等保测评方案.docx
《等保测评方案.docx》由会员分享，可在线阅读，更多相关《等保测评方案.docx（37页珍藏版）》请在冰豆网上搜索。
等保测评方案
湖南省电子产品检测分析所考勤
信息系统安全等级测评方案
编制：
审核：
批准：
日期：
日期：
日期：
1.概述
1.1项目简介
湖南省电子产品检测分析所考勤管理信息系统处理的主要业务信息是员工管理数据、政工管理数据等企业内部信息，是本单位的专有信息。
如果系统受到破坏，将会严重影响电子分析所的正常工作和，因此湖南省电子产品检测分析所考勤管理信息系统在业务支撑上起着至关重要的作用。
分析所考勤管理信息系统的信息系统安全保护等级已定为二级（S2A2G2）湖南省网络与信息安全测评中心（以下简称测评中心）受湖南省电子检测分析所的委托，对湖南省电子产品检测分析所考勤管理信息系统进行信息系统安全等级保护测评，现场测评项目组将分为技术核查小组及管理核查小组；针对安全技术及安全管理两大方向、十个层面进行测评与分析。
本次测评的目的是建立信息安全等级保护制度，通过测试手段对安全技术和安全管理上各个层面的安全控制进行整体性验证。
协助用户完成等级保护测评工作
1.2测评依据
信息系统等级测评是对运营和使用单位信息系统建设和管理的状况进行等级测评。
依据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》，在对信息系统进行安全技术和安全管理的安全控制测评及系统整体测评结果基础上，针对不同等级的信息系统遵循的不同标准进行综合系统安全测评评审后确定，由等级保护测评机构给予相应的系统安全等级评审意见。
主要参考标准如下：
《信息安全等级保护管理办法》
《信息安全技术信息系统安全等级保护定级指南》（GB/T22240-2008）
信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）
《信息系统安全等级保护测评要求》（报批稿）
《信息系统安全等级保护实施指南》（报批稿）
《信息系统安全等级保护测评过程指南》（报批稿）
《计算机信息系统安全保护等级划分准则》（GB17859-1999）
《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）
《信息安全技术网络基础安全技术要求》（GB/T20270-2006）
《信息安全技术操作系统安全技术要求》（GB/T20272-2006）
《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）
《信息安全技术服务器技术要求》（GB/T21028-2007）
《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）
1.3测评过程
信息系统安全等级保护测评过程包括四个阶段。
测评准备阶段
被测单位向测评机构提出测评申请，测评机构对被测单位的申请材料进行审查，在双方达成共识的情况下，双方签订保密协议、委托书、合同。
方案编制阶段测评机构成立项目组后，工作人员到被测单位了解被测评系统的信息，编写信息系统业务调查报告，信息系统规划设计分析报告，与被测单位共同讨论评测方案，评测工作计划，达成共同认可的评测方案和评测工作计划。
现场测评阶段
在进入现场检测测试阶段时，测评机构项目组成员在参照系统体系建设相关资料（系统建设方案、技术资料、管理资料、日常维护资料）后，对测评单位进行安全管理机构检查、安全管理制度检查、系统备案依据检查、技术要求落实情况测评、定期评估执行情况检查、等级响应、处理检查、教育和培训检查，生成管理检查记录、技术检查记录和核查报告。
分析与报告编制阶段
测评机构最后进行核查结果分析，等级符合性分析、专家评审，生成等级测评报告和安全建议报告具体流程如下图：
1.4测评原则
客观性和公正性原则
测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。
经济性和可重用性原则
基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。
所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映目前系统的安全状态。
可重复性和可再现性原则无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。
可再现性体现在不同测评者执行相同测评的结果的一致性。
可重复性体现在同一测评者重复执行相同测评的结果的一致性。
符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。
测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。
1.5测评风险
等级测评实施过程中，被测系统可能面临以下风险。
验证测试影响系统正常运行在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。
工具测试影响系统正常运行在现场测评时，会使用一些技术测试工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。
测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。
