網(wǎng)絡(luò)安全體系基礎(chǔ)架構(gòu)建設(shè)知識

網(wǎng)絡(luò)平安體系

根底架構(gòu)建設(shè)知識1國際社會對信息平安的共識1998年以來的歷屆聯(lián)合國大會，均專門商討信息平安概念和主要威脅；1999年，俄羅斯向聯(lián)合國提交了?從國際平安的角度來看信息和電信領(lǐng)域的開展?報告，遭到西方國家強烈抵抗；2006年10月20日，俄羅斯聯(lián)合中國等國，繼續(xù)提交了報告決議草案，最終169票對1票通過，唯一投反對票的國家是美國。2中國面臨的信息平安風(fēng)險因素3中國面臨的信息平安事故4中國面臨的信息平安現(xiàn)狀根底信息網(wǎng)絡(luò)和重要信息系統(tǒng)的平安防護能力不強重視不夠，投入缺乏平安體系不完善，整體平安十分脆弱軟硬件特別是高端產(chǎn)品嚴(yán)重依賴國外國家平安意識不強5中國面臨的信息平安風(fēng)險因素6中國面臨的信息平安風(fēng)險因素7中國面臨的信息平安風(fēng)險因素8有關(guān)電子標(biāo)簽的兩次政協(xié)提案9網(wǎng)絡(luò)平安體系根底架構(gòu)10中國早期參考的信息平安體系標(biāo)準(zhǔn)美國國防部早在80年代就針對國防部門的計算機平安保密成立了國家計算機平安中心〔NCSC〕1983年NCSC公布了可信計算機系統(tǒng)評估準(zhǔn)那么TCSEC-TrustedComputerSystemEvaluationCriteria，俗稱橘皮書NCSC于1987年出版了一系列有關(guān)可信計算機數(shù)據(jù)庫、可信計算機網(wǎng)絡(luò)等的指南等〔俗稱彩虹系列〕，根據(jù)所采用的平安策略、系統(tǒng)所具備的平安功能將系統(tǒng)分為四類七個平安級別。將計算機系統(tǒng)的可信程度劃分為D、C1、C2、B1、B2、B3和A1七個層次。11中國早期參考的信息平安體系標(biāo)準(zhǔn)12目前最新的信息平安體系開展?fàn)顩r13信息平安等級保護相關(guān)文件間的關(guān)系政策文件四大標(biāo)準(zhǔn)管理標(biāo)準(zhǔn)提供指導(dǎo)提供方法平安等級化的信息系統(tǒng)提供管理要求14信息系統(tǒng)平安等級保護實施政策文件政策文件國務(wù)院147號令－?中華人民共和國計算機信息系統(tǒng)平安保護條例?中辦發(fā)[2003]27號－?國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息平安保障工作的意見?公通字[2004]66號－?關(guān)于信息平安等級保護工作的實施意見?公通字[2007]43號－?信息平安等級保護管理方法?15信息系統(tǒng)平安等級保護實施的標(biāo)準(zhǔn)法規(guī)四大標(biāo)準(zhǔn)1617信息系統(tǒng)平安等級保護實施管理標(biāo)準(zhǔn)管理標(biāo)準(zhǔn)18近期新增國家信息平安標(biāo)準(zhǔn)19網(wǎng)絡(luò)平安體系根底架構(gòu)的主要建設(shè)過程運維方案設(shè)計管理方案設(shè)計平安平臺選型綜合風(fēng)險分析業(yè)務(wù)人員訪談管理人員訪談平安培訓(xùn)效勞應(yīng)急響應(yīng)效勞平安通告效勞平安監(jiān)控效勞后期效勞工程監(jiān)理現(xiàn)有措施評估平安威脅評估資產(chǎn)弱點評估信息資產(chǎn)賦值幫助分析需求幫助總體規(guī)劃幫助設(shè)計方案承包工程實施監(jiān)控、響應(yīng)平安認(rèn)證咨詢需求分析總體規(guī)劃詳細(xì)設(shè)計工程實施運行維護平安認(rèn)證信息系統(tǒng)平安建設(shè)與運營維護信息資產(chǎn)識別風(fēng)險分析與評估設(shè)計總體方案制定平安策略制定平安方針平安總體規(guī)劃平安產(chǎn)品選型平安方案設(shè)計工程驗收效勞實施產(chǎn)品實施設(shè)計實施方案制定實施方案平安工程實施平安審計效勞平安優(yōu)化效勞平安加固效勞平安檢測效勞平安運行維護平安認(rèn)證體系建設(shè)風(fēng)險評估標(biāo)準(zhǔn)導(dǎo)入平安認(rèn)證咨詢?nèi)?、工具、?biāo)準(zhǔn)人、標(biāo)準(zhǔn)人、產(chǎn)品人、產(chǎn)品人、工具、平臺人、標(biāo)準(zhǔn)信息系統(tǒng)平安建設(shè)咨詢效勞平安運行維護效勞系統(tǒng)現(xiàn)狀分析平安認(rèn)證咨詢效勞20網(wǎng)絡(luò)平安體系根底架構(gòu)前的準(zhǔn)備工作風(fēng)險評估準(zhǔn)備保護對象分析威脅分析脆弱性分析控制措施分析確定風(fēng)險后果確定風(fēng)險概率確定風(fēng)險等級平安風(fēng)險評估報告21網(wǎng)絡(luò)平安集成商的選擇－企業(yè)主要相關(guān)資質(zhì)國家涉密集成資質(zhì)信息系統(tǒng)集成資質(zhì)國家平安效勞資質(zhì)22網(wǎng)絡(luò)平安產(chǎn)品的選擇－國家平安相關(guān)資質(zhì)①②③④⑤⑥23網(wǎng)絡(luò)平安產(chǎn)品的選擇－密碼產(chǎn)品相關(guān)資質(zhì)24網(wǎng)絡(luò)平安產(chǎn)品的選擇－業(yè)界主要平安相關(guān)資質(zhì)平安產(chǎn)品的品質(zhì)保障－EAL系列產(chǎn)品認(rèn)證電信接入品質(zhì)保障－電信進網(wǎng)試用批文防止貼牌產(chǎn)品－知識產(chǎn)權(quán)證明入侵漏洞庫質(zhì)量－CVE兼容認(rèn)證25網(wǎng)絡(luò)平安措施簡介26主機平安措施簡介27應(yīng)用平安措施簡介28數(shù)據(jù)平安措施簡介29網(wǎng)絡(luò)平安體系根底架構(gòu)的主要涉及層面物理平安管理需求信息平安需求網(wǎng)絡(luò)平安主機平安應(yīng)用平安數(shù)據(jù)平安平安管理制度平安管理機構(gòu)人員平安管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理30物理平安〔三級〕物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防水和防潮防靜電溫濕度控制電力供給A3電磁防護S3物理平安需求分析31機房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；機房場地應(yīng)防止設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。