1、數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)技術(shù)方案目錄1.項目概述41.1.目標與范圍41.2.參照標準41.3.系統(tǒng)描述42.安全風(fēng)險分析52.1.系統(tǒng)脆弱性分析52.2.安全威脅分析52.2.1.被動攻擊產(chǎn)生的威脅52.2.2.主動攻擊產(chǎn)生的威脅53.安全需求分析73.1.等級保護要求分析73.1.1.網(wǎng)絡(luò)安全73.1.2.主機安全83.1.3.應(yīng)用安全93.2.安全需求總結(jié)94.整體安全設(shè)計104.1.安全域104.1.1.安全域劃分原則104.1.2.安全域劃分設(shè)計114.2.安全設(shè)備部署125.詳細安全設(shè)計135.1.網(wǎng)絡(luò)安全設(shè)計135.1.1.抗DOS設(shè)備135.1.2.防火墻145.1.3.WEB

2、應(yīng)用安全網(wǎng)關(guān)155.1.4.入侵防御165.1.5.入侵檢測175.1.6.安全審計185.1.7.防病毒185.2.安全運維管理195.2.1.漏洞掃描195.2.2.安全管理平臺195.2.3.堡壘機216.產(chǎn)品列表211. 項目概述1.1. 目標與范圍1.2. 參照標準1.3. 系統(tǒng)描述2. 安全風(fēng)險分析2.1. 系統(tǒng)脆弱性分析人的脆弱性：人的安全意識不足導(dǎo)致的各種被攻擊可能，如接受未知數(shù)據(jù)，設(shè)置弱口令等。安全技術(shù)的脆弱性：操作系統(tǒng)和數(shù)據(jù)庫的安全脆弱性，系統(tǒng)配置的安全脆弱性，訪問控制機制的安全脆弱性，測評和認證的脆弱性。運行的脆弱性：監(jiān)控系統(tǒng)的脆弱性，無入侵檢測設(shè)備，響應(yīng)和恢復(fù)機制的不完

3、善。2.2. 安全威脅分析2.2.1. 被動攻擊產(chǎn)生的威脅（1）網(wǎng)絡(luò)和基礎(chǔ)設(shè)施的被動攻擊威脅局域網(wǎng)/骨干網(wǎng)線路的竊聽；監(jiān)視沒被保護的通信線路；破譯弱保護的通信線路信息；信息流量分析；利用被動攻擊為主動攻擊創(chuàng)造條件以便對網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)備進行破壞，如截獲用戶的賬號或密碼以便對網(wǎng)絡(luò)設(shè)備進行破壞；機房和處理信息終端的電磁泄露。（2）區(qū)域邊界/外部連接的被動攻擊威脅截取末受保護的網(wǎng)絡(luò)信息；流量分析攻擊；遠程接入連接。（3）計算環(huán)境的被動攻擊威脅獲取鑒別信息和控制信息；獲取明文或解密弱密文實施重放攻擊。2.2.2. 主動攻擊產(chǎn)生的威脅（1）對網(wǎng)絡(luò)和基礎(chǔ)設(shè)施的主動攻擊威脅一是可用帶寬的損失攻擊，如網(wǎng)絡(luò)阻塞攻

4、擊、擴散攻擊等。二是網(wǎng)絡(luò)管理通訊混亂使網(wǎng)絡(luò)基礎(chǔ)設(shè)施失去控制的攻擊。最嚴重的網(wǎng)絡(luò)攻擊是使網(wǎng)絡(luò)基礎(chǔ)設(shè)施運行控制失靈。如對網(wǎng)絡(luò)運行和設(shè)備之間通信的直接攻擊，它企圖切斷網(wǎng)管人員與基礎(chǔ)設(shè)施的設(shè)備之間的通信，比如切斷網(wǎng)管人員與交換機、路由器之間的通信，使網(wǎng)管人員失去對它們的控制。三是網(wǎng)絡(luò)管理通信的中斷攻擊，它是通過攻擊網(wǎng)絡(luò)底層設(shè)備的控制信號來干擾網(wǎng)絡(luò)傳輸?shù)挠脩粜畔?；引入病毒攻擊；引入惡意代碼攻擊。（2）對信息系統(tǒng)及數(shù)據(jù)主動攻擊威脅試圖阻斷或攻破保護機制（內(nèi)網(wǎng)或外網(wǎng)）；偷竊或篡改信息；利用社會工程攻擊欺騙合法用戶（如匿名詢問合法用戶賬號）；偽裝成合法用戶和服務(wù)器進行攻擊；IP地址欺騙攻擊；拒絕服務(wù)攻擊；利用

