等級保護(hù)創(chuàng)新和發(fā)展

等級保護(hù)創(chuàng)新和發(fā)展第1頁/共40頁X信息安全等級保護(hù)是國家制度性工作

科學(xué)定級、全面建設(shè)主動應(yīng)對、積極防御

做好新型計算環(huán)境下信息安全等級保護(hù)工作

目錄

一二三四第2頁/共40頁第3頁/共40頁X信息安全等級保護(hù)是國家制度性工作一第4頁/共40頁是我國信息安全保障的基本制度是網(wǎng)絡(luò)空間安全保障體系的重要支撐是應(yīng)對強(qiáng)敵APT的有效措施信息安全等級保護(hù)第5頁/共40頁美國國防部早在八十年代就推行“安全等級劃分準(zhǔn)則”

（TCSEC）（CCSEC）2003年，美國發(fā)布《保護(hù)網(wǎng)絡(luò)空間國家戰(zhàn)略》，提出按重要程度不同分五級保護(hù)，并通過了《聯(lián)邦信息安全管理法案》（FISMA），要求NIST制定分類分級標(biāo)準(zhǔn)2005年變成強(qiáng)制性標(biāo)準(zhǔn)（FIPS200），要求聯(lián)邦機(jī)構(gòu)無條件執(zhí)行第6頁/共40頁2013年2月12日，奧巴馬發(fā)布了《增強(qiáng)關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全》行政令，按此令NIST于2014年2月12日12日提出了《美國增強(qiáng)關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架》，按風(fēng)險程度不同分為四個等級，實(shí)行識別、保護(hù)、監(jiān)測、響應(yīng)、恢復(fù)全過程的風(fēng)險管理第7頁/共40頁1994年，國務(wù)院發(fā)布《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院令第147號），為我國信息系統(tǒng)實(shí)行等級保護(hù)提供法律依據(jù)依據(jù)國務(wù)院147號令制定發(fā)布了強(qiáng)制性國家標(biāo)準(zhǔn)《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB17859-1999），為等級劃分和保護(hù)奠定了技術(shù)基礎(chǔ)我國等級保護(hù)工作有序推進(jìn)第8頁/共40頁《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號）進(jìn)一步明確要求“抓緊建立信息安全等級保護(hù)制度”國家有關(guān)部委多次聯(lián)合發(fā)文，明確了等級保護(hù)的原則、基本內(nèi)容、工作流程和方法、實(shí)施要求和計劃等。目前國家各部門都按信息系統(tǒng)定級備案、整改建設(shè)和測評進(jìn)行推進(jìn)，國家重點(diǎn)工程的驗(yàn)收要求必須通過信息安全等級保護(hù)的測評第9頁/共40頁2015年6月，第十二屆全國人大常委會第十五次會議初次審議了《中華人民共和國網(wǎng)絡(luò)安全法(草案)》?，F(xiàn)將《中華人民共和國網(wǎng)絡(luò)安全法(草案)》在中國人大網(wǎng)公布，向社會公開征求意見第十七條

國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改……保障網(wǎng)絡(luò)運(yùn)行安全，必須落實(shí)網(wǎng)絡(luò)運(yùn)營者第一責(zé)任人的責(zé)任。據(jù)此，草案將現(xiàn)行的網(wǎng)絡(luò)安全等級保護(hù)制度上升為法律，要求網(wǎng)絡(luò)運(yùn)營者按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求，采取相應(yīng)的管理措施和技術(shù)防范等措施，履行相應(yīng)的網(wǎng)絡(luò)安全保護(hù)義務(wù)。第10頁/共40頁

