1、XX市智能公交系統信息安全等級保護建設方案（二級標準）目錄一.項目概述 錯誤！未定義書簽。項目背景 錯誤！未定義書簽。項目建設目標 錯誤！未定義書簽。項目建設范圍 錯誤！未定義書簽。項目設計原則 錯誤！未定義書簽。二.設計參考標準 錯誤！未定義書簽。三,項目建設思路 錯誤！未定義書簽。四.項目總體設計方法 錯誤！未定義書簽。總體設計方法 錯誤！未定義書簽。安全基線設計 錯誤！未定義書簽。五.現狀分析 錯誤！未定義書簽。定級情況概述 錯誤！未定義書簽。自身安全防護方面的需求 錯誤！未定義書簽。六.安全域劃分 錯誤！未定義書簽。安全域劃分目的 錯誤！未定義書簽。確定保護對象 錯誤！未定義書簽。安全

2、域劃分思路 錯誤！未定義書簽。安全域劃分 錯誤！未定義書簽。七,整體解決方案 錯誤！未定義書簽。方案設計目標 錯誤！未定義書簽。網絡拓撲設計 錯誤！未定義書簽。八.詳細方案設計 錯誤！未定義書簽。防火墻邊界訪問控制方案 錯誤！未定義書簽。風險與需求分析 錯誤！未定義書簽方案設計滿足指標描述 入侵防御解決方案 風險與需求分析 方案設計滿足指標描述 WEB防護解決方案 風險與需求分析 方案設計指標滿足描述 遠程安全接入解決方案 風險與需求分析 方案設計指標滿足描述 數據庫審計解決方案 風險與需求分析 方案設計滿足指標描述 網閘解決方案 風險與需求分析 方案設計錯誤！未定義書簽, 錯誤！未定義書簽,

3、 錯誤！未定義書簽。 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽。 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽。 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽。 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽。 錯誤！未定義書簽, 錯誤！未定義書簽, 錯誤！未定義書簽,滿足指標描述 項目概述項目背景XX市作為中部正在崛起的大都市，做好公交車的調度對于完善城市交通環 境、改善市民由行狀況、提高公交公司的經濟和社會效益，都具有重要意義。XX公交智能系統將運用現代科技手段

4、，特別是 GPS衛星定位技術，打造一個 擁有公交電子站牌、公交監控指揮調度中心和整套電子查詢系統在內的公交智能系 統。公交調度中心通過車載 GPS全球衛星定位系統等現代科技，對公交車輛實施動態調度。特別是在客運高峰期間，調度中心可以根據定位系統GPS反饋的信息 數據，及時調撥車輛、加開班次，快速疏散人群，實現公交車輛調度智能化。該系統的使用將為乘客提供安全、舒適的乘車條件，滿足人們的乘車需求，從而進一 步提升XX的整體形象。XX公交智能系統可根據XX市實際情況，實現包括營運數據采集，信息傳輸，信息自動化處理， 信息發布等功能。 公交智能系統投入使用后將建成一個面向公共 交通運營管理業務，融信息

5、服務、管理調度、決策支持為一體，成為適用于XX公交公司管理機構的高效管理信息系統。項目建設目標XX公交智能系統建設的總體目標是以公交營運調度系統建設為核心，建立 公交企業ERP系統。在本期項目中，首先將建立公交營運調度系統。根據 XX公共交通控股(集 團)有限公司(以下簡稱公交集團)的要求，按照統一標準， 建設數據中心和企業 生產管理體系、出行服務體系，為市民提供信息出行服務，為企業提供自動排班 管理、智能化的生產調度系統，先進的視頻客流統計分析系統，形成常態化、動 態化、高效率的信息化閉環管理業務模式，主要體現如下：(1)實現城市公交客運車輛基礎數據的統一集中管理與處理;(2)提升指揮處理應

6、急突發事件能力；(3)實現企業安全生產運營管理有序；(4)實現市民出行方便、快捷，常態化、動態化、智能化的公共交通服務體系。本次建設的目標是：通過此次項目建設，XX市智能公交信息系統符合國家等級保護建設二級要求，通過二級等保測評。項目建設范圍本次項目建設的范圍主要是 XX市智能公交信息系統項目設計原則等級保護建設原則XX市智能公交信息系統屬國家重要信息系統，其安全建設不能忽視國家相關政策要求，在安全保障體系建設上最終所要達到的保護效果應符合信息系統安全等級保護基本要求。體系化的設計原則系統設計應充分考慮到各個層面的安全風險，構建完整的安全防護體系，充分保證系統的安全性。同時，應確保方案中使用的

7、信息安全產品和技術方案在設計 和實現的全過程中有具體的措施來充分保證其安全性。產品的先進性原則XX市智能公交信息系統安全保障體系建設規模龐大，意義深遠。對所需的各類安全產品提出了很高的要求。必須認真考慮各安全產品的技術水平、合理性、先進性、安全性和穩定性等特點，共同打好工程的技術基礎。可擴展性原則XX市智能公交信息系統建設的同時應該充分考慮系統的可擴充性和可延展性，主要包括兩個方面的內容：一是為網絡將擴充新的節點和新的分支預先作好硬件、軟件和管理接口。 二是網絡必須具有升級能力，能夠適應網絡新技術發展的要求。標準化規范化原則XX市智能公交信息系統建設所采用的技術和設備材料等，都必須符合相應 的

