终端安全管理体系解决方案.docx

终端安全管理体系解决方案.docx

《终端安全管理体系解决方案.docx》由会员分享，可在线阅读，更多相关《终端安全管理体系解决方案.docx（42页珍藏版）》请在冰豆网上搜索。

终端安全管理体系解决方案

终端安全管理体系解决方案

1.安全现状4

1.1.现状概述4

1.2.应对策略5

2.安全理念6

2.1.安全理念6

2.2.安全体系7

2.3.参考标准8

3.某终端安全管理体系设计10

3.1.方案设计思路10

3.2.某终端安全管理体设计实现12

3.2.1.接入认证授权设计实现12

3.2.2.终端使用控制设计实现14

3.2.3.终端行为管控设计实现21

3.2.4.终端数据安全设计实现24

3.2.5.终端安全审计设计实现37

3.3.某终端安全管理体系组成54

4.方案总结55

1.安全现状

1.1.现状概述

随着网络应用的不断普及和应用,网络应用向多层次、立体化、空间化方向发展,网络空间电子文档的安全问题越来越突出,电子文档和数据被有意无意的窃取、丢失、泄密等给数字化的文档安全管理带来很大挑战。

网络空间安全通常被认为是计算机网络上的信息安全,是指网络系统的硬件如骨干网设备、终端设备、线路、辅助设备等〕、软件〔如操作系统、应用系统、用户系统等〕,及其系统中运行的数据、提供的应用服务不因偶然的、恶意的原因而遭到破坏、更改、泄露和失控。

首先,对于行业信息网络而言,当DDos攻击、病毒、木马威胁、非法入侵、非法接入、敏感数据泄密、移动介质随意接入,以及电子信息战等越来越严重的影响到公众利益和国家利益的时候,网络空间安全也继国防安全、政治安全、经济安全、金融安全之后成为了国家安全体系中的一项重要容,受到包括美国、欧洲和中国政府的高度关注。

其次,在国家行业信息化推进的大环境下,行业专网的运营安全在国民经济建设中日益显得举足轻重。

特别是在政府机关网络中,工作秘密的泄露会使政府机关工作遭受损失,带来不必要的被动；而国家秘密的泄露会使国家的安全和利益遭到严重损害,而泄密者受到降职、降衔的严肃处理,甚至移交司法机关处理。

同时,对于很多无意识泄密事件中,大多数都是由于外部终端设备随意接入部网络引发安全事故、病毒木马防控不严、U盘等外设存储使用不当、擅自连接其他网络、重要文档被非授权访问和复制、XX而进行数据拷贝和光盘刻录,以及对存储敏感信息的介质和文件没有彻底消除而造成的。

由此,如何应对上述安全问题,减少直至杜绝部敏感信息的泄漏和重要数据的丢失而引发的安全事故,建设面向网络空间的、安全和谐的网运行环境,则成为了政府机关网络、行业信息网络主管领导日常工作的重中之重。

1.2.应对策略

从网络空间应用接入方式来来说,网络空间应用从传统的互联网应用接入发展到以移动/无线通信应用接入乃至移动互联网接入等多种方式。

而针对网络空间安全方面的问题,某公司基于多年的产品开发与超大规模成功部署与应用经验基础,组建了面向网络空间的终端安全管理产品体系。

该产品体系主要面向重要网络、信息系统及基础设施的失泄密检测与防,实现从终端、区域网到互联网的一体化检测、管理与防。

该体系从终端身份认证、终端接入控制、终端行为管控制、终端数据防泄密,以及终端安全审计等方面,实现了多层次、全方位、立体化纵深失窃密检测与防,形成了面向复杂网络空间的终端安全管理一体化解决方案,有效地实现了网络空间下对终端计算机的安全管理体系。

2.安全理念

2.1.安全理念

针对目前网络中终端计算机面临的各种安全问题,作为终端安全管理市场的领导者,某公司特推出了面向网络空间的VRVSpecSEC终端安全管理体系。

VRVSpecSEC终端安全管理体系以APPDR模型为依据,遵循国家和行业等级保护,基于安全工程的思想,以独特的终端安全配置策略为核心,以终端安全风险测试与评估为依据,实现组件化可动态组合配置的终端安全管理。