5、協(xié)議和基礎(chǔ)設(shè)施的安全漏洞進行攻擊；利用遠程接入用戶對內(nèi)網(wǎng)進行攻擊；建立非授權(quán)的網(wǎng)絡(luò)連接；監(jiān)測遠程用戶鏈路、修改傳輸數(shù)據(jù)；解讀未加密或弱加密的傳輸信息；惡意代碼和病毒攻擊。（3）計算環(huán)境的主動攻擊威脅引入病毒攻擊；引入惡意代碼攻擊；冒充超級用戶或其他合法用戶；拒絕服務(wù)和數(shù)據(jù)的篡改；偽裝成合法用戶和服務(wù)器進行攻擊；利用配置漏洞進行攻擊；利用系統(tǒng)脆弱性（操作系統(tǒng)安全脆弱性、數(shù)據(jù)庫安全脆弱性）實施攻擊；利用服務(wù)器的安全脆弱性進行攻擊；利用應(yīng)用系統(tǒng)安全脆弱性進行攻擊。（4）支持性基礎(chǔ)設(shè)施的主動攻擊威脅對未加密或弱加密的通信線路的搭線竊聽；用獲取包含錯誤信息的證書進行偽裝攻擊；拒絕服務(wù)攻擊（如攻擊目錄服務(wù)

6、等）；中間攻擊；攻擊PIN獲取對用戶私鑰的訪問、在支持性基礎(chǔ)設(shè)施的組件中引入惡意代碼攻擊、在密鑰分發(fā)期間對密鑰實施攻擊、對PKI私鑰實施密碼攻擊、對密鑰恢復(fù)后的密鑰進行末授權(quán)訪問、在用戶認證期間使用戶不能生成失效信息；利用備份信息進行攻擊。3. 安全需求分析3.1. 等級保護要求分析3.1.1. 網(wǎng)絡(luò)安全類別控制點重點要求項對應(yīng)措施網(wǎng)絡(luò)安全結(jié)構(gòu)安全交換設(shè)備的冗余、網(wǎng)絡(luò)劃分與隔離安全域劃分，通過安全管理平臺進行網(wǎng)絡(luò)拓撲管理訪問控制網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能安全域邊界增加部署防火墻設(shè)備安全審計對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄部署網(wǎng)絡(luò)安全審計系統(tǒng)邊界完

7、整性檢查對內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查采用技術(shù)手段進行違規(guī)外聯(lián)入侵防范網(wǎng)絡(luò)邊界入侵行為監(jiān)視網(wǎng)絡(luò)出口的邊界處部署入侵檢測，重要服務(wù)器區(qū)前面采取入侵防護措施3.1.2. 主機安全類別控制點重點要求項對應(yīng)措施主機安全身份鑒別對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別部署身份鑒別系統(tǒng)。訪問控制啟用訪問控制功能，實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離 對系統(tǒng)安全加固，限制默認帳戶、時刪除多余的、過期的帳戶等安全審計用戶行為、系統(tǒng)資源、系統(tǒng)安全事件審計采用主機審計措施，通過安全管理平臺對操作系統(tǒng)、數(shù)據(jù)庫進行監(jiān)控管理入侵防范操作系統(tǒng)最小安裝的原則、及時更新系統(tǒng)補丁對主機進行漏

