計算機(jī)信息系統(tǒng)分級保護(hù)方案98257

1、萬案1系統(tǒng)總體部署(1) 涉密信息系統(tǒng)的組網(wǎng)模式為：服務(wù)器區(qū)、安全管理區(qū)、終端區(qū)共同連接至核心交換機(jī)上，組成類似于星型結(jié)構(gòu)的網(wǎng)絡(luò)模式，參照TCP/IP網(wǎng)絡(luò)模型建立。核心交換機(jī)上配置三層網(wǎng)關(guān)并劃分Vian，在服務(wù)器安全訪問控制中間件以及防火墻上啟用橋接模式，核心交換機(jī)、服務(wù)器安全訪問控制中間件以及防火墻 上設(shè)置安全訪問控制策略(ACL,禁止部門間Vian互訪，允許部門Vian與服務(wù) 器Vian通信。核心交換機(jī)鏡像數(shù)據(jù)至入侵檢測系統(tǒng)以及網(wǎng)絡(luò)安全審計系統(tǒng)；服 務(wù)器區(qū)包含原有應(yīng)用系統(tǒng)；安全管理區(qū)包含網(wǎng)絡(luò)防病毒系統(tǒng)、主機(jī)監(jiān)控與審計系 統(tǒng)、windows域控及 WSUS補(bǔ)丁分發(fā)系統(tǒng)、身份認(rèn)證系統(tǒng)；終端區(qū)分

2、包含所有業(yè)務(wù)部門。服務(wù)器安全訪問控制中間件防護(hù)的應(yīng)用系統(tǒng)有：XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX系統(tǒng)、o防火墻防護(hù)的應(yīng)用系統(tǒng)有：XXX XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX系 統(tǒng)。(2) 郵件系統(tǒng)的作用是：進(jìn)行信息的駐留轉(zhuǎn)發(fā)，實現(xiàn)點到點的非實時通信。 完成集團(tuán)內(nèi)部的公文流轉(zhuǎn)以及協(xié)同工作。使用 25、110端口，使用SMTP協(xié)議以 及POP3協(xié)議，內(nèi)網(wǎng)終端使用C/S模式登錄郵件系統(tǒng)。將內(nèi)網(wǎng)用戶使用的郵件賬號在服務(wù)器群組安全訪問控制中間件中劃分到不 同的用戶組，針對不同的用戶組設(shè)置安全級別， 安全級別分為1-7級，可根據(jù)實 際需求設(shè)置相應(yīng)的級別。1-7級的安全層次為：1

3、級最低級，7級最高級，由1 到7逐級增高。即低密級用戶可以向高密級用戶發(fā)送郵件， 高密級用戶不得向低 密級用戶發(fā)送，保證信息流向的正確性，防止高密數(shù)據(jù)流向低密用戶。(3) 針對物理風(fēng)險，采取紅外對射、紅外報警、視頻監(jiān)控以及門禁系統(tǒng)進(jìn) 行防護(hù)。針對電磁泄射，采取線路干擾儀、視頻干擾儀以及紅黑電源隔離插座進(jìn) 行防護(hù)。2物理安全防護(hù)總體物理安全防護(hù)設(shè)計如下：(1) 周邊環(huán)境安全控制 xxx側(cè)和xxxM部署紅外對射和入侵報警系統(tǒng)。 部署視頻監(jiān)控，建立安防監(jiān)控中心，重點部位實時監(jiān)控。具體部署見下表：表1-1周邊安全建設(shè)序號保護(hù)部位現(xiàn)有防護(hù)措施需新增防護(hù)措施1人員出入通道2物資出入通道序號保護(hù)部位現(xiàn)有防護(hù)

4、措施需新增防護(hù)措施3南側(cè)4西側(cè)5東側(cè)6北側(cè)(2)要害部門部位安全控制增加電子門禁系統(tǒng)，采用智能IC卡和口令相結(jié)合的管理方式。具體防護(hù)措 施如下表所示：表1-2要害部門部位安全建設(shè)序號保護(hù)部門出入口控制現(xiàn)有安全措施新增安全措施1門鎖/登記/24H警衛(wèi)值班2門鎖3門鎖4門鎖5門鎖/登記6門鎖/登記7門鎖/登記8門鎖/登記9機(jī)房出入登記10門鎖(3)電磁泄漏防護(hù)建設(shè)內(nèi)容包括： 為使用非屏蔽雙絞線的鏈路加裝線路干擾儀。 為涉密信息系統(tǒng)內(nèi)的終端和服務(wù)器安裝紅黑電源隔離插座。 為視頻信號電磁泄漏風(fēng)險較大的終端安裝視頻干擾儀。通過以上建設(shè)，配合安防管理制度以及電磁泄漏防護(hù)管理制度 ，使 得達(dá)到物理安全防范到

5、位、重要視頻監(jiān)控?zé)o死角、進(jìn)出人員管理有序、實體入侵 報警響應(yīng)及時以及電磁泄漏信號無法捕捉、無法還原。2.1紅外對射(1)部署增加紅外對射裝置，防護(hù)邊界，具體部署位置如下表:表1-1紅外對射部署統(tǒng)計表序號部署位置數(shù)量(對)1東圍墻2北圍墻3合計部署方式如下圖所示:圖1-2紅外對射設(shè)備設(shè)備成對出現(xiàn)，在安裝地點雙向?qū)χ?，調(diào)整至相同水平位置。（2）第一次運行策略紅外對射24小時不間斷運行，當(dāng)有物體通過，光線被遮擋，接收機(jī)信號發(fā) 生變化，放大處理后報警。設(shè)置合適的響應(yīng)時間，以10米/秒的速度來確定最短 遮光時間；設(shè)置人的寬度為20厘米，則最短遮斷時間為20毫秒，大于20毫秒 報警，小于20毫秒不報警。（

