某信息安全等級保護(hù)（二級）建設(shè)方案

某信息安全等級保護(hù)（二級）建設(shè)方案目錄1.項(xiàng)目概述1.1.項(xiàng)目建設(shè)目標(biāo)1.2.項(xiàng)目參考標(biāo)準(zhǔn)1.3.方案設(shè)計(jì)原則2.系統(tǒng)現(xiàn)狀分析2.1.系統(tǒng)定級情況說明2.2.業(yè)務(wù)系統(tǒng)說明2.3.網(wǎng)絡(luò)結(jié)構(gòu)說明3.安全需求分析3.1.物理安全需求分析3.2.網(wǎng)絡(luò)安全需求分析3.3.主機(jī)安全需求分析3.4.應(yīng)用安全需求分析3.5.數(shù)據(jù)安全需求分析3.6.安全管理制度需求分析4.總體方案設(shè)計(jì)4.1.總體設(shè)計(jì)目標(biāo)4.2.總體安全體系設(shè)計(jì)4.3.總體網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)4.4.安全域劃分說明5.詳細(xì)方案設(shè)計(jì)技術(shù)部分5.1.物理安全5.2.網(wǎng)絡(luò)安全5.2.1.安全域邊界隔離技術(shù)5.2.2.入侵防范技術(shù)5.2.3.網(wǎng)頁防篡改技術(shù)5.2.4.鏈路負(fù)載均衡技術(shù)5.2.5.網(wǎng)絡(luò)安全審計(jì)5.3.主機(jī)安全5.3.1.數(shù)據(jù)庫安全審計(jì)5.3.2.運(yùn)維堡壘主機(jī)5.3.3.主機(jī)防病毒技術(shù)5.4.應(yīng)用安全6.詳細(xì)方案設(shè)計(jì)管理部分6.1.總體安全方針與安全策略6.2.信息安全管理制度6.3.安全管理機(jī)構(gòu)6.4.人員安全管理6.5.系統(tǒng)建設(shè)管理6.6.系統(tǒng)運(yùn)維管理6.7.安全管理制度匯總7.咨詢服務(wù)和系統(tǒng)測評7.1.系統(tǒng)定級服務(wù)7.2.風(fēng)險(xiǎn)評估和安全加固服務(wù)7.2.1.漏洞掃描7.2.2.滲透測試7.2.3.配置核查7.2.4.安全加固7.2.5.安全管理制度編寫7.2.6.安全培訓(xùn)7.3.系統(tǒng)測評服務(wù)8.項(xiàng)目預(yù)算與配置清單8.1.項(xiàng)目預(yù)算一期（等保二級基本要求）8.2.利舊安全設(shè)備使用說明1.項(xiàng)目概述1.1.項(xiàng)目建設(shè)目標(biāo)為了進(jìn)一步貫徹落實(shí)教育行業(yè)信息安全等級保護(hù)制度，推進(jìn)學(xué)校信息安全等級保護(hù)工作，依照國家《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》、《信息系統(tǒng)安全等級保護(hù)基本要求》、《信息系統(tǒng)安全保護(hù)等級定級指南》等標(biāo)準(zhǔn)，對學(xué)校的網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行等級保護(hù)定級，按信息系統(tǒng)逐個(gè)編制定級報(bào)告和定級備案表，并指導(dǎo)學(xué)校信息化人員將定級材料提交當(dāng)?shù)毓矙C(jī)關(guān)備案。本方案中，通過為滿足物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個(gè)方面基本技術(shù)要求進(jìn)行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五個(gè)方面基本管理要求進(jìn)行管理體系建設(shè)。使得學(xué)校信息系統(tǒng)的等級保護(hù)建設(shè)方案最終既可以滿足等級保護(hù)的相關(guān)要求，又能夠全方面為學(xué)校的業(yè)務(wù)系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。本項(xiàng)目建設(shè)將完成以下目標(biāo)：1、以學(xué)校信息系統(tǒng)現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級保護(hù)二級系統(tǒng)基本要求的信息系統(tǒng)，確保學(xué)校的整體信息化建設(shè)符合相關(guān)要求。2、建立安全管理組織機(jī)構(gòu)。成立信息安全工作組，學(xué)校負(fù)責(zé)人為安全責(zé)任人，擬定實(shí)施信息系統(tǒng)安全等級保護(hù)的具體方案，并制定相應(yīng)的崗位責(zé)任制，確保信息安全等級保護(hù)工作順利實(shí)施。3、建立完善的安全技術(shù)防護(hù)體系。根據(jù)信息安全等級保護(hù)的要求，建立滿足二級要求的安全技術(shù)防護(hù)體系。4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級保護(hù)的要求，制定各項(xiàng)信息系統(tǒng)安全管理制度，對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。5、制定學(xué)校信息系統(tǒng)不中斷的應(yīng)急預(yù)案。應(yīng)急預(yù)案是安全等級保護(hù)的重要組成部分，按可能出現(xiàn)問題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故障和意外且無法短時(shí)間恢復(fù)的情況下能確保生產(chǎn)活動持續(xù)進(jìn)行。