网络安全建设方案.pdf

《网络安全建设方案.pdf》由会员分享，可在线阅读，更多相关《网络安全建设方案.pdf（24页珍藏版）》请在三一文库上搜索。

1、F o r p e s n a u s e o n y s u d y a n d r e s a c h n o fr c m mer c a u s e 网络安全建设方案 2016 年 7 月 1. 前言 3 1.1. 方案涉及范围 3 1.2. 方案参考标准 3 1.3. 方案设计原则 4 2. 安全需求分析 5 2.1. 符合等级保护的安全需求 6 2.1.1. 等级保护框架设计 6 2.1.2. 相应等级的安全技术要求 6 2.2. 自身安全防护的安全需求 7 2.2.1. 物理层安全需求 7 2.2.2. 网络层安全需求 7 2.2.3. 系统层安全需求 9 2.2.4. 应用层安

2、全需求 9 3. 网络安全建设内容 10 3.1. 边界隔离措施 11 3.1.1. 下一代防火墙 11 3.1.2. 入侵防御系统 13 3.1.3. 流量控制系统 14 3.1.4. 流量清洗系统 15 3.2. 应用安全措施 16 3.2.1. WEB 应用防火墙 . 16 3.2.2. 上网行为管理系统 16 3.2.3. 内网安全准入控制系统 17 3.3. 安全运维措施 18 3.3.1. 堡垒机 18 3.3.2. 漏洞扫描系统 19 3.3.3. 网站监控预警平台 19 3.3.4. 网络防病毒系统 21 3.3.5. 网络审计系统 22 1. 前言 1.1. 方案涉及范围 方

3、案设计中的防护重点是学校中心机房的服务器区域，这些服务器承载了学 校内部的所有业务系统，因此是需要重点防护的信息资产。 学校目前采取了数据大集中的模式，将所有的业务数据集中在中心机房，数 据大集中模式将导致数据中心的安全风险也很集中，因此必须对中心机房服务器 区域进行重点防护。 方案中还要对综合网管区域、数据存储区域、办公区域进行规划和设计，纳 入到整体的安全防护体系内。 1.2. 方案参考标准 本方案的主要规划的重点内容是网络安全防护体系，规划的防护对象以学校 数据中心为主， 规划的参考标准是等级保护， 该方案的设计要点就是定级和保障 技术的规划， 针对教育部和省教育厅对等级保护的相关要求，

4、本方案将主要参考 以下的标准进行规划： 方案的建设思想方面，将严格按照湘教发【2011】33 号文件关于印发湖 南省教育信息系统安全等级保护工作实施方案的通知，该文件对计算机信息系 统的等级化保护提出了建设要求， 是我省今后一段时期内信息安全保障工作的纲 领性文件，文件中对我省教育行业信息安全保障工作指出了总体思路。 系统定级方面： 参考信息系统安全等级保护定级指南，该指南适用于党 政机关网络于信息系统， 其中涉及国家秘密的网络与信息系统，按照国家有关保 密规定执行， 其他网络与信息系统定级工作参考本指南进行，本指南对定级工作 的原则、职责分工、工作程序、定级要素和方法进行了描述，并对网络与信

5、息系 统提出了最低安全等级要求， 高等职业学校应不低于最低安全等级要求。在本项 目中我们建议学校数据中心可按照二级的建设目标进行规划。 本方案参考的指南和标准具体见下表： 安全要素遵循标准 指导思想 中办200327 号文件（ 国家信息化领导小组关于加强信 息安全保障工作的意见 ） 等级保护 信息系统安全等级保护定级指南 电子政务信息安全保障技术框架 技术方面 GB 18336信息技术安全技术信息技术安全性评估准则 信息安全技术信息系统安全等级保护基本要求 （试用稿） 1.3. 方案设计原则 学校数据中心安全体系的建设应遵循国家相关信息安全保障体系建设的总 体原则，按照统一规划、统一标准、适度

6、超前；分级、分阶段实施；互联互通、 资源共享、安全保密；以需求为导向、以应用促发展的原则进行建设，本方案将 严格遵从以下的建设原则： 重点保护原则 本次项目建设，属于学校信息安全保障体系的基础防护平台建设阶段，以基 础性保障为准，同时对中心机房进行重点防护，根据信息系统安全等级保护定 级指南，本方案针对重要的核心部位严格按照二级要求进行规划，确保重要的 信息资产能够得到重点的防护，具备相当的抗攻击能力； 分布实施原则 数据中心建设的效果将直接影响学校的信息化建设，特别是安全保障体系的 建设，因此在规划阶段必须通盘考虑，实施的时候可按照阶段进行分布实施，确 保学校信息化建设， 以及安全保障体系的

