交通指挥中心系统安全体系设计说明书.doc

交通指挥中心系统安全体系设计说明书1概述在公安交通指挥中心整修升级项目的整个安全体系建设过程中,需要综合考虑安全要素,主要包含贯穿始终的安全策略、安全评估和安全管理；而在技术层面上需要考虑实体的物理安全,网络的基础结构、网络层的安全、操作系统平台的安全、应用平台的安全,以及在此基础之上的应用数据的安全这几个方面,既是一种防护基础,也是相互促进的,同时是一个循环递进的工程,需要不断的自我完善和增强,才能够形成一套合理有效的整体安全防护系统具体请参照下图：2安全策略公安交通指挥中心采用安装安全隔离网闸〔根据交警支队网络管理实际需求情况,另议,实现了物理传导上使、外网络物理隔断,同时确保信息在支队部之间交换,同时防止部网信息通过网络连接泄漏到外部网对于将来如有业务确须和非公安系统连接时,主要采用防火墙+安全隔离网闸+入侵检测系统加以隔离、防护,部局域网不同部门或用户之间如果没有采用相应一些访问控制,也可能造成信息泄漏或非法攻击据统计在网络安全事件中,70%是来自部因此部网的安全风险更严重部人员对自身网络结构、应用比较熟悉,将可能成为导致系统受攻击的安全威胁因此制订安全管理策略和措施,采用"远程控制、集中管理"的方式对网络中的安全设备和系统进行管理,以确保安全策略的一致性。

3安全措施6.3.1 IP地址和MAC地址的绑定和身份认证为了防止使用未经登记的设备访问网络服务,在主交换上配置IP地址和MAC地址的对应关系,当终端机访问网络服务时,判断其合法性在交换机的端口限制MAC地址,可以有效地防止非法用户的入侵绝大多数的用户都是合法用户但是,如果有非法用户使用自带的笔记本电脑连入计算机网络系统,并使用网络系统所给的合法上网,那么就能取得服务器的资料,甚至破坏服务器每个工作站上网时,交换机在自己的存中查找所有被允许的MAC,如果能够匹配,交换机就允许该工作站上网,否则交换机自动禁用该端口,使非法工作站无法上网6.3.2 VLAN划分及其访问控制 在主交换机上将全单位网环境按照部门、楼宇划分不同的VLAN在主交换机上配置了VLAN之间的访问控制,除提供信息服务的VLAN之外,禁止了其它VLAN之间的访问通过这项措施,使得不同楼宇、不同办公区的同一部门使用网络如同在一起办公有效地阻止了网络广播的大量散发,通过访问控制限制了各个部门之间的相互干扰6.3.3 访问控制列表Cisco路由器上的访问控制由Access list〔访问控制列表功能实现Access list选择路由器的端口作为控制点,检查每一个进出的数据包。

Access list是基于网络层协议的,支持IP、IPX等多种协议对于IP,Access list可检查IP包的源地址、目的地址、TCP和UDP、TCP和UDP上的端口号等深层信息,提供了良好的控制能力Cisco 的Access list,可分离不同部门的不同应用,保证局域网的部访问安全性中心交换机可以隐蔽并保护信息中心服务器群,可以保护重点计算机,可以有效防止对不当资源的访问,如TELNET、FTP等等6.3.4 安全审计安全审计是一个安全的网络必须支持的功能特性,审计是记录用户使用计算机网络系统进行所有活动的过程,它是提高安全性的重要工具它不仅能够识别谁访问了系统,还能指出系统正被怎样地使用对于确定是否有网络攻击的情况,审计信息对于确定问题和攻击源很重要同时,系统事件的记录能够更迅速和系统地识别问题,并且它是后面阶段事故处理的重要依据,为网络犯罪行为及泄密行为提供取证基础另外,通过对安全事件的不断收集与积累并且加以分析,有选择性地对其中的某些站点或用户进行审计跟踪,以便对发现或可能产生的破坏性行为提供有力的证据网络系统作为企业网络信息系统也应具备安全审计措施并通过多层次的审计手段,形成一个功能较完备的安全审计系统。

