等级保护技术规划方案.docx
- 文档编号:4462388
- 上传时间:2022-12-01
- 格式:DOCX
- 页数:17
- 大小:22.14KB
等级保护技术规划方案.docx
《等级保护技术规划方案.docx》由会员分享,可在线阅读,更多相关《等级保护技术规划方案.docx(17页珍藏版)》请在冰豆网上搜索。
等级保护技术规划方案
信息系统等级保护建设
指导要求
(三级)
1.方案设计要求
1.1.方案设计思想
1.1.1.建立切合信息系统等级保护要求的安全系统结构
平台安全建设需要在整体信息安全系统指导下进行实行,保证信息安全建设真实发挥效劳。
跟着计算机科学技术的不停发展,计算机产品的不停增添,信息系统也变得愈来愈复杂。
从系统架构角度看,任何一个信息系统都由计算环境、地区界限、通信网络三个层次构成。
所谓计算环境就是用户的工作环境,由达成信息储存与办理的计算机系统硬件和系统软件以及外面设施及其连结零件构成,计算环境的安全部是信息系统安全的核心,是受权和接见控制的源泉;地区界限是计算环境的界限,对进入和流出计算环境的信息实行控制和保护;通信网络是计算环境之间实现信息传输功能的部分。
在这三个层次中,假如每一个使用者都是经过认证和受权的,其操作都是切合规定的,那么就不会产生攻击性的事故,就能保证整个信息系统的安全。
1.1.2.成立科学适用的全程接见控制体制
接见控制体制是信息系统中敏感信息保护的核心,依照《计算机
信息系统安全保护等级区分准则》(GB17859-1999)(以下简称
GB17859-1999):
三级信息系统安全保护环境的设计谋略,应“供给有关安全策略
模型、数据标志以及主体对客体强迫接见控制”的有关要求。
鉴于
“一其中心支撑下的三重保障系统结构”的安全保护环境,结构非形
式化的安全策略模型,对主、客体进行安全标志,并以此为基础,按
照接见控制规则实现对全部主体及其所控制的客体的强迫接见控制。
由安全管理中心一致拟订和下发接见控制策略,在安全计算环境、安
全地区界限、安全通信网络实行一致的全程接见控制,阻挡对非受权
用户的接见行为以及受权用户的非受权接见行为。
1.1.3.增强源泉控制,实现基础核心层的纵深防守
终端是全部不安全问题的本源,终端安全部是信息系统安全的源泉,假如在终端实行踊跃防守、综合防备,努力除去不安全问题的本源,那么重要信息就不会从终端泄漏出去,病毒、木马也没法入侵终端,内部歹意用户更是没法从网内攻击信息系统安全,防备内部用户攻击的问题水到渠成。
安全操作系统是终端安全的核心和基础。
假如没有安全操作系统的支撑,终端安全就毫无保障。
实现基础核心层的纵深防守需要高安全等级操作系统的支撑,以此为基础实行深层次的人、技术和操作的控制。
1.1.4.面向应用,建立安全应用支撑平台
在目前的信息系统中,不单包含单机模式的应用,还包含C/S和
B/S模式的应用。
固然好多应用系统自己拥有必定的安全体制,如身份认证、权限控制等,但是这些安全体制简单被窜改和旁路,以致敏感信息的安全难以获得有效保护。
此外,因为应用系统的复杂性,改正现有应用也是不现实的。
所以,在不改正现有应用的前提下,以保护应用的安全为目标,需要修建安全应用支撑平台。
本方案拟采纳安全封装的方式实现对应用服务的接见控制。
应用服务的安全封装主要由可信计算环境、资源隔绝和输入输出安全检查来实现。
经过可信计算的基础保障体制成立可信应用环境,经过资源隔绝限制特定进度对特定文件的接见权限,进而将应用服务隔绝在一个受保护的环境中,不受外界的扰乱,保证应用服务有关的客体资源不会被非受权用户接见。
输入输出安全检查截获并剖析用户和应用服务之间的交互恳求,防备非法的输入和输出。
1.2.建设原则
信息系统安全建设项目依靠现有网络环境,鉴于严格的管理架构
及信息系统营运模式。
要实现信息安全整体系统及安全联动体制的统
一规划,需要严格依照必定的建设原则与标准。
