信息安全等级保护技术交流材料

信息安全等级保护技术11提纲等级保护总体介绍2等级保护定级介绍1等级保护设计实施3等级保护系统测评42什么是信息安全等级保护信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。－－《信息安全等级保护管理办法（试行）》3等级保护的政策法规《中华人民共和国计算机信息系统安全保护条例》（1994年）其中规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”信息系统安全等级保护的政策法规《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）《信息安全等级保护管理办法》（公通字[2007]43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）《关于印发北京市开展信息安全等级保护工作的实施方案的通知》(京公网监字[2007]788号)4等级保护的技术标准和管理规范基础标准：《计算机信息系统安全等级保护划分准则》（GB17859）基线标准：《信息系统安全等级保护基本要求》（国标报批稿）辅助标准：《信息系统安全等级保护定级指南》（国标报批稿）《信息系统安全等级保护实施指南》（国标报批稿）《信息系统安全等级保护测评要求》（国标报批稿）目标标准：《信息系统通用安全技术要求》（GB/T20271）《网络基础安全技术要求》（GB/T20270）《操作系统安全技术要求》（GB/T20272）《数据库管理系统安全技术要求》（GB/T20273）《终端计算机系统安全等级技术要求》（GA/T671）《信息系统安全管理要求》（GB/T20269）《信息系统安全工程管理要求》（GB/T20282）5技术标准和管理规范的作用技术标准和管理规范信息系统定级信息系统安全建设或改建安全状况达到等级保护要求的信息系统6等级变更局部调整信息系统定级总体安全规划安全设计与实施安全运行维护信息系统终止信息系统安全等级保护流程安全等级评测7标准规范在等级保护流程中的作用安全控制定级指南过程方法确定系统等级启动采购/开发实施运行/维护废弃确定安全需求设计安全方案安全建设安全测评监督管理运行维护暂不考虑特殊需求等级需求基本要求产品使用选型监督管理测评准则流程方法监管流程应急预案应急响应8三种受侵害的客体体现了三种不同层次、不同覆盖范围的社会关系国家安全体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全和资源环境安全等方面利益。社会秩序和公共利益包括社会的政治、经济、生产、生活、科研、工作等各方面的正常秩序。公共利益是指不特定的社会成员所共同享有的，维持其生产、生活、教育、卫生等方面的利益。合法权益是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益，三类受侵害客体9定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级10安全保护等级的划分等级对象侵害客体侵害程度监管强度第一级合法权益损害自主保护合法权益严重损害第二级一般系统社会秩序和公共利益损害指导社会秩序和公共利益严重损害第三级国家安全损害监督检查社会秩序和公共利益特别严重损害第四级重要系统国家安全严重损害强制监督检查第五级极端重要系统国家安全特别严重损害专门监督检查1111提纲等级保护总体介绍1等级保护定级介绍等级保护设计实施32等级保护系统测评412信息系统安全保护等级定级原则等级确定原则和要求“自主定级、自主保护”与国家监管相统一原则“谁主管谁负责，谁运营谁负责”的原则定级工作的要求•加强领导，落实保障•明确责任，密切配合•动员部署，开展培训•及时总结，提出建议13S类—业务信息安全保护类，关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改A类—系统服务安全保护类，关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用G类—通用安全保护类，既关注保护业务信息的安全性，同时也关注保护系统的连续可用性例如，以S2表示2级的业务信息安全保护类要求，A3表示3级的系统服务安全保护类要求。信息系统三类要求14信息系统三类要求之间的关系通用安全保护类要求（G）业务信息安全类（S）系统服务保证类（A）安全要求15信息系统安全保护等级的确定1、确定定级对象3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体4、业务信息安全等级6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级8、定级对象的安全保护等级16安全保护和系统定级的关系安全等级信息系统保护要求的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4定级指南要求按照“业务信息”和“系统服务”的需求确定整个系统的安全保护等级系统的安全保护等级=L(信息等级，服务等级)=Max(信息等级，服务等级）例如：L(3,1)=L(3,2)=L(3,3)=L(1,3)=L(2,3)=31717提纲等级保护总体介绍1等级保护定级介绍等级保护设计实施23等级保护系统测评418《基本要求》的作用安全保护能力基本安全要求每个等级的信息系统基本技术措施基本管理措施具备包含包含满足满足实现19《基本要求》核心思路信息系统技术要求管理要求基本要求建立安全技术体系建立安全管理体系具有某级安全保护能力的系统20各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统防护防护/监测策略/防护/监测/恢复策略/防护/监测/恢复/响应21各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