安全保障体系.docx

1、安全保障体系安全保障体系1 容灾备份系统1.1 系统概述1.1.1 容灾概念容灾是一个范畴比较广泛的概念，广义上可以把所有与业务连续性相关的内容都纳入容灾。容灾是一个系统工程，它包括支持用户业务的方方面面。而容灾对于IT环境而言，就是提供一个能防止用户业务系统遭受各种灾难影响与破坏计算机系统和业务数据。容灾还表现为一种未雨绸缪的主动性，而不是在灾难发生后的“亡羊补牢”。从狭义的角度，我们平常所谈论的容灾是指，除了生产站点以外，用户另外建立的冗余站点，当灾难发生，生产站点受到破坏时，冗余站点可以接管用户正常的业务，达到业务不间断的目的。为了达到更高的可用性，许多用户甚至建立多个冗余站点以保证业务

2、系统的安全性。从技术上看，衡量容灾系统主要有两个主要指标：RPO（Recovery Point Object）和RTO（Recovery Time Object），其中RPO代表了当灾难发生时允许丢失的数据量，而RTO则代表了系统恢复的时间。RPO与RTO越小，系统的可用性就越高，当然用户需要的投资也越大。1.1.2 容灾与备份的关系备份是指用户为应用系统产生的重要数据（或者原有的重要数据信息）制作一份或者多份拷贝，以增强数据的安全性。因此，备份与容灾所关注的对象有所不同，备份关心数据的安全，容灾关心业务应用的安全，我们可以把备份称作是“数据保护”，而容灾称作“业务应用保护”。备份最多表现为通

3、过备份软件使用磁带机或者磁带库将数据进行拷贝，也有用户使用磁盘、光盘作为存储介质；容灾则表现为通过高可用方案将两个站点连接起来。备份与容灾是存储领域两个极其重要的部分，二者有着紧密的联系。首先，在备份与容灾中都有数据保护工作，备份大多采用磁带方式，性能低，成本低，数据通常被压缩后以独有的数据格式进行存储；容灾采用磁盘作为存储介质作为数据载体的方式进行数据保护，数据随时在线，性能高，成本高。其次，备份是存储领域的一个基础，在一个完整的容灾方案中必然包括备份的部分；同时备份还是容灾方案的有效补充，因为容灾方案中的数据始终在线，因此存储有完全被破坏的可能，而备份提供了额外的一条防线，在线数据丢失的情

4、况下还可以从备份数据中恢复。 1.1.3 容灾的等级 大体上讲，容灾可以分为3个级别：数据级别、应用级别以及业务级别。 数据级别容灾的关注点在于数据，即灾难发生后可以确保用户原有的数据不会丢失或者遭到破坏。数据级容灾较为基础。其中，较低级别的数据容灾方案仅需利用磁带库和管理软件就能实现数据异地备份，达到容灾的功效；而较高级的数据容灾方案则是依靠数据复制工具，例如卷复制软件，或者存储系统的硬件控制器，实现数据的远程复制。数据级别容灾是保障数据可用的最后底线，当数据丢失时能够保证应用系统可以重新得到所有数据。从这种意义上讲，数据备份属于该级别容灾，用户把重要的数据存放在磁带上，如果考虑到高级别的安

5、全性还可以把磁带运送到远距离的地方保存，当灾难发生后，从磁带中获取数据。该级别灾难恢复时间较长，仍然存在风险，尽管用户原有数据没有丢失，但是应用会被中断，用户业务也被迫停止。因此虚拟磁带库的出现可以解决磁带备份速度慢和磁带保存困难的问题，是取代磁带的最佳产品。应用级容灾是在数据级容灾的基础上，再把执行应用处理能力复制一份，也就是说，在备份站点同样构建一套应用系统。应用级容灾系统能提供不间断的应用服务，让用户应用的服务请求能够透明地继续运行，而感受不到灾难的发生，保证信息系统提供的服务完整、可靠、安全。数据级容灾和应用级容灾都是在IT范畴之内，然而对于正常业务而言，仅IT系统的保障还是不够的。有

