信息系統(tǒng)安全保障體系規(guī)劃方案V1.5

文檔信息文檔名稱XXXXXXXXXXXX信息系統(tǒng)安全保障體系規(guī)劃方案保密級(jí)別商業(yè)秘密文檔編號(hào)制作人制作日期復(fù)審人復(fù)審日期復(fù)審日期分發(fā)控制讀者文檔權(quán)限與文檔的主要關(guān)系創(chuàng)建、修改、讀取負(fù)責(zé)編制、修改、審核本技術(shù)方案XXXXXXXXXXXX閱讀版本控制時(shí)間版本說明修改人V1.0文檔初始化V1.5修改完善目錄1. 概述 51.1. 引言 51.2. 背景 51.2.1. XXXX行業(yè)行業(yè)相關(guān)要求 51.2.2. 國家等級(jí)保護(hù)要求 61.2.3. 三個(gè)體系自身業(yè)務(wù)要求 71.3. 三個(gè)體系規(guī)劃目標(biāo) 71.3.1. 安全技術(shù)和安全運(yùn)維體系規(guī)劃目標(biāo) 71.3.2. 安全管理體系規(guī)劃目標(biāo) 81.4. 技術(shù)及運(yùn)維體系規(guī)劃參考模型及標(biāo)準(zhǔn) 101.4.1. 參考模型 101.4.2. 參考標(biāo)準(zhǔn) 121.5. 管理體系規(guī)劃參考模型及標(biāo)準(zhǔn) 121.5.1. 國家信息安全標(biāo)準(zhǔn)、指南 121.5.2. 國際信息安全標(biāo)準(zhǔn) 131.5.3. 行業(yè)規(guī)范 132. 技術(shù)體系建設(shè)規(guī)劃 142.1. 技術(shù)保障體系規(guī)劃 142.1.1. 設(shè)計(jì)原則 142.1.2. 技術(shù)路線 142.2. 信息安全保障技術(shù)體系規(guī)劃 152.2.1. 安全域劃分及網(wǎng)絡(luò)改造 152.2.2. 現(xiàn)有信息技術(shù)體系描述 242.3. 技術(shù)體系規(guī)劃主要內(nèi)容 292.3.1. 網(wǎng)絡(luò)安全域改造建設(shè)規(guī)劃 292.3.2. 網(wǎng)絡(luò)安全設(shè)備建設(shè)規(guī)劃 322.3.3. CA認(rèn)證體系建設(shè) 402.3.4. 數(shù)據(jù)安全保障 422.3.5. 終端安全管理 452.3.6. 備份與恢復(fù) 462.3.7. 安全運(yùn)營中心建設(shè) 472.3.8. 周期性風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理 482.4. 技術(shù)體系建設(shè)實(shí)施規(guī)劃 492.4.1. 安全建設(shè)階段 492.4.2. 建設(shè)項(xiàng)目規(guī)劃 503. 運(yùn)維體系建設(shè)規(guī)劃 513.1. 風(fēng)險(xiǎn)評(píng)估及安全加固 513.1.1. 風(fēng)險(xiǎn)評(píng)估 513.1.2. 安全加固 513.2. 信息安全運(yùn)維體系建設(shè)規(guī)劃 513.2.1. 機(jī)房安全規(guī)劃 513.2.2. 資產(chǎn)和設(shè)備安全 523.2.3. 網(wǎng)絡(luò)和系統(tǒng)安全管理 553.2.4. 監(jiān)控管理和安全管理中心 603.2.5. 備份與恢復(fù) 613.2.6. 惡意代碼防范 623.2.7. 變更管理 633.2.8. 信息安全事件管理 643.2.9. 密碼管理 673.3. 運(yùn)維體系建設(shè)實(shí)施規(guī)劃 683.3.1. 安全建設(shè)階段 683.3.2. 建設(shè)項(xiàng)目規(guī)劃 684. 管理體系建設(shè)規(guī)劃 704.1. 體系建設(shè) 704.1.1. 建設(shè)思路 704.1.2. 規(guī)劃內(nèi)容 714.2. 信息安全管理體系現(xiàn)狀 724.2.1. 現(xiàn)狀 724.2.2. 問題 744.3. 管理體系建設(shè)規(guī)劃 754.3.1. 信息安全最高方針 754.3.2. 風(fēng)險(xiǎn)管理 764.3.3. 組織與人員安全 764.3.4. 信息資產(chǎn)管理 794.3.5. 網(wǎng)絡(luò)安全管理 914.3.6. 桌面安全管理 934.3.7. 服務(wù)器管理 934.3.8. 第三方安全管理 954.3.9. 系統(tǒng)開發(fā)維護(hù)安全管理 974.3.10. 業(yè)務(wù)連續(xù)性管理 984.3.11. 項(xiàng)目安全建設(shè)管理 1004.3.12. 物理環(huán)境安全 1024.4. 管理體系建設(shè)規(guī)劃 1034.4.1. 項(xiàng)目規(guī)劃 1034.4.2. 總結(jié) 104概述引言本文檔基于對(duì)XXXX公司（以下簡(jiǎn)稱“XXXX公司工業(yè)”）信息安全風(fēng)險(xiǎn)評(píng)估總體規(guī)劃的分析，提出XXXX公司工業(yè)信息安全技術(shù)工作的總體規(guī)劃、目標(biāo)以及基本原則，并在此基礎(chǔ)上從信息安全保障體系的視角描繪了未來的信息安全總體架構(gòu)。本文檔內(nèi)容為信息安全技術(shù)體系、運(yùn)維體系、管理體系的評(píng)估和規(guī)劃，是信息安全保障體系的主體。背景XXXX行業(yè)行業(yè)相關(guān)要求國家XXXX行業(yè)總局一直以來十分重視信息安全管理工作，先后下發(fā)了涉及保密計(jì)算機(jī)運(yùn)行、等級(jí)保護(hù)定級(jí)等多個(gè)文件，在2008年下發(fā)了147號(hào)文《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》，指南從技術(shù)、管理、運(yùn)維三個(gè)方面對(duì)安全保障提出了建議，如下圖所示。圖1_SEQ圖\*ARABIC\s11行業(yè)信息安全保障體系框架國家等級(jí)保護(hù)要求等級(jí)保護(hù)工作作為我國信息安全保障工作中的一項(xiàng)基本制度，對(duì)提高基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全防護(hù)水平有著重要作用，國家XXXX行業(yè)專賣局在2008年8月下發(fā)了國煙辦綜[2008]358號(hào)文《國家XXXX行業(yè)專賣局辦公室關(guān)于做好XXXX行業(yè)行業(yè)信息系統(tǒng)安全等級(jí)定級(jí)工作的通知》，而在《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中對(duì)信息安全管理和信息安全技術(shù)也提出了要求，如下圖所示。圖1_SEQ圖\*ARABIC\s12等保基本要求框架圖三個(gè)體系自身業(yè)務(wù)要求在國家數(shù)字XXXX行業(yè)政策的引導(dǎo)下，近年來信息系統(tǒng)建設(shè)日趨完善，尤其是隨著國家局統(tǒng)一建設(shè)的一號(hào)工程的上線，業(yè)務(wù)系統(tǒng)對(duì)信息系統(tǒng)的依賴程度逐漸增加，信息系統(tǒng)的重要性也逐漸提高，其安全保障就成為了重點(diǎn)。此外，除了一號(hào)工程外，信息系統(tǒng)的重要組成部分還有MES系統(tǒng)、ERP系統(tǒng)、網(wǎng)站系統(tǒng)、工商協(xié)同營銷系統(tǒng)、LIMS系統(tǒng)、OA系統(tǒng)及生產(chǎn)系統(tǒng)（卷包中控系統(tǒng)、物流中控系統(tǒng)、制絲中控系統(tǒng)、動(dòng)力中控系統(tǒng)）等。企業(yè)生產(chǎn)已經(jīng)高度依賴于企業(yè)的信息化和各信息系統(tǒng)。信息系統(tǒng)現(xiàn)階段還無法達(dá)到完全的自動(dòng)化和智能化運(yùn)行。因此需要各級(jí)技術(shù)人員對(duì)信息系統(tǒng)進(jìn)行運(yùn)行和維護(hù)。在整個(gè)信息系統(tǒng)運(yùn)行的過程中，起主導(dǎo)作用的仍然是人，是各級(jí)管理員。設(shè)備的作用仍然僅僅停留在執(zhí)行層面。因此信息系統(tǒng)的穩(wěn)定運(yùn)行的決定因素始終都在于人員的操作。信息安全運(yùn)維體系的作用是在安全管理體系和安全技術(shù)體系的運(yùn)行過程中，發(fā)現(xiàn)和糾正各類安全保障措施存在的問題和不足，保證它們穩(wěn)定可靠運(yùn)行，有效執(zhí)行安全策略規(guī)定的目標(biāo)和原則。當(dāng)運(yùn)行維護(hù)過程中發(fā)現(xiàn)目前的信息安全保障體系不能滿足本單位信息化建設(shè)的需要時(shí)，就可以對(duì)保障體系進(jìn)行新的規(guī)劃和設(shè)計(jì)。從而使新的保障體系能夠適應(yīng)企業(yè)不斷發(fā)展和變化的安全需求。這也仍遵循和完善了PDCA原則。三個(gè)體系規(guī)劃目標(biāo)安全技術(shù)和安全運(yùn)維體系規(guī)劃目標(biāo)建立技術(shù)體系的目的是通過使用安全產(chǎn)品和技術(shù)，支撐和實(shí)現(xiàn)安全策略，達(dá)到信息系統(tǒng)的保密、完整、可用等安全目標(biāo)。按照P2DR2模型，行業(yè)信息安全技術(shù)體系涉及信息安全防護(hù)、檢測(cè)、響應(yīng)和恢復(fù)四個(gè)方面的內(nèi)容：防護(hù)：通過訪問控制、信息系統(tǒng)完整性保護(hù)、系統(tǒng)與通信保護(hù)、物理與環(huán)境保護(hù)等安全控制措施，使信息系統(tǒng)具備比較完善的抵抗攻擊破壞的能力。檢測(cè)：通過采取入侵檢測(cè)、漏洞掃描、安全審計(jì)等技術(shù)手段，對(duì)信息系統(tǒng)運(yùn)行狀態(tài)和操作行為進(jìn)行監(jiān)控和記錄，對(duì)信息系統(tǒng)的脆弱性以及面臨的威脅進(jìn)行評(píng)估，及時(shí)發(fā)現(xiàn)安全隱患和入侵行為并發(fā)出告警。響應(yīng)：通過事件監(jiān)控和處理工具等技術(shù)措施，提高應(yīng)急處理和事件響應(yīng)能力，保證在安全事件發(fā)生后能夠及時(shí)進(jìn)行分析、定位、跟蹤、排除和取證?；謴?fù)：通過建立信息系統(tǒng)備份和恢復(fù)機(jī)制，保證在安全事件發(fā)生后及時(shí)有效地進(jìn)行信息系統(tǒng)設(shè)施和重要數(shù)據(jù)的恢復(fù)。安全管理體系規(guī)劃目標(biāo)本次項(xiàng)目通過風(fēng)險(xiǎn)評(píng)估對(duì)XXXX公司工業(yè)自身安全管理現(xiàn)狀進(jìn)行全面了解后，對(duì)信息安全管理整體提出以下目標(biāo)：健全信息安全管理組織建立全面、完整、有效的信息安全保障體系，必須健全、完善信息安全管理組織，這是XXXX公司工業(yè)信息安全保障體系建立的首要任務(wù)。信息安全管理組織的健全需要明確角色模型，在此基礎(chǔ)上設(shè)計(jì)信息安全崗位職責(zé)和匯報(bào)關(guān)系，充分考慮XXXX公司工業(yè)與下屬單位的組織模式和特點(diǎn)，做到信息安全職責(zé)分工明確合理、責(zé)任落實(shí)到位。建立信息安全專業(yè)服務(wù)團(tuán)隊(duì)隨著XXXX公司工業(yè)信息化的推進(jìn)，XXXX公司工業(yè)需要有一支擁有各種專業(yè)技能的團(tuán)隊(duì)提供身份認(rèn)證、安全監(jiān)控、威脅和弱點(diǎn)管理、風(fēng)險(xiǎn)評(píng)估等信息安全服務(wù)。