信息系統(tǒng)網絡安全整改方案

信息系統(tǒng) 31.1項目目標 31.2項目范圍 31.3信息系統(tǒng)安全保護等級 31.4等級保護建設依據 3 52.1網絡現狀描述 52.2安全現狀 52.3安全定級情況 6 73.1網絡安全風險 73.2主機安全風險 73.3應用安全風險 73.4數據安全和備份恢復風險 8 84.1等級差距分析服務 84.2整改加固服務 94.3協助測評服務 94.4整改方案思路 9 5.1定期安全巡檢 5.2定期安全檢查 5.3新業(yè)務上線檢查 5.4應急響應服務 第1章項目概述本方案將通過對公司網絡信息系統(tǒng)的安全現狀進行分析工作，參照國家信息系統(tǒng)等級保護要求，找出信息系統(tǒng)與安全等級保護要求之間的差距，給出相應的公司信息系統(tǒng)目前實際情況，綜合考慮XX企業(yè)公司信息系統(tǒng)現有的安全防護措施，存在的問題和薄弱環(huán)節(jié)，提供完善的安全整改方案，提高XX企業(yè)公司信息系統(tǒng)的安全防護水平，完善安全管理制度體系。在一個全面的企業(yè)網絡安全中，風險的所有重要因素都緊緊圍繞著資產為中心，威脅、脆弱性以及風險都是針對資產而客觀存在的。威脅利用資產自身的脆弱性使得安全事件的發(fā)生成為可能，從而形成了風險。這些安全事件一旦發(fā)生，將對資產甚至是整個系統(tǒng)都將造成一定的影響。1.2項目范圍本文檔適用于指導XX企業(yè)信息系統(tǒng)安全整改加固建設工作。1.3信息系統(tǒng)安全保護等級根據等級保護相關管理文件，信息系統(tǒng)的安全保護等級分為以下五級：但不損害國家安全、社會秩序和公共利益。第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴重損害。1.4等級保護建設依據《中華人民共和國網絡安全法》《信息系統(tǒng)安全等級保護基本要求》GB/T22239-2008版器X收版器X收1.4.3行業(yè)要求《關于印發(fā)<信息安全等級保護管理辦法>的通知》(公X安[2007]43號)《中華人民共和國計算機信息系統(tǒng)安全保護條例》(GWY147號令)《國家信息化領導小組關于加強信息安全保障工作的意見》(中辦發(fā)[2003]27《關于信息安全等級保護工作的實施意見》(公通字[2004]66號)《信息安全等級保護管理辦法》(公通字[2007]43號)《關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》(公X安《公安機關信息安全等級保護檢查工作規(guī)范》(公X安[2008]736號)《關于開展信息安全等級保護安全建設整改工作的指導意見》(公X安安全管理保障體系安全技術保障體系數據安全體系核心應用系統(tǒng)安全保護體系終端安全管理體系網絡邊界安全管控體系物理安全保障體系第2章安全現狀分析1.XX企業(yè)公司網絡信息系統(tǒng)內網架構為三層架構2.核心交換機直連各樓棟匯聚交換機3.用戶接入交換機，通過VLAN劃分用戶區(qū)域4.網絡出口上有兩條鏈路：一條為500M的互聯網線路；一條為20M專線2.2安全現狀XX企業(yè)在一些關鍵區(qū)域已經部署了相應的安全防護設備，如在出口區(qū)域部署了防火墻和上網行為管理設備，一定程度上提升了公司信息系統(tǒng)在物理層、傳輸層、網絡層的網絡防護能力，網絡結構基本滿足公司辦公網絡的安全和管理需由于目前網絡中潛在的安全隱患大多數來自會話層、表示層和應用層，但是公司目前部署的防火墻并不具備防護來自以上三層威脅的能力，同時在防御外網對公司內網的黑客入侵、嗅探、流量攻擊等高危險攻擊方式上也沒有相應的安全措施來抵御。