English日本語
宁静方案建设思想
网络宁静品级�；つ步饩龇桨改脖；ぬ逑荡幽布际酢⒛补芾砗湍苍擞鑫冉猩杓� �；凇锻缒财芳侗；つ采杓萍际跻蟆罚℅B/T 25070-2019）宁静防护理念，构建“纵深防御+主动防御+连续监测”宁静防护体系 。
1) 纵深防御体系
“一其中心，三重防护”的纵深防御体系，即宁静技术从宁静计算环境、宁静区域界限、宁静通信网络和宁静管理中心等方面进行构建 。
2) 主动防御体系
从整个品级�；すぞ呷值慕嵌瘸龇�，对差异�；て芳丁⒉钜炷睬虻男畔⑾低呈凳┩骋坏哪补芾�，即建立全网集中的统一宁静管理平台 。结合IAWPDR2模型构建自主评估、风险驱动、实时预警、动态防护、宁静检测、及时响应于一体的主动防御闭环防护体系 。同时对整个品级�；すぞ吣沧纯隽嗖�，及时感知宁静态势 。
总体宁静方案框架
本方案网络宁静品级�；し阑た蚣苡杉际跆逑怠⒛补芾硖逑岛湍苍擞逑等棵抛槌� 。宁静技术体系建立以计算环境宁静为基础，以区域界限宁静、通信网络宁静为保障，以宁静管理中心为核心的信息宁静整体保障体系；宁静管理体系包罗宁静管理制度、宁静管理机构、宁静管理人员、宁静建设管理和宁静运维管理五部门；在宁静管理中心基础上，建立宁静运营中心（宁静运营体系），协调信息系统各个环节所接纳的宁静防护措施和宁静管理要素，形成相互关联、高度融合的宁静防护平台，实现对宁静事件的态势感知、实时监测、及时响应和综合防护，对网络系统宁静防护体系的动态更新，降低宁静风险，提升的信息宁静监管能力 。
宁静解决方案设计
宁静技术方案
1) 宁静通信网络
宁静通信网络设计思路及主要考虑的内容：
? 清晰界说宁静区域，划分出明确界限的网络区域；
? 主要网络设备和链路冗余部署；
? 通信传输加密 。
| 宁静控制点 | 宁静产物 | 技术措施 |
| 网络架构 | 上网行为管理平台 | 1、干路设备、界限设备、汇聚层以上的设备、宁静设备等设备性能冗余空间富足（路由器、交换机和防火墙提供网络通信功效的设备）； 2、带宽在设计要求上满足需求上要有一定比例的冗余； 3、划分VLAN，合理分配IP； 4、要害网络设备及宁静设备要求冗余配置 。 |
| 负载均衡 | ||
| 通信传输 | 新一代VPN综合网关（SAG） | 客户端到服务器、服务器到服务器之间要使用VPN等通信 。 |
| 商用密码机（国密）（SJJ） |
2) 宁静区域界限
宁静通信网络设计思路及主要考虑的内容：
? 明确区域间的宁静界限；
? 强化界限宁静防计谋；
? 明确界限宁静防护设备；
? 界限防护设备计谋恰当配置 。
| 宁静控制点 | 对标产物 | 技术措施 |
| 界限防护 | 防火墙、宁静网关 | 物理设备端口级访问控制 。 |
| 1）网络接入控制系统（NAC） | 1、控制非法联入内网（可使用宁静设备满足或技术措施如MAC绑定）； 2、控制非法联入外网； 3、无线网络通过受控的界限设备接入内部网络 。 | |
| 2）内网宁静风险管理与审计系统 | ||
| 3）网络非法接入检查系统 | ||
| 4）无线宁静产物 | ||
| 访问控制 | 1）防火墙（FW） | 1、界限访问控制计谋（网闸、防火墙、路由器和交换机等提供访问控制功效的设备）； 2、对进出网络的数据流实现基于应用协议和应用内容的访问控制 。 |
| 2）软件界说防火墙 | ||
| 3）NGFW | ||
| 4）USG一体化宁静网关 | ||
| 入侵防范 | 1）异常流量管理与抗拒绝服务系统（ADM） | 要害网络节点双向（外部提倡攻击和内部提倡攻击行为）网络攻击行为检测、防止或限制 。 |
| 2）入侵防御系统（NGIPS） | ||
| 3）入侵检测与管理系统（IDS） | ||
| 4）USG一体化宁静网关 | ||
| 高级连续性威胁检测系统（APT） | 实现对网络攻击特别是新型网络攻击行为的分析 。 | |
| 1）USG一体化宁静网关 | 检测到攻击行为时记录攻击信息，通过详细的攻击信息对攻击行为进行深度分析，及时作出响应 。 | |
| 2）入侵分析中心（DAC） | ||
| 恶意代码和垃圾邮件防范 | 1）入侵检测与管理系统（IDS） | 防御网络恶意代码 。 |
| 2）高级连续性威胁检测系统（APT） | ||
| 3）USG一体化宁静网关 | ||
| 邮件宁静管理系统 | 垃圾邮件进行检测和防护 。 | |
| 宁静审计 | 网络综合审计系统（CA&GE） | 1、综合宁静审计系统启用日志功效； 2、对审计记录进行�；�，定期备份，制止受到未预期的删除、修改或笼罩； 3、对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析 。 |
| 新一代日志审计系统（SA） |
3) 宁静计算环境
