政務(wù)云安全設(shè)計(jì)方案

1、政務(wù)云安全設(shè)計(jì)方案目錄 TOC o 1-3 h z u HYPERLINK l _Toc498440549 一、 項(xiàng)目概述 PAGEREF _Toc498440549 h 5 HYPERLINK l _Toc498440550 1.1 建設(shè)目標(biāo) PAGEREF _Toc498440550 h 5 HYPERLINK l _Toc498440551 1.2 設(shè)計(jì)原則 PAGEREF _Toc498440551 h 5 HYPERLINK l _Toc498440552 1.3 參考依據(jù) PAGEREF _Toc498440552 h 6 HYPERLINK l _Toc498440553 二、

2、總體設(shè)計(jì)架構(gòu) PAGEREF _Toc498440553 h 7 HYPERLINK l _Toc498440554 2.1 總體框架設(shè)計(jì) PAGEREF _Toc498440554 h 7 HYPERLINK l _Toc498440555 2.2 政務(wù)外網(wǎng)安全架構(gòu)設(shè)計(jì) PAGEREF _Toc498440555 h 8 HYPERLINK l _Toc498440556 2.3 政務(wù)內(nèi)網(wǎng)安全架構(gòu)設(shè)計(jì) PAGEREF _Toc498440556 h 10 HYPERLINK l _Toc498440557 2.4 政務(wù)內(nèi)外網(wǎng)擺渡區(qū)架構(gòu)設(shè)計(jì) PAGEREF _Toc498440557 h 11

3、 HYPERLINK l _Toc498440558 2.5 政務(wù)內(nèi)外網(wǎng)架構(gòu)總體設(shè)計(jì)（含縣區(qū)） PAGEREF _Toc498440558 h 12 HYPERLINK l _Toc498440559 三、 安全體系設(shè)計(jì) PAGEREF _Toc498440559 h 13 HYPERLINK l _Toc498440560 3.1 總體安全策略 PAGEREF _Toc498440560 h 13 HYPERLINK l _Toc498440561 3.2 網(wǎng)絡(luò)安全 PAGEREF _Toc498440561 h 14 HYPERLINK l _Toc498440562 3.2.1 網(wǎng)絡(luò)結(jié)構(gòu)

4、安全 PAGEREF _Toc498440562 h 14 HYPERLINK l _Toc498440563 3.2.2 網(wǎng)絡(luò)安全審計(jì) PAGEREF _Toc498440563 h 15 HYPERLINK l _Toc498440564 3.2.3 網(wǎng)絡(luò)訪問(wèn)控制 PAGEREF _Toc498440564 h 15 HYPERLINK l _Toc498440565 3.2.4 邊界完整性檢查 PAGEREF _Toc498440565 h 16 HYPERLINK l _Toc498440566 3.2.5 入侵防范 PAGEREF _Toc498440566 h 16 HYPERLI

5、NK l _Toc498440567 3.2.6 惡意代碼防范 PAGEREF _Toc498440567 h 17 HYPERLINK l _Toc498440568 3.2.7 網(wǎng)絡(luò)設(shè)備防護(hù) PAGEREF _Toc498440568 h 17 HYPERLINK l _Toc498440569 3.3 主機(jī)安全 PAGEREF _Toc498440569 h 18 HYPERLINK l _Toc498440570 3.3.1 身份鑒別 PAGEREF _Toc498440570 h 19 HYPERLINK l _Toc498440571 3.3.2 訪問(wèn)控制 PAGEREF _Toc

6、498440571 h 19 HYPERLINK l _Toc498440572 3.3.3 安全審計(jì) PAGEREF _Toc498440572 h 20 HYPERLINK l _Toc498440573 3.3.4 剩余信息保護(hù) PAGEREF _Toc498440573 h 21 HYPERLINK l _Toc498440574 3.3.5 入侵防范 PAGEREF _Toc498440574 h 21 HYPERLINK l _Toc498440575 3.3.6 惡意代碼防范 PAGEREF _Toc498440575 h 22 HYPERLINK l _Toc498440576

7、 3.3.7 資源控制 PAGEREF _Toc498440576 h 22 HYPERLINK l _Toc498440577 3.4 應(yīng)用安全 PAGEREF _Toc498440577 h 23 HYPERLINK l _Toc498440578 3.4.1 身份鑒別 PAGEREF _Toc498440578 h 23 HYPERLINK l _Toc498440579 3.4.2 訪問(wèn)控制 PAGEREF _Toc498440579 h 24 HYPERLINK l _Toc498440580 3.4.3 安全審計(jì) PAGEREF _Toc498440580 h 24 HYPERLI

8、NK l _Toc498440581 3.4.4 剩余信息保護(hù) PAGEREF _Toc498440581 h 24 HYPERLINK l _Toc498440582 3.4.5 通信完整性 PAGEREF _Toc498440582 h 25 HYPERLINK l _Toc498440583 3.4.6 通信保密性 PAGEREF _Toc498440583 h 25 HYPERLINK l _Toc498440584 3.4.7 抗抵賴 PAGEREF _Toc498440584 h 26 HYPERLINK l _Toc498440585 3.4.8 軟件容錯(cuò) PAGEREF _To

9、c498440585 h 26 HYPERLINK l _Toc498440586 3.4.9 資源控制 PAGEREF _Toc498440586 h 27 HYPERLINK l _Toc498440587 3.5 數(shù)據(jù)安全 PAGEREF _Toc498440587 h 27 HYPERLINK l _Toc498440588 3.5.1 數(shù)據(jù)傳輸安全 PAGEREF _Toc498440588 h 27 HYPERLINK l _Toc498440589 3.5.2 數(shù)據(jù)完整性與保密性 PAGEREF _Toc498440589 h 28 HYPERLINK l _Toc4984405

10、90 3.5.3 數(shù)據(jù)備份與恢復(fù) PAGEREF _Toc498440590 h 28 HYPERLINK l _Toc498440591 3.6 安全產(chǎn)品部署 PAGEREF _Toc498440591 h 30 HYPERLINK l _Toc498440592 四、 總體實(shí)施方案概述 PAGEREF _Toc498440592 h 31 HYPERLINK l _Toc498440593 4.1 項(xiàng)目管理 PAGEREF _Toc498440593 h 31 HYPERLINK l _Toc498440594 4.1.1 項(xiàng)目整體管理 PAGEREF _Toc498440594 h 31

11、 HYPERLINK l _Toc498440595 4.1.2 項(xiàng)目管理范圍 PAGEREF _Toc498440595 h 32 HYPERLINK l _Toc498440596 4.1.3 項(xiàng)目進(jìn)度管理 PAGEREF _Toc498440596 h 32 HYPERLINK l _Toc498440597 4.1.4 項(xiàng)目成本管理 PAGEREF _Toc498440597 h 34 HYPERLINK l _Toc498440598 4.1.5 項(xiàng)目質(zhì)量管理 PAGEREF _Toc498440598 h 34 HYPERLINK l _Toc498440599 4.1.6 項(xiàng)目人

12、力資源管理 PAGEREF _Toc498440599 h 36 HYPERLINK l _Toc498440600 4.1.7 項(xiàng)目溝通管理 PAGEREF _Toc498440600 h 37 HYPERLINK l _Toc498440601 4.1.8 文檔與配置管理 PAGEREF _Toc498440601 h 38 HYPERLINK l _Toc498440602 4.1.9 項(xiàng)目變更管理 PAGEREF _Toc498440602 h 39 HYPERLINK l _Toc498440603 4.1.10 信息系統(tǒng)安全管理 PAGEREF _Toc498440603 h 39

13、 HYPERLINK l _Toc498440604 4.1.11 項(xiàng)目風(fēng)險(xiǎn)管理 PAGEREF _Toc498440604 h 40 HYPERLINK l _Toc498440605 4.1.12 項(xiàng)目驗(yàn)收管理 PAGEREF _Toc498440605 h 41 HYPERLINK l _Toc498440606 4.2 建設(shè)范圍及內(nèi)容 PAGEREF _Toc498440606 h 42 HYPERLINK l _Toc498440607 4.3 項(xiàng)目管理組織機(jī)構(gòu) PAGEREF _Toc498440607 h 42 HYPERLINK l _Toc498440608 4.3.1 項(xiàng)目

