纵深防御安全解决方案

编号：KSI-SPEC-00001密级：公开金诺网安咨询报告[文档控制号：][修订日期：2019年12月19日]税务大集中纵深防御安全解决方案版本：1.1编号：KSI-SPEC-00001上海金诺网络安全技术发展股份有限公司2019年12月19日税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第2页，共17页修订历史记录日期版本说明作者2003-8-231.0方案编制金诺网安安全咨询部2004-4-11.1精简方案金诺网安安全咨询部上海金诺网络安全技术发展股份有限公司上海市浦东世纪大道1500号东方大厦4楼，200120电话：[phone]传真：[phone]URL：室电话：[phone]传真：[phone]广州办事处广东省广州市天河北路183号广州大都会广场2908室电话：[phone]传真：[phone]税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第3页，共17页目录1.安全需求分析........................................................................................................................41.1.背景.................................................................................................................................41.2.税务信息系统网络现状................................................................................................41.3.需求分析........................................................................................................................41.3.1.安全风险分析........................................................................................................42.安全解决方案设计................................................................................................................72.1.保护网络与基础设施防御...........................................................................................72.2.保护边界........................................................................................................................72.2.1.入侵检测系统部署方案.......................................................................................92.2.2.漏洞扫描产品部署方案.....................................................................................102.2.3.外联监控产品部署方案.....................................................................................112.3.计算环境的保护..........................................................................................................112.4.KMI/PKI平台.............................................................................................................122.5.安全管理中心..............................................................................................................132.5.1.综合安全管理系统KTSS...................................................................................132.5.2.安全管理登记系统KSIR（安全信息库）.......................................................15税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第4页，共17页1.安全需求分析1.1.背景目前税务信息化正处在应用整合期。“税务信息大集中”是随着税务信息化与业务之间的关系发展而产生的。现在税务部门提出集约化管理，即税款集中征收、人员集中办公、硬件集中建设、信息集中处理、干部集中管理等等。另一方面，“税务信息大集中”是IT技术应用发展的一个趋势。“税务信息大集中”希望发挥原有的信息基础设施和信息资源的作用，针对现实中的不同情况来设计技术上的大集中的不同方案。目前，国家税务总局正在制定规划，提出了“一个平台、两级处理、三个覆盖、四个系统”，两级处理就是指省级与中央一级处理。“税务信息大集中”也是在总局制定的税务信息化总体目标的基础上应运而生的。1.2.税务信息系统网络现状税务信息系统网络呈树状结构，以国家税务总局为网络的一级节点、以省税务局为二级节点、各地市税务局及其下级地县税务局、税务分局为三级节点，组成税务系统信息网。目前的“税务信息大集中”的集中工作重点是各个省级税务信息系统，本方案将以此为基础进行重点论述。省级税务局网络系统是一个覆盖全省的大型广域网络，它包含如下几部分：1.省中心内部局域网2.全省内部广域网3.对外连接边界系统4.与税务内联网完全物理隔离的公共网络1.3.需求分析1.3.1.安全风险分析1.3.1.1.威胁分析国税局信息网面临的安全威胁主要有：内部人员安全威胁被动攻击主动攻击邻近攻击分发攻击税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第5页，共17页1.3.1.2.脆弱性分析1.人的脆弱性人的安全意识和安全培训的薄弱环节；人员安全的薄弱环节；安全管理的薄弱环节；物理安全的薄弱环节；2.安全技术脆弱性操作系统和数据库的安全脆弱性；系统配置的安全脆弱性；访问控制机制的安全脆弱性；3.运行的脆弱性监控系统的脆弱性；入侵检测技术的不完善；响应和恢复措施的不完善。1.3.1.3.安全设计目标根据对国税局信息网分析与风险分析，国税网信息安全设计目标包括以下四个目标：1.3.1.3.1.本地计算安全目的在国税局信息网的各个安全域内部及安全域所提供的应用服务中要实现标识和鉴别、访问控制、机密性、完整性和抗抵赖性安全服务。为满足上述要求应实现下列安全目的：1.确保客户端、服务器和应用得到充分保护以避免拒绝服务、数据非授权泄漏和数据的更改2.无论客户机、服务器或应用位置，都必须确保由其处理的数据的机密性和完整性3.防止未授权使用客户机、服务器或应用的情况4.保障客户端和服务器遵守安全配置指南并安装了所有正确补丁5.为所有客户端和服务器进行配置管理维护以跟踪补丁和系统配置变更6.确保各种应用能在不减少安全的情况下方便地集成7.对于内部和外部的受信任人员与系统从事的违规和攻击活动具有充分的防范能力税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第6页，共17页1.3.1.3.2.边界安全目的要保护国税局信息网的各个安全域边界，以保护其本地计算机环境不受入侵：1.确保物理和逻辑边界得到充分的保护2.服务进行动态控制以响应不断变更的威胁3.确保受保护边界内的系统和网络维持可接受的可用性并得到充分保障以避免拒绝服务入侵4.确保在边界间或通过远程访问进行交换的数据得到保护并免受不适宜的泄漏5.为那些在边界内的由于技术或配置问题而不能保护自己的系统提供边界防御6.提供风险管理方法，有选择地允许重要信息跨边界流动7.针对保护边界内的系统和数据进行保护，使之免受外部系统或攻击的破坏8.为用户从边界外发送和接收信息提供强认证和认证的访问控制1.3.1.3.3.网络和基础设施的安全目的保护省、市、县三级的国税局信息网的网络和基础设施，通过动态路由、MPLSVPN网络、骨干设备和链路的冗余、带宽冗余、QoS保障、综合网管系统以及物理安全来保障整个网络和基础设施的正常运行。1.3.1.3.4.支撑性基础设施安全目的支撑性基础设施为信息技术系统安全提供了支撑性的平台，它为信息技术系统提供了密钥管理、监测和响应功能。1.提供以PKI为基础的密钥管理、证书管理的密码基础设施；并与应用相结合，提供全网的信任机制。2.提供一种能够对入侵和其他违规事件快速进行检测与响应并能够支持操作环境的入侵检测、报告、分析、评估和响应基础设施，并实现综合的安全运行监控管理。税务大集中版本:1.1纵深防御安全解决方案日期:2019-12-19KSI-SPEC-00001公开上海金诺网络安全技术发展股份有限公司,2019第7页，共17页2.安全解决方案设计本解决方案以信息安全保障技术框架为基础，提出其安全建设应当采用“纵深防御”的安全策略，通过“三重保护、两个支撑、一个中心”来实现整体安全。“三重保护”是指保护网络与基础设施、保护边界、保护本地计算环境。“两个支撑”是指KMI/PKI平台、检测与响应平台。“一个中心”是指成立专门的网络安全管理中心，通过技术和管理相结合，有效提高系统安全。2.1.保护网络与基础设施防御链路备份主要是通过采用动态路由，双星型拓扑结构，关键设备和链路的冗余，QoS保障技术等手段来保障网络的高可用性。链路加密通过MPLSVPN技术来实现各个安全域的互联，必要时可以进一步考虑链路加密机等手段进一步提高安全保障的级别。网络设备的配置安全除了要保障通信线路与网络设备的可用性外，对于网络设备的配置和管理也是一个不容忽视的问题。以下行为可能会对网络设备的安全运行带来影响：1.技术人员对网络设备的错误配置2.技术人员对网络设备的误操作3.黑客非法登录网络设备后修改了配置4.未经授权的配置行为5.等必须具备相应的技术和管理手段来解决这些安全风险。如采用审计、加密、访问控制、强化密码管理等。设施和网络资源的监控与管理通过