科學(xué)定級、全面建設(shè)二第11頁/共40頁準(zhǔn)確劃分定級系統(tǒng)，從保護(hù)信息和計算兩維資源出發(fā)，根據(jù)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，以及系統(tǒng)遭受破壞后的危害程度等因素確定等級經(jīng)各大單位、行業(yè)提出，專家評審，主管部門備案（一）定級第12頁/共40頁業(yè)務(wù)處理流程的完整性軟硬件設(shè)備相對的獨(dú)立性安全管理責(zé)權(quán)的統(tǒng)一性定級系統(tǒng)的特征多級互聯(lián)隔離性第13頁/共40頁按照《信息安全等級保護(hù)管理辦法》、《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB17859-1999）1、制定安全方案參照《信息系統(tǒng)等級保護(hù)安全設(shè)計技術(shù)要求》（GB25070-2010）（二）建設(shè)步驟第14頁/共40頁參照《信息安全等級保護(hù)實(shí)施指南》、《信息系統(tǒng)等級保護(hù)安全設(shè)計技術(shù)要求》等技術(shù)標(biāo)準(zhǔn)，從技術(shù)和管理兩個方面進(jìn)行安全建設(shè)2、開展安全建設(shè)第15頁/共40頁選擇等級測評機(jī)構(gòu)制定測評方案開展測評工作出具測評報告專家評審3、開展等級測評工作4、整改工作進(jìn)一步完善第16頁/共40頁

主動應(yīng)對、積極防御三第17頁/共40頁

針對計算資源（軟硬件）構(gòu)建保護(hù)環(huán)境，以可信計算基（TCB）為基礎(chǔ)，層層擴(kuò)充，對計算資源進(jìn)行保護(hù)YoucanBelikeGod1.可信YoucanBelikeGod2.可控YoucanBelikeGod3.可管

針對信息資源（數(shù)據(jù)及應(yīng)用）構(gòu)建業(yè)務(wù)流程控制鏈，以訪問控制為核心，實(shí)行主體（用戶）按策略規(guī)則訪問客體（信息資源）

保證資源安全必須實(shí)行科學(xué)管理，強(qiáng)調(diào)最小權(quán)限管理，尤其是高等級系統(tǒng)實(shí)行三權(quán)分離管理體制，不許設(shè)超級用戶從技術(shù)和管理兩個方面進(jìn)行安全設(shè)計，做到:（一）設(shè)計原則第18頁/共40頁安全管理中心支持下的計算環(huán)境區(qū)域邊界通信網(wǎng)絡(luò)三重防護(hù)結(jié)構(gòu)框架（二）結(jié)構(gòu)框架類同于美國“曼哈頓”計劃第19頁/共40頁

保護(hù)環(huán)境框架圖

計算環(huán)境區(qū)域邊界通信網(wǎng)絡(luò)

構(gòu)建三重安全防護(hù)結(jié)構(gòu)框架劃分為節(jié)點(diǎn)、典型應(yīng)用、區(qū)域邊界、通信網(wǎng)絡(luò)、安全管理、審計管理和系統(tǒng)管理等子系統(tǒng)。安全管理中心第20頁/共40頁21

1、計算環(huán)境典型應(yīng)用子系統(tǒng)：安全保護(hù)環(huán)境為應(yīng)用系統(tǒng)（如安全OA系統(tǒng)等）提供安全支撐服務(wù)。通過實(shí)施三級安全要求的業(yè)務(wù)應(yīng)用系統(tǒng)，使用安全保護(hù)環(huán)境所提供的安全機(jī)制，為應(yīng)用提供符合要求的安全功能支持和安全服務(wù)節(jié)點(diǎn)子系統(tǒng)：節(jié)點(diǎn)子系統(tǒng)通過在操作系統(tǒng)核心層、系統(tǒng)層設(shè)置以了一個嚴(yán)密牢固的防護(hù)層，通過對用戶行為的控制，可以有效防止非授權(quán)用戶訪問和授權(quán)用戶越權(quán)訪問，確保信息和信息系統(tǒng)的保密性和完整性安全，從而為典型應(yīng)用子系統(tǒng)的正常運(yùn)行和免遭惡意破壞提供支撐和保障第21頁/共40頁22

