计算机信息系统分级保护专项方案.doc

方案
1系统总体布署
（1）涉密信息系统组网模式为：服务器区、安全管理区、终端区共同连接至关键交换机上，组成类似于星型结构网络模式，参考TCP/IP网络模型建立。关键交换机上配置三层网关并划分Vlan，在服务器安全访问控制中间件和防火墙上启用桥接模式，关键交换机、服务器安全访问控制中间件和防火墙上设置安全访问控制策略（ACL），严禁部门间Vlan互访，许可部门Vlan和服务器Vlan通信。关键交换机镜像数据至入侵检测系统和网络安全审计系统；服务器区包含原有应用系统；安全管理区包含网络防病毒系统、主机监控和审计系统、windows域控及WSUS补丁分发系统、身份认证系统；终端区分包含全部业务部门。
服务器安全访问控制中间件防护应用系统有：XXX系统、XXX系统、XXX系统、XXX系统和XXX系统、。
防火墙防护应用系统有：XXX、XXX系统、XXX系统、XXX系统和XXX系统。
（2）邮件系统作用是：进行信息驻留转发，实现点到点非实时通信。完成集团内部公文流转和协同工作。使用25、110端口，使用SMTP协议和POP3协议，内网终端使用C/S模式登录邮件系统。
将内网用户使用邮件账号在服务器群组安全访问控制中间件中划分到不一样用户组，针对不一样用户组设置安全等级，安全等级分为1-7级，可依据实际需求设置对应等级。1-7级安全层次为：1级最低级，7级最高级，由1到7逐层增高。即低密级用户能够向高密级用户发送邮件，高密级用户不得向低密级用户发送，确保信息流向正确性，预防高密数据流向低密用户。
（3）针对物理风险，采取红外对射、红外报警、视频监控和门禁系统进行防护。针对电磁泄射，采取线路干扰仪、视频干扰仪和红黑电源隔离插座进行防护。
2 物理安全防护
总体物理安全防护设计以下：
（1）周围环境安全控制
①XXX侧和XXX侧布署红外对射和入侵报警系统。
②布署视频监控，建立安防监控中心，关键部位实时监控。
具体布署见下表：
表1-1 周围安全建设
序号
保护部位
现有防护方法
需新增防护方法
1
人员出入通道

2
物资出入通道

3
南侧

4
西侧

5
东侧

6
北侧

（2）要害部门部位安全控制
增加电子门禁系统，采取智能IC卡和口令相结合管理方法。具体防护方法以下表所表示：
表1-2 要害部门部位安全建设
序号
保护部门
出入口控制
现有安全方法
新增安全方法
1

门锁/登记/
24H警卫值班

2

门锁

3

门锁

4

门锁

5

门锁/登记

6

门锁/登记

7

门锁/登记

8

门锁/登记

9

机房出入登记

10

门锁

（3）电磁泄漏防护
建设内容包含：
①为使用非屏蔽双绞线链路加装线路干扰仪。
②为涉密信息系统内终端和服务器安装红黑电源隔离插座。
③为视频信号电磁泄漏风险较大终端安装视频干扰仪。
经过以上建设，配合《安防管理制度》和《电磁泄漏防护管理制度》，使得达成物理安全防范到位、关键视频监控无死角、进出人员管理有序、实体入侵报警响应立即和电磁泄漏信号无法捕捉、无法还原。
2.1 红外对射
（1）布署
增加红外对射装置，防护边界，具体布署位置以下表：
表1-1 红外对射布署统计表
序号
布署位置
数量（对）
1
东围墙

2
北围墙

3
累计

布署方法以下图所表示：

图1-2 红外对射设备
设备成对出现，在安装地点双向对置，调整至相同水平位置。
（2）第一次运行策略
红外对射二十四小时不间断运行，当有物体经过，光线被遮挡，接收机信号发生改变，放大处理后报警。设置适宜响应时间，以10米/秒速度来确定最短遮光时间；设置人宽度为20厘米，则最短遮断时间为20毫秒，大于20毫秒报警，小于20毫秒不报警。
（3）设备管理及策略
红外对射设备由公安处负责管理，实时监测设备运行情况及设备对应情况，定时对设备及传输线路进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理关键部位监控及区域控制相关风险。
2.2 红外报警
（1）布署
增加红外报警装置，对保密要害部位实体入侵风险进行防护、报警，具体布署位置以下表：
表1-2 红外报警布署统计表
序号
布署位置
数量（个）
1

