版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
XXXXX等级保护安全建设方案3月目录1项目背景 41.1方案目标 41.2项目范围 41.3设计标准 41.4参考标准 52法院信息系统情况 52.1系统组成 52.2.1XXXXX现网网络拓扑图 62.2.2存在安全问题分析 63安全需求分析 73.1安全指标与需求分析 74信息安全体系框架设计 105技术体系整改 115.1边界安全 115.2数据安全 125.3主机安全 125.4运维管理 136安全产品布署情况 136.2产品布署说明 146.2.1防病毒网关产品布署 146.2.2终端杀毒防御系统布署 156.2.3堡垒机产品布署 166.2.4日志审计产品布署 186.2.5数据库审计产品布署 197安全产品布署情况 207.1.1管理方法实现 207.1.2管理机构和人员设置 207.1.3管理制度建设和修订 207.1.4人员安全技能培训 217.1.5安全实施过程管理 217.2方案评审 227.3安全漏洞扫描 22项目背景近年来,勒索病毒威胁展现愈演愈烈之势,传输方式更多元,病毒更新迭代加紧,勒索病毒俨然成为近两年来最严峻网络安全威胁之一。而勒索病毒攻击方式也从原来广撒网逐步转变为定向攻击高价值目标,从对个人客户攻击逐步转移至以政府机构、主要行业为攻击对象。针对勒索病毒安全事件频发以及暴发后巨大影响,最高法出台通知,要求全国各级法院依照要求进行整改,切实加强安全风险管控,确保法院专网安全稳定运行。11月12日起,最高法经过办公厅秘书处,陆续向全国各法院公布《关于展开全国法院办公专网信息安全专题整改工作通知》。同时依照《国家网络安全法》、《信息系统安全等级保护基本要求》等相关法规及要求,以及XXXXX对信息系统安全稳定运行业务需求,经过事前威胁检测、事中联动防御、事后关联分析机制。全方面实现GBT22239-《信息安全技术信息系统安全等级保护基本要求》中对于三级系统安全要求。方案目标此次XXXXX关键业务系统等级保护安全建设主要目标是:按照等级保护要求,结合实际业务系统,对法院关键业务系统进行充分调研及详细分析,将法院关键业务系统系统建设成为一个及满足业务需要,又符合等级保护三级级系统要求业务平台。依照国家《国家网络安全法》、《信息系统安全等级保护基本要求》等相关法规及要求,以及XXXXX对信息系统安全稳定运行业务需求,经过事前威胁检测、事中联动防御、事后关联分析机制。全方面实现GBT22239-《信息安全技术信息系统安全等级保护基本要求》中对于三级系统安全要求。同时结合XXXXX网络现实状况及信息安全建设情况进行规划设计,依照信息系统定级情况、信息系统承载业务情况和安全需求等,设计合理、满足等级保护要求安全改造方案并以此为依据提出具备可执行性安全整改提议,经过实施安全整改,从技术和管理两方面达成国家等级保护基本要求,完善XXXXX信息系统安全技术防护方法、安全管理制度和安全运维体系,分期建设完整信息安全防护体系,最终目标是XXXXX网络及应用系统安全稳定运行以及经过最终测评。项目范围XXXXX局域网基础系统、科技法庭系统、办公自动化系统(按照安全类别第III级(S3A3G3)标准设计)。设计标准在项目实施过程中,将遵照以下标准:符合性标准:项目建设要符合国家等级保护政策和标准规范要求,经过专业等级保护测评机构测评,并到公安部门及上级主管单位完成立案;适度安全标准:安全防护工作根本性标准,指安全防护工作应依照主要信息系统安全等级,平衡效益与成本,采取适度安全技术和管理方法;可控性标准:指相关项目组人员应具备可靠职业素质和专业素质;项目实施过程中技术工具使用可控,防止引入新风险;项目过程可控性:要对整个安全防护项目进行科学项目管理,实现项目过程可控性;最小影响标准:从项目管理层面和技术管理层面,项目标实施过程对信息系统正常运行影响降低到最低程度,以确保日常业务正常运行;保密性标准:相关安全防护工作人员签署协议,承诺对所进行安全防护工作保密,确保不泄露主要信息系统安全防护工作主要和敏感信息。。