一 信息安全目標(biāo)

信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。
基于以上的需求分析，我們認(rèn)為網(wǎng)絡(luò)系統(tǒng)可以實(shí)現(xiàn)以下安全目標(biāo)：
1 保護(hù)網(wǎng)絡(luò)系統(tǒng)的可用性
2 保護(hù)網(wǎng)絡(luò)系統(tǒng)服務(wù)的連續(xù)性
3 防范網(wǎng)絡(luò)資源的非法訪問(wèn)及非授權(quán)訪問(wèn)
4 防范入侵者的惡意×××與破壞
5 保護(hù)信息通過(guò)網(wǎng)上傳輸過(guò)程中的機(jī)密性、完整性
6 防范病毒的侵害
7 實(shí)現(xiàn)網(wǎng)絡(luò)的安全管理

二 信息安全保障體系

2.1信息安全保障體系基本框架

　　通過(guò)人、管理和技術(shù)手段三大要素，構(gòu)成動(dòng)態(tài)的信息與網(wǎng)絡(luò)安全保障體系框架WPDRR模型，實(shí)現(xiàn)系統(tǒng)的安全保障。WPDRR是指：預(yù)警（Warning）、保護(hù)（Protection）、檢測(cè)（Detection）、反應(yīng)（Reaction）、恢復(fù)（Recovery），五個(gè)環(huán)節(jié)具有時(shí)間關(guān)系和動(dòng)態(tài)閉環(huán)反饋關(guān)系。
　　安全保障是綜合的、相互關(guān)聯(lián)的，不僅僅是技術(shù)問(wèn)題，而是人、管理和技術(shù)三大要素的結(jié)合。
　　支持系統(tǒng)安全的技術(shù)也不是單一的技術(shù)，它包括多個(gè)方面的內(nèi)容。在整體的安全策略的控制和指導(dǎo)下，綜合運(yùn)用防護(hù)工具（如：防火墻、×××加密等手段），利用檢測(cè)工具（如：安全評(píng)估、入侵檢測(cè)等系統(tǒng)）了解和評(píng)估系統(tǒng)的安全狀態(tài)，通過(guò)適當(dāng)?shù)姆磻?yīng)將系統(tǒng)調(diào)整到“最高安全”和“最低風(fēng)險(xiǎn)”的狀態(tài)，并通過(guò)備份容錯(cuò)手段來(lái)保證系統(tǒng)在受到破壞后的迅速恢復(fù)，通過(guò)監(jiān)控系統(tǒng)來(lái)實(shí)現(xiàn)對(duì)非法網(wǎng)絡(luò)使用的追查。

預(yù)警：利用遠(yuǎn)程安全評(píng)估系統(tǒng)提供的模擬×××技術(shù)來(lái)檢查系統(tǒng)存在的、可能被利用的脆弱環(huán)節(jié)，收集和測(cè)試網(wǎng)絡(luò)與信息的安全風(fēng)險(xiǎn)所在，并以直觀的方式進(jìn)行報(bào)告，提供解決方案的建議，在經(jīng)過(guò)分析后，了解網(wǎng)絡(luò)的風(fēng)險(xiǎn)變化趨勢(shì)和嚴(yán)重風(fēng)險(xiǎn)點(diǎn)，從而有效降低網(wǎng)絡(luò)的總體風(fēng)險(xiǎn)，保護(hù)關(guān)鍵業(yè)務(wù)和數(shù)據(jù)。

保護(hù)：保護(hù)通常是通過(guò)采用成熟的信息安全技術(shù)及方法來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)與信息的安全，主要有防火墻、授權(quán)、加密、認(rèn)證等。