信息安全團(tuán)隊(duì)建設(shè)的關(guān)鍵在于人才培養(yǎng)和服務(wù)團(tuán)隊(duì)的設(shè)立。XXXX公司工業(yè)將在明確信息安全服務(wù)團(tuán)隊(duì)設(shè)立方案的基礎(chǔ)上制定人才培養(yǎng)計(jì)劃，逐步培養(yǎng)在信息安全各個(gè)領(lǐng)域的專業(yè)技術(shù)人才，在3-5年的時(shí)間內(nèi)建立起一支高素質(zhì)的，能夠滿足XXXX公司工業(yè)信息安全需求的專業(yè)服務(wù)團(tuán)隊(duì)。建立完善的信息安全風(fēng)險(xiǎn)管理流程作為XXXX公司工業(yè)信息安全保障體系的基本理念之一，信息安全風(fēng)險(xiǎn)管理的實(shí)現(xiàn)需要建立完善的流程，XXXX公司工業(yè)將建立針對(duì)信息安全風(fēng)險(xiǎn)的全程管理能力和信息安全管理持續(xù)改進(jìn)能力，將信息安全的管理由針對(duì)結(jié)果的管理變成針對(duì)過程的管理。XXXX公司工業(yè)信息安全風(fēng)險(xiǎn)管理流程需要覆蓋需求分析、控制實(shí)施、運(yùn)行監(jiān)控、響應(yīng)恢復(fù)四個(gè)環(huán)節(jié)，識(shí)別相應(yīng)的信息安全風(fēng)險(xiǎn)管理核心流程，并進(jìn)行流程設(shè)計(jì)和實(shí)施。完善信息安全制度與標(biāo)準(zhǔn)信息安全制度與標(biāo)準(zhǔn)是信息安全工作在管理、控制、技術(shù)等方面制度化、標(biāo)準(zhǔn)化后形成的一整套文件。XXXX公司工業(yè)已經(jīng)制定并發(fā)布執(zhí)行了一些信息安全相關(guān)的制度和標(biāo)準(zhǔn)，但是在完整性、針對(duì)性、可用性和執(zhí)行效果方面都有較大的改進(jìn)空間。例如在信息安全管理制度的上，沒有依據(jù)《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》或者是ISMS體系建設(shè)等標(biāo)準(zhǔn)和規(guī)范制定，從而使管理規(guī)定缺乏系統(tǒng)性。在前期調(diào)研中，發(fā)現(xiàn)只有《系統(tǒng)支持和維護(hù)管理控制程序》、《信息設(shè)備及軟件控制程序》等少量管理文檔，不足以滿足XXXX公司工業(yè)對(duì)整個(gè)信息系統(tǒng)安全管理的需求。XXXX公司工業(yè)需要有計(jì)劃的逐步建立一套完整的，可操作的信息安全制度與標(biāo)準(zhǔn)，并通過對(duì)執(zhí)行效果的持續(xù)跟蹤，不斷完善，以形成一套真正符合XXXX公司工業(yè)需求、完整有效的信息安全制度與標(biāo)準(zhǔn)，為信息安全工作的開展提供依據(jù)和指導(dǎo)。建立規(guī)范化的流程隨著信息化建設(shè)的推進(jìn)，XXXX公司工業(yè)需要建設(shè)越來越多的應(yīng)用系統(tǒng)，這些系統(tǒng)目前日常維護(hù)工作基本依靠系統(tǒng)維護(hù)人員的經(jīng)驗(yàn)，因此逐步建立專業(yè)化的信息安全服務(wù)和規(guī)范化的流程成為信息安全保障體系建立的重要目標(biāo)之一。技術(shù)及運(yùn)維體系規(guī)劃參考模型及標(biāo)準(zhǔn)參考模型目前安全模型已經(jīng)從以前的被動(dòng)保護(hù)轉(zhuǎn)到了現(xiàn)在的主動(dòng)防御，強(qiáng)調(diào)整個(gè)生命周期的防御和恢復(fù)。PDR模型就是最早提出的體現(xiàn)這樣一種思想的安全模型。所謂PDR模型指的就是基于防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Reaction）的安全模型。上個(gè)世紀(jì)90年代末，ANS聯(lián)盟在PDR模型的基礎(chǔ)上建立了新的P2DR模型。該模型是可量化、可由數(shù)學(xué)證明、基于時(shí)間的、以PDR為核心的安全模型。這里P2DR2是策略（Policy）、防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Response）、恢復(fù)（Recovery）的縮寫。如下圖所示。ProtectionProtectionDetectionResponseRecoveryPolicy圖1_2P2DR2模型策略（Policy）策略是P2DR模型的核心，所有的防護(hù)、檢測(cè)、響應(yīng)都是依據(jù)策略。它描述了系統(tǒng)中哪些資源要得到保護(hù)，以及如何實(shí)現(xiàn)對(duì)它們的保護(hù)等。防護(hù)（Protection）防護(hù)是主動(dòng)防御的防御部分，系統(tǒng)的安全最終是依靠防護(hù)來實(shí)現(xiàn)的。防護(hù)的對(duì)象涵蓋了系統(tǒng)的全部，防護(hù)手段也因此多種多樣。檢測(cè)（Detection）檢測(cè)是動(dòng)態(tài)響應(yīng)和加強(qiáng)防護(hù)的依據(jù)。通過不間斷的檢測(cè)網(wǎng)絡(luò)和系統(tǒng)，來發(fā)現(xiàn)威脅。響應(yīng)（Response）響應(yīng)是主動(dòng)防御的實(shí)現(xiàn)。根據(jù)策略以及檢測(cè)到的情況動(dòng)態(tài)的調(diào)整防護(hù)，達(dá)到主動(dòng)防御的目的。信息系統(tǒng)的安全是基于時(shí)間特性的，P2DR安全模型的特點(diǎn)就在于動(dòng)態(tài)性和基于時(shí)間的特性。我們可以通過定義下列時(shí)間量來描述P2DR模型的時(shí)間特性。防護(hù)時(shí)間Pt：表示從入侵開始到侵入系統(tǒng)的時(shí)間。防護(hù)時(shí)間由兩方面共同決定：①入侵能力，②防護(hù)能力。高的入侵能力和相對(duì)弱的防護(hù)能力可以使得防護(hù)時(shí)間Pt縮短。顯然防護(hù)時(shí)間越長系統(tǒng)越安全。檢測(cè)時(shí)間Dt：表示檢測(cè)系統(tǒng)發(fā)現(xiàn)系統(tǒng)的安全隱患和潛在攻擊檢測(cè)的時(shí)間。改進(jìn)檢測(cè)算法和設(shè)計(jì)可縮短Dt。響應(yīng)時(shí)間Rt：表示從檢測(cè)到系統(tǒng)漏洞或監(jiān)控到非法攻擊到系統(tǒng)啟動(dòng)處理措施的時(shí)間。一個(gè)監(jiān)控系統(tǒng)的響應(yīng)可能包括見識(shí)、切換、跟蹤、報(bào)警、反擊等內(nèi)容。而安全事件的事后處理（如恢復(fù)、總結(jié)等）不納入事件響應(yīng)的范疇之內(nèi)。暴露時(shí)間Et：表示系統(tǒng)處于不安全狀態(tài)的時(shí)間。可以定義Et＝Dt＋Rt－Pt。顯然Et越小表示系統(tǒng)越安全，當(dāng)Et≤0時(shí)，可以認(rèn)為系統(tǒng)是安全的。隨著技術(shù)的進(jìn)步，人們?cè)赑2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入恢復(fù)（Recovery）手段。這樣一旦系統(tǒng)安全事故發(fā)生了，也能恢復(fù)系統(tǒng)功能和數(shù)據(jù)，恢復(fù)系統(tǒng)的正常運(yùn)行。參考標(biāo)準(zhǔn)主要參考標(biāo)準(zhǔn)：《信息保障技術(shù)框架v3.1》（IATF） 美國國家安全局《信息系統(tǒng)安全管理指南》（ISO13335） 國際標(biāo)準(zhǔn)化組織《信息安全風(fēng)險(xiǎn)評(píng)估指南》（國標(biāo)審議稿）中華人民共和國質(zhì)監(jiān)總局其它參考標(biāo)準(zhǔn)：AS/NZS4360:1999風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)ISO/IEC17799:2005/BS7799Part1ISO/IEC27001:2005/BS7799Part2ISO/IEC15408（CC）GB17859-1999等級(jí)保護(hù)實(shí)施意見（公通字[2004]66號(hào)）《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》GB17859行業(yè)參考標(biāo)準(zhǔn)：《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》管理體系規(guī)劃參考模型及標(biāo)準(zhǔn)國家信息安全標(biāo)準(zhǔn)、指南GB/T20274—2006信息系統(tǒng)安全保障評(píng)估框架GB/T19715.1—2005信息技術(shù)—信息技術(shù)安全管理指南第1部分：信息技術(shù)安全概念和模型GB/T19715.2—2005信息技術(shù)—信息技術(shù)安全管理指南第2部分：管理和規(guī)劃信息技術(shù)安全GB/T19716—2005信息技術(shù)—信息安全管理實(shí)用規(guī)則國際信息安全標(biāo)準(zhǔn)ISO/IEC27001:2005信息安全技術(shù)信息系統(tǒng)安全管理要求ISO/IEC13335—1:2004信息技術(shù)信息技術(shù)安全管理指南第1部分：信息技術(shù)安全概念和模型ISO/IECTR15443—1:2005信息技術(shù)安全保障框架第一部分概述和框架ISO/IECTR15443—2:2005信息技術(shù)安全保障框架第二部分保障方法ISO/IECWD15443—3信息技術(shù)安全保障框架第三部分保障方法分析ISO/IECPDTR19791:2004信息技術(shù)安全技術(shù)運(yùn)行系統(tǒng)安全評(píng)估行業(yè)規(guī)范《數(shù)字XXXX行業(yè)發(fā)展綱要》《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》（國煙辦綜〔2008〕147號(hào)）《XXXX行業(yè)行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)和信息安全技術(shù)與管理規(guī)范》(國煙法[2003]17號(hào))《XXXX行業(yè)行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)建設(shè)技術(shù)與管理規(guī)范》(國煙辦綜[2006]312號(hào))《XXXX行業(yè)行業(yè)CA認(rèn)證體系的建設(shè)方案》（國煙辦綜〔2008〕116號(hào)）技術(shù)體系建設(shè)規(guī)劃技術(shù)保障體系規(guī)劃設(shè)計(jì)原則技術(shù)保障體系的規(guī)劃遵循一下原則：先進(jìn)性原則采用的技術(shù)和形成的規(guī)范，在路線上應(yīng)與當(dāng)前世界的主流發(fā)展趨勢(shì)相一致，保證依據(jù)規(guī)范建成的XXXX公司工業(yè)網(wǎng)絡(luò)安全系統(tǒng)具有先進(jìn)性和可持續(xù)發(fā)展性。實(shí)用性原則具備多層次、多角度、全方位、立體化的安全保護(hù)功能。各種安全技術(shù)措施盡顯其長，相互補(bǔ)充。當(dāng)某一種或某一層保護(hù)失效時(shí)，其它仍可起到保護(hù)作用。可靠性原則加強(qiáng)網(wǎng)絡(luò)安全產(chǎn)品的集中管理，保證關(guān)鍵網(wǎng)絡(luò)安全設(shè)備的冷熱備份，避免骨干傳輸線路的單點(diǎn)連接，保證系統(tǒng)7*24小時(shí)不間斷可靠運(yùn)行。