鎮(zhèn)江市海事局信息化安全升級(jí)改造簡(jiǎn)介
一、項(xiàng)目總體規(guī)劃
1.1、項(xiàng)目建設(shè)目標(biāo)
為保證改局業(yè)務(wù)系統(tǒng)的高可靠性、高安全性和高冗余性。針對(duì)目前現(xiàn)有狀況，此次信息化升級(jí)改造建設(shè)的總體建設(shè)目標(biāo)為：
1）建立對(duì)外服務(wù)區(qū)域，將涉及對(duì)外服務(wù)的應(yīng)用系統(tǒng)（網(wǎng)站、微信、郵件及需要對(duì)公眾開放的系統(tǒng)等）與專網(wǎng)應(yīng)用系統(tǒng)隔離；
2）繼續(xù)構(gòu)筑統(tǒng)一規(guī)范的安全保障體系；
3）對(duì)現(xiàn)有數(shù)據(jù)中心架構(gòu)進(jìn)行改造；
4）建立一個(gè)統(tǒng)一的系統(tǒng)運(yùn)營(yíng)監(jiān)控支撐平臺(tái)；
5）對(duì)現(xiàn)有基礎(chǔ)網(wǎng)絡(luò)平臺(tái)進(jìn)行優(yōu)化；
6）建立災(zāi)備數(shù)據(jù)中心，實(shí)現(xiàn)關(guān)鍵業(yè)務(wù)和數(shù)據(jù)的安全穩(wěn)定運(yùn)行。
1.2、項(xiàng)目建設(shè)的可行性
從網(wǎng)絡(luò)建設(shè)方面來(lái)看，鎮(zhèn)江市該局已經(jīng)具備了基礎(chǔ)的網(wǎng)絡(luò)結(jié)構(gòu)體系，連組成了基于TCP/IP的企業(yè)級(jí)網(wǎng)絡(luò)，為網(wǎng)絡(luò)應(yīng)用系統(tǒng)的高效安全建設(shè)奠定了基本的物理基礎(chǔ)。
從網(wǎng)絡(luò)技術(shù)方面來(lái)看， IT信息部門對(duì)整個(gè)該局網(wǎng)絡(luò)進(jìn)行建設(shè)，完全具備提供網(wǎng)絡(luò)安全、應(yīng)用系統(tǒng)安全的完整解決方案的能力。
從組織管理方面來(lái)看，該局IT信息部門經(jīng)過(guò)多年的建設(shè)，各個(gè)業(yè)務(wù)系統(tǒng)建設(shè)已具規(guī)模，企業(yè)的信息化管理者積累了豐富的組織實(shí)施經(jīng)驗(yàn)。
從生產(chǎn)方面來(lái)看，該局擁有眾多應(yīng)用系統(tǒng)，且越來(lái)越重視信息化建設(shè)，在工業(yè)信息化方面進(jìn)行了持續(xù)建設(shè)，為更好的實(shí)現(xiàn)信息化和自動(dòng)化全面共同融合發(fā)展。
綜上所述，該局具備了對(duì)其所轄?wèi)?yīng)用系統(tǒng)統(tǒng)一建設(shè)的條件，能夠建立起標(biāo)準(zhǔn)的、規(guī)范的該局信息化整體框架體系。
1.3、設(shè)計(jì)思路
進(jìn)行該局信息化總體設(shè)計(jì)，首先要進(jìn)行對(duì)象研究和需求調(diào)查，明確業(yè)務(wù)的性質(zhì)、任務(wù)和改革發(fā)展的特點(diǎn)及系統(tǒng)建設(shè)的需求和條件，對(duì)公司的信息化環(huán)境進(jìn)行準(zhǔn)確的描述；其次，在應(yīng)用需求分析的基礎(chǔ)上，確定各個(gè)應(yīng)用系統(tǒng)服務(wù)類型，進(jìn)而確定系統(tǒng)建設(shè)的具體目標(biāo)，包括網(wǎng)絡(luò)設(shè)施、站點(diǎn)設(shè)置、開發(fā)應(yīng)用和管理等方面的目標(biāo)；第三是確定構(gòu)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和功能，根據(jù)應(yīng)用需求建設(shè)目標(biāo)，進(jìn)行系統(tǒng)分析和設(shè)計(jì)；第四，確定技術(shù)設(shè)計(jì)的原則要求，如在技術(shù)選型、布線設(shè)計(jì)、設(shè)備選擇、軟件配配置等方面的標(biāo)準(zhǔn)和要求；第五，規(guī)劃網(wǎng)絡(luò)和系統(tǒng)建設(shè)的實(shí)施步驟。
該總體設(shè)計(jì)方案的科學(xué)性，應(yīng)該體現(xiàn)在能否滿足以下基本要求方面：
