中國電信產(chǎn)品維護經(jīng)理認證體系教材網(wǎng)絡(luò)安全

中國電信產(chǎn)品維護經(jīng)理認證體系教材網(wǎng)絡(luò)安全

產(chǎn)品保護經(jīng)理認證體系教材

一網(wǎng)絡(luò)安全

中國電信保護崗位認證教材編寫小組編制

目錄

第1章信息安全管理基礎(chǔ)5

1.1信息安全概述5

1.1.1信息安全面臨的要緊問題5

1.1.2信息安全的相對性5

1.2信息安全管理有關(guān)概念5

1.2.1什么是信息安全5

1.2.2信息安全的進展過程6

1.2.3信息安全的基本目標6

1.2.4如何實現(xiàn)信息安全6

1.2.5信息安全需要遵循的模式7

1.3BS7799概述7

1.3.1BS77997

1.3.2ISO177998

1.3.3安全管理體系規(guī)范14

1.3.4ISMS管理框架15

第2章網(wǎng)絡(luò)安全防護實施標準17

2.1電信網(wǎng)與互聯(lián)網(wǎng)安全防護管理指南17

2.2電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護實施指南25

2.3電信網(wǎng)與互聯(lián)網(wǎng)安全風(fēng)險評估實施指南51

2.4電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護實施指南76

第3章中國電信安全保護規(guī)范91

3.1安全域劃分及邊界整合91

3.1.1安全域劃分與邊界整合91

3.1.2定級備案91

3.1.3安全域職責(zé)分工91

3.1.4網(wǎng)絡(luò)接入91

3.2安全管理規(guī)范91

3.2.1安全操作流程與職責(zé)91

3.2.2安全對象管理92

3.2.3安全日常保護管理92

3.2.4第三方服務(wù)管理93

3.2.5介質(zhì)安全管理93

3.2.6設(shè)備安全規(guī)范管理93

3.3訪問操縱94

3.3.1網(wǎng)絡(luò)訪問操縱94

3.3.2操作系統(tǒng)的訪問操縱95

3.3.3應(yīng)用訪問操縱95

3.3.4網(wǎng)絡(luò)訪問與使用的監(jiān)控95

3.3.5遠程訪問操縱96

3.4網(wǎng)絡(luò)與系統(tǒng)風(fēng)險評估96

3.5安全事件與應(yīng)急響應(yīng)96

3.5.1安全事件報告機制96

3.5.2應(yīng)急響應(yīng)97

3.6安全審計管理97

3.6.1審計內(nèi)容要求97

3.6.2審計原則97

3.6.3審計管理98

第4章安仝評估99

4.1安全評估概述99

4.1.1安全評估目的99

4.1.2安全評估要素99

4.1.2安全評估過程101

4.1.4安全評估工具102

4.1.5安全評估標準102

4.2安全掃描103

4.2.1漏洞及其分類103

4.2.2網(wǎng)絡(luò)掃描技術(shù)104

第5章常見安全產(chǎn)品107

5.1防病毒網(wǎng)關(guān)107

5.1.1防病毒網(wǎng)關(guān)基礎(chǔ)概念107

5.1.2防病毒網(wǎng)關(guān)與防火墻區(qū)別108

5.1.3防病毒網(wǎng)關(guān)與防病毒軟件區(qū)別109

5.1.4防病毒網(wǎng)關(guān)關(guān)鍵技術(shù)110

5.2防火墻112

5.2.1防火墻基本知識112

5.2.2防火墻基本配置116

5.3入侵檢測123

5.3.1入侵檢測與入侵防御概述123

5.3.2入侵檢測系統(tǒng)介紹125

5.3.3入侵防御系統(tǒng)介紹133

5.4VPN137

5.4.1VPN的基本原理137

5.4.2VPN的安全協(xié)議138

附錄：第一章安全配置154

1.1網(wǎng)絡(luò)設(shè)備安全配置154

1.1.1交換機安全配置154

1.1.2路由器安全配置156

1.2主機安全配置166

1.2.1Windows安全配置166

1.2.2Solaris安全配置171

1.2.3Linux安全配置173

附錄第二章密碼學(xué)基礎(chǔ)175

2.1密碼學(xué)概述175

2.1.1密碼學(xué)概述175

2.1.2密碼體制的分類175

2.1.4密碼學(xué)的要緊應(yīng)用178

2.1.5信息加密方式178

2.2對稱密碼學(xué)180

2.3非對稱密碼學(xué)180

2.4消息認證技術(shù)181

第1章信息安全管理基礎(chǔ)

1.1信息安全概述

1.1.1信息安全面臨的要緊問題

1、人員問題：

>信息安全意識薄弱的員工誤操作、誤設(shè)置造成系統(tǒng)宕機、數(shù)據(jù)丟失，信息泄漏

等問題

>特權(quán)人員越權(quán)訪問，如：系統(tǒng)管理員，應(yīng)用管理員越權(quán)訪問、傳播敏感數(shù)據(jù)

>內(nèi)部員工與馬上離職員工竊取企業(yè)秘密，特別是骨干員工流淌、集體流淌等

2、技術(shù)問題：

>病毒與黑客攻擊越來越多、爆發(fā)越來越頻繁，直接影響企業(yè)正常的業(yè)務(wù)運作

3、法律方面

>網(wǎng)絡(luò)濫用：員工發(fā)表政治言論、訪問非法網(wǎng)站

>法制不健全，行業(yè)不正當(dāng)競爭（如：竊取機密，破壞企業(yè)的業(yè)務(wù)服務(wù)）

1.1.2信息安全的相對性

安全沒有100%，完美的健康狀態(tài)永遠也不能達到。

安全工作的目標：將風(fēng)險降到最低。

1.2信息安全管理有關(guān)概念

1.2.1什么是信息安全

IS017799中的描述：“Informationisanassetwhich,likeotherimportantbusiness

assets,hasvaluetoanorganizationandconsequentlyneedstobesuitably

protected.”

uInformationcanexistinmanyforms.Itcanbeprintedorwrittenonp￡per,

storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,

orspokeninconversation.

