学校信息系统安全技术方案设计.docxVIP

学校信息系统安全技术方案设计 确定保护强度 根据《信息安全技术 信息系统等级保护安全建设技术方案设计规范》，在信息系统进行安全防护系统规划的过程中，必须按照分域、分级的原则进行规划和设计，要划分具体的安全计算环境、安全区域边界、安全通信网络，并根据信息系统的等级来确定不同环节的保护等级，实现分级的保护。 XXX大学信息系统全网为等级保护三级，因此计算环境、区域边界、通信网络以及管理中心严格按照等级保护三级技术要求进行建设，服务和安全保护强度均为三级。 本文借鉴IATF架构和等级保护设计要求对网站的安全解决方案进行描述，分为计算环境，区域边界、通信网络和安全管理中心，在技术措施上根据上述四个方面进行了归类和划分，但并不代表他们之间没有关系，恰恰相反这四部分以管理中心为基础，之间相关管理，互相支撑。比如集中审计，在本方案中，计算环境、区域边界和通信网络都会涉及集中审计，所有的日志收集均有该系统完成，通过管理平台形成一个分布式的审计系统，有管理平台统一管理。 安全域划分与隔离 安全需求 XXX大学校园网承载着为全校师生提供服务的数字XX、邮件、网站等多个业务系统，这些业务系统彼此承载的数据、应用人员分属不同的部门和类别，因此，不同的业务系统具有不同的安全防护需求； XXX大学承载的多个网络区域中，其VLAN划分是根据楼层来定义，需要根据用户所属的职能部门，调整VLAN划分策略，确保跨部门的访问得到有效的控制； XXX大学校园网承载着多个业务系统，这些业务与其他网络区域及业务系统可能存在多个数据交互的边界，需要在这些边界实时统一有效的安全防护策略。 解决方案 根据XXX大学网络与信息系统各节点的网络结构、具体的应用以及安全等级的需求，可以考虑使用逻辑隔离技术（VLAN或防火墙技术）将整个XXX大学的网络系统划分为三个层次的安全域： 第一层次安全域：将整个XXX大学网络信息系统看作是一个大的安全域，包含基础网络、数字XX、XXX大学邮件、门户网站等多个局域网及应用系统； 第二层次安全域：将同安全等级各应用系统从逻辑上和物理上分别划分。设立DMZ区域，一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于学院内部网络和外部网络之间的小网络区域内，在这个小网络区域内放置一些必须公开的服务器设施，如学院的Web服务器、FTP服务器和论坛等。另一方面，通过一个DMZ区域，更加有效地保护了内部网络，增加外部攻击者的攻击难度； 第二层次安全域划分示意图 DMZ区划分示意图 第三层次安全域：主要是各应用系统内部根据应用人群的终端分布、部门等划分子网或子系统；可能包括以下安全区域： 各业务部门安全区：主要根据办公网内各业务部门职能划分VLAN，对过去根据楼层划分的VLAN进行调整，同一职能部门的终端划分为同一VLAN，不同职能部门间VLAN数据交换需要经过三层网络设备或防火墙实施访问控制策略。 建设效果 可以有效制定边界安全策略； 便于安全产品部署，提高网络与信息系统防护能力； 满足未来发展需要，灵活性和扩展性更好； 为将来的集中管理奠定技术基础。 本地备份系统 安全需求 XXX大学重要业务系统的应用无法通过备份软件定期保存，如发信息系统严重的安全事件，可能导致重要信息系统无法及时恢复； XXX大学信息系统未采用数据级备份，如发信息系统严重的安全事件，可能导致重要数据丢失、不可恢复。 解决方案 第一阶段：建设备份存储系统，实现数据级备份 通过备份软件对重要业务系统的数据进行统一数据备份管理，将数据集中备份至虚拟带库。并制定磁带备份策略。从而实现XXX大学的数据级备份。与传统磁带库相比，虚拟磁带库拥有以下优势： 最佳的备份速度和可靠性 VTL 通过将磁盘仿真为行业标准磁带库，提高了现有第三方备份应用软件的速度和可靠性。 VTL 使用光纤通道 (FC) 或 IP ，以极高速度向基于磁盘的虚拟磁带传输数据并从基于磁盘的虚拟磁带复原数据。VTL 通过消除机械手故障和物理磁带介质错误，使得其可靠性达到最优，改善了备份和复原的成功率。 可用性和性能始终是 IT 人士关心的关键问题， VTL 解决方案采用存储控制器感知的 I/O 负载平衡并使用智能存储系统大型数组的透明故障切换和故障回复功能。也可以将两台 VTL 专用管理器配置为双工，将服务的可用性发挥到最大。 降低了备份的设备和管理成本 VTL 的固有能力是可以通过 FC 或 IP SAN 聚集和供应备份资源和虚拟磁带机/带库，在此基础上，这种独特的解决方案根据策略，通过基于 IP 的增量复制选项提供了新一级的集中式管理，其中的复制选项通过 IP 以点对点或多对一的配置复制虚拟磁带。VTL 通过让用户使用回滚或已加载的快照触发整个磁盘或文件恢复，从而显著降低了原来在 IT工作者身上所要消耗的管理费用。VT