【正文】 融信 科技 有限 公司 11 辦公 終端系統(tǒng) 辦公 終端系統(tǒng)區(qū)里只包含了那些個人電腦，根據(jù)公安等級保護相關(guān)要求“如果無法做到不同等級的信息系統(tǒng)使用不同的終端設(shè)備，則應(yīng)將終端設(shè)備劃分為其他的信息系統(tǒng)，并在服務(wù)器與內(nèi)部用戶終端之間建立邊界保護，對終端通過身份鑒別和訪問控制等措施加以控制”， 國家中心 終端平臺包括辦公 區(qū)域 終端，由于這些終端都可以訪問 業(yè)務(wù)系統(tǒng) ，無法 按照 按不同系統(tǒng)使用不同終端進行訪問，因此本規(guī)劃中將終端視為單獨的系統(tǒng)，進行基本的保護，并實現(xiàn)終端安全性保障、終端惡意代碼防范、 終端行為監(jiān)管、終端身份認(rèn)證、終端訪問控制等內(nèi)容。 ? 設(shè)備未 開啟日志審計功能 ，無法記錄設(shè)備運行信息。 XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。 ? 部分服務(wù)器等 未安裝第三方殺毒軟件 ，系統(tǒng)賬戶口令強度不夠，為禁用或刪除不需要系統(tǒng)服務(wù)和組件。專職安全管理員和信息安全審計員的缺崗，將會給信息安全的保障工作帶來較大隱患。 此崗位人員的缺失，可能導(dǎo)致安全事件得不到有效的追查，信息安全管理制度無法有效 和徹底的貫徹和執(zhí)行，也可能導(dǎo)致內(nèi)部人員任意使用權(quán)限而無人監(jiān)督，最終發(fā)生內(nèi)部的信息遭到破壞和盜竊等嚴(yán)重安全事件。安全審計員的缺失，可能導(dǎo)致管理制度無法順利執(zhí)行，并且不利于互相約束和監(jiān)督機 制的建立。這樣做，存在的危害性表現(xiàn)為，可能會帶來執(zhí)行困難的問題，安全工作責(zé)任不分明，安全工作得不到落實，無法控制，因安全帶來的問題長期得不到解決，安全問題日積月累，最終導(dǎo)致嚴(yán)重安全事件的發(fā)生。定期召開安全工作會議，是對前一階段安全工作的總結(jié)，并發(fā)現(xiàn)問題，在下一階段的安全工作中予以改進，長時間不進行安全工作的總結(jié)，就會使安全工作陷入不健康的狀況，不能夠做到安全狀況的持續(xù)改進和 螺旋上升。目前沒有針對現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等，組織安全管理部門或相關(guān)人員進行周期性檢查（應(yīng)制定安全檢查表格實施安全檢 查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報）。 人員安全風(fēng)險 ? 安全培訓(xùn) 目前，在《管理制度》中，對安全責(zé)任和懲戒措施進行了規(guī)定，在一定意義上給員工進行了安全意識提醒。實踐證明：在安全管理中如果沒有考核，將很難取得良好的效果，最終導(dǎo)致重大 安全事件的發(fā)生。 這種差異帶來的風(fēng)險是：沒有分類就難以按照資產(chǎn)類型進行針對性的保護，最終缺乏經(jīng)濟有效的安全保障。 2020 北京天融信 科技 有限 公司 16 1) 網(wǎng)絡(luò)漏洞掃描報告：尚未覆蓋網(wǎng)絡(luò)存在的漏洞、嚴(yán)重級別、原因分析、改進意見等方面； 2) 網(wǎng)絡(luò)安全管理制度：已經(jīng)覆蓋以下部分內(nèi)容：網(wǎng)絡(luò)安全配置、網(wǎng)絡(luò)安全策略、升級與打補丁、最小 服務(wù)、授權(quán)訪問、日志保存時間、口令更新周期、文件備份； 3) 有內(nèi)部網(wǎng)絡(luò)所有外聯(lián)的授權(quán)批準(zhǔn)書； 4) 網(wǎng)絡(luò)設(shè)備審計日志：在規(guī)定的保存時間范圍內(nèi)不存在。 ? 惡意代碼防范管理 在惡意代碼防范管理方面存在如下差異： XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。 這種差異帶來的風(fēng)險是：備份存在隨意性、不規(guī)范、不符合實際要求；備份可能存在不確定性；備份過程得不到控制。 