[精选]信息安全等级保护与解决方案36532.pptx

《[精选]信息安全等级保护与解决方案36532.pptx》由会员分享，可在线阅读，更多相关《[精选]信息安全等级保护与解决方案36532.pptx（157页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全等级保护与解决方案信息安全等级保护与解决方案信息安全等级保护与解决方案信息安全等级保护与解决方案信息安全等级保护与解决方案信息安全等级保护与解决方案信息安全等级保护 信息安全现状与问题 信息安全等级保护简介信息安全解决方案 信息安全技术 信息安全管理 信息安全方案信息安全现状信息安全现状日益增长的安全威胁日益增长的安全威胁攻击技术越来越复杂入侵条件越来越简单信息安全问题信息安全问题安全事件安全事件每年都有上千家政府网站被攻击安全影响安全影响任何网络都可能遭受入侵信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护简介信息系统安全等级保护简介信息系统安全保护等级划分信息系统安全保

2、护等级划分信息系统安全保护定级指南信息系统安全保护定级指南等级保护出台是信息安全发展的需要等级保护出台是信息安全发展的需要qq信息安全问题层出不穷信息安全问题层出不穷qq安全保护措施、安全管理建设不足，导致各种安全事故发生安全保护措施、安全管理建设不足，导致各种安全事故发生qq国内缺乏相类似的安全标准国内缺乏相类似的安全标准qq国家、服务商和用户在安全建设过程中缺乏参考依据国家、服务商和用户在安全建设过程中缺乏参考依据qq随着信息安全技术的发展随着信息安全技术的发展qq随着安全意识的提高随着安全意识的提高qq随着安全服务范围增大随着安全服务范围增大qq对对信息安全管理需要实行等级化保护信息安全

3、管理需要实行等级化保护(目标目标/要求要求/能力能力)19941994年年国国务务院院颁颁布布的的中中华华人人民民共共和和国国计计算算机机信信息息系系统统安安全全保保护护条条例例规规定计算机信息系统实行定计算机信息系统实行信息系统安全等级保护信息系统安全等级保护。20032003年年中中央央办办公公厅厅、国国务务院院办办公公厅厅转转发发的的国国家家信信息息化化领领导导小小组组关关于于加加强强信信息息安安全全保保障障工工作作的的意意见见（中中办办发发200327200327号号）中中明明确确指指出出：“要要重重点点保保护护基基础础信信息息网网络络和和关关系系国国家家安安全全、经经济济命命脉脉、社

4、社会会稳稳定定等等方方面面的的重重要要信信息息系系统统，抓抓紧紧建建立立信信息息系系统统安安全全等等级级保保护护制制度度，制制定定信信息息系系统统安安全全等等级级保保护的管理办法和技术指南护的管理办法和技术指南”。20042004年年公公安安部部等等四四部部委委关关于于信信息息系系统统安安全全等等级级保保护护工工作作的的实实施施意意见见（公公通通字字200466200466号号）也也指指出出：“信信息息系系统统安安全全等等级级保保护护制制度度是是国国家家在在国国民民经经济济和和社社会会信信息息化化的的发发展展过过程程中中，提提高高信信息息安安全全保保障障能能力力和和水水平平，维维护护国国家家安

5、安全全、社社会会稳稳定定和和公公共共利利益益，保保障障和和促促进进信信息息化化建建设设健健康康发发展展的的一一项项基本制度基本制度”。信息安全等级保护相关文件信息安全等级保护相关文件信息安全等级保护发展历程信息安全等级保护发展历程1999199919991999年年年年9 9 9 9月月月月13131313日日日日计算机信息系统安全等级划分准则计算机信息系统安全等级划分准则计算机信息系统安全等级划分准则计算机信息系统安全等级划分准则GB 17859-1999 GB 17859-1999 GB 17859-1999 GB 17859-1999 2003200320032003年年年年9 9 9

