网络安全等保三级建设整改方案 网络安全等级保护第三级建设整改方案

1、某单位信息安全等级保护（三级）网络安全等级保护（第三级）建设/整改方案等保2.0网络安全等级保护（第三级）建设/整改方案等保2.0目录 TOC o 1-5 h z HYPERLINK l bookmark40 o Current Document 第一章项目概述81.1项目概述81.2项目建设背景8法律要求91.2.2政策要求111.3项目建设目标及内容111.3.1项目建设目标11建设内容12 HYPERLINK l bookmark45 o Current Document 第二章现状与差距分析132.1现状概述132.1.1信息系统现状132.2现状与差距分析162.2.1物理安全现状与

2、差距分析162.2.2网络安全现状与差距分析242.2.3主机安全现状与差距分析 372.2.4应用安全现状与差距分析 492.2.5数据安全现状与差距分析612.2.6安全管理现状与差距分析642.3安全技术需求692.3.1物理和环境安全需求692.3.2网络和通信安全需求71网络安全等级保护（第三级）建设/整改方案等保2.0 网络安全等级保护（第三级）建设/整改方案等保2.0 2.3.3设备和计算安全需求722.3.4应用和数据安全需求732.4安全管理需求752.4.1安全策略和管理制度752.4.2安全管理机构和人员762.4.3安全建设管理772.4.4安全运维管理772.5综合整

3、改建议792.5.1技术措施综合整改建议792.5.2安全管理综合整改建议95 HYPERLINK l bookmark58 o Current Document 第三章安全建设目标97 HYPERLINK l bookmark61 o Current Document 第四章方案总体设计984.1方案设计原则984.1.1分区分域防护原则984.1.2均衡性保护原则994.1.3技术与管理相结合994.1.4动态调整与可扩展994.1.5网络安全三同步原则994.2方案设计思路99 HYPERLINK l bookmark64 o Current Document 第五章安全整体规划1025

4、.1建设指导102指导原则1025.1.2安全防护体系设计整体架构1035.2安全技术规划 1055.2.1安全建设规划拓朴图1055.2.2安全设备功能1065.3建设目标规划113第六章安全策略和方针设计 1146.1总体安全方针和策略设计114总体安全方针设计1146.1.2总体安全策略设计 1156.2安全策略具体设计1166.2.1物理和环境安全策略1176.2.2网络和通信安全策略 1186.2.3设备和计算安全策略1196.2.4应用和数据安全策略121第七章整体安全建设设计1227.1物理和环境安全建设1227.1.1机房场地的选择122机房出入控制 1227.1.3防盗窃和防

5、破坏123防雷击123防火1237.1.6防水和防潮1237.1.7防静电1247.1.8 温湿度控制 1247.1.9电力供应1247.1.10电磁防护1247.2安全技术体系设计方案1257.2.1安全计算环境防护设计1257.2.2安全区域边界防护设计1307.2.3安全通信网络防护设计1357.2.4安全管理中心设计1367.3安全管理体系设计方案1377.3.1安全策略和管理制度设计1377.3.2安全管理机构和人员管理设计139安全建设管理139安全运维管理 140 HYPERLINK l bookmark79 o Current Document 第八章安全防护部署设计方案151

6、8.1异常流量及抗DDoS攻击系统151产品特性 151产品部署1578.2下一代防火墙/UTM系统157产品特性157产品部署1618.3应用交付控制系统162产品特性162产品部署1668.4入侵防御系统166产品特性166产品部署 168VPN综合安全网关169产品特性1698.5.2产品部署1748.6入侵检测系统174产品特性 174产品部署 1758.7APT攻击检测系统175产品特性1758.7.2产品部署1808.8无线安全管理系统180产品特性 1808.8.2产品部署1828.9终端安全管理系统182产品特性1828.9.2产品部署184漏洞扫描系统1858.10.1产品特

7、性1858.10.2产品部署187Web应用安全防护系统 1878.11.1产品特性1878.11.2产品部署 189主机安全加固系统190安全运维网关1908.13.1产品特性1908.13.2产品部署194安全配置核查系统1948.14.1产品特性1948.14.2产品部署198网络管理监控系统198安全审计系统198Web 应用审计1988.16.2数据库审计2028.16.3综合日志审计208综合安全管理平台2108.17.1产品特性2108.17.2产品部署222专业安全服务2238.18.1安全风险评估2238.18.2渗透测试服务2248.18.3安全加固服务2258.18.4代

8、码审计服务2268.18.5应急处理服务227 HYPERLINK l bookmark163 o Current Document 第九章方案与等保要求对应229 HYPERLINK l bookmark166 o Current Document 第十章工程建设234工程一期建设234 HYPERLINK l bookmark169 o Current Document 10.1.1区域划分234 HYPERLINK l bookmark177 o Current Document 10.1.2网络环境改造 23510.1.3网络边界安全加固23510.1.4网络及安全设备部署23610.

