项目五_任务6_信息系统等级保护设计课件

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,项目五_任务6_信息系统等级保护设计课件,1,项目,五,花都县电子政务外网规划与设计,任务六 电子政务外网信息系统安全保护设计,任务三 电子政务外网,IP,规划,任务一 电子政务外网网络需求获取,任务五,网络中心规划与设计,任务四 电子政务外网路由与,MPLS VPN,设计,任务七 外网平台应用系统规划与项目预算,任务二 电子政务外网拓扑结构设计,1项目五 花都县电子政务外网规划与设计 任务六 电子政务,2,知识回顾：,网络中心规划与设计,1,、 网络中心环境设计,3,、 存储备份系统规划,2,、网络中心服务器规划,2知识回顾：网络中心规划与设计1、 网络中心环境设计3、 存,3,引入任务,1,、 政务外网安全体系架构与信息安全系统应用,2,、花都县政务外网信息系统安全方案设计,3引入任务1、 政务外网安全体系架构与信息安全系统应用2、花,4,1,、 政务外网安全体系架构与信息安全系统应用,41、 政务外网安全体系架构与信息安全系统应用,5,政 务 外 网,逻辑隔离,(,互联网,),政府网站,政府外网物理网络,物理隔离,各类业务专网,政 务 内 网,政府办公,业务系统,政务内网网络平台,国 办,电子政务网基本安全框架,5 政 务 外 网逻辑隔离(互联网)政府外网物理网,6,政务外网安全体系架构,6,6政务外网安全体系架构6,7,加快电子政务外网等级保护工作文件,7加快电子政务外网等级保护工作文件,8,国家电子政务外网电子认证服务管理暂行办法,第,8,页,/,共 4页,8国家电子政务外网电子认证服务管理暂行办法第 8页 /,9,电子政务外网信息系统定级,电子政务外网信息系统定级,序号,信息系统名称,安全保护等级,业务信息安全等级,系统服务安全等级,1,政务外网,IP,通信网络,3,2,3,2,县级政务外网,VPN,业务,3,3,3,3,县级外网互联网托管中心,2,2,2,4,政务外网门户网站,3,3,2,9电子政务外网信息系统定级电子政务外网信息系统定级序号信息系,10,外网当前网络主要存在的问题,10,“安全域”划分不是基于信息系统,依靠“应用层”授权,可同时访问互联网和安全域,终端管理太麻烦,&IDS,利用效率低,身份认证网关承担巨大压力,10外网当前网络主要存在的问题10“安全域”划分不是基于信息,11,电子政务外网安全保障体系,安全保障体系,网络信任体系,网络安全防护体系,安全服务体系,基,于,桥,CA,的,互,联,互,通,PKI/,CA,证,书,管,理,系,统,密,码,服,务,管,理,体,系,密,钥,管,理,服,务,物,理,层,安,全,传,输,层,安,全,系,统,层,安,全,管,理,层,安,全,安,全,咨,询,安,全,评,估,安,全,加,固,安,全,培,训,安全管理体系,应,用,层,安,全,安全策略,管理制度,法律法规,技术标准,网络信任,网络安全防护,安全服务,基,于,桥,CA,的,互,联,互,通,PKI/,CA,证,书,管,理,系,统,密,码,服,务,管,理,密,钥,管,理,服,务,物,理,层,安,全,传,输,层,安,全,系,统,层,安,全,管,理,层,安,全,安,全,咨,询,安,全,评,估,安,全,加,固,安,全,培,训,信息安全基础设施,安全管理机制,应,用,层,安,全,安全策略,管理制度,法律法规,技术标准,标准规范与风险评估,11电子政务外网安全保障体系安全保障体系网络信任体系网络安全,12,电子政务外网安全系统重点建设内容,网络安全防护系统,划定,安全域,，实施安全等级保护,建设网络防护子系统、因特网出口隔离管理子系统等；,网络信任系统,按照国家网络信任体系建设的统一规划，在国家信息安全主管部门的指导下，建设顶层认证中心,(,根,CA),和证书审核注册中心,(RA),；构建外网网络信任系统,安全管理系统,，建设中央和省两级安全管理中心,制订安全标准规范,建立安全管理和服务机制,12电子政务外网安全系统重点建设内容网络安全防护系统 划,13,电子政务外网安全域划分示意图,13电子政务外网安全域划分示意图,14,实名制安全准入， 实现终端安全,安全行为审计， 全面管理用户行为,安全域边界隔离，实现分级分域管理,网络授权， 