方案1系統總體布署（1）涉密信息系統的組網模式為：服務

器區、安全管理區、終端區共同連接至關鍵互換機上，構成類似

于星型構造的網絡模式，參照TCP/IP網絡模型建立。關鍵互換機

上配置三層網關并劃分Vian,在服務器安全訪問控制中間件以及

防火墻上啟用橋接模式，關鍵互換機、服務器安全訪問控制中間

件以及防火墻上設置安全訪問控制方略（ACL）,嚴禁部門間

Vian互訪，容許部門Vian與服務器Vian通信。關鍵互換機鏡像

數據至入侵檢測系統以及網絡安全審計系統；服務器區包括原有

應用系統；安全管理區包括網絡防病毒系統、主機監控與審計系

統、windows域控及WSUS補丁分發系統、身份認證系統；終端

辨別包括所有業務部門。服務器安全訪問控制中間件防護的應用

系統有：XXX系統、XXX系統、XXX系統、XXX系統以

及XXX系統、。防火墻防護的應用系統有：XXX、XXX系

統、XXX系統、XXX系統以及XXX系統。（2）郵件系統的

作用是：進行信息的駐留轉發，實現點到點的非實時通信。完畢

集團內部的公文流轉以及協同工作。使用25、110端口，使用

SMTP協議以及POP3協議，內網終端使用C/S模式登錄郵件系

統。將內網顧客使用的郵件賬號在服務器群組安全訪問控制中間

件中劃分到不一樣的顧客組，針對不一樣的顧客組設置安全級

別，安全級別分為1?7級，可根據實際需求設置對應的級別。L7

級的安全層次為：1級最低級，7級最高級，由1到7逐層增高。

即低密級顧客可以向高密級顧客發送郵件，高密級顧客不得向低

密級顧客發送，保證信息流向的對的性，防止高密數據流向低密

顧客。(3)針對物理風險，采用紅外對射、紅外報警、視頻監控

以及門禁系統進行防護。針對電磁泄射，采用線路干擾儀、視頻

干擾儀以及紅黑電源隔離插座進行防護。2物理安全防護總體物

理安全防護設計如下：(1)周圍環境安全控制①XXX側和

XXX側布署紅外對射和入侵報警系統。②布署視頻監控，建立

安防監控中心，重點部位實時監控。詳細布署見下表：表1-1周

圍安全建設序號保護部位既有防護措施需新增防護措施1人

員出入通道2物資出入通道

序號保護部位既有防護措施需新增防護措施3

南側4西側5東側6北側（2）要害部門部位

安全控制增長電子門禁系統，采用智能IC卡和口令相

結合的管理方式。詳細防護措施如下表所示：表1-2

要害部門部位安全建設序號保護部門出入口控制既

有安全措施新增安全措施1門鎖/登記/24H警衛值

班2門鎖3門鎖4門鎖5門鎖/登記6

門鎖/登記7門鎖/登記8門鎖/登記9機房出

入登記10門鎖（3）電磁泄漏防護建設內容包

括:①為使用非屏蔽雙絞線的鏈路加裝線路干擾儀。

②為涉密信息系統內的終端和服務器安裝紅黑電源隔

確定最短遮光時間；設置人的寬度為20厘米，則最短遮斷時間為

20毫秒，不小于20毫秒報警，不不小于20毫秒不報警。（3）

設備管理及方略紅外對射設備由公安處負責管理，實時監測設備

運行狀況及設備對應狀況，定期對設備及傳播線路進行檢查、維

護，并定期向保密辦提交設備運維匯報。（4）布署后處理的風險

