等級保護三級 建設方案

XXX

等級保護三級

建設方案

1 概述

1.1 等級保護工作背景

2003年9月中辦國辦頒發《關於加強信息安全保障工作的意見》中辦發[2003]27號中指出：“要重點保護基礎信息網絡和關係國家安全、經濟命脈、社會穩定等方面的重要信息系統，抓緊建立信息安全等級保護制度，制定信息安全等級保護的管理辦法和技術指南”。2004年11月四部委會籤《關於信息安全等級保護工作的實施意見》公通字[2004]66號強調信息安全等級保護制度是國家在國民經濟和社會信息化的發展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設健康發展的一項基本制度。2007年7月四部委會籤《 關於印發《信息安全等級保護管理辦法的通知 》公通[2007]43號。2016年11月十二屆全國人大第二十一次三次審議表決通過了網絡安全法，這部我國網絡領域的基礎性法律將於2017年6月1日正式實施。網絡安全法第二十一條明確國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據洩露或者被竊取、篡改。

XXX經過多年的信息化推進建設，信息化應用水平正不斷提高，信息化建設成效顯著。為促進XXX信息安全發展，響應國家和上級要求，進一步落實等級保護，夯實等級保護作為國家信息安全國策的成果，XXX計劃參照《計算機信息系統安全等級保護劃分準則》（GB/T17859-1999） 和《信息安全技術信息系統安全等級保護定級指南》（GB/T 22240-2008）要求將XXX系統和XXX系統擬定為三級，按照《信息安全技術信息系統安全等級保護基本要求》（GB/T 22239-2008）完成兩個系統三級等保建設。同時為提高全網安全防護能力，XXX計劃整網參照等保標準建設。

1.2 等級保護工作流程

圖1 等級保護工作流程

1.3 安全等級劃分

根據《關於印發信息安全等級保護管理辦法的通知》（公通字[2007]43號）：國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統的安全保護等級應當根據信息系統在國家安全、經濟建設、社會生活中的重要程度，信息系統遭到破壞後對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確定。信息系統的安全保護等級分為以下五級：

信息系統安全保護等級

1.3.1 定級流程

確定信息系統安全保護等級的一般流程如下：

l 確定作為定級對象的信息系統；

l 確定業務信息安全受到破壞時所侵害的客體；

l 根據不同的受侵害客體，從多個方面綜合評定業務信息安全被破壞對客體的侵害程度；

l 根據業務信息安全等級矩陣表得到業務信息安全等級；

l 確定系統服務安全受到破壞時所侵害的客體；

l 根據不同的受侵害客體，從多個方面綜合評定系統服務安全被破壞對客體的侵害程度；

l 根據系統服務安全等級矩陣表得到系統服務安全等級；

l 由業務信息安全等級和系統服務安全等級的較高者確定定級對象的安全保護等級。

上述步驟如下圖流程所示：

業務信息安全等級矩陣表

系統服務安全等級矩陣表

1.3.2 定級結果

根據上述定級流程，各主要系統定級結果為：

一、XXX系統

業務信息安全保護等級：

系統服務安全保護等級：

因此XXX系統定級結果為S3A3G3。

二、XXX系統

業務信息安全保護等級：

系統服務安全保護等級：

因此XXX系統定級結果為S3A3G3。

2 需求分析

2.1 安全現狀

XXX系統和XXX系統的基本情況，按照物理、網絡、主機、應用、數據、管理六個層面進行，可根據實際情況進行修改；同時根據安全域劃分的結果，在分析過程中將不同的安全域所面臨的風險與需求予以對應說明。

2.2 整體網絡架構

現網總體拓撲圖

2.3 需求分析

2.3.1 安全技術需求分析

2.3.1.1 安全計算環境需求分析

計算環境的安全主要是物理、主機以及應用層面的安全風險與需求分析，包括：物理機房安全、身份鑑別、訪問控制、系統審計、入侵防範、惡意代碼防範、軟件容錯、數據完整性與保密性、備份與恢復、資源合理控制、剩餘信息保護、抗抵賴等方面。

根據XXX自評估結果，現網如要達到等級保護三級關於安全計算環境的要求，還需要改進以下幾點：

物理機房安全：根據物理機房情況描述，看看是否需要整改。

數據庫審計：現網XXX系統和XXX系統都缺少針對數據的審計設備，不能很好的滿足主機安全審計的要求，需要部署專業的數據庫審計設備。

運維堡壘機：現網XXX系統和XXX系統都未實現管理員對網絡設備和服務器管理時的雙因素認證，計劃通過部署堡壘機來實現。

主機審計：現網XXX系統和XXX系統主機自身安全策略配置不能符合要求，計劃通過專業安全服務實現服務器整改加固。

主機病毒防護：現網XXX系統和XXX系統缺少主機防病毒的相關安全策略，需要配置主機防病毒系統。

備份與恢復：現網沒有完善的數據備份與恢復方案，需要制定相關策略。同時現網沒有實現對關鍵網絡設備的冗餘，本期計劃部署雙鏈路確保設備冗餘。

另外還需要對用戶名/口令的複雜度，訪問控制策略，操作系統、WEB和數據庫存在的各種安全漏洞，主機登陸條件限制、超時鎖定、用戶可用資源閾值設置等資源控制策略的合理性和存在的問題進行一一排查解決。

2.3.1.2 安全區域邊界需求分析

區域邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊界入侵防範以及邊界安全審計等方面。

根據XXX自評估結果，現網如要達到等級保護三級關於安全區域邊界的要求，還需要改進以下幾點：

邊界訪問控制：需要優化網絡結構，根據XXX業務情況合理劃分安全域，合理劃分網段和VLAN；對於重要的信息系統的網絡設施採取冗餘措施；訪問控制需要在構建安全計算環境的基礎上，依託防火牆等安全設備進行訪問控制。現網需要在邊界部署下一代防火牆實現邊界訪問控制，在各個重點安全域部署下一代防火牆來實現各安全域的重點隔離防護。

邊界入侵防範：現網沒有實現邊界攻擊防護，需要新增入侵防禦系統/或新增下一代防火牆IPS功能模塊。

惡意代碼防範：主機惡意代碼防護通過部署終端病毒查殺軟件實現，網絡邊界惡意代碼防護需要部署下一代防火牆，開啟AV防病毒功能，並且要求網絡層與主機的惡意代碼庫不同。

防web應用層攻擊：現網目前未做應用層攻擊防護，計劃新增WEB應用防火牆和網頁防篡改系統。

互聯網出口安全審計：現網未實現對網絡行為進行精細化識別和控制，需要部署上網行為管理產品來保障網絡關鍵應用和服務的帶寬，對網絡流量、用戶上網行為進行深入分析與全面的審計。

邊界完整性保護：邊界沒有實現非法外聯，需要部署終端安全管理設備。

2.3.1.3 安全通信網絡需求分析

通信網絡的安全主要包括：網絡結構安全、網絡安全審計、網絡設備防護、通信完整性與保密性等方面。

根據XXX自評估結果，現網如要達到等級保護三級關於安全通信網絡的要求，還需要改進以下幾點：

網絡結構：網絡結構是否合理直接影響著是否能夠有效的承載業務需要。因此網絡結構需要具備一定的冗餘性；帶寬能夠滿足業務高峰時期數據交換需求；併合理的劃分網段和VLAN。現網核心交換需要實現雙機冗餘部署，提高通信網絡高可用性。

通信完整性和保密性：由於網絡協議及文件格式均具有標準、開發、公開的特徵，因此數據在網上存儲和傳輸過程中，不僅僅面臨信息丟失、信息重複或信息傳送的自身錯誤，而且會遭遇信息攻擊或欺詐行為，導致最終信息收發的差異性。因此，在信息傳輸和存儲過程中，必須要確保信息內容在發送、接收及保存的一致性；並在信息遭受篡改攻擊的情況下，應提供有效的察覺與發現機制，實現通信的完整性。而數據在傳輸過程中，為能夠抵禦不良企圖者採取的各種攻擊，防止遭到竊取，應採用加密措施保證數據的機密性，因此現網需要部署VPN等安全設備。

網絡審計：如果有些管理用戶出現誤操作，將給信息系統帶來致命的破壞。沒有相應的審計記錄將給事後追溯帶來困難。有必要進行基於網絡行為的審計。同時可以震懾有惡意企圖的少部分用戶，利於規範正常的網絡應用行為。

2.3.1.4 安全管理中心需求分析

“三分技術、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術措施外，安全管理是保障安全技術手段發揮具體作用的最有效手段，安全管理中心是實現安全管理的有力抓手。

