XXX安全建设方案

2023-4-19

概述

背景

作为国家信息安全保障体系建设的政策标准，等级保护提出信息系统的运营、使用单位应当依照等级保护的办法及其相关标准规范，履行信息安全等级保护的义务和责任，同时还提出了五个级别的信息系统建设要求，从信息系统保护等级的划分定义可以看到，等级保护高度关注国家利益和社会秩序，信息系统的信息系统一旦被破坏后可能对社会秩序和公众利益造成严重损害，因此其信息系统建议参考等保三级的标准建设。

设计目标

本次XX单位核心业务系统等级保护安全建设的主要目标是：

按照等级保护要求，结合实际业务系统，建设一套符合国家政策要求、覆盖全面、重点突出、持续运行的信息安全保障体系，达到国内一流的信息安全保障水平，支撑和保障信息系统和业务的安全稳定运行。该体系覆盖信息系统安全所要求的各项内容，符合信息系统的业务特性和发展战略，将单位核心业务系统建设成为一个及满足业务需要，又符合等级保护三级系统要求的业务平台。

设计原则

等级保护是国家信息安全建设的重要政策，其核心是对信息系统分等级、按标准进行建设、管理和监督。对于贵单位的信息安全建设，应当以适度风险为核心，以重点保护为原则，从业务的角度出发，重点保护重要的业务、研发类信息系统，在方案设计中应当遵循以下的原则：

适度安全原则

任何信息系统都不能做到绝对的安全，在进行单位信息安全等级保护规划中，要在安全需求、安全风险和安全成本之间进行平衡和折中，过多的安全要求必将造成安全成本的迅速增加和运行的复杂性。

适度安全也是等级保护建设的初衷，因此在进行等级保护设计的过程中，一方面要严格遵循基本要求，从网络、主机、应用、数据等层面加强防护措施，保障信息系统的机密性、完整性和可用性，另外也要综合成本的角度，针对公司信息系统的实际风险，提出对应的保护强度，并按照保护强度进行安全防护系统的设计和建设，从而有效控制成本。

重点保护原则

根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统；本方案在设计中将重点保护贵单位公司涉及生产、研发、销售等关键业务的信息系统，对其他信息系统则降低保护等级进行一般性设计和防护；

技术管理并重原则

信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的，仅仅通过部署安全产品很难完全覆盖贵单位所有的信息安全问题，因此必须要把技术措施和管理措施结合起来，更有效的保障贵单位信息系统的整体安全性，形成技术和管理两个部分的建设方案；

分区分域建设原则

对信息系统进行安全保护的有效方法就是分区分域，由于信息系统中各个信息资产的重要性是不同的，并且访问特点也不尽相同，因此需要把具有相似特点的信息资产集合起来，进行总体防护，从而可更好地保障安全策略的有效性和一致性，比如把业务服务器集中起来单独隔离，然后根据各业务部门的访问需求进行隔离和访问控制；另外分区分域还有助于对网络系统进行集中管理，一旦其中某些安全区域内发生安全事件，可通过严格的边界安全防护限制事件在整网蔓延；

动态调整原则

信息安全问题不是静态的，它总是随着贵单位管理相关的组织策略、组织架构、信息系统和操作流程的改变而改变，因此必须要跟踪信息系统的变化情况，调整安全保护措施；

标准性原则

信息安全建设是非常复杂的过程，在设计信息安全系统，进行安全体系规划中单纯依赖经验，是无法对抗未知的威胁和攻击，因此需要遵循相应的安全标准，从更全面的角度进行差异性分析，是本方案重点强调的设计原则；

成熟性原则

原则本方案设计采取的安全措施和产品，在技术上是成熟的，是被检验确实能够解决安全问题并在很多项目中有成功应用的；

科学性原则

本方案的设计是建立在对贵单位公司进行安全评估基础上的，在威胁分析、弱点分析和风险分析方面，是建立在客观评价的基础上而展开分析的结果，因此方案设计的措施和策略一方面能够符合国家等级保护的相关要求，另一方面也能够很好地解决贵单位公司信息网络中存在的安全问题，满足特性需求。

参考标准

本方案根据国家提出的等级保护管理办法和实施指南，针对贵单位信息系统的特点和安全建设需求，进行全面的安全保障规划，为保证整个项目的实施质量和圆满完成本次项目的项目目标，在整个项目的设计规划中将遵循以下标准：

《中华人民共和国计算机信息系统安全保护条例》（国务院[1994] 147号）
《国家信息化领导小组关于加强信息安全保障工作的意见》（申发办[2003] 127号）
《信息安全等级保护管理办法》（公通字[2007] 43号）

标准规范

GBT22239-2019信息安全技术网络安全等级保护基本要求
GBT25070-2019信息安全技术网络安全等级保护安全设计技术要求
GBT28448-2019信息安全技术网络安全等级保护测评要求

需求分析

风险分析

由于在网络技术与协议上的开放性，使得网络中存在着各种类型的安全隐患和潜在的危险，而贵单位已接入互联网，黑客及怀有恶意的人员将可能利用这些安全隐患对网络进行攻击，造成严重的后果。因此如何保护重要信息不受黑客和不法分子的入侵，保证系统的可用性、安全性和完整性等的问题摆在我们面前。下面我们根据系统的实际情况分析，结合行业用户的安全现状以及存在的安全问题，对网络中潜在的安全威胁与安全隐患进行分析：

1、来自“外部”的入侵：平台的网络具有一定的开放性，集团总部已有第三方接入、后期也会考虑更多的互联网接入，如果没有做到很好的安全防范措施，就很容易遭到不法分子甚至黑客的攻击，内部数据就有了被窃取、篡改等的可能性。

2、非授权访问：有意避开系统访问控制机制，对系统设备及资源进行非正常使用，擅自扩大权限，越权访问信息。在网络中具体表现在：

破坏信息的完整性；
更改信息的内容、形式；
删除某个消息或消息的某些部分；
在消息中插入一些信息，让数据产生错误。

3、冒充合法用户：网上“黑客”非法增加节点，使用假冒主机欺骗合法用户及主机；使用假冒的系统控制程序套取或修改使用权限、口令、密钥等信息，然后，利用这些信息进行登录，从而达到欺骗系统，占用合法用户资源的目的。类似的问题，如下：

假冒主机欺骗合法主机及合法用户；
假冒网络控制程序套取或修改使用权限等信息，越权使用网络设备和资源；
接管合法用户，欺骗系统，占用合法用户的资源。

4、破坏数据的完整性：以非法手段窃得对数据的使用权，删除、修改或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。

5、数据篡改与丢失：对于贵单位来说各类业务数据是最重要的资产，随着信息化的发展，信息平台中的数据也成为信息安全所要考虑的重点。现有的许多安全事件证明入侵者的最终目的往往是针对核心数据，对重要数据的窃取、篡改、破坏，而这些等将带来巨大的损失，因此如何保核心业务数据的完整性、可靠性、保密性及不可抵赖性是本项目中信息安全建设需要考虑的重点。

6、破坏系统的可用性：不断对服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪。影响正常用户的使用。如：

使合法用户不能正常访问网络资源；
使有严格时间要求的服务不能及时得到响应；
更改信息发布系统发布的内容，造成不良的影响。

7、网络病毒问题：近来频繁爆发的各种通过电子邮件、文件共享等传播的网络蠕虫病毒对整个网络的威胁日益增加。

8、来自内部人员的威胁：如果内部员工的计算机遭到黑客的攻击，黑客就可以再利用它作为跳板，攻击重要的服务器；而且来自于内部员工（或者内外勾结）的破坏行为，往往对整个系统的破坏作用将更大。因此登录平台系统也同样面临来自内部人员的威胁。

内部安全威胁包括两个方面：一是内部员工的恶意攻击，由于在网络内部较网络外部更容易直接通过局域网连接到核心服务器等关键设备，尤其是管理员拥有一定的权限可以轻而易举地对内网进行破坏，造成严重后果。另外一方面是由于内部人员的误操作，或者为了贪图方便绕过安全系统等违规的操作从而对网络构成威胁。由此看来，网络内部安全更需要引起重视。

9、安全管理比较薄弱：随着网络安全事件的频繁发生，各类信息化单位开始纷纷加强投入信息安全方面的建设，越来越多的各项安全技术、产品被广泛的使用，但目前许多用户在安全管理方面比较薄弱。在技术上缺乏完善的安全管理平台，对所有的安全系统进行统一协调的管理，将它们融合为一个整体；而在管理上缺乏良好的安全管理体制和策略，包括制度的不完善、机构混乱、策略不统一等都需要提高，而这些直接导致了整个安全体系的华而不实，造成网络整体安全防御能力的下降，无法真正达到等级保护的安全需求。

合规性需求分析

从现场了解以及分析拓扑图的情况来看，目前贵单位集团总部和分公司均已建设了2层防火墙防护和第三层入侵防御（IPS）防护，对单位内部网络已经有了初步的安全防护措施，但是结合单位业务及资产的重要性，这些基本防护措施还远远不够，还需要更强的安全防护手段。

