计算机信息系统分级保护方案设计

方案具体设计1系统总体布署（1）XX公司涉密信息系统的组网模式为：服务器区、安全管理区、终端区共同连接至核心交换机上，构成类似于星型构造的网络模式，参考TCP/IP网络模型建立。核心交换机上配备三层网关并划分Vlan，在服务器安全访问控制中间件以及防火墙上启用桥接模式，核心交换机、服务器安全访问控制中间件以及防火墙上设立安全访问控制方略（ACL），严禁部门间Vlan互访，允许部门Vlan与服务器Vlan通信。核心交换机镜像数据至入侵检测系统以及网络安全审计系统；服务器区包含XX公司原有应用系统；安全管理区包含网络防病毒系统、主机监控与审计系统、windows域控及WSUS补丁分发系统、身份认证系统；终端分辨包含全部业务部门。服务器安全访问控制中间件防护的应用系统有：XXX系统、XXX系统、XXX系统、XXX系统以及XXX系统、。防火墙防护的应用系统有：XXX、XXX系统、XXX系统、XXX系统以及XXX系统。（2）邮件系统的作用是：进行信息的驻留转发，实现点到点的非实时通信。完毕集团内部的公文流转以及协同工作。使用25、110端口，使用SMTP合同以及POP3合同，内网终端使用C/S模式登录邮件系统。将内网顾客使用的邮件账号在服务器群组安全访问控制中间件中划分到不同的顾客组，针对不同的顾客组设立安全级别，安全级别分为1-7级，可根据实际需求设立对应的级别。1-7级的安全层次为：1级最低档，7级最高级，由1到7逐级增高。即低密级顾客能够向高密级顾客发送邮件，高密级顾客不得向低密级顾客发送，确保信息流向的对的性，避免高密数据流向低密顾客。（3）针对物理风险，采用红外对射、红外报警、视频监控以及门禁系统进行防护。针对电磁泄射，采用线路干扰仪、视频干扰仪以及红黑电源隔离插座进行防护。2物理安全防护总体物理安全防护设计以下：（1）周边环境安全控制①厂区XXX侧和XXX侧布署红外对射和入侵报警系统。②布署视频监控，建立安防监控中心，重点部位实时监控。具体布署见下表：表1-1周边安全建设序号保护部位现有防护方法需新增防护方法1人员出入通道2物资出入通道3厂区南侧4厂区西侧5厂区东侧6厂区北侧（2）要害部门部位安全控制增加电子门禁系统，采用智能IC卡和口令相结合的管理方式。具体防护方法以下表所示：表1-2要害部门部位安全建设序号保护部门出入口控制现有安全方法新增安全方法1门锁/登记/24H警卫值班2门锁3门锁4门锁5门锁/登记6门锁/登记7门锁/登记8门锁/登记9机房出入登记10门锁（3）电磁泄漏防护建设内容涉及：①为使用非屏蔽双绞线的链路加装线路干扰仪。②为涉密信息系统内的终端和服务器安装红黑电源隔离插座。③为视频信号电磁泄漏风险较大的终端安装视频干扰仪。通过以上建设，配合《XX公司安防管理制度》以及《XX公司电磁泄漏防护管理制度》，使得XX公司达成物理安全防备到位、重要视频监控无死角、进出人员管理有序、实体入侵报警响应及时以及电磁泄漏信号无法捕获、无法还原。2.1红外对射（1）布署增加红外对射装置，防护厂区边界，具体布署位置以下表：表1-1红外对射布署统计表序号布署位置数量（对）1厂区东围墙2厂区北围墙3累计布署方式以下图所示：图1-2红外对射设备设备成对出现，在安装地点双向对置，调节至相似水平位置。（2）第一次运行方略红外对射24小时不间断运行，当有物体通过，光线被遮挡，接受机信号发生变化，放大解决后报警。设立适宜的响应时间，以10米/秒的速度来拟定最短遮光时间；设立人的宽度为20厘米，则最短遮断时间为20毫秒，不不大于20毫秒报警，不大于20毫秒不报警。（3）设备管理及方略红外对射设备由厂区公安处负责管理，实时监测设备运行状况及设备对应状况，定时对设备及传输线路进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决重点部位监控及区域控制有关风险。