计算环境建设主要针对网络宁静设备（管理系统）、服务器（操作系统、数据库、中间件）、业务应用系统、系统管理软件的宁静参数配置和宁静防护措施 。宁静参数配置基于宁静基线（操作系统宁静加固手册、数据库宁静加固手册、网络设备宁静加固手册）完成，除设备层面的自身宁静加固外，宁静产物也能够提供一定的宁静防护措施 。
计算环境相关的宁静产物涉及认证授权类、日志审计类和检测防护类 。
| 宁静控制点 | 对标产物 | 技术措施 |
| 身份鉴别 | 1）宁静加固（配置） | 1、主机配置项：设备设置登录认证功效；用户名不易被推测，口令庞大度到达强密码要求（工具：终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和宁静设备）； 2、主机启用设备自身计谋：密码计谋、用户管理、登录失败处置功效，启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； 3、远程管理时，使用SSH、HTTPS加密； 4、双因素认证（用户名口令、动态口令、USBkey、生物特征等鉴别方式） 。 |
| 2）宁静配置核查管理系统 | ||
| 3）弱口令核查系统 | ||
| 4）运维宁静网关（OSM） | ||
| 5）应用宁静管控系统 | ||
| 6）统一宁静管控平台（4A） | ||
| 访问控制 | 1）宁静加固（配置） | 1、主机配置项：登录的用户账户和权限合理分配； 2、重命名或删除默认账户，修改默认账户的默认口令； 3、及时删除或停用多余的、过期的账户，制止共享账户的存在； 4、最小权限，管理用户的权限疏散（三权分立）； 5、合理分配访问控制计谋：访问控制的粒度应到达主体为用户级或进程级，客体为文件、数据库表级；设置宁静标志 。 |
| 2）运维宁静网关（OSM） | ||
| 3）应用宁静管控系统（ASCG） | ||
| 4）数据库防火墙（OG） | ||
| 宁静审计 | 1）宁静加固（配置） | 启用宁静审计计谋 。 |
| 2）统一宁静管控平台（4A） | 第三方管理软件开启日志审计计谋 。 | |
| 3）运维宁静网关（OSM） | ||
| 4）数据库审计系统（DA） | 通过宁静审计类产物，统一对数据库、应用系统、设备的日志进行收集、分析，日志至少生存6个月 。 | |
| 5）业务审计系统（BA） | ||
| 6）新一代日志审计系统（SA） | ||
| 入侵防范 | 1）宁静加固（配置） | 1、操作系统遵循最小安装原则，仅安装需要的组件和应用法式 2、关闭不需要的系统服务、默认共享和高危端口 3、配置终端接入方式、网络地址范围 4、系统配置项（如登录对输入框输入的内容进行长度、位数及庞大度验证等） 5、及时发现并修复已知漏洞 6、能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警 。 |
| 2）天清 WAG网页防改动系统/天清汉马USG一体化宁静网关 | ||
| 3）脆弱性扫描与管理系统 | ||
| 4）漏洞管理平台（VM） | ||
| 1）数据库防火墙（OG） | ||
| 2）Web应用宁静网关 | ||
| 天珣端点检测与响应系统（EDR） | ||
| 恶意代码防范 | 1）网络防病毒系统 | 宁静杀毒软件并及时更新库 。 |
| 2）端点检测与响应系统（EDR） | ||
| 数据保密性、完整性 | 1）宁静加固（配置） | 业务系统使用HTTPS，SSL 。 |
| 2）网页防改动系统（WAG-WS） | ||
| 3）电子签章系统（电子签章） 4）电子文档宁静系统 | ||
| 数据备份恢复 | 1）全量备份、增量备份、实时备份 | 数据备份（当地、异地） 双活热备（三级要求） |
| 2）异地备份 | ||
| 3）实时数据库同步系统（RDS） | ||
| 剩余信息�；� | 1）宁静加固（配置） | 应用配置项、数据脱敏 残留数据清除 |
| 2）数据库脱敏系统 | ||
| 个人信息�；� | 1）宁静加固（配置） | 应用配置项 个人信息�；� |
4) 宁静管理中心
宁静管理中心设计思路及主要考虑的内容：
? 建立宁静管理中心
部署集中管控平台，对系统的软硬件资产、数据资产、审计日志、告警信息、统计报表、统一身份认证和授权等进行集中管理 。
? 身份统一管理
网络宁静设备及计算设备的身份认证功效实现统一的、支持令牌或证书的强身份认证 。
? 网络（宁静）设备级计谋统一管理
对网络设备运行状况、性能监控，宁静计谋、宁静事件、补丁升级等宁静相关事项进行集中管理 。
? 日志集中管理
实现对网络宁静设备及计算设备的集中审计，对宁静事件进行分析、识别、记录和存储，监控内外部活动 。
| 宁静控制点 | 对标产物 | 技术措施 |
