某单位信息安全等级保护 三（级） 网络安全整体解决方案 北京X X 科技股份有限 司 0 目 录 第一章项 目概述 11 1.1 项 目概述 11 1 . 2 项 目建设背景 11 1.2 . 1 法律要求 12 1.2 . 2 政策要求 13 1. 2. 3 标准要求 14 1 . 3 项 目建设 目标及内容 18 1.3.1 项 目建设 目标 18 1.3.2 建设内容 18 第二章现状与差距分析 19 2. 1 现状概述 19 2. 1. 1 信息系统现状 19 2. 1. 1. 1 网络系统现状 19 2. 1. 1.2主机系统现状20 2. 1. 1.3应用系统现状21 2.2 现状与差距分析 21 2. 2. 1 物理安全现状与差距分析21 2. 2. 2 网络安全现状与差距分析28 2. 2. 3 主机安全现状与差距分析39 2. 2. 4 应用安全现状与差距分析49 2. 2. 5 数据安全现状与差距分析59 2. 2. 6 安全管理现状与差距分析62 2. 3 安全风险分析总结66 2. 3. 1 基础网络安全风险66 2. 3. 2 边界安全风险 66 2. 3. 3 终端安全风险 67 2. 3. 4 服务端安全风险 68 2. 3 .5应用安全风险 68 2. 3. 6 数据安全风险 68 2. 3. 7 物理安全风险 69 2. 3. 8 管理安全风险 69 2. 4 安全需求总结 70 2.4. 1 技术安全需求70 2.4. 1. 1 基础网络安全需求70 2.4. 1.2边界安全需求70 2.4. 1.3终端安全需求71 2.4. 1.4服务端安全需求71 2.4. 1.5数据安全需求71 2. 4 .2通用物理安全需求 72 2.4.3通用管理安全需求 72 2. 5 综合整改建议 73 2. 5. 1 技术措施综合整改建议 73 2. 5. 2 安全管理综合整改建议 85 第三章 安全建设 目标 87 第四章方案总体设计88 4 . 1 信息安全保障体系 88 4. 1. 1 总体框架概述 88 4. 1. 2 信息安全管理体系 89 4. 1.3信息安全技术体系 91 2 4. 1 . 4 信息安全运行体系92 4. 2 安全域体系规划设计93 4. 2. 1 安全域划分93 4. 2 . 2 边界确定97 4. 3 安全防护功能设计98 4. 3. 1 基础网络安全设计98 4. 3. 2 边界安全设计98 4. 3. 3 计算环境安全设计 100 4. 3. 4 终端安全设计 103 4. 3. 4 . 1 终端安全管理系统设计 103 4. 3. 4. 2 恶意代码防范设计 105 4. 3 . 5 安全管理中心设计 106 4 .4 云支撑平台 107 4. 4 . 1 云支撑平台整体设计 107 4 .4 . 1. 1 规划原则 107 4. 4. 1 . 2 顶层设计108 4 .4 . 1 . 3 技术路线 云支撑平台架构设计 112 4. 4. 2. 1 云支撑平台架构设计 112 4. 4. 2. 2 虚拟化资源池建设 114 4. 4 . 3 云计算管理平台 115 4. 4. 3. 1 资源管理平台 118 4. 4. 3. 2 x86 资源管理 119 4. 4. 3. 3 物理机资源管理 125 4. 4. 3. 4 小型机管理 127 3 4. 4. 3. 5 存储管理 127 4. 4. 3. 6 网络资源管理 129 4. 4. 3. 7 监控与告警管理 132 4. 4. 3. 8 资源管理 135 4. 4 .4 支撑平台特点 138 4. 4. 4. 1 统一管理IT系统 139 4. 4. 4. 2 异构资源支持 141 4. 4. 4. 3 完善的安全机制 141 4. 4. 5 云平台安全设计 142 4. 4. 5. 1 云平台安全模型142 4. 4. 5. 2 云平台安全建设思路 143 第五章方案详细设计145 5. 1 基础网络安全设计 145 5. 1. 1 结构安全146 5. 1. 2 网络设备防护 146 5.2 边界安全设计 147 5. 2 . 1互联网接入域边界安全设计147 5. 2 .2 互联网域与办 域边界安全设计148 5. 2. 3 办 域与综合制作域边界安全设计149 5. 2. 4 综合制作域与新闻制播域边界安全设计150 5. 2 .5综合制作域与播出域边界安全设计150 5. 3 身份鉴别设计 150 5. 3. 1 身份鉴别机制 151 5. 3. 1. 1 用户标识 151 5. 3. 1.2用户鉴别 151 4 5. 3 . 2 身份鉴别技术 152 5. 3. 2. 1 口令 152 5. 3. 2. 2 令 牌 152 5. 3. 2. 3 生物特征识别 152 5. 3. 2. 4 数字证书 153 5 . 4 自主访问控制设计 153 5. 4. 1 制作工作站 154 5. 4 . 2 数据库服务器 154 5. 4 . 3 非接 口类服务器 154 5. 4 . 4 播出站 155 5. 5 标记与强制访问控制设计 155 5. 6 安全审计设计 156 5. 6. 1 网络安全审计 157 5. 6 . 2 主机安全审计 158 5. 6 . 3 数据库安全审计 159 5. 6. 4 运维安全审计 160 5. 6 . 5 应用系统安全审计 163 5 . 7 入侵防范设计 163 5. 7. 1 漏洞扫描 164 5. 7. 2 安全配置 164 5. 8 恶意代码防范设计 164 5 .9 应用系统安全改造 165 5. 9. 1 资源控制 165 5. 9. 2 通信完整性 166 5. 9. 3 软件容错 166 5 5. 1 0 安全管理中心设计 167 5. 10. 1 统一身份认证系统设计168 5. 10. 1. 1 系统架构168 5. 10. 1. 2 功能设计 169 5. 10. 1. 3 接口设计173 5. 10. 1.4数据传输、保存过程中的安全性173 5. 10.2安全管理平台系统设计173 5. 10. 2. 1 系统架构 174 5. 10. 2. 2 功能设计 174 5. 10. 2. 3 接口设计 191 5. 11 XX 单位信息安全拓扑图192 5. 1 2 信息安全物理体系设计195 5 . 13 安全设备选型及清单198 5. 13. 1 安全设备选型198 5. 13. 1. 1 选型要求198 5. 13. 1.2选型建议 200 5. 13.2 XX单位安全设备清单201 第六章安全整体规划216 6. 1 建设指导 216 6. 1. 1 指导原则 216 6.1.2安全防护体系设计整体架构 217 6.2 安全技术规划 219 6.2. 1 安全建设规划拓朴图 219 6. 2. 2 安全设备功能 220 6. 2. 2. 1 防火墙 220 6 6. 2. 2. 2 WEB应用防火墙220 6. 2. 2. 3 上网行为管理及流控221 6. 2. 2. 4 主机安全加固软件221 6. 2. 2. 5 终端管理系统222 6. 2. 2. 6 堡垒主机223 6. 2. 2. 7 数据库审计系统224 6. 2. 2. 8 日志审计系统225 6. 2.2.9安全管理平台 S（0C） 225 6. 2. 2. 10 APT高级威胁分析平台225 6.3 建设 目标规划226 第七章工程建设228 7. 1 工程一期建设228 7. 1. 1 区 划分228 7. 1. 2 网络环境改造228 7. 1.3 网络边界安全加固229 7. 1.4 网络及安全设备部署230 7. 1.4. 1 防火墙系统部署230 7. 1.4.2 WEB应用防火墙235 7. 1. 4. 3 上网行为管理及流控237 7. 1. 4. 4 主机安全加固系统部署240 7. 1.4.5综合 日志审计243 7. 1.4.6堡垒主机247 7. 1. 4. 7 数据库审计系统部署252 7. 1. 4. 8 终端管理系统部署257 7. 1. 5 安全管理体系建设服务261 7 7. 1. 5. 1 安全管理机构概述 261 7. 1. 5. 2 XX 单位信息安全规划组织架构和职责 267 7. 1. 5. 3 信息安全领导小组 268 7. 1.5.4信息管理部 269 7. 1. 5. 5 安全维护组 270 7. 1.5.6安全监控中心 271 7. 1. 5. 7 安全管理制度规划 272 7. 1.5.8安全管理制度梳理服务 273 7. 1.6安全加固服务 277 7. 