电子政务数据中心网络安全防护体系设计

　　【摘要】信息化手段已经大量运用到政府部门的日常工作当中，如果因为安全问题导致电子政务系统无法正常运行，大量的政府部门将无法正常工作，给地方的经济发展带来巨大的负面影响。本文主要研究电子政务数据中心网络安全防护。 　　【关键词】电子政务;安全;防护;设计 　　随着信息化的飞速发展，电子政务在政府实际工作中已经发挥了越来越重要的作用。电子政务安全主要包括两个方面，政务网络安全和信息安全， 　　一、网络系统威胁分析 　　电子政务数据中心网络系统所面临的威胁大体可分为两种：一是对信息的威胁;二是对网络中设备的威胁。这些安全威胁的主要表现形式可以概括为： 　　1.地址欺骗：攻击者可通过伪装成被信任的IP地址等方式来骗取目标的信任。 　　2.网络窃听：网络的开放性使攻击者可通过直接或间接窃听获取所需信息。 　　3.口令破解：攻击者可通过获取口令文件，然后运用口令破解工具获得口令，也可通过猜测或窃听等方式获取口令。 　　4.恶意扫描：攻击者可编制或使用现有扫描工具发现目标的漏洞，进而发起攻击。 　　5.连接盗用：在合法的通信连接建立后，攻击者可通过阻塞或摧毁通信的一方来接管已经过认证建立起来的连接，从而假冒被接管方与对方通信。 　　6.数据篡改：攻击者可通过截获并修改数据或重放数据等方式破坏数据的完整性。 　　7.数据驱动攻击：攻击者可通过施放病毒、特洛伊木马、数据炸弹等方式破坏或遥控目标。 　　8.基础设施破坏：攻击者可通过破坏域名服务器或路由信息等基础设施使目标陷于孤立。 　　9.服务拒绝：攻击者可直接发动攻击，也可通过控制其它主机发起攻击使目标瘫痪，如发送大量的数据洪流阻塞目标。 　　10.社会工程：攻击者可通过各种社交渠道获得有关目标的结构、使用情况、安全防范措施等有用信息，从而提高攻击成功率。 　　11.涉密用户的管理操作：网络中的涉密设备和用户的管理难题，如何防止涉密信息被泄露。 　　二、安全体系建设目标 　　根据电子政务数据中心网络面临的安全威胁，从实际情况出发，电子政务数据中心网络安全建设的目标主要在以下几个方面： 　　（一）建立边界防护机制 　　实现安全域的划分，把网络中的用户和设备划分不同的安全级别。对内网和服务器实现重点地安全防护。针对数据中心的服务器，根据业务系统类型进行细分，将具有相同属性的服务器划分到一个安全区域。 　　（二）建立入侵检测监控机制 　　在局域网部署网络入侵检测与智能分析系统，对出入网络的流量进行实时监控，同时对局域网内部的重要网段之间的交换流量进行实时监控。通过入侵检测系统与防火墙进行联动，构建局域网以入侵检测系统为核心的动态防御体系。 　　（三）建立安全审计系统 　　在网络中部署安全审计系统，实针对业务环境下的网络操作行为进行细粒度审计，并通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以帮助用户事前规划预防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源，加强内外部网络行为监管、促进核心资产（数据库、服务器、网络设备等）的正常运营。 　　（四）建立内部网络管理监控机制 　　在内网部署内部网络管理系统，进行网络资源、设备资源、客户端资源和应用资源方面的管理控制，如网络隔离度检测、入网设备监控、系统软件检测和违规事件发现、安全事件源定位分析等、通过其它方式访问网络。加强对内部网络的管理和控制。 　　（五）建立全网安全监控管理平台 　　融合多种信息安全产品和技术管理，充分实现组织、管理、技术三个体系的合理调配，能够最大化的保障网络、系统和应用的安全性。 　　三、设计方案 　　（一）安全系统整体设计思路 　　方案将从技术与管理两部分对电子政务数据中心网络系统提供安全保护，其中在技术部分主要采用防火墙、入侵检测、入侵防御、漏洞扫描、网络安全审计及终端管控技术，这六种技术共同配合，为电子政务数据中心信息网络系统提供一个动态网络防御管理体系。 　　网络整体拓扑结构图： 　　（二）边界安全防护 　　1.安全域划分 　　安全域划分是实现网络层安全的必须步骤，安全区域的划分可以将不同的安全等级的保护对象加以分离，同时可以防止安全问题的扩散，“安全区隔”理论也是基于此。建议将电子政务数据中心整体网络划分为以下区域： 　　（1）下联单位接入域：连接各二级单位; 　　（2）核心域：核心网络设备区域; 　　（3）外联接入域：上联电子政务网的外联区域。 　　（4）本地接入域：数据中心本地用户接入区域; 　　（5）核心数据域：核心业务数据库服务器; 　　（6）应用系统域：应用系统服务器; 　　（7）安全管理域：网管、安管、杀毒等服务器; 　　（8）日常应用域：网站、邮件等服务器。 　　