数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
一、企业信息系统现状
某企业生产业务管理系统于2006年6月开始实施，生产管理系统以产品的采购、运输、储存、销售、财务管理与控制为基本管理对象，包括供应链管理、客户管理和电子商务等模块的功能；目前整个网络覆盖本单位生产园区内各车间。系统主要功能是对生产业务信息进行采集、加工、存储、传输和检索等。本系统主要承载本单位生产信息管理业务，是针对此业务的单一信息系统。
生产业务管理系统由本单位信息中心负责管理，承担其信息安全保护责任，信息中心为生产业务管理系统定级的责任单位。生产业务管理系统是信息中心的定级对象。数字化转型网www.szhzxw.cn
二、信息系统安全分析
生产信息管理系统的业务信息遭到入侵、修改、增加或删除等不明侵害，会对社会秩序和公众利益造成影响和损害。具体表现为，本单位生产的产品其生产销售情况关系到社会的稳定和人民群众的切身利益，符合等保三级的定级标准。数字化转型网www.szhzxw.cn
生产信息管理系统的安全由技术和管理两方面保障，技术方面包括物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复，管理方面包括安全管理制度、安全管理是机构、人员安全管理、系统建设管理和系统运维管理。数字化转型网www.szhzxw.cn
通过访谈、问卷调研和工具测试等手段，与等级保护第三级的标准要求进行对比。经过分析整理发现存在以下问题：
| 检测内容 | 检查项 | 符合数 | 基本符合数 | 不符合数 | |
| 技术要求 | 物理安全 | 31 | 15 | 10 | 6 |
| 网络安全 | 34 | 7 | 5 | 22 | |
| 主机安全 | 30 | 9 | 7 | 14 | |
| 应用安全 | 33 | 8 | 6 | 19 | |
| 数据安全与备份恢复 | 9 | 5 | 1 | 3 | |
| 管理要求 | 安全管理制度 | 10 | 2 | 1 | 7 |
| 安全管理是机构 | 19 | 8 | 6 | 5 | |
| 人员安全管理 | 17 | 8 | 5 | 4 | |
| 系统建设管理 | 46 | 33 | 3 | 10 | |
| 系统运维管理 | 61 | 42 | 6 | 13 | |
| 合计 | 290 | 137 | 50 | 103 | |
信息安全建设存在的主要问题：
1)网络安全方面，对网络设备的安全审计和网络设备的自身防护等。
2)主机安全方面，操作系统长时间未更新补丁，部分服务器未安装防病毒软件。
3)安全管理制度的制定和操作流程的标准化规范化。
本方案以等保三级为标准对企业的现状进行分析，按标准进行查缺补漏，根据信息系统存在的问题进行整改，并提供详细的解决方案。数字化转型网www.szhzxw.cn
三、安全技术总体设计
- 安全建设目标
根据信息安全等级保护的要求，从技术体系和管理体系两个方面入手、完善信息系统的安全建设，达到信息安全等级保护三级安全防护的要求。进行信息系统整体安全建设规划，在这个安全策略的控制和指导下，综合设计信息系统的安全防护措施、安全检测与响应手段和信息安全综合管理能力，建设一个完善的信息安全体系，保证信息系统的安全。
- 方案建设原则和依据
为了更有效地保障信息系统的安全，设计安全方案时应结合网络安全法的要求和国家信息系统安全等级保护的要求，结合多年的安全实践设计完善的解决方案。本方案设计依据的政策法规与标准如下：
国家政策法规
1)《中华人民共和国网络安全法》
2)《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）；
3)《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003] 27号）；
4)《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）；
5)《信息安全等级保护管理办法》（公通字 [2007]43号）；
6)《信息安全等级保护备案实施细则》（公信安[2007]1360号）；
7)《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）。
等级保护及信息安全相关国家标准
（1）《计算机信息系统安全保护等级划分准则》（GB17859-1999）；
