某大型集团集中式信息系统灾备中心安全体系设计方案

PAGEXX电网公司集中式信息系统灾备中心安全体系设计方案XX电网公司二〇一一年十二月XX电网公司集中式信息系统灾备中心安全体系设计方案 PAGEI 目录TOC\o"1-5"\h\z\u1概述 11.1防护目标 11.2适用范围 11.3参考文档 12安全防护体系设计 22.1设计原则 22.2防护体系 32.3灾备中心网络分区说明 42.3.1网络分区逻辑示意图 42.3.2内网网络分区及放置系统说明 42.3.3外网网络分区及放置系统说明 53安全防护需求分析 63.1一般安全需求 113.2数据级容灾安全防护需求 123.2.1安全需求 123.2.2内网访问需求 13概述 13内网数据复制访问需求 14监控维护管理访问需求 153.2.3外网访问需求 174安全防护策略设计 184.1物理安全措施 184.1.1概述 184.1.2防护要点 184.2边界防护策略 204.2.1防火墙策略 20防火墙策略总体要求 20外网互联网边界防火墙策略 21内网信息网接入区边界防火墙配置策略 234.2.2IPS/IDS策略 28外网边界IPS策略 28内网信息网接入区边界IDS配置策略 294.2.3边界安全监测系统配置策略 304.2.4外网监测系统配置策略 314.3网络防护策略 314.3.1内网监测系统配置策略 314.3.2网络设备安全配置策略 344.4主机防护策略 364.4.1外网防病毒系统配置策略 364.4.2终端行为控制系统防护策略 374.4.3Windows系统安全配置策略 374.4.4Unix系统安全配置策略 40附件一安全产品配置清单 43附件二灾备中心IMS监控系统端口开放要求 45

图示TOC\h\z\c"图"图21防护体系 3图22网络分区示意图 4图23北京外网安全防护设计 6图24北京内网安全防护设计 7图25上海外网安全设计 8图26上海内网安全设计 9图27西安内外网安全设计 10

表格TOC\h\z\c"表"表21安全防护体系设计原则 2表22内网网络分区放置系统说明 5表23外网网络分区放置系统说明 5表41防火墙策略设置总体要求 21表42外网访问需求 22表43监测系统所需开放端口（外到内） 22表44监测系统所需开放端口（内到外） 22表45防火墙开放要求（外到内） 25表46防火墙开放要求（内到外） 27表47边界安全监测系统配置策略 31表48外网监测系统配置策略 31表49内网监测系统网络防护配置策略 34表410网络设备安全配置策略 36表411Windows系统安全配置策略 40表412Unix系统安全配置策略 41概述防护目标灾备中心信息系统安全策略设计的总体目标是增强三地信息系统安全防护能力，提升信息安全自主可控能力，抵御外部攻击行为，防止关键信息系统业务数据或信息被窃取或篡改，防止网络被恶意渗透或监听，以确保业务数据安全，保障灾备中心业务系统安全稳定运行。适用范围灾备中心信息系统建设包括信息内网、信息外网两部分。本设计方案适用于三地灾备中心信息内网、信息外网数据级容灾阶段的安全防护。参考文档《XX电网公司集中式信息系统容灾中心详细设计和实施服务－信息安全防护体系设计》《XX电网公司信息化“SG186”工程安全防护总体方案》《XX电网公司信息安全风险评估实施细则》《XX电网公司信息安全加固实施指南》《信息系统安全保护等级基本要求》安全防护体系设计 设计原则防护策略说明双网双机灾备中心分为内网和外网，内外网之间物理隔离或逻辑强隔离；内外网分别采用不同的服务器和终端。在数据级容灾阶段，内外网之间如没有相互访问的需求，可以采用物理隔离的方式。到应用级容灾和数据中心阶段，内外网之间产生相互访问需求时，再行采用逻辑强隔离设备进行隔离。分区分域1.从网络层面，根据IATF（和等保）安全域划分标准，从边界，互联，核心和支撑4个方面进行安全域划分。2.从业务和应用层面，根据“三级系统独立成域，二级系统统一成域”原则，结合灾备中心系统定级情况（数据级灾备中心放置非生产系统和数据，根据电监会和国网等保定级标准，其核心业务和应用的等级保护定级为二级），将灾备中心各业务系统划分到同一个安全域中。如，网省区中网省之下的各业务系统统一成域，网省之下不再划分安全域。3.对于数据存储区，建议对各网省划分分区的方式来实现各网省数据访问的隔离。等级保护以实现等级保护为基本出发点进行安全防护体系建设，并参照XX等级保护基本要求进行安全防护措施设计，其它安全标准作为等保安全防护体系的补充深度防御在灾备中心分域防护的基础上，从边界、网络、主机、应用、数据和管理多层次进行深度防御表STYLEREF1\s2SEQ表\*ARABIC\s11安全防护体系设计原则 防护体系图STYLEREF1\s2SEQ图\*ARABIC\s11防护体系灾备中心网络分区说明网络分区逻辑示意图图STYLEREF1\s2SEQ图\*ARABIC\s12网络分区示意图内网网络分区及放置系统说明项目网络分区及放置系统说明公共应用区部署公共访问的应用系统。如FTP服务器、DNS服务器、防病毒服务器等。带内管理区管理服务器及管理终端。放置安全设备管理服务器，专业网管系统服务器，监测系统服务器等。带外管理区部署带外管理服务器及管理终端，实现对设备Console、管理网卡、KVM系统等的管理。信息网接入区连接国网信息网，从而实现灾备中心网络接入国网信息网。放置路由器，交换机等网络设备。内网外联区连接电信、银行等合作伙伴及其它第三方网络。应用级容灾阶段可能需要放置前置机。公共存储区放置存储设备，SAN网络设备。内网验证区用于数据验证。放置网省验证服务器。用户接入区连接用户终端。放置用户接入PC。网省区部署各网省（含直属单位）容灾系统。放置数据库复制服务器，主要是Oracle服务器，1对1部署。金融单位区部署金融单位的容灾系统，支持金融单位的两地三中心的需求。放置金融单位存储设备，验证服务器等。表STYLEREF1\s2SEQ表\*ARABIC\s12内网网络分区放置系统说明外网网络分区及放置系统说明外网网络分区在应用级容灾及数据中心阶段将与内网网络分区相同，但数据级容灾阶段外网没有业务，只有内部终端访问互联网的需求，因此只存在与内部终端访问互联网的需求有关的网络分区。网络分区如下：项目网络分区及放置系统说明公共应用区放置自用服务器带内管理区放置管理服务器及管理终端。放置防火墙、IPS管理服务器，终端安全行为管理系统服务器，外网安全监测系统服务器，边界安全监测系统服务器，防病毒管理服务器等。带外管理区放置带外管理服务器及管理终端，实现对设备Console、管理网卡、KVM系统等的管理。用户接入区放置用户接入终端。外网互联网接入区连接互联网。放置防火墙，IPS，交换机等安全及网络设备表STYLEREF1\s2SEQ表\*ARABIC\s13外网网络分区放置系统说明安全产品部署示意图北京外网安全产品部署图STYLEREF1\s2SEQ图\*ARABIC\s13北京外网安全防护设计外网防护措施主要是在网络边界――外网互联网接入区放置双机方式的防火墙和IPS作为防护。目前阶段主要针对内部用户访问外部网络的行为进行防护；同时，为保证外部终端网络访问安全，利用防病毒和终端安全行为管理系统对外部终端进行安全防护。外网部署外网安全监测系统和边界安全监测系统对整体安全状况进行统计，分析和展现。并通过安全评估与安全加固服务实现外网服务器的安全防护。