XX等级保护建设整改解决方案（范文）

　X X XX 高校 信息系统 等级保护

　整改方案( ( 模板）

　I

　目

　录

　一、背景、现状和必要性 ................................................................................................................................................... - 3 - （一）背景 ....................................................................................................................................................................... -

　3

　- （二）现状 ....................................................................................................................................................................... -

　3

　- （三）项目必要性 ........................................................................................................................................................... -

　5

　- 二、差距分析 ....................................................................................................................................................................... - 6 - （一）技术差距分析 ....................................................................................................................................................... -

　6

　- （二）管理差距分析 ....................................................................................................................................................... -

　8

　- 三、建设目标 ........................................................................................................................................................................... 9 （一）业务目标 ................................................................................................................................................................... 9 （二）技术目标 ................................................................................................................................................................... 9 四、建设方案 ......................................................................................................................................................................... 10 （一）建设原则 ................................................................................................................................................................. 10 （二）设计依据 ................................................................................................................................................................. 11 （三）总体建设内容 ......................................................................................................................................................... 12 （四）总体框架 ................................................................................................................................................................. 13 （五）技术方案 ................................................................................................................................................................. 15 1、

　安全技术体系设计

　............................................................................................................................................. 15 2、

　安全管理中心设计（云智）

　............................................................................................................................. 23 3、

　安全制度建设

　..................................................................................................................................................... 30 （六）设备部署说明及关键技术指标 ............................................................................................................................. 45 1、

　防火墙

　................................................................................................................................................................. 46 a)

　部署说明

　............................................................................................................................................................. 46 b)

　关键指标

　............................................................................................................................................................. 46 2、

　堡垒机

　................................................................................................................................................................. 46 a)

　部署说明

　............................................................................................................................................................. 46 b)

　关键指标

　............................................................................................................................................................. 47 3、

　入侵防御系统(IPS)

　........................................................................................................................................... 47 a)

　部署说明

　............................................................................................................................................................. 47 b)

　关键指标

　............................................................................................................................................................. 48 4、

　非法接入/外联监测系统

　................................................................................................................................... 48 a)

　部署说明

　............................................................................................................................................................. 48 b)

　关键指标

　............................................................................................................................................................. 48 5、

　漏洞扫描系统

　..................................................................................................................................................... 49 a)

　部署说明

　............................................................................................................................................................. 49 b)

　关键指标

　............................................................................................................................................................. 49 6、

　数据库审计系统

　................................................................................................................................................. 49 a)

　部署说明

　............................................................................................................................................................. 49 b)

　关键指标

　............................................................................................................................................................. 50 7、

　Web 应用防火墙

　.................................................................................................................................................. 50

　 II a)

　部署说明

　............................................................................................................................................................. 50 b)

　关键指标

　............................................................................................................................................................. 51 8、

　安全管理平台

　..................................................................................................................................................... 51 a)

　部署说明

　............................................................................................................................................................. 51 b)

　关键指标

　................................................................................................................................ 错误 ! 未定义书签。

　- 3 -

　一、背景、现状和必要性

　（一）背景 XXX经过多年的信息化推进建设，信息化应用水平正不断提高，信息化建设成效显著。为促进XXX信息安全发展，响应国家和上级要求，进一步落实等级保护，夯实等级保护作为国家信息安全国策的成果，XXX计划参照《计算机信息系统安全等级保护划分准则》（GB/T17859-1999）

　和《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）要求将XXX系统和XXX系统拟定为三级，按照《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）完成两个系统三级等保建设。同时为提高全网安全防护能力，XXX计划整网参照等保标准建设。

　随着2017年《网络安全法》正式实施，更加需要高校加强自身系统安全建设，《网络安全法》其中第二十一条规定：

　第二十一条

　国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护 义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

　（一）制定内部 安全管理制度和操作规程，确定网络安全 负责人，落实网络安全保护责任； （二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的 技术措施 施； （三）采取监测、记录网络运行状态、网络安全事件的 技术措施，并按照规定留存相关的 网络日志不少于六个月； （四）采取数据分类、重要数据 备份和加密等措施； （五）法律、行政法规规定的 其他义务。

　（二）现状 xx信息管理系统是xx重要的信息化应用系统，该系统于20XX年建设，XXX系统和XXX

　 第 - 4 - 页 共 52 页 系统的基本情况，按照物理、网络、主机、应用、数据、管理六个层面进行，可根据实际情况进行修改；同时根据安全域划分的结果，在分析过程中将不同的安全域所面临的风险与需求予以对应说明。

