信息安全等級(jí)保護(hù)三級(jí)建設(shè)方案

信息安全等級(jí)保護(hù)(三級(jí))建設(shè)方案目錄1項(xiàng)目概述 12等級(jí)保護(hù)建設(shè)流程 23方案參照標(biāo)準(zhǔn) 44信息系統(tǒng)定級(jí)備案 54.1信息系統(tǒng)定級(jí) 5 6 75系統(tǒng)安全需求分析 86安全風(fēng)險(xiǎn)與差距分析 6.1物理安全風(fēng)險(xiǎn)與差距分析 6.2計(jì)算環(huán)境安全風(fēng)險(xiǎn)與差距分析 6.3區(qū)域邊界安全風(fēng)險(xiǎn)與差距分析 6.4通信網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與差距分析 7技術(shù)體系方案設(shè)計(jì) 7.1方案設(shè)計(jì)目標(biāo) 7.2方案設(shè)計(jì)框架 7.3.1安全域劃分的依據(jù) 7.3.2安全域劃分與說(shuō)明 7.4安全技術(shù)體系設(shè)計(jì) 7.4.1機(jī)房與配套設(shè)備安全設(shè)計(jì) 7.4.2計(jì)算環(huán)境安全設(shè)計(jì) 7.4.3區(qū)域邊界安全設(shè)計(jì) 7.4.4通信網(wǎng)絡(luò)安全設(shè)計(jì) 7.4.5安全管理中心設(shè)計(jì) 8安全管理體系設(shè)計(jì) 9系統(tǒng)集成設(shè)計(jì) 9.1軟硬件產(chǎn)品部署圖 9.2安全產(chǎn)品部署說(shuō)明 9.3產(chǎn)品選型 9.2.2選型要求 項(xiàng)目概述等級(jí)保護(hù)建設(shè)流程據(jù)安全五個(gè)方面進(jìn)行建設(shè)；而管理部分根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》“構(gòu)建安全管理機(jī)構(gòu)，制定完善的安全管理制度及安全策略，由相關(guān)人員，利用技術(shù)工手段及相關(guān)工具，進(jìn)行系統(tǒng)建設(shè)和運(yùn)行維護(hù)?！?.系統(tǒng)識(shí)別與定級(jí)：確定保護(hù)對(duì)象，通過(guò)分析系統(tǒng)所屬類型、所屬信息類別、服務(wù)范圍以及業(yè)務(wù)對(duì)系統(tǒng)的依賴程度確定系統(tǒng)的等級(jí)。通過(guò)此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的等級(jí)，為下一步安全域設(shè)計(jì)、安全保障體系框架設(shè)計(jì)、安全要求選擇以及2.安全域設(shè)計(jì)：根據(jù)第一步的結(jié)果，通過(guò)分析系統(tǒng)業(yè)務(wù)流程、功能模塊，根據(jù)安全域劃分原則設(shè)計(jì)系統(tǒng)安全域架構(gòu)。通過(guò)安全域設(shè)計(jì)將系統(tǒng)分解3.確定安全域安全要求：參照國(guó)家相關(guān)等級(jí)保護(hù)安全要求，設(shè)計(jì)不同安全4.評(píng)估現(xiàn)狀：根據(jù)各等級(jí)的安全要求確定各等級(jí)的評(píng)估內(nèi)容，根據(jù)國(guó)家相關(guān)風(fēng)險(xiǎn)評(píng)估方法，對(duì)系統(tǒng)各層次安全域進(jìn)行有針對(duì)性的等級(jí)風(fēng)險(xiǎn)評(píng)估。并找出系統(tǒng)安全現(xiàn)狀與等級(jí)要求的差距，形成完整準(zhǔn)確的按需防御的安全需求。通過(guò)等級(jí)風(fēng)險(xiǎn)評(píng)估，可以明確各層次安全域相應(yīng)等級(jí)的安全差5.安全保障體系方案設(shè)計(jì)：根據(jù)安全域框架，設(shè)計(jì)系統(tǒng)各個(gè)層次的安全保障體系框架以及具體方案。包括：各層次的安全保障體系框架形成系統(tǒng)6.安全建設(shè)：根據(jù)方案設(shè)計(jì)內(nèi)容逐步進(jìn)行安全建設(shè)，滿足方案設(shè)計(jì)做要符7.