主要包含:
需求、风险、代价均衡剖析的原则
综合性、整体性原则
易操作性原则
多重保护原则
可评论性原则
考虑到信息系统安全建设依靠单位网络信息中心实现系统管理
和运维,其直接实现信息安全管理与技术建设。
需要在网络信息中心
的一致规划指导下展开信息安全建设。
建议依照“一致规划、分步实
施”原则,针对单位内管理及使用的各信息系统按安全等级区分后进
行信息安全等级保护的一致规划设计与分步建设实行。
参照信息系统(三级)的技术设计思路和建设内容,依照等级保
护有关标准和要求,依照等保相应级别系统的安全要求,进行信息安
全等级保护的规划设计。
1.3.参照标准
《中华人民共和国计算机信息系统安全保护条例》(国务院14命令)
《国家书息化领导小组对于增强信息安全保障工作的建议》(中办发
[2003]27号)
《对于信息安全等级保护工作的实行建议》(公通字[2004]66号)
《信息安全等级保护管理方法》(公通字[2007]43号)
《计算机信息系统安全保护等级区分准则》(GB17859-1999)
《信息系统安全等级保护定级指南》
《信息系统等级保护安全设计技术要求》(GB/T25070-2010)
《信息系统安全等级保护基本要求》(GB/T22239-2008)
《信息系统安全等级保护实行指南》
《信息系统安全
等级保护测评要求》
《信息安全技术
操作系统安全评估准则》(
GB/T20009-2005)
《信息安全技术
信息系统安全管理要求》(
GB/T20269-2006)
《信息安全技术
网络基础安全技术要求》(
GB/T20270-2006)
《信息安全技术
信息系统通用安全技术要求》(
GB/T20271-2006)
《信息安全技术
操作系统安全技术要求》(
GB/T20272-2006)
《信息安全技术
数据库管理系统安全技术要求》(GB/T20273-2006)
1.4.建设内容
平台安全基本波及到以下方面:
作为海量数据的办理平台,平台安全控制要做到以下:
安全靠谱:
能够有效障蔽歹意的接见
可伸缩:
能够跟着规模的扩大,无需改正架构就能够支持
易于管理:
支持大规模散布式管理,单进口就能够管理全部设
备和系统及应用的安全
方便用户:
不可以因为安全要求高,而降低了用户的交互友善度
1.5.安全拓扑表示图
部署说明:
1、网络界限部署抗DDos系统,防备外面僵尸主机对网络及业务系
统的攻击,保障网络的高可用性;
2、部署界限防火墙设施,并开启VPN模块,防备来自外面的安全
威迫及接见控制,并对网络间传输的数据进行加密;
3、部署入侵防备系统,防止业务系统遭到来自外面的入侵攻击;
4、在虚构化平台部署安装虚构防火墙,对东西向流量进行防备,
及各VM间进行隔绝。
1.6.详尽设计方案
1.6.1.计算环境安全设计
计算环境安全部是整个安全建设的核心和基础。
计算环境安全经过
终端、应用服务器和数据库的安全体制服务,保障应用业务办理全过
程的安全。
系统终端和服务器经过在操作系统核心层和系统层设置以
强迫接见控制为主体的系统安全体制,形成严实的安全保护环境,通
过对用户行为的控制,能够有效防备非受权用户接见和受权用户越权
接见,保证信息和信息系统的保密性和完好性,进而为业务系统的正
常运转和免遭歹意损坏供给支撑和保障。
1.6.1.1.系统安全加固
1)操作系统加固:
进行操作系统裁剪,只安装知足业务需求的“最
小操作系统”
2)增强安全基线配置
3)数据库加固:
操作系统和数据库程序数据文件安装在不一样分区
上;在非系统卷上安装数据库程序和文件;只安装业务需要的组
件,不安装如升级工具、开发工具、代码示例、联机丛书等不用
要组件;限制客户端计算机连结到数据库服务器所能够使用的协
议的范围,并保证这些协议的安全性,如限制只使用TCP/IP协议;限制客户端计算机连结到数据库服务器所使用的特定端口,不使用默认端口。
