高校信息系统安全等级保护解决方案-v1.0

..-..-可修遍-XXX大学等级保护工程技术方案2013年4月..目录1工程概述11.1工程建立背景11.2工程建立目标11.3工程建立容11.4工程建立围11.5工程建立依据22信息系统现状与平安需求32.1信息化建立现状综述32.2技术体系构造现状32.2.1物理环境42.2.2主机层构造62.2.3网络层构造72.2.4应用层构造82.3管理体系构造现状132.3.1平安管理机构132.3.2平安管理制度132.3.3人员平安管理182.3.4系统运维管理192.4平安威胁与风险202.4.1技术层面威胁与风险202.4.2管理层面威胁与风险222.5等级保护平安需求232.5.1系统平安等级划分232.5.2系统平安等级232.5.3等级保护根本平安要求232.5.4信息系统定级情况242.6平安需求分析252.6.1技术层面平安需求分析252.6.2管理层面平安需求分析283等级保护方案设计293.1平安方案设计思路293.1.1构建分域的控制体系303.1.2构建纵深的防御体系303.1.3保证一致的平安强度303.1.4实现集中的平安管理303.2平安技术方案详细设计313.2.1确定保护强度313.2.2平安域划分与隔离313.2.3本地备份系统353.2.4网络链路冗余改造393.2.5PKI根底设施403.2.6平安审计管理423.2.7漏洞扫描系统453.2.8Web防火墙493.2.9平安管理平台设计513.2.10平安实施过程管理523.2.11效劳交付物533.3平安管理方案详细设计533.4平安运维方案详细设计583.4.1XXX大学门户平安监控583.4.2应急响应效劳613.4.3平安通告效劳623.4.4网络及平安设备维护633.4.5系统平安维护653.4.6网络防护653.4.7系统加固663.5协助测评693.5.1准备资料693.5.2现场协助703.5.3效劳交付物704系统集成实施714.1工程组织及人员安排714.2系统集成实施734.2.1平安规划与实施阶段734.2.2协助测评阶段754.2.3工程验收764.2.4工作成果文档774.3工程实施质量保证784.3.1概述784.3.2工程执行人员的质量职责784.3.3平安审计过程784.3.4部反应过程794.3.5质量改良过程794.3.6改良需求检测794.4风险躲避措施804.4.1模拟环境804.4.2系统备份804.4.3系统恢复814.4.4时间选择814.4.5过程监控814.5工程验收824.5.1验收标准824.5.2验收流程825技术支持、售后效劳及培训方案835.1平安运维效劳835.2技术支持与售后效劳方案835.2.1试运行期的技术支持与效劳835.2.2质量保证期的技术支持与售后效劳845.2.3质量保证期外的技术支持与售后效劳855.2.4跟踪效劳865.2.5工程师资质保障875.3培训方案875.3.1培训方法875.3.2培训容875.3.3效劳交付物885.3.4长期培训方案88..工程概述工程建立背景随着我国学校信息化建立的逐步深入，学校教务工作对信息系统依赖的程度越来越高；教育信息化建立量的信息资源，成为学校成熟的业务展示和应用平台，在未来的教育信息化规划中占有非常重要的地位。从平安性上分析，高校业务应用和网络系统日益复杂，外部攻击、部资源滥用、木马和病毒等不平安因素越来越显著，信息化平安是业务应用开展需要关注的核心和重点。为贯彻落实国家信息平安等级保护制度，规和指导全国教育信息平安等级保护工作，国家教委教办厅函[2009]80文件发出"关于开展信息系统平安等级保护工作的通知〞；教育部教育管理信息中心发布"教育信息系统平安等级保护工作方案"〔征求意见稿〕；教育部办公厅"印发关于开展教育系统信息平安等级保护工作专项检查的通知"〔教办厅函〔2010〕80号〕。工程建立目标本次工程建立目标：为贯彻落实国家、教育部信息平安工作部署，完善XXX大学信息系统平安技术防护措施、平安管理制度和平安运维体系，全面建立完整的信息平安防护体系，顺利通过信息系统等级测评，为XXX大学信息化的安康快速开展保驾护航。工程建立容天融信依据国家信息平安等级保护技术和管理要求，开展信息平安等级保护建立工作，工作的主要容包括：〔1〕方案设计；〔2〕系统集成；〔3〕维护效劳。工程建立围本方案的设计围覆盖XXX大学信息系统。工程建立依据为保证整个工程的实施质量和圆满完本钱次工程的工程目标，在整个等级保护整改建立工程的设计规划中将遵循以下标准："计算机信息系统平安保护等级划分准那么"〔GB17859-1999〕〔根底标准〕"信息系统平安等级保护根本要求"〔GB/T22239-2008〕〔基线标准〕"信息系统平安保护等级定级指南"〔GB/T22240-2008〕〔辅助标准〕"信息系统平安等级保护实施指南"〔辅助标准〕"信息系统平安等级保护测评准那么"〔辅助标准〕"电子政务信息系统平安等级保护实施指南〔试行〕""信息平安技术信息系统通用平安技术要求"〔GB/T20271-2006〕"信息平安技术网络根底平安技术要求"〔GB/T20270-2006〕"信息平安技术操作系统平安技术要求"〔GB/T20272-2006〕"信息平安技术数据库管理系统平安技术要求"〔GB/T20273-2006〕"信息平安技术终端计算机系统平安等级技术要求"〔GA/T671〕"信息系统平安平安管理要求"〔GB/T20269〕"信息系统平安工程管理要求"〔GB/T20282〕"信息平安技术效劳器技术要求"〔GB/T21082〕ISO/IECTR13335ISO17799:2005ISO27001:2005NISTSP-800系列ISO20000CobiT信息系统现状与平安需求信息化建立现状综述随着XXX大学信息化建立的推进，信息化建立初具规模，效劳器等主机设备根本到位，大型网络设备、高端路由设备、多种网络和系统管理软件、专业数据备份软件及网络数据平安设备和软件等大都配备完成，运行保障的根底技术手段根本具备；XXX大学网络信息中心技术力量雄厚，在网络工程、数据库建立、系统设计、软件开发、信息平安等多项领域具有较强的实力和丰富的经历。承当信息中心的网络系统管理和应用支持的专业技术人员达20余人；XXX大学随着信息系统的逐步建立，分别针对重要应用系统采用了防火墙、IPS/IDS、防病毒等常规平安防护手段，保障了核心业务系统在一般情况下的正常运行，具备了根本的平安防护能力；XXX大学的日常运行管理比拟规，按照信息根底设施运行操作流程和管理对象的不同，确定了网络系统运行保障管理的角色和岗位，初步建立了问题处理的应急响应机制。技术体系构造现状XXX大学信息系统主要包括六大业务应用系统，网络、认证计费、校园卡、数字XX、、系统。网络是XXX大学各大业务平台的根底核心，是整个校园网的根底，网络上承载着多种校园业务应用，包括认证计费、数字XX、、等多种业务应用系统，这些业务应用系统都运行在XXX大学的根底网络环境上。XXX大学认证计费系统是针对学生上互联网的一种接入认证计费的管理方式，XXX大学对学生上网是按流量进展统计收费的。认证计费系统共4台效劳器，两台认证效劳器、一台自服效劳器，一台流量统计效劳器。学生机上网通过802.1X协议进展接入认证，上网流量通过互联网出口交换机的端口镜象功能将上网数据发送到流量统计效劳器，学生通过自效劳效劳器可以查看个人上网流量的使用情况。计费采用流量计费方式，但每月流量与实际费用不成比例。校园卡属XXX大学专网，主要实现学生校园卡消费管理。校园卡与XXX大学网络有三个物理接口〔包括数字XX、认证计费、东区食堂〕。专网，与中国银行通过DDN方式互联，没有部署防火墙，数据传输使用加密机进展加密，终端取用IP/MAC绑定的平安机制，网管采用昆特网管系统对交换机、效劳器、终端进展监控管理。