《信息安全整体架构设计28691.docx》由会员分享，可在线阅读，更多相关《信息安全整体架构设计28691.docx（10页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息安全全整体架架构设计计1. 信息安全全目标信息安全全涉及到到信息的的保密性性(Coonfiidenntiaalitty)、完完整性(Inttegrrityy)、可可用性(Avaailaabillityy)。基于以上上的需求求分析，我我们认为为网络系系统可以以实现以以下安全全目标： 保护网络络系统的的可用性性 保护网络络系统服服务的连连续性 防范网络络资源的的非法访访问及非非授权访访问 防范入侵侵者的恶恶意攻击击与破坏坏 保护信息息通过网网上传输输过程中中的机密密性、完完整性 防范病毒毒的侵害害 实现网络络的安全全管理 2. 信息安全全保障体体系2.1 信息安全全保障体体系基本本框架通过人、
2、管管理和技技术手段段三大要要素，构构成动态态的信息息与网络络安全保保障体系系框架WWPDRRR模型型，实现现系统的的安全保保障。WWPDRRR是指指：预警警（Waarniing）、保保护（PProttecttionn）、检检测（DDeteectiion）、反反应（RReacctioon）、恢恢复（RRecooverry），五五个环节节具有时时间关系系和动态态闭环反反馈关系系。安全保障障是综合合的、相相互关联联的，不不仅仅是是技术问问题，而而是人、管管理和技技术三大大要素的的结合。支持系统统安全的的技术也也不是单单一的技技术，它它包括多多个方面面的内容容。在整整体的安安全策略略的控制制和指导导下
3、，综综合运用用防护工工具（如如：防火火墙、VVPN加加密等手手段），利利用检测测工具（如如：安全全评估、入入侵检测测等系统统）了解解和评估估系统的的安全状状态，通通过适当当的反应应将系统统调整到到“最高安安全”和“最低风风险”的状态态，并通通过备份份容错手手段来保保证系统统在受到到破坏后后的迅速速恢复，通通过监控控系统来来实现对对非法网网络使用用的追查查。信息安全全体系基基本框架架示意图图预警：利利用远程程安全评评估系统统提供的的模拟攻攻击技术术来检查查系统存存在的、可可能被利利用的脆脆弱环节节，收集集和测试试网络与与信息的的安全风风险所在在，并以以直观的的方式进进行报告告，提供供解决方方案的
4、建建议，在在经过分分析后，了了解网络络的风险险变化趋趋势和严严重风险险点，从从而有效效降低网网络的总总体风险险，保护护关键业业务和数数据。保护：保保护通常常是通过过采用成成熟的信信息安全全技术及及方法来来实现网网络与信信息的安安全，主主要有防防火墙、授授权、加加密、认认证等。检测：通通过检测测和监控控网络以以及系统统，来发发现新的的威胁和和弱点，强强制执行行安全策策略。在在这个过过程中采采用入侵侵检测、恶恶意代码码过滤等等等这样样一些技技术，形形成动态态检测的的制度，建建立报告告协调机机制，提提高检测测的实时时性。反应：在在检测到到安全漏漏洞和安安全事件件之后必必须及时时做出正正确的响响应，从
5、从而把系系统调整整到安全全状态。为为此需要要相应的的报警、跟跟踪、处处理系统统，其中中处理包包括封堵堵、隔离离、报告告等子系系统。恢复：灾灾难恢复复系统是是当网络络、数据据、服务务受到黑黑客攻击击并遭到到破坏或或影响后后，通过过必要的的技术手手段（如如容错、冗冗余、备备份、替替换、修修复等），在在尽可能能短的时时间内使使系统恢恢复正常常。2.2 安全体系系结构技技术模型型对安全的的需求是是任何单单一安全全技术都都无法解解决的，应应当选择择适合的的安全体体系结构构模型，信信息和网网络安全全保障体体系由安安全服务务、协议议层次和和系统单单元三个个层面组组成，且且每个层层面都包包含安全全管理的的内容
