日报社网络安全整改方案建议书
日报社网络安全整改方案建议书
1
日报社网络安全整改方案建议书
一、背景 背景 ...............................4 二、某日报社网络安全现状 某日报社网络安全现状 现状 2.1 网络发展 .5 三、安全需求分析 安全需求分析.............. 3.1、系统层安全分析 ............... 1、主机系统 3.1.2、病毒入侵风险分析 3.2、网络层安全分析 ............... 1、网络边界 2、数据传输6 3.2.3、网络入侵风险分析 3、应用 3.4、管理层安全分析 7 四、方案设计思路 方案设计思路.. 1、设计模型 ....8 2、安全域保护 .. 9 4.3、参考标准 11 五、方案设计原则 方案设计原则2 六、 技术实现 技术实现 ................ 1、通信网络安全 ........3 2、网络资源系统 6.3、上网行为管理 七、 设备部署说明 设备部署说明 5 八、 建设设备选型 建设设备选型 .......................... 1、UTM 统一安全网关推荐 18 2检测0 3、入侵防御系统推荐 3 4、上网行为检测 ........4 网络资源管理系统 27 8.5、内网安全风险管理 1 附录：关于某网络有限公司 ......................................................................................................... 35
2
日报社网络安全整改方案建议书
一、背景
随着信息化的日益深刻，信息网络技术的应用日益普及，网络安全问题已经会成为影响网络效能的重要问题。而 Internet 所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。
某日报社秉着向人民群众宣传党的路线、方针、政策，传播政治、经济、文化信息。坚持政治家办报方针，坚持正面宣传为主，坚持正确的舆论导向的办报的宗旨为某的两个文明建设努力创造有利的舆论环境。
经 过多年发展，南海网已经成为某最有影响力的新闻门户网站。与此同时，某日报计算机信息化的建设也紧锣密鼓的进行，在数字化出版、发行、采编等各个方面均有较为全面的应用。但是敏感信息一旦泄露、黑客的侵扰以及计算机病毒等，都将对其业务造成重大影响，甚至对社会利益造成巨大损失。
如何使报社信息网络系统不受黑客和病毒的入侵，如何保障数据传输的安全性、可靠性，是报社信息化过程中所必须考虑的重要事情之一。
某日报社领导也非常重视安全问题，某能够通过专业厂商为某日报社规划合理、有效、全面的安全解决方案，搭建整体的网络安全体系，从而对某日报社的信息系统和数据服务中心进行有效的安全保护。
3
日报社网络安全整改方案建议书
二、某日报社网络安全现状
2.1 网络现状
某日报社网络系统是是一个覆盖全楼的局域网络，它包含如下几个区域：
一是楼层汇聚区域，主要负责数据转发和策略设置。二是核心交换区，实现骨干网络之间的优化传输，实现冗余、可靠性和高速的传输。三是数据中心服务区和DMZ 区，是报社核心数据的存储和交互区域。四是外出移动办公用户，实现数据信息及时发布到业务系统。
2.1 网络发展
随着业务的发展，某日报社网络系统原有的基于内部网络的相对安全将被打破， 无法满足业务发展的安全需求，急需重新制定安全策略，建立完整的安全保障体系。现阶段，某日报网络结构如下图所示：
4
日报社网络安全整改方案建议书
三、安全需求分析
3.1 、系统层安全分析
3.1.1 、主机系统风险分析
某日报社网络中存在不同操作系统的主机如 MA C． Windows
这些操作系统自身存在许多安全漏洞。
3.1.2 、病毒入侵风险分析
病毒的具有非常强的破坏力和传播能力。越是网络应用水平高，共享资源问频繁的环境中，计算机病毒的蔓延速度就会越快。
3.2 、网络层安全分析
3.2.1 、网络边界风险分析
网络的边界是指两个不同安全级别的网络的接入处，包括同 Internet 网的接入处，以及内部网不同安全级别的子网之间的连接处。对于某日报社信息系统网络边界主要存在于 Internet 接入外部网络的连接处和内部网络中办公系统和业务系统之间。
3.2.2 、数据传输风险分析
在外出移动办公用户和内网 OA 有关键数据的传输，在这之间存在数据传输的安全风险。