结合国家对重要信息系统划分等级进行保护的要求，我们建议贵单位参考等保三级的防护要求进行安全建设，当然，我们建议贵单位根据业务实情和安全建设现状进行调整。

下表为等级保护基本要求项（三级）和参考安全产品措施：

作用层面	对应等级保护基本要求项（三级）对应章节	安全设备/产品	备注
主机安全	7.1.3.5	主机入侵检测
	7.1.3.6	主机防病毒系统
	7.1.3.1	CA认证系统
	7.1.3.5	漏洞扫描系统
	7.1.3.7	终端管理系统	非法内联
	7.1.3.3	主机审计
	7.1.3.1	堡垒主机	针对远程登录服务器的运维人员进行身份鉴别、登录控制和操作授权和记录。
	7.1.3.2；7.1.3.3；7.1.3.7	服务器加固系统	考虑成本因素，可人工代替。
	7.1.3.2；7.1.3.4	安全操作系统	可选（成本太高），"剩余信息保护"、"客体重用"一直都被当做是等保建设及测评的放弃项。
	7.1.3.3	数据库审计
	7.1.3.2；7.1.3.4	安全数据库	可选（成本太高），"剩余信息保护"、"客体重用"一直都被当做是等保建设及测评的放弃项。
	7.1.3.2；7.1.3.3；7.1.3.7	数据库加固系统	考虑成本因素，可人工代替。
数据安全	7.1.5	数据加密/文档加密（可选）
网络安全	7.1.2.1；7.1.2.2	防火墙/UTM/网闸
	7.1.2.3	网络审计
	7.1.2.4	网络安全准入	非法内联、外联
	7.1.2.5	入侵检测/防御
	7.1.2.6	防病毒过滤网关
	7.1.2.1；7.1.2.2	流量管控
	7.1.2.7	堡垒主机/运维审计	针对远程登录网络设备的运维人员进行身份鉴别、登录控制和操作授权和记录。
	7.1.2.1；7.1.2.5	抗DDOS（可选）
应用安全	7.1.4.5；7.1.4.6；7.1.4.7	VPN/加密机	可结合PKI/CA建立基于基础公钥设施的身份鉴别和传输数据保护机制。与计算环境的CA认证系统一致建设。
网络、主机、应用对日志的集中收集、分析要求		日志审计
安全管理	7.2.5.5；7.2.5.6	安全管理中心
安全管理	7.2.5.6	运维管理系统
入侵监测	等保2.0新增	实现对网络攻击特别是未知的新型网络攻击的监测和分析

安全性需求分析

安全需求分析是建立良好的安全体系的前提条件，我们将从各方面实际安全需求出发，根据对用户网络系统脆弱性的分析，以及对相关网络和应用的需求分析，我们把整体的安全需求根据不同的侧重点，从安全管理需求、物理与链路层安全需求、网络层安全需求、系统层安全需求、应用层安全需求这几个方面进行展开。其中涵盖了整个信息系统的每个层次，具有一定的纵深性和涵盖面，其中安全管理部分我们认为是其中重要的一项，因为完善的安全防御体系是以各类安全技术的应用加以安全管理贯穿于始终，才能实现安全系统的良好运作发挥其性能。通过对登录平台中各方面的安全需求分析，然后再进一步做到从用户需求出发，进行信息安全体系的总体设计。

下面我们来具体针对各部分需求详细描述。

国家政策需求分析

2007年公安部等四部委联合出台了《信息安全等级保护管理办法》，该文件是在开展信息系统安全等级保护基础调查工作和信息安全等级保护试点工作基础上，由四部委共同会签印发的重要管理规范，主要内容包括信息安全等级保护制度的基本内容、流程及工作要求，信息系统定级、备案、安全建设整改、等级测评的实施与管理，信息安全产品和测评机构选择等，为开展信息安全等级保护工作提供了规范保障。

2009年，在全国信息系统安全等级保护定级工作基础上，公安部又印发了《关于开展信息安全等级保护安全建设整改工作的指导意见》，开始部署开展信息系统等级保护安全建设整改工作。2009年下半年公安部组织各部委和各行业开展了信息安全等级保护安全建设整改工作的集中培训，明确了我国信息安全等级保护安全建设整改工作的工作目标、工作对象、工作内容和要求，并对具体的工作流程和工作方法提出了指导意见。要求各行业利用三年时间，通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评等三项重点工作，落实等级保护制度的各项要求。

。

安全管理需求

世界上没有百分之百的安全系统，再优秀的安全产品和安全体系没有统一的策略与管理无法提供良好安全防护能力。因此本方案中我们将安全管理作为重点，以安全管理为核心，通过对各安全产品的统一调控和管理，实现整体安全体系架构的建设。安全管理主要由安全管理技术和安全管理体制组成。

为达到等级保护三级的相关管理要求，建立一套统一安全管理平台是十分必要的，统一安全管理平台是整个安全体系的基础平台和核心。通过建立安全管理平台，希望能够达成以下要求：

建立全网的安全管理与监控中心。
对全网所有系统的运行状况进行监控，保障系统运行安全，监控和保护信息处理过程的安全。运行安全保障的目标包括：操作系统、各类安全产品、主要网络设备、主要应用系统等。
安全管理平台将把所有其它孤立的安全产品集成到一起，一方面对这些产品提供互相交互的机制，一方面对管理层提供统一的数据汇总；警报和管理的机制。
建立一个全网的应急响应和反馈机制。对网络外部和内部人员的入侵、越权和误操作等行为进行监控，及时以各种形式，向控制中心发出警报，更重要的是，在紧急情况下，能够依据系统设定的规则，自动的与其它相关产品协同一致，切断非法行为，隔离破坏者，缓解破坏的程度等。
提供详细的审计和事后日志纪录，并通过对相关历史纪录的数据挖掘和分析，获得有价值的统计、分析报告，并为追查可能发生的安全事件提供证据。

链路层安全需求

数据传输链路安全方面需求如下：

考虑到大量内部的数据跨过互联网进行传输，可能被它人窃听和破坏，对数据的传输的安全具有以下需求：
信息在传输过程中保持保密性、完整性、可靠性，防篡改，拟使用相关加密产品，对数据的传输进行加密，对传输双方的身份加以鉴别。
关键信息传输的链路必须通过备份链路等方式，保证相关信息的传输不受到人为、物理的其它因素的影响。
结合登录平台的设计情况来看，网络的可用性也是安全系统的建设重点，在此基础上综合考虑可用性以及保密性的要求。

网络层安全需求

网络层是网络入侵者进攻信息系统的渠道和通路。许多安全问题都集中体现在网络的安全方面，因此在本项目的安全系统建设中，网络平台安全体系的需求主要体现在：

网络安全优化

主要包括根据不同网段的不同功能要求和不同的安全等级，对整个网络体系架构进行相关的安全域划分。并根据不同的安全需求，设立相关访问控制。对现有的网络设备加强安全策略配置如访问控制列表，进行严格的访问控制。

抗DDOS/异常流量清洗

当前，针对网络的DDOS攻击是各单位常碰到的最为棘手的威胁，DDOS攻击一旦发生，会造成网络带宽被占用、应用系统无法访问，给单位造成不良的影响和业务的中断，是目前最为严重的网络威胁。抗DDOS/异常流量清洗部署在网络出口，可以抵御各种DDOS攻击。

防火墙

防火墙是网络层安全领域最成熟、使用最广泛的技术，用于割断信任网络与不信任网络的有效工具。在网络中部署防火墙隔离内外网，设置各级安全屏蔽，将全网在网络上分割为相对独立的子网，防止来自外部的非法访问和操作。

网络入侵检测/入侵防御与安全审计系统

建立网络入侵检测与安全审计系统，及时监测并报告来自外部和网络其它部分的黑客入侵行为，拒绝服务攻击，违规操作等，并能对相关入侵行为进行主动反馈，报警和阻断。

网络安全监管与故障处理

通过建立网络管理系统，实现对全网关键网络设备的运行状态、链路的情况进行实时监控与管理，及时发现网络故障情况，并采取相应的响应报警机制，马上通知管理人员进行处理，尽量保障网络的可用性。

网络设备与链路的安全

对关键的网络设备以及链路建立相应的安全机制，如建立备份通道，以便在主通道发生故障的情况，及时采用备份通道，最大程度的保障网络的可用性。

主机与系统层安全需求

主机平台安全的主要需求包括，通过相关的技术手段和措施，保障系统内部所有相关主机及操作系统，主流应用软件，客户端系统不受到恶意的攻击和破坏。在登录平台系统中，主机与系统层安全需求主要包括：

主机系统漏洞扫描与加固

采用安全扫描技术，对网络中关键的主机和服务器进行定期漏洞扫描与评估，针对相关的系统漏洞，自动提出修补的措施，并定期进行相关操作系统的裁剪、修补和加固的工作。

操作系统安全

通过使用主机访问控制等技术措施及手段，对系统中的主机与服务器系统严格划分、管理、控制用户的权限和行为，增强操作系统的健壮性以及安全性，使操作系统达到更高层次的安全级别。

