XXXXX等級保護安全建設方案3月目錄1項目背景 41.1方案目的 41.2項目范疇 41.3設計原則 41.4參考原則 52法院信息系統狀況 52.1系統構成 52.2.1XXXXX現網網絡拓撲圖 62.2.2存在安全問題分析 63安全需求分析 73.1安全指標與需求分析 74信息安全體系框架設計 105技術體系整治 115.1邊界安全 115.2數據安全 125.3主機安全 125.4運維管理 136安全產品布署狀況 136.2產品布署闡明 146.2.1防病毒網關產品布署 146.2.2終端殺毒防御系統布署 156.2.3堡壘機產品布署 166.2.4日志審計產品布署 186.2.5數據庫審計產品布署 197安全產品布署狀況 207.1.1管理方法實現 207.1.2管理機構和人員的設立 207.1.3管理制度的建設和修訂 207.1.4人員安全技能培訓 217.1.5安全實施過程管理 217.2方案評審 227.3安全漏洞掃描 22項目背景近年來，訛詐病毒威脅呈現愈演愈烈之勢，傳輸方式更多元，病毒更新迭代加緊，訛詐病毒儼然成為近兩年來最嚴峻的網絡安全威脅之一。而訛詐病毒的攻擊方式也從原來的廣撒網逐步轉變為定向攻擊高價值目的，從對個人客戶的攻擊逐步轉移至以政府機構、重要行業為攻擊對象。針對訛詐病毒安全事件頻發以及暴發后的巨大影響，最高法出臺告知，規定全國各級法院根據規定進行整治，切實加強安全風險管控，確保法院專網安全穩定運行。11月12日起，最高法通過辦公廳秘書處，陸續向全國各法院公布《有關展開全國法院辦公專網信息安全專項整治工作的告知》。同時根據《國家網絡安全法》、《信息系統安全等級保護基本規定》等有關法規及規定，以及XXXXX對信息系統安全穩定運行的業務需求，通過事前威脅檢測、事中聯動防御、事后關聯分析的機制。全方面實現GBT22239-《信息安全技術信息系統安全等級保護基本規定》中對于三級系統的安全規定。方案目的本次XXXXX核心業務系統等級保護安全建設的重要目的是：按照等級保護規定，結合實際業務系統，對法院的核心業務系統進行充足調研及具體分析，將法院的核心業務系統系統建設成為一種及滿足業務需要，又符合等級保護三級級系統規定的業務平臺。根據國家《國家網絡安全法》、《信息系統安全等級保護基本規定》等有關法規及規定，以及XXXXX對信息系統安全穩定運行的業務需求，通過事前威脅檢測、事中聯動防御、事后關聯分析的機制。全方面實現GBT22239-《信息安全技術信息系統安全等級保護基本規定》中對于三級系統的安全規定。同時結合XXXXX網絡現狀及信息安全建設狀況進行規劃設計，根據信息系統的定級狀況、信息系統承載業務狀況和安全需求等，設計合理的、滿足等級保護規定的安全改造方案并以此為根據提出含有可執行性的安全整治建議，通過實施安全整治，從技術和管理兩方面達成國家等級保護的基本規定，完善XXXXX信息系統安全技術防護方法、安全管理制度和安全運維體系，分期建設完整的信息安全防護體系，最后目的是XXXXX網絡及應用系統的安全穩定運行以及通過最后測評。項目范疇XXXXX局域網基礎系統、科技法庭系統、辦公自動化系統（按照安全類別第III級（S3A3G3）的原則設計）。設計原則在項目實施過程中，將遵照下列原則：符合性原則：項目建設要符合國家等級保護政策和原則規范規定，通過專業等級保護測評機構的測評，并到公安部門及上級主管單位完畢備案；適度安全原則：安全防護工作的根本性原則，指安全防護工作應根據重要信息系統的安全等級，平衡效益與成本，采用適度的安全技術和管理方法；可控性原則：指有關的項目組人員應含有可靠的職業素質和專業素質；項目實施過程中技術工具的使用可控，避免引入新的風險；項目過程可控性：要對整個安全防護項目進行科學的項目管理，實現項目過程的可控性；最小影響原則：從項目管理層面和技術管理層面，項目的實施過程對信息系統正常運行的影響減少到最低程度，以確保日常業務的正常運行；保密性原則：有關安全防護工作人員訂立合同，承諾對所進行的安全防護工作保密，確保不泄露重要信息系統安全防護工作重要和敏感信息。。