信息安全等級保護(hù)(樊山)教程文件

1、信息安全等級保護(hù)(樊山)信息安全等級保護(hù)的目的 國際上計算機犯罪正以每年100%的速度增長。在Internet網(wǎng)上的黑客攻擊事件也以每年10倍的速度在增長;計算機病毒從1998年發(fā)現(xiàn)首例以來,增長的速度呈幾何級數(shù)。 據(jù)美國審計總署資料：世界上120余個國家已經(jīng)或正在研究進(jìn)入計算機網(wǎng)絡(luò)的手段。1995年，入侵美國國防部計算機網(wǎng)絡(luò)的事件多達(dá)25萬次，其中65%（16.25萬次）獲得了成功。歐美等國金融機構(gòu)的計算機網(wǎng)絡(luò)被入侵的比例高達(dá)77%，我國近幾年來計算機犯罪也以30%的速度在增長。國內(nèi)90%以上的電子商務(wù)網(wǎng)站存在嚴(yán)重的安全漏洞。信息安全等級保護(hù)測評方法和意義 等級測評和自查要求。 管理辦法第十

2、四條規(guī)定，信息系統(tǒng)建設(shè)完成后，運營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測評機構(gòu)，依據(jù)信息系統(tǒng)安全等級保護(hù)測評要求等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)安全等級狀況開展等級測評。 第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次等級測評，第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次等級測評，第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級測評。 經(jīng)測評或者自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，運營、使用單位應(yīng)當(dāng)制定方案進(jìn)行整改。 信息安全等級保護(hù)測評方法和意義信息系統(tǒng)安全等級保護(hù)測評要求信息系統(tǒng)安全等級保護(hù)測評要求 安全技術(shù)測評安全技術(shù)測評安全管理測評安全管理測評物理安全物理安全網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全主機系統(tǒng)安全主

3、機系統(tǒng)安全應(yīng)用安全應(yīng)用安全數(shù)據(jù)安全數(shù)據(jù)安全安全管理機構(gòu)安全管理機構(gòu)安全管理制度安全管理制度人員安全管理人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理系統(tǒng)運維管理信息安全等級保護(hù)測評方法和意義 案例： 系統(tǒng)簡述： 某省政府網(wǎng)站系統(tǒng)ZFWZ，用于發(fā)布政務(wù)公開信息、地方行政法規(guī)和管理措施、領(lǐng)導(dǎo)講話、政府辦事流程、新聞發(fā)布、政府公告、舉報投訴、省內(nèi)經(jīng)濟形勢介紹、電子表單下載等信息，服務(wù)對象主要是省內(nèi)企業(yè)和市民。信息安全等級保護(hù)測評方法和意義 ZFWZ系統(tǒng)等級確定過程： ZFWZ系統(tǒng)是省政府對社會辦公的窗口，其中發(fā)布的信息內(nèi)容代表政府形象和體現(xiàn)政府的社會管理和社會服務(wù)職能，因此該信息安全被破壞可能對社

4、會秩序造成一定影響； 由于省政府網(wǎng)站的訪問量并不很大，信息被篡改可能造成的不良社會影響不會很大，因此對社會秩序的侵害程度為一般損害；信息安全等級保護(hù)測評方法和意義 3.查表知ZFWZ系統(tǒng)的業(yè)務(wù)信息安全保護(hù)等級為第二級，如下表所示。業(yè)務(wù)信息安全被破壞時業(yè)務(wù)信息安全被破壞時所侵害的客體所侵害的客體對相應(yīng)客體的侵害程度對相應(yīng)客體的侵害程度一般損害一般損害嚴(yán)重?fù)p害嚴(yán)重?fù)p害特別嚴(yán)重特別嚴(yán)重?fù)p害損害公民、法人和其他組織公民、法人和其他組織的合法權(quán)益的合法權(quán)益第一級第一級第二級第二級第二級第二級社會秩序、公共利益社會秩序、公共利益第二級第二級第三級第三級第四級第四級國家安全國家安全第三級第三級第四級第四級第