檢測(cè)：通過(guò)檢測(cè)和監(jiān)控網(wǎng)絡(luò)以及系統(tǒng)，來(lái)發(fā)現(xiàn)新的威脅和弱點(diǎn)，強(qiáng)制執(zhí)行安全策略。在這個(gè)過(guò)程中采用入侵檢測(cè)、惡意代碼過(guò)濾等等這樣一些技術(shù)，形成動(dòng)態(tài)檢測(cè)的制度，建立報(bào)告協(xié)調(diào)機(jī)制，提高檢測(cè)的實(shí)時(shí)性。

反應(yīng)：在檢測(cè)到安全漏洞和安全事件之后必須及時(shí)做出正確的響應(yīng)，從而把系統(tǒng)調(diào)整到安全狀態(tài)。為此需要相應(yīng)的報(bào)警、跟蹤、處理系統(tǒng)，其中處理包括封堵、隔離、報(bào)告等子系統(tǒng)。

恢復(fù)：災(zāi)難恢復(fù)系統(tǒng)是當(dāng)網(wǎng)絡(luò)、數(shù)據(jù)、服務(wù)受到××××××并遭到破壞或影響后，通過(guò)必要的技術(shù)手段（如容錯(cuò)、冗余、備份、替換、修復(fù)等），在盡可能短的時(shí)間內(nèi)使系統(tǒng)恢復(fù)正常。

２.２安全體系結(jié)構(gòu)技術(shù)模型

對(duì)安全的需求是任何單一安全技術(shù)都無(wú)法解決的，應(yīng)當(dāng)選擇適合的安全體系結(jié)構(gòu)模型，信息和網(wǎng)絡(luò)安全保障體系由安全服務(wù)、協(xié)議層次和系統(tǒng)單元三個(gè)層面組成，且每個(gè)層面都包含安全管理的內(nèi)容。

2.3 安全區(qū)域策略

　　根據(jù)安全區(qū)域的劃分，主管部門應(yīng)制定針對(duì)性的安全策略。
1、定期對(duì)關(guān)鍵區(qū)域進(jìn)行審計(jì)評(píng)估，建立安全風(fēng)險(xiǎn)基線
2、對(duì)于關(guān)鍵區(qū)域安裝分布式入侵檢測(cè)系統(tǒng)；
3、部署防病毒系統(tǒng)防止惡意腳本、×××和病毒
4、建立備份和災(zāi)難恢復(fù)的系統(tǒng)；
5、建立單點(diǎn)登錄系統(tǒng)，進(jìn)行統(tǒng)一的授權(quán)、認(rèn)證；
6、配置網(wǎng)絡(luò)設(shè)備防預(yù)拒絕服務(wù)×××；
7、定期對(duì)關(guān)鍵區(qū)域進(jìn)行安全漏洞掃描和網(wǎng)絡(luò)審計(jì)，并針對(duì)掃描結(jié)果進(jìn)行系統(tǒng)加固。

2.4 統(tǒng)一配置和管理防病毒系統(tǒng)

　　主管部門應(yīng)當(dāng)建立整體病毒防御策略，以實(shí)現(xiàn)統(tǒng)一的配置和管理。網(wǎng)絡(luò)防病毒的策略應(yīng)滿足全面性、易用性、實(shí)時(shí)性和可擴(kuò)充性等方面的要求。
　　主管部門使用的防病毒系統(tǒng)應(yīng)提供集中的管理機(jī)制，建立病毒系統(tǒng)管理中心，監(jiān)控各個(gè)防毒產(chǎn)品的防殺狀態(tài)，病毒碼及殺毒引擎的更新升級(jí)等，并在各個(gè)防毒產(chǎn)品上收集病毒防護(hù)情況的日志，并進(jìn)行分析報(bào)告。
　　建立更新中心，負(fù)責(zé)整個(gè)病毒升級(jí)工作，定期地、自動(dòng)地到病毒提供商網(wǎng)站上獲取最新的升級(jí)文件（包括病毒定義碼、掃描引擎、程序文件等），然后通過(guò)病毒系統(tǒng)管理中心，由管理中心分發(fā)到客戶端與服務(wù)器端，自動(dòng)對(duì)殺毒軟件進(jìn)行更新。

