English日本語
安全规划建设思想
网络安全等级�；ぐ踩饩龉婊踩；は低炒影踩际�、、 、安全治理和安全运营三个维度进行设计。�；凇锻绨踩燃侗；ぐ踩杓萍际跻蟆罚℅B/T 25070-2019）安全防护理念，，，构建“纵深防御+自动防御+持续监测”安全防护系统。。
1) 纵深防御系统
“一个中心，，，三重防护”的纵深防御系统，，，即安全技术从安全推算环境、、 、安全区域天堑、、 、安全通讯网络和安全治理中心等方面进行构建。。
2) 自动防御系统
从整个等级�；ざ韵笕值慕嵌绕舫�，，，对分歧�；さ燃�、、 、分歧安全区域的信息系统执行统一的安全治理，，，即成立全网集中的统一安全治理平台。。结合IAWPDR2模型构建自主评估、、 、风险驱动、、 、实时预警、、 、动态防护、、 、安全检测、、 、实时响应于一体的自动防御闭环防护系统。。同时对整个等级�；ざ韵蟀踩榭龀中嗖�，，，实时感知安全态势。。
总体安全规划框架
本规划网络安全等级�；し阑た蚣苡杉际跸低�、、 、安全治理系统和安全运营系统三部门组成。。安全技术系统成立以推算环境安全为基础，，，以区域天堑安全、、 、通讯网络安全为保险，，，以安全治理中心为主题的信息安全整体保险系统；安全治理系统蕴含安全治理制度、、 、安全治理机构、、 、安全治理人员、、 、安全建设治理和安全运维治理五部门；在安全治理中心基础上，，，成立安全运营中心（安全运营系统），，，协调信息系统各个环节所选取的安全防护措施和安全治理身分，，，形成互有关联、、 、高度融合的安全防护平台，，，实现对安全事务的态势感知、、 、实时监测、、 、实时响应和综合防护，，，对网络系统安全防护系统的动态更新，，，降低安全风险，，，提升的信息安全监管能力。。
安全解决规划设计
安全技术规划
1) 安全通讯网络
安全通讯网络设计思路及重要思考的内容：：
? 清澈界说安全区域，，，划分出明确天堑的网络区域；
? 重要网络设备和链路冗余部署；
? 通讯传输加密。。
| 安全节制点 | 安全产品 | 技术措施 |
| 网络架构 | 上网行为治理平台 | 1、、 、干路设备、、 、天堑设备、、 、汇聚层以上的设备、、 、安全设备等设备机能冗余空间充足（路由器、、 、互换机和防火墙提供网络通讯职能的设备）； 2、、 、带宽在设计要求上满足需要上要有肯定比例的冗余； 3、、 、划分VLAN，，，合理分配IP； 4、、 、关键网络设备及安全设备要求冗余配置。。 |
| 负载平衡 | ||
| 通讯传输 | 新一代VPN综合网关（SAG） | 客户端到服务器、、 、服务器到服务器之间要使用VPN等通讯。。 |
| 商用密码机（国密）（SJJ） |
2) 安全区域天堑
安全通讯网络设计思路及重要思考的内容：：
? 明确区域间的安全天堑；
? 强化天堑安全防战术；
? 明确天堑安全防护设备；
? 天堑防护设备战术适当配置。。
| 安全节制点 | 对标产品 | 技术措施 |
| 天堑防护 | 防火墙、、 、安全网关 | 物理设备端口级接见节制。。 |
| 1）网络接入节制系统（NAC） | 1、、 、节制犯法联入内网（可使用安全设备满足或技术措施如MAC绑定）； 2、、 、节制犯法联入外网； 3、、 、无线网络通过受控的天堑设备接入内部网络。。 | |
| 2）内网安全风险治理与审计系统 | ||
| 3）网络犯法接入查抄系统 | ||
| 4）无线安全产品 | ||
| 接见节制 | 1）防火墙（FW） | 1、、 、天堑接见节制战术（网闸、、 、防火墙、、 、路由器和互换机等提供接见节制职能的设备）； 2、、 、对进出网络的数据流实现基于利用和谈和利用内容的接见节制。。 |
| 2）软件界说防火墙 | ||
| 3）NGFW | ||
| 4）USG一体化安全网关 | ||
