從威脅、目標和能力分析等級保護的安全整改和運維

從威脅、目標和能力分析等級保護的安全整改和運維服務提升價值領航信息平安啟明星辰平安技術最正確實踐廣州分公司鄧景云信息平安存在的問題偏重產(chǎn)品，無視體系和管理。重視外部攻擊與入侵，無視內部的非法行為缺乏信息平安風險意識，平安投入盲目一勞永逸的錯誤觀念，無視信息平安是個動態(tài)的過程威脅趨勢愈演愈烈等級保護之為什么Why1994年，?中華人民共和國計算機信息系統(tǒng)平安保護條例?規(guī)定，“計算機信息系統(tǒng)實行平安等級保護，平安等級的劃分標準和平安等級保護的具體方法，由公安部會同有關部門制定〞。1995年2月18日人大12次會議通過并實施的?中華人民共和國警察法?第二章第六條第十二款規(guī)定，公安機關人民警察依法履行“監(jiān)督管理計算機信息系統(tǒng)的平安保護工作〞?！梢罁?jù)。1999年，強制性國家標準－?計算機信息系統(tǒng)平安保護等級劃分準那么?GB17859〕2003年，中辦、國辦轉發(fā)的?國家信息化領導小組關于加強信息平安保障工作的意見?〔中辦發(fā)[2003]27號〕明確指出“實行信息平安等級保護〞?！耙攸c保護根底信息網(wǎng)絡和關系國家平安、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息平安等級保護制度，制定信息平安等級保護的管理方法和技術指南〞。2004年，公安部、國家保密局、國家密碼管理局、國信辦聯(lián)合印發(fā)了?關于信息平安等級保護工作的實施意見?〔66號文件〕2006年1月，公安部、國家保密局、國家密碼管理局、國信辦聯(lián)合制定了?信息平安等級保護管理方法?〔公通字[2006]7號〕……分級保護信息平安標準AS/NZS4360:1999風險管理標準ISO/IEC13335IT平安管理指南ISO/IEC17799:2005信息平安管理最正確實踐指南ISO/IEC27001:2005信息平安管理體系標準ISO/IEC15408/GB18336CCIATF信息保障技術框架SSE-CMM系統(tǒng)平安工程能力成熟度模型公安部等級保護指南?信息系統(tǒng)平安等級保護定級指南?參考ISO13335?信息系統(tǒng)平安等級保護實施指南?參考ISO13335、IATF、SSE-CMM?信息系統(tǒng)平安等級保護根本要求?參考ISO15408、7799參考?信息系統(tǒng)平安等級保護測評準那么?ISO13335中的風險管理模型威脅漏洞資產(chǎn)價值需求控制風險利用存在抵御引發(fā)增加增加增加擁有需要最精簡的風險管理３要素定級保護輪廓技術體系管理體系不同級別威脅不同風險立方體-RiskCube資產(chǎn)威脅措施〔平安能力〕平安目標風險立方體中的平安工作資產(chǎn)威脅措施〔平安能力〕電子客票系統(tǒng)社保網(wǎng)上系統(tǒng)〔2級〕互聯(lián)網(wǎng)攻擊互聯(lián)網(wǎng)防入侵FW,IDS,IPS,防SQL注入平安目標O2-25.應具有能夠檢測對網(wǎng)絡的各種攻擊并記錄其活動的能力O2-26.應具有發(fā)現(xiàn)所有漏洞并及時修補的能力O2-27.應具有對網(wǎng)絡、系統(tǒng)和應用的訪問進行控制的能力風險立方體中的平安工作資產(chǎn)威脅措施〔平安能力〕硬件設備網(wǎng)絡線路機房〔2級〕自然災難電子屏蔽室、防火器、避雷設備火警裝置等平安目標O2-2.