2、區(qū)域邊界區(qū)域邊界子系統(tǒng)：區(qū)域邊界子系統(tǒng)通過對進(jìn)入和流出安全保護(hù)環(huán)境的信息流進(jìn)行安全檢查，確保不會有違背系統(tǒng)安全策略的信息流經(jīng)過邊界，是信息系統(tǒng)的第二道安全屏障第22頁/共40頁23

3、通信網(wǎng)絡(luò)通信網(wǎng)絡(luò)子系統(tǒng)：通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進(jìn)行保護(hù)，確保其在傳輸過程中不會被非授權(quán)竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障，是信息系統(tǒng)的外層安全屏障第23頁/共40頁24

4、管理中心系統(tǒng)管理子系統(tǒng)：系統(tǒng)管理子系統(tǒng)負(fù)責(zé)對安全保護(hù)環(huán)境中的計算節(jié)點(diǎn)、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)實(shí)施集中管理和維護(hù)，包括用戶身份管理、資源管理、應(yīng)急處理等，為信息系統(tǒng)的安全提供基礎(chǔ)保障安全管理子系統(tǒng)：安全管理子系統(tǒng)是信息系統(tǒng)的控制中樞，主要實(shí)施標(biāo)記管理、授權(quán)管理及策略管理等。安全管理子系統(tǒng)通過制定相應(yīng)的系統(tǒng)安全策略，并且強(qiáng)制節(jié)點(diǎn)子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡(luò)子系統(tǒng)及節(jié)點(diǎn)子系統(tǒng)執(zhí)行，從而實(shí)現(xiàn)了對整個信息系統(tǒng)的集中管理，為信息系統(tǒng)的安全提供了有力保障審計子系統(tǒng)：審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計員通過制定審計策略，強(qiáng)制節(jié)點(diǎn)子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡(luò)子系統(tǒng)、安全管理子系統(tǒng)、系統(tǒng)管理子系統(tǒng)執(zhí)行，從而實(shí)現(xiàn)對整個信息系統(tǒng)的行為審計，確保用戶無法抵賴違背系統(tǒng)安全策略的行為，同時為應(yīng)急處理提供依據(jù)第24頁/共40頁有效凈化網(wǎng)絡(luò)環(huán)境

在可信計算技術(shù)支持下做到：病毒染不了、木馬注不上、黑客進(jìn)不來

（三）安全防護(hù)特點(diǎn)加強(qiáng)定級對象信息系統(tǒng)整體防護(hù)，建設(shè)管理中心支持下的計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)三重防護(hù)體系結(jié)構(gòu)，實(shí)施多層隔離和保護(hù)，以防止某薄弱環(huán)節(jié)影響整體安全

1、整體防御、分區(qū)隔離第25頁/共40頁

2、積極防護(hù)、內(nèi)外兼防重點(diǎn)做好操作人員使用的終端防護(hù)，把住攻擊發(fā)起的源頭關(guān)嚴(yán)格執(zhí)行強(qiáng)制訪問控制，有效防止非法操作第26頁/共40頁

3、自身防御，主動免疫避免網(wǎng)絡(luò)封堵的被動局面可信環(huán)境內(nèi)保護(hù)資源主動免疫，使非法攻擊者進(jìn)不去，進(jìn)去后拿不到，拿到后看不懂，想篡改也改不了，想賴也賴不掉第27頁/共40頁

4、縱深防御、技管并重加強(qiáng)技術(shù)平臺支持下的安全策略管理，實(shí)現(xiàn)管理人性化和與業(yè)務(wù)流程有關(guān)的管理對系統(tǒng)資源、人員授權(quán)、審計追蹤進(jìn)行全面管理。實(shí)現(xiàn)人、技術(shù)、管理的縱深防御。具有預(yù)警、應(yīng)急處理能力第28頁/共40頁