参考标准在开展《信息系统等级保护安全体系建设方案》设计过程中将严格按照国家相关法律标准展开,为用户提供符合本身实际需求及满足等级保护建设规范优质方案,主要依据标准文件包含以下:本方案主要参考一下标准和依据:国家标准:GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-信息安全技术信息系统安全等级保护定级指南GB/T22239-信息安全技术信息系统安全等级保护基本要求GB/T25058-信息安全技术信息系统安全等级保护实施指南法院信息系统情况系统组成XXXXX信息系统主要包含外部网络(外网,连接互联网)和内部网络(内网,提供内部业务系统使用,与互联网逻辑隔离)。系统有科技法庭系统和局域网基础系统以及办公自动化系统。科技法庭系统(S3A3G3级)局域网基础系统(S3A3G3级)办公自动化系统(S3A3G3级)XXXXX现网网络拓扑图XXXXX现有网络架构图2-1存在安全问题分析边界安全方面未能依照业务需要对会话终止时间进行合理限制;未统计网络攻击行为日志信息;发生严重入侵事件时未能对攻击行为进行报警;网络边界处未布署恶意代码检测方法;多个月内恶意代码库未更新升级;未对管理员登录网络设备地址进行任何限制;未对全部业务确定主要性、优先级,制订业务相关带宽分配标准及对应带宽控制策略等等。主机安全方面科技法庭系统:未对主要文件访问权限作合理配置;假如是Windows系统,未关闭系统默认共享;假如是Unix系统查看主要目录访问权限;局域网基础系统:未启用系统安全审计功效,未对用户主要操作进行日志统计;主机层未安装防病毒软件;网络层未布署防毒墙;主机层与网络层布署防恶意代码产品具备相同代码库;所安装防恶意代码软件为单机版,未能实现统一管理,统一更新,统一检测与查杀等等。数据安全方面访问控制覆盖粒度未包含主体、客体及它们之间操作情况二:渗透测试发觉存在访问控制未能覆盖客体;非授权人员能够进行用户权限管理,实际授权与权限策略不一致,可进行越权操作;存在默认权限账户;未对审计统计进行统计、查询及分析,未生成升级报表;未提供对一个时间段内可能并发会话连接数进行限制;未提供系统服务水平检测功效;未提供服务优先级设置功效等等。安全需求分析安全指标与需求分析XXXXX关键业务系统安全建设关键需求即满足等级保护相关要求,所以将以满足等级保护指标为目标。依照前期监管机构检验结果,结合本身业务需求,能够确定需要满足等级保护指标以下表3-1所表示:单位级安全指标(三级)安全管理机构人员安全管理安全管理制度数据安全
及备份恢复网络安全物理安全系统运维管理系统建设管理控制点数量控制点数量控制点数量控制点数量控制点数量控制点数量控制点数量控制点数量岗位设置4安全意识教育和培训4管理制度4备份和恢复4安全审计4电磁防护3安全事件处置6安全方案设计5沟通和合作5人员考评3评审和修订2数据保密性2边界完整性检验2电力供给4备份与恢复管理5安全服务商选择3人员配置3人员离岗3制订和公布5数据完整性2恶意代码防范2防偷窃和防破坏6变更管理4测试验收5审核和检验4人员录用4访问控制8防火3恶意代码防范管理4产品采购和使用4授权和审批4外部人员访问管理2结构安全7防静电2环境管理4等级测评4入侵防范2防雷击3监控和安全管理中心3工程实施3防水和防潮4介质管理6外包软件开发4温湿度控制1密码管理1系统立案3物理访问控制4设备管理5系统定级4物理位置选择2网络安全管理8系统交付5系统安全管理7自行软件开发0应急预案管理5资产管理4总计214表3-1信息安全体系框架设计依照《信息系统安全等级保护基本要求》,分为技术和管理两大类要求,详细如图4-1所表示:图4-1本方案将严格依照技术与管理要求进行设计。首先应依照本级详细基本要求设计本级系统保护环境模型,依照《信息系统等级保护安全设计技术要求》,保护环境按照安全计算环境、安全区域边界、安全通信网络和安全管理中心进行设计,内容涵盖基本要求5个方面。同时结合管理要求,形成如图4-1所表示保护环境模型:图4-1信息系统安全保护等级由业务信息安全性等级和系统服务确保性等级较高者决定,所以,对某一个定级后信息系统安全保护侧重点能够有多个组合。