不少政府部門(mén)存在互聯(lián)網(wǎng)接入口數(shù)量多、管理制度不健全、防護(hù)措施不到位和涉密信息違規(guī)處理等問(wèn)題，網(wǎng)絡(luò)安全隱患十分突出。應(yīng)積極推進(jìn)互聯(lián)網(wǎng)安全接入工作，縮減互聯(lián)網(wǎng)接入口，加強(qiáng)互聯(lián)網(wǎng)安全接入技術(shù)防護(hù)，強(qiáng)化互聯(lián)網(wǎng)安全接入口管理，提高政府部門(mén)網(wǎng)絡(luò)安全保障能力和水平。
一、整體框架
以政府部門(mén)為對(duì)象，互聯(lián)網(wǎng)安全接入整體框架主要包括政府部門(mén)網(wǎng)絡(luò)、互聯(lián)網(wǎng)安全接入口、互聯(lián)網(wǎng)接入服務(wù)商網(wǎng)絡(luò)以及互聯(lián)網(wǎng)等四部分。
1、政府部門(mén)網(wǎng)絡(luò)包括各政府部門(mén)內(nèi)部機(jī)構(gòu)的上網(wǎng)終端、聯(lián)網(wǎng)信息系統(tǒng)及構(gòu)成網(wǎng)絡(luò)的相關(guān)網(wǎng)絡(luò)設(shè)施。
2、互聯(lián)網(wǎng)安全接入口是與互聯(lián)網(wǎng)連接的政府部門(mén)網(wǎng)絡(luò)與互聯(lián)網(wǎng)實(shí)現(xiàn)網(wǎng)絡(luò)接入、提供安全防護(hù)、進(jìn)行安全管理、流量匯聚的系統(tǒng)，由網(wǎng)絡(luò)接入、安全防護(hù)、安全管理及流量匯聚等功能模塊構(gòu)成。
——流量匯聚是指對(duì)政府部門(mén)網(wǎng)絡(luò)進(jìn)行結(jié)構(gòu)調(diào)整、線路整合與流量歸并。
——安全防護(hù)是指部署安全監(jiān)測(cè)、攻擊防范等安全產(chǎn)品/系統(tǒng)，為政府部門(mén)網(wǎng)絡(luò)提供惡意代碼防護(hù)、入侵檢測(cè)與防御等功能。
——網(wǎng)絡(luò)接入是指互聯(lián)網(wǎng)安全接入口通過(guò)交換、路由和負(fù)載均衡等設(shè)備，經(jīng)互聯(lián)網(wǎng)接入鏈路實(shí)現(xiàn)與互聯(lián)網(wǎng)服務(wù)提供商網(wǎng)絡(luò)的物理連接。
——安全管理是指通過(guò)收集網(wǎng)絡(luò)安全事件和數(shù)據(jù)，實(shí)現(xiàn)日志留存、事件處置、威脅預(yù)警及信息交互等功能，對(duì)互聯(lián)網(wǎng)安全接入口進(jìn)行有效管理。
3、互聯(lián)網(wǎng)接入服務(wù)商網(wǎng)絡(luò)是指互聯(lián)網(wǎng)接入服務(wù)商為政府部門(mén)提供互聯(lián)網(wǎng)接入服務(wù)的網(wǎng)絡(luò)。
4、互聯(lián)網(wǎng)是指公共互聯(lián)網(wǎng)絡(luò)。
二、主要做法
（一）縮減互聯(lián)網(wǎng)接入口
應(yīng)綜合考慮互聯(lián)網(wǎng)接入應(yīng)用需求、安全要求以及接入服務(wù)提供商的服務(wù)能力和質(zhì)量等因素，詳細(xì)統(tǒng)計(jì)部門(mén)內(nèi)部上網(wǎng)終端、信息系統(tǒng)等相關(guān)情況，合理進(jìn)行規(guī)劃，按照互聯(lián)網(wǎng)安全接入模型整合歸并互聯(lián)網(wǎng)接入口，對(duì)互聯(lián)網(wǎng)流量進(jìn)行集中匯聚。
各部門(mén)可根據(jù)現(xiàn)有互聯(lián)網(wǎng)的連接情況，選擇以下接入基本方案：
1、辦公區(qū)域集中的情況
對(duì)于內(nèi)設(shè)機(jī)構(gòu)位于同一樓宇或同一園區(qū)內(nèi)的部門(mén)，可直接設(shè)立1-2個(gè)互聯(lián)網(wǎng)安全接入口。
2、辦公區(qū)域分散的情況
