網絡信息安全等級保護

（三級）解決方案

標注方案

舊期］

［公司名稱］

［公司地址］

1.項目概述...........................................5

1.1.項目建設背景...........................................5

1.1.1.法律要求........................................5

1.1.2.政策要求........................................7

1.1.3.標準要求........................................7

1.2.項目建設目標及內容....................................18

1.2.1.項目建設目標...................................18

1.2.2.建設內容.......................................19

2.現狀分析及需求響應..................................19

2.1.信息系統定級..........................................19

2.2.信息系統安全風險分析..................................20

2.3.總體建設目標..........................................22

3.安全建設目標........................................23

4.總體方案設計........................................24

4.1.信息安全保障體系......................................24

4.1.1.總體框架概述...................................24

4.1.2.信息安全管理體系...............................25

4.1.3.信息安全技術體系...............................26

4.1.4.信息安全運行體系...............................27

4.2.安全防護功能設計......................................29

4.2.1.基礎網絡安全設計................................29

4.2.2.邊界安全設計....................................29

4.2.3.計算環境安全設計................................31

4.2.4.終端安全設計....................................34

4.2.5.安全管理中心設計................................37

5.方案詳細設計.....................................38

5.1.區域劃分...............................................38

5.2.網絡環境改造...........................................39

5.3.網絡邊界安全加固.......................................39

5.4.網絡及安全設備部署.....................................40

5.4.1.WEB應用防火墻...................................41

5.4.2.上網行為管理及流控..............................43

5.4.3.主機安全加固系統部署............................45

5.4.4.綜合日志審計....................................49

5.4.5.堡壘主機........................................53

5.4.6.數據庫審計系統部署..............................58

5.4.7.終端管理系統部署................................63

5.5.安全管理體系建設服務...................................68

5.5.1.安全管理機構概述................................68

5.5.2.信息安全規劃組織架構和職責......................74

5.5.3.信息安全領導小組................................74

5.5.4.信息管理部......................................75

5.5.5.安全維護組......................................76

5.5.6.安全監控中心....................................78

5.5.7.安全管理制度規劃................................79

5.5.8.安全管理制度梳理服務............................80

5.6.安全加固服務...........................................84

5.6.1.信息安全風險評估................................84

5.6.2.風險評估服務內容................................86

5.6.3.主機安全評估服務................................86

2

5.6.4.數據庫安全評估..................................88

5.6.5.網絡安全評估....................................90

5.6.6.滲透測試........................................90

5.6.7.安全加固........................................91

5.7.應急預案和應急演練.....................................92

5.8.安全等保認證協助服務..................................92

6.系統集成方案........................................93

6.1.集成建設總體原則.....................................93

