等級保護(hù)三級建設(shè)方案

等級保護(hù)三級建設(shè)方案

XX

等級保護(hù)三級

建設(shè)方案

1概述

1.1等級保護(hù)工作背景

2003年9月中辦國辦頒發(fā)《關(guān)于加強(qiáng)信息安全保障工作的意見》

中辦發(fā)[2003]27號中指出：“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國

家安全、經(jīng)濟(jì)命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立

信息安全等級保護(hù)制度，制定信息安全等級保護(hù)的管理辦法和技

術(shù)指南”。2004年11月四部委會簽《關(guān)于信息安全等級保護(hù)工

作的實(shí)施意見》公通字[2004]66號強(qiáng)調(diào)信息安全等級保護(hù)制度是

國家在國民經(jīng)濟(jì)和社會信息化的發(fā)展過程中，提高信息安全保障

能力和水平，維護(hù)國家安全、社會穩(wěn)定和公共利益，保障和促進(jìn)

信息化建設(shè)健康發(fā)展的一項(xiàng)基本制度。2007年7月四部委會簽

《關(guān)于印發(fā)《信息安全等級保護(hù)管理辦法的通知》公通[2007]43

號。2016年11月十二屆全國人大第二H^一次三次審議表決通過

了網(wǎng)絡(luò)安全法，這部我國網(wǎng)絡(luò)領(lǐng)域的基礎(chǔ)性法律將干2017年6

月1日正式實(shí)施。網(wǎng)絡(luò)安全法第二十一條明確國家實(shí)行網(wǎng)絡(luò)安全

等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要

求，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)

據(jù)泄露或者被竊取、篡改。

XXX經(jīng)過多年的信息化推進(jìn)建設(shè)，信息化應(yīng)用水平正不斷提高,

信息化建設(shè)成效顯著。為促進(jìn)XXX信息安全發(fā)展，響應(yīng)國家和上

級要求，進(jìn)一步落實(shí)等級保護(hù)，夯實(shí)等級保護(hù)作為國家信息安全

國策的成果，XXX計(jì)劃參照《計(jì)算機(jī)信息系統(tǒng)安全等級保護(hù)劃分

準(zhǔn)則》(GB/T17859-1999)和《信息安全技術(shù)信息系統(tǒng)安全等

級保護(hù)定級指南》(GB/T22240-2008)要求將XXX系統(tǒng)和XXX

系統(tǒng)擬定為三級，按照《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基

本要求》(GB/T22239.2008)完成兩個(gè)系統(tǒng)三級等保建設(shè)。同時(shí)

為提高全網(wǎng)安全防護(hù)能力，XXX計(jì)劃整網(wǎng)參照等保標(biāo)準(zhǔn)建設(shè)。

1.2等級保護(hù)工作流程

圖1等級保護(hù)工作流程

1.3安全等級劃分

根據(jù)《關(guān)于印發(fā)信息安全等級保護(hù)管理辦法的通知》（公通字

[200刀43號）：國家信息安全等級保護(hù)堅(jiān)持自主定級、自主保護(hù)

的原則。信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、

經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家

安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)

益的危害程度等因素確定。信息系統(tǒng)的安全保護(hù)等級分為以下五

級：

信息系統(tǒng)安全保護(hù)等級

1.3.1定級流程

確定信息系統(tǒng)安全保護(hù)等級的一般流程如下：

I確定作為定級對象的信息系統(tǒng)；

I確定業(yè)務(wù)信息安全受到破壞時(shí)所侵害的客體;

I根據(jù)不同的受侵害客體，從多個(gè)方面綜合評定業(yè)務(wù)信息安全被

破壞對客體的侵害程度；

I根據(jù)業(yè)務(wù)信息安全等級矩陣表得到.業(yè)務(wù)信息安全等級;

I確定系統(tǒng)服務(wù)安全受到破壞時(shí)所侵害的客體；

I根據(jù)不同的受侵害客體，從多個(gè)方面綜合評定系統(tǒng)服務(wù)安全被

破壞對客體的侵害程度；

I根據(jù)系統(tǒng)服務(wù)安全等級矩陣表得到系統(tǒng)服務(wù)安全等級；

I由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級的較高者確定定級

對象的安全保護(hù)等級。

上述步驟如下圖流程所示：

業(yè)務(wù)信息安全等級矩陣表

系統(tǒng)服務(wù)安全等級矩陣表

1.3.2定級結(jié)果

根據(jù)上述定級流程，各主要系統(tǒng)定級結(jié)果為:

一、XXX系統(tǒng)

業(yè)務(wù)信息安全保護(hù)等級：

系統(tǒng)服務(wù)安全保護(hù)等級：

因此XXX系統(tǒng)定級結(jié)果為S3A3G3o

二、XXX系統(tǒng)

業(yè)務(wù)信息安全保護(hù)等級：

系統(tǒng)服務(wù)安全保護(hù)等級：

因此XXX系統(tǒng)定級結(jié)果為S3A3G3。

2需求分析

2.1安全現(xiàn)狀

XXX系統(tǒng)和XXX系統(tǒng)的基本情況，按照物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、

數(shù)據(jù)、管理六個(gè)層面進(jìn)行，可根據(jù)實(shí)際情況進(jìn)行修改；同時(shí)根據(jù)

安全域劃分的結(jié)果，在分析過程中將不同的安全域所面臨的風(fēng)險(xiǎn)

與需求予以對應(yīng)說明。

2.2整體網(wǎng)絡(luò)架構(gòu)

現(xiàn)網(wǎng)總體拓?fù)鋱D

2.3需求分析

2.3.1安全技術(shù)需求分析

2.3.1.1安全計(jì)算環(huán)境需求分析

計(jì)算環(huán)境的安全主要是物理、主機(jī)以及應(yīng)用層面的安全風(fēng)險(xiǎn)與需

求分析，包括：物理機(jī)房安全、身份鑒別、訪問控制、系統(tǒng)審計(jì)、

入侵防范、惡意代碼防范、軟件容錯(cuò)、數(shù)據(jù)完整性與保密性、備

份與恢復(fù)、資源合理控制、剩余信息保護(hù)、抗抵賴等方面。

根據(jù)XXX自評估結(jié)果，現(xiàn)網(wǎng)如要達(dá)到等級保護(hù)三級關(guān)于安全計(jì)算

環(huán)境的要求，還需要改進(jìn)以下幾點(diǎn)：

物理機(jī)房安全：根據(jù)物理機(jī)房情況描述，看看是否需要整改。

數(shù)據(jù)庫審計(jì)：現(xiàn)網(wǎng)XXX系統(tǒng)和XXX系統(tǒng)都缺少針對數(shù)據(jù)的審計(jì)設(shè)

備，不能很好的滿足主機(jī)安全審計(jì)的要求，需要部署專業(yè)的數(shù)據(jù)

庫審計(jì)設(shè)備。

運(yùn)維堡壘機(jī)：現(xiàn)網(wǎng)XXX系統(tǒng)和XXX系統(tǒng)都未實(shí)現(xiàn)管理員對網(wǎng)絡(luò)設(shè)

備和服務(wù)器管理時(shí)的雙因素認(rèn)證，計(jì)劃通過部署堡壘機(jī)來實(shí)現(xiàn)。

主機(jī)審計(jì)：現(xiàn)網(wǎng)XXX系統(tǒng)和XXX系統(tǒng)主機(jī)自身安全策略配置不能

符合要求，計(jì)劃通過專業(yè)安全服務(wù)實(shí)現(xiàn)服務(wù)器整改加固。

主機(jī)病毒防護(hù)：現(xiàn)網(wǎng)XXX系統(tǒng)和XXX系統(tǒng)缺少主機(jī)防病毒的相關(guān)

安全策略，需要配置主機(jī)防病毒系統(tǒng)。

備份與恢復(fù)：現(xiàn)網(wǎng)沒有完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定相

關(guān)策略。同時(shí)現(xiàn)網(wǎng)沒有實(shí)現(xiàn)對關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，本期計(jì)劃部

署雙鏈路確保設(shè)備冗余。

另外還需要對用戶名/口令的復(fù)雜度，訪問控制策略，操作系統(tǒng)、

WEB和數(shù)據(jù)庫存在的各種安全漏洞，主機(jī)登陸條件限制、超時(shí)鎖

定、用戶可用資源閾值設(shè)置等資源控制策略的合理性和存在的問

題進(jìn)行一一排查解決。

2.3.1.2安全區(qū)域邊界需求分析

區(qū)域邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊

界入侵防范以及邊界安全審計(jì)等方面。

根據(jù)XXX自評估結(jié)果，現(xiàn)網(wǎng)如要達(dá)到等級保護(hù)三級關(guān)于安全區(qū)域

邊界的要求，還需要改進(jìn)以下幾點(diǎn)：

邊界訪問控制：需要優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，根據(jù)XXX業(yè)務(wù)情況合理劃分

安全域，合理劃分網(wǎng)段和VLAN；對于重要的信息系統(tǒng)的網(wǎng)絡(luò)設(shè)

施采取冗余措施；訪問控制需要在構(gòu)建安全計(jì)算環(huán)境的基礎(chǔ)上,

依托防火墻等安全設(shè)備進(jìn)行訪問控制?，F(xiàn)網(wǎng)需要在邊界部署下一

代防火墻實(shí)現(xiàn)邊界訪問控制，在各個(gè)重點(diǎn)安全域部署下一代防火

墻來實(shí)現(xiàn)各安全域的重點(diǎn)隔離防護(hù)。

邊界入侵防范：現(xiàn)網(wǎng)沒有實(shí)現(xiàn)邊界攻擊防護(hù)，需要新增入侵防御

系統(tǒng)/或新增下一代防火墻IPS功能模塊。

惡意代碼防范：主機(jī)惡意代碼防護(hù)通過部署終端病毒查殺軟件實(shí)

現(xiàn)，網(wǎng)絡(luò)邊界惡意代碼防護(hù)需要部署卜一代防火墻，開啟AV防

病毒功能，并且要求網(wǎng)絡(luò)層與主機(jī)的惡意代碼庫不同。

防web應(yīng)用層攻擊：現(xiàn)網(wǎng)目前未做應(yīng)用層攻擊防護(hù)，計(jì)劃新增

WEB應(yīng)用防火墻和網(wǎng)頁防篡改系統(tǒng)。

互聯(lián)網(wǎng)出口安全審計(jì)：現(xiàn)網(wǎng)未實(shí)現(xiàn)對網(wǎng)絡(luò)行為進(jìn)行精細(xì)化識別和

控制，需要部署上網(wǎng)行為管理產(chǎn)品來保障網(wǎng)絡(luò)關(guān)鍵應(yīng)用和服務(wù)的

帶寬，對網(wǎng)絡(luò)流量、用戶上網(wǎng)行為進(jìn)行深入分析與全面的審計(jì)。

邊界完整性保護(hù)：邊界沒有實(shí)現(xiàn)非法外軼，需要部署終端安全管

理設(shè)備。

安全通信網(wǎng)絡(luò)需求分析

通信網(wǎng)絡(luò)的安全主要包括：網(wǎng)絡(luò)結(jié)構(gòu)安全、網(wǎng)絡(luò)安全審計(jì)、網(wǎng)絡(luò)

設(shè)備防護(hù)、通信完整性與保密性等方面。

根據(jù)XXX自評估結(jié)果，現(xiàn)網(wǎng)如要達(dá)到等級保護(hù)三級關(guān)于安全通信

網(wǎng)絡(luò)的要求，還需要改進(jìn)以下兒點(diǎn)：

網(wǎng)絡(luò)結(jié)構(gòu)：網(wǎng)絡(luò)結(jié)構(gòu)是否合理直接影響著是否能夠有效的承載業(yè)

務(wù)需要。因此網(wǎng)絡(luò)結(jié)構(gòu)需要具備一定的冗余性；帶寬能夠滿足業(yè)

