三级等保解决方案（通用版）
■文档编号■密级商业机密
■版本编号V2.0 ■日期2017-03-20
■版本变更记录
时间版本说明修改人20160425 V1 范孟飞20170320 V2 范孟飞
■适用性声明
目录
一. 前言 (1)
二. 项目背景 (1)
三. 安全风险分析 (2)
3.1设备安全风险 (2)
3.2网络安全风险 (2)
3.3应用层安全风险 (3)
3.4数据安全风险 (3)
四. 需求分析 (4)
4.1技术需求分析 (4)
4.2管理需求分析 (4)
五. 等级保护建设 (5)
5.1参考标准与依据 (6)
5.1.1 相关法规和政策 (6)
5.1.2 国家标准及行业标准 (6)
5.2整体部署拓扑图 (8)
5.3安全技术防护 (9)
5.3.1 边界访问控制 ....................................................................................................................... - 9 -
5.3.2 边界入侵防护 ..................................................................................................................... - 14 -
5.3.3 网站安全防护 ..................................................................................................................... - 28 -
5.3.4 安全审计 ............................................................................................................................. - 38 -
5.3.5 安全管理 ............................................................................................................................. - 47 -5.4等保建设咨询.. (69)
5.4.1 技术层面差距分析 ............................................................................................................. - 69 -
5.4.2 管理层面差距分析 ............................................................................................................. - 71 -
5.4.3 安全评估及加固 ................................................................................................................. - 72 -
5.4.4 安全管理体系建设 ............................................................................................................. - 74 -
5.4.5 应急响应及演练 ................................................................................................................. - 74 -
5.4.6 安全培训 ............................................................................................................................. - 74 -
5.4.7 测评辅助 ............................................................................................................................. - 75 -
六. 等保建设清单................................................................................................................................. - 76 -
七. 为什么选择绿盟科技..................................................................................................................... - 77 -
7.1典型优势 (78)
7.1.1 拥有最高级别服务资质的专业安全公司.......................................................................... - 78 -
7.1.2 先进且全面的信息安全保障体系模型.............................................................................. - 78 -
7.1.3 可实现且已证明的体系建设内容 ..................................................................................... - 78 -
7.1.4 资深且经验丰富的项目团队 ............................................................................................. - 79 -
7.1.5 先进的辅助工具 ................................................................................................................. - 79 -7.2资质荣誉. (79)
7.3客户收益 (82)
一. 前言
经过多年的信息化推进建设，企事业和政府机构信息化应用水平正不断提高，信息化建设成效显著。作为信息化发展的重要组成部分，信息安全的状态直接制约着信息化发展的程度。
作为企事业和政府机构重要的公众平台APP及web应用系统，由于其公众性质，使其成为攻击和威胁的主要目标，WEB应用所面临的Web应用安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如黑客攻击、蠕虫病毒、DDoS攻击、SQL注入、跨站脚本、Web应用安全漏洞利用等，极大地困扰着政府和公众用户，给政府的政务形象、信息网络和核心业务造成严重的破坏。随着后“棱镜门”时代，国家对重要信息系统（包括网站）的安全问题越来越重视，相继发布了一系列的政策要求，例如：公安部、发改委和财政部联合印发的《关于加强国家级重要信息系统安全保障工作有关事项的通知》（公信安[2014]2182号）要求，加强对47个行业、276家单位、500个涉及国计民生的国家级重要信息系统的安全监管和保障。2014年12月，中办国办《关于加强社会治安防控体系建设的意见》要求：“完善国家网络安全监测预警和通报处置工作机制，推进完善信息安全等级保护制度”。
为进一步企事业和政府机构单位依据国家等级保护相关标准和要求做好信息系统等级保护（三级）安全建设工作，绿盟科技作为国内具有一流技术优势和国际竞争力的信息安全厂商，结合自身多年的安全建设经验、业界领先的技术与产品，为政府单位等级保护安全建设提供本方案。
二. 项目背景
2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议通过《中华人民共和国网络安全法》，并将于2017年6月1日施行。该法案明确规定:建设、运营网络或通过网络提供服务，须依照法律、法规和国家标准强制性要求，采取各种措施，落实网络安全等级保护制度，保障网络安全稳定运行。发生安全事件时还要向主管部门报告。对于不履行该法案规定的，由有关主管部门责令改正，给予警告；拒不改正或导致危害网络安全等后果的，处一万元以上十万元以下罚款，并对直接负责的主管人员处五千元以上五万元以下罚款。
上海市公安局、网信办、经信委、通管局联合发布的《沪公通字【2015】65号》文中，也对政府机构、事业单位、国企的信息系统等级保护建设提出了明确的要求。
xxx目前运营的网站类系统主要有官方网站、xxx系统等；数据中心建成后，除满足xxx 自身需求外，还将为下属各子平台单位提供服务。
xxx信息系统网络架构为简单的互联互通架构，除入口处安装有防火墙外，其他安防手段、措施均缺失，距离等级保护三级要求有非常大的差距，安防状况堪忧。
不论是《中华人民共和国网络安全法》的规定，还是从自身信息系统安全角度考虑，xxx 都需要建设自己的安全管理体系和技术体系的建设，提升整体信息系统及数据的安全性。
三. 安全风险分析
3.1 设备安全风险
信息系统网络设备的安全风险主要来自两个方面，一个是设备自身的安全风险，另外一个是外界环境的安全风险。具体的设备安全风险如下：