北京内网安全产品部署图STYLEREF1\s2SEQ图\*ARABIC\s14北京内网安全防护设计在信息网接入区边界和公共存储区边界分别放置万兆防火墙做边界防护。在内网外联区边界和金融单位区边界分别放置千兆防火墙做区域边界防护。在信息网接入区边界和内网外联区边界放置IDS做入侵检测。对内网终端的安全防护通过（IMS系统所包含的）桌面安全管理软件实现。对内网服务器的安全防护主要通过安全评估和安全加固服务实现。上海外网安全产品部署图STYLEREF1\s2SEQ图\*ARABIC\s15上海外网安全设计上海灾备中心外网防护措施主要是在网络边界即外网互联网接入区放置防火墙和IPS作为边界防护。同时，为保证外部终端网络访问安全，利用防病毒和终端安全行为管理系统对外部终端进行安全防护。外网部署外网安全监测系统和边界安全监测系统对整体安全状况进行统计，分析和展现。并通过安全评估与安全加固服务实现外网服务器的安全防护。上海内网安全产品部署图STYLEREF1\s2SEQ图\*ARABIC\s16上海内网安全设计信息网接入区边界和公共存储区边界分别放置万兆防火墙做边界防护。在内网外联区边界和金融单位区边界分别放置千兆防火墙做区域边界防护。在信息网接入区边界和内网外联区边界放置IDS做入侵检测。内网终端的安全防护通过（IMS系统所包含的）桌面安全管理软件实现。内网服务器的安全防护主要通过安全评估和安全加固服务实现。西安内外网安全产品部署图STYLEREF1\s2SEQ图\*ARABIC\s17西安内外网安全设计西安外网的情况与北京、上海类似，外网目前尚未对外提供业务，不存在公共应用区、金融单位区、验证区和公共存储区。在网络边界即外网互联网接入区放置双机方式的防火墙和IPS作为防护。同时，为保证外部上网终端安全，利用防病毒和终端安全行为管理系统对外部上网终端进行安全防护。外网部署外网安全监测和边界安全监测系统对外网的整体安全状况进行统计，分析和展现。对外网服务器系统的安全防护主要通过安全评估与安全加固服务实现。内网防护措施如下：在信息网接入区边界和公共存储区边界共用万兆防火墙做访问控制。在内网外联区边界放置千兆防火墙做访问控制。在信息网接入区边界和内网外联区边界放置IDS做入侵检测。对内网终端的安全防护主要通过（IMS系统所包含的）桌面安全管理软件实现。对内网服务器的安全防护主要通过安全评估和安全加固服务实现。安全防护需求分析一般安全需求可用性可用性是旨在保证信息系统为授权用户有效和及时的提供服务的需求。该目标防范：•故意或无意的尝试：−执行未授权数据删除或更改−引起服务或数据拒绝•尝试出于未授权目的使用系统或数据。可用性需求主要通过防火墙和IPS的防DDoS功能来实现。同时，防火墙、IPS/IDS、漏洞扫描系统的主动防御、事件发现、漏洞发现功能能够减少系统受攻击的可能性，也能够在一定程度上保证系统的可用性。在实际配置防火墙、IPS/IDS、漏洞扫描和防病毒系统策略时，应注重结合灾备中心系统和应用的实际情况，有针对性的实现及时和主动的防御，以有效保证系统可用性。（系统和数据）完整性完整性有两个方面：•数据完整性（存储、处理或传输时，数据特性不被以未授权方式改变）或•系统完整性（系统以未被削弱的方式、不被操控的执行预期功能的特性）。数据完整性主要通过综合审计平台结合数据摘要和验证等方式实现。系统完整性通过主动防御、保证系统安全的方式来实现。除注重结合灾备中心系统和应用的实际情况，有针对性的实现及时和主动的防御之外，进行有针对性的安全评估和安全加固服务也是保证（系统和数据）完整性的重要手段。（数据和系统信息）机密性机密性是私人或机密信息不被暴露给未授权个体的需求。机密性保护适用于存储、处理和传输的数据。对于一些系统和大多数系统中的特定数据类型（如，认证程序），机密性非常重要。保证（数据和系统信息）机密性需要结合管理（保证帐号和口令安全），服务（对系统文件权限等的安全加固）和产品（防火墙，IPS/IDS，漏洞扫描）来达到。（到达个体水平的）责任责任是实体可以被唯一跟踪到该实体的需求。责任常常是组织策略需求并且直接支持不可否认、威慑、过错隔离、入侵检测和防范，以及事后恢复和法律行动。责任主要通过防火墙日志，IPS/IDS事件记录及其它安全相关设备的日志等的有效备份和综合分析等行为来达到。（其它四个目标被充分满足的）保证保证是（技术的和运行的）安全措施如预期那样工作来保护系统及其处理的信息（的信心）的基础：•必需的功能存在并被正确执行•有针对（用户的或软件的）无意错误的足够保护，以及•有对故意渗透或旁路的充分抵抗。保证是必不可少的；没有它其它目标就无法满足。然而，保证是连续的；每个系统所需的保证数量都不同。保证主要通过安全管理，安全策略的有效落实和安全督查等方式来实现。数据级容灾安全防护需求安全需求根据灾备中心安全防护体系要求，充分考虑数据级容灾的信息系统相关风险来制定安全防护策略，使数据级灾备中心能够满足所有业务目标，保证灾备中心数据复制等业务安全稳定进行，能够在网省灾害发生时提供及时有效的数据恢复。主动掌控最新安全形势，提前布局、超前防护。有效修补灾备中心信息系统安全脆弱性，有效防范灾备中心信息系统安全威胁，在安全事件发生时进行及时发现和响应，在安全事件发生后进行取证和追查，从而保护灾备中心信息系统安全。对于灾备中心信息系统，安全目标的优先级顺序是：机密性、完整性、可用性、责任和保证。结合上述安全需求，防火墙的策略应以主动防御为主，即采用“除了允许访问的，其它全部拒绝”的策略。IPS/IDS策略应结合数据级容灾网络、系统和应用情况，尽可能实现对安全事件的及早发现和及早预防。各个安全产品的策略应将等保要求作为基线安全防护要求来实现更全面的安全防护。本方案中网络设备设备安全配置策略、Windows系统安全配置策略和Unix系统安全配置策略部分重点参照等保要求进行了安全防护策略的设计。内网访问需求概述数据级容灾阶段，主要的业务相关访问是数据复制访问。数据复制通过两种方式实现，一种是存储到存储的，由生产端SAN网络中的存储设备复制数据到容灾端SAN网络中的存储设备，分别通过生产端和容灾端的SAN网络和IP网络之间部署FCoIP设备来实现SAN网络和IP网络之间的协议转换。另一种是通过数据库复制来实现，即分别通过生产端和容灾端的OracleGoldenGate软件来实现生产端和容灾端之间的Oralce数据库的数据复制。对于存储到存储的数据复制，生产端SAN网络中的存储设备经由国网信息网通过灾备中心信息网接入区防火墙到达灾备中心公共存储区SAN网络中的存储设备，因为公共存储区属于SAN网络，不能通过防火墙进行访问控制，因此存储到存储的数据复制只需要考虑灾备中心信息网接入区防火墙的访问控制。对于数据库复制，生产端Oracle数据库服务器经由国网信息网通过灾备中心信息网接入区防火墙到达灾备中心网省区的各网省容灾备份Oracle数据库服务器。数据库到数据库的数据复制需考虑灾备中心信息网接入区防火墙和网省区防火墙的访问控制。除数据复制之外，数据级容灾阶段还存在因网络设备、安全设备、主机系统、数据库等的监控、维护和管理而产生的各种访问需求。如设备、系统自身的管理软件出于管理目的所产生的访问需求，出于设备、系统自身的日常维护而产生的维护访问需求，以及IMS、ISS等软件出于监控等目的而对各相关系统所产生的访问需求。因为监控，维护和管理服务器及终端一般都位于带内管理区，而被管理对象分布于各区，因此此种访问需要考虑带内管理区及其它各区之间的访问控制。IMS是监控管理工具，网络设备、主机系统自身如果有自带的专业管理工具，日志和事件的收集可由自带的专业管理工具完成，之后由IMS访问其自带的专业管理工具获得日志或事件等信息。