數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)項(xiàng)目技術(shù)方案-文庫吧
2025-04-29 01:27 本頁面
【正文】 的證書進(jìn)行偽裝攻擊；拒絕服務(wù)攻擊（如攻擊目錄服務(wù)等）；中間攻擊；攻擊PIN獲取對(duì)用戶私鑰的訪問、在支持性基礎(chǔ)設(shè)施的組件中引入惡意代碼攻擊、在密鑰分發(fā)期間對(duì)密鑰實(shí)施攻擊、對(duì)PKI私鑰實(shí)施密碼攻擊、對(duì)密鑰恢復(fù)后的密鑰進(jìn)行末授權(quán)訪問、在用戶認(rèn)證期間使用戶不能生成失效信息；利用備份信息進(jìn)行攻擊。3. 安全需求分析. 等級(jí)保護(hù)要求分析. 網(wǎng)絡(luò)安全類別控制點(diǎn)重點(diǎn)要求項(xiàng)對(duì)應(yīng)措施網(wǎng)絡(luò)安全結(jié)構(gòu)安全交換設(shè)備的冗余、網(wǎng)絡(luò)劃分與隔離安全域劃分，通過安全管理平臺(tái)進(jìn)行網(wǎng)絡(luò)拓?fù)涔芾碓L問控制網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能安全域邊界增加部署防火墻設(shè)備安全審計(jì)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)邊界完整性檢查對(duì)內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查采用技術(shù)手段進(jìn)行違規(guī)外聯(lián)入侵防范網(wǎng)絡(luò)邊界入侵行為監(jiān)視網(wǎng)絡(luò)出口的邊界處部署入侵檢測(cè)，重要服務(wù)器區(qū)前面采取入侵防護(hù)措施. 主機(jī)安全類別控制點(diǎn)重點(diǎn)要求項(xiàng)對(duì)應(yīng)措施主機(jī)安全身份鑒別對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別部署身份鑒別系統(tǒng)。訪問控制啟用訪問控制功能，實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離 對(duì)系統(tǒng)安全加固，限制默認(rèn)帳戶、時(shí)刪除多余的、過期的帳戶等安全審計(jì)用戶行為、系統(tǒng)資源、系統(tǒng)安全事件審計(jì)采用主機(jī)審計(jì)措施，通過安全管理平臺(tái)對(duì)操作系統(tǒng)、數(shù)據(jù)庫進(jìn)行監(jiān)控管理入侵防范操作系統(tǒng)最小安裝的原則、及時(shí)更新系統(tǒng)補(bǔ)丁對(duì)主機(jī)進(jìn)行漏洞檢查，并部署入侵防范設(shè)備。惡意代碼防范能夠集中管理的惡意代碼防護(hù)系統(tǒng)部署網(wǎng)絡(luò)版防病毒軟件資源控制設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄利用訪問控制策略與堡壘機(jī)產(chǎn)品結(jié)合的方式進(jìn)行控制。. 應(yīng)用安全類別控制點(diǎn)重點(diǎn)要求項(xiàng)對(duì)應(yīng)措施應(yīng)用安全身份鑒別提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別部署身份鑒別服務(wù)器并與應(yīng)用進(jìn)行聯(lián)動(dòng)訪問控制賬戶訪問權(quán)限管理部署堡壘機(jī)對(duì)訪問進(jìn)行權(quán)限管理安全審計(jì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)部署堡壘機(jī)對(duì)應(yīng)用訪問進(jìn)行記錄通信保密性采用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證，對(duì)通信過程中的敏感信息字段進(jìn)行加密應(yīng)用軟件安全改造，對(duì)敏感字段進(jìn)行加密資源控制會(huì)話超時(shí)、會(huì)話并發(fā)管理、多重并發(fā)會(huì)話限制部署堡壘機(jī)設(shè)備進(jìn)行限制. 