信息系統(tǒng)安全技術(shù) --整體網(wǎng)絡(luò)安全解決方案

1、信息系統(tǒng)安全技術(shù) --整體網(wǎng)絡(luò)安全解決方案,何長龍 高級(jí)工程師,,用戶網(wǎng)絡(luò)安全的需求,用戶系統(tǒng)風(fēng)險(xiǎn)分析,用戶安全目標(biāo)分析,安全技術(shù)管理規(guī)范設(shè)計(jì),安全機(jī)制集成與服務(wù),用戶網(wǎng)絡(luò)結(jié)構(gòu)系統(tǒng)設(shè)計(jì),,整體安全解決方案,,,產(chǎn)品、服務(wù)質(zhì)量保證體系,安全知識(shí)培訓(xùn),網(wǎng)絡(luò)設(shè)備組件的加固與維護(hù),日常檢測(cè)——漏洞/異常攻擊事故報(bào)告,應(yīng)急事故恢復(fù),安全中心——風(fēng)險(xiǎn)分析、制定/實(shí)施/維護(hù)安全策略,利用企業(yè)的資源最

2、大限度地滿足客戶的需求！,,基于角色的培訓(xùn)安全動(dòng)態(tài)知識(shí)長期培訓(xùn),,主機(jī)保護(hù)產(chǎn)品組件加固服務(wù),,網(wǎng)絡(luò)入侵檢測(cè)產(chǎn)品漏洞掃描產(chǎn)品,,應(yīng)急服務(wù)小組攻防實(shí)驗(yàn)室,,安全分析工程師,,,,,,安全知識(shí)數(shù)據(jù)庫維護(hù),,,網(wǎng)絡(luò)安全與信息安全,,◆ 安全的定義 遠(yuǎn)離危險(xiǎn)的狀態(tài)或特性，為防范間諜活動(dòng)或蓄意破壞、犯罪、攻擊或逃跑而采取的措施。安全不是技術(shù),安全是一個(gè)過程。 ◆ 網(wǎng)絡(luò)安全網(wǎng)絡(luò)的組成方式、拓?fù)浣Y(jié)構(gòu)和網(wǎng)絡(luò)應(yīng)用 ◆ 信息安全信息的

3、來源、去向，內(nèi)容的真實(shí)無誤及保證信息的完整性，信息不會(huì)被非法泄露擴(kuò)散保證信息的保密性 ◆網(wǎng)絡(luò)信息安全的基本要求數(shù)據(jù)的保密性、數(shù)據(jù)的完整性、數(shù)據(jù)的可用性、數(shù)據(jù)的可控性,網(wǎng)絡(luò)信息安全技術(shù)體系,身份認(rèn)證技術(shù)密碼技術(shù)訪問控制技術(shù)防病毒技術(shù)防火墻技術(shù)漏洞掃描技術(shù)入侵檢測(cè)技術(shù)審計(jì)技術(shù),INTERNET,案例一：網(wǎng)絡(luò)拓?fù)浞治?應(yīng)用案例一：SVPN典型應(yīng)用,,,,,,,,,,,服務(wù)子網(wǎng),代理服務(wù)器郵件服務(wù)器,內(nèi)部子網(wǎng),管理中心網(wǎng)絡(luò),

4、DNS服務(wù)器,,路由器,,,,,,分支子網(wǎng)2,路由器,代理服務(wù)器,,,,,,,,,分支子網(wǎng)1,路由器,網(wǎng)絡(luò)現(xiàn)狀分析,應(yīng)用案例一：SVPN典型應(yīng)用,安全需求分析,? 內(nèi)部與外部的隔離,? 實(shí)現(xiàn)對(duì)子網(wǎng)之間通信的加密傳輸,? 用網(wǎng)關(guān)設(shè)備代替代理服務(wù)器,? 外部能訪問內(nèi)部指定區(qū)域提供的服務(wù),? 能夠?qū)?nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的通信進(jìn)行審計(jì),? 其它安全要求,應(yīng)用案例一：SVPN典型應(yīng)用,INTERNET,案例一：網(wǎng)絡(luò)安全設(shè)計(jì),,,,,,,,,,,

