等級保護相關標準解讀等級保護相關標準解讀.c

提綱等級保護背景等保相關標準中軟華泰公司參與等級保護建設工作設計技術要求的框架和方案安全建設整改技術路線提綱一、等級保護背景一、等級保護背景政策和標準國務院147號文法律政策依據(jù)科學技術依據(jù)GB17859－199950多個配套標準中辦國辦27號文四部委66號文件四部委43號文件第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責單位----公安部會同有關部門。要重點保護基礎信息網(wǎng)絡和關系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)。等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。等級保護工作的開展必須分步驟、分階段、有計劃的實施。明確了信息安全等級保護制度的基本內(nèi)容。明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責、任務。政策和標準國務院147號文法律政策依據(jù)科學技術依據(jù)GB1785等級保護的標準體系GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則信息系統(tǒng)安全等級保護定級指南GB/T20269-2006信息系統(tǒng)安全管理要求GB/T20282-2006信息安全技術信息系統(tǒng)安全工程管理要求GB/T20270-2006信息安全技術網(wǎng)絡基礎安全技術要求GB/T20271-2006信息安全技術信息系統(tǒng)通用安全技術要求GB/T20272-2006信息安全技術操作系統(tǒng)安全技術要求GB/T20273-2006信息安全技術數(shù)據(jù)庫管理系統(tǒng)通用安全技術要求GB/T22239-2008信息安全技術信息系統(tǒng)安全等級保護基本要求GB/T24856-2009信息安全技術信息系統(tǒng)等級保護安全設計技術要求

信息系統(tǒng)安全等級保護實施指南……5等級保護的標準體系GB17859-1999計算機信息系信息系統(tǒng)等級保護分級標準信息系統(tǒng)等級保護分級標準07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全等級保護定級工作,到去年為止定級工作基本上已經(jīng)落實。通過信息系統(tǒng)的定級，國家掌握了重要信息系統(tǒng)在全國范圍內(nèi)的分布、使用情況以及其重要程度。在定級基礎上，應開展信息系統(tǒng)安全建設和整改，達到相應等級的安全防護能力。07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全二、等級保護相關標準解讀二、等級保護相關標準解讀

需要了解的幾個法規(guī)、政策9幾個與等級保護有關的標志性政策、文件：《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）?！缎畔踩燃壉Ｗo管理辦法》（公通字[2007]43號）《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）

《中華人民共和國計算機信息系統(tǒng)安全保護條例》（147號令）

需要了解的幾個法規(guī)、政策9幾個與等級保護有關的標志性政策、

幾個重要的技術標準10《信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)《信息系統(tǒng)等級保護安全設計技術要求》（GB/T24856-2009）《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）國家已出臺約50余個標準，重點需要了解的有：最早提出的基礎性、強制性標準；粒度較粗，是一個指導性標準；強調(diào)基本的技術和管理要求我們在進行產(chǎn)品開發(fā)、等保系統(tǒng)設計時的主要依據(jù)：（一個中心三重防御） 幾個重要的技術標準10《信息系統(tǒng)安全等級保護基本要求》(G11標準間的關系介紹GB/T22239-2008信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)等級保護安全設計技術要求GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則11標準間的關系介紹GB/T22239-2008信息系統(tǒng)安《計算機信息系統(tǒng)安全保護等級劃分準則》12第一級用戶自主保護級第二級系統(tǒng)審計保護級第三級安全標記保護級第四級結(jié)構化保護級第五級訪問驗證保護級自主訪問控制身份鑒別完整性保護自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記隱蔽通道分析可信路徑隱蔽通道分析可信路徑可信恢復《計算機信息系統(tǒng)安全保護等級劃分準則》12第一級用戶自主?！缎畔⑾到y(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級測評的一個基本“標尺”；按照基本要求進行保護后，信息系統(tǒng)具有相應等級的基本安全保護能力;針對本系統(tǒng)更具體的保護要求可以參考相關標準實現(xiàn)。13《信息系統(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術要求管理要求基本要求網(wǎng)絡安全主機安全應用安全數(shù)據(jù)安全安全管理機構安全管理制度人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理14各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術要求管理要求基本技術設計要求的思路《信息系統(tǒng)等級保護安全技術設計要求》以信息（應用）系統(tǒng)為核心，統(tǒng)籌規(guī)劃強調(diào)安全體系，一個中心支撐下的三重防御體系（計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡）嚴格的訪問控制，操作人員行為控制將網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全綜合考慮技術設計要求的思路《信息系統(tǒng)等級保護安全技術設計要求》

