《大型企业等级保护安全建设整改方案.docx》由会员分享，可在线阅读，更多相关《大型企业等级保护安全建设整改方案.docx（38页珍藏版）》请在金锄头文库上搜索。
1、大型企业等级保护平安建设整改方案第1章工程概述41.1工程目标41.2工程范围41.3整改依据5第2章平安整改原那么5第3章系统现状分析63.1系统定级情况说明63.2业务系统说明63.3平安定级情况6第4章现网平安风险分析74.1网络平安风险74. 1. 1互联网出口未采用冗余架构74. 1.2缺少平安防护功能74. 1. 3弱资源控制74. 1.4弱设备平安84. 1. 5弱平安审计84. 1. 6缺少平安管理中心84.2主机平安风险81存在高风险平安漏洞8弱身份鉴别能力84. 2. 3弱访问控制能力94. 2. 4 弱平安审计能力9缺少入侵防范能力9缺少恶意代码防范能力9缺少资源控制能力
2、94.3应用平安风险91存在高风险平安漏洞10弱身份鉴别能力10未进行传输加密10缺少资源控制能力104.4数据平安和备份恢复风险104. 4. 1缺少数据完整性和数据保密性能力104.5管理平安风险104.5. 1缺少维护手册和用户操作规程114. 5. 2缺少执行记录和审批记录文件11缺少管理体系评审和修订11缺少总体建设规划和详细设计方案11工程验收和交付缺少局部环节11未定期进行应急演练114. 5. 7未定期进行平安评估和平安加固11缺少平安管理中心124. 3. 1存在高风险平安漏洞通过漏洞扫描和渗透测试，我们发现相关应用系统存在高风险平安漏洞： SQL盲注、URL重定向、跨站脚本
3、攻击等，极易引发平安事件。通过这些漏洞，攻击者可以对业务系统主机进行攻击，获得web应用的 权限和数据，甚至获取到主机权限。4. 3.2弱身份鉴别能力通过平安基线核查，我们发现0A系统上：应用系统没有登录失败处理； 没有用户身份鉴别信息复杂度检查；应用系统仅使用用户名加口令的单因素认 证方式；系统未设置超时自动退出功能。通过利用弱身份鉴别能力，攻击者可以对业务系统进行口令爆破，获得业 务系统的控制权限。同时，在拿到业务系统的控制权限后，攻击者还可以此为 跳板，对网络中的其他主机、设备进行监听和攻击。4. 3.3未进行传输加密通过平安基线核查，我们发现仓储系统上：应用系统未采用hash技术或 者
4、HTTPS协议，未能保证通信过程中数据的完整性与保密性、应用系统鉴别 信息明文传输。通过利用未进行传输加密，攻击者可嗅探网络数据窃取到应用传输消息， 甚至是用户鉴别信息、个人信息等敏感信息。4. 3.4缺少资源控制能力通过平安基线核查，我们发现0A系统：系统未对单个账户的多重并发会 话进行限制；未能够对系统服务水平降低到预先规定的最小值进行检测和报警。缺少资源控制能力容易导致系统资源被耗尽，容易遭受DDoS （分布式拒 绝攻击）的侵害。4.4数据平安和备份恢复风险4. 4.1缺少数据完整性和数据保密性能力通过平安基线核查，我们发现三个系统：未采取有效措施对数据完整性进 行检查；鉴别信息明文传输
5、，未能保证鉴别信息的通信和存储的保密性。 缺少数据完整性和数据保密性能力，容易导致数据被篡改和数据泄露的风险。 4. 5管理平安风险4. 5.1缺少维护手册和用户操作规程通过管理体系检查，我们发现现网的管理体系缺少网络设备、平安设备、 主机系统、应用系统、数据库的维护手册和用户操作规程等。4. 5.2缺少执行记录和审批记录文件通过管理体系检查，我们发现现网管理体系缺少各项信息平安关键事项的 执行记录和审批记录文件，如：备份恢复执行记录和审批记录、变更执行记录 和审批记录、防恶意代码检查记录执行记录和审批记录文、漏洞检查执行记录 和报告、日志审计执行记录和报告、补丁升级执行记录和审批记录文、平安