6.1.1.系統集成原則...................................93

6.1.2.系統集成質量保證...............................95

6.1.3.系統集成服務..................................102

6.1.4.系統技術支持..................................109

6.2.本期項目集成規劃思路..................................112

6.2.1.集成思路.......................................112

6.3.項目成果交付..........................................132

6.3.1.項目建設階段成果交付...........................132

6.3.2.項目維護階段成果交付...........................135

6.4.項目質量服務體系......................................135

6.4.1.項目管理質量控制...............................136

6.4.2.項目服務承諾...................................147

6.4.3.培訓服務.......................................154

6.4.4.保密承諾保障...................................157

6.5.應急預案及風險控制措施................................160

6.5.1.應急預案.......................................160

6.5.2.風險控制措施...................................164

3

6.6.售后服務及承諾........................................169

6.6.1.售后服務方案...................................169

6.6.2.售后承諾.......................................177

4

L項目概述

在面對現在越來越嚴重的網絡安全態勢卜，貴單位積極響應國家

相關政策法規，積極開展信息安全等級保護建設。對自有網絡安全態

勢進行自我核查，補齊等保短板，履行安全保護義務。

L1.項目建設背景

在面對現在不容樂觀的整體安全態勢環境下，開展貴單位的信息

化建設與信息安全建設，是整個社會和國家發展的必然趨勢。

1.1.1.法律要求

在2017年6月1日頒發的《中華人民共和國網絡安全法》中明確

規定了法律層面的網絡安全。具體如下：

“沒有網絡安全，就沒有國家安全”，《網絡安全法》第二十一

條明確規定“國家實行網絡安全等級保護制度”o各網絡運營者應當

按照要求，開展網絡安全筆級保護的定級備案、等級測評、安全建

設、安全檢查等工作。除此之外，《網絡安全法》中還從網絡運行安

全、關鍵信息基礎設施運行安全、網絡信息安全等對以下方面做了詳

細規定：

網絡日志留存；第二十一條還規定，網絡運營者應當制定內部安

全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責

任;采取防計算機病毒、網絡攻擊、網絡侵入等危害網絡安全行為的技

術措施;采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，留

存不少于六個月的相關網絡日志;采取數據分類、重要數據備份和加密

等措施。未履行上述網絡安全保護義務的，會被依照此條款責令整

5

改，拒不改正或者導致危害網絡安全等后果的，處一萬元以上十萬元

以下罰款，對直接負責的主管人員處五千元以上五萬元以下罰款。

漏洞處置：第二十五條規定，網絡運營者應當制定網絡安全事件

應急預案，及時處置系統漏洞、計算機病毒、網絡攻擊、網絡侵入等

安全風險;在發生危害網絡安全的事件時，立即啟動應急預案，采取相

應的補救措施，并按照規定向有關主管部門報告。沒有網絡安全事件

應急預案的，沒有及時處置高危漏洞、網絡攻擊的;在發生網絡安全事

件時處置不恰當的，會被依照此條款責令整改，拒不改正或者導致危

害網絡安全等后果的，處一萬元以上十萬元以下罰款，對直接負責的

主管人員處五千元以上五萬元以下罰款。

容災備份：第三十四條第三項規定，關鍵信息基礎設施單位對重

要系統和數據庫進行容災備份。沒有對重要系統和數據庫進行容災備

份的會被依照此條款責令改正。

應急演練：第三十四條第四項規定，關鍵信息基礎設施單位應當

制定網絡安全事件應急預案，并定期進行演練。沒有網絡安全事件預

案的，或者沒有定期演練的，會被依照此條進行責令改正。

安全檢測評估：第三十八條規定，關鍵信息基礎設施的運營者應

當自行或者委托網絡安全服務機構對其網絡的安全性和可能存在的風

險每年至少進行一次檢測評估，并將檢測評估情況和改進措施報送相

關負責關鍵信息基礎設施安全保護工作的部門。每年沒有進行安全檢

測評估的單位要被責令改正。

6

1.1.2.政策要求

為切實加強門戶網站安全管理和防護，保障網站安全穩定運行，

國家非常重視，陸續頒布以下文件：《關于加強黨政機關網站安全管

理的通知》（中網辦發文12014）1號）、《關于做好黨政機關網站開

辦審核、資格復核和網站標識管理工作的通知》（中央編辦發

（2014）69號），公安部、中央網信辦、中編辦、工信部等四部門

《關于印發〈黨政機關、事業單位和國有企業互聯網網站安全專項整

治行動方案〉的通知》（公信安（2015）2562號）

1.1.3.標準要求

項目要求備注

1物理安全

1.2物理訪問d）重要區域應配

控制（G3）置電子門禁系統，控

制、鑒別和記錄進入的

人員。

1.3防盜竊和e）應利用光、電

防破壞（G3）等技術設置機房防盜報

警系統；f）應對機房

設置監控報警系統。

1.4防雷擊b）應設置防雷保

(G3)安器，防止感應雷；

7

1.5防火a)機房應設置火

(G3)災自動消防系統，能夠

自動檢測火情、自動報

警，并自動滅火

1.6防水和防d)應安裝對水敏

潮(G3)感的檢測儀表或元件，

對機房進行防水檢測和

報警。

1.7防靜電b)機房應采用防

(G3)靜電地板。

1.8溫濕度控機房應設置溫、濕

制(G3)度自動調節設施，使機

房溫、濕度的變化在設

備運行所允許的范圍之

內。

1.9電力供應d)應建立備用供

(A3)電系統。

1.10電磁防護a)防止外界電磁干

(S3)擾和磁介質實施電磁屏

蔽。

2網絡安全

8

2.2訪問控制a)應在網絡邊界

(G3)部署訪問控制設備，啟

用訪問控制功能；d)

