保護信息安全的方案篇一
某市政府中心網路安全方案設計
1.1安全系統建設目標
本技術方案旨在為某市政府網路提供全面的網路系統安全解決方案，包括安全管理制度策略的制定、安全策略的實施體系結構的設計、安全產品的選擇和部署實施，以及長期的合作和技術支持服務。系統建設目標是在不影響當前業務的前提下，實現對網路的全面安全管理。
1) 將安全策略、硬體及軟體等方法結合起來，構成一個統一的防禦系統，有效阻止非法用戶進入網路，減少網路的安全風險;
2) 通過部署不同類型的安全產品，實現對不同層次、不同類別網路安全問題的防護;
3) 使網路管理者能夠很快重新組織被破壞了的檔案或套用。使系統重新恢復到破壞前的狀態。最大限度地減少損失。
具體來說，本安全方案能夠實現全面網路訪問控制，並能夠對重要控制點進行細粒度的訪問控制;
其次，對於通過對網路的流量進行實時監控，對重要伺服器的運行狀況進行全面監控。
1.1.1 防火牆系統設計方案
1.1.1.1 防火牆對伺服器的安全保護
網路中套用的伺服器，信息量大、處理能力強，往往是攻擊的主要對象。另外，伺服器提供的各種服務本身有可能成為"黑客"攻擊的突破口，因此，在實施方案時要對伺服器的安全進行一系列安全保護。
如果伺服器沒有加任何安全防護措施而直接放在公網上提供對外服務，就會面臨著"黑客"各種方式的攻擊，安全級別很低。因此當安裝防火牆後，所有訪問伺服器的請求都要經過防火牆安全規則的詳細檢測。只有訪問伺服器的請求符合防火牆安全規則後，才能通過防火牆到達內部伺服器。防火牆本身抵禦了絕大部分對伺服器的攻擊，外界只能接觸到防火牆上的特定服務，從而防止了絕大部分外界攻擊。
1.1.1.2 防火牆對內部非法用戶的防範
網路內部的環境比較複雜，而且各子網的分布地域廣闊，網路用戶、設備接入的可控性比較差，因此，內部網路用戶的可靠性並不能得到完全的保證。特別是對於存放敏感數據的主機的攻擊往往發自內部用戶，如何對內部用戶進行訪問控制和安全防範就顯得特別重要。為了保障內部網路運行的可靠性和安全性，我們必須要對它進行詳盡的分析，儘可能防護到網路的每一節點。
對於一般的網路套用，內部用戶可以直接接觸到網路內部幾乎所有的服務，網路伺服器對於內部用戶缺乏基本的安全防範，特別是在內部網路上，大部分的主機沒有進行基本的安
全防範處理，整個系統的安全性容易受到內部用戶攻擊的威脅，安全等級不高。根據國際上流行的處理方法，我們把內部用戶跨網段的訪問分為兩大類：其一，是內部網路用戶之間的訪問，即單機到單機訪問。這一層次上的套用主要有用戶已分享檔案的傳輸(NETBIOS)套用;其次，是內部網路用戶對內部伺服器的訪問，這一類套用主要發生在內部用戶的業務處理時。一般內部用戶對於網路安全防範的意識不高，如果內部人員發起攻擊，內部網路主機將無法避免地遭到損害，特別是針對於NETBIOS檔案共享協定，已經有很多的漏洞在網上公開報導，如果網路主機保護不完善，就可能被內部用戶利用"黑客"工具造成嚴重破壞。
1.1.2入侵檢測系統
利用防火牆技術，經過仔細的配置，通常能夠在內外網之間提供安全的網路保護，降低了網路安全風險，但是入侵者可尋找防火牆背後可能敞開的後門，入侵者也可能就在防火牆內。
網路入侵檢測系統位於有敏感數據需要保護的網路上，通過實時偵聽網路數據流，尋找網路違規模式和未授權的網路訪問嘗試。當發現網路違規行為和未授權的網路訪問時，網路監控系統能夠根據系統安全策略做出反應，包括實時報警、事件登錄，或執行用戶自定義的安全策略等。網路監控系統可以部署在網路中有安全風險的地方，如區域網路出入口、重點保護主機、遠程接入伺服器、內部網重點工作站組等。在重點保護區域，可以單獨各部署一套網路監控系統(管理器+探測引擎)，也可以在每個需要保護的地方單獨部署一個探測引擎，在全網使用一個管理器，這種方式便於進行集中管理。
在內部套用網路中的重要網段，使用網路探測引擎，監視並記錄該網段上的所有操作，在一定程度上防止非法操作和惡意攻擊網路中的重要伺服器和主機。同時，網路監視器還可以形象地重現操作的過程，可幫助安全管理員發現網路安全的隱患。
需要說明的是，IDS是對防火牆的非常有必要的附加而不僅僅是簡單的補充。
按照現階段的網路及系統環境劃分不同的網路安全風險區域，xxx市政府本期網路安全系統項目的需求為：
區域 部署安全產品