?设备自身的安全缺陷或未能够及时修复的安全缺陷，导致的针对该设备的缺陷利用，
影响信息系统业务的连续性、可靠性和完整性；
?承载业务系统硬件、网络环境等方面的威胁；
?业务系统自身安全威胁。
3.2 网络安全风险
网络安全风险主要如下：
?来自内部和外部可能的网络攻击，如DDOS攻击、利用系统漏洞进行的各类攻击等
等；
?蠕虫病毒入侵，局域网内部病毒等恶意软件的传播，尤其是维护终端、磁盘介质使
用等导致的病毒扩散；
?利用管理和技术漏洞，或者内部资源成为僵尸网络、木马的被控资源，信息系统资
源被用作攻击外部网络的工具
?WEB类应用被挂马，成为木马大范围传播的主要途径；
?由于对信息系统网络进行维护不恰当，而导致的安全威胁。
3.3 应用层安全风险
应用层的安全威胁主要来自以下两个方面：
?来自原互联网、内部恶意用户的安全威胁；
?木马病毒的肆意传播，导致网络瘫痪。
3.4 数据安全风险
(1) 网管数据
网管数据，主要指设备管理层面的数据，其安全威胁主要如下：
?数据传输过程中被窃取，篡改、破坏；
?越权访问；
?病毒入侵导致丢失；
?其它误操作、系统故障、介质问题等原因导致的数据丢失、泄漏。
(2) 内部业务数据
内部业务数据，主要指信息系统各个业务区域数据，其安全威胁一方面来自于各个业务的不同要求，另外更主要的一方面是这些业务数据的存放，具体如下：
?病毒、木马、间谍软件的入侵；
?针对敏感数据的非法篡改、获取；
?数据的存储安全威胁，包括数据存储磁盘管理不善，数据访问管理不善带来的威胁
等。
(3) 帐号口令
?口令密码明文保存导致失窃；
?弱口令导致的暴力破解；
?网络监听明文传输的帐号口令。
四. 需求分析
4.1 技术需求分析
整体系统由WEB应用、网络设备、操作系统、数据库、中间件等网络元素共同构建，系统承担着数据采集、存储、分析、展示等功能，依据《信息安全技术信息安全等级保护基本技术要求》，物理层面、网络层面、系统层面、应用层面和数据层面面临如下安全威胁: 1．物理层安全：物理层面面临盗窃和破坏、雷击、火宅、静电、停电等威胁。
2.系统层安全：该层的安全问题来自网络运行的操作系统。安全性问题表现在两方面：一是操作系统本身的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是操作系统的安全配置存在问题。
3．网络层安全：该层的安全问题主要指网络信息的安全性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性、远程接入、域名系统、路由系统的安全，入侵检测的手段等。
4．应用层安全：该层的安全考虑网络对用户提供服务所采用的应用软件和数据的安全性，包括：数据库软件、Web服务、域名系统、交换与路由系统、防火墙及应用网管系统、业务应用软件以及其它网络服务系统等。
5．数据层风险：数据传输泄露、数据损坏等。
因此，有必要通过安全产品与安全服务的方式，发现以上五个层面存在的安全隐患，比对问题采取相应的加固和处理措施，满足信息安全等级保护的技术要求。
4.2 管理需求分析
该系统不仅需要考虑技术防护手段，也需要通过合理的安全管理规范，避免人为因素导致的系统破坏。依据《信息安全技术信息安全等级保护基本技术要求》。应制定完善的安全管理体系，以满足系统的安全管理要求，管理体系应考虑如下五个方面：
1．安全管理制度
根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是具有可操作性，且必须得到有效推行和实施的制度。
2．安全管理机构
根据基本要求设置安全管理机构的组织形式和运作方式，明确岗位职责；
设置安全管理岗位，设立系统管理员、网络管理员、安全管理员等岗位，根据要求进行人员配备，配备专职安全员；成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
3．人员安全管理
根据基本要求制定人员录用，离岗、考核、培训几个方面的规定，并严格执行；规定外部人员访问流程，并严格执行。
4．系统建设管理
根据基本要求制定系统建设管理制度，包括：系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级评测、安全服务商选择等方面。从工程实施的前、中、后三个方面，从初始定级设计到验收评测完整的工程周期角度进行系统建设管理。
5．系统运维管理
根据基本要求进行信息系统日常运行维护管理，利用管理制度以及安全管理中心进行，包括：环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等，使系统始终处于相应等级安全状态中。
五. 等级保护建设
通过xxx信息系统的特点以及面临的安全风险，参考业界主流安全标准和规范要求，制定了针对xxx等级保护建设解决方案，方案包括了整体部署拓扑、安全技术要求和安全服务三部分，从三个不同的层面来建设本单位信息系统安全防护体系，有效降低信息系统的安全风险，保障业务的顺畅运行，满足等级保护建设要求。
5.1 参考标准与依据
5.1.1相关法规和政策
国家信息安全相关文件：
●《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）
●《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）
●《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）
●《信息安全等级保护管理办法》（公通字[2007]43号）
●《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861
号）
●《公安机关信息安全等级保护检查工作规范》（公信安[2008]736号）
●《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429
号）
●《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安
[2010]303号）
●以及其他相关文件。
5.1.2国家标准及行业标准
国信安标委组织制定的国家标准：
●GB17859-1999 计算机信息系统安全保护等级划分准则
●GB/T22240-2008 信息安全技术信息系统安全保护等级定级指南
●GB/T 25058-2010信息安全技术信息系统安全等级保护实施指南
●GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求
●GB/T20269-2006信息安全技术信息系统安全等级保护管理要求
●GB/T20270-2006信息安全技术网络基础安全技术要求
●GB/T20271-2006信息安全技术信息系统通用安全技术要求
●GB/T20272-2006信息安全技术操作系统安全技术要求
●GB/T20273-2006信息安全技术数据库管理系统安全技术要求
●GB/T20282-2006信息安全技术信息系统安全工程管理要求
●GB/T21082-2007信息安全技术服务器安全技术要求
●GBT 25070-2010信息系统等级保护安全设计技术要求（报批稿）
●GB/T 28449-2012信息安全技术信息系统安全等级保护测评过程指南●GB/T 28448-2012信息安全技术信息系统安全等级保护测评要求
5.2 整体部署拓扑图
核心交换机
WEB 服务器群
核心应用区服务器群
安全
管理区
漏洞扫描系统运维审计系统
网页防篡改软件
IPS 入侵防御系统
漏洞扫描堡垒机防火墙抗拒绝服务系统WAF 防病毒集中管
核心数据库区IPS 入侵防御系统Internet 数据库审计
网络安全审计
5.3 安全技术防护
5.3.1边界访问控制
5.3.1.1 防护需求
网络边界安全是网络安全保障的第一道防线，是信息网络系统上各业务网络必须优先建设的重点之一。在信息服务系统内部不同安全保护等级要求或不同信任域网络间互连时的边界接入安全，需设置与关键业务安全保护等级要求相对应的网络逻辑隔离，以重点保护关键业务系统的边界安全，作为信息服务系统中安全保护等级较高的网络，应适当与其他网络部分逻辑隔离。
根据合规性要求，《GB/T 22239-2008信息系统安全等级保护基本要求》
7.1.2.2访问控制（G3）
a)应在网络边界部署访问控制设备，启用访问控制功能；
b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口
级；
c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、
POP3等协议命令级的控制；
d)应在会话处于非活跃一定时间或会话结束后终止网络连接；
e)应限制网络最大流量数及网络连接数；
f)重要网段应采取技术手段防止地址欺骗；
g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访
问，控制粒度为单个用户；
h)应限制具有拨号访问权限的用户数量。
7.1.2.1结构安全
a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要
b)应保证网络各个部分的带宽满足业务高峰期需要
c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径
e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段
f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段
g)按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机.