14、組織計(jì)劃涉及的內(nèi)容 PAGEREF _Toc498440608 h 42 HYPERLINK l _Toc498440609 4.3.2 人員組織架構(gòu) PAGEREF _Toc498440609 h 49 HYPERLINK l _Toc498440610 4.4 實(shí)施規(guī)劃 PAGEREF _Toc498440610 h 53 HYPERLINK l _Toc498440611 4.4.1 實(shí)施環(huán)節(jié)規(guī)劃總表 PAGEREF _Toc498440611 h 53 HYPERLINK l _Toc498440612 4.4.2 設(shè)備訂貨及到貨 PAGEREF _Toc498440612 h 53

15、HYPERLINK l _Toc498440613 4.4.3 詳細(xì)實(shí)施方案設(shè)計(jì) PAGEREF _Toc498440613 h 54 HYPERLINK l _Toc498440614 4.4.4 檢測(cè)方案 PAGEREF _Toc498440614 h 56 HYPERLINK l _Toc498440615 五、 技術(shù)培訓(xùn) PAGEREF _Toc498440615 h 57 HYPERLINK l _Toc498440616 5.1.1 培訓(xùn)計(jì)劃 PAGEREF _Toc498440616 h 57 HYPERLINK l _Toc498440617 5.1.2 培訓(xùn)流程 PAGERE

16、F _Toc498440617 h 58 HYPERLINK l _Toc498440618 5.1.3 培訓(xùn)內(nèi)容 PAGEREF _Toc498440618 h 58 HYPERLINK l _Toc498440619 5.1.4 培訓(xùn)方式 PAGEREF _Toc498440619 h 60 HYPERLINK l _Toc498440620 5.1.5 培訓(xùn)目標(biāo) PAGEREF _Toc498440620 h 61 HYPERLINK l _Toc498440621 5.1.6 培訓(xùn)對(duì)象 PAGEREF _Toc498440621 h 61 HYPERLINK l _Toc4984406

17、22 5.1.7 培訓(xùn)管理 PAGEREF _Toc498440622 h 61 HYPERLINK l _Toc498440623 六、 售后服務(wù)方案 PAGEREF _Toc498440623 h 62 HYPERLINK l _Toc498440624 6.1 技術(shù)服務(wù)機(jī)構(gòu) PAGEREF _Toc498440624 h 62 HYPERLINK l _Toc498440625 6.2 售后維保服務(wù)目標(biāo) PAGEREF _Toc498440625 h 64 HYPERLINK l _Toc498440626 6.3 維保服務(wù)方式 PAGEREF _Toc498440626 h 65 HY

18、PERLINK l _Toc498440627 6.3.1 遠(yuǎn)程支持 PAGEREF _Toc498440627 h 65 HYPERLINK l _Toc498440628 6.3.2 現(xiàn)場(chǎng)支持 PAGEREF _Toc498440628 h 65 HYPERLINK l _Toc498440629 6.3.3 預(yù)防性健康檢查方式 PAGEREF _Toc498440629 h 65 HYPERLINK l _Toc498440630 6.3.4 服務(wù)響應(yīng)時(shí)間 PAGEREF _Toc498440630 h 66 HYPERLINK l _Toc498440631 6.4 設(shè)備保修及故障處理

19、 PAGEREF _Toc498440631 h 66 HYPERLINK l _Toc498440632 6.4.1 設(shè)備保修及部件調(diào)整 PAGEREF _Toc498440632 h 66 HYPERLINK l _Toc498440633 6.4.2 故障處理及解決時(shí)限 PAGEREF _Toc498440633 h 67 HYPERLINK l _Toc498440634 6.4.3 故障反饋 PAGEREF _Toc498440634 h 68 HYPERLINK l _Toc498440635 6.5 預(yù)防性健康檢查服務(wù) PAGEREF _Toc498440635 h 68 HYP

20、ERLINK l _Toc498440636 6.5.1 巡檢計(jì)劃 PAGEREF _Toc498440636 h 68 HYPERLINK l _Toc498440637 6.5.2 巡檢內(nèi)容 PAGEREF _Toc498440637 h 69 HYPERLINK l _Toc498440638 6.5.3 維護(hù)保養(yǎng)時(shí)間計(jì)劃表 PAGEREF _Toc498440638 h 69 HYPERLINK l _Toc498440639 6.5.4 升級(jí)及應(yīng)急演練服務(wù) PAGEREF _Toc498440639 h 71 HYPERLINK l _Toc498440640 6.5.5 技術(shù)咨詢服

21、務(wù) PAGEREF _Toc498440640 h 71 HYPERLINK l _Toc498440641 6.6 廠商配合及服務(wù)文檔 PAGEREF _Toc498440641 h 71 HYPERLINK l _Toc498440642 6.6.1 技術(shù)服務(wù)配合協(xié)調(diào) PAGEREF _Toc498440642 h 71 HYPERLINK l _Toc498440643 6.6.2 服務(wù)文檔 PAGEREF _Toc498440643 h 71 HYPERLINK l _Toc498440644 6.7 保密承諾 PAGEREF _Toc498440644 h 72 HYPERLINK

22、l _Toc498440645 七、 實(shí)施應(yīng)急方案 PAGEREF _Toc498440645 h 72 HYPERLINK l _Toc498440646 7.1 應(yīng)急流程 PAGEREF _Toc498440646 h 72 HYPERLINK l _Toc498440647 7.2 風(fēng)險(xiǎn)分析與預(yù)防措施 PAGEREF _Toc498440647 h 72 HYPERLINK l _Toc498440648 7.3 應(yīng)急處理措施 PAGEREF _Toc498440648 h 73 HYPERLINK l _Toc498440649 八、 技術(shù)轉(zhuǎn)移 PAGEREF _Toc49844064

23、9 h 74 HYPERLINK l _Toc498440650 8.1 系統(tǒng)集成項(xiàng)目測(cè)試計(jì)劃編寫規(guī)范 PAGEREF _Toc498440650 h 75 HYPERLINK l _Toc498440651 8.2 項(xiàng)目工作情況周報(bào) PAGEREF _Toc498440651 h 76 HYPERLINK l _Toc498440652 8.3 個(gè)人工作情況周報(bào) PAGEREF _Toc498440652 h 77 HYPERLINK l _Toc498440653 8.4 文檔管理 PAGEREF _Toc498440653 h 78項(xiàng)目概述建設(shè)目標(biāo)依照國(guó)家相關(guān)法律、法規(guī)要求，結(jié)合智慧城市

24、業(yè)務(wù)、應(yīng)用、數(shù)據(jù)、基礎(chǔ)設(shè)施等架構(gòu)的規(guī)劃，以提升信息安全保障能力為總目標(biāo)，以安全防護(hù)和集中監(jiān)控為基礎(chǔ)，以安全檢查、風(fēng)險(xiǎn)評(píng)估、等級(jí)保護(hù)為抓手，以應(yīng)急機(jī)制為保障，適應(yīng)大數(shù)據(jù)、云計(jì)算和基于公共網(wǎng)絡(luò)面向公眾的要求，為許昌電子政務(wù)信息化發(fā)展提供有效的信息安全保障。充分調(diào)研安全防護(hù)現(xiàn)狀，合理規(guī)劃安全域，制訂可具體操作的安全策略，并在充分利用信息安全設(shè)施的基礎(chǔ)上，構(gòu)建信息系統(tǒng)的安全技術(shù)體系、安全管理體系與服務(wù)體系，形成集防護(hù)、檢測(cè)、響應(yīng)、恢復(fù)于一體的安全保障體系，保證各系統(tǒng)等信息系統(tǒng)安全穩(wěn)定運(yùn)行，以滿足智慧城市全方位的安全保護(hù)需求。設(shè)計(jì)原則1.統(tǒng)一規(guī)劃，集約建設(shè)：基于許昌電子政務(wù)網(wǎng)絡(luò)的特點(diǎn)，著眼全局，以統(tǒng)一的

