信息安全等級保護二級建設(shè)方案

信息安全等級保護二級建設(shè)方案信息安全等級保護（二級）建設(shè)方案2016年3月目錄TOC\o"1-5"\h\z\o"CurrentDocument"項目概述4\o"CurrentDocument"項目建設(shè)目標4\o"CurrentDocument"項目參考標準4\o"CurrentDocument"方案設(shè)計原則6\o"CurrentDocument"系統(tǒng)現(xiàn)狀分析7\o"CurrentDocument"系統(tǒng)定級情況說明7\o"CurrentDocument"業(yè)務(wù)系統(tǒng)說明7\o"CurrentDocument"網(wǎng)絡(luò)結(jié)構(gòu)說明7\o"CurrentDocument"安全需求分析8\o"CurrentDocument"物理安全需求分析8\o"CurrentDocument"網(wǎng)絡(luò)安全需求分析8\o"CurrentDocument"主機安全需求分析9\o"CurrentDocument"應(yīng)用安全需求分析9\o"CurrentDocument"數(shù)據(jù)安全需求分析9\o"CurrentDocument"安全管理制度需求分析9\o"CurrentDocument"總體方案設(shè)計9\o"CurrentDocument"總體設(shè)計目標9\o"CurrentDocument"總體安全體系設(shè)計10\o"CurrentDocument"總體網(wǎng)絡(luò)架構(gòu)設(shè)計12\o"CurrentDocument"安全域劃分說明12\o"CurrentDocument"詳細方案設(shè)計技術(shù)部分13\o"CurrentDocument"物理安全13\o"CurrentDocument"網(wǎng)絡(luò)安全13\o"CurrentDocument"安全域邊界隔離技術(shù)13\o"CurrentDocument"入侵防范技術(shù)13\o"CurrentDocument"網(wǎng)頁防篡改技術(shù)14\o"CurrentDocument"鏈路負載均衡技術(shù)14\o"CurrentDocument"網(wǎng)絡(luò)安全審計14\o"CurrentDocument"主機安全15\o"CurrentDocument"數(shù)據(jù)庫安全審計15\o"CurrentDocument"運維堡壘主機15\o"CurrentDocument"主機防病毒技術(shù)16\o"CurrentDocument"5.4.應(yīng)用安全16\o"CurrentDocument"詳細方案設(shè)計管理部分16\o"CurrentDocument"總體安全方針與安全策略17\o"CurrentDocument"信息安全管理制度18\o"CurrentDocument"安全管理機構(gòu)18\o"CurrentDocument"人員安全管理18\o"CurrentDocument"系統(tǒng)建設(shè)管理19\o"CurrentDocument"系統(tǒng)運維管理19\o"CurrentDocument"安全管理制度匯總21\o"CurrentDocument"咨詢服務(wù)和系統(tǒng)測評22\o"CurrentDocument"系統(tǒng)定級服務(wù)22\o"CurrentDocument"風(fēng)險評估和安全加固服務(wù)22\o"CurrentDocument"漏洞掃描22\o"CurrentDocument"滲透測試22\o"CurrentDocument"配置核查22\o"CurrentDocument"安全加固22\o"CurrentDocument"安全管理制度編寫24\o"CurrentDocument"安全培訓(xùn)24\o"CurrentDocument"系統(tǒng)測評服務(wù)24\o"CurrentDocument"項目預(yù)算與配置清單25\o"CurrentDocument"項目預(yù)算一期（等保二級基本要求）25\o"CurrentDocument"利舊安全設(shè)備使用說明26項目概述項目建設(shè)目標為了進一步貫徹落實教育行業(yè)信息安全等級保護制度，推進學(xué)校信息安全等級保護工作，依照國家《計算機信息系統(tǒng)安全保護等級劃分準則》、《信息系統(tǒng)安全等級保護基本要求》、《信息系統(tǒng)安全保護等級定級指南》等標準，對學(xué)校的網(wǎng)絡(luò)和信息系統(tǒng)進行等級保護定級，按信息系統(tǒng)逐個編制定級報告和定級備案表，并指導(dǎo)學(xué)校信息化人員將定級材料提交當?shù)毓矙C關(guān)備案。本方案中，通過為滿足物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全五個方面基本技術(shù)要求進行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理五個方面基本管理要求進行管理體系建設(shè)。使得學(xué)校信息系統(tǒng)的等級保護建設(shè)方案最終既可以滿足等級保護的相關(guān)要求，又能夠全方面為學(xué)校的業(yè)務(wù)系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護能力。本項目建設(shè)將完成以下目標：1、以學(xué)校信息系統(tǒng)現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級保護二級系統(tǒng)基本要求的信息系統(tǒng)，確保學(xué)校的整體信息化建設(shè)符合相關(guān)要求。2、建立安全管理組織機構(gòu)。成立信息安全工作組，學(xué)校負責人為安全責任人，擬定實施信息系統(tǒng)安全等級保護的具體方案，并制定相應(yīng)的崗位責任制，確保信息安全等級保護工作順利實施。3、建立完善的安全技術(shù)防護體系。根據(jù)信息安全等級保護的要求，建立滿足二級要求的安全技術(shù)防護體系。4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護的要求，制定各項信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。5、制定學(xué)校信息系統(tǒng)不中斷的應(yīng)急預(yù)案。應(yīng)急預(yù)案是安全等級保護的重要組成部分，按可能出現(xiàn)問題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故障和意外且無法短時間恢復(fù)的情況下能確保生產(chǎn)活動持續(xù)進行。6、安全培訓(xùn)：為學(xué)校信息化技術(shù)人員提供信息安全相關(guān)專業(yè)技術(shù)知識培訓(xùn)。項目參考標準我司遵循國家信息安全等級保護指南等最新安全標準以及開展各項服務(wù)工作，配合學(xué)校的等級保護測評工作。本項目建設(shè)參考依據(jù)：

指導(dǎo)思想中辦[2003]27號文件（關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》的通知）公通字[2004]66號文件（關(guān)于印發(fā)《信息安全等級保護工作的實施意見》的通知）公通字[2007]43號文件（關(guān)于印發(fā)《信息安全等級保護管理辦法》的通知）公信安[2009]1429《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》全國人大《關(guān)于加強網(wǎng)絡(luò)信息保護的決定》國發(fā)[2012]23號《國務(wù)院關(guān)于大力推進信息化發(fā)展和切實保障信息安全的若干意見》國發(fā)[2013]7號《國務(wù)院關(guān)于推進物聯(lián)網(wǎng)有序健康發(fā)展的指導(dǎo)意見》公信安[2014]2182號《關(guān)于加強國家級重要信息系統(tǒng)安全保障工作有關(guān)事項的通知》（公信安[2014]2182號）等級保護GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則GB/T25058-2010信息系統(tǒng)安全等級保護實施指南系統(tǒng)定級GB/T22240-2008信息安全技術(shù)信息系統(tǒng)安全保護等級定級指南技術(shù)方面GB/T25066-2010信息安全產(chǎn)品類別與代碼GB/T17900-1999網(wǎng)絡(luò)代理服務(wù)器的安全技術(shù)要求GB/T20010-2005包過濾防火墻評估準則GB/T20281-2006防火墻技術(shù)要求和測試評價方法GB/T18018-2007路由器安全技術(shù)要求GB/T20008-2005路由器安全評估準則GB/T20272-2006操作系統(tǒng)安全技術(shù)要求GB/T20273-2006數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求GB/T20009-2005數(shù)據(jù)庫管理系統(tǒng)安全評估準則GB/T20275-2006入侵檢測系統(tǒng)技術(shù)要求和測試評價方法GB/T20277-2006網(wǎng)絡(luò)和終端設(shè)備隔離部件測試評價方法GB/T20279-2006網(wǎng)絡(luò)和終端設(shè)備隔離部件安全技術(shù)要求

