第一篇：某等級保護建設整改解決方案（范文）

X X XX 高校 信息系統 等級保護

整改方案((模板）

I

目錄

一、背景、現狀和必要性 ...................................................................................................................................................-3-（一）背景.......................................................................................................................................................................-

-（二）現狀.......................................................................................................................................................................-

-（三）項目必要性...........................................................................................................................................................-

-二、差距分析.......................................................................................................................................................................-6-（一）技術差距分析.......................................................................................................................................................-

-（二）管理差距分析.......................................................................................................................................................-

-三、建設目標...........................................................................................................................................................................9（一）業務目標...................................................................................................................................................................9（二）技術目標...................................................................................................................................................................9 四、建設方案.........................................................................................................................................................................10（一）建設原則.................................................................................................................................................................10（二）設計依據.................................................................................................................................................................11（三）總體建設內容.........................................................................................................................................................12（四）總體框架.................................................................................................................................................................13（五）技術方案.................................................................................................................................................................15 1、安全技術體系設計

.............................................................................................................................................15 2、安全管理中心設計（云智）

.............................................................................................................................23 3、安全制度建設

.....................................................................................................................................................30（六）設備部署說明及關鍵技術指標.............................................................................................................................45 1、防火墻

.................................................................................................................................................................46 a)

部署說明

.............................................................................................................................................................46 b)

關鍵指標

.............................................................................................................................................................46 2、堡壘機

.................................................................................................................................................................46 a)

部署說明

.............................................................................................................................................................46 b)

關鍵指標

.............................................................................................................................................................47 3、入侵防御系統(IPS)

...........................................................................................................................................47 a)

部署說明

.............................................................................................................................................................47 b)

關鍵指標

.............................................................................................................................................................48 4、非法接入/外聯監測系統

...................................................................................................................................48 a)

部署說明

.............................................................................................................................................................48 b)

關鍵指標

.............................................................................................................................................................48 5、漏洞掃描系統

.....................................................................................................................................................49 a)

部署說明

.............................................................................................................................................................49 b)

關鍵指標

.............................................................................................................................................................49 6、數據庫審計系統

.................................................................................................................................................49 a)

部署說明

.............................................................................................................................................................49 b)

關鍵指標

.............................................................................................................................................................50 7、Web 應用防火墻

..................................................................................................................................................50

II a)

部署說明

.............................................................................................................................................................50 b)

關鍵指標

.............................................................................................................................................................51 8、安全管理平臺

.....................................................................................................................................................51 a)

部署說明

.............................................................................................................................................................51 b)

關鍵指標

................................................................................................................................錯誤!未定義書簽。

一、背景、現狀和必要性

（一）背景 XXX經過多年的信息化推進建設，信息化應用水平正不斷提高，信息化建設成效顯著。為促進XXX信息安全發展，響應國家和上級要求，進一步落實等級保護，夯實等級保護作為國家信息安全國策的成果，XXX計劃參照《計算機信息系統安全等級保護劃分準則》（GB/T17859-1999）

和《信息安全技術信息系統安全等級保護定級指南》（GB/T 22240-2008）要求將XXX系統和XXX系統擬定為三級，按照《信息安全技術信息系統安全等級保護基本要求》（GB/T 22239-2008）完成兩個系統三級等保建設。同時為提高全網安全防護能力，XXX計劃整網參照等保標準建設。

隨著2017年《網絡安全法》正式實施，更加需要高校加強自身系統安全建設，《網絡安全法》其中 系統的基本情況，按照物理、網絡、主機、應用、數據、管理六個層面進行，可根據實際情況進行修改；同時根據安全域劃分的結果，在分析過程中將不同的安全域所面臨的風險與需求予以對應說明。1、網絡 現狀

核心交換機分別通過防病毒網關和防火墻連接通過xx網絡設備XX路由器接入政務外網，通過全員防火墻連接xx管理信息系統2臺XX交換機，通過二級/安管防火墻連接安全管理域和二級系統域。

統一認證服務器、數據庫服務器和負載均衡通過接入交換機接入到核心交換機ZXX。

XXX通過接入交換機與中環機房的兩臺XX互聯，訪問xx個案管理信息系統。網絡現狀拓撲圖如下所示：

現網總體拓撲圖

XX高校網絡拓撲圖 2 2、安全防護措施現狀

目前xx校園網采用的安全措施有：

? 網絡設備安全防護方面：

網絡設備的安全防護是依托機房現有的安全設備進行安全防護，定期的檢查網絡設備和安全設備的策略，根據業務系統的需求及時的更新各個策略，對網絡設備和安全設備的訪問使用了復雜性的加長口令進行安全防護。

? 信息安全設備部署及使用方面：

中環機房部署了專門的防火墻設備和防病毒網關對邊界網絡進行安全防護。

? 服務器的安全防護方面：

服務器的安全防護主要是依靠機房現有的網絡安全設備對服務器進行安全防護，同時對服務器統一安裝了防病毒軟件對惡意代碼進行查殺。

? 在應用信任措施方面：

xx管理信息系統通過用戶名、口令進行身份鑒別方式，來保證業務系統信息的機密性。3、系統軟硬件現狀

xx個案管理信息系統所使用的軟硬件設備資源情況如下：

序號 類型 內容 制造/開發商 單位(臺套)數量 一 基礎硬件

（三）項目必要性 為了保障xx管理信息系統的安全持續運行，落實國家信息安全等級保護標準GB/T25070-2010和GB/T 22239-2008的要求，降低系統面臨的安全風險，有必要對xx管

理信息系統進行安全保障體系設計。

(1)政策法規要求

XXX公安局、XXX經濟和信息化委員會、XXX國家保密局、XXX密碼管理局《關于印發XXX開展信息安全等級保護安全建設整改工作實施方案的通知》（京公網安字[2010]1179號）文件的要求全市各單位加強信息安全等級保護建設、整改工作。每年，XXX網絡信息安全協調小組發文要求全市各單位開展信息安全自查工作，并對一些單位進行抽查工作，要求各單位從管理和技術兩個方面加強信息安全建設。

(2)xx 管理 信息系統安全保障的需要

xx管理信息系統的數據包括xx的個案信息數據庫。一旦這些信息泄漏，將會對市xx造成重大影響，因此，迫切需要加強xx管理信息系統的信息安全保障，防范數據信息泄漏風險。

（四）等級保護工作流程：

系統定級定級備案等級測評 建設整改安全檢查 圖 1 等級保護工作流程

二、差距分析

（一）技術差距分析 通過對xx管理信息系統進行等級保護安全整改建設，達到等級保護三級安全標準，并最終通過等級保護三級測評。

計算環境的安全主要是物理、主機以及應用層面的安全風險與需求分析，包括：物理機房安全、身份鑒別、訪問控制、系統審計、入侵防范、惡意代碼防范、軟件容錯、數據完整性與保密性、備份與恢復、資源合理控制、剩余信息保護、抗抵賴等方面。

根據XXX自評估結果，現網如要達到等級保護三級關于安全計算環境的要求，還需要改進以下幾點：

物理機房安全：根據物理機房情況描述，看看是否需要整改。

數據庫審計：現網XXX系統和XXX系統都缺少針對數據的審計設備，不能很好的滿足主機安全審計的要求，需要部署專業的數據庫審計設備。

運維堡壘機：現網XXX系統和XXX系統都未實現管理員對網絡設備和服務器管理時的雙因素認證，計劃通過部署堡壘機來實現。

主機審計：現網XXX系統和XXX系統主機自身安全策略配置不能符合要求，計劃通過專業安全服務實現服務器整改加固。

主機病毒防護：現網XXX系統和XXX系統缺少主機防病毒的相關安全策略，需要配置主機防病毒系統。

備份與恢復：現網沒有完善的數據備份與恢復方案，需要制定相關策略。同時現網沒有實現對關鍵網絡設備的冗余，本期計劃部署雙鏈路確保設備冗余。

另外還需要對用戶名/口令的復雜度，訪問控制策略，操作系統、WEB和數據庫存在的各種安全漏洞，主機登陸條件限制、超時鎖定、用戶可用資源閾值設置等資源控制策略的合理性和存在的問題進行一一排查解決。

