信息安全-三級等保安全建設(shè)方案

1、三級等保安全設(shè)計思路1、保護(hù)對象框架保護(hù)對象是對信息系統(tǒng)從安全角度抽象后的描述方法，是信息系統(tǒng)內(nèi)具有相似安全保護(hù)需求的一組 信息資產(chǎn)的組合。依據(jù)信息系統(tǒng)的功能特性、安全價值以及面臨威脅的相似性，信息系統(tǒng)保護(hù)對象可分為計算區(qū)域、區(qū)域邊界、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、安全措施四類。具體內(nèi)容略。建立了各層的保護(hù)對象之后，應(yīng)按照保護(hù)對象所屬信息系統(tǒng)或子系統(tǒng)的安全等級，對每一個保護(hù)對象明確保護(hù)要求、部署適用的保護(hù)措施。保護(hù)對象框架的示意圖如下:圖1.保護(hù)對象框架的示意圖姆匕河用V國!以科必夠口臨唄話-IMIlftllttlyM域2、整體保障框架就安全保障技術(shù)而言，在體系框架層次進(jìn)行有效的組織，理清保護(hù)范圍、保護(hù)等級和

2、安全措施的關(guān)系，建立合理的整體框架結(jié)構(gòu)，是對制定具體等級保護(hù)方案的重要指導(dǎo)。根據(jù)中辦發(fā)200327號文件， 堅持積極防御、綜合防范的方針，全面提高提高信息安全防護(hù)能力”是國家信息保障工作的總體要求之一。積極防御、綜合防范”是指導(dǎo)等級保護(hù)整體保障的戰(zhàn)略方針。信息安全保障涉及技術(shù)和管理兩個相互緊密關(guān)聯(lián)的要素。信息安全不僅僅取決于信息安全技術(shù)，技術(shù) 只是一個基礎(chǔ)，安全管理是使安全技術(shù)有效發(fā)揮作用，從而達(dá)到安全保障目標(biāo)的重要保證安全保障不是單個環(huán)節(jié)、單一層面上問題的解決，必須是全方位地、多層次地從技術(shù)、管理等方面進(jìn) 行全面的安全設(shè)計和建設(shè)，積極防御、綜合防范”戰(zhàn)略要求信息系統(tǒng)整體保障綜合采用覆蓋安全保

3、障各個環(huán)節(jié)的防護(hù)、檢測、響應(yīng)和恢復(fù)等多種安全措施和手段，對系統(tǒng)進(jìn)行動態(tài)的、綜合的保護(hù)，在攻擊者成功 地破壞了某個保護(hù)措施的情況下，其它保護(hù)措施仍然能夠有效地對系統(tǒng)進(jìn)行保護(hù)，以抵御不斷出現(xiàn)的安全威脅與風(fēng)險，保證系統(tǒng)長期穩(wěn)定可靠的運(yùn)行。整體保障框架的建設(shè)應(yīng)在國家和地方、行業(yè)相關(guān)的安全政策、法規(guī)、標(biāo)準(zhǔn)、要求的指導(dǎo)下，制訂可具體操作的安全策略，并在充分利用信息安全基礎(chǔ)設(shè)施的基礎(chǔ)上，構(gòu)建信息系統(tǒng)的安全技術(shù)體系、安全管理體系，形成集防護(hù)、檢測、響應(yīng)、恢復(fù)于一體的安全保障體系，從而實現(xiàn)物理安全、 網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)安全、應(yīng)用安全和管理安全，以滿足信息系統(tǒng)全方位的安全保護(hù)需求。同時，由于安全的動態(tài)性，還

