信息安全風(fēng)險(xiǎn)解決方案

導(dǎo)語(yǔ)：信息安全風(fēng)險(xiǎn)解決方案一文來(lái)源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

1信息安全架構(gòu)概述

我國(guó)的信息安全架構(gòu)是我國(guó)信息安全領(lǐng)域有關(guān)部門(mén)和專家學(xué)者經(jīng)過(guò)多年研究，基于我國(guó)國(guó)情并充分借鑒國(guó)外先進(jìn)經(jīng)驗(yàn)，提出的分等級(jí)保護(hù)策略，用于解決我國(guó)信息安全問(wèn)題。由公安部和全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員提出，公安部、國(guó)家保密局、國(guó)家密碼管理委員會(huì)辦公室、國(guó)務(wù)院信息化工作辦公室等部門(mén)聯(lián)合制定，下發(fā)了關(guān)于信息安全等級(jí)保護(hù)的相關(guān)標(biāo)準(zhǔn)、意見(jiàn)等，涉及基礎(chǔ)標(biāo)準(zhǔn)類、應(yīng)用類（系統(tǒng)定級(jí)、保護(hù)實(shí)施、安全建設(shè)、等級(jí)測(cè)評(píng)等）、產(chǎn)品類（操作系統(tǒng)、路由器、防火墻、服務(wù)器、PKI〔公鑰基礎(chǔ)設(shè)施〕等）、其他標(biāo)準(zhǔn)類（風(fēng)險(xiǎn)評(píng)估、事件管理等）等標(biāo)準(zhǔn)規(guī)范，為信息系統(tǒng)的安全建設(shè)、提高網(wǎng)絡(luò)與信息安全保障水平提供了技術(shù)和管理依據(jù)，同時(shí)隨著網(wǎng)絡(luò)安全問(wèn)題的日益突出及信息技術(shù)發(fā)展，也在逐步更新標(biāo)準(zhǔn)規(guī)范中的相關(guān)內(nèi)容，進(jìn)一步完善信息安全認(rèn)證認(rèn)可體系，加強(qiáng)信息安全系統(tǒng)建設(shè)工作，為保障國(guó)家信息安全做出了重大貢獻(xiàn)。參考《信息系統(tǒng)安全等級(jí)保護(hù)體系框架》（GA/T708-2007），信息系統(tǒng)安全的組成如圖1所示。物理安全提供基本的計(jì)算機(jī)和網(wǎng)絡(luò)硬件設(shè)備、設(shè)施、介質(zhì)及其環(huán)境等方面的安全支持；網(wǎng)絡(luò)安全提供安全的網(wǎng)絡(luò)軟件、安全的網(wǎng)絡(luò)協(xié)議，確保數(shù)據(jù)傳輸?shù)谋Ｃ苄浴⑼暾浴⒖捎眯缘龋幌到y(tǒng)安全提供安全的操作系統(tǒng)和安全的數(shù)據(jù)庫(kù)管理系統(tǒng)，以實(shí)現(xiàn)系統(tǒng)所存儲(chǔ)、傳輸和處理數(shù)據(jù)的安全保護(hù)；應(yīng)用安全提供部署在計(jì)算機(jī)硬件環(huán)境基礎(chǔ)上的應(yīng)用軟件安全、支撐軟件安全、工具軟件安全等保障信息系統(tǒng)安全的運(yùn)行環(huán)境；安全管理是指對(duì)組成信息系統(tǒng)安全的物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全和應(yīng)用安全的管理，通過(guò)技術(shù)手段、管理制度等方式保障信息系統(tǒng)的正常運(yùn)行。信息安全架構(gòu)要求信息系統(tǒng)建設(shè)和使用單位，根據(jù)其單位的重要程度、信息系統(tǒng)承載業(yè)務(wù)的重要程度、信息內(nèi)容的重要程度、系統(tǒng)遭到攻擊破壞后造成的危害程度等安全需求及安全成本因素，根據(jù)國(guó)家規(guī)定的等級(jí)劃分標(biāo)準(zhǔn)，設(shè)定其保護(hù)等級(jí)，自主進(jìn)行信息系統(tǒng)安全建設(shè)和安全管理，提高安全保護(hù)的科學(xué)性、整體性、實(shí)用性。

