中国水电八局有限公司官方网安全需求

中国水电八局官方网网络安全项目
需求分析书
1项目概述
中国水电八局官方网是中国水利水电集团公司所属的官方新闻网站，是综合性网络新闻平台，中国水电八局官方网以“发布新闻、传播信息、提供服务”为宗旨，是向世界展示中国水电八局，是世界了解中国水电八局的重要窗口，中国水电八局官方网将致力于成为在水电建设行业有较大影响的的知名网站。

2安全需求分析
2.1 边界安全需求分析
目前在内网区和电信托管区的Internet接入点都没有进行防护措施，中国水电八局官方网又是比较有影响力的网站，有可能成为黑客关注的网站，所以托管区的服务器群受到攻击的可能性非常大。

而且恶意黑客可以从这两个接入点都可以进入到网站的办公系统和应用服务、数据库等系统。

应该在边界处采用必要的隔离和访问控制措施。

此外，在边界处新闻网的内部区和电信托管区有一条2M E1专线相连，用于对电信托管区的管理和配置，传输的信息都是机密的，为了防止被窃听、篡改和信息在公网上泄漏，应该采取必要的加密手段。

2.2 内网区安全需求分析
中国水电八局官方网的内网区分为服务器区和办公区，服务器区集中了内部办公、开发测试和代理等服务器，通过在中心交换机上按部门划分VLAN，控制广播风暴和做部分的访问控制。

但是内网服务器区和办公区的访问没有进行控制，考虑到内部攻击和由于文件传输而引起的病毒传播的影响，应该把两个区进行必要的隔离，并采取严格的访问措施。

内网区办公主机数量众多，文件传输也比较频繁，从internet上下载文件等都会引起病毒的传播，目前办公区并没有病毒防范措施，应该采用防病毒软件进行病毒防范。

2.3 电信托管区安全需求分析
电信托管区有对外提供的WEB、Mail等服务器，还有后台的数据库服务器，这些服务器承担着对外发布新闻的任务，是新闻网的窗口，对于这些重要的数据的保护，应该需要采取比较高的保护等级，目前的攻击方法从网络层到应用层都有，边界防火墙只会实现基于网络层的保护，对于网络层以上的防护比较弱，而且对系统层的保护，需要更高级别的保护措施。

2.4 服务器主机系统安全需求分析
中国水电八局官方网的服务器主机系统包括WEB、邮件、LDAP目录、应用、DNS、门户等，是业务和关键信息的主要承载体。

由于多数的网络攻击和入侵目标是网络中的主机系统，对主机系统的保护成为网络安全防御中的重中之重。

大多数商业操作系统在初始安装的时候都运行开了很多不必要的服务，而这些不必要的服务却带来了大量的安全弱点和安全威胁。

在经过主机的安全配置、加固和安全优化以后可以基本上消除这一类的安全弱点和安全威胁。

主机的安全维护不是一个静止的过程，几乎所有的操作系统在发布以后都会或多或少的发现一些严重程度不一的漏洞，因此操作系统的提供商会发布针对这里漏洞的系统补丁，为了保证系统的安全性，操作系统提供商一旦发布补丁就应该在最短时间内给目标系统安装上这些补丁。

主机安全，包括系统的安全配置、加固和安全优化和安全方面的系统升级。

系统的安全配置、加固和安全优化是指在不影响业务处理能力的前提下对主机操作系统初始安装以后对操作系统的初始配置的安全化和优化更改。

2.5 病毒防范需求分析
2.5.1可能的病毒来源
2.5.1.1 系统外部的病毒入侵
这是目前病毒进入最多的途径。

因此在与外部连接的网关处进行病毒拦截是效率最高，耗费资源最少的措施。

可以使进入内部系统的病毒数量大为减少。

但很明显，它只能阻挡来自外部病毒的入侵。

2.5.1.2 邮件/群件系统
网络内采用了邮件/群件系统实施办公和信息自动化，一旦有某个用户感染了病毒，通过邮件方式该病毒将以几何级数在网络内迅速传播，并且很快会导致邮件系统负荷过大而瘫痪。

