信息安全等级保护建设方案详细Word格式.docx

1、中办200327号文件（关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知）公通字200466号文件（关于印发信息安全等级保护工作的实施意见的通知）公通字200743号文件（关于印发信息安全等级保护管理办法的通知）公信安20091429关于开展信息安全等级保护安全建设整改工作的指导意见全国人大关于加强网络信息保护的决定国发201223号国务院关于大力推进信息化发展和切实保障信息安全的若干意见国发20137号国务院关于推进物联网有序健康发展的指导意见公信安20142182号关于加强国家级重要信息系统安全保障工作有关事项的通知（ 公信安20142182号） 等级保护GB 17859-1

2、999 计算机信息系统安全保护等级划分准则GB/T25058-2010 信息系统安全等级保护实施指南系统定级GB/T 22240-2008 信息安全技术 信息系统安全保护等级定级指南技术方面GB/T25066-2010 信息安全产品类别与代码GB/T17900-1999 网络代理服务器的安全技术要求GB/T20010-2005 包过滤防火墙评估准则GB/T20281-2006 防火墙技术要求和测试评价方法GB/T18018-2007 路由器安全技术要求GB/T20008-2005 路由器安全评估准则GB/T20272-2006 操作系统安全技术要求GB/T20273-2006 数据库管理系统安

3、全技术要求GB/T20009-2005 数据库管理系统安全评估准则GB/T20275-2006 入侵检测系统技术要求和测试评价方法GB/T20277-2006 网络和终端设备隔离部件测试评价方法GB/T20279-2006 网络和终端设备隔离部件安全技术要求GB/T20278-2006 网络脆弱性扫描产品技术要求GB/T20280-2006 网络脆弱性扫描产品测试评价方法GB/T20945-2007 信息系统安全审计产品技术要求和测试评价方法GB/T 21028-2007 服务器安全技术要求GB/T25063-2010 服务器安全侧评要求GB/T 21050-2007 网络交换机安全技术要求（

4、EAL3）GB/T28452-2012 应用软件系统通用安全技术要求GB/T29240-2012 终端计算机通用安全技术要求与测试评价方法GB/T28456-2012 IPsec协议应用测试规GB/T28457-2012 SSL协议应用测试规管理方面GB/T20269-2006 信息系统安全管理要求GB/T28453-2012 信息系统安全管理评估要求GB/T20984-2007 信息安全风险评估规GB/T24364-2009 信息安全风险管理指南GB/T20985-2007 信息安全事件管理指南GB/T20986-2007 信息安全事件分类分级指南GB/T20988-2007 信息系统灾难恢

5、复规方案设计GB/T25070-2010 信息系统等级保护安全设计技术要求等保测评GB/T28448-2012 信息系统安全等级保护测评要求GB/T28449-2012 信息系统安全等级保护测评过程指南1.3.方案设计原则针对本次项目，等级保护整改方案的设计和实施将遵循以下原则：性原则：我司对安全服务的实施过程和结果将严格，在未经用户方授权的情况下不会泄露给任何单位和个人，不会利用此数据进行任何侵害客户权益的行为； 标准性原则：服务设计和实施的全过程均依据国或国际的相关标准进行；根据等级保护二级基本要求，进行分等级分安全域进行安全设计和安全建设。规性原则：我司在各项安全服务工作中的过程和文档，

6、都具有很好的规性（市学家科技安全服务实施规），可以便于项目的跟踪和控制；可控性原则：服务所使用的工具、方法和过程都会在深信服与用户方双方认可的围之，服务进度遵守进度表的安排，保证双方对服务工作的可控性；整体性原则：服务的围和容整体全面，涉与的IT运行的各个层面，避免由于遗漏造成未来的安全隐患；最小影响原则：服务工作尽可能小的影响信息系统的正常运行，不会对现有业务造成显著影响。体系化原则：在体系设计、建设中，深信服充分考虑到各个层面的安全风险，构建完整的立体安全防护体系。先进性原则：为满足后续不断增长的业务需求、对安全产品、安全技术都充分考虑前瞻性要求，采用先进、成熟的安全产品、技术和先进的管理

