【文章內容簡介】 完全清除，無論這些信息是存放在硬盤上還是在內存中。? 通信完整性：應采用密碼技術保證通信過程中數(shù)據(jù)的完整性。? 通信保密性：應對通信過程中的整個報文或會話過程進行加密。? 抗抵賴：應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。? 軟件容錯：應提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統(tǒng)能夠進行恢復。? 資源控制：應能夠對一個時間段內可能的并發(fā)會話連接數(shù)進行限制，應能夠對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額，應能夠對系統(tǒng)服務水平降低到預先規(guī)定的最小值進行檢測和報警，應提供服務優(yōu)先級設定功能，并在安裝后根據(jù)安全策略設定訪問帳戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。13 / 43. 數(shù)據(jù)安全分析目前數(shù)據(jù)安全存在的安全隱患， 業(yè)務數(shù)據(jù)在 傳輸過程中完整性受到破壞，數(shù)據(jù)存儲沒有經過加密處理，導致數(shù)據(jù)泄露。數(shù)據(jù)沒有提供備份，導致重要數(shù)據(jù)丟失幾種現(xiàn)象。因此需要在現(xiàn)有數(shù)據(jù)安全上增加以下幾種保護：? 數(shù)據(jù)完整性：應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。? 數(shù)據(jù)保密性：應采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)傳輸保密性；應采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)存儲保密性。? 備份和恢復：應提供本地數(shù)據(jù)備份與恢復功能，完全數(shù)據(jù)備份至少每天一次，備份介質場外存放；應提供異地數(shù)據(jù)備份功能，利用通信網絡將關鍵數(shù)據(jù)定時批量傳送至備用場地；應采用冗余技術設計網絡拓撲結構，避免關鍵節(jié)點存在單點故障；應提供主要網絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。14 / 433. 總體建設方案. 總體建設目標遵循等級保護的相關標準和規(guī)范的要求，結合信息系統(tǒng)安全建設實際狀態(tài)。 針對信息系統(tǒng)中存在的安全隱患進行系統(tǒng)建設，加強信息系統(tǒng)的信息安全保護能力，使其達到相應等級的等級保護安全要求。. 總體建設原則1) 遵循等級保護的相關標準和規(guī)范的要求；2) 按照本技術要求進行設計，保證系統(tǒng)結構完整，安全要素全面覆蓋；3) 統(tǒng)一規(guī)劃、分步實施。網絡與信息安全體系建設是一個逐步完善的過程，各單位應依據(jù)本技術要求進行統(tǒng)一規(guī)劃，在建設時可以根據(jù)信息化的發(fā)展逐步建設與完善，首先保證重要信息系統(tǒng)的安全；4) 在保證關鍵技術實現(xiàn)的前提下，盡可能采用成熟產品，保證系統(tǒng)的可用性、工程實施的簡便快捷15 / 43. 安全改造后的信息部署結構. 安全保護體系建設. 建立“一個中心”管理下的“三重保障體系”為已定級信息系統(tǒng)構建安全保護環(huán)境，是以較低成本實現(xiàn)其安全保護能力的合理方式，具有技術上成熟、產品選擇面寬、無需對業(yè)務系統(tǒng)進行修改的優(yōu)點。安全保護環(huán)境的核心在于構建“一個中心” 管理下的 “三重防御體系” 。“一個中心” 是指安全管理中心，包括系統(tǒng)/ 安全管理和審計管理。“三重防御體系 ”包括提供安全 計算環(huán)境、提供安全區(qū)域 邊界和提供安全通信網絡。安全計算環(huán)境可細分為：節(jié)點子系統(tǒng)和典型應用子系統(tǒng)；安全管理中心分為系統(tǒng)/安全管理子系統(tǒng)和審計子系統(tǒng)。