XX学院等保三级设计方案Word文件下载.docx

1、2、建设目标本次XX市XX学院业务系统等级保护安全建设的主要目标是：按照等级保护要求，结合实际业务系统，对学院核心业务系统进行充分调研及详细分析，将学院核心业务系统系统建设成为一个及满足业务需要，又符合等级保护三级系统要求的业务平台。建设一套符合国家政策要求、覆盖全面、重点突出、持续运行的信息安全保障体系，达到国内一流的信息安全保障水平，支撑和保障信息系统和业务的安全稳定运行。该体系覆盖信息系统安全所要求的各项内容，符合信息系统的业务特性和发展战略，满足学院信息安全要求。本方案的安全措施框架是依据“积极防御、综合防范”的方针，以及“管理与技术并重”的原则，并结合等级保护基本要求进行设计。技术体

2、系：网络层面：关注安全域划分、访问控制、抗拒绝服务攻击，针对区域边界采取防火墙进行隔离，并在隔离后的各个安全区域边界执行严格的访问控制，防止非法访问；利用漏洞管理系统、网络安全审计等网络安全产品，为客户构建严密、专业的网络安全保障体系。应用层面：WEB应用防火墙能够对WEB应用漏洞进行预先扫描，同时具备对SQL注入、跨站脚本等通过应用层的入侵动作实时阻断，并结合网页防篡改子系统，真正达到双重层面的“网页防篡改”效果。数据层面，数据库将被隐藏在安全区域，同时通过专业的安全加固服务对数据库进行安全评估和配置，对数据库的访问权限进行严格设定，最大限度保证数据库安全。同时，利用SAN、远程数据备份系统

3、有效保护重要数据信息的健康度。管理体系：在安全管理体系的设计中，我们借助丰富的安全咨询经验和对等级保护管理要求的清晰理解，为用户量身定做符合实际的、可操作的安全管理体系。安全服务体系：风险评估服务：评估和分析在网络上存在的安全技术分析，分析业务运作和管理方面存在的安全缺陷，调查系统现有的安全控制措施，评价用户的业务安全风险承担能力；安全监控服务：通过资深的安全专家对各种安全事件的日志、记录实时监控与分析，发现各种潜在的危险，并提供及时的修补和防御措施建议；渗透测试服务：利用网络安全扫描器、专用安全测试工具和专业的安全工程师的人工经验对网络中的核心服务器及重要的网络设备进行非破坏性质的模拟黑客攻

4、击，目的是侵入系统并获取机密信息并将入侵的过程和细节产生报告给用户；应急响应服务：针对信息系统危机状况的紧急响应、分析、解决问题的服务，当信息系统发生意外的突发安全事件时，可以提供紧急的救援措施。方案收益实施信息安全等级保护建设工作可以为高校信息化建设实现如下收益： 有利于提高信息和信息系统安全建设的整体水平； 有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设协调发展； 有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本； 有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障重要信息系统的安全； 有利于明确信息安全责任

5、，加强信息安全管理； 有利于推动信息安全的发展三、设计原则及依据1、设计原则根据学院的要求和国家有关法规的要求，本系统方案设计遵循性能先进、质量可靠、经济实用的原则，为实现学院等级保护管理奠定了基础。 全面保障：信息安全风险的控制需要多角度、多层次，从各个环节入手，全面的保障。 整体规划，分步实施：对信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。 同步规划、同步建设、同步运行：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。 适度安全：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。 内外并重：

6、安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和访问控制、监控和审计能力。 标准化管理要规范化、标准化，以保证在能源行业庞大而多层次的组织体系中有效的控制风险。 技术与管理并重：网络与信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。2、设计依据根据学院现有情况，本次方案的设计严格按照现行中华人民共和国以及内蒙古自治区与行业的工程建设标准、规范的要求执行。在后期设计或实施过程中，如国家有新法规、规范颁布，应以新颁布的法规规范为准。本方案执行下列有关技术标准、规范、规程但不限于以下技术标准

