教育行業(yè)等級保護項目解決方案

SANGFOR

教育行業(yè)等級保護項目解決方案潦信留科技

教育行業(yè)信息安全等級保護

解決方案

編寫:________________

審核：________________

批準：_________________

深信服科技有限公司

目錄

1概述..........................................................................5

1.1行業(yè)背景........................................................................5

1.2行業(yè)要求........................................................................5

1.3行業(yè)特點........................................................................7

1.4建設范圍..................................................................7

1.5建設內(nèi)容........................................................................7

2安全現(xiàn)狀分析..................................................................9

2.1安全現(xiàn)狀........................................................................9

2.1.1系統(tǒng)定級說明...............................................................9

定級說明..................................................................9

信息系統(tǒng)及業(yè)務子系統(tǒng).....................................................10

2.1.13業(yè)務系統(tǒng)說明.............................................................10

系統(tǒng)定級總結.............................................................11

2.1.2業(yè)務系統(tǒng)分析..............................................................11

2.1.3網(wǎng)絡結構..................................................................11

2.1.4已有安全措施..............................................................12

3風險與需求分析...............................................................14

3.1信息系統(tǒng)風險分析..............................................................14

3.1.1應用安全..................................................................14

Web攻擊與入侵...........................................................14

網(wǎng)頁篡改.................................................................16

網(wǎng)頁掛馬.................................................................17

業(yè)務連續(xù)性威脅...........................................................17

DDOS威脅................................................................17

敏感信息泄露.............................................................18

3.1.2主機安全..................................................................18

病毒感染.................................................................18

基線脆弱性配置...........................................................18

非法終端行為.............................................................18

設備資源監(jiān)控和預警.......................................................19

3.1.3網(wǎng)絡安全..................................................................19

3.13.1邊界隔離與訪問控制缺失...................................................19

3.1.3.2網(wǎng)絡流量泛濫........................................................19

3.13.3迪訊信息泄礪.............................................................20

3.1.4數(shù)據(jù)安全..................................................................20

數(shù)據(jù)泄漏.................................................................20

數(shù)據(jù)審計缺失.............................................................20

3.2安全需求分析..................................................................21

3.2.1安全計算環(huán)境需求分析.........................................................21

3.2.2安全區(qū)域邊界需求分析.........................................................21

3.2.3安全通信網(wǎng)絡需求分析.................................................................................................................22

3.2.4安全管理中心需求分析.........................................................22

4安全框架和整體設計..........................................................24

4.1設計思路................................................................24

4.2總體技術路線............................................................25

4.2.1等級保護及行業(yè)系統(tǒng)合規(guī)性設計................................................................................25

4.2.2風險管理設計................................................................................................................25

4.2.3體系化設計方法............................................................................................................26

4.2.4縱深防御設計方法........................................................................................................26

4.3設計原則依據(jù).............................................................27

4.4安全域劃分...............................................................28

4.4.1安全域劃分原則............................................................................................................28

4.4.2信息系統(tǒng)定級................................................................................................................28

4.4.3安全域劃分....................................................................................................................28

5安全技術體系方案設計........................................................30

5.1安全計算環(huán)境設計.........................................................30

5.1.1應用安全防講................................................................................................................30

5.1.2應用鏈路負載................................................................................................................30

5.1.3主機防病毒....................................................................................................................31

5.1.4數(shù)據(jù)防泄密防護............................................................................................................31

5.1.5數(shù)據(jù)庫審計....................................................................................................................31

5.1.6終端安全管控................................................................................................................32

5.1.7應用代碼審計................................................................................................................33

5.1.8周期性滲透測試............................................................................................................36

5.1.9基線配置加固................................................................................................................38

5.2安全區(qū)域邊界設計.........................................................38

5.2.1邊界隔離防滬................................................................................................................38

5.2.2A侵與惡意輯碼檢測....................................................................................................39

5.3安全通信網(wǎng)絡設計.........................................................39

5.3.1流量管理控制................................................................................................................39

5.3.2通訊完整性保護............................................................................................................40

5.4安全管理中心設計.........................................................40

5.4.1統(tǒng)一監(jiān)控與預警............................................................................................................40

5.4.2統(tǒng)一審計平臺................................................................................................................41

