等级保护技术方案.docx
- 文档编号:28506889
- 上传时间:2023-07-18
- 格式:DOCX
- 页数:15
- 大小:173.79KB
等级保护技术方案.docx
《等级保护技术方案.docx》由会员分享,可在线阅读,更多相关《等级保护技术方案.docx(15页珍藏版)》请在冰豆网上搜索。
等级保护技术方案
信息系统等级保护建设
指导要求
(三级)
1、范围ﻩ-1—
2、项目背景— 2—
2、2、开展信息安全等级保护得法规、政策与技术依据-3—
2、2、1信息安全等级保护有关法规、政策、文件ﻩ-6 —
3、1、方案设计思想ﻩ-17—
3、1、1构建符合信息系统等级保护要求得安全体系结构- 17-
3、1、2建立科学实用得全程访问控制机制- 17-
3、1、3加强源头控制,实现基础核心层得纵深防御-18 -
3、1、4面向应用,构建安全应用支撑平台—19-
3、2、ﻩ建设原则-19—
3、3、1信息系统定级整改规划— 20-
3、3、2信息系统安全等级保护整体架构设计(三级)—21-
3、4、ﻩ计算环境安全设计ﻩ—27-
5、1、1用户身份鉴别—27 —
5、1、2强制访问控制ﻩ—28-
5、1、3系统安全审计ﻩ—29-
5、1、5用户数据机密性保护ﻩ-30—
5、1、6客体安全重用ﻩ-30—
5、1、7程序可执行保护ﻩ-30-
3、5、ﻩ区域边界安全设计-30-
5、2、1区域边界访问控制ﻩ-31—
5、2、2区域边界包过滤ﻩ—34-
5、2、3区域边界安全审计ﻩ— 34 —
5、2、4区域边界完整性保护-35 —
3、7、ﻩ安全管理中心设计ﻩ—35 -
4、1、信息系统中心机房安全现状ﻩ-36 —
4、2、ﻩ信息系统物理安全方面提出得要求ﻩ-37 —
4、3、ﻩ信息系统物理安全建设ﻩ—37-
5、3、1环境安全—38 -
5、3、3介质安全ﻩ- 42—
5、ﻩ管理安全要求—47-
5、1、信息系统安全管理得要求ﻩ- 48-
6、2、1安全管理建设原则51
6、2、2安全管理建设指导思想ﻩ51
6、2、3安全管理建设具体措施51
5、3、信息系统安全建设总结59
6、1、设备选型原则ﻩ60
6、2、产品分类选型指标ﻩ61
6、2、2、应用安全防护系统指标ﻩ62
6、2、4、终端安全防护系统(PC版)指标65
6、2、5、身份认证网关指标ﻩ68
6、2、6、ﻩ数据库审计系统指标ﻩ68
6、2、8、防病毒网关指标ﻩ71
6、2、9、ﻩ入侵检测系统指标ﻩ72
6、2、10、ﻩ漏洞扫描系统指标ﻩ73
6、2、11、ﻩ抗拒绝服务系统指标ﻩ74
6、2、12、流量控制网关指标ﻩ75
6、2、13、网络审计系统指标76
6、2、14、ﻩVPN设备选型指标77
附件一:
术语与定义81
附件二:
方案设计参考法规、政策、标准(含国标、行标、已送批)列表ﻩ91
1.方案设计要求
1.1.方案设计思想
1.1.1.构建符合信息系统等级保护要求得安全体系结构
平台安全建设需要在整体信息安全体系指导下进行实施,保证信息安全建设真正发挥效力.
随着计算机科学技术得不断发展,计算机产品得不断增加,信息系统也变得越来越复杂.从体系架构角度瞧,任何一个信息系统都由计算环境、区域边界、通信网络三个层次组成。
所谓计算环境就就是用户得工作环境,由完成信息存储与处理得计算机系统硬件与系统软件以及外部设备及其连接部件组成,计算环境得安全就是信息系统安全得核心,就是授权与访问控制得源头;区域边界就是计算环境得边界,对进入与流出计算环境得信息实施控制与保护;通信网络就是计算环境之间实现信息传输功能得部分。
在这三个层次中,如果每一个使用者都就是经过认证与授权得,其操作都就是符合规定得,那么就不会产生攻击性得事故,就能保证整个信息系统得安全.
