防毒及時更新防毒軟件。24精選ppt網(wǎng)絡根底平臺層平安(續(xù)七〕病毒防治系統(tǒng)解決措施〔舉例〕病毒防治平安解決方案如下：使用Symantec網(wǎng)絡防病毒產(chǎn)品，但應建立以Windows2000為控制中心的管理模式，將病毒代碼升級的任務交給裝在控制中心的Symantec防病毒中心來做。并按照已經(jīng)設計好的升級方式自動分發(fā)給其他效勞器；需要納入防病毒體系的用戶應將客戶機參加這個域中，在每次登錄域的過程中自動升級和更新。25精選ppt網(wǎng)絡根底平臺層平安(續(xù)八〕5).平安審計系統(tǒng)平安審計系統(tǒng)負責對各類系統(tǒng)的全部活動的過程軌跡進行記錄，以便為事后的平安審計追蹤、系統(tǒng)平安漏洞分析提供原始證據(jù)。平安審計系統(tǒng)的功能主要包括平安審計事件自動響應、平安審計數(shù)據(jù)生成、平安審計數(shù)據(jù)存儲和平安審計分析等26精選ppt網(wǎng)絡根底平臺層平安(續(xù)九〕6).操作系統(tǒng)平安主機平安的解決方法：操作系統(tǒng)的問題是隨著時間的延續(xù)而逐漸出現(xiàn)的，不是在進行一次平安加固后就可以解決的，所以使用平安工具是非常好的解決方法。對于工具的選擇有重要的幾個因素：能及時從網(wǎng)絡進行升級；能針對Windows，Unix兩種操作系統(tǒng)進行評估；提供定時掃描功能；能隨問題給出解決方案；完善的分類報表功能。27精選ppt網(wǎng)絡根底平臺層平安(續(xù)十〕7).數(shù)據(jù)庫平安數(shù)據(jù)庫平安保密解決措施：打上Oracle公司正式提供的Oracle的平安補丁將數(shù)據(jù)庫建庫的全過程劃分為幾個主要階段賬戶依任務而定加固數(shù)據(jù)庫平安制定完善的口令策略修改系統(tǒng)參數(shù)28精選ppt應用業(yè)務及效勞支持層平安1.信息平安根底設施信息平安根底設施是一類產(chǎn)品，它們?yōu)楦鞣N應用建立通用的平安效勞。信息平安根底設施主要包括：公鑰根底設施〔PKI〕、授權(quán)管理根底設施〔PMI〕、密鑰管理根底設施〔KMI〕。29精選ppt應用業(yè)務及效勞支持層平安〔續(xù)一〕1).PKI

PKI以公開密鑰技術(shù)為根底，以數(shù)據(jù)機密性、完整性、身份認證和行為的不可否認性為平安目的?；赑KI數(shù)字證書認證機制的實體身份信任效勞，建立整個電子政務系統(tǒng)范圍內(nèi)一致的信任基準。PKI系統(tǒng)的邏輯結(jié)構(gòu)如圖9.2所示。30精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二〕圖9.2PKI系統(tǒng)的邏輯結(jié)構(gòu)31精選ppt應用業(yè)務及效勞支持層平安〔續(xù)三〕2).PMI授權(quán)管理根底設施〔PMI〕使用的屬性證書是一種輕量級的數(shù)字證書，不包含公鑰信息，只包含證書所有人的ID、發(fā)行證書ID、簽名算法、有效期和屬性等信息。PMI主要負責向應用系統(tǒng)提供與應用相關(guān)的授權(quán)效勞管理，授權(quán)管理以資源為核心，將對資源的訪問控制權(quán)統(tǒng)一交由資源的所有者進行訪問控制。通常采用PMI與PKI結(jié)合來有效提高授權(quán)控制能力。32精選ppt應用業(yè)務及效勞支持層平安〔續(xù)四〕3).KMI密鑰管理根底設施(KMI)提供統(tǒng)一的密鑰管理效勞,，涉及密鑰生成效勞器、密鑰數(shù)據(jù)庫效勞器和密鑰管理效勞器等組成局部。33精選ppt應用業(yè)務及效勞支持層平安〔續(xù)五〕2.應用業(yè)務及效勞支持層平安設計舉例以某城市電子政務系統(tǒng)該層的平安設計為例，進一步說明平安技術(shù)系統(tǒng)該層設計所包含的具體內(nèi)容?！?