【正文】 構(gòu)/單位或國際互聯(lián)網(wǎng)之間互聯(lián)模型可能如下圖所示： 33 四級安全域三級安全域二級安全域外部機構(gòu)/單位一級安全域國際互聯(lián)網(wǎng)圖19局域網(wǎng)與外部連接抽象模型 安全域內(nèi)部抽象處理 局域網(wǎng)中不同級別的安全域的規(guī)模和復(fù)雜程度可能不同，但是每個級別的安全域的構(gòu)成要素基本一致，即是由服務(wù)器、工作站和連接它們構(gòu)成網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備構(gòu)成。為了便于分析和處理，將安全域內(nèi)部抽象為服務(wù)器設(shè)備（包括存貯設(shè)備）、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備這些要素，通過對安全域內(nèi)部的模型化處理后，對每個安全域內(nèi)部的關(guān)注點將放在服務(wù)器設(shè)備、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備上，通過對不同級別的安全域中的服務(wù)器設(shè)備、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備提出安全策略要求和安全措施要求，實現(xiàn)安全域內(nèi)部的安全保護。 例如： 通過抽象處理后，每個安全域模型可能如下圖所示： 34 網(wǎng)絡(luò)設(shè)備服務(wù)器設(shè)備工作站設(shè)備圖110安全域內(nèi)部構(gòu)成抽象模型 形成信息系統(tǒng)抽象模型 通過對信息系統(tǒng)的分析和抽象處理，最終應(yīng)形成被分析的信息系統(tǒng)的抽象模型。信息系統(tǒng)抽象模型的表達應(yīng)包括以下內(nèi)容： 。信息系統(tǒng)如何由骨干網(wǎng)、城域網(wǎng)、局域網(wǎng)構(gòu)成，骨干網(wǎng)、城域網(wǎng)、局域網(wǎng)之間如何 互聯(lián)； 。局域網(wǎng)最多包含幾個不同級別的安全域；。局域網(wǎng)內(nèi)部不同級別的安全域之間如何連接；。不同局域網(wǎng)之間的安全域之間如何連接； 。局域網(wǎng)內(nèi)部安全域是否與外部機構(gòu)/單位或國際互聯(lián)網(wǎng)有互聯(lián)；。等等。 說明總體安全策略 說明安全工作的主要策略，包括安全組織機構(gòu)劃分策略、業(yè)務(wù)系統(tǒng)分級策略、數(shù)據(jù)信息分級策略、安全域互連策略、信息流控制策略等； 例如： 1）、管理策略： 35 xxxx集團公司成立信息安全領(lǐng)導(dǎo)小組，該小組是信息安全的最高決策機構(gòu)。安全領(lǐng)導(dǎo)小組下xxxx工作組、xxxx工作組負責(zé)具體工作；各個分公司成立xxxx工作負責(zé)分公司的具體工作。 xxxx集團公司信息安全領(lǐng)導(dǎo)小組負責(zé)組織相關(guān)人員對信息系統(tǒng)的安全建設(shè)和安全改造進行統(tǒng)一規(guī)劃，各分公司和直屬單位根據(jù)統(tǒng)一規(guī)劃進行具體建設(shè)實施。 由xxxx集團公司負責(zé)對信息安全設(shè)備的選型、采購和驗收等方面制定具體管理規(guī)定，各分公司和直屬單位根據(jù)上述具體管理規(guī)定進行信息安全設(shè)備的采購和使用。 集團公司本部局域網(wǎng)由本部xxxx部門負責(zé)管理；各分公司和直屬單位局域網(wǎng)由xxxx部門負責(zé)管理；骨干網(wǎng)由xxxx部分負責(zé)管理；各分公司城域網(wǎng)由各分公司xxxx部門負責(zé)管理。 等等 2）、系統(tǒng)分級 集團公司本部和分公司局域網(wǎng)劃分為xxxx四個級別的安全域，其中xxxx為4級，xxxx為3級，xxxx為2級，xxxx為1級。 xxxx業(yè)務(wù)、xxxx業(yè)務(wù)、……等劃歸在4級安全域，……。