定義中強調(diào)信息：

>是一種資產(chǎn)

>同其它重要的商業(yè)資產(chǎn)一樣

>對組織具有價值

>需要適當(dāng)?shù)谋Ｗo

>以各類形式存在：紙、電子、影片、交談等

IS017799中的描述：aInformationsecurityprotectsinformationfromawiderange

ofthreatsinordertoensurebusinesscontinuity,minimizebusinessdamageand

maximizereturnoninvestmentsandbusinessopportunities.n

信息安全：

>保護信息免受各方威脅

>確保組織業(yè)務(wù)連續(xù)性

>將信息不安全帶來的缺失降低到最小

>獲得最大的投資I可報與商業(yè)機會

1.2.2信息安全的進展過程

20世紀初：強調(diào)保密性(密碼學(xué))

20世紀60年代：保密性、完整性、可用性(CIA)

20世紀80年代：保密性、完整性、可用性、抗抵賴、可控性、真實性

1.2.3信息安全的基本目標

保密性(Confidentiality)：確保信息在存儲、使用、傳輸過程中不可能泄漏給非授

權(quán)用戶或者實體。

完整性(Integrity)：確保信息在存儲、使用、傳輸過程中不可能被非授權(quán)用戶篡改，

同時還要防止授權(quán)用戶對系統(tǒng)及信息進行不恰當(dāng)?shù)拇鄹?，保持信息?nèi)、外部表示的一致性。

可用性(Availability)：確保授權(quán)用戶或者實體對信息及資源的正常使用不可能被特

殊拒絕，同意其可靠而及時地訪問信息及資源。

1.2.4如何實現(xiàn)信息安全

物理安全技術(shù)：環(huán)境安全、設(shè)備安全、媒體安全；

系統(tǒng)安全技術(shù)：操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)的安全性；

網(wǎng)絡(luò)安全技術(shù)：網(wǎng)絡(luò)隔離、訪問操縱、VPN、入侵檢測、掃描評估；

應(yīng)用安全技術(shù)：Email安全、Web訪問安全、內(nèi)容過濾、應(yīng)用系統(tǒng)安全；

數(shù)據(jù)加密技術(shù)：硬件與軟件加密，實現(xiàn)身份認證與數(shù)據(jù)信息的CIA特性；

認證授權(quán)技術(shù)：口令認證、SSO認證(比如Kerberos)、證書認證等；

訪問操縱技術(shù)：防火墻、訪問操縱列表等；

審計跟蹤技術(shù)：入侵檢測、日志審計、辨析取證；

防病毒技術(shù)：單機防病毒技術(shù)逐步進展成整體防病毒體系；

災(zāi)難恢復(fù)與備份技術(shù)：業(yè)務(wù)連續(xù)性技術(shù)，前提就是對數(shù)據(jù)的備份。

1.2.5信息安全需要遵循的模式

在信息安全管理方面，BS7799標準為我們提供了指導(dǎo)性建議，即基于PDCA（Plan、Do、

Check與Act,即戴明環(huán)）的持續(xù)改進的管理模式。

pg”階段，根據(jù)風(fēng)險彳估結(jié)果、法

律法規(guī)要求、公司業(yè)務(wù)運作自身需

要來確定控制目標與控制措施。

D。階段：實施所選Act階段：針對檢查結(jié)果采

的安全控制措施。取應(yīng)對措施，改進安全狀況。

Check階段，依據(jù)策略、程序、標

準和法律法規(guī)，對安全措施的實

施情況進行符合性檢查。

信息安全管理體系的持續(xù)改進

要求

1.3BS7799概述

1.3.1BS7799

(一)BS7799簡介

BS7799是英國標準協(xié)會(BritishStandardsInst:tute,BSI)制定的信息安全標準，

由信息安全方面的最佳慣例構(gòu)成的一套全面的操縱集，是信息安全管理方面最受推崇的國際

標準。

BS7799與IS017799的區(qū)別：

BS7799：

>英國標準

>已被多個國家認同(如澳大利亞等)

>第二部分是可認證標準

>2002年新修訂了第2部分。新版本風(fēng)格接近IS09000與IS014000。

ISO17799

>2000年采納了BS7799的第一部分

>第二部分還在討論中

(二)BS7799的歷史沿革

1990年代初一一英國貿(mào)工部(DTI)成立工作組，立項開發(fā)一套可供開發(fā)、實施與

測量有效安全管理慣例并梃供貿(mào)易伙伴間信任的通用框架。

1993年9月——頒布《信息安全管理實施細則》，形成BS7799的基礎(chǔ)。

1995年2月——首次出版BS7799-1:1995《信息安全管理實施細則》。

1998年2月——英國公布BS7799-2:《信息安全管理體系規(guī)范》。

1999年4月——BS7799T與BS7799-2修訂后重新公布。

2000年12月——國際標準組織ISO/IECJTC1/5c27工作組認可通過BS7799-1,頒

布ISO/IEC17799-1:2000《信息技術(shù)——信息安全管理實施細則》。

2002年9月——BSI對BS7799-2進行了改版，用來替代原標準(BS7799-2:1999)

使用，并可望通過ISO組織認可。

IS027001:2005——建立信息安全管理體系(ISMS)的一套規(guī)范(Specificationfor

InformationSecurityManagementSystems).其中全面說明了建立、比施與保護信息安

全管理體系的要求，指出實施機構(gòu)應(yīng)該遵循的風(fēng)險評估標準。

1.3.2ISO17799

安全策略(SecurityPolicy)