5.3.1.2 解决方案
根据以上需求，设计在网络边界部署下一代防火墙来实现。通过配置地址转换策略实现内外网的访问，通过配置访问控制策略内外网隔离。详见“整体部署拓扑图”。
【技术实现】
本方案推荐选用绿盟科技下一代防火墙部署方案。
图 5.1 策略框架
绿盟下一代防火墙具备以下功能：
◆智能化识别应用
通过智能化应用、用户身份识别技术，绿盟下一代防火墙可以将网络中单纯的IP/端口号（IP/Ports），以及流量信息，转换为更容易理解、更加智能化的应用程序信息和用户身份信息，为后续的基于应用程序的策略控制和安全扫描，提供了识别基础。
◆精细化控制应用
绿盟下一代防火墙可以根据风险级别、应用类型、是否消耗带宽等多种方式对应用及应用动作进行细致分类，并且通过应用级访问控制，应用流量管理以及应用安全扫描等不同的策略对应用分别进行细粒度的控制和过滤。
◆一体化安全扫描
在完成智能化识别和精细化控制以后，下一代防火墙对于允许使用且可能存在高安全风险的网络应用，可以进行漏洞，病毒，URL和内容等不同层次深度扫描，如果发现该应用中存在安全风险或攻击行为可以做进一步的阻断并且记录成为详细的安全日志和风险报表。
◆资产风险识别和云端安全管理
绿盟科技下一代防火墙可以主动、先发性的对用户内网脆弱资产进行风险评估，并提出加固方案，是用户的内网安全管理专家，同时又可以通过接入云端，简化运维，对安全威胁在线分析和把控，是用户的云端安全管理专家。
【选型优势】
◆多核CPU和ASIC构建高速硬件平台
绿盟防火墙专用硬件平台采用多核CPU和ASIC加速芯片构建。ASIC芯片具有3-4层快速转发和流分类的特性，使得绿盟防火墙具有高速的网络处理性能；多核CPU的强大浮点计算能力，以及绿盟独有的多流并行分布式处理技术，使得绿盟防火墙的应用层数据处理能力大幅提高，真正做到从4层防护到7层防护的提升。
◆智能协议识别（NIPR）智能内容识别（NICR）技术
智能协议识别技术——Nsfocus Intelligent Protocol Recognition（NIPR）和智能内容识别技术——Nsfocus Intelligent Content Recognition（NICR）是绿盟自主研发的网络威胁识别技术，是绿盟科技在网络攻防技术方面多年研究成果的结晶，也是绿盟防火墙产品的核心技术。
网络应用层防护的最大难度在于对复杂多变的应用协议、黑客复杂的攻击行为以及应用内容进行解析识别，从而进行针对性的防护。NIPR和NICR识别技术，它利用七个安全库（应用协议特征库、协议行为特征库、URL分类库、Web信誉库、病毒库、攻击规则库、垃圾邮件库），通过动态分析网络报文中包含的协议特征、行为特征以及非法内容，识别出非法信息，然后递交给相应的处理引擎进行防护。
具备了NIPR和NICR的绿盟防火墙，不再受动态端口或攻击工具变化的影响。对于P2P 等运行在任意端口的应用层协议，或者绑定在任意端口的木马、后门，还有黑客的灵活多变的攻击方式，绿盟防火墙都能在不需要管理员参与的情况下高速准确的判断出来，并根据网关策略予以阻断或限制。
◆超强的网络攻击检测/防护能力
绿盟防火墙集成了绿盟科技专业的入侵检测/防护模块，可实现基于IP地址/网段、规则（组、集）、时间、动作等对象的虚拟IPS。绿盟防火墙采用虚拟补丁技术，可防护远程扫描、暴力破解、缓存区溢出、蠕虫病毒、木马后门、SQL注入、跨站脚本等各种攻击。
◆首创的内网资产风险管理
绿盟科技下一代防火墙，除了具备国际权威咨询机构Gartner所定义的下一代防火墙全部特性，不仅在新一代网络中保障用户的边界网络安全，防范“外敌”入侵，更首创性的提供内网资产风险识别功能，让用户对内网易受攻击资产进行风险提前评估和预警，双向安全，双向保障。即作为事中安全拦截设备，又作为事前风险防范设备，为用户在安全投资不变的情况下提供一举两得的加强安全效应。
◆先进的云端安全管理模式
业界首创的云端安全管理模式，对传统防火墙及业界其它下一代防火墙产品，在运维服务模式上迈出了崭新的一步。绿盟科技凭借多年对用户安全攻防服务经验的积累，分析沉淀国际及国内市场的用户需求趋势，深刻把脉真正下一代安全的未来走向，通过构造云端安全管理平台，让用户在便捷、高效安全管理上有了全新的体验，极大减免了用户的安全运维投入，从而有能力在应对不断增长变化的威胁攻击中百战不殆，游刃有余。
◆全面支持IPv6
绿盟防火墙使用双协议栈(dual stack)架构，支持IPv6/IPv4双协议栈功能，能同时辨识IPv4和IPv6通讯流量。多种隧道模式的支持，确保IPv6过渡时代的网络通畅。IPv6环境下攻击检测技术和基于IPv6地址格式的安全控制策略，为IPv6环境提供了完善的安全防护。
◆细致的应用层控制手段
图 5.2 应用控制
传统防火墙的访问控制或流量管理粒度粗放，只能基于IP/端口号对数据流量进行一刀切式的禁止或允许。NF基于卓越的应用和用户识别能力，对数据流量和访问来源进行精细化辨
识和分类，使得用户可以轻易从同一个端口协议的数据流量中辨识出任意多种不同的应用，或从无意无序的IP地址中辨识出有意义的用户身份信息，从而针对识别出的应用和用户施加细粒度、有区别的访问控制策略、流量管理策略和安全扫描策略，保障了用户最直接、准确、精细的管理愿望和控制诉求。
例如，允许HTTP网页访问顺利进行，并且保证高访问带宽，但是不允许同样基于HTTP 协议的视频流量通过；允许通过QQ进行即时通信，但是不允许通过QQ传输文件；允许邮件传输，但需要进行防病毒扫描或敏感信息过滤，如发现有病毒入侵或泄密事件马上阻断，等等。
卓越的应用层安全处理性能
图 5.3 双引擎多核并发
NF构筑在新一代64位多核并发，高速硬件平台之上，拥有业界独有的数通、安全双引擎设计模式。双引擎多核并发的高速运行在多个CPU核心之上，各司其职，不仅保证了基础网络数据包的高速转发，更加确保了应用层安全处理的高性能。
不仅于此，NF采用的高速数据包处理技术专门针对I/O密集型网络设计。它为上层安全服务和底层硬件平台提供了一个高速通信隧道，极大提升了平台安全处理性能和吞吐率，使下一代防火墙设备在安全处理性能上有了一个质的飞跃。
5.3.1.3 方案价值
内网和互联网区之间部署下一代防火墙可发挥如下作用：基于应用/用户识别的访问控制、流量控制、上网行为管理、SNAT转发、ISP链路负载均衡、安全威胁阻断等；在互联网与DMZ区之间可发挥如下作用：访问控制、DNAT、服务器负载均衡、基于应用/户识别的流量
控制、安全威胁阻断等。在内网区的用户与服务器群之间可发挥如下作用：访问控制、基于应用和用户识别的流量控制、访问行为记录审计等功能。部署在边界的下一代防火墙可根据用户稳定性需求，提供网络容灾备份方案，保证用户网络安全访问无中断。
下一代防火墙具有带宽管理及控制能力、连接完整性检测能力、重要网段保护能力。包含有内容过滤、访问控制等功能，满足信息安全等级保护保护技术要求。
5.3.2边界入侵防护
5.3.2.1 边界抗拒绝服务
5.3.2.1.1 防护需求
日益猖獗的DDOS攻击、越来越简单的僵尸网络攻击工具、日渐成熟的灰色地下交易链条，给互联网信息系统带来了沉重的危害，常见的DDOS攻击影响有：
?网络遭受DDOS攻击导致网络出口或内网互联通信链路的带宽达到饱和；
?内网设备（如交换机、路由器、服务器、防火墙等）遭受DDoS攻击，攻击流量超出目标设备承受能力，导致它们无法提供合法流量；
?服务器或主机遭受应用层DDOS攻击，导致CPU处理能力饱和，无法对外提供服务。
?对网络中没有直接遭受攻击的部分造成间接破坏。
根据对来自广域网边界的风险分析，主要存在以下几个方面的需求：
◆需对流入广域网网络的流量进行分析，识别其中的各类攻击流量；
◆对流量型DDoS攻击（如SYN Flood、UDP Flood、ICMP Flood、ACK Flood等）
进行有效过滤，保护通信链路带宽及内网设备不受攻击影响；
◆对应用层的DoS攻击（如Http Get Flood、连接耗尽、CC等）进行有效过滤，保证
服务器或主机性能不受攻击影响。
【相关规范要求】
《GB/T 22239-2008信息系统安全等级保护基本要求》
7.1.2.2访问控制（G3）
本项要求包括：
e)应限制网络最大流量数及网络连接数；
7.1.2.5 网络安全-入侵防范（G3）
本项要求包括：
a) 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；
b) 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
7.1.3.5主机安全-入侵防范（G3）
本项要求包括：
应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；
5.3.2.1.2 解决方案
根据以上需求，设计在外网出口边界部署一台抗拒绝服务系统（ADS）来实现。针对目前流行的DDoS攻击以及未知的攻击形式，通过ADS及时发现背景流量中的攻击行为，迅速对攻击流量进行过滤，确保正常业务的可用性。详见“整体部署拓扑图”。