网络病毒防杀系统

建立全网的病毒检测与防范系统，及时检测和控制各种文件、宏和其它网络病毒的传播和破坏，具有集中统一的管理界面，系统具有自动升级，自动数据更新，可管理性等特性。

主机安全监管

通过网络安全综合管理，对关键主机和服务器系统的运行状态、资源的使用情况、安全日志等进行监管，及时发现系统的异常行为和故障，保障主机与业务系统的可用性。

系统冗余和备份

针对关键的主机应用系统，应该建立相应的系统冗余与备份措施，如可通过服务器集群、双机热备等措施，最大程度保障主机系统的可用性，最大程度的保障业务的连续性。

应用与数据安全需求

应用平台安全是系统最终保障的目标，数据的保密性、高可靠性和防篡改等特性，以及应用系统对于系统功能和相关数据的严格控制，将成为整个应用和数据安全体系的主要需求。在安全系统建设过程中，应用安全需求具体包括：

建立PKI/CA体系，为应用安全提供认证、加密、数字签名、数据完整性等功能和服务。
要求应用利用授权管理和身份认证的机制，建立安全的应用体系架构。从而能够确保对使用应用系统的用户的辨识和访问控制，例如：领导，机关人员等不同的用户级别和不同级别的验证方式。
建立数据备份中心，有效地建立数据的本地在线备份的机制，确保数据在意外情况下的及时恢复，建立灾难和应急相应机制。
实时监控数据库以及应用系统的关键性操作，并且对意外事件提供反应措施，从而进一步增加对网络及信息资源的可控性；
通过网络安全综合管理系统，对关键应用和业务系统的运行状态进行监管，及时发现并排除应用故障问题，保障业务的连续性。
通过堡垒机加强对数据库以及重要主机的操作行为的保护。

基础设施设备需求分析

目前路由器华为AR2240，3层接口已经不满足现有业务需求，需对现有路由器进行扩容升级。当前设备配备8口2层板卡和8口E1板卡，后续需要根据业务需要进行办卡及接口升级扩容。
测试并新购路由器一台，用于满足现有及未来业务增长需求。
现有的磁盘阵列为华为5500V3,现已不能满足业务增长需要，特对华为5500V3的存储空间进行扩容。
总公司新购精密空调1套，室内机占地面积不大于1M*1M。
蜀汉路机房新购UPS，220V单进单出，功率不大于20KVA，不小于12KVA。

总体安全规划设计

总体设计思路

为了有效的集成、整合信息系统，解决因内外部频繁进行信息交换而面临的数据和网络问题，为业务提供更加方便、高效的支撑服务能力，在进行应用和数据有效共享的同时，亟需保证应用和数据的安全性。这就要求建立一个具有安全纵身防御体系、整合能力强、扩展性良好的外网与内网数据连接通道，实现信息的快捷流通和有效共享。

由于信息的敏感性，信息化快速建设的过程中，不仅考虑某个业务功能实现，同时应根据国家和行业的相关政策和规范，保护信息、数据的安全性。这就需要在登录平台系统的信息化建设过程中，逐步建立起适应业务发展要求的信息安全整体保障体系，面向今后的业务发展，进行全局的信息安全保障体系设计与规划，将已建的安全设施逐步纳入到保障体系中，减少重复安全投资，提高安全保障能力和效果。

围绕等级化信息安全保障体系建设，结合登录平台当前信息安全需求，亟需集中解决以下关键性问题：

针对外网数据共享交互问题，需要外网交互通道之间设计安全访问控制措施，能够兼容异构环境下的安全控制技术；
针对外网数据共享后的安全问题，为确保业务应用与数据安全，在建立信息安全技术体系的基础上，运用体系化的纵身防御模型，对办公外网各信息系统的各个区域、各个层次，甚至每一个层次内部部署信息安全措施，实现对信息安全和业务运行综合防护；
针对新业务发展和安全要求，逐步建立并完善信息安全管理体系，确保技术、管理、运维三者相互支撑、相互配合；
针对公安等外部监管机构的合规要求，全面建立安全保障体系，达到等级保护三级的相关要求。

综上所述，在本方案中结合了的业务特点和安全需求，系统的提出了信息安全保障体系的总体设计规划。

设计原则

安全规划方案设计遵循以下原则：

整体性：从整体出发、全面考虑各个方面的安全问题，综合运用技术手段和管理手段进行安全防护。
合规性：符合国家信息安全保障体系的总体要求，符合国家信息安全等级保护和国家密码管理等相关制度、标准的要求。
重点保护：遵循国家信息安全等级保护相关标准规范，结合信息系统特点，优先保护重要信息系统，优先满足重点信息安全需求
针对性：根据贵单位的组织结构特点、网络特点和业务特点，有针对性地提供安全防护措施，对信息系统进行有效、适度的防护。
可持续性：安全体系的设计可满足信息系统全生命周期的持续安全保障。
可实施性：安全体系要符合贵单位的业务特性和安全现状，提供可行的实施方案与规划，具备较强的可操作和可落实。
先进性：安全体系的设计要具有一定的前瞻性，要考虑安全技术的发展趋势，满足业务未来发展的需求。

安全保障体系化设计框架

一个完整的信息安全保障体系包括管理体系、技术体系、运维体系信息安全保障体系框架。三个体系有机结合，相互支撑。安全体系框架如下图所示：

总体信息安全规划设计框架

等级保护安全方案的设计思想是以等级保护的“一个中心、三重防护”为核心指导思想，构建集防护、检测、响应、恢复于一体的全面的安全保障体系。具体即体现为：以全面贯彻落实等级保护制度为核心，打造科学实用的信息安全防护能力、安全风险监测能力、应急响应能力和灾难恢复能力，从安全技术、安全管理、安全运维三个维度构建安全防护体系，切实保障信息安全总体防护水平。

信息安全管理体系是为保障信息安全而采取的一系列管理措施的总和，内容主要包括建立健全信息安全组织体系和信息安全策略体系。

信息安全技术体系是为保障信息安全而采取的一系列技术措施的总和，内容主要包括网络安全、主机安全、应用安全、数据安全、基础设施等。

信息安全运维体系是为保障管理措施和技术措施有效实现信息安全而采取的一系列活动的总和，内容主要包括安全评估、安全加固、安全巡检、应急响应、安全通告、安全培训、上线检测等。

等级保护体系规划

信息安全保障体系的建设不是单个环节、单一层面上问题的解决，必须是全方位地、多层次地从技术、管理、运维等多方面进行全面的安全设计和建设，从而有效保证和提高登录平台信息系统抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。

技术体系规划

登录平台的信息安全技术体系规划结合信息系统现状、安全需求和业务发展实际需要，信息安全技术规划包括：网络安全、主机安全、应用安全、数据安全、基础设施多个层面。

网络安全：采用防火墙、入侵检测/防御、流量控制、网闸等技术实现网络安全域划分、防御外部威胁的侵入、分配网络流量保障业务持续，形成从内到外的防护体系。

主机安全：采用防病毒技术、漏洞扫描等技术统一管控终端实现补丁分发、病毒防护、策略定制、发现系统存在的漏洞和风险，降低终端维护和管理工作量，避免终端造成的大面积病毒爆发。

应用安全：采用应用防火墙技术、堡垒机、安全审计等技术实现应用层威胁防护、实现运维人员对数据库、主机、网络设备操作全记录，事前有控制、事中有预警、事后可追溯。

数据安全：采用VPN技术提供安全访问通道，解决数据安全传输的需求，同时可以解决用户外出办公的实际需要。

基础设施：采用PKI/CA技术建立统一认证和授权体系，降低了日常运行的维护和管理成本，加强系统的安全控制。

管理体系规划

信息系统安全是“三分技术、七分管理”，在加强安全防护技术的前提下，必须得到高级管理层的高度重视和密切配合，必须建立信息安全管理体系，并保障其有效落实。

安全管理体系是由两部分组成的。一部分是一系列安全策略和技术管理规范（第一、二层），另一部分是实施层面的工作流程（第三层）。

安全管理体系总纲（以下简称总纲）位于安全体系的第一层，是整个安全体系的最高纲领。它主要阐述安全的必要性、基本原则及宏观策略。总纲具有高度的概括性，涵盖了技术和管理两个方面，对各方面的安全工作具有通用性。

安全管理体系的第二层是一系列的管理规定和技术规范，是对总纲的分解和进一步阐述，侧重于共性问题、操作实施和管理考核，提出具体的要求，对安全工作具有实际的指导作用。

安全管理体系的第三层是操作层面，它根据第一层和第二层的要求，结合具体的网络和应用环境，制订具体实施的细则、流程等，具备最直观的可操作性。

安全管理体系也包含了实施层面的工作流程，结合三层安全策略，进行具体实施和检查考核，同时遵循动态管理和PDCA闭环管理的原则，通过定期的评评估不断修改完善，维持安全防护水平。

运维体系规划

信息安全运维体系是在安全管理体系和安全技术体系的运行过程中，发现和纠正各类安全保障措施存在的问题和不足，保证它们稳定可靠运行，有效执行规定的目标和原则。当运行维护过程中发现目前的信息安全保障体系不能满足信息化建设的需要时，应当制订新的安全保障体系建设规划，进而通过新一轮信息安全保障体系建设，使安全保障体系的保障能力得到全面提升。

信息安全运维体系涵盖等级保护以及ITSM服务体系规范要求，建设内容包括：安全评估、安全加固、安全巡检、应急响应、安全通告、安全培训、系统上线检测；周期性开展相关工作，加强日常维护管理、全面提高紧急事件响应能力、进行绩效评估与改进等。

