信息安全等级保护培训2012ppt课件.pptx
信息安全等级保护内部培训沈武林沈武林 等级保护背景等级保护背景 等级保护流程等级保护流程 等级保护基本要求与产品对应详解等级保护基本要求与产品对应详解 深信服等级保护方案深信服等级保护方案目录目录等级保护的背景和基本知识政府行业电子政务网的分类政府行业电子政务网的分类根据国家电子政务信息系统中存储、处理和传输的信息是否属于国家秘密信息，国家电子政务信息系统分为两种类型：n 电子政务涉密信息系统n 电子政务非涉密信息系统详细电子政务网络划分可以参考国家信息化领导小组关于我国电子政务建设指导意见 中办发200217号文政府行业电子政务网的分类政府行业电子政务网的分类非涉密信息系统非涉密信息系统涉密信息系统涉密信息系统适用标准等级保护分级保护主管部门公安部保密局定级对象所有不运行涉密信息的信息系统（军队除外）；副省级以上单位办公网；军工；军队（军标，主管单位是全军保密委）；所分级别第一级（自主保护）第二级（指导保护）第三级（监督保护）第四级（强制保护）第五级（专控保护）秘密级机密级绝密级资质要求无明确要求，最好有国信的检测证书。等保三级以上系统，应优先考虑国内安全产品，除非国外安全产品无法使用国内产品替代时，才允许使用国外安全产品。集成：保密局发的涉密集成资质单项：保密局发的涉密单项资质安全产品：保密局发的涉密检测报告密码产品：国密局发的密码资质防病毒软件；公安部的检测报告军队：军用安全产品检测报告；全部禁止使用国外安全产品等级保护的发展2003年9月中办国办颁发关于加强信息安全保障工作的意见中办发200327号2005年9月国信办文件 关于转发电子政务信息安全等级保护实施指南的通知 国信办25号文2006年1月四部委会签 关于印发信息安全等级保护管理办法的通知 公通字20067号（已废止）2005年 公安部标准基本要求定级指南实施指南测评准则2004年11月四部委会签关于信息安全等级保护工作的实施意见公通字200466号1994年2月中华人民共和国计算机信息系统安全保护条例（国务院147号令）2007年6月公安部、保密局、国密局、国信办联合印发信息安全等级保护管理办法（公通字200743号 ）2007年7月关于开展全国重要信息系统安全等级保护定级工作的通 知 （ 公 信 安2007861号）等级保护的一些基础知识等级保护的一些基础知识n 等级保护是一个体系建设工作，相当于中国的27001，将来会是在未来指导我国信息安全工作的根本；n 等级保护所有标准为推荐标准（GBT），所以不是强制执行，且各行业会制定自己的标准；n 等级保护的定级是针对业务系统，但是进行等级保护建设时讲究的是整体环境建设满足等级要求；n 当网络环境内运行多个业务系统时，应当按照定级高的业务系统进行环境建设； n 等级保护的定级分为三个纬度SAG，S指的是业务信息安全类，A指的是系统服务保证类，G是基本要求。比如三级分为：S1A3G3,S2A3G3,S3A3G3,S3A2G3,S3A1G3，并非等保三级指的是一个要求；n 在政府行业，任何时候不要拿安全产品和物理隔离做对比，任何时候拓扑图里也不要出现涉密网和非涉密网连接的情况等级保护的流程等级保护的流程等级变更局部调整信息系统定级信息系统定级安全规划安全规划安全设计与实施安全设计与实施维护维护信息系统终止信息系统终止等级保护项目的流程等级保护项目的流程n 定级并备案定级并备案n 进行风险评估、检查或预测评进行风险评估、检查或预测评n 制定设计方案制定设计方案n 根据设计方案进行系统集成招标根据设计方案进行系统集成招标n 系统集成实施与验收系统集成实施与验收n 风险评估与测评（管理风险评估与测评（管理+技术）技术）n 测评不合规部分整改测评不合规部分整改预算是在什么时候确定的？等级保护（三级S3A3G3）基本技术要求详解等级保护三级基本技术要求详解等级保护三级基本技术要求详解物理安全物理安全网络安全网络安全主机安全主机安全应用安全应用安全数据安全与备份恢复数据安全与备份恢复网络安全网络安全-结构安全结构安全基本要求基本要求公司产品功能公司产品功能应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；推荐WOC，流量削减功能应保证网络各个部分的带宽满足业务高峰期需要；推荐WOC，流量削减功能应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应绘制与当前运行情况相符的网络拓扑结构图；应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；AF，安全隔离应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。