1）整體規(guī)劃安排；
2）先進(jìn)性、開放性和標(biāo)準(zhǔn)化相結(jié)合；
3）結(jié)構(gòu)合理，便于維護(hù)；
4）加強(qiáng)安全防護(hù)，確保數(shù)據(jù)完整性、可用性；
5）高效實(shí)用，保障業(yè)務(wù)連續(xù)性；
二、外網(wǎng)對(duì)外服務(wù)區(qū)建設(shè)建議
對(duì)外服務(wù)區(qū)域是指該局有諸多利用互聯(lián)網(wǎng)的應(yīng)用系統(tǒng)，而之前這些應(yīng)用系統(tǒng)都部署在專網(wǎng)，在于互聯(lián)網(wǎng)鏈接時(shí)存在安全隱患，不利于專網(wǎng)數(shù)據(jù)的安全，本方案建議該局在外網(wǎng)互聯(lián)網(wǎng)出口處建立對(duì)外服務(wù)區(qū)域，將對(duì)外業(yè)務(wù)與專網(wǎng)核心業(yè)務(wù)系統(tǒng)分離，保障專網(wǎng)的安全。
在對(duì)外服務(wù)區(qū)域，該局可對(duì)外統(tǒng)一發(fā)布信息和向社會(huì)提供信息服務(wù)、業(yè)務(wù)辦理和管理監(jiān)督等政務(wù)活動(dòng)，當(dāng)然也包括郵件、網(wǎng)站、微信等應(yīng)用的部署。
建立對(duì)外服務(wù)區(qū)域后，可將對(duì)外前端應(yīng)用放置在對(duì)外服務(wù)區(qū)域，對(duì)需要與專網(wǎng)進(jìn)行交互的數(shù)據(jù)，可通過(guò)前置機(jī)，利用網(wǎng)閘進(jìn)行數(shù)據(jù)安全交換，最大限度保障專網(wǎng)安全。針對(duì)WEB安全及郵件的安全設(shè)備也可集中部署在此區(qū)域前端， 再結(jié)合互聯(lián)網(wǎng)出口區(qū)域的安全防護(hù)策略，保障對(duì)外服務(wù)區(qū)域的安全。如圖所示：
三、信息安全保障體系建設(shè)建議
1）互聯(lián)網(wǎng)邊界安全防護(hù)：
2）對(duì)外服務(wù)區(qū)安全（在建）
3）外網(wǎng)終端用戶區(qū)安全
4）專網(wǎng)專線接入?yún)^(qū)安全
5）內(nèi)部核心數(shù)據(jù)區(qū)安全
盡管目前網(wǎng)絡(luò)系統(tǒng)中己采取了部分安全防護(hù)措施，但是，由于網(wǎng)絡(luò)結(jié)構(gòu)比較復(fù)雜，而且涉及多系統(tǒng)之間的協(xié)調(diào)，仍然存在大量的安全隱患。如果不加控制管理，可能帶來(lái)的網(wǎng)絡(luò)安全威脅是相當(dāng)現(xiàn)實(shí)。一旦網(wǎng)絡(luò)信息系統(tǒng)被病毒、黑客所威脅將是不可忍受的。網(wǎng)絡(luò)一旦發(fā)生故障，帶來(lái)的損失是不可估量的，而在信息系統(tǒng)被破壞后再也無(wú)法挽回已經(jīng)造成的損失。
3.2、安全技術(shù)層面需求分析
3.2.1 、外網(wǎng)平臺(tái)安全需求
主要指該局網(wǎng)絡(luò)平臺(tái)的所有外部網(wǎng)絡(luò)邊界，包括：
互聯(lián)網(wǎng)邊界：互聯(lián)網(wǎng)接入主要用于提供對(duì)外基于互聯(lián)網(wǎng)的WEB業(yè)務(wù)及外網(wǎng)用戶辦公，因此在同一個(gè)邊界具備兩種屬性。外網(wǎng)邊界直接面臨社會(huì)各界用戶，使用環(huán)境復(fù)雜面臨的安全風(fēng)險(xiǎn)極大。各類復(fù)合網(wǎng)絡(luò)攻擊手段以及針對(duì)網(wǎng)站的流量攻擊均是常見的安全威脅。應(yīng)予以嚴(yán)格的安全防護(hù)手段在此邊界進(jìn)行設(shè)防，維護(hù)整個(gè)網(wǎng)絡(luò)不被外部侵入。
專網(wǎng)邊界：該邊界位于該局與糧油專網(wǎng)之間。主要需要考慮防止內(nèi)部的非法訪問(wèn)以及病毒、蠕蟲等惡性安全事件的快速蔓延。