應按照對業務服務的重

要次序來指定帶寬分配

優先級別，保證在網絡

發生擁堵的時候優先保

護重要主機。

2.3安全審計a)應對網絡系統

(G3)中的網絡設備運行狀

況、網絡流量、用戶行

為等進行日志記錄；

2.4邊界完整a)應能夠對非授

性檢查(S3)權設備私自聯到內部網

絡的行為進行檢查，準

確定出位置，并對其進

行有效阻斷；

2.5入侵防范b)當檢測到攻擊

(G3)行為時，記錄攻擊源

1P、攻擊類型、攻擊目

的、攻擊時間，在發生

嚴重入侵事件時應提供

報警。

9

2.6惡意代碼a)應在網絡邊界

防范(G3)處對惡意代碼進行檢測

和清除；

2.7網絡設備a)應對登錄網絡

防護(G3)設備的用戶進行身份鑒

別

3主機安全

3.1身份鑒別a)應對登錄操作

(S3)系統和數據庫系統的用

戶進行身份標識和鑒

別；

3.2訪問控制a)應啟用訪問控

(S3)制功能，依據安全策略

控制用戶對資源的訪

問；

3.3安全審計a)審計范圍應覆

(G3)蓋到服務器和重耍客戶

端上的每個操作系統用

戶和數據庫用戶；

3.4剩余信息a)應保證操作系

保護(S3)統和數據庫系統用戶的

鑒別信息所在的存儲空

間，被釋放或再分配給

10

其他用戶前得到完全清

除，無論這些信息是存

放在硬盤上還是在內存

中；

3.5入侵防范a)應能夠檢測到

(G3)對重要服務器進行入侵

的行為，能夠記錄入侵

的源IP、攻擊的類型、

攻擊的目的、攻擊的時

間，并在發生嚴重入侵

事件時提供報警；

3.6惡意代碼a)應安裝防惡意

防范(G3)代碼軟件，并及時更新

防惡意代碼軟件版本和

惡意代碼庫；

3.7資源控制c)應對重要服務

(A3)器進行監視，包括監視

服務器的CPU、硬盤、

內存、網絡等資源的使

用情況；

4應用安全

4.1身份鑒別a)應提供專用的

(S3)登錄控制模塊對登錄用

11

戶進行身份標識和鑒

別；

4.2訪問控制a)應提供訪問控

(S3)制功能，依據安全策略

控制用戶對文件、數據

庫表等客體的訪問；

4.3安全審計a)應提供覆蓋到

(G3)每個用戶的安全審計功

能，對應用系統重要安

全事件進行審計；

4.4剩余信息a)應保證用戶鑒

保護(S3)別信息所在的存儲空間

被釋放或再分配給其他

用戶前得到完全清除，

無論這些信息是存放在

硬盤上還是在內存中；

4.5通信完整應采用密碼技術保

性(S3)證通信過程中數據的完

整性。

4.6通信保密a)在通信雙方建

性(S3)立連接之前，應用系統

應利用密碼技術進行會

話初始化驗證；

12

4.7抗抵賴a)應具有在請求

(G3)的情況下為數據原發者

或接收者提供數據原發

證據的功能；

4.9資源控制e)應能夠對一個

(A3)訪問帳戶或一個請求進

程占用的資源分配最大

限額和最小限額；

5數據安全及備份恢復

5.1數據完整應能夠檢測到系統

(S3)管理數據、鑒別信息和

重要業務數據在傳輸過

程中完整性受到破壞，

并在檢測到完整性錯誤

時采取必要的恢復措

施；

6安全管理制度

6.1管理制度應制定信息安全工

(G3)作的總體方針和安全策

略，說明機構安全工作

的總體目標、范圍、原

則和安全框架等；

13

應對安全管理活動

中的各類管理內容建立

安全管理制度；

應對要求管理人員

或操作人員執行的日常

管理操作建立操作規

程；

應形成由安全策

略、管理制度、操作規

程等構成的全面的信息

安全管理制度體系。

6.2制定和發應指定或授權專門

布(G3)的部門或人員負責安全

管理制度的制定；

安全管理制度應具

有統一的格式，并進行

版本控制；

應組織相關人員對

制定的安全管理制度進

行論證和審定；

安全管理制度應通

過正式、有效的方式發

布；

14

安全管理制度應注

明發布范圍，井對收發

文進行登記。

6.3評審和修信息安全領導小組

訂(G3)應負責定期組織相關部

門和相關人員對安全管

理制度體系的合理性和

適用性進行審定；

應定期或不定期對

安全管理制度進行檢查