6、3）設(shè)備管理及策略紅外對射設(shè)備由公安處負(fù)責(zé)管理，實時監(jiān)測設(shè)備運行情況及設(shè)備相應(yīng)情況， 定期對設(shè)備及傳輸線路進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。（4）部署后解決的風(fēng)險解決重點部位監(jiān)控及區(qū)域控制相關(guān)風(fēng)險。2.2紅外報警（1）部署增加紅外報警裝置，對保密要害部位實體入侵風(fēng)險進(jìn)行防護(hù)、 報警，具體部 署位置如下表：表1-2紅外報警部署統(tǒng)計表序號部署位置數(shù)量（個）1234合計設(shè)備形態(tài)如下圖所示:圖1-3紅外報警設(shè)備部署在兩處房間墻壁角落，安裝高度距離地面2.0-2.2米。(2) 第一次運行策略紅外報警24小時不間斷運行，設(shè)置檢測 37C特征性10 口波長的紅外線， 遠(yuǎn)離空調(diào)、暖氣等空氣溫度變

7、化敏感的地方，不間隔屏、家具或其他隔離物，不 直對窗口，防止窗外的熱氣流擾動和人員走動會引起誤報。(3) 設(shè)備管理及策略紅外報警設(shè)備由公安處負(fù)責(zé)管理，監(jiān)測設(shè)備運行情況及設(shè)備相應(yīng)情況， 定期 對設(shè)備進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。(4) 部署后解決的風(fēng)險解決重點部位監(jiān)控及區(qū)域控制相關(guān)風(fēng)險。2.3視頻監(jiān)控(1) 部署增加視頻監(jiān)控裝置，對周界、保密要害部門部位的人員出入情況進(jìn)行實時監(jiān) 控，具體部署位置如下表：表1-3視頻監(jiān)控部署統(tǒng)計表序號部署位置數(shù)量(個)12345678合計設(shè)備形態(tài)如下圖所示:圖1-4視頻監(jiān)控設(shè)備視頻監(jiān)控在室外采用云臺槍機(jī)式設(shè)備， 室內(nèi)采用半球式設(shè)備，部署在房間墻

8、壁角落，覆蓋門窗及重點區(qū)域。增加32路嵌入式硬盤錄像機(jī)一臺，用于對視頻采集信息的收集和壓縮存檔。 設(shè)備形態(tài)如下圖所示：圖1-5硬盤錄像機(jī)（2）第一次運行策略視頻監(jiān)控24小時不間斷運行，設(shè)置視頻采集格式為MPEG-4顯示分辨率768*576，存儲、回放分辨率 384*288。（3）設(shè)備管理及策略視頻監(jiān)控設(shè)備由公安處負(fù)責(zé)管理，實時監(jiān)測設(shè)備運行情況及設(shè)備相應(yīng)情況， 定期對設(shè)備及傳輸線路進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。（4）部署后解決的風(fēng)險解決重點部位監(jiān)控及區(qū)域控制相關(guān)風(fēng)險。2.4門禁系統(tǒng)（1）部署增加門禁系統(tǒng)，對保密要害部門部位人員出入情況進(jìn)行控制，并記錄日志，具體部署位置如下表：表

9、1-4門禁系統(tǒng)部署統(tǒng)計表序號部署位置數(shù)量（個）1234567891011合計部署示意圖如下圖所示:圖1-6門禁系統(tǒng)部署方式（2）第一次運行策略對每個通道設(shè)置權(quán)限，制作門禁卡，對可以進(jìn)出該通道的人進(jìn)行進(jìn)出方式的 授權(quán)，采取密碼+ 讀卡方式；設(shè)置可以通過該通道的人在什么時間范圍內(nèi)可以進(jìn) 出；實時提供每個門區(qū)人員的進(jìn)出情況、每個門區(qū)的狀態(tài)（包括門的開關(guān)，各種 非正常狀態(tài)報警等），設(shè)置在緊急狀態(tài)打開或關(guān)閉所有門區(qū)的功能；設(shè)置防尾隨 功能。（3）設(shè)備管理及策略門禁系統(tǒng)由公安處負(fù)責(zé)管理，定期監(jiān)測設(shè)備運行情況及設(shè)備相應(yīng)情況， 對設(shè) 備及傳輸線路進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。（4）部署后解決

10、的風(fēng)險解決重點部位監(jiān)控及區(qū)域控制相關(guān)風(fēng)險。2.5線路干擾儀（1）部署增加8 口線路干擾儀，防護(hù)傳輸數(shù)據(jù)沿網(wǎng)線以電磁傳導(dǎo)、 輻射發(fā)射、耦合等 方式泄漏的情況。將從交換機(jī)引至其布線最遠(yuǎn)端以及次遠(yuǎn)端的線纜插接至線路干 擾儀，并由線路干擾儀連接至最遠(yuǎn)端和次遠(yuǎn)端，將該設(shè)備進(jìn)行接地處理。具體部署位置如下表：表1-6線路干擾儀部署統(tǒng)計表序號部署位置數(shù)量（個）123合計設(shè)備形態(tài)如下圖所示:圖1-11線路干擾儀設(shè)備（2）第一次運行策略在網(wǎng)線中一對空線對上注入偽隨機(jī)寬帶掃頻加擾信號 ，使之能跟隨其他三 對網(wǎng)線上的信號并行傳輸?shù)搅硪唤K端；竊密者若再從網(wǎng)線或其他與網(wǎng)絡(luò)干線相平 行的導(dǎo)線（如電話線及電源線等）上竊取信息

