【正文】 確定安全服務域的基本依據(jù)。對安全接入域邊界上流經(jīng)的數(shù)據(jù)進行檢測，監(jiān)測內容包括：入侵、病毒、蠕蟲、流量、應用等；在安全接入域邊界上進行惡意代碼防護；安全接入域和其他安全域的互聯(lián)方式可能需要加密傳輸，VPN 就是一種常見的方式；為了防止安全接入域內的用戶突破或者繞過，需要建立防止客戶端非授權訪問的控制系統(tǒng)，如非法外聯(lián)系統(tǒng)可以防止客戶端通過撥號、無線網(wǎng)卡等方式繞過邊界防護；為了防止安全接入域內的用戶互相嗅探并且越權操作，需要對用戶和其相應的客戶端進行分組。安全接入域的邊界防護，主要是要保證從安全接入域到其他域的訪問都是由可信的用戶從可信的客戶端上發(fā)起的；同時還要保證安全接入域不受其他域的侵害和影響。對于非常不可信的用戶和客戶端，可以重點部署流量監(jiān)控，以便能夠最快地發(fā)現(xiàn)可能出現(xiàn)的蠕蟲傳20 / 86播和拒絕服務攻擊。安全接入域內節(jié)點的防入侵；可以在客戶端部署單機防入侵系統(tǒng)。安全接入域內的防護要點：安全接入域內節(jié)點的加固，包括主機操作系統(tǒng)的補丁、主機和網(wǎng)絡設備的安全配置等；進而可以部署補丁管理等強制系統(tǒng)。主要需要解決的安全問題包括：用戶主體的信任問題，也就是對于用戶的身份認證；客戶端主機的信任問題，也就是客戶端是否被感染和侵占；安全接入域內，主機（包括客戶端）之間的互相感染和影響；安全接入域內，一個客戶端對于另外一些客戶端的攻擊和嗅探；安全接入域內，各個用戶之間的混淆，導致非授權操作；安全接入域內的用戶和客戶端突破域的邊界安全規(guī)則等等。當一個安全接入域中的終端能訪問多個安全服務域時，該安全接入域的安全防護等級應與這些安全服務域的最高安全等級相同。19 / 86 安全接入域由訪問同類數(shù)據(jù)的用戶終端構成安全接入域，安全接入域的劃分應以用戶所能訪問的安全服務域中的數(shù)據(jù)類和用戶計算機所處的物理位置來確定?；谶@樣的防護原則，其中主要采用的安全措施包括：路由器本身的路由和過濾功能；交換機的 ACL 功能；線路的監(jiān)測功能。安全互聯(lián)域有時會將其他域的邊界融合在本域中，因此，可能會以一種平臺的方式存在。當一個網(wǎng)絡所連接的安全服務域和安全接入域具有單一安全級別時，該安全互聯(lián)域的安全等級應與該安全等級相同；當一個網(wǎng)絡所連接的安全服務域和安全接入域具有多安全級別時，應盡量組成不同安全等級的安全互聯(lián)域，為這些安全服務域和安全接入域中的不同安全級別提供不同的支持；如果確實無法分別提供支持，則應按這些安全服務域和安全接入域中的最高安全級別提供安全支持，組成與最高安全級別相同安全等級的安全互聯(lián)域。 安全互聯(lián)域連接傳輸共同數(shù)據(jù)的安全服務域和安全接入域組成的互聯(lián)基礎設施構成了安全互聯(lián)域。在此基礎上確定不同區(qū)域的信息系統(tǒng)安全保護等級。 （注：除了 3+1 構造之外，還存在其他形式的構造?！巴瑯嬓院喕钡陌踩騽澐址椒ǎ浠舅悸肥钦J為一個復雜的網(wǎng)絡應18 / 86當是由一些相通的網(wǎng)絡結構元所組成，這些進行拼接、遞歸等方式構造出一個大的網(wǎng)絡。將自己的網(wǎng)絡和系統(tǒng)看成內部網(wǎng)絡，將所有的其他網(wǎng)絡都作為不可信的網(wǎng)絡來看待；將自己看成中心，然后基于這個觀點進行整個系統(tǒng)的分析和安全部署。 安全域理論安全域劃分以及基于安全域的整體安全工作，對深圳市**公司具有很大的意義和實際作用：? 安全域劃分基于網(wǎng)絡和系統(tǒng)進行，是下一步安全建設的部署依據(jù)，可以指導系統(tǒng)的安全規(guī)劃、設計、入網(wǎng)和驗收工作；? 可以更好的利用系統(tǒng)安全措施，發(fā)揮安全設備的利用率；? 