4、 需要建立安全風(fēng)險評估機(jī)制，在安全風(fēng)險評估的基礎(chǔ)上，調(diào)整和完善安全策略，改進(jìn)安全措施，以適應(yīng)新 的安全需求，滿足安全等級保護(hù)的要求，保證長期、穩(wěn)定、可靠運(yùn)行。整體保障框架的示意圖如下：物理安全網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全的據(jù)安全管理安全寶全技木體系學(xué)護(hù)統(tǒng) 金甫成安跖奉 安貢新榛理助護(hù)品繞邊界呼瀘至舒筋莉京境安全電計示點(diǎn)應(yīng)意堂重序坎安全運(yùn)苴手有兩話值行茄亞安全瞥理體系安仝管理機(jī)礎(chǔ)寶金“理制度人黃翼全留理 常統(tǒng)設(shè)智序 來歧運(yùn)雄低對安 全服 舞 體 系整體保障根架圖2,整體保障框架的示意圖3、安全措施框架安全措施框架是按照結(jié)構(gòu)化原理描述的安全措施的組合。本方案的安全措施框架是依據(jù)積極防御、綜合防范”的方

5、針，以及 管理與技術(shù)并重”的原則進(jìn)行設(shè)計的。安全措施框架包括安全技術(shù)措施、安全管理措施兩大部分。安全技術(shù)措施包括安全防護(hù)系統(tǒng)（物理防護(hù)、邊界防護(hù)、監(jiān)控檢測、安全審計和應(yīng)急恢復(fù)等子系統(tǒng)）和安全支撐系統(tǒng)（安全運(yùn)營平臺、網(wǎng)絡(luò)管理系 統(tǒng)和網(wǎng)絡(luò)信任系統(tǒng)）。安全技術(shù)措施、安全管理措施各部分之間的關(guān)系是人（安全機(jī)構(gòu)和人員），按照規(guī)則（安全管理制度）使用技術(shù)工具（安全技術(shù)）進(jìn)行操作（系統(tǒng)建設(shè)和系統(tǒng)運(yùn)維）。安全措施框架示意圖如下:4、安全區(qū)域劃分不同的信息系統(tǒng)的業(yè)務(wù)特性、安全需求和等級、使用的對象、面對的威脅和風(fēng)險各不相同。如何保證 系統(tǒng)的安全性是一個巨大的挑戰(zhàn)，對信息系統(tǒng)劃分安全區(qū)域，進(jìn)行層次化、有重點(diǎn)的保護(hù)

6、是有保證系統(tǒng)和信息安全的有效手段。按數(shù)據(jù)分類分區(qū)域分等級保護(hù)，就是按數(shù)據(jù)分類進(jìn)行分級，按數(shù)據(jù)分布進(jìn)行區(qū)域劃分，根據(jù)區(qū)域中數(shù)據(jù)的分類確定該區(qū)域的安全風(fēng)險等級。目的是把一個大規(guī)模復(fù)雜系統(tǒng)的安全問題，分解為更小區(qū)域的安全保護(hù)問題。這是實現(xiàn)大規(guī)模復(fù)雜信息的系統(tǒng)安全等級保護(hù)的有效方法。隨著安全區(qū)域方法的發(fā)展，發(fā)現(xiàn)力圖用一種大一統(tǒng)的方法和結(jié)構(gòu)去描述一個復(fù)雜的網(wǎng)絡(luò)環(huán)境是非常困 難的，即使描述出來其可操作性也值得懷疑。因此， 提出了同構(gòu)性簡化的方法”，其基本思路是認(rèn)為 一個復(fù)雜的網(wǎng)絡(luò)應(yīng)當(dāng)是由一些相通的網(wǎng)絡(luò)結(jié)構(gòu)元所組成，這些網(wǎng)絡(luò)結(jié)構(gòu)元進(jìn)行拼接、遞歸等方式構(gòu)造出一個大的網(wǎng)絡(luò)。可以說，結(jié)構(gòu)性簡化好像將網(wǎng)絡(luò)分析成一種