2信息安全架構(gòu)分析

2.1風(fēng)險(xiǎn)分析

1）網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析

信息傳輸依賴于網(wǎng)絡(luò)，信息的安全很大程度上依賴于網(wǎng)絡(luò)的安全。數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中可能會(huì)被竊取、非法篡改，真實(shí)性和完整性遭到破壞，從而造成信息泄漏。影響網(wǎng)絡(luò)安全運(yùn)行的風(fēng)險(xiǎn)主要包括：a）網(wǎng)絡(luò)結(jié)構(gòu)存在單點(diǎn)故障，設(shè)備性能不足以支撐業(yè)務(wù)系統(tǒng)需求等原因造成網(wǎng)絡(luò)堵塞，業(yè)務(wù)丟包率較高。b）由于網(wǎng)絡(luò)互連引起越權(quán)訪問(wèn)、惡意攻擊、病毒入侵等原因，使得網(wǎng)絡(luò)邊界存在安全隱患。c）缺乏必要的身份鑒別、安全防范、安全審計(jì)等技術(shù)手段，容易造成設(shè)備的無(wú)權(quán)限訪問(wèn)和惡意更改設(shè)備參數(shù)。d）缺乏必要的網(wǎng)絡(luò)安全檢測(cè)、主動(dòng)防御設(shè)備，使得惡意攻擊、非法訪問(wèn)、網(wǎng)絡(luò)病毒、DOS（拒絕服務(wù)）/DDOS攻擊、網(wǎng)頁(yè)篡改等時(shí)常發(fā)生，無(wú)法有效阻止網(wǎng)絡(luò)攻擊而造成網(wǎng)絡(luò)癱瘓。

2）主機(jī)安全風(fēng)險(xiǎn)分析

主機(jī)安全主要指終端設(shè)備、服務(wù)器的系統(tǒng)安全。目前的操作系統(tǒng)無(wú)論是Windows還是Linux都可能存在安全漏洞，影響主機(jī)運(yùn)行安全的風(fēng)險(xiǎn)主要有：a）缺乏必要的身份鑒別、安全審計(jì)等手段，容易造成設(shè)備的無(wú)權(quán)限訪問(wèn)和惡意更改設(shè)備參數(shù)。b）系統(tǒng)中殘存有未及時(shí)刪除的過(guò)期賬號(hào)、測(cè)試賬號(hào)、共享賬號(hào)、默認(rèn)用戶等可非法入侵的賬戶信息。c）操作系統(tǒng)存在安全漏洞、安全設(shè)置不當(dāng)、用戶權(quán)限設(shè)置不當(dāng)?shù)惹闆r，使得文件信息、數(shù)據(jù)庫(kù)信息、敏感信息等被用戶非法獲取。d）病毒入侵導(dǎo)致信息泄漏、文件丟失、機(jī)器死機(jī)等不安全因素。

3）應(yīng)用安全風(fēng)險(xiǎn)分析

應(yīng)用的安全性是動(dòng)態(tài)的、不斷變化的，應(yīng)用安全需要從軟件開(kāi)發(fā)階段進(jìn)行安全防護(hù)，保護(hù)應(yīng)用軟件的健壯性。影響應(yīng)用系統(tǒng)運(yùn)行安全的風(fēng)險(xiǎn)主要有：a）用戶賬號(hào)被非法使用，冒用他人身份非法訪問(wèn)信息系統(tǒng)，導(dǎo)致數(shù)據(jù)被非法竊取、非授權(quán)訪問(wèn)、惡意篡改等非法操作。b）缺乏必要的操作行為記錄及審計(jì)手段，無(wú)法為查獲違法操作者提供必要的數(shù)據(jù)證據(jù)，使操作者逃避責(zé)任處罰。c）應(yīng)用軟件存在漏洞或在開(kāi)發(fā)過(guò)程中存在后門(mén)，為黑客留下入侵的可操作性；同時(shí)軟件進(jìn)程資源可能未設(shè)置最大、最小限額以及多重并發(fā)訪問(wèn)限制，軟件資源被迅速占用，導(dǎo)致系統(tǒng)資源被耗盡而無(wú)法訪問(wèn)。

