? 标准性
遵守国家标准、行业标准以及国际相关的安全标准，是构建系统安全的保障和基础。 ? 可控性
系统安全的任何一个环节都应有很好的可控性，他可以有效的保证系统安全在可以控制的范围，而这一点也是安全的核心。这就要求对安全产品本身的安全性和产品的可客户化。
? 易用性
安全措施要由人来完成，如果措施过于复杂，对人的要求过高，一般人员难以胜任，有可能降低系统的安全性。 4.3.2安全建设策略
通过以上的几个指导原则，我们在实际实施的时候采用如下策略：
? 采用不同的安全产品优势互补。以有效的保证系统在出现安全问题时，能从不
同的侧面有所反映，这样可以更全面的放映系统的安全现状，有利于系统安全的全面性。
? 使用不同等级的安全产品进行集成，在不同的网络环境使用与之相应的等级的
安全产品，可以有效的减少系统投资。
? 在产品选型时，需要厂家可以提供客户化品支持服务产品。只有这样才能保证
系统的安全是可以用户化的，才能有针对的为用户的应用和业务提供安全保证。国内具有自主知识产权的安全产品可以随时根据用户的要求对产品进行相应的改进。使产品更加适合用户的实际需要，而不是一般的通用性产品。 ? 采用可提供本地化服务的厂家的产品。可以提供本地化服务产品对用户的安全
至关重要，可以及时提供应急安全响应服务，如在病毒或黑客入侵事件发生的时候，可以在第一时间进行响应，最大程度的保护用户利益。
? 采用可以提供分级、分布、集中管理控制并可进行互动的产品。由于网络和系
统的复杂性，对相应产品的管理控制提出了更高的要求，不但可以进行集中、分布的管理控制，还能够进行分级的管理控制以适应大规模网络的需要，同时不同安全产品之间应能够进行有效的互动，以提高系统的防御能力。 ? 在选择产品时需要保证符合相应的国际、国内标准，尤其是国内相关的安全标
准。如国内的安全等级标准、漏洞标准，安全标准以及国际的CVE、ISO13335、ISO15408、ISO17799等标准。
? 产品在使用上应具有友好的用户界面，并且可以进行相应的客户化工作，使用
户在管理、使用、维护上尽量简单、直观。
15
? 建立层次化的防护体系和管理体系
4.4安全体系
网络安全防范措施是动态的，它随着新技术的不断发展而发展，它是一个集技术、管理和法规为一体的系统工程。因此对安全问题的解决要有一个整体框架，并体现其动态性，采用动态自适应的安全模型，是控制计算机网络安全问题的有效的手段。
省监狱局电子政务网络系统网络的安全是一个动态的概念。所以必需制定和开发出针对性的一系列安全方案、技术框架和应用工具，并发展成为一种有效的网络安全解决方案——动态安全模型，它能够提供给用户比较完整、合理的安全机制。
省监狱局电子政务网络系统网络的动态安全管理公式概括如下：
省监狱局电子政务网络系统网络安全 =风险分析 + 制订策略 + 系统防护 + 实时监测 + 实时响应 + 恢复
即：网络的安全是一个“AP2DR2”的动态安全公式，如图所示。
恢复风险分析安灾难策全网络安全略实时监测
网络动态安全体系模型系统防护从安全体系的实施的动态性角度，省监狱局电子政务网络系统网络动态安全管理公式的设计充分考虑到了风险评估、安全策略的制定、防御系统、监控与检测、响应与恢复等各个方面，并且考虑到各个部分之间的动态关系与依赖性。
安全需求和风险评估是制定省监狱局电子政务网络系统网络安全策略的依据。风险分析（又称风险评估、风险管理），是指确定网络资产的安全威胁和脆弱性、并估计可
16
实应响时
能由此造成的损失或影响的过程。风险分析有两种基本方法：定性分析和定量分析。我们协助制订业务网络安全策略的时候，是从全局进行考虑，基于风险分析的结果进行决策，建议究竟是加大投入，采取更强有力的保护措施，还是可以容忍一些小的风险存在而不采取措施。因此，我们采取了科学的风险分析方法对省监狱局电子政务网络系统网络的安全进行风险分析，风险分析的结果作为制定安全策略的重要依据之一。
根据安全策略的要求，我们协助选择相应的安全机制和安全技术，实施安全防御系统、进行监控与检测。我们认为省监狱局电子政务网络系统网络安全防御系统必须包括技术和管理两方面，涵盖物理层、系统层、网络层、应用层和管理层各个层面上的诸多风险类。安全防御系统搭建得完善与否，直接决定了省监狱局电子政务网络系统网络网络的安全程度，无论哪个层面上的安全措施不到位，都可能是很大的安全隐患，都有可能造成业务网络中的后门。
响应与恢复系统是保障省监狱局电子政务网络系统网络安全性的重要手段。我们协助采取检测手段，制订紧急事件响应的方法与技术。根据检测和响应的结果，可以发现防御系统中的薄弱环节，或者安全策略中的漏洞，进一步进行风险分析，修改安全策略，根据技术的发展和业务的变化，逐步完善安全策略，加强业务网安全措施。
4.5安全部署
4.5.1安全措施
省监狱局电子政务网络系统网络的安全问题是一个系统工程，我们在制定安全网络策略时尽可能地考虑到网络中的各个方面及网络的拓展性，采用TCP/IP协议进行网络通信的网络，在网络层对计算机通信进行安全保护是业界流行的安全解决办法。遵照上述设计思想及设计原则，通常我们采用以下几项措施：
1、ACL策略控制
在对外路由器上设置过滤规则，形成第一道防护网。使用过滤规则设置功能，作过滤防护，形成省监狱局电子政务网络系统网络与专网和内网之间的第一道防护网；
2、采用VLAN技术。