11、，實際上所竊得的僅是已被加擾信 號充分湮沒了的混合信號。（3）設(shè)備管理及策略線路干擾儀由信息中心負(fù)責(zé)管理，對設(shè)備編號、標(biāo)識密級、擺放、調(diào)測、定 期對設(shè)備及傳輸線路進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。（4）部署后解決的風(fēng)險解決傳輸線路的電磁泄漏發(fā)射防護(hù)相關(guān)風(fēng)險。2.6視頻干擾儀（1）部署增加視頻干擾儀，防止對涉密終端視頻信息的竊取，對 XXX號樓存在的涉密 終端部署，將該設(shè)備進(jìn)行接地處理。、具體部署位置如下表：表1-7視頻干擾儀部署統(tǒng)計表序號部署位置數(shù)量（個）12311合計設(shè)備形態(tài)如下圖所示:圖1-12視頻干擾儀設(shè)備（2）第一次運行策略設(shè)置設(shè)備運行頻率為1000 MHz（3）設(shè)備管理

12、及策略視頻干擾儀由信息中心負(fù)責(zé)管理，監(jiān)測設(shè)備運行情況及設(shè)備相應(yīng)情況， 定期 對設(shè)備進(jìn)行檢查、維護(hù)，并定期向保密辦提交設(shè)備運維報告。（4）部署后解決的風(fēng)險解決信息設(shè)備的電磁泄漏發(fā)射防護(hù)相關(guān)風(fēng)險。2.7紅黑電源隔離插座（1）部署增加紅黑電源隔離插座，防護(hù)電源電磁泄漏，連接的紅黑電源需要進(jìn)行接地 處理。具體部署位置如下表：表1-8紅黑電源部署統(tǒng)計表序號部署位置數(shù)量（個）1涉密終端2服務(wù)器3UPS4合計產(chǎn)品形態(tài)如下圖所示:圖1-13紅黑電源隔離插座（2）運行維護(hù)策略要求所有涉密機(jī)均直接連接至紅黑電源上，紅黑電源上不得插接其他設(shè)備。 安裝在涉密終端及涉密單機(jī)的紅黑隔離電源由使用者維護(hù)，安裝在服務(wù)器的由信

13、息中心維護(hù)，出現(xiàn)問題向保密辦報告。（4）部署后解決的風(fēng)險解決信息設(shè)備的電磁泄漏發(fā)射防護(hù)相關(guān)風(fēng)險。3網(wǎng)絡(luò)安全防護(hù)3.1網(wǎng)閘使用1臺網(wǎng)閘連接主中心以及從屬中心，用于安全隔離及信息交換。（1）部署部署1臺網(wǎng)閘于主中心及從屬中心核心交換機(jī)之間， 做單向訪問控制與信息 交互。設(shè)備啟用路由模式，通過路由轉(zhuǎn)發(fā)連接主中心以及從屬中心，從物理層到應(yīng)用層終結(jié)所有的協(xié)議包，還原成原始應(yīng)用數(shù)據(jù)，以完全私有的方式傳遞到另一 個網(wǎng)絡(luò)，主中心以及從屬中心之間在任一時刻點上都不產(chǎn)生直接的物理連通。部署拓?fù)涫疽鈭D如下：從屬中心r;:一主中心從屬中心網(wǎng)閘主中心核心交換機(jī)核心交換機(jī)圖1-8網(wǎng)閘部署拓?fù)涫疽鈭D（2）第一次運行策略配置

14、從屬中心訪問主中心的權(quán)限，允許從屬中心特定地址訪問主中心所有服 務(wù)器，允許其他地址訪問公司內(nèi)部門戶以及人力資源系統(tǒng)，配置訪問內(nèi)部門戶 SQL server數(shù)據(jù)庫服務(wù)器，禁止其他所有訪問方式。配置網(wǎng)閘病毒掃描，對流 經(jīng)網(wǎng)閘設(shè)備數(shù)據(jù)進(jìn)行病毒安全掃描。 配置系統(tǒng)使用Https方式管理，確保管理安 全。（3）設(shè)備管理及策略網(wǎng)閘設(shè)備按照網(wǎng)閘運維管理制度進(jìn)行管理。a、由信息中心管理網(wǎng)閘設(shè)備，分別設(shè)置管理員、安全保密管理員、安全審 計員的口令，由“三員”分別管理。b、由信息中心對網(wǎng)閘設(shè)備進(jìn)行編號、標(biāo)識密級、安放至安全管理位置。c、信息中心負(fù)責(zé)網(wǎng)閘設(shè)備的日常運行維護(hù)，每周登陸設(shè)備查看設(shè)備配置、 設(shè)備自身運行狀

15、態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合 信息中心及時解決問題。e、信息中心負(fù)責(zé)網(wǎng)閘設(shè)備的維修管理，設(shè)備出現(xiàn)問題，通知保密辦，獲得 批準(zhǔn)后，負(fù)責(zé)設(shè)備的維修管理。（4）部署后解決的風(fēng)險解決兩網(wǎng)互聯(lián)的邊界防護(hù)問題，對應(yīng)用的訪問進(jìn)行細(xì)粒度的控制，各自隔離, 兩網(wǎng)在任一時刻點上都不產(chǎn)生直接的物理連通。3.2防火墻涉密信息系統(tǒng)采用防火墻系統(tǒng)1臺進(jìn)行邊界防護(hù)，用于涉密信息系統(tǒng)網(wǎng)關(guān)的 安全控制、網(wǎng)絡(luò)層審計等。防火墻系統(tǒng)部署于從屬中心。原有防火墻部署于主中 心，不做調(diào)整。（1）部署使用防火墻系統(tǒng)限制從屬中心終端訪問機(jī)密級服務(wù)器的權(quán)限，并且記錄所有與

