XX大学网络安全等级保护解决方案

XXXX安全技术有限公司2018年7月XX大学网络安全等级保护解决方案-2-XX大学网络安全等级保护解决方案1.项目背景随着网络技术的高速发展，校园网络建设也一直走在网络发展的前端。而随着网络技术的发展，网络的安全问题日益突出。近几年来，黑客攻击、网络病毒等等已经屡见不鲜，而且一次比一次破坏力大，对网络安全造成的威胁也越来越大，一旦网络存在安全隐患，遭受重大损失在所难免。在高校校园网中，网络管理者对于网络安全普遍缺乏重视，但是随着网络环境的恶化，以及一次次付出惨重代价的教训，高校校园网的管理者已经将安全因素看作网络建设、改造的关键环节。国内高校校园网的安全问题有其历史原因：在旧网络时期，一方面因为意识与资金方面的原因，以及对技术的偏好和运营意识的不足，普遍都存在“重技术、轻安全、轻管理”的倾向，高校网络建设者在安全方面往往没有太多的关注，常常只是在内部网与互联网之间放一个防火墙就万事大吉，有些学校甚至什么也不放，直接面对互联网，这就给病毒、黑客提供了充分施展身手的空间。而病毒泛滥、黑客攻击、信息丢失、服务被拒绝等等，这些安全隐患发生任何一次对整个网络都将是致命性的。随着网络规模的急剧膨胀，网络用户的快速增长，一方面校园网已从早先教育、科研的试验网的角色已经转变成教育、科研和服务并重的带有运营性质的网络，校园网在学校的信息化建设中已经在扮演了至关重要的角色，作为数字化信息的最重要传输载体，如何保证校园网络能正常的运行不受各种网络黑客的侵害就成为各个高校不可回避的一个紧迫问题；另一方面，高校是思想政治和意识形态的重要阵地，确保学生的身心健康，使他们具备一个积极向上的意识形态，必须使学生尽可能少地接触网络上的不良信息。因此，解决网络安全问题刻不容缓。-3-XX大学网络安全等级保护解决方案2.需求分析2.1.信息系统等级保护定级需求根据《教育信息系统安全等级保护定级指南》、《教育行政部门及高等院校信息系统安全等级保护定级指南》相关指导说明，教育系统的等级保护定级原则，是根据省级教育行政部门及高等院校特点，分析相关信息系统与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系，从而确定信息系统受到破坏时所侵害的客体。其中针对高等学校说明如下：高等学校的信息系统中，部分校务管理类、教学科研类信息系统业务信息安全或系统服务安全受到破坏，可能严重影响学校正常秩序，影响高等学校正常行使工作职能，侵害学校、教师、学生合法权益，引起法律纠纷。部分招生就业类、综合服务类信息系统的业务信息安全或系统服务安全受到破坏，可能使高等学校工作秩序和工作职能受到严重影响，对社会将产生一定范围的不良影响，对社会秩序和公共利益造成严重损害，对学生及部分社会公众造成严重损害。参考等级保护关于定级要素与信息系统安全保护等级的关系表，建议XX大学校园网整体等级为三级。2.2.信息系统安全风险需求XX大学校园网现有信息系统包括校务管理类系统、教学科研类系统、招生-4-XX大学网络安全等级保护解决方案就业类系统、综合服务类系统，信息系统在运行和管理过程中存在的安全风险，包括技术风险和管理风险两大部分，技术风险包括物理安全风险、网络安全风险、主机安全风险、应用安全风险、数据安全风险；管理风险包括组织机构、人员安全、管理制度、系统建设、运行维护等。2.2.1.技术风险2.2.1.1.物理安全风险根据数据中心机房的总体要求、国家《电子信息系统机房设计规范》（GB50174-2008）等相关标准进行安全建设，采取门禁、消防报警、环境动力设施监控管理、视频监控、防雷击和防静电等措施，做好符合要求的电力供应，关键基础设施、设备和磁介质应通过部署防电磁屏蔽机柜等措施建立电磁防护机制。2.2.1.2.网络安全风险根据XX大学现有网络建设状况和业务系统特点，经过前期的调研结果可以从以下方面对网络进行整体安全分析：网络结构、访问控制、安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护等。