物理位置的選擇物理平安需求分析32機房出入口應(yīng)安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。物理訪問控制物理平安需求分析33防盜竊和防破壞物理平安需求分析34機房建筑應(yīng)設(shè)置避雷裝置；應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；機房應(yīng)設(shè)置交流電源地線。防雷擊物理平安需求分析35物理平安需求分析36水管安裝，不得穿過機房屋頂和活動地板下；應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；應(yīng)安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。防水和防潮物理平安需求分析37主要設(shè)備應(yīng)采用必要的接地防靜電措施；機房應(yīng)采用防靜電地板。防靜電物理平安需求分析38機房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。溫濕度控制物理平安需求分析39應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；應(yīng)提供短期的備用電力供給，至少滿足主要設(shè)備在斷電情況下的正常運行要求；應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電；應(yīng)建立備用供電系統(tǒng)。電力供給A3物理平安需求分析40應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；電源線和通信線纜應(yīng)隔離鋪設(shè)，防止互相干擾；應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。電磁防護S3物理平安需求分析?綜合布線工程設(shè)計標(biāo)準(zhǔn)?〔GB50311-2007〕?綜合布線工程驗收標(biāo)準(zhǔn)?〔GB50312-2007〕41網(wǎng)絡(luò)平安〔三級〕結(jié)構(gòu)平安訪問控制平安審計邊界完整性檢查S3入侵防范惡意代碼防護網(wǎng)絡(luò)設(shè)備防護網(wǎng)絡(luò)平安需求分析42結(jié)構(gòu)平安網(wǎng)絡(luò)平安需求分析43網(wǎng)絡(luò)平安區(qū)域劃分原那么網(wǎng)絡(luò)整體是一個平安域劃分平安子域內(nèi)部平安域劃分要考慮用戶接入情況平安域劃分要利于平安設(shè)備的部署平安域劃分要保障業(yè)務(wù)正常開展44網(wǎng)絡(luò)平安區(qū)域劃分詳細(xì)說明接入平安域：包括外部單位接入、機關(guān)接入和外聯(lián)單位接入一般平安域：包括網(wǎng)絡(luò)數(shù)據(jù)交換區(qū)、根本效勞區(qū)和平安管理區(qū)核心平安域：核心業(yè)務(wù)區(qū)45訪問控制網(wǎng)絡(luò)平安需求分析46應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；應(yīng)對審計記錄進行保護，防止受到未預(yù)期的刪除、修改或覆蓋等。平安審計網(wǎng)絡(luò)平安需求分析47應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準(zhǔn)確定出位置，并對其進行有效阻斷；應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，準(zhǔn)確定出位置，并對其進行有效阻斷。邊界完整性檢查S3網(wǎng)絡(luò)平安需求分析48應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕效勞攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。入侵防范網(wǎng)絡(luò)平安需求分析49應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和去除；應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。惡意代碼防護網(wǎng)絡(luò)平安需求分析50網(wǎng)絡(luò)設(shè)備防護網(wǎng)絡(luò)平安需求分析51主機平安〔三級〕身份鑒別S3訪問控制S3平安審計剩余信息防護S3入侵防范惡意代碼防范資源控制A3主機平安需求分析52身份鑒別S3主機平安需求分析53應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對資源的訪問；應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限別離，僅授予管理用戶所需的最小權(quán)限；應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限別離；應(yīng)嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令；應(yīng)及時刪除多余的、過期的賬戶，防止共享賬戶的存在。