〕證書認證中心主要提供以下效勞：證書的簽發(fā)和管理；證書撤消列表的簽發(fā)和管理；證書/證書撤消列表的發(fā)布和管理；證書審核注冊機構(gòu)的設立、審核及管理；向密鑰管理中心申請密鑰對。34精選ppt應用業(yè)務及效勞支持層平安〔續(xù)六〕圖9.3CA中心的系統(tǒng)結(jié)構(gòu)35精選ppt應用業(yè)務及效勞支持層平安〔續(xù)七〕CA中心的系統(tǒng)結(jié)構(gòu)如圖9.3所示。從圖中可以看出，CA中心由Web效勞器、策略效勞器、CA業(yè)務效勞器、證書管理效勞器、源LDAP效勞器、證書簽發(fā)效勞器、密碼效勞系統(tǒng)以及信息平安防御系統(tǒng)等組成，提供數(shù)字證書簽發(fā)、分發(fā)、撤消和管理等功能。36精選ppt應用業(yè)務及效勞支持層平安〔續(xù)八〕〔2〕證書審核注冊中心數(shù)字證書審核注冊中心〔RA〕是平安技術(shù)系統(tǒng)的重要節(jié)點，RA中心接受用戶的證書申請，對用戶資料進行審核及管理。審核注冊中心〔RA〕由證書認證中心〔CA〕授權(quán)運作，提供如下相關(guān)效勞：用戶數(shù)字證書申請的注冊受理；用戶真實身份的審核；用戶數(shù)字證書的申請與下載；用戶數(shù)字證書的撤消與恢復；證書受理核發(fā)點的設立審核及管理。37精選ppt應用業(yè)務及效勞支持層平安〔續(xù)九〕RA中心由Web效勞器、證書注冊審核效勞器和密碼效勞系統(tǒng)等組成。圖9.4RA中心系統(tǒng)結(jié)構(gòu)38精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十〕〔3〕密鑰管理中心密鑰管理中心〔KM〕主要負責向電子政務證書生產(chǎn)系統(tǒng)和電子政務應用系統(tǒng)提供密鑰的生成與管理效勞，同時向授權(quán)管理部門提供特殊密鑰恢復功能。39精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十一〕密鑰管理中心主要提供以下效勞：密鑰的生成和托管；密鑰的存儲和管理；密鑰的撤消；密鑰的恢復；密鑰的查詢；密鑰的銷毀。40精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十二〕密鑰管理中心由密鑰生成、密鑰管理、密鑰庫管理、密碼效勞、密鑰恢復、平安認證、系統(tǒng)審計等子系統(tǒng)組成。密鑰管理中心的系統(tǒng)邏輯簡圖如圖9.5所示。41精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十三〕圖9.5密鑰管理中心系統(tǒng)組成42精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十四〕〔4〕證書查詢驗證效勞系統(tǒng)證書查詢驗證效勞系統(tǒng)是平安技術(shù)系統(tǒng)中的證書效勞系統(tǒng)，為業(yè)務應用及業(yè)務支撐層提供證書查詢驗證效勞，包括目錄查詢效勞和證書在線狀態(tài)查詢效勞。證書查詢驗證效勞系統(tǒng)主要包括LDAP效勞器和OCSP效勞器，提供證書目錄、證書撤消列表目錄以及證書狀態(tài)在線查詢效勞。證書查詢驗證效勞系統(tǒng)根據(jù)業(yè)務量、行政部門和地域的不同進行分布式部署。證書查詢驗證效勞系統(tǒng)的典型系統(tǒng)結(jié)構(gòu)如圖9.6所示。43精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十五〕圖9.6證書查詢驗證效勞系統(tǒng)的典型系統(tǒng)結(jié)構(gòu)44精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十六〕〔5〕可信時間戳效勞系統(tǒng)可信時間戳效勞系統(tǒng)基于公鑰密碼技術(shù)，采用國家權(quán)威時間源提供精確可信的時間戳效勞，以確認系統(tǒng)處理數(shù)據(jù)在某一時間〔之前〕的存在性，以及相關(guān)操作的相對時間順序，為實現(xiàn)系統(tǒng)數(shù)據(jù)處理的抗抵賴性和可審計性提供根底。