【正文】 服務(wù)器的管理認證方式為用戶名/口令方式；利用WINDOWS自帶的口令加密方式進行保護；在管理上服務(wù)器采取高強度口令，刪除或禁用無關(guān)帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現(xiàn)場相結(jié)合的方式，有專人負責(zé)相關(guān)工作。 安全設(shè)備情況國家某局信息網(wǎng)絡(luò)中廣泛使用的安全設(shè)備有兩大類，一是面向網(wǎng)絡(luò)安全類的防火墻、入侵防御、入侵檢測、網(wǎng)絡(luò)審計類安全設(shè)備；二是面向終端的終端安全管理系統(tǒng)以及防病毒軟件類，以及為網(wǎng)站提供防護的網(wǎng)頁防篡改軟件，安全設(shè)備的配置情況為： 防火墻系統(tǒng)國家某局外網(wǎng)的防火墻系統(tǒng)采用了天融信公司的千兆獵豹系列防火墻NGFW4000UF（TG5464）和CISCO公司的PI某515，數(shù)量各為一臺。 網(wǎng)絡(luò)入侵防御系統(tǒng)國家某局外網(wǎng)的網(wǎng)絡(luò)入侵防御系統(tǒng)采用了天融信公司的千兆網(wǎng)絡(luò)入侵防御系統(tǒng)TopIDP，數(shù)量為一臺，部署在托管機房托管區(qū)域的互聯(lián)網(wǎng)出口，重點抵御互聯(lián)網(wǎng)對托管區(qū)域內(nèi)部重要服務(wù)器的攻擊行為，尤其是要能夠?qū)崟r發(fā)現(xiàn)和抵御惡意用戶對重要的服務(wù)器系統(tǒng)進行的非法訪問、惡意攻擊及蠕蟲傳播等行為并及時進行阻斷和報警。 網(wǎng)絡(luò)入侵檢測系統(tǒng)國家某局外網(wǎng)的網(wǎng)絡(luò)入侵檢測系統(tǒng)采用了啟明星辰公司的千兆網(wǎng)絡(luò)入侵檢測系統(tǒng)天闐NS2200，部署在核心交換機上，重點監(jiān)測網(wǎng)絡(luò)用戶對重要服務(wù)器的訪問行為，尤其是要能夠?qū)崟r發(fā)現(xiàn)惡意用戶對重要的服務(wù)器系統(tǒng)進行的非法訪問、惡意攻擊及蠕蟲傳播等行為并及時進行報警和采取一定的響應(yīng)操作。 網(wǎng)絡(luò)行為審計系統(tǒng)國家某局外網(wǎng)的網(wǎng)絡(luò)行為審計系統(tǒng)采用了天融信公司的千兆網(wǎng)絡(luò)安全審計系統(tǒng)TopAudit（TA507WATCH），部署在核心交換機上，對網(wǎng)絡(luò)中的流量做全面的監(jiān)控與審計策略，以有效保護重要數(shù)據(jù)的安全性，并為事后取證提供支持。外網(wǎng)終端安全管理系統(tǒng)的升級可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。防病毒服務(wù)器的升級，可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。國家某局信息安全等級保護的總體思路是：以自身的信息系統(tǒng)特點為核心，結(jié)合國家相關(guān)標(biāo)準要求，根據(jù)某局實際業(yè)務(wù)需求，和對實際業(yè)務(wù)的影響來劃分安全等級，在確定定級方面更重視系統(tǒng)對某局業(yè)務(wù)開展的影響性而確定等級，目的只是為體現(xiàn)對不同等級的信息系統(tǒng)，如何加強保護措施方面。 確定定級對象根據(jù)公安部的《信息安全等級保護定級指南》指出作為定級對象的信息系統(tǒng)應(yīng)具有如下基本特征：n 具有唯一確定的安全責(zé)任單位作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。n 具有信息系統(tǒng)的基本要素作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實體。