（2）《信息系统安全等级保护实施指南》（GBT 25058-2010）；
（3）《信息系统安全保护等级定级指南》（GB/T22240-2008）；
（4）《信息系统安全等级保护基本要求》（GB/T22239-2008）；
（5）《信息系统等级保护安全设计技术要求》（GB/T 25070-2010）；
（6）《信息安全技术 信息系统安全等级保护测评要求》；
（7）《信息安全技术 信息系统安全等级保护测评过程指南》；
（8）《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007）；
（9）《信息安全技术 信息系统安全管理要求》（GB/T 20269-2006）；
（10）《信息安全管理体系要求》（GB/T 22080-2008）；
（11）《信息安全管理实用准则》（GB/T 22081-2008）；
（12）《信息系统通用安全技术要求》（GB/T 20271-2006）等相关的一系列具体技术标准。
- 方案总体架构
依据本方案的设计依据和标准，基于网络安全法和信息安全等级保护的要求，结合安全模型在整体的安全策略的控制和指导下，在综合运用防火墙、身份认证和加密等防护工具的同时，利用漏洞扫描和入侵检测等系统了解和评估系统的安全状态，并通过备份容灾方式来保证系统在受到破坏后的迅速恢复。
1.安全策略
安全策略的制定要结合现有的信息系统实际情况制定，安全策略要明确被保护的主体和原因，明确安全工作的具体职责，提供解决出现的问题的基准。安全策略要在一段时期内固定不变。
2.安全防护
1)物理安全的目的是保护中心机房以及供电设备、服务器、网络安全设备和通信链路等免受自然灾害、人为破坏等攻击；同时能验证用户的身份和使用权限，防止用户越权操作；确保中心机房有一个良好的电磁兼容环境；建立完备的机房安全管理制度，妥善保管备份磁带和文档资料；
2)网络防问控制，防火墙是保证网络安全的重要屏障，可以实现不同安全级别的网络安全隔离，保证涉密网络的边界安全，通过制定和实施相应的安全策略保证不同安全级别之间的网络不发生越级通信。防火墙在任何情况下都不应该被旁路。数字化转型网www.szhzxw.cn
3)网关病毒过滤，目前绝大部分的病毒威胁来源于网络，尤其是电子邮件和网页浏览，因此部署一个有效的安全网关防护系统来解决边界病毒、垃圾邮件和非法内容是非常必要的。例如防毒墙、或是配置防毒模块的安全网关，终端的安全防护以网络版的杀毒软件为主，并配以终端安全管理软件，以防止非法内联。
3.安全检测
1)入侵检测系统通过扫描网络数据流的特征字段或者探测系统的异常行为，来发现安全攻击的存在。一旦发现攻击可以根据预定的措施自动反应，例如暂时封掉发起该扫描的IP地址，同时记录下网络攻击的相关日志以进行追查和溯源。
2)安全审计收集审计跟踪的信息，通过列举被记录的安全事件的类别，例如明显违反或成功操作的完成等日志信息，能适应各种不同的需要，同时对潜在的侵犯安全的攻击行为起到威慑作用。
3)安全扫描采用非破坏性的办法来检验系统是否存在被攻击导致崩溃的漏洞。网络安全扫描技术与防火墙、安全监控系统互相配合能够为网络提供很高的安全性。
4.安全响应
安全产品的复杂性和多样性导致很多时候安全产品本身并不能解决网络中出现的所有涉及安全的问题。这就需要安全产品生产商定期提供网络安全风险分析和产品的特征库的更新服务，发现异常并及时处理，以便发生攻击事件时，在最短的时间内提供技术支持和应急预案。
四、安全技术详细设计
目前生产业务管理系统主要包括3台应用服务器、2台数据库服务器、1台防病毒服务器、3台测试服务器和一些交换机、路由器、防火墙，入侵检测、漏洞扫描等网络安全设备，具备了信息系统的基本要素，终端用户430个，分布在园区各车间内，系统的边界用防火墙区分。数字化转型网www.szhzxw.cn
本系统主要承载本单位生产信息管理业务，是针对此业务的单一信息系统。生产业务管理系统采用C/S结构设计，各客户端进行数据的采集和检索，服务器端进行数据的加工、存储和传输等。
- 安全防护解决方案
生产业务管理系统整体分为5个区域，分别为核心交换区、安全管理区、服务器区、内网区和终端区，各区域之间通过防火墙实现安全隔离与防护。
1)核心交换区通过电信线路接入互联网；
2)终端区由交换机、防火墙组成。交换机负责网络内部的数据交换以及数据的快速转发。防火墙负责专网出口互联；