对于3级保护系统,其组合为:(在S1A3G3,S2A3G3,S3A3G3,S3A2G3,S3A1G3选择)。以下详细方案设计时以S3A3G3为例,其余组合依照实际情况酌情修改。技术体系整改边界安全经过对边界风险与需求分析,在网络层进行访问控制需布署边界安全防护产品,经过该安全产品实现对边界访问控制、入侵防范和恶意代码防范,要求下一代防火墙具备以下功效功效:能够对全部流经该设备数据包按照严格安全规则进行过滤,将全部不安全或不符合安全规则数据包屏蔽,杜绝越权访问,预防各类非法攻击行为。可面对越来越广泛基于应用层内容攻击行为,该设备还应具备能够及时识别网络中发生入侵行为并实时报警而且进行有效拦截防护。能够对夹杂在网络交换数据中各类网络病毒进行过滤,能够对网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行全方面拦截。阻止病毒经过网络快速扩散,将经网络传输病毒阻挡在外,能够有效预防病毒从其余区域传输到内部其余安全域中。截断了病毒经过网络传输路径,净化了网络流量。布署下一代防火墙时应尤其注意设备性能,产品必须具备良好体系架构确保性能,能够灵活进行网络布署。同时为使得达成最好防护效果。另外,安全防护设备防病毒库应该和桌面防病毒软件应为不一样厂家产品,两类病毒防护产品共同组成中级法院立体病毒防护体系。数据安全布署数据库审计系统对用户行为、用户事件及系统状态加以审计,范围覆盖到每个用户,从而把握数据库系统整体安全,详细要求:细粒度审计:实时监控业务系统和管理员对业务数据库全部访问,依照多个安全策略判定访问操作风险等级,从而实现完全独立于数据库审计功效。模块提供可视化审计日志检索和回放功效,生成可读性高报表,达成提升数据库及业务系统安全性目标。状态监控:实时监控数据库运行状态,在状态异常时进行预警,预防业务瘫痪,保障业务系统可用性,包含用户活动情况、数据库内存状态、文件系统状态、查询响应性能。漏洞扫描:实现数据库漏洞扫描,提前预知风险情况,包含弱口令检验、软件漏洞补丁、权限分配风险、数据库配置风险、操作系统相关风险。主机安全集中身份管理系统是针对国内企业信息化发展现实状况而开发应用系统管理平台,能够在不改变现有软硬件及网络环境前提下,无缝地将用户各种现有应用系统整合到单点登录平台上,实现一次登录后就可访问全部有权限访问应用系统。集中身份管理系统能够为单位应用系统提供集中管理平台,降低系统维护工作;能够为企业提供全方面用户和资源管理,降低企业维护成本;能够帮助企业制订严格资源访问策略和采取强身份认证伎俩,全方面保障系统资源安全;能够详细统计用户对资源访问及操作,达成对用户行为审计需要。6.2.1终端管控系统布署布署位置在XXXXX、全部服务器终端上布署终端管控系统系统进行主机安全防护、预防中勒索病毒、未知病毒、外接设备端口管控等。实现目标实现智能检测防御CC攻击,内核级防火墙(业务间流量东西向隔离)功效,集中管控、具备系统漏洞扫描和修复功效,提供真实漏洞补丁。管理中心可作为补丁服务器。提供离线补丁下载器,按需智能获取内网所需补丁,支持防端口扫描,防违规外联,锁定恶意端口扫描及外联行为,并统计告警。提供实时对终端进行管控。对应等级保护三级要求终端威胁防御系统是针对国内企业信息化发展现实状况而开发应用系统管理平台,能够在不改变现有软硬件及网络环境前提下,无缝地将用户各种现有应用系统整合到单点登录平台上,实现一次登录后就可访问全部有权限访问应用系统。终端威胁防御系统能够为单位应用系统提供集中管理平台,降低系统维护工作;能够为企业提供全方面用户和资源管理,降低企业维护成本;能够帮助企业制订严格资源访问策略和采取强身份认证伎俩,全方面保障系统资源安全;能够详细统计用户对资源访问及操作,达成对用户行为审计需要。6.2.1特权帐号管理系统布署布署位置在中级法院运维管理区布署特权帐号管理系统。县法院不需要布署特权帐号管理系统、市中院统一管理运维;满足三级等保要求。