5、五級第五級信息安全等級保護(hù)測評方法和意義4. ZFWZ系統(tǒng)為省內(nèi)企業(yè)和市民提供政府信息查詢和下載服務(wù)，其系統(tǒng)服務(wù)如果不可用侵害的不是省政府本身的利益，而是公眾獲取公開信息的公眾利益；5.但由于沒有必須通過網(wǎng)絡(luò)才能夠執(zhí)行的辦事流程，ZFWZ系統(tǒng)對服務(wù)實時性和服務(wù)質(zhì)量要求不高，政務(wù)服務(wù)工作主要通過網(wǎng)絡(luò)之外完成，網(wǎng)絡(luò)僅提供相關(guān)信息和表單下載，網(wǎng)站不能提供服務(wù)對市民辦事影響不大；信息安全等級保護(hù)測評方法和意義 6.查表知ZFWZ系統(tǒng)的業(yè)務(wù)服務(wù)安全保護(hù)等級為第二級，如下表所示： 7. ZFWZ系統(tǒng)的安全保護(hù)等級為第二級。系統(tǒng)服務(wù)安全被破壞時所系統(tǒng)服務(wù)安全被破壞時所侵害的客體侵害的客體對相應(yīng)客體的侵害程度

6、對相應(yīng)客體的侵害程度一般損害一般損害嚴(yán)重?fù)p害嚴(yán)重?fù)p害特別嚴(yán)重特別嚴(yán)重?fù)p害損害公民、法人和其他組織的公民、法人和其他組織的合法權(quán)益合法權(quán)益第一級第一級第二級第二級第二級第二級社會秩序、公共利益社會秩序、公共利益第二級第二級第三級第三級第四級第四級國家安全國家安全第三級第三級第四級第四級第五級第五級信息安全等級保護(hù)測評方法和意義 測評實施 一、確定資產(chǎn)與邊界（范圍） 1、操作系統(tǒng) 序號序號名名 稱稱型號型號操作系統(tǒng)操作系統(tǒng)1門戶服務(wù)器IBM openpower 710SUSE Linux3應(yīng)用/DB服務(wù)器IBM p550AIX5.2 pack64RA服務(wù)器信安服務(wù)器SUSE Linux信息安全等級

7、保護(hù)測評方法和意義 2、網(wǎng)絡(luò)設(shè)備序號序號名名 稱稱型號型號操作系統(tǒng)操作系統(tǒng)1 1路由器路由器Quidway AR 46-20IosIos2 2交換機交換機Quidway S2403H-EIIosIos3 3交換機交換機Quidway S3928P-EIIosIos4 4外層防火墻外層防火墻系統(tǒng)系統(tǒng)天融信天融信NGFW4000-G ANTIVIRUS-MODULE-500ANTIVIRUS-MODULE-500IosIos信息安全等級保護(hù)測評方法和意義二、測評項目安全技術(shù)測評包括：物理安全、網(wǎng)絡(luò)安全、主機系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個層面。1、物理安全物理位置的選擇、物理訪問控制、防盜竊和防

8、破物理位置的選擇、物理訪問控制、防盜竊和防破環(huán)、防雷擊、防火、防水和防潮、防靜電、溫濕環(huán)、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)度控制、電力供應(yīng)、電磁防護(hù) 測試方法：訪談、檢查。 信息安全等級保護(hù)測評方法和意義 2、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)安全 結(jié)構(gòu)安全與網(wǎng)段劃分結(jié)構(gòu)安全與網(wǎng)段劃分、網(wǎng)絡(luò)訪問控制網(wǎng)絡(luò)訪問控制、撥號撥號訪問控制訪問控制、網(wǎng)絡(luò)安全審計網(wǎng)絡(luò)安全審計、邊界完整性檢查邊界完整性檢查、網(wǎng)絡(luò)入侵防范網(wǎng)絡(luò)入侵防范、惡意代碼防范惡意代碼防范、網(wǎng)絡(luò)設(shè)備防網(wǎng)絡(luò)設(shè)備防護(hù)護(hù) 信息安全等級保護(hù)測評方法和意義路由器/交換機網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；應(yīng)在業(yè)務(wù)