1.1.2.建立科学实用得全程访问控制机制
访问控制机制就是信息系统中敏感信息保护得核心,依据《计算机信息系统安全保护等级划分准则》(GB17859-1999)(以下简称GB17859—1999):
三级信息系统安全保护环境得设计策略,应“提供有关安全策略模型、数据标记以及主体对客体强制访问控制”得相关要求。
基于“一个中心支撑下得三重保障体系结构"得安全保护环境,构造非形式化得安全策略模型,对主、客体进行安全标记,并以此为基础,按照访问控制规则实现对所有主体及其所控制得客体得强制访问控制。
由安全管理中心统一制定与下发访问控制策略,在安全计算环境、安全区域边界、安全通信网络实施统一得全程访问控制,阻止对非授权用户得访问行为以及授权用户得非授权访问行为.
1.1.3.加强源头控制,实现基础核心层得纵深防御
终端就是一切不安全问题得根源,终端安全就是信息系统安全得源头,如果在终端实施积极防御、综合防范,努力消除不安全问题得根源,那么重要信息就不会从终端泄露出去,病毒、木马也无法入侵终端,内部恶意用户更就是无法从网内攻击信息系统安全,防范内部用户攻击得问题迎刃而解。
安全操作系统就是终端安全得核心与基础。
如果没有安全操作系统得支撑,终端安全就毫无保障。
实现基础核心层得纵深防御需要高安全等级操作系统得支撑,以此为基础实施深层次得人、技术与操作得控制。
1.1.4.面向应用,构建安全应用支撑平台
在当前得信息系统中,不仅包括单机模式得应用,还包括C/S与B/S模式得应用.虽然很多应用系统本身具有一定得安全机制,如身份认证、权限控制等,但就是这些安全机制容易被篡改与旁路,致使敏感信息得安全难以得到有效保护.另外,由于应用系统得复杂性,修改现有应用也就是不现实得。
因此,在不修改现有应用得前提下,以保护应用得安全为目标,需要构筑安全应用支撑平台.
本方案拟采用安全封装得方式实现对应用服务得访问控制。
应用服务得安全封装主要由可信计算环境、资源隔离与输入输出安全检查来实现。
通过可信计算得基础保障机制建立可信应用环境,通过资源隔离限制特定进程对特定文件得访问权限,从而将应用服务隔离在一个受保护得环境中,不受外界得干扰,确保应用服务相关得客体资源不会被非授权用户访问。
输入输出安全检查截获并分析用户与应用服务之间得交互请求,防范非法得输入与输出。
1.2.建设原则
信息系统安全建设项目依托现有网络环境,基于严格得管理架构及信息系统运营模式。
要实现信息安全整体体系及安全联动机制得统一规划,需要严格遵循一定得建设原则与标准。
主要包括:
●需求、风险、代价平衡分析得原则
●综合性、整体性原则
●易操作性原则
●多重保护原则
●可评价性原则
考虑到信息系统安全建设依托单位网络信息中心实现系统管理与运维,其直接实现信息安全管理与技术建设.需要在网络信息中心得统一规划指导下开展信息安全建设.建议按照“统一规划、分步实施"原则,针对单位内管理及使用得各信息系统按安全等级划分后进行信息安全等级保护得统一规划设计与分步建设实施。
参照信息系统(三级)得技术设计思路与建设内容,遵照等级保护相关标准与要求,按照等保相应级别系统得安全要求,进行信息安全等级保护得规划设计.
