Tel : 4000-719-619

安全管理类

典型网络安全集成方案

1.1 安全建设目标

安全保密防护系统建设以“服务用户单位信息业务需要、服务网络安全保密法规标准建设”为根本遵循、立足既有条件,合法合规,充分利用用户单位网络现有资源,开展网络规划与建设,以实现用户单位“网络安全互联、业务系统按需互通”为目标。通过从通信网络安全、计算环境安全、应用服务安全、数据资源安全和网络安全管理与监察五个方面进行网络安全保密防护系统建设、优化用户单位网络安全运维管理流程,提升安全保密防护能力,构建信息网络统一安全管理与监察体系。

1.2 安全建设原则

网络安全保密防护系统在设计与建设过程中,将严格遵循以下原则:
l 合规性原则
符合网络安全保密技术体制、安全管理接口等要求。
l 实用性原则
从业务安全需求出发、结合实际业务情况与网络情况设计信息安全保密体系,最大限度的满足各项功能需求,确保网络安全保密防护系统具有良好的安全性和可用性。
l 先进性原则
采用业界先进、成熟、实用的技术、确保所用技术在未来五年内仍能满足应用发展的需要,在保证安全保密防护系统功能实现的同时。
l 易用性原则
系统的管理、维护、升级和维修具有简易性和可操作性、在充分保障系统功能需求的同时,最大限度的降低系统的运维复杂度。
l 集成性原则
安全保密防护系统的各个部分既是相对独立的子系统。可实现自上而下、集中统一的网络、设备监控和管理,又能实现相互之间必要的信息交换。
l 可扩展性原则
设计应充分考虑系统的可扩展性。充分考虑与未来增加新型安全设备的兼容性,在适应当前安全设备产品的同时。

1.3 安全需求分析

1.3.1 网络防护安全需求

网络安全保障旨在采取有效的安全防护措施保护网络信息不被破坏、更改和泄露。网络安全需求主要包括以下几个方面:
(1)网络结构安全
网络结构的规划是否合理、影响着是否能够有效地承载业务需要,直接关系到网络的整体安全。网络结构需要根据具体的业务需求合理划分安全域,并在网络的区域边界之间采取隔离技术措施。
(2)网络访问控制
网络访问控制的主要目的是保证合法用户受控访问受保护的网络资源,防止非法用户非授权访问,从而保障数据资源在合法范围内得以有效使用和管理。内部网络与外部网络之间如果没有采取相应的安全防护措施,很容易遭到来自公共网络的攻击威胁;局域网内部各区域网络以及不同业务之间如果没有采取一定的访问控制措施,也可能产生信息泄露和非法访问。针对边界网络以及内部重要区域网络需要实现网络层的访问控制、对数据包进行有效过滤,以保障各级网络和业务的访问安全。
(3)网络入侵检测
在网络出口和网络核心交换区域要求具备入侵攻击检测能力,能够及时发现针对网络信息系统的各种攻击,如病毒、木马、间谍软件、SQL注入、端口扫描、DoS/DDoS等,并产生攻击告警。
(4)网络安全审计
网络安全审计主要通过采集主机设备、安全设备的日志信息,记录操作行为以及安全日志信息,为安全事件的事后追踪与溯源提供必要依据,发现非法访问、非法外设使用、违规外联、恶意攻击等行为。

1.3.2 计算环境安全需求

计算环境的安全需求主要来源于办公终端、业务终端以及应用服务器,承担着信息业务、敏感业务的存储和处理工作。针对终端计算环境需要建立完善的终端防护手段,保障终端的安全运行。终端的安全需求主要包括以下几个层面:
(1)系统自身安全加固
可通过选用安全的操作系统、包括禁用光驱、软驱、USB和网络等引导方式,提高系统安全性,同时主机系统应禁止安装使用网络扫描、攻击工具等黑客软件,关闭网络唤醒功能,并进行系统安全配置、控制、加固,禁止修改系统注册表等关键设置等。
(2)终端网络接入认证
应具备终端接入认证功能,网络接入应能够通过自动或手动的方式配置主机物理地址(MAC地址)与交换机端口绑定策略,禁止未通过安全认证的终端使用网络资源。
(3)终端系统登录认证
过于简单的操作系统账号和口令容易被穷举攻击破解。同时非法用户可以通过网络进行窃听,从而获得管理员权限。针对网内的所有敏感终端主机应根据安全保密要求采用严格的身份验证机制。对终端实施强制登录认证,建立基于双因子的安全身份认证。
(4)安全管控与审计
对终端的登录、网络接入、文件操作、外设操作等行为需要进行严格管理与审计。防止非法外联、违规操作等现象的发生,并能够实现对主机安全事件的定位与追踪。

1.3.3 应用安全需求

(1)安全浏览代理
根据外部公共网站业务的访问需求。通过应用代理的方式实现网页的安全浏览,仅允许浏览网页,限制终端用户向公共站点上传数据信息,保证数据的单向性传递,需要在保障网络安全隔离的同时,下载数据。
(2)脆弱性扫描评估
利用重大安全漏洞进行网络攻击的安全事件日益上升。如:2013年7月曝出的Struts2漏洞。2017年5月爆发的“永恒之蓝”漏洞等,2014年4月曝出的OpenSSL(心脏出血)。漏洞安全风险无处不在,针对网络的所有网络设备、主机、服务器应进行定期、统一的进行漏洞扫描。

