門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案

X管理局門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案文檔修訂記錄文檔審批信息目錄TOC\o"1-5"\h\z\o"CurrentDocument"網(wǎng)站平臺(tái)現(xiàn)狀分析 6\o"CurrentDocument"1.1項(xiàng)目背景 6\o"CurrentDocument"1.2網(wǎng)絡(luò)現(xiàn)狀 6\o"CurrentDocument"1.3面臨風(fēng)險(xiǎn) 6\o"CurrentDocument"1.4需求分析 7\o"CurrentDocument"總體方案建設(shè) 8\o"CurrentDocument"2.1方案建設(shè)參照標(biāo)準(zhǔn) 8\o"CurrentDocument"2.2方案建設(shè)目標(biāo) 9\o"CurrentDocument"2.3系統(tǒng)平臺(tái)規(guī)劃 9\o"CurrentDocument"2.3.1網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)及描述 9\o"CurrentDocument"2.4 網(wǎng)絡(luò)安全建設(shè) 10\o"CurrentDocument"2.4.1結(jié)構(gòu)安全與網(wǎng)段劃分 10\o"CurrentDocument"2.4.2網(wǎng)絡(luò)訪問(wèn)控制 11\o"CurrentDocument"2.4.3撥號(hào)訪問(wèn)控制 11\o"CurrentDocument"2.4.4網(wǎng)絡(luò)安全審計(jì) 11\o"CurrentDocument"2.4.5邊界完整性檢查 11\o"CurrentDocument"2.4.6惡意代碼防范 11\o"CurrentDocument"2.4.7網(wǎng)絡(luò)設(shè)備防護(hù) 12\o"CurrentDocument"2.5主機(jī)安全建設(shè) 12\o"CurrentDocument"2.5.1防病毒軟件 12\o"CurrentDocument"2.5.2身份鑒別 12\o"CurrentDocument"2.5.3自主訪問(wèn)控制 12\o"CurrentDocument"2.5.4安全審計(jì) 13\o"CurrentDocument"2.5.5系統(tǒng)保護(hù) 13\o"CurrentDocument"2.5.6剩余信息保護(hù) 13\o"CurrentDocument"2.5.7惡意代碼防范 13\o"CurrentDocument"2.5.8資源控制 142.6應(yīng)用安全建設(shè) 14\o"CurrentDocument"2.6.1網(wǎng)站安全防護(hù) 14\o"CurrentDocument"2.6.2身份鑒別 14\o"CurrentDocument"2.6.3訪問(wèn)控制 14\o"CurrentDocument"2.6.4安全審計(jì) 15\o"CurrentDocument"2.6.5剩余信息保護(hù) 15\o"CurrentDocument"2.6.6通信完整性 15\o"CurrentDocument"2.6.7通信保密性 16\o"CurrentDocument"2.6.8軟件容錯(cuò) 16\o"CurrentDocument"2.6.9資源控制 16\o"CurrentDocument"2.6.10代碼安全 16\o"CurrentDocument"2.7數(shù)據(jù)安全及備份恢復(fù) 16\o"CurrentDocument"2.7.1數(shù)據(jù)完整性 16\o"CurrentDocument"2.7.2數(shù)據(jù)保密性 17\o"CurrentDocument"2.7.3數(shù)據(jù)備份和恢復(fù) 172.8安全管理建設(shè) 17\o"CurrentDocument"2.8.1安全管理制度 17\o"CurrentDocument"2.8.2安全管理機(jī)構(gòu) 18\o"CurrentDocument"2.8.3人員安全管理 18\o"CurrentDocument"2.8.4系統(tǒng)建設(shè)管理 19\o"CurrentDocument"2.8.5系統(tǒng)運(yùn)維管理 19\o"CurrentDocument"信息安全產(chǎn)品部署及功能需求 19\o"CurrentDocument"3.1 數(shù)據(jù)交換系統(tǒng) 19\o"CurrentDocument"3.1.1網(wǎng)絡(luò)部署 19\o"CurrentDocument"3.1.2系統(tǒng)功能 20\o"CurrentDocument"3.2僵尸木馬網(wǎng)絡(luò)攻擊行為預(yù)警系統(tǒng) 