| 入侵防备 | 1）异常流量治理与抗回绝服务系统（ADM） | 关键网络节点双向（外部提议攻击和内部提议攻击行为）网络攻击行为检测、、 、预防或限度。。 |
| 2）入侵防御系统（NGIPS） | ||
| 3）入侵检测与治理系统（IDS） | ||
| 4）USG一体化安全网关 | ||
| 高级持续性威胁检测系统（APT） | 实现对网络攻击出格是新型网络攻击行为的分析。。 | |
| 1）USG一体化安全网关 | 检测到攻击行为时纪录攻击信息，，，通过具体的攻击信息对攻击行为进行深度分析，，，实时作出响应。。 | |
| 2）入侵分析中心（DAC） | ||
| 恶意代码和垃圾邮件防备 | 1）入侵检测与治理系统（IDS） | 防御网络恶意代码。。 |
| 2）高级持续性威胁检测系统（APT） | ||
| 3）USG一体化安全网关 | ||
| 邮件安全治理系统 | 垃圾邮件进行检测和防护。。 | |
| 安全审计 | 网络综合审计系统（CA&GE） | 1、、 、综合安全审计系统启用日志职能； 2、、 、对审计纪录进行�；�，，，定期备份，，，预防受到未预期的删除、、 、批改或覆盖； 3、、 、对远程接见的用户行为、、 、接见互联网的用户行为等单独进行行为审计和数据分析。。 |
| 新一代日志审计系统（SA） |
3) 安全推算环境
推算环境建设重要针对网络安全设备（治理系统）、、 、服务器（操作系统、、 、数据库、、 、中央件）、、 、业务利用系统、、 、系统治理软件的安全参数配置和安全防护措施。。安全参数配置基于安全基线（操作系统安全加固手册、、 、数据库安全加固手册、、 、网络设备安全加固手册）实现，，，除设备层面的自身安全加固外，，，安全产品也可能提供肯定的安全防护措施。。
推算环境有关的安全产品涉及认证授权类、、 、日志审计类和检测防护类。。
| 安全节制点 | 对标产品 | 技术措施 |
| 身份甄别 | 1）安全加固（配置） | 1、、 、主机配置项：：设备设置登录认证职能；用户名不易被猜测，，，口令复杂度达到强密码要求（对象：：终端和服务器等设备中的操作系统、、 、数据库系统和中央件等系统软件及网络设备和安全设备）； 2、、 、主机启用设备自身战术：：密码战术、、 、用户治理、、 、登录失败处置职能，，，启用实现会话、、 、限度犯法登录次数和当登录衔接超时自动退出等有关措施； 3、、 、远程治理时，，，使用SSH、、 、HTTPS加密； 4、、 、双成分认证（用户名口令、、 、动态口令、、 、USBkey、、 、生物特点等甄别方式）。。 |
| 2）安全配置核查治理系统 | ||
| 3）弱口令核查系统 | ||
| 4）运维安全网关（OSM） | ||
| 5）利用安全管控系统 | ||
| 6）统一安全管控平台（4A） | ||
| 接见节制 | 1）安全加固（配置） | 1、、 、主机配置项：：登录的用户账户和权限合理分配； 2、、 、重定名或删除默认账户，，，批改默认账户的默认口令； 3、、 、实时删除或停用有余的、、 、过期的账户，，，预防共享账户的存在； 4、、 、最小权限，，，治理用户的权限分离（三权分立）； 5、、 、合理分配接见节制战术：：接见节制的粒度应达到主体为用户级或过程级，，，客体为文件、、 、数据库表级；设置安全象征。。 |
| 2）运维安全网关（OSM） | ||
| 3）利用安全管控系统（ASCG） | ||
| 4）数据库防火墙（OG） | ||
| 安全审计 | 1）安全加固（配置） | 启用安全审政战术。。 |
| 2）统一安全管控平台（4A） | 第三方治理软件开启日志审政战术。。 | |
| 3）运维安全网关（OSM） | ||
| 4）数据库审计系统（DA） | 通过安全审计类产品，，，统一对数据库、、 、利用系统、、 、设备的日志进行网络、、 、分析，，，日志至少保留6个月。。 | |
| 5）业务审计系统（BA） | ||