7、單一大分子組成的系統(tǒng)，而同構(gòu)性簡化就是將網(wǎng)絡(luò)看成一個由幾種小分子組成的系統(tǒng)。“3+1同構(gòu)性簡化”的安全域方法就是一個非常典型的例子，此方法是用一種3+1小分子構(gòu)造來分析 venus customer的網(wǎng)絡(luò)系統(tǒng)。（注：除了 3+1構(gòu)造之外，還存在其他形 式的構(gòu)造。）具體來說信息系統(tǒng)按照其維護(hù)的數(shù)據(jù)類可以分為安全服務(wù)域、安全接入域、安全互聯(lián)域以及安全管理域四類。在此基礎(chǔ)上確定不同區(qū)域的信息系統(tǒng)安全保護(hù)等級。同一區(qū)域內(nèi)的資產(chǎn)實施統(tǒng)一的保護(hù)，如進(jìn)出信息保護(hù)機(jī)制，訪問控制，物理安全特性等。信息系統(tǒng)可以劃分為以下四個大的安全域（3+1同構(gòu)法）：安全接入域：由訪問同類數(shù)據(jù)的用戶終端構(gòu)成安全接入域，安全接入域

8、的劃分應(yīng)以用戶所能訪問的安全服務(wù)域中的數(shù)據(jù)類和用戶計算機(jī)所處的物理位置來確定。安全接入域的安全等級與其所能訪問的安全服務(wù)域的安全等級有關(guān)。當(dāng)一個安全接入域中的終端能訪問多個安全服務(wù)域時，該安全接入域的安全等級應(yīng)與這些安全服務(wù)域的最高安全等級相同。安全接入域應(yīng)有明確的邊界，以便于進(jìn)行保護(hù)。安全互聯(lián)域：連接傳輸共同數(shù)據(jù)的安全服務(wù)域和安全接入域組成的互聯(lián)基礎(chǔ)設(shè)施構(gòu)成了安全互聯(lián)域。主要包括其他域之間的互連設(shè)備，域間的邊界、域與外界的接口都在此域。安全互聯(lián)域的安全等級的確定與網(wǎng)絡(luò)所連接的安全接入域和安全服務(wù)域的安全等級有關(guān)。安全服務(wù)域：在局域范圍內(nèi)存儲，傳輸、處理同類數(shù)據(jù)，具有相同安全等級保護(hù)的單一計算

9、機(jī)（主機(jī)/服務(wù)器）或多個計算機(jī)組成了安全服務(wù)域，不同數(shù)據(jù)在計算機(jī)的上分布情況，是確定安全服務(wù)域的基本 依據(jù)。根據(jù)數(shù)據(jù)分布，可以有以下安全服務(wù)域：單一計算機(jī)單一安全級別服務(wù)域，多計算機(jī)單一安全級別 服務(wù)域，單一計算機(jī)多安全級別綜合服務(wù)域，多計算機(jī)多安全級別綜合服務(wù)域。安全管理域：安全系統(tǒng)的監(jiān)控管理平臺都放置在這個區(qū)域，為整個IT架構(gòu)提供集中的安全服務(wù)，進(jìn)行集中的安全管理和監(jiān)控以及響應(yīng)。具體來說可能包括如下內(nèi)容：病毒監(jiān)控中心、認(rèn)證中心、安全運(yùn)營中 心等。安全區(qū)域3+1同構(gòu)示意圖如下：圖4.安全區(qū)域3+1同構(gòu)示意圖5、安全措施選擇27號文件指出，實行信息安全等級保護(hù)時要重視信息安全風(fēng)險評估工作，對網(wǎng)

