信息安全等級保護建設方案信息安全等級保護（二級）建設方案3月目錄1. 項目概述 41.1. 項目建設目的 41.2. 項目參考原則 41.3. 方案設計原則 62. 系統(tǒng)現(xiàn)狀分析 72.1. 系統(tǒng)定級狀況闡明 72.2. 業(yè)務系統(tǒng)闡明 72.3. 網(wǎng)絡構造闡明 73. 安全需求分析 83.1. 物理安全需求分析 83.2. 網(wǎng)絡安全需求分析 83.3. 主機安全需求分析 93.4. 應用安全需求分析 93.5. 數(shù)據(jù)安全需求分析 93.6. 安全管理制度需求分析 94. 總體方案設計 94.1. 總體設計目的 94.2. 總體安全體系設計 104.3. 總體網(wǎng)絡架構設計 124.4. 安全域劃分闡明 125. 具體方案設計技術部分 135.1. 物理安全 135.2. 網(wǎng)絡安全 135.2.1. 安全域邊界隔離技術 135.2.2. 入侵防備技術 135.2.3. 網(wǎng)頁防篡改技術 145.2.4. 鏈路負載均衡技術 145.2.5. 網(wǎng)絡安全審計 145.3. 主機安全 155.3.1. 數(shù)據(jù)庫安全審計 155.3.2. 運維堡壘主機 155.3.3. 主機防病毒技術 165.4. 應用安全 166. 具體方案設計管理部分 166.1. 總體安全方針與安全方略 176.2. 信息安全管理制度 186.3. 安全管理機構 186.4. 人員安全管理 186.5. 系統(tǒng)建設管理 196.6. 系統(tǒng)運維管理 196.7. 安全管理制度匯總 217. 咨詢服務和系統(tǒng)測評 227.1. 系統(tǒng)定級服務 227.2. 風險評定和安全加固服務 227.2.1. 漏洞掃描 227.2.2. 滲入測試 227.2.3. 配備核查 227.2.4. 安全加固 227.2.5. 安全管理制度編寫 247.2.6. 安全培訓 247.3. 系統(tǒng)測評服務 248. 項目預算與配備清單 258.1. 項目預算一期（等保二級基本規(guī)定） 258.2. 利舊安全設備使用闡明 26項目概述項目建設目的為了進一步貫徹貫徹教育行業(yè)信息安全等級保護制度，推動學校信息安全等級保護工作，根據(jù)國家《計算機信息系統(tǒng)安全保護等級劃分準則》、《信息系統(tǒng)安全等級保護基本規(guī)定》、《信息系統(tǒng)安全保護等級定級指南》等原則，對學校的網(wǎng)絡和信息系統(tǒng)進行等級保護定級，按信息系統(tǒng)逐個編制訂級報告和定級備案表，并指導學校信息化人員將定級材料提交本地公安機關備案。本方案中，通過為滿足物理安全、網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全五個方面基本技術規(guī)定進行技術體系建設；為滿足安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理五個方面基本管理規(guī)定進行管理體系建設。使得學校信息系統(tǒng)的等級保護建設方案最后既能夠滿足等級保護的有關規(guī)定，又能夠全方面為學校的業(yè)務系統(tǒng)提供立體、縱深的安全保障防御體系，確保信息系統(tǒng)整體的安全保護能力。本項目建設將完畢下列目的：1、以學校信息系統(tǒng)現(xiàn)有基礎設施，建設并完畢滿足等級保護二級系統(tǒng)基本規(guī)定的信息系統(tǒng)，確保學校的整體信息化建設符合有關規(guī)定。2、建立安全管理組織機構。成立信息安全工作組，學校負責人為安全負責人，擬定實施信息系統(tǒng)安全等級保護的具體方案，并制訂對應的崗位責任制，確保信息安全等級保護工作順利實施。3、建立完善的安全技術防護體系。根據(jù)信息安全等級保護的規(guī)定，建立滿足二級規(guī)定的安全技術防護體系。4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護的規(guī)定，制訂各項信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行統(tǒng)計文檔。5、制訂學校信息系統(tǒng)不中斷的應急預案。應急預案是安全等級保護的重要構成部分，按可能出現(xiàn)問題的不同情形制訂對應的應急方法，在系統(tǒng)出現(xiàn)故障和意外且無法短時間恢復的狀況下能確保生產(chǎn)活動持續(xù)進行。6、安全培訓：為學校信息化技術人員提供信息安全有關專業(yè)技術知識培訓。項目參考原則我司遵照國家信息安全等級保護指南等最新安全原則以及開展各項服務工作，配合學校的等級保護測評工作。