信息网络安全知识普及教育培训教程--信息安全等级保护与风险评估 .doc

【精品文档】如有侵权，请联系网站删除，仅供学习与交流信息网络安全知识普及教育培训教程-信息安全等级保护与风险评估   信息安全等级保护 福建省公安厅公共信息网络安全监察总队                 康仲生  一、信息安全等级保护工作概述2.1.1 信息安全等级保护涵义     对国家秘密信息、法人和其他组织及公民的专有信息以及公 开息和存储、传输、处理这些信息的信息系统分等级实行安全保 护。    对信息系统中使用的信息安全产品实行按等级管理。    对信息系统中发生的信息安全事件分等级响应、处置。2.1.2 开展工作的政策和法律依据     1994年，中华人民共和国计算机信息系统安全保护条例 （国务院147号令）规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定” 。    1995年2月18日人大12次会议通过并实施的中华人民共和国警察法第二章第六条第十二款规定，公安机关人民警察依法履行“监督管理计算机信息系统的安全保护工作”-法律依据。2.1.2 开展工作的政策和法律依据     2003年，中办、国办转发的国家信息化领导小组关于加强 信息安全保障工作的意见（中办发200327号）明确指出“实 行信息安全等级保护”。“要重点保护基础信息网络和关系国家 安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信 息安全等级保护制度，制定信息安全等级保护的管理办法和技术 指南”。标志着等级保护从计算机信息系统安全保护的一项制度 提升到国家信息安全保障的一项基本制度。同时中央27号文明确 了各级党委和政府在信息安全保障工作中的领导地位，以及“谁 主管谁负责，谁运营谁负责”的信息安全保障责任制。2.1.2 开展工作的政策和法律依据     公安部、国家保密局、国家密码管理局、国信办联合印发：2004年关于信息安全等级保护工作的实施意见(66号文件)    2007年6月，信息安全等级保护管理办法(公通字200743号),明确了信息安全等级保护制度的基本内容、流程及工作要求，明确了信息系统运营使用单位和主管部门、监管部门在信息安全保护工作中的职责、任务，为开展信息安全等级保护工作提供了规范保障。    制定了包括计算机信息系统安全保护等级划分准则、信息系统安全等级保护定级指南、信息系统安全等级保护基本要求、信息系统安全等级保护实施指南、信息系统安全等级保护测评要求等在内的50多个国标和行标，初步形成了信息安全等级保护标准体系。2.1.3 信息安全等级保护的重要意义  存在突出问题:   1、信息安全意识和安全防范能力薄弱，信息安全滞后于信息化发展；  2、信息系统安全建设和管理的目标不明确；  3、信息安全保障工作的重点不突出；  4、信息安全监督管理缺乏依据和标准，监管措施有待到位，监管体系尚待完善。2.1.3 信息安全等级保护的重要意义     信息安全等级保护制度是国家信息安全保障的基本制度、基本策略、基本方法；是当今发达国家的通行做法，也是我国多年来信息安全工作经验的总结，充分体现“适度安全、保护重点”的原则 。    开展信息安全等级保护工作：    1、有利于在信息化建设过程中同步建设信息安全设施，保障信息安全和信息化建设相协调；    2、有利于为信息系统安全建设和管理提供系统性、针对性、可行的指导和服务；    3、有利于保障重点；    4、有利于明确责任；    5、有利于产业发展；2.1.4 开展等级保护工作的总体要求    1、各个基础信息网络和重要信息系统，按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求完成等级保护的定级、备案、整改、测评等工作 。   2、公安机关和保密、密码工作部门要及时开展监督检查，严格审查信息系统所定级别，严格检查信息系统开展备案、整改、测评等工作。   3、对故意将信息系统安全级别定低，逃避公安、保密、密码部门监管，造成信息系统出现重大安全事故的，要追究单位和人员的责任。           二、明确各方责任义务2.2.1管理办法第二条明确了国家的责任     国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。    信息安全监管部门包括公安机关、保密部门、国家密码工作部门。信息安全监管部门代表国家制定等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。2.2.2管理办法第三条明确了信息安全监管部门的职责     公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。2.2.3管理办法第四条、第五条明确了信息系统主管部门和运营使用单位的责任义务     信息系统主管部门应当依照管理办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。信息系统的运营、使用单位应当依照管理办法及其相关标准规范，履行信息安全等级保护的义务和责任。