三級等保建設(shè)方案第第頁目錄1

概述 21.1

工程概況 21.2

方案說明 31.3

設(shè)計依據(jù) 42

方案總體設(shè)計 42.1

設(shè)計目標(biāo) 42.2

設(shè)計原那么 62.3

設(shè)計思路 73

需求分析 163.1

系統(tǒng)現(xiàn)狀 163.2

現(xiàn)有措施 163.3

具體需求 164

平安策略 184.1

總體平安策略 184.2

具體平安策略 195

平安解決方案 195.1

平安技術(shù)體系 205.1.1區(qū)域邊界 205.1.2通信網(wǎng)絡(luò) 215.1.3計算環(huán)境 225.2

平安管理體系 245.3

平安運(yùn)維體系 276

方案總結(jié) 281

概述1.1

工程概況隨著我國信息技術(shù)的快速開展，計算機(jī)及信息網(wǎng)絡(luò)對促進(jìn)國民經(jīng)濟(jì)和社會開展發(fā)揮著日益重要的作用。加強(qiáng)對重要領(lǐng)域內(nèi)計算機(jī)信息系統(tǒng)平安保護(hù)工作的監(jiān)督管理，打擊各類計算機(jī)違法犯罪活動，是我國信息化順利開展的重要保障。為加大依法管理信息網(wǎng)絡(luò)平安工作的力度，維護(hù)國家平安和社會安定，維護(hù)信息網(wǎng)絡(luò)平安，使我國計算機(jī)信息系統(tǒng)的平安保護(hù)工作走上法制化、標(biāo)準(zhǔn)化、制度化管理軌道，1994年國務(wù)院公布了?中華人民共和國計算機(jī)信息系統(tǒng)平安保護(hù)條例?。條例中規(guī)定：我國的“計算機(jī)信息系統(tǒng)實(shí)行平安等級保護(hù)。平安等級的劃分標(biāo)準(zhǔn)和平安等級保護(hù)的具體方法，由公安部會同有關(guān)部門制定。〞1999年9月國家質(zhì)量技術(shù)監(jiān)督局發(fā)布了由公安部提出并組織制定的強(qiáng)制性國家標(biāo)準(zhǔn)GB17859-1999?計算機(jī)信息系統(tǒng)平安保護(hù)等級劃分準(zhǔn)那么?，為等級保護(hù)這一平安國策給出了技術(shù)角度的詮釋。2023年的?國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息平安保障工作的意見?〔27號文〕中指出：“要重點(diǎn)保護(hù)根底信息網(wǎng)絡(luò)和關(guān)系國家平安、經(jīng)濟(jì)命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級保護(hù)制度，制定信息平安等級保護(hù)的管理方法和技術(shù)指南〞。根據(jù)國家信息化領(lǐng)導(dǎo)小組的統(tǒng)一部署和安排，我國將在全國范圍內(nèi)全面開展信息平安等級保護(hù)工作。1.2

方案說明本方案是在信息系統(tǒng)經(jīng)過平安定級之后，根據(jù)信息系統(tǒng)平安等級保護(hù)的根本要求和平安目標(biāo)，針對相應(yīng)的平安等級而提出的等級保護(hù)系統(tǒng)設(shè)計方案。本方案依賴于對系統(tǒng)及其子系統(tǒng)進(jìn)行的準(zhǔn)確定級，即需要定級結(jié)果作為平安規(guī)劃與設(shè)計的前提與根底。本方案應(yīng)當(dāng)作為進(jìn)行信息系統(tǒng)等級保護(hù)工作部署的指南和依據(jù)。可以根據(jù)本方案對于網(wǎng)絡(luò)架構(gòu)、威脅防護(hù)、策略、區(qū)域劃分、系統(tǒng)運(yùn)維等多方面的平安進(jìn)行設(shè)計、審查、改良和加強(qiáng)，是進(jìn)行信息系統(tǒng)等級保護(hù)規(guī)劃和建設(shè)的參考性和實(shí)用性很強(qiáng)的文檔。本方案的應(yīng)用建議：在進(jìn)行某個等級保護(hù)的具體工作規(guī)劃時，可以參考方案中各個框架的描述來籌劃平安策略、需求分析、平安措施選擇等各個局部的工作。在考慮某一項(xiàng)平安建設(shè)時，可以依據(jù)本方案中對于相關(guān)的技術(shù)和管理的根本要求和平安目標(biāo)進(jìn)行分析。在具體的信息系統(tǒng)使用到本方案進(jìn)行規(guī)劃、設(shè)計和建設(shè)時，也將用作相關(guān)部門進(jìn)行等級保護(hù)測評和備案時的文檔資料。本方案的讀者包括等級保護(hù)方案的設(shè)計者、工程的承建方和用戶方、信息系統(tǒng)的網(wǎng)絡(luò)平安管理人員以及工程的評審者、監(jiān)管方。

1.3

設(shè)計依據(jù)

——公安部?信息平安等級保護(hù)管理方法?

