FY边界接入平台解决方案.docx
( 4.5 )《FY边界接入平台解决方案.docx》由会员分享，可在线阅读，更多相关《FY边界接入平台解决方案.docx（31页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、FY边界接入平台解决方案 XXX 高级人民法院安全边界接入平台解决方案北京网御 星云信息技术 有限 公司2016年5月1. 概述随着法院信息化建设的不断深入开展， 法院 对外交换和共享信息的接入业务需求日益强烈。结合 XXX 人民法院 信息化建设现状和发展需要，减少重复投资，主要在 XXX 人民法院 建设一个安全边界接入平台，实现各类业务的安全接入与信息交换，并对边界接入业务进行管理。法院信息化资源不但要服务于法院机关本身，还必须为整个社会提供及时有效的信息服务，与其他政府机关、社会单位实现安全、有效的信息共享。为解决目前法院专网边界接入的安全问题，确保法院信息网的边界安全，实现法院 法院专网
2、 与其他网络的安全、有效的数据交换。2. 需求分析2.1 业务需求分析XXX 人民法院为了全面的开展审判业务，法院专网 需要 与 互联网接入 对象、 企事业 单位 接入 对象 、 政法 部门接入 对象 等之间开展数据交换 ，实现信息共享与数据安全交换：互联网接入 对象 ： 主要实现 对 互联网 数据的采集和对外发布 安全 数据传输 （如 ： 网站、文书发布系统、案件查询系统等）。外部 专网 （党政军机关） 接入 对象 ： 主要 实现与 公安部门 、检察院、司法等部门的业务 安全 数据交换。外部 专网 （企事业单位 接入 ）对象 ： 主要与工商 、银行和民政部门实现业务 安全 数据交换移动 专网
3、接入对象 ： 主要与 移动专网实现 法院 内部人员移动办公业务 数据交换 。其他 接入对象 ： 主要 与 互联网 采用强隔离的网络之间 业务 的数据交换（ 如 电子政务外网） 。2.2 安全需求分析2.2.1 接入终端需求由于平台接入用户类型多，场所物理环境不安全，人员复杂，所以终端安全的风险较大；接入终端存在非法使用、非授权访问，甚至存在伪造终端接入，并有可能发展为木马、病毒的传播来源。必须进行设备认证，未通过认证的设备必须阻断。必须进行用户身份认证，推荐采用数字证书等高强度身份认证方式。2.2.2 网络安全 需求访问控制：要求实现基于白名单的细粒度访问控制。可对进出网络的信息内容进行过滤，
4、实现对应用层 HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；控制细粒度为端口级，并根据会话状态信息为数据流提供明确的允许或拒绝访问处理，可将会话处于非活跃一定时间或会话结束后终止网络连接，并通过限制网络最大流量数及网络连接数以提升安全等访问控制能力。安全审计：应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应根据记录数据进行分析，并生成审计报表，增加可读性；审计记录需要经管理员认证后方可删除、修改或覆盖；审计日志应报送到集中监控管理系统。入侵防范：求进行入侵防范，能
5、检测攻击，并切断攻击源连接和告警。能防范对应用服务区WEB服务的脚本攻击、SQL注入攻击、网站挂马攻击等，一旦发生攻击，主动切段攻击源，并进行实时报警。恶意代码防范：要求实现恶意代码防范，在网络边界处对恶意代码进行检测和清除，定期升级、更新。网络设备防护：要求对网络设备、安全设备的配置管理进行保护。应对登录网络设备的用户进行身份鉴别，可对管理员登录地址进行限制。链路加密：在网络传输过程中，外部终端与接入平台间通信内容必须实现机密性保护，防止数据篡改和伪造。2.2.3 主机安全 需求身份鉴别：要求实现安全用户认证，采用数字证书认证和安全的用户鉴别协议。对访问接入平台的各类主机，在操作系统层面进行
6、设置，要求进行强身份认证方可登录操作系统或相应的数据库系统，强制要求口令具有足够的复杂度并要求定期更换；并限制登录次数，多次输入错误锁定系统，远程管理上，有限制采用安全的ssh登录，禁用非安全的Telnet，最大限度保证其安全性。访问控制：实施严格的安全访问策略，权限用户可访问有限资源，根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限，删除多余的、过期的账户，避免共享账户的存在。安全审计：全面细粒度的审计，对系统管理员等重要账户、对系统资源的异常使用和重要系统命令的使用等重要的安全相关事件进行包括事件的日期、时间、类型、主体标识、客体标识和结果等审计，并生成详实