務(wù)高峰時(shí)期數(shù)據(jù)交換需求；并合理的劃分網(wǎng)段和VLANo現(xiàn)網(wǎng)核

心交換需要實(shí)現(xiàn)雙機(jī)冗余部署，提高通信網(wǎng)絡(luò)高可用性。

通信完整性和保密性：由于網(wǎng)絡(luò)協(xié)議及文件格式均具有標(biāo)準(zhǔn)、開

發(fā)、公開的特征，因此數(shù)據(jù)在網(wǎng)上存儲和傳輸過程中，不僅僅面

臨信息丟失、信息重復(fù)或信息傳送的自身錯(cuò)誤，而且會遭遇信息

攻擊或欺詐行為，導(dǎo)致最終信息收發(fā)的差異性。因此，在信息傳

輸和存儲過程中，必須要確保信息內(nèi)容在發(fā)送、接收及保存的一

致性；并在信息遭受篡改攻擊的情況下，應(yīng)提供有效的察覺與發(fā)

現(xiàn)機(jī)制，實(shí)現(xiàn)通信的完整性。而數(shù)據(jù)在傳輸過程中，為能夠抵御

不良企圖者采取的各種攻擊，防止遭到竊取，應(yīng)采用加密措施保

證數(shù)據(jù)的機(jī)密性，因此現(xiàn)網(wǎng)需要部署VPN等安全設(shè)備。

網(wǎng)絡(luò)審計(jì)：如果有些管理用戶出現(xiàn)誤操作，將給信息系統(tǒng)帶來致

命的破壞。沒有相應(yīng)的審計(jì)記錄將給事后追溯帶來困難。有必要

進(jìn)行基于網(wǎng)絡(luò)行為的審計(jì)。同時(shí)可以震懾有惡意企圖的少部分用

戶，利于規(guī)范正常的網(wǎng)絡(luò)應(yīng)用行為。

2.3.1.4安全管理中心需求分析

“三分技術(shù)、七分管理”更加突出的是管理層面在安全體系中的

重要性。除了技術(shù)措施外，安全管理是保障安全技術(shù)手段發(fā)揮具

體作用的最有效手段，安全管理中心是實(shí)現(xiàn)安全管理的有力抓手。

根據(jù)XXX自評估結(jié)果，現(xiàn)網(wǎng)如要達(dá)到等級保護(hù)三級關(guān)于安全管理

中心的要求，還需要改進(jìn)以下幾點(diǎn)：

現(xiàn)網(wǎng)沒有一個(gè)能對整網(wǎng)安全事件、安全威脅進(jìn)行分析響應(yīng)處理的

平臺，本期需要新增統(tǒng)一安全監(jiān)控管理平臺對信息系統(tǒng)涉及的設(shè)

備使用情況和安全事件、系統(tǒng)健康程度等進(jìn)行識別，要能進(jìn)行統(tǒng)

一的監(jiān)控和展現(xiàn)。通過對安全事件的告警，可以發(fā)現(xiàn)潛在的攻擊

征兆和安全趨勢，確保任何安全事件、事故得到及時(shí)的響應(yīng)和處

理。

2.3.2安全管理需求分析

從等保思想出發(fā)，技術(shù)雖然重要，但人才是安全等級保護(hù)的重點(diǎn)，

因此除了技術(shù)措施，XXX還需要運(yùn)用現(xiàn)弋安全管理原理、方法和

手段，從技術(shù)上、組織上和管理上采取有力的措施，解決和消除

各種不安全因素，防止事故的發(fā)生。需要優(yōu)化安全管理組織，完

善安全管理制度，制定信息系統(tǒng)建設(shè)和安全運(yùn)維管理的相關(guān)管理

要求，規(guī)范人員安全管理。

3總體設(shè)計(jì)

3.1項(xiàng)目目標(biāo)

結(jié)合XXX的實(shí)際情況，按照《信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要

求》和《信息系統(tǒng)安全等級保護(hù)基本要求》等相關(guān)標(biāo)準(zhǔn)要求，以

“一個(gè)中心、三重防護(hù)”為核心指導(dǎo)思想，從安全計(jì)算環(huán)境、安

全區(qū)域邊界、安全通信網(wǎng)絡(luò)以及安全管理中心四個(gè)方面構(gòu)建安全

建設(shè)方案，以滿足等級保護(hù)三級系統(tǒng)的相關(guān)要求。

3.2項(xiàng)目依據(jù)

本項(xiàng)目方案編制依據(jù)和參考下列政策法規(guī)和標(biāo)準(zhǔn)規(guī)范。

3.2.1政策法規(guī)

n中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例（1994國務(wù)院

147號令）

n計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則（GB17859-1999）

n《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中

辦發(fā)［2003］27號）

n關(guān)于信息安全等級保護(hù)工作的實(shí)施意見（公通字［2004］66號）

n《信息安全等級保護(hù)管理辦法》公通字［2007］43號

n關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知（公

信安［200刀861號）

n《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中

辦發(fā)［2003］27號）

3.2.2標(biāo)準(zhǔn)規(guī)范

n《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB/T17859-1999）

n《信息安全技術(shù)—信息系統(tǒng)安全等級保護(hù)基本要求》

GBT22239-2008

n《信息安全技術(shù).信息系統(tǒng)安全等級保護(hù)定級指南》

GBT22240-2008

n《信息安全技術(shù)信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求》

n《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)實(shí)施指南》

n《信息安全技術(shù)信息安全等級保護(hù)整改規(guī)范》(GB/T20984-2007)

n《信息系統(tǒng)安全等級保護(hù)整改實(shí)施指南》

n《信息技術(shù)安全技術(shù)信息安全管理體系要求》(GB/T22080-2008)

n《信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則》(GB/T22081-2008)

n《信息技術(shù)安全技術(shù)信息技術(shù)安全管理指南》(ISO/IECTR13335)

n《信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準(zhǔn)則》

(GB/T18336-2001)

n《信息安全等級保護(hù)整改指南》

n《信息安全風(fēng)險(xiǎn)管理指南》

3.3安全區(qū)域劃分

XXX的安全建設(shè)核心內(nèi)容是將網(wǎng)絡(luò)進(jìn)行全方位的安全防護(hù)，不是

對整個(gè)系統(tǒng)進(jìn)行同一等級的保護(hù)，而是針對系統(tǒng)內(nèi)部的不同業(yè)務(wù)

區(qū)域進(jìn)行不同等級的保護(hù)。因此，安全域劃分是進(jìn)行信息安全等

級保護(hù)的首要步驟。需要通過合理的劃分網(wǎng)絡(luò)安全域，針對各自

的特點(diǎn)而采取不同的技術(shù)及管理手段。從而構(gòu)建一整套有針對性

的安防體系?而選擇這些措施的主要依據(jù)是按照等級保護(hù)相關(guān)的

要求。

安全域是具有相同或相似安全要求和策略的IT要素的集合，是

同一系統(tǒng)內(nèi)根據(jù)信息的性質(zhì)、使用主體、安全目標(biāo)和策略等元素

的不同來劃分的不同邏輯子網(wǎng)或網(wǎng)絡(luò)，每一個(gè)邏輯區(qū)域有相同的

安全保護(hù)需求，具有相同的安全訪問控制和邊界控制策略，區(qū)域

間具有相互信任關(guān)系，而且相同的網(wǎng)絡(luò)安全域共享同樣的安全策

略。

經(jīng)過梳理后的XXX信息系統(tǒng)安全區(qū)域劃分如下圖所示（下圖為例,

建議按實(shí)際情況調(diào)整）：

3.4方案設(shè)計(jì)框架

根據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》，分為技術(shù)和管理兩大

類要求，具體如卜圖所不：

本方案將嚴(yán)格根據(jù)技術(shù)與管理要求進(jìn)行設(shè)計(jì)。首先應(yīng)根據(jù)本級具

體的基本要求設(shè)計(jì)本級系統(tǒng)的保護(hù)環(huán)境模型，根據(jù)《信息系統(tǒng)等

級保護(hù)安全設(shè)計(jì)技術(shù)要求》，保護(hù)環(huán)境按照安全計(jì)算環(huán)境、安全

區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心進(jìn)行設(shè)計(jì)，內(nèi)容涵蓋基

本要求的5個(gè)方面。同時(shí)結(jié)合管理要求，形成如下圖所示的保護(hù)

環(huán)境模型：

4安全技術(shù)體系設(shè)計(jì)

4.1整體網(wǎng)絡(luò)架構(gòu)改造設(shè)計(jì)

這里放根據(jù)用戶網(wǎng)絡(luò)架構(gòu)改造后的拓?fù)鋱D。

4.1.1計(jì)算環(huán)境安全設(shè)計(jì)

物理安全

物理環(huán)境安全策略的目的是保護(hù)網(wǎng)絡(luò)中計(jì)算機(jī)網(wǎng)絡(luò)通信有一個(gè)

良好的電磁兼容工作環(huán)境，并防止非法用戶進(jìn)入計(jì)算機(jī)控制室和

各種偷竊、破壞活動的發(fā)生。

0機(jī)房選址

機(jī)房和辦公場地選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)O

機(jī)房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下

層或隔壁。

0機(jī)房管理

機(jī)房出入口安排專人值守，控制、鑒別和記錄進(jìn)入的人員；

需進(jìn)入機(jī)房的來訪人員須經(jīng)過申請和審批流程，并限制和監(jiān)控其

活動范圍。

對機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置,

在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；

重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。

0機(jī)房環(huán)境

合理規(guī)劃設(shè)備安裝位置，應(yīng)預(yù)留足夠的空間作安裝、維護(hù)及操作

之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關(guān)標(biāo)準(zhǔn)

規(guī)定。機(jī)房門大小應(yīng)滿足系統(tǒng)設(shè)備安裝時(shí)運(yùn)輸需要。機(jī)房墻壁及

天花板應(yīng)進(jìn)行表面處理，防止塵埃脫落，機(jī)房應(yīng)安裝防靜電活動

地板。

機(jī)房安裝防雷和接地線，設(shè)置防雷保安器，防止感應(yīng)雷，要求防

雷接地和機(jī)房接地分別安裝，且相隔一定的距離；機(jī)房設(shè)置火災(zāi)

自動消防系統(tǒng)，能夠自動檢測火情、自動報(bào)警，并自動滅火；機(jī)

房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；

機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。

配備空調(diào)系統(tǒng)，以保持房間恒濕、恒溫的工作環(huán)境；在機(jī)房供電

線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備；提供短期的備用電力供應(yīng),

滿足關(guān)鍵設(shè)備在斷電情況下的正常運(yùn)行要求。設(shè)置冗余或并行的

電力電纜線路為計(jì)算機(jī)系統(tǒng)供電；建立備用供電系統(tǒng)。鋪設(shè)線纜

要求電源線和通信線纜隔離鋪設(shè)，避免互相干擾。對關(guān)鍵設(shè)各和

磁介質(zhì)實(shí)施電磁屏蔽。

0設(shè)備與介質(zhì)管理

為了防止無關(guān)人員和不法分子非法接近網(wǎng)絡(luò)并使用網(wǎng)絡(luò)中的主

機(jī)盜取信息、破壞網(wǎng)絡(luò)和主機(jī)系統(tǒng)、破壞網(wǎng)絡(luò)中的數(shù)據(jù)的完整性

和可用性，必須采用有效的區(qū)域監(jiān)控、防盜報(bào)警系統(tǒng)，阻止非法

用戶的各種臨近攻擊。此外，必須制定嚴(yán)格的出入管理制度和環(huán)

境監(jiān)控制度，以保障區(qū)域監(jiān)控系統(tǒng)和環(huán)境監(jiān)控系統(tǒng)的有效運(yùn)行。

對介質(zhì)進(jìn)行分類標(biāo)識，存儲在介質(zhì)庫或檔案室中。利用光、電等

技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；對機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。

4.1.1.2主機(jī)和應(yīng)用安全加固

需要通過專業(yè)安全服務(wù)實(shí)現(xiàn)主機(jī)和應(yīng)用安全加固，加固內(nèi)容主要

有以下幾點(diǎn)：

一、身份鑒別可分為主機(jī)身份鑒別和應(yīng)用身份鑒別兩個(gè)方面：

主機(jī)身份鑒別：

為提高主機(jī)系統(tǒng)安全性，保障各種應(yīng)用的正常運(yùn)行，對主機(jī)系統(tǒng)