根據XXX自評估結果，現網如要達到等級保護三級關於安全管理中心的要求，還需要改進以下幾點：

現網沒有一個能對整網安全事件、安全威脅進行分析響應處理的平臺，本期需要新增統一安全監控管理平臺對信息系統涉及的設備使用情況和安全事件、系統健康程度等進行識別，要能進行統一的監控和展現。通過對安全事件的告警，可以發現潛在的攻擊徵兆和安全趨勢，確保任何安全事件、事故得到及時的響應和處理。

2.3.2 安全管理需求分析

從等保思想出發，技術雖然重要，但人才是安全等級保護的重點，因此除了技術措施，XXX還需要運用現代安全管理原理、方法和手段，從技術上、組織上和管理上採取有力的措施，解決和消除各種不安全因素，防止事故的發生。需要優化安全管理組織，完善安全管理制度，制定信息系統建設和安全運維管理的相關管理要求，規範人員安全管理。

3 總體設計

3.1 項目目標

結合XXX的實際情況，按照《信息系統等級保護安全設計技術要求》和《信息系統安全等級保護基本要求》等相關標準要求，以“一箇中心、三重防護”為核心指導思想，從安全計算環境、安全區域邊界、安全通信網絡以及安全管理中心四個方面構建安全建設方案，以滿足等級保護三級系統的相關要求。

3.2 項目依據

本項目方案編制依據和參考下列政策法規和標準規範。

3.2.1 政策法規

n中華人民共和國計算機信息系統安全保護條例（1994國務院147號令）

n計算機信息系統安全保護等級劃分準則（GB17859－1999）

n《國家信息化領導小組關於加強信息安全保障工作的意見》（中辦發[2003]27號）

n關於信息安全等級保護工作的實施意見（公通字[2004]66號）

n《信息安全等級保護管理辦法》公通字[2007]43號

n關於開展全國重要信息系統安全等級保護定級工作的通知（公信安[2007]861號）

n《國家信息化領導小組關於加強信息安全保障工作的意見》（中辦發[2003]27號）

3.2.2 標準規範

n《計算機信息系統安全保護等級劃分準則》（GB/T17859-1999）

n《信息安全技術_信息系統安全等級保護基本要求》GBT22239-2008

n《信息安全技術_信息系統安全等級保護定級指南》GBT22240-2008

n《信息安全技術信息系統等級保護安全設計技術要求》

n《信息安全技術信息系統安全等級保護實施指南》

n《信息安全技術信息安全等級保護整改規範》（GB/T20984-2007）

n《信息系統安全等級保護整改實施指南》

n《信息技術安全技術信息安全管理體系要求》（GB/T22080-2008）

n《信息技術安全技術信息安全管理實用規則》（GB/T22081-2008）

n《信息技術安全技術信息技術安全管理指南》（ISO/IECTR13335）

n《信息技術安全技術信息技術安全性評估準則》(GB/T18336-2001)

n《信息安全等級保護整改指南》

n《信息安全風險管理指南》

3.3 安全區域劃分

XXX的安全建設核心內容是將網絡進行全方位的安全防護，不是對整個系統進行同一等級的保護，而是針對系統內部的不同業務區域進行不同等級的保護。因此，安全域劃分是進行信息安全等級保護的首要步驟。需要通過合理的劃分網絡安全域，針對各自的特點而採取不同的技術及管理手段。從而構建一整套有針對性的安防體系。而選擇這些措施的主要依據是按照等級保護相關的要求。

安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系統內根據信息的性質、使用主體、安全目標和策略等元素的不同來劃分的不同邏輯子網或網絡，每一個邏輯區域有相同的安全保護需求，具有相同的安全訪問控制和邊界控制策略，區域間具有相互信任關係，而且相同的網絡安全域共享同樣的安全策略。

經過梳理後的XXX信息系統安全區域劃分如下圖所示(下圖為例，建議按實際情況調整)：

3.4 方案設計框架

根據《信息系統安全等級保護基本要求》，分為技術和管理兩大類要求，具體如下圖所示：

本方案將嚴格根據技術與管理要求進行設計。首先應根據本級具體的基本要求設計本級系統的保護環境模型，根據《信息系統等級保護安全設計技術要求》，保護環境按照安全計算環境、安全區域邊界、安全通信網絡和安全管理中心進行設計，內容涵蓋基本要求的5個方面。同時結合管理要求，形成如下圖所示的保護環境模型：

4 安全技術體系設計

4.1 整體網絡架構改造設計

這裡放根據用戶網絡架構改造後的拓撲圖。

4.1.1 計算環境安全設計

4.1.1.1 物理安全

物理環境安全策略的目的是保護網絡中計算機網絡通信有一個良好的電磁兼容工作環境，並防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發生。

Ø 機房選址

機房和辦公場地選擇在具有防震、防風和防雨等能力的建築內。機房場地應避免設在建築物的高層或地下室，以及用水設備的下層或隔壁。

Ø 機房管理

機房出入口安排專人值守，控制、鑑別和記錄進入的人員；

需進入機房的來訪人員須經過申請和審批流程，並限制和監控其活動範圍。

對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域；

重要區域應配置電子門禁系統，控制、鑑別和記錄進入的人員。

Ø 機房環境

合理規劃設備安裝位置，應預留足夠的空間作安裝、維護及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關標準規定。機房門大小應滿足系統設備安裝時運輸需要。機房牆壁及天花板應進行表面處理，防止塵埃脫落，機房應安裝防靜電活動地板。

機房安裝防雷和接地線，設置防雷保安器，防止感應雷，要求防雷接地和機房接地分別安裝，且相隔一定的距離；機房設置火災自動消防系統，能夠自動檢測火情、自動報警，並自動滅火；機房及相關的工作房間和輔助房應採用具有耐火等級的建築材料；機房應採取區域隔離防火措施，將重要設備與其他設備隔離開。配備空調系統，以保持房間恆溼、恆溫的工作環境；在機房供電線路上配置穩壓器和過電壓防護設備；提供短期的備用電力供應，滿足關鍵設備在斷電情況下的正常運行要求。設置冗餘或並行的電力電纜線路為計算機系統供電；建立備用供電系統。鋪設線纜要求電源線和通信線纜隔離鋪設，避免互相干擾。對關鍵設備和磁介質實施電磁屏蔽。

Ø 設備與介質管理

為了防止無關人員和不法分子非法接近網絡並使用網絡中的主機盜取信息、破壞網絡和主機系統、破壞網絡中的數據的完整性和可用性，必須採用有效的區域監控、防盜報警系統，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴格的出入管理制度和環境監控制度，以保障區域監控系統和環境監控系統的有效運行。對介質進行分類標識，存儲在介質庫或檔案室中。利用光、電等技術設置機房防盜報警系統；對機房設置監控報警系統。

4.1.1.2 主機和應用安全加固

需要通過專業安全服務實現主機和應用安全加固，加固內容主要有以下幾點：

一、身份鑑別可分為主機身份鑑別和應用身份鑑別兩個方面：

主機身份鑑別：

為提高主機系統安全性，保障各種應用的正常運行，對主機系統需要進行一系列的加固措施，包括：

Ø 對登錄操作系統和數據庫系統的用戶進行身份標識和鑑別，且保證用戶名的唯一性。

Ø 根據基本要求配置用戶名/口令；口令必須具備採用3種以上字符、長度不少於8位並定期更換；

Ø 啟用登陸失敗處理功能，登陸失敗後採取結束會話、限制非法登錄次數和自動退出等措施。

Ø 遠程管理時應啟用SSH等管理方式，加密管理數據，防止被網絡竊聽。

Ø 對主機管理員登錄進行雙因素認證方式，採用USBkey+密碼進行身份鑑別。

應用身份鑑別：

為提高應用系統系統安全性應用系統需要進行一系列的加固措施，包括：

Ø 對登錄用戶進行身份標識和鑑別，且保證用戶名的唯一性。

Ø 根據基本要求配置用戶名/口令，必須具備一定的複雜度；口令必須具備採用3種以上字符、長度不少於8位並定期更換；

Ø 啟用登陸失敗處理功能，登陸失敗後採取結束會話、限制非法登錄次數和自動退出等措施。

Ø 應用系統如具備上述功能則需要開啟使用，若不具備則需進行相應的功能開發，且使用效果要達到以上要求。

Ø 對於三級系統，要求對用戶進行兩種或兩種以上組合的鑑別技術，因此可採用雙因素認證（USBkey+密碼）或者構建PKI體系，採用CA證書的方式進行身份鑑別。

二、系統審計包含主機審計和應用審計兩個層面：

主機審計：

通過服務器安全加固，啟用服務器操作系統本身的審計功能，實現對於主機層面的安全審計要求。

應用審計：

應用層安全審計是對業務應用系統行為的審計，需要與應用系統緊密結合，此審計功能應與應用系統統一開發。

應用系統審計功能記錄系統重要安全事件的日期、時間、發起者信息、類型、描述和結果等，並保護好審計結果，阻止非法刪除、修改或覆蓋審計記錄。同時能夠對記錄數據進行統計、查詢、分析及生成審計報表。

