等保三級網(wǎng)絡安全建設技術方案

等保三級網(wǎng)絡安全建設技術方案

目錄TOC\o"1-4"\h\z\u16261項目建設背景 496151.1安全建設流程 5304051.2安全建設目標 660971.3安全建設依據(jù) 6212702安全風險與需求分析 7288562.1安全技術需求分析 7269952.1.1安全物理需求 727002.1.2安全計算需求 7176212.1.3安全邊界需求 9161082.1.4安全通信網(wǎng)絡需求 942912.2安全管理需求 10271673安全技術體系方案設計 119813.1方案設計框架 11199723.2安全技術體系設計 11203403.2.1物理安全設計 11310683.2.2通信網(wǎng)絡安全設計 1218032網(wǎng)絡結構安全 1215999網(wǎng)絡安全審計 1214686網(wǎng)絡設備防護 1223752通信完整性 1216101通信保密性 1323088網(wǎng)絡可信接入 1339293.2.3邊界安全設計 1314066邊界訪問控制 135723網(wǎng)絡邊界完整性檢測 1413108邊界入侵防范 1412891邊界安全審計 1524323邊界惡意代碼防范 1564353.2.4計算環(huán)境安全設計 1512071身份鑒別 1520960訪問控制 1626007系統(tǒng)安全審計 1630782備份與恢復 17211433.2.5安全管理中心設計 1822927系統(tǒng)管理 1823499審計管理 18174394安全管理體系設計 19247615安全建設 20251145.1SSLVPN 2042475.1.1完善的VPN網(wǎng)絡集中管理功能 2012015.1.2支持靈活的移動用戶接入策略 2090515.1.3集成強大的網(wǎng)絡附加功能 21105985.2一體化自動備份系統(tǒng) 21144315.2.1數(shù)據(jù)縮減技術 2147645.2.2可管理性 21284425.2.3資源橫向擴展 21219965.3網(wǎng)閘 22129965.3.1應用協(xié)議內容安全 2255735.3.2靈活的多網(wǎng)隔離 24142935.3.3完善的日志和審計 2423995.4數(shù)據(jù)庫審計系統(tǒng) 24252805.4.1全面系統(tǒng)管理能力 24197315.4.2全面有效減少核心信息資產的破壞和泄漏 25187865.5網(wǎng)頁防篡改系統(tǒng) 2516785.5.1基于內核驅動保護技術 26196985.5.2連續(xù)篡改攻擊保護 268895.5.3支持日志導出查詢 26項目建設背景依據(jù)實際項目情況描述。安全建設流程本次提出的“按需防御的安全體系”是依據(jù)國家信息安全等級保護建設制度，根據(jù)系統(tǒng)在不同階段的需求、業(yè)務特性及應用重點，采用等級化的安全體系設計方法，幫助構建一套覆蓋全面、重點突出、節(jié)約成本、持續(xù)運行的安全防御體系。根據(jù)需要保護的信息系統(tǒng)形成不同的安全措施進行保護。安全建設保護的精髓思想就是可以把業(yè)務系統(tǒng)、信息資產、安全邊界等進行“等級化”，分而治之，從而實現(xiàn)信息安全保護的“適度安全”思想。本次安全建設工作參考等級保護三級要求建設，根據(jù)用戶實際具體情況進行安全項目建設，整體的安全保障體系包括技術和管理兩大部分，其中技術部分可根據(jù)分為安全邊界、安全計算環(huán)境、安全通信網(wǎng)絡等幾個方面進行建設；而管理部分根據(jù)則可分為安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理等幾個方面。安全建設目標本期項目建設將完成以下目標：1、以業(yè)務系統(tǒng)現(xiàn)有基礎設施，參照等級保護三級系統(tǒng)基本要求，確保業(yè)務系統(tǒng)信息化建設符合相關要求。2、客戶需要建立安全管理組織機構。成立信息安全工作組，確定安全責任人，并制定相應的崗位責任制，確保信息安全工作順利實施。3、建立完善的安全技術防護體系。參照信息安全等級保護的要求，建立滿足相關安全技術防護體系。4、用戶需要建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護的要求，制定各項信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。