8、國際標準或國家標準，或者符合相關系統內部的相應規范。便于系統的升級、 擴充，以及與其它系統或廠家的設備的互連、互通。二設計參考標準我國對信息安全保除工作的要求非常重視，國家相關監管部門也陸續由臺了相應的文件和要求，從標準化的角度，XX市智能公交信息系統的安全建設中參考以下的政策和標準：GB/T 21052-2007信息安全等級保護信息系統物理安仝技術要求信息安全技術信息系統安仝等級保護基本要求 信息安全技術信息系統安全保護等級定級指南（報批中）信息安全技術信息安全等級保護實施指南（報批中）信息安全技術信息系統安仝等級保護測評指南GB/T 20271-2006信息安全技術信息系統通用安仝技術要求

9、GB/T 20270-2006信息安全技術網絡基礎安仝技術要求GB/T 20984-2007信息安全技術信息安仝風險評估規范GB/T 20269-2006信息安全技術信息系統安仝管理要求GB/T 20281-2006信息安全技術防火墻技術要求與測試評價方法GB/T 20275-2006信息安全技術入侵檢測系統技術要求和測試評價方法GB/T 20278-2006信息安全技術網絡脆弱性掃描產品技術要求GB/T 20277-2006信息安全技術網絡脆弱性掃描產品測試評價方法GB/T 20279-2006信息安全技術網絡端設備隔離部件技術要求GB/T 20280-2006信息安全技術網絡端設備隔離部件

10、測試評價方法等。項目建設思路“等級化安全體系”是依據國家信息安全等級保護制度，根據系統在不同階段的需求、業務特性及應用重點，采用等級化與體系化相結合的安全體系設計方法，幫助構建一套覆蓋全面、重點突出、節約成本、持續運行的安全防御體系。“等級化”設計方法，是根據需要保護的信息系統確定不同的安全等級，根據安全等級確定不同等級的安全目標，形成不同等級的安全措施進行保護。“體系化”設計方法， 是根據業務目標確定安全目標，通過結構化方法進行分解，將問題、對象或目標拆分成子問題、對象或目標的迭代方法。這一設計方法 包含三個主要原則，分別是“充分覆蓋”、“互補重疊”和“不可再細分”。整體的安全保障體系包括技

11、術和管理兩大部分，其中管理部分可以分為策略、組織和運作三個部分。即，整個體系分為四部分，包括策略體系、 組織體系、技術體系和運作體系。整個安全保障體系的四個部分既有機結合，又相互支撐，之間的關系為“根據策略體系中策略，由組織體系（或人員），利用技術體系作為工具和手段，進行操作來維持運行體系”。根據等級化安全保障體系的設計思路，等級保護的設計與實施通過以下步驟進行：.系統識別與定級：通過分析系統所屬類型、所屬信息類別、服務范圍以 及業務對系統的依賴程度確定系統的等級。通過此步驟充分了解系統狀 況，包括系統業務流程和功能模塊，以及確定系統的等級，為下一步安 全域設計、安全保障體系框架設計、安全要求

12、選擇以及安全措施選擇提 供依據。.安全域設計：根據第一步的結果，通過分析系統業務流程、功能模塊， 根據安全域劃分原則設計系統安全域架構。通過安全域設計將系統分解為多個層次，為下一步安全保障體系框架設計提供基礎框架。.安全保障體系框架設計：根據安全域框架，設計系統各個層次的安全保 障體系框架（包括策略、組織、技術和運作），各層次的安全保障體系 框架形成系統整體的安全保障體系框架。.確定安全域安全要求：參照國家相關等級保護安全要求，設計等級安全 指標庫。通過安全域適用安全等級選擇方法確定系統各區域等級，明確 各安全域所需采用的安全指標。.評估現狀：根據各等級的安全要求確定各等級的評估內容，根據國家

13、相 關風險評估方法，對系統各層次安全域進行有針對性的等級風險評估。通過等級風險評估，可以明確各層次安全域相應等級的安全差距，為下 一步安全技術解決方案設計和安全管理建設提供依據。.安全技術解決方案設計：針對安全要求，建立安全技術措施庫。通過等 級風險評估結果，設計系統安全技術解決方案。.安全管理建設：針對安全要求，建立安全管理措施庫。通過等級風險評 估結果，進行安全管理建設，并建立各種安全管理制度體系。通過如上步驟，系統可以形成整體的等級化的安全保障體系，同時根據安全術建設和安全管理建設，保障系統整體的安全。四.項目總體設計方法總體設計方法本次XX市智能公交信息系統建設的主要目標是通過建設滿足

14、國家等級保護二級 標準，通過等保二級測評。 為完成本項目的建設目標， 并指導后期的項目建設，達 到整個系統的安全防護效果，本項目技術方案的總體設計方法為：根據目前信息中心現狀進行差距評估結構進行分析和設計分析并確定本項目需求和設計的關鍵點 建立并開發適合本項目的安全基線。根據本項目的目標和業務特點進行安全需求分析。根據安全需求進行項目的方案設計，即安全體系的整體設計。安全基線設計安全基線是指確定一組正式的安全需求，這些安全需求應覆蓋所有的安全目標并符合所有相關的安全政策和法規等外部因素的限定。定義安全基線任務包括以下幾個方面：.確定安全目標安全目標是指使用目標系統內資產時的安全目標以及安全保護

