5安全防护技术标准规范

安全防护技术标准规范目次目次I1 范围12 规范性引用文件13 术语和定义13.1 大数据13.2 数据安全13.3 网络安全13.4 遭受攻击14 （大数据中心）安全防护14.1 （大数据中心）安全防护技术框架14.2 （大数据中心）安全防护域34.3 （大数据中心）应用安全防护44.4 大数据安全防护加密技术45 （大数据中心）安全防护风险55.1 (大数据中心)安全防护风险管理55.2 评估（大数据中心）安全防护风险56安全防护技术标准规范1 范围本部分按照GB/T 1.1-2009给出的规则起草,提出了大数据中心的安全防护技术规范。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 20269-2006 信息安全技术 信息系统安全管理要求GB/T 22080-2016 信息技术 安全技术 信息安全管理体系 要求3 术语和定义下列术语和定义适用于本文件。3.1 大数据大数据bigdata政务信息资源（大数据中心）中获取及存存储的各种数据具有数量巨大、种类多样、流动速度快、且特征多变等特性，并且难以用传统数据体系结构进行有效处理的数据集。3.2 数据安全数据安全 data security政务信息资源（大数据中心）对重要系统数据进行集中管理，由于数据集中到一个或多个中心后数据中心的数据发生混乱或丢失等数据安全问题。3.3 网络安全网络安全 network security政务信息资源（大数据中心）通过内联网实现各级数据中心之间以及各业务部门系统间的数据交换传递，由于某个分中心节点的网络线路或网络设备出现故障以及网络上业务数据传递在短时间内可能出现大量的用户访问和巨量的数据传送等网络安全问题。3.4 遭受攻击遭受攻击 attack政务信息资源（大数据中心）受不法组织及个人通过网络入侵并实施攻击的行为。4 （大数据中心）安全防护4.1 （大数据中心）安全防护技术框架政务信息资源（大数据中心）安全防护多采用整体防护与分区存储、分级防护相结合的原则，采用多种信息保障技术，构建动态的、多层次的纵深安全防护体系，包含物理安全、网络安全、系统软件安全、数据安全、应用安全、用户安全、安全管理、安全服务，解决攻击及病毒侵害等问题。图1 （大数据中心）安全防护技术框架4.1.1 物理安全物理安全包含机房环境安全、设备安全、介质安全，它是（大数据中心）安全防护的基础也是硬件核心。4.1.2 网络安全网络安全包含防火墙、入侵检测、漏洞扫描、防病毒、信息审计、安全认证、安全加密，它是（大数据中心）安全防护与外部介质的隔离门户，提升数据中心网络安全的整体防护能力。4.1.3 系统软件安全系统软件安全包含操作系统安全、数据库安全，系统软件是（大数据中心）安全防护技术的实现原型和内容核心。4.1.4 数据安全数据安全包含数据传输安全、数据备份与恢复安全，大数据中心的数据发生混乱或丢失是数据安全解决的主要问题。4.1.5 应用安全应用安全包含身份认证、访问控制、安全审计、防篡改，是保障应用程序使用过程和结果的安全 。4.1.6 用户安全用户安全包含主机安全监控、病毒检测查杀、安全漏洞扫描、补丁自动分发与修复，是第三方用户与政务信息资源（大数据中心）进行链接的基础和系统运行的保障。 4.1.7 安全管理安全管理包含机构、人员、制度的管理，是对政务信息资源（大数据中心）除硬件、软件以外的面向管理层的核心。4.1.8 安全服务安全服务包含安全培训、风险评估、应急响应，是政务信息资源（大数据中心）在进行安全防护时的应急应激服务内容。4.2 （大数据中心）安全防护域4.2.1 安全保密设计大数据中心在网络内部通过4.1中的技术框架对不同应用区域进行逻辑隔离，并划分网络安全域，即而进行不同的安全保密设计。大数据中心安全保密系统可按“分网”、“分级”和“分区”三类形式进行设计。“分网”根据是否处理涉密信息分为明子网和密子网两类，明子网可存储、传输、处理公开信息，密子网可存储、传输、处理各类涉密信息，明子网和密子网之间需进行逻辑隔离或物理隔离。“分级”根据所处理信息的密级程度不同，分为公开、内部、秘密、机密、绝密等五种不同防护等级，并针对相应级别采取不同的防护手段，信息在产生、传输、处理过程中应得到相应密级的安全保护与信息间的隔离。