网络安全级别

一行业概述
政府机构从事的行业性质是跟国家紧密联系的，所涉及信息可以说都带有机密性，所以其信息安全问题。

近年随着国内电子政务的澎湃发展，政府上网掀起高潮，政务公开、资源共享等是政府信息化的必然趋势，这样就不可避免的会涉及到信息安全的问题。

考虑到网络本身所固有的开放性、国际性和无组织性，政府网络在增加应用自由度的同时，政府网络对安全提出了更高的要求。

二安全需求
政府网络一般是为各级政府机关单位建立的统一的计算机信息网络，提供包括：数据、视频、语音、多媒体通信、视频会议、数据共享、安全防护等多种功能，满足多媒体网络通信和各直属机构的机要通信和电子办公的要求。

对网络内部而言，还具有资源分类别、分级别、密级区别等特点，信息的储存、传递和使用上有严格的权限管理。

严格区分涉密网络和非涉密计算机网络，对上网的信息需要进行经常性检查。

详细的安全需求有：
系统等级化保护
物理上安全需求
访问控制需求
⏹防范非法用户非法访问
⏹防范合法用户非授权访问
⏹防范假冒合法用户非法访问
加密传输需求
入侵检测系统需求
安全风险评估系统需求
防病毒系统需求
安全管理体制
构建CA系统
三建设目标
具体的说，政府机关网络信息安全体系的建设目标：
建立系统信息安全运行与管理基础平台，构建支持整个系统信息安全的安全支撑体系，通过技术手段实现信息系统安全可管理、安全可控制的目标，使安全保护策略贯穿到信息系统的物理环境、网络、系统、应用和管理的各个层面。

满足业务、办公、行政应用系统的安全需求，保障各类应用系统的安全。

实现与上下级机构、相关部门网络互联的网络边界的安全保护。

建立包含策略管理在内的安全管理系统和安全管理组织，构建安全管理平台和安全评测系统。

建立信息安全体系的技术标准、规范、规章制度。

安全体系建设最终达到安全稳定、保障有力、协调高效、功能齐全、监控严密的目标。

四解决方案
针对以上的建设目标，汇安科技提出政府行业（税务、财政、工商、商检、科委等各部门）信息安全整体解决方案，依据国家信息安全相关标准（等级化保护要求）、规范和法律、法规、政策建设的完整的信息安全体系，涵盖信息系统物理环境安全、系统安全防护、网络安全防护、应用安全、数据安全、安全管理等信息系统安全的各个层面。

1、等级化安全保护对象框架设计
由于一般的政府机构信息系统规模庞大，各分支机构的信息系统之间存在差异，因此必须对信息系统进行抽象，形成统一的保护对象框架。

安全保护对象框架模型的设计（示意图），如图一所示。

图一安全保护对象框架模型的设计方案图
图二政府网络安全解决方案拓扑图下面，我们简述政府行业安全整体解决方案：
1、物理安全
保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。

物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

它主要包括三个方面：环境安全、设备安全、媒体安全。

2、系统安全
操作系统安全：尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些保存有用户信息及其口令的关键文件使用权限进行严格限制；加强口令字的使用，并及时给系统打补丁、系统内部的相互调用不对外公开。

通过配备操作系统安全扫描系统对操作系统进行安全性扫描，发现其中存在的安全漏洞，并有针对性地进行对网络设备重新配置或升级。

应用系统安全：在应用系统安全上，应用服务器尽量不要开放一些没有经常用的协议及协议端口号。

如文件服务、电子邮件服务器等应用系统，可以关闭服务器上如HTTP、FTP、TELNET、RLOGIN等服务。

还有就是加强登录身份认证。

确保用户使用的合法性；并严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。

充分利用操作系统和应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。

3、网络安全
网络安全是整个安全解决方案的关键，从访问控制、通信保密、入侵检测、网络安全扫描系统、防病毒、上网审计等分别描述。

网络结构安全
网络结构的安全主要指，网络拓扑结构是否合理；线路是否有冗余；路由是否冗余，防止单点失败等。

工行网络在设计时，比较好的考虑了这些因素，可以说网络结构是比较合理的、比较安全的。

隔离与访问控制
⏹划分安全域：按照“等级划分，重点保护”的思想，实施不同安全级别系统安全区域划分。

⏹划分虚拟子网(VLAN)：内部办公自动化网络根据不同用户安全级别或者根据不同部门的安全需求，利用三层交换机来划分虚拟子网(VLAN)，在没有配置路的情况下，不同虚拟子网间是不能够互相访问。