n 承載單一或相對獨立的業(yè)務(wù)應(yīng)用定級對象承載“單一”的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨立，且與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換，且獨享所有信息處理設(shè)備。對于國家某局外網(wǎng)，根據(jù)承載業(yè)務(wù)的獨立性，以業(yè)務(wù)系統(tǒng)為核心來劃分定級對象，并針對不同的業(yè)務(wù)系統(tǒng)來設(shè)計保護措施，確定的保護對象分別為：政府網(wǎng)站系統(tǒng)、電子政務(wù)信息交換系統(tǒng)、“十一五”重點某系統(tǒng)和繼續(xù)教育管理系統(tǒng)。 確定系統(tǒng)等級 政府網(wǎng)站系統(tǒng)一、國家某局政府網(wǎng)站系統(tǒng)描述政府網(wǎng)站系統(tǒng)是國家某局進行信息發(fā)布、某某信息查詢以及與社會公眾互動交流的平臺。網(wǎng)站主要由機構(gòu)介紹、政務(wù)公開、公眾參與、某某服務(wù)、某某文化、醫(yī)療質(zhì)量監(jiān)測等模塊組成。為保障政府網(wǎng)站系統(tǒng)的安全性，使用了入侵防御系統(tǒng)和網(wǎng)頁防篡改系統(tǒng)形成邊界保護和內(nèi)容防護。數(shù)據(jù)庫與網(wǎng)站服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家某局信息辦承擔(dān)著政府網(wǎng)站系統(tǒng)的安全保護責(zé)任。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標(biāo)。（一）業(yè)務(wù)信息安全保護等級的確定業(yè)務(wù)信息描述政府網(wǎng)站系統(tǒng)主要處理的業(yè)務(wù)信息為國家某局對外公開的機構(gòu)介紹、政務(wù)公開、公眾參與、某某服務(wù)、某某文化、醫(yī)療質(zhì)量監(jiān)測等信息。信息受到破壞后對侵害客體侵害程度的確定國家某局政府網(wǎng)站系統(tǒng)業(yè)務(wù)信息安全受到破壞時，國家某局的工作職能受到嚴重影響，嚴重影響其信息獲取服務(wù)和信息發(fā)布，會對國家某局公信度造成負面影響，同時會造成較大范圍的社會不良影響。業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是社會秩序、和公共利益。業(yè)務(wù)信息安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表1 業(yè)務(wù)信息安全保護等級矩陣表（二）系統(tǒng)服務(wù)安全保護等級的確定系統(tǒng)服務(wù)描述國家某局政府網(wǎng)站的服務(wù)范圍包括內(nèi)部工作人員、外部社會公眾、以及國內(nèi)的某某相關(guān)機構(gòu)，主要作為某某信息查詢以及對外信息發(fā)布的平臺。系統(tǒng)服務(wù)受到破壞后對侵害客體的侵害程度國家某局政府網(wǎng)站系統(tǒng)信息系統(tǒng)服務(wù)安全受到破壞時，將會影響國家某局內(nèi)部工作人員、外部社會公眾及國內(nèi)某某相關(guān)機構(gòu)對系統(tǒng)的使用，影響各項某某信息查詢工作、信息發(fā)布工作的順利完成。系統(tǒng)服務(wù)安全等級的確定信息系統(tǒng)服務(wù)安全受到破壞時，受到影響的客體是社會秩序和公共利益。系統(tǒng)服務(wù)安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表2 系統(tǒng)服務(wù)安全保護等級矩陣表（三）安全保護等級的確定信息系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級較高者決定。