【行业信息方案--xxx企业网络安全综合设计方案】827.docx

《【行业信息方案--xxx企业网络安全综合设计方案】827.docx》由会员分享，可在线阅读，更多相关《【行业信息方案--xxx企业网络安全综合设计方案】827.docx（24页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、XXX企企业网络络安全综综合设计计方案四川川大大能士信信息安全全有限公公司20022年3月月目 录录1 XXXX企业业网络分分析42 网络络威胁、风风险分析析52.1内内部窃密密和破坏坏52.2 搭线（网网络）窃窃听52.3 假冒52.4 完整性性破坏552.5 其它网网络的攻攻击52.6 管理及及操作人人员缺乏乏安全知知识62.7 雷击63 安全全系统建建设原则则74 网络络安全总总体设计计94.1 安全设设计总体体考虑994.2 网络安安全1004.2.1 网网络传输输104.2.2 访访问控制制124.2.3 入入侵检测测134.2.4 漏漏洞扫描描144.2.5 其其它1444.3 应

2、用系系统安全全144.3.1 系系统平台台安全1144.3.2 应应用平台台安全1144.3.3 病病毒防护护154.3.4 数数据备份份174.3.5 安安全审计计174.3.6 认认证、鉴鉴别、数数字签名名、抗抵抵赖1884.4 物理安安全1884.4.1 两两套网络络的相互互转换1184.4.2 防防电磁辐辐射1884.4.3 网网络防雷雷194.4.4 重重要信息息点的物物理保护护194.5 安全管管理2004.6 安全特特性2115 安全全设备要要求2335.1 安全设设备选型型原则2235.1.1 安安全性要要求2335.1.2 可可用性要要求2335.1.3 可可靠性要要求244

3、5.2 安全设设备的可可扩展性性245.3 安全设设备的升升级2446 技术术支持与与服务2256.1 保障机机制2556.2 咨询服服务2556.3 故障响响应2556.4 备件仓仓库2666.5 系统升升级2666.6 性能分分析2666.7 保修服服务2666.8 保修期期后的技技术支持持服务2266.9 网络安安全培训训266.9.1网络络安全管管理培训训266.9.2 现现场操作作培训2271 XXXX企业业网络分分析此处请根根据用户户实际情情况做简简要分析析2 网络络威胁、风风险分析析针对XXXX企业业现阶段段网络系系统的网网络结构构和业务务流程，结结合XXXX企业业今后进进行的网

4、网络化应应用范围围的拓展展考虑，XXXX企企业网主主要的安安全威胁胁和安全全漏洞包包括以下下几方面面：2.1内内部窃密密和破坏坏由于XXXX企业业网络上上同时接接入了其其它部门门的网络络系统，因因此容易易出现其其它部门门不怀好好意的人人员（或或外部非非法人员员利用其其它部门门的计算算机）通通过网络络进入内内部网络络，并进进一步窃窃取和破破坏其中中的重要要信息（如如领导的的网络帐帐号和口口令、重重要文件件等），因因此这种种风险是是必须采采取措施施进行防防范的。2.2 搭线（网网络）窃窃听这种威胁胁是网络络最容易易发生的的。攻击击者可以以采用如如Sniiffeer等网网络协议议分析工工具，在在IN

5、TTERNNET网网络安全全的薄弱弱处进入入INTTERNNET，并并非常容容易地在在信息传传输过程程中获取取所有信信息（尤尤其是敏敏感信息息）的内内容。对对XXXX企业网网络系统统来讲，由由于存在在跨越IINTEERNEET的内内部通信信（与上上级、下下级）这这种威胁胁等级是是相当高高的，因因此也是是本方案案考虑的的重点。2.3 假冒这种威胁胁既可能能来自XXXX企企业网内内部用户户，也可可能来自自INTTERNNET内内的其它它用户。如如系统内内部攻击击者伪装装成系统统内部的的其他正正确用户户。攻击击者可能能通过冒冒充合法法系统用用户，诱诱骗其他他用户或或系统管管理员，从从而获得得用户名名

6、/口令等等敏感信信息，进进一步窃窃取用户户网络内内的重要要信息。或或者内部部用户通通过假冒冒的方式式获取其其不能阅阅读的秘秘密信息息。2.4 完整性性破坏这种威胁胁主要指指信息在在传输过过程中或或者存储储期间被被篡改或或修改，使使得信息息/数据据失去了了原有的的真实性性，从而而变得不不可用或或造成广广泛的负负面影响响。由于于XXXX企业网网内有许许多重要要信息，因因此那些些不怀好好意的用用户和非非法用户户就会通通过网络络对没有有采取安安全措施施的服务务器上的的重要文文件进行行修改或或传达一一些虚假假信息，从从而影响响工作的的正常进进行。2.5 其它网网络的攻攻击XXX企企业网络络系统是是接入到

