专业信息安全服务商

北京网安趋势信息技术有限公司

网站首页 > 行业案例 > 政府机关

政府部门网络安全解决方案

政府部门网络安全解决方案


政府部门网络安全解决方案

一、概述

1 X X 局网络安全项目的背景

  X X 局是国家外汇管理的中央机构,对国家的宏观经济调控、经济政策制定、对外经济贸易政策制定提供依据,对与中央银行的宏观调控、预测、决策,更好地实现中央银行的监管职能起着积极、重要的作用。

   X X 局一直非常重视本单位的计算机建设,经过多年的发展,根据外汇管理局的业务需求,采用国际上先进的网络技术,已建立起自己的总局管理信息网,形成自己 的Intranet。另外,总局与全国31个省级分局、在京的商业银行总行,以及Internet进行了广域网连接。

  随着外汇体制改 革的不断深入,X X 局系统的电子化应用不断增强,关键业务不断增长,内部网络上的应用系统越来越多。另外,由于与国际互联网 - Internet的连接,信息安全问题愈来愈显得突出。X X 局已敏锐地认识到网络安全的重要性。为提高X X 局信息的安全性,总局决定大力推动网络安全的建设,并提出[X X 局网络安全方案初步设想]。

  我信息技术有限公司与美国网络联盟 公司紧密合作,并以极大的信心和饱满的热情,在[X X 局网络安全方案初步设想] 的基础上,根据X X 局网络安全的特点和需求,本着切合实际、保护投资、着眼未来的原则,提出了针对X X 局安全需求的解决方案、实施计划、支持与服务、投资预算方案建议书。

  我们相信本建议书中的设计能较好地满足X X 局网络安全系统的需求,并希望与X X 局有关领导进一步进行深入的讨论。

  我们有决心积极参与X X 局为此组织的各项活动,有信心圆满完成X X 局的网络安全建设工程。

2 X X 局网络安全项目的建设意义

  一方面,随着计算机技术、信息技术的发展,计算机网络系统必将成为X X 局各项业务的关键平台。另一方面,随着计算机网络系统的发展,计算机网络安全系统必将发挥越来越重要的作用。

   X X 局网络安全系统的建立,必将为X X 局的业务信息系统、行政管理、信息交流提供一个安全的环境和完整平台。通过先进技术建立起的网络安全系统,可以从根本上解决来自网络外部及内部对网络安全 造成的各种威胁,以最优秀的网络安全整体解决方案为基础形成一个更加完善的业务系统和办公自动化系统。利用高性能的网络安全环境,提供整体防病毒、防火 墙、防黑客、数据加密、身份验证等于一身的功能,有效地保证秘密、机密文件的安全传输,严格地制止经济情报失、泄密现象发生,避免重大经济案件的发生。

  另外,X X 局在当前总局的网络安全和今后的信息安全上取得的技术成果,将装备到全国范围外汇管理局系统的各级机构。因此,本项目的实施可以达到预期的经济及社会效益。

二、需求分析

1. X X 局的网络现状

  X X 局管理信息网是X X 局信息中心根据外汇管理需求,采用国际上先进的、成熟的、开放的网络技术建立起来的管理网络。外汇管理信息网的建成,对于中央银行宏观调控、预测、决策,更好地实现中央银行的监管职能起到了积极的作用。

  管理信息网整体结构是-个通过WAN连接的多级网络,在网络每一级的节点上具有一个局域网,在网络上运行着业务系统、办公自动化等不同的应用系统,另外还具有对外服务、Internet等应用,管理信息网采用TCP/IP平台,整个网络由四个部分组成,如下图所示:

       
      
1). 内部网络:总局办公楼内局域网。主干是ATM(FORE交换机),边缘是以太网的星形网络,该网络与外汇管理信息广域网构成外汇局系统内部网络,采用A类地址,C类掩码。

  功能:为办公自动化系统、各应用系统的客户机提供信息传输通道。

2). 连接省级分局的广域网:连接全国31个省级分局的广域网。,采用Cisco 7000路由器与总局Fore ATM交换机相连,广域网是利用X.25和PSTN为基础的星树形网,今后将升级为帧中继网。

  功能:为国家外汇管理总局、省级分局信息传输渠道,并提供公共信息平台。

3). 连接银行的广域网:连接在京的商业银行总行的广域网。利用X.25和PSTN网,采用Cisco AS 5100访问服务器与总局Fore ATM交换机相连。

  功能:利用X.25和PSTN为商业银行总行提供信息传输渠道。

4). 连接Internet的局域网:由Web Server、DNS Server、Proxy Server和若干客户终端组成。它通过PH7000交换机进入国家外汇管理总局局域网,通过该网络为总局内部人员提供Web和Email服务,并提供 Internet上的Web主页。

  功能:为总局内部网络用户提供进入Internet的WWW服务及电子邮件服务,并对外提供WWW服务。

2. X X 局的网络安全现状

  目前,X X 局对网络安全采取的主要措施有:

(1) 利用操作系统、数据库、电子邮件、应用系统本身的安全性,对用户进行权限控制。
(2) 在连接省级分局的广域网接口处,通过Cisco 7000路由器的IP包过滤及访问控制列表(ACL)功能,做了一定的安全控制。
(3) 在连接银行的广域网接口处,通过Cisco AS 5100访问服务器的IP包过滤及访问控制列表(ACL)功能,做了一定的安全控制。
(4) 在连接Internet的广域网接口处,通过Cisco 2509路由器的IP包过滤及访问控制列表(ACL)功能,进行安全控制。
(5) 在连接Internet的广域网接口处,设置了Internet接入网,并利用代理服务器Proxy进行安全控制。 实际上,仅靠以上几项安全措施,不能达到X X 局网络安全的要求。

3. X X 局的主要网络安全威胁

   由于X X 局的管理信息网上的网络体系越来越复杂,应用系统越来越多,网络规模不断扩大,逐渐由Intranet发展到Extranet,现在已经扩展到 Internet,网络用户也已经不单单X X 局的内部用户。而网络安全主要是由处于中心节点的、外汇管理局楼内的ATM交换机和相关连接广域网的路由器直接承担对外部用户的访问控制工作,且内部网络 直接与外部网络相连,对整个网络安全形成了巨大的威胁。

  具体分析,对X X 局网络安全构成威胁的主要因素有:

1) 内部网络和外部网络之间的连接为直接连接,外部用户不但可以访问对外服务的服务器,同时也容易地访问内部的网络服务器,这样,由于内部和外部没有隔离措施,内部系统较容易遭到攻击。
2) 来自内部网的病毒的破坏;
3) 内部用户的恶意攻击、误操作,但由于目前发生的概率较小,本部分暂不作考虑。
4) 来自外部网络的攻击,具体有三条途径: @ Internet连接的部分; @ 与各分局连接的部分; @ 与商业银行连接的部分;
5) 外部网的破坏主要的方式为: @ 黑客用户的恶意攻击、窃取信息, @ 通过网络传送的病毒和Internet的电子邮件夹带的病毒。 @ 来自Internet 的Web浏览可能存在的恶意Java/ActiveX控件。
6) 缺乏有效的手段监视、评估网络系统和操作系统的安全性。目前流行的许多操作系统均存在网络安全漏洞,如UNIX服务器,NT服务器及Windows桌面PC。
7) 缺乏一套完整的安全策略、政策。

  其中,目前最主要的安全威胁是来自网络外部用户(主要是分局用户、银行用户和Internet用户)的攻击。

4. X X 局的网络安全需求分析

 ① 总体需求分析 在外汇管理信息网中,目前我们视X X 局各分局和各商业银行及Internet为外部网络,X X 局楼内的局域网为内部网。
1). 来自于外部网络的访问,除有特定的身份认证外,只能到达指定的访问目的地,不能访问内部资源。
2). 网络内部用户对外的访问必须经过授权才能访问外部的Server。授权和代理由防火墙来完成。
3). 对于外部网络来说,内部网络的核心---交换机是不可见的,交换机作为楼内网络的一部分。
4). 外部网络不能直接对内部网络进行访问,外部网络客户访问内部Server时通过外部服务提供设备进行,该外部服务提供设备起到访问的中介作用,保证了内部关键信息资源的安全。
5). 外部服务提供设备与内部的dB Server之间数据交换应安全审慎,可选取方式 :@ 禁止两者之间链路通讯,数据交换采用文件拷贝方式; @ 两者之间采用加密通讯; @ 两者之间授权访问,通过外部服务提供设备进行代理。

② 具体各子系统的安全需求 外汇管理局网络部署了众多的网络设备、服务器,保护这些设备的正常运行,维护主要业务系统的安全,是外汇管理局网络的基本安全需求。外汇管理局网络为多级应用网络系统,对于各级子系统均在不同程度上要求充分考虑网络安全。

  1). 外汇管理业务系统的安全需求: 与普通网络应用不同的是,业务系统是外汇管理局应用的核心。外汇管理局的业务系统包括总局对分局和各商业银行的各类系统。对于业务系统应该具有最高的网络安全措施。

  外汇管理局网络应保障: @ 访问控调,确保业务系统不被非法访问。即禁止银行分局之间的非法访问。 @ 数据安全,保证各类服务器系统的整体安全性和可靠性。 @ 入侵检测,对于试图破坏业务系统的恶意行为能够及时发现、记录和跟踪,提供非法攻击的犯罪证据。
@ 来自网络内部其他系统的破坏,或误操作造成的安全隐患。

  2). Internet服务平台的安全需求: Internet服务平台分为两个部分:提供外汇管理局总局的网络用户对Internet的访问;提供Internet对总局网内服务的访问。
  总局内网络客户对Internet的访问,有可能带来某些类型的网络安全。如通过电子邮件、FTP引入病毒、危险的Java或ActiveX应用等。因此,需要在网络内对上述情况提供集成的网络病毒检测、消除等操作。
  提供给Internet的网络服务按照应用类型可分为: @ 普通服务: 该种服务通常需要保障系统抵抗和检测攻击的能力。即一般的WWW应用如:HTTP、FTP、MAIL等服务。 @ 商业应用: 商业应用更要考虑严格的安全要求,而且还希望提供不停顿的服务。

5. X X 局网络安全的系统目标

  伴随着外汇体制改革的不断深入,外汇局系统电子化应用的不断增强,内部网络上应用系统越来越多,更好的、更有效的、更方便的保护和管理系统资源、网络资源,是实现外汇局系统网络安全的目标。

  实施网络安全系统项目,整体规划网络安全系统,作好以下几个方面的规划和实施: @ 应用程序加密 @ 应用完整性 @ 用户完整性 @ 系统完整性@ 网络完整性

① 近期目标
   目前迫在眉睫的工作是保护整个系统的网络完整性和系统的完整性,建立安全的网络逻辑结构,为今后的实施应用完整性和用户完整性奠定基础。网络完整性主要 是对网络系统的保护,通过设置防火墙系统等保证通讯安全;系统的完整性是信息系统的保护主要有防病毒、风险评估、入侵检测、审计分析等方面。

② 远期目标
  全面部署X X 局全局的整体安全防御系统,巩固和完善网络安全及管理系统,使国家外汇管理信息网在安全的前提下更好、更方便、更有效的实现中央银行的监管职能。

三、总体规划

1. 安全体系结构
  网络安全体系结构主要考虑安全对象和安全机制,安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全、信息介质安全和计算机病毒防治等,其安全体系结构如下图所示:
      
        

2. 安全体系层次模型
  按照网络OSI的7层模型,网络安全贯穿于整个7层。针对网络系统实际运行的TCP/IP协议,网络安全贯穿于信息系统的4个层次。 下图表示了对应网络系统网络的安全体系层次模型:

      

物理层 物理层信息安全,主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击(干扰等)
链路层 链路层的网络安全需要保证通过网络链路传送的数据不被窃听。主要采用划分VLAN(局域网)、加密通讯(远程网)等手段。
网络层 网络层的安全需要保证网络只给授权的客户使用授权的服务,保证网络路由正确,避免被拦截或监听。
操作系统 操作系统安全要求保证客户资料、操作系统访问控制的安全,同时能够对该操作系统上的应用进行审计。
应用平台 应用平台指建立在网络系统之上的应用软件服务,如数据库服务器、电子邮件服务器、Web服务器等。由于应用平台的系统非常复杂,通常采用多种技术(如SSL等)来增强应用平台的安全性。
应用系统 应用系统完成网络系统的最终目的-为用户服务。应用系统的安全与系统设计和实现关系密切。应用系统使用应用平台提供的安全服务来保证基本安全,如通讯内容安全,通讯双方的认证,审计等手段。