7、的审计报表。入侵防范：对重要的服务器，如前置服务器等进行入侵检测，各类操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。恶意代码防范：安装杀毒软件，并定期升级特征库，有效防范恶意代码。资源控制：对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况，限制单个用户对系统资源的最大或最小使用限度，并到达下限进行实时报警。2.2.4 应用安全 需求在应用安全层面，需要进行多方面的安全措施进行综合防御，满足应用安全需求，符合信息安全技术信息系统安全等级保护基本要求第三级的要求。业务应用系统需实现用户身份鉴别，认证方式可以
8、选择采用用户名/口令或数字证书方式，对各类应用的访问进行细粒度的访问控制，并授予不同账户为完成各自承担任务所需的最小权限，提供基于应用的安全审计能力，对应用系统重要安全事件进行审计等手段来保证具有应用的安全性。2.2.5 数据安全 需求能够保证数据传输的完整性。根据业务需求实现数据完整性、机密性保护。根据业务的重要程度，选择提供数据备份和恢复机制。在数据的完整性上，应保证数据在传输过程中的完整性，并在检测到完整性错误时采取必要的恢复措施。在数据的保密性上，应采用加密或其他有效措施，保证数据的不被非法窃取。在数据备份和恢复上，应采用冗余技术手段，应提供本地数据备份与恢复功能，及异地数据备份功能。
9、3. 设计依据 计算机信息系统安全保护等级划分准则（ GB 17859-1999 ） 信息系统安全等级保护基本要求（ GB/T 22239-2008 ） 信息系统安全等级保护定级指南（ GB/T 22240-2008 ） 信息安全技术网络基础安全技术要求（ GB/T 20270-2006 ） 信息安全技术网络和终端设备隔离部件安全技术要求（ GB/T 20279-2006 ）4. 安全边界接入平台总体设计4.1 总体架构设计XXX 人民法院安全边界接入平台主要包括：路由接入区、边界保护区、应用服务区、安全隔离区和监测管理区等五个部分，但根据实际的业务不同，区域划分略有调整。整体系统构架如图所示
10、：4.1.1 路由接入区该区域实现各个外部链接与接入平台之间的连接。该区域主要安全功能为：实现路由访问控制，将来自不同接入对象或不同外部链路的数据流按照接入平台的安全策略加以区分。4.1.2 边界保护区该区域主要实现对接入平台的边界保护。该区域主要安全功能为：实现身份认证、访问控制和权限管理，数据机密性和完整性保护，防御网络攻击和嗅探。通过综合审计技术实现对数据行为追溯和分析。4.1.3 应用服务区该区域主要处理各类与应用相关的操作，是法院专网对外信息发布、信息采集和数据交换的中间区域。该区域主要安全功能为：作为外部终端网络连接的终点，实现应用级身份认证、访问控制、应用代理、数据暂存等功能。防
11、止对法院专网的非法访问和信息泄露。对此区域，应加强对服务器等设备的安全保护，应具有病毒、木马保护功能，防止病毒传播和非法控制。4.1.4 安全隔离区该区域实现法院专网与应用服务区的安全隔离和信息交换。该区域主要安全功能为：实现法院专网与应用服务区的安全网络隔离，根据安全策略，对出入内网的数据分别进行协议剥离、格式检查和过滤，实现法院专网和应用服务区之间的安全数据交换，保障内网的安全。4.2 总体建设方案设计4.2.1 互联网 接入对象设计4.2.1.1 路由接入区4.2.1.2 边界保护区边界保护区作为安全边界接入平台的安全屏障实现对接入平台边界的访问控制、入侵防范、异常行为监测、网络行为审计
12、、应用 审计 等功能。4.2.1.2.1 访问控制通过防火墙实现对数据包的源地址、目标地址、协议类型、源端口、目标端口以及网络协议、应用层协议等对数据包进行访问控制，利用 NAT 功能实现内部主机地址隐藏。利用三层网络交换机的 IP 路由和虚网功能，根据接入应用进行路由选择和虚网划分，保证不同业务应用通道之间的相互隔离。三层交换机根据不同业务设置不同的 VLAN ，每个 VLAN 连接这个业务的前置机、数据库或者文件服务器，每个 VLAN 之间不能互相访问。这样的配置即能保证每个业务之间相对独立，一旦某个业务的前置机感染病毒木马不能通过内部局域网迅速传播，又能实现所有业务的数据交换。4.2.1
