信息系统安全等级保护建设培训方案.ppt

2020 1 29 信息系统安全等级保护建设培训 2 引子 3 据CNCERT监测 2013年 我国境内被篡改网站数量为24034个 较2012年增长46 7 其中政府网站被篡改数量为2430个 较2012年增长34 9 我国境内被植入后门的网站数量为76160个 较2012年增长45 6 其中政府网站2425个 较2012年下降19 6 在被篡改和植入后门的政府网站中 超过90 是省市级以下的地方政府网站 超过75 的篡改方式是在网站首页植入广告黑链 政府网站面临威胁依然严重 地方政府网站成为 重灾区 引子 新型社交网络的连通性成为黑客攻击和网络犯罪的新途径云平台的应用普及加大信息泄露风险和事件处置难度移动支付安全和移动终端漏洞成为移动互联网发展的新挑战分布式反射拒绝服务攻击规模呈持续增大趋势微软停止对WindowsXP系统的服务支持可能导致零日漏洞攻击增多设备智能化促使网络安全威胁向物联网延伸 2015的可见威胁 引子 我们的安全防范思维又如何 6 新型信任体系如何建立 电子政务外网网站三级等保特殊要求 网站三级等保产品部署案例实战 三级等保信任体系的维持与纠错 1 2 3 8 国家电子政务外网安全等级保护基本要求 党政机关门户网站系统安全等级保护指南 电子政务外网网站三级等保特殊技术要点 1 主要网络设备的业务处理能力至少为历史峰值的2倍主用与备用的核心网络设备应放置在不同物理位置的机房应采用物理路由分离的两条骨干链路来提供1 1的全网保护方式 两条链路在技术和性能等方面应保持一致 9 国家电子政务外网安全等级保护基本要求 党政机关门户网站系统安全等级保护指南 电子政务外网网站三级等保特殊技术要点 1 应根据需要采用有效的QoS和流量管理策略 保证管理和控制信息具有较高的优先级公用网络区与互联网区等区域之间的数据交换 应通过安全隔离设备 并对交换数据进行病毒扫描和审计等保三级党政机关门户网站能够实时监控网站运行状态 挂马情况和暗链情况 10 电子政务外网网站三级等保特殊要求 网站三级等保产品部署案例实战 三级等保信任体系的维持与纠错 1 2 3 11 实战1 在XX省人社厅互联网XX系统的规划中 横向上覆盖各个政府相关部门以及其他相关单位的边界接口 纵向上覆盖到各个市级平台 包括区县单位的边界 从安全技术选择方面 本方案以保障网络安全 数据安全和管理安全为重点 实现手段以安全产品为重点 对安全服务部分作为建议性描述 2 项目背景 网站三级等保产品部署案例实战 12 接入网安全区 涵盖ISP接入边界安全部分 网站核心运行安全区 涵盖基本的接入防护体系 数据接收 存储 互联网数据交换反馈与呈现 WEB网站应用以及多数据库部分 网站运维安全区 涵盖网站平台软硬件部分的整体运维 整体优化及人机信息输入输出部分 存储与备份安全区 涵盖网上数据与应用服务安全域中的数据冗余安全部分 以满足系统在性能 容量 扩展 管理等诸多方面具有较大的灵活性以适应变化和发展的需要 网站三级等保产品部署案例实战 2 划分安全区 13 作为整个系统的外延 接入网安全区我们首先需要考虑的是性能上保障网站首页的访问响应时间不超过6秒 网站主要栏目页面的访问响应时间不超过4秒的政府网站访问基本要求 满足等级保护三级要求中关于边界访问控制的技术要求 满足等级保护三级要求中关于数据流过滤 允许与拒绝访问的能力的技术要求 网站三级等保产品部署案例实战 2 接入网安全区 14 满足等级保护三级要求中关于应在网络边界处监视端口扫描 强力攻击 木马后门攻击 拒绝服务攻击 缓冲区溢出攻击 IP碎片攻击和网络蠕虫攻击等各类攻击并进行报警的技术要求 满足等级保护三级要求中关于网络边界处进行恶意代码防护的技术要求 满足等级保护三级要求中关于对网络操作行为等进行安全审计的技术要求 满足网站服务器整体安全性以及运行要求 满足网页发布内容正确性及权威性要求 网站核心运行安全区 网站三级等保产品部署案例实战 2 15 数据库暴库的风险 网站三级等保产品部署案例实战 2 听说现在上网可以查到开房记录 16 网站三级等保产品部署案例实战 2 数据库暴库的风险 17 通过微博查任意qq号 再通过qq群关系数据库 查更多信息 找到名字再通过12306 开房的库查到身份证号 网站三级等保产品部署案例实战 2 数据库暴库的风险 黑客脱裤 网站三级等保产品部署案例实战 2 数据库暴库的风险 