6、9月，月，月，月，27272727号文明确提出国家信息安全按照等级化保护的制度推行号文明确提出国家信息安全按照等级化保护的制度推行号文明确提出国家信息安全按照等级化保护的制度推行号文明确提出国家信息安全按照等级化保护的制度推行2003200320032003年年年年10101010月，公安部月，公安部月，公安部月，公安部关于信息安全等级保护政策建议关于信息安全等级保护政策建议关于信息安全等级保护政策建议关于信息安全等级保护政策建议2004200420042004年初，信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州）年初，信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州）年初，

7、信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州）年初，信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州）2004200420042004年年年年4 4 4 4月，等级化保护制度开始在部分行业和省份进行试点月，等级化保护制度开始在部分行业和省份进行试点月，等级化保护制度开始在部分行业和省份进行试点月，等级化保护制度开始在部分行业和省份进行试点2004200420042004年年年年6 6 6 6月，颁布月，颁布月，颁布月，颁布等级化保护实施指南等级化保护实施指南等级化保护实施指南等级化保护实施指南等文件等文件等文件等文件2005200520052005年年年年8 8 8 8月，

8、北戴河会议，初步通过了部分标准月，北戴河会议，初步通过了部分标准月，北戴河会议，初步通过了部分标准月，北戴河会议，初步通过了部分标准2006200620062006年年年年3 3 3 3月，颁布部分标准月，颁布部分标准月，颁布部分标准月，颁布部分标准2006200620062006年年年年4 4 4 4月，试点工作启动月，试点工作启动月，试点工作启动月，试点工作启动2007200720072007年年年年6 6 6 6月，公安部等四部委联合下发月，公安部等四部委联合下发月，公安部等四部委联合下发月，公安部等四部委联合下发信息安全等级保护管理办法信息安全等级保护管理办法信息安全等级保护管理办法信

9、息安全等级保护管理办法信息安全等级保护发展历程信息安全等级保护发展历程20072007年年7 7月，四部委联合会签并下发了月，四部委联合会签并下发了关于开展全国重要信息系统安关于开展全国重要信息系统安全等级保护定级工作的通知全等级保护定级工作的通知（公信安（公信安20078612007861号）号）20072007年年8 8月月,山东省公安厅、山东省保密局、山东省密码管理局和山东省山东省公安厅、山东省保密局、山东省密码管理局和山东省信息办联合下发了信息办联合下发了山东省重要信息系统安全等级保护定级工作方案山东省重要信息系统安全等级保护定级工作方案 定级范围：定级范围：电信、广电行业的公用通信网

10、、广播电视传输网等电信、广电行业的公用通信网、广播电视传输网等基础信息网络基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。位的重要信息系统。铁路、银行、海关、税务、民航、电力、证券、保险、科技、发展铁路、银行、海关、税务、民航、电力、证券、保险、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、利、国土资源、能源、交通、文化、教育、统计、工商行政管理工商行政管理

11、、邮政、邮政等行业、部门的生产、调度、管理、办公等等行业、部门的生产、调度、管理、办公等重要信息系统重要信息系统。市（地）级以上党政机关的重要网站和办公信息系统。市（地）级以上党政机关的重要网站和办公信息系统。涉及国家秘密的信息系统。涉及国家秘密的信息系统。信息安全等级保护指导性文件信息安全等级保护指导性文件qq信息系统安全等级保护基本要求信息系统安全等级保护基本要求qq信息系统安全等级保护定级指南信息系统安全等级保护定级指南qq信息系统安全等级保护实施指南信息系统安全等级保护实施指南qq信息系统安全等级保护测评准则信息系统安全等级保护测评准则信息系统安全保护等级划分信息系统安全保护等级划分第

12、一级为自主保护级自主保护级，主要对象为一般的信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益。第二级为指导保护级指导保护级，主要对象为一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害。第三级为监督保护级监督保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害。第四级为强制保护级强制保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统，其