GB/T20278-2006網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求GB/T20280-2006網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測試評價方法GB/T20945-2007信息系統(tǒng)安全審計產(chǎn)品技術(shù)要求和測試評價方法GB/T21028-2007服務(wù)器安全技術(shù)要求GB/T25063-2010服務(wù)器安全側(cè)評要求GB/T21050-2007網(wǎng)絡(luò)交換機安全技術(shù)要求（EAL3）GB/T28452-2012應(yīng)用軟件系統(tǒng)通用安全技術(shù)要求GB/T29240-2012終端計算機通用安全技術(shù)要求與測試評價方法GB/T28456-2012IPsec協(xié)議應(yīng)用測試規(guī)范GB/T28457-2012SSL協(xié)議應(yīng)用測試規(guī)范管理方面GB/T20269-2006信息系統(tǒng)安全管理要求GB/T28453-2012信息系統(tǒng)安全管理評估要求GB/T20984-2007信息安全風(fēng)險評估規(guī)范GB/T24364-2009信息安全風(fēng)險管理指南GB/T20985-2007信息安全事件管理指南GB/T20986-2007信息安全事件分類分級指南GB/T20988-2007信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范方案設(shè)計GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求等保測評GB/T28448-2012信息系統(tǒng)安全等級保護測評要求GB/T28449-2012信息系統(tǒng)安全等級保護測評過程指南方案設(shè)計原則針對本次項目，等級保護整改方案的設(shè)計和實施將遵循以下原則：保密性原則：我司對安全服務(wù)的實施過程和結(jié)果將嚴格保密，在未經(jīng)用戶方授權(quán)的情況下不會泄露給任何單位和個人，不會利用此數(shù)據(jù)進行任何侵害客戶權(quán)益的行為；標準性原則：服務(wù)設(shè)計和實施的全過程均依據(jù)國內(nèi)或國際的相關(guān)標準進行；根據(jù)等級保護二級基本要求，進行分等級分安全域進行安全設(shè)計和安全建設(shè)。規(guī)范性原則：我司在各項安全服務(wù)工作中的過程和文檔，都具有很好的規(guī)范性（《南寧市學(xué)家科技有限公司安全服務(wù)實施規(guī)范》），可以便于項目的跟蹤和控制；可控性原則：服務(wù)所使用的工具、方法和過程都會在深信服與用戶方雙方認可的范圍之內(nèi)，服務(wù)進度遵守進度表的安排，保證雙方對服務(wù)工作的可控性；整體性原則：服務(wù)的范圍和內(nèi)容整體全面，涉及的IT運行的各個層面，避免由于遺漏造成未來的安全隱患；最小影響原則：服務(wù)工作盡可能小的影響信息系統(tǒng)的正常運行，不會對現(xiàn)有業(yè)務(wù)造成顯著影響。體系化原則：在體系設(shè)計、建設(shè)中，深信服充分考慮到各個層面的安全風(fēng)險，構(gòu)建完整的立體安全防護體系。先進性原則：為滿足后續(xù)不斷增長的業(yè)務(wù)需求、對安全產(chǎn)品、安全技術(shù)都充分考慮前瞻性要求，采用先進、成熟的安全產(chǎn)品、技術(shù)和先進的管理方法。分步驟原則：根據(jù)用戶方要求，對用戶方安全保障體系進行分期、分步驟的有序部署。服務(wù)細致化原則：在項目咨詢、建設(shè)過程中深信服將充分結(jié)合自身的專業(yè)技術(shù)經(jīng)驗與行業(yè)經(jīng)驗相結(jié)合，結(jié)合用戶方的實際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)安全穩(wěn)定的運行。系統(tǒng)現(xiàn)狀分析系統(tǒng)定級情況說明學(xué)校綜合考慮了學(xué)校信息系統(tǒng)、學(xué)校信息系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)類型，以及其受到破壞時可能受到侵害的客體以及受侵害的程度，經(jīng)學(xué)校省公安廳的批準，已將學(xué)校系統(tǒng)等級定為等級保護第二級S2A2G2）,整體網(wǎng)絡(luò)信息化平臺按照二級進行建設(shè)。業(yè)務(wù)系統(tǒng)說明學(xué)校本次參加整改的共有X個信息系統(tǒng)，分別是學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)，具體情況介紹如下：學(xué)校門戶網(wǎng)站系統(tǒng)：2012年門戶網(wǎng)站（網(wǎng)絡(luò)版）歷經(jīng)系統(tǒng)開發(fā)、模擬測試、網(wǎng)絡(luò)、硬件設(shè)備安裝部署，在試點和實施過程當中發(fā)現(xiàn)系統(tǒng)仍有不足之處，需要對系統(tǒng)進行深入完善和改進，主要考慮到由于IHTFRNfr服務(wù)狂備曲服務(wù)器IHTFRNfr服務(wù)狂備曲服務(wù)器門戶網(wǎng)站（網(wǎng)絡(luò)版）作為學(xué)校集中部署的網(wǎng)絡(luò)化重要業(yè)務(wù)系統(tǒng)，其具有應(yīng)用面廣、用戶規(guī)模大，并涉及到學(xué)校對互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上部署的特性，因此系統(tǒng)自身和運行環(huán)境均存在一定的安全風(fēng)險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和措施。學(xué)校OA系統(tǒng)：目前學(xué)校舊OA系統(tǒng)準備停用，并且已經(jīng)開發(fā)和準備上線新的業(yè)務(wù)系統(tǒng)，新的業(yè)務(wù)系統(tǒng)目前準備對公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務(wù)系統(tǒng)的規(guī)模比較大，而且整個網(wǎng)絡(luò)相對會比較復(fù)雜、流量多變，所以系統(tǒng)任有較多不足，在本次建設(shè)過程中應(yīng)該加強安全建設(shè)，系統(tǒng)自身和運行環(huán)境均存在一定的安全風(fēng)險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和措施。2?3■網(wǎng)絡(luò)結(jié)構(gòu)說明學(xué)校信息系統(tǒng)網(wǎng)絡(luò)拓撲圖現(xiàn)狀如下：intehhet7樓4樓謹腹廠四敕二教飯?zhí)脠F書學(xué)壇安全需求分析物理安全需求分析目前在機房建設(shè)方面還存在如下問題:1、物理訪問控制；2、防雷擊；3、防火墻;4、防水防潮；5、溫濕度控制；網(wǎng)絡(luò)安全需求分析邊界入侵防范：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實現(xiàn)。防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實現(xiàn)安全域邊界安全審計：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署署網(wǎng)絡(luò)安全審計等安全設(shè)備來實現(xiàn)。主機安全需求分析主機防病毒：該信息系統(tǒng)缺少主機防病毒的相關(guān)安全策略，需要配置網(wǎng)絡(luò)版主機防病毒系統(tǒng)，從而實現(xiàn)對全網(wǎng)主機的惡意代碼防范。數(shù)據(jù)庫審計：該信息系統(tǒng)缺少針對數(shù)據(jù)的審計設(shè)備，不能很好的滿足主機安全審計的要求，需要部署專業(yè)的數(shù)據(jù)庫審計設(shè)備。運維堡壘機：該該信息系統(tǒng)無法實現(xiàn)管理員對網(wǎng)絡(luò)設(shè)備和服務(wù)器進行管理時的雙因素認證，需要部署堡壘機來實現(xiàn)。漏洞掃描：需要部署漏洞掃描實現(xiàn)對全網(wǎng)漏洞的掃描。應(yīng)用安全需求分析通信完整性和保密性：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署SSLVPN等安全設(shè)備來實現(xiàn)。數(shù)據(jù)安全需求分析備份與恢復(fù)：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定相關(guān)策略。同時，該信息系統(tǒng)沒有實現(xiàn)對關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙鏈路確保設(shè)備冗余。安全管理制度需求分析根據(jù)前期差距分析結(jié)果，該單位還欠缺較多安全管理制度，需要后續(xù)補充?？傮w方案設(shè)計總體設(shè)計目標學(xué)校的安全等級保護整改方案設(shè)計的總體目標是依據(jù)國家等級保護的有關(guān)標準和規(guī)范，結(jié)合學(xué)校信息系統(tǒng)的現(xiàn)狀，對其進行重新規(guī)劃和合規(guī)性整改，為其建立一個完整的安全保障體系，有效保障其系統(tǒng)業(yè)務(wù)的正常開展，保護敏感數(shù)據(jù)信息的安全，保證學(xué)校信息系統(tǒng)的安全防護能力達到《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》中第二級的相關(guān)技術(shù)和管理要求?？傮w安全體系設(shè)計本項目提出的等級保護體系模型，必須依照國家等級保護的相關(guān)要求，利用密碼、代碼驗證、可信接入控制等核心技術(shù)，在“一個中心三重防御”的框架下實現(xiàn)對信息系統(tǒng)的全面防護。整個體系模型如下圖所示：典型應(yīng)用

子系統(tǒng)應(yīng)用S安全計算環(huán)境節(jié)點子索統(tǒng)潔求訪問木地或憫執(zhí)衍返回W主林性檢杳i訪問冉制r*粕農(nóng)釵別調(diào)擁hvHTl?控制淞■[!■仲戟戲邊界控制策略跨域互謹策略外那代埋球別調(diào)整檢我棄咯衷典型應(yīng)用

子系統(tǒng)應(yīng)用S安全計算環(huán)境節(jié)點子索統(tǒng)潔求訪問木地或憫執(zhí)衍返回W主林性檢杳i訪問冉制r*粕農(nóng)釵別調(diào)擁hvHTl?控制淞■[!■仲戟戲邊界控制策略跨域互謹策略外那代埋球別調(diào)整檢我棄咯衷蟲金區(qū)域辺界蟲仝通信網(wǎng)絡(luò)安全管理中心安全管理中心是整個等級保護體系中對信息系統(tǒng)進行集中安全管理的平臺，是信息系統(tǒng)做到可測、可控、可管理的必要手段和措施。依照GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求中對安全管理中心的要求，一個符合基于可信計算和主動防御的等級保護體系模型的安全管理中心應(yīng)至少包含以下三個部分：系統(tǒng)管理實現(xiàn)對系統(tǒng)資源和運行的配置?？刂坪凸芾?，并對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計。安全管理實現(xiàn)對系統(tǒng)中的主體、客體進行統(tǒng)一標記，對主體進行授權(quán)，配置一致的安全策略，確保標記、授權(quán)和安全策略的數(shù)據(jù)完整性，并對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并進行審計審計管理實現(xiàn)對系統(tǒng)各個組成部分的安全審計機制進行集中管理，包括根據(jù)安全審計策略對審計記錄進行分類；提供按時間段開啟和關(guān)閉相應(yīng)類型的安全審計機制；對各類審計記錄進行存儲、管理和查詢等；對審計記錄應(yīng)進行分析，根據(jù)分析結(jié)果進行處理。此外，對安全審計員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作。此外，安全管理中心應(yīng)做到技術(shù)與管理并重，加強在安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等方面的管理力度，規(guī)范安全管理操作規(guī)程，建立完善的安全管理制度集。