　1 1 、网络 现状

　核心交换机分别通过防病毒网关和防火墙连接通过xx网络设备XX路由器接入政务外网，通过全员防火墙连接xx管理信息系统2台XX交换机，通过二级/安管防火墙连接安全管理域和二级系统域。

　统一认证服务器、数据库服务器和负载均衡通过接入交换机接入到核心交换机ZXX。

　XXX通过接入交换机与中环机房的两台XX互联，访问xx个案管理信息系统。网络现状拓扑图如下所示：

　现网总体拓扑图

　XX高校网络拓扑图 2 2 、安全防护措施现状

　目前xx校园网采用的安全措施有：

　 网络设备安全防护方面：

　网络设备的安全防护是依托机房现有的安全设备进行安全防护，定期的检查网络设备和安全设备的策略，根据业务系统的需求及时的更新各个策略，对网络设备和安全设备的访问使用了复杂性的加长口令进行安全防护。

　 信息安全设备部署及使用方面：

　 第 - 5 - 页 共 52 页 中环机房部署了专门的防火墙设备和防病毒网关对边界网络进行安全防护。

　 服务器的安全防护方面：

　服务器的安全防护主要是依靠机房现有的网络安全设备对服务器进行安全防护，同时对服务器统一安装了防病毒软件对恶意代码进行查杀。

　 在应用信任措施方面：

　xx管理信息系统通过用户名、口令进行身份鉴别方式，来保证业务系统信息的机密性。

　3 3 、系统软硬件现状

　xx个案管理信息系统所使用的软硬件设备资源情况如下：

　序号 类型 内容 制造/开发商 单位(台套) 数量 一 基础硬件

　（三）项目必要性 为了保障xx管理信息系统的安全持续运行，落实国家信息安全等级保护标准GB/T25070-2010和GB/T 22239-2008的要求，降低系统面临的安全风险，有必要对xx管

　 第 - 6 - 页 共 52 页 理信息系统进行安全保障体系设计。

　(1) 政策法规要求

　XXX公安局、XXX经济和信息化委员会、XXX国家保密局、XXX密码管理局《关于印发XXX开展信息安全等级保护安全建设整改工作实施方案的通知》（京公网安字[2010]1179号）文件的要求全市各单位加强信息安全等级保护建设、整改工作。每年，XXX网络信息安全协调小组发文要求全市各单位开展信息安全自查工作，并对一些单位进行抽查工作，要求各单位从管理和技术两个方面加强信息安全建设。

　(2) xx 管理 信息系统安全保障的需要

　xx管理信息系统的数据包括xx的个案信息数据库。一旦这些信息泄漏，将会对市xx造成重大影响，因此，迫切需要加强xx管理信息系统的信息安全保障，防范数据信息泄漏风险。

　（四）等级保护工作流程：

　系统定级定级备案等级测评 建设整改安全检查 图 1 等级保护工作流程

　二、差距分析

　（一）技术差距分析 通过对xx管理信息系统进行等级保护安全整改建设，达到等级保护三级安全标准，并最终通过等级保护三级测评。

　 第 - 7 - 页 共 52 页 计算环境的安全主要是物理、主机以及应用层面的安全风险与需求分析，包括：物理机房安全、身份鉴别、访问控制、系统审计、入侵防范、恶意代码防范、软件容错、数据完整性与保密性、备份与恢复、资源合理控制、剩余信息保护、抗抵赖等方面。

　根据XXX自评估结果，现网如要达到等级保护三级关于安全计算环境的要求，还需要改进以下几点：

　物理机房安全：根据物理机房情况描述，看看是否需要整改。

　数据库审计：现网XXX系统和XXX系统都缺少针对数据的审计设备，不能很好的满足主机安全审计的要求，需要部署专业的数据库审计设备。

　运维堡垒机：现网XXX系统和XXX系统都未实现管理员对网络设备和服务器管理时的双因素认证，计划通过部署堡垒机来实现。

　主机审计：现网XXX系统和XXX系统主机自身安全策略配置不能符合要求，计划通过专业安全服务实现服务器整改加固。

　主机病毒防护：现网XXX系统和XXX系统缺少主机防病毒的相关安全策略，需要配置主机防病毒系统。

　备份与恢复：现网没有完善的数据备份与恢复方案，需要制定相关策略。同时现网没有实现对关键网络设备的冗余，本期计划部署双链路确保设备冗余。

　另外还需要对用户名/口令的复杂度，访问控制策略，操作系统、WEB和数据库存在的各种安全漏洞，主机登陆条件限制、超时锁定、用户可用资源阈值设置等资源控制策略的合理性和存在的问题进行一一排查解决。