5.5剩余保護.................................................................41

6安全管理體系方案設計........................................................42

6.1總體安全方針與安全策略...................................................42

6.2信息安全管理制度.........................................................43

6.3安全管理機構.............................................................43

6.4人員安全管理.............................................................44

6.5系統(tǒng)建設管理.............................................................44

6.6系統(tǒng)運維管理.............................................................45

6.7安全管理制度匯總.........................................................47

7方案亮點及優(yōu)勢說明..........................................................49

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

1概述

1.1行業(yè)背景

在日新月異的當代社會，信息技術的迅猛發(fā)展既為我國企業(yè)與公共事業(yè)發(fā)展

帶來了契機，同時又面臨嚴峻的挑戰(zhàn)。作為教育行業(yè)，教書育人是基礎，必須加

快教育教學的信息化建設的步伐，推動教育全面的管理變革，提高教育單位整體

素質(zhì)，最終提高教學單位核心競爭力，保證行業(yè)的長期平穩(wěn)發(fā)展。信息化發(fā)展能

極大促進教育教學質(zhì)量的提升，沒有信息化就沒有教育的現(xiàn)代化，伴隨著信息化

水平不斷提升，網(wǎng)絡安全問題也愈發(fā)嚴重，根據(jù)CNCERT/CC國家互聯(lián)網(wǎng)應急響

應中心統(tǒng)計，2015年我國境內(nèi)被篡改、入侵的網(wǎng)站數(shù)量高達24000多個，來自

境外的黑客組織頻繁這我國政府、高校發(fā)起敵對攻擊行為。

另外上級監(jiān)管機構越來越重視教育行業(yè)信息安全的發(fā)展，教育部辦公廳2014

年連續(xù)發(fā)布《教育部公安部關于全面推進教育行業(yè)信息安全等級保護工作的通

知》、《關于加強教育行業(yè)網(wǎng)絡與信息安全工作的指導意見》；并在2015年發(fā)布了

《教育部辦公廳關于組織開展部屬單位信息安全等級保護工作的通知》，在通知

中教育部辦公廳強調(diào)，部屬高校應在信息系統(tǒng)定級備案工作的基礎上，對照國家

相關標準規(guī)范，通過信息系統(tǒng)安全等級測評或者風險評估等方式確定整改需求,

對信息系統(tǒng)進行加固和完善，落實安全保護技術措施和管理制度，提高網(wǎng)絡和信

息系統(tǒng)的整體保護能力。

為提升xxx學校xxx系統(tǒng)的安全建設基線，信息安全防護水平，落實好國家

監(jiān)管單位關于教育行業(yè)信息系統(tǒng)安全等級保護基本要求，結合xxx學校目前網(wǎng)絡

整體運行安全現(xiàn)狀，整改編寫本等級保護完善建設方案。

1.2行業(yè)要求

□《教育部公安部關丁?全面推進教育行業(yè)信息安全等級保護工作的通知》

□《教育行業(yè)信息系統(tǒng)安全等級保護定級工作指南（試行）》

5

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

□《關于加強教育行業(yè)網(wǎng)絡與信息安全工作的指導意見》

□《教育部公安皆關于全面推進教育行業(yè)信息安全等級保護工作的通知》

□《關于開展教育系統(tǒng)信息安全等級保護工作專項檢查的通知》

□《關于深入開展教育行業(yè)信息系統(tǒng)安全等級保護工作的通知》

□《教育管理信息化建設與應用指南》

□計算機信息系統(tǒng)安全保護等級劃分準則(GB17859-1999)

□信息系統(tǒng)安全等級保護定級指南(GB/T22240-2008)

□信息系統(tǒng)安全等級保護實施指南(GB/T25058-2010)

□信息系統(tǒng)安全等級保護基本要求(GB/T22239-2008)

□信息系統(tǒng)通用安全技術要求(GB/T20271-2006)

□信息系統(tǒng)等級保護安全設計技術要求(GB/T25070-2010)

□信息系統(tǒng)安全管理要求(GB/T20269-2006)

□信息系統(tǒng)安全工程管理要求(GB620282?2006)

□信息系統(tǒng)物理安全技術要求(GB/T21052-2007)

□網(wǎng)絡基礎安全技術要求(GB/T20270-2006)

□信息系統(tǒng)安全等級保護體系框架(GA/T708-2007)

□信息系統(tǒng)安全等級保護基本模型(GA/T709-2007)

□信息系統(tǒng)安全等級保護基本配置(GA/T7102007)

□信息系統(tǒng)安全等級保護測評要求(GB/T28448-2012)

□信息系統(tǒng)安全等級保護測評過程指南(GB/T28449-2012)

□信息系統(tǒng)安全管理測評(GA/T713-2007)

□信息安全風險評估規(guī)范(GB/T20984-2007)

6

SSSANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

□信息安全事件管理指南(GB/Z20985-2007)

□信息安全事件分類分級指南(GB/Z20986-2007)

□信息系統(tǒng)災難恢更規(guī)范(GB/T20988-2007)

1.3行業(yè)特點

教育行業(yè)在信息安全領域，與其他行業(yè)對比，具備很多不同和獨特的特征，

給信息安全的建設帶來新的挑戰(zhàn)，例如：

信息系統(tǒng)數(shù)量眾多且情景復雜，系統(tǒng)私搭亂建情況層出不窮，管理維護不到

位；

令由于信息系統(tǒng)數(shù)量眾多，帶來繁瑣的定級備案工作和內(nèi)部高昂的管理成

本。

令校內(nèi)信息系統(tǒng)和終端用戶數(shù)量眾多，信息安全資金預算緊張。

令針對學生上網(wǎng)行為、言論的管控難度較大，輿情監(jiān)控力度不足，一旦發(fā)

