网络信息安全等级保护（三级）解决方案

(三级)解决方案1 5 5 5 7 7 2.现状分析及需求响应 2.1.信息系统定级 2.2.信息系统安全风险分析 20 223.安全建设目标 234.总体方案设计 244.1.信息安全保障体系 4.1.2.信息安全管理体系 254.1.3.信息安全技术体系 26 274.2.安全防护功能设计 4.2.2.边界安全设计 29 31 3725.方案详细设计 39 39 40 43 45 5.4.5.堡垒主机 58 63 68 68 74 75 5.5.6.安全监控中心 3 88 905.6.6.渗透测试 92 926.系统集成方案 93 93 93 6.4.项目质量服务体系 4 5相关政策法规，积极开展信息安全等级保护建在2017年6月1日颁发的《中华人民共和国网络安全法》中明确“没有网络安全，就没有国家安全”,《网络安全法》第二十一全、关键信息基础设施运行安全、网络信息安全管理制度和操作规程，确定网络安全负责人6应急预案，及时处置系统漏洞、计算机病毒、应的补救措施，并按照规定向有关主管部门报件时处置不恰当的，会被依照此条款责令整改害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的要系统和数据库进行容灾备份。没有对重要应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相7国家非常重视，陆续颁布以下文件：《关于加强党政机关网站安全管理的通知》(中网办发文〔2014〕1号)、《关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知》(中央编办发〔2014〕69号),公安部、中央网信办、中编办、工信部等四部门治行动方案〉的通知》(公信安〔2015〕2562号)要求备注1.2物理访问控制(G3)d)重要区域应配制、鉴别和记录进入的人员。1.3防盗窃和防破坏(G3)e)应利用光、电等技术设置机房防盗报警系统；f)应对机房设置监控报警系统。1.4防雷击安器，防止感应雷；81.5防火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火1.6防水和防潮(G3)d)应安装对水敏对机房进行防水检测和1.7防静电1.8温湿度控制(G3)度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之1.9电力供应d)应建立备用供1.10电磁防护扰和磁介质实施电磁屏92.2访问控制部署访问控制设备，启用访问控制功能；d)优先级别，保证在网络发生拥堵的时候优先保a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；性检查(S3)a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；2.5入侵防范行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供防范(G3)处对恶意代码进行检测和清除；防护(G3)a)应对登录网络设备的用户进行身份鉴别3.1身份鉴别a)应对登录操作系统和数据库系统的用户进行身份标识和鉴3.2访问控制a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；3.4剩余信息保护(S3)a)应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存3.5入侵防范a)应能够检测到的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；3.6恶意代码防范(G3)a)应安装防恶意防恶意代码软件版本和恶意代码库；3.7资源控制c)应对重要服务服务器的CPU、硬盘、内存、网络等资源的使用情况；4.1身份鉴别a)应提供专用的登录控制模块对登录用户进行身份标识和鉴4.2访问控制控制用户对文件、数据库表等客体的访问；a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；4.4剩余信息保护(S3)a)应保证用户鉴别信息所在的存储空间用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；性(S3)证通信过程中数据的完整性。性(S3)话初始化验证；a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；4.9资源控制e)应能够对一个程占用的资源分配最大限额和最小限额；5.1数据完整管理数据、鉴别信息和重要业务数据在传输过并在检测到完整性错误时采取必要的恢复措应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；应对安全管理活动中的各类管理内容建立安全管理制度；应对要求管理人员或操作人员执行的日常管理操作建立操作规略、管理制度、操作规程等构成的全面的信息安全管理制度体系。布(G3)应指定或授权专门的部门或人员负责安全管理制度的制定；安全管理制度应具有统一的格式，并进行版本控制；行论证和审定；安全管理制度应通过正式、有效的方式发安全管理制度应注明发布范围，并对收发订(G3)应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制7.1人员录用应指定或授权专门的部门或人员负责人员用过程，对被录用人的身份、背景、专业资格其所具有的技术技能进行考核；应签署保密协议；员，并签署岗位安全协7.2人员离岗应严格规范人员离岗过程，及时终止离岗员工的所有访问权限；件、钥匙、徽章等以及机构提供的软硬件设应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密7.3人员考核的人员进行安全技能及安全认知的考核；员进行全面、严格的安全审查和技能考核；应对考核结果进行7.4安全意识教育和培训(G3)应对各类人员进行安全意识教育、岗位技能培训和相关安全技术应对安全责任和惩戒措施进行书面规定并告知相关人员，对违反违背安全策略和规定的人员进行惩戒；应对定期安全教育和培训进行书面规定，针对不同岗位制定不同的培训计划，对信息安全基础知识、岗位操作规程等进行培训；训的情况和结果进行记员管理(G3)应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案；问的区域、系统、设备、信息等内容应进行书面的规定，并按照规依据国家信息安全等级保护相关指导规范，对贵单位信息系统、基础设施和骨干网络按照等保三级进行安全建重点明确、合理建设”的基本原则，在物理全、应用安全、数据安全等几个方面进行安全相关信息系统达到安全等级保护第三级要求。品、安全服务、管理制度等手段，建立全网的安全防控管理服2.现状分析及需求响应2.1.信息系统定级基础设施和骨干网络按照等保三级进行安全建重点明确、合理建设”的基本原则，在物理全、应用安全、数据安全等几个方面进行安全本期建设的系统是一个集软硬件基础环境、数据库系统以及应用置、监控、管理；最后，应加强有关网络安全保平台的硬件资源，由云平台提供网络和基础设此本项目的安全风险主要考虑应用层的漏洞2、数据传输风险由于在同级局域网和上下级网络数据传输线路之间存在着被窃听的威胁，同时局域网内部也存在着内部攻击行为，会造据进行控制，所有的广域网通信都将不受限制3、网络边界风险任域，都可能对该平台造成一定的安全威胁存在的安全漏洞，采用相应的攻击程序对内网4、系统层的安全风险操作系统本身就存在着安全隐患，病毒的入侵由于本期建设的各个应用系统均对外网提供服如《中华人民共和国计算机信息系统安全保护条例》等，制订安全管理制度。