某单位信息安全等级保护建设方案

1、 0 xxxxxx信息安全等级保护（三级）建设项目设计方案二O八年二月文档控制文档名称：xxxxxx信息安全等保保护建设（三级）设计方案提交方XXXXX机股份有限公司提交日期Xxxxx版本信息日期版本撰写者审核者描述2月28日初稿3月1日修订3月7日修订本文档版权归xxxxxx股份有限公司所有，未经xxxx有限公司允许，本文档里的任何内容都不得被用来宣传和传播。未经xxxx有限公司书面批准，文档或任何类似的资讯都不允许被发布。 目录TOC o 1-5 h z HYPERLINK l bookmark0 o Current Document 第一章项目概述5 HYPERLINK l bookma

2、rk2 o Current Document 项目概述5项目建设背景61.2.1法律要求61.2.2政策要求8 HYPERLINK l bookmark4 o Current Document 项目建设目标及内容81.3.1项目建设目标81.3.2建设内容9 HYPERLINK l bookmark6 o Current Document 第二章现状与差距分析10 HYPERLINK l bookmark8 o Current Document 现状概述102.1.1信息系统现状10 HYPERLINK l bookmark14 o Current Document 现状与差距分析12物理安全

3、现状与差距分析12网络安全现状与差距分析21主机安全现状与差距分析34应用安全现状与差距分析46数据安全现状与差距分析57安全管理现状与差距分析61 HYPERLINK l bookmark16 o Current Document 综合整改建议66技术措施综合整改建议66安全管理综合整改建议81 HYPERLINK l bookmark18 o Current Document 第三章安全建设目标83 HYPERLINK l bookmark24 o Current Document 第四章安全整体规划85建设指导854.1.1指导原则85安全防护体系设计整体架构86安全技术规划884.2.

4、1安全建设规划拓朴图884.2.2安全设备功能89 HYPERLINK l bookmark26 o Current Document 建设目标规划95 HYPERLINK l bookmark28 o Current Document 第五章工程建设97 HYPERLINK l bookmark30 o Current Document 工程一期建设97 HYPERLINK l bookmark32 o Current Document 5.1.1区域划分975.1.2网络环境改造97网络边界安全加固98网络及安全设备部署99安全管理体系建设服务1325.1.6安全加固服务149应急预案和应

5、急演练157安全等保认证协助服务157 HYPERLINK l bookmark98 o Current Document 工程二期建设1595.2.1安全运维管理平台（soc）1595.2.2APT高级威胁分析平台163 HYPERLINK l bookmark96 o Current Document 产品清单165 HYPERLINK l bookmark108 o Current Document 第六章方案预算165 HYPERLINK l bookmark110 o Current Document 第七章方案预估效果166 HYPERLINK l bookmark112 o Cu

6、rrent Document 工程预期效果166图表目录TOC o 1-5 h z图表1现状拓扑图11图表2物理安全现状12图表3网络安全现状21图表4主机安全现状34图表5应用安全现状46图表6数据安全现状57图表7安全管理现状61图表8综合技术措施整改建议表格66图表9综合安全管理体系整改建议表格81图表10安全保障体系图86图表11安全建设规划拓扑图88图表12建设规划95图表14安全管理制度规划示意图145图表15产品清单表165图表16方案预算表165第一章项目概述项目概述XXXXXX是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策，拟订省机关事务工作的政策、规划和规章制

7、度并组织实施，负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，XXXXXX积极响应国家相关政策法规，积极开展信息安全等级保护建设。对自有网络安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正常进行。项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管理的重要一环，为机关各部门以及领导者和公务人员

8、提供工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分配管理的需要，使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理工作方面，如对政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个社会和国家发展的必然趋势。1.2.1法律要求在2017年6月1日

9、颁发的中华人民共和国网络安全法中明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安全”，网络安全法第二十一条明确规定“国家实行网络安全等级保护制度”。各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，网络安全法中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监测、记录网络运行状态、网络安全事件的技术措

10、施，留存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。未履行上述网络安全保护义务的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导

11、致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演练的，会被依照此条进行责令改正。安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信

12、息基础设施安全保护工作的部门。每年没有进行安全检测评估的单位要被责令改正。1.2.2政策要求为切实加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常重视，陆续颁布以下文件：关于加强党政机关网站安全管理的通知（中网办发文20141号）、关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知（中央编办发201469号），公安部、中央网信办、中编办、工信部等四部门关于印发党政机关、事业单位和国有企业互联网网站安全专项整治行动方案的通知（公信安20152562号）项目建设目标及内容1.3.1项目建设目标依据国家信息安全等级保护相关指导规范，对xxxxxx信息系统、基础设施和骨干网络按照