2.2红外报警（1）布署增加红外报警装置，对保密要害部位实体入侵风险进行防护、报警，具体布署位置以下表：表1-2红外报警布署统计表序号布署位置数量（个）1234累计设备形态以下图所示：图1-3红外报警设备布署在两处房间墙壁角落，安装高度距离地面2.0-2.2米。（2）第一次运行方略红外报警24小时不间断运行，设立检测37℃特性性10µm波长的红外线，远离空调、暖气等空气温度变化敏感的地方，不间隔屏、家具或其它隔离物，不直对窗口，避免窗外的热气流扰动和人员走动会引发误报。（3）设备管理及方略红外报警设备由厂区公安处负责管理，监测设备运行状况及设备对应状况，定时对设备进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决重点部位监控及区域控制有关风险。2.3视频监控（1）布署增加视频监控装置，对厂区周界、保密要害部门部位的人员出入状况进行实时监控，具体布署位置以下表：表1-3视频监控布署统计表序号布署位置数量（个）12345678累计设备形态以下图所示：图1-4视频监控设备视频监控在室外采用云台枪机式设备，室内采用半球式设备，布署在房间墙壁角落，覆盖门窗及重点区域。增加32路嵌入式硬盘录像机一台，用于对视频采集信息的收集和压缩存档。设备形态以下图所示：图1-5硬盘录像机（2）第一次运行方略视频监控24小时不间断运行，设立视频采集格式为MPEG-4，显示分辨率768*576，存储、回放分辨率384*288。（3）设备管理及方略视频监控设备由厂区公安处负责管理，实时监测设备运行状况及设备对应状况，定时对设备及传输线路进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决重点部位监控及区域控制有关风险。2.4门禁系统（1）布署增加门禁系统，对保密要害部门部位人员出入状况进行控制，并统计日志，具体布署位置以下表：表1-4门禁系统布署统计表序号布署位置数量（个）1234567891011累计布署示意图以下图所示：图1-6门禁系统布署方式（2）第一次运行方略对每个通道设立权限，制作门禁卡，对能够进出该通道的人进行进出方式的授权，采用密码+读卡方式；设立能够通过该通道的人在什么时间范畴内能够进出；实时提供每个门区人员的进出状况、每个门区的状态（涉及门的开关，多个非正常状态报警等），设立在紧急状态打开或关闭全部门区的功效；设立防尾随功效。（3）设备管理及方略门禁系统由厂区公安处负责管理，定时监测设备运行状况及设备对应状况，对设备及传输线路进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决重点部位监控及区域控制有关风险。2.5线路干扰仪（1）布署增加8口线路干扰仪，防护传输数据沿网线以电磁传导、辐射发射、耦合等方式泄漏的状况。将从交换机引至其布线最远端以及次远端的线缆插接至线路干扰仪，并由线路干扰仪连接至最远端和次远端，将该设备进行接地解决。具体布署位置以下表：表1-6线路干扰仪布署统计表序号布署位置数量（个）123累计设备形态以下图所示：图1-11线路干扰仪设备（2）第一次运行方略在网线中一对空线对上注入伪随机宽带扫频加扰信号,使之能跟随其它三对网线上的信号并行传输到另一终端；窃密者若再从网线或其它与网络干线相平行的导线（如电话线及电源线等）上窃取信息，事实上所窃得的仅是已被加扰信号充足湮没了的混合信号。（3）设备管理及方略线路干扰仪由信息中心负责管理，对设备编号、标记密级、摆放、调测、定时对设备及传输线路进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决传输线路的电磁泄漏发射防护有关风险。2.6视频干扰仪（1）布署增加视频干扰仪，避免对涉密终端视频信息的窃取，对XXX号楼存在的涉密终端布署，将该设备进行接地解决。、具体布署位置以下表：表1-7视频干扰仪布署统计表序号布署位置数量（个）12311累计设备形态以下图所示：图1-12视频干扰仪设备（2）第一次运行方略设立设备运行频率为1000