2.3.总体建设目标本项目的建设目标，主要是结合对现状的安全需求分析，通过信息安全保障总体规划、信息安全管理体系建设、信息安全技术策略设计以及信息安全产品集成实施等工作，全面提升信息系统的安全性，能面对目前和未来一段时期内的安全威胁，保证信息系统的平稳、高效的运行，本次设计我们将根据以下目标为指导思想：目标一、保证信息的安全完整性：保证数据的权威性，让使用者毫不怀疑；保密性：防止未经授权的数据外泄，阻止他人恶意的窥探攻击；可用性：随时提供全部的数据，以供系统分析、处理；目标二、保证提供服务的安全连续性：保证业务连续性，提供7X24小时保质保量的服务；可靠性：即使遭受不可抗力，也能够在足够短的时间内恢复；满意度：达到内部用户、客户、主管部门对安全性的要求；目标三：提高安全投资的效益合规性：遵循技术标准、国家相关规范(三级等保);示范性：树立贵单位信息安全建设标杆典范；经济性：提高安全投资的性价比，考核人员的安全绩效3.安全建设目标贵单位信息系统的安全建设目标，主要是结合对现状的安全需求分析，通过信息安全保障总体规划、信息安全管理体系建设、信息安全技术策略设计以及信息安全产品集成实施等工作，全面提升信息系统的安全性，能面对目前和未来一段时期内的安全威胁，保证信息系统的平稳、高效的运行，本次设计我们将根据以下目标为指导思想：目标一、保证信息的安全完整性：保证数据的权威性，让使用者毫不怀疑；保密性：防止未经授权的数据外泄，阻止他人恶意的窥探攻击；可用性：随时提供全部的数据，以供系统分析、处理；目标二、保证提供服务的安全连续性：保证业务连续性，提供7X24小时保质保量的服务；可靠性：即使遭受不可抗力，也能够在足够短的时间内恢复；满意度：达到内部用户、客户、主管部门对安全性的要求；目标三：提高安全投资的效益合规性：遵循技术标准、国家相关规范(三级等保);示范性：树立贵单位信息安全建设标杆典范；经济性：提高安全投资的性价比，考核人员的安全绩效4.总体方案设计4.1.信息安全保障体系贵单位信息安全保障体系总体框架包括三个部分内容：信息安全管理体系、信息安全技术体系和信息安全运行体系。基础网络边界安全安全管理等级保护、ISO27001、SSE-CMM和其他国家法律、法规要求安全管理平台建设安全运维服务建设信息安全组织架构信息安全策略体系图：信息安全保障体系框架●信息安全管理体系：明确了贵单位信息安全方针和目标，以及完成这些目标所用的方法和体系；是信息安全工作开展的规范。该体系由三部分内容组成，包括信息安全治理结构、信息安全组织以及信息安全策略；●信息安全技术体系：明确了贵单位信息安全建设过程中所需的技术手段；是信息安全工作开展的有力支撑；主要包括信息安全产品和工具；●信息安全运行体系：明确了贵单位日常信息安全工作的主要过程和内容；是信息安全规范要求和控制措施的具体落实；主要包括日常的信息安全管理行为和安全管理中心。4.1.2.信息安全管理体系信息安全管理体系是在整个贵单位范围内建立信息安全方针和目标，以及完成这些目标所用的方法，它是直接管理的结果，表示方针、原则、目标、方法、过程、核查表(checklists)等要素的集符合性(Compliance)图：信息安全管理体系模型信息安全管理体系的建立，首先应该建立自己的管理机构，在信息安全管理机构的领导下，制定信息安全策略，建立信息安全管理制度。并要有一套可操作的保障机制来保证这些策略和制度的落实。通过信息安全管理体系的实施，明确每个人对相关信息的安全责任，便于在工作中实施、监督和考核。使员工了解到信息安全不仅仅是网络安全，还包括业务信息安全、人员安全、组织安全等方面的内容，使员工的安全意识有所增强，并在日常业务中按照相关规范执行信息安全要求。信息安全管理体系提倡在行为规范上严格要求，使员工养成良好的习惯，避免发生大的事故，表面上看建立安全规则对员工多了一道约束，实际上提供了对员工的保护，许多大事故往往是由小细节累积而成的。通过信息安全管理体系项目的实施，可以为贵单位训练出一批具有信息安全管理知识与技能的人员，训练出一批具有“标准”意识、思维和行为方式的员工。4.1.3.信息安全技术体系信息安全技术体系是利用各种安全技术、产品以及工具作为安全管理和运行的落实的重要手段，最终支撑信息安全体系的建设。主要由身份认证技术、访问控制技术、内容安全技术、监控审计技术和备份恢复技术等方面组成。信息安全管理【Audit/Measure】安全策略制定/发布服务级别管理(SLM/OLM)审计/考核信息安全运维【operation】线运维组织构成：信息安全服务【Services】管理支持团队Team安全应急Team响应支持团队图：信息安全运行体系模型全管理中心，实现最终的安全目标。信息安全控制的一个手段，必须依赖于有效的信息安分析，制定风险控制方案，将风险控制在可接受的水平内，从而保证业务连续性，实现持续的、不断提高的信息安全管理水平。通过安全管理中心的建设，能够帮助贵单位在管理过程中实现有效的安全资源整合，为各级安全管理人员提供全网安全威胁可视化的技术平台，为安全管理、安全服务提供有效的分析数据，与贵单位的安全组织、安全制度、流程配合实现科学高效管理，确保安全建设的可持续发展。4.2.安全防护功能设计4.2.1.基础网络安全设计网络是信息系统构建的基础，它使得计算机及其相关配套的设备能够互联和共享。在对网络安全实现全方位保护之前，首先应关注整个网络的资源分布和架构是否合理。只有结构安全了，才能在其上实现各种技术功能，达到网络安全保护的目的。基础网络安全设计首先要对整个网络进行子网划分。其次在同一网段上，从保护数据信息的安全角度上来看，侦听、重放、插入攻击方式会导致数据的机密性和完整性被破坏。如果网段规划得不合理，碰撞问题就会变得突出，导致网络通信效率的下降。4.2.2.边界安全设计要保护信息系统的安全，网络边界是第一道也是最关键的一道防线。不论是对外部的入侵防范、计算机恶意代码的防范，还是对内部数据的泄露等都起到了最重要的作用。网络边界的防护，一般都在边界设置和安装相关的安全设备，对外部的访问进行过滤和控制，对内部向外传输的数据信息进行安全检查。网络边界的保护要从两个方面入手，一是对边界完整性的保护，另一个是对入侵的防范。1.边界完整性保护所谓网络边界的完整性，是指网络与其他网络的连接的出口是明确的，是已知的，是安全策略所允许的。2.网络边界入侵防范互联的目的是为了共享，共享既是网络的优点，也是风险的根源。非法用户能够从远端对计算机数据、程序等资源进行非法访问，使数据遭到拦截和破坏。网络边界的保护目的：一是防止网络外部的入侵；二是防止内部信息的泄露；三是防止内部人员违规访问网络外部。有效的控制措施包括防火墙、边界隔离防护(IPS、交换网关等),以及对远程用户的标识与鉴别/访问控制。有效的监视手段包括基于网络的入侵检测、漏洞扫描及恶意代码的防范。采取什么样的隔离措施，要根据系统的保护策略及该系统与之连接的其他系统的安全等级和那些系统本身的安全保护策略，当然也要根据信息安全属性所决定的保护策略。与之相关的是认证问题，应该进行角色定义和分析。