持續(xù)安全運(yùn)維：通過(guò)安全預(yù)警、安全監(jiān)控、安全加固、安全審計(jì)、應(yīng)急響應(yīng)等，從事前、事中、事后三個(gè)方面進(jìn)行安全運(yùn)行維護(hù)，確保系統(tǒng)的方案參照標(biāo)準(zhǔn)●GB/T20278-2006信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測(cè)試評(píng)價(jià)方法信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件技術(shù)要求信息安全技術(shù)網(wǎng)絡(luò)端設(shè)備隔離部件測(cè)試評(píng)價(jià)方法信息系統(tǒng)定級(jí)備案信息系統(tǒng)定級(jí)識(shí)別業(yè)務(wù)種類、流程和服務(wù)應(yīng)重點(diǎn)了解定級(jí)對(duì)象信息系統(tǒng)中不同業(yè)務(wù)系統(tǒng)提供的服務(wù)在影響履行識(shí)別信息業(yè)務(wù)信息安全等級(jí)矩陣表業(yè)務(wù)信息安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)系統(tǒng)服務(wù)安全等級(jí)矩陣表系統(tǒng)服務(wù)安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)定級(jí)結(jié)果序號(hào)系統(tǒng)名稱保護(hù)等級(jí)執(zhí)行查看系統(tǒng)3數(shù)字法院系統(tǒng)信息系統(tǒng)備案依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》,確定信息系統(tǒng)的等級(jí)后，準(zhǔn)備定第二級(jí)以上信息系統(tǒng)，在安全保護(hù)等級(jí)確定后30日內(nèi)，由系統(tǒng)安全需求分析信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，信息服務(wù)不中斷，信息安全包括了保密性、完整性、可用性等特性，本方案將XX交警隊(duì)公共服務(wù)平臺(tái)從信息安全方面展開(kāi)需求分析，使系統(tǒng)達(dá)到：在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來(lái)自外部有組織的團(tuán)體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭受損害后，能夠較快恢復(fù)絕大部分功能。隨著信息化建設(shè)的不斷推進(jìn)，網(wǎng)絡(luò)安全成為業(yè)務(wù)開(kāi)展過(guò)程最重要的一環(huán)，對(duì)安全的特殊需求實(shí)際上就是要合理地解決網(wǎng)絡(luò)開(kāi)放性與安全性之間的矛盾。在確保單位信息暢通的基礎(chǔ)上，有效阻止非法訪問(wèn)和攻擊對(duì)系統(tǒng)的破壞。安全風(fēng)險(xiǎn)特征主要取決于兩個(gè)方面：一是其資產(chǎn)價(jià)值，二是其運(yùn)行環(huán)境。安全風(fēng)險(xiǎn)主要來(lái)自網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)四個(gè)方面，從XX交警隊(duì)當(dāng)前網(wǎng)絡(luò)整體安全角度出發(fā)，需要重點(diǎn)關(guān)注如下幾個(gè)方面的安全建設(shè)：終端感染木馬、病毒病毒、木馬、蠕蟲(chóng)仍是局外網(wǎng)面臨的最為迫切的安全防護(hù)需求，病毒木馬蠕蟲(chóng)對(duì)終端的危害可能導(dǎo)致終端系統(tǒng)癱瘓、終端被控制、終端存儲(chǔ)的信息被竊取、終端被引導(dǎo)訪問(wèn)釣魚(yú)網(wǎng)站、終端成為僵尸網(wǎng)絡(luò)甚至于終端被控制之后形成跳板攻擊危害到終端具有權(quán)限訪問(wèn)的各類服務(wù)器?！艚K端系統(tǒng)漏洞終端感染病毒、木馬、蠕蟲(chóng)等威脅是終端面臨的主要威脅之一。而終端系統(tǒng)層面的漏洞被利用，會(huì)導(dǎo)致終端更嚴(yán)重的風(fēng)險(xiǎn)，比如終端被控制成為黑客攻擊的跳板，或者終端成為僵尸網(wǎng)絡(luò)的一部分，隨時(shí)有可能發(fā)起針對(duì)內(nèi)網(wǎng)的攻擊。APT攻擊不斷滲透系統(tǒng)漏洞風(fēng)險(xiǎn)問(wèn)題擊的問(wèn)題。應(yīng)用層攻擊問(wèn)題敏感信息泄漏問(wèn)題這類安全問(wèn)題主要利用web攻擊、系統(tǒng)漏洞攻擊等攻擊手段操作后臺(tái)帶寬效率風(fēng)險(xiǎn)一方面造成帶寬資源利用率低的問(wèn)題，因此XX交警隊(duì)亟需一個(gè)方案解決帶寬效工作效率風(fēng)險(xiǎn)辦公室變成免費(fèi)網(wǎng)吧，影響工作效率，從長(zhǎng)遠(yuǎn)來(lái)看，會(huì)給XX交警隊(duì)帶來(lái)很大的目前，網(wǎng)絡(luò)的違規(guī)違法事件越來(lái)越多，國(guó)家對(duì)于違規(guī)違法事件打擊的力度越來(lái)越大，公安部82號(hào)令明文規(guī)定，凡是接入互聯(lián)網(wǎng)的單位都必須具備審計(jì)的功能，記錄用戶的上網(wǎng)行為。