网络安全体系基础架构建设知识

1、1网络平安体系根底架构.2网络平安体系根底架构的主要建立过程运维方案设计技术方案设计管理方案设计平安平台选型综合风险分析业务人员访谈管理人员访谈技术人员访谈平安培训效力应急呼应效力平安通告效力平安监控效力后期效力工程监理现有措施评价平安要挟评价资产弱点评价信息资产赋值协助分析需求协助总体规划协助设计方案承包工程实施监控、呼应平安认证咨询需求分析总体规划详细设计工程实施运转维护平安认证信息系统平安建立与运营维护信息资产识别风险分析与评价设计总体方案制定平安战略制定平安方针平安总体规划平安产品选型平安方案设计工程验收效力实施产品实施设计实施方案制定实施方案平安工程实施平安审计效力平安优化效力平安加

2、固效力平安检测效力平安运转维护平安认证体系建立风险评价规范导入平安认证咨询人、工具、规范人、规范人、产品人、产品人、工具、平台人、规范信息系统平安建立咨询效力平安运转维护效力系统现状分析平安认证咨询效力.3网络平安体系根底架构前的预备任务风险评价预备维护对象分析要挟分析脆弱性分析控制措施分析确定风险后果确定风险概率确定风险等级平安风险评价报告GB/T 20984-2007.4网络平安措施简介.5主机平安措施简介.6运用平安措施简介.7数据平安措施简介.8网络平安体系根底架构的主要涉及层面物理平安技术需求管理需求信息平安需求网络平安主机平安运用平安数据平安平安管理制度平安管理机构人员平安管理系统

3、建立管理系统运维管理.9物理平安三级物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应A3电磁防护S3物理平安需求分析.10机房和办公场地应选择在具有防震、防风和防雨等才干的建筑内；机房场地应防止设在建筑物的高层或地下室，以及用水设备的下层或隔壁。物理位置的选择物理平安需求分析.11机房出入口应安排专人值守，控制、鉴别和记录进入的人员；需进入机房的来访人员应经过恳求和审批流程，并限制和监控其活动范围；应对机房划分区域进展管理，区域和区域之间设置物理隔离安装，在重要区域前设置交付或安装等过渡区域；重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。物理访问控

4、制物理平安需求分析.12应将主要设备放置在机房内；应将设备或主要部件进展固定，并设置明显的不易除去的标志；应将通讯线缆铺设在隐蔽处，可铺设在地下或管道中；应对介质分类标识，存储在介质库或档案室中；应利用光、电等技术设置机房防盗报警系统；应对机房设置监控报警系统。防盗窃和防破坏物理平安需求分析.13机房建筑应设置避雷安装；应设置防雷保安器，防止感应雷；机房应设置交流电源地线。防雷击物理平安需求分析.14机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；机房及相关的任务房间和辅助房应采器具有耐火等级的建筑资料；机房应采取区域隔离防火措施，将重要设备与其他设备隔分开。防火物理平安需

5、求分析.15水管安装，不得穿过机房屋顶和活动地板下；应采取措施防止雨水经过机房窗户、屋顶和墙壁浸透；应采取措施防止机房内水蒸气结露和地下积水的转移与浸透；应安装对水敏感的检测仪表或元件，对机房进展防水检测和报警。防水和防潮物理平安需求分析.16主要设备应采用必要的接地防静电措施；机房应采用防静电地板。防静电物理平安需求分析.17机房应设置温、湿度自动调理设备，使机房温、湿度的变化在设备运转所允许的范围之内。温湿度控制物理平安需求分析.18应在机房供电线路上配置稳压器和过电压防护设备；应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运转要求；应设置冗余或并行的电力电缆线路为计算机系统

6、供电；应建立备用供电系统。电力供应A3物理平安需求分析.19应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；电源线和通讯线缆应隔离铺设，防止相互关扰；应对关键设备和磁介质实施电磁屏蔽。电磁防护S3物理平安需求分析GB 50311-2007GB 50312-2007 .20网络平安三级构造平安访问控制平安审计边境完好性检查S3入侵防备恶意代码防护网络设备防护网络平安需求分析.21应保证主要网络设备的业务处置才干具备冗余空间，满足业务顶峰期需求；应保证网络各个部分的带宽满足业务顶峰期需求；应在业务终端与业务效力器之间进展路由控制建立平安的访问途径；应绘制与当前运转情况相符的网络拓扑构造图；应根据