4）數(shù)據(jù)安全及備份恢復(fù)

數(shù)據(jù)是信息系統(tǒng)的核心，當(dāng)關(guān)鍵數(shù)據(jù)被非法竊取或未做備份而無(wú)法及時(shí)恢復(fù)時(shí)，將對(duì)信息系統(tǒng)造成極大的經(jīng)濟(jì)損失和惡劣影響。影響數(shù)據(jù)安全及備份恢復(fù)的風(fēng)險(xiǎn)主要有：a）在數(shù)據(jù)傳輸過(guò)程中無(wú)法檢測(cè)用戶數(shù)據(jù)和重要業(yè)務(wù)數(shù)據(jù)等在傳輸過(guò)程中是否受到破壞或者被非法竊取。b）因數(shù)據(jù)泄露時(shí)未加密，而被非法解密后使用。c）因關(guān)鍵數(shù)據(jù)未及時(shí)備份，在主節(jié)點(diǎn)遭到破壞后無(wú)法及時(shí)進(jìn)行數(shù)據(jù)恢復(fù)。

5）管理安全風(fēng)險(xiǎn)分析

責(zé)權(quán)不明、管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)，不僅要防范外部的非法入侵，同時(shí)也要做好內(nèi)部人員管理，防止內(nèi)部人員無(wú)意泄漏內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)結(jié)構(gòu)、用戶名/密碼等。影響管理安全的風(fēng)險(xiǎn)主要有：a）沒(méi)有相應(yīng)的安全管理組織，缺少安全管理人員編制，安全管理組織不健全會(huì)造成上下級(jí)管理混亂，遇到突發(fā)情況時(shí)無(wú)法及時(shí)有效地進(jìn)行應(yīng)急響應(yīng)。b）缺少必要的安全運(yùn)維管理系統(tǒng)，不能實(shí)時(shí)監(jiān)控機(jī)房工作、網(wǎng)絡(luò)連接、系統(tǒng)運(yùn)行狀態(tài)，不能及時(shí)發(fā)現(xiàn)已經(jīng)發(fā)生的網(wǎng)絡(luò)安全事件。c）人員安全意識(shí)淡薄，在日常工作中無(wú)意泄露系統(tǒng)口令、隨意放置操作員卡、私接外網(wǎng)、非法拷貝系統(tǒng)信息、私自安裝/卸載程序、違規(guī)操作、擅離崗位等均會(huì)造成安全隱患。d）人員分工和職責(zé)不明，缺乏必要的監(jiān)督、約束、獎(jiǎng)罰制度等造成的潛在管理風(fēng)險(xiǎn)。e）缺乏必要的人員安全培訓(xùn)，缺少對(duì)系統(tǒng)故障、信息泄露等突發(fā)事件的及時(shí)應(yīng)對(duì)措施，錯(cuò)過(guò)事件的最佳處置時(shí)間。