三、應用資源監控：

為保證現網應用系統正常的為用戶提供服務，必須進行資源控制，否則會出現資源耗盡、服務質量下降甚至服務中斷等後果。通過對應用系統進行開發或配置來達到控制的目標。應用系統如具備上述功能則需要通過XXX用戶或者安全服務工作開啟相關功能，若不具備則需進行相應的功能開發，且使用效果要達到以下要求：

Ø 會話自動結束：當應用系統的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠及時檢測並自動結束會話，釋放資源；

Ø 會話限制：對應用系統的最大併發會話連接數進行限制，對一個時間段內可能的併發會話連接數進行限制，同時對單個帳戶的多重併發會話進行限制，設定相關閾值，保證系統可用性。

Ø 登陸條件限制：通過設定終端接入方式、網絡地址範圍等條件限制終端登錄。

Ø 超時鎖定：根據安全策略設置登錄終端的操作超時鎖定。

Ø 用戶可用資源閾值：限制單個用戶對系統資源的最大或最小使用限度，保障正常合理的資源佔用。

Ø 對重要服務器的資源進行監視，包括CPU、硬盤、內存等。

Ø 對系統的服務水平降低到預先規定的最小值進行檢測和報警。

Ø 提供服務優先級設定功能，並在安裝後根據安全策略設定訪問帳戶或請求進程的優先級，根據優先級分配系統資源。

4.1.1.3 數據庫安全審計

計劃部署數據庫審計系統對用戶行為、用戶事件及系統狀態加以審計，範圍覆蓋到每個用戶，從而把握數據庫系統的整體安全。

數據庫審計系統適用於等級保護標準和規範。數據庫審計系統支持所有主流關係型數據庫的安全審計，採用多核、多線程並行處理及CPU綁定技術及鏡像流量零拷貝技術，採用黑盒逆向協議分析技術，嚴格按照數據庫協議規律，對所有數據庫的操作行為進行還原，支持請求和返回的全審計，保證100%還原原始操作的真實情況，實現細粒度審計、精準化行為回溯、全方位風險控制，為XXX的核心數據庫提供全方位、細粒度的保護功能。數據庫審計系統可以幫助我們解決目前所面臨的數據庫安全審計缺失問題，避免數據被內部人員及外部黑客惡意竊取洩露，極大的保護XXX的核心敏感數據的安全，帶來以下安全價值：

Ø 全面記錄數據庫訪問行為，識別越權操作等違規行為，並完成追蹤溯源

Ø 跟蹤敏感數據訪問行為軌跡，建立訪問行為模型，及時發現敏感數據洩漏

Ø 檢測數據庫配置弱點、發現SQL注入等漏洞、提供解決建議

Ø 為數據庫安全管理與性能優化提供決策依據

Ø 提供符合法律法規的報告，滿足等級保護審計要求。

4.1.1.4 運維堡壘主機

計劃部署運維堡壘主機，堡壘機可為XXX提供全面的運維管理體系和運維能力，支持資產管理、用戶管理、雙因子認證、命令阻斷、訪問控制、自動改密、審計等功能，能夠有效的保障運維過程的安全。在協議方面，堡壘機全面支持SSH/TELNET/RDP（遠程桌面）/FTP/SFTP/VNC，並可通過應用中心技術擴展支持VMware/XEN等虛擬機管理、oracle等數據庫管理、HTTP/HTTPS、小型機管理等。

4.1.1.5 主機病毒防護

針對病毒的風險，通過部署主機防病毒軟件進行管控，要求在所有終端主機和服務器上部署網絡防病毒系統，加強主機的病毒防護能力並及時升級惡意代碼軟件版本以及惡意代碼庫。且主機防惡意代碼產品應具有與網絡防惡意代碼產品不同的惡意代碼庫。

在XXX單位運維管控區中，可以部署防病毒服務器，負責制定和終端主機防病毒策略。在網絡邊界通過防火牆進行基於通信端口、帶寬、連接數量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發時的大流量衝擊。

4.1.1.6 備份與恢復

備份與恢復主要包含兩方面內容，首先是指數據備份與恢復，另外一方面是關鍵網絡設備、線路以及服務器等硬件設備的冗餘。

本地完全數據備份至少每天一次，且備份介質需要場外存放。並且要求提供能異地數據備份功能，利用通信網絡將關鍵數據定時批量傳送至異地備用場地。

對於核心交換設備、外部接入鏈路以及系統服務器進行雙機、雙線的冗餘設計，保障從網絡結構、硬件配置上滿足不間斷系統運行的需要。

4.1.1.7 客體安全重用

為實現客體的安全重用，及時清除剩餘信息存儲空間，應通過對操作系統及數據庫系統進行安全加固配置，使得操作系統和數據庫系統具備及時清除剩餘信息的功能，從而保證用戶的鑑別信息、文件、目錄、數據庫記錄等敏感信息所在的存儲空間（內存、硬盤）被及時釋放或再分配給其他用戶前得到完全清除。這部分工作也通過安全服務來實現。

4.1.2 區域邊界安全設計

4.1.2.1 邊界訪問控制

通過對XXX網絡的邊界風險與需求分析，在網絡層進行訪問控制需部署防火牆產品，可以對所有流經防火牆的數據包按照嚴格的安全規則進行過濾，將所有不安全的或不符合安全規則的數據包屏蔽，杜絕越權訪問，防止各類非法攻擊行為。對現網進行安全域劃分，每個安全域/或重要的安全域通過部署防火牆實現安全域隔離防護。

從防火牆的實現原理看，對七層應用協議的防護是非常薄弱的，因此外部服務區需要新增WEB應用防火牆和網頁防篡改系統。

WEB應用防火牆專注於第七層防護，採用雙引擎技術（用戶行為異常檢測引擎、透明代理檢測引擎）實現各類SQL注入、跨站、掛馬、掃描器掃描、敏感信息洩露、盜鏈行為等攻擊防護，並有效防護0day攻擊。支持Web應用加速，支持在透明代理部署模式下的HA/Bypass，便於部署配置以及維護。此外，WEB應用防火牆支持透明代理模式、旁路監聽模式、反向代理模式、網關模式等多種部署模式。

網頁防篡改系統包含防篡改、防攻擊兩大子系統的多個功能模塊，為網站安全建立全面、立體的防護體系。支持多種保護模式，防止靜態和動態網站內容被非法篡改。採用內核驅動及文件保護技術，確保防護功能不被惡意攻擊或者非法終止。採用核心內嵌技術，支持大規模連續篡改攻擊保護。完全杜絕被篡改內容被外界瀏覽。支持繼線/連線狀態下篡改檢測。支持多服務器、多站點、各種文件類型的防護。

4.1.2.2 邊界完整性檢查

邊界完整性檢查核心是要對內部網絡中出現的內部用戶未通過准許私自聯到外部網絡的行為進行檢查，維護網絡邊界完整性。通過部署的終端安全管理系統可以實現這一目標。

終端安全管理系統其中一個重要功能模塊就是非法外聯控制，探測內部網中非法上互聯網的計算機。非法外聯監控主要解決發現和管理用戶非法自行建立通路連接非授權網絡的行為。通過非法外聯監控的管理，可以防止用戶訪問非信任網絡資源，並防止由於訪問非信任網絡資源而引入安全風險或者導致信息洩密。

4.1.2.3 邊界入侵防範

在各區域邊界，防火牆起到了協議過濾的主要作用，根據安全策略偏重在網絡層判斷數據包的合法流動。但面對越來越廣泛的基於應用層內容的攻擊行為，防火牆並不擅長處理應用層數據。

鑑於以上對防火牆核心作用的分析，需要其他具備檢測新型的混合攻擊和防護的能力的設備和防火牆配合，共同防禦來自應用層到網絡層的多種攻擊類型，建立一整套的安全防護體系，進行多層次、多手段的檢測和防護。入侵防護系統（IPS）就是安全防護體系中重要的一環，它能夠及時識別網絡中發生的入侵行為並實時報警並且進行有效攔截防護。

IPS是繼“防火牆”、“信息加密”等傳統安全保護方法之後的新一代安全保障技術。它監視計算機系統或網絡中發生的事件，並對它們進行分析，以尋找危及信息的機密性、完整性、可用性或試圖繞過安全機制的入侵行為並進行有效攔截。IPS就是自動執行這種監視和分析過程，並且執行阻斷的硬件產品。

