建站
咨詢
售后
建站咨詢
新聞中心
成都創(chuàng)新互聯公司長期為上千客戶提供的網站建設服務，團隊從業(yè)經驗10年，關注不同地域、不同群體，并針對不同對象提供差異化的產品和服務；打造開放共贏平臺，與合作伙伴共同營造健康的互聯網生態(tài)環(huán)境。為東港企業(yè)提供專業(yè)的網站建設、網站設計，東港網站改版等技術服務。擁有十余年豐富建站經驗和眾多成功案例,為您定制開發(fā)。
【.com 綜合消息】
系統(tǒng)現狀及安全需求
隨著金財工程的逐步深入、拓展，財政信息系統(tǒng)正變得愈加復雜化，無論是網絡結構、應用系統(tǒng)規(guī)模、還是覆蓋地域、終端類型與規(guī)模都發(fā)生了迅猛增長。在財政系統(tǒng)中，財政業(yè)務應用管理系統(tǒng)對于專項資金的劃撥是重點業(yè)務
一，如下圖所示：
| 圖1 |
圖1-1 財政業(yè)務應用管理系統(tǒng)結構示意圖
專項資金是對特定項目的財政撥款，不可挪用、延期，要求加強專項資金的重點監(jiān)控，因此，對于專項資金的監(jiān)管也是財政系統(tǒng)建設中重點建設之一。
在財政網絡和應用系統(tǒng)的發(fā)展的同時，安全建設也必須同步建設，在滿足安全接入需求時，將面臨著許多新的問題，整合的要點多、難度大：
終端多，分布廣，管理跨度大
傳輸安全
網絡邊界日益模糊，防護難度劇增
攻擊與入侵的手段越來越多樣、越來越混雜在應用中
網絡攻擊借“身”入侵
合法訪問方式被利用
操作水準的差異
綜合上述分析可知，接入終端分布廣，并且橫向接入終端不可控，在這種情況下，新的安全問題日益凸顯的局面下，要做到安全接入，就不能僅僅保證接入認證時的身份和狀態(tài)安全，還應當確保接入后的訪問過程中行為可控，全面防范各種攻擊行為，即從接入發(fā)起開始，一直到整個網絡訪問完成的全過程安全和可控。針對這一總體要求，我們需要滿足和整合多種安全技術。
技術思路
天融信將基于以策略為核心，形成一套覆蓋全面，可靠穩(wěn)定的安全保障體系，全面提升用戶的安全保障能力，更好地支撐業(yè)務的開展；通過可互聯互通的技術整合，形成縱深的防護能力，有效地規(guī)避用戶信息網絡運行中面臨的各類安全問題；通過TopPolicy安全設備與策略管理系統(tǒng)，做到策略的集中下發(fā)或對終端、網絡設備的策略監(jiān)控，以及安全事件的集中分析，與縱深防護系統(tǒng)配合，形成動態(tài)的監(jiān)控能力；結合管理制度，依托互聯互通的安全防護系統(tǒng)以及以策略為核心的策略管理系統(tǒng)，從 “接入通道安全”、“接入者身份可控”、“接入時狀態(tài)可控”、“接入中行為可控”、 “接入中內容可控”、“接入全程全面審計”和“接入綜合安全管理”等七個層面構建以策略為核心的安全接入的立體防御體系。為用戶提供有效的安全運維保障。
解決方案設計
根據財預[2009]78號《關于推進省直接管理縣財政改革的意見》要求：
1) 實行省直接管理縣財政改革，就是在政府間收支劃分、轉移支付、資金往來、預決算、年終結算等方面，省財政與市、縣財政直接聯系，開展相關業(yè)務工作。
2) 要加強財政管理信息化建設，構建省級與市、縣的財政信息化網絡，提高工作效率。
所以我們的方案設計要符合省管縣的要求。部署示意圖如下：
| 圖2 |
圖2 安全系統(tǒng)部署示意圖
目前就XX省財政，網絡為省-市-縣-鄉(xiāng)，四級網絡，從財政政策要求來講，必須實現省管縣，所以想要的安全建設也必須符合此要求，在安全管理上有省中心直接管理縣級設備。部署情況如下：
1) 在縣財政與Internet邊界部署防火墻，并開啟VPN模塊和病毒模塊；
2) 鄉(xiāng)級網絡的縱向、橫向終端安全VRC和TD客戶端，并配發(fā)USB-Key；