| 身份鉴别 | 统一宁静管控平台（4A） | 1、管理员统一身份认证、授权； 2、宁静审计 |
| 运维宁静网关（OSM） | ||
| 新一代日志审计系统（SA） | ||
| 集中管控 | 1）集中监控管理系统（CM） | 1、划分运维管理域，宁静设备或宁静组件集中管理； 2、建立一条宁静的信息传输路径； 3、对网络链路、宁静设备、网络设备和服务器等的运行状况进行集中监测； 4、对疏散在各个设惫亓审计数据进行收集汇总和集中分析，并保证审计记录的留存时间6个月以上； 5、对宁静计谋、恶意代码、补丁升级等宁静相关事项进行集中管理； 6、能对网络中发生的种种宁静事件进行识别、报警和分析 。 |
| 2）态势感知系统（CSA） | ||
| 3）新一代日志审计系统（SA） | ||
| 4）宁静管理平台（USM） | ||
| 5）漏洞管理平台（VM） |
宁静管理方案
宁静技术措施的有效实施需要宁静管理制度的助力，同样，宁静管理制度 的落实也经常需要技术措施的支撑，两者是相辅相成，相互关联 。网络宁静品级�；ざ杂诘ピ仓贫忍逑档慕ㄉ枰蟛握樟� ISO 27001 的相关尺度，即宁静管理制度体系自上而下分为信息宁静目标、宁静计谋、宁静管理制度、宁静技术规范、操作流程及记录表单，单元需要建设切合单元实际情况的管理制度体系，应笼罩物理、网络、主机系统、数据、应用、建设和运维等管理内容，并对管理人员或操作人员执行的 日常管理操作建立操作规程 。
| 文件级别 | 分类 | 文件内容 |
| 一级文件 | 宁静计谋 | 宁静计谋总纲 |
| 二级文件 | 管理制度 | 管理制度制定、宣布、维护方面的管理制度 |
| 宁静管理机构 | 宁静组织及岗位职责管理制度 | |
| 授权审批类制度 | ||
| 宁静审核和检查制度 | ||
| …… | ||
| 宁静管理人员 | 人员录用、离岗、考核等方面的管理制度 | |
| 人员宁静教育和培训方面的管理制度 | ||
| 外部人员管理制度 | ||
| …… | ||
| 宁静建设管理 | 工程实施过程管理方面的管理制度 | |
| 产物选型、采购方面的管理制度 | ||
| 测试、验收、交付方面的管理制度 | ||
| 软件开发管理制度 | ||
| 代码编写宁静规范 | ||
| 外包软件开发管理制度 | ||
| …… | ||
| 宁静运维管理 | 办公环境管理制度 | |
| 机房宁静管理制度 | ||
| 资产宁静管理制度 | ||
| 介质宁静管理制度 | ||
| 设备宁静管理制度 | ||
| 网络系统宁静管理制度 | ||
| 恶意代码防范管理制度 | ||
| 密码管理制度 | ||
| 配置管理制度 | ||
| 变换管理制度 | ||
| 备份与恢复管理制度 | ||
| 宁静事件管理制度 | ||
| 应急预案管理制度（包罗种种专项应急预案） | ||
| …… | ||
| 三级文件 | 配置规范 | 网络/宁静设备、操作系统、数据库等的配置基线 |
| 操作手册 | 应用软件设计法式文件 | |
| 软件使用指南 | ||
| 源代码说明文档 | ||
| 操作运维手册（流程表单、实施要领） | ||
| …… | ||
| 四级文件 | 记录、表单类 | 制度制、修订记录 |
| 种种审批记录 | ||
| 培训记录 | ||
| 会议记录 | ||
| 宁静检查表、宁静检查陈诉等 | ||
| 宁静管理岗位人员信息表 | ||
| 信息宁静外联单元相同合作联系表 | ||
| 保密协议 | ||
| 要害岗位宁静协议 | ||
| 人员录用、离职记录 | ||
| 法式资源库的修改、更新、宣布进行授权审批记录 | ||
| 工程实施方案 | ||
| 测试验收方案、记录等 | ||
| 宁静测试陈诉 | ||
| 交付清单 | ||
| 服务供应商合同、协议等 | ||
| 对服务供应商的宁静考核记录 | ||
| 外部人员访问挂号审批表 | ||
| 外部人员访问挂号记录表 | ||
| 外部人员保密协议 | ||
| 采购申请审批单 | ||
| 资产清单 | ||
| 品级�；すぞ咦什ǚ仙昵氡� | ||
| 设备出门条 | ||
| 设备维护记录表 | ||
| 信息宁静事件陈诉表 | ||
| 系统异常事件处置记录 | ||
| 应急处置审批表 | ||
| 漏洞扫描、风险评估陈诉 | ||
| 恶意代码检测记录、病毒处置记录 | ||
| 数据备份、恢复测试等记录 | ||
| 日常运维表单、记录 | ||
| 系统变换方案、审批记录 | ||
| 应急演练、培训记录 | ||
| …… |
Copyright ? 东森平台 版权所有 京ICP备05032414号 
京公网安备11010802024551号