【技术实现】
本方案推荐选用绿盟科技抗拒绝服务系统（ADS）来部署实现。
绿盟抗拒绝服务产品基于嵌入式系统设计，在系统核心实现了防御拒绝服务攻击的算法，创造性地将算法实现在协议栈的最底层，避免了TCP/UDP/IP等高层系统网络堆栈的处理，使整个运算代价大大降低，并结合特有硬件加速运算，因此系统效率极高。该方案的核心技术架构如下图所示。
绿盟抗拒绝服务系统核心架构
绿盟抗拒绝服务系统具有以下功能亮点
?反欺骗——绿盟Anti-DDoS技术将会对数据包源地址和端口的正确性进行验证，同时还对流量在统计和分析的基础上提供针对性的反向探测。
?协议栈行为模式分析——根据协议包类型判断其是否符合RFC规定，若发现异常，则立即启动统计分析机制；随后针对不同的协议，采用绿盟专有的协议栈行为模式分析算法决定是否对数据包进行过滤、限制或放行。
?特定应用防护——ADS产品还会根据某些特殊协议类型，诸如DNS、HTTP、VOIP SIP等，启用分析模式算法机制，进一步对不同协议类型的DDoS攻击进行防护。
?用户行为模式分析——网络上的真实业务流量往往含有大量的背景噪声，这体现了网络流量的随机性；而攻击者或攻击程序，为了提高攻击的效率，往往采用较为固定的负载进行攻击。ADS产品对用户的行为模式进行统计、跟踪和分析，分辨出真实业务浏览，并对攻击流量进行带宽限制和信誉惩罚。
?动态指纹识别——作为一种通用算法，指纹识别和协议无关，绿盟Anti-DDoS技术采用滑动窗口对数据包负载的特定字节范围进行统计，采用模式识别算法计算攻击包的特征。对匹配指纹特征的攻击包进行带宽限制和信誉惩罚。
?带宽控制——对经过系统净化的流量进行整形输出，减轻对下游网络系统的压力。
?地理位置过滤——攻击者虽然可以利用全球的肉鸡发起DDoS攻击，但是企业和防护的客户对可以根据自身业务的情况明确业务流量来源，从而根据源IP地理位置过滤攻击，实现快速有效的保护。
?云信誉——绿盟云信誉平台通过集合全系列安全产品的发现与验证，从获取的全球流量中进行信誉等级的评定。ADS产品通过与云信誉平台联动可以及时掌握肉鸡数据并进行拦截防护。
【选型优势】
1. 产品技术最好，防护效果好
?最早研究DDoS攻击&防护（2000年）的企业，2001年推出首款“黑洞”产品，至今积累时间最长，防护水平代表全球最高水平。
?防护技术算法最丰富。如针对CC攻击提供7种防护算法，满足各种攻击特点的防护。
?支持抓包取证，通过抓包分析进行深度防范，为电子取证提供依据，对DDoS攻击产生威慑。
?根据DDoS防护需求不同的特点，能够提供防护群组功能，对用户加以区分，并对不同的用户组提供细粒度的防护策略。
2. 产品应用最广泛，成熟度高：
1.1 技术要求 (4) 1.1.1 物理安全 (4) 1.1.1.1 物理位置的选择（G3） (4) 1.1.1.2 物理访问控制（G3） (4) 1.1.1.3 防盗窃和防破坏（G3） (4) 1.1.1.4 防雷击（G3） (4) 1.1.1.5 防火（G3） (4) 1.1.1.6 防水和防潮（G3） (5) 1.1.2 结构安全（G3） (5) 1.1.2.2 访问控制（G3） (5) 1.1.2.4 边界完整性检查（S3） (5) 1.1.2.5 入侵防范（G3） (5) 1.1.2.6 恶意代码防范（G3） (6) 1.1.2.7 网络设备防护（G3） (6) 1.1.3 主机安全 (6) 1.1.3.1 身份鉴别（S3） (6) 1.1.3.2 访问控制（S3） (6) 1.1.3.3 安全审计（G3） (6) 1.1.3.4 剩余信息保护（S3） (7) 1.1.4 应用安全 (7) 1.1.4.1 身份鉴别（S3） (7) 1.1.4.2 访问控制（S3） (7) 1.1.4.5 通信完整性（S3） (7) 1.1.4.6 通信保密性（S3） (7)
1.1.5 数据安全及备份恢复 (8) 1.1.5.1 数据完整性（S3） (8) 1.1.5.2 数据保密性（S3） (8) 1.1.5.3 备份和恢复（A3） (8) 1.2 管理要求 (9) 1.2.1 安全管理制度 (9) 1.2.1.1 管理制度（G3） (9) 1.2.1.2 制定和发布（G3） (9) 1.2.2.2 人员配备（G3） (9) 1.2.2.3 授权和审批（G3） (9) 1.2.2.4 沟通和合作（G3） (9) 1.2.2.5 审核和检查（G3） (10) 1.2.3 人员安全管理 (10) 1.2.3.1 人员录用（G3） (10) 1.2.3.2 人员离岗（G3） (10) 1.2.3.3 人员考核（G3） (10) 1.2.3.4 安全意识教育和培训（G3） (10) 1.2.3.5 外部人员访问管理（G3） (11) 1.2.4 系统建设管理 (11) 1.2.4.1 系统定级（G3） (11) 1.2.4.2 安全方案设计（G3） (11) 1.2.4.3 产品采购和使用（G3） (11)
XX市XX学院等级保护（三级） 建设方案 2017年1月
目录 一、工程概况 (4) 二、需求分析 (4) 1、建设背景 (5) 2、建设目标 (5) 三、设计原则及依据 (7) 1、设计原则 (7) 2、设计依据 (8) 四、方案整体设计 (9) 1、信息系统定级 (9) 1、等级保护完全实施过程 (11) 2、能力、措施和要求 (11) 3、基本安全要求 (12) 4、系统的控制类和控制项 (12) 5、物理安全保护要求 (13) 6、网络安全保护要求 (14) 7、主机安全保护要求 (14) 8、应用安全保护要求 (15) 9、数据安全与备份恢复 (16) 10、安全管理制度 (17) 11、安全管理机构 (17) 12、人员安全管理 (18) 13、系统建设管理 (18) 14、系统运维管理 (19) 2、等级保护建设流程 (20) 2、网络系统现状分析 (21) 1、网络架构 (21) 2、可能存在的风险 (22) 3、等保三级对网络的要求 (23)
1、结构安全 (23) 2、访问控制 (24) 3、安全审计 (24) 4、边界完整性检查 (25) 5、入侵防范 (25) 6、恶意代码防范 (25) 7、网络设备防护 (25) 4、现状对比与整改方案 (26) 1、现状对比 (26) 2、控制点整改措施 (29) 3、详细整改方案 (30) 4、设备部署方案 (33) 五、产品选型 (35) 1、选型建议 (35) 2、选型要求 (35) 3、设备选型清单 (36) 六、公司介绍 (36)
一、工程概况 信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作 XX市XX学院是2008年元月，经自治区人民政府批准，国家教育部备案的公办全日制高等职业技术院校。学院以高等职业教育为主，同时兼有中等职业教育职能。 学院开拓办学思路，加大投入，改善办学条件，拓宽就业渠道，内引外联，确立了面向社会、服务市场，重在培养学生的创新精神和实践能力的办学宗旨。学院本着让学生既成才，又成人的原则，优化人才培养模式，狠抓教育教学质量，增强学生实践动手能力，注重对学生加强德育和行为规范教育，为企业和社会培养具有全面素质和综合职业能力的应用型专门人才。 学院雄厚的师资力量、先进的教学设备、严格的日常管理、完善的文体设施、优质的后勤服务以及宽敞洁净的学生公寓和食堂，为广大师生提供了优美、舒适、理想的学习、生活和工作环境。 信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。 二、需求分析 为了保障国家关键基础设施和信息的安全，结合我国的基本国情，制定了等