6、。安全体系系结构技技术模型型示意图图2.3 安全区域域策略根据安全全区域的的划分，主主管部门门应制定定针对性性的安全全策略。1、定期期对关键键区域进进行审计计评估，建建立安全全风险基基线2、对于于关键区区域安装装分布式式入侵检检测系统统；3、部署署防病毒毒系统防防止恶意意脚本、木木马和病病毒4、建立立备份和和灾难恢恢复的系系统；5、建立立单点登登录系统统，进行行统一的的授权、认认证；6、配置置网络设设备防预预拒绝服服务攻击击；7、定期期对关键键区域进进行安全全漏洞扫扫描和网网络审计计，并针针对扫描描结果进进行系统统加固。2.4 统一配置置和管理理防病毒毒系统主管部门门应当建建立整体体病毒防防御
7、策略略，以实实现统一一的配置置和管理理。网络络防病毒毒的策略略应满足足全面性性、易用用性、实实时性和和可扩充充性等方方面的要要求。主管部门门使用的的防病毒毒系统应应提供集集中的管管理机制制，建立立病毒系系统管理理中心，监监控各个个防毒产产品的防防杀状态态，病毒毒码及杀杀毒引擎擎的更新新升级等等，并在在各个防防毒产品品上收集集病毒防防护情况况的日志志，并进进行分析析报告。在中建立立更新中中心，负负责整个个病毒升升级工作作，定期期地、自自动地到到病毒提提供商网网站上获获取最新新的升级级文件（包包括病毒毒定义码码、扫描描引擎、程程序文件件等），然然后通过过病毒系系统管理理中心，由由管理中中心分发发到
8、客户户端与服服务器端端，自动动对杀毒毒软件进进行更新新。2.5 网络安全全管理在网络安安全中，除除了采用用上述技技术措施施之外，加加强网络络的安全全管理，制制定有关关规章制制度，对对于确保保网络的的安全、可可靠地运运行，将将起到十十分有效效的作用用。 安全体体系建设设中，安安全管理理是一个个非常重重要的部部分。任任何的安安全技术术保障措措施，最最终要落落实到具具体的管管理规章章制度以以及具体体的管理理人员职职责上，并并通过管管理人员员的工作作得到实实现。安全管理理遵循国国际标准准ISOO177799，它它强调管管理体系系的有效效性、经经济性、全全面性、普普遍性和和开放性性，目的的是为希希望达到
9、到一定管管理效果果的组织织提供一一种高质质量、高高实用性性的参照照。各单单位以此此为参照照建立自自己的信信息安全全管理体体系，可可以在别别人经验验的基础础上根据据自己的的实际情情况进行行设计、取取舍，以以达到对对信息进进行良好好管理的的目的。信信息安全全不仅仅仅是一个个技术问问题，更更重要的的是一个个管理问问题。对对一种资资产进行行保护的的最好方方法就是是为它建建立一个个完整的的、科学学的管理理体系。建建立和实实施信息息安全管管理体系系（ISSMS）是是保障企企事业单单位、政政府机构构信息安安全的重重要措施施。目前前世界上上包括中中国在内内的绝大大多数政政府签署署协议支支持并认认可ISSO17
10、77999标准。其组成部部分如图图所示，各各模块的的作用如如下：管理体制制图 11）总体体策略 确定安安全的总总体目标标，所遵遵循的原原则。 2）组组织 确定安安全策略略之后，必必须明确确责任部部门，落落实具体体的实施施部门。 3）信信息资产产分类与与控制、职职员的安安全、物物理环境境的安全全、业务务连续性性管理 有了目目标和责责任单位位，紧接接着要求求我们必必须仔细细考虑流流程，从从信息资资产、人人、物理理环境、业业务可用用性等方方面考虑虑安全的的具体内内容。 4）通通信与操操作安全全、访问问控制、系系统开发发与维护护 这三方方面属于于解决安安全的技技术问题题，即解解决如何何做的问问题？如如
11、何通过过技术支支撑安全全目标、安安全策略略和安全全内容的的实施。 5）检检查监控控与审计计 用于检检查安全全措施的的效果，评评估安全全措施执执行的情情况和实实施效果果。2.5.1 安全运行行组织安全运行行管理组组织体系系主要由由主管领领导、信信息中心心和业务务应用相相关部门门组成，其其中领导导是核心心，信息息中心是是系统运运行管理理体系的的实体化化组织，业业务应用用相关部部门是系系统支撑撑平台的的直接使使用者。确定系统统内部的的管理职职能部门门，明确确责任部部门，也也就是要要组织安安全运行行管理团团队，由由该部门门负责运运行的安安全维护护问题。2.5.2 安全管理理制度面对网络络安全的的脆弱性