16、服務(wù)器區(qū)進(jìn)行交互的日志。防火墻的 ethl 口、eth2 口設(shè)置為透明模式，配置 橋接口 fwbridgeO IP地址，配置管理方式為https方式，打開多VLAN開關(guān)，打 開tcp、udp、ICMP廣播過濾。防火墻的日志數(shù)據(jù)庫安裝在安全管理服務(wù)器上。 部署拓?fù)涫疽鈭D如下：秘密級服務(wù)器群從屬中心防火墻核心交換機(jī)圖1-9防火墻部署示意圖（2）第一次運行策略防火墻上設(shè)置訪問控制策略，并設(shè)定不同用戶所能訪問的資源：a、允許從屬中心授權(quán)用戶訪問軟件配置管理系統(tǒng)。b、開放系統(tǒng)內(nèi)所能使用到的端口，其他不使用的端口進(jìn)行全部禁止訪問限 制。c、可以依據(jù)保密辦相關(guān)規(guī)定設(shè)定審查關(guān)鍵字，對于流經(jīng)防火墻的數(shù)據(jù)流進(jìn) 行

17、關(guān)鍵字過濾。d、審計從屬中心用戶和服務(wù)器區(qū)域的數(shù)據(jù)交換信息，記錄審計日志。e、整個防火墻系統(tǒng)的整個運行過程和網(wǎng)絡(luò)信息流等信息，均進(jìn)行詳細(xì)的日 志記錄，方便管理員進(jìn)行審查。（3）設(shè)備管理及策略防火墻系統(tǒng)由信息中心進(jìn)行管理及維護(hù)，任何策略的改動均需要經(jīng)過保密辦 的討論后方可實施。防火墻的日志系統(tǒng)維護(hù)，日志的保存與備份按照 防火墻運 維管理制度進(jìn)行管理。a、由信息中心管理防火墻設(shè)備，分別設(shè)置管理員、安全保密管理員、安全 審計員的口令，由“三員”分別管理。b、由信息中心對防火墻設(shè)備進(jìn)行編號、標(biāo)識密級、安放至安全管理位置。c、信息中心負(fù)責(zé)防火墻設(shè)備的日常運行維護(hù)， 每周登陸設(shè)備查看設(shè)備配置、 設(shè)備自身運

18、行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合 信息中心及時解決問題。e、信息中心負(fù)責(zé)防火墻設(shè)備的維修管理，設(shè)備出現(xiàn)問題，通知保密辦，獲 得批準(zhǔn)后，負(fù)責(zé)設(shè)備的維修管理。（4）部署后解決的風(fēng)險原有防火墻保證主中心各Vian的三層邏輯隔離，對各安全域之間進(jìn)行訪問 控制，對網(wǎng)絡(luò)層訪問進(jìn)行記錄與審計，保證信息安全保密要求的訪問控制以及安 全審計部分要求。3.3入侵檢測系統(tǒng)使用原有入侵檢測設(shè)備進(jìn)行網(wǎng)絡(luò)層監(jiān)控， 保持原有部署及原有配置不變，設(shè) 備的管理維護(hù)依舊。此設(shè)備解決的風(fēng)險為對系統(tǒng)內(nèi)的安全事件監(jiān)控與報警， 滿足 入侵監(jiān)控要求。3.4違規(guī)外聯(lián)系

19、統(tǒng)（1）部署采用涉密計算機(jī)違規(guī)外聯(lián)監(jiān)控系統(tǒng)，部署于內(nèi)網(wǎng)終端、涉密單機(jī)及中間機(jī)上。 的違規(guī)外聯(lián)監(jiān)控系統(tǒng)采用B/S構(gòu)架部署，安裝1臺內(nèi)網(wǎng)監(jiān)控服務(wù)器、1臺外網(wǎng)監(jiān)Internet慶華公司違規(guī)外聯(lián)監(jiān)控公網(wǎng)報警服務(wù)器撥號、WLan 3G實時監(jiān)控內(nèi)網(wǎng)終端涉密單機(jī)涉密內(nèi)網(wǎng)實時監(jiān)控慶華公司違規(guī)外聯(lián)監(jiān)控內(nèi)網(wǎng)管理服務(wù)器中間機(jī)均 安 裝 違 規(guī) 外 聯(lián) 監(jiān) 控 系 統(tǒng) 客 戶控服務(wù)器，安裝645個客戶端，全部安裝于內(nèi)網(wǎng)終端、涉密單機(jī)以及中間機(jī)上 部署示意圖如下圖1-1違規(guī)外聯(lián)系統(tǒng)部署示意圖（2）第一次運行策略系統(tǒng)實時地監(jiān)測受控網(wǎng)絡(luò)內(nèi)主機(jī)及移動主機(jī)的活動，對非法內(nèi) /外聯(lián)行為由 報警控制中心記錄并向管理員提供準(zhǔn)確的告警

20、。 同時，按照預(yù)定的策略對非法連 接實施阻斷，防止數(shù)據(jù)外泄。報警控制中心能夠以手機(jī)短信、電子郵件兩種告警 方式向網(wǎng)絡(luò)管理員告警，其中手機(jī)短信是完全實時的告警，非常方便和及時。（3）設(shè)備管理及策略違規(guī)外聯(lián)監(jiān)控系統(tǒng)由信息中心進(jìn)行管理及維護(hù)，任何策略的改動均需要經(jīng)過 保密辦的討論后方可實施。違規(guī)外聯(lián)監(jiān)控系統(tǒng)的日志系統(tǒng)同時維護(hù)， 日志的保存 與備份按照違規(guī)外聯(lián)監(jiān)控系統(tǒng)運維管理制度進(jìn)行管理。a、由信息中心管理違規(guī)外聯(lián)監(jiān)控系統(tǒng)， 分別設(shè)置管理員、安全保密管理員、 安全審計員的口令，由“三員”分別管理。b、由信息中心對違規(guī)外聯(lián)監(jiān)控系統(tǒng)報警服務(wù)器進(jìn)行編號、標(biāo)識密級、安放 至安全管理位置。c、信息中心負(fù)責(zé)違規(guī)外