13、受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害。第五级为专控保护级专控保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。信息系统安全保护的目标信息系统安全保护的目标 实行等级保护的总体目标总体目标是为了统一信统一信息安全保护工作，推进规范化、法制化息安全保护工作，推进规范化、法制化建设，保障安全，促进发展，完善我国建设，保障安全，促进发展，完善我国信息安全法规和标准体系，提高我国信信息安全法规和标准体系，提高我国信息安全和信息系统安全建设的整体水平。息安全和信息系

14、统安全建设的整体水平。信息安全等级保护的对象信息安全等级保护的对象信息信息信息系统信息系统等级保护工作的三个方面等级保护工作的三个方面对信息系统分等级实施安全保护对信息系统分等级实施安全保护;对信息系统中使用的信息安全产品实行对信息系统中使用的信息安全产品实行分等级管理分等级管理;对信息系统中发生的信息安全事件分等对信息系统中发生的信息安全事件分等级响应、处置。级响应、处置。决定信息系统重要性的要素决定信息系统重要性的要素信息系统所属类型，即信息系统资产的安全利信息系统所属类型，即信息系统资产的安全利益主体益主体 信息系统主要处理的业务信息类别信息系统主要处理的业务信息类别 -决定信息系统内信

15、息资产的重要性决定信息系统内信息资产的重要性 信息系统服务范围，包括服务对象和服务网络信息系统服务范围，包括服务对象和服务网络覆盖范围覆盖范围 业务对信息系统的依赖程度业务对信息系统的依赖程度 -决定信息系统所提供服务的重要性决定信息系统所提供服务的重要性 信息系统所属类型赋值表信息系统所属类型赋值表 信息系统所属类型举例信息系统所属类型举例赋赋值值信息系统的社会影响信息系统的社会影响属于一般企事业单位，处理其内部事属于一般企事业单位，处理其内部事务的信息系统。务的信息系统。1 1信息系统资产受到破坏会对本单信息系统资产受到破坏会对本单位利益有直接影响。位利益有直接影响。属于重要行业、重要领域

16、和国家基础属于重要行业、重要领域和国家基础设施，为国计民生、经济建设等提供设施，为国计民生、经济建设等提供重要服务的信息系统，或本身虽属一重要服务的信息系统，或本身虽属一般企事业单位，但为党政或重要信息般企事业单位，但为党政或重要信息系统提供支撑服务的信息系统。系统提供支撑服务的信息系统。2 2信息系统资产受到破坏会对公共信息系统资产受到破坏会对公共利益有直接影响，或对国家安全利益有直接影响，或对国家安全利益有间接影响。利益有间接影响。属于党政机关，处理国家事务的信息属于党政机关，处理国家事务的信息系统。系统。3 3信息系统资产受到破坏会对国家信息系统资产受到破坏会对国家安全利益有直接影响。安

17、全利益有直接影响。业务信息类型赋值表业务信息类型赋值表 业务信息类型举例业务信息类型举例赋值赋值业务信息的安全影响业务信息的安全影响可以对外公开发布的信息，或不对外发布的可以对外公开发布的信息，或不对外发布的单位内部一般信息。单位内部一般信息。1 1业务信息机密性、完整性或可用性被业务信息机密性、完整性或可用性被破坏会对公共利益或本单位经济利益破坏会对公共利益或本单位经济利益造成一定损害。造成一定损害。法人和其他组织及公民的专有信息，例如内法人和其他组织及公民的专有信息，例如内部敏感信息、关键技术数据、科技情报、商部敏感信息、关键技术数据、科技情报、商业秘密等。业秘密等。2 2业务信息机密性、

18、完整性或可用性被业务信息机密性、完整性或可用性被破坏会对公共利益或本单位经济利益破坏会对公共利益或本单位经济利益造成严重损害。造成严重损害。涉及国家安全利益，影响国家经济建设的信涉及国家安全利益，影响国家经济建设的信息。息。3 3业务信息机密性、完整性或可用性被业务信息机密性、完整性或可用性被破坏对国家安全利益和国家经济建设破坏对国家安全利益和国家经济建设造成损害。造成损害。信息系统服务范围赋值表信息系统服务范围赋值表 信息系统服务范围举例信息系统服务范围举例赋值赋值服务范围的影响服务范围的影响地区范围的服务网络。地区范围的服务网络。1 1信息系统因无法提供服务或无法提供有效服信息系统因无法提

