OA系统ISS网络安全“动态威胁防护”解决方案

　　北京中软国际信息技术有限公司

　　项目背景

　　随着信息化程度的不断提高，极大促进了电信事业的发展，但随之而来的却是日益突出的网络信息安全问题。由于网络结构、应用系统、网络应用人群的复杂性相应增加，如何保障网络安全成为不可避免的重大问题。在电信网中，无论是有意的攻击，还是无意的误操作，都将会给信息系统带来不可估量的损失。面对计算机网络中的种种安全威胁，必须采取有力的措施来保证安全。无论是在局域网还是在广域网中，网络的安全措施应是能全方位地杜绝各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。在电信网中，应防患于未然，如待出了安全事故，亡羊补牢，恐怕为时已晚。根据网络安全评估与入侵检测软件的实际测试情况显示，一个没有安全防护措施的大型网络，其安全漏洞可达1000个左右，面临的威胁攻击更是多达2000多种。目前的网络中虽然采用一些安全产品，有一套安全制度，但由于各种客观和主观的原因，仍然存在种种安全上的问题。同时，由于网络的安全状况随着时间变化而变化，因此在进行全网安全规划时，除合理的使用和配置各种网络信息安全软、硬件产品外，相配套的定期评估检测和后续的专业安全服务也越来越受到重视。

　　网络现状

　　XX省移动OA网络，根据信任域可以划分为三段：外部互联网区、服务器区和省公司内部局域网区，对XX移动电信系统的安全保护可分为：对移动网应用服务系统的保护、在网络边界实施保护，以及省局域网的安全防护。本安全方案针对的重点目标是应用服务系统，如Web、DNS、Mail服务器，省中心局域网的安全防护和漏洞评估系统的部署。

　　移动网OA系统应用服务系统是指省中心核心局域网的服务器群，该系统承担着XX省移动的重要服务系统，是安全工作的重点。对核心系统的保护主要应从以下几个方面入手。

　　在进行网络安全规划时，网络自身的安全考虑往往容易被忽视，为入侵者利用。实际上，很多攻击可以通过安全的网络设计和配置加以避免和消除。

　　XX移动内部应用服务系统局域网拓扑如上图所示，Web服务主机、SQLServer服务主机、SMTP以及域服务器是通过多层交换机进行业务隔离，而所有移动公司内网和外网利用防火墙的状态检测功能执行严格的逻辑访问控制策略，实现对数据核心层资源的严格访问控制。

　　省公司局域网与业务服务器之间没有真正的网络边界安全隔离措施，只是通过三层交换机的VLAN功能划分不同网络区域。

　　安全隐患

　　移动公司OA网络中存在以下一些方面的隐患：

　　隐患一：安全防护首先要考虑的就是边界安全问题。在OA系统的边界目前部署的是一台防火墙和路由器，除此之外，由于OA系统没有部署深层安全检测和防护产品，再加上用户在配置这些静态安全防护设备的时候容易出现一些安全漏洞，直接造成外网非法用户甚至黑客利用防火墙开放的公共服务或其他漏洞进入内网对内部主机服务器等系统或利用省中心OA系统内部路由到地市分公司OA系统网络造成威胁。

　　隐患二：网络结构没有考虑到来自内部的攻击风险。在该网络结构中，各种数据库服务器、应用服务器、网管工作站等重要的服务器和主机都是通过交换机直接与各部门的办公子网连接的，内部好奇的员工对这些服务器可以很容易实施攻击。虽然在交换机上可以通过配置提供一些安全保证，但其强度是不足的。现在的黑客攻击工具在网络上泛滥成灾，任何一个稍微具备计算机操作能力的人员都可利用这些工具进行探测攻击。同时，内部员工往往对内网中的一些敏感信息(如财务/邮件等)更感兴趣，更容易发生攻击行为，而且内部攻击成功概率远远高于来自于Internet的攻击，造成的后果也更为严重；省中心局域网与外部OA公共网之间，上面图中右面部分的服务器区与外部OA公共网之间均未部署安全防护产品(防病毒、防蠕虫、内容过滤、防垃圾邮件等功能的产品)，很可能造成省中心局域网用户在接收Internet网邮件，上网访问等对外部访问时造成一些不必要的数据进入局域网内部，也无法限制一些员工利用工作时间对外部与业务无关的Web站点的访问；另外，OA内部的服务器区也有可能会被来自外网之外的其他区域如省中心局域网用户或地市分公司OA系统用户造成潜在的攻击。

　　隐患三：省中心局域网内网安全没有考虑，有可能造成来自内部用户对本局域网内其他的主机资源的窥探，系统破坏等。

　　隐患四：服务器区的服务器群本身没有考虑到主机级的防护，由于这些服务器本身要对外发布各种服务(Web,DNS,Mail,OA)等，因此，一旦网络级安全防护系统有一点疏漏，都可能导致主机系统会被攻克，遭到破坏。