10、絡(luò)與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)、防護(hù)措施等進(jìn)行分析評估，綜合考慮網(wǎng)絡(luò)與信息系統(tǒng)的重要性、涉密程度和面臨的 信息安全風(fēng)險等因素，進(jìn)行相應(yīng)等級的安全建設(shè)和管理由此可見，信息系統(tǒng)等級保護(hù)可視為一個有參照系的風(fēng)險管理過程。等級保護(hù)是以等級化的保護(hù)對象、不同安全要求對應(yīng)的等級化的安全措施為參照， 以風(fēng)險管理過程為主線，建立并實施等級保護(hù)體系的過程。安全措施的選擇首先應(yīng)依據(jù)我國信息系統(tǒng)安全等級劃分的要求，設(shè)計五個等級的安全措施等級要求（安全措施等級要求是針對五個等級信息系統(tǒng)的基本要求）。不同等級的信息系統(tǒng)在相應(yīng)級別安全措施等 級要求的基礎(chǔ)上，進(jìn)行安全措施的調(diào)整、定制和增強(qiáng)，并按照一定的劃分方法組成相

11、應(yīng)的安全措施框架，得到適用于該系統(tǒng)的安全措施。安全措施的調(diào)整主要依據(jù)綜合平衡系統(tǒng)安全要求、系統(tǒng)所面臨風(fēng)險和實施安全保護(hù)措施的成本來進(jìn)行。信息系統(tǒng)安全措施選擇的原理圖如下：圖5.安全措施選擇的原理圖安全保護(hù)措施覆6、需求分析系統(tǒng)現(xiàn)狀現(xiàn)有措施目前，信息系統(tǒng)已經(jīng)采取了下述的安全措施：1、在物理層面上，2、在網(wǎng)絡(luò)層面上，3、在系統(tǒng)層面上，4、在應(yīng)用層面上，5、在管理層面上，6.3具體需求等級保護(hù)技術(shù)需求要保證信息系統(tǒng)的安全可靠，必須全面了解信息系統(tǒng)可能面臨的所有安全威脅和風(fēng)險。威脅是指可能對信息系統(tǒng)資產(chǎn)或所在組織造成損害事故的潛在原因；威脅雖然有各種各樣的存在形式，但其結(jié)果是一致的，都將導(dǎo)致對信息或資

12、源的破壞，影響信息系統(tǒng)的正常運(yùn)行，破壞提供服務(wù)的有效性、可靠性和權(quán)威性。任何可能對信息系統(tǒng)造成危害的因素，都是對系統(tǒng)的安全威脅。 威脅不僅來來自人為的破壞，也來自自然環(huán)境，包括各種人員、機(jī)構(gòu)出于各自目的的攻擊行為，系統(tǒng)自身的安全缺陷以及自然災(zāi)難等。信息系 統(tǒng)可能面臨的威脅的主要來源有：圖6.威脅的主要來源視圖白抵中，軍吼杭布春譚能晦威脅發(fā)生的可能性與信息系統(tǒng)資產(chǎn)的吸引力、資產(chǎn)轉(zhuǎn)化為報酬的容易程度、威脅的技術(shù)含量、薄弱點(diǎn)被利用的難易程度等因素密切相關(guān)。被動攻擊威脅與風(fēng)險：網(wǎng)絡(luò)通信數(shù)據(jù)被監(jiān)聽、口令等敏感信息被截獲等。主動攻擊威脅與風(fēng)險：掃描目標(biāo)主機(jī)、拒絕服務(wù)攻擊、利用協(xié)議、軟件、系統(tǒng)故障、漏洞插入

13、或執(zhí)行惡意代碼（如：特洛依木馬、病毒、后門等）、越權(quán)訪問、篡改數(shù)據(jù)、偽裝、重放所截獲的數(shù)據(jù)等。鄰近攻擊威脅與風(fēng)險：毀壞設(shè)備和線路、竊取存儲介質(zhì)、偷窺口令等。分發(fā)攻擊威脅與風(fēng)險：在設(shè)備制造、安裝、維護(hù)過程中，在設(shè)備上設(shè)置隱藏的的后門或攻擊途徑。內(nèi)部攻擊威脅與風(fēng)險：惡意修改數(shù)據(jù)和安全機(jī)制配置參數(shù)、惡意建立未授權(quán)連接、惡意的物理損壞和破壞、無意的數(shù)據(jù)損壞和破壞。等級保護(hù)管理需求安全是不能僅僅靠技術(shù)來保證，單純的技術(shù)都無法實現(xiàn)絕對的安全，必須要有相應(yīng)的組織管理體制配合、支撐，才能確保信息系統(tǒng)安全、穩(wěn)定運(yùn)行。管理安全是整體安全中重要的組成部分。信息系統(tǒng)安全管 理雖然得到了一定的落實，但由于人員編制有限，