19、供服务或无法提供有效服务会对局部范围的资产造成损害。务会对局部范围的资产造成损害。省级范围的服务网络。省级范围的服务网络。2 2信息系统因无法提供服务或无法提供有效服信息系统因无法提供服务或无法提供有效服务会对较大范围的资产造成损害。务会对较大范围的资产造成损害。全国范围的服务网络。全国范围的服务网络。3 3信息系统因无法提供服务或无法提供有效服信息系统因无法提供服务或无法提供有效服务会对全国范围的资产造成损害。务会对全国范围的资产造成损害。业务依赖程度赋值表业务依赖程度赋值表 业务依赖程度举例业务依赖程度举例赋值赋值业务系统影响业务系统影响业务处理流程的大部分可以通过手工方业务处理流程的大部

20、分可以通过手工方式或其他方式完成，自动化程度低。式或其他方式完成，自动化程度低。1 1信息系统无法提供服务或无法提供信息系统无法提供服务或无法提供有效服务对单位完成其业务使命影有效服务对单位完成其业务使命影响较小。响较小。业务处理流程的部分环节可以通过手工业务处理流程的部分环节可以通过手工方式或其他方式替代完成，自动化程度方式或其他方式替代完成，自动化程度中。中。2 2信息系统无法提供服务或无法提供信息系统无法提供服务或无法提供有效服务对单位完成其业务使命影有效服务对单位完成其业务使命影响较大。响较大。业务处理流程完全依赖信息系统，手工业务处理流程完全依赖信息系统，手工方式无法完成，自动化程度

21、高。方式无法完成，自动化程度高。3 3信息系统无法提供服务或无法提供信息系统无法提供服务或无法提供有效服务使单位无法完成其业务使有效服务使单位无法完成其业务使命。命。信息系统所属类型信息系统所属类型业务信息类型业务信息类型信息系统服务范围信息系统服务范围业务依赖程度业务依赖程度业务信息安全性取值业务信息安全性取值业务服务保证性取值业务服务保证性取值业务服务保证性等级业务服务保证性等级1.1.赋值赋值选择调节因子选择调节因子业务子系统安全保护等级业务子系统安全保护等级2.2.确定两个指标等级确定两个指标等级业务信息安全性等级业务信息安全性等级3 3 确定业务子系统等级确定业务子系统等级信息系统安

22、全保护等级信息系统安全保护等级4.4.确定信息系统等级确定信息系统等级其它业务子系统其它业务子系统 。业务信息安全性等级矩阵表 业务信息类型业务信息类型赋值赋值信息系统所属类型赋值信息系统所属类型赋值123112222333344业务服务保证性取值矩阵表业务服务保证性取值矩阵表 信息系统服务范围信息系统服务范围赋值赋值业务依赖程度赋值业务依赖程度赋值123112322343344 调节因子取值表调节因子取值表 信息系统服务的影响程度信息系统服务的影响程度调节因子调节因子k k信息系统无法提供服务或无法提供有效服务会造成国家安全利益损失。1.0 k 0.8信息系统无法提供服务或无法提供有效服务会

23、造成较大范围的公共利益损失。0.8 k 0.5信息系统无法提供服务或无法提供有效服务会造成局部利益损失。0.5 k 0信息系统安全保护等级信息系统安全保护等级 业务子系统的安全保护等级由业务信息业务子系统的安全保护等级由业务信息安全性等级和业务服务保证性等级较高安全性等级和业务服务保证性等级较高者决定。者决定。信息系统的安全保护等级由各业务子系信息系统的安全保护等级由各业务子系统的最高等级决定。统的最高等级决定。物理层面物理层面网络层面网络层面系统层面系统层面应用层面应用层面管理层面管理层面安全管理制度安全管理制度业务处理流程业务处理流程 业务应用系统业务应用系统 数据库应用系统数据库应用系统