2.5網(wǎng)絡(luò)安全管理

在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對(duì)于確保網(wǎng)絡(luò)的安全、可靠地運(yùn)行，將起到十分有效的作用。安全體系建設(shè)中，安全管理是一個(gè)非常重要的部分。任何的安全技術(shù)保障措施，最終要落實(shí)到具體的管理規(guī)章制度以及具體的管理人員職責(zé)上，并通過(guò)管理人員的工作得到實(shí)現(xiàn)。

安全管理遵循國(guó)際標(biāo)準(zhǔn)ISO17799，它強(qiáng)調(diào)管理體系的有效性、經(jīng)濟(jì)性、全面性、普遍性和開(kāi)放性，目的是為希望達(dá)到一定管理效果的組織提供一種高質(zhì)量、高實(shí)用性的參照。各單位以此為參照建立自己的信息安全管理體系，可以在別人經(jīng)驗(yàn)的基礎(chǔ)上根據(jù)自己的實(shí)際情況進(jìn)行設(shè)計(jì)、取舍，以達(dá)到對(duì)信息進(jìn)行良好管理的目的。信息安全不僅僅是一個(gè)技術(shù)問(wèn)題，更重要的是一個(gè)管理問(wèn)題。對(duì)一種資產(chǎn)進(jìn)行保護(hù)的最好方法就是為它建立一個(gè)完整的、科學(xué)的管理體系。建立和實(shí)施信息安全管理體系（ISMS）是保障企事業(yè)單位、政府機(jī)構(gòu)信息安全的重要措施。目前世界上包括中國(guó)在內(nèi)的絕大多數(shù)政府簽署協(xié)議支持并認(rèn)可ISO17799標(biāo)準(zhǔn)。

其組成部分如圖所示，各模塊的作用如下：
管理體制圖
1）總體策略
確定安全的總體目標(biāo)，所遵循的原則。
2）組織
確定安全策略之后，必須明確責(zé)任部門，落實(shí)具體的實(shí)施部門。
3）信息資產(chǎn)分類與控制、職員的安全、物理環(huán)境的安全、業(yè)務(wù)連續(xù)性管理
有了目標(biāo)和責(zé)任單位，緊接著要求我們必須仔細(xì)考慮流程，從信息資產(chǎn)、人、物理環(huán)境、業(yè)務(wù)可用性等方面考慮安全的具體內(nèi)容。
4）通信與操作安全、訪問(wèn)控制、系統(tǒng)開(kāi)發(fā)與維護(hù)
這三方面屬于解決安全的技術(shù)問(wèn)題，即解決如何做的問(wèn)題？如何通過(guò)技術(shù)支撐安全目標(biāo)、安全策略和安全內(nèi)容的實(shí)施。
5）檢查監(jiān)控與審計(jì)
用于檢查安全措施的效果，評(píng)估安全措施執(zhí)行的情況和實(shí)施效果。

2.5.1 安全運(yùn)行組織
　　安全運(yùn)行管理組織體系主要由主管領(lǐng)導(dǎo)、信息中心和業(yè)務(wù)應(yīng)用相關(guān)部門組成，其中領(lǐng)導(dǎo)是核心，信息中心是系統(tǒng)運(yùn)行管理體系的實(shí)體化組織，業(yè)務(wù)應(yīng)用相關(guān)部門是系統(tǒng)支撐平臺(tái)的直接使用者。
確定系統(tǒng)內(nèi)部的管理職能部門，明確責(zé)任部門，也就是要組織安全運(yùn)行管理團(tuán)隊(duì)，由該部門負(fù)責(zé)運(yùn)行的安全維護(hù)問(wèn)題。
2.5.2 安全管理制度
　　面對(duì)網(wǎng)絡(luò)安全的脆弱性，除在網(wǎng)絡(luò)設(shè)計(jì)上增加安全服務(wù)功能，完善系統(tǒng)的安全保密措施外，還必須建立網(wǎng)絡(luò)的安全管理。明確安全職責(zé)，制定安全管理制度，實(shí)施安全管理的原則為：多人負(fù)責(zé)原則、任期有限原則、職責(zé)分離原則。
2.5.3 應(yīng)急響應(yīng)機(jī)制
　　籌建管理人員和技術(shù)人員共同參與的內(nèi)部組織，提出應(yīng)急響應(yīng)的計(jì)劃和程序，提供計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全事件的提供技術(shù)支持和指導(dǎo)；提供安全漏洞或隱患信息的通告、分析；事件統(tǒng)計(jì)分析報(bào)告；提供安全事件處理相關(guān)的培訓(xùn)。