7、建设能够有序开展，并且前期的工作能 够为后期的建设打好基础，避免重复建设； 管理与技术并进的原则 学校数据中心是一个高技术的系统工程，要实现各业务系统的功能和性能， 又要采取先进的安全技术， 还要对已建立的系统实施有效的安全管理，在进行安 全技术基础设施建设时应注意建立配套的运行管理机制和安全规章制度。 经济实用性原则 对学校数据中心安全体系设计时，既要考虑安全风险和需求，又要考虑系统 建设的成本，在保证整体安全的前提下，尽可能的减少投资规模，压缩开支。优 化系统设计，合理进行系统配置，所采用的产品，要便于操作、实用高效。 标准化原则 技术的标准化是信息系统建设的基本要求，也是电子化和信息化的

8、前提。学 校数据中心构成复杂、 应用多种多样，为了保证信息的安全互通互连，确保安全 保障体系建设的典型意义和全面推广应用价值，必须严格遵循国家和有关部门关 于信息系统安全管理的规定及建设规范，按照统一的标准进行设计。 适度安全原则 任何信息系统都不能做到绝对的安全，学校数据中心也不例外。因此，在安 全体系设计时，要在安全需求、 安全风险和安全成本之间进行平衡和折中，过多 的安全要求必将造成安全成本的迅速增加和运行的复杂性。 统一规划原则 信息安全保障体系的建设必须适应其信息化的要求，必须兼顾核心业务和非 核心业务的信息化需求， 从安全技术保障、 安全组织保障和安全运营保障等角度 出发，为学校规

9、划全面的信息安全保障体系。 2. 安全需求分析 从安全建设的角度， 本方案认为学校的安全建设来自两个方面，一是从符合 国家政策的角度，需要按照公安部的相关标准，按照分级、分域的建设思路，进 行总体的安全规划和设计； 另外也需要从自身安全防护的角度，分析对抗外部恶 意攻击、防范内部误操作行为、 规避物理安全风险、 强化安全管理等方面的建设 需求。具体内容如下： 2.1. 符合等级保护的安全需求 2.1.1. 等级保护框架设计 本方案中，针对学校数据中心，按照功能类型的方式进行区域的划分，根据 信息资产重要性的差别，划分为服务器区域、办公区域、运维区域、数据存储区 域等；各区域内设备类型的差别，以

10、及对业务应用影响的区别，导致各个区域应 该采用不同的安全防护要求。 其中，服务器区域内主要是各类应用服务器，包括数据库服务器、各类业务 系统等，该区域是数据中心最重要的信息资产，必须重点进行防护。 运维区域内主要是目前已经采用的网络管理软件，包括运行网管软件的服务 器和数据库系统， 在本期项目建设中， 还可以将一些软件的安全防护系统部署在 该区域内，比如堡垒机、漏洞扫描系统等，其重要性仅次于服务器区域。 数据存储区域则是方案建议规划出的一个区域，作为综合网管区域的本地数 据灾备中心， 该区域主要部署了磁盘柜等存储设备，由于在物理上该区域与服务 器区域紧密相连，因此其重要性也是比较高的； 办公区

11、域：包括学校的办公人员的桌面用机，该区域的设备遭到破坏后，对 业务系统不会造成大面积的影响，因此重要性最低，但是该区域要做好防病毒、 补丁管理、行为管理等方面， 要防止该区域的设备被攻击者利用，作为进一步攻 击其他区域的“跳板” ； 2.1.2. 相应等级的安全技术要求 综合参考信息系统安全等级保护定级指南，我们可将学校网络和信息系 统划分为网络基础设施、业务处理平台和应用系统三个层次，其中，业务处理平 台包括了本地计算区域和区域边界。对服务器区域的安全防护机制按照二级的要 求进行建设， 对应用系统的安全防护机制按照二级的要求进行建设，其他区域可 参考此标准，根据自身重要性的区别，适当调整技术