16 / 43安全管理子系統(tǒng)授權管理 策略管理安全計算環(huán)境安全區(qū)域邊界策略服務控制部件仲裁器邊界控制策略應用層系統(tǒng)層核心層審計請求訪問本地 / 網絡資源應用平臺計算節(jié)點 1 W I N計算節(jié)點 2 L I N計算節(jié)點 n跨系統(tǒng)安全管理局域網交換機路由器安全通信網絡應用系統(tǒng)通信網絡子系統(tǒng)區(qū)域邊界子系統(tǒng)策略符合性檢查級別調整檢查審計子系統(tǒng)典型應用子系統(tǒng)用戶登錄下載策略訪問控制策略表跨域互連策略審計管理審計服務級別調整檢查策略表執(zhí)行主體全局客體標記表標記管理系統(tǒng)管理子系統(tǒng)系統(tǒng)管理用戶身份管理資源管理 應急處理數(shù)據(jù)傳輸機密性保護數(shù)據(jù)傳輸完整性保護安全管理中心節(jié)點子系統(tǒng)內部代理外部代理三級系統(tǒng)安全保護環(huán)境專用接口系統(tǒng)管理服務安全管理執(zhí)行返回圖１第三級系統(tǒng)安全保護體系結構. 建立安全保護環(huán)境落實 GB 178591999 的 相關要求，在第二級系統(tǒng)安全保護環(huán)境的基礎上，構造非形式化的安全策略模型，對主、客體進行安全標記，并以此 為基礎，按照強制訪問控制規(guī)則實現(xiàn)對所有主體及其客體17 / 43的訪問控制。此外，第三級系統(tǒng)安全保護環(huán)境還需相應增強系統(tǒng)的審計能力、數(shù)據(jù)保密性和完整性保護能力。. 建立系統(tǒng)安全互聯(lián)對相同或不同等級的定級系統(tǒng)之間的互聯(lián)、互通、互操作進行安全保護，確保用戶身份的真實性、操作的安全性以及抗抵賴性，并按安全策略對信息流向進行嚴格控制，確保進出安全計算環(huán)境、安全區(qū)域邊界以及安全通信網絡的數(shù)據(jù)（含信息）安全。4. 第三級安全保護體系建設方案. 安全計算環(huán)境建設進行第三級安全計算環(huán)境建設重點在于進行系統(tǒng)加固、實現(xiàn)自主訪問控制、 實現(xiàn)強制訪問控制、實現(xiàn)系統(tǒng)安全審計、實現(xiàn)客體重用并且提供惡意代碼防范的功能。1) 用戶身份鑒別? 應支持用戶標識和用戶鑒別。在對每一個用戶注冊到系統(tǒng)時，采用用戶名和用戶標識符的方式進行用戶標識，并確保在系統(tǒng)整個生存周期用戶標識的唯一性；? 在每次用戶登錄系統(tǒng)時，采用強化管理的口令、基于生物特征、數(shù)字證書以及其他具有相應安全強度的兩種或兩種以上的組合機制進行用戶身份鑒別，并對鑒別數(shù)據(jù)進行保密性和完整性保護。18 / 432) 自主訪問控制? 應在安全策略控制范圍內，使用戶對自己創(chuàng)建的客體具有各種訪問操作權限，并能將這些權限的部分或全部授予其他用戶。訪問控制主體的粒度為用戶級，客體的粒度為文件或數(shù)據(jù)庫表級和（或）記錄、字段級。訪問操作包括對客體的創(chuàng)建、讀、寫、修改和刪除等。3) 標記和強制訪問控制? 在對安全管理員進行嚴格的身份鑒別和權限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記；? 應按安全標記和強制訪問控制規(guī)則，對確定主體訪問客體的操作進行控制；強制訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數(shù)據(jù)庫表級；? 應確保系統(tǒng)安全計算環(huán)境內的所有主、客體具有一致的標記信息，并實施相同的強制訪問控制規(guī)則。4) 系統(tǒng)安全審計? 應記錄系統(tǒng)的相關安全事件。審計記錄包括安全事件的主體、客體、時間、 類型和結果等內容。? 應提供審計記錄查詢、分類、分析和存儲保護；能對特定安全事件進行報警；確保審計記錄不被破壞或非授權訪問。? 應為安全管理中心提供接口；對不能由系統(tǒng)獨立處理的安全事件，提供由授權主體調用的接口。5) 用戶數(shù)據(jù)完整性保護19 / 43? 采用密碼機制支持的完整性校驗機制或其他具有相當安全強度的完整性校驗機制，檢驗在系統(tǒng)安全計算環(huán)境中存儲和傳輸?shù)挠脩魯?shù)據(jù)的完整性，并在其受到破壞時能夠對重要數(shù)據(jù)進行恢復。6) 用戶數(shù)據(jù)保密性保護? 采用密碼技術支持的保密性保護機制或其他具有相當安全強度的保密性保護機制，對在安全計算環(huán)境中存儲和傳輸?shù)挠脩魯?shù)據(jù)進行保密性保護。