14 三級等保整體設計方案、網絡安全等級保護方案

XX交警隊2 1 2 4 5 5 6 8 12 12 12 14 15 17 17 17 18 18 193 19 19 21 28 30 33 37 39 39 41 439.2.1選型建議 439.2.2選型要求 43等級保護（三級）方案深信服科技1能滿足XX交警隊目前的網絡安全需求，嚴重制約了XX交警隊的信息化腳步。事故明顯減少，有效保障信息化健康發(fā)展。等級保護（三級）方案深信服科技2據安全五個方面進行建設；而管理部分根據《信息系統(tǒng)安全等級保護管理五個方面。“構建安全管理機構，制定完善的安全管理制度及安全策略，由相關人員，利用技術工手段及相關工具，進行系統(tǒng)建設和運行維護?！边M行：1.系統(tǒng)識別與定級：確定保護對象，通過分析系統(tǒng)所屬類型、所屬信息類別、服務范圍以及業(yè)務對系統(tǒng)的依賴程度確定系統(tǒng)的等級。通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務流程和功能模塊，以及確定系統(tǒng)的等級，為下一步安全域設計、安全保障體系框架設計、安全要求選擇以及安全措施選擇提供依據。2.安全域設計：根據第一步的結果，通過分析系統(tǒng)業(yè)務流程、功能模塊，根據安全域劃分原則設計系統(tǒng)安全域架構。通過安全域設計將系統(tǒng)分解為多個層次，為下一步安全保障體系框架設計提供基礎框架。3.確定安全域安全要求：參照國家相關等級保護安全要求，設計不同安全明確各安全域所需采用的安全指標。4.評估現狀：根據各等級的安全要求確定各等級的評估內容，根據國家相關風險評估方法，對系統(tǒng)各層次安全域進行有針對性的等級風險評估。并找出系統(tǒng)安全現狀與等級要求的差距，形成完整準確的按需防御的安全需求。通過等級風險評估，可以明確各層次安全域相應等級的安全差距，為下一步安全技術解決方案設計和安全管理建設提供依據。等級保護（三級）方案深信服科技35.安全保障體系方案設計：根據安全域框架，設計系統(tǒng)各個層次的安全保障體系框架以及具體方案。包括：各層次的安全保障體系框架形成系統(tǒng)整體的安全保障體系框架；詳細安全技術設計、安全管理設計。6.安全建設：根據方案設計內容逐步進行安全建設，滿足方案設計做要符合的安全需求，滿足等級保護相應等級的基本要求，實現按需防御。7.持續(xù)安全運維：通過安全預警、安全監(jiān)控、安全加固、安全審計、應急響應等，從事前、事中、事后三個方面進行安全運行維護，確保系統(tǒng)的持續(xù)安全，滿足持續(xù)性按需防御的安全需求。境的變化達到持續(xù)的安全。4信息安全技術信息安全技術信息安全技術信息安全技術等。等級保護（三級）方案深信服科技54信息系統(tǒng)定級備案確定信息系統(tǒng)安全保護等級的一般流程如下：行業(yè)所處的地位和所用，由此判斷單位主要信息系統(tǒng)的宏觀定位。應重點了解定級對象信息系統(tǒng)中不同業(yè)務系統(tǒng)提供的服務在影響履行定級結果的重要依據。本單位造成的影響，對影響程度的描述應盡可能量化。l調查了解與定級對象信息系統(tǒng)相關的服務器、網絡、終置和作用主要就是發(fā)現不同信息系統(tǒng)在設備使用方面的共用程度。等級保護（三級）方案深信服科技6斷或系統(tǒng)信息被破壞可能影響的范圍和程度。公民、法人和其他組織的合法權益根據上述定級流程，XX交警隊各主要系統(tǒng)定級結果為：3級根據上述定級流程，XX交警隊各主要系統(tǒng)定級結果為：保護等級33等級保護（三級）方案深信服科技7級備案表和定級報告，協助用戶單位向所在地區(qū)的公安機關辦理備案手續(xù)。