一、項目總體規(guī)劃
1.1、項目建設(shè)目標(biāo)
為保證改局業(yè)務(wù)系統(tǒng)的高可靠性、高安全性和高冗余性。針對目前現(xiàn)有狀況，此次信息化升級改造建設(shè)的總體建設(shè)目標(biāo)為：
1）建立對外服務(wù)區(qū)域，將涉及對外服務(wù)的應(yīng)用系統(tǒng)（網(wǎng)站、微信、郵件及需要對公眾開放的系統(tǒng)等）與專網(wǎng)應(yīng)用系統(tǒng)隔離；
2）繼續(xù)構(gòu)筑統(tǒng)一規(guī)范的安全保障體系；
3）對現(xiàn)有數(shù)據(jù)中心架構(gòu)進(jìn)行改造；
4）建立一個統(tǒng)一的系統(tǒng)運營監(jiān)控支撐平臺；
5）對現(xiàn)有基礎(chǔ)網(wǎng)絡(luò)平臺進(jìn)行優(yōu)化；
6）建立災(zāi)備數(shù)據(jù)中心，實現(xiàn)關(guān)鍵業(yè)務(wù)和數(shù)據(jù)的安全穩(wěn)定運行。
1.2、項目建設(shè)的可行性
從網(wǎng)絡(luò)建設(shè)方面來看，鎮(zhèn)江市該局已經(jīng)具備了基礎(chǔ)的網(wǎng)絡(luò)結(jié)構(gòu)體系，連組成了基于TCP/IP的企業(yè)級網(wǎng)絡(luò)，為網(wǎng)絡(luò)應(yīng)用系統(tǒng)的高效安全建設(shè)奠定了基本的物理基礎(chǔ)。
從網(wǎng)絡(luò)技術(shù)方面來看， IT信息部門對整個該局網(wǎng)絡(luò)進(jìn)行建設(shè)，完全具備提供網(wǎng)絡(luò)安全、應(yīng)用系統(tǒng)安全的完整解決方案的能力。
從組織管理方面來看，該局IT信息部門經(jīng)過多年的建設(shè)，各個業(yè)務(wù)系統(tǒng)建設(shè)已具規(guī)模，企業(yè)的信息化管理者積累了豐富的組織實施經(jīng)驗。
從生產(chǎn)方面來看，該局擁有眾多應(yīng)用系統(tǒng)，且越來越重視信息化建設(shè)，在工業(yè)信息化方面進(jìn)行了持續(xù)建設(shè)，為更好的實現(xiàn)信息化和自動化全面共同融合發(fā)展。
綜上所述，該局具備了對其所轄?wèi)?yīng)用系統(tǒng)統(tǒng)一建設(shè)的條件，能夠建立起標(biāo)準(zhǔn)的、規(guī)范的該局信息化整體框架體系。
1.3、設(shè)計思路
進(jìn)行該局信息化總體設(shè)計，首先要進(jìn)行對象研究和需求調(diào)查，明確業(yè)務(wù)的性質(zhì)、任務(wù)和改革發(fā)展的特點及系統(tǒng)建設(shè)的需求和條件，對公司的信息化環(huán)境進(jìn)行準(zhǔn)確的描述；其次，在應(yīng)用需求分析的基礎(chǔ)上，確定各個應(yīng)用系統(tǒng)服務(wù)類型，進(jìn)而確定系統(tǒng)建設(shè)的具體目標(biāo)，包括網(wǎng)絡(luò)設(shè)施、站點設(shè)置、開發(fā)應(yīng)用和管理等方面的目標(biāo)；第三是確定構(gòu)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和功能，根據(jù)應(yīng)用需求建設(shè)目標(biāo)，進(jìn)行系統(tǒng)分析和設(shè)計；第四，確定技術(shù)設(shè)計的原則要求，如在技術(shù)選型、布線設(shè)計、設(shè)備選擇、軟件配配置等方面的標(biāo)準(zhǔn)和要求；第五，規(guī)劃網(wǎng)絡(luò)和系統(tǒng)建設(shè)的實施步驟。
