等保2.0.第十一章.等保2.0實戰（下）

接上節，繼續講解三級等保案例

XX公共資源交易中心信息化項目

可以從拓撲可以看到，有運維區，兩個服務器區（系統測試區+web服務器區），然後一個存儲區、一個用戶區、一個出口區。
分析每個區域的安全防護
防火牆：出口兩臺。兩個服務器區沒接防火牆，但是有替代方案，在覈心交換機上安裝了防火牆板卡生成很多虛擬防火牆。
上網行爲管理：部署在用戶接入區，這個也可以放在出口，形成防火牆→網絡行爲審計→IPS串聯的形式。
應用防護：數據庫審計、堡壘機（含日誌審計、運維審計、網絡管理系統）、WAF（在web服務器前面）
整體過三級比較寒酸。

新建公共資源交易中心進行着政府採購、工程招投標、產權交易、土地礦產交易等公共資源交易，交易系統和數據安全要求極高。
·信息系統遇到網絡攻擊能不能防得住？有基本防護體系
·事後能不能查到是誰幹的？可以，有網絡行爲審計、日誌審計、數據庫審計
·是否符合等保要求？基本符合，缺數據備份。
      以xx市公共資源交易中心的業務發展需求和等級保護標準爲經緯，網絡爲其設計了網絡安全一體化解決方案，能夠做到事前可疑操作預警，事中立體化防禦，事後提供第三方審計記錄追根溯源，符合等級保護的相關要求，爲解除用戶的後顧之憂，有效保障公共資源交易服務穩定運行和交易數據安全。

某政府委辦等保建設項目

這個單位從拓撲上看分兩個地點：XX辦公網，XX大廈辦公網

先看XX辦公網，有接入交換機、核心交換機、通過IPS和防火牆，接入總局辦公網
服務器區中web服務器應該加一個WAF
網絡等級保護解決方案作爲XX等保三級安全防護體系的重要組成部分，對接入網絡的用戶、終端進行了有效的安全管理，並將安全管理範圍由委局域網延伸到其各分支結構，安全策略保持一致，使得XX的信息安全水平得到了極大提升。XX也順利通過了等保三級的測評。

醫院安全等保解決方案

1背景介紹
    隨着醫療衛生體制改革的不斷深化，衛生行業信息化應用不斷普及，醫院信息系統已成爲醫療服務的重要支撐體系。其應用的安全與穩定，直接關係到醫院醫療工作的正常運行，一旦網絡癱瘓或數據丟失，將會給醫院和病人帶來巨大的災難和難以彌補的損失。同時，醫院信息系統涉及大量醫院經營和患者醫療等私密信息，信息的泄露和傳播將會給醫院、社會和患者帶來安全風險。
    在面對醫療信息泄密事件頻發的同時，國家對醫療信息化安全也越來越重視。2011年，信息安全等級保護已列入《三級綜合醫院評審標準》中信息化規範建設的重要考覈依據與指標。同年12月份，衛生部發布《衛生部辦公廳關於全面開展衛生行業信息安全等級保護工作的通知》，要求衛生行業“全面開展信息安全等級保護工作”。信息安全等級保護制度是國家信息安全保障工作的基本制度，醫療信息安全等級化建設已成爲事關國家安全、社會穩定的政治任務。
    通過建立信息安全等級保護工作長效機制，提升衛生行業信息安全防護能力、隱患發現能力、應急處置能力，爲衛生信息化健康發展提供可靠保障。

2需求分析
    醫院信息系統的穩定運行作爲支撐醫院系統運作及各部門共同合作與營運的關鍵保障，在面對安全性與易用性的衝突時，如何實現信息安全合規與醫護高效，提出如下挑戰：
2.1政策合規
    醫院信息安全建設需要符合信息安全等級保護規範的要求
    醫院信息安全體系化完善需要減少人員或精力的投入
2.2符合醫院的實際應用環境
    等級化安全建設能滿足醫院業務應用穩定與高效的要求。
    安全網絡架構需要保證業務發展的可拓展性和延伸性。
2.3有效的運維管理
    安全運營需要降低管理難度
    安全設備及控制策略維護不要增加工作量
2.4解決方案概述
    解決方案拓撲架構一：物理隔離

兩張網，用綠色虛線隔開。
這個方案隔離了內外網，因此不能從外網直接進行預約掛號等需要訪問內部服務器的操作，解決方案是把網閘換成兩個防火牆，兩個防火牆中間放前置機。前置機的數據實時交互性比網閘好得多。
    解決方案拓撲架構二：整合網絡

這個方案從外網可以直通服務器區，有一定風險，建議在服務器前面設置前置機。
這個方案比較方便一些，可以從外網運行掛號預約等業務。

XX交警等級保護（三級）建設方案

目錄

1項目概述…1
2等級保護建設流程…2
3方案參照標準…4
4信息系統定級備案…5
    4.1信息系統定級…5
    4.2信息系統備案…6
5系統安全需求分析…8
6安全風險與差距分析…12
    6.1物理安全風險與差距分析…12
    6.2計算環境安全風險與差距分析…12
    6.3區域邊界安全風險與差距分析…14
    6.4通信網絡安全風險與差距分析…15
7技術體系方案設計…17.
    7.1方案設計目標…17
    7.2方案設計框架…17
    7.3安全域的劃分…18
        7.3.1安全域劃分的依據…18
        7.3.2安全域劃分與說明…19
    7.4安全技術體系設計…19
        7.4.1機房與配套設備安全設計…19
        7.4.2計算環境安全設計…21
        7.4.3區絨邊界安全設計…28
        7.4.4通信網絡安全設計…30
        7.4.5安全管理中心設計…33
8安全管理體系設計…37
9系統集成設計…39
    9.1軟硬件產品部署圖…39
    9.2安全產品部署說明…41
    9.3產品選型…43
        9.2.1選型建議…43
        9.2.2選型要求…43

1項目概述

    隨着信息化的發展，XX交警隊的業務開展也越來越依託於網絡平臺，但縱觀當前的安全形勢，各種安全事件層出不窮，而XX交警隊目前的網絡中，安全設備較少，以前買的安全設備由於網絡帶寬升級，使用耗損等，其性能也漸漸不能滿足XX交警隊目前的網絡安全需求，嚴重製約了XX交警隊的信息化腳步。因此XX交警隊希望加快信息化建設，實現電子辦公，執法信息網絡公開化等。
    通過對XX交警隊信息化現狀調研、分析，結合等級保護在物理安全、網絡安全、主機安全、應用安全、數據安全、安全管理制度、安全管理機構、人員安全、系統建設、系統運維十個方面的要求，逐步完善信息安全組織、落實安全責任制，開展管理制度建設、技術措施建設，落實等級保護制度的各項要求，使得單位信息系統安全管理水平明顯提高，安全保護能力明顯增強，安全隱患和安全事故明顯減少，有效保障信息化健康發展。

2等級保護建設流程

    整體的安全保障體系包括技術和管理兩大部分，其中技術部分根據《信息系統安全等級保護基本要求》分爲物理安全、網絡安全、主機安全、應用安全、數據安全五個方面進行建設；而管理部分根據《信息系統安全等級保護基本要求》則分爲安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理五個方面。
    整個安全保障體系各部分既有機結合，又相互支撐。之間的關係可以理解爲“構建安全管理機構，制定完善的安全管理制度及安全策略，由相關人員，利用技術工手段及相關工具，進行系統建設和運行維護。
    根據等級化安全保障體系的設計思路，等級保護的設計與實施通過以下步驟進行：
    1.系統識別與定級：確定保護對象，通過分析系統所屬類型、所屬信息類別、服務範圍以及業務對系統的依賴程度確定系統的等級。通過此步驟充分了解系統狀況，包括系統業務流程和功能模塊，以及確定系統的等級，爲下一步安全域設計、安全保障體系框架設計、安全要求選擇以及安全措施選擇提供依據。
    2.安全域設計：根據第一步的結果，通過分析系統業務流程、功能模塊，根據安全域劃分原則設計系統安全域架構。通過安全域設計將系統分解爲多個層次，爲下一步安全保障體系框架設計提供基礎框架。
    3.確定安全域安全要求：參照國家相關等級保護安全要求，設計不同安全域的安全要求。通過安全域適用安全等級選擇方法確定系統各區域等級，明確各安全域所需採用的安全指標。
    4.評估現狀：根據各等級的安全要求確定各等級的評估內容，根據國家相關風險評估方法，對系統各層次安全域進行有針對性的等級風險評估。並找出系統安全現狀與等級要求的差距，形成完整準確的按需防禦的安全需求。通過等級風險評估，可以明確各層次安全域相應等級的安全差距，爲下一步安全技術解決方案設計和安全管理建設提供依據。
    5.安全保障體系方案設計：根據安全域框架，設計系統各個層次的安全保障體系框架以及具體方案。包括：各層次的安全保障體系框架形成系統整體的安全保障體系框架；詳細安全技術設計、安全管理設計。
    6.安全建設：根據方案設計內容逐步進行安全建設，滿足方案設計做要符合的安全需求，滿足等級保護相應等級的基本要求，實現按需防禦。
    7.持續安全運維：通過安全預警、安全監控、安全加固、安全審計、應急響應等，從事前、事中、事後三個方面進行安全運行維護，確保系統的持續安全，滿足持續性按需防禦的安全需求。
    通過如上步驟，系統可以形成整體的等級化的安全保障體系，同時根據安全術建設和安全管理建設，保障系統整體的安全。而應該特別注意的是：等級保護不是一個項目，它應該是一個不斷循環的過程，所以通過整個安全項目、安全服務的實施，來保證用戶等級保護的建設能夠持續的運行，能夠使整個系統隨着環境的變化達到持續的安全。

