博物館信息安全設(shè)計(jì)方案 11.1項(xiàng)目背景 11.2項(xiàng)目目標(biāo) 11.3建設(shè)的必要性和可行性 1第2章現(xiàn)狀分析 22.1辦公內(nèi)網(wǎng)網(wǎng)絡(luò)現(xiàn)狀 22.2互聯(lián)外網(wǎng)網(wǎng)絡(luò)現(xiàn)狀 2第3章需求分析 3第4章信息安全總體方案設(shè)計(jì) 44.1設(shè)計(jì)原則 44.2設(shè)計(jì)依據(jù) 54.2.1政策文件 54.2.2基礎(chǔ)類標(biāo)準(zhǔn) 54.3總體系統(tǒng)結(jié)構(gòu)設(shè)計(jì) 6第5章信息安全詳細(xì)建設(shè)方案 85.1辦公內(nèi)網(wǎng)信息安全保護(hù)設(shè)計(jì) 95.1.1安全區(qū)域劃分與結(jié)構(gòu)優(yōu)化 95.1.2網(wǎng)絡(luò)邊界防護(hù)及訪問(wèn)控制 5.1.3網(wǎng)絡(luò)安全審計(jì)系統(tǒng) 5.1.4入侵防御系統(tǒng) 5.1.5病毒惡意代碼防范 5.1.6運(yùn)維堡壘主機(jī)系統(tǒng) 5.1.7數(shù)據(jù)庫(kù)審計(jì)系統(tǒng) 5.1.8漏洞掃描系統(tǒng) 5.1.9安全運(yùn)營(yíng)管理平臺(tái) 5.2互聯(lián)外網(wǎng)信息安全保護(hù)設(shè)計(jì) 235.2.1安全區(qū)域劃分與結(jié)構(gòu)優(yōu)化 5.2.2網(wǎng)絡(luò)邊界防護(hù)及訪問(wèn)控制 5.2.3網(wǎng)絡(luò)安全審計(jì)系統(tǒng) 275.2.4入侵防御系統(tǒng) 5.2.5病毒惡意代碼防范 5.2.6運(yùn)維堡壘主機(jī)系統(tǒng) 5.2.7上網(wǎng)行為管理系統(tǒng) 5.2.8漏洞掃描系統(tǒng) 5.2.9安全運(yùn)營(yíng)管理平臺(tái) 351.1項(xiàng)目背景1.2項(xiàng)目目標(biāo)1.3建設(shè)的必要性和可行性2.1辦公內(nèi)網(wǎng)網(wǎng)絡(luò)現(xiàn)狀2.2互聯(lián)外網(wǎng)網(wǎng)絡(luò)現(xiàn)狀第4章信息安全總體方案設(shè)計(jì)4.1設(shè)計(jì)原則u體系化的設(shè)計(jì)原則系統(tǒng)設(shè)計(jì)應(yīng)充分考慮到各個(gè)層面的安全風(fēng)險(xiǎn)，構(gòu)建分保證系統(tǒng)的安全性。同時(shí)，應(yīng)確保方案中使用的信息安全產(chǎn)品和u產(chǎn)品的先進(jìn)性原則信息系統(tǒng)的安全保障體系建設(shè)意義深遠(yuǎn)，對(duì)所需的各類安全產(chǎn)的要求。必須認(rèn)真考慮各安全產(chǎn)品的技術(shù)水平、合理性、先進(jìn)性、信息系統(tǒng)安全保障體系的建設(shè)是一項(xiàng)長(zhǎng)期的工程，并非一蹴而全問(wèn)題。因此，在實(shí)際建設(shè)過(guò)程中要根據(jù)實(shí)際情況分輕重緩急，分u標(biāo)準(zhǔn)化和規(guī)范化嚴(yán)格遵循國(guó)家有關(guān)等級(jí)保護(hù)的安全法律法規(guī)和技術(shù)規(guī)范u技術(shù)的先進(jìn)性和成熟性在設(shè)計(jì)理念、技術(shù)體系、產(chǎn)品選型等方面實(shí)現(xiàn)安全體系先一。