　- 8 -

　 （二）管理差距分析 从等保思想出发，技术虽然重要，但人才是安全等级保护的重点，因此除了技术措施，XXX还需要运用现代安全管理原理、方法和手段，从技术上、组织上和管理上采取有力的措施，解决和消除各种不安全因素，防止事故的发生。需要优化安全管理组织，完善安全管理制度，制定信息系统建设和安全运维管理的相关管理要求，规范人员安全管理。

　“三分技术、七分管理”更加突出的是管理层面在安全体系中的重要性。除了技术措施外，安全管理是保障安全技术手段发挥具体作用的最有效手段，安全管理中心是实现安全管理的有力抓手。

　根据XXX自评估结果，现网如要达到等级保护三级关于安全管理中心的要求，还需要改进以下几点：

　现网没有一个能对整网安全事件、安全威胁进行分析响应处理的平台，本期需要新增统一安全监控管理平台对信息系统涉及的设备使用情况和安全事件、系统健康程度等进行识别，要能进行统一的监控和展现。通过对安全事件的告警，可以发现潜在的攻击征兆和安全趋势，确保任何安全事件、事故得到及时的响应和处理。

　2020-10-11

　第 9 页, 共 52 页

　三、建设目标

　（一）业务目标 本项目的业务目标是实现xx管理信息系统的安全、持续、稳定运行，具体为：通过安全保障措施的建设，防范业务数据信息泄漏，保障xx管理信息系统安全，以防数据泄漏事件发生。

　（二）技术目标 依据国家信息安全等级保护三级标准，从网络安全、主机安全、应用安全建设等方面进行方案的设计，建成能够有效支撑xx管理信息系统高效运行基础环境。

　(1) 网络安全

　 根据信息系统等级保护标准中有关结构安全的要求，关键核心设备、防火墙、防病毒网关等设备采用冗余方式部署；  对用户终端接入网络的行为进行控制，利用网络实名接入网关和实名接入控制系统，实现对用户接入网络的认证和能够访问的资源的管理；  针对内部终端用户进行管理，内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。

　(2) 主机安全

　 通过对操作系统、数据库和中间件等进行安全加固，消除存在的漏洞，降低被威胁利用的可能。

　(3) 应用安全

　 通过对应用系统进行安全加固消除风险点，降低被威胁利用的可能；

　2020-10-11

　第 10 页, 共 52 页

　 加强xx管理信息系统用户身份认证强度，为系统集成数字证书登录，实现对系统用户基于USBKey和口令的双因子身份认证。

　(4) 安全等级测评

　 开展信息系统安全等级测评，验证信息系统建设完成后是否满足国家信息安全等级保护要求。

　四、建设方案

　（一）建设原则 结合XXX的实际情况，按照《信息系统等级保护安全设计技术要求》和《信息系统安全等级保护基本要求》等相关标准要求，以“一个中心、三重防护”为核心指导思想，从安全计算环境、安全区域边界、安全通信网络以及安全管理中心四个方面构建安全建设方案，以满足等级保护三级系统的相关要求。

　本方案充分结合xx管理信息系统业务应用流程、网络现状、等级保护要求及实际的安全需求进行设计，在设计过程中将采取如下原则：

　 综合防范、整体安全 坚持管理与技术并重，从人员、管理、安全技术手段等多方面着手，建立综合防范机制，实现整体安全；  分域保护、务求实效 将信息资源划分为计算环境、区域边界、通信网络三个方面进行安全防护设计，以体现层层递进，逐级深入的安全防护理念；  同步建设 安全保障体系规划与系统建设同步，协调发展，将安全保障体系建设融入到信息

　2020-10-11

　第 11 页, 共 52 页

　化建设的规划、建设、运行和维护的全过程中；  纵深防御，集中管理 可构建一个从外到内、功能互补的纵深防御体系，对资产、安全事件、风险、访问行为等进行集中统一分析与监管；  等级保护策略 安全保障体系设计以实现等级保护为基本出发点进行安全防护体系建设，并遵照国家《信息系统安全等级保护基本要求》进行安全防护措施设计。

　（二）设计依据 (1) 国家等级保护政策文件

　 《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号）

　 关于开展信息安全等级保护安全建设整改工作的指导意见(公信安[2009]1429号)  关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技[2008]2071号）

　 公安机关信息安全等级保护检查工作规范（公信安[2008]736号）

　 关于开展全国重要信息系统安全等级保护定级工作的通知（公信安[2007]861号）

　 信息安全等级保护备案实施细则（公信安[2007]1360号）

　(2) 国家信息安全标准

　 GB/T 25058-2010《信息安全技术 信息系统安全等级保护实施指南》  GB/T 25070-2010《信息安全技术 信息系统等级保护安全设计技术要求》  GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》