12、性，除在在网络设设计上增增加安全全服务功功能，完完善系统统的安全全保密措措施外，还还必须建建立网络络的安全全管理。明明确安全全职责，制制定安全全管理制制度，实实施安全全管理的的原则为为：多人人负责原原则、任任期有限限原则、职职责分离离原则。2.5.3 应急响应应机制筹建管理理人员和和技术人人员共同同参与的的内部组组织，提提出应急急响应的的计划和和程序，提提供计算算机系统统和网络络安全事事件的提提供技术术支持和和指导；提供安安全漏洞洞或隐患患信息的的通告、分分析；事事件统计计分析报报告；提提供安全全事件处处理相关关的培训训。3. 信息安全全体系架架构通过对网网络应用用的全面面了解，按按照安全全风
13、险、需需求分析析结果、安安全策略略以及网网络的安安全目标标。具体体的安全全控制系系统可以以从以下下几个方方面分述述: 物物理安全全、系统统安全、网网络安全全、应用用安全、管管理安全全。3.1 物理安安全保证计算算机信息息系统各各种设备备的物理理安全是是保障整整个网络络系统安安全的前前提。物物理安全全是保护护计算机机网络设设备、设设施以及及其它媒媒体免遭遭地震、水水灾、火火灾等环环境事故故以及人人为操作作失误或或错误及及各种计计算机犯犯罪行为为导致的的破坏过过程。它它主要包包括三个个方面： 3.1.1 环境安全全对系统所所在环境境的安全全保护，如如区域保保护和灾灾难保护护；（参参见国家家标准GG
14、B5001733933电子子计算机机机房设设计规范范、国国标GBB28887889计计算站场场地技术术条件、GGB9336188计计算站场场地安全全要求 ） 3.1.2 设备安全全设备安全全主要包包括设备备的防盗盗、防毁毁、防电电磁信息息辐射泄泄漏、防防止线路路截获、抗抗电磁干干扰及电电源保护护等；设设备冗余余备份；通过严严格管理理及提高高员工的的整体安安全意识识来实现现。3.1.3 媒体安全全包括媒体体数据的的安全及及媒体本本身的安安全。显显然，为为保证信信息网络络系统的的物理安安全，除除在网络络规划和和场地、环环境等要要求之外外，还要要防止系系统信息息在空间间的扩散散。计算算机系统统通过电
15、电磁辐射射使信息息被截获获而失密密的案例例已经很很多，在在理论和和技术支支持下的的验证工工作也证证实这种种截取距距离在几几百甚至至可达千千米的复复原显示示技术给给计算机机系统信信息的保保密工作作带来了了极大的的危害。为为了防止止系统中中的信息息在空间间上的扩扩散，通通常是在在物理上上采取一一定的防防护措施施，来减减少或干干扰扩散散出去的的空间信信号。3.2 系统安全全3.2.1 网络结构构安全网络结构构的安全全主要指指，网络络拓扑结结构是否否合理；线路是是否有冗冗余；路路由是否否冗余，防防止单点点失败等等。3.2.2 操作系统统安全对于操作作系统的的安全防防范可以以采取如如下策略略：尽量量采用
16、安安全性较较高的网网络操作作系统并并进行必必要的安安全配置置、关闭闭一些起起不常用用却存在在安全隐隐患的应应用、对对一些保保存有用用户信息息及其口口令的关关键文件件（如WWinddowss NTT下的LLMHOOST、SSAM等等）使用用权限进进行严格格限制；加强口口令字的的使用（增增加口令令复杂程程度、不不要使用用与用户户身份有有关的、容容易猜测测的信息息作为口口令），并并及时给给系统打打补丁、系系统内部部的相互互调用不不对外公公开。通过配备备操作系系统安全全扫描系系统对操操作系统统进行安安全性扫扫描，发发现其中中存在的的安全漏漏洞，并并有针对对性地进进行对网网络设备备重新配配置或升升级。3
17、.2.3 应用系统统安全在应用系系统安全全上，应应用服务务器尽量量不要开开放一些些没有经经常用的的协议及及协议端端口号。如如文件服服务、电电子邮件件服务器器等应用用系统，可可以关闭闭服务器器上如HHTTPP、FTTP、TTELNNET、RRLOGGIN等等服务。还还有就是是加强登登录身份份认证。确确保用户户使用的的合法性性；并严严格限制制登录者者的操作作权限，将将其完成成的操作作限制在在最小的的范围内内。充分分利用操操作系统统和应用用系统本本身的日日志功能能，对用用户所访访问的信信息做记记录，为为事后审审查提供供依据。3.3 网络安全全网络安全全是整个个安全解解决方案案的关键键，从访访问控制制
