深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書

1、SANGFOR深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書深仁服科技 深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書深信服科技有限公司2015年3月目錄TOC o 1-5 h z等級保護(hù)概述3 HYPERLINK l bookmark4 o Current Document 深信服等級保護(hù)咨詢服務(wù)流程4 HYPERLINK l bookmark6 o Current Document 定級備案4 HYPERLINK l bookmark8 o Current Document 差距評估4 HYPERLINK l bookmark10 o Current Document 2.2.1.整理差距分析表4 HYPERLINK

2、 l bookmark12 o Current Document 2.2.2.現(xiàn)場差距分析5 HYPERLINK l bookmark14 o Current Document 2.2.3.與客戶溝通、確認(rèn)現(xiàn)場記錄6 HYPERLINK l bookmark16 o Current Document 生成差距分析報(bào)告6 HYPERLINK l bookmark18 o Current Document 2.3.方案設(shè)計(jì)6 HYPERLINK l bookmark20 o Current Document 2.4.整改建設(shè)6 HYPERLINK l bookmark22 o Current Do

3、cument 2.5.測評驗(yàn)收6 HYPERLINK l bookmark24 o Current Document 2.6.定期評估7 HYPERLINK l bookmark38 o Current Document 深信服等級保護(hù)咨詢服務(wù)優(yōu)勢7 HYPERLINK l bookmark26 o Current Document 參與相關(guān)安全標(biāo)準(zhǔn)編寫，在等級保護(hù)領(lǐng)域具有權(quán)威性7 HYPERLINK l bookmark28 o Current Document 與主管部門聯(lián)系緊密，充分理解相關(guān)政策要求7 HYPERLINK l bookmark30 o Current Document 多

4、年技術(shù)積累，更精準(zhǔn)的應(yīng)用層技術(shù)能力7 HYPERLINK l bookmark32 o Current Document 卓越的新技術(shù)跟蹤能力，有力面對最新安全形勢8 HYPERLINK l bookmark34 o Current Document 深厚的虛擬化技術(shù)實(shí)力，應(yīng)對云計(jì)算環(huán)境的轉(zhuǎn)變8 HYPERLINK l bookmark36 o Current Document 承擔(dān)多個(gè)國家重點(diǎn)公關(guān)項(xiàng)目，具有良好的行業(yè)標(biāo)桿8深信服等級保護(hù)咨詢服務(wù)資質(zhì)8 HYPERLINK l bookmark42 o Current Document 深信服等級保護(hù)咨詢服務(wù)團(tuán)隊(duì)介紹和案例10等級保護(hù)是國家信息

5、安全保障的基本制度、基本策略、基本方針。開展信息安全等級保護(hù)工作是保護(hù)信息化發(fā)展、維護(hù)國家信息安全的根本保障，是信息安全保障工作中國家意志的體現(xiàn)。通過將等級化方法和安全體系方法有效結(jié)合，設(shè)計(jì)一套等級化的信息安全保障體系，是適合我國國情、系統(tǒng)化地解決大型組織信息安全問題的一個(gè)非常有效的方法。國家信息安全等級保護(hù)堅(jiān)持自主定級、自主保護(hù)的原則。信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。為進(jìn)一步貫徹落實(shí)國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(中辦發(fā)2

6、00327號)、關(guān)于信息安全等級保護(hù)工作的實(shí)施意見(公通字200466號)、信息安全等級保護(hù)管理辦法(公通字200743號)、關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知(公信安2007861號)等文件的精神，提高我國基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全保護(hù)能力和水平，自2007年開始，從國家層面開始推動我國的政府、金融、電力、電信、交通等基礎(chǔ)行業(yè)在全國范圍內(nèi)組織開展重要信息系統(tǒng)安全等級保護(hù)定級、備案、測評、整改工作。深信服長期密切跟蹤國家等級保護(hù)相關(guān)政策，參與了等級保護(hù)標(biāo)準(zhǔn)制定與研討、國家項(xiàng)目等多項(xiàng)相關(guān)工作，協(xié)助客戶進(jìn)行了等級保護(hù)試點(diǎn)、重要信息系統(tǒng)定級、等級保護(hù)整改等多項(xiàng)工作，在等級保