　2020-10-11

　第 12 页, 共 52 页

　 GB/T 22240-2008《信息安全技术 信息系统安全等级保护定级指南》  GB/T21082-2007信息安全技术 服务器安全技术要求  GB/T 20984-2007《信息安全技术 信息安全风险评估规范》  GB/T20269-2006信息安全技术 信息系统安全等级保护管理要求  GB/T20271-2006信息安全技术 信息系统通用安全技术要求  GB/T20270-2006信息安全技术 网络基础安全技术要求  GB/T20272-2006信息安全技术 操作系统安全技术要求  GB/T20273-2006信息安全技术 数据库管理系统安全技术要求  GB/T20282-2006信息安全技术 信息系统安全工程管理要求 （三）总体建设内容 根据xx管理信息系统业务安全保障需求，建立有针对性地安全策略，合理规划网络安全架构，依据差距分析结果，进行安全整改，实现关键核心设备、防火墙、防病毒网关等设备采用冗余方式部署；实现对用户接入网络的认证和能够访问的资源的管理；实现内部终端用户进行管理；实现对xx管理信息系统用户双因子强身份认证；建立安全管理中心，实现对xx管理信息系统安全管理。

　2020-10-11

　第 13 页, 共 52 页

　 （四）总体框架 为了使xx管理信息系统具有较高的安全防护能力，满足等级保护要求，本次将按照下图所示的总体框架进行系统安全改造。

　2020-10-11

　第 14 页, 共 52 页

　 根据xx管理信息系统现状和安全需求，采取如下总体安全策略：

　 基础安全防御得当

　依据GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》，和xx管理信息系统网络以及系统安全现状，  根据信息系统等级保护标准中有关结构安全的要求，通过增加核心交换机、防火墙、防病毒网关等设备实现冗余部署；  通过部署终端健康检查和修复系统对终端接入的行为进行控制，针对内部终端用户进行管理，内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。

　 部署网络实名接入网关和实名接入控制系统，实现对用户接入网络的认证和能够访问的资源的管理；

　 主机安全：通过对操作系统、数据库和中间件等进行安全加固，消除存在的漏洞，降低被威胁利用的可能；  应用安全：将xx管理信息系统整合到现有的统一认证管理系统中增加用户身份认证强度，使其通过数字证书登录，实现对系统用户基于USBkey和口令的双因子身份认证。

　 技术管理并行

　安全技术以及管理体系需要同时设计并落实，两者互为补充互为支撑。落实组织和人员责任。

　2020-10-11

　第 15 页, 共 52 页

　（五）技术方案 1、 安全技术体系设计 根据建设目标，在充分利用现有设备的情况下，重新规划整改后的网络拓扑图，如下图所示。

　整改后网络拓扑图 1.1. 计算环境安全设计

　1.1.1 终端安全（ EAD ）

　通过部署2台终端健康检查和修复系统实现终端安全的集中统一管理，包括终端补丁的集中下载与分发、应用软件的集中分发、禁止非工作软件或有害软件的安装和运行等，强化终端安全策略，终端安全管理软件还可满足接入和外联的可管理要求。对终端进行安全检查，确保终端符合安全规范，对不合规终端进行隔离修复。对系统自身安全问题及终端安检问题进行报警统计，具体功能包括：

　2020-10-11

　第 16 页, 共 52 页

　限制非法外联。

　应设定只有与终端管理系统通讯的网卡才能发送和接收数据除，禁止其他任何网卡发送和接收数据，包括多网卡、拨号连接，VPN连接等。

　终端安全基线自动检测与强制修复。

　能够监控计算机终端的操作系统补丁、防病毒软件、软件进程、登录口令、注册表等方面的运行情况。如果计算机终端没有安装规定的操作系统补丁、防病毒软件的运行状态和病毒库更新状态不符合要求、没有运行指定的软件或运行了禁止运行的软件，或者有其它的安全基线不能满足要求的情况，该计算机终端的网络访问将被禁止。

　移动存储管理。

　可以实现移动存储设备的认证和设备使用授权，只有认证的移动存储存储设备和具有使用权限的用户才能使用。对于认证过的移动存储设备，可以根据防泄密控制要求的高低，可以选择多种数据保存和共享授权方式。可以只认证设备，不对其中保存数据进行加密共享；也可以对认证的设备选择专用目录或全盘加密共享，并可以对移动设备使用全过程进行审计，方便在发生意外时进行查证。

　终端审计。

　包括“文件操作审计与控制”，“打印审计与控制”，“网站访问审计与控制”，“异常路由审计”和“终端Windows登录审计”。所审计的内容尽量只与内网安全合规相关的信息，不对涉及终端用户的个人隐私信息，保证在达到合规管理的审计要求的前提下，保护终端用户个人私隐。