圖：ISO17799:2005內(nèi)容框架

（一）信息安全管理細則

?信息安全策略

?安全組織

?資產(chǎn)分類與操縱

?人員安全

?物理與環(huán)境安全

?通信與操作管理

?訪問操縱

?系統(tǒng)獲得、開發(fā)與保護

?信息安全事件管理

?業(yè)務(wù)連續(xù)性管理

?依從性

（二）信息安全策略

?目標：

?信息安全策略一一為信息安全提供與業(yè)務(wù)需求與法律法規(guī)相一致的

管理指示及支持

?安全策略應(yīng)該做到：

?對信息安全加以定義

?凍述管理層的意圖

?分派責(zé)任

?約定信息安全管理的范圍

?對特定的原則、標準與遵守要求進行說明

?對報告可疑安全事件的過程進吁說明

?定義用以保護策略的復(fù)查過程

（三）安全組織

?目標：

?信息安全基礎(chǔ)設(shè)施一一在組織內(nèi)部管理信息安全

?外部組織一一保持組織的被外部組織訪問、處理、溝通或者管理的

信息及信息處理設(shè)備的安全

?包含的內(nèi)容：

?建立管理委員會，定義安全管理的角色與責(zé)任

?對軟硬件的采購建立授權(quán)過程

?與第三方簽訂的協(xié)議中應(yīng)覆蓋所有有關(guān)的安全要求。

?外包合同中的安全需求

?包含內(nèi)部組織與外部伙伴

（四）資產(chǎn)管理

?目標：

?資產(chǎn)責(zé)任一一實現(xiàn)并保持組織資產(chǎn)的適當(dāng)保護

?信息分類一一確保對信息資產(chǎn)的保護達到恰當(dāng)?shù)乃?/p>

?包含的內(nèi)容：

?組織能夠根據(jù)業(yè)務(wù)運作流程與信息系統(tǒng)拓撲結(jié)構(gòu)來識別信息資產(chǎn)。

?按照信息資產(chǎn)所屬系統(tǒng)或者所在部門列出資產(chǎn)清單。

-所有的信息資產(chǎn)都應(yīng)該具有指定的屬主同時能夠被追溯責(zé)任。

?信息應(yīng)該被分類，以標明其需求、優(yōu)先級與保護程度。

?根據(jù)組織使用的分類方案，為信息標注與處理定義一套合適的程序。

（五）人力資源安全

目標:

?雇傭前一一確保員工、合同訪與笫三方用戶熟悉他們的責(zé)任并適合

于他們所考慮的角色，減少盜竊、濫用或者設(shè)施誤用的風(fēng)險。

?雇傭中一一確保所有的員工、合同方與第三方用戶熟悉信息安全威

脅與有關(guān)事宜、他們的責(zé)任與義務(wù)，并在他們的日常工作中支持組織政信息

安全方針，減少人為錯誤的風(fēng)險。

?解聘與變更一一確保員工、合同方與第三方用戶離開組織或者變更

雇傭關(guān)系時以一種有序的方式進行。

?包含的內(nèi)容：

?有意或者者無意的人為活動可能給數(shù)據(jù)與系統(tǒng)造成風(fēng)險

-在正式的工作描述中建立安全責(zé)任，員工入職審杳

（六）物理與環(huán)境安全

?目標：

?安全區(qū)域一一防止非授權(quán)訪問、破壞與干擾業(yè)務(wù)運行的前提條件及

信息。

?設(shè)備安全一一預(yù)防資產(chǎn)的丟失、損壞或者被盜，與對組織業(yè)務(wù)活動

的干擾。

?包含的內(nèi)容：

?應(yīng)該建立帶有物理入口操縱的安全區(qū)域

?應(yīng)該配備物理保護的硬件設(shè)備

?應(yīng)該防止網(wǎng)絡(luò)電纜被塔線竊聽

?將設(shè)備搬離場所，或者者準備衣廢時，應(yīng)考慮其安全

（七）通信與操作管理

?目標：

?操作程序與責(zé)任一一確保信息處理設(shè)施的正確與安全操作。

?第三方服務(wù)交付管理一一實施并保持信息安全的適當(dāng)水平,確保第

三方交付的服務(wù)符合協(xié)議要求。

?系統(tǒng)規(guī)劃與驗收一一減少系統(tǒng)失效帶來的風(fēng)險。

?防范惡意代碼與移動代碼一一保護軟件與信息的完整性。

?備份一一保持信息與信息處理設(shè)施的完整性與可用性

?網(wǎng)絡(luò)安全管理一一確保對網(wǎng)絡(luò)中信息與支持性基礎(chǔ)設(shè)施的安全保

護。

?介質(zhì)處理與安全一一防止對資產(chǎn)的未授權(quán)泄漏、修改、移動或者損

壞，及對業(yè)務(wù)活動的干擾。

?信息與軟件的交換一一應(yīng)保持組織內(nèi)部或者組織與外部組織之間

交換信息與軟件的安全。

?電子商務(wù)服務(wù)一一確保電子商務(wù)的安全及他們的安全使用。

?監(jiān)督一一檢測未經(jīng)授權(quán)的信息處理活動。

?包含的內(nèi)容：

?防病毒，防惡意軟件

?進行變更操縱

-做好備份，存儲介質(zhì)的安全處理，儲存正確的訪問日志，系統(tǒng)文件

的安全性

?電子郵件安全性

?保護傳輸中的數(shù)據(jù)

（八）訪問操縱

?目標：

?訪問操縱的業(yè)務(wù)需求一一操縱對信息的訪問。

?用戶訪問管理一一確保授權(quán)用戶的訪問，并預(yù)防信息系統(tǒng)的非授權(quán)