3. 安全体系设计

① 安全体系设计原则

  在进行计算机网络安全设计、规划时,应遵循以下原则:
   1). 需求、风险、代价平衡分析的原则 : 对任一网络来说,绝对安全难以达到,也不一定必要。对一个网络要进行实际分析,对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析,然后制定规 范和措施,确定本系统的安全策略。保护成本、被保护信息的价值必须平衡,价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的保护。
   2). 综合性、整体性原则 : 运用系统工程的观点、方法,分析网络的安全问题,并制定具体措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络包括个人、设备、 软件、数据等环节。它们在网络安全中的地位和影响作用,只有从系统综合的整体角度去看待和分析,才可能获得有效、可行的措施。
  3). 一致性原则 : 这主要是指网络安全问题应与整个网络的工作周期(或生命周期)同时存在,制定的安全体系结构必须与网络的安全需求相一致。实际上,在网络建设之初就考虑网络安全对策,比等网络建设好后再考虑,不但容易,而且花费也少得多。
  4). 易操作性原则 : 安全措施要由人来完成,如果措施过于复杂,对人的要求过高,本身就降低了安全性。其次,采用的措施不能影响系统正常运行。
  5). 适应性、灵活性原则 安全措施必须能随着网络性能及安全需求的变化而变化,要容易适应、容易修改。
  6). 多重保护原则 任何安全保护措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。
② 网络安全风险分析
   网络系统的可靠运转是基于通讯子网、计算机硬件和操作系统及各种应用软件等各方面、各层次的良好运行。因此,它的风险将来自对企业的各个关键点可能造成 的威胁,这些威胁可能造成总体功能的失效。由于在这种广域网分布式计算环境中,相对于过去的局域网、主机环境、单机环境,安全问题变得越来越复杂和突出, 所以网安全风险分析成为制定有效的安全管理策略和选择有作用的安全技术实施措施的基础依据。
  安全保障不能完全基于思想教育或信任。而应基于"最低权限"和"相互监督"的法则,减少保密信息的介入范围,尽力消除使用者为使用资源不得不信任他人或被他人信任的问题,建立起完整的安全控制体系和保证体系。
③ 网络安全策略
  安全策略分安全管理策略和安全技术实施策略两个方面:
  1). 管理策略 安全系统需要人来执行,即使是最好的、最值得信赖的系统安全措施,也不能完全由计算机系统来完全承担安全保证任务,因此必须建立完备的安全组织和管理制度。
  2). 技术策略 技术策略要针对网络、操作系统、数据库、信息共享授权提出具体的措施。
④ 安全管理原则
  计算机信息系统的安全管理主要基于三个原则。
  1)多人负责原则 每项与安全有关的活动都必须有两人或多人在场。这些人应是系统主管领导指派的,应忠诚可靠,能胜任此项工作。
  2)任期有限原则 一般地讲,任何人最好不要长期担任与安全有关的职务,以免误认为这个职务是专有的或永久性的。
  3)职责分离原则 除非系统主管领导批准,在信息处理系统工作的人员不要打听、了解或参与职责以外、与安全有关的任何事情。
⑤ 安全管理的实现
  信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性,制订相应的管理制度或采用相应规范,其具体工作是:
@确定该系统的安全等级。
@ 根据确定的安全等级,确定安全管理的范围。
@ 制订相应的机房出入管理制度。对安全等级要求较高的系统,要实行分区控制,限制工作人员出入与己无关的区域。
@ 制订严格的操作规程。操作规程要根据职责分离和多人负责的原则,各负其责,不能超越自己的管辖范围。
@ 制订完备的系统维护制度。维护时,要首先经主管部门批准,并有安全管理人员在场,故障原因、维护内容和维护前后的情况要详细记录。
@ 制订应急措施。要制订在紧急情况下,系统如何尽快恢复的应急措施,使损失减至最小。
@ 建立人员雇用和解聘制度,对工作调动和离职人员要及时调整相应的授权。
   安全系统需要由人来计划和管理,任何系统安全设施也不能完全由计算机系统独立承担系统安全保障的任务。一方面,各级领导一定要高度重视并积极支持有关系 统安全方面的各项措施。其次,对各级用户的培训也十分重要,只有当用户对网络安全性有了深入了解后,才能降低网络信息系统的安全风险。
  总之,制定系统安全策略、安装网络安全系统只是网络系统安全性实施的第一步,只有当各级组织机构均严格执行网络安全的各项规定,认真维护各自负责的分系统的网络安全性,才能保证整个系统网络的整体安全性。
⑥ 网络安全设计
  由于网络的互连是在链路层、网络层、传输层、应用层不同协议层来实现,各个层的功能特性和安全特性也不同,因而其网络安全措施也不相同。
  物理层安全涉及传输介质的安全特性,抗干扰、防窃听将是物理层安全措施制定的重点。
  在链路层,通过"桥"这一互连设备的监视和控制作用,使我们可以建立一定程度的虚拟局域网,对物理和逻辑网段进行有效的分割和隔离,消除不同安全级别逻辑网段间的窃听可能。
   在网络层,可通过对不同子网的定义和对路由器的路由表控制来限制子网间的接点通信,通过对主机路由表的控制来控制与之直接通信的节点。同时,利用网关的 安全控制能力,可以限制节点的通信、应用服务,并加强外部用户识别和验证能力。对网络进行级别划分与控制,网络级别的划分大致包括Internet/企业 网、骨干网/区域网、区域网/部门网、部门网/工作组网等,其中Internet/企业网的接口要采用专用防火墙,骨干网/区域网、区域网/部门网的接口 利用路由器的可控路由表、安全邮件服务器、安全拨号验证服务器和安全级别较高的操作系统。增强网络互连的分割和过滤控制,也可以大大提高安全保密性。
   随着企业个人与个人之间、各部门之间、企业和企业之间、国际间信息交流的日益频繁,信息传输的安全性成为一个重要的问题。尽管个人、部门和整个企业都已 认识到信息的宝贵价值和私有性,但商场上的无情竞争已迫使机构打破原有的界限,在企业内部或企业之间共享更多的信息,只有这样才能缩短处理问题的时间,并 在相互协作的环境中孕育出更多的革新和创造。然而,在群件系统中共享的信息却必须保证其安全性,以防止有意无意的破坏。
  物理实体的安全管理现已有大量标准和规范,如GB9361-88《计算机场地安全要求》、GFB2887-88《计算机场地技术条件》等。

4. 安全产品选型原则
  在进行X X 局网络安全方案的产品选型时,要求安全产品至少应包含以下功能:
@ 访问控制:通过对特定网段、服务建立的访问控制体系,将绝大多数攻击阻止在到达攻击目标之前。
@ 检查安全漏洞:通过对安全漏洞的周期检查,即使攻击可到达攻击目标,也可使绝大多数攻击无效。
@ 攻击监控:通过对特定网段、服务建立的攻击监控体系,可实时检测出绝大多数攻击,并采取相应的行动(如断开网络连接、记录攻击过程、跟踪攻击源等)。
@ 加密通讯:主动的加密通讯,可使攻击者不能了解、修改敏感信息。
@ 认证:良好的认证体系可防止攻击者假冒合法用户。
@ 备份和恢复:良好的备份和恢复机制,可在攻击造成损失时,尽快地恢复数据和系统服务。
@ 多层防御:攻击者在突破第一道防线后,延缓或阻断其到达攻击目标。
@ 隐藏内部信息:使攻击者不能了解系统内的基本情况。
@ 设立安全监控中心:为信息系统提供安全体系管理、监控,保护及紧急情况服务。