方案參照標準（略）

4信息系統定級備案

4.1信息系統定級

確定信息系統安全保護等級的一般流程如下：
·識別單位基本信息
    瞭解單位基本信息有助於判斷單位的職能特點，單位所在行業及單位在行業所處的地位和所用，由此判斷單位主要信息系統的宏觀定位。
·識別業務種類、流程和服務
    應重點了解定級對象信息系統中不同業務系統提供的服務在影響履行單位職能方面具體方式和程度，影響的區域範圍、用戶人數、業務量的具體數據以及對本單位以外機構或個人的影響等方面。這些具體數據即可以爲主管部門制定定級指導意見提供參照，也可以作爲主管部門審批定級結果的重要依據。
·識別信息
    調查瞭解定級對象信息系統所處理的信息，瞭解單位對信息的三個安全屬性的需求，瞭解不同業務數據在其保密性、完整性和可用性被破壞後在單位職能、單位資金、單位信譽、人身安全等方面可能對國家、社會、本單位造成的影響，對影響程度的描述應儘可能量化。
·識別網絡結構和邊界
    調查瞭解各系統的管理用戶和一般用戶，內部用戶和外部用戶，本地用戶和遠程用戶等類型，瞭解用戶或用戶羣的數量分佈，判斷系統服務中斷或系統信息被破壞可能影響的範圍和程度。
·根據信息安全等級矩陣表，形成定級結果
業務信息安全等級矩陣表

系統服務安全等級矩陣表

    根據上述定級流程，XX交警隊各主要系統定級結果爲：3級

4.1.1定級結果

    根據上述定級流程，XX交警隊各主要系統定級結果爲：

4.2信息系統備案

    依據《信息系統安全等級保護定級指南》，確定信息系統的等級後，準備定級備案表和定級報告，協助用戶單位向所在地區的公安機關辦理備案手續。
    第二級以上信息系統，在安全保護等級確定後30日內，由其運營、使用單位到所在地設區的市級以上公安機關辦理備案手續。運營使用單位或主管部門在備案時應填寫《信息系統安全等級保護備案表》（以下簡稱《備案表》）提交有關備案材料及電子數據文件。定級工作的結果是以備案完成爲標誌。
    受理備案的公安機關要公佈備案受理地點、備案聯繫方式等。在受理備案時，應對提交的備案材料進行完整性審覈和定級準確性審覈。對符合等級保護要求的，應頒發信息系統安全等級保護備案證明。發現定級不準的，通知備案單位重新審覈確定。

5系統安全需求分析

    信息安全是指信息網絡的硬件、軟件及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，信息服務不中斷，信息安全包括了保密性、完整性、可用性等特性，本方案將XX交警隊公共服務平臺從信息安全方面展開需求分析，使系統達到：在統一安全策略下防護系統免受來自外部有組織的團體、擁有較爲豐富資源的威脅源發起的惡意攻擊、較爲嚴重的自然災難，以及其他相當危害程度的威脅所造成的主要資源損害，能夠發現安全漏洞和安全事件，在系統遭受損害後，能夠較快恢復絕大部分功能。
    隨着信息化建設的不斷推進，網絡安全成爲業務開展過程最重要的一環，對安全的特殊需求實際上就是要合理地解決網絡開放性與安全性之間的矛盾。在確保單位信息暢通的基礎上，有效阻止非法訪問和攻擊對系統的破壞。
    安全風險特徵主要取決於兩個方面：一是其資產價值，二是其運行環境。安全風險主要來自網絡、主機、應用和數據四個方面，從XX交警隊當前網絡整體安全角度出發，需要重點關注如下幾個方面的安全建設：
◆終端感染木馬、病毒
    病毒、木馬、蠕蟲仍是局外網面臨的最爲迫切的安全防護需求，病毒木馬蠕蟲對終端的危害可能導致終端系統癱瘓、終端被控制、終端存儲的信息被竊取、終端被引導訪問釣魚網站、終端成爲僵異網絡甚至於終端被控制之後形成跳板攻擊危害到終端具有權限訪問的各類服務器。
◆終端系統漏洞
    終端感染病毒、木馬、蠕蟲等威脅是終端面臨的主要威脅之一。而終端系統層面的漏洞被利用，會導致終端更嚴重的風險，比如終端被控制成爲黑客攻擊的跳板，或者終端成爲殭屍網絡的一部分，隨時有可能發起針對內網的攻擊。
◆APT攻擊不斷滲透
    隨着“火焰"蠕蟲的爆發，高級持續性威脅（APT攻擊）受到業內的關注。APT被稱爲高級持續性威脅，它是對特定目標進行長期、持續性網絡入侵的攻擊形式。在發動攻擊之前，黑客會對攻擊對象的業務流程和目標系統進行精確的情報收集，主動挖掘被攻擊對象各種業務系統和應用程序的漏洞，並利用這些漏洞進入單位網絡內部竊取所需的信息、產生特定的破壞。互聯網出口往往是APT攻擊切入的第一扇門，他們往往容易被黑客滲透之後對內網發起橫向轉移的攻擊導致敏感信息被竊取、系統被控制所有行爲都暴露在黑客的視野裏。

◆系統漏洞風險問題·
    黑客利用服務器操作系統漏洞、應用軟件漏洞通過緩衝區溢出、惡意蠕蟲、病毒等漏洞攻擊，獲取服務器權限、使服務器癱瘓導致服務器、存儲等資源被攻擊的問題。
◆應用層攻擊問題
    根據Gartner的統計報告顯示，信息安全攻擊有75%都是發生在Web應用層，針對web的攻擊往往隱藏在大量的正常業務訪問的行爲中，傳統的安全設備在應用層攻擊防護上存在嚴重不足。
◆敏感信息泄漏問趣
    這類安全問題主要利用web攻、系統漏洞攻擊等攻擊手段操作後臺數據庫，導致數據庫中儲存的用戶資料、身份證信息、賬戶信息，信用卡信息、聯繫方式等敏感信息被攻擊者獲取，從而產生巨大的經濟損失。
◆帶寬效率風險
    隨着聯網的普及，XX交警隊的業務大多依託於互聯網開展。但是在單位內部除了一些關鍵業務系統外，P2P下載、網絡炒股、遊戲、視頻等非關鍵業務應用同樣共存着，形成了複雜的網絡應用“脈絡"。XX交警隊通過租用運營商處的帶寬滿足業務需求，租用的帶寬資源是有限的，如果不能對有限的使寬查源進行合理有效的管控；一方面用戶的訪問速度慢、訪問體驗得不到效地滿足，另一方面造成帶寬資源利用率低的問題，因此XX交警隊亟需一個方案解決帶寬效率風險問題。
◆工作效率風險
    網絡的普及改變了XX交警隊的辦公方式，而單位內總有部分用戶在上班時間有意無意做與工作無關的網絡行爲，比如聊天、炒股、玩網遊、看視頻等，將辦公室變成免費網吧，影響工作效率，從長遠來看，會給XX交警隊帶來很大的財力損失，從而導致競爭力的下降。
◆法律風險
    目前，網絡的違規違法事件越來越多，國家對於違規違法事件打擊的力度越來越大，公安部82號令明文規定，凡是接入互聯網的單位都必須具備審計的功能，記錄用戶的上網行爲。單位職員通過組織網絡，在論壇和博客發表反動、藏獨等不負責任的言論，在QQ、MSN等聊天過程中傳播不雅信息，都屬於網絡的違規違法行爲，一旦被公安部門查處，單位會因此而遭受法律的制裁。
◆安全快速的移動接入
    移動互聯網技術的發展，使得單位辦公方式多樣化，部分領導出差或者員工不在辦公區需要臨時接入單位內網完成業務交付的需求越來越普遍。網絡是信息化數據傳輸的載體，物聯網的建設基礎是互聯網。目前的WEB2.0時代使得互聯網的傳輸平臺傳輸着各種各樣的數據，互聯網環境是一個沒有太多規章制度來管理的大平臺，如此一來，如果把單位內部十分重要的信息數據傳輸在這個互聯網環境，很有可能會被黑客攻擊竊取、篡改，也有可能遭到互聯網中的威脅因素的侵害，影響網絡辦公。爲了實現人們的遠程辦公，需要保證人員外出時可以安全訪問單位內部網絡進行日常操作，並確保數據的安全。因此必須在選擇方法時，充分考慮多種接入方式以及各個接入方式的安全性，確保移動用戶在接入內部網絡時全面的安全保障。
◆業務穩定性需求。
    XX交警隊公共服務平臺業務系統承載於服務器，隨着訪問用戶數量的增加，給單位的服務器帶來越來越大的壓力，如何有效的保證客戶訪問的速度和穩定性是目前XX交警隊網絡改造的重要目標。