9、終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑；應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實現(xiàn)對應(yīng)用層協(xié)議命令級的控制；應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行全面的監(jiān)測、記錄；安全審計應(yīng)可以對特定事件提供指定方式的實時報警；應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；應(yīng)具有登錄失敗處理功能，如：結(jié)束會話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時，自動退出；測試方法：命令檢查、配置界面、日志報表檢查。 信息安全等級保護(hù)測評方法和意義防火墻應(yīng)設(shè)計和繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信

10、息的主機名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；對于每一個事件，其審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功，及其他與審計相關(guān)的信息；信息安全等級保護(hù)測評方法和意義 安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表； 安全審計應(yīng)可以對特定事件，提供指定方式的實時報警； 審計記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋； 應(yīng)在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP

11、碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵事件的發(fā)生； 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別； 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制； 測試方法：命令檢查、配置界面、日志報表檢查。信息安全等級保護(hù)測評方法和意義 3、主機系統(tǒng)安全 身份鑒別、自主訪問控制、安全審計、系統(tǒng)保護(hù)、剩余信息保護(hù)、惡意代碼防范、資源控制 4、應(yīng)用安全 身份鑒別、訪問控制、安全審計、剩余信息保護(hù)、通信完整性、通信保密性、軟件容錯、資源控制、代碼安全 5、數(shù)據(jù)安全 數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份和恢復(fù)信息安全等級保護(hù)測評方法和意義安全管理測評安全管理測評包括：安全管理機構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等五個方面。

12、1、安全管理機構(gòu)崗位設(shè)置、人員配備、授權(quán)和審批、溝通和合作、審核和檢查 2、安全管理制度管理制度、制定和發(fā)布、評審和修訂3、人員安全管理人員錄用、人員離崗、人員考核、安全意識教育和培訓(xùn)、第三方人員訪問管理 信息安全等級保護(hù)測評方法和意義 4、系統(tǒng)建設(shè)管理 系統(tǒng)定級、安全方案設(shè)計、產(chǎn)品采購、自行軟件開發(fā)、外包軟件開發(fā)、工程實施、測試驗收、系統(tǒng)交付、安全服務(wù)商選擇 5、 系統(tǒng)運維管理 環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理信息安全等級保護(hù)測評方法和意義人員訪談人員訪談測試內(nèi)容：針

13、對組織內(nèi)的安全管理人員、安全員、安全主管、工作人員、關(guān)鍵活動批準(zhǔn)人、管理人員（負(fù)責(zé)定期評審、修訂和日常維護(hù)的人員）、機房值守人員、人事負(fù)責(zé)人、人事工作人員、審計員、網(wǎng)絡(luò)管理員、文檔管理員、物理安全負(fù)責(zé)人、系統(tǒng)管理員、系統(tǒng)建設(shè)負(fù)責(zé)人、系統(tǒng)運維負(fù)責(zé)人、資產(chǎn)管理員等不同類型崗位的人員訪談測試方法：訪談相關(guān)人員文檔檢查文檔檢查測試內(nèi)容：安全管理機構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理等方面的文檔檢查測試方法 : 查看相關(guān)文件 編號編號輸入輸入輸出輸出描述描述1測評項目任務(wù)書測評收費核算單測評項目任務(wù)書的成員名單用戶資料使用登記表項目經(jīng)理確定項目組成員信息系統(tǒng)基本信息調(diào)查表被測單位填

14、寫項目經(jīng)理發(fā)送的信息系統(tǒng)基本信息調(diào)查表信息系統(tǒng)基本信息調(diào)查表和相關(guān)文檔資料信息系統(tǒng)調(diào)研報告項目組編寫信息系統(tǒng)基本信息調(diào)查表信息系統(tǒng)調(diào)研報告和相關(guān)文檔資料信息系統(tǒng)測評實施方案信息系統(tǒng)測評實施計劃項目組制定技術(shù)主管審核中心主任簽字5信息系統(tǒng)測評實施方案信息系統(tǒng)測評實施計劃用戶確認(rèn)意見項目組和被測單位召開協(xié)調(diào)會議6信息系統(tǒng)測評實施方案信息系統(tǒng)測評實施計劃用戶確認(rèn)意見安全技術(shù)測試記錄表安全管理核查記錄表測評前設(shè)備核查記錄項目組定制7信息系統(tǒng)測評實施方案信息系統(tǒng)測評實施計劃項目分工方案項目經(jīng)理8測試工作準(zhǔn)備通知待檢查文檔資料待檢查現(xiàn)場記錄備份系統(tǒng)被測單位信息安全等級保護(hù)測評方法和意義編號編號輸入輸入輸出