該總體設(shè)計方案的科學(xué)性，應(yīng)該體現(xiàn)在能否滿足以下基本要求方面：
1）整體規(guī)劃安排；
2）先進(jìn)性、開放性和標(biāo)準(zhǔn)化相結(jié)合；
3）結(jié)構(gòu)合理，便于維護(hù)；
4）加強安全防護(hù)，確保數(shù)據(jù)完整性、可用性；
5）高效實用，保障業(yè)務(wù)連續(xù)性；
二、外網(wǎng)對外服務(wù)區(qū)建設(shè)建議
對外服務(wù)區(qū)域是指該局有諸多利用互聯(lián)網(wǎng)的應(yīng)用系統(tǒng)，而之前這些應(yīng)用系統(tǒng)都部署在專網(wǎng)，在于互聯(lián)網(wǎng)鏈接時存在安全隱患，不利于專網(wǎng)數(shù)據(jù)的安全，本方案建議該局在外網(wǎng)互聯(lián)網(wǎng)出口處建立對外服務(wù)區(qū)域，將對外業(yè)務(wù)與專網(wǎng)核心業(yè)務(wù)系統(tǒng)分離，保障專網(wǎng)的安全。
在對外服務(wù)區(qū)域，該局可對外統(tǒng)一發(fā)布信息和向社會提供信息服務(wù)、業(yè)務(wù)辦理和管理監(jiān)督等政務(wù)活動，當(dāng)然也包括郵件、網(wǎng)站、微信等應(yīng)用的部署。
建立對外服務(wù)區(qū)域后，可將對外前端應(yīng)用放置在對外服務(wù)區(qū)域，對需要與專網(wǎng)進(jìn)行交互的數(shù)據(jù)，可通過前置機(jī)，利用網(wǎng)閘進(jìn)行數(shù)據(jù)安全交換，最大限度保障專網(wǎng)安全。針對WEB安全及郵件的安全設(shè)備也可集中部署在此區(qū)域前端， 再結(jié)合互聯(lián)網(wǎng)出口區(qū)域的安全防護(hù)策略，保障對外服務(wù)區(qū)域的安全。如圖所示：
三、信息安全保障體系建設(shè)建議
3.1、現(xiàn)有應(yīng)用架構(gòu)和安全建設(shè)分析
3.1.1、現(xiàn)有網(wǎng)絡(luò)架構(gòu)
該局根據(jù)應(yīng)用需求，己建成相對獨立的網(wǎng)絡(luò)信息系統(tǒng)，信息安全建設(shè)已頗具規(guī)模，該局現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)（略）
3.1.2、現(xiàn)有安全建設(shè)
該局在網(wǎng)絡(luò)信息系統(tǒng)建設(shè)過程中，針對系統(tǒng)運行過程中可能面臨的信息安全問題，進(jìn)行了信息安全系統(tǒng)的初步建設(shè)。具體建設(shè)內(nèi)容包括：
1）互聯(lián)網(wǎng)邊界安全防護(hù)：
- 己在互聯(lián)網(wǎng)出口處部署FORTIGATE防火墻，實現(xiàn)外網(wǎng)互聯(lián)區(qū)域的訪問控制，防止來自外網(wǎng)的攻擊和非法訪問；
- 部署了深信服負(fù)載均衡設(shè)備AD1600，提供互聯(lián)網(wǎng)鏈路和服務(wù)器負(fù)載均衡，實現(xiàn)資源的自由按需調(diào)度，提高鏈路和服務(wù)器訪問效率；
- 部署了綠盟NIPS1000，提供對來自互聯(lián)網(wǎng)入侵行為的防護(hù)，對訪問狀態(tài)進(jìn)行檢測、對通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測、對內(nèi)容進(jìn)行深度的檢測，識別網(wǎng)絡(luò)中發(fā)生的入侵行為并實時報警并且進(jìn)行有效攔截防護(hù)，保障該局的整體網(wǎng)絡(luò)安全。