應具有防止雷擊事件導致重要設備被破壞的能力O2-3.應具有防水和防潮的能力O2-4.應具有滅火的能力O2-5.應具有檢測火災和報警的能力等級保護之五級監(jiān)管等級對象侵害客體侵害程度監(jiān)管強度第一級一般系統(tǒng)合法權益損害自主保護第二級合法權益嚴重損害指導社會秩序和公共利益損害第三級重要系統(tǒng)社會秩序和公共利益嚴重損害監(jiān)督檢查國家安全損害第四級社會秩序和公共利益特別嚴重損害強制監(jiān)督檢查國家安全嚴重損害第五級極端重要系統(tǒng)國家安全特別嚴重損害專門監(jiān)督檢查威脅分類不同級別對抗的威脅的種類不同；對于同類威脅，不同級別對抗的具體威脅的破壞能力也不同。平安目標不同。威脅和目標等保三級：1〕防護系統(tǒng)免受來自外部有組織的團體(如一個商業(yè)情報組織或犯罪組織等)，擁有較為豐富資源(包括人員能力、計算能力等)的威脅源發(fā)起的惡意攻擊、較為嚴重的自然災難以及其他相當危害程度的威脅〔內部人員的惡意威脅，設備較為嚴重的故障〕所造成的主要資源損害。2〕能夠及時發(fā)現(xiàn)平安漏洞和平安事件；3〕在系統(tǒng)遭到損害后，能夠較快恢復絕大局部功能。等保二級：1〕小型組織、少量資源〔個人能力、公開可獲得或特定開發(fā)的工具〕、一般自然災難、以及其它相當危害程度〔無意失誤、設備故障等〕。2〕能夠發(fā)現(xiàn)；3〕一段時間內恢復局部內容。根本要求的保障措施某級系統(tǒng)物理平安根本技術要求根本管理要求根本要求網(wǎng)絡平安主機平安應用平安數(shù)據(jù)平安平安管理機構平安管理制度人員平安管理系統(tǒng)建設管理系統(tǒng)運維管理從風險立方體分析落實等保資產(chǎn)威脅措施〔平安能力〕平安目標二級信息系統(tǒng)對抗能力2恢復能力2威脅形態(tài)2平安目標2根本要求2等級保護之怎么How落實等保整改、運維的解決方案階段一：平安評估，建立等保保護輪廓，提供整改依據(jù)階段二：平安域改造，滿足等保根本要求，建設保障框架階段三：平臺建設，等保長期持續(xù)監(jiān)控，建立運維體系第一階段：平安評估意義：2003年7月,中辦發(fā)[2003]27號文件對開展信息平安風險評估工作提出了明確的要求。工作內容行業(yè)信息平安保障要求風險評估/自評估兩個層面、三個緯度技術層面：網(wǎng)絡、系統(tǒng)、應用管理層面：人員機構、制度流程、物理環(huán)境啟明星辰風險評估技術開展全國人大風險評估工程、國家統(tǒng)計局網(wǎng)絡風險評估中國石油天然氣集團信息網(wǎng)絡平安風險評估工程中國建設銀行總行網(wǎng)上銀行效勞器平安評估工程中國人民銀行評估標準及試點、廣東移動平安評估效勞2021啟明星辰風險評估與管理模型平安評估預期的效果四個識別：資產(chǎn)、威脅、保護措施、平安差距體系設計差距評估體系執(zhí)行差距評估了解安全現(xiàn)狀找出安全差距明確安全需求第二階段：平安域改造工作內容平安域劃分網(wǎng)絡優(yōu)化產(chǎn)品部署平安域策略部署制定：美國國家平安局〔NSA〕啟明星辰“3＋1〞平安域模型域域資產(chǎn)結構化-平安域平安域方法歸根到底就是用結構將微觀的大量資產(chǎn)和其他平安要素，有序地展現(xiàn)在宏觀層面廣義的平安域概念是具有相同和相似的平安要求和策略的IT要素的集合。