計算機信息系統(tǒng)分級保護方案.doc

《計算機信息系統(tǒng)分級保護方案.doc》由會員分享，可在線閱讀，更多相關(guān)《計算機信息系統(tǒng)分級保護方案.doc（22頁珍藏版）》請在裝配圖網(wǎng)上搜索。

方案 1系統(tǒng)總體部署 （1）涉密信息系統(tǒng)的組網(wǎng)模式為：服務器區(qū)、安全管理區(qū)、終端區(qū)共同連接至核心交換機上，組成類似于星型結(jié)構(gòu)的網(wǎng)絡模式，參照TCP/IP網(wǎng)絡模型建立。核心交換機上配置三層網(wǎng)關(guān)并劃分Vlan，在服務器安全訪問控制中間件以及防火墻上啟用橋接模式，核心交換機、服務器安全訪問控制中間件以及防火墻上設置安全訪問控制策略（ACL），禁止部門間Vlan互訪，允許部門Vlan與服務器Vlan通信。核心交換機鏡像數(shù)據(jù)至入侵檢測系統(tǒng)以及網(wǎng)絡安全審計系統(tǒng)；服務器區(qū)包含原有應用系統(tǒng)；安全管理區(qū)包含網(wǎng)絡防病毒系統(tǒng)、主機監(jiān)控與審計系統(tǒng)、windows域控及WSUS補丁分發(fā)系統(tǒng)、身份認證系統(tǒng)；終端區(qū)分包含所有業(yè)務部門。 服務器安全訪問控制中間件防護的應用系統(tǒng)有：XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX系統(tǒng)、。 防火墻防護的應用系統(tǒng)有：XXX、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX系統(tǒng)。 （2）郵件系統(tǒng)的作用是：進行信息的駐留轉(zhuǎn)發(fā)，實現(xiàn)點到點的非實時通信。完成集團內(nèi)部的公文流轉(zhuǎn)以及協(xié)同工作。使用25、110端口，使用SMTP協(xié)議以及POP3協(xié)議，內(nèi)網(wǎng)終端使用C/S模式登錄郵件系統(tǒng)。 將內(nèi)網(wǎng)用戶使用的郵件賬號在服務器群組安全訪問控制中間件中劃分到不同的用戶組，針對不同的用戶組設置安全級別，安全級別分為1-7級，可根據(jù)實際需求設置相應的級別。1-7級的安全層次為：1級最低級，7級最高級，由1到7逐級增高。即低密級用戶可以向高密級用戶發(fā)送郵件，高密級用戶不得向低密級用戶發(fā)送，保證信息流向的正確性，防止高密數(shù)據(jù)流向低密用戶。 （3）針對物理風險，采取紅外對射、紅外報警、視頻監(jiān)控以及門禁系統(tǒng)進行防護。針對電磁泄射，采取線路干擾儀、視頻干擾儀以及紅黑電源隔離插座進行防護。 2 物理安全防護 總體物理安全防護設計如下： （1）周邊環(huán)境安全控制 ①XXX側(cè)和XXX側(cè)部署紅外對射和入侵報警系統(tǒng)。 ②部署視頻監(jiān)控，建立安防監(jiān)控中心，重點部位實時監(jiān)控。 具體部署見下表： 表1-1 周邊安全建設 序號 保護部位 現(xiàn)有防護措施 需新增防護措施 1 人員出入通道 2 物資出入通道 3 南側(cè) 4 西側(cè) 5 東側(cè) 6 北側(cè) （2）要害部門部位安全控制 增加電子門禁系統(tǒng)，采用智能IC卡和口令相結(jié)合的管理方式。具體防護措施如下表所示： 表1-2 要害部門部位安全建設 序號 保護部門 出入口控制 現(xiàn)有安全措施 新增安全措施 1 門鎖/登記/ 24H警衛(wèi)值班 2 門鎖 3 門鎖 4 門鎖 5 門鎖/登記 6 門鎖/登記 7 門鎖/登記 8 門鎖/登記 9 機房出入登記 10 門鎖 （3）電磁泄漏防護 建設內(nèi)容包括： ①為使用非屏蔽雙絞線的鏈路加裝線路干擾儀。 ②為涉密信息系統(tǒng)內(nèi)的終端和服務器安裝紅黑電源隔離插座。 ③為視頻信號電磁泄漏風險較大的終端安裝視頻干擾儀。 通過以上建設，配合《安防管理制度》以及《電磁泄漏防護管理制度》，使得達到物理安全防范到位、重要視頻監(jiān)控無死角、進出人員管理有序、實體入侵報警響應及時以及電磁泄漏信號無法捕捉、無法還原。 2.1 紅外對射 （1）部署 增加紅外對射裝置，防護邊界，具體部署位置如下表： 表1-1 紅外對射部署統(tǒng)計表 序號 部署位置 數(shù)量（對） 1 東圍墻 2 北圍墻 3 合計 部署方式如下圖所示： 圖1-2 紅外對射設備 設備成對出現(xiàn)，在安裝地點雙向?qū)χ?，調(diào)整至相同水平位置。 （2）第一次運行策略 紅外對射24小時不間斷運行，當有物體通過，光線被遮擋，接收機信號發(fā)生變化，放大處理后報警。設置合適的響應時間，以10米/秒的速度來確定最短遮光時間；設置人的寬度為20厘米，則最短遮斷時間為20毫秒，大于20毫秒報警，小于20毫秒不報警。 （3）設備管理及策略 紅外對射設備由公安處負責管理，實時監(jiān)測設備運行情況及設備相應情況，定期對設備及傳輸線路進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決重點部位監(jiān)控及區(qū)域控制相關(guān)風險。 