信息中心
天融信政府部門系統安全防護方案
一、項目背景
XXXX是國家的重要政府部門，轄內現有共30個司局，辦公人員總數約1500人。經過多年的建設，XXXX已經形成了比較完善的內網、縱向網和外網業務網絡。其中：
★ 內網是XXXX機關內部辦公網，是涉密網絡，與互聯網物理隔離。
★ 縱向網是以XXXX為中心節點，連接覆蓋全國的各省、自治區、直轄市、副省級省會城市、計劃單列市的XXXX所屬各級單位和部門。縱向網是涉密網絡，與互聯網物理隔離。
★ 外網是XXXX工作人員訪問互聯網，及時了解國際、國內重要信息，并與外界進行必要的溝通、聯系的重要渠道。
由于XXXX本身職能的特殊性，對信息系統的安全性要求很高，因此在XXXX網絡中部署了很多信息安全產品來加強整體安全性。這些安全產品雖然確實可以解決一些較為緊迫的安全問題，如病毒泛濫、黑客攻擊等，但是仍然不夠完善，網絡中仍然存在一定的安全風險，例如：缺乏內網安全管理機制，不能對內部用戶濫用網絡系統資源或外界人員繞過邊界安全控制設施進行的各種非法操作行為進行有效的監控和審計;缺乏集中的安全管理平臺和流程化的安全事件處理機制，現有的各種安全防護機制彼此孤立，不能夠有效互動和統一協調地工作。
在充分認識到安全管理方面的不足之后，XXXX決定通過部署專業的安全產品來加強內網桌面計算機系統的安全管理和實現集中的網絡信息安全監控。
二、信息系統描述
XXXX辦公網包括相對獨立的內網、縱向網和外網三部分，各網絡核心交換機和服務器主機均放置于主樓的主機房，各網絡的用戶接入交換機和信息點分布于各個辦公樓層中。此次網絡信息安全管理和監控平臺的建設主要針對內網進行。
內網是XXXX機關內部辦公網，目前網絡覆蓋整個XXXX的各個辦公樓層。內網是涉密網絡，與互聯網物理隔離。
內網網絡骨干采用ATM技術，為雙星型結構。由兩臺三層交換機作為核心，兩臺核心交換機采用串行雙連接模式，核心數據交換能力為2*622M。每個樓層設備間配備一臺樓層交換機，通過622M光纖線路與一臺核心交換機單路相連。同時樓層交換機作為骨干網的邊緣，通過LANE技術實現ATM網到以太網的過渡。終端用戶通過100M雙絞線連接樓層交換機的以太網端口。內網所有服務器集中部署在中央機房，單鏈路100M連接核心交換機。
內網采用靜態地址，按樓層、司局、服務器和管理網段等進行劃分。
內網目前部署了防火墻、入侵檢測系統、防病毒系統、漏洞掃描系統、安全審計系統等安全設備和軟件。
內網現有用戶數約1200人。
三、用戶需求分析
終端安全管理需求
XXXX網絡經過了長期的發展，計算機的硬件配置多樣化，操作系統多樣化，應用系統多樣化。隨著網絡系統的不斷發展，基于微軟操作系統漏洞的病毒和攻擊層出不窮，不斷爆發的網絡病毒的危害性越發凸顯出來，嚴重影響了XXXX網絡應用。針對以上具體情況，加強XXXX內網的計算機終端安全、統一計算機終端的管理已經勢在必行。
具體來說，在終端安全管理方面的需求主要包括：
★ 及時發現終端設備的操作系統和重要應用軟件的漏洞并自動分發安全補丁，減少被攻擊的可能。
★ 有效管理終端資產，保障終端設備正常運行，提供非法改變報警。
★ 防范內網終端設備非法外聯。
★ 防范外來的移動終端非法接入內網。
★ 防范內部涉密重要信息的泄露。
★ 及時發現網絡中占用大量網絡帶寬或產生異常網絡流量的終端，并及時阻斷。
★ 對移動存儲設備的使用進行管理，防止通過移動存儲設備泄密或染毒。
★ 通過批量設置計算機的安全保護措施提高桌面計算機的安全性。
★ 進行批量的軟件分發和安裝，提高運行維護效率。
★ 特定計算機的IP地址保護。
★ 在全網制訂統一的安全策略并實時評估計算機的安全狀態是否符合管理規定，阻斷安全風險大的計算機與網絡連接，并向管理員報警。
★ 出現安全問題后，可以快速有效的定位有問題的IP/MAC/主機名，找出網絡中病毒、蠕蟲、黑客的引入點，及時、準確的切斷安全事件發生點和網絡。
內網網絡和信息安全監控需求
主流的安全產品如防火墻、入侵檢測、防病毒軟件等都是從某一局部去解決安全問題，相互之間是獨立、分散管理的，這種狀況不僅增加了管理成本和難度，而且無法對安全問題、安全隱患進行綜合分析，不符合安全整體架構思想，無法為用戶提供動態、全局的安全狀態分析。
鑒于XXXX內網信息系統中已經部署了很多的安全產品，如何從整體安全的角度出發，為信息安全管理提供決策依據和管理手段，解決采用多種相互獨立的安全產品及安全技術所帶來的管理混亂局面，降低網絡安全管理的復雜性就顯得尤為重要。
因此在XXXX內網中需要通過一定的技術手段，建立全網的集中安全管理與監控平臺，實現以下基本需求：
★ 在核心位置對整個網絡系統中各類設備和軟件所產生的安全事件信息進行集中分析，改變信息孤立，管理困難的局面，從而實時地掌握網絡中各個部門、各個網段、各個應用系統的安全風險，及時發現和處理安全事故，將風險影響程度降到最低，并減少響應時間。