處理重點部位監控及區域控制有關風險。2.2紅外報警⑴布

署增長紅外報警裝置，對保密要害部位實體入侵風險進行防護、

報警，詳細布署位置如下表：表1?2紅外報警布署記錄表序號

布署位置數量（個）1234合計設備形態如下圖

所示：

圖1?3紅外報警設備布署在兩處房間墻壁角落，安裝高度

距離地面2.0?2?2米。（2）第一次運行方略紅外報警24小時不間

斷運行，設置檢測37℃特性性l（Him波長的紅外線，遠離空調、

暖氣等空氣溫度變化敏感的地方，不間隔屏、家俱或其他隔離

物，不直對窗口，防止窗外的熱氣流擾動和人員走動會引起誤

報。（3）設備管理及方略紅外報警設備由公安處負責管理，監

測設備運行狀況及設備對應狀況，定期對設備進行檢查、維護，

并定期向保密辦提交設備運維匯報。（4）布署后處理的風險處

理重點部位監控及區域控制有關風險。2.3視頻監控（1）布署

增長視頻監控裝置，對周界、保密要害部門部位的人員出入狀況

進行實時監控，詳細布署位置如下表：表1?3視頻監控布署記錄

表序號布署位置數量（個）123456

78合計

設備形態如下圖所示：圖1?4視頻監控設備視頻監控在室

外采用云臺槍機式設備，室內采用半球式設備，布署在房間墻壁

角落，覆蓋門窗及重點區域。增長32路嵌入式硬盤錄像機一臺，

用于對視頻采集信息的搜集和壓縮存檔。設備形態如下圖所示：

圖1?5硬盤錄像機（2）第一次運行方略視頻監控24小時不間斷

運行，設置視頻采集格式為MPEG-4,顯示辨別率768*576,存

儲、回放辨別率384*288。（3）設備管理及方略視頻監控設備由

公安處負責管理，實時監測設備運行狀況及設備對應狀況，定期

對設備及傳播線路進行檢查、維護，并定期向保密辦提交設備運

維匯報。（4）布署后處理的風險處理重點部位監控及區域控制

有關風險。2.4門禁系統⑴布署增長門禁系統，對保密要害

部門部位人員出入狀況進行控制，并記錄日志，詳細布署位置如

下表：表1?4門禁系統布署記錄表序號布署位置數量（個）

12

345678910

11合計布署示意圖如下圖所示：圖1-6門禁系統布

署方式（2）第一次運行方略對每個通道設置權限，制

作門禁卡，對可以進出該通道的人進行進出方式的授

權，采用密碼+讀卡方式；設置可以通過該通道的人在

什么時間范圍內可以進出；實時提供每個門區人員的進

出狀況、每個門區的狀態（包括門的開關，多種非正常

狀態報警等），設置在緊急狀態打開或關閉所有門區的

功能；設置防尾隨功能。（3）設備管理及方略門禁系

統由公安處負責管理，定期監測設備運行狀況及設備對

應狀況，對設備及傳播線路進行檢查、維護，并定期向

保密辦提交設備運維匯報。（4）布署后處理的風險處

理重點部位監控及區域控制有關風險。2.5線路干擾儀

（1）布署增長8口線路干擾儀，防護傳播數據沿網線

以電磁傳導、輻射發射、耦合等方式泄漏的狀況。將從

互換機引至其布線最遠端以及次遠端的線纜插接至線路

干擾儀，并由線路干擾儀連接至最遠端和次遠端，將該

設備進行接地處理。詳細布署位置如下表：

表1-6線路干擾儀布署記錄表序號布署位置數量

（個）123合計設備形態如下圖所示:

圖1-11線路干擾儀設備（2）第一次運行方略在網線

中一對空線對上注入偽隨機寬帶掃頻加擾信號,使之能

跟隨其他三對網線上的信號并行傳播到另一終端；竊密

者若再從網線或其他與網絡干線相平行的導線（如線

及電源線等）上竊取信息，實際上所竊得的僅是已被加

擾信號充足湮沒了的混合信號。（3）設備管理及方略

線路干擾儀由信息中心負責管理，對設備編號、標識密

級、擺放、調測、定期對設備及傳播線路進行檢查、維

護，并定期向保密辦提交設備運維匯報°（4）布署后

處理的風險處理傳播線路的電磁泄漏發射防護有關風

險。2.6視頻干擾儀（1）布署增長視頻干擾儀，防止

對涉密終端視頻信息的竊取，對號樓存在的涉密xxx

終端布署，將該設備進行接地處理。、詳細布署位置

如下表：表1?7視頻干擾儀布署記錄表序號布署位

置數量（個）12311合計設備形態

如下圖所示：

圖1?12視頻干擾儀設備（2）第一次運行方略設置設備運

行頻率為1000MHz。（3）設備管理及方略視頻干擾儀由信息中

心負責管理，監測設備運行狀況及設備對應狀況，定期對設備進

行檢查、維護，并定期向保密辦提交設備運維匯報。（4）布署后

處理的風險處理信息設備的電磁泄漏發射防護有關風險。2.7紅

黑電源隔離插座（1）布署增長紅黑電源隔離插座，防護電源

電磁泄漏，連接的紅黑電源需要進行接地處理。詳細布署位置如

下表：表1?8紅黑電源布署記錄表序號布署位置數量（個）

1涉密終端2服務器3UPS4合計產品形態如下圖所

示：

圖L13紅黑電源隔離插座（2）運行維護方略規定所

有涉密機均直接連接至紅黑電源上，紅黑電源上不得插接其他

設備。安裝在涉密終端及涉密單機的紅黑隔離電源由使用者維

護，安裝在服務器的由信息中心維護，出現問題向保密辦匯

報。（4）布署后處理的風險處理信息設備的電磁泄漏發射防

護有關風險。3網絡安全防護3.1網閘使用1臺網閘連接主

中心以及附屬中心，用于安全隔離及信息互換。（1）布署布

署1臺網閘于主中心及附屬中心關鍵互換機之間，做單向訪問

控制與信息交互。設備啟用路由模式，通過路由轉發連接主中

心以及附屬中心，從物理層到應用層終止所有的協議包，還原

成原始應用數據，以完全私有的方式傳遞到另一種網絡，主中

心以及附屬中心之間在任一時刻點上都不產生直接的物理連

通。布署拓撲示意圖如下：主中心附屬中心網閘主中心附屬

中心關鍵互換機關鍵互換機圖1?8網閘布署拓撲示意圖

（2）第一次運行方略配置附屬中心訪問主中心的權限，容許

附屬中心特定地址訪問主中心所有服

務器，容許其他地址訪問企業內部門戶以及人力資源系統，配

置訪問內部門戶SQLserver數據庫服務器，嚴禁其他所有訪問方

式。配置網閘病毒掃描，對流經網閘設備數據進行病毒安全掃

描。配置系統使用§方式管理，保證管理安全。（3）設備管理

及方略網閘設備按照《網閘運維管理制度》進行管理。a、由信

息中心管理網閘設備，分別設置管理員、安全保密管理員、安全

審計員的口令，由“三員”分別管理。b、由信息中心對網閘設備

進行編號、標識密級、安放至安全管理位置。c、信息中心負責網

閘設備的平常運行維護，每周登陸設備查看設備配置、設備自身

運行狀態、轉發數據量狀態、系統日志等內容。d、信息中心發

現異常狀況及時通報保密辦，并查找問題原因，各部門配合信息

中心及時處理問題。e、信息中心負責網閘設備的維修管理，設備

出現問題，告知保密辦，獲得同意后，負責設備的維修管理。

（4）布署后處理的風險處理兩網互聯的邊界防護問題，對應用的

訪問進行細粒度的控制，各自隔離，兩網在任一時刻點上都不產

生直接的物理連通。3.2防火墻涉密信息系統采用防火墻系統1

臺進行邊界防護，用于涉密信息系統網關的安全控制、網絡層審

