《信息技术--赵泽茂--第十五章41498.pptx》由会员分享，可在线阅读，更多相关《信息技术--赵泽茂--第十五章41498.pptx（84页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第15章 信息安全解决方案15.1 信息安全体系结构现状15.2 网络安全需求15.3 网络安全产品15.4 某大型企业网络安全解决方案案例15.5 电子政务安全平台实施方案小结习题第15章 信息安全解决方案20世纪80年代中期，美国国防部为适应军事计算机的保密需要，在20世纪70年代的基础理论研究成果计算机保密模型(BellLapadula模型)的基础上，制定了“可信计算机系统安全评价准则”(TCSEC)，其后又对网络系统、数据库等方面作出了一系列安全解释，形成了安全信息系统体系结构的最早原则。至今，美国已研制出符合TCSEC要求的安全系统(包括安全操作系统、安全数据库、安全网络部件)达10
2、0多种，但这些系统仍有局限性，还没有真正达到形式化描述和证明的最高级安全系统。15.1 信息安全体系结构现状信息安全体系结构现状第15章 信息安全解决方案1989年，确立了基于OSI参考模型的信息安全体系结构，1995年在此基础上进行修正，颁布了信息安全体系结构的标准，具体包括五大类安全服务、八大种安全机制和相应的安全管理标准(详见1.4.1节)。20世纪90年代初，英、法、德、荷四国针对TCSEC准则只考虑保密性的局限，联合提出了包括保密性、完整性、可用性概念的“信息技术安全评价准则”(ITSEC)，但是该准则中并没有给出综合解决以上问题的理论模型和方案。近年来六国七方(美国国家安全局和国家
3、技术标准研究所、加、英、法、德、荷)共同提出了“信息技术安全评价通用准则”(CC for ITSEC)。CC综合了国际上已有的评测准则和技术标准的精华，给出了框架和原则要求，但它仍然缺少综合解决信息的多种安全属性的理论模型依据。第15章 信息安全解决方案标准于1999年7月通过国际标准化组织的认可，被确立为国际标准，编号为ISO/IEC 15408。ISO/IEC 15408标准对安全的内容和级别给予了更完整的规范，为用户对安全需求的选取提供了充分的灵活性。然而，国外研制的高安全级别的产品对我国是封锁禁售的，即使出售给我们，其安全性也难以令人放心。第15章 信息安全解决方案安全体系结构理论与技
4、术主要包括安全体系模型的建立及其形式化描述与分析，安全策略和机制的研究，检验和评估系统安全性的科学方法和准则的建立，符合这些模型、策略和准则的系统的研制(比如安全操作系统、安全数据库系统等)。我国在系统安全的研究及应用方面与先进国家和地区存在着很大的差距。近几年来，我国进行了安全操作系统、安全数据库、多级安全机制的研究，但由于自主安全内核受控于人，难以保证没有漏洞，而且大部分有关的工作都以美国1985年的TCSEC标准为主要参照系。第15章 信息安全解决方案开发的防火墙、安全路由器、安全网关、黑客入侵检测系统等产品和技术，主要集中在系统应用环境的较高层次上，在完善性、规范性、实用性上还存在许多
5、不足，特别是在多平台的兼容性、多协议的适应性、多接口的满足性方面存在很大的差距，其理论基础和自主的技术手段也有待于发展和强化。然而，我国的系统安全的研究与应用毕竟已经起步，具备了一定的基础和条件。1999年10月，我国发布了“计算机信息系统安全保护等级划分准则”，该准则为安全产品的研制提供了技术支持，也为安全系统的建设和管理提供了技术指导。第15章 信息安全解决方案Linux开放源代码为我们自主研制安全操作系统提供了前所未有的机遇。作为信息系统赖以支持的基础系统软件操作系统，其安全性是关键。长期以来，我国广泛使用的主流操作系统都是从国外引进的。从国外引进的操作系统，其安全性难以令人放心。具有我
6、国自主版权的安全操作系统产品在我国各行各业都迫切需要。我国的政府、国防、金融等机构对操作系统的安全都有各自的要求，都迫切需要找到一个既满足功能、性能要求，又具备足够的安全可信度的操作系统。Linux的发展及其在国际上的广泛应用，在我国也产生了广泛的影响，只要其安全问题得到妥善解决，就会得到我国各行各业的普遍接受。第15章 信息安全解决方案网络安全需求主要包括下述几种需求。1.物理安全需求物理安全需求由于重要信息可能会通过电磁辐射或线路干扰而被泄漏，因此需要对存放机密信息的机房进行必要的设计，如构建屏蔽室、采用辐射干扰机等，以防止电磁辐射泄漏机密信息。此外，还可对重要的设备和系统进行备份。15.