2

3

4
累计

设备形态以下图所表示：

图1-3 红外报警设备
布署在两处房间墙壁角落，安装高度距离地面2.0-2.2米。
（2）第一次运行策略
红外报警二十四小时不间断运行，设置检测37℃特征性10µm波长红外线，远离空调、暖气等空气温度改变敏感地方，不间隔屏、家俱或其它隔离物，不直对窗口，预防窗外热气流扰动和人员走动会引发误报。
（3）设备管理及策略
红外报警设备由公安处负责管理，监测设备运行情况及设备对应情况，定时对设备进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理关键部位监控及区域控制相关风险。
2.3 视频监控
（1）布署
增加视频监控装置，对周界、保密要害部门部位人员出入情况进行实时监控，具体布署位置以下表：
表1-3 视频监控布署统计表
序号
布署位置
数量（个）
1

2

3

4

5

6

7

8
累计

设备形态以下图所表示：

图1-4 视频监控设备
视频监控在室外采取云台枪机式设备，室内采取半球式设备，布署在房间墙壁角落，覆盖门窗及关键区域。
增加32路嵌入式硬盘录像机一台，用于对视频采集信息搜集和压缩存档。设备形态以下图所表示：

图1-5 硬盘录像机
（2）第一次运行策略
视频监控二十四小时不间断运行，设置视频采集格式为MPEG-4，显示分辨率768*576，存放、回放分辨率384*288。
（3）设备管理及策略
视频监控设备由公安处负责管理，实时监测设备运行情况及设备对应情况，定时对设备及传输线路进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理关键部位监控及区域控制相关风险。
2.4 门禁系统
（1）布署
增加门禁系统，对保密要害部门部位人员出入情况进行控制，并统计日志，具体布署位置以下表：
表1-4 门禁系统布署统计表
序号
布署位置
数量（个）
1

2

3

4

5

6

7

8

9

10

11
累计

布署示意图以下图所表示：

图1-6 门禁系统布署方法
（2）第一次运行策略
对每个通道设置权限，制作门禁卡，对能够进出该通道人进行进出方法授权，采取密码+读卡方法；设置能够经过该通道人在什么时间范围内能够进出；实时提供每个门区人员进出情况、每个门区状态（包含门开关，多种非正常状态报警等），设置在紧急状态打开或关闭全部门区功效；设置防尾随功效。
（3）设备管理及策略
门禁系统由公安处负责管理，定时监测设备运行情况及设备对应情况，对设备及传输线路进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理关键部位监控及区域控制相关风险。
2.5 线路干扰仪
（1）布署
增加8口线路干扰仪，防护传输数据沿网线以电磁传导、辐射发射、耦合等方法泄漏情况。将从交换机引至其布线最远端和次远端线缆插接至线路干扰仪，并由线路干扰仪连接至最远端和次远端，将该设备进行接地处理。
具体布署位置以下表：
表1-6 线路干扰仪布署统计表
序号
布署位置
数量（个）
1

2

3
累计

设备形态以下图所表示：

图1-11 线路干扰仪设备
（2）第一次运行策略
在网线中一对空线对上注入伪随机宽带扫频加扰信号, 使之能跟随其它三对网线上信号并行传输到另一终端；窃密者若再从网线或其它和网络干线相平行导线（如电话线及电源线等）上窃取信息，实际上所窃得仅是已被加扰信号充足湮没了混合信号。
（3）设备管理及策略
线路干扰仪由信息中心负责管理，对设备编号、标识密级、摆放、调测、定时对设备及传输线路进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理传输线路电磁泄漏发射防护相关风险。
2.6 视频干扰仪
（1）布署
增加视频干扰仪，预防对涉密终端视频信息窃取，对XXX号楼存在涉密终端布署，将该设备进行接地处理。、
具体布署位置以下表：
表1-7 视频干扰仪布署统计表
序号
布署位置
数量（个）
1