21、聯(lián)監(jiān)控系統(tǒng)的日常運行維護(hù)，每周登陸設(shè)備查看服 務(wù)器硬件運行狀態(tài)、策略配置、系統(tǒng)日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合 信息中心及時解決問題。e、信息中心負(fù)責(zé)違規(guī)外聯(lián)監(jiān)控系統(tǒng)服務(wù)器的維修管理，設(shè)備出現(xiàn)問題，通 知保密辦，獲得批準(zhǔn)后，聯(lián)系廠家負(fù)責(zé)設(shè)備的維修管理。f、當(dāng)系統(tǒng)出現(xiàn)新版本，由管理員負(fù)責(zé)及時更新系統(tǒng)并做好備份工作（4）部署后解決的風(fēng)險解決違規(guī)撥號、違規(guī)連接和違規(guī)無線上網(wǎng)等風(fēng)險。4應(yīng)用安全防護(hù)4.1服務(wù)器群組安全訪問控制中間件涉密信息系統(tǒng)采用服務(wù)器群組安全訪問控制中間件 2臺，用于涉密信息系統(tǒng) 主中心秘密級服務(wù)器、從屬中心秘密級服務(wù)器邊界的安全控制、應(yīng)

22、用身份認(rèn)證、 郵件轉(zhuǎn)發(fā)控制、網(wǎng)絡(luò)審計以及郵件審計等。防護(hù)主中心的XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX門戶；防護(hù)從屬中心的XXX系統(tǒng)以及XXX 類軟件系統(tǒng)。（1）部署由于主中心的終端之間以及從屬中心內(nèi)的終端之間數(shù)據(jù)流動均被設(shè)計為以 服務(wù)器為跳板進(jìn)行駐留轉(zhuǎn)發(fā)，所以在服務(wù)器前端的服務(wù)器群組安全訪問控制中間 件系統(tǒng)起到了很強(qiáng)的訪問控制功能，限制終端訪問服務(wù)器的權(quán)限并且記錄所有與 服務(wù)器區(qū)進(jìn)行交互的日志。服務(wù)器群組安全訪問控制中間件的ethl 口、eth2 口設(shè)置為透明模式，啟用橋接口進(jìn)行管理。部署拓?fù)涫疽鈭D如下：機(jī)密級服務(wù)器群機(jī)密級服務(wù)器群服務(wù)器安 全訪問控 制中間件服

23、務(wù)器安 全訪問控 制中間件圖1-10服務(wù)器群組安全訪問控制中間件部署示意圖（2）第一次運行策略服務(wù)器群組安全訪問控制中間件上設(shè)置訪問控制策略， 并設(shè)定不同用戶所能 訪問的服務(wù)器資源；設(shè)置郵件轉(zhuǎn)發(fā)控制功能，為每個用戶設(shè)置訪問賬號及密碼， 依據(jù)密級將用戶劃分至不同用戶組中，高密級用戶不得向低密級用戶發(fā)送郵件。 配置郵件審計功能，記錄發(fā)件人，收件人，抄送人，主題，附件名等。配置網(wǎng)絡(luò) 審計與控制功能，可以依據(jù)保密辦相關(guān)規(guī)定設(shè)定審查關(guān)鍵字， 對于流經(jīng)系統(tǒng)的數(shù) 據(jù)流進(jìn)行關(guān)鍵字過濾；審計內(nèi)部用戶和服務(wù)器區(qū)域的數(shù)據(jù)交換信息，審計應(yīng)用訪 問日志。（3）設(shè)備管理及策略服務(wù)器群組安全訪問控制中間件系統(tǒng)由信息中心進(jìn)行

24、管理及維護(hù)，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。 服務(wù)器群組安全訪問控制中間件的 日志系統(tǒng)維護(hù)，日志的保存與備份按照服務(wù)器群組安全訪問控制中間件運維管 理制度進(jìn)行管理。a、 由信息中心管理服務(wù)器群組安全訪問控制中間件設(shè)備，分別設(shè)置管理員、 安全保密管理員、安全審計員的口令，由“三員”分別管理。b、由信息中心分別對2臺服務(wù)器群組安全訪問控制中間件設(shè)備進(jìn)行編號、 標(biāo)識密級、安放至安全管理位置。c、信息中心負(fù)責(zé)服務(wù)器群組安全訪問控制中間件設(shè)備的日常運行維護(hù)，每 周登陸設(shè)備查看設(shè)備配置、設(shè)備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi) 容。d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原

25、因，各部門配合 信息中心及時解決問題。e、信息中心負(fù)責(zé)服務(wù)器群組安全訪問控制中間件設(shè)備的維修管理，設(shè)備出 現(xiàn)問題，通知保密辦，獲得批準(zhǔn)后，負(fù)責(zé)設(shè)備的維修管理。（4）部署后解決的風(fēng)險解決對應(yīng)用訪問的邊界防護(hù)、應(yīng)用及網(wǎng)絡(luò)審計、數(shù)據(jù)庫安全以及數(shù)據(jù)流向控 制，滿足邊界防護(hù)、安全審計及數(shù)據(jù)庫安全等要求。4.2 windows域控及補(bǔ)丁分發(fā)改造原有AD主域控制器及備份域控制器。（1）部署的主中心以及從屬中心均部署 AD主域控制器及備份域控制器，共計 2套， 并建立IIS服務(wù)器，安裝 WSU服務(wù)器，提供系統(tǒng)補(bǔ)丁強(qiáng)制更新服務(wù)。將終端系 統(tǒng)的安全性完全與活動目錄集成，用戶授權(quán)管理和目錄進(jìn)入控制整合在活動目錄 當(dāng)