1. 6. 1 信息安全风险评估 278 7. 1.6.2风险评估服务内容 279 7. 1. 6. 3 主机安全评估服务 279 7. 1.6.4数据库安全评估 281 7. 1.6.5网络安全评估 283 7. 1. 6. 6 渗透测试 284 7. 1.6.7安全加固 284 7. 1. 7 应急预案和应急演练 285 7.1.8安全等保认证协助服务 285 7. 2 工程二期建设286 7. 2. 1 安全运维管理平台 （soc） 286 7. 2. 2 APT高级威胁分析平台 290 7. 3 产品清单292 第八章方案与标准符合性分析292 8. 1 标准符合性列表292 8. 2 残留风险及控制措施298 8 第九章方案预算298 第十章方案预估效果 299 10. 1 工程预期效果299 9 图表目录 图表 1 现状拓扑图 20 图表 2 物理安全现状 21 图表 3 网络安全现状 28 图表 4 主机安全现状 39 图表 5 应用安全现状 49 图表 6 数据安全现状 59 图表 7 安全管理现状 62 图表 8 综合技术措施整改建议表格 73 图表 9 综合安全管理体系整改建议表格 85 图表 10 安全保障体系图 217 图表 1 1 安全建设规划拓扑图 219 图表 12 建设规划 226 图表 13 信息安全组织架构示意图 267 图表 14 安全管理制度规划示意图 273 图表 15 产品清单表 292 图表 16 方案预算表 298 10 第一章项 目概述 1.1 项目概述 X X 单位是人民的职能部 门，贯彻执行国家有关机关事务工作 的方针政策，拟订省机关事务工作 的政策、规划和规章制度并组织实 施 ，负责省机关事务的管理、保障、服务工作 。 在面对现在越来越严重的网络安全态势下，X X 单位积极响应国家 相关政策法规 ，积极开展信息安全等级保护建设 。对 自有网络安全态 势进行 自我核查，补齐等保短板，履行安全保护义务 。 项 目目标 ：打造一个可信、可管、可控 、可视 的安全网络环境， 更好的为机关各部 门及领导者和公务人员提供工作和生活条件 ，更好 的保障各项行政活动正常进行。 1.2 项目建设背景 机关后勤管理工作因为其 内部服务的特殊性，一直比较少地 为社会公众 关注或重视 。机关后勤管理包括对物资、财务 、环境 、 生活 以及各种服务项 目在 内的事务工作的管理，是行政机关办公室管 理的重要一环 ，为机关各部 门以及领导者和公务人员提供工作和生活 条件 ，是保障各项行政活动正常进行的物质基础 。 随着这几年地区经济的高速发展和行政职能分配管理的需要, 使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管 理工作变得十分繁重 。尤其是在新增的一些业务管理工作方面， 如对 机关单位 固定资产的管理、房屋 出租、分配 的管理等，同时，随 着这几年 国家对资产管理的重视 ，信息化建设从原来注重财务管理信 息化逐渐 向国有资产管理信息化发展，作为机关事务管理的机构，正 11 承担着这样一种责任和使命 。同时在面对现在不容乐观的整体安全态 势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个 社会和 国家发展的必然趋势。 1.2.1 法律要求 在 2017年 6 月 1 日颁发 的 《中华人民共和国网络安全法》中明确 规定了法律层面的网络安全 。具体如下： “没有网络安全 ，就没有 国家安全 ”， 《网络安全法》第二十 一条 明确规定 “国家实行网络安全等级保护制度 ”。各网络运营者应 当 按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、 安全检查等工作 。除此之外， 《网络安全法》中还从网络运行安全、 关键信息基础设施运行安全、网络信息安全等对 以下方面做了详细规 定 ： 网络 日志留存 ：第二十一条还规定，网络运营者应当制定内部 安全管理制度和操作规程 ，确定网络安全负责人，落实网络安全保护 责 任 ;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技 术措施 ;采取监测、记录网络运行状态、网络安全事件的技术措施，留 存不少于六个月的相关网络 日志 采取数据分类、重要数据备份和加密 等措施 。未履行上述网络安全保护义务的，会被依照此条款责令整改， 拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下 罚款，对直接负责的主管人员处五千元 以上五万元 以下罚款 。 漏洞处置 ：第二十五条规定，网络运营者应当制定网络安全事件 应急预案 ，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等 安全风险 ;在发生危害网络安全的事件时，立即启动应急预案，采取相 应 的补救措施 ，并按照规定向有关主管部 门报告。没有网络安全事件 12 应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事 件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危 害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的 主管人员处五千元以上五万元以下罚款。 容灾备份：第三十四条第三项规定，关键信息基础设施单位对 重要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾 备 份的会被依照此条款责令改正。 应急演练：第三十四条第四项规定，关键信息基础设施单位应 当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件 预案的，或者没有定期演练的，会被依照此条进行责令改正。 安全检测评估：第三十八条规定，关键信息基础设施的运营者 应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的 风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送 相关负责关键信息基础设施安全保护工作的部门。每年没有进行安全 检测评估的单位要被责令改正。 1.2.2 政策要求 为切实加强门户网站安全管理和防护，保障网站安全稳定运行， 国家非常重视，陆续颁布以下文件： 《关于加强政机关网站安全管理 的通知》 （中网办发文 2（0 14） 1 号）、 《关于做好政机关网站开办 审核、资格复核和网站标识管理工作的通知》 （中央编办发 （20 14） 6 9 号），部、中央网信办、中编办、工信部等四部门 《关于 印发 〈政机关、事业单位和国有企业互联网网站安全专项整 治行动方案〉的通知》 （公信 安 2（0 15） 2 5 6 2 号） 13 1.2.3 标准要求 项目 要求 备注 1 物理安全 1.2物理访 问控制 d ) 重要区域应配置 电 (G3) 子 门禁系统，控制 、鉴 别和记录进入 的人员。 1. 防盗窃和防破 e ) 应利用光、 电等技 坏 (G ) 术设置机房防盗报警系 统 ； f ) 应对机房设置 监控报警系统。 1.4 防 雷 击 (G ) b ) 应设置防雷保安器 ， 防止感应雷； 1.5 防 火 (G ) a ) 机房应设置火灾 自 动消防系统，能够 自动 检测火情、 自动报警， 并 自动灭火 1.6 防水和防潮 d ) 应安装对水敏感的 (G ) 检测仪表或元件 ，对机 房进行防水检测和报警。 1.7 防 静 电 (G ) b ) 机房应采用防静 电 地板 。 1.8温湿度控制 机房应设置温、湿度 自 (G ) 动调节设施 ，使机房温、 湿度的变化在设备运行 所允许的范围之 内。 1.9 电力供应 d ) 应建立备用供 电系 (A ) 统 。 1. 1 0 电磁防护 a)防止外界电磁干扰和 (S ) 磁介质实施 电磁屏蔽。 2 网络安全 2 .2访问控制 a ) 应在网络边界部署 (G ) 访 问控制设备，启用访 问控制功能；d ) 应按 14 照对业务服务的重要次 序来指定带宽分配优先 级别，保证在网络发生 拥堵的时候优先保护重 要主机。 2 . 安全审计 a ) 应对网络系统中的 (G ) 网络设备运行状况、网 络流量、用户行为等进 行日志记录； 2. 4 边界完整性检 a ) 应能够对非授权设 查 (S ) 备私自联到内部网络的 行为进行检查，准确定 出位置，并对其进行有 效阻断； 2. 