1.3.4 数据安全需求

数据安全主要包括数据集中存储、数据库审计、备份恢复安全、数据加密等方面。
(1)数据集中存储
用户敏感数据应进行集中存储管理,确保敏感数据以及重要数据的存储安全。
(2)数据备份恢复安全
业务应用、数据库以及用户工作数据应具备备份恢复机制、确保重要数据信息和业务应用系统能够及时的恢复,必要时还可实施异地的数据备份与系统恢复方案。
(3)数据加密
对于重要用户终端以及服务器可加装保密设备。对敏感网络间数据传输提供加密保护,对敏感数据存储进行加密保护;在网络出口应加装保密设备。

1.3.5 网络安全管理与监察需求

为了保障网络信息系统的安全,安全管理人员难以快速的实现设备运行监控、威胁发现、策略配置、安全处置等工作,需要部署多种类型安全设备以实现整体网络的纵深防御,同时产生的安全信息孤立的分散在各个设备上,这些种类多、数量多、部署分散的安全设备极大的增加了网络的复杂度。针对这些问题。一站式地完成安全运行监控、信息收集和运维管理,需要建立统一网络安全管理与监察体系将不同位置、具有不同形态的多种安全设备和主机设备进行统一的安全管理。

1.4 安全解决方案

1.4.1 通信网络安全

通信网络安全主要建设内容包括:一是网络安全分区分域,对重要信息系统区域实行安全隔离,如网络边界域、应用服务域、安全管理域等;二是边界访问控制,针对手机共享、随身wifi、3G网卡等非法外联行为,针对特定业务与重要业务设定单独防护区域,对主机设备、安全设备的日志进行集中采集与分析,屏蔽系统危险端口,通过对网络流量进行分析,提供网络准入控制、网络身份认证、终端环境安全检查等能力;六是非法外联检测,从重要程度、功能作用、人员类别等方面划分安全域,主动识别发现网络攻击行为;四是网络安全审计,实现日志安全审计;五是网络接入控制,在网络边界对网络通信实施过滤控制,限定对外提供服务的网络地址和端口;三是网络入侵检测,具备检测和阻断能力。

1.4.2 计算环境安全

计算环境安全主要建设内容包括:一是对终端用户提供身份鉴别服务。加强系统登录管控,针对终端行为提供外设控制、软件黑白名单控制、非法外联控制、安全审计等主机安全防护能力;三是病毒检测查杀,提供病毒库升级、可疑代码上报处理、病毒检测与查杀等功能服务;四是补丁管理与分发,具备补丁检测与修复机制,能够主动修复系统安全漏洞,实现账号口令结合电子身份钥匙的双因子安全认证;二是终端管控与审计。

1.4.3 应用服务安全

应用服务安全主要建设内容包括:一是保护重点网站的内容安全。结合网页浏览代理、内容过滤、访问控制等技术措施实现安全浏览外部站点服务;三是漏洞检测评估,防止网页恶意篡改、非法攻击等行为;二是网页安全浏览,实现全方位漏洞检测和脆弱性评估,面向网络设备、服务器、主机和应用。

1.4.4 数据资源安全

数据资源安全主要建设内容包括:一是敏感数据存储与使用安全、对敏感数据存储进行加密保护;服务器单独或集中加装相应密级的保密设备,用户临时使用的敏感数据存放于终端加密磁盘分区;二是数据库安全,用户敏感数据存放于数据存储设备,提供信源加密与信道加密保护能力,系统数据库选用安全可靠且具备数据备份和恢复功能的软件;三是数据加密保护,对广域数据传输提供信源加密保护,经申请定期备份到经认证的移动载体,加装数据存储设备,重要用户终端加装保密设备。

1.4.5 网络安全管理与监察

网络安全管理与监察体系建立依托于赛搏长城网络安全管理与监察软件实现。一是安全资产管理,配置防火墙访问控制策略,提供基于拓扑的资产视图,采集关键安全设备策略信息,提供深度的安全资产策略管控能力,对网络内产生的安全事件进行集中采集与分析;四是安全策略管理,发现策略违规行为;五是安全检查考核,并产生安全值班日报、周报,通过制定值班计划实现安全运维值班,通过监控、分析系统中所使用的安全策略、漏洞情况、入侵检测情况、安全值班情况、系统部署情况,实现对网络中的管理对象划分安全域,支持查看资产的状态、事件、策略及配置信息等;二是安全运行监控,进行资产化管理,为系统整体运行的有效性评估及改进提供依据;六是安全值班管理,能够监控网络内的安全防护软硬件、主机设备在运行过程中出现的状态异常、掌握资产情况与设备运行状态;三是安全事件管理,能够配置全网主机终端策略,优化运维管理流程。
 
关键词:典型 安全集成