7、2 网络安全需求网络安全需求第15章 信息安全解决方案2.访问控制需求访问控制需求网络需要防范非法用户的非法访问和合法用户的非授权访问。非法用户的非法访问也就是黑客或间谍的攻击行为。在没有任何防范措施的情况下，网络的安全主要是靠主机系统自身的安全设置(如用户名及口令)简单控制的。但对于用户名及口令的保护方式，对有攻击目的的人而言，根本就不是一种障碍。他们可以通过对网络上信息的监听或者通过猜测得到用户名及口令，这对他们而言都不是难事，而且只需花费很少的时间。因此，要采取一定的访问控制手段，防范来自非法用户的攻击，保证只有合法用户才能访问合法资源。第15章 信息安全解决方案合法用户的非授权访问是指
8、合法用户在没有得到许可的情况下访问了他本不该访问的资源。一般来说，每个成员的主机系统中，有一部分信息是可以对外开放的，而有些信息是要求保密或具有一定的隐私性的。外部用户被允许访问一定的信息，但他们同时有可能通过一些手段越权访问别人不允许他访问的信息，从而会造成他人的信息泄密，因此必须加密访问控制的机制，对服务及访问权限进行严格控制。第15章 信息安全解决方案3.加密需求与加密需求与CA系统构建系统构建加密传输是网络安全的重要手段之一。信息的泄漏很多都是在链路上被搭线窃取的，数据也可能因为在链路上被截获、被篡改后传输给对方，造成数据的真实性、完整性得不到保证。如果利用加密设备对传输数据进行加密，
9、使得在网上的数据以密文传输(因为数据是密文)，那么即使在传输过程中被截获，入侵者也读不懂，而且加密还能通过先进的技术手段对数据传输过程中的完整性、真实性进行鉴别，从而保证数据的保密性、完整性及可靠性。因此，必须配备加密设备对数据进行传输加密。第15章 信息安全解决方案网络系统采用加密措施，而加密系统通常都通过加密密钥来实现，但密钥的分发及管理的可靠性却存在安全问题。为解决此问题，提出了CA系统的构建，即通过信任的第三方来确保通信双方互相交换信息。第15章 信息安全解决方案4.入侵检测系统需求入侵检测系统需求防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制
10、(允许、禁止、报警)，但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其他攻击。所以，为确保网络更加安全，必须配备入侵检测系统，对透过防火墙的攻击进行检测，并做相应的反应(记录、报警、阻断)。第15章 信息安全解决方案5.安全风险评估系统需求安全风险评估系统需求网络系统和操作系统存在安全漏洞(如安全配置不严密等)等是使黑客等入侵者的攻击屡屡得手的重要因素。入侵者通常都是通过一些程序来探测网络中系统存在的一些安全漏洞，然后通过发现的安全漏洞，采取相应的技术进行攻击，因此，必需配备网络安全扫描系统和系统安全扫描系统来检测网络中存在的安全漏洞，并采取相应的措施填补系统漏洞，对网络设备等存在的不
11、安全配置重新进行安全配置。第15章 信息安全解决方案6.防病毒系统需求防病毒系统需求病毒的危害性极大并且传播极为迅速，必须配备从单机到服务器的整套防病毒软件，实现全网的病毒安全防护。必须配备从服务器到单机的整套防病毒软件，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护，以确保整个单位的业务数据不受到病毒的破坏，日常工作不受病毒的侵扰。由于新病毒的出现比较快，因此要求防病毒系统的病毒代码库的更新周期必须比较短。第15章 信息安全解决方案7.漏洞扫描需求漏洞扫描需求在网络建设中必须部署漏洞扫描系统，它能主动检测本地主机系统存在安全性弱点的程序，采用模仿黑客入侵的手法对目标网络中的工作站、服务
12、器、数据库等各种系统以及路由器、交换机、防火墙等网络设备可能存在的安全漏洞进行逐项检查，测试该系统上有没有安全漏洞存在，然后就将扫描结果向系统管理员提供周密、可靠的安全性分析报告，从而让管理人员从扫描出来的安全漏洞报告中了解网络中服务器提供的各种服务及这些服务呈现在网络上的安全漏洞，在系统安全防护中做到有的放矢，及时修补漏洞，从根本上解决网络安全问题，有效地阻止入侵事件的发生。第15章 信息安全解决方案8.电磁泄漏防护需求电磁泄漏防护需求计算机系统和网络系统在工作时会产生电磁辐射，信息以电信号方式传输时也会产生电磁辐射，造成电磁泄漏。对重要的保密计算机，应使用屏蔽技术、电磁干扰技术和传输加密技