生群體網(wǎng)絡事件或散布謠言等負面事件，無法迅速定位和反追蹤，會給

學校聲譽帶來嚴重影響和損失。

令門戶網(wǎng)站對網(wǎng)頁防篡改要求較高，一旦被黑客篡改，發(fā)布反動等不良信

息，會造成惡劣的社會影響和機構的聲譽損失。

力部門信息系統(tǒng)面臨學生成績、學籍等信息數(shù)據(jù)的篡改風險。

1.4項目建設范圍

本次項目涉及的范圍為XXX學校XXX系統(tǒng)。

1.5項目建設目標

依照國家《計算機信息系統(tǒng)安全保護等級劃分準則》、《信息系統(tǒng)安全等級保

護基本要求》、《信息系統(tǒng)安全保護等級定級指南》等標準，以及XXX高校對信息

7

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

系統(tǒng)等級保護工作的有關規(guī)定和要求，對XXX高校的網(wǎng)絡和信息系統(tǒng)進行等級保

護定級，按信息系統(tǒng)逐個編制定級報告和定級備案表，并指導XXX高校信息化人

員將定級材料提交當?shù)毓矙C關備案。通過為滿足物理安全、網(wǎng)絡安全、主機安

全、應用安全、數(shù)據(jù)安全五個方面基本技術要求進行技術體系建設；為滿足安全

管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理五個方

面基本管理要求進行管理體系建設。使得XXX高校網(wǎng)絡系統(tǒng)的等級保護建設方案

最終既可以滿足等級保護的相關要求，又能夠全方面為XXX高校的業(yè)務系統(tǒng)提供

立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護能力。本項目建

設將完成以下目標：

1、以XXX高校信息系統(tǒng)現(xiàn)有基礎設施，建設并完成滿足等級保護三級系統(tǒng)

基本要求的信息系統(tǒng)，確保XXX高校的整體信息化建設符合相關要求。

2、建立安全管理組織機構。成立信息安全工作組，明確安全責任人，擬定

實施信息系統(tǒng)安全等級保護的具體方案，并制定相應的崗位責任制，確保信息安

全等級保護工作順利實施。

3、建立完善的安全技術防護體系。根據(jù)信息安全等級保護的要求，建立滿

足三級要求的安全技術防護體系。

4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護的要求，制定

各項信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建

立操作規(guī)程和執(zhí)行記錄文檔。

5、制定xxx高校信息系統(tǒng)不中斷的應急預案。應急預案是安全等級保護的

重要組成部分，按可能出現(xiàn)問題的不同情形制定相應的應急措施，在系統(tǒng)出現(xiàn)故

障和意外且無法短時間恢復的情況下能確保生產(chǎn)活動持續(xù)進行。

6、安全培訓：為xxx高校信息化技術人員提供信息安全相關專業(yè)技術知識

培訓

8

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

2安全現(xiàn)狀分析

2.1信息系統(tǒng)概況

2?1.1一卡通系統(tǒng)

此段主要描述定級系統(tǒng)概述，在定級報告里面有，復制拷貝即可。

2.1.2校園門戶網(wǎng)站

此段主要描述定級系統(tǒng)概述，在定級報告里面有，復制拷貝即可。

2.1.3招生管理系統(tǒng)

此段主要描述定級系統(tǒng)概述，在定級報告里面有，復制拷貝即可。

2.1.4學籍管理系統(tǒng)

此段主要描述定級系統(tǒng)概述，在定級報告里面有，復制拷貝即可。

2.2安全現(xiàn)狀

2.2.1系統(tǒng)定級說明

定級說明

針對本次等級保護建設，由深信服公司等級保護安全專家深入了XXX學校本

次項目涵蓋的各信息系統(tǒng)構成、所提供的業(yè)務支撐，業(yè)務流程和系統(tǒng)服務對象,

分析系統(tǒng)發(fā)生安全事故所造成的影響，參照《信息系統(tǒng)安全等級保護定級指南》，

對本項目的定級資料進行進一步的審核，確定業(yè)務流程描述是否清晰、服務客體

是否定位合理、造成影響的范圍是否準確，進一步協(xié)助貴局完善定級備案工作。

一個組織機構內(nèi)可能運行一個或多個信息系統(tǒng)，這些信息系統(tǒng)的安全保護等

9

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

級可以是相同的，也可以是不同的。為體現(xiàn)重點保護重要信息系統(tǒng)安全，有效控

制信息安全建設成本，優(yōu)化信息安全資源配置的等級保護原則，在進行信息系統(tǒng)

的劃分時應考慮以下幾個方面：

1）相同的管理機構

信息系統(tǒng)內(nèi)的各業(yè)務子系統(tǒng)在同一個管理機構的管理控制之下，可以保證遵

循相同的安全管理策略。

2）相同的業(yè)務類型

信息系統(tǒng)內(nèi)的各業(yè)務子系統(tǒng)具有相同的業(yè)務類型，安全需求相近，可以保證

遵循相同的安全策略。

3）相同的物理位置或相似的運行環(huán)境

信息系統(tǒng)內(nèi)的各業(yè)務子系統(tǒng)具有相同的物理位置或相似的運行環(huán)境意味著

系統(tǒng)所面臨的威脅相似，有利于采取統(tǒng)一的安全保護。

信息系統(tǒng)及業(yè)務子系統(tǒng)