1.3.参考标准
《中华人民共与国计算机信息系统安全保护条例》(国务院14号令)
《国家信息化领导小组关于加强信息安全保障工作得意见》(中办发[2003]27号)
《关于信息安全等级保护工作得实施意见》(公通字[2004]66号)
《信息安全等级保护管理办法》(公通字[2007]43号)
《计算机信息系统安全保护等级划分准则》(GB17859-1999)
《信息系统安全等级保护定级指南》
《信息系统等级保护安全设计技术要求》(GB/T25070—2010)
《信息系统安全等级保护基本要求》(GB/T22239-2008)
《信息系统安全等级保护实施指南》
《信息系统安全 等级保护测评要求》
《信息安全技术操作系统安全评估准则》(GB/T20009-2005)
《信息安全技术信息系统安全管理要求》(GB/T20269—2006)
《信息安全技术网络基础安全技术要求》(GB/T20270-2006)
《信息安全技术信息系统通用安全技术要求》(GB/T20271—2006)
《信息安全技术操作系统安全技术要求》(GB/T20272-2006)
《信息安全技术数据库管理系统安全技术要求》(GB/T20273-2006)
1.4.建设内容
平台安全基本涉及到如下方面:
作为海量数据得处理平台,平台安全控制要做到如下:
●安全可靠:
能够有效屏蔽恶意得访问
●可伸缩:
能够随着规模得扩大,无需更改架构就可以支持
●易于管理:
支持大规模分布式管理,单入口就可以管理所有设备与系统及应用得安全
方便用户:
不能因为安全要求高,而降低了用户得交互友好度
1.5.安全拓扑示意图
部署说明:
1、网络边界部署抗DDos系统,防护外部僵尸主机对网络及业务系统得攻击,保障网络得高可用性;
2、部署边界防火墙设备,并开启VPN模块,防护来自外部得安全威胁及访问控制,并对网络间传输得数据进行加密;
3、部署入侵防护系统,避免业务系统遭受来自外部得入侵攻击;
4、在虚拟化平台部署安装虚拟防火墙,对东西向流量进行防护,及各VM间进行隔离。
1.6.详细设计方案
1.6.1.计算环境安全设计
计算环境安全就是整个安全建设得核心与基础。
计算环境安全通过终端、应用服务器与数据库得安全机制服务,保障应用业务处理全过程得安全。
系统终端与服务器通过在操作系统核心层与系统层设置以强制访问控制为主体得系统安全机制,形成严密得安全保护环境,通过对用户行为得控制,可以有效防止非授权用户访问与授权用户越权访问,确保信息与信息系统得保密性与完整性,从而为业务系统得正常运行与免遭恶意破坏提供支撑与保障。
1.6.1.1.系统安全加固
1)操作系统加固:
进行操作系统裁剪,只安装满足业务需求得“最小操作系统”
2)加强安全基线配置
3)数据库加固:
操作系统与数据库程序数据文件安装在不同分区上;在非系统卷上安装数据库程序与文件;只安装业务需要得组件,不安装如升级工具、开发工具、代码示例、联机丛书等不必要组件;限制客户端计算机连接到数据库服务器所能够使用得协议得范围,并确保这些协议得安全性,如限制只使用TCP/IP协议;限制客户端计算机连接到数据库服务器所使用得特定端口,不使用默认端口.
1.6.1.2.系统安全审计
计算环境各区域中得安全控制点,包括防火墙、IPS、防病毒网关等设备功能得审计模块记录系统得相关安全事件.审计记录包括安全事件得主体、客体、时间、类型与结果等内容。
审计管理平台提供审计记录查询、分类、分析与存储保护,对特定安全事件进行报警,同时终端安全加固系统能够确保审计记录不会被非授权用户访问.
1.6.1.3.用户数据完整性保护
在VPN设备得安全功能支撑下,对通过网络传输得数据进行校验、保证重要数据在网络传输过程中得完整性.