對(duì)于內(nèi)設(shè)機(jī)構(gòu)位于不同地理位置的部門(mén)，可使用以下三種模式實(shí)現(xiàn)網(wǎng)絡(luò)匯聚，再統(tǒng)一設(shè)置1-2個(gè)互聯(lián)網(wǎng)安全接入口。
（1）專線接入模式：通過(guò)自設(shè)專線或租用互聯(lián)網(wǎng)服務(wù)提供商的專線，對(duì)內(nèi)設(shè)機(jī)構(gòu)網(wǎng)絡(luò)流量進(jìn)行匯聚。
（2）虛擬專網(wǎng)（VPN）接入模式：在部門(mén)網(wǎng)絡(luò)邊界設(shè)置虛擬專網(wǎng)（VPN）接入服務(wù)器，異地上網(wǎng)終端、信息系統(tǒng)通過(guò)VPN協(xié)議接入互聯(lián)網(wǎng)安全接入口，實(shí)現(xiàn)流量匯聚。
（3）路由調(diào)整接入模式：部門(mén)可協(xié)調(diào)互聯(lián)網(wǎng)服務(wù)提供商，通過(guò)路由調(diào)整的方式，將各內(nèi)設(shè)機(jī)構(gòu)的網(wǎng)絡(luò)流量匯聚到互聯(lián)網(wǎng)安全接入口。
（二）加強(qiáng)互聯(lián)網(wǎng)安全接入口技術(shù)防護(hù)
應(yīng)根據(jù)互聯(lián)網(wǎng)接入安全防護(hù)特點(diǎn)，按照國(guó)家信息安全相關(guān)標(biāo)準(zhǔn)規(guī)范，對(duì)整合歸并后的互聯(lián)網(wǎng)安全接入口防護(hù)措施進(jìn)行完善優(yōu)化。實(shí)施統(tǒng)一安全防護(hù)策略，強(qiáng)化身份認(rèn)證、訪問(wèn)控制、入侵防范、安全審計(jì)、流量監(jiān)測(cè)、惡意代碼防護(hù)等技術(shù)手段，采取鏈路冗余、路由備份、負(fù)載均衡等方式完善災(zāi)難備份與恢復(fù)措施，提高防病毒、防攻擊、防篡改、防癱瘓和防竊密能力，確保網(wǎng)絡(luò)與信息系統(tǒng)安全可靠運(yùn)行。
1、提供身份認(rèn)證
構(gòu)建支持多種認(rèn)證模式、可擴(kuò)展的統(tǒng)一認(rèn)證平臺(tái)，提供動(dòng)態(tài)令牌、短信口令等高強(qiáng)度身份鑒別功能，并且具備進(jìn)一步拓展能力。統(tǒng)一認(rèn)證平臺(tái)能夠提供統(tǒng)一用戶管理能力，可為多個(gè)信息系統(tǒng)提供統(tǒng)一身份認(rèn)證服務(wù)。
2、建立訪問(wèn)控制
部署訪問(wèn)控制系統(tǒng)，通過(guò)授權(quán)管理，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)與信息資源使用者權(quán)限的控制，達(dá)到對(duì)資源安全、合法訪問(wèn)的目的。對(duì)網(wǎng)絡(luò)設(shè)備（包括路由器、交換機(jī)、防火墻等）進(jìn)行訪問(wèn)控制加固，實(shí)現(xiàn)互聯(lián)網(wǎng)和部門(mén)外網(wǎng)之間的訪問(wèn)控制，能在會(huì)話非活躍時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接，能根據(jù)用戶名為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)，能實(shí)時(shí)查看用戶的詳細(xì)信息（在線流量、最新速率、會(huì)話數(shù)、上線時(shí)間等信息），限制互聯(lián)網(wǎng)各類應(yīng)用最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)，能對(duì)主流應(yīng)用協(xié)議進(jìn)行識(shí)別（包括但不限于HTTP、FTP、TELNET等），并可根據(jù)應(yīng)用類型、應(yīng)用內(nèi)容進(jìn)行細(xì)粒度控制，按最小安全訪問(wèn)原則設(shè)置網(wǎng)絡(luò)設(shè)備的訪問(wèn)制度權(quán)限。