13、术，避免因电磁泄漏而引起的信息泄密。第15章 信息安全解决方案解决网络信息安全问题的主要途径是利用密码技术和网络访问控制技术。密码技术用于隐蔽传输信息、认证用户身份等。网络访问控制技术用于对系统进行安全保护，抵抗各种外来攻击。目前，在市场上比较流行，而又能够代表未来发展方向的安全产品大致有以下几类。15.3 网络安全产品网络安全产品第15章 信息安全解决方案1.防火墙防火墙防火墙在某种意义上可以说是一种访问控制产品。它在内部网络与不安全的外部网络之间设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。防火墙的主要技术有包过滤技术、应用网关技术和代理服务技术。防火墙能够较为有效地
14、防止黑客利用不安全的服务对内部网络进行的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。但它本身可能存在安全问题，也可能会是一个潜在的瓶颈。第15章 信息安全解决方案2.安全路由器安全路由器由于WAN连接需要专用的路由器设备，因而可通过路由器来控制网络传输。通常采用访问控制列表技术来控制网络信息流。第15章 信息安全解决方案3.虚拟专用网(VPN)虚拟专用网(VPN)是在公共数据网络上通过采用数据加密技术和访问控制技术来实现两个或多个可信内部网之间的互连。VPN的构架通常都要求采用具有加密功能的路由器或防火墙，以实现数据在公共信道上的可信传递。第15章
15、 信息安全解决方案4.安全服务器安全服务器安全服务器主要针对一个局域网内部信息存储、传输的安全保密问题，其实现功能包括对局域网资源的管理和控制，对局域网内用户的管理，以及对局域网中所有安全相关事件的审计和跟踪。第15章 信息安全解决方案5.电子签证机构CA和PKI产品电子签证机构(CA)作为通信的第三方，为各种服务提供可信任的认证服务。CA可向用户发行电子证书，为用户提供成员身份验证和密钥管理等功能。PKI产品可以提供更多的功能和更好的服务，可作为所有应用的计算基础结构的核心部件。第15章 信息安全解决方案6.用户认证产品用户认证产品由于IC卡技术的日益成熟和完善，IC卡被更为广泛地用于用户认
16、证产品中，用来存储用户的个人私钥，并与其他技术(如动态口令)相结合，对用户身份进行有效的识别。同时，还可将IC卡上的个人私钥与数字签名技术相结合，实现数字签名机制。随着模式识别技术的发展，诸如指纹、视网膜、脸部特征等高级的身份识别技术也会投入应用，并与数字签名等现有技术结合，使得对于用户身份的认证和识别功能更趋完善。第15章 信息安全解决方案7.安全管理中心安全管理中心由于网上的安全产品较多，且分布在不同的位置，这就需要建立一套集中管理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。第15章 信息安全解决方案8.入侵检
17、测系统入侵检测系统(IDS)入侵检测作为传统保护机制(比如访问控制、身份识别等)的有效补充，形成了信息系统中不可或缺的反馈链。9.安全数据库安全数据库由于大量的信息存储在计算机数据库内，有些信息是有价值的，也是敏感的，需要保护，安全数据库可以确保数据库的完整性、可靠性、有效性、机密性、可审计性及存取控制与用户身份识别等。第15章 信息安全解决方案第15章 信息安全解决方案但是，我们也应该看到密码技术与通信技术、计算机技术以及芯片技术的融合正日益紧密，其产品的分界线越来越模糊，彼此也越来越不能分割。在一个计算机系统中，很难简单地划分某个设备是密码设备，某个设备是通信设备。而这种融合的最终目的还是
18、在于为用户提供高可信任的、安全的计算机和网络信息系统。第15章 信息安全解决方案网络安全问题的解决是一个综合性问题，涉及诸多因素，包括技术、产品和管理等。国际上已有众多的网络安全解决方案和产品，但由于出口政策和自主性等问题，目前还不能直接用于解决我国自己的网络安全问题，因此我国的网络安全问题只能借鉴这些先进技术和产品自行解决。可幸的是，目前国内已有一些网络安全问题解决方案和产品。不过，这些解决方案和产品与国外同类产品相比尚有一定的差距。第15章 信息安全解决方案安全解决方案的目标是在不影响企业局域网当前业务的前提下，实现对其局域网全面的安全管理。将安全策略、硬件及软件等方法结合起来，构成一个统
19、一的防御系统，可有效阻止非法用户进入网络，减少网络的安全风险。15.4 某大型企业网络安全解决方案实例某大型企业网络安全解决方案实例第15章 信息安全解决方案创建一种安全方案意味着设计一种如何处理计算机安全问题的计划，也就是尽力在黑客征服系统以前保护系统。通常，设计一套安全方案涉及以下步骤:(1)网络安全需求分析。确切了解网络信息系统需要解决哪些安全问题是建立合理安全需求的基础。(2)确立合理的安全策略。(3)制订可行的技术方案，包括工程实施方案(产品的选购与订制)、制订管理办法等。第15章 信息安全解决方案15.4.1 威胁分析威胁分析威胁就是将会对资产造成不利影响的潜在的事件或行为，包括自
