09_网络安全等级保护安全建设培训_卢青_import（PDF103页）

网络安全等级保护安全建设--重要行业网络安全等级保护建设案例目录一、重要行业信息化基本情况简介二、网络安全等级保护建设思路三、网络安全等级保护实践案例四、建设实践经验小结政府网络和信息系统建设电子政务内外网建设网站建设重要信息系统建设国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。电子政务外网【国家信息中心组织建设，政府使用，非涉密网络，符合国家等级保护要求】•应用场景：政务信息采集；政务信息传输；政府垂直性电子政务应用；建设方提供安全环境，安全防护措施•访问场景：政府单位国家-省-市-县的内部用户各个政府单位之间的数据交互，统一的政务服务•主要威胁：数据越权访问、信息泄漏、非法访问、病毒、木马、APT政府电子政务网络的应用和威胁电子政务内网【涉密网络、物理隔离，符合国家分级保护要求】•应用场景：设计国家秘密的业务应用各项安全控制严格按照涉密要求执行•主要威胁：信息泄漏、数据丢失、数据越权访问、非法访问、病毒、木马电磁泄漏、物理安全、社会工程政府电子政务网络的应用和威胁电子政务专网【政府自建，非涉密网络，符合国家等级保护要求】•应用场景：电子政务业务信息的采集、传输、使用、存储等，垂直性电子政务应用；自建数据中心、安全防护措施•访问场景：政府单位国家-省-市-县的内部用户各种外部接入访问，来自其他单位的数据交互，与内网之间数据交互•主要威胁：数据越权访问、信息泄漏、非法访问、病毒、木马、APT自身的安全控制执行力度不够、策略失效、业务漏洞引发风险政府电子政务网络的应用和威胁金融、能源网络和信息系统互联网【移动互联网、办公、企业ERP系统等】业务内网【数据中心、灾备中心、核心业务等】生产、工业控制网络【调度、生产】报表平台基础系统CIF统一额度抵质押品管理管理信息系统外联系统管理会计CRMALMIRB绩效考核数据仓库(DW,DM,ODS)总帐业务处理系统资金财富管理现金管理国际业务基金托管票据债券代理衍生品企业年金信贷登记咨询系统人民币帐户管理系统外币帐户管理系统Dealing3000MUREXSWIFTCFETS(本外币)信贷管理个人外汇买卖贷款支付结算卡系统存款EAI数据总线MBFE网银ATM/POS电话银行柜台代收付票据交换证券代销中央国债综合业务系统财务管理人力资源央行征信系统个人结售汇系统银行IT系统架构示例示例示例示例通讯服务器发电用电输电变电配电RTURTURTU数据采集和传输应用服务器调度系统示意图50.0Hz49.850.2发电用电示例示例示例示例安全建设与信息化发展相融合目录一、重要行业信息化基本情况简介二、网络安全等级保护建设思路三、网络安全等级保护实践案例四、建设实践经验小结思路1：需求驱动，加固改造，缺什么补什么；思路2：进行总体安全建设整改规划，系统化、体系化设计思路；网络安全等级保护建设思路思路1：以某网站为例安全建设示例示例示例示例差距分析（基本要求+风险）选择基本安全措施评估特殊风险差距分析编制方案策略设计措施实施安全保护等级安全需求类第一级L(1，1)第二级L(1，2)，L(2，2)，L(2，1)第三级L(1，3)，L(2，3)，L(3，3)，L(3，2)，L(3，1)第四级L(1，4)，L(2，4)，L(3，4)，L(4，4)，L(4，3)，L(4，2)，L(4，1)第五级L(1，5)，L(2，5)，L(3，5)，L(4，5)，L(5，5)，L(5，4)，L(5，3)，L(5，2)，L(5，1)系统的安全保护等级：L(业务信息安全保护等级，系统服务安全保护等级)=Max(业务信息安全保护等级，系统服务安全保护等级)安全保护等级基本保护要求的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