XX银行网络安全规划建议书.docx

XX银行网络安全规划建议书.docx

《XX银行网络安全规划建议书.docx》由会员分享，可在线阅读，更多相关《XX银行网络安全规划建议书.docx（33页珍藏版）》请在冰点文库上搜索。

XX银行网络安全规划建议书

XX银行网络安全规划建议书

2006年6月

名目

1项目情形概述

Xxx银行网络是一个正在进行改造的省级银行网络。

整个网络随着业务的不断扩展和应用的增加，差不多形成了一个横纵联系，错综复杂的网络。

从纵一直看，目前XXX银行网络分为四层，第一层为省联社网络，第二层为地市联社网络，第三层为县（区）联社网络，第四层为分理处网络。

从横一直看，省及各地市的银行网络都按照管用划分为办公子网、生产子网和外联网络三个大子网。

而在省中心网上，还包括网上银行、测试子网和MIS子网三个单独的子网。

其整个网络的结构示意图如下：

图1.1XXX银行网络结构示意图

XXX银行网络是一个正在新建的网络，目前业务系统刚刚上线运行，还没有进行信息安全方面的建设。

而关于XXX银行网络来说，生产网是网络中最重要的部分，所有的应用也业务系统都部署在生产网上。

一旦生产网显现问题，造成的缺失和阻碍将是不可估量的。

因此现在急需解决生产网的安全问题。

本次对XXX银行网络的安全规划仅限于生产网以及与生产网安全相关的网络部分，因此下面我们着重对XXX银行的生产网构架做一个详细描述。

（一）省联社生产网络

省联社网络生产网络是全行信息系统的核心，业务系统、网上银行系统及治理系统都集中在信息中心。

省联社网络生产网络负责与人行及其他单位中间业务的连接。

省联社网络生产网络负责建立和爱护网上银行。

省联社网络生产网络中包含MIS系统和测试系统。

操作系统要紧有：

OS/400、AIX、Linux、Windows，以及其它设备的专用系统。

数据库系统包括：

DB2、INFORMIX、SYBASE、ORACLE等。

业务应用包括：

生产业务：

一线业务：

与客户直截了当关联的业务，如ATM、POS、柜员终端等

二线业务：

不直截了当与客户相关的业务，如治理流程、公文轮番转、监督、决策等，为一线业务的支撑。

（二）地市联社生产网络

地市联社生产网络是二级网络，通过两条互为备份的专线与省联社中心网络互连。

操作系统要紧有：

UNIX、WINDOWS。

（三）区（县）联社生产网络

区（县）联社生产网络是三级网络，通过2MSDH/或者10M光纤以太网（ISDN备份）等方式与管辖支行的网络连接。

操作系统要紧有：

UNIX、WINDOWS。

（四）分理处生产网

分理处是四级网络，各个分理处通过2MSDH或者ISDN等方式与管辖区（县）联社的网络连接。

由于区县联社及分理处的网络目前还处在组网的初级时期，网络构造简单且还没有能力进行完善的网络安全建设和治理，因此本次规划要紧是对省及地市联社的网络安全部分。

当把省及地市部分的网络建成一个比较完善的安全防护体系之后，再逐步的将安全措施和手段应用于下层的区县联社及分理处。

从而实现整个网络的重点防护、分步实施策略。

2网络结构调整与安全域划分

关于XXX银行生产网络来说，首要的一点确实是应该依照国家有关部门对相关规定，将整个生产网络进行网络结构的优化和安全域的划分，从结构上实现对安全等级化爱护。

依照《中国人民银行运算机安全治理暂行规定（试行）》的相关要求：

“第六十一条　内联网上的所有运算机设备，不得直截了当或间接地与国际互联网相联接，必须实现与国际互联网的物理隔离。

”

“第七十五条　运算机信息系统的开发环境和现场应当与生产环境和现场隔离。

”

因此我们有必要对现有网络环境进行改造，以将生产业务网络（包括一线业务和二线业务）与具有互联网连接的办公网络之间区分开来，通过强有力的安全操纵机制最大化实现生产系统与其他业务系统之间的隔离。