區域網路 連線到Internet的出口處安裝兩台互為雙機熱備的海信FW3010PF-4000型百兆防火牆;在主幹交換機上安裝海信千兆眼鏡蛇入侵檢測系統探測器;在主幹交換機上安裝NetHawk網路安全監控與審計系統;在內部工作站上安裝趨勢防毒牆網路版防病毒軟體;在各伺服器上安裝趨勢防毒牆伺服器版防病毒軟體。
DMZ區 在伺服器上安裝趨勢防毒牆伺服器版防病毒軟體;安裝一台InterScan
VirusWall防病毒網關;安裝百兆眼鏡蛇入侵檢測系統探測器和NetHawk網路安全監控與審計系統。
安全監控與備份中心 安裝FW3010-5000千兆防火牆，安裝RJ-iTOP榕基網路安全漏洞掃描器;安裝眼鏡蛇入侵檢測系統控制台和百兆探測器;安裝趨勢防毒牆伺服器版管理伺服器，趨勢防毒牆網路版管理伺服器，對各防病毒軟體進行集中管理。
1.2防火牆安全系統技術方案
某市政府區域網路是套用的中心，存在大量敏感數據和套用，因此必須設計一個高安全性、高可靠性及高性能的防火牆安全保護系統，確保數據和套用萬無一失。
所有的區域網路計算機工作站包括終端、廣域網路由器、伺服器群都直接匯接到主幹交換機上。由於工作站分布較廣且全部連線,對中心的伺服器及套用構成了極大的威脅，尤其是可能通過廣域網上的工作站直接攻擊伺服器。因此，必須將中心與廣域網進行隔離防護。考慮到效率，數據主要在主幹交換機上流通，通過防火牆流入流出的流量不會超過百兆，因此使用百兆防火牆就完全可以滿足要求。
如下圖，我們在中心機房的DMZ服務區上安裝兩台互為冗餘備份的海信FW3010PF-4000百兆防火牆，DMZ口通過交換機與WWW/FTP、DNS/MAIL伺服器連線。同時，安裝一台Fw3010PF-5000千兆防火牆，將安全與備份中心與其他區域邏輯隔離開來通過安裝防火牆，實現下列的安全目標：
1) 利用防火牆將內部網路、Internet外部網路、DMZ服務區、安全監控與備份中心進行有效隔離，避免與外部網路直接通信;
2) 利用防火牆建立網路各終端和伺服器的安全保護措施，保證系統安全;
3) 利用防火牆對來自外網的服務請求進行控制，使非法訪問在到達主機前被拒絕;
4) 利用防火牆使用IP與MAC地址綁定功能，加強終端用戶的訪問認證，同時在不影響用戶正常訪問的基礎上將用戶的訪問許可權控制在最低限度內;
5) 利用防火牆全面監視對伺服器的訪問，及時發現和阻止非法操作;
6) 利用防火牆及伺服器上的審計記錄，形成一個完善的審計體系，建立第二條防線;
7) 根據需要設定流量控制規則，實現網路流量控制，並設定基於時間段的訪問控制。
1.3入侵檢測系統技術方案
如下圖所示，我們建議在區域網路中心交換機安裝一台海信眼鏡蛇入侵檢測系統千兆探測器，DMZ區交換機上安裝一台海信眼鏡蛇入侵檢測系統百兆探測器，用以實時檢測區域網路用戶和外網用戶對主機的訪問，在安全監控與備份中心安裝一台海信眼鏡蛇入侵檢測系統百兆探測器和海信眼鏡蛇入侵檢測系統控制台，由系統控制台進行統一的管理(統一事件庫升級、統一安全防護策略、統一上報日誌生成報表)。
其中，海信眼鏡蛇網路入侵檢測系統還可以與海信FW3010PF防火牆進行聯動，一旦發現由外部發起的攻擊行為，將向防火牆傳送通知報文，由防火牆來阻斷連線，實現動態的安全防護體系。海信眼鏡蛇入侵檢測系統可以聯動的防火牆有：海信FW3010PF防火牆，支持OPSEC協定的防火牆。
通過使用入侵檢測系統，我們可以做到：
1) 對網路邊界點的數據進行檢測，防止黑客的入侵; 2) 對伺服器的數據流量進行檢測，防止入侵者的蓄意破壞和篡改; 3) 監視內部用戶和系統的運行狀況，查找非法用戶和合法用戶的越權操作; 4) 對用戶的非正常活動進行統計分析，發現入侵行為的規律; 5) 實時對檢測到的入侵行為進行報警、阻斷，能夠與防火牆/系統聯動; 6) 對關鍵正常事件及異常行為記錄日誌，進行審計跟蹤管理。
通過使用海信眼鏡蛇入侵檢測系統可以容易的完成對以下的攻擊識別：網路信息收集、網路服務缺陷攻擊、Dos&Ddos攻擊、緩衝區溢出攻擊、Web攻擊、後門攻擊等。
網路給某市政府帶來巨大便利的同時，也帶來了許多挑戰，其中安全問題尤為突出。加上一些人缺乏安全控制機制和對網路安全政策及防護意識的認識不足，這些風險會日益加重。引起這些風險的原因有多種，其中網路系統結構和系統的套用等因素尤為重要。主要涉及物理安全、鏈路安全、網路安全、系統安全、套用安全及管理安全等方面。通過以上方案的設計和實施，所有安全隱患就得到了良好的改善。
保護信息安全的方案篇二
一、客戶背景
