【正文】 ..學(xué)習(xí)參考2 等級(jí)保護(hù)實(shí)施概述等級(jí)保護(hù)實(shí)施過(guò)程主要參見(jiàn)《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》 ，其它標(biāo)準(zhǔn)參見(jiàn)國(guó)家及行業(yè)統(tǒng)一標(biāo)準(zhǔn)。在信息系統(tǒng)總體安全規(guī)劃，安全設(shè)計(jì)與實(shí)施，安全運(yùn)行與維護(hù)和信息系統(tǒng)終止等階段，應(yīng)按照 GB17859199GB/T 22239202GB/T20269202GB/T202702022 和 GB/T202712022 等技術(shù)標(biāo)準(zhǔn)，設(shè)計(jì)、建設(shè)符合信息安全等級(jí)保護(hù)要求的信息系統(tǒng)，開(kāi)展信息系統(tǒng)的運(yùn)行維護(hù)管理工作。信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施過(guò)程中應(yīng)遵循以下基本原則：a) 自主保護(hù)原則 信息系統(tǒng)運(yùn)營(yíng)、使用單位及其主管部門(mén)按照國(guó)家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定信息系統(tǒng)的安全保護(hù)等級(jí)，自行組織實(shí)施安全保護(hù)。 c) 同步建設(shè)原則 信息系統(tǒng)在新建、改建、擴(kuò)建時(shí)應(yīng)當(dāng)同步規(guī)劃和設(shè)計(jì)安全方案，投入一定比例的資金建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相適應(yīng)。由于信息系統(tǒng)的應(yīng)用類型、范圍等條件的變化及其他原因，安全保護(hù)等級(jí)需要變更的，應(yīng)當(dāng)根據(jù)等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重新確定信息系統(tǒng)的安全保護(hù)等級(jí)，根據(jù)信息系統(tǒng)安全保護(hù)等級(jí)的調(diào)整情況，重新實(shí)施安全保護(hù)。 ? 信息系統(tǒng)主管部門(mén) 負(fù)責(zé)依照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，督促、檢查和指導(dǎo)本行業(yè)、本部門(mén)或者本地區(qū)信息系統(tǒng)運(yùn)營(yíng)、使用單位的信息安全等級(jí)保護(hù)工作。 ? 信息安全服務(wù)機(jī)構(gòu) 負(fù)責(zé)根據(jù)信息系統(tǒng)運(yùn)營(yíng)、使用單位的委托，依照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助信息系統(tǒng)運(yùn)營(yíng)、使用單位完成等級(jí)保護(hù)的相關(guān)工作，包括確定其信息系統(tǒng)的安全保護(hù)等級(jí)、進(jìn)行安全需求分析、安全總體規(guī)劃、實(shí)施安全建設(shè)和安全改造等。 ? 信息安全產(chǎn)品供應(yīng)商負(fù)責(zé)按照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，開(kāi)發(fā)符合等級(jí)保護(hù)相關(guān)要求的信息安全產(chǎn)品，接受安全測(cè)評(píng)；按照等級(jí)保護(hù)相關(guān)要求銷(xiāo)售信息安全產(chǎn)品并提供相關(guān)服務(wù)。 .. . . ..學(xué)習(xí)參考3 信息系統(tǒng)安全定級(jí)——計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB17859）第一級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國(guó)家安全、社會(huì)秩序和公共利益。 