5、服務(wù)子網(wǎng),代理服務(wù)器郵件服務(wù)器,內(nèi)部子網(wǎng),管理中心網(wǎng)絡(luò),DNS服務(wù)器,,路由器,,,,,,分支子網(wǎng)2,路由器,代理服務(wù)器,,,,,,,,,分支子網(wǎng)1,路由器,,,CA,MAN,SG1,SG2,SG3,應(yīng)用案例一：SVPN典型應(yīng)用,實(shí)現(xiàn)的主要功能,?子網(wǎng)之間的通信加密,?各子網(wǎng)與外部網(wǎng)絡(luò)的訪問控制,?實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）,?其它,?管理中心對(duì)各子網(wǎng)安全進(jìn)行統(tǒng)一管理,應(yīng)用案例一：SVPN典型應(yīng)用,安全策略實(shí)施,?安全策略制定,?安全

6、策略實(shí)現(xiàn),?安全策略修改,?其它,?安全策略檢驗(yàn),應(yīng)用案例一：SVPN典型應(yīng)用,,,,DDN,,,,,,,,,E-MAIL,,,,,省管理中心網(wǎng)絡(luò),WWW,,路由器,路由器,路由器,某尋呼臺(tái)信息網(wǎng)絡(luò),DNS,縣網(wǎng)絡(luò)中心,縣網(wǎng)絡(luò)中心,,其它,應(yīng)用案例二：防火墻典型應(yīng)用,網(wǎng)絡(luò)現(xiàn)狀分析及需求,? 內(nèi)部所有網(wǎng)絡(luò)采用私有地址，自成體系,?省和縣通過DDN專線進(jìn)行網(wǎng)絡(luò)通信,?使用防火墻的NAT功能使所有用戶能訪問INTERNET，并進(jìn)行訪問控制,?

7、通過ADSL接入INTERNET,?能對(duì)外提供INTERNET服務(wù),應(yīng)用案例二：防火墻典型應(yīng)用,,,,DDN,,,,,,,,,E-MAIL,,,,,管理中心網(wǎng)絡(luò),WWW,,路由器,路由器,路由器,,,其它,,,,,,INTERNET,防火墻,ADSL,縣網(wǎng)絡(luò)中心,縣網(wǎng)絡(luò)中心,省管理中心網(wǎng)絡(luò),應(yīng)用案例二：防火墻典型應(yīng)用,主要實(shí)現(xiàn)的功能,?提供訪問控制,?提供網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）內(nèi)部所有用戶都能夠訪問INTERNET,?提供端口映射功能

8、，使INTERNET用戶能訪問尋呼臺(tái)的WWW、E-MAIL和其它服務(wù),?其它,應(yīng)用案例二：防火墻典型應(yīng)用,電子政務(wù)網(wǎng)絡(luò)拓?fù)涓攀?應(yīng)用案例三：綜合應(yīng)用,電子政務(wù)網(wǎng)絡(luò)拓?fù)湓敿?xì)分析,應(yīng)用案例三：綜合應(yīng)用,,領(lǐng)導(dǎo)層子網(wǎng),,,,,,,,,,,,,,分支機(jī)構(gòu)2,業(yè)務(wù)處室子網(wǎng),公共處室子網(wǎng),服務(wù)處室子網(wǎng),直屬人事機(jī)構(gòu)處室子網(wǎng),共享數(shù)據(jù)庫子網(wǎng),INTERNET,分支機(jī)構(gòu)1,此人正試圖進(jìn)入網(wǎng)絡(luò)監(jiān)聽并竊取敏感信息,電子政務(wù)網(wǎng)絡(luò)風(fēng)險(xiǎn)及需求分析,