6、事 件处理记录和审批记录文、培训记录和考核记录、应急演练执行记录和报告等。 4. 5.3缺少管理体系评审和修订通过管理体系检查，我们发现管理体系缺少未定期对ISMS管理体系的合 理性和适用性进行评审和修订，以及ISMS执行和落实情况进行检查和审核。 4. 5.4缺少总体建设规划和详细设计方案过管理体系检查，我们发现ISMS管理体系未根据企业的平安需求和安 全目标，统一考虑平安保障体系的总体平安策略、平安技术框架、平安管理策 略设计总体建设规划和详细设计方案，并形成配套文件。4. 5.5工程验收和交付缺少局部环节通过对管理体系检查，我们发现ISMS管理体系未在工程的测试验收缺 少必要平安性测试和
7、平安报告，在工程交付中未未进行运维手册的定制。4. 5.6未定期进行应急演练通过管理体系检查，我们发现ISMS管理体系未在统一的应急预案框架 下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急 处理流程、系统恢复流程、事后教育和培训等内容，并定期进行应急演练及事 后教育和培训。4. 5.7未定期进行平安评估和平安加固通过管理体系检查，我们发现ISMS管理体系未定期进行恶意代码检查扫 描、漏洞扫描及漏洞加固、未定期进行整体的平安评估及风险整改。4. 5.8缺少平安管理中心通过网络架构分析、平安基线核查和管理体系检查，我们发现整体网络: 缺少平安管理中心，无法有效的组织相关人员定
8、期对检测和报警的记录进行分 析、评审和报告，无法对设备状态、恶意代码、补丁审计、平安审计等相关事 项进行集中管理，且系统中存在主机和web的高危漏洞。第5章平安需求分析5.1平安计算环境需求分析根据前期差距分析结果，该信息系统如果想到达等级保护三级关于平安计 算环境的要求，还需要满足以下需求：主机防病毒：该信息系统缺少主机防病毒的相关平安策略，需要配置网络版主 机防病毒系统，从而实现对全网主机的恶意代码防范。数据库审计：该信息系统缺少针对数据的审计设备，不能很好的满足主机平安 审计的要求，需要部署专业的数据库审计设备。运维堡垒主机：该信息系统无法实现管理员对网络设备和服务器进行管理时的 双因素
9、认证，需要部署堡垒机来实现。备份与恢复：该信息系统没有完善的数据备份与恢复方案，需要制定相关策略。 同时，该信息系统没有实现对关键网络设备的冗余，建议部署双链路确保设备 冗余。5.2平安区域边界需求分析据前期差距分析结果，该信息系统如果想到达等级保护三级关于平安区域 边界的要求，还需要满足以下需求：边界访问控制：该信息系统无法实现对边界的访问控制，需要部署防火墙等安 全设备来实现。边界入侵防范：该信息系统无法实现对边界的访问控制，需要部署防火墙等安 全设备来实现。边界恶意代码过滤：该信息系统无法实现对边界的访问控制，需要部署防火墙 等平安设备来实现。防web攻击：该信息系统无法实现对边界的访问
10、控制，需要部署防火墙等安 全设备来实现。平安域边界平安审计：该信息系统无法实现对边界的访问控制，需要部署署网 络平安审计等平安设备来实现。互联网出口平安审计：该信息系统无法实现对边界的访问控制，需要部署行为 管理等设备来实现。5.3平安通信网络需求分析根据前期差距分析结果，该信息系统如果想到达等级保护三级关于平安通 信网络的要求，还需要满足以下需求：通信完整性和保密性：该信息系统无法实现对边界的访问控制，需要部署SSL VPN等平安设备来实现。流量管理：该信息系统无法实现对边界的访问控制，需要部署流量管理系统等 平安设备来实现。5.4平安管理中心需求分析根据前期差距分析结果，该信息系统如果想到
11、达等级保护三级关于平安管 理中心的要求，还需要满足以下需求：统一日志平台：该信息系统无法实现对相关网络及平安设备的日志审计功能， 需要部署日志审计系统来实现。统一监控平台：该信息系统无法统一展示边界的平安威胁情况，需要部署平安 感知平台等来实现。统一管理平台：该信息系统无法实现对边界的访问控制，需要部署运维堡垒主 机来实现。第6章总体平安设计6.1总体设计目标本次平安等级保护整改方案设计的总体目标是依据国家等级保护的有关 标准和规范，结合现网信息系统的现状，对其进行重新规划和合规性整改，为 其建立一个完整的平安保障体系，有效保障其系统业务的正常开展，保护敏感 数据信息的平安，保证信息系统的平安