需要進(jìn)行一系列的加固措施，包括：

0對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別,且

保證用戶名的唯一性。

0根據(jù)基本要求配置用戶名/口令；口令必須具備采用3種以上

字符、長度不少于8位并定期更換；

0啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法

登錄次數(shù)和自動退出等措施。

0遠(yuǎn)程管理時(shí)應(yīng)啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被

網(wǎng)絡(luò)竊聽。

0對主機(jī)管理員登錄進(jìn)行雙因素認(rèn)證方式，采用USBkey+密碼進(jìn)

行身份鑒別。

應(yīng)用身份鑒別：

為提高應(yīng)用系統(tǒng)系統(tǒng)安全性應(yīng)用系統(tǒng)需要進(jìn)行一系列的加固措

施，包括：

0對登錄用戶進(jìn)行身份標(biāo)識和鑒別，且保證用戶名的唯一性。

0根據(jù)基本要求配置用戶名/口令，必須具備一定的復(fù)雜度；口

令必須具備采用3種以上字符、長度不少于8位并定期更換；

0啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會話、限制非法

登錄次數(shù)和自動退出等措施。

0應(yīng)用系統(tǒng)如具備上述功能則需要開啟使用，若不具備則需進(jìn)行

相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以上要求。

0對于三級系統(tǒng)，要求對用戶進(jìn)行兩種或兩種以上組合的鑒別技

術(shù)，因此可采用雙因素認(rèn)證（USBkey+密碼）或者構(gòu)建PKI體系，

采用CA證書的方式進(jìn)行身份鑒別。

二、系統(tǒng)審計(jì)包含主機(jī)審計(jì)和應(yīng)用審計(jì)兩個(gè)層面：

主機(jī)審計(jì)：

通過服務(wù)器安全加固，啟用服務(wù)器操作系統(tǒng)木身的審計(jì)功能，實(shí)

現(xiàn)對于主機(jī)層面的安全審計(jì)要求。

應(yīng)用審計(jì):

應(yīng)用層安全審計(jì)是對業(yè)務(wù)應(yīng)用系統(tǒng)行為的審計(jì)，需要與應(yīng)用系統(tǒng)

緊密結(jié)合，此審計(jì)功能應(yīng)與應(yīng)用系統(tǒng)統(tǒng)一開發(fā)。

應(yīng)用系統(tǒng)審計(jì)功能記錄系統(tǒng)重要安全事件的日期、時(shí)間、發(fā)起者

信息、類型、描述和結(jié)果等，并保護(hù)好審計(jì)結(jié)果，阻止非法刪除、

修改或覆蓋審計(jì)記錄。同時(shí)能夠?qū)τ涗洈?shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分

析及生成審計(jì)報(bào)表。

三、應(yīng)用資源監(jiān)控：

為保證現(xiàn)網(wǎng)應(yīng)用系統(tǒng)正常的為用戶提供服務(wù)，必須進(jìn)行資源控制,

否則會出現(xiàn)資源耗盡、服務(wù)質(zhì)量下降甚至服務(wù)中斷等后果。通過

對應(yīng)用系統(tǒng)進(jìn)行開發(fā)或配置來達(dá)到控制的目標(biāo)。應(yīng)用系統(tǒng)如具備

上述功能則需要通過XXX用戶或者安全服務(wù)工作開啟相關(guān)功能，

若不具備則需進(jìn)行相應(yīng)的功能開發(fā)，且使用效果要達(dá)到以下要求:

0會話自動結(jié)束：當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)

未作任何響應(yīng)，另一方應(yīng)能夠及時(shí)檢測并自動結(jié)束會話，釋放資

源；

0會話限制：對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制，對一

個(gè)時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制，同時(shí)對單個(gè)帳戶的

多重并發(fā)會話進(jìn)行限制，設(shè)定相關(guān)閾值，保證系統(tǒng)可用性。

0登陸條件限制：通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件

限制終端登錄。

0超時(shí)鎖定：根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定。

0用戶可用資源閾值邛艮制單個(gè)用戶對系統(tǒng)資源的最大或最小使

用限度，保障正常合理的資源占用。

0對重要服務(wù)器的資源進(jìn)行監(jiān)視，包括CPU、硬盤、內(nèi)存等。

0對系統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警。

0提供服務(wù)優(yōu)先級設(shè)定功能,并在安裝后根據(jù)安全策略設(shè)定訪問

帳戶或請求進(jìn)程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。

數(shù)據(jù)庫安全審計(jì)

計(jì)劃部署數(shù)據(jù)庫審計(jì)系統(tǒng)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以

審計(jì)，范圍覆蓋到每個(gè)用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。

數(shù)據(jù)庫審計(jì)系統(tǒng)適用于等級保護(hù)標(biāo)準(zhǔn)和規(guī)范。數(shù)據(jù)庫審計(jì)系統(tǒng)支

持所有主流關(guān)系型數(shù)據(jù)庫的安全審計(jì)，采用多核、多線程并行處

理及CPU綁定技術(shù)及鏡像流量零拷貝技術(shù)，采用黑盒逆向協(xié)議

分析技術(shù)，嚴(yán)格按照數(shù)據(jù)庫協(xié)議規(guī)律，對所有數(shù)據(jù)庫的操作行為

進(jìn)行還原，支持請求和返回的全審計(jì)，保證100%還原原始操作

的真實(shí)情況，實(shí)現(xiàn)細(xì)粒度審計(jì)、精準(zhǔn)化行為回溯、全方位風(fēng)險(xiǎn)控

制，為XXX的核心數(shù)據(jù)庫提供全方位、細(xì)粒度的保護(hù)功能。數(shù)據(jù)

庫審計(jì)系統(tǒng)可以幫助我們解決目前所面臨的數(shù)據(jù)庫安全審計(jì)缺

失問題，避免數(shù)據(jù)被內(nèi)部人員及外部黑客惡意竊取泄露，極大的

保護(hù)XXX的核心敏感數(shù)據(jù)的安全，帶來以下安全價(jià)值：

0全面記錄數(shù)據(jù)庫訪問行為，識別越權(quán)操作等違規(guī)行為，并完成

追蹤溯源

0跟蹤敏感數(shù)據(jù)訪問行為軌跡，建立訪問行為模型，及時(shí)發(fā)現(xiàn)敏

感數(shù)據(jù)泄漏

0檢測數(shù)據(jù)庫配置弱點(diǎn)、發(fā)現(xiàn)SQL注入等漏洞、提供解決建議

0為數(shù)據(jù)庫安全管理與性能優(yōu)化提供決策依據(jù)

0提供符合法律法規(guī)的報(bào)告，滿足等級保護(hù)審計(jì)要求。

運(yùn)維堡壘主機(jī)

計(jì)劃部署運(yùn)維堡壘主機(jī)，堡壘機(jī)可為XXX提供全面的運(yùn)維管理體

系和運(yùn)維能力，支持資產(chǎn)管理、用戶管理、雙因子認(rèn)證、命令阻

斷、訪問控制、自動改密、審計(jì)等功能，能夠有效的保障運(yùn)維過

程的安全。在協(xié)議方面，堡壘機(jī)全面支持SSH/TELNET/RDP（遠(yuǎn)

程桌面）/FTP/SFTP/VNC,并可通過應(yīng)用中心技術(shù)擴(kuò)展支持

VMware/XEN等虛擬機(jī)管理、oracle等數(shù)據(jù)庫管理、HTTP/HTTPS、

小型機(jī)管理等。

主機(jī)病毒防護(hù)

針對病毒的風(fēng)險(xiǎn)，通過部署主機(jī)防病毒軟件進(jìn)行管控，要求在所

有終端主機(jī)和服務(wù)器上部署網(wǎng)絡(luò)防病毒系統(tǒng)，加強(qiáng)主機(jī)的病毒防

護(hù)能力并及時(shí)升級惡意代碼軟件版本以及惡意代碼庫。且主機(jī)防

惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫。

在XXX單位運(yùn)維管控區(qū)中，可以部署防病毒服務(wù)器，負(fù)責(zé)制定和

終端主機(jī)防病毒策略。在網(wǎng)絡(luò)邊界通過防火墻進(jìn)行基于通信端口、

帶寬、連接數(shù)量的過濾控制，可以在一定程度上避免蠕蟲病毒爆

發(fā)時(shí)的大流量沖擊。

備份與恢復(fù)

備份與恢復(fù)主要包含兩方面內(nèi)容，首先是指數(shù)據(jù)備份與恢復(fù)，另

外一方面是關(guān)鍵網(wǎng)絡(luò)設(shè)備、線路以及服務(wù)器等硬件設(shè)備的冗余。

本地完全數(shù)據(jù)備份至少每天一次，且備份介質(zhì)需要場外存放。并

且要求提供能異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)

批量傳送至異地備用場地。

對于核心交換設(shè)備、外部接入鏈路以及系統(tǒng)服務(wù)器進(jìn)行雙機(jī)、雙

線的冗余設(shè)計(jì)，保障從網(wǎng)絡(luò)結(jié)構(gòu)、硬件配置上滿足不間斷系統(tǒng)運(yùn)

行的需要。

客體安全重用

為實(shí)現(xiàn)客體的安全重用，及時(shí)清除剩余信息存儲空間，應(yīng)通過對

操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)進(jìn)行安全加固配置，使得操作系統(tǒng)和數(shù)據(jù)

庫系統(tǒng)具備及時(shí)清除剩余信息的功能，從而保證用戶的鑒別信息、

文件、目錄、數(shù)據(jù)庫記錄等敏感信息所在的存儲空間（內(nèi)存、硬

盤）被及時(shí)釋放或再分配給其他用戶前得到完全清除。這部分工

作也通過安全服務(wù)來實(shí)現(xiàn)。

4.1.2區(qū)域邊界安全設(shè)計(jì)

邊界訪問控制

通過對XXX網(wǎng)絡(luò)的邊界風(fēng)險(xiǎn)與需求分析，在網(wǎng)絡(luò)層進(jìn)行訪問控制

需部署防火墻產(chǎn)品，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的

安全規(guī)則進(jìn)行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包

屏蔽，杜絕越權(quán)訪問，防止各類非法攻擊行為。對現(xiàn)網(wǎng)進(jìn)行安全

域劃分，每個(gè)安全域/或重要的安全域通過部署防火墻實(shí)現(xiàn)安全

域隔離防護(hù)。

從防火墻的實(shí)現(xiàn)原理看，對七層應(yīng)用協(xié)議的防護(hù)是非常薄弱的,

因此外部服務(wù)區(qū)需要新增WEB應(yīng)用防火墻和網(wǎng)頁防篡改系統(tǒng)。

WEB應(yīng)用防火墻專注于第七層防護(hù)，采用雙引擎技術(shù)（用戶行為

異常檢測引擎、透明代理檢測引擎）實(shí)現(xiàn)各類SQL注入、跨站、

掛馬、掃描器掃描、敏感信息泄露、盜鏈行為等攻擊防護(hù)，并有

效防護(hù)Oday攻擊。支持Web應(yīng)用加速，支持在透明代理部署模

式下的HA/Bypass,便于部署配置以及維護(hù)。此外，WEB應(yīng)用防

火墻支持透明代理模式、旁路監(jiān)聽模式、反向代理模式、網(wǎng)關(guān)模

式等多種部署模式。

網(wǎng)頁防篡改系統(tǒng)包含防篡改、防攻擊兩大子系統(tǒng)的多個(gè)功能模塊,

為網(wǎng)站安全建立全面、立體的防護(hù)體系。支持多種保護(hù)模式，防

止靜態(tài)和動態(tài)網(wǎng)站內(nèi)容被非法篡改。采用內(nèi)核驅(qū)動及文件保護(hù)技

術(shù)，確保防護(hù)功能不被惡意攻擊或者非法終止。采用核心內(nèi)嵌技

術(shù)，支持大規(guī)模連續(xù)篡改攻擊保護(hù)。完全杜絕被篡改內(nèi)容被外界

瀏覽。支持繼線/連線狀態(tài)下篡改檢測。支持多服務(wù)器、多站點(diǎn)、

各種文件類型的防護(hù)。

邊界完整性檢查

邊界完整性檢查核心是要對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過

準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，維護(hù)網(wǎng)絡(luò)邊界完整性。

通過部署的終端安全管理系統(tǒng)可以實(shí)現(xiàn)這一目標(biāo)。

終端安全管理系統(tǒng)其中一個(gè)重要功能模塊就是非法外聯(lián)控制，探

測內(nèi)部網(wǎng)中非法上互聯(lián)網(wǎng)的計(jì)算機(jī)。非法外聯(lián)監(jiān)控主要解決發(fā)現(xiàn)