（二）管理差距分析 從等保思想出發，技術雖然重要，但人才是安全等級保護的重點，因此除了技術措施，XXX還需要運用現代安全管理原理、方法和手段，從技術上、組織上和管理上采取有力的措施，解決和消除各種不安全因素，防止事故的發生。需要優化安全管理組織，完善安全管理制度，制定信息系統建設和安全運維管理的相關管理要求，規范人員安全管理。

“三分技術、七分管理”更加突出的是管理層面在安全體系中的重要性。除了技術措施外，安全管理是保障安全技術手段發揮具體作用的最有效手段，安全管理中心是實現安全管理的有力抓手。

根據XXX自評估結果，現網如要達到等級保護三級關于安全管理中心的要求，還需要改進以下幾點：

現網沒有一個能對整網安全事件、安全威脅進行分析響應處理的平臺，本期需要新增統一安全監控管理平臺對信息系統涉及的設備使用情況和安全事件、系統健康程度等進行識別，要能進行統一的監控和展現。通過對安全事件的告警，可以發現潛在的攻擊征兆和安全趨勢，確保任何安全事件、事故得到及時的響應和處理。

2020-10-11

第 9 頁, 共 52 頁

三、建設目標

（一）業務目標 本項目的業務目標是實現xx管理信息系統的安全、持續、穩定運行，具體為：通過安全保障措施的建設，防范業務數據信息泄漏，保障xx管理信息系統安全，以防數據泄漏事件發生。

（二）技術目標 依據國家信息安全等級保護三級標準，從網絡安全、主機安全、應用安全建設等方面進行方案的設計，建成能夠有效支撐xx管理信息系統高效運行基礎環境。

(1)網絡安全

? 根據信息系統等級保護標準中有關結構安全的要求，關鍵核心設備、防火墻、防病毒網關等設備采用冗余方式部署； ? 對用戶終端接入網絡的行為進行控制，利用網絡實名接入網關和實名接入控制系統，實現對用戶接入網絡的認證和能夠訪問的資源的管理； ? 針對內部終端用戶進行管理，內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。

(2)主機安全

? 通過對操作系統、數據庫和中間件等進行安全加固，消除存在的漏洞，降低被威脅利用的可能。

(3)應用安全

? 通過對應用系統進行安全加固消除風險點，降低被威脅利用的可能；

2020-10-11

第 10 頁, 共 52 頁

? 加強xx管理信息系統用戶身份認證強度，為系統集成數字證書登錄，實現對系統用戶基于USBKey和口令的雙因子身份認證。

(4)安全等級測評

? 開展信息系統安全等級測評，驗證信息系統建設完成后是否滿足國家信息安全等級保護要求。

四、建設方案

（一）建設原則 結合XXX的實際情況，按照《信息系統等級保護安全設計技術要求》和《信息系統安全等級保護基本要求》等相關標準要求，以“一個中心、三重防護”為核心指導思想，從安全計算環境、安全區域邊界、安全通信網絡以及安全管理中心四個方面構建安全建設方案，以滿足等級保護三級系統的相關要求。

本方案充分結合xx管理信息系統業務應用流程、網絡現狀、等級保護要求及實際的安全需求進行設計，在設計過程中將采取如下原則：

? 綜合防范、整體安全 堅持管理與技術并重，從人員、管理、安全技術手段等多方面著手，建立綜合防范機制，實現整體安全； ? 分域保護、務求實效 將信息資源劃分為計算環境、區域邊界、通信網絡三個方面進行安全防護設計，以體現層層遞進，逐級深入的安全防護理念； ? 同步建設 安全保障體系規劃與系統建設同步，協調發展，將安全保障體系建設融入到信息

2020-10-11

第 11 頁, 共 52 頁

化建設的規劃、建設、運行和維護的全過程中； ? 縱深防御，集中管理 可構建一個從外到內、功能互補的縱深防御體系，對資產、安全事件、風險、訪問行為等進行集中統一分析與監管； ? 等級保護策略 安全保障體系設計以實現等級保護為基本出發點進行安全防護體系建設，并遵照國家《信息系統安全等級保護基本要求》進行安全防護措施設計。

（二）設計依據 (1)國家等級保護政策文件

? 《國務院關于大力推進信息化發展和切實保障信息安全的若干意見》（國發〔2012〕23號）

? 關于開展信息安全等級保護安全建設整改工作的指導意見(公信安[2009]1429號)? 關于加強國家電子政務工程建設項目信息安全風險評估工作的通知（發改高技[2008]2071號）

? 公安機關信息安全等級保護檢查工作規范（公信安[2008]736號）

? 關于開展全國重要信息系統安全等級保護定級工作的通知（公信安[2007]861號）

? 信息安全等級保護備案實施細則（公信安[2007]1360號）

(2)國家信息安全標準

? GB/T 25058-2010《信息安全技術 信息系統安全等級保護實施指南》 ? GB/T 25070-2010《信息安全技術 信息系統等級保護安全設計技術要求》 ? GB/T 22239-2008《信息安全技術 信息系統安全等級保護基本要求》

2020-10-11

第 12 頁, 共 52 頁

? GB/T 22240-2008《信息安全技術 信息系統安全等級保護定級指南》 ? GB/T21082-2007信息安全技術 服務器安全技術要求 ? GB/T 20984-2007《信息安全技術 信息安全風險評估規范》 ? GB/T20269-2006信息安全技術 信息系統安全等級保護管理要求 ? GB/T20271-2006信息安全技術 信息系統通用安全技術要求 ? GB/T20270-2006信息安全技術 網絡基礎安全技術要求 ? GB/T20272-2006信息安全技術 操作系統安全技術要求 ? GB/T20273-2006信息安全技術 數據庫管理系統安全技術要求 ? GB/T20282-2006信息安全技術 信息系統安全工程管理要求（三）總體建設內容 根據xx管理信息系統業務安全保障需求，建立有針對性地安全策略，合理規劃網絡安全架構，依據差距分析結果，進行安全整改，實現關鍵核心設備、防火墻、防病毒網關等設備采用冗余方式部署；實現對用戶接入網絡的認證和能夠訪問的資源的管理；實現內部終端用戶進行管理；實現對xx管理信息系統用戶雙因子強身份認證；建立安全管理中心，實現對xx管理信息系統安全管理。

2020-10-11

第 13 頁, 共 52 頁

（四）總體框架 為了使xx管理信息系統具有較高的安全防護能力，滿足等級保護要求，本次將按照下圖所示的總體框架進行系統安全改造。

2020-10-11

第 14 頁, 共 52 頁

根據xx管理信息系統現狀和安全需求，采取如下總體安全策略：

? 基礎安全防御得當

依據GB/T 22239-2008《信息安全技術 信息系統安全等級保護基本要求》，和xx管理信息系統網絡以及系統安全現狀，? 根據信息系統等級保護標準中有關結構安全的要求，通過增加核心交換機、防火墻、防病毒網關等設備實現冗余部署； ? 通過部署終端健康檢查和修復系統對終端接入的行為進行控制，針對內部終端用戶進行管理，內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。

? 部署網絡實名接入網關和實名接入控制系統，實現對用戶接入網絡的認證和能夠訪問的資源的管理；

? 主機安全：通過對操作系統、數據庫和中間件等進行安全加固，消除存在的漏洞，降低被威脅利用的可能； ? 應用安全：將xx管理信息系統整合到現有的統一認證管理系統中增加用戶身份認證強度，使其通過數字證書登錄，實現對系統用戶基于USBkey和口令的雙因子身份認證。