23\o"CurrentDocument"3.2.1網(wǎng)絡(luò)部署 23\o"CurrentDocument"3.2.2系統(tǒng)功能 23\o"CurrentDocument"3.3日志審計(jì)系統(tǒng) 24\o"CurrentDocument"3.3.1網(wǎng)絡(luò)部署 24\o"CurrentDocument"3.3.2系統(tǒng)功能 25\o"CurrentDocument"3.4網(wǎng)站防篡改系統(tǒng) 27\o"CurrentDocument"3.4.1網(wǎng)絡(luò)部署 27\o"CurrentDocument"3.4.2系統(tǒng)功能 27\o"CurrentDocument"3.5防病毒系統(tǒng) 28\o"CurrentDocument"3.5.1網(wǎng)絡(luò)部署 28\o"CurrentDocument"3.5.2系統(tǒng)功能 29一、網(wǎng)站平臺(tái)現(xiàn)狀分析1.1項(xiàng)目背景X管理局為了落實(shí)和貫徹公安部、X保密局、X密碼管理局等X有關(guān)部門信息安全等級(jí)保護(hù)工作要求，全面完善我局門戶網(wǎng)站信息安全防護(hù)體系，落實(shí)我局門戶網(wǎng)站安全防護(hù)策略，確保等級(jí)保護(hù)工作的順利實(shí)施，提高我局門戶網(wǎng)站系統(tǒng)信息安全防護(hù)水平，對(duì)門戶網(wǎng)站系統(tǒng)開展等級(jí)保護(hù)建設(shè)工作。本方案主要遵循GB/T22239-2008《信息安全技術(shù)信息安全等級(jí)保護(hù)基本要求》、《信息安全等級(jí)保護(hù)管理辦法》(公通字[2007]43號(hào))、《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》(GB/T20984-2007)、ISO/IEC27001信息安全管理體系標(biāo)準(zhǔn)和ISO/IEC13335信息安全管理標(biāo)準(zhǔn)等。1.2網(wǎng)絡(luò)現(xiàn)狀上海市監(jiān)獄管理局公眾網(wǎng)網(wǎng)站系統(tǒng)拓?fù)鋱D1.3面臨風(fēng)險(xiǎn)X管理局門戶網(wǎng)站平臺(tái)主要面臨以下安全風(fēng)險(xiǎn):網(wǎng)站安全防護(hù)不足門戶網(wǎng)站缺少針對(duì)網(wǎng)站防篡改的防護(hù)系統(tǒng)，對(duì)各類非法篡改如SQL注入、跨站腳本攻擊、網(wǎng)站篡改和WEB網(wǎng)頁(yè)掛馬等攻擊行為無(wú)法及時(shí)的阻斷和防御。■僵尸網(wǎng)絡(luò)、木馬攻擊無(wú)法抵御網(wǎng)站頁(yè)面被篡改、惡意軟件傳播、內(nèi)部信息被竊取、網(wǎng)絡(luò)遭受木馬攻擊、僵尸網(wǎng)絡(luò)橫行等惡意行為，已經(jīng)成為重大的網(wǎng)絡(luò)安全隱患，門戶網(wǎng)站平臺(tái)同樣面臨如此嚴(yán)峻的網(wǎng)絡(luò)安全威脅?！鰫阂馊肭中袨榘踩珯z測(cè)對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行實(shí)時(shí)采集和實(shí)時(shí)分析，幫助網(wǎng)管人員及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中的各種攻擊和違規(guī)行為，掌握網(wǎng)絡(luò)流量的變化，發(fā)現(xiàn)異常流量的出現(xiàn)，并通過(guò)與內(nèi)網(wǎng)其他安全設(shè)備聯(lián)動(dòng)封堵攻擊源。目前門戶網(wǎng)站平臺(tái)只有一臺(tái)防火墻安全設(shè)備，不能進(jìn)行主動(dòng)監(jiān)測(cè)入侵行為，安全防御比較被動(dòng)。1.4需求分析綜合考慮監(jiān)獄管理局門戶網(wǎng)站安全防護(hù)現(xiàn)狀，與《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》存在一定的差距。為滿足信息系統(tǒng)安全等級(jí)保護(hù)基本要求，保障門戶系統(tǒng)穩(wěn)定、安全運(yùn)行，需對(duì)監(jiān)獄管理局門戶網(wǎng)站等級(jí)保護(hù)建設(shè)符合以下要求：網(wǎng)絡(luò)安全檢測(cè)一為保證內(nèi)網(wǎng)與互聯(lián)網(wǎng)數(shù)據(jù)交互的安全性，需對(duì)內(nèi)網(wǎng)和外網(wǎng)之間的數(shù)據(jù)流做安全過(guò)濾，以確保能及時(shí)檢測(cè)并抵御DDOS、拒絕服務(wù)、入侵行為、僵尸網(wǎng)絡(luò)、木馬行為等網(wǎng)絡(luò)惡意攻擊行為。所以需要專門針對(duì)僵尸網(wǎng)絡(luò)、木馬行為攻擊的預(yù)警系統(tǒng)。