高校数字化校园网络安全优化解决方案优质资料.doc

《高校数字化校园网络安全优化解决方案优质资料.doc》由会员分享，可在线阅读，更多相关《高校数字化校园网络安全优化解决方案优质资料.doc（64页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、高校数字化校园网络安全优化解决方案优质资料(可以直接使用，可编辑 优质资料，欢迎下载）高校数字化校园网络安全优化解决方案行业背景高校及科研机构是互联网最早建设及推广使用的行业之一。各地高校信息化发展迅速，目前高校信息化应用系统已经涵盖到教学（占98%）、科研（占84.4%）、管理（占95.3%）等学校主要业务上，网络从管理向服务转型，中国教育正大力推进自己的信息化水平，教育骨干网、城域网、校园网、教育资源中心等项目正在全国各地如火如荼地规划及建设中。高校校园网由于各类应用普及，用户群庞大且非常活跃，网络环境及流量组成都较为复杂，给整体网络的安全、体验及管理带来了较大的难题。需求分析网络的风险层

2、出不穷，多样化的网络攻击以及应用层的攻击时间频频发生，作为数字化信息的最重要传输载体，如何保证校园网络能正常的运行不受网络黑客、病毒的侵害，并对学生的上网行为进行有效的管理，已经成为了各个学校不可回避的紧迫问题。另外，网络互联的健壮性要求也逐步在提升，单一链路所引起的单点故障问题给校园带来的损失已越来越不容忽视，不少学校会部署多链路来解决单点故障问题，但是这种传统的解决方案同样存在着缺陷。比如：对于出站访问，传统多链路部署方案无法判断哪条链路会比较快速的可以到达访问目标；而对于入站访问，也无法确定哪条链路在当前环境下是能够更快更好的对外提供服务的。同时链路利用是否合理、链路的稳定性也无从得知。

3、此外，目前学校、政府花费了巨大的精力进行校园网建设，国际教育网络资源对高校也有很大的优惠措施。学校的图书馆电子资源、校内OA系统、校务管理系统给师生工作学习都带来了便利，但走出校园网这些资源便无法利用了。同时，随着智能终端的发展和普及，越来越多的用户已经将办公由原来的台式机、笔记本转向移动智能终端，移动互联网在给我们带来快速性和便捷性的同时，我们也面临着新的问题。如何在校园网外实现远程移动办公已经成为校园网深度建设必须面对的问题。具体需求如下：1. 校园网出口链路负载均衡l 出口链路的智能调度：目前绝大多数高校均有多条链路出口，如教育网、电信、联通等，如何实现内部用户访问互联网流量在多链路间的

4、智能调度？如访问电信网站则通过电信出口流出？通过传统的路由器+策略路由方式显然无法满足多运营商、多链路的智能调度效果，策略路由的数量毕竟有限，且过多的路由条目还将影响路由器的性能l 多出口链路的合理利用：学校花费巨资租赁的多条互联网宽带出口，如果无法得到最佳的、最有效的、最合理的利用，显然等同于浪费。因此合理利用多条互联网宽带出口链路不仅能够提升内部宽带用户的互联网访问速度，而且能够提升客户满意度、进而扩大宽带业务推广规模l 多出口链路的互为备份：为了提升学校互联网宽带链路的稳定性，多条互联网出口链路应该互为备份2. 服务器负载均衡l 高校的选课服务器、成绩查询服务器等业务系统每年均有学生访问

5、高峰期，导致服务器压力过大。由于业务系统的访问人数日益增多，单一网络服务设备的性能已经不能满足众多用户访问的需要，由此需要引入服务器的负载平衡，实现客户端可访问多台同时工作的服务器，动态分配每一个应用请求到后台的服务器，并即时按需动态检查各个服务器的状态，根据预设的规则将请求分配给最有效率的服务器。此外，针对选课等特殊时期，需要减轻服务器压力，避免产生由于访问量过载而导致服务器宕机的风险。3. 上网行为管理l 流量管理：学生BT下载、在线视频、迅雷应用等P2P行为十分活跃，有限的带宽出口经常被堵塞，师生正常的网络应用经常被挤占。简单增加带宽，成本增加但无法显著提升用户体验l 行为溯源：目前高校