5
日报社网络安全整改方案建议书
3.2.3 、网络入侵风险分析
由于直接连接到外部网络，因此面临各种入侵风险。如何发现隐藏在正常数据包中的攻击行为将是网络安全面临的问题。
3.3 、应用层安全分析
应用层安全是指用户在网络上的应用系统的安全，包括WEB。FTP、邮件系统、DNS等基础网络服务系统和业务系统。一份日报的网络主要运行:业务系统、办公自动化系统等。；每个应用程序包括外部和内部之间的信息共享，以及各种跨局域网的应用程序。其安全要求是在共享信息的同时，确保信息资源的合法获取和通信的隐私。
3.4 、管理层安全分析
系统的安全保障最终来自于严格完善的安全管理，网络中面临的安全管理风险有：
安全管理制度问题
存在因管理制度不完善或不执行而导致内部人员有意或无意通过网络传播或传播信息，造成严重影响和损失的可能性。
安全管理人员问题
信息安全管理者需要在网络系统、应用系统、安全管理等方面具有深厚的理论知识和丰富的实践经验，存在缺乏足够安全管理者的风险。
统一安全管理问题
办公网络中会有各种各样的信息安全设备。许多技术和产品以多层次、分布式的方式并存。不同厂家的不同产品产生大量不同形式的安全信息，使得整个系统的协同和集中管理成为安全管理的难点。
6
日报社网络安全整改方案建议书
四、方案设计思路
4.1 、设计模型
随着网络系统受到的攻击越来越多，安全的概念已经不局限于信息的保护。人们需要保护和防御整个信息和网络系统，以确保自身的安全。
目前，安全模式已经从被动保护转向主动防御，强调整个生命周期的防御和恢复。PDR模型是最早体现这种思想的安全模型。所谓的PDR模型是指基于保护、检测和反应的安全模型。20世纪90年代末，ANS联盟在PDR模型的基础上建立了新的P2DR模型。该模型是可量化的、数学证明的、基于时间的和以PDR为中心的安全模型。P2DR这里是策略、保护、检测和响应的缩写..如下图所示。
策略（ Policy ）
策略是 P2DR 模型的核心，所有的防护、检测、响应都是依据策略。它描 述 系统中哪些资源要得到保护，以及如何实现对它们的保护等。
7
日报社网络安全整改方案建议书
防护（ Protection ）
防护是主动防御的防御部分，系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部，防护手段也因此多种多样。
检测（Detection）
检测是动态响应和加强防护的依据。通过不间断的检测网络和系统，来发现威胁。
响应（ Respons e．
响应是主动防御的实现。根据策略以及检测到的情况动态的调整防护，达到主动防御的目的。
信息系统的安全是基于时间特性的，P2DR 安全模型的特点就在于动态性和基于时间的特性。我们可以通过定义下列时间量来描述 P2DR 模型的时间特性。
防护时间 Pt ：表示从入侵开始到侵入系统的时间。防护时间由两方面共 同决定：①入侵能力，②防护能力。高的入侵能力和相对弱的防护能力可以使得防护时间 Pt 缩短。显然防护时间越长系统越安全。
检测时间 Dt：表示检测系统发现系统的安全隐患和潜在攻击检测的时 间。改进检测算法和设计可缩短 Dt。
响应时间 Rt ：表示从检测到系统漏洞或监控到非法攻击到系统启动处理 措施的时间。一个监控系统的响应可能包括见识、切换、跟踪、报警、反击等内容。而安全事件的事后处理（如恢复、总结等）不纳入事件响应的范畴之内。
暴露时间 Et ：表示系统处于不安全状态的时间。
可以定义 Et ＝ Dt ＋ Rt － Pt 。显然 Et 越小表示系统越安全，当 Et ≤ 0 时，可以认为系统是安全的。
随着技术的进步，人们在 P2DR 模型以后又提出了 APPDRR 模型，即在P2DR 模型中加入恢复（Recovery）手段。这样一旦系统安全事故发生了，也能恢复系统功能和数据，恢复系统的正常运行。
4.2 、安全域保护
对信息系统进行安全保护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护。因此，安全域划分是进行信息安
8
日报社网络安全整改方案建议书
全建设的首要步骤。安全域是指同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。当然，安全域的划分不能单纯从安全角度考虑，而是应该以业务角度为主，辅以安全角度，并充分参照现有网络结构和管理现状，才能以较小的代价完成安全域划分和网络梳理，而又能保障其安全性。对信息系统安全域（保护对象）的划分应主要考虑如下方面因素：
