XXXX集团办公及邮件系统等级保护三级安全整改建设方案.doc
《XXXX集团办公及邮件系统等级保护三级安全整改建设方案.doc》由会员分享,可在线阅读,更多相关《XXXX集团办公及邮件系统等级保护三级安全整改建设方案.doc(70页珍藏版)》请在咨信网上搜索。
1、XXXX集团公司办公及邮件系统信息等级保护(三级)建设方案2016年5月目 录1总述41.1项目背景41.2设计依据51.3设计目标51.4设计范围52安全目标分析62.1系统定级情况62.2定级系统现状62.3等保三级安全要求102.3.1基本要求三级要求122.3.2设计技术要求三级要求142.4安全需求分析152.4.1合标差距分析安全需求162.4.2风险评估分析安全需求213等级保护总体设计243.1方案设计原则243.2方案设计思想253.3总体安全框架273.3.1分区分域设计283.3.2安全技术架构303.3.3安全管理架构323.4等级保护建设流程规范化324等级保护安全技
2、术建设344.1物理安全344.1.1物理安全设计344.1.2物理安全设计具体措施344.2技术安全354.2.1技术安全设计354.2.2等级保护安全建设后网络拓扑404.2.3安全区域划分404.2.4等级保护安全技术措施414.3应用安全434.3.1应用安全设计434.3.1办公系统和邮件系统应开发安全功能444.4等级保护所需安全产品清单445安全管理建设455.1安全管理要求455.2信息安全管理体系设计465.2.1安全管理体系设计原则465.2.2安全管理体系设计指导思想465.2.3安全管理设计具体措施465.3信息安全管理体系设计总结556安全产品选型及指标566.1设备
3、选型原则566.2安全产品列表586.3主要安全产品功能性能要求596.3.1网络接入控制系统596.3.2服务器操作系统安全加固软件646.3.3主机监控与审计系统661 总述1.1 项目背景随着国家信息化发展战略的不断推进,信息资源已经成为代表国家综合国力的战略资源。信息资源的保护、信息化进程的健康发展是关乎国家安危、民族兴旺的大事。信息安全是保障国家主权、政治、经济、国防、社会安全和公民合法权益的重要保证。2003年中央办公厅、国务院办公厅转发的国家信息化领导小组关于加强信息安全保障工作的意见(中办发200327号)明确指出:“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方
4、面的重要办公系统和邮件系统,抓紧建立信息安全等级保护制度,制定信息安全等级保护的管理办法和技术指南”。信息安全等级保护制度是提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化设计健康发展的一项基本制度,是开展信息安全保护工作的有效办法,是信息安全保护工作的发展方向。实行信息安全等级保护制度有利于在信息化设计过程中同步设计信息安全设施,保障信息安全与信息化设计相协调;有利于为信息系统安全设计和管理提供系统性、针对性、可行性的指导和服务,有效控制信息安全设计成本;能够强化和重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要系统的安全;能够明确国家、法人和
5、其他组织、公民的信息安全责任,加强信息安全管理。实行信息安全等级保护制度具有重大的现实意义和战略意义,是国家对重要工程项目信息系统安全保护设计提出的强制性要求。XXXX公司(以下简称为“XXXX”)的前身是中国航空技术进出口总公司。XXXX由中国航空工业集团公司控股,全国社会保障基金理事会、北京普拓瀚华投资管理中心(有限合伙)和中航建银航空产业股权投资(天津)有限公司共同持股。XXXX是中国航空工业的重要组成部分,是中国航空工业发展的先锋队,改革的试验田,是中国航空工业开拓国际市场、发展相关产业、扩大国际投资的综合平台。XXXX从自身信息化业务需求和安全需求角度出发,为了满足XXXX总部各类业
6、务信息系统的安全稳定运行,提高对重要商业信息安全的基本防护水平,更好的实现与中航工业金航商网的对接,决定针对企业内部的办公系统和邮件系统,按照国家信息安全等级保护三级水平开展安全整改建设工作,确保信息系统安全、可靠、稳定运行和长远发展。1.2 设计依据本方案主要依据以下文件和技术标准进行编写:关于信息安全等级保护工作的实施意见(公通字200466号)信息安全等级保护管理办法(公通字200743号)计算机信息系统安全保护等级划分准则(GB17859-1999)信息安全技术 信息系统等级保护安全设计技术要求(GB/T25070-2010)信息安全技术 信息系统安全等级保护基本要求(GB/T2223