9、1.5安全管理体系建设服务 270 HYPERLINK l bookmark283 o Current Document 10.1.6安全加固服务28810.1.7应急预案和应急演练29610.1.8安全等保认证协助服务296工程二期建设29710.2.1安全运维管理平台(soc) 297APT高级威胁分析平台 301 HYPERLINK l bookmark326 o Current Document 第十一章 方案预估效果303工程预期效果304第一章项目概述项目概述某单位是人民政府的职能部门，贯彻执行国家有关机关事务 工作的方针政策，拟订省机关事务工作的政策、规划和规章制度 并组织实施，

10、负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，某单位积极响应 国家相关政策法规，积极开展信息安全等级保护建设。对自有网 络安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环 境，更好的为机关各部门及领导者和公务人员提供工作和生活条 件，更好的保障各项行政活动正常进行。项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较 少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、 环境、生活以及各种服务项目在内的事务工作的管理，是行政机 关办公室管理的重要一环，为机关各部门以及领导者和公务人员 提供

11、工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分配管理的 需要，使机关事务管理工作的管理范围和管理对象也相应的扩展 和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理 工作方面，如对政府机关单位固定资产的管理、房屋出租、分配 的管理等，同时，随着这几年国家对资产管理的重视，信息化建 设从原来注重财务管理信息化逐渐向国有资产管理信息化发展， 作为机关事务管理的机构，正承担着这样一种责任和使命。同时 在面对现在不容乐观的整体安全态势环境下，开展机关事务管理 的信息化建设与信息安全建设，是整个社会和国家发展的必然趋 势。1.2.1法律要求在20

12、17年6月1日颁发的中华人民共和国网络安全法中 明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安全”，网络安全法第二 十一条明确规定“国家实行网络安全等级保护制度”。各网络运 营者应当按照要求，开展网络安全等级保护的定级备案、等级测 评、安全建设、安全检查等工作。除此之外，网络安全法中 还从网络运行安全、关键信息基础设施运行安全、网络信息安全 等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内 部安全管理制度和操作规程，确定网络安全负责人，落实网络安 全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络 安全行为的技术措施;采取监测、记录网

13、络运行状态、网络安全事 件的技术措施，留存不少于六个月的相关网络日志;采取数据分类、 重要数据备份和加密等措施。未履行上述网络安全保护义务的， 会被依照此条款责令整改，拒不改正或者导致危害网络安全等后 果的，处一万元以上十万元以下罚款，对直接负责的主管人员处 五千元以上五万元以下罚款。漏洞处置：第二十五条规定，网络运营者应当制定网络安全 事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网 络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急 预案，采取相应的补救措施，并按照规定向有关主管部门报告。 没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻 击的;在发生网络安全事件时

14、处置不恰当的，会被依照此条款责令 整改，拒不改正或者导致危害网络安全等后果的，处一万元以上 十万元以下罚款，对直接负责的主管人员处五千元以上五万元以 下罚款。容灾备份：第三十四条第三项规定，关键信息基础设施单位 对重要系统和数据库进行容灾备份。没有对重要系统和数据库进 行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位 应当制定网络安全事件应急预案，并定期进行演练。没有网络安 全事件预案的，或者没有定期演练的，会被依照此条进行责令改 正。安全检测评估：第三十八条规定，关键信息基础设施的运营 者应当自行或者委托网络安全服务机构对其网络的安全性和可能 存在的风

15、险每年至少进行一次检测评估，并将检测评估情况和改 进措施报送相关负责关键信息基础设施安全保护工作的部门。每 年没有进行安全检测评估的单位要被责令改正。1.2.2政策要求为切实加强门户网站安全管理和防护，保障网站安全稳定运 行，国家非常重视，陆续颁布以下文件：关于加强党政机关网 站安全管理的通知（中网办发文2014） 1号）、关于做好党 政机关网站开办审核、资格复核和网站标识管理工作的通知（中央编办发2014） 69号）,公安部、中央网信办、中编办、 工信部等四部门关于印发党政机关、事业单位和国有企业互 联网网站安全专项整治行动方案的通知（公信安2015） 2562 号）1.3项目建设目标及内容

16、1-3.1项目建设目标依据国家信息安全等级保护相关指导规范，对某单位信息系 统、基础设施和骨干网络按照等保三级进行安全建设规划，对安 全建设进行统一规划和设备选型，实现方案合理、组网简单、扩 容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三级标准，按照“统一规划、统一标 准、重点明确、合理建设”的基本原则，在物理安全、网络安全、 主机安全、应用安全、数据安全等几个方面进行安全规划与建设, 确保“网络建设合规、安全防护到位”。方案目标是让某单位的骨干网络、相关应用系统达到安全等 级保护第三级要求。经过建设后使整体网络形成一套完善的安全 防护体系，提升整体信息安全防护能力。1.3.2建

17、设内容本项目以某单位骨干网络、信息系统等级保护建设为主线， 以让相关信息系统达到安全等级保护第三级要求。借助网络产品、 安全产品、安全服务、管理制度等手段，建立全网的安全防控管 理服务体系，从而全面提高某单位的工作效率，提升信息化运用 水平。建设内容包括某单位内网骨干网络、基础设施和信息系统等。网络安全等级保护（第三级）建设/整改方案等保2.0网络安全等级保护（第三级）建设/整改方案等保2.0第二章现状与差距分析2.1 现状概述2.1.1信息系统现状本次项目中某单位外网项目中涉及的设备有：1）服务器N4台2）网络设备若干 路由器、交换机、ap3）安全设备有：1台防火墙（过保）、WAF （过保）

18、、2台 ips （dmz区前IPS己过保）、上网行为管理（过保）、 防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）4）存储设备：火星舱容灾备份网络系统现状某单位的网络系统整体构架采用三层层次化模型网络架构， 即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干，对整个网络的连通 起到至关重要的作用。某单位内网核心，由1台DPX安全业务网 关组成。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工 作站接入核心层前先做汇聚，以减轻核心层设备的负荷。某单位 内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线 汇聚交换机。接入层：接入层向本地网段