25、規(guī)劃、制度、標(biāo)準(zhǔn)和技術(shù)體系對(duì)建設(shè)和管理加以規(guī)范，同時(shí)綜合考慮先進(jìn)、成熟的技術(shù)的利用和未來(lái)系統(tǒng)升級(jí)拓展的需求，對(duì)基礎(chǔ)設(shè)施進(jìn)行集約建設(shè)，提高投資效能。2.需求主導(dǎo)，實(shí)用高效：緊緊圍繞電子政務(wù)工作需求，立足實(shí)際，急用先行，突出重點(diǎn)，先易后難，著力建設(shè)實(shí)用高效的電子政務(wù)網(wǎng)絡(luò)系統(tǒng)。3.整合資源，創(chuàng)新發(fā)展：加強(qiáng)資源整合，避免重復(fù)建設(shè)。不斷推進(jìn)技術(shù)、管理和服務(wù)創(chuàng)新，實(shí)現(xiàn)電子政務(wù)網(wǎng)絡(luò)可持續(xù)發(fā)展。4.防控結(jié)合，保障安全：堅(jiān)持積極防御、綜合防范的方針，嚴(yán)格落實(shí)等級(jí)保護(hù)機(jī)制，優(yōu)先采用國(guó)產(chǎn)化設(shè)備和系統(tǒng)，綜合運(yùn)用信息安全技術(shù)，強(qiáng)化許昌電子政務(wù)網(wǎng)絡(luò)安全措施和管理，做到既確保安全又方便使用。參考依據(jù)GB-17859 計(jì)算機(jī)

26、信息系統(tǒng)安全等級(jí)保護(hù)劃分準(zhǔn)則GBT-22240 信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南GBT-22239 信息系統(tǒng)安全等級(jí)保護(hù)基本要求GBT-25070 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求GBT-25058 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)指南GBT-20270 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GBT-20271 信息系統(tǒng)通用安全技術(shù)要求GBT-21052 信息系統(tǒng)物理安全技術(shù)要求GBT-20269 信息系統(tǒng)安全管理要求GBT-20984 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GAT708 信息系統(tǒng)安全等級(jí)保護(hù)體系框架總體設(shè)計(jì)架構(gòu)總體框架設(shè)計(jì)根據(jù)風(fēng)險(xiǎn)分析、需求分析，結(jié)合許昌政務(wù)云數(shù)據(jù)中心實(shí)際情況，以國(guó)家等級(jí)保護(hù)三級(jí)

27、防護(hù)為指導(dǎo)方針，設(shè)計(jì)出信息安全體系框架，具體如下圖：政務(wù)外網(wǎng)安全架構(gòu)設(shè)計(jì)安全域劃分：互聯(lián)接入?yún)^(qū)、核心交換區(qū)、核心業(yè)務(wù)區(qū)、核心數(shù)據(jù)區(qū)、業(yè)務(wù)服務(wù)區(qū)與運(yùn)維管理區(qū)?；ヂ?lián)接入?yún)^(qū)：用于電子政務(wù)外網(wǎng)接入，主干設(shè)備采用“口字型”，雙機(jī)架構(gòu)部署，防止單點(diǎn)故障，提高鏈路穩(wěn)定性與可靠性，流量清洗、防火墻、入侵防護(hù)系統(tǒng)、防病毒網(wǎng)關(guān)采用透明模式部署，鏈路負(fù)載均衡設(shè)備采用路由模式部署，進(jìn)行智能選路與DNS解析，設(shè)備之間開啟鏈路探測(cè)技術(shù)，一臺(tái)設(shè)備故障進(jìn)行單條鏈路的整體切換，保障業(yè)務(wù)持續(xù)穩(wěn)定運(yùn)行。核心交換區(qū)：部署核心交換網(wǎng)絡(luò)，旁路部署APT威脅檢測(cè)系統(tǒng)，通過(guò)端口鏡像方式采集全網(wǎng)流量，針對(duì)惡意代碼與未知威脅數(shù)據(jù)進(jìn)行檢測(cè)，當(dāng)發(fā)現(xiàn)

28、威脅時(shí)，及時(shí)告警并通過(guò)與入侵防護(hù)系統(tǒng)聯(lián)動(dòng)，進(jìn)行入侵威脅阻斷。業(yè)務(wù)服務(wù)區(qū)：部署統(tǒng)一門戶與部分對(duì)外提供服務(wù)的前置系統(tǒng)。雙機(jī)架構(gòu)，透明串行部署WAF，針對(duì)SQL注入、XSS跨站等針對(duì)http/https應(yīng)用系統(tǒng)的攻擊代碼進(jìn)行檢測(cè)并阻斷，實(shí)時(shí)監(jiān)控后臺(tái)門戶服務(wù)器的健康狀態(tài)，形成詳細(xì)的報(bào)表。部署網(wǎng)頁(yè)防篡改系統(tǒng)，針對(duì)動(dòng)、靜態(tài)頁(yè)面進(jìn)行保護(hù)，防止頁(yè)面篡改造成不良影響。旁路部署SSL VPN系統(tǒng)，針對(duì)遠(yuǎn)程接入業(yè)務(wù)與需求，提供身份鑒別、數(shù)據(jù)加密并能夠與堡壘機(jī)進(jìn)行聯(lián)動(dòng)，實(shí)現(xiàn)外部遠(yuǎn)程加密運(yùn)維調(diào)試。運(yùn)維管理區(qū)：旁路部署運(yùn)維堡壘主機(jī)、漏洞掃描系統(tǒng)與日志審計(jì)系統(tǒng)。堡壘主機(jī)用于運(yùn)維管理與審計(jì)，漏洞掃描進(jìn)行主機(jī)、中間件、應(yīng)用與數(shù)

29、據(jù)庫(kù)掃描，并提供漏洞修補(bǔ)建議方案。日志審計(jì)用于采集前端網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)、應(yīng)用與數(shù)據(jù)庫(kù)日志系統(tǒng)，進(jìn)行日志規(guī)范化，形成日志記錄并針對(duì)違反安全規(guī)則的日志信息進(jìn)行預(yù)警。核心業(yè)務(wù)區(qū)：旁路部署業(yè)務(wù)網(wǎng)審計(jì)系統(tǒng)，實(shí)現(xiàn)“人-應(yīng)用-中間件”全方位審計(jì)機(jī)制，監(jiān)測(cè)業(yè)務(wù)操作數(shù)據(jù)流量，監(jiān)測(cè)違規(guī)與惡意業(yè)務(wù)操作行為并及時(shí)預(yù)警。政務(wù)內(nèi)網(wǎng)安全架構(gòu)設(shè)計(jì)安全域劃分：內(nèi)網(wǎng)接入?yún)^(qū)、核心交換區(qū)、核心業(yè)務(wù)區(qū)、核心數(shù)據(jù)區(qū)、終端用戶區(qū)與運(yùn)維管理區(qū)。互聯(lián)接入?yún)^(qū)：用于電子政務(wù)內(nèi)網(wǎng)接入，主干設(shè)備采用“口字型”，雙機(jī)架構(gòu)部署，防止單點(diǎn)故障，提高鏈路穩(wěn)定性與可靠性，防火墻、入侵防護(hù)系統(tǒng)采用透明模式部署，設(shè)備之間開啟鏈路探測(cè)技術(shù)，一臺(tái)設(shè)備故障進(jìn)行單

30、條鏈路的整體切換，保障業(yè)務(wù)持續(xù)穩(wěn)定運(yùn)行。核心交換區(qū)：部署核心交換網(wǎng)絡(luò)，旁路部署APT威脅檢測(cè)系統(tǒng)，通過(guò)端口鏡像方式采集全網(wǎng)流量，針對(duì)惡意代碼與未知威脅數(shù)據(jù)進(jìn)行檢測(cè)，當(dāng)發(fā)現(xiàn)威脅時(shí)，及時(shí)告警并通過(guò)與入侵防護(hù)系統(tǒng)聯(lián)動(dòng)，進(jìn)行入侵威脅阻斷。終端用戶區(qū)：部署統(tǒng)一的內(nèi)網(wǎng)終端安全控制系統(tǒng)，實(shí)現(xiàn)網(wǎng)絡(luò)準(zhǔn)入、非法外聯(lián)、軟件與補(bǔ)丁分發(fā)，外設(shè)控制、介質(zhì)管理、終端行為審計(jì)等功能。運(yùn)維管理區(qū)：旁路部署運(yùn)維堡壘主機(jī)、漏洞掃描系統(tǒng)、日志審計(jì)系統(tǒng)、終端管理服務(wù)器端與大數(shù)據(jù)云安全管理監(jiān)控平臺(tái)。堡壘主機(jī)用于運(yùn)維管理與審計(jì)，漏洞掃描進(jìn)行主機(jī)、中間件、應(yīng)用與數(shù)據(jù)庫(kù)掃描，并提供漏洞修補(bǔ)建議方案。日志審計(jì)用于采集前端網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)