6、安全培訓(xùn)：為學(xué)校信息化技術(shù)人員提供信息安全相關(guān)專業(yè)技術(shù)知識培訓(xùn)。1.2.項(xiàng)目參考標(biāo)準(zhǔn)我司遵循國家信息安全等級保護(hù)指南等最新安全標(biāo)準(zhǔn)以及開展各項(xiàng)服務(wù)工作，配合學(xué)校的等級保護(hù)測評工作。本項(xiàng)目建設(shè)參考依據(jù)：1.3.方案設(shè)計(jì)原則針對本次項(xiàng)目，等級保護(hù)整改方案的設(shè)計(jì)和實(shí)施將遵循以下原則：保密性原則：我司對安全服務(wù)的實(shí)施過程和結(jié)果將嚴(yán)格保密，在未經(jīng)用戶方授權(quán)的情況下不會泄露給任何單位和個(gè)人，不會利用此數(shù)據(jù)進(jìn)行任何侵害客戶權(quán)益的行為；標(biāo)準(zhǔn)性原則：服務(wù)設(shè)計(jì)和實(shí)施的全過程均依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)行；根據(jù)等級保護(hù)二級基本要求，進(jìn)行分等級分安全域進(jìn)行安全設(shè)計(jì)和安全建設(shè)。規(guī)范性原則：我司在各項(xiàng)安全服務(wù)工作中的過程和文檔，都具有很好的規(guī)范性（《南寧市學(xué)家科技有限公司安全服務(wù)實(shí)施規(guī)范》），可以便于項(xiàng)目的跟蹤和控制；可控性原則：服務(wù)所使用的工具、方法和過程都會在深信服與用戶方雙方認(rèn)可的范圍之內(nèi)，服務(wù)進(jìn)度遵守進(jìn)度表的安排，保證雙方對服務(wù)工作的可控性；整體性原則：服務(wù)的范圍和內(nèi)容整體全面，涉及的IT運(yùn)行的各個(gè)層面，避免由于遺漏造成未來的安全隱患；最小影響原則：服務(wù)工作盡可能小的影響信息系統(tǒng)的正常運(yùn)行，不會對現(xiàn)有業(yè)務(wù)造成顯著影響。體系化原則：在體系設(shè)計(jì)、建設(shè)中，深信服充分考慮到各個(gè)層面的安全風(fēng)險(xiǎn)，構(gòu)建完整的立體安全防護(hù)體系。先進(jìn)性原則：為滿足后續(xù)不斷增長的業(yè)務(wù)需求、對安全產(chǎn)品、安全技術(shù)都充分考慮前瞻性要求，采用先進(jìn)、成熟的安全產(chǎn)品、技術(shù)和先進(jìn)的管理方法。分步驟原則：根據(jù)用戶方要求，對用戶方安全保障體系進(jìn)行分期、分步驟的有序部署。服務(wù)細(xì)致化原則：在項(xiàng)目咨詢、建設(shè)過程中深信服將充分結(jié)合自身的專業(yè)技術(shù)經(jīng)驗(yàn)與行業(yè)經(jīng)驗(yàn)相結(jié)合，結(jié)合用戶方的實(shí)際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)安全穩(wěn)定的運(yùn)行。2.系統(tǒng)現(xiàn)狀分析2.1.系統(tǒng)定級情況說明學(xué)校綜合考慮了學(xué)校信息系統(tǒng)、學(xué)校信息系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)類型，以及其受到破壞時(shí)可能受到侵害的客體以及受侵害的程度，經(jīng)學(xué)校省公安廳的批準(zhǔn)，已將學(xué)校系統(tǒng)等級定為等級保護(hù)第二級（S2A2G2），整體網(wǎng)絡(luò)信息化平臺按照二級進(jìn)行建設(shè)。2.2.業(yè)務(wù)系統(tǒng)說明學(xué)校本次參加整改的共有X個(gè)信息系統(tǒng)，分別是學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)，具體情況介紹如下：學(xué)校門戶網(wǎng)站系統(tǒng)：2012年門戶網(wǎng)站（網(wǎng)絡(luò)版）歷經(jīng)系統(tǒng)開發(fā)、模擬測試、網(wǎng)絡(luò)、硬件設(shè)備安裝部署，在試點(diǎn)和實(shí)施過程當(dāng)中發(fā)現(xiàn)系統(tǒng)仍有不足之處，需要對系統(tǒng)進(jìn)行深入完善和改進(jìn)，主要考慮到由于門戶網(wǎng)站（網(wǎng)絡(luò)版）作為學(xué)校集中部署的網(wǎng)絡(luò)化重要業(yè)務(wù)系統(tǒng)，其具有應(yīng)用面廣、用戶規(guī)模大，并涉及到學(xué)校對互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上部署的特性，因此系統(tǒng)自身和運(yùn)行環(huán)境均存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護(hù)體系和措施。學(xué)校OA系統(tǒng)：目前學(xué)校舊OA系統(tǒng)準(zhǔn)備停用，并且已經(jīng)開發(fā)和準(zhǔn)備上線新的業(yè)務(wù)系統(tǒng)，新的業(yè)務(wù)系統(tǒng)目前準(zhǔn)備對公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務(wù)系統(tǒng)的規(guī)模比較大，而且整個(gè)網(wǎng)絡(luò)相對會比較復(fù)雜、流量多變，所以系統(tǒng)任有較多不足，在本次建設(shè)過程中應(yīng)該加強(qiáng)安全建設(shè)，系統(tǒng)自身和運(yùn)行環(huán)境均存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護(hù)體系和措施。