三.信息安全體系架構(gòu)

　　通過(guò)對(duì)網(wǎng)絡(luò)應(yīng)用的全面了解，按照安全風(fēng)險(xiǎn)、需求分析結(jié)果、安全策略以及網(wǎng)絡(luò)的安全目標(biāo)。具體的安全控制系統(tǒng)可以從以下幾個(gè)方面分述: 物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、應(yīng)用安全、管理安全。

3.1物理安全

　　保證計(jì)算機(jī)信息系統(tǒng)各種設(shè)備的物理安全是保障整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提。物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過(guò)程。它主要包括三個(gè)方面：

3.1.1環(huán)境安全
　　對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)；（參見(jiàn)國(guó)家標(biāo)準(zhǔn)GB50173－93《電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》、國(guó)標(biāo)GB2887－89《計(jì)算站場(chǎng)地技術(shù)條件》、GB9361－88《計(jì)算站場(chǎng)地安全要求》）
　3.1.2設(shè)備安全
　　設(shè)備安全主要包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等；設(shè)備冗余備份；通過(guò)嚴(yán)格管理及提高員工的整體安全意識(shí)來(lái)實(shí)現(xiàn)。
　3.1.3媒體安全
　　包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然，為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全，除在網(wǎng)絡(luò)規(guī)劃和場(chǎng)地、環(huán)境等要求之外，還要防止系統(tǒng)信息在空間的擴(kuò)散。計(jì)算機(jī)系統(tǒng)通過(guò)電磁輻射使信息被截獲而失密的案例已經(jīng)很多，在理論和技術(shù)支持下的驗(yàn)證工作也證實(shí)這種截取距離在幾百甚至可達(dá)千米的復(fù)原顯示技術(shù)給計(jì)算機(jī)系統(tǒng)信息的保密工作帶來(lái)了極大的危害。為了防止系統(tǒng)中的信息在空間上的擴(kuò)散，通常是在物理上采取一定的防護(hù)措施，來(lái)減少或干擾擴(kuò)散出去的空間信號(hào)。