为了更好的保证省监狱局电子政务网络系统网络的安全，我们应按照用户群组和系统资源的访问权限进行安全划分。在各节点局域网内部可根据各种业务需要或安全级别的不同，使用三层交换机划分 VLAN，从而对不同VLAN中的数据进行保护。
3、防火墙
防火墙是针对网络的周边安全问题的解决手段，网络安全的全面性原则要求在各节点网络的出口处或网络内部不同安全域之间安装防火墙设备
防火墙可以通过包过滤，进行基于地址的粗粒度访问控制，同时，还可以通过口令
17
认证对用户身份进行鉴别，既而实现基于用户的细粒度访问控制。
防火墙在网络入口点检查网络通信，屏蔽非法侵入，其安全作用体现于： ? 有效地防止外来的入侵；
? 控制进出网络的信息流向和信息包； ? 提供使用和流量的日志和审计； ? 隐藏内部IP地址及网络结构的细节。
? 正确地配置和使用防火墙。防火墙功能正确实施的关键是其安全策略的配置和
管理。 4、入侵检测系统
我们采用入侵检测系统，对省监狱局电子政务网络系统网络进行实施监控和核心业务系统服务器的重点保护，从而降低了网络安全风险，防止入侵者的破坏。网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括实时报警、事件登录，或执行用户自定义的安全策略等。
5、网络安全扫描系统
我们采用网络漏洞扫描系统对省监狱局电子政务网络系统网络进行漏洞扫描，他能够测试和评价系统的安全性，并及时发现安全漏洞。
网络漏洞扫描系统就是这一技术的实现，她包括了网络模拟攻击，漏洞检测，报告服务进程，提取对象信息，以及评测风险，提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，最大可能的消除安全隐患。安全扫描系统具有强大的漏洞检测能力和检测效率，贴切用户需求的功能定义，灵活多样的检测方式，详尽的漏洞修补方案和友好的报表系统，为网络管理人员制定与合理安全防护策略提供依据。
6、网络防病毒措施
省监狱局电子政务网络系统网络防病毒措施主要包括技术和管理方面，技术上可进行全方位的防病毒保护，在服务器中安装服务器端防病毒系统，以提供对病毒的检测、清除、免疫和对抗能力，防止病毒在整个网络内部进行扩散。在客户端的主机也应安装单机防病毒软件，将病毒在本地清除而不致于扩散到其他主机或服务器，在邮件服务器上安装邮件防病毒系统。管理上应制定一整套有关的规章制度，如：不许使用来历不明的软件或盗版软件，软盘使用前要首先进行消毒等。只有提高了工作人员的安全意识，并自觉遵守有关规定，才能从根本上防止病毒对网络信息系统的危害。
7、物理隔离措施
省监狱局电子政务网络系统物理隔离主要包括两个部分,首先是单机层面的物理隔离卡,完全阻断内、外网的互访。其次是应用系统的物理隔离，在保证内、外网数据的
18
安全前提下，实现内、外网数据的同步。
8、VPN技术
省监狱局需要通过Internet与外界网络相连，VPN技术将为安全互访提供保证。
4.6安全系统部署
4.6.1防火墙系统部署
我们采用防火墙作为省监狱局电子政务网络系统网络重要的安全设备，防火墙是指设置在不同网络（如可信任的省监狱局电子政务网络系统内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据省监狱局电子政务网络系统网络的安全政策控制（允许、拒绝、监测）出入网络的信息流，防火墙可以确定哪些内部服务允许外部访问，哪些外人被许可访问所允许的内部服务，哪些外部服务可由内部人员访问。并且防火墙本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。主要特点如下： ? 保护脆弱的服务。通过过滤不安全的服务，Firewall可以极大地提高网络安全和减
少子网中主机的风险。例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。
? 控制对系统的访问。Firewall可以提供对系统的访问控制。如允许从外部访问某些
主机，同时禁止访问另外的主机。例如，Firewall允许外部访问特定的Mail Server和Web Server。
? 集中的安全管理。Firewall对企业内部网实现集中的安全管理，在Firewall定义
的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过防火墙的—次认证即可访问内部网。 ? 增强保密性。使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如
Finger和DNS。
? 记录和统计网络利用数据以及非法使用数据。Firewall可以记录和统计通过
Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。
? 策略执行。Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，
网络安全取决于每台主机的用户。
由于省监狱局电子政务网络系统要对外提供服务，因此网络系统必然会直接面临来自外部的攻击威胁。要确保省监狱局电子政务网络系统的对外网上服务的系统平台不被侵入和破坏，首先要在网络的出口处放置一台防火墙来对进出省监狱局电子政务网络系
19