某某集团信息安全建设项目设计方案.doc

某某集团信息安全建设项目设计方案 概述 同时随着全球化和网络化，全球信息化建设的加快对我国的影响越来越大,网络网络近两年来，黑客攻击、网络病毒等等已经屡见不鲜，而且一次比一次破坏力大，对网络信息安全造成的威胁也越来越大，一旦网络存在安全隐患，遭受重大损失在所难免。**集团的安全现状了以下方案，以此来保障**集团资源的安全性、可用性和完整性。 信息安全分析 资产 在本方案中，**集团网络的相关资产包括： 有形资产：有通信基础设备、网络设备（路由器、交换机、防火墙等）、主机（含外购的操作系统、数据库管理系统、邮件服务器等）、外围设备、存储设备、数据介质等构成的IT支撑系统； 无形资产：业务系统，业务数据，数字化的业务相关信息与知识（以文档或程序的形式存在）。 本次**集团网络信息安全建设的内容就在于保障上述有形及无形资产。 弱点 资产包括有形资产和无形资产两部分，相应的弱点主要包括： 通信基础设施、网络设备、主机、外围设备、存储设备、数据介质等“硬件”的物理安全弱点。主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等…，这些接口已经成为企业内部网络的另一道边界。不能管理内部PC通过这些接口上网，就类似在防火墙的城堡下，存在很多没有安全警卫的后门、小道，内部内部网络的安全性无法保障。 其次，在传统的企业网络中，终端具有固定的办公位置，内部网络相对是静态的。然而随着移动终端的普及（便携机销售超过台式机），产生了移动办公方式，内部网络上接入的终端变得动态化。一方面，员工的终端可能在多个位置动态接入内部网络；另一方面，各种非公终端也可能接入内网（包括员工个人PC，以及合作伙伴，客户的PC）。随着用户PC的不断接入，内部网络的边界在不断扩充。内部网络的动态化，需要我们从另外一个视角来看边界安全问题。在内网边界动态变化的过程中，我们必须在新加入的PC这一新的边界上，进行必要的安全检察，配置必要的安全防护，才能满足网络安全的需要。 目前大多数的终端安全解决方案中，网关安全和终端安全是孤立起来考虑的，不能做到有效的协同。但随着终端的边界化，只有站在网关的视点来看待终端安全，才能确保内网的真正安全。要使得网关和终端能够完美融合，真正的起到纵深防御，遥相呼应，需要在网关产品上整合终端安全策略，在网关产品上对内网终端进行统一的安全管理。 信息安全体系建设 建设原则 在设计技术方案时遵从以下原则：原则 对信息全面均衡保护提高整个系统的安全最低点的安全性能。 平衡原则 等级原则动态发展原则 不断 安全网关(UTM)设计 部署方案 根据**集团网络的现状和日后的发展需要，通过安全域划分原则部署和配置 我公司的一体化安全网关（UTM）设备： 1、中心接入域： 合法接入控制：接入域内各子域边界的访问控制以及对应用数据进行安全过滤，对接入的数据或者用户进行身份认证与授权。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的病毒传播。 抗拒绝服务攻击：根据网络异常行为判断出拒绝服务攻击并予以阻断。 传输安全：接入域和其他安全域的互联方式可能需要加密传输，因此需要对敏感数据采用VPN技术进行加密。 2、中心办公域： 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 抗拒绝服务攻击：根据网络异常行为判断出拒绝服务攻击并予以阻断。 防泄密：监控接入域客户的非业务流量，特别是进行文件和信息交换的协议，比如：电子邮件、FTP、WEB访问等。通过控制文件传输以及纪录文件传输行为两种方式进行防泄密保护。 内容过滤：对基于标准协议的内容进行过滤，防止色情、非法信息的下载与传播。 上网行为管理：对IM应用进行管理和控制，对P2P/网络视频等行为进行阻断或者限流，确保带宽的有效利用。 防垃圾邮件：防止邮件炸弹攻击，对垃圾邮件进行过滤，提升工作效率。 3、中心生产域: 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 安全审计：对所有与业务相关的通讯进行纪录，保证可进行事后分析和可追查性检查。 4、中心服务域: 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现并阻断可能出现的蠕虫传播。 抗拒绝服务攻击：根据网络异常行为判断出拒绝服务攻击并予以阻断。 5、二级机构办公域： 合法接入控制：仅允许可信主机进入办公域，同时仅允许有业务需求的主机访问外部网络。 防入侵：检测来自外部的入侵行为并予以阻断。 病毒过滤：发现