信息安全等级保护建设解决方案2647

信息安全等级保护(二级)建设方案 1.2.项目参考标准 4 4.3.总体网络架构设计 12 5.详细方案设计技术部分 13 5.2.2.入侵防范技术 135.2.3.网页防篡改技术 13 5.2.5.网络安全审计 14 5.3.1.数据库安全审计 145.3.2.运维堡垒主机 145.3.3.主机防病毒技术 15 6.详细方案设计管理部分 16 6.2.信息安全管理制度 17 6.7.安全管理制度汇总 20 7.2.1.漏洞扫描 217.2.2.渗透测试 217.2.3.配置核查 217.2.4.安全加固 21 7.2.6.安全培训 23 8.1.项目预算一期(等保二级基本要求) 24 1.1.项目建设目标校信息化人员将定级材料提交当地公安机关备案。本方案中，通过为满足物理安全、网络安全、主机安全、应用安全、数据安全五个方面基本技术要求进行技术体系建设；为满足安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面基本管理要求进行管理体系建设。使得学校信息系统的等级保护建设方案最终既可以满足等级保护的相关1、以学校信息系统现有基础设施，建设并完成满足等级保护二级系统基本要求的信息系统，确保学校的整体信息化建设符合相关要求。2、建立安全管理组织机构。成立信息安全工作组，学校负责人为安全责任人，拟定实施信息系统安全等级保护的具体方案，并制定相应的岗位责任制，确保信息安全等级保护工作顺利实施。3、建立完善的安全技术防护体系。根据信息安全等级保护的要求，建立满足二级要求的安全技术防护体4、建立健全信息系统安全管理制度。根据信息安全等级保护的要求，制定各项信息系统安全管理制度，对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。5、制定学校信息系统不中断的应急预案。应急预案是安全等级保护的重要组成部分，按可能出现问题的不同情形制定相应的应急措施，在系统出现故障和意外且无法短时间恢复的情况下能确保生产活动持续进行。6、安全培训：为学校信息化技术人员提供信息安全相关专业技术知识培训。1.2.项目参考标准我司遵循国家信息安全等级保护指南等最新安全标准以及开展各项服务工作，配合学校的等级保护测评工作。本项目建设参考依据：中办[2中办[2003]27号文件(关于转发《国家信息化领导小组关于加强信息安全保障工作的公通字[2004]66号文件(关于印发《信息安全等级保护工作的实施意见》的通知)公通字[2007]43号文件(关于印发《信息安全等级保护管理办法》的通知)公信安[2009]1429《关于开展信息安全等级保护安全建设整改工作的指导意见》全国人大《关于加强网络信息保护的决定》国发[2012]23号《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》国发[2013]7号《国务院关于推进物联网有序健康发展的指导意见》公信安[2014]2182号《关于加强国家级重要信息系统安全保障工作有关事项的通知》(公信安[2014]2182号)GB17859-1999计算机信息系统安全保护等级划分准则GB/T25058-2010信息系统安全等级保护实施指南GB/T22240-2008信息安全技术信息系统安全保护等级定级指南GB/T25066-2010信息安全产品类别与代码GB/T17900-1999网络代理服务器的安全技术要求GB/T20010-2005包过滤防火墙评估准则指导等级统技术GB/T20281-2006防火墙技术要求和测试评价方法GB/T18018-2007路由器安全技术要求GB/T20008-2005路由器安全评估准则GB/T20272-2006操作系统安全技术要求GB/T20273-2006数据库管理系统安全技术要求GB/T20009-2005数据库管理系统安全评估准则GB/T20275-2006入侵检测系统技术要求和测试评价方法GB/T20277-2006网络和终端设备隔离部件测试评价方法GB/T20279-2006网络和终端设备隔离部件安全技术要求GB/T20278-2006网络脆弱性扫描产品技术要求GB/T20280-2006网络脆弱性扫描产品测试评价方法GB/T20945-2007信息系统安全审计产品技术要求和测试评价方法GB/T21028-2007服务器安全技术要求GB/T25063-2010服务器安全侧评要求GB/T21050-2007网络交换机安全技术要求(EAL3)理方案等保评GB/T28452