7、護(hù)工作實(shí)踐中積累了豐富的經(jīng)驗(yàn)。深信服進(jìn)行等級保護(hù)咨詢服務(wù)時(shí)，主要參考標(biāo)準(zhǔn)如下：計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則(GB17859-1999)信息系統(tǒng)安全等級保護(hù)定級指南(GB/T22240-2008)信息系統(tǒng)安全等級保護(hù)基本要求(GB/T22239-2008)信息系統(tǒng)安全等級保護(hù)實(shí)施指南(GB/T25058-2010)信息系統(tǒng)安全等級保護(hù)測評要求(V2.0(送審稿)信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求(GB/T20270-2006)信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求(GB/T20271-2006)信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求(GB/T20272-2006)信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要

8、求(GB/T20273-2006)信息安全技術(shù)應(yīng)用系統(tǒng)安全等級保護(hù)通用技術(shù)指南(GA/T711-2007)信息安全技術(shù)服務(wù)器技術(shù)要求(GB/T21028-2007)信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級技術(shù)要求(GA/T671-2006)信息安全技術(shù)信息系統(tǒng)安全管理要求(GB/T20269-2006)信息安全技術(shù)信息系統(tǒng)安全工程管理要求(GB/T20282-2006)信息安全技術(shù)信息安全事件分類分級指南(GB/Z20986-2007)2.深信服等級保護(hù)咨詢服務(wù)流程2.1.定級備案深信服咨詢顧問協(xié)助用戶單位，依據(jù)信息系統(tǒng)安全等級保護(hù)定級指南，確定信息系統(tǒng)的安全保護(hù)等級，準(zhǔn)備定級備案表和定級報(bào)告，協(xié)助

9、用戶單位向所在地區(qū)的公安機(jī)關(guān)辦理備案手續(xù)。2.2.差距評估通過等級差距分析，可以明確客戶信息系統(tǒng)的現(xiàn)狀，確定不符合安全項(xiàng)，明確安全建設(shè)需求。2.2.1.整理差距分析表深信服咨詢顧問根據(jù)與客戶確認(rèn)的計(jì)劃，做現(xiàn)場檢查測試前的準(zhǔn)備，主要包括準(zhǔn)備差距分析表，明確現(xiàn)場訪談的對象(部門和人員)，準(zhǔn)備相應(yīng)的網(wǎng)絡(luò)設(shè)備、安全設(shè)備和主機(jī)設(shè)備的配置檢查表和相關(guān)測試工具。在整理差距分析表時(shí)，深信服咨詢顧問會根據(jù)系統(tǒng)所確定的安全等級從基本要求中選擇相應(yīng)等級的基本安全要求，根據(jù)客戶信息系統(tǒng)分析結(jié)果及風(fēng)險(xiǎn)評估的結(jié)果進(jìn)行調(diào)整，去掉不適用項(xiàng)，增加不能滿足客戶信息系統(tǒng)需求的安全要求，一般來說，差距分析表包括安全技術(shù)、安全管理兩個(gè)

10、方面內(nèi)容分析系統(tǒng)現(xiàn)有的安全措施和安全要求之間的差距，根據(jù)這些差距提出安全建議：SANGFOR深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書深仁服科技SANGFOR深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書深仁服科技 安全技術(shù)差距分析安全管理差距分析2.2.2.現(xiàn)場差距分析現(xiàn)場差距分析階段，深信服咨詢顧問依據(jù)差距分析表中的各項(xiàng)安全要求，對比現(xiàn)狀和安全要求之間的差距，確定不滿足要求的安全項(xiàng)。現(xiàn)場工作階段，深信服咨詢顧問可分為管理檢查組和技術(shù)檢查組，在客戶方人員的配合下，分工如下：管理檢查組負(fù)責(zé)安全管理和物理安全類文檔資料分析、現(xiàn)場訪談、現(xiàn)場檢查，并填寫差距分析表的相關(guān)部分；技術(shù)檢查組負(fù)責(zé)安全技術(shù)類文檔分析、現(xiàn)場訪談、現(xiàn)場