12、要求。 2.2. 自身安全防护的安全需求 从自身安全防护的角度， 我们认为学校数据中心除了满足相关标准以外，还 需要考虑物理、终端、边界、网络、系统和管理方面的安全风险，并由此产生了 以下的安全需求。 2.2.1. 物理层安全需求 保证网络信息系统各种设备的物理安全是保证整个网络信息系统安全的基 础。物理安全是保护计算机网络设备、设施以及其他介质免遭地震、水灾、火灾 等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它 主要包括三个方面： 环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国 家标准 GB5017393电子计算机机房设计规范 、国标 GB2887

13、89计算站 场地技术条件、GB936188计算站场地安全要求； 设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截 获、抗电磁干扰及电源保护等； 介质安全：包括信息系统数据所依赖的存储介质和传输介质的安全，确保不 会因为物理介质的故障导致信息数据受损； 2.2.2. 网络层安全需求 网络是信息系统赖以存在的实体，离开了网络平台，信息的传递、业务的开 展将无从依托， 因此如何保障网络的安全， 是构建学校数据中心系统安全架构的 基础性工作，对于数据中心来讲，网络安全主要解决运行环境的安全问题，对应 网络层安全威胁，网络安全主要的技术手段包括访问控制技术、加密传输技术、 检测与响应技

14、术等， 对照学校数据中心的实际情况，我们看到其存在以下的安全 需求： 访问控制需求 防范非法用户的非法访问 非法用户的非法访问也就是黑客或间谍的攻击行为。在没有任何防范措施的 情况下，网络的安全主要是靠主机系统自身的安全，如用户名及口令字这些简单 的控制。但对于用户名及口令的保护方式，对有攻击目的的人而言， 根本就不是 一种障碍。 他们可以通过对网络上信息的监听，得到用户名及口令或者通过猜测 用户及口令，这都将不是难事，而且可以说只要花费很少的时间。因此，要采取 一定的访问控制手段， 防范来自非法用户的攻击， 严格控制只有合法用户才能访 问合法资源。 防范合法用户的非授权访问 合法用户的非授权

15、访问是指合法用户在没有得到许可的情况下访问了他本 不该访问的资源。一般来说， 每个成员的主机系统中， 有一部份信息是可以对外 开放，而有些信息是要求保密或具有一定的隐私性。外部用户（指来自外部网络 的合法用户） 被允许正常访问的一定的信息，但他同时通过一些手段越权访问了 别人不允许他访问的信息，因此而造成他人的信息泄密。所以，还得加密访问控 制的机制，对服务及访问权限进行严格控制。 防范假冒合法用户的非法访问 从管理上及实际需求上是要求合法用户可正常访问被许可的资源。既然合法 用户可以访问资源。那么， 入侵者便会在用户下班或关机的情况下，假冒合法用 户的 IP 地址或用户名等资源进行非法访问。

16、因此，必需从访问控制上做到防止 假冒而进行的非法访问。 入侵防御需求 防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对 所有的访问进行严格控制（允许、禁止、报警）。但网络配置了防火墙却不一定 安全，防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其它攻击。因 为网络安全是整体的，动态的， 不是单一产品能够完全实现，所以确保网络更加 安全必须配备入侵检测和响应系统，对透过防火墙的攻击进行检测并做相应反应 （记录、报警、阻断） 。 2.2.3. 系统层安全需求 安全漏洞检测和修补需求 网络系统存在安全漏洞 （如安全配置不严密等） 和操作系统安全漏洞等是黑 客等入侵者攻击屡屡得

17、手的重要因素。入侵者通常都是通过一些程序来探测网络 中系统中存在的一些安全漏洞，然后通过发现的安全漏洞， 采取相就技术进行攻 击，因此，必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安 全漏洞，并采用相应的措施填补系统漏洞，对网络设备等存在的不安全配置重新 进行安全配置。 安全加固需求 对关键的服务器主机系统进行安全加固，提供用户认证、访问控制和审计， 严格控制用户对服务器系统的访问，禁止黑客利用系统的开口隐患和安全管理功 能的不足之处进行非法访问，避免内部用户的滥用。 2.2.4. 应用层安全需求 防病毒需求 针对防病毒危害性极大并且传播极为迅速的特点，必须配备涵盖客户端、 服务