其核心理念如下图所示：

VRVSpecSEC终端安全管理体系核心理念

λ安全产品法规符合性开发〔Specification-basedProductsDevelopment〕

λ策略引导的终端安全配置〔Policy-basedConfigureManagement〕

λ评估驱动的终端安全管理〔Evaluation-drivenSecurityManagement〕

λ组件化终端安全管理体系〔Component-basedPlug-in/outSecurityArchitecture〕

2.2.安全体系

某VRVSpecSEC体系覆盖终端的资产安全管理、终端数据安全管理、终端行为安全管理、终端服务安全管理等多个方面,涉及管理计算机本身、计算机应用、计算机操作者、计算机使用单位管理规等多个方面,形成全方位、多层次、立体化终端安全管理。

VRVSpecSEC终端安全管理体系层次结构图如下所示：

VRVSpecSEC终端安全管理体系层次结构图

本解决方案正是基于上述核心理念和安全体系的基础上而组建的基于终端各方面安全管理和控制的一体化解决方案。

2.3.参考标准

本方案将主要遵循和参照如下信息安全法律法规、政策要求和安全标准,及其他相关规定和标准：

Ø《中华人民国保守国家秘密法》及相关法规

新修订的《中华人民国保守国家秘密法》及相关法规均对涉及行为做出明确的规定和要求,如一切国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保守国家秘密的义务。

如何保证网〔业务专网〕没有国家涉密信息,不会泄漏相关敏感信息,则必须采取相应的技术手段和管理手段来防止安全事件的发生。

Ø《信息安全技术信息系统安全等级保护技术要求》〔GB/T22239-2008〕

20XX颁布的信息安全等级保护国家标准——《信息安全技术信息系统安全等级保护技术要求》中,在边界完整性检查、主机安全、身份鉴别、安全审计、数据安全与备份恢复等几个方面明确规定了必须对网终端计算机应采取终端安全管理、准入控制管理、非法外联控制、身份认证、安全审计管理、文件加密保护、介质管理、资产管理等相关措施。

Ø《信息安全技术 信息安全风险评估规》〔GB/T 20984-2007〕 

风险评估是以安全设计与建设为出发点,它的重要意义就在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案制定,通过对用户关心的重要资产的分级、安全威胁发生的可能性及严重性分析、对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等等方面的安全脆弱性的分析,并通过对已有安全控制措施的确认,借助定量、定性分析的方法,推断出用户关心的重要资产当前的安全风险,并根据风险的严重级别制定风险处置计划,确定下一步的安全需求方向。

国家标准《信息安全技术 信息安全风险评估规》提出了风险评估的基本概念、要素关系、分析原理、实施流程和评估方法,以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。

Ø《信息技术安全技术信息技术安全性评估准则》〔GB/T18336〕

GB/T18336《信息技术安全技术信息技术安全性评估准则》〔等同于ISO/IEC15408,通常也简称通用准则——CC〕,该标准是评估信息技术产品和系统安全特性的基础准则。

它提出了目前公认的表述信息技术安全性的结构,即把安全要求分为规产品和系统安全行为的功能要求以及解决如何正确有效的实施这些功能的保证要求。

功能和保证要求又以类——子类——组件的结构表述,组件作为安全要求的最小构件块,可以用于保护轮廓、安全目标和包的构建,例如由保证组件构成典型的包——评估保证级。

Ø《信息技术安全技术信息安全管理体系要求》〔ISO/IEC27001:

2005〕

在信息安全管理体系方面,国际标准ISO27001:

2005已经成为世界上应用最广泛与典型的信息安全管理标准。

目前国家已经等同采用该国际标准成为国家标准《信息技术安全技术信息安全管理体系要求》〔GB/T22080-2008〕。

它详细说明了建立、实施和维护信息安全管理体系的要求,指出实施机构应该遵循的风险评估标准。

Ø《信息技术安全技术信息安全管理实用规则》〔ISO/IEC27002:

2005〕

信息安全管理使用规则ISO27002:

2005综合了信息安全管理方面优秀的控制措施,为组织在信息安全方面提供建议性指南。

目前我国已经等同采用了ISO27002:

2005国际标准,成为了国家标准《信息技术安全技术信息安全管理实用规则》〔GB/T22081-2008〕。

在本方案的设计与实现中,也同样遵循和参考上述两个信息安全管理体系的实践和要求。

Ø其它有关法律法规和规制度要求

3.某终端安全管理体系设计

3.1.方案设计思路

依据业界最佳安全实践和行业信息安全管理体系的建设流程,结合某VRVSpecSEC核心安全理念,本方案的总体架构共分为"接入认证授权、终端使用控制、终端行为管控、终端数据安全、终端安全审计"等安全管理组件,并通过统一、联动的安全管控与审计平台实现对不同层次架构的集中策略配置与管理,完成对网络终端的分级部署、统一管控,最终实现对网终端全方位的控制管理,形成完整的终端安全管理体系。

方案结构图

具体解决思路如下：

●接入认证授权

该组件用于识别和确认终端用户的身份信息,完成对终端用户的身份鉴别,确保只有合法的终端用户才能使用终端计算机,同时结合"终端使用控制安全管理组件"完成对终端用户的授权管理,便于后续的授权访问策略的制定和执行,避免非授权用户使用终端计算机而引起的数据泄密。

●终端使用控制〔UsageControl〕

用于评估并检验终端计算机的安全性,避免不符合安全策略和安全规定的终端计算机进入部网络,同时管理终端计算机的软硬件资源,以及监控终端计算机的运行状态和外联行为,完成对终端计算机的资产管理、安全加固、外设管理、运行异常监控与远程维护协助,确保经过认证授权的用户能够按照授权许可的安全策略正确地使用和操作终端系统,避免因非受控终端而引起的敏感信息泄漏。

●终端行为管控〔BehaviorControl〕

终端行为管控主要对终端用户的浏览控制、网络应用使用控制、网络下载控制、带宽使用控制等各种网络访问和使用行为进行管理和控制。

通过上述对终端的行为管控,实现对终端网络访问行为的可管、可控,保障网络访问、网络流量、访问的安全与顺畅。

●终端数据安全〔DataSecurity〕

按照相应的授权级别和终端安全管理策略完成对终端授权用户的操作行为控制和文件加密管理〔包括目录和文件操作行为控制、移动存储介质使用控制、电子文档管理控制、光盘刻录行为控制以及信息检查控制〕,确保授权终端用户对不同的应用系统、不同的目录和文件进行可控操作和访问,实现授权终端用户的可信访问控制,避免引发的重要文件信息泄漏事故。

●终端安全审计〔Audit〕

通过集中统一的管控和审计平台,完成对上述安全管理组件的统一策略配置与下发、集中管理与审计,最终形成联动化的、集成化的、完整的数据防泄密体系的建设。

3.2.某终端安全管理体设计实现

3.2.1.接入认证授权设计实现

认证授权管理组件能够完成对终端用户的身份鉴别,确保只有经过合法验证的终端用户才能使用终端计算机。

接入认证授权综合利用登录身份认证、文件系统加密等核心技术开发的身份认证授权保护系统。

具体采用USBKeyClient和USBKey相结合的方式,实现所有功能,其操作流程如下：

首先,它通过硬件和软件相结合的方式实现了物理身份与用户身份的双重认证；同时还能够将USBKey与操作系统不同权限用户的绑定,实现对USBKey的权限划分。

如下图：

其次,采用的登录key能够与计算机管理相互结合,如拔除实时锁屏管理,屏保锁屏管理,注销锁屏管理；同时,还能够禁止在安全模式下通过key进行登录。

由于USBKey本身的唯一性,从而保证了登录用户的唯一性。