導語：信息安全風險解決方案一文來源于網友上傳，不代表本站觀點，若需要原創文章可咨詢客服老師，歡迎參考。

1信息安全架構概述

我國的信息安全架構是我國信息安全領域有關部門和專家學者經過多年研究，基于我國國情并充分借鑒國外先進經驗，提出的分等級保護策略，用于解決我國信息安全問題。由公安部和全國信息安全標準化技術委員提出，公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息化工作辦公室等部門聯合制定，下發了關于信息安全等級保護的相關標準、意見等，涉及基礎標準類、應用類（系統定級、保護實施、安全建設、等級測評等）、產品類（操作系統、路由器、防火墻、服務器、PKI〔公鑰基礎設施〕等）、其他標準類（風險評估、事件管理等）等標準規范，為信息系統的安全建設、提高網絡與信息安全保障水平提供了技術和管理依據，同時隨著網絡安全問題的日益突出及信息技術發展，也在逐步更新標準規范中的相關內容，進一步完善信息安全認證認可體系，加強信息安全系統建設工作，為保障國家信息安全做出了重大貢獻。參考《信息系統安全等級保護體系框架》（GA/T708-2007），信息系統安全的組成如圖1所示。物理安全提供基本的計算機和網絡硬件設備、設施、介質及其環境等方面的安全支持；網絡安全提供安全的網絡軟件、安全的網絡協議，確保數據傳輸的保密性、完整性、可用性等；系統安全提供安全的操作系統和安全的數據庫管理系統，以實現系統所存儲、傳輸和處理數據的安全保護；應用安全提供部署在計算機硬件環境基礎上的應用軟件安全、支撐軟件安全、工具軟件安全等保障信息系統安全的運行環境；安全管理是指對組成信息系統安全的物理安全、系統安全、網絡安全和應用安全的管理，通過技術手段、管理制度等方式保障信息系統的正常運行。信息安全架構要求信息系統建設和使用單位，根據其單位的重要程度、信息系統承載業務的重要程度、信息內容的重要程度、系統遭到攻擊破壞后造成的危害程度等安全需求及安全成本因素，根據國家規定的等級劃分標準，設定其保護等級，自主進行信息系統安全建設和安全管理，提高安全保護的科學性、整體性、實用性。

2信息安全架構分析

2.1風險分析

1）網絡安全風險分析

信息傳輸依賴于網絡，信息的安全很大程度上依賴于網絡的安全。數據在網絡傳輸過程中可能會被竊取、非法篡改，真實性和完整性遭到破壞，從而造成信息泄漏。影響網絡安全運行的風險主要包括：a）網絡結構存在單點故障，設備性能不足以支撐業務系統需求等原因造成網絡堵塞，業務丟包率較高。b）由于網絡互連引起越權訪問、惡意攻擊、病毒入侵等原因，使得網絡邊界存在安全隱患。c）缺乏必要的身份鑒別、安全防范、安全審計等技術手段，容易造成設備的無權限訪問和惡意更改設備參數。d）缺乏必要的網絡安全檢測、主動防御設備，使得惡意攻擊、非法訪問、網絡病毒、DOS（拒絕服務）/DDOS攻擊、網頁篡改等時常發生，無法有效阻止網絡攻擊而造成網絡癱瘓。

2）主機安全風險分析

主機安全主要指終端設備、服務器的系統安全。目前的操作系統無論是Windows還是Linux都可能存在安全漏洞，影響主機運行安全的風險主要有：a）缺乏必要的身份鑒別、安全審計等手段，容易造成設備的無權限訪問和惡意更改設備參數。b）系統中殘存有未及時刪除的過期賬號、測試賬號、共享賬號、默認用戶等可非法入侵的賬戶信息。c）操作系統存在安全漏洞、安全設置不當、用戶權限設置不當等情況，使得文件信息、數據庫信息、敏感信息等被用戶非法獲取。d）病毒入侵導致信息泄漏、文件丟失、機器死機等不安全因素。

3）應用安全風險分析

應用的安全性是動態的、不斷變化的，應用安全需要從軟件開發階段進行安全防護，保護應用軟件的健壯性。影響應用系統運行安全的風險主要有：a）用戶賬號被非法使用，冒用他人身份非法訪問信息系統，導致數據被非法竊取、非授權訪問、惡意篡改等非法操作。b）缺乏必要的操作行為記錄及審計手段，無法為查獲違法操作者提供必要的數據證據，使操作者逃避責任處罰。c）應用軟件存在漏洞或在開發過程中存在后門，為黑客留下入侵的可操作性；同時軟件進程資源可能未設置最大、最小限額以及多重并發訪問限制，軟件資源被迅速占用，導致系統資源被耗盡而無法訪問。