18、器、邮件系统、互联网网关的整套防病毒体系，实现全网的病毒安全防护， 彻底切断病毒繁殖和传播的途径。 防垃圾邮件需求 必须采用有效的手段防范互联网垃圾邮件进入网络内部邮件服务器系统，干 扰正常业务通信。 身份认证需求 必须采用必要的用户身份认证和授权管理机制，对网络用户身份的真实性、 合法性进行集中的控制。 数据安全需求 对重要的业务数据和管理数据应提供可靠的备份和恢复机制，防止因非法攻 击或意外事件造成数据的破坏或丢失； 3. 网络安全建设内容 建议在本期项目的建设中，重点从网络安全、系统安全、应用安全、管理安 全的角度出发， 进行建设， 同时在本期项目成功建设的基础上，再进一步向物理 安全、

19、组织体系、运行体系方面进行扩展，实现全面的安全策略。具体的实施方 案可参考下图表示： 图 3.1 学校网络安全拓扑示意图 在本方案中，在互联网接入边界处部署防火墙系统，形成层次化的访问控 制和区域隔离。 特别针对服务器区域， 利用安全边界接入平台技术加强访问控制 力度，有效保障重要的应用系统不受到非法的访问。 此外，在服务器接入边界处部署入侵防御系统，一方面有效抵抗拒绝服务、 扫描、恶意代码、木马、蠕虫等网络攻击行为，降低来自互联网和校园内部的威 胁与风险。在防火墙边界隔离的基础上， 部署入侵防御系统可以进行深度的检测 与防护，提升系统的检测力度。 同时，还在互联网接入边界处部署流量控制系统，

20、根据应用和用户进行带 宽的分配与监控。 在 WEB 网站前端部署一台WEB 应用防火墙，防范来自互联网对WEB 网 站的攻击行为。 在互联网接入边界处部署上网行为管理系统，规范办公区人员的互联网行 为，保障核心业务系统的流量带宽。 同时，还在互联网接入边界处部署流量清洗系统，对网络中的异常流量进 行分析和清洗，保障有限带宽的合理化利用。 在内网署一套安全准入控制系统，加强网络安全管理及内部PC 的安全管 理。 部署堡垒机来对管理员和第三方维护人员进行设备维护时进行审计管理。 部署漏洞扫描系统对全网的服务器、网络设备、安全设备和终端进行检测， 发现网络中存在的安全漏洞，并采用相应的措施填补系统漏

21、洞。 参考图 3.1 ，针对学校数据中心，采取的主要防护措施包括： 3.1. 边界隔离措施 3.1.1. 下一代防火墙 防火墙是近年发展起来的重要安全技术，其主要作用是在网络入口点检查网 络通信，根据用户设定的安全规则， 在保护内部网络安全的前提下，提供内外网 络通信，起到安全域划分、访问控制、NAT 转换和杀毒、漏洞检测等防护的作 用，同时该防火墙还作为VPN 网关为移动办公 BYOD 人员提供远程安全连接。 通过使用防火墙过滤不安全的服务，提高网络安全和减少子网中主机的风险，提 供对系统的访问控制； 阻止攻击者获得攻击网络系统的有用信息，记录和统计网 络利用数据以及非法使用数据、攻击和探测

22、策略执行。 防火墙属于一种被动的安 全防御工具。 设立防火墙的目的是保护一个网络不受来自另一个网络的攻击，防火墙的主 要功能包括以下几个方面： 1防火墙提供安全边界控制的基本屏障。设置防火墙可提高内部网络安全 性，降低受攻击的风险； 2防火墙体现网络安全策略的具体实施。防火墙集成所有安全软件（如口 令、加密、认证、审计等） ，比分散管理更经济； 3防火墙强化安全认证和监控审计。因为所有进出网络的数据流都必须通 过防火墙，防火墙也能提供日志记录、统计数据、报警处理、审计跟踪等服务； 4防火墙能阻止内部信息泄漏。防火墙实际意义上也是一个隔离器，即能 防外，又能防止内部未经授权用户对外网的访问。 防