和審定，對存在不足或

需要改進的安全管理制

度進行修訂。

7人員安全管理

7.1人員錄用應指定或授權專門

(G3)的部門或人員負責人員

錄用；

應嚴格規范人員錄

用過程，對被錄用人的

身份、背景、專業資格

15

和資質等進行審查，對

其所具有的技術技能進

行考核；

應簽署保密協議；

應從內部人員中選

拔從事關鍵崗位的人

員，并簽署崗位安全協

議。

7.2人員離崗應嚴格規范人員離

(G3)崗過程，及時終止離崗

員工的所有訪問權限；

應取回各種身份證

件、鑰匙、徽章等以及

機構提供的軟硬件設

備；

應辦理嚴格的調離

手續，關鍵崗位人員離

崗須承諾調離后的保密

義務后方可離開。

16

7.3人員考核應定期對各個崗位

(G3)的人員進行安全技能及

安全認知的考核；

應對關鍵崗位的人

員進行全面、嚴格的安

全審查和技能考核；

應對考核結果進行

記錄并保存。

7.4安全意識應對各類人員進行

教育和培訓(G3)安全意識教育、崗位技

能培訓和相關安全技術

培訓；

應對安全責任和懲

戒措施進行書面規定并

告知相關人員，對違反

違背安全策略和規定的

人員進行懲戒；

應對定期安全教育

和培訓進行書面規定，

針對不同崗位制定不同

的培訓計劃，對信息安

17

全基礎知識、崗位操作

規程等進行培訓；

應對安全教育和培

訓的情況和結果進行記

錄并歸檔保存。

7.5第三方人應確保在外部人員

員管理(G3)訪問受控區域前先提出

書面申請，批準后由專

人全程陪同或監督，并

登記備案；

對外部人員允許訪

間的區域、系統、設

備、信息等內容應進行

書面的規定，并按照規

定執行。

L2.項目建設目標及內容

L2.L項目建設目標

依據國家信息安全等級保護相關指導規范，對貴單位信息系統、

基礎設施和骨干網絡按照等保三級進行安全建設規劃，對安全建設進

行統一規劃和設備選型，實現方案合理、組網簡單、擴容靈活、標準

統一、經濟適用的建設目標。

18

依據信息安全等級保護三級標準，按照“統一規劃、統一標準、

重點明確、合理建設”的基本原則，在物理安全、網絡安全、主機安

全、應用安全、數據安全筆幾個方面進行安全規劃與建設，確保“網

絡建設合規、安全防護到位”。

方案目標是讓貴單位的骨干網絡、相關應用系統達到安全等級保

護第三級要求。經過建設后使整體網絡形成一套完善的安全防護體

系，提升整體信息安全防護能力。

1.2.2.建設內容

本項目以貴單位骨干網絡、信息系統等級保護建設為主線，以讓

相關信息系統達到安全等級保護第三級要求。借助網絡產品、安全產

品、安全服務、管理制度筆手段，建立全網的安全防控管理服務體

系，從而全面提高貴單位的工作效率，提升信息化運用水平。

建設內容包括貴單位內網骨干網絡、基礎設施和信息系統等。

2.現狀分析及需求響應

2.1.信息系統定級

依據國家信息安全等級保護相關指導規范，對貴單位信息系統、

基礎設施和骨干網絡按照等保三級進行安全建設規劃，對安仝建設進

行統一規劃和設備選型，實現方案合理、組網簡單、擴容靈活、標準

統一、經濟適用的建設目標。

依據信息安全等級保護三級標準，按照“統一規劃、統一標準、

重點明確、合理建設”的基本原則，在物理安全、網絡安全、主機安

全、應用安全、數據安全等幾個方面進行安全規劃與建設，確保“網

絡建設合規、安全防護到位”。

19

2.2.信息系統安全風險分析

本期建設的系統是一個集軟硬件基礎環境、數據庫系統以及應用

系統的綜合平臺，存在多種風險，首先應該在安全風險分析的基礎

上，做到統一規劃，全面考慮；其次，應積極采用各種先進技術，如

防火墻技術、加密技術、PKI技術、VPN技術等，實現集中統一的配

置、監控、管理；最后，應加強有關網絡安全保密的各項制度和規范

的制訂，并予以嚴格實行。

本項目安全分析包括如下：

1、服務器、網絡設備的安全風險

本期所建設的軟件系統、服務器、存儲等配套硬件均計劃租賃云

平臺的硬件資源，由云平臺提供網絡和基礎設施的安全防護措施，因

此本項目的安全風險主要考慮應用層的漏洞、缺陷和管理等方面的風

險。