單位職員通過(guò)組織網(wǎng)絡(luò)，在論壇和博客發(fā)表反動(dòng)、藏安全快速的移動(dòng)接入業(yè)務(wù)穩(wěn)定性需求安全風(fēng)險(xiǎn)與差距分析物理安全風(fēng)險(xiǎn)與差距分析物理安全風(fēng)險(xiǎn)主要是指網(wǎng)絡(luò)周邊的環(huán)境和物理特性引起的網(wǎng)絡(luò)設(shè)備和線路的不可使用，從而會(huì)造成網(wǎng)絡(luò)系統(tǒng)的不可使用，甚至導(dǎo)致整個(gè)網(wǎng)絡(luò)的癱瘓。它是整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提和基礎(chǔ)，只有保證了物理層的可用性，才能使得整個(gè)網(wǎng)絡(luò)的可用性，進(jìn)而提高整個(gè)網(wǎng)絡(luò)的抗破壞力。例如：●機(jī)房缺乏控制，人員隨意出入帶來(lái)的風(fēng)險(xiǎn)；●線路老化或是有意、無(wú)意的破壞線路；●設(shè)備在非預(yù)測(cè)情況下發(fā)生故障、停電等；●自然災(zāi)害如地震、水災(zāi)、火災(zāi)、雷擊等；因此，在通盤考慮安全風(fēng)險(xiǎn)時(shí)，應(yīng)優(yōu)先考慮物理安全風(fēng)險(xiǎn)。保證網(wǎng)絡(luò)正常運(yùn)行的前提是將物理層安全風(fēng)險(xiǎn)降到最低或是盡量考慮在非正常情況下物理層出現(xiàn)風(fēng)險(xiǎn)問(wèn)題時(shí)的應(yīng)對(duì)方案。計(jì)算環(huán)境安全風(fēng)險(xiǎn)與差距分析計(jì)算環(huán)境的安全主要指主機(jī)以及應(yīng)用層面的安全風(fēng)險(xiǎn)與需求分析，包括：身份鑒別、訪問(wèn)控制、系統(tǒng)審計(jì)、入侵防范、惡意代碼防范、軟件容錯(cuò)、數(shù)據(jù)完整性與保密性、備份與恢復(fù)、資源合理控制、剩余信息保護(hù)、抗抵賴等方面。●身份鑒別身份鑒別包括主機(jī)和應(yīng)用兩個(gè)方面。主機(jī)操作系統(tǒng)登錄、數(shù)據(jù)庫(kù)登陸以及應(yīng)用系統(tǒng)登錄均必須進(jìn)行身份驗(yàn)證。過(guò)于簡(jiǎn)單的標(biāo)識(shí)符和口令容易被窮舉攻擊破解。同時(shí)非法用戶可以通過(guò)網(wǎng)絡(luò)進(jìn)行竊聽(tīng)，從而獲得管理員權(quán)限，可以對(duì)任何資源非法訪問(wèn)及越權(quán)操作。因此必須提高用戶名/口令的復(fù)雜度，且防止被網(wǎng)絡(luò)竊聽(tīng)；同時(shí)應(yīng)考慮失敗處理機(jī)制?！裨L問(wèn)控制訪問(wèn)控制包括主機(jī)和應(yīng)用兩個(gè)方面。訪問(wèn)控制主要為了保證用戶對(duì)主機(jī)資源和應(yīng)用系統(tǒng)資源的合法使用。非法用戶可能企圖假冒合法用戶的身份進(jìn)入系統(tǒng)，低權(quán)限的合法用戶也可能企圖執(zhí)行高權(quán)限用戶的操作，這些行為將給主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)帶來(lái)了很大的安全風(fēng)險(xiǎn)。用戶必須擁有合法的用戶標(biāo)識(shí)符，在制定好的訪問(wèn)控制策略下進(jìn)行操作，杜絕越權(quán)非法操作。●系統(tǒng)審計(jì)系統(tǒng)審計(jì)包括主機(jī)審計(jì)和應(yīng)用審計(jì)兩個(gè)方面。對(duì)于登陸主機(jī)后的操作行為則需要進(jìn)行主機(jī)審計(jì)。對(duì)于服務(wù)器和重要主機(jī)需要進(jìn)行嚴(yán)格的行為控制，對(duì)用戶的行為、使用的命令等進(jìn)行必要的記錄審計(jì)，便于日后的分析、調(diào)查、取證，規(guī)范主機(jī)使用行為。而對(duì)于應(yīng)用系統(tǒng)同樣提出了應(yīng)用審計(jì)的要求，即對(duì)應(yīng)用系統(tǒng)的使用行為進(jìn)行審計(jì)。重點(diǎn)審計(jì)應(yīng)用層信息，和業(yè)務(wù)系統(tǒng)的運(yùn)轉(zhuǎn)流程息息相關(guān)。能夠?yàn)榘踩录峁┳銐虻男畔?，與身份認(rèn)證與訪問(wèn)控制聯(lián)系緊密，為相關(guān)事件提供審計(jì)記錄。