专业管理工具一般位于带内管理区，被管理对象位于其它各区，因此此种访问需考虑带内管理及其它各区之间的访问控制。IMS对各网络设备、主机系统、应用等的日志收集和管理都由IMS发起，一般情况下，没有网络设备、主机系统、应用等主动访问IMS的需求。如内网边界防火墙只对外到内的访问进行限制，则IMS的管理访问策略只在相关各区的防火墙上设置即可。IMS的功能（及管理对象）为网络设备（节点和拓扑，性能），服务器（硬件和操作系统），数据库（状态、日志事件（警告）、侦听器状态、进程状态，归档日志和可用空间，表空间，I/O等），中间件（运行情况，日志），应用（交易的响应时间，日志，进程，性能等），存储设备（磁盘阵列，交换机，虚拟存储设备，带库设备等），存储容量（磁盘阵列，服务器，带库等），SAN网络（拓扑，链路状态，带宽使用等），备份状态（备份任务，备份速率等），数据复制状态（速率，任务状态等），生产中心与备份中心的配置一致性（版本一致性，软件配置一致性等），容灾切换（及演练）过程的监控（各环节的切换是否成功，切换时间，切换过程的工作流状态监控等），灾难服务水平（根据信息系统的容灾服务水平，完成RPO、RTO监控等），虚拟化服务器的资源使用（虚拟化平台资源的使用率监控，物理硬件平台的资源使用率情况监控），虚拟化管理平台（管理平台的状态监控，如管理平台运行是否正常，任务的调度是否成功等），安全系统监控（脆弱性扫描告警，IDS/IPS告警，防火墙告警，主机告警，网络设备告警，病毒告警，垃圾邮件告警等），桌面终端（资产管理，软件管理，补丁管理，安全管理），运维流程（事件管理，问题管理，配置管理，变更管理，发布管理，资产管理，服务请求管理，服务水平管理），云计算管理。内网数据复制访问需求存储虚拟化数据复制。在生产端和容灾端的传输需要将SAN网络通过IP桥接，这通过生产端的FCoIP设备和容灾端的FCoIP设备实现。生产端和容灾端之间的数据传输需要通过国网信息网和信息网接入区，因此该功能需要通过信息网接入区防火墙（双向）。进入灾备中心网络之后，数据复制需要通过FCoIP设备进入公共存储区的存储设备，因为该区域属于SAN网络，不能通过防火墙进行访问控制，因此不考虑防火墙的访问控制问题。数据库复制。通过生产端的GoldenGate数据库复制服务器（包括：营销业务的生产数据库、营销业务的95598客服服务数据库、生产管理系统数据库、人财物集约化的ERPECC数据库、人财物集约化的财务管控之资金支付&通用电子结算数据库、人财物集约化的财务之协同抵消模块的总部应用数据库、一体化平台企业门户之通用门户数据库及作为主门户的SAPEP数据库、一体化平台的数据交换和数据中心数据库、一体化平台的SAPPI的数据库、一体化平台的数据资源管理中心的数据库）和容灾端的GoldenGate数据库复制服务器（同上）实现。生产端和容灾端之间的数据库复制传输需要通过国网信息网和信息网接入区，因此该功能需要通过信息网接入区防火墙（双向）。通过信息网接入区进入灾备中心网络之后，生产端数据库复制服务器需要与位于内网网省区的容灾端数据库复制服务器进行数据复制，因此该访问也需要通过内网网省区防火墙。监控维护管理访问需求数据复制监控维护管理SAN集中管理系统DCFM对网省FCoIP设备及磁盘阵列以及灾备中心SAN设备的管理需求。该功能需要通过信息网接入区防火墙（及内网带内管理区防火墙）。存储虚拟化复制管理功能。通过生产端的存储管理主机与容灾端的存储管理主机实现。该功能需要通过内网带内管理区防火墙和信息网接入区防火墙。复制监控和比较功能。通过生产端数据库服务器/容灾端数据库复制服务器与容灾端复制监控和比较服务器，以及容灾端数据库复制监控和比较服务器与网省端数据库服务器和容灾端数据库复制服务器，生产中心客户端和灾备中心客户端与灾备中心数据库复制监控和比较服务器实现。此功能需要通过内网带内管理区防火墙，内网网省区防火墙，内网信息网接入区防火墙。实施期间的维护、管理，初始化数据与调试。需要利用FTP传输初始化数据；需要在生产端数据库服务器和容灾端数据库复制服务器之间双向利用SSH进行管理；需要生产中心灾备中心的存储管理（CCI/RaidManager）主机通过HTTP访问HP/HDS高端存储管理地址。在实施期间，开通上述需要互相通信的设备IP地址之间的ICMP协议，以便可以使用ping命令进行网络和系统连通性测试。此功能需要通过内网信息网接入区防火墙，内网网省区防火墙，内网带内管理区防火墙。其它维护管理需求数据库、主机操作系统、网络设备等的配置管理。此功能需要通过内网带内管理区防火墙及设备所在各区域防火墙。IMS监控维护管理三地灾备中心监控系统与被管网省IMS之间数据复制状态查看。需要通过内网带内管理区防火墙和内网信息网接入区防火墙。三地灾备中心监控系统向总部IMS系统上报监控数据。需要通过内网带内管理区防火墙和内网信息网接入区防火墙。三地灾备中心监控系统向总部二楼监控机房上报监控数据。需要通过带内管理区防火墙和信息网接入区防火墙。三地灾备中心监控系统分别从各自灾备中心内部系统收集数据（包括网络设备，主机设备，数据库，ITIL应用服务器，桌面应用服务器，安管应用服务器，三维机房应用服务器，存储监控应用服务器，监控系统应用服务器，总线/级联服务器，综合网管应用服务器，GoldenGate所在服务器，HDSUSPV的管理服务器，HPXP24000的管理服务器，云资源管理平台）。需要通过带内管理区防火墙和设备所在各区域的防火墙。ISS外网监测系统（实施ISS之后产生）外网监测系统向总部上报监测数据以及总部到灾备中心采集数据的访问需求。这种数据上报需要通过互联网进行，需要通过外网互联网边界防火墙。外网监测系统探针与外网监测系统之间传输管理和日志/事件数据的访问需求。该数据传输通过专门组建的安全管理网络进行，不通过灾备中心公共网络，而且目前阶段灾备中心外网内部不部署防火墙，因此不需要考虑防火墙的端口开放需求。外网监测系统管理的终端与外网监测系统之间的策略及报警等相关信息传输的访问需求。目前阶段外网内部各网络分区不设防火墙，因此访问不需要通过防火墙进行。防火墙防火墙模块的管理和日志传输通过专门组建的安全管理网络进行，不通过灾备中心公共网络，不需要通过防火墙，因此不需要考虑防火墙的端口开放需求。IDS/IPSIDS/IPS的管理和日志传输通过专门组建的安全管理网络进行，不通过灾备中心公共网络，不需要通过防火墙，因此不需要考虑防火墙的端口开放需求。综合审计综合审计的管理和日志传输通过专门组建的安全管理网络进行，不通过灾备中心公共网络，不需要通过防火墙，因此不需要考虑防火墙的端口开放需求。外网访问需求目前阶段，外网主要是内部终端对互联网的访问需求，没有外对内的访问需求，目前只需要设置允许内部对外的所有地址的相关协议的访问，实现源IP地址段和目的端口级别的访问控制。外网部署边界安全监测和外网安全监测系统之后，除这两个系统向总部上报数据的内对外访问需求之外，也可能会产生总部系统对这两个系统的外对内访问需求，目前阶段暂不考虑。安全防护策略设计为严格落实灾备中心信息安全防护体系设计要求，指导三地灾备中心的安全产品及服务配置，以更好的保障安全产品和服务的有效使用，有效保证中心信息安全，特制定本安全防护策略设计。本章节主要涉及的安全防护措施包括：物理安全措施、边界防护、访问控制、安全加固、内容安全、病毒防范、监控审计。