按照信息系統(tǒng)的定義，典型的信息系統(tǒng)應由計算機硬件設備（包括服務器設

備、客戶端設備、打印機及存儲器等外圍設備）、計算機網(wǎng)絡硬件設備（包括安

全設備、交換機、路由器、各種適配器以及通信線路等）、安裝于這些硬件設備

上的軟件、所提供的服務以及相關的人員構成。信息系統(tǒng)內(nèi)的各業(yè)務子系統(tǒng)一般

有較為緊密的關聯(lián)，可能存在共用設備或較為頻繁的數(shù)據(jù)交換。

業(yè)務子系統(tǒng)是按照信息系統(tǒng)所承載的業(yè)務對信息系統(tǒng)進行劃分所形成的子

系統(tǒng)。業(yè)務子系統(tǒng)是信息系統(tǒng)中可以為定級要素賦值的最小單元，業(yè)務子系統(tǒng)應

具有信息系統(tǒng)的全部特點，應該是由計算機硬件、計算機網(wǎng)絡硬件以及安裝于這

些硬件上的軟件、提供的服務以及相關人員構成的一個有形實體，并且承載確定

的業(yè)務。

221.3業(yè)務系統(tǒng)說明

XXX學校本次參加建設的共有x個信息系統(tǒng)，具體情況介紹如下：

門戶網(wǎng)站：門戶網(wǎng)站作為學校面向互聯(lián)網(wǎng)傳輸?shù)拿浇椋蛴脩籼峁┬畔?、?/p>

10

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

詢等服務。用戶通過門戶網(wǎng)站可以了解學校相關信息和其他動態(tài)，也可以進行相

關考試報名等服務。

……添加其他系統(tǒng)描述。

221.4系統(tǒng)定級總結

經(jīng)過前期調(diào)研和討論，綜合考慮了XXX學校XXX系統(tǒng)的業(yè)務信息和系統(tǒng)服務

類型，以及其受到破壞時可能受到侵害的客體以及受侵害的程度，經(jīng)研究決定為

(S3A3G3),根據(jù)就高不就低的原則，整體網(wǎng)絡信息化平臺按照三級進行建設。

2.2.2業(yè)務系統(tǒng)分析

門戶網(wǎng)站作為學校面向互聯(lián)網(wǎng)傳輸?shù)拿浇?，向用戶提供信息、查詢等服務?/p>

用戶通過門戶網(wǎng)站可以了解學校相關信息和其他動態(tài)，也可以進行相關考試報名

等服務。

—其他系統(tǒng)分析補充—

此次方案涉及信息系統(tǒng)包括：門戶網(wǎng)站、XXX系統(tǒng)、XXX系統(tǒng)等。

業(yè)務信息系

部門信息系統(tǒng)性質(zhì)及使用范圍存放物理位置及維護方

統(tǒng)名稱

X層中心機房

信息綜合門用戶集中平臺、信息共享平臺、工作

信息中心

戶互助平臺、互動交流平臺。

信息管理部技術維護

X層中心機房

學校學生信息，教師系統(tǒng)存放技術業(yè)

信息中心教務系統(tǒng)

務系統(tǒng)平臺。

信息管理部技術維護

2.2.3網(wǎng)絡結構

XXX學校XXX系統(tǒng)網(wǎng)絡拓撲現(xiàn)狀如下:

II

SANGFOR

教育行業(yè)等級保護項目解決方案深值展科技

電信教育網(wǎng)

對外服務越負數(shù)均歸F

運維管理區(qū)

門戶網(wǎng)站

F-中安全管理中心

火0

接入域0

郵件系燒

防病星服務案

下Tt防火塔0

其他對外系線oe

一代防運紹建壘機

I.阿行為火堵

0次海量管理Q

網(wǎng)管系比

一卡通系筑00

入侵松北/防聞系St

招生管理原第0

學n管理系統(tǒng)

火I

核心業(yè)務域

下一代防F一代防一代防|下一代防

火墻火?火墻0火墻

e000^0

行政樓sv?(Sfitt

vSphoro+vSan

VAF

虛擬化區(qū)域

2.2.4已有安全措施

＜網(wǎng)絡結構

承載學校門戶網(wǎng)站、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)業(yè)務的互聯(lián)網(wǎng)出口目前現(xiàn)

網(wǎng)部署了X臺負載均衡設備、X臺網(wǎng)絡防火墻、X臺IPS設備，X臺X設備，X臺

XXX交換機作為互聯(lián)網(wǎng)出口整個網(wǎng)絡的核心層，樓層選用XXX交換機接入核心網(wǎng)

絡，為學校提供基礎網(wǎng)絡支撐。采用VLAN技術將網(wǎng)絡劃分為多個區(qū)域，包括服

務器區(qū)、網(wǎng)絡設備區(qū)和辦公電腦區(qū)。服務器區(qū)和網(wǎng)絡設備區(qū)使用固定IP地址，

辦公電腦區(qū)采用IP地址動態(tài)分配。學校在互聯(lián)網(wǎng)區(qū)部署了門戶網(wǎng)站、網(wǎng)上招生

管理系統(tǒng)、招生錄取管理系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、xxx系統(tǒng)面向公眾和企業(yè)用

戶提供應用服務。

為保障網(wǎng)絡系統(tǒng)的安全，學校業(yè)務互聯(lián)網(wǎng)出口網(wǎng)絡邊界處部署了傳統(tǒng)防火墻,

入侵防御系統(tǒng)，用于安全區(qū)域隔離及門戶網(wǎng)站群服務器的安全防護；

令網(wǎng)絡鏈路

12

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

學校采用x條x兆鏈路與互聯(lián)網(wǎng)相連，主要用于信息發(fā)布與互聯(lián)網(wǎng)訪問服

務；X條移動運營商、X條電信運營商、X條教育局鏈路。

令安全設備

經(jīng)過前期建設，學校校園網(wǎng)已部署了防火墻、IPS、負載均衡、XXX等安全設

備，安全設備的具體情況如下:

表安全設備情況表

序號設冬名稱數(shù)量設備主要技術參數(shù)

1XXX防火墻1

2XXX負載均衡1

3..........