可操作性原則根據(jù)XXXX公司工業(yè)風(fēng)險(xiǎn)評(píng)估結(jié)果，制定出各具特色、有較強(qiáng)針對(duì)性和可操作性的網(wǎng)絡(luò)安全技術(shù)保障規(guī)劃，適用于XXXX公司工業(yè)信息安全的規(guī)劃、建設(shè)、運(yùn)行、維護(hù)和管理?？蓴U(kuò)展性原則規(guī)范應(yīng)具有良好的可擴(kuò)展性，能適應(yīng)安全技術(shù)的快速發(fā)展和更新，能隨著網(wǎng)絡(luò)安全需求的變化而變化，網(wǎng)絡(luò)安全保護(hù)周期應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期相同步，充分保證投資的效益。技術(shù)路線分級(jí)保護(hù)的思想遵照《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》（國煙辦綜〔2008〕147號(hào)）、《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》（公通字【2007】33號(hào)）的要求，結(jié)合XXXX公司工業(yè)網(wǎng)絡(luò)應(yīng)用實(shí)際，XXXX公司工業(yè)網(wǎng)絡(luò)的信息安全防護(hù)措施需要滿足安全等級(jí)保護(hù)要求，必須按照確定的安全策略，整體實(shí)施安全保護(hù)。分層保護(hù)的思想按照XXXX公司工業(yè)業(yè)務(wù)承載網(wǎng)絡(luò)的核心層、接入（匯聚）層、接入局域網(wǎng)三個(gè)層次，根據(jù)確定的安全策略，規(guī)范設(shè)置相應(yīng)的安全防護(hù)、檢測(cè)、響應(yīng)功能，利用虛擬專用網(wǎng)絡(luò)（例如MPLSVPN、IPSecVPN、SSLVPN）、公鑰基礎(chǔ)設(shè)施/授權(quán)管理基礎(chǔ)設(shè)施（PKI/PMI）、防火墻、在線入侵抵御、入侵檢測(cè)、防病毒、強(qiáng)審計(jì)、冷熱備份、線路冗余等多種安全技術(shù)和產(chǎn)品，進(jìn)行全方位的安全保護(hù)。分域保護(hù)的思想控制大型網(wǎng)絡(luò)安全的另一種思想是把網(wǎng)絡(luò)劃分成不同的邏輯網(wǎng)絡(luò)安全域，每一個(gè)網(wǎng)絡(luò)安全域由所定義的安全邊界來保護(hù)。綜合考慮信息性質(zhì)、使用主體等要素，XXXX公司工業(yè)網(wǎng)絡(luò)劃分為計(jì)算域、支撐域、接入域、基礎(chǔ)設(shè)施域四種類型安全域。通過在相連的兩個(gè)網(wǎng)絡(luò)之間采用訪問控制措施來進(jìn)行網(wǎng)絡(luò)的隔離和連接服務(wù)。其中，隔離安全服務(wù)包括身份認(rèn)證、訪問控制、抗抵賴和強(qiáng)審計(jì)等；連接安全服務(wù)包括傳輸過程中的保密、完整和可用等。動(dòng)態(tài)安全的思想動(dòng)態(tài)網(wǎng)絡(luò)安全的思想，一方面是要安全體系具備良好的動(dòng)態(tài)適應(yīng)性和可擴(kuò)展性。威脅和風(fēng)險(xiǎn)是在不斷變化的，安全體系也應(yīng)當(dāng)根據(jù)新的風(fēng)險(xiǎn)的引入或風(fēng)險(xiǎn)累積到一定程度后，適時(shí)進(jìn)行策略調(diào)整和體系完善；另一方面是在方案的制定和產(chǎn)品的選取中，注重方案和產(chǎn)品的自愈、自適應(yīng)功能，在遭遇攻擊時(shí)，具有一定的自動(dòng)恢復(fù)和應(yīng)急能力。信息安全保障技術(shù)體系規(guī)劃安全域劃分及網(wǎng)絡(luò)改造安全域劃分及網(wǎng)絡(luò)改造是系統(tǒng)化安全建設(shè)的基礎(chǔ)性工作。也是層次化立體化防御以及落實(shí)安全管理政策，制定合理安全管理制度的基礎(chǔ)。此過程保證在網(wǎng)絡(luò)基礎(chǔ)層面實(shí)現(xiàn)系統(tǒng)的安全防御。目標(biāo)規(guī)劃的理論依據(jù)安全域簡(jiǎn)介安全域是指同一系統(tǒng)內(nèi)有相同的安全保護(hù)需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。相對(duì)以上安全域的定義，廣義的安全域概念是指：具有相同和相似的安全要求和策略的IT要素的集合。這些IT要素包括但不僅限于：物理環(huán)境策略和流程業(yè)務(wù)和使命人和組織網(wǎng)絡(luò)區(qū)域主機(jī)和系統(tǒng)……安全域作用理順系統(tǒng)架構(gòu)進(jìn)行安全域劃分可以幫助理順網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的架構(gòu)，使得信息系統(tǒng)的邏輯結(jié)構(gòu)更加清晰，從而更便于進(jìn)行運(yùn)行維護(hù)和各類安全防護(hù)的設(shè)計(jì)。簡(jiǎn)化復(fù)雜度基于安全域的保護(hù)實(shí)際上是一種工程方法，它極大的簡(jiǎn)化了系統(tǒng)的防護(hù)復(fù)雜度：由于屬于同一安全域的信息資產(chǎn)具備相同的IT要素，因此可以針對(duì)安全域而不是信息資產(chǎn)來進(jìn)行防護(hù)，這樣會(huì)比基于資產(chǎn)的等級(jí)保護(hù)更易實(shí)施；降低投資由于安全域?qū)⒕邆渫瑯覫T特征的信息資產(chǎn)集合在一起，因此在防護(hù)時(shí)可以采用公共的防護(hù)措施而不需要針對(duì)每個(gè)資產(chǎn)進(jìn)行各自的防護(hù)，這樣可以有效減少重復(fù)投資；同時(shí)在進(jìn)行安全域劃分后，信息系統(tǒng)和信息資產(chǎn)將分出不同的防護(hù)等級(jí)，根據(jù)等級(jí)進(jìn)行安全防護(hù)能夠提高組織在安全投資上的ROI（投資回報(bào)率）。提供依據(jù)組織內(nèi)進(jìn)行了安全域的設(shè)計(jì)和劃分，便于組織發(fā)現(xiàn)現(xiàn)有信息系統(tǒng)的缺陷和不足，并為今后進(jìn)行系統(tǒng)改造和新系統(tǒng)的設(shè)計(jì)提供相關(guān)依據(jù)，也簡(jiǎn)化了新系統(tǒng)上線安全防護(hù)的設(shè)計(jì)過程。特別是針對(duì)組織的分支機(jī)構(gòu)，安全域劃分的方案也有利于協(xié)助他們進(jìn)行系統(tǒng)安全規(guī)劃和防護(hù)，從而進(jìn)行規(guī)范的、有效的安全建設(shè)工作?？傮w架構(gòu)如下圖所示：安全域的劃分如下：圖2_1安全與總體框架本次建議的劃分方法是立體的，即：各個(gè)域之間不是簡(jiǎn)單的相交或隔離關(guān)系，而是在網(wǎng)絡(luò)和管理上有不同的層次。網(wǎng)絡(luò)基礎(chǔ)設(shè)施域是所有域的基礎(chǔ)，包括所有的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)通訊支撐設(shè)施域，網(wǎng)絡(luò)基礎(chǔ)設(shè)施域分為骨干區(qū)、匯集區(qū)和接入?yún)^(qū)。支撐設(shè)施域是其他上層域需要公共使用的部分，主要包括：安全系統(tǒng)、網(wǎng)管系統(tǒng)和其他支撐系統(tǒng)等。計(jì)算域主要是各類的服務(wù)器、數(shù)據(jù)庫等，主要分為一般服務(wù)區(qū)、重要服務(wù)區(qū)和核心區(qū)。邊界接入域是各類接入的設(shè)備和終端以及業(yè)務(wù)系統(tǒng)邊界，按照接入類型分為：互聯(lián)網(wǎng)接入、外聯(lián)網(wǎng)接入、內(nèi)聯(lián)網(wǎng)接入和內(nèi)網(wǎng)接入。圖2_SEQ圖\*ARABIC\s11安全域立體結(jié)構(gòu)圖多層次體系根據(jù)XXXX公司工業(yè)公司的情況，安全域的劃分原則和劃分方法，域是本次安全域劃分的第一層結(jié)構(gòu)，劃分的原則是業(yè)務(wù)行為。XXXX公司工業(yè)公司安全域總體設(shè)計(jì)計(jì)劃劃分為4個(gè)域，分別是邊界接入域、網(wǎng)絡(luò)基礎(chǔ)設(shè)施域、計(jì)算域、支撐設(shè)施域。建設(shè)規(guī)劃內(nèi)容邊界接入域邊界接入域的劃分《ISO13335信息系統(tǒng)管理指南》中將一個(gè)組織中可能的接入類型分為以下幾種：組織單獨(dú)控制的連接（內(nèi)部接入）公共網(wǎng)絡(luò)的連接（如互聯(lián)網(wǎng)接入）不同組織間的連接（可信的）不同組織間的連接（不可信的）組織內(nèi)的異地連接（如不同地理位置的分支結(jié)構(gòu)）組織內(nèi)人員從外部接入（如出差時(shí)接入內(nèi)部網(wǎng)）邊界接入域的劃分，根據(jù)XXXX公司工業(yè)公司的實(shí)際情況，相對(duì)于ISO13335定義的接入類型，分別有如下對(duì)應(yīng)關(guān)系：ISO13335實(shí)際情況組織單獨(dú)控制的連接內(nèi)部網(wǎng)接入（終端接入，如辦公網(wǎng)）；業(yè)務(wù)邊界（如核心服務(wù)邊界）公共網(wǎng)絡(luò)的連接互聯(lián)網(wǎng)接入（如Web和郵件服務(wù)器的外部接入，辦公網(wǎng)的Internet接入等）不同組織間的連接外聯(lián)網(wǎng)接入（如各個(gè)部門間的接入等）組織內(nèi)的異地連接內(nèi)聯(lián)網(wǎng)接入（如XXX單位接入、城區(qū)內(nèi)如西倉等其他部門等通過專網(wǎng)接入）組織內(nèi)人員從外部接入遠(yuǎn)程接入（如移動(dòng)辦公和遠(yuǎn)程維護(hù)）邊界接入域威脅分析由于邊界接入域是XXXX公司工業(yè)公司信息系統(tǒng)中與外部相連的邊界，因此主要威脅有：黑客攻擊（外部入侵）惡意代碼（病毒蠕蟲）越權(quán)（非授權(quán)接入）終端違規(guī)操作……邊界接入域的防護(hù)針對(duì)邊界接入域的主要威脅，相應(yīng)的防護(hù)手段有：訪問控制（如防火墻）用于應(yīng)對(duì)外部攻擊遠(yuǎn)程接入管理（如VPN）用于應(yīng)對(duì)非授權(quán)接入入侵檢測(cè)與防御（IDS&IPS）用于應(yīng)對(duì)外部入侵和蠕蟲病毒惡意代碼防護(hù)（防病毒）用于應(yīng)對(duì)蠕蟲病毒終端管理（注入控制、補(bǔ)丁管理、資產(chǎn)管理等）對(duì)終端進(jìn)行合規(guī)管理計(jì)算域計(jì)算域的劃分計(jì)算域是各類應(yīng)用服務(wù)、中間件、大機(jī)、數(shù)據(jù)庫等局域計(jì)算設(shè)備的集合，根據(jù)計(jì)算環(huán)境的行為不同和所受威脅不同，分為以下三個(gè)區(qū)：一般服務(wù)區(qū)用于存放防護(hù)級(jí)別較低（資產(chǎn)級(jí)別小于等于3），需直接對(duì)外提供服務(wù)的信息資產(chǎn)，如辦公服務(wù)器等，一般服務(wù)區(qū)與外界有直接連接，同時(shí)不能夠訪問核心區(qū)（避免被作為攻擊核心區(qū)的跳板）；重要服務(wù)區(qū)重要服務(wù)區(qū)用于存放級(jí)別較高（資產(chǎn)級(jí)別大于3），不需要直接對(duì)外提供服務(wù)的信息資產(chǎn)，如前置機(jī)等，重要服務(wù)區(qū)一般通過一般服務(wù)區(qū)與外界連接，并可以直接訪問核心區(qū)；核心區(qū)核心區(qū)用于存放級(jí)別非常高（資產(chǎn)級(jí)別大于等于4）的信息資產(chǎn)，如核心數(shù)據(jù)庫等，外部對(duì)核心區(qū)的訪問需要通過重要服務(wù)區(qū)跳轉(zhuǎn)。