26、中（包括用戶的訪問和登錄權(quán)限等）。通過實施安全策略，實現(xiàn)系統(tǒng)內(nèi)用戶登 錄身份認(rèn)證，集中控制用戶授權(quán)。終端操作基于策略的管理。通過設(shè)置組策略把 相應(yīng)各種策略（包括安全策略）實施到組策略對象中。部署拓?fù)涫疽鈭D如下：圖1-7域控及WSUS部署示意圖(2) 第一次運行策略建立好域成員及其密碼，將所有內(nèi)網(wǎng)終端的本地賬號權(quán)限收回，內(nèi)網(wǎng)終端只 能使用管理員下發(fā)的域成員用戶登錄系統(tǒng)。 通過組策略指定不同安全域用戶口令 的復(fù)雜性、長度、使用周期、鎖定策略，指定每一個用戶可登錄的機(jī)器。機(jī)密級 終端需要將USB-KEY令牌與域用戶登錄結(jié)合使用，達(dá)到“雙因子”鑒別的過程。設(shè)置終端用戶工作環(huán)境，隱藏用戶無用的桌面圖標(biāo)，

27、刪除“開始”菜單中的“運行”、“搜索”功能。啟用內(nèi)網(wǎng)WindowsXP終端內(nèi)置的WSU客戶端。由系統(tǒng)漏洞的官方漏洞發(fā)布 頁下載完整的系統(tǒng)漏洞修復(fù)程序，將此程序通過中間機(jī)系統(tǒng)導(dǎo)入涉密信息系統(tǒng)， 在WSU服務(wù)器端導(dǎo)入此程序，由WSU服務(wù)器下發(fā)系統(tǒng)補(bǔ)丁強(qiáng)制修復(fù)策略， 強(qiáng)制 更新各個終端的系統(tǒng)漏洞。(3) 設(shè)備管理及策略AD域控系統(tǒng)以及WSUS卜丁分發(fā)系統(tǒng)由信息中心進(jìn)行管理及維護(hù)，域控組策 略的改動均需要經(jīng)過保密辦的討論后方可操作。 WSUS系統(tǒng)的升級更新按照與 管理及補(bǔ)丁分發(fā)運維管理制度進(jìn)行管理。a、由信息中心管理AD域控系統(tǒng)以及 WSUS卜丁分發(fā)系統(tǒng)，分別設(shè)置管理員、 安全保密管理員、安全審計員的

28、口令，由“三員”分別管理。b、由信息中心分別對2套AD域控系統(tǒng)以及WSUS卜丁分發(fā)系統(tǒng)服務(wù)器進(jìn)行 編號、標(biāo)識密級、安放至安全管理位置。c、信息中心負(fù)責(zé)AD域控系統(tǒng)以及 WSUS卜丁分發(fā)系統(tǒng)服務(wù)器的日常運行維 護(hù)，每周登陸服務(wù)器查看服務(wù)器硬件運行狀態(tài)、組策略配置、域成員狀態(tài)、系統(tǒng) 日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常系統(tǒng)日志及時通報保密辦，并查找原因，追究根源。(4) 部署后解決的風(fēng)險解決部分身份鑒別以及操作系統(tǒng)安全相關(guān)風(fēng)險。4.3網(wǎng)絡(luò)安全審計使用網(wǎng)絡(luò)安全審計系統(tǒng)2臺，用于對涉密信息系統(tǒng)的網(wǎng)絡(luò)及應(yīng)用進(jìn)行安全審 計和監(jiān)控。審計功能包括：應(yīng)用層協(xié)議還原審計、數(shù)據(jù)庫審計、網(wǎng)絡(luò)行為審計、 自定義關(guān)鍵字審計等

29、。（1）部署旁路部署于核心交換機(jī)的鏡像目的接口， 部署數(shù)量為2臺，分別部署于主中 心以及從屬中心的核心交換機(jī)上。 設(shè)置其管理地址，用于系統(tǒng)管理及維護(hù)。部署 拓?fù)涫疽鈭D如下：從屬中心網(wǎng)閘主中心核心交換機(jī)核心交換機(jī)圖1-14網(wǎng)絡(luò)安全審計部署示意圖（2）第一次運行策略配置審計http、P0P3Smtp im ap、tel net、FTP協(xié)議以及自定義審計 1433、 8080、27000、1043、1034、1037、1041、1040、1042、6035、7777、3690端口； 依據(jù)保密規(guī)定設(shè)定相關(guān)關(guān)鍵詞字，審計關(guān)鍵詞字；使用 Https方式管理系統(tǒng)。（3）設(shè)備管理及策略網(wǎng)絡(luò)安全審計系統(tǒng)由信息中

30、心進(jìn)行管理及維護(hù)，審計策略的改動均需要經(jīng)過 保密辦的討論后方可操作。網(wǎng)絡(luò)安全審計系統(tǒng)的日志系統(tǒng)維護(hù)，日志的保存與備 份按照網(wǎng)絡(luò)安全審計運維管理制度進(jìn)行管理。a、 由信息中心管理網(wǎng)絡(luò)安全審計設(shè)備， 分別設(shè)置管理員、安全保密管理員、 安全審計員的口令，由“三員”分別管理。b、由信息中心分別對2臺網(wǎng)絡(luò)安全審計設(shè)備進(jìn)行編號、標(biāo)識密級、安放至 安全管理位置。c、信息中心負(fù)責(zé)網(wǎng)絡(luò)安全審計系統(tǒng)的日常運行維護(hù)，每周登陸設(shè)備查看設(shè) 備配置、設(shè)備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常審計日志及時通報保密辦，并查找原因，追究根源。e、信息中心負(fù)責(zé)網(wǎng)絡(luò)安全審計系統(tǒng)的維修管理，設(shè)備出現(xiàn)問題，