-2012GB/T29240-2012GB/T28456-2012GB/T28457-2012GB/T20269-2006GB/T28453-2012GB/T20984-2007GB/T24364-2009GB/T20985-2007GB/T20986-2007GB/T20988-2007GB/T25070-2010GB/T28448-2012GB/T28449-2012应用软件系统通用安全技术要求终端计算机通用安全技术要求与测试评价方法信息系统安全管理要求信息系统安全管理评估要求信息安全风险评估规范信息安全风险管理指南信息安全事件管理指南信息安全事件分类分级指南信息系统灾难恢复规范信息系统等级保护安全设计技术要求信息系统安全等级保护测评要求信息系统安全等级保护测评过程指南1.3.方案设计原则针对本次项目，等级保护整改方案的设计和实施将遵循以下原则：任何单位和个人，不会利用此数据进行任何侵害客户权益的行为；限公司安全服务实施规范》)，可以便于项目的跟踪和控制；遵守进度表的安排，保证双方对服务工作的可控性；整体性原则：服务的范围和内容整体全面，涉及的IT运行的各个层面，避免由于遗漏造成未来的安最小影响原则：服务工作尽可能小的影响信息系统的正常运行，不会对现有业务造成显著影响。先进性原则：为满足后续不断增长的业务需求、对安全产品、安全技术都充分考虑前瞻性要求，采用先进、成熟的安全产品、技术和先进的管理方法。分步骤原则：根据用户方要求，对用户方安全保障体系进行分期、分步骤的有序部署。行业经验相结合，结合用户方的实际信息系统量身定做才可以保障其信息系统安全稳定的运行。2.系统现状分析2.1.系统定级情况说明到侵害的客体以及受侵害的程度，经学校省公安厅的批准，已将学校系统等级定为等级保护第二级(S2A2G2)，整体网络信息化平台按照二级进行建设。2.2.业务系统说明学校本次参加整改的共有X个信息系统，分别是学校系统、学校系统、学校系统、学校系统，具体情况介绍如下：学校门户网站系统：2012年门户网站(网络版)历经系统开发、模拟测试、网络、硬件设备安装部署，络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。学校OA系统：目前学校旧OA系统准备停用，并且已经开发和准备上线新的业务系统，新的业务系统目2.3.网络结构说明学校信息系统网络拓扑图现状如下：3.安全需求分析3.1.物理安全需求分析目前在机房建设方面还存在如下问题：3.2.网络安全需求分析边界入侵防范：该信息系统无法实现对边界的访问控制，需要部署下一代署防火墙等安全设备来实现。防web攻击和网页防篡改：该信息系统无法实现对边界的访问控制，需要部署下一代署防火墙等安全设3.3.主机安全需求分析全网主机的恶意代码防范。漏洞扫描：需要部署漏洞扫描实现对全网漏洞的扫描。3.4.应用安全需求分析通信完整性和保密性：该信息系统无法实现对边界的访问控制，需要部署SSLVPN等安全设备来实现。3.5.数据安全需求分析实现对关键网络设备的冗余，建议部署双链路确保设备冗余。3.6.安全管理制度需求分析根据前期差距分析结果，该单位还欠缺较多安全管理制度，需要后续补充。4.总体方案设计4.1.总体设计目标学校的安全等级保护整改方案设计的总体目标是依据国家等级保护的有关标准和规范，结合学校信息系统展，保护敏感数据信息的安全，保证学校信息系统的安全防护能力达到《信息安全技术信息系统安全等级保护基本要求》中第二级的相关技术和管理要求。4.2.总体安全体系设计制等核心技术，在“一个中心三重防御”的框架下实现对信息系统的全面防护。整个体系模型如下图所示：安全管理中心安全管理中心是整个等级保护体系中对信息系统进行集中安全管理的平台，是信息系统做到可测、可控、GBT级保护安全设计技术要求中对安全管理中心的要求，一个符合基于可信计算和主动防御的等级保护体系模型的安全管理中心应至少包含以下三个部分：系统管理操作界面进行系统管理操作，并对这些操作进行审计。安全管理实现对系统中的主体、客体进行统一标记，对主体进行授权，配置一致的安全策略，确保标记、授权和安审计管理此外，安全管理中心应做到技术与管理并重，加强在安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等方面的管理力度，规范安全管理操作规程，建立完善的安全管理制度集。安全计算环境在解的控制)、应用安全、数据安全、安全审计等方面的技术要求，可充分结合可信计算技术和主动防御技术的先层三个方面对计算环境的全面防护。