- 己在互聯(lián)網(wǎng)出口處部署深信服上網(wǎng)行為管理AC1800，實現(xiàn)寬帶資源的合理利用，限制非法網(wǎng)絡(luò)應(yīng)用，提高互聯(lián)網(wǎng)應(yīng)用性能和效率。
2）對外服務(wù)區(qū)安全（在建）
- 采用反垃圾郵件系統(tǒng)，保障郵件訪問和使用安全,抵御來自郵件的攻擊。
- 采用綠盟WEB應(yīng)用防火墻WAF P600,提供專業(yè)的WEB應(yīng)用攻擊防護(hù)能力，保證WEB應(yīng)用的連續(xù)性和高可用性，對SQL注入攻擊、跨站腳本攻擊、網(wǎng)頁篡改、網(wǎng)頁掛馬等攻擊進(jìn)行防護(hù)，有效防止敏感信息泄漏，能夠提供最佳安全成本，有效降低安全風(fēng)險。
3）外網(wǎng)終端用戶區(qū)安全
- 采用360防病毒企業(yè)版，加強終端主機(jī)的病毒防護(hù)能力，可以在一定程度上避免蠕蟲病毒爆發(fā)時的大流量沖擊。同時，防毒系統(tǒng)提供關(guān)于病毒威脅和事件的監(jiān)控、審計日志，為全網(wǎng)的病毒防護(hù)管理提供必要的信息
4）專網(wǎng)專線接入?yún)^(qū)安全
- 無
5）內(nèi)部核心數(shù)據(jù)區(qū)安全
- 部署了備份系統(tǒng)，對系統(tǒng)及數(shù)據(jù)進(jìn)行全面的備份，防止因系統(tǒng)損壞、數(shù)據(jù)丟失造成的一系列問題。
盡管目前網(wǎng)絡(luò)系統(tǒng)中己采取了部分安全防護(hù)措施，但是，由于網(wǎng)絡(luò)結(jié)構(gòu)比較復(fù)雜，而且涉及多系統(tǒng)之間的協(xié)調(diào)，仍然存在大量的安全隱患。如果不加控制管理，可能帶來的網(wǎng)絡(luò)安全威脅是相當(dāng)現(xiàn)實。一旦網(wǎng)絡(luò)信息系統(tǒng)被病毒、黑客所威脅將是不可忍受的。網(wǎng)絡(luò)一旦發(fā)生故障，帶來的損失是不可估量的，而在信息系統(tǒng)被破壞后再也無法挽回已經(jīng)造成的損失。
3.2、安全技術(shù)層面需求分析
由于網(wǎng)絡(luò)體系越來越復(fù)雜，應(yīng)用系統(tǒng)越來越多，網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，再加上與Internet或非信任網(wǎng)絡(luò)的連接，網(wǎng)絡(luò)用戶也已經(jīng)不單單是絕對的內(nèi)部用戶，對整個網(wǎng)絡(luò)安全形成了巨大的威脅，因此整個網(wǎng)絡(luò)承受著來自外部、內(nèi)部、黑客、病毒、應(yīng)用、管理等各方面威脅。通過以上對該局的風(fēng)險分析，我們發(fā)現(xiàn)仍然存在大量安全威脅需要通過相應(yīng)措施進(jìn)行防護(hù)和管理。 基于以上建設(shè)框架，對于該局信息化系統(tǒng)，仍需要重點關(guān)注如下可能面臨的安全威脅。
3.2.1 、外網(wǎng)平臺安全需求
- 外部邊界防護(hù)
主要指該局網(wǎng)絡(luò)平臺的所有外部網(wǎng)絡(luò)邊界，包括：
互聯(lián)網(wǎng)邊界：互聯(lián)網(wǎng)接入主要用于提供對外基于互聯(lián)網(wǎng)的WEB業(yè)務(wù)及外網(wǎng)用戶辦公，因此在同一個邊界具備兩種屬性。外網(wǎng)邊界直接面臨社會各界用戶，使用環(huán)境復(fù)雜面臨的安全風(fēng)險極大。各類復(fù)合網(wǎng)絡(luò)攻擊手段以及針對網(wǎng)站的流量攻擊均是常見的安全威脅。應(yīng)予以嚴(yán)格的安全防護(hù)手段在此邊界進(jìn)行設(shè)防，維護(hù)整個網(wǎng)絡(luò)不被外部侵入。