31、、應(yīng)用與數(shù)據(jù)庫(kù)日志系統(tǒng)，進(jìn)行日志規(guī)范化，形成日志記錄并針對(duì)違反安全規(guī)則的日志信息進(jìn)行預(yù)警。大數(shù)據(jù)云安全管理監(jiān)控平臺(tái)，將各自獨(dú)立的安全設(shè)備組成為一個(gè)有機(jī)的整體，通過(guò)基于資產(chǎn)管理的事件關(guān)聯(lián)分析和管理，及時(shí)發(fā)現(xiàn)安全風(fēng)險(xiǎn)、安全事件和業(yè)務(wù)安全隱患，并結(jié)合安全策略和安全知識(shí)的管理，提供多種安全響應(yīng)機(jī)制，從而使得客戶能夠?qū)崟r(shí)掌控網(wǎng)絡(luò)的安全態(tài)勢(shì)，與各類安全設(shè)備形成一個(gè)完整的安全保障體系，從而實(shí)現(xiàn)了高效、全面的網(wǎng)絡(luò)安全防護(hù)、檢測(cè)和響應(yīng)。它完全具備監(jiān)控、預(yù)警、響應(yīng)、追蹤等功能，并具備可審計(jì)功能，即對(duì)內(nèi)部安全管理人員的相關(guān)操作進(jìn)行日志記錄。核心業(yè)務(wù)區(qū)：旁路部署虛擬化安全防護(hù)系統(tǒng)，將虛擬化內(nèi)部“東西”向數(shù)據(jù)流量牽引至

32、物理機(jī)外部，利用已部署的安全產(chǎn)品進(jìn)行惡意代碼檢測(cè)與預(yù)警，防止物理機(jī)內(nèi)部虛機(jī)之間傳輸惡意代碼流量。核心數(shù)據(jù)區(qū)：旁路部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，針對(duì)數(shù)據(jù)庫(kù)操作流量進(jìn)行安全檢測(cè)與控制，防止違規(guī)數(shù)據(jù)操作指令下發(fā)并形成詳細(xì)的數(shù)據(jù)庫(kù)操作審計(jì)記錄，做到事后責(zé)任的精確追溯。政務(wù)內(nèi)外網(wǎng)擺渡區(qū)架構(gòu)設(shè)計(jì)部署業(yè)務(wù)需要電子政務(wù)內(nèi)外網(wǎng)進(jìn)行定向的數(shù)據(jù)傳輸與同步，設(shè)計(jì)如下內(nèi)外網(wǎng)數(shù)據(jù)擺渡區(qū)：防火墻：邊界訪問(wèn)控制設(shè)備，防止由外網(wǎng)發(fā)起的未授權(quán)或違規(guī)的向內(nèi)網(wǎng)訪問(wèn)的數(shù)據(jù)流量。入侵檢測(cè)系統(tǒng)：配置兩路監(jiān)聽授權(quán)，旁路部署方式進(jìn)行應(yīng)用層入侵威脅檢測(cè)，當(dāng)檢測(cè)到應(yīng)用層威脅數(shù)據(jù)報(bào)文時(shí)，通過(guò)與防火墻系統(tǒng)聯(lián)動(dòng)，進(jìn)行數(shù)據(jù)傳輸阻斷，形成七層安全防護(hù)體系。網(wǎng)絡(luò)審計(jì)系

33、統(tǒng)：針對(duì)內(nèi)外網(wǎng)之間的應(yīng)用訪問(wèn)與數(shù)據(jù)操作行為進(jìn)行全面審計(jì)記錄，當(dāng)檢測(cè)違規(guī)應(yīng)用數(shù)據(jù)操作行為及時(shí)記錄并預(yù)警。單向?qū)胂到y(tǒng)：針對(duì)數(shù)據(jù)出入內(nèi)網(wǎng)，各部署一套單向?qū)胂到y(tǒng)，進(jìn)行數(shù)據(jù)格式與內(nèi)容過(guò)濾，只允許在前置系統(tǒng)與后置系統(tǒng)之間的定向UDP訪問(wèn)與文件傳輸。安全隔離與信息交換系統(tǒng)：針對(duì)部分需雙向進(jìn)行TCP數(shù)據(jù)傳輸?shù)臉I(yè)務(wù)系統(tǒng)，通過(guò)安全隔離與信息交換系統(tǒng)進(jìn)行授權(quán)數(shù)據(jù)訪問(wèn)并進(jìn)行數(shù)據(jù)格式規(guī)范與內(nèi)容過(guò)濾。政務(wù)內(nèi)外網(wǎng)架構(gòu)總體設(shè)計(jì)（含縣區(qū)）針對(duì)縣區(qū)接入機(jī)房，通過(guò)部署防火墻與入侵防御系統(tǒng)形成七層全訪問(wèn)防護(hù)體系。防火墻：邊界訪問(wèn)控制設(shè)備，路由模式部署，防止未授權(quán)訪問(wèn)，過(guò)濾違規(guī)數(shù)據(jù)報(bào)文并通過(guò)標(biāo)準(zhǔn)的syslog向市級(jí)中心的日志審計(jì)系

34、統(tǒng)進(jìn)行日志信息上報(bào)。；入侵防護(hù)系統(tǒng)：透明串行部署，針對(duì)應(yīng)用層數(shù)據(jù)進(jìn)行深度代碼檢查，發(fā)現(xiàn)應(yīng)用層攻擊代碼進(jìn)行阻斷并形成詳細(xì)的報(bào)表記錄。安全體系設(shè)計(jì)根據(jù)風(fēng)險(xiǎn)分析中提出的防護(hù)策略，在整體保障框架的指導(dǎo)下，本節(jié)將就具體的安全技術(shù)措施、安全管理措施與服務(wù)措施來(lái)設(shè)計(jì)安全體系保障方案，以滿足相應(yīng)等級(jí)的基本安全保護(hù)能力?？傮w安全策略遵循國(guó)家、地方相關(guān)法規(guī)和標(biāo)準(zhǔn)；貫徹等級(jí)保護(hù)和分域保護(hù)的原則；管理與技術(shù)并重，互為支撐，互為補(bǔ)充，相互協(xié)同，形成有效的綜合防范體系；充分依托已有的信息安全基礎(chǔ)設(shè)施，加快、加強(qiáng)信息安全保障體系建設(shè)。第三級(jí)安全的信息系統(tǒng)具備對(duì)信息和系統(tǒng)進(jìn)行基于安全策略強(qiáng)制的安全保護(hù)能力。在技術(shù)策略方面，第

35、三級(jí)要求按照確定的安全策略，實(shí)施強(qiáng)制性的安全保護(hù)，使數(shù)據(jù)信息免遭非授權(quán)的泄露和破壞，保證較高安全的系統(tǒng)服務(wù)。這些安全技術(shù)主要包括物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層、數(shù)據(jù)層的以下內(nèi)容：對(duì)計(jì)算機(jī)、網(wǎng)絡(luò)的設(shè)備、環(huán)境和介質(zhì)采用較嚴(yán)格的防護(hù)措施，確保其為信息系統(tǒng)的安全運(yùn)行提供硬件支持，防止由于硬件原因造成信息的泄露和破壞；通過(guò)對(duì)政務(wù)云內(nèi)各組成部分采用網(wǎng)絡(luò)安全監(jiān)控、安全審計(jì)、數(shù)據(jù)、設(shè)備及系統(tǒng)的備份與恢復(fù)、集中統(tǒng)一的病毒監(jiān)控體系、兩種鑒別方式組合實(shí)現(xiàn)的強(qiáng)身份鑒別、細(xì)粒度的自主訪問(wèn)控制、滿足三級(jí)要求的操作系統(tǒng)和數(shù)據(jù)庫(kù)、較高強(qiáng)度密碼支持的存儲(chǔ)和傳輸數(shù)據(jù)的加密保護(hù)、客體重用等安全機(jī)制，實(shí)現(xiàn)對(duì)政協(xié)云內(nèi)的信息安全保護(hù)和系