訪問。

?用戶責(zé)任一一預(yù)防未授權(quán)用戶的訪問，信息與信息處理設(shè)施的破壞

或者被盜。

?網(wǎng)絡(luò)訪問操縱一一防止對網(wǎng)絡(luò)服務(wù)未經(jīng)授權(quán)的訪問。

?操作系統(tǒng)訪問操縱一一防止對操作系統(tǒng)的未授權(quán)訪問。

?應(yīng)用訪問操縱一一防止對應(yīng)用系統(tǒng)中信息的未授權(quán)訪問。

?移動計算與遠程工作一一確保在使用移動計算與遠程工作設(shè)施時

信息的安全。

?包含的內(nèi)容：

?口令的正確使用

?對終端的物理訪問

?自動終止時間

-軟件監(jiān)視等

（九）系統(tǒng)獲得、開發(fā)與保護

?目標；

-系統(tǒng)的安全需求一一確保安全內(nèi)建于信息系統(tǒng)中。

?應(yīng)用系統(tǒng)的安全一一防止應(yīng)用系統(tǒng)信息的錯誤、丟失、未授權(quán)的修

改或者誤用。

?加密操縱一一通過加密手段來保護細膩的保密性、真實性或者完整

性。

?系統(tǒng)文件的安全一一確保系統(tǒng)文檔的安全。

?開發(fā)與支持過程的安全一一保持應(yīng)用系統(tǒng)軟件與信息的安全。

?技術(shù)漏洞管理一一減少由利用公開的技術(shù)漏洞帶來的風(fēng)險。

?包含的內(nèi)容：

?在系統(tǒng)設(shè)計時應(yīng)該考慮輸入數(shù)據(jù)校驗、數(shù)據(jù)加密、數(shù)據(jù)文件的安全

性、測試數(shù)據(jù)的保護

?軟件開發(fā)與保護中應(yīng)該建立配置管理、變更操縱等機制

（十）信息安全事件管理

?目標：

?報告信息安全事件與弱點一一確保與信息系統(tǒng)有關(guān)的安全事件與弱

點的溝通能夠及時采取糾正措施。

?信息安全事故的管理與改進一一確保使用持續(xù)有效的方法管理信息

安全事故。

?包含的內(nèi)容：

-正常的事件報告與分類程序，這類程序用來報告可能對機構(gòu)的財產(chǎn)安

全造成影響的不一致種類的事件與弱點

-所有的員工、合同方與第三方用戶都應(yīng)該知曉這套報告程序。

?要求員工需要盡可能快地將信息安全事件與弱點報告給指定的聯(lián)系

方。

（十一）業(yè)務(wù)連續(xù)性管理

?目標：

?業(yè)務(wù)連續(xù)性管理的信息安全方面一一：防止業(yè)務(wù)活動的中斷，保護關(guān)

鍵業(yè)務(wù)流程不可能受信息系統(tǒng)重大失效或者自然災(zāi)害的影響，并確保他們的

及時恢復(fù)。

?包含的內(nèi)容：

?全面懂得業(yè)務(wù)連續(xù)性計劃（BCP）

?懂得組織面臨的風(fēng)險，識別關(guān)鍵業(yè)務(wù)活動與優(yōu)先次序。

確認可能對業(yè)務(wù)造成影響的中斷。

應(yīng)該設(shè)計、實施、測試與保護BCP

（十二）符合性

?目標：

?與法律法規(guī)要求的符合性一一避免違反法律、法規(guī)、規(guī)章、合同要求

與其他的安全要求。

?符合安全方針、標準，技術(shù)符合性一一確保系統(tǒng)符合組織安全方針與

標準。

?信息系統(tǒng)審核的考慮因素一一最大化信息系統(tǒng)審核的有效性,最小化

來自/對信息系統(tǒng)審核的影響。

?包含的內(nèi)容：

?組織應(yīng)該確保遵守有關(guān)的法律法規(guī)與合同義務(wù)

?軟件版權(quán)，知識產(chǎn)權(quán)等

1.3.3安全管理體系規(guī)范

（一）BS7799-2簡介

BS7799標準對■信息安全管理體系（ISMS）并沒有一個明確的定義，能夠?qū)⑵涠脼榻M

織管理體系的一部分。

ISMS涉及到的內(nèi)容：用于組織信息資產(chǎn)風(fēng)險管理、確保組織信息安全的、包含為制定、

實施、評審與保護信息安全策略所需的組織機構(gòu)、目標、職責(zé)、程序、過程與資源。

標準要求的1SMS建立過程：制定信息安全策略，確定體系范圍，明確管理職責(zé)，通過風(fēng)

險評估確定操縱目標與操縱方式。

體系一旦建立，組織應(yīng)該按規(guī)定要求進行運作，保持體系的有效性。

ISMS應(yīng)形成一定的文檔，包含策略、適用性聲明文件與實施安全操縱所需的程序文件。

一個文檔化的ISMS應(yīng)該闡述：要保護的資產(chǎn)，組織進行風(fēng)險管理的途徑，操縱目標與操

縱方式，需要的保障程度，

（二）ISMS的作用

>強化員工的信息安全意識，規(guī)范組織信息安全行為；

>對?組織的關(guān)鍵信息資產(chǎn)進行全面系統(tǒng)的保護，維持競爭優(yōu)勢；

>在信息系統(tǒng)受到侵襲時，確保業(yè)務(wù)持續(xù)開展并將缺失降到最低程度；

>使組織的生意伙伴與客戶對組織充滿信心,假如通過體系認證,說明體系符合標準,

證明組織有能力保障重要信息，提高組織的知名度與信任度；

>促使管理層堅持貫徹信息安全保障體系。

（三）ISO27001定義的信息安全管理體系

?設(shè)定信息安全的方

向和目標，定義管

理層承諾的策略

1.3.4ISMS管理框架

建立ISUS管理框架的過程:

策略文檔

Step2

Step3威脅、弱點、款響

組織風(fēng)險管理的途徑

Step4

要求達到的保障程度

BS7799-2第三段列出

Step5的控制目標和控制

不在BS7799范圍內(nèi)的

其他安全控制

Step6

ISMS是一個文檔化的體系。文檔架構(gòu)如下圖所示:

管理規(guī)定、規(guī)范

第一級：方針策略，《信息安全管理手冊》是XX信息安全管理工作的綱領(lǐng)性文件。

第二級：管理規(guī)定、規(guī)范、程序文件用來規(guī)定所要求的管理制度或者技術(shù)操縱措施。

第三級：管理辦法與實施細則解釋特殊工作與活動的細節(jié)。

第四級：記錄活動實行以符合等級1,2,與3的文件要求的客觀證據(jù)，闡明所取得的結(jié)果

或者提供完成活動的證據(jù)

ISMS文件體系邏輯框架圖：

ISMS體系內(nèi)容一各領(lǐng)域控制要求ISMS體系運作

第一級：,is?E全萬”道專性聲號CSOA

1

文件i'三百五全守瑁手,二

「…：

■織、集產(chǎn)、AfiiL通隹與受車、斗及系更開發(fā)與虺設(shè)L安全享件一「士務(wù)連讀性^_>一符合4-

右且交金母E茶人G良系京逵&五全

系罡阜天全業(yè)務(wù)逐甘性營城E凌工，枚號.三洗0至

電以安?分稅管電存量與各&管是安全校W同在訐乞音息充，?

?人員僧息安全看爹?史蕃卡?至善理…????如內(nèi)隼管理

第二級5

笫三方及外包安士力向控與管理；:SYS首運產(chǎn)率

1

文件I

?盡支全塔記笠運支更女女左運23>i-ZS5.^:

!

1立泰控急汽卷史上

M金步步安》…….3??；???????????..―一■???????????????—一??????????????1..

二年環(huán)饅安全(安金總行與E區(qū)

>

S

1安全專工與專垣

!

2

■

安全正不蒞設(shè)營友網(wǎng)交金以兀友全代與二看砂運各區(qū)Q臺厚家:W在涔晚兄表寫區(qū)范

不弓系0上臺安全災(zāi)吃也復(fù)計困,Xx安會審計3保信息安金求落定2

.主息去殳宏利才知.性去刻我i

——：______________%不及定.一

1

第三級S

i

文件員定切我i

?

紀之安金夫任宅：

:一1

及工背景核玄丹表2

a

員H號W合百I

.麥金事也證錄;*....力熨記錄..

第四級與樂各理案演安全松受ES????

文件王全軍&行西WE然記示

a

第2章網(wǎng)絡(luò)安全防護實施標準

2.1電信網(wǎng)與互聯(lián)網(wǎng)安全防護管理指南

1.范圍

本標準對電信網(wǎng)與互聯(lián)網(wǎng)安全防護的定義、目標、原則進行了描述與規(guī)范。同時，對電

信網(wǎng)與互聯(lián)網(wǎng)安全防護體系、安全防護體系三部分工作及其關(guān)系進行了說明。

本標準適用于電信網(wǎng)與互聯(lián)網(wǎng)的安全防護工作。

本標準涉及的電信網(wǎng)與互聯(lián)網(wǎng)不包含專用網(wǎng)，僅指公眾電信網(wǎng)與公眾互聯(lián)網(wǎng)。

2.規(guī)范性引用文件

下列文件中的條款通過本標準的引用而成為指導(dǎo)性技術(shù)文件的條款。凡是注口期的引用

文件，其隨后所有的修改單（不包含勘誤的內(nèi)容）或者修訂版均不適用于本標準。然而，鼓

勵根據(jù)本標準達成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文

件，其最新版本適用于木標準。

GB/T5271.8-2001信息技術(shù)詞匯第8部分：安全

3.術(shù)語與定義

GB/T5271.8-2001確立的術(shù)語與定義，與下列術(shù)語與定義適用于本標準。

3.1

電信網(wǎng)telecomnetwork

利用有線與/或者無線的電磁、光電系統(tǒng)，進行文字、聲音、數(shù)據(jù)、圖象或者其它任何

媒體的信息傳遞的網(wǎng)絡(luò)，包含固定通信網(wǎng)、移動通信網(wǎng)等。

3.2

互聯(lián)網(wǎng)Internet

泛指廣域網(wǎng)、局域網(wǎng)及終端（包含計算機、手機等）通過交換機、路由器、網(wǎng)絡(luò)接入設(shè)

備等基于一定的通訊協(xié)議連接形成的，功能與邏輯上的大型網(wǎng)絡(luò)。

3.3

電信網(wǎng)與互聯(lián)網(wǎng)安全防護體系securityprotectionarchitectureoftelecom

networkandInlernel電信網(wǎng)與憶聯(lián)網(wǎng)的安全等級保護、安全風(fēng)險評估、災(zāi)難備份及恢復(fù)三

項工作互為依托、互為補充、相互配合，共同構(gòu)成了電信網(wǎng)與互聯(lián)網(wǎng)安全防護體系。

3.4

電信網(wǎng)與互聯(lián)網(wǎng)安全等級securityclassificationoftelecomnetworkandInternet

電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)重要程度的表征。重要程度從電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)受

到破壞后，對國家安全、社會秩序、經(jīng)濟運行、公共利益、網(wǎng)絡(luò)與業(yè)務(wù)運營商造成的損害來

衡量。

3.5

電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護classifiedsecurityprotectionoftelecom

networkandInternet指對電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)分等級實施安全保護。

3.6

電信網(wǎng)與互聯(lián)網(wǎng)安全風(fēng)險securityriskoftclccomnetworkandInternet人為或

者自然的威脅可能利用電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)存在的脆弱性導(dǎo)致安全事件的發(fā)生及其

對組織造成的影響。

3.7

電信網(wǎng)與互聯(lián)網(wǎng)安全風(fēng)險評估securityriskassessmentoftelecomnetworkand

Internet

指運用科學(xué)的方法與手段，系統(tǒng)地分析電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)所面臨的威脅及其存

在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護

計策與安全措施，防范與化解電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)安全風(fēng)險，將風(fēng)險操縱在可同意的

水平，為最大限度地保障電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)的安全提供科學(xué)根據(jù)。