13、等保三级进行安全建设规划，对安全建设进行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三级标准，按照“统一规划、统一标准、重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安全等几个方面进行安全规划与建设，确保“网络建设合规、安全防护到位”。方案目标是让xxxxxx的骨干网络、相关应用系统达到安全等级保护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系，提升整体信息安全防护能力。1.3.2建设内容本项目以XXXXXX骨干网络、信息系统等级保护建设为主线，以让相关信息系统达到安全等级保护第三级要求。借

14、助网络产品、安全产品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系，从而全面提高XXXXXX的工作效率，提升信息化运用水平。建设内容包括XXXXXX内网骨干网络、基础设施和信息系统等。第二章现状与差距分析现状概述2.1.1信息系统现状本次项目中xxxxxx外网项目中涉及的设备有：1）服务器$4台2）网络设备若干路由器、交换机、ap3）安全设备有：1台防火墙（过保）、WAF（过保）、2台ips（dmz区前IPS已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）4）存储设备：火星舱容灾备份xxxxxx的网络系统整体构架采用三层层次化模型网

15、络架构，即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干，对整个网络的连通起到至关重要的作用。xxxxxx内网核心，由1台DPX安全业务网关组成。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层前先做汇聚，以减轻核心层设备的负荷。xxxxxx内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线汇聚交换机。接入层：接入层向本地网段提供工作站接入。XXXXXX内网网络中，由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。在DPX核心交换机上划分VLAN和网关，整体网络中部署了防病毒网关、IPS、UAG、DDI、数据容灾备份系统。0A系统

16、连接至无线汇聚交换机。其他各系统旁路至核心交换机上。安全现状：在整体网络中部署有相应的安全设备做安全防护，但部分安全设备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓扑图如下：图表1现状拓扑图主机系统现状XXXXXX的业务系统0A、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并进行标识区分。服务器操作系统全都采用微软的WindowsServer系列操作系统。xxxxxx办公终端约为300台，win7为主，XP系统占少数，主机系统没有进行过定期更新补丁，安装有360天擎杀毒软件应用系统现状xxxxxx的应用系统主要为以下业务系统：0A

17、、文件交换箱等。也包含一些其他的办公软件。现状与差距分析2.2.1物理安全现状与差距分析xxxxxx机房建设过程中参照B级机房标准参考进行统一规划，存在的物理安全隐患较少。但仍需参照以下标准进行核查、整改；根据信息安全等级保护（第三级）中对物理安全相关项（防火、防雷、防水、防磁及电力供应等）存在些许差距。详见下表差距分析。图表2物理安全现状号序要求指标项是否符合现状分析备注物理位置的选择（G3）本项要求包括：a）机房和办公场地1应选择在具有防震、防风和防雨等能力的建筑内；符口要求满足b）机房场地应避免符口要满足号序要求指标项是否符合现状分析备注设在建筑物的高层或地下求室，以及用水设备的下层或隔

18、壁。物理访问控制（G3）本项要求包括：a）机房出入口应安不符合无相关记排专人值守，控制、鉴别和要求不满足录记录进入的人员；2b）需进入机房的来有监控，但访人员应经过申请和审批不符合不满足是没有申请和审流程，并限制和监控其活动要求批流程范围；c）应对机房划分区基本符依据业务系统进行在重要区域进行管理，区域和区域之合要求了机柜间的区域区分，但域前设置物理隔号序要求指标项是否符合现状分析备注间设置物理隔离装置，在重要区域刖设置交付或安装等过渡区域；未在重要区域刖设置物理隔离装置。离装置。d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。符口要求基本满足防盗窃和防破坏（G3）本项要求包括：a

19、）应将主要设备放置在机房内；符口要求满足b）应将设备或主要部件进行固定，并设置明显的不易除去的标记；符口要求满足号序要求指标项是否符合现状分析备注C）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；不符合要求不满足有部分线缆架设在半空中d）应对介质分类标识，存储在介质库或档案室中；符合要求满足e）应利用光、电等技术设置机房防盗报警系统；符合要求满足f）应对机房设置监控报警系统。符合要求满足防雷击（G3）本项要求包括：4a）机房建筑应设置避雷装置；符合要求满足号序要求指标项是否符合现状分析备注b）应设置防雷保安器，防止感应雷；符口要求满足C）机房应设置交流电源地线。符口要求满足防火（G3）本项要

20、求包括：a）机房应设置火灾自动消防系统，能够自动检测火情自动报警，并自动5灭火；基本符合要求安装有气体灭火装置;b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；符合要求满足c）机房应采取区域不符合不满足号序要求指标项是否符合现状分析备注隔离防火措施，将重要设备与其他设备隔离开。要求防水和防潮（G3）本项要求包括：a）水管安装，不得穿过机房屋顶和活动地板下；符口要求满足b）应采取措施防止雨水通过机房窗户、屋顶和6墙壁渗透；符口要求满足c）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；符口要求满足d）应安装对水敏感的检测仪表或组件，对机房符口要求满足号序要求指标项是否符合现状