2

3

11
累计

设备形态以下图所表示：

图1-12 视频干扰仪设备
（2）第一次运行策略
设置设备运行频率为1000 MHz。
（3）设备管理及策略
视频干扰仪由信息中心负责管理，监测设备运行情况及设备对应情况，定时对设备进行检验、维护，并定时向保密办提交设备运维汇报。
（4）布署后处理风险
处理信息设备电磁泄漏发射防护相关风险。
2.7 红黑电源隔离插座
（1）布署
增加红黑电源隔离插座，防护电源电磁泄漏，连接红黑电源需要进行接地处理。
具体布署位置以下表：
表1-8 红黑电源布署统计表
序号
布署位置
数量（个）
1
涉密终端

2
服务器

3
UPS

4
累计

产品形态以下图所表示：

图1-13 红黑电源隔离插座
（2）运行维护策略
要求全部涉密机均直接连接至红黑电源上，红黑电源上不得插接其它设备。安装在涉密终端及涉密单机红黑隔离电源由使用者维护，安装在服务器由信息中心维护，出现问题向保密办汇报。
（4）布署后处理风险
处理信息设备电磁泄漏发射防护相关风险。
3 网络安全防护
3.1 网闸
使用1台网闸连接主中心和隶属中心，用于安全隔离及信息交换。
（1）布署
布署1台网闸于主中心及隶属中心关键交换机之间，做单向访问控制和信息交互。设备启用路由模式，经过路由转发连接主中心和隶属中心，从物理层到应用层终止全部协议包，还原成原始应用数据，以完全私有方法传输到另一个网络，主中心和隶属中心之间在任一时刻点上全部不产生直接物理连通。布署拓扑示意图以下：

图1-8 网闸布署拓扑示意图
（2）第一次运行策略
配置隶属中心访问主中心权限，许可隶属中心特定地址访问主中心全部服务器，许可其它地址访问企业内部门户和人力资源系统，配置访问内部门户SQL server数据库服务器，严禁其它全部访问方法。配置网闸病毒扫描，对流经网闸设备数据进行病毒安全扫描。配置系统使用Https方法管理，确保管理安全。
（3）设备管理及策略
网闸设备根据《网闸运维管理制度》进行管理。
a、由信息中心管理网闸设备，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对网闸设备进行编号、标识密级、安放至安全管理位置。
c、信息中心负责网闸设备日常运行维护，每七天登陆设备查看设备配置、设备本身运行状态、转发数据量状态、系统日志等内容。
d、信息中心发觉异常情况立即通报保密办，并查找问题原因，各部门配合信息中心立即处理问题。
e、信息中心负责网闸设备维修管理，设备出现问题，通知保密办，取得同意后，负责设备维修管理。
（4）布署后处理风险
处理两网互联边界防护问题，对应用访问进行细粒度控制，各自隔离，两网在任一时刻点上全部不产生直接物理连通。
3.2 防火墙
涉密信息系统采取防火墙系统1台进行边界防护，用于涉密信息系统网关安全控制、网络层审计等。防火墙系统布署于隶属中心。原有防火墙布署于主中心，不做调整。
（1）布署
使用防火墙系统限制隶属中心终端访问机密级服务器权限，而且统计全部和服务器区进行交互日志。防火墙eth1口、eth2口设置为透明模式，配置桥接口fwbridge0 IP地址，配置管理方法为https方法，打开多VLAN开关，打开tcp、udp、ICMP广播过滤。防火墙日志数据库安装在安全管理服务器上。布署拓扑示意图以下：