安全建設依據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》《關于信息安全等級保護工作的實施意見》《計算機信息系統(tǒng)安全等級保護管理要求》網(wǎng)絡安全等級保護基本要求（GB/T22239-2019）網(wǎng)絡安全等級保護設計技術要求（GB/T25070-2019）網(wǎng)絡安全等級保護測評要求（GB/T28448-2019）網(wǎng)絡安全等級保護測評過程指南（GB/T28449-2018)信息系統(tǒng)安全等級保護測評過程指南(GB/T28449-2018）計算機信息系統(tǒng)安全保護等級劃分準則信息系統(tǒng)安全等級保護定級指南信息系統(tǒng)安全等級保護實施指南信息系統(tǒng)通用安全技術要求信息系統(tǒng)安全管理要求信息系統(tǒng)安全工程管理要求網(wǎng)絡基礎安全技術要求信息系統(tǒng)安全管理測評信息安全風險評估規(guī)范信息安全事件管理指南安全風險與需求分析安全技術需求分析安全物理需求物理安全風險主要是指網(wǎng)絡周邊的環(huán)境和物理特性引起的網(wǎng)絡設備和線路的不可使用，從而會造成網(wǎng)絡系統(tǒng)的不可使用，甚至導致整個網(wǎng)絡的癱瘓。它是整個網(wǎng)絡系統(tǒng)安全的前提和基礎，只有保證了物理層的可用性，才能使得整個網(wǎng)絡的可用性，進而提高整個網(wǎng)絡的抗破壞力。例如：機房缺乏控制，人員隨意出入帶來的風險；網(wǎng)絡設備被盜、被毀壞；線路老化或是有意、無意的破壞線路；設備在非預測情況下發(fā)生故障、停電等；自然災害如地震、水災、火災、雷擊等；電磁干擾等。安全計算需求計算環(huán)境的安全主要指主機以及應用層面的安全風險與需求分析，包括：身份鑒別、訪問控制、系統(tǒng)審計、入侵防范、惡意代碼防范、軟件容錯、數(shù)據(jù)完整性與保密性、備份與恢復、資源合理控制、剩余信息保護、抗抵賴等方面。身份鑒別主機操作系統(tǒng)登錄、數(shù)據(jù)庫登陸以及應用系統(tǒng)登錄均必須進行身份驗證。過于簡單的標識符和口令容易被窮舉攻擊破解。因此必須提高用戶名/口令的復雜度，且防止被網(wǎng)絡竊聽；同時應考慮失敗處理機制。訪問控制訪問控制主要為了保證用戶對主機資源和應用系統(tǒng)資源的合法使用。用戶必須擁有合法的用戶標識符，在制定好的訪問控制策略下進行操作，杜絕越權非法操作。系統(tǒng)審計對于登陸主機后的操作行為則需要進行主機審計。對于服務器和重要主機需要進行嚴格的行為控制，對用戶的行為、使用的命令等進行必要的記錄審計，便于日后的分析、調查、取證，規(guī)范主機使用行為。惡意代碼防范病毒、蠕蟲等惡意代碼是對計算環(huán)境造成危害最大的隱患，嚴重影響正常業(yè)務開展。因此必須部署惡意代碼防范軟件進行防御。同時保持惡意代碼庫的及時更新。數(shù)據(jù)安全主要指數(shù)據(jù)的完整性與保密性。數(shù)據(jù)是信息資產的直接體現(xiàn)。所有的措施最終無不是為了業(yè)務數(shù)據(jù)的安全。因此數(shù)據(jù)的備份十分重要，是必須考慮的問題。應采取措施保證數(shù)據(jù)在傳輸過程中的完整性以及保密性；保護鑒別信息的保密性備份與恢復數(shù)據(jù)是信息資產的直接體現(xiàn)。所有的措施最終無不是為了業(yè)務數(shù)據(jù)的安全。因此數(shù)據(jù)的備份十分重要，是必須考慮的問題。對于關鍵數(shù)據(jù)應建立數(shù)據(jù)的備份機制，而對于網(wǎng)絡的關鍵設備、線路均需進行冗余配置，備份與恢復是應對突發(fā)事件的必要措施。安全邊界需求邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊界入侵防范以及邊界安全審計等方面。邊界訪問控制對于各類邊界最基本的安全需求就是訪問控制，對進出安全區(qū)域邊界的數(shù)據(jù)信息進行控制，阻止非授權及越權訪問。邊界完整性檢測邊界的完整性如被破壞則所有控制規(guī)則將失去效力，因此需要對內部網(wǎng)絡中出現(xiàn)的內部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查，維護邊界完整性。邊界入侵防范各類網(wǎng)絡攻擊行為既可能來自于公認的互聯(lián)網(wǎng)等外部網(wǎng)絡，在內部也同樣存在。通過安全措施，要實現(xiàn)主動阻斷針對信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等。邊界安全審計在安全區(qū)域邊界需要建立必要的審計機制，對進出邊界的各類網(wǎng)絡行為進行記錄與審計分析，可以和主機審計、應用審計以及網(wǎng)絡審計形成多層次的審計系統(tǒng)。