和管理用戶非法自行建立通路連接非授權(quán)網(wǎng)絡(luò)的行為。通過非法

外聯(lián)監(jiān)控的管理，可以防止用戶訪問非信任網(wǎng)絡(luò)資源，并防止由

于訪問非信任網(wǎng)絡(luò)資源而引入安全風(fēng)險(xiǎn)或者導(dǎo)致信息泄密。

邊界入侵防范

在各區(qū)域邊界，防火墻起到了協(xié)議過濾的主要作用，根據(jù)安全策

略偏重在網(wǎng)絡(luò)層判斷數(shù)據(jù)包的合法流動。但面對越來越廣泛的基

于應(yīng)用層內(nèi)容的攻擊行為，防火墻并不擅長處理應(yīng)用層數(shù)據(jù)。

鑒于以上對防火墻核心作用的分析，需要其他具備檢測新型的混

合攻擊和防護(hù)的能力的設(shè)備和防火墻配合，共同防御來自應(yīng)用層

到網(wǎng)絡(luò)層的多種攻擊類型，建立一整套的安全防護(hù)體系，進(jìn)行多

層次、多手段的檢測和防護(hù)。入侵防護(hù)系統(tǒng)（IPS）就是安全防

護(hù)體系中重要的一環(huán)，它能夠及時(shí)識別網(wǎng)絡(luò)中發(fā)生的入侵行為并

實(shí)時(shí)報(bào)警并且進(jìn)行有效攔截防護(hù)。

IPS是繼“防火墻”、“信息加密”等傳統(tǒng)安全保護(hù)方法之后的

新一代安全保障技術(shù)。它監(jiān)視計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件,

并對它們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性

或試圖繞過安全機(jī)制的入侵行為并進(jìn)行有效攔截。IPS就是自動

執(zhí)行這種監(jiān)視和分析過程，并且執(zhí)行阻斷的硬件產(chǎn)品。

將IPS串接在防火墻后面，在防火墻進(jìn)行訪問控制，保證了訪問

的合法性之后，IPS動態(tài)的進(jìn)行入侵行為的保護(hù)，對訪問狀態(tài)進(jìn)

行檢測、對通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測、對內(nèi)容進(jìn)行深度的檢

測。阻斷來自內(nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。

對于接入邊界，IPS可針對于內(nèi)網(wǎng)對于外網(wǎng)的存取應(yīng)用進(jìn)行管理。

可支持深入七層的分析檢測技術(shù)，能檢測防范的攻擊類型包括:

蠕蟲/病毒、木馬、后門、DoS/DDoS攻擊、探測/掃描、間諜軟

件、網(wǎng)絡(luò)釣魚、利用漏洞的攻擊、SQL注入攻擊、緩沖區(qū)溢出攻

擊、協(xié)議異常、IDS/IPS逃逸攻擊等，支持P2P、IM、視頻等網(wǎng)絡(luò)

濫用協(xié)議的檢測識別，可支持的網(wǎng)絡(luò)濫用協(xié)議至少包括迅雷、BT、

eDonkey/eMule>Kugoo下載協(xié)議、多進(jìn)程下載協(xié)議（網(wǎng)絡(luò)快車、

網(wǎng)絡(luò)螞蟻）等P2P應(yīng)用，MSN、QQ、ICQ等IM應(yīng)用，PPLive、

PPStream.HTTP下載視頻文件、沸點(diǎn)電視、QQLive等網(wǎng)絡(luò)視頻

應(yīng)用；可在識別的基礎(chǔ)上對這些應(yīng)用流量進(jìn)行阻斷或限流。IPS

采用全面深入的分析檢測技術(shù)，結(jié)合模式特征匹配、協(xié)議異常檢

測、流量異常檢測、事件關(guān)聯(lián)等多種技術(shù)，能識別運(yùn)行在非標(biāo)準(zhǔn)

端口上的協(xié)議，準(zhǔn)確檢測入侵行為。

本期計(jì)劃在互聯(lián)網(wǎng)接入?yún)^(qū)和專網(wǎng)接入?yún)^(qū)各部署一套入侵防御系

統(tǒng)/或在下一代防火墻開啟IPS功能模塊。

邊界安全審計(jì)

各安全區(qū)域邊界已經(jīng)部署了相應(yīng)的安全設(shè)備負(fù)責(zé)進(jìn)行區(qū)域邊界

的安全。對于流經(jīng)各主要邊界（重要服務(wù)器區(qū)域、外部連接邊界）

需要設(shè)置必要的審計(jì)機(jī)制，進(jìn)行數(shù)據(jù)監(jiān)視并記錄各類操作，通過

審計(jì)分析能夠發(fā)現(xiàn)跨區(qū)域的安全威脅，實(shí)時(shí)地綜合分析出網(wǎng)絡(luò)中

發(fā)生的安全事件。XXX計(jì)劃開啟邊界安全設(shè)備的審計(jì)功能模塊,

根據(jù)審計(jì)策略進(jìn)行數(shù)據(jù)的日志記錄與審計(jì)。同時(shí)將所有審計(jì)信息

通過安全管理中心進(jìn)行統(tǒng)一集中管理，為安全管理中心提供必要

的邊界安全審計(jì)數(shù)據(jù)，利于管理中心進(jìn)行全局管控。并部署網(wǎng)絡(luò)

審計(jì)系統(tǒng)，實(shí)現(xiàn)對于所有訪問業(yè)務(wù)系統(tǒng)的行為的審計(jì)，并能夠記

錄該行為的源IP、目的IP等，并可以方便的生成報(bào)表等。網(wǎng)絡(luò)

審計(jì)系統(tǒng)通過網(wǎng)絡(luò)旁路偵聽的方式對網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行采集、分析

和識別，并對應(yīng)用層協(xié)議進(jìn)行完整還原，根據(jù)制定的安全審計(jì)策

略進(jìn)行審計(jì)響應(yīng)。將邊界安全審計(jì)、主機(jī)審計(jì)、應(yīng)用審計(jì)和網(wǎng)絡(luò)

審計(jì)等一起構(gòu)成完整的、多層次的審計(jì)系統(tǒng)。

另外，在互聯(lián)網(wǎng)接入網(wǎng)出口已部署上網(wǎng)行為管理系統(tǒng)，實(shí)現(xiàn)對于

所有內(nèi)部用戶訪問互聯(lián)網(wǎng)的安全審計(jì)，保障網(wǎng)絡(luò)關(guān)鍵應(yīng)用和服務(wù)

的帶寬，對網(wǎng)絡(luò)流量、用戶上網(wǎng)行為進(jìn)行深入分析與全面的審計(jì),

為用戶全面了解網(wǎng)絡(luò)應(yīng)用模型和流量趨勢，優(yōu)化其帶寬資源，開

展各項(xiàng)業(yè)務(wù)提供有力的支撐。

邊界惡意代碼防范

一個(gè)完善的安全體系應(yīng)該包含了從桌面到服務(wù)器、從內(nèi)部用戶到

網(wǎng)絡(luò)邊界的全面地解決方案，以抵御來自黑客和病毒的威脅。

現(xiàn)網(wǎng)網(wǎng)絡(luò)層面沒有惡意代碼防護(hù)措施，本期計(jì)劃在邊界部署下一

代防火墻，并開啟AV防病毒功能/或部署一套入侵防御系統(tǒng)。

4.1.3通信網(wǎng)絡(luò)安全設(shè)計(jì)

網(wǎng)絡(luò)結(jié)構(gòu)安全

網(wǎng)絡(luò)結(jié)構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，對于XXX網(wǎng)絡(luò)，選用

主要網(wǎng)絡(luò)設(shè)備時(shí)會充分考慮業(yè)務(wù)處理能力的高峰數(shù)據(jù)流量，考慮

冗余空間滿足業(yè)務(wù)高峰期需要；網(wǎng)絡(luò)各個(gè)部分的帶寬需要保證接

入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)滿足業(yè)務(wù)高峰期需要；本期對XXX網(wǎng)絡(luò)核心交

換區(qū)進(jìn)行升級改造，實(shí)現(xiàn)雙機(jī)冗余部署，按照'業(yè)務(wù)系統(tǒng)服務(wù)的重

要次序定義帶寬分配的優(yōu)先級，在網(wǎng)絡(luò)擁堵時(shí)優(yōu)先保障重要主機(jī);

合理規(guī)劃路由，業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間建立安全路徑；繪制

與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；根據(jù)各部門的工作職能、

重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)段或

VLANo保存有重要業(yè)務(wù)系統(tǒng)及數(shù)據(jù)的重要網(wǎng)段不能直接與外部

系統(tǒng)連接，需要和其他網(wǎng)段隔離，單獨(dú)劃分區(qū)域。

網(wǎng)絡(luò)設(shè)備防護(hù)

為提高網(wǎng)絡(luò)設(shè)備的自身安全性，保障各種網(wǎng)絡(luò)應(yīng)用的正常運(yùn)行,

通過安全服務(wù)對網(wǎng)絡(luò)設(shè)備需要進(jìn)行一系列的加固措施，包括：

I對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別，用戶名必須唯一；

I對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；

I身份鑒別信息具有不易被冒用的特點(diǎn)，口令設(shè)置需3種以上字

符、長度不少于8位，并定期更換；

I具有登錄失敗處理功能，失敗后采取結(jié)束會話、限制非法登錄

次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動退出等措施；

I啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽。

I對于鑒別手段，三級要求采用兩種或兩種以上組合的鑒別技術(shù),

因此需采用USBkey+密碼進(jìn)行身份鑒別，保證對網(wǎng)絡(luò)設(shè)備進(jìn)行管

理維護(hù)的合法性。

通信完整性

信息的完整性設(shè)計(jì)包括信息傳輸?shù)耐暾孕ｒ?yàn)以及信息存儲的

完整性校驗(yàn)。

對于信息傳輸和存儲的完整性校驗(yàn)可以采用的技術(shù)包括校驗(yàn)碼

技術(shù)、消息鑒別碼、密碼校驗(yàn)函數(shù)、散列函數(shù)、數(shù)字簽名等。

通過部署VPN系統(tǒng)保證遠(yuǎn)程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)完整性。對于信息

存儲的完整性校驗(yàn)則由應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)完成。

通信保密性

應(yīng)用層的通信保密性主要由應(yīng)用系統(tǒng)完成。在通信雙方建立連接

之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會話初始化驗(yàn)證；并對通信

過程中的敏感信息字段進(jìn)行加密。

對于信息傳輸?shù)耐ㄐ疟Ｃ苄酝ㄟ^部署VPN系統(tǒng)保證遠(yuǎn)程數(shù)據(jù)傳

輸?shù)臄?shù)據(jù)機(jī)密性。

網(wǎng)絡(luò)安全審計(jì)

計(jì)劃在XX網(wǎng)絡(luò)核心交換機(jī)上部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，形成對全

網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測并進(jìn)行相應(yīng)安全審計(jì)，偵察系統(tǒng)中存在的

現(xiàn)有和潛在的威脅，實(shí)時(shí)地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件,

包括各種外部事件和內(nèi)部事件，同時(shí)和其它網(wǎng)絡(luò)安全設(shè)備共同為

安全管理中心提供監(jiān)控?cái)?shù)據(jù)用于分析及檢測。

4.1.4安全管理中心設(shè)計(jì)