19 满足等级保护三级要求中关于主机安全的技术要求 满足等级保护三级要求中关于边界访问控制的技术要求 满足等级保护三级要求中关于对网络操作行为以及数据库操作行为等进行抗抵赖以及安全审计的技术要求 满足等级保护三级要求中关于应建立安全管理中心 对设备状态 恶意代码 补丁升级 安全审计等安全相关事项进行集中管理的技术要求 网站运维安全区 网站三级等保产品部署案例实战 2 20 网站三级等保产品部署案例实战 2 来自内部PC的风险 21 满足等级保护三级要求中关于应提供本地数据备份与恢复功能 完全数据备份至少每天一次 备份介质场外存放的技术要求 满足等级保护三级要求中关于应提供异地数据备份功能 利用通信网络将关键数据定时批量传送至备用场地的技术要求 存储与备份安全区 网站三级等保产品部署案例实战 2 22 23 实战2 某地国土电子政务外网新建网上交易平台总基线需求 国土内网与国土外网的高冗余式网络结构方案 基础信息安全设备均为双机热备式部署规划 网站三级等保产品部署案例实战 2 项目背景 24 需求 国土内网与国土外网的安全域 安全区 划分方案 将WEB服务器群及CA认证服务器规划到国土外网安全域 其余部分规划到国土内网安全域 网站三级等保产品部署案例实战 2 划分安全区 25 需求 国土内网与国土外网的访问控制与安全隔离方案 在国土内网 外网分别部署接入层防火墙 及数据中心防火墙 建立良好的分级访问控制与安全隔离 网站三级等保产品部署案例实战 2 访问控制与安全隔离 26 需求 国土内网与国土外网的正常数据交换管理方案 在国土内网与国土外网之间部署网闸 对跨安全域的访问请求及数据内容进行隔离审查与传输控制 网站三级等保产品部署案例实战 2 安全区间数据交换体系 27 需求 国土内网木马病毒防御机制方案 在国土内网刀片服务器部署企业版杀毒软件 对联网终端进行整体性的木马病毒查杀管理 需求 国土内网联网终端的主机监控与审计安全管理方案 在国土内网刀片服务器部署主机监控与审计安全管理服务器 在联网终端部署主机监控与审计终端 提升联网终端的安全管理级别 网站三级等保产品部署案例实战 2 木马病毒防御机制 终端安全管理 28 需求 对访问国土内网服务器群的流量进行负荷分担方案 在国土内网服务器群的旁路部署服务器负载均衡 对访问国土内网服务器群的流量进行高效的疏导 避免单链路承载过重而导致的网络拥塞及其他隐患 网站三级等保产品部署案例实战 2 服务器流量疏导机制 29 需求 国土内网的漏洞扫描体系 入侵检测体系以及网络及数据库行为审计体系的需求方案 以旁挂的形式部署漏洞扫描系统 入侵检测系统以及网络 数据库行为审计系统以解决辅助性信息安全需求 网站三级等保产品部署案例实战 2 管理性安全需求 30 需求 国土内网数据库服务器群的异地备份需求方案 从数据库服务器群上行交换机以专线的形式级联到异地机房 以建立异地备份平台 保障数据安全 需求 国土外网WEB服务器群不需要随时通过网闸读取内网数据库服务器数据 减小干路流量压力 提升网络冗余空间 方案 在WEB服务器群旁挂专用于发布的数据库服务器 WEB服务器的数据来源指向发布数据库服务器 同时配置网闸使得发布服务器以一定的触发条件同步内网数据库服务器数据 减小干路流量压力 提升整体网络冗余空间 网站三级等保产品部署案例实战 2 异地备份 WEB服务器群数据交换 31 需求 国土外网网上交易平台身份认证机制 建立良好的可控的网上交易安全接口 方案 在国土外网旁挂VPN网关以及专用的CA认证服务器 形成完善的PKI认证体系 全面提高用户网络的安全等级 在建立良好与可控的网上交易安全接口的同时 对交易人所持之KEY也能良好的进行扩容管理 网站三级等保产品部署案例实战 2 网上信息交互身份认证 32 网站三级等保产品部署案例实战 2 来自交互的风险 3月22日晚 一家名叫 乌云 的网站漏洞报告平台发布公告 称在线票务服务公司携程网存在支付漏洞 在携程网用信用卡支付 顾客姓名 身份证信息 银行卡卡号 CVV2码等信息都会被保存在携程网本地服务器 且有可能被泄露 给客户信用卡盗刷埋下隐患 3月23日携程网为漏洞信息致歉 称事发后两小时内已经修复漏洞 发现93名顾客信息疑似泄露 并承诺若用户出现损失将全额赔付 33 携程将用于处理用户支付的服务接口开启了调试功能 使部分向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器 