1、精選優質文檔-傾情為你奉上精選優質文檔-傾情為你奉上專心-專注-專業專心-專注-專業精選優質文檔-傾情為你奉上專心-專注-專業朔州市交警隊等級保護（三級）建設方案深信服科技（深圳）有限公司 TIME yyyy年M月 2019年3月目錄 TOC o 1-3 h z u 項目概述隨著信息化的發展，朔州市交警隊的業務開展也越來越依托于網絡平臺，但縱觀當前的安全形勢，各種安全事件層出不窮，而朔州市交警隊目前的網絡中，安全設備較少，以前買的安全設備由于網絡帶寬升級，使用耗損等，其性能也漸漸不能滿足朔州市交警隊目前的網絡安全需求，嚴重制約了朔州市交警隊的信息化腳步。因此朔州市交警隊希望加快信息化建設，以實

2、現電子辦公，執法信息網絡公開化等。通過對朔州市交警隊信息化現狀調研、分析，結合等級保護在物理安全、網絡安全、主機安全、應用安全、數據安全、安全管理制度、安全管理機構、人員安全、系統建設、系統運維十個方面的要求，逐步完善信息安全組織、落實安全責任制，開展管理制度建設、技術措施建設，落實等級保護制度的各項要求，使得單位信息系統安全管理水平明顯提高，安全保護能力明顯增強，安全隱患和安全事故明顯減少，有效保障信息化健康發展。等級保護建設流程整體的安全保障體系包括技術和管理兩大部分，其中技術部分根據信息系統安全等級保護基本要求分為物理安全、網絡安全、主機安全、應用安全、數據安全五個方面進行建設；而管理部

3、分根據信息系統安全等級保護基本要求則分為安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理五個方面。整個安全保障體系各部分既有機結合，又相互支撐。之間的關系可以理解為“構建安全管理機構，制定完善的安全管理制度及安全策略，由相關人員，利用技術工手段及相關工具，進行系統建設和運行維護。”根據等級化安全保障體系的設計思路，等級保護的設計與實施通過以下步驟進行：系統識別與定級：確定保護對象，通過分析系統所屬類型、所屬信息類別、服務范圍以及業務對系統的依賴程度確定系統的等級。通過此步驟充分了解系統狀況，包括系統業務流程和功能模塊，以及確定系統的等級，為下一步安全域設計、安全保障體系框架

4、設計、安全要求選擇以及安全措施選擇提供依據。安全域設計：根據第一步的結果，通過分析系統業務流程、功能模塊，根據安全域劃分原則設計系統安全域架構。通過安全域設計將系統分解為多個層次，為下一步安全保障體系框架設計提供基礎框架。確定安全域安全要求：參照國家相關等級保護安全要求，設計不同安全域的安全要求。通過安全域適用安全等級選擇方法確定系統各區域等級，明確各安全域所需采用的安全指標。評估現狀：根據各等級的安全要求確定各等級的評估內容，根據國家相關風險評估方法，對系統各層次安全域進行有針對性的等級風險評估。并找出系統安全現狀與等級要求的差距，形成完整準確的按需防御的安全需求。通過等級風險評估，可以明確

5、各層次安全域相應等級的安全差距，為下一步安全技術解決方案設計和安全管理建設提供依據。安全保障體系方案設計：根據安全域框架，設計系統各個層次的安全保障體系框架以及具體方案。包括：各層次的安全保障體系框架形成系統整體的安全保障體系框架；詳細安全技術設計、安全管理設計。安全建設：根據方案設計內容逐步進行安全建設，滿足方案設計做要符合的安全需求，滿足等級保護相應等級的基本要求，實現按需防御。持續安全運維：通過安全預警、安全監控、安全加固、安全審計、應急響應等，從事前、事中、事后三個方面進行安全運行維護，確保系統的持續安全，滿足持續性按需防御的安全需求。通過如上步驟，系統可以形成整體的等級化的安全保障體

6、系，同時根據安全術建設和安全管理建設，保障系統整體的安全。而應該特別注意的是：等級保護不是一個項目，它應該是一個不斷循環的過程，所以通過整個安全項目、安全服務的實施，來保證用戶等級保護的建設能夠持續的運行，能夠使整個系統隨著環境的變化達到持續的安全。方案參照標準GB/T 21052-2007 信息安全等級保護 信息系統物理安全技術要求信息安全技術 信息系統安全等級保護基本要求信息安全技術 信息系統安全保護等級定級指南(報批中) 信息安全技術信息安全等級保護實施指南(報批中)信息安全技術 信息系統安全等級保護測評指南GB/T 20271-2006 信息安全技術 信息系統通用安全技術要求GB/T

7、20270-2006 信息安全技術 網絡基礎安全技術要求GB/T 20984-2007信息安全技術 信息安全風險評估規范GB/T 20269-2006 信息安全技術 信息系統安全管理要求GB/T 20281-2006 信息安全技術 防火墻技術要求與測試評價方法GB/T 20275-2006 信息安全技術 入侵檢測系統技術要求和測試評價方法GB/T 20278-2006 信息安全技術 網絡脆弱性掃描產品技術要求GB/T 20277-2006 信息安全技術 網絡脆弱性掃描產品測試評價方法GB/T 20279-2006 信息安全技術 網絡端設備隔離部件技術要求GB/T 20280-2006 信息安全

8、技術 網絡端設備隔離部件測試評價方法等。信息系統定級備案信息系統定級確定信息系統安全保護等級的一般流程如下：識別單位基本信息 了解單位基本信息有助于判斷單位的職能特點，單位所在行業及單位在行業所處的地位和所用，由此判斷單位主要信息系統的宏觀定位。識別業務種類、流程和服務應重點了解定級對象信息系統中不同業務系統提供的服務在影響履行單位職能方面具體方式和程度，影響的區域范圍、用戶人數、業務量的具體數據以及對本單位以外機構或個人的影響等方面。這些具體數據即可以為主管部門制定定級指導意見提供參照，也可以作為主管部門審批定級結果的重要依據。識別信息調查了解定級對象信息系統所處理的信息，了解單位對信息的三