实现目标经过布署特权帐号管理系统,实现以下安全目标:对以SSH,TELNET,FTP,SCP、SFTP、远程桌面RDP、VNC、X11、HTTP、HTTPS、ORACLE、MSSQL、DB2,INFORMIX,MYSQL等应用协议集中管理与审计;实现全部运维人员、服务器、网络设备、安全设备、数据库集中管理;自动改密能够对主流windows、linux、unix、交换机、路由器等设备,对用户最担心密码安全方面设计了完善策略;完整统计运维管理员运维过程,哪个账号经过哪个IP地址登陆了什么设备、在设备上面做了什么操作、目标设备返回结果都会完整统计;提供了丰富统计报表,对资产运维操作以及系统本身运行、操作进行各类统计和多维度分析。对应等级保护三级要求经过布署特权帐号管理系统,能够满足信息系统安全等级保护基本要求中网络安全中要求:1、应对登录网络设备用户进行身份判别;2、主要网络设备应对同一用户选择两种或两种以上组合判别技术来进行身份判别;3、应具备登录失败处理功效,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等方法;4、当对网络设备进行远程管理时,应采取必要方法预防判别信息在网络传输过程中被窃听;满足信息系统安全等级保护基本要求中主机安全中要求:1、操作系统和数据库系统管理用户身份标识应具备不易被冒用特点,口令应有复杂度要求并定时更换;2、应启用登录失败处理功效,可采取结束会话、限制非法登录次数和自动退出等方法;3、当对服务器进行远程管理时,应采取必要方法,预防判别信息在网络传输过程中被窃听;4、应采取两种或两种以上组合判别技术对管理用户进行身份判别。5、应及时删除多出、过期帐户,防止共享帐户存在。6、应依据安全策略严格控制用户对有敏感标识主要信息资源操作;7、审计内容应包含主要用户行为、系统资源异常使用和主要系统命令使用等系统内主要安全相关事件;8、应能够依照统计数据进行分析,并生成审计报表;9、应保护审计进程,防止受到未预期中止;10、应保护审计统计,防止受到未预期删除、修改或覆盖等。满足信息系统安全等级保护基本要求中系统运维管理中要求:1、应建立系统安全管理制度,对系统安全策略、安全配置、日志管理和日常操作流程等方面作出详细要求;2、应指定专员对系统进行管理,划分系统管理员角色,明确各个角色权限、责任和风险,权限设定应该遵照最小授权标准。6.2.3日志审计产品布署布署位置在中级法院运维管理区布署日志审计产品。县法院不需要布署日志审计产品、市中院统一管理运维;满足三级等保要求。实现目标经过布署综合日志审计产品,实现以下安全目标:各种安全事件日志(攻击、入侵、异常)、各种行为事件日志(内控、违规)、各种弱点扫描日志(弱点、漏洞)、各种状态监控日志(可用性、性能、状态)、安全视角事件描述;实时关联分析,跨设备多事件关联分析;依照资产价值、资产漏洞、针对漏洞威胁事件三者进行威胁自动关联分析;日志备份自动传送到远程服务器;设置安全告警策略,提供多个告警方式。对应等级保护三级要求经过布署综合日志审计产品,能够满足
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 2025版购车贷款利率调整合同3篇
- 金融服务工程承诺书
- 环保设备采购招投标合同范本
- 建筑工程脚手架租赁合同范本
- 律师协会财务风险管理规范
- 资金运用监控规范
- 眼镜生产厂房租赁合同
- 非营利组织安全责任区管理办法
- 体育产业招投标领导小组启动
- 垃圾处理安全事故防范指南
- Python财务应用课后参考答案
- 《树叶中的比》(说课稿)苏教版六年级上册数学
- 德菲娅定制衣柜导购培训手册
- 人文英语3复习资料
- 2023-2024学年云南省昆明市小学语文二年级期末评估测试题附参考答案和详细解析
- 静脉输液新标准
- 机械原理课程设计-自动盖章机
- 供应室提高腔镜器械清洗质量PDCA案例
- 【林芝市藏汉通婚带来的影响调研分析报告3300字】
- FURUNOECDISMultipleChoiceTest古野电子海图题库测试题
- 中医骨伤学课程教案
评论
0/150
提交评论