7、到INTTERNNET上上的，这这样就有有可能会会遭到IINTEERNEET上黑黑客、恶恶意用户户等的网网络攻击击，如试试图进入入网络系系统、窃窃取敏感感信息、破破坏系统统数据、设设置恶意意代码、使使系统服服务严重重降低或或瘫痪等等。因此此这也是是需要采采取相应应的安全全措施进进行防范范。2.6 管理及及操作人人员缺乏乏安全知知识由于信息息和网络络技术发发展迅猛猛，信息息的应用用和安全全技术相相对滞后后，用户户在引入入和采用用安全设设备和系系统时，缺缺乏全面面和深入入的培训训和学习习，对信信息安全全的重要要性与技技术认识识不足，很很容易使使安全设设备/系系统成为为摆设，不不能使其其发挥正正确的

8、作作用。如如本来对对某些通通信和操操作需要要限制，为为了方便便，设置置成全开开放状态态等等，从从而出现现网络漏漏洞。由于网络络安全产产品的技技术含量量大，因因此，对对操作管管理人员员的培训训显得尤尤为重要要。这样样，使安安全设备备能够尽尽量发挥挥其作用用，避免免使用上上的漏洞洞。出自自于wwww.叁叁柒贰贰贰.cnn 中国国最大的的资料库库2.7 雷击 由于网网络系统统中涉及及很多的的网络设设备、终终端、线线路等，而而这些都都是通过过通信电电缆进行行传输，因因此极易易受到雷雷击，造造成连锁锁反应，使使整个网网络瘫痪痪，设备备损坏，造造成严重重后果。因因此，为为避免遭遭受感应应雷击的的危害和和静

9、电干干扰、电电磁辐射射干扰等等引起的的瞬间电电压浪涌涌电压的的损坏，有有必要对对整个网网络系统统采取相相应的防防雷措施施。注：部分分描述地地方需要要进行调调整，请请根据用用户实际际情况叙叙述。3 安全全系统建建设原则则XXX企企业网络络系统安安全建设设原则为为：1)系统统性原则则XXX企企业网络络系统整整个安全全系统的的建设要要有系统统性和适适应性，不不因网络络和应用用技术的的发展、信信息系统统攻防技技术的深深化和演演变、系系统升级级和配置置的变化化，而导导致在系系统的整整个生命命期内的的安全保保护能力力和抗御御风险的的能力降降低。2）技术术先进性性原则XXX企企业网络络系统整整个安全全系统的

10、的设计采采用先进进的安全全体系进进行结构构性设计计，选用用先进、成成熟的安安全技术术和设备备，实施施中采用用先进可可靠的工工艺和技技术，提提高系统统运行的的可靠性性和稳定定性。3）管理理可控性性原则系统的所所有安全全设备（管管理、维维护和配配置）都都应自主主可控；系统安安全设备备的采购购必须有有严格的的手续；安全设设备必须须有相应应机构的的认证或或许可标标记；安安全设备备供应商商应具备备相应资资质并可可信。安全系统统实施方方案的设设计和施施工单位位应具备备相应资资质并可可信。4）适度度安全性性原则系统安全全方案应应充分考考虑保护护对象的的价值与与保护成成本之间间的平衡衡性，在在允许的的风险范范

11、围内尽尽量减少少安全服服务的规规模和复复杂性，使使之具有有可操作作性，避避免超出出用户所所能理解解的范围围，变得得很难执执行或无无法执行行。5）技术术与管理理相结合合原则XXX企企业网络络系统安安全建设设是一个个复杂的的系统工工程，它它包括产产品、过过程和人人的因素素，因此此它的安安全解决决方案，必必须在考考虑技术术解决方方案的同同时充分分考虑管管理、法法律、法法规方面面的制约约和调控控作用。单单靠技术术或单靠靠管理都都不可能能真正解解决安全全问题的的，必须须坚持技技术和管管理相结结合的原原则。出出自于wwww.叁柒贰贰贰.ccn 中中国最大大的资料料库 6）测测评认证证原则XXX企企业网络络

12、系统作作为重要要的政务务系统，其其系统的的安全方方案和工工程设计计必须通通过国家家有关部部门的评评审，采采用的安安全产品品和保密密设备需需经过国国家主管管理部门门的认可可。7）系统统可伸缩缩性原则则XXX企企业网络络系统将将随着网网络和应应用技术术的发展展而发生生变化，同同时信息息安全技技术也在在发展，因因此安全全系统的的建设必必须考虑虑系统可可升级性性和可伸伸缩性。重重要和关关键的安安全设备备不因网网络变化化或更换换而废弃弃。4 网络络安全总总体设计计一个网络络系统的的安全建建设通常常包括许许多方面面，包括括物理安安全、数数据安全全、网络络安全、系系统安全全、安全全管理等等，而一一个安全全系