參考原則在開展《信息系統等級保護安全體系建設方案》的設計過程中將嚴格按照國家的有關法律原則展開，為顧客提供符合本身實際需求及滿足等級保護建設規范的優質方案，重要根據的原則文獻包含以下：本方案重要參考一下原則和根據：國標：GB17859-1999計算機信息系統安全保護等級劃分準則GB/T22240-信息安全技術信息系統安全等級保護定級指南GB/T22239-信息安全技術信息系統安全等級保護基本規定GB/T25058-信息安全技術信息系統安全等級保護實施指南法院信息系統狀況系統構成XXXXX的信息系統重要涉及外部網絡（外網，連接互聯網）和內部網絡（內網，提供內部業務系統使用，與互聯網邏輯隔離）。系統有科技法庭系統和局域網基礎系統以及辦公自動化系統?？萍挤ㄍハ到y（S3A3G3級）局域網基礎系統（S3A3G3級）辦公自動化系統（S3A3G3級）XXXXX現網網絡拓撲圖XXXXX現有網絡架構圖2-1存在安全問題分析邊界安全方面未能根據業務需要對會話終止時間進行合理限制；未統計網絡攻擊行為日志信息；發生嚴重入侵事件時未能對攻擊行為進行報警；網絡邊界處未布署惡意代碼檢測方法；多個月內惡意代碼庫未更新升級；未對管理員登錄網絡設備地址進行任何限制；未對全部業務擬定重要性、優先級，制訂業務有關帶寬分派原則及對應的帶寬控制方略等等。主機安全方面科技法庭系統：未對重要文獻的訪問權限作合理配備；如果是Windows系統，未關閉系統默認共享；如果是Unix系統查看重要目錄的訪問權限；局域網基礎系統：未啟用系統安全審計功效，未對顧客的重要操作進行日志統計；主機層未安裝防病毒軟件；網絡層未布署防毒墻；主機層與網絡層布署的防惡意代碼產品含有相似的代碼庫；所安裝的防惡意代碼軟件為單機版，未能實現統一管理，統一更新，統一檢測與查殺等等。數據安全方面訪問控制覆蓋粒度未包含主體、客體及它們之間的操作狀況二：滲入測試發現存在訪問控制未能覆蓋的客體；非授權人員能夠進行顧客權限管理，實際授權與權限方略不一致，可進行越權操作；存在默認權限賬戶；未對審計統計進行統計、查詢及分析，未生成升級報表；未提供對一種時間段內可能的并發會話連接數進行限制；未提供系統服務水平檢測功效；未提供服務優先級設立功效等等。安全需求分析安全指標與需求分析XXXXX核心業務系統的安全建設核心需求即滿足等級保護的有關規定，因此將以滿足等級保護指標為目的。根據前期監管機構檢查的成果，結合本身業務需求，能夠擬定需要滿足的等級保護指標以下表3-1所示：單位級安全指標（三級）安全管理機構人員安全管理安全管理制度數據安全

及備份恢復網絡安全物理安全系統運維管理系統建設管理控制點數量控制點數量控制點數量控制點數量控制點數量控制點數量控制點數量控制點數量崗位設立4安全意識教育和培訓4管理制度4備份和恢復4安全審計4電磁防護3安全事件處置6安全方案設計5溝通和合作5人員考核3評審和修訂2數據保密性2邊界完整性檢查2電力供應4備份與恢復管理5安全服務商選擇3人員配備3人員離崗3制訂和公布5數據完整性2惡意代碼防備2防盜竊和防破壞6變更管理4測實驗收5審核和檢查4人員錄用4訪問控制8防火3惡意代碼防備管理4產品采購和使用4授權和審批4外部人員訪問管理2構造安全7防靜電2環境管理4等級測評4入侵防備2防雷擊3監控和安全管理中心3工程實施3防水和防潮4介質管理6外包軟件開發4溫濕度控制1密碼管理1系統備案3物理訪問控制4設備管理5系統定級4物理位置的選擇2網絡安全管理8系統交付5系統安全管理7自行軟件開發0應急預案管理5資產管理4總計214表3-1信息安全體系框架設計根據《信息系統安全等級保護基本規定》，分為技術和管理兩大類規定，具體如圖4-1所示：圖4-1本方案將嚴格根據技術與管理規定進行設計。