5 入侵防范 b ) 当检测到攻击行为 (G ) 时，记录攻击源IP、攻 击类型、攻击 目的、攻 击时间，在发生严重入 侵事件时应提供报警。 2. 6 恶意代码防范 a ) 应在网络边界处对 (G ) 恶意代码进行检测和清 除； 2 . 7 网络设备防护 a ) 应对登录网络设备 (G ) 的用户进行身份鉴别 3 主机安全 . 1身份鉴别 a ) 应对登录操作系统 (S ) 和数据库系统的用户进 行身份标识和鉴别； .2访问控制 a ) 应启用访问控制功 (S ) 能，依据安全策略控制 用户对资源的访问； . 安全审计 a ) 审计范围应覆盖到 (G ) 服务器和重要客户端上 的每个操作系统用户和 数据库用户； 15 . 4 剩余信息保护 a ) 应保证操作系统和 (S ) 数据库系统用户的鉴别 信息所在 的存储空间， 被释放或再分配给其他 用户前得到完全清除， 无论这些信息是存放在 硬盘上还是在 内存 中； 3. 5 入侵防范 a ) 应能够检测到对重 ( 3) 要服务器进行入侵的行 为 ，能够记录入侵的源 IP、攻击 的类型、攻击 的 目的、攻击 的时间， 并在发生严重入侵事件 时提供报警； 3. 6 恶意代码防范 a ) 应安装防恶意代码 ( 3) 软件 ，并及时更新防恶 意代码软件版本和恶意 代码库 ； 3. 7 资源控制 c ) 应对重要服务器进行 (A3) 监视 ，包括监视服务器 的CPU、硬盘 、 内存、 网络等资源的使用情况； 4 应用安全 4 . 1身份鉴别 a ) 应提供专用的登录 (S3) 控制模块对登录用户进 行身份标识和鉴别； 4 .2访问控制 a ) 应提供访 问控制功 (S3) 能 ，依据安全策略控制 用户对文件、数据库表 等客体 的访 问； 4 . 3 安全审计 a ) 应提供覆盖到每个 ( 3) 用户的安全审计功能， 对应用系统重要安全事 件进行审计 ； 4. 4 剩余信息保护 a ) 应保证用户鉴别信 16 (S3) 息所在的存储空间被释 放或再分配给其他用户 前得到完全清除，无论 这些信息是存放在硬盘 上还是在 内存 中； 4. 5 通信完整性 应采用密码技术保证通 (S3) 信过程 中数据 的完整性 。 4. 6 通信保密性 a ) 在通信双方建立连 (S3) 接之前，应用系统应利 用密码技术进行会线) a ) 应具有在请求的情 况下为数据原发者或接 收者提供数据原发证据 的功能； 4 .9 资源控制 e ) 应能够对一个访 问 (A3) 帐户或一个请求进程 占 用的资源分配最大限额 和最小限额 ； 5 数据安全及备份恢复 5 . 1数据完整性 应能够检测到系统管理 (S3) 数据 、鉴别信息和重要 业务数据在传输过程中 完整性受到破坏，并在 检测到完整性错误时采 取必要的恢复措施 ； 6 管理要求 * * 17 13 项 目建设 目标及 内容 13.1 项 目建设 目标 依据 国家信息安全等级保护相关指导规范，对 X X 单位信息系统、 基础设施和骨干网络按照等保三级进行安全建设规划 ，对安全建设进 行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准 统一、经济适用的建设 目标 。 依据信息安全等级保护三级标准，按 照 “统一规划、统一标准、 重 明确 、合理建设 ”的基本原则，在物理安全、网络安全、主机安 全 、应用安全、数据安全等几个方面进行安全规划与建设，确 保 “网 络建设合规、安全防护到位 ”。 方案 目标是让X X 单位的骨干网络、相关应用系统达到安全等级保护 第三级要求。经过建设后使整体网络形成一套完善的安全防护体系， 提 升整体信息安全防护能力。 1 3 . 2 建设内容 本项 目以X X 单位骨干网络、信息系统等级保护建设为主线，以让相 关信息系统达到安全等级保护第三级要求。借助网络产品、安全 产 品、 安全服务、管理制度等手段，建立全网的安全防控管理服务体系， 从而 全面提 高X X 单位的工作效率，提升信息化运用水平。 建设 内容包括X X 单位 内网骨干网络、基础设施和信息系统等 。 18 第二章现状与差距分析 2.1 现状概述 2 . 1 . 1 信息系统现状 本 次 项 目中X X 单位外网项 目中涉及 的设备有： 1）服务器2 3 0 台 2）网络设备若干路 由器 、交换机 、ap 3）安全设备有：1 台防火墙 （过保 ）、WAF （过保 ）、2 台ips c（te区前 IP S 已过保）、上 网行为 管理 过（保 ）、防病毒网 关 、绿盟安全审计系统、360天擎终端毒 （只具有毒模 块 ） 4）存储设备 ：火星舱容灾备份 网络系统现状 X X 单位的网络系统整体构架采用三层层次化模型网络架构，即由 核心层、汇聚层和接入层组成 。 网络现状： 核心层：核心层是网络 的高速交换主干 ，对整个网络的连通起到 至关重要的作用 。X X 单位内网核心，由 1 台DP X 安全业务网关组成。 汇聚层：汇聚层是 网络接入层和核心层 的 “中介 ”，是在工作站 接入核心层前先做汇聚，以减轻核心层设备的负荷 。X X 单位内网中， 由迪普和H 3C 交换机作为内网的有线汇聚和内网的无线 接入层：接入层 向本地网段提供工作站接入 。X X 单位内网网络中, 由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入 。 在 D P X 核心交换机上划分VLAN 和网关，整体网络中部署了防病毒 网关、IPS、UAG、D D R 数据容灾备份系统。0 A 系统连接至无线汇聚交 换机 。其他各系统旁路至核心交换机上 。 安全现状： 在整体网络 中部署有相应的安全设备做安全防护，但部分安全设 备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓 扑图如下： 图 表 1 现状拓扑图 主机系统现状 X X 单位的业务系统0A、文件交换箱等，部署于多 服务器上 。服 务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置 ，并 进行标识区分。服务器操作系统全都采用微软的Windows Server系列 操作系统 。 X X 单位办公终端约为300 ，w in7为主，X P 系统 占少数，主机系 统没有进行过定期更新补丁，安 装 有 360天擎毒软件 20 2 . 1 .1 3 应用系统现状 X X 单位的应用系统主要为以下业务系统：0A、文件交换箱等。也 包含一些其他的办公软件。 2.2 现状与差距分析 2 . 2 . 1 物理安全现状与差距分析 X X 单位机房建设过程中参照B 级机房标准参考进行统一规划，存 在的物理安全隐患较少。但仍需参照以下标准进行核查、整改；根据 信息安全等级保护 第（三级）中对物理安全相关项 （防火、防雷、防 水、防磁及电力供应等）存在些许差距。详见下表差距分析。 图表 2 物理安全现状 要求指标项 是否 现状分析 备注 号 符合 物理位置的选择 G（3） 本项要求包括： a）机房和办公 场地应选择在具有 符合 满足 防震、防风和防雨 要求 等能力的建筑内； b）机房场地应 避免设在建筑物的 符合 高层或地下室，以 满足 要求 及用水设备的下层 或隔壁。 21 要求指标项 是否 现状分析 备注 号 符合 物理访 问控制 G（3） 本项要求包括： a）机房出入口 应安排专人值守， 不符 无相关 不满足 控制、鉴别和记录 合要求 记录 进入的人员； b）需进入机房 有监控， 的来访人员应经过 不符 但是没有申 申请和审批流程， 不满足 合要求 请和审批流 并限制和监控其活 程 动范围； c）应对机房划 分区域进行管理， 依据业务系统 在重要 区域和区域之间设 进行了机柜间的区 基本 区域前设置 置物理隔离装置， 域区分，但未在重 符合要求 物理隔离装 在重要区域前设置 要区域前设置物理 置 。 交付或安装等过渡 隔离装置。 区域； d）重要区域应 配置电子门禁系统， 符合 基本满足 控制、鉴别和记录 要求 进入的人员。 22 要求指标项 是否 现状分析 备注 号 符合 防盗窃和防破坏 G（3） 本项要求包括： a）应将主要设 符合 满足 备放置在机房内； 要求 b）应将设备或 主要部件 行固定， 符合 满足 并设置明显的不易 要求 除去的标记； c）应将通信线 有部分 缆铺设在隐蔽处， 不符 不满足 线缆架设在 可铺设在地下或管 合要求 半空中 道中； d）应对介质分 符合 类标识，存储在介 满足 要求 质库或档案室中； e）应利用光、 符合 电等技术设置机房 满足 要求 防盗报警系统； f）应对机房设 符合 满足 置监控报警系统。 