4

5

6

7

8

9

13

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

3風險與需求分析

3.1信息系統(tǒng)風險分析

3.1.1應用安全

Web攻擊與入侵

在信息化時代，Web網(wǎng)站常常作為信息系統(tǒng)對外的大門，向客戶提供各種

服務；于此同時，在信息安全領域中，Web攻擊所占的比重又是黑客入侵中最高

的。因此，發(fā)現(xiàn)和了解常見Web攻擊入侵手段利方法，更深入的了解潛在的敵

人，我們才能更有針充性的進行防御和保護。

<SQL注入攻擊

描述

SQL注入攻擊是一個漏洞，攻擊者可以通過操縱服務器端用戶輸入的

SQL語句。當一個SQL注入接受用戶輸入的Web應用程序，直接放入

一個SQL語句，不正確地篩選出危險的信息。是目前互聯(lián)網(wǎng)上應用的一

個最常見的應用層攻擊。

危害

攻擊者可以通過此漏洞來操縱系統(tǒng)上任意的SQL語句。這可能會危害數(shù)

據(jù)庫的完整性或者暴露敏感的信息。根捱所使用的后端數(shù)據(jù)庫，SQL注

入漏洞導致不同程度的攻擊數(shù)據(jù)或者訪問系統(tǒng)。它可能不只是現(xiàn)有的查詢

操作，或者是任意數(shù)據(jù)聯(lián)盟、使用子查詢、追加額外的查詢。在某些情況

下，它可能會讀出或?qū)懭胛募蚩刂葡到y(tǒng)執(zhí)行上層命令。如Microsoft

SQLServer的某些SQL服務器包含存儲和擴展程序（數(shù)據(jù)庫服務功能）。

如果一個攻擊者能夠訪問這些程序有可能危及整個機器。

令跨站腳本攻擊（XSS）

14

SSSANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

描述

跨站腳本（也稱為XSS攻擊）是一個漏洞，攻擊者可以發(fā)送惡意腳木（通常

以JavaScript的形式）到另一個用戶。由于瀏覽器無法分辨此信息是否可

信，入侵者運用腳本將Cookie保存了完整的用戶名和密碼資料保存到記

錄頁面中。

危害

>盜取各類用戶帳號，如機器登錄帳號、用戶網(wǎng)銀帳號、各類管理員

帳號；

>控制企業(yè)數(shù)據(jù)，包括讀取、篡改、添加、刪除企業(yè)敏感數(shù)據(jù)的能

力；

>盜竊企業(yè)重要的具有商業(yè)價值的資料；

>非法轉(zhuǎn)賬；

>session劫持（導致網(wǎng)絡蠕蟲）；

>強制發(fā)送電子郵件；

>網(wǎng)站掛馬；

>控制受害者機器向其它網(wǎng)站發(fā)起攻擊；

令腳本代碼暴露攻擊

描述

它可以讀通過使用腳本文件名作為參數(shù)，這個腳本的源代碼。看來，這

個腳本包含一個確定的名字是使用用戶提供的數(shù)據(jù)文件。這個數(shù)據(jù)是不

正確驗證之前被傳遞給包括功能。

危害

攻擊者可以收集敏感信息（數(shù)據(jù)庫連接字符串，應用程序邏輯）通過分析

源代碼。這些信息可以被用來發(fā)動進一步襲擊。

令目錄穿越攻擊

描述

目錄穿越漏洞允許攻擊者訪問受限制的目錄可以訪問Web服務器的根目

15

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

錄。

危害

通過利用目錄穿越漏洞，攻擊者在一個Web服務器上使用這個軟件除了

可以訪問服務器的根目錄外還可以訪問目錄里面的數(shù)據(jù)，導致Web服務

器完全妥協(xié)、。

。代碼執(zhí)行攻擊

描述

當輸出或者觸發(fā)服務器端代碼時，漏洞植入到代碼中。在有些不嚴密的

Web應用程序中，用戶可以通過修改應用程序發(fā)布到留言板或留言簿，

有時可能是注入的應用程序本身的腳本語言代碼的服務器端文件。

危害

用戶可能會執(zhí)行與Web服務器權限外的任意系統(tǒng)命令，導致黑客可以取

得系統(tǒng)控制權限。

。Cookie操作攻擊

描述

Cookie信息很容易被攻擊者解密。由于Cookie是利用了網(wǎng)頁代碼中的

HTTP或者META的頭信息進行傳遞的，因此可以改變存儲在客戶瀏覽