24、 身份鉴别机制身份鉴别机制 强制访问控制强制访问控制防火墙防火墙入侵检测系统入侵检测系统物理设备安全物理设备安全环境安全环境安全信信息息安安全全体体系系信息系统安全体系结构信息系统安全体系结构互联网计算机网络内网（业内网（业务专网）务专网）逻辑隔离物理隔离信息收集、发布，公众服务内部业务处理办公系统办公系统电子政务外网等级保护基本要求（二、三级）等级保护基本要求（二、三级）qq技术要求技术要求技术要求技术要求 物理安全：物理安全：物理位置选择、物理访问控制、防盗和防破坏、防雷击、防火、防水、防潮湿、防静电、电力保障、电磁防护物理位置选择、物理访问控制、防盗和防破坏、防雷击、防火、防水、防潮湿、

25、防静电、电力保障、电磁防护 网络安全：网络安全：结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络 设备防护、恶意代码防范设备防护、恶意代码防范设备防护、恶意代码防范设备防护、恶意代码防范 主机系统安全：主机系统安全：身份鉴别、自主访问控制、身份鉴别、自主访问控制、

26、身份鉴别、自主访问控制、身份鉴别、自主访问控制、强制访问控制强制访问控制强制访问控制强制访问控制、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、入侵防范入侵防范入侵防范入侵防范、恶意代码、恶意代码、恶意代码、恶意代码 防范、资源控制防范、资源控制防范、资源控制防范、资源控制 应用安全：应用安全：身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制身份鉴别、访问控制、安全审

27、计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制 数据安全数据安全：数据完整性、数据保密性、数据备份与恢复数据完整性、数据保密性、数据备份与恢复数据完整性、数据保密性、数据备份与恢复数据完整性、数据保密性、数据备份与恢复q管理要求管理要求 安全管理机构：安全管理机构：岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查

28、安全管理制度安全管理制度：管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订 人员安全管理人员安全管理：人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理 系统建设管理系统建设管理：系统定级、系统备案、安全方案设计、产品采购、自行软件研发、外包软件开发、工程实施、工程验收系统定级、系统备案、安全方案设计、产品采购、

29、自行软件研发、外包软件开发、工程实施、工程验收系统定级、系统备案、安全方案设计、产品采购、自行软件研发、外包软件开发、工程实施、工程验收系统定级、系统备案、安全方案设计、产品采购、自行软件研发、外包软件开发、工程实施、工程验收 系统运维管理系统运维管理：环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理

30、、恶意代码防范 管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理信息安全技术信息安全技术 物理安全物理安全物理安全物理安全：物理位置选择、物理访问控制、防盗和：物理位置选择、物理访问控制、防盗和防破坏、防雷击、防火、防水、防潮湿、防静电、防破坏、防雷击、防火、防水、防潮湿、防静电、电力保障、电磁防护电力保障、电磁防护 网络安全网络安全网络安全网络安全：结构安全和网段划分、网

31、络访问控制、结构安全和网段划分、网络访问控制、结构安全和网段划分、网络访问控制、结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、拨号访问控制、网络安全审计、边界完整性检测、拨号访问控制、网络安全审计、边界完整性检测、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络设备防护、恶意代码防范网络入侵防范、网络设备防护、恶意代码防范网络入侵防范、网络设备防护、恶意代码防范网络入侵防范、网络设备防护、恶意代码防范 主机系统安全主机系统安全主机系统安全主机系统安全：身份鉴别、自主访问控制、身份鉴别、自主访问控制、身份鉴别、自主访问控制、身份鉴别、自主访问控制、强