11、檢查，并填寫差距分析表的相關(guān)部分。在差距分析階段，可以通過以下方式收集信息，詳細(xì)了解客戶信息系統(tǒng)現(xiàn)狀，并通過分析所收集的資料數(shù)據(jù)，以確認(rèn)客戶信息系統(tǒng)的建設(shè)是否符合該等級的安全要求，需要進(jìn)行哪些方面的整改和安全建設(shè)。查看制度和記錄為了獲取和分析業(yè)務(wù)系統(tǒng)現(xiàn)有的安全控制措施，需要查看安全策略文檔（例如政策法規(guī)、指導(dǎo)性文檔）、管理制度（例如運(yùn)維管理規(guī)定、機(jī)房管理制度等）和其它相關(guān)文檔（例如定級報(bào)告）等。人員訪談深信服咨詢顧問與客戶組織內(nèi)有關(guān)的管理、技術(shù)和一般員工進(jìn)行逐個(gè)溝通。根據(jù)客戶的回答，獲得相應(yīng)信息，并可驗(yàn)證之前收集到的資料，從而提高其準(zhǔn)確度和完整性。通過訪談管理和技術(shù)人員，項(xiàng)目組成員可以收集到業(yè)

12、務(wù)系統(tǒng)相關(guān)的物理、環(huán)境、安全組織結(jié)構(gòu)、操作習(xí)慣等大量有用的信息，也可以了解到被訪談?wù)叩陌踩庾R和安全技能等自身素質(zhì)。由于訪談的互動性，不同于調(diào)查表，項(xiàng)目組成員可以廣泛提問，從多個(gè)角度獲得多方面的信息?，F(xiàn)場檢查深信服咨詢顧問也可對客戶辦公環(huán)境和機(jī)房內(nèi)設(shè)備作現(xiàn)場檢查，或觀察人員的行為或環(huán)境狀況，觀察制度的執(zhí)行情況及技術(shù)要求落實(shí)情況。根據(jù)現(xiàn)場勘查的結(jié)果，獲得相應(yīng)咨詢信2.2.3.與客戶溝通、確認(rèn)現(xiàn)場記錄在差距分析階段，深信服咨詢顧問如實(shí)記錄通過文檔檢查、現(xiàn)場訪談和現(xiàn)場檢查獲得的信息系統(tǒng)現(xiàn)狀，并與客戶相關(guān)人員溝通、確認(rèn)現(xiàn)場記錄，確保記錄的準(zhǔn)確性。2.2.4.生成差距分析報(bào)告深信服咨詢顧問歸納整理、分析

13、現(xiàn)場記錄，找出目前信息系統(tǒng)與等級保護(hù)安全要求之間的差距，生成等級保護(hù)差距分析報(bào)告。2.3.方案設(shè)計(jì)深信服辰咨詢顧問參考國家標(biāo)準(zhǔn)信息系統(tǒng)安全等級保護(hù)基本要求、信息安全技術(shù)信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求，依據(jù)差距分析的結(jié)論，在與客戶充分溝通后，結(jié)合客戶實(shí)際情況，給出專家級的安全整改和建議方案。在整改建議方案中，深信服咨詢顧問會對第一級至第五級信息系統(tǒng)安全保護(hù)環(huán)境的各個(gè)方面提出整改方案。在方案中會從技術(shù)和安全管理制度兩個(gè)方面提出整改需求。并提出整改方案對應(yīng)表，在對應(yīng)表中將每一項(xiàng)等保要求與保護(hù)措施的對應(yīng)起來，是等保整改建議方案的概括與總結(jié)。2.4.整改建設(shè)深信服咨詢顧問根據(jù)安全整改方案，結(jié)合用戶的實(shí)