6安全風險與差距分析

6.1物理安全風險與差距分析

    物理安全風險主要是指網絡周邊的環境和物理特性引起的網絡設備和線路的不可使用，從而會造成網絡系統的不可使用，甚至導致整個網絡的癱瘓。它是整個網絡系統安全的前提和基礎，只有保證了物理層的可用性，才能使得整個網絡的可用性，進而提高整個網絡的抗破壞力。例如：
    ·機房缺乏控制，人員隨意出入帶來的風險；
    ·網絡設備被盜、被毀壞；
    ·線路老化或是有意、無意的破壞線路；
    ·設備在非預測情況下發生故障、停電等；
    ·自然災害如地震、水災、火災、雷擊等；
    ·電磁干擾等。
    因此，在通盤考慮安全風險時，應優先考慮物理安全風險。保證網絡正常運行的前提是將物理層安全風險降到最低或是儘量考慮在非正常情況下物理層出現風險問題時的應對方案。
6.2計算環境安全風險與差距分析
    計算環境的安全主要指主機以及應用層面的安全風險與需求分析，包括：身份鑑別、訪問控制、系統審計、入侵防範、惡意代碼防範、軟件容錯、數據完整性與保密性、備份與恢復、資源合理控制、剩餘信息保護、抗抵賴等方面。
·身份鑑別
    身份鑑別包括主機和應用兩個方面。
    主機操作系統登錄、數據庫登陸以及應用系統登錄均必須進行身份驗證。過於簡單的標識符和口令容易被窮舉攻擊破解。同時非法用戶可以通過網絡進行竊聽，從而獲得管理員權限，可以對任何資源非法訪問及越權操作。因此必須提高用戶名/口令的複雜度，且防止被網絡竊聽；同時應考慮失敗處理機制。
·訪問控制
    訪問控制包括主機和應用兩個方面。
    訪問控制主要爲了保證用戶對主機資源和應用系統資源的合法使用。非法用戶可能企圖假冒合法用戶的身份進入系統，低權限的合法用戶也可能企圖執行高權限用戶的操作，這些行爲將給主機系統和應用系統帶來了很大的安全風險。用戶必須擁有合法的用戶標識符，在制定好的訪問控制策略下進行操作，杜絕越權非法操作。
·系統審計
    系統審計包括主機審計和應用審計兩個方面。
    對於登陸主機後的操作行爲則需要進行主機審計。對於服務器和重要主機需要進行嚴格的行爲控制，對用戶的行爲、使用的命令等進行必要的記錄審計，便於日後的分析、調查、取證，規範主機使用行爲。而對於應用系統同樣提出了應用審計的要求，即對應用系統的使用行爲進行審計。重點審計應用層信息，和業務系統的運轉流程息息相關。能夠爲安全事件提供足夠的信息，與身份認證與訪問控制聯繫緊密，爲相關事件提供審計記錄。
·入侵防範
    主機操作系統面臨着各類具有針對性的入侵威脅，常見操作系統存在着各種安全漏洞，並且現在漏洞被發現與漏洞被利用之間的時間差變得越來越短，這就使得操作系統本身的安全性給整個系統帶來巨大的安全風險，因此對於主機操作系統的安裝，使用、維護等提出了需求，防範針對系統的入侵行爲。
·軟件容錯
    軟件容錯的主要目的是提供足夠的冗餘信息和算法程序，使系統在實際運行時能夠及時發現程序設計錯誤，採取補救措施，以提高軟件可靠性，保證整個計算機系統的正常運行。
·數據安全
    主要指數據的完整性與保密性。數據是信息資產的直接體現。所有的措施最終無不是爲了業務數據的安全。因此數據的備份十分重要，是必須考慮的問題。應採取措施保證數據在傳輸過程中的完整性以及保密性；保護鑑別信息的保密性。
·備份與恢復
    數據是信息資產的直接體現。所有的措施最終無不是爲了業務數據的安全。
    因此數據的備份十分重要，是必須考慮的問題。對於關鍵數據應建立數據的備份機制，而對於網絡的關鍵設備、線路均需進行冗餘配置，備份與恢復是應對突發事件的必要措施。·資源合理控制I資源合理控制包括主機和應用兩個方面。
    主機系統以及應用系統的資源是有限的，不能無限濫用。系統資源必須能夠爲正常用戶提供資源保障。否則會出現資源耗盡、服務質量下降甚至服務中斷等後果。因此對於系統資源進行控制，制定包括：登陸條件限制、超時鎖定、用戶可用資源閥值設置等資源控制策略。
·6.3區域邊界安全風險與差距分析
    區域邊界的安全主要包括：邊界訪問控制、邊界完整性檢測、邊界入侵防範以及邊界安全審計等方面。
·邊界訪問控制
    XX交警隊公共服務平臺業務系統可劃分爲如下邊界：互聯網接入邊界、對外發布邊界
    對於各類邊界最基本的安全需求就是訪問控制，對進出安全區域邊界的數據信息進行控制，阻止非授權及越權訪問。
·邊界完整性檢測
    邊界的完整性如被破壞則所有控制規則將失去效力，因此需要對內部網絡中出現的內部用戶未通過准許私自聯到外部網絡的行爲進行檢查，維護邊界完整性。
·邊界入侵防範
    各類網絡攻擊行爲既可能來自於大家公認的互聯網等外部網絡，在內部也同樣存在。通過安全措施，要實現主動阻斷針對信息系統的各種攻擊，如病毒、木馬、間課軟件、可疑代碼、端口掃描、DoS/DDoS等，實現對網絡層以及業務系統的安全防護，保護核心信息資產的免受攻擊危害。
·邊界安全審計
    在安全區域邊界需要建立必要的審計機制，對進出邊界的各類網絡行爲進行記錄與審計分析，可以和主機審計、應用審計以及網絡審計形成多層次的審計系統。並可通過安全管理中心集中管理。