信息安全体系详细设计

通过本文信息系统现状和安全需求的综合分析，拟定贵单位信息安全的重点建设工作如下：

安全技术体系建设
安全域划分（如需要）
抗DDOS/异常流量清洗系统实施
防火墙系统实施
入侵防御系统实施
入侵检测系统实施
漏洞扫描系统实施
WEB应用防护系统实施
网页防篡改系统实施
VPN系统实施
防病毒系统实施
网络与数据库审计系统实施
堡垒机系统实施
终端安全管理系统实施
上网行为管理系统实施
安全管理系统实施
安全管理体系建设
安全运维体系建设
安全评估
安全加固
安全巡检
应急响应
安全通告
安全培训
系统上线检查

安全域划分

按照等级保护中的相关要求:

应按照信息系统的业务类别、安全等级保护等因素，划分为不同的安全域；

安全域就是由实施共同安全策略的主体和客体组成的集合。网络安全域是指同一系统内有相同或相似的安全保护需求，相互信任，并具有相同或相似的安全访问控制和边界控制策略的子网或网络，相同或相似的网络安全域共享一样的安全策略。

安全域的概念中所定义的，具有相同和相似的安全要求和策略的IT要素的集合。这些IT系统要素包括：

网络区域
主机和系统
人和组织
物理环境
策略和流程
业务和使命
……

安全域作用

安全域的重要作用为理顺系统架构。组织通过安全域划分，可以帮助理顺网络的应用系统的架构，使得信息系统的逻辑结构更加清晰，从而更便于进行运行维护和各类安全防护的设计。

安全域的建设可以最大程度地为系统防护提供依据。组织内进行了安全域的设计和划分，便于组织发现现有信息系统的缺陷和不足，并为今后进行系统改造和新系统的设计提供相关依据，也简化了新系统安全防护的设计过程。特别是针对组织的分支机构，安全域划分的方案也有利于协助它们进行系统安全规划和防护，从而进行规范的、有效的安全建设工作。

安全域设计基本原则

安全域的理论和方法所遵循的根本原则如下：

业务保障原则：安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。
结构简化原则：安全域方法的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，否则可能导致安全域的管理过于复杂和困难。
分级保护原则：安全域的划分要做到每个安全域的信息资产价值相近，具有相同或相近的密级分级、安全环境、安全策略等。
立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应用等层次；同时，在部署安全域防护体系的时候，要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。
生命周期原则：对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。

安全域划分方法

安全域划分的基本方法，大体有以下三种：

业务域：按照业务系统的划分确定安全域，每个业务系统（或每个业务系统群）成为一个安全域，如按照不同的业务部门划分，或按照办公网、生产网等分类划分。这种方法的优点在于：自然形成、划分简单。由于信息系统在规划时基本已经按照业务系统进行划分，因此按照业务系统划分安全域是对现有系统改动最小的方式。缺点在于：防护复杂、重复投资。由于类似的业务系统都需要采用同样的防护手段，因此会在安全防护上重复投资，同时由于每个业务系统都会涉及到各种威胁方式，所以对每个业务系统的防护也会相当复杂，基本上不会简化安全防护的复杂度。
等级域：将现有信息系统按照信息资产的价值进行分级，并将同样级别的信息系统汇总在一起形成等级域，假定同一域中的不同资产相互信任，因此只需要对每个域采用一次防护手段。这种方法的优点在于：防护简单，保护投资。等级域的防护较为简单，而且因为安全防护措施公用，所以能有效地保护安全投资，并且在今后信息系统设计和规划方面也都较为清晰。缺点在于：改动较大，难以操作。由于等级域与一般信息系统的架构有很大差别，因此割接成本非常高，同时等级域并没有考虑到业务系统得易用性和性能，因此可能会与业务系统有较大冲突。
行为域：行为域是介于业务域和等级域之间的划分方式，它既考虑了防护的等级，同时也考虑了业务系统的现状，行为域按照信息子系统的不同行为和需求划分单元，并根据信息子系统的等级和特点选择相应的防护措施。目前国际上最常见的安全域划分方式就是行为域，这种方法继承了业务域和等级域的一些优点，存在的缺点在于它对业务域和等级域的优点都突出得不够。

贵单位的安全方案，将按照“等级域”设计思路，采用 “3+1同构性简化”的安全域划分方法，进行安全域划分。

“3+1同构性简化”的安全域划分方法，是将网络和系统按照其角色和功能，分为安全服务域、安全接入域、安全互联域以及安全支撑域四类。在此基础上确定不同区域的信息系统安全保护等级。同一区域内的资产实施统一的保护，如进出信息保护机制，访问控制，物理安全特性等。

安全计算环境设计

贵单位将根据等级保护三级系统的基本要求和安全技术设计规范的内容，三级计算环境的安全保障将实现安全操作系统、安全数据库、集中安全审计、主机入侵防范、主机防恶意代码以及数据备份及故障恢复等措施。

业务应用系统安全设计

由于一般的应用系统均无法满足等级保护三级要求，需要对系统进行安全加固以满足等级保护要求及业务需求。

防范拒绝服务攻击

拒绝服务攻击可能会造成系统无法正常工作，或使得外网应用业务的对外服务所需的带宽较少。因此采用入侵防御系统开启抗拒绝服务功能模块防范拒绝服务攻击。

通过入侵防御的抗拒绝服务功能，防范以下常见攻击方式:

TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、BigPing、OOB、SYN Flood、UDP Flood、DNS Flood、 ICMP Flood、TCP Flood、XDOS、HGOD、SYNKILLER、CC、GZDOS、PKDOS、JDOS、KKDOS、SUPERDDOS、FATBOY、SYNKFW、DDOSBINGDUN等流行的DDOS 攻击。

防范ASP、PHP、PERL、JSP等脚本程序的洪水式Flood调用导致数据库和WEB崩溃的拒绝服务攻击，防范CC攻击。

资源控制

按照等级保护的要求，应采用技术手段控制，最大并发连接数、单个帐户的多重并发数、一个时间段内可能的并发连接数。

采用负载均衡系统，可以有效的扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。

漏洞扫描

采用漏洞扫描系统，定期对应用系统进行检查。确保不存在常见的漏洞。

数据备份

可以由管理员指定数据备份策略，定期把数据备份到安全的服务器上，一旦出现突发情况，可以快速恢复。

此外针对各个web系统，可以采用主页防篡改系统，实现对网站的内容的实时监控，一旦发现网站内容被非法更改，可立即恢复。

系统加固措施

系统加固方式

系统安全主要是指主机设备配置安全，这包括：提供软件设置、运行、管理日志，接受统一认证，设置、运行、维护权限控制，访问控制列表限制隔离、运行监控等。在操作系统软件配置方面，需要购买可靠的正版软件，并及时打补丁。在数据备份和系统恢复方面，需要要求对重要数据采取有效手段进行备份和恢复操作。同时，还需要定期对系统内的操作系统、平台软件、应用软件进行安全性检查，关闭不需要的服务。

一般服务器中都存在着不同程度的操作系统漏洞以及应用系统漏洞，可以为网络病毒以及黑客入侵所利用。针对贵单位系统服务器和数据库交换应用服务器，须定期对操作系统进行安全加固，如打安全补丁、安全配置等。杜绝操作系统在以下方面的漏洞：

修补缓存区溢出漏洞

缓存溢出漏洞是一种很普遍的漏洞，广泛存在各种操作系统和应用软件上。缓存溢出攻击利用编写不够严谨的程序，通过向程序的缓存区写入超过预定长度的数据，造成缓存的溢出，从而破坏程序的堆栈，导致程序执行流程的改变。通过攻击存在缓存溢出漏洞的程序，入侵者可以使程序运行失败，造成系统当机、重启，甚至执行非授权指令，获得系统最高权限。

远程攻击漏洞

缓存溢出漏洞仅仅是可被用于远程攻击的系统漏洞之一，并不是唯一的入侵方式。在国际标准漏洞库组织的数据库中，收集了大量的可被用于远程入侵的系统漏洞。这些系统漏洞的存在都是对系统的威胁。安全的操作系统上是不应该存在这些漏洞。

限制用户弱口令

规范用户的口令选择，太短和太简单的口令应都不会被系统所接受。这样能在一定程度上避免在系统上出现过于简单的口令，降低口令攻击的风险。

权限管理

几乎所有的操作系统出于易用性的设置，系统中的权限设置都不是采取最安全的设置方案。这样的权限设置往往给系统带来一定的安全隐患。这些设置包括目录、文件的访问权限，应用服务的启动权限等。