图1-9 防火墙布署示意图
（2）第一次运行策略
防火墙上设置访问控制策略，并设定不一样用户所能访问资源：
a、许可隶属中心授权用户访问软件配置管理系统。
b、开放系统内所能使用到端口，其它不使用端口进行全部严禁访问限制。
c、能够依据保密办相关要求设定审查关键字，对于流经防火墙数据流进行关键字过滤。
d、审计隶属中心用户和服务器区域数据交换信息，统计审计日志。
e、整个防火墙系统整个运行过程和网络信息流等信息，均进行具体日志统计，方便管理员进行审查。
（3）设备管理及策略
防火墙系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。防火墙日志系统维护，日志保留和备份根据《防火墙运维管理制度》进行管理。
a、由信息中心管理防火墙设备，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对防火墙设备进行编号、标识密级、安放至安全管理位置。
c、信息中心负责防火墙设备日常运行维护，每七天登陆设备查看设备配置、设备本身运行状态、转发数据量状态、系统日志等内容。
d、信息中心发觉异常情况立即通报保密办，并查找问题原因，各部门配合信息中心立即处理问题。
e、信息中心负责防火墙设备维修管理，设备出现问题，通知保密办，取得同意后，负责设备维修管理。
（4）布署后处理风险
原有防火墙确保主中心各Vlan三层逻辑隔离，对各安全域之间进行访问控制，对网络层访问进行统计和审计，确保信息安全保密要求访问控制和安全审计部分要求。
3.3 入侵检测系统
使用原有入侵检测设备进行网络层监控，保持原有布署及原有配置不变，设备管理维护依旧。此设备处理风险为对系统内安全事件监控和报警，满足入侵监控要求。
3.4 违规外联络统
（1）布署
采取涉密计算机违规外联监控系统，布署于内网终端、涉密单机及中间机上。违规外联监控系统采取B/S构架布署，安装1台内网监控服务器、1台外网监控服务器，安装645个用户端，全部安装于内网终端、涉密单机和中间机上。布署示意图以下。

图1-1 违规外联络统布署示意图
（2）第一次运行策略
系统实时地监测受控网络内主机及移动主机活动，对非法内/外联行为由报警控制中心统计并向管理员提供正确告警。同时，根据预定策略对非法连接实施阻断，预防数据外泄。报警控制中心能够以手机短信、电子邮件两种告警方法向网络管理员告警，其中手机短信是完全实时告警，很方便和立即。
（3）设备管理及策略
违规外联监控系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。违规外联监控系统日志系统同时维护，日志保留和备份根据《违规外联监控系统运维管理制度》进行管理。
a、由信息中心管理违规外联监控系统，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对违规外联监控系统报警服务器进行编号、标识密级、安放至安全管理位置。
c、信息中心负责违规外联监控系统日常运行维护，每七天登陆设备查看服务器硬件运行状态、策略配置、系统日志等内容。
d、信息中心发觉异常情况立即通报保密办，并查找问题原因，各部门配合信息中心立即处理问题。
e、信息中心负责违规外联监控系统服务器维修管理，设备出现问题，通知保密办，取得同意后，联络厂家负责设备维修管理。
f、当系统出现新版本，由管理员负责立即更新系统并做好备份工作。
（4）布署后处理风险
处理违规拨号、违规连接和违规无线上网等风险。
4 应用安全防护
4.1 服务器群组安全访问控制中间件
涉密信息系统采取服务器群组安全访问控制中间件2台，用于涉密信息系统主中心秘密级服务器、隶属中心秘密级服务器边界安全控制、应用身份认证、邮件转发控制、网络审计和邮件审计等。防护主中心XXX系统、XXX系统、XXX系统、XXX系统、XXX系统和XXX门户；防护隶属中心XXX系统和XXX类软件系统。
（1）布署
因为主中心终端之间和隶属中心内终端之间数据流动均被设计为以服务器为跳板进行驻留转发，所以在服务器前端服务器群组安全访问控制中间件系统起到了很强访问控制功效，限制终端访问服务器权限而且统计全部和服务器区进行交互日志。服务器群组安全访问控制中间件eth1口、eth2口设置为透明模式，启用桥接口进行管理。布署拓扑示意图以下：