集團內聯網主要以總部區域網路為核心，採用廣域網方式與外地子公司聯網。集團廣域網採用MPLS-技術，用來為各個分公司提供骨幹網路平台和接入，各個分公司可以在集團的骨幹信息網路系統上建設各自的子系統，確保各類系統間的相互獨立。
二、安全威脅
某公司屬於大型上市公司，在北京，上海、廣州等地均有分公司。公司內部採用無紙化辦公，OA系統成熟。每個區域網路連線著該所有部門，所有的數據都從區域網路中傳遞。同時，各分公司採用技術連線公司總部。該單位為了方便，將相當一部分業務放在了對外開放的網站上，網站也成為了既是對外形象視窗又是內部辦公視窗。
由於網路設計部署上的缺陷，該單位區域網路在建成後就不斷出現網路擁堵、網速特別慢的情況，同時有些個別機器上的防毒軟體頻頻出現病毒報警，網路經常癱瘓，每次時間都持續幾十分鐘，網管簡直成了救火隊員，忙著清除病毒，重灌系統。對外WEB網站同樣也遭到黑客攻擊，網頁遭到非法篡改，有些網頁甚至成了傳播不良信息的平台，不僅影響到網站的正常運行，而且還對政府形象也造成不良影響。(安全威脅根據拓撲圖分析)從網路安全威脅看，集團網路的威脅主要包括外部的攻擊和入侵、內部的攻擊或誤用、企業內的病毒傳播，以及安全管理漏洞等信息安全現狀：經過分析發現該公司信息安全基本上是空白，主要有以下問題：
公司沒有制定信息安全政策，信息管理不健全。 公司在建區域網路時與internet的連線沒有防火牆。 內部網路(同一城市的各分公司)之間沒有任何安全保障為了讓網路正常運行。
根據我國《信息安全等級保護管理辦法》的信息安全要求，近期公司決定對該網路加強安全防護，解決目前網路出現的安全問題。
三、安全需求
從安全性和實用性角度考慮，安全需求主要包括以下幾個方面：
1、安全管理諮詢
安全建設應該遵照7分管理3分技術的原則，通過本次安全項目，可以發現集團現有安全問題，並且協助建立起完善的安全管理和安全組織體系。
2、集團骨幹網路邊界安全
主要考慮骨幹網路中Internet出口處的安全，以及移動用戶、遠程撥號訪問用戶的安全。
3、集團骨幹網路伺服器安全
主要考慮骨幹網路中網關伺服器和集團內部的伺服器，包括OA、財務、人事、內部WEB等內部信息系統伺服器區和安全管理伺服器區的安全。
4、集團內聯網統一的病毒防護
主要考慮集團內聯網中，包括總公司在內的所有公司的病毒防護。
5、統一的增強口令認證系統
由於系統管理員需要管理大量的主機和網路設備，如何確保口令安全稱為一個重要的問題。
6、統一的安全管理平台
通過在集團內聯網部署統一的安全管理平台，實現集團總部對全網安全狀況的集中監測、安全策略的統一配置管理、統計分析各類安全事件、以及處理各種安全突發事件。
7、專業安全服務
過專業安全服務建立全面的安全策略、管理組織體系及相關管理制度，全面評估企業網路中的信息資產及其面臨的安全風險情況，在必要的情況下，進行主機加固和網路加固。通過專業緊急回響服務保證企業在面臨緊急事件情況下的處理能力，降低安全風險。
四、方案設計
骨幹網邊界安全
集團骨幹網共有一個Internet出口，位置在總部，在Internet出口處部署LinkTrust Cyberwall-200F/006防火牆一台。
在Internet出口處部署一台LinkTrust Network Defender領信網路入侵檢測系統，通過交換機連線埠鏡像的方式，將進出Internet的流量鏡像到入侵檢測的監聽連線埠，LinkTrust
Network Defender可以實時監控網路中的異常流量，防止惡意入侵。
在各個分公司中添加一個DMZ區，保證各公司的信息安全，內部網路(同一城市的各分公司)之間沒有任何安全保障骨幹網伺服器安全
集團骨幹網伺服器主要指網路中的網關伺服器和集團內部的套用伺服器包括OA、財務、人事、內部WEB等，以及專為此次項目配置的、用於安全產品管理的伺服器的安全。 主要考慮為在伺服器區配置千兆防火牆，實現伺服器區與辦公區的隔離，並將內部信息系統伺服器區和安全管理伺服器區在防火牆上實現邏輯隔離。還考慮到在伺服器區配置主機入侵檢測系統，在網路中配置百兆網路入侵檢測系統，實現主機及網路層面的主動防護。
漏洞掃描
了解自身安全狀況，目前面臨的安全威脅，存在的安全隱患，以及定期的了解存在那些安全漏洞，新出現的安全問題等，都要求信息系統自身和用戶作好安全評估。安全評估主要分成網路安全評估、主機安全評估和資料庫安全評估三個層面。
內聯網病毒防護
