網絡安全概述

近年來網絡與信息技術高速發展，移動互聯網、云計算、大數據、區塊鏈、人工智能、工業互聯網、物聯網、智能制造、智慧城市等新興基礎設施和應用不斷出現，網上購物、無卡支付、自動駕駛、共享經濟在網絡與信息技術的發展驅動之下成為現實并快速普及，人們在享受著網絡與信息技術所創造新經濟奇跡的同時已經悄然進入了萬物互聯的IoT時代。

黨和國家領導人歷來重視網絡與信息安全工作，中共中央總書記、國家主席、中央軍委主席、中央網絡安全和信息化委員會組長習近平2014年2月27日下午主持召開中央網絡安全和信息化領導小組第一次會議并發表重要講話。他強調：“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化。網絡安全和信息化是事關國家安全和國家發展、事關廣大人民群眾工作生活的重大戰略問題，要從國際國內大勢出發，總體布局，統籌各方，創新發展，努力把我國建設成為網絡強國”。

綜上，現如今網絡安全已經是一項有關國家、民生的事項。

 風險分析

根據生產網絡的現狀和脆弱性，其面臨的風險如下：

  入侵威脅

任何操作系統都不可避免的存在bug，并且新安全漏洞不斷的被發現，因此系統本身的脆弱性是不可能完全避免的。網站平臺的互聯網出口處僅由路由器進行基礎網絡控制，不能對應用層的惡意代碼進行檢測。因此來自Internet的惡意入侵者可以通過發起惡意掃描和遠程溢出等攻擊，滲透或繞過路由器，進入生產網絡，獲取、篡改甚至破壞敏感的數據，乃至破壞整個網絡的正常運行。

 數據破壞和泄露

由于信息系統平臺作為WEB站點，可以被互聯網上所有用戶訪問，其公開性也導致了網站服務器極易被入侵者選作第一目標。當入侵者利用網站存在的漏洞（如SQL注入漏洞、跨站腳本漏洞、遠程代碼執行漏洞等）控制了WEB服務器之后，很容易以其為跳板，進一步滲透數據庫服務器。因此存在包含商品信息、客戶信息、交易信息的敏感數據遭到破壞和泄露的風險。

 Web網頁篡改

信息系統網站也是單位展示形象的平臺、宣傳企業價值的窗口、對外提供企業信息和服務的通道。如果被入侵者篡改頁面，將會受到諸如形象受損、惡意發布信息等多種嚴重后果。

從網站頁面被篡改的角度來看，存在兩種攻擊的可能，一種是網站被入侵，也就是說網站頁面確實被篡改了，另外一種是網站被劫持，這種情況下網站的頁面實際上并沒用被篡改，但是攻擊者劫持了網絡訪問并發送欺騙頁面給來訪者，進而造成頁面被篡改的表象。

 網頁掛馬

網頁掛馬就是攻擊者入侵了一些網站后，將自己編寫的網頁木馬嵌入被黑網站的主頁中。瀏覽者在打開該頁面的時候，這段代碼被執行，然后下載并運行某木馬的服務器端程序，進而控制瀏覽者的主機。利用被黑網站的流量將自己的網頁木馬傳播開去，以達到自己不可告人的目的。

網站被掛馬，被植入后門，這是無法忍受的。網頁掛馬不僅對WEB服務器造成很大影響，還“城門失火殃及池魚”。網站的瀏覽者也不能幸免。網站被掛馬不僅會讓自己的網站失去信譽，也會讓普通用戶陷入黑客設下的陷阱，淪為黑客的肉雞。因此這無論是對電商的信譽，還是對公民的信任度都是沉重的打擊。

 網絡蠕蟲 

蠕蟲是一種通過網絡傳播的惡性病毒，它具有病毒的一些共同特征，如傳播性、隱蔽性和破壞性等。同時具有自己的特殊特征，如不利用文件寄生(如只存在于內存中)，引起網絡拒絕服務故障及與黑客技術相結合等。在破壞性上網絡蠕蟲也不是普通病毒所能比擬的，它可以在短短的時間內蔓延整個網絡，造成網絡癱瘓。