21、分析备注进行防水检测和报警。防静电（G3）本项要求包括：a）主要设备应采用7必要的接地防静电措施；符口要求满足b）机房应采用防静电地板。符口要求满足温湿度控制（G3）本项要求包括：机房应设置温、湿度8自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。XTFFT符口要求安装有动力环境监控系统，建议机房日常温度控制在1028C，湿度3070%。9电力供应（A3）号序要求指标项是否符合现状分析备注本项要求包括：a）应在机房供电线路上配置稳压器和过电压防护设备；基本符合要求满足b）应提供短期的备设置UPS电池供用电力供应，至少满足主要符合要电，并至少保证断电时主设备在断电情况下的正常求要设

22、备在满负荷情况下4运行要求；小时的正常运行。c）应设置几余或并行的电力电缆线路为计算机系统供电；不符合要求只有一条出口线，极容易出现单点故障增加线缆，做到冗余d）应建立备用供电系统。符合要求满足1电磁防护（S3）号序要求指标项是否符合现状分析备注0本项要求包括：a）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；符合要求满足b）电源线和通信线缆应隔离铺设，避免互相干扰；符合要求满足c）应对关键设备和磁介质实施电磁屏蔽。符合要求满足2.2.2网络安全现状与差距分析由于XXXXXX前期已经行相关安全建设，仍有相关安全防护建设不到位，主要表现出以下问题点：网络结构基本清晰，但细节规划不合理；新增移

23、动接入链路，面对日益突增的网络安全事件缺乏有效防御手段及应急机制；骨干网络架构规划不合理，核心交换区无冗余，安全防护区域划分不明晰，不能对不同区域间防护措施、技术手段进行统一规划，不同区域对恶意攻击的防范能力不一。详见下表差距分析：图表3网络安全现状号序要求指标项是否符合差距分析备注结构安全（G3）本项要求包括：1a）应保证主要网络不符合域网核心交换设域网核心设备至设备的业务处理能力具备要求备均采用单链路、单设少有二台，采用多链路冗余空间，满足业务高峰备，无冗余空间，一旦号序要求指标项是否符合差距分析备注期需要；出现设备故障则会出现单点故障，无法有效保障对外开放的业务安全稳定的运行。b）应保证

24、网络各个部分的带宽满足业务高峰期需要；符口要求满足c）应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；符口要求满足d）应绘制与当前运行情况相符的网络拓扑结构图；不符合要求暂无拓扑图我们会在工程结束后重新绘制网络拓扑图。号序要求指标项是否符合差距分析备注e）应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；基本符合要求整体网络结构中已按照需求进行子网划分。但使用中存在混乱，没有按规定使用。待本次项目建设进行梳理、严格限制f）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间

25、采取可靠的技术隔离手段；基本符合要求满足访问控制（G3）2本项要求包括：号序要求指标项是否符合差距分析备注仅在dmz区部署建议在互联网出a）应在网络边界部不符合防火墙且防火墙已过口与服务器区前部署防署访问控制设备，启用访要求保，其他区域未部署访火墙进边界隔离与访问1可控制功能；问控制设备控制b）应能根据会话状态信息为数据流提供明确付合要满足的允许/拒绝访问的能力，求控制粒度为端口级；c）应对进出网络的信息内容进行过滤，实现付合要对应用层HTTP、FTP、求满足TELNET、SMTP、POP3等协议命令级的控制；d）应在会话处于非付口要满足号序要求指标项是否符合差距分析备注活跃一定时间或会话结束

26、求后终止网络连接；未部署流量控制设备，无法根据所承载的业务和带宽的实际e）应限制网络最大不符合情况确定网络最大流部署上网行为管流量数及网络连接数；要求量数和网络连接数并理及流控进行管理。未部署访问控制设备的区域无法采用实现重要网段地f）重要网段应采取不符合包过滤或传输控制协址进行有效保护防止地技术手段防止地址欺骗；要求议，进行边界访问控址欺骗。制，防止地址欺骗，应号序要求指标项是否符合差距分析备注对网络中的广播、组播进行必要的控制。没有在服务器区g）应按用户和系统前和网络出口设置防之间的允许访问规则，决不符合火墙、认证网关或授权新增2台防火墙定允许或拒绝用户对受控要求管理系统，可对单个用实现不