15、的程度。高層操作安全目標將影響到相應類別中所有資產的具體安全目標，例如“目標系統內的數據在傳輸到目標系統外時應嚴格防止泄露 。目標系統內的每一個可能向外傳輸 的信息對象應基于這個目標制定相應的具體目標。.確定安全基線涉及的方面安全目標的實現是安全基線制定的目的，所有的安全目標必須有相應的安全基線保證。.安全基線定義安全基線需按類別逐條加以定義。 每條安全基線應有目標系統范圍內唯一的標 識，該標識可作為安全基線配置管理庫中的配置項標識。 安全基線的定義只須涉 及安全需求，無須涉及要滿足需求的具體技術和方法。.匹配安全基線與安全目標安全基線構成后，應建立安全基線與安全目標的關系。可以通過匹配矩陣的

16、形式來檢查每個安全目標是由哪些安全基線保證的。針對每一個安全目標，檢查是否安全基線覆蓋了該目標的要求。當安全目標和安全基線數量較大時，可按類別用多個矩陣表示安全目標與安全基線的關系。5.本項目的安全基線在本項目的設計中將構建信息系統的安全基線標準此安全基線以二級防護要求為依據，參照信息系統等級保護二級基本要求的框架，形成本項目的安全基線，具體方法和思路如下：以信息系統等級保護二級基本要求指標項作為輸入，并根據對本系統可 能面臨的風險和安全需求及針對本項目目前建設的實際情況，進行指標 裁剪；將此兩項的指標進行合并輸入，合并時，對于一個指標項都有對應的， 取高要求，指標項沒有對應，增加此指標項，最

17、后形成綜合指標輸入， 并根據對本系統可能面臨的風險和安全需求及針對本項目建設的實際情況，進行指標裁剪，形成適合本期建設的精簡指標項作為輸出。將裁剪后的指標形成本項目建設的安全基線五.現狀分析定級情況概述業務信息安全保護等級： （信息中心互聯網服務發布區信息系統系統一旦數 據的完整性和機密性受到破壞后， 由于信息中心互聯網服務發布區信息系統的重 要性，因此將會對社會秩序造成嚴重損害）業務信息安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級系統服務安全保護等級：（分

18、析信息中心互聯網服務發布區信息系統，一旦系統的可用性遭到破壞后，將會對社會秩序造成嚴重損害）1系統服務安全被破壞時所侵害的對相應客體的侵害程度客體一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級.社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級自身安全防護方面的需求在自身安全防護方面，經過分析，XX市智能公交信息系統主要的安全防護需求包括：做理層安全需求I應建設安全可靠的機房， 提供良好的運行環境， 用以支撐重要應用系統 的運行，防止電磁信息的泄露、防止設備被盜被破壞；建設完備的災難備份系統，實現系統、數據和應用軟件的備份；應當保障支撐交易應用的重要網

19、絡設備的冗余性，避免因設備故障出現的系統運行中斷。向絡層安全需求一|實現安全域劃分，并在此基礎上實現安全、可控的邏輯隔離；保護交易網站不會因來自互聯網拒絕服務攻擊而癱瘓，不會被非法篡 改，并且需具有自動恢復被篡改頁面的功能；對進出各安全域的信息和數據進行嚴格的控制,防止對安全域的非法訪問;對于各個安全域之間交互的信息和數據，保護其完整性、 可用性、保密性，防止在傳輸過程中被竊取、篡改和破壞；在各個安全域內，能及時發現和響應各種網絡攻擊與破壞行為；修統層安全需求I建立病毒及惡意代碼的預警和響應機制，能及時發現和響應各種病毒及惡意代碼的攻擊、破壞和信息泄露行為；使系統內的操作系統能及時升級、安裝安

20、全補丁；實現主機操作系統的內核級安全加固，使其由普通商用操作系統提升為安全性較高的系統應用層安全需求一|應用系統需要有認證、應用訪問控制、審計、加密、資源控制等多種手段，能夠保障信息系統被合理使用；數據應當有足夠的防竊聽、防篡改手段；交易網的通訊應當有抗抵賴措施；對系統、應用、 數據庫系統進行審計， 建立相應的安全審計機制，對 引發事件的根源進行責任認定。管理層安全需求制定合理、有效、可行的安全管理制度，將一期工程信息系統的安全管理水準維持在較高的水平； 能夠及時了解各個安全域的安全現狀，以便發現并解決安全問題;六.安全域劃分安全域劃分目的在規劃設計或者網絡調整時，通過合理的劃分安全區域，保證

21、重要網段部署在外部不能直接訪問到的位置，增加非法入侵的難度，有 利于進行必要的訪問控制、防攻擊、身份鑒別等防護。在規劃設計或者網絡調整前深入了解實際需求，充分考慮各部門的工作職能、重要性和信息的重要程度等因素，進行內部安全區域的 細化，并根據實際情況和將來擴展的需要劃分子網和分配地址。安 全域的細化形成了內部的安全邊界，有利于內網各區域間邊界防護 和控制的實施。通過規劃設計或配置路由避免非主流業務數據流對主要業務數據流的干擾，通過Qos配置使主業務數據流且具有較高優先級，使主要 業務數據流盡量經過較為安全的鏈路和設備，保障了主要業務的服 務質量和服務可用性。通過繪制真實、準確、易讀的拓撲圖妥善

