ImageVerifierCode 换一换
格式:DOCX , 页数:11 ,大小:20.43KB ,
资源ID:6407584      下载积分:3 金币
快捷下载
登录下载
邮箱/手机:
温馨提示:
快捷下载时,用户名和密码都是您填写的邮箱或者手机号,方便查询和重复下载(系统自动生成)。 如填写123,账号就是123,密码也是123。
特别说明:
请自助下载,系统不会自动发送文件的哦; 如果您已付费,想二次下载,请登录后访问:我的下载记录
支付方式: 支付宝    微信支付   
验证码:   换一换

加入VIP,免费下载
 

温馨提示:由于个人手机设置不同,如果发现不能下载,请复制以下地址【https://www.bdocx.com/down/6407584.html】到电脑端继续下载(重复下载不扣费)。

已注册用户请登录:
账号:
密码:
验证码:   换一换
  忘记密码?
三方登录: 微信登录   QQ登录  

下载须知

1: 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。
2: 试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓。
3: 文件的所有权益归上传用户所有。
4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
5. 本站仅提供交流平台,并不能对任何下载内容负责。
6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

版权提示 | 免责声明

本文(通信IT项目安全规划方案模板.docx)为本站会员(b****5)主动上传,冰豆网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对上载内容本身不做任何修改或编辑。 若此文所含内容侵犯了您的版权或隐私,请立即通知冰豆网(发送邮件至service@bdocx.com或直接QQ联系客服),我们立即给予删除!

通信IT项目安全规划方案模板.docx

1、通信IT项目安全规划方案模板数据中心信息系统安全建设技术方案目录1. 项目概述 41.1. 目标与范围 41.2. 参照标准 41.3. 系统描述 42. 安全风险分析 52.1. 系统脆弱性分析 52.2. 安全威胁分析 52.2.1. 被动攻击产生的威胁 52.2.2. 主动攻击产生的威胁 53. 安全需求分析 73.1. 等级保护要求分析 73.1.1. 网络安全 73.1.2. 主机安全 83.1.3. 应用安全 93.2. 安全需求总结 94. 整体安全设计 104.1. 安全域 104.1.1. 安全域划分原则 104.1.2. 安全域划分设计 114.2. 安全设备部署 125.

2、 详细安全设计 135.1. 网络安全设计 135.1.1. 抗DOS设备 135.1.2. 防火墙 145.1.3. WEB应用安全网关 155.1.4. 入侵防御 165.1.5. 入侵检测 175.1.6. 安全审计 185.1.7. 防病毒 185.2. 安全运维管理 195.2.1. 漏洞扫描 195.2.2. 安全管理平台 195.2.3. 堡垒机 216. 产品列表 211. 项目概述1.1. 目标与范围1.2. 参照标准1.3. 系统描述2. 安全风险分析2.1. 系统脆弱性分析人的脆弱性:人的安全意识不足导致的各种被攻击可能,如接受未知数据,设置弱口令等。安全技术的脆弱性:操

3、作系统和数据库的安全脆弱性,系统配置的安全脆弱性,访问控制机制的安全脆弱性,测评和认证的脆弱性。运行的脆弱性:监控系统的脆弱性,无入侵检测设备,响应和恢复机制的不完善。2.2. 安全威胁分析2.2.1. 被动攻击产生的威胁(1)网络和基础设施的被动攻击威胁局域网/骨干网线路的窃听;监视没被保护的通信线路;破译弱保护的通信线路信息;信息流量分析;利用被动攻击为主动攻击创造条件以便对网络基础设施设备进行破坏,如截获用户的账号或密码以便对网络设备进行破坏;机房和处理信息终端的电磁泄露。(2)区域边界/外部连接的被动攻击威胁截取末受保护的网络信息;流量分析攻击;远程接入连接。(3)计算环境的被动攻击威

4、胁获取鉴别信息和控制信息;获取明文或解密弱密文实施重放攻击。2.2.2. 主动攻击产生的威胁(1)对网络和基础设施的主动攻击威胁一是可用带宽的损失攻击,如网络阻塞攻击、扩散攻击等。二是网络管理通讯混乱使网络基础设施失去控制的攻击。最严重的网络攻击是使网络基础设施运行控制失灵。如对网络运行和设备之间通信的直接攻击,它企图切断网管人员与基础设施的设备之间的通信,比如切断网管人员与交换机、路由器之间的通信,使网管人员失去对它们的控制。三是网络管理通信的中断攻击,它是通过攻击网络底层设备的控制信号来干扰网络传输的用户信息;引入病毒攻击;引入恶意代码攻击。(2)对信息系统及数据主动攻击威胁试图阻断或攻破

