等保二安全實(shí)施方案

宇億云信息F?EclrnidInformation安全實(shí)施方案等保二山東億云信息技術(shù)有限公司二零一四年四月【如果打印，則增加此空白頁，如果提交電子稿，刪除此頁?！空f明：本模板是根據(jù)公文來做的，正文字體為仿宋，如果是技術(shù)型文檔，可以改成宋體。模板并沒有太完整，沒涉及到表格和圖片等的問題。只適合基本包含了從封面、目錄以及正文標(biāo)題的一些東西。建議大家在沒有特殊要求的情形下使用，對(duì)于有特殊要求的，根據(jù)要求調(diào)億云倍島目錄山東省科學(xué)院信息化建設(shè)匯報(bào)材料 錯(cuò)誤!未定義書簽。一、 信息化建設(shè)需求 錯(cuò)誤!未定義書簽。TOC\o"1-5"\h\z發(fā)展現(xiàn)狀 1建設(shè)需求 1業(yè)務(wù)梳理 1二、 信息化建設(shè)規(guī)劃 錯(cuò)誤!未定義書簽。1.建設(shè)目標(biāo) 錯(cuò)誤!未定義書簽。2.建設(shè)原則 錯(cuò)誤!未定義書簽。隨時(shí)隨地，安全便捷 錯(cuò)誤!未定義書簽。規(guī)范流程，提高效率 錯(cuò)誤!未定義書簽。3)前沿技術(shù)，輔助辦公 錯(cuò)誤!未定義書簽。/引進(jìn)電子會(huì)議系統(tǒng)，實(shí)現(xiàn)現(xiàn)代化辦公。錯(cuò)誤!未定義書簽。/云盤，隨時(shí)隨地瀏覽文件 錯(cuò)誤!未定義書簽。/視頻會(huì)議系統(tǒng)，助力業(yè)務(wù)跨區(qū)域 錯(cuò)誤!未定義書簽。普遍推廣，全院參與 錯(cuò)誤!未定義書簽?？萍挤?wù)，服務(wù)公眾 錯(cuò)誤!未定義書簽。建設(shè)內(nèi)容 錯(cuò)誤!未定義書簽。平臺(tái)模型 錯(cuò)誤!未定義書簽。三、關(guān)鍵技術(shù)點(diǎn) 錯(cuò)誤!未定義書簽。大數(shù)據(jù) 錯(cuò)誤!未定義書簽。服務(wù)總線 錯(cuò)誤!未定義書簽。億云信島統(tǒng)一身份管理 錯(cuò)誤!未定義書簽。移動(dòng)技術(shù) 錯(cuò)誤!未定義書簽四、 信息化進(jìn)程 錯(cuò)誤!未定義書簽進(jìn)度安排 錯(cuò)誤!未定義書簽進(jìn)度保障 錯(cuò)誤!未定義書簽信息化工作體系建設(shè) 錯(cuò)誤!未定義書簽信息化制度體系建設(shè) 錯(cuò)誤!未定義書簽公共平臺(tái)項(xiàng)目組人員安排 錯(cuò)誤!未定義書簽五、 信息化安全建設(shè) 錯(cuò)誤!未定義書簽系統(tǒng)安全 錯(cuò)誤!未定義書簽CA認(rèn)證 錯(cuò)誤!未定義書簽。網(wǎng)絡(luò)安全 錯(cuò)誤!未定義書簽數(shù)據(jù)災(zāi)備 錯(cuò)誤!未定義書簽附件一 錯(cuò)誤!未定義書簽附件二 錯(cuò)誤!未定義書簽1、 調(diào)研目的 錯(cuò)誤!未定義書簽2、 調(diào)研的范圍 錯(cuò)誤!未定義書簽2.1、 調(diào)研的職能范圍 錯(cuò)誤!未定義書簽2.2、 調(diào)研的業(yè)務(wù)范圍 錯(cuò)誤!未定義書簽2.3、 調(diào)研的地點(diǎn)范圍 錯(cuò)誤!未定義書簽3、 調(diào)研的方式 錯(cuò)誤!未定義書簽附件三 錯(cuò)誤!未定義書簽等保要求安全實(shí)施方案一、 產(chǎn)品介紹發(fā)展現(xiàn)狀信息化是勢(shì)。建設(shè)需求山東省科學(xué)力。業(yè)務(wù)梳理通過初步了展。二、 物理安全物理位置的選擇機(jī)房和辦公場地具有防震、放風(fēng)和防雨等的能力。云計(jì)算機(jī)房符合國家機(jī)房建設(shè)標(biāo)準(zhǔn)物理訪問控制機(jī)房出入口有專人值守，控制、鑒別和記錄進(jìn)入的人員；進(jìn)入機(jī)房的來訪人員需要經(jīng)過申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范防盜竊和防破壞主要設(shè)備放置均在機(jī)房內(nèi)；設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；L1通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；L1對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫或檔案室中；主機(jī)房安裝防盜報(bào)警設(shè)施。如監(jiān)控器、門禁等；防雷擊機(jī)房建筑設(shè)置避雷裝置；機(jī)房設(shè)置交流電源地線。防火機(jī)房應(yīng)配置著滅火設(shè)備和火災(zāi)自動(dòng)報(bào)警系統(tǒng)。防水和防潮水管安裝，不穿過機(jī)房屋頂和活動(dòng)地板下；在機(jī)房窗戶、屋頂和墻壁采取了防止雨水滲透的措施；L1采取對(duì)應(yīng)的措施防止機(jī)房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。L1防靜電關(guān)鍵設(shè)備采用接地的方式來防止靜電的產(chǎn)生。溫濕度控制機(jī)房內(nèi)安裝了溫濕度監(jiān)測和設(shè)備并安裝溫濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、內(nèi)。濕度的變化在設(shè)備運(yùn)行所允許的范圍之9.電力供應(yīng)機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備；提供短期的備用電力供應(yīng)，并能夠滿足關(guān)鍵設(shè)備在斷電情況下的正常運(yùn)行。10.電磁防護(hù)電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。

