等级保护技术规划方案

1、信息系统等级保护建设指导要求（三级）目录、J 刁八 |Z|V J/I、J 刁八 |Z|V J/I1.方案设计要求方案设计思想建立切合信息系统等级保护要求的安全系统结构平台安全建设需要在整体信息安全系统指导下进行实行，保证信 息安全建设真实发挥效劳。跟着计算机科学技术的不停发展，计算机产品的不停增添，信息 系统也变得愈来愈复杂。从系统架构角度看，任何一个信息系统都由 计算环境、地区界限、通信网络三个层次构成。所谓计算环境就是用户 的工作环境，由达成信息储存与办理的计算机系统硬件和系统软件以及 外面设施及其连结零件构成，计算环境的安全部是信息系统安全的核 心，是受权和接见控制的源泉；地区界限是计算

2、环境的界限，对进入和 流出计算环境的信息实行控制和保护；通信网络是计算环境之间实现信 息传输功能的部分。在这三个层次中，假如每一个使用者都是经过认 证和受权的，其操作都是切合规定的，那么就不会产生攻击性的事 故，就能保证整个信息系统的安全。成立科学适用的全程接见控制体制接见控制体制是信息系统中敏感信息保护的核心，依照计算机信息系统安全保护等级区分准则(GB17859-1999)(以下简称 GB17859-1999):三级信息系统安全保护环境的设计谋略，应“供给有关安全策略 模型、数据标志以及主体对客体强迫接见控制”的有关要求。鉴于“一其中心支撑下的三重保障系统结构”的安全保护环境，结构非形 式

3、化的安全策略模型，对主、客体进行安全标志，并以此为基础，按 照接见控制规则实现对全部主体及其所控制的客体的强迫接见控制。由安全管理中心一致拟订和下发接见控制策略，在安全计算环境、安 全地区界限、安全通信网络实行一致的全程接见控制，阻挡对非受权 用户的接见行为以及受权用户的非受权接见行为。增强源泉控制，实现基础核心层的纵深防守终端是全部不安全问题的本源，终端安全部是信息系统安全的源泉，假如在终端实行踊跃防守、综合防备，努力除去不安全问题的本 源，那么重要信息就不会从终端泄漏出去，病毒、木马也没法入侵终 端，内部歹意用户更是没法从网内攻击信息系统安全，防备内部用户 攻击的问题水到渠成。安全操作系统

4、是终端安全的核心和基础。假如没有安全操作系统 的支撑，终端安全就毫无保障。实现基础核心层的纵深防守需要高安 全等级操作系统的支撑，以此为基础实行深层次的人、技术和操作的 控制。面向应用，建立安全应用支撑平台在目前的信息系统中，不单包含单机模式的应用，还包含C/S和B/S模式的应用。固然好多应用系统自己拥有必定的安全体制，如身 份认证、权限控制等，但是这些安全体制简单被窜改和旁路，以致敏 感信息的安全难以获得有效保护。此外，因为应用系统的复杂性，改 正现有应用也是不现实的。所以，在不改正现有应用的前提下，以保 护应用的安全为目标，需要修建安全应用支撑平台。本方案拟采纳安全封装的方式实现对应用服务

5、的接见控制。应用 服务的安全封装主要由可信计算环境、资源隔绝和输入输出安全检查来 实现。经过可信计算的基础保障体制成立可信应用环境，经过资源隔绝 限制特定进度对特定文件的接见权限，进而将应用服务隔绝在一个受保 护的环境中，不受外界的扰乱，保证应用服务有关的客体资源不会被 非受权用户接见。输入输出安全检查截获并剖析用户和应用服务之间的 交互恳求，防备非法的输入和输出。1.2.建设原则信息系统安全建设项目依靠现有网络环境，鉴于严格的管理架构 及信息系统营运模式。要实现信息安全整体系统及安全联动体制的统 一规划，需要严格依照必定的建设原则与标准。主要包含：需求、风险、代价均衡剖析的原则综合性、整体性

6、原则易操作性原则多重保护原则可评论性原则考虑到信息系统安全建设依靠单位网络信息中心实现系统管理 和运维，其直接实现信息安全管理与技术建设。需要在网络信息中心 的一致规划指导下展开信息安全建设。建议依照“一致规划、分步实 施”原则，针对单位内管理及使用的各信息系统按安全等级区分后进 行信息安全等级保护的一致规划设计与分步建设实行。参照信息系统（三级）的技术设计思路和建设内容，依照等级保 护有关标准和要求，依照等保相应级别系统的安全要求，进行信息安 全等级保护的规划设计。1.3. 参照标准中华人民共和国计算机信息系统安全保护条例（国务院14命令）国家书息化领导小组对于增强信息安全保障工作的建议（中