2、數據傳輸風險

由于在同級局域網和上下級網絡數據傳輸線路之間存在著被竊聽

的威脅，同時局域網內部也存在著內部攻擊行為，會造成某些重要信

息被襲擊者竊取和篡改，造成泄密。如果沒有專門的軟件或硬件對數

據進行控制，所有的廣域網通信都將不受限制的進行傳輸，因此任何

一個人對通信進行監控的人都可以對傳輸的數據進行截取。這種形式

的“攻擊”相對比較容易應對。

3、網絡邊界風險

20

對本期建設系統的任意節點來說，其它所有網絡節點都是不可信

任域，都可能對該平臺造成一定的安全威脅一方面風險來自于內

部，入侵者通過專門的黑客工具通過網絡探測、掃描網絡及操作系統

存在的安全漏洞，采用相應的攻擊程序對內網進行攻擊。另一方面風

險來自外部，有必要將公開服務器同外網及內部網絡進行必要的隔

離，避免網絡結構的信息外漏；同時還要對外網的服務請求加以過

濾，只允許正常通信的數據包到達相應主機，其它的請求服務在到達

主機之前就應該遭到拒絕。

4、系統層的安全風險

系統層的安全風險主要針對信息集成和所連接的網絡采用的操作

系統、數據庫、及相關商用產品的安全漏洞和病毒威脅。普遍采用的

操作系統本身就存在著安全隱患，病毒的入侵也是系統安全的主要威

脅。因此需要安裝安全可靠的病毒防護系統。

5、應用層的安全風險

對項目本身而言，主要存在以下安全風險：非法訪問；用戶提交

的業務信息被監聽或修改；用戶對成功提交的業務進行事后抵賴等。

由于本期建設的各個應用系統均對外網提供服務，因此存在著外

網非法用戶對服務器的攻擊。

6、管理層的安全風險

再安全的網絡設備和信息系統離不開人的管理，再好的安全策略

最終也是靠人來實現，因此管理是整個平臺安全體系中的最為重要的

一環。有必要認真的分析管理所帶來的安全風險，并采取相應的措

施。電子政務應該按照國家關于計算機和網絡的一些安全管理條例，

21

如《中華人民共和國計算機信息系統安全保護條例》等，制訂安全管

理制度。

2.3.總體建設目標

本項目的建設目標，主要是結合對現狀的安全需求分析，通過信

息安全保障總體規劃、信息安全管理體系建設、信息安全技術策略設

計以及信息安全產品集成實施等工作，全面提升信息系統的安全性，

能面對目前和未來一段時期內的安全威脅，保證信息系統的平穩、高

效的運行，本次設計我們將根據以下目標為指導思想：

目標一、保證信息的安全

完整性：保證數據的權威性，讓使用者毫不懷疑；

保密性：防止未經授權的數據外泄，阻止他人惡意的窺探攻擊；

可用性：隨時提供全部的數據，以供系統分析、處理；

目標二、保證提供服務的安全

連續性：保證業務連續性，提供7X24小時保質保量的服務；

可靠性：即使遭受不可抗力，也能夠在足夠短的時間內恢復；

滿意度：達到內部用戶、客戶、主管部門對安全性的要求：

目標三：提高安全投資的效益

合規性：遵循技術標準、國家相關規范（三級等保）；

示范性：樹立貴單位信息安全建設標桿典范；

經濟性：提高安全投資的性價比，考核人員的安全績效

22

3.安全建設目標

責單位信息系統的安全建設目標，主要是結合對現狀的安全需求

分析，通過信息安全保障總體規劃、信息安全管理體系建設、信息安

全技術策略設計以及信息安全產品集成實施等工作，全面提升信息系

統的安全性，能面對目前和未來一段時期內的安全威脅，保證信息系

統的平穩、高效的運行，本次設計我們將根據以下目標為指導思想：

目標一、保證信息的安全

完整性：保證數據的權威性，讓使用者毫不懷疑；

保密性：防止未經授權的數據外泄，阻止他人惡意的窺探攻擊：

可用性：隨時提供全部的數據，以供系統分析、處理；

目標二、保證提供服務的安全

連續性：保證業務連續性，提供7X24小時保質保量的服務；

可靠性：即使遭受不可抗力，也能夠在足夠短的時間內恢復；

滿意度：達到內部用戶、客戶、主管部門對安全性的要求；

目標三：提高安全投資的效益

合規性：遵循技術標準、國家相關規范（三級等保）；

示范性：樹立貴單位信息安全建設標桿典范；

經濟性：提高安全投資的性價比，考核人員的安全績效

23

4.總體方案設計

4.1.信息安全保障體系

4.L1.總體框架概述