13、统的的安全等等级，又又是按照照木桶原原理来实实现的。根根据XXXX企业业各级内内部网络络机构、广广域网结结构、和和三级网网络管理理、应用用业务系系统的特特点，本本方案主主要从以以下几个个方面进进行安全全设计：l 网络系统统安全；l 应用系统统安全；来自htttp:/wwww.37222.ccn中国国最大的的资料库库下载l 物理安全全；l 安全管理理；4.1 安全设设计总体体考虑根据XXXX企业业网络现现状及发发展趋势势，主要要安全措措施从以以下几个个方面进进行考虑虑：l 网络传输输保护主要是数数据加密密保护l 主要网络络安全隔隔离通用措施施是采用用防火墙墙l 网络病毒毒防护采用网络络防病毒毒系

14、统l 广域网接接入部分分的入侵侵检测采用入侵侵检测系系统l 系统漏洞洞分析采用漏洞洞分析设设备l 定期安全全审计主要包括括两部分分：内容容审计和和网络通通信审计计l 重要数据据的备份份l 重要信息息点的防防电磁泄泄露l 网络安全全结构的的可伸缩缩性包括安全全设备的的可伸缩缩性，即即能根据据用户的的需要随随时进行行规模、功功能扩展展l 网络防雷雷4.2 网络安安全 作为XXXX企企业应用用业务系系统的承承载平台台，网络络系统的的安全显显得尤为为重要。由由于许多多重要的的信息都都通过网网络进行行交换，4.2.1 网网络传输输由于XXXX企业业中心内内部网络络存在两两套网络络系统，其其中一套套为企业

15、业内部网网络，主主要运行行的是内内部办公公、业务务系统等等；另一一套是与与INTTERNNET相相连，通通过ADDSL接接入，并并与企业业系统内内部的上上、下级级机构网网络相连连。通过过公共线线路建立立跨越IINTEERNEET的企企业集团团内部局局域网，并并通过网网络进行行数据交交换、信信息共享享。而IINTEERNEET本身身就缺乏乏有效的的安全保保护，如如果不采采取相应应的安全全措施，易易受到来来自网络络上任意意主机的的监听而而造成重重要信息息的泄密密或非法法篡改，产产生严重重的后果果。由于现在在越来越越多的政政府、金金融机构构、企业业等用户户采用VVPN技技术来构构建它们们的跨越越公共

16、网网络的内内联网系系统，因因此在本本解决方方案中对对网络传传输安全全部分推推荐采用用VPNN设备来来构建内内联网。可可在每级级管理域域内设置置一套VVPN设设备，由由VPNN设备实实现网络络传输的的加密保保护。根根据XXXX企业业三级网网络结构构，VPPN设置置如下图图所示：图4-11三级 VPNN设置拓拓扑图每一级的的设置及及管理方方法相同同。即在在每一级级的中心心网络安安装一台台VPNN设备和和一台VVPN认认证服务务器（VVPN-CA），在在所属的的直属单单位的网网络接入入处安装装一台VVPN设设备，由由上级的的VPNN认证服服务器通通过网络络对下一一级的VVPN设设备进行行集中统统一的

17、网网络化管管理。可可达到以以下几个个目的：l 网络传输输数据保保护；由安装在在网络上上的VPPN设备备实现各各内部网网络之间间的数据据传输加加密保护护，并可可同时采采取加密密或隧道道的方式式进行传传输l 网络隔离离保护；与INTTERNNET进进行隔离离，控制制内网与与INTTERNNET的的相互访访问l 集中统一一管理，提提高网络络安全性性；l 降低成本本（设备备成本和和维护成成本）；其中，在在各级中中心网络络的VPPN设备备设置如如下图：图4-22 中心心网络VVPN设设置图由一台VVPN管管理机对对CA、中中心VPPN设备备、分支支机构VVPN设设备进行行统一网网络管理理。将对对外服务务

18、器放置置于VPPN设备备的DMMZ口与与内部网网络进行行隔离，禁禁止外网网直接访访问内网网，控制制内网的的对外访访问、记记录日志志。这样样即使服服务器被被攻破，内内部网络络仍然安安全。下级单位位的VPPN设备备放置如如下图所所示：图4-33 下级级单位VVPN设设置图从图4-4可知知，下属属机构的的VPNN设备放放置于内内部网络络与路由由器之间间，其配配置、管管理由上上级机构构通过网网络实现现，下属属机构不不需要做做任何的的管理，仅仅需要检检查是否否通电即即可。由由于安全全设备属属于特殊殊的网络络设备，其其维护、管管理需要要相应的的专业人人员，而而采取这这种管理理方式以以后，就就可以降降低下属