計(jì)算域的劃分參見下圖：圖2_3計(jì)算域劃分圖計(jì)算域威脅分析由于計(jì)算域處于信息系統(tǒng)的內(nèi)部，因此主要威脅有：內(nèi)部人員越權(quán)和濫用內(nèi)部人員操作失誤軟硬件故障內(nèi)部人員篡改數(shù)據(jù)內(nèi)部人員抵賴行為對(duì)外服務(wù)系統(tǒng)遭受攻擊及非法入侵計(jì)算域的防護(hù)針對(duì)計(jì)算域主要是內(nèi)部威脅的特點(diǎn)，主要采取以下防護(hù)手段：應(yīng)用和業(yè)務(wù)開發(fā)維護(hù)安全基于應(yīng)用的審計(jì)身份認(rèn)證與行為審計(jì)同時(shí)也輔助以其他的防護(hù)手段：對(duì)網(wǎng)絡(luò)異常行為的檢測(cè)對(duì)信息資產(chǎn)的訪問控制支撐設(shè)施域支撐設(shè)施域的劃分圖2_4支撐基礎(chǔ)設(shè)施域劃分圖如上圖所示，將網(wǎng)絡(luò)管理、安全管理和業(yè)務(wù)運(yùn)維（業(yè)務(wù)操作監(jiān)控）放置在獨(dú)立的安全域中，不僅能夠有效的保護(hù)上述三個(gè)高級(jí)別信息系統(tǒng)，同時(shí)在突發(fā)事件中也有利于保障后備通訊能力。其中，安全設(shè)備、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)操作監(jiān)控的管理端口都應(yīng)該處于獨(dú)立的管理VLAN中，如果條件允許，還應(yīng)該分別劃分安全VLAN、網(wǎng)管VLAN和業(yè)務(wù)管理VLAN。支撐設(shè)施域的威脅分析支撐設(shè)施域是跨越多個(gè)業(yè)務(wù)系統(tǒng)和地域的，它的保密級(jí)別和完整性要求較高，對(duì)可用性的要求略低，主要的威脅有：網(wǎng)絡(luò)傳輸泄密（如網(wǎng)絡(luò)管理人員在網(wǎng)絡(luò)設(shè)備上竊聽業(yè)務(wù)數(shù)據(jù)）非授權(quán)訪問和濫用（如業(yè)務(wù)操作人員越權(quán)操作其他業(yè)務(wù)系統(tǒng)）內(nèi)部人員抵賴（如對(duì)誤操作進(jìn)行抵賴等）支撐設(shè)施域的防護(hù)針對(duì)支撐設(shè)施域的威脅特點(diǎn)和級(jí)別，應(yīng)采取以下防護(hù)措施：帶外管理和網(wǎng)絡(luò)加密身份認(rèn)證和訪問控制審計(jì)和檢測(cè)網(wǎng)絡(luò)基礎(chǔ)設(shè)施域網(wǎng)絡(luò)基礎(chǔ)設(shè)施域的劃分圖2_5網(wǎng)絡(luò)基礎(chǔ)設(shè)施域劃分圖網(wǎng)絡(luò)基礎(chǔ)設(shè)施域的威脅分析主要威脅有：網(wǎng)絡(luò)設(shè)備故障網(wǎng)絡(luò)泄密物理環(huán)境威脅網(wǎng)絡(luò)基礎(chǔ)設(shè)施域的防護(hù)相應(yīng)的防護(hù)措施為：通過備份、冗余確?；A(chǔ)網(wǎng)絡(luò)的可用性通過網(wǎng)絡(luò)傳輸加密確?；A(chǔ)網(wǎng)絡(luò)的保密性通過基于網(wǎng)絡(luò)的認(rèn)證確?；A(chǔ)網(wǎng)絡(luò)的完整性現(xiàn)有信息技術(shù)體系描述XXXX公司工業(yè)現(xiàn)有網(wǎng)絡(luò)拓?fù)鋁XXX公司工業(yè)網(wǎng)絡(luò)結(jié)構(gòu)脆弱性評(píng)估網(wǎng)絡(luò)結(jié)構(gòu)層次不清晰當(dāng)前網(wǎng)絡(luò)骨干區(qū)域，基本形成以兩臺(tái)C6509為核心，多臺(tái)C2970/C2950等為接入的架構(gòu)，網(wǎng)絡(luò)骨干設(shè)備性能優(yōu)異，擴(kuò)展能力較強(qiáng)。但部分區(qū)域仍然存在結(jié)構(gòu)層次不清晰、不合理之處。遠(yuǎn)程接入?yún)^(qū)域，包括XXX單位通過專線直接接入到核心交換機(jī)C6509上，其它的上聯(lián)國家局、XXXX公司工業(yè)局、西倉等專線鏈路也直接接入到核心交換機(jī)C6509上，除國家局配置有防火墻外，其它連接均未經(jīng)過任何匯聚或訪問控制設(shè)備。核心交換機(jī)C6509同時(shí)兼具上述多條專線接入設(shè)備的任務(wù)，網(wǎng)絡(luò)邏輯層次結(jié)構(gòu)較為模糊。網(wǎng)絡(luò)單點(diǎn)故障當(dāng)前網(wǎng)絡(luò)核心層為冗余設(shè)備，下聯(lián)接入層交換為冗余線路，其它對(duì)外連接均為單設(shè)備和單線路連接，存在網(wǎng)絡(luò)單點(diǎn)故障隱患。各遠(yuǎn)程接入鏈路均為一條電信專線，沒有其它冗余的廣域網(wǎng)鏈路，存在遠(yuǎn)程接入鏈路單點(diǎn)故障。外網(wǎng)服務(wù)器區(qū)的Web和Mail服務(wù)器的互聯(lián)網(wǎng)連接和訪問均為單線路，存在單點(diǎn)故障。網(wǎng)絡(luò)安全域劃分不明公司大多數(shù)內(nèi)網(wǎng)服務(wù)器系統(tǒng)分布在/24網(wǎng)段，沒有進(jìn)一步的VLAN劃分及其它防護(hù)措施的隔離。ERP、一號(hào)工程、協(xié)同辦公、營銷等重要系統(tǒng)混雜在一起，與其它服務(wù)器都部署在同一個(gè)區(qū)域，非常不利于隔離防護(hù)及后期的安全規(guī)劃建設(shè)。下屬卷包、物流、制絲、動(dòng)力車間存在生產(chǎn)網(wǎng)與辦公網(wǎng)絡(luò)混用的情況。各生產(chǎn)網(wǎng)與辦公網(wǎng)未嚴(yán)格隔離，未整合邊界，未實(shí)施集中安全防護(hù)。業(yè)務(wù)維護(hù)人員、網(wǎng)絡(luò)管理人員、安全管理人員以及第三方運(yùn)維人員，未劃分專門的管理支撐域。當(dāng)前主要根據(jù)辦公物理位置，各自接入到辦公網(wǎng)中，未與普通辦公人員網(wǎng)絡(luò)區(qū)域隔離。遠(yuǎn)程接入?yún)^(qū)域，根據(jù)對(duì)端可信度及管理職責(zé)等，可以劃分為四類，1、國家XXXX行業(yè)；2、省商業(yè)公司鏈路；3、同城的西倉庫接入；4、XXX單位接入。當(dāng)前未進(jìn)行分類隔離，統(tǒng)一安全策略。部分節(jié)點(diǎn)區(qū)域缺乏必要安全防護(hù)措施內(nèi)部終端用戶訪問內(nèi)部服務(wù)器、互聯(lián)網(wǎng)絡(luò)沒有有效的控制行為；能夠訪問互聯(lián)網(wǎng)的終端不能有效控制訪問帶寬并進(jìn)行行為審計(jì)。遠(yuǎn)程接入西倉和XXX單位專線直接接入到核心交換機(jī)Cisco3845上，兩端均未部署防火墻實(shí)施訪問控制。XXX單位用戶可以任意訪問到總部網(wǎng)絡(luò)，任意訪問內(nèi)網(wǎng)服務(wù)器。全網(wǎng)缺乏一套集中的安全運(yùn)營管理中心，當(dāng)前網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)及業(yè)務(wù)系統(tǒng)的日志及安全運(yùn)行狀況監(jiān)控，僅由各自維護(hù)人員手工操作，直接登錄設(shè)備檢查分析。內(nèi)網(wǎng)服務(wù)器區(qū)、生產(chǎn)服務(wù)器區(qū)缺乏業(yè)務(wù)審計(jì)設(shè)備，無法記錄關(guān)鍵的業(yè)務(wù)、維護(hù)操作行為?，F(xiàn)有的安全技術(shù)防護(hù)手段在互聯(lián)網(wǎng)出口部署了東軟的NetEyesFW4201防火墻兩臺(tái)，同時(shí)設(shè)置訪問規(guī)則對(duì)Web服務(wù)器和內(nèi)網(wǎng)用戶對(duì)互聯(lián)網(wǎng)的訪問進(jìn)行網(wǎng)絡(luò)層控制；在核心交換機(jī)上部署了東軟的NetEyesIDS2200入侵檢測(cè)系統(tǒng)，對(duì)核心交換上的數(shù)據(jù)信息進(jìn)行入侵行為的檢測(cè)；在郵件系統(tǒng)部署了防垃圾郵件系統(tǒng)，可對(duì)垃圾郵件進(jìn)行過濾；內(nèi)網(wǎng)部署了趨勢(shì)的網(wǎng)絡(luò)防病毒系統(tǒng)，內(nèi)網(wǎng)部署了圣博潤的內(nèi)網(wǎng)管理系統(tǒng)，可對(duì)內(nèi)部網(wǎng)絡(luò)終端進(jìn)行接入管理、主機(jī)維護(hù)管理、補(bǔ)丁管理、主機(jī)行為審計(jì)等。XXX單位現(xiàn)有網(wǎng)絡(luò)拓?fù)鋁XX單位網(wǎng)絡(luò)結(jié)構(gòu)脆弱性評(píng)估網(wǎng)絡(luò)結(jié)構(gòu)層次不清晰當(dāng)前網(wǎng)絡(luò)骨干區(qū)域，是以S5516為單核心設(shè)備連接上聯(lián)C2601路由器至XXXX公司工業(yè)，下聯(lián)S3026接入交換機(jī)連接終端。網(wǎng)絡(luò)骨干設(shè)備性能較差，擴(kuò)展能力很弱。各區(qū)域存在結(jié)構(gòu)層次不清晰、不合理之處。網(wǎng)絡(luò)核心交換S5516如果癱瘓，整個(gè)網(wǎng)絡(luò)通訊將斷開；服務(wù)器直接連接漏洞交換機(jī)，一旦設(shè)備出現(xiàn)故障則一號(hào)工程、內(nèi)網(wǎng)管理等業(yè)務(wù)系統(tǒng)無法正常工作，將引起業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)通訊的中斷。網(wǎng)絡(luò)單點(diǎn)故障核心設(shè)備、上聯(lián)線路為單條線路，存在網(wǎng)絡(luò)單點(diǎn)故障隱患。上聯(lián)鏈路僅為一條電信專線，沒有其它冗余的廣域網(wǎng)鏈路，存在遠(yuǎn)程接入鏈路單點(diǎn)故障。一號(hào)工程、內(nèi)網(wǎng)管理服務(wù)器僅單線連接在樓層交換機(jī)上，樓層交換本身為單線連接核心交換，連接和訪問均為單線路，存在單點(diǎn)故障。網(wǎng)絡(luò)安全域劃分不明XXX單位一號(hào)工程、內(nèi)網(wǎng)管理服務(wù)器系統(tǒng)分布在/24網(wǎng)段，僅簡(jiǎn)單的通過VLAN與辦公網(wǎng)其他主機(jī)劃分，并未采取其它防護(hù)措施的隔離，非常不利于隔離防護(hù)及后期的安全規(guī)劃建設(shè)。部分節(jié)點(diǎn)區(qū)域缺乏必要安全防護(hù)措施內(nèi)部終端用戶訪問內(nèi)部服務(wù)器、互聯(lián)網(wǎng)絡(luò)沒有有效的控制行為；能夠訪問互聯(lián)網(wǎng)的終端不能有效控制訪問帶寬并進(jìn)行行為審計(jì)。此問題可與XXXX公司工業(yè)解決建議方案同時(shí)及解決。全網(wǎng)缺乏一套集中的安全運(yùn)營管理中心，當(dāng)前網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)及業(yè)務(wù)系統(tǒng)的日志及安全運(yùn)行狀況監(jiān)控，僅由各自維護(hù)人員手工操作，直接登錄設(shè)備檢查分析。此問題可與XXXX公司工業(yè)解決建議方案同時(shí)解決。