English日本語
安全规划建设思想
网络安全等级�；ぐ踩饩龉婊踩；は低炒影踩际酢踩卫砗桶踩擞鑫冉猩杓� �；凇锻绨踩燃侗；ぐ踩杓萍际跻蟆罚℅B/T 25070-2019）安全防护理想，构建“纵深防御+自动防御+持续监测”安全防护系统 。
1) 纵深防御系统
“一个中心，三沉防护”的纵深防御系统，即安全技术从安全推算环境、安全区域天堑、安全通讯网络和安全治理中心等方面进行构建 。
2) 自动防御系统
从整个等级�；ざ韵笕值慕嵌绕舫�，对分歧�；さ燃丁⒎制绨踩虻男畔⑾低持葱型骋坏陌踩卫�，即成立全网集中的统一安全治理平台 。结合IAWPDR2模型构建自主评估、风险驱动、实时预警、动态防护、安全检测、实时响应于一体的自动防御关环防护系统 。同时对整个等级�；ざ韵蟀踩榭龀中嗖�，实时感知安全态势 。
总体安全规划框架
本规划网络安全等级�；し阑た蚣苡杉际跸低场踩卫硐低澈桶踩擞低橙棵抛槌� 。安全技术系统成立以推算环境安全为基础，以区域天堑安全、通讯网络安全为保险，以安全治理中心为主题的信息安全整体保险系统；安全治理系统蕴含安全治理造度、安全治理机构、安全治理人员、安全建设治理和安全运维治理五部门；在安全治理中心基础上，成立安全运营中心（安全运营系统），协调信息系统各个环节所选取的安全防护措施和安全治理身分，形成互有关联、高度融合的安全防护平台，实现对安全事务的态势感知、实时监测、实时响应和综合防护，对网络系统安全防护系统的动态更新，降低安全风险，提升的信息安全监管能力 。
安全解决规划设计
安全技术规划
1) 安全通讯网络
安全通讯网络设计思路及重要思考的内容：
? 清澈界说安全区域，划分出明确天堑的网络区域；
? 重要网络设备和链路冗余部署；
? 通讯传输加密 。
| 安全节造点 | 安全产品 | 技术措施 |
| 网络架构 | 上网行为治理平台 | 1、干路设备、天堑设备、汇聚层以上的设备、安全设备等设备机能冗余空间充足（路由器、互换机和防火墙提供网络通讯职能的设备）； 2、带宽在设计要求上满足需要上要有肯定比例的冗余； 3、划分VLAN，合理分配IP； 4、关键网络设备及安全设备要求冗余配置 。 |
| 负载平衡 | ||
| 通讯传输 | 新一代VPN综合网关（SAG） | 客户端到服务器、服务器到服务器之间要使用VPN等通讯 。 |
| 商用密码机（国密）（SJJ） |
2) 安全区域天堑
安全通讯网络设计思路及重要思考的内容：
? 明确区域间的安全天堑；
? 强化天堑安全防战术；
? 明确天堑安全防护设备；
? 天堑防护设备战术适当配置 。
| 安全节造点 | 对标产品 | 技术措施 |
| 天堑防护 | 防火墙、安全网关 | 物理设备端口级接见节造 。 |
| 1）网络接入节造系统（NAC） | 1、节造犯法联入内网（可使用安全设备满足或技术措施如MAC绑定）； 2、节造犯法联入表网； 3、无线网络通过受控的天堑设备接入内部网络 。 | |
| 2）内网安全风险治理与审计系统 | ||
| 3）网络犯法接入查抄系统 | ||
| 4）无线安全产品 | ||
| 接见节造 | 1）防火墙（FW） | 1、天堑接见节造战术（网闸、防火墙、路由器和互换机等提供接见节造职能的设备）； 2、对进出网络的数据流实现基于利用和谈和利用内容的接见节造 。 |
| 2）软件界说防火墙 | ||
| 3）NGFW | ||
| 4）USG一体化安全网关 | ||
| 入侵防备 | 1）异常流量治理与抗回绝服务系统（ADM） | 关键网络节点双向（表部提议攻击和内部提议攻击行为）网络攻击行为检测、预防或限度 。 |
| 2）入侵防御系统（NGIPS） | ||
| 3）入侵检测与治理系统（IDS） | ||
| 4）USG一体化安全网关 | ||
| 高级持续性威胁检测系统（APT） | 实现对网络攻击出格是新型网络攻击行为的分析 。 | |
| 1）USG一体化安全网关 | 检测到攻击行为时纪录攻击信息，通过具体的攻击信息对攻击行为进行深度分析，实时作出响应 。 | |
| 2）入侵分析中心（DAC） | ||
| 恶意代码和垃圾邮件防备 | 1）入侵检测与治理系统（IDS） | 防御网络恶意代码 。 |
| 2）高级持续性威胁检测系统（APT） | ||
| 3）USG一体化安全网关 | ||
| 邮件安全治理系统 | 垃圾邮件进行检测和防护 。 | |
| 安全审计 | 网络综合审计系统（CA&GE） | 1、综合安全审计系统启用日志职能； 2、对审计纪录进行�；�，定期备份，预防受到未预期的删除、批改或覆盖； 3、对远程接见的用户行为、接见互联网的用户行为等单独进行行为审计和数据分析 。 |
| 新一代日志审计系统（SA） |
3) 安全推算环境
