FY边界接入平台解决方案.doc

XXX高级人民法院
安全边界接入平台解决方案
北京网御星云信息技术有限公司
2016年5月
目录
1. 概述 2
2. 需求分析 2
业务需求分析 2
安全需求分析 3
接入终端需求 3
网络安全需求 3
主机安全需求 4
应用安全需求 4
数据安全需求 5
3. 设计依据 5
4. 安全边界接入平台总体设计 5
总体架构设计 5
路由接入区 6
边界保护区 6
应用服务区 6
安全隔离区 7
总体建设方案设计 9
互联网接入对象设计 9
外部专网(党政军机关)接入对象设计 14
外部专网(企事业单位接入)对象设计 20
其他对象设计 27
移动专网接入对象设计 33
5. 设备配置清单 38
互联网接入对象清单 38
外部专网(企事业单位)接入对象清单 41
其他接入对象清单 42
移动专网接入对象清单 43
概述
随着法院信息化建设的不断深入开展,法院对外交换和共享信息的接入业务需求日益强烈。结合XXX人民法院信息化建设现状和发展需要,减少重复投资,主要在XXX人民法院建设一个安全边界接入平台,实现各类业务的安全接入与信息交换,并对边界接入业务进行管理。
法院信息化资源不但要服务于法院机关本身,还必须为整个社会提供及时有效的信息服务,与其他政府机关、社会单位实现安全、有效的信息共享。为解决目前法院专网边界接入的安全问题,确保法院信息网的边界安全,实现法院法院专网与其他网络的安全、有效的数据交换。
需求分析
业务需求分析
XXX人民法院为了全面的开展审判业务,法院专网需要与互联网接入对象、企事业单位接入对象、政法部门接入对象等之间开展数据交换,实现信息共享与数据安全交换:
互联网接入对象:主要实现对互联网数据的采集和对外发布安全数据传输(如:网站、文书发布系统、案件查询系统等)。
外部专网(党政军机关)接入对象:主要实现与公安部门、检察院、司法等部门的业务安全数据交换。
外部专网(企事业单位接入)对象:主要与工商、银行和民政部门实现业务安全数据交换
移动专网接入对象:主要与移动专网实现法院内部人员移动办公业务数据交换。
其他接入对象:主要与互联网采用强隔离的网络之间业务的数据交换(如电子政务外网)。
安全需求分析
接入终端需求
由于平台接入用户类型多,场所物理环境不安全,人员复杂,所以终端安全的风险较大;接入终端存在非法使用、非授权访问,甚至存在伪造终端接入,并有可能发展为木马、病毒的传播来源。
必须进行设备认证,未通过认证的设备必须阻断。
必须进行用户身份认证,推荐采用数字证书等高强度身份认证方式。
网络安全需求
访问控制:要求实现基于白名单的细粒度访问控制。可对进出网络的信息内容进行过滤,实现对应用层 HTTP、FTP、、SMTP、POP3等协议命令级的控制;控制细粒度为端口级,并根据会话状态信息为数据流提供明确的允许或拒绝访问处理,可将会话处于非活跃一定时间或会话结束后终止网络连接,并通过限制网络最大流量数及网络连接数以提升安全等访问控制能力。
安全审计:应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;应根据记录数据进行分析,并生成审计报表,增加可读性;审计记录需要经管理员认证后方可删除、修改或覆盖;审计日志应报送到集中监控管理系统。
入侵防范:求进行入侵防范,能检测攻击,并切断攻击源连接和告警。能防范对应用服务区WEB服务的脚本攻击、SQL注入攻击、网站挂马攻击等,一旦发生攻击,主动切段攻击源,并进行实时报警。
恶意代码防范:要求实现恶意代码防范,在网络边界处对恶意代码进行检测和清除,定期升级、更新。
网络设备防护:要求对网络设备、安全设备的配置管理进行保护。应对登录网络设备的用户进行身份鉴别,可对管理员登录地址进行限制。
链路加密:在网络传输过程中,外部终端与接入平台间通信内容必须实现机密性保护,防止数据篡改和伪造。
主机安全需求
身份鉴别:要求实现安全用户认证,采用数字证书认证和安全的用户鉴别协议。对访问接入平台的各类主机,在操作系统层面进行设置,要求进行强身份认证方可登录操作系统或相应的数据库系统,强制要求口令具有足够的复杂度并要求定期更换;并限制登录次数,多次输入错误锁定系统,远程管理上,有限制采用安全的ssh登录,,最大限度保证其安全性。
访问控制:实施严格的安全