《35、某某地方检察yuan网站等保改造技术方案V3.0》由会员分享，可在线阅读，更多相关《35、某某地方检察yuan网站等保改造技术方案V3.0（26页珍藏版）》请在金锄头文库上搜索。
1、xx市检察院门户网站系统信息安全整改技术方案xxxx年xx月24目 录第一章项目概述11.1项目背景11.2项目目标11.3建设依据21.4设计原则2第二章信息安全差距分析32.1安全定级情况32.2信息等保差距分析3第三章信息安全整改建设内容123.1网络安全差距整改123.2安全技术差距整改213.3管理安全差距整改283.4安全漏洞差距整改28第四章项目投资估算29第一章 项目概述1.1 项目背景根据xx市检察院门户网站系统前期在等级保护定级工作及差距测评工作的结果，为切实做好非涉密信息系统等级保护安全整改工作，通过分析、查找xx市检察院门户网站系统与信息系统安全等级保护基本要求（GB/
2、T 22239-2008）间的差距，确定门户网站系统的安全保护需求。根据门户网站系统的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的安全整改方案，从技术和管理两方面达到国家信息安全等级保护的基本要求，最终目标是保障xx市检察院门户网站系统的安全稳定运行。1.2 项目目标根据前期等保测评的结果，结合目前门户网站系统的安全现状，并依据国家相关标准采用先进的信息技术，设计合理的、满足等级保护要求的安全建设方案。从而完善信息安全维护及事件应急工作机制，缩短风险处理及故障历时，降低对业务影响的程度，提高门户网站系统安全等级水平，保障门户网站系统正常运行，提高管理部门应对网络与
3、信息安全事件的能力，预防和减少网络与信息安全事件造成的损失。（一）构建纵深的防御体系系统安全建设方案包括技术和管理两个部分，本方案针对门户网站系统的通信网络、区域边界、计算环境、业务应用平台等各个层面，采用访问控制、统一监管、集中审计、防病毒、集中身份认证、应用加密、集中数据备份等多种技术和措施，实现业务应用的可用性、完整性和保密性保护，同时充分考虑各种技术的组合和功能的互补性，合理利用措施，从外到内形成一个纵深的安全防御体系，保障门户网站系统整体的安全保护能力。（二）建立统一的支撑平台建设全网统一的认证平台，实现高强度的应用安全保护，提供统一的认证入口，终端系统一次认证并可按照自己的权限访问
4、资源；提供统一的权限分配，实现了资源、角色、权限的统一分配；提供统一的资源管理。全网统一的认证平台使系统管理人员能够更清晰地分析和管理资源的分配情况，完成安全策略的配置和部署。（三）进行集中的安全管理建设集中的安全管理平台，实现对信息资产、安全事件、安全风险、访问行为等的统一分析与监管，通过关联分析技术，使系统管理人员能够迅速发现问题，定位问题，有效应对安全事件的发生。1.3 建设依据 粤公通字201045号xx省深化信息安全等级保护工作方案 GB17859-1999计算机信息系统安全保护等级划分准则 GB/T222402008信息系统安全等级保护定级指南 GB/T222392008信息系统安
5、全等级保护基本要求 GB/T25058-2010信息系统安全等级保护实施指南 GB/T25070-2010信息系统等级保护安全设计技术要求 计算机信息系统安全等级保护管理要求 计算机信息系统安全等级保护通用技术要求1.4 设计原则根据国家相关政策和标准，本次整改方案设计工作将严格遵循以下的建设原则：自主保护原则：门户网站系统的运营、使用单位及其主管部门按照国家相关法规和标准，自主确定门户网站系统的安全保护等级，自行组织实施安全保护。动态调整原则：跟踪门户网站系统的变化情况，调整安全保护措施。由于门户网站系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规
6、范和技术标准的要求，重新确定门户网站系统的安全保护等级，根据门户网站系统安全保护等级的调整情况，重新实施安全保护。标准型原则：本方案在设计和规划的过程中，将严格遵守国家相关政策和标准，进行全面的设计。灵活性原则：考虑到相应标准的不断完善过程和滞后性，在没有标准依据的地方，我们将通过对等级保护的理解，自行设计相应的保障措施，考虑到产品测评认证的滞后性和片面性，在没有相关通过认证的产品可选用时，将使用通过最高认证级别的产品。责任制原则：安全管理应做到“谁主管，谁负责”、“谁运营，谁负责”，在本方案的规划中，我们将注重安全规章制度、安全应急响应制度的设计，将安全运行提高到一定的高度。第二章 信息安全
7、差距分析2.1 安全定级情况此次受评的业务系统为xx市检察院门户网站系统，目前定级情况为：信息系统系统定级情况xx市检察院门户网站系统2级2.2 信息等保差距分析1233.13.1.12.2.1 安全技术差距分析2.2.2.1 主机安全主机安全问题共22个，其中高风险问题16个，中风险问题5个，低风险问题1个。详细安全问题如下表所示：序号问题对象问题整改建议风险等级1主机安全-windows操作系统的密码策略没有配置建议配置密码策略，运行“gpeit.msc”计算机配置-Windows设置-安全设置帐户策略-密码策略:密码必须符合复杂性要求-启用密码长度最小值-8密码最长使用期限(可选)-18