7、各部门的任务职能、重要性和所涉及信息的重要程度等要素，划分不同的子网或网段，并按照方便管理和控制的原那么为各子网、网段分配地址段；应防止将重要网段部署在网络边境处且直接衔接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；应按照对业务效力的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先维护重要主机。构造平安网络平安需求分析.22网络平安区域划分原那么网络整体是一个平安域划分平安子域内部平安域划分要思索用户接入情况平安域划分要利于平安设备的部署平安域划分要保证业务正常开展.23网络平安区域划分详细阐明接入平安域：包括外部单位接入、机关接入和外联单位接入普通平安域：包括网络

8、数据交换区、根本效力区和平安管理区中心平安域：中心业务区.24应在网络边境部署访问控制设备，启用访问控制功能；应能根据会话形状信息为数据流提供明确的允许/回绝访问的才干，控制粒度为端口级；应对进出网络的信息内容进展过滤，实现对运用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；应在会话处于非活泼一定时间或会话终了后终止网络衔接；应限制网络最大流量数及网络衔接数；重要网段应采取技术手段防止地址欺骗；应按用户和系统之间的允许访问规那么，决议允许或回绝用户对受控系统进展资源访问，控制粒度为单个用户；应限制具有拨号访问权限的用户数量。访问控制网络平安需求分析.25应对网络系统中

9、的网络设备运转情况、网络流量、用户行为等进展日志记录；审计记录应包括：事件的日期和时间、用户、事件类型、事件能否胜利及其他与审计相关的信息；应可以根据记录数据进展分析，并生成审计报表；应对审计记录进展维护，防止遭到未预期的删除、修正或覆盖等。平安审计网络平安需求分析.26应可以对非授权设备私自联到内部网络的行为进展检查，准确定出位置，并对其进展有效阻断；应可以对内部网络用户私自联到外部网络的行为进展检查，准确定出位置，并对其进展有效阻断。边境完好性检查S3网络平安需求分析.27应在网络边境处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、回绝效力攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫

10、攻击等；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。入侵防备网络平安需求分析.28应在网络边境处对恶意代码进展检测和去除；应维护恶意代码库的晋级和检测系统的更新。恶意代码防护网络平安需求分析.29应对登录网络设备的用户进展身份鉴别；应对网络设备的管理员登录地址进展限制；网络设备用户的标识应独一；主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进展身份鉴别；身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期改换；应具有登录失败处置功能，可采取终了会话、限制非法登录次数和当网络登录衔接超时自动退出等措施；当对网络设备进展远程

11、管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；应实现设备特权用户的权限分别。网络设备防护网络平安需求分析.30主机平安三级身份鉴别S3访问控制S3平安审计剩余信息防护S3入侵防备恶意代码防备资源控制A3主机平安需求分析.31应对登录操作系统和数据库系统的用户进展身份标识和鉴别；操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期改换；应启用登录失败处置功能，可采取终了会话、限制非法登录次数和自动退出等措施；当对效力器进展远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有独

12、一性。应采用两种或两种以上组合的鉴别技术对管理用户进展身份鉴别。身份鉴别S3主机平安需求分析.32应启用访问控制功能，根据平安战略控制用户对资源的访问；应根据管理用户的角色分配权限，实现管理用户的权限分别，仅授予管理用户所需的最小权限；应实现操作系统和数据库系统特权用户的权限分别；应严厉限制默许账户的访问权限，重命名系统默许账户，修正这些账户的默许口令；应及时删除多余的、过期的账户，防止共享账户的存在。应对重要信息资源设置敏感标志；应根据平安战略严厉控制用户对有敏感标志重要信息资源的操作；访问控制S3主机平安需求分析.33审计范围应覆盖到效力器和重要客户端上的每个操作系统用户和数据库用户；审计

13、内容应包括重要用户行为、系统资源的异常运用和重要系统命令的运用等系统内重要的平安相关事件；审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； 应可以根据记录数据进展分析，并生成审计报表；应维护审计进程，防止遭到未预期的中断；应维护审计记录，防止遭到未预期的删除、修正或覆盖等。平安审计主机平安需求分析.34应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在内存中；应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全去除。剩余信息防护S3主机平安需求分析.35应可