要求 防雷击 G（3） 23 要求指标项 是否 现状分析 备注 号 符合 本项要求包括 ： a）机房建筑应 符合 满足 设置避雷装置 ； 要求 b）应设置防雷 符合 保安器 ，防止感应 满足 要求 雷 ； c）机房应设置 符合 满足 交流 电源地线 。 要求 防 火 G（3） 本项要求包括 ： a）机房应设置 火灾 自动消防系统， 基本 安装有气体灭 能够 自动检测火情、 符合要求 火装置 自动报警，并自动 灭火 ； b）机房及相关 的工作房间和辅助 符合 满足 房应采用具有耐火 要求 等级的建筑材料 ； c）机房应采取 不符 区域隔离防火措施， 不满足 合要求 将重要设备与其他 24 要求指标项 是否 现状分析 备注 号 符合 设备隔离开。 防水和防潮 G（3） 本项要求包括： a）水管安装， 符合 不得穿过机房屋顶 满足 要求 和活动地板下； b）应采取措施 防止雨水通过机房 符合 满足 窗户、屋顶和墙壁 要求 渗透； c）应采取措施 防止机房内水蒸气 符合 满足 结露和地下积水的 要求 转移与渗透； d）应安装对水 敏感的检测仪表或 符合 满足 组件，对机房 行 要求 防水检测和报警。 防静 电 G（3） 本项要求包括： a）主要设备应 符合 满足 采用必要的接地防 要求 25 要求指标项 是否 现状分析 备注 号 符合 静电措施； b)机房应采用 符合 满足 防静电地板。 要求 温湿度控制 (G3) 本项要求包括： 机房应设置温、 安装有动力环 湿度 自动调节设施， 境监控系统，建议 符合 使机房温、湿度的 机房 日常温度控制 要求 变化在设备运行所 在 10〜 28℃,湿度 允许的范围之内。 30〜 70%。 电力供应 (A3) 本项要求包括： a)应在机房供 电线路上配置稳压 基本 满足 器和过电压防护设 符合要求 备. b)应提供短期 设 置 U P S 电池 的备用 电力供应， 供 电，并至少保证 符合 至少满足主要设备 断电时主要设备在 要求 在断 电情况下的正 满负荷情况下4 小 常运行要求； 时的正常运行。 C)应设置冗余 不符 只有一条出口 增加线 要求指标项 是否 现状分析 备注 号 符合 或并行的电力电缆 合要求 线，极容易出现单 缆，做到冗 线路为计算机系统 点故障 余 供电； d）应建立备用 符合 满足 供电系统。 要求 电磁防 （S3） 本项要求包括： a）应采用接地 方式防止外界电磁 符合 满足 干扰和设备寄生耦 要求 合干扰； 0 b）电源线和通 符合 信线缆应隔离铺设， 满足 要求 避免互相干扰； c）应对关键设 符合 备和磁介质实施电 满足 要求 磁屏蔽。 27 2.2.2 网络安全现状与差距分析 由于X X 单位前期已经行相关安全建设，仍有相关安全防 建设不 到位，主要表现出以下问题点： 1 . 网络结构基本清晰，但细节规划不合理； 2 . 新增移动接入链路， 3 . 面对 日益突增的网络安全事件缺乏有效防御手段及应急机制； 4 . 骨干网络架构规划不合理，核心交换区无冗余，安全防 区域 划分不明晰，不能对不同区域间防 措施、技术手段进行统一 规划，不同区域对恶意攻击的防范能力不一。 详见下表差距分析： 图表 3 网络安全现状 要求指标项 是否 差距分析 备注 号 符合 结构安全 (G3) 本项要求包括： 域网核心交 换设备均采用单 a)应保证主要 链路、单设备， 网络设备的业务处 域网核心设 不符 无冗余空间，一 理能力具备冗余空 备至少有二台9 合要求 旦出现设备故障 间，满足业务高峰 采用多链路 则会出现单点故 期需要； 障，无法有效保 障对外开放的业 28 要求指标项 是否 差距分析 备注 合 号 务安全稳定的运 行 。 b）应保证网络 各个部分的带宽满 符合 满足 足业务高峰期需要；要求 c）应在业务终 端与业务服务器之 符合 间进行路 由控制建 满足 要求 立安全的访 问路径 ； d）应绘制与当 我们会在工 不符 前运行情况相符的 暂无拓扑图 程结束后重新绘 合要求 网络拓扑结构图； 制 网络拓扑图。 e）应根据各部 整体网络结 门的工作职能、重 构中已按照需求 要性和所涉及信息 基本 进行子网划分 。 的重要程度等因素，符合要求 但使用中存在混 划分不同的子网或 舌L , 没有按规定 网段，并按照方便 使用 。待本次项 29 是否 差距分析 备注 要求指标项 合 号 管理和控制的原则 目建设进行梳理 、 为各子网、网段分 严格限制 配地址段 ； f 应避免将重 要网段部署在网络 边界处且直接连接 基本 外部信息系统，重 满足 符合要求 要网段与其他网段 之间采取可靠的技 术隔离手段 ； 访 问控 制 G（3 本项要求包括 ： 仅 在 dm z 区 建议在互联 a 应在网络边 部署防火墙且防 网出口与服务器 界部署访 问控制设 不符 火墙 已过保 ，其 区前部署防火墙 备 ，启用访 问控制 合要求 他区域未部署访 进边界隔离与访 功能； 问控制设备 问控制 b 应能根据会 话状态信息为数据 符合 流提供明确的允许 满足 要求 /拒绝访 问的能力， 控制粒度为端 口级； 30 要求指标项 是否 差距分析 备注 号 符合 C 应对进出网 络的信息内容进行 过滤 ，实现对应用 层 符合 满足 HTTP、 FTP、 TELNE 要求 T 、 SMTP、 POP3 等 协议命令级的控制； d 应在会话处 于非活跃一定时间 符合 满足 或会话结束后终止 要求 网络连接 ； 未部署流量 控制设备 ，无法 根据所承载的业 e 应限制网络 务和带宽的实际 不符 部署上网行 最大流量数及网络 情况确定网络最 合要求 为管理及流控 连接数 ； 大流量数和网络 连接数并进行管 理 。 31 是否 差距分析 备注 要求指标项 合 号 未部署访问 控制设备的区域 无法采用包过滤 实现重要网 f 重要网段应 或传输控制协议， 不符 段地址进行有效 采取技术手段防止 进行边界访 问控 合要求 保护防止地址欺 地址欺骗 ； 制 ，防止地址欺 骗 。 骗 ，应对网络中 的广播、组播进 行必要的控制 。 g 应按用户和 没有在服务 系统之间的允许访 器区前和网络出 新 增 2 台防 问规则，决定允许 口设置防火墙、 不符 火墙实现不同安 或拒绝用户对受控 认证网关或授权 合要求 全域之间的访 问 系统进行资源访 问， 管理系统，可对 控制 控制粒度为单个用 单个用户的访问 户 ； 进行策略控制 。 h 应限制具有 不符 拨号访 问权限的用 不涉及 合要求 户数量 。 安 全 审计 G（3 本项要求包括 ： 32 要求指标项 是否 差距分析 备注 号 符合 有上网行为 管 理 设 备 （过保 ，但是并没有办 法对网络设备运 部署综合 日 行状况 日志记录 ， 志 计系统可对 而部署综合安全 来 自不同厂商的 a）应对网络系 日志审计系统可 安全设备、网络 统中的网络设备运 对来 自不同厂商 设备、主机 、操 不符 行状况、网络流量、 的安全设备、网 作系统、数据库 合要求 用户行为等进行 日 络设备、主机 、 系统、用户业务 志记录； 操作系统、数据 系统的 日志、警 库系统、用户业 报等信息汇集到 务系统的 日志、 计 中心，实现 警报等信息汇集 综合安全 计 。 到 计 中心，实 现综合安全 计 。 b） 计记录应 包括 ：事件的日期 符合 和时间、用户 、事 满足 要求 件类型、事件是否 成功及其他与 计 33 要求指标项 是否 差距分析 备注 号 符合 相关的信息； C）应能够根据 不符 部署 日志 记录数据进行分析， 不满足 合要求 计系统 并生成 计报表 ； d）应对 计记 安全 计 日 录进行保护，避免 符合 满足 志记录要求保存 受到未预期的删除、要求 至少半年 以上 。 修改或覆盖等 。 边 界完整性检查 S（3） 本项要求包括 ： a）应能够对非 授权设备私 自联到 可通终端管 可采用终端 内部网络的行为进 不符 理系统或A RP 绑 管理系统等手段 行检查 ，准确定出 合要求 定技术手段实现 进行管理控制 位置 ，并对其进行 有效阻断； b）应能够对内 部网络用户私 自联 可采用终端 到外部网络的行为 不符 管理系统等手段 进行检查 ，准确定 合要求 进行管理控制 出位置 ，并对其进 行有效阻断。 34 要求指标项 是否 差距分析 备注 号 符合 入 侵 防 范 (G3) 本项要求包括 ： a)应在 网络边 界处监视 以下攻击 行为 ：端 口扫描、 强力攻击、 木马后 基本 出口处部署 门攻击 、拒绝服务 符合要求 有 IPS入侵防御 攻击 、缓冲区溢出 攻击 、IP 碎片攻击 和网络蠕虫攻击 等 ； b)当检测到攻 击行为时，记录攻 击 源 IP、攻击类型、 落实安全 基本 攻击 目的、攻击时 计系统报警功能。 