MHz。（3）设备管理及方略视频干扰仪由信息中心负责管理，监测设备运行状况及设备对应状况，定时对设备进行检查、维护，并定时向保密办提交设备运维报告。（4）布署后解决的风险解决信息设备的电磁泄漏发射防护有关风险。2.7红黑电源隔离插座（1）布署增加红黑电源隔离插座，防护电源电磁泄漏，连接的红黑电源需要进行接地解决。具体布署位置以下表：表1-8红黑电源布署统计表序号布署位置数量（个）1涉密终端2服务器3UPS4累计产品形态以下图所示：图1-13红黑电源隔离插座（2）运行维护方略XX公司规定全部涉密机均直接连接至红黑电源上，红黑电源上不得插接其它设备。安装在涉密终端及涉密单机的红黑隔离电源由使用者维护，安装在服务器的由信息中心维护，出现问题向保密办报告。（4）布署后解决的风险解决信息设备的电磁泄漏发射防护有关风险。3网络安全防护3.1网闸XX公司使用1台网闸连接主中心以及附属中心，用于安全隔离及信息交换。（1）布署布署1台网闸于主中心及附属中心核心交换机之间，做单向访问控制与信息交互。设备启用路由模式，通过路由转发连接主中心以及附属中心，从物理层到应用层终止全部的合同包，还原成原始应用数据，以完全私有的方式传递到另一种网络，主中心以及附属中心之间在任一时刻点上都不产生直接的物理连通。布署拓扑示意图以下：图1-8网闸布署拓扑示意图（2）第一次运行方略配备附属中心访问主中心的权限，允许附属中心特定地址访问主中心全部服务器，允许其它地址访问公司内部门户以及人力资源系统，配备访问内部门户SQLserver数据库服务器，严禁其它全部访问方式。配备网闸病毒扫描，对流经网闸设备数据进行病毒安全扫描。配备系统使用Https方式管理，确保管理安全。（3）设备管理及方略网闸设备按照《XX公司网闸运维管理制度》进行管理。a、由信息中心管理网闸设备，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心对网闸设备进行编号、标记密级、安放至安全管理位置。c、信息中心负责网闸设备的日常运行维护，每七天登陆设备查看设备配备、设备本身运行状态、转发数据量状态、系统日志等内容。d、信息中心发现异常状况及时通报保密办，并查找问题因素，各部门配合信息中心及时解决问题。e、信息中心负责网闸设备的维修管理，设备出现问题，告知保密办，获得同意后，负责设备的维修管理。（4）布署后解决的风险解决两网互联的边界防护问题，对应用的访问进行细粒度的控制，各自隔离，两网在任一时刻点上都不产生直接的物理连通。3.2防火墙XX公司涉密信息系统采用防火墙系统1台进行边界防护，用于XX公司涉密信息系统网关的安全控制、网络层审计等。防火墙系统布署于附属中心。XX公司原有防火墙布署于主中心，不做调节。（1）布署使用防火墙系统限制附属中心终端访问机密级服务器的权限，并且统计全部与服务器区进行交互的日志。防火墙的eth1口、eth2口设立为透明模式，配备桥接口fwbridge0IP地址，配备管理方式为https方式，打开多VLAN开关，打开tcp、udp、ICMP广播过滤。防火墙的日志数据库安装在安全管理服务器上。布署拓扑示意图以下：图1-9防火墙布署示意图（2）第一次运行方略防火墙上设立访问控制方略，并设定不同顾客所能访问的资源：a、允许附属中心授权顾客访问软件配备管理系统。b、开放系统内所能使用到的端口，其它不使用的端口进行全部严禁访问限制。c、能够根据XX公司保密办有关规定设定审查核心字，对于流经防火墙的数据流进行核心字过滤。d、审计附属中心顾客和服务器区域的数据交换信息，统计审计日志。e、整个防火墙系统的整个运行过程和网络信息流等信息，均进行具体的日志统计，方便管理员进行审查。（3）设备管理及方略防火墙系统由信息中心进行管理及维护，任何方略的改动均需要通过保密办的讨论后方可实施。防火墙的日志系统维护，日志的保存与备份按照《XX公司防火墙运维管理制度》进行管理。a、由信息中心管理防火墙设备，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心对防火墙设备进行编号、标记密级、安放至安全管理位置。