采用國(guó)內(nèi)先進(jìn)實(shí)用的安全技術(shù)和安全產(chǎn)品，選擇目前和未來(lái)一定表性和先進(jìn)性的成熟安全技術(shù)，既保證當(dāng)前系統(tǒng)的高安全可靠，又滿u安全性原則安全管理體系建設(shè)是信息安全建設(shè)中重點(diǎn)建設(shè)信息系統(tǒng)安全保密政策、標(biāo)準(zhǔn)和規(guī)范，使信息系統(tǒng)在網(wǎng)絡(luò)、應(yīng)用、u一致性原則在信息系統(tǒng)現(xiàn)狀的基礎(chǔ)上，通過(guò)體系化設(shè)計(jì)滿足項(xiàng)目建設(shè)全可靠性、靈活性、開(kāi)放性等系統(tǒng)建設(shè)目標(biāo)，保證系統(tǒng)從需求到設(shè)u經(jīng)濟(jì)性原則在本項(xiàng)目方案設(shè)計(jì)過(guò)程中，充分利用現(xiàn)有資源，在可用性4.2設(shè)計(jì)依據(jù)4.2.1政策文件n《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)》（中辦發(fā)n《關(guān)于開(kāi)展信息安全等級(jí)保護(hù)安全建設(shè)整改工作的指導(dǎo)意見(jiàn)》公信安4.2.2基礎(chǔ)類標(biāo)準(zhǔn)4.3總體系統(tǒng)結(jié)構(gòu)設(shè)計(jì)圖4-1總體系統(tǒng)架構(gòu)設(shè)計(jì)圖第5章信息安全詳細(xì)建設(shè)方案安全技術(shù)體系設(shè)計(jì)的主要目的是以等級(jí)保護(hù)的防護(hù)要求為依據(jù)，在充分利用現(xiàn)有網(wǎng)絡(luò)和安全設(shè)備的基礎(chǔ)上，采購(gòu)必要的安全產(chǎn)品，實(shí)現(xiàn)業(yè)5.1辦公內(nèi)網(wǎng)信息安全保護(hù)設(shè)計(jì)5.1.1安全區(qū)域劃分與結(jié)構(gòu)優(yōu)化不同業(yè)務(wù)系統(tǒng)之間缺少明確的邊界，不利于根據(jù)業(yè)務(wù)安全防護(hù)措施。通過(guò)進(jìn)行安全域劃分，實(shí)現(xiàn)有效的訪問(wèn)控制機(jī)制，對(duì)于來(lái)自不同結(jié)合系統(tǒng)面臨的風(fēng)險(xiǎn)、保護(hù)等級(jí)并綜合業(yè)務(wù)訪問(wèn)為安全接入?yún)^(qū)、核心區(qū)、數(shù)據(jù)區(qū)、對(duì)外服務(wù)器區(qū)、對(duì)內(nèi)服務(wù)區(qū)、無(wú)線區(qū)、票務(wù)區(qū)、觸摸屏區(qū)、觸摸屏展示區(qū)、微信展示n安全管理域：主要承載的是安全管理相關(guān)的系統(tǒng)或設(shè)備，包括漏洞掃n票務(wù)區(qū)、觸摸屏區(qū)、觸摸屏展示區(qū)、微信展示區(qū)、北京音樂(lè)區(qū)和展陳-10-圖5-1整體網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)圖-12-5.1.2網(wǎng)絡(luò)邊界防護(hù)及訪問(wèn)控制按照分域分級(jí)保護(hù)思路，根據(jù)信息系統(tǒng)等級(jí)保護(hù)級(jí)別，結(jié)同安全防護(hù)需求劃分安全域，各安全域之間通過(guò)部署防火墻和網(wǎng)制列表，實(shí)現(xiàn)安全域之間的安全隔離和訪問(wèn)控制。