物理位置的选择（G3）.................................................. 错误!未定义书签。 物理访问控制（G3）.................................................... 错误!未定义书签。 防盗窃和防破坏（G3）.................................................. 错误!未定义书签。 防雷击（G3）.......................................................... 错误!未定义书签。 防火（G3）............................................................ 错误!未定义书签。 防水和防潮（G3）...................................................... 错误!未定义书签。结构安全（G3）.............................................................. 错误!未定义书签。 访问控制（G3）........................................................ 错误!未定义书签。 边界完整性检查（S3）.................................................. 错误!未定义书签。 入侵防范（G3）........................................................ 错误!未定义书签。 恶意代码防范（G3）.................................................... 错误!未定义书签。 网络设备防护（G3）.................................................... 错误!未定义书签。 主机安全.................................................................. 错误!未定义书签。 身份鉴别（S3）........................................................ 错误!未定义书签。 访问控制（S3）........................................................ 错误!未定义书签。 安全审计（G3）........................................................ 错误!未定义书签。 剩余信息保护（S3）.................................................... 错误!未定义书签。 应用安全.................................................................. 错误!未定义书签。 身份鉴别（S3）........................................................ 错误!未定义书签。 访问控制（S3）........................................................ 错误!未定义书签。 通信完整性（S3）...................................................... 错误!未定义书签。 通信保密性（S3）...................................................... 错误!未定义书签。 抗抵赖（G3）.......................................................... 错误!未定义书签。 软件容错（A3）........................................................ 错误!未定义书签。 资源控制（A3）........................................................ 错误!未定义书签。 数据安全及备份恢复........................................................ 错误!未定义书签。 数据完整性（S3）...................................................... 错误!未定义书签。
××项目 等级保护（三级）建设方案 深信服科技（深圳）有限公司 2019年12月
目录 1项目概述 (5) 2等级保护建设流程 (5) 3方案参照标准 (7) 4信息系统定级 (7) 4.1.1定级流程 (7) 4.1.2定级结果 (9) 5系统现状分析 (10) 5.1机房及配套设备现状分析 (10) 5.2计算环境现状分析 (10) 5.3区域边界现状分析 (10) 5.4通信网络现状分析............................................................................................................................................... 错误！未定义书签。 5.5安全管理中心现状分析 (10) 6安全风险与差距分析 (10) 6.1物理安全风险与差距分析 (10) 6.2计算环境安全风险与差距分析 (11) 6.3区域边界安全风险与差距分析 (13) 6.4通信网络安全风险与差距分析 (14) 6.5安全管理中心差距分析 (15) 7技术体系方案设计 (16) 7.1方案设计目标 (16) 7.2方案设计框架 (16) 7.3安全域的划分 (17) 7.3.1安全域划分的依据 (17) 7.3.2安全域划分与说明 (18)
7.4安全技术体系设计 (19) 7.4.1机房与配套设备安全设计 (19) 7.4.2计算环境安全设计 (20) 7.4.2.1身份鉴别 (20) 7.4.2.2访问控制 (21) 7.4.2.3系统安全审计 (21) 7.4.2.4入侵防范 (22) 7.4.2.5主机恶意代码防范 (23) 7.4.2.6软件容错 (23) 7.4.2.7数据完整性与保密性 (23) 7.4.2.8备份与恢复 (25) 7.4.2.9资源控制 (26) 7.4.2.10客体安全重用 (27) 7.4.2.11抗抵赖 (27) 7.4.2.12不同等级业务系统的隔离与互通 (27) 7.4.3区域边界安全设计 (28) 7.4.3.1边界访问控制入侵防范恶意代码防范与应用层防攻击 (28) 7.4.3.2流量控制 (29) 7.4.3.3边界完整性检查 (31) 7.4.3.4边界安全审计 (31) 7.4.4通信网络安全设计 (33) 7.4.4.1网络结构安全 (33) 7.4.4.2网络安全审计 (34) 7.4.4.3网络设备防护 (35) 7.4.4.4通信完整性与保密性 (35) 7.4.4.5网络可信接入 (36) 7.4.5安全管理中心设计 (37) 7.4.5.1系统管理 (37)
目录 三级等保安全设计思路 (2) 1、保护对象框架 (2) 2、整体保障框架 (2) 3 、安全措施框架 (3) 4、安全区域划分 (4) 5、安全措施选择 (5) 6、需求分析 (6) 6.1、系统现状 (6) 6.2、现有措施 (6) 6.3 具体需求 (6) 6.3.1 等级保护技术需求 (6) 6.3.2 等级保护管理需求 (7) 7、安全策略 (7) 7.1 总体安全策略 (7) 7.2 具体安全策略 (8) 8、安全解决方案 (8) 8.1 安全技术体系 (8) 8.1.1 安全防护系统 (8) 8.2 安全管理体系 (8) 9、安全服务 (8) 9.1 风险评估服务 (9) 9.2 管理监控服务 (9) 9.3 管理咨询服务 (9) 9.4 安全培训服务 (9) 9.5 安全集成服务 (9) 10、方案总结 (10) 11、产品选型 (11)
三级等保安全设计思路 1、保护对象框架 保护对象是对信息系统从安全角度抽象后的描述方法，是信息系统内具有相似安全保护需求的一组信息资产的组合。 依据信息系统的功能特性、安全价值以及面临威胁的相似性，信息系统保护对象可分为计算区域、区域边界、网络基础设施、安全措施四类。具体内容略。 建立了各层的保护对象之后，应按照保护对象所属信息系统或子系统的安全等级，对每一个保护对象明确保护要求、部署适用的保护措施。 保护对象框架的示意图如下： 图1. 保护对象框架的示意图 2、整体保障框架 就安全保障技术而言，在体系框架层次进行有效的组织，理清保护范围、保护等级和安全措施的关系，建立合理的整体框架结构，是对制定具体等级保护方案的重要指导。 根据中办发[2003]27号文件，“坚持积极防御、综合防范的方针，全面提高提高信息安全防护能力”是国家信息保障工作的总体要求之一。“积极防御、综合防范” 是指导等级保护整体保障的战略方针。 信息安全保障涉及技术和管理两个相互紧密关联的要素。信息安全不仅仅取决于信息安全技术，技术只是一个基础，安全管理是使安全技术有效发挥作用，从而达到安全保障目标的重要保证。 安全保障不是单个环节、单一层面上问题的解决，必须是全方位地、多层次地从技术、管理等方面进行全面的安全设计和建设，积极防御、综合防范”战略要求信息系统整体保障综合采用覆盖安全保障各个环节的防护、检测、响应和恢复等多种安全措施和手段，对系统进行动态的、综合的保护，在攻击者成功
某市三院医疗信息系统安全 三级等保建设方案 2012-09-25 目录