2.2.4 公民、法人和其他组织的责任义务     公民、法人和其他组织应当按照国家有关等级保护的管理规范和技术标准开展等级保护工作，服从国家对信息安全等级保护工作的监督、指导，保障信息系统安全。信息安全产品的研制、生产单位，信息系统的集成、等级测评、风险评估等安全服务机构，依据国家有关管理规定和技术标准，开展相应工作，并接受国家信息安全职能部门的监督管理。     三、信息系统安全保护等级的划分与保护2.3.1“自主定级、自主保护”与国家监管     管理办法第六条规定，国家信息安全等级保护工作坚持“自主定级、自主保护”的原则。各信息系统运营使用单位和主管部门是信息安全等级保护的责任主体，根据所属信息系统的重要程度和遭到破坏后的危害程度，自主确定信息系统的安全保护等级。同时，按照所定等级，依照相应等级的管理规范和技术标准，建设信息安全保护设施，建立安全制度，落实安全责任，自主对信息系统进行保护。    在等级保护工作，信息系统运营使用单位和主管部门要按照“谁主管谁负责，谁运营谁负责”的原则开展工作，并接受信息安全监管部门对开展等级保护工作的监管。运营使用单位和主管部门是信息系统安全的第一责任人，对所属信息系统安全负有直接责任；公安、保密、密码部门对运营使用单位和主管部门开展等级保护工作进行监督、检查、指导，对重要信息系统安全负监管责任。由于重要信息系统的安全运行不仅影响本行业、本单位的生产和工作秩序，也会影响国家安全、社会稳定、公共利益，因此，国家必然要对重要信息系统的安全进行监管。 2.3.2 信息系统安全保护等级的定级要素     信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。     受侵害的客体 ：    1、公民、法人和其他组织的合法权益；    2、社会秩序、公共利益；    3、国家安全。     对客体的侵害程度：    1、造成一般损害；    2、造成严重损害；    3、造成特别严重损害。 2.3.3 信息系统安全保护等级     四、信息系统安全保护等级的确定与实施2.4.1 定级范围     一是电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。     二是铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。    三是市（地）级以上党政机关的重要网站和办公信息系统。    四是涉及国家秘密的信息系统。电信基础信息网络也是重要信息系统             2.4.2 系统定级2.4.2 系统定级     定级是等级保护工作的首要环节，是开展信息系统建设、整改、测评、备案、监督检查等后续工作的重要基础。信息系统安全级别定不准，系统建设、整改、备案、等级测评等后续工作都失去了针对性。    需要特别说明的是：信息系统的安全保护等级是信息系统的客观属性，不以已采取或将采取什么安全保护措施为依据，也不以风险评估为依据，而是以信息系统的重要性和信息系统遭到破坏后对国家安全、社会稳定、人民群众合法权益的危害程度为依据，确定信息系统的安全等级。   2.4.2.1 定级工作的步骤     第一步：摸底调查，掌握信息系统底数。（信息系统的业务类型、应用或服务范围、系统结构基本情况）     第二步：确定定级对象     第三步：初步确定信息系统等级2.4.2.2 定级的一般流程     信息系统安全包括业务信息安全和系统服务安全。信息安全是指:确保信息系统内信息的保密性、完整性和可用性等,系统服务安全是指:确保信息系统可以及时、有效地提供服务,以完成预定的业务目标。     业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全等级。    由业务信息安全等级和系统服务安全等级的较高者确定定级对象的安全保护等级。 2.4.2.3 定级基本流程 2.4.2.4 定级阶段-关于定级对象确定   一、定级对象的三个条件  具有唯一确定的安全责任单位    作为定级对象的信息系统应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保护工作部署、实施的单位,也是完成等级保护备案和接受监督检查的直接责任单位。  满足信息系统的基本要素    作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件, 如单台的服务器、终端或网络设备等作为定级对象。 2.4.2.4 定级阶段-关于定级对象确定   承载相对独立的业务应用    定级对象承载“相对独立”的业务应用是指其中的一个或多个业务应用的主要业务流程、部分业务功能独立，同时与其他信息系统的业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。    “相对独立”的业务应用并不意味着整个业务流程，可以是完整的业务流程的一部分。 2.4.2.4 定级阶段-关于定级对象确定     准确确定定级对象。在定级工作中，如何科学、合理地确定定级对象是最关键的问题。这里首先要明确一个概念，信息系统包括起支撑、传输作用的基础信息网络和各类应用系统。具体工作中，应按如下原则确定定级对象：    一、起支撑、传输作用的基础信息网络要作为定级对象。