■安全計算環(huán)境參照基于可信計算和主動防御的等級保護模型，安全計算環(huán)境可劃分成節(jié)點和典型應(yīng)用兩個子系統(tǒng)。在解決方案中，這兩個子系統(tǒng)都將通過終端安全保護體系的建立來實現(xiàn)。信息安全事故的源頭主要集中在用戶終端，要實現(xiàn)一個可信的、安全的計算環(huán)境，就必須從終端安全抓起。因此依照等級保護在身份鑒別，訪問控制（包括強制訪問控制）、網(wǎng)絡(luò)行為控制（包括上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應(yīng)用安全、數(shù)據(jù)安全、安全審計等方面的技術(shù)要求，可充分結(jié)合可信計算技術(shù)和主動防御技術(shù)的先進性和安全性，提出一個基于可信計算和主動防御的終端安全保護體系模型，以實現(xiàn)從應(yīng)用層、系統(tǒng)層、核心層三個方面對計算環(huán)境的全面防護?！霭踩珔^(qū)域邊界為保護邊界安全，本解決方案針對構(gòu)建一個安全的區(qū)域邊界提出的解決手段是在被保護的信息邊界部署一個“應(yīng)用訪問控制系統(tǒng)”。該系統(tǒng)應(yīng)可以實現(xiàn)以下功能：信息層的自主和強制訪問控制、防范SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡(luò)地址換、安全審計等。由于國內(nèi)外在這一方面的相關(guān)技術(shù)非常成熟，因此，在本次系統(tǒng)整改總體設(shè)計中更多的是考慮如何將防火墻、防病毒網(wǎng)關(guān)、網(wǎng)絡(luò)安全審計系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機地結(jié)合在一起，實現(xiàn)協(xié)同防護和聯(lián)動處理。此外，對于不同安全等級信息系統(tǒng)之間的互連邊界，可根據(jù)依照信息流向的高低，部署防火墻或安全隔離與信息交換系統(tǒng)，并配置相應(yīng)的安全策略以實現(xiàn)對信息流向的控制?！霭踩ㄐ啪W(wǎng)絡(luò)目前，在通信網(wǎng)絡(luò)安全方面，采用密碼等核心技術(shù)實現(xiàn)的各類VPN都可以很有效的解決這類問題，達到在滿足等級保護相關(guān)要求的同時，可靈活提高通信網(wǎng)絡(luò)安全性的效果?？傮w網(wǎng)絡(luò)架構(gòu)設(shè)計學(xué)校網(wǎng)絡(luò)架構(gòu)整體設(shè)計如下：iNTfRUETiNTfRUET■NTFAHETiNTfRUETiNTfRUET■NTFAHET4崔1■槪Vian11囚敘囁堂鋁15學(xué)樓學(xué)棧館五#-7#網(wǎng)種ATM下一代皿用抽火IS按入?yún)^(qū)域WAF冶防界改）'對■為網(wǎng)種ATM下一代皿用抽火IS按入?yún)^(qū)域WAF冶防界改）'對■為網(wǎng)站應(yīng)申笊務(wù)番（關(guān)卿焉軟?！矷翠安全域劃分說明安全域的劃分是網(wǎng)絡(luò)防護的基礎(chǔ)，事實上每一個安全邊界所包含的區(qū)域都形成了一個安全域。這些區(qū)域具有不同的使命，具有不同的功能，分域保護的框架為明確各個域的安全等級奠定了基礎(chǔ)，保證了信息流在交換過程中的安全性。在本項目中，將嚴格按照信息系統(tǒng)的重要性和網(wǎng)絡(luò)使用的邏輯特性劃分安全域，將劃分如下確定的安全域：互聯(lián)網(wǎng)出口域，該區(qū)域說明如下：專網(wǎng)出口域，該區(qū)域說明如下：主要承載互聯(lián)網(wǎng)出口，出口主干需要部署相應(yīng)的安全邊界產(chǎn)品。終端接入域，該區(qū)域說明如下：主要是無線和有線終端接入；對外服務(wù)器域，該區(qū)域說明如下：該區(qū)域主要承載對外發(fā)布服務(wù)器，比如學(xué)校的網(wǎng)站；內(nèi)部服務(wù)器域，該區(qū)域說明如下：主要承載對內(nèi)的服務(wù)器和存儲，比如0A和學(xué)校專業(yè)先關(guān)零時性的試驗服務(wù)口口器。安全管理域，該區(qū)域說明如下：主要承載網(wǎng)絡(luò)管理先關(guān)設(shè)備，比如網(wǎng)管系統(tǒng)，防病毒升級服務(wù)器等。詳細方案設(shè)計技術(shù)部分物理安全根據(jù)GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求中物理安全的要求，應(yīng)從以下方面進行整改：網(wǎng)絡(luò)安全安全域邊界隔離技術(shù)根據(jù)《信息系統(tǒng)安全等級保護基本要求》，應(yīng)該在學(xué)校各安全域的邊界處部署防火墻設(shè)備，保證跨安全域的訪問都通過防火墻進行控制管理。因此，在互聯(lián)網(wǎng)出口域邊界部署下一代防火墻，在內(nèi)網(wǎng)服務(wù)器區(qū)域邊界部署WEB應(yīng)用防火墻。入侵防范技術(shù)根據(jù)等級保護基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處實現(xiàn)入侵防范功能，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處部署網(wǎng)絡(luò)層防病毒設(shè)備，并保證與主機層防病毒實現(xiàn)病毒庫的異構(gòu)。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。網(wǎng)頁防篡改技術(shù)學(xué)校網(wǎng)站承載了學(xué)校等重要職責，暴露在互聯(lián)網(wǎng)上，隨時會面臨網(wǎng)頁被篡改及黑客攻擊的危險，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功能非常有必要。鏈路負載均衡技術(shù)根據(jù)等級保護基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處進行優(yōu)化控制，保證用戶訪問選擇最優(yōu)的鏈路。因此建議在二期部署一套專業(yè)的鏈路負載均衡設(shè)備非常有必要。網(wǎng)絡(luò)安全審計針對用戶訪問業(yè)務(wù)系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須部署一套日志審計系統(tǒng)利用實時跟蹤分析技術(shù)，從發(fā)起者、訪問時間、訪問對象、訪問方法、使用頻率各個角度，提供豐富的統(tǒng)計分析報告，幫助用戶在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時，及時發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡(luò)資源的使用。根據(jù)公安部等級保護基本要求，所有信息系統(tǒng)都需要部署日志審計系統(tǒng)，并保存3個月的日志，學(xué)校擁有龐大的網(wǎng)絡(luò)海量的數(shù)據(jù)交換，目前還沒有部署日志審計系統(tǒng)。因此，建議在二期部署一套日志審計系統(tǒng)對全網(wǎng)行為進行監(jiān)控、日志進行記錄。部署設(shè)計：日志審計系統(tǒng)旁路部署在核心交換上，實現(xiàn)全網(wǎng)的網(wǎng)絡(luò)行為的統(tǒng)一審計，收集網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機系統(tǒng)等設(shè)備的運行狀況、網(wǎng)絡(luò)流量、用戶行為等日志信息，并對收集到的日志信息進行分類和關(guān)聯(lián)分析，并可根據(jù)審計人員的操作要求生成統(tǒng)計報表，方便查詢和生成報告，為網(wǎng)絡(luò)事件追溯提供證據(jù)。主機安全數(shù)據(jù)庫安全審計建議在二期部署數(shù)據(jù)庫審計系統(tǒng)，實現(xiàn)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計，范圍覆蓋到每個用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。部署設(shè)計：數(shù)據(jù)庫審計部署于數(shù)據(jù)庫前端交換機上，通過端口鏡像收集信息。運維堡壘主機對運維的管理現(xiàn)狀進行分析，我們認為造成這種不安全現(xiàn)狀的原因是多方面的，總結(jié)起來主要有以下幾點：各IT系統(tǒng)獨立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認證、授權(quán)、審計的依據(jù)和前提，因此身份的混亂實際上造成設(shè)備訪問的混亂。各IT系統(tǒng)獨立管理，風(fēng)險分散在各系統(tǒng)中，各個擊破困難大，這種管理方式造成了業(yè)務(wù)管理和安全之間的失衡。核心服務(wù)器或設(shè)備的物理安全和臨機訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，但是對他們的網(wǎng)絡(luò)訪問缺少控制或欠缺控制力度，在帳號、密碼、認證、授權(quán)、審計等各方面缺乏有效的集中管理技術(shù)手段。目前，學(xué)校使用數(shù)量眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器主機來提供基礎(chǔ)網(wǎng)絡(luò)服務(wù)、運行關(guān)鍵業(yè)務(wù)、數(shù)據(jù)庫應(yīng)用、ERP和協(xié)同工作群件等服務(wù)。由于設(shè)備和服務(wù)器眾多，系統(tǒng)管理員壓力太大等因素，越權(quán)訪問、誤操作、濫用、惡意破壞等情況時有發(fā)生，這嚴重影響信息系統(tǒng)的運行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權(quán)限，闖入部門內(nèi)部網(wǎng)絡(luò)，造成不可估量的損失。如何提高系統(tǒng)運維管理水平，跟蹤服務(wù)器上用戶的操作行為，防止黑客的入侵和破壞，提供控制和審計依據(jù)，降低運維成本，滿足相關(guān)標準要求，越來越成為信息系統(tǒng)關(guān)心的問題，因此建議在學(xué)校二期安全建設(shè)有必要部署一套運維堡壘主機來實現(xiàn)賬戶的安全維護。部署設(shè)計：運維審計系統(tǒng)部署在安全管理域，通過交換機的訪問控制策略限定只能由堡壘主機內(nèi)控管理平臺直接訪問服務(wù)器的遠程維護端口。維護人員對網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器系統(tǒng)進行遠程維護時，首先以Web方式登錄運維審計系統(tǒng)，然后通過運維審計系統(tǒng)上展現(xiàn)的訪問資源列表直接訪問授權(quán)資源。主機防病毒技術(shù)學(xué)校目前網(wǎng)絡(luò)內(nèi)所有終端使用免費的殺毒軟件，基本滿足等級保護二級的要求，但是現(xiàn)在主要服務(wù)器并沒有部署專業(yè)的殺毒軟件，建議第一期部署殺毒軟件。