分级保护方案设计..docx

1、iiu 第三章 安全保密风险分析3.1 脆弱性分析脆弱性是指资产或资产组中能被威胁所利用的弱点，它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面。脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害， 而且如果系统足够强健，严重的威胁也不会导致安全事件发生，并造成损失。威胁总是要利用资产的脆弱性才可能造成危害。资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现，这是脆弱性识别中最为困难的部分。不正确的、起不到任何作用的或没有正确实施的安全措施本身就可能是一个弱点，脆弱性是风险产生的内在原因，各种安全薄弱环节、安全弱点自

2、身并不会造成什么危害，它们只有在被各种安全威胁利用后才可能造成相应的危害。针对 XXX 机关涉密信息系统，我们主要从技术和管理两个方面分析其存在的安全脆弱性。3.1.1 技术脆弱性1. 物理安全脆弱性：环境安全：物理环境的安全是整个基地涉密信息系统安全得以保障的前提。如果物理安全得不到保障，那么网络设备、设施、介质和信息就容易受到自然灾害、环境事故以及人为物理操作失误或错误等各种物理手段的破坏，造成有价值信息的丢失。目前各级 XXX 企业的中心机房大部分采用独立的工作空间，并且能够达到国家标准 GB501741993电子计算机机房设计规范、GB28871989计算机场地技术条件、GB93611

3、998计算站场地安全要求和 BMBl72006涉及国家秘密的信息系统分级保护技术要求等要求。设备安全：涉密信息系统的中心机房均按照保密标准要求采取了安全防范措施， 防止非授权人员进入，避免设备发生被盗、被毁的安全事故。介质安全：目前各级 XXX 企业的软磁盘、硬盘、光盘、磁带等涉密媒体按所存第 109 页 共 129 页储信息的最高密级标明密级，并按相应的密级管理。2. 运行安全脆弱性分析备份与恢复：备份与恢复是保证涉密信息系统运行安全的一个不可忽视问题， 当遇到(如火灾、水灾等)不可抗因素，不会造成关键业务数据无法恢复的惨痛局面。同时将备份关键业务数据的存储介质放置在其他建筑屋内，防止在异常

4、事故发生时被同时破坏。网络防病毒：各级 XXX 企业涉密网络中的操作系统主要是 windows 系列操作系统。虽有安全措施，却在不同程度上存在安全漏洞。同时，病毒也是对涉密网络安全的主要威胁，有些病毒可感染扩展名为 corn、exe 和 ovl 的可执行文件，当运行这些被感染的可执行文件时就可以激活病毒，有些病毒在系统底层活动，使系统变得非常不稳定，容易造成系统崩溃。还有蠕虫病毒可通过网络进行传播，感染的计算机容易导致系统的瘫痪。近年来，木马的泛滥为计算机的安全带来了严重的安全问题。木马通常是病毒携带的一个附属程序，在被感染的计算机上打开一个后门，使被感染的计算机丧失部分控制权，另外还有黑客程

5、序等，可以利用系统的漏洞和缺陷进行破坏，都会为涉密网络带来安全风险。各级 XXX 企业涉密网络中采用网络版杀毒软件对涉密系统进行病毒防护，并制定合理的病毒升级策略和病毒应急响应计划以保证涉密网络的安全。应急响应与运行管理：各级 XXX 企业采用管理与技术结合的手段，设置定期备份机制，在系统正常运行时就通过各种备份措施为灾害和故障做准备；健全安全管 理机构，建立健全的安全事件管理机构，明确人员的分工和责任；建立处理流程图， 制定安全事件响应与处理计划及事件处理过程示意图，以便迅速恢复被安全事件破 坏的系统。3. 信息安全保密脆弱性自身脆弱性：任何应用软件都存在不同程度的安全问题，主要来自于两个方