7、办发200327 号）对于信息安全等级保护工作的实行建议（公通字200466号）信息安全等级保护管理方法（公通字200743号）计算机信息系统安全保护等级区分准则（GB17859-1999）信息系统安全等级保护定级指南信息系统等级保护安全设计技术要求（GB/T25070-2010）信息系统安全等级保护基本要求（GB/T22239-2008） 信息系统安全 等级保护实行指南信息系统安全等级保护测评要求信息安全技术操作系统安全评估准则(GB/T20009-2005)信息安全技术信息系统安全管理要求(GB/T20269-2006)信息安全技术网络基础安全技术要求(GB/T20270-2006)信息安

8、全技术信息系统通用安全技术要求(GB/T20271-2006)信息安全技术操作系统安全技术要求(GB/T20272-2006)信息安全技术数据库管理系统安全技术要求(GB/T20273-2006)建设内容平台安全基本波及到以下方面：作为海量数据的办理平台，平台安全控制要做到以下：安全靠谱：能够有效障蔽歹意的接见可伸缩：能够跟着规模的扩大，无需改正架构就能够支持易于管理：支持大规模散布式管理，单进口就能够管理全部设备和系统及应用的安全方便用户：不可以因为安全要求高，而降低了用户的交互友善度安全拓扑表示图部署说明：1、网络界限部署抗DDos系统，防备外面僵尸主机对网络及业务系统的攻击，保障网络的高

9、可用性；2、部署界限防火墙设施，并开启 VPN模块，防备来自外面的安全威迫及接见控制，并对网络间传输的数据进行加密；3、部署入侵防备系统，防止业务系统遭到来自外面的入侵攻击；4、在虚构化平台部署安装虚构防火墙，对东西向流量进行防备，及各VM间进行隔绝。1.6.详尽设计方案计算环境安全设计计算环境安全部是整个安全建设的核心和基础。计算环境安全经过 终端、应用服务器和数据库的安全体制服务，保障应用业务办理全过程的安全。系统终端和服务器经过在操作系统核心层和系统层设置以 强迫接见控制为主体的系统安全体制，形成严实的安全保护环境，通 过对用户行为的控制，能够有效防备非受权用户接见和受权用户越权 接见，

10、保证信息和信息系统的保密性和完好性，进而为业务系统的正常运转和免遭歹意损坏供给支撑和保障。系统安全加固1）操作系统加固：进行操作系统裁剪，只安装知足业务需求的“最 小操作系统”2）增强安全基线配置3）数据库加固：操作系统和数据库程序数据文件安装在不一样分区 上；在非系统卷上安装数据库程序和文件；只安装业务需要的组 件，不安装如升级工具、开发工具、代码示例、联机丛书等不用要组件；限制客户端计算机连结到数据库服务器所能够使用的协议的范围，并保证这些协议的安全性，如限制只使用TCP/IP协议； 限制客户端计算机连结到数据库服务器所使用的特定端口，不使用默 认端口。系统安全审计计算环境各地区中的安全控

11、制点，包含防火墙、IPS、防病毒网关 等设施功能的审计模块记录系统的有关安全事件。审计记录包含安全 事件的主体、客体、时间、种类和结果等内容。审计管理平台供给审计 记录查问、分类、剖析和储存保护，对特定安全事件进行报警，同时终 端安全加固系统能够保证审计记录不会被非受权用户接见。用户数据完好性保护在VPN设施的安全功能支撑下，对经过网络传输的数据进行校 验、保证重要数据在网络传输过程中的完好性。1.6.2.地区界限安全设计安全地区界限是对定级系统的安全计算环境的界限，以及安全计 算环境与安全通信网络之间实现连结功能进行安全保护的零件。.地区界限接见控制防火墙在安全地区界限实行相应的接见控制策略

12、，对出入安全区 域界限的数据信息进行控制，阻挡非受权接见。要求：1）网络构架设计上应依据 web服务器、应用服务器及数据库服 务器重要性和所波及信息的重要程度等要素，利用防火墙区分在不一样 的网段，防止将应用服务器及数据库服务器等信息系统核心服务器部 署在网络界限处，不行将这种服务器直接连结外面信息系统。重要服 务器与其余网段之间经过采纳靠谱的技术隔绝手段；信息系统服务器只开放web服务有关端口，封闭其余服务及端口。依据信息系统服务的详细内容，能够开放以下端口：端口服务25邮件发送服务110POP邮件服务80信息系统服务443安全信息系统服务2）流量控制设施对网络流量进行及时监控和合理限制，保