3.8

電信網(wǎng)與互聯(lián)網(wǎng)災(zāi)難disasteroftelecomnetworkandInternet由于各類原因,造

成電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)故障或者癱瘓，使電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)支持的業(yè)務(wù)功能

停頓或者服務(wù)水平不可同意、達到特定的時間的突發(fā)性事件。

3.9

電信網(wǎng)與互聯(lián)網(wǎng)災(zāi)難備份backupfordisasterrecoveryoftelecomnetworkand

Internet

為了電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)災(zāi)難恢復(fù)而對有關(guān)網(wǎng)絡(luò)要素進行備份的過程。

3.10

電信網(wǎng)與互聯(lián)網(wǎng)災(zāi)難恢復(fù)disasterrecoveryoftelocomnetworkandInternet為

了將電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)從災(zāi)難造成的故障或者癱瘓狀態(tài)恢復(fù)到正常運行狀態(tài)或者

部分正常運行狀態(tài)、并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可同意狀態(tài)，而

設(shè)計的活動與流程。

4.目標與原則

電信網(wǎng)與互聯(lián)網(wǎng)安全防護工作的目標就是要加強電信網(wǎng)與互聯(lián)網(wǎng)的安全防護能力，確保

網(wǎng)絡(luò)的安全性與可靠性，盡可能實現(xiàn)對電信網(wǎng)與互聯(lián)網(wǎng)安全狀況的實時掌控，保證電信網(wǎng)與

互聯(lián)網(wǎng)能夠完成其使命。為了實現(xiàn)該目標，網(wǎng)絡(luò)與業(yè)務(wù)運營商、設(shè)備制造商要充分考慮電信

網(wǎng)與互聯(lián)網(wǎng)不?致等級的安全要求，從環(huán)境因素與人為因素分析電信網(wǎng)與互聯(lián)網(wǎng)面臨的威脅,

從技術(shù)與管理兩個方面分析電信網(wǎng)與互聯(lián)網(wǎng)存在的脆弱性，充分考慮現(xiàn)有安全措施，分析電

信網(wǎng)與互聯(lián)網(wǎng)現(xiàn)存風(fēng)險，平衡效益與成本，制定災(zāi)難備份及恢復(fù)計劃，將電信網(wǎng)與互聯(lián)網(wǎng)的

安全操縱在可同意的水平。

電信網(wǎng)與互聯(lián)網(wǎng)安全防護工作要在適度安全原則的指導(dǎo)下，使用自主保護與重點保護方

法，在安全防護工作安排部署過程中遵循標準性、可控性、完備性、最小影響與保密原則，

實現(xiàn)同步建設(shè)、統(tǒng)籌兼顧、經(jīng)濟有用與循序漸進地進行安全防護工作。

一一適度安全原則：安全防護工作的根本性原則。安全防護工作應(yīng)根據(jù)電信網(wǎng)與互聯(lián)

網(wǎng)的安全等級，平衡效益與成本，采取適度的安全技術(shù)與管理措施。

標準性原則：安全防護工作開展的指導(dǎo)性原則。指電信網(wǎng)與互聯(lián)網(wǎng)安全防獷工作

的開展應(yīng)遵循有關(guān)的國家或者行業(yè)標準。

——可控性原則：指電信網(wǎng)與互聯(lián)網(wǎng)安全防護工作的可控性，包含:

>人員可控性:有關(guān)的安全防護工作人員應(yīng)具備可靠的政治素養(yǎng)、職業(yè)素養(yǎng)與專業(yè)素養(yǎng)。

有關(guān)安全防護工作的檢測機構(gòu)應(yīng)具有主管部門授權(quán)的電信網(wǎng)與互聯(lián)網(wǎng)安全防護檢測服

務(wù)資質(zhì)。

>工具可控性：要充分熟悉安全防護工作中所使用的技術(shù)工具，并進行一些實驗，確保這

些技術(shù)工具能被正確地使用。

>項目過程可控性:要對整個安全防護項目進行科學(xué)的項目管理,實現(xiàn)項目過程的可控性。

一一完備性原則：安全防護工作要覆蓋電信網(wǎng)與互聯(lián)網(wǎng)的安全范圍。

一一最小影響原則：從項目管理層面與技術(shù)管理層面，將安全防護工作對電信網(wǎng)與互

聯(lián)網(wǎng)正常運行的可能影響降低到最低限度。

一一保密性原則：有關(guān)安全防護工作人員應(yīng)簽署協(xié)議，承諾對所進行的安全防井工作

保密，確保不泄露電信網(wǎng)與互聯(lián)網(wǎng)及安全防護工作的重要與敏感信息。

5.安全防護體系

電信網(wǎng)與互聯(lián)網(wǎng)安全防護范疇包含基礎(chǔ)電信運營企業(yè)運營的傳輸、承載各類電信業(yè)務(wù)的

公共電信網(wǎng)（含公共互聯(lián)網(wǎng)）及其構(gòu)成部分，支撐與管理公共電信網(wǎng)及電信業(yè)務(wù)的業(yè)務(wù)單元

與操縱單元，與企業(yè)辦公系統(tǒng)（含文件管理系統(tǒng)、員工郵件系統(tǒng)、決策支持系統(tǒng)、人事管理

系統(tǒng)等）、客服呼叫中心、企業(yè)門戶網(wǎng)站等非核心生產(chǎn)單元。此外，電信網(wǎng)絡(luò)安全防擴工作

的范圍還包含經(jīng)營性互.聯(lián)網(wǎng)信息服務(wù)單位、移動信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)

網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機構(gòu)等單位運營的網(wǎng)絡(luò)或者信息系統(tǒng)。

根據(jù)電信網(wǎng)與互聯(lián)網(wǎng)安全防護范疇，建立的電信網(wǎng)與互聯(lián)網(wǎng)安全防護體系如圖1所示。

整個體系分為三層，第一層為整個安全防護體系的總體指導(dǎo)性規(guī)范，明確了對電信網(wǎng)與互聯(lián)