20、然的、故意的以及偶然的情况。可以说威胁是不可避免的，我们必须采取有效的措施，以降低各种情况造成的威胁。1.边界网络设备安全威胁边界网络设备安全威胁边界网络设备面临的威胁主要有以下两点:(1)入侵者通过控制边界网络设备进一步了解网络拓扑结构，利用网络渗透搜集信息，为扩大网络入侵范围奠定基础。比如，入侵者可以利用这些网络设备的系统(Cisco的IOS)漏洞或者配置漏洞，实现对其控制。第15章 信息安全解决方案(2)通过各种手段对网络设备实施拒绝服务攻击，使网络设备瘫痪，从而造成网络通信的瘫痪。2.信息基础安全平台威胁信息基础安全平台威胁信息基础平台主要是指支撑各种应用与业务运行的各种操作系统。操作
21、系统主要有Windows系列与UNIX系统。相对边界网络设备来说，熟知操作系统的人员的范围要广得多，而且在网络上，很容易就能找到许多针对各种操作系统的漏洞的详细描述，所以，针对操作系统和数据库的入侵攻击在网络中也是最常见的。第15章 信息安全解决方案不管是什么操作系统，只要它运行于网络上，就必然会有或多或少的端口服务暴露在网络上，而这些端口服务又恰恰可能存在致命的安全漏洞，这无疑会给该系统带来严重的安全威胁，从而也给系统所在的网络带来很大的安全威胁。第15章 信息安全解决方案3.内部网络的失误操作行为内部网络的失误操作行为由于人员的技术水平的局限性以及经验的不足，可能会出现各种意想不到的操作失
22、误，势必会对系统或者网络的安全产生较大的影响。4.源自内部网络的恶意攻击与破坏源自内部网络的恶意攻击与破坏据统计，有70%的网络攻击来自于网络的内部。对于网络内部的安全防范会明显地弱于对于网络外部的安全防范，而且由于内部人员对于内部网络的熟悉程度一般是很高的，因此，由网络内部发起的攻击也就必然更容易成功，一旦攻击成功，其强烈的攻击目的也就必然促成了更为隐蔽和严重的网络破坏。第15章 信息安全解决方案5.网络病毒威胁网络病毒威胁在网络环境下，网络病毒除了具有可传播性、可执行性、破坏性、可触发性等计算机病毒的共性外，还具有一些新的特点，网络病毒的这些新的特点都会对网络与应用造成极大的威胁。第15章
23、 信息安全解决方案15.4.2 制订策略制订策略根据网络系统的实际安全需求，结合网络安全体系模型，建议采用如下网络安全防护措施。1.访问控制访问控制建议在网络的各个入口处部署防火墙，对进入企业网络系统的网络用户进行访问控制，主要实现如下防护功能:(1)对网络用户进行身份验证，保证网络用户的合法性;(2)能够屏蔽流行的攻击手段;(3)对远程访问的用户提供通信线路的加密连接;(4)能提供完整的日志和审计功能。第15章 信息安全解决方案2.VPN防火墙系统防火墙系统防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据网络的安全政策控制(允许
24、、拒绝、监测)出入网络的信息流。防火墙可以确定哪些内部服务允许外部访问，哪些外人被许可访问所允许的内部服务，哪些外部服务可由内部人员访问。并且防火墙本身具有较强的抗攻击能力，它是提供信息安全服务，实现网络和信息安全的基础设施。第15章 信息安全解决方案同时网络通信要对用户“透明”，部署带VPN功能的防火墙，可以同时实现“虚拟”和“专用”的安全特性，充分利用已有公共网络基础设施的高效性。VPN实现的协议有IPSec、L2F、L2TP、PPTP、MPPE、SSL等。其中互联网络层的安全标准是IPSec，事实证明，基于IPSec技术构建的VPN是应用最广、安全特性最完备的实现形式。第15章 信息安全
25、解决方案3.入侵检测系统入侵检测系统在传统的网络安全概念里，似乎配置了防火墙就标志着网络的安全，其实不然，防火墙仅仅是部署在网络边界的安全设备，它的作用是防止外部的非法入侵，仅仅相当于计算机网络的第一道防线。虽然通过防火墙可以隔离大部分的外部攻击，但是仍然会有小部分攻击通过正常的访问的漏洞渗透到内部网络。另外，据统计，有70以上的攻击事件来自内部网络，也就是说内部人员作案，而这恰恰是防火墙的盲区。入侵检测系统(IDS)可以弥补防火墙的不足，为网络安全提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪、恢复、断开网络连接等。第15章 信息安全解决方案入侵检测系统是实时的网络违规自动识别和
