系統現狀及安全需求

隨著金財工程的逐步深入、拓展，財政信息系統正變得愈加復雜化，無論是網絡結構、應用系統規模、還是覆蓋地域、終端類型與規模都發生了迅猛增長。在財政系統中，財政業務應用管理系統對于專項資金的劃撥是重點業務

一，如下圖所示：

圖1

圖1-1 財政業務應用管理系統結構示意圖

專項資金是對特定項目的財政撥款，不可挪用、延期，要求加強專項資金的重點監控，因此，對于專項資金的監管也是財政系統建設中重點建設之一。

在財政網絡和應用系統的發展的同時，安全建設也必須同步建設，在滿足安全接入需求時，將面臨著許多新的問題，整合的要點多、難度大：

終端多，分布廣，管理跨度大

傳輸安全

網絡邊界日益模糊，防護難度劇增

攻擊與入侵的手段越來越多樣、越來越混雜在應用中

網絡攻擊借“身”入侵

合法訪問方式被利用

操作水準的差異

綜合上述分析可知，接入終端分布廣，并且橫向接入終端不可控，在這種情況下，新的安全問題日益凸顯的局面下，要做到安全接入，就不能僅僅保證接入認證時的身份和狀態安全，還應當確保接入后的訪問過程中行為可控，全面防范各種攻擊行為，即從接入發起開始，一直到整個網絡訪問完成的全過程安全和可控。針對這一總體要求，我們需要滿足和整合多種安全技術。

技術思路

天融信將基于以策略為核心，形成一套覆蓋全面，可靠穩定的安全保障體系，全面提升用戶的安全保障能力，更好地支撐業務的開展；通過可互聯互通的技術整合，形成縱深的防護能力，有效地規避用戶信息網絡運行中面臨的各類安全問題；通過TopPolicy安全設備與策略管理系統，做到策略的集中下發或對終端、網絡設備的策略監控，以及安全事件的集中分析，與縱深防護系統配合，形成動態的監控能力；結合管理制度，依托互聯互通的安全防護系統以及以策略為核心的策略管理系統，從 “接入通道安全”、“接入者身份可控”、“接入時狀態可控”、“接入中行為可控”、 “接入中內容可控”、“接入全程全面審計”和“接入綜合安全管理”等七個層面構建以策略為核心的安全接入的立體防御體系。為用戶提供有效的安全運維保障。

解決方案設計

根據財預[2009]78號《關于推進省直接管理縣財政改革的意見》要求：

1) 實行省直接管理縣財政改革，就是在政府間收支劃分、轉移支付、資金往來、預決算、年終結算等方面，省財政與市、縣財政直接聯系，開展相關業務工作。

2) 要加強財政管理信息化建設，構建省級與市、縣的財政信息化網絡，提高工作效率。
所以我們的方案設計要符合省管縣的要求。部署示意圖如下：

圖2

圖2 安全系統部署示意圖

目前就XX省財政，網絡為省-市-縣-鄉，四級網絡，從財政政策要求來講，必須實現省管縣，所以想要的安全建設也必須符合此要求，在安全管理上有省中心直接管理縣級設備。部署情況如下：

1) 在縣財政與Internet邊界部署防火墻，并開啟VPN模塊和病毒模塊；

2) 鄉級網絡的縱向、橫向終端安全VRC和TD客戶端，并配發USB-Key；

3) 省財政部署一級TP、一級TD管理中心，負責全局策略下發和運維監控；

4) 縣財政部署二級TP、二級TD管理中心，接收省級策略并下發到縣級邊界安全設備及鄉級終端。
整合多種安全技術管理策略，提升管理效率

1. 統一定制、強制執行的安全策略管理

策略管理平臺和TD管理中心提供了強大的策略定制機制。管理員根據財政網絡特點，通過管理中心有效地實施全局網絡配置和安全管理、監控策略，并且可以以組的形式進行整體管理，實現了真正的統一安全策略。管理員可以靈活的創建不同的安全策略，在不同類型的終端、設備可以應用不同的安全策略，同時提供對安全策略的應用情況進行跟蹤和審計，為整個系統提供了靈活的、彈性的安全機制。

2. 策略的有序可控管理

集中定義防火墻和VPN的策略，批量分發到應用的設備，這樣的機制保障了財政網絡管理的效率，大大減少了管理員的工作負荷。同時利用策略管理平臺提供配置監控功能，進行全局性監控，使集中分發的策略能夠保障在設備上持續運行，一旦有人私自篡改配置，策略管理平臺將實時反饋出報警信息，提醒管理員。

3. 多視角的可視化管理

策略管理能通過拓撲圖等多種方式，展現財政系統對設備、隧道等進行各種管理，圖形化的添加設備和安全域，建立設備間的隧道，實現對設備性能信息的監視，包括CPU信息、內存信息、接口信息和連接信息等。特別是提供了對于啟用VPN功能的防火墻進行隧道監控和VRC監控功能。并對監控進行TOP N排序，可以實時反饋出管理范圍內設備使用情況排行，幫助用戶清晰的了解網絡負載以及設備運行狀況。

建設效果

本方案針縣鄉財政網絡接入安全問題，引入邊界隔離與訪問控制技術、VPN技術、終端管理技術、內容與行為審計技術、策略管理平臺技術，初步建立了多層次、立體式的可信接入安全防護體系，整合了安全資源，具有如下效果：

解決網絡接入者的身份可信問題:對于終端接入，杜絕了非法用戶和外來人員隨意接入縣財政網絡的行為，即便非法用戶盜用了合法主機，如果不具備合法用戶身份也無法接入到縣財政網絡，可以有效抵御來自非法接入的攻擊；對于網絡接入，由于建立了網絡間的網絡訪問控制，從而杜絕了網絡間的非法訪問行為；

解決了終端安全狀態安全可控問題：終端接入時的安全檢查決定了是否允許終端接入網絡；接入后的狀態檢測，能夠保證在終端狀態不符合財政系統策略要求時及時切斷與網絡的連接；

解決通信過程中的泄密、數據篡改、抵賴問題：利用VPN技術，保障了通訊過程中的機密性和完整性，防止泄密和篡改等攻擊行為，解決抵賴的問題：接入設備認證成功后整個網絡訪問過程中，利用其數字證書(私鑰)對其訪問數據包進行加密，相當于把身份信息與訪問信息整合，從而有效防范抵賴的現象；過濾了通信過程中的病毒等惡意代碼傳播的問題；

解決了通信過程中惡意威脅傳播問題：通過實時的入侵防御、防病毒、等措施，能夠對混雜在正常應用中的病毒、蠕蟲、木馬、惡意代碼等有害數據及時檢測和過濾，防止了有害數據的傳播，以及借“身”攻擊等惡意行為的發生；

解決內外網隔離問題，當鄉級終端通過VPN與縣財政網絡互聯時阻斷與互聯網的其他訪問；

解決了集中的策略管理、日志分析、應急響應和決策支持問題：安全接入問題的解決嚴重依賴于企業整體安全策略的全面有效實施，策略管理平臺可以統一對策略進行定義、下發并在各個設備上進行強制實施，提高了綜合防范能力，此外還可對安全事件進行集中的管理分析和應急響應支持，對全局的安全威脅和風險進行評估和管理，為安全決策提供支持。