22、放置，以便在需要調整改造、處理事件時方便查詢、使用。確定保護對象保護對象是一些具有類似業務功能，處于類似運行環境、承載類似級別或類別的信息、有類似的用戶使用管理特征具有相對明確的物理的或邏輯的邊界，可以配置類似的安全策略的設備軟件系統數據的集合。一、保護對象的劃分有以下原則：(一)每類保護對象的組成具有一定的相似性。這些相似性包括：(1)管理范圍一致;（2）具有相似的運行環境（面臨的威脅相似）的區域；（3）安全策略基本一致；（4）操作流程和使用人員的相似性。（二）不同保護對象之間具有一定的差異性。這些差異性包括：（1）承載的信息屬于不同的業務主體；（2）保護對象的管理屬于不同的管理主體；（3）

23、具有相對明顯的物理或邏輯邊界；（4）安全策略有較大的差異性。二、保護對象屬性：保護對象具有相應的保護對象屬性，以標識保護對象的內容和特征。（一）范圍：描述保護對象管理和使用范圍。（二）組成：描述保護對象的主要資產組成。（三）管理機構：描述保護對象的管理機構。（四）使用人員：描述保護對象的使用人員類型及特征。（五）業務功能：描述保護對象的業務功能。（六）信息分類：描述保護對象內包括的主要信息類型。安全域劃分思路對信息系統進行安全保護，不是對整個系統進行同一等級的保護，而是針對系統內部的不同業務區域進行不同等級的保護。因此，安全域劃分是進行信息安全建設的首要步驟。安全域是指同一系統內根據信息的性質

24、、使用主體、安全目標和策略等元素的不同來劃分的不同邏輯子網或網絡，每一個邏輯區域有相同的安全保護需求，具有相同的安全訪問控制和邊界控制策略，區域間具有相互信任關系，而且相同的網絡安全域共享同樣的安全策略。當然，安全域的劃分不能單純從安全角度考慮，而是應該以業務角度為主，輔以安全角度， 并充分參照現有網絡結構和管理現狀，才能以較小的代價完成安全域劃分和網絡梳理，而又能保障其安全性。安全域劃分的原則如下：業務保障原則：在保證安全的同時，更要保障網絡承載業務的正常、高 效運行；等級保護的原則：對系統內不同的保護對象區分對待；結構簡化原則：安全域劃分的直接目標是將整個網絡變得更加簡單，簡 單的網絡結構

25、便于設計防護體系。因此，安全域劃分并不是粒度越細越 好，安全域數量過多、過雜反而可能導致安全域的管理過于復雜，實際 操作過于困難；立體協防原則：安全域劃分的主要對象是網絡，但是圍繞安全域的防護 需要考慮在各個層次上立體防守，包括在物理鏈路、網絡、主機系統、 應用等層次；同時，在部署安全域防護體系的時候，要綜合運用身份鑒 別、訪問控制、檢測審計、鏈路冗余、內容檢測等各種安全功能實現協 防。對信息系統安全域（保護對象）的劃分應主要考慮如下方面因素：1）業務和功能特性業務系統邏輯和應用關聯性業務系統對外連接：對外業務，支撐，內部管理2）安全特性的要求安全要求相似性：可用性、保密性和完整性的要求威脅相

26、似性：威脅來源、威脅方式和強度資產價值相近性：重要與非重要資產分離3）參照現有狀況現有網絡結構的狀況：現有網絡結構、地域和機房等 參照現有的管理部門職權劃分安全域劃分XX市智能公交信息系統的包括：對外發布互聯網接入域、數據應用中心區 域、安仝管理中心區域、調度指揮區域、另一系統區域、分調度管理區域等。七.整體解決方案方案設計目標二級系統安全保護環境的設計目標是：落實GB17859-1999對二級系統的安全保護要求）在二級安全保護環境的基礎上）通過實現基于安仝策略模型和標記的強制訪問控制以及增強系統的審計機制，使得系統具有在統一安全策略管控 下，保護敏感資源的能力。本次針對XX市智能公交信息系統

27、進行等保二級建設，主要在網絡安全、主機安全、應用安全、數據安全進行建設滿足等保二級要求，根據等保合規性分析報告中指出的不滿足的控制點進行建設。網絡拓撲設計下圖是本次建設中規劃的網絡拓撲圖:八.詳細方案設計8.1防火墻邊界訪問控制方案8.1.1風險與需求分析網絡層風險種類惡意代碼和蠕蟲病毒越權或濫用黑客攻擊技術風險分析越權或濫用攻擊者通過采用一些措施，超越自己的權限訪問了本來無權訪問的資源；或者濫用自己的職權，做出破壞計算機系統的行為。惡意代碼和蠕蟲病毒傳播惡意代碼和蠕蟲病毒具有快速自我復制、自我傳播能力， 通過網絡對計算機系統構成破壞，可導致網絡設備與計算機系統的運行緩慢甚至癱瘓。黑客攻擊利用

28、黑客工具和技術，例如偵察、密碼猜測攻擊、緩沖區溢出攻擊、安裝后 門、嗅探、偽造和欺騙、 拒絕服務攻擊等手段對網絡和計算機系統進行攻擊和 入侵。需求分析通過前面的安全域劃分和邊界分析，二級系統要求在主要邊界處進行訪問 控制。作為網絡安全的基礎防護要求，具體需求如下：1）保護脆弱的服務通過過濾不安全的服務，保證只可訪問到允許訪問的業務系統，其他訪問均被嚴格控制，可以極大地提高網絡安全和減少子網中主機的風險可實現基于源地址、目的地址、源端口、目的端口和協議等進行檢 查，以允許/拒絕數據包出入/拒絕訪問的能力，控制能根據會話狀態信息為數據流提供明確的允許 粒度為端口級。對進出網絡的信息內容進行過濾，實