●入侵防范主機(jī)操作系統(tǒng)面臨著各類具有針對(duì)性的入侵威脅，常見(jiàn)操作系統(tǒng)存在著各種安全漏洞，并且現(xiàn)在漏洞被發(fā)現(xiàn)與漏洞被利用之間的時(shí)間差變得越來(lái)越短，這就使得操作系統(tǒng)本身的安全性給整個(gè)系統(tǒng)帶來(lái)巨大的安全風(fēng)險(xiǎn)，因此對(duì)于主機(jī)操作系統(tǒng)的安裝，使用、維護(hù)等提出了需求，防范針對(duì)系統(tǒng)的入侵行為。軟件容錯(cuò)軟件容錯(cuò)的主要目的是提供足夠的冗余信息和算法程序，使系統(tǒng)在實(shí)際運(yùn)行時(shí)能夠及時(shí)發(fā)現(xiàn)程序設(shè)計(jì)錯(cuò)誤，采取補(bǔ)救措施，以提高軟件可靠性，保證整個(gè)計(jì)區(qū)域邊界安全風(fēng)險(xiǎn)與差距分析邊界完整性檢測(cè)邊界入侵防范●邊界安全審計(jì)通信網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與差距分析網(wǎng)絡(luò)結(jié)構(gòu)分網(wǎng)段和VLAN。網(wǎng)絡(luò)設(shè)備防護(hù)由于XX交警隊(duì)公共服務(wù)平臺(tái)業(yè)務(wù)系統(tǒng)中將會(huì)使用大量的網(wǎng)絡(luò)設(shè)備，如交換護(hù)好已經(jīng)建立起來(lái)的安全環(huán)境技術(shù)體系方案設(shè)計(jì)方案設(shè)計(jì)目標(biāo)方案設(shè)計(jì)框架根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》,分為技術(shù)和管理兩大類要求，具系系統(tǒng)運(yùn)維管理系統(tǒng)建設(shè)管理人員安至管理安全管理機(jī)構(gòu)安全管理制度據(jù)全份復(fù)數(shù)安及備恢應(yīng)用安全主機(jī)安金網(wǎng)絡(luò)安全物理安全要求設(shè)計(jì)，內(nèi)容涵蓋基本要求的5個(gè)方面。安全域的劃分安全域劃分的依據(jù)2.安全特性的要求3.參照現(xiàn)有狀況●現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)的狀況：現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)、地域和機(jī)房等●參照現(xiàn)有的管理部門職權(quán)劃分安全域劃分與說(shuō)明根據(jù)XX交警隊(duì)公共服務(wù)平臺(tái)業(yè)務(wù)系統(tǒng)的實(shí)際情況，將安全域劃分為如下幾●互聯(lián)網(wǎng)接入域：互聯(lián)網(wǎng)接入域主要為內(nèi)網(wǎng)用戶部分和業(yè)務(wù)應(yīng)用部分提供互聯(lián)網(wǎng)接入訪問(wèn)支撐?！駥?duì)外發(fā)布服務(wù)域：業(yè)務(wù)人員提供業(yè)務(wù)系統(tǒng)的訪問(wèn)。安全技術(shù)體系設(shè)計(jì)機(jī)房與配套設(shè)備安全設(shè)計(jì)機(jī)房與配套設(shè)備安全策略的目的是保護(hù)網(wǎng)絡(luò)中計(jì)算機(jī)網(wǎng)絡(luò)通信有一個(gè)良好的電磁兼容工作環(huán)境，并防止非法用戶進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生?！駲C(jī)房選址機(jī)房和辦公場(chǎng)地選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。機(jī)房出入口安排專人值守，控制、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來(lái)訪人員須經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍。對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域；重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。機(jī)房環(huán)境合理規(guī)劃設(shè)備安裝位置，應(yīng)預(yù)留足夠的空間作安裝、維護(hù)及操作之用。房間裝修必需使用阻燃材料，耐火等級(jí)符合國(guó)家相關(guān)標(biāo)準(zhǔn)規(guī)定。機(jī)房門大小應(yīng)滿足系統(tǒng)設(shè)備安裝時(shí)運(yùn)輸需要。機(jī)房墻壁及天花板應(yīng)進(jìn)行表面處理，防止塵埃脫落，機(jī)房應(yīng)安裝防靜電活動(dòng)地板。