本項目建設參考根據(jù)：指導思想中辦[]27號文獻（有關轉(zhuǎn)發(fā)《國家信息化領導小組有關加強信息安全保障工作的意見》的告知）公通字[]66號文獻（有關印發(fā)《信息安全等級保護工作的實施意見》的告知）公通字[]43號文獻（有關印發(fā)《信息安全等級保護管理方法》的告知）公信安[]1429《有關開展信息安全等級保護安全建設整治工作的指導意見》全國人大《有關加強網(wǎng)絡信息保護的決定》國發(fā)[]23號《國務院有關大力推動信息化發(fā)展和切實保障信息安全的若干意見》國發(fā)[]7號《國務院有關推動物聯(lián)網(wǎng)有序健康發(fā)展的指導意見》公信安[]2182號《有關加強國家級重要信息系統(tǒng)安全保障工作有關事項的告知》（公信安[]2182號）等級保護GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則GB/T25058-信息系統(tǒng)安全等級保護實施指南系統(tǒng)定級GB/T22240-信息安全技術信息系統(tǒng)安全保護等級定級指南技術方面GB/T25066-信息安全產(chǎn)品類別與代碼GB/T17900-1999網(wǎng)絡代理服務器的安全技術規(guī)定GB/T0-包過濾防火墻評定準則GB/T20281-防火墻技術規(guī)定和測試評價辦法GB/T18018-路由器安全技術規(guī)定GB/T8-路由器安全評定準則GB/T20272-操作系統(tǒng)安全技術規(guī)定GB/T20273-數(shù)據(jù)庫管理系統(tǒng)安全技術規(guī)定GB/T9-數(shù)據(jù)庫管理系統(tǒng)安全評定準則GB/T20275-入侵檢測系統(tǒng)技術規(guī)定和測試評價辦法GB/T20277-網(wǎng)絡和終端設備隔離部件測試評價辦法GB/T20279-網(wǎng)絡和終端設備隔離部件安全技術規(guī)定GB/T20278-網(wǎng)絡脆弱性掃描產(chǎn)品技術規(guī)定GB/T20280-網(wǎng)絡脆弱性掃描產(chǎn)品測試評價辦法GB/T20945-信息系統(tǒng)安全審計產(chǎn)品技術規(guī)定和測試評價辦法GB/T21028-服務器安全技術規(guī)定GB/T25063-服務器安全側(cè)評規(guī)定GB/T21050-網(wǎng)絡交換機安全技術規(guī)定（EAL3）GB/T28452-應用軟件系統(tǒng)通用安全技術規(guī)定GB/T29240-終端計算機通用安全技術規(guī)定與測試評價辦法GB/T28456-IPsec合同應用測試規(guī)范GB/T28457-SSL合同應用測試規(guī)范管理方面GB/T20269-信息系統(tǒng)安全管理規(guī)定GB/T28453-信息系統(tǒng)安全管理評定規(guī)定GB/T20984-信息安全風險評定規(guī)范GB/T24364-信息安全風險管理指南GB/T20985-信息安全事件管理指南GB/T20986-信息安全事件分類分級指南GB/T20988-信息系統(tǒng)災難恢復規(guī)范方案設計GB/T25070-信息系統(tǒng)等級保護安全設計技術規(guī)定等保測評GB/T28448-信息系統(tǒng)安全等級保護測評規(guī)定GB/T28449-信息系統(tǒng)安全等級保護測評過程指南方案設計原則針對本次項目，等級保護整治方案的設計和實施將遵照下列原則：保密性原則：我司對安全服務的實施過程和成果將嚴格保密，在未經(jīng)顧客方授權的狀況下不會泄露給任何單位和個人，不會運用此數(shù)據(jù)進行任何侵害客戶權益的行為；原則性原則：服務設計和實施的全過程均根據(jù)國內(nèi)或國際的有關原則進行；根據(jù)等級保護二級基本規(guī)定，進行分等級分安全域進行安全設計和安全建設。規(guī)范性原則：我司在各項安全服務工作中的過程和文檔，都含有較好的規(guī)范性（《南寧市學家科技有限公司安全服務實施規(guī)范》），能夠便于項目的跟蹤和控制；可控性原則：服務所使用的工具、辦法和過程都會在深信服與顧客方雙方承認的范疇之內(nèi)，服務進度恪守進度表的安排，確保雙方對服務工作的可控性；整體性原則：服務的范疇和內(nèi)容整體全方面，涉及的IT運行的各個層面，避免由于遺漏造成將來的安全隱患；最小影響原則：服務工作盡量小的影響信息系統(tǒng)的正常運行，不會對現(xiàn)有業(yè)務造成明顯影響。體系化原則：在體系設計、建設中，深信服充足考慮到各個層面的安全風險，構建完整的立體安全防護體系。先進性原則：為滿足后續(xù)不停增加的業(yè)務需求、對安全產(chǎn)品、安全技術都充足考慮前瞻性規(guī)定，采用先進、成熟的安全產(chǎn)品、技術和先進的管理辦法。分環(huán)節(jié)原則：根據(jù)顧客方規(guī)定，對顧客方安全保障體系進行分期、分環(huán)節(jié)的有序布署。