推算环境建设重要针对网络安全设备（治理系统）、服务器（操作系统、数据库、中央件）、业务利用系统、系统治理软件的安全参数配置和安全防护措施 。安全参数配置基于安全基线（操作系统安全加固手册、数据库安全加固手册、网络设备安全加固手册）实现，除设备层面的自身安全加固表，安全产品也可能提供肯定的安全防护措施 。
推算环境有关的安全产品涉及认证授权类、日志审计类和检测防护类 。
| 安全节造点 | 对标产品 | 技术措施 |
| 身份甄别 | 1）安全加固（配置） | 1、主机配置项：设备设置登录认证职能；用户名不易被猜测，口令复杂度达到强密码要求（对象：终端和服务器等设备中的操作系统、数据库系统和中央件等系统软件及网络设备和安全设备）； 2、主机启用设备自身战术：密码战术、用户治理、登录失败处置职能，启用实现会话、限度犯法登录次数和当登录衔接超时自动退出等有关措施； 3、远程治理时，使用SSH、HTTPS加密； 4、双成分认证（用户名口令、动态口令、USBkey、生物特点等甄别方式） 。 |
| 2）安全配置核查治理系统 | ||
| 3）弱口令核查系统 | ||
| 4）运维安全网关（OSM） | ||
| 5）利用安全管控系统 | ||
| 6）统一安全管控平台（4A） | ||
| 接见节造 | 1）安全加固（配置） | 1、主机配置项：登录的用户账户和权限合理分配； 2、沉定名或删除默认账户，批改默认账户的默认口令； 3、实时删除或停用有余的、过期的账户，预防共享账户的存在； 4、最幼权限，治理用户的权限分离（三权分立）； 5、合理分配接见节造战术：接见节造的粒杜爪达到主体为用户级或过程级，客体为文件、数据库表级；设置安全象征 。 |
| 2）运维安全网关（OSM） | ||
| 3）利用安全管控系统（ASCG） | ||
| 4）数据库防火墙（OG） | ||
| 安全审计 | 1）安全加固（配置） | 启用安全审政战术 。 |
| 2）统一安全管控平台（4A） | 第三方治理软件开启日志审政战术 。 | |
| 3）运维安全网关（OSM） | ||
| 4）数据库审计系统（DA） | 通过安全审计类产品，统一对数据库、利用系统、设备的日志进行网络、分析，日志至少保留6个月 。 | |
| 5）业务审计系统（BA） | ||
| 6）新一代日志审计系统（SA） | ||
| 入侵防备 | 1）安全加固（配置） | 1、操作系统遵循最幼装置准则，仅装置必要的组件和利用法式 2、关关不必要的系统服务、默认共享和高危端口 3、配置终端接入方式、网络地址领域 4、系统配置项（如登录对输入框输入的内容进行长度、位数及复杂度验证等） 5、实时发现并建复已知缝隙 6、可能检测到对沉要节点进行入侵的行为，并在产生严沉入侵事务时提供报警 。 |
| 2）天清 WAG网页防篡改系统/天清汉马USG一体化安全网关 | ||
| 3）脆弱性扫描与治理系统 | ||
| 4）缝隙治理平台（VM） | ||
| 1）数据库防火墙（OG） | ||
| 2）Web利用安全网关 | ||
| 天珣端点检测与响应系统（EDR） | ||
| 恶意代码防备 | 1）网络防病毒系统 | 安全杀毒软件并实时更新库 。 |
| 2）端点检测与响应系统（EDR） | ||
| 数据保密性、齐全性 | 1）安全加固（配置） | 业务系统使用HTTPS，SSL 。 |
| 2）网页防篡改系统（WAG-WS） | ||
| 3）电子签章系统（电子签章） 4）电子文档安整系统 | ||
| 数据备份复原 | 1）全量备份、增量备份、实时备份 | 数据备份（本地、异地） 双活热备（三级要求） |
| 2）异地备份 | ||
| 3）实时数据库同步系统（RDS） | ||
| 渣滓信息�；� | 1）安全加固（配置） | 利用配置项、数据脱敏 残留数据断根 |
| 2）数据库脱敏系统 | ||
| 幼我信息�；� | 1）安全加固（配置） | 利用配置项 幼我信息�；� |
4) 安全治理中心
安全治理中心设计思路及重要思考的内容：
? 成立安全治理中心
部署集中管控平台，对系统的软硬件资产、数据资产、审计日志、告警信息、统计报表、统一身份认证和授权等进行集中治理 。
? 身份统一治理
网络安全设备及推算设备的身份认证职能实现统一的、支持令牌或证书的强身份认证 。
? 网络（安全）设备级战术统一治理
对网络设备运行情况、机能监控，安全战术、安全事务、补丁升级等安全有关事项进行集中治理 。
? 日志集中治理
实现对网络安全设备及推算设备的集中审计，对安全事务进行分析、鉴别、纪录和存储，监控内表部活动 。
| 安全节造点 | 对标产品 | 技术措施 |
| 身份甄别 | 统一安全管控平台（4A） | 1、治理员统一身份认证、授权； 2、安全审计 |