將IPS串接在防火牆後面，在防火牆進行訪問控制，保證了訪問的合法性之後，IPS動態的進行入侵行為的保護，對訪問狀態進行檢測、對通信協議和應用協議進行檢測、對內容進行深度的檢測。阻斷來自內部的數據攻擊以及垃圾數據流的泛濫。

對於接入邊界，IPS可針對於內網對於外網的存取應用進行管理。可支持深入七層的分析檢測技術，能檢測防範的攻擊類型包括：蠕蟲/病毒、木馬、後門、DoS/DDoS攻擊、探測/掃描、間諜軟件、網絡釣魚、利用漏洞的攻擊、SQL注入攻擊、緩衝區溢出攻擊、協議異常、IDS/IPS逃逸攻擊等，支持P2P、IM、視頻等網絡濫用協議的檢測識別，可支持的網絡濫用協議至少包括迅雷、BT、eDonkey/eMule、Kugoo下載協議、多進程下載協議（網絡快車、網絡螞蟻）等P2P應用， MSN、QQ、ICQ等IM應用， PPLive、PPStream、HTTP下載視頻文件、沸點電視、QQLive等網絡視頻應用；可在識別的基礎上對這些應用流量進行阻斷或限流。IPS採用全面深入的分析檢測技術，結合模式特徵匹配、協議異常檢測、流量異常檢測、事件關聯等多種技術，能識別運行在非標準端口上的協議，準確檢測入侵行為。

本期計劃在互聯網接入區和專網接入區各部署一套入侵防禦系統/或在下一代防火牆開啟IPS功能模塊。

4.1.2.4 邊界安全審計

各安全區域邊界已經部署了相應的安全設備負責進行區域邊界的安全。對於流經各主要邊界（重要服務器區域、外部連接邊界）需要設置必要的審計機制，進行數據監視並記錄各類操作，通過審計分析能夠發現跨區域的安全威脅，實時地綜合分析出網絡中發生的安全事件。XXX計劃開啟邊界安全設備的審計功能模塊，根據審計策略進行數據的日誌記錄與審計。同時將所有審計信息通過安全管理中心進行統一集中管理，為安全管理中心提供必要的邊界安全審計數據，利於管理中心進行全局管控。並部署網絡審計系統，實現對於所有訪問業務系統的行為的審計，並能夠記錄該行為的源IP、目的IP等，並可以方便的生成報表等。網絡審計系統通過網絡旁路偵聽的方式對網絡數據流進行採集、分析和識別，並對應用層協議進行完整還原，根據制定的安全審計策略進行審計響應。將邊界安全審計、主機審計、應用審計和網絡審計等一起構成完整的、多層次的審計系統。

另外，在互聯網接入網出口已部署上網行為管理系統，實現對於所有內部用戶訪問互聯網的安全審計，保障網絡關鍵應用和服務的帶寬，對網絡流量、用戶上網行為進行深入分析與全面的審計，為用戶全面瞭解網絡應用模型和流量趨勢，優化其帶寬資源，開展各項業務提供有力的支撐。

4.1.2.5 邊界惡意代碼防範

一個完善的安全體系應該包含了從桌面到服務器、從內部用戶到網絡邊界的全面地解決方案，以抵禦來自黑客和病毒的威脅。

現網網絡層面沒有惡意代碼防護措施，本期計劃在邊界部署下一代防火牆，並開啟AV防病毒功能/或部署一套入侵防禦系統。

4.1.3 通信網絡安全設計

4.1.3.1 網絡結構安全

網絡結構的安全是網絡安全的前提和基礎，對於XXX網絡，選用主要網絡設備時會充分考慮業務處理能力的高峰數據流量，考慮冗餘空間滿足業務高峰期需要；網絡各個部分的帶寬需要保證接入網絡和核心網絡滿足業務高峰期需要；本期對XXX網絡核心交換區進行升級改造，實現雙機冗餘部署。按照業務系統服務的重要次序定義帶寬分配的優先級，在網絡擁堵時優先保障重要主機；合理規劃路由，業務終端與業務服務器之間建立安全路徑；繪製與當前運行情況相符的網絡拓撲結構圖；根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網段或VLAN。保存有重要業務系統及數據的重要網段不能直接與外部系統連接，需要和其他網段隔離，單獨劃分區域。

4.1.3.2 網絡設備防護

為提高網絡設備的自身安全性，保障各種網絡應用的正常運行，通過安全服務對網絡設備需要進行一系列的加固措施，包括：

l 對登錄網絡設備的用戶進行身份鑑別，用戶名必須唯一；

l 對網絡設備的管理員登錄地址進行限制；

l 身份鑑別信息具有不易被冒用的特點，口令設置需3種以上字符、長度不少於8位，並定期更換；

l 具有登錄失敗處理功能，失敗後採取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施；

l 啟用SSH等管理方式，加密管理數據，防止被網絡竊聽。

l 對於鑑別手段，三級要求採用兩種或兩種以上組合的鑑別技術，因此需採用USBkey+密碼進行身份鑑別，保證對網絡設備進行管理維護的合法性。

4.1.3.3 通信完整性

信息的完整性設計包括信息傳輸的完整性校驗以及信息存儲的完整性校驗。

對於信息傳輸和存儲的完整性校驗可以採用的技術包括校驗碼技術、消息鑑別碼、密碼校驗函數、散列函數、數字簽名等。

通過部署VPN系統保證遠程數據傳輸的數據完整性。對於信息存儲的完整性校驗則由應用系統和數據庫系統完成。

4.1.3.4 通信保密性

應用層的通信保密性主要由應用系統完成。在通信雙方建立連接之前，應用系統應利用密碼技術進行會話初始化驗證；並對通信過程中的敏感信息字段進行加密。

對於信息傳輸的通信保密性通過部署VPN系統保證遠程數據傳輸的數據機密性。

4.1.3.5 網絡安全審計

計劃在XX網絡核心交換機上部署網絡安全審計系統，形成對全網網絡數據的流量監測並進行相應安全審計，偵察系統中存在的現有和潛在的威脅，實時地綜合分析出網絡中發生的安全事件，包括各種外部事件和內部事件，同時和其它網絡安全設備共同為安全管理中心提供監控數據用於分析及檢測。

4.1.4 安全管理中心設計

計劃部署以業務為核心的、網絡安全、應用安全、業務安全一體化的安全管理系統，該安全管理中心的特點是：定位於以面向業務的安全管理中心，圍繞著資產和業務，融合對安全、網絡、應用的管理，實現設備管理及策略部署管理、運轉監控、風險預警、到安全聯動響應的完整安全閉環管理，實現安全風險的可視可管可預防。

整個一體化安全管理中心功能要求如下：

4.1.4.1 安全可視化

在虛擬化技術、大數據分析技術快速發展的背景下，安全管理中心需考慮圍繞著資產和業務為核心，以數據挖掘技術為依託，對雲、網、端提供一體化安全管理，實現安全服務從規劃開通、運行監控、到閉環響應的完整生命週期管理。

全網資產管理可以做到：

1）監控到的性能指標可用於事件關聯分析，比如，DDOS事件與CPU利用率進行關聯，以確認攻擊的實效是否達成；

2）確保安全設備的正常運轉，提供配置文件管理、設備狀態監控、拓撲監控等，從而保障關鍵安全節點正常行使功能；

3）攻擊溯源：基於拓撲關係，提供從源到目的端的真實拓撲路徑，管理員可進行更有針對性的實施管理動作。

4.1.4.2 資產風險管理

安全管理中心可以對被管對象進行基礎信息管理，包括其IT屬性、普通屬性以及安全屬性，主要用於當產生安全問題時，快速找到資產基本信息來輔助問題的解決，比如，快速找到責任人、存放位置、資產重要程度等，另外，資產詳細信息中的資產重要程度也將作為資產風險評分計算的重要參數。

安全管理中心關注的資產不僅包含安全設備、網絡設備、服務器和應用，同時還可以由操作者自定義新的資產類型，並向其下面增添資產。除了對資產的信息管理，還支持資產運行監控以及風險監控。

4.1.4.3 業務風險監控

業務是最上層安全風險監控的組織單元。業務由應用、服務器、網絡設備組成。通過業務建模，將應用、服務器、網絡設備組織成起來形成一個業務。

安全管理中心應提供基於“業務”的風險監控。在展現上，以業務為對象，形成一個個“業務風險卡片”，呈現繁忙度、健康度、安全度等與業務運轉強相關的監控內容，並提供攻擊類型統計、漏洞類型統計、受攻擊資產TOP10、資產風險情況統計、資產攻擊源和目的統計等多項美觀的統計圖表，使管理員/領導及時關注到“業務”層面的宏觀風險狀況，快速發現業務的當前“安全度”狀況，避免直接陷入細節而對業務運轉風險難以一幕瞭然的展現。另外，當出現安全風險時，很可能業務性能也出問題了。 “風險卡片”幫助梳理這種內在聯繫。風險卡片中的業務安全度，由組成業務的各元素（如主機、應用等）的安全狀況加權而得到。