图1-10 服务器群组安全访问控制中间件布署示意图
（2）第一次运行策略
服务器群组安全访问控制中间件上设置访问控制策略，并设定不一样用户所能访问服务器资源；设置邮件转发控制功效，为每个用户设置访问账号及密码，依据密级将用户划分至不一样用户组中，高密级用户不得向低密级用户发送邮件。配置邮件审计功效，统计发件人，收件人，抄送人，专题，附件名等。配置网络审计和控制功效，能够依据保密办相关要求设定审查关键字，对于流经系统数据流进行关键字过滤；审计内部用户和服务器区域数据交换信息，审计应用访问日志。
（3）设备管理及策略
服务器群组安全访问控制中间件系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。服务器群组安全访问控制中间件日志系统维护，日志保留和备份根据《服务器群组安全访问控制中间件运维管理制度》进行管理。
a、由信息中心管理服务器群组安全访问控制中间件设备，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心分别对2台服务器群组安全访问控制中间件设备进行编号、标识密级、安放至安全管理位置。
c、信息中心负责服务器群组安全访问控制中间件设备日常运行维护，每七天登陆设备查看设备配置、设备本身运行状态、转发数据量状态、系统日志等内容。
d、信息中心发觉异常情况立即通报保密办，并查找问题原因，各部门配合信息中心立即处理问题。
e、信息中心负责服务器群组安全访问控制中间件设备维修管理，设备出现问题，通知保密办，取得同意后，负责设备维修管理。
（4）布署后处理风险
处理对应用访问边界防护、应用及网络审计、数据库安全和数据流向控制，满足边界防护、安全审计及数据库安全等要求。
4.2 windows域控及补丁分发
改造原有AD主域控制器及备份域控制器。
（1）布署
主中心和隶属中心均布署AD主域控制器及备份域控制器，累计2套，并建立IIS服务器，安装WSUS服务器，提供系统补丁强制更新服务。将终端系统安全性完全和活动目录集成，用户授权管理和目录进入控制整合在活动目录当中（包含用户访问和登录权限等）。经过实施安全策略，实现系统内用户登录身份认证，集中控制用户授权。终端操作基于策略管理。经过设置组策略把对应多种策略（包含安全策略）实施到组策略对象中。布署拓扑示意图以下：

图1-7 域控及WSUS布署示意图
（2）第一次运行策略
建立好域组员及其密码，将全部内网终端当地账号权限收回，内网终端只能使用管理员下发域组员用户登录系统。经过组策略指定不一样安全域用户口令复杂性、长度、使用周期、锁定策略，指定每一个用户可登录机器。机密级终端需要将USB-KEY令牌和域用户登录结合使用，达成“双因子”判别过程。
设置终端用户工作环境，隐藏用户无用桌面图标，删除“开始”菜单中“运行”、“搜索”功效。
启用内网Windows XP终端内置WSUS用户端。由系统漏洞官方漏洞公布页下载完整系统漏洞修复程序，将此程序经过中间机系统导入涉密信息系统，在WSUS服务器端导入此程序，由WSUS服务器下发系统补丁强制修复策略，强制更新各个终端系统漏洞。
（3）设备管理及策略
AD域控系统和WSUS补丁分发系统由信息中心进行管理及维护，域控组策略改动均需要经过保密办讨论后方可操作。WSUS系统升级更新根据《和管理及补丁分发运维管理制度》进行管理。
a、由信息中心管理AD域控系统和WSUS补丁分发系统，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心分别对2套AD域控系统和WSUS补丁分发系统服务器进行编号、标识密级、安放至安全管理位置。
c、信息中心负责AD域控系统和WSUS补丁分发系统服务器日常运行维护，每七天登陆服务器查看服务器硬件运行状态、组策略配置、域组员状态、系统日志等内容。
d、信息中心发觉异常系统日志立即通报保密办，并查找原因，追究根源。
（4）布署后处理风险
处理部分身份判别和操作系统安全相关风险。
4.3 网络安全审计
使用网络安全审计系统2台，用于对涉密信息系统网络及应用进行安全审计和监控。审计功效包含：应用层协议还原审计、数据库审计、网络行为审计、自定义关键字审计等。
（1）布署
旁路布署于关键交换机镜像目标接口，布署数量为2台，分别布署于主中心和隶属中心关键交换机上。设置其管理地址，用于系统管理及维护。布署拓扑示意图以下：

