电子政务内网安全域防护体系设计方案

《电子政务内网安全域防护体系设计方案》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、电子政务内网安全域防护体系设计方案摘要：本文结合咸阳市电子政务信息系统实际，以安全域作为安全设计和建设的辅助线，进行综合的防护体系设计，并提出用安全管理平台解决管理问题以及如何解决安全管理平台存在的监控平台设计，种类繁多的设备数据采集和与其它网络应用平台互联互通三个技术难点。内网安全案例背景电子政务作为信息网络的一个特殊应用领域，运行着大量需要保护的数据和信息，有其自身特殊性。如果系统的安全性被破坏，造成敏感信息暴露或丢失，或网络被攻击等安全事件，可能导致严重的后果。构建电子政务信息安全保障体系在当今的网络发展中变得尤为重

2、要。但如何设计完善的信息安全系统，如何形成有效的信息安全管理体系等问题都是电子政务信息化的难点和要点。电子政务内网安全域划分安全域的基本概念安全域（securitydomain）就是由实施共同安全策略的主体和客体组成的集合。网络安全域是指同一系统内有相同或相似的安全保护需求，相互信任，并具有相同或相似的安全访问控制和边界控制策略的网络或子网，相同或相似的网络安全域共享一样的安全策略。安全域方法是对一个组织的资产、业务、网络和系统的理解方法，经过安全域的分析和整合，可以更好地体现一个组织的特征。安全域的基本原则安全域的理论和

3、方法所遵循的根本原则如下：1.业务保障原则：安全域方法在保证安全的同时，还要保障业务的正常和高效运行。2.结构简化原则：安全域划分并不是粒度越细越好，否则可能导致安全域的管理过于复杂和困难。3.分级保护原则：安全域的划分要做到每个安全域的信息资产具有相同或相近的密级分级、安全环境、安全策略等。4.立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括物理安全、网络安全、系统安全、防病毒、ca认证、容灾备份等电子政务内网的整体安全环境。电子政务内网安全域结构划分将安全域划分作为安全解决方

4、案的主线，电子政务安全域划分为如下结构：互联域：包含了电子政务的网络核心设备，连接路由设备等；接入域：包含了政务内网和连接的各委办局网络，根据属性的不同还可细分为内部接入域（局域网用户）和各委办局接入域；服务域：包含了电子政务内网的oa系统、公文传输系统、电子印章系统、档案管理系统、内网门户网站系统、pki/ca系统和数据库系统等系统服务器；安全管理支撑域：新加域，主要包含了电子政务系统所有的系统、网络设备和安全设备的管理终端和管理服务器。电子政务安全域防护体系总体安全解决方案在明确了电子政务安全域结构后，根据安全域边界和

5、内部的风险分析，制定了电子政务的安全解决方案，解决安全域边界防护，安全域防护问题。总体的安全解决方案如下：安全域边界：主要安全风险为网络访问控制、防网络入侵、防资源滥用、防区域网络病毒传播和防数据泄漏。采用的安全技术有防火墙、防毒墙与vlan以及vpn相结合的方式进行访问控制。接入域内部：主要安全风险为病毒、接入控制、文档防护、终端漏洞、非法外联、终端维护和终端审计。采用的安全技术有网络防病毒、内网安全管理系统。互联域内部：互联域主要是网络设备，因此主要风险是设备的单点故障等问题，这类问题可通过设备冗余的方式解决；互联域的

6、一个主要作用是各个安全域之间数据的传输，因此是对各个安全域间交换数据的最佳监控点。采用的安全技术是利用入侵检测系统[2]对各个安全域的交换数据进行检测。服务域内部：主要安全风险为系统漏洞、业务漏洞、业务违规操作、防系统入侵、数据库漏洞和数据库违规操作。采用的安全技术有漏洞扫描系统和ips入侵防御系统。安全管理支撑域内部：安全管理域承担着漏洞管理、威胁管理、日志管理、资产管理、信息采编、网络管理和用户管理等功能，面临的安全风险有管理系统的远程管理、管理人员误操作、管理人员权限分配问题、管理人员身份确认问题和多系统的有效安全管

7、理问题。部署了所有安全设备的管理服务器，并部署了内网安全管理系统、行为审计系统、网维系统、日志审计系统，用ca/ra认证系统[3]进行身份认证、授权管理和责任认定，用安全管理平台进行全面统一的管理。利用安全管理平台解决安全域防护体系管理问题在电子政务安全平台的建设中将不同位置、不同安全系统中分散且海量的安全事件进行汇总、过滤、收集和关联分析，得出全局角度的安全风险事件，并形成统一的安全决策对安全事件进行响应和处理。系统部署可以分为核心系统部署配置和数据采集系统部署配置两大步骤。核心系统部署和配置核心系统一般包括管理服务器、

8、数据库服务器、事件采集服务器。管理服务器完成对数据处理、显示和报告功能；数据库服务器实现数据存储功能；事件采集服务器完成对各种安全设备、网络设备、主机应用系统的弱点数据采集和威胁数据采集功能。1.数据采集系统部署和配置数据采集系统指部署在被评估环境中的各种可以提供弱点数据和威胁数据的设备，包括已有设备