14、際需求，協(xié)助用戶完成設(shè)備的選型、采購、安裝、策略配置等活動，協(xié)助用戶搭建完善的技術(shù)防護(hù)系統(tǒng)和安全管理體系，保障信息系統(tǒng)的安全穩(wěn)定運(yùn)行。2.5.測評驗(yàn)收深信服咨詢顧問協(xié)助用戶單位選擇第三方測評機(jī)構(gòu)，開展信息系統(tǒng)等級保護(hù)驗(yàn)收測評工作，保障通過等級保護(hù)驗(yàn)收測評。SANGFOR深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書深仁服科技SANGFOR深信服科技深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書 2.6.定期評估測評通過后，根據(jù)國家相關(guān)要求，需要定期對信息系統(tǒng)安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行評估。第三級信息系統(tǒng)每年至少進(jìn)行一次評估，第四級信息系統(tǒng)每半年至少進(jìn)行一次評估。深信服可以在測評通過后，定期為客戶提供評估服

15、務(wù)，確保信息系統(tǒng)長期處于一種動態(tài)的合規(guī)安全狀態(tài)中。參與相關(guān)安全標(biāo)準(zhǔn)編寫，在等級保護(hù)領(lǐng)域具有權(quán)威性深信服曾先后參與了等級保護(hù)相關(guān)產(chǎn)品標(biāo)準(zhǔn)的起草和編制工作，配合國家主管部門執(zhí)筆編寫了SSLVPN技術(shù)規(guī)范和第二代防火墻標(biāo)準(zhǔn)等。尤其是2015年2月，第二代防火墻標(biāo)準(zhǔn)的發(fā)布，標(biāo)志著下一代防火墻將會在未來的等級保護(hù)中全面替統(tǒng)防火墻和入侵防御等傳統(tǒng)設(shè)備，一種新的區(qū)域邊界防護(hù)模式誕生。與主管部門聯(lián)系緊密，充分理解相關(guān)政策要求深信服與公安部網(wǎng)絡(luò)安全保衛(wèi)局、公安部1所、公安部3所、國家信息安全測評中心、公安部等級保護(hù)評估中心等國家級管理或科研機(jī)構(gòu)開展多種模式的合作，保障了深信服對國家等級保護(hù)政策的充分理解。多年技

16、術(shù)積累，更精準(zhǔn)的應(yīng)用層技術(shù)能力深信服從2000年成立以來，就專注于應(yīng)用層安全技術(shù)的研發(fā)工作，先后將應(yīng)用層安全技術(shù)應(yīng)用于VPN產(chǎn)品（目前國內(nèi)市場占有率第一和標(biāo)準(zhǔn)制定者）、上網(wǎng)行為管理產(chǎn)品（目前國內(nèi)市場占有率第一）和下一代防火墻產(chǎn)品（國內(nèi)第一款該產(chǎn)品和標(biāo)準(zhǔn)制定者）等多條產(chǎn)品線，而應(yīng)用層的安全目前已經(jīng)成為信息安全的核心。一家公司的應(yīng)用層安全能力直接體現(xiàn)了其技術(shù)實(shí)力，體現(xiàn)其發(fā)現(xiàn)系統(tǒng)安全隱患的能力，體現(xiàn)其風(fēng)險(xiǎn)評估的能力，深信服在此方面是當(dāng)之無愧的行業(yè)翹楚。卓越的新技術(shù)跟蹤能力，有力面對最新安全形勢深信服不僅在深圳設(shè)有研發(fā)中心，在北京也設(shè)有研發(fā)中心，同時(shí)在美國硅谷也設(shè)有研發(fā)中心，跟蹤全球最新的技術(shù)和安全形