計(jì)劃部署以業(yè)務(wù)為核心的、網(wǎng)絡(luò)安全、應(yīng)用安全、業(yè)務(wù)安全一體

化的安全管理系統(tǒng)，該安全管理中心的特點(diǎn)是：定位于以面向業(yè)

務(wù)的安全管理中心，圍繞著資產(chǎn)和業(yè)務(wù)，融合對安全、網(wǎng)絡(luò)、應(yīng)

用的管理，實(shí)現(xiàn)設(shè)備管理及策略部署管理、運(yùn)轉(zhuǎn)監(jiān)控、風(fēng)險(xiǎn)預(yù)警、

到安全聯(lián)動響應(yīng)的完整安全閉環(huán)管理，實(shí)現(xiàn)安全風(fēng)險(xiǎn)的可視可管

可預(yù)防。

整個(gè)一體化安全管理中心功能要求如下：

4.1.4.1安全可視化

在虛擬化技術(shù)、大數(shù)據(jù)分析技術(shù)快速發(fā)展的背景下，安全管理中

心需考慮圍繞著資產(chǎn)和業(yè)務(wù)為核心，以數(shù)據(jù)挖掘技術(shù)為依托，對

云、網(wǎng)、端提供一體化安全管理，實(shí)現(xiàn)安全服務(wù)從規(guī)劃開通、運(yùn)

行監(jiān)控、到閉環(huán)響應(yīng)的完整生命周期管理。

全網(wǎng)資產(chǎn)管理可以做到:

1）監(jiān)控到的性能指標(biāo)可用于事件關(guān)聯(lián)分析，比如，DDOS事件與

CPU利用率進(jìn)行關(guān)聯(lián)，以確認(rèn)攻擊的實(shí)效是否達(dá)成；

2）確保安全設(shè)備的正常運(yùn)轉(zhuǎn)，提供配置文件管理、設(shè)備狀態(tài)監(jiān)

控、拓?fù)浔O(jiān)控等，從而保障關(guān)鍵安全節(jié)點(diǎn)正常行使功能；

3）攻擊溯源：基于拓?fù)潢P(guān)系，提供從源到目的端的真實(shí)拓?fù)渎?/p>

徑，管理員可進(jìn)行更有針對性的實(shí)施管理動作。

資產(chǎn)風(fēng)險(xiǎn)管理

安全管理中心可以對被管對象進(jìn)行基礎(chǔ)信息管理，包括其IT屬

性、普通屬性以及安全屬性，主要用于當(dāng)產(chǎn)生安全問題時(shí)，快速

找到資產(chǎn)基本信息來輔助問題的解決，比如，快速找到責(zé)任人、

存放位置、資產(chǎn)重要程度等，另外，資產(chǎn)詳細(xì)信息中的資產(chǎn)重要

程度也將作為資產(chǎn)風(fēng)險(xiǎn)評分計(jì)算的重要參數(shù)。

安全管理中心關(guān)注的資產(chǎn)不僅包含安全設(shè)備、網(wǎng)絡(luò)設(shè)備、服務(wù)器

和應(yīng)用，同時(shí)還可以由操作者自定義新的資產(chǎn)類型，并向其下面

增添資產(chǎn)。除了對資產(chǎn)的信息管理，還支持資產(chǎn)運(yùn)行監(jiān)控以及風(fēng)

險(xiǎn)監(jiān)控。

業(yè)務(wù)風(fēng)險(xiǎn)監(jiān)控

業(yè)務(wù)是最上層安全風(fēng)險(xiǎn)監(jiān)控的組織單兀。業(yè)務(wù)由應(yīng)用、服務(wù)器、

網(wǎng)絡(luò)設(shè)備組成。通過業(yè)務(wù)建模，將應(yīng)用、服務(wù)器、網(wǎng)絡(luò)設(shè)備組織

成起來形成一個(gè)業(yè)務(wù)。

安全管理中心應(yīng)提供基于“業(yè)務(wù)”的風(fēng)險(xiǎn)監(jiān)控。在展現(xiàn)上，以業(yè)

務(wù)為對象，形成一個(gè)個(gè)“業(yè)務(wù)風(fēng)險(xiǎn)卡片”，呈現(xiàn)繁忙度、健康度、

安全度等與業(yè)務(wù)運(yùn)轉(zhuǎn)強(qiáng)相關(guān)的監(jiān)控內(nèi)容，并提供攻擊類型統(tǒng)計(jì)、

漏洞類型統(tǒng)計(jì)、受攻擊資產(chǎn)TOP10、資產(chǎn)風(fēng)險(xiǎn)情況統(tǒng)計(jì)、資產(chǎn)攻

擊源和目的統(tǒng)計(jì)等多項(xiàng)美觀的統(tǒng)計(jì)圖表，使管理員/領(lǐng)導(dǎo)及時(shí)關(guān)

注到“業(yè)務(wù)”層面的宏觀風(fēng)險(xiǎn)狀況，快速發(fā)現(xiàn)業(yè)務(wù)的當(dāng)前“安全

度”狀況，避免直接陷入細(xì)節(jié)而對業(yè)務(wù)運(yùn)轉(zhuǎn)風(fēng)險(xiǎn)難以一幕了然的

展現(xiàn)。另外，當(dāng)出現(xiàn)安全風(fēng)險(xiǎn)時(shí)，很可能業(yè)務(wù)性能也出問題了。

“風(fēng)險(xiǎn)卡片”幫助梳理這種內(nèi)在聯(lián)系。風(fēng)險(xiǎn)卡片中的業(yè)務(wù)安全度,

由組成業(yè)務(wù)的各元素（如主機(jī)、應(yīng)用等）的安全狀況加權(quán)而得到。

實(shí)時(shí)攻擊分析

動態(tài)展示最新發(fā)生的攻擊事件以及攻擊行為，并統(tǒng)計(jì)攻擊源、攻

擊目的TOPN信息。通過該頁面使企業(yè)面臨的攻擊威脅狀況得以

可視化展示，便于采取相應(yīng)動作來削弱政務(wù)云所面臨的風(fēng)險(xiǎn)。

.1整網(wǎng)安全態(tài)勢實(shí)時(shí)監(jiān)控

列出整網(wǎng)安全評分，最近一小時(shí)內(nèi)的攻擊狀態(tài)，提供針對攻擊目

的IP、攻擊源IP、攻擊協(xié)議、安全威脅整體趨勢等信息。同時(shí)提

供業(yè)務(wù)風(fēng)險(xiǎn)雷達(dá)，將各個(gè)業(yè)務(wù)面臨的風(fēng)險(xiǎn)狀況（按風(fēng)險(xiǎn)程度高?

中■低）在雷達(dá)中體現(xiàn)出來。

整網(wǎng)安全態(tài)勢實(shí)時(shí)監(jiān)控用來幫助管理員直觀地了解到網(wǎng)內(nèi)最新

的安全狀況，及時(shí)采取必要的行動。

.2事件概覽

給出最近一小時(shí)內(nèi)的安全事件統(tǒng)計(jì)信息。便于管理員快速獲知當(dāng)

前的安全態(tài)勢。事件概覽中提供攻擊源、攻擊目的、產(chǎn)生事件最

多的設(shè)備、產(chǎn)生最多的事件等多個(gè)TOP統(tǒng)計(jì)圖表；同時(shí)提供IPS

規(guī)則級別、攻擊協(xié)議等統(tǒng)計(jì)圖表；并支持查看安全事件趨勢

.3實(shí)時(shí)事件列表

實(shí)時(shí)事件列表列出了最近一小時(shí)內(nèi)的攻擊事件，詳細(xì)展示了最近

一小時(shí)內(nèi)的攻擊事件，詳細(xì)給出了事件包含的具體內(nèi)容，包括日

志級別、時(shí)間、源IP/用戶、目的IP/用戶、協(xié)議、攻擊類型、事

件數(shù)和設(shè)備名稱。同時(shí)，提供了基于設(shè)備名稱、協(xié)議、源用戶、

源IP、目的用戶、目的IP的查詢條件，方便管理員快速的查詢

到需要的攻擊事件信息。

.4攻擊拓?fù)渌菰?/p>

基于強(qiáng)大的拓?fù)湟妫?jì)算攻擊源到目的的端到端路徑，對攻擊

進(jìn)行網(wǎng)絡(luò)路徑角度的可視化呈現(xiàn)，管理員可參考并實(shí)施針對性管

理動作（為確保展現(xiàn)效果，相應(yīng)設(shè)備應(yīng)加入到管理中）。該功能

用來協(xié)助操作員作出判斷，可以對攻擊源進(jìn)行下線、走工單流程

等處理動作，也可以參考著變更安全規(guī)則的部署。

安全評估

安全管理中心的安全評估特性，可以配合WEB、主機(jī)、數(shù)據(jù)庫三

種掃描器，支持掃描任務(wù)管理和部署、結(jié)果分析。

.1安全評估分析

安全管理中心可記錄每次漏掃任務(wù)的執(zhí)行詳情。以列表的形式給

出任務(wù)執(zhí)行狀態(tài)（成功or失敗）、任務(wù)名稱、啟動時(shí)間、完成

時(shí)間、掃描類型、執(zhí)行人員、安全評分。以報(bào)表和列表的形式給

出掃描結(jié)果和解決辦法?；诿織l評估歷史，可查看到評估結(jié)果

信息，包括該次評估的得分，該次評估掃描到的風(fēng)險(xiǎn)詳細(xì)信息機(jī)

改進(jìn)建議等。

.2漏掃關(guān)聯(lián)

支持漏掃結(jié)果與業(yè)務(wù)和資產(chǎn)進(jìn)行關(guān)聯(lián)，使重要IT管理對象的安

全性得以直觀呈現(xiàn)。這種關(guān)聯(lián)是數(shù)據(jù)統(tǒng)計(jì)角度的關(guān)聯(lián)。

安全行為管理

.1行為分析

除了SIEM從網(wǎng)絡(luò)事件、主機(jī)信息角度的安全分析，行為分析從

用戶上網(wǎng)行為、用戶流量模型角度分析和用戶行為直接相關(guān)的安

全威脅。關(guān)鍵技術(shù)包含深度的應(yīng)用識別和用戶行為識別、用戶身

份的識別等。

.2數(shù)據(jù)挖掘

安全管理中心可以通過對用戶行為的跟蹤，進(jìn)行深度數(shù)據(jù)挖掘,

從而滿足公安部82號令等安全審計(jì)相關(guān)的要求。

.3行為異常審計(jì)

安全管理中心可以根據(jù)用戶行為按敏感文件、可疑郵件、敏感詞

等審計(jì)點(diǎn)進(jìn)行異常行為審計(jì)，并以橫軸坐標(biāo)展示異常行為的發(fā)生

情況

安全風(fēng)險(xiǎn)聯(lián)動

網(wǎng)絡(luò)的風(fēng)險(xiǎn)無處不在，在實(shí)現(xiàn)安全風(fēng)險(xiǎn)可視化的基礎(chǔ)上，下一步

的動作就是針對風(fēng)險(xiǎn)報(bào)警采取相應(yīng)的動作阻斷攻擊或威脅。而如

何實(shí)時(shí)防范和抵御安全風(fēng)險(xiǎn)，最有效的手段還是能夠?qū)踩芾?/p>

平臺與現(xiàn)網(wǎng)部署的安全設(shè)備聯(lián)動起來，實(shí)現(xiàn)風(fēng)險(xiǎn)的自動防御和應(yīng)

急響應(yīng)。

4.1.5不同網(wǎng)絡(luò)互聯(lián)互通

XXX現(xiàn)有6張網(wǎng)之間存在數(shù)據(jù)交互需求，根據(jù)系統(tǒng)業(yè)務(wù)要求和等

級保護(hù)要求，兩網(wǎng)之間部署網(wǎng)閘，制定相應(yīng)的互聯(lián)互通安全策略,

包括訪問控制策略和數(shù)據(jù)交換策略等，嚴(yán)格控制數(shù)據(jù)在不同網(wǎng)絡(luò)

以及不同安全等級系統(tǒng)之間的流動。

5安全管理體系設(shè)計(jì)