三、網(wǎng)絡(luò)安全結(jié)構(gòu)安全a)關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b)接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要；繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管網(wǎng)段分配地址段。網(wǎng)段分配地址段。訪問控制在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級(jí)。按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶；限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。安全審計(jì)rv對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶

rv行為等進(jìn)行日志記錄；審計(jì)記錄包括事件的日期和時(shí)間、用戶、事件類型

事件是否成功及其他與審計(jì)相關(guān)的信息。邊界完整性檢查能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)FT能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)FT到外部網(wǎng)絡(luò)的行為進(jìn)行檢查。入侵防范在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊■IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。網(wǎng)絡(luò)設(shè)備防護(hù)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)唯一；身份鑒別信息具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；◎億云侑lif）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。網(wǎng)絡(luò)措施：FT網(wǎng)絡(luò)結(jié)構(gòu)：服務(wù)器采用10GE組網(wǎng)，每個(gè)刀片出2個(gè)10GEFT網(wǎng)口，兩網(wǎng)口綁定主備確保鏈路冗余可靠性。業(yè)務(wù)、管理平面分別通過兩網(wǎng)卡聚合確保鏈路冗余，存儲(chǔ)平面通過多路徑確保鏈路冗余。在接入交換機(jī)劃分VLAN，將管理、業(yè)務(wù)、存儲(chǔ)三個(gè)平面邏輯隔離，為簡化組網(wǎng)并提高組網(wǎng)可靠性，建議接入交換機(jī)采用堆疊方式。訪問控制：在網(wǎng)絡(luò)邊界部署防火墻，如華為統(tǒng)一網(wǎng)關(guān)等，將防火墻的功能開啟訪問控制功能并以區(qū)分網(wǎng)段的形式進(jìn)行控制，根據(jù)用戶和系統(tǒng)之間的訪問規(guī)則，采取TSM聯(lián)動(dòng)對(duì)用戶實(shí)施控制，并且控制用戶的數(shù)量。邊界完整性檢查：通過統(tǒng)一網(wǎng)關(guān)的用戶與認(rèn)證功能管理上網(wǎng)用戶和接入用戶。安全審計(jì)：總於億云侑烏通過統(tǒng)一網(wǎng)關(guān)中系統(tǒng)管理的信息中心，對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄，并定期導(dǎo)出數(shù)據(jù)形成報(bào)表。入侵防范：開啟統(tǒng)一網(wǎng)關(guān)的UTM的反病毒、入侵防御、web過濾、郵件過濾、FTP過濾、應(yīng)用控制等功能，對(duì)網(wǎng)絡(luò)邊界處進(jìn)行監(jiān)控，從而達(dá)到防止端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。網(wǎng)絡(luò)設(shè)備防護(hù)：對(duì)于網(wǎng)絡(luò)中交換機(jī)、路由器、防火墻設(shè)備的管理員登錄應(yīng)限制在某一臺(tái)機(jī)器上，并且網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)保證唯一，并且管理員的密碼應(yīng)設(shè)置為8位以上并保證有大小寫與特殊字符混用的方式。主機(jī)安全身份鑒別對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識(shí)具有不易被用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；莎當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。訪問控制啟用訪問控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問；實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。安全審計(jì)7_J審計(jì)范圍覆蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；7_J審計(jì)內(nèi)容包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；審計(jì)記錄包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。