通过虚拟子网的划分,能够实较粗略的访问控制。

⏹终端安全接入：部署网络准入控制设备，对内网终端用户进行入网审计，确保接入网络的终端都是符合安全策略的。

边界保护防火墙
防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。

防火墙通过制定严格的安全策略实现内外网络或内部网络不同信任域
之间的隔离与访问控制。

并且防火墙可以实现单向或双向控制，对一些高层协议实现较细粒的访问控制。

通信保密
上下级机构传送敏感的信息、建设安全OA系统、召开保密视频会议、保证业务流程中数据的机密性与完整性。

主要是为了保护在网上传送的涉及企业秘密的信息，经过配备加密设备，使得在网上传送的数据是密文形式，而不是明文。

可以选择以下几种方式：
⏹链路层加密：使用加密设备在链路层进行数据传输加密。

⏹网络层加密：对政府行业网络系统这样一种大型的网络，VPN 设备可以使网络在升级提速时具有很好的扩展性。

鉴于VPN设备的突出优点，应根据企业具体需求，在各个网络结点与公共网络相连接的进出口处安装配备VPN设备。

上下级机构网络互联采取安全VPN接入的方式。

入侵检测
系统的持续安全运行需要安全审计技术发现潜在的安全事件（攻击、违反操作等），入侵检测系统就是最好的安全产品，入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出网段的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送
E-mail)。

从而防止针对网络的攻击与犯罪行为。

扫描系统
网络扫描系统可以对网络中所有部件(Web站点，防火墙，路由器，TCP/IP 及相关协议服务)进行攻击性扫描、分析和评估，发现并报告系统存在的弱点和漏洞，评估安全风险，建议补救措施。

系统扫描系统可以对网络系统中的所有操作系统进行安全性扫描，检测操作系统存在的安全漏洞，并产生报表，以供分析；还会针对具体安全漏洞提出补救措施。

病毒防护
由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力。

政府网络系统中使用的操作系统一般均为WINDOWS系统，比较容易感染病毒。

因此计算机病毒的防范也是网络安全建设中应该考滤的重要的环节之一。

反垃圾邮件
通过部署反垃圾邮件设备，防止包含色情、恶意代码、违法言论等内容的垃圾邮件在政府网络中传播，影响网络秩序和网络的正常运行，同时也可以避免此类邮件对政府职员不必要的干扰。

上网审计
部署网络安全审计系统，提供了全面的网页内容过滤功能、快速过滤色情、赌博、毒品、暴力、种族歧视等不良网站，合理规划学生的网上行为，以及遵从上网审计法律需要。

4、应用安全
内部资源共享
严格控制内部员工对网络共享资源的使用。

在内部子网中一般不要轻易开放共享目录，否则较容易因为疏忽而在与员工间交换信息时泄漏重要信息。

对有经常交换信息需求的用户，在共享时也必须加上必要的口令认证机制，即只有通过口令的认证才允许访问数据。

虽然说用户名加口令的机制不是很安全，但对一般用户而言，还是起到一定的安全防护，即使有刻意破解者，只要口令设得复杂些，也得花费相当长的时间。

信息存储
对有涉及企业秘密信息的用户主机，使用者在应用过程中应该做到尽量少开放一些不常用的网络服务。

对数据库服务器中的数据库必须做安全备份。

通过网络备份系统，可以对数据库进行远程备份存储。

构建CA体系
针对信息的安全性、完整性、正确性和不可否认性等问题，目前国际上先进的方法是采用信息加密技术、数字签名技术。

具体实现的办法是使用数字证书，通过数字证书，把证书持有者的公开密钥(Public Key)与用户的身份信息紧密安全地结合起来，以实现身份确认和不可否认性。

签发数字证书的机构即数字证书认证中心(CA，Certification
Authority)，数字证书认证中心为用户签发数字证书，为用户身份确认提供各种相应的服务。