36、統(tǒng)安全運(yùn)行的支持；采用分區(qū)域保護(hù)和邊界防護(hù)（如應(yīng)用級(jí)防火墻、網(wǎng)絡(luò)隔離部件、信息過(guò)濾和邊界完整性檢查等），在不同區(qū)域邊界統(tǒng)一制定邊界訪問(wèn)控制策略，實(shí)現(xiàn)不同安全等級(jí)區(qū)域之間安全互操作的較嚴(yán)格控制；按照系統(tǒng)化的要求和層次化結(jié)構(gòu)的方法設(shè)計(jì)和實(shí)現(xiàn)安全子系統(tǒng)，增強(qiáng)各層面的安全防護(hù)能力，通過(guò)安全管理中心，在統(tǒng)一安全策略下對(duì)系統(tǒng)安全事件集中審計(jì)、集中監(jiān)控和數(shù)據(jù)分析，并做出響應(yīng)和處理，從而構(gòu)建較為全面的動(dòng)態(tài)安全體系。網(wǎng)絡(luò)安全網(wǎng)絡(luò)結(jié)構(gòu)安全網(wǎng)絡(luò)結(jié)構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，對(duì)于本次電子政務(wù)內(nèi)外網(wǎng)建設(shè)，每個(gè)層、區(qū)域的線路和設(shè)備均采用冗余設(shè)計(jì)。經(jīng)過(guò)合理規(guī)劃，在終端與服務(wù)器之間建立安全訪問(wèn)路徑。本次安全架構(gòu)設(shè)計(jì)如下圖

37、：如上圖所示，核心網(wǎng)絡(luò)設(shè)備、防火墻、入侵防御等均為雙機(jī)冗余結(jié)構(gòu)設(shè)計(jì)，設(shè)計(jì)除了可以避免因一臺(tái)設(shè)備或單個(gè)系統(tǒng)異常而導(dǎo)致業(yè)務(wù)中斷外，還可以對(duì)系統(tǒng)業(yè)務(wù)流量負(fù)載分擔(dān)，避免大流量環(huán)境下線路擁堵和帶寬不足的問(wèn)題。采取的主要技術(shù)措施如下：（1）主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要，同時(shí)具有可擴(kuò)展、可管理等特性。（2）采用雙運(yùn)營(yíng)商高帶寬鏈路保障了業(yè)務(wù)要求。（3）通過(guò)采用防火墻、交換機(jī)等設(shè)備，在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間建立了安全的訪問(wèn)路徑。（4）在網(wǎng)絡(luò)設(shè)備（防火墻、路由器、交換機(jī)）上配置優(yōu)先級(jí)，通過(guò)技術(shù)手段（ACL依次匹配、QOS等）對(duì)業(yè)務(wù)服務(wù)的重要次序來(lái)指定分配，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)

38、先保護(hù)重要主機(jī)。網(wǎng)絡(luò)安全審計(jì)網(wǎng)絡(luò)安全審計(jì)系統(tǒng)主要用于審計(jì)記錄網(wǎng)絡(luò)中的各類網(wǎng)絡(luò)、應(yīng)用協(xié)議與數(shù)據(jù)庫(kù)業(yè)務(wù)操作流量，監(jiān)控系統(tǒng)中存在的潛在威脅，綜合分析安全事件，包括各種域間和域內(nèi)事件。審計(jì)體系采用旁路部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，對(duì)全網(wǎng)數(shù)據(jù)流進(jìn)行監(jiān)測(cè)、審計(jì)記錄，同時(shí)和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理平臺(tái)提供監(jiān)控?cái)?shù)據(jù)用于分析預(yù)警并生成詳細(xì)的審計(jì)報(bào)表。主要技術(shù)措施如下：（1）安全審計(jì)系統(tǒng)對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)庫(kù)行為、業(yè)務(wù)操作、網(wǎng)絡(luò)協(xié)議、應(yīng)用協(xié)議等進(jìn)行審計(jì)記錄； （2）審計(jì)記錄包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；（4）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；（5）應(yīng)對(duì)審計(jì)記錄進(jìn)

39、行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。網(wǎng)絡(luò)訪問(wèn)控制訪問(wèn)控制是網(wǎng)絡(luò)系統(tǒng)安全防范和保護(hù)的主要策略之一，它的主要任務(wù)是保證系統(tǒng)資源不被非法使用，是系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。而安全訪問(wèn)控制的前提是必須合理的建立安全域，根據(jù)不同的安全訪問(wèn)控制需求建立不同的安全域。本次電子政務(wù)內(nèi)網(wǎng)建設(shè)，采用防火墻+準(zhǔn)入控制的方式對(duì)終端設(shè)備（包含網(wǎng)絡(luò)打印機(jī)）實(shí)現(xiàn)安全準(zhǔn)入管理。技術(shù)防護(hù)機(jī)制如下：部署終端準(zhǔn)入控制系統(tǒng)，通過(guò)安全策略制定，結(jié)合接入交換機(jī)，實(shí)現(xiàn)網(wǎng)絡(luò)準(zhǔn)入控制。為了防止交換機(jī)更換、配置修改或主機(jī)變更，致使在網(wǎng)絡(luò)邊界無(wú)法有效控制未授權(quán)終端接入的情況發(fā)生，在核心安全域邊界防火墻配置了與終端準(zhǔn)入控制系統(tǒng)聯(lián)動(dòng)策略

40、，進(jìn)行終端接入的二次驗(yàn)證審核，針對(duì)不滿足接入安全基線的終端進(jìn)行二次控制與授權(quán)通過(guò)對(duì)系統(tǒng)網(wǎng)絡(luò)的邊界風(fēng)險(xiǎn)與需求分析，在網(wǎng)絡(luò)層進(jìn)行訪問(wèn)控制部署防火墻產(chǎn)品，同時(shí)設(shè)置相應(yīng)的安全策略（基線），對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進(jìn)行過(guò)濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問(wèn)，防止各類非法攻擊行為。邊界完整性檢查邊界完整性檢查核心是要對(duì)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，維護(hù)網(wǎng)絡(luò)邊界完整性。利用非法外聯(lián)監(jiān)控和非法內(nèi)接監(jiān)控設(shè)備來(lái)進(jìn)行網(wǎng)絡(luò)邊界完整性檢查。非法外聯(lián)監(jiān)控主要解決發(fā)現(xiàn)和管理用戶非法自行建立通路連接非授權(quán)網(wǎng)絡(luò)的行為。通過(guò)非法外聯(lián)監(jiān)控的管理，可以防止

41、用戶訪問(wèn)非信任網(wǎng)絡(luò)資源，并防止由于訪問(wèn)非信任網(wǎng)絡(luò)資源而引入安全風(fēng)險(xiǎn)或者導(dǎo)致信息泄密。對(duì)于非法外聯(lián)，可以發(fā)現(xiàn)終端試圖訪問(wèn)非授信網(wǎng)絡(luò)資源的行為，如試圖與沒(méi)有通過(guò)系統(tǒng)授權(quán)許可的終端進(jìn)行通信，自行試圖通過(guò)撥號(hào)連接互聯(lián)網(wǎng)等行為。對(duì)于發(fā)現(xiàn)的非法外聯(lián)行為，可以記錄日志并產(chǎn)生報(bào)警信息。入侵防范基于網(wǎng)絡(luò)的開放性與自由性，網(wǎng)絡(luò)中存在各種未知的威脅和不法分子的攻擊。網(wǎng)絡(luò)入侵檢測(cè)和防御技術(shù)則是從多種計(jì)算機(jī)系統(tǒng)及網(wǎng)絡(luò)中收集信息，再通過(guò)這些信息分析入侵特征的網(wǎng)絡(luò)安全系統(tǒng)。網(wǎng)絡(luò)入侵檢測(cè)技術(shù)還可以與防火墻等其它安全產(chǎn)品緊密結(jié)合，最大程度地為網(wǎng)絡(luò)系統(tǒng)提供安全保障。通過(guò)對(duì)安全域邊界風(fēng)險(xiǎn)與需求分析，采取的技術(shù)措施如下：（1）在數(shù)據(jù)