19、属机构的的维护成成本和对对专业技技术人员员的要求求，这对对有着庞庞大下属属、分支支机构的的单位来来讲将是是一笔不不小的费费用。由于网络络安全的的是一个个综合的的系统工工程，是是由许多多因素决决定的，而而不是仅仅仅采用用高档的的安全产产品就能能解决，因因此对安安全设备备的管理理就显得得尤为重重要。由由于一般般的安全全产品在在管理上上是各自自管理，因因而很容容易因为为某个设设备的设设置不当当，而使使整个网网络出现现重大的的安全隐隐患。而而用户的的技术人人员往往往不可能能都是专专业的，因因此，容容易出现现上述现现象；同同时，每每个维护护人员的的水平也也有差异异，容易易出现相相互配置置上的错错误使网网

20、络中断断。所以以，在安安全设备备的选择择上应当当选择可可以进行行网络化化集中管管理的设设备，这这样，由由少量的的专业人人员对主主要安全全设备进进行管理理、配置置，提高高整体网网络的安安全性和和稳定性性。4.2.2 访访问控制制由于XXXX企业业广域网网网络部部分通过过公共网网络建立立，其在在网络上上必定会会受到来来自INNTERRNETT上许多多非法用用户的攻攻击和访访问，如如试图进进入网络络系统、窃窃取敏感感信息、破破坏系统统数据、设设置恶意意代码、使使系统服服务严重重降低或或瘫痪等等，因此此，采取取相应的的安全措措施是必必不可少少的。通通常，对对网络的的访问控控制最成成熟的是是采用防防火墙

21、技技术来实实现的，本本方案中中选择带带防火墙墙功能的的VPNN设备来来实现网网络安全全隔离，可可满足以以下几个个方面的的要求：l 控制外部部合法用用户对内内部网络络的网络络访问；l 控制外部部合法用用户对服服务器的的访问；l 禁止外部部非法用用户对内内部网络络的访问问；l 控制内部部用户对对外部网网络的网网络；l 阻止外部部用户对对内部的的网络攻攻击；l 防止内部部主机的的IP欺欺骗；l 对外隐藏藏内部IIP地址址和网络络拓扑结结构；l 网络监控控；l 网络日志志审计；详细配置置拓扑图图见图44-1、图图4-22、图44-3。由于采用用防火墙墙、VPPN技术术融为一一体的安安全设备备，并采采取

22、网络络化的统统一管理理，因此此具有以以下几个个方面的的优点：l 管理、维维护简单单、方便便；l 安全性高高（可有有效降低低在安全全设备使使用上的的配置漏漏洞）；l 硬件成本本和维护护成本低低；l 网络运行行的稳定定性更高高由于是采采用一体体化设备备，比之之传统解解决方案案中采用用防火墙墙和加密密机两个个设备而而言，其其稳定性性更高，故故障率更更低。4.2.3 入入侵检测测网络安全全不可能能完全依依靠单一一产品来来实现，网网络安全全是个整整体的，必必须配相相应的安安全产品品。作为为必要的的补充，入入侵检测测系统（IIDS）可可与安全全VPNN系统形形成互补补。入侵侵检测系系统是根根据已有有的、最

23、最新的和和可预见见的攻击击手段的的信息代代码对进进出网络络的所有有操作行行为进行行实时监监控、记记录，并并按制定定的策略略实行响响应（阻阻断、报报警、发发送E-maiil）。从从而防止止针对网网络的攻攻击与犯犯罪行为为。入侵侵检测系系统一般般包括控控制台和和探测器器（网络络引擎）。控控制台用用作制定定及管理理所有探探测器（网网络引擎擎）。探探测器（网网络引擎擎）用作作监听进进出网络络的访问问行为，根根据控制制台的指指令执行行相应行行为。由由于探测测器采取取的是监监听而不不是过滤滤数据包包，因此此，入侵侵检测系系统的应应用不会会对网络络系统性性能造成成多大影影响。出出自于wwww.叁柒贰贰贰.c

24、cn 中中国最大大的资料料库入侵检测测系统的的设置如如下图： 从上图图可知，入入侵检测测仪在网网络接如如上与VVPN设设备并接接使用。入入侵检测测仪在使使用上是是独立网网络使用用的，网网络数据据全部通通过VPPN设备备，而入入侵检测测设备在在网络上上进行疹疹听，监监控网络络状况，一一旦发现现攻击行行为将通通过报警警、通知知VPNN设备中中断网络络（即IIDS与与VPNN联动功功能）等等方式进进行控制制（即安安全设备备自适应应机制），最最后将攻攻击行为为进行日日志记录录以供以以后审查查。4.2.4 漏漏洞扫描描作为一个个完善的的通用安安全系统统，应当当包含完完善的安安全措施施，定期期的安全全评估