14、安全的專業(yè)性、復(fù)雜性、不可預(yù)計性等，在管理機(jī)構(gòu)、 管理制度、人員安全、系統(tǒng)建設(shè)、系統(tǒng)運(yùn)維等安全管理方面存在一些安全隱患：管理機(jī)構(gòu)方面：管理制度方面：人員安全方面：系統(tǒng)建設(shè)方面：系統(tǒng)運(yùn)維方面：7、安全策略總體安全策略遵循國家、地方、行業(yè)相關(guān)法規(guī)和標(biāo)準(zhǔn)；貫徹等級保護(hù)和分域保護(hù)的原則；管理與技術(shù)并重，互為支撐，互為補(bǔ)充，相互協(xié)同，形成有效的綜合防范體系；充分依托已有的信息安全基礎(chǔ)設(shè)施，加快、加強(qiáng)信息安全保障體系建設(shè)。第三級安全的信息系統(tǒng)具備對信息和系統(tǒng)進(jìn)行基于安全策略強(qiáng)制的安全保護(hù)能力。在技術(shù)策略方面:在管理策略方面具體安全策略1、安全域內(nèi)部策略2、安全域邊界策略3、安全域互聯(lián)策略8、安全解決方案不

15、同的安全等級要求具有不同的基本安全保護(hù)能力，實現(xiàn)基本安全保護(hù)能力將通過選用合適的安全措施或安全控制來保證，可以使用的安全措施或安全控制表現(xiàn)為安全基本要求，依據(jù)實現(xiàn)方式的不同，信息系統(tǒng)等級保護(hù)的安全基本要求分為技術(shù)要求和管理要求兩大類。技術(shù)類安全要求通常與信息系統(tǒng)提供的技術(shù)安全機(jī)制有關(guān)，主要是通過在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來實現(xiàn)；管理類安全要求通常與信息系統(tǒng)中各種角色參與的活動有關(guān)，主要是通過控制各種角色的活動，從政策、制度、規(guī)范、流程以及記錄等方面做出規(guī)定來實現(xiàn)。根據(jù)威脅分析、安全策略中提出的基本要求和安全目標(biāo)，在整體保障框架的指導(dǎo)下，本節(jié)將就具體的安全技術(shù)措施和安全管理措施

16、來設(shè)計安全解決方案，以滿足相應(yīng)等級的基本安全保護(hù)能力。安全技術(shù)體系安全防護(hù)系統(tǒng)邊界防護(hù)系統(tǒng)監(jiān)控檢測系統(tǒng)安全審計系統(tǒng)應(yīng)急恢復(fù)系統(tǒng)安全支撐系統(tǒng)安全運(yùn)營平臺網(wǎng)絡(luò)管理系統(tǒng)網(wǎng)絡(luò)信任系統(tǒng)安全管理體系安全管理機(jī)構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)定級系統(tǒng)備案安全方案設(shè)計產(chǎn)品采購自行軟件開發(fā)外包軟件開發(fā)工程實施測試驗收系統(tǒng)交付安 全測評。詳細(xì)內(nèi)容略去。系統(tǒng)運(yùn)維管理9、安全服務(wù)技術(shù)類的安全要求可以通過在信息系統(tǒng)中部署安全產(chǎn)品來實現(xiàn)，同時需要對網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、應(yīng)用軟件的安全功能的正確配置，這需要通過安全評估和加固等安全服務(wù)來完成；管理類的安全要求需要通過管理咨詢服務(wù)來完善，以實現(xiàn)IT運(yùn)維管理標(biāo)準(zhǔn)化和規(guī)范