符合要求 间，在发生严重入 侵事件时应提供报 警 恶意个t码 防 范 (G3) 本项要求包括 ： a)应在网络边 符合 满足 35 是否 差距分析 备注 要求指标项 合 号 界处对恶意代码进 要求 行检测和清除； b）应维护恶意 符合 代码库的升级和检 要求 测系统的更新 。 网络 设备 防护 G（3） 本项要求包括 ： 没有指定专 可以指定专 人进行维护 。通 人维护网络设备， a）应对登录网 不符 过密码和用户名 并通过用户名和 络设备的用户进行 合要求 进行身份鉴别， 密 码 进行身份鉴 身份鉴别； 同时也没有部署 别 ，同时也可以 堡垒主机 。 部署堡垒主机 增添堡垒机 b）应对网络设 对管理员登 不符 设备 ，这样可以 备的管理员登录地 陆地址没有限制 。 合要求 有效对远程用户 址进行限制 ； 进行管理 。 c）网络设备用 不符 网络设备没 重新对设备 户的标识应唯一； 合要求 有唯一的标示 。 进行标示 。 d）主要网络设 主要网络设 不符 备应对同一用户选 备未对同一用户 增设堡垒机 合要求 择两种或两种 以上 选择两种或两种 36 要求指标项 是否 差距分析 备注 号 符合 组合的鉴别 术来 以上组合的鉴别 进行身份鉴别； 术来进行身份 鉴别 ； e）身份鉴别信 用户 口令应 息应具有不易被冒 密码没有定 12 位 以上，数字 不符 用的特点， 口令应 期更换 ，复杂度 和字母组成 ，至 合要求 有复杂度要求并定 不够 少 3 个月更换一 期更换 ； 次 。 f）应具有登录 失败处理功能，可 当一次登录 采取结束会话、限 密码错误次数超 符合 制非法登录次数和 过 6 次， 应能/ 要求 当网络登录连接超 动关闭并告警。 时 自动退出等措施 ； g）当对网络设 备进行远程管理时， 传输中进行 应采取必要措施防 不符 加密 ，可以使用 止鉴别信息在网络 合要求 IPsec VPN 术 传输过程 中被窃听； h）应实现设备 不符 网络管理员、 部署堡垒机 37 要求指标项 是否 差距分析 备注 号 符合 特权用户的权限分 合要求 系统管理员和安 控制用户权限 离 。 全审计员分开， 并按职责分工限 制各 自权限，但 无 术手段控制 。 38 2.2.3 主 安全现状与差距分析 X X 单位 内网主机终端 已部署终端毒软件 。 终端主机安全现状差距分析，如下： 图 表 4 主机安全现状 要求指标项 是否 差距分析 备注 号 符合 身 份 鉴 别 (S3) 本项要求包括 ： 没有严格 通过账号密码 a)应对登录操 限制操作系统 作系统和数据库系 基本符 和数据库系统 统的用户进行身份 合要求 的用户登陆， 标识和鉴别； 进行身份标识 和鉴别 ； 系统管理员 b)操作系统和 的登录身份标识 数据库系统管理用 唯一，口令 12位 户身份标识应具有 不符合 不满足 以上，且数字和字 不易被 冒用的特点，要求 母大小写组合， 每 口令应有复杂度要 半年应更改一 求并定期更换； 次 。 39 是否 要求指标项 差距分析 备注 号 符合 C）应 启用登录 当登录次 失败 处 理 功 能 ，可 符合要 数 错 误 超 过 6 采 取 结 束 会 话 、限 求 次 ，应 自动退 制非法登录次数和 出并告警 。 自动退 出等措施 ； d）当对服务器 没有采用 进 行远 程 管 理 时 ， IPSec VPN 对布 应 采 取 必 要 措 施 ， 不符合 输 加 密 的 方 法 采 用 IPSec 防止鉴别信 息在 网 要求 来 保 证 远 程 管 V P N 部署 络传输过程 中被窃 理 安全 可 靠 。 听 ； e）应为操作系 统和数据库系统 的 不符合 不 同用户 分配不 同 不满足 要求 的用户名 ，确保用 户 名 具有 唯一 性 。 采用用户 部署堡垒机 f）应采用两种 名密码 的鉴别 或两种 以上组合 的 不符合 术对管理员 鉴别 术对管理用 要求 进 行 身份 鉴 别 。 户 进 行 身份 鉴 别 。 访问:空 制 S（3 ） 40 要求指标项 是否 差距分析 备注 号 符合 本项要求包括： a）应启用访问 控制功能，依据安 不符合 不满足 全策略控制用户对 要求 资源的访问； 部署堡垒机， b）应根据管理 因只设置 将网络管理员、 用户的角色分配权 了 个管理员 系统管理员和安 限，实现管理用户 不符合 账号，也未通 全审计员分离， 的权限分离，仅授 要求 过技术手段控 通过技术手段控 予管理用户所需的 制授予所需要 制授予所需要的 最小权限； 的最小权限。 最小权限。 C）应实现操作 系统和数据库系统 不符合 还是未修 修改口令 特权用户的权限分 要求 改的默认口令 离； d）应严格限制 默认帐户的访问权 不符合 限，重命名系统默 不满足 要求 认帐户，修改这些 帐户的默认口令； e）应及时删除 基本符 因只 个 41 要求指标项 是否 差距分析 备注 合 号 多余 的、过期的帐 合要求 账户 ，不存在 户 ，避免共享帐户 多余的账户 的存在 。 未对重要 对重要服务 服务器部署服 器部署服务器加 f）应对重要信 不符合 务器加 固系统， 固系统，采取安 息资源设置敏感标 要求 采取安全加固 全加 固措施 ，并 记 ； 措施 ，并设置 设置敏感标记 敏感标记 。 g）应依据安全 策略严格控制用户 不符合 不满足 对有敏感标记重要 要求 信息资源 的操作 ； 安 全 审计 G（3） 本项要求包括 ： 未部署数 部署 日志审 a）审计范围应 据库审计系统，计系统和数据库 覆盖到服务器和重 无法对服务器 审计系统 不符合 要客户端上的每个 和重要客户端 要求 操作系统用户和数 上的每个操作 据库用户 ； 系统用户和数 据库用户进行 42 要求指标项 是否 差距分析 备注 号 符合 审计 。 未部署数 部署 日志审 据库审计系统，计系统和数据库 b）审计内容应 无法对重要用 审计系统 包括重要用户行为、 户行为、系统 系统资源的异常使 不符合 资源的异常使 用和重要系统命令 要求 用和重要系统 的使用等系统内重 命令的使用等 要的安全相关事件 ； 系统内重要的 安全相关事件 进行审计 。 c）审计记录应 部署 日志审 未部署数 包括事件 的 日期、 计系统和数据库 不符合 据库审计系统， 时间、类型、主体 审计系统 要求 无法对数据库 标识 、客体标识和 进行审计 。 结果等 ； 未部署数 部署 日志审 d）应能够根据 不符合 据库审计系统，计系统和数据库 记录数据进行分析， 要求 无法对异常行 审计系统 并生成审计报表 ； 为实时告警 。 e）应保护审计 不符合 未部署数 部署 日志审 进程 ，避免受到未 要求 据库审计系统。计系统和数据库 43 要求指标项 是否 差距分析 备注 号 符合 预期的中断； 审计系统 未部署数 f）应保护审计 据库审计系统。 部署 日志审 记录 ，避免受到未 不符合 （审计记录至 计系统和数据库 预期的删除、修改 要求 少应保存半年 。审计系统 或覆盖等 。 ） 剩 余信 息保 护 S（3） 本项要求包括 ： a）应保证操作 系统和数据库系统 用户的鉴别信息所 在 的存储空间，被 不符合 释放或再分配给其 不满足 要求 他用户前得到完全 清 除，无论这些信 息是存放在硬盘上 还是在 内存 中； b）应确保系统 可在终端 在终端 内的文件、 目录和 Windows 操作 Windows操作系统 不符合 数据库记录等资源 系统未启用 启 用 “关机前清 要求 所在的存储空间， “关机前清除 除虚拟内存页面” 被释放或重新分配 虚拟 内存页面 功能项 。 44 要求指标项 是否 差距分析 备注 号 符合 给其他用户前得到 功能项 。 完全清除。 入 侵 防 范 G（3） 本项要求包括 ： a）应能够检测 到对重要服务器进 行入侵的行为，能 够记录入侵的源 符合要 已 有 ips IP、攻击 的类型、 求 入侵防御系统 攻击 的 目的、攻击 的时间，并在发生 严重入侵事件时提 供报警 ； b）应能够对重 未定期使 定期使用完 要程序的完整性进 用完整性检查 整性检查工具或 行检测 ，并在检测 不符合 工具或脚本对 脚本对服务器的 到完整性 到破坏 要求 服务器的重要 重要程序和文件 后具有恢复的措施 ； 程序和文件进 进行检查 。 行检查 。 c）操作系统应 未通过技 增加终端管 不符合 遵循最小安装的原 术手段保持系 理软件模块 。 