| 6）新一代日志审计系统（SA） | ||
| 入侵防备 | 1）安全加固（配置） | 1、、 、操作系统遵循最小装置准则，，，仅装置必要的组件和利用法式 2、、 、关闭不必要的系统服务、、 、默认共享和高危端口 3、、 、配置终端接入方式、、 、网络地址领域 4、、 、系统配置项（如登录对输入框输入的内容进行长度、、 、位数及复杂度验证等） 5、、 、实时发现并修复已知缝隙 6、、 、可能检测到对重要节点进行入侵的行为，，，并在产生严重入侵事务时提供报警。。 |
| 2）天清 WAG网页防篡改系统/天清汉马USG一体化安全网关 | ||
| 3）脆弱性扫描与治理系统 | ||
| 4）缝隙治理平台（VM） | ||
| 1）数据库防火墙（OG） | ||
| 2）Web利用安全网关 | ||
| 天珣端点检测与响应系统（EDR） | ||
| 恶意代码防备 | 1）网络防病毒系统 | 安全杀毒软件并实时更新库。。 |
| 2）端点检测与响应系统（EDR） | ||
| 数据保密性、、 、齐全性 | 1）安全加固（配置） | 业务系统使用HTTPS，，，SSL。。 |
| 2）网页防篡改系统（WAG-WS） | ||
| 3）电子签章系统（电子签章） 4）电子文档安整系统 | ||
| 数据备份复原 | 1）全量备份、、 、增量备份、、 、实时备份 | 数据备份（本地、、 、异地） 双活热备（三级要求） |
| 2）异地备份 | ||
| 3）实时数据库同步系统（RDS） | ||
| 渣滓信息�；� | 1）安全加固（配置） | 利用配置项、、 、数据脱敏 残留数据断根 |
| 2）数据库脱敏系统 | ||
| 小我信息�；� | 1）安全加固（配置） | 利用配置项 小我信息�；� |
4) 安全治理中心
安全治理中心设计思路及重要思考的内容：：
? 成立安全治理中心
部署集中管控平台，，，对系统的软硬件资产、、 、数据资产、、 、审计日志、、 、告警信息、、 、统计报表、、 、统一身份认证和授权等进行集中治理。。
? 身份统一治理
网络安全设备及推算设备的身份认证职能实现统一的、、 、支持令牌或证书的强身份认证。。
? 网络（安全）设备级战术统一治理
对网络设备运行情况、、 、机能监控，，，安全战术、、 、安全事务、、 、补丁升级等安全有关事项进行集中治理。。
? 日志集中治理
实现对网络安全设备及推算设备的集中审计，，，对安全事务进行分析、、 、鉴别、、 、纪录和存储，，，监控内外部活动。。
| 安全节制点 | 对标产品 | 技术措施 |
| 身份甄别 | 统一安全管控平台（4A） | 1、、 、治理员统一身份认证、、 、授权； 2、、 、安全审计 |
| 运维安全网关（OSM） | ||
| 新一代日志审计系统（SA） | ||
| 集中管控 | 1）集中监控治理系统（CM） | 1、、 、划分运维治理域，，，安全设备或安全组件集中治理； 2、、 、成立一条安全的信息传输蹊径； 3、、 、对网络链路、、 、安全设备、、 、网络设备和服务器等的运行情况进行集中监测； 4、、 、对分散在各个设备上的审计数据进行网络汇总和集中分析，，，并保障审计纪录的留存功夫6个月以上； 5、、 、对安全战术、、 、恶意代码、、 、补丁升级等安全有关事项进行集中治理； 6、、 、能对网络中产生的各类安全事务进行鉴别、、 、报警和分析。。 |
| 2）态势感知系统（CSA） | ||
| 3）新一代日志审计系统（SA） | ||
| 4）安全治理平台（USM） | ||
| 5）缝隙治理平台（VM） |
安全治理规划