主機(jī)安全防護(hù)一主機(jī)安全可包括兩種方式對(duì)主機(jī)進(jìn)行防護(hù)：系統(tǒng)本身的X管理局門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案安全防護(hù)和通過(guò)第三方安全軟件進(jìn)行系統(tǒng)防護(hù)。系統(tǒng)本身主要通過(guò)身份鑒別、安全審計(jì)、訪問(wèn)控制、安全策略等措施構(gòu)建系統(tǒng)級(jí)別的防護(hù)堡壘，第三方安全軟件主要依靠軟件本身的病毒庫(kù)、特征碼、安全策略對(duì)系統(tǒng)提供系統(tǒng)防護(hù)。網(wǎng)站安全防護(hù)一需對(duì)網(wǎng)站提供惡意代碼主動(dòng)防御、網(wǎng)頁(yè)防篡改保護(hù)、防SQL注入、跨站腳本攻擊和拒絕服務(wù)攻擊等網(wǎng)站系統(tǒng)面臨的安全威脅。安全審計(jì)一為了幫助安全人員有效針對(duì)系統(tǒng)日志、數(shù)據(jù)庫(kù)日志和各種網(wǎng)絡(luò)設(shè)備安全設(shè)備的日志進(jìn)行統(tǒng)計(jì)分析，及時(shí)發(fā)現(xiàn)安全漏洞并對(duì)妨礙系統(tǒng)運(yùn)行的明顯企圖及時(shí)報(bào)告給安全控制臺(tái)，及時(shí)采取措施。部署安全審計(jì)設(shè)備是一種高效的解決手段。二、總體方案建設(shè)2.1方案建設(shè)參照標(biāo)準(zhǔn)信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求信息安全技術(shù)信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南信息安全技術(shù)信息安全等級(jí)保護(hù)實(shí)施指南信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)指南GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T20269-2006信息安全技術(shù)信息系統(tǒng)安全管理要求GB/T20281-2006信息安全技術(shù)防火墻技術(shù)要求與測(cè)試評(píng)價(jià)方法GB/T20275-2006信息安全技術(shù)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試評(píng)GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T20269-2006信息安全技術(shù)信息系統(tǒng)安全管理要求GB/T20281-2006信息安全技術(shù)防火墻技術(shù)要求與測(cè)試評(píng)價(jià)方法GB/T20275-2006信息安全技術(shù)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試評(píng)價(jià)方法X管理局門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案>GB/T20278-2006信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求>GB/T法20277-2006信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測(cè)試評(píng)價(jià)方>GB/T20279-2006信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件技術(shù)要求>GB/T法20280-2006信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件測(cè)試評(píng)價(jià)方2.2方案建設(shè)目標(biāo)通過(guò)為滿足物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個(gè)方面基本技術(shù)要求進(jìn)行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五個(gè)方面基本管理要求進(jìn)行管理體系建設(shè)。使得X管理局門戶網(wǎng)站系統(tǒng)滿足二級(jí)等級(jí)保護(hù)建設(shè)的相關(guān)要求，又能為門戶網(wǎng)站系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。