6、学生网络应用活跃，校内BBS言论、公网上知名论坛等经常语出惊人之举，时常给学校带宽世俗、法律上的诸多困扰。由于目前网络言论实行自由开放式，出现问题后很难查询当事人，最后给学校带来极大的负面影响l 网络访问行为管控：不可否认，目前大学在校生所面对的网络信息、资源较前些年丰富很多，这其中也有一些色情、反动等类型的网站及其应用，如何从校园网建设上规避这些不良网站、应用的影响，将制度的规范强制施行在日常网络应用中，这对管理者是个不小的挑战l 审计互联网访问行为，满足公安部82号令等要求：公安部33号令、公安部82号令、公安部互联网公共上网场所相关规定等法律法规纷纷对用户的上网行为提出记录和审计要求，因

7、此作为宽带运营商，学校如果不对上网用户的互联网访问行为进行记录和审计，因此便于事后的行为溯源，满足监管部门的要求及合规性需求l 无线管控：高校的无线热点覆盖越来越多，需要对校园部署的无线热点的上网行为进行管控l 性能瓶颈：学校的出口带宽不断增加， IPV6网络也正兴起，早期的设备性能、功能已不能满足需求4. 校园网内网整体安全防护及网站安全防护l 对外发布网站等系统安全防护：近几年高校网站被篡改、挂马的安全事件层出不穷，互联网各种蠕虫、病毒木马泛滥，各类基于应用的攻击手段层出不穷，针对重点高校的网站和服务器的攻击越来越多。传统防火墙工作在网络层，通过对IP地址、端口的识别，进而实现访问控制、安

8、全防范和威胁防御。无法对应用层风险进行防护l 内部教务教学管理系统安全：高校网络结构复杂，包含各类重要的数据，如高考录取信息、教学管理信息、学籍学分信息等，目前黑客窃取重要信息、篡改学籍学分非法牟利的事件屡屡发生，高校数据中心重要系统的安全状况令人担忧。各类系统漏洞、应用层安全风险一旦被黑客利用，会对学校甚至社会造成重大影响l 师生上网安全：由于学生电脑普遍存在众多漏洞，不少学生甚至不安装杀毒软件，而互联网的各类木马病毒泛滥，一旦有电脑中病毒，还会对局域网内其他用户的电脑构成相应的危害，造成较大的影响。因此，学校师生的上网安全也是需要慎重考虑的问题l 高性能需求：学校网络从千兆向万兆升级，早期

9、的防火墙/IPS等设备无法满足需求l 安全可视化：传统防火墙无法抵御来自应用层的威胁，无法提供给用户有效的安全策略制定依据，导致了用户对内网服务器和终端的安全状态没有直观的体现和把握，缺乏安全信息的可视化5. 远程接入l 移动办公：领导、老师及其他教务人员需要在家或出差在外时能够接入内网的业务系统进行办公，而将业务系统服务器直接放在公网，安全隐患较大l 数字图书馆接入：学校每年付费给知网等期刊资源网站，但这些网站只能通过学校的IP才能接入。老师和学生希望在校园外也能随时获取数字图书馆资源l 系统远程管理及维护，权限控制：学校的重要办公应用、一卡通等业务系统对校园正常的教学和学生生活非常重要，系

10、统维护人员需要能够724小时的监控和维护，学校也需要对这些第三方人员的账号和权限进行管理l 移动业务：随着移动互联网的发展及校园智能终端的普及，师生希望能够使用智能终端接入学校内部系统平台l 第三方接入：有合作关系的兄弟院校，需要通过VPN访问或下载共享的教学资源库；远程教育用户需求方便、灵活、可控的访问校内资源深信服解决方案深信服高校数字化校园网络安全优化解决方案能够为高校用户提供完整的解决方案，使得客户在使用网络便捷、快速的同时，保证网络系统的稳定性、安全性，同时保障网络的伸缩性和可用性。通过部署深信服应用交付产品实现链路和服务器的负载均衡；通过上网行为管理设备提供更加精细的流量控制及权限

11、管理；部署下一代防火墙进行全面的校园网内网安全防护及内部业务系统的应用层风险防护；通过SSL VPN，构建安全的VPN数据加密通道实现安全、快速、易用的移动接入，同时支持业务系统的跨平台快速部署迁移。多链路负载均衡l 出/入站链路负载均衡：深信服AD的出站负载均衡技术能够为师生上网选择最佳路径，均衡分配上网流量。同时，针对外来用户访问学校的门户网站，AD的入站负载均衡技术能够自动为用户选择最优链路进行访问，从而保障外来用户的访问体验快速、稳定。l 链路带宽资源合理利用，解决拥塞问题：深信服AD还具有链路繁忙控制技术，可以为特定链路设定相应的阀值，再结合深信服AD全面的负载均衡算法，使得当某条链