14、以检测到对重要效力器进展入侵的行为，可以记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；应可以对重要程序的完好性进展检测，并在检测到完好性遭到破坏后具有恢复的措施；操作系统应遵照最小安装的原那么，仅安装需求的组件和运用程序，并经过设置晋级效力器等方式坚持系统补丁及时得到更新。入侵防备主机平安需求分析.36应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；应支持防恶意代码的一致管理。恶意代码防备主机平安需求分析.37应经过设定终端接入方式、网络地址范围等条件限制终端登录；应根据平安战

15、略设置登录终端的操作超时锁定；应对重要效力器进展监视，包括监视效力器的CPU、硬盘、内存、网络等资源的运用情况；应限制单个用户对系统资源的最大或最小运用限制；应可以对系统的效力程度降低到预先规定的最小值进展检测和报警。资源控制A3主机平安需求分析.38运用平安三级身份鉴别S3访问控制S3平安审计剩余信息维护S3通讯完好性S3通讯严密性S3抗抵赖软件容错A3资源控制A3运用平安需求分析.39应提供公用的登录控制模块对登录用户进展身份标识和鉴别； 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；应提供用户身份标识独一和鉴别信息复杂度检查功能，保证运用系统中不存在反复用户身份标识，身份

16、鉴别信息不易被冒用；应提供登录失败处置功能，可采取终了会话、限制非法登录次数和自动退出等措施；应启用身份鉴别、用户身份标识独一性检查、用户身份鉴别信息复杂度检查以及登录失败处置功能，并根据平安战略配置相关参数。身份鉴别S3运用平安需求分析.40应提供访问控制功能，根据平安战略控制用户对文件、数据库表等客体的访问；访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；应由授权主体配置访问控制战略，并严厉限制默许账户的访问权限；应授予不同账户为完成各自承当义务所需的最小权限，并在它们之间构成相互制约的关系。应具有对重要信息资源设置敏感标志的功能；应根据平安战略严厉控制用户对有敏感标志

17、重要信息资源的操作；访问控制S3运用平安需求分析.41应提供覆盖到每个用户的平安审计功能，对运用系统重要平安事件进展审计；应保证无法单独中断审计进程，无法删除、修正或覆盖审计记录；审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描画和结果等；应提供对审计记录数据进展统计、查询、分析及生成审计报表的功能。平安审计运用平安需求分析.42应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在内存中；应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全去除。剩余信息维护S3运用平安需求分析.43应采用

18、密码技术保证通讯过程中数据的完好性。通讯完好性S3运用平安需求分析.44在通讯双方建立衔接之前，运用系统应利用密码技术进展会话初始化验证；应对通讯过程中的整个报文或会话过程进展加密。通讯严密性S3运用平安需求分析.45应具有在恳求的情况下为数据原发者或接纳者提供数据原发证据的功能；应具有在恳求的情况下为数据原发者或接纳者提供数据接纳证据的功能。抗抵赖运用平安需求分析.46应提供数据有效性检验功能，保证经过人机接口输入或经过通讯接口输入的数据格式或长度符合系统设定要求；应提供自动维护功能，当缺点发生时自动维护当前一切形状，保证系统可以进展恢复。软件容错A3运用平安需求分析.47当运用系统的通讯双

19、方中的一方在一段时间内未作任何呼应，另一方应可以自动终了会话；应可以对系统的最大并发会话衔接数进展限制；应可以对单个账户的多重并发会话进展限制；应可以对一个时间段内能够的并发会话衔接数进展限制；应可以对一个访问账户或一个恳求进程占用的资源分配最大限额和最小限额；应可以对系统效力程度降低到预先规定的最小值进展检测和报警；应提供效力优先级设定功能，并在安装后根据平安战略设定访问账户或恳求进程的优先级，根据优先级分配系统资源。资源控制A3运用平安需求分析.48数据平安三级数据完好性S3数据严密性S3备份与恢复A3数据平安需求分析.49应可以检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完好性遭到破坏，并在检测到完好性