某单位信息安全等级保护建设方案.docx

1、某单位信息安全等级保护建设方案xxxxxx信息安全等级保护（三级）建设项目设计方案二一八年二月文档控制文档名称：xxxxxx信息安全等保保护建设（三级）设计方案提交方xxxxx机股份有限公司提交日期Xxxxx版本信息日期版本撰写者审核者描述2月28日V1.0初稿3月1日V1.1修订3月7日V1.2修订本文档版权归xxxxxx股份有限公司所有，未经xxxx有限公司允许，本文档里的任何内容都不得被用来宣传和传播。未经xxxx有限公司书面批准，文档或任何类似的资讯都不允许被发布。 图表目录第一章 项目概述一.1 项目概述xxxxxx是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策，拟订省

2、机关事务工作的政策、规划和规章制度并组织实施，负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，xxxxxx积极响应国家相关政策法规，积极开展信息安全等级保护建设。对自有网络安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正常进行。一.2 项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管理的重

3、要一环，为机关各部门以及领导者和公务人员提供工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分配管理的需要，使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理工作方面，如对政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个社会和国家发展的必然趋势

4、。一.2.1 法律要求在2017年6月1日颁发的中华人民共和国网络安全法中明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安全”，网络安全法第二十一条明确规定“国家实行网络安全等级保护制度”。各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，网络安全法中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监

5、测、记录网络运行状态、网络安全事件的技术措施，留存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。未履行上述网络安全保护义务的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当

6、的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演练的，会被依照此条进行责令改正。安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并

7、将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。每年没有进行安全检测评估的单位要被责令改正。一.2.2 政策要求为切实加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常重视，陆续颁布以下文件：关于加强党政机关网站安全管理的通知（中网办发文20141号）、关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知（中央编办发201469号），公安部、中央网信办、中编办、工信部等四部门关于印发党政机关、事业单位和国有企业互联网网站安全专项整治行动方案的通知（公信安20152562号）一.3 项目建设目标及内容一.3.1 项目建设目标依据国家信息安全等级保护相关指

8、导规范，对xxxxxx信息系统、基础设施和骨干网络按照等保三级进行安全建设规划，对安全建设进行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三级标准，按照“统一规划、统一标准、重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安全等几个方面进行安全规划与建设，确保“网络建设合规、安全防护到位”。方案目标是让xxxxxx的骨干网络、相关应用系统达到安全等级保护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系，提升整体信息安全防护能力。一.3.2 建设内容本项目以xxxxxx骨干网络、信息系统等级保护建

9、设为主线，以让相关信息系统达到安全等级保护第三级要求。借助网络产品、安全产品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系，从而全面提高xxxxxx的工作效率，提升信息化运用水平。建设内容包括xxxxxx内网骨干网络、基础设施和信息系统等。第二章 现状与差距分析二.1 现状概述二.1.1 信息系统现状本次项目中xxxxxx外网项目中涉及的设备有：1) 服务器4台2) 网络设备若干 路由器、交换机、ap 3) 安全设备有：1台防火墙（过保）、WAF（过保）、2台ips（dmz区前IPS已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）4

10、) 存储设备：火星舱容灾备份二.1.1.1 网络系统现状xxxxxx的网络系统整体构架采用三层层次化模型网络架构，即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干，对整个网络的连通起到至关重要的作用。xxxxxx内网核心，由1台DPX安全业务网关组成。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层前先做汇聚，以减轻核心层设备的负荷。xxxxxx内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线汇聚交换机。接入层：接入层向本地网段提供工作站接入。xxxxxx内网网络中，由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。在DPX核心

11、交换机上划分VLAN和网关，整体网络中部署了防病毒网关、IPS、UAG、DDI、数据容灾备份系统。OA系统连接至无线汇聚交换机。其他各系统旁路至核心交换机上。 安全现状：在整体网络中部署有相应的安全设备做安全防护，但部分安全设备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓扑图如下： 图表 1 现状拓扑图二.1.1.2 主机系统现状xxxxxx的业务系统OA、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并进行标识区分。服务器操作系统全都采用微软的Windows Server系列操作系统。 xxxxxx办公终端约为300台，win7为

12、主，XP系统占少数，主机系统没有进行过定期更新补丁，安装有360天擎杀毒软件二.1.1.3 应用系统现状xxxxxx的应用系统主要为以下业务系统：OA、文件交换箱等。也包含一些其他的办公软件。 二.2 现状与差距分析二.2.1 物理安全现状与差距分析xxxxxx机房建设过程中参照B级机房标准参考进行统一规划，存在的物理安全隐患较少。但仍需参照以下标准进行核查、整改；根据信息安全等级保护（第三级）中对物理安全相关项（防火、防雷、防水、防磁及电力供应等）存在些许差距。详见下表差距分析。图表 2物理安全现状序号要求指标项是否符合现状分析备注1物理位置的选择（G3）本项要求包括：a)机房和办公场地应选