物理安全措施概述物理安全防护包括物理位置的选择，物理访问控制，防盗窃与防破坏，防雷击，防火，防水和防潮，温湿度控制，电力供应，防静电，电磁防护，防尘除尘等。防护要点机房和办公场地选择在具有防震、防风和防雨等能力的建筑内远离产生粉尘、油烟、有害气体以及生产或贮存具有腐蚀性、易燃、易爆物品的工厂和堆场等避开强电磁场干扰，并远离强振源和强噪声源。当无法避开强干扰源、强振源或为保障信息系统设备安全运行，可采取有效的屏蔽措施机房出入口安排专人值守或设置电子门禁系统，控制、鉴别和记录进入的人员需进入机房的来访人员经过申请和审批流程，并限制和监控其活动范围主要信息设备要放置在机房内设备或主要部件进行固定，并设置明显的标签将通信线缆铺设在隐蔽处对介质分类标识，存储在介质库、档案柜或档案室中。主机房内的介质库、档案柜使用防火材料主机房安装必要的防盗报警设施机房建筑设置避雷装置机房设置交流电源地线机房设能够自动灭火的气体消防系统采用感烟、感温两种探测器的组合，能够自动检测火情、自动报警机房门是防火材料，并保证在任何情况下都能从机房内打开主机房尽量避开水源，与主机房无关的给排水管道不得穿过主机房主机房内的设备需要用水时，其给排水干管应暗敷。管道穿过主机房墙壁和楼板处要设置套管，管道与套管之间采取可靠的密封措施机房内的给排水管道必须有可靠的防渗漏措施。当机房内设有用水设备时，采用有效的防止给排水漫溢和渗漏的措施对机房窗户、屋顶和墙壁采取防水、防渗透措施采取措施防止机房内水蒸气结露和地下积水的转移与渗透机房设置温、湿度自动调节设施，机房内有温度计量设施夏季机房温度应控制在23℃±2℃，冬季应控制在20℃±2℃；机房湿度应控制在45%～65%应设置温、湿度越限报警系统在机房供电线路上配置稳压器和过电压防护设备提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。采用不少于两路UPS供电，机房供电时间不得少于2小时关键设备采用必要的接地防静电措施电源线和通信线缆应隔离铺设，避免互相干扰进入机房应更换拖鞋或戴鞋套应禁止将食物带入机房内，机房内不得存放食物定期打扫机房卫生边界防护策略防火墙策略防火墙策略总体要求本防火墙策略总体要求为下面各章节所列举的所有防火墙的策略设置都需参照的总体要求。编号配置项目配置内容1访问控制策略防火墙防护策略原则为：除非明确允许的，其它全部拒绝。也就是防火墙的最后一条策略为源地址any源端口any到目的地址any目的端口any的访问全部被丢弃/拒绝（外部边界防火墙建议配置为丢弃，内部边界防火墙可配置为拒绝）并进行记录，在最后一条策略之前添加允许的访问2访问控制策略在配置访问规则时，源地址，目的地址，服务或端口的范围必须以实际访问需求为前提，尽可能的缩小范围3访问控制策略双机方式部署的防火墙，可能需要允许两台防火墙之间的互相访问4访问控制策略阻止防火墙自身直接发起的对任何其它系统的访问5访问控制策略允许防火墙管理地址对防火墙自身地址发起的管理访问（如防火墙管理地址的设置包含在防火墙的隐含规则中或有专门的设置方式，则可以考虑不设置此条显式规则），管理访问必须采用加密方式进行。要求记录所有防火墙管理访问6访问控制策略对目的地址为防火墙自身地址的所有访问全部丢弃并进行记录（前提是已经根据上述第5项要求进行了管理访问设置），除非防火墙提供需要直接连接其自身的服务7访问控制策略原则上禁止所有访问都被允许的策略，即不允许在防火墙访问控制策略中的任何位置设置源地址any源端口any目的地址any目的端口any的访问都被允许（accept）的策略8访问控制策略（外部边界防火墙）尽可能制定双向的防火墙访问控制策略（既控制对内访问，也控制对外访问），至少要保证（内部边界防火墙）制定防火墙外系统对内部系统进行的对内访问控制策略。9访问控制策略认真检查访问控制策略的顺序和严格程度，删除无效或无用的防火墙策略，以保证访问控制策略有效10访问控制策略尽可能为规则添加注释，便于后续维护以及多管理员的协作11帐号权限加固修改默认用户名和口令，设置用户口令长度>8位，最好是字母、数字及字符的组合12网络服务加固关闭不必要的SNMP服务，若必须使用，应采用SNMPv3以上版本并以启用身份验证、加密和接入控制等安全机制关闭不必要的HTTP管理服务，必要时应采用HTTPS方式管理防火墙，若无法使用HTTPS方式，则必须严格限制可管理的IP地址段13网络访问控制加固管理网络安全设备的网段与业务网段分离，禁止外部地址和用户对防火墙进行管理使用SSH等安全方式登录，禁用Telnet方式禁止任何旁路14审计策略加固防火墙要提供日志（包括：系统日志和重要策略产生的日志）分析和管理功能为防火墙设备指定日志服务器对关键的防火墙策略记录日志配置防火墙日志的保存期限为半年以上定期或在防火墙策略有重大改动时审计防火墙策略的效率和有效性15攻击防范可能的情况下，应尽量使用地址翻译（NAT）功能，屏蔽内网IP地址，隐藏内部的网络结构配置防火墙自身的抗DoS攻击功能设置防火墙必要的事件报警功能对于防火墙各逻辑接口配置开启防源地址欺骗功能对于外网口地址，关闭对ping包的回应(在网络调试阶段或因其它必要理由，可暂时开放对ping包的回应)表STYLEREF1\s4SEQ表\*ARABIC\s11防火墙策略设置总体要求外网互联网边界防火墙策略外网互联网边界防火墙策略目前主要针对内到外的访问进行访问控制，策略中列出了一些常见的应用和协议，三地灾备中心可根据实际情况进行调整。针对边界安全监测和外网安全监测系统的访问控制策略在部署SMS和ISS系统之后产生，目前阶段可暂不考虑，只做参考。目前阶段灾备中心外网不对外部提供服务，只有内部的互联网访问需求。因此外网互联网边界的访问控制需求是丢弃外部对内部的所有访问，只允许内部对互联网的必要访问。要求控制粒度到端口级，允许内部IP地址对任意地址的相关服务的访问（如HTTP（80/8080/8000），HTTPS（443），SMTP（25），POP3（110），POP3S(995)，DNS（53），FTP（21），TELNET（23），SSH（22），ICMP协议）（如果采用了代理服务器或其它终端行为控制系统并且此一策略在代理服务器或终端行为控制系统上实现，防火墙的本条策略相应的更改为允许代理服务器或终端行为控制系统对任意地址的相关服务的访问）。目前阶段源IP地址范围可以确定，可以基于白名单进行访问控制，因此可以考虑不采用黑名单方式进行访问控制。在将来灾备中心需要对外提供业务时，除内部访问需求外，只允许互联网对内部相关业务系统的相关端口的访问，原则上不允许外部系统直接访问内部的关键系统，应该在关键系统前设置专门供互联网访问的web服务器/门户系统/接口机/前置机。此时因为互联网地址范围不能确定，因此可以考虑采用黑名单方式进行访问控制，对于来自保留地址，专用地址和广播地址等非法/无效地址的入网访问请求进行丢弃。 部署外网监测系统之后，外网监测系统有向总部上报监测数据以及总部到灾备中心采集数据的访问需求。这种数据上报需要通过互联网进行，需要通过外网互联网边界防火墙。