19、提供工作站接入。某单位内网网 络中，由各种品牌的交换机作为终端前端接入交换机，为各区域 提供接入。在DPX核心交换机上划分VLAN和网关，整体网络中部署了防 病毒网关、IPS、UAG、DDL数据容灾备份系统。0A系统连接至无 线汇聚交换机。其他各系统旁路至核心交换机上。安全现状：在整体网络中部署有相应的安全设备做安全防护，但部分安 全设备过保，整体网络安全防护体系不够完善、区域划分不合理, 现状拓扑图如下：图表1现状拓扑图主机系统现状某单位的业务系统OA、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位 置，并进行标识区分。服务器操作系统全都采用微软的

20、Windows Server系列操作系统。某单位办公终端约为300台，win7为主，XP系统占少数，主 机系统没有进行过定期更新补丁，安装有360天擎杀毒软件应用系统现状某单位的应用系统主要为以下业务系统：0A、文件交换箱等。 也包含一些其他的办公软件。2.2 现状与差距分析2.2.1物理安全现状与差距分析某单位机房建设过程中参照B级机房标准参考进行统一规划, 存在的物理安全隐患较少。但仍需参照以下标准进行核查、整改; 根据信息安全等级保护（第三级）中对物理安全相关项（防火、 防雷、防水、防磁及电力供应等）存在些许差距。详见下表差距 分析。图表2物理安全现状号要求指标项是否符合现状分析备注物理

21、位置的选择（G3）本项要求包括：a）机房和办公 场地应选择在具有 防震、防风和防雨 等能力的建筑内；符合要求满足b）机房场地应 避免设在建筑物的符合要求满足号要求指标项是否符合现状分析备注高层或地下室，以 及用水设备的下层 或隔壁。物理访问控制（G3）本项要求包括：a）机房出入口 应安排专人值守， 控制、鉴别和记录 进入的人员；不符 合要求不满足无相关记录b）需进入机房 的来访人员应经过 申请和审批流程， 并限制和监控其活 动范围；不符 合要求不满足有监控，但是没有申请和审批流程C）应对机房划 分区域进行管理， 区域和区域之间设 置物理隔离装置， 在重要区域前设置 交付或安装等过渡基本符合要求

22、依据业务系 统进行了机柜间 的区域区分，但 未在重要区域前 设置物理隔离装 置。在重要 区域前设置 物理隔离装 置。号要求指标项是否符合现状分析备注区域；d）重要区域 应配置电子门禁系 统，控制、鉴别和 记录进入的人员。符合要求基本满足防盗窃和防破坏（G3）本项要求包括：a）应将主要设 备放置在机房内；符合要求满足b）应将设备或 主要部件进行固 定，并设置明显的 不易除去的标记；符合要求满足c）应将通信线 缆铺设在隐蔽处， 可铺设在地下或管 道中；不符 合要求不满足有部分线缆架设在半空中d）应对介质分 类标识，存储在介符合要求满足号要求指标项是否符合现状分析备注质库或档案室中；e）应利用光、

23、电等技术设置机房 防盗报警系统；符合要求满足f）应对机房设 置监控报警系统。符合要求满足防雷击（G3）本项要求包括：a）机房建筑应 设置避雷装置；符合要求满足b）应设置防雷 保安器，防止感应 雷；符合要求满足c）机房应设置 交流电源地线。符合要求满足防火（G3）本项要求包括：a）机房应设置 火灾自动消防系 统，能够自动检测基本符合要求安装有气体灭火装置号要求指标项是否符合现状分析备注火情、自动报警， 并自动灭火；b）机房及相关 的工作房间和辅助 房应采用具有耐火 等级的建筑材料；符合要求满足c）机房应采取 区域隔离防火措 施，将重要设备与 其他设备隔离开。不符 合要求不满足防水和防潮（G3）本

24、项要求包括：a）水管安装， 不得穿过机房屋顶 和活动地板下；符合要求满足b）应采取措施 防止雨水通过机房 窗户、屋顶和墙壁 渗透；符合要求满足c）应采取措施符合满足号要求指标项是否符合现状分析备注防止机房内水蒸气 结露和地下积水的 转移与渗透；要求d）应安装对水 敏感的检测仪表或 组件，对机房进行 防水检测和报警。符合要求满足防静电（G3）本项要求包括：a）主要设备应 采用必要的接地防 静电措施；符合要求满足b）机房应采用 防静电地板。符合要求满足温湿度控制（G3）本项要求包括：机房应设置 温、湿度自动调节 设施，使机房温、 湿度的变化在设备符合要求安装有动力 环境监控系统， 建议机房日常温

25、度控制在10号要求指标项是否符合现状分析备注运行所允许的范围 之内。28C,湿度3070% o电力供应（A3）本项要求包括：a）应在机房供 电线路上配置稳压 器和过电压防护设 备；基本符合要求满足b）应提供短期 的备用电力供应， 至少满足主要设备 在断电情况下的 正常运行要求；符合要求设置UPS电 池供电，并至少 保证断电时主要 设备在满负荷情 况下4小时的正 常运行。c）应设置冗余 或并行的电力电缆 线路为计算机系统 供电；不符 合要求只有一条出 口线，极容易出 现单点故障增加线 缆，做到冗 余d）应建立备用 供电系统。符合要求满足号要求指标项是否符合现状分析备注0电磁防护（S3）本项要求包