服務細致化原則：在項目咨詢、建設過程中深信服將充足結合本身的專業(yè)技術經(jīng)驗與行業(yè)經(jīng)驗相結合，結合顧客方的實際信息系統(tǒng)量身定做才干夠保障其信息系統(tǒng)安全穩(wěn)定的運行。系統(tǒng)現(xiàn)狀分析系統(tǒng)定級狀況闡明學校綜合考慮了學校信息系統(tǒng)、學校信息系統(tǒng)的業(yè)務信息和系統(tǒng)服務類型，以及其受到破壞時可能受到侵害的客體以及受侵害的程度，經(jīng)學校省公安廳的同意，已將學校系統(tǒng)等級定為等級保護第二級（S2A2G2），整體網(wǎng)絡信息化平臺按照二級進行建設。業(yè)務系統(tǒng)闡明學校本次參加整治的共有X個信息系統(tǒng)，分別是學校系統(tǒng)、學校系統(tǒng)、學校系統(tǒng)、學校系統(tǒng)，具體狀況介紹以下：學校門戶網(wǎng)站系統(tǒng)：門戶網(wǎng)站（網(wǎng)絡版）歷經(jīng)系統(tǒng)開發(fā)、模擬測試、網(wǎng)絡、硬件設備安裝布署，在試點和實施過程當中發(fā)現(xiàn)系統(tǒng)仍有局限性之處，需要對系統(tǒng)進行進一步完善和改善，重要考慮到由于門戶網(wǎng)站（網(wǎng)絡版）作為學校集中布署的網(wǎng)絡化重要業(yè)務系統(tǒng)，其含有應用面廣、顧客規(guī)模大，并涉及到學校對互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上布署的特性，因此系統(tǒng)本身和運行環(huán)境均存在一定的安全風險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和方法。學校OA系統(tǒng)：目前學校舊OA系統(tǒng)準備停用，并且已經(jīng)開發(fā)和準備上線新的業(yè)務系統(tǒng)，新的業(yè)務系統(tǒng)目前準備對公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務系統(tǒng)的規(guī)模比較大，并且整個網(wǎng)絡相對會比較復雜、流量多變，因此系統(tǒng)任有較多局限性，在本次建設過程中應當加強安全建設，系統(tǒng)本身和運行環(huán)境均存在一定的安全風險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和方法。網(wǎng)絡構造闡明學校信息系統(tǒng)網(wǎng)絡拓撲圖現(xiàn)狀以下：安全需求分析物理安全需求分析目前在機房建設方面還存在以下問題：物理訪問控制；防雷擊；防火墻；防水防潮；溫濕度控制；網(wǎng)絡安全需求分析邊界入侵防備：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要布署下一代署防火墻等安全設備來實現(xiàn)。防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要布署下一代署防火墻等安全設備來實現(xiàn)。安全域邊界安全審計：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要布署署網(wǎng)絡安全審計等安全設備來實現(xiàn)。主機安全需求分析主機防病毒：該信息系統(tǒng)缺少主機防病毒的有關安全方略，需要配備網(wǎng)絡版主機防病毒系統(tǒng)，從而實現(xiàn)對全網(wǎng)主機的惡意代碼防備。數(shù)據(jù)庫審計：該信息系統(tǒng)缺少針對數(shù)據(jù)的審計設備，不能較好的滿足主機安全審計的規(guī)定，需要布署專業(yè)的數(shù)據(jù)庫審計設備。運維堡壘機：該該信息系統(tǒng)無法實現(xiàn)管理員對網(wǎng)絡設備和服務器進行管理時的雙因素認證，需要布署堡壘機來實現(xiàn)。漏洞掃描：需要布署漏洞掃描實現(xiàn)對全網(wǎng)漏洞的掃描。應用安全需求分析通信完整性和保密性：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要布署SSLVPN等安全設備來實現(xiàn)。數(shù)據(jù)安全需求分析備份與恢復：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復方案，需要制訂有關方略。同時，該信息系統(tǒng)沒有實現(xiàn)對核心網(wǎng)絡設備的冗余，建議布署雙鏈路確保設備冗余。安全管理制度需求分析根據(jù)前期差距分析成果，該單位還欠缺較多安全管理制度，需要后續(xù)補充。