1、中軟華泰信息技術(shù)有限責任公司,信息系統(tǒng)等級保護 方案設(shè)計與產(chǎn)品介紹,解決方案部 周猛,主要內(nèi)容,等級保護涉基本概念,信息安全等級保護是指：對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。,4,信息系統(tǒng)安全等級說明,第五級 訪問驗證保護級,第四級 結(jié)構(gòu)化保護級,第三級 安全標記保護級,第二級 系統(tǒng)審計保護級,第一級 用戶自主保護級,安全審計,客體重用,強制訪問控制,可信路徑,隱蔽通道分析,可信恢復(fù),自主訪問控制,完整性保護,身份鑒別,標記

2、,6,等級保護涉及的幾個基本概念,訪問：讀、寫、執(zhí)行,安全策略,安全審計,政策和標準,國務(wù)院147號令-1994,GB178591999,第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責單位-公安部會同有關(guān)部門。,將等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。,等級保護工作的開展必須分步驟、分階段、有計劃的實施。 明確了信息安全等級保護制度的基本內(nèi)容。,明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責、任務(wù)。,法律政策依據(jù),科學(xué)技術(shù)依據(jù),法規(guī)、政策背景,8,對信息系統(tǒng)實

3、行等級保護，重點保護基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全，是國家法定制度和基本國策。,國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見 （中辦發(fā)200327號）。,信息安全等級保護管理辦法（公通字200743號）,關(guān)于信息安全等級保護工作的實施意見（公通字 200466號）,中華人民共和國計算機信息系統(tǒng)安全保護條例（147號令）,技術(shù)標準背景,9,國家已出臺等50多個標準，需要了解的有：,9,信息系統(tǒng)安全等級保護基本要求(GB/T22239-2008),信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求（已送批）,計算機信息系統(tǒng)安全保護等級劃分準則 （GB17859-1999）,最早提出的基礎(chǔ)性、強制性標準； 粒度較

4、粗，是一個指導(dǎo)性標準；,強調(diào)基本的技術(shù)和管理要求,為基本要求的實現(xiàn)提供技術(shù)手段，我們在進行產(chǎn)品開發(fā)、等保系統(tǒng)設(shè)計時的主要依據(jù)：（一個中心三重防御）,設(shè)計要求,基本要求,三個核心標準之間的關(guān)系,10,GB17859,延伸 細化,基本要求安全內(nèi)容,物理安全,技術(shù)要求,管理要求,基本要求,網(wǎng)絡(luò)安全,主機安全,應(yīng)用安全,數(shù)據(jù)安全,安全管理機構(gòu),安全管理制度,人員安全管理,系統(tǒng)建設(shè)管理,系統(tǒng)運維管理,11,12,設(shè)計要求內(nèi)容,安全管理中心,安全通信網(wǎng)絡(luò),主要內(nèi)容,方案設(shè)計思路,14,與基本要求差異性分析,15,需求：安全現(xiàn)狀與基本要求差異性分析,16,結(jié)合政策要求、標準要求、用戶自身要求去建設(shè),安全現(xiàn)狀

5、,需求,物理安全,17,現(xiàn)狀與基本要求差異性對照,基本要求技術(shù)部分設(shè)計,18,19,等保系統(tǒng)建設(shè)目標,其它定級系統(tǒng),計算環(huán)境,區(qū)域邊界,通信網(wǎng)絡(luò),安全管理中心,通信網(wǎng)絡(luò),區(qū)域邊界,計算環(huán)境,安全管理中心,20,等保體系技術(shù)設(shè)計,安全計算環(huán)境,安全計算環(huán)境： 計算環(huán)境是指定級系統(tǒng)中完成信息存儲和處理的計算機軟硬件及相關(guān)外設(shè)組成。,通過在計算環(huán)境中部署終端安全防護系統(tǒng)、應(yīng)用級防火墻、身份認證網(wǎng)關(guān)、數(shù)據(jù)庫審計系統(tǒng)、病毒防御系統(tǒng)等安全產(chǎn)品，保障信息系統(tǒng)計算環(huán)境安全。,21,安全計算環(huán)境設(shè)計,安全區(qū)域邊界： 區(qū)域邊界是指計算環(huán)境的邊界，以及與通信網(wǎng)絡(luò)之間實現(xiàn)連接功能的所有部件。,通過在區(qū)域邊界處部署防火

6、墻、抗拒絕服務(wù)系統(tǒng)、防病毒網(wǎng)關(guān)、流量分析網(wǎng)關(guān)等安全產(chǎn)品，保障信息系統(tǒng)區(qū)域邊界安全。,安全區(qū)域邊界,22,安全區(qū)域邊界設(shè)計,安全通信網(wǎng)絡(luò)： 通信網(wǎng)絡(luò)是指計算環(huán)境之間進行信息傳輸?shù)?所有部件。,通過部署VPN等網(wǎng)絡(luò)通信安全產(chǎn)品，保障信息系統(tǒng)網(wǎng)絡(luò)傳輸安全。,安全通信網(wǎng)絡(luò),23,安全通信網(wǎng)絡(luò)設(shè)計,安全管理中心： 安全管理中心是對定級系統(tǒng)的安全策略及安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)上的安全機制實施統(tǒng)一管理的平臺。,將各種安全產(chǎn)品的管理中心集中部署，實現(xiàn)對信息系統(tǒng)的系統(tǒng)管理、安全管理、審計管理的集中管控。,安全管理中心,24,建立統(tǒng)一的安全管理中心,安全管理中心建設(shè),25,審計管理子系統(tǒng),安全管理