計等。防火墻系統布署于附屬中心。原有防火墻布署于主中心，

不做調整。（1）布署使用防火墻系統限制附屬中心終端訪問機

密級服務器的權限，并且記錄所有與服務器區進行交互的日志。

防火墻的ethl口、eth2口設置為透明模式，配置橋接口

fwbridgeOIP地址，配置管理方式為s方式，打開多VLAN開

關，打開tcp、udp.ICMP廣播過濾。防火墻的日志數據庫安裝

在安全管理服務器上。布署拓撲示意圖如下：機密級秘密級工作

級秘密級服務器群附屬中心防火墻關鍵互換機圖1?9防火墻布

署示意圖（2）第一次運行方略

防火墻上設置訪問控制方略，并設定不一樣顧客所

能訪問的資源：a、容許附屬中心授權顧客訪問軟件配

置管理系統。b、開放系統內所能使用到的端口，其他

不使用的端口進行所有嚴禁訪問限制。孰可以根據保

密辦有關規定設定審查關鍵字，對于流經防火墻的數據

流進行關鍵字過濾。d、審計附屬中心顧客和服務器區

域的數據互換信息，記錄審計日志。e、整個防火墻系

統的整個運行過程和網絡信息流等信息，均進行詳細的

日志記錄，以便管理員進行審查。（3）設備管理及方

略防火墻系統由信息中心進行管理及維護，任何方略

時改動均需要通過保密辦的討論后方可實行。防火墻的

日志系統維護，日志的保留與備份按照《防火墻運維管

理制度》進行管理。a、由信息中心管理防火墻設備，

分別設置管理員、安全保密管理員、安全審計員的口

令，由“三員”分別管理。b、由信息中心對防火墻設備

進行編號、標識密級、安放至安全管理位置。C、信息

中心負責防火墻設備的平常運行維護，每周登陸設備查

看設備配置、設備自身運行狀態、轉發數據量狀態、系

統日志等內容。d、信息中心發現異常狀況及時通報保

密辦，并查找問題原因，各部門配合信息中心及時處理

問題。e、信息中心負責防火墻設備的維修管理，設備

出現問題，告知保密辦，獲得同意后，負責設備的維修

管理。（4）布署后處理的風險原有防火墻保證主中心

各Vian的三層邏輯隔離,對各安全域之間進行訪問控

制，對網絡層訪問進行記錄與審計，保證信息安全保密

規定的訪問控制以及安全審計部分規定。3.3入侵檢測

系統使用原有入侵檢測設備進行網絡層監控，保持原

有布署及原有配置不變，設備的管理維護仍舊。此設備

處理的風險為對系統內的安全事件監控與報警，滿足入

侵監控規定。3.4違規外聯絡統（1）布署采用涉密計

算機違規外聯監控系統，布署于內網終端、涉密單機及

中間機上。的違規外聯監控系統采用B/S構架布署，安

裝1臺內網監控服務器、1臺外網監

控服務器，安裝645個客戶端，所有安裝于內網終端、涉密單

機以及中間機上。布署示意圖如下。Internet撥號、WLan、

3G?慶華企業違規外聯監控均公網報警服務器實時監控安裝內網

終端違規外聯監控涉密單機系實時監控統客涉密內網戶端慶華企

業違規外聯監控中間機內網管理服務器圖1」違規外聯絡統布

署示意圖（2）第一次運行方略系統實時地監測受控網絡內主機

及移動主機的活動，對非法內/外聯行為由報警控制中心記錄并向

管理員提供精確的告警。同步，按照預定的方略對非法連接實行

阻斷，防止數據外泄。報警控制中心可以以短信、電子郵件兩種

告警方式向網絡管理員告警，其中短信是完全實時的告警，非常

以便和及時。（3）設備管理及方略違規外聯監控系統由信息中

心進行管理及維護，任何方略的改動均需要通過保密辦的討論后

方可實行。違規外聯監控系統的曰志系統同步維護，曰志時保留

與備份按照《違規外聯監控系統運維管理制度》進行管理。a、由

信息中心管理違規外聯監控系統，分別設置管理員、安全保密管

理員、安全審計員的口令，由“三員”分別管理。b、由信息中心