统通信/边界（基本）通信/边界/内部（关键设备）通信/边界/内部（主要设备）通信/边界/内部/基础设施（所有设备）22各级系统的保护管理要求差异（宏观）一级系统二级系统三级系统四级系统计划和跟踪（主要制度）计划和跟踪（主要制度）良好定义（管理活动制度化）持续改进（管理活动制度化/及时改进）23各级系统的保护要求差异（微观）信息系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理24各级系统安全保护要求-物理安全控制点一级二级三级四级物理位置的选择***物理访问控制****防盗窃和防破坏****防雷击****防火****防水和防潮****防静电***温湿度控制****电力供应****电磁防护***合计710101025各级系统安全保护要求-物理安全一级物理安全要求：主要要求对物理环境进行基本的防护，对出入进行基本控制，环境安全能够对自然威胁进行基本的防护，电力则要求提供供电电压的正常。二级物理安全要求：对物理安全进行了进一步的防护，不仅对出入进行基本的控制，对进入后的活动也要进行控制；物理环境方面，则加强了各方面的防护，采取更细的要求来多方面进行防护。三级物理安全要求：对出入加强了控制，做到人、电子设备共同监控；物理环境方面，进一步采取各种控制措施来进行防护。如，防火要求，不仅要求自动消防系统，而且要求区域隔离防火，建筑材料防火等方面，将防火的范围增大，从而使火灾发生的几率和损失降低。四级物理安全要求：对机房出入的要求进一步增强，要求多道电子设备监控；物理环境方面，要求采用一定的防护设备进行防护，如静电消除装置等。26各级系统安全保护要求-网络安全控制点一级二级三级四级结构安全****访问控制****安全审计***边界完整性检查***入侵防范***恶意代码防范**网络设备防护****合计367727各级系统安全保护要求-网络安全一级网络安全要求：主要提供网络安全运行的基本保障，包括网络结构能够基本满足业务运行需要，网络边界处对进出的数据包头进行基本过滤等访问控制措施。二级网络安全要求：不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力要满足业务极限时的需要。对网络边界的访问控制粒度进一步增强。同时，加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点。对网络设备的防护不仅局限于简单的身份鉴别，同时对标识和鉴别信息都有了相应的要求。三级网络安全要求：对网络处理能力增加了“优先级”考虑，保证重要主机能够在网络拥堵时仍能够正常运行；网络边界的访问控制扩展到应用层，网络边界的其他防护措施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等。网络设备的防护手段要求两种身份鉴别技术综合使用。四级网络安全要求：对网络边界的访问控制做出了更为严格的要求，禁止远程拨号访问，不允许数据带通用协议通过；边界的其他防护措施也加强了要求。网络安全审计着眼于全局，做到集中审计分析，以便得到更多的综合信息。网络设备的防护，在身份鉴别手段上除要求两种技术外，其中一种鉴别技术必须是不可伪造的，进一步加强了对网络设备的防护。28网络安全程度说明结构安全：1级提供基本保障；2级要满足高峰需要并以网段形式分隔；3级增加优先级保障重要主机；4级同3级访问控制：1级进行包头信息的过滤；2级根据会话过滤、粒度细化、限制访问用户数量；3级过滤粒度扩展到了应用层，对设备接入网络进行控制；4级对数据协议以及敏感标记进行控制，禁止远程拨号访问安全审计：2级记录设备运行和网络流量；3级要求分析形成报表、保护审计记录；4级设置审计跟踪极限阈值，做到集中审计。（其中要求发出报警、阻断工作）29网络安全程度说明边界完整性检查：2级检测到内部的非法联出情况；3级能够准确定位并阻断；4级同3级入侵防范：2级能够检测常见攻击的发生；3级能发出报警；4级自动采取相应动作阻断恶意代码防范：3级、4级在网络边界处防范恶意代码，并保持代码库的及时更新网络设备防护：1级基本的登录鉴别；2级鉴别标识唯一、鉴别信息复杂；3级两种以上鉴别技术，特权用户权限分离；4级其中一种鉴别技术为是不可伪造的30各级系统安全保护要求-主机安全控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路径*安全审计***剩余信息保护**入侵防范****恶意代码防范****资源控制***合计467931各级系统安全保护要求-主机安全一级主机系统安全要求：对主机进行基本的防护，要求主机做到简单的身份鉴别，粗粒度的访问控制以及重要主机能够进行恶意代码防范。二级主机系统安全要求：在控制点上增加了安全审计和资源控制等。同时，对身份鉴别和访问控制都进一步加强，鉴别的标识、信息等都提出了具体的要求；访问控制的粒度进行了细化等，恶意代码增加了统一管理等。三级主机系统安全要求：在控制点上增加了剩余信息保护，即，访问控制增加了设置敏感标记等，力度变强。同样，身份鉴别的力度进一步增强，要求两种以上鉴别技术同时使用。安全审计已不满足于对安全事件的记录，而要进行分析、生成报表。对恶意代码的防范综合考虑网络上的防范措施，做到二者相互补充。对资源控制的增加了对服务器的监视和最小服务水平的监测和报警等。四级主机系统安全要求：在控制点上增加了安全标记和可信路径，其他控制点在强度上也分别增强，如，身份鉴别要求使用不可伪造的鉴别技术，访问控制要求部分按照强制访问控制的力度实现，安全审计能够做到统一集中审计等。32各级系统安全保护要求-应用安全控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路经*安全审计***剩余信息保护**通信完整性****通信保密性***抗抵赖**软件容错****资源控制***合计47911