26、响应系统。它运行于有敏感数据需要保护的网络上，通过实时监听网络数据流，识别、记录入侵和破坏性代码流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规模式和未授权的网络访问尝试时，入侵检测系统能够根据系统安全策略作出反应。该系统可安装于防火墙前后，可以对攻击防火墙本身的数据流进行响应，同时可以对穿透防火墙的数据流进行响应。第15章 信息安全解决方案在被保护的局域网中，入侵检测设备应安装于易受到攻击的服务器或防火墙附近。这些保护措施主要是为了监控经过出口及对重点服务器进行访问的数据流。入侵检测报警日志的功能是对所有对网络系统有可能造成危害的数据流进行报警及响应。由于网络攻击大多来自于网络的出
27、口位置，因此入侵检测在此处将承担实时监测大量出入整个网络的具有破坏性的数据流的任务。这些数据流引起的报警日志，可作为系统受到网络攻击的主要证据。入侵检测、防火墙和漏洞扫描联动体系示意图如图15-4-1所示。第15章 信息安全解决方案图 15-4-1 入侵检测、防火墙和漏洞扫描联动体系示意图第15章 信息安全解决方案4.漏洞扫描系统漏洞扫描系统网络的应用越来越广泛，而网络不可避免的安全问题也就越来越突出，如今，每天都有数十种有关操作系统、网络软件、应用软件的安全漏洞被公布，利用这些漏洞可以很容易地破坏乃至完全地控制系统;另外，由于管理员的疏忽或者技术水平的限制所造成的配置漏洞也是广泛存在的，这对
28、于系统的威胁同样很严重。第15章 信息安全解决方案动态安全的概念是帮助管理员主动发现问题。最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞，保证系统的安全性。因此企业网络系统需要一套帮助管理员监控网络通信数据流、发现网络漏洞并解决问题的工具，以保证整体网络系统平台安全。第15章 信息安全解决方案在企业网络系统网络漏洞扫描系统配置中，我们建议采用启明星辰公司的“天镜”网络漏洞扫描系统。天镜网络漏洞扫描系统包括了网络模拟攻击、漏洞检测、报告服务进程、提取对象信息、评测风险、提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，最大可能地消除安全隐患。该系统具有强大
29、的漏洞检测能力和检测效率、贴切用户需求的功能定义、灵活多样的检测方式、详尽的漏洞修补方案和友好的报表系统以及方便的在线升级等优点。第15章 信息安全解决方案通过在企业网络系统网络进行自动的安全漏洞检测和分析，我们可以做到以下几点:(1)对企业网络系统网络重要服务器和PC进行漏洞扫描，发现由于安全管理配置不当、疏忽或操作系统本身存在的漏洞(这些漏洞会使系统中的资料容易被网络上怀有恶意的人窃取，甚至造成系统本身的崩溃)，生成详细的可视化报告，同时向管理人员提出相应的解决办法及安全建议。(2)对企业网络系统网络边界组件、基础组件和其他系统进行漏洞扫描，检查系统的潜在问题，发现操作系统存在的漏洞和安全
30、隐患。第15章 信息安全解决方案(3)漏洞扫描系统对网络及各种系统进行定期或不定期的扫描监测，并向安全管理员提供系统最新的漏洞报告，使管理员能够随时了解网络系统当前存在的漏洞并及时采取相应的措施进行修补。(4)通过漏洞扫描的结果，对系统进行加固和优化。在核心交换机上接入一台装有漏洞扫描系统软件的PC或笔记本电脑，直接输入目标主机的IP地址，对其系统的漏洞进行扫描。第15章 信息安全解决方案5.防病毒系统防病毒系统一般计算机的病毒有超过20%是通过网络下载文档时感染的，另外有26%是经电子邮件的附加文档感染的，这就需要一套方便、易用的病毒扫描器，使企业的计算机环境免受病毒和其他恶意代码的攻击。建
31、议采用三层防病毒部署体系来实现对企业网络的病毒防护。第15章 信息安全解决方案1)E-mail网关防病毒系统在企业网络系统建成之后，网络成了病毒传播的主要途径。如果在某网络上有一个用户不小心扩散了一个被病毒感染的文档，其结果将可能是毁灭性的。为了阻止这些“可疑的候选文件”，需要对电子邮件进行严格的审查。事实上，嵌入Word文档中的宏病毒通常通过网络发送至未察觉的用户。防病毒软件需要对这一易受攻击的区域进行保护，对所有通过网关出入的电子邮件进行扫描，一旦检测到病毒，能够自动将该文件隔离并向系统管理员发出警告。它同时对内容进行过滤(以阻止病毒欺骗)和创建历史记录(以跟踪每个检测到的病毒起源)。第1
32、5章 信息安全解决方案一般来说，基于邮件系统的病毒发作主要是从客户端开始的，同时这种病毒感染的对象主要是基于Windows平台的主机和服务器，对其他平台没有感染能力，所以，我们主要是对邮件的内容进行病毒查杀。第15章 信息安全解决方案2)服务器病毒系统如果服务器被感染，其感染文件将成为病毒感染的源头，它们会迅速从桌面感染发展到整个网络的病毒爆发。因此，基于服务器的病毒保护是XXX网络系统的重点之一。所以，建议对在各个局域网的交换区与局域网内部网段上的服务器进行特别的保护，将病毒扫描技术和服务器的管理能力结合在一起(用于Novell NetWare、Microsoft NT和UNIX服务器)，对
