一    行业概述
政府机构从事的行业性质是跟国家紧密联系的，所涉及信息可以说都带有机密性，所以其信息安全问题。近年随着国内电子政务的澎湃发展，政府上网掀起高潮，政务公开、资源共享等是政府信息化的必然趋势，这样就不可避免的会涉及到信息安全的问题。考虑到网络本身所固有的开放性、国际性和无组织性，政府网络在增加应用自由度的同时，政府网络对安全提出了更高的要求。
二      安全需求
政府网络一般是为各级政府机关单位建立的统一的计算机信息网络，提供包括：数据、视频、语音、多媒体通信、视频会议、数据共享、安全防护等多种功能，满足多媒体网络通信和各直属机构的机要通信和电子办公的要求。对网络内部而言，还具有资源分类别、分级别、密级区别等特点，信息的储存、传递和使用上有严格的权限管理。严格区分涉密网络和非涉密计算机网络，对上网的信息需要进行经常性检查。详细的安全需求有：
        系统等级化保护
        物理上安全需求
        访问控制需求
⏹        防范非法用户非法访问
⏹        防范合法用户非授权访问
⏹        防范假冒合法用户非法访问
        加密传输需求
        入侵检测系统需求
        安全风险评估系统需求
        防病毒系统需求
        安全管理体制
        构建CA系统
三      建设目标
具体的说，政府机关网络信息安全体系的建设目标：
    建立系统信息安全运行与管理基础平台，构建支持整个系统信息安全的安全支撑体系，通过技术手段实现信息系统安全可管理、安全可控制的目标，使安全保护策略贯穿到信息系统的物理环境、网络、系统、应用和管理的各个层面。
    满足业务、办公、行政应用系统的安全需求，保障各类应用系统的安全。
    实现与上下级机构、相关部门网络互联的网络边界的安全保护。
    建立包含策略管理在内的安全管理系统和安全管理组织，构建安全管理平台和安全评测系统。
    建立信息安全体系的技术标准、规范、规章制度。
    安全体系建设最终达到安全稳定、保障有力、协调高效、功能齐全、监控严密的目标。
四      解决方案
针对以上的建设目标，汇安科技提出政府行业（税务、财政、工商、商检、科委等各部门）信息安全整体解决方案，依据国家信息安全相关标准（等级化保护要求）、规范和法律、法规、政策建设的完整的信息安全体系，涵盖信息系统物理环境安全、系统安全防护、网络安全防护、应用安全、数据安全、安全管理等信息系统安全的各个层面。
1、 等级化安全保护对象框架设计
由于一般的政府机构信息系统规模庞大，各分支机构的信息系统之间存在差异，因此必须对信息系统进行抽象，形成统一的保护对象框架。
安全保护对象框架模型的设计（示意图），如图一所示。
图一　安全保护对象框架模型的设计方案图
 
                                                                  图二　政府网络安全解决方案拓扑图
下面，我们简述政府行业安全整体解决方案：
1、 物理安全
保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境安全、设备安全、媒体安全。
2、 系统安全
          操作系统安全：尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些起不常用却存在安全隐患的应用、对一些保存有用户信息及其口令的关键文件使用权限进行严格限制；加强口令字的使用，并及时给系统打补丁、系统内部的相互调用不对外公开。通过配备操作系统安全扫描系统对操作系统进行安全性扫描，发现其中存在的安全漏洞，并有针对性地进行对网络设备重新配置或升级。
          应用系统安全：在应用系统安全上，应用服务器尽量不要开放一些没有经常用的协议及协议端口号。如文件服务、服务器等应用系统，可以关闭服务器上如HTTP、FTP、TELNET、RLOGIN等服务。还有就是加强登录身份认证。确保用户使用的合法性；并严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。充分利用操作系统和应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。
3、 网络安全
  网络安全是整个安全解决方案的关键，从访问控制、通信保密、入侵检测、网络安全扫描系统、防病毒、上网审计等分别描述。
        网络结构安全
网络结构的安全主要指，网络拓扑结构是否合理；线路是否有冗余；路由是否冗余，防止单点失败等。工行网络在设计时，比较好的考虑了这些因素，可以说网络结构是比较合理的、比较安全的。
        隔离与访问控制
⏹    划分安全域：按照 “等级划分，重点保护”的思想，实施不同安全级别系统安全区域划分。
⏹    划分虚拟子网(VLAN)：内部办公自动化网络根据不同用户安全级别或者根据不同部门的安全需求，利用三层交换机来划分虚拟子网(VLAN)，在没有配置路的情况下，不同虚拟子网间是不能够互相访问。通过虚拟子网的划分,能够实较粗略的访问控制。