——公安部?信息系統(tǒng)平安等級保護(hù)實(shí)施指南?——公安部?信息系統(tǒng)平安等級保護(hù)定級指南?——公安部?信息系統(tǒng)平安等級保護(hù)根本要求?——公安部?信息系統(tǒng)平安等級保護(hù)測評準(zhǔn)那么?——?北京市黨政機(jī)關(guān)網(wǎng)絡(luò)與信息系統(tǒng)平安定級指南?——?北京市電子政務(wù)信息平安保障技術(shù)框架?——?北京市公共效勞網(wǎng)絡(luò)與信息系統(tǒng)平安管理規(guī)定?(市政第163令〕——DB11/T171-2023?黨政機(jī)關(guān)信息系統(tǒng)平安測評標(biāo)準(zhǔn)?——ISO/IEC17799信息平安管理標(biāo)準(zhǔn)——ISO/IECTR13335系列標(biāo)準(zhǔn)——信息系統(tǒng)平安保障理論模型和技術(shù)框架IATF——?信息平安等級保護(hù)管理方法?〔公通字[2023]43號〕2

方案總體設(shè)計2.1

設(shè)計目標(biāo)信息平安等級保護(hù)，是指對國家秘密信息、公民、法人和其他組織的專有信息、公開信息及存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實(shí)行平安保護(hù)，對信息系統(tǒng)中使用的信息平安產(chǎn)品實(shí)行按等級管理，對信息系統(tǒng)中產(chǎn)生的信息平安事件分等級響應(yīng)、處置。本方案側(cè)重于實(shí)現(xiàn)對信息、信息系統(tǒng)的分等級平安保護(hù)的設(shè)計目標(biāo)。總體設(shè)計目標(biāo)：以信息系統(tǒng)的實(shí)際情況和現(xiàn)實(shí)問題為根底，遵照國家的法律法規(guī)和標(biāo)準(zhǔn)標(biāo)準(zhǔn)，參照國際的平安標(biāo)準(zhǔn)和最正確實(shí)踐，依據(jù)相應(yīng)等級信息系統(tǒng)的根本要求和平安目標(biāo)，設(shè)計出等級化、符合系統(tǒng)特點(diǎn)、融管理和技術(shù)為一體的整體平安保障體系，指導(dǎo)信息系統(tǒng)的等級保護(hù)建設(shè)工作。不同級別的信息系統(tǒng)應(yīng)具備不同的平安保護(hù)能力，3級的信息系統(tǒng)應(yīng)具備的根本平安保護(hù)能力要求〔具體設(shè)計目標(biāo)〕如下：應(yīng)具有能夠?qū)箒碜源笮偷?、有組織的團(tuán)體〔如一個商業(yè)情報組織或犯罪組織等〕，擁有較為豐富資源〔包括人員能力、計算能力等〕的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難〔災(zāi)難發(fā)生的強(qiáng)度較大、持續(xù)時間較長、覆蓋范圍較廣〔地區(qū)性〕等〕以及其他相當(dāng)危害程度〔內(nèi)部人員的惡意威脅、設(shè)備的較嚴(yán)重故障等〕威脅的能力，并在威脅發(fā)生后，能夠較快恢復(fù)絕大局部功能。上述對3級的信息系統(tǒng)的根本平安保護(hù)能力要求是一種整體和抽象的描述。信息系統(tǒng)所應(yīng)該具有的根本平安保護(hù)能力將通過表達(dá)根本平安保護(hù)能力的平安目標(biāo)的提出以及實(shí)現(xiàn)平安目標(biāo)的具體技術(shù)要求和管理要求的描述得到具體化。2.2

設(shè)計原那么

在進(jìn)行等級保護(hù)系統(tǒng)解決方案設(shè)計時將遵循以下設(shè)計原那么：清晰定義模型的原那么：在設(shè)計信息平安保障體系時，首先要對信息系統(tǒng)進(jìn)行模型抽象，這樣既能相對準(zhǔn)確地描述信息體系的各個方面的內(nèi)容及其平安現(xiàn)狀，又能代表絕大多數(shù)地區(qū)和各種類型的信息系統(tǒng)。把信息系統(tǒng)各個內(nèi)容屬性中與平安相關(guān)的屬性抽取出來，參照IATF〔美國信息平安保障技術(shù)框架〕，建立“保護(hù)對象框架〞、“平安措施框架〞、“整體保障框架〞等平安框架模型，從而相對準(zhǔn)確地描述信息系統(tǒng)的平安屬性和等級保護(hù)的邏輯思維。分域防護(hù)、綜合防范的原那么：任何平安措施都不是絕對平安的，都可能被攻破。為預(yù)防攻破一層或一類保護(hù)的攻擊行為無法破壞整個信息系統(tǒng)，需要合理劃分平安域和綜合采用多種有效措施，進(jìn)行多層和多重保護(hù)。需求、風(fēng)險、代價平衡的原那么：對任何類型網(wǎng)絡(luò)，絕對平安難以到達(dá)，也不一定是必須的，需正確處理需求、風(fēng)險與代價的關(guān)系，等級保護(hù)，適度防護(hù)，做到平安性與可用性相容，做到技術(shù)上可實(shí)現(xiàn)，經(jīng)濟(jì)上可執(zhí)行。技術(shù)與管理相結(jié)合原那么：信息平安涉及人、技術(shù)、操作等各方面要素，單靠技術(shù)或單靠管理都不可能實(shí)現(xiàn)。因此在考慮信息系統(tǒng)信息平安時，必須將各種平安技術(shù)與運(yùn)行管理機(jī)制、人員思想教育、技術(shù)培訓(xùn)、平安規(guī)章制度建設(shè)相結(jié)合。動態(tài)開展和可擴(kuò)展原那么：隨著網(wǎng)絡(luò)攻防技術(shù)的進(jìn)一步開展，網(wǎng)絡(luò)平安需求會不斷變化，以及環(huán)境、條件、時間的限制，平安防護(hù)一步到位，一勞永逸地解決信息平安問題是不現(xiàn)實(shí)的。信息平安保障建設(shè)可先保證根本的、必須的平安性和良好的平安可擴(kuò)展性，今后隨著應(yīng)用和網(wǎng)絡(luò)平安技術(shù)的開展，不斷調(diào)整平安策略，加強(qiáng)平安防護(hù)力度，以適應(yīng)新的網(wǎng)絡(luò)平安環(huán)境，滿足新的信息平安需求。2.3