25、及及安全分分析同样样相当重重要。由由于网络络安全系系统在建建立后并并不是长长期保持持很高的的安全性性，而是是随着时时间的推推移和技技术的发发展而不不断下降降的，同同时，在在使用过过程中会会出现新新的安全全问题，因因此，作作为安全全系统建建设的补补充，采采取相应应的措施施也是必必然。本方案中中，采用用漏洞扫扫描设备备对网络络系统进进行定期期扫描，对对存在的的系统漏漏洞、网网络漏洞洞、应用用程序漏漏洞、操操作系统统漏洞等等进行探探测、扫扫描，发发现相应应的漏洞洞并告警警，自动动提出解解决措施施，或参参考意见见，提醒醒网络安安全管理理员作好好相应调调整。4.2.5 其其它对复杂或或有特殊殊要求的的网

26、络环环境，在在采取安安全措施施上应当当特殊考考虑，增增加新的的安全措措施。4.3 应用系系统安全全4.3.1 系系统平台台安全XXX企企业各级级网络系系统平台台安全主主要是指指操作系系统的安安全。由由于目前前主要的的操作系系统平台台是建立立在国外外产品的的基础上上，因而而存在很很大的安安全隐患患。XXX企企业网络络系统在在主要的的应用服服务平台台中采用用国内自自主开发发的安全全操作系系统，针针对通用用OS的安安全问题题，对操操作系统统平台的的登录方方式、文文件系统统、网络络传输、安安全日志志审计、加加密算法法及算法法替换的的支持和和完整性性保护等等方面进进行安全全改造和和性能增增强。一一般用户

27、户运行在在PC机机上的NNT平台台，在选选择性地地用好NNT安全全机制的的同时，应应加强监监控管理理。4.3.2 应应用平台台安全XXX企企业网络络系统的的应用平平台安全全，一方方面涉及及用户进进入系统统的身份份鉴别与与控制，以以及使用用网络资资源的权权限管理理和访问问控制，对对安全相相关操作作进行的的审计等等。其中中的用户户应同时时包括各各级管理理员用户户和各类类业务用用户。另另一方面面涉及各各种数据据库系统统、WWWW服务务、E-MAIIL服务务、FTTP和TTELNNET应应用中服服务器系系统自身身的安全全以及提提供服务务的安全全。在选选择这些些应用系系统时，应应当尽量量选择国国内软件件

28、开发商商进行开开发，系系统类型型也应当当尽量采采用国内内自主开开发的应应用系统统。4.3.3 病病毒防护护因为病毒毒在网络络中存储储、传播播、感染染的方式式各异且且途径多多种多样样，相应应地企业业在构建建网络防防病毒系系统时，应应利用全全方位的的企业防防毒产品品，实施施“层层设设防、集集中控制制、以防防为主、防防杀结合合”的策略略。具体体而言，就就是针对对网络中中所有可可能的病病毒攻击击设置对对应的防防毒软件件，通过过全方位位、多层层次的防防毒系统统配置，使使网络没没有薄弱弱环节成成为病毒毒入侵的的缺口。本本方案中中在选择择杀毒软软件时应应当注意意几个方方面的要要求：具具有卓越越的病毒毒防治技

29、技术、程程序内核核安全可可靠、对对付国产产和国外外病毒能能力超群群、全中中文产品品，系统统资源占占用低，性性能优越越、可管管理性高高，易于于使用、产产品集成成度高、高高可靠性性、可调调配系统统资源占占用率、便便捷的网网络化自自动升级级等优点点。病毒对信信息系统统的正常常工作运运行产生生很大影影响，据据统计，信信息系统统的600%瘫痪痪是由于于感染病病毒引起起的。4.3.3.11 系统统设计原原则为了更好好的解决决病毒的的防范，一一般要求求病毒防防范系统统满足如如下要求求：l 采用世界界最先进进的防毒毒产品与与XXXX网络网网络系统统的实际际需要相相结合，确确保XXXX网络络系统具具有最佳佳的病

30、毒毒防护能能力的情情况下综综合成本本最少。l 贯彻川大大能士“层层设设防，集集中控管管，以防防为主、防防治结合合”的企业业防毒策策略。在在XXXX网络中中所有可可能的病病毒攻击击点或通通道中设设置对应应的防病病毒软件件，通过过这种全全方位的的、多层层次的防防毒系统统配置，使使企业网网络免遭遭所有病病毒的入入侵和危危害。l 充分考虑虑XXXX网络的的系统数数据、文文件的安安全可靠靠性，所所选产品品与现系系统具有有良好的的一致性性和兼容容性，以以及最低低的系统统资源占占用，保保证不对对现有系系统运行行产生不不良影响响。l 应用全球球最为先先进的“实时监监控”技术，充充分体现现趋势科科技“以防为为主