信息系統(tǒng)名稱安全保護等級業(yè)務(wù)信息安全等級系統(tǒng)服務(wù)安全等級國家某局政府網(wǎng)站系統(tǒng)第三級第三級第二級表3 系統(tǒng)安全保護等級矩陣表最終確定的政府網(wǎng)站系統(tǒng)保護強度為3級，且對應(yīng)等級保護要求選擇措施為：S3A2G3 電子政務(wù)信息交換系統(tǒng)一、國家某局電子政務(wù)信息交換系統(tǒng)描述電子政務(wù)信息交換系統(tǒng)承擔(dān)著國家某局與下屬某某局進行電子公文交換的任務(wù)。電子政務(wù)信息交換系統(tǒng)由一臺服務(wù)器組成，數(shù)據(jù)庫與系統(tǒng)服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家某局信息辦承擔(dān)著電子政務(wù)信息交換系統(tǒng)的安全保護責(zé)任。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標(biāo)。（一）業(yè)務(wù)信息安全保護等級的確定業(yè)務(wù)信息描述該系統(tǒng)的主要業(yè)務(wù)信息為國家某局和下屬某某局之間交互的電子公文數(shù)據(jù)。當(dāng)信息系統(tǒng)受到破壞時，將嚴重影響國家某局正常工作的開展，因此，所侵害的客體為公民、法人和其他組織的合法權(quán)益類。根據(jù)系統(tǒng)的重要性，確定其侵害程度為嚴重損害。侵害程度為嚴重損害，根據(jù)表1，確定該系統(tǒng)的業(yè)務(wù)信息安全保護等級為第二級。系統(tǒng)服務(wù)受到破壞時所侵害客體的確定該系統(tǒng)為國家某局電子公文交換的業(yè)務(wù)系統(tǒng)，受到破壞時將影響國家某局電子公文交換工作，因此，所侵害的客體為社會秩序和公共利益類。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。侵害程度為一般損害，根據(jù)表2，確定該系統(tǒng)的信息系統(tǒng)服務(wù)安全保護等級為第二級。根據(jù)表3，最終確定該系統(tǒng)的安全保護等級為第二級?！笆晃濉敝攸c某系統(tǒng)部署在國家某局機房的HP 服務(wù)器上，通過外網(wǎng)局域網(wǎng)供醫(yī)藥管理局局機關(guān)外網(wǎng)用戶訪問，通過互聯(lián)網(wǎng)供社會公眾訪問。國家某局的管理維護工作人員通過網(wǎng)絡(luò)登陸后臺、維護信息及數(shù)據(jù)。二、國家某局“十一五”重點某系統(tǒng)安全保護等級確定國家某局“十一五”重點某系統(tǒng)受到破壞時，對信息安全的危害方式表現(xiàn)為對其業(yè)務(wù)信息安全的破壞和對信息系統(tǒng)服務(wù)的破壞。由于業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全受到破壞所侵害的客體和對客體的侵害程度可能會有所不同，在定級過程中，分別從業(yè)務(wù)信息安全和信息系統(tǒng)服務(wù)安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。業(yè)務(wù)信息受到破壞時所侵害客體的確定該系統(tǒng)為社會公眾提供服務(wù)，主要承擔(dān)著社會公眾對全國范圍內(nèi)重點某SSS信息和TTT信息的查詢服務(wù)工作。業(yè)務(wù)信息受到破壞后對侵害客體侵害程度的確定該信息系統(tǒng)受到破壞時，可能會導(dǎo)致國家某局“十一五”重點某系統(tǒng)信息被破壞或篡改，將會影響國家某局相關(guān)職能的正常履行，并影響社會公眾對“十一五”重點某系統(tǒng)信息的查詢和使用。業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是社會秩序、公共利益類。