各安全域的訪過(guò)在各區(qū)域的邊界防火墻和交換機(jī)上設(shè)置訪問(wèn)控制策略，只允許用戶訪問(wèn)該安全域；通過(guò)在數(shù)據(jù)交換系統(tǒng)（網(wǎng)閘）上進(jìn)行策略設(shè)關(guān)實(shí)現(xiàn)對(duì)兩網(wǎng)間的病毒防護(hù)；2臺(tái)網(wǎng)閘采用雙機(jī)熱備的方式部署，提高核心鏈路4.在對(duì)內(nèi)和對(duì)外服務(wù)器區(qū)邊界各部署2臺(tái)防火墻，-13-圖5-2系統(tǒng)邊界防護(hù)示意圖5.1.3網(wǎng)絡(luò)安全審計(jì)系統(tǒng)結(jié)合辦公內(nèi)網(wǎng)整體安全防護(hù)需求，對(duì)辦公內(nèi)網(wǎng)網(wǎng)審計(jì)，防止濫用網(wǎng)絡(luò)資源和非授權(quán)訪問(wèn)。通過(guò)網(wǎng)絡(luò)安全審計(jì)系統(tǒng)對(duì)網(wǎng)絡(luò)進(jìn)行采集、分析和識(shí)別，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)訪問(wèn)情況，記錄網(wǎng)絡(luò)安全事件，通過(guò)部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)訪問(wèn)行為的采集、分析在核心交換機(jī)上部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)引擎，通過(guò)在交換機(jī)上配的方式將流經(jīng)交換機(jī)上的所有數(shù)據(jù)映射至網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，網(wǎng)絡(luò)安對(duì)抓到的包進(jìn)行分析、匹配、統(tǒng)計(jì)，從而實(shí)現(xiàn)網(wǎng)絡(luò)安全審計(jì)，同時(shí)在-14-圖5-3網(wǎng)絡(luò)安全審計(jì)系統(tǒng)部署示意圖當(dāng)存儲(chǔ)空間少于20%時(shí)，及時(shí)增加存儲(chǔ)空間，防止由于存儲(chǔ)空間溢出造成審計(jì)記責(zé)設(shè)備的日常維護(hù)，安全管理員主要負(fù)責(zé)數(shù)據(jù)分析和報(bào)告編制，審計(jì)負(fù)責(zé)對(duì)系統(tǒng)操作行為的審計(jì)和分析，確保任何人均無(wú)法單獨(dú)中斷審計(jì)l審計(jì)管理員每周輸出所有審計(jì)設(shè)備的審計(jì)報(bào)表，同時(shí)對(duì)審計(jì)報(bào)表進(jìn)行分-15-5.1.4入侵防御系統(tǒng)通過(guò)在辦公內(nèi)網(wǎng)部署入侵檢測(cè)系統(tǒng)及時(shí)發(fā)現(xiàn)各種網(wǎng)絡(luò)攻擊、破等入侵行為，并在第一時(shí)間采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟在辦公內(nèi)網(wǎng)核心交換機(jī)部署入侵檢測(cè)系統(tǒng)，通過(guò)在核心交換機(jī)上l網(wǎng)絡(luò)行為檢測(cè)：使用細(xì)粒度檢測(cè)技術(shù)、協(xié)議分析技術(shù)、誤用檢測(cè)技術(shù)、協(xié)議l蠕蟲(chóng)檢測(cè)：實(shí)時(shí)跟蹤當(dāng)前最新的蠕蟲(chóng)事件，針對(duì)當(dāng)前已經(jīng)發(fā)現(xiàn)的蠕蟲(chóng)及時(shí)的提供相關(guān)的事件規(guī)則。