? 技術管理并行

安全技術以及管理體系需要同時設計并落實，兩者互為補充互為支撐。落實組織和人員責任。

2020-10-11

第 15 頁, 共 52 頁

（五）技術方案 1、安全技術體系設計 根據建設目標，在充分利用現有設備的情況下，重新規劃整改后的網絡拓撲圖，如下圖所示。

整改后網絡拓撲圖 1.1.計算環境安全設計

1.1.1 終端安全（EAD）

通過部署2臺終端健康檢查和修復系統實現終端安全的集中統一管理，包括終端補丁的集中下載與分發、應用軟件的集中分發、禁止非工作軟件或有害軟件的安裝和運行等，強化終端安全策略，終端安全管理軟件還可滿足接入和外聯的可管理要求。對終端進行安全檢查，確保終端符合安全規范，對不合規終端進行隔離修復。對系統自身安全問題及終端安檢問題進行報警統計，具體功能包括：

2020-10-11

第 16 頁, 共 52 頁

限制非法外聯。

應設定只有與終端管理系統通訊的網卡才能發送和接收數據除，禁止其他任何網卡發送和接收數據，包括多網卡、撥號連接，VPN連接等。

終端安全基線自動檢測與強制修復。

能夠監控計算機終端的操作系統補丁、防病毒軟件、軟件進程、登錄口令、注冊表等方面的運行情況。如果計算機終端沒有安裝規定的操作系統補丁、防病毒軟件的運行狀態和病毒庫更新狀態不符合要求、沒有運行指定的軟件或運行了禁止運行的軟件，或者有其它的安全基線不能滿足要求的情況，該計算機終端的網絡訪問將被禁止。

移動存儲管理。

可以實現移動存儲設備的認證和設備使用授權，只有認證的移動存儲存儲設備和具有使用權限的用戶才能使用。對于認證過的移動存儲設備，可以根據防泄密控制要求的高低，可以選擇多種數據保存和共享授權方式?？梢灾徽J證設備，不對其中保存數據進行加密共享；也可以對認證的設備選擇專用目錄或全盤加密共享，并可以對移動設備使用全過程進行審計，方便在發生意外時進行查證。

終端審計。

包括“文件操作審計與控制”，“打印審計與控制”，“網站訪問審計與控制”，“異常路由審計”和“終端Windows登錄審計”。所審計的內容盡量只與內網安全合規相關的信息，不對涉及終端用戶的個人隱私信息，保證在達到合規管理的審計要求的前提下，保護終端用戶個人私隱。

2020-10-11

第 17 頁, 共 52 頁

1.1.2 漏洞發現（漏掃）

漏洞掃描就是對重要計算機信息系統進行檢查，發現其中可被黑客利用的漏洞，通過合規性檢測對系統中不合適的設置（如不應開放的端口）、脆弱的口令以及其他同安全規則相抵觸的對象進行檢查；另外基于網絡的檢測(Network Scanner)，通過執行一些腳本文件對系統進行攻擊，并記錄它的反應，從而發現其中的漏洞。

1.1.3 數據庫安全審計

計劃部署數據庫審計系統對用戶行為、用戶事件及系統狀態加以審計，范圍覆蓋到每個用戶，從而把握數據庫系統的整體安全。

數據庫審計系統適用于等級保護標準和規范。數據庫審計系統支持所有主流關系型數據庫的安全審計，采用多核、多線程并行處理及CPU綁定技術及鏡像流量零拷貝技術，采用黑盒逆向協議分析技術，嚴格按照數據庫協議規律，對所有數據庫的操作行為進行還原，支持請求和返回的全審計，保證100%還原原始操作的真實情況，實現細粒度審計、精準化行為回溯、全方位風險控制，為XXX的核心數據庫提供全方位、細粒度的保護功能。數據庫審計系統可以幫助我們解決目前所面臨的數據庫安全審計缺失問題，避免數據被內部人員及外部黑客惡意竊取泄露，極大的保護XXX的核心敏感數據的安全，帶來以下安全價值：

? 全面記錄數據庫訪問行為，識別越權操作等違規行為，并完成追蹤溯源 ? 跟蹤敏感數據訪問行為軌跡，建立訪問行為模型，及時發現敏感數據泄漏 ? 檢測數據庫配置弱點、發現SQL注入等漏洞、提供解決建議 ? 為數據庫安全管理與性能優化提供決策依據 ? 提供符合法律法規的報告，滿足等級保護審計要求。

2020-10-11

第 18 頁, 共 52 頁

1.1.4 運維堡壘主機

計劃部署運維堡壘主機，堡壘機可為XXX提供全面的運維管理體系和運維能力，支持資產管理、用戶管理、雙因子認證、命令阻斷、訪問控制、自動改密、審計等功能，能夠有效的保障運維過程的安全。在協議方面，堡壘機全面支持SSH/TELNET/RDP（遠程桌面）/FTP/SFTP/VNC，并可通過應用中心技術擴展支持VMware/XEN等虛擬機管理、oracle等數據庫管理、HTTP/HTTPS、小型機管理等。

1.2.區域邊界安全保護設計

通過深入了解系統業務特點和系統功能要求，并在充分利用現有網絡設施的基礎上，結合國家等級保護政策和標準要求，對信息系統的安全區域保護目標進行如下設計。

1.2.1 邊界隔離與訪問控制（NGFW）

在本方案中，XX 系統分布在網絡出口邊界、數據中心區邊界、網絡管理區，所以每個邊界也部署防火墻，并且通過配置防火墻的安全策略，實現各區域邊界的隔離與細粒度的訪問控制。防火墻是部署在不同網絡安全域之間的一系列部件的組合。它是信息的唯一出入口，能根據安全策略控制（允許、拒絕、監測）出入網絡的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務，實現網絡和信息安全的基礎設施。防火墻實現網與網之間的訪問隔離，以保護整個網絡抵御來自其它網絡的入侵者。

通過對全網網絡拓撲結構進行分析，確定需要進行訪問控制的網絡邊界位置，并使用防火墻等邊界訪問控制系統，解決邊界安全問題、實現各個安全域間的網絡訪問

2020-10-11

第 19 頁, 共 52 頁

控制。

部署圖如下：

1.2.2 網絡入侵檢測系統（IPS）

入侵防御產品是一種對網絡深層威脅行為（尤其是那些防火墻所不能防御的威脅行為）進行抵御的安全產品，通常以串行方式透明接入網絡。和其他安全產品不同的是，入侵防御產品的主要防御對象是網絡上TCP/IP的四層以上的實時惡意數據流（四層以下的攻擊可以由其他安全產品如防火墻等防御）。在本方案中入侵防御系統主要保護那些對外提供服務的業務系統的安全。在現有網絡中部署入侵檢測與防御系統可以對訪問xx管理信息系統進行實時監測，并進行入侵行為跟蹤分析。

部署圖如下：

1.2.3 網絡惡意代碼防范（WAF）

瀏覽器都能解釋和執行來自 Web 服務器的嵌入到 Web 頁面下載部分的腳本（用 JavaScript、JScript、VBScript 等腳本語言創建）。當攻擊者向用戶提交的動態表單輸入惡意代碼時，就會產生跨站點腳本(XSS)攻擊或是SQL注入。Web應用防火墻主要針對Web服務器進行第7層流量分析，防護以Web應用程序漏洞為目標的攻擊，并針對Web應用訪問進行各方面優化，以提高Web或網絡協議應用的可用性、性能和安全性，確保業務應用能夠快速、安全、可靠地交付。同時，內部辦公用戶也會通過互聯網對外進行訪問，Internet網絡區域的安全風險級別最高，所以對于對外訪問和信息獲取等操作都應進行實時的惡意代碼檢測和事后的清除修復工作。

對于惡意代碼的防范應達到如下要求：

2020-10-11

第 20 頁, 共 52 頁

? 應在網絡邊界及核心業務網段處對惡意代碼進行檢測和清除； ? 應維護惡意代碼庫的升級和檢測系統的更新； ? 應支持惡意代碼防范的統一管理。

1.3.通信網絡安全保護設計

根據《信息安全技術 信息系統等級保護安全設計技術要求》GB/T 25070-2010，和市xx網絡現狀，應從鏈路冗余設計、通信網絡安全審計及網絡可信接入方面進行展開設計。