13、.2.2 入侵防范利用入侵 防御 （ I PS ）是实时对网络入侵行为自动识别和响应和 主动防御 的系统。 目标旨在准确监测网络异常流量，自动对各类攻击进行实时阻断。即IPS接收到外部数据流量时，如果检测到攻击企图，就会自动地将攻击包丢掉或采取措施将攻击源阻断，而不把入侵攻击放进内部网络 。4.2.1.2.3 未知威胁 防范采用 APT 检测 系统 对恶意代码等未知威胁进行细粒度检测，可实现未知恶意代码检查、嵌套式攻击检测、木马蠕虫病毒识别、隐秘通道检测等多类型未知漏洞（ 0-day ）利用行为的检测。4.2.1.2.4 恶意代码防护利用 IPS 防病毒功能防止网络外部的黑客和病毒的威胁，并与
14、部署在杀毒控管服务器上的网络防病毒软件相配合，增强网络整体的病毒方位功能。4.2.1.2.5 网络审计系统采用网络 审计 实现 对 与边界 接入平台 交互 的网络行为进行安全审计，实现网络行为追溯 。4.2.1.2.6 业务审计系统利用业务审计实现对 边界 接入平台 的 W EB 、应用行为和 中间件操作等的 审计和 关联分析 ， 实现 应用 访问行为溯源。4.2.1.2.7 设备安全管理 所有边界保护区内的关键设备都必须开启审计功能，通过接口将每个设备的日志抄送给集控探针。审计内容包括这些设备的登录事件、配置更改事件、报警事件、故障信息等等。登录边界保护区内的关键设备都必须通过用户身份认证，
15、一般登录交换机、防火墙、 IDS 等设备都采用用户名 / 口令方式，口令设置长度不小于 8 位。 应用服务区4.2.1.3 应用服务区根据实际业务需求，应用服务区放置了相应业务应用的前置服务器（包括应用服务器、 WEB 服务器、数据库服务器、文件服务器等）。作为外部终端网络连接的终点，提供给终端用户应用代理、数据库 数据 数据无 干扰抽取、 暂存等功能服务。该区域主要部署 实时数据同步系统、 业务前置机、杀毒控管服务器、服务器安全加固系统、漏洞扫描系统、集控探针。4.2.1.3.1 数据暂存在应用服务区部署各个业务系统实现与业务专网交换数据的暂存与信息发布。4.2.1.3.2 恶意代码防护为提
16、高应用服务区内各个主机的安全性，在应用服务区安装网络防病毒软件。通过杀毒软件在应用服务区内构建统一的网络病毒防范体系，并在内部建立统一的病毒防范策略，从而达到病毒防范效果。4.2.1.3.3 服务器安全加固主要实现对主机服务器操作系统内核层面的安全加固、文件 / 目录进行强制访问控制、进程进行强制访问控制、注册表进行强制访问控制、补丁分发、文件 / 服务 / 驱动 / 注册表进行完整性检测和硬件的安全策略等功能。通过漏洞扫描系统对业务系统定期进行安全扫描，报告系统的安全漏洞和存在的安全隐患，进行相应的安全风险修复。服务器设备应遵循以下安全原则： 屏蔽超级用户、 guest 用户等，加强登录用户
17、的密码强度 关闭所有不安全的远程控制端口 屏蔽所有不用的端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则4.2.1.4 安全隔离区该区域采用物理 单向导入 / 导出 技术 手段实现法院专网 与应用服务区网络隔离和数据的安全交换 , 它通过高可信的方式，实现异构系统、数据源之间安全、灵活、有效、快速的数据交换。4.2.1.4.1 网络隔离通过单向光闸切断与法院专网的网络连接，剥离所有通过本系统交换的通信协议，保证在内外网之间只能通过裸数据进行有限单向 导入 / 导出 。4.2.1.4.2 身份认证通过 HTTPS 协议进行远程管理，并对管理员的登录失败次数、超时时间的限定 ;源端服务器
18、和目标端服务器基于 IP/MAC 、协议等方式进行认证格式过滤 。4.2.1.4.3 格式检查系统能够根据用户事先定义业务规则对数据进行全面过滤，支持对每个业务单独设置过滤规则，过滤规则粒度细化到每个字段，包括类型、范围、长度、枚举、缺省值、特殊字段、字符编码、图像字段许可等等。对文件格式进行安全检查，包括文件后缀、PE格式、内容安全检查，支持白名单保护机制。格式检查是指系统对所传输的文件格式进行检查，避免在数据交换过程中交换可执行程序，而造成病毒、木马夹杂在交换数据中进行传播。当前系统支持的格式识别引擎有： PE可执行程序检测引擎: 可以识别PE可执行程序，即便用户修改文件后缀也可以直接检查