第三級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害。第五級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害。 受侵害的客體 等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體包括以下三個(gè)方面： a) 公民、法人和其他組織的合法權(quán)益； b) 社會(huì)秩序、公共利益； .. . . ..學(xué)習(xí)參考c) 國(guó)家安全。由于對(duì)客體的侵害是通過(guò)對(duì)等級(jí)保護(hù)對(duì)象的破壞實(shí)現(xiàn)的，因此，對(duì)客體的侵害外在表現(xiàn)為對(duì)等級(jí)保護(hù)對(duì)象的破壞，通過(guò)危害方式、危害后果和危害程度加以描述。 定級(jí)要素與等級(jí)的關(guān)系 信息系統(tǒng)定級(jí)階段的目標(biāo)是信息系統(tǒng)運(yùn)營(yíng)、使用單位按照國(guó)家有關(guān)管理規(guī)范和 GB/T 222402022，確定信息系統(tǒng)的安全保護(hù)等級(jí)，信息系統(tǒng)運(yùn)營(yíng)、使用單位有主管部門(mén)的，應(yīng)當(dāng)經(jīng)主管部門(mén)審核批準(zhǔn)。.. . . ..學(xué)習(xí)參考4 信息系統(tǒng)詳細(xì)設(shè)計(jì)方案 網(wǎng)絡(luò)結(jié)構(gòu)安全網(wǎng)絡(luò)結(jié)構(gòu)是否合理直接影響著是否能夠有效的承載業(yè)務(wù)需要。 邊界安全風(fēng)險(xiǎn)與需求分析邊界的安全主要包括：邊界訪問(wèn)控制、邊界入侵防范、邊界惡意代碼防范方面。邊界的完整性如被破壞則所有控制規(guī)則將失去效力，因此需要對(duì)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，維護(hù)邊界完整性。通過(guò)安全措施，要實(shí)現(xiàn)主動(dòng)阻斷針對(duì)信息系統(tǒng)的各種攻擊，如病毒、木馬、間諜軟件、可疑代碼、端口掃描、DoS/DDoS 等，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)層以及業(yè)務(wù)系統(tǒng)的安全防護(hù)，保護(hù)核心信息資產(chǎn)的免受攻擊危害。迫切需要網(wǎng)關(guān)型產(chǎn)品在網(wǎng)絡(luò)層面對(duì)病毒予以查殺。面對(duì)系統(tǒng)和網(wǎng)絡(luò)安全性、IT 運(yùn)維管理和 IT 內(nèi)控外審的挑戰(zhàn)，管理人員需要有效的技術(shù)手段，按照行業(yè)標(biāo)準(zhǔn)進(jìn)行精確管理、事后追溯審計(jì)、實(shí)時(shí)監(jiān)控和警報(bào)。 關(guān)鍵服務(wù)器管理風(fēng)險(xiǎn)分析關(guān)鍵服務(wù)器所面臨的安全風(fēng)險(xiǎn)是多方面的，主要有以下幾種現(xiàn)象值得關(guān)注：? 對(duì)服務(wù)器構(gòu)成的安全風(fēng)險(xiǎn)中，有近 80%是發(fā)生在系統(tǒng)內(nèi)部服務(wù)器的應(yīng)用相當(dāng)復(fù)雜，維護(hù)起來(lái)非常困難，當(dāng)然服務(wù)器操作系統(tǒng)也是一樣的復(fù)雜，配置和管理都需要充足的專業(yè)知識(shí)。或是給服務(wù)器的安全留下隱患，或是對(duì)服務(wù)器運(yùn)行造成影響。? 身份認(rèn)證及授權(quán)使用問(wèn)題不同級(jí)別、不同行業(yè)的眾多管理人員，對(duì)于某些核心資源，如重要的應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)系統(tǒng)，不同級(jí)別不同崗位的領(lǐng)導(dǎo)或管理員具有不同的訪問(wèn)權(quán)限，管理人員的身份越權(quán)或假冒將會(huì)造成非授權(quán)使用的問(wèn)題，同時(shí)將給辦公系統(tǒng)造成重大混亂和損失。