IT要素包括：物理環(huán)境、網(wǎng)絡區(qū)域、主機和系統(tǒng)、業(yè)務和使命、策略和流程、人和組織電力系統(tǒng)二次安防的思路平安域的樹型結構示意53243253444333534A1223333155544333555I13233331外聯(lián)網(wǎng)接入?yún)^(qū)支撐設施域互聯(lián)網(wǎng)接入?yún)^(qū)邊界接入域核心計算區(qū)某行安全域總體設計重要服務區(qū)對外服務單元計算環(huán)境域網(wǎng)絡設施域一般服務區(qū)內聯(lián)網(wǎng)接入?yún)^(qū)內部網(wǎng)接入?yún)^(qū)網(wǎng)絡管理區(qū)安全管理區(qū)操作監(jiān)控區(qū)網(wǎng)絡接入?yún)^(qū)網(wǎng)絡匯集區(qū)網(wǎng)絡骨干區(qū)邊界接入單元內部涉密單元樓層接入單元人行銀聯(lián)單元中間業(yè)務單元核心業(yè)務單元核心管理單元核心辦公單元業(yè)務前置單元網(wǎng)銀前置單元信息服務單元辦公服務單元分行業(yè)務接入分行辦公接入認證鑒別單元檢測響應單元安管中心單元其它服務單元55544333555C13233331432455455其它企業(yè)平安域案例**平安域部署案例**平安域部署案例**平安域部署案例運營商內部信息通信網(wǎng)、網(wǎng)管網(wǎng)、業(yè)務支撐系統(tǒng)**平安域部署案例**平安域部署案例**平安域部署案例平安域改造的預期效果IT系統(tǒng)的公交線路圖理順網(wǎng)絡結構結構化安全建設，有機結合產(chǎn)品和服務落實等?；疽螅〗档驼w風險，加強IT內控實效性等保的成果如何看得見？鳥瞰圖第三階段：平臺建設工作內容SOC部署平安事件采集平安事件綜合分析資產(chǎn)和域管理風險監(jiān)控管理脆弱性管理平安域拓撲管理平安域策略管理業(yè)務數(shù)據(jù)流管理平安響應管理自身平安管理定制開發(fā)實時監(jiān)控的可視化顯示實時監(jiān)控內容監(jiān)控對象、事件類型、風險級別〔5級〕、發(fā)生時間、源地址、目標地址、協(xié)議類型、時間間隔等顯示方式拓撲鏈接圖GIS地理圖交互式圖表設備狀態(tài)視圖平安管理平臺成為檢測和響應能力的匯總點平臺建設的預期效果決策層面從業(yè)務風險層面理解安全事件計算和跟蹤安全投資回報率運營層面準確分析現(xiàn)有系統(tǒng)的威脅確定安全事件的優(yōu)先順序理順安全事件管理的流程技術層面集中管理不同的安全設備綜合分析分布的安全報警形成完整的安全保障體系安全設備事件及告警統(tǒng)一監(jiān)控等保成果的可視化！“泰合平臺〞局部成功案例國家某局全國監(jiān)測數(shù)據(jù)處理中心大型平臺類工程超過10個!某客戶使用“泰合平臺〞的實景醫(yī)療行業(yè)等保運維的特點—HIS系統(tǒng)的內控健全紀檢監(jiān)察制度加強密碼管理授權控制信息查詢功能模塊后臺數(shù)據(jù)庫審計監(jiān)控醫(yī)療行業(yè)等保運維的特點—HIS系統(tǒng)的內控啟明星辰如何實現(xiàn)通過天玥業(yè)務網(wǎng)審計系統(tǒng)實現(xiàn)對數(shù)據(jù)庫操作的記錄和審計查詢，以此手段有效地監(jiān)控任何對數(shù)據(jù)庫訪問的行為并對可疑的數(shù)據(jù)庫查詢操作做回放并記錄，以此追蹤、威懾醫(yī)藥代表的統(tǒng)方行為，并可通過數(shù)據(jù)庫瀏覽工具，將查詢命令的操作結果直觀反映到數(shù)據(jù)庫上。