29、現對應用層HTTP、FTP、TELNET SMTP、POP3等協議命令級的控制2）控制對系統的訪問提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外 的主機。通過訪問控制列表對系統資源實現允許或拒絕用戶訪問，控制粒度至 少為用戶組。3）記錄和統計網絡日志記錄和統計通過邊界的網絡通訊，提供關于網絡使用的統計數據并對非法訪問作記錄日志， 從設備或專門的日志服務器提供統計數據，來判斷可能的攻擊和探測，利用日志可以對入侵和非法訪問進行跟蹤以及事后分析。8.1.2 方案設計在互聯網接入區域； 應用服務中心區域、 調度指揮區域、 另一系統區域各部署一臺防火墻設備， 在核心區域與分調度管理區域

30、部署兩臺防火墻設備，通過防火墻的部署解決邊界訪問控制的相關問題。防火墻技術是目前網絡邊界保護最有效也是最常見的技術。采用防火墻技術，對重要節點和網段進行邊界保護，可以對所有流經防火墻的數據包按照嚴格的安全規則進行過濾，將所有不安全的或不符合安全規則的數據包屏蔽，防范各類攻擊行為，杜絕越權訪問，防止非法攻擊，抵御可能的DOS和DDOS攻擊。通過合理布局，形成多級的縱深防御體系。互聯網邊界防火墻將對外發布區域、數據庫服務器區等和互聯網進行邏輯隔離。實現基于數據包的源地址、目的地址、通信協議、端口、流量、用戶、 通信時間等信息，執行嚴格的訪問控制。并將互聯網服務區通過單獨的防火墻 接口形成獨立安全域

31、進行隔離。采用防火墻實現以下的安全策略：安全域隔離：互聯網出口防火墻部署核心交換機與接入路由器之間， 并提供多個端口，分別連接到網站區和內部區域，相當于在邏輯上隔 離了上述區域，對各個計算環境提供有效的保護；而管理區邊界防火 墻將管理區域其他區域進行邏輯隔離。訪問控制策略：防火墻工作在不同安全區域之間，對各個安全區域之 間流轉的數據進行深度分析，依據數據包的源地址、目的地址、通信 協議、端口、流量、用戶、通信時間等信息，進行判斷，確定是否存 在非法或違規的操作，并進行阻斷，從而有效保障了各個重要的計算 環境；地址轉換策略：針對核心的應用服務器區域，部署的防火墻將采取地 址轉換策略，將來自廣域網

32、遠程用戶的直接訪問變為間接訪問，更有 效的保護了應用服務器；應用控制策略：在防火墻上執行內容過濾策略，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制，從而提供給系統更 精準的安全性；會話監控策略：在防火墻配置會話監控策略，當會話處于非活躍一定 時間或會話結束后，防火墻自動將會話丟棄，訪問來源必須重新建立 會話才能繼續訪問資源；日志審計策略：防火墻詳細記錄了轉發的訪問數據包，可提供給網絡 管理人員進行分析。這里應當將防火墻記錄日志統一導入到集中的日 志管理服務器。8.1.3滿足指標描述指標類指標要求改進行為別改進對象網絡安全應通過訪問控制列表對系統資源實現允許或

33、拒絕用戶訪問，控制粒度至少為用戶組。采購部署并配置訪問控制功能訪問控制系統網絡安全應根據訪問控制列表對源地址、目的地 址、源端口、目的端 口和協議等進行檢采購部署防火墻配置訪問控制訪問控制系統網絡安全網絡安全查，以允許/拒絕數據包出入；應能根據會話狀態信息為數據流提供明確的允許/拒絕訪 問的能力，控制粒度 為網段級。應在會話處于非活躍一定時間或會話結束后終止網絡連.接；應能根據會話狀態配置狀態檢測訪問控制配置訪問控制設備訪問控制系統訪問控制系統網絡安信息為數據流提供配置訪問控制設備訪問控制系統全明確的允許/拒絕訪間的能力.捽制粒度為端口級；網絡安全應對進出網絡的信 息內容進行過濾，實 現對應用

34、層HIIP、FIP、TELNET SMTPPOP3等協議命令級 的控制；配置訪問控制設備訪問控制系統網絡安全重要網段應采取技術手段防止地址欺騙；配置訪問控制設備訪問控制系統網絡安全應按用戶和系統之 間的允許訪問規則， 決定允許或拒絕用 戶對受控系統進行 資源訪問，控制粒度 為單個用戶；配置訪問控制設備訪問控制系統網絡安全應限制具有撥號訪問權限的用戶數量。配置訪問控制設備訪問控制系統網絡安全應在網絡邊界部署訪問控制設備，啟用訪問控制功能；采購部署訪問控制系統網絡安全應限制網絡最大流量數及網絡連接數；配置訪問控制設備訪問控制系統入侵防御解決方案風險與需求分析序號漏洞攻擊 蠕蟲攻擊 木馬傳播 間諜軟

35、件 帶寬濫用風險分析與描述漏洞攻擊在系統程序開發的過程中，常因為程序開發者疏于程序安全性,而導致開發出有系統漏洞的操作系統或應用程序。這類系統的漏洞經常是發生在程序沒有對外界輸入的參數長度進行檢查，而發生所謂的緩沖區溢出攻擊(buffer overflowattack) o當緩沖溢出區攻擊發生時，輕則導致系統沒有響應、死機，成功的緩沖區 溢出攻擊還可以讓黑客獲得整個系統控制權，而由于服務器系統的特殊性，通常管理員對補丁的更新非常慎重，因而造成一定的延時，因此，利用漏洞進行攻擊的行為也顯得尤為突出。蠕蟲攻擊蠕蟲(worm)與一般的檔案型病毒(virus)不同之處，在于蠕蟲具備快速自我復 制擴散的