因此在邮件系统上部署防病毒显得尤为重要。

2.5.1.3 最终用户
病毒最后的入侵途径就是最终的桌面用户。

由于网络共享的便利性，某个感染病毒的桌面机可能随时会感染其它的机器，或是被种上了黑客程序而向外传送机密文件（如“SirCam”病毒）。

因此在网络内对所有的客户机进行防毒控制也很有必要。

2.5.2病毒防范功能需求
2.5.2.1 检测能力
防病毒的恶意代码检测技术必须具有检测已知的和未知的蠕虫和特洛伊木马病毒的能力。

通过搜索硬盘、检测和删除所发现的任何病毒，并能自动下载、下载新的病毒轮廓从而能包括进需要扫描的所有病毒的特征。

病毒检测能力：
数据完整性检查
对电子邮件的检查
工具是否包含恶意代码
实时病毒扫描
按需病毒扫描
网络数据包检查
多态性病毒的不同应对
病毒驻留在加密消息或压缩文件中的检查
病毒以不同的语言书写（如JA V A、ActiveX、VB等）
特洛伊木马和蠕虫病毒
2.5.2.2 更新和升级
保持对病毒和恶意代码威胁的有效防御不仅仅包括在给定的时间执行全面检测这一能力。

平均每月有300多种新的病毒被发现，防毒保护应当能定时更新，当新的病毒被发现后，相应的处理方法应被开发出来并更新保护。

并且这一更新应该是不可见地。

防病毒系统应该通过集中管理框架，可靠地完成自动更新。

更新和升级地功能需求有：
工具是能够进行版本升级
定期升级
升级速度
2.5.2.3 响应机制
响应机制地功能需求包括：
服务器级别隔离
控制台级别隔离
基于网络地支持响应服务
向网络或系统管理员报警
向发送者或接受者报警（对电子邮件病毒）
2.5.3管理策略的需求
中国水电八局官方网由于客户端和服务器众多，造成了管理上的困难和投入的增加，网络互联，需要控制大规模的病毒爆发事件，把病毒的影响控制在很小的范围内。

还有客户端众多造成不能统一安装防病毒软件和升级病毒库，也容易使得病毒的传播。

另外由于文件的传输和电子邮件的传输也没有统一的控制，所以造成病毒多种的途径的传播。

主要表现在以下几个方面：
客户端众多，不能统一安装和升级
系统内部数据传输频繁，为病毒传播创造了条件。

系统内部工作人员病毒防范意识不同。

管理人员不够了解系统内病毒活动的情况，不能及时采取控制措施。

网络互联互通，一旦大规模爆发蠕虫病毒，将会造成网络系统的瘫痪。

没有统一病毒库升级途径
大网络的需求
2.6 用户安全需求断言
2.6.1防火墙需求用户断言
2.6.1.1 功能要求
中国水电八局官方网对防火墙的功能要求如下：
1.专有的硬件平台，专有的操作系统。

2.与交换机、路由器（CISCO产品）等网络设备功能兼容并有效整合。

3.网络特性：应支持至少三个端口的LAN接口数，接口数量应可以增加，
能有效的保护以太网、快速以太网、可扩展支持千兆以太网。

4.应支持路由接入、透明接入。

5.访问控制：千兆级别的基于状态的包过滤功能，支持动态、静态、双向
的网络地址转换（NAT）。

6.防御功能：可防TCP、UDP等端口扫描、防源路由攻击、IP碎片包攻击、
DNS/RIP/ICMP攻击、SYN攻击、DOS/DDOS攻击、可阻止ActiveX、
Java、Javascript入侵；同时提供时间监控和告警功能。

7.能力特性：具备流量控制和统计。

8.具备应用级透明代理功能，支持对HTTP、SMTP、POP3、NNTP等高层
应用协议的代理；支持对URL的过滤、对WEB页面中的Java、VBscript、Javascript组件过滤。