图1-14 网络安全审计布署示意图
（2）第一次运行策略
配置审计http、POP3、Smtp、imap、telnet、FTP协议和自定义审计1433、8080、27000、1043、1034、1037、1041、1040、1042、6035、7777、3690端口；依据保密要求设定相关关键词字，审计关键词字；使用Https方法管理系统。
（3）设备管理及策略
网络安全审计系统由信息中心进行管理及维护，审计策略改动均需要经过保密办讨论后方可操作。网络安全审计系统日志系统维护，日志保留和备份根据《网络安全审计运维管理制度》进行管理。
a、由信息中心管理网络安全审计设备，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心分别对2台网络安全审计设备进行编号、标识密级、安放至安全管理位置。
c、信息中心负责网络安全审计系统日常运行维护，每七天登陆设备查看设备配置、设备本身运行状态、转发数据量状态、系统日志等内容。
d、信息中心发觉异常审计日志立即通报保密办，并查找原因，追究根源。
e、信息中心负责网络安全审计系统维修管理，设备出现问题，通知保密办，取得同意后，负责设备维修管理。
（4）布署后处理风险
处理应用审计，针对内容进行审计统计，满足安全审计相关要求。
5 终端安全防护
5.1 防病毒系统
将使用网络版防病毒软件建立病毒防护系统，累计26个服务器端，419个用户端，分别布署在主中心和隶属中心。
将使用单机版防病毒软件建立中间机、单机及便携式计算机病毒防护系统，累计226个终端。
（1）布署
防病毒系统采取用户端+服务器结构，服务器由信息中心负责管理。
杀毒中心安装：安装在安全管理服务器上，设置好admin密码，而且将注册信息输入到杀毒控制中心。
服务器安装：在各类服务器上安装杀毒服务器端，设置杀毒中心IP地址，并保持和杀毒中心实时通信。
用户端安装：全部内外终端均安装用户端杀毒程序，设置杀毒中心IP地址，和杀毒中心同时。
单机防病毒系统直接布署在涉密单机及中间机上。
（2）第一次运行策略
防病毒控制中心服务器布署在保密室。网络防病毒系统连接在关键交换机access接口上。交换机接口配置Vlan二层信息为：接口类型为access，为其划分Vlan，使得其和其它Vlan不能经过二层相通，使得网络防病毒系统需要经过三层和其它Vlan通信，即网络防病毒系统能够对网络中全部主机设备进行杀毒统一管理和在线控制。
全部接入网络终端计算机和应用服务器（windows操作系统）全部安装防病毒软件，管理员经过控制台实现对全网防病毒系统统一管理，并强制在用户接入网络时安装防病毒用户端。
升级方法为：在非涉密计算机上从互联网下载最新防病毒系统升级包，刻制成光盘。将此光盘上防病毒系统升级包经过非涉密中间机导入到涉密光盘上，带入到涉密内网防病毒系统服务器上。利用服务器上防病毒系统服务端提供接口导入升级包，再经过服务端将更新了病毒库向每一台防病毒系统用户端进行强制更新。