　　隐患五：整个省移动OA系统目前还停留在通过人的经验和手工检测，来判断是否有网络和系统的各种配置漏洞的层面，这种情况容易造成各种网络、系统或应用级漏洞的漏报，而这些漏洞正是导致系统会被攻击的根本原因。

　　隐患六：整个OA办公系统目前用户端PC机只部署了桌面级防病毒软件，但针对当前网络安全威胁混合式攻击的特征(包括蠕虫病毒、木马等)，仅仅是桌面级防病毒软件已经无力进行阻断、拦截这些攻击。

　　另外，移动公司网络安全方面还存在以下一些问题：

　　1. 缺乏动态威胁防护管理中心，不能实时检测网络受攻击情况和网络中存在的漏洞，并集中产生安全趋势报告；

　　2. 缺乏专职安全管理人员，如表现在网络设备、服务器、数据库等账号、口令策略要定期调整，以免系统被不法用户(来自内部或外部)侵占和破坏；

　　3. 安全管理策略与制度需要进一步完善，如存在内部人员私自拨号上网的可能，这样可能导致企业的内部信息外泄，实施旁路攻击等。

　　网络安全需求

　　根据对XX移动网络的全面安全风险分析，可以得出移动网存在如下安全需求：

　　基础网络平台安全需求

　　网络运行的安全需求：网络的整体结构和路由必须进行优化，对有实时性服务要求的网络设备、服务器必须采用UPS不间断稳压电源，且重要服务器和关键网络设备采用双机热备份，采用专用设备对网络线路状况不定期检测，保证整个网络平台的运行安全。

　　操作系统的安全需求：对于操作系统的安全防范可以采取如下策略：尽量采用安全性较高的网络操作系统并进行必要的安全配置、关闭一些不常用却存在安全隐患的应用、对一些关键文件(如UNIX下：/.rhost、etc/host、passwd、shadow、group等)使用权限进行严格限制、加强口令字的使用、及时给系统打补丁、系统内部的相互调用不对外公开。

　　安全管理体制的需求：安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高，行为的约束只能通过严格的管理体制，并利用法律手段来实现。因此必须在各级部门内根据自身的应用与安全需求，制定安全管理制度并严格执行，并通过安全知识及法律常识的培训，加强整体员工的自身安全意识及防范外部入侵的安全技术。

　　外部网安全需求

　　访问控制安全需求：将移动公司网络的主机、服务器与相关管理业务部门网络进行隔离控制，限制外网非法用户服务请求，使非法访问在到达主机前被拒绝；对外网合法用户对内部不同子网访问进行适当的限制；内部不同业务子网访问实行部分开放原则；记录各种进出访问行为。

　　通信保密需求：一些重要通信要通过公网进行信息传输，存在信息被窃取、篡改、伪造、删除的危险，必须加强传输中的信息加密，而且因领导、单位、部门相应的职权范围不同，因此要按密级要求建立相应的身份认证、密钥和密码的管理、密文信息传输系统，保障机密信息不被无关人员窃取。

　　入侵检测与防护的安全需求：仅在访问控制上做一些设置是远远不够，因为它是静态和被动的，而网络安全是动态的、整体的，黑客的攻击方法有无数，不可能完全防止这些有意或无意的攻击。必须配备入侵检测与防护系统，对外网的攻击进行检测并做相应动作(记录、报警、阻断)。

　　安全评估需求：网络系统存在安全漏洞(如安全配置不严密等)、操作系统安全漏洞等是黑客等入侵者攻击屡屡得手的重要因素。因此必需配备网络安全扫描系统和系统安全扫描系统检测网络中存在的安全漏洞，对扫描结果进行分析审计，并采取相应的措施填补系统漏洞，对网络设备等存在的不安全配置重新进行安全配置。

　　数据保护安全需求：移动公司网络的应用服务器系统多、应用复杂，对服务器的数据保护成为首要问题，防止病毒侵袭、服务器数据的篡改、机密信息的泄露成为数据安全的三大需求。

　　内部网的安全需求

　　关键服务器的安全保护需求：在移动公司网络内存在着各种应用的关键服务器，因此在关键服务器的保护是非常重要的，建议在关键服务器的保护上应具有严格的主机安全审计和服务器入侵保护。

　　公开服务器安全需求：移动公司网络中心有专用对内外发布相关业务信息的公开服务器，直接面向互联网提供咨询服务，尤其是对外应用较多的WEB\MAIL\DNS服务器，因而对服务器的保护是非常必要的。

　　数据库的安全：移动公司网络中心的数据库存放了各种信息业务的大量数据，对数据库系统的安全防范和数据的安全存放以及备份恢复是数据库安全需要重点考虑的问题。

　　内外网及子网访问控制:不同应用域应按照安全级别对相互间的访问实施授权控制,保证重点用户和子网对资源的合法访问请求,杜绝非法用户对资源的占用。