数字XX是XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。数字XX有2个应用效劳器，2个认证效劳器，1个BI效劳器，远程通过VPN、桥效劳器管理，有IP访问控制机制，效劳器是SUN的主机，安装Solaris10系统，2台Oralcle数据库效劳器，2台Weblogic应用效劳器，1台对外提供效劳的Apache效劳器，应用系统采取数据库，应用，效劳的三层平安架构模式部署，效劳器没有做平安加固，存在Web应用攻击威胁，测试效劳器密码被篡改正。XXX大学系统为XXX大学校园的互联网窗口，起到学校对外介绍宣传的功能。目前，XXX大学系统共有6台效劳器，效劳器区域部署了IDS设备实时检测的平安动态，系统配置了主机防火墙，一周进展一次本机数据备份，目前密码强度根本符合平安要求，有平安应急预案，但不完善，没有进展过操作演练。XXX大学系统主要为XXX大学教师与学生提供收发效劳，目前系统用户20000多，系统前端部署了IPS进展平安防护，并通过梭子鱼垃圾网关对垃圾进展过滤，数据最终存储到H3C的IPSAN中，效劳器目前单机运行，没有做双机热备，系统受到垃圾，病毒的威胁，WEB效劳发生过效劳中断，系统系统存在过退信攻击与丧失问题，可能由于系统自身脆弱性造成。物理环境机房：位于该楼三层，机房总面积约151m2，机房管理没有采取记录进出人员时间、数量和原因等情况，配电间没铺设防静电地板，接入电源为380V/50HZ/200A，无双电互投，在线UPS40KVA输出1组，冷备UPS40KVA输出2组，4个APC电池柜，每组32块电池。机房铺设防静电地板，拥有2组HIROSS专用空调保证机房恒温、恒湿，空调无漏水监控报警，机房配置防漏电保护、视频监控、烟感和利达海鑫柜式灭火、防静电导流排等必须的防护措施。机架线序混乱，没有规应急灯和温感监控。机房物理环境三层机房物理和环境平安地理位置XXX大学三层。电源电压380V/50HZ/200A，无双电互投，总接入电量为2x70平方中央空调HIROSS空调2组，没有空调漏水监控报警。外设空调UPSUPS在线40KVA输出1组，冷备10KVA输出2组，APC电池柜2组，每组32*12V*100Ah电池。地板600*600静电地板，防静电导流排。防电涌有防漏电保护，无防浪涌。机房温湿度空调显示温度：1组：21.3℃,2组：24.2℃。气喷于电源接入区、设备区应急灯无规应急灯烟感烟感：XXX大学自己做一套，消防给做了一套。温感没有部署温感监控。视频监控有3个，分别部署在设备区和电源接入区。机架线序混乱、设备没有规的标签。灭火器二套利达海鑫柜式七氟丙烷气体灭火装置(GQQ150/25)，有效喷射面积不明。机房面积配电间7*7=49m2，机房17*6=102m2，物理环境储藏间易燃易爆物品随意堆放，物品杂乱。机房：位于该楼地下一层，机房总面积约472.72m2，机房管理没有采取记录进出人员时间、数量和原因等情况，配电间没铺设防静电地板，接入电源380V，双路市电供电保障，在线UPS120KVA输出2组、带载26~27KVA,4组电池组，每组32块电池。机房铺设防静电地板，3组650AHIROSS专用空调保证机房恒温、恒湿，空调无漏水监控报警。机房配置防漏电保护、15个气体喷淋口、烟感、视频监控、红外线报警器、二氧化碳灭火装置、防静电导流排等必须的防护措施。机架线序混乱，没有规应急灯和温感监控。机房物理环境机房物理和环境平安地理位置XXX大学地下一层。电源电压380V，双市电接入，总接入电量为2x95平方。中央空调HIROSS空调3组，650A。外设空调UPSUPS在线120KVA输出2组，UPS带载26~27KVA，APC电池柜4组，每组32*12V*100Ah电池。。地板600*600静电地板，有防静电导流排。防电涌有防漏电保护，无防浪涌。机房温湿度空调显示温度：1组：22℃，2组：23.7℃，3组：22.2℃。气喷15个喷淋头。应急灯非规应急灯。烟感4个烟感。温感没有温感监控视频监控有4个部署在设备区。机架线序混乱、设备没有规的标签。灭火器二氧化碳灭火器，有效喷射面积不明。机房面积配电间13*10=130m2，机房20.4*16.8=342.72m2，物理环境清洁无杂物。主机层构造本次评估围的六个业务应用系统涉及41台效劳器。数字XX系统使用1台SUN-fire15K和1台SUN-fire25K高端效劳器作为数字XX核心效劳器，每台效劳器上划分了5个应用域，2个管理域，应用域与管理域都安装的Solaris10操作系统，另外，数字XX还包括2台SUN490效劳器,1台桥效劳器。系统共有6台Web效劳器，部署的OS有AdvanceASEL4.0、Windows2003、Redhat7.3,起到校园对社会公众的文化宣传与介绍功能。系统有2台效劳器，部署的OS为RedHatAS3，系统主要为XXX大学师生提供互联网效劳。系统目前有两万多用户，用户包括XXX大学学生与教职员工。网络评估围包括2台网管效劳器，2台DNS效劳器，1台防病毒效劳器与1台补订效劳器，这些效劳器主要用作网络与平安管理。认证计费系统包括4台效劳器，部署的OS为Windowsserver2003,认证计费系统主要针对学生接入互联网进展认证与计费管理。校园卡系统的评估围包括5台效劳器，其中两台是校园卡核心SUN880效劳器，另外3台为校园卡与数字XX、认证效劳器、东区食堂的互联接口效劳器。网络层构造XXX大学网络构造较为复杂，网络设备较多，互联网出口有三条链路，一条1000M带宽接入中国教育网，一条100M带宽接入网通，一条1000M带宽接入中国教育网IPv6网络，校园网出口核心设备由Cisco6500系列高端设备组成，并形成冗余架构，保障了互联网接入的可用性。XXX大学网络中部署了Macfee网络版防病毒系统、Allot带宽管理设备、网康上网行为管理系统、入侵防御系统及重要的网络核心交换机上配备了防火墙模块，这些平安措施分别保护了不同的业务应用系统的平安性，从一定程度上减少了受到网络攻击、病毒传播的可能性，增强了网络、系统效劳的平安性和可用性。XXX大学网络用户庞大，学生用户20000多，整个网络按照教学楼楼层划分了VLAN，XXX大学对学生上互联网的行为实施了802.1x认证计费，计费方式按照学生上互联网的网络流量进展统计计费，通过流量计费的方式有效的降低了XXX大学学生对互联网带宽的长期站用。网络评估围包括2台网管效劳器，2台DNS效劳器，1台防病毒效劳器与1台补订效劳器，这些效劳器主要用作网络与平安管理。应用层构造本次评估围涉及六个应用系统，分别为网络、认证计费、校园卡、数字XX、、系统。XXX大学信息系统承载了众多业务应用。本次信息平安风险评估对象为其中6个最为重要的业务应用系统：网络、认证计费、校园卡、数字XX、、系统。XX网络XXX大学网络构造校为复杂，网络设备较多，互联网出口有三条链路，一条1000M带宽接入中国教育网，一条100M带宽接入网通，一条1000M带宽以IPV6协议接入中国教育网。部网络为星形架构，接入各个教学楼与院系，部网络主要按照楼层划分了VLAN，同时网络上承载了XXX大学的众多业务应用系统，主要包括认证计费、数字XX、、等多种业务应用。认证计费业务XXX大学认证计费系统是针对学生上互联网的一种接入认证、计费的管理方式，XXX大学对学生上网是按流量进展统计收费的。认证、计费系统共4台效劳器，两台认证效劳器、一台自服效劳器，一台流量统计效劳器。学生机上网通过802.1X协议进展接入认证，上网流量通过互联网出口交换机的端口镜象功能将上网数据发送到流量统计效劳器，流量统计效劳器对数据进展流量统计与分析，学生能过自效劳器可以查看自已的每月的上网流量使用情况。校园卡业务XXX大学校园卡网络属XX专网，主要实现学生校园卡消费管理功能。校园卡与XXX大学网络有三个物理接口〔包括数字XX、计费认证、东区食堂〕，存在数据交换业务。