2.2 紅外報警 （1）部署 增加紅外報警裝置，對保密要害部位實體入侵風險進行防護、報警，具體部署位置如下表： 表1-2 紅外報警部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 2 3 4 合計 設備形態(tài)如下圖所示： 圖1-3 紅外報警設備 部署在兩處房間墻壁角落，安裝高度距離地面2.0-2.2米。 （2）第一次運行策略 紅外報警24小時不間斷運行，設置檢測37℃特征性10μm波長的紅外線，遠離空調(diào)、暖氣等空氣溫度變化敏感的地方，不間隔屏、家具或其他隔離物，不直對窗口，防止窗外的熱氣流擾動和人員走動會引起誤報。 （3）設備管理及策略 紅外報警設備由公安處負責管理，監(jiān)測設備運行情況及設備相應情況，定期對設備進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決重點部位監(jiān)控及區(qū)域控制相關(guān)風險。 2.3 視頻監(jiān)控 （1）部署 增加視頻監(jiān)控裝置，對周界、保密要害部門部位的人員出入情況進行實時監(jiān)控，具體部署位置如下表： 表1-3 視頻監(jiān)控部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 2 3 4 5 6 7 8 合計 設備形態(tài)如下圖所示： 圖1-4 視頻監(jiān)控設備 視頻監(jiān)控在室外采用云臺槍機式設備，室內(nèi)采用半球式設備，部署在房間墻壁角落，覆蓋門窗及重點區(qū)域。 增加32路嵌入式硬盤錄像機一臺，用于對視頻采集信息的收集和壓縮存檔。設備形態(tài)如下圖所示： 圖1-5 硬盤錄像機 （2）第一次運行策略 視頻監(jiān)控24小時不間斷運行，設置視頻采集格式為MPEG-4，顯示分辨率768*576，存儲、回放分辨率384*288。 （3）設備管理及策略 視頻監(jiān)控設備由公安處負責管理，實時監(jiān)測設備運行情況及設備相應情況，定期對設備及傳輸線路進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決重點部位監(jiān)控及區(qū)域控制相關(guān)風險。 2.4 門禁系統(tǒng) （1）部署 增加門禁系統(tǒng)，對保密要害部門部位人員出入情況進行控制，并記錄日志，具體部署位置如下表： 表1-4 門禁系統(tǒng)部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 2 3 4 5 6 7 8 9 10 11 合計 部署示意圖如下圖所示： 圖1-6 門禁系統(tǒng)部署方式 （2）第一次運行策略 對每個通道設置權(quán)限，制作門禁卡，對可以進出該通道的人進行進出方式的授權(quán)，采取密碼+讀卡方式；設置可以通過該通道的人在什么時間范圍內(nèi)可以進出；實時提供每個門區(qū)人員的進出情況、每個門區(qū)的狀態(tài)（包括門的開關(guān)，各種非正常狀態(tài)報警等），設置在緊急狀態(tài)打開或關(guān)閉所有門區(qū)的功能；設置防尾隨功能。 （3）設備管理及策略 門禁系統(tǒng)由公安處負責管理，定期監(jiān)測設備運行情況及設備相應情況，對設備及傳輸線路進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決重點部位監(jiān)控及區(qū)域控制相關(guān)風險。 2.5 線路干擾儀 （1）部署 增加8口線路干擾儀，防護傳輸數(shù)據(jù)沿網(wǎng)線以電磁傳導、輻射發(fā)射、耦合等方式泄漏的情況。將從交換機引至其布線最遠端以及次遠端的線纜插接至線路干擾儀，并由線路干擾儀連接至最遠端和次遠端，將該設備進行接地處理。 具體部署位置如下表： 表1-6 線路干擾儀部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 2 3 合計 設備形態(tài)如下圖所示： 圖1-11 線路干擾儀設備 （2）第一次運行策略 在網(wǎng)線中一對空線對上注入偽隨機寬帶掃頻加擾信號, 使之能跟隨其他三對網(wǎng)線上的信號并行傳輸?shù)搅硪唤K端；竊密者若再從網(wǎng)線或其他與網(wǎng)絡干線相平行的導線（如電話線及電源線等）上竊取信息，實際上所竊得的僅是已被加擾信號充分湮沒了的混合信號。 （3）設備管理及策略 線路干擾儀由信息中心負責管理，對設備編號、標識密級、擺放、調(diào)測、定期對設備及傳輸線路進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決傳輸線路的電磁泄漏發(fā)射防護相關(guān)風險。 2.6 視頻干擾儀 （1）部署 增加視頻干擾儀，防止對涉密終端視頻信息的竊取，對XXX號樓存在的涉密終端部署，將該設備進行接地處理。