1.3.1 鏈路冗余設計（IRF）

擬通過部署1臺H3C S9800交換機，改變核心網絡結構，與原有的H3C S9800做冗余備份，以滿足等級保護三級標準針對網絡安全的要求。

部署圖如下：

交換機部署位置圖 1.3.2 網絡行為安全審計（數據庫審計）

為滿足等級保護要求中對三級系統通信網絡安全審計要求，需在網絡中建立基于網絡的安全審計措施，以實現通信網絡安全審計的防護要求。

在網絡中應部署數據庫審計系統，可以通過網絡端口鏡像的方式抓取進、出區域邊界數據包，基于數據包的源地址、目的地址、傳輸層協議、請求的服務等應用訪問行為，確定行為符合安全策略，并以收集的記錄信息作為追蹤違規事件、界定安全責任的主要依據。部署圖如下：

2020-10-11

第 21 頁, 共 52 頁

綜合審計部署圖 1.3.3 網絡實名準入系統（EAD）

根據《信息安全技術 信息系統等級保護安全設計技術要求》GB/T 25070-2010，對于三級系統需建立網絡接入認證機制，可采用由密碼技術支持的可信網絡連接機制，通過對連接到網絡的設備進行可信檢驗，確保接入網絡的設備真實可信，防止設備的非法接入。

為保證 xx 管理信息系統對接入用戶實行全生命周期的數字身份管理，有效管理用戶的訪問憑證和接入權限，記錄用戶的網絡訪問行為，在發生信息安全事件時，能將責任追溯到人，本項目將沿用終端準入 EAD 系統，從而實現網絡可信接入和用戶的身份級別，需求功能包括：

終端準入功能

利用終端管理系統與交換機配合，如采用802.1x共同完成網絡準入控制。

限制非法外聯。

2020-10-11

第 22 頁, 共 52 頁

應設定只有與終端管理系統通訊的網卡才能發送和接收數據除，禁止其他任何網卡發送和接收數據，包括多網卡、撥號連接，VPN連接等。

終端審計。

包括“文件操作審計與控制”，“打印審計與控制”，“網站訪問審計與控制”，“異常路由審計”和“終端Windows登錄審計”。所審計的內容盡量只與內網安全合規相關的信息，不對涉及終端用戶的個人隱私信息，保證在達到合規管理的審計要求的前提下，保護終端用戶個人私隱。

1.3.4 網絡設備保護（堡壘機）

對于網絡中的基礎設施資產的管理，包括：網絡設備、安全設備、服務器和數據庫等，均需要通過堡壘機實現對重要業務資產操作的認證、授權和操作記錄審計的要求，同時降低運維人員的管理成本，提高運維效率，通過運維堡壘主機的方式進行集中管理、協議代理和身份授權分離的安全操作。

資源集中管理：集中的資源訪問入口、集中帳號管理、集中授權管理、集中認證管理、集中審計管理等等。

協議代理：為了對字符終端、圖形終端操作行為進行審計和監控，堡壘主機對各種字符終端和圖形終端使用的協議進行代理，實現多平臺的操作支持和審計，例如Telnet、SSH、FTP、Windows平臺的RDP遠程桌面協議，Linux/Unix平臺的X Window圖形終端訪問協議等。

當運維機通過堡壘主機訪問服務器時，首先由堡壘主機模擬成遠程訪問的服務端，接受運維機的連接和通訊，并對其進行協議的還原、解析、記錄，最終獲得運維機的操作行為，之后堡壘主機模擬運維機與真正的目標服務器建立通訊并轉發運維機發送

2020-10-11

第 23 頁, 共 52 頁的指令信息，從而實現對各種維護協議的代理轉發過程。在通訊過程中，堡壘主機會記錄各種指令信息，并根據策略對通信過程進行控制，如發現違規操作，則不進行代理轉發，并由堡壘主機反饋禁止執行的回顯提示。

身份授權分離：在堡壘主機上建立主帳號體系，用于身份認證，原各IT系統上的系統帳號僅用于系統授權，這樣可以有效增強身份認證和系統授權的可靠性，從本質上解決帳號管理混亂問題，為認證、授權、審計提供可靠的保障。

2、安全管理中心設計（云智）

建立安全管理中心，形成具備基本功能的安全監控信息匯總樞紐和信息安全事件協調處理中心，提高對管理中心內部網絡和重要業務系統信息安全事件的預警、響應和安全管理能力。具體來說應該實現以下功能：

1.安全信息采集 Xx系統所有的網絡設備（交換機、路由器等）、安全設備（防火墻、入侵檢測、統一數字身份管理系統、安全審計設備等）和重要業務系統（操作系統、數據庫、中間件等）的安全事件信息。

2.安全信息分析 對匯集的安全事件信息進行綜合的關聯分析，從海量的信息中挖掘、發現可能的安全事件并且產生安全預警。

3.信息安全管理 實現統一的安全事件、安全策略、安全風險和信息安全支撐系統的管理，實現安全運維流程的自動化管理，滿足管理中心對安全事件及時有效響應處置的需求。

4.可視化展示

2020-10-11

第 24 頁, 共 52 頁

實現整體安全態勢的多維度、多視角的展示，實現系統運行和安全監測的全景化和在線化。

2.1.建設目標

安全管理中心的建設目標是為了支撐安全運行體系的建設和流轉，從而提升安全防護能力、隱患發現能力、監控預警能力以及響應恢復能力，以保障市xx信息系統的安全可靠，實現安全運行工作的“可感知”、“可管理”、“可測量”、“可展示”。

“可感知”目標：安全管理中心具備對各類安全資產的脆弱性和海量安全事件的采集、分析、處理報告能力，可以按需展現全網安全資產的脆弱性分布狀況和高危風險事件分布狀況，可集中管理各類安全資產的配置基線，能夠智能化分析安全事件對業務系統可能產生的實際影響和危害，“實現被動安全智能化”目標。

“可管理”目標：初步實現集中化的安全風險、安全事件、安全預警和安全策略、安全合規性和績效考核管理，實現安全運維流程的自動化管理，滿足市xx對安全事件及時有效響應處置的需求。

“可測量”目標：安全管理中心具備針對各類信息安全管理標準或要求的符合性測量檢查能力，提供針對諸如信息安全管理體系標準要求、等級化保護要求、信息安全專項工作要求的符合性檢查功能，支持通過技術手段實現符合性檢查工作的自動調度、自動執行、自動核查、自動報告功能。

“可展示”目標：實現整體安全態勢的多維度、多視角的展示，實現系統運行和安全監測的全景化和在線化。針對市xx決策層、管理層和執行層等不同角色提供不同展現視圖，可以向PC、移動終端上推送當前各業務系統、各地區、各單位風險管理狀態和趨勢。

2020-10-11

第 25 頁, 共 52 頁

2.2.總體結構

綜合管理平臺門戶作為整個安全管理中心統一人機界面接口，采用Web應用架構，支持各功能模塊的信息展示和系統配置管理。針對不同用戶角色的特點，提供不同視角（決策層、管理層、執行層）的展現內容。

安全管理中心規劃的應用服務層提供六大應用服務，分別是：脆弱性和安全風險管理、安全事件管理、安全預警管理、安全策略管理、安全符合性管理和安全績效考核，提供的服務通過門戶層進行展現。

數據感知層主要規劃兩大功能，分別是數據采集和數據分析處理。

數據采集主要負責與安全支撐系統數據交互以及搜集其他設備的數據。其采用的技術方式包括：Web Serivce、SYSLOG和SNMP trap等接口和協議。

數據處理主要負責對采集到的原始數據進行標準化、歸并及關聯分析等詳細的分析處理?？梢愿鶕Y產信息、脆弱性信息校正安全信息的真實性，同時也可以根據攻擊過程描述的縱向關聯策略確認一系列安全信息發生的后果，提取出需要處理的安全事件。