36、功能。 而蠕蟲之所以能夠快速將自我擴散到其它系統，是因為蠕蟲具備自動利用系統漏洞而入侵的能力。每當計算機的系統漏洞被公布，在短時間內便會有黑客組織在網絡上發布針對新漏洞的攻擊程序，接著便會有針對該漏洞的攻擊程序在網絡上流傳，此時蠕蟲作者便將這些已發布的攻擊程序納入其蠕蟲程序的主 體中，然后再散布新的蠕蟲對外大量擴散。從漏洞公布到蠕蟲產生所需的時間已大 幅縮減，這讓用戶無法有充裕的時間測試系統廠商所發布的補丁程序木馬傳播木馬是一種危害很大的后門程序，通過網頁、 郵件、文件等多種方式進行傳播，攻擊者可以遠程對被植入了木馬的計算機系統進行所有操作，因此，危害巨大。間諜軟件大部分間諜軟件由于是通過廣告

37、、瀏覽器漏洞、自訂功能如 ActiveX插件來誘使不夠小心謹慎的用戶安裝的，安裝之后會收集用戶信息，并發送給相關機構。帶寬濫用目前網絡上P2P、在線視頻、游戲等各種在線應用對帶寬資源消耗很大，過 多的非正常帶寬占用將影響正常業務的開展。同時，這樣應用帶來了工作效率的下降。因此，網絡管理人員需要對這些應用進行控制。需求分類攔截外網攻擊入侵防護需求分析詳細需求可檢測掃描、DoS/DDoS、緩沖區溢出、 SQL注入、XSS跨站腳本、木馬、蠕蟲、間諜軟件、網絡釣魚、IP poofing等攻擊，并實時主動阻斷，使網絡系統免受攻擊。攔截外網攻擊， 及時發現各種針對業務系統的滲透型攻擊，并進行主動阻斷控制

38、管理內部應用，對各種非工作應用和占用大量帶寬的應用進行識別和控制方案設計在外網鏈路區域網絡邊界增加一臺入侵防御系統，采用透明接入方式部署，阻止各種網絡攻擊行為。入侵防護系統（Intrusion Prevention System ,以下簡稱“ IPS”）是繼“防火墻”、“信息加密”、入侵檢測等傳統安全保護方法之后的新一代安全保障系統。IPS串行部署在網絡關鍵節點，監視計算機系統或網絡中發生的事件，并進行分析，以尋找危及信息的機密性、完整性、可用性或試圖繞過安全機制的入侵行為并主動進行有效攔截。專業IPS所具有的實時性、動態檢測和主動防御等特點， 彌補了防火墻等靜態防御工具的不足。網御星云IPS

39、采用具有自主知識產權的 VSP (Versatile Security Platform )通 用安全平臺，集成了流狀態跟蹤、協議分析、深度內容解析、異常檢測、關聯分析等多種分析、檢測技術，配合實時更新的事件特征庫，可攔截蠕蟲、病毒、木馬、間諜軟件、DDoS/DoS、SQL注入、XSS跨站腳本等各種網絡攻擊行為，有效凈化網絡流量。同時提供豐富的上網行為管理功能，可對 P2P下載、IM聊天軟件、在線視頻、網絡游戲、炒股軟件、加密隧道等網絡應用按用戶和時間進行阻斷或精確到1Kbps的帶寬限流， 合理優化網絡流量。從而，很好地彌補了防火 墻、入侵檢測等產品的不足，提供了動態、主動、深度的安全防護。滿

40、足指標描述指標類別指標要求改進行為改進對象入侵防范當檢測到攻擊行為 時，應記錄攻擊源IP、攻擊類型、攻 擊目的、攻擊時間， 在發生嚴重入侵事件 時應提供報警及自動 采取相應動作。網絡入侵防范設備 配置入侵阻斷功能入侵防范系統Web防護解決方案風險與需求分析隨著B/S模式應用開發的發展，信息中心資源逐漸向數據中心轉移并集中，Web平臺承載了越來越多的核心業務，Web的開放性給工作方式帶來了高效、方便的同時也使業務重要信息完全暴露在危險中。Web應用的威脅 主要來自于以下幾個部分：Web網站早期開發者安全意識薄弱Web應用程序和服務的增長已超越了當初程序開發人員所接受的安全培訓和安全意識的范圍，給

41、攻擊者留下大量可乘之機。有些已運行的WEB應用系統由 于難以更改、或更改成本過高，或系統已加密、或版權問題等原因無法更改也是 WEB安全問題的重要原因。第三方內容成風險源第三方內容是現在網站編程里面經常采用的一個技術，網站的制作者會把本身網頁里面嵌入一些第三方網站內容的“指針”。這些網頁被客戶端瀏覽器打開的時候，瀏覽器會根據這些指針去采第三方網站上面的內容，包括圖片、文字、flash和一些動態腳本等等。攻擊者利用這些內容源對目標進行攻擊篡改Web系統數據攻擊者通過SQL注入等門戶網站應用程序漏洞獲得網站系統權限后，可以進行網頁掛馬、網頁篡改、修改數據等活動。黑客可以通過網頁掛馬，利用被攻擊的網