27、同安全域之间的系统进行资源访问，控制户的访问进行策略控访问控制粒度为单个用户；制。h）应限制具有拨号不符合不涉及访问权限的用户数量。要求安全审计（G3）Q本项要求包括：3a）应对网络系统中不符合有上网行为管理部署综合日志审的网络设备运行状况、网要求设备（过保），但是并计系统可对来自不同厂号序要求指标项是否符合差距分析备注络流量、用户行为等进行没有办法对网络设备商的安全设备、网络设日志记录；运行状况日志记录，而备、主机、操作系统、部署综合安全日志审数据库系统、用户业务计系统可对来自不同系统的日志、警报等信厂商的安全设备、网络息汇集到审计中心，实设备、主机、操作系统、现综合安全审计。数据库系统、用

28、户业务系统的日志、警报等信息汇集到审计中心，实现综合安全审计。b）审计记录应包括：事件的日期和时间、付口要满足用户、事件类型、事件是求否成功及其他与审计相关号序要求指标项是否符合差距分析备注的信息；C）应能够根据记录不符合部署日志审计系数据进行分析，并生成审要求不满足统计报表；d）应对审计记录进入？FF7付合要安全审计日志记行保护，避免受到未预期求满足录要求保存至少半年以的删除、修改或覆盖等。上。边界完整性检杳（S3）本项要求包括：a）应能够对非授权设备私自联到内部网络的不符合可通终端管理系可采用终端管理行为进行检杳，准确定出要求统或ARP绑定技术手段系统等手段进行管理控位置，并对其进行有效阻

29、实现制断；号序要求指标项是否符合差距分析备注b）应能够对内部网络用户私自联到外部网络的行为进行检杳，准确定出位置，并对其进行有效阻断。不符合要求可采用终端管理系统等手段进行管理控制入侵防范（G3）本项要求包括：a）应在网络边界处监视以下攻击行为：端口5扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；基本符合要求出口处部署有IPS入侵防御号序要求指标项是否符合差距分析备注b）当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警基本符合要求落实安全审计系统报警功能。恶意代码防范（G3）本项要求包括：a）应在网络边

30、界处对恶意代码进行检测和清6除；符合要求满足b）应维护恶意代码库的升级和检测系统的更新。符合要求7网络设备防护（G3）号序要求指标项是否符合差距分析备注本项要求包括：a）应对登录网络设备的用户进行身份鉴别；不符合要求没有指定专人进行维护。通过密码和用户名进行身份鉴别，同时也没有部署堡垒主机。可以指定专人维护网络设备，并通过用户名和密码进行身份鉴别，同时也可以部署堡垒主机b）应对网络设备的管理员登录地址进行限制；不符合要求对管理员登陆地址没有限制。增添堡垒机设备，这样可以有效对远程用户进行管理。c）网络设备用户的标识应唯一；不符合要求网络设备没有唯一的标示。重新对设备进行标不示。d）主要网络设备

31、应对同一用户选择两种或两种以上组合的鉴别技术来不符合要求主要网络设备未对同一用户选择两种或两种以上组合的鉴增设堡垒机号序要求指标项是否符合差距分析备注进行身份鉴别；别技术来进行身份鉴别；e）身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；不符合要求密码没有定期更换，复杂度不够用户口令应12位以上，数字和字母组成，至少3个月更换一次。f）应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；付合要求当一次登录密码错误次数超过6次，应能自动关闭并告警。g）当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网不符合要求传输中进行加密，可以

32、使用IPsecVPN技术号序要求指标项是否符合差距分析备注络传输过程中被窃听；h）应实现设备特权用户的权限分离。不符合要求网络管理员、系统管理员和安全审计员分开，并按职责分工限制各自权限，但无技术手段控制。部署堡垒机控制用户权限2.2.3主机安全现状与差距分析XXXXXX内网主机终端已部署终端杀毒软件。终端主机安全现状差距分析，如下：图表4主机安全现状号序要求指标项是否符合差距分析备注身份鉴别（S3）本项要求包括：a）应对登录操作系统和数据库系统的用户进行身份标识和鉴别；基本符合要求没有严格通过账号密码限制操作系统和数据库系统的用户登陆，进行身份标识和鉴别；b）操作系统和数据库系统管理用户身份

33、标识不符合要求不满足系统管理员的登录身份标识唯一，口令号序要求指标项是否符合差距分析备注应具有不易被冒用的特点，口令应有复杂度要求并定期更换；12位以上，且数字和字母大小写组合，每半年应更改一次。C）应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；符合要求当登录次数错误超过6次，应自动退出并告警。d）当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；不符合要求没有采用IPSecVPN对传输加密的方法来保证远程管理安全可靠。采用IPSecVPN部署e）应为操作系统和数据库系统的不同用户分配不同的用户名，确保用不符合要求不满足号序要求指标项是否