对于边界保护，主要的一点是要考虑外部访问者的角色，即如何对这些角色进行控制是边界保护必须的要素。也应该从安全等级的角度出发，对于相同等级的子系统之间的边界保护，和不同等级系统之间的边界保护，其策略应该不同，对于来自低于本边界防护还要考虑防止内部人员对外部系统进行的侵害和将内部信息泄露的问题。可以通过边界的审计手段记及主机上的操作系统、数据库等系统软件；也操作系统是对软件、硬件资源进行调度控制和信息系统提供底层的安全保障。操作系统安全关注的有两点，一是操作操作系统的安全机制是操作系统的重要组成部分，它表明了操作控制、内存保护、对资源的访问控制、信息流的安护要求，高级别的信息系统(第三级以上),操作系统要达到标记安常情况下所说的信息系统中的数字信息安全，就是指数据库中产生和保存的数据。数据库存储的数据越重要、越要。为了保证数据库数据的安全可靠和正确据保护功能，主要包括数据库的安全性、完整序的保护，也就是专为本系统的信息使命所开发的应用程序。应用程序的安全要求在等级保护中有明确要求，应用程序的保护应该从以下违背，并可能导致管理方面的漏洞。评估就是试的目的是确定程序的正确性和排除程序中的序错误，可以通过大量的测试实例，使用黑盒测试和白盒测试法进行严格的测试。从安全的角度来讲，测试应由样可以检测出软件开发商程序员隐蔽在程序中4.数据安全件完整性检查器提供基于密码学的附加保护、干份分开保存的处理方法，数据备份策略是对使用的指导文件。理想的备份系统应具备以自动的备份；备份系统能根据用户的实际需求求。高安全级别(第三级以上)的信息系统，需要制定完整的灾难备份及恢复方案；应包括备份硬件、备份软件、4.2.4.终端安全设计端上运行的服务和进程，并可以根据客户端的上的文件访问、复制、粘贴、共享、移动、户端的违规情况，对客户端进行桌面消息通知4.补丁分发5.外设及端口控制外部存储设备的禁用方面，可以在禁止使用通用移动存储设备的同时，播放器)、移动硬盘(USB或1394)等。终端安全管理系统可以禁止如下外设计口的使用：串口和并口USB接口、火线接口(1394)、PCMCIA插槽等。终端安全管理系统可以设置将所有移动存储设备置于只读状态，不允许用户修改或者写入。.2.部署方式终端区中所有办公终端和业务系统工作站安装终端安全管理系统客户端，所有的安全策略由终端安全管理系统服务端统一部署下发策略。.恶意代码防范设计.1.功能设计本方案建议在业务系统内部部署一套网络版防病毒系统，业务系统内部所有主机安装防病毒软件。产品功能列表●客户端软件具备多层安全防护能力，包括防病毒、防木马/间谍软件，个人防火墙、入侵防护、操作系统保护、前瞻性的主动威胁防护等功能；所有功能由一个集成的代理软件完成；●防病毒引擎应具备恶意代码自动修复的功能，可以检测底层的rootkit技术并可以清除rootkit;●能够检测收发Internet电子邮件时，可采用启发式扫描检测外发邮件病毒，有效的防范邮件蠕虫的攻击；●提供对于未知病毒、恶意代码的防范能力，支持基于行为的检测和防护技术：如对于利用U盘进行传播的病毒可以主●针对未知恶意威胁具有行为打分能力，智能识别蠕虫或者木马软件，无需提示用户操作判断；●可自动灵活的分配客户端扫描优先级别，提供至少三种调节方式(最佳扫描性能，平衡性能和最佳应用程序性能),调节扫描占用的CPU资源，在机器繁忙时自动降低手动或调度扫描对机器资源的占用；●对于安全风险检测有详细的分类，同时有灵活的处理方式，包括清除、隔离以及自动的排除。并能设置威胁的跟踪功能。4.2.5.安全管理中心设计安全管理中心是对防护体系的有效支撑，是防护体系的神经中枢，管理员通过安全管理中心制定整体安全策略，强制计算环境、区域边界和网络通信防护执行策略，从而确保整个信息系统及时有效地执行了统一的安全策略。根据GD/J038-2011基本要求对安全管理中心的要求，安全管理中心是实现等级保护体系的重要支点，实现系统管理、安全管理、审计管理等几个方面的功能，作用于计算环境、区域边界、通信网络等环节的安全保护措施，进行统一的协调和调度，从而实现包含用户身份、授权、访问控制、操作审计等全过程的安全管理措施，并实现集中事件和风险管理，发挥出整体安全防护系统的作用，有效保障整个信息系统的安全性。5.方案详细设计5.1.区域划分根据业务功能以及安全需求的不同，将贵单位信息网络规划为互联网接入区域、内网核心交换区、安全管理区(审计核查区域)、服务器区、DMZ区(隔离区)、办公接入区等共6个安全域。详细说明如下：1.内网核心交换区：部署了网络的核心交换设备，用于数据的高速转发；2.内网安全管理区：本安全区主要用于部署各类信息安全产品及相关服务器；3.办公接入区：业务终端的接入区域，连接方式有无线和有线两种方式；4.内网服务器区：本安全区主要用于部署各类业务系统服务器；6.互联网访问出口区：由运营商出口组成，提供Internet互联网5.2.网络环境改造本次项目中对原有网络架构进行合理性规划和调整。具体如下5.服务器、终端及应用系统风险评估、渗透测试、安全加固6.对于过保或使用年限较久的网络设备、安全设备，容易出现设备故障和安全隐患，从而影响机关事务管理局业务系统和正常办公的正常运营，造成不必要的损失。因此在此，我们提出了5.4.1.WEB应用防火墙积累基础上研发完成，是三维一体的网站防护类恶意攻击，保护网站页面不被篡改，避免被击等，防止网站被挂马，保护用户网站免遭破府、运营商、金融、公安、教育、税务、电力联网为基础的电子商务门户网站。在线部署用户网站提供7X24小时的不间断监测与保护，有效保障网站数据的完随着网络规模的不断扩大和应用的逐步增多，联网计算机数量不断增加，IP地址冲突现象时有发生。公务外网各联网单位要严格使用地址。严禁工作人员盗用他人IP地址或私设IP地址。若采用手动方全球互联网管理机构对IPv6地址的分配速度日益加快，IPv6已具备广泛应用的基础。推动互联网由IPv4向IPv6演进过渡，并在此基防护产品，可以为用户网站提供7X24小时的不间断监测与保护，有效保障网站数据的完整性和真实性，并提供实时告警，具体部署拓扑和说明如下：.产品功能描述工作原理：可以通过对HTTP协议进行深入分析，并且通过及时更新使用户在最快的时间内获得最新的特征库，能够为Web应用提供全面实时有效的防御能力。产品特点：1、先进的多核硬件架构，实现高性能的安全防护基于高性能硬件架构APP-X,采用多核处理器架构，可提供业界性能最高的Web应用防护能力。2、高效的Web漏洞防护功能部署在Web服务器之前，能够有效抵御包括SQL注入、跨站脚本、会话劫持在内的各种高危害性Web漏洞攻击。3、HTTP协议加固功能支持HTTP协议正规化，支持对Cookie的各种属性进行严格检查，支持缓冲区溢出保护等多种HTTP协议加固功能。4、网页防恶意篡改功能支持对Web网站的数据备份和还原，并且支持在自动或手动模式下，对网站数据的精确、增量同步，能够有效防止网页被恶意篡改。5、流量优化功能6、冗余电源、无缝接入等高可靠性帮助用户提供包括网络应用流量分析及控制、职员上网行为记录、访问控制、数据库安全审计，以及链路毒防范等综合功能，帮助用户构建“可视、可控、可优化的互联网”及流控，可以为用户提供上网行为记录、审计1.业界最全的应用特征库，全面支持IPv6识别可识别超过4300+种网络和应用层协议，全面支持IPv4/IPv6协议的上2.流量控制与调度结合，保障关键业务制功能，达到流量“疏堵结合”的作用，流留带宽，流量负载则可以将关键业务调度到高质量的链路，共同保障3.