并可通過安全管理中心集中管理。安全通信網(wǎng)絡需求通信網(wǎng)絡的安全主要包括：網(wǎng)絡結構安全、網(wǎng)絡安全審計、網(wǎng)絡設備防護、通信完整性與保密性等方面。網(wǎng)絡結構網(wǎng)絡結構需要具備一定的冗余性；帶寬能夠滿足業(yè)務高峰時期數(shù)據(jù)交換需求；并合理的劃分網(wǎng)段和VLAN。網(wǎng)絡安全審計進行基于網(wǎng)絡行為的審計，對網(wǎng)絡行為進行分析，以利于規(guī)范正常的網(wǎng)絡應用行為。網(wǎng)絡設備防護由于信息系統(tǒng)網(wǎng)絡中將會使用大量的網(wǎng)絡設備，如交換機、防火墻、入侵檢測設備等。這些設備的自身安全性也會直接關系到涉密網(wǎng)和各種網(wǎng)絡應用的正常運行。需要對這類網(wǎng)絡設備進行防護。通信完整性與保密性因此，在信息傳輸和存儲過程中，必須要確保信息內容在發(fā)送、接收及保存的一致性；數(shù)據(jù)在傳輸過程中，為能夠抵御不良企圖者采取的各種攻擊，防止遭到竊取，應采用加密措施保證數(shù)據(jù)的機密性。安全管理需求“三分技術、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術管理措施外，安全管理是保障安全技術手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系是作為一個安全體系來講，不可或缺的重要組成部分。安全管理體系依賴于國家相關標準、行業(yè)規(guī)范、國際安全標準等規(guī)范和標準來指導，形成可操作的體系。主要包括：安全管理制度安全管理機構人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理根據(jù)網(wǎng)絡安全的要求在上述方面建立一系列的管理制度與操作規(guī)范，并明確執(zhí)行。安全技術體系方案設計方案設計框架本方案將嚴格根據(jù)技術與管理要求進行設計。首先應根據(jù)具體的基本要求設計系統(tǒng)的保護環(huán)境模型，參考《信息系統(tǒng)等級保護安全設計技術要求》，保護建設按照安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡和安全管理中心進行設計，內容涵蓋基本要求的5個方面。同時結合管理要求，形成如下圖所示的保護環(huán)境模型：安全技術體系設計物理安全設計物理環(huán)境安全策略的目的是保護網(wǎng)絡中計算機網(wǎng)絡通信有一個良好的電磁兼容工作環(huán)境，并防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發(fā)生?？偨Y：因本次項目主要涉及網(wǎng)絡及及信息系統(tǒng)的建設，不涉及物理環(huán)境部分，且物理環(huán)境滿足相關要求，故不再對物理環(huán)境再進行安全分析設計。通信網(wǎng)絡安全設計網(wǎng)絡結構安全對于信息系統(tǒng)網(wǎng)絡，選用主要網(wǎng)絡設備時需要考慮業(yè)務處理能力的高峰數(shù)據(jù)流量，要考慮冗余空間滿足業(yè)務高峰期需要，將核心鏈路及設備做冗余備份；根據(jù)不同區(qū)域所涉及信息的重要程度等因素，劃分不同的網(wǎng)段或VLAN。網(wǎng)絡安全審計網(wǎng)絡安全審計系統(tǒng)主要用于監(jiān)視并記錄網(wǎng)絡中的各類操作，偵察系統(tǒng)中存在的現(xiàn)有和潛在的威脅，實時地綜合分析出網(wǎng)絡中發(fā)生的安全事件，包括各種外部事件和內部事件。網(wǎng)絡設備防護為提高網(wǎng)絡設備的自身安全性，保障各種網(wǎng)絡應用的正常運行，對網(wǎng)絡設備需要進行一系列的加固措施，包括：對登錄網(wǎng)絡設備的用戶進行身份鑒別，用戶名必須唯一；身份鑒別信息具有不易被冒用的特點，口令設置需3種以上字符、長度不少于8位，并定期更換；具有登錄失敗處理功能，失敗后采取結束會話、限制非法登錄次數(shù)和當網(wǎng)絡登錄連接超時自動退出等措施；通信完整性信息的完整性設計包括信息傳輸?shù)耐暾孕ｒ炓约靶畔⒋鎯Φ耐暾孕ｒ灐τ谛畔鬏敽痛鎯Φ耐暾孕ｒ灴梢圆捎玫募夹g包括校驗碼技術、消息鑒別碼、密碼校驗函數(shù)、散列函數(shù)、數(shù)字簽名等。通信保密性應用層的通信保密性主要由應用系統(tǒng)完成。在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證；并對通信過程中的敏感信息字段進行加密。