一、项目总体规划

1.1、项目建设目标

        为保证改局业务系统的高可靠性、高安全性和高冗余性。针对目前现有状况，此次信息化升级改造建设的总体建设目标为： 

        1）建立对外服务区域，将涉及对外服务的应用系统（网站、微信、邮件及需要对公众开放的系统等）与专网应用系统隔离；

        2）继续构筑统一规范的安全保障体系；

        3）对现有数据中心架构进行改造；

        4）建立一个统一的系统运营监控支撑平台；

        5）对现有基础网络平台进行优化； 

        6）建立灾备数据中心，实现关键业务和数据的安全稳定运行。

1.2、项目建设的可行性

        从网络建设方面来看，镇江市该局已经具备了基础的网络结构体系，连组成了基于TCP/IP的企业级网络，为网络应用系统的高效安全建设奠定了基本的物理基础。

        从网络技术方面来看， IT信息部门对整个该局网络进行建设，完全具备提供网络安全、应用系统安全的完整解决方案的能力。

        从组织管理方面来看，该局IT信息部门经过多年的建设，各个业务系统建设已具规模，企业的信息化管理者积累了丰富的组织实施经验。

        从生产方面来看，该局拥有众多应用系统，且越来越重视信息化建设，在工业信息化方面进行了持续建设，为更好的实现信息化和自动化全面共同融合发展。

        综上所述，该局具备了对其所辖应用系统统一建设的条件，能够建立起标准的、规范的该局信息化整体框架体系。

1.3、设计思路

        进行该局信息化总体设计，首先要进行对象研究和需求调查，明确业务的性质、任务和改革发展的特点及系统建设的需求和条件，对公司的信息化环境进行准确的描述；其次，在应用需求分析的基础上，确定各个应用系统服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；第三是确定构网络拓扑结构和功能，根据应用需求建设目标，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配配置等方面的标准和要求；第五，规划网络和系统建设的实施步骤。 

        该总体设计方案的科学性，应该体现在能否满足以下基本要求方面：

        1）整体规划安排；

        2）先进性、开放性和标准化相结合；

        3）结构合理，便于维护；

        4）加强安全防护，确保数据完整性、可用性；

        5）高效实用，保障业务连续性；

二、外网对外服务区建设建议

         对外服务区域是指该局有诸多利用互联网的应用系统，而之前这些应用系统都部署在专网，在于互联网链接时存在安全隐患，不利于专网数据的安全，本方案建议该局在外网互联网出口处建立对外服务区域，将对外业务与专网核心业务系统分离，保障专网的安全。

        在对外服务区域，该局可对外统一发布信息和向社会提供信息服务、业务办理和管理监督等政务活动，当然也包括邮件、网站、微信等应用的部署。

        建立对外服务区域后，可将对外前端应用放置在对外服务区域，对需要与专网进行交互的数据，可通过前置机，利用网闸进行数据安全交换，最大限度保障专网安全。针对WEB安全及邮件的安全设备也可集中部署在此区域前端， 再结合互联网出口区域的安全防护策略，保障对外服务区域的安全。如图所示：

三、信息安全保障体系建设建议

3.1、现有应用架构和安全建设分析

      3.1.1、现有网络架构                  

        该局根据应用需求，己建成相对独立的网络信息系统，信息安全建设已颇具规模，该局现有网络结构（略）           

        3.1.2、现有安全建设

        该局在网络信息系统建设过程中，针对系统运行过程中可能面临的信息安全问题，进行了信息安全系统的初步建设。具体建设内容包括：

          1）互联网边界安全防护：

• 己在互联网出口处部署FORTIGATE防火墙，实现外网互联区域的访问控制，防止来自外网的攻击和非法访问；
• 部署了深信服负载均衡设备AD1600，提供互联网链路和服务器负载均衡，实现资源的自由按需调度，提高链路和服务器访问效率；
• 部署了绿盟NIPS1000，提供对来自互联网入侵行为的防护，对访问状态进行检测、对通信协议和应用协议进行检测、对内容进行深度的检测，识别网络中发生的入侵行为并实时报警并且进行有效拦截防护，保障该局的整体网络安全。
• 己在互联网出口处部署深信服上网行为管理AC1800，实现宽带资源的合理利用，限制非法网络应用，提高互联网应用性能和效率。

          2）对外服务区安全（在建） 

• 采用反垃圾邮件系统，保障邮件访问和使用安全,抵御来自邮件的攻击。
• 采用绿盟WEB应用防火墙WAF P600,提供专业的WEB应用攻击防护能力，保证WEB应用的连续性和高可用性，对SQL注入攻击、跨站脚本攻击、网页篡改、网页挂马等攻击进行防护，有效防止敏感信息泄漏，能够提供最佳安全成本，有效降低安全风险。