外部接口層承擔安全運營中心與XX系統之間的數據交互，比如從資產系統中抽取資產相關的信息。

安全管理中心安全支撐層是由6個大系統構成，主要為平臺提供數據及部分功能實現。支撐系統具體如下：

? 業務系統 ? 安全設備 ? 操作系統

2020-10-11

第 26 頁, 共 52 頁

? 中間件 ? 數據庫 ? 網絡設備

平臺架構采用組件化的分層設計理念，融和工作流組件、業務規則引擎、通用報表組件、數據查詢組件、GIS組件等對信息安全運行管理業務加以支撐和服務；平臺架構滿足五年以上的技術和業務發展等適應性要求。

2.3.功能模塊

2.3.1 數據 采集

數據采集是運行監控功能的核心模塊，接收來自安全事件監控中心的事件，支持資產信息、配置信息、IT事件日志以及安全支撐系統的數據采集，實現數據識別、數據解析、數據聚并和數據保存等處理。

2.3.2 日志 分析

針對業務系統所涉及到的操作系統和網絡設備運行日志進行采集和安全分析。

2.3.3 運行狀態監控

運行狀態監控主要包含主機、網絡、安全設備、數據庫、中間件及關鍵應用系統的運行監控。同時，以關鍵業務為中心，通過圖形化的業務建模工具，根據實際環境，定義個性化的業務運行評估模型，從業務角度對被監測資源進行關聯、重組，建立真實表達業務內部關系的影響模型圖，實現快速搭建業務卡片視圖，準確判斷業務健康度、繁忙度、業務層級視圖和業務告警等內容。

2020-10-11

第 27 頁, 共 52 頁

1.主機運行狀態監控

系統能夠采集現有的主流操作系統監控運行性能。通過對主機監控，實現對主機的故障告警，同時監控主機的健康狀態與運行性能指標。覆蓋主機操作系統類型包括：Windows服務器系統、Linux服務器系統、IBM AIX服務器系統、HP UNIX服務器系統等。

2.網絡和安全設備運行狀態監控

系統能夠采集現有的網絡設備和安全設備的運行狀態，通過對設備健康狀態與運行性能監控，實現對網絡延時、異常事件、連接失敗等網絡指標進行查看，結合安全設備的故障告警，及時發現性能隱患，能夠監控的設備類型包括交換機、路由器、入侵檢測等。

3.數據庫運行狀態監控

系統能夠采集數據庫監控運行性能，收集數據庫的響應時間、當前總用戶數、當前活躍用戶數等各性能指標的變化趨勢，進行分析，為優化資源配置提供數據支撐。要求支持的數據庫系統類型包括：

Oracle、SQL Server、MYSQL等。

4.中間件運行狀態監控

系統能夠采集中間件監控運行性能，針對中間件的可用性、響應延遲等狀態信息進行分析，監控各項性能指標變化分析，為優化資源配置提供數據支撐。能夠支持中間件系統類型，包括：IBM Websphere、Weblogic、Apache Tomcat、Microsoft IIS等。

5.應用系統運行狀態監控

通過和應用系統的對接接口，實現應用系統運行狀態的監控和展示。

2020-10-11

第 28 頁, 共 52 頁

2.3.4 預警管理

預警管理包括但不限于IT態勢分析和展現、預警通告等功能。

? 態勢分析：實現對采集信息及分析結果進行匯集和抽??；對IT事件及風險等事態發展和后果進行模擬分析，能夠多維度綜合展示。

? 預警通告：能夠把IT態勢分析的處理結果進行預警通告并展示。

? 預警管理系統收集和分析歷史數據，全面展現一段時期內IT態勢和風險管理的情況。

? 為信息安全風險管理的規劃提供數據支撐。

預警模塊中心從系統管理模塊得到資產的基本信息，從脆弱性管理模塊獲取資產的脆弱性信息，從事件監控模塊獲取發生的事件。得到上述這些原始信息后，本模塊進行綜合風險分析。綜合風險分析是分析整個企業面臨的威脅和確保這些威脅所帶來的挑戰處于可以接受的范圍內的連續流程。能夠根據各監控點的資產信息、脆弱性統計信息以及威脅分布信息，為每一個資產定量地計算出相應的風險等級，同時根據業務邏輯，分析此風險對其他系統的影響，計算出業務系統或區域的整體風險等級。

2.3.5 策略管理

網絡的整體性要求需要有統一策略和基于工作流程的管理。通過為全網管理人員提供統一的策略，指導各級管理機構因地制宜的做好策略的部署工作，有利于在全網形成防范的合力，提高全網的整體防御能力，同時通過策略和配置管理平臺的建設可以進一步完善整個IP網絡的安全策略體系建設，為指導各項安全工作的開展提供行動指南，有效解決目前因缺乏口令、認證、訪問控制等方面策略而帶來到安全風險問題。

策略管理系統包括但不限于事件關聯分析規則管理、資產安全配置策略符合性檢

2020-10-11

第 29 頁, 共 52 頁

查和安全策略庫管理功能。

? 事件關聯分析規則管理：能實現安全事件關聯分析規則的自定義、導入、更新、展示、查詢、修改和歸檔等功能。

? 資產安全配置策略符合性檢查：能實現對資產安全配置策略合規性比對和檢查；提供符合性檢查結果的展示、查詢、歸檔和策略導出功能；提供修正建議和策略下發功能。

? 安全策...

第二篇：政府門戶網站等級保護解決方案

綠盟科技政府門戶網站等級保護解決方案

政府門戶網站是“政務公開”和“服務型政府”兩大主導思想，在落實過程中所必須憑借的重要平臺，在未來的電子政務規劃中，政府門戶網站必將占有非常重要的地位。

國家正在逐步推進信息安全等級保護工作，這一國家層面的信息安全標準，已成為未來在電子政務安全建設中的重要保障。

綠盟科技特別推出的“政府門戶網站等級保護解決方案”以業界最為出色的技術底蘊和對等級保護的深刻理解，為政府客戶最需要保障之處，提供了最可靠的信心保證。

政府門戶網站的信息安全需求

政府門戶網站的地位非常重要，但其安全形勢卻不容樂觀。據統計，僅在2007年，就有3000余個政府門戶網站發生過網頁被篡改的事件，嚴重影響了政府的對外形象。隨著電子政務建設的逐步推進，政府門戶網站所承載業務的數量在逐步增加，網站被入侵或篡改所帶來的危害將不僅僅限于“政府形象”的損害，甚至能會造成巨大的經濟損失，或者嚴重的社會問題。

對于政府網站所面臨的主要風險，總結如下：

頁面被篡改

政府門戶網站作為“政府形象”的標志之一，常常是一些不法分子的重點攻擊對象。政府門戶網站一旦被篡改(加入一些敏感的顯性內容)，常常會引發較大的影響，嚴重時甚至會造成政治事件。

另外一種篡改方式是網頁掛馬：網頁內容表面上沒有任何異常，卻可能被偷偷的掛上了木馬程序。網頁掛馬雖然未必會給網站帶來直接損害，但卻會給瀏覽網站的用戶帶來損失。更重要的是，政府網站一旦被掛馬，其權威性和公信力將會受到打擊，最終給電子政務的普及帶來重大影響。

在線業務被攻擊

對企業、公眾提供在線服務，已經成為政府門戶網站的重要功能。這些服務一旦受到拒絕服務攻擊而癱瘓、終止，對業務的正常運轉必然造成極大的影響，可能會造成經濟損失，嚴重時甚至會影響社會穩定。

數據被竊取

在線業務系統中，總是需要保存一些企業、公眾的相關資料，這些資料往往涉及到企業秘密和個人隱私，一旦泄露，會造成企業或個人的利益受損，可能會給網站帶來嚴重的法律糾紛。

內網被侵入

政府門戶網站雖然和政府的辦公網絡之間有邏輯隔離設備，但仍有可能被手段高明的黑客入侵，從而盜取一些敏感材料，或對電子政務應用系統造成破壞。

以上的總結僅僅是對政府門戶網站主要安全需求的簡單總結，事實上，政府門戶網站要達到真正的安全，需要建立一個完善細致的安全防護體系，不僅要在技術上建立事前、事中和事后的縱深防御系統，還需要建立良好的信息安全管理制度。下文將結合信息安全等級保護政策，提出整體建議方案。