42、站作為后續攻擊的工具， 致使更多人受害； 也可以通過網頁篡改， 丑化門戶 網站的聲譽甚至造成政治影響； 還也可以通過修改網站系統敏感數據，直接達到獲取利益的目的。Cookie 監聽、Cookie 投毒惡意用戶通過對 Cookie監聽破譯用戶證書，篡改從服務器傳送到瀏覽器的 cookie數據。網站常常將一些包括用戶 ID、口令、賬號等的cookie存儲到用戶 系統上，通過改變這些值，惡意的用戶就可以訪問不屬于他們的賬戶。客戶端網絡帶寬濫用某些HTTP客戶端用戶使用工具惡意濫用服務器處理能力和網絡帶寬，使得其他合法用戶無法獲得正常服務。在傳統的安全產品中，防火墻主要工作在四層以下，主要是基于包檢測

43、技術，不能實現對HTTP協議的精細控制。防病毒產品不僅對 Web應用程序中的漏洞難以識別，而且對網頁中存在的惡意代碼 （網頁木馬）更是束手無策。IPS僅是對HTTP 數據包有效負載的檢測分析，并不能將所有的數據包還原組裝成數據流或具體的內容進行基于關鍵字或具體內容的檢測分析與特征提取，并且IPS主要是靜態的特征匹配，針對 Web應用交互中動態頁面中的相關內容沒有固定特征，因此 IPS很 難防范此類攻擊， 并且IPS也不保持會話信息， 很多與會話有關的攻擊， 比如Cookie篡改、會話劫持，IPS都不能較好的進行防護。總之，Web應用攻擊之所以與其他攻擊不同，是因為它們很難被發現，而且可能來自任

44、何在線用戶，甚至是經過驗證的用戶。XX市智能公交信息系統互聯網對外發布區部署有重要的Web系統，Web系統存在多種攻擊風險。方案設計在XX市智能公交信息系統對外發布區前端部署一臺Web應用防火墻保障Web應用安全。Web應用安全防護WAF需要防護基于 HTTP/HTTPS/FTP 協議的蠕蟲攻擊、木馬后門、CGI掃描、間諜軟件、灰色軟件、網絡釣魚、漏洞掃描、 SQL注入攻擊及XSS攻擊等常見的 Web攻擊；應用層DOS攻擊防護WAF需要防護帶寬及資源耗盡型拒絕服務攻擊。XML DoS攻擊防護是對HTTP請求中的XML數據流進行合規檢查，防止非法用戶通過構造異常的XML文檔對Web服務器進行Do

45、S攻擊；Web虛擬服務通過部署 WAF來管理多個獨立的 Web應用，各 Web應用可采用不同的安全 策略，可在不修改用戶網絡架構的情況下增加新的應用，為多元化的 Web業務運營機構提供顯著的運營優勢與便利條件；Web請求信息的安全過濾針對HTTP請求，WAF能夠針對請求信息中的請求頭長度、Cookie個數、HTTP協議參數個數、協議參數值長度、協議參數名長度等進行限制。對于檢測出 的不合規請求，允許進行丟棄或返回錯誤頁面處理；Web敏感信息防泄露WAF應內置敏感信息泄露防護策略，可以靈活定義 HTTP錯誤時返回的默認 頁面，避免因為 Web服務異常，而導致的敏感信息（如： Web服務器操作系統

46、類 型、Web服務器類型、 Web錯誤頁面信息、銀行卡卡號等）的泄露；Cookie防篡改WAF產品能夠針對Cookie進行簽名保護， 避免Cookie在明文傳輸過程中被 篡改。用戶可指定需要重點保護的 Cookie ,對于檢測出的不符合簽名的請求， 允許進行丟棄或刪除 Cookie處理，同時記錄相應日志；網頁防篡改WAF產品可按照網頁篡改事件發生的時序，事中，實時過濾HTTP請求中混雜的網頁篡改攻擊流量（如 SQL注入、XSS攻擊等）；事后，自動監控網站所有 需保護頁面的完整性，檢測到網頁被篡改，第一時間對管理員進行告警，對外仍 顯示篡改前的正常頁面，用戶可正常訪問網站；Web業務的連續性作為

47、串行安全防護設備，WAF需要考慮了 Web系統業務連續性保障措施，以有效避免單點故障；指標滿足描述指標類指標要求改進行為改進對象入侵防范G2a）應在網絡邊界 處監視以下攻擊行為：端口掃描、 力攻擊、木馬后門 攻擊、拒絕服務攻 擊、緩沖區溢出攻擊、IP碎片攻擊和部署WEB防火墻。包括：端口掃 描、強力攻擊、木馬后門攻擊類攻擊行為惡意代碼防范(G2)網絡蠕蟲攻擊等； b）當檢測到攻擊 行為時，記錄攻擊 源IP、攻擊類 型、攻擊目的、攻 擊時間，在發生嚴 重入侵事件時應提a）應在網絡邊界 處對惡意代碼進行 檢測和清除；部署WEB防火墻。包括：端口掃 描、強力攻擊、木馬后門攻擊 等各類攻擊行為進行惡意