当前访问需求（内到外）用途协议内部设备端口互联网端口策略内网访问TCP、UDP内部设备（终端）地址anyanyHTTP（80/8080/8000），HTTPS（443），SMTP（25），POP3（110），POP3S(995)，DNS（53），FTP（21），TELNET（23），SSH（22），ICMP协议等单向表STYLEREF1\s4SEQ表\*ARABIC\s12外网访问需求部署外网监测ISS系统后需要开放的防火墙端口（外到内）用途协议总部设备端口容灾端设备端口总部到容灾端采集数据TCP边界安全监测系统N/A边界安全监测系统容灾端8080总部到容灾端采集数据TCP边界安全监测系统N/A边界安全监测系统容灾端22总部到容灾端采集数据TCP边界安全监测系统N/A边界安全监测系统容灾端1521表STYLEREF1\s4SEQ表\*ARABIC\s13监测系统所需开放端口（外到内）部署外网监测ISS系统后需要开放的防火墙端口（内到外）用途协议总部设备端口容灾端设备端口预留总线加密方式端口，灾备中心到总部TCP边界安全监测系统容灾端N/A边界安全监测系统3010-3019表STYLEREF1\s4SEQ表\*ARABIC\s14监测系统所需开放端口（内到外）内网信息网接入区边界防火墙配置策略信息网接入区主要作为灾备中心网络与各网省生产系统及总部系统连接的出入口。其必须允许几类访问需求：数据复制需求。包含灾备中心与网省生产中心之间的存储复制和数据库复制访问需求。监控管理需求。灾备中心与网省生产中心之间的监控管理和维护访问需求。灾备中心与总部之间传输监控等数据的需求。由外向内防火墙端口开放要求（仅供参考）用途协议生产端设备端口容灾端设备端口策略数据复制链路（FCoIP）TCPFCoIP设备3225FCoIP设备3225双向DCFM管理-SNMPTrapUDPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）N/ADCFM服务器162生产端SAN网设备DCFM服务器DCFM管理-SyslogUDPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）N/ADCFM服务器514生产端SAN网设备DCFM服务器DCFM管理-MPITCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）N/ADCFM服务器1024生产端SAN网设备DCFM服务器UDP存储管理(CCI/RAIDManager)主机N/A存储管理(CCI/RAIDManager)主机已规划端口生产存储管理主机容灾存储管理主机数据库复制TCPGOLDENGATE数据库服务器7839-7849GOLDENGATE数据库复制服务器7839-7849双向数据库复制监控和比较TCPGOLDENGATE数据库服务器N/A数据库复制监控和比较服务器全部GOLDENGATE数据库服务器监控和比较服务器数据库复制监控和比较TCP（比较功能）客户端N/A数据库复制监控和比较服务器8830客户端监控和比较服务器数据库复制监控和比较TCP（监控功能）客户端N/A数据库复制监控和比较服务器7001客户端监控和比较服务器远程SSH（实施期间开通）TCP数据库服务器22数据库复制服务器22双向数据初始化（有需要的网省在实施期间开通）TCP数据库服务器21数据库复制服务器21双向Ping（实施期间开通）ICMP上述需要通信的设备N/A上述需要通信的设备N/A双向IMS监控IMS应用服务器，总线/级联服务器any监控系统应用服务器，总线/级联服务器，ITIL应用服务器，桌面应用服务器，安管应用服务器，三维机房应用服务器，存储监控应用服务器80，8080，8400，8401，8402，8161，61616，61617，61618生产中心IMS应用服务器，总线/级联服务器灾备中心IMS相关服务器用途协议总部设备端口容灾端设备端口策略IMS监控TCPIMS应用服务器（02），总线/级联服务器Any监控系统应用服务器，总线/级联服务器，ITIL应用服务器，桌面应用服务器，安管应用服务器，三维机房应用服务器，存储监控应用服务器80，8080，8400，8401，8402总部IMS应用服务器，总线/级联服务器灾备中心IMS相关服务器IMS监控TCP总线/级联服务器8161，61616，61617，61618总线/级联服务器8161，61616，61617，61618双向桌面应用服务器级联TCP灾备中心的桌面应用服务器80，88，2388，2399总部应用服务器80，88，2388，2399双向IMS监控TCP二楼监控中心应用服务器Any监控系统应用服务器，总线/级联服务器，ITIL应用服务器，桌面应用服务器，安管应用服务器，三维机房应用服务器，存储监控应用服务器80，8080，8400，8401，8402总部二楼监控中心应用服务器灾备中心IMS相关服务器表STYLEREF1\s4SEQ表\*ARABIC\s15防火墙开放要求（外到内）由内向外防火墙端口开放要求（仅供参考）用途协议生产端设备端口容灾端设备端口策略数据复制链路（FCoIP）TCPFCoIP设备3225FCoIP设备3225双向DCFM管理-SSHTCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）22DCFM服务器和DCFM客户端N/ADCFM服务器和DCFM客户端生产端SAN网设备DCFM管理-SAN设备的http访问TCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）80DCFM服务器和DCFM客户端N/ADCFM服务器和DCFM客户端生产端SAN网设备DCFM管理-SNMPUDPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）161DCFM服务器N/ADCFM服务器生产端SAN网设备DCFM管理-SAN设备的https访问TCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）443DCFM服务器和DCFM客户端N/ADCFM服务器和DCFM客户端生产端SAN网设备DCFM管理-MPITCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）2048DCFM服务器N/ADCFM服务器生产端SAN网设备DCFM管理-MPITCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）2049DCFM服务器N/ADCFM服务器生产端SAN网设备DCFM管理-MPITCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）4430DCFM服务器N/ADCFM服务器生产端SAN网设备DCFM管理-MPITCPSAN网设备（在纯博科环境中，只包括FCoIP设备，在纯思科环境中，包括FCoIP设备及Brocade300）8080DCFM服务器N/ADCFM服务器生产端SAN网设备存储复制管理UDP存储管理(CCI/RAIDManager)主机已规划端口存储管理(CCI/RAIDManager)主机N/A容灾存储管理主机生产存储管理主机数据库复制TCPGOLDENGATE数据库服务器7839-7849GOLDENGATE数据库复制服务器7839-7849双向数据库复制监控和比较TCPGOLDENGATE数据库服务器7839-7914数据库复制监控和比较服务器N/A监控和比较服务器GOLDENGATE数据库服务器远程SSH（实施期间开通）TCP数据库服务器22数据库复制服务器22双向数据初始化（有需要的网省在实施期间开通）TCP数据库服务器21数据库复制服务器21双向存储复制管理（实施期间开通）TCPHP/HDS高端存储管理地址80存储管理