等級(jí)保護(hù)建設(shè)基本要求如下:管理囊束系統(tǒng)篷設(shè)管理安善理制度蠢運(yùn)維管理人員麥善理安著理機(jī)構(gòu)數(shù)據(jù)安全網(wǎng)絡(luò)塞主婁全吱術(shù)要求管理囊束系統(tǒng)篷設(shè)管理安善理制度蠢運(yùn)維管理人員麥善理安著理機(jī)構(gòu)數(shù)據(jù)安全網(wǎng)絡(luò)塞主婁全吱術(shù)要求2.3系統(tǒng)平臺(tái)規(guī)劃2.3.1網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)及描述X管理局門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案X管理局門戶網(wǎng)站系統(tǒng)由出口防火墻、日志審計(jì)系統(tǒng)、僵尸木馬網(wǎng)絡(luò)檢測(cè)系統(tǒng)、網(wǎng)站防護(hù)系統(tǒng)、防病毒系統(tǒng)、數(shù)據(jù)交換系統(tǒng)組成，整個(gè)系統(tǒng)主要為兩臺(tái)門戶網(wǎng)站服務(wù)器提供安全防護(hù)。出口防火墻作為第一層安全防護(hù)，通過(guò)安全策略和防護(hù)功能抵御互聯(lián)網(wǎng)的攻擊。僵尸木馬網(wǎng)絡(luò)攻擊行為預(yù)警系統(tǒng)作為第二層安全防護(hù)，通過(guò)過(guò)濾檢測(cè)進(jìn)出入內(nèi)外網(wǎng)的數(shù)據(jù)流檢測(cè)入侵行為和惡意攻擊，并通過(guò)預(yù)警機(jī)制提供解決方案。數(shù)據(jù)交換系統(tǒng)主要為內(nèi)網(wǎng)服務(wù)器之間的數(shù)據(jù)流、外網(wǎng)與內(nèi)網(wǎng)之間的數(shù)據(jù)流提供中轉(zhuǎn)平臺(tái)和數(shù)據(jù)安全過(guò)濾。網(wǎng)站防護(hù)系統(tǒng)和防病毒系統(tǒng)，為網(wǎng)站服務(wù)器和網(wǎng)站程序提供安全防護(hù)，防止網(wǎng)站遭非法篡改和病毒攻擊。2.4網(wǎng)絡(luò)安全建設(shè)2.4.1結(jié)構(gòu)安全與網(wǎng)段劃分＞網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；＞設(shè)計(jì)和繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；＞根據(jù)機(jī)構(gòu)業(yè)務(wù)的特點(diǎn)，在滿足業(yè)務(wù)高峰期需要的基礎(chǔ)上，合理設(shè)計(jì)網(wǎng)絡(luò)帶寬；＞在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制，建立安全的訪問(wèn)路徑;＞根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；＞重要網(wǎng)段應(yīng)采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施，防止地址欺騙。2.4.2網(wǎng)絡(luò)訪問(wèn)控制＞能根據(jù)會(huì)話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號(hào)、目的端口號(hào)、協(xié)議、出入的接口、會(huì)話序列號(hào)、發(fā)出信息的主機(jī)名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力。2.4.3撥號(hào)訪問(wèn)控制＞在基于安全屬性的允許遠(yuǎn)程用戶對(duì)系統(tǒng)訪問(wèn)的規(guī)則的基礎(chǔ)上，對(duì)系統(tǒng)所有資源允許或拒絕用戶進(jìn)行訪問(wèn)，控制粒度為單個(gè)用戶；＞限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量。2.4.4網(wǎng)絡(luò)安全審計(jì)＞對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等事件進(jìn)行日志記錄；＞于每一個(gè)事件，其審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功，及其他與審計(jì)相關(guān)的信息。2.4.5邊界完整性檢查＞能夠檢測(cè)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為（即“非法外聯(lián)”行為）。2.4.6惡意代碼防范＞在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對(duì)惡意代碼進(jìn)行檢測(cè)和清除；＞維護(hù)惡意代碼庫(kù)的升級(jí)和檢測(cè)系統(tǒng)的更新；＞支持惡意代碼防范的統(tǒng)一管理。