33、服务器接收和发送的被病毒感染的文件以及已经存在于其他服务器的病毒进行检测。一旦检测到病毒，立刻将该感染文件隔离或删除。第15章 信息安全解决方案3)客户端防病毒系统在XXX网络系统中有大量的个人用户，桌面系统和远程PC是主要的病毒感染源。根据统计，50%以上的病毒是通过软盘进入系统的，因此对桌面系统的病毒应严加防范。为了确保检测和清除经访问入口所进入的普通和新发现的病毒，桌面系统都需要安装防病毒软件。另外，这种防病毒软件要能够将隐藏于电子邮件附件中的病毒在对其他用户造成感染之前清除。第15章 信息安全解决方案当发现病毒已进入时，正是采取病毒响应计划的时候。病毒响应计划的主要目的是利用每种可能的
34、方法来彻底清除所有的病毒。如果有足够的备份，不会丢失太多数据，就应考虑彻底删掉感染系统中的所有数据，再重新配置。下一步就需要分析病毒是如何进来的以及要干些什么，这项工作和删除病毒一样重要，因为在所有被感染的系统中，有90%的系统会在三个月内以同样或相似的方式再次被感染。第15章 信息安全解决方案15.4.3 应用部署方案应用部署方案通过对网络整体进行系统分析，并考虑目前网上运行的业务需求，本方案对原有网络系统进行全面的安全加强，主要实现以下目的:(1)保障现有的关键应用长期、可靠地运行，避免病毒和黑客的攻击。(2)防止内、外部人员的非法访问，特别是要对内部人员的非法访问进行控制。(3)确保网络
35、平台上数据交换的安全性，杜绝内、外部黑客的攻击。第15章 信息安全解决方案(4)方便内部授权人员(如公司领导、出差员工等)从互联网上远程方便、安全地访问内部网络，实现信息的最大可用性。(5)能对网络的异常行为进行监控，并做出回应，建立动态防护体系。为了实现上述目的，我们采用了主动防御体系和被动防御体系相结合的全面网络安全解决方案，如图15-4-2所示。第15章 信息安全解决方案图 15-4-2 某大型企业网络防御布置示意图第15章 信息安全解决方案该防御体系由漏洞扫描与入侵检测联动系统、入侵检测与防火墙的联动系统及防病毒系统组成。用户主动防范攻击行为，尤其是防范从单位内部发起的攻击。对在企业内
36、网发起的攻击和攻破了防火墙的黑客攻击行为，可以依靠入侵检测系统阻断和发现攻击的行为，同时通过与防火墙的互动，自动修改策略设置上的漏洞，阻挡攻击的继续进入。本方案在交换机上连入入侵检测系统，并将其与交换机相连的端口设置为镜像端口，由IDS传感器对防火墙的内口、关键服务器进行监听，并进行分析、报警和响应;在入侵检测的控制台上观察检测结果，并形成报表打印输出。第15章 信息安全解决方案在实现防火墙和入侵检测系统的联动后，防火墙“访问控制策略”会动态地添加阻断的策略。“漏洞扫描系统”是一种网络维护人员使用的安全分析工具，主动发现网络系统中的漏洞，修改防火墙和入侵检测系统中不适当的设置，防患于未然。同时
37、，防火墙主要起到对外防止黑客入侵，对内进行访问控制和授权员工从外网安全接入的作用，在这里主要发挥防火墙和VPN的双重作用。第15章 信息安全解决方案(1)保障局域网不受来自外网的黑客攻击，主要担当防火墙功能。(2)能够根据需要，让外网向Internet的访问提供服务，如Web、E-mail、DNS等服务。(3)对外网用户访问(Internet)提供灵活的访问控制功能，如可以控制任何一个内部员工能否上网，能访问哪些网站，能不能收发E-mail、ftp等，能够在什么时间上网等。简而言之，对外网用户能够基于“六元组”(即源地址、目的地址、源端口号、目的端口号、协议、时间)进行灵活的访问控制。第15章
38、 信息安全解决方案(4)下属单位能够通过防火墙与安全客户端软件之间的安全互联，建立通过Internet相连的“虚拟专用网”，解决在网上传输的内部信息安全问题，方便管理，并极大地降低了成本。第15章 信息安全解决方案企业根据自身的需要，网络防病毒系统应选用赛门铁克、趋势科技、瑞星等知名品牌系统。整个系统的实施过程应保持流畅和平稳，做到尽量不影响既有网络系统的正常工作;安装在原有应用系统上的防毒产品必须保证其稳定性，不影响其他应用的功能;在安装过程中应尽量减少关闭和重启整个系统;防病毒系统的管理层次与结构应尽量符合机关自身的管理结构;防病毒系统的升级和部署功能应做到完全自动化，整个系统应具有每日更