、 具體部署位置如下表： 表1-7 視頻干擾儀部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 2 3 11 合計 設備形態(tài)如下圖所示： 圖1-12 視頻干擾儀設備 （2）第一次運行策略 設置設備運行頻率為1000?MHz。 （3）設備管理及策略 視頻干擾儀由信息中心負責管理，監(jiān)測設備運行情況及設備相應情況，定期對設備進行檢查、維護，并定期向保密辦提交設備運維報告。 （4）部署后解決的風險 解決信息設備的電磁泄漏發(fā)射防護相關(guān)風險。 2.7 紅黑電源隔離插座 （1）部署 增加紅黑電源隔離插座，防護電源電磁泄漏，連接的紅黑電源需要進行接地處理。 具體部署位置如下表： 表1-8 紅黑電源部署統(tǒng)計表 序號 部署位置 數(shù)量（個） 1 涉密終端 2 服務器 3 UPS 4 合計 產(chǎn)品形態(tài)如下圖所示： 圖1-13 紅黑電源隔離插座 （2）運行維護策略 要求所有涉密機均直接連接至紅黑電源上，紅黑電源上不得插接其他設備。安裝在涉密終端及涉密單機的紅黑隔離電源由使用者維護，安裝在服務器的由信息中心維護，出現(xiàn)問題向保密辦報告。 （4）部署后解決的風險 解決信息設備的電磁泄漏發(fā)射防護相關(guān)風險。 3 網(wǎng)絡安全防護 3.1 網(wǎng)閘 使用1臺網(wǎng)閘連接主中心以及從屬中心，用于安全隔離及信息交換。 （1）部署 部署1臺網(wǎng)閘于主中心及從屬中心核心交換機之間，做單向訪問控制與信息交互。設備啟用路由模式，通過路由轉(zhuǎn)發(fā)連接主中心以及從屬中心，從物理層到應用層終結(jié)所有的協(xié)議包，還原成原始應用數(shù)據(jù)，以完全私有的方式傳遞到另一個網(wǎng)絡，主中心以及從屬中心之間在任一時刻點上都不產(chǎn)生直接的物理連通。部署拓撲示意圖如下： 圖1-8 網(wǎng)閘部署拓撲示意圖 （2）第一次運行策略 配置從屬中心訪問主中心的權(quán)限，允許從屬中心特定地址訪問主中心所有服務器，允許其他地址訪問公司內(nèi)部門戶以及人力資源系統(tǒng)，配置訪問內(nèi)部門戶SQL server數(shù)據(jù)庫服務器，禁止其他所有訪問方式。配置網(wǎng)閘病毒掃描，對流經(jīng)網(wǎng)閘設備數(shù)據(jù)進行病毒安全掃描。配置系統(tǒng)使用Https方式管理，確保管理安全。 （3）設備管理及策略 網(wǎng)閘設備按照《網(wǎng)閘運維管理制度》進行管理。 a、由信息中心管理網(wǎng)閘設備，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對網(wǎng)閘設備進行編號、標識密級、安放至安全管理位置。 c、信息中心負責網(wǎng)閘設備的日常運行維護，每周登陸設備查看設備配置、設備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合信息中心及時解決問題。 e、信息中心負責網(wǎng)閘設備的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，負責設備的維修管理。 （4）部署后解決的風險 解決兩網(wǎng)互聯(lián)的邊界防護問題，對應用的訪問進行細粒度的控制，各自隔離，兩網(wǎng)在任一時刻點上都不產(chǎn)生直接的物理連通。 3.2 防火墻 涉密信息系統(tǒng)采用防火墻系統(tǒng)1臺進行邊界防護，用于涉密信息系統(tǒng)網(wǎng)關(guān)的安全控制、網(wǎng)絡層審計等。防火墻系統(tǒng)部署于從屬中心。原有防火墻部署于主中心，不做調(diào)整。 （1）部署 使用防火墻系統(tǒng)限制從屬中心終端訪問機密級服務器的權(quán)限，并且記錄所有與服務器區(qū)進行交互的日志。防火墻的eth1口、eth2口設置為透明模式，配置橋接口fwbridge0 IP地址，配置管理方式為https方式，打開多VLAN開關(guān)，打開tcp、udp、ICMP廣播過濾。防火墻的日志數(shù)據(jù)庫安裝在安全管理服務器上。部署拓撲示意圖如下： 圖1-9 防火墻部署示意圖 （2）第一次運行策略 防火墻上設置訪問控制策略，并設定不同用戶所能訪問的資源： a、允許從屬中心授權(quán)用戶訪問軟件配置管理系統(tǒng)。 b、開放系統(tǒng)內(nèi)所能使用到的端口，其他不使用的端口進行全部禁止訪問限制。 c、可以依據(jù)保密辦相關(guān)規(guī)定設定審查關(guān)鍵字，對于流經(jīng)防火墻的數(shù)據(jù)流進行關(guān)鍵字過濾。 d、審計從屬中心用戶和服務器區(qū)域的數(shù)據(jù)交換信息，記錄審計日志。 e、整個防火墻系統(tǒng)的整個運行過程和網(wǎng)絡信息流等信息，均進行詳細的日志記錄，方便管理員進行審查。 （3）設備管理及策略 防火墻系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。