2.4.7網(wǎng)絡(luò)設(shè)備防護(hù)＞對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；＞對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；＞網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；＞身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期的更新等；＞具有登錄失敗處理功能，如：結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)，自動(dòng)退出。2.5主機(jī)安全建設(shè)2.5.1防病毒軟件＞控制對(duì)網(wǎng)絡(luò)資源的訪問(wèn)并保護(hù)邊界免遭Web相關(guān)的威脅侵?jǐn)_；＞能夠深入了解自身環(huán)境，實(shí)現(xiàn)更有效的防護(hù)；＞利用可靠的可操作情報(bào)，前瞻性預(yù)測(cè)威脅并最大限度減少停機(jī)。2.5.2身份鑒別＞操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)用戶的身份標(biāo)識(shí)應(yīng)具有唯一性；＞對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；＞操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期的更新等；＞具有登錄失敗處理功能，如：結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出。2.5.3自主訪問(wèn)控制＞依據(jù)安全策略控制主體對(duì)客體的訪問(wèn)；＞自主訪問(wèn)控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；＞自主訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)；＞由授權(quán)主體設(shè)置對(duì)客體訪問(wèn)和操作的權(quán)限；＞嚴(yán)格限制默認(rèn)用戶的訪問(wèn)權(quán)限。2.5.4安全審計(jì)＞安全審計(jì)應(yīng)覆蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；＞安全審計(jì)應(yīng)記錄系統(tǒng)內(nèi)重要的安全相關(guān)事件，包括重要用戶行為和重要系統(tǒng)命令的使用等；＞安全相關(guān)事件的記錄應(yīng)包括日期和時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等；＞審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。2.5.5系統(tǒng)保護(hù)＞系統(tǒng)應(yīng)提供在管理維護(hù)狀態(tài)中運(yùn)行的能力，管理維護(hù)狀態(tài)只能被系統(tǒng)管理員使用。2.5.6剩余信息保護(hù)＞保證操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；＞確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。2.5.7惡意代碼防范X管理局門戶網(wǎng)站系統(tǒng)等級(jí)保護(hù)建設(shè)方案＞服務(wù)器和重要終端設(shè)備(包括移動(dòng)設(shè)備)應(yīng)安裝實(shí)時(shí)檢測(cè)和查殺惡意代碼的軟件產(chǎn)品；＞主機(jī)系統(tǒng)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)；2.5.8資源控制A限制單個(gè)用戶的會(huì)話數(shù)量；＞通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。2.6.1網(wǎng)站安全防護(hù)＞針對(duì)網(wǎng)站攻擊如SQL注入攻擊(SQLinjections)、跨站腳本攻擊(cross-sitescriptingattacks)、進(jìn)程竊取(sessiontampering)及緩存溢出(bufferoverflows)、網(wǎng)站篡改等各類惡意攻擊，對(duì)WEB應(yīng)用提供安全防護(hù)；＞網(wǎng)站防護(hù)系統(tǒng)支持主動(dòng)防御，利用文件過(guò)濾驅(qū)動(dòng)技術(shù)保護(hù)網(wǎng)頁(yè)和動(dòng)態(tài)腳本不被非法篡改，從源頭上杜絕各類非法篡改行為。2.6.2身份鑒別＞用系統(tǒng)用戶的身份標(biāo)識(shí)應(yīng)具有唯一性；＞對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；＞系統(tǒng)用戶身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期的更新等；＞具有登錄失敗處理功能，如：結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出。