設(shè)計思路2.3.1

保護(hù)對象框架保護(hù)對象是對信息系統(tǒng)從平安角度抽象后的描述方法，是信息系統(tǒng)內(nèi)具有相似平安保護(hù)需求的一組信息資產(chǎn)的組合。

依據(jù)信息系統(tǒng)的功能特性、平安價值以及面臨威脅的相似性，信息系統(tǒng)保護(hù)對象可分為計算區(qū)域、區(qū)域邊界、網(wǎng)絡(luò)根底設(shè)施、平安措施四類。建立了各層的保護(hù)對象之后，應(yīng)按照保護(hù)對象所屬信息系統(tǒng)或子系統(tǒng)的平安等級，對每一個保護(hù)對象明確保護(hù)要求、部署適用的保護(hù)措施。保護(hù)對象框架的示意圖如下：圖1.

保護(hù)對象框架的示意圖

2.3.2

整體保障框架就平安保障技術(shù)而言，在體系框架層次進(jìn)行有效的組織，理清保護(hù)范圍、保護(hù)等級和平安措施的關(guān)系，建立合理的整體框架結(jié)構(gòu)，是對制定具體等級保護(hù)方案的重要指導(dǎo)。

根據(jù)中辦發(fā)[2023]27號文件，“堅(jiān)持積極防御、綜合防范的方針，全面提高提高信息平安防護(hù)能力〞是國家信息保障工作的總體要求之一?！胺e極防御、綜合防范〞是指導(dǎo)等級保護(hù)整體保障的戰(zhàn)略方針。信息平安保障涉及技術(shù)和管理兩個相互緊密關(guān)聯(lián)的要素。信息平安不僅僅取決于信息平安技術(shù)，技術(shù)只是一個根底，平安管理是使平安技術(shù)有效發(fā)揮作用，從而到達(dá)平安保障目標(biāo)的重要保證。平安保障不是單個環(huán)節(jié)、單一層面上問題的解決，必須是全方位地、多層次地從技術(shù)、管理等方面進(jìn)行全面的平安設(shè)計和建設(shè)，積極防御、綜合防范〞戰(zhàn)略要求信息系統(tǒng)整體保障綜合采用覆蓋平安保障各個環(huán)節(jié)的防護(hù)、檢測、響應(yīng)和恢復(fù)等多種平安措施和手段，對系統(tǒng)進(jìn)行動態(tài)的、綜合的保護(hù)，在攻擊者成功地破壞了某個保護(hù)措施的情況下，其它保護(hù)措施仍然能夠有效地對系統(tǒng)進(jìn)行保護(hù)，以抵御不斷出現(xiàn)的平安威脅與風(fēng)險，保證系統(tǒng)長期穩(wěn)定可靠的運(yùn)行。整體保障框架的建設(shè)應(yīng)在國家和地方、行業(yè)相關(guān)的平安政策、法規(guī)、標(biāo)準(zhǔn)、要求的指導(dǎo)下，制訂可具體操作的平安策略，并在充分利用信息平安根底設(shè)施的根底上，構(gòu)建信息系統(tǒng)的平安技術(shù)體系、平安管理體系，形成集防護(hù)、檢測、響應(yīng)、恢復(fù)于一體的平安保障體系，從而實(shí)現(xiàn)物理平安、網(wǎng)絡(luò)平安、系統(tǒng)平安、數(shù)據(jù)平安、應(yīng)用平安和管理平安，以滿足信息系統(tǒng)全方位的平安保護(hù)需求。同時，由于平安的動態(tài)性，還需要建立平安風(fēng)險評估機(jī)制，在平安風(fēng)險評估的根底上，調(diào)整和完善平安策略，改良平安措施，以適應(yīng)新的平安需求，滿足平安等級保護(hù)的要求，保證長期、穩(wěn)定、可靠運(yùn)行。

整體保障框架的示意圖如下：

圖2.

整體保障框架的示意圖

2.3.3

平安措施框架

平安措施框架是按照結(jié)構(gòu)化原理描述的平安措施的組合。本方案的平安措施框架是依據(jù)“積極防御、綜合防范〞的方針，以及“管理與技術(shù)并重〞的原那么進(jìn)行設(shè)計的。

平安措施框架包括平安技術(shù)措施、平安管理措施兩大局部。平安技術(shù)措施包括平安防護(hù)系統(tǒng)〔物理防護(hù)、邊界防護(hù)、監(jiān)控檢測、平安審計和應(yīng)急恢復(fù)等子系統(tǒng)〕和平安支撐系統(tǒng)〔平安運(yùn)營平臺、網(wǎng)絡(luò)管理系統(tǒng)和網(wǎng)絡(luò)信任系統(tǒng)〕。平安技術(shù)措施、平安管理措施各局部之間的關(guān)系是人〔平安機(jī)構(gòu)和人員〕，按照規(guī)那么〔平安管理制度〕，使用技術(shù)工具〔平安技術(shù)〕進(jìn)行操作〔系統(tǒng)建設(shè)和系統(tǒng)運(yùn)維〕。

平安措施框架示意圖如下：圖3.