2.3.網(wǎng)絡(luò)結(jié)構(gòu)說明學(xué)校信息系統(tǒng)網(wǎng)絡(luò)拓?fù)鋱D現(xiàn)狀如下：3.安全需求分析3.1.物理安全需求分析目前在機(jī)房建設(shè)方面還存在如下問題：1、物理訪問控制；2、防雷擊；3、防火墻；4、防水防潮；5、溫濕度控制；3.2.網(wǎng)絡(luò)安全需求分析邊界入侵防范：該信息系統(tǒng)無法實(shí)現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實(shí)現(xiàn)。防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實(shí)現(xiàn)對邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實(shí)現(xiàn)。安全域邊界安全審計(jì)：該信息系統(tǒng)無法實(shí)現(xiàn)對邊界的訪問控制，需要部署署網(wǎng)絡(luò)安全審計(jì)等安全設(shè)備來實(shí)現(xiàn)。3.3.主機(jī)安全需求分析主機(jī)防病毒：該信息系統(tǒng)缺少主機(jī)防病毒的相關(guān)安全策略，需要配置網(wǎng)絡(luò)版主機(jī)防病毒系統(tǒng)，從而實(shí)現(xiàn)對全網(wǎng)主機(jī)的惡意代碼防范。數(shù)據(jù)庫審計(jì)：該信息系統(tǒng)缺少針對數(shù)據(jù)的審計(jì)設(shè)備，不能很好的滿足主機(jī)安全審計(jì)的要求，需要部署專業(yè)的數(shù)據(jù)庫審計(jì)設(shè)備。運(yùn)維堡壘機(jī)：該該信息系統(tǒng)無法實(shí)現(xiàn)管理員對網(wǎng)絡(luò)設(shè)備和服務(wù)器進(jìn)行管理時(shí)的雙因素認(rèn)證，需要部署堡壘機(jī)來實(shí)現(xiàn)。漏洞掃描：需要部署漏洞掃描實(shí)現(xiàn)對全網(wǎng)漏洞的掃描。3.4.應(yīng)用安全需求分析通信完整性和保密性：該信息系統(tǒng)無法實(shí)現(xiàn)對邊界的訪問控制，需要部署SSLVPN等安全設(shè)備來實(shí)現(xiàn)。3.5.數(shù)據(jù)安全需求分析備份與恢復(fù)：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定相關(guān)策略。同時(shí)，該信息系統(tǒng)沒有實(shí)現(xiàn)對關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙鏈路確保設(shè)備冗余。3.6.安全管理制度需求分析根據(jù)前期差距分析結(jié)果，該單位還欠缺較多安全管理制度，需要后續(xù)補(bǔ)充。4.總體方案設(shè)計(jì)4.1.總體設(shè)計(jì)目標(biāo)學(xué)校的安全等級保護(hù)整改方案設(shè)計(jì)的總體目標(biāo)是依據(jù)國家等級保護(hù)的有關(guān)標(biāo)準(zhǔn)和規(guī)范，結(jié)合學(xué)校信息系統(tǒng)的現(xiàn)狀，對其進(jìn)行重新規(guī)劃和合規(guī)性整改，為其建立一個(gè)完整的安全保障體系，有效保障其系統(tǒng)業(yè)務(wù)的正常開展，保護(hù)敏感數(shù)據(jù)信息的安全，保證學(xué)校信息系統(tǒng)的安全防護(hù)能力達(dá)到《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》中第二級的相關(guān)技術(shù)和管理要求。4.2.總體安全體系設(shè)計(jì)本項(xiàng)目提出的等級保護(hù)體系模型，必須依照國家等級保護(hù)的相關(guān)要求，利用密碼、代碼驗(yàn)證、可信接入控制等核心技術(shù)，在“一個(gè)中心三重防御”的框架下實(shí)現(xiàn)對信息系統(tǒng)的全面防護(hù)。整個(gè)體系模型如下圖所示：安全管理中心安全管理中心是整個(gè)等級保護(hù)體系中對信息系統(tǒng)進(jìn)行集中安全管理的平臺，是信息系統(tǒng)做到可測、可控、可管理的必要手段和措施。依照GB/T25070-2010信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求中對安全管理中心的要求，一個(gè)符合基于可信計(jì)算和主動防御的等級保護(hù)體系模型的安全管理中心應(yīng)至少包含以下三個(gè)部分：系統(tǒng)管理實(shí)現(xiàn)對系統(tǒng)資源和運(yùn)行的配置?？刂坪凸芾?，并對系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對這些操作進(jìn)行審計(jì)。安全管理實(shí)現(xiàn)對系統(tǒng)中的主體、客體進(jìn)行統(tǒng)一標(biāo)記，對主體進(jìn)行授權(quán)，配置一致的安全策略，確保標(biāo)記、授權(quán)和安全策略的數(shù)據(jù)完整性，并對安全管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全管理操作，并進(jìn)行審計(jì)。審計(jì)管理實(shí)現(xiàn)對系統(tǒng)各個(gè)組成部分的安全審計(jì)機(jī)制進(jìn)行集中管理，包括根據(jù)安全審計(jì)策略對審計(jì)記錄進(jìn)行分類；提供按時(shí)間段開啟和關(guān)閉相應(yīng)類型的安全審計(jì)機(jī)制；對各類審計(jì)記錄進(jìn)行存儲、管理和查詢等；對審計(jì)記錄應(yīng)進(jìn)行分析，根據(jù)分析結(jié)果進(jìn)行處理。