启明星辰网络安全等级保护第三级建设整改方案v2.0.docx
《启明星辰网络安全等级保护第三级建设整改方案v2.0.docx》由会员分享，可在线阅读，更多相关《启明星辰网络安全等级保护第三级建设整改方案v2.0.docx（101页珍藏版）》请在冰点文库上搜索。
启明星辰网络安全等级保护（第三级）建设/整改方案v2.0
北京启明星辰信息安全技术有限公司
2017.05.
White
启明星辰网络安全等级保护（第三级）建设/整改方案v2.0
Venus
版权声明
北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。
未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
免责条款
本文档依据现有信息制作，其内容如有更改，恕不另行通知。
北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
信息反馈
如有任何宝贵意见，请反馈：
信箱：
北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦
邮编：
100193电话：
010-82779088传真：
010-82779000
您可以访问启明星辰网站：
获得最新技术和产品信息。
版本变更
版本
修订时间
修订人
修订类型
修订章节
修订内容
20170517
2017-05-17
尚高峰
创建
―――
文档目录框架构建。
20170524
2017-05-24
尚高峰
―――
———
文档首次完稿。
20170601
2017-06-01
尚高峰
修改
全部
完成首次整体校稿。
*修订类型分为：
创建增加修改删除。
*对该文件内容的增加、删除或修改均需填写此记录，记载变更信息，保证文档可追溯性。
*本文档为OBG解决方案中心输出文档，供公司内部人员阅读、交流、项目运作。
目录
版权声明 1
免责条款 1
信息反馈 1
版本变更 1
1 概述 8
1.1 项目概况 8
1.2 方案设计说明 8
1.3 方案设计参考依据 9
1.3.1 相关政策文件及法律法规 9
1.3.2 相关信息安全标准 9
2 方案总体设计 11
2.1 方案设计原则 11
2.1.1 分区分域防护原则 11
2.1.2 均衡性保护原则 11
2.1.3 技术与管理相结合 11
2.1.4 动态调整与可扩展 11
2.1.5 网络安全三同步原则 11
2.2 方案设计思路 12
3 安全需求分析 13
3.1 安全技术需求 13
3.1.1 物理和环境安全需求 13
3.1.2 网络和通信安全需求 14
3.1.3 设备和计算安全需求 15
3.1.4 应用和数据安全需求 15
3.2 安全管理需求 16
3.2.1 安全策略和管理制度 16
3.2.2 安全管理机构和人员 17
3.2.3 安全建设管理 17
3.2.4 安全运维管理 17
4 安全策略和方针设计 19
4.1 总体安全方针和策略设计 19
4.1.1 总体安全方针设计 19
4.1.2 总体安全策略设计 19
4.2 安全策略具体设计 20
4.2.1 物理和环境安全策略 20
4.2.2 网络和通信安全策略 21
4.2.3 设备和计算安全策略 22
4.2.4 应用和数据安全策略 22
5 整体安全建设方案 24
5.1 物理和环境安全建设 24
5.1.1 机房场地的选择 24
5.1.2 机房出入控制 24
5.1.3 防盗窃和防破坏 24
5.1.4 防雷击 24
5.1.5 防火 24
5.1.6 防水和防潮 25
5.1.7 防静电 25
5.1.8 温湿度控制 25
5.1.9 电力供应 25
5.1.10 电磁防护 25
5.2 安全技术体系设计方案 26
5.2.1 安全计算环境防护设计 26
5.2.2 安全区域边界防护设计 29
5.2.3 安全通信网络防护设计 33
5.2.4 安全管理中心设计 34
5.3 安全管理体系设计方案 34
5.3.1 安全策略和管理制度设计 34
5.3.2 安全管理机构和人员管理设计 36
5.3.3 安全建设管理 36
5.3.4 安全运维管理 36
6 安全防护部署设计方案 44
6.1 异常流量及抗DDoS攻击系统 44
6.1.1 产品特性 44
6.1.2 产品部署 47
6.2 下一代防火墙/UTM系统 48
6.2.1 产品特性 48
6.2.2 产品部署 50