操作系统加固设备策略设置

通过操作系统加固软件将全面提升服务器的安全性，并执行以下的安全策略，以充分满足等级保护中对三级系统的主机安全要求。

双因素身份认证策略：在尊重传统的身份认证下，运用第三方的认证方式对系统用户进行认证，也可采用硬件USB-KEY和密码分别对安全管理员及审计管理员进行双因素身份认证。具有安全可靠性，为数据提供机密性、完整性、有效性提供保证；
权限分离策略：操作系统核心加固系统，对超级管理员账号进行重新分配和权力的削弱，并根据“三权分立”的原则，定义了系统管理员、审计管理员以及安全管理员三种角色，各类角色分别可执行不同的管理操作，充分保障了系统的安全性；
采用漏洞扫描系统，定期检查系统的漏洞情况。
内核级文件强制访问控制策略：安全加固系统允许对用户或进程以不同访问权限对文件/目录设制访问规则，并且可以对文件/目录和用户设定安全级别，按级别通过安全模型实施访问控制，任何用户（包括系统管理员）及其调用的进程对敏感文件或目录进行创建、删除、修改、读取等操作时，将根据安全加固系统制定的规则进行过滤（允许或拒绝）
内核级进程强制访问控制策略：内核加固系统允许对进程以不同访问权限对进程设制访问规则，任何用户（包括系统管理员）及其调用的非授权进程都无权终止与操作受内核加固系统保护的进程。
内核级服务强制访问控制策略：内核加固系统通过及时发现新增应用服务或驱动，并立即强行终止应用服务或驱动的注册，达到对服务进行访问控制的目的；
应用级文件机密性保护策略：由用户制定需要加密的文件，并通过对称加密算法对文件进行加密，加密后的文件根据强制访问控制策略，只有访问权限用户方可成功解密文件。

操作系统加固效果

操作系统核心加固通过对操作系统原有系统管理员的无限权力进行分散，使其不再具有对系统自身安全构成威胁的能力，从而达到从根本上保障操作系统安全的目的。也就是说即使非法入侵者拥有了操作系统管理员最高权限也不能对经过内核加固技术保护的系统一切核心或重要内容进行任何破坏和操作。此外，内核加固模块稳定的工作于操作系统下，提升系统的安全等级，为用户构造一个更加安全的操作系统平台。

数据库安全措施

通过部署数据库运维堡垒机，达到三级系统对主机安全的要求，实现包括标记及强制访问控制、限制超级管理员访问权限、双因素身份认证、数据存储机密性保障、数据完整性保障、强审计等安全要素。
通过数据库审计对网络中各种数据操作行为进行审计。
通过漏洞扫描系统定期对数据库进行安全检查。

集中日志审计措施

- 集中日志审计部署

在网络中部署安全管理平台，收集整个计算环境中能够产生的日志信息，包括操作系统和应用系统，以及网络设备和安全设备。

- 集中日志审计策略

安全管理平台中的集中审计功能，可以实现以下功能:

日志收集策略：日志审计系统能够收集用户内、外网的网络设备、安全设备、服务器、数据库以及采取B/S方式进行开发的各类应用系统，进行汇总，并提供给系统管理人员进行进一步的分析和查询；
日志查询策略：日志审计系统支持多种查询方式，包括：按照日志类型查询日志、按照日志格式查询日志、按照审计域查询日志等，系统可提供业务系统日志查询界面，界面上提供通用库通用表查询功能，方便用户查询其他产品的日志信息；
日志监控策略：系统可根据过滤条件，实时监控各类日志，同时系统还能够对审计日志能够提供完整性保护，防止非授权用户对日志信息进行修改；
异常检测：通过日志审计系统，可实现基于攻击规则库对日志分析后可以发现异常事件；
报表统计策略：统计报表的生成是基于日志源的，管理员通过输入相应的参数来有计划地订制一批报表任务，报表任务可根据用户预先设定的条件立即执行或按一定周期执行；
日志管理策略：安全日志系统采取分级方法进行部署和管理；
安全审计系统监视策略：通过日志审计系统，系统管理人员能够监视安全审计系统的性能信息，包括CPU信息、内存信息和磁盘使用信息；
日志代理信息监视策略：通过日志审计系统，系统管理人员能够监视代理的性能信息，包括被监控代理的CPU信息、内存信息和磁盘使用信息；
安全审计信息监视策略：通过日志审计系统，系统管理人员能够对安全审计信息监视；
报警策略管理：日志审计系统可以定义事件的报警方式，即定义什么样的事件采取什么样的报警方式，另外系统管理人员利用日志审计系统，也可以定义自动告警功能，而且用户可以自定义告警内容及管理员应采取的措施，保证报警信息能够足以提醒安全保密管理人员有安全事件发生。

集中日志审计效果

日志审计系统为不同的网络设备、安全设备、服务器、应用系统提供了统一的事件管理分析平台，打破了不同设备存在的信息鸿沟，系统提供了强大监控能力，从网络到设备直至应用系统的监控。在对事件的监控信息的集中及关联分析的基础上，有效的实现了全网的安全预警、入侵行为的实时发现、入侵事件动态响应，通过于其它安全设备的联动来真正实现动态防御。

服务器防病毒措施

服务器防病毒软件部署

在重要的应用服务器、运维管理终端上安装防病毒软件，在服务器上有效查杀威胁服务器正常运行的病毒、恶意脚本、木马、蠕虫等恶意代码，并执行以下的安全策略：

防病毒软件策略设置

文件系统对象的实时保护策略：服务器防病毒系统通过对文件系统所有需要的模块进行分析，以及阻止恶意代码的执行，为文件服务器中的文件系统提供实时保护
隔离可疑对象策略：服务器防病毒系统隔离与备份组件隔离任何可疑对象，为了使防病毒厂商对其进行进一步的分析，该组件对恶意代码进行安全隔离。这个组件也可以使恶意代码的安全检测和清除方法的到发展。
隔离和备份组件执行下列任务：

— 保存检测到的可疑对象；

— 按要求保存疑对象；

— 按要求发送可疑对象到防病毒厂商用于分析，同时允许发展其检测及清除病毒的安全方法；

— 在接收防病毒厂商针对病毒的更新后，重新检测存储在隔离区的对象，用于确定对象的状态及清除病毒的必要性；

— 按要求恢复隔离区中的对象

通过集中隔离工具，可以将感染病毒档案集中隔离到一台服务器；
通过病毒追踪工具，当有病毒通过网络共享扩散时，可以侦测到感染病毒的机器；
软件安装时可对病毒进行预处理，安装后不需要重新启动；
实现病毒库的自动升级：在运行维护中心部署防病毒系统的集中控管服务器，自动到互联网上收集厂商发布的病毒库更新代码，然后自动将更新代码下发到保护的服务器上。

防病毒软件的部署效果

在应用服务器上安装服务器版的防病毒软件，可以捍卫服务器免受病毒、木马和其它恶意程序的侵袭，不让其有机会透过文件及数据的分享进而散布到整个用户的网络环境，提供完整的病毒扫描防护功能。

数据备份与故障恢复措施

为了较好地实现网站数据备份和灾备，建设数据存储与备份系统。

安全区域边界设计

访问控制安全措施

按照等级保护的要求，需要采取技术手段实现边界的访问控制。同时需要在边界处对各种入侵行为及病毒传播行为进行过滤与防范。

防火墙部署

在外网的边界外部署防火墙系统。并执行隔离和访问控制措施，将大大提升计算环境的安全性，有效防范非法的访问。采用防火墙实现基于数据包的源地址、目的地址、通信协议、端口、流量、用户、通信时间等信息，执行严格的访问控制。

部署位置：网络边界。
功能及策略

访问控制策略：防火墙工作在网络边界，对网络中流转的数据进行深度分析，依据数据包的源地址、目的地址、通信协议、端口，进行判断，确定是否存在非法或违规的操作，并进行阻断，从而有效保障了各个重要的计算环境。
会话监控策略：在防火墙配置会话监控策略，当会话处于非活跃一定时间或会话结束后，防火墙自动将会话丢弃，访问来源必须重新建立会话才能继续访问资源。
网络防攻击控制策略：防止ARP欺骗等。

实现效果：

满足等级保护的访问控制，结构安全等基本要求。

安全网关部署

考虑到成本与性价比，建议采用安全网关作为边界的访问控制设备。

安全网关具备完整的底层防火墙功能，而且还具有4～7层的防火墙防护功能。例如QOS、BGP、智能匹配、策略加速匹配等高级功能。

此外，安全网关还具备入侵防御功能及防病毒功能。

病毒防范

有些病毒在网络中传播（比如蠕虫病毒），在没有感染到主机时，对网络已经造成危害，而病毒过滤模块针对这些病毒产生的扫描数据包，在边界处就过滤了这些无用的数据包，从而为网络创造一个安全的环境。

边界防病毒设备与部署在服务器上的防病毒软件相配合，从而形成覆盖全面，分层防护的多级病毒过滤系统，防病毒网关执行以下的安全策略：

部署位置：网络边界，最好是互联网出口边界防火墙下行。
功能及策略

病毒过滤策略：防病毒网关对SMTP、POP3、IMAP、HTTP和FTP等应用协议进行病毒扫描和过滤，通过恶意代码特征过滤，对病毒、木马、蠕虫以及移动代码进行过滤、清除和隔离，有效地防止可能的病毒威胁，将病毒阻断在敏感数据处理区域之外。
恶意代码防护策略：防病毒网关支持对数据内容进行检查，可以采用关键字过滤，URL过滤等方式来阻止非法数据进入敏感数据处理区域，同时支持对Java等小程序进行过滤等，防止可能的恶意代码进入敏感数据处理区；此外，防火墙也支持对移动代码如Vbscript、JAVA script、ActiveX、Applet的过滤，能够防范利用上述代码编写的恶意脚本。
蠕虫防范策略：防病毒网关可以实时检测到日益泛滥的蠕虫攻击，并对其进行实时阻断，从而有效防止信息网络因遭受蠕虫攻击而陷于瘫痪。
病毒库升级策略：防病毒网关支持自动和手动两种升级方式，在自动方式下，系统可自动到互联网上的厂家网站搜索最新的病毒库和病毒引擎，进行及时的升级。
日志策略：防病毒网关提供完整的病毒日志、访问日志和系统日志等记录，这些记录能够被部署在三级计算环境中的日志审计系统所收集。