34、符合差距分析备注户名具有唯一性。采用用户名部署堡垒机f）应采用两种或两不符合要密码的鉴别技术对种以上组合的鉴别技术对求管理员进行身份鉴管理用户进行身份鉴别。别。访问控制（S3）本项要求包括：a）应启用访问控制不符合要功能，依据安全策略控制求不满足用户对资源的访问；b）应根据管理用户因只设置了部署堡垒机，将网的角色分配权限，实现管不符合要一个管理员账号，络管理员、系统管理员理用户的权限分离，仅授求也未通过技术手段和安全审计员分离，通予管理用户所需的最小权控制授予所需要的过技术手段控制授予所号序要求指标项是否符合差距分析备注限；最小权限。需要的最小权限。C）应实现操作系统和数据库系统特权用户的权限

35、分离；不符合要求还是未修改的默认口令修改口令d）应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；不符合要求不满足e）应及时删除多余的、过期的帐户，避免共享帐户的存在。基本符合要求因只一个账户，不存在多余的账户f）应对重要信息资源设置敏感标记；不符合要求未对重要服务器部署服务器加固系统，采取安全对重要服务器部署服务器加固系统，采取安全加固措施，并设号序要求指标项是否符合差距分析备注加固措施，并设置置敏感标记敏感标记。g）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；不符合要求不满足安全审计（G3）本项要求包括：未部署数据部署日志审计系a）审计范围应覆盖库审计

36、系统，无法统和数据库审计系统到服务器和重要客户端上不符合要对服务器和重要客的每个操作系统用户和数求户端上的每个操作据库用户；系统用户和数据库用户进行审计。b）审计内容应包括不符合要未部署数据部署日志审计系号序要求指标项是否符合差距分析备注重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；求库审计系统，无法对重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件进行审计。统和数据库审计系统C）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；不符合要求未部署数据库审计系统，无法对数据库进行审计。部署日志审计系统和数据库审计系统

37、d）应能够根据记录数据进行分析，并生成审计报表；不符合要求未部署数据库审计系统，无法对异常行为实时告部署日志审计系统和数据库审计系统号序要求指标项是否符合差距分析备注警。e）应保护审计进程，不符合要未部署数据部署日志审计系避免受到未预期的中断；求库审计系统。统和数据库审计系统未部署数据f）应保护审计记录，不符合要库审计系统。（审计部署日志审计系避免受到未预期的删除、求记录至少应保存半统和数据库审计系统修改或覆盖等。年。）剩余信息保护（S3）本项要求包括：a）应保证操作系统和数据库系统用户的鉴别不符合要信息所在的存储空间，被求不满足释放或再分配给其他用户前得到完全清除，无论这号序要求指标项是否符

38、合差距分析备注些信息是存放在硬盘上还是在内存中；b）应确保系统内的可在终端在终端Windows操文件、目录和数据库记录不符合要Windows操作系统作系统启用“关机前清等资源所在的存储空间，求未启用“关机前清除虚拟内存页面”功能被释放或重新分配给其他除虚拟内存页面”项。用户前得到完全清除。功能项。入侵防范（G3）本项要求包括：a）应能够检测到对重要服务器进行入侵的行已有ips入侵为，能够记录入侵的源IP、符合要求防御系统攻击的类型、攻击的目的、攻击的时间，并在发生严号序要求指标项是否符合差距分析备注重入侵事件时提供报警；b）应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的

39、措施；不符合要求未定期使用完整性检杳工具或脚本对服务器的重要程序和文件进行检杳。定期使用完整性检杳工具或脚本对服务器的重要程序和文件进行检杳。c）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。不符合要求未通过技术手段保持系统补丁及时得到更新。增加终端管理软件模块。恶意代码防范（G3）/6本项要求包括：号序要求指标项是否符合差距分析备注a）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；符合要求满足，安装了360天擎b）主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；符合要求满足，安装了360天擎c）应

40、支持防恶意代码的统一管理。符合要求满足，安装了360天擎资源控制（A3）本项要求包括：7a）应通过设定终端接入方式、网络地址范围不符合要求通过账号密码限制终端登录。通过增设堡垒机对终端接入进行管理。号序要求指标项是否符合差距分析备注等条件限制终端登录；b）应根据安全策略设置登录终端的操作超时锁定；不符合要求未部署终端管理系统对登录终端进行管理。部署终端管理系统对登录终端进行管理。c）应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；不符合要求没有网络管理系统可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。d）应限制单个用户对系统资源的

