信息安全等级保护培训20120207讲解

《信息安全等级保护培训20120207讲解》由会员分享，可在线阅读，更多相关《信息安全等级保护培训20120207讲解（31页珍藏版）》请在金锄头文库上搜索。

1、信息安全等级保护内部培训 沈武林 等级保护背景 等级保护流程 等级保护基本要求与产品对应详解 深信服等级保护方案 目录 等级保护的背景和基本知识 政府行业电子政务网的分类 根据国家电子政务信息系统中存储、处理 和传输的信息是否属于国家秘密信息，国 家电子政务信息系统分为两种类型： n 电子政务涉密信息系统 n 电子政务非涉密信息系统 详细电子政务网络划分可以参考国家信息化领导小组关于我国电子 政务建设指导意见 中办发200217号文 政府行业电子政务网的分类 非涉密信息系统统涉密信息系统统 适用标准等级保护分级保护 主管部门公安部保密局 定级对象所有不运行涉密信息的信 息系统（军队除外）； 副

2、省级以上单位办公网；军工； 军队（军标，主管单位是全军保密委） ； 所分级别第一级（自主保护） 第二级（指导保护） 第三级（监督保护） 第四级（强制保护） 第五级（专控保护） 秘密级 机密级 绝密级 资质要求无明确要求，最好有国信 的检测证书 。 等保三级以上系统，应优 先考虑国内安全产品，除 非国外安全产品无法使用 国内产品替代时，才允许 使用国外安全产品。 集成：保密局发的涉密集成资质 单项：保密局发的涉密单项资质 安全产品：保密局发的涉密检测报 告 密码产品：国密局发的密码资质 防病毒软件；公安部的检测报 告 军队：军用安全产品检测报 告； 全部禁止使用国外安全产品 等级保护的发展 20

3、03年9月 中办国办颁发 关于加强信息安 全保障工作的意见 中办发200327号 2005年9月 国信办文件 关于转发电子 政务信息安全等级保 护实施指南的通知 国信办25号文 2006年1月 四部委会签 关于印发信息 安全等级保护管理 办法的通知 公通字20067号 （已废止） 2005年 公安部标准 基本要求 定级指南 实施指南 测评准则 2004年11月 四部委会签 关于信息安全等级 保护工作的实施意见 公通字200466号 1994年2月 中华人民共和 国计算机信息系 统安全保护条例 （国务院147号 令） 2007年6月 公安部、保密局、 国密局、国信办联 合印发信息安全 等级保护管

4、理办法 （公通字2007 43号 ） 2007年7月 关于开展全国重 要信息系统安全等 级保护定级工作的 通知 （公信安 2007861号） 等级保护的一些基础知识 n 等级保护是一个体系建设工作，相当于中国的27001，将来会是在未来指导我国信息安 全工作的根本； n 等级保护所有标准为推荐标准（GBT），所以不是强制执行，且各行业会制定自己的标 准； n 等级保护的定级是针对业务系统，但是进行等级保护建设时讲究的是整体环境建设满足 等级要求； n 当网络环境内运行多个业务系统时，应当按照定级高的业务系统进行环境建设； n 等级保护的定级分为三个纬度SAG，S指的是业务信息安全类，A指的是系

5、统服务保证类 ，G是基本要求。比如三级分为：S1A3G3,S2A3G3,S3A3G3,S3A2G3,S3A1G3，并非等保三级 指的是一个要求； n 在政府行业，任何时候不要拿安全产品和物理隔离做对比，任何时候拓扑图里也不要出 现涉密网和非涉密网连接的情况 等级保护的流程 等级变更 局部调整 信息系统定级 安全规划 安全设计与实施 维护 信息系统终止 等级保护项目的流程 n 定级并备案 n 进行风险评估、检查或预测评 n 制定设计方案 n 根据设计方案进行系统集成招标 n 系统集成实施与验收 n 风险评估与测评（管理+技术） n 测评不合规部分整改 预算是在什么 时候确定的？ 等级保护（三级S