12、防护能力到达信息平安技术信息系 统平安等级保护基本要求中第三级的相关技术和管理要求。6.2总体平安体系设计本工程提出的等级保护体系模型，必须依照国家等级保护的相关要求，利 用密码、代码验证、可信接入控制等核心技术，在“一个中心三重防御”的框 架下实现对信息系统的全面防护。平安管理中心平安管理中心是整个等级保护体系中对信息系统进行集中平安管理的平 台，是信息系统做到可测、可控、可管理的必要手段和措施。依照信息系统等 级保护平安设计技术要求中对平安管理中心的要求，一个符合基于可信计算和 主动防御的等级保护体系模型的平安管理中心应至少包含以下三个局部： 系统管理实现对系统资源和运行的配置。控制和管理
13、，并对系统管理员进行身份鉴 别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进 行审计。平安管理实现对系统中的主体、客体进行统一标记，对主体进行授权，配置一致的 平安策略，确保标记、授权和平安策略的数据完整性，并对平安管理员进行身 份鉴别，只允许其通过特定的命令或操作界面进行平安管理操作，并进行审计。 审计管理实现对系统各个组成局部的平安审计机制进行集中管理，包括根据平安审 计策略对审计记录进行分类；提供按时间段开启和关闭相应类型的平安审计机 制；对各类审计记录进行存储、管理和查询等；对审计记录应进行分析，根据 分析结果进行处理。此外，对平安审计员进行身份鉴别，只允许其通过特
14、定的 命令或操作界面进行平安审计操作。此外，平安管理中心应做到技术与管理并重，加强在平安管理制度、平安 管理机构、人员平安管理、系统建设管理和系统运维管理等方面的管理力度, 规范平安管理操作规程，建立完善的平安管理制度集。平安计算环境参照基于可信计算和主动防御的等级保护模型，平安计算环境可划分成节 点和典型应用两个子系统。在解决方案中，这两个子系统都将通过终端平安保 护体系的建立来实现。信息平安事故的源头主要集中在用户终端，要实现一个可信的、平安的计 算环境，就必须从终端平安抓起。因此，依照等级保护在身份鉴别，访问控制 （包括强制访问控制）、网络行为控制（包括上网控制、违规外联的控制）、 应用
15、平安、数据平安、平安审计等方面的技术要求，可充分结合可信计算技术 和主动防御技术的先进性和平安性，提出一个基于可信计算和主动防御的终端 平安保护体系模型，以实现从应用层、系统层、核心层三个方面对计算环境的 全面防护。平安区域边界为保护边界平安，本解决方案针对构建一个平安的区域边界提出的解决手 段是在被保护的信息边界部署一个“应用访问控制系统”。该系统应可以实现 以下功能：信息层的自主和强制访问控制、防范SQL注入攻击和跨站攻击、 抗DoS/DDoS攻击端口扫描、数据包过滤、网络地址换、平安审计等。由于国 内外在这一方面的相关技术非常成熟，因此，在本次系统整改总体设计中更多 的是考虑如何将防火墙
16、、防病毒网关、网络平安审计系统、IDS、IPS等有 机地结合在一起，实现协同防护和联动处理。此外，对于不同平安等级信息系统之间的互连边界，可根据依照信息流向 的高低，部署防火墙或平安隔离与信息交换系统，并配置相应的平安策略以实 现对信息流向的控制。平安通信网络目前，在通信网络平安方面，采用密码等核心技术实现的各类VPN都可 以很有效的解决这类问题，到达在满足等级保护相关要求的同时，可灵活提高 通信网络平安性的效果。6.3平安域划分说明平安域的划分是网络防护的基础，事实上每一个平安边界所包含的区域都 形成了一个平安域。这些区域具有不同的使命，具有不同的功能，分域保护的 框架为明确各个域的平安等级奠定了基础，保证