c、信息中心负责防火墙设备的日常运行维护，每七天登陆设备查看设备配备、设备本身运行状态、转发数据量状态、系统日志等内容。d、信息中心发现异常状况及时通报保密办，并查找问题因素，各部门配合信息中心及时解决问题。e、信息中心负责防火墙设备的维修管理，设备出现问题，告知保密办，获得同意后，负责设备的维修管理。（4）布署后解决的风险原有防火墙确保主中心各Vlan的三层逻辑隔离，对各安全域之间进行访问控制，对网络层访问进行统计与审计，确保信息安全保密规定的访问控制以及安全审计部分规定。3.3入侵检测系统XX公司使用原有入侵检测设备进行网络层监控，保持原有布署及原有配备不变，设备的管理维护仍旧。此设备解决的风险为对系统内的安全事件监控与报警，满足入侵监控规定。3.4违规外联系统（1）布署XX公司采用涉密计算机违规外联监控系统，布署于内网终端、涉密单机及中间机上。XX公司的违规外联监控系统采用B/S构架布署，安装1台内网监控服务器、1台外网监控服务器，安装645个客户端，全部安装于内网终端、涉密单机以及中间机上。布署示意图以下。图1-1违规外联系统布署示意图（2）第一次运行方略系统实时地监测受控网络内主机及移动主机的活动，对非法内/外联行为由报警控制中心统计并向管理员提供精确的告警。同时，按照预定的方略对非法连接实施阻断，避免数据外泄。报警控制中心能够以手机短信、电子邮件两种告警方式向网络管理员告警，其中手机短信是完全实时的告警，非常方便和及时。（3）设备管理及方略违规外联监控系统由信息中心进行管理及维护，任何方略的改动均需要通过保密办的讨论后方可实施。违规外联监控系统的日志系统同时维护，日志的保存与备份按照《XX公司违规外联监控系统运维管理制度》进行管理。a、由信息中心管理违规外联监控系统，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心对违规外联监控系统报警服务器进行编号、标记密级、安放至安全管理位置。c、信息中心负责违规外联监控系统的日常运行维护，每七天登陆设备查看服务器硬件运行状态、方略配备、系统日志等内容。d、信息中心发现异常状况及时通报保密办，并查找问题因素，各部门配合信息中心及时解决问题。e、信息中心负责违规外联监控系统服务器的维修管理，设备出现问题，告知保密办，获得同意后，联系厂家负责设备的维修管理。f、当系统出现新版本，由管理员负责及时更新系统并做好备份工作。（4）布署后解决的风险解决违规拨号、违规连接和违规无线上网等风险。4应用安全防护4.1服务器群组安全访问控制中间件XX公司涉密信息系统采用服务器群组安全访问控制中间件2台，用于XX公司涉密信息系统主中心秘密级服务器、附属中心秘密级服务器边界的安全控制、应用身份认证、邮件转发控制、网络审计以及邮件审计等。防护主中心的XXX系统、XXX系统、XXX系统、XXX系统、XXX系统以及XXX门户；防护附属中心的XXX系统以及XXX类软件系统。（1）布署由于主中心的终端之间以及附属中心内的终端之间数据流动均被设计为以服务器为跳板进行驻留转发，因此在服务器前端的服务器群组安全访问控制中间件系统起到了很强的访问控制功效，限制终端访问服务器的权限并且统计全部与服务器区进行交互的日志。服务器群组安全访问控制中间件的eth1口、eth2口设立为透明模式，启用桥接口进行管理。布署拓扑示意图以下：图1-10服务器群组安全访问控制中间件布署示意图（2）第一次运行方略服务器群组安全访问控制中间件上设立访问控制方略，并设定不同顾客所能访问的服务器资源；设立邮件转发控制功效，为每个顾客设立访问账号及密码，根据密级将顾客划分至不同顾客组中，高密级顾客不得向低密级顾客发送邮件。配备邮件审计功效，统计发件人，收件人，抄送人，主题，附件名等。配备网络审计与控制功效，能够根据XX公司保密办有关规定设定审查核心字，对于流经系统的数据流进行核心字过滤；审计内部顾客和服务器区域的数据交换信息，审计应用访问日志。