31、通知保密 辦，獲得批準(zhǔn)后，負(fù)責(zé)設(shè)備的維修管理（4）部署后解決的風(fēng)險解決應(yīng)用審計，針對內(nèi)容進(jìn)行審計記錄，滿足安全審計相關(guān)要求。5終端安全防護(hù)5.1防病毒系統(tǒng)將使用網(wǎng)絡(luò)版防病毒軟件建立病毒防護(hù)系統(tǒng)，共計26個服務(wù)器端，419個客戶端，分別部署在主中心以及從屬中心。將使用單機(jī)版防病毒軟件建立中間機(jī)、單機(jī)及便攜式計算機(jī)病毒防護(hù)系統(tǒng)， 共計226個終端。（1）部署防病毒系統(tǒng)采用客戶端+服務(wù)器結(jié)構(gòu)，服務(wù)器由信息中心負(fù)責(zé)管理。殺毒中心安裝：安裝在安全管理服務(wù)器上，設(shè)置好admin密碼，并且將注冊 信息輸入到殺毒控制中心。服務(wù)器安裝：在各類服務(wù)器上安裝殺毒服務(wù)器端，設(shè)置殺毒中心的IP地址， 并保持與殺毒中心的

32、實時通信?？蛻舳税惭b：所有的內(nèi)外終端均安裝客戶端殺毒程序，設(shè)置殺毒中心的IP地址，與殺毒中心同步。單機(jī)防病毒系統(tǒng)直接部署在涉密單機(jī)及中間機(jī)上。（2）第一次運行策略防病毒控制中心服務(wù)器部署在保密室。網(wǎng)絡(luò)防病毒系統(tǒng)連接在核心交換機(jī)的 access接口上。交換機(jī)接口配置Vian二層信息為：接口類型為access，為其劃 分Vian，使得其與其他Vian不能通過二層相通，使得網(wǎng)絡(luò)防病毒系統(tǒng)需要通過 三層與其他Vian通信，即網(wǎng)絡(luò)防病毒系統(tǒng)可以對網(wǎng)絡(luò)中所有的主機(jī)設(shè)備進(jìn)行殺 毒統(tǒng)一管理和在線控制。所有接入網(wǎng)絡(luò)的終端計算機(jī)和應(yīng)用服務(wù)器（win dows操作系統(tǒng)）都安裝防病 毒軟件，管理員通過控制臺實現(xiàn)對全網(wǎng)

33、防病毒系統(tǒng)的統(tǒng)一管理，并強(qiáng)制在用戶接 入網(wǎng)絡(luò)時安裝防病毒客戶端。升級方式為：在非涉密計算機(jī)上從互聯(lián)網(wǎng)下載最新的防病毒系統(tǒng)升級包，刻制成光盤。將此光盤上的防病毒系統(tǒng)升級包通過非涉密中間機(jī)導(dǎo)入到涉密光盤 上,帶入到涉密內(nèi)網(wǎng)的防病毒系統(tǒng)服務(wù)器上。利用服務(wù)器上的防病毒系統(tǒng)服務(wù)端 提供的接口導(dǎo)入升級包，再通過服務(wù)端將更新了的病毒庫向每一臺防病毒系統(tǒng)客 戶端進(jìn)行強(qiáng)制更新。防病毒管理：定期升級病毒特征庫，每周不少于一次；定期進(jìn)行全網(wǎng)殺毒掃 描，每天計劃不少于一次；每月檢查防病毒系統(tǒng)的運行情況并記錄， 備份并存儲 病毒日志；制定應(yīng)急預(yù)案，防止病毒大面積爆發(fā)。（3）設(shè)備管理及策略為了防止計算機(jī)病毒或惡意代碼傳播

34、，將采取如下措施：a、制定涉密信息系統(tǒng)運行管理制度，該管理辦法將與涉密信息系統(tǒng)的建 設(shè)同時進(jìn)行制定，同時加強(qiáng)審計，確保策略的正確實施；b、加強(qiáng)存儲設(shè)備的接入管理，對接入系統(tǒng)的存儲設(shè)備必須先經(jīng)過計算機(jī)病 毒和惡意代碼檢查處理；c、所有的涉密計算機(jī)usb及光驅(qū)等接口均通過授權(quán)才能使用，防止系統(tǒng)用 戶私自安裝軟件或使用usb設(shè)備帶病毒入網(wǎng)。（4）部署后解決的風(fēng)險解決計算機(jī)病毒與惡意代碼防護(hù)、操作系統(tǒng)安全相關(guān)風(fēng)險。5.2惡意程序輔助檢測系統(tǒng)涉密信息系統(tǒng)采用惡意程序輔助檢測系統(tǒng)，用于涉密信息系統(tǒng)的中間機(jī)信息 輸入輸出介質(zhì)的惡意程序及木馬病毒查殺及管控。（1）部署系統(tǒng)采用單機(jī)部署在中間機(jī)上的結(jié)構(gòu)。 共4臺

35、中間機(jī)，主中心2臺，從屬中 心2臺，分別為涉密中間機(jī)以及非涉密中間機(jī)。4臺中間機(jī)上均安裝惡意程序輔 助檢測系統(tǒng)，對中間機(jī)潛在的惡意程序及木馬進(jìn)行管控。（2）第一次運行策略使用惡意程序輔助檢測系統(tǒng)接管系統(tǒng)關(guān)鍵服務(wù)、限制未知程序啟動、未知驅(qū) 動加載、設(shè)置策略進(jìn)行惡意代碼掃描、設(shè)置策略攔截惡意程序的盜取行為。（3）設(shè)備管理及策略惡意程序輔助檢測系統(tǒng)由信息中心進(jìn)行管理及維護(hù)，任何策略的改動均需要 經(jīng)過保密辦的討論后方可實施。惡意程序輔助檢測系統(tǒng)的日志系統(tǒng)同時維護(hù)， 日 志的保存與備份按照惡意程序輔助檢測系統(tǒng)運維管理制度進(jìn)行管理。a、由信息中心管理惡意程序輔助檢測系統(tǒng)，分別設(shè)置管理員、安全保密管 理員、