9.具备完善的日志功能，支持向日志服务器导出日志，应具备日志冗余功
能。

10.管理功能：支持本地管理、远程管理和集中管理；支持SNMP监视和
配置，其中远程管理应该能很好的安全保护。

11.支持容错技术，如双机热备、故障恢复、双电源备份等。

12.提供对WWW站点的保护功能。

13.能够与第三方安全产品进行很好的联动，尤其是与IDS产品的联动。

14.支持带宽管理（QoS）。

15.能很好的防止IP欺骗功能。

16.认证类型：应具有一个或多个认证方案，如OTP认证（一次性口令认证）、
RADIUS、KERBEROS、TACACS/TACACS+、口令方式、数字证书等。

17.应支持常见的路由协议，如：OSPF、RIP、RIPII。

18.支持IPX、NETBEUI、VOD、H.323v1/v2、SSH协议。

19.支持分权管理和信息审计。

20.能够对防火墙的配置信息进行备份。

2.6.1.2 内网区防火墙性能要求
中国水电八局官方网内网区对防火墙的性能要求如下：
1.最大并发连接数在120，000以上；
2.内核处理速度不低于300M（对于三个接口的防火墙）；
3.对于10/100M以太网接口，其接口吞吐量应不低于97M；
4.吞吐量：防火墙加载百条规则的平均吞吐量应不低于17000fps；
5.延时：防火墙加载百条规则的平均延时不超过100，000ns；
6.丢包率：防火墙加载百条规则的丢包率为0；
7.背靠背：防火墙加载百条规则的背靠背性能测试不低于400，000frames；
MTBF：不低于30000小时；
2.6.1.3 电信托管区防火墙性能要求
中国水电八局官方网托管区对防火墙的性能要求如下：
1．最大并发连接数在480000以上；
2．内核处理速度不低于800M；
3．对于10/100M以太网接口，其接口吞吐量应不低于97M；
4．延时：防火墙加载百条规则的平均延时不超过40ms；
5．丢包率：防火墙加载百条规则的丢包率为0；
6．背靠背：防火墙加载百条规则的背靠背性能测试不低于400，000frames；
7．MTBF：不低于80000小时；
8．支持双机热备以及双机分流；
9．支持标准光纤接口1000Base-sc(sc)接口；
2.6.2扫描评估系统需求用户断言
中国水电八局官方网对安全脆弱性扫描的功能要求如下：
1.覆盖主流操作系统，如：SUN SOLARIS，HP-UX，IBM AIX，DIGITAL
UNIX，LINUX，WINDOWS NT等。

2.检测方法不少于600种。

3.严格按照国际惯例，对扫描强度和系统风险级别实行分级制。

扫描强度
分为重度扫描，中度扫描，轻度扫描和自定义强度扫描。

4.可支持多种网络漏洞扫描，如：网络服务、WEB服务、FTP服务、守护
进程、电子邮件服务、CGI BIN、浏览器设置、RPC攻击、特定的强力
攻击选项、拒绝服务攻击检测、拒绝服务攻击检测、安全区检测、
WINDOWS NT配置、UNIX 配置、LINUX配置。

5.可发现的系统问题包括：
系统开放了不必要的服务；
软件版本问题、缺省配置、具有弱点、未装补丁；
NT服务器的配置问题；
WEB服务器的配置问题；
防火墙的配置和路由器的访问控制表的配置问题；
信息泄露—TELNET 旗标、FINGER、SNMP、SMTP；
信任关系—RLOGIN、RSH、REXEC；
口令弱点；
检测类似BO、NETBUS等特洛伊木马；
文件共享不合适—NETBIOS、NETWARE；
远程访问不安全；
6.具有远程和本地两种工作模式。

7.具有生成分析报告的能力。

8.具有自我保护能力。

9.可提供相应硬件设备。

10.提供安全漏洞扫描特征升级。

2.6.3入侵检测系统需求用户断言
1.具有对主机、防火墙、交换机等网络设备监控的功能。

2.具备从56Kbps到T4以上速率管理多个网段的功能，包括4/16Mbps
令牌环、10/100Mbps以太网及FDDI。

3.支持实时网络数据流跟踪，网络攻击模式识别。

4.支持网络安全事件的自动响应。

即能够自动响应网络安全事件，包括
控制台报警；记录网络安全事件的详细信息，并提示系统安全管理员
采取一定的安全措施；实时阻断连接。

5.自动生成按用户策略筛选的网络日志。

6.支持用户自定义网络安全策略和网络安全事件。

7.支持集中管理的分布工作模式，能够远程监控。

可以对每一个探测器
进行远程配置，可以监测多个网络出口或应用于广域网络监测，并支
持加密通信和认证。

8.具备完善的攻击检测能力，如监视E-Mail攻击、Web攻击、RPC攻
击、NFS攻击、Telnet攻击、监视非授权网络传输；监视口令攻击、
扫描攻击、特洛伊攻击、拒绝服务攻击、防火墙攻击、Daemon攻击、
监视非授权网络访问等。

