市餐飲業排污許可證信息管理系統項目建設方案(編輯修改稿)

　

【文章內容簡介】 器進行整合。特別是一些大型企業，建立企業數據中心，購買高性能的主機，對數據集中管理，已成為一種潮流。iMed_HER電子健康檔案信息系統的網絡服務器部署推薦集中式。 采用B\S架構部署iMed_HER電子健康檔案信息系統采用B\S架構，B\S結構（Browser/Server，瀏覽器/服務器模式），是WEB興起后的一種網絡結構模式，WEB瀏覽器是客戶端最主要的應用軟件。這種模式統一了客戶端，將系統功能實現的核心部分集中到服務器上，簡化了系統的開發、維護和使用。客戶機上只要安裝一個瀏覽器（Browser），如Netscape Navigator或Internet Explorer，服務器安裝Oracle、Sybase、Informix或 SQL Server等數據庫。瀏覽器通過Web Server 同數據庫進行數據交互。B\S架構大大簡化了客戶端的安裝操作 網絡安全技術部署基于 VLAN的端口隔離交換機可以由硬件實現相同 VLAN 中的兩個端口互相隔離。隔離后這兩個端口在本設備內不能實現二、三層互通。當相同 VLAN 中的服務器之間完全沒有互訪要求時，可以設置各自連接的端口為隔離端口。這樣可以更好的保證相同安全區域內的服務器之間的安全。STP Root/BPDU Guard基于 Root/BPDU Guard(Root/Bridge Protocol Data Unit Guard)方式的二層連接保護保證 STP/RSTP(Spanning Tree Protocol/ Rapid Spanning Tree Protocol)穩定,防止攻擊,保障可靠的二層連接。基于BPDU Guard 對于接入層設備，接入端口一般直接與用戶終端（如 PC 機）或文件服務器相連，此時接入端口被設置為邊緣端口以實現這些端口的快速遷移；當這些端口接受到配置消息（BPDU 報文）時系統會自動將這些端口設置為非邊緣端口，重新計算生成樹，引起網絡拓撲的震蕩。這些端口正常情況下應該不會收到生成樹協議的配置消息的。如果有人偽造配置消息惡意攻擊交換機，就會引起網絡震蕩。BPDU保護功能可以防止這種網絡攻擊。 交換機上啟動了 BPDU 保護功能以后，如果邊緣端口收到了配置消息，系統就將這些端口 shutdown，同時通知網管。被 shutdown 的端口只能由網絡管理人員恢復。推薦用戶在配置了邊緣端口的交換機上配置 BPDU 保護功能。基于ROOT Guard 由于維護人員的錯誤配置或網絡中的惡意攻擊，網絡中的合法根交換機有可能會收到優先級更高的配置消息，這樣當前根交換機會失去根交換機的地位，引起網絡拓撲結構的錯誤變動。這種不合法的變動，會導致原來應該通過高速鏈路的流量被牽引到低速鏈路上，導致網絡擁塞。Root 保護功能可以防止這種情況的發生。對于設置了 Root 保護功能的端口，端口角色只能保持為指定端口。一旦這種端口上收到了優先級高的配置消息，即其將被選擇為非指定端口時，這些端口的狀態將被設置為偵聽狀態，不再轉發報文（相當于將此端口相連的鏈路斷開）。當在足夠長的時間內沒有收到更優的配置消息時，端口會恢復原來的正常狀態。端口安全端口安全（Port Security）的主要功能就是通過定義各種安全模式，讓設備學習到合法的源 MAC 地址，以達到相應的網絡管理效果。對于不能通過安全模式學習到源 MAC 地址的報文或 認證失敗的設備，當發現非法報文后，系統將觸發相應特性，并按照預先指定的方式自動進行處理，減少了用戶的維護工作量，極大地提高了系統的安全性和可管理性。端口安全的特性包括： NTK：NTK（Need To Know）特性通過檢測從端口發出的數據幀的目的 MAC 地址，保證數據幀只能被發送到已經通過認證的設備上，從而防止非法設備竊聽網絡數據。Intrusion Protection：該特性通過檢測端口接收到的數據幀的源 MAC 地址或 認證的用戶名、密碼，發現非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此 MAC 地址的報文，保證了端口的安全性。Device Tracking：該特性是指當端口有特定的數據包（由非法入侵，用戶不正常上下線等原因引起）傳送時，設備將會發送 Trap 信息，便于網絡管理員對這些特殊的行為進行監控。防IP偽裝病毒和非法用戶很多情況會偽裝 IP 來實現攻擊。偽裝 IP 有三個用處：216。 本身就是攻擊的直接功能體。比如 smurf攻擊。 216。 麻痹網絡中的安全設施。比如繞過利用源 IP 做的接入控制。 216。 隱藏攻擊源 設備防止 IP 偽裝的關鍵在于如何判定設備接收到的報文的源 IP 是經過偽裝的。這種判定的方式有三種。分別在內網和內外網的邊界使用。在Internet出口處過濾RFC3330和RFC1918所描述的不可能在內外網之間互訪的 IP 地址。利用 IP和 MAC的綁定關系網關防御，利用 DHCP relay 特性，網關可以形成本網段下主機的 IP、MAC 映射表。當網關收到一個 ARP 報文時，會先在映射表中查找是否匹配現有的映射關系。如果找到則正常學習，否則不學習該 ARP。這樣偽裝 IP 的設備沒有辦法進行正常的跨網段通信。利用 IP和 MAC的綁定關系網關防御 利用 DHCP relay 特性，網關可以形成本網段下主機的 IP、MAC 映射表。當網關收到一個 ARP 報文時，會先在映射表中查找是否匹配現有的映射關系。如果找到則正常學習，否則不學習該 ARP。這樣偽裝 IP 的設備沒有辦法進行正常的跨網段通信。接入設備防御，利用 DHCP SNOOPING 特性，接入設備通過監控其端口接收到的 DHCP request、ACK、release 報文，也可以形成一張端口下 IP、MAC 的映射表。設備可以根據 IP、MAC、端口的對應關系，下發 ACL 規則限制從該端口通過的報文源 IP 必須為其從DHCP 服務器獲取的 IP 地址。UPRF會檢測接收到的報文中的源地址是否和其接收報文的接口相匹配。其實現機制如下：設備接收到報文后，UPRF 會比較該報文的源地址在路由表中對應的出接口是否和接收該報文的接口一致。如果兩者不一致，則將報文丟棄。路由協議認證攻擊者也可以向網絡中的設備發送錯誤的路由更新報文，使路由表中出現錯誤的路由，從而引導用戶的流量流向攻擊者的設備。為了防止這種攻擊最有效的方法就是使用局域網常用路由協議時，必須啟用路由協議的認證。另外，在不應該出現路由信息的端口過濾掉所有路由報文也是解決方法之一。但這種方法會消耗掉許多 ACL(Access Control List)資源。5 項目實施計劃234 項目計劃及進度 為了確保項目清晰有序進行，故將整個項目進行分割，分為兩個階段進行，每個階段作為項目的一個里程碑，組織對階段工作進行回顧和展望，便于及時總結工作，并更好的規劃下一階段工作。根據本次項目的實施內容，各階段分解如下：項目階段序號項目實施內容子項2013年2014年11月12月10日12月1月2月3月第一階段1準備階段項目組組建需求收集、分析與確認（包括第三方系統接口調研）2系統設計系統架構設計WEB、APP界面設計系統功能設計系統數據庫設計接口設計測試方案制定3系統研發系統管理上報管理許可證管理第二階段4系統研發統計報表提醒鎖定功能5系統測試系統集成測試測試修改回歸測試及修改