31、”的反病病毒思想想。l 所选用产产品具备备对多种种压缩格格式文件件的病毒毒检测。l 所选用产产品易于于安装、操操作简便便、便于于管理和和维护，具具有友好好的用户户界面。l 应用经由由ICSSA（国国际电脑脑安全协协会）技技术认证证的扫描描引擎，保保证对包包括各种种千面人人病毒、变变种病毒毒和黑客客程序等等具有最最佳的病病毒侦测测率，除除对已知知病毒具具备全面面的侦防防能力，对对未知病病毒亦有有良好的的侦测能能力。强强调在XXXX网网络防毒毒系统内内，实施施统一的的防病毒毒策略、集集中的防防毒管理理和维护护，最大大限度地地减轻使使用人员员和维护护人员的的工作量量。l 完全自动动化的日日常维护护，

32、便于于进行病病毒码及及扫描引引擎的更更新。l 提供良好好的售后后服务及及技术支支持。l 具有良好好的可扩扩充性，充充分保护护用户的的现有投投资，适适应 XXXX网网络系统统的今后后发展需需要4.3.3.22 产品品应用根据XXXX企业业网络系系统的结结构和应应用特点点，病毒毒防御可可采取多多种措施施：l 网关防毒毒；l 服务器防防毒；l 客户端防防毒；l 邮件防毒毒；应用拓扑扑如下图图：图4-44病毒应应用拓扑扑图在网络骨骨干接入入处，安安装防毒毒墙（即即安装有有网关杀杀毒软件件的独立立网关设设备），由由防毒墙墙实现网网络接入入处的病病毒防护护。由于于是安装装在网络络接入处处，因此此，对主主要

33、网络络协议进进行杀毒毒处理（SSMTPP、FTTP、HHTTPP）。在服务器器上安装装单独的的服务器器杀毒产产品，对对服务器器进行病病毒保护护。由于内部部存在几几十个网网络客户户端，如如采用普普通杀毒毒软件会会造成升升级麻烦烦、使用用不便等等问题。可可在服务务器上安安装客户户端防病病毒产品品（客户户端杀毒毒软件的的工作模模式是服服务器端端、客户户端的方方式）的的服务器器端，由由客户端端通过网网络与服服务器端端连接后后进行网网络化安安装。对对产品升升级，可可通过在在服务器器端进行行设置，自自动通过过INEETRNNET进进行升级级，再由由客户端端到服务务器端进进行升级级，大大大简化升升级过程程，

34、并且且整个升升级是自自动完成成，不需需要人工工操作。对邮件系系统，可可采取安安装专用用邮件杀杀毒产品品，通过过在邮件件服务器器上安装装邮件杀杀毒程序序，实现现对内部部邮件的的杀毒，保保证邮件件在收、发发时都是是经过检检查的，确确保邮件件无毒。通过这种种方法，可可以达到到层层设设防的作作用，最最终实现现病毒防防护。4.3.4 数数据备份份作为国家家机关，XXXX企企业内部部存在大大量的数数据，而而这里面面又有许许多重要要的、机机密的信信息。而而整个数数据的安安全保护护就显得得特别重重要，对对数据进进行定期期备份是是必不可可少的安安全措施施。在采采取数据据备份时时应该注注意以下下几点：l 存储介质

35、质安全在选择存存储介质质上应选选择保存存时间长长，对环环境要求求低的存存储产品品，并采采取多种种存储介介质备份份。如同同时采用用硬盘、光光盘备份份的方式式。l 数据安全全即数据在在备份前前是真实实数据，没没有经过过篡改或或含有病病毒。l 备份过程程安全确保数据据在备份份时是没没有受到到外界任任何干扰扰，包括括因异常常断电而而使数据据备份中中断的或或其它情情况。l 备份数据据的保管管对存有备备份数据据的存储储介质，应应保存在在安全的的地方，防防火、防防盗及各各种灾害害，并注注意保存存环境（温温度、湿湿度等）的的正常。同同时对特特别重要要的备份份数据，还还应当采采取异地地备份保保管的方方式，来来确

36、保数数据安全全。对重重要备份份数据的的异地、多多处备份份（避免免类似美美国9111事件件为各公公司产生生的影响响）4.3.5 安安全审计计作为一个个良好的的安全系系统，安安全审计计必不可可少。由于XXXX企业业是一个个非常庞庞大的网网络系统统，因而而对整个个网络（或或重要网网络部分分）运行行进行记记录、分分析是非非常重要要的，它它可以让让用户通通过对记记录的日日志数据据进行分分析、比比较，找找出发生生的网络络安全问问题的原原因，并并可作为为以后的的法律证证据或者者为以后后的网络络安全调调整提供供依据。4.3.6 认认证、鉴鉴别、数数字签名名、抗抵抵赖 由于XXXX企企业网络络系统庞庞大，上上面