此外，對安全審計(jì)員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全審計(jì)操作。此外，安全管理中心應(yīng)做到技術(shù)與管理并重，加強(qiáng)在安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等方面的管理力度，規(guī)范安全管理操作規(guī)程，建立完善的安全管理制度集。安全計(jì)算環(huán)境參照基于可信計(jì)算和主動防御的等級保護(hù)模型，安全計(jì)算環(huán)境可劃分成節(jié)點(diǎn)和典型應(yīng)用兩個(gè)子系統(tǒng)。在解決方案中，這兩個(gè)子系統(tǒng)都將通過終端安全保護(hù)體系的建立來實(shí)現(xiàn)。信息安全事故的源頭主要集中在用戶終端，要實(shí)現(xiàn)一個(gè)可信的、安全的計(jì)算環(huán)境，就必須從終端安全抓起。因此，依照等級保護(hù)在身份鑒別，訪問控制（包括強(qiáng)制訪問控制）、網(wǎng)絡(luò)行為控制（包括上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應(yīng)用安全、數(shù)據(jù)安全、安全審計(jì)等方面的技術(shù)要求，可充分結(jié)合可信計(jì)算技術(shù)和主動防御技術(shù)的先進(jìn)性和安全性，提出一個(gè)基于可信計(jì)算和主動防御的終端安全保護(hù)體系模型，以實(shí)現(xiàn)從應(yīng)用層、系統(tǒng)層、核心層三個(gè)方面對計(jì)算環(huán)境的全面防護(hù)。安全區(qū)域邊界為保護(hù)邊界安全，本解決方案針對構(gòu)建一個(gè)安全的區(qū)域邊界提出的解決手段是在被保護(hù)的信息邊界部署一個(gè)“應(yīng)用訪問控制系統(tǒng)”。該系統(tǒng)應(yīng)可以實(shí)現(xiàn)以下功能：信息層的自主和強(qiáng)制訪問控制、防范SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡(luò)地址換、安全審計(jì)等。由于國內(nèi)外在這一方面的相關(guān)技術(shù)非常成熟，因此，在本次系統(tǒng)整改總體設(shè)計(jì)中更多的是考慮如何將防火墻、防病毒網(wǎng)關(guān)、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機(jī)地結(jié)合在一起，實(shí)現(xiàn)協(xié)同防護(hù)和聯(lián)動處理。此外，對于不同安全等級信息系統(tǒng)之間的互連邊界，可根據(jù)依照信息流向的高低，部署防火墻或安全隔離與信息交換系統(tǒng)，并配置相應(yīng)的安全策略以實(shí)現(xiàn)對信息流向的控制。安全通信網(wǎng)絡(luò)目前，在通信網(wǎng)絡(luò)安全方面，采用密碼等核心技術(shù)實(shí)現(xiàn)的各類VPN都可以很有效的解決這類問題，達(dá)到在滿足等級保護(hù)相關(guān)要求的同時(shí)，可靈活提高通信網(wǎng)絡(luò)安全性的效果。4.3.總體網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)學(xué)校網(wǎng)絡(luò)架構(gòu)整體設(shè)計(jì)如下：4.4.安全域劃分說明安全域的劃分是網(wǎng)絡(luò)防護(hù)的基礎(chǔ)，事實(shí)上每一個(gè)安全邊界所包含的區(qū)域都形成了一個(gè)安全域。這些區(qū)域具有不同的使命，具有不同的功能，分域保護(hù)的框架為明確各個(gè)域的安全等級奠定了基礎(chǔ)，保證了信息流在交換過程中的安全性。在本項(xiàng)目中，將嚴(yán)格按照信息系統(tǒng)的重要性和網(wǎng)絡(luò)使用的邏輯特性劃分安全域，將劃分如下確定的安全域：l互聯(lián)網(wǎng)出口域，該區(qū)域說明如下：l專網(wǎng)出口域，該區(qū)域說明如下：主要承載互聯(lián)網(wǎng)出口，出口主干需要部署相應(yīng)的安全邊界產(chǎn)品。l終端接入域，該區(qū)域說明如下：主要是無線和有線終端接入；l對外服務(wù)器域，該區(qū)域說明如下：該區(qū)域主要承載對外發(fā)布服務(wù)器，比如學(xué)校的網(wǎng)站；l內(nèi)部服務(wù)器域，該區(qū)域說明如下：主要承載對內(nèi)的服務(wù)器和存儲，比如OA和學(xué)校專業(yè)先關(guān)零時(shí)性的試驗(yàn)服務(wù)器。l安全管理域，該區(qū)域說明如下：主要承載網(wǎng)絡(luò)管理先關(guān)設(shè)備，比如網(wǎng)管系統(tǒng)，防病毒升級服務(wù)器等。5.詳細(xì)方案設(shè)計(jì)技術(shù)部分5.1.物理安全根據(jù)GB/T25070-2010信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求中物理安全的要求，應(yīng)從以下方面進(jìn)行整改：5.2.網(wǎng)絡(luò)安全5.2.1.安全域邊界隔離技術(shù)根據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》，應(yīng)該在學(xué)校各安全域的邊界處部署防火墻設(shè)備，保證跨安全域的訪問都通過防火墻進(jìn)行控制管理。