存在漏洞但是還未發(fā)現(xiàn)相關(guān)蠕蟲(chóng)事件的，通漏洞提供相關(guān)的入侵事件規(guī)則，最大限度地解決l異常報(bào)警：入侵檢測(cè)系統(tǒng)在發(fā)現(xiàn)入侵行為時(shí)可以通過(guò)多種方式進(jìn)行報(bào)警，如l日志記錄：對(duì)發(fā)現(xiàn)的入侵行為進(jìn)行記錄，并妥善保管記錄信息。l入侵檢測(cè)庫(kù)升級(jí)：入侵檢測(cè)系統(tǒng)內(nèi)置的檢測(cè)庫(kù)是決定系統(tǒng)檢測(cè)能力的關(guān)鍵因素，因此每月對(duì)入侵檢測(cè)系統(tǒng)庫(kù)進(jìn)行一次升級(jí)。由于辦公內(nèi)網(wǎng)內(nèi)網(wǎng)安全隔離，入侵檢測(cè)系統(tǒng)無(wú)法通過(guò)互聯(lián)網(wǎng)上的廠商升級(jí)網(wǎng)站進(jìn)行在-16-圖5-4總中心入侵檢測(cè)部署示意圖5.1.5病毒惡意代碼防范在辦公內(nèi)網(wǎng)系統(tǒng)的網(wǎng)絡(luò)邊界處部署防病毒網(wǎng)關(guān)，有效的將病毒或外，也能防止已被感染的病毒蔓延。防毒網(wǎng)關(guān)工作于OSI七層協(xié)議的第七層，專注于惡意代碼防范、阻斷惡意代碼傳輸、運(yùn)用分辦公內(nèi)網(wǎng)整體網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，涉及眾多業(yè)務(wù)服務(wù)器本方案設(shè)計(jì)在辦公內(nèi)網(wǎng)與互聯(lián)外網(wǎng)網(wǎng)絡(luò)邊界安全接入?yún)^(qū)，部關(guān)，與部署在主機(jī)、服務(wù)器上的防病毒軟件相聯(lián)動(dòng)，形成-17-圖5-5惡意代碼范湖部署示意圖l利用防毒墻專用的防毒硬件系統(tǒng)和強(qiáng)大的防病毒引擎，對(duì)進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)l對(duì)HTTP、FTP、SMTP、POP3、IMAP、NETBIOS等的協(xié)議進(jìn)行惡意代碼檢測(cè)。l基于查殺記錄制作詳盡的病毒檢測(cè)報(bào)表。l每日通過(guò)互聯(lián)網(wǎng)進(jìn)行病毒庫(kù)下載，下載完成后對(duì)病毒庫(kù)進(jìn)行升級(jí)測(cè)試，通過(guò)刻錄光盤(pán)的方式將病毒庫(kù)導(dǎo)入內(nèi)網(wǎng)，為防毒墻進(jìn)行病毒庫(kù)升級(jí)-18-5.1.6運(yùn)維堡壘主機(jī)系統(tǒng)配置的方式會(huì)對(duì)應(yīng)用系統(tǒng)造成一定的安全風(fēng)險(xiǎn)，通過(guò)部署運(yùn)維堡壘計(jì)，在應(yīng)用系統(tǒng)中限定安全管理員身份角色，安全管理員對(duì)各系統(tǒng)格管理，在部署的業(yè)務(wù)系統(tǒng)中創(chuàng)建不同的用l對(duì)登錄堡壘主機(jī)的所有賬戶設(shè)置復(fù)雜口令，最小長(zhǎng)度設(shè)置8位，口令中同時(shí)l在堡壘主機(jī)中啟用HTTPS的方式進(jìn)行數(shù)據(jù)傳輸、并使身份鑒別信息以加密的-19-圖5-6運(yùn)維審計(jì)部署示意圖5.1.7數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)在辦公內(nèi)網(wǎng)總中心數(shù)據(jù)域交換機(jī)上部署數(shù)據(jù)庫(kù)安全審計(jì)系統(tǒng)，對(duì)有審計(jì)的內(nèi)容發(fā)送至部署在安全管理安全域的數(shù)據(jù)庫(kù)審計(jì)管理服務(wù)器當(dāng)存儲(chǔ)空間小于20%時(shí)，立即增加存儲(chǔ)空間，防止由于存儲(chǔ)空間溢出造成審計(jì)記-20-圖5-7數(shù)據(jù)庫(kù)安全審計(jì)系統(tǒng)部署示意圖5.1.8漏洞掃描系統(tǒng)為了更好地保護(hù)主機(jī)的安全，減少主機(jī)被入侵的風(fēng)險(xiǎn)，分析系統(tǒng)的安全漏洞，并采取防護(hù)措施。