23、火墙设备的部署，可实现以下功能： 1通过防火墙连接，隔离安全区域 通过对访问请求的审核， 我们隔离了内部网络同外部网络连接，可以达到保 护脆弱的服务、 控制对内部的访问、 记录和统计网络利用数据以及非法使用数据 和策略执行等功能。在有不安全网络接入时，全部通信都受到防火墙的监控，通 过防护墙的策略可以设置成相应的保护级别，以保证系统的安全性。 2过滤网络中不必要传输的垃圾数据 防火墙是一种网关型的设备， 各个区域之间的通信， 可以通过防火墙的添加， 如果在其上添加一些策略， 就可以过滤掉部分无用的信息，在网络中只能传输必 要的应用数据。 3利用防火墙的带宽控制功能，调整链路的带宽利用 防火墙是

24、一种网关型的设备， 而且防火墙具有带宽控制的特性，可以依据应 用来限制流量，来调整链路的带宽。实现每个用户、服务器的带宽控制，提高链 路带宽利用的效率。 4通过防火墙的保护，隐蔽内部网络信息，提高系统的安全性 使得各个内网区不受到黑客的攻击，黑客无法通过防火墙进行扫描、攻击等 非法动作。可防止黑客通过外部网对重要服务器的TCP/UDP 的端口非法扫描， 消除系统安全的隐患。 可防止攻击者通过外部网对重要服务器的源路由攻击、IP 碎片包攻击、 DNS / RIP / ICMP 攻击、SYN 攻击、拒绝服务等多种攻击。防火墙 还具有一定的入侵检测功能， 当发现有绕过防火墙攻击重要服务器时，防火墙将

25、 自动报警并根据策略进行响应。 5强大的应用层控制 防火墙提供应用级透明代理， 可以对高层应用 （HTTP、FTP、SMTP、POP3、 NNTP）做了更详细控制，如HTTP 命令（GET，POST，HEAD ）及 URL，FTP 命令（ GEI，PUT）及文件控制。这对于提高网络中的应用服务器的安全非常有 意义。 3.1.2. 入侵防御系统 刚才提到防火墙实现的是不同安全域之间的访问控制和管理，而入侵防御系 统实现的是对整个内网的访问控制、数据包深度过滤、漏洞攻击防御、邮件病毒 过滤、报文完整性分析等功能，并提供更高的性能、更细的安全控制粒度、更深 的内容攻击防御、 更大的功能扩展空间、更丰

26、富的服务和协议支持，为网络提供 完整的立体式网络安全防护。 入侵防御系统是在线部署在网络中，提供主动的、实时的防护，具备对2 到 7 层网络的线速、 深度检测能力， 同时配合以精心研究、 及时更新的攻击特征库， 即可以有效检测并实时阻断隐藏在海量网络中的病毒、攻击与滥用行为， 也可以 对分布在网络中的各种流量进行有效管理，从而达到对网络架构防护、 网络性能 保护和核心应用防护。 3.1.3. 流量控制系统 随着互联网的逐步发展，网上用户和业务流量在不断增长，除传统数据业务 外，网络电话、网络视频、P2P下载等新型网络应用使得骨干网络中话音、视频、 点到点下载流量在呈几何基数级膨胀趋势。今天的互

27、联网用户中， 没有听说或使 用过Skype 、QQ、MSN、BT、Emule 、PPLive等应用的恐怕已经是极少数。网 络应用繁荣的同时， 网络管理的难度也随之增加。 传统的网络设备由于无法识别 应用层的流量信息， 致使应用级别的管控不到位， 网络管理的灰色地带不断增加。 主要表现在： 网络透明度降低： 无法获知网上的各种应用及用户准确分布情况，无法 针对不同用户、不同应用设置差异化的管理策略； 网络资源滥用严重，难以进行有效控制管理：如，观看在线视频（网络 电视、在线影视）、利用各种下载工具下载喜欢的音乐/影视等；致使网 络链路经常处于流量饱和的状态，无法满足日益增长的应用需求； 关键用户

28、、关键应用的服务质量难以得到有效保障：网络应用流量种类、 数量不断增多， 无序化的竞争经常导致关键用户、关键应用的服务体验 的降低； 网络安全性降低：由于网络的无序化管理， 内部人员对网络应用的滥用， 大量蠕虫病毒、 DDOS 攻击趁虚而入， 这些以消耗网络资源为目的的流 量类攻击发展迅猛，却没有有效的防范、控制手段，造成网络拥塞，甚 至网络瘫痪，为网络安全带来了重大的隐患； 另外，现有网络设备无法实现应用级别管控还会给各类不同用户带来其它一 些严重问题，例如： 对于企业网络：用户网络行为监管困难， 既便制定了内部网络管理条例， 员工的上网行为也难以进行有效的管理。例如，在工作时间炒股票（大

