基于等级保护的恶意代码防护体系建设方案.pdf

基于等级保护的恶意代码防护体系建设方案.pdf

《基于等级保护的恶意代码防护体系建设方案.pdf》由会员分享，可在线阅读，更多相关《基于等级保护的恶意代码防护体系建设方案.pdf（27页珍藏版）》请在冰豆网上搜索。

基于等级保护的恶意代码防护体系建设方基于等级保护的恶意代码防护体系建设方案案目录目录一、概述一、概述.441.11.1信息安全等级保护政策要求信息安全等级保护政策要求.441.21.2信息安全等级保护方案的整体思路信息安全等级保护方案的整体思路.551.31.3信息安全等级保护方案总体目标信息安全等级保护方案总体目标.661.41.4信息安全等级保护建设目标信息安全等级保护建设目标.66二、信息系统安全现状分析二、信息系统安全现状分析.772.12.1物理安全物理安全.882.22.2网络安全网络安全.882.2.1结构安全.92.2.2访问控制.102.2.3安全审计.102.2.4边界完整性检查.102.2.5入侵防范.112.2.6恶意代码防范.112.2.7网络设备防护.112.32.3主机安全主机安全.12122.3.1身份鉴别.122.3.2访问控制.132.3.3安全审计.132.3.4剩余信息保护.132.3.5入侵防范.132.3.6恶意代码防范.142.3.7资源控制.142.42.4应用安全应用安全.14142.52.5数据安全及备份恢复数据安全及备份恢复.15152.5.1数据完整性.152.5.2数据保密性.162.5.3备份和恢复.162.62.6安全管理安全管理.16162.6.1安全管理体系的建设内容.162.6.2安全管理机构建设.172.6.3安全管理制度建设.182.6.4安全标准体系建设.182.6.5安全教育和培训.182.6.6应急响应计划.19三、基于等级保三、基于等级保护的恶意代码防护体系设计护的恶意代码防护体系设计.19193.13.1设计原则设计原则.19193.23.2参考标准参考标准.20203.33.3基于等级保护的恶意代码防护体系建设方案基于等级保护的恶意代码防护体系建设方案.21213.3.1针对恶意代码防护在不同等级中的技术要求.213.3.2针对恶意代码防护在不同等级中的管理要求.223.3.3针对恶意代码防护在不同等级中的集中控制管理要求.233.3.4信息安全等级保护所需解决方案对应表.233.3.5安全等级解决方案与亚信安全产品等级满足情况.243.3.6等级保护细则要求与亚信安全解决方案对应.24一、一、概述概述1.1信息安全等级保护政策要求信息安全等级保护政策要求随着我国网上交易、电信运营、政府网上信息公开、企业信息化进程的快速发展，信息系统越来越与公民权益、社会秩序、公共利益、直至国家安全紧密相关，基础信息网络和各行各业的重要信息系统已经成为国家的关键基础设施。

随着安全攻防技术的不断进步与发展，信息安全保障工作的重要性显而易见。

为了提高信息安全保障能力和水平，保障和促进信息化建设，国家正在大力推行信息安全等级保护制度。

等级保护已经成为一项国家层面的信息安全基本制度。

为了加强对国家信息系统的保密管理，确保信息安全，国家明确提出了信息系统的建设使用单位必须根据分级保护管理办法和有关标准，对信息系统分等级实施保护。

2007年，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合发布了信息安全等级保护管理办法。

办法将信息系统的安全保护等级分为以下五级：

第一级，第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

1.2信息安全等级保护信息安全等级保护方案的整体思路方案的整体思路根据对等级保护要求的理解，我们设计了基于等级保护的安全解决方案，方案主要分为4个阶段来进行：

现状评估：

分析信息安全现状；差距分析：

识别企业目前的安全现状与等级保护之间的差距；需求分析：

确定信息安全战略以及相应的信息安全需求；安全规划：

规划未来3-5年内的需要实施的安全项目。

1.3信息安全等级保护信息安全等级保护方案方案总体目标总体目标落实关于信息安全等级保护工作的实施意见（公通字【2004】66号）和关于开展信息系统安全等级保护基础调查工作的通知（公信安【2005】1431号），实施符合国家标准的安全等级保护体系建设，通过对信息系统的安全等级划分，合理调配相关资源，重点确保核心信息资产的安全性，从而使重要信息系统的安全威胁最小化，达到系统信息安全投入的最优化。

实现如下总体安全目标：

（1）依据信息系统所包括的信息资产的安全性、信息系统主要处理的业务信息类别、信息系统服务范围以及业务对信息系统的依赖性等指标，来划分信息系统的安全等级。

（2）通过信息安全需求分析，判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划，以指导后续的信息系统安全建设工程实施。