這就造成生產(chǎn)和管理的矛盾，臨時(shí) ROOT 權(quán)限分發(fā)可以解決 ROOT 權(quán)限生產(chǎn)問(wèn)題，但是，這極大增大管理的復(fù)雜性和不安全性，稍有疏忽，就可能造成管理的混亂。? 分散的多點(diǎn)登錄管理方式，無(wú)法準(zhǔn)確的身份認(rèn)證和授權(quán)控制多點(diǎn)登錄的分散管理方式無(wú)法進(jìn)行強(qiáng)有效的授權(quán)控制，致使用戶的登錄操作難以管理、難以審計(jì)。當(dāng)發(fā)生安全事件時(shí)無(wú)法進(jìn)行責(zé)任鑒定和事件追溯。? 黑客對(duì)服務(wù)器的攻擊黑客攻擊對(duì)服務(wù)器所造成的破壞往往是不可估量的。? 木馬、間諜竊取機(jī)密數(shù)據(jù)針對(duì)中國(guó)的網(wǎng)絡(luò)間諜攻擊正變得越來(lái)越多，中國(guó)的國(guó)家安全從來(lái)沒(méi)有像現(xiàn)在這樣與網(wǎng)絡(luò)密切相關(guān)。中國(guó)是木馬、間諜戰(zhàn)的最大受害國(guó)。而且，網(wǎng)絡(luò)管理、使用不規(guī)范，涉密電腦、非涉密電腦混雜使用，內(nèi)部工作網(wǎng)和外網(wǎng)沒(méi)有真正物理隔離，機(jī)密資料可以隨意接觸，隨便使用，安全漏洞百出。2）對(duì)于菜單式操作管理，由于技術(shù)上的難度，很少有審計(jì)工具可以做到完整的記錄和操作過(guò)程日志的回放。3）別有用心的用戶，可能會(huì)將一些非法的命令操作編輯為 shell 腳本去執(zhí)行，達(dá)到逃避監(jiān)控的目的。? 文件傳輸安全審計(jì)，是最讓信息主管頭疼的問(wèn)題使用 FTP、TFTP 等工具進(jìn)行的文件的上傳、下載操作是最容易引發(fā)資料泄密的方式之一。? 服務(wù)器之間跳轉(zhuǎn)嵌套登錄操作當(dāng)用戶已經(jīng)登錄到一臺(tái)服務(wù)器上操作之后，可能為了便捷不退出當(dāng)前的系統(tǒng)而直接以SSH、RDP 等方式跳轉(zhuǎn)登錄到另外一臺(tái)服務(wù)器去做管理操作。要審計(jì)這些加密的通信協(xié)議，還是要費(fèi)一番功夫的。? 企業(yè)業(yè)務(wù)快速發(fā)展，企業(yè)數(shù)據(jù)庫(kù)規(guī)模越發(fā)龐大，審計(jì)人為非法操作，堪比大海撈針由于業(yè)務(wù)系統(tǒng)也要對(duì)數(shù)據(jù)庫(kù)進(jìn)行大量正常的數(shù)據(jù)庫(kù)協(xié)議訪問(wèn)，目前流行的數(shù)據(jù)庫(kù)協(xié)議審計(jì)系統(tǒng)無(wú)法區(qū)分正常數(shù)據(jù)庫(kù)業(yè)務(wù)行為和數(shù)據(jù)庫(kù)人為運(yùn)維行為，造成“噪音”過(guò)多，致使要審計(jì)的數(shù)據(jù)庫(kù)非法操作行為， “淹沒(méi)”在大量正常的業(yè)務(wù)數(shù)據(jù)庫(kù)訪問(wèn)審計(jì)數(shù)據(jù)中，數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)形同虛設(shè)。? 數(shù)據(jù)庫(kù)中間件大量使用，給數(shù)據(jù)庫(kù)行為審計(jì)“雪上加霜”數(shù)據(jù)庫(kù)中間件通常采用固定的賬號(hào)登錄數(shù)據(jù)庫(kù)，無(wú)法區(qū)分?jǐn)?shù)據(jù)庫(kù)操作行為真實(shí)操作者身份，操作者主體不明，針對(duì)數(shù)據(jù)操作者的行為審計(jì)和責(zé)任鑒定，也就失去了意義，沒(méi)有任何價(jià)值。但是運(yùn)維管理的遠(yuǎn)程操作是把雙刃劍，為我們工作帶來(lái)便利、節(jié)省成本的同時(shí)，又隱藏著巨大的人為操作風(fēng)險(xiǎn)，越權(quán)操作、誤操作、惡意操作時(shí)有發(fā)生。 安全管理需求分析“三分技術(shù)、七分管理”更加突出的是管理層面在安全體系中的重要性。