四、络安全方案设计
  根据第二章对X X 局的安全需求分析,结合安全设计的策略,我们提出网络安全设计方案。
  本章首先描述安全网络的整体结构,然后就各网段采用的防火墙、防病毒、防黑客,以及安全评估等技术措施作详细的描述。各种安全措施之间的相互协作,构成主动的网络安全防御体系。
  为确保系统的安全性保持稳定,我们介绍了各种安全产品的平台要求,以及升级的保证方式和途径。
  根据X X 局的网络安全需求,目前网络安全方案集中考虑外部网络的安全性;对于整体网络的安全性,我们还分析了网络安全方案的可扩充性。
  在本章结尾,我们总结了本方案的特点。

1. 整体结构描述
  由于外汇管理信息网的安全体系包括内外两部分,而目前着重于外部的安全建设,所以目前的安全假设为:将管理局内部网络看作信任网络,暂不考虑安全问题;将外部网视为不信任网络,需要采取安全措施。其总体结构如下:


                     

1) 内部网络系统:
包括:
@ LAN1,LAN2…..LAN8等内部网段;
@ 内部服务子网 - 即[初步设想]的VPN4的部分。
2) 外部网络系统:
包括:
@ 对Internet服务网段,即初步设想的VPN1,我们设为S1。
@ 连接外汇管理局各分局的网段,即初步设想的VPN2,我们设为S2。
@ 连接各商业银行总行的网段,即初步设想的VPN3,我们设为S3。
@ 安全管理平台网段,我们设为S4。
   在"初步设想"中,VPN4是VPN2和VPN3以及内部服务的交集。在本方案中,考虑到服务的交集会给防火墙安全策略的制定带来不便,形成潜在的安全 隐患,并且也不利于整个网络安全的管理,因此我们将VPN4中相应服务器分别部署在对应的S2和S3网段中,而将对内服务的服务器放到内部网络中的内部服 务子网中。
  同时,我们在系统中增加了一个网络安全管理平台网段。
  整个网络安全结构如下图:

    
               


国家外管局总局网络安全总体结构拓朴示意图


           
      
1.
①对Internet服务网段
  如上图示,网段一 (S1) 提供整个外汇管理信息网与Internet的连接和服务,是与Internet的接口
结构:
1). 采用Gauntlet Firewall 1 将内部网络和外部网络隔离开来,不允许内外网络建立直接链接,保证了网络层和数据链路层的安全性。
2). 将对Internet提供信息服务的Server,独立成一个网段放到"停火区"(DMZ)里,Internet上的用户只能访问DMZ1里的Server,并且所有访问都必须通过Firewall1代理,保证了会话层和应用层的安全性。
访问的安全控制:
1). DMZ1对外提供服务
  DMZ1中的服务器主要用于对Internet用户提供服务,包括DNS、Email、FTP、HTTP等,其服务全部由防火墙提供代理,其工作流程如下:
a: 由外部Client端向Firewall1提出请求(HTTP、FTP等);
b: 通过Firewall1过滤、识别、身份验证,确定为合法请求,并确定该请求的目标服务器之后由Firewall1向DMZ1里的服务器提出请求;
c: DMZ1里的目标服务器接受Firewall1的请求并对其作出响应;
d: Firewall1再将请求传递给外部的Client。
2). 内部网络的用户对Internet的访问
  对于内部用户对Internet的请求包括Email和HTTP、FTP等。
  @对Email类,内部网采用HP OpenMail ,而Internet采用SMTP协议,建议设立一台电子邮件转发服务器(MX),部署在DMZ1里,对内部HP OpenMail 的邮件和Internet的SMTP邮件进行转发。
  @对HTTP、FTP等其他类型的服务由防火墙作为代理,Firewall1在中间也起到过滤、识别、身份验证的作用。
3). 地址转换(NAT)
  由于目前外汇管理局采用A类地址,而外部采用Internet 合法地址,Gauntlet Firewall1提供内、外地址的翻译,即可隐藏内部IP,工作情况见下图:
4) FireWall1未来的GVPN功能
  将来外汇管理局的内部Intranet中的Gauntlet防火墙可形成GVPN,采用Gauntlet的GVPN技术对内部的外出员工可建立一条可信赖的连接,直接访问内部网络的资源。
② 连接分局的网段
  连接分局的网段(S2)是连接外汇管理总局与各分局的接口,各分局通过X.25/PSTN连接到总局的Cisco7000主干路由器上。
  结构:
  为了确保总局内部网段上的关键信息资源的安全性,我们在Cisco7000与中心交换机之间设置Gauntlet FireWall2,其结构如图一,网络结构与S1相同,建立DMZ2,将对分局提供服务的Server 放在DMZ2里。
  访问链路的控制
  对于外汇管理局各分局对DMZ2里服务器的访问控制同S1中描述。
  Firewall2与GVPN
  由于连接各分局的网络基于公网,存在很大的安全隐患,Firewall2将来还可与各分局的Firewall形成GVPN,形成外汇管理局的内部私有网,整个网络形成可信赖的连接。
③ 连接各商业银行的网段
  连接各商业银行的网段(S3)是连接外汇管理总局与各商业银行总行的接口,各商业银行也通过X.25/PSTN连接到总局的Cisco5100访问服务器上。
  结构:
  与S1和S2相同,在Cisco5100与中心交换机之间设置Gauntlet FireWall3,其结构如图一,网络结构与S1和S2相同,建立DMZ3,将对分局提供服务的Server 放在DMZ3里。
  访问链路的控制
  各商业银行总行对外汇管理信息网的访问通过FaireWall3代理访问DMZ3里的服务器,具体描述同S1。
④ 安全管理平台网段
  该网段作为网络的安全控制网段(S4),用于对整个外部网络的安全进行监控,具体结构本节暂不作描述。