9、個安全屬性的需求，了解不同業務數據在其保密性、完整性和可用性被破壞后在單位職能、單位資金、單位信譽、人身安全等方面可能對國家、社會、本單位造成的影響，對影響程度的描述應盡可能量化。識別網絡結構和邊界調查了解定級對象信息系統所在單位的整體網絡狀況、安全防護和外部連接情況，目的是了解信息系統所處的單位內部網絡環境和外部環境特點，以及該信息系統的網絡安全保護與單位內部網絡環境的安全保護的關系。識別主要的軟硬件設備調查了解與定級對象信息系統相關的服務器、網絡、終端、存儲設備以及安全設備等，設備所在網段，在系統中的功能和作用。調查設備的位置和作用主要就是發現不同信息系統在設備使用方面的共用程度。識別用戶

10、類型和分布調查了解各系統的管理用戶和一般用戶，內部用戶和外部用戶，本地用戶和遠程用戶等類型，了解用戶或用戶群的數量分布，判斷系統服務中斷或系統信息被破壞可能影響的范圍和程度。根據信息安全等級矩陣表，形成定級結果業務信息安全等級矩陣表業務信息安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級系統服務安全等級矩陣表系統服務安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三

11、級第四級國家安全第三級第四級第五級根據上述定級流程，朔州市交警隊各主要系統定級結果為：3級定級結果根據上述定級流程，朔州市交警隊各主要系統定級結果為：序號系統名稱保護等級執行查看系統3數字法院系統3信息系統備案依據信息系統安全等級保護定級指南，確定信息系統的等級后，準備定級備案表和定級報告，協助用戶單位向所在地區的公安機關辦理備案手續。第二級以上信息系統，在安全保護等級確定后30日內，由其運營、使用單位到所在地設區的市級以上公安機關辦理備案手續。運營使用單位或主管部門在備案時應填寫信息系統安全等級保護備案表（以下簡稱備案表）提交有關備案材料及電子數據文件。定級工作的結果是以備案完成為標志。受理

12、備案的公安機關要公布備案受理地點、備案聯系方式等。在受理備案時，應對提交的備案材料進行完整性審核和定級準確性審核。對符合等級保護要求的，應頒發信息系統安全等級保護備案證明。發現定級不準的，通知備案單位重新審核確定。系統安全需求分析信息安全是指信息網絡的硬件、軟件及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，信息服務不中斷，信息安全包括了保密性、完整性、可用性等特性，本方案將朔州市交警隊公共服務平臺從信息安全方面展開需求分析，使系統達到：在統一安全策略下防護系統免受來自外部有組織的團體、擁有較為豐富資源的威脅源發起的惡意攻擊、較為嚴重的自然災難

13、，以及其他相當危害程度的威脅所造成的主要資源損害，能夠發現安全漏洞和安全事件，在系統遭受損害后，能夠較快恢復絕大部分功能。隨著信息化建設的不斷推進，網絡安全成為業務開展過程最重要的一環，對安全的特殊需求實際上就是要合理地解決網絡開放性與安全性之間的矛盾。在確保單位信息暢通的基礎上，有效阻止非法訪問和攻擊對系統的破壞。安全風險特征主要取決于兩個方面：一是其資產價值，二是其運行環境。安全風險主要來自網絡、主機、應用和數據四個方面，從朔州市交警隊當前網絡整體安全角度出發，需要重點關注如下幾個方面的安全建設：終端感染木馬、病毒病毒、木馬、蠕蟲仍是局外網面臨的最為迫切的安全防護需求，病毒木馬蠕蟲對終端的

14、危害可能導致終端系統癱瘓、終端被控制、終端存儲的信息被竊取、終端被引導訪問釣魚網站、終端成為僵尸網絡甚至于終端被控制之后形成跳板攻擊危害到終端具有權限訪問的各類服務器。終端系統漏洞終端感染病毒、木馬、蠕蟲等威脅是終端面臨的主要威脅之一。而終端系統層面的漏洞被利用，會導致終端更嚴重的風險，比如終端被控制成為黑客攻擊的跳板，或者終端成為僵尸網絡的一部分，隨時有可能發起針對內網的攻擊。APT攻擊不斷滲透隨著“火焰”蠕蟲的爆發，高級持續性威脅（APT攻擊）受到業內的關注。APT被稱為高級持續性威脅，它是對特定目標進行長期、持續性網絡入侵的攻擊形式。在發動攻擊之前，黑客會對攻擊對象的業務流程和目標系統進

15、行精確的情報收集，主動挖掘被攻擊對象各種業務系統和應用程序的漏洞，并利用這些漏洞進入單位網絡內部竊取所需的信息、產生特定的破壞。互聯網出口往往是APT攻擊切入的第一扇門，他們往往容易被黑客滲透之后對內網發起橫向轉移的攻擊導致敏感信息被竊取、系統被控制所有行為都暴露在黑客的視野里。系統漏洞風險問題黑客利用服務器操作系統漏洞、應用軟件漏洞通過緩沖區溢出、惡意蠕蟲、病毒等漏洞攻擊，獲取服務器權限、使服務器癱瘓導致服務器、存儲等資源被攻擊的問題。應用層攻擊問題根據Gartner的統計報告顯示，信息安全攻擊有 75% 都是發生在 Web 應用層，針對web的攻擊往往隱藏在大量的正常業務訪問的行為中，傳統