2020 北京天融信 科技 有限 公司 18 安全 需求 分析 符合等級保護技術(shù)要求的需求 系統(tǒng)定級為 3 級，且等級保護要求選擇為 S3A2G3，查找《信息系統(tǒng)安全等級保護基本要求》得到該系統(tǒng)的具體技術(shù)要求選擇，以及差異性需求包括。 GL_REQ_G3_GLJG_2 應(yīng)配備專職安全管理員，不可兼任。審核和授權(quán)須保存書面文檔。發(fā)布和執(zhí)行過程中除了要得到管理層的大力支持和推動外，還必須要有合適的、可行的發(fā)布和推動手段。 2020 北京天融信 科技 有限 公司 21 ?? 用戶協(xié)議。 GL_REQ_G3_RYGL_4 應(yīng)定期的針對不同崗位 職責(zé)的員工，邀請內(nèi)部人員和外部專家進行有針對性的安全教育和培訓(xùn)。 系統(tǒng)建設(shè) GL_REQ_G3_XTJS_1 ?? 舉行專家論證會 。 ?? 制定《系統(tǒng)定級管理制度》 GL_REQ_G3_XTJS_2 ?? 補充系統(tǒng)安全建 設(shè)計劃。 GL_REQ_G3_XTJS_4 補充《代碼編寫安全規(guī)范》，增加出規(guī)范中已經(jīng)明確XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。 GL_REQ_G3_XTJS_5 制定《軟件源代碼審查制度》 ，要求在合同中必須存在“ 外包開發(fā)商必須確保沒有后門，并提供軟件所有源代碼 ”，在必要時申請第三方機構(gòu)對軟件源代碼進行審查以確保對可能存在后門進行審查，并記錄審查詳細(xì)結(jié)果及結(jié)論。 2020 北京天融信 科技 有限 公司 23 桌面文件和屏幕鎖定等）進行規(guī)范； ?? 對人員調(diào)離辦公室后的行為等方面進行規(guī)定 GL_REQ_G3_XTYW_2 ?? 制定《資產(chǎn)信息分類管理制度》 ： ?? 規(guī)定資產(chǎn)分類標(biāo)識的原則和方法（如根據(jù)信息的重要程度、敏感程度或用途不同進行分類） GL_REQ_G3_XTYW_3 ?? 制定《介質(zhì)管理制度》 ：必須記錄介質(zhì)的存儲、歸檔、借用等 情況。 ?? 管理制度覆蓋終端計算機、便攜機和網(wǎng)絡(luò)設(shè)備等使用、操作原則、注意事項等方面。 GL_REQ_G3_XTYW_6 ?? 《網(wǎng)絡(luò)安全管理制度》要對網(wǎng)絡(luò)漏洞掃描報告進行規(guī)范，要求覆蓋網(wǎng)絡(luò)存在的漏洞、嚴(yán)重級別、原因分析、改進意見等方面。 ?? 要求記錄詳細(xì)操作日志：重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改。 ?? 要求系統(tǒng)漏洞掃描報告覆蓋系統(tǒng)存在的漏洞、嚴(yán)重級別、原因分析、改進意見等方面。 ?? 升級記錄記錄升級時間、升級版本等內(nèi)容 ?? 分析報告描述惡意代碼的特征、修補措施等內(nèi)容 建立惡意代碼集中防范管理中心 。 ?? 《系統(tǒng)備份管理制度》：要求記錄備份過程并形成文檔，覆蓋備份時間、備份內(nèi)容、備份操作、備份介質(zhì)存放等。 ?? 明確具體報告方式、報告內(nèi)容、報告人等方面內(nèi)容。 2020 北京天融信 科技 有限 公司 26 ? 對進出各安全域的 信息和數(shù)據(jù)進行嚴(yán)格的控制，防止對安全域的非法訪問； ? 對于各個安全域之間交互的信息和數(shù)據(jù)，保護其完整性、可用性、保密性，防止在傳輸過程中被竊取、篡改和破壞； ? 在各個安全域內(nèi)，能及時發(fā)現(xiàn)和響應(yīng)各種網(wǎng)絡(luò)攻擊與破壞行為； ? 升級防火墻系統(tǒng)為最新版本，設(shè)置嚴(yán)格的密碼策略、用戶錯誤登錄次數(shù)限制和超時自動退出； ? 設(shè)置嚴(yán)格的 IP 訪問控制，使用加密通道進行遠程管理。 XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。從安全體系的建設(shè)方面看，安全體系包括：邊界防護系統(tǒng)、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、病毒防護系統(tǒng)、安全審計系統(tǒng)、 WEB 防護系統(tǒng)、安全管理系統(tǒng)，以及統(tǒng)一的信任服務(wù)體系、授權(quán)服務(wù)體系、統(tǒng)一的密碼服務(wù)體系等。 XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。 對于信息安全建設(shè)，應(yīng)當(dāng)以適度風(fēng)險為核心，以重點保護為原則，從業(yè)務(wù)的角度出發(fā)，重點保護重要的業(yè)務(wù)信息系統(tǒng)，在方案設(shè)計中應(yīng)當(dāng)遵循以下的原則： 適度安全原則 任何信息系統(tǒng)都不能做到絕對的安全，在 進行信息安全等級保護規(guī)劃中 ，要在安全需求、安全風(fēng)險和安全成本 之間進行平衡和折中，過多的安全要求必將造成安全成本的迅速增加和運行的復(fù)雜性。 2020 北京天融信 科技 有限 公司 31 措施和策略一方面能夠符合國家等級保護的相關(guān)要求，另一方面也能夠很好地解決信息網(wǎng)絡(luò)中存在的安全問題，滿足特性需求。 ? GB/T 18336： 等同采用 ISO 15408 ? ISO/IEC 17799/BS77991：《信息安全管理 體 系實施指南 》。 2020 北京天融信 科技 有限 公司 33 第四章 信息安全子系統(tǒng) 詳細(xì)設(shè)計方案 安全方案設(shè)計概述 整體設(shè)計思路 構(gòu)建分域的控制體系 在總體架構(gòu)上將按照分域保護思路進行， 本方案參考 IATF 信息安全技術(shù)框架，將信息系統(tǒng)從結(jié)構(gòu)上劃分為不同的安全區(qū)域，各個安全區(qū)域內(nèi)部的網(wǎng)絡(luò)設(shè)備、服務(wù)器、終端、應(yīng)用系統(tǒng)形成單獨的計算環(huán)境、各個安全區(qū)域之間的訪問關(guān)心形成邊界、各個安全區(qū)域之間的連接鏈路和網(wǎng)絡(luò)設(shè)備構(gòu)成了網(wǎng)絡(luò)基礎(chǔ)設(shè)施；因此方案將從保護計算環(huán)境、保護邊界、保護網(wǎng)絡(luò)基礎(chǔ)設(shè)施三個層面進行設(shè)計，并通過統(tǒng)一的基礎(chǔ)支撐平臺（這里我們將采用安全信息管理平臺）來實現(xiàn)對基礎(chǔ)安全設(shè)施的集中管理，構(gòu)建分域的控 制體系。 2020 北京天融信 科技 有限 公司 34 因此在建設(shè)手段 上，本方案采取“大平臺”的方式進行建設(shè)，在平臺上實現(xiàn)各個信息系統(tǒng)的基本保護，比如統(tǒng)一的防病毒系統(tǒng)、統(tǒng)一的審計系統(tǒng)，然后在基本保護的基礎(chǔ)上，再根據(jù)各個信息系統(tǒng)的重要程度，采取高強度的保護措施。 2020 北京天融信 科技 有限 公司 35 XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。 公務(wù)接入?yún)^(qū)采用采用抗 DDOS 攻擊設(shè)備、防火墻、防病毒網(wǎng)關(guān)、負(fù)載均衡等措施，并在核心交換區(qū)部署了入侵檢測系統(tǒng)（ IDS），保障互聯(lián)網(wǎng)接入的安全性。 在 SOC 區(qū)域部署兩臺防火墻實現(xiàn) SOC 區(qū)域網(wǎng)絡(luò)安全訪問控制，通過部署 NAS 存儲設(shè)備，實現(xiàn)數(shù)據(jù)的集中安全存儲和備份功能，而且易于擴展。在服務(wù)器交換機部署網(wǎng)絡(luò)安全審計系統(tǒng)，通過將重要業(yè)務(wù)服務(wù)器的數(shù)據(jù)流鏡像到網(wǎng)絡(luò)安全審計設(shè)備上，監(jiān)控和審計網(wǎng)絡(luò)行為。 2020 安徽沐誠 38 安全技術(shù)方案詳細(xì)設(shè)計 確定保護對象 計算環(huán)境及保護強度確定 確定要保護的計算環(huán)境 及保護強度為： ? 