2. 本方案中防火墙提供的安全措施
  Gauntlet防火墙是基于应用层网关的防火墙,其特点是:
  @ 没有内外网络的直接连接,比包过滤防火墙更高的安全性。
  @ 提供对协议的过滤,如可以禁止FTP连接的Put命令。
  @ 信息隐藏,应用网关为外部连接提供代理。
  @ 健壮的认证和日志。防火墙能够记录所有的网络连接和连接企图,日志能够显示出源地址、目的地址、时间和所用的协议,而且防火墙能够预先设定一个紧急情况的触发条件,条件发生时,防火墙会发出一个警报给安全维护人员或网络管理系统。
  @ 节省费用,第三方的认证设备(软件或硬件)只需安装在应用网关上。
  @ 简化和灵活的过滤规则,路由器只需简单地通过到达应用网关的包并拒绝其余的包通过  @ 各防火墙可相互配合,具有主动防御的能力。
   @ 多个防火墙之间可形成GVPN,为外汇管理局将来的内部Intranet建立可信赖的连接。 可以看出,Gauntlet防火墙的安全特性远比其他类型的防火墙高。 以上介绍的三个防火墙所在的网段都有各自独立的安全策略,但又相互学习,协同工作。 防火墙系统的局限性 防火墙能有效地防止外来的入侵,虽然能作到:
  @ 控制进出网络的信息流向和信息包
  @ 提供使用和流量的日志和审计;
  @ 隐藏内部IP地址及网络结构的细节;
  @ 提供VPN功能; 但是所有的防火墙都不能作到:
  @ 停止所有外部入侵;
  @ 完全不能阻止内部袭击;
  @ 防病毒;
  @ 终止有经验的黑客;
  @ 提供完全的网络安全性。
  因此,仅仅在Internet入口处部署防火墙,实际上是一个不完整的安全解决方案,从总体上系统还应该具备防病毒和防黑客的功能。

3. 防病毒的整体解决方案
① 病毒防护的必要性和发展趋势
  众所周知,计算机病毒对生产的形响可以称得上是灾难性的。尽管人类已和计算机病毒斗争了数年,并已取得了可喜的成绩,但是随着INTERNET的发展,计算机病毒的种类急聚增多,扩散速度大大加快,对企业及个人用户的破坏性加大。
   与生物病毒类似,计算机病毒也具有灾难性的形响。就其本质而言,病毒只是一种具有自我复制能力的程序。目前,许多计算机病毒都具有特定的功能,而远非仅 仅是自我复制。其功能(常称为PAYLOAD)可能无害,如,只是在计算机的监视器中显示消息,也可能有害,如毁坏系统硬盘中所存储的数据,一旦被触发器 (比如:特定的组合键击、特定的日期或预定义操作数)触发,就会引发病毒。
  随着计算机技术的不断发展,病毒也变得越来越复杂和高级。最近几 年,病毒的花样层出不穷,如宏病毒和变形病毒。变形病毒每次感染新文件时都会发生变化,因此显得神秘莫测。只要反病毒软件搜索到病毒的"标记"(病毒所特 有的代码段),那么,反病毒软件也能检测到每次感染文件就更改其标记的变形病毒。宏病毒主要感染文档和文档模板。几年前,文档文件都不含可执行代码,因此 不会受病毒的感染,现在,应用软件,如Microsoft Word和Microsoft Execl,已经嵌入了宏命令,病毒就可以通过宏语言来感染由这些软件创建的文档。
  由于INTERNET的迅快发展,将文件附加在电子邮件 中的能力不断提高以及世界对计算机的依赖程度不断提高,使得病毒的扩散速度也急骤提高,受感染的范围越来越广,据NCSA调查,在1994年中,只有约 20%的企业受到过病毒的攻击,但是在1997年中,就有约99.3%的企业受到病毒的攻击,也就是说几乎没有那一家企业可以逃脱病毒的攻击。而且感染方 式也由主要从软盘介质感染转到了从网络服务器或INTERNET感染。同样据NCSA调查,在1996年只有21%的病毒是通过电子邮件,服务器或 INTERNET下载来感染的,但到1997年,这一比例就达到52%。
② X X 局的多层病毒防御体系
  在本系统中采取的安全措施主要考虑外管局外部网络安全性,但由于病毒的极大危害及特殊性,建议外管局也在其内部网络布署防病毒系统。
   基于以上这些情况,我们认为X X 局可能会受到来自于多方面的病毒威胁,包括来自INTERET网关上、与分局及各商业银行连接的网段上,为了X X 局免受病毒所造成的损失,建议X X 局采用多层的病毒防卫体系。所谓多层病毒防卫体系,是指在X X 局的每个台式机上要安装台式机的反病毒软件,在服务器上要安装基于服务器的反病毒软件,在INTERET网关上要安装基于INTERNET网关的反病毒软 件,因为对X X 局来说,防止病毒的攻击是每个员工的责任,人人都要做到自己使用的台式机上不受病毒的感染,从而保证整个企业网不受病毒的感染。
  1. 客户端的防病毒系统
  根据统计,50%以上的病毒是通过软盘进入系统,因此对桌面系统的病毒应严加防范。采用VirusScan Security Suite 产品,来防止桌面机受到病毒的侵害。本产品包含以下功能:
  @ WebScanX:保护系统免受恶意Java 和 ActiveX小程序的破坏;
  @ PC Medic 保护系统和应用程序免于崩溃;
  @ PGP File:增强机密信息的安全性;`
  @ Quick Backup 保护数据免于意外的丢失
  @ SecureCast: 自动在Internet上发布接收病毒更新信息
  @ Net Tools Console : 具有集中的管理、分发和警告功能
  @ VirusScan 为全球领先的桌面防病毒产品,可在Dos ,Windows 3.x ,Windows 95, Windows NT,Mac 和OS/2等平台。
  2. 服务器的防病毒系统
   如果服务器被感染,其感染文件将成为病毒感染的源头,它们会迅速从桌面感染发展到整个网络的病毒爆发。因此,基于服务器的病毒保护已成为X X 局的当务之急。所以,建议在总局的外部网与分局连接的网段上和总局的外部网与各商业银行连接的网段上停火区中重要的代理服务器上采用NetShield Security Suite ,提供了全面的基于服务器的病毒保护。可防止来自于分局、商业银行上的病毒传染。 可以从单独的直观控制台上远程管理这些服务器平台。
  其具体的功能有:
  @Netshield :全球领先的服务器防病毒解决方案。( Netware,Windows NT,UNIX)
  @ GroupShield: 群件服务器的防病毒方案。(Microsoft Exchange,Lotus Notes/Domino)
  @ SecureCast: 自动将病毒更新的信息发布到Internet上。
  @ Net Tools Console:提供集中的管理、分发和警告功能。
  3. Internet的防病毒系统
   根据ICSA的报告,一般公司的电脑感染病毒的来源有超过20%是通过网络下载文档感染,另外有26%是经电子邮件的附加文档所感染,由于X X 局已连入Interent,很有可能受到来自Interent下载文件的病毒侵害及恶意的Java、ActiveX小程序的威胁。因此,此部分将成为X X 局防范的重点。
  建议在总局的外部网与Interent连接的网段上的停火区中Mail Server、Web server、DNS Server、等代理的服务器上安装Internet Security Suite,可防止来自于Internet上的病毒、恶意的Java、Active-x对X X 局所造成的破坏.
  Internet Security Suite载Interent 网关上可以提供全面的病毒防卫系统,封锁病毒所有可能的进入点。透过管理控制台可直接在任何服务器或工作站上进行远程管理。
  它可以作到:
  @ WebShield SMTP: 可以扫描全部收发的电子邮件;
  @ WebShield Proxy: 可以扫描位于代理服务器和网络协议:HTTP,SMTP,FTP等。
  @ SecureCast: 自动将病毒更新的信息发布到Internet上。
  @ Net Tools Console:提供集中的管理、分发和警告功能。
  根据目前的网络结构,本产品应安装在外部网网段1、网段2、网段3的停火区中的服务器上。