17、化，提高安全管理的水平。風(fēng)險評估服務(wù)安全風(fēng)險評估服務(wù)可以為組織：評估和分析在網(wǎng)絡(luò)上存在的安全技術(shù)風(fēng)險；分析業(yè)務(wù)運(yùn)作和管理方面存在的安全缺陷；調(diào)查信息系統(tǒng)的現(xiàn)有安全控制措施，評價組織的業(yè)務(wù)安全風(fēng)險承擔(dān)能力；評價風(fēng)險的優(yōu)先等級，據(jù)此為組織提出建立風(fēng)險控制安全規(guī)劃的建議。 具體的評估服務(wù)包括如下內(nèi)容略管理監(jiān)控服務(wù)全面實時的執(zhí)行對客戶信息系統(tǒng)遠(yuǎn)程監(jiān)控是M2S安全服務(wù)的主要組成部分和特點(diǎn)之一，通過監(jiān)控來達(dá)到安全事件檢測、安全事件跟蹤、病毒檢測、流量檢測等等任務(wù)，進(jìn)而通過檢測的結(jié)果可以動態(tài)的調(diào)整 各個安全設(shè)備的安全策略，提高系統(tǒng)的安全防范能力。監(jiān)控服務(wù)完全是一種以人為核心的安全防范過程， 通過資深的安全專

18、家對各種安全產(chǎn)品與軟件的日志、記錄等等的實時監(jiān)控與分析，發(fā)現(xiàn)各種潛在的危險， 并提供及時的修補(bǔ)和防御措施建議。的安全監(jiān)控服務(wù)具有兩種形式：遠(yuǎn)程監(jiān)控服務(wù)和專家的現(xiàn)場值守服務(wù)。每一種服務(wù)都滿足了客戶一定層面的需求，體現(xiàn)了安全監(jiān)控服務(wù)的靈活性以及可重組性。管理咨詢服務(wù)提供的主要安全管理咨詢顧問服務(wù)包如下。詳細(xì)內(nèi)容可參考“安全管理咨詢顧問服務(wù)白皮書安全培訓(xùn)服務(wù)安全實踐培訓(xùn)主要是從人員的角度出發(fā)來強(qiáng)化的安全知識以及抵御攻擊行為的能力，主要包括如下方面的培訓(xùn)建議：基本安全知識培訓(xùn)：主要對常規(guī)人員提供個人計算機(jī)使用的基本安全知識，提高個人計算機(jī)系統(tǒng)的防范能力。主機(jī)安全管理員培訓(xùn)：對安全管理員進(jìn)行針對于主機(jī)系

19、統(tǒng)的安全培訓(xùn)，強(qiáng)化信息系統(tǒng)維護(hù)人員的安 全技術(shù)水平。網(wǎng)絡(luò)安全管理員培訓(xùn)：對安全管理員進(jìn)行針對于網(wǎng)絡(luò)系統(tǒng)的安全培訓(xùn)。安全管理知識培訓(xùn)：為的主要管理層人員提供，有助于從管理的角度強(qiáng)化信息系統(tǒng)的安全。產(chǎn)品培訓(xùn)：為人員能進(jìn)一步認(rèn)識各種安全產(chǎn)品而提供的基本培訓(xùn)。CISP培訓(xùn)：為培養(yǎng)技術(shù)全面的信息安全專家，而提供的具有國家認(rèn)證資質(zhì)的培訓(xùn)I。注冊信息安全專業(yè)人員”，英文為 Certified Information Security Professional （ 簡稱CISP）,根據(jù)實際崗位工作需要， CISP 分為三類，分別是 注冊信息安全工程師 ”英文為Certified Information Security Engineer （簡稱CISE ）;注 冊信息安全管理人員 ”， 英文為Certified Information Security Officer（簡稱CISO）,注冊信息安全審核 員”英文為 Certified Information Secur