另外校园卡专网还与中国银行、中国工商银行有金融数据交换。此次评估考虑到校园卡专网的实际情况，最终确定评估围是校园卡网络与XXX大学网络的三处数据交换接口。数字XX数字XX系统是XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。数字XX系统由两台SUNFIRE15K/25K高端效劳器构成，每台效劳器上启用5个效劳域，通过交换机VLAN功能实现三层的物理平安应用架构，数据信息通过FCSAN存储到EMC存储池中，管理人员定期对数据进展备份管理，两台效劳器的远程管理有两种方式，一是通过接入深信服VPN对效劳器进展管理，二是通过远程登录桥效劳器在对效劳器进展管理。系统XXX大学系统为XXX大学校园的互联网窗口，起到学校对外介绍宣传的功能。目前，XXX大学系统共有6台效劳器，效劳器区域部署了IDS设备实时检测的平安动态。系统XXX大学系统主要为XXX大学教师与学生提供收发效劳，目前系统用户20000多，系统前端部署了IPS进展平安防护，并通过梭子鱼垃圾网关对垃圾进展过滤，数据最终存储到H3C的IPSAN中。管理体系构造现状平安管理机构XXX大学网络与教育技术中心成立于上世纪90年代，中心主要承当了XXX大学网络信息化建立与运行维护工作，中心下设7个科室，分别为办公室、网络运行室、信息管理室、用户效劳室、多媒体教学效劳室、新闻制作室与校园卡管理室7个科室。目前中心编制共计45人，其中，管理岗位9人〔包括中心领导4人，办公室及各级管理人员5人〕，占总编制20%；技术人员36人，占总编制80%。中心工作由顾涛负责主持，主管网络与教育技术中心具体工作，是本部门面向学校的直接责任人，全面负责中心工作，各科室分别设立不同的岗位职责，并设立科室主任管理员岗位，每个岗位有明确的岗位职责手册。平安管理制度XXX大学网络与教育技术中心各个科室的管理制度如下表中心办公室室管理制度中心办公室管理制度三重一大制度实施细那么例会制度值班制度工作周报制度任务单制度员工培训制度经费使用管理方法办公设备与家具管理方法出差管理方法工程文件归档管理方法奖励制度影像资料管理方法多媒体教学室管理制度多媒体制作室管理制度多媒体教学效劳台管理及操作规程多媒体教学设备使用、管理规定中控室值机人员作业及交接班管理规程多媒体教学设备巡检员工作规程巡检岗故障维修及维护作业管理规定多媒体教学设备登记、出入库及投影机灯泡使用管理规定教学效劳器密码管理制度技术档案及原始资料管理规定教学效劳器机房环境管理规定教学效劳器机房维护作业管理规定多媒体教学设备及教学效劳器紧急情况处理预案网络运行室管理制度网络运行室管理制度国家相关法规中华XXX国计算机信息网络国际联网管理暂行规定中国教育和科研计算机网络管理方法〔试行〕中国教育和科研计算机网用户守那么校园根本管理方法〔公开〕中国XXX大学校园网管理条例中国XXX大学校园网接入管理管理方法效劳器接入管理规定域名管理规定域名申请和变更表中国XXX大学接入校园网接入协议〔个人〕中国XXX大学校园网入网协议〔单位〕中国XXX大学校园网信息平安管理方法中国XXX大学学生校园网管理方法〔宿舍区〕中国XXX大学学生校园网网络收费方法〔宿舍区〕中国XXX大学学生校园网管理方法〔宿舍区〕中国XXX大学学生校园网网络收费方法〔办公区〕中国XXX大学校园网电子管理方法中国XXX大学校园网IP地址管理方法中国XXX大学校园网信息效劳管理方法网络运行和效劳的部管理制度中国XXX大学校园网机房管理制度中国XXX大学设备间管理制度网络与教育技术中心用户效劳和网络运行管理制度网络与教育技术中心用户室和运行室岗位职责网络与教育技术中心网络技术文档管理制度网络与教育技术中心工程管理方法测试制度网络与教育技术中心设备资产管理制度库房管理方法电动车使用管理方法光纤施工和设备安装管理方法设备及房间命名规那么网络与教育技术中心平安管理规定网络与教育技术中心网络事件处理规定网络应急处理职责表校园卡管理室管理制度校园卡管理室管理制度校园卡片文件构造校园卡绑定银行卡使用规定校园卡发放和使用管理规定校园卡管理中心岗位职责校园卡管理中心网络信息发布管理细那么校园卡管理中心应对灾难性故障的紧急预案校园卡系统IP地址管理规定校园卡系统财务结算管理细那么校园卡系统个人生物特征采集和使用管理规定校园卡系统密钥及PSAM卡片使用管理规定校园卡系统商户接入管理方法校园卡系统信息平安保障细那么校园卡系统证照采集和使用管理规定校园卡管理中心收费管理方法中国XXX大学校人员编码细那么新闻管理室管理制度新闻制作室管理制度工作中既要热情、主动又要认真、及时，决不遗漏重大新闻及有明确要求的新闻摄录要及时地制作、存档视频资料，并向需要的有关部门提供相应视频资料尽量不让与工作无关的人员进入机房、办公室等相关工作场所节假日加班后安排适当时间倒休磁带保存制度设备使用制度信息管理室管理制度信息管理室管理制度第一局部工程管理和建立方面的管理制度"数字XX〞用户培训管理制度"数字XX〞用户登录咨询、密码修改的受理效劳管理制度"数字XX〞应用工程需求变更响应管理制度"数字XX〞信息标准版本及变更管理制度"数字XX〞应用工程确认、评审、签字和验收制度"数字XX〞应用工程技术文档规编写管理制度"数字XX〞文档分类、存储、版本及更新管理制度"数字XX〞登录用户密码和用户信息管理制度"数字XX〞部门信息管理员建立、联络和培训管理制度VPN资源管理制度VPN系统运维管理制度第二局部系统硬件和系统级软件方面的管理制度网络与教育技术中心效劳器管理制度网络与教育技术中心效劳器运行保障制度存储系统管理制度网络教育技术中心系统级口令密码和用户管理制度硬件设备购置和保管制度"数字XX〞系统事故应急管理方法数据库管理制度和方法第三局部研发方面的管理制度"数字XX〞需求变更响应管理制度"数字XX〞源代码管理规"数字XX〞系统更新流程管理规研发人员操作管理制度数据信息平安管理制度"数字XX〞平台平安管理制度"数字XX〞文档平安管理规知识库维护管理规人员平安管理网络与教育技术中心的人员录用由XXX大学人事处具体管理，中心提出人员需求，人事处负责人员的招聘考核，考核通过后再由中心进展二次考核方可录用，新员工录用不需要签署协议。目前中心人员进多出少，所以没有较为完善的人员离岗流程规。各科室分别设立不同的岗位，并有明确的岗位职责手册，中心会不定期的组织员工外出参加相关岗位技术培训，但没有科室考核制度。各科室人员构造如表9所示：网络与教育技术中心各科室主要人员构造主任副主任副总工程师中心办公室网络运行室用户效劳室信息管理室新闻制作室多媒体教学效劳室校园卡管理中心临时人员系统运维管理环境管理：XXX大学网络规模庞大，网络资产8000多件，设备100多个，机房管理由专人负责，并建立机房管理制度。资产管理：XXX大学资产统一由资产设备处管理，网络与教育技术中心负责相关设备、系统的运行维护工作，并保证设备管理落实到人。介质管理：网络与教育技术中心没有制定介质管理规，保障U盘等介质使用的平安性。设备管理：网络与教育技术中心没有完善的设备管理制度与规，包括设备操作规，设备维护规，但重要的信息系统的维护、更新与建立会按严格的工程实施流程进展。监控与平安管理：网络与教育技术中心没有建立集中的网络监控与平安预警响应平台，目前正处在规划阶段。网络平安管理：网络运行室没有制定规性的网络运行管理制度与规，目前完全依靠工作人员的工作经历进展网络的运维与平安管理。系统平安管理：重要的信息系统建立、维护与管理会严格依据工程流程建立，会对系统的平安性进展考虑设计，但没有形成规性的运维管理规与制度，对平安、规化的管理，运维考虑缺乏。恶意代码防管理：网络与教育技术中心统一购置了MCAFEE防病毒系统，但没有强制所有终端机必需安装，没有规化的病毒管理制度与规。密码管理：网络与教育技术中心对密码管理有要求，但各科室的密码管理执行力较差。