实现效果

满足等级保护恶意代码防护的基本要求。

根据网络环境的情况，对于外网的边界可以在入侵防御的设备上采用病毒模块。在专线接入的区域，采用安全网关的病毒防护模块。

入侵防护系统部署策略

通过在网络边界部署入侵防护系统来实现对网络攻击的防范；为安全管理中心提供重要的安全事件数据，为整体的安全态势分析和安全事件的事后取证和定位提供重要依据。

这里针对外网的边界，入侵防护系统将执行以下的安全策略：

防范网络攻击事件：入侵防护系统采用细粒度检测技术，协议分析技术，误用检测技术，协议异常检测，可有效防止各种攻击和欺骗。针对端口扫描类、木马后门、缓冲区溢出、IP碎片攻击等，入侵防护系统可在网络边界处进行监控和阻断。
防范拒绝服务攻击：入侵防护系统在防火墙进行边界防范的基础上，工作在网络的关键环节，能够应付各种SNA类型和应用层的强力攻击行为,包括消耗目的端的各种资源如网络带宽、系统性能等攻击，主要防范的攻击类型有TCP Flood，UDP Flood，SYN Flood，Ping Abuse等；
审计、查询策略：入侵防护系统能够完整记录多种应用协议（HTTP、FTP、SMTP、POP3、TELNET等）的内容。记录内容包括，攻击源IP、攻击类型、攻击目标、攻击时间等信息，并按照相应的协议格式进行回放，清楚再现入侵者的攻击过程，重现内部网络资源滥用时泄漏的保密信息内容。同时必须对重要安全事件提供多种报警机制。
网络检测策略：在检测过程中入侵防护系统综合运用多种检测手段，在检测的各个部分使用合适的检测方式，采取基于特征和基于行为的检测，对数据包的特征进行分析，有效发现网络中异常的访问行为和数据包；
监控管理策略：入侵防护系统提供人性化的控制台，提供初次安装探测器向导、探测器高级配置向导、报表定制向导等，易于用户使用。一站式管理结构，简化了配置流程。强大的日志报表功能，用户可定制查询和报表。
异常报警策略：入侵防护系统通过报警类型的制定，明确哪类事件，通过什么样的方式，进行报警，可以选择的包括声音、电子邮件、消息。
阻断策略：由于入侵防护系统串联在保护区域的边界上，系统在检测到攻击行为后，能够主动进行阻断，将攻击来源阻断在安全区域之外，有效保障各类业务应用的正常开展，这里包括数据采集业务和信息发布业务；

边界防护系统部署效果：通过在外网的边界部署入侵防护系统并开启防病毒模块来实现对网络攻击的防范，即可以有效检测并实时阻断隐藏在海量网络中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络架构防护、网络性能保护和核心应用防护。而在专线的边界，部署安全网关开启入侵防御模块。

网闸部署

按照等级保护基本要求

应按照信息系统的业务类别、安全等级保护等因素，划分为不同的安全域；

在本方案中，网闸采用双机热备的方式部署于内网域与外网域的边界连接处，将整个网络有效地进行安全域隔离，可以实现所需要的安全控制

网闸系统采用多机系统结构，以软硬件结合的方式，有效地隔断内外网络间直接的连接，保障信息可信的交换。网闸的内/外端机是内/外网络各自通用协议（即TCP/IP协议）的终点，一方的网络协议不可向对方延伸。所有过往的应用层信息都从TCP/IP协议包被剥离成为应用层信息。

通过网闸连接的内外网络之间，所有信息交换活动都在预先建立的有效安全通道上进行，这些协议通道借助严格的安全策略进行控制，因此能防范恶意攻击和敏感信息的泄漏。

内外网络之间，只有合法用户的特定信息交换活动才允许通过。协议通道的建立、通信、断开，都是在严格的基于用户的访问控制之下进行的。

借助用户访问控制、安全协议通道的建立、安全策略的设定，网闸可以发现、过滤并阻塞各种已知和未知的攻击，有效保护内部网络系统的安全性。与此同时，借助严格的内容控制，也可以防止内部敏感信息外泄。

借助预先设定的审计策略，网闸也可以对所有信息交换过程中出现的问题进行审计记录。

实现边界完整性保护

根据等级保护技术要求，即系统的边界应当能够有效监测非法外联和非法接入的行为，考虑到该区域内的主机设备均为服务器，不会主动对外发起访问，因此为实现边界完整性保护的要点就是要杜绝非法接入。

在各个业务服务器区域和管理区域的接入交换机端口上绑定MAC地址，对于接入的非许可终端，由于其MAC不会被交换机识别，而有效防止了接入。

此外，按照三级系统的要求，需要检查内部服务与外部的网络连通情况，因此，配置网络审计系统记录内部网络各个IP与外部网络的访问情况，并由专人定期审核网络审计日志。

安全通信网络设计

系统加密传输

按照等级保护相关要求：

应在网络边界部署访问控制设备，启用访问控制功能；

应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

应在会话处于非活跃一定时间或会话结束后终止网络连接；

应限制具有拨号访问权限的用户数量;

应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性

出于建设成本与运维成本的考虑，可以在外网边界防火墙开启VPN功能模块。

由于内网采用专线接入，在传输数据时，也需要考虑采用加密传输。可通过安全网关的VPN模块实现。

网络安全审计措施

网络、安全设备是信息流通的必然结点，每个网络设备都会产生相应的日志信息，通过对日志信息的全面、深入分析，可以了解设备的工作状况，网络状况以及安全事件等信息。但是，目前网络设备越来越多，网络攻击的手段越来越多样，攻击方法越来越隐蔽，单纯的依靠某一种安全设备的事件来对网络安全情况进行评估和反应是远远不够的。根据等级保护基本要求，要对各类系统产生的安全日志实现全面、有效的综合分析，就必须为网络安全管理员建立一个能够集中收集、管理、分析各种安全日志的安全审计管理中心，把管理员从庞杂的日志信息分析中解放出来，为管理员提供一个方便、高效、直观的审计平台，大大提高了安全管理员的工作效率和质量，更加有效地保障了网络的安全运行。通过部署安全审计系统实现以下策略以保证网络的安全性。

部署位置：部署在交换机上，对日志进行审计。
功能及策略

日志集中管理策略：收集信息系统中各种网络设备、安全设备的日志信息，包括设备运行状况、网络流量、用户行为等信息，进行统一集中存储。
审计分析集中展示策略：提供多样、灵活的日志信息查询，包括，事件的日期和时间、用户、事件类型、事件结果等条件进行查询，并把不同设备及平台的事件关联起来，帮助管理员实现更加全面、深入的分析事件。支持将事件进行详尽的分析及统计的基础上支持丰富的报表，实现分析结果的可视化。
多种网络设备的日志收集：系统全面支持安全设备（如防火墙，IDS、AV等）、网络设备（如router、switch）等多种产品及系统的日志数据的采集和分析。
日志审计策略：防火墙详细记录了转发的访问数据包，可提供给网络管理人员进行分析。这里应当将防火墙记录日志统一导入到集中的日志管理服务器。
自身安全策略：用户分级管理，严格限制各级用户的管理权限，同时对超级用户数量进行限制，密码采用强密码机制，避免管理用户的职权滥用。设置数据库的备份策略，定期备份导出数据，并且进行数据库上限及报警上限，避免数据库信息的不预期删除、覆盖和修改。

实现效果

满足等级保护安全审计的基本要求。

网络备份/冗余措施

网络环境是应用的基础运行平台，因此计划将核心交换机、防火墙、安全网关、入侵防御系统等均采用双机热备配置。

网络设备自身防护措施

对于网络中的各个网络设备，进行以下的安全加固：

设备登录控制策略：对交换机进行配置加固，采取双因素认证的方式，当管理交换机的时，必须在提供口令的时同时提交认证，经认证通过后方可配置设备；
登录地址控制策略：对交换机进行配置，指定可管理交换机的地址，只有属于指定地址的设备方可管理设备；
保证用户身份唯一性：对交换机的管理员帐号进行维护，禁止相同用户名对交换机同时进行登录和操作；
采用堡垒机:采用端口限制及防火墙的限制，禁止直接登录网络设备访问。管理者必须通过堡垒机才能访问和配置设备。堡垒机对配置的操作过程进行全程的录像与审计。

网络安全管理措施

业务的正常运行对网络的依赖程度很高，各类业务都需要通过网络来完成，根据等级保护技术要求，应实现网络的应急处理和可信网络设备连接，因此对全网的安全管理应当被高度重视起来。