內(nèi)網(wǎng)服務(wù)器區(qū)、生產(chǎn)服務(wù)器區(qū)缺乏業(yè)務(wù)審計(jì)設(shè)備，無法記錄關(guān)鍵的業(yè)務(wù)、維護(hù)操作行為?，F(xiàn)有的安全技術(shù)防護(hù)手段互聯(lián)網(wǎng)訪問通過專線到達(dá)XXXX公司工業(yè)后訪問，因此防護(hù)技術(shù)手段與XXXX公司工業(yè)相同；內(nèi)網(wǎng)部署了趨勢(shì)的網(wǎng)絡(luò)防病毒系統(tǒng)，內(nèi)網(wǎng)部署了圣博潤的內(nèi)網(wǎng)管理系統(tǒng)，可對(duì)內(nèi)部網(wǎng)絡(luò)終端進(jìn)行接入管理、主機(jī)維護(hù)管理、補(bǔ)丁管理、主機(jī)行為審計(jì)等。技術(shù)體系規(guī)劃主要內(nèi)容網(wǎng)絡(luò)安全域改造建設(shè)規(guī)劃XXXX公司工業(yè)網(wǎng)絡(luò)系統(tǒng)規(guī)劃建議改造建議說明：新增管理支撐域，作為整個(gè)網(wǎng)絡(luò)的設(shè)備和系統(tǒng)管理中心。新增匯聚層網(wǎng)絡(luò)設(shè)施域，部署四臺(tái)三層交換機(jī)，核心部件采用冗余配置，作為整個(gè)網(wǎng)絡(luò)的匯聚層，這樣既便于接入?yún)^(qū)和服務(wù)區(qū)的訪問控制，又將生產(chǎn)區(qū)和辦公區(qū)進(jìn)行了區(qū)分，并分擔(dān)了核心交換機(jī)的負(fù)擔(dān)。在核心交換和新增的匯聚交換間部署防火墻進(jìn)行服務(wù)域的訪問控制；將原有的服務(wù)器使用VLAN方式劃分為核心服務(wù)域和一般服務(wù)域；更換互聯(lián)網(wǎng)出口防火墻為安全網(wǎng)關(guān)，采用雙機(jī)冗余方式部署，并啟用IPS檢測(cè)、AV檢測(cè)功能，為對(duì)外提供服務(wù)的WEB和MAIL服務(wù)器制定保護(hù)策略；在互聯(lián)網(wǎng)安全網(wǎng)關(guān)后增加上網(wǎng)行為管理系統(tǒng)，采用雙機(jī)冗余方式部署，對(duì)訪問互聯(lián)網(wǎng)的流量和訪問進(jìn)行控制和審計(jì)；將互聯(lián)網(wǎng)出口替換下的防火墻部署到單獨(dú)劃分的財(cái)務(wù)服務(wù)域前端，進(jìn)行必要的訪問控制保護(hù)；將XXX單位和西倉連接線路由原來的連接核心C6509改為連接新增加的匯聚層防火墻上，增加外部訪問的訪問控制。XXX單位網(wǎng)絡(luò)系統(tǒng)改造建議建議將核心交換更改為雙機(jī)冗余方式，可采取主備模式或者一臺(tái)設(shè)備冷備的方式；單獨(dú)部署服務(wù)器交換機(jī)，可采取主備模式或者一臺(tái)設(shè)備冷備的方式，其中冷備設(shè)備可與核心備用機(jī)器為同一臺(tái)設(shè)備；可考慮新增一條備用通訊線路，例如選用ADSL線路作為應(yīng)急通訊線路，通過VPN方式與XXXX公司工業(yè)網(wǎng)絡(luò)進(jìn)行通訊；對(duì)于辦公網(wǎng)內(nèi)接入交換上聯(lián)核心的線路可考慮部署雙線路方式，實(shí)現(xiàn)線路冗余，這樣可避免因?yàn)橐馔鉅顩r造成線路中斷后的網(wǎng)絡(luò)中斷，接入交換設(shè)備可增加1-2臺(tái)冷備設(shè)備；可在網(wǎng)絡(luò)邊界部署防火墻設(shè)備進(jìn)行訪問控制。網(wǎng)絡(luò)安全設(shè)備建設(shè)規(guī)劃網(wǎng)絡(luò)安全設(shè)備分為邊界保護(hù)類，入侵檢測(cè)/防御類，終端保護(hù)等多種。網(wǎng)絡(luò)安全產(chǎn)品的類型是由網(wǎng)絡(luò)安全技術(shù)決定的，為了實(shí)現(xiàn)全面的安全防護(hù)，以不同的實(shí)體出現(xiàn)的安全設(shè)備要在技術(shù)上覆蓋所有的安全領(lǐng)域，也就是所有安全設(shè)備功能的總和在技術(shù)層面應(yīng)該能夠防御目前網(wǎng)絡(luò)環(huán)境下所有安全威脅的總和。安全產(chǎn)品雖然不是安全防護(hù)體系的決定因素，卻是安全防御體系的基石。是實(shí)現(xiàn)系統(tǒng)化全方位網(wǎng)絡(luò)安全防護(hù)的必要條件。在充分分析目前XXXX公司工業(yè)已經(jīng)部署的網(wǎng)絡(luò)安全設(shè)備的前提下，又結(jié)合了風(fēng)險(xiǎn)評(píng)估的結(jié)果，以及安全域劃分和網(wǎng)絡(luò)改造的具體需求，得出了最終需要新增的網(wǎng)絡(luò)安全設(shè)備需求。此過程保證在設(shè)備層面實(shí)現(xiàn)安全技術(shù)體系。部署完成后，XXXX公司工業(yè)所有安全設(shè)備防護(hù)功能的總和在技術(shù)層面上將能夠滿足防護(hù)和應(yīng)對(duì)目前已知安全威脅。同時(shí)滿足《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》中在技術(shù)體系建設(shè)方面對(duì)網(wǎng)絡(luò)安全部分的要求。結(jié)合規(guī)劃的安全域，在新的安全環(huán)境下，規(guī)劃的安全設(shè)備部署示意圖如下：防火墻設(shè)備部署位置防火墻部署在核心層和匯聚層之間。如下圖所示。安全功能防火墻系統(tǒng)是進(jìn)行安全域邊界防護(hù)的有效手段。需要部署防火墻將網(wǎng)絡(luò)分割成不同安全區(qū)域，并對(duì)核心業(yè)務(wù)系統(tǒng)形成縱深保護(hù)體系。在新增的匯聚網(wǎng)絡(luò)層和核心網(wǎng)絡(luò)層之間冗余部署四臺(tái)防火墻設(shè)備，實(shí)現(xiàn)生產(chǎn)接入域、辦公接入域和其他區(qū)域訪問的控制，生產(chǎn)接入域和辦公接入域之間的訪問控制。通過此次安全域的劃分和網(wǎng)絡(luò)改造，使防火墻主要可以起到如下幾類作用：限制各個(gè)接入網(wǎng)絡(luò)對(duì)網(wǎng)絡(luò)設(shè)備的訪問。限制接入網(wǎng)絡(luò)穿過的源。限制接入網(wǎng)絡(luò)能訪問的目的。限制接入網(wǎng)絡(luò)穿過的應(yīng)用端口。限制能提供的應(yīng)用端口。安全網(wǎng)關(guān)設(shè)備部署位置一體化安全網(wǎng)關(guān)部署在互聯(lián)網(wǎng)出口處，做互聯(lián)網(wǎng)邊界綜合防護(hù)。如下圖所示。實(shí)現(xiàn)安全功能訪問控制IP地址過濾、MAC地址過濾、IP＋MAC綁定、用戶認(rèn)證、流量整形、連接數(shù)控制等IPS防御體系通過繼承的IPS功能，精確抵御黑客攻擊、蠕蟲、木馬、后門；抑制間諜軟件、灰色軟件、網(wǎng)絡(luò)釣魚的泛濫；并可有效防止拒絕服務(wù)攻擊。網(wǎng)絡(luò)防病毒能夠有效抵御文件感染病毒、宏病毒、腳本病毒、蠕蟲、木馬、惡意軟件、灰色軟件等?？笵oS攻擊采用特征控制和異?？刂葡嘟Y(jié)合的手段，有效保障抗拒絕服務(wù)攻擊的準(zhǔn)確性和全面性，阻斷絕大多數(shù)的DoS攻擊行為。上網(wǎng)行為管理設(shè)備部署位置上網(wǎng)行為管理部署在互聯(lián)網(wǎng)出口處。如下圖所示。安全功能P2P流量控制目前幾乎在所有組織中都存在著帶寬濫用和浪費(fèi)的現(xiàn)象。尤其是在P2P技術(shù)出現(xiàn)之后，此問題更加嚴(yán)重和突出。XXXX公司工業(yè)也不例外，存在著P2P泛濫，帶寬濫用等現(xiàn)象。各種P2P應(yīng)用占用了大量網(wǎng)絡(luò)帶寬(如BitTorrent，Kazza，Emule等)，消耗了網(wǎng)絡(luò)中的大量帶寬，隨之而來的是，由網(wǎng)絡(luò)鏈路擁塞引發(fā)的應(yīng)用性能下降問題也日益嚴(yán)重，極大地影響了組織正常業(yè)務(wù)的開展及用戶正常網(wǎng)絡(luò)應(yīng)用的服務(wù)質(zhì)量。因此必須對(duì)P2P的應(yīng)用加以控制，例如提供最大帶寬限制、保證帶寬、帶寬租借、應(yīng)用優(yōu)先級(jí)等一系列帶寬管理功能，最終可實(shí)現(xiàn)禁止使用P2P軟件或限制P2P軟件的可用帶寬，從而達(dá)到控制P2P流量的目標(biāo)，將寶貴的、有限的帶寬資源保留給組織中關(guān)鍵的應(yīng)用和業(yè)務(wù)。服務(wù)分級(jí)服務(wù)分級(jí)是一種帶寬管理的理解方式。也可以理解為某種程度上QoS。服務(wù)分級(jí)處理可以比喻為一個(gè)多車道并行的高速公路，其中各種不同的車輛都按照一定的規(guī)則行駛在不同的車道上，帶寬管理設(shè)備在這里就相當(dāng)于分流的路口。比如，視頻點(diǎn)播業(yè)務(wù)需要很高的帶寬，并且要保證數(shù)據(jù)流的連續(xù)性，要達(dá)到這樣的要求，必須為其預(yù)留出單獨(dú)的高帶寬通道；而一般的郵件服務(wù)和聊天等占據(jù)很少帶寬的業(yè)務(wù)，可能會(huì)被分配為較低的優(yōu)先級(jí)，使用一個(gè)窄帶傳輸。同樣的，針對(duì)不同訪問需求的用戶也可以進(jìn)行服務(wù)的分級(jí)處理，對(duì)帶寬要求高的人員可以獲得較多的帶寬，從而保證其訪問的需求。關(guān)鍵應(yīng)用保障目前XXXX公司工業(yè)在應(yīng)用方面已經(jīng)建立基于互聯(lián)網(wǎng)的Web和Mail系統(tǒng)，需要在應(yīng)用層加以優(yōu)先保證。上網(wǎng)行為管理設(shè)備可以基于應(yīng)用的重要程度進(jìn)行帶寬資源的合理分配，從而保證重要的、時(shí)效性高的應(yīng)用能夠獲得較多的帶寬，最終能夠保障關(guān)鍵應(yīng)用的正常運(yùn)行。業(yè)務(wù)安全審計(jì)設(shè)備部署位置網(wǎng)絡(luò)安全審計(jì)設(shè)備主要部署在核心業(yè)務(wù)區(qū)域，按照XXXX公司工業(yè)安全域的規(guī)劃，需要部署業(yè)務(wù)審計(jì)系統(tǒng)的位置為服務(wù)域（核心服務(wù)域+一般服務(wù)域），生產(chǎn)服務(wù)域（卷包中控、物流中控、制絲中控、動(dòng)力中控），重點(diǎn)審計(jì)內(nèi)容是人為通過網(wǎng)絡(luò)對(duì)各服務(wù)器系統(tǒng)、數(shù)據(jù)的訪問行為審計(jì)和控制，部署示意圖如下：服務(wù)域?qū)徲?jì)系統(tǒng)部署示意圖生產(chǎn)服務(wù)域?qū)徲?jì)系統(tǒng)部署示意圖安全功能滿足合規(guī)要求目前，越來越多的單位面臨一種或者幾種合規(guī)性要求。比如，在美上市的中國移動(dòng)集團(tuán)公司及其下屬分子公司就面臨SOX法案的合規(guī)性要求；而銀行業(yè)則面臨Basel協(xié)議的合規(guī)性要求；政府的行政事業(yè)單位或者國有企業(yè)則有遵循等級(jí)保護(hù)的合規(guī)性要求。XXXX公司工業(yè)面也面臨著合規(guī)性的要求。一是等級(jí)保護(hù)的要求；二是行業(yè)規(guī)范的要求。在國煙辦的147號(hào)文件中，明確要求部署網(wǎng)絡(luò)審計(jì)設(shè)備。有效減少核心信息資產(chǎn)的破壞和泄漏對(duì)企業(yè)的業(yè)務(wù)系統(tǒng)來說，真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵系統(tǒng)上（如數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器等），通過使用網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的審計(jì)，從而有效地減少對(duì)核心信息資產(chǎn)的破壞和泄漏。