安全区域边界为保护边界安全，本解决方案针对构建一个安全的区域边界提出的解决手段是在被保护的信息边界部署一DoS与信息交换系统，并配置相应的安全策略以实现对信息流向的控制。安全通信网络目前，在通信网络安全方面，采用密码等核心技术实现的各类VPN都可以很有效的解决这类问题，达到果。4.3.总体网络架构设计4.4.安全域划分说明互联网出口域，该区域说明如下：专网出口域，该区域说明如下：主要承载互联网出口，出口主干需要部署相应的安全边界产品。终端接入域，该区域说明如下：主要是无线和有线终端接入；对外服务器域，该区域说明如下：该区域主要承载对外发布服务器，比如学校的网站；内部服务器域，该区域说明如下：主要承载对内的服务器和存储，比如OA和学校专业先关零时性的安全管理域，该区域说明如下：主要承载网络管理先关设备，比如网管系统，防病毒升级服务器等。5.详细方案设计技术部分根据GB/T25070-2010信息系统等级保护安全设计技术要求中物理安全的要求，应从以下方面进行整改：5.2.1.安全域边界隔离技术根据《信息系统安全等级保护基本要求》，应该在学校各安全域的边界处部署防火墙设备，保证跨安全域5.2.2.入侵防范技术证与主机层防病毒实现病毒库的异构。因此，在互联网出口的下一代防火墙上启用防病毒模块非常有必要。5.2.3.网页防篡改技术互联网出口的下一代防火墙上启用网页防篡改功能非常有必要。5.2.4.链路负载均衡技术5.2.5.网络安全审计跟踪分析技术，从发起者、访问时间、访问对象、访问方法、使用频率各个角度，提供丰富的统计分析报告，帮助用户在统一管理互联网访问日志的同时，及时发现安全隐患，协助优化网络资源的使用。行为进行监控、日志进行记录。部署设计：根据审计人员的操作要求生成统计报表，方便查询和生成报告，为网络事件追溯提供证据。5.3.1.数据库安全审计从而把握数据库系统的整体安全。部署设计：数据库审计部署于数据库前端交换机上，通过端口镜像收集信息。5.3.2.运维堡垒主机各IT系统独立的帐户管理体系造成身份管理的换乱，而身份的唯一性又恰恰是认证、授权、审计的依据和前提，因此身份的混乱实际上造成设备访问的混乱。之间的失衡。核心服务器或设备的物理安全和临机访问安全通过门禁系统和录像系统得以较好的解决，但是对他们的网络访问缺少控制或欠缺控制力度，在帐号、密码、认证、授权、审计等各方面缺乏有效的集中管和协同工作群件等服务。由于设备和服务器众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶的入侵和破坏，提供控制和审计依据，降低运维成本，满足相关标准要求，越来越成为信息系统关心的问题，因此建议在学校二期安全建设有必要部署一套运维堡垒主机来实现账户的安全维护。部署设计：运维审计系统部署在安全管理域，通过交换机的访问控制策略限定只能由堡垒主机内控管理平台直接访问服务器的远程维护端口。维护人员对网络设备、安全设备和服务器系统进行远程维护时，首先以Web方式登录运维审计系统，然后通过运维审计系统上展现的访问资源列表直接访问授权资源。5.3.3.主机防病毒技术学校目前网络内所有终端使用免费的杀毒软件，基本满足等级保护二级的要求，但是现在主要服务器并没部署设计软件客户端部署在内外防服务器上面，通过管理区域防病毒升级服务器对病毒规则库进行升级。部署设计：SSLVPN机上。6.详细方案设计管理部分安全管理体系的作用是通过建立健全组织机构、规章制度，以及通过人员安全管理、安全教育与培训和各6.1.总体安全方针与安全策略户方所有信息安全工作的纲领性文件，是信息安全决策机构对信息安全及各项管理制度的可落实性。我方为用户方设计的总体安全方针与安全策略将具备以下特性：安全策略紧紧围绕行业的发展战略，符合用户方实际的信息安全需求，能保障与促进信息化建设的顺和变更废弃等各阶段，应遵循的总体原则和要求。安全策略在经过用户方信息安全决策机构批准之后，将具备指导和规范信息安全工作的效力。总体安全策略进行必要的调整，并将调整后的策略提交用户方信息安全决策机构批准。6.2.信息安全管理制度必须得到有效推行和实施的制度。有效并注明发布范围，对收发文进行登记。信息安全领导小组负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定，定期或不定期对安全管理制度进行评审和修订，修订不足及进行改进。6.3.安全管理机构根据基本要求设置安全管理机构的组织形式和运作方式，明确岗位职责；、网络管理员、安全管理员等岗位，根据要求进行人员配备，配备专文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。