安全管理體系依賴于國(guó)家相關(guān)標(biāo)準(zhǔn)、行業(yè)規(guī)范、國(guó)際安全標(biāo)準(zhǔn)等規(guī)范和標(biāo)準(zhǔn)來(lái)指導(dǎo)，形成可操作的體系。 整改建議安全風(fēng)險(xiǎn)名稱 風(fēng)險(xiǎn)描述 所需產(chǎn)品網(wǎng)絡(luò)結(jié)構(gòu)安全 網(wǎng)絡(luò)結(jié)構(gòu)需要具備一定的冗余性，帶寬能夠滿足業(yè)務(wù)高峰時(shí)期數(shù)據(jù)交換需求。邊界訪問(wèn)控制（Inter出口）對(duì)于各類邊界最基本的安全需求就是訪問(wèn)控制，對(duì)進(jìn)出安全區(qū)域邊界的數(shù)據(jù)信息進(jìn)行控制，阻止非授權(quán)及越權(quán)訪問(wèn)。入侵防御系統(tǒng)惡意代碼攻擊風(fēng)險(xiǎn)網(wǎng)絡(luò)邊界處病毒、蠕蟲(chóng)、木馬等惡意代碼泛濫，導(dǎo)致核心資產(chǎn)收到嚴(yán)重威脅。如何提高系統(tǒng)運(yùn)維管理水平，滿足相關(guān)標(biāo)準(zhǔn)要求，防止黑客的入侵和惡意訪問(wèn)，跟蹤服務(wù)器上用戶行為，降低運(yùn)維成本，提供控制和審計(jì)依據(jù)，已經(jīng)成為越來(lái)越困擾這些企業(yè)的問(wèn)題。除了技術(shù)管理措施外，安全管理是保障安全技術(shù)手段發(fā)揮具體作用的最有效手段，建立健全安全管理體系不但是國(guó)家等級(jí)保護(hù)中的要求，也是作為一個(gè)安全體系來(lái)講，不可或缺的重要組成部分。.. . . ..學(xué)習(xí)參考行政執(zhí)法和城管行業(yè)信息安全保障體系框架在安全策略方面，應(yīng)依據(jù)國(guó)家信息安全戰(zhàn)略的方針政策、法律法規(guī)、制度，按照行業(yè)標(biāo)準(zhǔn)規(guī)范要求，結(jié)合自身的安全環(huán)境，制訂完善的信息安全策略體系文件。在管理體系方面，應(yīng)按照 27 號(hào)文件的有關(guān)要求，將“安全策略”提出的目標(biāo)和原則形成具體的、可操作的信息安全管理制度，組建信息安全組織機(jī)構(gòu)，加強(qiáng)對(duì)人員安全的管理，提高全行業(yè)的信息安全意識(shí)和人員的安全防護(hù)能力，形成一支過(guò)硬的信息安全人才隊(duì)伍。在運(yùn)維體系方面，應(yīng)制訂和完善各種流程規(guī)范，制訂階段性工作計(jì)劃，開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估，規(guī)范產(chǎn)品與服務(wù)采購(gòu)流程，同時(shí)堅(jiān)持做好日常維護(hù)管理、應(yīng)急計(jì)劃和事件響應(yīng)等方面的工作，以保證安全管理措施和安全技術(shù)措施的有效執(zhí)行。其中，類表示《基本要求》在整體上大的分類，其中技術(shù)部分分為：物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等 5 大類，管理部分分為：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等 5 大類，一共分為 10 大類。而項(xiàng)則是控制點(diǎn)下的具體要求項(xiàng)，如“機(jī)房出入應(yīng)有專人負(fù)責(zé)，進(jìn)入的人員登記在案。在規(guī)劃、建設(shè)、使用、維護(hù)整個(gè)信息系統(tǒng)的過(guò)程中，本方案將主要遵循統(tǒng)一規(guī)劃、分步實(shí)施、立足現(xiàn)狀、節(jié)省投資、科學(xué)規(guī)范、嚴(yán)格管理的原則進(jìn)行安全體系的整體設(shè)計(jì)和實(shí)施，并充分考慮到先進(jìn)性、現(xiàn)實(shí)性、持續(xù)性和可擴(kuò)展性。2) 需求、風(fēng)險(xiǎn)、代價(jià)平衡的原則對(duì)任何網(wǎng)絡(luò)，絕對(duì)安全難以達(dá)到，也不一定是必要的。