具体而言,网络的审计系统应该由三个层次组成,分别是：ü 网络层层次的安全审计：主要利用网络监控系统来实现 如针对性的漏洞扫描ü 系统的安全审计主要是利用各种操作系统和应用软件系统的审计功能实现包括,用户访问时间、操作记录、系统运行信息、资源占用等 ü 对信息容的安全审计,属高层审计 a) 采用各层次的安全审计措施是网络安全系统的重要组成部分该项工作需要购置部门级网络安全审计系统主要达到以下目的：ü 阻止网终端拨号上网或提供拨号服务；ü 阻止计算机运行嗅探程序或有扫描软件扫描端口；ü 阻止并阻断黑客攻击和侵入,并能记录来源；ü 阻止木马攻击；ü 防堵因系统原因造成的网络漏洞；ü 特殊情况下,控制台可完全接管终端；ü 控制台的数据及报警记录的管理、分析6.4 系统安全6.4.1 系统审计措施 在部署好主机/服务器的安防措施之后,需要对它们的配置情况进行审计以保证主机/服务器系统得到了有效的保护系统审计的策略和方法有很多,所网的系统管理员应该根据具体的情况制订恰当的审计策略并选择合适的审计工具6.4.2 对数据中心的重点保护 安装百兆防火墙和部署百兆入侵探测系统,对信息中心的服务器进行重点保护,隐藏其真实的IP地址,开放有限的端口,对流经的IP包进行强度扫描和过滤。

6.4.3 漏洞扫描和探测 通过和网络规划联动,将提供服务和重要的计算机划分不同的VLAN,定期对这些设备进行漏洞扫描和探测6.4.4 病毒防护措施 病毒是网络上另一个不可轻视的安全问题由于病毒自身普遍具有较强的再生机制,并且网络上各种信息的交换频繁,从而大大增加了病毒接触不同用户的机会,病毒如果不被有效地控制,它对计算机的影响将是灾难性的考虑到病毒的上述特性,网络的病毒防护系统必须具备集中式的管理功能,并且能够覆盖从桌面计算机到服务器系统的所有平台6.4.5 重点计算机防护措施 如前所述,采取的措施之一是在防火墙上设置对重点计算机的保护；措施之二是安装安全审计系统客户端除了这两点之外,还可以安装符合个人特点的防火墙这些措施的结合可以在防止不合适的人访问重点计算机的容,甚至攻击6.4.6 重点计算级文件的加密措施在重点计算机上,配置专用的加密设施,达到以下目的：ü 计算机中的文件离开本机后,因为是加密后的密文,不可用；ü 应用的对象可以是部分盘符,也可以是部分文件夹；ü 加密文件传递后,可采用对等解密6.4.7 CA/PKI身份验证措施 全单位网络访问的用户配置唯一的用户证书和唯一的一对公钥/私钥,在应用过程中进行基于身份的加密传输和加密存储。

6.4.8 数据备份 目前,需要购买数据备份产品,来满足网络在数据备份与恢复方面的基本需求另外,可以实施了异地备份策略,进一步保障了系统的数据安全6.4.9 安全防护系统的维护和监控 设计和部署防护系统的体系结构只是建立安防体系的第一步当一切都安装部署到位并开始进入实际使用阶段之后,安防工作的重点将转移到维护和监控工作上来维护和监控的目标是让自己的系统和网络跟上形式的发展变化,按照实际需要调整系统的配置情况,并且对可疑的行为进行分析和研究我们考虑,网络的维护和监控工作主要应包括以下几个步骤：b) 与最新的补丁和升级同步 事实表明,大部分成功的攻击其罪魁祸首只是软件中数量很少的几种"老"脆弱点攻击者之所以会利用这些最简单方便的脆弱点,是因为利用这些"著名"安防漏洞的工具在因特网上到处都有；而攻击者之所以能够得手却完全是因为众多的企业自身对这些"著名"的安防漏洞视而不见,给攻击者以可乘之机c) 监控和分析日志文件每一台系统都会生成日志文件,Windows服务器会生成事件日志,Unix服务器会产生Syslog日志,而Web服务器软件、防火墙、入侵监测系统以及其它第三方应用软件、安防产品也会生成各种各样的日志文件。