26、括：a）应采用接地 方式防止外界电磁 干扰和设备寄生耦 合干扰；符合要求满足b）电源线和通 信线缆应隔离铺 设，避免互相干 扰；符合要求满足C）应对关键设 备和磁介质实施电 磁屏蔽。符合要求满足2.2.2网络安全现状与差距分析由于某单位前期已经行相关安全建设，仍有相关安全防护建 设不到位，主要表现出以下问题点：网络结构基本清晰，但细节规划不合理；新增移动接入链路，面对日益突增的网络安全事件缺乏有效防御手段及应急机 制；骨干网络架构规划不合理，核心交换区无冗余，安全防护 区域划分不明晰，不能对不同区域间防护措施、技术手段 进行统一规划，不同区域对恶意攻击的防范能力不一。详见下表差距分析：图表3网

27、络安全现状号要求指标项是否符合差距分析备注结构安全（G3）本项要求包括：a）应保证主 要网络设备的业 务处理能力具备 冗余空间，满足 业务高峰期需不符 合要求域网核心 交换设备均采 用单链路、单 设备，无冗余 空间，一旦出域网核心设 备至少有二台， 采用多链路号要求指标项是否符合差距分析备注要；现设备故障则 会出现单点故 障，无法有效 保障对外开放 的业务安全稳 定的运行。b）应保证网 络各个部分的带 宽满足业务高峰 期需要；符合要求满足C）应在业务 终端与业务服务 器之间进行路由 控制建立安全的 访问路径；符合要求满足d）应绘制与 当前运行情况相 符的网络拓扑结 构图；不符 合要求暂无拓扑

28、图我们会在工 程结束后重新绘 制网络拓扑图。号要求指标项是否符合差距分析备注e）应根据各 部门的工作职 能、重要性和所 涉及信息的重要 程度等因素，划 分不同的子网或 网段，并按照方 便管理和控制的 原则为各子网、 网段分配地址 段；基本符合要求整体网络结 构中巳按照需求 进行子网划分。 但使用中存在混 乱，没有按规定 使用。待本次项 目建设进行梳 理、严格限制f）应避免将 重要网段部署在 网络边界处且直 接连接外部信息 系统，重要网段 与其他网段之间 采取可靠的技术 隔离手段；基本符合要求满足访问控制（G3）号要求指标项是否符合差距分析备注本项要求包括：a）应在网络 边界部署访问控 制设备，

29、启用访 问控制功能；不符 合要求仅在dmz 区部署防火墙 且防火墙已过 保，其他区域 未部署访问控 制设备建议在互联 网出口与服务器 区前部署防火墙 进边界隔离与访 问控制b）应能根据 会话状态信息为 数据流提供明确 的允许/拒绝访问 的能力，控制粒 度为端口级；符合要求满足c）应对进出 网络的信息内容 进行过滤，实现 对应用层HTTP、 FTP、 TELNET、 SMTP、POP3 等协 议命令级的控符合要求满足号要求指标项是否符合差距分析备注制；d）应在会话 处于非活跃一定 时间或会话结束 后终止网络连 接；符合要求满足e）应限制网络最大流量数及 网络连接数；不符 合要求未部署流 量控制设

30、备， 无法根据所承 载的业务和带 宽的实际情况 确定网络最大 流量数和网络 连接数并进行 管理。部署上网行为管理及流控f）重要网段应采取技术手段防止地址欺骗；不符 合要求未部署访 问控制设备的 区域无法采用 包过滤或传输实现重要网 段地址进行有效 保护防止地址欺 骗。号要求指标项是否符合差距分析备注控制协议，进 行边界访问控 制，防止地址 欺骗，应对网 络中的广播、 组播进行必要 的控制。g）应按用户 和系统之间的允 许访问规则，决 定允许或拒绝用 户对受控系统进 行资源访问，控 制粒度为单个用 户；不符 合要求没有在服 务器区前和网 络出口设置防 火墙、认证网 关或授权管理 系统，可对单 个

31、用户的访问 进行策略控 制。新增2台防 火墙实现不同安 全域之间的访问 控制h）应限制具 有拨号访问权限 的用户数量。不符 合要求不涉及安全审计（G3）号要求指标项是否符合差距分析备注本项要求包括：a）应对网络 系统中的网络设 备运行状况、网 络流量、用户行 为等进行日志记 录；不符 合要求有上网行 为管理设备（过保），但 是并没有办法 对网络设备运 行状况日志记 录，而部署综 合安全日志审 计系统可对来 自不同厂商的 安全设备、网 络设备、主 机、操作系 统、数据库系 统、用户业务 系统的日志、 警报等信息汇 集到审计中 心，实现综合部署综合日 志审计系统可对 来白不同厂商的 安全设备、网络

32、 设备、主机、操 作系统、数据库 系统、用户业务 系统的日志、警 报等信息汇集到 审计中心，实现 综合安全审计。号要求指标项是否符合差距分析备注安全审计。b）审计记录 应包括：事件的 日期和时间、用 户、事件类型、 事件是否成功及 其他与审计相关的信息；符合要求满足c）应能够根 据记录数据进行 分析，并生成审 计报表；不符合要求不满足部署日志审计系统d）应对审计 记录进行保护， 避免受到未预期 的删除、修改或 覆盖等。符合要求满足安全审计日志记录要求保存 至少半年以上。边界完整性检查（S3）本项要求包括:号要求指标项是否符合差距分析备注a）应能够对 非授权设备私自 联到内部网络的 行为进行检查

