地址：

您的当前位置：首页 > 解决方案 > 网络安全解决方案

电子政务

一、前言

随着计算机技术、网络技术、通信技术的快速发展，基于网络的应用已无孔不入地渗透到了社会的每一个角落，信息网络技术是一把双刃剑，它在促进国民经济建设、丰富人民物质文化生活的同时，也对传统的国家安全体系、政府安全体系、企业安全体系提出了严峻的挑战，使得国家的机密、政府敏感信息、企业商业机密、企业生产运行等面临巨大的安全威胁。

政府各部门信息化基础设施相对完善，信息化建设总体上处于较高水平。由于政务网系统网络安全性与稳定性的特殊要求，建立电子政务网安全整体防护体系，制定恰当的安全策略，加强安全管理，提高电子政务网的安全保障能力，是当前迫在眉睫的大事。

本文以一个厅局级单位的网络为例，分析其面临的威胁，指出了部署安全防护的总体策略，探讨了安全防护的技术措施。

 二、网络安全威胁分析

政府各部门的信息网络一般分为：涉密网、非涉密内网、外网，按照国家保密局要求，涉密网与外网物理断开。大部分单位建设有非涉密内网和外网。以某局级单位的内网为例，分析其潜在安全威胁如下：

局级政务网上与市政务网相联，下与区属局级单位相联；在本局大楼内，联接各处室、网络中心、业务窗口、行政服务中心等部门；对外还直接或间接地联到Internet。由于网络结构比较复杂，连接的部门多，使用人员多，并且存在各种异构设备、多种应用系统，因此政务网络上存在的潜在安全威胁非常之大。

如果从威胁来源渠道的角度来看，有来自Internet的安全威胁、来自内部的安全威胁，有有意的人为安全威胁、有无意的人为安全威胁。

如果从安全威胁种类的角度来看，有黑客攻击、病毒侵害、木马、恶意代码、拒绝服务、后门、信息外泄、信息丢失、信息篡改、资源占用等。

安全威胁种类示意图如下：

如果依据网络的理论模型进行分析，有物理安全风险、链路传输安全风险、网络互联安全风险、系统安全风险、应用安全风险、以及管理安全风险。

如下图所示：

三、总体策略

信息系统安全体系覆盖通信平台、网络平台、系统平台、应用平台，覆盖网络的各个层面，覆盖各项安全功能，是一个多维度全方位的安全结构模型。安全体系的建立，应从设施、技术到管理整个经营运作体系进行通盘考虑，因此必须以系统工程的方法进行设计。

从目前安全技术的总体发展水平与诸种因素情况来看，绝对安全是不可能的，需要在系统的可用性和性能、投资以及安全保障程度之间形成一定的平衡，通过相应安全措施的实施把风险降低到可接受的程度。      

厅局级单位的网络安全体系设计本着：适度集中，分散风险，突出重点，分级保护的总体策略。

根据中办发[2003]27号文件精神，政府部门安全防护的总体策略是：

1、实行信息安全等级保护：根据系统中业务的重要性进行分区，所有系统都必须置于相应的安全区内；对重点区域进行重点防护；采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护，关键是将网络中心与广域网系统等实行有效安全隔离，隔离强度应接近或达到物理隔离；

2、建设和完善信息安全监控体系；

3、建立信息安全应急响应机制；

4、加快信息安全人才培养，增强公务人员信息安全意识；

5、加强对信息安全保障工作的领导，建立健全信息安全管理责任制。

四、主要技术措施

针对不同的安全风险种类，相应的技术措施如下表：

五、部署方案简述

本方案针对局级政务内网和外网进行整体安全设计。政务外网主要提供对社会公众的信息发布平台，可以通过逻辑隔离设备联入互联网，政务内网主要运行政务网内部公文等OA系统，纵向与上级单位和下级单位网络相连，横向通过物理隔离设备与政务外网相连。