病毒防範是網路安全的一個基本的、重要部分。通過對病毒傳播、感染的各種方式和途徑進行分析，結合集團網路的特點，在網路安全的病毒防護方面應該採用“多級防範，集中管理，以防為主、防治結合”的動態防毒策略。
病毒防護體系主要由桌面網路防毒、伺服器防毒和郵件防毒三個方面。
增強的身份認證系統
由於需要管理大量的主機和網路設備，如何確保口令安全也是一個非常重要的問題。 減小口令危險的最為有效的辦法是採用雙因素認證方式。雙因素認證機制不僅僅需要用戶提供一個類似於口令或者PIN的單一識別要素，而且需要第二個要素，也即用戶擁有的，通常是認證令牌，這種雙因素認證方式提供了比可重用的口令可靠得多的用戶認證級別。用戶除了知道他的PIN號碼外，還必須擁有一個認證令牌。而且口令一般是一次性的，這樣每次的口令是動態變化的，大大提高了安全性。
統一安全平台的建立
通過建立統一的安全管理平台(安全運行管理中心—SOC)，建立起集團的安全風險監控體系，利於從全局的角度發現網路中存在的安全問題，並及時歸併相關人員處理。這裡的風險監控體系包括安全信息庫、安全事件收集管理系統、安全工單系統等，同時開發有效的多種手段實時告警系統，定製高效的安全報表系統。
五、網路管理：
(1)故障管理
故障管理是網路管理中最基本的功能之一。用戶都希望有一個可靠的計算機網路。當網路中某個組成失效時,網路管理器必須迅速查找到故障並及時排除。通常不大可能迅速隔離某個故障,因為網路故障的產生原因往往相當複雜,特別是當故障是由多個網路組成共同引起的。在此情況下,一般先將網路修復,然後再分析網路故障的原因。分析故障原因對於防止類似故障的再發生相當重要。網路故障管理包括故障檢測、隔離和糾正三方面,應包括以下典型功能:
(1)故障監測：主動探測或被動接收網路上的各種事件信息，並識別出其中與網路和系統故障相關的內容，對其中的關鍵部分保持跟蹤，生成網路故障事件記錄。
(2)故障報警：接收故障監測模組傳來的報警信息，根據報警策略驅動不同的報警程式，以報警視窗/振鈴(通知一線網路管理人員)或電子郵件(通知決策管理人員)發出網路嚴重故障警報。
(3)故障信息管理：依靠對事件記錄的分析，定義網路故障並生成故障卡片，記錄排除故障的步驟和與故障相關的值班員日誌，構造排錯行動記錄，將事件-故障-日誌構成邏輯上相互關聯的整體，以反映故障產生、變化、消除的整個過程的各個方面。
(4)排錯支持工具：向管理人員提供一系列的實時檢測工具，對被管設備的狀況進行測試並記錄下測試結果以供技術人員分析和排錯;根據已有的徘錯經驗和管理員對故障狀態的描述給出對徘錯行動的提示。
(5)檢索/分析故障信息：瀏閱並且以關鍵字檢索查詢故障管理系統中所有的資料庫記錄，定期收集故障記錄數據，在此基礎上給出被管網路系統、被管線路設備的可靠性參數。 對網路故障的檢測依據對網路組成部件狀態的監測。不嚴重的簡單故障通常被記錄在 錯誤日誌中,並不作特別處理;而嚴重一些的故障則需要通知網路管理器,即所謂的"警報"。 一般網路管理器應根據有關信息對警報進行處理,排除故障。當故障比較複雜時,網路管理 器應能執行一些診斷測試來辨別故障原因。
(2)計費管理
計費管理記錄網路資源的使用,目的是控制和監測網路操作的費用和代價。它對一些公共商業網路尤為重要。它可以估算出用戶使用網路資源可能需要的費用和代價,以及已經使用的資源。網路管理員還可規定用戶可使用的最大費用,從而控制用戶過多占用和使用網路 資源。這也從另一方面提高了網路的效率。另外,當用戶為了一個通信目的需要使用多個網路中的資源時,計費管理應可計算總計費用。
(1)計費數據採集：計費數據採集是整個計費系統的基礎，但計費數據採集往往受到採集設備硬體與軟體的制約，而且也與進行計費的網路資源有關。 (2)數據管理與數據維護：計費管理人工互動性很強，雖然有很多數據維護系統自動完成，但仍然需要人為管理，包括交納費用的輸入、聯網單位信息維護，以及賬單樣式決定等。
(3)計費政策制定;由於計費政策經常靈活變化，因此實現用戶自由制定輸入計費政策尤其重要。這樣需要一個制定計費政策的友好人機界面和完善的實現計費政策的數據模型。
(4)政策比較與決策支持：計費管理應該提供多套計費政策的數據比較，為政策制訂提供決策依據。
(5)數據分析與費用計算：利用採集的網路資源使用數據，聯網用戶的詳細信息以及計費政策計算網路用戶資源的使用情況，並計算出應交納的費用。
