XXXX集团办公及邮件系统等级保护(三级)安全整改建设方案.doc

XXXX集团办公及邮件系统等级保护(三级)安全整改建设方案.doc

《XXXX集团办公及邮件系统等级保护(三级)安全整改建设方案.doc》由会员分享，可在线阅读，更多相关《XXXX集团办公及邮件系统等级保护(三级)安全整改建设方案.doc（71页珍藏版）》请在冰豆网上搜索。

XXXX集团公司

办公及邮件系统

信息等级保护（三级）建设方案

2016年5月

目录

1 总述 4

1.1 项目背景 4

1.2 设计依据 5

1.3 设计目标 5

1.4 设计范围 5

2 安全目标分析 6

2.1 系统定级情况 6

2.2 定级系统现状 6

2.3 等保三级安全要求 10

2.3.1 《基本要求》三级要求 12

2.3.2 《设计技术要求》三级要求 14

2.4 安全需求分析 16

2.4.1 合标差距分析安全需求 16

2.4.2 风险评估分析安全需求 21

3 等级保护总体设计 24

3.1 方案设计原则 24

3.2 方案设计思想 25

3.3 总体安全框架 27

3.3.1 分区分域设计 28

3.3.2 安全技术架构 30

3.3.3 安全管理架构 32

3.4 等级保护建设流程规范化 32

4 等级保护安全技术建设 34

4.1 物理安全 34

4.1.1 物理安全设计 34

4.1.2 物理安全设计具体措施 34

4.2 技术安全 35

4.2.1 技术安全设计 35

4.2.2 等级保护安全建设后网络拓扑 40

4.2.3 安全区域划分 40

4.2.4 等级保护安全技术措施 41

4.3 应用安全 43

4.3.1 应用安全设计 43

4.3.1 办公系统和邮件系统应开发安全功能 44

4.4 等级保护所需安全产品清单 44

5 安全管理建设 45

5.1 安全管理要求 45

5.2 信息安全管理体系设计 46

5.2.1 安全管理体系设计原则 46

5.2.2 安全管理体系设计指导思想 46

5.2.3 安全管理设计具体措施 46

5.3 信息安全管理体系设计总结 55

6 安全产品选型及指标 56

6.1 设备选型原则 56

6.2 安全产品列表 58

6.3 主要安全产品功能性能要求 59

6.3.1 网络接入控制系统 59

6.3.2 服务器操作系统安全加固软件 64

6.3.3 主机监控与审计系统 66

1总述

1.1项目背景

随着国家信息化发展战略的不断推进，信息资源已经成为代表国家综合国力的战略资源。

信息资源的保护、信息化进程的健康发展是关乎国家安危、民族兴旺的大事。

信息安全是保障国家主权、政治、经济、国防、社会安全和公民合法权益的重要保证。

2003年中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出：

“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要办公系统和邮件系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。

信息安全等级保护制度是提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化设计健康发展的一项基本制度，是开展信息安全保护工作的有效办法，是信息安全保护工作的发展方向。

实行信息安全等级保护制度有利于在信息化设计过程中同步设计信息安全设施，保障信息安全与信息化设计相协调；有利于为信息系统安全设计和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全设计成本；能够强化和重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要系统的安全；能够明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理。

实行信息安全等级保护制度具有重大的现实意义和战略意义，是国家对重要工程项目信息系统安全保护设计提出的强制性要求。

XXXX公司（以下简称为“XXXX”）的前身是中国航空技术进出口总公司。

XXXX由中国航空工业集团公司控股，全国社会保障基金理事会、北京普拓瀚华投资管理中心（有限合伙）和中航建银航空产业股权投资（天津）有限公司共同持股。

XXXX是中国航空工业的重要组成部分，是中国航空工业发展的先锋队，改革的试验田，是中国航空工业开拓国际市场、发展相关产业、扩大国际投资的综合平台。

XXXX从自身信息化业务需求和安全需求角度出发，为了满足XXXX总部各类业务信息系统的安全稳定运行，提高对重要商业信息安全的基本防护水平，更好的实现与中航工业金航商网的对接，决定针对企业内部的办公系统和邮件系统，按照国家信息安全等级保护三级水平开展安全整改建设工作，确保信息系统安全、可靠、稳定运行和长远发展。

1.2设计依据

本方案主要依据以下文件和技术标准进行编写：

《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）

《信息安全等级保护管理办法》（公通字[2007]43号）

《计算机信息系统安全保护等级划分准则》（GB17859-1999）

《信息安全技术信息系统等级保护安全设计技术要求》（GB/T25070-2010）

《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）

《信息安全技术信息系统安全等级保护实施指南》（GB/T25058-2010）

1.3设计目标

通过开展等级保护安全体系设计，从“保密性、完整性、可用性”角度为XXXX办公系统和邮件系统提供安全保障，实现系统安全和信息安全，保障系统资源和信息资源的最大化安全使用，达到通过国家信息安全等级保护（三级）测评的水平，最终实现有效支撑办公系统和邮件系统安全、可靠、长远发展的总体目标。

1.4设计范围

XXXX办公系统和邮件系统是本等级保护安全整改建设项目要保护的目标系统，本建设方案将以国家信息安全等级保护相关文件和技术标准为依据，将以自主知识产权和国产化信息安全装置为基础，对XXXX的办公系统和邮件系统相关的物理环境、硬件平台、软件平台以及定级系统自身，从管理和技术两个方面进行总体的规划和设计。

