已满十八从此进入夜来香_嫩野草满十八点此进入黄色_已满十八点此进入甸伊园

 

        镇江市海事局信息化安全升级改造简介

一、项目总体规划

1.1、项目建设目标

        为保证改局业务系统的高可靠性、高安全性和高冗余性。针对目前现有状况，此次信息化升级改造建设的总体建设目标为： 

        1）建立对外服务区域，将涉及对外服务的应用系统（网站、微信、邮件及需要对公众开放的系统等）与专网应用系统隔离；

        2）继续构筑统一规范的安全保障体系；

        3）对现有数据中心架构进行改造；

        4）建立一个统一的系统运营监控支撑平台；

        5）对现有基础网络平台进行优化； 

        6）建立灾备数据中心，实现关键业务和数据的安全稳定运行。

1.2、项目建设的可行性

        从网络建设方面来看，镇江市该局已经具备了基础的网络结构体系，连组成了基于TCP/IP的企业级网络，为网络应用系统的高效安全建设奠定了基本的物理基础。

        从网络技术方面来看， IT信息部门对整个该局网络进行建设，完全具备提供网络安全、应用系统安全的完整解决方案的能力。

        从组织管理方面来看，该局IT信息部门经过多年的建设，各个业务系统建设已具规模，企业的信息化管理者积累了丰富的组织实施经验。

        从生产方面来看，该局拥有众多应用系统，且越来越重视信息化建设，在工业信息化方面进行了持续建设，为更好的实现信息化和自动化全面共同融合发展。

        综上所述，该局具备了对其所辖应用系统统一建设的条件，能够建立起标准的、规范的该局信息化整体框架体系。

1.3、设计思路

        进行该局信息化总体设计，首先要进行对象研究和需求调查，明确业务的性质、任务和改革发展的特点及系统建设的需求和条件，对公司的信息化环境进行准确的描述；其次，在应用需求分析的基础上，确定各个应用系统服务类型，进而确定系统建设的具体目标，包括网络设施、站点设置、开发应用和管理等方面的目标；第三是确定构网络拓扑结构和功能，根据应用需求建设目标，进行系统分析和设计；第四，确定技术设计的原则要求，如在技术选型、布线设计、设备选择、软件配配置等方面的标准和要求；第五，规划网络和系统建设的实施步骤。 

        该总体设计方案的科学性，应该体现在能否满足以下基本要求方面：

        1）整体规划安排；

        2）先进性、开放性和标准化相结合；

        3）结构合理，便于维护；

        4）加强安全防护，确保数据完整性、可用性；

        5）高效实用，保障业务连续性；

二、外网对外服务区建设建议

         对外服务区域是指该局有诸多利用互联网的应用系统，而之前这些应用系统都部署在专网，在于互联网链接时存在安全隐患，不利于专网数据的安全，本方案建议该局在外网互联网出口处建立对外服务区域，将对外业务与专网核心业务系统分离，保障专网的安全。

        在对外服务区域，该局可对外统一发布信息和向社会提供信息服务、业务办理和管理监督等政务活动，当然也包括邮件、网站、微信等应用的部署。

        建立对外服务区域后，可将对外前端应用放置在对外服务区域，对需要与专网进行交互的数据，可通过前置机，利用网闸进行数据安全交换，最大限度保障专网安全。针对WEB安全及邮件的安全设备也可集中部署在此区域前端， 再结合互联网出口区域的安全防护策略，保障对外服务区域的安全。如图所示：

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

三、信息安全保障体系建设建议

3.1、现有应用架构和安全建设分析

      3.1.1、现有网络架构                  

        该局根据应用需求，己建成相对独立的网络信息系统，信息安全建设已颇具规模，该局现有网络结构（略）           

        3.1.2、现有安全建设

        该局在网络信息系统建设过程中，针对系统运行过程中可能面临的信息安全问题，进行了信息安全系统的初步建设。具体建设内容包括：

          1）互联网边界安全防护：

• 己在互联网出口处部署FORTIGATE防火墙，实现外网互联区域的访问控制，防止来自外网的攻击和非法访问；
• 部署了深信服负载均衡设备AD1600，提供互联网链路和服务器负载均衡，实现资源的自由按需调度，提高链路和服务器访问效率；
• 部署了绿盟NIPS1000，提供对来自互联网入侵行为的防护，对访问状态进行检测、对通信协议和应用协议进行检测、对内容进行深度的检测，识别网络中发生的入侵行为并实时报警并且进行有效拦截防护，保障该局的整体网络安全。
• 己在互联网出口处部署深信服上网行为管理AC1800，实现宽带资源的合理利用，限制非法网络应用，提高互联网应用性能和效率。

          2）对外服务区安全（在建） 

• 采用反垃圾邮件系统，保障邮件访问和使用安全,抵御来自邮件的攻击。
• 采用绿盟WEB应用防火墙WAF P600,提供专业的WEB应用攻击防护能力，保证WEB应用的连续性和高可用性，对SQL注入攻击、跨站脚本攻击、网页篡改、网页挂马等攻击进行防护，有效防止敏感信息泄漏，能够提供最佳安全成本，有效降低安全风险。

