系统安全体系设计.docVIP

泉州市公安交通指挥中心整修升级暨指挥中心三台合一工程设计书第六章 PAGE 247 - 第6章 系统安全体系设计 6.1概述 在泉州公安交通指挥中心整修升级项目的整个安全体系建设过程中，需要综合考虑安全要素，主要包含贯穿始终的安全策略、安全评估和安全管理；而在技术层面上需要考虑实体的物理安全，网络的基础结构、网络层的安全、操作系统平台的安全、应用平台的安全，以及在此基础之上的应用数据的安全。这几个方面，既是一种防护基础，也是相互促进的，同时是一个循环递进的工程，需要不断的自我完善和增强，才能够形成一套合理有效的整体安全防护系统。 具体请参照下图： 6.2安全策略 公安交通指挥中心采用安装安全隔离网闸（根据交警支队网络管理实际需求情况，另议）,实现了物理传导上使内、外网络物理隔断，同时确保信息在支队内部之间交换，同时防止内部网信息通过网络连接泄漏到外部网。 对于将来如有业务确须和非公安系统连接时，主要采用防火墙+安全隔离网闸+入侵检测系统加以隔离、防护，内部局域网不同部门或用户之间如果没有采用相应一些访问控制，也可能造成信息泄漏或非法攻击。据统计在网络安全事件中，70%是来自内部。因此内部网的安全风险更严重。内部人员对自身网络结构、应用比较熟悉，将可能成为导致系统受攻击的安全威胁。 因此制订安全管理策略和措施，采用“远程控制、集中管理”的方式对网络中的安全设备和系统进行管理，以确保安全策略的一致性。 6.3安全措施 IP地址和MAC地址的绑定和身份认证 为了防止使用未经登记的设备访问网络服务，在主交换上配置IP地址和MAC地址的对应关系，当终端机访问网络服务时，判断其合法性。 在交换机的端口限制MAC地址，可以有效地防止非法用户的入侵。 绝大多数的用户都是合法用户。但是，如果有非法用户使用自带的笔记本电脑连入计算机网络系统，并使用网络系统所给的合法帐号上网，那么就能取 得服务器的资料，甚至破坏服务器。 每个工作站上网时，交换机在自己的内存中查找所有被允许的MAC，如果能够匹配，交换机就允许该工作站上网，否则交换机自动禁用该端口，使非法工作站无法上网。 VLAN划分及其访问控制 在主交换机上将全单位内网环境按照部门、楼宇划分不同的VLAN。在主交换机上配置了VLAN之间的访问控制，除提供信息服务的VLAN之外，禁止了其它VLAN之间的访问。通过这项措施，使得不同楼宇、不同办公区的同一部门使用网络如同在一起办公。有效地阻止了网络广播的大量散发，通过访问控制限制了各个部门之间的相互干扰。 访问控制列表 Cisco路由器上的访问控制由Access list（访问控制列表）功能实现。Access list选择路由器的端口作为控制点，检查每一个进出的数据包。Access list是基于网络层协议的，支持IP、IPX等多种协议。对于IP，Access list可检查IP包的源地址、目的地址、TCP和UDP、TCP和UDP上的端口号等深层信息，提供了良好的控制能力。Cisco 的Access list，可分离不同部门的不同应用，保证局域网的内部访问安全性。 中心交换机可以隐蔽并保护信息中心服务器群，可以保护重点计算机,可以有效防止对不当资源的访问，如TELNET、FTP等等。 安全审计 安全审计是一个安全的网络必须支持的功能特性，审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能指出系统正被怎样地使用。对于确定是否有网络攻击的情况，审计信息对于确定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据，为网络犯罪行为及泄密行为提供取证基础。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。 网络系统作为企业网络信息系统也应具备安全审计措施。并通过多层次的审计手段，形成一个功能较完备的安全审计系统。具体而言，网络的审计系统应该由三个层次组成，分别是： 网络层层次的安全审计：主要利用网络监控系统来实现。 如针对性的漏洞扫描。 系统的安全审计。主要是利用各种操作系统和应用软件系统的审计功能实现。包括，用户访问时间、操作记录、系统运行信息、资源占用等。 对信息内容的安全审计，属高层审计。 采用各层次的安全审计措施是网络安全系统的重要组成部分。 该项工作需要购置部门级网络安全审计系统。主要达到以下目的： 阻止内网终端拨号上网或提供拨号服务； 阻止计算机运行嗅探程序或有扫描软件扫描端口； 阻止并阻断黑客攻击和侵入，并能记录来源； 阻止木马攻击； 防堵因系统原因造成的网络漏洞； 特殊情况下，控制台可完全接管终端； 控制台的数据及报