39、新的能力;应做到能够对整个系统进行集中的管理和监控，并能集中生成日志报告与统计信息。第15章 信息安全解决方案15.5.1 电子政务平台电子政务平台政务平台是一个高质量、高效率、智能化的办公系统，该平台以数据库为基础，利用了文件传输、电子邮件、短消息等现代数字通信与Internet技术。随着网络的发展与普及，政府行业单位也由局域网扩充到广域网。互联网的开放性会使政府网络受到来自外部互联网的安全威胁、内部网络与外部网络互联的安全威胁和内部网络的安全威胁。15.5 电子政务安全平台实施方案电子政务安全平台实施方案第15章 信息安全解决方案国家保密局于2000 年1月 1日起颁布实施的计算机信息系统
40、国际互联网保密管理规定，对国家机要部门使用互联网规定如下:涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离。2001年12月，国家公安部发布的端设备隔离部件安全技术要求中对物理隔离做了明确的定义:公共网络和专网在网络物理连线上是完全隔离的，且没有任何公用的存储信息。第15章 信息安全解决方案2002年7月，国家信息化领导小组颁布的国家信息化领导小组关于我国电子政务建设指导意见中规定:电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。此外，国家保密局在保密知识培训中也多次指出，网络之间只有在线路、设备和存储3
41、个方面均实现了独立，才满足物理隔离的要求。第15章 信息安全解决方案15.5.2 物理隔离物理隔离物理隔离产品是用来解决网络安全问题的。尤其是在那些需要绝对保证安全的保密网、专网和特种网络与互联网进行连接时，为了防止来自互联网的攻击和保证这些高安全性网络的保密性、安全性、完整性、防抵赖和高可用性，几乎全部要求采用物理隔离技术。第15章 信息安全解决方案学术界一般认为，最早提出物理隔离技术的应该是以色列和美国的军方，但是到目前为止，并没有完整的关于物理隔离技术的定义和标准。从不同时期的用词也可以看出，物理隔离技术一直在演变和发展。较早的用词为Physical Disconnection，直译为物
42、理断开。这种情况是完全可以理解的，保密网与互联网连接后，出现很多问题，在没有解决安全问题或没有解决问题的技术手段之前，先断开再说。后来有Physical Separation，直译为物理分开。后期发现完全断开也不是办法，互联网总还是要用的，采取的策略多为该连的连，不该连的不连，这样的该连的部分与不该连的部分要分开。第15章 信息安全解决方案事实上，没有与互联网相连的系统不多，互联网的用途还是很大，因此，希望能将一部分高安全性的网络隔离封闭起来。后来多使用Physical Gap，直译为物理隔离，意为通过制造物理的豁口，来达到隔离的目的。现在，一般用Gap Technology来表示物理隔离，它
43、已成为互联网上的一个专用名词。第15章 信息安全解决方案物理隔离技术不是要替代防火墙、入侵检测、漏洞扫描和防病毒系统，相反，它是用户“深度防御”的安全策略的另一块基石。物理隔离技术是绝对要解决互联网的安全问题，而不是什么其他的问题。物理隔离的指导思想与防火墙有很大的不同:防火墙的思路是在保障互联互通的前提下，尽可能安全，而物理隔离的思路是在保证必须安全的前提下，尽可能互联互通。第15章 信息安全解决方案目前物理隔离的技术路线有3种:网络开关(Network Switcher)、实时交换(Real-timeSwitch)和单向连接(One Way Link)。网络开关是在一个系统里安装两套虚拟系
44、统和一个数据系统，数据被写入到一个虚拟系统，然后交换到数据系统，再交换到另一个虚拟系统。实时交换相当于在两个系统之间共用一个交换设备，交换设备连接到网络A，得到数据，然后交换到网络B。第15章 信息安全解决方案单向连接早期指数据向一个方向移动，一般指从高安全性的网络向低安全性的网络移动。物理隔离的一个特征就是内网与外网永不连接，内网和外网在同一时间最多只有一个同隔离设备建立非TCP/IP协议的数据连接。其数据传输机制是存储和转发。物理隔离的好处是明显的，即使外网在最坏的情况下，内网也不会有任何破坏。修复外网系统也非常容易。第15章 信息安全解决方案15.5.3 电子政务平台安全解决方案电子政务
45、平台安全解决方案政务平台的安全解决方案见图15-5-1。它主要包括防火墙系统、入侵检测系统、漏洞扫描系统、网络防病毒系统、安全管理系统、物理隔离等设备。首先，将整个网络系统分为两部分:(1)内外系统:与政府专网相连，主要功能是内部办公，并且含有一些涉密文件。(2)外网系统:与互联网连接，主要功能是对外发布信息，由政府网站服务器组成。第15章 信息安全解决方案图 15-5-1 政府机构网络系统方案图第15章 信息安全解决方案安装防火墙将外网系统与互联网隔离，安装物理隔离系统将内网与外网系统隔离。本方案中的防火墙系统、入侵检测系统、漏洞扫描系统、网络防病毒系统、安全管理系统具体的作用可以参考15.