对这些日志文件的监控和分析,可以帮助我们准确地理解所网中都发生了那些事情d) 定期复查系统配置为了确保系统不因非法的对系统配置进行修改而产生安全问题,应定期地复查关键系统的系统配置当然,如果需要复查的系统太多,一台一台系统地检查它们的配置是不现实的,这时应该采用一些工具软件来提供帮助,如微软公司的Security Configuration Manager和Sun公司的Security Manager套装软件e) 密切关注安防表安防表〔如：.securityfocus.和是了解新动态和新技术的最佳场所通过密切关注安防表〔尤其是关注那些与所网中最宝贵和最容易受到攻击的系统有关的消息,我们可以及时掌握第一手资料并采取相应的措施相反,如果不重视这些表,一种全新的攻击手法就有可能会给所网带来很大的伤害6.4.10 其它方面的考虑6.4.10.1 安全评估随着入侵手段的日益复杂和通用系统不时出现的安全缺陷,预先评估分析网络系统中存在的安全问题,已经成为网络管理员们的重要需求基于网络的安全扫描主要扫描设定网络的服务器、路由器、网桥、交换机、访问服务器、防火墙等设备的安全漏洞,并可设定模拟攻击,以测试系统的防御能力。

这种技术模拟入侵者可能的攻击行为,从系统外部进行扫描,以探测是否存在可以被入侵者利用的系统安全薄弱之处远程安全评估系统是一套典型的模拟黑客攻击,发现网络潜在安全风险的系统RSAS 通过不同功能的检测模块,收集和测试网络的信息和远程安全风险所在,并以直观的方式报告给使用者,提供解决方案的建议,在经过分析后,还可帮助使用者了解自己网络的风险变化趋势和严重风险点,从而有效降低网络的总体风险,保护关键业务和数据 主要目的：ü 同时扫描不限数量的目标主机能力：在安全扫描中,只要硬件设备的资源能够承受,用户可以同时扫描两台、十台、四十台甚至更多的主机与通常的软件扫描器相比,由于承载的硬件嵌入系统平台经过特别优化,其扫描效率远远高于一般的安全扫描软件ü 完备的检测模块：能检测800条以上最重要和全新的安全问题,包括多种流行操作系统 , 设备 和应用服务 ü 针对大规模网络系统的安全管理与检测定制：要考虑到数千台系统、多级管理员这样的大规模网络评估的需求,从而开发出具有强大而灵活的分级用户管理和权限设置的评估系统。

ü 强大的任务管理功能：充分满足大规模复杂网络的安全检测,能方便的制订不同频率和级别的扫描计划ü 强大方便的模版定义：置多种预定义模版,和多样的模版自定义能力,使得安全管理员在配置时得心应手6.4.10.2 主机加固措施 操作系统的硬化对于所网中特殊功用的服务器来说是十分重要的,不合理的系统配置等于向非授权访问敞开了大门因此建议,系统管理员在细致分析各服务器角色的基础上,尽可能地减少服务器与外界的交流渠道,尽可能地减少在服务器上面运行的不必要的服务项目6.4.10.3 网系统安全措施 在网的具有较高级别的产品进行加密传输,具有抗抵赖、规则检验和防篡改功能该措施需要与PKI/CA一并考虑实施6.4.10.4 安全服务 安全服务是一个完整安全体系中不可或缺的一部分,安全服务和各种安全产品和技术的融合使用,才能真正地保障一个大型网络的动态和持续安全主要包括以下功能：ü 网络安全评估：全方位的监测服务,包括本地和远程的评估计划；ü 网络安全咨询服务：、Email、WWW等多种咨询服务；ü 网络安全产品的销售、服务和测试；ü 网络安全培训：多层次的技术培训；ü 紧急响应：使系统恢复正常工作,协助检查入侵来源、事故分析报告ü 网络安全通告：全。