專網(wǎng)邊界：該邊界位于該局與糧油專網(wǎng)之間。主要需要考慮防止內(nèi)部的非法訪問以及病毒、蠕蟲等惡性安全事件的快速蔓延。
- 內(nèi)部安全域邊界
在該局網(wǎng)絡(luò)中，可以劃分處多個網(wǎng)絡(luò)安全域，包括外網(wǎng)互聯(lián)區(qū)、內(nèi)網(wǎng)電子交易網(wǎng)絡(luò)、數(shù)據(jù)中心區(qū)和安全管理區(qū)等等。這些安全域之間存在著內(nèi)部邊界，為能更加有針對性的對各安全域進(jìn)行防護(hù)，在不同的邊界應(yīng)采取不同的邊界防護(hù)措施。
- 數(shù)據(jù)傳輸安全
對于外部用戶訪問的接入存在兩種方式：專線方式、互聯(lián)網(wǎng)方式。通過互聯(lián)網(wǎng)進(jìn)行接入傳輸?shù)臄?shù)據(jù)屬于電子商務(wù)內(nèi)部的信息，這些敏感的數(shù)據(jù)信息在互聯(lián)網(wǎng)上十分容易被非法竊取、篡改或刪除。因此必須采用技術(shù)手段保證數(shù)據(jù)的機(jī)密性、完整性以及可用性。
3.2.2、計算環(huán)境安全需求
保護(hù)計算環(huán)境關(guān)注的是采用信息保障技術(shù)確保用戶信息在進(jìn)入、離開或駐留客戶機(jī)與服務(wù)器時具有可用性、完整性和秘密性。主要是指主機(jī)硬件、OS，應(yīng)用軟件等的安全需求。包括：
- 終端行為的管理
終端設(shè)備部署較為分散，難于統(tǒng)一管理，操作人員的計算機(jī)水平也參差不齊，因此終端設(shè)備的安全管理成為網(wǎng)絡(luò)管理人員最為棘手的安全問題。終端泄密、非授權(quán)訪問、內(nèi)部攻擊等都都對數(shù)據(jù)中心安全造成威脅。各類終端和服務(wù)器系統(tǒng)的補丁管理同樣是一個重要問題。不及時的給系統(tǒng)打漏洞補丁會造成蠕蟲以及不懷好意者的入侵。
- 終端防病毒
病毒是對計算環(huán)境造成危害最大的隱患，當(dāng)前病毒威脅非常嚴(yán)峻，特別是蠕蟲病毒的爆發(fā)，會立刻向其他子網(wǎng)迅速蔓延，這樣會大量占據(jù)正常業(yè)務(wù)十分有限的帶寬，造成網(wǎng)絡(luò)性能嚴(yán)重下降甚至網(wǎng)絡(luò)通信中斷，嚴(yán)重影響正常業(yè)務(wù)開展。因此必須采取有效手段進(jìn)行查殺，阻止病毒的蔓延危害整個數(shù)據(jù)中心。
- 主機(jī)審計
對于服務(wù)器和重要主機(jī)需要進(jìn)行嚴(yán)格的行為控制，對用戶的行為、使用的命令等進(jìn)行必要的記錄審計，同時生成審計報表，便于日后的分析、調(diào)查、取證。
- 數(shù)據(jù)庫審計
對于關(guān)鍵的數(shù)據(jù)庫系統(tǒng)需要進(jìn)行審計。異常的數(shù)據(jù)庫操作將會造成數(shù)據(jù)的不完整和數(shù)據(jù)丟失，必須對管理員特別是數(shù)據(jù)庫管理員的操作行為進(jìn)行審計，一方面完整記錄數(shù)據(jù)庫的操作行為，另一方面對高危操作進(jìn)行及時阻止干預(yù)。最大限度的保護(hù)審計署核心信息資產(chǎn)的安全。
- 網(wǎng)絡(luò)入侵行為檢測
攻擊行為不僅來自于大家公認(rèn)的互聯(lián)網(wǎng)等外部網(wǎng)絡(luò)，在內(nèi)部也要防止攻擊行為。通過部署安全措施，要實現(xiàn)主動阻斷針對信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等，能防御針對操作系統(tǒng)漏洞的攻擊，能夠?qū)崿F(xiàn)應(yīng)用層的安全防護(hù)，保護(hù)核心信息資產(chǎn)的免受攻擊危害。