2.6.3訪問(wèn)控制＞依據(jù)安全策略控制用戶對(duì)客體的訪問(wèn)；＞自主訪問(wèn)控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；＞自主訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)；＞由授權(quán)主體設(shè)置用戶對(duì)系統(tǒng)功能操作和對(duì)數(shù)據(jù)訪問(wèn)的權(quán)限；＞實(shí)現(xiàn)應(yīng)用系統(tǒng)特權(quán)用戶的權(quán)限分離，例如將管理與審計(jì)的權(quán)限分配給不同的應(yīng)用系統(tǒng)用戶；＞權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；＞嚴(yán)格限制默認(rèn)用戶的訪問(wèn)權(quán)限。2.6.4安全審計(jì)A安全審計(jì)應(yīng)覆蓋到應(yīng)用系統(tǒng)的每個(gè)用戶；＞安全審計(jì)應(yīng)記錄應(yīng)用系統(tǒng)重要的安全相關(guān)事件，包括重要用戶行為和重要系統(tǒng)功能的執(zhí)行等；＞安全相關(guān)事件的記錄應(yīng)包括日期和時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等；＞審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。2.6.5剩余信息保護(hù)＞保證用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；＞確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。2.6.6通信完整性＞通信雙方應(yīng)約定單向的校驗(yàn)碼算法，計(jì)算通信數(shù)據(jù)報(bào)文的校驗(yàn)碼，在進(jìn)行通信時(shí)，雙方根據(jù)校驗(yàn)碼判斷對(duì)方報(bào)文的有效性。2.6.7通信保密性＞當(dāng)通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會(huì)話；＞在通信雙方建立連接之前，利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；＞在通信過(guò)程中，應(yīng)對(duì)敏感信息字段進(jìn)行加密。2.6.8軟件容錯(cuò)＞對(duì)通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)；＞對(duì)通過(guò)人機(jī)接口方式進(jìn)行的操作提供“回退”功能，即允許按照操作的序列進(jìn)行回退；＞在故障發(fā)生時(shí)，應(yīng)繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?.6.9資源控制＞限制單個(gè)用戶的多重并發(fā)會(huì)話；＞對(duì)應(yīng)用系統(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制；＞對(duì)一個(gè)時(shí)間段內(nèi)可能的并發(fā)會(huì)話連接數(shù)進(jìn)行限制。2.6.10代碼安全＞對(duì)應(yīng)用程序代碼進(jìn)行惡意代碼掃描；＞對(duì)應(yīng)用程序代碼進(jìn)行安全脆弱性分析。2.7數(shù)據(jù)安全及備份恢復(fù)2.7.1數(shù)據(jù)完整性＞能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過(guò)程中完整性受到破壞；＞能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲(chǔ)過(guò)程中完整性受到破壞。2.7.2數(shù)據(jù)保密性＞網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)和應(yīng)用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應(yīng)采用加密或其他有效措施實(shí)現(xiàn)傳輸保密性；＞網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)和應(yīng)用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)存儲(chǔ)保密性；＞當(dāng)使用便攜式和移動(dòng)式設(shè)備時(shí)，應(yīng)加密或者采用可移動(dòng)磁盤存儲(chǔ)敏感信息。