社会综治网格化管理系统设计方案安全管理体系架构图
“总体安全策略”位于信息系统安全管理体系的第一层，是本项目安全管理体系的最高指导策略。它明确了本项目规划设计、开发、建设和运行维护应遵循的总体安全策略，对信息安全技术和管理各方面的安全工作具有通用指导意义。
“安全管理组织框架”位于信息系统安全管理体系的第二层，负责建立本项目安全管理组织框架。它是确保本项目安全稳定运行的管理体系，保证信息系统安全管理活动的有效开展。
“安全管理制度框架”位于信息系统安全管理体系的第三层，分别从安全管理机构及岗位职责、人员安全管理、物理环境管理、信息系统的信息/设备/介质安全管理、系统建设管理、安全运行管理、安全事件处置和应急预案管理等方面提出规范的安全管理要求。
“配置规范、操作规程和记录表单”位于信息系统安全管理体系的第四层，从信息系统日常安全管理活动的执行出发，对主要安全管理活动的配置规范、操作规程、执行各类安全管理活动或操作活动的操作类表单提出具体要求，指导安全管理工作的具体执行。
12社会综治网格化管理系统设计方案3.6.2技术体系设计3.6.2.1物理安全设计
本项目所需要的机房已根据智慧XX智慧城市建设项目中进行建设，在物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、电磁防护方面达到了G3的防护要求。
3.6.2.2网络安全设计
3.6.2.2.1网络结构安全
网络结构的安全是网络安全的前提和集成，本项目合理规划网络、业务重点与业务服务器之间建立安全路径；绘制与当前运行情况相符的网络拓扑结构图；根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的网段或VLAN；保存有重要业务系统及数据的重要网段不能直接与外部系统连接，需要和其他网段隔离，单独划分区域。
网络设备防护
为提高网络设备的自身安全性，保障各种网络应用的正常运行，对本项目的网络设备进行一系列的加固，措施包括：
对登录网络设备的用户进行身份鉴别，用户名唯一；对网络设备的管理员登录地址进行限制；
身份鉴别信息须具有不易被冒用的特点，口令设置需3种以上字符、长度不少于8位，并定期更换；
具有登录失败处理功能，失败后采取结束会话、限制非法登录次数和当网络登录超时自动退出等措施；
启用SSH等安全方式，加密管理数据，杜绝网络窃听。3.6.2.2.2网络通信完整性
本项目所需要服务器、网络、存储资源计划统一使用XX市云计算中心和XX县备份机房的资源。利用本项目服务网络进行数据传输，确保网络通信完整性。3.6.2.2.3边界访问控制
针对本项目边界访问控制，将采取如下措施：
在本项目服务外网网络出口部署防火墙系统产品，可以对所有流经防火墙的
13社会综治网格化管理系统设计方案数据包按照严格的安全规划进行过滤，将所有不安全的或不符合安全规划的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。
本项目服务网络与其他部门网络相连，为了防止来自其他网络的攻击，网络出口处部署抗拒绝服务系统，可有效阻止网络内其他终端的攻击。
在业务服务区部署防火墙系统，对业务数据库设置访问控制策，阻止非法用户访问业务应用服务器。
针对网络内部各区域之间的访问，采用防火墙及VLAN划分进行控制。在核心交换机及业务服务区部署防火墙，设置访问控制列表策略，禁止终端对业务服务器域的直接访问、禁止终端用户对安全管理域的访问。3.6.2.2.4边界入侵检测
在各区域边界，防火墙起到了协议过滤的主要作用，根据安全策略在网络层判断数据包的合法流动，但面对越来越广泛的基于应用层内容的攻击行为，防火墙并不擅长。
在本项目服务网络核心交换机及业务服务器域交换机旁路部署入侵检测设备，利用IDS的动态检测功能，对访问状态进行检测，对通信协议和应用协议进行检测，对内容进行深度的检测，网络出口处部署一台IPS阻断来自外部的数据攻击以及垃圾数据流的泛滥。3.6.2.2.5边界安全审计
传统的防火墙、入侵检测等设备，可以实现对网络的访问控制、异常检测、网络攻击等事件的防范，但不能监控网络各边界内部授权用户的访问，因此需要网络安全审计设备对网络边界的用户访问行为进行监控管理及安全事件取证。
在本项目服务外网业务服务区交换机旁路部署数据库审计系统，网络出口处部署网络审计系统，进行数据监视并记录各类操作，通过审计分析能够发现跨区域的安全威胁，实时地综合分析出网络中发生的安全事件。3.6.2.2.6边界恶意代码防范
完善的安全体系应包含从桌面到服务器、从内部用户到网络边界的全面地解决方案，以抵御来自黑客和病毒的威胁。