·6.4通信網絡安全風險與差距分析

    通信網絡的安全主要包括：網絡結構安全、網絡安全審計、網絡設備防護、通信完整性與保密性等方面。
·網絡結構
    網絡結構是否合理直接影響着是否能夠有效的承載業務需要。因此網絡結構需要具備一定的冗餘性；帶寬能夠滿足業務高峯時期數據交換需求；併合理的劃分網段和VLAN。
·網絡安全審計
    由於用戶的計算機相關的知識水平參差不齊，一旦某些安全意識薄弱的管理用戶誤操作，將給信息系統帶來致命的破壞。沒有相應的審計記錄將給事後追查帶來困難。有必要進行基於網絡行爲的審計。從而威懾那些心存僥倖、有惡意企圖的少部分用戶，以利於規範正常的網絡應用行爲。
·網絡設備防護
    由於XX交警隊公共服務平臺業務系統中將會使用大量的網絡設備，如交換機、防火牆、入侵檢測設備等。這些設備的自身安全性也會直接關係到涉密網和各種網絡應用的正常運行。如果發生網絡設備被不法分子攻擊，將導致設備不能正常運行。更加嚴重情況是設備設置被篡改，不法分子輕鬆獲得網絡設備的控制權，通過網絡設備作爲跳板攻擊服務器，將會造成無法想象的後果。例如，交換機口令泄漏、防火牆規則被篡改、入侵檢測設備失靈等都將成爲威脅網絡系統正常運行的風險因素。·通信完整性與保密性
    由於網絡協議及文件格式均具有標準、開發、公開的特徵，因此數據在網上存儲和傳輸過程中，不僅僅面臨信息丟失、信息重複或信息傳送的自身錯誤，而且會遭遇信息攻擊或欺詐行爲，導致最終信息收發的差異性。因此，在信息傳輸和存儲過程中，必須要確保信息內容在發送、接收及保存的一致性；並在信息遭受篡改攻擊的情況下，應提供有效的察覺與發現機制，實現通信的完整性。
    而數據在傳輸過程中，爲能夠抵禦不良企圖者採取的各種攻擊，防止遭到竊取，應採用加密措施保證數據的機密性。
·網絡可信接入
    對於一個不斷髮展的網絡而言，爲方便辦公，在網絡設計時保留大量的接入端口，這對於隨時隨地快速接入到XX交警隊公共服務平臺業務系統網絡進行辦公是非常便鏈的，但同時也引入了安全風險，一旦外來用戶不加阻欄的接入到網絡中來，就有可能破環網絡的安全邊界，使得外來用戶具備對網絡進行破壞的條件，由此而引入諸如蠕蟲擴散、文件泄密等安全問題。因此需要對非法客戶端實現禁入，能監控網絡，對於沒有合法認證的外來機器，能夠阻斷其網絡訪問，保護好已經建立起來的安全環境。

7技術體系方案設計

7.1方案設計目標

    三級系統安全保護環境的設計目標是：落實GB17859-1999對三級系統的安全保護要求，在三級安全保護環境的基礎上，通過實現基於安全策略模型和標記的強制訪問控制以及增強系統的審計機制，使得系統具有在統一安全策略管控下，保護敏感資源的能力。
    通過爲滿足物理安全、網絡安全、主機安全、應用安全、數據安全五個方面基本技術要求進行技術體系建設；爲滿足安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理五個方面基本管理要求進行管理體系建設。使得XX交警隊公共服務平臺業務系統等級保護建設方案最終既可以滿足等級保護的相關要求，又能夠全方面爲系統提供立體、縱深的安全保障防禦體系，保證信息系統整體的安全保護能力。

7.2方案設計框架。

    根據《信息系統安全等級保護基本要求》，分爲技術和管理兩大類要求，具體如下圖所示：

    本方案將嚴格根據技術與管理要求進行設計。首先應根據本級具體的基本要求設計本級系統的保護環境模型，根據《信息系統等級保護安全設計技術要求》，保護環境按照安全計算環境、安全區域邊界、安全通信網絡和安全管理中心進行設計，內容涵蓋基本要求的5個方面。

7.3安全域的劃分

7.3.1安全域劃分的依據

    對大型信息系統進行等級保護，不是對整個系統進行同一等級的保護，而是針對系統內部的不同業務區域進行不同等級的保護。因此，安全域劃分是進行信息安全等級保護的首要步驟。
    安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系統內根據信息的性質、使用主體、安全目標和策略等元素的不同來劃分的不同邏輯子網或網絡，每一個邏輯區域有相同的安全保護需求，具有相同的安全訪問控制和邊界控制策略，區域間具有相互信任關係，而且相同的網絡安全域共享同樣的安全策略。當然，安全域的劃分不能單純從安全角度考慮，而是應該以業務角度爲主，輔以安全角度，並充分參照現有網絡結構和管理現狀，才能以較小的代價完成安全域劃分和網絡梳理，而又能保障其安全性。對信息系統安全域（保護對象）的劃分應主要考慮如下方面因素：
1.業務和功能特性
    ·業務系統邏輯和應用關聯性
    ·業務系統對外連接：對外業務，支撐，內部管理
2.安全特性的要求
    ·安全要求相似性：可用性、保密性和完整性的要求，如有保密性要求的資產單獨劃區域。
    ·威脅相似性：威脅來源、威脅方式和強度，如第三方接入區單獨劃區域。·資產價值相近性：重要與非重要資產分離，如核心生產區和管理終端區分離。
3.參照現有狀況
    ·現有網絡結構的狀況：現有網絡結構、地域和機房等。
    ·參照現有的管理部門職權劃分。
7.3.2安全域劃分與說明
    根據XX交警隊公共服務平臺業務系統的實際情況，將安全域劃分爲如下幾個：
    ·互聯網接入域：互聯網接入域主要爲內網用戶部分和業務應用部分提供互聯網接入訪問支撐。
    ·對外發布服務域：業務人員提供業務系統的訪問。

7.4安全技術體系設計

7.4.1機房與配套設備安全設計

    機房與配套設備安全策略的目的是保護網絡中計算機網絡通信有一個良好的電磁兼容工作環境，並防止非法用戶進入計算機控制室和各種偷竊、破壞活動的發生。
·機房選址
    機房和辦公場地選擇在具有防震、防風和防雨等能力的建築內。機房場地應避免設在建築物的高層或地下室，以及用水設備的下層或隔壁。
·機房管理
    機房出入口安排專人值守，控制、鑑別和記錄進入的人員；
    需進入機房的來訪人員須經過申請和審批流程，並限制和監控其活動範圍；
    對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域；
    重要區域應配置電子門禁系統，控制、鑑別和記錄進入的人員。
·機房環境
    合理規劃設備安裝位置，應預留足夠的空間作安裝、維護及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關標準規定。機房門大小應滿足系統設備安裝時運輸需要。機房牆壁及天花板應進行表面處理，防止塵埃脫落，機房應安裝防靜電活動地板。
    機房安裝防雷和接地線，設置防雷保安器，防止感應雷，要求防雷接地和機房接地分別安裝，且相隔一定的距離；機房設置火災自動消防系統，能夠自動檢測火情、自動報警，並自動滅火；機房及相關的工作房間和輔助房應採用具有耐火等級的建築材料；機房應採取區域隔離防火措施，將重要設備與其他設備隔離開。配備空調系統，以保持房間恆溼、恆溫的工作環境；在機房供電線路上配置穩壓器和過電壓防護設備；提供短期的備用電力供應，滿足關鍵設備在斷電情況下的正常運行要求。設置冗餘或並行的電力電纜線路爲計算機系統供電；建立備用供電系統。鋪設線纜要求電源線和通信線纜隔離鋪設，避免互相干擾。對關鍵設備和磁介質實施電磁屏蔽。
·設備與介質管理
    爲了防止無關人員和不法分子非法接近網絡並使用網絡中的主機盜取信息、破壞網絡和主機系統、破壞網絡中的數據的完整性和可用性，必須採用有效的區域監控、防盜報警系統，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴格的出入管理制度和環境監控制度，以保障區域監控系統和環境監控系統的有效運行。對介質進行分類標識，存儲在介質庫或檔案室中。利用光、電等技術設置機房防盜報警系統；對機房設置監控報警系統。