對于信息傳輸?shù)耐ㄐ疟Ｃ苄詰蓚鬏敿用芟到y(tǒng)完成。網(wǎng)絡可信接入為保證網(wǎng)絡邊界的完整性，不僅需要進行非法外聯(lián)行為，同時對非法接入進行監(jiān)控與阻斷，形成網(wǎng)絡可信接入，共同維護邊界完整性。建議通過部署終端安全管理系統(tǒng)實現(xiàn)這一目標。運用用戶信息和主機信息匹配方式實時發(fā)現(xiàn)接入主機的合法性，及時阻止IP地址的篡改和盜用行為。共同保證信息系統(tǒng)網(wǎng)絡的邊界完整性?？偨Y：因本次項目項目中，相關網(wǎng)絡結構滿足對業(yè)務高峰期的可靠性要求，關鍵鏈路及設備已經(jīng)實現(xiàn)冗余設計，網(wǎng)絡已經(jīng)劃分不同的網(wǎng)段或VLAN，但是出于針對通信安全的考慮，需要通過利用VPN訪問云平臺綜合業(yè)務網(wǎng)的相關系統(tǒng)，使用VPN對整個通信過程進行加密保護，通過多種VPN功能可以實現(xiàn)企業(yè)總部與各個分支、合作伙伴、移動辦公人員之間的遠程接入等多種網(wǎng)絡互聯(lián)需求，同時對這些遠程網(wǎng)絡中傳輸?shù)臄?shù)據(jù)提供私密性、完整性等安全防護手段。避免通信信息泄漏及劫持的風險。邊界安全設計邊界訪問控制通過對信息系統(tǒng)網(wǎng)絡的邊界風險與需求分析，在網(wǎng)絡層進行訪問控制需部署防火墻產品，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴格的安全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權訪問，防止各類非法攻擊行為。同時可以和內網(wǎng)安全管理系統(tǒng)、網(wǎng)絡入侵檢測系統(tǒng)等進行安全聯(lián)動，為網(wǎng)絡創(chuàng)造全面縱深的安全防御體系。實現(xiàn)效果：網(wǎng)絡安全的基礎屏障：通過防火墻策略，只有經(jīng)過精心選擇的應用協(xié)議才能通過防火墻，所以網(wǎng)絡環(huán)境變得更安全。防同時可以保護網(wǎng)絡免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。強化網(wǎng)絡安全策略通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網(wǎng)絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。防止內部信息的外泄通過利用防火墻對內部網(wǎng)絡的劃分，可實現(xiàn)內部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡安全問題對全局網(wǎng)絡造成的影響。精確流量管理通過部署防火墻設備，不僅可以實現(xiàn)精準訪問控制與邊界隔離防護，還能實現(xiàn)阻止由于病毒或者P2P軟件引起的異常流量、進行精確的流量控制等。對各級節(jié)點安全域實現(xiàn)全面的邊界防護，嚴格控制節(jié)點之間的網(wǎng)絡數(shù)據(jù)流。網(wǎng)絡邊界完整性檢測邊界完整性檢查核心是要對內部網(wǎng)絡中出現(xiàn)的內部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查，維護網(wǎng)絡邊界完整性。邊界入侵防范可通過將WEB應用防護系統(tǒng)串接在防火墻后面，在防火墻進行訪問控制，保證了訪問的合法性之后，WEB應用防護系統(tǒng)動態(tài)的進行入侵行為的保護，對訪問狀態(tài)進行檢測、對通信協(xié)議和應用協(xié)議進行檢測、對內容進行深度的檢測。阻斷來自內部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。邊界安全審計各安全區(qū)域邊界已經(jīng)部署了相應的安全設備負責進行區(qū)域邊界的安全。對于流經(jīng)各主要邊界（重要服務器區(qū)域、外部連接邊界）需要設置必要的審計機制，進行數(shù)據(jù)監(jiān)視并記錄各類操作，通過審計分析能夠發(fā)現(xiàn)跨區(qū)域的安全威脅，實時地綜合分析出網(wǎng)絡中發(fā)生的安全事件。邊界惡意代碼防范可通過在網(wǎng)絡邊界部署防病毒網(wǎng)關，并在核心業(yè)務區(qū)域網(wǎng)絡邊界部署UTM網(wǎng)關，開啟防病毒網(wǎng)關功能。阻止病毒通過網(wǎng)絡的快速擴散，將經(jīng)網(wǎng)絡傳播的病毒阻擋在外，可以有效防止病毒從其他區(qū)域傳播到內部其他安全域中?？