3)安全管理区由防火墙、防毒墙、入侵防御、抗DDOS设备、流量控制、日志审计、运维审计设备组成。防火墙负责网络出口访问控制，防毒墙负责病毒的检测与防御，抗DDOS设备负责对DDOS攻击的防御，日志审计负责对网络与安全设备的日志进行存储与分析、运维审计对网络与安全设备进行管理；
4)服务器区由多台服务器组成，为业务系统提供硬件支持。为了保障数据的安全，数据库服务器部署在内网区，通过网闸与应用服务器交换数据。数字化转型网www.szhzxw.cn
1、安全域划分方案
安全域建设是基于网络和系统进行安全建设的部署依据；安全域和域边界防护使纵深防护能够有效地实施；安全域边界是灾难发生时的抑制点，防止影响的扩散。根据之前对生产管理系统的分析，一般分为以下几个功能区域，终端域：由所有办公终端组成；服务器域：由生产管理系统的服务器，杀毒服务器和系统备份服务器等组成；安全管理域：由安全管理平台的服务器和安全设备组成，实现对系统的管理。
2、边界安全方案
安全域划分的主要目的是保证域边界的安全防护。在所有互联网与服务器区之间配置防火墙进行边界隔离，将防火墙放置在安全域边界处，可以有效地保护网络。
在互联网的边界部署防火墙，在终端域与服务器域的边界部署防火墙，可以采用透明模式接入两个安全域之间。
防火墙采用透明模式的工作方式无须改变原有网络结构，对网络性能和系统体系结构影响较小，防火墙规则上只开放生产业务管理系统需要的网络端口和地址。
3、信息系统防病毒方案
通过配置边界防毒网关在互联网入口对病毒、垃圾邮件和恶意代码进行控制，保证HTTP、FTP、SMTP等协议的安全，信息在进入内部网络前由安全网关进行查杀毒，并过滤来自互联网的垃圾邮件。
边界防病毒网关部署在接入路由器与防火墙之间，也可部署在防火墙与内部网络之间。信息系统的终端和服务端需要部署网络版防病毒系统。数字化转型网www.szhzxw.cn
- 安全监测解决方案
安全监测解决方案包括入侵检测方案、漏洞扫描方案、安全审计方案三个方面：
1、入侵检测方案
建议在网络中部署入侵检测系统对入侵和滥用行为进行检测和审计。通过在网络中部署入侵检测系统，可以提供有效的安全保障。可以检测和发现针对系统的网络攻击行为，对这些攻击行为可以采取记录、报警和主动阻断等动作，以便事后分析和行为追踪。定义禁止访问网站，限制内部人员对不良网站的访问。可以提供强大的网络行为审计能力，让网络安全管理员跟踪用户和应用程序等对网络的使用情况，帮助他们改进网络规划。对入侵检测系统的使用和使用人员的管理一定要有专门的制度。
根据安全域的划分，建设在核心交换机旁路部署入侵检测系统，用以监测来自互联网的所有安全威胁，IDS的管理口需接入安全运维域的安全管理服务器，用来进行IDS的日常管理和维护。
2、漏洞扫描解决方案
漏洞扫描可以动态地了解网络设备、主机和应用的安全弱点、通过修补这些安全弱点来尽量减少攻击的可能性。它能实现对目标网络稳定的周期性扫描，保证整体网络防护；具有跨过路由器和防火墙进行直接安全分析的能力，能对目标网络实现扫描，扫描对象可以是基于TCP/IP协议的网络上的各种服务器或是主机，防火墙、路由器以及WEB站点和数据库进行扫描，它帮助系统管理员集中了解系统中存在的安全漏洞，并提供相应的网络安全漏洞解决方案。数字化转型网www.szhzxw.cn
漏洞扫描系统采用硬件机架式无限IP的系统，部署在安全管理区，旁路接入核心交换机即可。
3、安全审计设计方案
网络安全审计系统采用旁路侦听技术，是主机审计的有力补充。网络审计可以审计任何经由特定网络中间设备的主机的网络信息，基于对网络协议的分析与统计，从网络层对整个网络进行审计与保护。
- 安全管理解决方案
在安全管理中主要从技术层面和策略层面两个方面进行，因为安全管理是一个复杂渐进的过程，需要不断地改进和提高。信息安全管理平台以计算机技术为基础，结合企业的行政管理手段，以实现高效的和安全的应用。由于信息系统的网络设备、应用系统、安全设备和用户平台等具有多样性，因此对管理平台或系统的要求也比较高，必须采用专业的网络综合管理系统，对网络中的所有设备和系统平台进行统一集中管理，获取所有设备的工作状态和网络负载状态，同时可以看到网络活动的日志信息，用它来对网络状态进行分析，提供更有效的安全策略，网络系统还能够监测客户端系统状态，接管客户端进行远程管理等。
- 信息安全建设痛点和难点分析
1、网络安全方面，对网络设备的安全审计和网络设备的自身防护等。