32、制访强制访强制访强制访问控制问控制问控制问控制、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、安全审计、系统保护、剩余信息保护、入入入入侵防范侵防范侵防范侵防范、恶意代码防范、资源控制、恶意代码防范、资源控制、恶意代码防范、资源控制、恶意代码防范、资源控制 应用安全应用安全应用安全应用安全：身份鉴别、访问控制、安全审计、剩余身份鉴别、访问控制、安全审计、剩余身份鉴别、访问控制、安全审计、剩余身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软信息保护、通信保密性、通信完整性、抗抵赖、软信息保护、通信保密性、通信完

33、整性、抗抵赖、软信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制件容错、资源控制件容错、资源控制件容错、资源控制 数据安全数据安全数据安全数据安全：数据完整性、数据保密性、数据备份与数据完整性、数据保密性、数据备份与数据完整性、数据保密性、数据备份与数据完整性、数据保密性、数据备份与恢复恢复恢复恢复结构安全和网段划分结构安全和网段划分网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要；需要；设计和绘制与当前运行情况相符的网络拓扑结构图；设计和绘制与当前运行情况相符的网络拓扑结构图；根据机构业务的特点，在满足业务高峰期

34、需要的基础上，合理设根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽；计网络带宽；在业务终端与业务服务器之间进行路由控制建立安全的访问路径；在业务终端与业务服务器之间进行路由控制建立安全的访问路径；根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；网段分配地址段；重要网段应采取网络层地址与数据链路层地址绑定措施，防止地重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗；

35、址欺骗；按照对业务服务的重要次序来指定带宽分配优先级别，保证在网按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要信息资产主机。络发生拥堵的时候优先保护重要信息资产主机。网络安全访问控制网络安全访问控制根据会话状态信息（包括数据包的源地址、目的地址、根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许符的使用），为数据流提供明确的允许/拒绝访问的能拒

36、绝访问的能力；力；对进出网络的信息内容进行过滤，实现对应用层对进出网络的信息内容进行过滤，实现对应用层HTTPHTTP、FTPFTP、TELNETTELNET、SMTPSMTP、POP3POP3等协议命令级的控制；等协议命令级的控制；依据安全策略允许或者拒绝便携式和移动式设备的网依据安全策略允许或者拒绝便携式和移动式设备的网络接入；络接入；在会话处于非活跃一定时间或会话结束后终止网络连在会话处于非活跃一定时间或会话结束后终止网络连接；接；限制网络最大流量数及网络连接数。限制网络最大流量数及网络连接数。网络安全访问控制网络安全访问控制网络安全访问控制实现的方法有多种，网络安全访问控制实现的方法有

37、多种，简单网络的安全访问控制可以在路由器简单网络的安全访问控制可以在路由器上实现，复杂的功能可以由主机甚至一上实现，复杂的功能可以由主机甚至一个子网来实现。个子网来实现。网络安全访问控制与防火墙网络安全访问控制与防火墙防火墙产品的初衷是实现网络之间的安全访问控制。防火墙产品的初衷是实现网络之间的安全访问控制。防火墙是设置在内部网络与外部网络之间，实施访问防火墙是设置在内部网络与外部网络之间，实施访问控制策略的一个或一组系统，是访问控制机制在网络控制策略的一个或一组系统，是访问控制机制在网络安全环境中的应用。防火墙实现内部网络和外部网络安全环境中的应用。防火墙实现内部网络和外部网络逻辑隔离，通过

38、限制网络互访来保护内部网络。防火逻辑隔离，通过限制网络互访来保护内部网络。防火墙是不同网络或网络安全域之间信息的唯一出入口，墙是不同网络或网络安全域之间信息的唯一出入口，能根据制定的安全策略能根据制定的安全策略(允许、拒绝及监视等允许、拒绝及监视等)控制出控制出入网络的数据流，且本身具有较强的抗攻击能力。防入网络的数据流，且本身具有较强的抗攻击能力。防火墙的目的就是在内部网络和外部网络连接之间建立火墙的目的就是在内部网络和外部网络连接之间建立一个安全控制点，允许、拒绝或重新定向经过防火墙一个安全控制点，允许、拒绝或重新定向经过防火墙的数据流，实现对进出内部网络的网络通信的审计和的数据流，实现对