對違規外聯監控系統報警服務器進行編號、標識密級、安放至安

全管理位置。c、信息中心負責違規外聯監控系統的平常運行維

護，每周登陸設備查看服務器硬件運行狀態、方略配置、系統日

志等內容。d、信息中心發現異常狀況及時通報保密辦，并查找

問題原因，各部門配合信息中心及時處理問題。e、信息中心負責

違規外聯監控系統服務器的維修管理，設備出現問題，告知保密

辦，獲得同意后，聯絡廠家負責設備的維修管理。

f、當系統出現新版本，由管理員負責及時更新系統并做好備

份工作。（4）布署后處理的風險處理違規撥號、違規連接和違

規無線上網等風險。4應用安全防護4.1服務器群組安全訪問控

制中間件涉密信息系統采用服務器群組安全訪問控制中間件2

臺，用于涉密信息系統主中心秘密級服務器、附屬中心秘密級服

務器邊界的安全控制、應用身份認證、郵件轉發控制、網絡審計

以及郵件審計等。防護主中心的XXX系統、XXX系統、XXX

系統、XXX系統、XXX系統以及XXX門戶；防護附屬中心的

XXX系統以及XXX類軟件系統。（1）布署由于主中心的終

端之間以及附屬中心內的終端之間數據流動均被設計為以服務器

為跳板進行駐留轉發，因此在服務器前端的服務器群組安全訪問

控制中間件系統起到了很強的訪問控制功能，限制終端訪問服務

器的權限并且記錄所有與服務器區進行交互的日志。服務器群組

安全訪問控制中間件的ethl口、eth2口設置為透明模式，啟用橋

接口進行管理。布署拓撲示意圖如下：機密級服務器群機密級服

務器群服務器安服務器安全訪問控全訪問控制中間件制中間件主

中心附屬中心關鍵互換機關鍵互換機網閘機密級秘密級工作級機

密級秘密級工作級圖1?10服務器群組安全訪問控制中間件布署

示意圖（2）第一次運行方略服務器群組安全訪問控制中間件上

設置訪問控制方略，并設定不一樣顧客所能訪問的服務器資源；

設置郵件轉發控制功能，為每個顧客設置訪問賬號及密碼，根據

密級將顧客劃分至不一樣顧客組中，高密級顧客不得向低密級顧

客發送郵件。配置郵件審計功能，記錄發件人，收件人，抄送

人，主題，附件名等。配置網絡審計與控制功能，可以根據保密

辦有關規定設定審查關鍵字，對于流經系統時數

據流進行關鍵字過濾；審計內部顧客和服務器區域

的數據互換信息，審計應用訪問日志。（3）設備管理

及方略服務器群組安全訪問控制中間件系統由信息中

心進行管理及維護，任何方略的改動均需要通過保密辦

時討論后方可實行。服務器群組安全訪問控制中間件的

曰志系統維護，日志的保留與備份按照《服務器群組安

全訪問控制中間件運維管理制度》進行管理。a、由信

息中心管理服務器群組安全訪問控制中間件設備，分別

設置管理員、安全保密管理員、安全審計員的口令，由

“三員”分別管理。b、由信息中心分別對2臺服務器群

組安全訪問控制中間件設備進行編號、標識密級、安放

至安全管理位置。c、信息中心負責服務器群組安全訪

問控制中間件設備的平常運行維護，每周登陸設備查看

設備配置、設備自身運行狀態、轉發數據量狀態、系統

日志等內容。d、信息中心發現異常狀況及時通報保密

辦，并查找問題原因，各部門配合信息中心及時處理問

題。e、信息中心負責服務器群組安全訪問控制中間件

設備的維修管理，設備出現問題，告知保密辦，獲得同

意后，負責設備的維修管理。（4）布署后處理的風險

處理對應用訪問的邊界防護、應用及網絡審計、數據庫

安全以及數據流向控制，滿足邊界防護、安全審計及數

據庫安全等規定。4.2windows域控及補丁分發改造原

有AD主域控制器及備份域控制器。（1）布署的主中

心以及附屬中心均布署AD主域控制器及備份域控制

器，合計2套，并建立ns服務器，安裝WSUS服務