6、3A3G3）基本技术要求详解 等级保护三级基本技术要求详解 物理安全 网络安全 主机安全 应用安全 数据安全与备份恢复 网络安全-结构安全 基本要求公司产产品功能 应保证主要网络设备 的业务处 理能力具备冗余空间，满足业务 高 峰期需要； 推荐WOC，流量 削减功能 应保证网络各个部分的带宽满 足业务 高峰期需要；推荐WOC，流量 削减功能 应在业务终 端与业务 服务器之间进 行路由控制建立安全的访问 路 径； 应绘制与当前运行情况相符的网络拓扑结构图； 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素 ，划分不同的子网或网段，并按照方便管理和控制的原则为 各子 网、网段分配地址段；

7、 应避免将重要网段部署在网络边 界处且直接连接外部信息系统， 重要网段与其他网段之间采取可靠的技术隔离手段； AF，安全隔离 应按照对业务 服务的重要次序来指定带宽 分配优先级别 ，保证在 网络发 生拥堵的时候优先保护重要主机。 BM，流量管理 网络安全 基本要求公司产产品功能 访问 控制 AF-防火墙 入侵检测 AF-入侵防御 恶意代码防范 AF-AV网关 注意：与前面提到的WOC以及BM不同，这些产品是不可替代的，也就说，只要做等保三级 ，这些产品必须采购。 网络安全-安全审计 基本要求公司产产品功能 应对 网络系统中的网络设备 运行状况、网络流量、用户行为等进 行日志记录 ； 一般安全公

8、司在此点 要求上会推SOC+网 络审计 ，我们可以 推APM+AC，APM 用以审计 网络设备 的运行状况，AC用 以审计 用户网络行 为。 审计 记录应 包括：事件的日期和时间 、用户、事件类型、事件是 否成功及其他与审计 相关的信息； 应能够根据记录 数据进行分析，并生成审计报 表； 应对 审计记录进 行保护，避免受到未预期的删除、修改或覆盖 等。 注意：对于用户网络审计 ，对于等保三级基本属于强制要求，只要做等保三级必然会采 购网络审计 系统。等保二级中，有些客户为 了省钱可能会用syslog服务器来针对这 点 要求。 网络安全-边界完整性检查 基本要求公司产产品功能 应能够对 非授权设

9、备 私自联到内部网络的 行为进 行检查 ，准确定出位置，并对其进 行有效阻断； 这点一般是终端管理系统具有扫描非 法客户端功能，可以检查非法终端的 接入，同时配合交换机的端口控制来 阻断。但我们可以试着推AC的认证 功能，不经过AC认证的客户端，无 法接入 应能够对 内部网络用户私自联到外部网络 的行为进 行检查 ，准确定出位置，并对其 进行有效阻断。 这点指的是终端管理系统限制内网终 端的无线、蓝牙、红外等功能。但近 年来由于以讹传讹 ，很多客户认为 互 联网出口处的控制也属于这点要求， 所以我们可以推AC的认证功能，经 过AC认证的才能连接到外部网络。 当然，其实这是误解。 网络安全-网络

10、设备防护 基本要求公司产产品功能 应对 登录网络设备 的用户进 行身份鉴别 ；1.什么叫双因素认 证？ You know，you have，you are 2.网络设备 双因 素认证的方法 Radius服务器， 堡垒主机 3.SSL VPN解决 远程用户的认证 问题 应对 网络设备 的管理员登录地址进行限制； 网络设备 用户的标识应 唯一； 主要网络设备应对 同一用户选择 两种或两种以上组合的鉴别 技术 来进行身份鉴别 ； 身份鉴别 信息应具有不易被冒用的特点，口令应有复杂度要求并 定期更换； 应具有登录失败处 理功能，可采取结束会话、限制非法登录次数 和当网络登录连 接超时自动退出等措施；

11、当对网络设备进 行远程管理时，应采取必要措施防止鉴别 信息在 网络传输过 程中被窃听； 应实现设备 特权用户的权限分离。 应用安全-1 基本要求公司产产品功能 身份鉴别 一般来说，这些要求是对业务 系统的 要求，应该在业务系统开发时从系 统内部来解决。但大部分 业务系统开 发时，并没有考虑到等级保护的相关 要求，所以不具备身份鉴别、权限控 制、安全审计的一些具体要求。 所以我们可以推荐SSL VPN带有的这 些功能，解决远程用户接入的身份鉴 别问题 ，但对于访问控制和安全审 计其实很牵强，因为SSL VPN无法控 制和审计到在业务系统内部的操作。 访问 控制 安全审计 应用安全-2 基本要求公