需要新增日志审计设备，把网络安全设备的日志服务器配置为日志审计设备的IP地址，日志存储时间要超过六个月以备查看。网络设备的只能通过堡垒机登录，不允许从其它终端或是服务器登录网络设备，网络安全设备的登录密码要满足复杂性要求并定期更换，堡垒机的管理只能通过网管主机进行管理，加强相应的运维制度建设。
2、主机安全方面，操作系统长时间未更新补丁，部分服务器未安装防病毒软件。
部分服务器系统因使用时间较长，厂商已不再为系统更新补丁，这样的系统要及时升级到新版本的系统，系统补丁要定期及时更新。服务器要全部安装杀毒软件并设置为每天自动更新病毒库。对于系统补丁和病毒库的更新情况要做到定期巡检，从根本上保障主机的安全。数字化转型网www.szhzxw.cn
3、安全管理制度的完善和操作流程的规范化。
信息系统的安全包括技术和管理两个层面，两个层面要互相支持互相补充，信息系统才能更安全，加强安全管理制度的完善，增强安全管理能力，保障安全管理制度的实施，操作流程制度化、标准化、规范化。安全管理制度的完善与操作流程规范化细节参考第七部分调查表。数字化转型网www.szhzxw.cn
五、安全服务解决方案
在整体信息安全体系的建设中，除了对具体的安全风险和问题采取基于产品和技术的解决方案以外，还需要对信息安全的管理平台进行建设，以达到相应的安全目标。
- 安全咨询服务
根据等级保护基本要求，企业需要在建立技术体系的同时，建立并完善安全管理体系。安全管理体系要求建立适合自身特点和管理运作方式的网络安全管理职能部门，来负责协调、管理整个信息系统的安全。在对现有业务流程和管理制度做充分调研的基础上，制定一套操作性强的安全策略体系，用以指导单位的网络安全工作。包括制定网络安全管理组织架构，协助建立企业内的网络安全管理小组，并制定职责文档；制定安全管理策略体系以及相关管理文档；根据部门人员的角色进行相应的培训，提高相关人员的安全意识和安全技术水平。数字化转型网www.szhzxw.cn
- 评估服务
安全风险评估包括风险分析和评估流程，风险分析的过程是对影响、威胁和脆弱性分析的过程 ，以资产为中心评估资产破坏后造成的影响、威胁的严重程度。评估流程包括确定评估范围阶段；资产的识别和估价阶段；安全威胁评估阶段；脆弱性评估阶段；风险的分析阶段；风险的管理阶段；
- 加固服务
安全加固服务是根据安全评估的结果制定统一的安全策略，对网络及应用系统进行管理加强、环境优化增强、安全域规划和系统加固等工作，通过安全加固及增强服务后，使整个网络和应用系统的安全状况提升到一个较高的水平。使系统中不再存在CVE（Common Vulnerabilities & Exposures通用漏洞披露）标准的高风险漏洞和中风险漏洞，没有修补的漏洞要记录，已修补的漏洞不能影响业务系统的功能和性能。
- 日常维护服务
日常维护服务指定期的安全审计、对入侵检测系统的日常监控、网络设备配置优化、最新安全通告和补丁更新等内容; 通过保持更新和加强系统的安全水平，将应用系统的安全水平维持在一个稳定的状态; 周期性的安全审计服务包括每季一次的安全技术评估和每月一次的安全检查; 对数据备份的日常巡检，每年进行至少一次数据恢复测试; 定期进行网络安全应急演练与渗透测试等工作内容。
六、方案总结
通过对生产业务信息系统的整改，使信息系统达到了等保三级标准的要求，无论是网络安全、主机安全、数据安全，还是安全管理制度的完善都较整改前上了一个新的台阶，通过对信息安全建设，加强了网络设备的安全审计和网络设备的自身防护；提升了主机安全性；降低了运维复杂度，提升了运维工作效率。为生产业务信息系统今后平稳的运行打下了坚实的基础，也为其它信息系统的安全铺平了道路。按照相关国家标准的要求，符合等保三级的信息系统需要每年进行一次测评，复测时如果信息系统没有变更，相关测评过程会较第一次测评便捷一些。安全是一个循序渐进的过程，随着等保2.0标准的出台，在防范APT攻击和态势感知方面还有一些工作要做。
声明：本文来自twt企业IT社区，版权归作者所有。文章内容仅代表作者独立观点，不代表数字化转型网立场，转载目的在于传递更多信息。如有侵权，请联系我们。数字化转型网www.szhzxw.cn
数字化转型网数据专题包含哪些内容
数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
本文由数字化转型网（www.szhzxw.cn）转载而成，来源于twt企业IT社区；编辑/翻译：数字化转型网萍水。