首先應根據本級具體的基本規定設計本級系統的保護環境模型，根據《信息系統等級保護安全設計技術規定》，保護環境按照安全計算環境、安全區域邊界、安全通信網絡和安全管理中心進行設計，內容涵蓋基本規定的5個方面。同時結合管理規定，形成如圖4-1所示的保護環境模型：圖4-1信息系統的安全保護等級由業務信息安全性等級和系統服務確保性等級較高者決定，因此，對某一種定級后的信息系統的安全保護的側重點能夠有多個組合。對于3級保護系統，其組合為：（在S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3選擇）。下列具體方案設計時以S3A3G3為例，其它組合根據實際狀況酌情修改。技術體系整治邊界安全通過對邊界風險與需求分析，在網絡層進行訪問控制需布署邊界安全防護產品，通過該安全產品實現對邊界的訪問控制、入侵防備和惡意代碼防備，規定下一代防火墻含有以下功效功效：能夠對全部流經該設備的數據包按照嚴格的安全規則進行過濾，將全部不安全的或不符合安全規則的數據包屏蔽，杜絕越權訪問，避免各類非法攻擊行為。可面對越來越廣泛的基于應用層內容的攻擊行為，該設備還應含有能夠及時識別網絡中發生的入侵行為并實時報警并且進行有效攔截防護。能夠對夾雜在網絡交換數據中的各類網絡病毒進行過濾，能夠對網絡病毒、蠕蟲、混合攻擊、端口掃描、間諜軟件、P2P軟件帶寬濫用等多個廣義病毒進行全方面的攔截。制止病毒通過網絡的快速擴散，將經網絡傳輸的病毒阻擋在外，能夠有效避免病毒從其它區域傳輸到內部其它安全域中。截斷了病毒通過網絡傳輸的途徑，凈化了網絡流量。布署下一代防火墻時應特別注意設備性能，產品必須含有良好的體系架構確保性能，能夠靈活的進行網絡布署。同時為使得達成最佳防護效果。另外，安全防護設備的防病毒庫應當和桌面防病毒軟件應為不同的廠家產品，兩類病毒防護產品共同構成中級法院的立體病毒防護體系。數據安全布署數據庫審計系統對顧客行為、顧客事件及系統狀態加以審計，范疇覆蓋到每個顧客，從而把握數據庫系統的整體安全，具體規定：細粒度審計：實時監控業務系統和管理員對業務數據庫的全部訪問，根據多個安全方略鑒定訪問操作的風險等級，從而實現完全獨立于數據庫的審計功效。模塊提供可視化的審計日志檢索和回放功效，生成可讀性高的報表，達成提高數據庫及業務系統的安全性的目的。狀態監控：實時監控數據庫運行狀態，在狀態異常時進行預警，避免業務癱瘓，保障業務系統的可用性，涉及顧客活動狀況、數據庫內存狀態、文獻系統狀態、查詢響應性能。漏洞掃描：實現數據庫的漏洞掃描，提前預知風險狀況，涉及弱口令檢查、軟件漏洞補丁、權限分派風險、數據庫配備風險、操作系統有關風險。主機安全集中身份管理系統是針對國內公司信息化發呈現狀而開發的應用系統管理平臺,能夠在不變化現有軟硬件及網絡環境的前提下，無縫地將顧客多個現有的應用系統整合到單點登錄平臺上，實現一次登錄后就可訪問全部有權限訪問的應用系統。集中身份管理系統能夠為單位應用系統提供集中的管理平臺，減少系統維護工作；能夠為公司提供全方面的顧客和資源管理，減少公司的維護成本；能夠協助公司制訂嚴格的資源訪問方略和采用強身份認證手段，全方面保障系統資源的安全；能夠具體統計顧客對資源的訪問及操作，達成對顧客行為審計的需要。6.2.1終端管控系統布署布署位置在XXXXX、全部服務器終端上布署終端管控系統系統進行主機安全防護、避免中訛詐病毒、未知病毒、外接設備端口管控等。實現目的實現智能檢測防御CC攻擊，內核級防火墻（業務間流量東西向隔離）功效，集中管控、含有系統漏洞掃描和修復功效，提供真實漏洞補丁。管理中心可作為補丁服務器。提供離線補丁下載器，按需智能獲取內網所需補丁，支持防端口掃描，防違規外聯，鎖定惡意的端口掃描及外聯行為，并統計告警。提供實時對終端進行管控。對應等級保護三級規定終端威脅防御系統是針對國內公司信息化發呈現狀而開發的應用系統管理平臺,能夠在不變化現有軟硬件及網絡環境的前提下，無縫地將顧客多個現有的應用系統整合到單點登錄平臺上，實現一次登錄后就可訪問全部有權限訪問的應用系統。