37、存在在很多分分级的重重要信息息；同时时，由于于现在国国家正在在大力推推进电子子政务的的发展，网网上办公公已经越越来越多多的被应应用到各各级政府府部门当当中，因因此，需需要对网网上用户户的身份份、操作作权限等等进行控控制和授授权。对对不同等等级、类类型的信信息只允允许相应应级别的的人进行行审阅；对网上上公文的的处理采采取数字字签名、抗抗抵赖等等相应的的安全措措施。4.4 物理安安全XXX企企业网络络系统的的物理安安全要求求是保护护计算机机网络设设备、设设施以及及其它媒媒体免遭遭地震、水水灾、火火灾和雷雷击等环环境事故故以及人人为操作作失误或或错误及及各种计计算机犯犯罪行为为导致的的破坏过过程。4

38、.4.1 两两套网络络的相互互转换由于XXXX企业业内部网网络系统统具有两两套网络络，这两两套网络络系统是是完全物物理隔离离的，而而企业内内部有部部分用户户需要两两个网络络都要接接入，这这就涉及及到两个个网络之之间的相相互切换换问题。而而现在的的实际使使用是采采用手工工拔插网网线的方方式进行行切换，这这使得使使用中非非常不方方便。因因此，本本方案建建议采用用网络隔隔离卡的的方式来来解决网网络切换换的问题题。4.4.1.11 隔离离卡工作作方式 隔离卡卡上有两两个网络络接口，一一个接内内网，一一个接外外网；另另外还有有一个控控制口，通通过控制制口连接接一个控控制器（只只有火柴柴盒大小小），放放置

39、于电电脑旁边边。同时时，在隔隔离卡上上接两个个硬盘，使使一个计计算机变变为两个个计算机机使用，两两个硬盘盘上分别别运行独独立的操操作系统统。这样样，可通通过控制制器进行行切换（简简单的开开关，类类似电源源开关），使使计算机机分别接接到两个个网络上上。4.4.1.22 应用用 根据XXXX企企业网络络的实际际情况，需需要在二二、三、四四楼共220个信信息点上上安装隔隔离卡。其其中二楼楼6个，三三楼122个，四四楼2个个。4.4.2 防防电磁辐辐射普通的综综合布线线系统通通常都采采用5类类UTPP的方式式，由于于电信号号在传输输时存在在电磁场场，并随随着信号号的改变变而改变变磁场的的强弱，而而UT

40、PP本身没没有任何何的屏蔽蔽功能，因因此容易易被国外外间谍机机构或不不法分子子采取电电磁波复复原的方方法窃取取重要机机密信息息，造成成严重后后果。因因而对重重要信息息点的数数据传输输介质应应采取相相应的安安全措施施，如使使用屏蔽蔽双绞线线等终端设备备尤其是是CRTT显示器器均有程程度不同同的电磁磁辐射问问题，但但又因终终端分散散使用不不宜集中中采用屏屏蔽室的的办法来来防止，因因此除要要求在订订购设备备上尽量量选取低低辐射产产品外，还还应根据据保护对对象分别别采取主主动式的的干扰设设备（如如干扰机机来破坏坏对信息息的侦窃窃），或或采用加加装带屏屏蔽门窗窗的屏蔽蔽室。4.4.3 网网络防雷雷由于X

41、XXX企业业网络系系统的物物理范围围主要是是在一栋栋大楼内内，而大大楼本身身已采取取相应的的防雷措措施，因因此，本本方案中中主要针针对网络络系统防防雷进行行设计，不不包括电电源防雷雷（这一一般属于于大楼防防雷的部部分）。不少用户户为防止止计算机机及其局局域网或或广域网网遭雷击击，便简简单地在在与外部部线路连连接的调调制解调调器上安安装避雷雷器，但但由于静静电感应应雷、防防电磁感感应雷主主要是通通过供电电线路破破坏设备备的，因因此对计计算机信信息系统统的防雷雷保护首首先是合合理地加加装电源源避雷器器，其次次是加装装信号线线路和天天馈线避避雷器。如如果大楼楼信息系系统的设设备配置置中有计计算机中中

42、心机房房、程控控交换机机房及机机要设备备机房，那那么在总总电源处处要加装装电源避避雷器。按按照有关关标准要要求，必必须在00区、11区、22区分别别加装避避雷器（00区、11区、22区是按按照雷电电出现的的强度划划分的）。在在各设备备前端分分别要加加装串联联型电源源避雷器器（多级级集成型型），以以最大限限度地抑抑制雷电电感应的的能量。同同时，计计算机中中心的MMODEEM、路路由器、甚甚至HUUB等都都有线路路出户，这这些出户户的线路路都应视视为雷电电引入通通道，都都应加装装信号避避雷器。对对楼内计计算机等等电子设设备进行行防护的的同时，对对建（构构）筑物物再安装装防雷设设施就更更安全了了。根