機(jī)房安裝防雷和接地線，設(shè)置防雷保安器，防止感應(yīng)雷，要求防雷接地和機(jī)房接地分別安裝，且相隔一定的距離；機(jī)房設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警，并自動(dòng)滅火；機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級(jí)的建筑材料；機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開(kāi)。配備空調(diào)系統(tǒng)，以保持房間恒濕、恒溫的工作環(huán)境；在機(jī)房供電線路上配置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備；提供短期的備用電力供應(yīng)，滿足關(guān)鍵設(shè)備在斷電情況下的正常運(yùn)行要求。設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電；建立備用供電系統(tǒng)。鋪設(shè)線纜要求電源線和通信線纜隔離鋪設(shè)，避免互相干擾。對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。設(shè)備與介質(zhì)管理為了防止無(wú)關(guān)人員和不法分子非法接近網(wǎng)絡(luò)并使用網(wǎng)絡(luò)中的主機(jī)盜取信息、破壞網(wǎng)絡(luò)和主機(jī)系統(tǒng)、破壞網(wǎng)絡(luò)中的數(shù)據(jù)的完整性和可用性，必須采用有效的區(qū)域監(jiān)控、防盜報(bào)警系統(tǒng)，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴(yán)格的出入管理制度和環(huán)境監(jiān)控制度，以保障區(qū)域監(jiān)控系統(tǒng)和環(huán)境監(jiān)控系統(tǒng)的有效運(yùn)行。對(duì)介質(zhì)進(jìn)行分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中。利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。計(jì)算環(huán)境安全設(shè)計(jì)身份鑒別身份鑒別可分為主機(jī)身份鑒別和應(yīng)用身份鑒別兩個(gè)方面：主機(jī)身份鑒別：為提高主機(jī)系統(tǒng)安全性，保障各種應(yīng)用的正常運(yùn)行，對(duì)主機(jī)系統(tǒng)需要進(jìn)行一系列的加固措施，包括：●對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，且保證用戶名的唯一性。●根據(jù)基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長(zhǎng)度不少于8位并定期更換；●啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施?！襁h(yuǎn)程管理時(shí)應(yīng)啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽(tīng)?！駥?duì)主機(jī)管理員登錄進(jìn)行雙因素認(rèn)證方式，采用USBkey+密碼進(jìn)行身份鑒別應(yīng)用身份鑒別：為提高應(yīng)用系統(tǒng)系統(tǒng)安全性應(yīng)用系統(tǒng)需要進(jìn)行一系列的加固措施，包括：對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別，且保證用戶名的唯一性。根據(jù)基本要求配置用戶名/口令，必須具備一定的復(fù)雜度；口令必須具備采用3種以上字符、長(zhǎng)度不少于8位并定期更換；啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施。應(yīng)用系統(tǒng)如具備上述功能則需要開(kāi)啟使用，若不具備則需進(jìn)行相應(yīng)的功能開(kāi)發(fā)，且使用效果要達(dá)到以上要求。用雙因素認(rèn)證(USBkey+密碼)或者構(gòu)建PKI體系，采用CA證書(shū)的方式進(jìn)行身訪問(wèn)控制審計(jì)功能包括文件操作審計(jì)、外掛設(shè)備操作審計(jì)、非法外聯(lián)審計(jì)、IP地址系統(tǒng)管理功能包括系統(tǒng)用戶管理、主機(jī)監(jiān)控代理狀態(tài)監(jiān)控、安全策略管理、發(fā)，且使用效果要達(dá)到以上要求。入侵防范針對(duì)入侵防范主要體現(xiàn)在主機(jī)及網(wǎng)絡(luò)兩個(gè)層面。