信息系統(tǒng)等級保護安全技術設計框架16安全計算環(huán)境由定級系統(tǒng)中完成信息存儲與處理的計算機系統(tǒng)硬件和系統(tǒng)軟件以及外部設備及其連接部件組成，也可以是獨立的或移動的計算機系統(tǒng)。安全區(qū)域邊界是定級系統(tǒng)中安全計算環(huán)境的邊界以及安全計算環(huán)境與安全通信網(wǎng)絡之間實現(xiàn)聯(lián)接功能的部分，對安全計算環(huán)境及進出安全計算環(huán)境的信息進行保護。安全通信網(wǎng)絡是定級系統(tǒng)中實現(xiàn)安全計算環(huán)境之間信息傳輸功能的部分。安全管理中心是對部署在安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡上的安全策略與機制實施統(tǒng)一管理的設施。信息系統(tǒng)等級保護安全技術設計框架16安全計算環(huán)境由定級系統(tǒng)等級保護核心要求（三級及以上）身份鑒別安全標記（保密性級別、完整性級別、范疇）主體（用戶、進程）客體（文件、程序、設備、網(wǎng)絡端口等）強制訪問控制自主訪問控制客體重用數(shù)據(jù)完整性審計非授權用戶“五不” “進不來” “拿不走” “看不懂” “改不了” “賴不掉”等級保護核心要求（三級及以上）身份鑒別非授權用戶防內(nèi)為主安全標記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有抵御來自外部有組織的惡意攻擊能力，和防內(nèi)部人員攻擊的能力，不僅要對安全事件有審計紀錄，還要能追蹤、能響應處理，要實現(xiàn)多重保護制度。結(jié)構化保護級（四級）要有能抵御來自敵對組織的大規(guī)模攻擊的能力，和防止內(nèi)部人員內(nèi)外勾結(jié)的惡意攻擊的能力。不僅要全面審計違規(guī)行為還要具有及時報警和應急處理能力。防內(nèi)為主安全標記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有三、我公司參與等級保護建設情況等級保護相關標準解讀課件中軟華泰致力于等級保護建設2008年初，公安部為制訂《信息系統(tǒng)等級保護安全技術設計要求》的國家標準，進行等級安全應用技術平臺示范系統(tǒng)搭建工作。我公司在眾多競爭者中脫穎而出，承接了目前最高等級四級系統(tǒng)的建設任務，目前已經(jīng)完成項目驗收。國家標準即將出臺；示范系統(tǒng)搭建在公安部第一研究所；我公司還成為等級保護國家標準863課題研究參與單位，目前正在配合國家主管單位參與國家重大支持項目的研究工作。中軟華泰致力于等級保護建設2008年初，公安部為制訂《信息系二、我公司參與等級保護建設情況等級保護相關標準解讀課件等級保護相關標準解讀課件產(chǎn)品和服務體系形成了信息系統(tǒng)等級保護建設和整改的體系結(jié)構、技術框架、解決方案體系相關安全產(chǎn)品高等級操作系統(tǒng)終端安全防護服務器安全防護應用安全網(wǎng)關網(wǎng)站防護系統(tǒng)安全管理平臺等產(chǎn)品和服務體系四、技術設計框架和方案等級保護相關標準解讀課件建設信息系統(tǒng)的可信計算基（TCB），即為信息系統(tǒng)建立基本的保護環(huán)境，并提供安全保護所要求的附加服務。下面以三級系統(tǒng)為例，展示在安全管理中心支持下的計算環(huán)境、區(qū)域邊界和通信網(wǎng)絡三重安全防護結(jié)構框架。等級保護相關標準解讀課件26 等保系統(tǒng)整體架構其它定級系統(tǒng)安全接入/隔離設備計算環(huán)境區(qū)域邊界通信網(wǎng)絡網(wǎng)站/應用服務器交換設備用戶終端安全管理中心通信網(wǎng)絡區(qū)域邊界計算環(huán)境安全管理中心26 等保系統(tǒng)整體架構其它定級系統(tǒng)安全接入/隔離設備計算環(huán)境