3.2 系統(tǒng)安全

　3.2.1網(wǎng)絡(luò)結(jié)構(gòu)安全
　　網(wǎng)絡(luò)結(jié)構(gòu)的安全主要指，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是否合理；線路是否有冗余；路由是否冗余，防止單點(diǎn)失敗等。
　3.2.2操作系統(tǒng)安全
　　對(duì)于操作系統(tǒng)的安全防范可以采取如下策略：盡量采用安全性較高的網(wǎng)絡(luò)操作系統(tǒng)并進(jìn)行必要的安全配置、關(guān)閉一些起不常用卻存在安全隱患的應(yīng)用、對(duì)一些保存有用戶信息及其口令的關(guān)鍵文件（如Windows NT下的LMHOST、SAM等）使用權(quán)限進(jìn)行嚴(yán)格限制；加強(qiáng)口令字的使用（增加口令復(fù)雜程度、不要使用與用戶身份有關(guān)的、容易猜測(cè)的信息作為口令），并及時(shí)給系統(tǒng)打補(bǔ)丁、系統(tǒng)內(nèi)部的相互調(diào)用不對(duì)外公開(kāi)。通過(guò)配備操作系統(tǒng)安全掃描系統(tǒng)對(duì)操作系統(tǒng)進(jìn)行安全性掃描，發(fā)現(xiàn)其中存在的安全漏洞，并有針對(duì)性地進(jìn)行對(duì)網(wǎng)絡(luò)設(shè)備重新配置或升級(jí)。
　3.2.3應(yīng)用系統(tǒng)安全
　　在應(yīng)用系統(tǒng)安全上，應(yīng)用服務(wù)器盡量不要開(kāi)放一些沒(méi)有經(jīng)常用的協(xié)議及協(xié)議端口號(hào)。如文件服務(wù)、電子郵件服務(wù)器等應(yīng)用系統(tǒng)，可以關(guān)閉服務(wù)器上如HTTP、FTP、TELNET、RLOGIN等服務(wù)。還有就是加強(qiáng)登錄身份認(rèn)證。確保用戶使用的合法性；并嚴(yán)格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)。充分利用操作系統(tǒng)和應(yīng)用系統(tǒng)本身的日志功能，對(duì)用戶所訪問(wèn)的信息做記錄，為事后審查提供依據(jù)。

3.3網(wǎng)絡(luò)安全

　　網(wǎng)絡(luò)安全是整個(gè)安全解決方案的關(guān)鍵，從訪問(wèn)控制、通信保密、入侵檢測(cè)、網(wǎng)絡(luò)安全掃描系統(tǒng)、防病毒分別描述。
　　3.3.1隔離與訪問(wèn)控制
　　1 嚴(yán)格的管理制度
　　可制定的制度有：《用戶授權(quán)實(shí)施細(xì)則》、《口令字及賬戶管理規(guī)范》、《權(quán)限管理制度》、《安全責(zé)任制度》等。
　　2 配備防火墻
　　防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的安全措施之一。防火墻通過(guò)制定嚴(yán)格的安全策略實(shí)現(xiàn)內(nèi)外網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)不同信任域之間的隔離與訪問(wèn)控制。并且防火墻可以實(shí)現(xiàn)單向或雙向控制，對(duì)一些高層協(xié)議實(shí)現(xiàn)較細(xì)粒的訪問(wèn)控制。
　　3.3.2入侵檢測(cè)
　　利用防火墻并經(jīng)過(guò)嚴(yán)格配置，可以阻止各種不安全訪問(wèn)通過(guò)防火墻，從而降低安全風(fēng)險(xiǎn)。但是，網(wǎng)絡(luò)安全不可能完全依靠防火墻單一產(chǎn)品來(lái)實(shí)現(xiàn)，網(wǎng)絡(luò)安全是個(gè)整體的，必須配相應(yīng)的安全產(chǎn)品，作為防火墻的必要補(bǔ)充。入侵檢測(cè)系統(tǒng)就是最好的安全產(chǎn)品，入侵檢測(cè)系統(tǒng)是根據(jù)已有的、最新的×××手段的信息代碼對(duì)進(jìn)出網(wǎng)段的所有操作行為進(jìn)行實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)（阻斷、報(bào)警、發(fā)送E-mail）。從而防止針對(duì)網(wǎng)絡(luò)的×××與犯罪行為。入侵檢測(cè)系統(tǒng)一般包括控制臺(tái)和探測(cè)器（網(wǎng)絡(luò)引擎）。控制臺(tái)用作制定及管理所有探測(cè)器（網(wǎng)絡(luò)引擎）。探測(cè)器（網(wǎng)絡(luò)引擎）用作監(jiān)聽(tīng)進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為，根據(jù)控制臺(tái)的指令執(zhí)行相應(yīng)行為。由于探測(cè)器采取的是監(jiān)聽(tīng)不是過(guò)濾數(shù)據(jù)包，因此，入侵檢測(cè)系統(tǒng)的應(yīng)用不會(huì)對(duì)網(wǎng)絡(luò)系統(tǒng)性能造成多大影響。
　　3.3.3病毒防護(hù)
　　由于在網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)病毒有不可估量的威脅性和破壞力。我們都知道，網(wǎng)絡(luò)系統(tǒng)中使用的操作系統(tǒng)一般均為WINDOWS系統(tǒng)，比較容易感染病毒。因此計(jì)算機(jī)病毒的防范也是網(wǎng)絡(luò)安全建設(shè)中應(yīng)該考慮的重要的環(huán)節(jié)之一。反病毒技術(shù)包括預(yù)防病毒、檢測(cè)病毒和殺毒三種技術(shù)。