備案材料及電子數據文件。定級工作的結果是以備案完成為標志。核確定。等級保護（三級）方案深信服科技8保單位信息暢通的基礎上，有效阻止非法訪問和攻擊對系統(tǒng)的破壞。安全角度出發(fā)，需要重點關注如下幾個方面的安全建設：u終端感染木馬、病毒蟲對終端的危害可能導致終端系統(tǒng)癱瘓、終端被控制、終端存儲的信息被竊取、擊危害到終端具有權限訪問的各類服務器。u終端系統(tǒng)漏洞跳板，或者終端成為僵尸網絡的一部分，隨時有可能發(fā)起針對內網的攻擊。等級保護（三級）方案深信服科技9網絡內部竊取所需的信息、產生特定的破壞?；ヂ摼W出口往往是APT攻擊切入信息被竊取、系統(tǒng)被控制所有行為都暴露在黑客的視野里。u系統(tǒng)漏洞風險問題黑客利用服務器操作系統(tǒng)漏洞、應用軟件漏洞通過緩沖區(qū)溢出、惡意蠕蟲、等級保護（三級）方案深信服科技擊的問題。u應用層攻擊問題根據Gartner的統(tǒng)計報告顯示，信息安全攻擊有75%都是發(fā)生在Web應用層，針對web的攻擊往往隱藏在大量的正常業(yè)務訪問的行為中，傳統(tǒng)的安全設備在應用層攻擊防護上存在嚴重不足。u敏感信息泄漏問題這類安全問題主要利用web攻擊、系統(tǒng)漏洞攻擊等攻擊手段操作后臺數據方式等敏感信息被攻擊者獲取，從而產生巨大的經濟損失。u帶寬效率風險率風險問題。u工作效率風險財力損失，從而導致競爭力的下降。u法律風險來越大，公安部82號令明文規(guī)定，凡是接入互聯網的單位都必須具備審計的功等級保護（三級）方案深信服科技獨等不負責任的言論，在QQ、MSN等聊天過程中傳播不雅信息，都屬于網絡的違規(guī)違法行為，一旦被公安部門查處，單位會因此而遭受法律的制裁。u安全快速的移動接入訪問單位內部網絡進行日常操作，并確保數據的安全。因此必須在選擇方法時，絡時全面的安全保障。u業(yè)務穩(wěn)定性需求是目前XX交警隊網絡改造的重要目標。等級保護（三級）方案深信服科技6安全風險與差距分析物理安全風險主要是指網絡周邊的環(huán)境和物理特性引起的網絡設備和線路絡的可用性，進而提高整個網絡的抗破壞力。例如：行的前提是將物理層安全風險降到最低或是盡量考慮在非正常情況下物理層出現風險問題時的應對方案。性與保密性、備份與恢復、資源合理控制、剩余信息保護、抗抵賴等方面。身份鑒別包括主機和應用兩個方面。用戶名/口令的復雜度，且防止被網絡竊聽；同時應考慮失敗處理機制。訪問控制包括主機和應用兩個方面。非法操作。系統(tǒng)審計包括主機審計和應用審計兩個方面。問控制聯系緊密，為相關事件提供審計記錄。系統(tǒng)的安裝，使用、維護等提出了需求，防范針對系統(tǒng)的入侵行為。軟件容錯的主要目的是提供足夠的冗余信息和算法程序,使系統(tǒng)在實際運行等級保護（三級）方案深信服科技算機系統(tǒng)的正常運行。終無不是為了業(yè)務數據的安全。因此數據的備份十分重要，是必須考慮的問題。數據是信息資產的直接體現。所有的措施最終無不是為了業(yè)務數據的安全。事件的必要措施。資源合理控制包括主機和應用兩個方面?？捎觅Y源閾值設置等資源控制策略。以及邊界安全審計等方面。信息進行控制，阻止非授權及越權訪問。等級保護（三級）方案深信服科技統(tǒng)的安全防護，保護核心信息資產的免受攻擊危害。統(tǒng)。并可通過安全管理中心集中管理。通信網絡的安全主要包括：網絡結構安全、網絡安全審計、網絡設備防護、通信完整性與保密性等方面。圖的少部分用戶，以利于規(guī)范正常的網絡應用行為。等級保護（三級）方案深信服科技常運行的風險因素。受篡改攻擊的情況下，應提供有效的察覺與發(fā)現機制，實現通信的完整性。取，應采用加密措施保證數據的機密性。護好已經建立起來的安全環(huán)境。