因此，在互聯(lián)網(wǎng)出口域邊界部署下一代防火墻，在內(nèi)網(wǎng)服務(wù)器區(qū)域邊界部署WEB應(yīng)用防火墻。5.2.2.入侵防范技術(shù)根據(jù)等級保護(hù)基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處實(shí)現(xiàn)入侵防范功能，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處部署網(wǎng)絡(luò)層防病毒設(shè)備，并保證與主機(jī)層防病毒實(shí)現(xiàn)病毒庫的異構(gòu)。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。5.2.3.網(wǎng)頁防篡改技術(shù)學(xué)校網(wǎng)站承載了學(xué)校等重要職責(zé)，暴露在互聯(lián)網(wǎng)上，隨時(shí)會面臨網(wǎng)頁被篡改及黑客攻擊的危險(xiǎn)，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功能非常有必要。5.2.4.鏈路負(fù)載均衡技術(shù)根據(jù)等級保護(hù)基本要求，二級業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處進(jìn)行優(yōu)化控制，保證用戶訪問選擇最優(yōu)的鏈路。因此，建議在二期部署一套專業(yè)的鏈路負(fù)載均衡設(shè)備非常有必要。5.2.5.網(wǎng)絡(luò)安全審計(jì)針對用戶訪問業(yè)務(wù)系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須部署一套日志審計(jì)系統(tǒng)利用實(shí)時(shí)跟蹤分析技術(shù)，從發(fā)起者、訪問時(shí)間、訪問對象、訪問方法、使用頻率各個(gè)角度，提供豐富的統(tǒng)計(jì)分析報(bào)告，幫助用戶在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時(shí)，及時(shí)發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡(luò)資源的使用。根據(jù)公安部等級保護(hù)基本要求，所有信息系統(tǒng)都需要部署日志審計(jì)系統(tǒng)，并保存3個(gè)月的日志，學(xué)校擁有龐大的網(wǎng)絡(luò)海量的數(shù)據(jù)交換，目前還沒有部署日志審計(jì)系統(tǒng)。因此，建議在二期部署一套日志審計(jì)系統(tǒng)對全網(wǎng)行為進(jìn)行監(jiān)控、日志進(jìn)行記錄。部署設(shè)計(jì)：日志審計(jì)系統(tǒng)旁路部署在核心交換上，實(shí)現(xiàn)全網(wǎng)的網(wǎng)絡(luò)行為的統(tǒng)一審計(jì)，收集網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)系統(tǒng)等設(shè)備的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等日志信息，并對收集到的日志信息進(jìn)行分類和關(guān)聯(lián)分析，并可根據(jù)審計(jì)人員的操作要求生成統(tǒng)計(jì)報(bào)表，方便查詢和生成報(bào)告，為網(wǎng)絡(luò)事件追溯提供證據(jù)。5.3.主機(jī)安全5.3.1.數(shù)據(jù)庫安全審計(jì)建議在二期部署數(shù)據(jù)庫審計(jì)系統(tǒng)，實(shí)現(xiàn)對用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計(jì)，范圍覆蓋到每個(gè)用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。部署設(shè)計(jì)：數(shù)據(jù)庫審計(jì)部署于數(shù)據(jù)庫前端交換機(jī)上，通過端口鏡像收集信息。5.3.2.運(yùn)維堡壘主機(jī)對運(yùn)維的管理現(xiàn)狀進(jìn)行分析，我們認(rèn)為造成這種不安全現(xiàn)狀的原因是多方面的，總結(jié)起來主要有以下幾點(diǎn)：各IT系統(tǒng)獨(dú)立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認(rèn)證、授權(quán)、審計(jì)的依據(jù)和前提，因此身份的混亂實(shí)際上造成設(shè)備訪問的混亂。各IT系統(tǒng)獨(dú)立管理，風(fēng)險(xiǎn)分散在各系統(tǒng)中，各個(gè)擊破困難大，這種管理方式造成了業(yè)務(wù)管理和安全之間的失衡。核心服務(wù)器或設(shè)備的物理安全和臨機(jī)訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，但是對他們的網(wǎng)絡(luò)訪問缺少控制或欠缺控制力度，在帳號、密碼、認(rèn)證、授權(quán)、審計(jì)等各方面缺乏有效的集中管理技術(shù)手段。目前，學(xué)校使用數(shù)量眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器主機(jī)來提供基礎(chǔ)網(wǎng)絡(luò)服務(wù)、運(yùn)行關(guān)鍵業(yè)務(wù)、數(shù)據(jù)庫應(yīng)用、ERP和協(xié)同工作群件等服務(wù)。