天津市河西区政务网建设工作从2001年开始筹备，到目前为止已经建成一个初具规模的政务办公网络，实现了河西区政府各部门之间、与市政务之间的网络互联工作。河西区政府信息化建设的步伐已经走在全市各区、县地方政府的前列。为了更好的发挥信息化的优势，更好适应信息化建设的要求。这次对河西区政务网现有的网络状况进行改造，提高网络性能，增强网络安全性。从而实现政务网更好的为政府部门服务，更好的为人民群众服务的宗旨。
一、天津河西区政务网络现状
河西区政务网络设计采用的是高速三层交换机组网方式，即核心层、汇聚层、接入层。根据天津河西区政府的网络情况，网络安全重要性的不同，我们对网络按照下面原则划分几个安全层次，由先到后安全要求依次降低。
1.网络信息系统核心层
2.网络信息系统汇聚层
3.网络信息系统接入层核心
S3500通过光纤连接五大机关及相关部门的三个办公楼：河西区政府办公楼、河西区委办公楼、河西区人大办公楼。这三个节点的介入设备都是S3500系列路由交换机，该设备也作为整个河西区政务网的汇聚层网络设备。以上三个节点的接入层设备是S2000系列交换机，下连网络用户的终端设备。这样就把安全区域分成如下的三个：1、政务外网区域2、政务内网区域3、涉密专网区域
下图是按政务内网、政务外网、涉密专网职能不同划分的天津市河西区政务网拓扑结构图：
二、现有网络系统性能瓶颈及安全隐患
天津河西区政府网络信息系统可能遇到的风险有：物理安全风险 、链路传输安全风险、网络结构安全风险、内部局域网安全风险、系统安全风险、应用安全风险、管理安全风险。
2.1 政务网数据交换率存在的问题
从网络拓扑结构上看，目前天津市河西区政务内网的核心层设备和接入层设备都是使用的S3500系列路由交换机。从网络设备性能和处理能力来看，显然核心层与汇聚层网络选用同种型号的网络设备是不太理想的。当网络中的数据流量不大或者用户通讯数据流量都集中在自己局域网段内的时候，核心路由交换机一般会正常工作，因为网络中经过它的数据流量并不多，所以占用的资源也有限。但一旦网络中数据流量增多或者各个局域网相互访问的业务增多时，核心路由交换机对业务数据处理能力不强的弊端就表露出来，而且很容易成为整个政务网的瓶颈，限制了这个网络的网络性能。
2.2政务网可能遭受的网路攻击和病毒攻击
河西区政务网分为三个部分：政务内网、政务外网和涉密专网。虽然这三个网络之间通过防火墙、安全隔离和信息交换系统分离开来，实现了各个网络相对独立，安全隔离。但从目前的网络攻击发生率来看，绝大部分的网路攻击和病毒攻击是来自内网。而政务内网的网络设备之间只有杀毒软件防护。五大机关及相关部门的200多台网络终端设备间也没有安全防护设备。对于一个网络设备达到10台以上网络终端设备200台以上的中型网络，如果发生病毒泛滥、网络内部恶意攻击等状况，损失是无法估计的。因此，处于网络安全角度考虑，政务内网没有安全防护设备是整个政务网的安全隐患，应加以重视.
“河西区政府”网络内部运行有大量的重要服务器，众所周知，每一种操作系统都包含有漏洞（如下表所示），开发厂商也会定期发布不订包。如何对重要服务器进行漏洞扫描、入侵检测、补丁管理成为日常安全维护的重要工作。“河西区政府”网络内部缺乏有效的设备和系统对系统级、应用级的脆弱性进行定期分析、评估和管理。
2.3 对web应用程序的攻击
从网络安全性方面来讲，Web服务器是最容易受到攻击的，因为他们处于政务网与Internet的边缘，而且提供Internet访问因此要在防止入网络入侵方面加强管理。web应用程序，如asp,php,jsp,perl等，通过这些应用程序的脚本的漏洞进行攻击直接危害数据库和操作系统。
2.4物理安全
是保护计算机网络设备、设施以及其它媒体免遭环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括：
环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》 ）
设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等。
三、安全解决方案具体目标如下：
众所周知，解决网络信息安全问题主要有五大技术手段：防火墙技术、加解密技术、漏洞扫描技术、身份认证技术和防病毒技术。采用传统的防火墙和ids对用户来说是必需的。但仅仅 采用防火墙技术并不能解决发生内部网络的安全问题，但实际防火墙存在局限性和脆弱性：
1、防火墙不能防范不经过防火墙的攻击。没有经过防火墙的数据，防火墙无法检查，比如拨号上网。
2、防火墙不能解决来自内部网络的攻击和安全问题。"外紧内松"是一般局域网络的特点，一道严密防守的防火墙其内部的网络也有可能是一片混乱。如通过社会工程学发送带木马的邮件、带木马的URL等方式，然后由中木马的机器主动对攻击者连接，将瞬间破坏象铁壁一样的防火墙。另外，防火墙内部各主机间的攻击行为，防火墙也只能如旁观者一样冷视而爱莫能助。
3、防火墙不能防止最新的未设置策略或错误配置引起的安全威胁。防火墙的各种策略，也是在该攻击方式经过专家分析后给出其特征进而设置的。如果世界上新发现某个主机漏洞的cracker把第一个攻击对象选中了您的网络，那么防火墙也没有办法帮到您。
4、防火墙不能防止可接触的人为或自然的破坏。防火墙是一个安全设备，但防火墙本身必须存在于一个安全的地方。