防止网络设备的非法接入：网管系统对网络设备的资产进行全面的管理，如果发现有非法的网络设备接入后，系统将自动收集到网络设备的相关信息，并通知系统管理员采取必要的措施，限制非法网络设备的使用；
配置管理策略：通过网管系统可定期备份关键网络设备的配置信息，展示网络设备面板图；
资产管理策略：网管系统可统计网络中的所有IT资源，包括：子网、IP、MAC、端口、链路、Vlan、资产变更等，管理员对自己的家底真正做到心里有数；
故障管理策略：网管系统可监测网络故障，实现告警相关性分析，快速故障定位。当有异常情况或征兆时能够及时给管理员提示，管理员可以根据故障严重程度合理安排运维计划，从而实现对网络的有效应急处理；
流量管理策略：网管系统可对整网的流量进行分析，让管理员了解每一条链路的流量大小，网络内部流量压力分布一幕了然。发现网络性能瓶颈，优化网络结构，提升网络性能。精确的分析某条关键链路的协议分布和用户使用情况，看看到底是谁占用了大量有限而宝贵的网络资源；
性能管理策略：网管系统通过各种监测手段收集网络内各种资源的运行状态，分析其性能指标，告诉管理员目前那些资源性能压力过大，那些空闲。管理员根据这些性能信息合理的优化网络或规划网络扩容。

安全管理平台设计

根据等级保护技术要求，应实现网络的应急处理和可信网络设备连接，方案引入信息安全管理系统来很好地解决这些问题。将安全管理和监控纳入信息安全管理平台建设中。

部署位置：安全管理域
实现功能：

根据等级保护中提出的“进行集中的安全管理”和“系统运维管理”要求，需要实现主要功能如下：

安全风险管理

安全管理平台应基于资产管理、事件管理和评估管理，根据风险的三要素（资产、威胁、弱点），从单个资产、业务系统、安全域、物理地域等多个维度获取智能管理系统的安全风险状况。

风险评估：风险管理是一个持续改进的过程，风险评估又是有效实施风险管理的一个重要环节，动态、实时、智能的风险评估，不仅可以简化评估过程、减少人为因素的影响，更为闭环的、持续改进的风险管理提供了有效保证。
风险分析：应采用了定量、定性的风险评估方法，可以根据资产的价值、面临的威胁、内在的漏洞以及已采取的安全措施等因素，综合分析出资产所面临风险数值。
风险分级：安全管理平台应将量化后的风险映射到逻辑上的风险级别，可以帮助用户系统管理人员快速地了解信息系统的风险态势，以便及时采取应对措施。
信息资产管理

资产管理是安全管理平台的基础，要做到信息系统的安全管理，必须知晓整个信息系统中都有哪些资产，资源以及其状态。

安全管理平台应能实现对信息系统内所有的IT资产进行集中统一的管理，包括资产的特征、分类等属性；但同时资产信息管理并不是为了简单的统计，而是在统计的基础上来发现资产的安全状况，并纳入到平台的数据库中，为其它安全管理模块提供信息接口。

系统脆弱性管理

各种重要信息资产存在的脆弱性是影响信息系统网络安全的重要潜在风险，为了了解其安全脆弱性状况，安全管理平台应提供脆弱性管理功能，实现对重要信息资产安全脆弱性的收集和管理。该模块收集和管理的脆弱性信息主要包括两类：通过远程安全扫描可以获得的安全脆弱性信息和通过人工评估的方式收集的脆弱性信息。在定期收集到这些脆弱性信息后可以利用脆弱性管理系统进行导入和处理，以利于安全管理员对脆弱性信息的查询、呈现并采取相应的措施进行处理。

安全预警管理

安全管理平台能够管理并实时呈现风险评估中心所提供各类安全威胁、安全风险、安全态势、安全隐患等信息，能够在安全管理平台统一界面上给出网络安全的趋势分析报表，分析的内容包括漏洞的分布范围、受影响的系统情况、可能的严重程度等；能够根据全网安全事件的监控情况，在安全管理平台统一界面上给出现网中主要的攻击对象分布、攻击类型分布等情况分析，指导全网做好有效的防范工作，防止类似事件的发生；具备接收风险数据的接口，能够在安全管理平台统一界面上预先定义数据格式，自动生成预警信息。

安全响应管理

安全管理平台应能够提供响应流程和响应方式的管理。提供专家系统和知识库的支持，针对各类用户所关心的安全问题进行响应。响应方式包括从专家系统调用相关脚本自动进行漏洞修补、防火墙配置下发、网络设备端口关闭等操作，从知识库自动/手动的进行解决方案的匹配，然后通过自动或手动产生工单，通知相关管理员进行处理，并对工单的生命周期进行监控，此外还包括利用短信、Email等方式进行通知等。

网络安全管理

安全管理平台应实现对网络设备的集中管理，实现网络设备的升级、网络设备工作状态监管、网络流量监管、网络设备漏洞分析与加固等功能，同时具备对网络设备访问日志的统一收集和分析。

安全事件管理

安全事件管理是一种实时的、动态的管理模型，通过关联分析来自于不同地点、不同层次、不同类型的信息事件，帮助用户系统管理人员发现真正关注的安全威胁，从而可以准确的、实时的评估当前的安全态势和风险，并根据预先制定策略做出快速的响应，有效应对出现的各类安全事件。

实现效果

满足等级保护安全运维管理的基本要求。

安全产品选型与部署

建议贵单位，采用主流成熟性的技术和产品，通过使用入侵检测、安全审计、病毒防御、网页防篡改、防火墙边界访问控制及安全管理平台等安全措施，并运用切实的安全控制策略和安全服务手段，为贵单位系统的网络安全运行、系统可靠性运行和数据信息安全保密性提供一套安全保障防御体系。

安全产品部署拓扑

原网络结构拓扑图

公司原网络拓扑图

新规划网络结构拓扑图

公司规划网络拓扑图

主要安全设备性能指标

此处针对一些重要的安全产品给出建议性的技术指标要求。

防火墙系统

等级保护基本要求

应在网络边界部署访问控制设备，启用访问控制功能；
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；
应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；
应在会话处于非活跃一定时间或会话结束后终止网络连接；
应限制网络最大流量数及网络连接数；
重要网段应采取技术手段防止地址欺骗；
应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；
应限制具有拨号访问权限的用户数量。

网闸系统

等级保护基本要求

应按照信息系统的业务类别、安全等级保护等因素，划分为不同的安全域。

网闸功能介绍

网络数据交换系统与单向数据传输系统双向认证，整体具有物理隔离特性，具有高度安全性。

数据单向传输系统对外数据的访问全部采用主动方式，不提供任何数据交换服务，把被攻击的可能性降到了最低。

数据的上传和下载都需要经过IP/MAC绑定检测及用户名检测，双重过滤，更高安全。

VPN系统

等级保护基本要求

应在网络边界部署访问控制设备，启用访问控制功能；
应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；
应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；

VPN功能介绍

完善的PKI体系提高用户网络的安全等级
可与用户第三方CA系统无缝结合
支持CRL的生成和下载，保障系统安全
支持证书请求，确保私钥不外泄
标配专业的IPSec/SSL VPN、防火墙、带宽管理功能
标配防病毒、内容过滤、IPS等功能模块
丰富多样的外部认证，保障业务延续性
多线路自动选优，提升VPN的应用效果

网络入侵防御系统

等级保护基本要求

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；
当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

网络入侵防御功能介绍

入侵防御系统能够阻止蠕虫、病毒、木马、拒绝服务攻击、间谍软件、VOIP攻击以及点到点应用滥用。通过深达第七层的流量侦测，入侵防御系统在发生损失之前阻断恶意流量。利用提供的数字疫苗服务，入侵防御系统能得到及时的特征、漏洞过滤器、协议异常过滤器和统计异常过滤器更新从而主动地防御最新的攻击。

网络安全审计系统

等级保护基本要求

应对网络系统中的网络设备、主机系统、数据库系统运行状况、网络流量、用户行为等进行日志记录；
审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
应能够根据记录数据进行分析，并生成审计报表；
应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

网络安全审计系统功能介绍

风险行为审计

对风险行为的内容审计，对风险URL的过滤

异常行为监控

通过对已收录和自定义的异常风险行为特征主动识别发现异常的行为；

通过流量的异常变化分析定位异常行为的发生

系统风险评估

通过风险事件的影响范围，时长和危害系统所属的安全等级确定当前系统风险等；

通过对安全等级响应及时作出通报和应急处理，防止风险等级的进一步上升。

WEB安全防护系统

对门户网站以及WEB应用做访问控制，合规化建设。建立CC防护、数据防护、篡改、注入等非法行为，为网站提供100%安全防御支持。

等级保护基本要求

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；
当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。

堡垒机系统功能介绍

等级保护基本要求

应对网络设备的管理员登录地址进行限制；
身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换
当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；
应实现设备特权用户的权限分离。
当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；
应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。
应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；
审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的
安全相关事件；
审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；
应能够根据记录数据进行分析，并生成审计报表；
应保护审计进程，避免受到未预期的中断；
应保护审计记录，避免受到未预期的删除、修改或覆盖等。