7.4.2計算環境安全設計

7.4.2.1身份鑑別

    身份鑑別可分爲主機身份鑑別和應用身份鑑別兩個方面；
主機身份鑑別：
    爲提高主機系統安全性，保障各種應用的正常運行，對主機系統需要進行一系列的加固措施，包括：
    ·對登錄操作系統和數據庫系統的用戶進行身份標識和鑑別，且保證用戶名的唯一性。
    ·根據基本要求配置用戶名/口令；口令必須具備採用3種以上字符、長度不少於8位並定期更換；
    ·啓用登陸失敗處理功能，登陸失敗後採取結束會話、限制非法登錄次數和自動退出等措施。
    ·遠程管理時應啓用SSH等管理方式，加畜管理數據，防止被網絡竊聽。
    ··對主機管理員登錄進行雙因素認證方式，採用USBkey+密碼進行身份鑑別
應用身份鑑別：
    ·爲提高應用系統系統安全性應用系統需要進行一系列的加固措施，包括：
    ·對登錄用戶進行身份標識和鑑別，且保證用戶名的唯一性。
    ·根據基本要求配置用戶名/口令，必須具備一定的複雜度；口令必須具備採用3種以上字符、長度不少於8位並定期更換；
    啓用登陸失敗處理功能，登陸失敗後採取結束會話、限制非法登錄次數和自動退出等措施。
    應用系統如具備上述功能則需要開啓使用，若不具備則需進行相應的功能開發，且使用效果要達到以上要求。
    對於三級系統，要求對用戶進行兩種或兩種以上組合的鑑別技術，因此可採用雙因素認證（USBkey+密碼）或者構建PKI體系，採用CA證書的方式進行身份鑑別。
    ·典型產品推薦：遠程用戶登錄使用深信服SSL VPN

7.4.2.2訪問控制

    三級系統一個重要要求是實現自主訪問控制和強制訪問控制。自主訪問控制實現：在安全策略控制範圍內，使用戶對自己創建的客體具有各種訪問操作權限，並能將這些權限的部分或全部授予其他用戶；自主訪問控制主體的粒度應爲用戶級，客體的粒度應爲文件或數據庫表級；自主訪問操作應包括對客體的創建、讀、寫、修改和刪除等。強制訪問控制實現：在對安全管理員進行嚴格的身份鑑別和權限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記：應按安全標記和強制訪問控制規則，對確定主體訪問客體的操作進行控制；強制訪問控制主體的粒度應爲用戶級，客體的粒度應爲文件或數據庫表級。
    由此主要控制的是對應用系統的文件、數據庫等資源的訪問，避免越權非法使用。採用的措施主要包括：
    啓用訪問控制功能：制定嚴格的訪問控制安全策略，根據策略控制用戶對應用系統的訪問，特別是文件操作、數據庫訪問等，控制粒度主體爲用戶級、客體爲文件或數據庫表級。
    權限控制：對於制定的訪問控制規則要能清楚的覆蓋資源訪問相關的主體、客體及它們之間的操作。對於不同的用戶授權原則是進行能夠完成工作的最小化授權，避免授權範圍過大，並在它們之間形成相互制約的關係。
    賬號管理：嚴格限制默認帳戶的訪問權限，重命名默認帳戶，修改默認口令；及時刪除多餘的、過期的帳戶，避免共享帳戶的存在。
    訪問控制的實現主要採取兩種方式：採用安全操作系統，或對操作系統進行安全增強改造，且使用效果要達到以上要求。

7.4.2.3系統安全審計

    系統審計包含主機審計租應用審計兩個層面.
主機審計：
    部署終端安全管理系統，啓用主機審計功能，或部署主機審計系統，實現對主機監控、審計和系統管理等功能。
    監控功能包括服務監控、進程監控、硬件操作監控、文件系統監控、打印機監控、非法外聯監控、計算機用戶賬號監控等。
    審計功能包括文件操作審計、外掛設備操作審計、非法外聯審計、IP地址更改審計、服務與進程審計等。審計範圍覆蓋到服務器上的每個操作系統用戶和數據庫用戶；內容包括重要用戶行爲、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件；審計記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等；保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。同時，根據記錄的數據進行統計分析，生成詳細的審計報表。
    系統管理功能包括系統用戶管理、主機監控代理狀態監控、安全策略管理、主機監控代理升級管理、計算機註冊管理、實時報警、歷史信息查詢、統計與報表等。
應用審計：
    應用層安全審計是對業務應用系統行爲的審計，需要與應用系統緊密結合，此審計功能應與應用系統統一開發。
    應用系統審計功能記錄系統重要安全事件的日期、時間、發起者信息、類型、描述和結果等，並保護好審計結果，阻止非法刪除、修改或覆蓋審計記錄。同時能夠對記錄數據進行統計、查詢、分析及生成審計報表。
    部署數據庫審計系統對用戶行爲、用戶事件及系統狀態加以審計，範圍覆蓋到每個用戶，從而把握數據庫系統的整體安全。
    應用系統如具備上述功能則需要開啓使用，若不具備則需進行相應的功能開發，且使用效果要達到以上要求。

7.4.2.4入侵防範

    針對入侵防範主要體現在主機及網絡兩個層面。
    針對主機的入侵防範，可以從多個角度進行處理：
    ·入侵檢測系統可以起到防範針對主機的入侵行爲；
    ·部署漏洞掃描進行系統安全性檢測；
    ·部署終端安全管理系統，開啓補丁分發功能模塊及時進行系統補丁升級；
    ·操作系統的安裝遵循最小安裝的原則，僅安裝需要的組件和應用程序，關閉多餘服務等；
    ·另外根據系統類型進行其它安全配置的加固處理。

7.4.2.5主機惡意代碼防範

    各類惡意代碼尤其是病毒、木馬等是對XX交警隊公共服務平臺業務系統的重大危害，病毒在爆發時將使路由器、3層交換機、防火牆等網關設備性能急速下降，並且佔用整個網絡帶寬。
    針對病毒的風險，我們建議重點是將病毒消滅或封堵在終端這個源頭上，在所有終端主機和服務器上部署網絡防病毒系統，加強終端主機的病毒防護能力並及時升級悉意代碼軟件版本以及惡意代碼庫。
    在XX交警隊安全管理安全域中，可以部署防病毒服務器，負責制定和終端主機防病毒策略，在內網建立全網統一的一級升級服務器，由管理中心升級服務器通過互聯網或手工方式獲得最新的病毒特徵庫，分發到數據中心節點的各個終端服務器。在網絡邊界通過防火牆進行基於通信端口、帶寬、連接數量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發時的大流量衝擊。同時，防毒系統可以爲安全管理平臺提供關於病毒威脅和事件的監控、審計日誌，爲全網的病毒防護管理提供必要的信息。

7.4.2.6軟件容錯

    軟件容錯的主要目的是提供足夠的冗餘信息和算法程序，使系統在實際運行時能夠及時發現程序設計錯誤，採取補救措施，以提高軟件可靠性，保證整個計算機系統的正常運行。因此在應用系統軟件設計時要充分考慮軟件容錯設計，包括：
    提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；
    具備自保護功能，在故障發生時，應用系統應能夠自動保存當前所有狀態，確保系統能夠進行恢復。

7.4.2.7數據完整性與保密性

    目前，XX交警隊辦公中傳輸的信息主要是涉密類型的數據，對信息完整性校驗提出了一定的需求。
    在外網接入系統中，將採用消息摘要機制來確保完整性校驗，其方法是：發送方使用散列函數（如SHA、MD5等）對要發送的信息進行摘要計算，得到信息的鑑別碼，連同信息一起發送給接收方，將信息與信息摘要進行打包後插入身份鑑別標識，發送給接收方。接收方對接收到的信息後，首先確認發送方的身份信息，解包後，重新計算，將得到的鑑別碼與收到的鑑別碼進行比較，若二者相同，則可以判定信息未被篡改，信息完整性沒有受到破壞。通過上述方法，可以滿足應用系統對於信息完整性校驗的需求。而對於用戶數據特別是身份鑑別信息的數據保密，應用系統採用密碼技術進行數據加密實現鑑別信息的存儲保密性。
    在傳輸過程中主要依靠VPN系統可以來保障數據包的數據完整性、保密性、可用性。目前VPN的組建主要採用兩種方式，基於IPSEC協議的VPN以及基於SSL協議的VPN。
    IPSec VPN 適用於組建 site-to-site形態的虛擬專有網絡，IPSEC協議提供的安全服務包括：
    保密性——IPSec在傳輸數據包之前將其加密.以保證數據的保密性。
    完整性一—IPSec在目的地要驗證數據包，以保證該數據包任傳輸過程中沒有被修改或替換。完整性校驗是IPSECVPN重要的功能之一。
    真實性——IPSec端要驗證所有受IPSec保護的數據包。
    防重放——IPSec防止了數據包被捕捉並重新投放到網上，即目的地會拒絕老的或重複的數據包，它通過報文的序列號實現。
    SSL VPN適用於遠程接入環境，例如：移動辦公接入。它和IPSECVPN適用於不同的應用場景，可配合使用。
    SSL的英文全稱是“Secure Sockets Layer”，中文名爲“安全套接層協議層”，它是網景（Netscape）公司提出的基於WEB應用的安全協議。SSL協議指定了一種在應用程序協議（如Hp、Telenet、NMTP和FTP等）和TCPIP協議之間提供數據安全性分層的機制，它爲TCPIP連接提供數據加密、服務器認證、消息完整性以及可選的客戶機認證。
    SSL與IPSec安全協議一樣，也可提供加密和身份驗證安全方法，因此安全性上二者無明顯差別。
    SSLVPN使用SSLHTTPS技術作爲安全傳輸機制。這種機制在所有的標準Web瀏覽器上都有，不用額外的軟件實現。使用SSLVPN，在移動用戶和內部資源之間的連接通過應用層的Web連接實現，而不是像IPSec VPN在網絡層開放的
“通道”。SSl對移動用戶是理想的技術，因爲：
    ·SSL無需被加載到終端設備上
    ·SSL無需終端用戶配置
    ·SSL無需被限於固定終端，只要有標準瀏覽器即可使用
    產品部署方面，SSLVPN只需單臂旁路方式接入。單臂旁路接入不改變原有網絡結構和網路配置，不增加故障點，部署簡單靈活，同時提供完整的SSL VPN服務。遠程用戶只需應用標準正瀏覽器即可登陸網關，通過身份鑑別，在基於角色的策略控制下實現對企業內部資源的存取訪問。遠程移動用戶只需打開標準正瀏覽器，登陸SSLVPN網關，經過用戶認證後即可根據分配給該用戶的相應策略進行相關業務系統的訪問。