保護環(huán)境框架圖

通過在操作系統(tǒng)核心層、系統(tǒng)層設置以強制訪問控制為主體的系統(tǒng)安全機制，形成了一個嚴密牢固的防護層，通過對用戶行為的控制，可以有效防止非授權用戶訪問和授權用戶越權訪問，確保信息和信息系統(tǒng)的保密性和完整性安全，從而為典型應用子系統(tǒng)的正常運行和免遭惡意破壞提供支撐和保障。保護環(huán)境框架圖通過在操作系統(tǒng)核心層、系統(tǒng)層設置以

保護環(huán)境框架圖

安全保護環(huán)境為應用系統(tǒng)（如安全OA系統(tǒng)等）提供安全支撐服務。通過實施三級安全要求的業(yè)務應用系統(tǒng)，使用安全保護環(huán)境所提供的安全機制，為應用提供符合三級要求的安全功能支持和安全服務。保護環(huán)境框架圖安全保護環(huán)境為應用系統(tǒng)（如安全OA

保護環(huán)境框架圖

區(qū)域邊界子系統(tǒng)通過對進入和流出安全保護環(huán)境的信息流進行安全檢查，確保不會有違背系統(tǒng)安全策略的信息流經(jīng)過邊界，是三級信息系統(tǒng)的第二道安全屏障。保護環(huán)境框架圖區(qū)域邊界子系統(tǒng)通過對進入和流出安全

保護環(huán)境框架圖

通信網(wǎng)絡子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進行保護，確保其在傳輸過程中不會被非授權竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障，是三級信息系統(tǒng)的外層安全屏障。保護環(huán)境框架圖通信網(wǎng)絡子系統(tǒng)通過對通信數(shù)據(jù)包的保

保護環(huán)境框架圖

系統(tǒng)管理子系統(tǒng)用戶身份管理，資源管理，應急處理等。保護環(huán)境框架圖系統(tǒng)管理子系統(tǒng)

保護環(huán)境框架圖

標記管理，授權管理，策略管理等。安全管理子系統(tǒng)通過制定相應的系統(tǒng)安全策略，并且強制節(jié)點子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡子系統(tǒng)及節(jié)點子系統(tǒng)執(zhí)行，從而實現(xiàn)對整個信息系統(tǒng)的集中管理，為三級信息系統(tǒng)的安全提供了有力保障保護環(huán)境框架圖標記管理，授權管理，策略管理等。

保護環(huán)境框架圖

審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計員通過制定審計策略，強制實現(xiàn)對整個信息系統(tǒng)的行為審計，確保用戶無法抵賴違背系統(tǒng)安全策略的行為，同時為應急處理提供依據(jù)。保護環(huán)境框架圖審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計安全管理流程安全管理流程主要由安全管理中心的安全管理員系統(tǒng)管理員和系統(tǒng)審計員實施，分別實施系統(tǒng)維護、安全策略部署和審計策略部署等機制。訪問控制流程訪問控制流程是在系統(tǒng)運行時執(zhí)行，實施自主訪問控制、強制訪問控制等。 主要流程 主要流程1）策略初始化流程節(jié)點子系統(tǒng)在運行之前，系統(tǒng)管理員確定所有用戶的身份、工作密鑰、證書等，即確定業(yè)務系統(tǒng)正常運行所需要使用的執(zhí)行程序等資源配置。安全管理員為所有主\客體實施標記管理，生成全局客體安全標記列表和全局主體安全標記列表，為主體實施授權管理，生成訪問控制列表和級別調(diào)整檢查列表。安全審計員制定審計策略，實施系統(tǒng)的審計跟蹤管理。1）策略初始化流程2）計算節(jié)點啟動流程策略初始化完成后，節(jié)點系統(tǒng)在啟動時需要對所裝載的可執(zhí)行代碼進行可信驗證，確保其在可執(zhí)行代碼預期值列表中。用戶登錄系統(tǒng)驗證登錄用戶是否是該節(jié)點上的授權用戶。下載與該用戶相關的系統(tǒng)安全策略，并初始化用戶工作空間。2）計算節(jié)點啟動流程37