8、洞檢查，并部署入侵防范設(shè)備。惡意代碼防范能夠集中管理的惡意代碼防護系統(tǒng)部署網(wǎng)絡(luò)版防病毒軟件資源控制設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄利用訪問控制策略與堡壘機產(chǎn)品結(jié)合的方式進行控制。3.1.3. 應(yīng)用安全類別控制點重點要求項對應(yīng)措施應(yīng)用安全訪問控制賬戶訪問權(quán)限管理部署堡壘機對訪問進行權(quán)限管理安全審計應(yīng)用系統(tǒng)重要安全事件進行審計部署堡壘機對應(yīng)用訪問進行記錄通信保密性采用密碼技術(shù)進行會話初始化驗證，對通信過程中的敏感信息字段進行加密應(yīng)用軟件安全改造，對敏感字段進行加密資源控制會話超時、會話并發(fā)管理、多重并發(fā)會話限制部署堡壘機設(shè)備進行限制3.2. 安全需求總結(jié)類別安全需求網(wǎng)絡(luò)安全劃分安全

9、域、明確安全邊界網(wǎng)絡(luò)出口邊界、新的安全邊界部署防火墻設(shè)備網(wǎng)絡(luò)出口邊界部署入侵檢測設(shè)備關(guān)鍵業(yè)務(wù)前段部署入侵防御系統(tǒng)網(wǎng)頁應(yīng)用系統(tǒng)邊界部署WEB應(yīng)用安全網(wǎng)關(guān)重要數(shù)據(jù)庫部署網(wǎng)絡(luò)安全審計系統(tǒng)主機安全部署身份認證系統(tǒng)對訪問進行身份認證部署堡壘機設(shè)備對主機訪問進行控制與審計采用網(wǎng)絡(luò)版殺毒軟件部署漏洞掃描設(shè)備對主機的漏洞進行檢測并及時修補應(yīng)用安全應(yīng)用系統(tǒng)與身份認證系統(tǒng)相結(jié)合進行身份鑒別應(yīng)用系統(tǒng)與堡壘機相結(jié)合來進行審計與訪問控制部署安全管理平臺對網(wǎng)絡(luò)，主機，應(yīng)用的日志進行審計與分析。4. 整體安全設(shè)計4.1. 安全域4.1.1. 安全域劃分原則（1）業(yè)務(wù)保障原則安全域方法的根本目標是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)

10、務(wù)。在保證安全的同時，還要保障業(yè)務(wù)的正常運行和運行效率。信息安全服務(wù)所強調(diào)的核心思想是應(yīng)該從客戶（業(yè)務(wù)）而不是IT 服務(wù)提供方（技術(shù)）的角度理解IT 服務(wù)需求。也就是說，在提供IT 服務(wù)的時候，我們首先應(yīng)該考慮業(yè)務(wù)需求，根據(jù)業(yè)務(wù)需求來確定IT 需求包括安全需求。在安全域劃分時會面臨有些業(yè)務(wù)緊密相連，但是根據(jù)安全要求（信息密級要求，訪問應(yīng)用要求等）又要將其劃分到不同安全域的矛盾。是將業(yè)務(wù)按安全域的要求強性劃分，還是合并安全域以滿足業(yè)務(wù)要求？必須綜合考慮業(yè)務(wù)隔離的難度和合并安全域的風(fēng)險（會出現(xiàn)有些資產(chǎn)保護級別不夠），從而給出合適的安全域劃分。（2）等級保護原則根據(jù)安全域在業(yè)務(wù)支撐系統(tǒng)中的重要程度以

11、及考慮風(fēng)險威脅、安全需求、安全成本等因素，將其劃為不同的安全保護等級并采取相應(yīng)的安全保護技術(shù)、管理措施，以保障業(yè)務(wù)支撐的網(wǎng)絡(luò)和信息安全。安全域的劃分要做到每個安全域的信息資產(chǎn)價值相近，具有相同或相近的安全等級、安全環(huán)境、安全策略等。安全域所涉及應(yīng)用和資產(chǎn)的價值越高，面臨的威脅越大，那么它的安全保護等級也就越高。（3）深度防御原則根據(jù)網(wǎng)絡(luò)應(yīng)用訪問的順序，逐層進行防御，保護核心應(yīng)用的安全。安全域的主要對象是網(wǎng)絡(luò)，但是圍繞安全域的防護需要考慮在各個層次上立體防守，包括在物理鏈路、網(wǎng)絡(luò)、主機系統(tǒng)、應(yīng)用等層次；同時，在部署安全域防護體系的時候，要綜合運用身份鑒別、訪問控制、檢測審計、鏈路冗余、內(nèi)容檢測等