7、方法。分步骤原则：根据用户方要求，对用户方安全保障体系进行分期、分步骤的有序部署。服务细致化原则：在项目咨询、建设过程中深信服将充分结合自身的专业技术经验与行业经验相结合，结合用户方的实际信息系统量身定做才可以保障其信息系统安全稳定的运行。2.系统现状分析2.1.系统定级情况说明学校综合考虑了学校信息系统、学校信息系统的业务信息和系统服务类型，以与其受到破坏时可能受到侵害的客体以与受侵害的程度，经学校省公安厅的批准，已将学校系统等级定为等级保护第二级（S2A2G2），整体网络信息化平台按照二级进行建设。2.2.业务系统说明学校本次参加整改的共有X个信息系统，分别是学校系统、学校系统、学校系统、

8、学校系统，具体情况介绍如下：学校门户系统：2012年门户（网络版）历经系统开发、模拟测试、网络、硬件设备安装部署，在试点和实施过程当中发现系统仍有不足之处，需要对系统进行深入完善和改进，主要考虑到由于门户（网络版）作为学校集中部署的网络化重要业务系统，其具有应用面广、用户规模大，并涉与到学校对互联网形象，以与基于公众网上部署的特性，因此系统自身和运行环境均存在一定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。学校OA系统：目前学校旧OA系统准备停用，并且已经开发和准备上线新的业务系统，新的业务系统目前准备对公网直接公开访问，因此涉与到

9、的能够访问到业务系统的规模比较大，而且整个网络相对会比较复杂、流量多变，所以系统任有较多不足，在本次建设过程中应该加强安全建设，系统自身和运行环境均存在一定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。2.3.网络结构说明学校信息系统网络拓扑图现状如下：3.安全需求分析3.1.物理安全需求分析目前在机房建设方面还存在如下问题：1、物理访问控制；2、防雷击；3、防火墙；4、防水防潮；5、温湿度控制；3.2.网络安全需求分析边界入侵防：该信息系统无法实现对边界的访问控制，需要部署下一代署防火墙等安全设备来实现。防web攻击和网页防篡改：安

10、全域边界安全审计：该信息系统无法实现对边界的访问控制，需要部署署网络安全审计等安全设备来实现。3.3.主机安全需求分析主机防病毒：该信息系统缺少主机防病毒的相关安全策略，需要配置网络版主机防病毒系统，从而实现对全网主机的恶意代码防。数据库审计：该信息系统缺少针对数据的审计设备，不能很好的满足主机安全审计的要求，需要部署专业的数据库审计设备。运维堡垒机：该该信息系统无法实现管理员对网络设备和服务器进行管理时的双因素认证，需要部署堡垒机来实现。漏洞扫描：需要部署漏洞扫描实现对全网漏洞的扫描。3.4.应用安全需求分析通信完整性和性：该信息系统无法实现对边界的访问控制，需要部署SSL VPN等安全设备

11、来实现。3.5.数据安全需求分析备份与恢复：该该信息系统没有完善的数据备份与恢复方案，需要制定相关策略。同时，该信息系统没有实现对关键网络设备的冗余，建议部署双链路确保设备冗余。3.6.安全管理制度需求分析根据前期差距分析结果，该单位还欠缺较多安全管理制度，需要后续补充。4.总体方案设计4.1.总体设计目标学校的安全等级保护整改方案设计的总体目标是依据国家等级保护的有关标准和规，结合学校信息系统的现状，对其进行重新规划和合规性整改，为其建立一个完整的安全保障体系，有效保障其系统业务的正常开展，保护敏感数据信息的安全，保证学校信息系统的安全防护能力达到信息安全技术 信息系统安全等级保护基本要求中