9、分支機(jī)構(gòu)工作人員正試圖在領(lǐng)導(dǎo)層子網(wǎng)安裝木馬,分支機(jī)構(gòu)工作人員正試圖越權(quán)訪問業(yè)務(wù)子網(wǎng)安裝木馬,非內(nèi)部人員正試圖篡改公共網(wǎng)絡(luò)服務(wù)器的數(shù)據(jù),應(yīng)用案例三：綜合應(yīng)用,領(lǐng)導(dǎo)層子網(wǎng),業(yè)務(wù)處室子網(wǎng),公共處室子網(wǎng),服務(wù)處室子網(wǎng),直屬人事機(jī)構(gòu)處室子網(wǎng),共享數(shù)據(jù)庫子網(wǎng),分支機(jī)構(gòu)2,分支機(jī)構(gòu)1,,,INTERNET,,,,,,,,,防火墻FW1,防火墻FW2,防火墻FW3,安全認(rèn)證服務(wù)器,安全管理器,安全網(wǎng)關(guān)SG1,安全網(wǎng)關(guān)SG2,安全網(wǎng)關(guān)SG3,

10、路由器,路由器,路由器,交換機(jī),電子政務(wù)網(wǎng)絡(luò)內(nèi)網(wǎng)基礎(chǔ)網(wǎng)絡(luò)平臺(tái)安全,應(yīng)用案例三：綜合應(yīng)用,,,內(nèi)網(wǎng)核心網(wǎng)絡(luò)與各級(jí)子網(wǎng)間的安全設(shè)計(jì),,,,,,,,,,分支機(jī)構(gòu)2,INTERNET,分支機(jī)構(gòu)1,,,,,,交換機(jī),安全網(wǎng)關(guān)SG1,安全網(wǎng)關(guān)SG2,安全網(wǎng)關(guān)SG3,路由器,路由器,路由器,安全管理器,安全認(rèn)證服務(wù)器,,,網(wǎng)絡(luò)漏洞掃描器,內(nèi)網(wǎng)網(wǎng)絡(luò)漏洞掃描系統(tǒng)設(shè)計(jì),內(nèi)網(wǎng)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)設(shè)計(jì),,,,,,,INTERNET,,,,,,,辦公廳辦公業(yè)務(wù)網(wǎng)

11、 （簡(jiǎn)稱“內(nèi)網(wǎng)”）,路由器,交換機(jī),安全管理器,防火墻FW,,物理隔離器（K1),E-MAIL服務(wù)器,WWW服務(wù)器,應(yīng)用服務(wù)器,數(shù)據(jù)庫服務(wù)器,電子政務(wù)外網(wǎng)基礎(chǔ)平臺(tái)安全設(shè)計(jì),,,,,,,INTERNET,,,,,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,路由器,交換機(jī),安全管理器,防火墻FW,,物理隔離器（K1),E-MAIL服務(wù)器,WWW服務(wù)器,應(yīng)用服務(wù)器,數(shù)據(jù)庫服務(wù)器,,網(wǎng)絡(luò)漏洞掃描器,外網(wǎng)網(wǎng)絡(luò)漏洞掃描系統(tǒng)設(shè)計(jì),,,,,,

12、,INTERNET,,,,,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,路由器,交換機(jī),安全管理器,,物理隔離器（K1),E-MAIL服務(wù)器,WWW服務(wù)器,應(yīng)用服務(wù)器,數(shù)據(jù)庫服務(wù)器,,網(wǎng)絡(luò)漏洞掃描器,網(wǎng)絡(luò)入侵檢測(cè)探頭,網(wǎng)絡(luò)入侵策略管理器,防火墻FW,外網(wǎng)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)設(shè)計(jì),,,,,,,INTERNET,,,,,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,路由器,交換機(jī),安全管理器,,物理隔離器（K2),E-MAIL服務(wù)器,WW