做好新型計算環(huán)境下信息安全等級保護(hù)工作四第29頁/共40頁云計算、物聯(lián)網(wǎng)、工業(yè)控制、移動互聯(lián)網(wǎng)、大數(shù)據(jù)等，都是通過網(wǎng)絡(luò)以服務(wù)的方式提供給用戶的計算模式，組成了新的計算環(huán)境和信息系統(tǒng)，都可以用等級保護(hù)制度進(jìn)行安全防護(hù)體系建設(shè)第30頁/共40頁以云計算為例：構(gòu)建等級保護(hù)技術(shù)框架信息系統(tǒng)云化是指其信息處理流程在云計算中心完成。因此云計算中心負(fù)有安全保障責(zé)任，也有信息系統(tǒng)用戶的行為安全責(zé)任（賓館模式）云計算中心可以同時運(yùn)行多個不同安全級別的信息系統(tǒng)。云計算中心安全級別不低于承運(yùn)最高等級信息系統(tǒng)的級別第31頁/共40頁云中心一般由用戶網(wǎng)絡(luò)接入、訪問應(yīng)用邊界、計算環(huán)境和管理平臺組成（如下圖所示），可形成虛擬應(yīng)用、虛擬計算節(jié)點(diǎn)以及虛擬（邏輯）計算環(huán)境，由此構(gòu)建可信計算安全主體結(jié)構(gòu)可信計算是指：計算處理結(jié)果與預(yù)期的相一致，中間過程可控制管理、可度量驗(yàn)證，實(shí)現(xiàn)主動免疫計算第32頁/共40頁服務(wù)管理員平臺層軟件應(yīng)用層用戶終端運(yùn)維管理用戶終端應(yīng)用多用戶應(yīng)用虛擬化中間層服務(wù)數(shù)據(jù)庫服務(wù)基礎(chǔ)架構(gòu)層虛擬化服務(wù)服務(wù)器網(wǎng)絡(luò)存儲物理資源業(yè)務(wù)管理安全管理訪問接口WEBWEB服務(wù)通信網(wǎng)絡(luò)用戶接入邊界計算環(huán)境管理平臺云中心組成架構(gòu)

SaaSPaaSIaaS第33頁/共40頁可信云計算體系安全架構(gòu)可信接入邊界用戶終端可信通信網(wǎng)絡(luò)可信計算設(shè)備應(yīng)用服務(wù)資源平臺虛擬層計算單元系統(tǒng)安全審計安全管理中心可信計算環(huán)境計算節(jié)點(diǎn)在安全管理中心支撐下的可信計算環(huán)境可信邊界可信通信網(wǎng)絡(luò)

三重防護(hù)架構(gòu)第34頁/共40頁35可信云計算環(huán)境可信鏈傳遞可信接入平臺用戶服務(wù)請求服務(wù)提供計算環(huán)境應(yīng)用服務(wù)計算平臺虛擬化基礎(chǔ)設(shè)施（可信根）計算節(jié)點(diǎn)控制流程可信可信鏈傳遞從基礎(chǔ)設(shè)施可信根出發(fā)度量基礎(chǔ)設(shè)施、計算平臺驗(yàn)證虛擬計算資源可信支持應(yīng)用服務(wù)的可信確保計算環(huán)境可信由用戶確定主體/客體關(guān)系，制定訪問控制策略，確?？刂屏鞒炭尚诺?5頁/共40頁36可信云計算應(yīng)用邊界可信鏈傳遞可信接入平臺用戶服務(wù)請求服務(wù)提供計算環(huán)境應(yīng)用服務(wù)計算平臺虛擬化基礎(chǔ)設(shè)施（可信根）計算節(jié)點(diǎn)控制流程可信可信接入驗(yàn)證用戶請求和連接的計算資源可信第36頁/共40頁可信云計算通信網(wǎng)絡(luò)可信接入邊界用戶終端可信通信網(wǎng)絡(luò)可信計算設(shè)備系統(tǒng)安全審計安全管理中心可信計算環(huán)境應(yīng)用服務(wù)資源平臺虛擬層計算單元計算節(jié)點(diǎn)保證用戶與云中心通信安全可信第37頁/