6、面： 一方面是软件设计上的安全漏洞；另一方面是安全配置的漏洞。针对软件设计上的 安全漏洞和安全配置的漏洞，如果没有进行合适的配置加固和安全修补，就会存在 比较多的安全风险。由于目前防病毒软件大多集成了部分漏洞扫描功能，并且涉密 网络中的涉密终端与互联网物理隔离，因此可以通过对涉密网络进行漏洞扫描，定 期下载升级补丁，并制定相应的安全策略来防护。电磁泄漏发射防护：信息设备在工作中产生的时变电流引起电磁泄漏发射，将设备处理的信息以电磁波的形式泄露在自由空间和传导线路上，通过接收这种电磁波并采取相应的信号处理技术可以窃取到信息。这种窃收方式危险小，不易被发现和察觉，随着我国信息化水平的不断提高，我国

7、涉密部门大量使用计算机、网络终端等办公自动化设备，涉密信息的安全保密受到严重威胁，这种威胁不像病毒攻击和网络攻击那样可以看到或者有迹可寻，它的隐蔽性强，危害极大。安全审计：安全审计是对信息系统的各种事件及行为实行监测、信息采集、分 析并针对特定事件及行为采取相应动作，XXXXXX 企业涉密信息系统没有有效的审计， 应用系统出现了问题之后无法追查，也不便于发现问题，造成了损失也很难对原因 进行定性。边界安全防护：计算机连接互联网存在着木马、病毒、黑客入侵的威胁，并且我国安全保密技术手段尚不完备、对操作系统和网络设备的关键技术尚未掌握，不足以抵挡高技术窃密，因此涉密网络必须与互联网物理隔离，而仅将

8、涉密系统置于独立的环境内进行物理隔离，并不能做到与互联网完全隔离，内部用户还可以通过ADSL、Modem、无线网卡等方式连接国际互联网，因此应该通过技术手段，对违规外联行为进行阻断，另外，涉密网络中的内部介入问题也为涉密网络带来安全威胁。数据库安全：数据库系统作为计算机信息系统的重要组成部分，数据库文件作 为信息的聚集体，担负着存储和管理数据信息的任务，其安全性将是信息安全的重 中之重。数据库的安全威胁主要分为非人为破坏和人为破坏，对于非人为破坏，主 要依靠定期备份或者热备份等，并在异地备份。人为破坏可以从三个方面来防护： 一、物理安全，保证数据库服务器、数据库所在环境、相关网络的物理安全性；

9、二、访问控制，在帐号管理、密码策略、权限控制、用户认证等方面加强限制；三、数 据备份，定期的进行数据备份是减少数据损失的有效手段，能让数据库遭到破坏后， 恢复数据资源。操作系统安全：操作系统的安全性在计算机信息系统的整体安全性中具有至关重要的作用，没有操作系统提供的安全性，信息系统和其他应用系统就好比“建筑在沙滩上的城堡”。我国使用的操作系统 95以上是 Windows，微软的 Windows 操作系统源码不公开，无法对其进行分析，不能排除其中存在着人为“陷阱”。现已发现存在着将用户信息发送到微软网站的“后门”。在没有源码的情形下，很难加强操作系统内核的安全性，从保障我国网络及信息安全的角度考

10、虑，必须增强它的安全性，因此采用设计安全隔离层中间件的方式，增加安全模块，以解燃眉之急。3.1.2 管理脆弱性任何信息系统都离不开人的管理，再好的安全策略最终也要靠人来实现，因此管理是整个网络安全中最为重要的一环，所以有必要认真地分析管理所存在的安全风险，并采取相应的安全措施。物理环境与设施管理脆弱性：包括周边环境、涉密场所和保障设施等。人员管理脆弱性：包括内部人员管理、外部相关人员管理等。设备与介质管理脆弱性：采购与选型、操作与使用、保管与保存、维修与报废等。运行与开发管理脆弱性：运行使用、应用系统开发、异常事件等。信息保密管理脆弱性：信息分类与控制、用户管理与授权、信息系统互联。责权不明、