4）數據安全及備份恢復

數據是信息系統的核心，當關鍵數據被非法竊取或未做備份而無法及時恢復時，將對信息系統造成極大的經濟損失和惡劣影響。影響數據安全及備份恢復的風險主要有：a）在數據傳輸過程中無法檢測用戶數據和重要業務數據等在傳輸過程中是否受到破壞或者被非法竊取。b）因數據泄露時未加密，而被非法解密后使用。c）因關鍵數據未及時備份，在主節點遭到破壞后無法及時進行數據恢復。

5）管理安全風險分析

責權不明、管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險，不僅要防范外部的非法入侵，同時也要做好內部人員管理，防止內部人員無意泄漏內部網絡的網絡結構、用戶名/密碼等。影響管理安全的風險主要有：a）沒有相應的安全管理組織，缺少安全管理人員編制，安全管理組織不健全會造成上下級管理混亂，遇到突發情況時無法及時有效地進行應急響應。b）缺少必要的安全運維管理系統，不能實時監控機房工作、網絡連接、系統運行狀態，不能及時發現已經發生的網絡安全事件。c）人員安全意識淡薄，在日常工作中無意泄露系統口令、隨意放置操作員卡、私接外網、非法拷貝系統信息、私自安裝/卸載程序、違規操作、擅離崗位等均會造成安全隱患。d）人員分工和職責不明，缺乏必要的監督、約束、獎罰制度等造成的潛在管理風險。e）缺乏必要的人員安全培訓，缺少對系統故障、信息泄露等突發事件的及時應對措施，錯過事件的最佳處置時間。

2.2需求分析

2.2.1網絡安全需求

網絡安全策略包括防火墻安全策略、入侵防御系統安全策略、入侵檢測系統安全策略、交換機安全策略、數據交換安全策略等；網絡安全不僅需要進行整體防護、綜合分析，而且各分區安全也需考慮各區的業務特點進行針對性防護。a）結構安全要求：采用冗余架構模式，考慮設備性能、業務需求、性能需求，并預留一定的冗余量，從整體上保障網絡架構的彈性。b）訪問控制策略：交換機應進行端口MAC（媒體控制接入）地址綁定和VLAN（虛擬局域網）設置，開啟防火墻上的ACL（訪問控制列表）、QoS保障策略等，實現設備認證、用戶身份鑒別、非法接入識別等功能，同時根據IP地址、端口、協議等控制數據流大小、網絡連接數量。c）安全審計：需啟用相關設備的系統日志功能，通過應用層檢測分析設備對進出網絡的數據進行七層包捕捉和綜合分析；通過采集安全設備、網絡設備、主機系統、數據庫系統的日志及網絡安全事件，實現對用戶網絡行為、網絡傳輸內容的監控，并進行統計分析和安全審計。d）邊界完整性檢查：需對終端設備進行802.1x接入認證管理，防止設備的非法接入；同時需開啟各區域邊界安全設備的訪問策略，實現各區之間的邊界安全。e）入侵防范：需對網絡數據包進行過濾、分析，針對網絡異常行為進行報警，并將攻擊行為阻擋在安全區域之外。f）惡意代碼防護：需實現對網絡病毒、網絡攻擊、網絡漏洞的主動掃描，及時發現安全漏洞并進行修補。g）網絡設備防護：需對登錄網絡設備的用戶進行身份認證、權限認證、行為審計等，需實現用戶登錄地址限定、會話數限制、登錄失敗處理等功能，避免惡意攻擊或遠端系統的意外崩潰導致系統資源被獨占；需根據信息重要性劃分系統安全域，并按照最小授權原則對用戶權限進行劃分，避免合法用戶的非法訪問。