安全體系管理層面設(shè)計(jì)主要是依據(jù)《信息系統(tǒng)安全等級保護(hù)基本

要求》中的管理要求而設(shè)計(jì)。分別從以下方面進(jìn)行設(shè)計(jì)，計(jì)劃通

過XXX和專業(yè)安全服務(wù)共同實(shí)現(xiàn)：

I安全管理制度

根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫

行規(guī)定。從安全策略主文檔中規(guī)定的安全各個(gè)方面所應(yīng)遵守的原

則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實(shí)施辦法,

是具有可操作性，且必須得到有效推行和實(shí)施的制度。

制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式

并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，

對收發(fā)文進(jìn)行登記。

信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管

理制度體系的合理性和適用性進(jìn)行審定，定期或不定期對安全管

理制度進(jìn)行評審和修訂，修訂不足及進(jìn)行改進(jìn)。

I安全管理機(jī)構(gòu)

根據(jù)基本要求設(shè)置安全管理機(jī)構(gòu)的組織形式和運(yùn)作方式，明確崗

位職責(zé)；

設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員

等崗位，根據(jù)要求進(jìn)行人員配備，配備專職安全員；成立指導(dǎo)和

管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由監(jiān)所主管

領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的

職責(zé)、分工和技能要求。

建立授權(quán)與審批制度；

建立內(nèi)外部溝通合作渠道；

定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)

備份等。

I人員安全管理

根據(jù)基本要求制定人員錄用，離崗、考核、培訓(xùn)幾個(gè)方面的規(guī)定,

并嚴(yán)格執(zhí)行；規(guī)定外部人員訪問流程，并嚴(yán)格執(zhí)行。

I系統(tǒng)建設(shè)管理

根據(jù)基本要求制定系統(tǒng)建設(shè)管理制度，包括：系統(tǒng)定級、安全方

案設(shè)計(jì)、產(chǎn)品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程

實(shí)施、測試驗(yàn)收、系統(tǒng)交付、系統(tǒng)備案、等級評測、安全服務(wù)商

選擇等方面。從工程實(shí)施的前、中、后三個(gè)方面，從初始定級設(shè)

計(jì)到驗(yàn)收評測完整的工程周期角度進(jìn)行系統(tǒng)建設(shè)管理。

I系統(tǒng)運(yùn)維管理

根據(jù)基本要求進(jìn)行信息系統(tǒng)日常運(yùn)行維護(hù)管理，利用管理制度以

及安全管理中心進(jìn)行，包括：環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、

設(shè)備管理、監(jiān)控管理和安全管理中心、網(wǎng)絡(luò)安全管理、系統(tǒng)安全

管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管

理、安全事件處置、應(yīng)急預(yù)案管理等，使系統(tǒng)始終處于相應(yīng)等級

安全狀態(tài)中。

6安全運(yùn)維體系設(shè)計(jì)

新華三根據(jù)用戶當(dāng)前安全運(yùn)維需要和安全技術(shù)保障需要提出與

信息系統(tǒng)安全總體方案中運(yùn)維部分相適應(yīng)的本期安全實(shí)施內(nèi)容,

以保證安全技術(shù)建設(shè)的同時(shí)，安全運(yùn)維的同步建設(shè)，具體活動內(nèi)

容包括：

結(jié)合系統(tǒng)實(shí)際安全運(yùn)維需要和本次技術(shù)建設(shè)內(nèi)容，確定本次安全

運(yùn)維建設(shè)的范圍和內(nèi)容，同時(shí)注意與信息系統(tǒng)安全總體方案的一

致性。安全運(yùn)維設(shè)計(jì)的內(nèi)容主要考慮：日常安全運(yùn)維、事件應(yīng)急

響應(yīng)、安全咨詢與評估、系統(tǒng)加固與培訓(xùn)等。

6.1周期性安全評估

0網(wǎng)絡(luò)設(shè)備評估

根據(jù)信息系統(tǒng)中設(shè)備類型的不同，對核心層、交換層和接入層及

防火墻、入侵檢測等邊界網(wǎng)絡(luò)安全設(shè)備的訪問控制和安全策略,

現(xiàn)狀有針對性進(jìn)行風(fēng)險(xiǎn)評估。

0操作系統(tǒng)評估

網(wǎng)絡(luò)服務(wù)器及可互聯(lián)終端的安全始終是信息系統(tǒng)安全的一個(gè)重

要方面，攻擊者往往通過控制它們來破壞系統(tǒng)和信息，或擴(kuò)大已

有的破壞。

網(wǎng)絡(luò)攻擊的成功與否取決于三個(gè)因素：攻擊者的能力；攻擊者的

動機(jī)；攻擊者的機(jī)會。正常情況下，我們是無法削弱攻擊者的能

力和動機(jī)這兩個(gè)因素，但有一點(diǎn)我們可以做到減少他們的攻擊機(jī)

會。

對操作系統(tǒng)開放的服務(wù)、安全配置、訪問控制、系統(tǒng)漏洞進(jìn)行安

全脆弱性風(fēng)險(xiǎn)評估。

0應(yīng)用程序評估

應(yīng)用程序本身存在一定的安全缺陷和隱患，攻擊者可以利用應(yīng)用

程序中的漏洞入侵系統(tǒng)、竊取信息及中斷系統(tǒng)服務(wù)。為保證客戶

重要業(yè)務(wù)系統(tǒng)保密性、可用性，對操作系統(tǒng)上基于WEB服務(wù)及

第三方應(yīng)用程序做安全評估。

6.2周期性安全加固

0網(wǎng)絡(luò)設(shè)備加固

網(wǎng)絡(luò)設(shè)備的加固，是通過對人工評估對網(wǎng)絡(luò)設(shè)備的配置進(jìn)行評估,

通過評估出的問題，進(jìn)行安全加固，在進(jìn)行安全加固前，應(yīng)該對

加固的配置進(jìn)行檢驗(yàn)，防止因?yàn)榧庸潭鴮?dǎo)致網(wǎng)絡(luò)的崩潰。在加固

過程中，主要對以下內(nèi)容進(jìn)行加固:

口令安全規(guī)范

U訪問安全規(guī)范

日志安全規(guī)范

其它安全規(guī)范

U路由協(xié)議安全規(guī)范

0安全設(shè)備加固

對網(wǎng)絡(luò)安全設(shè)備進(jìn)行加固，主要加固對象為防火墻、交換機(jī)、IPS

系統(tǒng)。

0安全域的劃分:

根據(jù)評估結(jié)果確定防火墻劃分的安全域（內(nèi)、醫(yī)院辦公外網(wǎng)及

DMZ區(qū)）是否合理，如果存在問題需要重新劃分相關(guān)區(qū)域。

0更新版本或引擎:

和廠商確定防火墻的當(dāng)前最新版本（引擎版本及管理平臺版本），

在相關(guān)人員配合下升級到最新版本。

0防火墻安全配置：

根據(jù)評估結(jié)果對防火墻的整體配置進(jìn)行加固，包括以下加固對象:

U防火墻管理策略

U訪問策略

U綁定策略；

uSNMP安全策略

u防攻擊策略

uHA策略

u審核策略

0操作系統(tǒng)加固

用戶按照其信息保護(hù)策略購入并部署好設(shè)備后，主機(jī)中的主要組

成系統(tǒng)，包括操作系統(tǒng)、軟件配置等，往往在一定時(shí)間段內(nèi)是保

持相對穩(wěn)定的。在這段時(shí)間內(nèi)，如果設(shè)備本身存在安全上的脆弱

性，則往往會成為攻擊者攻擊的目標(biāo)。這些需要加固的安全脆弱

性包括：

U提供不必要的網(wǎng)絡(luò)服務(wù)，提高了攻擊者的攻擊機(jī)會

U存在不安全的配置，帶來不必要的安全隱患

U不適當(dāng)?shù)脑L問控制

U存在系統(tǒng)軟件上的安全漏洞

U物理上沒有得到安全存放，容易遭受臨近攻擊，針對這些安全

弱點(diǎn)，我們提出如下幾點(diǎn)設(shè)備的安全加固技術(shù)建議

U禁用不必要的網(wǎng)絡(luò)服務(wù)

u修改不安全的配置

U利用最小特權(quán)原則嚴(yán)格對設(shè)備的訪問控制

U及時(shí)對系統(tǒng)進(jìn)行軟件升級

u提供符合IPP要求的物理保護(hù)環(huán)境

0應(yīng)用程序加固

安全的威脅不僅來自設(shè)備和操作系統(tǒng)，應(yīng)用程序本身由于設(shè)計(jì)缺

陷、系統(tǒng)兼容、人為預(yù)留后門、病毒、WEB服務(wù)等各種因素所導(dǎo)

致的弱點(diǎn)，針對應(yīng)用程序中存在的安全隱患，提高信息系統(tǒng)整體

的抗病毒能力，電所有外聯(lián)應(yīng)用程序采用非線測試的技術(shù)手段,

進(jìn)行風(fēng)險(xiǎn)分析加固。在線應(yīng)用系統(tǒng)加固采用安全掃描技術(shù)、主頁

防篡改技術(shù)等。包括以下加固對象：

u網(wǎng)站代碼優(yōu)化及程序的功能修補(bǔ)

u網(wǎng)站程序腳本漏洞修補(bǔ)

u數(shù)據(jù)庫安全策略

iiWeb代碼分析

u程序上線前測試

u病毒防落地、防傳播、防擴(kuò)散加固

6.3定期安全巡檢

0巡檢對象確定

安全關(guān)鍵點(diǎn)分析：

對影響系統(tǒng)、業(yè)務(wù)安全性的關(guān)鍵要素進(jìn)行分析，確定安全狀態(tài)監(jiān)

控的對象，這些對象可能包括防火墻、入侵檢測、防病毒、核心

路由器、核心交換機(jī)、主要通信線路、關(guān)鍵服務(wù)器或客戶端等系

統(tǒng)范圍內(nèi)的對象；也可能包括安全標(biāo)準(zhǔn)和法律法規(guī)等外部對象。

形成巡檢對象列表：

根據(jù)確定的巡檢對象，分析巡檢的必要性和可行性，形成監(jiān)控對

象列表。

0巡檢對象狀態(tài)信息收集

巡檢工具：

根據(jù)巡檢對象的特點(diǎn)、巡檢管理的具體要求、巡檢工具的功能、

性能特點(diǎn)等，選擇合適的巡檢工具。建立完善的運(yùn)維巡檢體系。

狀態(tài)信息收集：

整理備案巡檢對象的各類狀態(tài)信息，包括網(wǎng)絡(luò)流量、日志信息、、

安全報(bào)警、性能狀況、外部環(huán)境的安全標(biāo)準(zhǔn)和變更信息。

0巡檢狀態(tài)分析和報(bào)告

狀態(tài)分析：

對安全狀態(tài)信息進(jìn)行分析，及時(shí)發(fā)現(xiàn)險(xiǎn)情、隱患或安全事件，并

記錄這些安全事件，分析其發(fā)展趨勢。

影響分析:

根據(jù)對安全狀況變化的分析，分析這些變化對安全的影響，通過

判斷他們的影響決定是否有必要作出響應(yīng)。

形成安全狀態(tài)分析報(bào)告：

根據(jù)安全狀態(tài)分析和影響分析的結(jié)果，形成安全狀態(tài)分析報(bào)告，

上報(bào)客戶安全事件或啟動應(yīng)急預(yù)案。

6.4應(yīng)急響應(yīng)處置

緊急事件響應(yīng)，是當(dāng)安全威脅事件發(fā)生后迅速采取的措施和行動,

其目的是最快速恢復(fù)系統(tǒng)的保密性、完整性和可用性，阻止和降

低安全威脅事件帶來的嚴(yán)重性影響。

緊急事件主要包括：

0病毒和蠕蟲事件

0黑客入侵事件

0誤操作或設(shè)備故障事件

但通常在事件爆發(fā)的初始很難界定具體是什么。所以，通常又通

過安全威脅事件的影響程度來分類：

0單點(diǎn)損害：只造成獨(dú)立個(gè)體的不可用，安全威脅事件影響弱。

0局部損害：造成某一系統(tǒng)或一個(gè)局部網(wǎng)絡(luò)不可使用，安全威脅

事件影響較高。

0整體損害：造成整個(gè)網(wǎng)絡(luò)系統(tǒng)的不可使用，安全威脅事件影響

高。

當(dāng)入侵或者破壞發(fā)生時(shí)，對應(yīng)的處理方法主要的原則是首先保護(hù)