敏感信息泄漏泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。
2.被测系统描述
2.1被测系统定级情况
1
系统名称
湖南省电子产品检测分析所门户网站信息系统
主管机构
湖南省电子产品检测分析所
系统承载业务情况
业务类型
1生产作业2指挥调度3管理控制
4内部办公5公众服务
9其他
业务描述
信息集成门户，包括信息发布、工作平台综合管理等功能实现
系统服务情况
服务范围
10全国11跨省（区、市）跨个
20全省（区、市）21跨地（市、区）跨个
30地（市、区）内
99其它
服务对象
1单位内部人员2社会公众人员3两者均包括
9其他
系统网络平台
覆盖范围
1局域网2城域网3广域网
9其他
网络性质
1业务专网2互联网
9其它
系统互联情况
1与其他行业系统连接2与本行业其他单位系统连接
3与本单位其他系统连接
9其它未与单位其它业务系统互联
业务信息安全保护等级
二级
系统服务安全保护等级
二级
信息系统安全保护等级
二级
2.2网络结构
湖南省电子产品检测分析所考勤管理信息系统采用星型结构，使用天融信防火墙做为区域安全隔离防护过滤设备。
区域分为DMZ区，内部局域网，IDC服务器群、外联单位、账务系统网络专区共5个区域，服务器群连接在两台冗余的IDCH3C7506E上，通过IDC天融信防火墙安全连接到其他区域，并连接着IDS提供安全检测；各电厂通过两台H3CSR8808路由器冗余接入局域网；外联单位通过CISCO3640和天融信防火墙连接到局域网交换H3C7506E；外网需要经过入侵防御、两级天融信防火墙、网康流量控制网关、上网行为管理设备、局域网交换H3C7506E、服务器专区防火墙防御访问系统服务器；所有区域与区域之间界限分明，部署合理，确保了网络的稳定性、安全性与可靠性。
具体网络拓扑结构图如下：
2.3系统构成
业务应用软件构成如下表
序号
软件名称
主要功能
重要程度
1
门户网站信息系统
门户网站
重要
2
Tomcat
中间件
重要
3
Sqlserver
考勤数据库
重要
关键数据类别如下表
序号
数据类别
所属业务应用
主机/存储设备
重要程度
1
业务数据
门户网站信息系统
IBMHS21
重要
主机/存储设备如下表
序号
设备名称
操作系统/数据库管理系统
业务应用软件
重要程度
1
应用服务器
Windowsserver2003
门户网站信息系统
重要
2
数据库服务器
Windowsserver2003/sqlserver
门户网站信息系统
重要
网络互联设备如下表
序号
设备名称
用途
型号/ip
重要程度
1
DW6509
核心交换机
cisco6509
Ip：
10.48.0.1
重要
2
DW37501-DW37505
1-5楼接入交换机接入交换机
cisco3750
Ip:
10.152.2.201-205
重要
3
DW4006
对外服务区交换机
CISCO4006ip：
10.152.2.252
重要
4
DW3600（internet）
外部接入路由器
cisco3600
Ip：
16.168.194.54
重要
5
DW3640
交换机
cisco-3640
10.48.5.1
重要
6
网康流量控制设备
Internet出口流量控制
-
重要
安全设备如下表
序号
设备名称
用途
型号
重要程度
1
IDS
入侵检测设备
启明星辰
IP：
重要
2
网康上网行为管理
上网行为审计管
理
重要
DW208DW
DW208FW防火墙，
型号：
NetScreen
3
系统内外隔离
208
重要
Ip：
10.48.8.22
型号：
NetScreen
4
DW208FW防火墙2
局域网防火墙
208
重要
Ip：
10.49.8.22
5
启明星辰入侵检测
设备
入侵检测设备
重要
安全相关人员如下表
序号
姓名
岗位/角色
联系方式
1
陈俊
信息安全主管
--
2
邹海亮
机房管理员
--
3
于国际
网络管理员
--
4
孙敏
操作系统管理员
--
5
何伟明
数据库管理员
--
6
于国际
资产管理员
--
7
吴英杰
应用系统管理员
--
安全管理文档如下表
序号
文档名称
用途
重要程度
1
湖南省电子产品检测分析所信
息网络系统安全管理规定
关于湖南省电子产品检测分析所信
息网络系统安全管理的相关说明
重要
2
湖南省电子产品检测分析所网
站管理办法
关于湖南省电子产品检测分析所网
站管理的相关说明
重要
3
湖南省电子产品检测分析所计算机信息系统安全和保密管理办法
关于湖南省电子产品检测分析所计算机信息系统安全和保密管理的相关说明
重要
4
湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理办法
关于湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理的相关说明
重要
5
信息安全风险评估管理工作标
准
关于信息安全风险评估管理工作标
准
重要
6
信息中心机房管理工作标准
关于信息中心机房管理工作标准
重要
7
IP地址管理工作标准
关于IP地址管理工作标准
重要
8
第三方人员管理工作标准
关于第三方人员管理工作标准
重要
9
防病毒紧急响应管理工作标准
关于防病毒紧急响应管理工作标准