13、W服務(wù)器,應(yīng)用服務(wù)器,數(shù)據(jù)庫服務(wù)器,防火墻FW,物理隔離器（K1),,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,,政府系統(tǒng)辦公業(yè)務(wù)資源網(wǎng)（簡(jiǎn)稱“專網(wǎng)”）,,,Web網(wǎng)站監(jiān)測(cè)&自動(dòng)修復(fù)系統(tǒng),外網(wǎng)WEB服務(wù)器安全設(shè)計(jì),,,,,,,INTERNET,,,,,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,路由器,交換機(jī),安全管理器,,物理隔離器（K2),E-MAIL服務(wù)器,WWW服務(wù)器,應(yīng)用服務(wù)器,數(shù)據(jù)庫服務(wù)器,防火墻FW,物理

14、隔離器（K1),,,辦公廳辦公業(yè)務(wù)網(wǎng) （簡(jiǎn)稱“內(nèi)網(wǎng)”）,,政府系統(tǒng)辦公業(yè)務(wù)資源網(wǎng)（簡(jiǎn)稱“專網(wǎng)”）,,,內(nèi)網(wǎng)、外網(wǎng)和專網(wǎng)的隔離系統(tǒng)設(shè)計(jì),典型整體解決方案的應(yīng)用案例,應(yīng)用案例一：成都市某機(jī)關(guān)單位應(yīng)用案例二：北京市某機(jī)關(guān)單位應(yīng)用案例三：國家某部委全國信息網(wǎng)絡(luò)系統(tǒng)應(yīng)用案例四：電子政務(wù)安全應(yīng)用平臺(tái),,相對(duì)性 綜合性：涉及管理及技術(shù)多個(gè)層面 網(wǎng)絡(luò)安全產(chǎn)品的單一性 動(dòng)態(tài)性：技術(shù)跟進(jìn)和維護(hù)支持的重要性 管理難度大 黑盒性,網(wǎng)絡(luò)

15、安全特點(diǎn),P2DR：動(dòng)態(tài)安全模型,信息安全產(chǎn)品的平臺(tái)化戰(zhàn)略,圍繞COE所提供的關(guān)鍵業(yè)務(wù)的風(fēng)險(xiǎn)分析形成對(duì)各種風(fēng)險(xiǎn)的適度控制機(jī)制把各安全控制的功能模塊融合在一個(gè)統(tǒng)一的管理、監(jiān)控和響應(yīng)的平臺(tái)中信息安全平臺(tái)化戰(zhàn)略是COE的重要組成部分,,對(duì)網(wǎng)絡(luò)安全現(xiàn)狀作出正確判斷 較為準(zhǔn)確地估計(jì)特定網(wǎng)絡(luò)用戶的風(fēng)險(xiǎn) 建立相應(yīng)的控制風(fēng)險(xiǎn)的機(jī)制,并把這些 機(jī)制容為一體形成防護(hù)體系 最大限度地提高系統(tǒng)的可用性,并把網(wǎng) 絡(luò)帶來的風(fēng)險(xiǎn)減低到可接受程度

16、,網(wǎng)絡(luò)信息安全目標(biāo),動(dòng)態(tài)網(wǎng)絡(luò)安全防護(hù)策略,,,,網(wǎng)絡(luò)安全策略,業(yè)務(wù)需求,威脅及風(fēng)險(xiǎn)分析,國家,行業(yè),安全相關(guān)的法律法規(guī),業(yè)務(wù)系統(tǒng)安全策略,個(gè)人安全策略,安全技術(shù)標(biāo)準(zhǔn)化策略,管理策略,風(fēng)險(xiǎn)評(píng)估與安全登記劃分,計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全策略,物理安全與環(huán)境保護(hù)策略,管理安全規(guī)范,教育與培訓(xùn)策略,標(biāo)識(shí),認(rèn)證策略,信息保密與完整性策略,授權(quán)與訪問控制策略,抗抵賴策略,安全審計(jì)策略,入侵監(jiān)測(cè)策略,病毒防范策略,響應(yīng)與恢復(fù)策略,容錯(cuò)與備份,用戶角色,級(jí)別