43、据XXXX企业业网络结结构、物物理结构构、电源源结构分分析，防防雷系统统可采取取两级防防雷措施施。l 骨干网络络防雷；l 终端防雷雷；以上两级级避雷可可使用信信号避雷雷器来实实现。根根据网络络连接线线路的类类型和带带宽选择择相应的的避雷器器。4.4.4 重重要信息息点的物物理保护护XXX企企业各级级网络内内部存在在重要的的信息点点，如内内部核心心应用系系统，环环境等都都需要保保护，它它主要包包括三个个方面：（1） 环境安安全：对对系统所所在环境境的安全全保护，如如区域保保护和灾灾难保护护（参见见国家标标准GBB50117393电电子计算算机机房房设计规规范、国国标GBB28887889计计算站

44、场场地技术术条件、GGB9336188计计算站场场地安全全要求）。（2） 设备安安全：主主要包括括设备的的防盗、防防毁坏及及电源保保护等。对中心机机房和关关键信息息点采取取多种安安全防范范措施，确确保非授授权人员员无法进进入。中中心机房房处理秘秘密级、机机密级信信息的系系统均采采用有效效的电子子门控系系统等。（3） 媒体安安全：包包括媒体体数据的的安全及及媒体本本身的安安全。4.5 安全管管理来自自htttp:/n中国最最大的资资料库下下载任何网络络系统的的安全建建设，不不仅仅是是采用安安全产品品，而是是结合相相应的安安全管理理来进行行的。XXXX企企业及下下属各级级机构在在行政管管理上采采取

45、逐级级纵向管管理的方方式，因因此在网网络管理理上也采采用这种种方式，。组织机构构体系指指是XXXX企业业网络系系统安全全的组织织保障系系统，由由机构、岗岗位和人人事三个个模块构构成一个个体系。XXXX企企业网络络系统的的安全组组织体系系是安全全管理体体系的组组织保障障。这个个组织体体系在国国家有关关安全部部门（如如机要局局、保密密局、公公安厅、安安全厅、信信息安全全协调机机构等）的的指导下下，遵循循国家相相关法律律法规，制制定相应应的安全全管理制制度和内内部的法法规政策策，并对对内部人人员进行行安全教教育和管管理，指指导、监监督、考考核安全全制度的的执行。安全组织织建立原原则XXX企企业网络络

46、系统的的安全组组织体系系，是网网络系统统安全的的组织保保障系统统，由机机构、岗岗位和人人事三个个部分构构成一个个体系。安全组织织结构XXX企企业网络络系统的的安全管管理机构构设置为为三个层层次：决决策层、管管理层和和执行层层。决策策层是XXXX企企业网络络系统主主体单位位决定系系统安全全重大事事宜的领领导机构构，由主主管信息息工作的的负责人人为首，有有行使国国家安全全、公共共安全、机机要和保保密职能能的部门门负责人人和信息息系统主主要负责责人参与与组成。管管理层是是决策层层的日常常管理机机关，根根据决策策机构的的决定全全面规划划并协调调各方面面力量实实施信息息系统的的安全方方案，制制定、修修改

47、安全全策略，处处理安全全事故，设设置安全全相关的的岗位。执执行层是是在管理理层协调调下具体体负责某某一个或或某几个个特定安安全事务务的一个个逻辑群群体，这这个群体体分布在在信息系系统的各各个操作作层或岗岗位上。岗位是XXXX企企业网络络系统安安全管理理部门根根据安全全需要设设定的负负责某一一个或某某几个安安全事务务的职位位，岗位位在系统统内部可可以是具具有垂直直领导关关系的若若干层次次的一个个序列，一一个人可可以负责责一个或或几个安安全岗位位，但一一个人不不得同时时兼任安安全岗位位所对应应的系统统管理或或具体业业务岗位位。因此此岗位并并不是一一个机构构，它由由管理机机构设定定，由人人事机构构管理。人事机构构是根据据管理机机构设定定的岗位位，对岗岗位上在在职和待待职的工工作人员员进行素素质教育育、业绩绩考核和和管理，以以及对离离职工作作人员进进行监管管的机构构。人事事机构的的全部管管理活动动在国家家有关安安全的法法律、法法规、政政策规定定范围内内依法进进行。在XXXX企业主主管部门门直接领领导下，自自上而下下地构建建层次清清楚、职职责明确确的安全全组织体体系。