启明星辰网络安全等级保护第三级建设整改方案v2.0.docx

1、启明星辰网络安全等级保护（第三级）建设/整改方案v2.0北京启明星辰信息安全技术有限公司2017.05. White启明星辰网络安全等级保护（第三级）建设/整改方案v2.0Venus版权声明北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。免责条

2、款本文档依据现有信息制作，其内容如有更改，恕不另行通知。北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。信息反馈如有任何宝贵意见，请反馈：信箱：北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦 邮编：100193 电话：010-82779088 传真：010-82779000您可以访问启明星辰网站：获得最新技术和产品信息。版本变更版本修订时间修订人修订类型修订章节修订内容201705172017-05-17尚高峰创建文档目录框架构建。201705242017

3、-05-24尚高峰 文档首次完稿。201706012017-06-01尚高峰修改全部完成首次整体校稿。*修订类型分为：创建 增加 修改 删除。*对该文件内容的增加、删除或修改均需填写此记录，记载变更信息，保证文档可追溯性。*本文档为OBG解决方案中心输出文档，供公司内部人员阅读、交流、项目运作。目 录版权声明1免责条款1信息反馈1版本变更11概述81.1项目概况81.2方案设计说明81.3方案设计参考依据91.3.1相关政策文件及法律法规91.3.2相关信息安全标准92方案总体设计112.1方案设计原则112.1.1分区分域防护原则112.1.2均衡性保护原则112.1.3技术与管理相结合11

4、2.1.4动态调整与可扩展112.1.5网络安全三同步原则112.2方案设计思路123安全需求分析133.1安全技术需求133.1.1物理和环境安全需求133.1.2网络和通信安全需求143.1.3设备和计算安全需求153.1.4应用和数据安全需求153.2安全管理需求163.2.1安全策略和管理制度163.2.2安全管理机构和人员173.2.3安全建设管理173.2.4安全运维管理174安全策略和方针设计194.1总体安全方针和策略设计194.1.1总体安全方针设计194.1.2总体安全策略设计194.2安全策略具体设计204.2.1物理和环境安全策略204.2.2网络和通信安全策略214.

5、2.3设备和计算安全策略224.2.4应用和数据安全策略225整体安全建设方案245.1物理和环境安全建设245.1.1机房场地的选择245.1.2机房出入控制245.1.3防盗窃和防破坏245.1.4防雷击245.1.5防火245.1.6防水和防潮255.1.7防静电255.1.8温湿度控制255.1.9电力供应255.1.10电磁防护255.2安全技术体系设计方案265.2.1安全计算环境防护设计265.2.2安全区域边界防护设计295.2.3安全通信网络防护设计335.2.4安全管理中心设计345.3安全管理体系设计方案345.3.1安全策略和管理制度设计345.3.2安全管理机构和人员

6、管理设计365.3.3安全建设管理365.3.4安全运维管理366安全防护部署设计方案446.1异常流量及抗DDoS攻击系统446.1.1产品特性446.1.2产品部署476.2下一代防火墙/UTM系统486.2.1产品特性486.2.2产品部署506.3应用交付控制系统506.3.1产品特性506.3.2产品部署536.4入侵防御系统536.4.1产品特性536.4.2产品部署546.5VPN综合安全网关546.5.1产品特性546.5.2产品部署586.6入侵检测系统586.6.1产品特性586.6.2产品部署586.7APT攻击检测系统586.7.1产品特性586.7.2产品部署626.

7、8无线安全管理系统626.8.1产品特性626.8.2产品部署636.9终端安全管理系统636.9.1产品特性646.9.2产品部署666.10漏洞扫描系统666.10.1产品特性666.10.2产品部署676.11Web应用安全防护系统676.11.1产品特性676.11.2产品部署696.12主机安全加固系统696.13安全运维网关696.13.1产品特性696.13.2产品部署726.14安全配置核查系统726.14.1产品特性726.14.2产品部署756.15网络管理监控系统756.16安全审计系统756.16.1Web应用审计756.16.2数据库审计786.16.3综合日志审计8

8、26.17综合安全管理平台836.17.1产品特性836.17.2产品部署916.18专业安全服务916.18.1安全风险评估926.18.2渗透测试服务926.18.3安全加固服务936.18.4代码审计服务946.18.5应急处理服务947方案与等保要求对应96北京启明星辰信息安全技术有限公司1001 概述 1.1 项目概况根据实际项目情况编写。1.2 方案设计说明本方案是根据信息安全技术 网络安全等级保护基本要求 第1部分：安全通用要求的基本要求和安全目标，参照信息安全技术 网络安全等级保护设计技术要求 第1部分：通用设计要求具体内容，针对第三级系统而提出的安全保护等级设计方案。1.3