42、交換擺渡區(qū)部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（IDS）系統(tǒng)，基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)使用原始網(wǎng)絡(luò)包作為數(shù)據(jù)源，實(shí)時(shí)監(jiān)視并分析通過(guò)網(wǎng)絡(luò)的所有通信業(yè)務(wù)，監(jiān)視端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等行為。（2）在數(shù)據(jù)交換擺渡區(qū)監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；（3）當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。惡意代碼防范網(wǎng)絡(luò)邊界惡意代碼的防范主要是采用邊界過(guò)濾技術(shù)，主要有入侵防御、防病毒網(wǎng)關(guān)、一體化安全網(wǎng)關(guān)技術(shù)、DDOS等，通過(guò)防病毒

43、網(wǎng)關(guān)對(duì)數(shù)據(jù)進(jìn)行深層次的安全代碼檢查，將可疑惡意代碼進(jìn)行隔離、查殺和過(guò)濾。根據(jù)國(guó)家相關(guān)安全技術(shù)要求，病毒網(wǎng)關(guān)應(yīng)具備查殺當(dāng)時(shí)流行的病毒和木馬的能力，其病毒庫(kù)應(yīng)能夠在線或離線及時(shí)更新，更新周期不應(yīng)超過(guò)一周，遇緊急情況或國(guó)際、國(guó)內(nèi)重大病毒事件時(shí)，能夠及時(shí)更新。惡意代碼是對(duì)業(yè)務(wù)系統(tǒng)最大的安全威脅之一。本次所采取的技術(shù)措施如下：（1）通過(guò)部署防病毒網(wǎng)關(guān)，截?cái)嗔瞬《就ㄟ^(guò)網(wǎng)絡(luò)傳播的途徑；（2）通過(guò)在互聯(lián)域部署抗DDOS攻擊的系統(tǒng)（設(shè)備），對(duì)流量進(jìn)行清洗和過(guò)濾，凈化了網(wǎng)絡(luò)流量；（3）通過(guò)部署網(wǎng)絡(luò)防病毒軟件，保護(hù)服務(wù)器和客戶端的安全；（4）利用防病毒網(wǎng)關(guān)、抗DDOS系統(tǒng)和網(wǎng)絡(luò)防病毒軟件共同組成三層立體網(wǎng)絡(luò)防御體系

44、，包含了從桌面到服務(wù)器、從內(nèi)部用戶到網(wǎng)絡(luò)邊界的全面的解決方案，以抵御來(lái)自黑客和病毒的威脅；對(duì)系統(tǒng)網(wǎng)絡(luò)與系統(tǒng)進(jìn)行全方位的保護(hù)。網(wǎng)絡(luò)設(shè)備防護(hù)系統(tǒng)中連接了許多網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)、防火墻等），這些設(shè)備的自身安全也直接關(guān)系到系統(tǒng)及各網(wǎng)絡(luò)應(yīng)用的正常運(yùn)行。例如設(shè)備登錄信息、配置信息泄露等。各種網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器系統(tǒng)、交換機(jī)、路由器、網(wǎng)絡(luò)安全審計(jì)等都必須具備管理員身份鑒別機(jī)制，可以采用帳號(hào)、靜態(tài)口令、動(dòng)態(tài)口令、KEY、數(shù)字證書等方式或兩種以上組合方式進(jìn)行身份鑒別，密碼配置必須滿足“復(fù)雜”要求，長(zhǎng)度不少于8位字符，且不能為全數(shù)字或單詞等，必須由兩種或兩種以上字符類型（大小寫字母、數(shù)字、特殊字符等）

45、構(gòu)成，同時(shí)應(yīng)配置最大登陸失敗次數(shù)，通常為3-5次，超過(guò)最大登陸次數(shù)后，即將登陸源IP進(jìn)行鎖定禁止再次嘗試登陸，以防口令暴力猜解。設(shè)備應(yīng)根據(jù)物理安全要求，固定安裝于機(jī)柜并粘貼相應(yīng)標(biāo)識(shí)。對(duì)所有網(wǎng)絡(luò)設(shè)備均開啟登錄身份驗(yàn)證功能，對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；同時(shí)對(duì)安全設(shè)備管理員登錄地址進(jìn)行限制；網(wǎng)絡(luò)管理員和安全管理員的用戶名的標(biāo)識(shí)都具有唯一性；網(wǎng)絡(luò)安全設(shè)備、服務(wù)器的口令采用強(qiáng)口令并定期更換；在安全設(shè)備、服務(wù)器、安全系統(tǒng)上開啟登錄失敗處理功能，如采取限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施。啟用網(wǎng)絡(luò)安全的SSH及SSL功能，保證對(duì)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽。所采取

46、的技術(shù)措施如下：（1）核心交換機(jī)、路由器、防火墻、隔離網(wǎng)閘等網(wǎng)絡(luò)設(shè)備應(yīng)限制遠(yuǎn)程登陸管理IP地址范圍或禁止遠(yuǎn)程管理，必要時(shí)只允許管理終端域的IP主機(jī)或堡壘機(jī)方可以管理權(quán)限通過(guò)網(wǎng)絡(luò)登陸設(shè)備配置和維護(hù)操作，通過(guò)網(wǎng)絡(luò)遠(yuǎn)程配置管理必須采用加密方式（如：SSH或HTTPS）建立連接，以防連接會(huì)話被竊聽或篡改。（2）所有操作必須經(jīng)過(guò)管理終端域管理終端或堡壘機(jī)操作，通過(guò)堡壘授權(quán)賬號(hào)與權(quán)限劃分，有審計(jì)員帳號(hào)監(jiān)督審計(jì)，審計(jì)管理員可隨時(shí)查看系統(tǒng)管理員對(duì)網(wǎng)絡(luò)設(shè)備所做的操作，帳號(hào)登陸后若長(zhǎng)時(shí)間未有操作，應(yīng)能夠自動(dòng)退出系統(tǒng)或結(jié)束當(dāng)前管理會(huì)話連接，嚴(yán)格杜絕超級(jí)管理員權(quán)限帳號(hào)或永久在線帳號(hào)存在。（3）部署運(yùn)維堡壘主機(jī)對(duì)登錄操

47、作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，杜絕默認(rèn)帳號(hào)，不合規(guī)則的帳戶登錄訪問(wèn)；操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施，三次登錄失敗賬號(hào)自動(dòng)鎖定。操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，且具有唯一性。主機(jī)安全主機(jī)系統(tǒng)安全主要來(lái)自網(wǎng)絡(luò)上運(yùn)行的操作系統(tǒng)和數(shù)據(jù)庫(kù)，該層次的安全問(wèn)題主要表現(xiàn)在兩方面：一是操作系統(tǒng)和數(shù)據(jù)庫(kù)本身的安全漏洞和隱患；二是對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)的錯(cuò)誤配置。通常，我們對(duì)于操作系統(tǒng)和數(shù)據(jù)庫(kù)本身在安全方面考慮較少，而且會(huì)因?yàn)樵O(shè)計(jì)、編碼的原因存在各種各樣的安全漏