33、， 准确定出位置， 并对其进行有效 阻断；不符合要求可通终端 管理系统或ARP 绑定技术手段 实现可采用终端 管理系统等手段 进行管理控制b）应能够对 内部网络用户私 自联到外部网络 的行为进行检 查，准确定出位 置，并对其进行 有效阻断。不符 合要求可采用终端 管理系统等手段 进行管理控制入侵防范（G3）本项要求包括：a）应在网络边界处监视以下 攻击行为：端口基本符合要求出口处部 署有IPS入侵 防御号要求指标项是否符合差距分析备注扫描、强力攻击、木马后门攻 击、拒绝服务攻 击、缓冲区溢出 攻击、IP碎片攻 击和网络蠕虫攻 -f-. AA- 山寸；b）当检测到 攻击行为时，记 录攻击源IP、

34、攻 击类型、攻击目 的、攻击时间， 在发生严重入侵 事件时应提供报 警基本符合要求落实安全 审计系统报警 功能。恶意代码防范（G3）本项要求包括：a）应在网络 边界处对恶意代 码进行检测和清符合要求满足号要求指标项是否符合差距分析备注除；b）应维护恶 意代码库的升级 和检测系统的更 新。符合要求网络设备防护（G3）本项要求包括：a）应对登录 网络设备的用户 进行身份鉴别；不符合要求没有指定 专人进行维 护。通过密码 和用户名进行 身份鉴别，同 时也没有部署 堡垒主机。可以指定专 人维护网络设 备，并通过用户 名和密码进行 身份鉴别，同时 也可以部署堡垒 主机b）应对网络 设备的管理员登 录地址

35、进行限 制；不符 合要求对管理员 登陆地址没有 限制。增添堡垒机 设备，这样可以 有效对远程用户 进行管理。c）网络设备用户的标识应唯不符 合要求网络设备没有唯一的标重新对设备 进行标示。号要求指标项是否符合差距分析备注zjs od）主要网络 设备应对同一用 户选择两种或两 种以上组合的鉴 别技术来进行身 份鉴别；不符合耍求主要网络 设备未对同一 用户选择两种 或两种以上组 合的鉴别技术 来进行身份鉴 别；增设堡垒机e）身份鉴别 信息应具有不易 被冒用的特点， 口令应有复杂度 要求并定期更 换；不符 合要求密码没有 定期更换，复 杂度不够用户口令应 12位以上，数字 和字母组成，至 少3个月更

36、换一 次。f）应具有登 录失败处理功 能，可采取结束 会话、限制非法 登录次数和当网 络登录连接超时符合要求当一次登 录密码错误次 数超过6次， 应能自动关闭 并告警。号要求指标项是否符合差距分析备注自动退出等措施；g）当对网络 设备进行远程管 理时，应采取必 要措施防止鉴别 信息在网络传输 过程中被窃听；不符 合要求传输中进行加密，可以 使用 IPsec VPN 技术h）应实现设备特权用户的权 限分离。不符 合要求网络管理 员、系统管理 员和安全审计 员分开，并按 职责分工限制 各自权限，但 无技术手段控 制。部署堡垒机 控制用户权限2.2.3主机安全现状与差距分析某单位内网主机终端已部署终

37、端杀毒软件。终端主机安全现状差距分析，如下：图表4主机安全现状号要求指标项是否符合差距分析备注身份鉴别（S3）本项要求包括：a）应对登录 操作系统和数据 库系统的用户进 行身份标识和鉴 别；基本符 合要求没有严格 通过账号密 码限制操作 系统和数据 库系统的用 户登陆，进 行身份标识 和鉴别；b）操作系统 和数据库系统管 理用户身份标识 应具有不易被冒 用的特点，口令不符合要求不满足系统管理员 的登录身份标识 唯一，口令12 位以上，且数字 和字母大小写组号要求指标项是否符合差距分析备注应右复杂度要求 并定期更换；合，每半年应更 改一次。C）应启用登 录失败处理功 能，时采取结束 会话、限制非

38、法 登录次数和自动 退出等措施；符合要 求当登录次 数错误超过6 次，应自动 退出并告 警。d）当对服务 器进行远程管理 时，应采取必要 措施，防止鉴别 信息在网络传输 过程中被窃听；不符合要求没有采用IPSec VPN 对 传输加密的 方法来保证 远程管理安 全可靠。采用IPSecVPN部署e）应为操作 系统和数据库系 统的不同用户分 配不同的用户 名，确保用户名 具有唯一性。不符合要求不满足号要求指标项是否符合差距分析备注f）应采用两 种或两种以上组 合的鉴别技术对 管理用户进行身 份鉴别。不符合 要求采用用户 名密码的鉴 别技术对管 理员进行身 份鉴别。部署堡垒机访问控制（S3）本项要求

39、包括：a）应启用访 问控制功能，依 据安全策略控制 用户对资源的访 问；不符合要求不满足b）应根据管 理用户的角色分 配权限，实现管 理用户的权限分 离，仅授予管理 用户所需的最小 权限；不符合 要求因只设置 了一个管理 员账号，也 未通过技术 手段控制授 予所需要的 最小权限。部署堡垒 机，将网络管理 员、系统管理员 和安全审计员分 离，通过技术手 段控制授予所需 要的最小权限。c）应实现操不符合还是未修号要求指标项是否符合差距分析备注作系统和数据库 系统特权用户的 权限分离；要求改的默认口令修改口令d）应严格限 制默认帐户的访 问权限，重命名 系统默认帐户， 修改这些帐户的 默认口令；不符