独创的零带宽损耗技术损耗不能低于30%的难题，启用流量控制后整体带宽几乎无损耗(5%以内),真正实现对应用流量的合理、有效、有序的管理。例如，针对1G带宽，传统解决方式流量控制后，实际可用带宽在700M左右，而使4.基于网络质量的流量分析网络流量分析从多维度展现网络带宽资源使用情况，真正实现流量可视化，基于用户和应用进行细粒度分析。数进行监控，并且按照用户、应用等维度进行分析，展示用户、应用5.基于用户的网络行为审计坛、即时通讯、数据库等网络行为。传统的审计方式仅能根据IP进行审计，难以将IP地址与具体人员身份准确关联，导致发生安全事件后，如何追查责任人反而又成为新的难题。计，并支持与城市热点、深澜等认证系统对接6.丰富的认证功能系统对接。例如微信认证顾客无需输入繁琐的Wi-Fi密码，手机点击“微信一键认证”进行认证，为用户提供更轻快的上网体验，同时可以一键关注商家公众号，便于将顾客转化为粉丝，为商家的长期发展打下良好的基础，并且联网后还可推送消息，利于商家做宣传。7.全面数据库审计服务器杀毒、服务器优化、系统漏洞补丁修复险帐号(影子帐号等)优化、DDOS防火墙、ARP防火墙、应用防火墙、防CC攻击、防入侵防提权、防篡改、安全策略设置等，使服务器linux主流操作系统，全面支持32位和64位系统。1、产品采用云+端的云安全管理平台(SAAS模式)解决服务器的全防护(防黑/防入侵/抗攻击)、云监控(安全监控/性能监控/日志监控)、云管理以及基于大数据架构的安全事件分析等功能；2、防暴力破解、防恶意扫描：实现拦截各4、能够禁止一般的帐号创建，针对帐号提权、帐号克隆等其他形式的新帐号创建操作也能够有效禁止。支持Windows操作系统。5、能够禁止对指定位置文件的操作，包括文件删除、拷贝等行交的HTTP/HTTPS请求里的URL、Cookie、POST等数据进行正则过滤。内置需超过100条规则，包括SQL注入、XSS、CSRF等防护规则。8、通过直接在Agent端上内置文件过滤驱动模块，并基于规则进行防篡改防护设置，禁止修改指定目录下诸如PHP、ASP、ASPX、JSP9、提供基于微软的漏洞补丁功能，能够扫描100%系统漏洞补丁，10、判断系统服务安全状态，采取关闭敏11、支持windows平台的安全基线检查，包括：账号管理、口令夹的访问权限等；支持Linux平台的安全基线检查，包括：用户口令设置、限制用户su成root用户、root用户件(IIS,Tomcat,Weblogic等)的安全基线检查。保护、远程桌面保护、病毒防护等。收集传地理信息、活跃度、攻击手法特征、攻击次数理分布图、最近30天攻击IP列表和攻击IP电子档案功能。13、支持通过发送邮件、短信等方式进行输中断告警、风险漏洞告警、攻击威胁告警等期、攻击类型、内容、攻击者IP、服务器IP等字段进行组合查询。随着各类组织的信息化程度不断提高，对信息系统的依赖程度也随之增加，如何保障信息系统安全是所有单位都十分关注的一个问过程中依然还面临着诸多的困难及风险，如：系统运维风险：由于操作系统、硬件、应用程序等故障或配应用及数据风险：包括用户非授权访问、管理员误操作、黑客恶此外，SOX法案、82号令、公安部等级保护等各类法规及行规均对日志审计、行为审计有明确的要求，确保关键信息系统在可审计、.部署拓扑与说明按照贵单位信息安全建设整体安全规划，审计要遵循全网统一的安全规范进行建设，因此，贵单位内网的审计系统部署在安全管理区，审计系统包括网络审计、主机审计等方面，为安全管理人员提供可供分析的审计数据和有效的控制手段，多方位、多层次地对网络信息系统进行立体、全面的审计跟踪与监控管理，在网络信息系统中建立安全管理与责任认定机制。工作原理：指按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，从而发现系统漏洞、入侵行为或改善系统性能的过程。也是审查评估系统安全风险并采取相应措施的一个过程。在不至于混淆情况下，简称为安全审计，实际是记录与审查用户操作计算机及网络系统活动的过程，是提高系统安全性的重要举措。系统活动包括操作系统活动和应用程序进程的活动。用户活动包括用户在操作系统和应用程序中的活动，如用户所使用的资源、使用时间、执行的操作等。产品特点：系统简单实用、界面美观大方、内置丰富的仪表板，适用于各级管理人员；具有国内领先的高性能日志管理技术，使得系统在日志采集、分析和存储三个方面获得了本质的性能提升。独有的审计数据源扩展机制，可以方便地实现新设备类型的日志采集。自学习的事件范式化技术，提高日志分析效率。支持分布式日志采集和事件存储、审计中心级联，支持大规模部对用户网络和业务影响最小：在实现对用户网络中的IT设施进行集中日志审计的同时，采取多种技术手段，力求对用户网络和业务的影响最小化。具备完善的自身安全性设计，保证系统自身的安全等级符合用户的整体安全策略拓扑图如下.产品功能描述日志审计系统提供了强大的日志综合审计功能，为不用层级的用户提供了多视角、多层次的审计视图。系统提供全局监视仪表板、实时审计视图、内置或自定义策略的统计视图、超强的日志查询和报表管理功能，支持日志的模糊查询和自定义报表。为了应对海量日志管理带来的挑战，日志审计系统采用了国内领先的高性能日志采集、分析与存储架构，从产品技术架构的层面，进行了系统性的设计，真正使得日志审计系统产品成为一款能够支撑持续海量日志管理的系统。日志审计类产品的一项核心能力就是对审计数据源的日志采集。对于用户而言，采集日志面临的最大挑战就是：审计数据源分散、日志类型多样、日志量大。为此，日志审计系统综合采用多种技术手段，充分适应用户实际网络环境的运行情况，采集用户网络中分散在各个位置的各种厂商、各种类型的海量日志。·详尽的日志范式化和日志分类日志审计系统对收集的各种日志进行范式化处理，将各种不同表达方式的日志转换成统一的描述形式。审计人员不必再去熟悉不同厂商不同的日志信息，从而大大提升审计工作效率。与此同时，日志审计系统将原始日志都原封不动地保存了下来，以备调查取证之用。审计员也可以直接对原始日志进行模糊查询。系统为用户在进行安全日志及事件的实时分析和历史分析的时候提供了一种全新的分析体验——基于策略的安全事件分析过程。用户可以通过丰富的事件分析策略对全网的安全事件进行全方位、多视角、大跨度、细粒度的实时监测、统计分析、查询、调查、追溯、地图定位、可视化分析展示等。日志审计系统为用户提供了丰富的可视化审计视图，充分提升审计效率。包括：审计对象拓扑图、IP在线世界地图定位、IP离线世界地图定位、事件分时图、事件拓扑图、事件多维分析图等。出具报表报告是安全审计系统的重要用途，日志审计系统内置了丰富的报表模板，包括统计报表、明细报表时自动生成日报、周报、月报、季报、年报，并支持以邮件等方式自5.4.5.堡垒主机严重的攻击来自系统内部(80%来自内部攻击),内控堡垒主机主要应用于内部用户行为管理，对各种途径的方式进行监控，支持telnet,ftp,ssh,rdp,xwindow等，保证内部要的作用。目前关键网络边界安全设备，主要来自于国外巨头和国内和串口，对网络边界安全设备(如交换机、防护墙、VPN等)进行安全程，保证安全策略的一致性，其生成的日志系黑客常常通过手段(如：社会项目、恶意程序、系统设置漏洞、缓冲区溢出程序等)获取用户权限，然后使用该权限登陆系统。内控审计信息提供方便性，内控堡垒主机提供了审计查看检索功能。