13、择在具有防震、防风和防雨等能力的建筑内；符合要求满足b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。符合要求满足2物理访问控制（G3）本项要求包括：a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；不符合要求不满足无相关记录b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；不符合要求不满足有监控，但是没有申请和审批流程c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；基本符合要求依据业务系统进行了机柜间的区域区分，但未在重要区域前设置物理隔离装置。在重要区域前设置物理隔离装置。d) 重要区域应配

14、置电子门禁系统，控制、鉴别和记录进入的人员。符合要求基本满足3防盗窃和防破坏（G3）本项要求包括：a)应将主要设备放置在机房内；符合要求满足b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；符合要求满足c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；不符合要求不满足有部分线缆架设在半空中d)应对介质分类标识，存储在介质库或档案室中；符合要求满足e)应利用光、电等技术设置机房防盗报警系统；符合要求满足f)应对机房设置监控报警系统。符合要求满足4防雷击（G3）本项要求包括：a)机房建筑应设置避雷装置；符合要求满足b)应设置防雷保安器，防止感应雷；符合要求满足c)机房应设置交流电源地线

15、。符合要求满足5防火（G3）本项要求包括：a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；基本符合要求安装有气体灭火装置b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；符合要求满足c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。不符合要求不满足6防水和防潮（G3）本项要求包括：a)水管安装，不得穿过机房屋顶和活动地板下；符合要求满足b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；符合要求满足c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；符合要求满足d)应安装对水敏感的检测仪表或组件，对机房进行防水检测和报警。符合要求满足7防静电

16、（G3）本项要求包括：a)主要设备应采用必要的接地防静电措施；符合要求满足b)机房应采用防静电地板。符合要求满足8温湿度控制（G3）本项要求包括：机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。符合要求安装有动力环境监控系统，建议机房日常温度控制在1028，湿度 3070%。9电力供应（A3）本项要求包括：a)应在机房供电线路上配置稳压器和过电压防护设备；基本符合要求满足b)应提供短期的备用电力供应，至少满足主要设备在断电情况 下的正常运行要求；符合要求设置 UPS电池供电，并至少保证断电时主要设备在满负荷情况下4小时的正常运行。c)应设置冗余或并行的电力电缆线

17、路为计算机系统供电；不符合要求只有一条出口线，极容易出现单点故障增加线缆，做到冗余d)应建立备用供电系统。符合要求满足10电磁防护（S3）本项要求包括：a)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；符合要求满足b)电源线和通信线缆应隔离铺设，避免互相干扰；符合要求满足c)应对关键设备和磁介质实施电磁屏蔽。符合要求满足二.2.2 网络安全现状与差距分析由于xxxxxx前期已经行相关安全建设，仍有相关安全防护建设不到位，主要表现出以下问题点：1. 网络结构基本清晰，但细节规划不合理；2. 新增移动接入链路，3. 面对日益突增的网络安全事件缺乏有效防御手段及应急机制；4. 骨干网络架构规划不

18、合理，核心交换区无冗余，安全防护区域划分不明晰，不能对不同区域间防护措施、技术手段进行统一规划，不同区域对恶意攻击的防范能力不一。详见下表差距分析：图表 3网络安全现状序号要求指标项是否符合差距分析备注1结构安全（G3）本项要求包括：a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；不符合要求域网核心交换设备均采用单链路、单设备，无冗余空间，一旦出现设备故障则会出现单点故障，无法有效保障对外开放的业务安全稳定的运行。域网核心设备至少有二台，采用多链路b)应保证网络各个部分的带宽满足业务高峰期需要；符合要求满足c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；符

19、合要求满足d)应绘制与当前运行情况相符的网络拓扑结构图；不符合要求暂无拓扑图我们会在工程结束后重新绘制网络拓扑图。e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；基本符合要求整体网络结构中已按照需求进行子网划分。但使用中存在混乱，没有按规定使用。待本次项目建设进行梳理、严格限制f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；基本符合要求满足2访问控制（G3）本项要求包括：a)应在网络边界部署访问控制设备，启用访问控制功能；不符合要求仅在dmz区部署

20、防火墙且防火墙已过保，其他区域未部署访问控制设备建议在互联网出口与服务器区前部署防火墙进边界隔离与访问控制b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；符合要求满足c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；符合要求满足d)应在会话处于非活跃一定时间或会话结束后终止网络连接；符合要求满足e)应限制网络最大流量数及网络连接数；不符合要求未部署流量控制设备，无法根据所承载的业务和带宽的实际情况确定网络最大流量数和网络连接数并进行管理。部署上网行为管理及流控f)重要网段应采取技术手段防止地址