器，提供系統補丁強制更新服務。將終端系統的安全性

完全與活動目錄集成，顧客授權管理和目錄進入控制整

合在活動目錄當中（包括顧客的訪問和登錄權限等）。

通過實行安全方略，實現系統內顧客登錄身份認證，集

中控制顧客授權。終端操作基于方略的管理。通過設置

組方略把對應多種方略（包括安全方略）實行到組方略

對象中。布署拓撲示意圖如下：

AD域控服務器（主、網閘AD域控服務器（主、

備）&WSUS服務器備）&WSUS服務器附屬中心主中心

關鍵互換機關鍵互換機機密級秘密級工作級機密級秘密

級工作級圖1?7域控及WSUS布署示意圖（2）第一次

運行方略建立好域組員及其密碼，將所有內網終端的

當地賬號權限收回，內網終端只能使用管理員下發的域

組員顧客登錄系統。通過組方略指定不一樣安全域顧客

口令的復雜性、長度、使用周期、鎖定方略，指定每一

種顧客可登錄的機器。機密級終端需要將USBJCEY令

牌與域顧客登錄結合使用，到達“雙因子”鑒別的過程。

設置終端顧客工作環境，隱藏顧客無用的桌面圖標，刪

除“開始”菜單中的“運行”、“搜索”功能。啟用內網

WindowsXP終端內置的WSUS客戶端。由系統漏洞的官

方漏洞公布頁下載完整的系統漏洞修復程序，將此程序

通過中間機系統導入涉密信息系統，在WSUS服務器端

導入此程序，由WSUS服務器下發系統補丁強制修復方

略，強制更新各個終端的系統漏洞。（3）設備管理及

方略AD域控系統以及WSUS補丁分發系統由信息中心

進行管理及維護，域控組方略的改動均需要通過保密辦

的討論后方可操作。WSUS系統的升級更新按照《與管

理及補丁分發運維管理制度》進行管理。a、由信息中

心管理AD域控系統以及WSUS補丁分發系統，分別設

置管理員、安全保密管理員、安全審計員的口令，由

“三員”分別管理。b、由信息中心分別對2套AD域控

系統以及wsus補丁分發系統服務器進行編號、標識

密級、安放至安全管理位置。C、信息中心負責AD域

控系統以及WSUS補丁分發系統服務器的平常運行維

護，每周登陸服務器查看服務器硬件運行狀態、組方略

配置、域組員狀態、系統日志等內容。d、信息中心發

現異常系統日志及時通報保密辦，并查找原因，追究本

源。(4)布署后處理的風險處理部分身份鑒別以及操

作系統安全有關風險。

4?3網絡安全審計使用網絡安全審計系統2臺，用于對涉

密信息系統的網絡及應用進行安全審計和監控。審計功能包括：

應用層協議還原審計、數據庫審計、網絡行為審計、自定義關鍵

字審計等。(1)布署旁路布署于關鍵互換機的鏡像目的接口，

布署數量為2臺，分別布署于主中心以及附屬中心的關鍵互換機

上。設置其管理地址，用于系統管理及維護。布署拓撲示意圖如

下：網絡安全審計網絡安全審計主中心附屬中心網閘主中心附屬

中心關鍵互換機關鍵互換機圖M4網絡安全審計布署示意圖

（2）第一次運行方略配置審計、POP3、Smtp、imap、

telnetsFTP協議以及自定義審計1433、8080、27000、1043、

1034、1037、1041、1040、1042、6035、7777s3690端口；根據

保密規定設定有關關鍵詞字，審計關鍵詞字；使用s方式管理系

統。（3）設備管理及方略網絡安全審計系統由信息中心進行管

理及維護，審計方略的改動均需要通過保密辦的討論后方可操

作。網絡安全審計系統的日志系統維護，日志的保留與備份按照

《網絡安全審計運維管理制度》進行管理。a、由信息中心管理網

絡安全審計設備，分別設置管理員、安全保密管理員、安全審計

員的口令，由“三員”分別管理。b、由信息中心分別對2臺網絡安

全審計設備進行編號、標識密級、安放至安全管理位置。c、信息