第五级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5应用层SQL注入身份冒用溢出攻击数据窃取传输窃听数据重放主机层弱口令系统漏洞病毒入侵资源占用黑客攻击网络层带宽资源滥用非法接入非法外联区域混乱协议攻击中间人攻击信息泄露物理层断电物理攻击非法进出盗窃火灾数据层篡改非法访问丢失泄露不可用计算环境边界网络通信安全管理缺乏组织缺乏流程人员安全意识不足缺乏过程控制缺乏专业技能缺乏安全监控管理不到位风险评估攻击思路与操作预攻击阶段攻击阶段后攻击阶段常规信息获取漏洞扫描搜索引擎社会工程学缓冲区溢出口令猜测应用攻击特洛伊木马嗅探密码破解信息收集端口扫描系统扫描应用扫描远程溢出本地溢出SQL注入跨站脚本CGI漏洞WEBSHELL系统后门Rootkit网页木马渗透测试主要安全问题（例）非工作时间出故障，应急响应不够迅速缺乏对数据安全的考虑，备份数据的保护措施弱防篡改系统防护能力差对主机及其应用防护较少网络结构简单，安全架构不完整应用程序和组件安全待加强SQL注入跨站漏洞链接注入应用关键风险20安全技术解决方案－计算环境保护信息采编子系统安管子系统信息审核及监管子系统冗灾子系统InternetWEB网页防篡改系统防病毒系统入侵检测系统入侵检测系统入侵检测系统信息发布子系统安全扫描系统示例示例示例示例安全技术解决方案－边界保护信息发布子系统信息采编子系统安管子系统信息审核及监管子系统冗灾子系统Internet在信息发布子系统边界部署防DOS攻击系统在各网络边界部署双机热备防火墙系统示例示例示例示例安全技术解决方案－支撑性基础设施信息采编子系统安管子系统信息审核及监管子系统冗灾子系统InternetWEB建立基于PKI的CA中心安全管理中心信息发布子系统示例示例示例示例安全技术解决方案－数据备份信息发布子系统信息采编子系统安管子系统信息审核及监管子系统冗灾子系统InternetSANSAN盘阵盘阵集中数据备份系统在各子系统分别建立数据备份系统同时建立异地冗灾系统示例示例示例示例思路2：系统化、体系化安全建设安全管理中心安全管理中心风险管理体系安全管理体系安全技术体系网络信任体系国家信息安全等级保护政策标准体系国家网络安全法律法规政策体系网络安全战略规划目标网络安全战略规划目标通信网络区域边界计算环境组织管理机制建设安全监测通报预警应急处置态势感知能力建设国家信息安全等级保护制度技术检测安全可控队伍建设教育培训经费保障安全规划网络安全综合防御体系网络基础设施、信息系统、大数据、物联网云平台、工控系统、移动互联网、智能设备等等级保护对象总体安全策略定级备案安全建设等级测评安全整改监督检查举例1：某部安全体系设计•管理体系•技术体系•运行体系安全管理中心•安全计算环境•安全区域边界•安全网络通信信息安全体系框架信息安全管理体系信息安全技术体系信息安全运行体系组织机构人员安全制度标准抗抵赖标识鉴别审计访问控制通信保护威胁检测弱点加固备份恢复数据保护密码技术决策-管理-执行-监督资源管理状态检测防恶技术物理技术意识-技能-职称-培训-考核方针策略-制度规范-流程表单监控监测内容安全日常运行管理配置管理变更管理问题管理事件管理风险管理监督检查介质管理环境管理应急响应运行监控审计安全管理中心制定发布评审修订录用离岗考核教育人员授权沟通检查岗位物理网络主机应用数据系统建设系统运维安全计算环境安全区域边界安全网络通信安全工作管理安全保护对象定级备案设计开发实施测试验收交付服务商信息安全体系安全目标、总体安全策略抗抵赖标识鉴别弱点加固密码技术状态检测防恶技术监控监测内容安全测评检查统一技术管理安全运维管理示例示例示例示例整体建设效果信息安全组织►健全安全组织►加强人员管理►提高安全意识信息安全制度►文件化方针、策略、要求、流程、规范►执行过程记录化信息安全运行以风险管理的理念和持续改进的模式为基础，涵盖系统运维和系统建设两大体系的安全管理运行。