基于網(wǎng)絡和系統(tǒng)進行安全檢查和評估的基礎，可以在運行維護階段降低系統(tǒng)風險，提供檢查審核依據(jù)；? 安全域可以更好的控制網(wǎng)絡安全風險，降低系統(tǒng)風險；? 安全域的分割是出現(xiàn)問題時的預防，能夠防止有害行為的滲透；? 安全域邊界是災難發(fā)生時的抑制點，能夠防止影響的擴散。策略最大化原則本文檔針對各域分別制定了多項防護策略。如果子域之間的業(yè)務關聯(lián)性、互訪信任度、數(shù)據(jù)流量、訪問頻度等較低，通常情況下沒有數(shù)據(jù)互訪的業(yè)務需求，因此安全防護策略非常嚴格，原則上不允許數(shù)據(jù)互訪。防護策略在身份鑒別的基礎上，只授權開放必要的訪問權限，并保證數(shù)據(jù)安全的完整性、機密性、可用性。歸并系統(tǒng)接口深圳市**公司的網(wǎng)絡目前確實存在邊界不清的實際問題，在此情況下只有在保證支撐系統(tǒng)的各種互聯(lián)需求的有效提供的前提下對安全域的邊界進行合理的整合，對系統(tǒng)接口的進行有效的整理和歸并，減少接口數(shù)量，提高系統(tǒng)接口的規(guī)范性，才能做到“ 重點防護、重兵把守 ”，達到事半功倍的效果。 可擴展性原則當有新的業(yè)務系統(tǒng)需要接入業(yè)務支撐網(wǎng)時，按照等級保護、對端可信度等原則將其分別劃分至不同安全等級域的各個子域。 安全最大化原則針對業(yè)務系統(tǒng)可能跨越多個安全域的情況，對該業(yè)務系統(tǒng)的安全防護必須要使該系統(tǒng)在全局上達到要求的安全等級，即實現(xiàn)安全的最大化防護，同時滿16 / 86足多個安全域的保護策略。 生命周期原則對于安全域的劃分和布防不僅僅要考慮靜態(tài)設計，還要考慮不斷的變化；另外，在安全域的建設和調整過程中要考慮工程化的管理。 結構簡化原則安全域劃分的直接目的和效果是要將整個網(wǎng)絡變得更加簡單，簡單的網(wǎng)絡結構便于設計防護體系。 業(yè)務保障原則安全域方法的根本目標是能夠更好的保障網(wǎng)絡上承載的業(yè)務。本文檔定義了不同等級的安全域，對這些安全域的等級保護從業(yè)務數(shù)據(jù)流角度來看，要求高等級安全域允許向低等級安全域發(fā)起業(yè)務訪問的請求，保證發(fā)送數(shù)據(jù)的機密性，鑒別低等級安全域的合法性，對接受的數(shù)據(jù)進行完整性校驗，對業(yè)務操作進行日志記錄與審計；低等級安全域向高等級安全域只允許受限訪問，保證發(fā)送數(shù)據(jù)的完整性，對業(yè)務操作進行日志記錄與審計。這些 IT 系統(tǒng)要素包括：網(wǎng)絡區(qū)域主機和系統(tǒng)人和組織物理環(huán)境策略和流程業(yè)務和使命… … 安全域劃分的原則安全域的理論和方法所遵循的根本原則： 等級保護原則根據(jù)安全域在業(yè)務支撐系統(tǒng)中的重要程度以及考慮風險威脅、安全需求、安全成本等因素，將其劃為不同的安全保護等級并采取相應的安全保護技術、管理措施，以保障業(yè)務支撐的網(wǎng)絡和信息安全。 安全域基本概念一般常常理解的安全域（網(wǎng)絡安全域）是指同一系統(tǒng)內有相同的安全保護需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡，且相同的網(wǎng)絡安全域共享一樣的安全策略。要將風險管理和業(yè)務系統(tǒng)聯(lián)系起來，用安全域是一個比較好的解決思路。 安全域建設風險管理的基本解決思路在于能夠準確的識別風險，并將高級別風險降低或者轉移，風險管理需要積極的落實到深圳市**公司的各業(yè)務系統(tǒng)。 