11、管理混乱、安全管理制度不健全及缺乏可操作性等。当网络出现攻击行为、网络受到其它一些安全威胁(如：内部人员违规操作)以及网络中出现未加保护而传播工作信息和敏感信息时，系统无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供追踪攻击行为的线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对网络内出现的各种访问活动进行多层次记录，及时发现非法入侵行为和泄密行为。要建设涉密信息系统建立有效的信息安全机制，必须深刻理解网络和网络安全， 并能提供直接的安全解决方案，因此最可行的做法是安全管理制度和安全解决方案 相结合，并辅之以相应的安全管理工具。3.2 威胁分析3.2.1 威

12、胁源分析作为一个较封闭的内网，攻击事件的威胁源以内部人员为主，内部人员攻击可 以分为恶意和无恶意攻击，攻击目标通常为机房、网络设备、主机、介质、数据和 应用系统等，恶意攻击指 XXX 企业内部人员对信息的窃取；无恶意攻击指由于粗心、无知以及其它非恶意的原因而造成的破坏。对于 XXX 机关涉密信息系统来讲，内部人员攻击的行为可能有以下几种形式：1. 被敌对势力、腐败分子收买，窃取业务资料；2. 恶意修改设备的配置参数，比如修改各级 XXX 企业网络中部署的防火墙访问控制策略，扩大自己的访问权限；3. 恶意进行设备、传输线路的物理损坏和破坏；4. 出于粗心、好奇或技术尝试进行无意的配置，这种行为往

13、往对系统造成严重的后果，而且防范难度比较高。3.2.2 攻击类型分析1. 被动攻击：被动攻击包括分析通信流，监视未被保护的通讯，解密弱加密通讯，获取鉴别信息(比如口令)。被动攻击可能造成在没有得到用户同意或告知用户的情况下，将信息或文件泄露给攻击者。对于各级 XXX 企业网络来讲，被动攻击的行为可能有以下几种形式：1) 有意识的对涉密信息应用系统进行窃取和窥探尝试；2) 监听涉密信息网络中传输的数据包；3) 对涉密信息系统中明文传递的数据、报文进行截取或篡改；4) 对加密不善的帐号和口令进行截取，从而在网络内获得更大的访问权限；5) 对网络中存在漏洞的操作系统进行探测；6) 对信息进行未授权的

14、访问；2. 主动攻击：主动攻击包括试图阻断或攻破保护机制、引入恶意代码、偷窃或篡改信息。主动进攻可能造成数据资料的泄露和散播，或导致拒绝服务以及数据的篡改。对于 XXX 机关涉密信息系统来讲，主动攻击的行为可能有以下几种形式：1) 字典攻击：黑客利用一些自动执行的程序猜测用户名和密码，获取对内部应用系统的访问权限；2) 劫持攻击：在涉密信息系统中双方进行会话时被第三方(黑客)入侵，黑客黑掉其中一方，并冒充他继续与另一方进行会话，获得其关注的信息；3) 假冒：某个实体假装成另外一个实体，以便使一线的防卫者相信它是一个合法的实体，取得合法用户的权利和特权，这是侵入安全防线最为常用的方法；4) 截取

15、：企图截取并修改在本院涉密信息系统络内传输的数据，以及省院、地市院、区县院之间传输的数据；5) 欺骗：进行 IP 地址欺骗，在设备之间发布假路由，虚假 AI 冲数据包；6) 重放：攻击者对截获的某次合法数据进行拷贝，以后出于非法目的而重新发送：7) 篡改：通信数据在传输过程中被改变、删除或替代；8) 恶意代码：恶意代码可以通过涉密信息网络的外部接口和软盘上的文件、软件侵入系统，对涉密信息系统造成损害；9) 业务拒绝：对通信设备的使用和管理被无条件地拒绝。绝对防止主动攻击是十分困难的，因此抗击主动攻击的主要途径是检测，以及对此攻击造成的破坏进行恢复。3.3 风险的识别与确定3.3.1 风险识别物