防火墻的日志系統(tǒng)維護，日志的保存與備份按照《防火墻運維管理制度》進行管理。 a、由信息中心管理防火墻設備，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對防火墻設備進行編號、標識密級、安放至安全管理位置。 c、信息中心負責防火墻設備的日常運行維護，每周登陸設備查看設備配置、設備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合信息中心及時解決問題。 e、信息中心負責防火墻設備的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，負責設備的維修管理。 （4）部署后解決的風險 原有防火墻保證主中心各Vlan的三層邏輯隔離，對各安全域之間進行訪問控制，對網(wǎng)絡層訪問進行記錄與審計，保證信息安全保密要求的訪問控制以及安全審計部分要求。 3.3 入侵檢測系統(tǒng) 使用原有入侵檢測設備進行網(wǎng)絡層監(jiān)控，保持原有部署及原有配置不變，設備的管理維護依舊。此設備解決的風險為對系統(tǒng)內(nèi)的安全事件監(jiān)控與報警，滿足入侵監(jiān)控要求。 3.4 違規(guī)外聯(lián)系統(tǒng) （1）部署 采用涉密計算機違規(guī)外聯(lián)監(jiān)控系統(tǒng)，部署于內(nèi)網(wǎng)終端、涉密單機及中間機上。的違規(guī)外聯(lián)監(jiān)控系統(tǒng)采用B/S構(gòu)架部署，安裝1臺內(nèi)網(wǎng)監(jiān)控服務器、1臺外網(wǎng)監(jiān)控服務器，安裝645個客戶端，全部安裝于內(nèi)網(wǎng)終端、涉密單機以及中間機上。部署示意圖如下。 圖1-1 違規(guī)外聯(lián)系統(tǒng)部署示意圖 （2）第一次運行策略 系統(tǒng)實時地監(jiān)測受控網(wǎng)絡內(nèi)主機及移動主機的活動，對非法內(nèi)/外聯(lián)行為由報警控制中心記錄并向管理員提供準確的告警。同時，按照預定的策略對非法連接實施阻斷，防止數(shù)據(jù)外泄。報警控制中心能夠以手機短信、電子郵件兩種告警方式向網(wǎng)絡管理員告警，其中手機短信是完全實時的告警，非常方便和及時。 （3）設備管理及策略 違規(guī)外聯(lián)監(jiān)控系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。違規(guī)外聯(lián)監(jiān)控系統(tǒng)的日志系統(tǒng)同時維護，日志的保存與備份按照《違規(guī)外聯(lián)監(jiān)控系統(tǒng)運維管理制度》進行管理。 a、由信息中心管理違規(guī)外聯(lián)監(jiān)控系統(tǒng)，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對違規(guī)外聯(lián)監(jiān)控系統(tǒng)報警服務器進行編號、標識密級、安放至安全管理位置。 c、信息中心負責違規(guī)外聯(lián)監(jiān)控系統(tǒng)的日常運行維護，每周登陸設備查看服務器硬件運行狀態(tài)、策略配置、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合信息中心及時解決問題。 e、信息中心負責違規(guī)外聯(lián)監(jiān)控系統(tǒng)服務器的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，聯(lián)系廠家負責設備的維修管理。 f、當系統(tǒng)出現(xiàn)新版本，由管理員負責及時更新系統(tǒng)并做好備份工作。 （4）部署后解決的風險 解決違規(guī)撥號、違規(guī)連接和違規(guī)無線上網(wǎng)等風險。 4 應用安全防護 4.1 服務器群組安全訪問控制中間件 涉密信息系統(tǒng)采用服務器群組安全訪問控制中間件2臺，用于涉密信息系統(tǒng)主中心秘密級服務器、從屬中心秘密級服務器邊界的安全控制、應用身份認證、郵件轉(zhuǎn)發(fā)控制、網(wǎng)絡審計以及郵件審計等。防護主中心的XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)以及XXX門戶；防護從屬中心的XXX系統(tǒng)以及XXX類軟件系統(tǒng)。 （1）部署 由于主中心的終端之間以及從屬中心內(nèi)的終端之間數(shù)據(jù)流動均被設計為以服務器為跳板進行駐留轉(zhuǎn)發(fā)，所以在服務器前端的服務器群組安全訪問控制中間件系統(tǒng)起到了很強的訪問控制功能，限制終端訪問服務器的權(quán)限并且記錄所有與服務器區(qū)進行交互的日志。服務器群組安全訪問控制中間件的eth1口、eth2口設置為透明模式，啟用橋接口進行管理。