貴單位信息安全保障體系總體框架包括三個部分內容：信息安全

管理體系、信息安全技術體系和信息安全運行體系。

信息安全保障體系

信息安全信息安全技術體系信息安全

管理體系運行體系

信息安全技術體系總體設計

安

安

信

信（網絡安全域整體規劃）

全

全

息

息

［基明網絡］［邊界安全］［計算環境）［安全管理

運

管

安

安

全

維

理

全

策

服

平

組

略

務

臺

織!身份鑒別］資源控制!

體

建

建

架信息安全1訪問控制）冗余控制

系

設

設

構等級保護!安全審計!!物理安全

技術措施［入侵防范）管理安全

（惡盤代碼）數據安全］

等級保護、IS027001xSSE-CMM和其他國家法律、法規要求

圖:信息安全保障體系框架

?信息安全管理體系：明確了貴單位信息安全方針和目標，以及完

成這些目標所用的方法和體系；是信息安全工作開展的規范。該

體系由三部分內容組成，包括信息安全治理結構、信息安全組織

以及信息安全策略；

?信息安全技術體系：明確了貴單位信息安全建設過程中所需的技

24

術手段；是信息安全工作開展的有力支撐；主要包括信息安全產

品和工具；

?信息安全運行體系：明確了貴單位日常信息安全工作的主要過程

和內容；是信息安全規范要求和控制措施的具體落實；主要包括

日常的信息安全管理行為和安全管理中心。

4.1.2.信息安全管理體系

信息安全管理體系是在整個貴單位范圍內建立信息安全方針和目

標，以及完成這些目標所用的方法，它是直接管理的結果，表示方

針、原則、目標、方法、過程、核查表(checklists)等要素的集

合。

安全策略(SecurityPolicy)

信息安全的組織(Organizinginformationsecurity)

資產管理(Assetmanagement)

物理和環境安全通信和操作安全

人力資源安全

(Physicaland(Communications1信息系統采集

(Humanresources

environmentalandoperations開發和維護

security)

security)Management)(Informationsystem

acquisition,development

andmaintenance)

訪問控制(Accesscontrol)

信息安全事故管理(Informationsecurityincidentmanagement)

業務連續性管理(Businesscontinuitymanagement)

符合性(Compliance)

圖：信息安全管理體系模型

25

信息安全管理體系的建立，首先應該建立自己的管理機構，在信

息安全管理機構的領導下，制定信息安全策略，建立信息安全管理制

度。并要有一套可操作的保障機制來保證這些策略和制度的落實。

通過信息安全管理體系的實施，明確每個人對相關信息的安全責

任，便于在工作中實施、監督和考核。使員工了解到信息安全不僅僅

是網絡安全，還包括業務信息安全、人員安全、組織安全等方面的內

容，使員工的安全意識有所增強，并在日常業務中按照相關規范執行

信息安全要求。

信息安全管理體系提倡在行為規范上嚴格要求，使員工養成良好

的習慣，避免發生大的事故，表面上看建立安全規則對員工多了一道

約束，實際上提供了對員工的保護，許多大事故往往是由小細節累積

而成的。

通過信息安全管理體系項目的實施，可以為貴單位訓練出一批具

有信息安全管理知識與技能的人員，訓練出一批具有“標準”意識、

思維和行為方式的員工。

4.1.3.信息安全技術體系

信息安全技術體系是利用各種安全技術、產品以及工具作為安全

管理和運行的落實的重要手段，最終支撐信息安全體系的建設。主要

由身份認證技術、訪問控制技術、內容安全技術、監控審計技術和備

份恢復技術等方面組成。

26

身份認證訪問控制內容安全備份恢復

（3?/代碼防范）

（燧班準入控利）（烤消監控審計）

（終城補丁曾建）

（應用安全審計）（故據瘁備份與復制）

（內容加吃技術）

（應用安全?3描）（應用各份與復制]

--安

認全

證?