（CCI/RaidManager）主机N/A灾备中心存储管理主机生产中心高端存储Ping（实施期间开通）ICMP上述需要通信的设备N/A上述需要通信的设备N/A双向IMS监控级联TCPIMS应用服务器，IMS总线/级联服务器，ITIL应用服务器，桌面应用服务器，安管应用服务器80，8080，8400，8401，8161，61616，61617，61618监控系统应用服务器，总线/级联服务器开放any灾备中心IMS应用服务器，总线/级联服务器生产中心IMS相关服务器用途协议总部设备端口容灾端设备端口策略IMS监控级联TCP总线/级联服务器8161，61616，61617，61618总线/级联服务器8161，61616，61617，61618双向桌面应用服务器级联TCP灾备中心的桌面应用服务器80，88，2388，2399总部应用服务器80，88，2388，2399双向表STYLEREF1\s4SEQ表\*ARABIC\s16防火墙开放要求（内到外）IPS/IDS策略外网边界IPS策略由于当前阶段不允许互联网系统对内部系统的访问，因此入侵防范的需求主要是针对内部系统类型和允许的协议检测内部系统对互联网的相关访问，对内部系统对互联网的访问尽可能少的启用阻断功能。当灾备中心对外提供业务时，入侵防范系统只针对允许的业务访问配置入侵检测功能，只针对低误报和高风险行为谨慎的进行阻断。IPS的入侵防范策略数量较多，估算达到2000条以上，因此本部分不给出逐条策略的配置建议，只建议按照外网现有的网络设备、安全设备、主机操作系统和应用类型制定入侵防范策略，根据重要性程度和危险程度定义报警级别和报警方式。策略设置建议数据级容灾阶段，因为只有内网访问互联网的需求，因此针对允许内网使用的协议启用IPS策略（如HTTP（80/8080/8000），HTTPS（443），SMTP（25），POP3（110），POP3S(995)，DNS（53），FTP（21），TELNET（23），SSH（22），ICMP协议）。根据网络，系统和应用重要性，入侵行为严重性及误报率配置IPS报警策略。禁止产生大量误报的特征或策略，启用可靠的和识别重要的最近攻击的特征或策略。应基于误报和漏报之间的平衡考虑设置检测线程（如Y分钟内X实例）。应该禁止特别占用资源的特征或策略。应该结合漏洞扫描结果来配置IPS策略。谨慎设定阻断功能。尽量只对不太可能有误报的严重攻击行为进行阻断，如设备具有相应功能，正式设置阻断功能之前应先设置记录功能，经过一段时间的观察之后再正式设置阻断功能。在将来产生外对内访问需求时，尽可能基于外对内访问的目的地址进行入侵检测。修改弱口令帐号，确保系统帐号口令长度和复杂度满足安全要求。用户口令长度>8位，要包含字母、数字等组合。定期验证IPS是否适当和有效的运行。定期（至少每2周1次）以及在有重大安全事件发生时或在得到厂商通知时更新IPS特征库以发现最新的攻击行为。配置日志的保存期限为半年以上。内网信息网接入区边界IDS配置策略数据级灾备中心阶段内网信息网接入区的主要访问需求是数据复制访问（含数据库复制和存储复制）及相关维护监控管理访问，入侵检测的主要防护需求是重点检测和分析数据复制访问与维护监控管理访问中的可疑事件，进行及时分析和报警。对于其它系统和应用，可适当设置入侵检测的报警级别。IDS的入侵检测策略数量较多，估算可达2000条以上，因此本部分不给出逐条策略的配置建议，只建议按照外网现有的网络设备、安全设备、主机操作系统和应用类型制定入侵检测策略，根据重要性程度和危险程度定义报警级别和报警方式。策略设置建议应根据内网网络，系统和应用情况定制相应的IDS策略（如，如果内部网络只有思科、华为、华三等网络设备，AIX和HP-UX，Linux及Windows操作系统和Oracle数据库、HDSCCI、HPRaidManager、BrocadeDCFM等应用，则只启用相关的入侵防范和检测功能），重点检测应用层攻击。应该基于误报和漏报之间的平衡考虑设置检测线程（如，Y分钟内X实例）如，每分钟内6如，每分钟内6次失败的登录尝试等应该禁止资源特别敏感的特征或策略。根据网络，系统和应用重要性，入侵行为严重性及误报率配置IDS报警策略。禁止产生大量误报的特征或策略，启用可靠的和识别重要的最近攻击的特征或策略。对于IDS设备，尽量不设置阻断。只对不太可能有误报的严重攻击行为进行阻断，如设备具有相应功能，正式设置阻断功能之前应先设置记录功能，经过一段时间的观察之后再正式设置阻断功能。应该结合漏洞扫描结果配置IDS策略。修改弱口令帐号，确保系统帐号口令长度和复杂度满足安全要求。用户口令长度>8位，要包含字母、数字等组合。配置日志的保存期限为半年以上。定期（至少每2周1次）以及在有重大安全事件发生时或得到厂商通知时更新IDS特征库以发现最新的攻击行为。边界安全监测系统配置策略项目内容操作方法1.帐号权限加固以最小数量及最小权限的原则为每个帐号分配其必须的角色或权限在应用系统用户中删除或禁用调试帐号。合理配置应用帐号或用户自建帐号的权限。删除系统中多余的自建帐号和测试帐号。按照用户职能划分用户类型，如业务操作用户、接口用户、顾问用户、系统作业用户、管理员。2.口令策略加固启用口令策略，强制所有用户均使用复杂密码。在风险管理系统里的系统管理模块里设置“口令策略管理”。3.采集策略配置配置策略使SMS系统能接收到所有安全设备的日志。在防火墙等安全设备上配置Syslog服务，服务器地址选择SMS系统的Syslog服务器地址。在SMS系统的事件采集系统中，配置Agent的接受范围，将安全设备IP地址添加至范围中。4.安全事件过滤在安全设备或SMS系统上配置，过滤不重要的安全事件。安全设备上设置syslog的事件级别为“警告”级。定期检查SMS系统的安全事件，为大量重复性的安全事件设置过滤器。进入事件采集系统，在“核心引擎管理”中添加过滤规则。5.日志收集与分析策略应综合考虑安全必要性和对系统性能与稳定性的可能影响，启用网络设备，主机操作系统，安全设备，数据库，应用等的日志审计功能。应根据安全要求和系统关键性，确定日志记录内容、日志记录保存时间、日志传输频率、日志处理和报警方式等日志记录应包括事件发生的时间、触发事件的主体和客体、事件类型、事件成功还是失败、事件结果等。应定期对日志进行分析处理以发现安全事件（建议至少一周一次）。表STYLEREF1\s4SEQ表\*ARABIC\s17边界安全监测系统配置策略外网监测系统配置策略项目内容桌面终端安全监控管理配置策略统计终端注册率、防病毒软件更新率、补丁更新率、涉密信息检测数据病毒监测以通讯协议类型作为分类对象，将外网安全监测系统中的各种病毒木马攻击事件进行归类统计分析网络分析出口流量分析、敏感信息检测、应用层攻击检测、上网行为监测、网页访问、ARP欺骗、DNS错误表STYLEREF1\s4SEQ表\*ARABIC\s18外网监测系统配置策略网络防护策略内网监测系统配置策略序号功能项配置策略1网络节点和拓扑管理自动生成、定制和实时更新全网拓扑2网络性能管理定时采集性能数据，如流量、延迟、丢包率、CPU利用率、内存利用率、温度等，自动生成统计分析报告并设置超出阈值的告警机制3服务器监控服务器硬件（电源、风扇、磁盘、Raid卡等）状态监控操作系统监控，包括服务器运行状态、重要性能参数、进程状态、文件变化等4数据库监控监视数据库的状态、日志事件（警告）、侦听器状态、进程状态、可用性如死锁、资源争用、不一致性以及会话和SQL活动、等待状况、数据库碎片情况等。