           3）外网终端用户区安全

• 采用360防病毒企业版，加强终端主机的病毒防护能力，可以在一定程度上避免蠕虫病毒爆发时的大流量冲击。同时，防毒系统提供关于病毒威胁和事件的监控、审计日志，为全网的病毒防护管理提供必要的信息

            4）专网专线接入区安全

• 无

            5）内部核心数据区安全

• 部署了备份系统，对系统及数据进行全面的备份，防止因系统损坏、数据丢失造成的一系列问题。

        尽管目前网络系统中己采取了部分安全防护措施，但是，由于网络结构比较复杂，而且涉及多系统之间的协调，仍然存在大量的安全隐患。如果不加控制管理，可能带来的网络安全威胁是相当现实。一旦网络信息系统被病毒、黑客所威胁将是不可忍受的。网络一旦发生故障，带来的损失是不可估量的，而在信息系统被破坏后再也无法挽回已经造成的损失。

        3.2、安全技术层面需求分析

        由于网络体系越来越复杂，应用系统越来越多，网络规模不断扩大，再加上与Internet或非信任网络的连接，网络用户也已经不单单是绝对的内部用户，对整个网络安全形成了巨大的威胁，因此整个网络承受着来自外部、内部、黑客、病毒、应用、管理等各方面威胁。通过以上对该局的风险分析，我们发现仍然存在大量安全威胁需要通过相应措施进行防护和管理。                                                                                                                                        基于以上建设框架，对于该局信息化系统，仍需要重点关注如下可能面临的安全威胁。

        3.2.1 、外网平台安全需求

• 外部边界防护

        主要指该局网络平台的所有外部网络边界，包括：

        互联网边界：互联网接入主要用于提供对外基于互联网的WEB业务及外网用户办公，因此在同一个边界具备两种属性。外网边界直接面临社会各界用户，使用环境复杂面临的安全风险极大。各类复合网络攻击手段以及针对网站的流量攻击均是常见的安全威胁。应予以严格的安全防护手段在此边界进行设防，维护整个网络不被外部侵入。

        专网边界：该边界位于该局与粮油专网之间。主要需要考虑防止内部的非法访问以及病毒、蠕虫等恶性安全事件的快速蔓延。

• 内部安全域边界

在该局网络中，可以划分处多个网络安全域，包括外网互联区、内网电子交易网络、数据中心区和安全管理区等等。这些安全域之间存在着内部边界，为能更加有针对性的对各安全域进行防护，在不同的边界应采取不同的边界防护措施。

• 数据传输安全

        对于外部用户访问的接入存在两种方式：专线方式、互联网方式。通过互联网进行接入传输的数据属于电子商务内部的信息，这些敏感的数据信息在互联网上十分容易被非法窃取、篡改或删除。因此必须采用技术手段保证数据的机密性、完整性以及可用性。

        3.2.2、计算环境安全需求

        保护计算环境关注的是采用信息保障技术确保用户信息在进入、离开或驻留客户机与服务器时具有可用性、完整性和秘密性。主要是指主机硬件、OS，应用软件等的安全需求。包括：

• 终端行为的管理

        终端设备部署较为分散，难于统一管理，操作人员的计算机水平也参差不齐，因此终端设备的安全管理成为网络管理人员最为棘手的安全问题。终端泄密、非授权访问、内部攻击等都都对数据中心安全造成威胁。各类终端和服务器系统的补丁管理同样是一个重要问题。不及时的给系统打漏洞补丁会造成蠕虫以及不怀好意者的入侵。

• 终端防病毒

        病毒是对计算环境造成危害最大的隐患，当前病毒威胁非常严峻，特别是蠕虫病毒的爆发，会立刻向其他子网迅速蔓延，这样会大量占据正常业务十分有限的带宽，造成网络性能严重下降甚至网络通信中断，严重影响正常业务开展。因此必须采取有效手段进行查杀，阻止病毒的蔓延危害整个数据中心。

• 主机审计

        对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，同时生成审计报表，便于日后的分析、调查、取证。

• 数据库审计

        对于关键的数据库系统需要进行审计。异常的数据库操作将会造成数据的不完整和数据丢失，必须对管理员特别是数据库管理员的操作行为进行审计，一方面完整记录数据库的操作行为，另一方面对高危操作进行及时阻止干预。最大限度的保护审计署核心信息资产的安全。

• 网络入侵行为检测

        攻击行为不仅来自于大家公认的互联网等外部网络，在内部也要防止攻击行为。通过部署安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS等，能防御针对操作系统漏洞的攻击，能够实现应用层的安全防护，保护核心信息资产的免受攻击危害。

• 安全加固

        无论是审计、入侵检测或是防病毒，某种意义上来说都是被动防御，大都不具备主动防御的能力。如在危险来临之前就能主动加固系统，增强系统本身的抵御能力，则在实际运行中发挥十分重要的作用。

• 无线安全和利用

        WLAN具有安装便捷、使用灵活、经济节约、易于扩展等有线网络无法比拟的优点，但是由于无线局域网信道开放的特点，使攻击者能够很容易的进行窃听，恶意修改，802.11协议提供的无线安全性能可以很好地抵御一般性网络攻击，但是仍有少数黑客能够入侵无线网络，从而无法充分保护包含敏感数据的网络。