　2020-10-11

　第 17 页, 共 52 页

　1.1.2 漏洞发现（漏扫）

　漏洞扫描就是对重要计算机信息系统进行检查，发现其中可被黑客利用的漏洞，通过合规性检测对系统中不合适的设置（如不应开放的端口）、脆弱的口令以及其他同安全规则相抵触的对象进行检查；另外基于网络的检测(Network Scanner)，通过执行一些脚本文件对系统进行攻击，并记录它的反应，从而发现其中的漏洞。

　1.1.3 数据库安全审计

　计划部署数据库审计系统对用户行为、用户事件及系统状态加以审计，范围覆盖到每个用户，从而把握数据库系统的整体安全。

　数据库审计系统适用于等级保护标准和规范。数据库审计系统支持所有主流关系型数据库的安全审计，采用多核、多线程并行处理及CPU绑定技术及镜像流量零拷贝技术，采用黑盒逆向协议分析技术，严格按照数据库协议规律，对所有数据库的操作行为进行还原，支持请求和返回的全审计，保证100%还原原始操作的真实情况，实现细粒度审计、精准化行为回溯、全方位风险控制，为XXX的核心数据库提供全方位、细粒度的保护功能。数据库审计系统可以帮助我们解决目前所面临的数据库安全审计缺失问题，避免数据被内部人员及外部黑客恶意窃取泄露，极大的保护XXX的核心敏感数据的安全，带来以下安全价值：

　 全面记录数据库访问行为，识别越权操作等违规行为，并完成追踪溯源  跟踪敏感数据访问行为轨迹，建立访问行为模型，及时发现敏感数据泄漏  检测数据库配置弱点、发现SQL注入等漏洞、提供解决建议  为数据库安全管理与性能优化提供决策依据  提供符合法律法规的报告，满足等级保护审计要求。

　2020-10-11

　第 18 页, 共 52 页

　1.1.4 运维堡垒主机

　计划部署运维堡垒主机，堡垒机可为XXX提供全面的运维管理体系和运维能力，支持资产管理、用户管理、双因子认证、命令阻断、访问控制、自动改密、审计等功能，能够有效的保障运维过程的安全。在协议方面，堡垒机全面支持SSH/TELNET/RDP（远程桌面）/FTP/SFTP/VNC，并可通过应用中心技术扩展支持VMware/XEN等虚拟机管理、oracle等数据库管理、HTTP/HTTPS、小型机管理等。

　1.2. 区域边界安全保护设计

　通过深入了解系统业务特点和系统功能要求，并在充分利用现有网络设施的基础上，结合国家等级保护政策和标准要求，对信息系统的安全区域保护目标进行如下设计。

　1.2.1 边界隔离与访问控制（ NGFW ）

　在本方案中，XX 系统分布在网络出口边界、数据中心区边界、网络管理区，所以每个边界也部署防火墙，并且通过配置防火墙的安全策略，实现各区域边界的隔离与细粒度的访问控制。防火墙是部署在不同网络安全域之间的一系列部件的组合。它是信息的唯一出入口，能根据安全策略控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙实现网与网之间的访问隔离，以保护整个网络抵御来自其它网络的入侵者。

　通过对全网网络拓扑结构进行分析，确定需要进行访问控制的网络边界位置，并使用防火墙等边界访问控制系统，解决边界安全问题、实现各个安全域间的网络访问

　2020-10-11

　第 19 页, 共 52 页

　控制。

　部署图如下：

　1.2.2 网络入侵检测系统（ IPS ）

　入侵防御产品是一种对网络深层威胁行为（尤其是那些防火墙所不能防御的威胁行为）进行抵御的安全产品，通常以串行方式透明接入网络。和其他安全产品不同的是，入侵防御产品的主要防御对象是网络上TCP/IP的四层以上的实时恶意数据流（四层以下的攻击可以由其他安全产品如防火墙等防御）。在本方案中入侵防御系统主要保护那些对外提供服务的业务系统的安全。在现有网络中部署入侵检测与防御系统可以对访问xx管理信息系统进行实时监测，并进行入侵行为跟踪分析。

　部署图如下：

　1.2.3 网络恶意代码防范（ WAF ）

　浏览器都能解释和执行来自 Web 服务器的嵌入到 Web 页面下载部分的脚本（用 JavaScript、JScript、VBScript 等脚本语言创建）。当攻击者向用户提交的动态表单输入恶意代码时，就会产生跨站点脚本 (XSS) 攻击或是SQL注入。Web应用防火墙主要针对Web服务器进行第7层流量分析，防护以Web应用程序漏洞为目标的攻击，并针对Web应用访问进行各方面优化，以提高Web或网络协议应用的可用性、性能和安全性，确保业务应用能够快速、安全、可靠地交付。同时，内部办公用户也会通过互联网对外进行访问，Internet网络区域的安全风险级别最高，所以对于对外访问和信息获取等操作都应进行实时的恶意代码检测和事后的清除修复工作。

