信息安全等级保护需求分析书.docx
《信息安全等级保护需求分析书.docx》由会员分享，可在线阅读，更多相关《信息安全等级保护需求分析书.docx（20页珍藏版）》请在冰豆网上搜索。
信息安全等级保护需求分析书
信息安全等级保护
需求分析书
1概述
1.1编制背景
电子政务即政务信息化，是指国家机关在政务活动中，全面应用现代信息技术进行办公和管理，为社会公众提供服务。
主要包括四方面内容：
一是在因特网上发布政务信息，供公众了解和使用；二是通过因特网对政府与公众之间的事务进行互动处理；三是在政府机构内部实现办公自动化，提高政府机构办公效率；四是公务员从网络中获得机构内部的工作信息和机构外部的业务信息，为日常的政务工作和领导决策提供服务。
2006年5月，中共中央办公厅、国务院办公厅转发《国家信息化领导小组关于推进国家电子政务网网络建设的意见》（中办发【2006】18号），明确国家电子政务网络建设的目标是：
用3年左右的时间，形成中央到地方统一的国家电子政务传输骨干网，建成基本满足各级政务部门业务应用需求的政务内网和政务外网，健全国家电子政务网络安全保障机制，完善国家电子政务网络管理体制，为电子政务发展提供网络支持。
2007年3月5日，温家宝总理在全国人大五次会议上作政府工作报告时指出：
“要以转变政府职能为核心，改进政府管理与服务方式，大力推进政务公开，加快电子政务和政府网站建设”。
2007年4月5日，温家宝总理签署国务院第492号令，公布《中华人民共和国政府信息公开条例》（以下简称《条例》），自2008年5月1日起正式实施。
为了保证公众方便、及时获取政府信息，《条例》对信息公开的方式作了明确规定：
第一，行政机关应当将主动公开的政府信息通过政府公报、政府网站、新闻发布会以及报刊、广播、电视等等便于公众知晓的方式公开；第二，行政机关根据需要设立公共查阅室、资料索取点、信息公告栏、电子信息屏等场所、设施公开政府信息。
2007年8月4日，国务院办公厅下发了《关于做好施行〈中华人民共和国政府信息公开条例〉准备工作的通知》（国办发[2007]54号），以下简称《通知》），明确要求，要充分发挥政府网站公开政府信息的平台作用，各级政府网站要成为政府信息公开的第一平台。
本次公安、地税等无线专网客户通过XX与国家电子政务外网相连，了贯彻国家对电子政务信息系统安全保障工作的要求以及等级化保护“坚持积极防御、综合防范”的方针，全面提高信息安全防护能力，无线专网建设需要进行整体安全体系规划设计及特殊网站安全保护设计，全面提高信息安全防护能力，创建安全健康的网络环境，保护国家利益，促进电子政务外网信息化的深入发展。
1.2编制目的
根据XX的现状和将来的应用需求，并结合公安部关于等级化保护的相关要求，而制定针对性的技术方案与管理方案，可为XX的等级化安全体系改造和加固提供参考和实施依据。
本文将主要阐述和针对XX的改造和信息安全体系的规划设计。
项目的主要内容是XX的总体信息安全体系安全改造，包括以下几个方面：
●建设XX网络安全基础设施；
●边界安全保护；
1.3等级安全体系设计目标
根据对信息系统的全面了解，并结合国家的相关政策标准，信息安全建设目标如下。
1.3.1总体目标
为了落实《关于信息安全等级保护工作的实施意见》（公通字【2004】66号）和《关于开展信息系统安全等级保护基础调查工作的通知》（公信安【2005】1431号），实施符合国家标准的安全等级保护体系建设，通过对安全等级划分，合理调配财力资源、信息科技资源、业务骨干资源等，重点确保核心信息资产的安全性，从而使重要信息系统的安全威胁最小化，达到网络信息安全投入的最优化。
实现如下总体安全目标：
（1）依据信息系统所包括的信息资产的安全性、信息系统主要处理的业务信息类别、信息系统服务范围以及业务对信息系统的依赖性等指标，来划分信息系统的安全等级。