醫(yī)療行業(yè)等保運維的特點—HIS系統(tǒng)的內控總體要求對HIS〔醫(yī)院管理信息系統(tǒng)〕系統(tǒng)后臺數(shù)據(jù)庫的訪問行為進行審計并回放，并將審計命令反映為數(shù)據(jù)庫操作結果以便監(jiān)察部門查閱環(huán)境現(xiàn)狀醫(yī)務人員使用科室HIS系統(tǒng)的查詢模塊，或信息中心管理人員直接使用數(shù)據(jù)庫查詢分析工具〔PowerBuilder、SQL查詢分析器等〕執(zhí)行查詢指令醫(yī)療行業(yè)等保運維的特點—HIS系統(tǒng)的內控數(shù)據(jù)庫類型MSSQLServer、Oracle、Sybase行業(yè)特殊需求對所有類型HIS系統(tǒng)數(shù)據(jù)庫的訪問操作進行旁路審計并實時跟蹤回放可自定義具有業(yè)務特征的策略庫，對符合審計策略的操作可記錄、查詢、報表、報警審計結果需要翻譯成監(jiān)察部門的非專業(yè)人員可讀格式，并將指令反映為數(shù)據(jù)庫操作案例：長城資產(chǎn)等級保護工程用戶背景：

中國長城資產(chǎn)管理公司(以下簡稱長城資產(chǎn)管理)是經(jīng)中國政府批準成立的，具有獨立法人資格的國有獨資金融企業(yè)，公司注冊資本金100億元人民幣，由國家財政部全額撥入，長城資產(chǎn)管理在全國30個省市設有分支機構。合作內容啟明星辰與長城資產(chǎn)的合作內容：一期的平安等級劃分和風險評估；二期的等級保護整改，包括平安域規(guī)劃建設；二期的平安管理平臺設計建設。本工程中涉及的主要工作內容有：對長城資產(chǎn)管理現(xiàn)有的平安措施做出合理判斷和評價。完成等級保護的定級工作的同時完成平安風險評估。實現(xiàn)對現(xiàn)有防火墻、防病毒、入侵檢測和補丁管理系統(tǒng)等網(wǎng)絡平安防護設備的統(tǒng)一數(shù)據(jù)采集和綜合分析。二期工程中實現(xiàn)平安域劃分、多種平安設備的事件集中管理和平安風險的實時監(jiān)控。邏輯關系SMCBlade_02數(shù)據(jù)庫Blade_01SIMSBlade_03顯示終端網(wǎng)絡行為監(jiān)控脆弱性掃描交換機路由器效勞器防火墻平安網(wǎng)關入侵檢測漏洞信息：日志信息：訪問信息：展示信息：SOC域大屏幕顯示全國辦事處部署圖全國共部署31個辦事處，信息分別在各辦事處EC匯總，后統(tǒng)一送往總部SIMS效勞器存入總部數(shù)據(jù)庫?？偛縎OC域北京辦河北辦天津辦上海辦可識－豐富的拓撲展示等級保護基線管理差距分析客戶評價長城資產(chǎn)公司信息技術部總經(jīng)理這樣評價：

“部署平臺之后公司有效響應和貫徹了公安部信息系統(tǒng)等級保護標準的要求，協(xié)助公司進一步提升信息平安水平，保障業(yè)務的良好運行。

同時，利用平臺的建設實踐到達了對信息平安風險的‘可知-可識-可知識’管理，使信息系統(tǒng)的平安風險處于‘可識、可視、可管、可控’之中〞。啟明星辰簡介領導的關心2000年1月，江澤民、李嵐清、曾慶紅等黨和國家領導人親切視察啟明星辰公司2003年1月，胡錦濤總書記親切接見啟明星辰公司CEO嚴望佳博士今天的啟明星辰公司擁有國際一流的攻防技術研究團隊，是專業(yè)平安產(chǎn)品、解決方案和效勞提供商員工超過700名，是國家級網(wǎng)絡平安技術研發(fā)基地，設有網(wǎng)絡平安博士后工