7、9-2008)信息安全技术 信息系统安全等级保护实施指南(GB/T25058-2010)1.3 设计目标通过开展等级保护安全体系设计,从“保密性、完整性、可用性”角度为XXXX办公系统和邮件系统提供安全保障,实现系统安全和信息安全,保障系统资源和信息资源的最大化安全使用,达到通过国家信息安全等级保护(三级)测评的水平,最终实现有效支撑办公系统和邮件系统安全、可靠、长远发展的总体目标。1.4 设计范围XXXX办公系统和邮件系统是本等级保护安全整改建设项目要保护的目标系统,本建设方案将以国家信息安全等级保护相关文件和技术标准为依据,将以自主知识产权和国产化信息安全装置为基础,对XXXX的办公系统和
8、邮件系统相关的物理环境、硬件平台、软件平台以及定级系统自身,从管理和技术两个方面进行总体的规划和设计。2 安全目标分析2.1 系统定级情况编号系统名称安全等级系统状态1办公系统(含门户系统、OA系统端和移动端)三级拟定级2邮件系统三级拟定级2.2 定级系统现状XXXX的办公系统和邮件系统是本次开展等级保护建设的目标系统。两个系统尚未进行定级备案,拟定级为等保三级。(一)定级系统概述办公系统主要用于XXXX内部工作人员办公使用。办公系统由门户系统和OA系统两个子系统组成,OA系统又包括PC系统端和移动端两部分。办公系统可通过办公内网或互联网进行访问,系统用户总数约为1800人,XXXX总部大厦约
9、有办公人员500人。办公系统可通过PC和智能移动终端进行访问,PC端系统为B/S架构,智能移动终端系统为C/S架构,需安装相应的APP客户端软件。邮件系统为XXXX内部工作人员提供邮件服务,系统总用户数为3023人,用户分布于国内和国外。邮件系统通过互联网访问,用户可使用Web方式或第三方邮件客户端软件进行收发操作。图:定级系统现状拓扑图(二)定级系统服务器情况办公系统共有6台服务器,均部署在北京总部机房中。这6台服务器的功用:OA数据库服务器、OA应用服务器、移动OA应用服务器、OA数据库备份服务器及门户数据库服务器、门户应用服务器(虚拟机)。OA系统的PC系统端和移动端有各自的应用服务器,
10、后端数据库为同一个数据库。OA数据库服务器和OA应用服务器划分在Internet访问入口区的DMZ区中,移动OA应用服务器、OA数据库备份服务器、门户数据库服务器和门户应用服务器(虚拟机)均划分在内网服务器区中。OA系统的4台服务器均采用Windows操作系统,系统版本为Windows2003;门户系统服务器均采用红帽子(RHEL)Linux操作系统,系统版本为5.4。邮件系统服务器共有两台,这两台服务器采用镜像方式部署,分别安装于北京总部机房和深圳总部机房中。深圳节点为源节点,北京节点为镜像节点,两服务器之间通过一条10M电信邮件专线互联、同步。邮件服务器操作系统为红帽子Linux6.3。由
11、于等级保护采用属地化管理,因此,本次安全保护建设将只针对邮件系统北京节点服务器,不涉及深圳节点服务器。表:定级系统服务器列表序号系统用途操作系统版本安全域1办公系统OA数据库服务器Windows2003DMZ区2办公系统OA应用服务器Windows2003DMZ区3办公系统移动OA应用服务器Windows2003内网服务器区4办公系统OA数据库备份服务器Windows2003内网服务器区5办公系统门户数据库服务器RHEL5.4内网服务器区6办公系统门户应用服务器RHEL5.4内网服务器区7邮件系统邮件服务器RHEL6.3DMZ区(三)现有安全资源(设备)表:现有安全产品列表编号设备类型和名称数
12、量单位说明1深信服负载均衡M5400 AD1台访问出口安全防护;2山石UTM-M61101台访问出口安全防护;3深信服流控系统AC-20801台访问出口安全防护;4深信服负载均衡AD-16801台访问入口安全防护;5启明星辰防火墙USG-2010D1台访问入口安全防护;6绿盟入侵防护NIPS N1000A1台访问入口安全防护;7深信服Web应用防火墙WAF1台访问入口安全防护;8创佳互联移动设备管理1套移动安全防护;9江南信安移动安全接入网关1台移动接入安全防护;10深信服SSL VPN1台移动接入安全防护;11绿盟网络安全审计SAS1000C1台网络安全及数据库审计;12绿盟BVSS安全核查