4.1.4.4 實時攻擊分析

動態展示最新發生的攻擊事件以及攻擊行為，並統計攻擊源、攻擊目的TOP N信息。通過該頁面使企業面臨的攻擊威脅狀況得以可視化展示，便於採取相應動作來削弱政務雲所面臨的風險。

4.1.4.4.1 整網安全態勢實時監控

列出整網安全評分，最近一小時內的攻擊狀態，提供針對攻擊目的IP、攻擊源IP、攻擊協議、安全威脅整體趨勢等信息。同時提供業務風險雷達，將各個業務面臨的風險狀況（按風險程度高-中-低）在雷達中體現出來。

整網安全態勢實時監控用來幫助管理員直觀地瞭解到網內最新的安全狀況，及時採取必要的行動。

4.1.4.4.2 事件概覽

給出最近一小時內的安全事件統計信息。便於管理員快速獲知當前的安全態勢。事件概覽中提供攻擊源、攻擊目的、產生事件最多的設備、產生最多的事件等多個TOP統計圖表；同時提供IPS規則級別、攻擊協議等統計圖表；並支持查看安全事件趨勢

4.1.4.4.3 實時事件列表

實時事件列表列出了最近一小時內的攻擊事件，詳細展示了最近一小時內的攻擊事件，詳細給出了事件包含的具體內容，包括日誌級別、時間、源IP/用戶、目的IP/用戶、協議、攻擊類型、事件數和設備名稱。同時，提供了基於設備名稱、協議、源用戶、源IP、目的用戶、目的IP的查詢條件，方便管理員快速的查詢到需要的攻擊事件信息。

4.1.4.4.4 攻擊拓撲溯源

基於強大的拓撲引擎，計算攻擊源到目的的端到端路徑，對攻擊進行網絡路徑角度的可視化呈現，管理員可參考並實施針對性管理動作（為確保展現效果，相應設備應加入到管理中）。該功能用來協助操作員作出判斷，可以對攻擊源進行下線、走工單流程等處理動作，也可以參考著變更安全規則的部署。

4.1.4.5 安全評估

安全管理中心的安全評估特性，可以配合WEB、主機、數據庫三種掃描器，支持掃描任務管理和部署、結果分析。

4.1.4.5.1 安全評估分析

安全管理中心可記錄每次漏掃任務的執行詳情。以列表的形式給出任務執行狀態（成功or失敗）、任務名稱、啟動時間、完成時間、掃描類型、執行人員、安全評分。以報表和列表的形式給出掃描結果和解決辦法。基於每條評估歷史，可查看到評估結果信息，包括該次評估的得分，該次評估掃描到的風險詳細信息機改進建議等。

4.1.4.5.2 漏掃關聯

支持漏掃結果與業務和資產進行關聯，使重要IT管理對象的安全性得以直觀呈現。這種關聯是數據統計角度的關聯。

4.1.4.6 安全行為管理

4.1.4.6.1 行為分析

除了SIEM從網絡事件、主機信息角度的安全分析，行為分析從用戶上網行為、用戶流量模型角度分析和用戶行為直接相關的安全威脅。關鍵技術包含深度的應用識別和用戶行為識別、用戶身份的識別等。

4.1.4.6.2 數據挖掘

安全管理中心可以通過對用戶行為的跟蹤，進行深度數據挖掘，從而滿足公安部82號令等安全審計相關的要求。

4.1.4.6.3 行為異常審計

安全管理中心可以根據用戶行為按敏感文件、可疑郵件、敏感詞等審計點進行異常行為審計，並以橫軸座標展示異常行為的發生情況

4.1.4.7 安全風險聯動

網絡的風險無處不在，在實現安全風險可視化的基礎上，下一步的動作就是針對風險報警採取相應的動作阻斷攻擊或威脅。而如何實時防範和抵禦安全風險，最有效的手段還是能夠將安全管理平臺與現網部署的安全設備聯動起來，實現風險的自動防禦和應急響應。

4.1.5 不同網絡互聯互通

XXX現有6張網之間存在數據交互需求，根據系統業務要求和等級保護要求，兩網之間部署網閘，制定相應的互聯互通安全策略，包括訪問控制策略和數據交換策略等，嚴格控制數據在不同網絡以及不同安全等級系統之間的流動。

5 安全管理體系設計

安全體系管理層面設計主要是依據《信息系統安全等級保護基本要求》中的管理要求而設計。分別從以下方面進行設計，計劃通過XXX和專業安全服務共同實現：

l 安全管理制度

根據安全管理制度的基本要求制定各類管理規定、管理辦法和暫行規定。從安全策略主文檔中規定的安全各個方面所應遵守的原則方法和指導性策略引出的具體管理規定、管理辦法和實施辦法，是具有可操作性，且必須得到有效推行和實施的制度。

制定嚴格的制定與發佈流程，方式，範圍等，制度需要統一格式並進行有效版本控制；發佈方式需要正式、有效並註明發佈範圍，對收發文進行登記。

信息安全領導小組負責定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定，定期或不定期對安全管理制度進行評審和修訂，修訂不足及進行改進。

l 安全管理機構

根據基本要求設置安全管理機構的組織形式和運作方式，明確崗位職責；

設置安全管理崗位，設立系統管理員、網絡管理員、安全管理員等崗位，根據要求進行人員配備，配備專職安全員；成立指導和管理信息安全工作的委員會或領導小組，其最高領導由監所主管領導委任或授權；制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。

建立授權與審批制度；

建立內外部溝通合作渠道；

定期進行全面安全檢查，特別是系統日常運行、系統漏洞和數據備份等。

l 人員安全管理

根據基本要求制定人員錄用，離崗、考核、培訓幾個方面的規定，並嚴格執行；規定外部人員訪問流程，並嚴格執行。

l 系統建設管理

根據基本要求制定系統建設管理制度，包括：系統定級、安全方案設計、產品採購和使用、自行軟件開發、外包軟件開發、工程實施、測試驗收、系統交付、系統備案、等級評測、安全服務商選擇等方面。從工程實施的前、中、後三個方面，從初始定級設計到驗收評測完整的工程週期角度進行系統建設管理。

l 系統運維管理

根據基本要求進行信息系統日常運行維護管理，利用管理制度以及安全管理中心進行，包括：環境管理、資產管理、介質管理、設備管理、監控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防範管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理等，使系統始終處於相應等級安全狀態中。

6 安全運維體系設計

新華三根據用戶當前安全運維需要和安全技術保障需要提出與信息系統安全總體方案中運維部分相適應的本期安全實施內容，以保證安全技術建設的同時，安全運維的同步建設，具體活動內容包括：

結合系統實際安全運維需要和本次技術建設內容，確定本次安全運維建設的範圍和內容，同時注意與信息系統安全總體方案的一致性。安全運維設計的內容主要考慮：日常安全運維、事件應急響應、安全諮詢與評估、系統加固與培訓等。

6.1 週期性安全評估

Ø 網絡設備評估

根據信息系統中設備類型的不同，對核心層、交換層和接入層及防火牆、入侵檢測等邊界網絡安全設備的訪問控制和安全策略，現狀有針對性進行風險評估。

Ø 操作系統評估

網絡服務器及可互聯終端的安全始終是信息系統安全的一個重要方面，攻擊者往往通過控制它們來破壞系統和信息，或擴大已有的破壞。

網絡攻擊的成功與否取決於三個因素：攻擊者的能力；攻擊者的動機；攻擊者的機會。正常情況下，我們是無法削弱攻擊者的能力和動機這兩個因素，但有一點我們可以做到減少他們的攻擊機會。

對操作系統開放的服務、安全配置、訪問控制、系統漏洞進行安全脆弱性風險評估。

Ø 應用程序評估

應用程序本身存在一定的安全缺陷和隱患，攻擊者可以利用應用程序中的漏洞入侵系統、竊取信息及中斷系統服務。為保證客戶重要業務系統保密性、可用性，對操作系統上基於WEB服務及第三方應用程序做安全評估。

6.2 週期性安全加固

Ø 網絡設備加固

網絡設備的加固，是通過對人工評估對網絡設備的配置進行評估，通過評估出的問題，進行安全加固，在進行安全加固前，應該對加固的配置進行檢驗，防止因為加固而導致網絡的崩潰。在加固過程中，主要對以下內容進行加固：