39、进出内部网络的网络通信的审计和控制。控制。防火墙技术的局限性防火墙技术的局限性防火墙不能过滤应用层的非法攻击，如编码攻击防火墙对不通过它的连接无能为力，如内网攻击防火墙采用静态安全策略技术，因此无法动态防御新的攻击安全审计安全审计网络安全审计主机安全审计网络安全审计网络安全审计对网络系统中的网络设备运行状况、网络流量、用户对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；行为等进行全面的监测、记录；对于每一个事件，其审计记录应包括：事件的日期和对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审时间、用户、事件类型、事件是否成功，

40、及其他与审计相关的信息；计相关的信息；安全审计应可以根据记录数据进行分析，并生成审计安全审计应可以根据记录数据进行分析，并生成审计报表；报表；安全审计应可以对特定事件，提供指定方式的实时报安全审计应可以对特定事件，提供指定方式的实时报警；警；审计记录应受到保护避免受到未预期的删除、修改或审计记录应受到保护避免受到未预期的删除、修改或覆盖等。覆盖等。网络安全审计网络安全审计网络安全审计管理通过对网络中流动的数据进网络安全审计管理通过对网络中流动的数据进行审计分析，能够监控到内部网络中的外网访行审计分析，能够监控到内部网络中的外网访问行为，如邮件、问行为，如邮件、MSN/QQMSN/QQ聊天、聊天

41、、WebWeb访问、网访问、网络游戏、文件传输、在线电影频道等等行为；络游戏、文件传输、在线电影频道等等行为；能够实现对所监控网络进行基于业务的带宽分能够实现对所监控网络进行基于业务的带宽分配、流量限制等。尤其针对网络中的配、流量限制等。尤其针对网络中的BTBT、电驴、电驴、迅雷等迅雷等p2pp2p的文件传输行为能有效地进行控制，的文件传输行为能有效地进行控制，以控制非业务网络行为所占用的带宽资源，从以控制非业务网络行为所占用的带宽资源，从而保证正常业务顺畅进行。而保证正常业务顺畅进行。主机安全审计主机安全审计安全审计应覆盖到服务器和客户端上的每个操作系统用户和数据库用户；安全审计应记录系统内

42、重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统命令的使用；安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等；安全审计应可以根据记录数据进行分析，并生成审计报表；安全审计应可以对特定事件，提供指定方式的实时报警；审计进程应受到保护避免受到未预期的中断；审计记录应受到保护避免受到未预期的删除、修改或覆盖等。边界完整性检测边界完整性检测能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即“非法外联”行为）；能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断；能够对内部网络用户私自联到外部网络的行为进行检测后准确定

43、出位置，并对其进行有效阻断。恶意代码防范恶意代码防范在网络边界及核心业务网段处对恶意代码进行检测和清除维护恶意代码库的升级和检测系统的更新支持恶意代码防范的统一管理恶意代码防范恶意代码防范防病毒网关（互联网病毒防护）-网络层服务器系统病毒防护终端（微机）病毒防护防病毒网关（病毒防火墙）防病毒网关（病毒防火墙）在网关上安装病毒过滤程序，对网络流量进行全面扫描，并通过识别表示存在恶意代码的病毒模式，检测出恶意代码。利用对流经网关的HTTP、FTP、SMTP协议的流量进行扫描，可以在第一时间发现病毒、阻塞病毒，不让病毒传播到网络中来。不仅如此，还可以通过内容过滤来对网络流量中不符合网络策略的内容进行