2.2需求分析

2.2.1網(wǎng)絡(luò)安全需求

網(wǎng)絡(luò)安全策略包括防火墻安全策略、入侵防御系統(tǒng)安全策略、入侵檢測(cè)系統(tǒng)安全策略、交換機(jī)安全策略、數(shù)據(jù)交換安全策略等；網(wǎng)絡(luò)安全不僅需要進(jìn)行整體防護(hù)、綜合分析，而且各分區(qū)安全也需考慮各區(qū)的業(yè)務(wù)特點(diǎn)進(jìn)行針對(duì)性防護(hù)。a）結(jié)構(gòu)安全要求：采用冗余架構(gòu)模式，考慮設(shè)備性能、業(yè)務(wù)需求、性能需求，并預(yù)留一定的冗余量，從整體上保障網(wǎng)絡(luò)架構(gòu)的彈性。b）訪問(wèn)控制策略：交換機(jī)應(yīng)進(jìn)行端口MAC（媒體控制接入）地址綁定和VLAN（虛擬局域網(wǎng)）設(shè)置，開(kāi)啟防火墻上的ACL（訪問(wèn)控制列表）、QoS保障策略等，實(shí)現(xiàn)設(shè)備認(rèn)證、用戶身份鑒別、非法接入識(shí)別等功能，同時(shí)根據(jù)IP地址、端口、協(xié)議等控制數(shù)據(jù)流大小、網(wǎng)絡(luò)連接數(shù)量。c）安全審計(jì)：需啟用相關(guān)設(shè)備的系統(tǒng)日志功能，通過(guò)應(yīng)用層檢測(cè)分析設(shè)備對(duì)進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行七層包捕捉和綜合分析；通過(guò)采集安全設(shè)備、網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)的日志及網(wǎng)絡(luò)安全事件，實(shí)現(xiàn)對(duì)用戶網(wǎng)絡(luò)行為、網(wǎng)絡(luò)傳輸內(nèi)容的監(jiān)控，并進(jìn)行統(tǒng)計(jì)分析和安全審計(jì)。d）邊界完整性檢查：需對(duì)終端設(shè)備進(jìn)行802.1x接入認(rèn)證管理，防止設(shè)備的非法接入；同時(shí)需開(kāi)啟各區(qū)域邊界安全設(shè)備的訪問(wèn)策略，實(shí)現(xiàn)各區(qū)之間的邊界安全。e）入侵防范：需對(duì)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行過(guò)濾、分析，針對(duì)網(wǎng)絡(luò)異常行為進(jìn)行報(bào)警，并將攻擊行為阻擋在安全區(qū)域之外。f）惡意代碼防護(hù)：需實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)漏洞的主動(dòng)掃描，及時(shí)發(fā)現(xiàn)安全漏洞并進(jìn)行修補(bǔ)。g）網(wǎng)絡(luò)設(shè)備防護(hù)：需對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份認(rèn)證、權(quán)限認(rèn)證、行為審計(jì)等，需實(shí)現(xiàn)用戶登錄地址限定、會(huì)話數(shù)限制、登錄失敗處理等功能，避免惡意攻擊或遠(yuǎn)端系統(tǒng)的意外崩潰導(dǎo)致系統(tǒng)資源被獨(dú)占；需根據(jù)信息重要性劃分系統(tǒng)安全域，并按照最小授權(quán)原則對(duì)用戶權(quán)限進(jìn)行劃分，避免合法用戶的非法訪問(wèn)。