安全運(yùn)維人員每月對(duì)漏洞-21-圖5-8漏洞掃描系統(tǒng)部署示意圖5.1.9安全運(yùn)營(yíng)管理平臺(tái)在安全管理中心部署安全運(yùn)營(yíng)管理平臺(tái)，提供對(duì)安全設(shè)備、服務(wù)備等各種硬件性能的監(jiān)控功能，及對(duì)服務(wù)器操作系統(tǒng)、應(yīng)用中間件、絡(luò)設(shè)備等進(jìn)行配置基線分析，提供安全預(yù)警功能，提供資產(chǎn)管理、知本方案中在辦公內(nèi)網(wǎng)部署安全運(yùn)營(yíng)平臺(tái)，其定位為業(yè)務(wù)系統(tǒng)信息匯集樞紐、安全風(fēng)險(xiǎn)統(tǒng)一集中分析和管理平臺(tái)、安全事件處置響信息安全運(yùn)營(yíng)平臺(tái)能夠?qū)崿F(xiàn)由零散安全產(chǎn)品到信息保障體系的轉(zhuǎn)變。它除了包含技術(shù)以外，還有兩個(gè)重要的組成部分：人（維護(hù)人員、應(yīng)急小組這三個(gè)核心原則。因此它不僅是技術(shù)手段上的快速提升，實(shí)現(xiàn)對(duì)重要安全預(yù)警。安全管理平臺(tái)將全面提升系統(tǒng)的-22-建設(shè)安全管理平臺(tái)，可以實(shí)現(xiàn)對(duì)以往基于“點(diǎn)”的安全建設(shè)進(jìn)行全面整合和綜合管理，解決安全建設(shè)的零散性，進(jìn)行跨產(chǎn)品、跨平臺(tái)的安全信息和處理，對(duì)多種數(shù)據(jù)進(jìn)行相互溝通和關(guān)聯(lián)，從海量安全事件中提取真據(jù)，并提供智能化分析手段發(fā)現(xiàn)更深層次的安全問(wèn)題，解決已往安全建設(shè)安全管理平臺(tái)，改變以往以安全事件和單個(gè)資產(chǎn)為視角的傳統(tǒng)模式，結(jié)合平臺(tái)的業(yè)務(wù)屬性，使得用戶的系統(tǒng)管理人員能夠直觀清晰全面否面臨著風(fēng)險(xiǎn)、所產(chǎn)生風(fēng)險(xiǎn)的嚴(yán)重程度如何，該如何進(jìn)行風(fēng)險(xiǎn)相建設(shè)安全管理平臺(tái)，可以為用戶建立起一套完善的安全體系。利用安全管理平臺(tái)，可以進(jìn)行安全意識(shí)宣講、相關(guān)法律制度普及、安全技術(shù)培訓(xùn)、建設(shè)安全管理平臺(tái)，可以全面提高對(duì)于風(fēng)險(xiǎn)響應(yīng)的能力。包括發(fā)現(xiàn)問(wèn)題后必須能快速找到解決方法并最快速度進(jìn)行響應(yīng)，響應(yīng)的過(guò)程中要求人、響應(yīng)辦法并反饋?lái)憫?yīng)結(jié)果，對(duì)響應(yīng)的整個(gè)過(guò)程必須有記錄和有經(jīng)驗(yàn)的響應(yīng)隊(duì)伍，這個(gè)隊(duì)伍包括內(nèi)部人員和外部專家支持；支-23-圖5-9安全運(yùn)營(yíng)管理平臺(tái)部署示意圖5.2互聯(lián)外網(wǎng)信息安全保護(hù)設(shè)計(jì)5