平安措施框架示意圖2.3.4

平安區(qū)域劃分不同的信息系統(tǒng)的業(yè)務(wù)特性、平安需求和等級、使用的對象、面對的威脅和風(fēng)險各不相同。如何保證系統(tǒng)的平安性是一個巨大的挑戰(zhàn)，對信息系統(tǒng)劃分平安區(qū)域，進(jìn)行層次化、有重點(diǎn)的保護(hù)是有保證系統(tǒng)和信息平安的有效手段。按數(shù)據(jù)分類分區(qū)域分等級保護(hù)，就是按數(shù)據(jù)分類進(jìn)行分級，按數(shù)據(jù)分布進(jìn)行區(qū)域劃分，根據(jù)區(qū)域中數(shù)據(jù)的分類確定該區(qū)域的平安風(fēng)險等級。目的是把一個大規(guī)模復(fù)雜系統(tǒng)的平安問題，分解為更小區(qū)域的平安保護(hù)問題。這是實(shí)現(xiàn)大規(guī)模復(fù)雜信息的系統(tǒng)平安等級保護(hù)的有效方法。隨著平安區(qū)域方法的開展，發(fā)現(xiàn)力圖用一種大一統(tǒng)的方法和結(jié)構(gòu)去描述一個復(fù)雜的網(wǎng)絡(luò)環(huán)境是非常困難的，即使描述出來其可操作性也值得疑心。因此，我公司提出了“同構(gòu)性簡化的方法〞，其根本思路是認(rèn)為一個復(fù)雜的網(wǎng)絡(luò)應(yīng)當(dāng)是由一些相通的網(wǎng)絡(luò)結(jié)構(gòu)元所組成，這些網(wǎng)絡(luò)結(jié)構(gòu)元進(jìn)行拼接、遞歸等方式構(gòu)造出一個大的網(wǎng)絡(luò)。可以說，結(jié)構(gòu)性簡化好似將網(wǎng)絡(luò)分析成一種單一大分子組成的系統(tǒng)，而同構(gòu)性簡化就是將網(wǎng)絡(luò)看成一個由幾種小分子組成的系統(tǒng)。“3+1同構(gòu)性簡化〞的平安域方法就是一個非常典型的例子，此方法是用一種3+1小分子構(gòu)造來分析venuscustomer的網(wǎng)絡(luò)系統(tǒng)?！沧ⅲ撼?+1構(gòu)造之外，還存在其他形式的構(gòu)造。〕具體來說信息系統(tǒng)按照其維護(hù)的數(shù)據(jù)類可以分為平安效勞域、平安接入域、平安互聯(lián)域以及平安管理域四類。在此根底上確定不同區(qū)域的信息系統(tǒng)平安保護(hù)等級。同一區(qū)域內(nèi)的資產(chǎn)實(shí)施統(tǒng)一的保護(hù)，如進(jìn)出信息保護(hù)機(jī)制，訪問控制，物理平安特性等。信息系統(tǒng)可以劃分為以下四個大的平安域〔3+1同構(gòu)法〕：平安接入域：由訪問同類數(shù)據(jù)的用戶終端構(gòu)成平安接入域，平安接入域的劃分應(yīng)以用戶所能訪問的平安效勞域中的數(shù)據(jù)類和用戶計算機(jī)所處的物理位置來確定。平安接入域的平安等級與其所能訪問的平安效勞域的平安等級有關(guān)。當(dāng)一個平安接入域中的終端能訪問多個平安效勞域時，該平安接入域的平安等級應(yīng)與這些平安效勞域的最高平安等級相同。平安接入域應(yīng)有明確的邊界，以便于進(jìn)行保護(hù)。平安互聯(lián)域：連接傳輸共同數(shù)據(jù)的平安效勞域和平安接入域組成的互聯(lián)根底設(shè)施構(gòu)成了平安互聯(lián)域。主要包括其他域之間的互連設(shè)備，域間的邊界、域與外界的接口都在此域。平安互聯(lián)域的平安等級確實(shí)定與網(wǎng)絡(luò)所連接的平安接入域和平安效勞域的平安等級有關(guān)。平安效勞域：在局域范圍內(nèi)存儲，傳輸、處理同類數(shù)據(jù)，具有相同平安等級保護(hù)的單一計算機(jī)〔主機(jī)/效勞器〕或多個計算機(jī)組成了平安效勞域，不同數(shù)據(jù)在計算機(jī)的上分布情況，是確定平安效勞域的根本依據(jù)。根據(jù)數(shù)據(jù)分布，可以有以下平安效勞域：單一計算機(jī)單一平安級別效勞域，多計算機(jī)單一平安級別效勞域，單一計算機(jī)多平安級別綜合效勞域，多計算機(jī)多平安級別綜合效勞域。平安管理域：平安系統(tǒng)的監(jiān)控管理平臺都放置在這個區(qū)域，為整個IT架構(gòu)提供集中的平安效勞，進(jìn)行集中的平安管理和監(jiān)控以及響應(yīng)。具體來說可能包括如下內(nèi)容：病毒監(jiān)控中心、認(rèn)證中心、平安運(yùn)營中心等。平安區(qū)域3+1同構(gòu)示意圖如下：

圖4.

