4 安全解决方案设计
4.1 安全保障体系建设内容
结合济宁职业技术学院信息系统的实际情况和当前所面临的风险，在PDR安全事件模型和花瓶模型的指导思路下，济宁职业技术学院的信息安全建设主要包括网络防护子系统、网络监控子系统、应用审计子系统和安全管理子系统等几个方面。
? 网络防护子系统
网络防护子系统的建设主要由物理防护、网络安全防护和应用的安全防护等几部分组成。安全防护体系建设将以满足要求、方便使用、加强管理为原则。
? 网络监控子系统
网络监控子系统包括脆弱性监控、威胁安全监控和应用监控等几部分。安全监控体系是通过“重点部署，全面监控”，做到对济宁职业技术学院信息系统的
各个层次实时监控，并对各类危险行为在造成危害前进行报警。
网络监控子系统处在安全保障的核心位置，它对上衔接了应用防护子系统，向下为及时审计安全事件提供报警，通过安全监控系统，网络管理人员可以对全网的安全事件整体把控，及时发现、及时响应。
? 应用审计子系统
应用审计子系统主要包括网络行为审计和业务网行为审计，通过安全审计子系统，能够在济宁职业技术学院系统内部形成强大的威慑作用，一方面保证了内部人员日常的上网操作的合规性，另一方面保证了对系统内重要应用和数据库操作的合规性审计，及时发现违规行为进行报警和记录，并进行相应的阻断等响应措施。
? 安全管理子系统
济宁职业技术学院的安全管理子系统包括：安全管理组织、安全管理策略和安全管理制度等。
为了保障济宁职业技术学院信息系统的安全，需要从从组织架构上制定人员管理制度，加强对有关人员的管理，明确人员分工，保证网络安全，从管理上制定严格的设备安全管理制度，与各种技术措施互相配合实现信息系统的安全管理。
4.2 安全域的划分
用安全域方法论为主线来设计，能够从安全的角度来分析业务流可能的安全风险。安全域的概念是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的网络或系统。这些网络或系统具有相同业务要求和安全要求的IT系统要素的集合。这些IT系统要素包括：
? 网络区域 ? 主机和系统 ? 人和组织 ? 物理环境 ? 策略和流程 ? 业务和使命
? … …
因此，如果按照广义安全域来理解，我们不能将安全域的工作仅仅理解为在网络拓扑结构上的工作。
通过划分安全域的方法，将网络系统按照业务流程的不同层面划分为不同的安全域，各个安全域内部又可以根据业务元素对象划分为不同的安全子域。
针对每个安全域或安全子域来标识其中的关键资产，分析所存在的安全隐患和面临的安全风险，然后给出相应的保护措施；
不同的安全子域之间和不同的安全域之间存在着数据流，这时候就需要考虑安全域边界的访问控制、身份验证和审计等安全策略的实施。
4.2.1 安全域划分原则
安全域的理论和方法所遵循的根本原则：
? 业务保障原则：安全域方法的根本目标是能够更好的保障网络上承载的
业务。在保证安全的同时，还要保障业务的正常运行和运行效率。 ? 信息安全服务所强调的核心思想是应该从客户（业务）而不是IT
服务提供方（技术）的角度理解IT 服务需求。也就是说，在提供IT 服务的时候，我们首先应该考虑业务需求，根据业务需求来确定IT 需求，包括安全需求。
? 在安全域划分时会面临有些业务紧密相连，但是根据安全要求（信
息密级要求，访问应用要求等）又要将其划分到不同安全域的矛盾。是将业务按安全域的要求强性划分，还是合并安全域以满足业务要求？必须综合考虑业务隔离的难度和合并安全域的风险（会出现有些资产保护级别不够），从而给出合适的安全域划分。
? 结构简化原则：安全域方法的直接目的和效果是要将整个网络变得更加
简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难。
? 等级保护原则：安全域的划分要做到每个安全域的信息资产价值相近，
具有相同或相近的安全等级、安全环境、安全策略等。
? 立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要
考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应用等层次；同时，在部署安全域防护体系的时候，要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。 生命周期原则：对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。
4.3 网络防护子系统建设
4.3.1 网络防护
4.3.1.1 边界访问控制的防护
目前济宁职业技术学院有独立的数据中心，存储关于学校与学生的相关信息，可能会被攻击者利用其他服务器作为跳板而对内部服务器产生威胁。因此，建议对内部数据中心中的服务器与其他服务器，如计费系统服务器，采取安全措施，使用防火墙进行边界的访问控制，并制定细粒度的访问策略，保护内部服务器的安全。
4.3.1.2 安全域应用
安全域就是将不同安全等级的网络隔离、控制，对信息资源从安全角度进行规划。而在安全域网络内部有相同的安全保护需求，相互信任的子网或区域，采用相同的安全访问控制和边界控制策略，相同的安全域共享一样的安全策略。采用安全域的思想规划网络体系，可以对济宁职业技术学院的网络起到以下作用：
? 更好的利用系统安全措施，发挥安全设备的利用率； ? 便于控制网络安全风险，降低系统风险；
? 安全域的分割式预防出现问题的防护方式：抗渗透； ? 安全域边界时灾难发生时的抑制点，防止影响的扩散；
4.3.1.3 网络恶意代码的防护
部署了终端防病毒系统，能够对恶意代码的防护起到一定的控制作用，但终端防病毒主要是对文件型病毒进行有效检测和防御，无法对网络蠕虫等病毒进行有效查杀，且学院内终端数量较大，流动性强，不便于管理，所以，最有效的方法是在源头有效截断恶意代码的侵入，在济宁职业技术学院与外部接入网的边界位置使用网关型防病毒技术过滤基于网络传输的各种病毒、木马、蠕虫等恶意代码，避免外部接入网络中的恶意代码通过网络途径侵入到信息系统内。
4.4 网络监控子系统建设
4.4.1 脆弱性监控
网络的应用越来越广泛，而网络不可避免的安全问题也就越来越突出，如今，每天都有数十种有关操作系统、网络软件、应用软件的安全漏洞被公布，利用这些漏洞可以很容易的破坏乃至完全的控制系统；另外，由于管理员的疏忽或者技术水平的限制造成的配置漏洞也是广泛存在的，这对于系统的威胁同样很严重。
建议济宁职业技术学院采用漏洞扫描系统定期对内部主机、服务器系统进行脆弱性检查，能够达到以下效果：
? 通过对网络系统中的关键服务器进行漏洞扫描，能够发现由于安全管理
配置不当、疏忽或操作系统本身存在的漏洞（这些漏洞会使系统中的资料容易被网络上的怀有恶意的人窃取，甚至造成系统本身的崩溃），生成详细的可视化报告，同时向管理人员给出相应的解决办法及安全建议。
? 通过对网络系统边界组件、基础组件和其他系统进行漏洞扫描，检查系
统的潜在问题，发现操作系统存在的漏洞和安全隐患。
? 通过对网络及各种系统进行定期或不定期的扫描监测，并向安全管理员
提供系统最新的漏洞报告，使管理员能够随时了解网络系统当前存在的漏洞并及时采取相应的措施进行修补。
? 通过漏洞扫描的结果，能够对系统进行加固和优化。
某职业技术学院信息安全解决方案(DOC 63页)[实用全面资料]
