隨著計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)的快速發(fā)展，基于網(wǎng)絡(luò)的應(yīng)用已無孔不入地滲透到了社會(huì)的每一個(gè)角落，信息網(wǎng)絡(luò)技術(shù)是一把雙刃劍，它在促進(jìn)國民經(jīng)濟(jì)建設(shè)、 豐富人民物質(zhì)文化生活的同時(shí)，也對傳統(tǒng)的國家安全體系、政府安全體系、企業(yè)安全體系提出了嚴(yán)峻的挑戰(zhàn)，使得國家的機(jī)密、政府敏感信息、企業(yè)商業(yè)機(jī)密、企業(yè) 生產(chǎn)運(yùn)行等面臨巨大的安全威脅。

    政府各部門信息化基礎(chǔ)設(shè)施相對完善，信息化建設(shè)總體上處于較高水平。由于政務(wù)網(wǎng)系統(tǒng)網(wǎng)絡(luò)安全性與穩(wěn)定性的特殊要求，建立電子政務(wù)網(wǎng)安全整體防護(hù)體系，制定恰當(dāng)?shù)陌踩呗?，加?qiáng)安全管理，提高電子政務(wù)網(wǎng)的安全保障能力，是當(dāng)前迫在眉睫的大事。

本文以一個(gè)廳局級(jí)單位的網(wǎng)絡(luò)為例，分析其面臨的威脅，指出了部署安全防護(hù)的總體策略，探討了安全防護(hù)的技術(shù)措施。

    網(wǎng)絡(luò)安全威脅分析

    政府各部門的信息網(wǎng)絡(luò)一般分為：涉密網(wǎng)、非涉密內(nèi)網(wǎng)、外網(wǎng)，按照國家保密局要求，涉密網(wǎng)與外網(wǎng)物理斷開。大部分單位建設(shè)有非涉密內(nèi)網(wǎng)和外網(wǎng)。以某局級(jí)單位的內(nèi)網(wǎng)為例，分析其潛在安全威脅如下：

    局級(jí)政務(wù)網(wǎng)上與市政務(wù)網(wǎng)相聯(lián)，下與區(qū)屬局級(jí)單位相聯(lián)；在本局大樓內(nèi)，聯(lián)接各處室、網(wǎng)絡(luò)中心、業(yè)務(wù)窗口、行政服務(wù)中心等部門；對外還直接或間接地聯(lián)到Internet。由于網(wǎng)絡(luò)結(jié)構(gòu)比較復(fù)雜，連接的部門多，使用人員多，并且存在各種異構(gòu)設(shè)備、多種應(yīng)用系統(tǒng)，因此政務(wù)網(wǎng)絡(luò)上存在的潛在安全威脅非常之大。

    如果從威脅來源渠道的角度來看，有來自Internet的安全威脅、來自內(nèi)部的安全威脅，有有意的人為安全威脅、有無意的人為安全威脅。

    如果從安全威脅種類的角度來看，有黑客攻擊、病毒侵害、木馬、惡意代碼、拒絕服務(wù)、后門、信息外泄、信息丟失、信息篡改、資源占用等。

    安全威脅種類示意圖如下：

    如果依據(jù)網(wǎng)絡(luò)的理論模型進(jìn)行分析，有物理安全風(fēng)險(xiǎn)、鏈路傳輸安全風(fēng)險(xiǎn)、網(wǎng)絡(luò)互聯(lián)安全風(fēng)險(xiǎn)、系統(tǒng)安全風(fēng)險(xiǎn)、應(yīng)用安全風(fēng)險(xiǎn)、以及管理安全風(fēng)險(xiǎn)。

    如下圖所示：

    總體策略

    信息系統(tǒng)安全體系覆蓋通信平臺(tái)、網(wǎng)絡(luò)平臺(tái)、系統(tǒng)平臺(tái)、應(yīng)用平臺(tái)，覆蓋網(wǎng)絡(luò)的各個(gè)層面，覆蓋各項(xiàng)安全功能，是一個(gè)多維度全方位的安全結(jié)構(gòu)模型。安全體系的建立，應(yīng)從設(shè)施、技術(shù)到管理整個(gè)經(jīng)營運(yùn)作體系進(jìn)行通盤考慮，因此必須以系統(tǒng)工程的方法進(jìn)行設(shè)計(jì)。

    從目前安全技術(shù)的總體發(fā)展水平與諸種因素情況來看，絕對安全是不可能的，需要在系統(tǒng)的可用性和性能、投資以及安全保障程度之間形成一定的平衡，通過相應(yīng)安全措施的實(shí)施把風(fēng)險(xiǎn)降低到可接受的程度。

    廳局級(jí)單位的網(wǎng)絡(luò)安全體系設(shè)計(jì)本著：適度集中，分散風(fēng)險(xiǎn)，突出重點(diǎn)，分級(jí)保護(hù)的總體策略。