44、阻断，如非法网站、透露机密的邮件等。服务器系统病毒防护服务器系统病毒防护根据服务器端系统平台的实际情况，在各种服务器系统(如文件服务器、主域/备份域服务器、邮件服务器、DNS服务器等)上安装相应的防计算机病毒产品。特别是邮件系统极易传播病毒，因此，要在邮件服务器上安装专门的防护软件，实时扫描接收和发送的电子邮件。终端（桌面）病毒防护终端（桌面）病毒防护根据网络终端平台实际情况，分别选用相应的客户端防病毒软件。客户端防病毒软件应该与服务器端防病毒软件相配合，统一管理防病毒策略和防病毒软件的升级更新。保护计算机的第一个步骤就是确保操作系统是最新的，特别是对于微软windows操作系统。其次，必须为

45、系统安装防病毒软件，并且经常下载更新以确保能够抵抗最新的病毒。另外，防病毒软件最好能够实时扫描来自互联网的电子邮件和文件以便能够及时阻止病毒的入侵。最后，最好同时为系统安装网络防火墙，它们可以阻止对计算机的未授权访问和使用。入侵防范入侵防范网络入侵防范 Network-Based Intrusion Detection System 主机入侵防范 Host-Based Intrusion Detection System 网络入侵防范网络入侵防范在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；当检测到入

46、侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。网络入侵防范工作原理网络入侵防范工作原理 收集网络中传输的数据包及相关网络会话 根据预定义的设置，进行必要的数据过滤及缩略，从而提高检测、分析的效率。根据定义的安全策略，进行检测/分析。一旦检测到违反安全策略的行为或者事件，进行报警及响应。入侵检测技术的局限性入侵检测技术的局限性入侵检测通过抓取数据报文对其分析，并与攻击规则样本进行比较发现攻击行为通过特殊的编码可以绕过入侵检测的侦测（漏报）需要不断的跟踪新的攻击模式并更新攻击样本容易把正常的访问识别为入侵行为（误报）网络入侵防御网络入侵防御(IP

47、S)面临的挑战面临的挑战单点故障 性能“瓶颈”增加网络延迟 降低网络效率 误报和漏报主机入侵防范主机入侵防范进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况；设定资源报警域值，以便在资源使用超过规定数值时发出报警；进行特定进程监控，限制操作人员运行非法进程；进行主机账户监控，限制对重要账户的添加和更改；检测各种已知的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；能够检测重要程序完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。主机入侵防范工作原理主机入侵防范工作原理 根据系统内部的审计数据 根据预定义的设置，进行

48、必要的数据过滤及缩略，从而提高检测、分析的效率。根据定义的安全策略，进行检测/分析。一旦检测到违反安全策略的行为或者事件，进行报警及响应。强制访问控制强制访问控制 对重要信息资源和访问重要信息资源的所有主体设置敏感标记；强制访问控制的覆盖范围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作；强制访问控制的粒度应达到主体为用户级，客体为文件、数据库表级。主机系统强制访问控制主机系统强制访问控制 主机操作系统采用自主访问控制 脆弱的认证体系明显的系统安全漏洞来自内部的攻击或误操作 来自外部的网络攻击 操作系统安全加固产品操作系统安全加固产品主动防御、全面防护操作系统的可信改造访问控制访

49、问控制监视列表监视列表XOdata2data1访问请求访问请求访问请求访问请求访问请求访问请求访问请求访问请求操作系统安全内核操作系统安全内核操作系统安全内核操作系统安全内核操作系统安全加固产品技术背景操作系统安全加固产品技术背景-操作系统可信改造操作系统可信改造可信计算机系统评测标准(TCSEC)国家信息化等级标准要求重构与应用的抉择操作系统安全加固技术（Reinforcement Operating System Technique）服务器系统加固产品特点服务器系统加固产品特点数据备份和恢复数据备份和恢复提供自动机制对重要信息进行本地和异地备份提供恢复重要信息的功能；提供重要网络设备、通信

50、线路和服务器的硬件冗余；提供重要业务系统的本地系统级热备份。信息安全管理信息安全管理安全管理机构岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查岗位设置、人员配置、授权与审批、沟通与合作、审核与检查安全管理制度管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订管理制度、制定与发布、评审与修订人员安全管理人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员录用、人员离岗、人员