但不是将整个网络作为一个定级对象，而是要从安全管理和安全责任的角度将基础信息网络划分成若干个最小安全域或最小单元去定级。    二、专网、内网、外网等网络系统（包括网管系统）要作为定级对象。同基础信息网络一样，也不能将整个网络系统作为一个定级对象，而是要从安全管理和安全责任的角度将网络系统划分成若干个最小安全域或最小单元去定级。    三、各单位网站要作为独立的定级对象。如果网站的后台数据库管理系统安全级别高，也要作为独立的定级对象。网站上运行的信息系统（例如对社会服务的报名考试系统）也要作为独立的定级对象。 2.4.2.4 定级阶段-关于定级对象确定     四、用于生产、调度、管理、作业、指挥、办公等目的的各类应用系统，要按照不同业务类别单独确定为定级对象，不以系统是否进行数据交换、是否独享设备为确定定级对象条件。不能将某一类信息系统作为一个定级对象去定级。    五、确认负责定级的单位是否对所定级系统负有业务主管责任。也就是说，业务部门应主导对业务信息系统定级，运维部门（例如信息中心、托管方）可以协助定级并按照业务部门的要求开展后续安全保护工作。2.4.2.5 定级阶段-关于系统边界     系统边界不应出现在服务器内部，服务器共用的系统一般归入同一个信息系统,因此不同信息系统的共用设备一般是网络/边界设备或终端设备两个信息系统边界存在共用设备时，共用设备的安全保护等级按两个信息系统安全保护等级较高者确定。    例如，一个2级系统和一个3级系统之间有一个防火墙或两个系统共用一个核心交换机，此时防火墙和交换机可以作为两个系统的边界设备，但应满足3级系统的要求。2.4.2.5 定级阶段-关于系统边界     信息系统的管理终端是与相应被管理设备相对应的，服务器、网络设备及安全设备等属于哪个系统，终端就应归在哪个信息系统中。    如果无法做到不同等级的信息系统使用不同的终端设备，则应将终端设备划分为其他的信息系统，并在服务器与内部用户终端之间建立边界保护，对终端通过身份鉴别和访问控制等措施加以控制。    处理涉密信息的终端必须划分到相应的信息系统中，且不能与非涉密系统共用终端。 2.4.2.6 定级阶段-业务信息和系统服务的确定    业务信息    业务系统处理的不同类型的数据   系统服务     业务系统的服务范围    业务系统的服务对象    业务系统的服务人数    业务系统的服务时间要求 2.4.2.7 定级阶段-关于侵害客体和侵害程度   三种受侵害的客体:    国家安全体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全等方面利益。    社会秩序和公共利益包括政治、经济、生产、生活、科研、工作等各方面的正常秩序和社会公众生产、生活、教育、卫生等方面的利益。    合法权益是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益2.4.2.7 定级阶段-侵害客体和侵害程度   关于国家安全    重要的国家事务处理系统、国防工业生产系统和国防设施的控制系统等；广播、电视、网络等重要新闻媒体的发布或播出系统，其受到非法控制可能引发影响国家统一、民族团结和社会安定的重大事件；尖端科技领域的研发、生产系统等影响国家经济竞争力和科技实力的信息系统，以及电力、通信、能源、交通运输、金融等国家重要基础设施的生产、控制、管理系统等。  2.4.2.7 定级阶段-侵害客体和侵害程度   关于社会秩序    各级政府机构的社会管理和公共服务系 统，如财政、金融、工商、税务、公检法、海关、社保等领域的信息系统，也包括教育、科研机构的工作系统，以及所有为公众提供医疗卫生、应急服务、供水、供电、邮政等必要服务的生产系统或管理系统。   2.4.2.7 定级阶段-侵害客体和侵害程度   关于公共利益    借助信息化手段为社会成员提供使用的公共设施和通过信息系统对公共设施进行进行管理控制都应当是要考虑的方面，例如：公共通信设施、公共卫生设施、公共休闲娱乐设施、公共管理设施、公共服务设施等。公共利益与社会秩序密切相关，社会秩序的破坏一般会造成对公共利益的损害。   2.4.2.7 定级阶段-侵害客体和侵害程度     定级指南中指出“各行业可根据本行业业务特点，分析各类信息和各类信息系统与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系，从而确定本行业各类信息和各类信息系统受到破坏时所侵害的客体。”    各行业的不同类型的系统，系统遭受破坏的程度造成的主要关注点不相同，例如银行系统一般要关注业务能力下降的影响，党政系统主要关注管理职能的履行等。行业主管部门通过梳理本行业信息系统的现状，通过对这些不同类型、不同程度后果的定量、半定量描述，给出对等级保护客体一般损害、严重损害和特别严重损害的指导性意见，以便本行业的信息系统运营使用单位可以参照执行，确定本单位信息系统的安全保护等级，只有这样，一个行业内确定的安全保护等级才具有较好的一致性。  2.4.2.7 定级阶段-侵害客体和侵害程度   直接的结果和间接的影响:    威胁直接作用的结果信息系统的破坏, 但是确定对客体侵害的程度时，必须考虑间接的对客体产生的侵害和影响。    按照国家安全 - 社会秩序和公共利益 - 公民、法人和组织的合法利益的顺序考虑。  