等級保護（三級）方案深信服科技7技術體系方案設計保護敏感資源的能力。使得XX交警隊公共服務平臺業(yè)務系統(tǒng)等級保護建設方案最終既可以滿足等級證信息系統(tǒng)整體的安全保護能力。體如下圖所示：等級保護（三級）方案深信服科技設計，內容涵蓋基本要求的5個方面。息安全等級保護的首要步驟。的劃分應主要考慮如下方面因素：l安全要求相似性：可用性、保密性和完整性的要求，如有保密性要求的資產單獨劃區(qū)域。l資產價值相近性：重要與非重要資產分離，如核心生產等級保護（三級）方案深信服科技分離。個：l互聯網接入域：互聯網接入域主要為內網用戶部分和業(yè)務應用部互聯網接入訪問支撐。l對外發(fā)布服務域：業(yè)務人員提供業(yè)務系統(tǒng)的訪問。機房與配套設備安全策略的目的是保護網絡中計算機網絡通信有一個良好的發(fā)生。避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。機房出入口安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員須經過申請和審批流程，并限制和監(jiān)控其活動范圍。等級保護（三級）方案深信服科技前設置交付或安裝等過渡區(qū)域；重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。房應安裝防靜電活動地板。設備和磁介質實施電磁屏蔽。為了防止無關人員和不法分子非法接近網絡并使用網絡中的主機盜取信息、盜報警系統(tǒng)；對機房設置監(jiān)控報警系統(tǒng)。等級保護（三級）方案深信服科技身份鑒別可分為主機身份鑒別和應用身份鑒別兩個方面：主機身份鑒別：系列的加固措施，包括：l對登錄操作系統(tǒng)和數據庫系統(tǒng)的用戶進行身份標識和鑒別，且保證用戶名的唯一性。l啟用登陸失敗處理功能，登陸失敗后采取結束會話、限制非法登錄次數和自動退出等措施。別應用身份鑒別：為提高應用系統(tǒng)系統(tǒng)安全性應用系統(tǒng)需要進行一系列的加固措施，包括：對登錄用戶進行身份標識和鑒別，且保證用戶名的唯一性。根據基本要求配置用戶名/口令，必須具備一定的復雜度；口令必須具備采動退出等措施。發(fā)，且使用效果要達到以上要求。等級保護（三級）方案深信服科技份鑒別。寫、修改和刪除等。強制訪問控制實現：在對安全管理員進行嚴格的身份鑒別和權限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記；訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數據庫表級。使用。采用的措施主要包括：為文件或數據庫表級。權限控制：對于制定的訪問控制規(guī)則要能清楚的覆蓋資源訪問相關的主體、授權，避免授權范圍過大，并在它們之間形成相互制約的關系。及時刪除多余的、過期的帳戶，避免共享帳戶的存在。安全增強改造，且使用效果要達到以上要求。系統(tǒng)審計包含主機審計和應用審計兩個層面：主機審計：主機監(jiān)控、審計和系統(tǒng)管理等功能。監(jiān)控、非法外聯監(jiān)控、計算機用戶賬號監(jiān)控等。審計功能包括文件操作審計、外掛設備操作審計、非法外聯審計、IP地址等。同時，根據記錄的數據進行統(tǒng)計分析，生成詳細的審計報表，系統(tǒng)管理功能包括系統(tǒng)用戶管理、主機監(jiān)控代理狀態(tài)監(jiān)控、安全策略管理、表等。應用審計：應用層安全審計是對業(yè)務應用系統(tǒng)行為的審計，需要與應用系統(tǒng)緊密結合，此審計功能應與應用系統(tǒng)統(tǒng)一開發(fā)。