業(yè)務(wù)服務(wù)器區(qū)域：包含了運行業(yè)務(wù)系統(tǒng)的應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器，根據(jù)業(yè)務(wù)系統(tǒng)的定級情況，可確定應(yīng)按照 3 級強度來保護業(yè)務(wù)服務(wù)器區(qū)域，并按照 S3A2G3 來選擇需要滿足的技術(shù)要求； ? 安全服務(wù) 區(qū)域 ：包含了 信息安全管理平臺、 防病毒 管理平臺 、 WEB 防篡改、漏掃服務(wù)器和 IDS 管理服務(wù)器 ，以及配置管理的維護終端，根據(jù)定級運行維護系統(tǒng)為 3 級，因此可確定應(yīng)按照 3 級強度來保護運行維護區(qū)域，并按照 S3A3G3 來選擇需要滿足的技術(shù)要求； ? 綜合管理 區(qū)域 ：包含了 備份服務(wù)器、 NTP 服務(wù)器和綜合管理服務(wù)器 ，根據(jù)定級系統(tǒng)為 2 級， 因此可確定應(yīng)按照 2 級強度來保護 該 區(qū)域，并按照S2A2G2 來選擇需要滿足的技術(shù)要求； ? 外部服務(wù)器區(qū)域：包含了 WEB 服務(wù)器 和 DSS 服務(wù)器，根據(jù)定級外部服務(wù)系統(tǒng)為 2 級，因此可確定應(yīng)按照 2 級強度來保護外部服務(wù)器區(qū)域，并按照 S2A2G2 來選擇需要滿足的技術(shù)要求； ? 辦公 管理系統(tǒng)服務(wù)器區(qū)域 ：包含了運行內(nèi)部辦公系統(tǒng)的應(yīng)用服務(wù)器，根據(jù)內(nèi)部辦公系統(tǒng)的定級情況，可確定應(yīng)按照 1 級強度來保護辦公服務(wù)器區(qū)域，并按照 S1A1G1 來選擇需要滿足的技術(shù)要求； ? 辦公 終端 區(qū) ：涉及辦公終端區(qū)域按照“終端系統(tǒng)單獨作為系統(tǒng)進行保護”的原則，對終端區(qū)域 采取隔離、訪問控制、自身安全檢查、終端行為檢查、身份認(rèn)證等措施進行保護即可。 為描繪上方便，本 方案中統(tǒng)一將通信網(wǎng)絡(luò)定義名稱為：骨干網(wǎng)絡(luò)。具有安全可靠性，為數(shù)據(jù)提供機密性、完整性、有效性提供保證； ? 權(quán)限分離策略：操作系統(tǒng)核心加固系統(tǒng)，對超級管理員賬號進行重新分配和權(quán)力的削弱，并根據(jù)“三權(quán)分立”的原則，定義了系統(tǒng)管理員、審計管理員以及安全管理員三種角色，各類角色分別可執(zhí)行不同的管理操作，充分保障了系統(tǒng)的安全性； ? 內(nèi)核級文件強制訪問控制策略：安全加固系統(tǒng)允許對用戶或進程以不同訪問權(quán)限對文件 /目錄設(shè)制訪問規(guī)則，并且可以對文件 /目錄和用戶設(shè)定安全級別，按級別通過安全模型實施訪問控制， 任何用戶（包括系統(tǒng)管理員）及其調(diào)用的進程對敏感文件或目錄進行創(chuàng)建、刪除、修改、讀取等操作時，將根據(jù)安全加固系統(tǒng)制定的規(guī)則進行過濾（允許或拒絕） ? 內(nèi)核級進程強制訪問控制策略：內(nèi)核加固系統(tǒng)允許對進程以不同訪問權(quán)限對進程設(shè)制訪問規(guī)則，任何用戶（包括系統(tǒng)管理員）及其調(diào)用的非授權(quán)進程都無權(quán)終止與操作受內(nèi)核加固系統(tǒng)保護的進程。 2020 安徽沐誠 41 ? 應(yīng)用級文件機密性保護策略：由用戶制定需要加密的文件，并通過對稱加密算法對文件進行加密，加密后的文件根據(jù)強制訪問控制策略，只有訪問權(quán)限用戶方可成功解密文件。該工具針對下面問 題對 SQL Server 安裝進行檢測： ? 過多的 sysadmin 固定服務(wù)器角色成員。 ? 授予管理員組過多的權(quán)利。 ? 在同時是域控制器的系統(tǒng)中運行 SQL Server。 使用 Windows 身份驗證模式 XXXX 等級保護安全集成建設(shè)項目 信息安全子系統(tǒng) 投標(biāo)文件 技術(shù)部分 169。而且，您的服務(wù)器也將從 Windows 安全增強機制中獲益，例如更強的身份驗證協(xié)議以及強制的密碼復(fù)雜性和過期時間。 隔離服務(wù)器 和 定期備份 物理和邏輯上的隔離組成 了