2安全目标分析

2.1系统定级情况

编号

系统名称

安全等级

系统状态

1

办公系统（含门户系统、OA系统端和移动端）

三级

拟定级

2

邮件系统

三级

拟定级

2.2定级系统现状

XXXX的办公系统和邮件系统是本次开展等级保护建设的目标系统。

两个系统尚未进行定级备案，拟定级为等保三级。

（一）定级系统概述

办公系统主要用于XXXX内部工作人员办公使用。

办公系统由门户系统和OA系统两个子系统组成，OA系统又包括PC系统端和移动端两部分。

办公系统可通过办公内网或互联网进行访问，系统用户总数约为1800人，XXXX总部大厦约有办公人员500人。

办公系统可通过PC和智能移动终端进行访问，PC端系统为B/S架构，智能移动终端系统为C/S架构，需安装相应的APP客户端软件。

邮件系统为XXXX内部工作人员提供邮件服务，系统总用户数为3023人，用户分布于国内和国外。

邮件系统通过互联网访问，用户可使用Web方式或第三方邮件客户端软件进行收发操作。

图：

定级系统现状拓扑图

（二）定级系统服务器情况

办公系统共有6台服务器，均部署在北京总部机房中。

这6台服务器的功用：

OA数据库服务器、OA应用服务器、移动OA应用服务器、OA数据库备份服务器及门户数据库服务器、门户应用服务器（虚拟机）。

OA系统的PC系统端和移动端有各自的应用服务器，后端数据库为同一个数据库。

OA数据库服务器和OA应用服务器划分在Internet访问入口区的DMZ区中，移动OA应用服务器、OA数据库备份服务器、门户数据库服务器和门户应用服务器（虚拟机）均划分在内网服务器区中。

OA系统的4台服务器均采用Windows操作系统，系统版本为Windows2003；门户系统服务器均采用红帽子（RHEL）Linux操作系统，系统版本为5.4。

邮件系统服务器共有两台，这两台服务器采用镜像方式部署，分别安装于北京总部机房和深圳总部机房中。

深圳节点为源节点，北京节点为镜像节点，两服务器之间通过一条10M电信邮件专线互联、同步。

邮件服务器操作系统为红帽子Linux6.3。

由于等级保护采用属地化管理，因此，本次安全保护建设将只针对邮件系统北京节点服务器，不涉及深圳节点服务器。

表：

定级系统服务器列表

序号

系统

用途

操作系统

版本

安全域

1

办公系统

OA数据库服务器

Windows

2003

DMZ区

2

办公系统

OA应用服务器

Windows

2003

DMZ区

3

办公系统

移动OA应用服务器

Windows

2003

内网服务器区

4

办公系统

OA数据库备份服务器

Windows

2003

内网服务器区

5

办公系统

门户数据库服务器

RHEL

5.4

内网服务器区

6

办公系统

门户应用服务器

RHEL

5.4

内网服务器区

7

邮件系统

邮件服务器

RHEL

6.3

DMZ区

（三）现有安全资源（设备）

表：

现有安全产品列表

编号

设备类型和名称

数量

单位

说明

1

深信服负载均衡M5400AD

1

台

访问出口安全防护；

2

山石UTM-M6110

1

台

访问出口安全防护；

3

深信服流控系统AC-2080

1

台

访问出口安全防护；

4

深信服负载均衡AD-1680

1

台

访问入口安全防护；

5

启明星辰防火墙USG-2010D

1

台

访问入口安全防护；

6

绿盟入侵防护NIPSN1000A

1

台

访问入口安全防护；

7

深信服Web应用防火墙WAF

1

台

访问入口安全防护；

8

创佳互联移动设备管理

1

套

移动安全防护；

9

江南信安移动安全接入网关

1

台

移动接入安全防护；

10

深信服SSLVPN

1

台

移动接入安全防护；

11

绿盟网络安全审计SAS1000C

1

台

网络安全及数据库审计；

12

绿盟BVSS安全核查

1

台

网络安全审计；

13

安恒综合日志管理DAS-200

1

台

网络安全审计；

14

绿盟WSMS网站检测

1

台

网络安全审计；

15

绿盟运维审计SASNX3-H600C

1

台

网络安全审计；

16

绿盟入侵检测NIDSN1000A

1

台

网络安全审计；

17

无线AC

1

台

无线网络控制管理；

18

启明星辰防火墙USG-FW-2010D

1

台

服务器区安全防护；

19

启明星辰天榕电子文档安全系统

500

点

终端数据防泄漏；

20

绿盟堡垒机

1

台

安全运维管理；

21

华为Esigh网管系统

1

套

网络设备运维管理（仅限华为设备）；

22

虚拟化移动OA

500

点

移动办公信息防泄漏；

（四）其他安全措施

1、设备管理权限

a）专线路由器和楼层交换机通过ACL控制，只允许管理员的IP地址登陆设备，并且创建不同级别的用户权限，超级管理员拥有所有权限，一般管理员只有访问权限不可修改；

b）根据部门划分VLAN，不同VLAN不能互访；

c）安全设备没有对登陆设备的源IP进行限制，创建不同级别权限的用户，网络管理员拥有最高权限，普通管理员只允许查看；

2、内外网访问设备途径；

a）管理员统一通过绿盟堡垒机登录设备进行网管；

b）管理员在公司以外的地方需要管理设备的时候，首先登录公司深信服VPN设备，然后登录堡垒机对设备进行网管；

3、每月月初根据IPS日志，汇总上月入侵防护事件，形成安全月报（专人负责）；

4、内部用户上网，通过深信服行为管理实现上网认证，认证方式用户名加密码和短信认证；

5、网络入口和出口各部署一台深信服链路负载均衡设备，入口联通20M，电信20M；出口联通40M，电信40M；

6、网络入口负载均衡主要负责智能DNS和网