12、路达到阀值之后，用户的访问请求将会通过事先设定的负载算法分配到其它链路之上。另外，深信服AD设备的DNS透明代理技术能同时对多条链路同时发起DNS请求探测，然后根据实现设定的负载策略，为用户返回相应的DNS请求结果，避免带宽资源出现闲置的情况，实现对链路带宽资源的合理利用，轻松解决拥塞问题。l 健全的链路健康检查：深信服健全的链路健康检查机制能够保障校园网出口的连续性。当流量流经AD设备时，AD会通过预先设定好的策略判断每条链路的健康状况（链路健康检查），并决定将流量负载均衡到哪条链路，然后数据包的源地址转换成相应ISP网段的公网地址，再将该数据包发出。响应数据包返回到深信服 AD时，深信服A

13、D将目的地址进行转换之后将数据包发给内部的用户或服务器。服务器负载均衡l 服务器性能优化：深信服负载均衡产品AD支持TCP连接复用、内存缓存、HTTP压缩、SSL加速等众多优化技术通过减少服务器的硬件资源消耗，缩短服务器响应时间，在节省了硬件投资成本的同时，提升了用户的访问体验。针对选课、查分高峰期，业务系统负载过重的情况下，在实现基本服务器负载均衡的基础上，能够极大地提升服务器的性能，保障系统的稳定可靠性。l 单边加速提升访问速度：深信服应用交付设备AD具备的单边加速技术在不需要在用户电脑上安装任何软件和控件，对用户访问透明，而且能够可以在不升级带宽的前提下，减少应用程序的响应时间，而且在保

14、证数据的完整性和安全性的前提下，提升用户的访问速度。l 智能分析报表为学校提供决策依据：深信服AD能为学校提供关于链路使用情况、服务器使用情况、用户使用偏好等全面的智能报表分析，帮助学校快速全面的了解整个应用发布系统各个元素的运行状况。为学校提供网络优化和改造的依据以及为运营计划提供商业决策的依据。上网行为管理l 有效的流量管理及带宽优化：深信服上网行为管理产品可针对用户/用户组/网络应用划分不同优先级别进行流量的管理，为用户合理分配带宽。并通过动态流控和P2P双向流控等新技术实现比传统流控提升30%以上的带宽利用率。l 全面的应用识别，上网管理无漏洞：深信服AC内置千万级的URL库及国内最大

15、的应用识别规则库（2473种应用动作），还能根据网页内容人工智能的自动分类未知网页（智能识别库），进而快速过滤、管控不良网站，从而有效管控员工上网行为，提升业务效率，降低业务风险。l 多种身份认证支持，精确定位用户：深信服AC支持多种用户身份认证技术，如IP、MAC、RADIUS、AD域、IMC、数据库认证、短信认证等方式，能够满足不同客户的需求；还可以与用户自身的认证系统相结合，在审计、控制、流量管理环节实现基于用户的精准、便捷定位，从而做到更好的管控l 精细的上网审计，记录无死角：深信服AC审计用户访问互联网的各种行为和内容最灵活、最细致，提供了访问的网站/网页详细地址/论坛发帖/微博和博

16、客发帖/IM聊天内容/邮件收发内容等不同的审计模版，极大的减少了错审、漏审、乱码，做到细致完全的审计；便于监管部门针对用户访问互联网的行为进行细致的审计及用户的互联网行为溯源，满足合规性需求。l 便捷的无线热点发现及WIFI管控：深信服AC能够自动识别并管控无线热点，并能为无线接入用户提供便捷的实名认证l 最安全的上网保护，让上网零风险：支持安全桌面，防火墙、网关杀毒、防DOS攻击、防ARP攻击、过滤危险脚本插件及终端安全准入等功能，降低互联网访问安全风险，保障校园网的安全l 细致的流量分析，提供管理依据：深信服AC内置灵活的互联网行为报表，便于网络管理者针对互联网使用的情况进行细致的分析，为

17、高校的网络管理提供相应的依据l 高性能平台，全面支持下一代互联网：深信服第二代上网行为管理具有万兆平台设备，满足高校大流量出口的需求，并支持IPV6，满足下一代互联网的发展需求校园网整体安全防护l 可视化的应用识别：校园网的应用复杂、多样化，深信服NGAF具有卓越的应用可视化功能，通过多种应用识别技术形成国内最大的应用特征识别库，可精确识别内外网的采用端口跳跃、端口逃逸、多端口、随机端口的各类应用，为下一代防火墙实现用户与应用的精细化访问控制提供技术基础。NGAF还支持智能用户身份识别以及基于用户和应用的访问控制策略。l 全面的应用安全防护能力：深信服下一代防火墙NGAF涵盖传统防火墙、IPS