4. 防黑客的整体解决方案
  对于X X 局的外部网来说,受到黑客的攻击会来自于与总部连接的三个外部网段,总部与Interent连接的网段1,总部与分局连接的网段2,总部与各商业银行连接的网段3。(注:来自于内部网络的威胁我们暂不作考虑,可参看9)。
  为了防止X X 局的外部网受到黑客的攻击,建议采用入侵检测技术(Cybercop IDS)。提供实时的入侵检测及采取相应的防护手段,如记录证据、跟踪或断开网络连接等。本IDS系统分成两个部分。
① 基于主机的保护
  在与X X 局连接的三个外部网段的停火区中都分别设置了服务器,提供对外三个网段的信息服务,其中存储了大量的重要数据,是黑客攻击的主要目标。所以,我们建议在对外三个网段停火区中的每个服务器安装基于主机保护的入侵检测系统(Cybercop Server)
  Cybercop Server可实时监视:
@ 可疑的连接、异常进程、非法访问的闯入等 @ 检查系统日志 @ 通过监视来自网络的攻击,CyberCop Server能够实时地检测出攻击,并对非法入侵行为作出切断服务、重启服务器进程、发出警报、记录入侵过程等动作。 @ 提供对典型应用的监视如Web服务器应用
  因此,使用CyberCop Server,在提供关键服务的服务器上,安装实时的安全监控系统,可以保证X X 局外部网段服务器系统的可靠性,使X X 局外部网安全系统更加强键。
② 基于网段的监控
   使用CyberCop Server,用于保护X X 局关键应用的服务器。但是,在X X 局外部网络关键路径的信息也需要进行实时的监控,来防止外部三个网段受到攻击。因此,建议X X 局在其外部网设置基于网络的入侵检测系统。(Cybercop Network)
  基于网络的入侵检测系统(Cybercop Network)是由智能的Cybercop Sensor(用于监视关键路径上的入侵)及CyberCop Management Server(记录可疑事件,发送警报及跟踪攻击)组成。CyberCop Sensor实时地检测攻击,当攻击发生时,CyberCop Sensor立即报告给CyberCop Manage Server,并记录入侵细节。CyberCop Manage Server会将这些攻击细节记录在内,形成日志文件,并通知管理员,管理员可远程登录到被攻击的机器上,修改配置、路由表等,中断入侵者的攻击。成功保 护的案例也会保存在CyberCop Manage Server中,以防备这种形式的攻击再次发生。
  根据Cybercop Network的工作原理和X X 局把其外部网络划分成三个网段的情况,建议X X 局建立一个独立的网段4用来管理这三个网段,在网段4内设置CyberCop Manage Server。我们之所以建议X X 局建立一个独立的网段4来设置CyberCop Manage Server,管理另外三个网段,是处于安全的角度。因为网段1、网段2、网段3分别与不同的对象进行联系、数据交换,其安全考虑是完全独立的,所以将网 段4放在其中任何一个网段上都是不合适的,都不能完全保证外部网的安全。
  由于X X 局外部网的网段1、网段2、网段3的每一个网段的合法访问者都是先由路由器到防火墙过滤,再到停火区(DMZ)内浏览、抓取数据,防火墙与中心交换机连 接。那么,为了防止非法用户经过此途径访问到停火区中的数据和中心交换机,建议X X 局在网段1、网段2、网段3的每一网段中访问者所经过的路径都设置智能的Cybercop Senxor,即防火墙与停火区之间、防火墙与中心交换机之间各设置一个Cybercop Senxor,来监视关键路径上的入侵。
  通过设置基于网络的入侵检测系统,X X 局能够实时监视经过本网段的任何活动,监视粒度更细致。使X X 局外部网络的防护能力更敏锐。

5. 主动的防御体系
  尽管以上各产品都是独立进行描述的,实际上,在本系统中它们之间是相互协同工作的,并且能够智能地提高防御能力,构成了主动的防御体系。
① 防火墙与防火墙
  Gauntlet防火墙有层次功能,但是在X X 局外部所划分的三个网段中的防火墙处在同一级别,他们在常规的代理服务上是独立工作的,但是对新的攻击模式的判别上可以互相交流学习,从而可以提高其防御能力。
② 防火墙与入侵检测系统
  当只有防火墙,而无Cybercop IDS时,防火墙是被动的防御。一般,黑客对防火墙进攻的结果只有两种,最好的结果是被防火墙阻挡住,最坏的结果是穿透防火墙进入到企业内部,为所欲为地进行任何破坏活动。
   但在本方案中,防火墙与Cybercop IDS协同工作。举例来说,一旦网段1的Firewall1没有挡住狡猾的入侵者,使入侵者通过FW1进入到DMZ1。我们可通过安装在网段1内的基于网 络的入侵检测产品Cybercop Network 或基于主机的入侵检测产品Cybercop Server检测到,并立即通知网段1的Firewall1: 有哪些特征的入侵数据包通过了防火墙,FW1会自动记录下这些特征,储备起来,防止以后这种入侵。同时,FW1会通知网段2和网段3中的防火墙记录入侵特 征,共同提高防御能力。
  Cybercop Network还具有主动出击的能力,采用"蜜罐"技术捕捉攻击行为。当入侵者通过FW1,又躲过Cybercop Network和Cybercop Server的检测,进入DMZ1,蜜罐技术会虚拟一个重要数据即"蜜罐"来吸引入侵者。当入侵者被"蜜罐"诱惑,试图在其中发现重要信息 时,CyberCop Network可以将此入侵者的攻击模式进行详细分析,并作记录。这样CyberCop Network 就自动积累了一种新的攻击模式及解决方案。
  同时CyberCop Network 还会通知FW1:哪些特征的入侵数据包通过了FW1,FW1会通知网段2和网段3中的防火墙记录入侵特征,共同提高防御能力。
③ 防火墙与防病毒
  安全体系中,防御和攻击都是一?quot;道高一尺、魔高一丈"的过程,因此要求安全产品具备学习和升级的能力。
  NAI的防病毒产品就具备这样的功能。例如,当一个文件进入X X 局网段1中的防火墙FW1,MacFee TVD利用启发式技术发现它带有一种新病毒,但没有其消除的程序,此时防火墙FW1会把这种病毒抽取出来,传给NAI总部。这些,都是防火墙自动完成的。
  NAI会把这种新病毒的血清传回给防火墙FW1,防火墙根据针对这种新病毒的血清样本把病毒杀死,并对下面的台式机、服务器进行升级。
  这就是本系统中的防火墙与防病毒相互协作的具体模式。