同时，对XXX银行所有信息资源进行安全分级，依照不同业务和应用类型划分不同安全等级的安全域，并分别进行不同等级的隔离和爱护。

初步规划将省联社生产网络划分成多个具备不同安全等级的区域，参考公安部公布的《信息系统安全爱护等级定级指南》，我们对安全区域划分和定级的建议如下：

安全区域

说明

定级建议

生产区域

包含一线业务服务器主机

3级

MIS区域

包含二线业务服务器主机

2级

网上银行区域

包含网上银行业务服务器主机

2级

运行治理区域

包含爱护网络信息系统有效运行的治理服务器主机和治理终端

2级

测试区域

包含新开发的生产应用的测试环境，可视为准生产环境

1级

办公服务器区域

包含办公业务系统服务器主机

2级

关于各地市、区县联社和各营业网点也需要将生产业务和办公业务严格区分开，并进行逻辑隔离，确保生产区域具有较高安全级别。

由于部分办公业务用户需要访问生产业务中的特定数据，而部分生产应用也需要访问办公网中的特定数据，因此无法做到生产、办公之间完全的物理隔离，建议在各级联社信息中心提供生产网与办公网之间的连接，并采纳逻辑隔离手段进行操纵，关于营业网点，由于作隔离投入太大，可临时不考虑隔离。

改造后的总体逻辑结构如图所示：

图2.1XXX银行网络安全结构示意图

网络改造后，全行办公系统将统一互联网出口，所有办公终端只承诺在通信行为可控的情形下才能通过信息中心办公网络的互联网出口访问外界网络，生产业务服务器和终端不承诺采取任何手段直截了当访问互联网或通过办公网间接访问互联网。

网上银行因业务需要必须连接互联网，但只承诺互联网用户对网银门户网站的访问以及认证用户对网银WEB服务器的访问，生产业务服务器和终端不承诺采取任何手段直截了当访问互联网或通过网银网络间接访问互联网。

3XXX银行网络需求分析

随着XXX银行金融信息化的进展，信息系统差不多成为银行赖以生存和进展的差不多条件。

相应地，银行信息系统的安全问题也越来越突出，银行信息系统的安全问题要紧包括两个方面：

一是来自外界对银行系统的非法侵入，对信息系统的蓄意破坏和盗窃、篡改信息行为；二是来自银行内部职员有意或无意的对信息系统治理的违反。

银行信息系统正在面临着严肃的挑战。

银行进行安全建设、加强安全治理差不多成为当务之急，其必要性正在随着银行业务和信息系统如下的进展趋势而更加凸出：

银行的关键业务系统层次丰富，操作环节多，风险也相对比较明显；

随着电子银行和中间业务的广泛开展，银行的网络与Internet和其他组织机构的网络互联程度越来越高，使原本相对封闭的网络越来越开放，从而将外部网络的风险引入到银行内部网络；

随着银行业务集中化的趋势，银行业务系统对可靠性和无间断运行的要求也越来越高；

随着WTO的到来和外资银行的进入，银行业竞争日益猛烈，新的金融产品不断推出，从而使银行的应用系统处于快速的变化过程中，对银行的安全治理提出了更高的要求。

中国国内各家银行也差不多开始进行信息安体系建设，其中最要紧的措施确实是采购了大量安全产品，包括防火墙、入侵检测系统、防病毒和身份认证系统等。

这些安全产品在专门大程度上提高了银行信息系统的安全水平，对爱护银行信息安全起到了一定作用。

然而它们并没有从全然上降低安全风险，缓解安全问题，这要紧是因为：

●信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染明白得为信息安全问题的全部是片面的。

安全产品的功能相对比较狭窄，往往用于解决一类安全问题，因此仅仅通过部署安全产品专门难完全覆盖银行信息安全问题；

●信息安全问题不是静态的，它总是随着银行策略、组织架构、信息系统和操作流程的改变而改变。

部署安全产品是一种静态的解决方法。

一样来说，在产品安装和配置后较长一段时刻内，它们都无法动态调整以适应安全问题的变化。

因此，银行界的有识之士都意识到应从全然上改变应对信息安全问题的思路，建立更加全面的安全保证体系，在安全产品的辅助下，通过治理手段体系化地保证信息系统安全。

下面我们将通过分析XXX银行改造后的网络结构下可能面临的安全问题，对XXX银行（要紧是生产网）目前的安全需求进行总体分析。

依照实际项目进度安排，我们将分别对网上银行系统、生产业务系统进行分析。

3.1网上银行安全风险和安全需求

针对目前最常见的互联网攻击类型以及国内外网上银行系统通常面临的安全威逼，结合XXX银行的实际情形，我们认为在XXX银行网上银行网络可能面临的安全风险和对应的安全需求如下：