(6)數據查詢：提供給每個網路用戶關於自身使用網路資源情況的詳細信息，網路用戶根據這些信息可以計算、核對自己的收費情況。
(3)配置管理
配置管理同樣相當重要。它初始化網路、並配置網路,以使其提供網路服務。配置管理 是一組對辨別、定義、控制和監視組成一個通信網路的對象所必要的相關功能,目的是為了實現某個特定功能或使網路性能達到最優。
(1)配置信息的自動獲取：在一個大型網路中，需要管理的設備是比較多的，如果每個設備的配置信息都完全依靠管理人員的手工輸入，工作量是相當大的，而且還存在出錯的可能性。對於不熟悉網路結構的人員來說，這項工作甚至無法完成‘因此，一個先進的網路管理系統應該具有配置信息自動獲取功能。即使在管理人員不是很熟悉網路結構和配置狀況的情況下，也能通過有關的技術手段來完成對網路的配置和管理。在網路設備的配置信息中，根據獲取手段大致可以分為三類：一類是網路管理協定標準的MIB中定義的配置信息(包括SNMP;和CMIP協定);二類是不在網路管理協定標準中有定義，但是對設備運行比較重要的配置信息;三類就是用於管理的一些輔助信息。
(2)自動配置、自動備份及相關技術：配置信息自動獲取功能相當於從網路設備中“讀”信息，相應的，在網路管理套用中還有大量“寫”信息的需求。同樣根據設定手段對網路配置信息進行分類：一類是可以通過網路管理協定標準中定義的方法(如SNMP中的set服務)進行設定的配置信息;二類是可以通過自動登錄到設備進行配置的信息;三類就是需要修改的管理性配置信息。
(3)配置一致性檢查：在一個大型網路中，由於網路設備眾多，而且由於管理的原因，這些設備很可能不是由同一個管理人員進行配置的。實際上‘即使是同一個管理員對設備進行的配置，也會由於各種原因導致配置一致性問題。因此，對整個網路的配置情況進行一致性檢查是必需的。在網路的配置中，對網路正常運行影響最大的主要是路由器連線埠配置和路由信息配置，因此，要進行、致性檢查的也主要是這兩類信息。
(4)用戶操作記錄功能：配置系統的安全性是整個網路管理系統安全的核心，因此，必須對用戶進行的每一配置操作進行記錄。在配置管理中，需要對用戶操作進行記錄，並保存下來。管理人員可以隨時查看特定用戶在特定時間內進行的特定配置操作。
(4)性能管理(performance management)
性能管理估價系統資源的運行狀況及通信效率等系統性能。其能力包括監視和分析被管網路及其所提供服務的性能機制。性能分析的結果可能會觸發某個診斷測試過程或重新配置網路以維持網路的性能。性能管理收集分析有關被管網路當前狀況的數據信息,並維持和分析性能日誌。一些典型的功能包括:
(1)性能監控：由用戶定義被管對象及其屬性。被管對象類型包括線路和路由器;被管對象屬性包括流量、延遲、丟包率、CPU利用率、溫度、記憶體餘量。對於每個被管對象，定時採集性能數據，自動生成性能報告。
(2)閾值控制：可對每一個被管對象的每一條屬性設定閾值，對於特定被管對象的特定屬性，可以針對不同的時間段和性能指標進行閾值設定。可通過設定閾值檢查開關控制閡值檢查和告警，提供相應的閾值管理和溢出告警機制。
(3)性能分橋：對歷史數據進行分析，統計和整理，計算性能指標，對性能狀況作出判斷，為網路規劃提供參考。
(4)可視化的性能報告：對數據進行掃描和處理，生成性能趨勢曲線，以直觀的圖形反映性能分析的結果。
(5)實時性能監控：提供了一系列實時數據採集;分析和可視化工具，用以對流量、負載、丟包、溫度、記憶體、延遲等網路設備和線路的性能指標進行實時檢測，可任意設定數據採集間隔。
(6)網路對象性能查詢：可通過列表或按關鍵字檢索被管網路對象及其屬性的性能記錄。
(5)安全管理
安全性一直是網路的薄弱環節之一,而用戶對網路安全的要求又相當高,因此網路安全管理非常重要。網路中主要有以下幾大安全問題:
網路數據的私有性(保護網路數據不被侵 入者非法獲取),
授權(authentication)(防止侵入者在網路上傳送錯誤信息),
訪問控制(控制訪問控制(控制對網路資源的訪問)。
相應的,網路安全管理應包括對授權機制、訪問控制 、加密和加密關鍵字的管理,另外還要維護和檢查安全日誌。包括:
網路管理過程中，存儲和傳輸的管理和控制信息對網路的運行和管理至關重要，一旦泄密、被篡改和偽造，將給網路造成災難性的破壞。網路管理本身的安全由以下機制來保證：
(1)管理員身份認證，採用基於公開密鑰的證書認證機制;為提高系統效率，對於信任域內(如區域網路)的用戶，可以使用簡單口令認證。