2.2.2主機(jī)安全需求

a）身份鑒別：需實(shí)現(xiàn)對(duì)主機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)的集中管理，定期更換各設(shè)備登錄口令且滿足復(fù)雜度要求，避免非法用戶的登錄，同時(shí)啟用登錄失敗功能，對(duì)無(wú)效口令的用戶名進(jìn)行鎖定；針對(duì)Linux、Windows等操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)開(kāi)啟密碼監(jiān)控策略、賬戶鎖定閾值、賬戶鎖定時(shí)間、賬戶鎖定策略等功能。b）訪問(wèn)控制：需實(shí)現(xiàn)對(duì)敏感信息的標(biāo)記，嚴(yán)格限制系統(tǒng)賬戶和權(quán)限，刪除過(guò)期的、多余的賬戶，禁用或鎖定系統(tǒng)默認(rèn)賬戶，對(duì)不同管理員設(shè)置最小的合理權(quán)限，盡量避免合法用戶的非法訪問(wèn)和非法用戶的訪問(wèn)。c）安全審計(jì)：借助相關(guān)審計(jì)系統(tǒng)及時(shí)發(fā)現(xiàn)違規(guī)操作和非法訪問(wèn)情況，提高安全防護(hù)能力。d）剩余信息保護(hù)：操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶使用前需得到有效刪除，及時(shí)清除服務(wù)器內(nèi)的殘余信息，保障數(shù)據(jù)不被非法使用。e）入侵防范：操作系統(tǒng)的安裝應(yīng)遵循最小安裝原則，僅安裝必要的組件和應(yīng)用程序，關(guān)閉多余服務(wù)等；僅開(kāi)放業(yè)務(wù)需要的服務(wù)端口，刪除默認(rèn)的共享路徑，并對(duì)不需要的組件進(jìn)行手動(dòng)卸載；需定期進(jìn)行主機(jī)掃描、數(shù)據(jù)庫(kù)掃描等，及時(shí)發(fā)現(xiàn)外部、內(nèi)部滲透的攻擊行為并告警。f）惡意代碼防范：在所有終端和服務(wù)器上需部署防病毒軟件，控制終端接入設(shè)備類型及接入準(zhǔn)則，及時(shí)升級(jí)惡意代碼軟件版本以及惡意代碼庫(kù)，提高主機(jī)防范能力。g）資源控制：需實(shí)時(shí)監(jiān)控設(shè)備CPU、內(nèi)存、磁盤(pán)空間等重要資源狀況，及時(shí)發(fā)現(xiàn)設(shè)備故障和異常行為，同時(shí)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度。

2.2.3應(yīng)用安全需求

a）身份鑒別：需對(duì)用戶進(jìn)行口令、數(shù)字證書(shū)的雙因素身份認(rèn)證，保證用戶身份的真實(shí)性，通過(guò)設(shè)定嘗試登錄次數(shù)和登錄時(shí)間閾值來(lái)限制用戶登錄，并采用結(jié)束會(huì)話、鎖定賬戶等安全措施。b）訪問(wèn)控制：對(duì)不同帳戶分配業(yè)務(wù)所需的最小權(quán)限，嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限，同時(shí)需將系統(tǒng)管理和審計(jì)等特權(quán)權(quán)限分配給不同的用戶；嚴(yán)格控制對(duì)應(yīng)用系統(tǒng)的文件、數(shù)據(jù)庫(kù)等資源的訪問(wèn)，避免越權(quán)非法使用。c）安全審計(jì)：需實(shí)現(xiàn)對(duì)重要安全事件的日期、時(shí)間、發(fā)起者信息、類型、描述、結(jié)果、操作等進(jìn)行保護(hù)，需保證應(yīng)用系統(tǒng)無(wú)法單獨(dú)中斷審計(jì)進(jìn)程，并阻止非法刪除、修改或覆蓋審計(jì)記錄。d）剩余信息保護(hù)：需保障用戶鑒別信息、密鑰、文件、目錄、數(shù)據(jù)庫(kù)記錄等敏感信息所在的存儲(chǔ)空間被釋放或再分配給其他用戶使用前得到完全清除。e）通信完整性：需防止數(shù)據(jù)在傳輸過(guò)程中被非法竊取或篡改。f）通信保密：數(shù)據(jù)在傳輸前需進(jìn)行加密，防止非法用戶的讀取。g）抗抵賴：需為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)或接收證據(jù)，防止用戶為其非法操作而逃避責(zé)任處罰。h）軟件容錯(cuò)：應(yīng)用軟件應(yīng)具備數(shù)據(jù)有效性檢驗(yàn)功能，保證通過(guò)人機(jī)接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要求，并可提示用戶內(nèi)容輸入格式。i）資源控制：需實(shí)現(xiàn)會(huì)話自動(dòng)結(jié)束并釋放資源、會(huì)話限制、登錄條件限制、超時(shí)鎖定、用戶可用資源閾值限制、用戶服務(wù)優(yōu)先級(jí)設(shè)置等功能，防止造成資源耗盡、服務(wù)中斷等后果。