偨Y：在本次項目中，參考等級保護相關建設指南，采用網(wǎng)閘設備進行相關系統(tǒng)的安全隔離，通過內容檢查、過濾、協(xié)議分析、病毒掃描等功能，對于Synflood、CC攻擊、HTTPGetFlood、DnsQueryFlood等各種DDoS攻擊均可徹底阻擋。同時，操作系統(tǒng)固化于內外網(wǎng)主機系統(tǒng)的硬件中，不能被隨意修改，同時支持包過濾檢測技術，支持通過源地址、目的地址、流經(jīng)的物理端口、協(xié)議類型等多種元素設定過濾規(guī)則。通過對安全策略的設定，使得安全隔離與信息交換系統(tǒng)直接在網(wǎng)絡層就能拒絕部分非法連接的訪問。計算環(huán)境安全設計身份鑒別身份鑒別可分為主機身份鑒別和應用身份鑒別兩個方面：主機身份鑒別：為提高主機系統(tǒng)安全性，保障各種應用的正常運行，對主機系統(tǒng)需要進行一系列的加固措施，包括：對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別，且保證用戶名的唯一性。根據(jù)基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長度不少于8位并定期更換；應用身份鑒別：為提高應用系統(tǒng)系統(tǒng)安全性應用系統(tǒng)需要進行一系列的加固措施，對于信息系統(tǒng)，可要求對用戶進行兩種或兩種以上組合的鑒別技術，因此可采用雙因素認證（USBkey+密碼）或者構建PKI體系，采用CA證書的方式進行身份鑒別。通過部署運維審計實現(xiàn)用戶身份鑒別、密碼長度等設置。訪問控制由此主要控制的是對應用系統(tǒng)的文件、數(shù)據(jù)庫等資源的訪問，避免越權非法使用。采用的措施主要包括：通過賬號管理嚴格限制默認帳戶的訪問權限，重命名默認帳戶，修改默認口令；及時刪除多余的、過期的帳戶，避免共享帳戶的存在。系統(tǒng)安全審計系統(tǒng)審計包含主機審計和應用審計兩個層面：主機審計：啟用主機審計功能，或部署主機審計系統(tǒng)，實現(xiàn)對主機監(jiān)控、審計和系統(tǒng)管理等功能。監(jiān)控功能包括服務監(jiān)控、進程監(jiān)控、硬件操作監(jiān)控、文件系統(tǒng)監(jiān)控、打印機監(jiān)控、非法外聯(lián)監(jiān)控、計算機用戶賬號監(jiān)控等。數(shù)據(jù)庫審計數(shù)據(jù)庫審計是針對業(yè)務環(huán)境下的網(wǎng)絡操作行為進行細粒度審計的合規(guī)性管理系統(tǒng)。它通過對被授權人員和系統(tǒng)的網(wǎng)絡行為進行解析、分析、記錄、匯報，以幫助用戶事前規(guī)劃預防、事中實時監(jiān)視、違規(guī)行為響應、事后合規(guī)報告、事故追蹤溯源，加強內外部網(wǎng)絡行為監(jiān)管、促進核心資產（數(shù)據(jù)庫、服務器、網(wǎng)絡設備等）的正常運營。備份與恢復備份與恢復主要包含兩方面內容，首先是指數(shù)據(jù)備份與恢復，另外一方面是關鍵網(wǎng)絡設備、線路以及服務器等硬件設備的冗余?？偨Y：在本次項目中，參考等級保護相關建設指南，采用一體化自動備份系統(tǒng)，支持對Linux、Unix和Windows平臺下各種文件系統(tǒng)的離線和在線備份及系統(tǒng)備份，支持完全、增量、差異備份類型，能夠自主地設定備份策略，在數(shù)據(jù)出錯時可以將數(shù)據(jù)恢復到原位置或指定位置。為保證備份的高效性和靈活性，文件備份提供快速備份、包含過濾、任務并發(fā)、NASNDMP協(xié)議備份、斷點續(xù)備、永久增量等技術功能?？焖賯浞荩嚎焖賯浞輽C制會省去向數(shù)據(jù)庫中做記錄的過程，特別是對于海量文件的備份任務，使用快速備份功能，可以縮短備份窗口，提高備份效率。在文件備份的環(huán)境下會存在眾多文件格式及不同命名規(guī)則的資料存放在一處的情況，對此，提供了包含和過濾功能，可以自主地通過文件的命名規(guī)則匹配、文件的擴展名匹配、文件夾的命名規(guī)則匹配等過濾和包含功能組合達到目標篩選結果，有效的避免將無需保護或無用的數(shù)據(jù)備份，以便提高備份的效率。同時份支持Windows、Linux、Unix平臺下Oracle數(shù)據(jù)庫的備份恢復，支持單機及RAC環(huán)境的備份。在備份類型方面支持完全、增量和差異多種類型。在備份功能方面支持多種備份方式、永久增量等功能。