2.7.3數(shù)據(jù)備份和恢復(fù)＞提供自動(dòng)機(jī)制對(duì)重要信息進(jìn)行有選擇的數(shù)據(jù)備份；＞提供恢復(fù)重要信息的功能；＞提供重要網(wǎng)絡(luò)設(shè)備、通信線路和服務(wù)器的硬件冗余。2.8安全，安全體系管理層面設(shè)計(jì)主要是依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中的管理要求而設(shè)計(jì)。分別從以下方面進(jìn)行設(shè)計(jì)：2.8.1安全管理制度根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個(gè)方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實(shí)施辦法，是具有可操作性，且必須得到有效推行和實(shí)施的制度。制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對(duì)收發(fā)文進(jìn)行登記。信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定，定期或不定期對(duì)安全管理制度進(jìn)行評(píng)審和修訂，修訂不足及進(jìn)行改進(jìn)。2.8.2安全管理機(jī)構(gòu)＞根據(jù)基本要求設(shè)置安全管理機(jī)構(gòu)的組織形式和運(yùn)作方式，明確崗位職責(zé)；＞設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進(jìn)行人員配備，配備專職安全員；＞成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；＞制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；＞定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等。2.8.3人員安全管理＞根據(jù)基本要求制定人員錄用，離崗、考核、培訓(xùn)幾個(gè)方面的規(guī)定，并嚴(yán)格執(zhí)行；＞規(guī)定外部人員訪問(wèn)流程，并嚴(yán)格執(zhí)行。2.8.4系統(tǒng)建設(shè)管理根據(jù)基本要求制定系統(tǒng)建設(shè)管理制度，包括：系統(tǒng)定級(jí)、安全方案設(shè)計(jì)、產(chǎn)品采購(gòu)和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實(shí)施、測(cè)試驗(yàn)收、系統(tǒng)交付、系統(tǒng)備案、等級(jí)評(píng)測(cè)、安全服務(wù)商選擇等方面。從工程實(shí)施的前、中、后三個(gè)方面，從初始定級(jí)設(shè)計(jì)到驗(yàn)收評(píng)測(cè)完整的工程周期角度進(jìn)行系統(tǒng)建設(shè)管理。2.8.5系統(tǒng)運(yùn)維管理根據(jù)基本要求進(jìn)行信息系統(tǒng)日常運(yùn)行維護(hù)管理，利用管理制度以及安全管理中心進(jìn)行，包括：環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理和安全管理中心、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理等，使系統(tǒng)始終處于相應(yīng)等級(jí)安全狀態(tài)中。三、信息安全產(chǎn)品部署及功能需求3.1數(shù)據(jù)交換系統(tǒng)3.1.1網(wǎng)絡(luò)部署

3.1.2系統(tǒng)功能核心交換機(jī)需提供容錯(cuò)功能之雙電源供應(yīng)模塊，與提供熱插拔功能，即讓交換機(jī)在不必停機(jī)的狀態(tài)下可抽換模塊，當(dāng)其中一片模塊故障異常時(shí)可于熱機(jī)中抽換維修，整體網(wǎng)絡(luò)傳輸作業(yè)不會(huì)中斷。核心交換機(jī)支持VRRP協(xié)議，可提供兩臺(tái)核心交換機(jī)互為備援，使得整體網(wǎng)絡(luò)具備高容錯(cuò)備援性，達(dá)到具備24小時(shí)全年無(wú)休連續(xù)運(yùn)作之機(jī)制功能。

支持基于MAC的動(dòng)態(tài)VLAN分配MAC地址功能支持MAC地址自動(dòng)學(xué)習(xí)和老化支持靜態(tài)、動(dòng)態(tài)、黑洞MAC表項(xiàng)支持源MAC地址過(guò)濾支持基于端口和VLAN的MAC地址學(xué)習(xí)限制STP功能支持STP(IEEE802.1d)，RSTP(IEEE802.1w)和MSTP(IEEE802.1s)支持BPDU保護(hù)、Root保護(hù)、環(huán)路保護(hù)支持BDPUTunnelIP路由功能支持RIP、OSPF、ISIS、BGP等IPv4動(dòng)態(tài)路由協(xié)議支持RIPng、OSPFv3、ISISv6、BGP4+等IPv6動(dòng)態(tài)路由協(xié)議組播功能支持IGMPv1/v2/v3、IGMPv1/v2/v3Snooping支持PIMDM、PIMSM、PIMSSM支持MSDP、MBGP支持用戶快速離開機(jī)制支持組播流量控制支持組播查詢器支持組播協(xié)議報(bào)文抑制功能支持組播CAC支持組播ACLMPLS功能支持MPLS基本功能支持MPLSOAM支持MPLSTE支持MPLSVPN/VLL/VPLS可靠性支持LACP、支持跨設(shè)備E-Trunk

