業(yè)務全網(wǎng)等級保護三級整改
當前位置： 首頁 ? 解決方案 ? 業(yè)務全網(wǎng)等級保護三級整改
背景
政府機關單位為保證其核心業(yè)務應用的持續(xù)、穩(wěn)定運行，實現(xiàn)各核心業(yè)務應用之間信息的安全共享，該單位按照《信息安全等級保護管理辦法》（公通字[2007]43號）文件精神，結(jié)合自身核心業(yè)務系統(tǒng)特點開展信息安全等級保護建設整改工作。
在項目推進的前期準備階段，該單位信息中心對自身業(yè)務系統(tǒng)的安全狀況，邀請了專業(yè)的第三方等級保護咨詢服務商進行了深入的調(diào)研和評估，梳理和整理了當前運行的所有業(yè)務系統(tǒng)，并依據(jù)《信息系統(tǒng)等級保護定級指南》對自身核心業(yè)務系統(tǒng)的保護進行了定級備案、差距分析與風險評估、安全規(guī)劃等一系列準備工作。上級單位通過了該單位等級保護整改建設方案的評審，該單位等級保護工作正式進入整改建設階段。
安全需求
1.明確安全域、線路和節(jié)點冗余設計，實現(xiàn)動態(tài)流量優(yōu)先級控制；
2.各個網(wǎng)絡區(qū)域邊界沒有訪問控制措施；
3.互聯(lián)網(wǎng)出口需要重點的安全防護和冗余設計；
4.提高安全維護人員對入侵行為的檢測能力；
5.對內(nèi)部人員訪問互聯(lián)網(wǎng)進行控制和審計；
6.加強網(wǎng)站應用的安全防護措施；
7.建立符合等級保護要求的內(nèi)部審計機制；
8.構(gòu)建基于用戶身份的網(wǎng)絡準入控制體系；
9.建立并保持一個文件化的信息安全管理體系，明確管理職責、規(guī)范操作行為。
方案設計
整體網(wǎng)絡架構(gòu)重新設計，如下圖：
物理安全：機房要滿足等保三級基礎要求。
網(wǎng)絡安全：網(wǎng)絡結(jié)構(gòu)進行優(yōu)化，所有核心節(jié)點全冗余部署，同時還要有網(wǎng)絡優(yōu)先級控制；互聯(lián)網(wǎng)出口部署抗拒絕服務攻擊設備；同時由于雙出口運營商，部署鏈路負載均衡實現(xiàn)智能選路；所有安全區(qū)域邊界位置部署應用防火墻，開啟防火墻、IPS、WAF、網(wǎng)關殺毒模塊；互聯(lián)網(wǎng)出口區(qū)域部署上網(wǎng)優(yōu)化網(wǎng)關，實現(xiàn)應用阻截、流控和網(wǎng)絡行為審計功能；內(nèi)外網(wǎng)之間部署網(wǎng)閘設備和桌面虛擬化一體機；無線環(huán)境總出口部署無線控制器實現(xiàn)無線認證和管控。
主機安全：服務器及用戶終端統(tǒng)一安裝網(wǎng)絡殺毒軟件；服務器及用戶終端統(tǒng)一安裝必要的終端安全管理系統(tǒng)；進行人工干預的安全加固工作；虛擬化辦公環(huán)境部署瘦終端，與VDS實現(xiàn)連接后，通過網(wǎng)閘擺渡圖像數(shù)據(jù)，實現(xiàn)遠程虛擬化訪問，確保主機自身安全性。
應用安全：使用統(tǒng)一認證系統(tǒng)進行身份管理和認證管理；重要業(yè)務訪問建立安全加密連接，建立CA系統(tǒng)保證抗抵賴機制；實行代碼審計工作防御應用級安全漏洞；遠程辦公用戶可通過連接SSL VPN進行應用的授權登陸和加密訪問；部署應用性能監(jiān)控實時監(jiān)控應用服務的性能和審計信息；通過虛擬化技術訪問遠端應用，借助單點登錄技術及強認證訪問控制實現(xiàn)虛擬化應用的安全訪問和操作。
數(shù)據(jù)安全：建立備份恢復機制，部署備份服務器和存儲系統(tǒng)；建立異地災備設施；重要數(shù)據(jù)的存儲進行加密和離線處理；建立備份恢復檢驗機制；通過虛擬化安全桌面技術和服務器/存儲虛擬化技術，經(jīng)過網(wǎng)閘的圖像數(shù)據(jù)擺渡，實現(xiàn)數(shù)據(jù)的不落地操作，確保敏感數(shù)據(jù)的不外泄及鏈路傳輸?shù)谋Ｃ苄栽瓌t。
安全管理層面：部署安全管理中心SOC進行全網(wǎng)管控；編寫對應安全管理制度、安全管理機構(gòu)設定、人員安全管理規(guī)范、系統(tǒng)建設管理規(guī)范、系統(tǒng)運維管理規(guī)范。
