電子政務內網安全域防護體系設計方案
內網安全案例背景
電子政務作為信息網絡的一個特殊應用領域，運行著大量需要保護的數據和信息，有其自身特殊性。如果系統的安全性被破壞，造成敏感信息暴露或丟失，或網絡被攻擊等安全事件，可能導致嚴重的后果。構建電子政務信息安全保障體系在當今的網絡發展中變得尤為重要。但如何設計完善的信息安全系統，如何形成有效的信息安全管理體系等問題都是電子政務信息化的難點和要點。
電子政務內網安全域劃分
安全域的基本概念
安全域（securitydomain）就是由實施共同安全策略的主體和客體組成的集合。網絡安全域是指同一系統內有相同或相似的安全保護需求，相互信任，并具有相同或相似的安全訪問控制和邊界控制策略的網絡或子網，相同或相似的網絡安全域共享一樣的安全策略。
安全域方法是對一個組織的資產、業務、網絡和系統的理解方法，經過安全域的分析和整合，可以更好地體現一個組織的特征。
安全域的基本原則
安全域的理論和方法所遵循的根本原則如下：
1.業務保障原則：安全域方法在保證安全的同時，還要保障業務的正常和高效運行。
2.結構簡化原則：安全域劃分并不是粒度越細越好，否則可能導致安全域的管理過于復雜和困難。
3.分級保護原則：安全域的劃分要做到每個安全域的信息資產具有相同或相近的密級分級、安全環境、安全策略等。
4.立體協防原則：安全域的主要對象是網絡，但是圍繞安全域的防護需要考慮在各個層次上立體防守，包括物理安全、網絡安全、系統安全、防病毒、ca認證、容災備份等電子政務內網的整體安全環境。
電子政務內網安全域結構劃分
將安全域劃分作為安全解決方案的主線，電子政務安全域劃分為如下結構：
互聯域：包含了電子政務的網絡核心設備，連接路由設備等；
接入域：包含了政務內網和連接的各委辦局網絡，根據屬性的不同還可細分為內部接入域（局域網用戶）和各委辦局接入域；
服務域：包含了電子政務內網的oa系統、公文傳輸系統、電子印章系統、檔案管理系統、內網門戶網站系統、pki/ca系統和數據庫系統等系統服務器；
安全管理支撐域：新加域，主要包含了電子政務系統所有的系統、網絡設備和安全設備的管理終端和管理服務器。
電子政務安全域防護體系
總體安全解決方案
在明確了電子政務安全域結構后，根據安全域邊界和內部的風險分析，制定了電子政務的安全解決方案，解決安全域邊界防護，安全域防護問題。總體的安全解決方案如下：
安全域邊界：主要安全風險為網絡訪問控制、防網絡入侵、防資源濫用、防區域網絡病毒傳播和防數據泄漏。采用的安全技術有防火墻、防毒墻與vlan以及vpn相結合的方式進行訪問控制。
接入域內部：主要安全風險為病毒、接入控制、文檔防護、終端漏洞、非法外聯、終端維護和終端審計。采用的安全技術有網絡防病毒、內網安全管理系統。
互聯域內部：互聯域主要是網絡設備，因此主要風險是設備的單點故障等問題，這類問題可通過設備冗余的方式解決；互聯域的一個主要作用是各個安全域之間數據的傳輸，因此是對各個安全域間交換數據的最佳監控點。采用的安全技術是利用入侵檢測系統[2]對各個安全域的交換數據進行檢測。
服務域內部：主要安全風險為系統漏洞、業務漏洞、業務違規操作、防系統入侵、數據庫漏洞和數據庫違規操作。采用的安全技術有漏洞掃描系統和ips入侵防御系統。
安全管理支撐域內部：安全管理域承擔著漏洞管理、威脅管理、日志管理、資產管理、信息采編、網絡管理和用戶管理等功能，面臨的安全風險有管理系統的遠程管理、管理人員誤操作、管理人員權限分配問題、管理人員身份確認問題和多系統的有效安全管理問題。部署了所有安全設備的管理服務器，并部署了內網安全管理系統、行為審計系統、網維系統、日志審計系統，用ca/ra認證系統[3]進行身份認證、授權管理和責任認定，用安全管理平臺進行全面統一的管理。
利用安全管理平臺解決安全域防護體系管理問題