 內部人員和安全審計風險

無數的安全案例告訴我們，信息安全最薄弱的環節是人，而針對網站的重要資料，很多競爭對手會通過高價利誘內部信息中心的運維人員竊取相關的機密資料。現網環境下，信息系統缺少專業的安全審計和控制手段，是一個重大的隱患。

 設計思路

  安全分區分域設計

安全域是指同一系統內有相同的安全保護需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網或網絡，且相同的網絡安全域共享一樣的安全策略。在安全防護領域，對網絡系統進行分區分域進行防護是常規的做法。

 安全域的定義

安全域是由在同一工作環境中、具有相同或相似的安全保護需求和保護策略、相互信任、相互關聯或相互作用的IT要素的集合。

對安全域的概念應掌握以下要點：

安全域由一組IT要素組成。這些IT要素包括但不限于物理環境、網絡設備/區域、主機、終端、系統、數據/信息、業務、流程、策略、人員/組織等等。從技術角度上看，這些IT要素可表現為物理層、網絡層、應用層通信實體，如設備、主機、系統、應用程序、進程等；從管理角度上看，這些IT要素可表現為人員、組織等。

工作環境是指IT要素所在的內部和外部環境，這一工作環境可以是但不限于物理環境、信息系統、具體的業務數據流程、會話、進程等等。

安全保護需求和保護策略是安全域劃分的基礎。IT要素的安全保護需求泛指保持IT要素的機密性、完整性、可用性等等安全屬性的要求，保障IT要素關聯行為可控性、可稽核性、可用性、機密性、完整性等等安全屬性的要求。安全保護需求的內容可來自標準規范、法律法規、業務要求、安全風險評估等方面，且服從于信息系統的安全保護目的和目標。IT要素的安全保護需求會因其在信息系統或者安全體系架構中的位置、承擔的業務功能、作用的不同而有所區別。保護策略是指為降低和控制IT要素及其關聯行為所面臨的信息安全風險所采取的風險處置方法、控制要求、控制目標、控制措施等綜合體。單位組織對風險的控制包括多個方面，如物理訪問、網絡訪問、系統管理維護、系統開發、測量評價、監控審計等等。屬于同一個安全域的IT要素具有相同或相似的安全保護需求和安全保護策略。從安全域的角度可以將保護策略分為安全域的內部保護策略和邊界保護策略。

在同一安全域內的IT要素應是互相信任的。信任指IT要素相互作用并保持其應有的（根據IT要素的安全要求和安全保護策略而應具備的）機密性、完整性、可用性、可控性、可稽核性等安全屬性的能力。如果具有相同安全要求和安全保護策略，并能夠保持各IT要素完整性、機密性、可用性、可控性、可稽核性等安全屬性的能力，則這些IT要素應屬于同一個安全域。

在同一安全域內的IT要素是相互作用、相互關聯的，是具有內部本質聯系的，是結構化，而不是松散地結合在一起的。

  劃分原則

在按照安全域設計指導思想和安全域的設計原理進行安全域劃分時，為了保證安全域劃分的簡單、實用、實效，應遵循以下原則：

l 基于并優化系統結構原則

安全域的劃分應基于系統結構，與系統的系統架構、應用結構、網絡結構相適應、相匹配，但又不局限于系統結構，是系統結構現狀的基礎上對系統架構、應用結構、網絡結構的簡化、優化和規范。

l 保障性能和有效隔離原則

安全域劃分應以不影響或損害業務信息系統的業務功能、性能為首先原則，在保證業務的性能的基礎上對系統進行安全域劃分、進行有效地隔離和安全防護。

l 簡潔并規范原則

安全域劃分的簡潔把握三個方面：一個安全域功能和邊界通信的簡潔，二是安全域之間關系（相連互通或隔離）的間接，三是系統安全域整體結構的簡潔。這就要求安全域不可分的太細，也不可分的太粗，要適度，要保持整體上的簡潔。