控制指定的人访问指定的业务,基于安全域的信息系统安全方案设计,14实名制安全准入， 实现终端安全安全行为审计,15,基于安全域的信息系统安全方案设计,应用安全域解决方案拓扑图,15基于安全域的信息系统安全方案设计应用安全域解决方案拓扑图,16,应用安全域解决方案,主机安全准入,用户名、密码,接入交换机,IP,地址,接入交换机端口,用户,IP,地址,用户,MAC,地址,VLAN,信息,硬盘序列号,身份合法的人才可接入网络,健康的主机才可接入网络,合法操作的主机才可使用网络,16应用安全域解决方案主机安全准入用户名、密码接入交换机,17,应用安全域解决方案,用户行为审计,1,优盘认证,对被认证的,U,盘管理员可以选择对认证过的,U,盘做数据保护,可以设定认证,U,盘的有效期,避免病毒通过移动存储设备传播,17应用安全域解决方案用户行为审计1优盘认证对被认证的,18,应用安全域解决方案,用户行为审计,2,访问日志,用户所有操作均可记录在案,18应用安全域解决方案用户行为审计2访问日志用户所有操,19,应用安全域解决方案,用户行为审计,3,网络实名,准入：,动态的自动绑定,UID+MAC+IP+PORT,，确保入网用户身份合法、主机标识和网络标识真实可信,骨干网络,网关,RG-ACE,系列,（带宽及流量管理）,安全接入交换机,安全计费管理,RG-SMP,日志管理,RG-eLog,CERNET,准出,准入,实现“网络实名制”,出现非法言论等行为，快速定位到人,准出：,基于用户身份的访问权限控制，,基于用户身份带宽管理和流量计费,准入和准出一体化,统一的管理平台,统一的账号密码,认证合二为一、用户自主选择可方便切换,19应用安全域解决方案用户行为审计3网络实名准入：骨干,20,电子政务外网的安全区域划分,数据中心安全域划分三个安全子域,安全管理中心,资源共享中心,/,省直服务器群,托管门户站群,网络接入安全域划分两个安全子域,省核心城域网安全域,广域接入网安全域,20电子政务外网的安全区域划分数据中心安全域划分三个安全子域,21,核心业务区（三级）,安全管理区（三级）,核心交换区,NIDS,流量控制,终端接入区,运营商,A,运营商,B,互联网接入区,VPN,接入,入网审计,数据交换区（三级）,交换,服务器,非涉密网,安全隔离系统,安全域,控制卡,数据存储区（三级）,一般,业务系统,防篡改,系统,认证,服务器,漏洞,扫描,终端管理,服务器,网络审计,系统,存储系统,资料下载,服务器,信息发布,服务器,其他应用,服务器,财务系统、资产管理系统、人事系统,重要人员,接入区,网络服务区（二级）,内部办公系统区（三级）,重要办公系统区（四级）,行业或部门专有系统,关键应用系统不被攻击；数据不被窃取或被修改。,应用安全域解决方案,安全域边界隔离,逻辑,安全域,21核心业务区（三级）安全管理区（三级）核心交换区NIDS流,22,应用安全域解决方案,同一时刻访问同一安全域,安全管理区（三级）,核心交换区,NIDS,流量控制,终端接入区,运营商,A,运营商,B,互联网接入区,VPN,接入,入网审计,数据交换区（三级）,交换,服务器,非涉密网,安全隔离系统,安全域,控制卡,数据存储区（三级）,一般,业务系统,防篡改,系统,认证,服务器,漏洞,扫描,终端管理,服务器,网络审计,系统,存储系统,资料下载,服务器,信息发布,服务器,其他应用,服务器,重要人员,接入区,网络服务区（二级）,核心业务区（三级）,重要办公系统区（四级）,行业或部门专有系统,防常规木马，特种木马用其他方式。,财务系统、资产管理系统、人事系统,内部办公系统区（三级）,22应用安全域解决方案同一时刻访问同一安全域安全管理区（,23,应用安全域解决方案,根据身份做应用授权,安全管理区（三级）,核心交换区,NIDS,流量控制,终端接入区,运营商,A,运营商,B,互联网接入区,VPN,接入,入网审计,数据交换区（三级）,交换,服务器,非涉密网,安全隔离系统,安全域,控制卡,数据存储区（三级）,一般,业务系统,防篡改,系统,认证,服务器,漏洞,扫描,终端管理,服务器,网络审计,系统,存储系统,资料下载,服务器,信息发布,服务器,其他应用,服务器,财务系统、资产管理系统、人事系统,重要人员,接入区,内部办公系统区（三级）,网络服务区（二级）,核心业务区（三级）,重要办公系统区（四级）,行业或部门专有系统,服务器不再被恶意攻击，也不会被非法用户窃取信息,23应用安全域解决方案根据身份做应用授权安全管理区（三级,24,对优盘等外设进行控制,，明确只有指定的优盘可以用在指定的机器上，杜绝了敏感信息泄漏的最大源头。