2.4.2.8 定级阶段-信息系统等级评审     在信息系统安全保护等级确定过程中，可以聘请专家进行咨询评审，并出具定级评审意见。对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当邀请国家信息安全保护等级专家评审委员会评审，出具评审意见。评审意见及时反馈信息系统运营使用单位工作组。涉密信息系统按照国家保密局有关规定进行等级评审。    信息系统运营使用单位参考专家定级评审意见，最终确定信息系统等级，形成定级报告。如果专家评审意见与运营使用单位意见不一致时，由运营使用单位自主决定系统等级，信息系统运营使用单位有上级主管部门的，应当经上级主管部门对安全保护等级进行审核批准。  2.4.2.8 定级阶段-信息系统等级评审     第一级信息系统：一般适用于乡镇所属信息系统、县级某些单位中一般的信息系统、小型私营、个体企业、中小学的信息系统。    第二级信息系统：一般适用于县级某些单位中的重要信息系统，地市级以上国家机关、企业、事业单位内部一般的信息系统。例如不涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统等。    第三级信息系统：一般适用于地市级以上国家机关、重要企事业单位内部重要的信息系统。例如涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统，重要领域、重要部门跨省、跨市或全国（省）联网运行的用于生产、调度、管理、作业、指挥等方面的重要信息系统，跨省或全国联网运行的重要信息系统在省、地市的分支系统，中央各部委、省（区、市）门户网站和重要网站，跨省联接的网络系统等。    第四级信息系统：一般适用于国家重要领域、重要部门中的特别重要系统以及核心系统。例如全国铁路、民航、电力等部门的调度系统，银行、证券、保险、税务、海关等几十个重要行业、部门中的涉及国计民生的核心系统。    第五级信息系统：一般适用于国家重要领域、重要部门中的极端重要系统。     五、备案2.5.1 备案范围与时间安排     管理办法第十五条规定，已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。    新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。    二级以上的信息系统需要备案  2.5.2 备案材料     一 单位基本情况表    二 信息系统情况表    三 信息系统定级情况表    四 第三级以上信息系统提交材料情况 2.5.2 备案材料     根据定级工作通知要求,信息系统安全保护等级确定后,第二级以上的信息系统运营使用单位或主管部门到公安部网站()、省等级保护办公室的网站上下载信息系统安全等级保护备案表（见附件）和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表一、表二和表三（注：第二级信息系统备案单位可以先提交电子备案表。公安机关审核后再提交纸制材料，并领取备案证明）。第三级以上信息系统的备案单位还应当在建设、整改、测评等工作完成后，再行提交备案表表四所列各项内容的书面材料。 2.5.3 “属地”备案原则     跨省的系统，全国联网本省分支系统到公安厅网安总队备案。    跨地市的系统，到公安厅网安总队备案，各地市分支系统应向对应地市的公安局网安处、科备案。    厅直级的信息系统到公安厅网安总队备案。    地市级以下（包括地市级）的系统，到设区市的公安局网安处、科备案。     信息系统安全等级保护基本要求 福建省公安厅公共信息网络安全监察总队康仲生   一、作用和定位2.1.1 主要作用     基本要求对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：     为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，基本要求为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。    为测评机构提供评估依据基本要求为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。    为职能监管部门提供监督检查依据基本要求为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。2.1.2 技术标准和管理规范的作用2.1.3 基本要求的定位     是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态；    是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴切的保护可以通过需求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现；2.1.3 基本要求的定位     二、框架结构2.2 框架结构     基本要求在整体框架结构上以三种分类为支撑点，自上而下分别为：类、控制点和项。