重要
10
信息系统运行管理工作标准
关于信息系统运行管理工作标准
重要
11
数据网络管理工作标准
关于数据网络管理工作标准
重要
12
通信运行维护管理工作标准
关于通信运行维护管理工作标准
重要
13
信息通信设备巡检管理工作标
准
关于信息通信设备巡检管理工作标
准
重要
14
信息通信标准站管理工作标准
关于信息通信标准站管理工作标准
重要
15
信息化项目管理办法
关于信息化项目管理的相关说明
重要
16
信息机房建设技术规范
关于信息机房建设技术规范
重要
17
信息机房运行管理规定
关于信息机房运行管理的相关说明
重要
18
重要应用与数据灾难备份系统
建设导则
关于重要应用与数据灾难备份系统
建设导则
重要
19
重要应用与数据灾难备份系统
实施指南
关于重要应用与数据灾难备份系统
实施指南
重要
20
湖南省电子产品检测分析所计算机信息系统安全和保密管理办法（试行）
关于湖南省电子产品检测分析所计算机信息系统安全和保密管理的相关说明
重要
21
湖南省电子产品检测分析所涉
密计算机上网管理规定
关于湖南省电子产品检测分析所涉
密计算机上网管理的相关说明
重要
22
信息通信管理手册
关于信息通信管理手册
重要
23
调峰调频在用技术标准（信息部分）
关于调峰调频在用信息部分技术标
准
重要
24
调峰调频在用技术标准（通信部分）
关于调峰调频在用通信部分技术标
准
重要
25
湖南省电子产品检测分析所办
公自动化系统应急预案
关于湖南省电子产品检测分析所办
公自动化系统应急预案的相关说明
重要
26
调频发电公司网站管理办法（试行）
关于调频发电公司网站管理的相关
说明
重要
3.测评对象与指标
3.1测评指标
测评指标包括基本指标和特殊指标两项
3.1.1基本指标
被测系统的定级结果为：
安全保护等级为2级，业务信息安全等级为S2，系统服务安全等级为A2；则该系统的测评指标应包括GB/T22239-200“8技术要求”中的2级通用指标类（G2），3级业务信息安全指标类（S2），2级系统服务安全指标类（A2），以及第2级“管理要求”中的所有指标类。
本次测评的测评
指标情况具体如下表所示
测评指标
技术/管理
层面
类数量
S类（2级）
A类（2级）
G类（2级）
小计
安全技术
物理安全
1
1
8
10
网络安全
1
0
5
6
主机安全
2
1
3
6
应用安全
4
2
1
7
数据安全
2
1
0
3
安全管理
安全管理制度
0
0
3
3
安全管理机构
0
0
5
5
人员安全管理
0
0
5
5
系统建设管理
0
0
9
9
系统运维管理
0
0
12
12
合计
66
3.1.2特殊指标
根据系统等级保护定级情况及办公业务平台环境，此次测评主要依据等级保护基本要求，不再增加特殊指标
3.2测评对象
测评对象是等级测评的直接工作对象，也是在被测系统中实现特定测评指标所对应的安全功能的具体系统组件，因此，选择测评对象是编制测评方案的必要步骤，也是整个测评工作的重要环节。
恰当选择测评对象的种类和数量是整个等级测评工作能够获取足够证据、了解到被测系统的真实安全保护状况的重要保证。
测评对象的确定一般采用抽查的方法，即：
抽查信息系统中具有代表性的组件作为测评对象。
并且，在测评对象确定任务中应兼顾工作投入与结果产出两者的平衡关系。
3.2.1对象确定原则
在确定测评对象时，需遵循以下原则：
1．恰当性，选择的设备、软件系统等应能满足相应等级的测评强度要求；
2．重要性，应抽查对被测系统来说重要的服务器、数据库和网络设备等；
3．安全性，应抽查对外暴露的网络边界；
4．共享性，应抽查共享设备和数据交换平台/设备；
5．代表性，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统类型。
3.2.2测评对象确定
根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，确定出本次测评的测评对象。
1、物理方面主要是测评屏蔽机房和主机房；
2、网络方面主要测评的设备有：
路由器、交换机、防火墙、IDS、外联检测、
防病毒等。
详细如下表：
序号
功能区域
设备名称
用途
抽查说明
1
外联区
DW3600
（internet）
外部接入路由器
查一台
2
对外服务器区
DW208DW
DW208FW防火墙，
系统内外隔离
查一台
3
DW4006
对外服务区交换
机
查一台
4
IDS
入侵检测设备
查一台
5
接入区
DW6509
核心交换机
查一台
6
1-5楼交换机
接入交换机
查一台
3、主机方面主要测评的主机服务器（包括数据库服务器）如下表所示
序号
设备名称
用途
设备信息
抽查说明
1
应用系统服务器
存储考勤数据
数据与应用系
统部署服务器
型号：
IBMPC服务器
查看一台
4、应用方面主要测评的应用系统如下表：
序号
系统名称
系统描述
抽查说明
1
考勤业务系统
主要完成对本单
抽查
位员工考勤等业
务
5、安全管理，主要测评对象为与信息安全管理有关的策略、制度、操作规程、运行记录、管理人员、技术人员和相关设备设施等。
4.测评方法及工具
4.1测评方法
本次测评方法分为现场测评方法与风险分析方法。
现场测评一般包括访谈、文档审查、配置检查、工具测试和实地察看五个方面。
访谈测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。