1.6.1.2.系统安全审计
计算环境各地区中的安全控制点,包含防火墙、IPS、防病毒网关等设施功能的审计模块记录系统的有关安全事件。
审计记录包含安全事件的主体、客体、时间、种类和结果等内容。
审计管理平台供给审计记录查问、分类、剖析和储存保护,对特定安全事件进行报警,同时终端安全加固系统能够保证审计记录不会被非受权用户接见。
1.6.1.3.用户数据完好性保护
在VPN设施的安全功能支撑下,对经过网络传输的数据进行校验、保证重要数据在网络传输过程中的完好性。
1.6.2.地区界限安全设计
安全地区界限是对定级系统的安全计算环境的界限,以及安全计
算环境与安全通信网络之间实现连结功能进行安全保护的零件。
1.6.2.1.地区界限接见控制
防火墙在安全地区界限实行相应的接见控制策略,对出入安全区
域界限的数据信息进行控制,阻挡非受权接见。
要求:
1)网络构架设计上应依据web服务器、应用服务器及数据库服
务器重要性和所波及信息的重要程度等要素,利用防火墙区分在不一样
的网段,防止将应用服务器及数据库服务器等信息系统核心服务器部
署在网络界限处,不行将这种服务器直接连结外面信息系统。
重要服
务器与其余网段之间经过采纳靠谱的技术隔绝手段;信息系统服务器
只开放web服务有关端口,封闭其余服务及端口。
依据信息系统服务的详细内容,能够开放以下端口:
端口服务
25邮件发送服务
110POP邮件服务
80信息系统服务
443安全信息系统服务
2)流量控制设施对网络流量进行及时监控和合理限制,保证网
络带宽和业务服务的连续可用。
3)抗拒绝服务系统有效防备拒绝服务等网络攻击,保证系统的
完好性和可用性。
外面接入区的防病毒网关设施阻挡歹意代码进入信息系统中,形
成对局域网内部的设施和资源的有效保护。
防病毒应采纳防病毒网关与防病毒软件联动的方式,进而实现从
界限到内部全面有效的抵抗病毒的攻击要求:
1)防病毒网关主要用于对病毒的查杀,但是,因为这些软件是经过病毒特点库来实现对病毒的防守与查杀,所以对于新出现的病毒,防病毒网关总会存在必定的迟滞时间,给信息系统带来安全隐患。
所以,需要经过对信息系统的服务器操作系统进行安全加固,对业务应用系统进行完好性保护,使操作系统和业务应用对于病毒和歹意代码实现自免疫,即便是新出现的病毒,也能够保证不会被入侵或损坏。
2)信息系统系统中有关各个服务器及工作站一定安装计算机防病毒软件,终端安全防备系统(服务器版、PC版),在网络界限安装硬件一致威迫管理(UTM)等设施,形成服务器、终端操作系统加固软件、主机防毒软件及网络防毒硬件构成的病毒防守系统。
病毒防守系统应具备以下功能:
履行程序完好性保护
歹意代码主动防守
病毒事件报警,病毒事件日记查问与统计
全网查杀病毒,及时监控客户端防毒状况
集中控制及管理防毒策略
防病毒系统自我保护
系统主动防守,歹意行为检测,隐蔽进度检测病毒库在线升级及离线升级客户端破绽检测与补丁散发
控制未知病毒、蠕虫、间谍软件履行
3)信息系统管理人员应及时升级防毒墙和防病毒软件的病毒库,提升其抵抗病毒的能力。
应按期利用防病毒软件扫描各个服务器及工作站操作系统的安全现状。
按期查察主机歹意代码免疫软件中的审计日记,及时发现服务器及工作站操作系统中存在的未知病毒、木马等歹意可履行代码。
入侵检测系统在外面接入区检测外面对内部系统的入侵行为。
将网络入侵检测产品搁置在比较重要的网段内,监督网段中的各
种数据包。
对每一个数据包或可疑的数据包进行特点剖析。
假如数据
包与产品内置的某些规则符合,入侵检测系统应发出警报甚至直接切
断网络连结。
网络入侵检测系统应能够检测来自网络的攻击,能够检测到超出
受权的非法接见。
无需改变服务器等主机的配置,不在业务系统的主机中安装额外的软件,不影响这些机器的CPU、I/O与磁盘等资源的使用,不影响业务系统的性能
1.6.2.2.地区界限包过滤