BM，流量管理网络安全网络安全基本要求基本要求公司产品功能公司产品功能访问控制AF-防火墙入侵检测AF-入侵防御恶意代码防范AF-AV网关注意：与前面提到的WOC以及BM不同，这些产品是不可替代的，也就说，只要做等保三级，这些产品必须采购。网络安全网络安全-安全审计安全审计基本要求基本要求公司产品功能公司产品功能应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；一般安全公司在此点要求上会推SOC+网络审计，我们可以推APM+AC，APM用以审计网络设备的运行状况，AC用以审计用户网络行为。审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应能够根据记录数据进行分析，并生成审计报表；应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。注意：对于用户网络审计，对于等保三级基本属于强制要求，只要做等保三级必然会采购网络审计系统。等保二级中，有些客户为了省钱可能会用syslog服务器来针对这点要求。网络安全网络安全-边界完整性检查边界完整性检查基本要求基本要求公司产品功能公司产品功能应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；这点一般是终端管理系统具有扫描非法客户端功能，可以检查非法终端的接入，同时配合交换机的端口控制来阻断。但我们可以试着推AC的认证功能，不经过AC认证的客户端，无法接入应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。这点指的是终端管理系统限制内网终端的无线、蓝牙、红外等功能。但近年来由于以讹传讹，很多客户认为互联网出口处的控制也属于这点要求，所以我们可以推AC的认证功能，经过AC认证的才能连接到外部网络。当然，其实这是误解。网络安全网络安全-网络设备防护网络设备防护基本要求基本要求公司产品功能公司产品功能应对登录网络设备的用户进行身份鉴别；1.什么叫双因素认证？You know，you have，you are2.网络设备双因素认证的方法Radius服务器，堡垒主机3.SSL VPN解决远程用户的认证问题应对网络设备的管理员登录地址进行限制；网络设备用户的标识应唯一；主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；应实现设备特权用户的权限分离。应用应用安全安全-1基本要求基本要求公司产品功能公司产品功能身份鉴别一般来说，这些要求是对业务系统的要求，应该在业务系统开发时从系统内部来解决。但大部分 业务系统开发时，并没有考虑到等级保护的相关要求，所以不具备身份鉴别、权限控制、安全审计的一些具体要求。所以我们可以推荐SSL VPN带有的这些功能，解决远程用户接入的身份鉴别问题，但对于访问控制和安全审计其实很牵强，因为SSL VPN无法控制和审计到在业务系统内部的操作。访问控制安全审计应用应用安全安全-2基本要求基本要求公司产品功能公司产品功能通信完整性一般来说，这些要求是对业务系统的要求，应该在业务系统开发时从系统内部来解决。但大部分 业务系统开发时，并没有考虑到等级保护的相关要求，所以没有采用加密方式（https）来访问业务系统服务器。所以我们可以推荐使用带有VPN加密功能的设备组网或者SSL VPN接入，解决通信加密的要求。通信保密性数据安全与备份恢复数据安全与备份恢复基本要求基本要求公司产品功能公司产品功能应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；AD：负载均衡WOC：削减通信线路数据量应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。注意：这点对于业务系统使用AD的要求非常明确。WOC则属于引导性需求。