5、防火墙无法解决TCP/IP等协议的漏洞。防火墙本身就是基于TCP/IP等协议来实现的，就无法解决TCP/IP操作的漏洞。比如利用DOS或DDOS攻击。
6、防火墙对服务器合法开放的端口的攻击大多无法阻止。例如利用开放了3389端口取得没打过sp补丁的win2k的超级权限、利用asp程序进行脚本攻击等。由于其行为在防火墙一级看来是"合理"和"合法"的，因此就被简单地放行了。
7、防火墙不能防止受病毒感染的文件的传输。防火墙本身并不具备查杀病毒的功能，即使集成了第三方的防病毒软件，也没有一种软件可以查杀所有的病毒。
8、防火墙不能防止数据驱动式的攻击。当有些表面看来无害的数据邮寄或拷贝到内部网的主机上并被执行时，可能会发生数据驱动式的攻击。
9、防火墙不能防止内部的泄密行为。防火墙内部的一个合法用户主动泄密，防火墙对此是无能为力的。
10、防火墙不能防止本身安全漏洞的威胁。防火墙保护别人有时却无法保护自己，因为目前还没有厂商绝对保证防火墙不会存在安全漏洞。防火墙也是一个OS，也有着其硬件系统和软件，因此依然有着漏洞和bug。所以其本身也可能受到攻击和出现软/硬件方面的故障。
因此，一个实用的方法是，建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统，漏洞扫描器就是这样一类系统。就目前系统的安全状况而言，系统中存在着一定的漏洞，因此也就存在着潜在的安全威胁，但是，如果我们能够根据具体的应用环境，尽可能早地通过网络扫描来发现这些漏洞，并及时采取适当的处理措施进行修补，就可以有效地阻止入侵事件的发生。虽然亡羊补牢十分可贵，但是对于"不怕一万，只怕万一"的关键业务来说，未雨绸缪才是理想境界。
在网络内进行设置得当的防火墙和IDS，同样会使我们的网络更为坚固一些，并且能提供更多的攻击信息供我们分析。防火墙、防病毒、入侵检测、漏洞扫描分别属于PDR和P2DR模型中的防护和检测环节。这几种安全技术围绕安全策略有序地组织在一起，相互协同，相互作用，构成一个动态自适应的防范体系。
只要做到这点，才可信。
对于网络管理者来说，任何时候都可以有效的管理网络，是谓“可控”。网络系统能够自动屏蔽非法访问，并能够在适当的时候强制非法用户下线，以便保证整体个网络运行的安全和稳定；另外，对用户不同应用业务的带宽、流量和上网时间进行控制，与此同时设立对用户的适时网络短信息通知机制等措施，做到了这些，才可控。
而对于用户上网之后的行为能够自动准确的纪录，并在发生非法事件时，对网络事件进行里历史回放，在安全管理上作到有据可查，是谓“可举证”。
只有做到这几点，整个网络的安全性才能得到有效的保证。至少，我知道是谁再什么时候，作了那些非法的事件，我可以用明确的证据来证明历史事件的准确性。
四、机房改造建议
4.1保护机房设备
安装门禁系统。
对主机房及重要信息存储、收发部门来说：首先要保证重要地点的安全防范工作，如：非工莫入；出入记录；录像监控；门磁窗磁、红外报警等。以上非工莫入、出入记录可以采用目前先进的IC卡技术、指纹技术、虹膜技术、面纹技术等来实现，可以做到实时记录，方便查询等优点。
加强机柜接地
加强机柜等包围设备的金属材质的接地考虑，提高抗干扰性。
4.2机房屏蔽
对主机房及重要信息存储、收发部门进行屏蔽处理 即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备，以防止磁鼓，磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风波导，门的关起等。
4.3电源系统
对主机房及重要信息存储、收发等重要部门来说：一旦电源发生故障，就会造成信息的丢失，正常工作无法进行，给不法分子造成可乘之机。故电源系统应加以改造和优化。可以采用多路供电的方法，市电、动力电、专有电网、UPS供电等多路电源同时接入河西区政府信息系统大楼或主机房及重要信息存储、收发等重要部门，当市电故障后自动切换至动力电，动力电故障后自动切换至专有电网，专有电网故障后自动切换至UPS供电。并且，当下级电源恢复后，应立即自动切换回去。这样，既保证了安全性，又降低了运行费用。
另外，电源质量对用电设备的使用寿命、安全等有重大影响。在电源系统中，存在尖峰、浪涌等不洁净的情况，一旦发生会使用电设备处于危险境地，轻则使用电设备断电重启，总则使用电设备烧毁无法使用，甚至造成火灾。在这种情况下，即便是有UPS也无济于事。为避免因电源质量而造成不安全因素，可以采用电源净化系统。电源净化系统不但可以净化电源，保证良好的电源质量除去尖峰、浪涌等，而且可以一定程度上减少电磁污染，另外，也避免了用电设备的信息随电源电缆外泄的可能。
对于信息系统终端设备目前采用了交流电源插座连接方式，适合于终端工作模式。为了保证终端设备取电安全和减少对总用电环境的干扰，尽量保证每个终端设备接入电网时都具备过载保护装置。
在机房中目前也采用了交流电源插座连接方式，对于较重要和正规化的机房来说，应加以改造。建议采用通用机房中交流电引入机制，保证设备取电的安全性。为了机房设备取电安全和减少对总用电环境的干扰，尽量保证每个机房设备接入电网时都具备过载保护装置。
4.4安全预算：
|
宽带企业安全互联解...
破解Windows...
构建网络整体安全解...
安全校园网六大危害...
配置OpenBSD...
电子媒体信息化整体...
中小企业整体网络安...
安全网络系统集成解...