平安區(qū)域3+1同構(gòu)示意圖

2.3.5

平安措施選擇

27號文件指出，實(shí)行信息平安等級保護(hù)時“要重視信息平安風(fēng)險評估工作，對網(wǎng)絡(luò)與信息系統(tǒng)平安的潛在威脅、薄弱環(huán)節(jié)、防護(hù)措施等進(jìn)行分析評估，綜合考慮網(wǎng)絡(luò)與信息系統(tǒng)的重要性、涉密程度和面臨的信息平安風(fēng)險等因素，進(jìn)行相應(yīng)等級的平安建設(shè)和管理〞。由此可見，信息系統(tǒng)等級保護(hù)可視為一個有參照系的風(fēng)險管理過程。等級保護(hù)是以等級化的保護(hù)對象、不同平安要求對應(yīng)的等級化的平安措施為參照，以風(fēng)險管理過程為主線，建立并實(shí)施等級保護(hù)體系的過程。平安措施的選擇首先應(yīng)依據(jù)我國信息系統(tǒng)平安等級劃分的要求，設(shè)計五個等級的平安措施等級要求〔平安措施等級要求是針對五個等級信息系統(tǒng)的根本要求〕。不同等級的信息系統(tǒng)在相應(yīng)級別平安措施等級要求的根底上，進(jìn)行平安措施的調(diào)整、定制和增強(qiáng)，并按照一定的劃分方法組成相應(yīng)的平安措施框架，得到適用于該系統(tǒng)的平安措施。平安措施的調(diào)整主要依據(jù)綜合平衡系統(tǒng)平安要求、系統(tǒng)所面臨風(fēng)險和實(shí)施平安保護(hù)措施的本錢來進(jìn)行。信息系統(tǒng)平安措施選擇的原理圖如下：

圖5.

平安措施選擇的原理圖3

需求分析3.1

系統(tǒng)現(xiàn)狀3.2

現(xiàn)有措施目前，信息系統(tǒng)已經(jīng)采取了下述的平安措施：1、在物理層面上，2、在網(wǎng)絡(luò)層面上，3、在系統(tǒng)層面上，4、在應(yīng)用層面上，5、在管理層面上，3.3

具體需求3.3.1

等級保護(hù)技術(shù)需求要保證信息系統(tǒng)的平安可靠，必須全面了解信息系統(tǒng)可能面臨的所有平安威脅和風(fēng)險。威脅是指可能對信息系統(tǒng)資產(chǎn)或所在組織造成損害事故的潛在原因；威脅雖然有各種各樣的存在形式，但其結(jié)果是一致的，都將導(dǎo)致對信息或資源的破壞，影響信息系統(tǒng)的正常運(yùn)行，破壞提供效勞的有效性、可靠性和權(quán)威性。任何可能對信息系統(tǒng)造成危害的因素，都是對系統(tǒng)的平安威脅。威脅不僅來來自人為的破壞，也來自自然環(huán)境，包括各種人員、機(jī)構(gòu)出于各自目的的攻擊行為，系統(tǒng)自身的平安缺陷以及自然災(zāi)難等。信息系統(tǒng)可能面臨的威脅的主要來源有：

圖6.

威脅的主要來源視圖

威脅發(fā)生的可能性與信息系統(tǒng)資產(chǎn)的吸引力、資產(chǎn)轉(zhuǎn)化為報酬的容易程度、威脅的技術(shù)含量、薄弱點(diǎn)被利用的難易程度等因素密切相關(guān)。被動攻擊威脅與風(fēng)險：網(wǎng)絡(luò)通信數(shù)據(jù)被監(jiān)聽、口令等敏感信息被截獲等。主動攻擊威脅與風(fēng)險：掃描目標(biāo)主機(jī)、拒絕效勞攻擊、利用協(xié)議、軟件、系統(tǒng)故障、漏洞插入或執(zhí)行惡意代碼〔如：特洛依木馬、病毒、后門等〕、越權(quán)訪問、篡改數(shù)據(jù)、偽裝、重放所截獲的數(shù)據(jù)等。鄰近攻擊威脅與風(fēng)險：毀壞設(shè)備和線路、竊取存儲介質(zhì)、偷窺口令等。分發(fā)攻擊威脅與風(fēng)險：在設(shè)備制造、安裝、維護(hù)過程中，在設(shè)備上設(shè)置隱藏的的后門或攻擊途徑。內(nèi)部攻擊威脅與風(fēng)險：惡意修改數(shù)據(jù)和平安機(jī)制配置參數(shù)、惡意建立未授權(quán)連接、惡意的物理損壞和破壞、無意的數(shù)據(jù)損壞和破壞。3.3.2