“分区”根据应用的不同，分区域进行安全防护。多个分区间应采用 VLAN、网络访问控制等方式进行隔离与交互。4.2.2 （大数据中心）安全防护域划分大数据中心安全防护区域分为基础网络与局域网核心区、数据存储区、数据服务区、应用服务区、局域网用户区、维护管理区等区域。图2 （大数据中心）安全防护域划分数据存储区中不同密级信息分开存储；数据服务区和应用服务区中不同密级服务器分开设立，绝密级服务器前加装专用密码机，在应用服务器区域加装专用密码机的文电服务器；安全防护中心管理控制安全保密设备。大数据中心需实现防火墙、入侵检测系统、漏洞扫描系统、信息审计系统等各种安全设备联动，大数据中心还应建立完善的数据备份及恢复机制，定期对数据进行备份。4.3 （大数据中心）应用安全防护（大数据中心）应用安全防护通过建立管理员、系统用户和网络用户身份识别与认证系统，采用加密、数字签名等技术，确保不同角色的人只能访问安全策略允许其访问的信息，主要包括身份认证、访问控制、安全防护审计三类子系统。身份认证子系统可基于数字证书，使用数字证书 USB-Key、认证客户端、认证服务器和受控应用服务器等。（大数据中心）应用安全防护系统内嵌身份认证接口模块，完成与认证客户端的交互。认证客户端完成与认证服务器的用户身份鉴别，认证服务器对用户数字证书进行验证和 CRL 列表查询。访问控制子系统通过授权对用户的操作进行限制，提供从应用角色定制、应用功能分配到访问权限控制的一整套功能限控制措施和机制。根据需要能够为合法用户分配不同的访问权限，用户登录后只能访问已授权的信息。安全防护审计子系统对典型的网络应用协议（Http、Ftp、Smtp、Pop3等）进行详细审计，实时监控并记录网络用户对服务器的远程登录、读、写、添加、修改以及删除等操作，并对操作过程进行完整回放，如：对于Http协议可以回放所浏览的网页内容，对Smtp和Pop3协议可以回放邮件正文的完整内容以及附件内容。4.4 大数据安全防护加密技术4.4.1 大数据安全防护加密分类大数据安全传输利用加密技术对传输中的数据流加密，以防止通信线路上的窃听、泄露、篡改和破坏，加密技术能够认证通信的参与者，确认数据传输的完整性，保障通信的私有性。 大数据安全防护加密技术可分为三类：对称密钥加密、非对称密钥加密和分组密钥加密。4.4.2 对称密钥加密对称密钥加密是加密密钥和解密密钥相同，即信息发送者和接受者采用相关的密钥，对数据进行加密的对称密钥加密如图3所示。对称密钥密码体制可用于数据加密，也可用于消息认证。图3 对称密钥加密图4.4.3 非对称密钥加密非对称密钥加密是加密密钥和解密密钥不相同，且将加密和解密能力分开，能实现多个用户加密的信息只能由一个用户解密和阅读，也能实现一个用户加密信息由多个用户进行解密和阅读。非对称密钥加密的加密密钥和解密密钥两者从其中一个难以推出另一个，且密钥密码体制仅用于数据加密，不可用于消息认证。4.4.4 分组密钥加密分组密钥加密是将加密密钥明文消息编码后的数字序列划分成长度为的组 ,各组（长度为的矢量）分别在密钥控制下变换成等长的输出数字序列（长度为的矢量）,其加密函数 ，是为矢量空间,为密钥空间，如图4所示。图4 分组密钥加密图5 （大数据中心）安全防护风险5.1 (大数据中心)安全防护风险管理（大数据中心）安全防护风险管理主要包括以下四种不同的活动：a) 在总体安全策略环境内确定适合于政务信息资源的大数据风险管理战略；b) 根据风险评估结果，选用适当的防护措施；c) 形成安全策略，必要时更新总体安全策略；d) 根据批准的安全策略，制订安全计划以实现保护措施。5.2 评估（大数据中心）安全防护风险大数据风险评估可关注以下内容：a) 安全事件发生的概率1) 实施不利行为的因素，包括：潜在攻击方具有的资源、科学与技术专长、访问设施与设备的能力、动机等，常见的攻击方有个人、组织、国家等；潜在攻击方窃取、利用和滥用数据的意图；大数据中心访问、存储和分析所需资源；直接访问数据或窃取数据的概率；发起攻击、利用大数据技术、基础设施和数据集的经济能力；攻击的成本与收益。2) 系统的脆弱点，包括：政务信息资源大数据中心数据存储、处理等基础软件和基础设施的脆弱性；识别和限制数据访问和使用分析技术的能力；政务信息资源大数据中心相关系统的脆弱性。3) 恶意利用所需的科学专业