7、、规范、规程。 计算机信息系统安全等级保护划分准则 （GB 17859-1999） 信息系统安全等级保护实施指南 （GB/T 25058-2010） 信息系统安全保护等级定级指南 （GB/T 22240-2008） 信息系统安全等级保护基本要求 （GB/T 22239-2008） 信息系统通用安全技术要求 （GB/T 20271-2006） 信息系统等级保护安全设计技术要求 （GB/T 25070-2010） 信息系统安全等级保护测评要求 （GB/T 28448-2012） 信息系统安全等级保护测评过程指南 （GB/T 28449-2012） 信息系统安全管理要求 （GB/T 20269-20

8、06） 信息系统安全工程管理要求 （GB/T 20282-2006） 信息系统物理安全技术要求 （GB/T 21052-2007） 网络基础安全技术要求 （GB/T 20270-2006） 操作系统安全技术要求 （GB/T 20272-2006） 数据库管理系统安全技术要求 （GB/T 20273-2006） 信息安全风险评估规范 （GB/T 20984-2007） 信息安全事件管理指南 （GB/T 20985-2007） 信息安全事件分类分级指南 （GB/Z 20986-2007） 信息系统灾难恢复规范 （GB/T 20988-2007）四、方案整体设计1、信息系统定级确定信息系统安全保护等

9、级的流程如下： 识别单位基本信息了解单位基本信息有助于判断单位的职能特点，单位所在行业及单位在行业所处的地位和所用，由此判断单位主要信息系统的宏观定位。 识别业务种类、流程和服务应重点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面具体方式和程度，影响的区域范围、用户人数、业务量的具体数据以及对本单位以外机构或个人的影响等方面。这些具体数据即可以为主管部门制定定级指导意见提供参照，也可以作为主管部门审批定级结果的重要依据。 识别信息调查了解定级对象信息系统所处理的信息，了解单位对信息的三个安全属性的需求，了解不同业务数据在其保密性、完整性和可用性被破坏后在单位职能、单位资金、

10、单位信誉、人身安全等方面可能对国家、社会、本单位造成的影响，对影响程度的描述应尽可能量化。 识别网络结构和边界调查了解定级对象信息系统所在单位的整体网络状况、安全防护和外部连接情况，目的是了解信息系统所处的单位内部网络环境和外部环境特点，以及该信息系统的网络安全保护与单位内部网络环境的安全保护的关系。 识别主要的软硬件设备调查了解与定级对象信息系统相关的服务器、网络、终端、存储设备以及安全设备等，设备所在网段，在系统中的功能和作用。调查设备的位置和作用主要就是发现不同信息系统在设备使用方面的共用程度。 识别用户类型和分布调查了解各系统的管理用户和一般用户，内部用户和外部用户，本地用户和远程用户

11、等类型，了解用户或用户群的数量分布，判断系统服务中断或系统信息被破坏可能影响的范围和程度。 根据信息安全等级矩阵表，形成定级结果1、等级保护完全实施过程2、能力、措施和要求3、基本安全要求4、系统的控制类和控制项5、物理安全保护要求物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。物理安全具体包括以下10个控制点： 物理位置的选择（G） 物理访问控制（G） 防盗窃和防破坏（G） 防雷击（G） 防火（G） 防水和防潮（G） 防静电（G） 温湿度控制（G） 电力供应（A） 电磁防护（S）整改要点：6、网络安全保护要求网络安全主要关注的方面包括：网络结构、网络

12、边界以及网络设备自身安全等。网络安全具体包括以下7个控制点： 结构安全（G） 访问控制（G） 安全审计（G） 边界完整性检查（A） 入侵防范（G） 恶意代码防范（G） 网络设备防护（G）。7、主机安全保护要求主机系统安全是包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的安全。主机安全具体包括以下7个控制点： 身份鉴别（S） 访问控制（S） 剩余信息保护（S） 资源控制（A）8、应用安全保护要求应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等。应用安全具体包括以下9个控制点： 通信完整性（S） 通