2.2.4數(shù)據(jù)安全及備份恢復(fù)需求

a）數(shù)據(jù)完整性：應(yīng)用系統(tǒng)應(yīng)支持調(diào)用相關(guān)接口對(duì)重要數(shù)據(jù)在存儲(chǔ)和處理過(guò)程中進(jìn)行保密性和完整性保護(hù)；當(dāng)管理、業(yè)務(wù)等數(shù)據(jù)受到破壞時(shí)，應(yīng)能夠根據(jù)數(shù)據(jù)重傳、存儲(chǔ)冗余機(jī)制等方式保障數(shù)據(jù)的校驗(yàn)恢復(fù)。b）數(shù)據(jù)保密性：綜合運(yùn)用隧道封裝、認(rèn)證、加密、訪問(wèn)控制等多種網(wǎng)絡(luò)安全技術(shù)，防止數(shù)據(jù)在傳輸過(guò)程中被篡改。c）備份和恢復(fù)：重要交換機(jī)、網(wǎng)絡(luò)安全設(shè)備需實(shí)現(xiàn)雙機(jī)熱備；需實(shí)現(xiàn)對(duì)操作系統(tǒng)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)的實(shí)時(shí)備份，當(dāng)遇到故障時(shí)需能夠及時(shí)進(jìn)行數(shù)據(jù)恢復(fù)，保障系統(tǒng)的正常運(yùn)行。

2.2.5管理安全需求

a）安全管理機(jī)構(gòu)：明確安全管理機(jī)構(gòu)中各個(gè)部門(mén)和崗位的職責(zé)、分工、技能要求，配置專職安全管理員，制定安全審核和安全檢查制度，規(guī)范安全審核和安全檢查工作。b）人員安全管理：制定相關(guān)制度，定期對(duì)各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核，并對(duì)考核結(jié)果進(jìn)行記錄和保存。c）系統(tǒng)建設(shè)管理：根據(jù)信息系統(tǒng)的等級(jí)劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)架構(gòu)、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案，并形成配套文件。d）系統(tǒng)運(yùn)維管理：制定相關(guān)制度，對(duì)終端計(jì)算機(jī)、便攜計(jì)算機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理。

