关键信息基础设施网络安全等级保护核心技术

关键信息基础设施网络安全等级保护核心技术第1页/共30页目录二一三信息安全等级保护2.0—网络安全等级保护全面建设、全程防护主动免疫、积极防御第2页/共30页是我国网络安全保障的基本制度是网络空间安全保障体系的重要支撑是应对强敌APT的有效措施网络安全等级保护一、信息安全等级保护2.0—网络安全等级保护第3页/共30页我国等级保护工作创新发展我国80年代兴起了计算机信息系统安全保护研究，1994年，国务院发布《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号），为我国信息系统实行等级保护提供法律依据，也是世界上第一个等级保护国家法规依据国务院147号令制定发布了强制性国家标准《计算机信息系统安全保护等级划分准则》（GB17859-1999），强制性标准，为等级划分和保护奠定了技术基础第4页/共30页《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）进一步明确要求“抓紧建立信息安全等级保护制度”国家有关部委多次联合发文，明确了等级保护的原则、基本内容、工作流程和方法、实施要求和计划等。目前国家各部门都按信息系统定级备案、整改建设和测评进行推进，国家重点工程的验收要求必须通过信息安全等级保护的测评第5页/共30页最近公布的《网络安全法》第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改第三十一条规定，国家对关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护第6页/共30页美国国防部早在八十年代就推行“安全等级划分准则”

（TCSEC）（ITSEC）（CC）2003年，美国发布《保护网络空间国家战略》，提出按重要程度不同分五级保护，并通过了《联邦信息安全管理法案》（FISMA），要求NIST制定分类分级标准超越国外等级保护第7页/共30页2013年2月12日，奥巴马发布了《增强关键基础设施网络安全》行政令，按此令NIST于2014年2月12日12日提出了《美国增强关键基础设施网络安全框架》，按风险程度不同分为四个等级，实行识别、保护、监测、响应、恢复全过程的风险管理2005年变成强制性标准（FIPS200），要求联邦机构无条件执行第8页/共30页1、法律支撑：计算机信息系统安全等级保护条例提升为“网络安全法”中的网络安全等级保护制度3、工程应用：由传统的信息系统防护转向新型计算环境下的主动防御体系建设2、科学技术：由分层被动防护到科学安全框架下的主动免疫防护等级保护2.0的时代特征确保关键信息基础设施安全第9页/共30页风险感知防护建设测评整改监督检查应急恢复全过程第10页/共30页准确划分定级系统，从保护业务信息和系统服务两维资源出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等因素确定等级适用于网络空间的云计算等安全需求分析1、分析风险，准确等级二、全面建设、全程防护第11页/共30页业务处理流程的完整性软硬件设备相对的独立性安全管理责权的统一性定级系统的特征多级互联隔离性第12页/共30页等级合法权益社会秩序和公共利益国家安全损害严重损害损害严重损害特别严重损害损害严重损害特别严重损害一级√二级√√三级√√四级√√五级√

信息系统按重要程度不同分为五级，三级以上是国家重要信息系统（业务信息/系统服务）第13页/共30页等级按级保护保护级（GB17859)可信保障一级自主保护自主访问静态可信二级指导保护审计（自主访问）建可信链三级监督检查标记（强制访问）动态度量四级强制监督检查结构化保证实时感知五级专门监督检查实时监控实时处置第14页/共30页按照《信息安全等级保护管理办法》、《计算机信息系统安全保护等级划分准则》（GB17859-1999）和参照《信息系统等级保护安全设计技术要求》（GB/T25070-2010），设计制定建设方案2、规范建设、严密管控参照《信息安全等级保护实施指南》、《信息系统等级保护安全设计技术要求》等技术标准，从技术和管理两个方面进行安全建设第15页/共30页选择等级测评机构制定测评方案开展测评工作出具测评报告专家评审确认3、等级测评、整改完善第16页/共30页4、监督检查、应急恢复应对事件和灾难发生，减少损失，采取必要的应急和备份措施，发生事件，及时恢复第17页/共30页

保证资源安全必须实行科学管理，强调最小权限管理，高等级系统实行三权分离管理体制，不许设超级用户

针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源），确保业务信息安全

针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护，确保系统服务安全YoucanBelikeGod1)可信2)可控YoucanBelikeGod3)可管从技术和管理两个方面进行安全设计，做到:1、设计原则三、主动免疫、积极防御第18页/共30页

安全管理中心支持下的可信免疫的计算环境区域边界通信网络三重防护结构框架2、结构框架第19页/共30页

保护环境框架图可信计算环境可信区域边界可信通信网络

构建三重安全防护结构框架划分为节点、典型应用、区域边界、通信网络、安全管理、审计管理和系统管理等子系统。安全管理中心第20页/共30页21典型应用子系统：安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合要求的安全功能支持和安全服务节点子系统：节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障1）可信计算环境第21页/共30页22区域边界子系统：区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是信息系统的第二道安全屏障2）可信区域边界第22页/共30页23通信网络子系统：通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是信息系统的外层安全屏障3）可信通信网络第23页/共30页24系统管理子系统：系统管理子系统负责对安全保护环境中的计算节点、安全区域边界、安全通信网络实施集中管理和维护，包括用户身份管理、资源管理、应急处理等，为信息系统的安全提供基础保障安全管理子系统：安全管理子系统是信息系统的控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现了对整个信息系统的集中管理，为信息系统的安全提供了有力保障审计子系统：审计子系统是系统的监督中枢，安全审计员通过制定审计策略，强制节点子系统、区域边界子系统、通信网络子系统、安全管理子系统、系统管理子系统执行，从而实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据4）管理中心第24页/共30页1）国家电网电力调度系统安全防护建设发改委14号令决定以可信计算架构实现等级保护四级电力可信计算密码平台已在34个省级以上调度控制中心和59个地级调度控制中心上线运行，覆盖了上万台服务器，确保了运行安全

3、重要核心系统规模化建设应用第25页/共30页应用CPU使用率内存使用率计算时间加载前加载后影响度加载前加载后影响度加载前加载后影响度应用12.92%2.95%1.03%11%11%0%69s69.9s1.3%应用22.3%2.33%1.3%6.9%7%1.45%24.6s25.1s2.03%应用32.8%2.85%1.79%7.8%7.9%1.28%18.9s19.4s2.65%采用PCI可信卡的方式进行部署实施实现了对已知、未知恶意代码的免疫实现了可信保障机制，使得系统运行效率有限降低基于D5000平台的安全标签，不许改动源代码……通过逐级认证实现系统的主动免疫，达到等级保护四级技术要求第26页/共30页2）中央电视台可信制播环境建设中央电视台播出42个频道节目，面向全球提供中、英、西、法、俄、阿等