序号

风险名称

受阻碍对象

安全需求

1

漏洞

操作系统，数据库系统，应用软件

评估、加固（打补丁，安装加固软件）

2

网页篡改

网银WEB和门户WEB服务器

打补丁，安装防篡改软件，内容过滤

3

网络仿冒

网银客户

培训客户的安全防护意识（安装IE反钓鱼插件；认清银行网站，不在虚假站点中填写ID和密码；采纳CA认证和SSL加密）

4

蠕虫和病毒

所有windows和linux平台

客户端：

建议或强制安装防病毒软件/插件

服务器：

安装相应平台防病毒软件

网银WEB区域与互联网之间：

防病毒网关

网银与核心层之间：

防病毒网关

5

非法入侵和攻击（网络级、应用级）

所有网段

防火墙、IDS（需检测应用级攻击及SSL加密攻击）

6

拒绝服务攻击

网银WEB区域

抗DOS攻击产品

7

网页恶意代码（木马、间谍软件、广告软件、拨号器（dialers）、keylogger、密码破解工具和远程操纵程序等）

网银客户windows，ie扫瞄器（linux不受阻碍）

培训客户的安全防护意识（在运算机上安装防病毒工具并及时更新；采纳相对安全的扫瞄器或在IE中安装各类安全控件；对不明邮件不要打开，并及时删除；提高对个人资料、账户、密码的爱护意识；及时修改银行帐户的原始密码；不要采纳身份证号码、生日、手机号码及过分简单的数字作为密码；不要在网吧等公共场所操作网上银行业务。

）

8

僵尸网络（DDOS、垃圾邮件、网页仿冒、网页攻击的被动发起者）

互联网上大量不安全的主机可能成为僵尸，被利用来向网银进行攻击

通过上述手段加强自身防护

3.2生产业务网络安全风险和安全需求

关于生产业务网络而言，可能存在的安全风险和对应的安全需求如下：

序号

风险名称

风险来源

受阻碍对象

安全需求

1

漏洞

自身

操作系统，数据库系统，应用软件

评估、加固（打补丁，安装加固软件）

2

蠕虫和病毒

移动储备介质、网络通讯

所有windows和linux平台

客户端/服务器：

安装相应平台防病毒软件

网银与生产业务网络之间：

防病毒网关

3

非法入侵和攻击（网络级、应用级）

所有需要访问或可能访问到一线业务的用户

一线业务生产主机

防火墙、入侵检测

网上银行区域

生产业务网络

防火墙、入侵防备

网上银行区域、相关外部单位网络、办公业务网络

生产业务网络

防火墙、入侵检测

4

数据窃密、篡改

非法闯入者

在局域网或广域网上传输的业务数据，存放在客户端本地的业务数据

网络准入操纵、桌面安全操纵

5

非法访问、越权访问

非生产人员

生产应用系统和业务数据

身份认证、访问授权

非治理人员

操作系统、数据库系统

身份认证、访问授权

4总体安全技术框架建议

依照对XXX银行网络系统安全需求分析，我们提出了由多种安全技术和多层防护措施构成的一整套安全技术方案，具体包括：

在网络层划分安全域，部署防火墙系统、防拒绝服务攻击系统、入侵检测系统、入侵防备系统和漏洞扫描系统；在系统层部署病毒防范系统，提供系统安全评估和加固建议；在治理层制订安全治理策略，部署安全信息治理和分析系统，建立安全治理中心。