1) 业务和功能特性
业务系统逻辑和应用关联性 业务系统对外连接：对外业务，支撑，内部管理 2) 安全特性的要求
安全要求相似性：可用性、保密性和完整性的要求 威胁相似性：威胁来源、威胁方式和强度 资产价值相近性：重要与非重要资产分离 3) 参照现有状况
现有网络结构的状况：现有网络结构、地域和机房等 参照现有的管理部门职权划分 某日报社的信息安全网络，应依据网络现状、业务系统的功能和特性、业务系统面临的威胁、业务系统的价值及相关安全防护要求等因素，对网络进安全域的划分。根据以上安全域划分考虑因素及示意图， 针对某日报社网络安全保障体系系统建设，划分安全域如下图，以实现按需防护的建设理念。
9
日报社网络安全整改方案建议书
4.3 、参考标准
技术标准 《信息系统安全等级保护基本要求》（ GB/T
22239-2008 ）
《信息系统安全等级保护定级指南》（ GB/T
22240-2008 ）
《GB/T 18336 信息技术 安全技术 信息技术安全性评估准则》（等同采用 ISO/IEC 15408）
ISO/IEC
15408 （ CC ）《信息技术安全评估准则》 管理标准 《信息系统安全等级保护基本要求》 ISO/IEC 17799:2005 《信息安全管理体系实施指南》（采用 BS 7799-1 ）
ISO/IEC 27001:2005《信息安全管理体系规范》（采用 BS 7799-2）
ISO/IEC 13335《信息技术安全管理指南》
五、方案设计原则
在设计技术方案时要遵从以下原则：
实用性原则
10
日报社网络安全整改方案建议书
安全体系建设将始终遵循“面向应用，注重实效”的指导思想。紧密结合现有网络和应用情况，充分保证原有系统和结构的可用性。
完整性原则 网络安全建设必需保证整个防御体系的完整性。在安全体系建设中，我们采取多种安全防御的技术和措施来保障网络系统安全运行。
整体均衡原则 要对信息系统进行全面均衡的保护，要提高整个信息系统的 " 安全最低点 "
的安全性能，保证各个层面防护的均衡。
安全目标与效率、投入之间的平衡原则 要综合考虑安全目标与效率、投入之间的均衡关系，确定合适的平衡点，不能为了追求安全而牺牲效率，或投入过大。
区域等级原则 要将信息系统按照合理的原则划分为不同安全等级，分区域分等级进行安全防护。
动态发展原则 安全防范体系的建设不是一个一劳永逸的工作，而是一个长期不断完善的过程，所以技术方案要能够随着安全技术的发展、外部环境的变化、安全目标的调整而不断升级发展。
节省投资原则 在满足上述原则的基础上，应尽量作到节省设备采购投资，不要形成一种“用价值 10 元的设备来保护价值 5 元 的资产”的局面。
11
日报社网络安全整改方案建议书
六、技术实现
6.1 、通信网络安全
普通计算机通信网络安全主要保障普通计算机通信网络的正常运行，为各种终端提供数据交换。应该根据安全域划分的结果，根据安全域所需的安全防护水平，按需选择访问控制、入侵检测与防护、攻击防护、病毒集中过滤、安全隔离等防护措施，实现对信息资产针对性的防护。
网络安全防护设备对进入安全域的数据进行分析、过滤、隔离、监控，防范恶意攻击和非法访问。当攻击发生时，能实时、准确地判断出攻击的来源、手段、攻击点、危害情况。
根据某日报社中普通计算机通信网络的规模和相关要求， 应按需部署防火墙、入侵防护系统、统一威胁管理系统、入侵检测系统、网络安全审计五类设备：
a)
防火墙 防火墙主要实现访问控制功能，防火墙根据安全策略控制（允许、拒绝、监视、记录）不同安全域之间的访问行为，将安全域进行分隔，并能根据系统的安策略控制进出网络的信息流。通过制定严格的访问控制策略，实现只有授权用， 可以访问特定的资源。对于越权访问的行为，及时发现并阻断。
b)
入侵防护系统 入侵防护系统（IPS）是继“防火墙”、“信息加密”等传统安全保护方法之后的新一代安全保障技术。它监视计算机系统或网络中发生的事件，并对它们进行分析，以寻找危及信息的机密性、完整性、可用性或试图绕过安全机制的入侵行为并进行有效拦截。IPS 就是自动执行这种监视和分析过程，并且执行阻断的硬件产品。
c)
统一威胁管理系统 UTM 在某日报的部分安全边界的防护上，可依据自身建设需求、保护对象的防护需求，选择防火墙、IPS、防病毒网关、上网行为审...
相关热词搜索： 建议书 网络安全 日报社