备份恢复：网络与教育技术中心对重要信息系统的数据备份有管理要求，但没有完善的考核机制，不能考核管理制度的执行力度。平安事件处理：网络与教育技术中心没有平安事件处理机制与流程，当平安事件发生，完成依据管理人员的工作经历进展临时处理。平安威胁与风险通过前期的风险评估工作，我们对XXX大学信息系统所面临的平安威胁与风险总结如下，分为技术层面威胁与风险、管理层面威胁与风险：技术层面威胁与风险序号类别威胁与风险1根底设施〔机房〕和机房无人值守，没有进展记录，机房没有进入申请和审批流程，如果无授权人员进入，那么有较大平安隐患；2机房配电间没有铺设防静电地板，无法有效防护静电；3和机房空调下漏水检测系统属于被动式的，没有直观有效的监控方式；4机房供电系统采用2x70平方的电缆380V、200A电力接入，一组40KVAUPS、冷备10KVA输出2组、一路市电没有互投设备。出现电力故障XXX大学业务系统将面临全面停顿的风险；5和机房缺乏主动式漏水检测和温感监控设备，二氧化碳灭火器缺乏维护检查，一旦机房环境发生变化，得不到及时的告警通知，消防措施也不到位；6储藏间易燃物品随意堆放，物品杂乱；7机房综合布线混乱，各设备没有明显标签；8通信网络网络设备中弱口令现象较多，虽然有ACL进展网络控制，但是ACL允许的IP地址围较宽，存在较大的平安隐患；9DNS效劳器作为所有XX师生都要访问的设备，没有对区域传输的IP地址做限制，简单的命令便可以泄露XXX大学所有的域名记录，方便攻击者对网络架构进展分析；10网络没有流量、带宽及行为管理措施，现有流量管理设备及上网行为管理设备没有使用；11IPv6监控系统web登陆方式存在弱口令guest/guest，可以被轻易猜出，登陆以后可以直接看到校园网的网络拓扑和流量情况；12区域边界IPS的规那么库没有及时升级，导致设备的平安防护效果大打折扣；13信息系统边界划分不明确，在边界处缺乏有效访问控制机制，核心交换机上的防火墙模块未启用，如：校园卡与XXX大学网络有互联接口，但平安互联控制策略机制不健全，交换机没有做访问控制策略,没有采用平安隔离网闸或防火墙进展逻辑有效隔离；14办公网划分VLAN依据楼层方式划分，无法有效制定访问控制策略；15数字XX、系统、门户效劳器本身的平安防护机制比拟缺乏，目前主要是凭借网地址的逻辑隔离，来实现系统平安；16计算环境数字XX效劳器大多开启了telnet、rlogin、rsh、finger等效劳，telnet登陆方式的密码容易被嗅探，finger效劳暴漏了主机上的用户名列表，使得用户名、口令的平安性大大降低；17数字XX桥效劳器作为对数字XX进展维护的重要通道，其本身的平安性极差，缺乏补丁更新，开启多个默认共享，反而成为向网入侵的一个便利通道；18认证计费效劳器虽然安装了杀毒软件，但由于版本没有更新，杀毒软件本身存在平安漏洞，且存在snmp弱口令，认证计费系统的平安性急剧降低；19北塔网管效劳器作为网络监控的核心设备，存在snmp弱口令，可以列举出操作系统的用户名、开放的端口、安装的软件、进程列表等，网管平台的平安没得到保证；20应用系统缺乏平安加固，存在跨站脚本攻击问题；21系统没有强制使用s登陆，用户口令存在被嗅探窃取的风险22办公网终端无法进展有效控制和管理，存在更新补丁不及时，病毒软件未强制安装等问题；23核心应用缺乏集中统一的身份认证、授权、用户管理、综合审计，无法有效防止非授权用户访问、泄密、越权等行为的发生，事后无法追查；24平安运维缺乏统一的监控审计手段，不能有效监控、审查部人员操作行为，无法保护网主机、效劳器、网络及数据库平安；25缺乏整体的平安运行管理平台，问题发生时，要根据运维管理人员的经历来判定问题的大致围，不能对事件进展有效监控、预警、分析、关联及追查。管理层面威胁与风险序号类别威胁与风险1平安策略随着业务应用系统的不断增加，网络构造日益复杂，由于各业务系统建立、运维分散，没有总体规划逐渐不能适应越来越复杂的应用需求。主要表现在缺乏整体平安策略、没有统一规的平安体系建立标准，平安职责划分不明确，各业务系统的平安防护程度不一、人员没有形成统一的平安意识、缺乏统一的平安操作流程和指导手册；2平安制度平安组织拥有平安管理员岗位，但平安岗位职能没有很好得到执行，没有对整个业务体系平安进展统一规划和管理。平安管理根本上靠运维管理人员的自我管理，缺乏统一的平安管理体系；3系统建立由于运维、外包等原因，防护体系的建立依赖于各重要业务系统的建立，在今后的防护体系建立和改造中希望将平安防护体系统一考虑；4系统运维对于各分院、系及处室自行建立的信息系统，无法有效平安监管，造成重大平安隐患，极有可能成为攻击跳板；5缺少专业性的平安运维效劳队伍支撑，业务系统的平安检查和漏洞评估没有周期性执行，各主机的平安程度主要依赖于各管理员个人的平安意识水平，没有形成定期统一的平安检查制度和平安基线要求；6各项应急预案即使有也没有很好的贯彻与演练实施，导致一但发生重大平安问题无法快速进展故障的排除和解决，平安隐患较大。等级保护平安需求系统平安等级划分信息系统的平安保护等级应当根据信息系统在国家平安、经济建立、社会生活中的重要程度，信息系统遭到破坏后对国家平安、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。等级定义第一级息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家平安、社会秩序和公共利益。第二级信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家平安。第三级信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家平安造成损害。第四级信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家平安造成严重损害。第五级信息系统受到破坏后，会对国家平安造成特别严重损害。系统平安等级通过对系统业务信息平安性和系统效劳平安性的分析，依据信息系统受到破坏后，会对公民、法人和其他组织的合法权益，以及对社会秩序、公共利益、国家平安造成的损害程度确定系统的平安等级。XXX大学信息系统的技术要求应满足平安等级二级和三级的根本要求，管理要求应满足信息系统最高级〔三级〕要求。等级保护根本平安要求不同级别的信息系统应具备不同的平安保护能力，根据GBT22239-2008"信息平安技术信息系统平安等级保护根本要求"，对平安等级二级和三级的信息系统应具备的根本平安保护能力要求如下：第二级平安保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的平安漏洞和平安事件，在系统遭到损害后，能够在一段时间恢复局部功能。第三级平安保护能力：应能够在统一平安策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现平安漏洞和平安事件，在系统遭到损害后，能够较快恢复绝大局部功能。上述对二级和三级的信息系统的根本平安保护能力要一种整体和抽象的描述。信息系统所应该具有的根本平安保护能力，将通过表达根本平安保护能力的平安目标的提出，以及实现平安目标的具体技术要求和管理要求的描述得到具体化。根本要求的各级指标如下列图所示：信息系统定级情况XXX大学主要业务系统及定级情况，请见下表：序号业务系统概述1数字XX〔等保三级〕XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。2〔等保二级〕系统为XXX大学校园的互联网窗口，起到学校对外介绍宣传的功能。3系统〔等保二级〕为XXX大学教师与学生提供收发效劳，目前系统用户20000多。4认证计费系统针对学生上互联网的一种接入认证、计费的管理方式，是按上网流量进展统计收费的。