Xx
信息安全等级保护（三级）建设方案
目录
1. 前言 (4)
1.1 概述 (4)
1.2 相关政策及标准 (4)
2. 现状及需求分析 (6)
2.1. 现状分析 (6)
2.2. 需求分析 (6)
3. 等保三级建设总体规划 (8)
3.1. 网络边界安全建设 (8)
3.2. 日志集中审计建设 (8)
3.3. 安全运维建设 (8)
3.4. 等保及安全合规性自查建设 (8)
3.5. 建设方案优势总结 (9)
4. 等保三级建设相关产品介绍 (11)
4.1. 网络边界安全防护 (11)
4.1.1 标准要求 (11)
4.1.2 明御下一代防火墙 (12)
4.1.3 明御入侵防御系统（IPS） (17)
4.2. 日志及数据库安全审计 (20)
4.2.1 标准要求 (20)
4.2.2 明御综合日志审计平台 (23)
4.2.3 明御数据库审计与风险控制系统 (26)
4.3. 安全运维审计 (30)
4.3.1 标准要求 (30)
4.3.2 明御运维审计和风险控制系统 (31)
4.4. 核心WEB应用安全防护 (35)
4.3.1 标准要求 (35)
4.3.2 明御WEB应用防火墙 (35)
4.3.3 明御网站卫士 (39)
4.5. 等保及安全合规检查 (41)
4.5.1 标准要求 (41)
4.5.2 明鉴WEB应用弱点扫描器 (42)
4.5.3 明鉴数据库弱点扫描器 (44)
4.5.4 明鉴远程安全评估系统 (48)
4.5.5 明鉴信息安全等级保护检查工具箱 (50)
4.6. 等保建设咨询服务 (52)
4.6.1 服务概述 (52)
4.6.2 安全服务遵循标准 (53)
4.6.3 服务内容及客户收益 (54)
5. 等保三级建设配置建议 (55)
1.前言
1.1概述
随着互联网金融的快速发展，金融机构对信息系统的依赖程度日益增高，信息安全的问题也越来越突出。同时，由于利益的驱使，针对金融机构的安全威胁越来越多，尤其是涉及民生与金融相关的单位，收到攻击的次数日渐频繁，相关单位必须加强自身的信息安全保障工作，建立完善的安全机制来抵御外来和内在的信息安全威胁。为提升我国重要信息系统整体信息安全管理水平和抗风险能力。国家公安部、保密局、国家密码管理局、国务院信息化领导小组办公室于2007年联合颁布861号文件《关于开展全国重要信息系统安全等级保护定级工作的通知》和《信息安全等级保护管理办法》，要求涉及国计民生的信息系统应达到一定的安全等级，根据文件精神和等级划分的原则，涉及到政府机关、金融等核心信息系统，构筑至少应达到三级或以上防护要求。
互联网金融行业是关系经济、社会稳定等的重要单位，等级保护制度的确立和实施，无疑对互联网金融单位加快自身信息安全建议具有前瞻性、系统性的指导意义。从国家层面上看，在重点行业、单位推行等级保护制度是关系到国家信息安全的大事，为确保重要行业和单位的等级保护信息系统顺利开展实施，同时出台了一系列政策文件来规范、指导和推动风险评估工作的进行，等级保护也积极响应各种标准和政策，以保障重点行业信息系统安全。
1.2相关政策及标准
国家相关部门对等级保护安全要求相当重视，相继出台多个信息安全相关指导意见与法规，主要有：
《中华人民共和国计算机信息系统安全等级保护条例》（国务院147号令）
《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安〔2010〕303）
《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》
《GB/T20984—2007 信息安全技术信息安全风险评估规范》
《GB17859-1999 信息系统安全等级保护测评准则》