支持VRRP、BFDforVRRP支持BFDforBGP/IS-IS/OSPF/靜態(tài)路由支持NSF、GRforBGP/IS-IS/OSPF/LDP支持TEFRR、IPFRR支持以太網(wǎng)OAM802.3ah和802.1ag支持ITU-Y.1731支持DLDP支持運(yùn)行中軟件升級(jí)ISSU支持集群交換系統(tǒng)CSSQoS功能支持基于Layer2協(xié)議頭、Layer3協(xié)議、Layer4協(xié)議、802.1p優(yōu)先級(jí)等的組合流分類支持ACL、CAR、Remark、Schedule等動(dòng)作支持PQ、WRR、DRR、PQ+WRR、PQ+DRR等隊(duì)列調(diào)度方式支持WRED、尾丟棄等擁塞避免機(jī)制支持H-QOS支持流量整形配置與維護(hù)功 支持Console、Telnet、SSH等終端服務(wù)能支持SNMPv1/v2/v3等網(wǎng)絡(luò)管理協(xié)議支持通過(guò)FTP、TFTP方式上載、下載文件支持BootROM升級(jí)和遠(yuǎn)程在線升級(jí)支持熱補(bǔ)丁支持用戶操作日志安全和管理功802.1x認(rèn)證，Portal認(rèn)證能支持NAC支持RADIUS和HWTACACS用戶登錄認(rèn)證命令行分級(jí)保護(hù)，未授權(quán)用戶無(wú)法侵入支持防范DoS攻擊、TCP的SYNFlood攻擊、UDPFlood攻擊、廣播風(fēng)暴攻擊、大流量攻擊支持1KCPU通道隊(duì)列保護(hù)支持ICMP實(shí)現(xiàn)ping和traceroute功能支持RMON3.2僵尸木馬網(wǎng)絡(luò)攻擊行為預(yù)警系統(tǒng)3.2.1網(wǎng)絡(luò)部署3.2.2系統(tǒng)功能該系統(tǒng)需要能夠針對(duì)僵尸網(wǎng)絡(luò)和木馬等網(wǎng)絡(luò)攻擊行為，為網(wǎng)絡(luò)提供動(dòng)態(tài)的、集成式的安全保護(hù)，最大程度保證對(duì)網(wǎng)絡(luò)內(nèi)潛伏的僵尸網(wǎng)絡(luò)和木馬一旦激活運(yùn)行就會(huì)被發(fā)現(xiàn)及處置。該系統(tǒng)需提供了從網(wǎng)絡(luò)層到應(yīng)用層的檢測(cè)能力，第23頁(yè)能夠?yàn)閭€(gè)人PC、移動(dòng)終端和各級(jí)應(yīng)用服務(wù)器提供保護(hù)。該系統(tǒng)需可以針對(duì)傳統(tǒng)的黑IP、黑域名以及端口進(jìn)行檢測(cè)，系統(tǒng)應(yīng)該具體以下功能特征：?基于網(wǎng)絡(luò)通信特征，針對(duì)已知攻擊行為的檢測(cè)技術(shù)。?基于網(wǎng)絡(luò)通信行為分析，針對(duì)已知攻擊行為的檢測(cè)技術(shù)。?采用黑洞引流技術(shù)，切斷黑客與受控主機(jī)之間的通信聯(lián)系，終止惡意代碼的運(yùn)行。?采用時(shí)間序列和攻擊五元組（攻擊源IP、感染源IP和端口、感染源MAC、攻擊方式、危害程度分級(jí)）的安全事件分析技術(shù)。3.3日志審計(jì)系統(tǒng)3.3.1網(wǎng)絡(luò)部署3.3.2系統(tǒng)功能■統(tǒng)一日志監(jiān)控該系統(tǒng)能夠?qū)崿F(xiàn)環(huán)境中部署的各類網(wǎng)絡(luò)或安全設(shè)備、安全系統(tǒng)、主機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)以及各種應(yīng)用系統(tǒng)的日志、事件、告警全部匯集起來(lái)，使得用戶通過(guò)單一的管理控制臺(tái)對(duì)網(wǎng)絡(luò)環(huán)境中的安全信息（日志）進(jìn)行統(tǒng)一監(jiān)控。使得用戶可以全面掌控網(wǎng)絡(luò)環(huán)境中的安全狀況，對(duì)安全威脅做出更加準(zhǔn)確的判斷?！鋈罩練w一化與實(shí)時(shí)關(guān)聯(lián)分析該系統(tǒng)需收集并歸一化網(wǎng)絡(luò)環(huán)境中所有安全日志和告警信息，然后通過(guò)智能事件關(guān)聯(lián)分析引擎，幫助安全管理員實(shí)時(shí)進(jìn)行日志分析，迅速識(shí)別安全事故，從而及時(shí)做出