16、的安全設備在應用層攻擊防護上存在嚴重不足。敏感信息泄漏問題這類安全問題主要利用web攻擊、系統漏洞攻擊等攻擊手段操作后臺數據庫，導致數據庫中儲存的用戶資料、身份證信息、賬戶信息、信用卡信息、聯系方式等敏感信息被攻擊者獲取，從而產生巨大的經濟損失。帶寬效率風險隨著互聯網的普及，朔州市交警隊的業務大多依托于互聯網開展。但是在單位內部除了一些關鍵業務系統外，P2P下載、網絡炒股、游戲、視頻等非關鍵業務應用同樣共存著，形成了復雜的網絡應用“脈絡”。 朔州市交警隊通過租用運營商處的帶寬滿足業務需求，租用的帶寬資源是有限的，如果不能對有限的帶寬資源進行合理有效的管控，一方面用戶的訪問速度慢、訪問體驗得不到

17、有效地滿足，另一方面造成帶寬資源利用率低的問題，因此朔州市交警隊亟需一個方案解決帶寬效率風險問題。工作效率風險網絡的普及改變了朔州市交警隊的辦公方式，而單位內總有部分用戶在上班時間有意無意做與工作無關的網絡行為，比如聊天、炒股、玩網游、看視頻等，將辦公室變成免費網吧，影響工作效率，從長遠來看，會給朔州市交警隊帶來很大的財力損失，從而導致競爭力的下降。法律風險目前，網絡的違規違法事件越來越多，國家對于違規違法事件打擊的力度越來越大，公安部82號令明文規定，凡是接入互聯網的單位都必須具備審計的功能，記錄用戶的上網行為。單位職員通過組織網絡，在論壇和博客發表反動、藏獨等不負責任的言論，在QQ、MSN

18、等聊天過程中傳播不雅信息，都屬于網絡的違規違法行為，一旦被公安部門查處，單位會因此而遭受法律的制裁。安全快速的移動接入移動互聯網技術的發展，使得單位辦公方式多樣化，部分領導出差或者員工不在辦公區需要臨時接入單位內網完成業務交付的需求越來越普遍。網絡是信息化數據傳輸的載體，物聯網的建設基礎是互聯網。目前的WEB2.0時代使得互聯網的傳輸平臺傳輸著各種各樣的數據，互聯網環境是一個沒有太多規章制度來管理的大平臺，如此一來，如果把單位內部十分重要的信息數據傳輸在這個互聯網環境，很有可能會被黑客攻擊竊取、篡改，也有可能遭到互聯網中的威脅因素的侵害，影響網絡辦公。為了實現人們的遠程辦公，需要保證人員外出時

19、可以安全訪問單位內部網絡進行日常操作，并確保數據的安全。因此必須在選擇方法時，充分考慮多種接入方式以及各個接入方式的安全性，確保移動用戶在接入內部網絡時全面的安全保障。業務穩定性需求朔州市交警隊公共服務平臺業務系統承載于服務器，隨著訪問用戶數量的增加，給單位的服務器帶來越來越大的壓力，如何有效的保證客戶訪問的速度和穩定性是目前朔州市交警隊網絡改造的重要目標。安全風險與差距分析物理安全風險與差距分析物理安全風險主要是指網絡周邊的環境和物理特性引起的網絡設備和線路的不可使用，從而會造成網絡系統的不可使用，甚至導致整個網絡的癱瘓。它是整個網絡系統安全的前提和基礎，只有保證了物理層的可用性，才能使得整

20、個網絡的可用性，進而提高整個網絡的抗破壞力。例如：機房缺乏控制，人員隨意出入帶來的風險；網絡設備被盜、被毀壞；線路老化或是有意、無意的破壞線路；設備在非預測情況下發生故障、停電等；自然災害如地震、水災、火災、雷擊等；電磁干擾等。因此，在通盤考慮安全風險時，應優先考慮物理安全風險。保證網絡正常運行的前提是將物理層安全風險降到最低或是盡量考慮在非正常情況下物理層出現風險問題時的應對方案。計算環境安全風險與差距分析計算環境的安全主要指主機以及應用層面的安全風險與需求分析，包括：身份鑒別、訪問控制、系統審計、入侵防范、惡意代碼防范、軟件容錯、數據完整性與保密性、備份與恢復、資源合理控制、剩余信息保護、

21、抗抵賴等方面。身份鑒別身份鑒別包括主機和應用兩個方面。主機操作系統登錄、數據庫登陸以及應用系統登錄均必須進行身份驗證。過于簡單的標識符和口令容易被窮舉攻擊破解。同時非法用戶可以通過網絡進行竊聽，從而獲得管理員權限，可以對任何資源非法訪問及越權操作。因此必須提高用戶名/口令的復雜度，且防止被網絡竊聽；同時應考慮失敗處理機制。訪問控制訪問控制包括主機和應用兩個方面。訪問控制主要為了保證用戶對主機資源和應用系統資源的合法使用。非法用戶可能企圖假冒合法用戶的身份進入系統，低權限的合法用戶也可能企圖執行高權限用戶的操作，這些行為將給主機系統和應用系統帶來了很大的安全風險。用戶必須擁有合法的用戶標識符，在

22、制定好的訪問控制策略下進行操作，杜絕越權非法操作。系統審計系統審計包括主機審計和應用審計兩個方面。對于登陸主機后的操作行為則需要進行主機審計。對于服務器和重要主機需要進行嚴格的行為控制，對用戶的行為、使用的命令等進行必要的記錄審計，便于日后的分析、調查、取證，規范主機使用行為。而對于應用系統同樣提出了應用審計的要求，即對應用系統的使用行為進行審計。重點審計應用層信息，和業務系統的運轉流程息息相關。能夠為安全事件提供足夠的信息，與身份認證與訪問控制聯系緊密，為相關事件提供審計記錄。入侵防范主機操作系統面臨著各類具有針對性的入侵威脅，常見操作系統存在著各種安全漏洞，并且現在漏洞被發現與漏洞被利用之