或恢復(fù)計(jì)算機(jī)、網(wǎng)絡(luò)服務(wù)的正常工作；然后再對入侵者進(jìn)行追查。

因此對于客戶緊急事件響應(yīng)服務(wù)主要包括準(zhǔn)備、識別事件（判定

安全事件類型）、抑制J（縮小事件的影響范圍）、解決問題、恢

復(fù)以及后續(xù)跟蹤。

準(zhǔn)備工作

0建立客戶事件檔案

0與客戶就故障級別進(jìn)行定義，詳見6.5小節(jié)描述。

0準(zhǔn)備安全事件緊急響應(yīng)服務(wù)相關(guān)資源

0為一個(gè)突發(fā)事件的處理取得管理方面支持

0組建事件處理隊(duì)伍（1?10人）

0提供易實(shí)現(xiàn)的初步報(bào)告

0制定一個(gè)緊急后備方案

0隨時(shí)與管理員保持聯(lián)系

識別事件

0在指定時(shí)間內(nèi)指派安全服務(wù)小組去負(fù)責(zé)此事件

0事件抄送專家小組

0初步評估，確定事件來源

0注意保護(hù)可追查的線索，諸如立即對日志、數(shù)據(jù)進(jìn)行備份（應(yīng)

該保存在磁帶上或其它不聯(lián)機(jī)存儲設(shè)備）

0聯(lián)系客戶系統(tǒng)的相關(guān)服務(wù)商廠商、

縮小事件的影響范圍

0確定系統(tǒng)繼續(xù)運(yùn)行的風(fēng)險(xiǎn)如何，決定是否關(guān)閉系統(tǒng)及其它措施

0客戶相關(guān)工作人員與本公司相關(guān)工作人員保持聯(lián)系、協(xié)商

0根據(jù)需求制定相應(yīng)的應(yīng)急措施

問題解決

0事件的起因分析

0事后取證追查

0后門檢查

0漏洞分析

0提供解決方案

0結(jié)果提交專家小組審核

后續(xù)工作

0檢查是不是所有的服務(wù)都已經(jīng)恢復(fù)

0攻擊者所利用的漏洞是否已經(jīng)解決

0其發(fā)生的原因是否已經(jīng)處理

0保險(xiǎn)措施，法律聲明/手續(xù)是否已經(jīng)歸檔

0應(yīng)急響應(yīng)步驟是否需要修改

0生成緊急響應(yīng)報(bào)告

0擬定一份事件記錄和跟蹤報(bào)告

0事件合并/錄入專家信息知識庫

6.5新系統(tǒng)安全檢測

系統(tǒng)上線前檢測是應(yīng)用系統(tǒng)生命周期中的一個(gè)重要環(huán)節(jié)，在對應(yīng)

用系統(tǒng)建設(shè)規(guī)劃和現(xiàn)狀充分調(diào)研的基礎(chǔ)上，制訂系統(tǒng)上線前的安

全檢測方案，并根據(jù)信息系統(tǒng)平臺建設(shè)情況，按照系統(tǒng)上線前安

全檢測方案實(shí)施檢測工作，進(jìn)行徹底全面的安全弱點(diǎn)評估，發(fā)現(xiàn)

潛在的安全漏洞。上線前檢測需采用對系統(tǒng)非侵害的測試方法,

檢驗(yàn)系統(tǒng)的安全防護(hù)能力，發(fā)現(xiàn)安全風(fēng)險(xiǎn)及漏洞，采用方法至少

包括遠(yuǎn)程滲透測試、設(shè)計(jì)文檔檢查等。

通過上線前的檢測工作，對應(yīng)用系統(tǒng)所覆蓋的全部資產(chǎn)再次進(jìn)行

確認(rèn)識別，完成對應(yīng)用系統(tǒng)等級保護(hù)建設(shè)措施落實(shí)情況的合規(guī)性

分析，對應(yīng)用系統(tǒng)等級保護(hù)實(shí)施的各項(xiàng)安全措施和管理制度進(jìn)行

全面的風(fēng)險(xiǎn)評估，明確殘余風(fēng)險(xiǎn)；依據(jù)風(fēng)險(xiǎn)評估結(jié)果、上線前檢

測結(jié)果、合規(guī)性分析結(jié)果，進(jìn)行差距分析，提出安全改進(jìn)建議。

7等級保護(hù)服務(wù)流程

為實(shí)現(xiàn)項(xiàng)目目標(biāo)，在木次等級保護(hù)服務(wù)項(xiàng)目中，將包括協(xié)助系統(tǒng)

定級、差距分析、等級保護(hù)建設(shè)整改、等級保護(hù)管理制度建設(shè)、

等保測評、安全運(yùn)維。

系統(tǒng)定級備案

重要信息系統(tǒng)的定級工作，是開展等級保護(hù)的首要環(huán)節(jié)，是進(jìn)行

信息系統(tǒng)建設(shè)、整改、測評、備案、監(jiān)督檢查等后續(xù)工作的重要

基礎(chǔ)。

差距分析

差距分析工作內(nèi)容就是根據(jù)網(wǎng)絡(luò)和信息系統(tǒng)的安全保護(hù)等級，根

據(jù)國家等級保護(hù)相應(yīng)等級的技術(shù)和管理要求，分析評價(jià)網(wǎng)絡(luò)和信

息系統(tǒng)當(dāng)前的安全防護(hù)水平和措施與相應(yīng)等級要求之間的差距。

等保建設(shè)整改

等級保護(hù)建設(shè)整改是根據(jù)信息系統(tǒng)差距分析結(jié)果，對信息系統(tǒng)所

依賴的服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)及安全設(shè)備進(jìn)行配置安全

加固，安裝和實(shí)施各項(xiàng)新增安全設(shè)備，保障信息系統(tǒng)的安全穩(wěn)定

性。

等保管理制度建設(shè)

等級保護(hù)管理制度建設(shè)是根據(jù)信息安全等級保護(hù)安全管理的要

求，編寫符合等級保護(hù)要求的信息安全管理規(guī)范和制度，通過安

全管理的加強(qiáng)來規(guī)避管理風(fēng)險(xiǎn)。

7.1定級備案

7.1.1工作目的

協(xié)助完成安全等級保護(hù)的定級與備案。依據(jù)《信息系統(tǒng)安全等級

保護(hù)定級指南》，對客戶進(jìn)行未定級、備案信息系統(tǒng)進(jìn)行梳理,

協(xié)助客戶完成信息系統(tǒng)安全等級保護(hù)的定級與備案工作。

7.1.2工作方式

在定級咨詢過程中，新華三咨詢顧問將通過現(xiàn)場調(diào)研的方式來全

面了解客戶主要信息系統(tǒng)的基本情況，如數(shù)量、類別、名稱、承

載業(yè)務(wù)、服務(wù)范圍、用戶數(shù)量、部署方式，以進(jìn)行匯總分析，初

步進(jìn)行系統(tǒng)歸類、重要性劃分，為下一步確定定級對象、確定級

別、形成定級報(bào)告做準(zhǔn)備。

現(xiàn)場信息資料收集，以及對系統(tǒng)管理員進(jìn)行訪談及信息確認(rèn)，是

現(xiàn)場調(diào)研的主要工作。通過現(xiàn)場的了解，可以較深入理解信息系

統(tǒng)的重要程度，重要信息的分類情況，以及用戶分布情況。一般

系統(tǒng)的定級結(jié)果，不依賴于現(xiàn)有保護(hù)措施，所以通過現(xiàn)場的工作,

可以基本準(zhǔn)確理解信息系統(tǒng)及承載重要信息的侵害客體以及侵

害程度，從而為進(jìn)一步定級報(bào)告的編寫打下良好基礎(chǔ)。

7.1.3工作內(nèi)容

協(xié)助定級

如果信息系統(tǒng)只承載一項(xiàng)業(yè)務(wù)，可以直接為該信息系統(tǒng)確定等級,

不必劃分業(yè)務(wù)子系統(tǒng)。如果信息系統(tǒng)承載多項(xiàng)業(yè)務(wù)，應(yīng)根據(jù)各項(xiàng)

業(yè)務(wù)的性質(zhì)和特點(diǎn)，將信息系統(tǒng)分成若干業(yè)務(wù)子系統(tǒng)，分別為各

業(yè)務(wù)子系統(tǒng)確定安全保護(hù)等級，信息系統(tǒng)的安全保護(hù)等級由各業(yè)

務(wù)子系統(tǒng)的最高等級決定。信息系統(tǒng)是進(jìn)行等級確定和等級保護(hù)

管理的最終對象。

現(xiàn)場調(diào)研后，新華三咨詢顧問會準(zhǔn)備《信息系統(tǒng)安全等級保護(hù)定

級報(bào)告模板》，給出定級報(bào)告示例?？蛻粜畔⒐芾聿块T和業(yè)務(wù)部

門依據(jù)定級報(bào)告模板，起草各信息系統(tǒng)安全等級保護(hù)定級報(bào)告，

咨詢顧問根據(jù)已經(jīng)掌握的信息系統(tǒng)情況，對各信息系統(tǒng)定級報(bào)告

的合理性進(jìn)行初步研究和審核把關(guān)，請相關(guān)單位派人共同討論，

按照系統(tǒng)類別梳理定級報(bào)告，對照國家對不同等級的要求，在報(bào)

告內(nèi)容、行文格式、定級準(zhǔn)確性等方面給出修改意見。根據(jù)討論

的定級報(bào)告修改意見，統(tǒng)一匯總、整理后，形成定級報(bào)告的專家

評審稿。

專家評審

新華三咨詢顧問還將根據(jù)需要協(xié)助聘請等級保護(hù)專家、行業(yè)專家、

主管機(jī)關(guān)領(lǐng)導(dǎo)等外部專家，召開信息系統(tǒng)定級評審會，對定級報(bào)

告進(jìn)行外部評審，形成評審意見。

新華三咨詢顧問將參考專家定級評審意見，最終協(xié)助確定信息系

統(tǒng)等級，協(xié)助將各信息系統(tǒng)安全保護(hù)等級定級報(bào)告報(bào)經(jīng)上級主管

部門審批同意。

最后，咨詢顧問將協(xié)助填寫《信息系統(tǒng)安全等級保護(hù)備案表》，

協(xié)助客戶主要業(yè)務(wù)系統(tǒng)完成備案工作。

7.1.4提交成果

《信息系統(tǒng)安全等級保護(hù)備案表》

《信息系統(tǒng)安全等級保護(hù)定級報(bào)告》

《專家評審意見》

7.2差距分析

根據(jù)國家等級保護(hù)政策法規(guī)和標(biāo)準(zhǔn)規(guī)范，確定安全保護(hù)等級的信

息系統(tǒng)應(yīng)該具有相應(yīng)級別的安全防護(hù)能力，其中主要是根據(jù)

GBT22239.2008《信息安全技術(shù)J言息系統(tǒng)安全等級保護(hù)基本要求》

來分析XXX目前的安全防護(hù)能力與基本要求中相應(yīng)級別之間的

差距。

7.2.1工作目的

根據(jù)國家等級保護(hù)要求，對于確定了安全保護(hù)等級的信息系統(tǒng)規(guī)