（2）通过信息安全需求分析，判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划，以指导后续的信息系统安全建设工程实施。
（3）达到公安部关于信息系统安全保护等级保护相关要求。
1.3.2安全技术体系目标
按照公安部和相关国家部门关于信息系统在物理、网络安全运行、信息保密和管理等方面的总体要求，科学合理评估信息系统风险，协助合理确定安全保护等级，在此基础上科学规划设计一整套完整的安全体系改造加固方案。
该安全体系需要全面保卫网络和基础设施、边界和外部接入、计算环境、支持性基础设施、数据和系统等方面内容，实现信息资源的机密、完整、可用、不可抵赖和可审计性，基本做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。
具体包括：
✧保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。
✧保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。
✧保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。
✧安全管理体系保障，根据国家有关信息安全等级保护方面的标准和规范要求，结合实际，建立一套切实可行的安全管理体系。
2安全需求分析
本次公安、地税等无线专网客户通过与国家电子政务外网相连，需要满足国家电子政务外网三级等保要求，其中主要涉及物理安全、网络安全、主机安全、应用安全、数据安全、管理要求。
本次设计主要涉及网络安全，一下针对此部分进行评估分析。
2.1现状分析
是涉及多个行政部门及各类繁杂的信息系统等特征的系统，具有以下特点：
✧涉及的部门多、范围广；
✧信息系统种类繁多、应用众多、服务类型多并且结构复杂；
✧网络建设涉及互联网访问的诸多需求。
2.1.1网络体系现状
通过两台路由器与国家电子政务外网（省级网络互联），其中国家电子政务采用MPLSVPN承载不同业务。
现有网络拓扑图
2.2安全风险威胁分析
覆盖范围较大，并涉及用户面广，业务应用众多复杂，并需要与相关网络互联。
因此，其面临很多的安全威胁，经过总结分析主要包括了以下几类：
✧身份假冒，一个实体假装成另一个不同的实体，从而获得对访问。
✧恶意代码，通过恶意程序，计算机病毒等恶意代码程序可获取信息或破坏正常运行。
✧破坏信息完整性，改变系统信息的内容或形式。
✧行为抵赖，信息发送方或接收方否认自己发送过或接收到特定的信息，从而对正常运行造成潜在的安全威胁。
✧破坏网络的可用性，通过执行命令，发送数据或执行其它操作使系统资源对用户失效，使合法用户不能正常访问网络资源或使有严格时间要求的服务不能及时得到响应。
也可能以物理方式盗窃或破坏网络的设备、设施。
✧操作失误，人为操作失误可能会对造成破坏。
✧漏洞利用，大部分服务器普遍存在高风险漏洞，导致服务器或应用系统存在被远程控制的可能。
✧通信中断，由于目前部分网络设备和网络链路均未做冗余，因此，存在通信中断而导致业务中断的威胁。
其中，所面临的最大的风险之一，就是一旦攻击者获得对资源的控制权，就可以随意进行破坏活动，这包括：
l信息泄露：
将信息系统中的信息散发到了不该获得该信息的人手中，造成信息泄露；
l盗取信息：
获得不该获得的信息，破坏了信息的机密性；
l修改信息：
任何对存储（或传输）中数据、文件的非授权修改，破坏了信息的完整性；
l盗用服务：
非法盗用系统的服务，盗用服务会影响为其它合法用户提供正常服务；
●拒绝服务：
攻击的直接后果就是将系统的服务性能降低或完全瘫痪，无法为合法用户提供正常的服务，破坏了系统的可用性。
2.3安全问题总结