2.2.2主機安全需求

a）身份鑒別：需實現對主機操作系統、數據庫管理系統的集中管理，定期更換各設備登錄口令且滿足復雜度要求，避免非法用戶的登錄，同時啟用登錄失敗功能，對無效口令的用戶名進行鎖定；針對Linux、Windows等操作系統、數據庫系統開啟密碼監控策略、賬戶鎖定閾值、賬戶鎖定時間、賬戶鎖定策略等功能。b）訪問控制：需實現對敏感信息的標記，嚴格限制系統賬戶和權限，刪除過期的、多余的賬戶，禁用或鎖定系統默認賬戶，對不同管理員設置最小的合理權限，盡量避免合法用戶的非法訪問和非法用戶的訪問。c）安全審計：借助相關審計系統及時發現違規操作和非法訪問情況，提高安全防護能力。d）剩余信息保護：操作系統和數據庫系統用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶使用前需得到有效刪除，及時清除服務器內的殘余信息，保障數據不被非法使用。e）入侵防范：操作系統的安裝應遵循最小安裝原則，僅安裝必要的組件和應用程序，關閉多余服務等；僅開放業務需要的服務端口，刪除默認的共享路徑，并對不需要的組件進行手動卸載；需定期進行主機掃描、數據庫掃描等，及時發現外部、內部滲透的攻擊行為并告警。f）惡意代碼防范：在所有終端和服務器上需部署防病毒軟件，控制終端接入設備類型及接入準則，及時升級惡意代碼軟件版本以及惡意代碼庫，提高主機防范能力。g）資源控制：需實時監控設備CPU、內存、磁盤空間等重要資源狀況，及時發現設備故障和異常行為，同時限制單個用戶對系統資源的最大或最小使用限度。

2.2.3應用安全需求

a）身份鑒別：需對用戶進行口令、數字證書的雙因素身份認證，保證用戶身份的真實性，通過設定嘗試登錄次數和登錄時間閾值來限制用戶登錄，并采用結束會話、鎖定賬戶等安全措施。b）訪問控制：對不同帳戶分配業務所需的最小權限，嚴格限制默認帳戶的訪問權限，同時需將系統管理和審計等特權權限分配給不同的用戶；嚴格控制對應用系統的文件、數據庫等資源的訪問，避免越權非法使用。c）安全審計：需實現對重要安全事件的日期、時間、發起者信息、類型、描述、結果、操作等進行保護，需保證應用系統無法單獨中斷審計進程，并阻止非法刪除、修改或覆蓋審計記錄。d）剩余信息保護：需保障用戶鑒別信息、密鑰、文件、目錄、數據庫記錄等敏感信息所在的存儲空間被釋放或再分配給其他用戶使用前得到完全清除。e）通信完整性：需防止數據在傳輸過程中被非法竊取或篡改。f）通信保密：數據在傳輸前需進行加密，防止非法用戶的讀取。g）抗抵賴：需為數據原發者或接收者提供數據原發或接收證據，防止用戶為其非法操作而逃避責任處罰。h）軟件容錯：應用軟件應具備數據有效性檢驗功能，保證通過人機接口輸入的數據格式或長度符合系統設定要求，并可提示用戶內容輸入格式。i）資源控制：需實現會話自動結束并釋放資源、會話限制、登錄條件限制、超時鎖定、用戶可用資源閾值限制、用戶服務優先級設置等功能，防止造成資源耗盡、服務中斷等后果。

2.2.4數據安全及備份恢復需求

a）數據完整性：應用系統應支持調用相關接口對重要數據在存儲和處理過程中進行保密性和完整性保護；當管理、業務等數據受到破壞時，應能夠根據數據重傳、存儲冗余機制等方式保障數據的校驗恢復。b）數據保密性：綜合運用隧道封裝、認證、加密、訪問控制等多種網絡安全技術，防止數據在傳輸過程中被篡改。c）備份和恢復：重要交換機、網絡安全設備需實現雙機熱備；需實現對操作系統數據、業務數據的實時備份，當遇到故障時需能夠及時進行數據恢復，保障系統的正常運行。

2.2.5管理安全需求

a）安全管理機構：明確安全管理機構中各個部門和崗位的職責、分工、技能要求，配置專職安全管理員，制定安全審核和安全檢查制度，規范安全審核和安全檢查工作。b）人員安全管理：制定相關制度，定期對各個崗位的人員進行安全技能及安全認知的考核，并對考核結果進行記錄和保存。c）系統建設管理：根據信息系統的等級劃分情況，統一考慮安全保障體系的總體安全策略、安全技術架構、安全管理策略、總體建設規劃和詳細設計方案，并形成配套文件。d）系統運維管理：制定相關制度，對終端計算機、便攜計算機、系統和網絡等設備的操作和使用進行規范化管理。