ü 口令安全規範

ü 訪問安全規範

ü 日誌安全規範

ü 其它安全規範

ü 路由協議安全規範

Ø 安全設備加固

對網絡安全設備進行加固，主要加固對象為防火牆、交換機、IPS系統。

Ø 安全域的劃分：

根據評估結果確定防火牆劃分的安全域（內、醫院辦公外網及DMZ區）是否合理，如果存在問題需要重新劃分相關區域。

Ø 更新版本或引擎：

和廠商確定防火牆的當前最新版本（引擎版本及管理平臺版本），在相關人員配合下升級到最新版本。

Ø 防火牆安全配置：

根據評估結果對防火牆的整體配置進行加固，包括以下加固對象：

ü 防火牆管理策略

ü 訪問策略

ü 綁定策略；

ü SNMP安全策略

ü 防攻擊策略

ü HA策略

ü 審核策略

Ø 操作系統加固

用戶按照其信息保護策略購入並部署好設備後，主機中的主要組成系統，包括操作系統、軟件配置等，往往在一定時間段內是保持相對穩定的。在這段時間內，如果設備本身存在安全上的脆弱性，則往往會成為攻擊者攻擊的目標。這些需要加固的安全脆弱性包括：

ü 提供不必要的網絡服務，提高了攻擊者的攻擊機會

ü 存在不安全的配置，帶來不必要的安全隱患

ü 不適當的訪問控制

ü 存在系統軟件上的安全漏洞

ü 物理上沒有得到安全存放，容易遭受臨近攻擊，針對這些安全弱點，我們提出如下幾點設備的安全加固技術建議

ü 禁用不必要的網絡服務

ü 修改不安全的配置

ü 利用最小特權原則嚴格對設備的訪問控制

ü 及時對系統進行軟件升級

ü 提供符合IPP要求的物理保護環境

Ø 應用程序加固

安全的威脅不僅來自設備和操作系統，應用程序本身由於設計缺陷、系統兼容、人為預留後門、病毒、WEB服務等各種因素所導致的弱點，針對應用程序中存在的安全隱患，提高信息系統整體的抗病毒能力，對所有外聯應用程序採用非線測試的技術手段，進行風險分析加固。在線應用系統加固採用安全掃描技術、主頁防篡改技術等。包括以下加固對象：

ü 網站代碼優化及程序的功能修補

ü 網站程序腳本漏洞修補

ü 數據庫安全策略

ü Web代碼分析

ü 程序上線前測試

ü 病毒防落地、防傳播、防擴散加固

6.3 定期安全巡檢

Ø 巡檢對象確定

安全關鍵點分析：

對影響系統、業務安全性的關鍵要素進行分析，確定安全狀態監控的對象，這些對象可能包括防火牆、入侵檢測、防病毒、核心路由器、核心交換機、主要通信線路、關鍵服務器或客戶端等系統範圍內的對象；也可能包括安全標準和法律法規等外部對象。

形成巡檢對象列表：

根據確定的巡檢對象，分析巡檢的必要性和可行性，形成監控對象列表。

Ø 巡檢對象狀態信息收集

巡檢工具：

根據巡檢對象的特點、巡檢管理的具體要求、巡檢工具的功能、性能特點等，選擇合適的巡檢工具。建立完善的運維巡檢體系。

狀態信息收集：

整理備案巡檢對象的各類狀態信息，包括網絡流量、日誌信息、安全報警、性能狀況、外部環境的安全標準和變更信息。

Ø 巡檢狀態分析和報告

狀態分析：

對安全狀態信息進行分析，及時發現險情、隱患或安全事件，並記錄這些安全事件，分析其發展趨勢。

影響分析：

根據對安全狀況變化的分析，分析這些變化對安全的影響，通過判斷他們的影響決定是否有必要作出響應。

形成安全狀態分析報告：

根據安全狀態分析和影響分析的結果，形成安全狀態分析報告，上報客戶安全事件或啟動應急預案。

6.4 應急響應處置

緊急事件響應，是當安全威脅事件發生後迅速採取的措施和行動，其目的是最快速恢復系統的保密性、完整性和可用性，阻止和降低安全威脅事件帶來的嚴重性影響。

緊急事件主要包括：

Ø 病毒和蠕蟲事件

Ø 黑客入侵事件

Ø 誤操作或設備故障事件

但通常在事件爆發的初始很難界定具體是什麼。所以，通常又通過安全威脅事件的影響程度來分類：

Ø 單點損害：只造成獨立個體的不可用，安全威脅事件影響弱。

Ø 局部損害：造成某一系統或一個局部網絡不可使用，安全威脅事件影響較高。

Ø 整體損害：造成整個網絡系統的不可使用，安全威脅事件影響高。

當入侵或者破壞發生時，對應的處理方法主要的原則是首先保護或恢復計算機、網絡服務的正常工作；然後再對入侵者進行追查。因此對於客戶緊急事件響應服務主要包括準備、識別事件（判定安全事件類型）、抑制（縮小事件的影響範圍）、解決問題、恢復以及後續跟蹤。

準備工作

Ø 建立客戶事件檔案

Ø 與客戶就故障級別進行定義，詳見6.5小節描述。

Ø 準備安全事件緊急響應服務相關資源

Ø 為一個突發事件的處理取得管理方面支持

Ø 組建事件處理隊伍（1-10人）

Ø 提供易實現的初步報告

Ø 制定一個緊急後備方案

Ø 隨時與管理員保持聯繫

識別事件

Ø 在指定時間內指派安全服務小組去負責此事件

Ø 事件抄送專家小組

Ø 初步評估，確定事件來源

Ø 注意保護可追查的線索，諸如立即對日誌、數據進行備份（應該保存在磁帶上或其它不聯機存儲設備）

Ø 聯繫客戶系統的相關服務商廠商、

縮小事件的影響範圍

Ø 確定系統繼續運行的風險如何，決定是否關閉系統及其它措施

Ø 客戶相關工作人員與本公司相關工作人員保持聯繫、協商

Ø 根據需求制定相應的應急措施

問題解決

Ø 事件的起因分析

Ø 事後取證追查

Ø 後門檢查

Ø 漏洞分析

Ø 提供解決方案

Ø 結果提交專家小組審核

後續工作

Ø 檢查是不是所有的服務都已經恢復

Ø 攻擊者所利用的漏洞是否已經解決

Ø 其發生的原因是否已經處理

Ø 保險措施，法律聲明/手續是否已經歸檔

Ø 應急響應步驟是否需要修改

Ø 生成緊急響應報告

Ø 擬定一份事件記錄和跟蹤報告

Ø 事件合併/錄入專家信息知識庫

6.5 新系統安全檢測

系統上線前檢測是應用系統生命週期中的一個重要環節，在對應用系統建設規劃和現狀充分調研的基礎上，制訂系統上線前的安全檢測方案，並根據信息系統平臺建設情況，按照系統上線前安全檢測方案實施檢測工作，進行徹底全面的安全弱點評估，發現潛在的安全漏洞。上線前檢測需採用對系統非侵害的測試方法，檢驗系統的安全防護能力，發現安全風險及漏洞，採用方法至少包括遠程滲透測試、設計文檔檢查等。

通過上線前的檢測工作，對應用系統所覆蓋的全部資產再次進行確認識別，完成對應用系統等級保護建設措施落實情況的合規性分析，對應用系統等級保護實施的各項安全措施和管理制度進行全面的風險評估，明確殘餘風險；依據風險評估結果、上線前檢測結果、合規性分析結果，進行差距分析，提出安全改進建議。

7 等級保護服務流程

為實現項目目標，在本次等級保護服務項目中，將包括協助系統定級、差距分析、等級保護建設整改、等級保護管理制度建設、等保測評、安全運維。

系統定級備案

重要信息系統的定級工作，是開展等級保護的首要環節，是進行信息系統建設、整改、測評、備案、監督檢查等後續工作的重要基礎。

差距分析

差距分析工作內容就是根據網絡和信息系統的安全保護等級，根據國家等級保護相應等級的技術和管理要求，分析評價網絡和信息系統當前的安全防護水平和措施與相應等級要求之間的差距。

等保建設整改

等級保護建設整改是根據信息系統差距分析結果，對信息系統所依賴的服務器操作系統、數據庫、網絡及安全設備進行配置安全加固，安裝和實施各項新增安全設備，保障信息系統的安全穩定性。