- 安全加固
無論是審計、入侵檢測或是防病毒，某種意義上來說都是被動防御，大都不具備主動防御的能力。如在危險來臨之前就能主動加固系統(tǒng)，增強系統(tǒng)本身的抵御能力，則在實際運行中發(fā)揮十分重要的作用。
- 無線安全和利用
WLAN具有安裝便捷、使用靈活、經(jīng)濟(jì)節(jié)約、易于擴(kuò)展等有線網(wǎng)絡(luò)無法比擬的優(yōu)點，但是由于無線局域網(wǎng)信道開放的特點，使攻擊者能夠很容易的進(jìn)行竊聽，惡意修改，802.11協(xié)議提供的無線安全性能可以很好地抵御一般性網(wǎng)絡(luò)攻擊，但是仍有少數(shù)黑客能夠入侵無線網(wǎng)絡(luò)，從而無法充分保護(hù)包含敏感數(shù)據(jù)的網(wǎng)絡(luò)。
]]>“金保工程”是經(jīng)國務(wù)院批準(zhǔn)的在全國推行的“十二金”電子政務(wù)工程之一，主要任務(wù)是利用先進(jìn)的信息技術(shù)，建設(shè)覆蓋全國統(tǒng)一規(guī)范的人力資源社會保障信息管理系統(tǒng)，包括社會保障和人力資源就業(yè)管理兩大業(yè)務(wù)子系統(tǒng)，建設(shè)從中央到省到各省轄市三級業(yè)務(wù)專網(wǎng)，實現(xiàn)“業(yè)務(wù)經(jīng)辦、公共服務(wù)、基金監(jiān)管、決策支持”四大功能，總要求是：“完整、正確、統(tǒng)一、及時、安全”，總原則是：“統(tǒng)一建設(shè)、應(yīng)用為先、體制創(chuàng)新、保障安全”，現(xiàn)階段主要目標(biāo)是在各省轄市建立“同人同城同庫”人力資源和社會保障數(shù)據(jù)中心。
一、本項目建設(shè)原則
1、整體性原則
本項目建設(shè)必需保證整個防御體系的完整性。在安全體系建設(shè)中，應(yīng)采取多種安全防御的技術(shù)和措施來保障網(wǎng)絡(luò)系統(tǒng)安全運行，要求在發(fā)生被攻擊、破壞事件的情況下，必須盡可能地快速恢復(fù)網(wǎng)絡(luò)信息中心的服務(wù)，減少損失。因此，信息安全系統(tǒng)應(yīng)該完整地包括安全防護(hù)機(jī)制、安全檢測機(jī)制和安全恢復(fù)機(jī)制。
2、標(biāo)準(zhǔn)化與一致性原則
在安全技術(shù)和安全產(chǎn)品的選擇上應(yīng)遵守國家相關(guān)的政策和規(guī)定，在不與國家有關(guān)計算機(jī)信息系統(tǒng)安全標(biāo)準(zhǔn)和規(guī)定沖突的前提下建立某市“金保工程”信息安全體系，確保各個分系統(tǒng)的一致性，使整個系統(tǒng)安全地互聯(lián)互通、信息共享。
3、均衡性原則
應(yīng)充分、全面、完整地對系統(tǒng)的安全漏洞和安全威脅進(jìn)行分析，評估和檢測（包括模擬攻擊）是設(shè)計信息安全系統(tǒng)的必要前提條件。對信息均衡、全面地進(jìn)行保護(hù)，防范攻擊者使用“最易滲透原則”，在系統(tǒng)中最薄弱的地方進(jìn)行攻擊，提高整個系統(tǒng)的"安全最低點"的安全性能。
4、多重保護(hù)原則
由于某市“金保工程”系統(tǒng)的重要性，應(yīng)建立一個多重保護(hù)系統(tǒng)，各層保護(hù)相互補充，當(dāng)一層保護(hù)被攻破時，其它層保護(hù)仍可保護(hù)信息的安全。
5、安全性評價與平衡原則