40、合 要求不满足e）应及时删 除多余的、过期 的帐户，避免共 享帐户的存在。基本符 合要求因只一个 账户，不存 在多余的账 户f）应对重要信息资源设置敏 感标记；不符合 要求未对重要 服务器部署 服务器加固 系统，采取 安全加固措 施，并设置 敏感标记。对重要服务 器部署服务器加 固系统，采取安 全加固措施，并 设置敏感标记号要求指标项是否符合差距分析备注g）应依据安 全策略严格控制 用户对有敏感标 记重要信息资源 的操作；不符合 要求不满足安全审计（G3）本项要求包括：a）审计范围 应覆盖到服务器 和重要客户端上 的每个操作系统 用户和数据库用 户；不符合 要求未部署数 据库审计系 统，无法对

41、 服务器和重 要客户端上 的每个操作 系统用户和 数据库用户 进行审计。部署日志审 计系统和数据库 审计系统b）审计内容 应包括重要用户 行为、系统资源 的异常使用和重不符合要求未部署数据库审计系统，无法对重要用户行部署日志审计系统和数据库审计系统号要求指标项是否符合差距分析备注要系统命令的使 用等系统内重要 的安全相关事 件；为、系统资 源的异常使 用和重要系 统命令的使 用等系统内 重要的安全 相关事件进 行审计。C）审计记录 应包括事件的日 期、时间、类 型、主体标识、 客体标识和结果 等；不符合 要求未部署数据库审计系 统，无法对 数据库进行 审计。部署日志审 计系统和数据库 审计系统

42、d）应能够根 据记录数据进行 分析，并生成审 计报表；不符合要求未部署数据库审计系 统，无法对异常行为实 时告警。部署日志审 计系统和数据库 审计系统e）应保护审不符合未部署数部署日志审号要求指标项是否符合差距分析备注计进程，避免受 到未预期的中 断；要求据库审计系 统。计系统和数据库 审计系统f）应保护审计记录，避免受到未预期的删除、修改或覆盖 等。不符合要求未部署数 据库审计系 统。（审计 I己录至少应 保存半 年。）部署日志审 计系统和数据库 审计系统剩余信息保护（S3）本项要求包括：a）应保证操 作系统和数据库 系统用户的鉴别 信息所在的存储 空间，被释放或 再分配给其他用 户前得到完

43、全清 除，无论这些信 息是存放在硬盘不符合 要求不满足号要求指标项是否符合差距分析备注上还是在内存 中；b）应确保系 统内的文件、目 录和数据库记录 等资源所在的存 储空间，被释放 或重新分配给其 他用户前得到完 全清除。不符合 要求可在终端 Windows 操作 系统未启用“关机前清 除虚拟内存 页面”功能 项。在终端Windows操作系 统启用“关机前 清除虚拟内存页 面”功能项。入侵防范（G3）本项要求包括：a）应能够检 测到对重要服务 器进行入侵的行 为，能够记录入 侵的源IP、攻击 的类型、攻击的 目的、攻击的时 间，并在发生严符合要 求己有ips入侵防御系统号要求指标项是否符合差距

44、分析备注重入侵事件时提供报警；b）应能够对 重要程序的完整 性进行检测，并 在检测到完整性 受到破坏后具有 恢复的措施；不符合 要求未定期使 用完整性检 查工具或脚 本对服务器 的重要程序 和文件进行 检查。定期使用完 整性检查工具或 脚本对服务器的 重要程序和文件 进行检查。C）操作系统 应遵循最小安装 的原则，仅安装 需要的组件和应 用程序，并通过 设置升级服务器 等方式保持系统 补丁及时得到更O不符合 要求未通过技 术手段保持 系统补丁及 时得到更 新。增加终端管 理软件模块。恶意代码防范（G3）本项要求包括:号要求指标项是否符合差距分析备注a）应安装防 恶意代码软件， 并及时更新防恶

45、意代码软件版本 和恶意代码库；符合要 求满足，安装7 360天 擎b）主机防恶 意代码产品应具 有与网络防恶意 代码产品不同的 恶意代码库；符合要 求满足，安装了 360天擎c）应支持防 恶意代码的统一 管理。符合要 求满足，安装了 360天擎资源控制（A3）本项要求包括：a）应通过设 定终端接入方 式、网络地址范 围等条件限制终 端登录；不符合 要求通过账号 密码限制终 端登录。通过增设堡 垒机对终端接入 进行管理。号要求指标项是否符合差距分析备注b）应根据安 全策略设置登录 终端的操作超时 锁定；不符合 要求未部署终端管理系统对登录终端进行管理。部署终端管 理系统对登录终 端进行管理。c）

46、应对重要 服务器进行监 视，包括监视服 务器的CPU、硬 盘、内存、网络 等资源的使用情 况；不符合 要求没有网络管理系统可通过增加 网络管理系统对 重要服务器进行 监视并对服务器 的运行状况异常 实时告警。d）应限制单 个用户对系统资 源的最大或最小 使用限度；不符合要求没有网络管理系统可通过增加 网络管理系统对 重要服务器进行 监视并对服务器 的运行状况异常 实时告警。e）应能够对系统的服务水平 降低到预先规定不符合要求不能进行 报警可通过增加 网络管理系统对 重要服务器进行号要求指标项是否符合差距分析备注的最小值进行检 测和报警。监视并对服务器 的运行状况异常 实时告警。2.2.4应用安