2.安全边界防护 　　在划分了安全区并明确了安全区的边界之后，接下来就需要对安全区的边界进行安全防护，在这里推荐使用安全网关作为区域边界的访问控制产品进行安全防护。 　　防火墙的目的是在内部、外部两个网络之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，对进、出内部网络的服务和访问进行控制和审计。在网络中，应用系统总部网络与成员单位用户网络之间是不同的安全等级，所以通过防火墙实现两个安全等级网络之间的访问控制是必须的选择，而安全网关带有防火墙功能，在满足访问控制的基本需求外，对数据流进行应用层过滤，确保各区域之间不受病毒、木马的感染，降低区域间的影响。 　　（三）网络入侵检测系统 　　把网络入侵检测引擎部署在网络的关键网段上，就能够监测关键系统和应用的异常行为。在方案中，将在核心域旁路部署千兆入侵检测系统一套，对网络中服务器和内部用户进行入侵检测，及时报警，并做事后追查。建议将与骨干相连的交换机端口、重要服务器所连的交换机端口、重要网段的交换机所连的端口设为被镜像端口，这样可以实时监听流经防火墙、重要服务器、重要网段的数据流量。管理控制台接到交换机的普通端口即可，必须要保证管理控制台与探测引擎的管理端口正常的通信。 　　策略设置可以说是在使用网络入侵检测系统过程中最关键的一步，我们应该根据自己网络的情况来详细制定对网络事件的响应策略。为了方便使用，入侵检测系统本身提供细致的检测策略，分别为热点策略集、Web事件集、Mail事件集、攻击分析集、协议分析集、Windows事件集、Unix事件集、陈旧事件集、新增事件集等不同分类方式的系统策略集，用户可以针对不同环境、不同应用以及不同关注目标直接选取合适的检测策略。 　　（四）安全审计系统 　　网络安全审计系统是针对业务环境下的网络操作行为进行细粒度审计的合规性管理系统。它通过对被授权人员和系统的网络行为进行解析、分析、记录、汇报，以帮助用户事前规划预防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源，加强内外部网络行为监管、促进核心资产（数据库、服务器、网络设备等）的正常运行。 　　（五）漏洞扫描系统 　　在漏洞被利用以及信息系统遭受危害之前，正确的识别并修复漏洞和错误的配置，预防安全事件的发生。可以通过部署单个扫描单元实现对全网各个区域的自主扫描。这种独立扫描的情况同时适合监察评测机构，他们可以将漏洞扫描软件安装在笔记本电脑上，即可实现对独立网络单元的移动式检查测评。 　　（六）内网管理系统 　　采用CSC体系架构（CSC=Clients+Server+ Checkpoint，其中Checkpoint的中文名称是准入控制检查点，是准入控制的生效点和执行点，在实际部署中包括使应用准入和网络准入生效的服务器或网络设备），CSC体系架构具备完整的控制检查点，使具备有效的执行力和卓越的安全性、可靠性、可扩展性与健壮性，确保内网合规、管理无盲点。 　　（七）安全运维管理平台 　　由数据库服务器，管理服务器，事件采集服务器组成;应用软件部署在相应的上述硬件平台上，事件采集代理根据被管理的数据源的类型及拓扑实际情况，在工程实施中具体部署。 　　各类事件采集可采用分布式部署：中心网络部署事件集中采集服务器，各个被管网络分布部署事件采集服务器，负责各自网络内的事件集中采集。维护人员通过通用运维终端采用基于Http/Https协议进行远程管理和日常维护;其他授权用户亦可采用基于Http/Https协议从安全管理角度针对所管理的网络范围进行综合风险分析监控。 　　在计算机信息化的不断发展，针对网络的新的攻击行为也不断涌出，针对电子政务网络的威胁也在日趋紧张，不论是网络中的设备还是网络中的信息，一旦出现安全威胁，能够快速反应，迅速隔离，并给以阻止，才能大提高网络的安全性能。本文也只是在电子政务数据中心网络安全防护的设计上做了些研究，还存在一些不足，需在今后的研究中进一步完善。 　　参考文献 　　[1]刘剑.网络安全技术[M].西安电子科技大学出版社， 2011. 　　[2]邵波，王其和.计算机网络安全技术及应用[M].北京电子工业出版社，2005，11：17-18. 　　[3]景炜.电子政务系统网络安全的研究与应用[D].电子科技大学，2006. 　　[4]方炜炜.基于GAP技术的电子政务安全解决方案的研究[J].计算机时代，2006，03. 　　[5]杨子芳.国税系统网络安全设计与实现策略[D].中南大学，2006.