(2)管理信息存儲和傳輸的加密與完整性，Web瀏覽器和網路管理伺服器之間採用安全套接字層(SSL)傳輸協定，對管理信息加密傳輸並保證其完整性;內部存儲的機密信息，如登錄口令等，也是經過加密的。
(3)網路管理用戶分組管理與訪問控制，網路管理系統的用戶(即管理員)按任務的不同分成若干用戶組，不同的用戶組中有不同的許可權範圍，對用戶的操作由訪問控制檢查，保證用戶不能越權使用網路管理系統。
(4)系統日誌分析，記錄用戶所有的操作，使系統的操作和對網路對象的修改有據可查，同時也有助於故障的跟蹤與恢復。
網路對象的安全管理有以下功能：
(1)網路資源的訪問控制，通過管理路由器的訪問控制鍊表，完成防火牆的管理功能，即從網路層(1P)和傳輸層(TCP)控制對網路資源的訪問，保護網路內部的設備和套用服務，防止外來的攻擊。
(2)告警事件分析，接收網路對象所發出的告警事件，分析員安全相關的信息(如路由器登錄信息、SNMP認證失敗信息)，實時地向管理員告警，並提供歷史安全事件的檢索與分析機制，及時地發現正在進行的攻擊或可疑的攻擊跡象。
(3)主機系統的安全漏洞檢測，實時的監測主機系統的重要服務(如WWW，DNS等)的狀態，提供安全監測工具，以搜尋系統可能存在的安全漏洞或安全隱患，並給出彌補的措施。
保護信息安全的方案篇三
網路信息系統的安全技術體系通常是在安全策略指導下合理配置和部署：網路隔離與訪問控制、入侵檢測與回響、漏洞掃描、防病毒、數據加密、身份認證、安全監控與審計等技術設備，並且在各個設備或系統之間，能夠實現系統功能互補和協調動作。
網路系統安全具備的功能及配置原則
1.網路隔離與訪問控制。通過對特定網段、服務進行物理和邏輯隔離，並建立訪問控制機制，將絕大多數攻擊阻止在網路和服務的邊界以外。
2.漏洞發現與堵塞。通過對網路和運行系統安全漏洞的周期檢查，發現可能被攻擊所利用的漏洞，並利用補丁或從管理上堵塞漏洞。
3.入侵檢測與回響。通過對特定網路(段)、服務建立的入侵檢測與回響體系，實時檢測出攻擊傾向和行為，並採取相應的行動(如斷開網路連線和服務、記錄攻擊過程、加強審計等)。
4.加密保護。主動的加密通信，可使攻擊者不能了解、修改敏感信息(如方式)或數據加密通信方式;對保密或敏感數據進行加密存儲，可防止竊取或丟失。
5.備份和恢復。良好的備份和恢復機制，可在攻擊造成損失時，儘快地恢複數據和系統服務。
6.監控與審計。在辦公網路和主要業務網路內配置集中管理、分散式控制的監控與審計系統。一方面以計算機終端為單元強化桌面計算的內外安全控制與日誌記錄;另一方面通過集中管理方式對內部所有計算機終端的安全態勢予以掌控。
邊界安全解決方案
在利用公共網路與外部進行連線的“內”外網路邊界處使用防火牆，為“內部”網路(段)與“外部”網路(段)劃定安全邊界。在網路內部進行各種連線的地方使用帶防火牆功能的設備，在進行“內”外網路(段)的隔離的同時建立網路(段)之間的安全通道。
1.防火牆應具備如下功能：
使用NAT把DMZ區的伺服器和內部連線埠影射到Firewall的對外連線埠;
允許Internet公網用戶訪問到DMZ區的套用服務：http、ftp、smtp、dns等;
允許DMZ區內的工作站與套用伺服器訪問Internet公網;
允許內部用戶訪問DMZ的套用服務：http、ftp、smtp、dns、pop3、https;
允許內部網用戶通過代理訪問Internet公網;
禁止Internet公網用戶進入內部網路和非法訪問DMZ區套用伺服器;
禁止DMZ區的公開伺服器訪問內部網路;
防止來自Internet的DOS一類的攻擊;
能接受入侵檢測的聯動要求，可實現對實時入侵的策略回響;
對所保護的主機的常用套用通信協定(http、ftp、telnet、smtp)能夠替換伺服器的Banner信息，防止惡意用戶信息刺探;
提供日誌報表的自動生成功能，便於事件的分析;
提供實時的網路狀態監控功能，能夠實時的查看網路通信行為的連線狀態(當前有那些連線、正在連線的IP、正在關閉的連線等信息)，通信數據流量。提供連線查詢和動態圖表顯示。
防火牆自身必須是有防黑客攻擊的保護能力。
2.帶防火牆功能的設備是在防火牆基本功能(隔離和訪問控制)基礎上，通過功能擴展，同時具有在IP層構建端到端的具有加密選項功能的ESP隧道能力，這類設備也有S的，主要用於通過外部網路(公共通信基礎網路)將兩個或兩個以上“內部”區域網路安全地連線起來，一般要求S應具有一下功能：