部署設(shè)計軟件客戶端部署在內(nèi)外防服務(wù)器上面，通過管理區(qū)域防病毒升級服務(wù)器對病毒規(guī)則庫進行升級。5.4.應(yīng)用安全根據(jù)等級保護的要求，二級業(yè)務(wù)系統(tǒng)必須加密傳輸，因此需要部署SSLVPN技術(shù)實現(xiàn)應(yīng)用系統(tǒng)遠程訪問的加密，如果后期OA系統(tǒng)需要實現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSLVPN設(shè)備。部署設(shè)計：SSLVPN旁路部署于核心交換機上。詳細方案設(shè)計管理部分安全管理體系的作用是通過建立健全組織機構(gòu)、規(guī)章制度，以及通過人員安全管理、安全教育與培訓(xùn)和各項管理制度的有效執(zhí)行，來落實人員職責，確定行為規(guī)范，保證技術(shù)措施真正發(fā)揮效用，與技術(shù)體系共同保障安全策略的有效貫徹和落實。信息安全管理體系主要包括組織機構(gòu)、規(guī)章制度、人員安全、安全教育和培訓(xùn)等四個方面內(nèi)容。施體目標一戰(zhàn)略一礙略6?1■總體安全方針與安全策略總體安全方針與安全策略是指導(dǎo)用戶方所有信息安全工作的綱領(lǐng)性文件,是信息安全決策機構(gòu)對信息安全工作的決策和意圖的表述?？傮w安全方針與安全策略的作用在于統(tǒng)一對信息安全工作的認識，規(guī)定信息安全的基本架構(gòu)，明確信息安全的根本目標和原則。本次項目中深信服將協(xié)助用戶方確定安全管理體系的層次及建立方式，明確各層次在安全管理體系中的職責以及安全策略，建立具有高可操作性的考核體系，以加強安全策略及各項管理制度的可落實性。我方為用戶方設(shè)計的總體安全方針與安全策略將具備以下特性：安全策略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合用戶方實際的信息安全需求，能保障與促進信息化建設(shè)的順利進行,避免理想化與不可操作性?？傮w安全方針與安全策略中將明確闡述用戶方所有信息化建設(shè)項目在規(guī)劃設(shè)計、開發(fā)建設(shè)、運行維護和變更廢棄等各階段，應(yīng)遵循的總體原則和要求。安全策略在經(jīng)過用戶方信息安全決策機構(gòu)批準之后，將具備指導(dǎo)和規(guī)范信息安全工作的效力。安全策略中將規(guī)定其自身的時效性，當信息系統(tǒng)運行環(huán)境發(fā)生重大變化時，我方將協(xié)助用戶方及時對總體安全策略進行必要的調(diào)整，并將調(diào)整后的策略提交用戶方信息安全決策機構(gòu)批準。6?2■信息安全管理制度根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實施辦法，是具有可操作性，且必須得到有效推行和實施的制度。制定嚴格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對收發(fā)文進行登記。信息安全領(lǐng)導(dǎo)小組負責定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定，定期或不定期對安全管理制度進行評審和修訂，修訂不足及進行改進。安全管理機構(gòu)根據(jù)基本要求設(shè)置安全管理機構(gòu)的組織形式和運作方式，明確崗位職責；設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進行人員配備，配備專職安全員；成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機構(gòu)各個部門和崗位的職責、分工和技能要求。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；定期進行全面安全檢查，特別是系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等。人員安全管理人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。一般單位都有統(tǒng)一的人事管理部門負責人員管理，這里的人員安全管理主要指對關(guān)鍵崗位人員進行的以安全為核心的管理，例如對關(guān)鍵崗位的人員采取在錄用或上崗前進行全面、嚴格的安全審查和技能考核，與關(guān)鍵崗位人員簽署保密協(xié)議，對離崗人員撤銷系統(tǒng)帳戶和相關(guān)權(quán)限等措施。只有注重對安全管理人員的培養(yǎng)，提高其安全防范意識，才能做到安全有效的防范，因此需要對各類人員進行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。培訓(xùn)的內(nèi)容包括單位的信息安全方針、信息安全方面的基礎(chǔ)知識、安全技術(shù)、安全標準、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責任要求、法律責任和懲戒措施等。具體依據(jù)標準《基本要求》中人員安全管理，同時可以參照《信息系統(tǒng)安全管理要求》等。系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理的重點是與系統(tǒng)建設(shè)活動相關(guān)的過程管理，由于主要的建設(shè)活動是由服務(wù)方，如集成方、開發(fā)方、測評方、安全服務(wù)方等完成，運營使用單位人員的主要工作是對之進行管理，應(yīng)制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級備案、方案設(shè)計、產(chǎn)品采購使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務(wù)等活動的管理責任部門、具體的管理內(nèi)容和控制方法，并按照管理制度落實各項管理措施，完整保存相關(guān)的管理記錄和過程文檔。具體依據(jù)標準《基本要求》中系統(tǒng)建設(shè)管理系統(tǒng)運維管理8、環(huán)境和資產(chǎn)安全管理制度環(huán)境包括計算機、網(wǎng)絡(luò)機房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，明確環(huán)境安全管理的責任部門或責任人，加強對人員出入、來訪人員的控制，對有關(guān)物理訪問、物品進出和環(huán)境安全等方面作出規(guī)定。對重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等措施。資產(chǎn)包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設(shè)備物資管理，而是從安全和信息系統(tǒng)角度對資產(chǎn)進行管理，將資產(chǎn)作為信息系統(tǒng)的組成部分，按其在信息系統(tǒng)中的作用進行管理。應(yīng)明確資產(chǎn)安全管理的責任部門或責任人，對資產(chǎn)進行分類、標識，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息系統(tǒng)安全管理要求》等。2、設(shè)備和介質(zhì)安全管理制度明確配套設(shè)施、軟硬件設(shè)備管理、維護的責任部門或責任人，對信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護和維修等過程進行控制，對介質(zhì)的存放、使用、維護和銷毀等方面作出規(guī)定，加強對涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息系統(tǒng)安全管理要求》等。3、日常運行維護制度明確網(wǎng)絡(luò)、系統(tǒng)日常運行維護的責任部門或責任人，對運行管理中的日常操作、賬號管理、安全配置、日志管理、補丁升級、口令更新等過程進行控制和管理；制訂設(shè)備操作管理、業(yè)務(wù)應(yīng)用操作管理、變更控制和重用管理、信息交換管理相應(yīng)的管理制度；制定與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并落實執(zhí)行；正確實施為信息系統(tǒng)可靠運行而采取的各種檢測、監(jiān)控、審計、分析、備份及容錯等方法和措施，對運行安全進行監(jiān)督檢查。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息系統(tǒng)安全管理要求》等。4、集中安全管理制度第二級以上信息系統(tǒng)應(yīng)按照統(tǒng)一的安全策略、安全管理要求，統(tǒng)一管理信息系統(tǒng)的安全運行，進行安全機制的配置與管理，對設(shè)備安全配置、惡意代碼、補丁升級、安全審計等進行管理，對與安全有關(guān)的信息進行匯集與分析，對安全機制進行集中管理。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》和《信息系統(tǒng)安全管理要求》等。8、事件處置與應(yīng)急響應(yīng)制度按照國家有關(guān)標準規(guī)定，確定信息安全事件的等級。結(jié)合信息系統(tǒng)安全保護等級，制定信息安全事件分級應(yīng)急處置預(yù)案，明確應(yīng)急處置策略，落實應(yīng)急指揮部門、執(zhí)行部門和技術(shù)支撐部門，建立應(yīng)急協(xié)調(diào)機制。落實安全事件報告制度，第二級以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時，運營使用單位按照相應(yīng)預(yù)案開展應(yīng)急處置，并及時向受理備案的公安機關(guān)報告。組織應(yīng)急技術(shù)支撐力量和專家隊伍，按照應(yīng)急預(yù)案定期組織開展應(yīng)急演練。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息安全事件分類分級指南》和《信息安全事件管理指南》等。8、災(zāi)難備份制度要對第二級以上信息系統(tǒng)采取災(zāi)難備份措施，防止重大事故、事件發(fā)生。識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制定數(shù)據(jù)的備份策略和恢復(fù)策略，建立備份與恢復(fù)管理相關(guān)的安全管理制度。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理和《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》。8、安全監(jiān)測制度開展信息系統(tǒng)實時安全監(jiān)測，實現(xiàn)對物理環(huán)境、通信線路、主機、網(wǎng)絡(luò)設(shè)備、用戶行為和業(yè)務(wù)應(yīng)用等的監(jiān)測和報警，及時發(fā)現(xiàn)設(shè)備故障、病毒入侵、黑客攻擊、誤用和誤操作等安全事件，以便及時對安全事件進行響應(yīng)與處置。