19、出来； 二进制检测引擎：可以识别交换数据中的二进制数据，可以直接过滤二进制数据； 图片文件检测引擎：可以识别错误格式的图片文件。4.2.1.4.4 病毒过滤系统集成了世界上首屈一指的流杀毒引擎，可以节省您在防病毒、木马上的投资。系统能够识别数据交换内容中SQL语句，能够有效防范所有SQL提交攻击，保护用户内网的数据库和业务应用系统，保证不泄露内网数据结构。系统能够根据用户事先设置的黑名单过滤所有交换的数据，如果出现黑名单中的内容则阻断数据交换行为并报警通知用户。4.2.1.4.5 异构交换系统支持各种数据库之间的异构数据转换，支持包括：不同数据库、同类数据库不同版本的转换、异构表、异构字段名、
20、异构字段类型的转换、异构字符类型、异构数据库字符集的转换、支持通过公共函数实现字段值转换、支持BLOB、CLOB、LONG、TEXT、IMAGE等大字段的异构；支持表/字段级的异构规则设置。4.2.2 外部 专网 （党政军机关） 接入 对象 设计4.2.2.1 路由接入区4.2.2.1.1 终端安全政法部门接入终端是指为访问的 PC 机或服务器。终端安全主要体现在如下几个方面：终端安全加固、终端访问控制。终端设备安全加固终端加固应遵循以下原则： 尽可能采用经过国家权威部门检测认可的安全操作系统（如红旗LINUX等） 屏蔽超级用户、guest用户等，加强登录用户的密码强度 关闭所有不安全的远程控
21、制端口 屏蔽所有不用的低端端口 安装防病毒软件 安装防火墙软件 应用软件最小安装原则 4.2.2.1.2 终端访问控制对接入接入终端必须进行设备认证，认证方式可采用IP/MAC绑定，没有经过认证的终端必须阻断。 对接入的终端通过VPN安全 网关 实现身份认证，认证方式可采用用户名/口令或数字证书，确保不同的终端访问不同的应用，实现应用级的访问控制 。在终端与平台完成连接认证时，通过设置细粒度访问控制策略，确保非法用户不能访问，合法用户不能越权访问。4.2.2.1.3 链路安全政府部门接入链路采用专线方式进行接入。对接入链路基于 SSL 技术进行加密，保证数据传输安全。4.2.2.2 边界保护区
22、边界保护区作为安全边界接入平台的安全屏障实现对接入平台边界的访问控制、入侵防范、异常行为监测、网络行为审计、应用 审计 等功能。4.2.2.2.1 访问控制通过防火墙实现对数据包的源地址、目标地址、协议类型、源端口、目标端口以及网络协议、应用层协议等对数据包进行访问控制，利用 NAT 功能实现内部主机地址隐藏。利用三层网络交换机的 IP 路由和虚网功能，根据接入应用进行路由选择和虚网划分，保证不同业务应用通道之间的相互隔离。三层交换机根据不同业务设置不同的 VLAN ，每个 VLAN 连接这个业务的前置机、数据库或者文件服务器，每个 VLAN 之间不能互相访问。这样的配置即能保证每个业务之间相
23、对独立，一旦某个业务的前置机感染病毒木马不能通过内部局域网迅速传播，又能实现所有业务的数据交换。4.2.2.2.2 入侵防范利用入侵检测系统（ IDS ）是实时对网络入侵行为自动识别和响应的系统。它通过实时监听网络数据流，识别和记录入侵行为，该系统安装于防火墙后，可以对穿透防火墙进行攻击的数据流进行响应。4.2.2.2.3 网络审计系统采用网络 审计 实现 对 与边界 接入平台 交互 的网络行为进行安全审计，实现网络行为追溯 。4.2.2.2.4 业务审计系统利用业务审计实现对 边界 接入平台 的应用行为、 中间件操作等 审计和 关联分析 ， 实现 应用 访问行为溯源 。4.2.2.2.5 设
- 配套讲稿：
如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制：
部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词：
- FY 边界 接入 平台 解决方案
淘文阁 - 分享文档赚钱的网站所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。
限制150内