6.3 应用交付控制系统 50
6.3.1 产品特性 50
6.3.2 产品部署 53
6.4 入侵防御系统 53
6.4.1 产品特性 53
6.4.2 产品部署 54
6.5 VPN综合安全网关 54
6.5.1 产品特性 54
6.5.2 产品部署 58
6.6 入侵检测系统 58
6.6.1 产品特性 58
6.6.2 产品部署 58
6.7 APT攻击检测系统 58
6.7.1 产品特性 58
6.7.2 产品部署 62
6.8 无线安全管理系统 62
6.8.1 产品特性 62
6.8.2 产品部署 63
6.9 终端安全管理系统 63
6.9.1 产品特性 64
6.9.2 产品部署 66
6.10 漏洞扫描系统 66
6.10.1 产品特性 66
6.10.2 产品部署 67
6.11 Web应用安全防护系统 67
6.11.1 产品特性 67
6.11.2 产品部署 69
6.12 主机安全加固系统 69
6.13 安全运维网关 69
6.13.1 产品特性 69
6.13.2 产品部署 72
6.14 安全配置核查系统 72
6.14.1 产品特性 72
6.14.2 产品部署 75
6.15 网络管理监控系统 75
6.16 安全审计系统 75
6.16.1 Web应用审计 75
6.16.2 数据库审计 78
6.16.3 综合日志审计 82
6.17 综合安全管理平台 83
6.17.1 产品特性 83
6.17.2 产品部署 91
6.18 专业安全服务 91
6.18.1 安全风险评估 92
6.18.2 渗透测试服务 92
6.18.3 安全加固服务 93
6.18.4 代码审计服务 94
6.18.5 应急处理服务 94
7 方案与等保要求对应 96
北京启明星辰信息安全技术有限公司
100
1概述
1.1项目概况
根据实际项目情况编写。
1.2方案设计说明
本方案是根据《信息安全技术网络安全等级保护基本要求第1部分：
安全通用要求》的基本要求和安全目标，参照《信息安全技术网络安全等级保护设计技术要求第1部分：
通用设计要求》具体内容，针对第三级系统而提出的安全保护等级设计方案。
1.3方案设计参考依据
本方案构建设计与编制主要参考下述法律、法规和安全标准，具体如下：
1.3.1相关政策文件及法律法规
Ø《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）
Ø《国家信息化领导小组关于加强信息安全保障工作的意见》 （中办发[2003]27号）
Ø《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）
Ø《关于开展信息系统安全等级保护基础调查工作的通知》（公信安［2005］1431号）
Ø《信息安全等级保护管理办法》（公通字[2007]43号）
Ø《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）
Ø《关于开展信息安全等级保护安全建设整改工作的指导意见（公信安[2009]1429号）》
Ø《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号）
Ø《全国人民代表大会常务委员会关于加强网络信息保护的决定》
Ø《中华人民共和国网络安全法》
1.3.2相关信息安全标准
Ø《信息技术安全技术信息安全管理体系要求》（ISO/IEC27001:
2013）
Ø《信息技术安全技术信息安全控制实用规则》（ISO/IEC27002：
2013）
Ø《计算机信息系统安全保护等级划分准则》（GB17859-1999）
Ø《信息安全技术信息安全风险评估规范》（GB/T20984-2007）
Ø《信息安全技术网络安全等级保护基本要求第1部分：
安全通用要求》（GB/T22239.1-20XX）
Ø《信息安全技术信息系统安全等级保护定级指南》（GB/T22240－2008）
Ø《信息安全技术网络安全等级保护设计技术要求第1部分：
通用设计要求》（GB/T25070.1-20XX）
Ø号）《信息安全技术信息系统安全等级保护实施指南》（GB-T25058-20XX）
Ø《信息安全技术网络安全等级保护测评要求第1部分：
安全通用要求》（GB-T28448.1-20XX）
Ø信息安全技术网络安全等级保护测评过程指南（GB-T28449-20XX）
2方案总体设计
2.1方案设计原则
2.1.1分区分域防护原则