5、保护机制(内网或外网);偷窃或篡改信息;利用社会工程攻击欺骗合法用户(如匿名询问合法用户账号);伪装成合法用户和服务器进行攻击;IP地址欺骗攻击;拒绝服务攻击;利用协议和基础设施的安全漏洞进行攻击;利用远程接入用户对内网进行攻击;建立非授权的网络连接;监测远程用户链路、修改传输数据;解读未加密或弱加密的传输信息;恶意代码和病毒攻击。(3)计算环境的主动攻击威胁引入病毒攻击;引入恶意代码攻击;冒充超级用户或其他合法用户;拒绝服务和数据的篡改;伪装成合法用户和服务器进行攻击;利用配置漏洞进行攻击;利用系统脆弱性(操作系统安全脆弱性、数据库安全脆弱性)实施攻击;利用服务器的安全脆弱性进行攻击;利用应

6、用系统安全脆弱性进行攻击。(4)支持性基础设施的主动攻击威胁对未加密或弱加密的通信线路的搭线窃听;用获取包含错误信息的证书进行伪装攻击;拒绝服务攻击(如攻击目录服务等);中间攻击;攻击PIN获取对用户私钥的访问、在支持性基础设施的组件中引入恶意代码攻击、在密钥分发期间对密钥实施攻击、对PKI私钥实施密码攻击、对密钥恢复后的密钥进行末授权访问、在用户认证期间使用户不能生成失效信息;利用备份信息进行攻击。3. 安全需求分析3.1. 等级保护要求分析3.1.1. 网络安全类别控制点重点要求项对应措施网络安全结构安全交换设备的冗余、网络划分与隔离安全域划分,通过安全管理平台进行网络拓扑管理访问控制网络

7、边界部署访问控制设备,启用访问控制功能安全域边界增加部署防火墙设备安全审计对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录部署网络安全审计系统边界完整性检查对内部用户未通过准许私自联到外部网络的行为进行检查采用技术手段进行违规外联入侵防范网络边界入侵行为监视网络出口的边界处部署入侵检测,重要服务器区前面采取入侵防护措施3.1.2. 主机安全类别控制点重点要求项对应措施主机安全身份鉴别对登录操作系统和数据库系统的用户进行身份标识和鉴别部署身份鉴别系统。访问控制启用访问控制功能,实现操作系统和数据库系统特权用户的权限分离 对系统安全加固,限制默认帐户、时删除多余的、过期的帐户等安全

8、审计用户行为、系统资源、系统安全事件审计采用主机审计措施,通过安全管理平台对操作系统、数据库进行监控管理入侵防范操作系统最小安装的原则、及时更新系统补丁对主机进行漏洞检查,并部署入侵防范设备。恶意代码防范能够集中管理的恶意代码防护系统部署网络版防病毒软件资源控制设定终端接入方式、网络地址范围等条件限制终端登录利用访问控制策略与堡垒机产品结合的方式进行控制。3.1.3. 应用安全类别控制点重点要求项对应措施应用安全访问控制账户访问权限管理部署堡垒机对访问进行权限管理安全审计应用系统重要安全事件进行审计部署堡垒机对应用访问进行记录通信保密性采用密码技术进行会话初始化验证,对通信过程中的敏感信息字段

9、进行加密应用软件安全改造,对敏感字段进行加密资源控制会话超时、会话并发管理、多重并发会话限制部署堡垒机设备进行限制3.2. 安全需求总结类别安全需求网络安全划分安全域、明确安全边界网络出口边界、新的安全边界部署防火墙设备网络出口边界部署入侵检测设备关键业务前段部署入侵防御系统网页应用系统边界部署WEB应用安全网关重要数据库部署网络安全审计系统主机安全部署身份认证系统对访问进行身份认证部署堡垒机设备对主机访问进行控制与审计采用网络版杀毒软件部署漏洞扫描设备对主机的漏洞进行检测并及时修补应用安全应用系统与身份认证系统相结合进行身份鉴别应用系统与堡垒机相结合来进行审计与访问控制部署安全管理平台对网络

10、,主机,应用的日志进行审计与分析。4. 整体安全设计4.1. 安全域4.1.1. 安全域划分原则(1)业务保障原则安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时,还要保障业务的正常运行和运行效率。信息安全服务所强调的核心思想是应该从客户(业务)而不是IT 服务提供方(技术)的角度理解IT 服务需求。也就是说,在提供IT 服务的时候,我们首先应该考虑业务需求,根据业务需求来确定IT 需求包括安全需求。在安全域划分时会面临有些业务紧密相连,但是根据安全要求(信息密级要求,访问应用要求等)又要将其划分到不同安全域的矛盾。是将业务按安全域的要求强性划分,还是合并安全域以满足业务