12、第二级的相关技术和管理要求。4.2.总体安全体系设计本项目提出的等级保护体系模型，必须依照国家等级保护的相关要求，利用密码、代码验证、可信接入控制等核心技术，在“一个中心三重防御”的框架下实现对信息系统的全面防护。整个体系模型如下图所示：安全管理中心安全管理中心是整个等级保护体系中对信息系统进行集中安全管理的平台，是信息系统做到可测、可控、可管理的必要手段和措施。依照GB/T25070-2010 信息系统等级保护安全设计技术要求中对安全管理中心的要求，一个符合基于可信计算和主动防御的等级保护体系模型的安全管理中心应至少包含以下三个部分：系统管理实现对系统资源和运行的配置。控制和管理，并对系统管

13、理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计。安全管理实现对系统中的主体、客体进行统一标记，对主体进行授权，配置一致的安全策略，确保标记、授权和安全策略的数据完整性，并对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并进行审计。审计管理实现对系统各个组成部分的安全审计机制进行集中管理，包括根据安全审计策略对审计记录进行分类；提供按时间段开启和关闭相应类型的安全审计机制；对各类审计记录进行存储、管理和查询等；对审计记录应进行分析，根据分析结果进行处理。此外，对安全审计员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审

14、计操作。此外，安全管理中心应做到技术与管理并重，加强在安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等方面的管理力度，规安全管理操作规程，建立完善的安全管理制度集。安全计算环境参照基于可信计算和主动防御的等级保护模型，安全计算环境可划分成节点和典型应用两个子系统。在解决方案中，这两个子系统都将通过终端安全保护体系的建立来实现。信息安全事故的源头主要集中在用户终端，要实现一个可信的、安全的计算环境，就必须从终端安全抓起。因此，依照等级保护在身份鉴别，访问控制（包括强制访问控制）、网络行为控制（包括上网控制、违规外联的控制）、应用安全、数据安全、安全审计等方面的技术要求，可充

15、分结合可信计算技术和主动防御技术的先进性和安全性，提出一个基于可信计算和主动防御的终端安全保护体系模型，以实现从应用层、系统层、核心层三个方面对计算环境的全面防护。安全区域边界为保护边界安全，本解决方案针对构建一个安全的区域边界提出的解决手段是在被保护的信息边界部署一个“应用访问控制系统”。该系统应可以实现以下功能：信息层的自主和强制访问控制、防SQL注入攻击和跨站攻击、抗DoS/DDoS攻击端口扫描、数据包过滤、网络地址换、安全审计等。由于国外在这一方面的相关技术非常成熟，因此，在本次系统整改总体设计中更多的是考虑如何将防火墙、防病毒网关、网络安全审计系统、IDS、IPS、网管系统等有机地结

16、合在一起，实现协同防护和联动处理。此外，对于不同安全等级信息系统之间的互连边界，可根据依照信息流向的高低，部署防火墙或安全隔离与信息交换系统，并配置相应的安全策略以实现对信息流向的控制。安全通信网络目前，在通信网络安全方面，采用密码等核心技术实现的各类VPN都可以很有效的解决这类问题，达到在满足等级保护相关要求的同时，可灵活提高通信网络安全性的效果。4.3.总体网络架构设计学校网络架构整体设计如下：4.4.安全域划分说明安全域的划分是网络防护的基础，事实上每一个安全边界所包含的区域都形成了一个安全域。这些区域具有不同的使命，具有不同的功能，分域保护的框架为明确各个域的安全等级奠定了基础，保证了

17、信息流在交换过程中的安全性。在本项目中，将严格按照信息系统的重要性和网络使用的逻辑特性划分安全域，将划分如下确定的安全域：互联网出口域，该区域说明如下：专网出口域，该区域说明如下：主要承载互联网出口，出口主干需要部署相应的安全边界产品。终端接入域，该区域说明如下：主要是无线和有线终端接入；对外服务器域，该区域说明如下：该区域主要承载对外发布服务器，比如学校的；部服务器域，该区域说明如下：主要承载对的服务器和存储，比如OA和学校专业先关零时性的试验服务器。安全管理域，该区域说明如下：主要承载网络管理先关设备，比如网管系统，防病毒升级服务器等。5.详细方案设计技术部分5.1.物理安全根据GB/T2