任何安全措施都不是绝对安全可靠的，为保障攻破一层或一类保护的攻击行为而不会破坏整个信息系统，以达到纵深防御的安全目标，需要合理划分安全域，综合采用多种有效安全保护措施，实施多层、多重保护。
2.1.2均衡性保护原则
对任何类型网络，绝对安全难以达到，也不一定是必须的，需正确处理安全需求、安全风险与安全保护代价的关系。
因此，结合适度防护实现分等级安全保护，做到安全性与可用性平衡，达到技术上可实现、经济上可执行。
2.1.3技术与管理相结合
信息安全涉及人、技术、操作等方面要素，单靠技术或单靠管理都不可能实现。
因此在考虑信息信息安全时，必须将各种安全技术与运行管理机制、人员思想教育、技术培训、安全规章制度建设相结合。
2.1.4动态调整与可扩展
由于网络安全需求会不断变化，以及环境、条件、时间的限制，安全防护一步到位，一劳永逸地解决信息安全问题是不现实的。
信息安全保障建设可先保证基本的、必须的安全保护，后续再根据应用和网络安全技术的发展，不断调整安全策略，加强安全防护力度，以适应新的网络安全环境，满足新的信息安全需求。
2.1.5网络安全三同步原则
信息系统在新建、改建、扩建时应当同步建设信息安全设施，确保其具有支持业务稳定、持续运行性能的同时，保证安全技术措施同步规划、同步建设、同步使用，以保障信息安全与信息化建设相适应。
2.2方案设计思路
参考等级保护安全设计要求，本方案的设计思路如下：
Ø根据信息系统的安全定级结果，明确该等级对应的总体防护描述；
Ø根据系统和子系统划分结果、安全定级结果将保护对象归类，并组成保护对象框架；
Ø根据方案的设计目标来建立整体保障框架，来指导整个等级保护方案的设计，明确关键的安全要素、流程及相互关系；在安全措施框架细化后将补充到整体保障框架中；
Ø根据此等级受到的威胁对应出该等级的保护要求（即需求分析），并分布到物理和环境、网络和通信、设备与计算、应用和数据等层面上；
Ø根据由威胁引出的等级保护基本要求、等级保护实施过程、整体保障框架来确定总体安全策略（即总体安全目标），再根据等级保护的要求将总体安全策略细分为不同的具体策略（即具体安全目标），包括安全域内部、安全域边界和安全域互联策略；
Ø根据保护对象框架、等级化安全措施要求、安全措施的成本来选择和调整安全措施；根据安全技术体系和安全管理体系的划分，各安全措施共同组成了安全措施框架；
Ø各保护对象根据系统功能特性、安全价值以及面临威胁的相似性来进行安全区域的划分；各安全区域将保护对象框架划分成不同部分，即各安全措施发生作用的保护对象集合。
Ø根据选择好的各保护对象安全措施、安全措施框架、实际的具体需求来设计安全解决方案。
3安全需求分析
3.1安全技术需求
3.1.1物理和环境安全需求
物理和环境安全主要影响因素包括机房环境、机柜、电源、服务器、网络设备和其他设备的物理环境。
该层面为基础设施和业务应用系统提供了一个生成、处理、存储和传输数据的物理环境。
具体安全需求如下：
Ø由于机房容易遭受雷击、地震和台风等自然灾难威胁，需要通过对物理位置进行选择，及采取防雷击措施等来解决雷击、地震和台风等威胁带来的问题；
Ø由于机房容易遭受水患和火灾等灾害威胁，需要采取防水、防潮、防火措施来解决水患和火灾等威胁带来的安全威胁；
Ø由于机房容易遭受高温、低温、多雨等原因引起温度、湿度异常，应采取温湿度控制措施来解决因高温、低温和多雨带来的安全威胁；
Ø由于机房电压波动影响，需要合理设计电力供应系统来解决因电压波动带来的安全威胁；
Ø针对机房供电系统故障，需要合理设计电力供应系统，如：
购买UPS系统、建立发电机机房，铺设双电力供电电缆来保障电力的供应，来解决因供电系统故障带来的安全威胁；
Ø针对机房容易遭受静电、设备寄生耦合干扰和外界电磁干扰，需要采取防静电和电磁防护措施来解决静电、设备寄生耦合干扰和外界电磁干扰带来的安全威胁；
Ø针对机房容易遭受强电磁场、强震动源、强噪声源等污染，需要通过对物理位置的选择、采取适当的电磁防护措施，来解决强电磁场、强震动源、强噪声源等污染带来的安全隐患；
Ø针对利用非法手段进入机房内部盗窃、破坏等安全威胁，需要通过进行环境管理、采取物理访问控制策略、实施防盗窃和防破坏等控制措施，来解决非法手段进入机房内部盗窃、破坏等带来的安全问题；
Ø针对利用工具捕捉电磁泄漏的信号，导致信息泄露的安全威胁，需要通过采取防电磁措施，来解决电磁泄漏带来的安全问题。
3.1.2网络和通信安全需求
网络和通信层指利用网络设备、安全设备、服务器、通信线路以及接入链路等设备或部件共同建成的、可以用于在本地或远程传输数据的网络环境。