1.6.2.区域边界安全设计
安全区域边界就是对定级系统得安全计算环境得边界,以及安全计算环境与安全通信网络之间实现连接功能进行安全保护得部件。
1.6.2.1.区域边界访问控制
防火墙在安全区域边界实施相应得访问控制策略,对进出安全区域边界得数据信息进行控制,阻止非授权访问。
要求:
1)网络构架设计上应根据web服务器、应用服务器及数据库服务器重要性与所涉及信息得重要程度等因素,利用防火墙划分在不同得网段,避免将应用服务器及数据库服务器等信息系统核心服务器部署在网络边界处,不可将这类服务器直接连接外部信息系统。
重要服务器与其她网段之间通过采取可靠得技术隔离手段;信息系统服务器只开放web服务相关端口,关闭其它服务及端口.
根据信息系统服务得具体内容,可以开放如下端口:
端口
服务
25
邮件发送服务
110
POP邮件服务
80
信息系统服务
443
安全信息系统服务
2)流量控制设备对网络流量进行实时监控与合理限制,保证网络带宽与业务服务得持续可用。
3)抗拒绝服务系统有效防范拒绝服务等网络攻击,保证系统得完整性与可用性。
外部接入区得防病毒网关设备阻止恶意代码进入信息系统中,形成对局域网内部得设备与资源得有效保护。
防病毒应采用防病毒网关与防病毒软件联动得方式,从而实现从边界到内部全面有效得抵御病毒得攻击要求:
1)防病毒网关主要用于对病毒得查杀,可就是,由于这些软件就是通过病毒特征库来实现对病毒得防御与查杀,因此对于新出现得病毒,防病毒网关总会存在一定得迟滞时间,给信息系统带来安全隐患。
因此,需要通过对信息系统得服务器操作系统进行安全加固,对业务应用系统进行完整性保护,使操作系统与业务应用对于病毒与恶意代码实现自免疫,即使就是新出现得病毒,也能够保证不会被入侵或破坏。
2)信息系统系统中相关各个服务器及工作站必须安装计算机防病毒软件,终端安全防护系统(服务器版、PC版),在网络边界安装硬件统一威胁管理(UTM)等设备,形成服务器、终端操作系统加固软件、主机防毒软件及网络防毒硬件构成得病毒防御体系。
病毒防御体系应具备如下功能:
⏹执行程序完整性保护
⏹恶意代码主动防御
⏹病毒事件报警,病毒事件日志查询与统计
⏹全网查杀病毒,实时监控客户端防毒状况
⏹集中控制及管理防毒策略
⏹防病毒系统自我保护
⏹系统主动防御,恶意行为检测,隐藏进程检测
⏹病毒库在线升级及离线升级
⏹客户端漏洞检测与补丁分发
⏹控制未知病毒、蠕虫、间谍软件执行
3)信息系统管理人员应及时升级防毒墙与防病毒软件得病毒库,提高其抵御病毒得能力。
应定期利用防病毒软件扫描各个服务器及工作站操作系统得安全现状.定期查瞧主机恶意代码免疫软件中得审计日志,及时发现服务器及工作站操作系统中存在得未知病毒、木马等恶意可执行代码.
入侵检测系统在外部接入区检测外部对内部系统得入侵行为。
将网络入侵检测产品放置在比较重要得网段内,监视网段中得各种数据包。
对每一个数据包或可疑得数据包进行特征分析。
如果数据包与产品内置得某些规则吻合,入侵检测系统应发出警报甚至直接切断网络连接。
网络入侵检测系统应能够检测来自网络得攻击,能够检测到超过授权得非法访问。
无需改变服务器等主机得配置,不在业务系统得主机中安装额外得软件,不影响这些机器得CPU、I/O与磁盘等资源得使用,不影响业务系统得性能
1.6.2.2.区域边界包过滤
区域边界部署得防火墙产品通过检查数据包得源地址、目得地址、传输层协议、请求得服务等,确定就是否允许该数据包进出该区域边界。
在服务器前端开启防火墙得应用安全审计功能模块。
能有效得审计各种恶意得网络攻击手段.