9.提供相应硬件设备。

10.支持千兆，尽可能减少因布署IDS所带来的网络性能的下降。

2.6.4VPN系统需求用户断言
1.拥有自主产权的高性能服务器为核心的网关硬件设备；
2.基于IPSec技术构建的VPN；
3.必须经过国家批准为国家商用密码的产品；
4.网络加解密吞吐率大于20Mbps
5.密钥长度：对称>=128位，非对称>=1024/2048位
6.支持的协议：TCP/IP、UDP、ICMP、IPSEC、IKE等
7.密钥管理：对成预共享密钥，PKI-CA数字证书
8.产品必须是基于Internet密钥交换协议（IKE）用于通信双方协商和
建立安全联盟。

9.日志审计功能
2.7 安全产品与服务需求明细
网络拓扑结构应根据网络拓扑结构提供安全分析服务
防火墙
防火墙应采用双机冗余设计，无单点故障，并具有如下基本功能：包过滤、网络地址翻译、应用代理、身份认证等。

主机系统
提供主机安全加固服务（包括UNIX类和WINDOWSNT/2000类）。

漏洞评估
建立漏洞评估体系，并为用户提供漏洞和脆弱性检测服务。

入侵监控和防御建立基于主机和网络的入侵侦测系统。

访问控制提供访问控制安全服务日志和审计提供日志和审计安全服务身份认证提供身份认证安全服务信息加密提供加密安全服务
防病毒
支持网关、服务器、文件和桌面自动删除、分析病毒。

另外应具有可更新的病毒定义和扫描引擎，从而使系统正常运行时间最大化。

灾难恢复提供安全紧急响应服务安全管理工具设计安全管理工具体系安全策略提供安全策略顾问服务。

安全管理维护
提供安全管理维护顾问服务。

建立安全系统运行维护体系。

教育培训
提供安全教育培训服务。

建立完备的安全教育体系和考核体系。

2.8 层次性安全需求分析和设计
网络安全方案必须架构在科学的安全体系和安全框架之上。

安全框架是安全方案设计和分析的基础。

为了系统地描述和分析安全问题，本节将从系统层次结构的角度展开，分析中国水电八局官方网各个层次可能存在的安全漏洞和安全风险，并提出解决方案。

2.8.1层次模型描述
针对中国水电八局官方网的情况，结合《中国水电八局官方网安全解决方案技术需求》的要求，把中国水电八局官方网全网的信息安全划分为六个层次，环境和硬件、网络层、操作系统、数据库层、应用层及操作层。

操作层 应用层 数据库层 操作系统 网络层 环境和硬件
2.8.1.1 网络层安全
安全问题
网络层是网络入侵者进攻信息系统的渠道和通路。

许多安全问题都集中体现在网络的安全方面。

由于大型网络系统内运行的TPC/IP 协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。

网络入侵者一般采用预攻击探测、窃听等搜集信息，然后利用 IP 欺骗、重放或重演、拒绝服务攻击（SYN FLOOD ，PING FLOOD 等）、分布式拒绝服务攻击、篡改、堆栈溢出等手段进行攻击。

2.8.1.1.1 安全的网络拓扑结构
安全技术
保证网络安全的首要问题就是要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。

2.8.1.1.2 网络扫描技术
安全技术
解决网络层安全问题，首先要清楚网络中存在哪些安全隐患、脆弱点。

面中
国
水
电
八
局
官
方
网
全
网
信
息
安
全
层
对大型网络的复杂性和不断变化的情况，依靠网络管理员的技术和经验寻找安全漏洞、做出风险评估，显然是不现实的。

解决的方案是，寻找一种能寻找网络安全漏洞、评估并提出修改建议的网络安全扫描工具。

2.8.1.1.3防火墙技术
防火墙技术
防火墙的目的是要在内部、外部两个网络之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。

具体地说，设置防火墙的目的是隔离内部网和外部网，保护内部网络不受攻击，实现以下基本功能：
●禁止外部用户进入内部网络，访问内部机器；
●保证外部用户可以且只能访问到某些指定的公开信息；
●限制内部用户只能访问到某些特定的Internet资源，如WWW服务、FTP
服务、TELNET服务等；
2.8.1.1.4网络实时入侵检测技术
安全技术
防火墙虽然能抵御网络外部安全威胁，但对网络内部发起的攻击无能为力。