通过上述对现状和安全威胁分析，目前信息系统面临多方面的安全问题。
主要包含以下几点：
2.3.1网络安全问题
●入侵防护方面
缺乏入侵检测手段，不能及时掌握网络系统内部非法事件的动态。
●边界安全方面
在边界缺乏专门的安全设备（防火墙），对进出数据流量进行防护。
●网络设备防护方面
对网络设备进行远程管理时，没有采取必要的防护措施
未采取措施，实现对设备的特权用户进行权限分离，存在多个帐号权限相同的情况。
2.3.2安全保障和应用支撑
●缺乏完善的安全保障
目前，整个网络系统没有一套完善的信息安全保障体系，无法满足系统对物理安全、网络及计算机系统安全、应用及数据安全和安全管理的需要，不能有效抵御来自内部、外部的各种安全威胁和攻击。
2.4安全需求总结
根据对安全问题总结，可以得出信息安全需求，主要内容可体现在以下几个方面：
2.4.1入侵防御与边界防护
用户遍布相关单位，使用者成分极其复杂，不可信任，因此需要考虑到针对网络攻击的安全应对措施。
准确识别出可能的攻击者，对于计算机系统来说具有重要意义，因为攻击往往是在“暗中”发生的，我们只有先找到假想敌，才有可能采取正确的对策，但安全又是要付出代价的，不正确的假设不仅无助于安全的解决，还有可能是浪费资源。
我们总结可能面对的攻击者可以分为四类：
●黑客：
狂热的技术迷，攻击是为了寻找技术挑战，绕过或攻破一个系统的安全机制就是最大的成功，并且喜好相互炫耀彼此的业绩；
●专业罪犯：
攻击系统的主要目的也是为了经济或其他利益；
●内部人员：
攻击系统的主要目的是为了兴趣、恶作剧或其他利益；
●蓄意破坏者：
攻击系统的目的纯粹是为了破坏。
鉴于内部环境用户的复杂性，因而需要在重要的网络边界处和重要网段配置入侵防御设备。
入侵防御系统通过对数据流的实时分析，能够洞察各种非法行为，及时弥补安全漏洞。
通过入侵防御，可以实时监控网络的数据流量，实时发现攻击行为，为动态网络安全防御提供了良好的基础设备支持。
利用入侵防御系统，可以进行7×24的安全防御，一旦发现入侵行为，可以及时采取措施。
同时，由于入侵防御设备部署在网络出口关键位置，设备需具有多层次的冗余功能，能提供最高等级的高可用性，并方便用户灵活设置，包括提供内置BYPASS功能，支持Active-Active和Active-Passive的高可用性功能，支持联机自动切换功能等高可用性功能。
此外，防火墙作为网络边界设备，放置在出口上，保护与外部网络之间的相互访问，规划网络的信息流向，同时可以起到一定的用户隔离作用，一旦某个区域发生安全事故，避免波及其他区域。
对与无线政务外网边界区域必须使用防火墙作为其边界的安全保护。
2.4.2运维审计
运维审计通过收集并分析系统日志等数据，对运行维护过程中的异常行为，例如越权访问，执行不应执行的命令操作，及时通过邮件，短信等形式发送告警，提醒管理人员对异常行为的筛查处理，及早应对破坏行为。
需为远程设备运行维护提供安全加密通道，确保维护过程不被监听，不被匿名访问，不被冒充身份访问，并提供可信可靠的远程维护安全访问通道，保证接入访问的安全。
另外，需对设备实现不安全访问端口的安全转换，将非加密访问端口转换为加密访问。
另外需对用户的访问授权，定义用户可以访问哪些资源，以及以什么样的方式在什么时间访问，防止未被授权的用户、角色对资源的访问。
3产品选型与部署
建议中，采用主流成熟性的技术和产品，通过使用路由器、入侵防御、统一安全认证与运维审计、防火墙边界访问控制及安全管理平台等安全措施，并运用切实的安全控制策略和安全服务手段，为网络的安全运行、系统可靠性运行和数据信息安全保密性提供一套安全保障防御体系。
同时，由于出口采用万兆链路，出口涉及的路由器、防火墙、入侵防御等产品都需为万兆规格产品。
3.1主要设技术指标要求建议
此处针对一些重要的产品给出建议性的技术指标要求。