全程訪問控制其它定級系統(tǒng)安全接入/隔離設備區(qū)域邊界通信網(wǎng)絡網(wǎng)站/應用服務器交換設備用戶終端安全管理中心通信網(wǎng)絡區(qū)域邊界37 全程訪問控制其它定級系統(tǒng)安全接入/隔離設備區(qū)域邊界通信五、安全建設整改技術路線五、安全建設整改技術路線

1）要加強定級對象信息系統(tǒng)整體防護

建設管理中心支持下的計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡三重防護體系結(jié)構，實施多層隔離和保護，以防止某薄弱環(huán)節(jié)影響整體安全。1）要加強定級對象信息系統(tǒng)整體防護建設管理

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護

要在框架體系上解決問題，而不是在一些內(nèi)部的點上解決問題。要創(chuàng)造可信安全的保護環(huán)境，然后在可信的環(huán)境中實施各種操作。要重點做好操作人員行為控制，使其不能違規(guī)操作，防止發(fā)生攻擊行為。要改變以往在網(wǎng)絡上封堵的觀念，首先搞好終端源頭的防御這樣才能符合人、技術、操作的縱深防御策略，而且將降低建設成本。1）要加強定級對象信息系統(tǒng)整體防護要在框架

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

安全保護體系搭建好以后，病毒失去了對系統(tǒng)的攻擊能力。三級以上的系統(tǒng)強制訪問控制，嚴格控制了幾乎所有的有害程序，并通過校驗方法對文件真實性加以驗證，使病毒無法發(fā)揮作用。要實施自主防御，加強內(nèi)部的控制，這樣可以降低保護成本。要使非法攻擊者進不去，進去以后拿不到，拿到了以后也看不懂，想篡改也改不掉。1）要加強定級對象信息系統(tǒng)整體防護安全保護

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

4）加強技術平臺支持下的安全管理，與日常安全管理制度相適應

以前的安全管理比較抽象，譬如防火墻和IDS的配置不同，難以理解和管理。我們要求安全管理跟日常的管理一樣，規(guī)定什么級別的人只能做與其權限相符的事，對照著進行管理就行。應該技術與管理并重，要在技術平臺支持下進行管理，才能做到真正的有效管理。1）要加強定級對象信息系統(tǒng)整體防護以前的

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

4）加強技術平臺支持下的安全管理，與日常安全管理制度相適應

5）為便于技術方案實施，整改時不改或少改原有的應用系統(tǒng)，尤其是用戶應用程序不能改

如果對原應用和數(shù)據(jù)要進行安全設計和改造，那么會涉及整個系統(tǒng)，修改程序就要重新調(diào)試系統(tǒng)，是不可行的。1）要加強定級對象信息系統(tǒng)整體防護如果對謝謝!謝謝!等級保護相關標準解讀等級保護相關標準解讀.c