其中，目前等级保护等保主要安全依据，主要参照《GB17859-1999 信息系统安全等级保护测评准则》和《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》，本方案亦主要依据这两个标准，以其他要求为辅，来建立本技术方案。
2.现状及需求分析
2.1.现状分析
xx核心业务系统为互联网客户提供在线业务以及线下业务支持。通过该系统平台，实现互联网金融业务信息全面融合、集中管理、内部管理的流程化、标准化和信息化，为xx 管理工作提供全面的系统支持。该系统定级为安全保护等级三级，通过第三方测评、整体分析与风险分析，xx业务系统中存在与国家等级保护三级标准要求不符合项。
2.2.需求分析
为了满足达到国家GB/T 22239-2008《信息技术信息系统安全等级保护基本要求》相应的等级保护能力要求，xx业务管理系统启动等级保护安全整改工作，以增强系统的安全防护能力，有效抵御内部和外部威胁，为切实达到国家及行业信息安全等级保护相应要求，使xx业务管理系统在现有运行环境下风险可控，能够为xx客户及内部各部门提供安全、稳定的业务服务。
本次方案结合初步检查报告，由于xx业务系统只采用防护墙进行安全防护措施，针对安全运维管理、应用层安全防护、第三方日志审计、管理制度等方面的薄弱之处，建议部署相关安全防护设备，结合安全管理制度，将满足相应的等级保护防护能力。
一、安全防护：安全防护设计网络安全、主机安全等多个测评内容，针对所发现的安全问题风险中，如网络边界未部署防恶意代码设备,可通过对重点系统的网络边界部署相应的安全防护设备来进行解决。
二、审计分析：审计分析在三级等级保护要求中，占据重要地位，涉及网络安全、主机安全、应用安全等诸多环节，xx业务系统在第三方审计相关建设上缺乏必要手段，并且对部分重要系统的安全现状难以了解，加强系统安全检测能力，和审计分析能力十分必要。
三、安全运维：安全运维管理涉及网络安全、主机安全、安全运维管理，在所发现安全
问题风险中，对远程设备进行双因子认证，实现特权用户分离，对网络用户的接入访问控制，敏感资源的访问控制等，可通过加强安全运维管理和部署相应管理设备加以解决。
四、管理制度:管理制度的完善，在等级保护建设中具有非常重要的意义，通过第三方专业人员的现场指导、协助管理制度的完善、弥补安全管理制度中的不足，从管理制度整体协助满足等级保护的相关要求。
3.等保三级建设总体规划
根据现有安全形势特点，针对三级等级保护的各项要求，需针对网络边界安全、日志集中审计、安全运维、合规性自查四个层面进行建设，选择典型安全系统构建。
3.1.网络边界安全建设
在网络边界处需加强对网络防护、WEB应用防护措施，通过相关的网络安全设备部署核心链路中，按照信息安全等级保护标准进行建设。
3.2.日志集中审计建设
数据库审计系统为旁路部署，需要将客户端请求数据库的的数据和数据库返回给客户端的数据双向镜像到一个交换机接口作为数据库审计设备的采集口，如需同时审计WEB应用的访问请求等同样需要把数据进行镜像。
综合日志审计系统为旁路部署，仅需要将系统分配好IP地址，对各型服务器、数据库、安全设备、网络设备配置日志发送方式，将自动收集各类设备的安全日志和运行日志，进行集中查询和管理。
数据库弱点扫描器部署在专用电脑上，定期对数据库进行安全检测。
3.3.安全运维建设
将运维审计与风险控制系统放置与办公内网，并设定各服务器、网络设备、安全设备的允许登录IP，仅允许运维审计与风险控制系统可登录操作，运维和管理人员对各类服务器、网络设备、安全设备的操作，均需先得到运维审计与风险控制系统的许可，所有操作均会被运维审计与风险控制系统审计下来，并做到资源控制的设定。
3.4.等保及安全合规性自查建设
为提高核心业务系统内部网络安全防护性能和抗破坏能力，检测和评估已运行网络的安全性能，需一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保