3信息安全防護(hù)架構(gòu)及解決方案

一個(gè)信息系統(tǒng)通常參照數(shù)據(jù)分區(qū)域保護(hù)原則進(jìn)行區(qū)域劃分，做到各區(qū)域數(shù)據(jù)的安全隔離及針對(duì)不同數(shù)據(jù)分別做到針對(duì)性保護(hù)。分區(qū)域保護(hù)需要做到重點(diǎn)明確，將有效的安全資源投入到最需要保護(hù)的部分，并且由各個(gè)不同區(qū)域組成多層次的立體防護(hù)體系。安全域是由一組具有相同安全保護(hù)需求并且相互信任的系統(tǒng)組成的邏輯區(qū)域，同一安全域中的系統(tǒng)應(yīng)具有相同的安全防護(hù)策略。安全域劃分的目的是把一個(gè)大規(guī)模復(fù)雜系統(tǒng)的安全問(wèn)題，以系統(tǒng)行為和業(yè)務(wù)角度為主，輔以安全角度等因素劃分為更小區(qū)域，以較小的代價(jià)完成安全域劃分并保障其安全性。網(wǎng)絡(luò)安全的防護(hù)系統(tǒng)基本由網(wǎng)絡(luò)安全設(shè)備（防火墻等）、身份鑒別系統(tǒng)（數(shù)字認(rèn)證系統(tǒng)等）、安全防范系統(tǒng)（IDS、防病毒網(wǎng)關(guān)等）、安全審計(jì)系統(tǒng)（網(wǎng)絡(luò)行為審計(jì)系統(tǒng)、數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)等）、安全監(jiān)控系統(tǒng)（終端安全管理與監(jiān)控系統(tǒng)、漏洞掃描系統(tǒng)等）、安全運(yùn)維系統(tǒng)（運(yùn)維堡壘機(jī)、IT/IP系統(tǒng)等）等安全類系統(tǒng)組成。根據(jù)常規(guī)業(yè)務(wù)情況將網(wǎng)絡(luò)劃分為9個(gè)區(qū)域，每個(gè)區(qū)域中部署具有同一安全等級(jí)保護(hù)的信息系統(tǒng)，同時(shí)根據(jù)信息系統(tǒng)特點(diǎn)以及分權(quán)分域原則等制定針對(duì)性防護(hù)策略。各區(qū)域的主要功能情況如下：a）核心交換區(qū)：用于連接網(wǎng)絡(luò)中與內(nèi)部互通區(qū)域和對(duì)外連接區(qū)域的設(shè)備；部署IDS（入侵檢測(cè)系統(tǒng)）、網(wǎng)絡(luò)流量分析儀、網(wǎng)絡(luò)行為審計(jì)系統(tǒng)等安全設(shè)備。b）應(yīng)用服務(wù)區(qū)：部署內(nèi)部網(wǎng)絡(luò)應(yīng)用所需的各種信息系統(tǒng)（應(yīng)用軟件系統(tǒng)）；部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)、WAF（Web應(yīng)用防火墻）、防垃圾郵件網(wǎng)關(guān)等安全設(shè)備。c）安全管理區(qū)：部署保障整個(gè)網(wǎng)絡(luò)架構(gòu)安全的安全設(shè)備和安全系統(tǒng)，其中等級(jí)保護(hù)2級(jí)以上要求具備SOC（安全管理平臺(tái)）系統(tǒng)；部署4A服務(wù)器、漏洞掃描系統(tǒng)、惡意代碼檢測(cè)系統(tǒng)、數(shù)據(jù)加解密系統(tǒng)、主機(jī)審計(jì)系統(tǒng)、終端安全管理及監(jiān)控系統(tǒng)、防病毒系統(tǒng)等安全系統(tǒng)。d）網(wǎng)絡(luò)資源管理區(qū)：實(shí)現(xiàn)運(yùn)維人員的安全接入，通過(guò)身份鑒別、權(quán)限控制、安全審計(jì)后對(duì)網(wǎng)絡(luò)中的設(shè)備進(jìn)行監(jiān)控、維護(hù)、管理等操作；部署IT管理系統(tǒng)、IP管理系統(tǒng)、運(yùn)維堡壘機(jī)等安全設(shè)備和系統(tǒng)。e）集中備份/異地災(zāi)備區(qū)：數(shù)據(jù)安全及數(shù)據(jù)備份區(qū)域，其中等級(jí)保護(hù)2級(jí)要求建設(shè)集中備份區(qū)，等級(jí)保護(hù)3級(jí)要求建設(shè)異地災(zāi)備區(qū)。