追蹤溯源，便于事后追查原因與界定責(zé)任一個(gè)單位里負(fù)責(zé)運(yùn)維的部門通常擁有目標(biāo)系統(tǒng)或者網(wǎng)絡(luò)設(shè)備的最高權(quán)限（例如掌握DBA帳號(hào)的口令），因而也承擔(dān)著很高的風(fēng)險(xiǎn)（誤操作或者是個(gè)別人員的惡意破壞）。由于目標(biāo)系統(tǒng)不能區(qū)別不同人員使用同一個(gè)帳號(hào)進(jìn)行維護(hù)操作，所以不能界定維護(hù)人員的真實(shí)身份。試用網(wǎng)絡(luò)安全審計(jì)系統(tǒng)提供基于角色的審計(jì)，能夠有效地區(qū)分不同維護(hù)人員的身份，便于事后追查原因與界定責(zé)任。直觀掌握業(yè)務(wù)系統(tǒng)運(yùn)行的安全狀況業(yè)務(wù)系統(tǒng)的正常運(yùn)行需要一個(gè)安全、穩(wěn)定的網(wǎng)絡(luò)環(huán)境。對(duì)管理部門來說，網(wǎng)絡(luò)環(huán)境的安全狀況事關(guān)重大。網(wǎng)絡(luò)安全審計(jì)系統(tǒng)提供業(yè)務(wù)流量監(jiān)控與審計(jì)事件統(tǒng)計(jì)分析功能，能夠直觀地反映網(wǎng)絡(luò)環(huán)境的安全狀況。實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制從內(nèi)控的角度來看，IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。網(wǎng)絡(luò)安全審計(jì)系統(tǒng)基于網(wǎng)絡(luò)旁路監(jiān)聽的方式實(shí)現(xiàn)獨(dú)立的審計(jì)與三權(quán)分立，完善了IT內(nèi)控機(jī)制。漏洞掃描設(shè)備部署位置漏洞掃描系統(tǒng)部署在管理支撐域，通過一個(gè)二層接入交換機(jī)接入到核心交換機(jī)，示意圖如下圖所示：安全功能通過對(duì)網(wǎng)絡(luò)設(shè)備，操作系統(tǒng)，應(yīng)用系統(tǒng)的掃描，有效了解系統(tǒng)弱點(diǎn)，為實(shí)施安全防護(hù)方案和制定安全管理策略提供依據(jù)和參考。制定周期性掃描計(jì)劃，實(shí)現(xiàn)周期性的安全自評(píng)，為有效的風(fēng)險(xiǎn)管理提供參考和支持。補(bǔ)充設(shè)備部署由于系統(tǒng)已經(jīng)規(guī)劃部署了業(yè)務(wù)審計(jì)系統(tǒng)，為了防止各系統(tǒng)時(shí)間不同步，從而導(dǎo)致審計(jì)數(shù)據(jù)記錄時(shí)間不同，進(jìn)而影響審計(jì)系統(tǒng)數(shù)據(jù)的參考價(jià)值，因此需要在內(nèi)網(wǎng)部署時(shí)間同步服務(wù)器。由于該服務(wù)器架設(shè)比較簡(jiǎn)單，在windows操作系統(tǒng)下即可輕松搭建NTP服務(wù)器，此處不再給出具體方案。CA認(rèn)證體系建設(shè)現(xiàn)狀XXXX公司工業(yè)目前暫無CA認(rèn)證系統(tǒng)，但按照國家總局的統(tǒng)一建設(shè)要求，已經(jīng)將CA認(rèn)證系統(tǒng)作為即將開始的項(xiàng)目。建設(shè)規(guī)劃目標(biāo)通過建設(shè)CA認(rèn)證體系，為業(yè)務(wù)應(yīng)用系統(tǒng)提供穩(wěn)定可靠的信息安全服務(wù)，切實(shí)保障系統(tǒng)使用人員身份的真實(shí)性、信息傳輸?shù)谋Ｃ苄?、?shù)據(jù)交換的完整性、發(fā)送信息的不可否認(rèn)性，為信息化建設(shè)和發(fā)展奠定安全基礎(chǔ)。按照《國家XXXX行業(yè)專賣局辦公室關(guān)于印發(fā)XXXX行業(yè)行業(yè)CA認(rèn)證體系建設(shè)方案的通知》(國煙辦綜〔2008〕116號(hào))文件要求，結(jié)合自身實(shí)際情況，建立XXXX公司工業(yè)CA，是XXXX行業(yè)行業(yè)的二級(jí)CA，為本企業(yè)所屬范圍內(nèi)的行業(yè)內(nèi)人員，或者與本單位有業(yè)務(wù)聯(lián)系的單位及人員提供數(shù)字證書的發(fā)放和管理服務(wù)。建設(shè)規(guī)劃內(nèi)容CA認(rèn)證體系平臺(tái)建設(shè)按照《XXXX行業(yè)行業(yè)CA認(rèn)證體系建設(shè)方案》規(guī)范，XXXX公司工業(yè)行業(yè)CA認(rèn)證體系項(xiàng)目由數(shù)字證書簽發(fā)服務(wù)平臺(tái)標(biāo)準(zhǔn)版、數(shù)字證書應(yīng)用支撐平臺(tái)和數(shù)字證書系綜合監(jiān)管平臺(tái)組成，如下圖所示。參考上圖，本次建設(shè)的企業(yè)級(jí)數(shù)字證書簽發(fā)服務(wù)平臺(tái)標(biāo)準(zhǔn)版，主要建設(shè)內(nèi)容包括CA、RA、KMC系統(tǒng)；數(shù)字證書應(yīng)用支撐服務(wù)平臺(tái)，主要建設(shè)內(nèi)容包括：簽名服務(wù)器、SSL安全代理服務(wù)器、身份認(rèn)證系統(tǒng)、時(shí)間戳服務(wù)器；數(shù)字證書綜合監(jiān)管平臺(tái)，主要建設(shè)內(nèi)容包括：數(shù)字證書備案系統(tǒng)、數(shù)字證書安全審計(jì)系統(tǒng)。如下圖所示：簽名服務(wù)器簽名服務(wù)器數(shù)字證書應(yīng)用支撐平臺(tái)SSL安全代理服務(wù)器身份認(rèn)證系統(tǒng)時(shí)間戳服務(wù)器數(shù)字證書備案系統(tǒng)數(shù)字證書綜合監(jiān)管平臺(tái)數(shù)字證書安全審計(jì)系統(tǒng)KMCCARA數(shù)字證書簽發(fā)服務(wù)平臺(tái)CA認(rèn)證體系應(yīng)用建設(shè)應(yīng)用系統(tǒng)身份認(rèn)證利用CA認(rèn)證體系同現(xiàn)有應(yīng)用系統(tǒng)的身份認(rèn)證方式相結(jié)合，針對(duì)重要業(yè)務(wù)系統(tǒng)或重要崗位，進(jìn)行身份驗(yàn)證，保留登錄記錄，落實(shí)責(zé)任，方便管理。綜合應(yīng)用平臺(tái)單點(diǎn)登錄對(duì)已建設(shè)的信息系統(tǒng)進(jìn)行整合和數(shù)據(jù)交流，并提供統(tǒng)一身份驗(yàn)證平臺(tái)，實(shí)行信息門戶單點(diǎn)登錄。CA認(rèn)證體系建設(shè)和該平臺(tái)相結(jié)合，使單點(diǎn)登錄系統(tǒng)更安全，并便于管理。遠(yuǎn)程VPN訪問身份認(rèn)證由于營銷人員等分布全國各地，需要遠(yuǎn)程訪問公司服務(wù)器。CA認(rèn)證系統(tǒng)和VPN遠(yuǎn)程訪問控制相結(jié)合，更能保障身份唯一性，并大幅提高互聯(lián)網(wǎng)訪問的安全性。數(shù)據(jù)安全保障建設(shè)規(guī)劃目標(biāo)知識(shí)產(chǎn)權(quán)保障知識(shí)產(chǎn)權(quán)就是現(xiàn)代企業(yè)的生命，現(xiàn)在的企業(yè)越來越重視知識(shí)產(chǎn)權(quán)的保護(hù)，根據(jù)國家知識(shí)產(chǎn)權(quán)局的統(tǒng)計(jì)，每年知識(shí)產(chǎn)權(quán)相關(guān)的案件數(shù)量在以30%以上的速度進(jìn)行遞增。保證知識(shí)產(chǎn)權(quán)，就相當(dāng)于保障企業(yè)的生存空間。通過部署電子文檔安全系統(tǒng)，使得企業(yè)成為電子數(shù)據(jù)的真正所有者，保證企業(yè)知識(shí)產(chǎn)權(quán)。有效提高企業(yè)在市場(chǎng)上的競(jìng)爭(zhēng)力。電子文檔管理流程優(yōu)化通過部署電子文檔安全系統(tǒng)，優(yōu)化文檔安全管理工作的效率，從前需要人工審核的部門由計(jì)算機(jī)網(wǎng)絡(luò)取代，提高了工作效率。同時(shí)，在服務(wù)器上備份所有的文件審查日志。數(shù)據(jù)的完整性、可靠性都得到了極大的提升，也減免了傳統(tǒng)的紙質(zhì)備份保密資料給企業(yè)帶來的成本。建設(shè)規(guī)劃內(nèi)容建議部署結(jié)構(gòu)在進(jìn)行文檔保護(hù)系統(tǒng)部署結(jié)構(gòu)時(shí)，考慮到必須保證業(yè)務(wù)的高可用性。因此，采用了雙服務(wù)端熱備設(shè)計(jì)，此舉能夠保證，在一臺(tái)服務(wù)器出現(xiàn)故障的時(shí)候，另一臺(tái)會(huì)接管故障服務(wù)器的工作，保證業(yè)務(wù)的可用性。如果XXX單位和分支機(jī)構(gòu)的網(wǎng)絡(luò)和總部的鏈路穩(wěn)定，那么可使分支結(jié)構(gòu)客戶端直接聯(lián)入總部的服務(wù)端；如果分公司的網(wǎng)絡(luò)和總部的鏈路不穩(wěn)定，則可在分支機(jī)構(gòu)架設(shè)二級(jí)服務(wù)器，使用“區(qū)域自治，集中管理”的模式來使得分支機(jī)構(gòu)客戶端能夠正常運(yùn)行。建議權(quán)限劃分建議根據(jù)XXXX公司工業(yè)用戶角色不同，初步將用戶權(quán)限規(guī)劃為如下：離線功能加解密功能日志記錄用途○○●記錄對(duì)文件的操作○●●普通辦公PC●●●辦公筆記本電腦（出差）●可選●家用筆記本電腦●可選○家用PC（員工在家辦公）○○○僅閱讀之用針對(duì)不同的用戶，可以隨時(shí)靈活的變更權(quán)限，保證安全性和易用性兩不誤。系統(tǒng)使用在正常使用的過程中，最終用戶一般感受不到電子文檔的存在，除非用戶需要：將文件解密；帶電腦離開公司的網(wǎng)絡(luò)環(huán)境；希望產(chǎn)生的文檔不加密；需要把機(jī)密文檔中的文字復(fù)制到特定的網(wǎng)站。終端安全管理建設(shè)規(guī)劃目標(biāo)XXXX公司工業(yè)現(xiàn)已經(jīng)部署了一套綜合的終端安全管理系統(tǒng)，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)終端進(jìn)行主動(dòng)的管理和控制、補(bǔ)丁分發(fā)、強(qiáng)制安全策略、遠(yuǎn)程幫助等主要功能。通過該系統(tǒng)，實(shí)現(xiàn)終端主動(dòng)防護(hù)能力和有效的管理，形成整體的安全準(zhǔn)入控制體系。如下圖：實(shí)現(xiàn)安全功能終端準(zhǔn)入控制：提供包括網(wǎng)絡(luò)準(zhǔn)入控制、應(yīng)用準(zhǔn)入控制、客戶端準(zhǔn)入控制等多層準(zhǔn)入控制手段，幫助企業(yè)實(shí)現(xiàn)對(duì)終端安全接入內(nèi)網(wǎng)管理。通過準(zhǔn)入控制機(jī)制，可以實(shí)現(xiàn)對(duì)終端的身份進(jìn)行認(rèn)證，并能夠自動(dòng)檢測(cè)和修復(fù)終端安全狀態(tài)，強(qiáng)制保證終端及時(shí)進(jìn)行安全補(bǔ)丁更新、安裝并及時(shí)更新防病毒軟件及病毒定義碼、不隨意運(yùn)行可能存在風(fēng)險(xiǎn)的軟件，確保只有合法的和安全的終端電腦才能接入企業(yè)內(nèi)網(wǎng)。