總體方案設計總體設計目的學校的安全等級保護整治方案設計的總體目的是根據(jù)國家等級保護的有關原則和規(guī)范，結合學校信息系統(tǒng)的現(xiàn)狀，對其進行重新規(guī)劃和合規(guī)性整治，為其建立一種完整的安全保障體系，有效保障其系統(tǒng)業(yè)務的正常開展，保護敏感數(shù)據(jù)信息的安全，確保學校信息系統(tǒng)的安全防護能力達成《信息安全技術信息系統(tǒng)安全等級保護基本規(guī)定》中第二級的有關技術和管理規(guī)定。總體安全體系設計本項目提出的等級保護體系模型，必須根據(jù)國家等級保護的有關規(guī)定，運用密碼、代碼驗證、可信接入控制等核心技術，在“一種中心三重防御”的框架下實現(xiàn)對信息系統(tǒng)的全方面防護。整個體系模型以下圖所示：安全管理中心安全管理中心是整個等級保護體系中對信息系統(tǒng)進行集中安全管理的平臺，是信息系統(tǒng)做到可測、可控、可管理的必要手段和方法。根據(jù)GB/T25070-信息系統(tǒng)等級保護安全設計技術規(guī)定中對安全管理中心的規(guī)定，一種符合基于可信計算和主動防御的等級保護體系模型的安全管理中心應最少包含下列三個部分：系統(tǒng)管理實現(xiàn)對系統(tǒng)資源和運行的配備。控制和管理，并對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計。安全管理實現(xiàn)對系統(tǒng)中的主體、客體進行統(tǒng)一標記，對主體進行授權，配備一致的安全方略，確保標記、授權和安全方略的數(shù)據(jù)完整性，并對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并進行審計。審計管理實現(xiàn)對系統(tǒng)各個構成部分的安全審計機制進行集中管理，涉及根據(jù)安全審計方略對審計統(tǒng)計進行分類；提供準時間段啟動和關閉對應類型的安全審計機制；對各類審計統(tǒng)計進行存儲、管理和查詢等；對審計統(tǒng)計應進行分析，根據(jù)分析成果進行解決。另外，對安全審計員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作。另外，安全管理中心應做到技術與管理并重，加強在安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理和系統(tǒng)運維管理等方面的管理力度，規(guī)范安全管理操作規(guī)程，建立完善的安全管理制度集。安全計算環(huán)境參考基于可信計算和主動防御的等級保護模型，安全計算環(huán)境可劃分成節(jié)點和典型應用兩個子系統(tǒng)。在解決方案中，這兩個子系統(tǒng)都將通過終端安全保護體系的建立來實現(xiàn)。信息安全事故的源頭重要集中在顧客終端，要實現(xiàn)一種可信的、安全的計算環(huán)境，就必須從終端安全抓起。因此，根據(jù)等級保護在身份鑒別，訪問控制（涉及強制訪問控制）、網(wǎng)絡行為控制（涉及上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應用安全、數(shù)據(jù)安全、安全審計等方面的技術規(guī)定，可充足結合可信計算技術和主動防御技術的先進性和安全性，提出一種基于可信計算和主動防御的終端安全保護體系模型，以實現(xiàn)從應用層、系統(tǒng)層、核心層三個方面對計算環(huán)境的全方面防護。安全區(qū)域邊界為保護邊界安全，本解決方案針對構建一種安全的區(qū)域邊界提出的解決手段是在被保護的信息邊界布署一種“應用訪問控制系統(tǒng)”。該系統(tǒng)應能夠?qū)崿F(xiàn)下列功效：信息層的自主和強制訪問控制、防備SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡地址換、安全審計等。由于國內(nèi)外在這首先的有關技術非常成熟，因此，在本次系統(tǒng)整治總體設計中更多的是考慮如何將防火墻、防病毒網(wǎng)關、網(wǎng)絡安全審計系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機地結合在一起，實現(xiàn)協(xié)同防護和聯(lián)動解決。另外，對于不同安全等級信息系統(tǒng)之間的互連邊界，可根據(jù)根據(jù)信息流向的高低，布署防火墻或安全隔離與信息交換系統(tǒng)，并配備對應的安全方略以實現(xiàn)對信息流向的控制。安全通信網(wǎng)絡目前，在通信網(wǎng)絡安全方面，采用密碼等核心技術實現(xiàn)的各類VPN都能夠很有效的解決這類問題，達成在滿足等級保護有關規(guī)定的同時，可靈活提高通信網(wǎng)絡安全性的效果。總體網(wǎng)絡架構設計學校網(wǎng)絡架構整體設計以下：安全域劃分闡明安全域的劃分是網(wǎng)絡防護的基礎，事實上每一種安全邊界所包含的區(qū)域都形成了一種安全域。