48、代碼WEB防火 墻WEB防火墻b）應維護惡意代 碼庫的升級和檢測 系統的更新。的檢測與清除，并定期升級惡 意代碼庫。遠程安全接入解決方案風險與需求分析1風險種類網絡偵聽2 3數據篡改一中間人攻擊風險分析與描述網絡偵聽業務數據如果在網絡中以明文的方式傳播的話，攻擊者通過網絡偵聽的方式可以獲得相應數據包并進行還原，從而導致重要業務數據泄漏，機密性受到極大地影響，因此，對于重要的業務數據應采用加密方式進行傳輸。數據篡改攻擊者對于偵聽捕獲的數據，可以通過改變消息內容， 刪除其中的部分內容，用一條假消息去代替原始消息，或者將某些額外消息插入其中等方式破壞數據的完整性。中間人攻擊中間人”能夠與原始計算機建

49、立活動連接并允許其讀取或修改傳遞的信息，然 而兩個原始計算機用戶卻認為他們是在互相通信，中間人攻擊將導致數據泄密和數據的篡改。重放攻擊就是攻擊者發送一個目的主機已接收過的包，來達到欺騙系統的目的， 主要用于身份認證過程，需求分析因此保證業務數據傳輸安全性的重點在于建立安全的數據通道，該通道應具備以下的基本安全要素：保證數據的真實性，通信主機必須是經過授權的，要有抵抗地址假冒(IP Spoofing )的能力。保證數據的完整性，接收到的數據必須與發送時的一致，要有抵抗不法分子篡改數據的能力。保證通道的機密性，提供強有力的加密手段，必須使偷聽者不能破解攔截到的通道數據。提供動態密鑰交換功能和集中安

50、全管理服務。提供安全防護措施和訪問控制，具有抵抗黑客通過VPN通道攻擊信息中心網絡的能力，并且可以對 VPN通道進行訪問控制需求總結采用有效合理的方式，實現業務數據在傳輸過程中的機密性、完整性、可控性等安全特性。方案設計在外網鏈路區域交換機旁路部署SSL VPN系統，使之移動辦公用戶可采用安全的接入方式訪問內部網絡虛擬專用網(VPN)是一種以公用網絡，尤其是 Internet 為基礎，綜合運用 隧道封裝、認證、加密、訪問控制等多種網絡安全技術，為信息中心總部、分支 機構、合作伙伴及遠程和移動辦公人員提供安全的網絡互通和資源共享的技術， 包括和該技術相關的多種安全管理機制。目前應用最廣泛的的VP

51、N解決方案主要包括 IPSEC和SSL兩種實現方式的VPN.IPSec(IP Security)是IETF IPSec工作組為了在IP層提供通信安全而制訂的 一整套協議標準，IPSec的主要特征在于它可以對所有 IP級的通信進行加密和認 證，正是這一點才使IPSec可以確保包括遠程登錄、客戶 /服務器、電子郵件、文 件傳輸及Web訪問在內多種應用程序的安全。IPSEC VPN解決方案的優勢如下：IPSec在傳輸層之下，對于應用程序來說是透明的。當在廣域網出口處安裝IPSec時，無需更改用戶或服務器系統中的軟件設置。即使在終端 系統中執行IPSec,應用程序一類的上層軟件也不會被影響。IPSec

52、對終端用戶來說是透明的，因此不必對用戶進行安全機制的 培訓。IPSEC更適合于網絡到網絡之間的數據加密傳輸和安全應用。SSL VPN 采用了 SSL (Security socket layer )協議，該協議是介于介于HTTP層及TCP層的安全協議，通過 SSL VPN是接入信息中心內部的應用，而不是信息中心的整個網絡，因此，SSL VPN更適合于單個用戶接入信息中心內部的應用。SSL VPN的優勢在于無需安裝客戶端、無需改變用戶網絡既有設置、無需考慮NAT穿透問題、無需考慮私有地址沖突問題，無論用戶在何時、無論用戶在何地、無論用戶用何種接入設備、無論用戶用何種接入方式，只要能夠支持標注的S

53、SL協議的瀏覽器，均可通過 SSL VPN安全、快捷的適用內網業務系統，實 現業務延伸指標滿足描述指標類別指標要求改進行為改進對象數據保密性應采用加密或其他有效措施實現系統管理數據、鑒別信息和重要業務數據傳輸保密性；部署SS LVPN網關VPN虛擬專網解決方 案數據完整性應能夠檢測到鑒別 信息和重要業務數 據在傳輸過程中完 整性受到破壞。部署SSL VPN網關VPN虛擬專網解決方 案數據庫審計解決方案風險與需求分析作為當前網絡信息安全業界一個逐漸得到公認的事實：在安全事件造成的損失中，有 75%以上來自內部，其中包括內部人員的越權訪問、濫用、以及誤操包括網作等。審計系統幫助記錄發生在重要信息系

54、統中各種各樣的會話和事件,絡的、主機和應用系統的。這些審計信息反映了信息系統運行的基本軌跡。一方面，它可以幫助管理層和審計者審核信息系統的運行是否符合法律法規的要求和 組織的安全策略；另一方面，這些寶貴的審計信息在信息系統出現故障和安全事 故時，就像航空器“黑盒子” 一樣，幫助調查者深入挖掘事件背后的情報，重建 事件過程，直至完整的分析定位事件的本源1,并部署進一步的措施來避免損失的再次發生。當前的許多安全標準和規范都要求組織建設并保證審計系統的可靠性。例如安全管理業界標準ISO27001: 2005 ,美國公眾上市公司需要遵循的薩班斯(Sarbanes Oxley )法案，以及國家最近頒布的安全等級保護技術要求等等。風險分析與描述內部人員操作安全隱患隨著信息中心信息化進程不斷深入，信息中心的業務系統變得日益復雜，由內部員工違規操作導致的安全