應(yīng)對重要信息資源設(shè)置敏感標(biāo)記；應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；訪問控制S3主機平安需求分析54審計范圍應(yīng)覆蓋到效勞器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的平安相關(guān)事件；審計記錄應(yīng)包括事件的日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；應(yīng)保護審計進程，防止受到未預(yù)期的中斷；應(yīng)保護審計記錄，防止受到未預(yù)期的刪除、修改或覆蓋等。平安審計主機平安需求分析55應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內(nèi)存中；應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全去除。剩余信息防護S3主機平安需求分析56應(yīng)能夠檢測到對重要效勞器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴(yán)重入侵事件時提供報警；應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；操作系統(tǒng)應(yīng)遵循最小安裝的原那么，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級效勞器等方式保持系統(tǒng)補丁及時得到更新。入侵防范主機平安需求分析57應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；應(yīng)支持防惡意代碼的統(tǒng)一管理。惡意代碼防范主機平安需求分析58應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；應(yīng)根據(jù)平安策略設(shè)置登錄終端的操作超時鎖定；應(yīng)對重要效勞器進行監(jiān)視，包括監(jiān)視效勞器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度；應(yīng)能夠?qū)ο到y(tǒng)的效勞水平降低到預(yù)先規(guī)定的最小值進行檢測和報警。資源控制A3主機平安需求分析59應(yīng)用平安〔三級〕身份鑒別S3訪問控制S3平安審計剩余信息保護S3通信完整性S3通信保密性S3抗抵賴軟件容錯A3資源控制A3應(yīng)用平安需求分析60身份鑒別S3應(yīng)用平安需求分析61應(yīng)提供訪問控制功能，依據(jù)平安策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限；應(yīng)授予不同賬戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；訪問控制S3應(yīng)用平安需求分析62應(yīng)提供覆蓋到每個用戶的平安審計功能，對應(yīng)用系統(tǒng)重要平安事件進行審計；應(yīng)保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；審計記錄的內(nèi)容至少應(yīng)包括事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；應(yīng)提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。平安審計應(yīng)用平安需求分析63應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內(nèi)存中；應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全去除。剩余信息保護S3應(yīng)用平安需求分析64通信完整性S3應(yīng)用平安需求分析65通信保密性S3應(yīng)用平安需求分析66應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能?？沟仲噾?yīng)用平安需求分析67應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；應(yīng)提供自動保護功能，當(dāng)故障發(fā)生時自動保護當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進行恢復(fù)。軟件容錯A3應(yīng)用平安需求分析68當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制；應(yīng)能夠?qū)蝹€賬戶的多重并發(fā)會話進行限制；應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；應(yīng)能夠?qū)σ粋€訪問賬戶或一個請求進程占用的資源分配最大限額和最小限額；應(yīng)能夠?qū)ο到y(tǒng)效勞水平降低到預(yù)先規(guī)定的最小值進行檢測和報警；應(yīng)提供效勞優(yōu)先級設(shè)定功能，并在安裝后根據(jù)平安策略設(shè)定訪問賬戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。資源控制A3應(yīng)用平安需求分析69數(shù)據(jù)平安〔三級〕數(shù)據(jù)完整性S3數(shù)據(jù)保密性S3備份與恢復(fù)A3數(shù)據(jù)平安需