8、0天密码最短使用期限-1天强制密码历史-5次高2主机安全-windows操作系统没有配置鉴别失败处理功能 建议配置鉴别失败处理功能，运行“gpeit.msc”计算机配置-Windows设置-安全设置帐户策略-账户锁定策略:复位帐户锁定计数器-3分钟帐户锁定时间-5分钟帐户锁定阀值-5次无效登录高3主机安全-windows操作系统未关闭共享C盘D盘E盘F盘G盘；未关闭多余的服务emote Registry Service,Terminal Service，Print Spooler建议操作系统及时关闭多余共享及禁用多余服务中4主机安全-windows特权用户administrator的权限没有分
9、离建议分为数据库管理员和系统管理员中5主机安全-windows操作系统未重命名默认账户administrator，未限制默认账户administrator权限操作系统未重命名默认账户administrator，未限制默认账户administrator权限高6主机安全-windows操作系统未禁用多余账户internet来宾帐户建议操作系统禁用多余账户internet来宾帐户高7主机安全-windows审计策略配置不满足要求建议配置审计策略，运行“gpeit.msc”计算机配置-Windows设置-安全设置-本地策略-审核策略，至少配置为：审核帐号登录事件 （成功，失败）审核帐号管理 （成功，失
10、败）审核目录服务访问 （没有定义）审核登录事件 （成功，失败）审核对象访问 （成功,失败）审核策略更改 （成功）审核特权使用 （成功，失败）审核过程跟踪 （成功，失败）审核系统事件 （成功）高8主机安全-windows审计策略配置不满足要求建议配置审计策略，运行“gpeit.msc”计算机配置-Windows设置-安全设置-本地策略-审核策略，至少配置为：审核帐号登录事件 （成功，失败）审核帐号管理 （成功，失败）审核目录服务访问 （没有定义）审核登录事件 （成功，失败）审核对象访问 （成功,失败）审核策略更改 （成功）审核特权使用 （成功，失败）审核过程跟踪 （成功，失败）审核系统事件 （成
11、功）高9主机安全-windows日志容量不满足要求建议设置日志容量为：应用日志 50M-1024M、安全日志 50M-1024M、系统日志 50M-1024M；运行“compmgmt.msc”，计算机管理-系统工具-事件查看器-Windows日志，右键日志属性低10主机安全-windows操作系统未删除多余软件adobeflashplayer，未及时安装补丁建议操作系统及时删除多余软件并安装最新补丁高11主机安全-windows操作系统未安装网络版杀毒软件建议操作系统安装网络版杀毒软件高12主机安全-windows操作系统未根据安全策略设置登录终端的超时锁定时间建议操作系统根据安全策略设置登录
12、终端的超时锁定时长小于10分钟高13主机安全-windows操作系统未根据安全策略设置登录终端的超时锁定时间建议操作系统根据安全策略设置登录终端的超时锁定时长小于10分钟高14主机安全-windows该系统没有设置操作超时锁定的配置建议设置操作超时锁定的配置，计算机配置管理模板Windows组件终端服务会话，启用“为断开的会话设置时间限制”；屏幕保护时间为3分钟高15主机安全-windows该系统没有设置单个用户对系统资源的最大或最小使用限度建议设置单个用户对系统资源的最大或最小使用限度中16主机安全-mysql数据库登录失败参数未设置建议数据库设置登录失败参数aborted_connects
13、 =5 connections=50 Max_used_connections=120高17主机安全-mysql数据库未启用安全的远程连接建议数据库启用安全的远程连接ssl高18主机安全-mysql数据库root账户权限未分离建议数据库分离root账户权限并分为系统管理员、安全管理员、安全审计员实行三权分立中19主机安全-mysql系统administrator账户权限未限制建议限制操作系统administrator账户权限高20主机安全-mysql数据库未限制终端登录建议数据库限制终端登录地址高21主机安全-mysql数据库未配置连接超时锁定功能建议数据库配置登录超时锁定功能高22主机安全-
14、mysql数据库未限制用户使用资源的最大最小限度建议数据库限制用户使用资源的最大最小限度中2.2.2.2 应用安全应用安全问题共10个，其中高风险问题6个，中风险问题3个，低风险问题1个。详细安全问题如下表所示：序号问题对象问题整改建议风险等级1应用安全应用系统未有登录失败相关功能建议应用系统增加账户登录失败处理相关功能高2应用安全应用系统未有登录失败相关功能建议应用系统增加账户登录失败处理相关功能高3应用安全应用系统采用http进行传输，无法保证通信过程中数据的完整性建议应用系统采用htpps进行传输，保证通信过程的完整性高4应用安全应用系统采用http进行传输，无法保证通信过程中数据的保密性建议应用系统采用https进行传输，保证通信过程中数据的保密性高5应用安全应用系统采用http进行通讯，未对报文或会话进行加密建议应用系统采用https进行传输，对通讯中整个报文或者会话进行加密处理高6应用安全-apache中间件未删除无用文件建议中间件删除cgi-bin,htdocs等无用文件高7应用安