3) 綜合性、整體性原則安全模塊和設(shè)備的引入應(yīng)該體現(xiàn)系統(tǒng)運(yùn)行和管理的統(tǒng)一性。4) 易操作性原則安全措施需要人為去完成，如果措施過(guò)于復(fù)雜，對(duì)人的要求過(guò)高，本身就降低了安全性。先進(jìn)意味著技術(shù)、性能方面的優(yōu)越，而成熟性表示可靠與可用。同時(shí)，安全設(shè)備的運(yùn)行應(yīng)該不會(huì)對(duì)網(wǎng)絡(luò)傳輸造成通信“瓶頸” 。8) 保護(hù)原有投資的原則.. . . ..學(xué)習(xí)參考在進(jìn)行信息系統(tǒng)安全體系建設(shè)時(shí)，除了要按照國(guó)家信息安全等級(jí)保護(hù)相關(guān)要求外，還外遵循行政執(zhí)法行業(yè)的相關(guān)信息安全保障體系統(tǒng)建設(shè)框架的要求，充分考慮原有投資，要充分利用先行系統(tǒng)系統(tǒng)已有的建設(shè)基礎(chǔ)進(jìn)行規(guī)劃.9) 綜合治理信息安全體系統(tǒng)建設(shè)是一個(gè)系統(tǒng)工程，信息網(wǎng)絡(luò)安全同樣也絕不僅僅是一個(gè)技術(shù)問(wèn)題，各種安全技術(shù)應(yīng)該與運(yùn)行管理機(jī)制、人員的思想教育與技術(shù)培訓(xùn)、安全法律法規(guī)建設(shè)相結(jié)合，從社會(huì)系統(tǒng)工程的角度綜合考慮。DDoS 攻擊流量大且難以溯源，導(dǎo)致無(wú)法準(zhǔn)確防范。DDoS攻擊在當(dāng)今社會(huì)呈現(xiàn)愈演愈烈之勢(shì)，是數(shù)據(jù)中心可用性的頭號(hào)威脅。? 安全接入：作為數(shù)據(jù)中心連接Inter的唯一出口，需要部署VPN接入設(shè)備，滿足客戶和外出員工的遠(yuǎn)程安全接入等需要。基于以上幾點(diǎn)，互聯(lián)網(wǎng)接入?yún)^(qū)安全方案的部署架構(gòu)如下圖所示：.. . . ..學(xué)習(xí)參考圖 421 互聯(lián)網(wǎng)接入?yún)^(qū)安全設(shè)計(jì)? 第一道安全防御，AntiDDoS檢測(cè)及防護(hù)：旁路或直路部署專業(yè)的AntiDDOS設(shè)備，提供流量型攻擊防護(hù)，有效保護(hù)服務(wù)器免受DDOS攻擊。? 第三道安全防御，遠(yuǎn)程接入安全：旁路部署SSL VPN設(shè)備，對(duì)遠(yuǎn)程接入的用戶提供認(rèn)證、授權(quán)和數(shù)據(jù)加密傳輸功能。WAF部署在web服務(wù)器群的入口，對(duì)訪問(wèn)web系統(tǒng)的網(wǎng)絡(luò)流量進(jìn)行實(shí)時(shí)檢測(cè)。.. . . ..學(xué)習(xí)參考1) 內(nèi)網(wǎng)出口防火墻防火墻采用直路部署在核心交換機(jī)的外部，也可以做旁路部署，推薦直路推薦采用雙機(jī)熱備的部署方式為保證數(shù)據(jù)傳輸?shù)乃矫苄?，可以在兩端防火墻上啟用IPSec VPN為防止病毒等惡意軟件和代碼的傳播可以在防火墻上啟用IPS，AV等安全防護(hù)功能。防火墻提供了基于安全區(qū)域的隔離模型，每個(gè)安全區(qū)域可以按照網(wǎng)絡(luò)的實(shí)際組網(wǎng)加入任意的接口，因此統(tǒng)一安全網(wǎng)關(guān)的安全管理模型是不會(huì)受到網(wǎng)絡(luò)拓?fù)涞挠绊?。防火墻提供四個(gè)安全區(qū)域：trust、untrust、DMZ、local，在提供三個(gè)最常用的安全邏輯區(qū)域的基礎(chǔ)上還新增加了本地邏輯安全區(qū)域，本地安全區(qū)域可以定義到統(tǒng)一安全網(wǎng)關(guān)本身的報(bào)文，保證了統(tǒng)一安全網(wǎng)關(guān)本身的安全防護(hù)。? 基于安全區(qū)域的策略控制防火墻支持根據(jù)不同的安全區(qū)域之間的訪問(wèn)設(shè)計(jì)不同的安全策略組（ACL 訪問(wèn)控制列表） ，每條安全策略組支持若干個(gè)獨(dú)立的規(guī)則。