47、全现状与差距分析某单位应用系统根据国家信息安全等级保护（第三级）标准 在对应用系统安全进行分析时，发现应用系统涉及到应用系统的 运行稳定以及业务数据的安全可靠，故而安全防护技术手段如下:以业务系统自身通过代码查错、规则设置、权限细化等方 法为主要手段，来满足信息系统安全等级保护（第三级） 中应用安全部分标准项（如身份鉴别、安全审计、剩余信 息保护、通信完整性、通信保密性、抗抵赖、软件容错、 资源控制等）的要求部分标准项（如身份鉴别、访问控制、安全审计、通信保 密性等）除可通过应用系统进行安全加强外，也可通过设 备进行技术防护详见下表差距分析：图表5应用安全现状号要求指标项是否符合差距分析备注身

48、份鉴别（S3）本项要求包括：a）应提供专用的登录控制模块对不符合要未采用技术手段，提供专用增设堡垒机，通过号要求指标项是否符合差距分析备注登录用户进行身份 标识和鉴别；求的登录控制模块 对登录用户的身 份进行标识和鉴 别。堡垒机用户 登陆进行身 份识别和鉴 别。b）应对同一用 户采用两种或两种 以上组合的鉴别技 术实现用户身份鉴 别；符合要求C）应提供用户 身份标识唯一和鉴 别信息复杂度检查 功能，保证应用系 统中不存在重复用 户身份标识，身份 鉴别信息不易被冒 用；符合要求d）应提供登录符号要求指标项是W符合差距分析备注失败处理功能，可 采取结束会话、限 制非法登录次数和 自动退出等措施；合

49、要求e）应启用身份 鉴别、用户身份标 识唯一性检查、用 户身份鉴别信息复 杂度检查以及登录 失败处理功能，并 根据安全策略配置 相关参数。基本符合 要求访问控制（S3）本项要求包括：a）应提供访问 控制功能，依据安 全策略控制用户对 文件、数据库表等符合要求号要求指标项是否符合差距分析备注客体的访问；b）访问控制的 覆盖范围应包括与 资源访问相关的主 体、客体及它们之 间的操作；符合耍求C）应由授权主 体配置访问控制策 略，并严格限制默 认帐户的访问权 限；符合要求d）应授予不同 帐户为完成各自承 担任务所需的最小 权限，并在它们之 间形成相互制约的 关系。符合耍求e）应具有对重不对重要服务号

50、要求指标项是W符合差距分析备注要信息资源设置敏 感标记的功能；合要求器部署服务器加 固系统，采取安 全加固措施，并 设置敏感标记。f）应依据安全 策略严格控制用户 对有敏感标记重要 信息资源的操作；不合要求服务器加固 系统有实现文件 强制访问控制、 注册表强制访问 控制、进程强制 访问控制、程序 授权控制、网络 级访问控制等功 能。安全审计（G3）本项要求包括：a）应提供覆盖 到每个用户的安全 审计功能，对应用基本符合 要求部署了安全审计系 统，对应用系号要求指标项是否符合差距分析备注系统重要安全事件进行审计；统每个用户 的安全事件 进行记录审 计。b）应保证无法 单独中断审计进 程，无法删除

51、、修 改或覆盖审计记 录；基 本符合 要求未部署安全管理系统部署了 安全审计系 统c）审计记录的 内容至少应包括事 件的日期、时间、 发起者信息、类 型、描述和结果 等；基本符合 要求部署了安全审计系 统d）应提供对审 计记录数据进行统基 本符合 要求部署了安全审计系 统号要求指标项是否符 合差距分析备注计、查询、分析及 生成审计报表的功 能。剩余信息保护（S3）本项要求包括：a）应保证用户 鉴别信息所在的存 储空间被释放或再 分配给其他用户前 得到完全清除，无 论这些信息是存放 在硬盘上还是在内 存中；不符 合要求在终端Windows操作系 统中未启用“不 显示上次登录 名”功能项。可在终

52、端 Windows 操作系统启 用“不显示 上次登录 名”功能 项。b）应保证系统 内的文件、目录和 数据库记录等资源不符 合要求在终端Windows操作系统中未启用“关在终端Windows 操作系统中未启号要求指标项是否符 合差距分析备注所在的存储空间被 释放或重新分配给 其他用户前得到完 全清除。机前清除虚拟内存页面”功能 项。用“关机前 清除虚拟内 存页面”功 能项。通信完整性(S3)本项要求包括：应采用密码技 术保证通信过程中 数据的完整性。符合要求在应用软件 编程中，对通信 的保密性提出要 求。通信保密性(S3)本项要求包括：a)在通信双方 建立连接之前，应 用系统应利用密码 技术进

53、行会话初始 化验证；符 合要求在应用软件 编程中，对通信 的保密性提出要 求。b)应对通信过符应用软件中号要求指标项是W符合差距分析备注程中的整个报文或 会话过程进行加 密。合要求应有此功能抗抵赖（G3）本项要求包括：a）应具有在请 求的情况下为数据 原发者或接收者提 供数据原发证据的 功能；符合要求应用软件有此项功能。b）应具有在请 求的情况下为数据 原发者或接收者提 供数据接收证据的 功能。符合要求应用软件有 此项功能。软件容错（A3）本项要求包括：a）应提供数据符应用软件有号要求指标项是否符合差距分析备注有效性检验功能， 保证通过人机接口 输入或通过通信接 口输入的数据格式 或长度符合系