這些區(qū)域含有不同的使命，含有不同的功效，分域保護的框架為明確各個域的安全等級奠定了基礎，確保了信息流在交換過程中的安全性。在本項目中，將嚴格按照信息系統(tǒng)的重要性和網(wǎng)絡使用的邏輯特性劃分安全域，將劃分以下擬定的安全域：互聯(lián)網(wǎng)出口域，該區(qū)域闡明以下：專網(wǎng)出口域，該區(qū)域闡明以下：重要承載互聯(lián)網(wǎng)出口，出口主干需要布署對應的安全邊界產(chǎn)品。終端接入域，該區(qū)域闡明以下：重要是無線和有線終端接入；對外服務器域，該區(qū)域闡明以下：該區(qū)域重要承載對外公布服務器，例如學校的網(wǎng)站；內(nèi)部服務器域，該區(qū)域闡明以下：重要承載對內(nèi)的服務器和存儲，例如OA和學校專業(yè)先關零時性的實驗服務器。安全管理域，該區(qū)域闡明以下：重要承載網(wǎng)絡管理先關設備，例如網(wǎng)管系統(tǒng)，防病毒升級服務器等。具體方案設計技術部分物理安全根據(jù)GB/T25070-信息系統(tǒng)等級保護安全設計技術規(guī)定中物理安全的規(guī)定，應從下列方面進行整治：網(wǎng)絡安全安全域邊界隔離技術根據(jù)《信息系統(tǒng)安全等級保護基本規(guī)定》，應當在學校各安全域的邊界處布署防火墻設備，確?？绨踩虻脑L問都通過防火墻進行控制管理。因此，在互聯(lián)網(wǎng)出口域邊界布署下一代防火墻，在內(nèi)網(wǎng)服務器區(qū)域邊界布署WEB應用防火墻。入侵防備技術根據(jù)等級保護基本規(guī)定，二級業(yè)務系統(tǒng)應當在互聯(lián)網(wǎng)出口處實現(xiàn)入侵防備功效，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。二級業(yè)務系統(tǒng)應當在互聯(lián)網(wǎng)出口處布署網(wǎng)絡層防病毒設備，并確保與主機層防病毒實現(xiàn)病毒庫的異構。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。網(wǎng)頁防篡改技術學校網(wǎng)站承載了學校等重要職責，暴露在互聯(lián)網(wǎng)上，隨時見面臨網(wǎng)頁被篡改及黑客攻擊的危險，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功效非常有必要。鏈路負載均衡技術根據(jù)等級保護基本規(guī)定，二級業(yè)務系統(tǒng)應當在互聯(lián)網(wǎng)出口處進行優(yōu)化控制，確保顧客訪問選擇最優(yōu)的鏈路。因此，建議在二期布署一套專業(yè)的鏈路負載均衡設備非常有必要。網(wǎng)絡安全審計針對顧客訪問業(yè)務系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須布署一套日志審計系統(tǒng)運用實時跟蹤分析技術，從發(fā)起者、訪問時間、訪問對象、訪問辦法、使用頻率各個角度，提供豐富的統(tǒng)計分析報告，協(xié)助顧客在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時，及時發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡資源的使用。根據(jù)公安部等級保護基本規(guī)定，全部信息系統(tǒng)都需要布署日志審計系統(tǒng)，并保存3個月的日志，學校擁有龐大的網(wǎng)絡海量的數(shù)據(jù)交換，目前還沒有布署日志審計系統(tǒng)。因此，建議在二期布署一套日志審計系統(tǒng)對全網(wǎng)行為進行監(jiān)控、日志進行統(tǒng)計。布署設計：日志審計系統(tǒng)旁路布署在核心交換上，實現(xiàn)全網(wǎng)的網(wǎng)絡行為的統(tǒng)一審計，收集網(wǎng)絡設備、安全設備、主機系統(tǒng)等設備的運行狀況、網(wǎng)絡流量、顧客行為等日志信息，并對收集到的日志信息進行分類和關聯(lián)分析，并可根據(jù)審計人員的操作規(guī)定生成統(tǒng)計報表，方便查詢和生成報告，為網(wǎng)絡事件追溯提供證據(jù)。主機安全數(shù)據(jù)庫安全審計建議在二期布署數(shù)據(jù)庫審計系統(tǒng)，實現(xiàn)對顧客行為、顧客事件及系統(tǒng)狀態(tài)加以審計，范疇覆蓋到每個顧客，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。布署設計：數(shù)據(jù)庫審計布署于數(shù)據(jù)庫前端交換機上，通過端口鏡像收集信息。