13、证网 络带宽和业务服务的连续可用。3）抗拒绝服务系统有效防备拒绝服务等网络攻击，保证系统的 完好性和可用性。外面接入区的防病毒网关设施阻挡歹意代码进入信息系统中，形成对局域网内部的设施和资源的有效保护。防病毒应采纳防病毒网关与防病毒软件联动的方式，进而实现从界限到内部全面有效的抵抗病毒的攻击要求:1）防病毒网关主要用于对病毒的查杀，但是，因为这些软件是经过 病毒特点库来实现对病毒的防守与查杀，所以对于新出现的病毒，防病 毒网关总会存在必定的迟滞时间，给信息系统带来安全隐患。所以， 需要经过对信息系统的服务器操作系统进行安全加固，对业务应用系统 进行完好性保护，使操作系统和业务应用对于病毒和歹意

14、代码实现自免 疫，即便是新出现的病毒，也能够保证不会被入侵或损坏。2）信息系统系统中有关各个服务器及工作站一定安装计算机防病毒 软件，终端安全防备系统（服务器版、PC版），在网络界限安装硬件 一致威迫管理（UTM）等设施，形成服务器、终端操作系统加固软件、 主机防毒软件及网络防毒硬件构成的病毒防守系统。病毒防守系统应具 备以下功能：履行程序完好性保护歹意代码主动防守病毒事件报警，病毒事件日记查问与统计全网查杀病毒，及时监控客户端防毒状况集中控制及管理防毒策略防病毒系统自我保护系统主动防守，歹意行为检测，隐蔽进度检测 病毒库在线升级及离线升级客户端破绽检测与 补丁散发 控制未知病毒、蠕虫、间谍软

15、件履行3）信息系统管理人员应及时升级防毒墙和防病毒软件的病毒库，提 升其抵抗病毒的能力。应按期利用防病毒软件扫描各个服务器及工作站 操作系统的安全现状。按期查察主机歹意代码免疫软件中的审计日记， 及时发现服务器及工作站操作系统中存在的未知病毒、木马等歹意可履 行代码。入侵检测系统在外面接入区检测外面对内部系统的入侵行为。将网络入侵检测产品搁置在比较重要的网段内，监督网段中的各 种数据包。对每一个数据包或可疑的数据包进行特点剖析。假如数据 包与产品内置的某些规则符合，入侵检测系统应发出警报甚至直接切 断网络连结。网络入侵检测系统应能够检测来自网络的攻击，能够检测到超出受权的非法接见。无需改变服务

16、器等主机的配置，不在业务系统的主 机中安装额外的软件，不影响这些机器的CPU、I/O与磁盘等资源的使 用，不影响业务系统的性能. 地区界限包过滤地区界限部署的防火墙产品经过检查数据包的源地点、目的地点、传输层协议、恳求的服务等，确立能否同意该数据包出入该地区界限。在服务器前端开启防火墙的应用安全审计功能模块。能有效的审 计各样歹意的网络攻击手段。地区界限安全审计地区界限部署的防火墙、开启防病毒功能模块、部署IPS入侵防御对确认的风险行为及时防守及报警。网络入侵防守能力入侵防守是对防火墙极其有利的增补，入侵防守系统能在入侵攻击 对系统发生危害前，检测到入侵攻击，并利用报警与防备系统驱赶入 侵攻击

17、。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵 攻击后，采集入侵攻击的有关信息，作为防备系统的知识，增添入知识 库内，增强系统的防备能力，防止系统再次遇到入侵。入侵防守被以为 是防火墙以后的第二道安全闸门，在不影响网络性能的状况下能对网 络进行监听，进而供给对内部攻击、外面攻击和误操作的及时保护， 大大提升了网络的安全性。防病毒能力界限防火墙开启防病毒功能，在出口处及时检查网络数据流，防 止歹意和不用要的应用及web内容出入网络，实现办公地区网络最大 化保护、控制与使用。经过利用 ASIC加快的数据检查引擎，可在不 影响网络流量速度的前提下迅速正确地检查并分类HTTP/HTTPS、F

18、TP、SMTP和POP3数据。别的，鉴于用户和用户群的URL过滤引擎和应用 控制可辅助管理员实现网络应用策略。间谍软件、病毒、rootkit攻 击、广告软件和木马等歹意内容在网关处即可被辨别并拦截下来。并保证防病毒软件并已升级到最新版本的病毒库软件，大大减少病毒、 木马等攻击行为。.应用安全防备能力服务器和储存系统承载的要点系统和重要数据，该网络是安全防范的要点，数据中心网络的出口部署高性能入侵防守系统，能够有效阻挡针对数据中心网络的攻击行为，复用互联网出口的DDoS拒绝服务攻击防备系统，对服务器的应用层攻击进行冲洗，保证系统的正常 运转；安全通信网络设计安全通信网络是对定级系统安全计算环境之间进行信息传输实 施安全保护的零件。采纳VPN技术实现远程通信数据传输的完好性和保密性。虚构化主机安全防备虚构化主机安全，面向虚构化主机层面的安全防备、检测与审计。 经过NFV化的安全能力，供给主机层面的安全能力。供给安全能力包含：入侵防守（虚构补丁）