在电子政务外网网络边界部署防病毒网关，采用透明接入方式，在最接近病毒发生源安全边界处进行集中防护，对夹杂在网络数据中的各类网络病毒进行过滤，可以对网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行全面的拦截。阻止病毒通过网络快速扩散，将经网络传播
14社会综治网格化管理系统设计方案的病毒阻挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中。3.6.2.2.7非法外联
根据等级保护要求，需要对终端用户的非法外联行为进行检测和控制。对用户非法违规外联行为进行监控审计。
本项目所涉及的外网终端主机非法外联控制，采用主机监控与审计系统，实现违规外联功能，对终端用户的违规外联进行检测和审计。
3.6.2.3主机安全设计
3.6.2.3.1身份鉴别
为提高主机系统安全性，保障各种应用的正常运行，对本项目的主机系统需要进行一系列的加固措施，包括：
对登录操作系统和数据系统的用户进行身份标示和鉴别，且保证用户名的唯一性。
根据基本要求配置用户名/口令，口令采用3种以上字符。长度不少于8位并定期更换。
启用登录失败处理功能，登录失败后采取结束会话。限制非法登录次数和自动退出等措施。
远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。3.6.2.3.2加固措施
针对本项目的主机系统访问控制策略需要进行一系列的加固措施，包括：此次项目服务器及终端进行手动安全加固，加固内容包括：限制默认账户的访问权限，重命名系统默认账户，修改账户的默认口令，删除操作系统和数据库中过期或多余的账户，禁用无用账户或共享账户；根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；启用访问控制功能，依据安全策略控制用户对资源的访问。
在交换机和防火墙上设置不同网段、不同用户对服务器的访问控制权限；关闭操作系统开启的默认共享，对于需开启的共享及共享文件夹设置不同的访问权限，对于操作系统重要文件和目录需设置权限要求。
设置不同的管理员对服务器进行管理，分为系统管理员、安全管理员、安全审计员等以实现操作系统特权用户的权限分离，并对各个账户在其工作范围内设置最小权限，如系统管理员只能对系统进行维护，安全管理员智能进行策略配置
15社会综治网格化管理系统设计方案和安全设置，安全审计员只能维护审计信息等。3.6.2.3.3剩余信息保护
针对本项目的主机系统剩余信息保护将采取如下措施：
针对服务器、终端，定期人工清除主机系统中的残余信息，确保数据不被恶意恢复而造成信息泄露。
定期对文件、文件夹以及磁盘剩余空间做清除。
保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到清除。确保系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到清除。3.6.2.3.4入侵防范
针对本项目的主机系统入侵防范采取如下措施：
操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。
电子政务外网出口处部署网络入侵防御系统，在核心交换机部署网络入侵检测系统；能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；在IDS和IPS上配置安全策略，进行联动，对应用程序进行检测。
在电子政务外网核心交换机旁路部署漏洞扫描系统，定期对电子政务外网网络、服务器、终端进行安全评估，及时发现系统漏洞，定期进行安全加固。
配置IDS入侵检测，核心交换机及业务服务区交换机做端口镜像，利用网络入侵检测系统的多路保护/监听功能，IDS检测端口分别接入智慧XX中心机房核心交换机及业务服务区接入交换机，监听业务服务区网络异常及政务中心网络出口网络异常情况。
3.6.2.3.5主机恶意代码防范
各类恶意代码尤其是病毒、木马等是对本项目的重大危害，病毒在爆发时将使路由器、3层交换机、防火墙等网关设备性能急速下降，并且占用整个网络带宽。
针对病毒的风险，将病毒消灭或封堵在终端这个源头上。在所有终端主机和服务器上部署网络防病毒系统，加强终端主机的病毒防护能力并及时升级恶意代码软件版本以及恶意代码库。
在终端机、服务器部署防病毒工具，安全管理安全域中，部署防病毒服务器，负责制定防病毒策略。在网络边界通过防火墙进行基于通信端口、带宽。连接数
16
社会综治网格化管理系统整体建设方案