13、1台网络安全审计;13安恒综合日志管理DAS-2001台网络安全审计;14绿盟WSMS网站检测1台网络安全审计;15绿盟运维审计SASNX3-H600C1台网络安全审计;16绿盟入侵检测NIDS N1000A1台网络安全审计;17无线AC1台无线网络控制管理;18启明星辰防火墙USG-FW-2010D1台服务器区安全防护;19启明星辰天榕电子文档安全系统500点终端数据防泄漏;20绿盟堡垒机1台安全运维管理;21华为Esigh网管系统1套网络设备运维管理(仅限华为设备);22虚拟化移动OA500点移动办公信息防泄漏;(四)其他安全措施1、 设备管理权限a) 专线路由器和楼层交换机通过ACL控制
14、,只允许管理员的IP地址登陆设备,并且创建不同级别的用户权限,超级管理员拥有所有权限,一般管理员只有访问权限不可修改;b) 根据部门划分VLAN,不同VLAN不能互访;c) 安全设备没有对登陆设备的源IP进行限制,创建不同级别权限的用户,网络管理员拥有最高权限,普通管理员只允许查看;2、 内外网访问设备途径;a) 管理员统一通过绿盟堡垒机登录设备进行网管;b) 管理员在公司以外的地方需要管理设备的时候,首先登录公司深信服VPN设备,然后登录堡垒机对设备进行网管;3、 每月月初根据IPS日志,汇总上月入侵防护事件,形成安全月报(专人负责);4、 内部用户上网,通过深信服行为管理实现上网认证,认证
15、方式用户名加密码和短信认证;5、 网络入口和出口各部署一台深信服链路负载均衡设备,入口联通20M,电信20M;出口联通40M,电信40M;6、 网络入口负载均衡主要负责智能DNS和网络地址转换,有效隐藏内部服务器的IP地址;网络出口负载均衡主要负责针对内部员工上网进行地址转换和链路负载均衡;7、 通过网络入口防火墙,允许内部用户对DMZ区资源的访问,控制粒度为用户加端口;8、 通过内部服务器区防火墙,允许内部用户对内部服务器区资源的访问,控制粒度为用户加端口;9、 深信服上网行为管理的外置数据中心可以记录用户6个月内的上网行为;10、 现有网络中,Esigh网管软件只能对华为设备的运行状况产生
16、日志,不支持第三方设备;11、 IPS可以对端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等进行进行告警并有效阻断;12、 IPS可以记录攻击源IP、攻击类型、攻击目的、攻击时间,在发送严重入侵事件时应提供报警;13、 IPS和VPN有专人负责策略下发和资源控制。2.3 等保三级安全要求计算机信息系统安全保护等级划分准则(GB17859-1999)(以下简称为“等级划分准则”)中定义三级信息系统安全防护等级为安全标记保护级。安全标记保护级的计算机信息系统可信计算基具有系统审计保护级的所有功能。此外,还需提供有关安全策略模型、数据标记以及主体对客体强制
17、访问控制的非形式化描述,具有准确地标记输出信息的能力;消除通过测试发现的任何错误。等级划分准则中规定,信息系统需要具备以下安全特性以保证相应的安全等级:n 自主访问控制计算机信息系统可信计算基定义和控制系统中命名用户对命名客体地访问。实施机制(例如:访问控制表)允许命名用户以用户和(或)用户组的身份规定并控制客体的共享;阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式或默认方式,阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只允许由授权用户指定对客体的访问权。阻止非授权用户读取敏感信息。n 强制访问控制计算机信息系统可信计算基对所有主体及其所
18、控制的客体(例如:进程、文件、段、设备)实施强制访问控制。为这些主体及客体指定敏感标记,这些标记是等级分类和非等级类别的组合,它们是实施强制访问控制的依据。计算机信息系统可信计算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基控制的所有主体对客体的访问应满足:仅当主体安全级中的等级分类高于或等于客体安全级中的等级分类,且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别,主体才能读客体;仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类,且主体安全级中的非等级类别包含于客体安全级中的非等级类别,主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数据,鉴别用