48、洞（已知的、未知的），還可能留有隱蔽通道或后門。我們建議在日常的網(wǎng)絡(luò)及系統(tǒng)維護(hù)過(guò)程中，系統(tǒng)管理員應(yīng)及時(shí)安裝廠商公布的最新升級(jí)軟件包和補(bǔ)丁包，減少安全漏洞和隱患。操作人員對(duì)系統(tǒng)功能、系統(tǒng)服務(wù)、數(shù)據(jù)庫(kù)管理系統(tǒng)等的誤操作或者錯(cuò)誤配置，也同樣會(huì)給信息網(wǎng)絡(luò)系統(tǒng)帶來(lái)一定的安全風(fēng)險(xiǎn)。我們建議應(yīng)定期檢查系統(tǒng)配置，糾正錯(cuò)誤的配置，比如關(guān)閉不需要的系統(tǒng)服務(wù)，或者采用更安全的服務(wù)等。根據(jù)等保的防護(hù)要求，具體從以下幾個(gè)方面對(duì)主機(jī)的安全進(jìn)行防護(hù)：身份鑒別建立運(yùn)維審計(jì)鑒別機(jī)制，部署運(yùn)維堡壘主機(jī)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，杜絕默認(rèn)帳號(hào)，不合規(guī)則的帳戶登錄訪問(wèn)；操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具

49、有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施，三次登錄失敗賬號(hào)自動(dòng)鎖定。操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，且具有唯一性。采用的技術(shù)措施如下：（1）對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理須采用安全的模式，針對(duì)系統(tǒng)管理員除用戶名和密碼外，還需采用數(shù)字證書或UKEY等其他身份鑒別手段。（2）使用身份認(rèn)證系統(tǒng)生成電子證書并結(jié)合USB Key電子鑰匙作為身份鑒別的基礎(chǔ)。（3）結(jié)合終端安全管理系統(tǒng)對(duì)弱口令和其它控制項(xiàng)進(jìn)行監(jiān)督，并且利用漏洞掃描系統(tǒng)對(duì)弱口令進(jìn)行檢查。訪問(wèn)控制建立標(biāo)記規(guī)則，在服務(wù)器等實(shí)體資產(chǎn)上粘貼屬性標(biāo)簽，文檔介質(zhì)類粘貼或

50、打印密級(jí)等標(biāo)記，對(duì)于電子數(shù)據(jù)使用文件名或文件注釋進(jìn)行標(biāo)記。部署運(yùn)維堡壘主機(jī)，建立訪問(wèn)控制策略，依據(jù)最小原則授予用戶權(quán)限，操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)要使用不同的特權(quán)用戶，對(duì)用戶權(quán)限分配應(yīng)當(dāng)定期檢查。采用的技術(shù)措施如下：（1）嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；及時(shí)刪除多余的、過(guò)期的帳戶，避免共享帳戶的存在。（2）主機(jī)在正式接入網(wǎng)絡(luò)投入使用之前，需由專業(yè)安全管理員進(jìn)行主機(jī)系統(tǒng)安全加固操作，啟用主機(jī)系統(tǒng)集成的的軟件防火墻規(guī)則、啟用本地安全策略；（3）創(chuàng)建或編輯管理員組策略，為每個(gè)系統(tǒng)分配特定的權(quán)限，權(quán)限分配原則需遵循最小化原則；（4）數(shù)據(jù)庫(kù)系統(tǒng)或應(yīng)用系統(tǒng)帳號(hào)與主機(jī)系統(tǒng)帳

51、號(hào)權(quán)限應(yīng)分開管理，為系統(tǒng)重要文件等資源嚴(yán)格配置讀、寫權(quán)限。（5）系統(tǒng)安全管理員應(yīng)定期對(duì)主機(jī)系統(tǒng)閑置帳號(hào)、廢棄帳號(hào)、過(guò)期帳號(hào)進(jìn)行清理，禁用guest帳號(hào)，禁用系統(tǒng)共享，定期檢查系統(tǒng)帳號(hào)權(quán)限是否與原分配一致，避免帳號(hào)非法權(quán)限提升。安全審計(jì)在云計(jì)算中心配置數(shù)據(jù)庫(kù)綜合審計(jì)，對(duì)主機(jī)和數(shù)據(jù)庫(kù)信息進(jìn)行審計(jì)。采用的技術(shù)措施如下：（1）日志安全管理分析系統(tǒng)對(duì)所有的主機(jī)、數(shù)據(jù)庫(kù)日志進(jìn)行綜合審計(jì)，同時(shí)日志安全管理分析系統(tǒng)，實(shí)時(shí)監(jiān)視主機(jī)系統(tǒng)用戶所做的操作，如：文件讀寫、數(shù)據(jù)庫(kù)連接、運(yùn)行特定的系統(tǒng)進(jìn)程或系統(tǒng)命令等操作，并上報(bào)至日志審計(jì)系統(tǒng)統(tǒng)一集中存儲(chǔ)、匯總、關(guān)聯(lián)分析，及時(shí)發(fā)現(xiàn)主機(jī)系統(tǒng)威脅行為。審計(jì)記錄應(yīng)包括事件的日期、

52、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果描述等。（2）主機(jī)日志審計(jì)系統(tǒng)應(yīng)具備自我保護(hù)能力，確保審計(jì)服務(wù)不被外界或人為因素中斷，審計(jì)數(shù)據(jù)應(yīng)能夠長(zhǎng)期保存且不能被修改或刪除，能夠生成各種分類報(bào)表以備審查。綜合運(yùn)用信息安全管理系統(tǒng)（SOC）對(duì)所有的主機(jī)、數(shù)據(jù)庫(kù)日志進(jìn)行綜合審計(jì)，同時(shí)采用終端安全管理系統(tǒng)，實(shí)時(shí)監(jiān)視主機(jī)系統(tǒng)用戶所做的操作，如：文件讀寫、數(shù)據(jù)庫(kù)連接、運(yùn)行特定的系統(tǒng)進(jìn)程或系統(tǒng)命令等操作，并上報(bào)至日志審計(jì)系統(tǒng)統(tǒng)一集中存儲(chǔ)、匯總、關(guān)聯(lián)分析，及時(shí)發(fā)現(xiàn)主機(jī)系統(tǒng)威脅行為。審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果描述等。主機(jī)日志審計(jì)系統(tǒng)應(yīng)具備自我保護(hù)能力，確保審計(jì)服務(wù)不被外界或人為因素中

53、斷，審計(jì)數(shù)據(jù)應(yīng)能夠長(zhǎng)期保存且不能被修改或刪除，能夠生成各種分類報(bào)表以備審查。相關(guān)技術(shù)措施：終端安全管理系統(tǒng)，安全管理運(yùn)營(yíng)中心系統(tǒng)（SOC）。剩余信息保護(hù)主機(jī)剩余信息保護(hù)主要是指重要數(shù)據(jù)存儲(chǔ)設(shè)備在報(bào)廢后，其原先曾經(jīng)存儲(chǔ)的數(shù)據(jù)，不可被非授權(quán)還原，從而避免數(shù)據(jù)被非法獲得。采取的主要技術(shù)措施如下：（1）使用專有的磁盤空間擦寫工具和內(nèi)存釋放工具，保證在使用后的信息不被未授權(quán)人員獲得。（2）需要在安全管理制度中規(guī)定，重要數(shù)據(jù)存儲(chǔ)介質(zhì)（硬盤、磁帶庫(kù)）在報(bào)廢后，應(yīng)將重要存儲(chǔ)介質(zhì)拆除，并移交給國(guó)家保密專業(yè)部門預(yù)以銷毀；或使用專業(yè)的數(shù)據(jù)銷毀設(shè)備，對(duì)存儲(chǔ)介質(zhì)進(jìn)行多次信息消除，確保重要數(shù)據(jù)不被還原。（3）采用介質(zhì)物理

54、銷毀工具，確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。入侵防范通過(guò)部署主機(jī)防火墻或主機(jī)防病毒軟件中的入侵檢測(cè)模塊監(jiān)視外來(lái)的入侵行為并記錄，定期進(jìn)行系統(tǒng)升級(jí)和安全加固；具體采用的技術(shù)措施如下：（1）部署漏洞掃描系統(tǒng)進(jìn)行系統(tǒng)安全性檢測(cè)，發(fā)現(xiàn)系統(tǒng)安全漏洞，并及時(shí)提供修補(bǔ)建議，統(tǒng)一管理，策略集中下發(fā)與漏掃掃描結(jié)果的統(tǒng)一上傳，形成統(tǒng)一的脆弱性掃描報(bào)表，便于指導(dǎo)相關(guān)人員進(jìn)行漏洞及時(shí)發(fā)現(xiàn)、提前預(yù)警及修復(fù)。（2）部署web應(yīng)用防火墻與網(wǎng)頁(yè)防篡改系統(tǒng)，針對(duì)門戶網(wǎng)站進(jìn)行應(yīng)用入侵防范，防止注入、跨站攻擊及網(wǎng)頁(yè)篡改行為發(fā)生。（3）對(duì)于基于WINDOWS系統(tǒng)的服務(wù)器