備份與恢復(fù)現(xiàn)狀目前XXXX公司工業(yè)還沒與建立起行之有效的備份與恢復(fù)機(jī)制。在網(wǎng)絡(luò)層，系統(tǒng)層，應(yīng)用層都涉及到備份與恢復(fù)的問題。網(wǎng)絡(luò)層的備份主要指的設(shè)備和線路的冗余。在安全域劃分網(wǎng)絡(luò)改造中已經(jīng)涉及并考慮的了線路的冗余問題。外網(wǎng)通信線路冗余按照相關(guān)文件的要求，在XXXX行業(yè)技術(shù)體系要求中需要建立通信線路冗余。主要是體現(xiàn)在兩個(gè)方面：互聯(lián)網(wǎng)公共出口的線路冗余。通常做法是選擇兩家以上的運(yùn)營商同時(shí)接入互聯(lián)網(wǎng)，增加冗余，降低通訊鏈路故障風(fēng)險(xiǎn)。公司內(nèi)部廣域網(wǎng)的線路冗余，比如和國家局或者天水煙廠之間的通訊鏈接。通常是租用的SDH專線?？梢钥紤]增加VPN線路作為冗余。在專線故障的時(shí)候啟用VPN線路應(yīng)急。備用設(shè)備是否有備用設(shè)備直接影響到故障恢復(fù)的時(shí)間和效果。在制定備份與恢復(fù)計(jì)劃時(shí)需要著重考慮關(guān)鍵設(shè)備的備機(jī)問題。主要是解決方式有兩種：直接購買備用關(guān)鍵設(shè)備。與設(shè)備供應(yīng)商簽訂備機(jī)供應(yīng)協(xié)議和應(yīng)急處理計(jì)劃，制定應(yīng)急處理預(yù)案。安全運(yùn)營中心建設(shè)現(xiàn)狀目前XXXX公司工業(yè)還未建立安全運(yùn)行中心。建立安全運(yùn)營管理中心，使得XXXX公司工業(yè)的網(wǎng)絡(luò)安全管理機(jī)構(gòu)能及時(shí)準(zhǔn)確地獲知整個(gè)網(wǎng)絡(luò)安全體系的效果和現(xiàn)狀，并且?guī)椭M(jìn)行正確的決策分析。通過安全運(yùn)營管理中心，將不同位置、不同資產(chǎn)（主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等）中分散且海量的安全信息進(jìn)行范式化、匯總、過濾和關(guān)聯(lián)分析，形成基于資產(chǎn)/域的統(tǒng)一等級(jí)的威脅與風(fēng)險(xiǎn)管理，并依托安全知識(shí)庫和工作流程驅(qū)動(dòng)對(duì)威脅與風(fēng)險(xiǎn)進(jìn)行響應(yīng)和處理。項(xiàng)目內(nèi)容集中監(jiān)控集中監(jiān)控安全設(shè)備的運(yùn)行狀態(tài)收集不同資產(chǎn)的安全信息：安全設(shè)備日志（防火墻、IDS/IPS、防病毒系統(tǒng)、漏掃等）網(wǎng)絡(luò)設(shè)備日志操作系統(tǒng)日志應(yīng)用系統(tǒng)日志預(yù)留其他設(shè)備的接口事件關(guān)聯(lián)分析安全事件的采集、匯總、過濾、壓縮。能夠?qū)Σ煌愋?、不同格式的設(shè)備日志進(jìn)行采集、范式化、過濾、壓縮；統(tǒng)一的事件關(guān)聯(lián)分析能夠?qū)Ω鞣N事件進(jìn)行關(guān)聯(lián)分析，從而發(fā)現(xiàn)其中蘊(yùn)含的真實(shí)事件；基于資產(chǎn)和安全域的風(fēng)險(xiǎn)監(jiān)控能夠?qū)踩录募?jí)別與資產(chǎn)、安全域的價(jià)值進(jìn)行加權(quán)計(jì)算，從而得出風(fēng)險(xiǎn)評(píng)估的結(jié)果，協(xié)助進(jìn)行安全決策；基于資產(chǎn)和安全域的脆弱性評(píng)估能夠?qū)⒙┒磼呙璧慕Y(jié)果與資產(chǎn)、安全域的價(jià)值進(jìn)行加權(quán)計(jì)算，從而得出脆弱性指標(biāo)，指導(dǎo)重要信息資產(chǎn)的漏洞管理工作；提升管理的力度能夠有效的進(jìn)行重要信息資產(chǎn)的管理和等級(jí)保護(hù)；能夠有效地對(duì)重點(diǎn)的業(yè)務(wù)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)監(jiān)控和管理；能夠有效的對(duì)應(yīng)急響應(yīng)的流程和規(guī)范進(jìn)行管理；能夠有效的協(xié)助進(jìn)行信息安全事件的應(yīng)急響應(yīng)；周期性風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理項(xiàng)目目標(biāo)通過周期性的風(fēng)險(xiǎn)評(píng)估，發(fā)現(xiàn)信息系統(tǒng)存在的安全隱患，以維持公司的整體信息安全水平；通過周期性的安全加固增強(qiáng)主機(jī)的安全性，減小由于主機(jī)漏洞而導(dǎo)致的安全風(fēng)險(xiǎn)。項(xiàng)目內(nèi)容XXXX公司工業(yè)的業(yè)務(wù)系統(tǒng)長期穩(wěn)定安全地運(yùn)行，是XXXX公司工業(yè)能夠提供優(yōu)質(zhì)服務(wù)的保障。由于信息安全的動(dòng)態(tài)性特點(diǎn)，信息安全工作是一個(gè)持續(xù)的、長期的工作，建議XXXX公司工業(yè)每年定期請(qǐng)安全顧問進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。通過專業(yè)、持續(xù)的安全服務(wù)來解決信息系統(tǒng)日常運(yùn)行維護(hù)中的安全問題，降低安全風(fēng)險(xiǎn)、提高信息系統(tǒng)安全水平。風(fēng)險(xiǎn)評(píng)估的范圍為XXXX公司的整個(gè)信息系統(tǒng)。安全風(fēng)險(xiǎn)評(píng)估服務(wù)包括但不限于以下對(duì)象：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。給出風(fēng)險(xiǎn)評(píng)估報(bào)告和安全現(xiàn)狀報(bào)告，系統(tǒng)風(fēng)險(xiǎn)修正措施以及系統(tǒng)安全指導(dǎo)性架構(gòu)。此項(xiàng)服務(wù)可以幫助XXXX公司工業(yè)了解自身網(wǎng)絡(luò)安全現(xiàn)狀，并根據(jù)報(bào)告和建議進(jìn)行投資預(yù)算。本次已進(jìn)行的風(fēng)險(xiǎn)評(píng)估是實(shí)現(xiàn)XXXX公司工業(yè)信息安全風(fēng)險(xiǎn)管理的重要組成部分。周期性的風(fēng)險(xiǎn)評(píng)估是實(shí)現(xiàn)P2DR2安全模型的重要機(jī)制和組成部分。建議每年對(duì)XXXX公司工業(yè)的網(wǎng)絡(luò)系統(tǒng)進(jìn)行一次安全風(fēng)險(xiǎn)評(píng)估，由于XXXX公司工業(yè)的網(wǎng)絡(luò)安全工作目前剛起步，許多工作剛開始，整個(gè)XXXX公司工業(yè)缺乏相關(guān)的經(jīng)驗(yàn)，建議XXXX公司工業(yè)在三到五年內(nèi)，聘請(qǐng)一家較有經(jīng)驗(yàn)的網(wǎng)絡(luò)安全公司，每年為XXXX公司工業(yè)提供一次網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估服務(wù)。技術(shù)體系建設(shè)實(shí)施規(guī)劃安全建設(shè)階段結(jié)合XXXX公司工業(yè)的具體情況，以及未來的業(yè)務(wù)和系統(tǒng)發(fā)展要求，通過綜合分析，我們確定安全建設(shè)初期和中后期目標(biāo)如下：初期目標(biāo)：解決目前急迫和關(guān)鍵的問題，調(diào)整完善信息安全基礎(chǔ)架構(gòu)，充分發(fā)揮現(xiàn)有安全設(shè)備的功效，爭(zhēng)取在短期內(nèi)安全狀況有大幅度提高；中后期目標(biāo)：建設(shè)“完善的信息安全保障體系”，并能夠自我發(fā)展和調(diào)整，以適應(yīng)信息系統(tǒng)新業(yè)務(wù)、新技術(shù)的發(fā)展，從而能夠保障和促進(jìn)業(yè)務(wù)的增長和發(fā)展。建設(shè)項(xiàng)目規(guī)劃第一階段項(xiàng)目第一階段是指從2009年6月到2010年6月的一年期。在此一年期中，要進(jìn)行的安全項(xiàng)目共有6個(gè)：網(wǎng)絡(luò)安全域劃分及整改建設(shè)風(fēng)險(xiǎn)評(píng)估及安全加固網(wǎng)絡(luò)安全產(chǎn)品部署數(shù)據(jù)安全保障建設(shè)CA認(rèn)證體系建設(shè)安全運(yùn)營中心SOC建設(shè)第二階段項(xiàng)目第一階段是指從2011年6月到2012年6月的一年期。在此一年期中，要進(jìn)行的安全項(xiàng)目共有2個(gè)：備份與恢復(fù)系統(tǒng)的建立與完善周期性風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理運(yùn)維體系建設(shè)規(guī)劃風(fēng)險(xiǎn)評(píng)估及安全加固風(fēng)險(xiǎn)評(píng)估此次XXXX公司工業(yè)安全項(xiàng)目本身已經(jīng)包含信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估部分。詳細(xì)信息參見風(fēng)險(xiǎn)評(píng)估各部分輸出文檔。安全加固風(fēng)險(xiǎn)評(píng)估是安全加固的前提，風(fēng)險(xiǎn)評(píng)估依據(jù)資產(chǎn)，威脅，脆弱性的分析得到信息系統(tǒng)各部分面臨的安全風(fēng)險(xiǎn)。安全加固則是依據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，為了降低系統(tǒng)風(fēng)險(xiǎn)所采取的措施之一。通過對(duì)當(dāng)前系統(tǒng)進(jìn)行加固操作，修補(bǔ)主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、應(yīng)用和中間件存在的弱點(diǎn)，可以全面提高設(shè)備的安全性。降低系統(tǒng)運(yùn)行風(fēng)險(xiǎn)。信息安全運(yùn)維體系建設(shè)規(guī)劃機(jī)房安全規(guī)劃機(jī)房安全應(yīng)達(dá)到的目標(biāo)整體要求：指定專人或?qū)ｉT的部門定期對(duì)機(jī)房環(huán)境進(jìn)行維護(hù)管理；建立機(jī)房安全管理制度；配備機(jī)房安全管理人員；加強(qiáng)對(duì)辦公環(huán)境的保密性管理；對(duì)機(jī)房和辦公環(huán)境實(shí)行統(tǒng)一策略的安全管理。機(jī)房安全管理現(xiàn)狀：企業(yè)已經(jīng)制定了“中心機(jī)房管理規(guī)定”，對(duì)機(jī)房的日常管理工作范圍和內(nèi)容進(jìn)行了明確的定義；建立的機(jī)房的安全控制和監(jiān)控系統(tǒng)，機(jī)房的各項(xiàng)環(huán)境建設(shè)符合機(jī)房建設(shè)的相關(guān)要求；缺乏專職機(jī)房安全管理人員的標(biāo)準(zhǔn)工作流程和相關(guān)記錄；缺乏機(jī)房內(nèi)應(yīng)有的管理規(guī)定表示、管理人員標(biāo)識(shí)。