運維堡壘主機對運維的管理現(xiàn)狀進行分析，我們認為造成這種不安全現(xiàn)狀的因素是多方面的，總結起來重要有下列幾點：各IT系統(tǒng)獨立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認證、授權、審計的根據(jù)和前提，因此身份的混亂事實上造成設備訪問的混亂。各IT系統(tǒng)獨立管理，風險分散在各系統(tǒng)中，各個擊破困難大，這種管理方式造成了業(yè)務管理和安全之間的失衡。核心服務器或設備的物理安全和臨機訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，可是對她們的網(wǎng)絡訪問缺少控制或欠缺控制力度，在帳號、密碼、認證、授權、審計等各方面缺少有效的集中管理技術手段。目前，學校使用數(shù)量眾多的網(wǎng)絡設備、服務器主機來提供基礎網(wǎng)絡服務、運行核心業(yè)務、數(shù)據(jù)庫應用、ERP和協(xié)同工作群件等服務。由于設備和服務器眾多，系統(tǒng)管理員壓力太大等因素，越權訪問、誤操作、濫用、惡意破壞等狀況時有發(fā)生，這嚴重影響信息系統(tǒng)的運行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權限，闖進部門內(nèi)部網(wǎng)絡，造成不可估計的損失。如何提高系統(tǒng)運維管理水平，跟蹤服務器上顧客的操作行為，避免黑客的入侵和破壞，提供控制和審計根據(jù)，減少運維成本，滿足有關原則規(guī)定，越來越成為信息系統(tǒng)關心的問題，因此建議在學校二期安全建設有必要布署一套運維堡壘主機來實現(xiàn)賬戶的安全維護。布署設計：運維審計系統(tǒng)布署在安全管理域，通過交換機的訪問控制方略限定只能由堡壘主機內(nèi)控管理平臺直接訪問服務器的遠程維護端口。維護人員對網(wǎng)絡設備、安全設備和服務器系統(tǒng)進行遠程維護時，首先以Web方式登錄運維審計系統(tǒng)，然后通過運維審計系統(tǒng)上呈現(xiàn)的訪問資源列表直接訪問授權資源。主機防病毒技術學校目前網(wǎng)絡內(nèi)全部終端使用免費的殺毒軟件，基本滿足等級保護二級的規(guī)定，可是現(xiàn)在重要服務器并沒有布署專業(yè)的殺毒軟件，建議第一期布署殺毒軟件。布署設計軟件客戶端布署在內(nèi)外防服務器上面，通過管理區(qū)域防病毒升級服務器對病毒規(guī)則庫進行升級。應用安全根據(jù)等級保護的規(guī)定，二級業(yè)務系統(tǒng)必須加密傳輸，因此需要布署SSLVPN技術實現(xiàn)應用系統(tǒng)遠程訪問的加密，如果后期OA系統(tǒng)需要實現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSLVPN設備。布署設計：SSLVPN旁路布署于核心交換機上。具體方案設計管理部分安全管理體系的作用是通過建立健全組織機構、規(guī)章制度，以及通過人員安全管理、安全教育與培訓和各項管理制度的有效執(zhí)行，來貫徹人員職責，擬定行為規(guī)范，確保技術方法真正發(fā)揮效用，與技術體系共同保障安全方略的有效貫徹和貫徹。信息安全管理體系重要涉及組織機構、規(guī)章制度、人員安全、安全教育和培訓等四個方面內(nèi)容?？傮w安全方針與安全方略總體安全方針與安全方略是指導顧客方全部信息安全工作的大綱性文獻，是信息安全決策機構對信息安全工作的決策和意圖的表述。總體安全方針與安全方略的作用在于統(tǒng)一對信息安全工作的認識，規(guī)定信息安全的基本架構，明確信息安全的根本目的和原則。本次項目中深信服將協(xié)助顧客方擬定安全管理體系的層次及建立方式，明確各層次在安全管理體系中的職責以及安全方略，建立含有高可操作性的考核體系，以加強安全方略及各項管理制度的可貫徹性。我方為顧客方設計的總體安全方針與安全方略將含有下列特性：安全方略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合顧客方實際的信息安全需求，能保障與增進信息化建設的順利進行，避免抱負化與不可操作性?？傮w安全方針與安全方略中將明確論述顧客方全部信息化建設項目在規(guī)劃設計、開發(fā)建設、運行維護和變更廢棄等各階段，應遵照的總體原則和規(guī)定。安全方略在通過顧客方信息安全決策機構同意之后，將含有指導和規(guī)范信息安全工作的效力。安全方略中將規(guī)定其本身的時效性，當信息系統(tǒng)運行環(huán)境發(fā)生重大變化時，我方將協(xié)助顧客方及時對總體安全方略進行必要的調(diào)節(jié)，并將調(diào)節(jié)后的方略提交顧客方信息安全決策機構同意。