    根據(jù)中辦發(fā)[2003]27號(hào)文件精神，政府部門安全防護(hù)的總體策略是：

    1、實(shí)行信息安全等級(jí)保護(hù)：根據(jù)系統(tǒng)中業(yè)務(wù)的重要性進(jìn)行分區(qū)，所有系統(tǒng)都必須置于相應(yīng)的安全區(qū)內(nèi)；對重點(diǎn)區(qū)域進(jìn)行重點(diǎn)防護(hù)；采用不同強(qiáng)度的安全隔離設(shè)備使各安全區(qū)中的業(yè)務(wù)系統(tǒng)得到有效保護(hù)，關(guān)鍵是將網(wǎng)絡(luò)中心與廣域網(wǎng)系統(tǒng)等實(shí)行有效安全隔離，隔離強(qiáng)度應(yīng)接近或達(dá)到物理隔離；

    2、建設(shè)和完善信息安全監(jiān)控體系；

    3、建立信息安全應(yīng)急響應(yīng)機(jī)制；

    4、加快信息安全人才培養(yǎng)，增強(qiáng)公務(wù)人員信息安全意識(shí)；

    5、加強(qiáng)對信息安全保障工作的領(lǐng)導(dǎo)，建立健全信息安全管理責(zé)任制。

    主要技術(shù)措施

    針對不同的安全風(fēng)險(xiǎn)種類，相應(yīng)的技術(shù)措施如下表：

    部署方案簡述

    本方案針對局級(jí)政務(wù)內(nèi)網(wǎng)和外網(wǎng)進(jìn)行整體安全設(shè)計(jì)。政務(wù)外網(wǎng)主要提供對社會(huì)公眾的信息發(fā)布平臺(tái)，可以通過邏輯隔離設(shè)備聯(lián)入互聯(lián)網(wǎng)，政務(wù)內(nèi)網(wǎng)主要運(yùn)行政務(wù)網(wǎng)內(nèi)部公文等OA系統(tǒng)，縱向與上級(jí)單位和下級(jí)單位網(wǎng)絡(luò)相連，橫向通過物理隔離設(shè)備與政務(wù)外網(wǎng)相連。

    在內(nèi)部網(wǎng)絡(luò)中，大量的工作站是病毒進(jìn)行攻擊的主要目標(biāo)之一。由于各工作站在日常工作中進(jìn)行頻繁的郵件收發(fā)、數(shù)據(jù)傳輸拷貝、應(yīng)用軟件執(zhí)行等操作，再加之內(nèi)部人 員上網(wǎng)瀏覽、下載程序及利用軟盤、光盤進(jìn)行文件復(fù)制等，使得病毒感染的可能性極大。當(dāng)前的病毒傳染現(xiàn)狀是，一旦一臺(tái)工作站染毒，則會(huì)很快蔓延至整個(gè)網(wǎng)絡(luò)范 圍，造成業(yè)務(wù)系統(tǒng)及辦公網(wǎng)絡(luò)的極大損害。因此，應(yīng)在所有的工作站上部署客戶端防病毒產(chǎn)品。該產(chǎn)品作為網(wǎng)絡(luò)版的客戶端防毒系統(tǒng)，使管理者通過單點(diǎn)控制所有客 戶機(jī)上的防毒模塊，并可以自動(dòng)對所有客戶端的防毒模塊進(jìn)行更新。其最大特點(diǎn)是擁有最靈活的產(chǎn)品集中部署方式，不受Windows域管理模式的約束，除支持SMS、登錄域腳本、共享安裝以外，還支持純Web的部署方式，可以在安裝時(shí)設(shè)定的防病毒策略下，自動(dòng)地進(jìn)行日常所有的防毒、殺毒、更新、升級(jí)工作，極大地方便了管理員的操作，并提供最為及時(shí)有效的病毒防范機(jī)制。

    桌面安全防護(hù)是近年來安全防護(hù)的又一重點(diǎn)內(nèi)容。桌面安全是在邊界安全（防火墻）基礎(chǔ)上發(fā)展起來的。它克服了邊界安全防護(hù)的固有的缺點(diǎn)：即只防外不防內(nèi)的缺 點(diǎn)，能夠?qū)崿F(xiàn)一種主機(jī)駐留的安全系統(tǒng)，實(shí)現(xiàn)對服務(wù)器、工作站的全方位保護(hù)，杜絕了一個(gè)端點(diǎn)系統(tǒng)的入侵而導(dǎo)致整個(gè)網(wǎng)絡(luò)蔓延的情況發(fā)生。另外它也一定程度上緩 解了網(wǎng)絡(luò)效率和安全性設(shè)定之間的矛盾，多個(gè)防火墻并行運(yùn)行。從一定程度上緩解了網(wǎng)關(guān)防火墻的壓力，能夠充分發(fā)揮局域網(wǎng)多個(gè)機(jī)器的團(tuán)隊(duì)優(yōu)勢。