3.4 應(yīng)用安全

　　3.4.1資源共享
　　嚴(yán)格控制內(nèi)部員工對(duì)網(wǎng)絡(luò)共享資源的使用。在內(nèi)部子網(wǎng)中一般不要輕易開(kāi)放共享目錄，否則較容易因?yàn)槭韬龆谂c員工間交換信息時(shí)泄漏重要信息。對(duì)有經(jīng)常交換信息需求的用戶，在共享時(shí)也必須加上必要的口令認(rèn)證機(jī)制，即只有通過(guò)口令的認(rèn)證才允許訪問(wèn)數(shù)據(jù)。雖然說(shuō)用戶名加口令的機(jī)制不是很安全，但對(duì)一般用戶而言，還是起到一定的安全防護(hù)，即使有刻意破解者，只要口令設(shè)得復(fù)雜些，也得花費(fèi)相當(dāng)長(zhǎng)的時(shí)間。
　　3.4.2 信息存儲(chǔ)
　　對(duì)有涉及秘密信息的用戶主機(jī)，使用者在應(yīng)用過(guò)程中應(yīng)該做到盡量少開(kāi)放一些不常用的網(wǎng)絡(luò)服務(wù)。對(duì)數(shù)據(jù)服務(wù)器中的數(shù)據(jù)庫(kù)必須做安全備份。通過(guò)網(wǎng)絡(luò)備份系統(tǒng)，可以對(duì)數(shù)據(jù)庫(kù)進(jìn)行遠(yuǎn)程備份存儲(chǔ)。

3.5 安全管理

　　3.5.1制定健全的安全管理體制
　　制定健全的安全管理體制將是網(wǎng)絡(luò)安全得以實(shí)現(xiàn)的重要保證。可以根據(jù)自身的實(shí)際情況，制定如安全操作流程、安全事故的獎(jiǎng)罰制度以及對(duì)任命安全管理人員的考查等。
　　3.5.2 構(gòu)建安全管理平臺(tái)
　　構(gòu)建安全管理平臺(tái)將會(huì)降低很多因?yàn)闊o(wú)意的人為因素而造成的風(fēng)險(xiǎn)。構(gòu)建安全管理平臺(tái)從技術(shù)上如，組成安全管理子網(wǎng)，安裝集中統(tǒng)一的安全管理軟件，如病毒軟件管理系統(tǒng)、網(wǎng)絡(luò)設(shè)備管理系統(tǒng)以及網(wǎng)絡(luò)安全設(shè)備統(tǒng)管理軟件。通過(guò)安全管理平臺(tái)實(shí)現(xiàn)全網(wǎng)的安全管理。
　　3.5.3 增強(qiáng)人員的安全防范意識(shí)
　　應(yīng)該經(jīng)常對(duì)單位員工進(jìn)行網(wǎng)絡(luò)安全防范意識(shí)的培訓(xùn)，全面提高員工的整體網(wǎng)絡(luò)安全防范意識(shí)。
信息安全建設(shè)運(yùn)行體系框架

總結(jié)

以上是生活随笔為你收集整理的企业信息安全整体架构的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。