23、間的時間差變得越來越短，這就使得操作系統本身的安全性給整個系統帶來巨大的安全風險，因此對于主機操作系統的安裝，使用、維護等提出了需求，防范針對系統的入侵行為。軟件容錯軟件容錯的主要目的是提供足夠的冗余信息和算法程序,使系統在實際運行時能夠及時發現程序設計錯誤，采取補救措施，以提高軟件可靠性，保證整個計算機系統的正常運行。 數據安全主要指數據的完整性與保密性。數據是信息資產的直接體現。所有的措施最終無不是為了業務數據的安全。因此數據的備份十分重要，是必須考慮的問題。應采取措施保證數據在傳輸過程中的完整性以及保密性；保護鑒別信息的保密性備份與恢復數據是信息資產的直接體現。所有的措施最終無不是為了業

24、務數據的安全。因此數據的備份十分重要，是必須考慮的問題。對于關鍵數據應建立數據的備份機制，而對于網絡的關鍵設備、線路均需進行冗余配置，備份與恢復是應對突發事件的必要措施。資源合理控制資源合理控制包括主機和應用兩個方面。主機系統以及應用系統的資源是有限的，不能無限濫用。系統資源必須能夠為正常用戶提供資源保障。否則會出現資源耗盡、服務質量下降甚至服務中斷等后果。因此對于系統資源進行控制，制定包括：登陸條件限制、超時鎖定、用戶可用資源閾值設置等資源控制策略。區域邊界安全風險與差距分析區域邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊界入侵防范以及邊界安全審計等方面。邊界訪問控制朔州市交警隊公共

25、服務平臺業務系統可劃分為如下邊界：互聯網接入邊界、對外發布邊界對于各類邊界最基本的安全需求就是訪問控制，對進出安全區域邊界的數據信息進行控制，阻止非授權及越權訪問。邊界完整性檢測邊界的完整性如被破壞則所有控制規則將失去效力，因此需要對內部網絡中出現的內部用戶未通過準許私自聯到外部網絡的行為進行檢查，維護邊界完整性。邊界入侵防范各類網絡攻擊行為既可能來自于大家公認的互聯網等外部網絡，在內部也同樣存在。通過安全措施，要實現主動阻斷針對信息系統的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS等，實現對網絡層以及業務系統的安全防護，保護核心信息資產的免受攻擊危害。邊界安全審計在

26、安全區域邊界需要建立必要的審計機制，對進出邊界的各類網絡行為進行記錄與審計分析，可以和主機審計、應用審計以及網絡審計形成多層次的審計系統。并可通過安全管理中心集中管理。通信網絡安全風險與差距分析通信網絡的安全主要包括：網絡結構安全、網絡安全審計、網絡設備防護、通信完整性與保密性等方面。網絡結構網絡結構是否合理直接影響著是否能夠有效的承載業務需要。因此網絡結構需要具備一定的冗余性；帶寬能夠滿足業務高峰時期數據交換需求；并合理的劃分網段和VLAN。網絡安全審計由于用戶的計算機相關的知識水平參差不齊，一旦某些安全意識薄弱的管理用戶誤操作，將給信息系統帶來致命的破壞。沒有相應的審計記錄將給事后追查帶來

27、困難。有必要進行基于網絡行為的審計。從而威懾那些心存僥幸、有惡意企圖的少部分用戶，以利于規范正常的網絡應用行為。網絡設備防護由于朔州市交警隊公共服務平臺業務系統中將會使用大量的網絡設備，如交換機、防火墻、入侵檢測設備等。這些設備的自身安全性也會直接關系到涉密網和各種網絡應用的正常運行。如果發生網絡設備被不法分子攻擊，將導致設備不能正常運行。更加嚴重情況是設備設置被篡改，不法分子輕松獲得網絡設備的控制權，通過網絡設備作為跳板攻擊服務器，將會造成無法想象的后果。例如，交換機口令泄漏、防火墻規則被篡改、入侵檢測設備失靈等都將成為威脅網絡系統正常運行的風險因素。通信完整性與保密性由于網絡協議及文件格式

28、均具有標準、開發、公開的特征，因此數據在網上存儲和傳輸過程中，不僅僅面臨信息丟失、信息重復或信息傳送的自身錯誤，而且會遭遇信息攻擊或欺詐行為，導致最終信息收發的差異性。因此，在信息傳輸和存儲過程中，必須要確保信息內容在發送、接收及保存的一致性；并在信息遭受篡改攻擊的情況下，應提供有效的察覺與發現機制，實現通信的完整性。而數據在傳輸過程中，為能夠抵御不良企圖者采取的各種攻擊，防止遭到竊取，應采用加密措施保證數據的機密性。網絡可信接入對于一個不斷發展的網絡而言，為方便辦公，在網絡設計時保留大量的接入端口，這對于隨時隨地快速接入到朔州市交警隊公共服務平臺業務系統網絡進行辦公是非常便捷的，但同時也引入

29、了安全風險，一旦外來用戶不加阻攔的接入到網絡中來，就有可能破壞網絡的安全邊界，使得外來用戶具備對網絡進行破壞的條件，由此而引入諸如蠕蟲擴散、文件泄密等安全問題。因此需要對非法客戶端實現禁入，能監控網絡，對于沒有合法認證的外來機器，能夠阻斷其網絡訪問，保護好已經建立起來的安全環境。技術體系方案設計方案設計目標三級系統安全保護環境的設計目標是：落實GB 17859-1999對三級系統的安全保護要求，在三級安全保護環境的基礎上，通過實現基于安全策略模型和標記的強制訪問控制以及增強系統的審計機制，使得系統具有在統一安全策略管控下，保護敏感資源的能力。通過為滿足物理安全、網絡安全、主機安全、應用安全、數

30、據安全五個方面基本技術要求進行技術體系建設；為滿足安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理五個方面基本管理要求進行管理體系建設。使得朔州市交警隊公共服務平臺業務系統等級保護建設方案最終既可以滿足等級保護的相關要求，又能夠全方面為系統提供立體、縱深的安全保障防御體系，保證信息系統整體的安全保護能力。方案設計框架根據信息系統安全等級保護基本要求，分為技術和管理兩大類要求，具體如下圖所示：本方案將嚴格根據技術與管理要求進行設計。首先應根據本級具體的基本要求設計本級系統的保護環境模型，根據信息系統等級保護安全設計技術要求，保護環境按照安全計算環境、安全區域邊界、安全通信網絡