17、勢，全面的研發(fā)布局確保深信服可以第一時(shí)間跟蹤全球最新的技術(shù)方向，為客戶提供符合最新安全動向的咨詢服務(wù)。深厚的虛擬化技術(shù)實(shí)力，應(yīng)對云計(jì)算環(huán)境的轉(zhuǎn)變深信服自2011年推出應(yīng)用虛擬化技術(shù)后，又先后推出了桌面虛擬化技術(shù)、服務(wù)器虛擬化技術(shù)、存儲虛擬化技術(shù)、網(wǎng)絡(luò)虛擬化技術(shù)等。在虛擬化技術(shù)研發(fā)中的積累，保障了深信服在云計(jì)算環(huán)境下咨詢服務(wù)能力不會隨著環(huán)境的變化而降低，反而在云計(jì)算以及虛擬化環(huán)境下的等級保護(hù)咨詢服務(wù)能力是深信服的優(yōu)勢。承擔(dān)多個(gè)國家重點(diǎn)公關(guān)項(xiàng)目，具有良好的行業(yè)標(biāo)桿深信服多次承擔(dān)國家信息安全重點(diǎn)攻關(guān)項(xiàng)目及等級保護(hù)試點(diǎn)性項(xiàng)目，為多個(gè)國家部委、地方政府、金融、醫(yī)療和教育等行業(yè)，提供了諸如系統(tǒng)定級、系統(tǒng)備

18、案、差距評估、整改方案設(shè)計(jì)、系統(tǒng)整改建設(shè)、驗(yàn)收測評、定期評估等級保護(hù)服務(wù)工作。基于這些豐富的實(shí)施經(jīng)驗(yàn)，深信服總結(jié)研發(fā)了等級保護(hù)知識庫，充盈的知識庫為等級保護(hù)實(shí)施工作提供強(qiáng)大的知識后盾。深信服等級保護(hù)咨詢服務(wù)資質(zhì)作為國內(nèi)信息安全等級保護(hù)工作的引領(lǐng)者和倡導(dǎo)者之一，深信服已經(jīng)獲得了等級保護(hù)咨詢服務(wù)相關(guān)的資質(zhì)。CNCERT/CC國寧估息安全測許信總?cè)ト?wù)資質(zhì)證書事全工裡賓一純）虹=n6-CILSGPB*,ITU潮制和葉痕電子科誌吉陽皆R）VIJf址*旳期申4山；丫口1L岷討怪皿由奇qi*C*0LQTU工亟隹豪晝|H；F；3|*：i日*芒尙鋼帳叩環(huán)Eh3ML71H-3將含C隔事程空理卿豪出萍備:t臥h

19、QP豐乩悴防鼻：爰宗屯趕圮奩軼注書吐于：誨煙中潔U橋也于科抗:#圧總町；E品地J匸：涼”2幻山寸*電上靜池羽爭：l13H征韋堀號：LltT-I(13-lSD7SI(H9氓直時(shí)：JOB1A3d荊就輒至：201j年1A3Attxi：4,#.*.*f.川.M我卅機(jī)網(wǎng)崎應(yīng)為liX址it協(xié)甫中心料ia#i!jwwwcwtMbi4iJD疇祇執(zhí)構(gòu)低嗎：種書CHNVD-iEU術(shù)單垃要蟲WSUtil*u1131:?!-111EHiBnha-:MB*ISHBLI網(wǎng)絡(luò)安全應(yīng)急服務(wù)支據(jù)單拉證書CNNVD技術(shù)支撐資質(zhì)SANGFOR深信服科技深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書SANGFOR深信服科技深信服等級保護(hù)咨詢服務(wù)技術(shù)白皮書 深信服等級保護(hù)咨詢服務(wù)團(tuán)隊(duì)介紹和案例5.1.深信服等級保護(hù)咨詢服務(wù)團(tuán)隊(duì)介紹深信服等級保護(hù)咨詢服務(wù)團(tuán)隊(duì)組建于2011年，現(xiàn)共有65人左右，其中包括4