提綱等級保護背景等保相關標準中軟華泰公司參與等級保護建設工作設計技術要求的框架和方案安全建設整改技術路線提綱一、等級保護背景一、等級保護背景政策和標準國務院147號文法律政策依據(jù)科學技術依據(jù)GB17859－199950多個配套標準中辦國辦27號文四部委66號文件四部委43號文件第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責單位----公安部會同有關部門。要重點保護基礎信息網(wǎng)絡和關系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)。等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。等級保護工作的開展必須分步驟、分階段、有計劃的實施。明確了信息安全等級保護制度的基本內(nèi)容。明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責、任務。政策和標準國務院147號文法律政策依據(jù)科學技術依據(jù)GB17849等級保護的標準體系GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則信息系統(tǒng)安全等級保護定級指南GB/T20269-2006信息系統(tǒng)安全管理要求GB/T20282-2006信息安全技術信息系統(tǒng)安全工程管理要求GB/T20270-2006信息安全技術網(wǎng)絡基礎安全技術要求GB/T20271-2006信息安全技術信息系統(tǒng)通用安全技術要求GB/T20272-2006信息安全技術操作系統(tǒng)安全技術要求GB/T20273-2006信息安全技術數(shù)據(jù)庫管理系統(tǒng)通用安全技術要求GB/T22239-2008信息安全技術信息系統(tǒng)安全等級保護基本要求GB/T24856-2009信息安全技術信息系統(tǒng)等級保護安全設計技術要求

信息系統(tǒng)安全等級保護實施指南……5等級保護的標準體系GB17859-1999計算機信息系信息系統(tǒng)等級保護分級標準信息系統(tǒng)等級保護分級標準07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全等級保護定級工作,到去年為止定級工作基本上已經(jīng)落實。通過信息系統(tǒng)的定級，國家掌握了重要信息系統(tǒng)在全國范圍內(nèi)的分布、使用情況以及其重要程度。在定級基礎上，應開展信息系統(tǒng)安全建設和整改，達到相應等級的安全防護能力。07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全二、等級保護相關標準解讀二、等級保護相關標準解讀

需要了解的幾個法規(guī)、政策53幾個與等級保護有關的標志性政策、文件：《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）。《信息安全等級保護管理辦法》（公通字[2007]43號）《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）

《中華人民共和國計算機信息系統(tǒng)安全保護條例》（147號令）

需要了解的幾個法規(guī)、政策9幾個與等級保護有關的標志性政策、

幾個重要的技術標準54《信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)《信息系統(tǒng)等級保護安全設計技術要求》（GB/T24856-2009）《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）國家已出臺約50余個標準，重點需要了解的有：最早提出的基礎性、強制性標準；粒度較粗，是一個指導性標準；強調(diào)基本的技術和管理要求我們在進行產(chǎn)品開發(fā)、等保系統(tǒng)設計時的主要依據(jù)：（一個中心三重防御） 幾個重要的技術標準10《信息系統(tǒng)安全等級保護基本要求》(G55標準間的關系介紹GB/T22239-2008信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)等級保護安全設計技術要求GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則11標準間的關系介紹GB/T22239-2008信息系統(tǒng)安《計算機信息系統(tǒng)安全保護等級劃分準則》56第一級用戶自主保護級第二級系統(tǒng)審計保護級第三級安全標記保護級第四級結(jié)構化保護級第五級訪問驗證保護級自主訪問控制身份鑒別完整性保護自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記隱蔽通道分析可信路徑隱蔽通道分析可信路徑可信恢復《計算機信息系統(tǒng)安全保護等級劃分準則》12第一級用戶自主?！缎畔⑾到y(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級測評的一個基本“標尺”；按照基本要求進行保護后，信息系統(tǒng)具有相應等級的基本安全保護能力;針對本系統(tǒng)更具體的保護要求可以參考相關標準實現(xiàn)。57《信息系統(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術要求管理要求基本要求網(wǎng)絡安全主機安全應用安全數(shù)據(jù)安全安全管理機構安全管理制度人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理58各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術要求管理要求基本技術設計要求的思路《信息系統(tǒng)等級保護安全技術設計要求》以信息（應用）系統(tǒng)為核心，統(tǒng)籌規(guī)劃強調(diào)安全體系，一個中心支撐下的三重防御體系（計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡）嚴格的訪問控制，操作人員行為控制將網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全綜合考慮技術設計要求的思路《信息系統(tǒng)等級保護安全技術設計要求》