18、5070-2010 信息系统等级保护安全设计技术要求中物理安全的要求，应从以下方面进行整改：5.2.网络安全5.2.1.安全域边界隔离技术根据信息系统安全等级保护基本要求，应该在学校各安全域的边界处部署防火墙设备，保证跨安全域的访问都通过防火墙进行控制管理。因此，在互联网出口域边界部署下一代防火墙，在网服务器区域边界部署WEB应用防火墙。5.2.2.入侵防技术根据等级保护基本要求，二级业务系统应该在互联网出口处实现入侵防功能，因此，在互联网出口的下一代防火墙上启用入侵防御模块非常有必要。二级业务系统应该在互联网出口处部署网络层防病毒设备，并保证与主机层防病毒实现病毒库的异构。因此，在互联网出口

19、的下一代防火墙上启用防病毒模块非常有必要。5.2.3.网页防篡改技术学校承载了学校等重要职责，暴露在互联网上，随时会面临网页被篡改与黑客攻击的危险，因此，在互联网出口的下一代防火墙上启用网页防篡改功能非常有必要。5.2.4.链路负载均衡技术根据等级保护基本要求，二级业务系统应该在互联网出口处进行优化控制，保证用户访问选择最优的链路。因此，建议在二期部署一套专业的链路负载均衡设备非常有必要。5.2.5.网络安全审计针对用户访问业务系统带给我们的困扰以与诸多的安全隐患，必须部署一套日志审计系统利用实时跟踪分析技术，从发起者、访问时间、访问对象、访问方法、使用频率各个角度，提供丰富的统计分析报告，帮

20、助用户在统一管理互联网访问日志的同时，与时发现安全隐患，协助优化网络资源的使用。根据公安部等级保护基本要求，所有信息系统都需要部署日志审计系统，并保存3个月的日志，学校拥有庞大的网络海量的数据交换，目前还没有部署日志审计系统。因此，建议在二期部署一套日志审计系统对全网行为进行监控、日志进行记录。部署设计：日志审计系统旁路部署在核心交换上，实现全网的网络行为的统一审计，收集网络设备、安全设备、主机系统等设备的运行状况、网络流量、用户行为等日志信息，并对收集到的日志信息进行分类和关联分析，并可根据审计人员的操作要求生成统计报表，方便查询和生成报告，为网络事件追溯提供证据。5.3.主机安全5.3.1

21、.数据库安全审计建议在二期部署数据库审计系统，实现对用户行为、用户事件与系统状态加以审计，围覆盖到每个用户，从而把握数据库系统的整体安全。数据库审计部署于数据库前端交换机上，通过端口镜像收集信息。5.3.2.运维堡垒主机对运维的管理现状进行分析，我们认为造成这种不安全现状的原因是多方面的，总结起来主要有以下几点：各IT系统独立的管理体系造成身份管理的换乱，而身份的唯一性又恰恰是认证、授权、审计的依据和前提，因此身份的混乱实际上造成设备访问的混乱。各IT系统独立管理，风险分散在各系统中，各个击破困难大，这种管理方式造成了业务管理和安全之间的失衡。核心服务器或设备的物理安全和临机访问安全通过门禁系

22、统和录像系统得以较好的解决，但是对他们的网络访问缺少控制或欠缺控制力度，在、密码、认证、授权、审计等各方面缺乏有效的集中管理技术手段。目前，学校使用数量众多的网络设备、服务器主机来提供基础网络服务、运行关键业务、数据库应用、ERP和协同工作群件等服务。由于设备和服务器众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况时有发生，这严重影响信息系统的运行效能，另外黑客的恶意访问也有可能获取系统权限，闯入部门部网络，造成不可估量的损失。如何提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足相关标准要求，越来越成为信息系统

23、关心的问题，因此建议在学校二期安全建设有必要部署一套运维堡垒主机来实现账户的安全维护。运维审计系统部署在安全管理域，通过交换机的访问控制策略限定只能由堡垒主机控管理平台直接访问服务器的远程维护端口。维护人员对网络设备、安全设备和服务器系统进行远程维护时，首先以 Web 方式登录运维审计系统，然后通过运维审计系统上展现的访问资源列表直接访问授权资源。5.3.3.主机防病毒技术学校目前网络所有终端使用免费的杀毒软件，基本满足等级保护二级的要求，但是现在主要服务器并没有部署专业的杀毒软件，建议第一期部署杀毒软件。部署设计软件客户端部署在外防服务器上面，通过管理区域防病毒升级服务器对病毒规则库进行升级