同時部署數(shù)據(jù)庫審計系統(tǒng)，支持對常見關系型數(shù)據(jù)庫、國產數(shù)據(jù)庫、大數(shù)據(jù)架構數(shù)據(jù)庫，能夠滿足不同用戶、不同發(fā)展階段情況下的數(shù)據(jù)庫審計需求。支持常用的運維協(xié)議及文件傳輸協(xié)議，能夠全程記錄用戶在服務器上的各種操作，如telnet、SSH等，同時支持HTTP、HTTPS、POP3、SMTP、Netbios的審計，能夠記錄網(wǎng)頁URL、內容、發(fā)件人、收件人、郵件內容、網(wǎng)絡鄰居的各種操作等信息。能夠實現(xiàn)對“用戶網(wǎng)絡環(huán)境中出現(xiàn)的特定賬號或特定賬號執(zhí)行某種操作后”的場景進行賬號跟蹤，提供對后繼會話和事件的審計。這樣，管理員能夠對出現(xiàn)在網(wǎng)絡中的特權賬號，比如root、DBA等進行重點的監(jiān)控，特別是哪些本不應出現(xiàn)在網(wǎng)絡上的特權賬號突然出現(xiàn)的事件。部署網(wǎng)頁防篡改系統(tǒng)，專門針對網(wǎng)站篡改攻擊進行安全防護，系統(tǒng)主要功能是通過文件底層驅動技術對Web站點目錄提供全方位的保護，防止黑客、病毒等對目錄中的網(wǎng)頁、電子文檔、圖片、數(shù)據(jù)庫等任何類型的文件進行非法篡改和破壞。網(wǎng)頁防篡改系統(tǒng)保護網(wǎng)站安全運行，維護政府和企業(yè)形象，保障互聯(lián)網(wǎng)業(yè)務的正常運營，徹底解決了網(wǎng)站被非法修改的問題。安全管理中心設計建立安全管理中心，幫助管理人員實施好安全措施的重要保障，是實現(xiàn)業(yè)務穩(wěn)定運行、長治久安的基礎。通過安全管理中心的建設，真正實現(xiàn)安全技術層面和管理層面的結合，全面提升用戶網(wǎng)絡的信息安全保障能力。系統(tǒng)管理通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括：用戶身份管理：統(tǒng)一管理系統(tǒng)用戶身份，按照業(yè)務上分工的不同，合理地把相關人員劃分為不同的類別或者組，以及不同的角色對模塊的訪問權限。權限設置可按角色劃分，角色分為普通用戶、系統(tǒng)管理員、安全管理員、審計管理員等。審計管理通過安全審計員對分布在系統(tǒng)各個組成部分的安全審計機制進行集中管理，對各類審計記錄進行存儲、管理和查詢等；對安全審計員進行嚴格的身份鑒別，并只允許其通過特定的命令或界面進行安全審計操作?？偨Y：根據(jù)具體網(wǎng)絡情況，針對邊界安全層面，已經(jīng)有相關安全技術及安全設備進行安全防護，參考等級保護相關建設指南，在本次項目中，不再對其進行安全建設。安全管理體系設計安全體系管理層面設計主要是參考《信息系統(tǒng)安全等級保護基本要求》中的管理要求而設計。分別從以下方面進行設計：安全管理制度根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個方面所應遵守的原則方法和指導性策略引出的具體管理規(guī)定、管理辦法和實施辦法，是具有可操作性，且必須得到有效推行和實施的制度。制定嚴格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對收發(fā)文進行登記。信息安全領導小組負責定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定，定期或不定期對安全管理制度進行評審和修訂，修訂不足及進行改進。安全管理機構設置安全管理崗位，設立系統(tǒng)管理員、網(wǎng)絡管理員、安全管理員等崗位，根據(jù)要求進行人員配備，配備專職安全員；成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權；制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。人員安全管理根據(jù)基本要求制定人員錄用，離崗、考核、培訓幾個方面的規(guī)定，并嚴格執(zhí)行；規(guī)定外部人員訪問流程，并嚴格執(zhí)行。系統(tǒng)建設管理根據(jù)基本要求制定系統(tǒng)建設管理制度，包括：系統(tǒng)定級、安全方案設計、產品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實施、測試驗收、系統(tǒng)交付、系統(tǒng)備案、等級評測、安全服務商選擇等方面。從工程實施的前、中、后三個方面，從初始定級設計到驗收評測完整的工程周期角度進行系統(tǒng)建設管理。