1、某市三院医疗信息系统现状分析 1.1系统现状 某市第三人民医院（以下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内网已覆盖行政楼、老病房1/2F、门诊一期、门诊二期以及门诊一期中心机房，医院外网与新农合、市社保机构互联。医院内网采用“核心-接入”二层交换架构，行政楼、病房、门诊通过接入交换机连接至中心机房核心交换机。HIS、LIS系统作为三院核心业务系统直接部署在中心机房，系统服务器直接挂载在中心机房核心交换机上。近期三院将在中心机房区域部署一套电子病历系统已完善三院医疗信息系统。在出口方向，医院有两条出口与外网互联，一条通过防火墙完成与新农合、市医保机构的互联，另一条通过ISA服务器接入互联网。 2、某市三院医疗信息系统潜在风险 2.1黑客入侵造成的破坏和数据泄露 随着医疗信息化的普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中包括了个人在疾病控制、体检、诊断、治疗、医学
研究过程中涉及到的肌体特征、健康状况、遗传基因、病史病历等个人信息。其中个人医疗健康信息的秘密处于隐私权的核心部位，而保障病人的隐私安全是医院和医护人员的职责。 某市三院医疗信息系统某市三院中心机房汇集了大量的病人隐私信息，而这些数据在传输过程中极易被窃取或监听。同时基于电子健康档案和电子病历大量集中存储的情况，一旦系统被黑客控制，可能导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。病人隐私信息外泄将会给公民的生活、工作以及精神方面带来很大的负面影响和损失，同时给平台所辖区域造成不良社会影响，严重损害机构的公共形象，甚至可能引发法律纠纷。而数据的恶意删除和篡改会导致电子健康档案和电子病历的丢失以及病人信息的错误，给医护人员的工作造成影响，甚至可能引发医疗事故。另一方面，随着便携式数据处理和存储设备的广泛应用，由于设备丢失而导致的数据泄漏威胁也越来越严重。 因此电子健康档案和电子病历数据作为卫生平台某市三院中心机房的重要资产，必须采取有效措施以防止物理上的丢失和黑客监听、入侵行为造成的破坏，保证数据的保密性，安全性和可用性。 2.2医疗信息系统漏洞问题 自计算机技术的出现以来，由于技术发展局限、编码错误等种种原因，漏洞无处不在并且已成为直接或间接威胁系统和应用程序的脆弱点。操作系统和应用程序漏洞能够直接威胁数据的完整性和机密性，流行蠕虫的传播通常也依赖与严重的安全漏洞，黑客的主动攻击也往往离不开对漏洞的利用。事实证明，99%以上攻击都是利用已公布并有修补措施但用户未修
三级等保安全设计思路 1、保护对象框架 保护对象是对信息系统从安全角度抽象后的描述方法，是信息系统内具有相似安全保护需求的一组信息资产的组合。 依据信息系统的功能特性、安全价值以及面临威胁的相似性，信息系统保护对象可分为计算区域、区域边界、网络基础设施、安全措施四类。具体内容略。 建立了各层的保护对象之后，应按照保护对象所属信息系统或子系统的安全等级，对每一个保护对象明确保护要求、部署适用的保护措施。 保护对象框架的示意图如下： 图1. 保护对象框架的示意图 2、整体保障框架 就安全保障技术而言，在体系框架层次进行有效的组织，理清保护范围、保护等级和安全措施的关系，建立合理的整体框架结构，是对制定具体等级保护方案的重要指导。 根据中办发[2003]27号文件，“坚持积极防御、综合防范的方针，全面提高提高信息安全防护能力”是国家信息保障工作的总体要求之一。“积极防御、综合防范” 是指导等级保护整体保障的战略方针。 信息安全保障涉及技术和管理两个相互紧密关联的要素。信息安全不仅仅取决于信息安全技术，技术只是一个基础，安全管理是使安全技术有效发挥作用，从而达到安全保障目标的重要保证。
安全保障不是单个环节、单一层面上问题的解决，必须是全方位地、多层次地从技术、管理等方面进行全面的安全设计和建设，积极防御、综合防范”战略要求信息系统整体保障综合采用覆盖安全保障各个环节的防护、检测、响应和恢复等多种安全措施和手段，对系统进行动态的、综合的保护，在攻击者成功地破坏了某个保护措施的情况下，其它保护措施仍然能够有效地对系统进行保护，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。 整体保障框架的建设应在国家和地方、行业相关的安全政策、法规、标准、要求的指导下，制订可具体操作的安全策略，并在充分利用信息安全基础设施的基础上，构建信息系统的安全技术体系、安全管理体系，形成集防护、检测、响应、恢复于一体的安全保障体系，从而实现物理安全、网络安全、系统安全、数据安全、应用安全和管理安全，以满足信息系统全方位的安全保护需求。同时，由于安全的动态性，还需要建立安全风险评估机制，在安全风险评估的基础上，调整和完善安全策略，改进安全措施，以适应新的安全需求，满足安全等级保护的要求，保证长期、稳定、可靠运行。 整体保障框架的示意图如下： 图2. 整体保障框架的示意图 3 、安全措施框架 安全措施框架是按照结构化原理描述的安全措施的组合。本方案的安全措施框架是依据“积极防御、综合防范”的方针，以及“管理与技术并重”的原则进行设计的。 安全措施框架包括安全技术措施、安全管理措施两大部分。安全技术措施包括安全防护系统（物理防护、边界防护、监控检测、安全审计和应急恢复等子系统）和安全支撑系统（安全运营平台、网络管理系统和网络信任系统）。 安全技术措施、安全管理措施各部分之间的关系是人（安全机构和人员），按照规则（安全管理制度），使用技术工具（安全技术）进行操作（系统建设和系统运维）。
1.1 技术要求4 欧阳歌谷（2021.02.01） 1.1.1 物理平安4 1.1.1.1 物理位置的选择（G3）4 1.1.1.2 物理拜访控制（G3）4 1.1.1.3 防偷盗和防破坏（G3）5 1.1.1.4 防雷击（G3）5 1.1.1.5 防火（G3）5 1.1.1.6 防水和防潮（G3）6 1.1.2 结构平安（G3）6 1.1. 2.2 拜访控制（G3）7 1.1. 2.4 鸿沟完整性检查（S3）7 1.1. 2.5 入侵防备（G3）7 1.1. 2.6 歹意代码防备（G3）8 1.1. 2.7 网络设备防护（G3）8 1.1.3 主机平安8 1.1.3.1 身份鉴别（S3）8 1.1.3.2 拜访控制（S3）9 1.1.3.3 平安审计（G3）9 1.1.3.4 剩余信息呵护（S3）10 1.1.4 应用平安10
1.1.4.1 身份鉴别（S3）10 1.1.4.2 拜访控制（S3）11 1.1.4.5 通信完整性（S3）11 1.1.4.6 通信保密性（S3）12 1.1.4.7 抗承认（G3）12 1.1.4.8 软件容错（A3）12 1.1.4.9 资源控制（A3）12 1.1.5 数据平安及备份恢复13 1.1.5.1 数据完整性（S3）13 1.1.5.2 数据保密性（S3）13 1.1.5.3 备份和恢复（A3）14 1.2 管理要求14 1.2.1 平安管理制度14 1.2.1.1 管理制度（G3）14 1.2.1.2 制定和宣布（G3）15 1.2.2.2 人员配备（G3）15 1.2.2.3 授权和审批（G3）15 1.2.2.4 沟通和合作（G3）16 1.2.2.5 审核和检查（G3）16 1.2.3 人员平安管理17 1.2.3.1 人员录用（G3）17 1.2.3.2 人员离岗（G3）17
信息安全等保三级（等保2.0）系统建设整体解决方案 2020年2月 某单位信息安全等级保护（三级） 建 设 方 案
目录 第一章项目概述 (4) 1.1项目概述 (4) 1.2项目建设背景 (4) 1.2.1法律要求 (5) 1.2.2政策要求 (7) 1.3项目建设目标及内容 (7) 1.3.1项目建设目标 (7) 1.3.2建设内容 (8) 第二章现状与差距分析 (9) 2.1现状概述 (9) 2.1.1信息系统现状 (9) 2.2现状与差距分析 (11) 2.2.1物理安全现状与差距分析 (11) 2.2.2网络安全现状与差距分析 (20) 2.2.3主机安全现状与差距分析 (33) 2.2.4应用安全现状与差距分析 (45) 2.2.5数据安全现状与差距分析 (57) 2.2.6安全管理现状与差距分析 (60) 2.3综合整改建议 (66) 2.3.1技术措施综合整改建议 (66) 2.3.2安全管理综合整改建议 (82)
第三章安全建设目标 (84) 第四章安全整体规划 (86) 4.1建设指导 (86) 4.1.1指导原则 (86) 4.1.2安全防护体系设计整体架构 (87) 4.2安全技术规划 (89) 4.2.1安全建设规划拓朴图 (89) 4.2.2安全设备功能 (90) 4.3建设目标规划 (96) 第五章工程建设 (99) 5.1工程一期建设 (99) 5.1.1区域划分 (99) 5.1.2网络环境改造 (100) 5.1.3网络边界安全加固 (100) 5.1.4网络及安全设备部署 (101) 5.1.5安全管理体系建设服务 (136) 5.1.6安全加固服务 (154) 5.1.7应急预案和应急演练 (162) 5.1.8安全等保认证协助服务 (162) 5.2工程二期建设 (163) 5.2.1安全运维管理平台（soc） (163) 5.2.2APT高级威胁分析平台 (167) 第六章方案预估效果 (169)