入侵防御操作系統(tǒng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。惡意代碼防范安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫；支持防惡意代碼軟件的統(tǒng)一管理。資源控制a)通過設(shè)定終端接入方式、a)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度措施身份鑒別：對(duì)不同的用戶采用不同的用戶名和口令保證用戶名是唯一標(biāo)識(shí)，口令的復(fù)雜度要采用8位以上的大小寫與特殊字符混合的形式并做到定期更換口令。訪問控制：依據(jù)系統(tǒng)自帶的安全策略控制用戶對(duì)訪問，將不同的用戶分配不同的策略，并及時(shí)刪除多余的過期的用戶，禁止用戶賬號(hào)的共享。安全審計(jì)：記錄登錄到操作系統(tǒng)上的操作系統(tǒng)的用戶和數(shù)據(jù)庫用戶在主機(jī)上的用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用，同時(shí)記錄下對(duì)應(yīng)時(shí)間的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等。入侵防范：禁止在系統(tǒng)上安裝不必要的組件和應(yīng)用程序，并及時(shí)更新系統(tǒng)補(bǔ)丁。惡意代碼防范：在系統(tǒng)上安裝殺毒軟件，并定期升級(jí)病毒庫。資源控制：通過安全策略控制用戶對(duì)系統(tǒng)的操作資源并設(shè)置登錄終端的操作時(shí)間、并對(duì)終端的接入方式、網(wǎng)絡(luò)地址范圍等進(jìn)行限制。五、應(yīng)用安全身份鑒別a)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別；b)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；d)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。訪問控制提供訪問控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫表等客體的訪問；訪問控制的覆蓋范圍包括與資源訪問相關(guān)的主體、客體及它們之間的操作；由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限；授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。安全審計(jì)a)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；b)保證無法刪除、修改或覆蓋審計(jì)記錄;審計(jì)記錄的內(nèi)容至少包括事件日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等。通信完整性采用校驗(yàn)碼技術(shù)保證通信過程中數(shù)據(jù)的完整性通信保密性a)在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證;b)對(duì)通信過程中的敏感信息字段進(jìn)行加密。軟件容錯(cuò)a)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；b)在故障發(fā)生時(shí)，應(yīng)用系統(tǒng)能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?。資源控制a)當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方能夠自動(dòng)結(jié)束會(huì)話;b)能夠?qū)?yīng)用系統(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制;總於億云侑島C）能夠?qū)蝹€(gè)帳戶的多重并發(fā)會(huì)話進(jìn)行限制。措施身份鑒別：保證用用戶身份的唯一性，密碼復(fù)雜度要采用8位以上大小寫字符和特殊字符混合的方式進(jìn)行設(shè)置，并同過加密方式處理。設(shè)置系統(tǒng)密碼時(shí)，進(jìn)行密碼復(fù)雜度的校驗(yàn)。訪問控制：在操作系統(tǒng)的安全策略中對(duì)文件和數(shù)據(jù)表的訪問權(quán)限進(jìn)行控制使得不同的用戶有不同權(quán)限。安全審計(jì)：應(yīng)用