3信息安全防護架構及解決方案

一個信息系統通常參照數據分區域保護原則進行區域劃分，做到各區域數據的安全隔離及針對不同數據分別做到針對性保護。分區域保護需要做到重點明確，將有效的安全資源投入到最需要保護的部分，并且由各個不同區域組成多層次的立體防護體系。安全域是由一組具有相同安全保護需求并且相互信任的系統組成的邏輯區域，同一安全域中的系統應具有相同的安全防護策略。安全域劃分的目的是把一個大規模復雜系統的安全問題，以系統行為和業務角度為主，輔以安全角度等因素劃分為更小區域，以較小的代價完成安全域劃分并保障其安全性。網絡安全的防護系統基本由網絡安全設備（防火墻等）、身份鑒別系統（數字認證系統等）、安全防范系統（IDS、防病毒網關等）、安全審計系統（網絡行為審計系統、數據庫審計系統等）、安全監控系統（終端安全管理與監控系統、漏洞掃描系統等）、安全運維系統（運維堡壘機、IT/IP系統等）等安全類系統組成。根據常規業務情況將網絡劃分為9個區域，每個區域中部署具有同一安全等級保護的信息系統，同時根據信息系統特點以及分權分域原則等制定針對性防護策略。各區域的主要功能情況如下：a）核心交換區：用于連接網絡中與內部互通區域和對外連接區域的設備；部署IDS（入侵檢測系統）、網絡流量分析儀、網絡行為審計系統等安全設備。b）應用服務區：部署內部網絡應用所需的各種信息系統（應用軟件系統）；部署數據庫審計系統、WAF（Web應用防火墻）、防垃圾郵件網關等安全設備。c）安全管理區：部署保障整個網絡架構安全的安全設備和安全系統，其中等級保護2級以上要求具備SOC（安全管理平臺）系統；部署4A服務器、漏洞掃描系統、惡意代碼檢測系統、數據加解密系統、主機審計系統、終端安全管理及監控系統、防病毒系統等安全系統。d）網絡資源管理區：實現運維人員的安全接入，通過身份鑒別、權限控制、安全審計后對網絡中的設備進行監控、維護、管理等操作；部署IT管理系統、IP管理系統、運維堡壘機等安全設備和系統。e）集中備份/異地災備區：數據安全及數據備份區域，其中等級保護2級要求建設集中備份區，等級保護3級要求建設異地災備區。f）本地終端用戶接入區：為搭建網絡環境所在機房或辦公樓中的用戶提供網絡接入環境，滿足終端用戶訪問信息系統或互聯網的需求。g）內部網絡遠程訪問區：為同屬該網絡架構內的異地小型辦公網或接入點的遠程接入提供網絡接入環境，滿足異地用戶訪問內部應用系統、內部資源服務的需求。h）DMZ（隔離區）區：內部網絡對外網用戶提供服務的區域，便于互聯網用戶直接訪問內部網絡對外提供的一些信息資源；部署WAF防火墻、數據庫審計系統、網絡行為審計系統、防病毒網關、防垃圾郵件網關等安全設備，為了防止DMZ區的外網用戶對內部網絡的沖擊，兩個區域之間的資源交互通過2臺網閘進行安全隔離，以最大程度保障內部網絡的安全性。i）互聯網/VPN（虛擬專用網）接入區：為內部網絡員工訪問互聯網及有特殊需求的用戶（VPN、專線等方式接入內部網絡）提供網絡接入環境；部署防DDOS（分布式拒絕服務）系統、UTM（統一威脅管理）等安全設備，主動防御進入網絡的病毒、服務攻擊等。各個區域之間的邊界安全通過邊界防火墻進行安全防護，安全管理區中的安全設備為進入網絡的用戶和數據提供身份鑒別、安全認證、安全檢測、數據加解密、安全防范、安全監控、安全事件綜合分析等網絡及系統安全保護，同時與網絡中各分區的安全設備進行聯動，加強網絡的整體安全性，最大程度地保護進入網絡中的用戶身份合法性、數據安全性。安全設備在制定安全策略時需根據其設備特點、功能制定不同的安全防護策略，以縱深防御方式保障網絡的整體安全。

4結束語

信息產業已成為我國國民經濟發展的支柱產業之一，信息安全問題日益突出，本文在信息安全架構的基礎上，提出了一個多分區、多安全域、多應用系統的安全防護架構和解決方案。信息安全防護規劃需緊密結合網絡建設規模、技術體制、通信安全協議、信息分析與監控等具體實際情況適時調整策略，信息安全防護架構沒有固定的應用模式，沒有一成不變的通用解決方案。安全與反安全總是在相互抗爭中不斷發展，網絡的安全機制與技術也應不斷地發展變化。

作者:李陽 宋睿 聶迎燕 單位:江蘇省郵電規劃設計院有限責任公司