器中的設置。攻擊者修改Cookie信息，以欺詐的手段進行輸入驗證，

危害

通過利用此漏洞，攻擊者可以進行固定會話攻擊。在一個固定會話攻擊中，

攻擊者使用他人的信息進行會話，然后以用戶身份登錄到目標服務器，最

后再消除登陸會話的ID。

網(wǎng)頁篡改

網(wǎng)頁篡改是指攻擊者利用Web應用程序漏洞將正常的網(wǎng)站頁面替換為攻擊

16

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

者提供的網(wǎng)頁、文字、圖片等內(nèi)容。一般來說網(wǎng)頁的篡改對計算機系統(tǒng)本身不會

產(chǎn)生直接的影響，但對于門戶網(wǎng)站等需要與客戶通過網(wǎng)站進行溝通的應用來說,

不僅會導致信息誤導或服務中斷造成經(jīng)濟損失，還會對組織機構的形象和信譽帶

來嚴重的損害。

網(wǎng)頁掛馬

網(wǎng)頁掛馬也是利用Web攻擊造成的一種網(wǎng)頁篡改的安全問題，本質(zhì)上破壞

了網(wǎng)頁的完整性，用戶訪問掛馬的網(wǎng)頁，就會把木馬病毒帶入自己的電腦。網(wǎng)頁

掛馬會導網(wǎng)站的用戶成為受害者，組織結構也會因此造成經(jīng)濟信譽的損失，并且

可能成為攻擊者的潛在幫兇而承擔相應的法律責任。

3.1.1?4業(yè)務連續(xù)性威脅

業(yè)務連續(xù)性作為保障正常網(wǎng)站業(yè)務的關鍵要素，成為信息系統(tǒng)運營中最為重

要的工作之一。在某些具體情境下，業(yè)務連續(xù)性的中斷會造成嚴重的不良后果,

例如重要考試查分、重要考試報名等，對組織機構造成聲譽和經(jīng)濟的損失。

DDOS威脅

DDOS攻擊是在眾多網(wǎng)絡攻擊中是一種簡單有效并且具有很大危害性的攻

擊方式，它利用合理的服務請求來大量占用服務端資源，從而使合法用戶無法得

到服務的響應，被DDOS攻擊后主機上有大量等待的TCP連接；網(wǎng)絡中充斥著

大量的無用的數(shù)據(jù)包，源地址為假；會制造高流量無用數(shù)據(jù)，造成網(wǎng)絡擁塞，嚴

重時會造成系統(tǒng)死機，使受害主機無法及時處理所有正常請求。

如今，隨著大數(shù)據(jù)和云計算技術的發(fā)展，DDOS的形式也越發(fā)多樣，主要特

征和變化體現(xiàn)在：

>大流量攻擊呈現(xiàn)增長趨勢，過百G的攻擊越來越多；

>大流量攻擊走向云端，可能出現(xiàn)的云端攻擊形式；

>大流量攻擊在游戲行業(yè)中加劇，尤以UDP攻擊常見；

>小流量快攻擊變身脈沖式攻擊，實戰(zhàn)國內(nèi)外實際案例；

17

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

>小流量慢攻擊專盯業(yè)務邏輯問題，呈現(xiàn)攻擊原理及防御；

>DDoS攻擊手段“APT”化，智能路由器溫床未見好轉(zhuǎn)；

敏感信息泄露

這類安全問題主要針對Web攻擊、系統(tǒng)漏洞等攻擊造成的后臺數(shù)據(jù)庫中存

儲的學生資料、身份信息、考試成績、聯(lián)系方式等敏感信息的泄露。敏感信息泄

露對于教育行業(yè)來說是致命的大兒，可能產(chǎn)生巨大的經(jīng)濟損失和不良的社會影響。

3.1?2主機安全

病毒感染

主機感染病毒木馬程序，輕則會引發(fā)主機的運行速度變慢、主機資源性能的

消耗，重則會導致機構敏感信息泄露、關鍵文件被惡意拷貝刪除、病毒在內(nèi)網(wǎng)進

行傳播感染其他主機等嚴重破壞，給組織機構的正常業(yè)務和工作造成不良影響。

基線脆弱性配置

伴隨組織業(yè)務的不斷發(fā)展，網(wǎng)絡規(guī)模日益擴大，其生產(chǎn)、業(yè)務支撐系統(tǒng)的網(wǎng)

絡結構也變得越來越復雜。其中，重要應用和服務器的數(shù)量及種類日益增多。采

用一成不變的初始系統(tǒng)設置而忽略了對于安全控制的要求，會導致嚴重的風險和

威脅。

雖然基線的脆弱性配置一般不會導致黑客直接的入侵，但組織機構的內(nèi)部網(wǎng)