（3）设备管理及方略服务器群组安全访问控制中间件系统由信息中心进行管理及维护，任何方略的改动均需要通过保密办的讨论后方可实施。服务器群组安全访问控制中间件的日志系统维护，日志的保存与备份按照《XX公司服务器群组安全访问控制中间件运维管理制度》进行管理。a、由信息中心管理服务器群组安全访问控制中间件设备，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心分别对2台服务器群组安全访问控制中间件设备进行编号、标记密级、安放至安全管理位置。c、信息中心负责服务器群组安全访问控制中间件设备的日常运行维护，每七天登陆设备查看设备配备、设备本身运行状态、转发数据量状态、系统日志等内容。d、信息中心发现异常状况及时通报保密办，并查找问题因素，各部门配合信息中心及时解决问题。e、信息中心负责服务器群组安全访问控制中间件设备的维修管理，设备出现问题，告知保密办，获得同意后，负责设备的维修管理。（4）布署后解决的风险解决对应用访问的边界防护、应用及网络审计、数据库安全以及数据流向控制，满足边界防护、安全审计及数据库安全等规定。4.2windows域控及补丁分发改造XX公司原有AD主域控制器及备份域控制器。（1）布署XX公司的主中心以及附属中心均布署AD主域控制器及备份域控制器，累计2套，并建立IIS服务器，安装WSUS服务器，提供系统补丁强制更新服务。将终端系统的安全性完全与活动目录集成，顾客授权管理和目录进入控制整合在活动目录当中（涉及顾客的访问和登录权限等）。通过实施安全方略，实现系统内顾客登录身份认证，集中控制顾客授权。终端操作基于方略的管理。通过设立组方略把对应多个方略（涉及安全方略）实施到组方略对象中。布署拓扑示意图以下：图1-7域控及WSUS布署示意图（2）第一次运行方略建立好域组员及其密码，将全部内网终端的本地账号权限收回，内网终端只能使用管理员下发的域组员顾客登录系统。通过组方略指定不同安全域顾客口令的复杂性、长度、使用周期、锁定方略，指定每一种顾客可登录的机器。机密级终端需要将USB-KEY令牌与域顾客登录结合使用，达成“双因子”鉴别的过程。设立终端顾客工作环境，隐藏顾客无用的桌面图标，删除“开始”菜单中的“运行”、“搜索”功效。启用内网WindowsXP终端内置的WSUS客户端。由系统漏洞的官方漏洞公布页下载完整的系统漏洞修复程序，将此程序通过中间机系统导入涉密信息系统，在WSUS服务器端导入此程序，由WSUS服务器下发系统补丁强制修复方略，强制更新各个终端的系统漏洞。（3）设备管理及方略AD域控系统以及WSUS补丁分发系统由信息中心进行管理及维护，域控组方略的改动均需要通过保密办的讨论后方可操作。WSUS系统的升级更新按照《XX公司与管理及补丁分发运维管理制度》进行管理。a、由信息中心管理AD域控系统以及WSUS补丁分发系统，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心分别对2套AD域控系统以及WSUS补丁分发系统服务器进行编号、标记密级、安放至安全管理位置。c、信息中心负责AD域控系统以及WSUS补丁分发系统服务器的日常运行维护，每七天登陆服务器查看服务器硬件运行状态、组方略配备、域组员状态、系统日志等内容。d、信息中心发现异常系统日志及时通报保密办，并查找因素，追究本源。（4）布署后解决的风险解决部分身份鉴别以及操作系统安全有关风险。4.3网络安全审计XX公司使用网络安全审计系统2台，用于对涉密信息系统的网络及应用进行安全审计和监控。审计功效涉及：应用层合同还原审计、数据库审计、网络行为审计、自定义核心字审计等。（1）布署旁路布署于核心交换机的镜像目的接口，布署数量为2台，分别布署于主中心以及附属中心的核心交换机上。设立其管理地址，用于系统管理及维护。布署拓扑示意图以下：图1-14网络安全审计布署示意图（2）第一次运行方略配备审计http、POP3、Smtp、imap、telnet、FTP合同以及自定义审计1433、8080、27000、1043、1034、1037、1041、1040、1042、6035、7777、3690端口；根据XX公司保密规定设定有关核心词字，审计核心词字；使用Https方式管理系统。