由于設(shè)備和服務(wù)器眾多，系統(tǒng)管理員壓力太大等因素，越權(quán)訪問、誤操作、濫用、惡意破壞等情況時(shí)有發(fā)生，這嚴(yán)重影響信息系統(tǒng)的運(yùn)行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權(quán)限，闖入部門內(nèi)部網(wǎng)絡(luò)，造成不可估量的損失。如何提高系統(tǒng)運(yùn)維管理水平，跟蹤服務(wù)器上用戶的操作行為，防止黑客的入侵和破壞，提供控制和審計(jì)依據(jù)，降低運(yùn)維成本，滿足相關(guān)標(biāo)準(zhǔn)要求，越來越成為信息系統(tǒng)關(guān)心的問題，因此建議在學(xué)校二期安全建設(shè)有必要部署一套運(yùn)維堡壘主機(jī)來實(shí)現(xiàn)賬戶的安全維護(hù)。部署設(shè)計(jì)：運(yùn)維審計(jì)系統(tǒng)部署在安全管理域，通過交換機(jī)的訪問控制策略限定只能由堡壘主機(jī)內(nèi)控管理平臺直接訪問服務(wù)器的遠(yuǎn)程維護(hù)端口。維護(hù)人員對網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器系統(tǒng)進(jìn)行遠(yuǎn)程維護(hù)時(shí)，首先以Web方式登錄運(yùn)維審計(jì)系統(tǒng)，然后通過運(yùn)維審計(jì)系統(tǒng)上展現(xiàn)的訪問資源列表直接訪問授權(quán)資源。5.3.3.主機(jī)防病毒技術(shù)學(xué)校目前網(wǎng)絡(luò)內(nèi)所有終端使用免費(fèi)的殺毒軟件，基本滿足等級保護(hù)二級的要求，但是現(xiàn)在主要服務(wù)器并沒有部署專業(yè)的殺毒軟件，建議第一期部署殺毒軟件。部署設(shè)計(jì)軟件客戶端部署在內(nèi)外防服務(wù)器上面，通過管理區(qū)域防病毒升級服務(wù)器對病毒規(guī)則庫進(jìn)行升級。5.4.應(yīng)用安全根據(jù)等級保護(hù)的要求，二級業(yè)務(wù)系統(tǒng)必須加密傳輸，因此需要部署SSLVPN技術(shù)實(shí)現(xiàn)應(yīng)用系統(tǒng)遠(yuǎn)程訪問的加密，如果后期OA系統(tǒng)需要實(shí)現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSLVPN設(shè)備。部署設(shè)計(jì)：SSLVPN旁路部署于核心交換機(jī)上。6.詳細(xì)方案設(shè)計(jì)管理部分安全管理體系的作用是通過建立健全組織機(jī)構(gòu)、規(guī)章制度，以及通過人員安全管理、安全教育與培訓(xùn)和各項(xiàng)管理制度的有效執(zhí)行，來落實(shí)人員職責(zé)，確定行為規(guī)范，保證技術(shù)措施真正發(fā)揮效用，與技術(shù)體系共同保障安全策略的有效貫徹和落實(shí)。信息安全管理體系主要包括組織機(jī)構(gòu)、規(guī)章制度、人員安全、安全教育和培訓(xùn)等四個(gè)方面內(nèi)容。6.1.總體安全方針與安全策略總體安全方針與安全策略是指導(dǎo)用戶方所有信息安全工作的綱領(lǐng)性文件，是信息安全決策機(jī)構(gòu)對信息安全工作的決策和意圖的表述?？傮w安全方針與安全策略的作用在于統(tǒng)一對信息安全工作的認(rèn)識，規(guī)定信息安全的基本架構(gòu)，明確信息安全的根本目標(biāo)和原則。本次項(xiàng)目中深信服將協(xié)助用戶方確定安全管理體系的層次及建立方式，明確各層次在安全管理體系中的職責(zé)以及安全策略，建立具有高可操作性的考核體系，以加強(qiáng)安全策略及各項(xiàng)管理制度的可落實(shí)性。我方為用戶方設(shè)計(jì)的總體安全方針與安全策略將具備以下特性：安全策略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合用戶方實(shí)際的信息安全需求，能保障與促進(jìn)信息化建設(shè)的順利進(jìn)行，避免理想化與不可操作性。總體安全方針與安全策略中將明確闡述用戶方所有信息化建設(shè)項(xiàng)目在規(guī)劃設(shè)計(jì)、開發(fā)建設(shè)、運(yùn)行維護(hù)和變更廢棄等各階段，應(yīng)遵循的總體原則和要求。安全策略在經(jīng)過用戶方信息安全決策機(jī)構(gòu)批準(zhǔn)之后，將具備指導(dǎo)和規(guī)范信息安全工作的效力。安全策略中將規(guī)定其自身的時(shí)效性，當(dāng)信息系統(tǒng)運(yùn)行環(huán)境發(fā)生重大變化時(shí)，我方將協(xié)助用戶方及時(shí)對總體安全策略進(jìn)行必要的調(diào)整，并將調(diào)整后的策略提交用戶方信息安全決策機(jī)構(gòu)批準(zhǔn)。6.2.信息安全管理制度根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個(gè)方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實(shí)施辦法，是具有可操作性，且必須得到有效推行和實(shí)施的制度。制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對收發(fā)文進(jìn)行登記。信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進(jìn)行審定，定期或不定期對安全管理制度進(jìn)行評審和修訂，修訂不足及進(jìn)行改進(jìn)。6.3.