信息安全技术►多层次（数据、应用、系统、网络和物理）►全方位（认证、授权、审计、备份、恢复）身份认证访问控制监控审计备份恢复内容安全四级制度三级制度二级制度一级制度方针、策略制度、规范、流程指南、细则、指导书记录、表单组织意识制定遵从指导支持使用岗位职责流程举例2：某金融依据等级保护设计安全保障体系框架示例示例示例示例信息安全技术身份认证数据安全数据机密性保护数据恢复访问控制内容安全监控审计备份恢复数据防泄漏数据存储介质安全数据备份应用安全用户名密码数字证书CA应用程序访问控制数据库安全防护应用系统内置的授权管理系统安全系统安全内容的访问控制操作系统的安全特性网络安全物理安全IC卡监控摄像物理环境监控信息安全组织与人员管理信息安全组织架构信息安全角色与职责人员安全管理第三方安全管理安全教育与培训合作与沟通信息安全制度安全方针与准则安全标准与规范安全指南与细则信息安全运行信息安全治理安全战略规划安全合规遵从安全风险管理数据及文档安全管理物理环境安全管理设备管理网络安全管理系统安全管理安全监控恶意代码防范管理密码管理变更管理业务连续性管理响应与恢复信息安全审计项目立项安全管理产品采购与使用外包软件安全控制安全需求分析安全方案设计供应商选择自行软件开发实施安全控制系统安全检测和验收交付和运行防篡改技术加密技术SSL\PKIWEB防护技术源代码安全控制应用系统日志监控数据库安全审计应用程序、数据库的备份与复制统一信任平台用户名密码数字证书CA用户名密码数字证书CA一次性口令文件加密技术主机入侵防护HIPS主机恶意代码防范系统完整性审计系统安全审计主机安全扫描加固远程数据与日志备份本地数据与日志备份安全运营中心（日志审计、关联分析、结果呈现）链路、设备冗余磁盘阵列的数据备份防火墙VPN安全域网络接入控制统一威胁管理访问控制列表流量清洗Voip防护技术传输安全防病毒网关网络入侵防护NIPS防垃圾邮件网络安全扫描网络行为监控网络入侵检测协议分析网络设备监控生物特征机房安全介质安全建筑安全灾备中心办公环境安全系统运维安全管理系统建设安全管理文档权限管理安全保障框架•治理•组织•制度•技术•运行举例2：某金融依据等级保护设计安全保障体系框架示例示例示例示例密码术备份与容灾标识与鉴别系统保护检测监控访问控制审计跟踪数据安全信息安全技术控制人员第三方访问系统建设系统运维物理环境信息安全运作控制信息系统等级划分信息安全控制信息安全服务架构威胁与脆弱性管理服务容灾备份服务安全信息与事件管理服务身份及访问控制管理服务IT基础设施安全架构网络安全模型应用安全架构应用安全开发模型信息安全技术信息安全管理信息安全组织信息安全意识提升、技能培训和专业教育信息安全监督检查和改进响应恢复运行监控控制实施需求分析信息安全风险管理信息安全流程实施细则和操作规程管理办法标准规范信息安全制度角色模型领导角色协调角色分析角色运行角色信息安全管理架构为推广和落实信息安全控制架构建立了管理环境和流程基础。信息安全控制本身也是信息安全风险管理的成果。信息安全管理架构是实现信息安全技术架构的保障。信息安全技术架构实现的信息安全基础设施和服务反过来支持信息安全流程的改进和优化。信息安全控制对信息安全技术提出要求。信息安全技术是信息安全技术控制的物质实现。举例3：某企业依据等级保护设计安全体系框架示例示例示例示例1、安全建设要点依据《信息系统安全等级保护基本要求》参照《信息系统等级保护安全设计技术要求》引入“安全域”的概念，强化访问控制安全技术控制策略安全管理控制策略第一级系统安全保护环境第一级安全通信网络第一级安全区域边界第一级安全计算环境第二级系统安全保护环境第二级安全管理中心第二级安全通信网络第二级安全区域边界第二级安全计算环境第三级系