同時，安全域的劃分應科學、規范，不僅要方法和過程規范，而且要結果規范。

l 最小影響原則

在安全域設計和劃分時，應做到業務、性能、安全兼顧，要基于系統的現狀并避免對系統的網絡、應用進行大量的改動，最小化對系統的影響。

l 系統性和整體性原則

對于安全域劃分，不僅要關注本系統自身，而且要關注系統地外部環境，采用系統性、整體性的觀點的看待本系統與外部環境。即關注本系統內部的數據流和數據處理活動的安全，又關注系統的外部用戶、公共用戶及跨越系統邊界的數據流和數據處理活動的安全。

安全域的劃分結果應是結構化的，應是有機聯系的一個整體，易于構成縱深的安全防護技術體系，保障系統整體業務的安全。

l 與組織管理架構相適應的原則

安全域的劃分應與信息系統的管理組織架構相適應，原則由一個機構管理的信息系統部分應為一個或幾個安全域。另外，一個安全域應由一個部門來管理，而不應涉及兩個部門。

l 與系統發展相適應的原則

安全域的劃分應考慮到業務未來發展需要，在保持系統安全域模型相對穩定的前提下，能夠順利地進行調整、擴展和提升。

 建設方案

  出口邊界：下一代防火墻

建議在網絡出口部署下一代防火墻，增強邊界防護能力，實現對各種應用的訪問控制，有效保護整個網絡系統。

  DMZ區：WAF應用防火墻

建議在web應用服務器前部署web防護系統，通過串聯部署的方式，有效攔截針對網頁應用的攻擊，從而避免遭受資料泄露和網頁篡改的入侵危害。

 運維區：堡壘機

建議在運維管理區，旁路部署堡壘機，對運維人員的所有操作行為進行控制和審計，有效地避免內網入侵的可能。

  運維區：日志審計系統

建議在運維管理區，旁路部署日志審計系統，對安全設備日志的統一收集以及分析，幫助管理員快速排出定位故障以及攻擊行為。

 安全漏洞掃描

漏洞的危害越來越嚴重，發展的趨勢的形式也是日益嚴峻。歸根結底，就是系統漏洞的存在并被攻擊者惡意利用。軟件由于在設計初期考慮不周導致的漏洞造成的問題仍然沒有得到很好的解決，人們依然用著“亡羊補牢”的方法來度過每一次攻擊，利用漏洞的攻擊成為管理員始終非常關注的問題。

統計表明其中19.4%來自于利用管理配置錯誤，而利用已知的一個系統漏洞入侵成功的占到了15.3%。事實證明，絕大多數的網絡攻擊事件都是利用廠商已經公布的、用戶未及時修補的漏洞。已經公布的漏洞未得到及時的修補和用戶的安全意識有很大的關系，一個漏洞從廠商公布到漏洞被大規模利用之間的時間雖然在逐漸的縮短，但是最短的也有18天之久，18天對于一些安全意識高的用戶來說修補一個安全漏洞應該沒有任何問題。

通過漏洞掃描系統服務，并啟動定時掃描選項，可以方便的發現應用系統中路由器、防火墻、交換機特別是重要服務器的漏洞情況，根據掃描設備提供的解決方法進行漏洞修補，可以有效的解決漏洞帶來的危害。

通過旁路方式在交換機上部署機架式漏洞掃描服務工具對WEB服務器、數據庫服務器以及其他應用服務器定期進行漏洞掃描，可以有效評估各個系統的安全狀況。通過漏洞掃描服務工具，實現第一時間主動對網絡中的資產進行細致深入的漏洞檢測、分析，并提供專業、有效的漏洞防護建議與相關廠商的補丁超鏈接地址。