13、信保密性（S） 抗抵赖（G） 软件容错（A）9、数据安全与备份恢复数据安全主要是保护用户数据、系统数据、业务数据的保护。将对数据造成的损害降至最小。备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括数据备份、硬件冗余和异地实时备份。数据安全和备份恢复具体包括以下3个控制点： 数据完整性（S） 数据保密性（S）、 备份和恢复（A）10、安全管理制度安全管理制度包括信息安全工作的总体方针、策略、规范各种安全管理活动的管理制度以及管理人员或操作人员日常操作的操作规程。安全管理制度具体包括以下3个控制点： 管理制度 制定和发布 评审和修订形成信息安全管理制度体系、统一发布、定期修订等11、安全管

14、理机构安全管理机构主要是在单位的内部结构上建立一整套从单位最高管理层（董事会）到执行管理层以及业务运营层的管理结构来约束和保证各项安全管理措施的执行。安全管理机构具体包括以下5个控制点： 岗位设置 人员配备 授权和审批 沟通和合作 审核和检查信息安全领导小组与职能部门、专职安全员、定期全面安全检查、定期协调会议、外部沟通与合作等12、人员安全管理对人员安全的管理，主要涉及两方面： 对内部人员的安全管理和对外部人员的安全管理。人员安全管理具体包括以下5个控制点： 人员录用 人员离岗 人员考核 安全意识教育及培训 外部人员访问管理全员保密协议、关键岗位人员管理、针对不同岗位的培训计划、外部人员访问

15、管理13、系统建设管理系统建设管理分别从定级、设计建设实施、验收交付、测评等方面考虑，关注各项安全管理活动。系统建设管理具体包括以下11个控制点： 系统定级 安全方案设计 产品采购和使用 自行软件开发 外包软件开发 工程实施 测试验收 系统交付 系统备案 等级测评 安全服务商选择系统定级的论证、总体规划、产品选型测试、开发过程的人员控制、工程实施制度化、第三方委托测试、运行起30 天内备案、每年进行1次等级测评、安全服务商的选择14、系统运维管理系统运维管理涉及日常管理、变更管理、制度化管理、安全事件处置、应急预案管理和安管中心等。系统运维管理具体包括以下13个控制点： 环境管理 资产管理 介

16、质管理 设备管理、 监控管理和安全管理中心 网络安全管理 系统安全管理 恶意代码防范管理 密码管理 变更管理 备份与恢复管理 安全事件处置 应急预案管理办公环境保密性、资产的标识和分类管理、介质/设备/系统/网络/密码/备份与恢复的制度化管理、建立安全管理中心、安全事件分类分级响应、 应急预案的演练和审查。本次等保三级方案主要针对学院现有的网络系统进行设计。2、等级保护建设流程整体的安全保障体系包括技术和管理两大部分，其中技术部分根据信息系统安全等级保护基本要求分为物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行建设；而管理部分根据信息系统安全等级保护基本要求则分为安全管理制度、安

17、全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。整个安全保障体系各部分既有机结合，又相互支撑。之间的关系可以理解为“构建安全管理机构，制定完善的安全管理制度及安全策略，由相关人员，利用技术工手段及相关工具，进行系统建设和运行维护。”据等级化安全保障体系的设计思路，等级保护的设计与实施通过以下步骤进行：1. 系统识别与定级：确定保护对象，通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以及确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。2. 安

18、全域设计：根据第一步的结果，通过分析系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。3. 确定安全域安全要求：参照国家相关等级保护安全要求，设计不同安全域的安全要求。通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。4. 评估现状：根据各等级的安全要求确定各等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为

19、下一步安全技术解决方案设计和安全管理建设提供依据。5. 安全保障体系方案设计：根据安全域框架，设计系统各个层次的安全保障体系框架以及具体方案。包括：各层次的安全保障体系框架形成系统整体的安全保障体系框架；详细安全技术设计、安全管理设计。6. 安全建设：根据方案设计内容逐步进行安全建设，满足方案设计做要符合的安全需求，满足等级保护相应等级的基本要求，实现按需防御。7. 持续安全运维：通过安全预警、安全监控、安全加固、安全审计、应急响应等，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。通过如上步骤，系统可以形成整体的等级化的安全保障体系，同时根据安全