終端威脅防御系統能夠為單位應用系統提供集中的管理平臺，減少系統維護工作；能夠為公司提供全方面的顧客和資源管理，減少公司的維護成本；能夠協助公司制訂嚴格的資源訪問方略和采用強身份認證手段，全方面保障系統資源的安全；能夠具體統計顧客對資源的訪問及操作，達成對顧客行為審計的需要。6.2.1特權帳號管理系統布署布署位置在中級法院運維管理區布署特權帳號管理系統?？h法院不需要布署特權帳號管理系統、市中院統一管理運維；滿足三級等保規定。實現目的通過布署特權帳號管理系統，實現以下安全目的：對以SSH，TELNET，FTP，SCP、SFTP、遠程桌面RDP、VNC、X11、HTTP、HTTPS、ORACLE、MSSQL、DB2，INFORMIX，MYSQL等應用合同的集中管理與審計；實現全部運維人員、服務器、網絡設備、安全設備、數據庫的集中管理；自動改密能夠對主流的windows、linux、unix、交換機、路由器等設備，對顧客最緊張的密碼安全方面設計了完善的方略；完整統計運維管理員的運維過程，哪個賬號通過哪個IP地址登陸了什么設備、在設備上面做了什么操作、目的設備的返回成果都會完整統計；提供了豐富的統計報表，對資產運維操作以及系統本身運行、操作進行各類統計和多維度分析。對應等級保護三級規定通過布署特權帳號管理系統，能夠滿足信息系統安全等級保護基本規定中網絡安全中的規定：1、應對登錄網絡設備的顧客進行身份鑒別；2、重要網絡設備應對同一顧客選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；3、應含有登錄失敗解決功效，可采用結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等方法；4、當對網絡設備進行遠程管理時，應采用必要方法避免鑒別信息在網絡傳輸過程中被竊聽；滿足信息系統安全等級保護基本規定中主機安全中的規定：1、操作系統和數據庫系統管理顧客身份標記應含有不易被冒用的特點，口令應有復雜度規定并定時更換；2、應啟用登錄失敗解決功效，可采用結束會話、限制非法登錄次數和自動退出等方法；3、當對服務器進行遠程管理時，應采用必要方法，避免鑒別信息在網絡傳輸過程中被竊聽；4、應采用兩種或兩種以上組合的鑒別技術對管理顧客進行身份鑒別。5、應及時刪除多出的、過期的帳戶，避免共享帳戶的存在。6、應根據安全方略嚴格控制顧客對有敏感標記重要信息資源的操作；7、審計內容應涉及重要顧客行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全有關事件；8、應能夠根據統計數據進行分析，并生成審計報表；9、應保護審計進程，避免受到未預期的中斷；10、應保護審計統計，避免受到未預期的刪除、修改或覆蓋等。滿足信息系統安全等級保護基本規定中系統運維管理中的規定：1、應建立系統安全管理制度，對系統安全方略、安全配備、日志管理和日常操作流程等方面作出具體規定；2、應指定專人對系統進行管理，劃分系統管理員角色，明確各個角色的權限、責任和風險，權限設定應當遵照最小授權原則。6.2.3日志審計產品布署布署位置在中級法院運維管理區布署日志審計產品?？h法院不需要布署日志審計產品、市中院統一管理運維；滿足三級等保規定。實現目的通過布署綜合日志審計產品，實現以下安全目的：多個安全事件日志(攻擊、入侵、異常)、多個行為事件日志(內控、違規)、多個弱點掃描日志(弱點、漏洞)、多個狀態監控日志(可用性、性能、狀態)、安全視角的事件描述；實時關聯分析，跨設備的多事件關聯分析；根據資產價值、資產漏洞、針對漏洞的威脅事件三者進行威脅的自動關聯分析；日志備份自動傳送到遠程服務器；設立安全告警方略，提供多個告警方式。對應等級保護三級規定通過布署綜合日志審計產品，能夠滿足信息系統安全等級保