18、、AV、WAF所有功能，提供一体化的全面防护。NGAF结合了web攻击防护功能，有效防止常见的web攻击；同时支持基于应用的深度入侵防御，有效的防止各类已知未知攻击，实时阻断黑客攻击；NGAF提供先进的病毒防护功能，可从源头病毒进行查杀；NGAF采用自主研发的DOS攻击算法，可防护基于数据包的DOS攻击、IP协议报文的DOS攻击、TCP协议报文的DOS攻击、基于HTTP协议的DOS攻击等，实现对网络层、应用层的各类资源耗尽的拒绝服务攻击的防护，实现L2-L7层的异常流量清洗。l 独特的双向内容检测技术：深信服NGAF具有双向内容检测功能，对流入及流出的数据均进行检测，防止敏感信息的泄漏。同时，

19、网页防篡改功能够避免因网站内容被篡改给学校造成的形象破坏、经济损失等问题。NGAF还可针对主要的服务器（WEB服务器、FTP服务器、邮件服务器等）反馈信息进行了有效的隐藏。防止黑客利用服务器返回信息进行有针对性的攻击。如：HTTP出错页面隐藏、响应报头隐藏、FTP信息隐藏等。l 智能的网络安全防御体系：深信服NGAF具有智能网络安全防御体系，能够减少学校管理员的运维压力。NGAF提供统一集中管理平台实现对分支各设备的集中监管与远程配置，提高管理效率，简化运维成本。NGAF基于时间周期的安全防护设计提供事前风险评估及策略联动的功能能够帮助用户快速诊断系统平台中各个节点的安全漏洞问题，并做出有针对

20、性的防护策略；此外，智能的主动防御技术可实现NGAF内部各个模块之间形成智能的策略联动使得管理员维护变得更为简单，可实现无网管的自动化安全管理。l 高效的应用层处理能力：深信服NGAF提供基于应用层的高性能，满足高校大流量出口的性能需求。NGAF采用多核并行处理技术，极大的提升应用层数据的分析能力；采用单次解析构架实现报文的一次解析一次匹配，避免了UTM由于多模块叠加对报文进行多次拆包多次解析的问题，有效的提升了应用层效率。同时使用跳跃式扫描技术减少无效扫描，提升扫描效率。l 可视化安全风险评估：提供终端风险报告以及应用流量报表，使全网的安全风险一目了然，帮助管理员全面地分析网络安全状况。移动

21、用户安全接入l 最安全、最好用、最快速的移动接入：深信服SSL VPN和EC解决方案可以为在家、出差的领导和老师提供安全、快速、便捷的连接，访问各种内网办公系统，提升办公效率。l 数字图书馆便捷、安全接入：同时，深信服SSL VPN能够给老师及学生提供便捷的数字图书馆接入l 系统远程管理及维护，权限控制：对于网络中心的系统维护管理人员，SSL VPN能够分配合适的权限，便于其接入信息中心进行远程管理维护l 全面支持移动互联网：深信服EC解决方案能够为PC及智能终端用户提供便捷的内网系统访问，无需开发任何APP就可以实现应用从Windows平台直接迁移到IOS/Android系统的跨平台部署，为

22、用户提供低成本、短周期、安全便捷的移动业务解决方案。典型客户深信服是领先的前沿网络设备供应商，旨在通过创新、技术领先的解决方案帮助用户提升互联网带宽价值。目前深信服的用户已超过21，000家，并在中国以外的多个国家和地区设立了分支机构，用户遍布全球。咨询 ：800-830-9565服务 ：400-830-6430证 券 公 司网络安全解决方案前言Internet的发展给政府机构、企事业单位、电信系统、金融系统、银行系统等带来了革命性的改革和变化。互联网技术的迅猛发展使各行业通过利用Internet来提高办事效率、市场反应速度，改变经营模式等，以便在市场经济的大潮中更具竞争力。通过使用Inter