3.1.1路由器产品总体描述和性能要求
3.1.1.1总体描述
路由器作为与外部网络互连的出口节点设备，承担与外部网络互访数据流的汇聚集中转发
3.1.1.2相关要求
指标项
参数要求
性能指标
交换容量≥160Gbps
包转发率≥120Mpps
整机业务载板插槽≥2个；业务载板子插槽≥4个
整机支持≥96个千兆以太路由接口
要求支持路由与转发硬件分离，设备内置NAT、IPSec、L2TP、GRE等业务分布式功能特性
支持MPLS，MPLSVPN、IPSECVPN、GREVPN
支持基于IPFIX国际标准网络流量报文统计功能，可以针对不同的流信息进行独立的数据统计
支持静态路由、等价路由、策略路由；支持RIPv1/v2、BGPv4、BGP4+等路由协议
设备内置状态防火墙、URL过滤、高性能ACL等多种安全特性。
支持高性能的NAT功能，在启用策略路由、NAT，并且启用超过1000条ACL的情况下，业务端口仍然能够达到线速转发性能，吞吐率100%，NAT新建连接数不少于20万/秒，最大并发连接数不低于200万
支持双引擎热备功能，主备引擎切换时，不影响单业务卡内的数据转发，单卡内数据转发不丢包，跨业务卡数据转发切换丢包时间<5ms
支持在启用QoS、ACL、OSPF、BFD等功能应用场景下，可实现800路分支机构的汇聚能力，满足双向数据转发不丢包，且路由器的CPU利用率低于10%
支持高精度的层次化QoS队列调度策略，实际误差应不超过0.1%
3.1.2防火墙产品总体描述和性能要求
3.1.2.1总体描述
防火墙是边界保护的基本手段，是保障网络安全的必须采用的方法之一。
根据对网络的安全保护要求，在出口区域需使用防火墙实现边界保护。
3.1.2.2相关要求
主要从性能、设备安全性、可靠性、可管理性、安全防护能力、日志审计能力等方面考虑。
防火墙产品选型具体建议如下所示：
类别
功能和性能
指标要求
基本参数
硬件架构
硬件要求采用专用架构平台，采用多核的处理芯片
物理端口数
至少8个万兆SFP+接口，16个千兆电口，16个千兆光口
每秒新建连接数
≥250000
最大并发连接
≥12000000
吞吐量
≥80G
AV吞吐量
≥11G
IPS吞吐量
≥13G
安全特性
安全功能
支持状态检测包过滤、应用层检测，能够有效的进行边界隔离，支持对常见的应用层协议进行监控
支持透明模式和路由模式进行部署，支持虚拟防火墙功能
支持反垃圾邮件功能，支持用户信誉库功能
在传统三层防火墙功能基础上具备IPS、Web过滤防护、杀毒、VPN，行为控制、数据防泄漏、广域网加速等功能模块。
其中要求应用识别库超过3000个，要求IPS特征库超过7000个，病毒特征库超过200万个
支持WebCache以及对常见协议CIFS/FTP/MAPI/HTTP/HTTPS/TCP等加速的WAN链路加速功能
支持URL过滤，对用户web行为进行过滤，保护用户免受攻击；要求能够自定义URL，脚本过滤能够阻断JavaApplet,Cookies,ActiveX。
支持单臂模式的URL检测。
WEB分类库类别≥78个
产品资质
产品资质
《计算机信息系统安全专用产品销售许可证》
《国家信息安全认证产品型号证书》
支持下一代互联网IPV6技术，具有《IPV6ReadyLogoCertifiedPhase-2》证书
3.1.3网络入侵防御系统总体描述和性能要求
3.1.3.1总体描述
防火墙的边界保护是安全域边界的基本保护措施，通过防火墙的控制列表可以把非法的用户和访问行为杜绝与安全域外，但防火墙无法实现对合法用户或者合法的访问行为中所包含的入侵攻击行为进行控制，通过部署入侵防御系统，可以弥补防火墙的不足之处。
因此，必须采用入侵防御系统实现与防火墙的互补，构建主动的防护体系。
3.1.3.2相关要求