針對(duì)主機(jī)的入侵防范，可以從多個(gè)角度進(jìn)行處理：●入侵檢測(cè)系統(tǒng)可以起到防范針對(duì)主機(jī)的入侵行為；●部署漏洞掃描進(jìn)行系統(tǒng)安全性檢測(cè)；●部署終端安全管理系統(tǒng)，開(kāi)啟補(bǔ)丁分發(fā)功能模塊及時(shí)進(jìn)行系統(tǒng)補(bǔ)丁升級(jí)；●操作系統(tǒng)的安裝遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，關(guān)閉多余服務(wù)等；●另外根據(jù)系統(tǒng)類型進(jìn)行其它安全配置的加固處理。主機(jī)惡意代碼防范各類惡意代碼尤其是病毒、木馬等是對(duì)XX交警隊(duì)公共服務(wù)平臺(tái)業(yè)務(wù)系統(tǒng)的重大危害，病毒在爆發(fā)時(shí)將使路由器、3層交換機(jī)、防火墻等網(wǎng)關(guān)設(shè)備性能急速下降，并且占用整個(gè)網(wǎng)絡(luò)帶寬。針對(duì)病毒的風(fēng)險(xiǎn)，我們建議重點(diǎn)是將病毒消滅或封堵在終端這個(gè)源頭上，在所有終端主機(jī)和服務(wù)器上部署網(wǎng)絡(luò)防病毒系統(tǒng)，加強(qiáng)終端主機(jī)的病毒防護(hù)能力并及時(shí)升級(jí)惡意代碼軟件版本以及惡意代碼庫(kù)。在XX交警隊(duì)安全管理安全域中，可以部署防病毒服務(wù)器，負(fù)責(zé)制定和終端主機(jī)防病毒策略，在內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的一級(jí)升級(jí)服務(wù)器，由管理中心升級(jí)服務(wù)器通過(guò)互聯(lián)網(wǎng)或手工方式獲得最新的病毒特征庫(kù)，分發(fā)到數(shù)據(jù)中心節(jié)點(diǎn)的各個(gè)終端服務(wù)器。在網(wǎng)絡(luò)邊界通過(guò)防火墻進(jìn)行基于通信端口、帶寬、連接數(shù)量的過(guò)濾控制，可以在一定程度上避免蠕蟲(chóng)病毒爆發(fā)時(shí)的大流量沖擊。同時(shí)，防毒系統(tǒng)可以為安全管理平臺(tái)提供關(guān)于病毒威脅和事件的監(jiān)控、審計(jì)日志，為全網(wǎng)的病毒防護(hù)軟件容錯(cuò)數(shù)據(jù)完整性與保密性送方使用散列函數(shù)(如SHA、MD5等)對(duì)要發(fā)送的信息進(jìn)行摘要計(jì)算，得到信SSL協(xié)議的VPN。保密性——IPSec在傳輸數(shù)據(jù)包之前將其加密.以保證數(shù)據(jù)的保密性。完整性——IPSec在目的地要驗(yàn)證數(shù)據(jù)包，以保證該數(shù)據(jù)包任傳輸過(guò)程中沒(méi)有被修改或替換。完整性校驗(yàn)是IPSECVPN重要的功能之一。真實(shí)性——IPSec端要驗(yàn)證所有受IPSec保護(hù)的數(shù)據(jù)包。防重放——IPSec防止了數(shù)據(jù)包被捕捉并重新投放到網(wǎng)上，即目的地會(huì)拒絕老的或重復(fù)的數(shù)據(jù)包，它通過(guò)報(bào)文的序列號(hào)實(shí)現(xiàn)。SSLVPN適用于遠(yuǎn)程接入環(huán)境，例如：移動(dòng)辦公接入。它和IPSECVPN適用于不同的應(yīng)用場(chǎng)景，可配合使用。它是網(wǎng)景(Netscape)公司提出的基于WEB應(yīng)用的安全協(xié)議。SSL協(xié)議指定了一種在應(yīng)用程序協(xié)議(如Http、Telenet、NMTP和FTP等)和TCP/IP協(xié)議之間提供數(shù)據(jù)安全性分層的機(jī)制，它為TCP/IP連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、消息完整性以及可選的客戶機(jī)認(rèn)證。SSL與IPSec安全協(xié)議一樣，也可提供加密和身份驗(yàn)證安全方法，因此安全性上二者無(wú)明顯差別。技術(shù)作為安全傳輸機(jī)制。這種機(jī)制在所有的標(biāo)準(zhǔn)Web瀏覽器上都有，不用額外的軟件實(shí)現(xiàn)。使用SSLVPN,在移動(dòng)用戶和內(nèi)部資源之間的連接通過(guò)應(yīng)用層的Web連接實(shí)現(xiàn)，而不是像IPSecVPN在網(wǎng)絡(luò)層開(kāi)對(duì)移動(dòng)用戶是理想的技術(shù)，因?yàn)椋骸馭SL無(wú)需被加載到終端設(shè)備上●SSL無(wú)需終端用戶配置●SSL無(wú)需被限于固定終端，只要有標(biāo)準(zhǔn)瀏覽器即可使用產(chǎn)品部署方面，SSLVPN只需單臂旁路方式接入。