41、最大或最小使用限度；不符合要求没有网络管理系统可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。号序要求指标项是否符合差距分析备注e）应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。不符合要求不能进行报警可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。2.2.4应用安全现状与差距分析XXXXXX应用系统根据国家信息安全等级保护（第三级）标准在对应用系统安全进行分析时，发现应用系统涉及到应用系统的运行稳定以及业务数据的安全可靠，故而安全防护技术手段如下：以业务系统自身通过代码查错、规则设置、权限细化等方法为主要手段，来满足信息系统

42、安全等级保护（第三级）中应用安全部分标准项（如身份鉴别、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等）的要求部分标准项（如身份鉴别、访问控制、安全审计、通信保密性等）除可通过应用系统进行安全加强外，也可通过设备进行技术防护详见下表差距分析：图表5应用安全现状号序要求指标项是否符合差距分析备注身份鉴别（S3）本项要求包括：1a）应提供专用的登录不符未采用技术手段，增设堡垒机，控制模块对登录用户进行合要求提供专用的登录控制模块通过堡垒机用户登身份标识和鉴别；对登录用户的身份进行标陆进行身份识别和号序要求指标项是否符合差距分析备注识和鉴别。鉴别。b）应对同一用户采用两

43、种或两种以上组合的鉴别技术实现用户身份鉴别；符合要求c）应提供用户身份标识唯一和鉴别信息复杂度检杳功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；符合要求d）应提供登录失败处理功能，可采取结束会话、符合限制非法登录次数和自动要求退出等措施；e）应启用身份鉴别、基本号序要求指标项是否符合差距分析备注用户身份标识唯一性检杳、用户身份鉴别信息复杂度检杳以及登录失败处理功能，并根据安全策略配置相关参数。符合要求访问控制（S3）本项要求包括：a）应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；符合要求b）访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之

44、间的符合要求号序要求指标项是否符合差距分析备注操作；C）应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；符合要求d）应授予不同帐户为完成各自承担任务所需的符合最小权限，并在它们之间形要求成相互制约的关系。对重要服务器部署e）应具有对重要信息不合服务器加固系统，采取安资源设置敏感标记的功能；要求全加固措施，并设置敏感标记。f）应依据安全策略严不合服务器加固系统有格控制用户对有敏感标记要求实现文件强制访问控制、号序要求指标项是否符合差距分析备注重要信息资源的操作；注册表强制访问控制、进程强制访问控制、程序授权控制、网络级访问控制等功能。安全审计（G3）本项要求包括：部署了安全a）应提供

45、覆盖到每个审计系统,对应用用户的安全审计功能，对应基本系统每个用户的安用系统重要安全事件进行符合要求全事件进行记录审审计；计。b）应保证无法单独中基本未部署安全管理系部署了安全断审计进程，无法删除、修符合要求统审计系统改或覆盖审计记录；号序要求指标项是否符合差距分析备注C）审计记录的内容至少应包括事件的日期、时基本部署了安全间、发起者信息、类型、描符合要求审计系统述和结果等；d）应提供对审计记录数据进行统计、查询、分析基本部署了安全及生成审计报表的功能。符合要求审计系统剩余信息保护（S3）本项要求包括：4a）应保证用户鉴别信在终端Windows操可在终端不符合息所在的存储空间被释放作系统中未启

46、用“不显Windows操作系统要求或再分配给其他用户前得示上次登录名”功能项。启用“不显示上次号序要求指标项是否符合差距分析备注到完全清除，无论这些信息登录名”功能项。是存放在硬盘上还是在内存中；b）应保证系统内的文在终端Windows操在终端件、目录和数据库记录等资不符合作系统中未启用“关机Windows操作系统源所在的存储空间被释放要求前清除虚拟内存页面”中未启用“关机前或重新分配给其他用户前功能项。清除虚拟内存页得到完全清除。面”功能项。通信完整性（S3）本项要求包括：5在应用软件编程应采用密码技术保证符合中，对通信的保密性提出通信过程中数据的完整性。要求要求。6通信保密性（S3）号序要

47、求指标项是否符合差距分析备注本项要求包括：a）在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；符合要求在应用软件编程中，对通信的保密性提出要求。b）应对通信过程中的整个报文或会话过程进行加密。符合要求应用软件中应有此功能抗抵赖（G3）本项要求包括：a）应具有在请求的情7况下为数据原发者或接收者提供数据原发证据的功能；符合要求应用软件有此项功能。号序要求指标项是否符合差距分析备注b）应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。符合要求应用软件有此项功能。软件容错（A3）本项要求包括：a）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输8入的数据