5校园卡网络校园卡网络属XX专网，主要实现学生校园卡消费管理功能。6办公网学校教职员工办公网络，处理日常工作所在的办公网络。目前XXX大学的核心业务系统数字XX是等级保护三级系统，和系统为等级保护二级系统，在平安体系设计上，要充分考虑已定级系统的平安技术措施和平安管理措施要符合并满足国家的相关政策法规要求。平安需求分析技术层面平安需求分析根据2.3.1技术层面威胁与风险列表，分析XXX大学的平安需求如下表：序号类别威胁与风险平安需求1物理环境和机房无人值守，没有进展记录，机房没有进入申请和审批流程，如果无授权人员进入，那么有较大平安隐患；明确机房管理制度及流程2机房配电间没有铺设防静电地板，无法有效防护静电；防静电地板3和机房空调下漏水检测系统属于被动式的，没有直观有效的监控方式；温湿度监控动力环境监控视频监控系统4机房供电系统采用2x70平方的电缆380V、200A电力接入，一组40KVAUPS、无备用UPS，一旦出现电力故障，XXX大学业务系统将面临全面停顿的风险；增加备用UPS5和机房缺乏主动式漏水检测和温感监控设备，二氧化碳灭火器缺乏维护检查，一旦机房环境发生变化，得不到及时的告警通知，消防措施也不到位；温湿度监控动力环境监控视频监控系统火灾自动消防系统6储藏间易燃物品随意堆放，物品杂乱；机房管理制度及流程7机房综合布线混乱，各设备没有明显标签；机房管理制度及流程8通信网络网络设备中弱口令现象较多，虽然有ACL进展网络控制，但是ACL允许的IP地址围较宽，存在较大的平安隐患；平安加固平安运维9DNS效劳器作为所有XX师生都要访问的设备，没有对区域传输的IP地址做限制，简单的命令便可以泄露XXX大学所有的域名记录，方便攻击者对网络架构进展分析；；平安加固平安运维11IPv6监控系统web登陆方式存在弱口令guest/guest，可以被轻易猜出，登陆以后可以直接看到校园网的网络拓扑和流量情况；平安加固平安运维12区域边界IPS的规那么库没有及时升级，导致设备的平安防护效果大打折扣；平安加固平安运维13信息系统边界划分不明确，在边界处缺乏有效访问控制机制，如：校园卡与XXX大学网络有互联接口，但平安互联控制策略机制不健全，交换机没有做访问控制策略；数字XX、系统平安域防护措施薄弱。平安域划分入侵检测及防御防火墙14办公网划分VLAN依据楼层方式划分，无法有效制定访问控制策略；平安域划分15数字XX、系统、门户效劳器本身的平安防护机制比拟缺乏，目前主要是凭借网地址的逻辑隔离，来实现系统平安；平安域划分入侵检测及防御防火墙16计算环境数字XX效劳器大多开启了telnet、rlogin、rsh、finger等效劳，telnet登陆方式的密码容易被嗅探，finger效劳暴漏了主机上的用户名列表，使得用户名、口令的平安性大大降低；平安加固平安运维17数字XX桥效劳器作为对数字XX进展维护的重要通道，其本身的平安性极差，缺乏补丁更新，开启多个默认共享，反而成为向网入侵的一个便利通道；平安加固平安运维18认证计费效劳器虽然安装了杀毒软件，但由于版本没有更新，杀毒软件本身存在平安漏洞，且存在snmp弱口令，认证计费系统的平安性急剧降低；平安加固平安运维19北塔网管效劳器作为网络监控的核心设备，存在snmp弱口令，可以列举出操作系统的用户名、开放的端口、安装的软件、进程列表等，网管平台的平安没得到保证；平安加固平安运维20应用系统缺乏平安加固，存在跨站脚本攻击问题；平安加固平安运维21系统没有强制使用s登陆，用户口令存在被嗅探窃取的风险；平安加固平安运维22办公网终端无法进展有效控制和管理，存在更新补丁不及时，病毒软件未强制安装等问题；终端管理与控制23核心应用缺乏集中统一的身份认证、授权、用户管理、综合审计，无法有效防止非授权用户访问、泄密、越权等行为的发生，事后无法追查；身份认证用户管理统一授权综合审计24平安运维缺乏统一的监控审计手段，不能有效监控、审查部人员操作行为，无法保护网主机、效劳器、网络及数据库平安；平安运行管理综合审计管理25缺乏整体的平安运行管理，问题发生时，要根据运维管理人员的经历来判定问题的大致围，不能对事件进展有效监控、预警、分析、关联及追查。平安运行管理集中运维管理管理层面平安需求分析根据2.3.1技术层面威胁与风险列表，分析XXX大学的平安需求如下表：序号类别威胁与风险平安需求分析1平安策略随着业务应用系统的不断增加，网络构造日益复杂，由于各业务系统建立、运维分散，没有总体规划逐渐不能适应越来越复杂的应用需求。主要表现在缺乏整体平安策略、没有统一规的平安体系建立标准，平安职责划分不明确，各业务系统的平安防护程度不一、人员没有形成统一的平安意识、缺乏统一的平安操作流程和指导手册；平安方针策略，总纲指引2平安制度平安组织拥有平安管理员岗位，但平安岗位职能没有很好得到执行，没有对整个业务体系平安进展统一规划和管理。平安管理根本上靠运维管理人员的自我管理，缺乏统一的平安管理体系；平安组织及职责平安管理机构人员平安管理3系统建立由于运维、外包等原因，防护体系的建立依赖于各重要业务系统的建立，在今后的防护体系建立和改造中希望将平安防护体系统一考虑；系统建立管理4系统运维对于各分院、系及处室自行建立的信息系统，无法有效平安监管，造成重大平安隐患，极有可能成为攻击跳板；平安运维及监管5缺少足专业性的平安运维效劳队伍支撑，业务系统的平安检查和漏洞评估没有周期性执行，各主机的平安程度主要依赖于各管理员个人的平安意识水平，没有形成定期统一的平安检查制度和平安基线要求；平安运维6各项应急预案即使有也没有很好的贯彻与演练实施，导致一但发生重大平安问题无法快速进展故障的排除和解决，平安隐患较大。平安运维应急预案等级保护方案设计平安方案设计思路XXX大学信息系统平安保障建立的根本思路是：以保护信息系统为核心，严格参考等级保护的思路和标准，从多个层面进展建立，满足信息系统在物理层面、网络层面、系统层面、应用层面和管理层面的平安需求，建成后的平安保障体系将充分符合国家等级保护标准，能够为XXX大学信息系统稳定运行提供有力保障。天融信设计的XXX平安保障体系建立的主要要点包括以下四个方面：构建分域的控制体系信息系统平安等级保护解决方案，在总体架构上将按照分域保护思路进展，本方案参考IATF信息平安技术框架，将信息系统从构造上划分为不同的平安区域，各个平安区域部的网络设备、效劳器、终端、应用系统形成单独的计算环境、各个平安区域之间的访问关系形成边界、各个平安区域之间的连接链路和网络设备构成了网络根底设施；因此方案将从保护计算环境、保护边界、保护网络根底设施三个层面进展设计。构建纵深的防御体系信息系统平安建立方案包括技术和管理两个局部，本方案针对XXX大学信息系统的通信网络、区域边界、计算环境，综合采用访问控制、入侵防御、恶意代码法防、平安审计、防病毒、传输加密、集中数据备份等多种技术和措施，实现业务应用的可用性、完整性和性保护，并在此根底上实现综合集中的平安管理，并充分考虑各种技术的组合和功能的互补性，合理利用措施，从外到形成一个纵深的平安防御体系，保障信息系统整体的平安保护能力。保证一致的平安强度信息系统应采用分级的方法，采取强度一致的平安措施，并采取统一的防护策略，使各平安措施在作用和功能上相互补充，形成动态的防护体系。因此在建立手段上，本方案采取"大平台〞的方式进展建立，在平台上实现各个级别信息系统的根本保护，比方统一的防病毒系统、统一的日志系统、统一的审计系统，然后在根本保护的根底上，再根据各个信息系统的重要程度，采取高强度的保护措施。实现集中的平安管理信息平安管理的目标就是通过采取适当的控制措施来保障信息的性、完整性、可用性，从而确保信息系统不发生平安事件、少发生平安事件、即使发生平安事件也能有效控制事件造成的影响。通过建立集中的平安管理平台，实现对信息资产、平安事件、平安风险、访问行为等的统一分析与监管，通过关联分析技术，使系统管理人员能够迅速发现问题，定位问题，有效应对平安事件的发生。