54、统设 定要求；合要求此项功能。b）应提供自动 保护功能，当故障 发生时自动保护当 前所有状态，保证 系统能够进行恢 复。符 合要求应用软件提 供断点保护和恢 复功能。资源控制（A3）本项要求包括：a）当应用系统 的通信双方中的一 方在一段时间内未 作任何响应，另一符合要求如果通信双 方中有一方在10 分钟内未作任何 响应，应自动结号要求指标项是W符合差距分析备注方应能够自动结束 会话；束会话，释放网 络连接。b）应能够对系 统的最大并发会话 连接数进行限制；符合要求应当提供系 统的实际要求， 设定最大并发会 话连接数。c）应能够对单 个帐户的多重并发 会话进行限制；符合要求满足d）应能够对一

55、个时间段内可能的 并发会话连接数进 行限制；符合要求应当业务应 用系统和实际需 要设定。e）应能够对一 个访问帐户或一个 请求进程占用的资 源分配最大限额和 最小限额；符合要求满足号要求指标项是否符合差距分析备注f）应能够对系 统服务水平降低到 预先规定的最小值 进行检测和报警；不符合要求不满足后期建 议部署网管 运维软件g）应提供服务 优先级设定功能， 并在安装后根据安 全策略设定访问帐 户或请求进程的优 先级，根据优先级 分配系统资源。符合要求在系统中应 可根据用户的权 限设定服务等级 及优先级，并保 证优先级用户首 先使用系统资源 的权力。2.2.5数据安全现状与差距分析信息系统的安全核

56、心是数据的安全，某单位网络中有全局正 常运行信息的数据，一旦数据出现被盗取、被篡改、被删除，小 则造成小范围的某单位业务受影响，大则将对全局办公、经济利 益或社会形象造成不可弥补的损失。一旦出现意外，数据的还原、 恢复显得尤为重要。目前某单位对数据的备份主要采用维护工程师定期进行手动 备份和数据被备份一体机的方式，备份范围包含业务关键数据， 且是备份在本地。可能会出现以下情况：1.出现极端自然灾害，数据存储介质出现损坏，数据损坏后无 法恢复；详见下表差距分析：图表6数据安全现状号要求指标项是否 符合差距分析备注数据完!座性（S3）本项要求包括：a）应能够检测到 系统管理数据、鉴别 信息和重要业

57、务数据 在传输过程中完整性 受到破坏，并在检测基本符合要求数据备份一体机应带有此功能到完整性错误时采取 必要的恢复措施；b）应能够检测到 系统管理数据、鉴别 信息和重要业务数据 在存储过程中完整 性受到破坏，并在检 测到完整性错误时采 取必要的恢复措 施。基本符合要求数据备份一体机应带有此功能数据保密性（S3）本项要求包括：a）应采用加密或 其他有效措施实现系 统管理数据、鉴别信 息和重要业务数据传输保密性；基本符合要求数据备份一体机应带有此功能b）应采用加密或 其他保护措施实现系 统管理数据、鉴别信 息和重要业务数据存储保密性。基本符合要求数据备份一体机应带有此功能备份和恢复（A3）本项要求

58、包括：a）应提供本地数 据备份与恢复功能， 完全数据备份至少每 天一次，备份介质场 外存放；符合要求满足部署服 务器数据备 份系统。b）应提供异地数 据备份功能，利用通 信网络将关键数据定 时批量传送至备用 场地；不符 合要求不满足有本地 备份一体 机，后期建 议完善异地 备份机制。C）应采用冗余技 术设计网络拓扑结 构，避免关键节点存 在单点故障；符合要求满足d）应提供主要网 络设备、通信线路和 数据处理系统的硬件 冗余，保证系统的高 可用性。符合要求满足2.2.6安全管理现状与差距分析某单位在日常的运行维护管理中，根据自身的情况有制定一 些安全管理制度并执行，但没有进行系统而规范的制度文件

59、体系 建设，以及相应制度执行记录归档保存。根据等级保护管理安全 要求，仍有部分制度需要进行完善。管理制度建议如下表：图表7安全管理现状类 别管理内容制度包括的主要内容现状分析备注物理资产安全 管理对信息系统相关的 资产清单、分类与 标识、使用、转 移、废弃等做出规 定。不满足对信息系统相 关的资产清 单、分类与标 识、使用、转 移、废弃等做 出规定。机房安全 管理对进出机房的人员 和设备，机房监 控、机房值班、机 房环境保障等做出 规定。不满足对进出机房的 人员和设备， 机房监控、机 房值班、机房 环境保障等做 出规定。设备安全对设备的放置、使不满足对设备的放管理用、维护、维修、 报废等做出规

60、定。置、使用、维 护、维修、报 废等做出规 定。介质安全 管理对介质的归档、存 放、使用、销毁等 做出规定。不满足对介质的归 档、存放、使 用、销毁等做 出规定。网络网络安全 管理对网络及安全设备 的操作、配置、日 志记录和监控等做 出规定。不满足对网络及安全 设备的操作、 配置、日志记 录和监控等做 出规定。系统系统安全 管理对服务器和数据库 等的操作、配置、 日志记录和监控等 做出规定。不满足对服务器和数 据库等的操 作、配置、日 志记录和监控 等做出规定。应用数据安全 管理对信息系统数据保 存、备份、使用等 做出规定。不满足对信息系统数 据保存、备 份、使用等做 出规定。病毒防护 管理对