在電子政務安全平臺的建設中將不同位置、不同安全系統中分散且海量的安全事件進行匯總、過濾、收集和關聯分析，得出全局角度的安全風險事件，并形成統一的安全決策對安全事件進行響應和處理。系統部署可以分為核心系統部署配置和數據采集系統部署配置兩大步驟。
核心系統部署和配置
核心系統一般包括管理服務器、數據庫服務器、事件采集服務器。管理服務器完成對數據處理、顯示和報告功能；數據庫服務器實現數據存儲功能；事件采集服務器完成對各種安全設備、網絡設備、主機\應用系統的弱點數據采集和威脅數據采集功能。
1.數據采集系統部署和配置
數據采集系統指部署在被評估環境中的各種可以提供弱點數據和威脅數據的設備，包括已有設備和風險評估必須使用的設備。數據采集的范圍和對象包括已有安全設備，防火墻、防病毒、入侵檢測、日志審計等系統數據采集。也包括對核心業務和資產配置數據采集，關鍵數據庫、操作系統日志采集。
2.安全管理平臺的軟件架構
平臺由“四個中心、五個功能模塊”組成。四個中心為漏洞評估中心、運行狀況監控中心、事件/流量監控中心、安全預警風險管理與響應管理中心；五個功能模塊為策略管理、資產管理、用戶管理、安全知識管理、自身系統維護管理。具有以下功能特點：安全事件集中收集和處理、漏洞評估管理、關聯分析、資產管理風險評估、安全事件/流量監控安全、策略管理、響應管理、全面知識管理、多樣化顯示方式以及豐富直觀的報表。
安全管理平臺
1.監控平臺的結構
監控平臺，是安全管理平臺的重要組成部分，它包含遠端安全設備（事件發生）、安全事件收集、事件分析、狀態監視、展現報表等重要組件。除技術之外，還有一個重要組成部分就是運行人員、應急小組和專家隊伍。所以，監控平臺需要相應的管理制度和應急處理流程，在應急處理流程中還應該包括明確的事件升級制度。
監控平臺主要由安全設備集中管理、安全運維流程、應急響應和組織的安全管理四部分組成。
2.安全設備集中管理
集中管理平臺可以自動發現網絡中的網絡設備和安全設備，并且以設備碼的形式對其進行分類，以可視化的拓撲圖形式對其進行管理。
以集中統一的方式收集、存儲整個系統中的網絡設備、安全系統、主機服務器的日志和報警信息。并對所有的日志進行關聯分析，收集和整合所有重復的和相似的事件到單一的事件，采用統一的數據定義格式，形成專業的分析報告。
3.snmp和syslog接口
一方面平臺設備間要進行數據傳輸和搜集，另一方面接口要支持api定制，因此，在電子政務平臺的接口中主要應用snmp和syslog兩種標準接口，其優點是通用性和兼容性好。
（1）snmp接口
簡單網絡管理協議(snmp)是一種應用層協議,便于在網絡設備間交換管理信息。它是tcp/ip協議簇的一部分。網絡管理員使用snmp管理網絡性能,發現和解決網絡故障,并計劃網絡增長。有兩種snmp版本:snmpv1和snmpv2。它們有一些共同的特征,但snmpv2提供增強功能。snmpv3的標準化還沒有完成。
（2）syslog接口
syslog功能是通過信息中心模塊（info-center）實現的，它是信息中心模塊所具有的一個子功能。現在主要對輸出到日志主機的日志格式做簡略的說明。輸出到日志主機采用端口號514。格式根據rfc3164（thebsdsyslogprotocol）制定，并對消息頭部進行擴展。
總結
本文在防護體系設計中采用了很好的“工具”——安全域。通過安全域的劃分，清晰了整個電子政務內網的業務管理、業務邊界和業務區域，這樣通過各個區域的風險分析，有針對性的進行設備和技術的選擇，在保證充分發揮功能的同時，避免了設備功能的重復和無效的資金投入。針對安全管理平臺存在的技術難點，本文通過采用snmp和syslog接口，并試用api接口編輯的方式解決了平臺對于數據采集、多平臺互聯互通問題。
內網安全管理在很多領域都有被應用到，以上只是講述了 電子政務內網的案例，讀者如果想了解更多內網安全的案例，以前的文章中已經介紹。
【編輯推薦】