安全建設SSLVPN完善的VPN網(wǎng)絡集中管理功能利用基于互聯(lián)網(wǎng)的VPN技術構建企業(yè)基礎網(wǎng)絡設施，低成本、高效率是其天然的優(yōu)勢，但與此相伴的則是安全性和可管理性的潛在風險。尤其是對于分支機構、營業(yè)網(wǎng)點遍布全國的大型企業(yè)來講，其業(yè)務網(wǎng)絡系統(tǒng)具有分布地域廣泛、接入點多、網(wǎng)絡結構復雜等特點。如何確保企業(yè)內部網(wǎng)絡的安全，有效地管理、維護遍布企業(yè)各個結點的VPN設備，保證網(wǎng)絡的穩(wěn)定運行，是VPN產品必須解決的問題。本次采購的加密機在綜合了大量的用戶需求后，逐步形成了“統(tǒng)一認證、集中監(jiān)控、分級管理”的VPN網(wǎng)絡管理方案。并成功運用于許多特大型企業(yè)的VPN建設中。支持靈活的移動用戶接入策略VPN技術在遠程移動辦公領域的應用越來越廣泛，因此支持安全靈活的移動用戶接入策略已經(jīng)成為VPN產品競爭的焦點。加密機可以配合SSLVPN功能模塊，支持豐富的移動用戶接入策略，為各種需求的用戶提供了完善的解決方案。支持基于用戶＋口令的認證機制；支持基于數(shù)字證書的認證機制；支持基于證書＋口令的雙因子認證機制；支持RADIUS/TARCAS/LDAP/AD等用戶認證協(xié)議；支持USBKEY、動態(tài)口令卡等強身份認證機制；支持基于服務的移動用戶的訪問授權；支持基于時間的移動用戶訪問控制；支持移動用戶的硬件特征碼綁定機制；客戶端版本支持中英文自動切換。集成強大的網(wǎng)絡附加功能本次加密機能夠為用戶組網(wǎng)提供強大的網(wǎng)絡附加功能，完全可以作為獨立的相關網(wǎng)絡設備進行配置使用，其主要功能如下：基于TOS安全操作系統(tǒng)的高可擴展性，可輕松的升級成集IPS、防病毒、內容過濾、反垃圾郵件等功能于一體的安全網(wǎng)關；集成強大的網(wǎng)絡附加功能，支持交換、靜態(tài)/動態(tài)路由、VLAN、帶寬管理、DNS代理、DHCP服務器、ARP代理、組播協(xié)議等。一體化自動備份系統(tǒng)數(shù)據(jù)縮減技術一體化自動備份系統(tǒng)支持重復數(shù)據(jù)刪除以及數(shù)據(jù)壓縮技術，以達到使用盡量小的空間存儲更多的數(shù)據(jù)備份過程中存儲數(shù)據(jù)時，按照自定義塊級別去重粒度進行重刪；同時支持多種壓縮算法，對數(shù)據(jù)可以進行不同程度的壓縮?？晒芾硇砸惑w化自動備份系統(tǒng)支持將需要備份的服務器劃分到不同的組下（即主機組），將存儲空間進行邏輯劃分以便存儲不同類型屬性的數(shù)據(jù)，能靈活的設置備份任務、備份策略。支持自定義修改數(shù)據(jù)庫、應用備份授權賬戶密碼，滿足等保、法規(guī)要求；支持將指定主機組、存儲空間、備份內容授權給特定用戶，同時針對存儲空間支持配額管理，滿足多租戶、備份數(shù)據(jù)隔離等場景需求。這些完善的管理功能可以幫助您將數(shù)據(jù)和系統(tǒng)管理工作條理化，降低維護成本，保障了備份系統(tǒng)的安全性。資源橫向擴展一體化自動備份系統(tǒng)底層存儲介質采用分布式存儲架構，實現(xiàn)橫向擴展，滿足未來快速增長的海量數(shù)據(jù)備份需求。讀寫分流：一體化自動備份系統(tǒng)的介質服務模塊提供客戶端與服務端之間備份恢復數(shù)據(jù)流讀寫操作管理，它可與主控服務模塊統(tǒng)一部署，也可單獨部署在不同的服務器，承擔不同備份源的數(shù)據(jù)傳輸、存儲、管理。高并發(fā)性：一體化自動備份系統(tǒng)每個介質服務器分別承擔不同的傳輸任務，支持系統(tǒng)自動選擇當前災備系統(tǒng)管理下的最優(yōu)存儲介質服務器，同時執(zhí)行備份任務，有效提高災備系統(tǒng)的備份速率、性能，達到負載均衡、高并發(fā)收益。備份一體機提供強大、全面的備份功能，可實現(xiàn)異構平臺下的小型機、服務器及終端PC結構型與非結構型數(shù)據(jù)的全方位、精細度數(shù)據(jù)保護；同時兼容各品牌、版本數(shù)據(jù)庫及操作系統(tǒng)，可全面應對用戶不斷變化的IT環(huán)境，為用戶提供一站式服務。系統(tǒng)平臺使用簡易：備份系統(tǒng)安裝時部署簡便；提供Web管理界面?zhèn)浞菁泄芾砗筒呗栽O置，過程全自動；平臺功能界面直觀，操作簡單，操作人員可輕松掌握。備份數(shù)據(jù)安全無憂：備份的數(shù)據(jù)副本進行實時加密，能夠確保數(shù)據(jù)副本傳輸和存儲的安全，用戶備份數(shù)據(jù)安全無憂。