f）本地終端用戶接入?yún)^(qū)：為搭建網(wǎng)絡(luò)環(huán)境所在機(jī)房或辦公樓中的用戶提供網(wǎng)絡(luò)接入環(huán)境，滿足終端用戶訪問(wèn)信息系統(tǒng)或互聯(lián)網(wǎng)的需求。g）內(nèi)部網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)區(qū)：為同屬該網(wǎng)絡(luò)架構(gòu)內(nèi)的異地小型辦公網(wǎng)或接入點(diǎn)的遠(yuǎn)程接入提供網(wǎng)絡(luò)接入環(huán)境，滿足異地用戶訪問(wèn)內(nèi)部應(yīng)用系統(tǒng)、內(nèi)部資源服務(wù)的需求。h）DMZ（隔離區(qū)）區(qū)：內(nèi)部網(wǎng)絡(luò)對(duì)外網(wǎng)用戶提供服務(wù)的區(qū)域，便于互聯(lián)網(wǎng)用戶直接訪問(wèn)內(nèi)部網(wǎng)絡(luò)對(duì)外提供的一些信息資源；部署WAF防火墻、數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)、網(wǎng)絡(luò)行為審計(jì)系統(tǒng)、防病毒網(wǎng)關(guān)、防垃圾郵件網(wǎng)關(guān)等安全設(shè)備，為了防止DMZ區(qū)的外網(wǎng)用戶對(duì)內(nèi)部網(wǎng)絡(luò)的沖擊，兩個(gè)區(qū)域之間的資源交互通過(guò)2臺(tái)網(wǎng)閘進(jìn)行安全隔離，以最大程度保障內(nèi)部網(wǎng)絡(luò)的安全性。i）互聯(lián)網(wǎng)/VPN（虛擬專用網(wǎng)）接入?yún)^(qū)：為內(nèi)部網(wǎng)絡(luò)員工訪問(wèn)互聯(lián)網(wǎng)及有特殊需求的用戶（VPN、專線等方式接入內(nèi)部網(wǎng)絡(luò)）提供網(wǎng)絡(luò)接入環(huán)境；部署防DDOS（分布式拒絕服務(wù)）系統(tǒng)、UTM（統(tǒng)一威脅管理）等安全設(shè)備，主動(dòng)防御進(jìn)入網(wǎng)絡(luò)的病毒、服務(wù)攻擊等。各個(gè)區(qū)域之間的邊界安全通過(guò)邊界防火墻進(jìn)行安全防護(hù)，安全管理區(qū)中的安全設(shè)備為進(jìn)入網(wǎng)絡(luò)的用戶和數(shù)據(jù)提供身份鑒別、安全認(rèn)證、安全檢測(cè)、數(shù)據(jù)加解密、安全防范、安全監(jiān)控、安全事件綜合分析等網(wǎng)絡(luò)及系統(tǒng)安全保護(hù)，同時(shí)與網(wǎng)絡(luò)中各分區(qū)的安全設(shè)備進(jìn)行聯(lián)動(dòng)，加強(qiáng)網(wǎng)絡(luò)的整體安全性，最大程度地保護(hù)進(jìn)入網(wǎng)絡(luò)中的用戶身份合法性、數(shù)據(jù)安全性。安全設(shè)備在制定安全策略時(shí)需根據(jù)其設(shè)備特點(diǎn)、功能制定不同的安全防護(hù)策略，以縱深防御方式保障網(wǎng)絡(luò)的整體安全。

4結(jié)束語(yǔ)

信息產(chǎn)業(yè)已成為我國(guó)國(guó)民經(jīng)濟(jì)發(fā)展的支柱產(chǎn)業(yè)之一，信息安全問(wèn)題日益突出，本文在信息安全架構(gòu)的基礎(chǔ)上，提出了一個(gè)多分區(qū)、多安全域、多應(yīng)用系統(tǒng)的安全防護(hù)架構(gòu)和解決方案。信息安全防護(hù)規(guī)劃需緊密結(jié)合網(wǎng)絡(luò)建設(shè)規(guī)模、技術(shù)體制、通信安全協(xié)議、信息分析與監(jiān)控等具體實(shí)際情況適時(shí)調(diào)整策略，信息安全防護(hù)架構(gòu)沒(méi)有固定的應(yīng)用模式，沒(méi)有一成不變的通用解決方案。安全與反安全總是在相互抗?fàn)幹胁粩喟l(fā)展，網(wǎng)絡(luò)的安全機(jī)制與技術(shù)也應(yīng)不斷地發(fā)展變化。

作者:李陽(yáng) 宋睿 聶迎燕 單位:江蘇省郵電規(guī)劃設(shè)計(jì)院有限責(zé)任公司