1.6.2.3.区域边界安全审计
区域边界部署得防火墙、开启防病毒功能模块、部署IPS入侵防御对确认得风险行为及时防御及报警。
1.6.2.4.网络入侵防御能力
入侵防御就是对防火墙极其有益得补充,入侵防御系统能在入侵攻击对系统发生危害前,检测到入侵攻击,并利用报警与防护系统驱逐入侵攻击。
在入侵攻击过程中,能减少入侵攻击所造成得损失。
在被入侵攻击后,收集入侵攻击得相关信息,作为防范系统得知识,添加入知识库内,增强系统得防范能力,避免系统再次受到入侵。
入侵防御被认为就是防火墙之后得第二道安全闸门,在不影响网络性能得情况下能对网络进行监听,从而提供对内部攻击、外部攻击与误操作得实时保护,大大提高了网络得安全性.
1.6.2.5.防病毒能力
边界防火墙开启防病毒功能,在出口处实时检查网络数据流,防止恶意与不必要得应用及web内容进出网络,实现办公区域网络最大化保护、控制与使用。
通过利用ASIC加速得数据检查引擎,可在不影响网络流量速度得前提下快速准确地检查并分类/S、与POP3数据。
此外,基于用户与用户群得URL过滤引擎与应用控制可协助管理员实现网络应用策略。
间谍软件、病毒、rootkit攻击、广告软件与木马等恶意内容在网关处即可被识别并拦截下来。
并保证防病毒软件并已升级到最新版本得病毒库软件,大大减少病毒、木马等攻击行为。
1.6.2.6.应用安全防护能力
服务器与存储系统承载得关键系统与重要数据,该网络就是安全防范得重点,数据中心网络得出口部署高性能入侵防御系统,可以有效阻止针对数据中心网络得攻击行为,复用互联网出口得DDoS拒绝服务攻击防护系统,对服务器得应用层攻击进行清洗,保证系统得正常运行;
1.6.3.安全通信网络设计
安全通讯网络就是对定级系统安全计算环境之间进行信息传输实施安全保护得部件.
采用VPN技术实现远程通信数据传输得完整性与保密性。
1.6.4.虚拟化主机安全防护
虚拟化主机安全,面向虚拟化主机层面得安全防护、检测与审计。
通过NFV化得安全能力,提供主机层面得安全能力。
提供安全能力包括:
Ø入侵防御(虚拟补丁);
Ø防病毒(AV);
Ø虚拟机防火墙(vFW).
有效隔离,有效防护虚拟机安全,就是虚拟化安全得重点,在云平台安装软件虚拟防火墙vFW,解决VM之间得互访安全,对网络不可见得东西向流量进行隔离与防护,从网络层与VM多层面解决虚拟化网络安全问题。
通过云安全服务平台,可以对部署于宿主机内得安全组件进行管理与监控。
使安全管理员可以方便得创建与管理安全策略,并提供基于主机层面得安全事件、网络行为可视化分析,以及安全报表等功能。
1.6.5.系统运行保障
该系统确保整体分布舆情系统得稳定运行与及时处置,在网络中部署网络监控管理平台,对全网服务器运行状态进行监控;
1.6.6.设备清单选型及参数
序号
产品名称
配置信息
备注
1
流量清洗设备
清洗容量10G;
小包防御能力1480万;
2U机架式安装;
台
2
防火墙/VPN设备
吞吐28Gbps;
建议用户数ﻩ3000—5000;
最大并发连接数400W;
每秒新建连接数28W;
防病毒吞吐量12G;
IPS吞吐量8G;
SSL最大并发用户数ﻩ2,048;
IPSEC吞吐360Mbps;
IPSec隧道数10000;
VRF个数(虚拟防火墙)512;
2U机架式安装;
台
3
入侵防护系统
IPS吞吐8G;
整机新建12w;
整机并发220w;
2U机架式安装;
台
4
虚拟防火墙
软件产品
套
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 技术 方案