有可能被黑客所读取 网站三级等保产品部署案例实战 2 来自交互的风险 34 需求 国土外网WEB服务器群的网络攻击防范体系 方案 在国土外网WEB服务器群上行交换机旁挂WEB防火墙 WAF 以反向代理模式实现网页防篡改 防SQL注入攻击 防跨站脚本攻击 抗拒绝服务攻击等网络攻击防范手段 全面提WEB服务器群抗网络攻击行为的安全等级 网站三级等保产品部署案例实战 2 网上交易平台WEB防范 35 需求 国土外网为多ISP运营商接入模式 需要对来自每个运营商的不同路由访问请求进行流量疏导 链路均衡 同时还需要降低多ISP运营商高并发访问量出现之时的非设备处理能力造成的互联网访问拥塞 方案 部署应用交付系统 智能地均衡流量并达到最优的利用率 为不同级别的应用实现差异化服务 实现有效合理的带宽控制与管理 解决多ISP运营商高并发访问量出现时的数据丢包 TCP延迟等问题 网站三级等保产品部署案例实战 2 多ISP运营商链路的流量负载及访问优化 36 需求 对国土内网 外网所有网络设备进行整体性管理方案 建立基于安全域的专用运维管理区 逻辑 直接级联至 内网 外网 核心交换机 以保障对国土 内网 外网 网络设备进行整体性管理 网站三级等保产品部署案例实战 2 运维管理区 内网 外网 37 38 电子政务外网网站三级等保特殊要求 网站三级等保产品部署案例实战 三级等保信任体系的维持与纠错 1 2 3 39 三级等保信任体系的维持与纠错 3 安全短板 技术进步 管理失位 信息的安全就像一个 木桶 整体的安全性取决于最薄弱的一个环节 短板 否则即使其它方面做得再强 但在某一方面留下一个漏洞 也可能被他人利用 导致信息的失窃 攻击技术在不断的发展和进化 而安全产品的更新永远落后于攻击技术的发展 仅仅使用安全产品已经不能提供全面的信息安全 必须与业内的安全专家紧密的沟通 才能对抗新的安全威胁 即便再好的安全设备 系统和技术 若没有有效地贯穿于信息流通与信息活动中的安全管理工作 也是无法真正实现信息安全的 如何维持与纠错 40 三级等保信任体系的维持与纠错 3 维持与纠错的7个维度 41 三级等保信任体系的维持与纠错 3 例1 网站远程渗透测试纠错 42 三级等保信任体系的维持与纠错 3 远程渗透测试纠错 网站 业务系统开发厂商思考的问题 用户的功能需求是什么 如何去实现这些功能 如何在实现功能的同时减少开发量 如何在最快时间内上线 43 三级等保信任体系的维持与纠错 3 远程渗透测试纠错 网站 业务系统用户关心的问题 黑客能攻得进来吗 网站 系统有危险漏洞吗 网站 系统的数据会泄漏吗 网站 系统会遭到篡改吗 44 三级等保信任体系的维持与纠错 3 远程渗透测试纠错 功能有了 逻辑结构不严谨 经常出错 开发过程中安全考虑的太少 存在诸多漏洞 没有经过正规安全测试 无法证明安全性 后期的安全完善成了用户自己的事情 错位的问题 用户实际面临的安全问题 45 三级等保信任体系的维持与纠错 3 远程渗透测试纠错 委托受理 相关协议 初步分析 测试 应急方案 分析测试 权限提升 存在漏洞 控制目标 权限回退 数据收集 破坏测试 撰写报告 46 三级等保信任体系的维持与纠错 3 远程渗透测试纠错 望闻问切量体裁衣 47 三级等保信任体系的维持与纠错 3 例2 实时监控与告警纠错 48 三级等保信任体系的维持与纠错 3 实时监控及告警纠错 被监控网站 系统 通过不同监测引擎获取检测结果 实时监测 监控 技术接口人 下达任务单 支撑团队 用户 调度 定期综合报告 即时告警 电话通知 检测 爬虫 XX实施监控及告警中心 Internet 49 三级等保信任体系的维持与纠错 3 实时监控及告警纠错 价值体现 实时纠错 主动纠错 专业纠错 客观纠错 直观的掌握信息系统当前综合安全状态和安全趋势 主动 及时地安全事件预警 为规避风险争取了反应时间安全事件自动响应 任务处理和流转 降低运维人员工作强度 提高了工作效率 统一调度 协调工作 依托大型专业安全机构 建立合理的的安全智囊联动体系 客观 科学的运维策略及运行管理有效性的量化评估 增强对信息系统安全状况的掌控能力 50 回顾 电子政务外网等保体系简要建设思路 实施过程1 系统定级 安全规划设计 安全实施 安全运行 定期检查 局部调整 重大变更 实施过程2 信息系统安全保护技术现状分析 开展建设整改技术