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理。8、其他制度對系統(tǒng)運行維護過程中的其它活動，如系統(tǒng)變更、密碼使用等進行控制和管理。按國家密碼管理部門的規(guī)定，對信息系統(tǒng)中密碼算法和密鑰的使用進行分級管理。安全管理制度匯總制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項制度、措施的落實情況，并不斷完善。定期對信息系統(tǒng)安全狀況進行自查，第二級系統(tǒng)每兩年自查一次，第三級信息系統(tǒng)每年自查一次，第四級信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達到安全保護等級要求的，應(yīng)當進一步開展整改。具體依據(jù)標準《基本要求》中安全管理機構(gòu)，同時可以參照《信息系統(tǒng)安全管理要求》等。最終提交安全制度包括但不限于以下內(nèi)容：總體安全策略（組織、流程、策略、技術(shù)）崗位安全責任制度第三方安全管理制度系統(tǒng)日常安全管理工作制度系統(tǒng)安全評估管理辦法機房建設(shè)運行標準安全區(qū)域劃分及管理規(guī)定管理信息區(qū)域網(wǎng)管制度系統(tǒng)建設(shè)管理制度設(shè)備入網(wǎng)安全管理制度系統(tǒng)軟件和補丁管理制度備份與恢復(fù)管理制度賬號和口令及權(quán)限管理制度介質(zhì)管理加密技術(shù)使用管理辦法應(yīng)急預(yù)案管理制度安全事件報告和處置管理制度安全審計管理咨詢服務(wù)和系統(tǒng)測評系統(tǒng)定級服務(wù)協(xié)助用戶單位，依據(jù)《信息系統(tǒng)安全等級保護定級指南》，確定信息系統(tǒng)的安全保護等級，準備定級備案表和定級報告，協(xié)助用戶單位向所在地區(qū)的公安機關(guān)辦理備案手續(xù)。風(fēng)險評估和安全加固服務(wù)通過漏洞掃描、配置核查和滲透測試等技術(shù)手段發(fā)現(xiàn)系統(tǒng)中的漏洞，這些漏洞不能由安全設(shè)備解決，只能有安全加固解決。漏洞掃描利用業(yè)界領(lǐng)先的多種掃描工具檢查整個網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的主機系統(tǒng)與數(shù)據(jù)庫系統(tǒng)的漏洞情況，并用人工對掃描結(jié)果進行誤報分析，結(jié)果整理。目標是發(fā)掘網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的安全漏洞，包括但不局限于：操作系統(tǒng)漏洞、網(wǎng)絡(luò)設(shè)備漏洞、中間件漏洞、數(shù)據(jù)庫漏洞、脆弱賬戶等，并提出漏洞修補建議滲透測試模擬黑客的真實攻擊方法對系統(tǒng)和網(wǎng)絡(luò)進行非破壞性質(zhì)的攻擊性測試，旨在發(fā)現(xiàn)目標系統(tǒng)這里，所有的滲透測試行為將在客戶的書面明確授權(quán)和監(jiān)督下進行。通過遠程滲透測試全面檢測信息系統(tǒng)清單中的系統(tǒng)（網(wǎng)站）直接暴露在互聯(lián)網(wǎng)上的安全隱患，并提供實際可行的安全修復(fù)建議。配置核查通過配置核查工具和安全專家人工檢查想結(jié)合的方式，逐項檢查系統(tǒng)的各項配置和運行狀態(tài)，評估對象應(yīng)包括各主機的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)庫，并出具評估報告。

安全加固根據(jù)漏洞掃描、配置核查和滲透測試的結(jié)果，對用戶單位提供安全加固建議（包括主機安全加固、網(wǎng)絡(luò)設(shè)備安全加固服務(wù)、安全設(shè)備安全加固優(yōu)化服務(wù)、數(shù)據(jù)庫系統(tǒng)安全加固服務(wù)、管理制度完善），并對具體的安全加固提供指導(dǎo)咨詢。主機安全加固主要對用戶單位所有主機系統(tǒng)（含虛擬機）進行安全加固，內(nèi)容如下:■檢查主機系統(tǒng)的補丁管理；■賬號及口令策略；■網(wǎng)絡(luò)與服務(wù)■文件系統(tǒng)；■日志審核；■防火墻策略；■系統(tǒng)鉤子；■木馬、后門及rookit；■安全性增強；網(wǎng)絡(luò)安全加固主要對用戶單位所涉及的網(wǎng)絡(luò)設(shè)備進行安全加固內(nèi)容如下:■網(wǎng)絡(luò)設(shè)備的補丁管理及版本；■賬號及口令策略；■訪問控制；■網(wǎng)絡(luò)與服務(wù)；■日志審核信息安全設(shè)備加固安全設(shè)備是否配置最優(yōu)，實現(xiàn)其最優(yōu)功能和性能，保證網(wǎng)絡(luò)系統(tǒng)的正常運行、是否存在漏洞或后門、自身的保護機制是否實現(xiàn)、檢查安全設(shè)備的補丁管理、賬號及口令策略、訪問控制、網(wǎng)絡(luò)與服務(wù)、日志審核，主要內(nèi)容如下：■關(guān)閉不必要系統(tǒng)服務(wù)■開啟系統(tǒng)各項審計功能■配置賬號、組策略■配置注冊表相應(yīng)的安全項■配置文件系統(tǒng)的權(quán)限■評估新補丁對操作系統(tǒng)及應(yīng)用系統(tǒng)的影響，在不影響系統(tǒng)正常使用的情況下，升級系統(tǒng)補丁■升級防病毒軟件的版本數(shù)據(jù)庫系統(tǒng)安全加固數(shù)據(jù)庫系統(tǒng)主要從系統(tǒng)版本、用戶賬號、口令管理、傳輸情況、文件系統(tǒng)、日志審核等方面進行安全加固，主要內(nèi)容如下：數(shù)據(jù)庫組件安裝優(yōu)化適度應(yīng)用數(shù)據(jù)庫補丁程序■數(shù)據(jù)庫服務(wù)運行權(quán)限改善■清理數(shù)據(jù)庫默認配置無用賬號■改善程序包權(quán)限設(shè)置■改善登錄認證方式設(shè)置■改善傳輸加密協(xié)議配置■設(shè)置客戶端連接IP限制策略■禁用Extproc功能清理不必要的存儲過程增強數(shù)據(jù)庫日志審計功能安全管理制度編寫為用戶單位完成編寫信息安全管理制度，并保障該制度適合客戶方的需求，以及便于落地。具體制度詳細見詳細方案設(shè)計管理部分。安全培訓(xùn)根據(jù)用戶單位要求，除了提供產(chǎn)品方面培訓(xùn)，將著重定制化與日常工作相關(guān)的安全培訓(xùn),具體的培訓(xùn)內(nèi)容將根據(jù)客戶提出的要求具體執(zhí)行。系統(tǒng)測評服務(wù)為用戶選擇滿足國家要求的測評機構(gòu)（在本省等包辦推薦目錄下且在本省備案的測評機構(gòu)），完成對用戶單位信息系統(tǒng)的等級保護測評。用于訪問控制用于訪問控制用于訪問控制用于訪問控制項目預(yù)算與配置清單項目預(yù)算一期（等保二級基本要求請參照附表利舊安全設(shè)備使用說明序號產(chǎn)品1.網(wǎng)神SecGate3600互聯(lián)網(wǎng)出口路由部署部署位置利舊說明2.深信服上網(wǎng)行為管理互聯(lián)網(wǎng)出口透明部署用于應(yīng)用訪問控制，流量管理和網(wǎng)絡(luò)行為審計3.網(wǎng)管系統(tǒng)安全管理區(qū)域網(wǎng)絡(luò)管理分隔分隔信息安全等級保護二級建設(shè)方案信息安全等級保護（二級）建設(shè)方案項目概述項目建設(shè)目標為了進一步貫徹落實教育行業(yè)信息安全等級保護制度，推進學(xué)校信息安全等級保護工作，依照國家《計算機信息系統(tǒng)安全保護等級劃分準則》、《信息系統(tǒng)安全等級保護基本要求》、《信息系統(tǒng)安全保護等級定級指南》等標準，對學(xué)校的網(wǎng)絡(luò)和信息系統(tǒng)進行等級保護定級，按信息系統(tǒng)逐個編制定級報告和定級備案表，并指導(dǎo)學(xué)校信息化人員將定級材料提交當?shù)毓矙C關(guān)備案。本方案中，通過為滿足物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全五個方面基本技術(shù)要求講行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理五個方面基本管理要求進行管理體系建設(shè)。使得學(xué)校信息系統(tǒng)的等級保護建設(shè)方案最終既可以滿足等級保護的相關(guān)要求，又能夠全方面為學(xué)校的業(yè)務(wù)系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護能力。本項目建設(shè)將完成以下目標：1、以學(xué)校信息系統(tǒng)現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級保護二級系統(tǒng)基本要求的信息系統(tǒng)，確保學(xué)校的整體信息化建設(shè)符合相關(guān)要求。2、建立安全管理組織機構(gòu)。成立信息安全工作組，學(xué)校負責人為安全責任人，擬定實施信息系統(tǒng)安全等級保護的具體方案，并制定相應(yīng)的崗位責任制，確保信息安全等級保護工作順利實施。3、建立完善的安全技術(shù)防護體系。根據(jù)信息安全等級保護的要求，建立滿足二級要求的安全技術(shù)防護體系。4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護的要求，制定各項信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。5、制定學(xué)校信息系統(tǒng)不中斷的應(yīng)急預(yù)案。應(yīng)急預(yù)案是安全等級保護的重要組成部分，按可能出現(xiàn)問題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故障和意外且無法短時間恢復(fù)的情況下能確保生產(chǎn)活動持續(xù)進行。6、安全培訓(xùn)：為學(xué)校信息化技術(shù)人員提供信息安全相關(guān)專業(yè)技術(shù)知識培訓(xùn)。項目參考標準我司遵循國家信息安全等級保護指南等最新安全標準以及開展各項服務(wù)工作，配合學(xué)校的等級保護測評工作。本項目建設(shè)參考依據(jù)：