信息系統(tǒng)等級保護安全技術設計框架60安全計算環(huán)境由定級系統(tǒng)中完成信息存儲與處理的計算機系統(tǒng)硬件和系統(tǒng)軟件以及外部設備及其連接部件組成，也可以是獨立的或移動的計算機系統(tǒng)。安全區(qū)域邊界是定級系統(tǒng)中安全計算環(huán)境的邊界以及安全計算環(huán)境與安全通信網(wǎng)絡之間實現(xiàn)聯(lián)接功能的部分，對安全計算環(huán)境及進出安全計算環(huán)境的信息進行保護。安全通信網(wǎng)絡是定級系統(tǒng)中實現(xiàn)安全計算環(huán)境之間信息傳輸功能的部分。安全管理中心是對部署在安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡上的安全策略與機制實施統(tǒng)一管理的設施。信息系統(tǒng)等級保護安全技術設計框架16安全計算環(huán)境由定級系統(tǒng)等級保護核心要求（三級及以上）身份鑒別安全標記（保密性級別、完整性級別、范疇）主體（用戶、進程）客體（文件、程序、設備、網(wǎng)絡端口等）強制訪問控制自主訪問控制客體重用數(shù)據(jù)完整性審計非授權用戶“五不” “進不來” “拿不走” “看不懂” “改不了” “賴不掉”等級保護核心要求（三級及以上）身份鑒別非授權用戶防內(nèi)為主安全標記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有抵御來自外部有組織的惡意攻擊能力，和防內(nèi)部人員攻擊的能力，不僅要對安全事件有審計紀錄，還要能追蹤、能響應處理，要實現(xiàn)多重保護制度。結(jié)構化保護級（四級）要有能抵御來自敵對組織的大規(guī)模攻擊的能力，和防止內(nèi)部人員內(nèi)外勾結(jié)的惡意攻擊的能力。不僅要全面審計違規(guī)行為還要具有及時報警和應急處理能力。防內(nèi)為主安全標記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有三、我公司參與等級保護建設情況等級保護相關標準解讀課件中軟華泰致力于等級保護建設2008年初，公安部為制訂《信息系統(tǒng)等級保護安全技術設計要求》的國家標準，進行等級安全應用技術平臺示范系統(tǒng)搭建工作。我公司在眾多競爭者中脫穎而出，承接了目前最高等級四級系統(tǒng)的建設任務，目前已經(jīng)完成項目驗收。國家標準即將出臺；示范系統(tǒng)搭建在公安部第一研究所；我公司還成為等級保護國家標準863課題研究參與單位，目前正在配合國家主管單位參與國家重大支持項目的研究工作。中軟華泰致力于等級保護建設2008年初，公安部為制訂《信息系二、我公司參與等級保護建設情況等級保護相關標準解讀課件等級保護相關標準解讀課件產(chǎn)品和服務體系形成了信息系統(tǒng)等級保護建設和整改的體系結(jié)構、技術框架、解決方案體系相關安全產(chǎn)品高等級操作系統(tǒng)終端安全防護服務器安全防護應用安全網(wǎng)關網(wǎng)站防護系統(tǒng)安全管理平臺等產(chǎn)品和服務體系四、技術設計框架和方案等級保護相關標準解讀課件建設信息系統(tǒng)的可信計算基（TCB），即為信息系統(tǒng)建立基本的保護環(huán)境，并提供安全保護所要求的附加服務。下面以三級系統(tǒng)為例，展示在安全管理中心支持下的計算環(huán)境、區(qū)域邊界和通信網(wǎng)絡三重安全防護結(jié)構框架。等級保護相關標準解讀課件70 等保系統(tǒng)整體架構其它定級系統(tǒng)安全接入/隔離設備計算環(huán)境區(qū)域邊界通信網(wǎng)絡網(wǎng)站/應用服務器交換設備用戶終端安全管理中心通信網(wǎng)絡區(qū)域邊界計算環(huán)境安全管理中心26 等保系統(tǒng)整體架構其它定級系統(tǒng)安全接入/隔離設備計算環(huán)境

保護環(huán)境框架圖

通過在操作系統(tǒng)核心層、系統(tǒng)層設置以強制訪問控制為主體的系統(tǒng)安全機制，形成了一個嚴密牢固的防護層，通過對用戶行為的控制，可以有效防止非授權用戶訪問和授權用戶越權訪問，確保信息和信息系統(tǒng)的保密性和完整性安全，從而為典型應用子系統(tǒng)的正常運行和免遭惡意破壞提供支撐和保障。保護環(huán)境框架圖通過在操作系統(tǒng)核心層、系統(tǒng)層設置以