（3）设备管理及方略网络安全审计系统由信息中心进行管理及维护，审计方略的改动均需要通过保密办的讨论后方可操作。网络安全审计系统的日志系统维护，日志的保存与备份按照《XX公司网络安全审计运维管理制度》进行管理。a、由信息中心管理网络安全审计设备，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心分别对2台网络安全审计设备进行编号、标记密级、安放至安全管理位置。c、信息中心负责网络安全审计系统的日常运行维护，每七天登陆设备查看设备配备、设备本身运行状态、转发数据量状态、系统日志等内容。d、信息中心发现异常审计日志及时通报保密办，并查找因素，追究本源。e、信息中心负责网络安全审计系统的维修管理，设备出现问题，告知保密办，获得同意后，负责设备的维修管理。（4）布署后解决的风险解决应用审计，针对内容进行审计统计，满足安全审计有关规定。5终端安全防护5.1防病毒系统XX公司将使用网络版防病毒软件建立病毒防护系统，累计26个服务器端，419个客户端，分别布署在主中心以及附属中心。XX公司将使用单机版防病毒软件建立中间机、单机及便携式计算机病毒防护系统，累计226个终端。（1）布署防病毒系统采用客户端+服务器构造，服务器由信息中心负责管理。杀毒中心安装：安装在安全管理服务器上，设立好admin密码，并且将注册信息输入到杀毒控制中心。服务器安装：在XX公司各类服务器上安装杀毒服务器端，设立杀毒中心的IP地址，并保持与杀毒中心的实时通信。客户端安装：全部的内外终端均安装客户端杀毒程序，设立杀毒中心的IP地址，与杀毒中心同时。单机防病毒系统直接布署在涉密单机及中间机上。（2）第一次运行方略防病毒控制中心服务器布署在保密室。网络防病毒系统连接在核心交换机的access接口上。交换机接口配备Vlan二层信息为：接口类型为access，为其划分Vlan，使得其与其它Vlan不能通过二层相通，使得网络防病毒系统需要通过三层与其它Vlan通信，即网络防病毒系统能够对网络中全部的主机设备进行杀毒统一管理和在线控制。全部接入网络的终端计算机和应用服务器（windows操作系统）都安装防病毒软件，管理员通过控制台实现对全网防病毒系统的统一管理，并强制在顾客接入网络时安装防病毒客户端。升级方式为：在非涉密计算机上从互联网下载最新的防病毒系统升级包，刻制成光盘。将此光盘上的防病毒系统升级包通过非涉密中间机导入到涉密光盘上，带入到涉密内网的防病毒系统服务器上。运用服务器上的防病毒系统服务端提供的接口导入升级包，再通过服务端将更新了的病毒库向每一台防病毒系统客户端进行强制更新。防病毒管理：定时升级病毒特性库，每七天不少于一次；定时进行全网杀毒扫描，每天计划不少于一次；每月检查防病毒系统的运行状况并统计，备份并存储病毒日志；制订应急预案，避免病毒大面积暴发。（3）设备管理及方略为了避免计算机病毒或恶意代码传输，将采用以下方法：a、制订《XX公司涉密信息系统运行管理制度》，该管理方法将与XX公司涉密信息系统的建设同时进行制订，同时加强审计，确保方略的对的实施；b、加强存储设备的接入管理，对接入系统的存储设备必须先通过计算机病毒和恶意代码检查解决；c、全部的涉密计算机usb及光驱等接口均通过授权才干使用，避免系统顾客私自安装软件或使用usb设备带病毒入网。（4）布署后解决的风险解决计算机病毒与恶意代码防护、操作系统安全有关风险。5.2恶意程序辅助检测系统XX公司涉密信息系统采用恶意程序辅助检测系统，用于XX公司涉密信息系统的中间机信息输入输出介质的恶意程序及木马病毒查杀及管控。（1）布署系统采用单机布署在中间机上的构造。共4台中间机，主中心2台，附属中心2台，分别为涉密中间机以及非涉密中间机。4台中间机上均安装恶意程序辅助检测系统，对中间机潜在的恶意程序及木马进行管控。