綠盟科技政府門戶網站等級保護解決方案

出于對信息安全的重視，國家出臺了信息安全等級保護的一系列文件和標準，用以促進和指導信息安全的建設。

2007年6月22日，公安部與國家保密局、密碼管理局、國務院信息辦聯合會簽并印發了《信息安全等級保護管理辦法》(公通字[2007]43號)，確定了信息安全等級保護制度的基本內容及各項工作要求。

2007年7月16日，四部委聯合會簽并下發了《關于開展全國重要信息系統安全等級保護定級工作的通知》(公信安[2007]861號)，就定級范圍、定級工作主要內容、定級工作要求等事項進行了通知。

43號文和861號文這兩個主要文件的出臺，標志著信息安全等級保護工作在全國范圍內進入推廣實施階段。

針對政府門戶網站的安全需求，以及信息安全等級保護相關文件和標準，綠盟科技以安全服務為主線，提出了符合等級保護要求的政府門戶網站整體安全解決方案。

根據《信息系統安全等級保護實施指南》中所給出的等級保護的建設過程(如圖1所示)，可以看到等級保護并不是一個“一勞永逸”的孤立項目，而是一個連續不斷，周而復始的“過程”。

要實現這樣一個過程，就必須要以安全服務為主線，從門戶網站的安全評估、差距評估等咨詢性服務開始，到整體安全規劃、解決方案設計等設計性服務，最終以運維支持、應急響應等持續的技術性服務為政府門戶網站提供一個符合等級保護精神的安全保障體系。

綠盟科技在等級保護過程的各階段中所提供的系列安全服務如下圖所示：

圖2 等級保護過程及各階段安全服務

上圖所示的各階段都分別對應多個安全服務，限于篇幅，不能一一盡述，下面就各階段中的主要部分做簡要介紹。

安全定級階段安全服務

政府門戶網站安全定級和備案階段的安全服務包括等級保護導入、信息系統輔助定級、協助用戶完成備案等幾部分。

這些安全服務的目標是通過培訓，使客戶方有關人員了解等級保護的內容和過程，并按照定級指南要求對門戶網站進行定級，最終幫助用戶完成備案工作。

綠盟科技具備豐富的系統定級和備案經驗，能夠為政府門戶網站進行準確定級，并順利完成備案工作。

安全規劃設計階段安全服務

安全規劃設計階段的安全服務包括安全需求導出、信息系統風險評估、等級保護差距評估、安全建設整體規劃和安全基線指標設計等。

安全需求導出服務的目標主要是為門戶網站導出真正的安全需求。不同網站的規模、訪問量、部署模式、政務公開信息的頻度、在線業務的重要程度都各不相同，其安全需求也就各有不同。只有對網站業務進行詳細的調研和分析，才能給出符合實際的安全需求分析。

信息系統風險評估服務、等級保護差距評估服務是結合風險評估的方法和理論，圍繞著系統所承載的具體業務，通過風險評估的方法評估系統的風險狀況，并根據系統的安全措施是否符合相應等級的安全要求來判斷系統與所定等級的差距。

Lord Kelvirl有—句名言“你不能改進你不能測量的東西”，為評價各項安全工作是否有效，并為門戶網站安全管理考核體系打下可量化考核的基礎，綠盟科技設計了安全基線指標設計服務。安全基線指標設計服務為用戶建立了可量化的安全指標體系，為未來的運維管理和自我檢查奠定了堅實的基礎，是綠盟科技在業內的獨有優勢服務。

安全實施階段安全服務

安全實施階段是等級保護“落地”的主要階段。在這個階段中，綠盟科技將以聞名業界的安全服務團隊，輔以業界領先的高端產品，為政府門戶網站構建符合等級保護要求的，嚴密的信息安全保障體系。

安全實施階段中主要包括安全解決方案設計、安全技術體系改造、安全管理體系改造、崗位培訓和應急響應演練等安全服務。

安全解決方案設計是如何將門戶網站業務安全目標和系統等級安全規劃落實的關鍵過程。綠盟科技依靠多年的方案設計經驗，將在深入理解等級保護政策、標準，分析系統業務安全需求的基礎上，為用戶提供并建立一套符合相應等級保護要求并適合門戶網站實際需求整體安全解決方案。

安全技術體系改造主要包括物理層、網絡層、應用層、主機層和數據層五個層面，對于一般網站而言，較為重要的是網絡、應用、數據三個層面。

在網絡層面，網站安全主要關注安全域劃分、入侵防范和抗拒絕服務攻擊。綠盟科技的安全域劃分服務通過對網站業務、數據流向、網絡結構等多方面因素進行專業分析，為網站劃分合理的安全域。在入侵防范方面，綠盟科技的入侵防御系統能夠抵御來自互聯網的入侵行為，而黑洞抗拒絕服務攻擊系統則能夠保證在線業務順暢進行，不致被惡意攻擊所癱瘓。此外，綠盟科技還擁有漏洞管理系統、網絡安全審計、內容安全管理等全線網絡安全產品，能夠為客戶構建嚴密、專業的網絡安全保障體系。

在應用層面，綠盟科技WEB應用防火墻能夠對WEB應用漏洞進行預先掃描，同時具備對SQL注入、跨站腳本等通過應用層的入侵動作實時阻斷，真正達到“網頁防篡改”的效果。

在數據層面，通過網絡安全域劃分，數據庫將被隱藏在安全區域，同時通過綠盟科技的安全加固服務對數據庫進行安全配置，并對數據庫的訪問權限做最為嚴格的設定，最大限度保證數據庫安全。

在安全管理體系的設計中，綠盟科技借助豐富的安全咨詢經驗和對等級保護管理要求的清晰理解，為用戶量身定做符合實際的、可操作的安全管理體系。

在安全管理體系建立完畢后，綠盟科技將提供全面的崗位培訓和有針對性的應急演練，幫助客戶掌握崗位所需的安全職責，并對未來可能發生的信息安全事件預先做好準備。

安全運行管理階段安全服務

在政府門戶網站的運行管理階段，綠盟科技建議通過內部管理人員維護和采用專業安全廠商的安全服務相結合的方式來實現。

安全服務提供商能夠為用戶提供專業的安全服務，但在日常運行工作中，安全服務提供商不可能代替用戶做所有的事情。為保證客戶的內部管理人員的安全管理工作也能夠保持專業水平，綠盟科技提出了“基于安全指標設計的配置核查”安全服務，使客戶的內部管理人員根據等級保護標準進行量化的安全指標，使用自動化工具去執行內部核查，保證了日常運行管理的專業程度。

在安全運行管理階段，還需要安全服務提供商提供的階段性風險評估服務、安全應急響應服務和協助用戶通過等級保護安全檢查工作等。

第三篇：水利部(部機關)等級保護建設整改案例

一、概述

信息系統安全等級保護工作是我國信息安全建設的必要工作，是我國信息安全保障的大勢所趨。水利部高度重視網絡與信息安全工作，2007年9月初便組織開展水利行業信息系統安全等級保護定級工作，同年12月底全面完成了信息系統等級備案工作。信息系統安全等級保護工作主要分為定級、備案、建設整改、等級測評和監督檢查等環節，現已完成定級、備案工作，下一步主要工作是建設整改。根據《關于開展信息系統等級保護安全建設整改工作的指導意見》（公信安【2009】1429號）和水利部工作的實際情況，水利部將水利網絡與信息安全系統建設作為水利信息化八大重點工程之一，并列入《全國水利信息化十二五規劃》。為此，水利部于2009年開始啟動水利部本級政務外網信息系統等級保護整改工作，進一步提高水利部政務外網信息系統的安全保障能力和防護水平，確保網絡與信息系統的安全運行。