防火牆基本功能，主要包括：IP包過慮、套用代理、提供DMZ連線埠和NAT功能等(有些功能描述與上相同);
具有對連線兩端的實體鑑別認證能力;
支持移動用戶遠程的安全接入;
支持IPESP隧道內傳輸數據的完整性和機密性保護;
提供系統內密鑰管理功能;
S設備自身具有防黑客攻擊以及網上設備認證的能力。
入侵檢測與回響方案
在網路邊界配置入侵檢測設備，不僅是對防火牆功能的必要補充，而且可與防火牆一起構建網路邊界的防禦體系。通過入侵檢測設備對網路行為和流量的特徵分析，可以檢測出侵害“內部”網路或對外泄漏的網路行為和流量，與防火牆形成某種協調關係的互動，從而在“內部”網與外部網的邊界處形成保護體系。
入侵檢測系統的基本功能如下：
通過檢測引擎對各種套用協定，作業系統，網路交換的數據進行分析，檢測出網路入侵事件和可疑操作行為。
對自身的資料庫進行自動維護，無需人工干預，並且不對網路的正常運行造成任何干擾。
採取多種報警方式實時報警、音響報警，信息記錄到資料庫，提供電子郵件報警、SysLog報警、SNMPTrap報警、Windows日誌報警、Windows訊息報警信息，並按照預設策略，根據提供的報警信息切斷攻擊連線。
與防火牆建立協調聯動，運行自定義的多種回響方式，及時阻隔或消除異常行為。
全面查看網路中發生的所有套用和連線，完整的顯示當前網路連線狀態。
可對網路中的攻擊事件，訪問記錄進行適時查詢，並可根據查詢結果輸出圖文報表，能讓管理人員方便的提取信息。
入侵檢測系統猶如攝像頭、監視器，在可疑行為發生前有預警，在攻擊行為發生時有報警，在攻擊事件發生後能記錄，做到事前、事中、事後有據可查。
漏洞掃描方案
除利用入侵檢測設備檢測對網路的入侵和異常流量外，還需要針對主機系統的漏洞採取檢查和發現措施。目前常用的方法是配置漏洞掃描設備。主機漏洞掃描可以主動發現主機系統中存在的系統缺陷和可能的安全漏洞，並提醒系統管理員對該缺陷和漏洞進行修補或堵塞。
對於漏洞掃描的結果，一般可以按掃描提示信息和建議，屬外購標準產品問題的，應及時升級換代或安裝補丁程式;屬委託開發的產品問題的，應與開發商協定修改程式或安裝補丁程式;屬於系統配置出現的問題，應建議系統管理員修改配置參數，或視情況關閉或卸載引發安全漏洞的程式模組或功能模組。
漏洞掃描功能是協助安全管理、掌握網路安全態勢的必要輔助，對使用這一工具的安全管理員或系統管理員有較高的技術素質要求。
考慮到漏洞掃描能檢測出防火牆策略配置中的問題，能與入侵檢測形成很好的互補關係：漏洞掃描與評估系統使系統管理員在事前掌握主動地位，在攻擊事件發生前找出並關閉安全漏洞;而入侵檢測系統則對系統進行監測以期在系統被破壞之前阻止攻擊得逞。因此，漏洞掃描與入侵檢測在安全保護方面不但有共同的安全目標，而且關係密切。本方案建議採購將入侵檢測、管理控制中心與漏洞掃描一體化集成的產品，不但可以簡化管理，而且便於漏洞掃描、入侵檢測和防火牆之間的協調動作。
網路防病毒方案
網路防病毒產品較為成熟，且有幾種主流產品。本方案建議，網路防病毒系統應具備下列功能：
網路&單機防護—提供個人或家庭用戶病毒防護;
檔案及存儲伺服器防護—提供伺服器病毒防護;
郵件伺服器防護—提供LotusNotes,MicrosoftExchange等病毒防護;
網關防護—在SMTP,HTTP,和FTPservergateway阻擋計算機病毒;
集中管理—為企業網路的防毒策略，提供了強大的集中控管能力。
關於安全設備之間的功能互補與協調運行
各種網路安全設備(防火牆、入侵檢測、漏洞掃描、防病毒產品等)，都有自己獨特的安全探測與安全保護能力，但又有基於自身主要功能的擴展能力和與其它安全功能的對接能力或延續能力。因此，在安全設備選型和配置時，儘可能考慮到相關安全設備的功能互補與協調運行，對於提高網路平台的整體安全性具有重要意義。
防火牆是目前廣泛用於隔離網路(段)邊界並實施進/出信息流控制的大眾型網路安全產品之一。作為不同網路(段)之間的邏輯隔離設備，防火牆將內部可信區域與外部危險區域有效隔離，將網路的安全策略制定和信息流動集中管理控制，為網路邊界提供保護，是抵禦入侵控制內外非法連線的。