36、安全審計員的口令，由“三員”分別管理。b、由信息中心對中間機(jī)進(jìn)行編號、標(biāo)識密級、記錄安放位置并指定中間機(jī)負(fù)責(zé)人。c、信息中心負(fù)責(zé)定期到中間機(jī)提取審計日志信息等內(nèi)容。d、信息中心發(fā)現(xiàn)高風(fēng)險事件及時通報保密辦，并查找風(fēng)險源頭，各部門配 合信息中心及時解決問題。e、中間機(jī)負(fù)責(zé)人嚴(yán)格遵守 惡意程序輔助檢測系統(tǒng)運維管理制度，使用中 間機(jī)需要進(jìn)行申請、審批、登記擺渡內(nèi)容、使用惡意程序輔助檢測系統(tǒng)防止擺渡 介質(zhì)可能攜帶的惡意程序及木馬危害系統(tǒng)。（4）部署后解決的風(fēng)險解決中間機(jī)計算機(jī)病毒與惡意代碼防護(hù)相關(guān)風(fēng)險。5.3主機(jī)監(jiān)控與審計系統(tǒng)使用原有主機(jī)監(jiān)控與審計系統(tǒng)進(jìn)行對終端行為監(jiān)控和限制，保持原有部署及 原有配置

37、不變，管理方式及策略依舊。此設(shè)備解決的風(fēng)險為設(shè)備數(shù)據(jù)接口控制、 主機(jī)安全審計風(fēng)險。5.4移動介質(zhì)管理系統(tǒng)采用移動介質(zhì)管理系統(tǒng)對公司移動存儲介質(zhì)進(jìn)行管理。（1）部署使用一臺單機(jī)作為移動存儲介質(zhì)的系統(tǒng)管理機(jī)，安裝涉密移動存儲介質(zhì)保密 管理系統(tǒng)以及審計平臺。該單機(jī)放置于信息中心，由信息中心管理維護(hù)。部署30個客戶端。具體分布如下表所示。表1-5移動介質(zhì)系統(tǒng)部署匯總表序號部署位置數(shù)量12345678910合計（2）第一次運行策略使用移動介質(zhì)管理系統(tǒng)對公司移動存儲介質(zhì)進(jìn)行：注冊登記、授權(quán)、定密、 發(fā)放、收回、銷毀、刪除。采用全盤加密技術(shù)，防止格式化U盤后進(jìn)行數(shù)據(jù)恢復(fù)。（3）設(shè)備管理及策略移動介質(zhì)下發(fā)至各

38、部門，由各部門進(jìn)行統(tǒng)一管理，保密辦進(jìn)行二級管理，借 用需要通過部門領(lǐng)導(dǎo)的審批，登記后進(jìn)行使用，并限定使用時間及使用范圍。采 取的技術(shù)防護(hù)手段為主機(jī)監(jiān)控與審計系統(tǒng)，進(jìn)行移動介質(zhì)設(shè)備的管控與日志記 錄。移動介質(zhì)出現(xiàn)硬件問題后，交由保密辦統(tǒng)一封存處理。（4）部署后解決的風(fēng)險解決介質(zhì)安全存在的風(fēng)險。5.5終端安全登錄及身份認(rèn)證系統(tǒng)采用終端安全登錄與監(jiān)控審計系統(tǒng)（網(wǎng)絡(luò)版），用于對機(jī)密級終端的“雙因 子”登錄身份認(rèn)證。采用終端安全登錄與監(jiān)控審計系統(tǒng)（單機(jī)版），用于對涉密 單機(jī)、中間機(jī)登錄身份認(rèn)證、主機(jī)監(jiān)控與審計。（1）部署終端安全登錄與監(jiān)控審計系統(tǒng)（網(wǎng)絡(luò)版）服務(wù)器部署于安全管理區(qū)，數(shù)量為 2套，分別部署于

39、主中心和從屬中心。 認(rèn)證客戶端安裝于機(jī)密級終端上， 共計89 臺。單機(jī)版直接部署在具所有的中間機(jī)以及涉密單機(jī)上。（2）第一次運行策略所有終端的策略采取以下方式進(jìn)行：開機(jī)安全登錄與認(rèn)證，關(guān)閉光驅(qū)、軟驅(qū)、 串口、并口、紅外、藍(lán)牙、網(wǎng)絡(luò)接口、1394火線、PDA USB存儲自由使用。禁止修改注冊表、安裝軟件、安全模式啟動、外聯(lián)、更換設(shè)備。禁止打印、監(jiān)控文 件操作。特殊的終端如果需要開放特殊策略， 則必須由保密辦審批核準(zhǔn)后，由信 息中心系統(tǒng)管理員進(jìn)行策略的調(diào)整與下發(fā)。（3）設(shè)備管理及策略終端安全登錄與監(jiān)控審計系統(tǒng)由信息中心進(jìn)行管理及維護(hù)，任何策略的改動 均需要經(jīng)過保密辦的討論后方可實施。終端安全登錄與監(jiān)控審計系統(tǒng)的日志系統(tǒng) 同時維護(hù)，日志的保存與備份按照終端安全登錄與監(jiān)控審計系統(tǒng)運維管理制度 進(jìn)行管理。a、由信息中心管理終端安全登錄與監(jiān)控審計系統(tǒng)，分別設(shè)置管理員、安全 保密管理員、安全審計員的口令，由“三員”分別管理。b、 由信息中心對終端安全登錄與監(jiān)控審計系統(tǒng)服務(wù)器進(jìn)行編號、標(biāo)識密級、 安放至安全管理位置。c、信息中心負(fù)責(zé)終端安全登錄與監(jiān)控審計系統(tǒng)的日常運行維護(hù)，每周登陸 設(shè)備查看服務(wù)器硬件運行狀態(tài)、策略配置、系統(tǒng)日志等內(nèi)容。d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問