6. 安全的评估方案
  X X 局的网络安全系统中采用了防火墙、防病毒、入侵检测产品作为外部网络的安全措施。
  有以下问题需要进行解决: @如何检测安全产品的配置达到了安全的要求。 @其他系统(操作系统、路由器等)的配置是否真正实现了安全。
  以上问题实质上就是如何对整体系统的安全性进行评估。
  建议X X 局采用安全扫描技术可对X X 局的外部网络进行全方面的测试。安全扫描CyberCop Scanner是一套用于网络安全扫描的软件工具,由富有实际经验的安全专家开发和维护。
   建议在网段4内设置一台服务器安装CyberCop Scanner。通过安全扫描技术。可以扫描到 @ X X 局外部网络各停火区内服务器内的安全漏洞。如password文件,目录和文件权限,共享文件系统,敏感服务,软件,系统漏洞等,并给出相应的解决办法建 议。 @ 路由器、防火墙等设备的安全漏洞,并可设定模拟攻击,以测试系统的防御能力。 @ 扫描可定期进行(每星期或每月),或不定期进行(敏感时期)。

7. 安全产品的平台建议
  此章节中的平台建议包括防病毒产品、入侵检测与风险评估产品、防火墙产品等产品。
① 防病毒产品
桌 面保护套件: @VirusScan Security Suite(VSS)   @其中的Virus scan 支持DOS、Windows3.x\95\98\NT\、Macintosh、OS/2。  @Virus scan X可以和目前流行的浏览器Netscape3.X、4.X;IE3.X、4.X兼容。
服务器保护套件: @Netshield Security Suite (NSS)   @其中Netshield支持NT、Netware、Solaris、AIX、NCR等多种平台。 @GroupShield支持Microsoft Exchange、Lotus Notes群件服务器
网关保护套件:@Internet Security Suite(ISS) @建议在Windows NT或UNIX
② 防火墙产品-Gauntlet
  具有友好的管理界面,基于Java或NT环境,可运行在WEB浏览器中,支持远程管理和配置,可从网络管理平台上监控和配置,如NT server和Openview. Gauntlet还支持通过服务器、企业内部网、Internet来存取和管理SNMP。
  它支持流行的多媒体实时服务,如Real Audio/Video、Microsoft Netshow、VDOlive、Xing .并支持大多数认证系统,如Security Dynamics、Assurenet Pathways、S/KEY.
   支持几十种服务,如终端服务(Telnet、Rlogin)电子邮件(SMTP、POP3)、WWW(HTTP、SHTTP、SSL、Gopher)、 远程运行(RSH)、简单网络管理协议(SNMP)、DNS、Sybase SQL、Oracle SQL*Net.
  它可运行在Intel、SUN、HP、IRIX上的UNIX系统,NT支持NT4.0,支持以太和令牌环网。
   Gauntlet GVPN是对标准的Gauntlet防火墙的独立升级,可运行在Intel、SUN、HP平台上。Gauntlet GVPN也可以和Gauntlet防火墙(Intel Pentium)、BSKI Internet服务器软件一起打包订购。 系统 Intel SUN HP
处理器 Pentium Sparc PA-RISC
内存 32M 32M 32M
磁盘 512MB 512MB 512MB
硬盘 ISA
Adaptec
SCSICD-ROM CD-ROM CD-ROM
操作系统 BSDI Internet Server3.0 Solaris2.5.1 HP-X10.20
③ 入侵检测与风险评估套件
Cybercop network管理服务器平台 Cybercop 传感器平台
CPU 200MHz Pentium Pro256K cache 200MHz Pentium Pro256K cache
FDD 13.5" 1.44MB 13.5" 1.44MB
HDD 9GB SCS I-II HDD 9GB SCS I-II HDD
MEM 64MB RAM 64MB RAM
Video SVGA SVGA
NIC 1 Intel EtherExpress Pro/100M
PCI(Ethernet)
1Madge Smart 16/4,
ISA (for Token Ring) 1 SMC EtherPower10/100dual port,
PCI(Ethernet)
2Madge Smart 16/4,
ISA(for Token Ring)
OS Solaris 2.5.1 Solaris 2.5.1
CD-ROM * *
Cybercop server的平台要求 系统 NT Sun IBM
Memory 32MB 32MB 32MB
DiskSpace 50MB 50MB 50MB
介质 CDROM CDROM CDROM
操作系统 NT4.0 Solaris2.5
Solaris 2.6 AIX4.1.5
AIX4.2
AIX4.3
所支持的WEB服务器有:
@Netcape Enterprise Server 2.0 @Netcape Fasttrace Server 2.0@ IIS 2.0 v.4 and 3.0 @ CERN1.3 @NCSA1.0 @Apache1.0 @Website Pro 1.1

8. 网络安全系统结构设计
  综合以上关于网络的完整性设计和系统的完整性设计,X X 局网络安全系统的结构

9. 安全产品升级
  安全系统中,每天都会有新的病毒产生,新的入侵者采用新的方法攻击网络,因此安全产品需要不断的学习和升级,来对付各种形式的危害。所以,安全产品的升级也是网络安全的一个重要组成部分。
① 防病毒系统的升级
  由于防病毒的工作是一个长期的工作,世界上每十分钟就有新的病毒出现,因此,必须有效的升级服务。
   X X 局在两年内得到NAI的免费升级软件,并提供终身的升级服务。NAI在全球五大洲拥有由近100名病毒研究专家组成的反病毒紧急响应小组,它们将对X X 局提供每周七天,每天24小时的技术支持,在平时,NAI的Web站点www.nai.com上将平均每小时更新一次病毒特征文件,供个人用户下载或自动 推向企业用户;当在病毒发作的敏感时期内,每十分钟就会更新一次病毒特征文件,以使用户在最短的时间内杀灭新发现的病毒。我公司授权成立NAI在华技术服 务中心,可以提供对X X 局的升级服务。
  防病毒的特征文件的更新方式为:
② 入侵检测系统和防火墙产品的升级 这两类产品的升级为二年内免费升级,并享受长期的升级支持。