等保管理制度建設

等級保護管理制度建設是根據信息安全等級保護安全管理的要求，編寫符合等級保護要求的信息安全管理規範和制度，通過安全管理的加強來規避管理風險。

7.1 定級備案

7.1.1 工作目的

協助完成安全等級保護的定級與備案。依據《信息系統安全等級保護定級指南》, 對客戶進行未定級、備案信息系統進行梳理,協助客戶完成信息系統安全等級保護的定級與備案工作。

7.1.2 工作方式

在定級諮詢過程中，新華三諮詢顧問將通過現場調研的方式來全面瞭解客戶主要信息系統的基本情況，如數量、類別、名稱、承載業務、服務範圍、用戶數量、部署方式，以進行彙總分析，初步進行系統歸類、重要性劃分，為下一步確定定級對象、確定級別、形成定級報告做準備。

現場信息資料收集，以及對系統管理員進行訪談及信息確認，是現場調研的主要工作。通過現場的瞭解，可以較深入理解信息系統的重要程度，重要信息的分類情況，以及用戶分佈情況。一般系統的定級結果，不依賴於現有保護措施，所以通過現場的工作，可以基本準確理解信息系統及承載重要信息的侵害客體以及侵害程度，從而為進一步定級報告的編寫打下良好基礎。

7.1.3 工作內容

7.1.3.1 協助定級

如果信息系統只承載一項業務，可以直接為該信息系統確定等級，不必劃分業務子系統。如果信息系統承載多項業務，應根據各項業務的性質和特點，將信息系統分成若干業務子系統，分別為各業務子系統確定安全保護等級，信息系統的安全保護等級由各業務子系統的最高等級決定。信息系統是進行等級確定和等級保護管理的最終對象。

現場調研後，新華三諮詢顧問會準備《信息系統安全等級保護定級報告模板》，給出定級報告示例。客戶信息管理部門和業務部門依據定級報告模板，起草各信息系統安全等級保護定級報告，諮詢顧問根據已經掌握的信息系統情況，對各信息系統定級報告的合理性進行初步研究和審核把關，請相關單位派人共同討論，按照系統類別梳理定級報告，對照國家對不同等級的要求，在報告內容、行文格式、定級準確性等方面給出修改意見。根據討論的定級報告修改意見，統一彙總、整理後，形成定級報告的專家評審稿。

7.1.3.2 專家評審

新華三諮詢顧問還將根據需要協助聘請等級保護專家、行業專家、主管機關領導等外部專家，召開信息系統定級評審會，對定級報告進行外部評審，形成評審意見。

新華三諮詢顧問將參考專家定級評審意見，最終協助確定信息系統等級，協助將各信息系統安全保護等級定級報告報經上級主管部門審批同意。

最後，諮詢顧問將協助填寫《信息系統安全等級保護備案表》，協助客戶主要業務系統完成備案工作。

7.1.4 提交成果

《信息系統安全等級保護備案表》

《信息系統安全等級保護定級報告》

《專家評審意見》

7.2 差距分析

根據國家等級保護政策法規和標準規範，確定安全保護等級的信息系統應該具有相應級別的安全防護能力，其中主要是根據GBT22239-2008《信息安全技術_信息系統安全等級保護基本要求》來分析XXX目前的安全防護能力與基本要求中相應級別之間的差距。

7.2.1 工作目的

根據國家等級保護要求，對於確定了安全保護等級的信息系統規定了基本的安全保護要求，規定了應該具有的防護措施，以確保信息系統具有相當水平的安全防護能力。

差距分析就是根據GBT22239-2008《信息安全技術_信息系統安全等級保護基本要求》，結合雲平臺的業務情況和行業要求，從安全技術和安全管理兩個方面，全面分析信息系統現有防護措施和能力與相應等級基本要求之間存在的差距，用以為等級保護建設提供客觀依據並指導信息系統等級保護體系設計。

7.2.2 工作方式

業務系統差距分析工作計劃通過以下方式進行。

n訪談

訪談是指評估人員與信息系統有關人員就差距分析所關注的問題進行有針對性的詢問和交流的過程，該過程可以幫助評估者瞭解現狀、澄清疑問或獲得證據。

訪談深度（即訪談內容的詳細程度）以及訪談的廣度（即對被評估組織中員工角色類型以及每種類型中人數的覆蓋程度）由評估人員依據不同的評估需要進行選擇和判斷。

n檢查

檢查是指對評估對象（如規範、機制或行為）進行觀察、調查、評審、分析或核查的過程。與訪談類似，該過程可以幫助評估者瞭解現狀、澄清疑問或獲得證據。

比較典型的檢查行為包括：對安全配置的核查、對安全策略的分析和評審等。

n測試

測試是指在特定環境中運行一個或多個評估對象（限於機制或行為）並將實際結果與預期結果進行比較的過程。測試的目標是判定對象是否符合預定的一組規格。測試過程可以幫助評估者獲得證據。

n調查表

根據系統業務情況和系統現狀，制定詳細的調查表，並由安徽移動相關人員進行填寫，以獲得業務系統基礎數據。具體包括應用信息系統調查表、物理資產調查表、軟件資產調查表、各相關設備資產調查表。

7.2.3 工作內容

按照等級保護實施要求，不同安全等級的信息系統應該具備相應等級的安全防護能力，部署相應的安全設備，制定相應的安全管理機構、制度、崗位等。差距分析就是依據等級保護技術標準和管理規範，比較分析信息系統安全防護能力與等級要求之間的差距，為等級化體系設計提供依據。

7.2.4 提交成果

XXX差距分析過程中將產生眾多文檔，其中包括過程文檔和結果文檔，過程文檔用以支持諮詢人員進行差距分析，並形成結果文檔《XXX等級保護差距分析報告》。

信息系統等級保護差距分析報告主要內容：差距分析是以現場調查和測試所收集的信息為依據，滿足等級保護要求為目標，對現有系統安全做出的一種客觀的、真實的評價。報告內容包括對各信息系統現有安全防護水平與相應等級之間差距的描述和整改建議等。差距分析是制定信息系統安全等級保護體系設計方案前的一個非常關鍵的環節，為信息系統安全等級保護體系設計方案的撰寫提供參考。

7.3 等保建設整改

7.3.1 工作目的

根據前期等級保護整改、差距分析結果，結合XXX的業務需求，對信息系統的服務器、網絡設備、安全設備、數據庫進行安全策略加強、調優等，加強網絡、系統和設備抵禦攻擊和威脅的能力，整體提高網絡安全防護水平。

7.3.2 工作方式

安全加固與優化將採用如下工作方式：

會議交流：項目組將根據脆弱性檢測結果，提出安全加固與優化建議，並通過組織交流會的形式，與相關負責人就每臺主機、網絡與安全設備的具體加固內容進行協商，明確操作風險，探討利害關係，確定加固方式，最終確定安全加固方案；

現場實施：項目組將赴現場，以安全加固方案為依據，協助和指導系統運維人員進行加固與優化操作，逐項實施每臺設備的安全加固項目。

7.3.3 工作流程

系統相關網絡設備、安全設備、服務器操作系統以及數據庫等配置安全加固與優化的工作流程如下圖所示：

圖 配置安全加固工作流程

配置加固流程描述如下（項目實施中，可以根據實際情況需要，對流程進行調整、合併和展開等）：

1. 確定加固範圍：確定實施範圍，如應用系統、資產等；

2. 制定加固實施方案：確定實施人員、加固工具、進度計劃等，為實施提供指導；

3. 向項目負責人彙報：就配置加固實施方案向項目負責人彙報，並得到同意；

4. 系統備份：對配置加固涉及的系統和數據進行備份；

5. 加固實施：根據配置加固實施方案進行加固實施；

6. 檢驗加固結果：驗證配置加固的有效性；

7. 提交加固報告、總結匯報：總結配置加固實施情況，並進行彙報。

7.3.4 工作內容

根據前期對XXX進行的調研、評估與測評結果，以等級保護體系設計和等級保護差距分析報告為依據，根據網絡安全特殊需求和業務流程制定安全加固方案，在不影響當前業務開展的前提下，對信息系統內的操作系統、數據庫、安全設備以及中間件的安全配置策略進行加強，降低惡意攻擊者利用安全漏洞威脅系統安全運行的幾率，從而有效控制因系統配置不當等因素引發的業務中斷及信息外洩等風險，將高風險漏洞和中風險漏洞降低至可接受的範圍內，使得應用系統的安全狀況提升到一個較高的水平。

本次項目安全加固對象分為四類，即信息系統內的操作系統、數據庫、中間件以及網絡與安全設備。

7.3.5 提交成果

XXX安全加固與優化工作將產生如下文檔：

《系統安全掃描人工分析報告》、《安全配置檢查和加固建議報告》、《系統主機設備加固報告》、《網絡設備加固實施報告》。

通過對系統相關主機、網絡與安全設備配置的加固與優化，將會減少安全漏洞和設備配置策略的不合理性，提高系統抗攻擊的能力，從而可有效防範攻擊、限制危害蔓延，充分發揮各項安全措施的作用，增強系統的安全性和穩定性。