（2）第一次运行方略使用恶意程序辅助检测系统接管系统核心服务、限制未知程序启动、未知驱动加载、设立方略进行恶意代码扫描、设立方略拦截恶意程序的盗取行为。（3）设备管理及方略恶意程序辅助检测系统由信息中心进行管理及维护，任何方略的改动均需要通过保密办的讨论后方可实施。恶意程序辅助检测系统的日志系统同时维护，日志的保存与备份按照《XX公司恶意程序辅助检测系统运维管理制度》进行管理。a、由信息中心管理恶意程序辅助检测系统，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心对中间机进行编号、标记密级、统计安放位置并指定中间机负责人。c、信息中心负责定时到中间机提取审计日志信息等内容。d、信息中心发现高风险事件及时通报保密办，并查找风险源头，各部门配合信息中心及时解决问题。e、中间机负责人严格恪守《XX公司恶意程序辅助检测系统运维管理制度》，使用中间机需要进行申请、审批、登记摆渡内容、使用恶意程序辅助检测系统避免摆渡介质可能携带的恶意程序及木马危害系统。（4）布署后解决的风险解决中间机计算机病毒与恶意代码防护有关风险。5.3主机监控与审计系统XX公司使用原有主机监控与审计系统进行对终端行为监控和限制，保持原有布署及原有配备不变，管理方式及方略仍旧。此设备解决的风险为设备数据接口控制、主机安全审计风险。5.4移动介质管理系统XX公司采用移动介质管理系统对公司移动存储介质进行管理。（1）布署使用一台单机作为移动存储介质的系统管理机，安装涉密移动存储介质保密管理系统以及审计平台。该单机放置于信息中心，由信息中心管理维护。布署30个客户端。具体分布以下表所示。表1-5移动介质系统布署汇总表序号布署位置数量12345678910累计（2）第一次运行方略使用移动介质管理系统对公司移动存储介质进行：注册登记、授权、定密、发放、收回、销毁、删除。采用全盘加密技术，避免格式化U盘后进行数据恢复。（3）设备管理及方略移动介质下发至各部门，由各部门进行统一管理，保密办进行二级管理，借用需要通过部门领导的审批，登记后进行使用，并限定使用时间及使用范畴。采用的技术防护手段为主机监控与审计系统，进行移动介质设备的管控与日志统计。移动介质出现硬件问题后，交由保密办统一封存解决。（4）布署后解决的风险解决介质安全存在的风险。5.5终端安全登录及身份认证系统XX公司采用终端安全登录与监控审计系统（网络版），用于对机密级终端的“双因子”登录身份认证。采用终端安全登录与监控审计系统（单机版），用于对涉密单机、中间机登录身份认证、主机监控与审计。（1）布署终端安全登录与监控审计系统（网络版）服务器布署于安全管理区，数量为2套，分别布署于主中心和附属中心。认证客户端安装于机密级终端上，累计89台。单机版直接布署在具XX公司全部的中间机以及涉密单机上。（2）第一次运行方略全部终端的方略采用下列方式进行：开机安全登录与认证，关闭光驱、软驱、串口、并口、红外、蓝牙、网络接口、1394火线、PDA。USB存储自由使用。严禁修改注册表、安装软件、安全模式启动、外联、更换设备。严禁打印、监控文献操作。特殊的终端如果需要开放特殊方略，则必须由保密办审批核准后，由信息中心系统管理员进行方略的调节与下发。（3）设备管理及方略终端安全登录与监控审计系统由信息中心进行管理及维护，任何方略的改动均需要通过保密办的讨论后方可实施。终端安全登录与监控审计系统的日志系统同时维护，日志的保存与备份按照《XX公司终端安全登录与监控审计系统运维管理制度》进行管理。a、由信息中心管理终端安全登录与监控审计系统，分别设立管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。b、由信息中心对终端安全登录与监控审计系统服务器进行编号、标记密级、安放至安全管理位置。c、信息中心负责终端安全登录与监控审计系统的日常运行维护，每七天登陆设备查看服务器硬件运行状态、方略配备、系统日志等内容。d、信息中心发现异常状况及时通报保密办，并查找问题因素，各部门配合信息