物理物理安全安全基本要求基本要求解决方案解决方案物理位置的选择物理访问控制电子门禁防盗窃和防破坏视频监控和报警防雷击避雷针防火消防系统防水和防潮装修、精密空调防静电接地、防静电地板湿温度控制精密空调电力供应USP备用电源电磁防护布线隔离，屏蔽主机安全主机安全基本要求基本要求解决方案解决方案身份鉴别操作系统加固+双因素认证访问控制操作系统加固+帐号管理安全审计操作系统和数据库的日志功能开启剩余信息保护入侵防范终端安全管理系统恶意代码防范杀毒软件资源控制终端安全管理系统 APM深信服等级保护解决方案介绍深信服等级保护方案介绍深信服等级保护方案介绍方案的定位：方案的定位：n 不是设计方案，不是整改方案，不是实施方案n 是针对客户进行等级保护建设时碰到的问题，我们 依据公司产品给出的符合等级保护要求的解决方案n 可以作为客户进行等保设计方案和改造方案时的参考方案的目标：方案的目标：n 不做咨询，不做集成，不做测评，在等保项目中卖产品；n 等保是个体系建设，不是说客户按照我们这个方案都做了就完成等保建设了，只是在我们提到的这些方面满足等保的要求；深信服等级保护方案介绍深信服等级保护方案介绍区域边界隔离与审计区域边界隔离与审计背景需求：背景需求：在进行等级保护建设时，首先要按照业务类型、重要程度等因素进行安全域的划分。在安全域与安全域之间，需要严格控制信息流向，对通过安全域边界进行的数据交换应该进行严格的控制，这些控制手段通常包括：访问控制、入侵检测与防御、恶意代码防范、网络行为审计等。政策要求：政策要求：网络安全-访问控制网络安全-入侵防范网络安全-恶意代码防范网络安全-安全审计网络安全 边界完整性深信服方案：深信服方案：AF：解决访问控制、入侵防范、恶意代码防范，并解决多产品串联糖葫芦串的问题；AC：网络安全审计，违规外联控制竞争：UTM（启明、天融信、网神等） 糖葫芦串（各安全厂商）网络审计（汉邦、启明、绿盟等）网络结构安全与冗余部署网络结构安全与冗余部署背景需求：背景需求：目前多数骨干数据交换系统均采用中央、省、市、县多级组网，通过专线或者VPN连接，实现业务数据的上报和交换，并实现数据大集中。政策要求：政策要求：网络安全-结构安全网络安全-通信完整性网络安全-通信保密性数据安全-数据传输保密性数据安全-备份与恢复深信服方案：深信服方案：WOC：流量削减解决结构安全中的冗余要求，加密功能解决通信与数据的保密性；BM：解决结构安全中的流量管理的要求AD：解决备份与恢复中对于单点故障的要求；竞争：客户采用网络设备自身功能解决，不采购专门的产品。远程用户接入远程用户接入背景需求：背景需求：等级保护的业务系统常常有这种情况，需要有许多单个的用户从不同的地点接入，这些用户分布比较分散，缺乏控制，终端设备难以预测，甚至有些用户是移动用户，需要使用移动智能终端接入业务系统。政策要求：政策要求：应用安全-身份鉴别、访问控制、安全审计应用安全-通信保密性、通信完整性深信服方案：深信服方案：SSL VPN：远程用户接入时的身份鉴别、权限控制、安全审计，并保证通信保密性和完整性；VSP：远程用户访问时，进一步保证访问业务系统的安全性与边界隔离；Easyconnect：移动用户接入的安全问题；竞争：客户利用应用系统开发时的加密模块，不采购专门产品安全管理中心安全管理中心背景需求：背景需求：随着信息化建设的进行，服务器和网络设备越来越多，业务系统越来越多，用户没有精力逐个监控，迫切的需要有一个系统能够监控整个网络的情况，尤其是监控所有业务系统的健康状况，并且当业务系统出现问题时，能够进行即使的告警。另外，需要实现对设备的统一的策略管理和下发。政策要求：政策要求：应用安全-资源控制主机安全-资源控制监控管理和安全管理中心网络安全管理深信服方案：深信服方案：APM：服务器、网络设备、业务系统的监控与告警；SC：深信服所有设备的集中管理与控制；竞争：SOC（启明、网神、安氏等）跨等级业务系统的访问跨等级业务系统的访问背景需求：背景需求：在单位内部进行业务系统定级时，由于业务系统众多重要性也不同，常常出现多级业务系统并存的情况。用户终端既需要访问高等级业务系统，又需要访问低等级业务系统。政策要求：政策要求：边界隔离-明确安全边界深信服方案：深信服方案：VSP：明确安全边界，增强边界防护；竞争：客户需求没有引导出来，这个匹配等级保护政策有些牵强几个问题：几个问题：1. 我们在什么阶段介入项目最好？我们在什么阶段介入项目最好？2. 项目的每个阶段我们都应该做什么？项目的每个阶段我们都应该做什么？3. 跟普通安全厂商相比，我们的重点有什么不同？跟普通安全厂商相比，我们的重点有什么不同？4. 如何向客户推荐深信服？如何向客户推荐深信服？5. 有哪些行业制定了自己的标准？有哪些行业制定了自己的标准？6. 其他问题？其他问题？谢谢