要求 则 ，仅安装需要的 统补丁及时得 45 是否 要求指标项 差距分析 备注 号 符合 组件 和 应 用 程 序 ， 到 更 新 。 并通 过 设置 升级服 务器等方式保持系 统补丁及 时得 到更 新 。 恶 意 代 码 防 范 (G3) 本 项 要 求 包 括 ： a)应安装 防恶 意代 码 软件 ，并及 符合要 满 足 ，安 时更新 防恶 意代码 求 装了 360天擎 软件版本和恶 意代 码 库 ； b)主机 防恶意 代码 产 品应具有与 符合要 满 足 ，安 网络 防恶意代码产 求 装了 360天擎 品不 同的恶意代码 库 ； C)应支持 防恶 符合要 满 足 ，安 意代码 的统一 管理 。 求 装了 360天擎 资源=怪 制 (A3) 本 项 要 求 包 括 ： 46 要求指标项 是否 差距分析 备注 号 符合 a）应通过设定 通过增设堡 通过账号 终端接入方式、网 不符合 垒机对终端接入 密码限制终端 络地址范围等条件 要求 进行管理。 登录。 限制终端登录； 未部署终 部署终端管 b）应根据安全 不符合 端管理系统对 理系统对登录终 策略设置登录终端 要求 登录终端进行 端进行管理。 的操作超时锁定； 管理。 c）应对重要服 可通过增加 务器进行监视，包 网络管理系统对 括监视服务器的 不符合 没有网络 重要服务器进行 CPU、硬盘、内存、 要求 管理系统 监视并对服务器 网络等资源的使用 的运行状况异常 情况； 实时告警。 可通过增加 d）应限制单个 网络管理系统对 用户对系统资源的 不符合 没有网络 重要服务器进行 最大或最小使用限 要求 管理系统 监视并对服务器 度； 的运行状况异常 实时告警。 e）应能够对系 不符合 不能进行 可通过增加 统的服务水平降低 要求 报警 网络管理系统对 47 要求指标项 是否 差距分析 备注 号 符合 到预先规定的最小 重要服务器进行 值进行检测和报警。 监视并对服务器 的运行状况异常 实时告警 。 48 2 . 2 .4 应用安全现状与差距分析 X X 单位应用系统根据国家信息安全等级保护 第（三级）标准在对 应用系统安全进行分析时，发现应用系统涉及到应用系统的运行稳定 以及业务数据的安全可靠，故而安全防护技术手段如下： 1 . 以业务系统自身通过代码查错、规则设置、权限细化等方法为 主要手段，来满足信息系统安全等级保护 第（三级）中应用安 全部分标准项 如（身份鉴别、安全审计、剩余信息保护、通信 完整性、通信保密性、抗抵赖、软件容错、资源控制等）的要 求 2 . 部分标准项 如（身份鉴别、访问控制、安 审计、通信保密性 等 ）除可通过应用系统进行安 加强外，也可通过设备进行技 术防护 详见下表差距分析： 图表 5 应用安 现状 要求指标项 是否 差距分析 备注 号 符合 身份鉴别 S（3） 本项要求包括： 未采用技术手 增设堡垒 a）应提供专用 段，提供专用的登 机 ，通过堡垒 的登录控制模块对 不符 录控制模块对登录 机用户登陆进 登录用户进行身份 合要求 用户的身份进行标 行身份识别和 标识和鉴别； 识和鉴别。 鉴别。 49 要求指标项 是否 差距分析 备注 号 符合 b）应对同一用 户采用两种或两种 符合 以上组合的鉴别技 要求 术实现用户身份鉴 另1」； c）应提供用户 身份标识唯一和鉴 别信息复杂度检查 功能，保证应用系 符合 统中不存在重复用 要求 户身份标识，身份 鉴别信息不易被冒 用； d）应提供登录 失败处理功能，可 符合 采取结束会话、限 要求 制非法登录次数和 自动退出等措施； e）应启用身份 鉴别、用户身份标 基本 识唯一性检查、用 符合要求 户身份鉴别信息复 50 要求指标项 是否 差距分析 备注 号 符合 杂度检查以及登录 失败处理功能，并 根据安 策略配置 相关参数。 访 问控制 S（3） 本项要求包括： a）应提供访问 控制功能，依据安 符合 策略控制用户对 要求 文件、数据库表等 客体的访问； b）访问控制的 覆盖范围应包括与 符合 资源访问相关的主 要求 体、客体及它们之 间的操作； C）应由授权主 体配置访问控制策 符合 略，并严格限制默 要求 认帐户的访问权限； 51 要求指标项 是否 差距分析 备注 号 符合 d）应授予不同 帐户为完成各自承 担任务所需的最小 符合 权限，并在它们之 要求 间形成相互制约的 关系。 对重要服务器 e）应具有对重 部署服务器加固系 不合 要信息资源设置敏 统，采取安 加固 要求 感标记的功能； 措施，并设置敏感 标记。 服务器加固系 统有实现文件强制 f）应依据安 访问控制、注册表 策略严格控制用户 不合 强制访问控制、进 对有敏感标记重要 要求 程强制访问控制、 信息资源的操作； 程序授权控制、网 络级访问控制等功 能。 安 审计 G（3） 本项要求包括： a）应提供覆盖 基本 部署了安 52 要求指标项 是否 差距分析 备注 合 号 到每个用户的安 符合要求 审计系统， 审计功能，对应用 对应用系统每 系统重要安 事件 个用户的安 进行审计； 事件进行记录 审计。 b ）应保证无法 单独中断审计进程， 基本 未部署安 管 部署了安 无法删除、修改或 符合要求 理系统 审计系统 覆盖审计记录； C ）审计记录的 内容至少应包括事 基本 部署了安 件的日期、时间、 符合要求 全审计系统 发起者信息、类型、 描述和结果等； d）应提供对审 计记录数据进 统 计、查询、分析及 基本 部署了安 生成审计报表的功 符合要求 全审计系统 能。 53 是否 要求指标项 差距分析 备注 号 符合 剩 余信 息保 护 (S3) 本项要求包括 ： a)应保证用户 鉴别信息所在的存 在终端 可在终端 储空间被释放或再 W indows操作系 Windows 操作 分配给其他用户前 不符 统 中未启用 “不 系 统 启用 “不 得到完全清除，无 合要求 显示上次登录 显示上次登录 论这些信息是存放 名 ” 功能项 。 名 ”功能项 。 在硬盘上还是在 内 存 中； b)应保证系统 在终端 内的文件、 目录和 在终端 Windows 操作 数据库记录等资源 W indows操作系 不符 系统中未启用 所在的存储空间被 统 中未启用 “关 合要求 “关机前清除 释放或重新分配给 机前清除虚拟内 虚拟 内存页面 ” 其他用户前得到完 存页面 ”功能 功能项 。 全清 除。 项 。 通 信 完 整 性 (S3) 本项要求包括 ： 应采用密码技 在应用软件编 符合 术保证通信过程中 程 中，对通信的保 要求 数据 的完整性 。 密性提 出要求 。 54 要求指标项 是否 差距分析 备注 号 符合 通信保密性 (S3) 本项要求包括： a)在通信双方 建立连接之前，应 在应用软件编 符合 用系统应利用密码 程中，对通信的保 要求 技术进 会话初始 密性提出要求。 化验证； b)应对通信过 程中的整个报文或 符合 应用软件中应 会话过程进 加密。 要求 有此功能 抵 赖 (G3) 抗』 本项要求包括： a)应具有在请 求的情况下为数据 符合 应用软件有此 原发者或接收者提 要求 项功能。 供数据原发证据的 功能； b)应具有在请 求的情况下为数据 符合 应用软件有此 原发者或接收者提 要求 项功能。 供数据接收证据的 55 要求指标项 是否 差距分析 备注 号 符合 功能。 二容错(A3) 软仰 本项要求包括： a ) 应提供数据 有效性检验功能， 保证通过人机接口 符合 应用软件有此 输入或通过通信接 要求 项功能。 口输入的数据格式 或长度符合系统设 定要求； b ) 应提供自动 保护功能，当故障 应用软件提供 发生时自动保护当 符合 断点保护和恢复功 前所有状态，保证 要求 能。 系统能够进 恢复。 资源控制(A3) 本项要求包括： a ) 当应用系统 如果通信双方 的通信双方中的一 符合 中有一方在 1 0 分年 方在一段时间内未 要求 内未作任何响应， 作任何响应，另一 应 自动结束会线 要求指标项 是否 差距分析 备注 号 符合 方应能够自动结束 释放网络连接。 会话； 应当提供系统 b）应能够对系 符合 的实际要求，设定 统的最大并发会话 要求 最大并发会话连接 连接数进 限制； 数。 c）应能够对单 符合 个帐户的多重并发 满足 要求 会话进 限制； d）应能够对一 应当业务应用 个时间段内可能的 符合 系统和实际需要设 并发会话连接数进 要求 定。 