23、net技术，任何一个单位或部门的数据资料的传输和存取都变得方便、快捷，也使金融、贸易往来更方便、更快捷、更频繁。但同时也面对Internet开放带来的数据安全的新挑战和新危险：客户、销售商、移动用户、异地员工和内部人员的安全访问；保护国家机关、企事业的机密信息不受黑客和商业间谍的入侵；防止单位内部人员有意或无意的使机密外泄。众所周知，作为全球适用范围最大的信息网，Internet自身协议的开放性极大的方便了各种计算机入网、拓宽了共享资源。然而，由于在早期网络协议设计上对安全问题的忽视，以及在使用和管理的无政府状态，逐渐使Internet自身的安全受到严重威胁，与他有关的安全事故屡有发生。这就要

24、求我们对于Internet互连所带来的安全性问题予以足够重视。伴随网络的普及，安全日益成为影响网络效能的瓶颈，而证券行业的网络安全存在漏洞的状况也是众所周知的，多位信息安全领域的专家也对证券行业网络的安全问题提出了尖锐的批评，证券行业网络的安全现状已不能适应证券业迅速发展的状况。近几年,不断有证券行业网络被黑客入侵,造成重大经济损失和恶劣影响的消息见诸报段，证券行业的网络安全已经成为摆在所有证券机构和人员所要考虑的事情之一。然而，事物的发展总是利弊共生的。当计算机网络技术日益普及与提高，为社会生活各方面带来极大便利时，不可避免地也带来了一些负面影响，较为突出的是计算机信息网络的安全保密问题，如

25、果解决不好，国家安全和利益将受到损害，也势必危及信息化事业的健康，由于部分居心叵测的使用者受到一些不可告人的利益的驱动，这部分人不可避免地带来了涉及网络安全应用和服务的种种安全问题。 2000年发生的影响特别突出的、为广大互联网使用者所了解的安全纰漏问题中，在国外、有美国雅虎()、亚马逊在线（）等八家国际著名网站受到了黑客攻击，在国内包括大名鼎鼎的新浪网在内的多家网站也被黑客攻击，就拿这次五一“中美黑客”大战来说吧，我国有1200多家网如石家庄市人民政府新闻网、四川旅游信息网、北京证券、中国科学院理化技术研究所、中国科学院心理研究所等一些网站，这证明中国目前的网络安全防范越来越严峻。网络安全有

26、两方面的含义，一是指安全性，即网络针对攻击对象而有意设置的安全系统，如防火墙等。另一方面，是指网络由于自身缺陷出现漏洞所产生的安全问题，后者的威胁其实更大，这种隐患一般存在于软件操作系统和应用系统的“BUG”(导致计算机出错的“臭虫”)中随机产生。一些事实证明，其危害远比黑客的攻击来得大，比如由于软件故障产生的停电、坠机等事件的发生等。而最好的预防机制就是及时修补漏洞，提高管理水平。这样的攻击事件使得被攻击的目标不得不停止了它们长期向国际用户提供的服务，给对应的网站造成了极不好的影响。受到这样的互联网上出现的风浪的影响，业界普遍认为每个企业在考虑内部共享资源和向公众提供服务时，应该根据自身业务

27、的特点和需求，本着切合实际、保护资源和着眼未来的原则， 建立一套满足需求而且安全的网络结构体系。1、网络安全风险分析1.1、风险分析概述通常讲计算机网络系统所面临的威胁大体可分为两种：一是对网络中信息的威胁；二是对网络中设备的威胁。人为的恶意攻击网络系统资源，这是该系统所面临的最大威胁，非法用户的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息、网络拓扑结构信息等；另一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性，以及非法访问网络设备和主机系统甚至进一步控制网络和主机。这两种攻击均可

28、对证券公司网络系统造成极大的危害，危害网络的正常运行，并导致敏感数据的泄漏。被动攻击一般在信息系统的外部进行，即来自从公共网或搭线发起的攻击，它们对信息网络本身一般不造成损坏，系统仍可正常运行，但有用的信息可能被盗窃并被用于非法目的。被动攻击主要包括信息窃取、密码分析和信息流量和流向分析：信息窃取：内外攻击者从传输信道、存储介质等处窃取信息。如无线传输信号侦收、搭线窃听、窃收数据文件等。密码分析：对截获的已加密信息进行密码破译，从中获取有价值的信息。信息流量和流向分析：对网络中的信息流量和信息流向进行分析，然后得出有价值的情报。主动攻击直接进入信息系统内部，对证券公司网络系统来说，安全系统的最