安全管理機(jī)構(gòu)根據(jù)基本要求設(shè)置安全管理機(jī)構(gòu)的組織形式和運(yùn)作方式，明確崗位職責(zé)；設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進(jìn)行人員配備，配備專職安全員；成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等。6.4.人員安全管理人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。一般單位都有統(tǒng)一的人事管理部門負(fù)責(zé)人員管理，這里的人員安全管理主要指對關(guān)鍵崗位人員進(jìn)行的以安全為核心的管理，例如對關(guān)鍵崗位的人員采取在錄用或上崗前進(jìn)行全面、嚴(yán)格的安全審查和技能考核，與關(guān)鍵崗位人員簽署保密協(xié)議，對離崗人員撤銷系統(tǒng)帳戶和相關(guān)權(quán)限等措施。只有注重對安全管理人員的培養(yǎng)，提高其安全防范意識，才能做到安全有效的防范，因此需要對各類人員進(jìn)行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。培訓(xùn)的內(nèi)容包括單位的信息安全方針、信息安全方面的基礎(chǔ)知識、安全技術(shù)、安全標(biāo)準(zhǔn)、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責(zé)任要求、法律責(zé)任和懲戒措施等。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中人員安全管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。6.5.系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理的重點(diǎn)是與系統(tǒng)建設(shè)活動相關(guān)的過程管理，由于主要的建設(shè)活動是由服務(wù)方，如集成方、開發(fā)方、測評方、安全服務(wù)方等完成，運(yùn)營使用單位人員的主要工作是對之進(jìn)行管理，應(yīng)制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級備案、方案設(shè)計(jì)、產(chǎn)品采購使用、軟件開發(fā)、工程實(shí)施、驗(yàn)收交付、等級測評、安全服務(wù)等活動的管理責(zé)任部門、具體的管理內(nèi)容和控制方法，并按照管理制度落實(shí)各項(xiàng)管理措施，完整保存相關(guān)的管理記錄和過程文檔。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)建設(shè)管理。6.6.系統(tǒng)運(yùn)維管理8、環(huán)境和資產(chǎn)安全管理制度環(huán)境包括計(jì)算機(jī)、網(wǎng)絡(luò)機(jī)房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，明確環(huán)境安全管理的責(zé)任部門或責(zé)任人，加強(qiáng)對人員出入、來訪人員的控制，對有關(guān)物理訪問、物品進(jìn)出和環(huán)境安全等方面作出規(guī)定。對重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等措施。資產(chǎn)包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設(shè)備物資管理，而是從安全和信息系統(tǒng)角度對資產(chǎn)進(jìn)行管理，將資產(chǎn)作為信息系統(tǒng)的組成部分，按其在信息系統(tǒng)中的作用進(jìn)行管理。應(yīng)明確資產(chǎn)安全管理的責(zé)任部門或責(zé)任人，對資產(chǎn)進(jìn)行分類、標(biāo)識，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。2、設(shè)備和介質(zhì)安全管理制度明確配套設(shè)施、軟硬件設(shè)備管理、維護(hù)的責(zé)任部門或責(zé)任人，對信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護(hù)和維修等過程進(jìn)行控制，對介質(zhì)的存放、使用、維護(hù)和銷毀等方面作出規(guī)定，加強(qiáng)對涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。3、日常運(yùn)行維護(hù)制度明確網(wǎng)絡(luò)、系統(tǒng)日常運(yùn)行維護(hù)的責(zé)任部門或責(zé)任人，對運(yùn)行管理中的日常操作、賬號管理、安全配置、日志管理、補(bǔ)丁升級、口令更新等過程進(jìn)行控制和管理；制訂設(shè)備操作管理、業(yè)務(wù)應(yīng)用操作管理、變更控制和重用管理、信息交換管理相應(yīng)的管理制度；制定與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并落實(shí)執(zhí)行；正確實(shí)施為信息系統(tǒng)可靠運(yùn)行而采取的各種檢測、監(jiān)控、審計(jì)、分析、備份及容錯等方法和措施，對運(yùn)行安全進(jìn)行監(jiān)督檢查。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。