15、輸出描述描述工具、方法工具、方法1系統(tǒng)測評實施方案檢查表單安全技術(shù)測試檢查表安全管理核查記錄表項目經(jīng)理與用戶商定協(xié)調(diào)會的時間、參加人員、會議的大體內(nèi)容討論2測評計劃實施方案信息系統(tǒng)運行情況驗證記錄用戶簽字用戶簽字確認(rèn)開協(xié)調(diào)會3測評計劃實施方案測評工具使用情況記錄項目組準(zhǔn)備現(xiàn)場記錄表測評管理工具4測評計劃實施方案安全技術(shù)測試檢查表安全管理核查記錄表信息系統(tǒng)核查測試報告信息系統(tǒng)測評監(jiān)督記錄表質(zhì)量監(jiān)督員簽字確認(rèn)5信息系統(tǒng)核查測試報告副主任審核意見審核6歸還文檔列表確認(rèn)單確認(rèn)單信息安全等級保護(hù)測評方法和意義編號編號輸入輸入輸出輸出描述描述工具、方法工具、方法1系統(tǒng)測評實施方案檢查表單安全技術(shù)測試檢查表

16、安全管理核查記錄表項目經(jīng)理與用戶商定協(xié)調(diào)會的時間、參加人員、會議的大體內(nèi)容討論2測評計劃實施方案信息系統(tǒng)運行情況驗證記錄用戶簽字用戶簽字確認(rèn)開協(xié)調(diào)會3測評計劃實施方案測評工具使用情況記錄項目組準(zhǔn)備現(xiàn)場記錄表測評管理工具4測評計劃實施方案安全技術(shù)測試檢查表安全管理核查記錄表信息系統(tǒng)核查測試報告信息系統(tǒng)測評監(jiān)督記錄表質(zhì)量監(jiān)督員簽字確認(rèn)5信息系統(tǒng)核查測試報告副主任審核意見審核6歸還文檔列表確認(rèn)單確認(rèn)單信息安全等級保護(hù)測評方法和意義 在本次系統(tǒng)測評項目中需要配合的工作如下： 提供組織結(jié)構(gòu)及人員職責(zé)分配表 提供系統(tǒng)網(wǎng)絡(luò)管理員名單 提供各業(yè)務(wù)系統(tǒng)相應(yīng)管理員名單 填寫信息系統(tǒng)安全需求調(diào)查表和信息系統(tǒng)基本信息調(diào)查報告 提供自評審計報告 提供系統(tǒng)各種業(yè)務(wù)應(yīng)用網(wǎng)絡(luò)拓?fù)浜驼f明 提供安全管理制度、操作規(guī)程等相關(guān)文檔，并配合管理測評的訪談、檢查信息安全等級保護(hù)測評方法和意義 提供被評估系統(tǒng)的設(shè)備、軟件清單 協(xié)調(diào)系統(tǒng)相關(guān)人員填寫調(diào)查表 對各業(yè)務(wù)系統(tǒng)的流程進(jìn)行介紹 提供本地和遠(yuǎn)程測評系統(tǒng)的訪問權(quán)限 為工具掃描測評提供適當(dāng)?shù)木W(wǎng)絡(luò)環(huán)境和權(quán)限 需要目標(biāo)網(wǎng)絡(luò)管理員對系統(tǒng)整體測評的配合 現(xiàn)場檢查測試后在系統(tǒng)運行情況驗證記錄表上簽字確認(rèn) 相關(guān)人員協(xié)助評估，回答有關(guān)調(diào)查問卷和問題，參加確認(rèn)協(xié)調(diào)會，對每一階段測評結(jié)果書面確認(rèn) 提供合適的會議室及辦公環(huán)境供交流使用建設(shè)信息安全的萬里長城