限制； e）应能够对一 个访问帐户或一个 符合 请求进程占用的资 满足 要求 源分配最大限额和 最小限额； f）应能够对系 后期建议 统服务水平降低到 不符 不满足 部署网管运维 预先规定的最小值 合要求 软件 进行检测和报警； 57 要求指标项 是 差距分析 备注 号 符合 g）应提供服务 在系统中应可 优先级设定功能， 根据用户的权限设 并在安装后根据安 符合 定服务等级及优先 全策略设定访问帐 要求 级，并保证优先级 户或请求进程的优 用户首先使用系统 先级，根据优先级 资源的权力。 分配系统资源。 58 2 . 2 . 5 数据安全现状与差距分析 信息系统的安全核心是数据 的安全，X X 单位网络中有全局正常运 行信息的数据，一旦数据出现被盗取、被篡改、被删除，小则造成小范 围的X X 单位业务受影响，大则将对全局办公、经济利益或社会形象造 成不可弥补 的损失。一旦出现意外，数据 的还原、恢复显得尤为重 要 。 目前X X 单位对数据的备份主要采用维护工程师定期进行手动备份 和数据被备份一体机 的方式，备份范围包含业务关键数据 ，且是备份 在本地 。可能会 出现 以下情况： 1.出现极端 自然灾害，数据存储介质出现损坏，数据损坏后无法恢 复 ； 详见下表差距分析： 图 表 6 数据安全现状 要求指标项 是否 差距分析 备注 号 符合 数 据 完 整 性 S（3） 本项要求包括 ： a）应能够检测到 数据备份 系统管理数据、鉴别 一体机应带有 信息和重要业务数据 基本 此功能 在传输过程 中完整性 符合要求 受到破坏 ，并在检测 到完整性错误时采取 59 必 要 的 恢 复 措 施 ； b）应 能够检测到 数据备份 系 统 管理 数据 、鉴别 一体机应 带有 信 息和重要业务数据 此功能 基本 在 存 储 过 程 中完 整 性 符合要求 受到破 坏 ，并在检测 到完整性错误 时采取 必 要 的恢 复措 施 。 数 据 保 密 性 S（3） 本 项要 求 包 括 ： a）应采用加密或 数据备份 其他有 效措施 实现系 一体机应带有 基本 统 管 理 数 据 、鉴别信 此功能 符合要求 息和重要业务数据传 输 保 密 性 ； b）应采用加密或 数据备份 其他保护措施 实现系 一体机应 带有 基本 统 管 理 数 据 、鉴别信 此功能 符合要求 息和重要业务数据存 储 保 密 性 。 备份和 ， 恢 复 A（3） 本 项 要 求 包 括 ： a）应提供本地数 符合 部署服务 满足 据 备 份 与 恢 复功 能 ， 要求 器数据备份系 60 完全数据备份至少每 统。 天一次，备份介质场 外存放； b）应提供异地数 有本地备 据备份功能，利用通 份一体机，后 不符 信网络将关键数据定 不满足 期建议完善异 合要求 时 批 量传送至备用场 地备份机制。 地； c）应采用冗余技 术设计网络拓扑结构， 符合 满足 避免关键节点存在单 要求 点故障； d）应提供主要网 络设备、通信 路和 符合 数据处理系统的硬件 满足 要求 冗余，保证系统的高 可用性。 61 2 . 2 . 6 安全管理现状与差距分析 X X 单位在 日常的运行维护管理中，根据 自身的情况有制定一些安全 管理制度并执行，但没有进行系统而规范的制度文件体系建设，以及相应 制度执行记录归档保存 。根据等级保护管理安全要求，仍有部分制度需 要进行完善 。 管理制度建议如下表 ： 图 表 7 安全管理现状 类 管理内容 制度包括的主要 内容 现状分析 备注 别 对信息系统相关 对信息系统相关的资 的资产清单、分 资产安全管 产清单、分类与标识、 不满足 类与标识、使用 、 理 使用 、转移 、废弃等 转移 、废弃等做 做 出规定 。 出规定。 对进出机房的人 对进出机房的人员和 员和设备，机房 物 机房安全管 设备 ，机房监控 、机 不满足 监控 、机房值班 、 理 理 房值班 、机房环境保 机房环境保障等 障等做 出规定。 做 出规定 。 对设备的放置.、 对设备的放置、使用、 设备安全管 使用 、维护 、维 维护 、维修 、报废等 不满足 理 修 、报废等做出 做 出规定 。 规定 。 介质安全管 对介质的归档、存放 、 不满足 对介质的归档、 62 理 使用 、销毁等做出规 存放 、使用 、销 定 。 毁等做 出规定。 对网络及安全设备的 对网络及安全设 网 网络安全管 操作 、配置 、 日志记 备的操作、配置 、 不满足 络 理 录和监控等做 出规定。 日志记录和监控 等做 出规定 。 对服务器和数据 对服务器和数据库等 库等的操作、配 系 系统安全管 的操作、配置 、 日志 不满足 置 、 日志记录和 统 理 记录和监控等做出规 监控等做 出规定。 定 。 对信息系统数据保存、 对信息系统数据 数据安全管 备份 、使用等做出规 不满足 保存 、备份、使 理 定 。 用等做 出规定。 对病毒防护系统的管 对病毒防护系统 病毒防护管 理 、使用和升级等做 不满足 的管理、使用和 理 出规定 升级等做出规定 应 对终端计算机的 对终端计算机的日常 用 日常使用、软件 终端计算机 使用 、软件安装 ，入 不满足 安装 ，入 网、维 管理 网、维修 、报废等做 修 、报废等做出 出规定。 规定 。 对便携计算机 的使用、 对便携计算机的 便携计算机 密码保护、入 网、文 不满足 使用 、密码保护、 管理 件存储 、维修等做出 入 网、文件存储、 63 规定 。 维修等做 出规定。 对移动存储介质 对移动存储介质的使 移动存储介 的使用、管理、 用 、管理 、维修等做 不满足 质管理 维修等做 出规定。 出规定。 对信息化项 目安全需 对信息化项 目安 项 目安全审 求 、安全保障方案及 全需求 、安全保 不满足 核 保护等级等做 出规定。 障方案及保护等 级等做 出规定。 建 对开发环境、代 设 对开发环境、代码安 码安全 、上 测 系统开发安 全 、上 测试、开发 不满足 试 、开发人员保 全管理 人员保密责任等做出 密责任等做出规 规定 。 定 。 对设立安全管理 对设立安全管理机构、 机构 、机构职能、 机构职能、人员职责 人员职责及管理， 机构和人员 及管理 ，如重要岗位 不满足 如重要岗位保密 管理 保密责任 、人员离岗 管 责任 、人员离岗 离职等方面做出规定。 理 离职等方面做出 规定 。 对 日常运行维护的流 对 日常运行维护 运行维护管 程 、操作等做 出规定。 不满足 的流程 、操作等 理 做 出规定 。 64 对普通业务用户、 对普通业务用户、重 重要业务用户、 要业务用户、特权用 特 权 用 户 （网络 、 户 （网络、系统、安 用户管理 不满足 系统、安全管理 全管理员 ）的审批、 员 ）的审批、权 权 限、安全要求等做 限、安全要求等 出规定。 做 出规定 。 对信息系统中使 对信息系统中使用的 用的密码强度、 密码管理 密码强度 、变更和保 不满足 变更和保存等做 存等做 出规定。 出规定。 对应急计划、处理、 对应急计划、处 应急管理 实施、演练等做出规 不满足 理 、实施 、演练 定 。 等做 出规定。 对信息系统的变 对信息系统的变更 申 更 申报 、审批流 变更管理 报 、审批流程 以及实 不满足 程 以及实施等做 施等做 出规定 。 出规定。 对网络安全检查流程、 对网络安全检查 网络安全检 工作 内容等做 出规定。 不满足 流程 、工作内容 查 等做 出规定。 CM以上制度体系仅供参考，请 结 合 xx 单位实际情况进行制定, 建议相关制度文件 以红头文件发布并归档保存，对制度执行过程中形成 的相关记录需定期归档保存 。 65 2.3 安全风险分析总结 本节通过对信息资产本身存在的脆弱性，信息系统面临的威胁，以 及这些威胁可以利用哪些资产的脆弱性导致安全事件的发生等几个方面 进行安全风险分析，从而对整个系统信息安全的状况做出准确的判断。 2 3 . 1 基础网络安全风险 1 . 办公外网出口没有冗余链路，万一联通200M 出口发生故障将 致整个办公外网无法访 问Internet； 2 . 网络设备未采用安全加固，存在很多不必要的服务，可能被黑 客利用； 3. 登录网络设备仅采用单一的用户名和密码的方式，存 在账户被暴力破解，网络设备被非授权访问的风险； 4. 网络设备未开启安全审计功能，一旦发生安全事件， 无法进行定位和追溯； 2 . 3 . 2 边界安全风险 1 . 网络边界缺乏访问控制设备，容易发生黑客攻击； 2 . 网络边界缺乏入侵检测机制，发生入侵行为时无法及时定位和 响应； 3 . 网络边界如果缺少安全数据交换机制，则容易发生恶意代码互 相感染，泄密等事件； 66 4 . 网络边界如果缺少安全审计，一旦发生安全事件，则 无法进行定位和追溯； 5 . 网络边界缺乏恶意代码防范，一旦一个安全域中的设 备感染恶意代码，可通过边界感染相邻的安全域中的设备。 2.3.3 终端安全风险 1 . 