3) 省財政部署一級TP、一級TD管理中心，負責全局策略下發(fā)和運維監(jiān)控；
4) 縣財政部署二級TP、二級TD管理中心，接收省級策略并下發(fā)到縣級邊界安全設備及鄉(xiāng)級終端。
整合多種安全技術管理策略，提升管理效率
1. 統(tǒng)一定制、強制執(zhí)行的安全策略管理
策略管理平臺和TD管理中心提供了強大的策略定制機制。管理員根據財政網絡特點，通過管理中心有效地實施全局網絡配置和安全管理、監(jiān)控策略，并且可以以組的形式進行整體管理，實現了真正的統(tǒng)一安全策略。管理員可以靈活的創(chuàng)建不同的安全策略，在不同類型的終端、設備可以應用不同的安全策略，同時提供對安全策略的應用情況進行跟蹤和審計，為整個系統(tǒng)提供了靈活的、彈性的安全機制。
2. 策略的有序可控管理
集中定義防火墻和VPN的策略，批量分發(fā)到應用的設備，這樣的機制保障了財政網絡管理的效率，大大減少了管理員的工作負荷。同時利用策略管理平臺提供配置監(jiān)控功能，進行全局性監(jiān)控，使集中分發(fā)的策略能夠保障在設備上持續(xù)運行，一旦有人私自篡改配置，策略管理平臺將實時反饋出報警信息，提醒管理員。
3. 多視角的可視化管理
策略管理能通過拓撲圖等多種方式，展現財政系統(tǒng)對設備、隧道等進行各種管理，圖形化的添加設備和安全域，建立設備間的隧道，實現對設備性能信息的監(jiān)視，包括CPU信息、內存信息、接口信息和連接信息等。特別是提供了對于啟用VPN功能的防火墻進行隧道監(jiān)控和VRC監(jiān)控功能。并對監(jiān)控進行TOP N排序，可以實時反饋出管理范圍內設備使用情況排行，幫助用戶清晰的了解網絡負載以及設備運行狀況。
建設效果
本方案針縣鄉(xiāng)財政網絡接入安全問題，引入邊界隔離與訪問控制技術、VPN技術、終端管理技術、內容與行為審計技術、策略管理平臺技術，初步建立了多層次、立體式的可信接入安全防護體系，整合了安全資源，具有如下效果：
解決網絡接入者的身份可信問題:對于終端接入，杜絕了非法用戶和外來人員隨意接入縣財政網絡的行為，即便非法用戶盜用了合法主機，如果不具備合法用戶身份也無法接入到縣財政網絡，可以有效抵御來自非法接入的攻擊；對于網絡接入，由于建立了網絡間的網絡訪問控制，從而杜絕了網絡間的非法訪問行為；
解決了終端安全狀態(tài)安全可控問題：終端接入時的安全檢查決定了是否允許終端接入網絡；接入后的狀態(tài)檢測，能夠保證在終端狀態(tài)不符合財政系統(tǒng)策略要求時及時切斷與網絡的連接；
解決通信過程中的泄密、數據篡改、抵賴問題：利用VPN技術，保障了通訊過程中的機密性和完整性，防止泄密和篡改等攻擊行為，解決抵賴的問題：接入設備認證成功后整個網絡訪問過程中，利用其數字證書(私鑰)對其訪問數據包進行加密，相當于把身份信息與訪問信息整合，從而有效防范抵賴的現象；過濾了通信過程中的病毒等惡意代碼傳播的問題；
解決了通信過程中惡意威脅傳播問題：通過實時的入侵防御、防病毒、等措施，能夠對混雜在正常應用中的病毒、蠕蟲、木馬、惡意代碼等有害數據及時檢測和過濾，防止了有害數據的傳播，以及借“身”攻擊等惡意行為的發(fā)生；
解決內外網隔離問題，當鄉(xiāng)級終端通過VPN與縣財政網絡互聯時阻斷與互聯網的其他訪問；
解決了集中的策略管理、日志分析、應急響應和決策支持問題：安全接入問題的解決嚴重依賴于企業(yè)整體安全策略的全面有效實施，策略管理平臺可以統(tǒng)一對策略進行定義、下發(fā)并在各個設備上進行強制實施，提高了綜合防范能力，此外還可對安全事件進行集中的管理分析和應急響應支持，對全局的安全威脅和風險進行評估和管理，為安全決策提供支持。
新聞標題：財政信息系統(tǒng)愈加復雜安全互聯建設方案需重視
轉載來源：http://www.dlmjj.cn/article/djecjih.html