平安技术方案详细设计确定保护强度根据"信息平安技术信息系统等级保护平安建立技术方案设计规"，在信息系统进展平安防护系统规划的过程中，必须按照分域、分级的原那么进展规划和设计，要划分具体的平安计算环境、平安区域边界、平安通信网络，并根据信息系统的等级来确定不同环节的保护等级，实现分级的保护。XXX大学信息系统全网为等级保护三级，因此计算环境、区域边界、通信网络以及管理中心严格按照等级保护三级技术要求进展建立，效劳和平安保护强度均为三级。本文借鉴IATF架构和等级保护设计要求对的平安解决方案进展描述，分为计算环境，区域边界、通信网络和平安管理中心，在技术措施上根据上述四个方面进展了归类和划分，但并不代表他们之间没有关系，恰恰相反这四局部以管理中心为根底，之间相关管理，互相支撑。比方集中审计，在本方案中，计算环境、区域边界和通信网络都会涉及集中审计，所有的日志收集均有该系统完成，通过管理平台形成一个分布式的审计系统，有管理平台统一管理。平安域划分与隔离平安需求XXX大学校园网承载着为全校师生提供效劳的数字XX、、等多个业务系统，这些业务系统彼此承载的数据、应用人员分属不同的部门和类别，因此，不同的业务系统具有不同的平安防护需求；XXX大学承载的多个网络区域中，其VLAN划分是根据楼层来定义，需要根据用户所属的职能部门，调整VLAN划分策略，确保跨部门的访问得到有效的控制；XXX大学校园网承载着多个业务系统，这些业务与其他网络区域及业务系统可能存在多个数据交互的边界，需要在这些边界实时统一有效的平安防护策略。解决方案根据XXX大学网络与信息系统各节点的网络构造、具体的应用以及平安等级的需求，可以考虑使用逻辑隔离技术〔VLAN或防火墙技术〕将整个XXX大学的网络系统划分为三个层次的平安域：第一层次平安域：将整个XXX大学网络信息系统看作是一个大的平安域，包含根底网络、数字XX、XXX大学、门户等多个局域网及应用系统；第二层次平安域：将同平安等级各应用系统从逻辑上和物理上分别划分。设立DMZ区域，一个非平安系统与平安系统之间的缓冲区，这个缓冲区位于学院部网络和外部网络之间的小网络区域，在这个小网络区域放置一些必须公开的效劳器设施，如学院的Web效劳器、FTP效劳器和论坛等。另一方面，通过一个DMZ区域，更加有效地保护了部网络，增加外部攻击者的攻击难度；第二层次平安域划分示意图DMZ区划分示意图第三层次平安域：主要是各应用系统部根据应用人群的终端分布、部门等划分子网或子系统；可能包括以下平安区域：各业务部门平安区：主要根据办公网各业务部门职能划分VLAN，对过去根据楼层划分的VLAN进展调整，同一职能部门的终端划分为同一VLAN，不同职能部门间VLAN数据交换需要经过三层网络设备或防火墙实施访问控制策略。建立效果可以有效制定边界平安策略；便于平安产品部署，提高网络与信息系统防护能力；满足未来开展需要，灵活性和扩展性更好；为将来的集中管理奠定技术根底。本地备份系统平安需求XXX大学重要业务系统的应用无法通过备份软件定期保存，如发信息系统严重的平安事件，可能导致重要信息系统无法及时恢复；XXX大学信息系统未采用数据级备份，如发信息系统严重的平安事件，可能导致重要数据丧失、不可恢复。解决方案第一阶段：建立备份存储系统，实现数据级备份通过备份软件对重要业务系统的数据进展统一数据备份管理，将数据集中备份至虚拟带库。并制定磁带备份策略。从而实现XXX大学的数据级备份。与传统磁带库相比，虚拟磁带库拥有以下优势：最正确的备份速度和可靠性VTL通过将磁盘仿真为行业标准磁带库，提高了现有第三方备份应用软件的速度和可靠性。VTL使用光纤通道(FC)或IP，以极高速度向基于磁盘的虚拟磁带传输数据并从基于磁盘的虚拟磁带复原数据。VTL通过消除机械手故障和物理磁带介质错误，使得其可靠性到达最优，改善了备份和复原的成功率。可用性和性能始终是IT人士关心的关键问题，VTL解决方案采用存储控制器感知的I/O负载平衡并使用智能存储系统大型数组的透明故障切换和故障回复功能。也可以将两台VTL专用管理器配置为双工，将效劳的可用性发挥到最大。降低了备份的设备和管理本钱VTL的固有能力是可以通过FC或IPSAN聚集和供给备份资源和虚拟磁带机/带库，在此根底上，这种独特的解决方案根据策略，通过基于IP的增量复制选项提供了新一级的集中式管理，其中的复制选项通过IP以点对点或多对一的配置复制虚拟磁带。VTL通过让用户使用回滚或已加载的快照触发整个磁盘或文件恢复，从而显著降低了原来在IT工作者身上所要消耗的管理费用。VTL还消除了对带库共享选项的依赖需要，来协调对FC磁带机/带库的访问。提供持续数据保护除了利用磁盘速度和多重数据流的能力来满足备份窗口的要求外，VTL还提供持续数据保护(CDP)选项。CDP将VTL转换为一个基于磁带和基于磁盘备份的单一平台，提供高速、可靠的，同时减少了数据损失，将停机时间降到最低，帮助客户实现恢复点和恢复时间目标。VTL基于磁盘的备份模式使CDP可以持续的复制并记录传入的信息，提供无数的好的时间点。生成的副本包含处于稳定状态的应用程序、和电子数据，允许用户根据需要快速恢复关键业务数据。CDP也扩展了VTL的快速数据恢复功能的综合围，包括通过iSCSI、光纤通道HBA或PXE进展远程启动恢复以及通过恢复光盘对整个系统进展复原。支持在线和离线两种磁带复制方式由于VTL是基于磁盘的，所以备份到虚拟磁带的速度从本质上就比传统磁带备份要快，使得在指定的备份窗口可以顺利完成相关备份。同时这还解决了备份面临的一个关键挑战，即许多高效面临服从性和长期的归档命令时，都被要求在磁盘或物理磁带〔或两者〕上为备份的数据保存冗余副本的问题。VTL是一站式解决方案：除了备份和复原外，VTL使数据易于从一磁盘复制到另一磁盘，或从虚拟磁带导出到物理磁带，以便进展现场磁带复制和异地磁带搬运。磁带复制通过VTL控制台，虚拟磁带可以自动地〔通过策略〕或根据需要被导出。VTL也允许使用备份应用程序的复制功能将数据拷贝到物理磁带。不管哪种方式，虚拟磁带和物理磁带之间的数据移动都是在后台离线状态下进展，因此可以在任意方便的时间执行这种处理操作，而不会影响生产应用程序效劳器的性能。磁带搬运为了到达磁带搬运的目的，VTL可以将数据复制到远程站点，在这些站点上可以将数据存储到基于磁盘的虚拟磁带，也可以将这些数据导出到物理磁带。这种复制处理效率很高，因为它独立于生产效劳器并使用节约带宽、基于增量的算法，通过IP跨越任意距离，将数据复制到异地远程位置。集中并简化了分支机构的备份VTL简化、整合分散在远程办公地点的数据备份到一个集中的数据中心，实施整个高校围的数据保护。VTL允许远程备份效劳器通过IP访问虚拟磁带机/带库，同时使得这些效劳器可以使用中央数据中心的备份设备。VTL提供的异地备份功能使得不必在每个场所都进展备份存储，并对远程办公地点提供了另外的数据保护。另外，由于是集中备份，所以可以方便地管理并对整个企业的数据进展可靠归档。提供与现有IT环境的无缝集成市面上多数VTL可以无缝集成到现有IT环境中。虚拟磁带库部署示意图如下：第二阶段：建立备用效劳器系统，实现应用级备份完成备份存储系统建立后，建立应用效劳器应用虚拟化部署，XXX大学所有应用系统及数据将以文件形式存放在主机房或备份机房的存储设备中，当发生异常情况时，虚拟化系统将通过动态迁移、容错技术，实现零宕机、零数据损失的故障切换，最终形成XXX大学应用级数据备份。建立效果建立一个完整的备份系统，实现XXX大学业务系统与数据库的本地备份。实现零宕机、零数据损失的故障切换，保障XXX大学业务可用性和数据可恢复性。网络链路冗余改造平安需求XXX大学网络构造采用单一核心设备及单一链路，故易出现网络单点故障解决方案XXX大学网络承载着学院众多的应用系统，一旦发生网络链路的单点故障事件，将为学院教职员工及学生带来极大的不便。