地区界限部署的防火墙产品经过检查数据包的源地点、目的地点、
传输层协议、恳求的服务等,确立能否同意该数据包出入该地区界限。
在服务器前端开启防火墙的应用安全审计功能模块。
能有效的审
计各样歹意的网络攻击手段。
1.6.2.3.地区界限安全审计
地区界限部署的防火墙、开启防病毒功能模块、部署IPS入侵防
御对确认的风险行为及时防守及报警。
1.6.2.4.网络入侵防守能力
入侵防守是对防火墙极其有利的增补,入侵防守系统能在入侵攻击对系统发生危害前,检测到入侵攻击,并利用报警与防备系统驱赶入侵攻击。
在入侵攻击过程中,能减少入侵攻击所造成的损失。
在被入侵攻击后,采集入侵攻击的有关信息,作为防备系统的知识,增添入知识库内,增强系统的防备能力,防止系统再次遇到入侵。
入侵防守被以为是防火墙以后的第二道安全闸门,在不影响网络性能的状况下能对网络进行监听,进而供给对内部攻击、外面攻击和误操作的及时保护,大大提升了网络的安全性。
1.6.2.5.防病毒能力
界限防火墙开启防病毒功能,在出口处及时检查网络数据流,防
止歹意和不用要的应用及web内容出入网络,实现办公地区网络最大
化保护、控制与使用。
经过利用ASIC加快的数据检查引擎,可在不
影响网络流量速度的前提下迅速正确地检查并分类HTTP/HTTPS、FTP、
SMTP和POP3数据。
别的,鉴于用户和用户群的URL过滤引擎和应用
控制可辅助管理员实现网络应用策略。
间谍软件、病毒、rootkit攻
击、广告软件和木马等歹意内容在网关处即可被辨别并拦截下来。
并
保证防病毒软件并已升级到最新版本的病毒库软件,大大减少病毒、
木马等攻击行为。
1.6.2.6.应用安全防备能力
服务器和储存系统承载的要点系统和重要数据,该网络是安全防
范的要点,数据中心网络的出口部署高性能入侵防守系统,能够有效
阻挡针对数据中心网络的攻击行为,复用互联网出口的DDoS拒绝服
务攻击防备系统,对服务器的应用层攻击进行冲洗,保证系统的正常
运转;
1.6.3.安全通信网络设计
安全通信网络是对定级系统安全计算环境之间进行信息传输实
施安全保护的零件。
采纳VPN技术实现远程通信数据传输的完好性和保密性。
1.6.4.虚构化主机安全防备
虚构化主机安全,面向虚构化主机层面的安全防备、检测与审计。
经过NFV化的安全能力,供给主机层面的安全能力。
供给安全能力包含:
入侵防守(虚构补丁);
防病毒(AV);
虚构机防火墙(vFW)。
有效隔绝,有效防备虚构机安全,是虚构化安全的要点,在云平台安装软件虚构防火墙vFW,解决VM之间的互访安全,对网络不行见的东西向流量进行隔绝和防备,从网络层和VM多层面解决虚构化网络安全问题。
经过云安全服务平台,能够对部署于宿主机内的安全组件进行管
理和监控。
使安全管理员能够方便的创立和管理安全策略,并供给鉴于主机层面的安全事件、网络行为可视化剖析,以及安全报表等功能。
1.6.5.系统运转保障
该系统保证整体散布舆情系统的稳固运转和及时处理,在网络中
部署网络监控管理平台,对全网服务器运转状态进行监控;
1.6.6.设施清单项选择型及参数
序号
产品名称
配置信息
备注
冲洗容量10G;
1
流量冲洗设施
小包防守能力1480万;
台
2U机架式安装;
吞吐28Gbps;
2
防火墙/VPN设建议用户数3000-5000;
台
备
最大并发连结数
400W;
每秒新建连结数
28W;
防病毒吞吐量12G;
IPS吞吐量8G;
SSL最大并发用户数2,048;
IPSEC吞吐360Mbps;
IPSec地道数10000;
VRF个数(虚构防火墙)512;
2U机架式安装;
IPS吞吐8G;
整机新建12w;
3入侵防备系统台
整机并发220w;
2U机架式安装;
4虚构防火墙软件产品套
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 技术 规划 方案