二、整改目標

完善水利部電子政務外網安全防護體系，不斷提高水利部電子政務外網信息系統的安全保障能力和防護水平，確保網絡與信息系統的安全穩定運行，達到國家信息安全等級保護相關標準要求。保證水利部業務信息和網絡的機密性、完整性、可用性、可控性和可審計性，確保水利部整體達到信息系統第三級安全保護等級。

三、方案設計

（一）方案設計目標

水利部（部機關）等級保護建設整改是根據國家等級保護政策制度的工作方案思路，依照《信息安全技術 信息系統安全等級保護基本要求》（以下簡稱“《基本要求》”）、參照《信息安全技術 信息系統等級保護安全設計技術要求》（以下簡稱“《安全設計技術要求》”）等政策標準規范要求，結合水利部業務信息系統的實際情況以及水利部《關于印發水利網絡與信息安全體系建設基本技術要求的通知》（水文[2010]190號）相關文件要求編制總體設計方案，用于指導水利部機關安全建設整改工作。方案的總體目標是設計符合水利部實際業務應用、實際網絡信息系統運行模式和國家等級保護建設整改工作要求的總體方案，實現水利部機關政務外網的安全保護總體達到信息系統安全保護等級第三級基本要求。

（二）方案設計框架

水利部安全保障體系框架根據等級保護基本要求，參照國內外相關標準，并結合水利部已有網絡與信息安全體系建設的實際情況，最終形成依托于安全保護對象為基礎，縱向建立安全管理體系、安全技術體系、安全運行體系和安全管理中心的“三個體系，一個中心，三重防護”的安全保障體系框架。如下圖所示：

圖1：信息安全保障體系框架圖

? “三個體系”：信息安全管理體系、信息安全技術體系和信息安全運行體系，把等級保護基本要求的控制點結合水利部實際情況形成相適應的體系結構框架；

? “一個中心”：信息安全管理中心，實現“自動、平臺化”的安全工作管理、統一技術管理和安全運維管理； ? “三重防護”：安全計算環境防護措施、安全區域邊界防護措施和安全網絡通信防護措施，把安全技術控制措施與安全保護對象相結合。

（三）方案編寫思路 方案總體思路：

圖2：方案編寫總體思路

1.信息系統風險評估和等級保護差距

通過采用信息安全風險評估的方法，對水利部機關政務外網信息系統進行全面綜合分析，并深化對已經定級、備案的信息系統進行資產、脆弱性、威脅和風險綜合分析，在整體網絡框架基礎上，通過差距分析的方法與等級保護基本要求進行差距分析，形成信息系統等級保護建設整改的整體安全需求。

2.安全保障體系框架和總體安全策略

根據等級保護的整體保護框架，并結合水利部信息安全保障體系建設的實際情況，建立符合水利電子政務系統特性的安全保障體系，分別是安全管理體系、安全技術體系和安全運行體系，并制定各個體系必要的安全設計原則和安全策略。3.安全保障體系總體設計方案

結合水利部機關電子政務外網信息系統的實際應用情況，設計具體安全技術體系控制措施、安全管理體系控制措施和安全運行體系控制措施，其中：

? 安全管理體系的實現依據《基本要求》，設計了水利部機關政務外網的信息安全組織機構、人員安全管理、安全管理制度、系統建設管理及系統運維管理等控制措施；

? 安全技術體系的實現一方面重點落實《基本要求》，另一方面采用《安全設計技術要求》的思路和方法設計了安全計算環境、安全區域邊界和安全通信網絡的控制措施； ? 安全運行體系的實現根據《基本要求》，設計了符合系統全生命周期的安全需求、安全建設、安全設計與安全運維的運行體系要求，重點闡述了安全運維體系的框架和控制組成。? 安全管理中心的實現根據《基本要求》和《安全設計技術要求》，結合水利部機關已經建立的運行保障平臺，形成覆蓋安全工作管理、安全運維管理、統一安全技術管理于一體的“自動、平臺化”的安全管理中心。4.總體實施計劃

根據總體設計方案的安全保障體系要求，結合水利部機關安全建設的實際情況，預計將水利部機關政務外網信息安全保障體系建設分成兩個階段，分別是基本整改和深化完善階段。

四、整改效果

經過安全建設整改后，水利部本級政務外網信息系統將在統一的安全保護策略下，具有抵御大規模、較強惡意攻擊的能力；具有抵抗較為嚴重的自然災害的能力；具有防范計算機病毒和惡意代碼危害的能力；具有檢測、發現、報警、記錄入侵行為的能力；具有對安全事件進行響應處置、并能夠追蹤安全責任的能力；在系統遭到損害后，具有能夠較快恢復正常運行狀態的能力；對于服務保障性要求高的系統，具有能快速恢復正常運行狀態的能力；具有對系統資源、用戶、安全機制等進行集中控管的能力。

水利等級保護整改方案采用了體系化設計思路，強化了“集中”安全管理，強調了安全運維工作。該設計方案得到了等級保護專家的一致認可。目前，根據該設計的全面實施已經完成，并順利通過等級保護測評，其中三級系統最高符合度評分可達到89%（即89分），二級系統最高符合度評分可達到96%（即96分），成為截至目前國家測評機構部委備案系統等級保護測評分值最高的系統。

第四篇：信息安全等級保護安全建設整改工作情況統計表

附件 1 信息安全等級保護安全建設整改工作情況統計表
01 單位名稱 02 單位地址 姓 03 單位負責人 辦公電話 姓 04 單位聯系人 辦公電話 05 信息系統總數 第二級系統 第四級系統 移動電話 06 未定級備案信息 系統數量 第三級系統 合 計 □是 □ 否 □是 □ 否 □是 □ 否 □是 □ 否 □是 □ 否 □是 □ 否 第三級系統 合 計 名 職務/職稱 名 職務/職稱

07 已定級備案信息系 統數量

（1）是否明確主管領導、責任部門和具體負責人員（2）是否對信息系統安全建設整改工作進行總體部署 08 信 息 系統安全 建設整改 工作情況（3）是否對信息系統進行安全保護現狀分析（4）是否制定信息系統安全建設整改方案（5）是否組織開展信息系統安全建設整改工作（6）是否組織開展信息系統安全自查工作 09 已開展安全建設整 改的信息系統數量 10 已開展等級測評的 信息系統數量 11 信息系統發生安全事 件、事故數量 12 已達到等級保護要 求的信息系統數量 填表人： 第二級系統 第四級系統 第二級系統 第四級系統 第二級系統 第四級系統 第二級系統 第四級系統 審核人：

第三級系統 合 計

第三級系統 合 計

第三級系統 合 填表時間： 計 年 月 日
1

第五篇：等級保護保護整改與安全建設工作重要性

等級保護保護整改與安全建設工作重要性

依據公通字[2007]43號文的要求，信息系統定級工作完成后，運營、使用單位首先要按照相關的管理規范和技術標準進行安全建設和整改，使用符合國家有關規定、滿足信息系統安全保護等級需求的信息技術產品，進行信息系統安全建設或者改建工作。

等級保護整改的核心是根據用戶的實際信息安全需求、業務特點及應用重點，在確定不同系統重要程度的基礎上，進行重點保護。整改工作要遵循國家等級保護相關要求，將等級保護要求體現到方案、產品和安全服務中去，并切實結合用戶信息安全建設的實際需求，建設一套全面保護、重點突出、持續運行的安全保障體系，將等級保護制度確實落實到企業的信息安全規劃、建設、評估、運行和維護等各個環節，保障企業的信息安全。

啟明星辰等級保護整改與安全建設過程

啟明星辰等級保護整改與安全建設是基于國家信息系統安全等級保護相關標準和文件的要求，針對客戶已定級備案的信息系統、或打算按照等保要求進行安全建設的信息系統，結合客戶組織架構、業務要求、信息系統實際情況，通過一套規范的等保整改過程，協助客戶進行風險評估和等級保護差距分析，制定完整的安全整改建議方案，并根據需要協助客戶對落實整改實施方案或進行方案的評審、招投標、整改監理等工作，協助客戶完成信息系統等級保護整改和安全建設工作。