29、智慧、通花顺、钱龙等） 、玩网络游戏（传奇、魔兽、联众、反恐精英 等） 、用 MSN、QQ 等即时通讯工具进行与工作无关的聊天等，这不仅 会影响工作效率，也会给网络管理带来巨大隐患； 对于电信运营商网络：对应用管控的缺失，造成非法VoIP、P2P应用、 在线视频应用的泛滥， 一方面，其占有了大量的网络资源，带来了扩容 压力；另一方面，其也对运营商的主营业务（传统的语音业务、新兴的 IPTV 业务等）收入造成了巨大的影响。 对于今天的网络管理者而言， 如何深度感知网络应用， 通过适当的带宽管理 技术来解决带宽增长与业务收益、网络扩容与用户体验之间的不对称关系，实现 对用户和业务的分级化识别管理，

30、 和基于用户和用户业务流量的管理和增值显得 尤为重要。 在这种背景下， 流量控制系统就能够很好的解决上述网络面临的问题，它通 过高速数据内容检测、数据流状态监测、IP 隧道和微码固件等方法，在对网络 应用深度解析的基础上，实现了27 层的应用识别分类、流量属性分析、流量 策略管理、分类统计报告以及状态预警等多种功能。流控为提高网络透明度，实 施网络应用服务管理以及拓展网络增值业务提供了有效和可靠的硬件平台，在对 网络流量进行精确识别分析进而达到控制的目的的同时，巩固和加强了网络的安 全管理。 3.1.4. 流量清洗系统 随着各种业务对Internet 依赖程度的日益加强， DDoS 攻击所带来

31、的损失也 愈加严重。 包括运营商、 企业及政府机构的各种用户时刻都受到了DDoS 攻击的 威胁，而未来更加强大的攻击工具的出现，为日后发动数量更多、 破坏力更强的 DDoS 攻击带来可能。 正是由于 DDoS 攻击非常难于防御， 以及其危害严重， 所以如何有效的应对 DDoS 攻击就成为 Internet 使用者所需面对的严峻挑战。网络设备或者传统的边 界安全设备，诸如防火墙、 入侵检测系统， 作为整体安全策略中不可缺少的重要 模块，都不能有效的提供针对DDoS 攻击完善的防御能力。面对这类给Internet 可用性带来极大损害的攻击， 必须采用专门的设备， 对攻击进行有效检测及阻断， 进而遏

32、制这类不断增长的、复杂的且极具欺骗性的攻击形式。因此，对骨干设备 的防护也是整个网络环境的关键， 建议在互联网接入处部署专业的DDoS 防护产 品，保障用户网络可用性。 3.2. 应用安全措施 3.2.1. WEB 应用防火墙 随着信息技术的不断发展，互联网已经成为信息传播、流通、交换及存储 的重要手段。 信息高速公路的兴建使人类完全突破了传统的信息获取方式，存储 在计算机中的资料都在逐渐增加，对信息的保护比以往更加重要也更加困难。由 于 Internet 是个开放的网络，网站发布的信息一天二十四小时都在被查询、阅 读、下载或转载。网站内容复制容易，转载速度快，学校WEB 站点网页如果被 篡改

33、，后果难以预料，篡改网页将会被迅速、广泛传播，从而直接危害网站的利 益。尤其是网站上发布的重要新闻、 重大方针政策以及法规等， 一旦被黑客篡改， 将严重影响政府形象，甚至造成重大的政治经济损失和恶劣的社会影响。 WEB 服务器前端部署 WEB 应用防火墙，可以提高相关WEB 站点的安全 性。当出现黑客攻击或工作人员某些操作失误，WEB 应用防火墙能够实时恢复 网站文件， 保证网站的连续正常运行； 同时还能够记录篡改事件的相关资料，从 而为安全部门提供调查的线索和证据。WEB 应用防火墙具备实时、低耗等性能 指标， 既能够保证篡改页面的立即恢复， 又能保证网站的正常服务性能不受影响。 WEB 应