遵照的標準或規(guī)范GB/T 開放系統(tǒng)互連基本參考模型第 2 部分：安全體系結構RFC 1825　 TCP/IP 安全體系結構ISO 10181:1996　信息技術 開放系統(tǒng)互連開放系統(tǒng)安全框架GB/T 182372022 信息技術 開放系統(tǒng)互連通用高層安全13 / 86GB 178591999 計算機信息系統(tǒng) 安全保護等級劃分準則 　GB/T 183362022 信息技術 安全技術 信息技術 安全性評估準則ISO/ISE 17799: 2022 /BS7799ISO/ISE 15408（CC）AS/NZS 4360: 1999 《風險管理標準》GAO/AIMD0033《信息安全風險評估》IATF《信息保障技術框架》 安全建設的思路和方法我們著眼于整個安全體系建設以及安全規(guī)劃建設的長期目標，逐步完善深圳市**公司風險管理體系，將安全建設分解成多個可實施性較強的工程階段，明確標識出各階段安全建設內容和解決的安全問題，為深圳市**公司提供一個可供參考的安全建設遠景規(guī)劃以及每期工程需要解決的風險管理規(guī)劃，各期工程建設內容都是依據(jù)深圳市**公司所面臨的安全風險級別和迫切需要解決的安全問題依照從高至低排序。 技術方案的部署不可能一步到位，所以要在一個全面規(guī)劃的基礎上，根據(jù)實際情況，在不影響正常生產(chǎn)的前提下，分步實施。8. 區(qū)域等級原則要將信息系統(tǒng)按照合理的原則劃分為不同安全等級，分區(qū)域分等級進行安全防護。6. 標準化與一致性原則 在技術、設備選型方面必須遵循一系列的業(yè)界標準，充分考慮不同設備技術之間的兼容一致性。4. 整體均衡原則 要對信息系統(tǒng)進行全面均衡的保護，要提高整個信息系統(tǒng)的安全最低點的安全性能，保證各個層面防護的均衡。3. 完整性原則深圳市**公司網(wǎng)絡安全建設必需保證整個防御體系的完整性。緊密結合深圳市**公司現(xiàn)有網(wǎng)絡和應用情況，充分保證原有系統(tǒng)和結構的可用性。11 / 865 第二階段信息安全建設方案在這三年信息安全建設過程中，我們實現(xiàn)安全信息安全體系框架的規(guī)劃設計與實現(xiàn)，并重點圍繞深圳市**公司當前網(wǎng)絡中存在的問題進行解決，而且該安全體系框架的規(guī)劃設計，要能夠適應深圳市**公司在自身發(fā)展中可能出現(xiàn)的業(yè)務調整和變化。因此，如何有效地解決這些問題，以便提高用戶的工作效率，降低安全風險，減少損失，對網(wǎng)絡進行統(tǒng)一管理，調整網(wǎng)絡資源的合理利用，已經(jīng)成為**公司信息中心迫在眉睫的緊要任務。**公司網(wǎng)絡作為一個開放的網(wǎng)絡系統(tǒng)，運行狀況愈來愈復雜。 加強對上網(wǎng)行為審計的能力隨著 Inter 接入的普及和網(wǎng)絡帶寬的增加，使用戶上網(wǎng)條件得到改善，同時也給**公司網(wǎng)絡帶來了更高的危險性、復雜性。因此，高效的系統(tǒng)與管理已經(jīng)成為**公司信息化建設是否成功的重要條件。 提升區(qū)公司及地州公司對網(wǎng)絡可管理的能力隨著信息化發(fā)展的加速和深入，深圳市**公司的 IT 系統(tǒng)和網(wǎng)絡越來越復雜，各級分公司對網(wǎng)絡正常運轉的依賴性逐漸增大，IT 和網(wǎng)絡應用逐漸融入到單位的日常工作中。 解決 VPN 系統(tǒng)的更新并且有效過渡的問題在本次項目中，我們在采購防火墻時，就帶有 VPN 模塊，其中支持IPSEC、SSL 兩種模式，可以根據(jù)應用自由選擇，比現(xiàn)有的 VPN 系統(tǒng)速度更快，配置更方便，使用更便捷。? 策略按照（區(qū)域、操作系統(tǒng)、時間等）進行控制和多級級聯(lián)。? 按照既定策略統(tǒng)一配置客戶端端口策略、注冊表策略等客戶端安全策略。? 安全、方便的將非安全計算機阻斷出網(wǎng)。? 進行外來筆記本電腦以及其它移動設備（如 u 盤、移動硬盤等）的隨意接入控制。? Usb 移動存儲設備的行為審計和控制。? 網(wǎng)絡節(jié)點控制。? 客戶端統(tǒng)一的端口策略控制。? 客戶端軟件黑白名單管理，客戶端軟件統(tǒng)一匯總監(jiān)視。? 