    桌面安全系統(tǒng)通常是內(nèi)核模式應(yīng)用，它位于操作系統(tǒng)OSI棧的底部，直接面對網(wǎng)卡，它們對所有的信息流進(jìn)行過濾與限制，無論是來自Internet，還是來自內(nèi)部網(wǎng)絡(luò)。 

    桌面安全防護(hù)對個(gè)人計(jì)算機(jī)進(jìn)行保護(hù)的方式如同邊界防火墻對整個(gè)網(wǎng)絡(luò)進(jìn)行保護(hù)一樣。對于Web服務(wù)器來說，桌面安全防護(hù)系統(tǒng)進(jìn)行配置后能夠阻止一些非必要的協(xié)議，如HTTP 和 HTTPS之外的協(xié)議通過，從而阻止了非法入侵的發(fā)生，同時(shí)還具有入侵檢測及防護(hù)功能。

    桌面安全防護(hù)系統(tǒng)克服了操作系統(tǒng)所具有的已知及未知的安全漏洞，如DoS(拒絕服務(wù))、應(yīng)用及口令攻擊。從而使操作系統(tǒng)得到強(qiáng)化。桌面安全防護(hù)系統(tǒng)對每個(gè)服務(wù)器都能進(jìn)行專門的保護(hù)。系統(tǒng)管理員能夠?qū)⒃L問權(quán)限只賦予服務(wù)器上的應(yīng)用所使用的必要的端口及協(xié)議。如HTTP, HTTPS, port 80, port 443等。

網(wǎng)絡(luò)入侵檢測系統(tǒng)部署在有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)段上，通過實(shí)時(shí)偵聽網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問時(shí)，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應(yīng)，包括實(shí)時(shí)報(bào)警、事件登錄，或執(zhí)行用戶自定義的安全策略等。

    此外網(wǎng)絡(luò)中心核心服務(wù)器區(qū)域的數(shù)據(jù)極其重要。由于人為的操作錯(cuò)誤、系統(tǒng)軟件或應(yīng)用軟件的缺陷、硬件的損毀、電腦病毒、黑客攻擊、自然災(zāi)難等等諸多因素，都有 可能造成數(shù)據(jù)的丟失，從而給用戶造成無可估量的損失。為此建議部署數(shù)據(jù)備份系統(tǒng)對數(shù)據(jù)進(jìn)行經(jīng)常性的備份，一旦數(shù)據(jù)丟失，能夠快速恢復(fù)。

    根據(jù)以上分析，局級(jí)單位的電子政務(wù)網(wǎng)絡(luò)典型的安全防護(hù)體系部署措施如下：

    在外網(wǎng)與Internet邊界處部署百兆/千兆防火墻系統(tǒng)，同時(shí)考慮到出口處的重要性和關(guān)鍵位置設(shè)備的高可用性，建議部署兩臺(tái)百兆/千兆防火墻構(gòu)成雙機(jī)熱備系統(tǒng)，這樣可避免單點(diǎn)故障帶來的網(wǎng)絡(luò)癱瘓；

    在外網(wǎng)與政務(wù)內(nèi)網(wǎng)邊界處部署物理隔離網(wǎng)閘設(shè)備；

    在內(nèi)網(wǎng)全網(wǎng)桌面部署桌面安全管理系統(tǒng)；

    在內(nèi)網(wǎng)全網(wǎng)部署網(wǎng)絡(luò)防病毒系統(tǒng)；

    在核心交換機(jī)上部署入侵檢測系統(tǒng)（IDS）；

    針對內(nèi)網(wǎng)關(guān)鍵數(shù)據(jù)庫服務(wù)器和應(yīng)用服務(wù)器，應(yīng)部署數(shù)據(jù)備份系統(tǒng)；

    在內(nèi)網(wǎng)與市級(jí)政務(wù)網(wǎng)相聯(lián)的邊界處，依據(jù)其接入的端口速率，部署千兆防火墻或百兆防火墻；

    在每一個(gè)下局級(jí)單位的網(wǎng)絡(luò)邊界處，依據(jù)其接入的端口速率，部署百兆或千兆防火墻；

    部署示意圖如下：

    另外，安全解決方案或安全產(chǎn)品具有一定的靜態(tài)特性，而安全威脅是動(dòng)態(tài)變化的。再安全的網(wǎng)絡(luò)設(shè)備離不開人的管理，再好的安全策略最終要靠人來實(shí)現(xiàn)。只有由專業(yè) 人員來提供的安全服務(wù)才能適應(yīng)這種動(dòng)態(tài)變化的特性。因此我們認(rèn)為，保障政務(wù)網(wǎng)絡(luò)安全運(yùn)行的關(guān)鍵，主要起決于是否能夠提供優(yōu)質(zhì)的安全管理和安全服務(wù)。對此， 政務(wù)網(wǎng)絡(luò)應(yīng)選擇一支專業(yè)素質(zhì)高、服務(wù)經(jīng)驗(yàn)豐富的技術(shù)隊(duì)伍來進(jìn)行外包安全服務(wù)。