系统机能够极大的保护内部网络设备及服务器资源的安全性，使得内部网基本功能产品功能主帐号的新建和修改时，支持通过配置访问锁定策略，达到限主帐号的新建和修改时，支持通过配置密码策略，达到指定密支持主帐号的证书认证，可以灵活配置主帐号的认证方式。堡(二)资源管理支持资源的分组管理，分组可以树形方式展现，不限制分组层(三)从账户管理能够对资源上的帐号进行管理，可以添加、修改、删除资源上从帐号的新建和修改时，支持通过配置主机命令策略达到限制使用此从帐号访问资源时，只能使用某些指令或者禁用某些指从帐号的新建和修改时，支持通过配置访问时间策略达到限制从帐号的新建和修改时，支持通过配置访问地址策略达到限制支持资源从帐号的接管和共管方式，接管方式的从帐号才能修库操作及运维操作等网络行为进行解析、分助用户进行事前规划预防、事中实时监视、事完善的数据库审计数据库审计系统(数据库审计型)全面对支持各种常见商业数据大金仓Kingbase、南大通用GBase及达梦数据库等多个版本的数据库除数据库审计功能外，针对运维操作审计，数据库审计系统(数据库审计型)支持包括，Telnet、FTP、Rlogin、X11、Radius等协议，能够实现命令级和过程级的内容审计；针对0A操作审计，支持包数据库审计系统(数据库审计型)适用于多种应用环境，特别是Telnet协议的传输、某些数据库同时采用的支持是衡量审计系统环境适应性的重要指标之一，目前数据库系统(数据库审计型)系统支持多种编码格式；支持多种响应方式数据库审计系统(数据库审计型)系统提供了多种响应方式，支Trap、邮件等技术手段，并可与第三方管理平台进行联动(如SOC平台、4A平台等),以帮助用户实时掌握审计信息。支持灵活的审计规则为了使审计策略更加灵活、精准，数据库审计系统(数据库审计型)系统采用了灵活的审计规则和黑白名单的机制，大大降低了审计审计规则的定制条件包括时间IP、端口、账号名称、事件级别、内容等，能够以精确匹配、模糊匹配、正则表达式匹配方式对审计事件进行匹配，帮助用户对关键操作进行及时响应；数据库审计系统(数据库审计型)系统提供了事件规则用户自定义模块，允许用户自行设定和调整各种安全审计事件的触发条件与响应策略。支持IP黑白名单、账号黑白名单、账号发现、账号跟踪审计、账号行为事件分级等多种特性，便于在实际审计过程中进行灵活设置。特定账号行为跟踪系统能够实现对“用户网络环境中出现的特定账号或特定账号执行某种操作后”的场景进行账号跟踪，提供对后继会话和事件的审计。因此，管理员能够对出现在网络中的特权账号，比如root、DBA等，进行重点的监控，特别是本不应出现在网络上的特权账号突然出现的事件。.产品功能描述数据库审计支持的数据库类别：数据库审计粒度：日期及时间源IP及源MAC地址源主机名、源程序名、源主机登陆用户名数据库模式名(SCHEMA)、数据库视图名(数据库账号登陆失败审计数据库操作成功的审计数据表空间不足的审计审计规则规则类型支持两种审计规则：缺省审计规则、自定义审计规则规则匹配方式支持三种规则匹配方式：模糊匹配、精确匹配、正支持系统日志、审计事件日志、会话日志查询支持按条件或关键字内容模板查询功能支持缺省统计模板，支持会话统计、审计事件统计、资源账号统计功能，支持按自定义关键字进行统计支持统计报表自定义功能支持审计事件与统计报表的自动备份和手工备份功能支系统管理支持旁路部署，对原有系统无影响，支持管理员、操作员、审计员权限管理，具有自身安全审计功能支持管理员强身份认证功能支持系统升级功能支持NTP时间同步支持审计数据、系统配置和引擎配置的备份和恢复、支持串口管理、SSH管理、5.4.7.终端管理系统部署.部署作用随着全球信息化步伐的加快，计算机网络作为信息社会的基础设施已经渗透到社会的各个方面，与此同时，网络安全问题也日益突出。据美国安全软件公司Camelot和eWEEK电子杂志联合进行的一项调查显示，网络安全问题在很多情况下都是由“内部人士”而非外来黑客引起。在企事业单位中，内网安全普遍存在着如下问题：●IP地址使用存在一定混乱。如果没有严格的管理策略，员工随意设置IP地址，可能造成IP地址冲突，关键设备的工作异常。若出现恶意盗用、冒用IP地址以谋求非法利益，后果将更为严重。●各类网络基础信息搜集不全。信息管理中心对所管辖网络的用户和资源状况难以掌握，设备软硬件配置与变更也难以知晓，发生违规事件时很难及时将问题定位到具体用户。●外围设备使用控制困难。为了保证内部安全，要求对网内各计算机设备的外围设备使用情况进行控制，禁止或限制使用软驱、光防止利用移动存储设备进行数据文件的拷贝。操作无法监控，出现信息泄露事件也无从追溯。应用资源访问存在隐患。贵单位内网部署了多个管理信息系统时，多帐号身份认证和权限管理将会带来管理上的重复和不一致性，最终导致管理混乱和安全漏洞。操作系统补丁问题。每隔一段时间微软发布修复系统漏洞的补丁，但很多用户不能及时使用这些补丁修复系统，造成重大损失。现在网络结构庞大，网管要保证每台终端及时全面的安装响应补丁，工作量很大，且很难实现。.部署拓扑与说明建议在贵单位内网安全管理区部署一台桌面终端管理服务器，为每个主机上安装桌面终端综合安全管理系统的客户端，收集主机相关信息，接受管理服务器的控制和管理。产品特点：1、有效查杀已知/未知病毒全球最大云安全系统、国际领先多引擎技术、QVM人工智能引擎技术、隔离沙箱虚拟化技术、主动防御技术相结合，有效查杀已知和未知病毒；通过联动360天眼产品有效抵御APT攻击。2、实时全面的资产管理3、智能化的补丁管理4、可靠的安全运维管控5、灵活的移动存储管控支持设备状态的追踪与管理，实现对移动存6、丰富的安全网络准入控制支持旁路镜像应用准入、802.1x认证、Portal7、完善的安全审计件的操作行为、输出行为、打印行为、光盘刻拓扑图如下具有中央控制管理和远程部控管理功能，支持在网内所有服务终端接入认证，未经认证计算机无法接入网络使用身份认证，非法身份无法登陆操作系统安全域划分，划分不同权限的安全域，灵活设置相互访问权违规外联监控统一介质管理，移动介质注册数目>400审计计算机IP地址、主机名、用户名等基本配置信息的变更操作5.5.安全管理体系建设服务本次方案中，安全管理体系建设由xxxx有限公司与贵单位联合梳理安全管理体系。服务方式为：委派专人与贵单位相关负责人合作，结合现已有的安全管理制度，梳理完善、合规的安全管理体系。参考标准如下：5.5.1.安全管理机构概述安全管理机构的规划，将从贵单位的实际情况出发，以安全组织架构设计为基础，定义架构中涉及到的部门和岗位的职责以及管理方法。其内容包含但不少于等级保护基本要求中的第3级信息系统的管理要求中对管理机构的要求。贵单位信息安全组织架构是贵单位参与信息安全工作的各部门进行分工协作开展工作的结构，是根据其在信息安全工作中扮演的不同角色进行优化组合的结果，反映了贵单位各类组织在信息安全工作中的不同定位和相互协作关系。信息安全组织架构设计并非对贵单位的组织架构进行重组，而是在贵单位原有组织架构的基础上针对信息安全的需求进行的提炼和完善。贵单位信息安全组织架构主要包括参与贵单位信息安全决策、管理、执行和监督工作的部信息安全组织架构包含以下三个关键要素：1)决定了信息安全工作中正式的报告关系，包括层级数和管理者的管理跨度；2)决定了如何由个体组合成部门，再由部门到组织；3)组织架构中包含了一套系统，以保证跨部门的有效沟通、合作与整合。信息安全组织架构是单位信息中心开展信息安全工作的基础。