能夠對記錄數據進行統(tǒng)計、查詢、分析及生成審計報表。到每個用戶，從而把握數據庫系統(tǒng)的整體安全。等級保護（三級）方案深信服科技發(fā)，且使用效果要達到以上要求。針對入侵防范主要體現在主機及網絡兩個層面。針對主機的入侵防范，可以從多個角度進行處理：l操作系統(tǒng)的安裝遵循最小安裝的原則，僅安裝需要的組件和應用程序，關閉多余服務等；下降，并且占用整個網絡帶寬。及時升級惡意代碼軟件版本以及惡意代碼庫。等級保護（三級）方案深信服科技管理提供必要的信息。軟件容錯的主要目的是提供足夠的冗余信息和算法程序,使系統(tǒng)在實際運行時能夠及時發(fā)現程序設計錯誤,采取補救措施,以提高軟件可靠性,保證整個計算據格式或長度符合系統(tǒng)設定要求；具備自保護功能，在故障發(fā)生時，應用系統(tǒng)應能夠自動保存當前所有狀態(tài)，確保系統(tǒng)能夠進行恢復。校驗提出了一定的需求。的數據保密，應用系統(tǒng)采用密碼技術進行數據加密實現鑒別信息的存儲保密性。IPSecVPN適用于組建site-to-site形態(tài)的虛擬專有網絡，IPSEC協議提供的安全服務包括：等級保護（三級）方案深信服科技完整性——IPSec在目的地要驗證數據包，以保證該數據包有被修改或替換。完整性校驗是IPSECV真實性——IPSec端要驗證所有受IPSec保護的數據包。防重放——IPSec防止了數據包被捕捉并重新投放老的或重復的數據包，它通過報文的序列號實現。用于不同的應用場景，可配合使用。它是網景（Netscape）公司提出的基于WEB應用的安全協議。SSL協議指定了提供數據安全性分層的機制，它為TCP/IP連接提供數據加密、服務器認證、消息完整性以及可選的客戶機認證。性上二者無明顯差別。SSLVPN使用SSL/HTTPS技術作為安全傳輸機制。這種機制在所有的標部資源之間的連接通過應用層的Web連接實現，而不是像IPSecVPN在網絡層產品部署方面，SSLVPN只需單臂旁路方式接入。單臂旁路接入不改變原有網絡結構和網路配置，不增加故障點，部署簡單靈活，同時提供完整的SSL相應策略進行相關業(yè)務系統(tǒng)的訪問。關鍵網絡設備、線路以及服務器等硬件設備的冗余。必然的趨勢。整個系統(tǒng),并提供增強的功能，其中包括聯機備份應用系統(tǒng)和數據文件，先進的支持等。本地完全數據備份至少每天一次，且備份介質需要場外存放。用場地。計，保障從網絡結構、硬件配置上滿足不間斷系統(tǒng)運行的需要。等級保護（三級）方案深信服科技降低服務器負載——TCP連接復用、HTTP緩存、SSL卸載。提升用戶訪問速度——TCP單邊加速、HTTP緩存、壓縮。（入站）解決外部用戶跨運營訪問造成的訪問速度慢減少帶寬投資成本——多種鏈路負載算法、智能路由、DNS全局負載均衡：實現多數據中心入站流量選路、精確為用戶選擇最佳（就近）站點。邊界訪問控制入侵防范與應用層防攻擊防范，因此該產品具有一下功能：為。識別網絡中發(fā)生的入侵行為并實時報警并且進行有效攔截防護。等級保護（三級）方案深信服科技用進行管理。可辨識多種類別如IM/VoIP/P2P/件，進而根據多種條件如IP群組、VLANID等范圍條件制用，通過技術手段規(guī)范上網行為，防止帶寬濫用，阻止內網泄密。構保證性能，能夠靈活的進行網絡部署。同時為使得達到最佳防護效果。另外，防護產品共同組成用戶的立體病毒防護體系。邊界完整性檢查核心是要對內部網絡中出現的內部用戶未通過準許私自聯可以實現這一目標。網絡資源，并防止由于訪問非信任網絡資源而引入安全風險或者導致信息泄密。聯行為，可以記錄日志并產生報警信息。流經各主要邊界（重要服務器區(qū)域、外部連接邊界）需要設置必要的審計機制，成完整的、多層次的審計系統(tǒng)。