21、欺骗；不符合要求未部署访问控制设备的区域无法采用包过滤或传输控制协议，进行边界访问控制，防止地址欺骗，应对网络中的广播、组播进行必要的控制。实现重要网段地址进行有效保护防止地址欺骗。g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；不符合要求没有在服务器区前和网络出口设置防火墙、认证网关或授权管理系统，可对单个用户的访问进行策略控制。新增2台防火墙实现不同安全域之间的访问控制h)应限制具有拨号访问权限的用户数量。不符合要求不涉及3安全审计（G3）本项要求包括：a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；不符合要求有上

22、网行为管理设备（过保），但是并没有办法对网络设备运行状况日志记录，而部署综合安全日志审计系统可对来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中心，实现综合安全审计。部署综合日志审计系统可对来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中心，实现综合安全审计。b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；符合要求满足c)应能够根据记录数据进行分析，并生成审计报表；不符合要求不满足部署日志审计系统d)应对审计记录进行保护，避免受到未预期的删除

23、、修改或覆盖等。符合要求满足安全审计日志记录要求保存至少半年以上。4边界完整性检查（S3）本项要求包括：a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；不符合要求可通终端管理系统或ARP绑定技术手段实现可采用终端管理系统等手段进行管理控制b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。不符合要求可采用终端管理系统等手段进行管理控制5入侵防范（G3）本项要求包括：a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、 木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；基本符合要求出口处部署

24、有IPS入侵防御b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警基本符合要求落实安全审计系统报警功能。6恶意代码防范（G3）本项要求包括：a)应在网络边界处对恶意代码进行检测和清除；符合要求满足b)应维护恶意代码库的升级和检测系统的更新。符合要求7网络设备防护（G3）本项要求包括：a)应对登录网络设备的用户进行身份鉴别；不符合要求没有指定专人进行维护。通过密码和用户名进行身份鉴别，同时也没有部署堡垒主机。可以指定专人维护网络设备，并通过用户名和密码 进行身份鉴别，同时也可以部署堡垒主机b)应对网络设备的管理员登录地址进行限制；不符合要求对管理

25、员登陆地址没有限制。增添堡垒机设备，这样可以有效对远程用户进行管理。c)网络设备用户的标识应唯一；不符合要求网络设备没有唯一的标示。重新对设备进行标示。d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；不符合要求主要网络设备未对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；增设堡垒机e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；不符合要求密码没有定期更换，复杂度不够用户口令应12位以上，数字和字母组成，至少3 个月更换一次。f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；符合要求当一次登

26、录密码错误次数超过 6次， 应能自动关闭并告警。g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；不符合要求传输中进行加密，可以使用IPsec VPN技术h)应实现设备特权用户的权限分离。不符合要求网络管理员、系统管理员和安全审计员分开， 并按职责分工限制各自权限，但无技术手段控制。部署堡垒机控制用户权限二.2.3 主机安全现状与差距分析xxxxxx内网主机终端已部署终端杀毒软件。终端主机安全现状差距分析，如下：图表 4主机安全现状序号要求指标项是否符合差距分析备注1身份鉴别（S3）本项要求包括：a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；基本符合

27、要求没有严格通过账号密码限制操作系统和数据库系统的用户登陆，进行身份标识和鉴别；b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；不符合要求不满足系统管理员的登录身份标识唯一，口令12位以上，且数字和字母大小写组合，每半年应更改一次。c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；符合要求当登录次数错误超过6次，应自动退出并告警。d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；不符合要求没有采用IPSec VPN对传输加密的方法来保证远程管理安全可靠。采用IPSec VPN 部署e)应为

28、操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。不符合要求不满足f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。不符合要求采用用户名密码的鉴别技术对管理员进行身份鉴别。部署堡垒机2访问控制（S3）本项要求包括：a)应启用访问控制功能，依据安全策略控制用户对资源的访问；不符合要求不满足b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；不符合要求因只设置了一个管理员账号，也未通过技术手段控制授予所需要的最小权限。部署堡垒机，将网络管理员、系统管理员和安全审计员分离，通过技术手段控制授予所需要的最小权限。c)应实现操作系统和数

29、据库系统特权用户的权限分离；不符合要求还是未修改的默认口令修改口令d)应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；不符合要求不满足e)应及时删除多余的、过期的帐户，避免共享帐户的存在。基本符合要求因只一个账户，不存在多余的账户f)应对重要信息资源设置敏感标记；不符合要求未对重要服务器部署服务器加固系统，采取安全加固措施，并设置敏感标记。对重要服务器部署服务器加固系统，采取安全加固措施，并设置敏感标记g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；不符合要求不满足3安全审计（G3）本项要求包括：a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；不符合要求未部署数据库审计系统，无法对服务器和重要客户端上的每个操作系统用户和数据库用户进行审计。部署日志审计系统和数据库审计系统b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；不符合要求未部署数据库审计系统，无法对重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件进行审计。部署日志审计系统