方案價值
? 明確了重要系統(tǒng)的業(yè)務邊界，優(yōu)化原有的網(wǎng)絡結(jié)構(gòu)
依據(jù)等級保護分域保護思想，為該單位規(guī)劃了不同功能的安全區(qū)域，為該單位今后業(yè)務發(fā)展以及后續(xù)網(wǎng)絡安全基礎設施的部署和安全策略的實現(xiàn)提供堅實的基礎。
? 充分利用多種安全技術手段，提升了業(yè)務系統(tǒng)邊界保護能力
依據(jù)相關等級別保護設計標準，通過部署下一代防火墻以及安全審計等多種安全防護產(chǎn)品，增強了不同區(qū)域間業(yè)務用戶訪問控制能力，提升了該單位邊界抵御內(nèi)部攻擊行為的能力。
? 從多個層面初步建立了完善的審計機制
安全審計是等級保護中十分強調(diào)和關注的安全機制，針對該單位審計能力不足的問題，項目建設中通過分析業(yè)務的關鍵路徑和操作行為習慣，設計并部署了網(wǎng)絡審計、數(shù)據(jù)庫審計等多種探測引擎，針對用戶不同層面，不同視角的業(yè)務操作進行審計跟蹤，從而國家等級保護部門和上級主管部門對該單位業(yè)務的安全監(jiān)管要求，以及組織內(nèi)部責任追溯的業(yè)務訴求。
? 實現(xiàn)該單位對敏感個人隱私信息的有效保護
依據(jù)等級保護關于身份鑒別、可信數(shù)字電文的有關要求，實現(xiàn)對該單位業(yè)務系統(tǒng)敏感信息機密性、完整性的全面保護，保障了統(tǒng)計上報數(shù)據(jù)中關于個人及組織的合法利益。
? 明確人員安全管理職責，提高了系統(tǒng)安全運維安全管理水平
本次建設該單位在等級保護技術體系建設的同時，配合大量的咨詢、服務的配合與支撐，提高該單位業(yè)務系統(tǒng)安全運維的效率和管理水平。
政府機關單位為保證其核心業(yè)務應用的持續(xù)、穩(wěn)定運行，實現(xiàn)各核心業(yè)務應用之間信息的安全共享，該單位按照《信息安全等級保護管理辦法》（公通字[2007]43號）文件精神，結(jié)合自身核心業(yè)務系統(tǒng)特點開展信息安全等級保護建設整改工作。
在項目推進的前期準備階段，該單位信息中心對自身業(yè)務系統(tǒng)的安全狀況，邀請了專業(yè)的第三方等級保護咨詢服務商進行了深入的調(diào)研和評估，梳理和整理了當前運行的所有業(yè)務系統(tǒng)，并依據(jù)《信息系統(tǒng)等級保護定級指南》對自身核心業(yè)務系統(tǒng)的保護進行了定級備案、差距分析與風險評估、安全規(guī)劃等一系列準備工作。上級單位通過了該單位等級保護整改建設方案的評審，該單位等級保護工作正式進入整改建設階段。
安全需求
1.明確安全域、線路和節(jié)點冗余設計，實現(xiàn)動態(tài)流量優(yōu)先級控制；
2.各個網(wǎng)絡區(qū)域邊界沒有訪問控制措施；
3.互聯(lián)網(wǎng)出口需要重點的安全防護和冗余設計；
4.提高安全維護人員對入侵行為的檢測能力；
5.對內(nèi)部人員訪問互聯(lián)網(wǎng)進行控制和審計；
6.加強網(wǎng)站應用的安全防護措施；
7.建立符合等級保護要求的內(nèi)部審計機制；
8.構(gòu)建基于用戶身份的網(wǎng)絡準入控制體系；
9.建立并保持一個文件化的信息安全管理體系，明確管理職責、規(guī)范操作行為。
方案設計
整體網(wǎng)絡架構(gòu)重新設計，如下圖：
物理安全：機房要滿足等保三級基礎要求。
網(wǎng)絡安全：網(wǎng)絡結(jié)構(gòu)進行優(yōu)化，所有核心節(jié)點全冗余部署，同時還要有網(wǎng)絡優(yōu)先級控制；互聯(lián)網(wǎng)出口部署抗拒絕服務攻擊設備；同時由于雙出口運營商，部署鏈路負載均衡實現(xiàn)智能選路；所有安全區(qū)域邊界位置部署應用防火墻，開啟防火墻、IPS、WAF、網(wǎng)關殺毒模塊；互聯(lián)網(wǎng)出口區(qū)域部署上網(wǎng)優(yōu)化網(wǎng)關，實現(xiàn)應用阻截、流控和網(wǎng)絡行為審計功能；內(nèi)外網(wǎng)之間部署網(wǎng)閘設備和桌面虛擬化一體機；無線環(huán)境總出口部署無線控制器實現(xiàn)無線認證和管控。