部署拓撲示意圖如下： 圖1-10 服務器群組安全訪問控制中間件部署示意圖 （2）第一次運行策略 服務器群組安全訪問控制中間件上設置訪問控制策略，并設定不同用戶所能訪問的服務器資源；設置郵件轉(zhuǎn)發(fā)控制功能，為每個用戶設置訪問賬號及密碼，依據(jù)密級將用戶劃分至不同用戶組中，高密級用戶不得向低密級用戶發(fā)送郵件。配置郵件審計功能，記錄發(fā)件人，收件人，抄送人，主題，附件名等。配置網(wǎng)絡審計與控制功能，可以依據(jù)保密辦相關(guān)規(guī)定設定審查關(guān)鍵字，對于流經(jīng)系統(tǒng)的數(shù)據(jù)流進行關(guān)鍵字過濾；審計內(nèi)部用戶和服務器區(qū)域的數(shù)據(jù)交換信息，審計應用訪問日志。 （3）設備管理及策略 服務器群組安全訪問控制中間件系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。服務器群組安全訪問控制中間件的日志系統(tǒng)維護，日志的保存與備份按照《服務器群組安全訪問控制中間件運維管理制度》進行管理。 a、由信息中心管理服務器群組安全訪問控制中間件設備，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心分別對2臺服務器群組安全訪問控制中間件設備進行編號、標識密級、安放至安全管理位置。 c、信息中心負責服務器群組安全訪問控制中間件設備的日常運行維護，每周登陸設備查看設備配置、設備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合信息中心及時解決問題。 e、信息中心負責服務器群組安全訪問控制中間件設備的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，負責設備的維修管理。 （4）部署后解決的風險 解決對應用訪問的邊界防護、應用及網(wǎng)絡審計、數(shù)據(jù)庫安全以及數(shù)據(jù)流向控制，滿足邊界防護、安全審計及數(shù)據(jù)庫安全等要求。 4.2 windows域控及補丁分發(fā) 改造原有AD主域控制器及備份域控制器。 （1）部署 的主中心以及從屬中心均部署AD主域控制器及備份域控制器，共計2套，并建立IIS服務器，安裝WSUS服務器，提供系統(tǒng)補丁強制更新服務。將終端系統(tǒng)的安全性完全與活動目錄集成，用戶授權(quán)管理和目錄進入控制整合在活動目錄當中（包括用戶的訪問和登錄權(quán)限等）。通過實施安全策略，實現(xiàn)系統(tǒng)內(nèi)用戶登錄身份認證，集中控制用戶授權(quán)。終端操作基于策略的管理。通過設置組策略把相應各種策略（包括安全策略）實施到組策略對象中。部署拓撲示意圖如下： 圖1-7 域控及WSUS部署示意圖 （2）第一次運行策略 建立好域成員及其密碼，將所有內(nèi)網(wǎng)終端的本地賬號權(quán)限收回，內(nèi)網(wǎng)終端只能使用管理員下發(fā)的域成員用戶登錄系統(tǒng)。通過組策略指定不同安全域用戶口令的復雜性、長度、使用周期、鎖定策略，指定每一個用戶可登錄的機器。機密級終端需要將USB-KEY令牌與域用戶登錄結(jié)合使用，達到“雙因子”鑒別的過程。 設置終端用戶工作環(huán)境，隱藏用戶無用的桌面圖標，刪除“開始”菜單中的“運行”、“搜索”功能。 啟用內(nèi)網(wǎng)Windows XP終端內(nèi)置的WSUS客戶端。由系統(tǒng)漏洞的官方漏洞發(fā)布頁下載完整的系統(tǒng)漏洞修復程序，將此程序通過中間機系統(tǒng)導入涉密信息系統(tǒng)，在WSUS服務器端導入此程序，由WSUS服務器下發(fā)系統(tǒng)補丁強制修復策略，強制更新各個終端的系統(tǒng)漏洞。 （3）設備管理及策略 AD域控系統(tǒng)以及WSUS補丁分發(fā)系統(tǒng)由信息中心進行管理及維護，域控組策略的改動均需要經(jīng)過保密辦的討論后方可操作。WSUS系統(tǒng)的升級更新按照《與管理及補丁分發(fā)運維管理制度》進行管理。 a、由信息中心管理AD域控系統(tǒng)以及WSUS補丁分發(fā)系統(tǒng)，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心分別對2套AD域控系統(tǒng)以及WSUS補丁分發(fā)系統(tǒng)服務器進行編號、標識密級、安放至安全管理位置。 c、信息中心負責AD域控系統(tǒng)以及WSUS補丁分發(fā)系統(tǒng)服務器的日常運行維護，每周登陸服務器查看服務器硬件運行狀態(tài)、組策略配置、域成員狀態(tài)、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常系統(tǒng)日志及時通報保密辦，并查找原因，追究根源。 （4）部署后解決的風險 解決部分身份鑒別以及操作系統(tǒng)安全相關(guān)風險。 4.3 網(wǎng)絡安全審計 使用網(wǎng)絡安全審計系統(tǒng)2臺，用于對涉密信息系統(tǒng)的網(wǎng)絡及應用進行安全審計和監(jiān)控。