業(yè)務(wù)信息安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表1 業(yè)務(wù)信息安全保護等級矩陣表（二）系統(tǒng)服務(wù)安全保護等級的確定系統(tǒng)服務(wù)描述該系統(tǒng)主要為社會公眾提供“十一五”重點某項目的SSS信息和TTT信息的查詢服務(wù)。系統(tǒng)服務(wù)受到破壞后對侵害客體侵害程度的確定該系統(tǒng)為國家某局“十一五”重點某服務(wù)信息的業(yè)務(wù)系統(tǒng)，當(dāng)遭到破壞時將對國家某局該項服務(wù)工作的順利開展，為社會公眾及時獲取相關(guān)信息造成一定的損害。系統(tǒng)服務(wù)安全等級的確定信息系統(tǒng)服務(wù)安全受到破壞時，受到影響的客體是社會秩序、公共利益類。系統(tǒng)服務(wù)安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表2 系統(tǒng)服務(wù)安全保護等級矩陣表（三）安全保護等級的確定信息系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級較高者決定。信息系統(tǒng)名稱安全保護等級業(yè)務(wù)信息安全等級系統(tǒng)服務(wù)安全等級國家某局”十一五”重點某系統(tǒng)第二級第二級第二級表3 系統(tǒng)安全保護等級矩陣表通過上述的分析過程，最終確定十一五”重點某系統(tǒng)的定級為2級，且對應(yīng)等級保護要求選擇措施為：S2A2G2 繼續(xù)教育管理系統(tǒng)一、國家某局繼續(xù)教育管理系統(tǒng)描述繼續(xù)教育管理系統(tǒng)承擔(dān)著全國某某行業(yè)繼續(xù)教育及培訓(xùn)項目的申報、審核和備案任務(wù)，同時提供學(xué)分證書查詢服務(wù)。繼續(xù)教育管理系統(tǒng)由一臺服務(wù)器組成，數(shù)據(jù)庫與系統(tǒng)服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家某局信息辦承擔(dān)著繼續(xù)教育管理系統(tǒng)的安全保護責(zé)任。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標(biāo)。（一）業(yè)務(wù)信息安全保護等級的確定業(yè)務(wù)信息描述該系統(tǒng)的主要業(yè)務(wù)信息包括某某繼續(xù)教育及培訓(xùn)項目申報、審核和備案信息，以及學(xué)分、證書信息數(shù)據(jù)。當(dāng)信息系統(tǒng)受到破壞時，將主要影響申報和查詢工作，因此，所侵害的客體為社會秩序和公共利益類。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。侵害程度為一般損害，根據(jù)表1，確定該系統(tǒng)的業(yè)務(wù)信息安全保護等級為第二級。系統(tǒng)服務(wù)受到破壞時所侵害客體的確定該系統(tǒng)為國家某某行業(yè)繼續(xù)教育管理的業(yè)務(wù)系統(tǒng)，受到破壞時將影響國家某某行業(yè)繼續(xù)教育和培訓(xùn)工作的開展，因此，所侵害的客體為社會秩序和公共利益類。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。侵害程度為一般損害，根據(jù)表2，確定該系統(tǒng)的信息系統(tǒng)服務(wù)安全保護等級為第二級。根據(jù)表3，最終確定該系統(tǒng)的安全保護等級為第二級。在分析國家某局外網(wǎng)網(wǎng)絡(luò)所面臨的信息安全風(fēng)險時，主要考慮那些對國家某局有負面影響的事件，安全風(fēng)險的存在來源于兩個方面，一是信息資產(chǎn)的價值，所謂信息資產(chǎn)的價值就是指因信息的泄露、系統(tǒng)的停滯或網(wǎng)絡(luò)的破壞，對國家某局正常運作所帶來的損失，信息資產(chǎn)價值越高，那么安全風(fēng)險也必然越高；二是威脅的來源和威脅轉(zhuǎn)換為攻擊的可能，綜合上述的資產(chǎn)分析，弱點分析，威脅分析。 