保護環(huán)境框架圖

安全保護環(huán)境為應用系統(tǒng)（如安全OA系統(tǒng)等）提供安全支撐服務。通過實施三級安全要求的業(yè)務應用系統(tǒng)，使用安全保護環(huán)境所提供的安全機制，為應用提供符合三級要求的安全功能支持和安全服務。保護環(huán)境框架圖安全保護環(huán)境為應用系統(tǒng)（如安全OA

保護環(huán)境框架圖

區(qū)域邊界子系統(tǒng)通過對進入和流出安全保護環(huán)境的信息流進行安全檢查，確保不會有違背系統(tǒng)安全策略的信息流經(jīng)過邊界，是三級信息系統(tǒng)的第二道安全屏障。保護環(huán)境框架圖區(qū)域邊界子系統(tǒng)通過對進入和流出安全

保護環(huán)境框架圖

通信網(wǎng)絡子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進行保護，確保其在傳輸過程中不會被非授權竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障，是三級信息系統(tǒng)的外層安全屏障。保護環(huán)境框架圖通信網(wǎng)絡子系統(tǒng)通過對通信數(shù)據(jù)包的保

保護環(huán)境框架圖

系統(tǒng)管理子系統(tǒng)用戶身份管理，資源管理，應急處理等。保護環(huán)境框架圖系統(tǒng)管理子系統(tǒng)

保護環(huán)境框架圖

標記管理，授權管理，策略管理等。安全管理子系統(tǒng)通過制定相應的系統(tǒng)安全策略，并且強制節(jié)點子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡子系統(tǒng)及節(jié)點子系統(tǒng)執(zhí)行，從而實現(xiàn)對整個信息系統(tǒng)的集中管理，為三級信息系統(tǒng)的安全提供了有力保障保護環(huán)境框架圖標記管理，授權管理，策略管理等。

保護環(huán)境框架圖

審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計員通過制定審計策略，強制實現(xiàn)對整個信息系統(tǒng)的行為審計，確保用戶無法抵賴違背系統(tǒng)安全策略的行為，同時為應急處理提供依據(jù)。保護環(huán)境框架圖審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計安全管理流程安全管理流程主要由安全管理中心的安全管理員系統(tǒng)管理員和系統(tǒng)審計員實施，分別實施系統(tǒng)維護、安全策略部署和審計策略部署等機制。訪問控制流程訪問控制流程是在系統(tǒng)運行時執(zhí)行，實施自主訪問控制、強制訪問控制等。 主要流程 主要流程1）策略初始化流程節(jié)點子系統(tǒng)在運行之前，系統(tǒng)管理員確定所有用戶的身份、工作密鑰、證書等，即確定業(yè)務系統(tǒng)正常運行所需要使用的執(zhí)行程序等資源配置。安全管理員為所有主\客體實施標記管理，生成全局客體安全標記列表和全局主體安全標記列表，為主體實施授權管理，生成訪問控制列表和級別調(diào)整檢查列表。安全審計員制定審計策略，實施系統(tǒng)的審計跟蹤管理。1）策略初始化流程2）計算節(jié)點啟動流程策略初始化完成后，節(jié)點系統(tǒng)在啟動時需要對所裝載的可執(zhí)行代碼進行可信驗證，確保其在可執(zhí)行代碼預期值列表中。用戶登錄系統(tǒng)驗證登錄用戶是否是該節(jié)點上的授權用戶。下載與該用戶相關的系統(tǒng)安全策略，并初始化用戶工作空間。2）計算節(jié)點啟動流程81

全程訪問控制其它定級系統(tǒng)安全接入/隔離設備區(qū)域邊界通信網(wǎng)絡網(wǎng)站/應用服務器交換設備用戶終端安全管理中心通信網(wǎng)絡區(qū)域邊界37