5、数据安全
数据安全才是一切安全方案的核心和终极目标，数据安全是指对信息在数据收集、处理、存储、检索、传输、交换、显示、扩散等过程中的保护，使得在数据处理层面保障信息依据授权使用，不被非法冒充、窃取、篡改、抵赖。

所面对的威胁包括窃取、伪造、密钥截获、篡改、冒充、抵赖、攻击密钥等；主要包括数据在存储和使用过程中的完整性、保密性以及数据的备份和恢复。

数据防泄漏
⏹网络设备、操作系统、数据库系统和应用系统的鉴别信息、
敏感的系统管理数据和敏感的用户数据应采用加密或其他有
效措施实现流通过程中的保密性；
⏹网络设备、操作系统、数据库系统和应用系统的鉴别信息、
敏感的系统管理数据和敏感的用户数据应采用加密或其他保
护措施实现存储保密性；
⏹当使用便携式和移动式设备或者采用可移动磁盘时，应加密
存储敏感信息；
⏹网络设备、操作系统、数据库管理系统和应用系统应为重要
通信提供专用协议或安全通信协议服务，避免来自基于通用
协议的攻击，破坏数据保密性。

⏹具体技术细节应包括：
◆使用国家密码管理局批准的硬件USB加密技术。

◆突破文档格式限制。

◆加密文件和权限属性分别存放，系统保证对文件持久控
制，允许随时更改已发送文件的权限。

◆服务器适用于主流操作系统：Windows，Linux，Apple
Mac，HP, IBM, SGI以及Solaris 等操作系统。

◆提供文件夹自动加密功能，为文件共享服务器提供自动
加密功能。

◆与LDAP 协议紧密集成，目前支持Microsoft，IBM，SUN，
Novell 等多种LDAP 服务器，实现用户系统的高级绑定。

◆用户和组分类管理，权限类别分类设置。

支持加密文件
在线、离线浏览。

◆适用各种传输及存储方式，包括：Email，Ftp 下载，网
站下载，介质存储等。

◆与Outlook 邮件客户端或SMTP 服务器整合，支持发送
邮件。

◆提供Microsoft Office，Visio, Outlook等应用软件插
件功能。

◆随时随地跟踪对文档和用户的操作，并提供详细审计报
告。

数据存储和备份
✓该技术可以在应用程序还在运行的时候备份数据；
✓应提供重要业务系统的本地和异地系统级热备份；
✓应提供自动机制实现数据实时本地和异地备份；
✓应提供重要网络设备、通信线路和服务器的硬件冗余；
✓对于组织中必须全天运行的应用的关键业务数据（WEB发布系统），必须同时应用关联数据备份，快照备份；
✓对于数据量比较大、备份时效要求比较高的系统，建议采用光纤通道技术的备份系统；
数据的灾难恢复
✓应提供恢复数据的功能；
✓应提供自动机制在灾难发生时实现自动业务切换和恢复；
✓成功的灾难恢复系统就不单是产品、安装和维护方面的问题了，灾难恢复策略还包括对整个系统的经常性、有规律的
测试和检查等；需要对灾备系统进行测试以检查其恢复数据
所消耗的时间，数据是否在备份过程中会损坏；恢复测试应
该经常进行，至少一个季度得进行一次；
6、安全管理
制定健全的安全管理体制
制定健全的安全管理体制将是网络安全得以实现的重要保证。

各政府机关单位可以根据自身的实际情况，制定如安全操作流程、安全事故的奖罚制度以及对任命安全管理人员的考查等。

构建安全管理平台
构建安全管理平台将会降彽很多因为无意的人为因素而造成的风险。

构建安全管理平台从技术上如，组成安全管理子网，安装集中统一的安全管理软件，如病毒软件管理系统、网络设备管理系统以及网络安全设备统管理软件。

通过安全管理平台实现全网的安全管理。

增强人员的安全防范意识
政府机关单位应该经常对单位员工进行网络安全防范意识的培训，全面提高员工的整体网络安全防范意识。