29、大隐患来自国内外机构组织、人员，以及其它不法份子的攻击，这些攻击可能造成无法预料的损失。同时，来自内部人员有意或无意的攻击，也是必须考虑和预防的因素。可能的主动攻击手段主要包括：入侵：通过系统或网络的漏洞、搭线、远程访问、盗取口令、借系统管理之便等方法进入系统，非法查阅文件资料、更改数据、拷贝数据、甚至破坏系统、使系统瘫痪等。如系统管理员、内部操作员都较容易进入系统进行攻击，熟悉计算机系统的“黑客”也能轻易进入网络发起攻击。假冒：假冒合法用户身份、执行与合法用户同样的操作。篡改：篡改机要数据、文件、资料（增加、删除、修改）。插入：在正常的数据流中插入伪造的信息或数据。重放：录制合法、正常的交互

30、信息，然后在适当时机重放。阻塞：使用投放巨量垃圾电子邮件、无休止访问资源或数据库等手段造成网络的阻塞，影响正常运行。抵赖：实施某种行为后进行抵赖,如否认发送过或接受过文件。病毒：向系统注入病毒（能够进行自我复制的程序），运行后可能损坏文件、使系统瘫痪，造成各种难以预料的后果。2、证券公司网络风险分析2.1、安全风险 证券网络系统的安全风险主要来自网络设施物理特性的安全、网络系统平台的安全、网上交易的安全、数据存储的安全。2.1.1 物理安全风险 由于水灾、火灾、雷击、粉尘、静电等突发性事故和环境污染造成网络设施工作停滞 人为引起设备被盗、被毁或外界的电磁干扰使通信线路中断 电子、电力设备本身固

31、有缺陷和弱点及所处环境容易在人员误操作或外界诱发下发生故障 2.1.2、系统安全风险系统风险在三个方面：网络系统、操作系统和应用系统。 网络系统在设计实施不够完善，例如缺乏正确路由、网络的容量、带宽估计不足、对证券系统局域网没做划分隔离以及关键网络设备没有冗余设计，一旦发生故障，将直接影响网络系统安全。 网络系统缺乏安全可靠的网络通信协议和网络安全设备，使网络黑客容易利用网络设计和协议漏洞进行网络攻击和信息窃取，例如未经授权非法访问证券系统内部网络、对 网进行监听、对系统的安全漏洞进行探测扫描、远程登陆交易、行情服务器并对数据进行篡改、对通信线路、服务器实施洪流攻击造成线路涌塞和系统瘫痪等。

32、网络操作系统，无论是windowsunixnetware各种商用操作系统，其国外开发商都留有后门（back door），目前每种操作系统都发现有安全漏洞，一旦被人发现利用将对整个证券网络系统造成不可估量的损失。 OA应用系统的风险主要是涉及不同地区、不同部门的资源有限共享时被内部人员不安全使用造成口令失窃、文电丢失泄密，以及在与外界进行邮件往来时带来病毒和黑客进入的隐患。 针对业务系统（包括业务管理系统、业务服务系统）的威胁主要来自于内、外界对业务系统非授权访问、系统管理权限丧失（由于用户名、口令、IC卡等身份标志泄漏）、使用不当或外界攻击引起系统崩溃、网络病毒的传播或其他原因造成系统损坏、系

33、统开发遗留的安全漏洞等。 2.1.3、网上交易的安全风险 因特网是全球性公共网络，并不由任何一个机构所控制。 数据在因特网上传输的途径是不完全确定的。 因特网本身并不是一个完全安全可靠的网络环境。 在因特网上可能有人采用相似的名称和外观仿冒证券网站和服务器， 用于骗取投资者的数据资料。 如果用于证实投资者身份的数字证书和口令被窃取， 他人有可能仿冒投资者身份进行交易委托和查询。 在网上传输的指令、数据有可能被某些个人、团体或机构通过某种渠道截取、篡改、重发。 但他们并不一定能够了解该数据的真实内容。 由于网络交易的非接触性，交易双方可能对交易结果进行抵赖。 在网上的数据传输可能因通信繁忙出现延

34、迟，或因其它原因出现中断、停顿或数据错误， 从而使得网上交易出现延迟、停顿或中断。 网上发布的证券交易行情信息可能滞后，与真实情况不完全一致。 2.1.4、数据的安全风险 因内、外因素造成数据库系统管理失控或破坏使用户的个人资料和业务数据遭到偷窃、复制、泄密、丢失，并且无法得到恢复 网络病毒的传播或其他原因造成存储数据的丢失和损坏 网站发布的信息数据（包括分析、预测性资料）有可能被更改、删除，给证券公司带来损失。 2.1.5、局域网上的安全风险在局域网中，由于管理不当，可以造成物理性网络安全问题。另外，如果不采取合理的管理方法，通过局域网与Internet连接后，会给不合乎国家法规的网络行为留