4、集中安全管理制度第二級以上信息系統(tǒng)應(yīng)按照統(tǒng)一的安全策略、安全管理要求，統(tǒng)一管理信息系統(tǒng)的安全運(yùn)行，進(jìn)行安全機(jī)制的配置與管理，對設(shè)備安全配置、惡意代碼、補(bǔ)丁升級、安全審計(jì)等進(jìn)行管理，對與安全有關(guān)的信息進(jìn)行匯集與分析，對安全機(jī)制進(jìn)行集中管理。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求》和《信息系統(tǒng)安全管理要求》等。8、事件處置與應(yīng)急響應(yīng)制度按照國家有關(guān)標(biāo)準(zhǔn)規(guī)定，確定信息安全事件的等級。結(jié)合信息系統(tǒng)安全保護(hù)等級，制定信息安全事件分級應(yīng)急處置預(yù)案，明確應(yīng)急處置策略，落實(shí)應(yīng)急指揮部門、執(zhí)行部門和技術(shù)支撐部門，建立應(yīng)急協(xié)調(diào)機(jī)制。落實(shí)安全事件報(bào)告制度，第二級以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時(shí)，運(yùn)營使用單位按照相應(yīng)預(yù)案開展應(yīng)急處置，并及時(shí)向受理備案的公安機(jī)關(guān)報(bào)告。組織應(yīng)急技術(shù)支撐力量和專家隊(duì)伍，按照應(yīng)急預(yù)案定期組織開展應(yīng)急演練。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息安全事件分類分級指南》和《信息安全事件管理指南》等。8、災(zāi)難備份制度要對第二級以上信息系統(tǒng)采取災(zāi)難備份措施，防止重大事故、事件發(fā)生。識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制定數(shù)據(jù)的備份策略和恢復(fù)策略，建立備份與恢復(fù)管理相關(guān)的安全管理制度。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理和《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》。8、安全監(jiān)測制度開展信息系統(tǒng)實(shí)時(shí)安全監(jiān)測，實(shí)現(xiàn)對物理環(huán)境、通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備、用戶行為和業(yè)務(wù)應(yīng)用等的監(jiān)測和報(bào)警，及時(shí)發(fā)現(xiàn)設(shè)備故障、病毒入侵、黑客攻擊、誤用和誤操作等安全事件，以便及時(shí)對安全事件進(jìn)行響應(yīng)與處置。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理。8、其他制度對系統(tǒng)運(yùn)行維護(hù)過程中的其它活動，如系統(tǒng)變更、密碼使用等進(jìn)行控制和管理。按國家密碼管理部門的規(guī)定，對信息系統(tǒng)中密碼算法和密鑰的使用進(jìn)行分級管理。6.7.安全管理制度匯總制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項(xiàng)制度、措施的落實(shí)情況，并不斷完善。定期對信息系統(tǒng)安全狀況進(jìn)行自查，第二級系統(tǒng)每兩年自查一次，第三級信息系統(tǒng)每年自查一次，第四級信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，應(yīng)當(dāng)進(jìn)一步開展整改。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中安全管理機(jī)構(gòu)，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。最終提交安全制度包括但不限于以下內(nèi)容：總體安全策略（組織、流程、策略、技術(shù)）崗位安全責(zé)任制度第三方安全管理制度系統(tǒng)日常安全管理工作制度系統(tǒng)安全評估管理辦法機(jī)房建設(shè)運(yùn)行標(biāo)準(zhǔn)安全區(qū)域劃分及管理規(guī)定管理信息區(qū)域網(wǎng)管制度系統(tǒng)建設(shè)管理制度設(shè)備入網(wǎng)安全管理制度系統(tǒng)軟件和補(bǔ)丁管理制度備份與恢復(fù)管理制度賬號和口令及權(quán)限管理制度介質(zhì)管理加密技術(shù)使用管理辦法應(yīng)急預(yù)案管理制度安全事件報(bào)告和處置管理制度安全審計(jì)管理7.咨詢服務(wù)和系統(tǒng)測評7.1.系統(tǒng)定級服務(wù)協(xié)助用戶單位，依據(jù)《信息系統(tǒng)安全等級保護(hù)定級指南》，確定信息系統(tǒng)的安全保護(hù)等級，準(zhǔn)備定級備案表和定級報(bào)告，協(xié)助用戶單位向所在地區(qū)的公安機(jī)關(guān)辦理備案手續(xù)。7.2.風(fēng)險(xiǎn)評估和安全加固服務(wù)通過漏洞掃描、配置核查和滲透測試等技術(shù)手段發(fā)現(xiàn)系統(tǒng)中的漏洞，這些漏洞不能由安全設(shè)備解決，只能有安全加固解決。7.2.1.漏洞掃描利用業(yè)界領(lǐng)先的多種掃描工具檢查整個(gè)網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的主機(jī)系統(tǒng)與數(shù)據(jù)庫系統(tǒng)的漏洞情況，并用人