其中，类表示：基本要求在整体上大的分类，其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复等5大类,管理部分分为:安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运行管理等5大类,一共分为10大类。控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。”2.2.1 结构 2.2.2基本要求安全要求的分类     安全要求从整体上分为技术和管理两大类，其中,技术类安全要求按其保护的侧重点不同，将其下的控制点分为三类：    信息安全类(S类) - 关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改。如: 自主访问控制，该控制点主要关注的是防止未授权的访问系统，进而造成数据的修改或泄漏。至于对保证业务的正常连续运行并没有直接的影响。    服务保证类（A类）关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用。如: 数据的备份和恢复，该控制点很好的体现了对业务正常运行的保护。如通过对数据 进行备份,在发生安全事件后能够及时的进行恢复，从而保证了业务的正常运行。    通用安全保护类（G类）既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。大多数技术类安全要求都属于此类，保护的重点既是为了保证业务能够正常运行，同时数据要安全。如: 物理访问控制，该控制点主要是防止非授权人员物理访问系统主要工作环境，由于进入工作环境可能导致的后果既可能包括系统无法正常运行（如，损坏某台重要服务器），也可能窃取某些重要数据。因此，它保护的重点二者兼而有之。 2.2.2基本要求安全要求的分类     技术安全要求按其保护的侧重点不同分为S、A、G三类,如果从另外一个角度考虑，根据信息系统安全的整体结构来看，信息系统安全可从五个层面：物理、网络、主机系统、应用系统和数据对系统进行保护，因此，技术类安全要求也相应的分为五个层面上的安全要求：    1、物理层面安全要求: 主要是从外界环境、基础设施、运行硬件、介质等方面为信息系统的安全运行提供基本的后台支持和保证；    2、网络层面安全要求：为信息系统能够在安全的网络环境中运行提供支持，确保网络系统安全运行提供有效的网络服务；    3、主机层面安全要求：在物理、网络层面安全的情况下,提供安全的操作系统和安全的数据库管理系统，以实现操作系统和数据库管理系统的安全运行；    4、应用层面安全要求：在物理、网络、系统等层面安全的支持下，实现用户安全需求所确定的安全目标；    5、数据及备份恢复层面安全要求：全面关注信息系统中存储、传输、处理等过程的数据的安全性。    管理类安全要求主要是围绕信息系统整个生命周期全过程而提出的,均为G类要求。信息系统的生命周期主要分为五个阶段：初始阶段、采购/开发阶段、实施阶段、运行维护阶段和废弃阶段。管理类安全要求正是针对这五个阶段的不同安全活动提出的，分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运行管理五个方面。2.2.3 逐级增强     不同级别的信息系统,其应该具备的安全保护能力不同,也就是对抗能力和恢复能力不同；安全保护能力不同意味着能够应对的威胁不同，较高级别的系统应该能够应对更多的威胁；应对威胁将通过技术措施和管理措施来实现，应对同一威胁可以有不同强度和数量的措施，较高级别的系统应考虑更为周密的应对措施。2.2.3 逐级增强   主机安全>入侵防范：(G2)    操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。  主机安全>入侵防范：(G3）    1、应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；    2、应能够对重要的程序完整性进行检测，并在检测到完整性受到破坏后具有恢复的施；    3、操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。  网络安全>入侵防范：(G3）    1、应在网络边界处监视以下攻击行为: 端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；    2、当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。  网络安全>入侵防范：(G4）    1、应在网络边界处监视以下攻击行为： 端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；    2、当检测到攻击行为时,应记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警及自动采取相应动作。    三、各级系统保护的主要内容2.3.1 各级系统安全保护-物理安全     物理安全保护的目的主要是使存放计算机、网络设备的机房以及信息系统的设备和存储数据的介质等免受物理环境、自然灾难以及人为操作失误和恶意操作等各种威胁所产生的攻击。