具体安全需求如下：
Ø针对网络架构设计不合理而影响业务通信或传输问题，需要通过优化设计、安全域改造完成。
Ø针对利用通用安全协议、算法、软件等缺陷获取信息或破坏通信完整性和保密性，需要通过数据加密技术、数据校验技术来保障。
Ø针对内部人员未授权违规连接外部网络，或者外部人员未经许可随意接入内部网络而引发的安全风险，以及因使用无线网络传输的移动终端而带来的安全接入风险等问题，需要通过违规外联、安全准入控制以及无线安全控制措施来解决。
Ø针对通过分布式拒绝服务攻击恶意地消耗网络、操作系统和应用系统资源，导致拒绝服务或服务停止的安全风险，需要通过抗DDoS攻击防护、服务器主机资源优化、入侵检测与防范、网络结构调整与优化等手段来解决。
Ø针对攻击者越权访问文件、数据或其他资源，需要通过访问控制、身份鉴别等技术来解决。
Ø针对利用网络协议、操作系统或应用系统存在的漏洞进行恶意攻击（如碎片重组，协议端口重定位等），需通过网络入侵检测、恶意代码防范等技术措施来解决。
Ø针对利用网络结构设计缺陷旁路安全策略，未授权访问网络，需通过访问控制、身份鉴别、网络结构优化和调整等综合方法解决。
Ø针对众多网络设备、安全设备、通信线路等基础设施环境不能有效、统一监测、分析，以及集中安全策略分发、漏洞补丁升级等安全管理问题，需要通过集中安全管控机制来解决。
3.1.3设备和计算安全需求
设备和计算安全包括各类网络设备、服务器、管理终端和其他办公设备系统层的安全风险。
主要涵盖两个方面，一是来自系统本身的脆弱性风险；另一个是来自用户登录帐号、权限等系统使用、配置和管理等风险。
具体如下：
Ø针对用户帐号权限设置不合理、帐号暴力破解等等安全风险，需要通过帐号管理、身份鉴别、访问控制等技术手段解决。
Ø针对在网页浏览、文档传递、介质拷贝或文件下载、邮件收发时而遭受恶意代码攻击的安全风险，需通过恶意代码防范技术手段解决。
Ø针对操作用户对系统错误配置或更改而引起的安全风险，需通过安全配置核查、终端安全管控等技术手段解决。
Ø针对设备系统自身安全漏洞而引起被攻击利用的安全风险，需要通过漏洞扫描技术、安全加固服务等手段解决。
Ø针对通过恶意代码或木马程序对主机、网络设备或应用系统进行攻击的安全威胁，需通过恶意代码防护、入侵检测、身份鉴别、访问控制、安全审计等技术手段解决。
3.1.4应用和数据安全需求
应用和数据安全涉及业务应用系统及重要数据传输、存储的安全问题。
具体安全需求如下：
Ø针对利用各种工具获取应用系统身份鉴别数据，进行分析获得鉴别内容，从而未授权访问、使用应用软件、文件和数据的安全风险，需要采用两种或两种以上鉴别方式来，可通过应用系统开发或第三方辅助系统来保证对应用系统登录鉴别安全；
Ø针对应用系统缺陷、接口设计等导致被恶意攻击利用、数据丢失或运行中断而影响服务连续性的安全风险，需要通过对产品采购、自行软件开发、外包软件和测试验收进行流程管理，同时保证应用软件具备自我容错能力；
Ø针对应用系统过度使用内存、CPU等系统资源，需要对应用软件进行实时的监控管理，同时对系统资源进行管控来解决；
Ø针对由于应用系统存储数据而引发的数据损毁、丢失等数据安全问题，需通过本地数据备份和异地容灾备份等手段来解决；
Ø针对通过伪造信息进行应用系统数据的窃取风险，需要加强网络边界完整性检查，加强对网络设备进行防护、对访问网络的用户身份进行鉴别，加强数据保密性来解决。
3.2安全管理需求
3.2.1安全策略和管理制度
安全策略和管理制度涉及安全方针、总体安全策略、安全管理制度、审批流程管理和安全检查管理等方面。
其安全需求如下：
Ø需要制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等；
Ø需要建立安全管理制度，对管理活动进行制度化管理，制定相应的制定和发布制度；
Ø需要对安全管理制度进行评审和修订，不断完善、健全安全制度；
Ø需要建立相应的审批部门，进行相关工作的审批和授权；
Ø需要建立协调机制，就信息安全相关的业务进行协调处理；
Ø需要建立审核和检查部门，安全人员定期的进行全面的安全检查；
Ø需要建立恰当的联络渠道，进行沟通和合作，进行事件的有效处理；
Ø需要建立审核和检查的制度，对安全策略的正确性和安全措施的合理性进行审核和检查；
Ø需要建立备案管理制度，对系统的定级进行备案；
Ø需要建立产品采购，系统测试和验收制度，确保安全产品的可信度和产品质量；
3.2.2安全管理机构和人员