在内部网络中，大量的工作站是病毒进行攻击的主要目标之一。由于各工作站在日常工作中进行频繁的邮件收发、数据传输拷贝、应用软件执行等操作，再加之内部人员上网浏览、下载程序及利用软盘、光盘进行文件复制等，使得病毒感染的可能性极大。当前的病毒传染现状是，一旦一台工作站染毒，则会很快蔓延至整个网络范围，造成业务系统及办公网络的极大损害。因此，应在所有的工作站上部署客户端防病毒产品。该产品作为网络版的客户端防毒系统，使管理者通过单点控制所有客户机上的防毒模块，并可以自动对所有客户端的防毒模块进行更新。其最大特点是拥有最灵活的产品集中部署方式，不受Windows域管理模式的约束，除支持SMS、登录域脚本、共享安装以外，还支持纯Web的部署方式，可以在安装时设定的防病毒策略下，自动地进行日常所有的防毒、杀毒、更新、升级工作，极大地方便了管理员的操作，并提供最为及时有效的病毒防范机制。

桌面安全防护是近年来安全防护的又一重点内容。桌面安全是在边界安全（防火墙）基础上发展起来的。它克服了边界安全防护的固有的缺点：即只防外不防内的缺点，能够实现一种主机驻留的安全系统，实现对服务器、工作站的全方位保护，杜绝了一个端点系统的入侵而导致整个网络蔓延的情况发生。另外它也一定程度上缓解了网络效率和安全性设定之间的矛盾，多个防火墙并行运行。从一定程度上缓解了网关防火墙的压力，能够充分发挥局域网多个机器的团队优势。

桌面安全系统通常是内核模式应用，它位于操作系统OSI栈的底部，直接面对网卡，它们对所有的信息流进行过滤与限制，无论是来自Internet，还是来自内部网络。

桌面安全防护对个人计算机进行保护的方式如同边界防火墙对整个网络进行保护一样。对于Web服务器来说，桌面安全防护系统进行配置后能够阻止一些非必要的协议，如HTTP 和 HTTPS之外的协议通过，从而阻止了非法入侵的发生，同时还具有入侵检测及防护功能。

桌面安全防护系统克服了操作系统所具有的已知及未知的安全漏洞，如DoS(拒绝服务)、应用及口令攻击。从而使操作系统得到强化。桌面安全防护系统对每个服务器都能进行专门的保护。系统管理员能够将访问权限只赋予服务器上的应用所使用的必要的端口及协议。如HTTP, HTTPS, port 80, port 443等。

网络入侵检测系统部署在有敏感数据需要保护的网段上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括实时报警、事件登录，或执行用户自定义的安全策略等。

此外网络中心核心服务器区域的数据极其重要。由于人为的操作错误、系统软件或应用软件的缺陷、硬件的损毁、电脑病毒、黑客攻击、自然灾难等等诸多因素，都有可能造成数据的丢失，从而给用户造成无可估量的损失。为此建议部署数据备份系统对数据进行经常性的备份，一旦数据丢失，能够快速恢复。

根据以上分析，局级单位的电子政务网络典型的安全防护体系部署措施如下：

在外网与Internet边界处部署百兆/千兆防火墙系统，同时考虑到出口处的重要性和关键位置设备的高可用性，建议部署两台百兆/千兆防火墙构成双机热备系统，这样可避免单点故障带来的网络瘫痪；

在外网与政务内网边界处部署物理隔离网闸设备；

在内网全网桌面部署桌面安全管理系统；

在内网全网部署网络防病毒系统；

在核心交换机上部署入侵检测系统（IDS）；

针对内网关键数据库服务器和应用服务器，应部署数据备份系统；

在内网与市级政务网相联的边界处，依据其接入的端口速率，部署千兆防火墙或百兆防火墙；

在每一个下局级单位的网络边界处，依据其接入的端口速率，部署百兆或千兆防火墙；

部署示意图如下：

另外，安全解决方案或安全产品具有一定的静态特性，而安全威胁是动态变化的。再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现。只有由专业人员来提供的安全服务才能适应这种动态变化的特性。因此我们认为，保障政务网络安全运行的关键，主要起决于是否能够提供优质的安全管理和安全服务。对此，政务网络应选择一支专业素质高、服务经验丰富的技术队伍来进行外包安全服务。