3、加強(qiáng)出入口流量監(jiān)測(cè)
部署流量監(jiān)測(cè)系統(tǒng)，監(jiān)控部門(mén)網(wǎng)絡(luò)總流量、子網(wǎng)流量、每個(gè)IP流量，能夠通過(guò)IP地址、網(wǎng)絡(luò)服務(wù)、應(yīng)用類型、時(shí)間和協(xié)議類型等單個(gè)或多個(gè)參數(shù)，實(shí)時(shí)監(jiān)測(cè)和分析政府部門(mén)網(wǎng)絡(luò)流量，發(fā)現(xiàn)流量異常事件，如：流量激增、聚降、波動(dòng)、拒絕服務(wù)攻擊，以及被與惡意服務(wù)器有可疑連接等。
部署互聯(lián)網(wǎng)控制網(wǎng)關(guān)，通過(guò)對(duì)互聯(lián)網(wǎng)訪問(wèn)數(shù)據(jù)的識(shí)別、管理和分析，提供網(wǎng)關(guān)級(jí)的數(shù)據(jù)過(guò)濾和檢查，保證網(wǎng)絡(luò)訪問(wèn)的合理分配，降低泄密風(fēng)險(xiǎn)，解決互聯(lián)網(wǎng)訪問(wèn)缺乏合規(guī)準(zhǔn)入、網(wǎng)頁(yè)過(guò)濾、應(yīng)用控制、信息保密檢查與留存審計(jì)等安全控制問(wèn)題。
4、部署入侵防范設(shè)備
部署入侵防御系統(tǒng)，提供掃描攻擊檢測(cè)、緩沖區(qū)逸出攻擊檢測(cè)、后門(mén)木馬攻擊檢測(cè)、拒絕服務(wù)攻擊檢測(cè)、針對(duì)IDS躲避攻擊事件檢測(cè)等功能，實(shí)現(xiàn)對(duì)互聯(lián)網(wǎng)攻擊行為的檢測(cè)和阻斷。
部署入侵檢測(cè)系統(tǒng)，對(duì)門(mén)戶網(wǎng)站、郵件系統(tǒng)等核心應(yīng)用系統(tǒng)提供入侵防范能力。
部署防DDOS攻擊網(wǎng)關(guān)系統(tǒng)，通過(guò)對(duì)異常流量進(jìn)行分析和處置，對(duì)不同網(wǎng)絡(luò)節(jié)點(diǎn)的流量進(jìn)行實(shí)時(shí)關(guān)聯(lián)分析。在定位異常流量發(fā)源地后，對(duì)異常流量完成牽引和過(guò)濾，從而快速消除異常流量造成的危害。
5、惡意代碼防護(hù)
通過(guò)建設(shè)防病毒網(wǎng)關(guān)、終端防病毒系統(tǒng)、服務(wù)器防病毒系統(tǒng)，搭建統(tǒng)一的防病毒策略管理系統(tǒng)，從而建立全面惡意代碼防護(hù)體系。其中：部署防病毒策略管理系統(tǒng)，從而為全網(wǎng)惡意代碼防護(hù)設(shè)備提供統(tǒng)一的策略管理和病毒包升級(jí)服務(wù)；在互聯(lián)網(wǎng)邊界部署防病毒網(wǎng)關(guān)，對(duì)進(jìn)出局域網(wǎng)的主要網(wǎng)絡(luò)協(xié)議數(shù)據(jù)進(jìn)行病毒掃描，把病毒攔截在局域網(wǎng)外部；在用戶終端部署終端防病毒系統(tǒng)，對(duì)終端面臨的木馬、病毒、蠕蟲(chóng)等惡意代碼進(jìn)行查殺；部署服務(wù)器防病毒系統(tǒng)，對(duì)服務(wù)器端面臨的木馬、病毒、蠕蟲(chóng)等惡意代碼進(jìn)行查殺。
6、定期進(jìn)行漏洞掃描
部署漏洞掃描系統(tǒng)，定期對(duì)政府部門(mén)網(wǎng)絡(luò)內(nèi)部的上網(wǎng)終端、信息系統(tǒng)等進(jìn)行掃描，及時(shí)發(fā)現(xiàn)安全漏洞并通知修復(fù)。
7、開(kāi)展安全審計(jì)
部署安全審計(jì)系統(tǒng)，對(duì)網(wǎng)絡(luò)連接、系統(tǒng)日志、系統(tǒng)流量、資源訪問(wèn)等進(jìn)行記錄和監(jiān)控，建立有效的信息安全事件實(shí)時(shí)追蹤機(jī)制。
（三）強(qiáng)化互聯(lián)網(wǎng)安全接入口管理