           3）外网终端用户区安全

• 采用360防病毒企业版，加强终端主机的病毒防护能力，可以在一定程度上避免蠕虫病毒爆发时的大流量冲击。同时，防毒系统提供关于病毒威胁和事件的监控、审计日志，为全网的病毒防护管理提供必要的信息

            4）专网专线接入区安全

• 无

            5）内部核心数据区安全

• 部署了备份系统，对系统及数据进行全面的备份，防止因系统损坏、数据丢失造成的一系列问题。

        尽管目前网络系统中己采取了部分安全防护措施，但是，由于网络结构比较复杂，而且涉及多系统之间的协调，仍然存在大量的安全隐患。如果不加控制管理，可能带来的网络安全威胁是相当现实。一旦网络信息系统被病毒、黑客所威胁将是不可忍受的。网络一旦发生故障，带来的损失是不可估量的，而在信息系统被破坏后再也无法挽回已经造成的损失。

        3.2、安全技术层面需求分析

        由于网络体系越来越复杂，应用系统越来越多，网络规模不断扩大，再加上与Internet或非信任网络的连接，网络用户也已经不单单是绝对的内部用户，对整个网络安全形成了巨大的威胁，因此整个网络承受着来自外部、内部、黑客、病毒、应用、管理等各方面威胁。通过以上对该局的风险分析，我们发现仍然存在大量安全威胁需要通过相应措施进行防护和管理。                                                                                                                                        基于以上建设框架，对于该局信息化系统，仍需要重点关注如下可能面临的安全威胁。

        3.2.1 、外网平台安全需求

• 外部边界防护

        主要指该局网络平台的所有外部网络边界，包括：

        互联网边界：互联网接入主要用于提供对外基于互联网的WEB业务及外网用户办公，因此在同一个边界具备两种属性。外网边界直接面临社会各界用户，使用环境复杂面临的安全风险极大。各类复合网络攻击手段以及针对网站的流量攻击均是常见的安全威胁。应予以严格的安全防护手段在此边界进行设防，维护整个网络不被外部侵入。

        专网边界：该边界位于该局与粮油专网之间。主要需要考虑防止内部的非法访问以及病毒、蠕虫等恶性安全事件的快速蔓延。

• 内部安全域边界

在该局网络中，可以划分处多个网络安全域，包括外网互联区、内网电子交易网络、数据中心区和安全管理区等等。这些安全域之间存在着内部边界，为能更加有针对性的对各安全域进行防护，在不同的边界应采取不同的边界防护措施。

• 数据传输安全

        对于外部用户访问的接入存在两种方式：专线方式、互联网方式。通过互联网进行接入传输的数据属于电子商务内部的信息，这些敏感的数据信息在互联网上十分容易被非法窃取、篡改或删除。因此必须采用技术手段保证数据的机密性、完整性以及可用性。

        3.2.2、计算环境安全需求

        保护计算环境关注的是采用信息保障技术确保用户信息在进入、离开或驻留客户机与服务器时具有可用性、完整性和秘密性。主要是指主机硬件、OS，应用软件等的安全需求。包括：

• 终端行为的管理

        终端设备部署较为分散，难于统一管理，操作人员的计算机水平也参差不齐，因此终端设备的安全管理成为网络管理人员最为棘手的安全问题。终端泄密、非授权访问、内部攻击等都都对数据中心安全造成威胁。各类终端和服务器系统的补丁管理同样是一个重要问题。不及时的给系统打漏洞补丁会造成蠕虫以及不怀好意者的入侵。

• 终端防病毒

        病毒是对计算环境造成危害最大的隐患，当前病毒威胁非常严峻，特别是蠕虫病毒的爆发，会立刻向其他子网迅速蔓延，这样会大量占据正常业务十分有限的带宽，造成网络性能严重下降甚至网络通信中断，严重影响正常业务开展。因此必须采取有效手段进行查杀，阻止病毒的蔓延危害整个数据中心。

• 主机审计

        对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，同时生成审计报表，便于日后的分析、调查、取证。

• 数据库审计

        对于关键的数据库系统需要进行审计。异常的数据库操作将会造成数据的不完整和数据丢失，必须对管理员特别是数据库管理员的操作行为进行审计，一方面完整记录数据库的操作行为，另一方面对高危操作进行及时阻止干预。最大限度的保护审计署核心信息资产的安全。

• 网络入侵行为检测

        攻击行为不仅来自于大家公认的互联网等外部网络，在内部也要防止攻击行为。通过部署安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS等，能防御针对操作系统漏洞的攻击，能够实现应用层的安全防护，保护核心信息资产的免受攻击危害。