　对于恶意代码的防范应达到如下要求：

　2020-10-11

　第 20 页, 共 52 页

　 应在网络边界及核心业务网段处对恶意代码进行检测和清除；  应维护恶意代码库的升级和检测系统的更新；  应支持恶意代码防范的统一管理。

　1.3. 通信网络安全保护设计

　根据《信息安全技术 信息系统等级保护安全设计技术要求》GB/T 25070-2010，和市xx网络现状，应从链路冗余设计、通信网络安全审计及网络可信接入方面进行展开设计。

　1.3.1 链路冗余设计（ IRF ）

　拟通过部署1台H3C S9800交换机，改变核心网络结构，与原有的H3C S9800做冗余备份，以满足等级保护三级标准针对网络安全的要求。

　部署图如下：

　交换机部署位置图 1.3.2 网络行为安全审计（数据库审计）

　为满足等级保护要求中对三级系统通信网络安全审计要求，需在网络中建立基于网络的安全审计措施，以实现通信网络安全审计的防护要求。

　在网络中应部署数据库审计系统，可以通过网络端口镜像的方式抓取进、出区域边界数据包，基于数据包的源地址、目的地址、传输层协议、请求的服务等应用访问行为，确定行为符合安全策略，并以收集的记录信息作为追踪违规事件、界定安全责任的主要依据。部署图如下：

　2020-10-11

　第 21 页, 共 52 页

　 综合审计部署图 1.3.3 网络实名准入系统（ EAD ）

　根据《信息安全技术 信息系统等级保护安全设计技术要求》GB/T 25070-2010，对于三级系统需建立网络接入认证机制，可采用由密码技术支持的可信网络连接机制，通过对连接到网络的设备进行可信检验，确保接入网络的设备真实可信，防止设备的非法接入。

　为保证 xx 管理信息系统对接入用户实行全生命周期的数字身份管理，有效管理用户的访问凭证和接入权限，记录用户的网络访问行为，在发生信息安全事件时，能将责任追溯到人，本项目将沿用终端准入 EAD 系统，从而实现网络可信接入和用户的身份级别，需求功能包括：

　终端准入功能

　利用终端管理系统与交换机配合，如采用802.1x共同完成网络准入控制。

　限制非法外联。

　2020-10-11

　第 22 页, 共 52 页

　应设定只有与终端管理系统通讯的网卡才能发送和接收数据除，禁止其他任何网卡发送和接收数据，包括多网卡、拨号连接，VPN连接等。

　终端审计。

　包括“文件操作审计与控制”，“打印审计与控制”，“网站访问审计与控制”，“异常路由审计”和“终端Windows登录审计”。所审计的内容尽量只与内网安全合规相关的信息，不对涉及终端用户的个人隐私信息，保证在达到合规管理的审计要求的前提下，保护终端用户个人私隐。

　1.3.4 网络设备保护（堡垒机）

　对于网络中的基础设施资产的管理，包括：网络设备、安全设备、服务器和数据库等，均需要通过堡垒机实现对重要业务资产操作的认证、授权和操作记录审计的要求，同时降低运维人员的管理成本，提高运维效率，通过运维堡垒主机的方式进行集中管理、协议代理和身份授权分离的安全操作。

　资源集中管理：集中的资源访问入口、集中帐号管理、集中授权管理、集中认证管理、集中审计管理等等。

　协议代理：为了对字符终端、图形终端操作行为进行审计和监控，堡垒主机对各种字符终端和图形终端使用的协议进行代理，实现多平台的操作支持和审计，例如Telnet、SSH、FTP、Windows平台的RDP远程桌面协议，Linux/Unix平台的X Window图形终端访问协议等。

　当运维机通过堡垒主机访问服务器时，首先由堡垒主机模拟成远程访问的服务端，接受运维机的连接和通讯，并对其进行协议的还原、解析、记录，最终获得运维机的操作行为，之后堡垒主机模拟运维机与真正的目标服务器建立通讯并转发运维机发送

　2020-10-11

　第 23 页, 共 52 页

　的指令信息，从而实现对各种维护协议的代理转发过程。在通讯过程中，堡垒主机会记录各种指令信息，并根据策略对通信过程进行控制，如发现违规操作，则不进行代理转发，并由堡垒主机反馈禁止执行的回显提示。