指導(dǎo)思想中辦[2003]27號文件（關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》的通知）公通字[2004]66號文件（關(guān)于印發(fā)《信息安全等級保護工作的實施意見》的通知）公通字[2007]43號文件（關(guān)于印發(fā)《信息安全等級保護管理辦法》的通知）公信安[2009]1429《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》全國人大《關(guān)于加強網(wǎng)絡(luò)信息保護的決定》國發(fā)[2012]23號《國務(wù)院關(guān)于大力推進信息化發(fā)展和切實保障信息安全的若干意見》國發(fā)[2013]7號《國務(wù)院關(guān)于推進物聯(lián)網(wǎng)有序健康發(fā)展的指導(dǎo)意見》公信安[2014]2182號《關(guān)于加強國家級重要信息系統(tǒng)安全保障工作有關(guān)事項的通知》（公信安[2014]2182號）等級保護GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則GB/T25058-2010信息系統(tǒng)安全等級保護實施指南系統(tǒng)定級GB/T22240-2008信息安全技術(shù)信息系統(tǒng)安全保護等級定級指南技術(shù)方面GB/T25066-2010信息安全產(chǎn)品類別與代碼GB/T17900-1999網(wǎng)絡(luò)代理服務(wù)器的安全技術(shù)要求GB/T20010-2005包過濾防火墻評估準則GB/T20281-2006防火墻技術(shù)要求和測試評價方法GB/T18018-2007路由器安全技術(shù)要求GB/T20008-2005路由器安全評估準則GB/T20272-2006操作系統(tǒng)安全技術(shù)要求GB/T20273-2006數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求GB/T20009-2005數(shù)據(jù)庫管理系統(tǒng)安全評估準則GB/T20275-2006入侵檢測系統(tǒng)技術(shù)要求和測試評價方法GB/T20277-2006網(wǎng)絡(luò)和終端設(shè)備隔離部件測試評價方法GB/T20279-2006網(wǎng)絡(luò)和終端設(shè)備隔離部件安全技術(shù)要求GB/T20278-2006網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求GB/T20280-2006網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測試評價方法GB/T20945-2007信息系統(tǒng)安全審計產(chǎn)品技術(shù)要求和測試評價方法GB/T21028-2007服務(wù)器安全技術(shù)要求GB/T25063-2010服務(wù)器安全側(cè)評要求GB/T21050-2007網(wǎng)絡(luò)交換機安全技術(shù)要求（EAL3）GB/T28452-2012應(yīng)用軟件系統(tǒng)通用安全技術(shù)要求GB/T29240-2012終端計算機通用安全技術(shù)要求與測試評價方法GB/T28456-2012IPsec協(xié)議應(yīng)用測試規(guī)范GB/T28457-2012SSL協(xié)議應(yīng)用測試規(guī)范管理方面GB/T20269-2006信息系統(tǒng)安全管理要求GB/T28453-2012信息系統(tǒng)安全管理評估要求GB/T20984-2007信息安全風(fēng)險評估規(guī)范GB/T24364-2009信息安全風(fēng)險管理指南GB/T20985-2007信息安全事件管理指南GB/T20986-2007信息安全事件分類分級指南GB/T20988-2007信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范方案設(shè)計GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求等保測評GB/T28448-2012信息系統(tǒng)安全等級保護測評要求GB/T28449-2012信息系統(tǒng)安全等級保護測評過程指南方案設(shè)計原則針對本次項目，等級保護整改方案的設(shè)計和實施將遵循以下原則99、保密性原則：我司對安全服務(wù)的實施過程和結(jié)果將嚴格保密，在未經(jīng)用戶方授權(quán)的情況下不會泄露給任何單位和個人，不會利用此數(shù)據(jù)進行任何侵害客戶權(quán)益的行為；標準性原則：服務(wù)設(shè)計和實施的全過程均依據(jù)國內(nèi)或國際的相關(guān)標準進行；根據(jù)等級保護二級基本要求，進行分等級分安全域進行安全設(shè)計和安全建設(shè)。規(guī)范性原則：我司在各項安全服務(wù)工作中的過程和文檔，都具有很好的規(guī)范性（《南寧市學(xué)家科技有限公司安全服務(wù)實施規(guī)范》），可以便于項目的跟蹤和控制；可控性原則：服務(wù)所使用的工具、方法和過程都會在深信服與用戶方雙方認可的范圍之內(nèi)，服務(wù)進度遵守進度表的安排，保證雙方對服務(wù)工作的可控性；整體性原則：服務(wù)的范圍和內(nèi)容整體全面，涉及的IT運行的各個層面，避免由于遺漏造成未來的安全隱患；最小影響原則：服務(wù)工作盡可能小的影響信息系統(tǒng)的正常運行，不會對現(xiàn)有業(yè)務(wù)造成顯著影響。體系化原則：在體系設(shè)計、建設(shè)中，深信服充分考慮到各個層面的安全風(fēng)險，構(gòu)建完整的立體安全防護體系。先進性原則：為滿足后續(xù)不斷增長的業(yè)務(wù)需求、對安全產(chǎn)品、安全技術(shù)都充分考慮前瞻性要求，采用先進、成熟的安全產(chǎn)品、技術(shù)和先進的管理方法。分步驟原則：根據(jù)用戶方要求，對用戶方安全保障體系進行分期、分步驟的有序部署。服務(wù)細致化原則：在項目咨詢、建設(shè)過程中深信服將充分結(jié)合自身的專業(yè)技術(shù)經(jīng)驗與行業(yè)經(jīng)驗相結(jié)合，結(jié)合用戶方的實際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)安全穩(wěn)定的運行。系統(tǒng)現(xiàn)狀分析系統(tǒng)定級情況說明學(xué)校綜合考慮了學(xué)校信息系統(tǒng)、學(xué)校信息系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)類型，以及其受到破壞時可能受到侵害的客體以及受侵害的程度，經(jīng)學(xué)校省公安廳的批準，已將學(xué)校系統(tǒng)等級定為等級保護第二級S2A2G2）,整體網(wǎng)絡(luò)信息化平臺按照二級進行建設(shè)。業(yè)務(wù)系統(tǒng)說明學(xué)校本次參加整改的共有X個信息系統(tǒng)，分別是學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)，具體情況介紹如下：學(xué)校門戶網(wǎng)站系統(tǒng)：2012年門戶網(wǎng)站（網(wǎng)絡(luò)版）歷經(jīng)系統(tǒng)開發(fā)、模擬測試、網(wǎng)絡(luò)、硬件設(shè)備安裝部署，在試點和實施過程當中發(fā)現(xiàn)系統(tǒng)仍有不足之處，需要對系統(tǒng)進行深入完善和改進，主要考慮到由于IHTFRNfr服務(wù)狂備曲服務(wù)器IHTFRNfr服務(wù)狂備曲服務(wù)器門戶網(wǎng)站（網(wǎng)絡(luò)版）作為學(xué)校集中部署的網(wǎng)絡(luò)化重要業(yè)務(wù)系統(tǒng)，其具有應(yīng)用面廣、用戶規(guī)模大，并涉及到學(xué)校對互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上部署的特性，因此系統(tǒng)自身和運行環(huán)境均存在一定的安全風(fēng)險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和措施。學(xué)校OA系統(tǒng)：目前學(xué)校舊OA系統(tǒng)準備停用，并且已經(jīng)開發(fā)和準備上線新的業(yè)務(wù)系統(tǒng)，新的業(yè)務(wù)系統(tǒng)目前準備對公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務(wù)系統(tǒng)的規(guī)模比較大，而且整個網(wǎng)絡(luò)相對會比較復(fù)雜、流量多變，所以系統(tǒng)任有較多不足，在本次建設(shè)過程中應(yīng)該加強安全建設(shè)，系統(tǒng)自身和運行環(huán)境均存在一定的安全風(fēng)險，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護體系和措施。10?3?網(wǎng)絡(luò)結(jié)構(gòu)說明學(xué)校信息系統(tǒng)網(wǎng)絡(luò)拓撲圖現(xiàn)狀如下：intehhet7樓4樓謹腹廠四敕二教飯?zhí)脠F書學(xué)壇安全需求分析物理安全需求分析目前在機房建設(shè)方面還存在如下問題:6、物理訪問控制；7、防雷擊；8、防火墻；防水防潮；10、溫濕度控制；網(wǎng)絡(luò)安全需求分析邊界入侵防范：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實現(xiàn)。防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實現(xiàn)安全域邊界安全審計：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署署網(wǎng)絡(luò)安全審計等安全設(shè)備來實現(xiàn)。主機安全需求分析主機防病毒：該信息系統(tǒng)缺少主機防病毒的相關(guān)安全策略，需要配置網(wǎng)絡(luò)版主機防病毒系統(tǒng)，從而實現(xiàn)對全網(wǎng)主機的惡意代碼防范。數(shù)據(jù)庫審計：該信息系統(tǒng)缺少針對數(shù)據(jù)的審計設(shè)備，不能很好的滿足主機安全審計的要求，需要部署專業(yè)的數(shù)據(jù)庫審計設(shè)備。運維堡壘機：該該信息系統(tǒng)無法實現(xiàn)管理員對網(wǎng)絡(luò)設(shè)備和服務(wù)器進行管理時的雙因素認證，需要部署堡壘機來實現(xiàn)。漏洞掃描：需要部署漏洞掃描實現(xiàn)對全網(wǎng)漏洞的掃描。應(yīng)用安全需求分析通信完整性和保密性：該信息系統(tǒng)無法實現(xiàn)對邊界的訪問控制，需要部署SSLVPN等安全設(shè)備來實現(xiàn)。數(shù)據(jù)安全需求分析備份與恢復(fù)：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定相關(guān)策略。同時，該信息系統(tǒng)沒有實現(xiàn)對關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙鏈路確保設(shè)備冗余。安全管理制度需求分析根據(jù)前期差距分析結(jié)果，該單位還欠缺較多安全管理制度，需要后續(xù)補充。12.總體方案設(shè)計總體設(shè)計目標學(xué)校的安全等級保護整改方案設(shè)計的總體目標是依據(jù)國家等級保護的有關(guān)標準和規(guī)范，結(jié)合學(xué)校信息系統(tǒng)的現(xiàn)狀，對其進行重新規(guī)劃和合規(guī)性整改，為其建立一個完整的安全保障體系，有效保障其系統(tǒng)業(yè)務(wù)的正常開展，保護敏感數(shù)據(jù)信息的安全，保證學(xué)校信息系統(tǒng)的安全防護能力達到《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》中第二級的相關(guān)技術(shù)和管理要求?？傮w安全體系設(shè)計本項目提出的等級保護體系模型，必須依照國家等級保護的相關(guān)要求，利用密碼、代碼驗證、可信接入控制等核心技術(shù)，在“一個中心三重防御”的框架下實現(xiàn)對信息系統(tǒng)的全面防護。整個體系模型如下圖所示：典型應(yīng)用