9、方案设计参考依据本方案构建设计与编制主要参考下述法律、法规和安全标准，具体如下：1.3.1 相关政策文件及法律法规 中华人民共和国计算机信息系统安全保护条例 （国务院147号令） 国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号） 关于信息安全等级保护工作的实施意见（公通字200466号） 关于开展信息系统安全等级保护基础调查工作的通知（公信安20051431号） 信息安全等级保护管理办法（公通字200743号） 关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号） 关于开展信息安全等级保护安全建设整改工作的指导意见(公信安20091429号) 关

10、于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安2010303号） 全国人民代表大会常务委员会关于加强网络信息保护的决定 中华人民共和国网络安全法1.3.2 相关信息安全标准 信息技术 安全技术 信息安全管理体系要求（ISO/IEC 27001:2013） 信息技术 安全技术 信息安全控制实用规则（ISO/IEC 27002：2013） 计算机信息系统安全保护等级划分准则（GB 17859-1999） 信息安全技术 信息安全风险评估规范（GB/T 20984-2007） 信息安全技术 网络安全等级保护基本要求 第1部分：安全通用要求（GB/T 22239.1-20XX） 信息

11、安全技术 信息系统安全等级保护定级指南（GB/T 222402008） 信息安全技术 网络安全等级保护设计技术要求 第1部分：通用设计要求（GB/T 25070.1-20XX） 号）信息安全技术 信息系统安全等级保护实施指南（GB-T 25058-20XX） 信息安全技术 网络安全等级保护测评要求 第1部分：安全通用要求（GB-T 28448.1-20XX） 信息安全技术 网络安全等级保护测评过程指南（GB-T 28449-20XX）2 方案总体设计 2.1 方案设计原则2.1.1 分区分域防护原则任何安全措施都不是绝对安全可靠的，为保障攻破一层或一类保护的攻击行为而不会破坏整个信息系统，以达

12、到纵深防御的安全目标，需要合理划分安全域，综合采用多种有效安全保护措施，实施多层、多重保护。2.1.2 均衡性保护原则对任何类型网络，绝对安全难以达到，也不一定是必须的，需正确处理安全需求、安全风险与安全保护代价的关系。因此，结合适度防护实现分等级安全保护，做到安全性与可用性平衡，达到技术上可实现、经济上可执行。2.1.3 技术与管理相结合信息安全涉及人、技术、操作等方面要素，单靠技术或单靠管理都不可能实现。因此在考虑信息信息安全时，必须将各种安全技术与运行管理机制、人员思想教育、技术培训、安全规章制度建设相结合。2.1.4 动态调整与可扩展由于网络安全需求会不断变化，以及环境、条件、时间的限

13、制，安全防护一步到位，一劳永逸地解决信息安全问题是不现实的。信息安全保障建设可先保证基本的、必须的安全保护，后续再根据应用和网络安全技术的发展，不断调整安全策略，加强安全防护力度，以适应新的网络安全环境，满足新的信息安全需求。2.1.5 网络安全三同步原则信息系统在新建、改建、扩建时应当同步建设信息安全设施，确保其具有支持业务稳定、持续运行性能的同时，保证安全技术措施同步规划、同步建设、同步使用，以保障信息安全与信息化建设相适应。2.2 方案设计思路参考等级保护安全设计要求，本方案的设计思路如下： 根据信息系统的安全定级结果，明确该等级对应的总体防护描述； 根据系统和子系统划分结果、安全定级结果将保护对象归类，并组成保护对象框架； 根据方案的设计目标来建立整体保障框架，来指导整个等级保护方案的设计，明确关键的安全要素、流程及相互关系；在安全措施框架细化后将补充到整体保障框架中； 根据此等级受到的威胁对应出该等级的保护要求（即需求分析），并分布到物理和环境、网络和通信、设备与计算、应用和数据等层面上； 根据由威胁引出的等级保护基本要求、等级保护实施过程、整体保障框架来确定总体安全策略（即总体安全目标），再根据等级保护的要求将总体安全策略细分为不同的具体策略（即具体安全目标），包括安全域内部、安全域边界和安全域互联策略； 根据保护对象框架、