定了基本的安全保護(hù)要求，規(guī)定了應(yīng)該具有的防護(hù)措施，以確保

信息系統(tǒng)具有相當(dāng)水平的安全防護(hù)能力。

差距分析就是根據(jù)GBT22239-2008《信息安全技術(shù)—信息系統(tǒng)安

全等級保護(hù)基本要求》，結(jié)合云平臺的業(yè)務(wù)情況和行業(yè)要求，從

安全技術(shù)和安全管理兩個(gè)方面，全面分析信息系統(tǒng)現(xiàn)有防護(hù)措施

和能力與相應(yīng)等級基本要求之間存在的差距，用以為等級保護(hù)建

設(shè)提供客觀依據(jù)并指導(dǎo)信息系統(tǒng)等級保護(hù)體系設(shè)計(jì)。

7.2.2工作方式

業(yè)務(wù)系統(tǒng)差距分析工作計(jì)劃通過以下方式進(jìn)行。

n訪談

訪談是指評估人員與信息系統(tǒng)有關(guān)人員就差距分析所關(guān)注的問

題進(jìn)行有針對性的詢問和交流的過程，該過程可以幫助評估者了

解現(xiàn)狀、澄清疑問或獲得證據(jù)。

訪談深度（即訪談內(nèi)容的詳細(xì)程度）以及訪談的廣度（即對被評

估組織中員工角色類型以及每種類型中人數(shù)的覆蓋程度）由評估

人員依據(jù)不同的評估需要進(jìn)行選擇和判斷。

n檢查

檢查是指對評估電象（如規(guī)范、機(jī)制或行為）進(jìn)行觀察、調(diào)查、

評審、分析或核查的過程。與訪談?lì)愃?，該過程可以幫助評估者

了解現(xiàn)狀、澄清疑問或獲得證據(jù)。

比較典型的檢查行為包括：對安全配置的核查、對安全策略的分

析和評審等。

n測試

測試是指在特定環(huán)境中運(yùn)行一個(gè)或多個(gè)評估對象（限于機(jī)制或行

為）并將實(shí)際結(jié)果與預(yù)期結(jié)果進(jìn)行比較的過程。測試的目標(biāo)是判

定對象是否符合預(yù)定的一組規(guī)格。測試過程可以幫助評估者獲得

證據(jù)。

n調(diào)查表

根據(jù)系統(tǒng)業(yè)務(wù)情況和系統(tǒng)現(xiàn)狀，制定詳細(xì)的調(diào)查表，并由安徽移

動相關(guān)人員進(jìn)行填寫，以獲得業(yè)務(wù)系統(tǒng)基礎(chǔ)數(shù)據(jù)。具體包括應(yīng)用

信息系統(tǒng)調(diào)查表、物理資產(chǎn)調(diào)查表、軟件資產(chǎn)調(diào)查表、各相關(guān)設(shè)

備資產(chǎn)調(diào)查表。

7.2.3工作內(nèi)容

按照等級保護(hù)實(shí)施要求，不同安全等級的信息系統(tǒng)應(yīng)該具備相應(yīng)

等級的安全防護(hù)能力，部署相應(yīng)的安全設(shè)備，制定相應(yīng)的安全管

理機(jī)構(gòu)、制度、崗位等。差距分析就是依據(jù)等級保護(hù)技術(shù)標(biāo)準(zhǔn)和

管理規(guī)范，比較分析信息系統(tǒng)安全防護(hù)能力與等級要求之間的差

距，為等級化體系設(shè)計(jì)提供依據(jù)。

7.2.4提交成果

XXX差距分析過程中將產(chǎn)生眾多文檔，其中包括過程文檔和結(jié)果

文檔，過程文檔用以支持咨詢?nèi)藛T進(jìn)行差距分析，并形成結(jié)果文

檔《XXX等級保護(hù)差距分析報(bào)告》。

信息系統(tǒng)等級保護(hù)差距分析報(bào)告主要內(nèi)容：差距分析是以現(xiàn)場調(diào)

查和測試所收集的信息為依據(jù)，滿足等級保護(hù)要求為目標(biāo)，對現(xiàn)

有系統(tǒng)安全做出的一種客觀的、真實(shí)的評價(jià)。報(bào)告內(nèi)容包括對各

信息系統(tǒng)現(xiàn)有安全防護(hù)水平與相應(yīng)等級之間差距的描述和整改

建議等。差距分析是制定信息系統(tǒng)安全等級保護(hù)體系設(shè)計(jì)方案前

的一個(gè)非常關(guān)鍵的環(huán)節(jié)，為信息系統(tǒng)安全等級保護(hù)體系設(shè)計(jì)方案

的撰寫提供參考。

7.3等保建設(shè)整改

7.3.1工作目的

根據(jù)前期等級保護(hù)整改、差距分析結(jié)果，結(jié)合XXX的業(yè)務(wù)需求,

對信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫進(jìn)行安全策

略加強(qiáng)、調(diào)優(yōu)等，加強(qiáng)網(wǎng)絡(luò)、系統(tǒng)和設(shè)備抵御攻擊和威脅的能力，

整體提高網(wǎng)絡(luò)安全防護(hù)水平。

7.3.2工作方式

安全加固與優(yōu)化將采用如下工作方式：

會議交流：項(xiàng)目組將根據(jù)脆弱性檢測結(jié)果，提出安全加固與優(yōu)化

建議，并通過組織交流會的形式，與相關(guān)負(fù)責(zé)人就每臺主機(jī)、網(wǎng)

絡(luò)與安全設(shè)備的具體加固內(nèi)容進(jìn)行協(xié)商，明確操作風(fēng)險(xiǎn)，探討利

害關(guān)系，確定加固方式，最終確定安全加固方案；

現(xiàn)場實(shí)施：項(xiàng)目組將赴現(xiàn)場，以安全加固方案為依據(jù)，協(xié)助和指

導(dǎo)系統(tǒng)運(yùn)維人員進(jìn)行加固與優(yōu)化操作，逐項(xiàng)實(shí)施每臺設(shè)備的安全

加固項(xiàng)目。

7.3.3工作流程

系統(tǒng)相關(guān)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器操作系統(tǒng)以及數(shù)據(jù)庫等配

置安全加固與優(yōu)化的工作流程如下圖所示：

圖配置安全加固工作流程

配置加固流程描述如下（項(xiàng)目實(shí)施中，可以根據(jù)實(shí)際情況需要,

對流程進(jìn)行調(diào)整、合并和展開等）：

1.確定加固范圍：確定實(shí)施范圍，如應(yīng)用系統(tǒng)、資產(chǎn)等；

2.制定加固實(shí)施方案：確定實(shí)施人員、加固工具、進(jìn)度計(jì)劃等，

為實(shí)施提供指導(dǎo)；

3.向項(xiàng)目負(fù)責(zé)人匯報(bào)：就配置加固實(shí)施方案向項(xiàng)目負(fù)責(zé)人匯報(bào),

并得到同意；

4.系統(tǒng)備份：對配置加固涉及的系統(tǒng)利數(shù)據(jù)進(jìn)行備份；

5.加固實(shí)施：根據(jù)配置加固實(shí)施方案進(jìn)行加固實(shí)施；

6.檢驗(yàn)加固結(jié)果：驗(yàn)證配置加固的有效性；

7.提交加固報(bào)告、總結(jié)匯報(bào)：總結(jié)配置加固實(shí)施情況，并進(jìn)行

匯報(bào)。

7.3.4工作內(nèi)容

根據(jù)前期對XXX進(jìn)行的調(diào)研、評估與測評結(jié)果，以等級保護(hù)體系

設(shè)計(jì)和等級保護(hù)差距分析報(bào)告為依據(jù)，根據(jù)網(wǎng)絡(luò)安全特殊需求和

業(yè)務(wù)流程制定安全加固方案，在不影響當(dāng)前業(yè)務(wù)開展的前提下,

對信息系統(tǒng)內(nèi)的操作系統(tǒng)、數(shù)據(jù)庫、安全設(shè)備以及中間件的安全

配置策略進(jìn)行加強(qiáng)，降低惡意攻擊者利用安全漏洞威脅系統(tǒng)安全

運(yùn)行的幾率，從而有效控制因系統(tǒng)配置不當(dāng)?shù)纫蛩匾l(fā)的業(yè)務(wù)中

斷及信息外泄等風(fēng)險(xiǎn)，將高風(fēng)險(xiǎn)漏洞和中風(fēng)險(xiǎn)漏洞降低至可接受

的范圍內(nèi)，使得應(yīng)用系統(tǒng)的安全狀況提升到一個(gè)較高的水平。

本次項(xiàng)目安全加固對象分為四類，即信息系統(tǒng)內(nèi)的操作系統(tǒng)、數(shù)

據(jù)庫、中間件以及網(wǎng)絡(luò)與安全設(shè)備。

7.3.5提交成果

XXX安全加固與優(yōu)化工作將產(chǎn)生如下文檔：

《系統(tǒng)安全掃描人工分析報(bào)告》、《安全配置檢查和加固建議報(bào)

告》、《系統(tǒng)主機(jī)設(shè)備加固報(bào)告》、《網(wǎng)絡(luò)設(shè)備加固實(shí)施報(bào)告》。

通過對系統(tǒng)相關(guān)主機(jī)、網(wǎng)絡(luò)與安全設(shè)備配置的加固與優(yōu)化，將會

減少安全漏洞和設(shè)備配置策略的不合理性，提高系統(tǒng)抗攻擊的能

力，從而可有效防范攻擊、限制危害要延，充分發(fā)揮各項(xiàng)安全措

施的作用，增強(qiáng)系統(tǒng)的安全性和穩(wěn)定性。

7.4等級保護(hù)管理制度建設(shè)

7.4.1工作目的

以等級保護(hù)差距分析結(jié)果為依據(jù)，依照安全保障體系設(shè)計(jì)所提及

的建設(shè)內(nèi)容，按照等級保護(hù)標(biāo)準(zhǔn)要求，制定等級保護(hù)管理體系框

架，明確管理方針、策略，以及相應(yīng)的規(guī)定、操作規(guī)程、業(yè)務(wù)流

程和記錄表單；XXX從貼合業(yè)務(wù)流程的原則出發(fā)，指導(dǎo)系統(tǒng)運(yùn)維

方按照等級保護(hù)三級系統(tǒng)的管理標(biāo)準(zhǔn)，編寫管理制度文件，并進(jìn)

行反復(fù)溝通和修訂，確保所制定的文件的適用性，且滿足各系統(tǒng)

相應(yīng)保護(hù)等級的安全管理要求。通過制定和完善管理制度，明確

責(zé)任權(quán)力，規(guī)范操作，加強(qiáng)對人員、設(shè)備和業(yè)務(wù)系統(tǒng)的管理，完

備應(yīng)急響應(yīng)機(jī)制，將顯著提升XXX的信息安全管理水平，有效控

制信息系統(tǒng)所面臨的安全風(fēng)險(xiǎn)，從而確保業(yè)務(wù)系統(tǒng)的安全、穩(wěn)定

運(yùn)行。

7.4.2工作方式

等級制度建設(shè)的工作方式主要如下:

1、調(diào)研訪談：采用定制的調(diào)研問卷進(jìn)行訪談，了解XXX的詳細(xì)

情況，如組織機(jī)構(gòu)（部門設(shè)置、人員職務(wù)、外部聯(lián)系和接口）、

業(yè)務(wù)流程（目標(biāo)、流程、人員、物理位置、外部聯(lián)系和接口）、

信息資產(chǎn)（網(wǎng)絡(luò)拓?fù)洹⒅鳈C(jī)和設(shè)備資料）、內(nèi)部文件（運(yùn)維程序、

安全管理制度、建設(shè)方案）、原有管理相關(guān)文件及需遵守的法律

法規(guī)文件等。

2、項(xiàng)目會議：召開會議，以調(diào)研訪談記錄和差距分析結(jié)果為依

據(jù)，研究制定安全管理制度框架和編寫相應(yīng)的管理制度。

3、交流：與相關(guān)人員就管理制度框架、管理制度內(nèi)容進(jìn)行反復(fù)

的溝通、討論和修訂，確保安全管理制度貼合業(yè)務(wù)實(shí)際，并滿足

等級保護(hù)標(biāo)準(zhǔn)和相關(guān)政策要求。

7.4.3工作內(nèi)容

制定和XXX的安全保護(hù)等級相適應(yīng)的配套管理制度，制度相關(guān)內(nèi)

容如下：

1、安全管理機(jī)構(gòu)：加強(qiáng)和完善安全機(jī)構(gòu)的建設(shè)，設(shè)立