16、理环境安全风险：网络的物理安全风险主要指网络周边环境和物理特性引起的网络设备和线路的不可用，而造成网络系统的不可用，如：1) 涉密信息的非授权访问，异常的审计事件；2) 设备被盗、被毁坏；3) 线路老化或被有意或者无意的破坏；4) 因电子辐射造成信息泄露；5) 因选址不当造成终端处理内容被窥视；6) 打印机位置选择不当或设置不当造成输出内容被盗窃；7) 设备意外故障、停电；8) 地震、火灾、水灾等自然灾害。因此，XXX 企业涉密信息系统在考虑网络安全风险时，首先要考虑物理安全风险。例如：设备被盗、被毁坏；设备老化、意外故障；计算机系统通过无线电辐射泄露秘密信息等。介质安全风险：因温度、湿度或其

17、它原因，各种数据存储媒体不能正常使用； 因介质丢失或被盗造成的泄密；介质被非授权使用等。运行安全风险：涉密信息系统中运行着大量的网络设备、服务器、终端，这些 系统的正常运行都依靠电力系统的良好运转，因电力供应突然中断或由于 UPS 和油机未能及时开始供电造成服务器、应用系统不能及时关机保存数据造成的数据丢失。因为备份措施不到位，造成备份不完整或恢复不及时等问题。信息安全保密风险：涉密信息系统中采用的操作系统(主要为 Windows2000server，WindowsXP)、数据库都不可避免地存在着各种安全漏洞，并且漏洞被发现与漏洞被利用之间的时间差越来越大，这就使得操作系统本身的安全性给整个涉

18、密信息系统带来巨大的安全风险。另一方面，病毒已成为系统安全的主要威胁之一， 特别是随着网络的发展和病毒网络化趋势，病毒不仅对网络中单机构成威胁，同时也对网络系统造成越来越严重的破坏，所有这些都造成了系统安全的脆弱性。涉密信息系统中网络应用系统中主要存在以下安全风险：1. 用户提交的业务信息被监听或修改；用户对成功提交的业务事后抵赖；2. 由于网络一些应用系统中存在着一些安全漏洞，包括数据库系统与 IIS 系统中大量漏洞被越来越多地发现，因此存在非法用户利用这些漏洞对专网中的这些服务器进行攻击等风险。服务系统登录和主机登录使用的是静态口令，口令在一定时间内是不变的，且在数据库中有存储记录，可重复

19、使用。这样非法用户通过网络窃听，非法数据库访问，穷举攻击，重放攻击等手段很容易得到这种静态口令，然后，利用口令，可对资源非法访问和越权操作。另外，在 XXX 企业涉密信息系统中运行多种应用系统， 各应用系统中几乎都需要对用户权限的划分与分配，这就不可避免地存在着假冒， 越权操作等身份认证漏洞。此外网络边界缺少防护或访问控制措施不力、以及没有在重要信息点采取必要的电磁泄漏发射防护措施都是导致信息泄露的因素。安全保密管理风险：再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。XXX 企业在安全保密管

20、理方面可能会存在以下风险：当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等)，无法进行实时的检测、监控、报告与预警。虽然制定了相关管理制度，但是缺少支撑管理的技术手段，使事故发生后，无法提供攻击行为的追踪线索及破案依据。因此，最可行的做法是管理制度和管理解决方案的结合。3.3.2 风险分析结果描述风险只能预防、避免、降低、转移和接受，但不可能完全被消灭。风险分析就是分析风险产生/存在的客观原因，描述风险的变化情况，并给出可行的风险降低计划。XXX 企业涉密信息系统的分级保护方案应该建立在风险分析的基础之上，根据层面脆弱和威胁可能性危害程度风险级别物理层自然灾害与环境事故、