等等 3）、網(wǎng)絡(luò)互聯(lián) 同級的安全域通過骨干網(wǎng)/城域網(wǎng)只能與上級或下級單位的同級安全域進行連接；4級安全域通過二層的vpn通道進行數(shù)據(jù)交換、3級安全域通過二層或三層的vpn通道進行數(shù)據(jù)交換； 4級安全域不能與2級安全域、1級安全域直接連接；3級安全域不能與1級安全域直接連接； 分公司不允許有internet出口，分公司到internet的訪問必須通過集團公司本部的internet出口，僅集團公司本部有唯一的internet連接；internet出口只能與1級安全域連接； 等等 36 4）、安全控制 4級安全域與3級安全域之間必須采用接近物理隔離的專用設(shè)備進行隔離；各級別安全域的網(wǎng)絡(luò)對外接口處必須使用防火墻進行有效的邊界保護； 3級安全域和2級安全域外部單位進行數(shù)據(jù)交換時，不允許直接交換，必須把要交換的數(shù)據(jù)送到外部接入網(wǎng)絡(luò)的前置機或中間件，由外部單位從外部接入網(wǎng)絡(luò)的前置機或中間件將數(shù)據(jù)取走；反之亦然； 等等 1選擇和規(guī)定骨干網(wǎng)/城域網(wǎng)的安全保護技術(shù)措施 針對信息系統(tǒng)等級化抽象模型，根據(jù)機構(gòu)總體安全策略、等級保護基本要求和系統(tǒng)的特殊安全需求，提出骨干網(wǎng)/城域網(wǎng)的安全保護策略和安全技術(shù)措施。 例如： 1）、網(wǎng)絡(luò)設(shè)備安全 網(wǎng)絡(luò)設(shè)備應(yīng)位于xxxx機房內(nèi)； 網(wǎng)絡(luò)設(shè)備應(yīng)提供遠程管理和本地管理兩種管理方式；網(wǎng)絡(luò)設(shè)備應(yīng)設(shè)置通過特定的端口才可以進行配置； 網(wǎng)絡(luò)設(shè)備上應(yīng)設(shè)置訪問控制列表，限制對網(wǎng)絡(luò)設(shè)備的可訪問人員； 應(yīng)對訪問網(wǎng)絡(luò)設(shè)備的用戶進行身份認證，確保只有授權(quán)的網(wǎng)絡(luò)管理員可以進行配置管理； 網(wǎng)絡(luò)設(shè)備的身份認證采用用戶名/口令方式，應(yīng)保證口令數(shù)字字母混合，且長度不少于8位； 等等。 2）、網(wǎng)絡(luò)通信安全 確保為3級以上安全域之間的通信開通vpn通道；確保二個局域網(wǎng)之間有二條路由通道； 確保對網(wǎng)絡(luò)設(shè)備的管理使用一個獨立的網(wǎng)絡(luò)，與普通用戶使用的網(wǎng)絡(luò)隔離；開通一個專用的vpn通道，使網(wǎng)絡(luò)設(shè)備與網(wǎng)絡(luò)管理中心的網(wǎng)絡(luò)管理數(shù)據(jù)交換通過此 37 vpn通道傳輸； 等等 1選擇和規(guī)定不同級別安全域的邊界保護技術(shù)措施 針對信息系統(tǒng)等級化抽象模型，根據(jù)機構(gòu)總體安全策略、等級保護基本要求和系統(tǒng)的特殊安全需求，提出不同級別安全域邊界的安全保護策略和安全技術(shù)措施。安全域邊界安全保護策略和安全技術(shù)措施提出時應(yīng)考慮邊界設(shè)備共享的情況，如果不同級別的安全域通過同一設(shè)備進行邊界保護，這個邊界設(shè)備的安全保護策略和安全技術(shù)措施應(yīng)滿足最高級別安全域的等級保護基本要求。 例如： 1）、1級安全域邊界 在1級安全域、外部單位接入點和internet接入點處部署防火墻設(shè)備、網(wǎng)絡(luò)入侵檢測系統(tǒng)、防病毒網(wǎng)關(guān)設(shè)備實施邊界防護； …… 應(yīng)保證防火墻啟動了“除許可的以外拒絕所有服務(wù)”的模式；應(yīng)保證防火墻使用了地址轉(zhuǎn)換功能隱藏了內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)；…… 應(yīng)在防火墻的內(nèi)部接口網(wǎng)段上配置入侵檢測傳感器；應(yīng)在重要的服務(wù)器所在網(wǎng)段上配置入侵監(jiān)測傳感器；……等等 