子系統(tǒng)應(yīng)用S安全計算環(huán)境節(jié)點子索統(tǒng)潔求訪問木地或憫執(zhí)衍返回W主林性檢杳i訪問冉制r*粕農(nóng)釵別調(diào)擁hvHTl?控制淞■[!■仲戟戲邊界控制策略跨域互謹策略外那代埋球別調(diào)整檢我棄咯衷典型應(yīng)用

子系統(tǒng)應(yīng)用S安全計算環(huán)境節(jié)點子索統(tǒng)潔求訪問木地或憫執(zhí)衍返回W主林性檢杳i訪問冉制r*粕農(nóng)釵別調(diào)擁hvHTl?控制淞■[!■仲戟戲邊界控制策略跨域互謹策略外那代埋球別調(diào)整檢我棄咯衷蟲金區(qū)域辺界蟲仝通信網(wǎng)絡(luò)安全管理中心安全管理中心是整個等級保護體系中對信息系統(tǒng)進行集中安全管理的平臺，是信息系統(tǒng)做到可測、可控、可管理的必要手段和措施。依照GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求中對安全管理中心的要求，一個符合基于可信計算和主動防御的等級保護體系模型的安全管理中心應(yīng)至少包含以下三個部分：系統(tǒng)管理實現(xiàn)對系統(tǒng)資源和運行的配置。控制和管理，并對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計。安全管理實現(xiàn)對系統(tǒng)中的主體、客體進行統(tǒng)一標記，對主體進行授權(quán)，配置一致的安全策略，確保標記、授權(quán)和安全策略的數(shù)據(jù)完整性，并對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并進行審計審計管理實現(xiàn)對系統(tǒng)各個組成部分的安全審計機制進行集中管理，包括根據(jù)安全審計策略對審計記錄進行分類；提供按時間段開啟和關(guān)閉相應(yīng)類型的安全審計機制；對各類審計記錄進行存儲、管理和查詢等；對審計記錄應(yīng)進行分析，根據(jù)分析結(jié)果進行處理。此外，對安全審計員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作。此外，安全管理中心應(yīng)做到技術(shù)與管理并重，加強在安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等方面的管理力度，規(guī)范安全管理操作規(guī)程，建立完善的安全管理制度集?！霭踩嬎悱h(huán)境參照基于可信計算和主動防御的等級保護模型，安全計算環(huán)境可劃分成節(jié)點和典型應(yīng)用兩個子系統(tǒng)。在解決方案中，這兩個子系統(tǒng)都將通過終端安全保護體系的建立來實現(xiàn)。信息安全事故的源頭主要集中在用戶終端，要實現(xiàn)一個可信的、安全的計算環(huán)境，就必須從終端安全抓起。因此依照等級保護在身份鑒別，訪問控制（包括強制訪問控制）、網(wǎng)絡(luò)行為控制（包括上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應(yīng)用安全、數(shù)據(jù)安全、安全審計等方面的技術(shù)要求，可充分結(jié)合可信計算技術(shù)和主動防御技術(shù)的先進性和安全性，提出一個基于可信計算和主動防御的終端安全保護體系模型，以實現(xiàn)從應(yīng)用層、系統(tǒng)層、核心層三個方面對計算環(huán)境的全面防護。安全區(qū)域邊界為保護邊界安全，本解決方案針對構(gòu)建一個安全的區(qū)域邊界提出的解決手段是在被保護的信息邊界部署一個“應(yīng)用訪問控制系統(tǒng)”。該系統(tǒng)應(yīng)可以實現(xiàn)以下功能：信息層的自主和強制訪問控制、防范SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡(luò)地址換、安全審計等。由于國內(nèi)外在這一方面的相關(guān)技術(shù)非常成熟，因此，在本次系統(tǒng)整改總體設(shè)計中更多的是考慮如何將防火墻、防病毒網(wǎng)關(guān)、網(wǎng)絡(luò)安全審計系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機地結(jié)合在一起，實現(xiàn)協(xié)同防護和聯(lián)動處理。此外，對于不同安全等級信息系統(tǒng)之間的互連邊界，可根據(jù)依照信息流向的高低，部署防火墻或安全隔離與信息交換系統(tǒng)，并配置相應(yīng)的安全策略以實現(xiàn)對信息流向的控制。安全通信網(wǎng)絡(luò)目前，在通信網(wǎng)絡(luò)安全方面，采用密碼等核心技術(shù)實現(xiàn)的各類VPN都可以很有效的解決這類問題，達到在滿足等級保護相關(guān)要求的同時，可靈活提高通信網(wǎng)絡(luò)安全性的效果?？傮w網(wǎng)絡(luò)架構(gòu)設(shè)計學(xué)校網(wǎng)絡(luò)架構(gòu)整體設(shè)計如下：iNTfRUETiNTfRUET■NTFAHETiNTfRUETiNTfRUET■NTFAHET4崔1■槪Vian11囚敘囁堂鋁15學(xué)樓學(xué)棧館五#-7#網(wǎng)種ATM下一代皿用抽火IS按入?yún)^(qū)域WAF冶防界改）'對■為網(wǎng)種ATM下一代皿用抽火IS按入?yún)^(qū)域WAF冶防界改）'對■為網(wǎng)站應(yīng)申笊務(wù)番（關(guān)卿焉軟?！矷翠12?4?安全域劃分說明安全域的劃分是網(wǎng)絡(luò)防護的基礎(chǔ)，事實上每一個安全邊界所包含的區(qū)域都形成了一個安全域。這些區(qū)域具有不同的使命，具有不同的功能，分域保護的框架為明確各個域的安全等級奠定了基礎(chǔ)，保證了信息流在交換過程中的安全性。在本項目中，將嚴格按照信息系統(tǒng)的重要性和網(wǎng)絡(luò)使用的邏輯特性劃分安全域，將劃分如下確定的安全域：互聯(lián)網(wǎng)出口域，該區(qū)域說明如下：專網(wǎng)出口域，該區(qū)域說明如下：主要承載互聯(lián)網(wǎng)出口，出口主干需要部署相應(yīng)的安全邊界產(chǎn)品。終端接入域，該區(qū)域說明如下：主要是無線和有線終端接入；對外服務(wù)器域，該區(qū)域說明如下：該區(qū)域主要承載對外發(fā)布服務(wù)器，比如學(xué)校的網(wǎng)站；內(nèi)部服務(wù)器域，該區(qū)域說明如下：主要承載對內(nèi)的服務(wù)器和存儲，比如0A和學(xué)校專業(yè)先關(guān)零時性的試驗服務(wù)口口器。安全管理域，該區(qū)域說明如下：主要承載網(wǎng)絡(luò)管理先關(guān)設(shè)備，比如網(wǎng)管系統(tǒng)，防病毒升級服務(wù)器等。詳細方案設(shè)計技術(shù)部分13?1?物理安全根據(jù)GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求中物理安全的要求，應(yīng)從以下方面進行整改：13?2?網(wǎng)絡(luò)安全安全域邊界隔離技術(shù)根據(jù)《信息系統(tǒng)安全等級保護基本要求》，應(yīng)該在學(xué)校各安全域的邊界處部署防火墻設(shè)備，保證跨安全域的訪問都通過防火墻進行控制管理。因此，在互聯(lián)網(wǎng)出口域邊界部署下一代防火墻，在內(nèi)網(wǎng)服務(wù)器區(qū)域邊界部署WEB應(yīng)用防火墻。入侵防范技術(shù)根據(jù)等級保護基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處實現(xiàn)入侵防范功能，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處部署網(wǎng)絡(luò)層防病毒設(shè)備，并保證與主機層防病毒實現(xiàn)病毒庫的異構(gòu)。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。網(wǎng)頁防篡改技術(shù)學(xué)校網(wǎng)站承載了學(xué)校等重要職責，暴露在互聯(lián)網(wǎng)上，隨時會面臨網(wǎng)頁被篡改及黑客攻擊的危險，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功能非常有必要。鏈路負載均衡技術(shù)根據(jù)等級保護基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處進行優(yōu)化控制，保證用戶訪問選擇最優(yōu)的鏈路。因此建議在二期部署一套專業(yè)的鏈路負載均衡設(shè)備非常有必要。網(wǎng)絡(luò)安全審計針對用戶訪問業(yè)務(wù)系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須部署一套日志審計系統(tǒng)利用實時跟蹤分析技術(shù)，從發(fā)起者、訪問時間、訪問對象、訪問方法、使用頻率各個角度，提供豐富的統(tǒng)計分析報告，幫助用戶在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時，及時發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡(luò)資源的使用。根據(jù)公安部等級保護基本要求，所有信息系統(tǒng)都需要部署日志審計系統(tǒng)，并保存3個月的日志，學(xué)校擁有龐大的網(wǎng)絡(luò)海量的數(shù)據(jù)交換，目前還沒有部署日志審計系統(tǒng)。因此，建議在二期部署一套日志審計系統(tǒng)對全網(wǎng)行為進行監(jiān)控、日志進行記錄。部署設(shè)計：日志審計系統(tǒng)旁路部署在核心交換上，實現(xiàn)全網(wǎng)的網(wǎng)絡(luò)行為的統(tǒng)一審計，收集網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機系統(tǒng)等設(shè)備的運行狀況、網(wǎng)絡(luò)流量、用戶行為等日志信息，并對收集到的日志信息進行分類和關(guān)聯(lián)分析，并可根據(jù)審計人員的操作要求生成統(tǒng)計報表，方便查詢和生成報告，為網(wǎng)絡(luò)事件追溯提供證據(jù)。