主要規(guī)劃內(nèi)容規(guī)劃內(nèi)容：制定詳細(xì)的機(jī)房環(huán)境維護(hù)管理流程，安排專門人員進(jìn)行機(jī)房環(huán)境的定期維護(hù)管理，并做好相關(guān)的記錄和檢查；將現(xiàn)有的機(jī)房安全管理制度制作標(biāo)牌懸掛機(jī)房內(nèi)，并監(jiān)督執(zhí)行；安排機(jī)房安全管理人員，并制作標(biāo)牌懸掛機(jī)房內(nèi)。資產(chǎn)和設(shè)備安全資產(chǎn)管理資產(chǎn)管理應(yīng)達(dá)到的目標(biāo)整體要求：建立資產(chǎn)安全管理制度；編制資產(chǎn)清單；根據(jù)資產(chǎn)的重要程度對(duì)資產(chǎn)進(jìn)行定性賦值和標(biāo)識(shí)管理；資產(chǎn)管理現(xiàn)狀：具有資產(chǎn)管理制度，但管理制度本身安全管理內(nèi)容過少，需要重新修訂；具有資產(chǎn)清單，但是資產(chǎn)清單的格式和維護(hù)存在一定問題；具有資產(chǎn)的標(biāo)識(shí)管理，但未能對(duì)資產(chǎn)進(jìn)行定性賦值。主要規(guī)劃內(nèi)容規(guī)劃內(nèi)容：對(duì)現(xiàn)有資產(chǎn)管理制度進(jìn)行修訂，增加安全管理內(nèi)容；通過一定的服務(wù)活動(dòng)更新資產(chǎn)清單，并增加資產(chǎn)編號(hào)的標(biāo)示標(biāo)牌；通過安全評(píng)估活動(dòng)增加資產(chǎn)定性賦值，完善現(xiàn)有資產(chǎn)管理表格。介質(zhì)管理介質(zhì)管理應(yīng)達(dá)到的目標(biāo)整體要求：建立介質(zhì)安全管理制度；介質(zhì)的歸檔和查詢須有記錄；介質(zhì)的歸檔和查詢須有記錄，并對(duì)存檔介質(zhì)的目錄清單定期盤點(diǎn)；對(duì)介質(zhì)的物理傳輸過程進(jìn)行控制；根據(jù)數(shù)據(jù)備份的需要對(duì)某些介質(zhì)實(shí)行異地存儲(chǔ)；重要數(shù)據(jù)采取加密方式存儲(chǔ)；對(duì)于需要送出維修或銷毀的介質(zhì)應(yīng)采用多次讀寫覆蓋、清除敏感或秘密數(shù)據(jù)。介質(zhì)管理現(xiàn)狀：建立介質(zhì)管理制度；對(duì)資料介質(zhì)由專人負(fù)責(zé)，但是對(duì)于服務(wù)系統(tǒng)的備份數(shù)據(jù)存儲(chǔ)的介質(zhì)管理只是由系統(tǒng)各自管理員進(jìn)行管理；管理的介質(zhì)查詢記錄、定期盤點(diǎn)等基本能夠落實(shí)；介質(zhì)的物理轉(zhuǎn)移控制力度不大；目前主要的業(yè)務(wù)數(shù)據(jù)均采用磁盤陣列存儲(chǔ)，定期將數(shù)據(jù)備份到移動(dòng)存儲(chǔ)介質(zhì)上由管理員保管；備份的主要數(shù)據(jù)基本都采用數(shù)據(jù)庫自帶的存儲(chǔ)格式，沒有額外的進(jìn)行加密處理；維修和銷毀的介質(zhì)在“信息安全保密管理規(guī)定”中已經(jīng)有相應(yīng)的規(guī)定。主要規(guī)劃內(nèi)容規(guī)劃內(nèi)容：介質(zhì)管理在XXXX公司工業(yè)的“信息安全保密管理規(guī)定”中已經(jīng)有明確的規(guī)定，后續(xù)工作為加強(qiáng)管理的執(zhí)行；對(duì)于移動(dòng)備份介質(zhì)的存放和管理可在“信息安全保密管理規(guī)定”進(jìn)行一定的修訂，確保明確明晰；對(duì)于介質(zhì)維修和銷毀的規(guī)定，可在“信息安全保密管理規(guī)定”進(jìn)行一定的修訂，確保明確明晰。設(shè)備管理設(shè)備管理應(yīng)達(dá)到的目標(biāo)整體要求：指定專人或?qū)ｉT的部門對(duì)設(shè)備定期進(jìn)行維護(hù)管理；建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對(duì)其維護(hù)進(jìn)行有效的管理；對(duì)設(shè)備的操作和使用進(jìn)行規(guī)范化管理；設(shè)備管理現(xiàn)狀：信息系統(tǒng)的整體管理由信息管理中心負(fù)責(zé)，另外針對(duì)不同的業(yè)務(wù)系統(tǒng)配置了專屬管理人員進(jìn)行維護(hù)管理；制定了“計(jì)算機(jī)網(wǎng)絡(luò)管理規(guī)定”、“服務(wù)器管理規(guī)定”、“數(shù)據(jù)庫管理規(guī)定”、“企業(yè)資源計(jì)劃（ERP）系統(tǒng)運(yùn)行管理規(guī)定”等一系列的管理規(guī)定，可對(duì)維護(hù)進(jìn)行有效管理；以上規(guī)定對(duì)設(shè)備的操作和使用進(jìn)行了規(guī)范化，但是缺少了執(zhí)行的監(jiān)督管理技術(shù)手段。主要規(guī)劃內(nèi)容規(guī)劃內(nèi)容：部署專用設(shè)備和軟件系統(tǒng)，對(duì)設(shè)備操作使用進(jìn)行有效的監(jiān)管。網(wǎng)絡(luò)和系統(tǒng)安全管理網(wǎng)絡(luò)安全管理網(wǎng)絡(luò)安全管理應(yīng)達(dá)到的目標(biāo)整體要求：指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作；根據(jù)廠家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對(duì)現(xiàn)有的重要文件進(jìn)行備份；進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)；保證所有與外部系統(tǒng)的連接均應(yīng)得到授權(quán)和批準(zhǔn)；建立網(wǎng)絡(luò)安全管理制度，對(duì)網(wǎng)絡(luò)安全配置、網(wǎng)絡(luò)用戶以及日志等方面做出規(guī)定；對(duì)網(wǎng)絡(luò)設(shè)備的安全策略、授權(quán)訪問、最小服務(wù)、升級(jí)與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體規(guī)定；規(guī)定網(wǎng)絡(luò)審計(jì)日志的保存時(shí)間以便為可能的安全事件調(diào)查提供支持；明確各類用戶的責(zé)任、義務(wù)和風(fēng)險(xiǎn)，并按照機(jī)構(gòu)制定的審查和批準(zhǔn)程序建立用戶和分配權(quán)限，定期檢查用戶實(shí)際權(quán)限與分配權(quán)限的符合性；對(duì)日志的備份、授權(quán)訪問、處理、保留時(shí)間等方面做出具體規(guī)定，使用統(tǒng)一的網(wǎng)絡(luò)時(shí)間，以確保日志記錄的準(zhǔn)確；通過身份鑒別、訪問控制等嚴(yán)格的規(guī)定限制遠(yuǎn)程管理帳戶的操作權(quán)限和登錄行為；定期檢查違反規(guī)定撥號(hào)上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為；網(wǎng)絡(luò)安全管理現(xiàn)狀：指定了專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，另外部署了“IT運(yùn)維管理系統(tǒng)”負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理，并形成工單管理；在廠家服務(wù)期限內(nèi)的設(shè)備均可獲取正常的設(shè)備更新服務(wù)；同時(shí)更新前對(duì)配置文件均可進(jìn)行備份；XXXX公司工業(yè)現(xiàn)還未進(jìn)行網(wǎng)絡(luò)漏洞掃描系統(tǒng)的建設(shè)；XXXX公司工業(yè)現(xiàn)有的外部鏈接主要為國家局的連接；網(wǎng)絡(luò)管理員通過VPN方式進(jìn)行的遠(yuǎn)程管理；業(yè)務(wù)人員通過Web方式訪問營銷系統(tǒng)；以上網(wǎng)絡(luò)連接均有系統(tǒng)自身的管理方式；相關(guān)業(yè)務(wù)服務(wù)的開放經(jīng)過正常審批；目前XXXX公司工業(yè)還沒有專門的網(wǎng)絡(luò)安全管理制度，對(duì)網(wǎng)絡(luò)安全配置、網(wǎng)絡(luò)用戶以及日志等方面做出規(guī)定；目前對(duì)網(wǎng)絡(luò)設(shè)備的安全策略、授權(quán)訪問、最小服務(wù)、升級(jí)與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面還沒有十分具體的規(guī)定；目前僅有通過內(nèi)網(wǎng)管理系統(tǒng)對(duì)用戶訪問互聯(lián)網(wǎng)的行為進(jìn)行審計(jì)的日志單獨(dú)存放內(nèi)網(wǎng)管理服務(wù)器，可滿足查詢時(shí)間要求；其余的各系統(tǒng)的日志均為自身日志保存，很難為安全事件調(diào)查提供支持；目前明確了內(nèi)部用戶的責(zé)任、義務(wù)和權(quán)限，例如管理員對(duì)業(yè)務(wù)系統(tǒng)的管理權(quán)限和；上網(wǎng)用戶是否訪問互聯(lián)網(wǎng)等的區(qū)分；但是在技術(shù)保障手段上還存在不足；目前XXXX公司工業(yè)信息系統(tǒng)管理對(duì)日志的備份、授權(quán)訪問、處理、保留時(shí)間等方面做出一定規(guī)定，但沒有統(tǒng)一的網(wǎng)絡(luò)時(shí)間，比較難于確認(rèn)日志記錄的準(zhǔn)確；目前可控制遠(yuǎn)程帳號(hào)訪問的資源，但是還沒有有效的身份認(rèn)證和授權(quán)管理技術(shù)手段進(jìn)行有效的管理；目前通過內(nèi)網(wǎng)管理將違規(guī)行為及時(shí)上報(bào)IT運(yùn)維管理系統(tǒng)，并生成工單及時(shí)發(fā)送給網(wǎng)絡(luò)安全管理員處理。主要規(guī)劃內(nèi)容規(guī)劃內(nèi)容：部署網(wǎng)絡(luò)漏洞掃描系統(tǒng)，并制定掃描管理規(guī)范，定期對(duì)網(wǎng)絡(luò)和服務(wù)系統(tǒng)進(jìn)行掃描，并生成檢查報(bào)告；在現(xiàn)有管理的規(guī)范上，細(xì)化管理流程包含服務(wù)變更、授權(quán)訪問等形成系統(tǒng)的申請(qǐng)、審批、核查流程；在現(xiàn)有管理規(guī)范的基礎(chǔ)上，結(jié)合后期網(wǎng)絡(luò)整改的需求制定專門的網(wǎng)絡(luò)安全管理規(guī)范；根據(jù)網(wǎng)絡(luò)和各業(yè)務(wù)系統(tǒng)的實(shí)際情況，補(bǔ)充詳細(xì)的管理流程對(duì)安全策略、授權(quán)訪問、最小服務(wù)、升級(jí)與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面進(jìn)行管理；部署安全運(yùn)維管理系統(tǒng)和業(yè)務(wù)審計(jì)系統(tǒng)收集各種日志信息，并集中進(jìn)行存儲(chǔ)、管理和分析，為事件處理提供有力支持；通過按照國家局身份認(rèn)證系統(tǒng)建設(shè)規(guī)范和計(jì)劃，建設(shè)XXXX公司工業(yè)的身份認(rèn)證系統(tǒng)，實(shí)現(xiàn)身份認(rèn)證和授權(quán)管理的補(bǔ)充；建議部署內(nèi)網(wǎng)NTP服務(wù)器，并配置所有系統(tǒng)使用NTP服務(wù)器進(jìn)行時(shí)間校驗(yàn)和更新；按照國家局身份認(rèn)證系統(tǒng)的規(guī)范進(jìn)行建設(shè)，可根據(jù)身份認(rèn)