,建立安全的访问路径,，,逻辑上使网络中仅存在,用户,和,应用系统,两个主体，避免了数据被窃取、被篡改,同一时间只能访问一个安全域,，避免了大部,分的,木马攻击。,根据用户身份在,网络层授权,，使非授权用户无法找到服务器，从而避免攻击。,特有的,安全域控制卡,，实现无客户端情况下的认证、授权，部署简便,。,统一互联网安全解决方案，实现外网接入用户做到,事前认证，事中监测，事后审计,的外网安全接入。,应用安全域解决方案特点,24应用安全域解决方案特点,25,2,、,花都县政务外网信息系统等级保护设计,252、花都县政务外网信息系统等级保护设计,26,花都县政务外网信息系统等级保护设计,（1）政务外网等级保护安全整体规划方案,电子政务外网做国家政务网络系统的重要部门，承载着互联网访问窗口、对公众提供信息化交互服务。为确保后续的发展要求，此次建设总体的安全体系按照三级的规范来设计制定。,电子政务外网网络安全主要关注网络结构、网络边界以及网络设备自身安全等方面，具体的控制点包括:结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。,26花都县政务外网信息系统等级保护设计（1）政务外网等级保护,27,信息系统等级保护设计,按照信息系统安全等级保护基本要求中三级网络安全要求,电子政务外网安全保护整体解决方案见下表所示。,27信息系统等级保护设计按照信息系统安全等级保护基本要求,28,信息系统等级保护设计,测评要求,（从结构安全与网段划分方面考虑）,解决方案,a),网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要；,双核心、高性能设备互为冗余备份,b),应设计和绘制与当前运行情况相符的网络拓扑结构图；,通过网络管理软件进行绘制并美化,c),应根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽；,采用具备万兆为主干的链路,d),应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；,通过访问控制及路由控制进行路径的隔离,e),应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；,实施时将严格对不同工作职能等的工作部门进行不同子网的分配,f),重要网段应采取网络层地址与数据链路层地址绑定措施防止地址欺骗；,通过部署具备防地址欺骗的安全交换机和汇聚交换机的防火墙业务板实现,g),应按照对业务服务的重要次序来指定带宽分配优先级别保证在网络发生拥堵的时候优先保护重要业务数据主机。,在安全交换机上启用,QOS,实现,28信息系统等级保护设计测评要求解决方案a) 网络设备的业务,29,信息系统等级保护设计,测评要求（从网络访问控制方面考虑）,解决方案,a),应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许,/,拒绝访问的能力；,通过具备高级访问控制列表的安全交换机和交换机的防火墙业务板实现,b),应对进出网络的信息内容进行过滤，实现对应用层,HTTP,、,FTP,、,TELNET,、,SMTP,、,POP3,等协议命令级的控制；,通过部署具备高级访问控制列表的安全交换机实现,c),应依据安全策略允许或者拒绝便携式和移动式设备的网络接入；,通过部署安全准入系统，杜绝不注册用户和终端的网络接入,d),应在会话处于非活跃一定时间或会话结束后终止网络连接；,由应用系统实现,e),应限制网络最大流量数及网络连接数。,通过防火墙、,IPS,设备等安全设备实现,29信息系统等级保护设计测评要求（从网络访问控制方面考虑）解,30,信息系统等级保护设计,测评要求（从拨号访问控制方面考虑）,解决方案,a),应在基于安全属性的允许远程用户对系统访问的规则的基础上，对系统所有资源允许或拒绝用户进行访问，控制粒度为单个用户；,通过部署安全准入系统，对每一个远程用户进行分类访问控制（通过局域网出口设备或其他设备）,b),应限制具有拨号访问权限的用户数量；,通过局域网出口设备或其他设备,c),应按用户和系统之间的允许访问规则，决定允许用户对受控系统进行资源访问。