客戶端進程黑白名單控制，防止非法進程啟動。系統(tǒng)實時監(jiān)控和報警網(wǎng)絡中存在的客戶端違規(guī)、病毒事件等行為，提供在線客戶端安全狀態(tài)信息；依據(jù)系統(tǒng)報警信息和客戶端上報的安全信息，管理人員在控制臺遠程對異常網(wǎng)絡或者違規(guī)客戶端機器采取處理措施（如斷網(wǎng)、告警、遠程協(xié)助等） 。深圳市**公司想要實現(xiàn)完全的入侵防御，就需要在網(wǎng)絡上將完全協(xié)議分析和在線防御相融合，這就是入侵防御系統(tǒng)（IPS）： online 式在線部署，深層分析網(wǎng)絡實時數(shù)據(jù)，精確判斷隱含其中的攻擊行為，實施及時的阻斷。8 / 86深圳市**公司想要實現(xiàn)完全的入侵防御，首先需要對各種攻擊能準確發(fā)現(xiàn)，其次是需要實時的阻斷防御與響應。因此，深圳市**公司網(wǎng)站有必要采用專業(yè)的安全防護系統(tǒng)，有效防護各類攻擊、降低網(wǎng)站安全風險。其中，中國的惡意站點占到了總數(shù)的 67%。2022 年，CNCERT/CC 監(jiān)測到中國大陸被篡改網(wǎng)站總數(shù)累積達 61228個，比 2022 年增加了 倍。 解決區(qū)公司的網(wǎng)頁安全問題當前國際、國內的政治形勢和經(jīng)濟形勢比較特殊，又正值 7. 5 事件發(fā)生后期，網(wǎng)站安全問題越來越復雜，Web 服務器以其強大的計算能力、處理性能及所蘊含的高價值逐漸成為主要攻擊的目標。在本次項目中，我們建議更換防火墻系統(tǒng)，加強網(wǎng)絡邊界防御工作。以及待深圳市**公司的全網(wǎng)安全基本達到了系統(tǒng)化的程度，各種安全產(chǎn)品充分發(fā)揮作用，安全管理也逐步到位和正規(guī)化，即可考慮第三階段和第四階段將如何開展。安全建設第一階完成后，網(wǎng)絡狀態(tài)可以達到相對安全的狀態(tài)。主要從安全策略制定、組建安全管理隊伍、安全評估、資產(chǎn)鑒別和分類、安全認證等多種管理領域開展，最終形成管理和技術相融合，共同形成真正的安全體系架構。該平臺應該具備風險管理、策略中心、事件中心、響應中心、知識中心等功能模塊，并且應具備很好的開放性和可定制性。 建設方案（1）安全管理中心6 / 86建設安全管理統(tǒng)一平臺，將全網(wǎng)的安全管理通過該平臺進行。 第三階段——管理階段 建設內容待安全建設一、二階段建設完成后，深圳市**公司的全網(wǎng)安全基本達到了系統(tǒng)化的程度，各種安全產(chǎn)品充分發(fā)揮作用，安全管理也逐步到位和正規(guī)化。這個平臺能夠收集所有網(wǎng)絡產(chǎn)品、安全產(chǎn)品、主機以及應用系統(tǒng)的日志和安全事件，對其進行規(guī)范化處理，根據(jù)審計規(guī)則發(fā)現(xiàn)真正有價值的事件后及時告警，并能夠存儲海量事件，能夠提供事后取證.（2）系統(tǒng)平臺和應用系統(tǒng)安全在第一階段建設了安全評估體系，定期進行評估和加固，已經(jīng)有效地增強主機和應用的安全，第二階段需要進一步加強系統(tǒng)平臺和應用系統(tǒng)的安全管理，考慮從完整性管理和脆弱性管理兩個方面進行加強。 建設方案（1）安全日志審計系統(tǒng)第一階段部署了大量的安全產(chǎn)品。在第二階段的安全建設中需要考慮加強手段。主要采用的技術手段有網(wǎng)絡邊界隔離、網(wǎng)絡邊界入侵防護、網(wǎng)絡邊界防病毒、內容安全等方面。辦公業(yè)務網(wǎng)中有深圳市**公司網(wǎng)絡中重要的服務器群，保證這些服務器的安全是保障深圳市**公司網(wǎng)絡安全的基礎。具體實施步驟如下圖所示： 安全建設階段和內容第一階段 ——緊迫階段按照本次深圳市**公司安全建設的要求，主要是對深圳市**公司網(wǎng)絡中的服務器群區(qū)域進行安全防護，尤其