7.4.2.8備份與恢復

    備份與恢復主要包含兩方面內容，首先是指數據備份與恢復，另外一方面是關鍵網絡設備、線路以及服務器等硬件設備的冗餘。
    數據是最重要的系統資源。數據丟失將會使系統無法連續正常工作。數據錯誤則將意味着不準確的事務處理。可靠的系統要求能立即訪問準確信息。將綜合存儲戰略作爲計算機信息系統基礎設施的一部分實施不再是一種選擇，而己成爲必然的趨勢。
    數據備份系統應該遵循穩定性、全面性、自動化、高性能、操作簡單、實時性等原則。備份系統先進的特性可提供增強的性能，易於管理，廣泛的設備兼容性和較高的可靠性，以保證數據完整性。廣泛的選件和代理能將數據保護擴展到整個系統，並提供增強的功能，其中包括聯機備份應用系統和數據文件，先進的設備和介質管理，快速、順利的災難恢復以及對光纖通道存儲區域網（SAN）的支持等。
    本地完全數據備份至少每天一次，且備份介質需要場外存放。
    提供能異地數據備份功能，利用通信網絡將關鍵數據定時批量傳送至異地備用場地。
    對於核心交換設備、外部接入鏈路以及系統服務器進行雙機、雙線的冗餘設計，保障從網絡結構、硬件配置上滿足不間斷系統運行的需要。
    >服務器負載均衡
    應用高可用：實現多臺服務器之間冗餘——3到7層的多種服務器健康檢查
    應用高性能：實現多臺服務器性能疊加——4、7層的多種負載均衡算法
    應用可擴展：實現應用基於實際需求的性能調整——服務器平滑退出、平滑上線
    降低服務器負載——TCP連接複用、HTTP緩存、SSL卸載。
    提升用戶訪問速度——TCP單邊加速、HTTP緩存、壓縮。
    服務器狀態、鏈路狀態和用戶行爲可視化——各類報表功能、商業智能分析
    >鏈路負載均衡
    （入站）解決外部用戶跨運營訪問造成的訪問速度慢的問題——智能DNS
    （出入站）多條鏈路之間形成冗餘，保障用戶訪問穩定性——鏈路健康狀況
    （出站）按需爲內網用戶選擇合適的鏈路訪問互聯網，提升帶寬資源利用率，減少帶寬投資成本——多種鏈路負載算法、智能路由、DNS透明代理
    >全局負載均衡：
    實現多數據中心入站流量選路、精確爲用戶選擇最佳（就近）站點。

7.4.3區城邊界安全設計

7.4.3.1邊界訪問控制入侵防範與應用層防攻擊

    通過對XX交警隊網絡的邊界風險與需求分析，在網絡層進行訪問控制需部署邊界安全防護產品，該安全產品實現對邊界的訪問控制、入侵防範和惡意代碼防範，因此該產品具有一下功能：

可以對所有流經該設備的數據包按照嚴格的安全規則進行過濾，將所有不安全的或不符合安全規則的數據包屏蔽，杜絕越權訪問，防止各類非法攻擊行爲。
可面對越來越廣泛的基於應用層內容的攻擊行爲，該設備還應具有能夠及時識別網絡中發生的入侵行爲並實時報警並且進行有效攔截防護。
該設備還需提供完整的上網行爲管理功能，可針對於內網對於外網的存取應用進行管理。可辨識多種類別如IM/VoIP/P2P/FTP等已知的網絡應用軟件，進而根據多種條件如IP羣組、VLANID等範圍條件制訂各種不同的管理策略，限制內網用戶使用諸如：IM軟件、P2P軟件、在線遊戲等互聯網應用，通過技術手段規範上網行爲，防止帶寬濫用，阻止內網泄密。

    部署邊界安全防護設備時應特別注意設備性能，產品必須具備良好的體系架構保證性能，能夠靈活的進行網絡部署。同時爲使得達到最佳防護效果。另外，安全防護設備的防病毒庫應該和桌面防病毒軟件應爲不同的廠家產品，兩類病防護產品共同組成用戶的立體病毒防護體系。
    爲能達到最好的防護效果，邊界防護產品的事件庫及時升級至最新版本至關重要。對於能夠與互聯網實現連接的網絡，應對病毒庫升級進行準確配置；對與不能與互聯網進行連接的網絡環境；需採取手動下載升級包的方式進行手動升級。

7.4.3.2邊界完整性檢查

    邊界完整性檢查覈心是要對內部網絡中出現的內部用戶未通過准許私自聯到外部網絡的行爲進行檢查，維護網絡邊界完整性。通過部署終端安全管理系統可以實現這一目標。
    終端安全管理系統其中一個重要功能模塊就是非法外聯控制，探測內部網中非法上互聯網的計算機。非法外聯監控主要解決發現和管理用戶非法自行建立通路連接非授權網絡的行爲。通過非法外聯監控的管理，可以防止用戶訪問非信任網絡資源，並防止由於訪問非信任網絡資源而引入安全風險或者導致信息泄密。

終端非法外聯行爲監控
    可以禁止終端與沒有通過系統授權許可的終端進行通信，禁止撥號上網行爲

7.4.3.3邊界安全審計

    各安全區域邊界已經部署了相應的安全設備負責進行區域邊界的安全，對於流經各主要邊界（重要服務器區域、外部連接邊界）需要設置必要的審計機制，進行數據監視並記錄各類操作，通過審計分析能夠發現跨區域的安全威脅，實時地綜合分析出網絡中發生的安全事件。一般可採取開啓邊界安全設備的審計功能摸塊，根據審計策略進行數據的日誌記錄與審計。同時審計息要通過安全管理中心進行統一集中管理，爲安全管世中心提供必要的邊界安全審計數據，利於管理中心進行全局管控。邊界安全審計和主機審計、應用審計、網絡審計等一起構成完整的、多層次的審計系統。

7.4.4通信網絡安全設計！

7.4.4.1網絡結構安全

    網絡結構的安全是網絡安全的前提和基礎，對於XX交警隊網絡，選用主要網絡設備時需要考慮業務處理能力的高峯數據流量，要考慮冗餘空間滿足業務高峯期需要。網絡各個部分的帶寬要保證接入網絡和核心網絡滿足業務高峯期需要。根據相應的需求，可以考慮部署廣域網優化產品，優化鏈路質量，削減鏈路數據，更好的滿足業務高峯期的需求。
    其次，需要按照業務系統服務的重要次序定義帶寬分配的優先級，在網絡擁堵時優先保障重要主機。根據實際需求，部署流量管理系統，實現按照業務系統服務的重要次序來分配帶寬，優先保障重要主機。
    最後，合理規劃路由，業務終端與業務服務器之間建立安全路徑；繪製與當前運行情況相符的網絡拓撲結構圖；根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網段或VLAN。保證有重要業務系統及數據的重要網段不能直接與外部系統連接，需要和其他網段隔離，單獨劃分區域。