55、主機(jī)和PC終端主機(jī)的入侵防范，可配備基于主機(jī)的入侵防范系統(tǒng)軟件（一般主機(jī)防病毒產(chǎn)品均帶有入侵防范模塊），實(shí)時(shí)監(jiān)視對(duì)主機(jī)系統(tǒng)的訪問(wèn)行為，發(fā)現(xiàn)可疑行為，立即啟用預(yù)先設(shè)定的安全防護(hù)措施。也可以通過(guò)終端安全管理系統(tǒng)聯(lián)合安全網(wǎng)關(guān)設(shè)備對(duì)威脅發(fā)起源進(jìn)行阻斷，中斷威脅行為；通過(guò)終端安全管理系統(tǒng)為主機(jī)系統(tǒng)配置相應(yīng)的安全訪問(wèn)策略，入侵防范系統(tǒng)應(yīng)能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。（4）對(duì)于非WINDOWS平臺(tái)的主機(jī)，一般采取人工的風(fēng)險(xiǎn)評(píng)估與安全加固的方式防范入侵。（5）同時(shí)，主機(jī)操作系統(tǒng)安裝配置要求遵循模塊最小化原則，不安裝與應(yīng)用無(wú)關(guān)的功能模塊或操作系統(tǒng)組件，

56、停止與應(yīng)用無(wú)關(guān)的系統(tǒng)服務(wù)，及時(shí)更新操作系統(tǒng)安全補(bǔ)??；開啟操作系統(tǒng)還原功能，以便在系統(tǒng)文件遭到損壞時(shí)能夠及時(shí)恢復(fù)。（6）還可以采取主機(jī)入侵防范系統(tǒng)、服務(wù)器補(bǔ)丁管理系統(tǒng)。（7）利用漏洞掃描系統(tǒng)發(fā)現(xiàn)主機(jī)系統(tǒng)脆弱性并進(jìn)行加固，結(jié)合終端安全管理系統(tǒng)監(jiān)視系統(tǒng)關(guān)鍵注冊(cè)表項(xiàng)。惡意代碼防范主機(jī)惡意代碼防范，主要是采用防病毒軟件和木馬查殺工具。目前國(guó)內(nèi)主流的防病毒軟件都集成木馬查殺工具，能夠查殺常見的病毒和木馬程序等惡意代碼。具體采用的技術(shù)措施如下：（1）為了有效地防御病毒和木馬程序等惡意代碼，主機(jī)防病毒軟件應(yīng)具備集中管理、統(tǒng)一更新功能，部署網(wǎng)絡(luò)版主機(jī)防病毒系統(tǒng)，并確保防病毒系統(tǒng)惡意代碼庫(kù)能夠得到及時(shí)更新。（2）

57、在主機(jī)上安裝防病毒產(chǎn)品進(jìn)行安全防護(hù)。整個(gè)局域網(wǎng)統(tǒng)一部署網(wǎng)絡(luò)版的病毒防護(hù)系統(tǒng)，針對(duì)惡意軟件和ARP、蠕蟲等網(wǎng)絡(luò)病毒進(jìn)行防護(hù)，安裝并開啟個(gè)人防火墻，防止非法入侵計(jì)算機(jī)終端。（3）操作系統(tǒng)盡量規(guī)避使用windows操作系統(tǒng)平臺(tái)。資源控制利用負(fù)載均衡或流量控制設(shè)備同時(shí)結(jié)合服務(wù)器操作系統(tǒng)的自身功能，為每個(gè)系統(tǒng)用戶分配即定的系統(tǒng)資源，如網(wǎng)絡(luò)帶寬等；實(shí)時(shí)監(jiān)視系統(tǒng)主要硬件資源，配置CPU、內(nèi)存、磁盤、網(wǎng)絡(luò)利用率真閥值，當(dāng)利用率超過(guò)閥值時(shí)，立即產(chǎn)生系統(tǒng)報(bào)警事件通知管理員; 配置主機(jī)系統(tǒng)安全補(bǔ)丁檢查、防病毒軟件庫(kù)更新檢查、系統(tǒng)弱口令檢查等安全基線規(guī)則，實(shí)時(shí)監(jiān)測(cè)并及時(shí)提醒管理員對(duì)系統(tǒng)加固。采取的技術(shù)措施如下：（1）

58、Windows系統(tǒng)通過(guò)本地安全策略限制登錄IP，Unix系統(tǒng)可通過(guò)TCP wrapper工具進(jìn)行訪問(wèn)IP限制。使用監(jiān)控管理軟件對(duì)服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況進(jìn)行監(jiān)視，設(shè)置系統(tǒng)資源過(guò)低報(bào)警的門限值。（2）通過(guò)配置主機(jī)系統(tǒng)安全策略，結(jié)合終端安全管理系統(tǒng)，限制主機(jī)系統(tǒng)用戶登陸方式、登陸IP地址等；配置超時(shí)鎖屏規(guī)則，確保終端在長(zhǎng)時(shí)間無(wú)人值守時(shí)屏幕不被非法窺視或冒名操作。應(yīng)用安全身份鑒別提供專有的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別；對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別，其中一種是不可偽造的；提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等

59、措施。任何軟件提供商通過(guò)網(wǎng)絡(luò)發(fā)布、修改代碼或程序，都會(huì)面臨著軟件被仿冒和篡改的風(fēng)險(xiǎn)。代碼簽名證書能夠使軟件提供商針對(duì)其軟件代碼進(jìn)行數(shù)字簽名，來(lái)標(biāo)識(shí)真實(shí)身份，不易被篡改。具體采用的技術(shù)措施如下：（1）各應(yīng)用子系統(tǒng)應(yīng)具備有效的身份認(rèn)證與鑒別功能，確保只有合法授權(quán)的用戶方可登陸應(yīng)用系統(tǒng)。目前各個(gè)系統(tǒng)主要采用“用戶名+口令”的方式進(jìn)行身份鑒別，計(jì)劃后期采用“USB KEY+數(shù)字證書”的身份鑒別方式，以形成兩種組合方式進(jìn)行身份鑒別。（2）對(duì)于用戶登錄信息系統(tǒng)的密碼配置必須滿足“復(fù)雜”要求，長(zhǎng)度不少于8位字符，且不能為全數(shù)字或字母，必須由兩種或兩種以上字符類型（大小寫字母、數(shù)字、特殊字符等）構(gòu)成。（3）配

60、置最大登陸失敗次數(shù)，通常為3-5次，超過(guò)最大登陸次數(shù)后，即將登陸源IP進(jìn)行鎖定禁止再次嘗試登陸，以防口令暴力猜解。帳號(hào)登陸后若長(zhǎng)時(shí)間未有操作，應(yīng)能夠自動(dòng)退出系統(tǒng)、結(jié)束當(dāng)前管理會(huì)話，確保在長(zhǎng)時(shí)間離開時(shí)不被非法冒名操作。（5）配置系統(tǒng)用戶首次登陸時(shí)必須修改自己的登陸密碼，配置密碼失效周期，每一個(gè)月必須修改一次登錄密碼。訪問(wèn)控制建立訪問(wèn)控制策略，依據(jù)最小原則授予用戶權(quán)限，應(yīng)用系統(tǒng)要分配不同的特權(quán)用戶，訪問(wèn)策略統(tǒng)一由授權(quán)帳號(hào)分配。身份認(rèn)證系統(tǒng)解決了“你是誰(shuí)”的問(wèn)題，要解決“你可以做什么”的問(wèn)題還必須依賴權(quán)限管理系統(tǒng)。權(quán)限管理系統(tǒng)需要按照統(tǒng)一的標(biāo)準(zhǔn)，放到各個(gè)應(yīng)用系統(tǒng)各自開發(fā)，安全架構(gòu)不做統(tǒng)一考慮。具體采