2）、2級安全域邊界 在2級安全域和外部單位接入點處部署防火墻設(shè)備、網(wǎng)絡(luò)入侵檢測系統(tǒng)、防病毒網(wǎng)關(guān)設(shè)備實施邊界防護； ……等等 38 1選擇和規(guī)定不同級別安全域內(nèi)部系統(tǒng)平臺和業(yè)務(wù)應(yīng)用的安全保護技術(shù)措施針對信息系統(tǒng)等級化抽象模型，根據(jù)機構(gòu)總體安全策略、等級保護基本要求和系統(tǒng)的特殊安全需求，提出不同級別安全域內(nèi)部網(wǎng)絡(luò)平臺、系統(tǒng)平臺和業(yè)務(wù)應(yīng)用的安全保護策略和安全技術(shù)措施。 例如： 1）、各級安全域網(wǎng)絡(luò)結(jié)構(gòu) 將網(wǎng)絡(luò)劃分為不同的子網(wǎng)或vlan，使不同業(yè)務(wù)應(yīng)用系統(tǒng)的工作站和服務(wù)器位于不同的子網(wǎng)或vlan中； 將同一業(yè)務(wù)應(yīng)用系統(tǒng)的服務(wù)器盡量集中放置于一個區(qū)域，并使訪問服務(wù)器的工作站通過特定的路徑對服務(wù)器進行訪問； 在連接服務(wù)器和工作站的線路之間使用可以設(shè)置訪問規(guī)則的網(wǎng)絡(luò)連接設(shè)備，并根據(jù)訪問策略設(shè)置合適的訪問規(guī)則； ……等等 2）、各級安全域服務(wù)器基本要求 及時修補本身存在的漏洞，安裝相應(yīng)的補丁程序。關(guān)閉所有不需要的服務(wù)端口。刪除或關(guān)閉所有不需要的賬戶。 設(shè)置口令，并基于標(biāo)識號和口令對用戶的身份進行認證?！?。等等。 3）、4級安全域服務(wù)器增強要求對于操作系統(tǒng)，進行必要的剪裁。對于操作系統(tǒng)，安裝加固軟件。 使用數(shù)字證書標(biāo)識用戶，并基于數(shù)字證書進行用戶身份認證。開啟審計機制記錄下重要操作的過程。 39 安裝主機入侵檢測系統(tǒng)?！鹊?。 3）、應(yīng)用系統(tǒng)安全 各級應(yīng)用系統(tǒng)基本安全策略： 應(yīng)用系統(tǒng)應(yīng)該對每個請求進入應(yīng)用系統(tǒng)的用戶給予一個標(biāo)識，以便區(qū)分用戶，同時標(biāo)識必須唯一。 應(yīng)用系統(tǒng)應(yīng)該對請求訪問的用戶進行鑒別，至少使用個人標(biāo)識和口令進行身份認證。應(yīng)用程序應(yīng)該對用戶區(qū)分角色，并對不同的用戶角色分配不同的操作權(quán)限。應(yīng)用程序應(yīng)該采用菜單方式，通過菜單的變化，根據(jù)用戶的權(quán)限進行訪問控制。應(yīng)用程序在傳送和接受數(shù)據(jù)時、在存入和讀出數(shù)據(jù)時，應(yīng)該至少采用校驗和、循環(huán)冗余碼技術(shù)保證數(shù)據(jù)完整性。 應(yīng)用程序的輸入界面應(yīng)該具有容錯能力和錯誤處理能力，不能因為某個誤操作或數(shù)據(jù)輸入不合適而造成應(yīng)用系統(tǒng)程序中斷或出現(xiàn)故障。 ……等等。 3，4級應(yīng)用系統(tǒng)增強安全策略： 采用數(shù)字證書標(biāo)識用戶和實體，并對用戶和實體進行基于數(shù)字證書的身份認證。除采用校驗和、循環(huán)冗余碼技術(shù)外，還應(yīng)該采用數(shù)字摘要技術(shù)等，確保數(shù)據(jù)的完整性。對敏感數(shù)據(jù)采用數(shù)據(jù)標(biāo)簽技術(shù)標(biāo)識數(shù)據(jù)的重要級別。 對數(shù)據(jù)的發(fā)送方和接受方在身份認證的基礎(chǔ)上對處理的數(shù)據(jù)使用數(shù)字簽名技術(shù)，以防止出現(xiàn)抵賴現(xiàn)象。 ……等等 1選擇和規(guī)定不同級別信息系統(tǒng)機房的安全保護技術(shù)措施 40 第41頁 共41