在单位的日常管理过程中，存在着多项信息安全管理事宜，需要对其中的重要事件进行决策，从而为信息安全管理提供导向与支持；对于所制定的信息安全管理方针需要进行有效的贯彻和落实；另外，对信息安全管理方针贯彻落实的情况还需要进行监督。以上各种情况都需要一个完善有效的信息安全组织架构来支撑。另外在未来贵单位信息安全保障体系建立的过程中，各种信息安全项目的开展将成为贵单位信息安全工作的一项重要内容，这也需要有相应的组织予以支持。本文提出的信息安全组织架构是以等级保护基本要求为指导，在借鉴国际最佳实践的基础上根据贵单位信息安全工作开展的需求进行完善的结果。在完整的信息安全组织中一般包含以下几个重要组成部分：1)信息安全决策机构2)信息安全管理机构3)信息安全执行机构4)信息安全监管机构以上组织机构的具体存在形式可以是多样的，如兼职的、虚拟的或者远程的。目前国际上普遍采用的信息安全组织架构如下图所1、信息安全决策机构信息安全决策机构应当是贵单位信息安全工1)确定贵单位信息安全工作的战略和2)决定贵单位信息安全组织3)总体调配信息安全工作的资源4)负责通过和决定信息安全策略和标准5)对于信息安全方面的重大项目进行审批6)在协调安全工作中协调各部门关系门主管或代表组成的跨部门的委员会，也可以是单位CIO或类似级者和管理者，它同时具有2种角色：贵单位信息安全管理机构是信息安全决策机构的决策支持者，由管理机构为决策机构提供必要的决策所需信息；贵单位信息安全管理机构是信息安全工作的规则制定者和决策推行的管理者。可以说是信息安全决策机构的执行组织，也可以说是信息安全执行机构的管理组织。贵单位信息安全管理机构的职能主要包括：1)整个贵单位内信息安全相关政策标准的制定、更新2)信息安全项目的规划、评审和质量控制3)向信息安全决策机构定期通报单位整体信息安全情况4)对贵单位信息安全工作的开展进行日常管理和监督在单位中一般表现为一个专职负责管理信息安全方面工作的部门，由一个主要负责的信息安全官和相关支持管理人员组成。在一些单位里也可以由若干个部门分别承担信息安全管理职责，共同组成信息安全管理机构。3、信息安全执行机构信息安全执行机构主要负责具体信息安全工作的执行和开展。一般信息安全执行机构主要包括信息安全项目组织和信息安全运行组织两大类的组织。信息安全项目组织一般以独立项目小组的形式存在于单位中，由专门的信息安全开发和项目部门和相关项目人员组成。信息安全项目组织主要负责的工作包括：1)信息安全基础建设。这包括各项信息安全技术的实施，如2)信息安全管理项目实施。信息安全管理项目的实施也是信位中信息安全运行组织一般是一个虚拟的机控和技术支持在内的专职或兼职的信息安全在单位的各个相关部门中，并统一向专门的汇报和负责。除此之外，专门的信息安全运供的监控服务也属于这一机构的范畴内。信a.依照各项管理政策、标准与规范、指南与细则开展工作b.提供各种安全服务以直接支持业务，包括监控、事件响c.将工作中的各种需求和重要事项汇报给信息安全管理机构d.接受管理机构和监督机构的监管、控制，并配合其开展工作4、信息安全监管机构1)监督各项信息安全策略、标准与规范、指南与细则的执行2)检验信息安全管理机构和执行机构的工作效果，包括信息信息安全监管机构是针对贵单位信息安全管理机构和执行机构中，在不同岗位上都扮演着相应的角色。本部分将定义出单位在信息安全工作方面一直在进行讨论的一个基本问题就是“到底是谁的职责?”,在许多单位中对于信息安全相关职责仍停留在传统概念中，认为信息安全是信息技术部门或信息安全角色与职责，使单位中每个员工都b.信息安全管理人员c.部门和项目管理者/应用所有者d.技术提供、维护和支持人员e.管理支持者f.用户信息安全领导小组部门25.5.3.信息安全领导小组信息管理部负责人部门1网络信息系统的安全。信息安全领导小组可以作为目前管理机构的一个组成部分。信息安全领导小组有如下职责：●就整个贵单位的信息安全的作用和责任达成一致；●审查和批准信息安全策略以及总体责任；●就信息安全的重要和原则性的方法、处理过程达成一致，并提供支持。如风险评估、机密信息分类方法等；●确保将安全作为制定业务建设和维护计划、内部信息系统建设的一个部分；●授权对安全控制措施是否完善进行评估，并协调新系统或新服务的特定信息安全控制措施的实施情况；●审查重大的信息安全事故，并协调改进措施；●审核信息安全建设和管理的重要活动，如重要安全项目建设、重要的安全管理措施出台等。●在整个组织中增加对信息安全工作支持的力度。5.5.4.信息管理部负责设计、建设安全管理体系，包括策略、组织和运作模式，并且进行宣贯和培训。信息管理部有如下职责：贯彻执行相关主管部门有关网络及信息安全管理方面的方针、政策及各项工作要求，在各网上落实网络及信息安全的各项工作。通过等级保护工作保持与公安机关的联系，接受和执行公安机关的监督和指导。负责建立信息安全策略体系，制定网络及信息安全工作制度及管理流程，起草、制定网络及信息安全的技术规范、标准及策略，聘请外部专家对网络及信息安全工作制度及管理流程进行评审，组织在全网范围内的实施。组织、协调内部各部门实施网络及信息安全工作。在单位内开展信息安全知识共享，建立有针对信息安全的知识共享的技术平台，促进内部交流与学习。定期组织内部人员或聘请外部单位，公安机关等进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；汇总安全检查数据，形成安全检查报告，并对安全检查结果在安全组织内召开会议进行通报。将外部安全信息及知识及时发布给贵单位内部相关安全人员，将外部安全信息及知识及时发布到贵单位内部相关安全人员的共享技术平台。5.5.5.安全维护组负责贵单位日常安全维护工作，包括信息安全专员和各部门信息安全助理。安全维护组有如下职责：执行有关信息安全问题的处理；在日常维护中发现有安全问题，首先进行应急处理保证业务的连续性，然后通过提供安全事件报告的方式通知安全维护组相关人员，安全维护组人员在接到报告后，将和各专业组一起在保证业务正常运行的前提下解决安全问题，工作结束后，将由双方一起记录安全处理过程。对重点主机系统的安全职责1.至少每月进行一次安全漏洞扫描；2.对主机系统和网络设备上的用户进行审核，发现可疑的用户账号时及时向系统管理员核实并作相应的处理；对网络设备的安全职责1.监督信息安全管理机构制订的网络设备用户账号的管理制度的实行，在发现有可疑的用户账号时向网络管理员进行核实并采取相应的措施；2.根据业务保护要求，提出防火墙系统的部署方案，并制订相应的信息安全访问控制策略。对数据库的安全职责1.协同数据库管理员对对数据库系统进行安全配置，修补已发现的漏洞；2.协同数据库管理员对于数据库安全事件处理，并分析安全事件原因；3.协同数据库管理员对于数据库安全事件进行处理，尽量减小安全事故和安全事件造成的损失，并从中吸取教训；验证数据备份策略的有效性，对数据恢复过程进行试验，确保在发生安全问题时能够从数据备份中进行恢复；监督数据库管理员对重要数据的备份工作，对于重要数据的备份，必须每个月做一次检查，确保备份的内容和周期以及备份介质的保存符合有关的规安全审计组对用户的各种行为进行审计，对安全监控中心的各项监控、处理和维护工作进行审计。安全审计组有如下职责：依赖安全运行管理平台以及各种安全审计产品对管理网的用户行为进行审计。对安全监控中心的各项监控、处理和维护工作进行审计。5.5.6.安全监控中心可利用贵单位现有的安全信息管理平台，对网络进行全面的安全监控。