| 运维安全网关（OSM） | ||
| 新一代日志审计系统（SA） | ||
| 集中管控 | 1）集中监控治理系统（CM） | 1、划分运维治理域，安全设备或安全组件集中治理； 2、成立一条安全的信息传输蹊径； 3、对网络链路、安全设备、网络设备和服务器等的运行情况进行集中监测； 4、对分散在各个设备上的审计数据进行网络汇总和集中分析，并保障审计纪录的留存功夫6个月以上； 5、对安全战术、恶意代码、补丁升级等安全有关事项进行集中治理； 6、能对网络中产生的各类安全事务进行鉴别、报警和分析 。 |
| 2）态势感知系统（CSA） | ||
| 3）新一代日志审计系统（SA） | ||
| 4）安全治理平台（USM） | ||
| 5）缝隙治理平台（VM） |
安全治理规划
安全技术措施的有效执行必要安全治理造度的助力，同样，安全治理造度 的落实也时时必要技术措施的支持，两者是相辅相成，互有关联 。网络安全等级�；ざ杂诘ピ踩於认低车慕ㄉ枰蟛握樟� ISO 27001 的有关尺度，即安全治理造度系统自上而下分为信息安全方针、安全战术、安全治理造度、安全技术规范、操作流程及纪录表单，单元必要建设切合单元现实情况的治理造度系统，应覆盖物理、网络、主机系统、数据、利用、建设和运维等治理内容，并对治理人员或操作人员执行的 日常治理操作成立操作规程 。
| 文件级别 | 分类 | 文件内容 |
| 一级文件 | 安全战术 | 安全战术总纲 |
| 二级文件 | 治理造度 | 治理造度造订、颁布、守护方面的治理造度 |
| 安全治理机构 | 安全组织及岗位职责治理造度 | |
| 授权审批类造度 | ||
| 安全审核和查抄造度 | ||
| …… | ||
| 安全治理人员 | 人员录用、离岗、查核等方面的治理造度 | |
| 人员安全教育和培训方面的治理造度 | ||
| 表部人员治理造度 | ||
| …… | ||
| 安全建设治理 | 工程执行过程治理方面的治理造度 | |
| 产品选型、采购方面的治理造度 | ||
| 测试、验收、交付方面的治理造度 | ||
| 软件开发治理造度 | ||
| 代码编写安全规范 | ||
| 表包软件开发治理造度 | ||
| …… | ||
| 安全运维治理 | 办公环境治理造度 | |
| 机房安全治理造度 | ||
| 资产安全治理造度 | ||
| 介质安全治理造度 | ||
| 设备安全治理造度 | ||
| 网络系统安全治理造度 | ||
| 恶意代码防备治理造度 | ||
| 密码治理造度 | ||
| 配置治理造度 | ||
| 调换治理造度 | ||
| 备份与复原治理造度 | ||
| 安全事务治理造度 | ||
| 应急预案治理造度（蕴含各类专项应急预案） | ||
| …… | ||
| 三级文件 | 配置规范 | 网络/安全设备、操作系统、数据库等的配置基线 |
| 操作手册 | 利用软件设计法式文件 | |
| 软件使用指南 | ||
| 源代码注明文档 | ||
| 操作运维手册（流程表单、执行步骤） | ||
| …… | ||
| 四级文件 | 纪录、表单类 | 造度造、订正纪录 |
| 各类审批纪录 | ||
| 培训纪录 | ||
| 会议纪录 | ||
| 安全查抄表、安全查抄汇报等 | ||
| 安全治理岗位人员信息表 | ||
| 信息安全表联单元沟通合作联系表 | ||
| 保密和谈 | ||
| 关键岗位安全和谈 | ||
| 人员录用、去职纪录 | ||
| 法式资源库的批改、更新、颁布进行授权审批纪录 | ||
| 工程执行规划 | ||
| 测试验收规划、纪录等 | ||
| 安全测试汇报 | ||
| 交付清单 | ||
| 服务供给商合同、和谈等 | ||
| 对服务供给商的安全查核纪录 | ||
| 表部人员接见登记审批表 | ||
| 表部人员接见登记纪录表 | ||
| 表部人员保密和谈 | ||
| 采购申请审批单 | ||
| 资产清单 | ||
| 等级�；ざ韵笞什ǚ仙昵氡� | ||
| 设备出门条 | ||
| 设备守护纪录表 | ||
| 信息安全事务汇报表 | ||
| 系统异常事务处置纪录 | ||
| 应急措置审批表 | ||
| 缝隙扫描、风险评估汇报 | ||
| 恶意代码检测纪录、病毒措置纪录 | ||
| 数据备份、复原测试等纪录 | ||
| 日常运维表单、纪录 | ||
| 系统调换规划、审批纪录 | ||
| 应急演练、培训纪录 | ||
| …… |
Copyright ? GA黄金甲 版权所有 京ICP备05032414号 
京公网安备11010802024551号