建立合理的實用安全性與用戶需求評價平衡體系，安全體系建設(shè)要正確處理需求、風(fēng)險與代價的關(guān)系，做到安全性與可用性相容。實施方應(yīng)充分了解系統(tǒng)的用戶需求和具體的應(yīng)用環(huán)境，了解系統(tǒng)的規(guī)模和范圍，系統(tǒng)的性質(zhì)和各類信息的重要程度。
6、區(qū)域等級性原則
等級性原則是指安全層次和安全級別。應(yīng)對用戶方信息系統(tǒng)進(jìn)行恰當(dāng)?shù)姆旨?，包括對信息保密程度分級，對用戶操作?quán)限分級，對網(wǎng)絡(luò)安全程度分級（安全子網(wǎng)和安全區(qū)域），對系統(tǒng)實現(xiàn)結(jié)構(gòu)的分級（應(yīng)用層、網(wǎng)絡(luò)層、鏈路層等），針對不同級別的安全對象，提供全面、可選的安全算法和安全體制，以滿足網(wǎng)絡(luò)中不同層次的各種實際需求。
7、易管理操作原則
安全措施的采用不能影響系統(tǒng)的正常運行，應(yīng)盡量不影響業(yè)務(wù)處理性能、網(wǎng)絡(luò)性能和拓?fù)浣Y(jié)構(gòu)，隨著信息系統(tǒng)建設(shè)規(guī)模的不斷擴(kuò)大，應(yīng)強調(diào)系統(tǒng)的可管理性，需要的是可解決其問題并易于管理的系統(tǒng)。應(yīng)具備安裝簡便快捷，具有友好界面，操作簡單、直觀、靈活，易于學(xué)習(xí)和掌握等特點。
8、動態(tài)適應(yīng)性原則
系統(tǒng)框架要能根據(jù)網(wǎng)絡(luò)安全的變化不斷調(diào)整安全措施，適應(yīng)新的網(wǎng)絡(luò)環(huán)境，滿足新的網(wǎng)絡(luò)安全需求。安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改，支持未來隨著用戶容量的增加和業(yè)務(wù)擴(kuò)容，系統(tǒng)具備靈活的體系架構(gòu)，支持對新系統(tǒng)接入的快速響應(yīng)，系統(tǒng)考慮到升級、擴(kuò)展以及與其它應(yīng)用系統(tǒng)的接口能力。
9、技術(shù)與管理相結(jié)合原則
安全系統(tǒng)設(shè)計和建設(shè)應(yīng)結(jié)合安全技術(shù)與運行管理機(jī)制、人員思想教育與技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)。本項目除應(yīng)建立較為完備的安全物理體系外，還要結(jié)合等級保護(hù)服務(wù)咨詢建立完善的安全管理軟環(huán)境。
10、統(tǒng)籌規(guī)劃、分步實施原則
應(yīng)制定全面的安全統(tǒng)籌規(guī)劃，在實施時可遵循先建立基本的安全體系，再根據(jù)今后網(wǎng)絡(luò)規(guī)模及應(yīng)用的變化，調(diào)整或增強安全防護(hù)力度的分步實施原則。系統(tǒng)建設(shè)應(yīng)保證各系統(tǒng)穩(wěn)定，平滑過渡，對已經(jīng)存在的安全設(shè)備進(jìn)行有效的利用，保護(hù)已有投資。
二、本項目總體建設(shè)任務(wù)需求
1、根據(jù)等級保護(hù)要求，為“金保工程”一期數(shù)據(jù)中心網(wǎng)絡(luò)和信息系統(tǒng)構(gòu)建安全保障平臺； 2、根據(jù)等級保護(hù)要求，集成整合新數(shù)據(jù)中心和原社保、醫(yī)保、
2、就業(yè)分?jǐn)?shù)據(jù)中心安全需求，構(gòu)建統(tǒng)一的安全管理平臺（SOC）；
3、購買等級保護(hù)咨詢服務(wù)，根據(jù)專業(yè)咨詢建立符合等級保護(hù)要求的常態(tài)化安全管理體系架構(gòu)，通過重要系統(tǒng)的等級保護(hù)測評；
三、搭建平臺示意圖如下：