34、用防火墙支持全透明部署模式，全面支持HTTPS 协议，在提供 WEB 应用实时深度防御的同时实现WEB 应用加速及敏感信息泄露防护，能够 解决应用及业务逻辑层面的安全问题， 特别是解决目前所面临的各类网站安全问 题，如：注入攻击、跨站脚本攻击（钓鱼攻击）、恶意编码（网页木马）、缓冲 区溢出、信息泄露、应用层DOS/DDOS 攻击等等。 3.2.2. 上网行为管理系统 随着信息化建设的开展，工作和生活对于互联网的依赖性越来越强。在学 校职工利用互联网获得更多更及时地资源的时候，一些网络性能方面和应用方面 的问题被暴露了出来，大量的P2P等非关键应用无情地吞噬着网络有限的带宽 资源，使得网络管理人

35、员头痛不已。在没有对P2P流量进行策略管理的时间段 内， P2P等非关键应用的流量几乎占用了60-70的网络带宽，关键性应用如 OA、 Email、WEB 网站等却得不到保障，会严重影响了机关网络的健康发展。 通过在互联网出口处部署一台上网行为管理系统，对互联网资源做一个合 理的流量控制，抑制P2P的滥用，并保障关键应用的带宽，大幅度提高访问互 联网的速度，有效提升带宽利用率。 上网行为管理系统提供了强大的网页过滤功能，屏蔽对非法网站的访问； 提供基于时间、用户、应用的精细管理策略，控制职工在上班时间玩网络游戏、 炒股、观看在线视频，以及无节制的网络聊天，从而保障工作效率；提供对电子 邮件、即

36、时通讯、论坛发帖等途径的外发信息进行监控审计，避免机密信息泄露 或发表反动言论等。 3.2.3. 内网安全准入控制系统 学校业务种类越来越多，重要性越来越突出。所以办公计算机的系统安全 以及日常的运行维护显的尤为重要，如果出现安全漏洞或安全事故， 将会严重影 响整体业务运行安全。由于学校信息化程度较高，终端点数较多，对IT 软硬件 的资产管理及故障维护靠人工施行难度较大，且效率低下， 迫切需要通过技术手 段规范人员入网及日常终端使用行为。 为加强网络安全管理及加强内部PC 的安全管理，建议在内网部署一套安 全准入控制系统，这套系统将重点解决以下问题： 用户入网身份证书认证化 入网终端登记注册认

37、证化 违规终端不准入网、入网终端必合规 安全检查一目了然、智能傻瓜式修复 用户权限的细粒度分派及管理 全网终端软硬件资产合理、实时、有序管理 终端系统补丁、杀毒软件、应用程序等有效统一管理 安全准入控制系统可以对所有的入网设备进行身份认证，包括MAC 地址、 IP 地址、基于用户名和密码的身份、接入设备端口、所在VLAN 等信息，还支 持 U-KEY 、支持智能卡、数字证书认证、 LDAP、无缝结合域管理。保证接入设 备为合法终端。 3.3. 安全运维措施 3.3.1. 堡垒机 随着信息技术的不断发展和信息化建设的不断进步，业务应用、办公系统 不断推出和投入运行， 信息系统在政府机构运营中全面

38、渗透。学校信息系统使用 数量众多的网络设备、 服务器主机来提供基础网络服务、运行关键业务。 由于设 备和服务器众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意 破坏等情况时有发生， 另外黑客的恶意访问也有可能获取系统权限，闯入内部网 络，造成不可估量的损失。 如何提高系统运维管理水平， 跟踪服务器上用户的操 作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足相 关标准要求，越来越成为管理员关心的问题。 通过部署堡垒机，该设备扮演着看门者的职责，所有对网络设备和服务器 的请求都要从这扇大门经过。 因此它能够拦截非法访问和恶意攻击，对不合法命 令进行阻断、 过滤掉所有

39、对目标设备的非法访问行为。并能够将所有的输出信息 全部记录下来； 具备审计回放功能， 能够模拟用户的在线操作过程，丰富和完善 了网络的内控审计功能。 因此，堡垒机能够极大的保护内部网络设备及服务器资 源的安全性，使得内部网络管理更加合理化和专业化。 3.3.2. 漏洞扫描系统 在内网服务器区部署一台漏洞扫描系统。其主要用于分析和指出有关网络 的安全漏洞及被测系统的薄弱环节，给出详细的检测报告， 并针对检测到的网络 安全隐患给出相应的修补措施和安全建议。漏洞扫描系统通过模拟黑客的进攻方 法，对被检系统进行攻击性的安全漏洞和隐患扫描，提交风险评估报告， 并提供 相应的整改措施。 先于黑客发现并弥补