31、和安全管理中心進行設計，內容涵蓋基本要求的5個方面。安全域的劃分安全域劃分的依據對大型信息系統進行等級保護，不是對整個系統進行同一等級的保護，而是針對系統內部的不同業務區域進行不同等級的保護。因此，安全域劃分是進行信息安全等級保護的首要步驟。安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系統內根據信息的性質、使用主體、安全目標和策略等元素的不同來劃分的不同邏輯子網或網絡，每一個邏輯區域有相同的安全保護需求，具有相同的安全訪問控制和邊界控制策略，區域間具有相互信任關系，而且相同的網絡安全域共享同樣的安全策略。當然，安全域的劃分不能單純從安全角度考慮，而是應該以業務角度為主，輔以安全

32、角度，并充分參照現有網絡結構和管理現狀，才能以較小的代價完成安全域劃分和網絡梳理，而又能保障其安全性。對信息系統安全域（保護對象）的劃分應主要考慮如下方面因素：業務和功能特性業務系統邏輯和應用關聯性業務系統對外連接：對外業務，支撐，內部管理安全特性的要求安全要求相似性：可用性、保密性和完整性的要求，如有保密性要求的資產單獨劃區域。威脅相似性：威脅來源、威脅方式和強度，如第三方接入區單獨劃區域。資產價值相近性：重要與非重要資產分離，如核心生產區和管理終端區分離。參照現有狀況現有網絡結構的狀況：現有網絡結構、地域和機房等參照現有的管理部門職權劃分安全域劃分與說明根據朔州市交警隊公共服務平臺業務系統

33、的實際情況，將安全域劃分為如下幾個：互聯網接入域：互聯網接入域主要為內網用戶部分和業務應用部分提供互聯網接入訪問支撐。對外發布服務域：業務人員提供業務系統的訪問。安全技術體系設計機房與配套設備安全設計機房與配套設備安全策略的目的是保護網絡中計算機網絡通信有一個良好的電磁兼容工作環境，并防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發生。機房選址機房和辦公場地選擇在具有防震、防風和防雨等能力的建筑內。機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。機房管理機房出入口安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員須經過申請和審批流程，并限制和監控其活動范圍。對

34、機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域；重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。機房環境合理規劃設備安裝位置，應預留足夠的空間作安裝、維護及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關標準規定。機房門大小應滿足系統設備安裝時運輸需要。機房墻壁及天花板應進行表面處理，防止塵埃脫落，機房應安裝防靜電活動地板。機房安裝防雷和接地線，設置防雷保安器，防止感應雷，要求防雷接地和機房接地分別安裝，且相隔一定的距離；機房設置火災自動消防系統，能夠自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和輔助房應采用具有耐火等級的

35、建筑材料；機房應采取區域隔離防火措施，將重要設備與其他設備隔離開。配備空調系統，以保持房間恒濕、恒溫的工作環境；在機房供電線路上配置穩壓器和過電壓防護設備；提供短期的備用電力供應，滿足關鍵設備在斷電情況下的正常運行要求。設置冗余或并行的電力電纜線路為計算機系統供電；建立備用供電系統。鋪設線纜要求電源線和通信線纜隔離鋪設，避免互相干擾。對關鍵設備和磁介質實施電磁屏蔽。設備與介質管理為了防止無關人員和不法分子非法接近網絡并使用網絡中的主機盜取信息、破壞網絡和主機系統、破壞網絡中的數據的完整性和可用性，必須采用有效的區域監控、防盜報警系統，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴格的出入管理制度

36、和環境監控制度，以保障區域監控系統和環境監控系統的有效運行。對介質進行分類標識，存儲在介質庫或檔案室中。利用光、電等技術設置機房防盜報警系統；對機房設置監控報警系統。計算環境安全設計身份鑒別身份鑒別可分為主機身份鑒別和應用身份鑒別兩個方面：主機身份鑒別：為提高主機系統安全性，保障各種應用的正常運行，對主機系統需要進行一系列的加固措施，包括：對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別，且保證用戶名的唯一性。根據基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長度不少于8位并定期更換；啟用登陸失敗處理功能，登陸失敗后采取結束會話、限制非法登錄次數和自動退出等措施。遠程管理時應啟用S

37、SH等管理方式，加密管理數據，防止被網絡竊聽。對主機管理員登錄進行雙因素認證方式，采用USB key+密碼進行身份鑒別應用身份鑒別：為提高應用系統系統安全性應用系統需要進行一系列的加固措施，包括：對登錄用戶進行身份標識和鑒別，且保證用戶名的唯一性。根據基本要求配置用戶名/口令，必須具備一定的復雜度；口令必須具備采用3種以上字符、長度不少于8位并定期更換；啟用登陸失敗處理功能，登陸失敗后采取結束會話、限制非法登錄次數和自動退出等措施。應用系統如具備上述功能則需要開啟使用，若不具備則需進行相應的功能開發，且使用效果要達到以上要求。對于三級系統，要求對用戶進行兩種或兩種以上組合的鑒別技術，因此可采用

38、雙因素認證（USBkey+密碼）或者構建PKI體系，采用CA證書的方式進行身份鑒別。訪問控制三級系統一個重要要求是實現自主訪問控制和強制訪問控制。自主訪問控制實現：在安全策略控制范圍內，使用戶對自己創建的客體具有各種訪問操作權限，并能將這些權限的部分或全部授予其他用戶；自主訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數據庫表級；自主訪問操作應包括對客體的創建、讀、寫、修改和刪除等。 強制訪問控制實現：在對安全管理員進行嚴格的身份鑒別和權限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記；應按安全標記和強制訪問控制規則，對確定主體訪問客體的操作進行控制；強制訪問控制主體的粒度