　身份授权分离：在堡垒主机上建立主帐号体系，用于身份认证，原各IT系统上的系统帐号仅用于系统授权，这样可以有效增强身份认证和系统授权的可靠性，从本质上解决帐号管理混乱问题，为认证、授权、审计提供可靠的保障。

　2、 安全管理中心设计（云智）

　建立安全管理中心，形成具备基本功能的安全监控信息汇总枢纽和信息安全事件协调处理中心，提高对管理中心内部网络和重要业务系统信息安全事件的预警、响应和安全管理能力。具体来说应该实现以下功能：

　1. 安全信息采集 Xx系统所有的网络设备（交换机、路由器等）、安全设备（防火墙、入侵检测、统一数字身份管理系统、安全审计设备等）和重要业务系统（操作系统、数据库、中间件等）的安全事件信息。

　2. 安全信息分析 对汇集的安全事件信息进行综合的关联分析，从海量的信息中挖掘、发现可能的安全事件并且产生安全预警。

　3. 信息安全管理 实现统一的安全事件、安全策略、安全风险和信息安全支撑系统的管理，实现安全运维流程的自动化管理，满足管理中心对安全事件及时有效响应处置的需求。

　4. 可视化展示

　2020-10-11

　第 24 页, 共 52 页

　实现整体安全态势的多维度、多视角的展示，实现系统运行和安全监测的全景化和在线化。

　2.1. 建设目标

　安全管理中心的建设目标是为了支撑安全运行体系的建设和流转，从而提升安全防护能力、隐患发现能力、监控预警能力以及响应恢复能力，以保障市xx信息系统的安全可靠，实现安全运行工作的“可感知”、“可管理”、“可测量”、“可展示”。

　“可感知”目标：安全管理中心具备对各类安全资产的脆弱性和海量安全事件的采集、分析、处理报告能力，可以按需展现全网安全资产的脆弱性分布状况和高危风险事件分布状况，可集中管理各类安全资产的配置基线，能够智能化分析安全事件对业务系统可能产生的实际影响和危害，“实现被动安全智能化”目标。

　“可管理”目标：初步实现集中化的安全风险、安全事件、安全预警和安全策略、安全合规性和绩效考核管理，实现安全运维流程的自动化管理，满足市xx对安全事件及时有效响应处置的需求。

　“可测量”目标：安全管理中心具备针对各类信息安全管理标准或要求的符合性测量检查能力，提供针对诸如信息安全管理体系标准要求、等级化保护要求、信息安全专项工作要求的符合性检查功能，支持通过技术手段实现符合性检查工作的自动调度、自动执行、自动核查、自动报告功能。

　“可展示”目标：实现整体安全态势的多维度、多视角的展示，实现系统运行和安全监测的全景化和在线化。针对市xx决策层、管理层和执行层等不同角色提供不同展现视图，可以向PC、移动终端上推送当前各业务系统、各地区、各单位风险管理状态和趋势。

　2020-10-11

　第 25 页, 共 52 页

　2.2. 总体结构

　综合管理平台门户作为整个安全管理中心统一人机界面接口，采用Web应用架构，支持各功能模块的信息展示和系统配置管理。针对不同用户角色的特点，提供不同视角（决策层、管理层、执行层）的展现内容。

　安全管理中心规划的应用服务层提供六大应用服务，分别是：脆弱性和安全风险管理、安全事件管理、安全预警管理、安全策略管理、安全符合性管理和安全绩效考核，提供的服务通过门户层进行展现。

　数据感知层主要规划两大功能，分别是数据采集和数据分析处理。

　数据采集主要负责与安全支撑系统数据交互以及搜集其他设备的数据。其采用的技术方式包括：Web Serivce、SYSLOG和SNMP trap等接口和协议。

　数据处理主要负责对采集到的原始数据进行标准化、归并及关联分析等详细的分析处理。可以根据资产信息、脆弱性信息校正安全信息的真实性，同时也可以根据攻击过程描述的纵向关联策略确认一系列安全信息发生的后果，提取出需要处理的安全事件。

　外部接口层承担安全运营中心与XX系统之间的数据交互，比如从资产系统中抽取资产相关的信息。

　安全管理中心安全支撑层是由6个大系统构成，主要为平台提供数据及部分功能实现。支撑系统具体如下：

　 业务系统  安全设备  操作系统

　2020-10-11

　第 26 页, 共 52 页

　 中间件  数据库  网络设备

　平台架构采用组件化的分层设计理念，融和工作流组件、业务规则引擎、通用报表组件、数据查询组件、GIS组件等对信息安全运行管理业务加以支撑和服务；平台架构满足五年以上的技术和业务发展等适应性要求。