三级等保解决方案（通用版） ■文档编号■密级商业机密 ■版本编号V2.0 ■日期2017-03-20
■版本变更记录 时间版本说明修改人20160425 V1 范孟飞20170320 V2 范孟飞 ■适用性声明
目录 一. 前言 (1) 二. 项目背景 (1) 三. 安全风险分析 (2) 3.1设备安全风险 (2) 3.2网络安全风险 (2) 3.3应用层安全风险 (3) 3.4数据安全风险 (3) 四. 需求分析 (4) 4.1技术需求分析 (4) 4.2管理需求分析 (4) 五. 等级保护建设 (5) 5.1参考标准与依据 (6) 5.1.1 相关法规和政策 (6) 5.1.2 国家标准及行业标准 (6) 5.2整体部署拓扑图 (8) 5.3安全技术防护 (9) 5.3.1 边界访问控制 ....................................................................................................................... - 9 - 5.3.2 边界入侵防护 ..................................................................................................................... - 14 - 5.3.3 网站安全防护 ..................................................................................................................... - 28 - 5.3.4 安全审计 ............................................................................................................................. - 38 - 5.3.5 安全管理 ............................................................................................................................. - 47 -5.4等保建设咨询.. (69) 5.4.1 技术层面差距分析 ............................................................................................................. - 69 - 5.4.2 管理层面差距分析 ............................................................................................................. - 71 - 5.4.3 安全评估及加固 ................................................................................................................. - 72 - 5.4.4 安全管理体系建设 ............................................................................................................. - 74 - 5.4.5 应急响应及演练 ................................................................................................................. - 74 - 5.4.6 安全培训 ............................................................................................................................. - 74 - 5.4.7 测评辅助 ............................................................................................................................. - 75 - 六. 等保建设清单................................................................................................................................. - 76 - 七. 为什么选择绿盟科技..................................................................................................................... - 77 - 7.1典型优势 (78) 7.1.1 拥有最高级别服务资质的专业安全公司.......................................................................... - 78 - 7.1.2 先进且全面的信息安全保障体系模型.............................................................................. - 78 - 7.1.3 可实现且已证明的体系建设内容 ..................................................................................... - 78 - 7.1.4 资深且经验丰富的项目团队 ............................................................................................. - 79 -
1.1 技术要求 (3) 1.1.1 物理安全 (3) 1.1.1.1 物理位置的选择（G3） (3) 1.1.1.2 物理访问控制（G3） (3) 1.1.1.3 防盗窃和防破坏（G3） (3) 1.1.1.4 防雷击（G3） (4) 1.1.1.5 防火（G3） (4) 1.1.1.6 防水和防潮（G3） (4) 1.1.2 结构安全（G3） (4) 1.1.2.2 访问控制（G3） (5) 1.1.2.4 边界完整性检查（S3） (5) 1.1.2.5 入侵防（G3） (5) 1.1.2.6 恶意代码防（G3） (5) 1.1.2.7 网络设备防护（G3） (6) 1.1.3 主机安全 (6) 1.1.3.1 身份鉴别（S3） (6) 1.1.3.2 访问控制（S3） (6) 1.1.3.3 安全审计（G3） (7) 1.1.3.4 剩余信息保护（S3） (7) 1.1.4 应用安全 (8) 1.1.4.1 身份鉴别（S3） (8) 1.1.4.2 访问控制（S3） (8) 1.1.4.5 通信完整性（S3） (8) 1.1.4.6 通信性（S3） (8) 1.1.4.7 抗抵赖（G3） (9) 1.1.4.8 软件容错（A3） (9) 1.1.4.9 资源控制（A3） (9) 1.1.5 数据安全及备份恢复 (9) 1.1.5.1 数据完整性（S3） (9) 1.1.5.2 数据性（S3） (10) 1.1.5.3 备份和恢复（A3） (10) 1.2 管理要求 (10) 1.2.1 安全管理制度 (10) 1.2.1.1 管理制度（G3） (10) 1.2.1.2 制定和发布（G3） (11) 1.2.2.2 人员配备（G3） (11) 1.2.2.3 授权和审批（G3） (11) 1.2.2.4 沟通和合作（G3） (11) 1.2.2.5 审核和检查（G3） (12) 1.2.3 人员安全管理 (12) 1.2.3.1 人员录用（G3） (12) 1.2.3.2 人员离岗（G3） (12) 1.2.3.3 人员考核（G3） (13) 1.2.3.4 安全意识教育和培训（G3） (13) 1.2.3.5 外部人员访问管理（G3） (13) 1.2.4 系统建设管理 (13)