.2.1安全區(qū)域劃分與結(jié)構(gòu)優(yōu)化結(jié)合系統(tǒng)面臨的風(fēng)險(xiǎn)、保護(hù)等級(jí)并綜合業(yè)務(wù)訪問(wèn)n安全管理域：主要承載的是安全管理相關(guān)的系統(tǒng)或設(shè)備，包括漏洞掃-24-圖5-1整體網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)圖-25--26-5.2.2網(wǎng)絡(luò)邊界防護(hù)及訪問(wèn)控制邊界防火墻和交換機(jī)上設(shè)置訪問(wèn)控制策略，只允許特定授權(quán)的終端用戶訪問(wèn)該安全2.在匯聚區(qū)1和匯聚區(qū)2邊界各部署2臺(tái)防火墻，2臺(tái)防火墻采用雙機(jī)熱備的-27-圖5-2系統(tǒng)邊界防護(hù)示意圖5.2.3網(wǎng)絡(luò)安全審計(jì)系統(tǒng)-28-圖5-3網(wǎng)絡(luò)安全審計(jì)系統(tǒng)部署示意圖l對(duì)訪問(wèn)應(yīng)用系統(tǒng)安全域的訪問(wèn)行為進(jìn)行審計(jì)。審計(jì)內(nèi)容主要包括數(shù)據(jù)傳輸l使用網(wǎng)絡(luò)安全審計(jì)系統(tǒng)記錄事件發(fā)生的時(shí)間、地點(diǎn)、類型、主體和結(jié)l通過(guò)三權(quán)分立機(jī)制對(duì)網(wǎng)絡(luò)安全審計(jì)系統(tǒng)進(jìn)行嚴(yán)格控制，系統(tǒng)管理員主要-29-5.2.4入侵防御系統(tǒng)在第一時(shí)間采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤l網(wǎng)絡(luò)行為檢測(cè)：使用細(xì)粒度檢測(cè)技術(shù)、協(xié)議分析檢測(cè)等技術(shù)，對(duì)基于TCP/IP的各種網(wǎng)l蠕蟲(chóng)檢測(cè)：實(shí)時(shí)跟蹤當(dāng)前最新的蠕蟲(chóng)事件，針對(duì)l監(jiān)控管理：通過(guò)入侵檢測(cè)系統(tǒng)提供的控制臺(tái)，監(jiān)將這些數(shù)據(jù)進(jìn)行分析，生成便于理解的報(bào)表，供l異常報(bào)警：入侵檢測(cè)系統(tǒng)在發(fā)現(xiàn)入侵行為時(shí)可以l日志記錄：對(duì)發(fā)現(xiàn)的入侵行為進(jìn)行記錄，并妥善保管記錄信息。l入侵檢測(cè)庫(kù)升級(jí)：入侵檢測(cè)系統(tǒng)內(nèi)置的檢測(cè)庫(kù)是決定系因此每月對(duì)入侵檢測(cè)系統(tǒng)庫(kù)進(jìn)行一次升級(jí)。由于辦公內(nèi)網(wǎng)內(nèi)網(wǎng)與互聯(lián)網(wǎng)完全安全隔-30-圖5-4總中心入侵檢測(cè)部署示意圖5.2.5病毒惡意代碼防范已被感染的病毒蔓延。防病毒網(wǎng)關(guān)工作于OSI七層協(xié)議的第七層，專注于惡意代碼防-31-圖5-5惡意代碼范湖部署示意圖l利用防毒墻專用的防毒硬件系統(tǒng)和強(qiáng)大的防病毒l對(duì)HTTP、FTP、SMTP、POP3、IMAP、NETBIOS等的協(xié)議進(jìn)行惡意代碼檢測(cè)。l基于查殺記錄制作詳盡的病毒檢測(cè)報(bào)表。l每日通過(guò)互聯(lián)網(wǎng)進(jìn)行病毒庫(kù)下載，下載完成后對(duì)-32-5.2.6運(yùn)維堡壘主機(jī)系統(tǒng)統(tǒng)，通過(guò)堡壘主機(jī)強(qiáng)制限定