12、司产产品功能 通信完整性 一般来说，这些要求是对业务 系统的 要求，应该在业务系统开发时从系 统内部来解决。但大部分 业务系统开 发时，并没有考虑到等级保护的相关 要求，所以没有采用加密方式（https ）来访问业务 系统服务器。 所以我们可以推荐使用带有VPN加密 功能的设备组 网或者SSL VPN接入， 解决通信加密的要求。 通信保密性 数据安全与备份恢复 基本要求公司产产品功能 应提供本地数据备份与恢复功能，完全数据备份至少每天一次， 备份介质场 外存放； 应提供异地数据备份功能，利用通信网络将关键数据定时批量传 送至备用场地； 应采用冗余技术设计 网络拓扑结构，避免关键节 点存在单点故

13、障 ； AD：负载 均衡 WOC：削减通信线 路数据量 应提供主要网络设备 、通信线路和数据处理系统的硬件冗余，保 证系统的高可用性。 注意：这点对于业务 系统使用AD的要求非常明确。WOC则属于引导性需求。 物理安全 基本要求解决方案 物理位置的选择 物理访问控制电子门禁 防盗窃和防破坏视频监 控和报警 防雷击避雷针 防火消防系统 防水和防潮装修、精密空调 防静电接地、防静电地板 湿温度控制精密空调 电力供应USP备用电源 电磁防护布线隔离，屏蔽 主机安全 基本要求解决方案 身份鉴别操作系统加固+双因素认证 访问控制操作系统加固+帐号管理 安全审计操作系统和数据库的日志功能开启 剩余信息保护

14、 入侵防范终端安全管理系统 恶意代码防范杀毒软件 资源控制终端安全管理系统 APM 深信服等级保护解决方案介绍 深信服等级保护方案介绍 方案的定位： n 不是设计方案，不是整改方案，不是实施方案 n 是针对客户进行等级保护建设时碰到的问题，我们 依据公司产品给出的符合等级保护要求的解决方案 n 可以作为客户进行等保设计方案和改造方案时的参考 方案的目标： n 不做咨询，不做集成，不做测评，在等保项目中卖产 品； n 等保是个体系建设，不是说客户按照我们这个方案都 做了就完成等保建设了，只是在我们提到的这些方面满足 等保的要求； 深信服等级保护方案介绍 区域边界隔离与审计 背景需求： 在进行等级

15、保护建设时，首先要按照业务类型、重要程度等因素进行安全域的划分。在安全域与安 全域之间，需要严格控制信息流向，对通过安全域边界进行的数据交换应该进行严格的控制，这些 控制手段通常包括：访问控制、入侵检测与防御、恶意代码防范、网络行为审计等。 政策要求： 网络安全-访问控制 网络安全-入侵防范 网络安全-恶意代码防范 网络安全-安全审计 网络安全 边界完整性 深信服方案： AF：解决访问控制、入侵防范、恶意代码防范，并解决多产品串联糖葫芦串的问题； AC：网络安全审计，违规外联控制 竞争：UTM（启明、天融信、网神等） 糖葫芦串（各安全厂商）网络审计（汉邦、启明、绿盟等 ） 网络结构安全与冗余部

16、署 背景需求： 目前多数骨干数据交换系统均采用中央、省、市、县多级组网，通过专线或者VPN连 接，实现业务数据的上报和交换，并实现数据大集中。 政策要求： 网络安全-结构安全 网络安全-通信完整性 网络安全-通信保密性 数据安全-数据传输保密性 数据安全-备份与恢复 深信服方案： WOC：流量削减解决结构安全中的冗余要求，加密功能解决通信与数据的保密性； BM：解决结构安全中的流量管理的要求 AD：解决备份与恢复中对于单点故障的要求； 竞争：客户采用网络设备自身功能解决，不采购专门的产品。 远程用户接入 背景需求： 等级保护的业务系统常常有这种情况，需要有许多单个的用户从不同的地点接入，这 些用户分布比较分散，缺乏控制，终端设备难以预测，甚至有些用户是移动用户，需 要使用移动智能终端接入业务系统。 政策要求： 应用安全-身份鉴别、访问控制、安全审计