三级等保建设方案
目录 1 概述 (2) 1.1 项目概况 (2) 1.2 方案说明 (3) 1.3 设计依据 (4) 2 方案总体设计 (4) 2.1 设计目标 (4) 2.2 设计原则 (6) 2.3 设计思路 (7) 3 需求分析 (15) 3.1 系统现状 (16) 3.2 现有措施 (16) 3.3 具体需求 (16) 4 安全策略 (18) 4.1 总体安全策略 (18) 4.2 具体安全策略 (19) 5 安全解决方案 (19) 5.1 安全技术体系 (20) 5.1.1区域边界 (20) 5.1.2通信网络 (21) 5.1.3计算环境 (22) 5.2 安全管理体系 (24) 5.3 安全运维体系 (27) 6 方案总结 (28)
1 概述 1.1 项目概况 随着我国信息技术的快速发展，计算机及信息网络对促进国民经济和社会发展发挥着日益重要的作用。加强对重要领域内计算机信息系统安全保护工作的监督管理，打击各类计算机违法犯罪活动，是我国信息化顺利发展的重要保障。为加大依法管理信息网络安全工作的力度，维护国家安全和社会安定，维护信息网络安全，使我国计算机信息系统的安全保护工作走上法制化、规范化、制度化管理轨道，1994年国务院颁布了《中华人民共和国计算机信息系统安全保护条例》。条例中规定：我国的“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。”1999年9月国家质量技术监督局发布了由公安部提出并组织制定的强制性国家标准GB 17859-1999《计算机信息系统安全保护等级划分准则》，为等级保护这一安全国策给出了技术角度的诠释。 2003年的《国家信息化领导小组关于加强信息安全保障工作的意见》（27号文）中指出：“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安
技术测评要求 (S3A3G3)等级保护三级技术类测评控制点(S3A3G3) 类别序号 物理 1. 位置 的选 2. 择 3. 物理 4.物理访问 安全控制 5. 6. 7. 防盗 窃和8. 防破 坏 9. 测评内容 机房和办公场地应选择在具有防震、防风和防 雨等能力的建筑内。（ G2） 机房场地应避免设在建筑物的高层或地下室， 以及用水设备的下层或隔壁。（ G3） 机房出入口应安排专人值守，控制、鉴别和记 录进入的人员。（ G2） 需进入机房的来访人员应经过申请和审批流 程，并限制和监控其活动范围。（ G2） 应对机房划分区域进行管理，区域和区域之间 设置物理隔离装置，在重要区域前设置交付或 安装等过渡区域。（ G3） 重要区域应配置电子门禁系统，控制、鉴别和 记录进入的人员。（ G3） 应将主要设备放置在机房内。（ G2） 应将设备或主要部件进行固定，并设置明显的 不易除去的标记。（ G2） 应将通信线缆铺设在隐蔽处，可铺设在地下或 管道中。（ G2） 符合情况 测评方法结果记录 Y N 访谈，检查。 物理安全负责人，机房，办公场地， 机房场地设计/ 验收文档。 访谈，检查。 物理安全负责人，机房值守人 员，机房，机房安全管理制度， 值守记录，进入机房的登记记 录，来访人员进入机房的审批记 录。 访谈，检查。 物理安全负责人，机房维护人员， 资产管理员，机房设施，设备管 理制度文档，通信线路布线文 档，报警设施的安装测试/ 验收报
等级保护三级技术类测评控制点(S3A3G3) 类别 防雷 击 防火 防水 和防 潮 序号测评内容 10. 应对介质分类标识，存储在介质库或档案室中。 （ G2） 11. 应利用光、电等技术设置机房防盗报警系统。 （ G3） 12.应对机房设置监控报警系统。（ G3） 13.机房建筑应设置避雷装置。（ G2） 14.应设置防雷保安器，防止感应雷。（G3） 15.机房应设置交流电源地线。（ G2） 机房应设置火灾自动消防系统，能够自动检测 16. 火情、自动报警，并自动灭火。（ G3） 机房及相关的工作房间和辅助房应采用具有耐 17. 火等级的建筑材料。（ G3） 机房应采取区域隔离防火措施，将重要设备与 18. 其他设备隔离开。（ G3） 水管安装，不得穿过机房屋顶和活动地板下。 19. （G2） 应采取措施防止雨水通过机房窗户、屋顶和墙 20. 壁渗透。（ G2） 应采取措施防止机房内水蒸气结露和地下积水 21. 的转移与渗透。（ G2） 22.应安装对水敏感的检测仪表或元件，对机房进 符合情况 测评方法结果记录 Y N 告。 访谈，检查。 物理安全负责人，机房维护人员， 机房设施（避雷装置，交流电源地 线），建筑防雷设计 / 验收文档。 访谈，检查。 物理安全负责人，机房值守人员， 机房设施，机房安全管理制度，机 房防火设计 / 验收文档，火灾自 动报警系统设计/ 验收文档。 访谈，检查。 物理安全负责人，机房维护人员， 机房设施（上下水装置，除湿装置）， 建筑防水和防潮设计 / 验收文 档。
信息安全等级保护（三级） 建设方案
目录 1. 前言 (4) 1.1 概述 (4) 1.2 相关政策及标准 (5) 2. 现状及需求分析 (6) 2.1. 现状分析 (6) 2.2. 需求分析 (6) 3. 等保三级建设总体规划 (8) 3.1. 网络边界安全建设 (8) 3.2. 日志集中审计建设 (8) 3.3. 安全运维建设 (8) 3.4. 等保及安全合规性自查建设 (9) 3.5. 建设方案优势总结 (10) 4. 等保三级建设相关产品介绍 (13) 4.1. 网络边界安全防护 (13) 4.1.1 标准要求 (13) 4.1.2 明御下一代防火墙 (15) 4.1.3 明御入侵防御系统（IPS） (21) 4.2. 日志及数据库安全审计 (24) 4.2.1 标准要求 (24)
4.2.2 明御综合日志审计平台 (28) 4.2.3 明御数据库审计与风险控制系统 (32) 4.3. 安全运维审计 (37) 4.3.1 标准要求 (37) 4.3.2 明御运维审计和风险控制系统 (38) 4.4. 核心WEB应用安全防护 (43) 4.3.1 标准要求 (43) 4.3.2 明御WEB应用防火墙 (44) 4.3.3 明御网站卫士 (48) 4.5. 等保及安全合规检查 (51) 4.5.1 标准要求 (51) 4.5.2 明鉴WEB应用弱点扫描器 (52) 4.5.3 明鉴数据库弱点扫描器 (55) 4.5.4 明鉴远程安全评估系统 (59) 4.5.5 明鉴信息安全等级保护检查工具箱 (62) 4.6. 等保建设咨询服务 (64) 4.6.1 服务概述 (64) 4.6.2 安全服务遵循标准 (65) 4.6.3 服务内容及客户收益 (66) 5. 等保三级建设配置建议 (67)
信息系统等级保护咨询服务方案 2018年10月 ■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属并擎科技所有，受到有关产权及版权法保护。任何个人、机构未经并擎科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。
■版本变更记录 时间版本说明修改人2018.10.8 V1 创建袁佳昊2018.10.9 V1 创建袁佳昊2018.10.11 V1.1 校审穆云山
国家电投新疆准东五彩湾北二电厂等保建设方案 目录 1概述 (6) 1.1目标与范围 (6) 1.2方案设计 (7) 1.3参照标准 (7) 2建设总目标 (9) 2.1等保建设总体目标 (9) 2.2用户建设收益 (9) 3等保技术安全体系设计 (10) 3.1构建分域的控制体系 (10) 3.2构建纵深的防御体系 (10) 3.3保证一致的安全强度 (10) 4信息安全管理建设 (12) 4.1管理机构规划概述 (12) 4.2信息安全组织架构和相关职责 (12) 4.3安全管理制度规划 (13) 4.4规章制度 (14) 5三级系统域建设 (17) 5.1建设目标 (17) 5.2物理安全 (17) 5.2.1物理安全建设目标 (17)
5.2.2机房感应雷防护措施 (18) 5.2.3物理访问控制 (18) 5.2.4防盗措施 (19) 5.2.5防火措施 (19) 5.2.6防水和防潮 (20) 5.2.7电磁防护 (20) 5.3网络安全 (21) 5.4主机安全 (22) 5.4.1主机身份鉴别 (22) 5.4.2访问控制 (23) 5.4.3安全审计 (23) 5.4.4入侵防范 (23) 5.4.5恶意代码防范 (24) 5.4.6资源控制 (24) 5.5应用安全 (24) 5.5.1应用安全建设目标 (24) 5.5.2身份鉴别 (25) 5.5.3访问控制 (25) 5.5.4安全审计 (25) 5.5.5剩余信息保护 (26) 5.5.6通信完整性、通信保密性 (26)