监视归档日志和可用空间量，以及归档日志目的地中可用空间的百分比；监视转储目的地目录的使用空间百分比。对表空间的使用情况和增长情况进行定期分析和预警。针对数据库I/O情况进行实时监控。5中间件监控监控应用服务器的运行情况，收集各部件的性能数据和测量应用响应时间，包括中间件服务器端的主要进程，应用服务器占用CPU情况、占用内存情况、服务器端每秒请求数、每秒transaction数、并发的连接数、Sockets数、总交易数、退出交易数、提交交易数、客户端的请求数、队列信息等监控中间件产品的主要日志文件6应用监控模拟应用交易的响应时间监控应用日志监控应用进程监控应用性能的诊断、分析7存储设备状态监控磁盘阵列状态存储交换机状态虚拟存储设备状态带库设备状态8存储容量监控磁盘阵列的存储容量（已分配的存储容量，未分配的容量等）服务器使用的存储容量（包括数据库使用容量、文件系统使用容量等的分布状况）带库的存储容量9SAN网络监控SAN网络拓扑图SAN网络链路状态SAN网络带宽使用率10备份状态监控备份任务监控备份速率监控11数据复制状态监控数据复制速率的监控数据复制任务状态的监控12生产中心与备份中心的配置一致性监控生产中心与备份中心系统及软件版本的一致性生产中心与备份中心软件配置的一致性13容灾切换过程的监控（包括演练过程的监控）在切换过程中各环节的切换是否成功各切换环节的切换时间整个切换过程的工作流状态监控（将切换过程的状态展示在流程图中）14灾难服务水平监控根据信息系统的容灾服务水平，完成RPO、RTO监控15虚拟化服务器的资源使用情况监控主要包括虚拟化平台资源的使用率监控，监控结果将为资源的自动化调配提供依据，如当CPU持续超过95%时，将驱动资源自动调配功能，增加此虚拟服务器的CPU数量物理硬件平台的资源使用率情况监控，监控结果将作为系统迁移的依据，如某硬件平台的资源已经无法满足调配的需求，则将部分系统迁移到其它的硬件平台16虚拟化管理平台的监控管理平台的状态监控，如管理平台运行是否正常，任务的调度是否成功等内容17安全系统监控脆弱性扫描告警：实现IT设备的脆弱性（自身弱点和漏洞）扫描，风险的内因获取IDS/IPS告警：实现IT设备的外部风险的检测和拦截，风险的外因获取防火墙告警：实现IT网络的边界防护信息告警，记录来自企业网络之外的威胁主机告警：对主机直接操作的风险告警网络设备告警：对网络直接操作的风险告警病毒告警：实现对IT设备的病毒情况的告警垃圾邮件告警：实现对来自邮件的威胁告警18桌面终端监控资产管理。针对桌面终端详细的软、硬件资产现状及变更进行管理，对桌面终端资产进行统一管理。软件管理。对桌面终端所需要的操作系统、办公工具软件及管理软件等进行统一管理。补丁管理。48小时内提供标准的最新的补丁漏洞信息及补丁数据更新服务，并提供第三方的补丁安全性检测、依赖性及冲突性检测。安全管理。对桌面终端进行安全接入管理、安全访问管理及安全评估管理，对相关安全事件进行告警和审计。19运维流程监控事件管理。进行事件生命周期的管理，包括事件的登记、事件的分配、事件的方案记录、事件的升级和事件关闭等。问题管理。进行问题生命周期的管理，包括问题的登记、问题的审核、问题的分配、问题的方案记录、问题关闭和问题的监控等配置管理。进行配置项生命周期的管理，包括CMDB配置管理数据库结构的定义和初始化、配置项的新建录入、配置项的修改、配置项的删除、配置项的状态变更、配置项的展示、配置项的查询、配置项的审计等变更管理。进行信息资源的变更管理，完成一个变更生命周期的管理。发布管理。将经过测试无误的软硬件版本发布到目的变更地点，并保证相应的服务级别；包括发布的申请、发布审批、发布计划和测试、上线审批、发布培训、发布实施和发布关闭等。资产管理。进行资产生命周期的管理。服务请求管理。进行服务请求的管理。服务水平管理。进行服务水平的管理。表STYLEREF1\s4SEQ表\*ARABIC\s19内网监测系统网络防护配置策略网络设备安全配置策略加固项目加固内容加固方法帐号权限加固对网络设备的管理权限进行划分和限制，将登录口令密文保存在配置文件中，确保系统帐号口令长度和复杂度满足安全要求避免使用弱口令1.加强用户认证，对网络设备的管理权限进行划分和限制2.网络设备用户的标识应唯一3.主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别4.身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换5.修改帐号存在的弱口令（包括SNMP社区串），设置网络系统的口令长度>8位6.禁用不需要的帐号7.对密码进行加密存储8.具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施9.应实现特权用户的权限分离，如配置管理员不应拥有更改或删除操作日志的权限管理设置加固配置定时账户自动登出，保障系统管理安全性，设置CONSOLE口管理密码1.设置SSH等管理连接的超时时间2.应在会话处于非活跃一定时间或会话结束后终止网络连接3.关闭未使用的接口，如路由器的AUX口网络服务加固关闭网络设备中不安全的服务，确保网络设备只开启承载业务所必需的网络服务1.禁用httpserver，或者对httpserver进行访问控制2.禁用与承载业务无关的服务（例如dhcp-relay、IGMP、CDPRUN、bootp服务等）3.对于CISCO设备，应关闭所有端口上cdpneighbor服务网络访问控制加固远程控制有安全机制保证，限制能够访问本机的用户或IP地址1.对可管理配置网络设备的网段通过访问控制列表进行限制2.使用SSH等安全方式登录,禁用TELNET方式3.对SNMP进行ACL控制审计策略加固配置网络设备的安全审计功能，设置日志缓存大小，指定日志服务器1.为网络设备指定日志服务器2.合理配置日志缓冲区大小3.应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录4.审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息5.应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等恶意攻击防护配置访问控制策，对蠕虫端口进行屏蔽，关闭不安全的服务避免被入侵者利用1.屏蔽病毒常用的网络端口2.使用TCPkeepalives服务以杀死僵连接3.对于外网口地址，关闭对ping包的回应、必要时候应关闭ICMP协议4.保持补丁及时更新（更新前进行充分分析和测试）网络协议加固关闭不使用的协议，并启用协议的认证功能，确保对方为可信1.启用动态IGP（RIPV2、OSPF、ISIS等）或EGP（BGP）协议时，应启用路由协议认证功能，如MD5加密，确保与可信方进行路由协议交互2.在网络边界运行IGP或EGP动态路由协议时，配置路由更新策略，只接受合法的路由更新，防止非法路由注入。只发布所需的路由更新，防止路由信息泄漏3.如使用SNMP协议，应尽可能使用V3以上版本；应修改SNMP的Community默认通行字，通行字符串应符合口令强度要求4.禁用IP源路由功能，除非特别需要5.禁用PROXYARP功能，除非路由器端口工作在桥接模式6.禁用直播（IPDIRECTEDBROADCAST）功能7.