物理安全是防护信息系统安全的最底层，缺乏物理安全，其他任何安全措施都是毫无意义的。    物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。具体包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个控制点。2.3.2 各级系统安全保护-网络安全     网络安全为信息系统在网络环境的安全运行提供支持。一方面，确保网络设备的安全运行，提供有效的网络服务，另一方面，确保在网上传输数据的保密性、完整性和可用性等。由于网络环境是抵御外部攻击的第一道防线，因此必须进行各方面的防护。对网络安全的保护，主要关注两个方面：共享和安全。开放的网络环境便利了各种资源之间的流动、共享，但同时也打开了“罪恶”的大门。因此，必须在二者之间寻找恰当的平衡点，使得在尽可能安全的情况下实现最大程度的资源共享，这是我们实现网络安全的理想目标。    网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等，具体的控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。2.3.2.1 结构安全     在对网络安全实现全方位保护之前，首先应关注整个网络的资源分布、架构是否合理。只有结构安全了，才能在其上实现各种技术功能，达到网络安全保护的目的。通常，一个机构是由多个业务部门组成，各部门的地位、重要性不同，部门所要处理的信息重要性也不同，因此，需要对整个网络进行子网划分。    该控制点主要从网段划分、资源（带宽、处理能力）保证、优先处理等方面来要求。   2.3.2.1 结构安全     应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。    应保证网络各部分的带宽满足业务高峰期需要。    应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。    应绘制于当前运行情况相符的网络拓扑结构图，网络拓扑结构的合理性。    应根据各部门各系统的重要性，划分不同的子网和网段，应避免将重要网段直接连接外部信息系统，重要网段与其他的网段之间采取可靠的技术隔离手段。    应根据业务服务的重要性指定带宽优先权。 2.3.2.2 访问控制     对于网络而言，最重要的一道安全防线就是边界，边界上汇聚了所有流经网络的数据流，必须对其进行有效的监视和控制。所谓边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间的连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。有连接，必有数据间的流动，因此在边界处，重要的就是对流经的数据（或者称进出网络）进行严格的访问控制。按照一定的规则允许或拒绝数据的流入、流出。    如果说，网络访问控制是从数据的角度对网络中流动的数据进行控制，那么，拨号访问控制则是从用户的角度对远程访问网络的用户进行控制。对用户的访问控制，同样应按照一定的控制规则来允许或拒绝用户的访问 .2.3.2.2 访问控制     应在网络边界部署访问控制设备，启用访问控制功能。    应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。    应限制网络最大流量数和网络连接数。     应在会话处于非活跃一定时间或会话结束后终止网络连接。     应不开放远程拔号访问功能。2.3.2.3 安全审计     如果将安全审计仅仅理解为“日志记录”功能，那么目前大多数的操作系统、网络设备都有不同程度的日志功能。但是实际上仅这些日志根本不能保障系统的安全，也无法满足事后的追踪取证。安全审计并非日志功能的简单改进，也并非等同于入侵检测。    网络安全审计重点包括的方面：对网络流量监测以及对异常流量的识别和报警、网络设备运行情况的监测等。通过对以上方面的记录分析，形成报表，并在一定情况下发出报警、阻断等动作。其次，对安全审计记录的管理也是其中的一方面。由于各个网络产品产生的安全事件记录格式也不统一，难以进行综合分析，因此，集中审计已成为网络安全审计发展的必然趋势。2.3.2.3 安全审计     应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。    审计记录应包括：事件的日期时间、用户、事件类型、事件是否成功等相关信息。    应对审计跟踪极限的阀值，当存储空间接近极限时，能采取必要的措施，当存储空间消耗尽时，终止可审计事件的发生。2.3.2.4 边界完整性检查     虽然网络采取了防火墙、IDS等有效的技术手段对边界进行了防护,但如果内网用户在边界处通过其他手段接入内网（如无线网卡、双网卡、modem拨号上网），这些边界防御则形同虚设。因此，必须在全网中对网络的连接状态进行监控,准确定位并能及时报警和阻断。    对非授权设备私自联到内部网络的行为进行检查和准确定位。    对内部网络用户私自联到外部网络的行为进行检查和准确定位。2.3.2.5 入侵防范