但防火牆具有局限性。這種局限性並不說明防火牆功能有失缺，而且由於本身只應該承擔這樣的職能。因為防火牆是配置在網路連線邊界的通道處的，這就決定了它的基本職能只應提供靜態防禦，其規則都必須事先設定，對於實時的攻擊或異常的行為不能做出實時反應。這些控制規則只能是粗顆粒的，對一些協定細節無法做到完全解析。而且，防火牆無法自動調整策略設定以阻斷正在進行的攻擊，也無法防範基於協定的攻擊。
為了彌補防火牆在實際套用中存在的局限，防火牆廠商主動提出了協調互動思想即聯動問題。防火牆聯動即將其它安全設備(組件)(例如IDS)探測或處理的結果通過接口引入系統內調整防火牆的安全策略，增強防火牆的訪問控制能力和範圍，提高整體安全水平。
目前，防火牆形成聯動的主要有以下幾種方式：
1.與入侵檢測實現聯動
目前，實現入侵檢測和防火牆之間的聯動有兩種方式。一種是實現緊密結合，即把入侵檢測系統嵌入到防火牆中，即入侵檢測系統的數據來源不再來源於抓包，而是流經防火牆的數據流。但由於入侵檢測系統本身也是一個很龐大的系統，從目前的軟硬體處理能力來看，這種聯動難於達到預期效果。第二種方式是通過開放接口來實現聯動，即防火牆或者入侵檢測系統開放一個接口供對方調用，按照一定的協定進行通信、警報和傳輸，這種方式比較靈活，不影響防火牆和入侵檢測系統的性能。
防火牆與入侵檢測系統聯動，可以對網路進行動靜結合的保護，對網路行為進行細顆粒的檢查，並對網路內外兩個部分都進行可靠管理。
2.與防病毒實現聯動
防火牆處於內外網路信息流的必經之地，在網關一級對病毒進行查殺是網路防病毒的理想措施。目前已有一些廠商的防火牆可以與病毒防治軟體進行聯動，通過提供API定義異步接口，將數據包轉發到裝載了網關病毒防護軟體的伺服器上進行檢查，但這種聯動由於性能影響，目前並不適宜部署在網路邊界處。
3.與日誌處理間實現聯動
防火牆與日誌處理之間的聯動，目前國內廠商做的不多。比較有代表性的是CheckPoint的防火牆，它提供兩個API：LEA(LogExportAPI)和ELA(EventLoggingAPI)，允許第三方訪問日誌數據。報表和事件分析採用LE保護信息安全的方案PI，而安全與事件整合採用EL保護信息安全的方案PI。防火牆產品利用這個接口與其他日誌伺服器合作，將大量的日誌處理工作由專門的服務設備完成，提高了專業化程度。
內部網路監控與審計方案
上面的安全措施配置解決了網路邊界的隔離與保護，網路與主機的健康(防病毒)運行，以及用戶訪問網路資源的身份認證和授權問題。
然而，縣衛生局網路內部各辦公網路、業務網路的運行秩序的維護，網路操作行為的監督，各種違規、違法行為的取證和責任認定，以及對作業系統漏洞引發的安全事件的監視和控制等問題，則是必須予以解決的問題。因此有必要在各種內部辦公網路、業務網內部部署集中管理、分散式控制的監控與審計系統。這種系統通過在區域網路(子網)內的管理中心安裝管理器，在各台主機(PC機)中安裝的代理軟體形成一個監控與審計(虛擬網路)系統，通過對代理軟體的策略配置，使得每台工作主機(PC機)按照辦公或業務操作規範進行操作，並對可能經過主機外圍接口(USB口、串/並口、軟硬碟接口等)引入的非法入侵(包括病毒、木馬等)，或非法外連和外泄的行為予以阻斷和記錄;同時管理器通過網路還能及時收集各主機上的安全狀態信息並下達控制命令，形成“事前預警、事中控制和事後審計”的監控鏈。
監控與審計系統應具有下列功能：
管理器自動識別區域網路內所有被監控對象之間的網路拓撲關係，並採用圖形化顯示，包括被監控主機的狀態(如線上、離線)等;
支持對包含有多個子網的區域網路進行全面監控;
系統對被監控對象的USB移動存儲設備、光碟機、軟碟機等外設的使用以及利用這些設備進行檔案操作等非授權行為進行實時監視、控制和審計;
系統對被監控對象的串/並口等接口的活動狀態進行實時監視、控制和審計;
系統對進出被監控對象的網路通信(www,ftp,pop,smtp)數據包進行實時攔截、分析、處理和審計，對telnet通信數據包進行攔截;
系統可根據策略規定，禁止被監控對象進行撥號(普通modem撥號、ADSL撥號、社區寬頻撥號)連線，同時提供審計;
系統對被監控對象運行的所有進程進行實時監視和審計;
系統支持群組管理，管理員可以根據被監控對象的屬性特徵，將其劃分成不同的安全組，對每個組制定不同的安全策略，所有組的成員都根據該策略執行監控功能;
支持多角色管理，系統將管理員和審計員的角色分離，各司其職;
強審計能力，系統具有管理員操作審計、被監控對象傳送的事件審計等功能;
系統自身有極強的安全性，能抗欺騙、篡改、偽造、嗅探、重放等攻擊。