6、些用户需要构建最高级别的业务级别容灾。业务级容灾的大部分内容是非IT系统，比如电话、办公地点等。当一场大的灾难发生时，用户原有的办公场所都会受到破坏，用户除了需要原有的数据、原有的应用系统，更需要工作人员在一个备份的工作场所能够正常地开展业务。1.2 建设必要性随着XX工程数字化建设的不断深入，较为严重的信息系统故障（主要是：服务器故障和网络故障两大类。）势必会影响到系统全局的可用性和稳定性，而XX工程由于其覆盖面广、受众多，业务的高可用性与连续性就显的尤为重要。建立一套行之有效的容灾备份系统十分必要。同时，在整个XX工程应用网络系统中，由于数据量大而复杂，数据出错或丢失是在所难免的，如果没有

7、事先对数据进行备份，要想恢复数据不仅难度大而且很十分不可靠，有时甚至根本不可能进行恢复。如果定期对重要数据进行备份，那么在系统出现故障时，仍然能保证重要数据准确无误。另外，随着XX工程的逐步发展，新业务需求的不断扩展，现有业务系统的相关数据信息的安全性和可靠性也需要在原有基础上得到进一步扩充及改进，以保证在灾难情况发生时，相关业务也能正常运行。因此，在此方案中，我们将总体目标定为实现对XXX现有业务系统中核心数据和核心应用系统的容灾备份，并确保灾难情况下业务数据的高可恢复性和高可用性，从而保证相关的应用系统不中断，并且在灾难发生后能够得到及时恢复。1.3 建设目标本次容灾备份系统的建设目标是：

8、技术先进、可扩充、高可靠、高可用、可管理。 技术先进性：系统设计应采用当前先进而成熟的技术，不仅可以满足本期工程的需求，也应把握未来的发展方向。 可扩充性：在系统设计时应充分考虑可扩充性，从而确保新功能、新业务的增加在原有的系统平台上扩展和实现。 高可靠性：存储平台具有高可靠性，支持服务器平台的高可用性集群技术；具备先进的容灾的设计；充分保证系统的高扩展能力和高容错能力，具有通道负载自动均衡能力和存储系统性能调节能力，提供极为充分的可靠性各项指标设计。 高可用性：在不停机情况下，实现不停机扩容、维护、升级等服务，提高性能以满足新的业务需求。具备724365连续工作的能力，系统的可用性应大于 9

9、9.999 。在软件支持下可以实现应用级容灾。 可管理性：要求配置实时性能监测管理软件。可对备份作业、磁盘空间、卷磁盘错误、系统事件、系统中各进程对系统资源占用等性能和操作数据等服务器性能进行实时监控和管理。 保护投资：新的系统投入使用对前期的设备有可再次利用的设计思路，保证前期的投入和设备的持续性运营。其次是新系统的整体设计要考虑经济有效，充分利用现有设备和即将时候的设备，使得投入与产出最大化。1.4 建设内容整个系统的建设内容分为三个部分，可以按照资金、技术、环境的具体情况分三个步骤来实现备份容灾系统的建设。 2 认证安全服务体系2.1 系统概述2.1.1 功能简介认证安全服务体系是指数字

10、证书（即网络中的个人虚拟身份证）的发放和管理。是面向应用的CA系统，为应用提供基础的证书管理服务。面向应用的CA系统的主要目的是为这些用户在网络上进行业务活动时，对应用提供更安全的保障。系统有一个稳定的核心，一个良好的结构。提供多种接口，可以方便地扩展规模和功能。具有手工、批量、在线、离线等多种证书申请方式、支持IC卡、USB key、文件等多种证书保存介质，支持人工、WEB、目录服务器、邮件等多种证书发布方式、支持多种密钥生成方式等。系统由CA服务器、目录服务器、数据库服务器、硬件密码机、操作终端组成。CA服务器负责证书的申请、签发、作废和管理。数据库服务器负责存放CA的数据、请求数据、证书