物理安全風(fēng)險這里所說的物理層指的是整個網(wǎng)絡(luò)中存在的所有的信息機房、通信線路、硬件設(shè)備等，保證計算機信息系統(tǒng)基礎(chǔ)設(shè)施的物理安全是保障整個國家某局外網(wǎng)網(wǎng)絡(luò)系統(tǒng)安全的前提。 網(wǎng)絡(luò)安全風(fēng)險網(wǎng)絡(luò)層是網(wǎng)絡(luò)入侵者進攻國家某局外網(wǎng)信息系統(tǒng)的渠道和通路，許多安全問題都集中體現(xiàn)在網(wǎng)絡(luò)的安全方面。 網(wǎng)絡(luò)通信鏈路的安全風(fēng)險網(wǎng)絡(luò)的主要功能就是用來傳輸數(shù)據(jù)，因此網(wǎng)絡(luò)通信鏈路中存在的安全風(fēng)險將直接給信息數(shù)據(jù)的安全性帶來極大的挑戰(zhàn)。 網(wǎng)絡(luò)邊界的安全風(fēng)險對于國家某局外網(wǎng)而言，主要的網(wǎng)絡(luò)邊界就是政府網(wǎng)站互聯(lián)網(wǎng)邊界，外網(wǎng)互聯(lián)網(wǎng)邊界以及內(nèi)部不同區(qū)域之間的邊界，都存在一定的安全風(fēng)險。 外網(wǎng)互聯(lián)網(wǎng)邊界的安全風(fēng)險對于國家某局外網(wǎng)的互聯(lián)網(wǎng)邊界，可能存在的安全風(fēng)險和包括：l 非法訪問：外部用戶試圖訪問國家某局內(nèi)部業(yè)務(wù)系統(tǒng)所開放服務(wù)之外的信息和服務(wù)；l 非法入侵：黑客通過身份假冒、應(yīng)用層攻擊等方式，穿透訪問控制機制，進入國家某局外網(wǎng)業(yè)務(wù)系統(tǒng)內(nèi)部進行非法操作； l 惡意攻擊：包括各種常規(guī)攻擊和DoS/DDoS攻擊； l 病毒和蠕蟲：計算機病毒和網(wǎng)絡(luò)蠕蟲的傳播和爆發(fā)，將可能使整外網(wǎng)網(wǎng)絡(luò)系統(tǒng)處于癱瘓狀態(tài)。但由于多數(shù)區(qū)域之間都要通過主干通信網(wǎng)絡(luò)互聯(lián)起來，并實現(xiàn)一定的信息共享，如果在各區(qū)域邊界尤其是重要業(yè)務(wù)服務(wù)器區(qū)域的邊界上沒有嚴格的控制手段，則很容易被來自其他區(qū)域的無關(guān)用戶隨意訪問，侵入重要服務(wù)器系統(tǒng)進行非法操作，或竊取、篡改關(guān)鍵業(yè)務(wù)數(shù)據(jù)和信息，對業(yè)務(wù)的可用性和數(shù)據(jù)的完整性、保密性造成極大的威脅。如果沒有進行適當(dāng)?shù)木W(wǎng)絡(luò)訪問控制、沒有對終端接入和網(wǎng)絡(luò)地址的使用進行適當(dāng)限制、對網(wǎng)絡(luò)訪問行為沒有監(jiān)管和審計措施，很容易造成網(wǎng)絡(luò)資源濫用、信息泄露，輕則降低網(wǎng)絡(luò)工作效率，重則導(dǎo)致經(jīng)濟損失或名譽損失。但由于國家某局外網(wǎng)的管理與監(jiān)控機制尚不完善，無法對用戶訪問行為的合法性作出正確判斷，缺乏對所采集的數(shù)據(jù)進行深入挖掘、詳細分析和實時預(yù)警等功能，一旦發(fā)生了非法的網(wǎng)絡(luò)訪問，也很難及時發(fā)現(xiàn)和處理。 服務(wù)器安全風(fēng)險對國家某局外網(wǎng)來講，運行在網(wǎng)絡(luò)上的各種網(wǎng)絡(luò)服務(wù)器構(gòu)成了最重要的信息資產(chǎn)之一，特別是政府網(wǎng)站服務(wù)器和電子政務(wù)交換服務(wù)器，構(gòu)成國家某局外網(wǎng)中最重要的信息資產(chǎn)。一般來講，網(wǎng)