網(wǎng)安全防護的定義、目標、原則，并說明了安全防護體系的構(gòu)成。

安全防護管理抖南

安全等級保護安全風(fēng)險評佑災(zāi)琲備份及恢史

實施指南實施指南賓施指南

圖1電信網(wǎng)和互聯(lián)網(wǎng)安全防護體系

第二層從宏觀的角度明確了如何進行安全防護工作,規(guī)范了安全防護體系中安全等級保

護、安全風(fēng)險評估、災(zāi)難備份及恢復(fù)三部分工作的原則、流程、方法、步驟等。

第三層具體規(guī)定了電信網(wǎng)與互聯(lián)網(wǎng)安全防護工作的要求，即安全防護要求與安全防護檢

測要求。根據(jù)電信網(wǎng)與互聯(lián)網(wǎng)全程全網(wǎng)的特點，電信M與互聯(lián)網(wǎng)的安全防護工作可從固定

通信網(wǎng)、移動通信網(wǎng)、互聯(lián)網(wǎng)、增值業(yè)務(wù)網(wǎng)、非核心生產(chǎn)單元來開展。其中，互聯(lián)網(wǎng)包含經(jīng)

營性互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機構(gòu)等

單位運營的網(wǎng)絡(luò)或者信息系統(tǒng)。增值業(yè)務(wù)網(wǎng)包含消息網(wǎng)、智能網(wǎng)等業(yè)務(wù)平臺與業(yè)務(wù)管理平臺。

對固定通信網(wǎng)、移動通信網(wǎng)、互聯(lián)網(wǎng)實施安全防護，應(yīng)分別從構(gòu)成上述網(wǎng)絡(luò)的不--致電

信網(wǎng)與互聯(lián)網(wǎng)有關(guān)系統(tǒng)入手。電信網(wǎng)與互聯(lián)網(wǎng)有關(guān)系統(tǒng)包含接入網(wǎng)、傳送網(wǎng)、IP承載網(wǎng)、信

令網(wǎng)、同步網(wǎng)、支撐網(wǎng)等。其中，接入網(wǎng)包含各類有線、無線與衛(wèi)星接入網(wǎng)等，傳送回包含

光纜、波分、SDIL衛(wèi)星等，而支撐網(wǎng)則包含業(yè)務(wù)支撐與網(wǎng)管系統(tǒng)。

安全防護要求明確了電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)需要落實的安全管理與技術(shù)措施，涵蓋

了安全等級保護、安全風(fēng)險評估、災(zāi)難備份及恢復(fù)等三部分內(nèi)容，其中安全等級保護工作需

要落實的物理環(huán)境與管理的安全等級保護要求被單獨提出作為電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)

的通用安全等級保護要求。

安全防護檢測要求與安全防護要求相對應(yīng)，提供了對電信網(wǎng)與互聯(lián)網(wǎng)安全防護工作進行

檢測的方法，從而確認網(wǎng)絡(luò)與業(yè)務(wù)運營商、設(shè)備制造商在安全防護工作實施過程中是否滿足

了有關(guān)安全防護要求。

隨著電信網(wǎng)與互聯(lián)網(wǎng)的進展，隨著安全防護體系的進一步完善，第三層的內(nèi)容將進一步

補充完善。

6.安全等級保護

重大變更

局部調(diào)整

圖2安全等級保護實施的基本過程

電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護工作貫穿于電信網(wǎng)與互聯(lián)網(wǎng)生命周期的各個階段，是一個

不斷循環(huán)與不斷提高的過程。首先，根據(jù)電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)受到破壞后，對國家安

全、社會秩序、經(jīng)濟運行、公共利益、網(wǎng)絡(luò)與業(yè)務(wù)運營商造成的損害程度來確定安全等級:

通過進?步分析電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)的安全保護現(xiàn)狀與安全等級保護要求之間的差

距，確定安全需求，設(shè)計合理的、滿足安全等級保護要求的總體安全方案，制定出安全建設(shè)

規(guī)劃；并進一步將其落實到電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)中，形成安全技術(shù)與管理體系；在電

信網(wǎng)與互聯(lián)網(wǎng)安全運維階段，根據(jù)安全等級保護的需要對安全技術(shù)與管理體系不斷調(diào)整與持

續(xù)改進，確保電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)滿足相應(yīng)等級的安全要求;

在安全資產(chǎn)終止階段對信息、設(shè)備、介質(zhì)進行終止處理時，防止敏感信息的泄露，保障

電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)的安全。安全等級保護工作的實施過程如圖2所示。

7.安全風(fēng)險評估

圖3安全風(fēng)險評估實施的基本過程

電信網(wǎng)與互聯(lián)網(wǎng)安全風(fēng)險評估應(yīng)貫穿于電信網(wǎng)與互聯(lián)網(wǎng)生命周期的各階段中，在生命周

期不一致階段的風(fēng)險評估原則與方法是一致的。在電信網(wǎng)與互聯(lián)網(wǎng)的安全風(fēng)險評估工作中，

應(yīng)首先進行有關(guān)工作的準備，通過安全風(fēng)險分析計算電信網(wǎng)與互聯(lián)網(wǎng)及有關(guān)系統(tǒng)的風(fēng)險值,

繼而確定其風(fēng)險等級與風(fēng)驗防范措施。安全風(fēng)險分析中要涉及資產(chǎn)、威脅、脆弱性等基本要

素，每個要素有各自的屬性。資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性能夠是威脅主體、影響對

象、出現(xiàn)頻率、動機等；而脆弱性的屬性是資產(chǎn)弱點的嚴重程度等。安全風(fēng)險評估的實施流

程如圖3所示。

8.災(zāi)難備份及恢復(fù)