11、和黑名单数据。操作终端提供证书申请的管理和日常操作，目录服务器用于发布证书和黑名单。证书系统功能包括证书管理系统初始化、证书服务功能、证书管理功能、证书发布功能。2.1.2 应用领域本系统所发放的数字证书用于各种应用系统的身份认证、操作的电子签名、数据的加密。2.2 建设必要性认证安全服务体系建设是总体建设的一项关键内容，为全区人力资源社会保障各业务系统提供应用安全支撑，包括身份认证、数据加密解密、基于数字签名验签的防抵赖等基本证书应用安全功能，以及电子签章和时间戳等增强证书应用安全功能。2.3 建设内容人力资源社会保障认证安全服务体系应包含电子认证系统基础层、证书业务管理层、证书应用支撑层、

12、相关政策法规和标准规范，总体结构如图所示。 电子认证系统基础层包括密钥管理系统、密码服务系统、证书签发管理系统、证书注册管理系统和证书查验服务系统等。证书业务管理层包括证书生命周期管理、系统运行管理、证书服务统一监管平台等。证书应用支撑层包括基础安全接口和高级应用接口,为应用系统提供身份认证、数据加密解密、数字签名验签、电子签章、网络安全协议和时间戳等应用安全支撑功能。3 网络冗余链路建设3.1 系统概述网络的冗余部署包含了三个环节，分别是：设备级冗余，链路级冗余和网关级冗余。（1）设备级的冗余技术分为电源冗余和管理板卡冗余，由于设备成本上的限制，这两种技术都被应用在中高端产品上。（2）链路级

13、冗余往往存在多条二层和三层链路，使用链路级冗余技术可以实现多条链路之间的备份，流量分担和环路避免。（3）前面谈到的冗余技术保证了网络级别的冗余，同样对于使用网络的终端用户来讲，也需要一种机制来保证其与网络的可靠连接，这就是网关级冗余技术。3.2 建设必要性随着Internet的发展，XX工程从简单的信息承载平台转变成一个公共服务提供平台。作为终端用户，希望能时时刻刻保持与网络的联系，因此健壮，高效和可靠成为XX工程网络发展的重要目标，而要保证网络的可靠性，就需要使用到冗余技术。高冗余网络要给我们带来的体验，就是在网络设备、链路发生中断或者变化的时候，用户几乎感觉不到。 为了达成这一目标，需要在

14、XX工程网络的各个环节上实施冗余，包括网络设备，链路和广域网出口，用户侧等等。3.3 建设内容本次网络的冗余建设主要是链路级冗余建设，形成自治区、盟市、旗县区三级网络双链路保障。4 安全管理制度建设4.1 认证系统安全管理制度4.1.1 身份鉴别a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;d) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;e) 应启用身份鉴别、用户身份

15、标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。4.1.2 访问控制a) 应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;c) 应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。e) 应具有对重要信息资源设置敏感标记的功能;f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;4.1.3 安全审计a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要

16、安全事件进行审计;b) 应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。4.1.4 剩余信息保护a) 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;b) 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。4.1.5 通信完整性应采用密码技术保证通信过程中数据的完整性。4.1.6 通信保密性a) 在通信双方建立连接之前,应用系统

17、应利用密码技术进行会话初始化验证;b) 应对通信过程中的整个报文或会话过程进行加密。4.1.7 抗抵赖a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。4.1.8 软件容错a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;b) 应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。4.1.9 资源控制a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;b) 应能够对系统的最大并发会话连接数进行限制

18、;c) 应能够对单个帐户的多重并发会话进行限制;d) 应能够对一个时间段内可能的并发会话连接数进行限制;e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警;g) 应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。4.2 信息系统安全管理制度4.2.1 身份鉴别a) 应对登录各信息系统（特别是操作系统和数据库系统）的用户进行身份标识和鉴别;b) 各信息系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;c) 应启用登录失败处理功能,可采

19、取结束会话、限制非法登录次数和自动退出等措施;d) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;e) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。4.2.2 访问控制a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;b) 应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;c) 应实现各信息系统（如，操作系统和数据库系统）特权用户的权限分离;d) 应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;e)

20、应及时删除多余的、过期的帐户,避免共享帐户的存在。f) 应对重要信息资源设置敏感标记;g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;4.2.3 安全审计a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;d) 应能够根据记录数据进行分析,并生成审计报表;e) 应保护审计进程,避免受到未预期的中断;f) 应保护审计记录,避免受到未预期的删除、修改或覆盖等。4.2.4 剩余信息保护a) 应