,通过部署安全准入系统，设置严格的访问规则,30信息系统等级保护设计测评要求（从拨号访问控制方面考虑）解,31,信息系统等级保护设计,测评要求（从网络安全审计方面考虑）,解决方案,a),应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；,通过部署网管系统实现设备状态检测，通过安全准入系统实现用户行为审计；上网行为审计系统实现,b),对于每一个事件，其审计记录应包括,:,事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；,通过架设,syslog,服务器与防火墙对接获取日志，通过网管和准入系统的日志系统、以及,IDS,和上网行为审计系统实现,c),安全审计应可以根据记录数据进行分析，并生成审计报表；,同上,d),安全审计应可以对特定事件，提供指定方式的实时报警；,利用网管系统、入侵检测系统、安全准入系统的告警功能实现,e),审计记录应受到保护避免受到未预期的删除、修改或覆盖等。,管理员人工保留实现,31信息系统等级保护设计测评要求（从网络安全审计方面考虑）解,32,信息系统等级保护设计,测评要求（从边界完整性检查方面考虑）,解决方案,a),应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即,“,非法外联,”,行为）；,通过安全准入系统实现非法外联的检测和报告,b),应能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断；,通过安全准入系统所属客户端软件进行阻断,c),应能够对内部网络用户私自联到外部网络的行为进行检测后准确定出位置，并对其进行有效阻断。,通过安全准入系统所属客户端软件进行阻断,32信息系统等级保护设计测评要求（从边界完整性检查方面考虑）,33,信息系统等级保护设计,测评要求（从,网络入侵防范,、恶意代码防范方面考虑）,解决方案,a),应在网络边界处应监视以下攻击行为,:,端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、,IP,碎片攻击、网络蠕虫攻击等入侵事件的发生；,部署入侵检测实现,b),当检测到入侵事件时，应记录入侵的源,IP,、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。,部署入侵检测实现,a),应在网络边界及核心业务网段处对恶意代码进行检测和清除；,边界防火墙实现,b),应维护恶意代码库的升级和检测系统的更新；,边界防火墙实现,c),应支持恶意代码防范的统一管理。,边界防火墙实现,33信息系统等级保护设计测评要求（从网络入侵防范、恶意代码防,34,信息系统等级保护设计,测评要求（从网络设备防护方面考虑）,解决方案,a),应对登录网络设备的用户进行身份鉴别；,通过设置网络设备实现,b),应对网络上的对等实体进行身份鉴别；,通过设置网络设备实现,c),应对网络设备的管理员登录地址进行限制；,通过设置网络设备实现,d),网络设备用户的标识应唯一；,通过设置网络设备实现,e),身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；,通过设置网络设备实现,f),应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；,通过设置网络设备实现,g),应具有登录失败处理功能，如结束会话、限制非法登录次数，当网络登录连接超时，自动退出；,通过设置网络设备实现,h),应实现设备特权用户的权限分离，例如将管理与审计的权限分配给不同的网络设备用户。,通过设置网络设备实现,i),应设置网络登录连接超时，并自动退出；,通过设置网络设备实现,j),应实现设备特权用户的权限分离，例如将管理与审计的权限分配给不同的网络设备用户。,通过设置网络设备实现,34信息系统等级保护设计测评要求（从网络设备防护方面考虑）解,35,信息系统等级保护设计,（2）WEB服务防篡改设计,电子政务数据中心政务外网通过WEB的方式，将重要的信息和数据进行公开发布，而管理中心特殊的政府职能，就决定了其WEB站点必将成为黑客关注的焦点。