⏹    终端安全接入：部署网络准入控制设备，对内网终端用户进行入网审计，确保接入网络的终端都是符合安全策略的。
        边界保护防火墙
  防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙通过制定严格的安全策略实现内外网络或内部网络不同信任域之间的隔离与访问控制。并且防火墙可以实现单向或双向控制，对一些高层协议实现较细粒的访问控制。
        通信保密
上下级机构传送敏感的信息、建设安全OA系统、召开保密视频会议、保证业务流程中数据的机密性与完整性。主要是为了保护在网上传送的涉及企业秘密的信息，经过配备加密设备，使得在网上传送的数据是密文形式，而不是明文。可以选择以下几种方式：
⏹    链路层加密：使用加密设备在链路层进行数据传输加密。
⏹    网络层加密：对政府行业网络系统这样一种大型的网络，VPN设备可以使网络在升级提速时具有很好的扩展性。鉴于VPN设备的突出优点，应根据企业具体需求，在各个网络结点与公共网络相连接的进出口处安装配备VPN设备。上下级机构网络互联采取安全VPN接入的方式。
        入侵检测
  系统的持续安全运行需要安全审计技术发现潜在的安全事件（攻击、违反操作等），入侵检测系统就是最好的安全产品，入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出网段的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。
        扫描系统
  网络扫描系统可以对网络中所有部件(Web站点，防火墙，路由器，TCP/IP  及相关协议服务)进行攻击性扫描、分析和评估，发现并报告系统存在的弱点和漏洞，评估安全风险，建议补救措施。
  系统扫描系统可以对网络系统中的所有操作系统进行安全性扫描，检测操作系统存在的安全漏洞，并产生报表，以供分析；还会针对具体安全漏洞提出补救措施。
        病毒防护
由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力。政府网络系统中使用的操作系统一般均为WINDOWS系统，比较容易感染病毒。因此计算机病毒的防范也是网络安全建设中应该考滤的重要的环节之一。
        反垃圾邮件
通过部署反垃圾邮件设备，防止包含情、恶意代码、违法言论等内容的垃圾邮件在政府网
络中传播，影响网络秩序和网络的正常运行，同时也可以避免此类邮件对政府职员不必要的干扰。
        上网审计
部署网络安全审计系统，提供了全面的网页内容过滤功能、快速过滤情、赌博、、暴力、种族歧视等不良网站，合理规划学生的网上行为，以及遵从上网审计法律需要。
4、 应用安全
        内部资源共享
严格控制内部员工对网络共享资源的使用。在内部子网中一般不要轻易开放共享目录，否则较容易因为疏忽而在与员工间交换信息时泄漏重要信息。对有经常交换信息需求的用户，在共享时也必须加上必要的口令认证机制，即只有通过口令的认证才允许访问数据。虽然说用户名加口令的机制不是很安全，但对一般用户而言，还是起到一定的安全防护，即使有刻意破解者，只要口令设得复杂些，也得花费相当长的时间。
        信息存储
对有涉及企业秘密信息的用户主机，使用者在应用过程中应该做到尽量少开放一些不常用的网络服务。对数据库服务器中的数据库必须做安全备份。通过网络备份系统，可以对数据库进行远程备份存储。
        构建CA体系
针对信息的安全性、完整性、正确性和不可否认性等问题，目前国际上先进的方法是采用信息加密技术、数字签名技术。具体实现的办法是使用数字证书，通过数字证书，把证书持有者的公开密钥(Public Key)与用户的身份信息紧密安全地结合起来，以实现身份确认和不可否认性。签发数字证书的机构即数字证书认证中心(CA，web应用防护系统Certification Authority)，数字证书认证中心为用户签发数字证书，为用户身份确认提供各种相应的服务。
5、 数据安全
数据安全才是一切安全方案的核心和终极目标，数据安全是指对信息在数据收集、处理、存储、检索、传输、交换、显示、扩散等过程中的保护，使得在数据处理层面保障信息依据授权使用，不被非法冒充、窃取、篡改、抵赖。所面对的威胁包括窃取、伪造、密钥截获、篡
改、冒充、抵赖、攻击密钥等；主要包括数据在存储和使用过程中的完整性、保密性以及数据的备份和恢复。
        数据防泄漏
⏹        网络设备、操作系统、数据库系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他有效措施实现流通过程中的保密性；
⏹        网络设备、操作系统、数据库系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他保护措施实现存储保密性；

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。