等級保護(hù)管理需求平安是不能僅僅靠技術(shù)來保證，單純的技術(shù)都無法實(shí)現(xiàn)絕對的平安，必須要有相應(yīng)的組織管理體制配合、支撐，才能確保信息系統(tǒng)平安、穩(wěn)定運(yùn)行。管理平安是整體平安中重要的組成局部。信息系統(tǒng)平安管理雖然得到了一定的落實(shí)，但由于人員編制有限，平安的專業(yè)性、復(fù)雜性、不可預(yù)計性等，在管理機(jī)構(gòu)、管理制度、人員平安、系統(tǒng)建設(shè)、系統(tǒng)運(yùn)維等平安管理方面存在一些平安隱患：——管理機(jī)構(gòu)方面:——管理制度方面:——人員平安方面:——系統(tǒng)建設(shè)方面:——系統(tǒng)運(yùn)維方面:4

平安策略4.1

總體平安策略——遵循國家、地方、行業(yè)相關(guān)法規(guī)和標(biāo)準(zhǔn)；——貫徹等級保護(hù)和分域保護(hù)的原那么；——管理與技術(shù)并重，互為支撐，互為補(bǔ)充，相互協(xié)同，形成有效的綜合防范體系；——充分依托已有的信息平安根底設(shè)施，加快、加強(qiáng)信息平安保障體系建設(shè)?！谌壠桨驳男畔⑾到y(tǒng)具備對信息和系統(tǒng)進(jìn)行基于平安策略強(qiáng)制的平安保護(hù)能力?！诩夹g(shù)策略方面：——在管理策略方面:4.2

具體平安策略4.2.1

平安域內(nèi)部策略略4.2.2

平安域邊界策略

略4.2.3

平安域互聯(lián)策略略5

平安解決方案不同的平安等級要求具有不同的根本平安保護(hù)能力，實(shí)現(xiàn)根本平安保護(hù)能力將通過選用適宜的平安措施或平安控制來保證，可以使用的平安措施或平安控制表現(xiàn)為平安根本要求，依據(jù)實(shí)現(xiàn)方式的不同，信息系統(tǒng)等級保護(hù)的平安根本要求分為技術(shù)要求和管理要求兩大類。技術(shù)類平安要求通常與信息系統(tǒng)提供的技術(shù)平安機(jī)制有關(guān)，主要是通過在信息系統(tǒng)中部署軟硬件并正確的配置其平安功能來實(shí)現(xiàn)；管理類平安要求通常與信息系統(tǒng)中各種角色參與的活動有關(guān)，主要是通過控制各種角色的活動，從政策、制度、標(biāo)準(zhǔn)、流程以及記錄等方面做出規(guī)定來實(shí)現(xiàn)。根據(jù)威脅分析、平安策略中提出的根本要求和平安目標(biāo)，在整體保障框架的指導(dǎo)下，本節(jié)將就具體的平安技術(shù)措施和平安管理措施來設(shè)計平安解決方案，以滿足相應(yīng)等級的根本平安保護(hù)能力。5.1