安全监控中心有如下职责：查看安全运行管理平台的各种告警，做出处理判断，并编制下发工单。定期查看信息安全站点的安全公告，跟踪和研究各种信息安全漏洞和攻击手段，在发现可能影响信息安全的安全漏洞和攻击手段时，及时做出相应的对策，通知并指导系统管理员进行安全防范。跟踪信息系统系统中使用的操作系统和通用应用系统最新版本和安全补丁程序的发布情况，在发现有新版本或者安全补丁出现发布时，通知并指导系统管理员进行升级或打补丁。根据信息管理部提出的安全标准，对主机系统上开放的网络服务和端口进行检查，发现不需要开放的网络服务和端口时及时通知系统管理员进行关闭；定期对主机的网络服务进行全面安全检测，在发现安全设置不当或存在安全漏洞时及时通知系统管理员进行修补；根据安全管理机构规定的周期和时间，对网络设备进行全面信息安全扫描，发现安全网络设备上存在的异常开放的网络服务或者开放的网络服务存在安全漏洞时及时通知网络管理员采取相应的措施。5.5.7.安全管理制度规划根据等级保护基本要求对管理制度建设的要求，结合贵单位的安全组织架构体系及实际工作情况，对安全策略体系进行规划。体系包括确定贵单位信息安全愿景和使命的信息安全总体目标《贵单位信息安全方针》,确定贵单位信息安全工作要求和指标的总体框架《贵单位信息安全体系框架》,约束和指导贵单位各层人员信息安全工作的规章制度、管理办法和工作流程，规范贵单位系统、网络和安全管理员进行安全操作的技术标准和规范。文档结构如下图所示：信息安全方针信息安全方针规章制度安全技术规范管理流程保密协议图表2安全管理制度规划示意图的最高指导文件。《贵单位信息安全工作管理办法》是本策略的直接体现。的要求，分五个步骤(落实安全责任、管理现状分析、制定安全策略和制度、落实安全管理措施、安全自检与调整)落实安全管理制构，明确主管领导，落实责任部门。建立岗位和人员管理制度，根据责任分工，分别设置安全管理机构和岗位岗、考核、培训等管理内容；制定系统建设管理制度施、验收交付、等级测评、安全服务等管理期检查制度，明确检查内容、方法、要求等，检查各项制度、措施的落实情况，并不断完善。规范安全管理人员或操作人员的操作规程等，形成安全管理制度体系。安全管理制度体系组成：安全管理制度体系安全管理方针和安全策略面向中高层管理层各类安全管理制度面向安全管理人员各类安全操作规程面向安全技术人员各类操作记录表格面向一线运维人员落实安全管理措施人员安全管理：包括人员录入、离岗、考核、教育培训等内容。规范人员录用、离岗、过程、管家岗位签署保密协议；对各类人员进行安全意识教育、岗位技能培训；对关键岗位进行全面的严格的审查和技能考核；对外部人员允许访问的区域、系统、设备、信息等进行控制。系统运维管理：落实环境和资产安全管理、设备和介质安全管理、日常运行维护、集中安全管理、时间处置与应急响应、灾难备份、实时监测、其他安全管理系统建设管理：系统建设管理的重点是与系统建设活动相关的过程管理。由于主要的建设活动是由服务方(如集成方、开发方、测评方、安全服务方)完成的，运营使用单位人员的主要工作是对其进行管理，应此，应制定系统建设相关的管理制度。安全自查与调整制定安全检查制度，明确检查的内容、方式、要求等，检查各项制度、措施的落实情况并不不断完善。信息系统安全管理建设工作流程编号1明确主管领导、落实责任部门2落实安全岗位和人员34确定安全管理策略和安全管理制度5落实安全管理措施6人员安全管理系统运维管理系统建设管理环境和资产管理急响应设备和介质管理灾难备份日常运行维护安全监测安全运维管理7安全自查和调整1)确定客户信息系统安全保护等级；2)收集客户现有安全管理制度；3)按照等级保护安全管理制度的建设步骤，梳理现有安全管理制度，输出《安全管理制度建议报告》;4)依据《安全管理制度建议报告》,完善客户安全管理制度，细化各项操作流程、规范、表单；服务方式现场服务服务周期单次服务交付文档《信息安全管理制度》5.6.安全加固服务安全加固服务是加强网络信息系统安全性，对抗安全攻击而采取的一系列措施。本次安全加固服务是对贵单位整体网络建设(合同约定时间内)提供的一系列安全服务。目的是全面提高信息系统的整体安全保护水平。包含但不限于以下内容：信息安全风险评估、渗透测试、安全加固等。5.6.1.信息安全风险评估本次安全风险评估服务时，主要采用的风险评估模型如图-风险评估模型所示：信息资产信息资产弱点风险个要素有各自的属性，资产的属性是资产价威胁主体、影响对象、出现频率、动机等；(1)对资产进行识别，并对资产的价值进行赋值；(2)对威胁进行识别，描述威胁的属性，并对威胁出现的频率(3)对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋(4)根据威胁及威胁利用脆弱性的难易程度判断安全事件发生(5)根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失；(6)根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。的软件系统(如微软的IIS);主机安全评估不包含非附属于操作■用户安全控制台安全用户许可权限口令安全管理帐户锁定设置选项帐号安全管理■系统安全受信主机安全安全终端设置SUID/SGID许可程序安全审计策略信任域的管理■网络服务安全邮件系统安全共享服务安全主机安全服务涉及到BIOS、操作系统的基本配置文件、系统注册表、操作系统附带应用的配置文件，以及补丁等多个方面。主机的评估主要从补丁管理、最小服务原则、最大安全性原则、用户管理、口令管理、日志安全管理以及入侵管理七个方面进行归类处理。工具扫描部分从制定扫描方案开始。首先确定扫描内容，扫描工具和扫描方法。由于一些扫描对系统可能造成影响，因此要进行扫描代价分析(Scanningcostanalysis),提供书面的扫描代价分析报告，并提供紧急处理和恢复措施；通过和客户交流和协商，确定扫描方案。用户确认后，开始进行实际扫描，以发现系统安全漏洞。扫描后，工程师将向用户提供一份双方都认可的系统安全审计报告。人工分析部分由安全专家通过对客户业务应用情况，主机情况的了解来进行。5.6.4.数据库安全评估概述：完整，全面发现本项目范围内系统数据库的漏洞和安全隐患服务内容描述：■数据库用户名和密码管理用户权限设置密码策略设置冗余账号的管理■数据库访问控制访问IP地址的控制■通讯安全配置■登录认证方式■数据的安全数据库备份传输加密■安全漏洞检查■补丁管理■数据库的安全审计登录日志审计方法：5.6.5.网络安全评估指对网络中已知或潜在的安全风险、安全隐患，进行探测、识别、控制、消除的全过程。服务内容描述：■网络架构■网络脆弱性■应用系统、■终端主机■物理安全■管理安全针对网络部分涵盖面多、杂，网络安全评估以人工与工具结合的方式，由安全专家凭据丰富的经验、工具的检测情况和对客户的实际网络情况的了解来进行。工具扫描主要是配合人工分析检查网络的数据流、网络的脆弱性等弱点。5.6.6.渗透测试渗透测试能够通过识别现有信息系统中的安全问题来帮助贵单位了解当前的信息系统安全状况，并以此做针对性的防护措施。全5.6.7.安全加固安全加固是对信息系统中的主机系统(包括主机所运行的应用系统)与网络设备、安全设备的脆弱性进行分析并修补。另外，安全加固也包括了对主机的身份鉴别与认证、库及应用中间件等软件系统，堵塞漏洞“”后门“”,合理进行安全性加强，提高其健壮性和安全性，增加攻■数据库加固■服务器系统加固■操作系统加固■网络安全加固■应用服务加固■网络设备、安全设备加固5.8.