其次，在互聯網出口區(qū)域部署兩臺功能相近的上網行為管理設備，雖然可以實現功能的分擔、負載的分擔，但也嚴重影響了用戶的上網體驗，而且兩臺都采用串接的方式，增加了鏈路單點故障的風險。最后，就是在企業(yè)內網缺乏發(fā)現安全隱患的的機制，從網絡攻擊的行為分析，大部分的攻擊針對的是網絡信息系統(tǒng)中的漏洞，如：操作系統(tǒng)漏洞、網絡漏洞、軟件漏洞等等，這是漏洞就是網絡信息系統(tǒng)安全的最大風險，而這些漏洞卻又不是能輕易發(fā)現的，因此需要在內網建立一個能預先發(fā)現系統(tǒng)漏洞的機制，對漏洞進行修補，防止被黑客利用對企業(yè)內網進行攻擊和竊取關鍵數據。2.3安全定級情況信息系統(tǒng)定級是等級保護工作的首要環(huán)節(jié)，是開展信息系統(tǒng)安全建設整改、信息系統(tǒng)的安全保護等級應當根據信息系統(tǒng)在國家安全、經濟建設、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確定。具體如下：安全等級安全保護要求第一級行其職能、機構財產、人員造成較小的負面影響。參照國家標準自主進行第二級適用于處理日常信息和提供一般服務的IT系統(tǒng)遭到破壞后對機構履行其職能、機構財產、人按照國家標準自主進行第三級系統(tǒng)遭到破壞后對機構履行其職能、機構財產、人員造成較大的負面影響，對國家安全造成一定程度按國家標準嚴格落實各第四級利益的重要IT系統(tǒng)，系統(tǒng)遭到破壞后對機構履行在主管部門的強制監(jiān)督和檢查下，按國家標準嚴格落實各項措施進行第根據安全需求，由主管五級利益的核心系統(tǒng)，系統(tǒng)遭到破壞后對機構履行其職能、機構財產、人員造成極其嚴重的負面影響，對系統(tǒng)進行專門控制和保參照以上等級保護的定級標準，XX公司信息系統(tǒng)的等級保護級別建議定為二級。第3章安全現狀分析3.1網絡安全風險通過網絡架構分析和安全基線核查，我們發(fā)現XX企業(yè)的網絡：互聯網出口的下一代防火墻，入侵防御、web應用防護、防病毒模塊授權已經過期，安全防護特征庫已無法升級更新，失去安全防護功能。下一代防火墻、上網行為管理等未采用冗余架構，存在單點故障風險。3.2主機安全風險在拿到主機的控制權限后，攻擊者還可以此為跳板，對網絡中的其他主機、設備進行監(jiān)聽和攻擊。3.3應用安全風險敗處理；沒有用戶身份鑒別信息復雜度檢查；應用系統(tǒng)僅使用用戶名加口令的單因素認證方式；系統(tǒng)未設置超時自動退出功能。通過利用弱身份鑒別能力，攻擊者可以對業(yè)務系統(tǒng)進行口令爆破，獲得業(yè)務系統(tǒng)的控制權限。同時，在拿到業(yè)務系統(tǒng)的控制權限后，攻擊者還可以此為跳板，對網絡中的其他主機、設備進行監(jiān)3.4數據安全和備份恢復風險完整性進行檢查；鑒別信息明文傳輸，未能保證鑒別信息的通信和存儲的保密性。缺少數據完整性和數據保密性能力，容易導致數據被篡改和數據泄露的風險。第4章安全整改方案4.1等級差距分析服務等級差距評估首先根據系統(tǒng)的安全等級選擇和確定系統(tǒng)基本安全要求指標，然后按照安全指標評估系統(tǒng)安全現狀，找出系統(tǒng)現狀與安全指標之間的差距，并通過風險評估方法根據承載業(yè)務的安全特點找出系統(tǒng)的特定需求。