具体建议如下：

4.1网络层安全建议

1．网络访问操纵

●划分安全域

为了提高银行网络的安全性和可靠性，在省联社总部、各地市联社、各区县联社、分理处对不同系统划分不同安全域。

●访问操纵措施

对安全等级较高的安全域，在其边界部署防火墙，对安全等级较低的安全域的边界则能够使用VLAN或访问操纵列表来代替。

依照对XXX银行整体网络的区域划分，我们将在不同安全域边界采纳不同的访问操纵措施：

◆在生产网与办公网之间采纳防火墙提供访问操纵，只承诺业务相关的访问，拒绝其他所有访问；

◆在生产网与网上银行网络之间采纳防火墙提供访问操纵，只承诺业务相关的访问，拒绝其他所有访问；

◆在生产网与相关单位网络之间采纳防火墙提供访问操纵，只承诺业务相关的访问，拒绝其他所有访问；

◆在网上银行网络与互联网之间采纳防火墙提供访问操纵，除承诺互联网用户访问网银门户网站、承诺互联网认证用户访问网银WEB及承诺网银WEB服务器/SSL加速器访问互联网上的CFCA之外，拒绝其他所有访问；

◆在生产网的生产区域（一线业务）与其他区域之间采纳防火墙提供访问操纵，只承诺业务相关的访问，拒绝其他所有访问；

◆在生产网的其他各区域之间利用三层交换机划分虚拟子网及进行简单包过滤，做到较简单的访问操纵；

2．防拒绝服务攻击

在网上银行系统与Internet出口边界处，配备抗DoS攻击网关系统，以抵御来自互联网的各种拒绝服务攻击和分布式拒绝服务攻击。

3．网络入侵检测

在网上银行系统和总行业务网络系统中部署入侵检测系统，实时检测、分析网络上的通讯数据流，专门是对进出安全域边界或进出存放有涉密信息的关键网段、服务器主机的通讯数据流进行监控，及时发觉违规行为和专门行为并进行处理。

网络入侵检测系统可实现如下功能：

⏹网络信息包嗅探。

以旁路监听方式隐秘运行，使攻击者无法感知到。

黑客常常在没有觉察的情形下被抓获，因为他们不明白他们一直受到紧密监视。

⏹网络访问监控。

依照实际业务需要定制相关规则，能够定义哪些主机或网段能够或不能够访问网络上的特定资源，能够定义访问时刻段，对特定的非法访问行为或除特定合法访问行为之外的所有访问行为进行监控，一旦发觉违规行为则依照事先定义的响应策略进行报警、阻断或联动的相应，以保证只有授权用户才能够访问特定网络资源。

⏹应用层攻击特点检测。

提供详尽、细粒度的应用协议分析技术，实现应用层攻击检测，可自动检测网络实时数据流中符合特点的攻击行为，系统爱护一个强大的攻击特点库，用户能够定期更新，确保能够检测到最新的攻击事件。

⏹蠕虫检测。

实时跟踪当前最新的蠕虫事件，针对差不多发觉的蠕虫攻击及时提供相关事件规则。

系统爱护一个强大的蠕虫特点库，用户能够定期更新，确保能够检测到最新的蠕虫事件。

关于存在系统漏洞但尚未发觉相关蠕虫事件的情形，通过分析漏洞来提供相关的入侵事件规则，最大限度地解决蠕虫发觉滞后的问题。

⏹可疑网络活动检测。

即专门检测，包括通过对在特定时刻间隔内超流量、超连接的数据包进行检测等方式，实现对DoS、扫描等攻击事件的检测。

⏹检测隐藏在SSL加密通讯中的攻击。

通过解码基于SSL加密的通讯数据，分析、检测基于SSL加密通讯的攻击行为，从而能够爱护提供SSL加密访问的网银WEB服务器的安全性。

⏹日志审计。

提供入侵日志和网络流量日志记录和综合分析功能，并提供详细的分析报告，使网络治理员能够跟踪用户、应用程序等对网络的使用情形，关心治理员改进网络安全策略的规划，并提供更精确的网络安全操纵。

通过详尽的审计记录，能够在系统遭到恶意攻击后，提供证据以提起法律诉讼。

⏹多网段同时监控。

入侵探测器支持多个网络监听口，能够连接到多个网段中进行实时监控，我们也能够在不同的网段分别部署多个探测引擎，治理员能够通过集中的治理操纵台对探测器上传的信息进行统一查看，通过治理器进行综合分析，并生成报表。