安全等保认证协助服务依据GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》从安全技术和安全管理两个层面，对客户信息系统进行差距评估，评估方式包含文档查阅、顾问访谈、现场勘察、漏洞检测、配置审计、渗透测试等专业技术手段，发现客户信息系统的安全现状与相应安全等级存在的差距，明确客户在安全技术和安全管6.系统集成方案6.1.1.系统集成原则■集成规范指导格以客户对相关涉及业务的规范要求指导建设，并满足相关业务需置上，采用适度超前的原则，预留一定能力资低业务发展和系统的升级给系统可能带来的负载压力，保证系统的系统应保证7×24小时不间断运行，系统构成应具有冗余设备平均无故障时间应大于5万小时。系统应该采用相应的流量控制措施保证不管系统的呼叫量服务。因为系统离市场比较近、需求变化比常使用障时系统切换到备机可以正常运行，这种方式可以保证双机切换时最快的切换时间。热备份方式下双机切换时间小于等于10秒。支持双机冷备功能。主备机采用共享磁盘阵列的方式，在机故障时可迅速切换到备机运行，由于主备机应用程序不同步，正在处理的业务会丢失，双机切换时间小于等于180(1)前期的调研规划配套、设备位置、主机配置、存储配置、网(2)集成方案编制集成、系统压力测试、系统备份集成。并组(3)项目实施准备确定合同外购买的设备、工具、软件的详细清单，并作必(4)设备到货验收设备的到货验收必须在甲乙双方人员的共同监督下进行。确保相关到货设备的信息并核对无误。形成到货验收文档并存档。(5)项目实施依据前期集成方案，完成系统设备的集成实施。主要包括以下：主机系统的安装与调试●主机系统安装实施，由集成商负责完成主机系统的安装实施方案，必要时可协调原厂配合。●集成商按规划完成主机系统的安装与配置调试，完成到货、分货和验货检查等。存储系统的安装与调试●存储系统与备份系统的安装实施：由集成商负责完成存储系统的安装实施方案，必要时可协调原厂配合。●根据存储系统按规划要求配置与调试，完成到货、分货和验货检查等工作。涉及到SAN组网、备份软件设置、备份策略制定以及备份测试恢复等工作。网络系统的调试●网络系统的实施，由集成商负责完成网络系统的安装实施方案，必要时可协调原厂配合。●集成商按规划完成网络系统的安装与配置调试，负责调试相关网络设备的互连互通。系统软件的安装部署●系统软件基础的实施，由集成商按规划方案完成各类数据库及其他软件的安装。集成商负责进行按集成规划进行基础环境的验证及出具验证报告，确保环境可用。(6)系统测试及切换系统性能及功能测试●对主机，存储，数据库的设计方案，完成测试。并得出最后选择方案做为生产选择，形成详细报告。●规范厂家的测试方法，指导第三方厂家测试工作。系统稳定性测试●对数据库，主机，网络系统的稳定性做出性能测试，检查运行结果是否正确，规避系统生产上线后的意外情况发生。系统切换演练●配合应用进行系统切换●配合系统、中间件在切换期间的故障处理和性能优化●配合检查切换过程中数据的一致性和完整性(7)技术支持技术团队进行项目实施支持，并保持7*24小时的技术支持及问题咨(8)系统培训目的集成架构。我公司负责提供本项目业务流程以及应用部署等系列培根据客户对系统环境的软件需求及系统集成方案，列出主机软件部署详细清单，进行各主机的软件部署情况进行确根据客户对系统环境的软件需求及系统集成方案，列出主高可用性的软件将冗余的高可用性的硬件组件和软件组件组合起数据库高可用设计：采用双机方式部署，提升数据库业务●采用集群的设计，确保业务至少部署在两台主机以上，保证系后台应用程序部署高可用设计：采用双机热备模式，两个文件系统外围应用-1磁盘阵列外围应用-2应用-2(主)文件系统应用-1(备)(1)纵向扩展：进行应用的纵向扩展部署，应用到更大的业务处理并发量。例如在新增主机进行CICSRESION数量或者应用后台程序的错开部署，都可大大的增加业务的并发量。.系统集成文档提供我公司具备多年的系统集成经验和系统维护经验。集成项目保存的文档涵盖项目管理、项目调研、系统维护、系统测试验收等多个方面。我公司保证编制的集成方案及各种项目文档与客户共同讨论、评审，并承诺会把相关文档阶段性的交付给客户。.系统架构培训为保障本项目的顺利开展以及系统测试工作的顺利进行，以提升客户运营管理团队的专业技能为目的，我公司将为客户提供不低于客户指定次数的有关本次集成内容相关的包括系统架构规划、主机方面、网络方面、存储方面、数据库方面、中间件方面等相关专业知识的技术培训。6.1.3.系统集成服务针对新系统集成建设要求，我公司分阶段进行集成工作开展，并分阶段进行文档的编写、报告的编写，并与客户进行评审，提交。如下流程所示：需求调研需求调研设备到货(验收报告)工程实施(实施报告)应用部署、测试(部署清单及测试报告)系统切换演练(演练报告及应急方案)10:系统验收(验收报告)网织网络前期进行需求调研，并根据调研情况，出具机房规划方结合调研后的各规划方案，与客户一起根据项目管理计中期实施阶段，出具各项具体项目的实施方案，以指导实系统切换演练阶段，出具详细的切换演练方案及应急预排、时间安排、进度安排、风险管控及措施等，并与客户根据项目计划，协助客户的项目管理人员投入到计划工作(1)项目经验(2)项目管理能力(3)技术能力能力，熟悉各个厂家的硬件及软件，多人有多年的集成实施经验，制，规避最可能出现的风险点，将可能存在的风险出具相应的应急项目风险点1供货商发错货，设备的实收情况与物料单不符，或到货不及时，没在计划时间内到货，影响设备安装进发货之前与供货商详细核心对发货设备，确保发货设备型号等是本次项目设备，加强出监理和供货商的2项目协助单位或其它部门配合不力，配套建设进展缓慢，影响整体集成建设进度，比如供电的UPS建设加强与协助单位或部门的沟通，每天关注他们的工作进度，并向项目经理或客必要时可由客户协们加快进度3设计施工图纸与现场情提前详细检查设计院出的图纸，尽可能在施工之前4没有详细检查，发现有不规范的地方，没有及时指出解决，施工队或厂家的完成工配套施工过程中，加强与监理的沟通，提出发现的问题，并让在规定时间内解厂家的软调方面的工作，集成商全程跟进，以便及时发5项目过程中发现的项目变更计划，没有及时通知到各单位。导致各单位没能按户、监理、施工队、厂家的项目风险点(集成方案、图纸设计变化密切联系，确保相关项目信息同步6项目实施过程中遇到的问题没能及时反馈相关人员处理，导致问题没有人关注和推进。从而影响整个项目让有现场实施经验丰富的工程师跟进，有影响项目进度的问题及时提出并让相关人员跟进处理7法短时间解决，影响项目进度确保有二线专家技术支持，以及时解决项目实施过8再项目中继续工作，需要更换人员，影响项目进度确保每个项目人员都有角的工作的问题定位和解决能力，另外确需原厂商进行独立协调原厂商进行技术支持并直到问题的6.1.4.系统技术支持我公司的技术支持服务组织结构如下图所示：由技术支持工程师、技术专家和顾问、高级软件产品设计工程师共同组成专业化的技术支持服务队伍，人员组成如下：技术支持工程师：我司在多个项目中对各原厂商的主机、存储、数据库等都有应用，多年的实践令我们的技术支持工程师能够熟练应用和配合各大厂商的几乎所有主流软硬件产品，因此，他们是面对用户最直接最快速方便的一线支持；技术专家和顾问：我司有大批优秀的系统专家、网