长时间的信息平安事件可能会引起群体性事件。但考虑到高校网络对信息系统实时性要求的特殊性及经济承受能力，XXX大学网络链路冗余改造设计为核心设备——Internet和核心设备——重要应用效劳器的链路冗余，核心交换——会聚交换——接入交换单链路设计。这样设计在保证网络高可用同时，也保证了方案的经济性和适用性。改造后拓扑示意如下：在原有网络根底上，以网络出口——核心交换设备——重要应用区域链路上所有节点设计双机热备构架，形成骨干网络的链路冗余。保证任何一个节点失效不影响整个网络的连通性。两条链路互为热备，并通过合理的配置与设计，让两条链路分担网络中传输的通信流负载，这样网络冗余不仅可以提高网络的可用性，而且还可以提高网络的总体性能。建立效果主干网络有一定的冗余和备份，故障恢复迅速；在用户数据较多、突发流量大的情况下，防止出现网络瓶颈。PKI根底设施平安需求XXX大学校园网承载着多个业务系统，每个业务都有自己独立的用户访问认证方式，虽然建立了统一身份认证，对于特殊类型的用户比方教师用工号进展认证缺乏必要的平安性，如果一旦工号丧失或盗用，会给用户或集体造成损失和风险；数字XX等核心业务应用认证方式主要基于用户名/口令方式，访问控制措施薄弱，缺乏管理和授权保护；XXX大学的人员、设备、应用等实体缺乏全局、统一的数字身份，难以解决给大量人员网络身份识别平安的问题；上层业务系统缺乏性、完整性和真实性的支撑效劳；信息平安传输、平安存储和抗抵赖缺乏有效的防护手段。解决方案PKI/CA体系构建在XXX大学应用系统前端，包括认证中心、注册中心、密钥管理中心、统一身份认证接口等几个局部。新华社PKI/CA认证体系部署示意图如下：各院所网络区域各院所网络区域核心网络区域XXX大学PKI/CA系统部署构造示意图CA平安区：主要承载CAServer、主从LDAP、数据库、加密机、OCSP等；其中CA效劳器负责全网数字证书签发、主从LDAP为全网数字证书的查询提供效劳、加密机用于产生CA中心的签名密钥对；OCSP效劳器主要为数字证书应用提供实时在线查询效劳。KMC管理区：主要承载KMCServer、加密机等；KMServer为CAServer提供加密密钥的存储及管理效劳；加密机用于产生通信加密的对称密钥；KMC管理区承载的各种设施部署在数字XX的网络平安域，并通过VLAN及防火墙等技术与CA平安区实现逻辑隔离；RA注册区：主要承载各院所的RA注册效劳器，为各院所的师生管理提供数字证书注册效劳；该区域与CA平安区的通信采用加密的平安方式传输，并在区域边界实施逻辑隔离。建立效果通过建立全网统一的PKI/CA认证根底设施，为全网教师建立了唯一可识别的数字书体系，有效地保障了XXX大学全网信息系统数据访问的性、完整性及不可抵赖性，为今后XXX大学已有及新建信息系统提供了根底的保障平台；同时，以"集中认证、分管注册〞的指导思想部署的数字证书系统，充分地满足了目前XXX大学用户众多、部门分管负责、账户集中管理的现状及开展需求。具体表现为：所有人员和信息系统建立全局集中的数字身份，并与已建的统一身份认证系统集成，实现集中认证；为相关的应用系统提供平安支撑效劳，解决信息传输、加密和关键操作抗抵赖问题；提升原有业务系统的认证强度，并支持网络、主机、操作系统和应用等多层次的平安登陆问题；解决部人员越级访问敏感信息及恶意篡改问题。平安审计管理平安需求对网用户访问行为缺乏监控，用户的操作行为不透明，事先无法控制恶意行为，事后无法对事件进展定位追溯，如果有恶意的用户操作行为会给业务系统带来风险。信息系统中没有建立审计机制，并没有建立相应的网络审计模块、主机审计模块、数据库审计模块和平安设备审计模块等，没有建立定期针对某些事件信息数据进展平安审计的机制，确保信息系统采用的平安控制的有效性。不能集中发现网络的恶意操作行为，缺乏既定策略识别非授权访问、入侵等现象，并进展分析。受控对象的活动没有进展平安审计，不能为网络、系统与应用平安管理人员及高层管理人员提供一个监视、检查当前信息系统运行状况的有效手段。解决方案综合平安审计管理基于信息系统日常应用、平安运维、平安事件预警的信息采集、数据关联、数据分析、数据输出为用户提供全面的平安审计管理功能。系统中采用网审计、运维审计、设备日志审计等子系统构成。系统逻辑部署如下列图：综合平安审计管理系统部署示意图网审计系统以旁路方式接入，通常采用交换机数据镜像，将需要审计关注的数据镜像到系统的数据采集端口。运维审计系统采用物理旁路，逻辑串联的方式接入用户网络。接入点为效劳器区的出口。设备日志审计系统直接部署于网络中保持与被采集设备网络互通即可。网审计管理系统包括：数据库类〔SQLServer、DB2、Oracle、Sybase、MySQL〕、运维管理类〔Telnet、FTP、NetBIOS〕、业务类〔、POP3、SMTP〕；同时，系统支持对其他协议根本信息的审计，并能方便的扩展对其他协议更细粒度的支持；采用领先的协议识别和智能关联技术，提供全面深入的协议分析、解码、回放，审计容包括登录账号、持续时间、流量、操作命令、操作对象、操作参数、关键字、敏感数据、涉密信息、操作执行结果等等；采用多级审计体系，从不同的角度和层次来反映发生在用户和被保护资源间的各种访问和操作，包括了会话级、记录级、事件级、详细级审计，对不同的保护资源根据其重要性采用不同的审计级别进展审计，可以有效地节约计算和存储资源，又能实现对等级保护原那么的支持。运维审计管理系统通过对信息系统各类平安事件进展收集、记录，分析用户操作行为，定位操作者的来龙去脉，重建事件过程，直至完整的分析定位事件的根源且审计日志不可篡改、不可否认，为平安管理提高策略依据和分析工具。系统支持字符终端访问控制：基于用户、设备IP、登录IP、设备账号、日期、时间、命令集、空闲时间任意逻辑组合的字符终端访问控制策略；支持图形终端文件传输控制：针对图形终端系统,支持文件传输、剪贴板功能的开启或关闭控制；支持基于Web的B/S交互和C/S交互方便用户的应用；全面支持各类字符终端〔ssh，telnet〕、图形终端〔RDP、VNC、X11〕、文件传输〔FTP、SFTP)、数据库管理工具、KVM、企业自定义应用的单点登录等。设备日志审计采用典型设备日志采集协议：SNMP、SYSLOG、自定义等，对主机设备、网络设备、平安设备等根底设施系统平安日志进展采集、归档、分析、输出，最终形成全面的报表，提供高危日志告警等预处理功能。综合平安审计管理系统提供多级授权管理支持集成第三方认证、高效查询功能、强大的报表生成功能；系统管理支持配置备份、复原，支持双机热备，支持"集中管理、分级部署〞，支持高性能高可用负起均衡集群部署，系统自身具有系统审计功能，对管理员配置变更、用户操作登陆等信息有详细的记录和日志查询。建立效果有效减少业务系统核心信息资产的破坏和泄漏,降低损失；有效控制运维操作风险，便于事后追查原因与界定责任；有效控制业务运行风险，掌握业务系统平安状况,全局把控；审计任何合法和非法操作行为，以便发现问题后查找原因；对用户访问过程中的登录、登出以及完成的各种操作等事件进展统计和分析，为公司管理人员提供管理网络、部人员、第三方人员的强有力证据；对业务系统的访问流量进展统计，进一步掌握平安趋势，为故障定位和解决提供有力依据，以帮助管理人员快速有效解决问题；解决运维过程中无法对图形界面的审计难题，实现系统运维中图形、字符、平安客户端等全面的支持。漏洞扫描系统平安需求当前采用人工定期的对网络平安自我检测、评估；安装新软件、启动新效劳后的检查，缺乏相应的平安检测；信息系统建立和改造前后的平安规划评估和成效检验目前没有开展；信息系统的平安建立方案和建立成效缺乏有效评估依据，无法真实得到相应数据；信息系统出现平安事故后无法对平安事故的分析调查；对重大平安事件前缺乏有效的准备；解决方案漏洞扫描系统按照具体功能的包括：资产管理、漏洞扫描、漏洞分析、漏洞管理以及自身管理功能等模块，基于WEB方式构成整个漏洞扫描平台，系统部署示意图如下：漏洞扫描系统部署示意图通过部署漏洞扫描系统将实现如下功能：资产管理系统能够采用多种不同的方式自动发现网络资产，能够把资产管理和组织构造或者网络拓扑构造严密结合；支持IP地址、域名和地址簿等多种资产管理方式；支持通过Excel文件将地址导入到地址簿功能。