安全管理机构和人员管理涉及安全部门设置、人员岗位设置、人员安全管理等方面。
其安全需求如下：
Ø需要建立专门安全职能部门，设置安全管理岗位，配备安全管理人员、网络管理人员、系统管理人员；
Ø需要对人员的录用进行必要的管理，确保人员录用的安全；
Ø需要对人员离岗进行有效的管理，确保人员离岗不会带来安全问题；
Ø需要对人员考核进行严格的管理，提高人员安全技能和安全意识；
Ø需要对人员进行安全意识的教育和培训，提高人员的安全意识；
Ø需要对第三方人员进行严格控制，确保第三方人员访问的安全。
3.2.3安全建设管理
安全建设管理涉及安全方案设计、安全集成建设、变更控制管理、工程质量管理，以及应急事件处置等方面。
其安全需求如下：
Ø需要具有总体安全方案设计、安全评审的流程和管理能力；
Ø密码算法和密钥的使用需符合国家密码管理的规定；
Ø需要任何变更控制和设备重用要申报和审批，对其实行制度化管理；
Ø需要对安全产品质量进行验证测试的能力；
Ø需要安全工程的实施质量和安全功能的实现管理能力；
Ø需要对信息安全事件实行分等级响应、处置的流程管理能力。
3.2.4安全运维管理
安全运维管理涉及机房运行管理、资产管理、系统安全运行维护管理等方面。
其安全需求如下：
Ø需要保证机房具有良好的运行环境；
Ø需要对信息资产进行分类标识、分级管理；
Ø需要对各种软硬件设备的选型、采购、使用和保管等过程进行控制；
Ø需要各种网络设备、服务器正确使用和维护；
Ø需要对网络、操作系统、数据库系统和应用系统进行安全管理；
Ø需要定期地对通信线路进行检查和维护；
Ø需要硬件设备、存储介质存放环境安全，对其使用进行控制和保护；
Ø需要对支撑设施、硬件设备、存储介质进行日常维护和管理；
Ø需要对系统使用手册、维护指南等工具文档进行管理；
Ø需要在事件发生后能采取积极、有效的应急策略和措施。
4安全策略和方针设计
4.1总体安全方针和策略设计
4.1.1总体安全方针设计
4.1.1.1安全使命
构建信息安全保障体系应为网络基础设施、业务应用系统安全稳定运营提供服务支撑，脱离业务应用系统安全保障的防护体系就会失去其真正的意义。
因此，构建基于安全等级保护为目标的信息安全保障体系最根本的使命是能够有效保证业务网络基础设施、系统和服务的正常、持续运行。
4.1.1.2安全目标
信息安全建设应保证基础网络设施及其承载的业务应用系统的机密性、完整性和可用性，以及可控性和可保证性，是信息安全保障建设的重要目标，同时确保信息系统安全保护能力符合国家第三级安全保护等级的要求。
4.1.2总体安全策略设计
安全策略是依据国家安全政策、法律法规和安全标准，结合实际安全需求制定总体安全保障方针和目标。
安全策略可以分为安全技术策略和安全管理策略，安全技术策略需要集合相应的安全技术或安全系统，演变为安全技术规则，适配到相应的系统或设备上。
安全管理策略需要根据具体情况，演变为具体的安全管理制度，落实到相应的职能管理部门和人员。
4.1.2.1安全管理策略
安全管理策略包括建立信息安全领导小组、安全管理制度体系，以及安全运维维护体系等。
具体如下：
Ø建立信息安全领导小组，形成符合等级保护第三级要求的信息安全组织体系职责；
Ø建立信息安全管理制度体系，对安全管理和执行过程通过安全策略、管理制度、操作规范等文件方式加以固化；根据实际安全需求，明确机构和人员的相应责任；
Ø建立符合信息系统全生命周期的安全运维要求，包括安全需求、安全设计、安全建设和安全运行各阶段相适应的安全要求；
Ø建立符合等级保护第三级要求的系统资源管理、安全运行管理、应急响应管理、安全评估管理的安全运行支撑体系。
4.1.2.2安全技术策略
安全技术策略是以安全计算环境、安全区域边界和安全通信网络为保护对象框架，以安全管理中心为安全运营平台，以国家等级保护第三级要求为控制目标，覆盖网络基础设施、主机/终端系统、业务应用系统、数据安全各层面的安全技术体系。
4.2安全策略具体设计
按照划分等级保护、纵深防御的保护思想，安全策略设计涵盖物理和环境安全策略、安全计算环境策略、安全区域边界策略、安全通信网络策略，及安全管理中心策略等五个方面。
4.2.1物理和环境安全策略
物理和环境安全策略将通过对物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等方面来实现物理和环境安全保护。
具体如下：
Ø物理位置选择应能够对抗中等强度地震、台风等自然灾难造成破坏，防止雷击事件导致大面积设备被破坏、防止强电磁场、强震动源和强噪声源等污染而
升级会员 