審計功能包括：應用層協(xié)議還原審計、數(shù)據(jù)庫審計、網(wǎng)絡行為審計、自定義關(guān)鍵字審計等。 （1）部署 旁路部署于核心交換機的鏡像目的接口，部署數(shù)量為2臺，分別部署于主中心以及從屬中心的核心交換機上。設置其管理地址，用于系統(tǒng)管理及維護。部署拓撲示意圖如下： 圖1-14 網(wǎng)絡安全審計部署示意圖 （2）第一次運行策略 配置審計http、POP3、Smtp、imap、telnet、FTP協(xié)議以及自定義審計1433、8080、27000、1043、1034、1037、1041、1040、1042、6035、7777、3690端口；依據(jù)保密規(guī)定設定相關(guān)關(guān)鍵詞字，審計關(guān)鍵詞字；使用Https方式管理系統(tǒng)。 （3）設備管理及策略 網(wǎng)絡安全審計系統(tǒng)由信息中心進行管理及維護，審計策略的改動均需要經(jīng)過保密辦的討論后方可操作。網(wǎng)絡安全審計系統(tǒng)的日志系統(tǒng)維護，日志的保存與備份按照《網(wǎng)絡安全審計運維管理制度》進行管理。 a、由信息中心管理網(wǎng)絡安全審計設備，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心分別對2臺網(wǎng)絡安全審計設備進行編號、標識密級、安放至安全管理位置。 c、信息中心負責網(wǎng)絡安全審計系統(tǒng)的日常運行維護，每周登陸設備查看設備配置、設備自身運行狀態(tài)、轉(zhuǎn)發(fā)數(shù)據(jù)量狀態(tài)、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常審計日志及時通報保密辦，并查找原因，追究根源。 e、信息中心負責網(wǎng)絡安全審計系統(tǒng)的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，負責設備的維修管理。 （4）部署后解決的風險 解決應用審計，針對內(nèi)容進行審計記錄，滿足安全審計相關(guān)要求。 5 終端安全防護 5.1 防病毒系統(tǒng) 將使用網(wǎng)絡版防病毒軟件建立病毒防護系統(tǒng)，共計26個服務器端，419個客戶端，分別部署在主中心以及從屬中心。 將使用單機版防病毒軟件建立中間機、單機及便攜式計算機病毒防護系統(tǒng)，共計226個終端。 （1）部署 防病毒系統(tǒng)采用客戶端+服務器結(jié)構(gòu)，服務器由信息中心負責管理。 殺毒中心安裝：安裝在安全管理服務器上，設置好admin密碼，并且將注冊信息輸入到殺毒控制中心。 服務器安裝：在各類服務器上安裝殺毒服務器端，設置殺毒中心的IP地址，并保持與殺毒中心的實時通信。 客戶端安裝：所有的內(nèi)外終端均安裝客戶端殺毒程序，設置殺毒中心的IP地址，與殺毒中心同步。 單機防病毒系統(tǒng)直接部署在涉密單機及中間機上。 （2）第一次運行策略 防病毒控制中心服務器部署在保密室。網(wǎng)絡防病毒系統(tǒng)連接在核心交換機的access接口上。交換機接口配置Vlan二層信息為：接口類型為access，為其劃分Vlan，使得其與其他Vlan不能通過二層相通，使得網(wǎng)絡防病毒系統(tǒng)需要通過三層與其他Vlan通信，即網(wǎng)絡防病毒系統(tǒng)可以對網(wǎng)絡中所有的主機設備進行殺毒統(tǒng)一管理和在線控制。 所有接入網(wǎng)絡的終端計算機和應用服務器（windows操作系統(tǒng)）都安裝防病毒軟件，管理員通過控制臺實現(xiàn)對全網(wǎng)防病毒系統(tǒng)的統(tǒng)一管理，并強制在用戶接入網(wǎng)絡時安裝防病毒客戶端。 升級方式為：在非涉密計算機上從互聯(lián)網(wǎng)下載最新的防病毒系統(tǒng)升級包，刻制成光盤。將此光盤上的防病毒系統(tǒng)升級包通過非涉密中間機導入到涉密光盤上，帶入到涉密內(nèi)網(wǎng)的防病毒系統(tǒng)服務器上。利用服務器上的防病毒系統(tǒng)服務端提供的接口導入升級包，再通過服務端將更新了的病毒庫向每一臺防病毒系統(tǒng)客戶端進行強制更新。 防病毒管理：定期升級病毒特征庫，每周不少于一次；定期進行全網(wǎng)殺毒掃描，每天計劃不少于一次；每月檢查防病毒系統(tǒng)的運行情況并記錄，備份并存儲病毒日志；制定應急預案，防止病毒大面積爆發(fā)。 （3）設備管理及策略 為了防止計算機病毒或惡意代碼傳播，將采取如下措施： a、制定《涉密信息系統(tǒng)運行管理制度》，該管理辦法將與涉密信息系統(tǒng)的建設同時進行制定，同時加強審計，確保策略的正確實施； b、加強存儲設備的接入管理，對接入系統(tǒng)的存儲設備必須先經(jīng)過計算機病毒和惡意代碼檢查處理； c、所有的涉密計算機usb及光驅(qū)等接口均通過授權(quán)才能使用，防止系統(tǒng)用戶私自安裝軟件或使用usb設備帶病毒入網(wǎng)。 （4）部署后解決的風險 解決計算機病毒與惡意代碼防護、操作系統(tǒng)安全相關(guān)風險。 5.2 惡意程序輔助檢測系統(tǒng) 涉密信息系統(tǒng)采用惡意程序輔助檢測系統(tǒng)，用于涉密信息系統(tǒng)的中間機信息輸入輸出介質(zhì)的惡意程序及木馬病毒查殺及管控。 （1）部署 系統(tǒng)采用單機部署在中間機上的結(jié)構(gòu)。共4臺中間機，主中心2臺，從屬中心2臺，分別為涉密中間機以及非涉密中間機。4臺中間機上均安裝惡意程序輔助檢測系統(tǒng)，對中間機潛在的惡意程序及木馬進行管控。 （2）第一次運行策略 使用惡意程序輔助檢測系統(tǒng)接管系統(tǒng)關(guān)鍵服務、限制未知程序啟動、未知驅(qū)動加載、設置策略進行惡意代碼掃描、設置策略攔截惡意程序的盜取行為。 （3）設備管理及策略 惡意程序輔助檢測系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。惡意程序輔助檢測系統(tǒng)的日志系統(tǒng)同時維護，日志的保存與備份按照《惡意程序輔助檢測系統(tǒng)運維管理制度》進行管理。 a、由信息中心管理惡意程序輔助檢測系統(tǒng)，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對中間機進行編號、標識密級、記錄安放位置并指定中間機負責人。 c、信息中心負責定期到中間機提取審計日志信息等內(nèi)容。 d、信息中心發(fā)現(xiàn)高風險事件及時通報保密辦，并查找風險源頭，各部門配合信息中心及時解決問題。 e、中間機負責人嚴格遵守《惡意程序輔助檢測系統(tǒng)運維管理制度》，使用中間機需要進行申請、審批、登記擺渡內(nèi)容、使用惡意程序輔助檢測系統(tǒng)防止擺渡介質(zhì)可能攜帶的惡意程序及木馬危害系統(tǒng)。 （4）部署后解決的風險 解決中間機計算機病毒與惡意代碼防護相關(guān)風險。 5.3 主機監(jiān)控與審計系統(tǒng) 使用原有主機監(jiān)控與審計系統(tǒng)進行對終端行為監(jiān)控和限制，保持原有部署及原有配置不變，管理方式及策略依舊。此設備解決的風險為設備數(shù)據(jù)接口控制、主機安全審計風險。 5.4 移動介質(zhì)管理系統(tǒng) 采用移動介質(zhì)管理系統(tǒng)對公司移動存儲介質(zhì)進行管理。 （1）部署 使用一臺單機作為移動存儲介質(zhì)的系統(tǒng)管理機，安裝涉密移動存儲介質(zhì)保密管理系統(tǒng)以及審計平臺。該單機放置于信息中心，由信息中心管理維護。 部署30個客戶端。具體分布如下表所示。 表1-5 移動介質(zhì)系統(tǒng)部署匯總表 序號 部署位置 數(shù)量 1 2 3 4 5 6 7 8 9 10 合計 （2）第一次運行策略 使用移動介質(zhì)管理系統(tǒng)對公司移動存儲介質(zhì)進行：注冊登記、授權(quán)、定密、發(fā)放、收回、銷毀、刪除。采用全盤加密技術(shù)，防止格式化U盤后進行數(shù)據(jù)恢復。 （3）設備管理及策略 移動介質(zhì)下發(fā)至各部門，由各部門進行統(tǒng)一管理，保密辦進行二級管理，借用需要通過部門領導的審批，登記后進行使用，并限定使用時間及使用范圍。采取的技術(shù)防護手段為主機監(jiān)控與審計系統(tǒng)，進行移動介質(zhì)設備的管控與日志記錄。移動介質(zhì)出現(xiàn)硬件問題后，交由保密辦統(tǒng)一封存處理。 （4）部署后解決的風險 解決介質(zhì)安全存在的風險。 5.5 終端安全登錄及身份認證系統(tǒng) 采用終端安全登錄與監(jiān)控審計系統(tǒng)（網(wǎng)絡版），用于對機密級終端的“雙因子”登錄身份認證。采用終端安全登錄與監(jiān)控審計系統(tǒng)（單機版），用于對涉密單機、中間機登錄身份認證、主機監(jiān)控與審計。 （1）部署 終端安全登錄與監(jiān)控審計系統(tǒng)（網(wǎng)絡版）服務器部署于安全管理區(qū)，數(shù)量為2套，分別部署于主中心和從屬中心。認證客戶端安裝于機密級終端上，共計89臺。 單機版直接部署在具所有的中間機以及涉密單機上。 （2）第一次運行策略 所有終端的策略采取以下方式進行：開機安全登錄與認證，關(guān)閉光驅(qū)、軟驅(qū)、串口、并口、紅外、藍牙、網(wǎng)絡接口、1394火線、PDA。USB存儲自由使用。禁止修改注冊表、安裝軟件、安全模式啟動、外聯(lián)、更換設備。禁止打印、監(jiān)控文件操作。特殊的終端如果需要開放特殊策略，則必須由保密辦審批核準后，由信息中心系統(tǒng)管理員進行策略的調(diào)整與下發(fā)。 （3）設備管理及策略 終端安全登錄與監(jiān)控審計系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。