35、下空当，也是网络不安全的一方面。由于局域网中采用广播方式,因此,在某个广播域中若采用“嗅探”技术就可以侦听到所有传输的信息包, 攻击者对信息包进行分析,那么本广播域的所有信息传递都会暴露在攻击者的面前，也会对网络造成安全问题。2.1.6、广域网上的安全风险由于广域网通常采用公网传输数据, 因而在广域网上进行传输时信息就可能受到各种各样的攻击, 包括侦听窃密、非法修改、冒名顶替、恶意破坏等。任何一个有条件对通信进行监测的人都可以进行上述攻击, 这种形式的攻击相对比较容易成功, 且事后很难进行追查。2.1.7、系统平台内在的安全风险由于网络系统中大量采用不是专门为安全系统设计的基础软件,这些软件在

36、开发、安装时的缺省配置往往更多的照顾方便性而忽略了安全性, 如考虑不周很容易留下安全漏洞,比如无意中将重要信息暴露在非授权用户面前。需要强调指出的是, 管理方面的问题，可以通过加强管理、提高认识来增加网络安全意识，而其它方面的安全威胁的可实施性正随着网络技术和侦听工具的隐蔽化和智能化而变得越来越容易实现。如通过互联网可以获取大量关于系统内在缺陷的最新资料; 黑客组织变得越来越庞大而严密; 协议分析工具随处可见,以前购置一套功能强大的协议分析设备需花费十几万乃至几十万, 能掌握这些设备的人员极为稀少, 而现在实现这项功能越来越容易，使用人员十分庞大, 一旦得到合适的机会, 后果不堪设想。2.1.

37、8、来自病毒的安全风险每一千台联网电脑中感染病毒的电脑数量 （Source : ICSA）6005004003002001000 1996 1997 1998 1999网络的发展，促使信息大量的进行交流，计算机病毒也随着信息交流的广泛，危害越来越严重, 由单机逐渐扩展到网络，成为了威胁网络安全的重要一部分。网络中任何一台电脑受到了病毒的感染，就有可能感染网络中的所有计算机。由于病毒造成数据丢失或损坏，系统瘫痪，同样和黑客入侵造成的损失一样严重.3、提高网络安全性的技术手段解决网络安全问题是一个系统的、多层次的问题, 任何一种安全技术都无法解决所有的安全问题, 只有综合多种安全技术, 才有可能全

38、面提高整个系统的安全性及安全级别。所以针对网络安全隐患我们应该采取相应的方法，提高网络系统的安全性。从网络安全技术方面大致可以分为四个层次: 应用层、socket层(ssl) 、IP层、链路层。每种技术都有其独到之处。目前的各种网络安全产品大多是基于这四个方面开发研制的。不同的产品从不同的角度轻重点加以防护，我们可以根据具体的要求选择相应的产品。4、安全策略传统的安全策略停留在局部、静态的层面上，仅仅依靠几项安全技术和手段达到整个系统的安全目的，现代的安全策略应当紧跟安全行业的发展趋势，在进行安全方案设计、规划时，遵循以下原则：（1） 体系性：制定完整的安全体系，应包括安全管理体系、安全技术体

39、系和安全保障体系。（2） 系统性：安全模块和设的引入应该体现其系统统一到运行和管理的特性，以确保安全策略配置、实施的正确性和一致性。应该避免安全设备各自独立配置和管理 的工作方式。（3） 层次性安全设计应该按照相关应用安全需求，在各个层次上采用的安全机制来实现所需的安全服务，从而达到网络信息安全的目的。（4） 综合性：网络信息安全 的设计包括从完备性（并有一定冗余）、先进性和可扩展性方面的技术方案，以及根据技术管理、业务管理和行政管理要求相应的安全管理方案，形成网络安全工程设计整体方案，供工程分阶段实施和安全系统运行作为指导。（5） 动态性：由于网络信息系统的建设和发展是逐步进行的，而安全技术

40、和产品也不断更新和完善，因此，安全设计应该在保护现有资源的基础上，体现最新、最成熟的安全技术和产品，以满足网络安全系统安全目标。4.1、安全体系结构根据上述安全策略，整体安全体系中网络安全工程必须实施：安全防护、检测、响应系统，安全体系结构如下表。另外，根据实际安全需求，建议有选择的实施安全恢复系统。本次解决方案的安全体系结构参照中国证券机构营业部信息系统技术管理规范来制定的，见下表：对象层次安全措施分类安全措施与技术操作管理安全安全防护安全操作规范安全操作控制系统安全检测操作安全检测操作安全审计安全响应操作安全预警操作安全监控应用系统安全安全防护业务应用安全级别划分与访问控制业务系统授权与访