中心負責網絡安全審計系統的平常運行維護，每周登陸設備查看

設備配置、設備自身運行狀態、轉發數據量狀態、系統日志等內

容。d、信息中心發現異常審計日志及時通報保密辦，并查找原

因，追究本源。e、信息中心負責網絡安全審計系統的維修管理,

設備出現問題，告知保密辦，獲得同意后，負責設備的維修管

理。

(4)布署后處理的風險處理應用審計，針對內容

進行審計記錄，滿足安全審計有關規定。5終端安全

防護5.1防病毒系統將使用網絡版防病毒軟件建立病

毒防護系統，合計26個服務器端，419個客戶端，分

別布署在主中心以及附屬中心。將使用單機版防病毒

軟件建立中間機、單機及便攜式計算機病毒防護系統,

合計226個終端。(1)布署防病毒系統采用客戶端+

服務器構造，服務器由信息中心負責管理。殺毒中心

安裝：安裝在安全管理服務器上，設置好admin密

碼，并且將注冊信息輸入到殺毒控制中心。服務器安

裝：在各類服務器上安裝殺毒服務器端，設置殺毒中心

的IP地址，并保持與殺毒中心時實時通信。客戶端安

裝：所有的內外終端均安裝客戶端殺毒程序，設置殺毒

中心的IP地址，與殺毒中心同步。單機防病毒系統直

接布署在涉密單機及中間機上。（2）第一次運行方略

防病毒控制中心服務器布署在保密室。網絡防病毒系統

連接在關鍵互換機的access接口上。互換機接口配置

Vian二層信息為:接口類型為access,為其劃分

Vian,使得其與其他Vian不能通過二層相通，使得網

絡防病毒系統需要通過三層與其他Vian通信，即網絡

防病毒系統可以對網絡中所有的主機設備進行殺毒統一

管理和在線控制。所有接入網絡的終端計算機和應用

服務器（windows操作系統）都安裝防病毒軟件，管理

員通過控制臺實現對全網防病毒系統的統一管理，并強

制在顧客接入網絡時安裝防病毒客戶端。升級方式

為：在非涉密計算機上從互聯網下載最新的防病毒系統

升級包，刻制成光盤。將此光盤上的防病毒系統升級包

通過非涉密中間機導入到涉密光盤上，帶入到涉密內網

的防病毒系統服務器上。運用服務器上的防病毒系統服

務端提供的接口導入升級包，再通過服務端將更新了時

病毒庫向每一臺防病毒系統客戶端進行強制更新。防

病毒管理：定期升級病毒特性庫，每周不少于一次；定

期進行全網殺毒掃描，每天計劃不少于一次；每月檢查

防病毒系統的運行狀況并記錄，備份并存儲病毒日志；

制定應急預案，防止病毒大面積爆發。

(3)設備管理及方略為了防止計算機病毒或惡意

代碼傳播，將采用如下措施：a、制定《涉密信息系統

運行管理制度》，該管理措施將與涉密信息系統的建設

同步進行制定，同步加強審計，保證方略的對時實行；

bs加強存儲設備的接入管理，對接入系統的存儲設備

必須先通過計算機病毒和惡意代碼檢查處理；C、所有

的涉密計算機usb及光驅等接口均通過授權才能使用，

防止系統顧客私自安裝軟件或使用usb設備帶病毒入

網。(4)布署后處理的風險處理計算機病毒與惡意代

碼防護、操作系統安全有關風險。5.2惡意程序輔助檢

測系統涉密信息系統采用惡意程序輔助檢測系統，用

于涉密信息系統的中間機信息輸入輸出介質的惡意程序

及木馬病毒查殺及管控。（1）布署系統采用單機布署

在中間機上的構造。共4臺中間機，主中心2臺，附屬

中心2臺，分別為涉密中間機以及非涉密中間機。4臺

中間機上均安裝惡意程序輔助檢測系統，對中間機潛在

的惡意程序及木馬進行管控。（2）第一次運行方略使

用惡意程序輔助檢測系統接管系統關鍵服務、限制未知

程序啟動、未知驅動加載、設置方略進行惡意代碼掃

描、設置方略攔截惡意程序的盜取行為。（3）設備管

理及方略惡意程序輔助檢測系統由信息中心進行管理