48、格式或长度符合系统设定要求；符合要求应用软件有此项功能。b）应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能符合要求应用软件提供断点保护和恢复功能。号序要求指标项是否符合差距分析备注够进行恢复。资源控制（A3）本项要求包括：a）当应用系统的通信如果通信双方中有双方中的一方在一段时间符合一方在10分钟内未作任内未作任何响应，另一方应要求何响应，应自动结束会话，能够自动结束会话；释放网络连接。9b）应能够对系统的最符合应当提供系统的实大并发会话连接数进行限要求际要求，设定最大并发会制；话连接数。c）应能够对单个帐户符合满足的多重并发会话进行限制；要求d）应能够对一个时间符合应当业务

49、应用系统段内可能的并发会话连接要求和实际需要设定。号序要求指标项是否符合差距分析备注数进行限制；e）应能够对一个访问帐户或一个请求进程占用符合满足的资源分配最大限额和最要求小限额；f）应能够对系统服务不符后期建议部水平降低到预先规定的最合要求不满足署网管运维软件小值进行检测和报警；g）应提供服务优先级在系统中应可根据设定功能，并在安装后根据符合用户的权限设定服务等级安全策略设定访问帐户或要求及优先级，并保证优先级请求进程的优先级，根据优用户首先使用系统资源的先级分配系统资源。权力。2.2.5数据安全现状与差距分析信息系统的安全核心是数据的安全，XXXXXX网络中有全局正常运行信息的数据，一旦数

50、据出现被盗取、被篡改、被删除，小则造成小范围的XXXXXX业务受影响，大则将对全局办公、经济利益或社会形象造成不可弥补的损失。一旦出现意外，数据的还原、恢复显得尤为重要。目前XXXXXX对数据的备份主要采用维护工程师定期进行手动备份和数据被备份一体机的方式，备份范围包含业务关键数据，且是备份在本地。可能会出现以下情况：1.出现极端自然灾害，数据存储介质出现损坏，数据损坏后无法恢复；详见下表差距分析：图表6数据安全现状号序要求指标项是否符合差距分析备注数据完整性（S3）本项要求包括：1a）应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到基本符合要求数据备份一体机应带有此功能

51、 破坏，并在检测到完整性错误时采取必要的恢复措施；b）应能够检测到系统管理数据、鉴别信息和重要业务基本符数据在存储过程中完整性受合要求到破坏，并在检测到完整性错误时采取必要的恢复措施。数据备份一体机应带有此功能数据保密性（S3）本项要求包括:a）应采用加密或其他有效措施实现系统管理数据、鉴基本符别信息和重要业务数据传输保合要求密性；数据备份一体机应带有此功能b）应采用加密或其他保基本符护措施实现系统管理数据、鉴合要求别信息和重要业务数据存储保数据备份一体机应带有此功能密性。备份和恢复（A3）本项要求包括：a）应提供本地数据备份部署服务器与恢复功能，完全数据备份至入？FFT符合要满足数据备份系统

52、。少每天一次，备份介质场外存求放；有本地备份b）应提供异地数据备份3不符合一体机，后期建议功能，利用通信网络将关键数要求不满足完善异地备份机据定时批量传送至备用场地；制。c）应采用冗余技术设计入？FFT符合要网络拓扑结构，避免关键节点求满足存在单点故障；d）应提供主要网络设备、入？FFT符合要满足通信线路和数据处理系统的硬求件冗余，保证系统的高可用性。 2.2.6安全管理现状与差距分析XXXXXX在日常的运行维护管理中，根据自身的情况有制定一些安全管理制度并执行，但没有进行系统而规范的制度文件体系建设，以及相应制度执行记录归档保存。根据等级保护管理安全要求，仍有部分制度需要进行完善。管理制度建

53、议如下表：图表7安全管理现状类别管理内容制度包括的主要内容现状分析备注物理资产安全管理对信息系统相关的资产清单、分类与标识、使用、转移、废弃等做出规定。不满足对信息系统相关的资产清单、分类与标识、使用、转移、废弃等做出规定。机房安全管理对进出机房的人员和设备，机房监控、机房值班、机房环境保障等做出规定。不满足对进出机房的人员和设备，机房监控、机房值班、机房环境保障等做出规定。设备安全管理对设备的放置、使用、维护、不满足对设备的放置、使用、维修、报废等做出规定。维护、维修、报废等做出规定。介质安全管理对介质的归档、存放、使用、销毁等做出规定。不满足对介质的归档、存放、使用、销毁等做出规定。网络网

54、络安全管理对网络及安全设备的操作、配置、日志记录和监控等做出规定。不满足对网络及安全设备的操作配置、日志记录和监控等做出规定。系统系统安全管理对服务器和数据库等的操作、配置、日志记录和监控等做出规定。不满足对服务器和数据库等的操作、配置、日志记录和监控等做出规定。应用数据安全管理对信息系统数据保存、备份、使用等做出规定。不满足对信息系统数据保存、备份、使用等做出规定。病毒防护管理对病毒防护系统的管理、使用和升级等做出规定不满足对病毒防护系统的管理、使用和升级等做出规定终端计算机管理对终端计算机的日常使用、软件安装，入网、维修、报废等做出规定。不满足对终端计算机的日常使用、软件安装,入网、维修、