46、4节的相关内容。第15章 信息安全解决方案物理隔离可以采用一些安全公司的知名产品。一般来说，隔离模块采用专用的双通道隔离交换卡实现，通过内嵌的安全芯片完成内、外网主机模块间安全的数据交换。内、外网主机模块间不存在任何网络连接，因此不存在基于网络协议的数据转发。隔离交换模块是内、外网主机模块间数据交换的唯一通道，本身没有操作系统和应用编程接口，所有的控制逻辑和传输逻辑固化在安全芯片中，自主实现内、外网数据的交换和验证。在极端情况下，即使黑客攻破了外网主机模块，但由于无从了解隔离交换模块的工作机制，因此无法进行渗透，内网系统的安全仍然可以保障。第15章 信息安全解决方案由内、外网主机模块分别负责接
47、收来自所连接网络的访问请求，两模块间没有直接的物理连接，形成一个物理隔断，从而保证了可信网和非可信网之间没有数据包的交换，没有网络连接的建立。在此前提下，通过专有硬件实现网络间信息的实时交换。这种交换并不是数据包的转发，而是应用层数据的静态读写操作，因此可信网的用户可以通过安全隔离与信息交换系统放心地访问非可信网的资源，而不必担心可信网的安全会受到影响。第15章 信息安全解决方案物理隔离具有比防火墙更高的安全性能，可在涉密网络之间、涉密网络不同安全域之间、涉密网络与内部网之间、内部网与互联网之间信任地进行信息交换。当前，物理隔离产品较多，很多都集成了访问控制、负载均衡、协议分析等功能。国内主流
48、的物理隔离设备有联想网御SIS-3000系列安全隔离网闸、天行安全隔离网闸、伟思安全隔离与信息交换系统、中网物理隔离网闸等。第15章 信息安全解决方案(1)安全体系结构理论与技术主要包括:安全体系模型的建立及其形式化描述与分析，安全策略和机制的研究，检验和评估系统安全性的科学方法和准则的建立，符合这些模型、策略和准则的系统的研制(比如安全操作系统、安全数据库系统等)。小小 结结第15章 信息安全解决方案(2)网络安全研究内容包括网络安全整体解决方案的设计与分析以及网络安全产品的研发等。目前，在市场上比较流行的安全产品有防火墙、安全路由器、虚拟专用网(VPN)、安全服务器、PKI、用户认证产品、
49、安全管理中心、入侵检测系统(IDS)、安全数据库、安全操作系统等。第15章 信息安全解决方案(3)网络安全需求包括物理安全需求、访问控制需求、加密需求与CA系统构建、入侵检测系统需求、安全风险评估系统需求、防病毒系统需求、漏洞扫描需求、电磁泄漏防护需求。网络威胁一般包含边界网络设备安全威胁、信息基础安全平台威胁、内部网络的失误操作行为、源自内部网络的恶意攻击与破坏和网络病毒威胁等。第15章 信息安全解决方案(4)根据网络系统的实际安全需求，结合网络安全体系模型，一般采用防火墙、入侵检测、漏洞扫描、防病毒、VPN、物理隔离等网络安全防护措施。第15章 信息安全解决方案一、填空题一、填空题1.20
50、世纪80年代中期，美国国防部为适应军事计算机的保密需要，在20世纪70年代的基础理论研究成果计算机保密模型(BellLapadula模型)的基础上，制订了。2.我国1999年10月发布了，为安全产品的研制提供了技术支持，也为安全系统的建设和管理提供了技术指导。习习 题题第15章 信息安全解决方案3.网络安全包括和逻辑安全。指网络系统中各通信、计算机设备及相关设施的物理保护，免于破坏、丢失等。逻辑安全包含、和。4.不可能完全防止有些新的攻击或那些不经过防火墙的其他攻击，所以确保网络更加安全必须配备，对透过防火墙的攻击进行检测并做相应反应(记录、报警、阻断)。第15章 信息安全解决方案5.计算机系