單臂旁路接入不改變?cè)芯W(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)路配置，不增加故障點(diǎn)，部署簡(jiǎn)單靈活，同時(shí)提供完整的SSLVPN備份與恢復(fù)設(shè)備和介質(zhì)管理，快速、順利的災(zāi)難恢復(fù)以及對(duì)光纖通道存儲(chǔ)區(qū)域網(wǎng)(SAN)的應(yīng)用高可用：實(shí)現(xiàn)多臺(tái)服務(wù)器之間冗余——3到7層的多種服務(wù)器健康檢查應(yīng)用高性能：實(shí)現(xiàn)多臺(tái)服務(wù)器性能疊加——4、7層的多種負(fù)載均衡算法上線>鏈路負(fù)載均衡(入站)解決外部用戶跨運(yùn)營(yíng)訪問(wèn)造成的訪問(wèn)速度慢的問(wèn)題——智能DNS(出入站)多條鏈路之間形成冗余，保障用戶訪問(wèn)穩(wěn)定性——鏈路健康狀況檢測(cè)實(shí)現(xiàn)多數(shù)據(jù)中心入站流量選路、精確為用戶選擇最佳(就近)站點(diǎn)。區(qū)域邊界安全設(shè)計(jì)邊界訪問(wèn)控制入侵防范與應(yīng)用層防攻擊>可面對(duì)越來(lái)越廣泛的基于應(yīng)用層內(nèi)容的攻擊行為，該設(shè)備還應(yīng)具有能夠及時(shí)用進(jìn)行管理?？杀孀R(shí)多種類別如IM/VoI邊界完整性檢查核心是要對(duì)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)邊界安全審計(jì)流經(jīng)各主要邊界(重要服務(wù)器區(qū)域、外部連接邊界)需要設(shè)置必要的審計(jì)機(jī)制，通信網(wǎng)絡(luò)安全設(shè)計(jì)網(wǎng)絡(luò)結(jié)構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，對(duì)于XX交警隊(duì)網(wǎng)絡(luò)，選用主要網(wǎng)絡(luò)安全審計(jì)在XX交警隊(duì)交換機(jī)處并接部署網(wǎng)絡(luò)行為監(jiān)控與審計(jì)系統(tǒng)，形成對(duì)全網(wǎng)網(wǎng)絡(luò)網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)將獨(dú)立的網(wǎng)絡(luò)傳感器硬件組件連接到網(wǎng)絡(luò)中的數(shù)●身份鑒別信息具有不易被冒用的特點(diǎn)，口令設(shè)置需3種以上字符、長(zhǎng)度入主機(jī)的合法性，及時(shí)阻止IP地址的篡改和盜用行為。共同保證XX交警隊(duì)網(wǎng)絡(luò)的邊界完整性。具體如下●非法主機(jī)網(wǎng)絡(luò)阻斷●網(wǎng)絡(luò)白名單策略管理安全管理中心設(shè)計(jì)由于XX交警隊(duì)網(wǎng)絡(luò)覆蓋面廣，用戶眾多，技術(shù)人員水平不一。為了能準(zhǔn)確在安全管理安全域中建立安全管理中心，是有效幫助管理人員實(shí)施好安全措施的重要保障，是實(shí)現(xiàn)業(yè)務(wù)穩(wěn)定運(yùn)行、長(zhǎng)治久安的基礎(chǔ)。通過(guò)安全管理中心的建設(shè)，真正實(shí)現(xiàn)安全技術(shù)層面和管理層面的結(jié)合，全面提升用戶網(wǎng)絡(luò)的信息安全保障能力。系統(tǒng)管理通過(guò)系統(tǒng)管理員對(duì)系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)進(jìn)行統(tǒng)一的管理包括：●用戶身份管理：統(tǒng)一管理系統(tǒng)用戶身份，按照業(yè)務(wù)上分工的不同，合理地把相關(guān)人員劃分為不同的類別或者組，以及不同的角色對(duì)模塊的訪問(wèn)權(quán)限。權(quán)限設(shè)置可按角色劃分，角色分為普通用戶、系統(tǒng)管理員、安全管理員、審計(jì)管理員等?！裣到y(tǒng)資源配置：進(jìn)行系統(tǒng)資源配置管理與監(jiān)控，包括CPU負(fù)載、磁盤使用情況、服務(wù)器內(nèi)存、數(shù)據(jù)庫(kù)的空間、數(shù)據(jù)庫(kù)日志空間、SWAP使用情況等，通過(guò)配置采樣時(shí)間，定時(shí)檢測(cè)。系統(tǒng)加載和啟動(dòng)：進(jìn)行系統(tǒng)啟動(dòng)初始化管理，保障系統(tǒng)的正常加載和啟動(dòng)?！駭?shù)據(jù)備份與恢復(fù)：數(shù)據(jù)的定期備份與恢復(fù)管理，識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)，規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期等；根據(jù)數(shù)據(jù)的重要性及其對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，定期執(zhí)行備份與恢復(fù)策略。