建立授权与审批制度；作渠道；定期进行全面安全检查，特别是系统日常运行、系统漏洞和数据备份等。6.4.人员安全管理核、教育培训等内容。责人员管理，这里的人员安全管理主要指对关键岗位人员进行的以安岗位人员签署保密协议，对离岗人员撤销系统帐户和相关权限等措施。只有注重对安全管理人员的培养，提高其安全防范意识，才能做到安全有效的防范，因此需要对各类人员的基础知识、安全技术、安全标准、岗位操作规程、最新的工作流程、相关的安全责任要求、法律责任和惩戒具体依据标准《基本要求》中人员安全管理，同时可以参照《信息系统安全管理要求》等。6.5.系统建设管理系统建设管理的重点是与系统建设活动相关的过程管理，由于主要的建设活动是由服务方，如集成方、开管理记录和过程文档。具体依据标准《基本要求》中系统建设管理。6.6.系统运维管理8、环境和资产安全管理制度门禁控制手段，或使用视频监控等措施。具体依据标准《基本要求》中系统运维管理，同时可以参照《信息系统安全管理要求》等。2、设备和介质安全管理制度感数据销毁等过程的监督控制。具体依据标准《基本要求》中系统运维管理，同时可以参照《信息系统安全管理要求》等。8、其他制度3、日常运行维护制度明确网络、系统日常运行维护的责任部门或责任人，对运行管理中的日常操作、账号管理、安全配置、日志管理、补丁升级、口令更新等过程进行控制和管理；制订设备操作管理、业务应用操作管理、变更控制和重实施为信息系统可靠运行而采取的各种检测、监控、审计、分析、备份及容错等方法和措施，对运行安全进行具体依据标准《基本要求》中系统运维管理，同时可以参照《信息系统安全管理要求》等。4、集中安全管理制度第二级以上信息系统应按照统一的安全策略、安全管理要求，统一管理信息系统的安全运行，进行安全机集与分析，对安全机制进行集中管理。理要求》等。信息安全事件的等级。结合信息系统安全保护等级，制定信息安全事件分级织开展应急演练。具体依据标准《基本要求》中系统运维管理，同时可以参照《信息安全事件分类分级指南》和《信息安全事件管理指南》等。取灾难备份措施，防止重大事故、事件发生。识别需要定期备份的重要业务信息、系统数据及软件系统等，制定数据的备份策略和恢复策略，建立备份与恢复管理相关的安全管理制度。具体依据标准《基本要求》中系统运维管理和《信息系统灾难恢复规范》。开展信息系统实时安全监测，实现对物理环境、通信线路、主机、网络设备、用户行为和业务应用等的监测和报警，及时发现设备故障、病毒入侵、黑客攻击、误用和误操作等安全事件，以便及时对安全事件进行响具体依据标准《基本要求》中系统运维管理。对系统运行维护过程中的其它活动，如系统变更、密码使用等进行控制和管理。按国家密码管理部门的规定，对信息系统中密码算法和密钥的使用进行分级管理。6.7.安全管理制度汇总制定安全检查制度，明确检查的内容、方式、要求等，检查各项制度、措施的落实情况，并不断完善。定统每半年自查一次。经自查，信息系统安全状况未达到安全保护等级要求的，应当进一步开展整改。具体依据标准《基本要求》中安全管理机构，同时可以参照《信息系统安全管理要求》等。最终提交安全制度包括但不限于以下内容：总体安全策略(组织、流程、策略、技术)岗位安全责任制度第三方安全管理制度系统日常安全管理工作制度系统安全评估管理办法机房建设运行标准安全区域划分及管理规定管理信息区域网管制度系统建设管理制度设备入网安全管理制度系统软件和补丁管理制度备份与恢复管理制度账号和口令及权限管理制度介质管理加密技术使用管理办法应急预案管理制度安全事件报告和处置管理制度安全审计管理7.咨询服务和系统测评7.1.系统定级服务协助用户单位，依据《信息系统安全等级保护定级指南》，确定信息系统的安全保护等级，准备定级备案表和定级报告，协助用户单位向所在地区的公安机关办理备案手续。7.2.风险评估和安全加固服务7.2.1.漏洞扫描利用业界领先的多种扫描工具检查整个网络内部网络的主机系统与数据库系统的漏洞情况，并用人工对扫描结果进行误报分析，结果整理。目标是发掘网络内部网络的安全漏洞，包括但不局限于：操作系统漏洞、网络设备漏洞、中间件漏洞、数据库漏洞、脆弱账户等，并提出漏洞修补建议7.2.2.渗透测试透测试行为将在客户的书面明确授权和监督下进行。通过远程渗透测试全面检测信息系统清单中的系统(网站)直接暴露在互联网上的安全隐患，并提供实际可行的安全修复建议。7.2.3.配置核查通过配置核查工具和安全专家人工检查想结合的方式，逐项检查系统的各项配置和运