4．入侵防备系统

在生产网与网上银行网络之间、办公网与互联网之间分别部署入侵防备系统，对外界网络黑客利用防火墙为合法的用户访问而开放的端口穿透防火墙对内网发起的各种高级、复杂的攻击行为进行检测和阻断。

IPS系统工作在第二层到第七层，通常使用特点匹配和专门分析的方法来识别各种网络攻击行为，因其是以在线串联方式部署的，对检测到的各种攻击行为均可直截了当阻断并生成日志报告和报警信息。

5．漏洞扫描系统

在生产网上部署一套漏洞扫描系统，定期对整个网络，专门是关键主机及网络设备进行漏洞扫描。

如此才能及时发觉网络中存在的漏洞和弱点，及时依照漏洞扫描系统提出的解决方案进行系统加固或安全策略调整。

以实现防患于未然的目的。

同时得到的扫描日志还能够提供给安全治理中心，作为对整个网络健康状况评估的一部分，使得治理员能够机制准确的把握网络的运行状况。

4.2系统层安全建议

6．病毒防范系统

在XXX银行网络系统可能的病毒攻击点或通道中部署全方位的病毒防范系统，包括在网上银行互联网出口、网上银行区域与业务区域之间、办公区域的互联网出口处部署网关级防病毒设备，在整个网络中的所有WINDOWS服务器和客户端运算机上部署相应平台的网络版防病毒软件并配置防病毒系统治理中心对所有主机上的防病毒软件进行集中治理、监控、统一升级、集中查杀毒。

4.3治理层安全建议

7．综合安全治理平台和安全运营中心

部署一套有效的网络安全治理体系，采纳集中的安全治理平台，来对全网进行统一的安全治理和网络治理，同时借助专业的第三方服务，在安全治理平台的基础上建立XXX银行安全运营中心，对XXX银行安全保证体系的建设起到推动作用，确保XXX银行信息网络信息系统内部不发生安全事件、少发生安全事件或者发生安全事件时能够及时处理减少由于安全事件带来的缺失。

依照XXX银行的网络结构和区域划分，我们将分别针对网上银行、省和地市生产业务网络进行安全体系设计。

5详细网络架构及产品部署建议

5.1网上银行安全建议

网上银行的安全防护方案具体设计如下：

1、在网银区域与Internet之间插入一套抗DoS攻击系统，对来自互联网的DDoS攻击流量进行清除，同时保证正常访问流量的通过。

2、网银区域与Internet之间设置一套防火墙系统（外层防火墙），采纳双机热备结构，通过二层交换机连接抗DoS攻击设备，将网银WEB服务器爱护在防火墙的一个单独的安全区域中，并通过两台三层交换机连接内部网络。

外层防火墙的要紧作用是操纵来自外网的访问，只承诺授权用户访问网银服务的特定IP和端口，并通过NAT屏蔽服务器真实地址。

防火墙采纳透亮工作模式。

三层交换机提供缺省网关和局域网路由功能。

3、使用一台网络入侵检测设备，提供双引擎，分别连接到网银WEB区域和网银DB区域的两台交换机上进行监控，对网络上传输的敏锐数据包（包括SSL加密数据）进行深层分析，可有效地发觉防火墙无法识别的专门的应用层攻击行为。

4、网银WEB区域与后台数据库/应用服务器区域及信息中心网络之间设置一套防火墙系统（内层防火墙），一方面操纵网银WEB服务区与后台APP服务区之间的访问，只承诺来自网银WEB区服务器发起的特定访问，禁止其他一切数据通讯；另一方面操纵网银DB/APP服务区与内部生产区域之间的访问，只承诺应用相关的特定访问，禁止其他一切数据通讯；采纳与外部防火墙异构的防火墙产品，即使攻击者成功获得外墙的操纵权，也不能轻易攻入业务网络。