可信時間戳效勞系統(tǒng)通過對目標數(shù)據(jù)加上可信時間源提供的時間標記，并用數(shù)字簽名來保證時間標記的完整性與真實性。45精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十七〕可信時間戳效勞體系結(jié)構(gòu)如圖9.7所示?？尚艜r間戳效勞體系分為4個層次：權(quán)威時間源層可信時間效勞層時間戳效勞層時間戳應用層46精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十八〕圖9.7可信時間戳效勞體系結(jié)構(gòu)47精選ppt應用業(yè)務及效勞支持層平安〔續(xù)十九〕可信時間戳效勞系統(tǒng)結(jié)構(gòu)如圖9.8所示。時間戳效勞系統(tǒng)包括時間戳效勞器時間效勞器時間戳證據(jù)存儲效勞器密碼效勞系統(tǒng)48精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十〕圖9.8可信時間戳效勞系統(tǒng)結(jié)構(gòu)49精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十一〕〔6〕可信授權(quán)效勞系統(tǒng)在平安技術(shù)系統(tǒng)中，可信授權(quán)效勞系統(tǒng)向用戶和應用程序提供授權(quán)管理效勞，提供用戶身份到應用授權(quán)的映射功能，提供與實際應用處理模式相應的授權(quán)和訪問控制機制，簡化具體應用系統(tǒng)的開發(fā)與維護?？尚攀跈?quán)效勞系統(tǒng)有兩種工作模式：集中式授權(quán)效勞與分布式授權(quán)效勞。50精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十二〕a.集中式授權(quán)效勞集中式授權(quán)效勞系統(tǒng)基于相對固定的授權(quán)模型，提供集中式管理，通過在數(shù)字證書的擴展項增加用戶的屬性或權(quán)限信息，在效勞器端構(gòu)建授權(quán)效勞系統(tǒng)提供授權(quán)管理。其系統(tǒng)結(jié)構(gòu)如圖9.9所示。51精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十三〕圖9.9集中式授權(quán)效勞系統(tǒng)結(jié)構(gòu)52精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十四〕b.分布式授權(quán)效勞分布式授權(quán)效勞采用靈活的授權(quán)方式，提供分布式個性化效勞?？蛻舳烁鶕?jù)應用的具體情況進行個性化定制，靈活地設置有效授權(quán)信息，由資源所有者自己設定資源的訪問權(quán)限，并加以數(shù)字簽名，具有不可抵賴性。其體系結(jié)構(gòu)如圖9.10所示。53精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十五〕圖9.10分布式授權(quán)效勞體系結(jié)構(gòu)54精選ppt應用業(yè)務及效勞支持層平安〔續(xù)二十六〕〔7〕網(wǎng)絡信任域系統(tǒng)網(wǎng)絡信任域系統(tǒng)是公鑰根底設施PKI在網(wǎng)絡層的應用和擴展，為電子政務系統(tǒng)提供統(tǒng)一的可信網(wǎng)絡根底環(huán)境，為實體〔關(guān)鍵設備、重要終端及用戶〕提供可信網(wǎng)絡接入、平安網(wǎng)絡通信及可信管理等網(wǎng)絡效勞。網(wǎng)絡信任域的體系結(jié)構(gòu)如圖9.1