目前，而针对主页系统的攻击包括篡改、拒绝服务、恶意脚本、信息泄露等攻击，常见的防护手段是防火墙、入侵检测和防病毒来，在采纳上述三种技术之上，如果对主页内容进一步进行防护，那将大大降低攻击的成功率，进一步提升WEB应用的安全性，这种技术就是主页防篡改。,35信息系统等级保护设计（2）WEB服务防篡改设计,36,信息系统等级保护设计,WEB,服务防篡改解决方案,36信息系统等级保护设计WEB服务防篡改解决方案,37,信息系统等级保护设计,（2）WEB服务防篡改设计,通过WEB防火墙能有效进行webshell 的检测、过滤与侦测、监控,通过单一WAF设备支持多个网站管理员分别配置管理防护策略，并提供独立的攻击事件报警、分析日志与报表；,WEB防火墙预置了攻击防御策略；设备上线，无需配置即可防御绝大多数攻击；同时也提供白名单功能，供高级客户使用，达到有效防止网页篡改。,37信息系统等级保护设计（2）WEB服务防篡改设计,38,信息系统等级保护设计,（3）内部访问控制及安全审计规划,要对各类系统产生的安全日志实现全面、有效的综合分析，就必须为安全管理员建立一个能够集中收集、管理、分析各种安全日志的安全审计管理中心，使网络管理员不用像以前那样从庞杂的日志信息中手工搜寻网络入侵的行为，为管理员提供一个方便、高效、直观的审计平台，大大提高安全管理员的工作效率和质量，更加有效地保障网络的安全运行。,主要从接入安全管理、安全审计、日志审计三个方面进行设计。,38信息系统等级保护设计（3）内部访问控制及安全审计规划,39,信息系统等级保护设计,（3）内部访问控制及安全审计规划,接入安全管理：,电子政务外网信息系统中有许多核心服务器系统、网络系统、应用系统和数据库系统等，这些系统的日常维护和管理都需要相关人员包括第三方人员的操作，这些维护操作的对象是核心系统，操作人员权限相对都是超级权限，带来的安全风险更大，所以对这些核心系统的维护操作需要专业的安全内控系统进行必要的授权、管理和审计，防止未授权的访问和误操作，对核心系统的维护人员的所有行为进行记录和展现，以备审查。,39信息系统等级保护设计（3）内部访问控制及安全审计规划,40,信息系统等级保护设计,（3）内部访问控制及安全审计规划,安全审计：,电子政务外网网络中普通用户，网络中有大量的访问和数据包被传递，如何在这些访问中发现存在的安全隐患，除了利用入侵防御系统进行实时监测以外，还需要有一种手段，可以对访问过程进行还原在发生安全事故时，通过对访问过程的还原，一方面能有效发现系统中可能存在的安全隐患，另一方面还为安全事故的事后处理提供证据。,40信息系统等级保护设计（3）内部访问控制及安全审计规划,41,信息系统等级保护设计,（3）内部访问控制及安全审计规划,日志审计：,针对电子政务外网信息系统，网络中各种安全设备（防火墙、 IDS 系统、病毒检测等）、操作系统（包括 Windows 和 Unix ）、应用服务（ email、 www 、 ftp 、 DNS ）等都可产生大量的审计数据。这些日志数据详实地记录了系统和网络的运行事件，是安全审计的重要数据。这些日志信息对于记录、检测、分析、识别各种安全事件和威胁有非常重要的作用。但由于目前网络攻击的手段越来越多样，攻击方法越来越隐蔽，单纯依靠这些彼此孤立的日志记录和简单的局部分析已经无法满足网络安全监测的目标。,41信息系统等级保护设计（3）内部访问控制及安全审计规划,42,深化任务,技能训练,1.,讲解,技能训练任务单,5,2.,下发,技能训练任务书,5,3.,学生按照技能训练任务书,4,的相关要求完成靳江市电子政务外网逻辑拓扑结构设计与网络链路选择,4.,学生填写,技能训练检查单,5,5.,依据,技能训练任务考核,5,的要求，采取自评、小组互评、教师评价的方式对学生完成的技能训练作品进行评价,6.,教师点评学生技能训练作品,42深化任务技能训练1.讲解技能训练任务单5,43,归纳总结、任务拓展,1.,政务外网安全体系架构与信息安全系统应用,。,2,.,花都县政务外网信息安全方案设计。,3,.,分析省级电子政务外网、省级金融行业网络安全规划与设计。,43归纳总结、任务拓展1.政务外网安全体系架构与信息安全系统,