18、、通信信保密、入入侵检测测、网络络安全扫扫描系统统、防病病毒分别别描述。3.3.1 隔离与访访问控制制 严格的管管理制度度可制定的的制度有有：用用户授权权实施细细则、口口令字及及账户管管理规范范、权权限管理理制度、安安全责任任制度等等。 配备防火火墙防火墙是是实现网网络安全全最基本本、最经经济、最最有效的的安全措措施之一一。防火火墙通过过制定严严格的安安全策略略实现内内外网络络或内部部网络不不同信任任域之间间的隔离离与访问问控制。并并且防火火墙可以以实现单单向或双双向控制制，对一一些高层层协议实实现较细细粒的访访问控制制。3.3.2 入侵检测测利用防火火墙并经经过严格格配置，可可以阻止止各种不
19、不安全访访问通过过防火墙墙，从而而降低安安全风险险。但是是，网络络安全不不可能完完全依靠靠防火墙墙单一产产品来实实现，网网络安全全是个整整体的，必必须配相相应的安安全产品品，作为为防火墙墙的必要要补充。入入侵检测测系统就就是最好好的安全全产品，入入侵检测测系统是是根据已已有的、最最新的攻攻击手段段的信息息代码对对进出网网段的所所有操作作行为进进行实时时监控、记记录，并并按制定定的策略略实行响响应（阻阻断、报报警、发发送E-maiil）。从从而防止止针对网网络的攻攻击与犯犯罪行为为。入侵侵检测系系统一般般包括控控制台和和探测器器（网络络引擎）。控控制台用用作制定定及管理理所有探探测器（网网络引擎
20、擎）。探探测器（网网络引擎擎）用作作监听进进出网络络的访问问行为，根根据控制制台的指指令执行行相应行行为。由由于探测测器采取取的是监监听不是是过滤数数据包，因因此，入入侵检测测系统的的应用不不会对网网络系统统性能造造成多大大影响。3.3.3 病毒防护护由于在网网络环境境下，计计算机病病毒有不不可估量量的威胁胁性和破破坏力。我我们都知知道，网网络系统统中使用用的操作作系统一一般均为为WINNDOWWS系统统，比较较容易感感染病毒毒。因此此计算机机病毒的的防范也也是网络络安全建建设中应应该考虑虑的重要要的环节节之一。反反病毒技技术包括括预防病病毒、检检测病毒毒和杀毒毒三种技技术。3.4 应用安全全
21、3.4.1 资源共享享严格控制制内部员员工对网网络共享享资源的的使用。在在内部子子网中一一般不要要轻易开开放共享享目录，否否则较容容易因为为疏忽而而在与员员工间交交换信息息时泄漏漏重要信信息。对对有经常常交换信信息需求求的用户户，在共共享时也也必须加加上必要要的口令令认证机机制，即即只有通通过口令令的认证证才允许许访问数数据。虽虽然说用用户名加加口令的的机制不不是很安安全，但但对一般般用户而而言，还还是起到到一定的的安全防防护，即即使有刻刻意破解解者，只只要口令令设得复复杂些，也也得花费费相当长长的时间间。3.4.2 信息存储储对有涉及及秘密信信息的用用户主机机，使用用者在应应用过程程中应该该
22、做到尽尽量少开开放一些些不常用用的网络络服务。对对数据服服务器中中的数据据库必须须做安全全备份。通通过网络络备份系系统，可可以对数数据库进进行远程程备份存存储。3.5 安全管理理3.5.1 制定健全全的安全全管理体体制制定健全全的安全全管理体体制将是是网络安安全得以以实现的的重要保保证。可可以根据据自身的的实际情情况，制制定如安安全操作作流程、安安全事故故的奖罚罚制度以以及对任任命安全全管理人人员的考考查等。3.5.2 构建安全全管理平平台构建安全全管理平平台将会会降低很很多因为为无意的的人为因因素而造造成的风风险。构构建安全全管理平平台从技技术上如如，组成成安全管管理子网网，安装装集中统统一的安安全管理理软件，如如病毒软软件管理理系统、网网络设备备管理系系统以及及网络安安全设备备统管理理软件。通通过安全全管理平平台实现现全网的的安全管管理。3.5.3 增强人员员的安全全防范意意识应该经常常对单位位员工进进行网络络安全防防范意识识的培训训，全面面提高员员工的整整体网络络安全防防范意识识。