39、應為用戶級，客體的粒度應為文件或數據庫表級。由此主要控制的是對應用系統的文件、數據庫等資源的訪問，避免越權非法使用。采用的措施主要包括：啟用訪問控制功能：制定嚴格的訪問控制安全策略，根據策略控制用戶對應用系統的訪問，特別是文件操作、數據庫訪問等，控制粒度主體為用戶級、客體為文件或數據庫表級。權限控制：對于制定的訪問控制規則要能清楚的覆蓋資源訪問相關的主體、客體及它們之間的操作。對于不同的用戶授權原則是進行能夠完成工作的最小化授權，避免授權范圍過大，并在它們之間形成相互制約的關系。賬號管理：嚴格限制默認帳戶的訪問權限，重命名默認帳戶，修改默認口令；及時刪除多余的、過期的帳戶，避免共享帳戶的存在。

40、訪問控制的實現主要采取兩種方式：采用安全操作系統，或對操作系統進行安全增強改造，且使用效果要達到以上要求。系統安全審計系統審計包含主機審計和應用審計兩個層面：主機審計：部署終端安全管理系統，啟用主機審計功能，或部署主機審計系統，實現對主機監控、審計和系統管理等功能。監控功能包括服務監控、進程監控、硬件操作監控、文件系統監控、打印機監控、非法外聯監控、計算機用戶賬號監控等。審計功能包括文件操作審計、外掛設備操作審計、非法外聯審計、IP地址更改審計、服務與進程審計等。審計范圍覆蓋到服務器上的每個操作系統用戶和數據庫用戶；內容包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全

41、相關事件；審計記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等；保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。同時，根據記錄的數據進行統計分析，生成詳細的審計報表，系統管理功能包括系統用戶管理、主機監控代理狀態監控、安全策略管理、主機監控代理升級管理、計算機注冊管理、實時報警、歷史信息查詢、統計與報表等。應用審計：應用層安全審計是對業務應用系統行為的審計，需要與應用系統緊密結合，此審計功能應與應用系統統一開發。應用系統審計功能記錄系統重要安全事件的日期、時間、發起者信息、類型、描述和結果等，并保護好審計結果，阻止非法刪除、修改或覆蓋審計記錄。同時能夠對記錄數據進行統計、查詢、分析

42、及生成審計報表。部署數據庫審計系統對用戶行為、用戶事件及系統狀態加以審計，范圍覆蓋到每個用戶，從而把握數據庫系統的整體安全。應用系統如具備上述功能則需要開啟使用，若不具備則需進行相應的功能開發，且使用效果要達到以上要求。入侵防范針對入侵防范主要體現在主機及網絡兩個層面。針對主機的入侵防范，可以從多個角度進行處理：入侵檢測系統可以起到防范針對主機的入侵行為；部署漏洞掃描進行系統安全性檢測；部署終端安全管理系統，開啟補丁分發功能模塊及時進行系統補丁升級；操作系統的安裝遵循最小安裝的原則，僅安裝需要的組件和應用程序，關閉多余服務等；另外根據系統類型進行其它安全配置的加固處理。主機惡意代碼防范各類惡意

43、代碼尤其是病毒、木馬等是對朔州市交警隊公共服務平臺業務系統的重大危害，病毒在爆發時將使路由器、3層交換機、防火墻等網關設備性能急速下降，并且占用整個網絡帶寬。針對病毒的風險，我們建議重點是將病毒消滅或封堵在終端這個源頭上，在所有終端主機和服務器上部署網絡防病毒系統，加強終端主機的病毒防護能力并及時升級惡意代碼軟件版本以及惡意代碼庫。在朔州市交警隊安全管理安全域中，可以部署防病毒服務器，負責制定和終端主機防病毒策略，在內網建立全網統一的一級升級服務器，由管理中心升級服務器通過互聯網或手工方式獲得最新的病毒特征庫，分發到數據中心節點的各個終端服務器。在網絡邊界通過防火墻進行基于通信端口、帶寬、連接

44、數量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發時的大流量沖擊。同時，防毒系統可以為安全管理平臺提供關于病毒威脅和事件的監控、審計日志，為全網的病毒防護管理提供必要的信息。軟件容錯軟件容錯的主要目的是提供足夠的冗余信息和算法程序,使系統在實際運行時能夠及時發現程序設計錯誤,采取補救措施,以提高軟件可靠性,保證整個計算機系統的正常運行。因此在應用系統軟件設計時要充分考慮軟件容錯設計，包括：提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；具備自保護功能，在故障發生時，應用系統應能夠自動保存當前所有狀態，確保系統能夠進行恢復。數據完整性與保密性目前，朔

45、州市交警隊辦公中傳輸的信息主要是涉密類型的數據，對信息完整性校驗提出了一定的需求。在外網接入系統中，將采用消息摘要機制來確保完整性校驗，其方法是：發送方使用散列函數（如SHA、MD5等）對要發送的信息進行摘要計算，得到信息的鑒別碼，連同信息一起發送給接收方，將信息與信息摘要進行打包后插入身份鑒別標識，發送給接收方。接收方對接收到的信息后，首先確認發送方的身份信息，解包后，重新計算，將得到的鑒別碼與收到的鑒別碼進行比較，若二者相同，則可以判定信息未被篡改，信息完整性沒有受到破壞。通過上述方法，可以滿足應用系統對于信息完整性校驗的需求。而對于用戶數據特別是身份鑒別信息的數據保密，應用系統采用密碼技

46、術進行數據加密實現鑒別信息的存儲保密性。在傳輸過程中主要依靠VPN系統可以來保障數據包的數據完整性、保密性、可用性。目前VPN的組建主要采用兩種方式，基于IPSEC協議的VPN以及 基于SSL協議的VPN。IPSec VPN適用于組建site-to-site形態的虛擬專有網絡，IPSEC協議提供的安全服務包括：保密性IPSec在傳輸數據包之前將其加密以保證數據的保密性。完整性IPSec在目的地要驗證數據包，以保證該數據包任傳輸過程中沒有被修改或替換。完整性校驗是IPSEC VPN重要的功能之一。真實性IPSec端要驗證所有受IPSec保護的數據包。防重放IPSec防止了數據包被捕捉并重新投放到