絡往往由服務器設備集群組成，主機在具中扮演著重要的角色，基線的脆弱性配

置會給黑客以可乘之機，由存在脆弱性配置的主機或設備作為跳板，進而達到更

深層面的入侵。

非法終端行為

在組織機構內(nèi)部，員T的一些行為（如訪問非法網(wǎng)站、散布組織虛假信息、

18

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

郵件敏感信息泄露、非法PC接入等）會給組織機構帶來不良的后果和威脅，導

致財產(chǎn)和聲譽的損失。因此需要對內(nèi)部非法終端行為進行審計監(jiān)控和預警，及時

阻斷非法行為給組織帶來的風險和威脅。

3?1?2.4設備資源監(jiān)控和預警

伴隨組織業(yè)務的不斷發(fā)展，網(wǎng)絡規(guī)模日益擴大，生產(chǎn)、業(yè)務支撐設備也變得

日益繁雜，面對眾多的設備和系統(tǒng)，缺乏對其資源（如性能、利用率等）的集中

監(jiān)控和預警，會使組織日常運維陷入被動，疲于應對各種告警和事件，導致整體

IT運維效率的降低和其他不良的影響。

3.1.3網(wǎng)絡安全

邊界隔離與訪問控制缺失

網(wǎng)絡邊界的作用類似圍欄，把風險和威脅抵御在邊界外部，保障內(nèi)部資產(chǎn)的

安全。而訪問控制類似企業(yè)的安全門，放行正常的人員出入，阻止掉不法人員和

異常行為。面當邊界隔離和訪問控制出現(xiàn)缺失，就意味著大量的風險和威脅乘虛

向入，給組織帶來嚴重的影響和危害，造成財產(chǎn)和聲譽的損失。

網(wǎng)絡流量泛濫

在日常組織網(wǎng)絡中，鏈路中的流量豐富而泛洸、加之業(yè)務系統(tǒng)越來越多，面

臨著諸多問題：

>業(yè)務系統(tǒng)的帶寬爭搶導致業(yè)務系統(tǒng)運行速度的變慢；

>迅雷/BT等P2P下載、流媒體、網(wǎng)絡游戲等非工作流量搶占有限的帶

寬資源，導致語音和視頻會議、OA、ERP等業(yè)務系統(tǒng)運行不穩(wěn)定；

>當網(wǎng)速越來越慢，IT管理者卻無法了解具體的帶寬使用情況、流量分布

情況；

19

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

以上這些情況都會給組織的IT運營帶來瑣碎繁雜的問題，使得運營者無法

集中精力到更有價值更有效的事情中去，浪費其效率和時間。

3.133通訊信息泄露

無論在B/S架構中還是C/S架構中，數(shù)據(jù)傳輸都占著重要而關鍵的地位，

網(wǎng)絡通信的安全直接影響著承載的傳輸數(shù)據(jù)的安全。而通訊信息出現(xiàn)問題（如明

文傳輸、弱加密等）被不法者截斷或者重現(xiàn)會給組織帶來巨大的損失和傷害。

3.1.4數(shù)據(jù)安全

3?1.4.1數(shù)據(jù)泄漏

組織在IT運營過程中，經(jīng)常會面臨到諸多數(shù)據(jù)泄密的問題，例如：

。組織核心專利技術被不法者提前復制；

令組織企劃方案被競爭對手拿到；

令離職職工帶走了學校敏感文件數(shù)據(jù)；

＜關鍵文件被不法者手竊取

令CRM中的用戶信息被盜??；

正如輪胎漏氣一樣，任何細微的數(shù)據(jù)泄露都會使組織面臨著巨大的風險和威

脅。

數(shù)據(jù)審計缺失

伴隨組織業(yè)務的不斷發(fā)展，網(wǎng)絡規(guī)模日益擴大，其生產(chǎn)、業(yè)務支撐的數(shù)據(jù)量

也越來越龐大。任何一個誤操作或者非法行為，都會導致數(shù)據(jù)的泄密和巨大的損

害。面對浩瀚的數(shù)據(jù)，如何發(fā)現(xiàn)其中異常的行為，以及對異常行為進行阻斷和審

計，成為保障數(shù)據(jù)安全的核心關鍵。

20

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

3.2安全需求分析

信息系統(tǒng)安全等級保護的核心是保證不同安全保護等級的信息系統(tǒng)具有相

適應的安全保護能力。為保障不同安全保護等級信息系統(tǒng)的安全保護能力要求，

需要針對不同安全保護等級信息系統(tǒng)應該具有的安全保護能力提出了相應的基

本安全要求，滿足基本安全要求是保證信息系統(tǒng)具有相應等級的安全保護能力的

前提。

Xxx學校在等級保護建設過程中，考慮從技術和管理兩個方面提出基本安全

要求，在采取由點到面的各種安全措施時，系統(tǒng)整體上還應保證各種安全措施的

組合從外到內(nèi)構成一個縱深的安全防御體系，保記信息系統(tǒng)整體的安全保護能力。

應從安全計算環(huán)境、區(qū)域網(wǎng)絡邊界、通信網(wǎng)絡、安全管理中心等各個層次落實本

標準中提到的各種安全措施，形成縱深防御體系。所以具名如下安全建設需求。

3.2.1安全計算環(huán)境需求分析

根據(jù)前期交流分析的結果，XXX學校XXX系統(tǒng)，如果想達到等級保護三級關

于安全計算環(huán)境的要求，還需要滿足以下需求：

主機防病毒：需要對該信息系統(tǒng)添加主機防病毒的相關安全策略，需要配置