11、要求?必须综合考虑业务隔离的难度和合并安全域的风险(会出现有些资产保护级别不够),从而给出合适的安全域划分。(2)等级保护原则根据安全域在业务支撑系统中的重要程度以及考虑风险威胁、安全需求、安全成本等因素,将其划为不同的安全保护等级并采取相应的安全保护技术、管理措施,以保障业务支撑的网络和信息安全。安全域的划分要做到每个安全域的信息资产价值相近,具有相同或相近的安全等级、安全环境、安全策略等。安全域所涉及应用和资产的价值越高,面临的威胁越大,那么它的安全保护等级也就越高。(3)深度防御原则根据网络应用访问的顺序,逐层进行防御,保护核心应用的安全。安全域的主要对象是网络,但是围绕安全域的防护需要

12、考虑在各个层次上立体防守,包括在物理链路、网络、主机系统、应用等层次;同时,在部署安全域防护体系的时候,要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。(4)结构简化原则安全域划分的直接目的和效果是要将整个网络变得更加简单,简单的网络结构便于设计防护体系。安全域划分不宜过于复杂。(5)生命周期原则对于安全域的划分和布防不仅仅要考虑静态设计,还要考虑不断的变化;另外,在安全域的建设和调整过程中要考虑工程化的管理。(6)安全最大化原则针对业务系统可能跨越多个安全域的情况,对该业务系统的安全防护必须要使该系统在全局上达到要求的安全等级,即实现安全的最大化防护,同时满

13、足多个安全域的保护策略。(7)可扩展性原则当有新的业务系统需要接入业务支撑网时,按照等级保护、对端可信度等原则将其分别划分至不同安全等级域的各个子域。4.1.2. 安全域划分设计根据XX数据中心的情况,把网络分为三个安全域:应用安全域,数据库安全域,安全管理安全域。安全域之间利用防火墙进行隔离。安全域划分拓扑如下:4.2. 安全设备部署(1)网络边界考虑到网络的高可用性,网络出口设备均双机部署。在网络出口部署两台防止DDOS产品,对DDOS攻击进行过滤。在网络出口部署两台防火墙设备,对进出XX数据中心网络的流量进行策略控制。在网络出口部署两台入侵防御设备对进行XX数据中心网络的流量进行检测,从

14、而判断数据中是否含有恶意攻击与恶意代码。(2)核心交换区在核心交换区旁路部署一台IDS与一台安全审计产品,对核心交换机上面的流量进行安全的检测与审计,包括来往核心交换机上面的流量是否有恶意威胁。是否有针对于后台数据库的威胁等。(3)应用区安全域在应用区边界部署web应用防火墙设备,因应用区部署的应用均为B/S架构,而web应用防火墙恰恰是针对于HTTP协议进行安全过滤的设备,很好的满足了三级等保中针对于应用安全的规定。(4)数据库安全域数据库安全域边界部署一台安全域防火墙,采取有效的访问控制策略;同时在安全域交换机旁路部署一台安全审计系统,对网络运维管理和数据库操作进行全面审计。(5)安全管理

15、区安全域在安全管理区部署漏洞扫描设备,对网络中的主机进行安全自查,降低主机的脆弱性。在安全管理区部署堡垒机设备,结合部署的身份认证系统对主机与应用进行身份鉴别,访问控制与安全审计。在安全管理区部署安全管理平台,对网络中的主机与安全设备进行统一的监控与统一的日志分析。在网络中各个主机上部署网络版防病毒软件,并且在安全管理区部署网络防病毒主控端。5. 详细安全设计5.1. 网络安全设计5.1.1. 抗DOS设备5.1.1.1. 部署目的5.1.1.2. 部署方式及说明5.1.2. 防火墙5.1.2.1. 部署目的5.1.2.2. 部署方式及说明5.1.3. WEB应用安全网关5.1.3.1. 部署目的5.1.3.2. 部署方式及说明5.1.4. 入侵防御5.1.4.1. 部署目的5.1.4.2. 部署方式及说明5.1.5. 入侵检测5.1.5.1. 部署目的5.1.5.2. 部署方式及说明5.1.6. 安全审计5.1.6.1. 部署目的5.1.6.2. 部署方式及说明5.1.7. 防病毒5.1.7.1. 部署目的5.1.7.2. 部署方式及说明5.2. 安全运维管理5.2.1. 漏洞扫描5.2.2. 安全管理平台5.2.3. 堡垒机6. 产品列表产品型号数量抗ddos防火墙Web应用防火墙安全审计IDSIPS堡垒机漏洞扫描安全管理平台防病毒

copyright@ 2008-2022 冰豆网网站版权所有

经营许可证编号:鄂ICP备2022015515号-1