惡意代碼防范管理：建立惡意代碼管理中心，進(jìn)行防惡意代碼軟件的統(tǒng)一管理。惡意代碼管理中心實(shí)現(xiàn)：殺毒策略統(tǒng)一集中配置；自動(dòng)并強(qiáng)制進(jìn)行惡意代碼庫(kù)升級(jí)；定制統(tǒng)一客戶端策略并強(qiáng)制執(zhí)行；進(jìn)行集中病毒●系統(tǒng)補(bǔ)丁管理：集中進(jìn)行補(bǔ)丁管理，定期統(tǒng)一進(jìn)行系統(tǒng)補(bǔ)丁安裝。注意應(yīng)首先在測(cè)試環(huán)境中測(cè)試通過(guò)，并對(duì)重要文件進(jìn)行備份后，方可實(shí)施系統(tǒng)補(bǔ)丁程序的安裝?！裣到y(tǒng)管理員身份認(rèn)證與審計(jì)：對(duì)系統(tǒng)管理員進(jìn)行嚴(yán)格的身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對(duì)這些操作進(jìn)行審計(jì)管理通過(guò)安全審計(jì)員對(duì)分布在系統(tǒng)各個(gè)組成部分的安全審計(jì)機(jī)制進(jìn)行集中管理，包括：根據(jù)安全審計(jì)策略對(duì)審計(jì)記錄進(jìn)行分類；提供按時(shí)間段開(kāi)啟和關(guān)閉相應(yīng)類型的安全審計(jì)機(jī)制；對(duì)各類審計(jì)記錄進(jìn)行存儲(chǔ)、管理和查詢等；對(duì)安全審計(jì)員進(jìn)行嚴(yán)格的身份鑒別，并只允許其通過(guò)特定的命令或界面進(jìn)行安全審計(jì)操作。具體集中審計(jì)內(nèi)容包括：日志監(jiān)視實(shí)時(shí)監(jiān)視接收到的事件的狀況，如最近日志列表、系統(tǒng)風(fēng)險(xiǎn)狀況等；監(jiān)控事件狀況的同時(shí)也可以監(jiān)控設(shè)備運(yùn)行參數(shù)，以配合確定設(shè)備及網(wǎng)絡(luò)的狀態(tài)；日志監(jiān)視支持以圖形化方式實(shí)時(shí)監(jiān)控日志流量、系統(tǒng)風(fēng)險(xiǎn)等變化趨勢(shì)。日志管理日志管理實(shí)現(xiàn)對(duì)多種日志格式的統(tǒng)一管理。通過(guò)SNMP、SYSLOG或者其它的日志接口采集管理對(duì)象的日志信息，轉(zhuǎn)換為統(tǒng)一的日志格式，再統(tǒng)一管理、分析、報(bào)警；自動(dòng)完成日志數(shù)據(jù)的格式解析和分類；提供日志數(shù)據(jù)的存儲(chǔ)、備份、恢復(fù)、刪除、導(dǎo)入和導(dǎo)出操作等功能。日志管理支持分布式日志級(jí)聯(lián)管理，下級(jí)管理中心的日志數(shù)據(jù)可以發(fā)送到上級(jí)管理中心進(jìn)行集中管理●審計(jì)分析集中審計(jì)可綜合各種安全設(shè)備的安全事件，以統(tǒng)一的審計(jì)結(jié)果向用戶提供可定制的報(bào)表，全面反映網(wǎng)絡(luò)安全總體狀況，重點(diǎn)突出，簡(jiǎn)單易懂。系統(tǒng)支持對(duì)包過(guò)濾日志、代理日志、入侵攻擊事件、病毒入侵事件等十幾種戶可以通過(guò)IE瀏覽器訪問(wèn)，導(dǎo)出審計(jì)結(jié)果。可設(shè)定定時(shí)生成日志統(tǒng)計(jì)報(bào)表，并管理員在安全管理安全域的控制臺(tái)上，可以集中的對(duì)設(shè)備的報(bào)警策略進(jìn)行指定和下發(fā)，同時(shí)，監(jiān)視可處理報(bào)警信息。安全管理平臺(tái)可以以拓?fù)鋱D的方式來(lái)直觀清晰的顯示設(shè)備關(guān)鍵屬性和運(yùn)行狀態(tài)。等級(jí)保護(hù)(三級(jí))方案深信服科技安全管理體系設(shè)計(jì)安全策略主文檔中規(guī)定的安全各個(gè)方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系系統(tǒng)建設(shè)管理等級(jí)保護(hù)(三級(jí))方案深信服科技系統(tǒng)集成設(shè)計(jì)軟硬件產(chǎn)品部署圖訪本次系統(tǒng)改造新增軟硬件產(chǎn)品后的拓?fù)鋱D如下：級(jí)等級(jí)保護(hù)(三級(jí))方案深信服科技安全產(chǎn)品部署說(shuō)明外網(wǎng)設(shè)備部署產(chǎn)品數(shù)量部署位置部署作用網(wǎng)絡(luò)審計(jì)系統(tǒng)2臺(tái)外網(wǎng)出口(雙機(jī))

審計(jì)