安全技术措施的有效执行必要安全治理制度的助力，，，同样，，，安全治理制度 的落实也时时必要技术措施的支持，，，两者是相辅相成，，，互有关联。。网络安全等级�；ざ杂诘ピ踩贫认低车慕ㄉ枰蟛握樟� ISO 27001 的有关尺度，，，即安全治理制度系统自上而下分为信息安全方针、、 、安全战术、、 、安全治理制度、、 、安全技术规范、、 、操作流程及纪录表单，，，单元必要建设切合单元现实情况的治理制度系统，，，应覆盖物理、、 、网络、、 、主机系统、、 、数据、、 、利用、、 、建设和运维等治理内容，，，并对治理人员或操作人员执行的 日常治理操作成立操作规程。。
| 文件级别 | 分类 | 文件内容 |
| 一级文件 | 安全战术 | 安全战术总纲 |
| 二级文件 | 治理制度 | 治理制度制订、、 、颁布、、 、守护方面的治理制度 |
| 安全治理机构 | 安全组织及岗位职责治理制度 | |
| 授权审批类制度 | ||
| 安全审核和查抄制度 | ||
| …… | ||
| 安全治理人员 | 人员录用、、 、离岗、、 、查核等方面的治理制度 | |
| 人员安全教育和培训方面的治理制度 | ||
| 外部人员治理制度 | ||
| …… | ||
| 安全建设治理 | 工程执行过程治理方面的治理制度 | |
| 产品选型、、 、采购方面的治理制度 | ||
| 测试、、 、验收、、 、交付方面的治理制度 | ||
| 软件开发治理制度 | ||
| 代码编写安全规范 | ||
| 外包软件开发治理制度 | ||
| …… | ||
| 安全运维治理 | 办公环境治理制度 | |
| 机房安全治理制度 | ||
| 资产安全治理制度 | ||
| 介质安全治理制度 | ||
| 设备安全治理制度 | ||
| 网络系统安全治理制度 | ||
| 恶意代码防备治理制度 | ||
| 密码治理制度 | ||
| 配置治理制度 | ||
| 调换治理制度 | ||
| 备份与复原治理制度 | ||
| 安全事务治理制度 | ||
| 应急预案治理制度（蕴含各类专项应急预案） | ||
| …… | ||
| 三级文件 | 配置规范 | 网络/安全设备、、 、操作系统、、 、数据库等的配置基线 |
| 操作手册 | 利用软件设计法式文件 | |
| 软件使用指南 | ||
| 源代码注明文档 | ||
| 操作运维手册（流程表单、、 、执行步骤） | ||
| …… | ||
| 四级文件 | 纪录、、 、表单类 | 制度制、、 、订正纪录 |
| 各类审批纪录 | ||
| 培训纪录 | ||
| 会议纪录 | ||
| 安全查抄表、、 、安全查抄汇报等 | ||
| 安全治理岗位人员信息表 | ||
| 信息安全外联单元沟通合作联系表 | ||
| 保密和谈 | ||
| 关键岗位安全和谈 | ||
| 人员录用、、 、去职纪录 | ||
| 法式资源库的批改、、 、更新、、 、颁布进行授权审批纪录 | ||
| 工程执行规划 | ||
| 测试验收规划、、 、纪录等 | ||
| 安全测试汇报 | ||
| 交付清单 | ||
| 服务供给商合同、、 、和谈等 | ||
| 对服务供给商的安全查核纪录 | ||
| 外部人员接见登记审批表 | ||
| 外部人员接见登记纪录表 | ||
| 外部人员保密和谈 | ||
| 采购申请审批单 | ||
| 资产清单 | ||
| 等级�；ざ韵笞什ǚ仙昵氡� | ||
| 设备出门条 | ||
| 设备守护纪录表 | ||
| 信息安全事务汇报表 | ||
| 系统异常事务处置纪录 | ||
| 应急措置审批表 | ||
| 缝隙扫描、、 、风险评估汇报 | ||
| 恶意代码检测纪录、、 、病毒措置纪录 | ||
| 数据备份、、 、复原测试等纪录 | ||
| 日常运维表单、、 、纪录 | ||
| 系统调换规划、、 、审批纪录 | ||
| 应急演练、、 、培训纪录 | ||
| …… |
Copyright ? OG东方厅 版权所有 京ICP备05032414号 
京公网安备11010802024551号