终端操作系统登陆账户使用简单的鉴别方法 用（户名和口令）， 并且没有密码管理规范，则很容易被人暴力破解； 2 . 终端缺乏安全审计能力，则一旦发生安全事件，就无法进行定位、 追溯； 3 . 终端缺乏安全加固和配置基线，系统组件和安装的应 用程序没有严格限制，系统补丁不经常更新， 致对新型病毒 的主动防御能力不足，一旦感染病毒、蠕虫等，将会给网络带 来极大的安全风险； 4 . 终端缺乏安全审计能力，一旦发生安全事件，就无法 进行定位、追溯。 2 . 3 .4 服务端安全风险 1 . 服务器操作系统登陆账户使用简单的鉴别方法 用（户名和口令） , 并且没有密码管理规范，则很容易被人暴力破解； 2 . 服务器缺乏安全审计能力，一旦发生安全事件，则无法进行定 67 位、追溯; 3 . 服务器缺乏安全加固和配置基线，系统组件和安装的应用程序 没有严格限制，系统补丁不经常更新，则 致对新型病毒的主 动防御能力不足，一旦感染病毒、蠕虫等，将会给网络带来极 大的安全风险。 2 . 3 . 5 应用安全风险 1 . 存在多人共同使用一个账号的问题，在发生安全事故时，无法根 据账号审计、追溯到具体责任人。 2 . 3 . 6 数据安全风险 1 . 由于西安网业务的特殊性，制作的节 目本来就是要播放给公众看 的，因此在数据的机密性方面风险较低，但对数据的可用性和完 整性要求高； 2. 没有采取数据备份和数据恢复手段与措施，会 致数 据的丢失，影响系统的正常运行，甚至造成这个系统完全瘫痪。 2.3.7 物理安全风险 物理安全风险主要是指网络周边的环 和物理特性引起的网络设备 和线路的不可使用，从而会造成网络系统的不可使用，甚至导致整个网 络的瘫痪。它是整个网络系统安全的前提和基础，只有保证了物理层的 68 可用性，才能使得整个网络的可用性，进而提高整个网络的抗破坏力。 2.3.8 管理安全风险 “三分技术、七分管理 ”更加突出的是管理层面在安全体系中的重 要性 。除了技术管理措施外，安全管理是保障安全技术手段发挥具体作 用的最有效手段，建立健全安全管理体系不但是国家等级保护中的要求, 也是作为一个安全体系来讲，不可或缺的重要组成部分 。 1 . 如果没有专 门的信息安全相关 岗位和 岗位职责，则导致安全制 度得不到落实。如果人员得不到相关安全知识培训，则人员会 缺乏安全意识； 2 . 如果没有成体系的安全规范和制度，则导致安全管理无规可循， 无章可依，无法进行高效、系统的安全管理 。 2.4 安全需求总结 2 . 4 . 1 技术安全需求 2.4 .1.1 基础网络安全需求 1 . 办公外 网增加一个 ISP 出口，部署链路负载均衡设备； 2. 合理划分安全域和安全分区，加 强 VLAN 间的访问控 制; 69 3. 网络设备本身开启安全审计功能，并将审计数据发送 至安全管理平台进行集 中管理和分析； 4. 对第三方运维人员或其他人员对安全设备、重要网络 设备等的操作行为进行安全审计，并根据安全策略进行响应 ； 5. 对网络设备进行安全加 固配置 ，规范账号管理、关闭 不必要的服务和端 口，对登录失败有处理机制 。 2.4 .1.2边界安全需求 1 . 在 网络边界增加U T M 防火墙设备，对数据流进行细粒度的访问 控制 ，防御网络蠕虫病毒、木马等基于网络传播的恶意代码 ； 2 . 在网络边界增加入侵检测系统，对流经的数据流进行实时 控 ， 发现入侵行为及时进行告警； 3 . 在网络边界部署安全隔离媒体交换网关，用户不同网络之间的数 据交互 。 2 .4 . 1 3 终端安全需求 1 . 部署恶意代码防范软件，防御蠕虫、病毒、木马等恶意代码。同 时保持恶意代码库的及时更新； 2 . 终端部署终端安全管理系统，进行统一资产管理、补丁分发、检 测并阻断非法外联、外设封禁 ； 3 . 终端制定安全配置基线，定期进行脆弱性检查，并根据评估结果 70 进行安全加固增强； 4 . 终端开启安全审计功能，并对审计信息进行集中管理。 2.4 .1.4服务端安全需求 1 . 部分服务器部署操作系统加固软件，对主体和客体设置敏感标记, 并启用强制访问控制功能； 2 . 服务器制定安全配置基线，定期进行脆弱性检查，并根据评估 结果进行安全加固增强； 3 . 服务器开启安全审计功能，并对审计信息进行集中管理； 2.4 .1.5数据安全需求 1 . 制定数据备份计划，建立灾难恢复应急预案并定期进行演练。 2 . 4 . 2 通用物理安全需求 物理安全风险主要是指网络周边的环境和物理特性引起的网络设备 和线路的不可使用，从而会造成网络系统的不可使用，甚至导致整个网 络的瘫痪。它是整个网络系统安全的前提和基础，只有保证了物理层的 可用性，才能使得整个网络的可用性，进而提高整个网络的抗破坏力。 因此，在通盘考虑安全风险时，应优先考虑物理安全风险。保证网 络正常运行的前提是将物理层安全风险降到最低或是尽量考虑在非正常 情况下物理层出现风险问题时的应对方案。 71 2.4.3 通用管理安全需求 安全管理体系依赖于国家相关标准、行业规范、国际安全标准等规 范和标准来指导，形成可操作的体系。主要包括 ： • 总要求 • 安全管理机构 • 人员安全管理 • 系统建设管理 • 系统运维管理 需在上述方面建立一系列的管理制度与操作规范，并明确执行。 72 2.5 综合整改建议 结 合 X X 单位网络现状以及与国家政策 准的差距分析，本方案对 X X 单位的安全防护做出如下建议： 2 . 5 . 1 技术措施综合整改建议 图 表 8 综合技术措施整改建议表格 序 问题 项目 等保要求 三（级） 整改建议 号 类别 G（3）结构安全 ： a）应保证主要网络 结合用户当前网 核心区域只有一 网络安 设备的业务处理能 络实际情况，建 1 台设备，无冗余 全 力具备冗余空间， 议新增一台核心 设计 满足业务高峰期需 交换机 要 ； 结合用户当前网 目前整体网络中 G（3）访 问控制 ： 络实际情况，建 区域划分不合理, a）应在网络边界部 议在互联网出口 未部署访 问控制 网络安 2 署访 问控制设备， 和服务器区前部 设 备 D（M Z 区前白 全 启用访 问控制功能；署防火墙实现边 防火墙设备 已过 界隔离和访 问控 保 ） 制 未部署流量控制 G（3）访 问控制 ： 本次项 目中建议 设备 ，无法根据 网络安 e）应限制网络最大 部署上网行为管 3 所承载的业务和 全 流量数及网络连接 理 及 流 控 （原有 带宽的实际情况 数 ； 的上网行为管理 73 序 问题 项目 等保要求 (三级) 整改建议 号 类别 确定网络最大流 设备已过保) 量数和网络连接 数并进行管理 。 (G3)访 问控制 ： a)应能够对非授权 本次项 目中采用 无法对非法 内联 设备私 自联到内部 网络安 终端管理软件或 4 行为进行发现和 网络的行为进行检 全 相关技术手段解 阻断 查 ，准确定出位置 ， 决 并对其进行有效阻 断； 利用访 问控制设 备的区域无法采 (G3)访 问控制 ： 用包过滤或传输 未实现重要网段 控制协议 ，进行 地址进行有效保 网络安 5 f)重要网段应采取 边界访 问控制 ， 护防止地址欺骗 全 技术手段防止地址 防止地址欺骗， 欺骗 ； 应对网络中的广 播 、组播进行必 要 的控制 。 (G3)访 问控制 ： 通过部署防火墙 网络安 6 无访 问控制设备 g)应按用户和系统 实现不同安全域 全 之间的允许访 问规 之间的边界隔离 74 序 问题 项目 等保要求 (三级) 整改建议 号 类别 则 ，决定允许或拒 和访 问控制 绝用户对受控系统 进行资源访 问，控 制粒度为单个用户； (G3)安全审计 ： 部署上网行为管 a)应对网络系统 原有上网行为管 理及流控、网管 网络安 的网络设备运行状 7 理设备过保、无 软件结合网络 全 况 、网络流量、用 网管软件 ， 的安全审计系统 户行为等进行 日志 实现 记录 ； (G3)边界完整性 不能够对非授权 检查 ：应能够对非 设备私 自联到内 授权设备私 自联到 可采用终端管理 部网络的行为进 网络安 8 内部网络的行为进 系统等手段进行 行检查 ，准确定 全 行检查 ，准确定出 管理控制 出位置 ，并对其 位置 ，并对其进行 进行有效阻断。 有效阻断； 无法对 内部网络 b)应能够对 内部网 用户私 自联到外 络用户私 自联到外 可采用终端管理 网路安 9 部网络的行为进 部网络的行为进行 系统等手段进行 全 行检查，准确定 检查 ，准确定出位 管理控制 出位置 ，并对其 置 ，并对其进行有

　　GB T 32610-2016_日常防护型口罩技术规范_高清版_可检索.pdf