平安技術(shù)體系5.1.1區(qū)域邊界5.1.1.1邊界訪問控制網(wǎng)絡(luò)區(qū)域邊界通常是整個網(wǎng)絡(luò)系統(tǒng)中較為容易受到攻擊的位置，很多來自外部的攻擊都是通過邊界的薄弱環(huán)節(jié)攻擊到網(wǎng)絡(luò)內(nèi)部的。而平安域的邊界也需要做平安防御，以保證平安域內(nèi)的信息平安以及平安域內(nèi)與其他平安域間的數(shù)據(jù)的受控的訪問。因此網(wǎng)絡(luò)及平安域邊界需要進(jìn)行著重的平安防御設(shè)計。本方案在核心交換機(jī)旁路部署2臺防火墻提供網(wǎng)絡(luò)內(nèi)部橫向邊界的訪問控制，實(shí)現(xiàn)大二層網(wǎng)絡(luò)三級系統(tǒng)云效勞應(yīng)用區(qū)、數(shù)據(jù)存儲區(qū)、平安管理區(qū)等的平安隔離。在外網(wǎng)區(qū)部署2臺防火墻為互聯(lián)網(wǎng)邊界、外部專網(wǎng)邊界提供邊界訪問控制。在云平臺資源效勞器上部署虛擬防火墻系統(tǒng)，實(shí)現(xiàn)資源池內(nèi)部虛擬效勞器之間的橫向邊界訪問控制。5.1.1.2邊界協(xié)議過濾本方案在核心交換機(jī)旁路部署1臺入侵檢測系統(tǒng)提供網(wǎng)絡(luò)內(nèi)部各域之間訪問的入侵檢測。在外網(wǎng)區(qū)部署2臺入侵防護(hù)系統(tǒng)〔含防病毒模塊〕為互聯(lián)網(wǎng)邊界、外部專網(wǎng)邊界提供邊界入侵防護(hù)、惡意代碼過濾。5.1.1.3區(qū)域邊界平安審計本方案在核心交換機(jī)旁路部署1臺網(wǎng)絡(luò)審計設(shè)備〔含數(shù)據(jù)庫審計功能模塊〕，實(shí)現(xiàn)全網(wǎng)行為審計、實(shí)現(xiàn)數(shù)據(jù)存儲區(qū)數(shù)據(jù)訪問記錄審計5.1.1.4區(qū)域邊界完整性保護(hù)本方案在旁路部署區(qū)域部署了1臺入侵檢測系統(tǒng)，能夠?qū)崿F(xiàn)探測入侵等行為，完成對區(qū)域邊界的完整性保護(hù)。在平安管理運(yùn)維區(qū)部署終端管理系統(tǒng)，能夠有效探測終端的非法外聯(lián)、非法內(nèi)聯(lián)行為。5.1.2通信網(wǎng)絡(luò)5.1.2.1通信網(wǎng)絡(luò)平安審計在核心交換機(jī)旁路部署1臺網(wǎng)絡(luò)審計系統(tǒng)，收集、記錄通信網(wǎng)絡(luò)的相關(guān)平安事件，上報平安管理中心。5.1.2.2網(wǎng)絡(luò)數(shù)據(jù)傳輸完整性保護(hù)在核心交換機(jī)旁路部署1臺SSLVPN設(shè)備，對于重要數(shù)據(jù)的遠(yuǎn)程訪問行為進(jìn)行平安加密，提供完整性保護(hù)。5.1.2.3網(wǎng)絡(luò)數(shù)據(jù)傳輸保密性保護(hù)在核心交換機(jī)旁路部署1臺SSLVPN設(shè)備，對于重要數(shù)據(jù)的遠(yuǎn)程訪問行為進(jìn)行平安加密，提供保密性防護(hù)。5.1.2.4網(wǎng)絡(luò)可信接入通過在平安管理運(yùn)維區(qū)域部署網(wǎng)絡(luò)平安準(zhǔn)入系統(tǒng)，通過開啟平安準(zhǔn)入控制功能，確保經(jīng)過認(rèn)證的主機(jī)才能接入到網(wǎng)絡(luò)，實(shí)現(xiàn)網(wǎng)絡(luò)可信接入控制。5.1.3計算環(huán)境5.1.3.1操作系統(tǒng)平安優(yōu)化操作系統(tǒng)是承載業(yè)務(wù)應(yīng)用、數(shù)據(jù)庫應(yīng)用的根底載體，是業(yè)務(wù)應(yīng)用平安的主要防線，一旦操作系統(tǒng)的平安性出現(xiàn)問題，將對整體業(yè)務(wù)數(shù)據(jù)平安造成嚴(yán)重威脅，對于業(yè)務(wù)系統(tǒng)的效勞器操作系統(tǒng)平安，可通過操作系統(tǒng)加固優(yōu)化實(shí)現(xiàn)。5.1.3.2數(shù)據(jù)庫系統(tǒng)平安優(yōu)化數(shù)據(jù)庫是業(yè)務(wù)系統(tǒng)數(shù)據(jù)的承載體，通常都保存著重要的數(shù)據(jù)，包括敏感的業(yè)務(wù)數(shù)據(jù)，如：交易記錄、商業(yè)事務(wù)和帳號數(shù)據(jù)等。對于三級業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫系統(tǒng)平安，應(yīng)采取相應(yīng)的平安加固手段。5.1.3.3效勞器和客戶端病毒防護(hù)系統(tǒng)在網(wǎng)絡(luò)中所有適用的效勞器〔WINDOWS、LINUX〕和客戶端〔WINDOWS〕計算機(jī)上部署相應(yīng)平臺的網(wǎng)絡(luò)版防病毒軟件，并配置防病毒系統(tǒng)管理效勞器對所有主機(jī)上的防病毒軟件進(jìn)行集中管理、監(jiān)控、統(tǒng)一升級、集中查殺毒。按照等保三級要求，主機(jī)上部署的網(wǎng)絡(luò)版防病毒軟件應(yīng)采用與網(wǎng)絡(luò)邊界部署的病毒過濾網(wǎng)關(guān)異構(gòu)〔邊界防病毒過濾網(wǎng)關(guān)目前集成到入侵防護(hù)系統(tǒng)上〕的病毒代碼庫，以提高整體病毒查殺能力。5.1.3.4Web應(yīng)用防護(hù)控制在外網(wǎng)區(qū)域部署web應(yīng)用防護(hù)系統(tǒng)，來防御專門針對WEB應(yīng)用的攻擊行為。5.1.3.5網(wǎng)絡(luò)審計系統(tǒng)〔數(shù)據(jù)庫審計系統(tǒng)〕本方案在核心交換機(jī)旁路部署1臺網(wǎng)絡(luò)審計設(shè)備〔含數(shù)據(jù)庫審計功能模塊〕，實(shí)現(xiàn)全網(wǎng)行為審計、實(shí)現(xiàn)數(shù)據(jù)存儲區(qū)數(shù)據(jù)訪問記錄審計5.1.3.6系統(tǒng)平安審計在平安管理運(yùn)維區(qū)部署1套集中日志審計系統(tǒng)，收集全網(wǎng)計算環(huán)境中產(chǎn)生的日志信息，包括WEB效勞器的操作系統(tǒng)和應(yīng)用系統(tǒng)，數(shù)據(jù)庫效勞器以及局部網(wǎng)絡(luò)設(shè)備和平安設(shè)備。5.1.3.7漏洞掃描部署在平安管理運(yùn)維區(qū)的漏洞掃描系統(tǒng)實(shí)現(xiàn)全網(wǎng)網(wǎng)絡(luò)設(shè)備、效勞器等漏洞掃描，并提供平安建議和改良措施等功能，幫助用戶控制可能發(fā)生的平安事件，最大可能的消除平安隱患。5.1.3.8堡壘主機(jī)在平安管理運(yùn)維區(qū)域部署1套內(nèi)控堡壘主機(jī)，在系統(tǒng)運(yùn)維人員和信息系統(tǒng)〔網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫、應(yīng)用等〕之間搭建一個唯一的入口和統(tǒng)一的交互的界面，針對信息系統(tǒng)中關(guān)鍵軟硬件設(shè)備運(yùn)維的行為進(jìn)行管控及審計。5.1.3.9數(shù)據(jù)庫防火墻在數(shù)據(jù)庫存儲區(qū)域部署一套數(shù)據(jù)庫防火墻系統(tǒng)，數(shù)據(jù)庫防火墻不但具有傳統(tǒng)數(shù)據(jù)庫審計的能力，而且在串聯(lián)模式下可具有SQL防火墻、訪問權(quán)限控制、虛擬補(bǔ)丁等功能。通過部署數(shù)據(jù)庫防火墻可以實(shí)現(xiàn)從事前預(yù)防、事中控制、事后審計的全方位的數(shù)據(jù)庫防護(hù)，補(bǔ)充當(dāng)前平安方案中對數(shù)據(jù)庫的防護(hù)缺乏。5.1.3.10數(shù)據(jù)備份和恢復(fù)核心業(yè)務(wù)數(shù)據(jù)就是生命線，當(dāng)故障或?yàn)?zāi)難發(fā)生時，能否有一份可用的數(shù)據(jù)，是決定其存亡的關(guān)鍵。建議對數(shù)據(jù)采取本地備份和恢復(fù)措施或建立同城災(zāi)備中心。5.2