网络结构安全：目前XX大学互联网接入分别是联通、移动、教育网，三网汇聚到两台RGRSR7708路由设备，没有通过负载均衡对多链路进行优化；互联网出口防火墙没有采用冗余设计，存在单点故障风险。访问控制：在校园网服务器前端没有部署防火墙等访问控制设备进行安全防护。安全审计：网络中只有第三方网络监控软件，但不能网络中的各硬件设备、中间件、应用等的日志信息进行及时的审计，不能对用户上网进行日志审计，不能针对网络运维行为进行日志审计，不能针对数据库访问行为进行日志审计。边界完整性检查：内部网络没有相关的策略或设备，对服务器等重要资产未通过准许私自联到外部网络的行为进行检查。-5-XX大学网络安全等级保护解决方案网络入侵防范及恶意代码检测：基础网络应具备对网络入侵防范及恶意代码的检测，目前XX大学的网络中没有在网络边界，使得端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等不安全因素随时入侵到内部网络。2.2.1.3.主机安全风险主机安全风险是指主机系统面临的安全的安全风险，包括网络设备、服务器系统、数据库系统，数据中心服务器主机应建立备份冗余机制，保障系统的持续稳定运行，针对核心重要信息系统应采用主机安全加固系统，建立“三权分立”的访问控制机制，确保系统最小化的访问控制配置实现。核心服务器应确保采用两种以上的身份鉴别机制，与PKI/CA系统进行结合，运行维护管理可配合堡垒主机，确保实现细粒度的访问控制、敏感信息加密以及日志审计功能。各类服务器应采用系统补丁管理和防病毒系统提高系统的防护能力，并通过系统配置优化减少自身的安全隐患。对于操作和使用服务器的业务终端应进行统一的管理，确保业务终端的专业程度，加强终端的自身安全性，包括系统配置优化、防病毒、补丁管理等。2.2.1.4.应用安全风险应用安全风险是指应用系统所面临的安全风险，XX大学现有应用系统包括网站、邮件、一卡通、图书管理等，这些应用系统普遍由第三方软件厂商开发，开发的标准与规范都不相同，且全部采用B/S架构开发，均存在一定的安全风险，这些安全风险包括：身份认证：按照等级保护要求，应提供两种或两种以上身份认证方式，目前所有系统只有口令认证方式，获取用户名口令即可获得相应的访问权限，存在一定的安全风险；访问控制：所有应用系统都采用B/S架构，目前基于B/S架构的WEB应用程序普遍存在较高的安全风险，且教育管理系统面向互联网提供应用，被入侵攻击-6-XX大学网络安全等级保护解决方案的可能性很高，仅通过防火墙无法保证应用系统的安全，需要提供针对WEB应用的安全的安全防护。安全加密：目前所有应用系统为WEB应用模式，采用HTTP协议登录访问，HTTP为非加密协议，无法确保通信的安全，存在一定的安全风险。安全审计：应用系统自身的审计功能较弱，不能完全符合等级保护的要求，尤其对于管理人员的运维操作缺少完全的审计行为记录和报表功能。2.2.1.5.数据安全风险数据是校园网信息系统的核心资产，需要确保数据的保密、完整、可靠。已部署应用系统已采用双机模式，可以基本实现数据库的可靠运行，但仍然存在以下安全风险：数据的传输加密：目前应用系统数据、管理数据等没有完成实现数据的传输加密，无法确保数据的保密性；数据的完整性：对于应用系统数据、管理数据没有安全审计措施，数据在传输过程中可能造成破坏；数据备份与恢复：按照等级保护要求，信息系统数据应具备本地备份和恢复功能、异地备份功能，本地备份要求第天一次完全备份，关键数据要实现异地备份，目前尚未实现以上备份要求。2.2.2.管理风险2.2.2.1.安全管理机构XX大学网络安全组织应遵循层次化设计原则，分别为网络安全决策层、网络安全管理层和网络安全执行层。