产品指标项
技术参数要求
硬件特性
标准的2U机箱规格；
全模块化产品；
支持扩展插槽≥3个；
支持扩展千兆光口数≥24个；
支持扩展千兆电口数≥24个；
整机支持最大千兆接口数≥24个；
支持冗余电源，保留测试权利；
USB2.0接口≥2个；
性能参数
最大吞吐量≥12Gbps；
最大并发连接数≥700万；
每秒新建连接数≥130000；
部署方式
支持串接、旁路、混合模式部署
工作模式
支持IPS模式，IPS监视模式，IDS监视模式，混合模式，Forward模式
检测识别
支持基于协议异常、会话状态和七层应用行为等的攻击识别功能；
支持对VLAN、MPLS、ARP、TCP、UDP、RPC、WCCP、GRE、IPV6、QinQ等多种协议的分析功能；
支持自定义检测方向，进行针对性检测功能；
攻击防护
支持对病毒、蠕虫、木马、间谍软件、广告软件、可疑代码、端口扫描、非法连接、SQL注入、XSS跨站脚本等多种攻击的防护；可防范三至七层DoS/DDoS攻击；可防范IPSpoofing攻击
IPv4和IPv6安全及流控要求
支持IPv4和IPv6的双栈，支持IPv6下的各种隧道，支持基于IPV6的探测碎片攻击和协议确认技术，设备管理、安全策略、报表和告警均支持IPv4和IPv6
具备基于IPV6的安全防御功能，可防御包括DDos、缓冲区溢出（BufferOverflow）、WebAttacks等多种IPv6环境下的网络攻击
具备基于IPv6的应用带宽和流量控制功能,可以在IPv6的环境下对相关网络应用带宽和流量进行管控
IM等软件管理
支持对IM软件包括登录、发信息、传文件、语音、视频各种动作分别控制
支持对网络视频、P2P下载、炒股软件、网络游戏等进行限制
非法代理软件管理
支持对VNN、SoftEther、Hamachi、TinyVPN、PacketiX、HTTP-Tunnel、Tor等流行的虚拟隧道的以及自由门、无界、花园等非法代理类软件的管控
攻击特征库升级方式
内置攻击特征库≥3000种，全面兼容CVE标准；
可自定义入侵攻击和应用软件的特征
攻击特征库可支持手动和在线更新；
Web访问过滤功能
支持基于URL、内容等制定黑白名单来对Web访问进行过滤；
带宽限流功能
支持针对VLAN、IP地址、应用等进行网络传输带宽和网络传输总量限流；
设备可靠性
支持双机热备功能；
支持软件Bypass功能；
支持硬件Bypass功能；
一个接口故障，设备会将对应另一接口关闭；主备线路时，通过相连的HA接口传输各Session状态
设备自身安全性
设备自身采用加密通讯形式
设备自身具有抗端口扫描功能
设备自身具有限制访问IP、禁止ping等防护功能
管理界面
支持中文图形管理界面，支持集中管理和分级管理；
数据镜像功能
自身提供镜像物理接口，可将流经设备数据镜像到其他设备上进行分析
设备报表
内置多样化的报表模版，支持自定义生成报表；支持自动定时生成报表，可利用邮件或FTP等形式定时外传报表，支持HTML、PDF、CSV等文件格式；
告警方式
支持控制台报警、邮件报警等
产品资质
中华人民共和国公安部监制《计算机信息系统安全专用产品销售许可证》
中华人民共和国公安部监制《公安部信息安全产品检测中心测试报告》要求报告内容中检验的产品类型为web过滤防护
中华人民共和国国家版权局的《计算机软件著作权登记证》
全球下一代互联网测试中心天地互连信息技术有限公司的《ipv6ready认证证书》
国家保密局涉密信息系统安全保密测评中心的《涉密信息系统产品检测证书
工业和信息化部电信传输研究所测试报告。
3.1.4统一安全认证和运维审计系统总体描述和性能要求
3.1.4.1总体描述
统一安全认证与运维审计系统主要用于提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足等保三级标准要求。