21、电力中断重要设备被盗内外网信号干扰电磁辐射恶劣环境对传输线路产生电磁干扰采用纸制介质存储重要的机密信息线路窃听存储重要的机密信息移动介质随意放置网络层网络拓扑结构不合理造成旁路可以出现安全漏洞不同用户群、不同权限的访问者混在一起，不能实现有效的分离网络阻塞，用户不能实现正常的访问非法用户对服务器的安全威胁共享网络资源带来的安全威胁系统重要管理信息的泄漏传播黑客程序进行信息监听ARP 攻击威胁利用 TCP 协议缺陷实施拒绝服务攻击系统层操作系统存在着安全漏洞“脆弱性分析”和“威胁分析”中所得到的系统脆弱性和威胁的分析结果，详细分析它们被利用的可能性的大小，并且要评估如果攻击得手所带来的后果，然后

22、再根据涉密信息系统所能承受的风险，来确定系统的保护重点。本方案所采用的风险分析方法为“安全威胁因素分析法”，围绕信息的“机密性”、“完整性”和“可用性”三个最基本的安全需求，针对前述每一类脆弱性的潜在威胁和后果进行风险分析并以表格的形式表达，对于可能性、危害程度、风险级别，采用五级来表示，等级最高为五级()，如下表：系统配置不合理操作系统访问控制脆弱性网络病毒攻击合法用户主动泄密非法外连存储信息丢失应用层应用软件自身脆弱性应用系统访问控制风险应用软件安全策略、代码设计不当数据库自身的安全问题抵赖风险缺乏审计操作系统安全带来的风险数据库安全风险管理层松散的管理面临泄密的风险安全保密管理机构不健全

23、人员缺乏安全意识人员没有足够的安全技术的培训安全规则制度不完善表 3-1 XXX 企业涉密信息系统风险分析表第四章 安全保密需求分析4.1 技术防护需求分析4.1.1 机房与重要部位XXX 企业内网和外网已实现物理隔离，置于不同的机房内。内网机房、机要室等重要部位将安装电子监控设备，并配备了报警装置及电子门控系统，对进出人员进行了严格控制，并在其他要害部门安装了防盗门，基本满足保密标准要求。4.1.2 网络安全物理隔离：由于 XXX 企业的特殊性，XXX 企业已组建了自己的办公内网，与其他公共网络采取了物理隔离，满足保密标准要求。网络设备的标识与安放：XXX 企业现阶段，虽然在管理制度上对专网

24、计算机进行管理要求，但没有对设备的密级和主要用途进行标识，所以需要进行改进，并按照设备涉密属性进行分类安放，以满足保密标准要求。违规外联监控：XXX 企业专网建成后，网络虽然采用了物理隔离，但缺少对涉密计算机的违规外联行为的监控和阻断，例如内部员工私自拨号上网，通过无线网络上网等。所以为了防止这种行为的发生，在涉密网建设中需要一套违规外联监控软件对非授权计算机的上网行为进行阻断。网络恶意代码与计算机病毒防治：病毒对于计算机来说是个永恒的话题，就像人会感染病菌而生病一样，计算机也会感染病毒而导致异常，同时有些病毒的爆发还会导致计算机网络瘫痪、重要数据丢失等后果，XXX 机关充分考虑到这一问题，

25、配备了网络版杀毒软件，系统内的关键入口点以及各用户终端、服务器和移动计算机设备设置了防护措施，保证恶意代码与计算机病毒不会通过网络途径传播进入涉密网，同时也确保移动存储设备介入涉密网后，不会感染涉密网络。同时还制定了杀毒软件升级的手段，基本满足保密标准要求。网络安全审计：目前网络安全问题大多数出现在内部网络，而 XXX 企业涉密信息系统的建设却缺少这种安全防护和审计手段，因此为了保证内部网络安全，需要配置安全审计系统，对公共资源操作进行审计控制，了解计算机的局域网内部单台计算机网络的连接情况，对计算机局域网内网络数据的采集、分析、存储备案。通过实时审计网络数据流，根据用户设定的安全控制策略，对