在等級保護工作中，對信息系統(tǒng)的等級評估如果只是簡單地套用標準，按標準中描述的相應等級基線的安全技術要求和安全管理要求進行僵化的符合性評估，而不考慮具體信息系統(tǒng)面臨的特定的安全威脅和風險，將很難準確評估信息系統(tǒng)的安全狀況和與相應等級的差距。等級差距評估是結合風險評估的方法和理論，圍繞著系統(tǒng)所承載的具體業(yè)務，通過風險評估的方法評估系統(tǒng)的風險狀況，判斷系統(tǒng)風險水平是否低于系統(tǒng)可接受的風險水平要求，以及系統(tǒng)的安全措施是否符合相應等級的安全要求兩方面條件來判斷系統(tǒng)與所定等級的差距。采用的方法有：人工評估：安排相關人員逐項檢查系統(tǒng)的各項配置和運行狀態(tài)，評估對象應包括各主機的操作系統(tǒng)、網絡設備和數據庫，給出評估報告。工具評估：基于各種技術層面的評估工具或者專用安全評估系統(tǒng)對評估對象進行掃描，評估對象應包括主機、網絡設備和各種數據庫,給出評估報告。滲透測試：可依據已經發(fā)現的安全漏洞，模擬黑客的攻擊方法對系統(tǒng)和網絡進行非破壞性質的攻擊性測試，測試對象應涵蓋網絡中的核心服務器及重要的網絡設備，包括服務器、交換機、防火墻等，給出評估報告。網絡架構評估：網絡架構評估應涵蓋文檔方面、網絡拓撲方面、運行維護方面、網絡管理方面、數據安全方面、安全產品方面、安全控制方面等。網絡數據抽樣：利用網絡分析設備或工具從網絡中抓包分析現有網絡的安全情況，分析現有網絡的安全風險長東態(tài)勢。4.2整改加固服務信息安全管理是改進當前信息系統(tǒng)安全狀況的主要保障，不健全的安全管理機制是信息安全最大的薄弱點，也是等級保護的工作重點，相對于安全技術來說，等級保護在安全管理方面所需工作更是任重道遠。但安全管理體系絕不是各類安全管理制度的簡單疊加，以系統(tǒng)用戶的角度，以保障系統(tǒng)業(yè)務正常運行為出發(fā)點，將系統(tǒng)的信息安全管理狀況與等級保護管理要求進行深入的差距分析，深入分析現有的系統(tǒng)管理體系和信息安全管理制度，從各個方面協助建立與信息系統(tǒng)安全技術和安全運行相適應的完善的符合系統(tǒng)業(yè)務特點的信息安全管理體系。安全技術實施的活動內容包括安全產品的采購、安全控制的開發(fā)以及驗收與測試等環(huán)節(jié)，將針對系統(tǒng)具體的安全需求，在等級保護前期工作基礎上，提供專業(yè)的安全技術解決方案，提供包括安全產品選型、產品部署、產品調試配置、安全加固等服務，而且站在更高的角度，以一個系統(tǒng)建設者的角度，把信息系統(tǒng)安全建設與信息系統(tǒng)建設過程平滑有機地結合起來。在安全管理體系和安全技術體系改造完成之后，派遣專業(yè)工程師到現場，針對加固前后的系統(tǒng)脆弱性進行復查，復查手段包括但不限于協議分析、漏洞掃描、漏洞驗證以及配置核查等方法。4.3協助測評服務在信息系統(tǒng)等級保護基線建設完成后，我們將協助客戶依照等級保護測評的實際標準進行預測評，整理測評所需相關文檔、資料、記錄等，計劃預測評的整體符合率達到80%以上。在內部預測評合格后，將向測評機構提出測評申請，邀請第三方的測評機構進行測評，配合測評隊伍完成現場測評，并保證測評整體符合率達到60%以上，從而通過最終的等級測評。幫助客戶的相關信息系統(tǒng)通過信息系統(tǒng)安全等級保護的測評，獲得測評通過的報告。