7.4 等級保護管理制度建設

7.4.1 工作目的

以等級保護差距分析結果為依據，依照安全保障體系設計所提及的建設內容，按照等級保護標準要求，制定等級保護管理體系框架，明確管理方針、策略，以及相應的規定、操作規程、業務流程和記錄表單；XXX從貼合業務流程的原則出發，指導系統運維方按照等級保護三級系統的管理標準，編寫管理制度文件，並進行反覆溝通和修訂，確保所制定的文件的適用性，且滿足各系統相應保護等級的安全管理要求。通過制定和完善管理制度，明確責任權力，規範操作，加強對人員、設備和業務系統的管理，完備應急響應機制，將顯著提升XXX的信息安全管理水平，有效控制信息系統所面臨的安全風險，從而確保業務系統的安全、穩定運行。

7.4.2 工作方式

等級制度建設的工作方式主要如下：

1、調研訪談：採用定製的調研問卷進行訪談，瞭解XXX的詳細情況，如組織機構（部門設置、人員職務、外部聯繫和接口）、業務流程（目標、流程、人員、物理位置、外部聯繫和接口）、信息資產（網絡拓撲、主機和設備資料）、內部文件（運維程序、安全管理制度、建設方案）、原有管理相關文件及需遵守的法律法規文件等。

2、項目會議：召開會議，以調研訪談記錄和差距分析結果為依據，研究制定安全管理制度框架和編寫相應的管理制度。

3、交流：與相關人員就管理制度框架、管理制度內容進行反覆的溝通、討論和修訂，確保安全管理制度貼合業務實際，並滿足等級保護標準和相關政策要求。

7.4.3 工作內容

制定和XXX的安全保護等級相適應的配套管理制度，制度相關內容如下：

1、安全管理機構：加強和完善安全機構的建設，設立指導和管理信息安全工作的信息安全領導小組，設立安全主管、安全管理各個方面的負責人，明確定義各個工作崗位的職責。建立各種安全管理活動的審批程序，明確對內對外的溝通協作方式，建立對各項安全管理活動的監督審核機制。

2、安全管理制度：在差距分析的基礎上，建立信息安全工作總體方針、安全策略，以方針策略為依據建立配套的安全管理制度及流程規範，由專門的組織機構負責管理制度的制訂、發佈和貫徹落實。定期對制度進行評審和修訂，確保安全管理制度的適用性。

3、人員安全管理：主要涉及兩方面，對內部人員的安全管理和對外部人員的安全管理。具體包括人員錄用、人員離崗、人員考核、安全意識教育和培訓和外部人員訪問管理等方面。

4、系統建設管理：為了建設符合安全等級保護要求的信息系統、系統建設管理主要關注的是信息系統生命週期中的前三個階段（即設計、採購、實施）中各項安全管理活動，實現信息系統的安全管理貫穿系統的整個生命週期。系統建設管理分別從工程實施建設前、建設過程以及建設完畢交付等三方面考慮，具體包括系統定級、安全方案設計、產品採購和使用、自行軟件開發、外包軟件開發、工程實施、測試驗收、系統交付、系統備案、等級測評和安全服務商選擇等方面。

5、系統運維管理：系統運行涉及到很多管理方面，要保證系統始終處於相應安全保護等級的安全狀態中。要監控系統發生的重大變化，以便修改對應的安全措施。系統運維管理主要包括環境管理、資產管理、介質管理、設備管理、監控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防範管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理等方面。

7.4.4 工作成果

依照等級保護標準，綜合考慮安全管理機構、安全管理制度、人員安全管理、系統建設管理和系統運維管理各方面的具體要求，建立安全管理框架，如圖所示：

等級保護管理制度框架

以安全管理框架為基礎，本次制度建設具體內容包括（不限於以下文件）：

1、《信息安全管理手冊》：規定了XXX安全管理的方針、目標和策略，明確應採取的相應控制措施，並對整套文檔進行解釋說明。

2、《組織機構及職責》明確安全管理機構及各成員職責，規定機房管理員、系統管理員、網絡管理員、數據庫管理員和安全管理員的崗位職責，並對單位對內對外的溝通等方面作出要求。

3、《機房管理》對機房環境要求、人員與設備進出、工作人員管理、日常監控管理、系統上線及變更管理等做出明確規定。

4、《辦公場所保護》對辦公場所安全管理和消防安全進行規定，以加強辦公場所的防火、防盜、防信息洩露等工作。

5、《病毒防範》對防病毒的控制措施和操作程序制定管理規範，以預防病毒與各種惡意軟件的入侵，提高對病毒的防禦能力，保障XXX和日常工作的正常進行。

6、《資產分類分級》對資產進行分類和統一化標識，使XXX的資產受到有效的保護。

7、《介質管理》為加強對介質的使用控制和物理上的保護，防止其承載的敏感信息遭洩漏、篡改、丟失或破壞，對介質的處置做出明確規定。

8、《應用系統運維管理》對應用系統日常維護所涉及的巡檢、配置管理、故障處置、系統優化、軟件維護等工作進行相應規定，並明確考核措施。

9、《網絡設備配置管理》對網絡、安全設備配置的管理，以及配置變更所涉及的申請、審批和實施等事項作出明確規定。

10、《終端安全》規範終端的應用，對終端的使用和聯網進行明確規定，以防止病毒、網絡攻擊及失洩密事件的發生。

11、《網站管理》對網站建設、信息發佈、網站監控與維護作出明確規定，確保網站的安全性與可靠性。

12、《培訓管理》要求定期開展培訓，並對培訓流程進行規範，對培訓效果進行考核，確保人員的安全意識和技術水平得以有效提升。

13、《外包人員管理》對外包服務人員的派遣、監督和考核作出明確規定，確保外保服務質量。

14、《系統安全建設》以等級保護要求為依據，對信息系統建設的各階段作出了相應規定，以提高XXX的安全保障能力和水平，保障並促進信息化建設。

15、《變更管理》明確需要執行申報審批手續的重要變更事項，如補丁更新、軟件升級、設備更換等，並對變更的執行流程進行規定。

16、《設備管理》對設備的獲取、接收、入賬、維護、用途變更、報廢處理等環節做出明確規定，防止因資產的丟失、損壞、失竊、使用不當而導致業務系統正常運行的中斷。

17、《網絡監控審計》監控網絡運行狀況，對安全審計、IDS等設備的使用作出明確規定，以保雲平臺網絡安全、高效運行。

18、《補丁管理》對服務器操作系統、小型機操作系統、終端計算機操作系統、應用中間件和數據庫軟件的補丁更新要求和操作流程進行規範，確保系統防禦病毒和網絡攻擊的能力。

19、《備份恢復》確定業務數據的備份策略，並從數據恢復的申請、申請的審批、實施數據恢復、結果檢查等方面做出明確規定，以保證業務系統數據的完整性和可用性。

20、《帳戶/口令管理》明確帳戶的角色及權限管理，並對口令的設置、保管與更新進行了明確規定，以防止非授權訪問。

21、《安全巡檢》對網絡與安全設備、服務器、應用系統和機房基礎環境的巡檢工作進行規範，以保證XXX的安全運行，有效消除安全隱患。

7.5 等保測評

7.5.1 工作目的

為XXX順利通過等級保護測評認證。

7.5.2 工作內容

等級測評過程中將對系統的技術體系和管理體系進行全方位的安全測評。其中，技術體系包含：物理安全、網絡安全、主機安全、應用安全、數據安全及備份恢復5個方面安全測評。管理體系包含：安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理5個方面的安全測評。

7.5.3 工作成果

通過等級測評工作，併成功備案。

7.6 安全運維

7.6.1 工作目的

為滿足XXX的安全建設需求，提高信息系統安全保障能力。等級保護認證通過後，XXX希望通過三年等保運維服務來不斷完善整網安全防護。

7.6.2 工作方式

定期和不定期運維。

7.6.3 工作內容

主要工作為推動安全管理制度的落實工作，包括但不限於以下工作內容：

1、 定期安全漏洞掃描工作；

2、 定期進行設備安全基線核查工作；

3、 組織安全整改工作；

4、 組織安全培訓；

5、 其他安全管理工作。

7.6.4 工作成果

建立並落實完整的安全運維體系。其工作成果主要體現在日常工作內容和一系列安全工作報告中

8 涉及的安全服務

略

9 建設預算

略