主機安全：服務器及用戶終端統(tǒng)一安裝網(wǎng)絡殺毒軟件；服務器及用戶終端統(tǒng)一安裝必要的終端安全管理系統(tǒng)；進行人工干預的安全加固工作；虛擬化辦公環(huán)境部署瘦終端，與VDS實現(xiàn)連接后，通過網(wǎng)閘擺渡圖像數(shù)據(jù)，實現(xiàn)遠程虛擬化訪問，確保主機自身安全性。
應用安全：使用統(tǒng)一認證系統(tǒng)進行身份管理和認證管理；重要業(yè)務訪問建立安全加密連接，建立CA系統(tǒng)保證抗抵賴機制；實行代碼審計工作防御應用級安全漏洞；遠程辦公用戶可通過連接SSL VPN進行應用的授權登陸和加密訪問；部署應用性能監(jiān)控實時監(jiān)控應用服務的性能和審計信息；通過虛擬化技術訪問遠端應用，借助單點登錄技術及強認證訪問控制實現(xiàn)虛擬化應用的安全訪問和操作。
數(shù)據(jù)安全：建立備份恢復機制，部署備份服務器和存儲系統(tǒng)；建立異地災備設施；重要數(shù)據(jù)的存儲進行加密和離線處理；建立備份恢復檢驗機制；通過虛擬化安全桌面技術和服務器/存儲虛擬化技術，經(jīng)過網(wǎng)閘的圖像數(shù)據(jù)擺渡，實現(xiàn)數(shù)據(jù)的不落地操作，確保敏感數(shù)據(jù)的不外泄及鏈路傳輸?shù)谋Ｃ苄栽瓌t。
安全管理層面：部署安全管理中心SOC進行全網(wǎng)管控；編寫對應安全管理制度、安全管理機構(gòu)設定、人員安全管理規(guī)范、系統(tǒng)建設管理規(guī)范、系統(tǒng)運維管理規(guī)范。
方案價值
? 明確了重要系統(tǒng)的業(yè)務邊界，優(yōu)化原有的網(wǎng)絡結(jié)構(gòu)
依據(jù)等級保護分域保護思想，為該單位規(guī)劃了不同功能的安全區(qū)域，為該單位今后業(yè)務發(fā)展以及后續(xù)網(wǎng)絡安全基礎設施的部署和安全策略的實現(xiàn)提供堅實的基礎。
? 充分利用多種安全技術手段，提升了業(yè)務系統(tǒng)邊界保護能力
依據(jù)相關等級別保護設計標準，通過部署下一代防火墻以及安全審計等多種安全防護產(chǎn)品，增強了不同區(qū)域間業(yè)務用戶訪問控制能力，提升了該單位邊界抵御內(nèi)部攻擊行為的能力。
? 從多個層面初步建立了完善的審計機制
安全審計是等級保護中十分強調(diào)和關注的安全機制，針對該單位審計能力不足的問題，項目建設中通過分析業(yè)務的關鍵路徑和操作行為習慣，設計并部署了網(wǎng)絡審計、數(shù)據(jù)庫審計等多種探測引擎，針對用戶不同層面，不同視角的業(yè)務操作進行審計跟蹤，從而國家等級保護部門和上級主管部門對該單位業(yè)務的安全監(jiān)管要求，以及組織內(nèi)部責任追溯的業(yè)務訴求。
? 實現(xiàn)該單位對敏感個人隱私信息的有效保護
依據(jù)等級保護關于身份鑒別、可信數(shù)字電文的有關要求，實現(xiàn)對該單位業(yè)務系統(tǒng)敏感信息機密性、完整性的全面保護，保障了統(tǒng)計上報數(shù)據(jù)中關于個人及組織的合法利益。
? 明確人員安全管理職責，提高了系統(tǒng)安全運維安全管理水平
本次建設該單位在等級保護技術體系建設的同時，配合大量的咨詢、服務的配合與支撐，提高該單位業(yè)務系統(tǒng)安全運維的效率和管理水平。
關于我們
公司介紹
大事記
企業(yè)文化
團隊組成
組織架構(gòu)
聯(lián)系方式
解決方案
整體基礎設施架構(gòu)
新安全及等級保護
智慧無線
網(wǎng)絡優(yōu)化
桌面云
超融合
產(chǎn)品線
新安全
無線
云計算
網(wǎng)絡優(yōu)化
新聞動態(tài)
行業(yè)資訊
媒體報道
社會熱點
國際行情
7x24小時咨詢熱線02787660562 郵箱：service@tilear.com
地址：武漢市洪山區(qū)書城路369號