• 安全加固

        无论是审计、入侵检测或是防病毒，某种意义上来说都是被动防御，大都不具备主动防御的能力。如在危险来临之前就能主动加固系统，增强系统本身的抵御能力，则在实际运行中发挥十分重要的作用。

• 无线安全和利用

        WLAN具有安装便捷、使用灵活、经济节约、易于扩展等有线网络无法比拟的优点，但是由于无线局域网信道开放的特点，使攻击者能够很容易的进行窃听，恶意修改，802.11协议提供的无线安全性能可以很好地抵御一般性网络攻击，但是仍有少数黑客能够入侵无线网络，从而无法充分保护包含敏感数据的网络。

        “金保工程”是经国务院批准的在全国推行的“十二金”电子政务工程之一，主要任务是利用先进的信息技术，建设覆盖全国统一规范的人力资源社会保障信息管理系统，包括社会保障和人力资源就业管理两大业务子系统，建设从中央到省到各省辖市三级业务专网，实现“业务经办、公共服务、基金监管、决策支持”四大功能，总要求是：“完整、正确、统一、及时、安全”，总原则是：“统一建设、应用为先、体制创新、保障安全”，现阶段主要目标是在各省辖市建立“同人同城同库”人力资源和社会保障数据中心。

一、本项目建设原则

        1、整体性原则

        本项目建设必需保证整个防御体系的完整性。在安全体系建设中，应采取多种安全防御的技术和措施来保障网络系统安全运行，要求在发生被攻击、破坏事件的情况下，必须尽可能地快速恢复网络信息中心的服务，减少损失。因此，信息安全系统应该完整地包括安全防护机制、安全检测机制和安全恢复机制。

        2、标准化与一致性原则

        在安全技术和安全产品的选择上应遵守国家相关的政策和规定，在不与国家有关计算机信息系统安全标准和规定冲突的前提下建立某市“金保工程”信息安全体系，确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。

        3、均衡性原则

        应充分、全面、完整地对系统的安全漏洞和安全威胁进行分析，评估和检测（包括模拟攻击）是设计信息安全系统的必要前提条件。对信息均衡、全面地进行保护，防范攻击者使用“最易渗透原则”，在系统中最薄弱的地方进行攻击，提高整个系统的"安全最低点"的安全性能。

        4、多重保护原则

        由于某市“金保工程”系统的重要性，应建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

        5、安全性评价与平衡原则

        建立合理的实用安全性与用户需求评价平衡体系，安全体系建设要正确处理需求、风险与代价的关系，做到安全性与可用性相容。实施方应充分了解系统的用户需求和具体的应用环境，了解系统的规模和范围，系统的性质和各类信息的重要程度。

        6、区域等级性原则

        等级性原则是指安全层次和安全级别。应对用户方信息系统进行恰当的分级，包括对信息保密程度分级，对用户操作权限分级，对网络安全程度分级（安全子网和安全区域），对系统实现结构的分级（应用层、网络层、链路层等），针对不同级别的安全对象，提供全面、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。

        7、易管理操作原则

        安全措施的采用不能影响系统的正常运行，应尽量不影响业务处理性能、网络性能和拓扑结构，随着信息系统建设规模的不断扩大，应强调系统的可管理性，需要的是可解决其问题并易于管理的系统。应具备安装简便快捷，具有友好界面，操作简单、直观、灵活，易于学习和掌握等特点。

        8、动态适应性原则

        系统框架要能根据网络安全的变化不断调整安全措施，适应新的网络环境，满足新的网络安全需求。安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改，支持未来随着用户容量的增加和业务扩容，系统具备灵活的体系架构，支持对新系统接入的快速响应，系统考虑到升级、扩展以及与其它应用系统的接口能力。

        9、技术与管理相结合原则

        安全系统设计和建设应结合安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设。本项目除应建立较为完备的安全物理体系外，还要结合等级保护服务咨询建立完善的安全管理软环境。

        10、统筹规划、分步实施原则

        应制定全面的安全统筹规划，在实施时可遵循先建立基本的安全体系，再根据今后网络规模及应用的变化，调整或增强安全防护力度的分步实施原则。系统建设应保证各系统稳定，平滑过渡，对已经存在的安全设备进行有效的利用，保护已有投资。

二、本项目总体建设任务需求

        1、根据等级保护要求，为“金保工程”一期数据中心网络和信息系统构建安全保障平台； 2、根据等级保护要求，集成整合新数据中心和原社保、医保、

        2、就业分数据中心安全需求，构建统一的安全管理平台（SOC）；

        3、购买等级保护咨询服务，根据专业咨询建立符合等级保护要求的常态化安全管理体系架构，通过重要系统的等级保护测评；

三、搭建平台示意图如下：