40、漏洞， 防患于未然。 预防性的安全检查最 大限度地暴露了现存网络系统中存在的安全隐患，配合行之有效的整改措施， 可 以将网络系统的运行风险降至最低。 3.3.3. 网站监控预警平台 由于针对 Web 系统的网络访问控制措施被广泛采用，且一般只开放HTTP 等必要的服务端口， 因此黑客已经难以通过传统网络层攻击方式（查找并攻击操 作系统漏洞、数据库漏洞）攻击网站。然而，Web 应用程序漏洞的存在更加普 遍，随着 Web 应用技术的深入普及， Web 应用程序漏洞发掘和攻击速度越来越 块，基于 Web 漏洞的攻击更容易被利用，已经成为黑客首选。据统计，现在对 网站成功的攻击中，超过7 成都是基于

41、Web 应用层，而非网络层。前不久 OWASP (Open Web Application Security Project）机构发布了最新的 OWASP Top 10 Application Security Risks，SQL 注入和 XSS 攻击 （Cross Site Scripting ，跨站脚本攻击）仍旧排名前两位，是目前存在最为普遍、 利用最为广泛、造成危害最为严重的两类Web 威胁。 Web 应用与云计算技术具有天然的联姻关系。基于SaaS （软件即服务）的 云计算技术模型，对Web 安全监控系统提出好的解决思路。网站监控预警平台 与 IDC 合作，搭建 Web 安全监测系统，

42、对用户提供基于云计算（SaaS ）模型的 Web 安全监测服务。可提供724 小时的实时网站安全监测服务。一旦发现您 的网站存在风险状况， 安全团队会第一时间通知您， 并提供专业的安全解决建议。 同时，基于 SaaS的 Web 安全监测系统结合公司安全专家团队为用户定期提供网 站系统评估报告， 及时、有效地掌握网站的风险状况及安全趋势，从而提供稳定、 安全的 Web应用环境。 3.3.4. 网络防病毒系统 防病毒系统不仅是检测和清除病毒，还应加强对病毒的防护工作，在网络 中不仅要部署被动防御体系（防病毒系统）还要采用主动防御机制（防火墙、安 全策略、漏洞修复等），将病毒隔离在网络大门之外。通过

43、管理控制台统一部署 防病毒系统，保证不出现防病毒漏洞。因此，远程安装、集中管理、统一防病毒 策略成为企业级防病毒产品的重要需求。在跨区域的广域网内，要保证整个广 域网安全无毒， 首先要保证每一个局域网的安全无毒。也就是说， 一个局域网的 防病毒系统是建立在每个局域网的防病毒系统上的。应该根据每个局域网的防病 毒要求，建立局域网防病毒控制系统， 分别设置有针对性的防病毒策略。从总部 到分支机构，由上到下，各个局域网的防病毒系统相结合， 最终形成一个立体的、 完整的病毒防护体系。 3.3.5. 网络审计系统 网络审计系统以旁路的方式部署在网络中，不影响网络的性能，具有即时 的网络数据采集能力、 强

44、大的审计分析功能以及智能的信息处理能力。通过使用 该系统，可以实现如下目标： 对用户的网络行为监控、网络传输内容进行审计（如员工是否在工 作时间上网冲浪、 网上聊天、是否访问内容不健康的网站、员工是否 通过网络泄漏了公司的机密信息等等）。 实现对单位业务系统核心数据库的操作过程进行审计，有效保护业务 数据的完整性。可以对违规行为进行审计记录与报警。 实现网络传输信息的保密存储。 实现网络行为后期取证。 对网络潜在威胁者予以威慑。 仅供个人用于学习、研究；不得用于商业用途。 For personal use only in study and research; not for commerci

45、al use. Nur f r den pers?nlichen fr Studien, Forschung, zu kommerziellen Zwecken verwendet werden. Pour l tude et la recherche uniquement des fins personnelles; pas des fins commerciales. , , . 以下无正文 仅供个人用于学习、研究；不得用于商业用途。 For personal use only in study and research; not for commercial use. Nur f r den pers?nlichen fr Studien, Forschung, zu kommerziellen Zwecken verwendet werden. Pour l tude et la recherche uniquement des fins personnelles; pas des fins commerciales. , , . 以下无正文