更好的滿足業(yè)務高峰期的需求。服務的重要次序來分配帶寬，優(yōu)先保障重要主機。重要網段不能直接與外部系統(tǒng)連接，需要和其他網段隔離，單獨劃分區(qū)域。等級保護（三級）方案深信服科技事件和內部事件。管理提供監(jiān)控數據用于分析及檢測。網絡行為監(jiān)控和審計系統(tǒng)將獨立的網絡傳感器硬件組件連接到網絡中的數表。網絡行為監(jiān)控和審計系統(tǒng)采用旁路技術，不用在目標主機中安裝任何組件。測。需要進行一系列的加固措施，包括：l身份鑒別信息具有不易被冒用的特點，口令l具有登錄失敗處理功能，失敗后采取結束會話、限制非法登錄次l啟用SSH等管理方式，加密管理數l對于鑒別手段，三級要求采用兩種或兩種以上組合的鑒別技術，因此需采用USBkey+密碼進行身份鑒別，保證對網絡設備進行管理維護的合法性。信息的完整性設計包括信息傳輸的完整性校驗以及信息存儲的完整性校驗。別碼、密碼校驗函數、散列函數、數字簽名等。對于信息傳輸的完整性校驗應由傳輸加密系統(tǒng)完成。部署VPN系統(tǒng)保證遠統(tǒng)完成。加密。對于信息傳輸的通信保密性應由傳輸加密系統(tǒng)完成。部署VPN系統(tǒng)保證遠程數據傳輸的數據機密性。理系統(tǒng)可以實現這一目標。方式包括ARP干擾、802.1x協議聯動等。入主機的合法性，及時阻止IP地址的篡改和盜用行為。共同保證XX交警隊網等級保護（三級）方案深信服科技絡的邊界完整性。具體如下：機是否是經過系統(tǒng)授權認證的信任主機。許通過授權認證的主機使用網絡資源。非法主機不對網絡產生影響，無法有意或無意的對網絡攻擊或者試圖竊密。主機通信的權限。并在用戶試圖更改IP和MAC地址時，產生相應的等級保護（三級）方案深信服科技障能力。的管理包括：l用戶身份管理：統(tǒng)一管理系統(tǒng)用戶身份，按照業(yè)務上分工的不同管理員、審計管理員等。況等，通過配置采樣時間，定時檢測。l系統(tǒng)加載和啟動：進行系統(tǒng)啟動初始化管理，保障系統(tǒng)動。l數據備份與恢復：數據的定期備份與恢復管理，識別需要定期備份的重度、存儲介質、保存期等；根據數據的重要性及其對系統(tǒng)運行的影響，制定數據的備份策略和恢復策略，定期執(zhí)行備份與恢復策略。l惡意代碼防范管理：建立惡意代碼管理中心，進行防惡意代碼軟報警等。l系統(tǒng)補丁管理：集中進行補丁管理，定期統(tǒng)一進行系統(tǒng)等級保護（三級）方案深信服科技統(tǒng)補丁程序的安裝。l系統(tǒng)管理員身份認證與審計：對系統(tǒng)管理員進行嚴格的審計。通過安全審計員對分布在系統(tǒng)各個組成部分的安全審計機制進行集中管理，行嚴格的身份鑒別，并只允許其通過特定的命令或界面進行安全審計操作。具體集中審計內容包括：視支持以圖形化方式實時監(jiān)控日志流量、系統(tǒng)風險等變化趨勢。它的日志接口采集管理對象的日志信息，轉換為統(tǒng)一的日志格式，再統(tǒng)一管理、管理中心的日志數據可以發(fā)送到上級管理中心進定制的報表，全面反映網絡安全總體狀況，重點突出，簡單易懂。全設備管理信息統(tǒng)計分析；支持基于多種條件的統(tǒng)計分析，包括：對訪問流量、分析圖表。戶可以通過IE瀏覽器訪問，導出審計結果。可設定定時生成日志統(tǒng)計報表，并處理。安全通信網絡進行統(tǒng)一的監(jiān)控與告警。對全網的安全設備、安全事件、安全策略、安全運維進行統(tǒng)一集中的監(jiān)控、整個網絡的全局監(jiān)控。觀清晰的顯示設備關鍵屬性和運行狀態(tài)。析、安全威脅的協同響應。通過部署集中安全管理平臺，提高安全管理的效率，保障網絡的安全運行等級保護（三級）方案