啟明星辰等保整改與建設過程主要包括等級保護差距分析、等級保護整改建議方案、等級保護整改實施三個階段。

(一)等級保護差距分析

1.等級保護風險評估

1)評估目的

對信息系統進行安全等級評估是國家推行等級保護制度的一個重要環節，也是對信息系統進行安全建設和管理的重要組成部分。

等級評估不同于按照等級保護要求進行的等保差距分析。風險評估的目標是深入、詳細地檢查信息系統的安全風險狀況，而差距分析則是按照等保的所有要求進行符合性檢查，檢查信息系統現狀與國家等保要求之間的符合程度?？梢哉f，風險評估的結果更能體現是客戶信息系統技術層面的安全現狀，比差距分析結果在技術上更加深入。風險評估的結果和差距分析結果都是整改建議方案的輸入。

啟明星辰通過專業的等級評估服務，協助用戶完成以下的目標：

● 了解信息系統的管理、網絡和系統安全現狀；

● 確定可能對資產造成危害的威脅；

● 確定威脅實施的可能性；

● 對可能受到威脅影響的資產確定其價值、敏感性和嚴重性，以及相應的級別，確定哪些資產是最重要的；

● 對最重要的、最敏感的資產，確定一旦威脅發生其潛在的損失或破壞；

● 明確信息系統的已有安全措施的有效性；

● 明晰信息系統的安全管理需求。

2)評估內容

● 資產識別與賦值

● 主機安全性評估

● 數據庫安全性評估

● 安全設備評估

現場風險評估用到的主要評估方法包括：

● 漏洞掃描

● 控制臺審計

● 技術訪談

3)評估分析

根據現場收集的信息及對這些信息的分析，評估小組形成定級信息系統的弱點評估報告、風險評估報告等文檔，使客戶充分了解信息系統存在的風險，作為等保差距分析的一項重要輸入，并作為后續整改建設的重要依據。

2.等保差距分析

通過差距分析，可以了解客戶信息系統的現狀，確定當前系統與相應保護等級要求之間的差距，確定不符合安全項。

1)準備差距分析表

項目組通過準備好的差距分析表，與客戶確認現場溝通的對象（部門和人員），準備相應的檢查內容。

在整理差距分析表時，整改項目組會根據信息系統的安全等級從基本要求中選擇相應等級的基本安全要求，根據及風險評估的結果進行調整，去掉不適用項，增加不能滿足客戶信息系統需求的安全要求。

差距分析表包含以下內容：

● 安全技術差距分析：包括網絡安全、主機安全、應用安全、數據安全及備份恢復；

● 安全管理差距分析：包括安全管理制度、安全管理機構、人員安全管理、系統建設管理；

● 系統運維差距分析：包括環境管理、資產管理、介質管理、監控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復管理、安全事件處置；

● 物理安全差距分析：包括物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應、電磁防護。

不同安全保護級別的系統所使用的差距分析表的內容也不同。

2)現場差距分析

整改項目組依據差距分析表中的各項安全要求，對比信息系統現狀和安全要求之間 的差距，確定不符合項。

現場工作階段，整改項目組可分為管理檢查組和技術檢查組兩個小組。

在差距分析階段，可以通過以下方式收集信息，詳細了解客戶信息系統現狀，并通過分析所收集的資料和數據，以確認客戶信息系統的建設是否符合該等級的安全要求，需要進行哪些方面的整改。

● 查驗文檔資料

● 人員訪談

● 現場測試

3)生成差距分析報告

完成現場差距分析之后，整改項目組歸納整理、分析現場記錄，找出目前信息系統與等級保護安全要求之間的差距，明確不符合項，生成《等級保護差距分析報告》。

(二)等級保護整改建議方案

1.整改目標溝通確認

通過與客戶高層領導、相關業務部門和信息安全管理部門進行廣泛的溝通協商，啟明星辰會依據風險評估和差距分析的結果，明確等級保護整改工作的工作目標，提出等級保護整改建議方案。

對暫時難以進行整改的部分內容，將在討論后作為遺留問題，明確列在整改建議方案中。

2.總體框架

根據等保安全要求，啟明星辰提出如下的安全整改建議，其中PMOT體系是信息安全保障總體框架模型。

圖 信息安全PMOT體系模型

啟明星辰根據建議方案的設計原則，協助客戶制定總體安全保障體系架構，包括制定安全策略，結合等級保護基本要求和安全保護特殊要求，來構建客戶信息系統的安全技術體系、安全管理體系及安全運維體系，具體內容包括：

● 建立和完善安全策略：最高層次的安全策略文件，闡明安全工作的使命和意愿，定義信息安全工作的總體目標。

● 安全技術體系：安全技術的保障包括網絡邊界防御、安全通信網絡、主機和應用系統安全、檢測響應體系、冗余與備份以及安全管理中心。

● 建立和完善安全管理體系：建立安全管理制度，建立信息安全組織，規范人員管理和系統建議管理?！?安全運維體系：機房安全，資產及設備安全，網絡與系統安全管理、監控和安全管理等。

展開后的等級保護整改與安全建設總體框架如下圖所示，從信息安全整體策略Policy、安全管理體系Management、安全技術體系Technology、安全運維Operation四個層面落實等級保護安全基本要求。

圖4 等級保護整改與安全建設總體框架 3.方案說明

● 信息安全策略

信息安全策略是最高管理層對信息安全的期望和承諾的表達，位于整個PMOT信息安全體系的頂層，也是安全管理體系的最高指導方針，明確了信息安全工作總體目標，對技術和管理各方面的安全工作具有通用指導性?！?安全技術體系

啟明星辰根據整改目標提出整改方案的安全技術保障體系，將保障體系框架中要求實現的網絡、主機和應用安全落實到產品功能或物理形態上，提出能夠實現的產品或組件及其具體規范，并將產品功能特征整理成文檔。使得在信息安全產品采購和安全控制開發階段具有依據，主要內容包括：網絡邊界護御、安全通信網絡、主機與應用防護體系、檢測響應體系、冗余與備份、信息安全管理中心。

● 安全管理體系

為滿足等保基本要求，應建立和完善安全管理體系，包括：完善安全制度體系、完善安全組織、規范人員管理、規范系統建設管理。

● 安全運維體系

為滿足等?；疽?，應建立和完善安全運維體系，包括：環境管理、資產管理、介質管理、設備管理、網絡與系統安全管理、系統安全管理、備份與恢復、惡意代碼防范、變更管理、信息安全事件管理等。

(三)等級保護整改實施

為了更好地協助客戶落實等保的整改工作，啟明星辰可以作為集成商、咨詢方、或者監理方，協助客戶落實整改實施方案，或協助進行整改實施方案的評審、招投標、項目監理等工作，以完成系統整改和安全建設工作。

1.制定整改實施方案

在確定整改實施的承建單位后，啟明星辰會提交相關的工程實施文檔，包括參照整改建議方案而編制的項目實施技術規劃等文檔，其中涵蓋安全建設階段的各項實施細節，主要有：

● 項目產品配置清單

● 實施設計方案

● 實施準備工作描述，實施工作步驟

● 實施風險規避方案

● 實施驗證方案

● 現場培訓方案

工程實施文檔應經客戶方的項目負責人確認后，方可進行實施。

2.整改建設實施

啟明星辰承擔項目實施的工作，確保落實客戶信息系統的安全保護技術措施，建立健全信息安全管理制度，全面貫徹落實信息安全等級保護制度。

3.整改實施項目驗收

整改實施工作完成后，啟明星辰提出驗收申請和工程測試驗收方案，由客戶審批工程測試驗收方案（驗收目標、責任雙方、驗收提交清單、驗收標準、驗收方式、驗收環境等）的符合性及可行性。

4.等級保護運維

在整改建設與實施工作完成之后，啟明星辰將協助用戶完成安全運維策略的制定，協助用戶培養專業人才，進行運行管理和控制、安全狀態監控、安全事件處置和應急、安全檢查和持續改進、等級保護測評和等級保護監督檢查的工作。