19、户的身份,并保证用户创建的计算机信息系统可信计算基外部主体的安全级和授权受该用户的安全级和授权的控制。n 标记计算机信息系统可信计算基应维护与主体及其控制的存储客体(例如:进程、文件、段、设备)相关的敏感标记。这些标记是实施强制访问的基础。为了输入未加安全标记的数据,计算机信息系统可信计算基向授权用户要求并接受这些数据的安全级别,且可由计算机信息系统可信计算基审计。n 身份鉴别计算机信息系统可信计算基初始执行时,首先要求用户标识自己的身份,而且,计算机信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统可信计算基使用这些数据鉴别用户身份,并使用保护机制(例如:口令)
20、来鉴别用户的身份;阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识,计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该用户所有可审计行为相关联的能力。n 客体重用在计算机信息系统可信计算基的空闲存储客体空间中,对客体初始指定、分配或再分配一个主体之前,撤消客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权时,当前主体不能获得原主体活动所产生的任何信息。n 审计计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录,并能阻止非授权的用户对它访问或破坏。计算机信息系统可信计算基能记录下述事件:使用身份鉴别机制;将客体引入
21、用户地址空间(例如:打开文件、程序初始化);删除客体;由操作员、系统管理员或(和)系统安全管理员实施的动作,以及其他与系统安全有关的事件。对于每一事件,其审计记录包括:事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件,审计记录包含请求的来源(例如:终端标识符);对于客体引入用户地址空间的事件及客体删除事件,审计记录包含客体名及客体的安全级别。此外,计算机信息系统可信计算基具有审计更改可读输出记号的能力。对不能由计算机信息系统可信计算基独立分辨的审计事件,审计机制提供审计记录接口,可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记录。n 数据完整性计算机
22、信息系统可信计算基通过自主和强制完整性策略,阻止非授权用户修改或破坏敏感信息。在网络环境中,使用完整性敏感标记来确信信息在传送中未受损。2.3.1 基本要求三级要求信息安全技术 信息系统等级保护安全设计技术要求(GB/T25070-2010)(以下简称为“基本要求”)。基本要求中规定三级安全防护能力应能够在统一安全策略下防护系统免受来自内部操作性攻击和外部有组织的团体(如一个商业情报组织或犯罪组织等),拥有较为丰富资源(包括人员能力、计算能力等)的威胁源发起的恶意攻击、较为严重的自然灾难(灾难发生的强度较大、持续时间较长、覆盖范围较广等)以及其他相当危害程度的威胁(内部人员的恶意威胁、无意失误
23、、较严重的技术故障等)所造成的主要资源损害并能够检测到此类威胁,并在威胁发生造成损害后,能够较快恢复绝大部分功能。基本要求是针对不同安全等级信息系统应该具有的基本安全保护能力提出的安全要求,基本安全要求分为基本技术要求和基本管理要求两大类。基本技术要求与信息系统提供的技术安全机制有关,主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现;基本管理要求与信息系统中各种角色参与的活动有关,主要通过控制各种角色的活动,从政策、制度、规范、流程以及记录等方面做出规定来实现。基本技术要求从“物理安全、网络安全、主机安全、应用安全和数据安全”几个层面提出;基本管理要求从“安全管理机构、安全管理制度、
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- XXXX 集团 办公 邮件系统 等级 保护 三级 安全 整改 建设 方案
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【可****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【可****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。