數(shù)據(jù)級災難應急恢復：提供多種數(shù)據(jù)恢復機制，業(yè)務數(shù)據(jù)可恢復到已備份任意時間點的狀態(tài)。精細化保護：即使發(fā)生重大災難導致本地機房整體摧毀，TMB也能從異地災備中心進行數(shù)據(jù)恢復?？商峁┒喾N模式的數(shù)據(jù)應急恢復能力。網(wǎng)閘應用協(xié)議內容安全網(wǎng)閘根據(jù)不同的應用需求，量身定制多個功能模塊，滿足用戶的不同應用需求，主要包括：文件交換模塊：實現(xiàn)不同安全等級網(wǎng)絡間文件的安全交換，支持NFS，Smbfs、SAMBA等常用文件系統(tǒng)，支持更新傳輸、改名傳輸、傳輸后刪除等多種方式，文件傳輸過程中，支持強制性的文件類型、文件內容（黑、白名單）等檢查。數(shù)據(jù)庫傳輸模塊（訪問）：在內外網(wǎng)隔離環(huán)境下實現(xiàn)對Oracle、Sybase、SQLserver、DB2等多種數(shù)據(jù)庫系統(tǒng)的安全訪問和同步，支持TNS協(xié)議、支持授權用戶安全。郵件傳輸模塊：在內外網(wǎng)隔離環(huán)境下實現(xiàn)內網(wǎng)用戶安全訪問外網(wǎng)郵件服務器，支持電子郵件地址控制，支持郵件主題過濾、內容過濾、附件過濾。安全瀏覽模塊：在內外網(wǎng)隔離環(huán)境下保證內網(wǎng)用戶安全瀏覽外網(wǎng)資源，支持本級認證、Radius、LDAP認證，支持URL過濾、ActiveX、Cookie、JavaApplet等惡意代碼過濾。FTP訪問模塊：在內外網(wǎng)隔離環(huán)境下實現(xiàn)安全的FTP訪問，支持動態(tài)建立數(shù)據(jù)通道，支持用戶控制、命令控制、文件類型控制等細粒度訪問控制。TCP/UDP訪問模塊：在內外網(wǎng)隔離環(huán)境下特定TCP、UDP協(xié)議的數(shù)據(jù)交換。其他模塊：用戶定制的專用應用模塊。其它功能說明：支持的應用協(xié)議有HTTPS、HTTP、FTP、SMTP、POP3、TNS、DNS、Telnet、SAMBA、NFS、IMAP、定制TCP和UDP、SNMP、SSH、RTSP、MMS、H.323、LDAP協(xié)議、IRC等協(xié)議；支持登錄防爆破，登錄密碼超出設定次數(shù)，系統(tǒng)自動鎖定。支持用戶訪問控制，管理主機與網(wǎng)閘間通過證書認證和用戶密碼才可登錄，其它應用中支持用戶統(tǒng)一身份認證，保證登錄系統(tǒng)的用戶是合法的。支持IP/MAC綁定功能，防止非授權管理及其登錄系統(tǒng)。完善的日志審計功能。日志支持遠程和本地管理，支持標準的Syslog的接入；不同的功能模塊根據(jù)各自的需求特點，在應用層實現(xiàn)了功能強大的過濾機制，通過對應用層內容的過濾和檢測，進一步保障數(shù)據(jù)的安全。這些包括：關鍵字檢測、黑白名單過濾、文件類型檢驗、用戶名/口令校驗、數(shù)據(jù)數(shù)字簽名、身份認證、控件過濾、腳本過濾、URL過濾、郵件屬性過濾等等。系統(tǒng)還可以根據(jù)用戶的安全需要進行二次開發(fā)，對用戶數(shù)據(jù)進行深度安全檢測。靈活的多網(wǎng)隔離網(wǎng)閘在支持兩網(wǎng)隔離的同時，為了滿足多個相同安全級別的外聯(lián)網(wǎng)絡要與可信網(wǎng)絡隔離的需求，進一步支持多網(wǎng)接入隔離，即可以同時接入多個外聯(lián)網(wǎng)絡，比如交警網(wǎng)絡和多家銀行網(wǎng)絡同時互聯(lián)，并且每個主機系統(tǒng)的網(wǎng)絡接口之間在系統(tǒng)內部固化實現(xiàn)無法互訪，具有更大的網(wǎng)絡適用性。完善的日志和審計完善的日志和審計系統(tǒng)是一個具有完整安全體系的安全產品中不可或缺的部分。網(wǎng)閘提供了強大的日志和審計功能：所有的系統(tǒng)事件都有相關的日志記錄。日志分為多個功能分組，如系統(tǒng)日志、管理日志、各功能模塊日志、攻擊日志等等，日志格式支持WebTrends格式?；镜娜罩緦徲嫻δ芸梢栽谙到y(tǒng)上完成，另外復雜功能也可以通過獨立的日志服務器來完成。日志的審計功能包括對隔離和信息交換系統(tǒng)事件和網(wǎng)絡事件的統(tǒng)計、查詢、分析等。數(shù)據(jù)庫審計系統(tǒng)全面系統(tǒng)管理能力數(shù)據(jù)庫審計系統(tǒng)的管理控制中心提供了集中的管理控制界面，審計員通過管理控制臺就能管理和綜合分析所有審計引擎的審計信息和狀態(tài)信息，并形成審計報表。提供CPU、內存、磁盤狀態(tài)、網(wǎng)口等運行信息，管理員可以很輕松