（3）达到公安部关于信息系统安全保护等级保护相关要求。

1.4信息安全等级保护信息安全等级保护建设目标建设目标按照公安部、国家保密局、国家密码管理局、国务院信息化工作办公室和相关国家部门关于信息系统在物理、网络安全运行、主机安全、应用安全、备份及容灾等技术方面和管理等方面的总体要求，科学合理评估网站系统风险，协助其合理确定安全保护等级，在此基础上科学规划设计一整套完整的安全体系建设方案。

具体包括：

保障基础设施安全保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。

保障网络连接安全保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。

保障计算环境的安全保障计算环境的安全，保障操作系统、数据库、服务器、用户终端及相关商用产品的安全。

保障应用系统安全保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。

安全管理体系保障安全管理体系保障，根据国家有关信息安全等级保护方面的标准和规范要求，结合实际，建立一套切实可行的安全管理体系。

二、二、信息系统安全现状信息系统安全现状分析分析等级保护自上而下分别为：

类、控制点和项。

其中，类表示信息系统安全等级保护基本要求在整体上大的分类，其中技术部分分为：

物理安全、网物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复络安全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为：

安全管理制度、安全管理机构、人员安全管理、系统建设管理和系安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。

而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

”具体框架结构如图所示：

根据以上等级保护的基本框架，我们分析XXXX目前在物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理等几方面目前的安全现状。

2.1物理安全物理安全物理安全保护的目的主要是使存放计算机、网络设备的机房以及信息系统的设备和存储数据的介质等免受物理环境、自然灾难以及人为操作失误和恶意操作等各种威胁所产生的攻击。

物理安全是防护信息系统安全的最底层，缺乏物理安全，其他任何安全措施都是毫无意义的。

物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。

具体包括：

物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个控制点。

2.2网络安全网络安全网络安全为信息系统在网络环境的安全运行提供支持。

一方面，确保网络设备的安全运行，提供有效的网络服务，另一方面，确保在网上传输数据的保密性、完整性和可用性等。

由于网络环境是抵御外部攻击的第一道防线，因此必须进行各方面的防护。

对网络安全的保护，主要关注两个方面：

共享和安全。

开放的网络环境便利了各种资源之间的流动、共享，但同时也打开了“罪恶”的大门。

因此，必须在二者之间寻找恰当的平衡点，使得在尽可能安全的情况下实现最大程度的资源共享，这是我们实现网络安全的理想目标。

网络安全主要关注的方面包括：

网络结构、网络边界以及网络设备自身安全等，具体的控制点包括：

结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。

为了保证互联网安全平台的信息的保密性、完整性、可控性、可用性和抗抵赖性，计算机信息化网络系统需要采用多种网络安全技术，如身份鉴别、访问控制、信息加密、电磁泄露发射防护、信息完整性校验、抗抵赖、安全审计、网络安全性能检测、入侵监控、操作系统安全、数据库安全等。

2.2.1结构安全结构安全互联网安全平台与其他系统所要处理的信息重要性不同，需要对整个网络进行子网划分。

并需要对接入进行资源（带宽、处理能力）保证、优先处理等方面来要求。

包括：

u保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；u保证网络各个部分的带宽满足业务高峰期需要；u在终端与服务器之间进行路由控制建立安全的访问路径；u划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；u避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。

2.2.2访问控制访问控制信息系统应根据系统部署的位置和信息重要性划分系统安全域，在安全域与安全域之间用安全设备（如防火墙、多功能网关等）进行隔离和访问控制。

应按访问应当按照用户类别、信息类别控制。

由于信息系统与外部Internet互联网相联，所以信息系统会受到通过网络的来自外部网络的攻击。

如果信息系统的用户安全意识不强，口令设置缺乏科学性，易猜测，且更换频率低，致使共享资源长期暴露给网络邻居，可能被外部人员轻易偷取或被内部其他员工窃取。

主机操作系统漏洞和错误的系统设置也能导致非法访问的出现。

2.2.3安全审计安全审计信息安全等级保护技术要求：

审计系统具有详细的日志，记录每个终端用户的每次活动以及系统出错和配置修改等信息，应保证审计日志的保密性和完整性。

应保证审计不被旁路，防止漏计审计数据。

审计系统应具有存储器将满的告警和保护措施以防审计数据丢失。

信息系统要求：

操作系统必须启动日志与审计的功能，重点是基于Windows（或UNIX）操作系统上的安全审计。

数据库系统要做好重要数据库操作的日志和审计工作。

在信息系统的安全审计中，我们采用操作系统日志审计、网络审计和入侵检测的审计功能相结合的方法进行安全审计。

2.2.4边界完整性检查边界完整性检查虽然网络采取了防火墙、IDS等有效的技术手段对边界进行了防护，但如果内网用户在边界处通过其他手段接入内网（如无线网卡、双网卡、modem拨号上网），这些边界防御则形同虚设。

因此，必须在全网中对网络的连接状态进行监控，准确定位并能及时报警和阻断。

2.2.5入侵防范入侵防范按照不同的业务，针对信息系统划分不同的安全域，明确安全边界，在明确的安全边界实施有效的访问控制策略；进入系统安全域的数据