信息安全管理制度根據(jù)安全管理制度的基本規(guī)定制訂各類管理規(guī)定、管理方法和暫行規(guī)定。從安全方略主文檔中規(guī)定的安全各個方面所應恪守的原則辦法和指導性方略引出的具體管理規(guī)定、管理方法和實施方法，是含有可操作性，且必須得到有效推行和實施的制度。制訂嚴格的制訂與公布流程，方式，范疇等，制度需要統(tǒng)一格式并進行有效版本控制；公布方式需要正式、有效并注明公布范疇，對收發(fā)文進行登記。信息安全領導小組負責定時組織有關部門和有關人員對安全管理制度體系的合理性和合用性進行審定，定時或不定時對安全管理制度進行評審和修訂，修訂局限性及進行改善。安全管理機構根據(jù)基本規(guī)定設立安全管理機構的組織形式和運作方式，明確崗位職責；設立安全管理崗位，設立系統(tǒng)管理員、網(wǎng)絡管理員、安全管理員等崗位，根據(jù)規(guī)定進行人員配備，配備專職安全員；成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權；制訂文獻明確安全管理機構各個部門和崗位的職責、分工和技能規(guī)定。建立授權與審批制度；建立內(nèi)外部溝通合作渠道；定時進行全方面安全檢查，特別是系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等。人員安全管理人員安全管理重要涉及人員錄用、離崗、考核、教育培訓等內(nèi)容。普通單位都有統(tǒng)一的人事管理部門負責人員管理，這里的人員安全管理重要指對核心崗位人員進行的以安全為核心的管理，例如對核心崗位的人員采用在錄用或上崗邁進行全方面、嚴格的安全審查和技能考核，與核心崗位人員簽訂保密合同，對離崗人員撤銷系統(tǒng)帳戶和有關權限等方法。只有重視對安全管理人員的培養(yǎng)，提高其安全防備意識，才干做到安全有效的防備，因此需要對各類人員進行安全意識教育、崗位技能培訓和有關安全技術培訓。培訓的內(nèi)容涉及單位的信息安全方針、信息安全方面的基礎知識、安全技術、安全原則、崗位操作規(guī)程、最新的工作流程、有關的安全責任規(guī)定、法律責任和懲戒方法等。具體根據(jù)原則《基本規(guī)定》中人員安全管理，同時能夠參考《信息系統(tǒng)安全管理規(guī)定》等。系統(tǒng)建設管理系統(tǒng)建設管理的重點是與系統(tǒng)建設活動有關的過程管理，由于重要的建設活動是由服務方，如集成方、開發(fā)方、測評方、安全服務方等完畢，運行使用單位人員的重要工作是對之進行管理，應制訂系統(tǒng)建設有關的管理制度，明確系統(tǒng)定級備案、方案設計、產(chǎn)品采購使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務等活動的管理責任部門、具體的管理內(nèi)容和控制辦法，并按照管理制度貫徹各項管理方法，完整保存有關的管理統(tǒng)計和過程文檔。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)建設管理。系統(tǒng)運維管理環(huán)境和資產(chǎn)安全管理制度環(huán)境涉及計算機、網(wǎng)絡機房環(huán)境以及設立有網(wǎng)絡終端的辦公環(huán)境，明確環(huán)境安全管理的責任部門或負責人，加強對人員出入、來訪人員的控制，對有關物理訪問、物品進出和環(huán)境安全等方面作出規(guī)定。對重要區(qū)域設立門禁控制手段，或使用視頻監(jiān)控等方法。資產(chǎn)涉及介質(zhì)、設備、設施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設備物資管理，而是從安全和信息系統(tǒng)角度對資產(chǎn)進行管理，將資產(chǎn)作為信息系統(tǒng)的構成部分，按其在信息系統(tǒng)中的作用進行管理。應明確資產(chǎn)安全管理的責任部門或負責人，對資產(chǎn)進行分類、標記，編制與信息系統(tǒng)有關的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理，同時能夠參考《信息系統(tǒng)安全管理規(guī)定》等。2、設備和介質(zhì)安全管理制度明確配套設施、軟硬件設備管理、維護的責任部門或負責人，對信息系統(tǒng)的多個軟硬件設備采購、發(fā)放、領用、維護和維修等過程進行控制，對介質(zhì)的寄存、使用、維護和銷毀等方面作出規(guī)定，加強對涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理，同時能夠參考《信息系統(tǒng)安全管理規(guī)定》等。