20、技术建设和安全管理建设，保障系统整体的安全。而应该特别注意的是：等级保护不是一个项目，它应该是一个不断循环的过程，所以通过整个安全项目、安全服务的实施，来保证用户等级保护的建设能够持续的运行，能够使整个系统随着环境的变化达到持续的安全。2、网络系统现状分析XX市XX学院在2013年正式搬迁到职教园区内，同时新建了整套校园网络，后期又经过陆陆续续的升级和改造，现已建成如下情况。1、网络架构拓扑图1、内部数据交换如上拓扑图所示，学院有无线和有线两套网络提供使用，整网采用纵向三层设计，分别是核心层、汇聚层和接入层。教学和办公网使用单独的核心交换机S12006上联至数据中心核心交换机N18010，避免

21、了在接入区域和宿舍楼数据的混合。2、网络出口整网有两条互联网出口链路，无线用户和有线用户各使用一条链路，每条链路各采用独立的一台出口网关进行转发。3、网络安全安全设计分为对外部数据的安全保障和对本地内部数据的安全保障，现有一台防火墙部署在出口网关与核心交换机之间，保障了对外部有害数据的防范。内部服务器区域部署了一台服务器防护WG，下联各服务器，上联核心交换机，保障服务器的安全性。其它设备有网络管理系统、Portal认证系统、计费系统、日志记录系统、用户自助系统等。2、可能存在的风险XX学院内部的网络比较复杂，加上无线网络的全面覆盖，使用人群多种多样，因此网络安全是XX学院校园网运行过程中所面临

22、的实际问题。1、来自硬件系统的安全威胁硬件的安全问题也可以分为两种，一种是物理安全，一种是设置安全。物理安全是指由于物理设备的放置不合适或者防范不得力，使得服务器、交换机、路由器等网络设备，缆和双绞线等网络线路以及UPS和电缆线等电源设备遭受意外事故或人为破坏，造成网络不能正常运行。设置安全是指在设备上进行必要的设置，如服务器、交换机的密码等，防止黑客取得硬件设备的远程控制权。2、来自学院网络内部的安全威胁校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，特别是在校学生，学校通常不能有效的规范和约束学生的上网行为，学生会经常的监听或扫描学校网络，因此来自内部的安全威

23、胁更难应付。3、来自Internet的威胁Internet上有各种不同内容的网站，这些形形色色、良莠不齐的网络资源不但会占用大量流量资源，造成网络堵塞、上网速度慢等问题，而且由于校园网与Internet相连，校园网也就面临着遭遇攻击的风险。4、系统或软件的漏洞目前使用的操作系统和应用软件都存在安全漏洞，对网络安全构成了威胁。而且现在许多从网络上随意下载的软件中可能隐藏木马、后门等恶意代码这些软件的使用也可能被攻击者侵入和利用。5、管理方面可能存在的漏洞XX学院的用户群体比较大，数据量大、速度高。随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，学生通过网络在线看电影、听音乐，很容易造成

24、网络堵塞和病毒传播。而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。3、等保三级对网络的要求1、结构安全1. 应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；2. 应保证网络各个部分的带宽满足业务高峰期需要；3. 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；4. 应绘制与当前运行情况相符的网络拓扑结构图；5. 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；6. 应避免将重要网段部署在网络边界处且直接连接外

25、部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；7. 应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。2、访问控制1. 应在网络边界部署访问控制设备，启用访问控制功能；2. 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；3. 应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；4. 应在会话处于非活跃一定时间或会话结束后终止网络连接；5. 应限制网络最大流量数及网络连接数；6. 重要网段应采取技术手段防止地址欺骗；7. 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用8. 应限制具有拨号访问权限的用户数量3、安全审计1. 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；