　2.3. 功能模块

　2.3.1 数据 采集

　数据采集是运行监控功能的核心模块，接收来自安全事件监控中心的事件，支持资产信息、配置信息、IT事件日志以及安全支撑系统的数据采集，实现数据识别、数据解析、数据聚并和数据保存等处理。

　2.3.2 日志 分析

　针对业务系统所涉及到的操作系统和网络设备运行日志进行采集和安全分析。

　2.3.3 运行状态监控

　运行状态监控主要包含主机、网络、安全设备、数据库、中间件及关键应用系统的运行监控。同时，以关键业务为中心，通过图形化的业务建模工具，根据实际环境，定义个性化的业务运行评估模型，从业务角度对被监测资源进行关联、重组，建立真实表达业务内部关系的影响模型图，实现快速搭建业务卡片视图，准确判断业务健康度、繁忙度、业务层级视图和业务告警等内容。

　2020-10-11

　第 27 页, 共 52 页

　1. 主机运行状态监控

　系统能够采集现有的主流操作系统监控运行性能。通过对主机监控，实现对主机的故障告警，同时监控主机的健康状态与运行性能指标。覆盖主机操作系统类型包括：Windows服务器系统、Linux服务器系统、IBM AIX服务器系统、HP UNIX服务器系统等。

　2. 网络和安全设备运行状态监控

　系统能够采集现有的网络设备和安全设备的运行状态，通过对设备健康状态与运行性能监控，实现对网络延时、异常事件、连接失败等网络指标进行查看，结合安全设备的故障告警，及时发现性能隐患，能够监控的设备类型包括交换机、路由器、入侵检测等。

　3. 数据库运行状态监控

　系统能够采集数据库监控运行性能，收集数据库的响应时间、当前总用户数、当前活跃用户数等各性能指标的变化趋势，进行分析，为优化资源配置提供数据支撑。要求支持的数据库系统类型包括：

　Oracle、SQL Server、MYSQL等。

　4. 中间件运行状态监控

　系统能够采集中间件监控运行性能，针对中间件的可用性、响应延迟等状态信息进行分析，监控各项性能指标变化分析，为优化资源配置提供数据支撑。能够支持中间件系统类型，包括：IBM Websphere、Weblogic、Apache Tomcat、Microsoft IIS等。

　5. 应用系统运行状态监控

　通过和应用系统的对接接口，实现应用系统运行状态的监控和展示。

　2020-10-11

　第 28 页, 共 52 页

　2.3.4 预警管理

　预警管理包括但不限于IT态势分析和展现、预警通告等功能。

　 态势分析：实现对采集信息及分析结果进行汇集和抽取；对IT事件及风险等事态发展和后果进行模拟分析，能够多维度综合展示。

　 预警通告：能够把IT态势分析的处理结果进行预警通告并展示。

　 预警管理系统收集和分析历史数据，全面展现一段时期内IT态势和风险管理的情况。

　 为信息安全风险管理的规划提供数据支撑。

　预警模块中心从系统管理模块得到资产的基本信息，从脆弱性管理模块获取资产的脆弱性信息，从事件监控模块获取发生的事件。得到上述这些原始信息后，本模块进行综合风险分析。综合风险分析是分析整个企业面临的威胁和确保这些威胁所带来的挑战处于可以接受的范围内的连续流程。能够根据各监控点的资产信息、脆弱性统计信息以及威胁分布信息，为每一个资产定量地计算出相应的风险等级，同时根据业务逻辑，分析此风险对其他系统的影响，计算出业务系统或区域的整体风险等级。

　2.3.5 策略管理

　网络的整体性要求需要有统一策略和基于工作流程的管理。通过为全网管理人员提供统一的策略，指导各级管理机构因地制宜的做好策略的部署工作，有利于在全网形成防范的合力，提高全网的整体防御能力，同时通过策略和配置管理平台的建设可以进一步完善整个IP网络的安全策略体系建设，为指导各项安全工作的开展提供行动指南，有效解决目前因缺乏口令、认证、访问控制等方面策略而带来到安全风险问题。

　策略管理系统包括但不限于事件关联分析规则管理、资产安全配置策略符合性检

　2020-10-11

　第 29 页, 共 52 页

　查和安全策略库管理功能。

　 事件关联分析规则管理：能实现安全事件关联分析规则的自定义、导入、更新、展示、查询、修改和归档等功能。

　 资产安全配置策略符合性检查：能实现对资产安全配置策略合规性比对和检查；提供符合性检查结果的展示、查询、归档和策略导出功能；提供修正建议和策略下发功能。

　 安全策...