3、日常運行維護制度明確網(wǎng)絡、系統(tǒng)日常運行維護的責任部門或負責人，對運行管理中的日常操作、賬號管理、安全配備、日志管理、補丁升級、口令更新等過程進行控制和管理；制訂設備操作管理、業(yè)務應用操作管理、變更控制和重用管理、信息交換管理對應的管理制度；制訂與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并貫徹執(zhí)行；對的實施為信息系統(tǒng)可靠運行而采用的多個檢測、監(jiān)控、審計、分析、備份及容錯等辦法和方法，對運行安全進行監(jiān)督檢查。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理，同時能夠參考《信息系統(tǒng)安全管理規(guī)定》等。4、集中安全管理制度第二級以上信息系統(tǒng)應按照統(tǒng)一的安全方略、安全管理規(guī)定，統(tǒng)一管理信息系統(tǒng)的安全運行，進行安全機制的配備與管理，對設備安全配備、惡意代碼、補丁升級、安全審計等進行管理，對與安全有關的信息進行聚集與分析，對安全機制進行集中管理。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理，同時能夠參考《信息系統(tǒng)等級保護安全設計技術規(guī)定》和《信息系統(tǒng)安全管理規(guī)定》等。事件解決與應急響應制度按照國家有關原則規(guī)定，擬定信息安全事件的等級。結合信息系統(tǒng)安全保護等級，制訂信息安全事件分級應急解決預案，明確應急解決方略，貫徹應急指揮部門、執(zhí)行部門和技術支撐部門，建立應急協(xié)調(diào)機制。貫徹安全事件報告制度，第二級以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時，運行使用單位按攝影應預案開展應急解決，并及時向受理備案的公安機關報告。組織應急技術支撐力量和專家隊伍，按照應急預案定時組織開展應急演習。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理，同時能夠參考《信息安全事件分類分級指南》和《信息安全事件管理指南》等。災難備份制度要對第二級以上信息系統(tǒng)采用災難備份方法，避免重大事故、事件發(fā)生。識別需要定時備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制訂數(shù)據(jù)的備份方略和恢復方略，建立備份與恢復管理有關的安全管理制度。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理和《信息系統(tǒng)災難恢復規(guī)范》。安全監(jiān)測制度開展信息系統(tǒng)實時安全監(jiān)測，實現(xiàn)對物理環(huán)境、通信線路、主機、網(wǎng)絡設備、顧客行為和業(yè)務應用等的監(jiān)測和報警，及時發(fā)現(xiàn)設備故障、病毒入侵、黑客攻擊、誤用和誤操作等安全事件，方便及時對安全事件進行響應與解決。具體根據(jù)原則《基本規(guī)定》中系統(tǒng)運維管理。8、其它制度對系統(tǒng)運行維護過程中的其它活動，如系統(tǒng)變更、密碼使用等進行控制和管理。按國家密碼管理部門的規(guī)定，對信息系統(tǒng)中密碼算法和密鑰的使用進行分級管理。安全管理制度匯總制訂安全檢查制度，明確檢查的內(nèi)容、方式、規(guī)定等，檢查各項制度、方法的貫徹狀況，并不停完善。定時對信息系統(tǒng)安全狀況進行自查，第二級系統(tǒng)每兩年自查一次，第三級信息系統(tǒng)每年自查一次，第四級信息系統(tǒng)每六個月自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達成安全保護等級規(guī)定的，應當進一步開展整治。具體根據(jù)原則《基本規(guī)定》中安全管理機構，同時能夠參考《信息系統(tǒng)安全管理規(guī)定》等。最后提交安全制度涉及但不限于下列內(nèi)容：總體安全方略（組織、流程、方略、技術）崗位安全責任制度第三方安全管理制度系統(tǒng)日常安全管理工作制度系統(tǒng)安全評定管理方法機房建設運行原則安全區(qū)域劃分及管理規(guī)定管理信息區(qū)域網(wǎng)管制度系統(tǒng)建設管理制度設備入網(wǎng)安全管理制度系統(tǒng)軟件和補丁管理制度備份與恢復管理制度賬號和口令及權限管理制度介質(zhì)管理加密技術使用管理方法應急預案管理制度安全事件報告和解決管理制度安全審計管理咨詢服務和系統(tǒng)測評系統(tǒng)定級服務協(xié)助顧客單位，根據(jù)《信息系統(tǒng)安全等級保護定級指南》，擬定信息系統(tǒng)的安全保護等級，準備定級備案表和定級報告，協(xié)助顧客單位向所在地區(qū)的公安機關辦理備案手續(xù)。風險評定和安全加固服務通過漏洞掃