47、網上，即目的地會拒絕老的或重復的數據包，它通過報文的序列號實現。SSL VPN適用于遠程接入環境，例如：移動辦公接入。它和IPSEC VPN適用于不同的應用場景，可配合使用。SSL的英文全稱是“Secure Sockets Layer”，中文名為“安全套接層協議層”，它是網景（Netscape）公司提出的基于WEB應用的安全協議。SSL協議指定了一種在應用程序協議（如Http、Telenet、NMTP和FTP等）和TCP/IP協議之間提供數據安全性分層的機制，它為TCP/IP連接提供數據加密、服務器認證、消息完整性以及可選的客戶機認證。SSL與IPSec安全協議一樣，也可提供加密和身份驗證安全

48、方法，因此安全性上二者無明顯差別。SSL VPN使用SSL/HTTPS技術作為安全傳輸機制。這種機制在所有的標準Web瀏覽器上都有，不用額外的軟件實現。使用SSL VPN，在移動用戶和內部資源之間的連接通過應用層的Web連接實現，而不是像IPSec VPN在網絡層開放的“通道”。SSL對移動用戶是理想的技術，因為：SSL無需被加載到終端設備上SSL無需終端用戶配置SSL無需被限于固定終端，只要有標準瀏覽器即可使用產品部署方面，SSL VPN只需單臂旁路方式接入。單臂旁路接入不改變原有網絡結構和網路配置，不增加故障點，部署簡單靈活，同時提供完整的SSL VPN服務。遠程用戶只需應用標準IE瀏覽器

49、即可登陸網關，通過身份鑒別，在基于角色的策略控制下實現對企業內部資源的存取訪問。遠程移動用戶只需打開標準IE瀏覽器，登陸SSL VPN網關，經過用戶認證后即可根據分配給該用戶的相應策略進行相關業務系統的訪問。備份與恢復備份與恢復主要包含兩方面內容，首先是指數據備份與恢復，另外一方面是關鍵網絡設備、線路以及服務器等硬件設備的冗余。數據是最重要的系統資源。數據丟失將會使系統無法連續正常工作。數據錯誤則將意味著不準確的事務處理。可靠的系統要求能立即訪問準確信息。將綜合存儲戰略作為計算機信息系統基礎設施的一部分實施不再是一種選擇，而已成為必然的趨勢。數據備份系統應該遵循穩定性、全面性、自動化、高性能、

50、操作簡單、實時性等原則。備份系統先進的特性可提供增強的性能，易于管理，廣泛的設備兼容性和較高的可靠性，以保證數據完整性。廣泛的選件和代理能將數據保護擴展到整個系統,并提供增強的功能，其中包括聯機備份應用系統和數據文件，先進的設備和介質管理，快速、順利的災難恢復以及對光纖通道存儲區域網（SAN）的支持等。本地完全數據備份至少每天一次，且備份介質需要場外存放。提供能異地數據備份功能，利用通信網絡將關鍵數據定時批量傳送至異地備用場地。對于核心交換設備、外部接入鏈路以及系統服務器進行雙機、雙線的冗余設計，保障從網絡結構、硬件配置上滿足不間斷系統運行的需要。服務器負載均衡應用高可用：實現多臺服務器之間冗

51、余3到7層的多種服務器健康檢查 應用高性能：實現多臺服務器性能疊加4、7層的多種負載均衡算法 應用可擴展：實現應用基于實際需求的性能調整服務器平滑退出、平滑上線 降低服務器負載TCP連接復用、HTTP緩存、SSL卸載。 提升用戶訪問速度TCP單邊加速、HTTP緩存、壓縮。 服務器狀態、鏈路狀態和用戶行為可視化各類報表功能、商業智能分析 鏈路負載均衡 （入站）解決外部用戶跨運營訪問造成的訪問速度慢的問題智能DNS （出入站）多條鏈路之間形成冗余，保障用戶訪問穩定性鏈路健康狀況檢測 （出站）按需為內網用戶選擇合適的鏈路訪問互聯網,提升帶寬資源利用率，減少帶寬投資成本多種鏈路負載算法、智能路由、DN

52、S透明代理 全局負載均衡： 實現多數據中心入站流量選路、精確為用戶選擇最佳（就近）站點。 區域邊界安全設計邊界訪問控制入侵防范與應用層防攻擊通過對朔州市交警隊網絡的邊界風險與需求分析，在網絡層進行訪問控制需部署邊界安全防護產品，該安全產品實現對邊界的訪問控制、入侵防范和惡意代碼防范，因此該產品具有一下功能：可以對所有流經該設備的數據包按照嚴格的安全規則進行過濾，將所有不安全的或不符合安全規則的數據包屏蔽，杜絕越權訪問，防止各類非法攻擊行為。可面對越來越廣泛的基于應用層內容的攻擊行為，該設備還應具有能夠及時識別網絡中發生的入侵行為并實時報警并且進行有效攔截防護。該設備還需提供完整的上網行為管理功

53、能，可針對于內網對于外網的存取應用進行管理。可辨識多種類別如 IM / VoIP / P2P / FTP 等已知的網絡應用軟件，進而根據多種條件如 IP群組、VLAN ID等范圍條件制訂各種不同的管理策略，限制內網用戶使用諸如：IM軟件、P2P軟件、在線游戲等互聯網應用，通過技術手段規范上網行為，防止帶寬濫用，阻止內網泄密。部署邊界安全防護設備時應特別注意設備性能，產品必須具備良好的體系架構保證性能，能夠靈活的進行網絡部署。同時為使得達到最佳防護效果。另外，安全防護設備的防病毒庫應該和桌面防病毒軟件應為不同的廠家產品，兩類病毒防護產品共同組成用戶的立體病毒防護體系。為能達到最好的防護效果，邊界