★ 分析和評估構成網絡系統的各類關鍵資產的風險和價值，并通過對這些關鍵資產的實時監控，以及對資產所產生的事件進行風險分析和處理，從而維護網絡中各種資產的安全性和網絡整體安全性。
★ 在規范統一的平臺上有機整合各種安全產品及技術，建立完善的安全預警、響應、處理、恢復及防護機制，使網絡中所部署的各類安全系統能夠有效互動和統一協調地工作，最大化發揮安全系統的效能。
★ 將技術因素與管理因素同時結合到企業的安全管理中，深入保護用戶應用。
★ 實時了解自身安全狀況和安全動態，及時發出預警信息。
★ 安全事件發生后，確診網絡故障的原因或感染源/攻擊源。
★ 不斷積累和豐富專家庫、知識庫，協助安全管理員去監控，分析，解決問題。
★ 最終的目標是最大程度的減少發生網絡安全事故、減少由于網絡安全事故造成的損失或者避免發生網絡安全事故。
符合政策要求的需求
國信辦于2003年頒布的中辦[2003]27號文件(《國家信息化領導小組關于加強信息安全保障工作的意見》)：
四、建設和完善信息安全監控體系
信息安全監控是及時發現和處置網絡攻擊，防止有害信息傳播，對網絡和系統實施保護的重要手段。基礎信息網絡的運營單位和各重要信息系統的主管部門或運營單位要根據實際情況建立和完善信息安全監控系統，提高對網絡攻擊、病毒入侵、網絡失竊密的防范能力，防止有害信息傳播。”
安全總體建議
建議在XXXX內網中建立一套集中的安全管理平臺，靈活地結合XXXX自身業務流的特點，識別和管理組成XXXX內部IT基礎架構的關鍵信息資產，指導用戶制訂全局安全策略，通過有效整合XXXX內部安全資源，依據智能的輔助決策系統和安全知識庫內容，實施以風險控制為核心的安全事件管理、安全風險管理、安全報警響應、專家建議以及終端安全管理等一系列安全管理活動，從而保證XXXX內網信息系統正常運行和持續性發展。
該平臺主要包括兩個方面的功能：
★ 終端安全管理
對局域網內部終端的網絡行為進行全面集中監管，檢測和維護桌面系統的安全。
★ 網絡和信息安全監控
集中監控、分析和管理XXXX網絡信息系統整體安全態勢，對潛在的攻擊征兆進行預警，對安全事件提供及時的響應和處理，實現閉環的、持續改進的安全管理。
推薦采用天融信公司的網絡衛士安全管理系統(TSM)，它是根據天融信可信網絡架構(TNA)的思想，構建的開放型的安全管理平臺，由TopAnalyzer安全信息管理系統、TopDesk終端管理系統、報表管理系統、認證管理系統以及資產管理系統等組件共同構成。
五、安全管理平臺部署
在XXXX網絡中，我們通過部署天融信公司的網絡衛士安全管理系統(TSM)，結合XXXX內網信息系統業務流的特點，識別和管理組成內部IT基礎架構的關鍵信息資產，制訂統一的信息安全策略，在規范統一的平臺上有機整合系統內部各種安全資源，實施集中的終端安全管理、安全事件管理、安全風險管理等一系列安全管理活動，并通過統一的安全報表、安全報警響應以及安全事件處理流程，實現XXXX內網桌面計算機系統的安全管理和集中的網絡信息安全監控，保證XXXX內網信息系統正常運行和持續性發展。
TSM安全管理系統在XXXX網絡中的部署方式如下圖所示：
TSM包括五個主要功能組件：TopAnalyzer、TopDesk、資產管理系統、認證管理系統以及報表管理系統。其中TopAnalyzer和TopDesk是TSM的兩個核心組件，資產、認證、報表這三個系統作為基本組件和數據庫系統以及基于WEB的門戶管理系統共同構成了TSM的系統支撐平臺。
六、安全建設效果
天融信終端安全管理系統TopDesk負責對局域網內部終端的網絡行為進行全面集中監管，保障XXXX內部網絡用戶終端的桌面系統安全。TopDesk依據統一的企業安全策略，進行對終端桌面的安全監管、行為監管、系統監管和安全狀態檢測，采用統一策略下發并強制策略執行的機制，通過和TopAnalyzer及TSM其他組件的互動，實現對XXXX網絡內部桌面系統的管理和維護，從而有效地保護XXXX內網信息系統安全和涉密數據安全。
天融信安全信息管理系統TopAnalyzer負責監控、分析和管理XXXX網絡信息系統整體安全態勢。TopAnalyzer通過采用不同技術和手段收集和整合網絡中各類安全事件，采用實時關聯分析技術和智能推理技術，實現對安全事件的深度分析，對安全事件提供及時智能的響應和處理，對潛在的攻擊征兆進行預警，最終對XXXX網絡和信息資產實現閉環的、持續改進的集中安全監管。
資產管理系統負責集中管理企業內部所有的信息資產。
認證管理系統負責提供基于角色的用戶管理和系統平臺的單點登陸功能。
報表管理系統負責生成和統一管理系統產生的各類分析報表。
數據庫系統用于存放系統收集的海量安全事件信息和報警信息等。
WEB門戶系統負責提供TopAnalyzer服務器和認證用戶(使用WEB瀏覽器)間的交互。
文章作者：計世網
集成系統網絡情報信息數據庫
CIO頻道人物視窗
CIO頻道方案案例庫
大數據建設方案案例庫
電子政務建設方案案例庫
互聯集成系統構建方案案例庫
商務智能建設方案案例庫
系統集成類軟件信息研發企業名錄