55、报废等做出规定。便携计算机管理对便携计算机的使用、密码保护、入网、文件存储、维修等做出规定。不满足对便携计算机的使用、密码保护、入网、文件存储、维修等做出规定。移动存储介质管理对移动存储介质的使用、管理、维修等做出规定。不满足对移动存储介质的使用、管理、维修等做出规定。对信息化项目安全需求、安对信息化项目安全需建项目安全审核全保障方案及保护等级等做不满足求、安全保障方案及保设出规定。护等级等做出规定。系统开发安全对开发环境、代码安全、上不满足对开发环境、代码安管理线测试、开发人员保密责任等做出规定。全、上线测试、开发人员保密责任等做出规定。对设立安全管理机构、对设立安全管理机构、机构机构职能、

56、人员职责及机构和人员管职能、人员职责及管理，如不满足管理，如重要岗位保密理重要冈位保密责任、人员离责任、人员离岗离职等岗离职等方面做出规定。方面做出规定。对日常运行维护的流程、操对日常运行维护的流管理运行维护管理作等做出规定。不满足程、操作等做出规定。对普通业务用户、重要对普通业务用户、重要业务业务用户、特权用户用户、特权用户（网络、系用户管理统、安全管理员）的审批、不满足（网络、系统、安全管理员）的审批、权限、权限、安全要求等做出规定。安全要求等做出规定。密码管理对信息系统中使用的密码强不满足对信息系统中使用的度、变更和保存等做出规定。密码强度、变更和保存等做出规定。应急管理对应急计划、处理

57、、实施、演练等做出规定。不满足对应急计划、处理、实施、演练等做出规定。对信息系统的变更申报、审对信息系统的变更申变更管理批流程以及实施等做出规不满足报、审批流程以及实施定。等做出规定。网络安全检杳对网络安全检杳流程、工作内容等做出规定。不满足对网络安全检杳流程、工作内容等做出规定。违：以上制度体系仅供参考，请结合XXXXXX实际情况进行制定，建议相关制度文件以红头文件发布并归档保存，对制度执行过程中形成的相关记录需定期归档保存。 综合整改建议结合XXXXXX网络现状以及与国家政策标准的差距分析，本方案对XXXXXX的安全防护做出如下建议：2.3.1技术措施综合整改建议图表8综合技术措施整改建议

58、表格序号问题项目类别等保要求（三级）整改建议（G3）结构安全：结合用户当前网络实核心区域只有一台设a）应保证主要网络设备的1备，无冗余设计网络安全业务处理能力具备冗余空际情况，建议新增一台核心交换机间，满足业务高峰期需要；目前整体网络中区域（G3）访问控制：结合用户当前网络实划分不合理，未部署a）应在网络边界部署访问际情况，建议在互联2访问控制设备（DMZ区网络安全控制设备，启用访问控制网出口和服务器区前前的防火墙设备已过功能；部署防火墙实现边界保）隔离和访问控制序号问题项目类别等保要求（三级）整改建议未部署流量控制设备，无法根据所承载本次项目中建议部署（G3）访问控制：的业务和带宽的实际上网

59、行为管理及流控3网络安全e）应限制网络最大流量数情况确定网络最大流（原有的上网行为管及网络连接数；量数和网络连接数并理设备已过保）进行管理。（G3）访问控制：a）应能够对非授权设备私本次项目中采用终端无法对非法内联行为4网络安全自联到内部网络的行为进管理软件或相关技术进行发现和阻断行检杳，准确定出位置，手段解决并对其进行有效阻断；未实现重要网段地址（G3）访问控制：利用访问控制设备的5进行有效保护防止地网络安全f）重要网段应采取技术手区域无法采用包过滤址欺骗。段防止地址欺骗；或传输控制协议，进序号问题项目类别等保要求(三级)整改建议行边界访问控制，防止地址欺骗，应对网络中的广播、组播进行必要的

60、控制。6无访问控制设备网络安全(G3)访问控制：g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；通过部署防火墙实现不同安全域之间的边界隔离和访问控制7原有上网行为管理设备过保、无网管软件，网络安全(G3)安全审计：a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记部署上网行为管理及流控、网管软件结合网络中的安全审计系统实现序号问题项目类别等保要求(三级)整改建议录；不能够对非授权设备(G3)边界完整性检杳：私自联到内部网络的应能够对非授权设备私自可采用终端管理系统8行为进行检杳，准确网络安全联到内部网络的行为进行等手段进行管