24、。5.4.应用安全根据等级保护的要求，二级业务系统必须加密传输，因此需要部署SSL VPN技术实现应用系统远程访问的加密，如果后期OA系统需要实现出差老师或则在外网的人能够访问需要上SSL VPN设备。SSL VPN旁路部署于核心交换机上。6.详细方案设计管理部分安全管理体系的作用是通过建立健全组织机构、规章制度，以与通过人员安全管理、安全教育与培训和各项管理制度的有效执行，来落实人员职责，确定行为规，保证技术措施真正发挥效用，与技术体系共同保障安全策略的有效贯彻和落实。信息安全管理体系主要包括组织机构、规章制度、人员安全、安全教育和培训等四个方面容。6.1.总体安全方针与安全策略总体安全方针

25、与安全策略是指导用户方所有信息安全工作的纲领性文件，是信息安全决策机构对信息安全工作的决策和意图的表述。总体安全方针与安全策略的作用在于统一对信息安全工作的认识，规定信息安全的基本架构，明确信息安全的根本目标和原则。本次项目中深信服将协助用户方确定安全管理体系的层次与建立方式，明确各层次在安全管理体系中的职责以与安全策略，建立具有高可操作性的考核体系，以加强安全策略与各项管理制度的可落实性。我方为用户方设计的总体安全方针与安全策略将具备以下特性：安全策略紧紧围绕行业的发展战略，符合用户方实际的信息安全需求，能保障与促进信息化建设的顺利进行，避免理想化与不可操作性。总体安全方针与安全策略中将明确

26、阐述用户方所有信息化建设项目在规划设计、开发建设、运行维护和变更废弃等各阶段，应遵循的总体原则和要求。安全策略在经过用户方信息安全决策机构批准之后，将具备指导和规信息安全工作的效力。安全策略中将规定其自身的时效性，当信息系统运行环境发生重大变化时，我方将协助用户方与时对总体安全策略进行必要的调整，并将调整后的策略提交用户方信息安全决策机构批准。6.2.信息安全管理制度根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是具有可操作性，且必须得到有效推行和实施的制度。制定严格的制

27、定与发布流程，方式，围等，制度需要统一格式并进行有效版本控制；发布方式需要正式、有效并注明发布围，对收发文进行登记。信息安全领导小组负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定，定期或不定期对安全管理制度进行评审和修订，修订不足与进行改进。6.3.安全管理机构根据基本要求设置安全管理机构的组织形式和运作方式，明确岗位职责；设置安全管理岗位，设立系统管理员、网络管理员、安全管理员等岗位，根据要求进行人员配备，配备专职安全员；成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。建

28、立授权与审批制度；建立外部沟通合作渠道；定期进行全面安全检查，特别是系统日常运行、系统漏洞和数据备份等。6.4.人员安全管理人员安全管理主要包括人员录用、离岗、考核、教育培训等容。一般单位都有统一的人事管理部门负责人员管理，这里的人员安全管理主要指对关键岗位人员进行的以安全为核心的管理，例如对关键岗位的人员采取在录用或上岗前进行全面、严格的安全审查和技能考核，与关键岗位人员签署协议，对离岗人员撤销系统和相关权限等措施。只有注重对安全管理人员的培养，提高其安全防意识，才能做到安全有效的防，因此需要对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训。培训的容包括单位的信息安全方针、信息安全方面的基础知识、安全技术、安全标准、岗位操作规程、最新的工作流程、相关的安全责任要求、法律责任和惩戒措施等。具体依据标准基本要求中人员安全管理，同时可以参照信息系统安全管理要求等。6.5.系统建设管理系统建设管理的重点是与系统建设活动相关的过程管理，由于主要的建设活动是由服务方，如集成