3.1.4.2相关要求
统一安全认证与运维审计系统系统的性能要求和指标需要能够满足以下几个方面：
指标项
技术参数要求
硬件特征
产品规格：
2U机架式；
千兆电口≥6个；
独立管理接口1个；2个USB接口；
1+1冗余电源；
≥2T企业级硬盘； 内存≥8G；
模块化扩展插槽≥4个；
支持万兆光接口扩展≥8个；
支持千兆电口数最大扩展不少于38个；
支持千兆光口数最大扩展不少于32个
性能参数
自带设备管理数200个，最大可扩展至500个
图形并发≥200，字符并发≥500
系统架构要求
业务数据采取轻型目录存储，支持多节点数据实时同步
支持双网卡冗余（双网卡虚拟单Ip）
支持active-stanby方式的HA部署
支持集群部署。
基础功能
提供统一安全认证和运维审计系统自身状态的监控功能，包括：
cpu工作情况，内存使用情况，磁盘使用情况，网卡使用情况，统一安全认证和运维审计系统自身数据库工作情况，统一安全认证和运维审计系统自身WEB服务工作情况，统一安全认证和运维审计系统自身其他关键组件工作情况等。
支持管理配置的批量功能，包括：
批量自然人管理，批量资源管理，批量资源从帐号管理，批量授权管理，批量应用发布管理等，提供产品功能截图
支持消息管理，可通过系统统一给各管理员和运维人员发布消息。
支持工作计划管理，可自维护方式制定运维工作计划，并到期提醒，提供产品功能截图
主账号管理
支持主帐号的分组管理，分组可以树形方式展现，不限制分组层级数量
支持主帐号的证书认证，可以灵活配置主帐号的认证方式。
统一安全认证和运维审计系统上定义主帐号时可以为主帐号生成证书，方便证书认证模式的部署和实施。
也可以和其他认证方式结合，做组合认证，提高访问的安全性。
主帐号支持从AD域内抽取，可方便主帐号的建立。
资源管理
支持资源的分组管理，分组可以树形方式展现，不限制分组层级数量，提供产品功能截图
资源类型支持Windows主机、域控主机、域内主机、Unix主机、各种网络设备、安全设备、网元、数据库、WEB中间件等，提供产品功能截图
资源管理协议支持SSH、TELNET、FTP、SFTP、VNC、XWINDOW、WINDOWS文件共享等协议。
其中，SSH协议代理支持SecureCRT软件的SessionClone及SendToAll等复杂的功能
支持针对windows类型设备，统一安全认证和运维审计系统选择启用或者关闭某台设备的磁盘映射功能
对于数据库、web、专用C/S客户端程序支持以应用发布的方式进行授权和审计。
从帐号管理
能够对各种资源上的帐号进行推、拉、同步。
推帐号即从统一安全认证和运维审计系统平台向资源上添加帐号；拉帐号即从资源上自动收集所有设备帐号到统一安全认证和运维审计系统上；同步帐号完成推拉两个动作，从而保持统一安全认证和运维审计系统和资源上从帐号的同步。
能够对资源上的帐号进行管理，可以添加、修改、删除资源上的从帐号，提供产品功能截图
授权管理
可以将资源和资源的从帐号授权给主帐号。
授权给主帐号的资源可以新增和删除。
授权时可以按照树形组显示资源，方便资源的选择，提供产品功能截图
对RDP资源进行授权时，支持剪贴板及本地磁盘的使用授权。
统一安全认证和运维审计系统内部管理功能权限支持角色定义，角色可以针对目录树的节点定义，角色包含的权限可以自定义。
自定义内容包括：
分组管理权，自然人管理权，资源管理权，授权管理权，角色定义管理权，计划管理权，审计管理权等等。
计划管理
支持资源帐号同步计划，可以设置执行时间，也可以设置单次执行或周期执行。
可以根据目录树选择计划包含的资源。
支持资源帐号口令修改计划，可以设置执行时间，也可以设置单次执行或周期执行。
可以根据目录树选择计划包含的
升级会员 