设立管理机构，接受网络安全工作职能部门领导，配备必要的管理和技术人员；负责信息系统安全的集中控制管理，行使防范与保护、监控与检查、响应与处置职能，统一管理信息系统的安全，统一进行信息系统安全机制的配置与管理；适时汇集各种安全机制所获取的与系统安全运行-7-XX大学网络安全等级保护解决方案有关的信息；根据应急处置预案作出快速处理；应对安全事件和处理结果进行管理；建立安全管理控制平台，完善管理信息系统安全运行的技术手段；负责接受和配合政府有关部门的网络安全监管工作。2.2.2.2.人员安全管理对于XX大学人员安全管理，应结合校方实际情况，按照等级保护相关要求进行人员安全管理。重点考虑以下两个方面：1)内部人员安全管理。内部人员管理从人员录用、人员管理、人员考核、保密协议、培训、离岗离职等多个方面都要制定相应的管理制度和规定。建立安全教育和培训制度，定期进行技能考核。2)外部人员安全管理。对于外来人员管理，应包括软件开发商、产品供应商、系统集成商、设备维护商和服务提供商等外来人员，以及临时因业务洽谈、技术交流、提供短期和不频繁的技术支持服务而临时来访的“第三方”人员。而非临时“第三方”人员指因从事合作开发、参与项目工程、提供技术支持或顾问服务，必须在本单位临时工作的“第三方”人员，应制定相应包含访问、安全要求等管理制度。2.2.2.3.安全管理制度结合各类安全管理要求和信息系统面临的实际安全风险，应制定必要的网络安全总体方针、策略、安全管理制度和技术规范，内容覆盖安全管理机构、安全管理制度、人员安全管理、系统建设安全管理和系统运行维护安全管理等相关内容。2.2.2.4.信息系统建设安全管理信息系统建设安全管理应当与整体的工程管理相结合，落实“同步规划、同步建设、同步运营”的原则，制定信息系统规划、立项、需求分析、设计、建设、-8-XX大学网络安全等级保护解决方案测试、集成等方面的安全管理规定。同时要结合信息系统的开发和部署制定相配套的信息系统安全开发和部署的规范，确保信息系统和数据中心建设过程中的安全。信息系统建设过程中必须要加强网络安全等级保护工作，通过对信息系统进行定级、备案、等级测评和监督检查等工作落实具体的网络安全等级保护内容。信息系统正式启动和运行前，必须经过专项安全评估并得到专家或程序的认可，才能正式投入使用。现有信息系统或子系统、信息系统设备需要终止运行的，应采取必要的安全措施，进行数据和软件备份，对终止运行的设备进行不可恢复的数据清除，如果存储设备损坏则必须采取销毁措施，并得到相应领导和技术负责人认可才能正式终止运行。2.2.2.5.运行维护安全管理信息系统的运行维护安全管理要实现运行维护管理体系化，对环境、资产、介质、设备进行综合监控管理，对支撑重要信息系统的资源进行监控保护。对于信息系统安全运行维护所需要的密码保护、病毒扫描、变更等事件，必须按照定义好的安全管理策略措施，建立一套运行维护管理制度，并通过培训等方式全面落实。还应通过建立统一的安全预警与监管中心，实现省本级计算环境、设备、资源、应用系统和网络安全工作的统一管理、监控与预警，能够与教育部安全预警与监管平台对接，实现联动，及时上报网络安全漏洞和事件发生和处理情况。3.建设目标与设计原则3.1.建设目标和原则根据国家和教育部关于网络安全等级保护的政策规范和技术标准，统一规划建设XX大学校园网安全保障体系。该体系覆盖技术体系（物理网络、主机、应用、数据和管理等多层次的整体网络网络安全。遵循以下原则：-9-XX大学网络安全等级保护解决方案整体性：从数据中心的整体出发、全面考虑各个方面的安全问题，综合运用技术手段和管理手段进行安全防护；合规性：符合国家教育部网络安全保障体系的总体要求，符合国家网络安全等级保护相关制度、标准的要求；针对性：根据教育数据中心的组织结构特点、网络特点和业务特点，有针对性地提供安全防护措施，对信息系统进行有效、适度的防护；可持续性：满足信息系统全生命周期管理的安全保障要求；可实施性：符合教育数据中心业务特性和安全现状，提供可行的实施方案与规划；先进性：安全体系的设计要具有一定的前瞻性，要考虑安全态势以及安全技术的发展趋势，满足业务未来发展的需求。3.2.参考标准本方案遵循或参考如下国家政策、国家标准及国际标