设备与RADIUS服务器、TACACS服务器、NTP服务器、SNMPV3主机等支持认证加密功能的主机进行通信时，尽可能启用协议的认证加密功能表STYLEREF1\s4SEQ表\*ARABIC\s110网络设备安全配置策略主机防护策略外网防病毒系统配置策略应指定专人负责计算机病毒防范工作Windows类操作系统的服务器和PC均要求部署防病毒客户端启用病毒实时监控功能，定期生成病毒监控报告，根据病毒情况，调整防病毒系统配置策略应及时检查防病毒软件和病毒库的升级更新情况，病毒库的升级频率应每天1次，重大安全漏洞发布后，应及时完成病毒库的更新。为避免对网络和防病毒升级服务器造成性能或带宽影响，可分组分时段进行防病毒客户端升级并合理选择升级时间每周一次对全网进行病毒检测和清除，并将检测和清除的结果记录备案，发现病毒立即处理并报告新系统安装前必须进行病毒例行检测禁止运行未经信息安全检查审核批准的软件对于外来的（如：网络下载、可移动磁盘等介质）程序和文档，应在运行或打开前进行计算机病毒的检测和清除对于电子邮件附件所带的程序和文档，不得直接运行或打开，应在运行或打开之前先存盘，并进行计算机病毒的检测和清除后，再打开或运行禁止进行任何计算机病毒的制作和故意传播应至少1月进行一次全网的病毒综合分析报告，为病毒防护策略调整做依据发现可疑的病毒现象时，应及时进行计算机病毒的诊断和分析，并采取适当措施进行计算机病毒的清除和系统的恢复。对于因计算机病毒引起的计算机信息系统的瘫痪、程序和数据严重破坏等重大事故，应做好现场保护工作，并向信息安全工作组报告应根据病毒的危害程度进行分类报警。报警方式应至少包括界面报警、声音报警、E-mail报警、Windows消息报警、记录日志数据库等设置防病毒服务器控制台管理员口令长度>8位终端行为控制系统防护策略实现服务和进程管理、文件操作管理、上网行为管理等，对桌面系统进行监控、远程操作。此功能将结合到外网监测系统中，可暂时用终端行为控制系统实现，最终将通过外网监测系统实现。Windows系统安全配置策略加固项目加固内容加固方法1.帐号权限加固以最小权限原则对操作系统用户、用户组进行权限设置，删除系统多余用户，避免使用弱密码。对登录操作系统的用户进行身份标识和鉴别操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性合理配置应用帐号或用户自建帐号权限修改弱口令帐号，确保系统帐号口令长度和复杂度满足安全要求更改系统管理员帐号停用Guest帐号采应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施应当限制管理员权限使用，一般日常操作中，应当使用一般权限用户，仅在必要时切换至管理员账号进行操作应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限应实现操作系统和数据库系统特权用户的权限分离应严格限制默认帐号的访问权限，重命名系统默认帐号，修改这些帐号的默认口令应及时删除多余的、过期的帐号，避免共享帐号的存在2.网络服务加固关闭系统中不安全的服务，确保操作系统只开启承载业务所必需的网络服务和网络端口。在不影响业务系统正常运行情况下，停止或禁用与承载业务无关的服务屏蔽与承载业务无关的网络端口3.数据访问控制加固合理设置系统中重要文件的访问权限只授予必要的用户必要的访问权限。将系统重要的文件或目录的访问权限修改为管理员完全控制、数据拥有者完全控制或配置特殊权限，避免EVERYONE完全控制将系统分区FAT32格式转换为NTFS格式4.网络访问控制加固远程控制有安全机制保证，限制能够访问本机的用户或IP地址。当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听关闭多余的远程管理方式安装远程管理服务程序的补丁或者使用安全的远程管理方式设置访问控制策略限制能够访问本机的用户或IP地址禁止匿名用户枚举SAM帐号和共享禁止默认共享（IPC$、C$、D$...）5.口令策略加固对操作系统设置口令策略，设置口令复杂性要求，为所有用户设置强壮的口令。设置口令长度，重要系统的用户口令长度>8位；一般系统的用户口令长度>6位开启口令复杂性要求设置口令最短、最长存留期为用户设置强壮的口令6.用户鉴别加固设置操作系统用户不成功的鉴别失败次数以及达到此阀值所采取的措施，设置操作系统用户交互登录失败、管理控制台自锁，设置系统超时自动注销功能。设置帐号锁定登录失败锁定次数、锁定时间禁止系统自动登录设置管理控制台超时自动锁定时间，设置屏保密码保护7.审计策略加固配置操作系统的安全审计功能，使系统对用户登录、系统管理行为、入侵攻击行为等重要事件进行审计审计范围覆盖到服务器和重要客户端上的每个操作系统用户审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等保护审计进程，避免受到未预期的中断保护审计记录，避免受到未预期的删除、修改或覆盖配置系统审核策略，配置审核登录事件、审核帐号登录事件、审核帐号管理、审核策略管理、审核系统事件等对审计产生的数据分配合理的存储空间和存储时间8.漏洞加固安装系统安全补丁程序，对扫描或人工检查发现的系统漏洞进行修补。安装系统安全补丁9.恶意代码防范定制防病毒软件的防病毒策略，配置定期查杀病毒和查杀病毒的周期，配置查杀病毒的相关策略和病毒库升级策略。配置病毒库升级策略配置病毒查杀策略强化TCP/IP堆栈以防止拒绝服务攻击表STYLEREF1\s4SEQ表\*ARABIC\s111Windows系统安全配置策略Unix系统安全配置策略加固项目加固内容加固方法1.帐号权限加固对操作系统用户、用户组进行权限设置，应用系统用户和系统普通用户权限的定义遵循最小权限原则。删除系统多余用户，避免使用弱密码。对登录操作系统的用户进行身份标识和鉴别操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性合理配置系统帐号或自建帐号权限修改弱口令帐号，确保系统帐号口令长度和复杂度满足安全要求禁用或删除非root的超级用户禁止系统伪帐号登录限制能够su为root的用户设置帐号锁定登录失败锁定次数、锁定时间修改帐号TimeOut值，设置自动注销时间应当限制管理员权限使用，一般日常操作中，应当使用一般权限用户，仅在必要时切换至管理员账号进行操作应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限应实现操作系统和数据库系统特权用户的权限分离应严格限制默认帐号的访问权限，重命名系统默认帐号，修改这些帐号的默认口令应及时删除多余的、过期的帐号，避免共享帐号的存在2.网络服务加固关闭系统中不安全的服务，确保操作系统只开启承载业务所必需的网络服务和网络端口。在不影响业务系统正常运行情况下，停止或禁用与承载业务无关的服务屏蔽与承载业务无关的网络端口3.数据访问控制加固合理设置系统中重要文件的访问权限只授予必要的用户必要的访问权限。配置系统重要文件的访问控制策略，严格限制访问权限（如读、写、执行），避免被普通修改和删除设置合理的初始文件权限4.网络访问控制加固远程控制有安全机制保证，限制能够访问本机的用户或IP地址。使用安全的远程管理方式，关闭多余的远程管理方式设置访问控制策略限制能够访问本机的用户或IP地址在主机信任关系配置文件中，删除远程信任主机屏蔽登录banner信息5.审计策略加固配置操作系统的日志功能，使系统对用户登录、系统管理行为、入侵攻击行为等重要事件进行审计审计范围覆盖到服务器和重要客户端上的每个操作系统