13.3.主機安全數(shù)據(jù)庫安全審計建議在二期部署數(shù)據(jù)庫審計系統(tǒng)，實現(xiàn)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計，范圍覆蓋到每個用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。部署設(shè)計：數(shù)據(jù)庫審計部署于數(shù)據(jù)庫前端交換機上，通過端口鏡像收集信息。運維堡壘主機對運維的管理現(xiàn)狀進行分析，我們認為造成這種不安全現(xiàn)狀的原因是多方面的，總結(jié)起來主要有以下幾點：各IT系統(tǒng)獨立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認證、授權(quán)、審計的依據(jù)和前提，因此身份的混亂實際上造成設(shè)備訪問的混亂。各IT系統(tǒng)獨立管理，風(fēng)險分散在各系統(tǒng)中，各個擊破困難大，這種管理方式造成了業(yè)務(wù)管理和安全之間的失衡。核心服務(wù)器或設(shè)備的物理安全和臨機訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，但是對他們的網(wǎng)絡(luò)訪問缺少控制或欠缺控制力度，在帳號、密碼、認證、授權(quán)、審計等各方面缺乏有效的集中管理技術(shù)手段。目前，學(xué)校使用數(shù)量眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器主機來提供基礎(chǔ)網(wǎng)絡(luò)服務(wù)、運行關(guān)鍵業(yè)務(wù)、數(shù)據(jù)庫應(yīng)用、ERP和協(xié)同工作群件等服務(wù)。由于設(shè)備和服務(wù)器眾多，系統(tǒng)管理員壓力太大等因素，越權(quán)訪問、誤操作、濫用、惡意破壞等情況時有發(fā)生，這嚴重影響信息系統(tǒng)的運行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權(quán)限，闖入部門內(nèi)部網(wǎng)絡(luò)，造成不可估量的損失。如何提高系統(tǒng)運維管理水平，跟蹤服務(wù)器上用戶的操作行為，防止黑客的入侵和破壞，提供控制和審計依據(jù)，降低運維成本，滿足相關(guān)標準要求，越來越成為信息系統(tǒng)關(guān)心的問題，因此建議在學(xué)校二期安全建設(shè)有必要部署一套運維堡壘主機來實現(xiàn)賬戶的安全維護。部署設(shè)計：運維審計系統(tǒng)部署在安全管理域，通過交換機的訪問控制策略限定只能由堡壘主機內(nèi)控管理平臺直接訪問服務(wù)器的遠程維護端口。維護人員對網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器系統(tǒng)進行遠程維護時，首先以Web方式登錄運維審計系統(tǒng)，然后通過運維審計系統(tǒng)上展現(xiàn)的訪問資源列表直接訪問授權(quán)資源。主機防病毒技術(shù)學(xué)校目前網(wǎng)絡(luò)內(nèi)所有終端使用免費的殺毒軟件，基本滿足等級保護二級的要求，但是現(xiàn)在主要服務(wù)器并沒有部署專業(yè)的殺毒軟件，建議第一期部署殺毒軟件。部署設(shè)計軟件客戶端部署在內(nèi)外防服務(wù)器上面，通過管理區(qū)域防病毒升級服務(wù)器對病毒規(guī)則庫進行升級。應(yīng)用安全根據(jù)等級保護的要求，二級業(yè)務(wù)系統(tǒng)必須加密傳輸，因此需要部署SSLVPN技術(shù)實現(xiàn)應(yīng)用系統(tǒng)遠程訪問的加密，如果后期OA系統(tǒng)需要實現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSLVPN設(shè)備。部署設(shè)計：SSLVPN旁路部署于核心交換機上。詳細方案設(shè)計管理部分安全管理體系的作用是通過建立健全組織機構(gòu)、規(guī)章制度，以及通過人員安全管理、安全教育與培訓(xùn)和各項管理制度的有效執(zhí)行，來落實人員職責，確定行為規(guī)范，保證技術(shù)措施真正發(fā)揮效用，與技術(shù)體系共同保障安全策略的有效貫徹和落實。信息安全管理體系主要包括組織機構(gòu)、規(guī)章制度、人員安全、安全教育和培訓(xùn)等四個方面內(nèi)容。施體目標一戰(zhàn)略一礙略總體安全方針與安全策略總體安全方針與安全策略是指導(dǎo)用戶方所有信息安全工作的綱領(lǐng)性文件,是信息安全決策機構(gòu)對信息安全工作的決策和意圖的表述?？傮w安全方針與安全策略的作用在于統(tǒng)一對信息安全工作的認識，規(guī)定信息安全的基本架構(gòu)，明確信息安全的根本目標和原則。本次項目中深信服將協(xié)助用戶方確定安全管理體系的層次及建立方式，明確各層次在安全管理體系中的職責以及安全策略，建立具有高可操作性的考核體系，以加強安全策略及各項管理制度的可落實性。我方為用戶方設(shè)計的總體安全方針與安全策略將具備以下特性：安全策略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合用戶方實際的信息安全需求，能保障與促進信息化建設(shè)的順利進行,避免理想化與不可操作性?？傮w安全方針與安全策略中將明確闡述用戶方所有信息化建設(shè)項目在規(guī)劃設(shè)計、開發(fā)建設(shè)、運行維護和變更廢棄等各階段，應(yīng)遵循的總體原則和要求。安全策略在經(jīng)過用戶方信息安全決策機構(gòu)批準之后，將具備指導(dǎo)和規(guī)范信息安全工作的效力。安全策略中將規(guī)定其自身的時效性，當信息系統(tǒng)運行環(huán)境發(fā)生重大變化時，我方將協(xié)助用戶方及時對總體安全策略進行必要的調(diào)整，并將調(diào)整后的策略提交用戶方信息安全決策機構(gòu)批準。信息安全管理制度根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實施辦法，是具有可操作性，且必須得到有效推行和實施的制度。制定嚴格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對收發(fā)文進行登記。信息安全領(lǐng)導(dǎo)小組負責定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定，定期或不定期對安全管理制度進行評審和修訂，修訂不足及進行改進。安全管理機構(gòu)根據(jù)基本要求設(shè)置安全管理機構(gòu)的組織形式和運作方式，明確崗位職責；設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進行人員配備，配備專職安全員；成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機構(gòu)各個部門和崗位的職責、分工和技能要求。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；定期進行全面安全檢查，特別是系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等。人員安全管理人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。一般單位都有統(tǒng)一的人事管理部門負責人員管理，這里的人員安全管理主要指對關(guān)鍵崗位人員進行的以安全為核心的管理，例如對關(guān)鍵崗位的人員采取在錄用或上崗前進行全面、嚴格的安全審查和技能考核，與關(guān)鍵崗位人員簽署保密協(xié)議，對離崗人員撤銷系統(tǒng)帳戶和相關(guān)權(quán)限等措施。只有注重對安全管理人員的培養(yǎng)，提高其安全防范意識，才能做到安全有效的防范，因此需要對各類人員進行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。培訓(xùn)的內(nèi)容包括單位的信息安全方針、信息安全方面的基礎(chǔ)知識、安全技術(shù)、安全標準、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責任要求、法律責任和懲戒措施等。具體依據(jù)標準《基本要求》中人員安全管理，同時可以參照《信息系統(tǒng)安全管理要求》等。系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理的重點是與系統(tǒng)建設(shè)活動相關(guān)的過程管理，由于主要的建設(shè)活動是由服務(wù)方，如集成方、開發(fā)方、測評方、安全服務(wù)方等完成，運營使用單位人員的主要工作是對之進行管理，應(yīng)制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級備案、方案設(shè)計、產(chǎn)品采購使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務(wù)等活動的管理責任部門、具體的管理內(nèi)容和控制方法，并按照管理制度落實各項管理措施，完整保存相關(guān)的管理記錄和過程文檔。具體依據(jù)標準《基本要求》中系統(tǒng)建設(shè)管理。14.6.系統(tǒng)運維管理8、環(huán)境和資產(chǎn)安全管理制度環(huán)境包括計算機、網(wǎng)絡(luò)機房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，明確環(huán)境安全管理的責任部門或責任人，加強對人員出入、來訪人員的控制，對有關(guān)物理訪問、物品進出和環(huán)境安全等方面作出規(guī)定。對重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等措施。資產(chǎn)包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設(shè)備物資管理，而是從安全和信息系統(tǒng)角度對資產(chǎn)進行管理，將資產(chǎn)作為信息系統(tǒng)的組成部分，按其在信息系統(tǒng)中的作用進行管理。應(yīng)明確資產(chǎn)安全管理的責任部門或責任人，對資產(chǎn)進行分類、標識，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體依據(jù)標準《基本要求》中系統(tǒng)運維管理，同時可以參照《信息系統(tǒng)安全管理要求》等。2、設(shè)備和介質(zhì)安全管理制度明確配套設(shè)施、軟硬件設(shè)備管理、維護的責任部門或責任人，對信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護和維修等過程進行控制，對介質(zhì)的存放、使用、維護和銷毀等方面作出規(guī)定，加強對涉