堡垒机功能介绍

使用者管理
- 支持支持用户分组管理、用户认证（静态密码、USBKey、Raduis、LADP、AD域、POP3）以及帐密管理（密码强度、密码有效期、密码尝试死锁、用户激活等）
使用者权限管理
- 灵活|细粒度的授权:提供运维用户到资源、运维用户组到资源、运维用户到资源组、运维用户组到资源组
后台资源管理
- 使用者通过安全运维管理系统认证和授权后，安全运维管理系统根据配置策略实现后台资源的自动登录代理，提供托管和只托不管两种方式
实时监控
- 监控在线运维会话
- 监控后台资源存取情况
- 可实时终止异常在线运维会话
- 在线存取操作的实时监控
违规操作实时告警|阻断
- 根据安全策略实施运维过程敏感操作检测，对违规操作提供实时告警和阻断
- 支持使用者分级，针对不同使用者级别采取不同的响应方式
- 告警与会话实时监控、会话审计与回放关联

漏洞扫描系统部署

等级保护基本要求

应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；

漏洞扫描功能介绍

扫描涵盖了常见操作系统、数据库、网络设备、虚拟云和应用程序的远程可利用漏洞
扫描过程支持断点续扫
自动匹配扫描插件模板
允许指定用户名和口令以进行深入的本地扫描
率先推测WEB应用安全检查
支持输入域名进行扫描
支持对虚拟网站的扫描
细致的扫描参数设置
针对可能发生的漏洞，提前发布预警，让风险降到最小
对扫描目标提供全面的扫描和解决方案，规避潜在风险

安全管理平台系统

等级保护基本要求

信息系统等级保护安全技术设计包括各级系统安全保护环境的设计及其安全互联的设计，如图1所示。各级系统安全保护环境由相应级别的安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心组成。定级系统互联由安全互联部件和跨定级系统安全管理中心组成。

安全管理平台功能介绍

全网整体安全态势监控
系统整体运行状态监控
便捷、高效的管控平台和界面
集中化的监控、审计、预警、响应、报告
全面有效的契合等保要求
符合国家法律、法规
切实可行的内控、信息风险防范
合规审计

终端安全管理系统

等级保护基本要求

应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；
应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。

终端安全管理功能介绍

应配置相应策略，实现以下功能：

统一安全策略管理

为管理者提供一个统一安全管理平台。管理者可以通过管理平台为单位内网制定统一安全管理策略。灵活、强大的安全管理策略定制机制，让单位内网安全管理轻松、便捷、高效。

集中补丁管理及软件分发

系统通过从互联网下载系统补丁，同时根据系统对终端系统补丁进行自动检测结果将各系统需要安装的系统更新程序或者其他软件包自动下发到终端，终端自动执行服务器下发的安装程序，帮助管理员对网内终端操作系统快速部署最新的安全更新和重要更新。

终端行为监控

对终端操作行为进行统一监管与审计是本系统的重要功能之一。主要针对终端的拨号、打印、移动存储介质使用、文件操作、网络访问等行为进行统一管控。

拨号监管

实时监控终端拨号上网行为，可根据策略进行例外、禁止控制。允许拨号上网时对行为进行日志审计。

打印监管

实时对终端打印行为进行监管，可以根据策略控制终端允许、禁止打印，允许打印时对打印行为进行日志审计。

网络访问行为监管

若允许访问网络，系统根据策略对终端的网络访问行为进行日志审计。支持网址黑白名单。

终端系统状态监控
进程监控

提供黑白名单管理，可以自动终止黑名单中的进程，保证终端运行进程的可控性；可手动远程终止指定终端上面的用户进程；

端口连接监视

提供黑白名单两种方式，保证主机网络状态的可控性；监视终端的连接状态；关闭终端指定端口。

软/硬件信息监视

可以监视终端的安装的软、硬件信息，当软硬件信息改变时，提供了报警功能。

非法外联监控

自动探测终端与互联网的连通性。若自动能连通互联网则根据策略进行报警、断网、重启等管控措施，同时进行日志审计。可与天融信硬件防火墙进行联动，禁止未安装代理软件的终端访问互联网。

非法内联监控

对接入内网的终端进行合法性与安全性检查。只有合法且安全的终端才能允许接入内网。不合法或者不安全的终端根据策略进行消息提示、阻断网络、重启计算机等操作。系统支持802.1x认证，也支持与硬件防火墙的复合认证。

终端设备监控

对计算机外设如光驱、软驱、USB普通设备、USB移动存储设备、打印机、调制解调器、串口、并口、1394控制器、红外设备、蓝牙设备、PCMCIA卡、磁带机、图形处理设备、网卡、智能卡等设备进行控制，有效防止数据通过外设泄露。

移动存储介质管控

对计算机外设如软驱、光驱等实时监控，对于移动存储设备进行标签化管理，区分内部和外部设备，有效保护了内部机密数据。

文件监控及网络共享监视

根据策略对指定文件和目录的访问行为（创建、修改、删除、重命名等）进行监控。系统根据策略能对Windows网络共享目录的访问行为进行监视，记录详细的访问日志。

终端敏感信息检查

针对终端存储的word、pdf、Excel、文本文件等进行全盘关键字检查，并根据策略对含有制定关键字的文档进行禁止发送、禁止打印、禁止拷贝等管控，同时将文档信息上报服务器。支持复合关键字检索，支持关键字出现频率制定。

终端流量监控

可以通过设置流量统计策略来监控终端实时网络流量，当流量峰值超出设置的阈值后可以根据策略内容提示用户或者阻断终端的网络。对网络内终端的流入、流出流量进行排序，可以自定义查看Top N的流量排名。

安全审计

管理者可以通过统一管理平台进行统一安全审计管理。系统提供完备的日志查询功能以及多样化的统计分析报表。

安全报警

安全管理员可以确定报警日志的类型，系统可以配置多个报警终端，报警终端的设置由安全管理员设置。

资产管理

可以根据网络终端接入网络情况，自动检测到系统的配置；具有防止用户私自更改系统配置，用户更改系统配置，系统会产生审计日志。

上网行为管理系统

等级保护基本要求

应对网络系统中的网络设备、主机系统、数据库系统运行状况、网络流量、用户行为等进行日志记录；
审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
应能够根据记录数据进行分析，并生成审计报表；
应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

上网行为管理功能介绍

内置海量URL分类库，支持URL智能识别和URL自定义分类；
支持URL、网页内容、搜索引擎、博客、微博等关键字的过滤；
上传下载文件的识别和过滤；
IM、网游、在线影视等软件的封堵；
针对P2P应用的智能识别，可以对不断衍生的P2P新应用进行有效的封堵
多线路智能选路及负载均衡；
基于技术的流量控制技术，采用多种带宽分配和保障策略，为用户提供细粒度的带宽优化方案
访问的网页、标题、内容的审计；
QQ、MSN等即时通讯内容的审计；
邮件的标题、正文、附件的审计；
监控特定用户的上网行为；
支持免审计KEY及特定用户的免审计
集成全功能防火墙保障自身安全
支持防DoS、防ARP攻击；
内网代理应用的完全封堵；
支持网络准入策略，提示互联网接入的终端安全短板
多维度检索引擎准确检索海量日志；
支持饼图、直方、折线等多种图表展示；
支持自动报表；
外置日志中心支持海量日志存储；
支持多台设备集中管控及日志汇总

数据库审计系统

数据审计与风险控制系统是针对业务环境下的网络操作行为进行细粒度审计的合规性管理系统。它通过对业务人员访问系统的行为进行解析、分析、记录、汇报，用来帮助用户事前规划预防，事中实时监视、违规行为响应，事后合规报告、事故追踪溯源，同时加强内外部网络行为监管、促进核心资产（数据库、服务器、网络设备等）的正常运营。

未知威胁发现系统

PacketEye系统通过网络流量深度分析实现APT新型网络攻击检测和响应的软硬件一体化产品，该产品旁路部署在网络出口处采集网络通信数据，产品采用大数据处理架构，集合机器学习、沙箱、隐蔽信道检测和攻击行为建模分析等新一代AI技术，针对各种网络入侵攻击、恶意代码传播、黑客控制及渗透攻击等，尤其是新型网络攻击、隐蔽黑客控制、APT攻击等高级网络攻击，对攻击中广泛采用的0day/Nday漏洞、特种木马、渗透入侵、勒索病毒等技术进行深度分析，挖掘网络空间中的已知和未知攻击威胁。

等级保护基本要求

应对网络系统中的未知威胁攻击的监测手段。

未知威胁发现系统功能介绍

威胁情报检测

流量实时IOC匹配

未知威胁攻击

WEB攻击检测

APT静态检测

APT动态检测

异常行为检测

语义分析检测

攻击画像

攻击行为取证

威胁溯源

6 设备清单

序号	名称	数量	单位	单价	备注
1	防火墙	2	台		可利旧
2	网闸	1	台		可利旧
3	VPN	1	台		可利旧
4	网络入侵防御	1	台		可利旧
5	网络安全审计	1	台		可利旧
6	WEB安全防护	2	台		可利旧
7	堡垒机	1	台		可利旧
8	漏洞扫描	1	台		可利旧
9	安全管理平台	1	台		可利旧
10	终端安全管理	1	台/套		可利旧
11	上网行为管理	1	台		可利旧
12	数据库审计	1	台		可利旧
13	未知威胁发现系统	1	台		可利旧

阅读剩余

THE END