在該局網(wǎng)絡(luò)中，可以劃分處多個(gè)網(wǎng)絡(luò)安全域，包括外網(wǎng)互聯(lián)區(qū)、內(nèi)網(wǎng)電子交易網(wǎng)絡(luò)、數(shù)據(jù)中心區(qū)和安全管理區(qū)等等。這些安全域之間存在著內(nèi)部邊界，為能更加有針對(duì)性的對(duì)各安全域進(jìn)行防護(hù)，在不同的邊界應(yīng)采取不同的邊界防護(hù)措施。
對(duì)于外部用戶訪問(wèn)的接入存在兩種方式：專線方式、互聯(lián)網(wǎng)方式。通過(guò)互聯(lián)網(wǎng)進(jìn)行接入傳輸?shù)臄?shù)據(jù)屬于電子商務(wù)內(nèi)部的信息，這些敏感的數(shù)據(jù)信息在互聯(lián)網(wǎng)上十分容易被非法竊取、篡改或刪除。因此必須采用技術(shù)手段保證數(shù)據(jù)的機(jī)密性、完整性以及可用性。
終端設(shè)備部署較為分散，難于統(tǒng)一管理，操作人員的計(jì)算機(jī)水平也參差不齊，因此終端設(shè)備的安全管理成為網(wǎng)絡(luò)管理人員最為棘手的安全問(wèn)題。終端泄密、非授權(quán)訪問(wèn)、內(nèi)部攻擊等都都對(duì)數(shù)據(jù)中心安全造成威脅。各類終端和服務(wù)器系統(tǒng)的補(bǔ)丁管理同樣是一個(gè)重要問(wèn)題。不及時(shí)的給系統(tǒng)打漏洞補(bǔ)丁會(huì)造成蠕蟲以及不懷好意者的入侵。
病毒是對(duì)計(jì)算環(huán)境造成危害最大的隱患，當(dāng)前病毒威脅非常嚴(yán)峻，特別是蠕蟲病毒的爆發(fā)，會(huì)立刻向其他子網(wǎng)迅速蔓延，這樣會(huì)大量占據(jù)正常業(yè)務(wù)十分有限的帶寬，造成網(wǎng)絡(luò)性能嚴(yán)重下降甚至網(wǎng)絡(luò)通信中斷，嚴(yán)重影響正常業(yè)務(wù)開展。因此必須采取有效手段進(jìn)行查殺，阻止病毒的蔓延危害整個(gè)數(shù)據(jù)中心。
對(duì)于服務(wù)器和重要主機(jī)需要進(jìn)行嚴(yán)格的行為控制，對(duì)用戶的行為、使用的命令等進(jìn)行必要的記錄審計(jì)，同時(shí)生成審計(jì)報(bào)表，便于日后的分析、調(diào)查、取證。
對(duì)于關(guān)鍵的數(shù)據(jù)庫(kù)系統(tǒng)需要進(jìn)行審計(jì)。異常的數(shù)據(jù)庫(kù)操作將會(huì)造成數(shù)據(jù)的不完整和數(shù)據(jù)丟失，必須對(duì)管理員特別是數(shù)據(jù)庫(kù)管理員的操作行為進(jìn)行審計(jì)，一方面完整記錄數(shù)據(jù)庫(kù)的操作行為，另一方面對(duì)高危操作進(jìn)行及時(shí)阻止干預(yù)。最大限度的保護(hù)審計(jì)署核心信息資產(chǎn)的安全。
攻擊行為不僅來(lái)自于大家公認(rèn)的互聯(lián)網(wǎng)等外部網(wǎng)絡(luò)，在內(nèi)部也要防止攻擊行為。通過(guò)部署安全措施，要實(shí)現(xiàn)主動(dòng)阻斷針對(duì)信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等，能防御針對(duì)操作系統(tǒng)漏洞的攻擊，能夠?qū)崿F(xiàn)應(yīng)用層的安全防護(hù)，保護(hù)核心信息資產(chǎn)的免受攻擊危害。
無(wú)論是審計(jì)、入侵檢測(cè)或是防病毒，某種意義上來(lái)說(shuō)都是被動(dòng)防御，大都不具備主動(dòng)防御的能力。如在危險(xiǎn)來(lái)臨之前就能主動(dòng)加固系統(tǒng)，增強(qiáng)系統(tǒng)本身的抵御能力，則在實(shí)際運(yùn)行中發(fā)揮十分重要的作用。
WLAN具有安裝便捷、使用靈活、經(jīng)濟(jì)節(jié)約、易于擴(kuò)展等有線網(wǎng)絡(luò)無(wú)法比擬的優(yōu)點(diǎn)，但是由于無(wú)線局域網(wǎng)信道開放的特點(diǎn)，使攻擊者能夠很容易的進(jìn)行竊聽，惡意修改，802.11協(xié)議提供的無(wú)線安全性能可以很好地抵御一般性網(wǎng)絡(luò)攻擊，但是仍有少數(shù)黑客能夠入侵無(wú)線網(wǎng)絡(luò)，從而無(wú)法充分保護(hù)包含敏感數(shù)據(jù)的網(wǎng)絡(luò)。