10. 本方案的扩充
  本方案根据X X 局的安全需求,着重提出了对X X 局的外部网络安全方案。
  但从整体的安全角度来看,在以下三个方面还应考虑,可以作为远期目标考虑。
①  加密和身份认证 X X 局与外部连接的部分可分为三个外部网段,总部与Interent连接的网段1,总部与分局连接的网段2,总部与各商业银行连接的网段3。这些网段中的用户 访问应有身份验证系统来验证这些访问者是不是X X 局真正授权进入的用户,并对访问的去全过程进行加密。这样才能保证外部网络的安全。
② 内部网络安全 X X 局的内部网络既大楼内机关的八个局域网。有统计表明,对网络的攻击有80%来自内。所以,我们建议网X X 局络在内部网络也设置入侵检测、风险评估、防病毒系统。作到内外防治相结合的全面防范体制。
③  X X 局系统的安全 目前总局将各分局看成是一个不信任的网络,但对外管局系统而言,又需要从整体上考虑外管局系统的安全性。建议从以下两个角度考虑: @在外管局和各分局之间实行加密和身份认证系统。 @在外官局和各分局之间实现GVPN。即在FW2和未来的各分局的对应的防火墙上统一配置,实现在不安全的公网(X.25/FR)建立安全的GVPN通 道。

11. 安全策略制度
  仅仅是采取各种技术来达到安全是不够的,作为安全系统的整体,需要从安全策略、安全意识、安全管理以及安全教育等多方面制定全面的规章制度,从而实现X X 局的系统的真正安全。
  建议按照第三章的措施作出具体的实施计划。
  总之,制定系统安全策略、安装网络安全系统只是网络系统安全性实施的第一步,只有当各级组织机构均严格执行网络安全的各项规定,认真维护各自负责的分系统的网络安全性,才能保证整个系统网络的整体安全性。

12. 本方案的特点
  综上各章节所述,美国网络联盟北京办事处和我公司全面分析了X X 局的安全需求,采用了先进的安全产品,提供了全面主动的防御体系。其特点有:
1). 全面的防御体系 我们所提供的安全建议书从全方面考虑了X X 局的网络情况,采取了防病毒技术、入侵检测技术、风险评估技术等全面防御体系结构。
2). 先进的技术和产品 美国网络联盟公司是世界前五大软件公司,其强大技术实力使其走在网络安全领域的最前列。我们给X X 局所建议的产品均采用了最先进的技术结合而成。其无可比拟的性能会给X X 局的网络营造安全的环境,保障数据的安全存储和传输。
3).主动的防御体系 正如在4.4节中描述的,防火墙、防病毒、以及防黑客之间可进行相互学习,协同工作,构成了X X 局的主动的网络安全防御体系。
4). 集成的可管理性 在本方案中,我们单独设置一个网段4来管理其它三个网段,通过网段4中的Cybercop Management Server和Cybercop Scanner可使X X 局达到集成的可管理性。
5). 及时周到的服务 美国网络联盟公司在全世界六大洲都设有实验室、研究中心、技术支持中心,提供24小时的技术支持与服务。 我公司是中国唯一一家授权技术服务中心,具有强大的技术实力和良好的实验设备、环境。我公司的领导和安全技术人员都非常重视X X 局的网络安全建设,希望能够为X X 局提供满意、及时的服务。

五、实施计划

1. 项目建立
  我及NAI公司将全力配合X X 局确定各项详细计划,按照X X 局确定的时间表进行工作。

2. 项目保障
  为了确保整个项目顺利进行,确保系统尽快投入生产,制定一个完整的项目计划是成功的关键。
(1). 良好的组织 由X X 局与NAI公司及我公司组成项目小组,负责系统的实施和开发工作。   
  @ 项目领导小组
  @ 技术支持小组:由各方面的计算机,通信,网络安全技术专家组成。
  @ 工程实施小组:由我公司技术人员组成。
(2). 严格的管理 在项目实施的过程中,项目小组将严格控制协调实施的进度和质量,并确保项目实施的保密性,以确保整个项目按期完成。
(3). 文挡的管理 协调安装和调试的过程中,任何工作和修改都必须记录归档,以便日后查询与参考。并严格作到保密。

3. 应用实施
(1). 项目实施范围 X X 局的安全系统的建立,实现防火墙、防病毒、服务器安全监测、网络安全监测、网络安全扫描、系统安全扫描的建立。
(2). 提供服务的内容 根据上述项目实施范围及工作实施内容, NAI公司和我公司将协助X X 局完成下列工作:
@ 网络安全系统需求分析
@ 网络安全系统客户化
@ 网络安全系统的测试
@ 网络安全系统的试运行
@ 网络安全系统的投产
@ 培训
  网络安全系统需求分析 此任务的主要目的是对X X 局的具体安全需求进行调查分析,如OA和业务系统的安全需求、性能需求和设计系统的前提并形成安全系统需求规格说明书。
  网络安全系统客户化 根据确定的安全系统需求分析,并结合所用的安全系统去实现这些需求的过程,将网络安全系统分解为几个子系统,描述每一个子系统的功能,处理流程,硬件间的接口。
  网络安全系统的测试 本测试内容主要针对网络安全系统的软硬件功能说明书进行测试。
  网络安全系统的试运行 NAI公司和我公司将从技术方面支持试运行的工作,与X X 局共同制定运行方案,并根据试运行的结果(包括功能方面和性能方面)对安全系统进行必要的修正。主要考虑是要考核系统是否达到X X 局网络安全系统的预定要求。
  网络安全系统的正式运行 当网络安全系统试运行期间所有产生的问题得到完全解决后,网络安全系统将进入正式运行阶段。NAI公司和我公司与X X 局配合为网络安全系统正式运行作好前期准备。
  培训 应用培训是帮助X X 局尽快熟悉新的网络安全系统,保证系统正常运行,掌握网络安全基本概念,日常操作和维护知识,以便在较短的时间内管理和使用网络安全系统,实施安全系统。


Powered by MetInfo 5.3.11 ©2008-2017 www.metinfo.cn