平安管理體系針對等級保護(hù)的管理要求，建議通過平安咨詢及平安規(guī)劃，實(shí)現(xiàn)包括平安管理機(jī)構(gòu)、平安管理制度、人員平安、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理在內(nèi)的平安管理體系，使符合等級保護(hù)的管理要求，另外從定級的角度，由于信息系統(tǒng)最高定級為3級，因此其平安管理方面應(yīng)當(dāng)按照3級要求進(jìn)行總體建設(shè)，平安管理體系制度局部清單例如如下：?信息平安組織體系和職責(zé)?：規(guī)定組織平安組織機(jī)構(gòu)的職責(zé)和工作。?信息平安崗位人員管理方法?：加強(qiáng)內(nèi)部人員平安管理，依據(jù)最小特權(quán)原那么清晰劃分崗位，在所有崗位職責(zé)中明確信息平安責(zé)任，要害工作崗位實(shí)現(xiàn)職責(zé)別離，關(guān)鍵事務(wù)雙人臨崗，重要崗位要有人員備份，定期進(jìn)行人員的平安審查。?信息平安員工平安管理方法?：員工在錄用、調(diào)動、離職過程中的信息平安管理，提出對信息平安培訓(xùn)及教育、獎勵和考核的要求。?信息平安培訓(xùn)及教育管理方法?：組織各層面信息平安培訓(xùn)的要求和主要內(nèi)容。?信息平安第三方人員平安管理方法?：必須加強(qiáng)第三方訪問和外包效勞的平安控制，在風(fēng)險評估的根底上制定平安控制措施，并與第三方組織和外包效勞組織簽署平安責(zé)任協(xié)議，明確其平安責(zé)任。?平安檢查及考核管理方法?建立平安檢查制度和平安處分制度，對違反規(guī)章制度的部門和人員按照規(guī)定進(jìn)行處分。?信息平安體系管理方法?：建設(shè)完整平安體系，實(shí)現(xiàn)從設(shè)計、實(shí)施、修改和維護(hù)生命周期的平安體系自身保障。?信息平安策略管理方法?：平安策略本身應(yīng)標(biāo)準(zhǔn)從創(chuàng)立、執(zhí)行、修改、到更新、廢止等整個生命周期的維護(hù)保障。?信息平安平安現(xiàn)狀評估管理方法?：組織信息平安體系的建設(shè)和維護(hù)，要通過及時獲知和評價信息平安的現(xiàn)狀，通過對于平安現(xiàn)狀的評估，實(shí)施信息平安建設(shè)工作，減少和降低信息平安風(fēng)險，提高信息平安保障水平。?信息平安信息資產(chǎn)管理方法?：必須加強(qiáng)信息資產(chǎn)管理，建立和維護(hù)信息資產(chǎn)清單，維護(hù)最新的網(wǎng)絡(luò)拓?fù)鋱D，建立信息資產(chǎn)責(zé)任制，對信息資產(chǎn)進(jìn)行分類管理和貼標(biāo)簽。?信息平安IT設(shè)備弱點(diǎn)評估及加固管理方法?：增強(qiáng)主機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備的平安配置，應(yīng)定期進(jìn)行平安評估和平安加固。?信息平安預(yù)警管理方法?：對平安威脅提前預(yù)警，及時將國內(nèi)外平安信息通知組織各級信息平安管理人員及員工，確保能夠及時采取應(yīng)對措施，以此降低組織的信息平安風(fēng)險。?信息平安平安審計及監(jiān)控管理方法?：應(yīng)部署網(wǎng)絡(luò)層面和系統(tǒng)層面的訪問控制、平安審計以及平安監(jiān)控技術(shù)措施，保障業(yè)務(wù)系統(tǒng)的平安運(yùn)行。?信息平