網(wǎng)絡版上機防病毒系統(tǒng)，從而實現(xiàn)對全網(wǎng)主機的惡意代碼防范。

數(shù)據(jù)庫審計：需要對該信息系統(tǒng)添加針對數(shù)據(jù)的審計設備，不能很好的滿足

主機安全審計的要求，需要部署專業(yè)的數(shù)據(jù)庫審計設備。

主機審計（服務器增強系統(tǒng)或者服務器加固）：需要對該信息系統(tǒng)添加主機

自身安全策略配置不能符合要求，需要進行服務器加固。

備份與恢復：需要對該信息系統(tǒng)添加完善的數(shù)據(jù)備份與恢復方案，需要制定

相關策略。同時，該信息系統(tǒng)沒有實現(xiàn)對關鍵網(wǎng)絡設備的冗余，建議部署雙族路

確保設備冗余。

3.2.2安全區(qū)域邊界需求分析

根據(jù)前期分析調(diào)研結果，XXX信息系統(tǒng)如按照等級保護三級建設時，根據(jù)等

級保護標準方案設計要求，還要考慮關于安全區(qū)域邊界的要求，還需要滿足以下

21

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

需求：

邊界訪問控制：如果要做到網(wǎng)絡邊界的訪問控制，需要部署具備訪問控制策

略的設備，如下一代署防火墻等安全設備來實現(xiàn)。

邊界入侵防范：如果要實現(xiàn)對邊界的入侵防范，需要部署下一代署防火墻等

安全設備來實現(xiàn)。

邊界惡意代碼過濾：如果要實現(xiàn)信息系統(tǒng)的邊界惡意代碼過濾，需要部署防

病毒系統(tǒng)等安全設備來實現(xiàn)。

防web攻擊：如果要實現(xiàn)信息系統(tǒng)防WEB攻擊，需要部署WEB應用防火

墻或者下一代署防火墻等安全設備來實現(xiàn)。

安全域邊界安全審計：需要對網(wǎng)絡邊界進行安全審計，需要部署署網(wǎng)絡安全

審計等安全設備來實現(xiàn)。

3.2.3安全通信網(wǎng)絡需求分析

根據(jù)前期調(diào)研結果，該信息系統(tǒng)如果想達到等級保護三級關于安全通信網(wǎng)絡

的要求，還需要滿足以下需求：

通信完整性和保密性：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署

SSLVPN等安全設備來實現(xiàn)。

流量管理：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署流量管理系統(tǒng)

等安全設備來實現(xiàn)。

負載均衡：由于三級等級保護建設要求，重要網(wǎng)絡設備需要進行雙機部署，

在網(wǎng)絡出口雙鏈路，同時網(wǎng)關設備雙機部署保障業(yè)務穩(wěn)定和連續(xù)性。同時滿足鏈

路質(zhì)量訪問的穩(wěn)定性。

3.2.4安全管理中心需求分析

根據(jù)前期分析調(diào)研結果，該信息系統(tǒng)如果想達到等級保護三級關于安全管理

中心的要求，還需要滿足以下需求：

統(tǒng)一日志平臺：該信息系統(tǒng)實現(xiàn)統(tǒng)一的日志收集，需要部署SOC平臺等安

全設備來實現(xiàn)。

統(tǒng)一監(jiān)控平臺：該信息系統(tǒng)實現(xiàn)統(tǒng)一的資源監(jiān)控，需要部署網(wǎng)管系統(tǒng)等監(jiān)控

22

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

系統(tǒng)來實現(xiàn)。

統(tǒng)一管理平臺：該信息系統(tǒng)實現(xiàn)統(tǒng)一的管理，需要部署下一代防火墻等統(tǒng)一

的安全設備來實現(xiàn)。

23

SANGFOR

數(shù)育行業(yè)等級保護項目解決方案深信展科技

4安全框架和整體設計

4.1設計思路

本方案在進行安全體系方案設計過程中，將根據(jù)國家信息安全等級保護相關

要求，通過分析待建系統(tǒng)的實際安全需求，結合其業(yè)務信息的實際特性，并依據(jù)

及參照相關政策標準，建立了符合待建系統(tǒng)的信息安全保障體系框架，設計安全

保障體系方案，綜合提升信息系統(tǒng)的安全保障能力和防護水平，確保信息系統(tǒng)的

安全穩(wěn)定運行。具體設計將遵循以下思路開展：

1.合規(guī)性建設與業(yè)務風險結合分析的思路

通過對信息系統(tǒng)現(xiàn)狀進行實際調(diào)研，利用差距分析的方法與《信息安全技術

信息系統(tǒng)安全等級保護基本要求》（GB/T22239.2008）（以下簡稱”《基本要求》”）

的控制項進行符合度比對分析，掌握系統(tǒng)防護現(xiàn)狀與基線要求間的實際差距。并

采用信息安全風險評估的方法，對信息系統(tǒng)進行全面的資產(chǎn)、脆弱性、威脅和業(yè)

務風險等方面系統(tǒng)化的測評分析，發(fā)現(xiàn)基于業(yè)務的安全風險問題。將差距分析結

果與風險評估結果進行充分結合與提煉，綜合形成能夠符合等級保護建設要求并

充分保障業(yè)務安全