安全需求總結(jié)類別安全需求網(wǎng)絡(luò)安全劃分安全域、明確安全邊界網(wǎng)絡(luò)出口邊界、新的安全邊界部署防火墻設(shè)備網(wǎng)絡(luò)出口邊界部署入侵檢測(cè)設(shè)備關(guān)鍵業(yè)務(wù)前段部署入侵防御系統(tǒng)網(wǎng)頁應(yīng)用系統(tǒng)邊界部署WEB應(yīng)用安全網(wǎng)關(guān)重要數(shù)據(jù)庫部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)主機(jī)安全部署身份認(rèn)證系統(tǒng)對(duì)訪問進(jìn)行身份認(rèn)證部署堡壘機(jī)設(shè)備對(duì)主機(jī)訪問進(jìn)行控制與審計(jì)采用網(wǎng)絡(luò)版殺毒軟件部署漏洞掃描設(shè)備對(duì)主機(jī)的漏洞進(jìn)行檢測(cè)并及時(shí)修補(bǔ)應(yīng)用安全應(yīng)用系統(tǒng)與身份認(rèn)證系統(tǒng)相結(jié)合進(jìn)行身份鑒別應(yīng)用系統(tǒng)與堡壘機(jī)相結(jié)合來進(jìn)行審計(jì)與訪問控制部署安全管理平臺(tái)對(duì)網(wǎng)絡(luò)，主機(jī)，應(yīng)用的日志進(jìn)行審計(jì)與分析。4. 整體安全設(shè)計(jì). 安全域. 安全域劃分原則（1）業(yè)務(wù)保障原則安全域方法的根本目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。在保證安全的同時(shí)，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。信息安全服務(wù)所強(qiáng)調(diào)的核心思想是應(yīng)該從客戶（業(yè)務(wù)）而不是IT 服務(wù)提供方（技術(shù)）的角度理解IT 服務(wù)需求。也就是說，在提供IT 服務(wù)的時(shí)候，我們首先應(yīng)該考慮業(yè)務(wù)需求，根據(jù)業(yè)務(wù)需求來確定IT 需求包括安全需求。在安全域劃分時(shí)會(huì)面臨有些業(yè)務(wù)緊密相連，但是根據(jù)安全要求（信息密級(jí)要求，訪問應(yīng)用要求等）又要將其劃分到不同安全域的矛盾。是將業(yè)務(wù)按安全域的要求強(qiáng)性劃分，還是合并安全域以滿足業(yè)務(wù)要求？必須綜合考慮業(yè)務(wù)隔離的難度和合并安全域的風(fēng)險(xiǎn)（會(huì)出現(xiàn)有些資產(chǎn)保護(hù)級(jí)別不夠），從而給出合適的安全域劃分。（2）等級(jí)保護(hù)原則根據(jù)安全域在業(yè)務(wù)支撐系統(tǒng)中的重要程度以及考慮風(fēng)險(xiǎn)威脅、安全需求、安全成本等因素，將其劃為不同的安全保護(hù)等級(jí)并采取相應(yīng)的安全保護(hù)技術(shù)、管理措施，以保障業(yè)務(wù)支撐的網(wǎng)絡(luò)和信息安全。安全域的劃分要做到每個(gè)安全域的信息資產(chǎn)價(jià)值相近，具有相同或相近的安全等級(jí)、安全環(huán)境、安全策略等。安全域所涉及應(yīng)用和資產(chǎn)的價(jià)值越高，面臨的威脅越大，那么它的安全保護(hù)等級(jí)也就越高。（3）深度防御原則根據(jù)網(wǎng)絡(luò)應(yīng)用訪問的順序，逐層進(jìn)行防御，保護(hù)核心應(yīng)用的安全。安全域的主要對(duì)象是網(wǎng)絡(luò)，但是圍繞安全域的防護(hù)需要考慮在各個(gè)層次上立體防守，包括在物理鏈路、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用等層次；同時(shí)，在部署安全域防護(hù)體系的時(shí)候，要綜合運(yùn)用身份鑒別、訪問控制、檢測(cè)審計(jì)、鏈路冗余、內(nèi)容檢測(cè)等各種安全功能實(shí)現(xiàn)協(xié)防。（4）結(jié)構(gòu)簡(jiǎn)化原則安全域劃分的直接目的和效果是要將整個(gè)網(wǎng)絡(luò)變得更加簡(jiǎn)單，簡(jiǎn)單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計(jì)防護(hù)體系。安全域劃分不宜過于復(fù)雜。（5）生命周期原則對(duì)于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計(jì)，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過程中要考慮工程化的管理。（6）安全最大化原則針對(duì)業(yè)務(wù)系統(tǒng)可能跨越多個(gè)安全域的情況，對(duì)該業(yè)務(wù)系統(tǒng)的安全防護(hù)必須要使該系統(tǒng)在全局上達(dá)到要求的安
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1