終端安全登錄與監(jiān)控審計系統(tǒng)的日志系統(tǒng)同時維護，日志的保存與備份按照《終端安全登錄與監(jiān)控審計系統(tǒng)運維管理制度》進行管理。 a、由信息中心管理終端安全登錄與監(jiān)控審計系統(tǒng)，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對終端安全登錄與監(jiān)控審計系統(tǒng)服務器進行編號、標識密級、安放至安全管理位置。 c、信息中心負責終端安全登錄與監(jiān)控審計系統(tǒng)的日常運行維護，每周登陸設備查看服務器硬件運行狀態(tài)、策略配置、系統(tǒng)日志等內(nèi)容。 d、信息中心發(fā)現(xiàn)異常情況及時通報保密辦，并查找問題原因，各部門配合信息中心及時解決問題。 e、信息中心負責終端安全登錄與監(jiān)控審計系統(tǒng)服務器的維修管理，設備出現(xiàn)問題，通知保密辦，獲得批準后，聯(lián)系廠家負責設備的維修管理。 （4）部署后解決的風險 解決身份鑒別、數(shù)據(jù)接口控制、主機安全審計相關(guān)風險。 5.6 光盤刻錄監(jiān)控與審計 采用光盤刻錄監(jiān)控與審計系統(tǒng)，用于對刻錄行為的監(jiān)控與審計。 （1）部署 部署在具有刻錄權(quán)限的內(nèi)網(wǎng)終端、中間機以及涉密單機上。 （2）第一次運行策略 對與擁有光盤刻錄權(quán)限的終端，設置光盤刻錄監(jiān)控與審計策略，記錄刻錄行為發(fā)生的時間，刻錄文件名稱等日志信息。操作的同時，需要對紙質(zhì)登記記錄予以完善，完成申請、審批、記錄操作內(nèi)容、登記歸檔等流程。 （3）設備管理及策略 光盤刻錄監(jiān)控與審計系統(tǒng)由信息中心進行管理及維護，任何策略的改動均需要經(jīng)過保密辦的討論后方可實施。光盤刻錄監(jiān)控與審計系統(tǒng)的日志系統(tǒng)同時維護，日志的保存與備份按照《光盤刻錄監(jiān)控與審計系統(tǒng)運維管理制度》進行管理。 a、由信息中心管理光盤刻錄監(jiān)控與審計系統(tǒng)，分別設置管理員、安全保密管理員、安全審計員的口令，由“三員”分別管理。 b、由信息中心對光盤刻錄監(jiān)控與審計系統(tǒng)各終端進行編號、標識密級、記錄安放位置。 c、信息中心負責定期到光盤刻錄監(jiān)控與審計系統(tǒng)終端提取審計日志信息等內(nèi)容。 d、信息中心發(fā)現(xiàn)高風險事件及時通報保密辦，并查找風險源頭，各部門配合信息中心及時解決問題。 （4）部署后解決的風險 解決I/O光盤刻錄輸出風險，控制設備數(shù)據(jù)接口。 6 管理改進建議 （1）界定三員職責、明晰工作內(nèi)容 將三員的職責及分工明確具體化，建立健全的相互監(jiān)督機制，系統(tǒng)管理員配置系統(tǒng)策略，安全保密管理員管理系統(tǒng)審計日志，安全審計員監(jiān)督系統(tǒng)管理員以及安全保密管理員的操作行為，強化工作制度約束。 ①系統(tǒng)管理員的職責 a、保障涉密信息系統(tǒng)安全運行； b、負責涉密信息系統(tǒng)軟件及硬件設備的安裝和維護； c、參與涉密信息系統(tǒng)安全策略、計劃和事件處理程序的制定； d、落實防病毒措施和系統(tǒng)補丁的分發(fā)，保證信息系統(tǒng)的正常運行。 ②安全保密管理員職責 a、建立健全涉密信息系統(tǒng)保密管理制度，監(jiān)督、檢查信息系統(tǒng)保密管理及技術(shù)措施的落實情況； b、負責對信息系統(tǒng)用戶的身份的驗證，防止非法用戶進入系統(tǒng)。 c、負責用戶的口令管理，建立口令管理規(guī)程和檢驗創(chuàng)建賬戶機制，避免口令泄露。 d、負責對安全保密設備和系統(tǒng)所產(chǎn)生日志的審查并進行分析。 e、承擔涉密信息系統(tǒng)安全事件的處理。 ③安全審計員的職責 a、監(jiān)督信息系統(tǒng)的運行情況，定期查看系統(tǒng)審計記錄； b、對系統(tǒng)管理員、安全保密管理員的操作行為進行審計、跟蹤、分析、監(jiān)督和檢查，及時發(fā)現(xiàn)違規(guī)行為； c、定期向系統(tǒng)安全保密管理機構(gòu)匯報審計的有關(guān)情況。 （2）健全保密管理策略 制定網(wǎng)絡技術(shù)環(huán)境下具體的安全業(yè)務、流程、職責、規(guī)范、要求的策略規(guī)范及制度。 （3）強化監(jiān)督管理執(zhí)行力度 在日后的保密安全審計監(jiān)督管理中，指定關(guān)于執(zhí)行效果獎懲制度，重視與執(zhí)行效果相關(guān)的稽核審計。 （4）制定監(jiān)督機制 建立針對個人、部門、機構(gòu)、單位的監(jiān)督機制，并在制度中明確要求對記錄、懲戒、改進等監(jiān)督手段和機制，提高監(jiān)督機制的執(zhí)行效果，加強可操作性，以明確的數(shù)字得分形式展現(xiàn)執(zhí)行效果。