网络安全考核文档之6:晋城市统计局县级网络安全系统技术文档及实施文档

网络安全系统技术文档

1．概述

县级网络采用星型结构，以晋城市统计局为中心节点，各县区统计局与市局之间建立连接，初期的带宽为2M。系统能够保证市局与各县区统计局之间实现数据传输和共享。

2．网络状况

各县区统计局现有的网络，采用移动公司的传输网络连接。即各县区统计局通过2M的光纤接入市统计局，实现数据网络互通，并且购置了路由器和交换机。主要传输各县区统计局与市局的数据应用业务。

3．各县区统计局网络资源现状

1）内网网络核心路由器为 华为2621

2）各楼层交换机为固定配置二层交换机

3）楼层交换机是堆叠模式

4．网络安全规划

（一）计算机系统安全级别

网络安全从本质上讲就是网络上的信息安全。计算机网络是由一个一个计算机系统节点组成，每个节点影响整个网络安全重要环节。

统计网络系统应保护统计数据和统计信息的安全；对存取数据权限的传播进行控制；确保数据非授权用户无法访问；对用户进行多级授权。

（二）与外网数据交换安全规划

统计网络系统的外网采用一台防火墙作为外网和互联网的隔离设备，通过访问控制实现：只允许互联网用户访问专用数据交换PC平台和浏览统计信息网；对非法用户进行过滤,避免非法用户通过数据交换平台对内网访问。为了防止其它外网用户通过拨号进入内部网络，采用CISCO接入路由器的RFC安全标准，更好的保护了内部的网络。

（三）安全产品选型

网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，同时监视网络运行状态。

　　目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。

　　包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术。包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。但它的缺陷也是明显的,只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入。

　　代理型防火墙也可被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展。代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效。其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。

　　监测型防火墙是新一代的产品, 不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品。它能对各层的数据进行主动的、实时的监测,在对这些数据加以分析的基础上有效地判断出各层中的非法侵入,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。其缺点是实现成本较高,不易管理。所以目前在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙。

考虑到统计网络系统的安全性需求和成本因素，应选用综合性网络防火墙，外网采用包过滤及地址转换为主的防火墙；辅助于监测型技术，以减少成本，提高安全性需求。

网络安全系统实施文档

系统总体建设目标

建立完整、高效、实用、方便的统计业务应用系统, 利用先进的技术实现网际互连, 实现信息的充分共享。同时可安全接入Internet，实现Internet上的统计宣传、发布、等业务处理。

总体设计方案

系统采用全集中处理方式，市局配有2台高性能的路由器作为中心路由器。选用1台主干交换机作中心交换机，通过市移动公司接入Internet,并租用2M专用线路到省计算中心,作为主要的数据交换通道,各县区统计局与市局之间也是通过2M的专线进行数据传输。

各县区统计局配有1台微机服务器作本局的服务器和业务系统备份使用，配备1台主干交换机经路由器接入专网。

系统设备选型

1.主机产品

    选用知名品牌服务器作为主服务器.

 2.网络产品

选择华为公司的网络系列产品。

3.网络系统设计

晋城市统计系统的县级网络建设，将实现以晋城市统计局为网络中心，覆盖6个县区统计局的计算机局域网互连，且通过市局统一的出口与Internet连接。使得统计业务的运行建立在稳定、高效、可靠的信息网络基础之上。

主干网包括晋城市统计局中心局域网、市局与各县区统计局之间的主干广域网络系统。中心局域网采用百兆位到桌面的交换以太网。广域网则选择接入晋城移动公司提供的10M线路。

    4.网络管理中心设计

    为保证网络的正常运行，在晋城市统计局建设一个拥有全系统网络管理的网控中心，使相关的网络管理软件，对全网中的所有设备、网络流量和访问权限进行统一的配置、监控和管理。

    5.网络安全

    由于在城域网上传送的数据有可能被窃听，由市局统一管理出口，使用经国家相关部门认证的产品作为防火墙，使内外部隔离，防止非法访问。