7、子系統(tǒng),系統(tǒng)管理子系統(tǒng),安全管理中心,基本要求物理安全建設(shè)設(shè)計,26,物理安全建設(shè),27,基本要求對信息系統(tǒng)的物理安全從以下幾部分做出了要 求和指導(dǎo)：,溫濕度控制,物理位置的選擇,防水和防潮,物理訪問控制,防靜電,防盜竊和防破壞,電力供應(yīng),防雷擊,電磁防護,防火,物理安全建設(shè),28,基本要求管理安全建設(shè)設(shè)計,29,管理安全建設(shè),需要建立的制度和應(yīng)急機制,31,信息網(wǎng)絡(luò)安全應(yīng)急預(yù)案 信息中心突發(fā)事件應(yīng)急預(yù)案,信息系統(tǒng)安全管理規(guī)定（試行） 機關(guān)網(wǎng)絡(luò)信息管理辦法 打印機使用管理規(guī)定 配線間管理辦法 網(wǎng)絡(luò)管理員崗位責任 系統(tǒng)管理員崗位責任 機房管理規(guī)定 值班管理制度 開通計算機網(wǎng)絡(luò)信息點批辦單,需要建

8、立的制度：,需要建立的應(yīng)急機制：,安全管理建設(shè)措施,32,安全管理員、系統(tǒng)管理員、設(shè)計管理員,應(yīng)急管理小組,信息安全管理委員會,建立垂直的安全管理機構(gòu)：,信息安全管理部（處）,安全管理建設(shè)措施,33,人員離崗,安全培訓(xùn)與考核,人員錄用,人員安全管理的建設(shè)：,人員管理,外部人員訪問管理,基本要求符合性分析,34,35,與基本要求標準符合性分析,主機安全 身份鑒別 強制訪問控制 系統(tǒng)安全審計 4. 剩余信息保護 5. 入侵防范 6. 惡意代碼防范 7. 資源控制,應(yīng)用安全 1.身份認證 2. 安全審計 3. 剩余信息保護 4. 通信完整性和機密性保護,數(shù)據(jù)安全 1.數(shù)據(jù)機密性保護 2.數(shù)據(jù)完整性保

9、護,5. 嚴格的訪問控制； 6. 軟件容錯； 7. 自動保護功能； 8. 資源控制；,殘留風險分析,等保系統(tǒng)建成后殘留風險主要存在于兩個方面：,由于技術(shù)上的原因，主機安全、應(yīng)用安全所要求的對重要信息資源設(shè)置敏感標記，依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作并未完全實現(xiàn)，某些訪問控制仍然是粗粒度的；,加強管理、增強人員安全意識，技術(shù)上逐步完善,安全產(chǎn)品選型原則,37,安全性原則,適應(yīng)性原則,國產(chǎn)化原則,信息系統(tǒng)等保改造設(shè)備選型原則：,標準化原則,可管理性原則,可擴展性原則,主要內(nèi)容,HuaTech終端安全防護系統(tǒng)功能,39,身份鑒別 自主訪問控制 標記與強制訪問控制 數(shù)據(jù)保密性保護

10、 系統(tǒng)完整性保護 執(zhí)行程序權(quán)限控制,邊界保護控制 （非法內(nèi)外聯(lián)） 應(yīng)用封裝 系統(tǒng)管理 安全管理 審計管理,HuaTech終端安全防護系統(tǒng)設(shè)計目標,HuaTech終端安全防護系統(tǒng)功能詳述,41,身份鑒別：,操作系統(tǒng)單一的口令認證方式，容易受到字典攻擊；,USB-key+口令，雙因子認證，高安全強度；,拔除USB-key鎖定終端，保護工作環(huán)境；,非法用戶“進不來”,HuaTech終端安全防護系統(tǒng)功能詳述,42,自主訪問控制：,多用戶文件保密柜；,由安全管理中心對信息資源統(tǒng)一進行安全標識，定制安全策略；,只有授權(quán)主體才可訪問相應(yīng)客體資源；,重要信息“拿不走”,強制訪問控制：,HuaTech終端安全防

11、護系統(tǒng)功能詳述,43,數(shù)據(jù)保密性保護：,對數(shù)據(jù)的存儲與傳輸進行加密保護；,加密工程在操作系統(tǒng)層實現(xiàn)，對用戶完全透明；,可根據(jù)客體的安全級別定制不同的數(shù)據(jù)保護策略；,非法用戶“看不懂”,HuaTech終端安全防護系統(tǒng)功能詳述,44,系統(tǒng)完整性保護：,程序正常啟動相關(guān)摘要記錄在策略服務(wù)器中；,通過建立信任域保護系統(tǒng)不會受到惡意代碼的破壞；,只讀保護和一致性校驗，確保程序、數(shù)據(jù)不被修改；不一致程序?qū)⒈痪芙^運行；,程序、數(shù)據(jù)“改不了”,HuaTech終端安全防護系統(tǒng)功能詳述,45,系統(tǒng)管理、安全管理、審計管理：,三權(quán)分立，相互監(jiān)督，相互約束；,按照“最小權(quán)限”原則分配管理員權(quán)限；,審計信息獨立存儲，只有審計管理員具有查閱修改權(quán)限；,非法行為“賴不掉”,安全管理中心三權(quán)分立