41、问权限控制业务系统用户身份认证密钥和证书管理技术资料的管理数据真实性、完整性数字签名病毒防杀安全检测应用系统安全检测业务应用安全审计病毒检查安全响应安全预警安全监控权限变更密钥更新证书发放和撤消系统平台安全防护病毒防杀安全检测系统安全扫描与检测安全审计病毒检查安全响应安全预警安全监控操作系统补丁网络平台安全防护网络级身份认证与访问控制（加密与防火墙）安全网络结构安全网络管理与配置信息传输加密与网络安全隔离虚网划分安全检测网络安全扫描网络入侵检测安全审计安全响应网络安全监控网络安全预警物理安全防护防电磁辐射泄漏防雷防火主机硬件保安电源设备管理安全检测电磁辐射检测机房保安检测系统环境建设检查管理检

42、查安全响应电磁干扰消防报警5、安全防范技术 网络隔离技术 访问控制技术 加密技术 鉴别技术 数字签名技术 入侵监测技术 信息审计技术 安全评估技术 病毒防治技术 备份与恢复技术6、网络整体解决方案6.1、安全体系按照安全策略的要求及风险分析的结果，证券网络公司网络安全措施应根据证券网络的行业特点以及符合证监会的证券经营机构信息系统安全指标体系，按照网络安全的整体构想来建立，具体的安全控制系统由以下几方面组成： 6.2、物理安全保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各

43、种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB5017393电子计算机机房设计规范、国标GB288789计算站场地技术条件、GB936188计算站场地安全要求）。设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；媒体安全：包括媒体数据的安全及媒体本身的安全。6.3、系统安全系统安全主要关注网络系统、操作系统和应用系统三个层次。 系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。6.3.1、网络系统网络系

44、统安全是网络的开放性、无边界性、自由性造成，安全解决关键是把被保护的网络从开放、无边界、自由的环境中独立出来，使网络成为可控制、管理的内部系统，由于网络系统是应用系统的基础，网络安全成为首要问题，解决网络安全主要方式有：网络冗余 解决网络系统单点故障的重要措施，对关键性的网络线路、设备我们通常采用双备或多备份的方式，网络运行时双方对运营状态相互实时监控并自动调整，当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配，保证网络正常的运行。系统隔离 分为物理隔离和逻辑隔离，主要从网络安全等级考虑划分合理的网络安全边界，使不同安全级别的网络或信息媒介不能相互访问，从而达到安全目的

45、。针对证券网络系统特点一般把证券交易的业务系统网络与内部办公网络进行严格的物理隔离，存储媒介则根据重要程度严格区分并只能通过第三方进行交换；对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。访问控制 对于网络不同信任域实现双向控制或有限访问原则，使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制，对于网络资源来说保持有限访问的原则，信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙，它一般安置在不同安全域出入口处，对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制，同时实

46、现网络地址转换、实时信息审计告警等功能，高级防火墙还可实现基于用户的细粒度的访问控制。证券系统的防火墙配置在证券公司交易系统与公网的交界处（包括INTERNET、系统内部广域网、相关业务网络）和公司重要的子网出口。身份鉴别 是对网络访问者权限的识别，一般通过三种方式验证主体身份，一是主体了解的秘密，如用户名、口令、密钥；二是主体携带的物品，如磁卡、IC卡、动态口令卡和令牌卡等；三是主体特征或能力，如指纹、声音、视网膜、签名等，在证券网络系统中，前两种方式运用较多。加密 为了防止网络上的窃听、泄漏、篡改和破坏，保证信息传输安全，对网上数据使用加密手段是最为有效的方式。目前加密可以在三个层次来实现，即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿，他对网络高层主体是透明的。网络层加密采用IPSEC核心协议，具有加密、认证双重功能，是在IP层实现的安全标准。通过网络加密可以构造企业内部的虚拟专网（VPN），使企业在较少投资下得到安全较大的回报。安全监测 采取信息侦听的方式寻找未授权的网络访问尝试和违规行为，包括网络系统的扫描、预警、阻断、记录、跟踪等，从而发现系统遭受的攻击伤害。网络扫描监测系统作为对付电脑黑客最有效的技术手段，具