及維護，任何方略的改動均需要通過保密辦的討論后方

可實行。惡意程序輔助檢測系統的日志系統同步維護，

日志的保留與備份按照《惡意程序輔助檢測系統運維管

理制度》進行管理。a、由信息中心管理惡意程序輔助

檢測系統，分別設置管理員、安全保密管理員、安全審

計員的口令，由“三員”分別管理。b、由信息中心對中

問機進行編號、標識密級、記錄安放位置并指定中間機

負責人。c、信息中心負責定期到中間機提取審計日志

信息等內容。d、信息中心發現高風險事件及時通報保

密辦，并查找風險源頭，各部門配合信息中心及時處理

問題。e、中間機負責人嚴格遵守《惡意程序輔助檢測

系統運維管理制度》，使用中間機需要進行申請、審

批、登記擺渡內容、使用惡意程序輔助檢測系統防止擺

渡介質也許攜帶的惡意程序及木馬危害系統。

(4)布署后處理的風險處理中間機計算機病毒與惡意代碼防

護有關風險。5.3主機監控與審計系統使用原有主機監控與審計

系統進行對終端行為監控和限制，保持原有布署及原有配置不

變，管理方式及方略仍舊。此設備處理的風險為設備數據接口控

制、主機安全審計風險。5.4移動介質管理系統采用移動介質管

理系統對企業移動存儲介質進行管理。（1）布署使用一臺單機

作為移動存儲介質的系統管理機，安裝涉密移動存儲介質保密管

理系統以及審計平臺。該單機放置于信息中心，由信息中心管理

維護。布署30個客戶端。詳細分布如下表所示。表1?5移動介質

系統布署匯總表序號布署位置數量123456

78910合計（2）第一次運行方略使用移動介質管理系

統對企業移動存儲介質進行：注冊登記、授權、定密、發放、收

回、銷毀、刪除。采用全盤加密技術，防止格式化U盤后進行數

據恢復。（3）設備管理及方略移動介質下發至各部門，由各部

門進行統一管理，保密辦進行二級管理，借用需要通過部門領導

的審批，登記后進行使用，并限定使用時間及使用范圍。采用的

技術防護手段為主機監控與審計系統，進行移動介質設備的管控

與日志記錄。移動介質出現硬件問題后，交由保密辦統一封存處

理。（4）布署后處理的風險處理介質安全存在的風險。5.5終

端安全登錄及身份認證系統采用終端安全登錄與監控審計系統

（網絡版），用于對機密級終端的“雙因子''登錄身份認證。采用

終端安全登錄與監控審計系統（單機版），用于對涉密

單機、中間機登錄身份認證、主機監控與審計。

（1）布署終端安全登錄與監控審計系統（網絡版）服

務器布署于安全管理區，數量為2套，分別布署于主中

心和附屬中心。認證客戶端安裝于機密級終端上，合計

89臺。單機版直接布署在具所有的中間機以及涉密單

機上。（2）第一次運行方略所有終端的方略采用如下

方式進行：開機安全登錄與認證，關閉光驅、軟驅、串

口、并口、紅外、藍牙、網絡接口、1394火線、

PDA。USB存儲自由使用。嚴禁修改注冊表、安裝軟

件、安全模式啟動、外聯、更換設備。嚴禁打印、監控

文獻操作。特殊的終端假如需要開放特殊方略，則必須

由保密辦審批核準后，由信息中心系統管理員進行方略

時調整與下發。（3）設備管理及方略終端安全登錄與

監控審計系統由信息中心進行管理及維護，任何方略的

改動均需要通過保密辦的討論后方可實行。終端安全登

錄與監控審計系統的日志系統同步維護，日志的保留與

備份按照《終端安全登錄與監控審計系統運維管理制

度》進行管理。a、由信息中心管理終端安全登錄與監

控審計系統，分別設置管理員、安全保密管理員、安全

審計員的口令，由“三員”分別管理。b、由信息中心對

終端安全登錄與監控審計系統服務器進行編號、標識密

級、安放至安全管理位置。C、信息中心負責終端安全

登錄與監控審計系統的平常運行維護，每周登陸設備查

看服