12、各種安全功能實現(xiàn)協(xié)防。（4）結(jié)構(gòu)簡化原則安全域劃分的直接目的和效果是要將整個網(wǎng)絡(luò)變得更加簡單，簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計防護體系。安全域劃分不宜過于復(fù)雜。（5）生命周期原則對于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過程中要考慮工程化的管理。（6）安全最大化原則針對業(yè)務(wù)系統(tǒng)可能跨越多個安全域的情況，對該業(yè)務(wù)系統(tǒng)的安全防護必須要使該系統(tǒng)在全局上達到要求的安全等級，即實現(xiàn)安全的最大化防護，同時滿足多個安全域的保護策略。（7）可擴展性原則當有新的業(yè)務(wù)系統(tǒng)需要接入業(yè)務(wù)支撐網(wǎng)時，按照等級保護、對端可信度等原則將其分別劃分至不同安全等級域的各個子域。4.1.2.

13、安全域劃分設(shè)計根據(jù)XX數(shù)據(jù)中心的情況，把網(wǎng)絡(luò)分為三個安全域：應(yīng)用安全域，數(shù)據(jù)庫安全域，安全管理安全域。安全域之間利用防火墻進行隔離。安全域劃分拓撲如下：4.2. 安全設(shè)備部署（1）網(wǎng)絡(luò)邊界考慮到網(wǎng)絡(luò)的高可用性，網(wǎng)絡(luò)出口設(shè)備均雙機部署。在網(wǎng)絡(luò)出口部署兩臺防止DDOS產(chǎn)品，對DDOS攻擊進行過濾。在網(wǎng)絡(luò)出口部署兩臺防火墻設(shè)備，對進出XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進行策略控制。在網(wǎng)絡(luò)出口部署兩臺入侵防御設(shè)備對進行XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進行檢測，從而判斷數(shù)據(jù)中是否含有惡意攻擊與惡意代碼。（2）核心交換區(qū)在核心交換區(qū)旁路部署一臺IDS與一臺安全審計產(chǎn)品，對核心交換機上面的流量進行安全的檢測與審計，包括來往核心交

14、換機上面的流量是否有惡意威脅。是否有針對于后臺數(shù)據(jù)庫的威脅等。（3）應(yīng)用區(qū)安全域在應(yīng)用區(qū)邊界部署web應(yīng)用防火墻設(shè)備，因應(yīng)用區(qū)部署的應(yīng)用均為B/S架構(gòu)，而web應(yīng)用防火墻恰恰是針對于HTTP協(xié)議進行安全過濾的設(shè)備，很好的滿足了三級等保中針對于應(yīng)用安全的規(guī)定。（4）數(shù)據(jù)庫安全域數(shù)據(jù)庫安全域邊界部署一臺安全域防火墻，采取有效的訪問控制策略；同時在安全域交換機旁路部署一臺安全審計系統(tǒng)，對網(wǎng)絡(luò)運維管理和數(shù)據(jù)庫操作進行全面審計。（5）安全管理區(qū)安全域在安全管理區(qū)部署漏洞掃描設(shè)備，對網(wǎng)絡(luò)中的主機進行安全自查，降低主機的脆弱性。在安全管理區(qū)部署堡壘機設(shè)備，結(jié)合部署的身份認證系統(tǒng)對主機與應(yīng)用進行身份鑒別，訪問控制與安全審計。在安全管理區(qū)部署安全管理平臺，對網(wǎng)絡(luò)中的主機與安全設(shè)備進行統(tǒng)一的監(jiān)控與統(tǒng)一的日志分析。在網(wǎng)絡(luò)中各個主機上部署網(wǎng)絡(luò)版防病毒軟件，并且在安全管理區(qū)部署網(wǎng)絡(luò)防病毒主控端。5. 詳細安全設(shè)計5.1. 網(wǎng)絡(luò)安全設(shè)計5.1.1. 抗DOS設(shè)備. 部署目的. 部署方式及說明5.1.2. 防火墻. 部署目的. 部署方式及說明5.1.3. WEB應(yīng)用安全網(wǎng)關(guān). 部署目的. 部署方式及說明5.1.4. 入侵防御. 部署目的5