電信網(wǎng)與互聯(lián)網(wǎng)災(zāi)難備份及恢更工作利用技術(shù)、管理手段與有關(guān)資源，確保已有的電信

網(wǎng)與互聯(lián)網(wǎng)在災(zāi)難發(fā)生后，在確定的時間內(nèi)能夠恢復(fù)與繼續(xù)運行。災(zāi)難備份及恢復(fù)工作需要

防范包含地震、水災(zāi)等自然災(zāi)難與火災(zāi)、戰(zhàn)爭、恐怖襲擊、網(wǎng)絡(luò)攻擊、設(shè)備系統(tǒng)故障、人為

破壞等無法預(yù)料的突發(fā)事件。如圖4所示，災(zāi)難備份及恢復(fù)工作應(yīng)根據(jù)安全等級保護確定的

安全等級與安全風(fēng)險分析的有關(guān)結(jié)果進行需求分析，制定、實現(xiàn)相應(yīng)的災(zāi)難備份及恢復(fù)策略,

并構(gòu)建災(zāi)難恢復(fù)預(yù)案，這是?個循環(huán)改進的過程。

針對電信網(wǎng)與互聯(lián)網(wǎng)的不一致網(wǎng)絡(luò)、不一致重要級別的業(yè)務(wù)，災(zāi)難備份及恢復(fù)所要達到

的目標是不一致的。比如，在電信網(wǎng)與互聯(lián)網(wǎng)中，關(guān)于普通話音業(yè)務(wù)，能夠要求網(wǎng)絡(luò)與業(yè)務(wù)

運營商通過災(zāi)難備份及恢史工作，保證在災(zāi)難發(fā)生后單一地區(qū)的災(zāi)難不影響災(zāi)難發(fā)生地理范

圍以外地區(qū)的話音業(yè)務(wù)，同時發(fā)生災(zāi)難的地區(qū)的話音業(yè)務(wù)能夠通過有效災(zāi)難恢復(fù)計劃的實施,

在一定時間范圍（指標應(yīng)與災(zāi)難級別對應(yīng)）內(nèi)恢復(fù)通信,

圖4災(zāi)難備份及恢復(fù)實施的基本過程

9.安全等級保護、安全風(fēng)險評估、災(zāi)難備份及恢復(fù)三者之間的關(guān)系

電信網(wǎng)與互聯(lián)網(wǎng)安全防護體系中的安全等級保護、安全風(fēng)險評估、災(zāi)難備份及恢復(fù)三者

之間密切有關(guān)、互相滲透、互為補充。電信網(wǎng)與互聯(lián)網(wǎng)安全防護應(yīng)將安全等級保護、安全風(fēng)

險評估、災(zāi)難備份及恢復(fù)工作有機結(jié)合，加強有關(guān)工作之間的整合與銜接，保證電信匣絡(luò)安

全防護工作的整體性、統(tǒng)一性與協(xié)調(diào)性。電信網(wǎng)絡(luò)安全防護工作應(yīng)按照根據(jù)被保護對象的重

要性進行分等級保護的思想，通過安全風(fēng)險評估的方法正確認識被保護對象存在的脆求性與

面臨的威脅，繼而制定、落實與改進與安全保護等級與風(fēng)險大小相習(xí)慣的一系列管理、技術(shù)、

災(zāi)難備份等安全等級保護措施，最終達到提高電信網(wǎng)絡(luò)安全保護能力與水平的目的。

在開展安全等級保護工作時，要充分應(yīng)用安全風(fēng)險評估的方法，認識、分析不一致類型

的網(wǎng)絡(luò)與業(yè)務(wù)存在的脆弱性與面臨的威脅、繼而制定與落實與被保護對象的類型、脆雍性與

威脅相習(xí)慣的基本安全保護措施要求，提高安全等級保護工作的針對性與適用性。在開展安

全風(fēng)險評估工作時，在分析被保護對象綜合風(fēng)險與制定改進方案的過程中，要始終與被保護

對象的安全保護等級相結(jié)合，合理確定被評估對象的可同意風(fēng)險與制定確實必要的整改措施,

避免無限度的改進提高。在開展災(zāi)難備份及恢復(fù)工作時，要結(jié)合被備份對象的安全保擰等級

與面臨的威脅，制定相習(xí)慣的備份措施，并將有關(guān)備份的要求表達在安全等級保護的要求中

進行落實。

電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護、安全風(fēng)險評估與災(zāi)建備份及恢復(fù)工作應(yīng)隨著電信畫與互

聯(lián)網(wǎng)的進展變化而動態(tài)調(diào)整，習(xí)慣國家對電信網(wǎng)與互聯(lián)網(wǎng)的安全要求。

2.2電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護實施指南

1范圍

本標準規(guī)定了電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護的概念、對象、目標，安全等級劃分與定級方法，

安全等級保護實施過程中的基本原則，并結(jié)合電信網(wǎng)與互聯(lián)網(wǎng)的生命周期定義了電信明與互

聯(lián)網(wǎng)安全等級保護工作的要緊階段及要緊活動。

本標準適用于電信網(wǎng)與互聯(lián)網(wǎng)的安全等級保護工作。

本標準是電信網(wǎng)與互聯(lián)網(wǎng)安全等級保護的總體指導(dǎo)性文件，針對具體網(wǎng)絡(luò)的安全等級保護可

參考具體網(wǎng)絡(luò)的安全防護要求與安全防護檢測要求。

2規(guī)范性引用文件

下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注日期的引用文件，其隨后

所有的修改單（不包含勘誤的內(nèi)容）或者修訂版均不適用于本標準，然而，鼓勵根據(jù)本標準

達成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版

本適用于本標準。

GB/T5271.8-2001信息技術(shù)詞匯第8部分：安全

3術(shù)語與定義

GB/T5271.8-2001確立的術(shù)語與定義，與下列術(shù)語與定義適用于本標準。

3.1

電信網(wǎng)telecomnetwork

利用有線與/或者無線的電磁、光電系統(tǒng)，進行文字、聲音、數(shù)據(jù)、圖象或者其它任何媒體

的