在访谈范围上，不同等级信息系统在测评时有不同的要求，基本覆盖所有的安全相关人员类型，在数量上进行抽样。
具体参照GB/TDDDD-DDDD中的二级要求进行。
文档审查检查《基本要求》中二级规定的必须具有的制度、策略、操作规程等文档是否齐备；检查是否有完整的制度执行情况记录，如机房出入登记记录、电子记录、高等级系统的关键设备的使用登记记录等。
检查上述文文档之间是否保持一致性，要求有执行过程记录的，过程记录文档的记录内容应与相应的管理制度和文档保持一致，与实际情况保持一致。
配置检查
根据测评结果记录表格内容，利用上机验证的方式检查应用系统、主机系统、数据库系统以及网络设备的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等）；如果系统在输入无效命令时不能完成其功能，将要对其进行错误测试；针对网络连接，应对连接规则进行验证。
本次测评配置检查的强度是：
满足《基本要求》中的二级要求，测评其实施
的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性。
工具测试根据测评指导书，利用技术工具针对主机、服务器、关键网络设备、安全设备等设备进行包括基于网络探测和基于主机审计的漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等。
实地查看
根据被测系统的实际情况，测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评是否达到了相应等级的安全要求。
风险分析方法是依据安全事件可能性和安全事件后果对信息系统面临的风险进行分析，分析过程包括：
1）判断信息系统安全保护能力缺失（等级测评结果中的部分符合项和不符合项）被威胁利用导致安全事件发生的可能性，可能性的取值范围为高、中和低；
2）判断安全事件对信息系统业务信息安全和系统服务安全造成的影响程度，影响程度取值范围为高、中和低；
3）综合1）和2）的结果对信息系统面临的风险进行汇总和分等级，风险等级的取值范围为高、中和低；
4）结合信息系统的安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。
4.2测评工具
本次测评涉及的工具有漏洞扫描工具、渗透测评工具集等，主要列表如下：
序
号
名称
功能描述
型号
用途
1
绿盟远程安全
评估系统
可扫描各类操作系统、网络设备和应用系统和数据库的漏洞
RSASV5.0
网络、主机、操
作系统和数据库漏洞扫描
2
启明星辰天镜
Web应用漏洞扫描系统
能够扫描WEB网页的漏洞，包括不安全的数据传输、SQL注入、跨站脚本等安全风险，并提供有关风险的解决方案。
CSWS-DZ
WEB漏洞扫描
3
APPSCAN
能够扫描WEB网页的漏洞，包括不安全的数据传输、SQL注入、跨站脚本等安全风险，并提供有关风险的解决方案。
7.1
WEB漏洞扫描
4
Wireshark
网络嗅探工具
Wireshark1.8.1
网络传输数据
分析
5
防病毒软件
病毒检查
360杀毒
病毒检查
6
绿盟配置核查
系统
网络设备、主机、数
据库的安全配置检查
NSFOCUSBVS
V5.0
网络设备、主机、数据库的安全配置检查
4.3工具接入点
本次测评的信息系统为2级信息系统，根据2级信息系统的测评强度要求，在测试的广度上，应基本覆盖不同类型的机制，在数量、范围上可以抽样；在测试的深度上，应执行功能测试和渗透测试，功能测试可能涉及机制的功能规范、高级设计和操作规程等文档，渗透测试可能涉及机制的所有可用文档，并试图智取进入信息系统等。
针对被测系统的网络边界和测评设备、主机和业务应用系统的情况，需要在被测系统及其互联网络中设置6个测试工具接入点――接入点AM到DM，如图7所示，“接入点”标注表示进行工具测试时，需要从该接入点接入，对应的箭头路线表示工具测试数据的主要流向示意。
5.现场测评实施内容
本次测评的单项测评从技术上的物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面和管理上的安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面分别进行。
5.1物理安全
物理安全测评将通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况。
主要涉及对象为屏蔽机房和主机房。
在内容上，物理安全层面测评实施过程涉及10个测评单元，具体如下表所示：
序
测评指标
测评内容描述
号
1
物理位置
通过访谈物理安全负责人、检查机房等过程，测评机房等信息系统物理场所
的选择
在位置上是否具有有防震、防风和防雨等安全防范能力
2
物理访问
通过访谈物理安全负责人，检查机房入口、机房分区域情况等过程，测评信
控制
息系统
3
防盗窃和
通过访谈物理安全负责人、机房维护人员、资产管理员，检查关键设备、线
防破坏
缆、机房防盗报警、介质防盗窃和防破坏情况
4
防雷击
通过访谈物理机房负责人，检查机房建筑，测评无极防雷情况
5
防火
通过访谈物理安全负责人，检查机房等过程，测评物理机房的防火情况
6
防水和防
通过访谈物理安全负责人、机房维护人员，
升级会员 