资产管理能够将资产的重要性量化，并且通过形象的图示将资产的风险值和的风险等级直观地展现出来，并且能够将节点、风险及对应责任人相关联。漏洞扫描漏洞知识库从操作系统、效劳、应用程序和漏洞严重程度多个视角进展分类，需要给出具体的分类信息。支持对漏洞信息的检索功能，可以从其中快速检索到指定类别或者名称的漏洞信息，并具体说明支持的检索方式。提供漏洞知识库中包含的主流操作系统、数据库、网络设的备列表信息。提供专用的平安检测模块对常见的Web应用进展深度容分析，准确识别SQL注入漏洞。能够扫描常见的网络客户端软件〔网络防病毒Symantec、TrendMicro、McAfee〕的平安漏洞。漏洞知识库漏洞信息大于2000条，提供详细的漏洞描述和对应的解决方案描述；漏洞知识库与国际CVE标准兼容，并提供CVEpatible证书。漏洞知识库和漏洞检测规那么支持手动升级和自动升级，支持本地升级和在线升级，在线升级支持代理方式升级。支持对多个扫描任务并发执行，支持多任务自动调度。系统置不同的策略模板如针对Unix、Windows操作系统等模板，同时允许用户定制扫描策略；用户可定义扫描围、扫描使用的参数集、扫描并发主机数等具体扫描选项。可以在扫描过程中人工指定包括SNMP、SMB等常见协议的登陆口令，登陆到相应的系统中对特定应用进展深入扫描。可定义扫描端口围、端口扫描方式，支持多种口令猜想方式，包括利用Telnet,Pop3,Ftp,WindowsSMB等协议进展口令猜想，允许外挂用户提供的字典档。允许管理员配置扫描通知，在扫描任务运行开场时向被扫描的资产发送扫描通知；具体说明针对不同操作系统〔如Windows、Linux、Unix等〕具体的实现方式。漏洞分析能够对扫描结果数据进展在线分析，能够根据端口、漏洞、BANNER信息、IP地址等关键字对主机信息进展查询并能将查询结果保存。能够在线对多个已完成的扫描任务进展合并分析。提供趋势分析能力，能够对屡次结果进展分析并给出网络和主机的漏洞分布和风险的趋势。漏洞分析报告应提供在线浏览报告和离线打印报告；离线报表提供针对不同角色的默认模板，允许用户定制报告的容、报告的格式等。离线报告可以输出到HTML、WORD、EXCEL等文件，报告可以直接下载或通过直接发送给相应管理人员。在线报表中对综述、主机、漏洞、趋势等信息进展分类显示；综述中应对漏洞和风险分布进展定量统计分析并展示；主机中应提供漏洞分布、风险值和风险等级信息，并能对主机信息根据不同字段进展排序和过滤显示，方便用户查看；漏洞中应提供漏洞详细信息和该漏洞影响的主机列表。漏洞管理提供XML、SNMPTRAP和等二次开发接口给其他的平安产品或者平安管理平台调用，并且提供具体接口的说明文档。对扫描出来的资产的平安漏洞能够发送给对应的资产管理员，通知其限期修复漏洞并自动对修复进展验证，实现对漏洞的有效跟踪和验证。提供对资产风险的屡次趋势分析能力，能够有效地分析网络整体和主机的漏洞分布和风险的趋势。支持和微软WSUS补丁系统的联动，能够将补丁下发策略直接下发给客户端。管理功能安装、配置和管理维护较为简便；系统无须人工干预能够自动、周期运行，系统升级、扫描、结果分析和结果自动发送等能够自动执行。支持分布式部署，上级节点能够统一管理和控制下级节点，下级节点能够自动将扫描结果上传到上级节点；请说明分布式部署使用的通信端口。提供审计功能，能够对登录日志、操作日志和异常报告进展记录和查询。提供备份恢复机制，能够对扫描结果、日志、扫描模板、参数集等配置文件进展导出和导入操作；能够对系统创立复原点对系统进展备份和复原。建立效果网络管理人员可以定期的进展网络平安检测效劳，可帮助用户最大可能的消除平安隐患，尽可能早地发现平安漏洞并进展修补，有效的利用已有系统，优化资源，提高网络的运行效率；有效防止形式多样的漏洞给信息系统构成的平安隐患，如安装新软件和启动新效劳都有可能对原来业务系统造成危害，因此进展这些操作之后应该重新扫描系统，才能使平安得到保障；配备网络漏洞扫描/网络评估系统可以让您很方便的进展平安规划评估和成效检验；信息系统平安事故后可以通过漏洞扫描/网络评估系统分析确定网络被攻击的漏洞所在，帮助弥补漏洞，尽可能多得提供资料方便调查攻击的来源；重大平安事件前网络漏洞扫描系统能够帮助用户及时的找出网络中存在的隐患和漏洞，帮助用户及时的弥补漏洞。Web防火墙平安需求进年来随着信息化的不断开展，互联网的应用已经普及，学校的好多应用系统提供对外的WEB效劳，方便了用户的使用，但是，有好多不法分子利用WEB效劳的漏洞进展攻击和破坏，窃取和篡改数据，造成了很大的经济损失和很坏的社会影响；网页被篡改的原因主要是操作系统复杂性、应用系统漏洞，管理员无法有效实现密码管理，漏洞补丁定期更新，控制钓鱼、木马、间谍软件等；传统平安设备〔防火墙、IDS、IPS〕由于部署位置、规那么设定〔必须允许重要协议不受限制地访问Web应用〕，一旦攻击代码嵌入到Web通信中，将无法起到保护作用；IDS/IPS作为防火墙的有利补充，加强了网络的防御能力，这些设备对应用协议的理解和作用存在局限性，会出现虚假报告，系统效率无法保证；部或外部非授权人员对页面和容进展篡改和信息窃取的可能性很大。解决方案本方案将Web应用防火墙部署在出口防火墙后面，与防火墙协同构建总体防御体系，采用双机热备模式部署，硬件支持BYPASS转发功能，即使设备出现故障也不会造成网络中断，不影响业务运行，降低业务运行风险。部署示意图如下：通过部署Web应用防火墙将实现如下功能：高可用性支持：系统支持软件调试模式和硬件BYPASS转发。和HTML支持：系统支持常用的版本、支持常用的编码方式、支持常用的HTML解析、支持常用的文件传输方法、支持多种字符集编码。检查技术：系统支持数据复原、支持黑机制、支持白机制、支持规那么库。保护技术：系统支持SQL注入攻击防护、支持跨站脚本攻击防护、支持恶意代码执行防护、支持网页挂马防护、支持网页防篡改、支持OS命令注入防护、支持站点漏洞扫描、支持其他Web应用威胁防护。日志：系统支持唯一的事务ID、提供访问日志、提供事件日志和通知、提供完整的事务日志、支持日志访问和导出、支持日志留存、日志滚存。报告：系统提供报表功能、提供报表导出功能，并支持常用的报表格式。管理：系统支持策略管理、支持DDoS特征自学习机制、支持配置管理、支持用户验证和角色管理、支持信任主机、支持攻击特征库升级和安装、支持远程管理、支持常用的管理方式、支持独立管理接口、支持口令认证。建立效果通过部署Web应用防火墙可以为XXX大学提供平安的Web业务环境，保障Web应用系统的稳定运行；Web应用防火墙对于因Web代码编写不严谨而造成的漏洞，具有先天的免疫作用；防止某些系统开发中存在的平安问题；Web应用防火墙与网络防火墙共同构成全面的平安防御屏障，有效保护外部及部非法用户的恶意攻击。平安管理平台设计根据等级保护技术要求，应实现网络的应急处理和可信网络设备连接，方案引入信息平安管理系统来很好地解决这些问题。将门户网络的平安管理和监控纳入信息平安管理平台建立中。部署位置：平安管理效劳器区域实现功能：拓扑管理策略：提供强大的物理拓扑构造发现、物理拓扑管理与分区域分层次展示功能，让管理员正真看清楚"黑匣子〞〔网络〕部的构造。防止网络设备的非法接入：网关系统对网络设备的资产进展全面的管理，如果发现有非法的网络设备接入后，系统将自动收集到网络设备的相关信息，并通知系统管理员采取必要的措施，限制非法网络设备的使用。配置管理策略：通过网管系统可定期备份关键网络