7.4.4.2網絡安全審計

    網絡安全審計系統主要用於監視並記錄網絡中的各類操作，偵察系統中存在的現有和潛在的威脅，實時地綜合分析出網絡中發生的安全事件，包括各種外部事件和內部事件。
    在XX交警隊交換機處並接部署網絡行爲監控與審計系統，形成對全網網絡數據的流量監測並進行相應安全審計，同時和其它網絡安全設備共同爲集中安全管理提供監控數據用於分析及檢測。
    網絡行爲監控和審計系統將獨立的網絡傳感器硬件組件連接到網絡中的數據會聚點設備上，對網絡中的數據包進行分析、匹配、統計，通過特定的協議算法，從而實現入侵檢測、信息還原等網絡審計功能，根據記錄生成詳細的審計報表。
    網絡行爲監控和審計系統採用旁路技術，不用在目標主機中安裝任何組件。同時網絡審計系統可以與其它網絡安全設備進行聯動，將各自的監控記錄送往安全管理安全域中的安全管理服務器，集中對網絡異常、攻擊和病毒進行分析和檢測。

7.4.4.3網絡設備防護

    爲提高網絡設備的自身安全性，保障各種網絡應用的正常運行，對網絡設備需要進行一系列的加固措施，包括：
    ·對登錄網絡設備的用戶進行身份鑑別，用戶名必須唯一；
    ·對網絡設備的管理員登錄地址進行限制；
    ·身份鑑別信息具有不易被冒用的特點，口令設置需3種以上字符、長度不少於8位，並定期更換；
    ·具有登錄失敗處理功能，失敗後採取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施；
    ·啓用SSH等管理方式，加密管理數據，防止被網絡竊聽。
    ·對於鑑別手段，三級要求採用兩種或兩種以上組合的鑑別技術，因此需採用USBkey+密碼進行身份鑑別，保證對網絡設備進行管理維護的合法性。

7.4.4.4通信完整性與保密性

    信息的完整性設計包括信息傳輸的完整性校驗以及信息存儲的完整性校驗。對於信息傳輸和存儲的完整性校驗可以採用的技術包括校驗碼技術、消息鑑別碼、密碼校驗函數、散列函數、數字簽名等。
    對於信息傳輸的完整性校驗應由傳輸加密系統完成。部署VPN系統保證遠程數據傳輸的數據完整性。對於信息存儲的完整性校驗應由應用系統和數據庫系統完成。
    應用層的通信保密性主要由應用系統完成。在通信雙方建立連接之前，應用系統應利用密碼技術進行會話初始化驗證；並對通信過程中的敏感信息字段進行加密。
    對於信息傳輸的通信保密性應由傳輸加密系統完成。部署VPN系統保證遠程數據傳輸的數據機密性。

7.4.4.5網絡可信接入

    爲保證網絡邊界的完整性，不僅需要進行非法外聯行爲，同時對非法接入進行監控與阻斷，形成網絡可信接入，共同維護邊界完整性。通過部署終端安全管理系統可以實現這一目標。
    終端安全管理系統其中一個重要功能模塊就是網絡准入控制，啓用網絡阻斷方式包括ARP干擾、802.1x協議聯動等。
    監測內部網中發生的外來主機非法接入、篡改IP地址、盜用IP地址等不法行爲，由監測控制檯進行告警。運用用戶信息和主機信息匹配方式實時發現接入主機的合法性，及時阻止IP地址的篡改和盜用行爲。共同保證XX交警隊網絡的邊界完整性。具體如下：
·在線主機監測
    可以通過監聽和主動探測等方式檢測系統中所有在線的主機，並判別在線主機是否是經過系統授權認證的信任主機。
·主機授權認證
    可以通過在線主機是否安裝客戶端代理程序，並結合客戶端代理報告的主機補丁安裝情況，防病毒程序安裝和工作情況等信息，進行網絡的授權認證，只允許通過授權認證的主機使用網絡資源。
·非法主機網絡阻斷
    對於探測到的非法主機，系統可以主動阻止其訪問任何網絡資源，從而保證非法主機不對網絡產生影響，無法有意或無意的對網絡攻擊或者試圖竊密。
·網絡白名單策略管理
    可生成默認的合法主機列表，根據是否安裝安全管理客戶端或者是否執行安全策略，來過濾合法主機列表，快速實現合法主機列表的生成。同時允許管理員設置白名單例外列表，允許例外列表的主機不安裝客戶端但是仍然授予網絡使用權限，並根據需要授予可以和其他授權認證過的主機通信的權限或者允許和任意主機通信的權限。
·IP和MAC綁定管理
    可以將終端的IP和MAC地址綁定，禁止用戶修改自身的P和MAC地址，並在用戶試圖更改IP和MAC地址時，產生相應的報警信息。

7.4.5安全管理中心設計

    由於XX交警隊網絡覆蓋面廣，用戶衆多，技術人員水平不一。爲了能準確瞭解系統的運行狀態、設備的運行情況，統一部署安全策略，應進行安全管理中心的設計，根據要求，應在系統管理、審計管理和安全管理幾個大方面進行建設。
    在安全管理安全域中建立安全管理中心，是有效幫助管理人員實施好安全措施的重要保障，是實現業務穩定運行、長治久安的基礎。通過安全管理中心的建設，真正實現安全技術層面和管理層面的結合，全面提升用戶網絡的信息安全保障能力。

7.4.5.1系統管理

    通過系統管理員對系統的資源和運行進行配置、控制和管理，包括：
    ·用戶身份管理：統一管理系統用戶身份，按照業務上分工的不同，合理地把相關人員劃分爲不同的類別或者組，以及不同的角色對模塊的訪問權限。權限設置可按角色劃分，角色分爲普通用戶、系統管理員、安全管理員、審計管理員等。
    ·系統資源配置與監控：進行系統資源配置管理與監控，包括CPU負載、磁盤使用情況、服務器內存、數據庫的空間、數據庫日誌空間、SWAP使用情況等，通過配置採樣時間，定時檢測。
    ·系統加載和啓動：進行系統啓動初始化管理，保障系統的正常加載和啓動。·系統運行的異常監控：系統資源和設備受到攻擊，或運行異常時，會以告警等信息方式，通知管理員。安全管理平臺可提供多種自動處理機制，協助用戶監控最新告警，全方位掌控網絡異常和攻擊。
    ·數據各份與恢復：數據的定期備份與恢復管理，識別需要定期備份的重要業務信息、系統數據及軟件系統，規定各份信息的備份方式、備份頻度、存儲介質、保存期等；根據數據的重要性及其對系統運行的影響，制定數據的備份策略和恢復策略，定期執行備份與恢復策略。
    ·惡意代碼防範管理：建立惡意代碼管理中心，進行防惡意代碼軟件的統一管理，並根據情況建立二級管理中心。惡意代碼管理中心實現：殺毒策略統一集中配置；自動並強制進行惡意代碼庫升級；定製統一客戶端策略並強制執行；進行集中病毒報警等。
    ·系統補丁管理：集中進行補丁管理，定期統一進行系統補丁安裝。注意應首先在測試環境中測試通過，並對重要文件進行備份後，方可實施系統補丁程序的安裝。
    ·系統管理員身份認證與審計：對系統管理員進行嚴格的身份鑑別，只允許其通過特定的命令或操作界面進行系統管理操作，並對這些操作進行審計。