W理

（E患代碼防范）（系笠安全打描）

湮與（本地依據備份]

|1宓手證E）■系統安全

「系統補丁管理j集

中（遠程數據備份〕

（文件忙密技術]（主機人侵檢黑）審

計

平

臺

（硬件防病毒網關）（網絡安全掃描）

防火埴

暮（數字證書）（波?拄制/QoS）（網絡入侵檢潴）

5MVLAN/ACI)

（傳/安全/VPN）（網絡安全審計）

物U1於筠好的ZD建筑安全監控攝像

理物理門第（火備中心（實時）

C物理分區_J機厲安全)環境監控

圖：信息安全技術體系模型

從安全的角度來看，各類安全防護手段的存在是為安全目的的實

現而服務的，在可靠的安全域模型基礎上對其進行高效的技術體系防

護則是又一重點建設內容。無論是安全域的邊界狀態或是各安全域內

部可能存在的安全問題都將影響貴單位絡電視臺整個信息安全體系實

現的最終效果。綜上所述，信息安全技術體系的建設是一個分步設計

加分步實施的過程。

4.1.4.信息安全運行體系

信息系統的運行維護階段，在信息系統的生命周期中，是時間最

長的一個階段，占整個生命周期的絕大多數的時間。同時，這個階段

也是信息系統直接服務于機構，完成機構的信息使命的階段，也是信

息安全事件最大量發生的階段。所以建設一個有效的安全運行維護體

27

系，使信息系統能夠可靠安全地運行，是保障信息系統完成其信息使

命的關鍵所在。

信息安全管理[Audit/Measure]

Level1-----------------------------------------------------------------------------------------------------

安全策略制定;發布服務級別管理（SLM/OLM）,審計/考核

信息安全運維[Operation]