應(yīng)結(jié)合工作實(shí)際，從建設(shè)、使用、維護(hù)、安全和應(yīng)急管理等方面建立互聯(lián)網(wǎng)接入制度體系，促進(jìn)互聯(lián)網(wǎng)安全接入工作順利開(kāi)展。
同時(shí)，應(yīng)建立包括資產(chǎn)管理、日志收集與分析、風(fēng)險(xiǎn)評(píng)估、信息系統(tǒng)安全檢查、安全運(yùn)維等內(nèi)容在內(nèi)的統(tǒng)一安全管理平臺(tái)，對(duì)系統(tǒng)中發(fā)生的安全事件進(jìn)行合理分析和處置，有效地開(kāi)展風(fēng)險(xiǎn)評(píng)估和信息系統(tǒng)安全監(jiān)察工作。包括以下四個(gè)方面：
1、統(tǒng)一事件管理系統(tǒng)
為系統(tǒng)中所有的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、電子政務(wù)系統(tǒng)提供了統(tǒng)一的日志收集與管理分析平臺(tái)，實(shí)現(xiàn)了從網(wǎng)絡(luò)到設(shè)備直至應(yīng)用系統(tǒng)的監(jiān)控。在對(duì)日志信息集中收集、關(guān)聯(lián)分析的基礎(chǔ)上，有效地實(shí)現(xiàn)了全網(wǎng)的安全預(yù)警、入侵行為的實(shí)時(shí)發(fā)現(xiàn)和入侵事件動(dòng)態(tài)響應(yīng)。
2、安全運(yùn)維系統(tǒng)
實(shí)現(xiàn)對(duì)系統(tǒng)中軟硬件設(shè)備和電子政務(wù)系統(tǒng)的資產(chǎn)管理；實(shí)時(shí)監(jiān)控主機(jī)系統(tǒng)、安全設(shè)備、網(wǎng)絡(luò)設(shè)備、中間件和數(shù)據(jù)庫(kù)等重要指標(biāo)，并根據(jù)策略進(jìn)行報(bào)警；與統(tǒng)一事件管理平臺(tái)對(duì)接，根據(jù)策略生成安全維護(hù)工作流。
3、風(fēng)險(xiǎn)評(píng)估與預(yù)警系統(tǒng)
風(fēng)險(xiǎn)評(píng)估過(guò)程符合《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/T 20984-2007）的標(biāo)準(zhǔn)要求，粒度應(yīng)在IP級(jí)以下；能夠從統(tǒng)一事件管理平臺(tái)中歸類出威脅類型和威脅值；能夠從安全運(yùn)維平臺(tái)中獲取資產(chǎn)類型和資產(chǎn)值；支持手動(dòng)導(dǎo)入威脅、資產(chǎn)和脆弱性；能夠形成態(tài)勢(shì)分析和多維度報(bào)表及展示。支持政府信息系統(tǒng)安全檢查等相關(guān)要求。
4、頁(yè)面異常監(jiān)控平臺(tái)
支持實(shí)時(shí)監(jiān)測(cè)網(wǎng)站是否存在服務(wù)中斷、掛馬、惡意篡改特定敏感詞等情況，并生成詳細(xì)分析報(bào)告；支持通過(guò)瀏覽器、源代碼、文本和更改報(bào)告等多種技術(shù)，對(duì)網(wǎng)站檢測(cè)內(nèi)容進(jìn)行分析，并將更改內(nèi)容進(jìn)行高亮標(biāo)注；支持隨時(shí)對(duì)網(wǎng)站歷史報(bào)警進(jìn)行分析；支持根據(jù)網(wǎng)站地址、網(wǎng)站類型、報(bào)警類型、時(shí)間等進(jìn)行歷史報(bào)警查詢與分析；支持掛馬檢測(cè)深度配置；支持黑白名單配置。
三、應(yīng)用案例
包括在互聯(lián)網(wǎng)安全接入工程實(shí)施前的網(wǎng)絡(luò)現(xiàn)狀分析、互聯(lián)網(wǎng)安全接入管理的目標(biāo)描述、互聯(lián)網(wǎng)安全接入的總體架構(gòu)以及在管理和技術(shù)方面采取的安全措施。
— —
內(nèi)容來(lái)源：
《政府部門(mén)網(wǎng)絡(luò)安全解決方案指引》
用中國(guó)的科技解決世界的網(wǎng)絡(luò)安全問(wèn)題
聯(lián)系客服
