门户网站网络安全建设研究
1主机系统及存储备份建设
在电信部门IDC机房部署应用服务器两台及以上、数据库服务器两台（或者四台）分别做双机热备或多机互备,数据库服务器通过光纤交换机与存储系统相连接,为了便于数据同步,在单位部署一台数据上传服务器和电信部门IDC机房部署一台前置数据库服务器,定期将内部需要在外网查询的内容通过数据上传服务器自动传送到外网前置数据库服务器上,在外网前置数据库服务器上进行数据校验和比对后自动同步到网站数据库服务器上,实现内外网数据的及时更新。 2网络通信建设
由于门户网站的所有硬件都托管在电信部门IDC机房,故在网络通信方面完全利用电信部门IDC机房现有的网络通信设备,对外出口带宽至少为两条100MB链路。 3网络安全防护建设
政府类门户网站的安全建设按照计算机信息系统安全等级保护三级技术标准执行。涉及内容包括：数据机房安全、网络通信安全、主机系统安全、应用安全、数据安全几个部分。 3.1防护对象
政府门户网站信息网络大致可分为管理信息区域和信息发布区域,管理信息区域用于支撑该系统与业务相关的内部管理信息应用数据。管理信息区域划分为用于承载内部办公的信息内网和用于支撑对外
业务和互联网用户的信息外网。信息发布区为面向公众的信息平台,用于信息查询、政策导向、公众监督等互联网访问需要。 3.2设计思路
政府类门户网站网络安全防护体系是依据以下策略进行建设：双网双机：管理信息区划分为信息内网和信息外网,内外网间采用物理隔离,信息内外网分别采用独立的服务器,数据进行单向流动,通过人工操作实现,极大地保障了信息数据和内部网络的安全。等级防护：管理信息系统将以实现等级保护为基本出发点进行安全防护体系建设,并参照国家等级保护基本要求进行安全防护措施设计；多层防御：在分域防护的基础上,将各安全域的信息系统划分为边界、网络、主机、应用四个层次进行安全防护设计,以实现层层递进,纵深防御。 3.3防护措施
（1）基于网络安全的访问控制。在网络边界部署访问控制设备,启用访问控制功能；根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级；对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；在会话处于非活跃时间或会话结束后终止网络连接；限制网络最大流量数及网络连接数；重要网段采取技术手段防止地址欺骗；按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户；限制具有拨号访问权限的用户数量。 （2）设备和审计系统结合。对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录包括：事件的日期和
时间、用户、事件类型、事件是否成功及其他与审计相关的信息；能够根据记录数据进行分析,并生成审计报表；对审计记录进行保护,避免受到未预期的删除、修改或覆盖等；实现对应用系统的数据访问与操作进行全面地监控审计,可实时显示和监视操作行为,详细记录所有的操作行为和操作内容,提供审计查询和关联分析,输出完整地审计统计报告。
（3）基于安全事件的防护。能够对非法接入内部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
（4）检测和主动防御的融合。在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时提供报警。
（5）病毒防御机制。在网络边界处对恶意代码进行检测和清除；维护恶意代码库的升级和检测系统的更新。
（6）虚拟接入和防篡改技术。对登录网络设备的用户进行身份鉴别；对网络设备的管理员登录地址进行限制；网络设备用户的标识唯一；当对网络设备进行远程管理时,采取必要措施防止鉴别信息在网络传输过程中被窃听；实现设备特权用户的权限分离。通过主页防篡改系统进一步防止黑客对门户网站设备的入侵。
（7）主机系统防护。主机系统安全防护包括对系统内服务器及存储设备的安全防护。服务器包括业务应用服务器、数据库服务器、WEB
门户网站网络安全建设研究