26、受控对象的活动进行审计。安全漏洞扫描：解决网络层安全问题，首先要清楚网络中存在哪些隐患、脆弱点。面对大型网络的复杂性和不断变化的情况，依靠网络管理员的技术和经验寻找安全漏洞、做出风险评估，显然是不现实的。解决的方案是，寻找一种能扫描网络安全漏洞、评估并提出修改建议的网络安全扫描工具。所以本项目中需要配置安全漏洞扫描系统。信息传输密码保护：加密传输是网络安全重要手段之一。信息的泄露很多都是在链路上被搭线窃取，数据也可能因为在链路上被截获、被篡改后传输给对方，造成数据真实性、完整性得不到保证。如果利用加密设备对传输数据进行加密，使得在网上传的数据以密文传输，因为数据是密文。所以即使在传输过程中被截

27、获，入侵者也读不懂，而且加密机还能通过先进性技术手段对数据传输过程中的完整性、真实性进行鉴别。可以保证数据的保密性、完整性及可靠性。XXX 机关对异地数据传输进行加密，在区县院设置加密卡完成传数据局的保密。网络接口控制：在 BMB17 标准中明确规定，对系统中网络设备暂不使用的所有网络连接口采取安全控制措施，防止被非授权使用。所以仅靠管理制度是难以满足之一要求的，需要套管理软件对系统的 USB、串口并口、1394、Modem、网卡、软驱、光驱、红外线等设备端口进行控制，已满足保密标准的要求。电磁泄漏发射防护：计算机系统在工作时，系统的显示屏、机壳缝隙、键盘、 连接电缆和接口等处会发生信息的电磁

28、泄漏，泄漏方式为线路传导发射和空间辐射。利用计算机设备的电源泄漏窃取机密信息是国内外情报机关截获信息的重要途径， 因为用高灵敏度的仪器截获计算机及外部设备中泄漏的信息，比用其他方法获得情 报要准确、可靠、及时、连续的多，而且隐蔽性好，不易被对方察觉，因此防电磁 泄漏是信息安全的一个重要环节。XXXXXX 企业对电磁泄漏发射防护缺少技术保护手段，不满足保密标准要求，存在隐患，所以需要通过电磁泄漏防护措施，如：配置 线路传到干扰器，配置屏蔽机柜，配置低辐射设备（红黑隔离插座）、干扰器（视频干扰器），有效抵抗泄漏信息在空间扩散被截获对信息机密行的威胁。备份与恢复：是涉密网建设的重要组成部分，一旦出现

29、数据丢失或网络设备瘫痪所造成的损失是无法估量的。在涉密网建设中备份与恢复可以分为两方面的内容， 一是对涉密数据及关键业务数据的备份。可以通过在线备份、离线备份、异地备份 等形式完成。现在常用的是通过磁盘镜像、磁带机备份、刻录光盘等方式备份。二 是对关键设备的备份与恢复，可以采用双机热备的形式进行防护，并制定详细的恢 复方案和计划。4.1.3 主机安全目前 XXX 企业内网终端的安全保密建设只是安装有防病毒软件的客户端程序， 对主机安全的需求还有：（1） 需要部署国产防病毒软件客户端程序，并及时、统一升级病毒库，防止恶意代码影响计算机正常运行；（2） 需要部署保密管理系统，对终端外设及接口进行控制，对用户敏感操作行为进行审计，对移动存储介质的使用授权和管理，对可能发生的违规外联行为进行阻断和报警，阻止与工作无关的应用程序的运行。（3） 需要及时升级操作系统、数据库补丁，防止由于系统漏洞造成涉密信息失泄密；（4） 加强主机开机、系统登陆、远程管理等操作的身份鉴别机制，根据标准要求执行密码设置或采取更为有效的身份鉴别措施；（5） 需要安装视频信息保护机，防止终端显示器设备电磁发射泄漏导致的失泄密风险；（6） 需要安装红黑电源隔离插座，有效隔离红黑设备的供电电