7) 客體安全重用? 對于動態(tài)管理和使用的客體資源，應在該客體資源重新分配前，對其原使用者的信息進行清除，以確保信息不被泄漏。8) 程序可信執(zhí)行保護? 可構建從操作系統(tǒng)到上層應用的信任鏈，其中可采用可信計算技術，以實現(xiàn)系統(tǒng)運行過程中可執(zhí)行程序的完整性檢驗，防范惡意代碼等攻擊，并在檢測到其完整性受到破壞時采取有效的恢復措施。參照上述第三級系統(tǒng)安全保護環(huán)境的安全計算環(huán)境的安全技術要素，實現(xiàn)安全 計算環(huán)境安全功能。需安裝如下軟件系統(tǒng)：. 部署三級操作系統(tǒng)進行操作系統(tǒng)加固不僅需要對服務器的操作系統(tǒng)進行加固，并20 / 43且需要對用戶操作終端計算機進行系統(tǒng)加固。在本方案中，通過部署由我公司提供的安全操作系統(tǒng)實現(xiàn)強化管理的口令以及基于生物特征或數(shù)字證書的雙因子身份認證，自主訪問控制以及標記和強制訪問控制、程序可信執(zhí)行保護等安全保護要求.. 部署系統(tǒng)安全審計系統(tǒng)安全計算環(huán)境的系統(tǒng)安全審計主要是對服務器、安全終端的系統(tǒng)安全事件進行審計。在本方案中通過在各服務器以及安全終端部署系統(tǒng)安全審計探頭，對重要的安全相關事件，包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等記錄的日期和時間、用戶、事件類型、事件是否成功等進行記錄，并可以將這些記錄轉換為標準格式，通過審計 代理將審計記錄提交給審計管理中心。并且可以依據(jù)審計控制策略，對特定安全事件進行報警。. 部署客體重用系統(tǒng)對使用的客體資源進行監(jiān)控、管理，在該客體資源重新分配前，對其原使用者的信息進行清除，以確保信息不被泄漏。1) 內存重用? 掛載內存釋放系統(tǒng)調用，截獲系統(tǒng)響應系統(tǒng)調用的所有參數(shù)，包括所需虛擬內存的起始地址和大小，從而鉤子可以通過這些信息來清零相應內存中的信息。? 鉤子在清零內存時，要對原來的地址進行映射，并保證通過21 / 43此映射能對相應的內存寫入全零。2) 文件重用? 掛載文件刪除系統(tǒng)調用，截獲相應系統(tǒng)調用的所有參數(shù)，包括所需的文件的全路徑、文件名、文件分配的空間大小，從而鉤子可以通過這些信息來清零相應文件中的剩余信息。? 調用內核寫文件的函數(shù)，向相應文件寫入全零，并向低層文件驅動發(fā)送請求包,將所有內存緩沖區(qū)中的數(shù)據(jù)（全零數(shù)據(jù)）同步的覆蓋到上述文件中去后，再調用原刪除文件的函數(shù)將文件刪除。. 部署文檔加密系統(tǒng)通過確保電腦硬盤上的每一份涉密資料均為密文狀態(tài)，從源頭上解決一切通過其它方式泄密的可能。同時為企業(yè)中各用戶搭建一個互相之間可以自由流通，無縫集成的數(shù)據(jù)交流平臺。在這個前提下，不需要用戶作任何額外的操作，就能實現(xiàn)對重要數(shù)據(jù)進行保護而且不對他們原本的日常操作習慣有任何影響。具體地可以細化為以下幾條：? 特定的文件（并非所有的文件）在生成（或保存）之時，就應該被加密，且加密要由計算機自動地進行，不能依靠人工執(zhí)行。? 文件的加密和解密，不能依賴人工設定的密碼或口令。? 被加密的文件在涉密計算機打開之時，就應該被解密，且解密要由計算機自動地進行，無需人工干預，文件的使用者也22 / 43無需知道“加密文檔安全管理系統(tǒng)碼”。? 在未授權情況下，被加密的文件無法被非涉密計算機打開，就算電腦主機或硬盤被偷出公司，得到者也無法打開電腦主機或者硬盤上的資料。? 如果企業(yè)需要外發(fā)圖紙，必須要有特定的審批流程，經過審批允許外發(fā)后，有專人解密，將密文狀態(tài)的圖紙轉換成明文狀態(tài)的圖紙后帶出，并有詳細的日志方便日后追查。. 安全通信網絡建設在第三級系統(tǒng)安全保護環(huán)境中的安全網絡建設主要在于實現(xiàn)網絡安全審計，并依據(jù)客戶實際應用的要求為用戶的網絡數(shù)據(jù)傳輸提供完整性、保密性保護以及提供可信接入控制。1) 通信網絡安全審計? 應在安全通信網絡設置必要的審計機制，由安全管理中心集中管理，并對確認的違規(guī)行為及時報警。2