4.4整改方案思路4.4.1安全域內部策略bl、通過合理的結構設計和網段劃分手段實現合理分配、控制網絡、操作系統(tǒng)和應用系統(tǒng)資源及路由選擇和控制；b2、通過網絡訪問控制手段實現網絡、系統(tǒng)和應用的訪問的嚴格控制及數據、文件或其他資源的訪問的嚴格控制；b3、通過撥號訪問控制手段實現對數據、文件或其他資源的訪問進行嚴格控制。b4、通過網絡安全審計手段實現記錄用戶操作行為和分析記錄；以及對資源訪問的行為進行記錄、集中分析并響應；b5、通過邊界完整性檢查手段實現檢測非法接入設備及檢測網絡邊界完整性；b6、通過網絡入侵防范手段實現檢測、集中分析、響應、阻止對網絡和所有主b7、通過惡意代碼防范手段實現發(fā)現并修補已知漏洞；對惡意代碼的檢測、集中分析、阻止和清除及防止惡意代碼在網絡中的擴散；對惡意代碼庫和搜索引擎及時更新并防止未授權下載、拷貝軟件或者文件；b8、通過網絡設備防護手段實現對網絡、系統(tǒng)和應用的嚴格訪問控制及對用戶進行唯一標識；同時對同一個用戶產生多重鑒別信息，其中一個是不可偽造的鑒別信息并進行多重鑒別；另外對硬件設備進行唯一標識和合法身份確定；并在持續(xù)非活動狀態(tài)一段時間后自動切斷連接；4.4.2安全域邊界策略φ通過網絡訪問控制手段實現網絡、系統(tǒng)和應用的訪問的嚴格控制；①數據、文件或其他資源的訪問的嚴格控制；①通過撥號訪問控制手段實現對數據、文件或其他資源的訪問進行嚴格控制；①通過邊界完整性檢查手段實現檢測非法接入設備；4.4.3安全域互聯策略不同安全等級的安全域之間可以根據業(yè)務需要進行互聯?；ヂ搯栴}的本質就是互聯系統(tǒng)間的邊界安全問題。不同安全等級互聯，要根據系統(tǒng)業(yè)務和安全需求，制定相應的多級安全策略，主要包括訪問控制策略和數據交換策略等，采取相應的邊界保護、訪問控制等安全措施，防止高等級系統(tǒng)的安全受低等級系統(tǒng)的影響。不同安全等級的安全域互聯主要有以下幾種情況：①位于同一業(yè)務單位域內共享網絡平臺的系統(tǒng)互聯①位于同一業(yè)務單位域內不同安全等級網絡平臺的系統(tǒng)互聯?位于不同業(yè)務單位域內的系統(tǒng)互聯需要說明的是：相同安全等級的系統(tǒng)互聯，也應根據系統(tǒng)業(yè)務和安全需求，制定相應的系統(tǒng)互聯安全策略，采取相應的安全保護措施。信息系統(tǒng)安全等級不是指涉密信息的保密等級，處理涉密信息的涉密系統(tǒng)，要根據國家有關法規(guī)和標準建設和運行。如下圖所示，不同安全等級的非涉密系統(tǒng)之間的數據交換應滿足以下安全策略要求：①不同安全等級系統(tǒng)的非敏感數據，可在高等級和低等級之間相互傳輸，可以根據需要，制定具體的數據交換安全策略φ低等級系統(tǒng)的敏感數據可以向高等級系統(tǒng)傳輸，但應根據需要，制定具體的數據交換安全策略①高等級系統(tǒng)的敏感數據不能向低等級系統(tǒng)傳輸第5章安全運維方案5.1定期安全巡檢為客戶定期進行安全巡檢，包括安全設備巡檢、策略巡檢和安全事件分析總結等。安全巡檢服務主要對生產環(huán)境以及環(huán)境內的防火墻、路由器、交換機、防病毒系統(tǒng)、桌面管理等安全系統(tǒng)的進行定期巡檢工作，發(fā)現是否存在安全隱患和可疑事件，運行是否正常。巡檢內容包括但不限于設備的運行狀態(tài)、策略、配置、日志1.日志獲取:巡檢人員在現場獲取業(yè)務支持系統(tǒng)中的安全設備、監(jiān)控工具等的相關信息，并統(tǒng)一存儲在安全信息庫中。2.