5、在内层防火墙与内网核心交换机之间串联一组UTM设备，启用IPS功能和防病毒功能，抵御来自互联网及网银区域的病毒、蠕虫、恶意代码及其他攻击，双机热备。

部署方式如下图所示：

图5.1网上银行安全解决方案部署图

5.2省联社生产网安全建议

1、将信息中心按不同业务划分多个网络区域。

2、总行治理中心网络与核心交换机之间不署一套防火墙系统，提供安全操纵。

对治理区域的访问进行行为操纵。

3、总行生产业务网络与企业客户、协作单位网络的互联出口采纳一套双机防火墙系统提供安全操纵，对来自外单位网络的访问行为进行操纵。

4、在总行生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问要求。

5、采纳千兆IDS设备，分别连接到总行生产网两台核心交换机上，监视和防范内网上的违规访问行为，要紧监听进出生产区域及来自办公网、下级单位和协作单位的流量。

6、各地市生产网到总行生产网之间采纳一套双机防火墙系统提供安全操纵。

对来自各分支机构网络的访问行为进行操纵。

7、区县生产网、分理处等营业网点分别通过上级联社生产网的转发实现对总部数据中心系统的访问。

8、网上银行网络与生产网络之间的访问通过两台互备的UTM设备进行监控。

网络结构及安全设备部署方式如下图：

图5.2省联社生产网安全解决方案部署图

5.3地市联社生产网安全建议

1、地市联社生产业务网络与企业客户、协作单位网络的互联出口采纳一套双机防火墙系统提供安全操纵，对来自外单位网络的访问行为进行操纵。

2、在地市生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问要求。

3、采纳IDS设备，分别连接到地市生产网两台核心交换机上，监视和防范内网上的违规访问行为，要紧监听进出生产区域及来自办公网、下级单位和协作单位的流量。

4、各地市生产网到总行生产网以及区县生产网、分理处等营业网点之间采纳一套双机防火墙系统提供安全操纵。

对来自总行和各分支机构网络的访问行为进行操纵。

网络结构及安全设备部署方式如下图：

图5.3地市联社生产网安全解决方案部署图

5.4区县联社生产网安全建议

1、区县联社生产业务网络与办公业务网络核心交换机之间设置一套防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问要求。

2、各区县联社生产网到上级分行生产网以及分理处等营业网点之间采纳一套双机防火墙系统提供安全操纵。

对来自上级分行和各分支机构网络的访问行为进行操纵。

网络结构及安全设备部署方式如下图：

图5.4区县联社生产网安全解决方案部署图

5.5全行网络防病毒系统建议

具体的部署建议如下：

1、在XXX银行各级单位所有Windows服务器上部署服务器防毒系统，确保服务器系统可不能成为病毒驻留的平台，提高整个服务器系统的高可靠性；

2、在XXX银行各级单位所有Windows客户端上部署客户端防毒系统，一方面增强客户端的防毒能力，另一方面保证客户端不为因为病毒问题而带给治理员极大的工作量；

3、防病毒系统采纳集中和分布相结合的治理模式，总行办公网服务器区域中设置一台防病毒治理中心服务器，提供集中的策略制定和下发，治理总行办公网的所有防病毒客户端；生产网运行治理区域中设置一台防病毒治理分中心服务器，治理生产网的所有防病毒客户端（包括总部、支行、网点），以及与上级治理中心进行通信；各管辖支行办公网中分别设置一台防病毒治理分中心服务器，治理本网的所有防病毒客户端，以及与上级治理中心进行通信；如此做的好处是防止了因软件或策略下发时带来的带宽消耗和减小安全隐患；

4、办公网防病毒治理中心服务器定期从互联网进行升级，生产网防病毒治理分中心服务器、各支行防病毒治理分中心服务器均从治理中心服务器获得升级码；各防毒服务器负责向所管辖范畴内所有防病毒客户端分发升级码。

5、在XXX银行各互联网出口处，生产网络与网银网络之间分别部署病毒过滤网关（通过UTM设备实现），排除来自互联网的病毒威逼。

5.6网络安全治理平台建议

5.6.1部署网络安全治理平台的必要性

传统安全技术和产品集成的有如下缺点：

⏹需要大量人为参与的判定。

比如一个报警事件是否准确需要人为的判定。

⏹存在信息埋住的可能性

大量安全产品的报警信息导致治理员无法一一观看和分析，从而导致信息埋住。

同时大量的垃圾报警信息，也加重了治理员的工作负担，导致治理员容易疏忽专门多真正有用的信息，这也导致信息埋住。