防病毒管理：定时升级病毒特征库，每七天不少于一次；定时进行全网杀毒扫描，天天计划不少于一次；每个月检验防病毒系统运行情况并统计，备份并存放病毒日志；制订应急预案，预防病毒大面积爆发。
（3）设备管理及策略
为了预防计算机病毒或恶意代码传输，将采取以下方法：
a、制订《涉密信息系统运行管理制度》，该管理措施将和涉密信息系统建设同时进行制订，同时加强审计，确保策略正确实施；
b、加强存放设备接入管理，对接入系统存放设备必需先经过计算机病毒和恶意代码检验处理；
c、全部涉密计算机usb及光驱等接口均经过授权才能使用，预防系统用户私自安装软件或使用usb设备带病毒入网。
（4）布署后处理风险
处理计算机病毒和恶意代码防护、操作系统安全相关风险。
5.2 恶意程序辅助检测系统
涉密信息系统采取恶意程序辅助检测系统，用于涉密信息系统中间机信息输入输出介质恶意程序及木马病毒查杀及管控。
（1）布署
系统采取单机布署在中间机上结构。共4台中间机，主中心2台，隶属中心2台，分别为涉密中间机和非涉密中间机。4台中间机上均安装恶意程序辅助检测系统，对中间机潜在恶意程序及木马进行管控。
（2）第一次运行策略
使用恶意程序辅助检测系统接管系统关键服务、限制未知程序开启、未知驱动加载、设置策略进行恶意代码扫描、设置策略拦截恶意程序盗取行为。
（3）设备管理及策略
恶意程序辅助检测系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。恶意程序辅助检测系统日志系统同时维护，日志保留和备份根据《恶意程序辅助检测系统运维管理制度》进行管理。
a、由信息中心管理恶意程序辅助检测系统，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对中间机进行编号、标识密级、统计安放位置并指定中间机责任人。
c、信息中心负责定时到中间机提取审计日志信息等内容。
d、信息中心发觉高风险事件立即通报保密办，并查找风险源头，各部门配合信息中心立即处理问题。
e、中间机责任人严格遵守《恶意程序辅助检测系统运维管理制度》，使用中间机需要进行申请、审批、登记摆渡内容、使用恶意程序辅助检测系统预防摆渡介质可能携带恶意程序及木马危害系统。
（4）布署后处理风险
处理中间机计算机病毒和恶意代码防护相关风险。
5.3 主机监控和审计系统
使用原有主机监控和审计系统进行对终端行为监控和限制，保持原有布署及原有配置不变，管理方法及策略依旧。此设备处理风险为设备数据接口控制、主机安全审计风险。
5.4 移动介质管理系统
采取移动介质管理系统对企业移动存放介质进行管理。
（1）布署
使用一台单机作为移动存放介质系统管理机，安装涉密移动存放介质保密管理系统和审计平台。该单机放置于信息中心，由信息中心管理维护。
布署30个用户端。具体分布以下表所表示。
表1-5 移动介质系统布署汇总表
序号
布署位置
数量
1