动态地监测网络内部活动并做出及时的响应，就要依靠基于网络的实时入侵监测技术。

监控网络上的数据流，从中检测出攻击的行为并给与响应和处理。

实时入侵监测技术还能检测到绕过防火墙的攻击。

2.8.1.2 操作系统层安全
安全问题
操作系统安全也称主机安全，由于现代操作系统的代码庞大，从而不同程度上都存在一些安全漏洞。

一些广泛应用的操作系统，如Unix，Window NT，其安全漏洞更是广为流传。

另一方面，系统管理员或使用人员对复杂的操作系统和
其自身的安全机制了解不够，配置不当也会造成的安全隐患。

操作系统自身的脆弱性。

安全技术
为了加强主机的安全，还应采用基于操作系统的入侵探测技术。

系统入侵探测技术监控主机的系统事件，从中检测出攻击的可疑特征，并给与响应和处理。

2.8.1.3 数据库层安全
安全问题分析
许多关键的业务系统运行在数据库平台上，如果数据库安全无法保证，其上的应用系统也会被非法访问或破坏。

数据库安全隐患集中在：
●系统认证：口令强度不够，过期帐号，登录攻击等。

●系统授权：帐号权限，登录时间超时等。

●系统完整性：Y2K兼容，特洛伊木马，审核配置，补丁和修正程序等。

2.8.1.4 应用层安全
应用安全是指用户在网络上的应用系统的安全，包括WEB、FTP、邮件系统、DNS等网络基本服务，业务系统，办公自动化系统，电子商务系统等。

应用层安全的解决目前往往依赖于网络层、操作系统、数据库的安全，由于应用系统复杂多样，没有特定的安全技术能够完全解决一些特殊应用系统的安全问题。

但对一些通用的应用程序，如Web Server程序，FTP服务程序，E-mail 服务程序，浏览器，MS Office办公软件等，ISS的Internet Scanner和System Scanner可以帮助检查这些应用程序自身的安全漏洞和由于配置不当造成的安全漏洞。

2.8.1.5 操作层（人、组织）
安全问题分析
层次系统安全架构的最顶层就是对中国水电八局官方网全网进行操作、维
护和使用的内部人员。

人员有各种层次，对人员的管理和安全制度的制订是否有效，影响由这一层次所引发的安全问题。

除按业务划分的组织结构以外，必须成立专门安全组织结构。

这个安全组织应当由各级行政负责人、安全技术负责人、业务负责人及负责具体实施的安全技术人员组成。

此外，必须制订系列的安全管理制度和普及安全教育，包括：
用户守则制订，如应包括：未知请求一律禁止通过、只有网络管理员才可进行物理访问、分部不应使用单一标准的Modem、只有网络人员才可
进行软件安装工作、访问Internet必须通过代理、所有安全软件必须
能保留完整的日志、重要系统应使用难猜测的口令并经常改换口令。

机房管理制度的制订。

分层次的安全培训，对行政、技术的各级人员有针对地进行培训。

建立安全信息分发系统，对安全管理的阶段性结果，以可读性好的报告形式分发给各个结点的安全部门。

应对具体的分发方式、分发渠道、保密措施做出规定。

网络安全方案必须架构在科学的安全体系和安全框架之上。

安全框架是安全方案设计和分析的基础。

为了系统地描述和分析安全问题，本节将从系统层次结构的角度展开，分析中国水电八局官方网各个层次可能存在的安全漏洞和安全风险，并提出解决方案。

2.9 中国水电八局官方网安全集成需求分析
本节对中国水电八局官方网的各个安全功能集成为一个完整的安全体系方面的需求进行分析。

2.9.1安全要素总结
网络安全功能要素是组成整个网络安全体系的基本元素。

在详细研究了中国水电八局官方网网络安全需求、以及透彻了解洞悉业界最新网络安全技术的基础上，本解决方案中有效集成了网络拓扑结构安全服务、防火墙、主机系统安全服务、漏洞评估、入侵监控和防御、访问控制、日志和审计、身份认证、信息加密、防病毒和灾难恢复、安全管理工具等网络安全功能要素。