運維組織運維組織構成：

?安全監控、事件定位

Level2

?基線建立、策略制定

風險管理事件管理審計管理

-系統構建、安全服務

網絡安全運維終端安全運維

信息安全服務【Services】

[技術、維護服務支持

[流程、制度、規范導入與支持J

系統/網絡f

維護支持團隊[Support

Level3安全應急[Team

響應支持團隊

備件維修|Provision

支持團隊1Team

圖：信息安全運行體系模型

在貴單位安全建設中，信息安全運行體系的建設是建立、健全安

全管理中心，實現最終的安全目標。信息安全技術只是實現信息安全

控制的一個手段，必須依賴于有效的信息安全運作模式加以綜合利

用；信息安全策略、標準、制度只是提出了信息安全控制的要求，必

須依賴有效的信息安全運作模式加以落實，才能實現制定的信息安全

目標。

通過安全管理中心的建設，進行相關系統設計，支持以信息安全

管理為核心，建立和維護完整的信息安全體系，實現動態的、系統化

的、制度化的信息安全管理。根據風險和用戶安全目標進行成本效益

28

分析，制定風險控制方案，將風險控制在可接受的水平內，從而保證

業務連續性，實現持續的、不斷提高的信息安全管理水平。

通過安全管理中心的建設，能夠幫助貴單位在管理過程中實現有

效的安全資源整合，為各級安全管理人員提供全網安全威脅可視化的

技術平臺，為安全管理、安全服務提供有效的分析數據，與貴單位的

安全組織、安全制度、流程配合實現科學高效管理，確保安全建設的

可持續發展。

4.2.安全防護功能設計

4.2.1.基礎網絡安全設計

網絡是信息系統構建的基礎，它使得計算機及其相關配套的設備

能夠互聯和共享。在對網絡安全實現全方位保護之前，首先應關注整

個網絡的資源分布和架構是否合理。只有結構安全了，才能在其上實

現各種技術功能，達到網絡安全保護的目的。

基礎網絡安全設計首先要對整個網絡進行子網劃分。其次在同一

網段上，從保護數據信息的安全角度上來看，偵聽、重放、插入攻擊

方式會導致數據的機密性和完整性被破壞。如果網段規劃得不合理，

碰撞問題就會變得突出，導致網絡通信效率的下降。

4.2.2.邊界安全設計

要保護信息系統的安全，網絡邊界是第一道也是最關鍵的一道防

線。不論是對外部的入侵防范、計算機惡意代碼的防范，還是對內部

數據的泄露等都起到了最重要的作用。網絡邊界的防護，一般都在邊

界設置和安裝相關的安全設備，對外部的訪問進行過濾和控制，對內

29

部向外傳輸的數據信息進行安全檢查。網絡邊界的保護要從兩個方面

入手，一是對邊界完整性的保護，另一個是對入侵的防范。

1.邊界完整性保護

所謂網絡邊界的完整性，是指網絡與其他網絡的連接的出口是明

確的，是已知的，是安全策略所允許的。

2.網絡邊界入侵防范

互聯的目的是為了共享，共享既是網絡的優點，也是風險的根

源。非法用戶能夠從遠端對計算機數據、程序等資源進行非法訪問，

使數據遭到攔截和破壞。

網絡邊界的保護目的：一是防止網絡外部的入侵；二是防止內部

信息的泄露；三是防止內部人員違規訪問網絡外部。有效的控制措施

包括防火墻、邊界隔離防護（IPS、交換網關等），以及對遠程用戶的

標識與鑒別/訪問控制。有效的監視手段包括基于網絡的入侵檢測、漏

洞掃描及惡意代碼的防范。

采取什么樣的隔離措施，要根據系統的保護策略及該系統與之連

接的其他系統的安全等級和那些系統本身的安全保護策略，當然也要

根據信息安全屬性所決定的保護策略。與之相關的是認證問題，應該

進行角色定義和分析。對于邊界保護，主要的一點是要考慮外部訪問

者的角色，即如何對這些角色進行控制是邊界保護必須的要素。也應

該從安全等級的角度出發，對于相同等級的子系統之間的邊界保護，

和不同等級系統之間的邊界保護，其策略應該不同，對于來自低于本

30

系統安全等級的訪問應該看做是不可信的訪問。對于來自同級和高于

本系統安全等級的外部訪問，也應慎重對待。

邊界防護還要考慮防止內部人員對外部系統進行的侵害和將內部

信息泄露的問題。可以通過邊界的審計手段記錄訪問者及訪問行為并

作可靠的保存；可以對重要的信息加以標記，避免泄露。

4.2.3.計算環境安全設計

保護計算環境關注的是采用信息保障技術確保用戶信息在進入、

離開或駐留主機時具有可用性、完整性和保密性。計算環境的保護涉

及主機上的操作系統、數據庫等系統軟件；也包括應用層的通用程序

和定制開發的獨立應用程序。

1.操作系統安全

操作系統是對軟件、硬件資源進行調度控制和信息產生、傳遞、

處理的平臺，它的安全性屬于系統級安全的范疇，它為整個計算機信

息系統提供底層的安全保障。操作系統安全關注的有兩點，一是操作

系統本身的安全機制，二是操作系統本身的安全。

操作系統的安全機制是操作系統的重要組成部分，它表明了操作

系統能夠提供的安全能力，由可信計算基的安全功能來實現；而操作

系統本身的安全則是表明操作系統本身的可靠性，是對它所提供的安

全能力的保證，反映的可信計算基的安全保障能力。

為了實現操作系統的安全，需要建立相應的安全機制，解決進程

控制、內存保護、對資源的訪問控制、信息流的安全控制、I/O設備的

31

安全管理機制、審計機制，以及用戶標識與鑒別機制等。按照等級保

護要求，高級別的信息系統（第三級以上），操作系統要達到標記安

全保護級。標記安全保護級引入強制訪問控制（MAC）機制，并對主體

和客體進行安全標識，實施標識管理。

2,數據庫安全

數據庫系統安裝在操作系統之上，并為應用層提供直接服務。通

常情況下所說的信息系統中的數字信息安全，就是指數據庫中產生和

保存的數據。數據庫存儲的數據越重要、越全面，它的安全性就越重

要。為了保證數據庫數據的安全可靠和正確有效，必須建立統一的數

據保護功能，主要包括數據庫的安全性、完整性、并發控制、備份恢

復和安全審計。

3.應用安全

應用層是信息系統直接面向用戶的層面，保證應用層面的安全應

該說是信息系統安全的最終目的。應用程序保護主要是指獨立應用程

序的保護，也就是專為本系統的信息使命所開發的應用程序。應用程

序的安全要求在等級保護中有明確要求，應用程序的保護應該從以下

兩個方面考慮：一是對應用程序進行評估；二是對應用程序進行測

試。

應用軟件的評估是考慮應用軟件所提供的功能是否與管理策略相

違