2

3

4

5

6

7

8

9

10
累计

（2）第一次运行策略
使用移动介质管理系统对企业移动存放介质进行：注册登记、授权、定密、发放、收回、销毁、删除。采取全盘加密技术，预防格式化U盘后进行数据恢复。
（3）设备管理及策略
移动介质下发至各部门，由各部门进行统一管理，保密办进行二级管理，借用需要经过部门领导审批，登记后进行使用，并限定使用时间及使用范围。采取技术防护手段为主机监控和审计系统，进行移动介质设备管控和日志统计。移动介质出现硬件问题后，交由保密办统一封存处理。
（4）布署后处理风险
处理介质安全存在风险。
5.5 终端安全登录及身份认证系统
采取终端安全登录和监控审计系统（网络版），用于对机密级终端“双因子”登录身份认证。采取终端安全登录和监控审计系统（单机版），用于对涉密单机、中间机登录身份认证、主机监控和审计。
（1）布署
终端安全登录和监控审计系统（网络版）服务器布署于安全管理区，数量为2套，分别布署于主中心和隶属中心。认证用户端安装于机密级终端上，累计89台。
单机版直接布署在具全部中间机和涉密单机上。
（2）第一次运行策略
全部终端策略采取以下方法进行：开机安全登录和认证，关闭光驱、软驱、串口、并口、红外、蓝牙、网络接口、1394火线、PDA。USB存放自由使用。严禁修改注册表、安装软件、安全模式开启、外联、更换设备。严禁打印、监控文件操作。特殊终端假如需要开放特殊策略，则必需由保密办审批核准后，由信息中心系统管理员进行策略调整和下发。
（3）设备管理及策略
终端安全登录和监控审计系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。终端安全登录和监控审计系统日志系统同时维护，日志保留和备份根据《终端安全登录和监控审计系统运维管理制度》进行管理。
a、由信息中心管理终端安全登录和监控审计系统，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对终端安全登录和监控审计系统服务器进行编号、标识密级、安放至安全管理位置。
c、信息中心负责终端安全登录和监控审计系统日常运行维护，每七天登陆设备查看服务器硬件运行状态、策略配置、系统日志等内容。
d、信息中心发觉异常情况立即通报保密办，并查找问题原因，各部门配合信息中心立即处理问题。
e、信息中心负责终端安全登录和监控审计系统服务器维修管理，设备出现问题，通知保密办，取得同意后，联络厂家负责设备维修管理。
（4）布署后处理风险
处理身份判别、数据接口控制、主机安全审计相关风险。
5.6 光盘刻录监控和审计
采取光盘刻录监控和审计系统，用于对刻录行为监控和审计。
（1）布署
布署在含有刻录权限内网终端、中间机和涉密单机上。
（2）第一次运行策略
对和拥有光盘刻录权限终端，设置光盘刻录监控和审计策略，统计刻录行为发生时间，刻录文件名称等日志信息。操作同时，需要对纸质登记统计给予完善，完成申请、审批、统计操作内容、登记归档等步骤。
（3）设备管理及策略
光盘刻录监控和审计系统由信息中心进行管理及维护，任何策略改动均需要经过保密办讨论后方可实施。光盘刻录监控和审计系统日志系统同时维护，日志保留和备份根据《光盘刻录监控和审计系统运维管理制度》进行管理。
a、由信息中心管理光盘刻录监控和审计系统，分别设置管理员、安全保密管理员、安全审计员口令，由“三员”分别管理。
b、由信息中心对光盘刻录监控和审计系统各终端进行编号、标识密级、统计安放位置。
c、信息中心负责定时到光盘刻录监控和审计系统终端提取审计日志信息等内容。
d、信息中心发觉高风险事件立即通报保密办，并查找风险源头，各部门配合信息中心立即处理问题。
（4）布署后处理风险
处理I/O光盘刻录输出风险，控制设备数据接口。
6 管理改善提议
（1）界定三员职责、明晰工作内容
将三员职责及分工明确具体化，建立健全相互监督机制，系统管理员配置系统策略，安全保密管理员管理系统审计日志，安全审计员监督系统管理员和安全保密管理员操作行为，强化工作制度约束。
①系统管理员职责
a、保障涉密信息系统安全运行；
b、负责涉密信息系统软件及硬件设备安装和维护；
c、参与涉密信息系统安全策略、计划和事件处理程序制订；
d、落实防病毒方法和系统补丁分发，确保信息系统正常运行。
②安全保密管理员职责
a、建立健全涉密信息系统保密管理制度，监督、检验信息系统保密管理及技术方法落实情况；
b、负责对信息系统用户身份验证，预防非法用户进入系统。
c、负责用户口令管理，建立口令管理规程和检验创建账户机制，避免口令泄露。
d、负责对安全保密设备和系统所产生日志审查并进行分析。
e、负担涉密信息系统安全事件处理。
③安全审计员职责
a、监督信息系统运行情况，定时查看系统审计统计；
b、对系统管理员、安全保密管理员操作行为进行审计、跟踪、分析、监督和检验，立即发觉违规行为；
c、定时向系统安全保密管理机构汇报审计相关情况。
（2）健全保密管理策略
制订网络技术环境下具体安全业务、步骤、职责、规范、要求策略规范及制度。
（3）强化监督管理实施力度
在以后保密安全审计监督管理中，指定相关实施效果奖惩制度，重视和实施效果相关稽核审计。
（4）制订监督机制
建立针对个人、部门、机构、单位监督机制，并在制度中明确要求对统计、惩戒、改善等监督手段和机制，提升监督机制实施效果，加强可操作性，以明确数字得分形式展现实施效果。