事件確認：監(jiān)控工具或安全設備報告的事件中有些是誤報有些是有威脅的攻擊，需要考慮網絡環(huán)境、安全防護措施、操作系統(tǒng)、系統(tǒng)補丁、應用情況等情況。這樣經過巡檢人員及時分析確認的事件才有實際意義，可以用來觸發(fā)事件響應，包括應急支持等。3.專家分析:信息安全專家對數據挖掘專家的日志做進一步的分析，從中發(fā)現可疑的行為和事件，并判斷這種行為對系統(tǒng)可能造成的影響以及影響的程度；分析可疑的節(jié)點行為，評估其對整個業(yè)務支持系統(tǒng)造成的影響，并建立特殊的黑名單機制，對其做進一步的監(jiān)控；對需要響應的疑點、病毒事件或安全事件及時通告的緊急事件響應小組。安全巡檢報告是為XX企業(yè)客戶深刻了解自身業(yè)務支持系統(tǒng)安全狀況的一種有效形式，它主要涉及了如下的內容：1.主體事件統(tǒng)計：明確了在XX企業(yè)客戶業(yè)務支持系統(tǒng)中的主要事件，有助2.病毒與安全危險:記錄了業(yè)務支持系統(tǒng)中曾經出現過的病毒或者安全危險，記錄了病毒或者安全事件的來源與目標，病毒感染范圍、削除時限。有助于XX企業(yè)客戶了解在其業(yè)務支持系統(tǒng)中各個終端的病毒感染、安全事件狀況以及存在的內部與外部的安全隱患。3.特殊事件分析：對于可疑安全事件進行深層次的分析，判斷其可能造成的傷害和影響，并提供對這些事件的處理建議。4.系統(tǒng)安全建議：根據分析的結果，對業(yè)務支持系統(tǒng)設備提出包括零入侵攻擊保障時段時長頻度，重點保護日期、時段及要求在內的合理化建議。5.2定期安全檢查每季度對服務器、網絡設備、數據庫、應用系統(tǒng)等進行一次全面的系統(tǒng)漏洞掃描和安全配置檢查，清晰定性安全風險，給出修復建議和預防措施，并進行跟蹤處理；每季度對的外網網站進行滲透測試服務，挖掘應用風險漏洞，避免網站被篡5.3新業(yè)務上線檢查在自主開發(fā)業(yè)務系統(tǒng)或委托開發(fā)業(yè)務系統(tǒng)時，更多的是從業(yè)務功能實現方面對業(yè)務系統(tǒng)進行驗收，缺乏相應的技術手段和能力對交付的業(yè)務系統(tǒng)的安全狀況進行檢驗。如果業(yè)務系統(tǒng)在上線后由于存在類似SQL注入、密碼明文傳輸、安全功能缺失等漏洞而遭受攻擊，會直接影響正常業(yè)務運行，甚至造成經濟和名譽的損失，再加上有些漏洞涉及代碼改寫，考慮到業(yè)務連續(xù)性的要求，這些漏洞幾乎無5.4應急響應服務目前許多XX企業(yè)客戶自身尚沒有足夠的資源和能力對安全事故做出反應，甚至在當今的信息社會，更多的組織還沒有準備面對信息安全問題的挑戰(zhàn)。網絡安全的發(fā)展日新月異，誰也無法實現一勞永逸的安全服務，所以當緊急安全問題發(fā)生，一般技術人員又無法迅速解決的時候，及時發(fā)現問題、解決問題就必須依靠緊急響應來實現。一方面是事先的充分準備。這方面在管理上包括安全培訓、制訂安全政策和應急預案以及風險分析等，技術上則要增加系統(tǒng)安全性，如備份、打補丁了，升級系統(tǒng)與軟件，有條件的可以安裝防火墻，入侵檢測工具(IDS)和殺毒工具等。另一方面事件發(fā)生后的采取的抑制、根除和恢復等措施。其目的在于盡可能的減少損失或盡快恢復正常運行。如收集系統(tǒng)特征，檢測病毒、后門等惡意代碼，隔離、限制或關閉網絡服務，系統(tǒng)恢復，反擊，跟蹤總結等活動。以上兩個方面的工作是相互補充的。首先，事前的計劃和準備為事件發(fā)生后的響應動作提供了指導框架，否則，響應動作將陷入混亂，而這些毫