 安全配置核查

隨著應用內容不斷豐富，網絡規模日益擴大，其生產、業務支撐系統的網絡結構也變得越來越復雜。其中，重要應用和服務器的數量及種類日益增多，一旦發生維護人員誤操作，或者采用一成不變的初始系統設置而忽略了對于安全控制的要求，就可能會極大的影響系統的正常運轉。為了維持WEB應用系統設備安全，必須從入網測試、工程驗收和運行維護等設備全生命周期各個階段加強和落實各項基本安全要求。

不同業務系統安全檢測基準的建立和行之有效的檢測手段是安全管理人員面臨的最為重要和迫切的問題。

安全配置核查是檢查和核實已有設備和應用軟件的安全配置是否達到安全要求的重要手段，是進行基礎安全建設的一個重要方面，也是進行主動安全防御的重要組成部分。

可根據應用安全的實際情況制定《應用通用安全功能和配置規范》，將管理層面、技術層面和運營層面的安全控制措施落實到信息系統的安全配置上，提出明確的典型網絡設備、主機、數據庫、操作系統等的安全配置要求，建立基于業務系統的安全基線。《配置規范》的出臺，采用了統一的安全配置標準來規范技術人員在各類系統上的日常操作，讓運維人員有了檢查默認風險的標桿。

由于應用安全維護人員有限，可根據《配置規范》的要求進行相關自動化安全檢查工具的設計和部署，以便快速、有效的完成檢查，自動生成風險審核報告，識別與安全規范不符合的項目，以達到整改合規的要求。同時自動化安全檢查工具的使用也大大提高檢查結果的準確性和客觀性。

通過《配置規范》的下發以及相關配套工具的應用，使應用的安全運維工作做到有章可循。

 安全加固服務

網絡安全是動態的，需要時刻關注最新漏洞和安全動態，制定更新的安全策略以應付外來入侵和蠕蟲病毒等威脅。針對各臺服務器的漏洞和脆弱性，定期的進行安全加固，可以使系統有效的抵御外來的入侵和蠕蟲病毒的襲擊，使系統可以長期保持在高度可信的狀態。

安全加固是針對進行評估后的主機的漏洞和脆弱性采取的一種有效的安全手段，可以幫助系統抵御外來的入侵和蠕蟲病毒的襲擊，使系統可以長期保持在高度可信的狀態。通常對系統和應用服務的安全加固包括如下方面：

u 安裝最新補丁

u 帳號、口令策略調整

u 網絡與服務加固

u 文件系統權限增強

u 日志審核功能增強

u 安全性增強

常規加固工作流程如下：

 安全培訓服務

根據信息安全技術的發展和不同層面的信息安全人才需求，本方案建議為應用系統相關人員提供如下三類的信息安全培訓課程：

u 信息安全意識培訓：

面向非技術類用戶。目的是通過大量的當前典型安全事件導入，從感性認知層面對目前的信息安全威脅給予直觀、形象的描述，使用戶能對當前的信息安全威脅有一個深刻的認識。同時通過案例介紹的方式對用戶日常工作、生活中經常用到的一些客戶端應用工具、系統的安全威脅進行分析，并闡明具體的防范措施，最終協助建立起適合個人、企業的用戶行為基準。

u 信息安全技術培訓：

面向信息安全技術類用戶，例如系統管理員、安全技術員等。目的是通過培訓讓其在系統及應用層面上了解常見通用操作系統架構以及其安全性，掌握相關系統的安全配置和管理能力；在網絡層面上了解常見的網絡安全協議掌握網絡安全協議以及路由交換常見安全配置；同時通過實驗了解常見的網絡攻擊技術原理，掌握常見的攻擊防護方法。

u 信息安全產品培訓：

通過詳細介紹系列安全產品的工作原理、安裝部署和調參排錯方法，同時結合一些產品實驗加強對產品的了解，使相關人員能靈活利用這些安全產品解決組織的實際安全問題。