7.4.5.1系統管理

    通過系統管理員對系統的服務器、網絡設備、安全設備、應用系統進行統一的管理包括：
    ·用戶身份管理：統一管理系統用戶身份，按照業務上分工的不同，合理地把相關人員劃分爲不同的類別或者組，以及不同的角色對模塊的訪問權限。權限設置可按角色劃分，角色分爲普通用戶、系統管理員、安全管理員、審計管理員等。
    ·系統資源配置與監控：進行系統資源配置管理與監控，包括CPU負載、磁盤使用情況、服務器內存、數據庫的空間、數據庫日誌空間、SWAP使用情況等，通過配置採樣時間，定時檢測。
    ·系統加載和啓動：進行系統啓動初始化管理，保障系統的正常加載和啓動。·系統運行的異常監控：系統資源和設備受到攻擊，或運行異常時，會以告警等信息方式，通知管理員。安全管理平臺可提供多種自動處理機制，協助用戶監控最新告警，全方位掌控網絡異常和攻擊。
    ·數據備份與恢復：數據的定期備份與恢復管理，識別需要定期備份的重要業務信息、系統數據及軟件系統，規定各份信息的備份方式、備份頻度、存儲介質、保存期等；根據數據的重要性及其對系統運行的影響，制定數據的備份策略和恢復策略，定期執行備份與恢復策略。
    ·惡意代碼防範管理：建立惡意代碼管理中心，進行防惡意代碼軟件的統一管理，並根據情況建立二級管理中心。惡意代碼管理中心實現：殺毒策略統一集中配置；自動並強制進行惡意代碼庫升級；定製統一客戶端策略並強制執行；進行集中病毒報警等。
    ·系統補丁管理：集中進行補丁管理，定期統一進行系統補丁安裝。注意應首先在測試環境中測試通過，並對重要文件進行備份後，方可實施系統補丁程序的安裝。
    ·系統管理員身份認證與審計：對系統管理員進行嚴格的身份鑑別，只允許其通過特定的命令或操作界面進行系統管理操作，並對這些操作進行審計。

7.4.5.2審計管理

    通過安全審計員對分佈在系統各個組成部分的安全審計機制進行集中管理，包括：根據安全審計策略對審計記錄進行分類；提供按時間段開啓和關閉相應類型的安全審計機制；對各類審計記錄進行存儲、管理和查詢等；對安全審計員進行嚴格的身份鑑別，並只允許其通過特定的命令或界面進行安全審計操作。
    具體集中審計內容包括：
·日誌監視
    實時監視接收到的事件的狀況，如最近日誌列表、系統風險狀況等；監控事件狀況的同時也可以監控設備運行參數，以配合確定設備及網絡的狀態；日誌監視支持以圖形化方式實時監控日誌流量、系統風險等變化趨勢。
·日誌管理
    日誌管理實現對多種日誌格式的統一管理。通過SNMP、SYSLOG或者其它的日誌接口採集管理對象的日誌信息，轉換爲統一的日誌格式，再統一管理、分析、報警；自動完成日誌數據的格式解析和分類；提供日誌數據的存儲、各份、恢復、刪除、導入和導出操作等功能。日誌管理支持分佈式日誌級聯管理，下級管理中心的日誌數據可以發送到上級管理中心進行集中管理
·審計分析
    集中審計可綜合各種安全設備的安全事件，以統一的審計結果向用戶提供可定製的報表，全面反映網絡安全總體狀況，重點突出，簡單易懂。
    系統支持對包過濾日誌、代理日誌、入侵攻擊事件、病毒入侵事件等十幾種日誌進行統計分析並生成分析報表；支持按照設備運行狀況、設備管理操作對安全設備管理信息統計分析；支持基於多種條件的統計分析，包括：對訪問流量、入侵攻擊、郵件過濾日誌、源地址、用戶對網絡訪問控制日誌等。對於入侵攻擊日誌，可按照入侵攻擊事件、源地址、被攻擊主機進行統計分析，生成各類趨勢分析圖表。
    系統可以生成多種形式的審計報表，報表支持表格和多種圖形表現形式；用戶可以通過正瀏覽器訪問，導出審計結果。可設定定時生成日誌統計報表，並自動保存以備審閱或自動通過郵件發送給指定收件人，實現對安全審計的流程化處理。

7.4.5.3監控管理

    統一監控管理將集中進行系統安全監測，併爲安全計算環境、安全區域邊界、安全通信網絡配置統一的安全策略。對全網的安全設備、安全事件、安全策略、安全運維進行統一集中的監控、調度、預警和管理。集中安全管理平臺針對每個安全域的設備提供靈活的策略制定和管理，實現本安全域內的信息收集和處理。同時，在安全管理安全域中部署設備管理系統服務器和控制檯，通過與各事件服務器組件或安全設備通信，實現整個網絡的全局管理。
    管理員在安全管理安全域的控制檯上，可以集中的對設各的報警策略進行指定和下發，同時，監視可處理報警信息。而對於安全管理員將進行嚴格的身份鑑別，並只允許其通過特定的命令或操作界面進行安全管理操作，並進行審計。安全管理平臺可以以拓撲圖的方式來直觀清晰的顯示設備關鍵屬性和運行狀態。同時，可以根據用戶需要可以記錄一段時間內的設備關鍵信息，在設備出現問題時，可以回放這一時間段內的信息記錄，系統以曲線圖形式給出關鍵信息的變動情況，協助定位問題，同時根據狀態變動曲線，可以爲系統未來運行狀態變化趨勢提供參考。此外，管理員還可以通過控制檯集中制定安全策略並下發到設備中，並可以統一的對設備進行升級。
    通過部署集中安全管理平臺實現：安全策略的集中部署、安全事件的深度感知、安全事件的關聯分析、安全威脅的協同響應。通過部署集中安全管理平臺，提高安全管理的效率，保障網絡的安全運行。

8安全管理體系設計

    安全體系管理層面設計主要是依據《信息系統安全等級保護基本要求》中的管理要求而設計。分別從以下方面進行設計：
·安全管理制度
    根據安全管理制度的基本要求制定各類管理規定、管理辦法和暫行規定。從安全策略主文檔中規定的安全各個方面所應遵守的原則方法和指導性策略引出的具體管理規定、管理辦法和實施辦法，是具有可操作性，且必須得到有效推行和實施的制度。
    制定嚴格的制定與發佈流程，方式，範圍等，制度需要統一格式並進行有效版本控制；發佈方式需要正式、有效並註明發佈範圍，對收發文進行登記。信息安全領導小組負責定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定，定期或不定期對安全管理制度進行評審和修訂，修訂不足及進行改進。
·安全管理機構
    根據基本要求設置安全管理機構的組織形式和運作方式，明確崗位職責；設置安全管理崗位，設立系統管理員、網絡管理員、安全管理員等崗位，根據要求進行人員配備，配備專職安全員；成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權；制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。
    建立授權與審批制度；
    建立內外部溝通合作渠道：
    定期進行全面安全檢查，特別是系統日常運行、系統漏洞和數據備份等。
·人員安全管理
    根據基本要求制定人員錄用，離崗、考覈、培訓幾個方面的規定，並嚴格執行；規定外部人員訪問流程，並嚴格執行。
·系統建設管理
    根據基本要求制定系統建設管理制度，包括：系統定級、安全方案設計、產品採購和使用、自行軟件開發、外包軟件開發、工程實施、測試驗收、系統交付、系統備案、等級評測、安全服務商選擇等方面。從工程實施的前、中、後三個方面，從初始定級設計到驗收評測完整的工程週期角度進行系統建設管理。
·系統運維管理
    根據基本要求進行信息系統日常運行維護管理，利用管理制度以及安全管理中心進行，包括：環境管理、資產管理、介質管理、設備管理、監控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防範管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理等，使系統始終處於相應等級安全狀態中。

9系統集成設計

9.1軟硬件產品部署圖（沒有，很坑）

9.2安全產品部署說明

等保模板（三級）

目錄
1等級保護建設流程…4
2方案參照標準…6
3安全區域框架…7
4安全風險與需求分析…8
    4.1安全技術需求分析…8
        4.1.1物理安全風險與需求分析…8
        4.1.2計算環境安全風險與需求分析…8
        4.1.3區域邊界安全風險與需求分析…11
        4.1.4通信網絡安全風險與需求分析…11
    4.2安全管理需求分析…12
5技術體系方案設計…14
    5.1方案設計目標…14
    5.2方案設計框架…14
    5.3安全技術體系設計…16
        5.3.1物理安全設計…16
        5.3.2計算環境安全設計…17.
            5.3.2.1身份鑑別…17
            5.3.2.2訪問控制…18
            5.3.2.3系統安全審計…18.
            5.3.2.4入侵防範…19
            5.3.2.5主機惡意代碼防範…20
            5.3.2.6軟件容錯…21
            5.3.2.7數據完整性與保密性…21
            5.3.2.8備份與恢復…23
            5.3.2.9資源控制…23
        5.3.3區域邊界安全設計…24
            5.3.3.1邊界訪問控制…24
            5.3.3.2邊界完整性檢查…25
            5.3.3.3邊界入侵防範…26
            5.3.3.4邊累安全審計…27
        5.3.4安全管理中心設計…27
            5.3.4.1系統管理…27
            5.3.4.2審計管理…28

缺制度、管理