21、保证各系统（如，操作系统和数据库系统）用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;b) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。4.2.5 入侵防范a) 应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;b) 应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方持系统补丁及时得到更

22、新。4.2.6 恶意代码防范a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;b) 主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;c) 应支持防恶意代码的统一管理。4.2.7 资源控制a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;b) 应根据安全策略设置登录终端的操作超时锁定;c) 应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;d) 应限制单个用户对系统资源的最大或最小使用限度;e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。4.3 灾备系统安全管理制度 4.3.1 数据完整性a) 应能够

23、检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;b) 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。4.3.2 数据保密性a) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;b) 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。4.3.3 备份和恢复a) 应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;b) 应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;

24、c) 应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障;d) 应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。5 信息安全等级保护5.1 物理安全5.1.1 物理位置的选择(G3)本项要求包括:a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。5.1.2 物理访问控制(G3)本项要求包括:a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离

25、装置,在重要区域前设置交付或安装等过渡区域;d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。5.1.3 防盗窃和防破坏(G3)本项要求包括:a) 应将主要设备放置在机房内;b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;d) 应对介质分类标识,存储在介质库或档案室中;e) 应利用光、电等技术设置机房防盗报警系统;f) 应对机房设置监控报警系统。5.1.4 防雷击(G3)本项要求包括:a) 机房建筑应设置避雷装置;b) 应设置防雷保安器,防止感应雷;c) 机房应设置交流电源地线。5.1.5 防火(G3)本项要求包括

26、:a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。5.1.6 防水和防潮(G3)本项要求包括:a) 水管安装,不得穿过机房屋顶和活动地板下;b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。5.1.7 防静电(G3)本项要求包括:a) 主要设备应采用必要的接地防静电措施;b) 机房应采用防静电地板。5.1.8 温湿度控

27、制(G3)机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。5.1.9 电力供应(A3)本项要求包括:a) 应在机房供电线路上配置稳压器和过电压防护设备;b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求;c) 应设置冗余或并行的电力电缆线路为计算机系统供电;d) 应建立备用供电系统。5.1.10 电磁防护(S3)本项要求包括:a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;b) 电源线和通信线缆应隔离铺设,避免互相干扰;c) 应对关键设备和磁介质实施电磁屏蔽。5.2 网络安全5.2.1 结构安全(G3)本项要求包括:a) 应保证主

28、要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;b) 应保证网络各个部分的带宽满足业务高峰期需要;c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;d) 应绘制与当前运行情况相符的网络拓扑结构图;e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;g) 应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。5.2.2 访问控制(G3)本项

29、要求包括:a) 应在网络边界部署访问控制设备,启用访问控制功能;b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;c) 应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;d) 应在会话处于非活跃一定时间或会话结束后终止网络连接;e) 应限制网络最大流量数及网络连接数;f) 重要网段应采取技术手段防止地址欺骗;g) 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;h) 应限制具有拨号访问权限的用户数量。5.2.3 安全审计(G3)本项要求包括:a) 应

30、对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;b) 审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;c) 应能够根据记录数据进行分析,并生成审计报表;d) 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。5.2.4 边界完整性检查(S3)本项要求包括:a) 应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;b) 应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。5.2.5 入侵防范(G3)本项要求包括:a) 应在网络边界处监视以下攻击行为:端口扫描、强力攻击

31、、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等;b) 当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警。5.2.6 恶意代码防范(G3)本项要求包括:a) 应在网络边界处对恶意代码进行检测和清除;b) 应维护恶意代码库的升级和检测系统的更新。5.2.7 网络设备防护(G3)本项要求包括:a) 应对登录网络设备的用户进行身份鉴别;b) 应对网络设备的管理员登录地址进行限制;c) 网络设备用户的标识应唯一;d) 主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;e) 身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;f) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;g) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;h) 应实现设备特权用户的权限分离。5.3 系统安全5.3.1 系统定级(G3)本项要求包括:a)