54、防護產品的事件庫及時升級至最新版本至關重要。對于能夠與互聯網實現連接的網絡，應對背帶褲升級進行準確配置；對與不能與互聯網進行連接的網絡環境，需采取手動下載升級包的方式進行手動升級。邊界完整性檢查邊界完整性檢查核心是要對內部網絡中出現的內部用戶未通過準許私自聯到外部網絡的行為進行檢查，維護網絡邊界完整性。通過部署終端安全管理系統可以實現這一目標。終端安全管理系統其中一個重要功能模塊就是非法外聯控制，探測內部網中非法上互聯網的計算機。非法外聯監控主要解決發現和管理用戶非法自行建立通路連接非授權網絡的行為。通過非法外聯監控的管理，可以防止用戶訪問非信任網絡資源，并防止由于訪問非信任網絡資源而引入安全

55、風險或者導致信息泄密。終端非法外聯行為監控可以發現終端試圖訪問非授信網絡資源的行為，如試圖與沒有通過系統授權許可的終端進行通信，自行試圖通過撥號連接互聯網等行為。對于發現的非法外聯行為，可以記錄日志并產生報警信息。終端非法外聯行為管理可以禁止終端與沒有通過系統授權許可的終端進行通信，禁止撥號上網行為。邊界安全審計各安全區域邊界已經部署了相應的安全設備負責進行區域邊界的安全。對于流經各主要邊界（重要服務器區域、外部連接邊界）需要設置必要的審計機制，進行數據監視并記錄各類操作，通過審計分析能夠發現跨區域的安全威脅，實時地綜合分析出網絡中發生的安全事件。一般可采取開啟邊界安全設備的審計功能模塊，根據

56、審計策略進行數據的日志記錄與審計。同時審計信息要通過安全管理中心進行統一集中管理，為安全管理中心提供必要的邊界安全審計數據，利于管理中心進行全局管控。邊界安全審計和主機審計、應用審計、網絡審計等一起構成完整的、多層次的審計系統。通信網絡安全設計網絡結構安全網絡結構的安全是網絡安全的前提和基礎，對于朔州市交警隊網絡，選用主要網絡設備時需要考慮業務處理能力的高峰數據流量，要考慮冗余空間滿足業務高峰期需要。網絡各個部分的帶寬要保證接入網絡和核心網絡滿足業務高峰期需要。根據相應的需求，可以考慮部署廣域網優化產品，優化鏈路質量，削減鏈路數據，更好的滿足業務高峰期的需求。其次，需要按照業務系統服務的重要次

57、序定義帶寬分配的優先級，在網絡擁堵時優先保障重要主機。根據實際需求，部署流量管理系統，實現按照業務系統服務的重要次序來分配帶寬，優先保障重要主機。最后，合理規劃路由，業務終端與業務服務器之間建立安全路徑；繪制與當前運行情況相符的網絡拓撲結構圖；根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網段或VLAN。保存有重要業務系統及數據的重要網段不能直接與外部系統連接，需要和其他網段隔離，單獨劃分區域。網絡安全審計網絡安全審計系統主要用于監視并記錄網絡中的各類操作，偵察系統中存在的現有和潛在的威脅，實時地綜合分析出網絡中發生的安全事件，包括各種外部事件和內部事件。在朔州市交警隊交

58、換機處并接部署網絡行為監控與審計系統，形成對全網網絡數據的流量監測并進行相應安全審計，同時和其它網絡安全設備共同為集中安全管理提供監控數據用于分析及檢測。網絡行為監控和審計系統將獨立的網絡傳感器硬件組件連接到網絡中的數據會聚點設備上，對網絡中的數據包進行分析、匹配、統計，通過特定的協議算法，從而實現入侵檢測、信息還原等網絡審計功能，根據記錄生成詳細的審計報表。網絡行為監控和審計系統采用旁路技術，不用在目標主機中安裝任何組件。同時網絡審計系統可以與其它網絡安全設備進行聯動，將各自的監控記錄送往安全管理安全域中的安全管理服務器，集中對網絡異常、攻擊和病毒進行分析和檢測。網絡設備防護為提高網絡設備的

59、自身安全性，保障各種網絡應用的正常運行，對網絡設備需要進行一系列的加固措施，包括：對登錄網絡設備的用戶進行身份鑒別，用戶名必須唯一；對網絡設備的管理員登錄地址進行限制；身份鑒別信息具有不易被冒用的特點，口令設置需3種以上字符、長度不少于8位，并定期更換；具有登錄失敗處理功能，失敗后采取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施；啟用SSH等管理方式，加密管理數據，防止被網絡竊聽。對于鑒別手段，三級要求采用兩種或兩種以上組合的鑒別技術，因此需采用USB key+密碼進行身份鑒別，保證對網絡設備進行管理維護的合法性。通信完整性與保密性信息的完整性設計包括信息傳輸的完整性校驗以及信

60、息存儲的完整性校驗。對于信息傳輸和存儲的完整性校驗可以采用的技術包括校驗碼技術、消息鑒別碼、密碼校驗函數、散列函數、數字簽名等。對于信息傳輸的完整性校驗應由傳輸加密系統完成。部署VPN系統保證遠程數據傳輸的數據完整性。對于信息存儲的完整性校驗應由應用系統和數據庫系統完成。應用層的通信保密性主要由應用系統完成。在通信雙方建立連接之前，應用系統應利用密碼技術進行會話初始化驗證；并對通信過程中的敏感信息字段進行加密。對于信息傳輸的通信保密性應由傳輸加密系統完成。部署VPN系統保證遠程數據傳輸的數據機密性。網絡可信接入為保證網絡邊界的完整性，不僅需要進行非法外聯行為，同時對非法接入進行監控與阻斷，形成