网络安全建设报告

第1页共11页信息安全防护建设报告目录一项目背景.....................................................21.1概述.................................................................21.2参考标准和规范.......................................................21.2.1国家标准.........................................................21.2.2行业及其他相关规范...............................................2二信息安全建设的目的与意义.....................................22.1信息安全风险分析.....................................................22.2安全建设目的.........................................................32.3安全建设的收益.......................................................4三安全防护方案.................................................53.1总体架构.............................................................53.2网络拓扑.............................................................63.3安全防护架构.........................................................73.4安全域划分与防护.....................................................83.4.1总体方案.........................................................83.4.2核心服务域.......................................................83.4.3重要服务域.......................................................93.4.4前置业务域.......................................................93.4.5管理支撑域......................................................103.4.6内联接入域......................................................103.4.7外联接入域......................................................103.4.8网络基础设施域..................................................11四建设内容清单.................................错误!未定义书签。4.1一期清单.............................................错误!未定义书签。4.2二期清单.............................................错误!未定义书签。第2页共11页一项目背景1.1概述为了有效防范和化解风险，保证省公司IT支撑系统平稳运行和业务持续开展，根据总体规划需要逐步建立信息安全保障体系，以增强省公司的信息安全风险防范能力。1.2参考标准和规范1.2.1国家标准GB17859-1999《计算机信息系统安全保护等级划分准则》GBT22240-2008《信息安全技术信息系统安全等级保护定级指南》GBT22239-2008《信息安全技术信息系统安全等级保护基本要求》GBT25058-2010《信息安全技术信息系统安全等级保护实施指南》GBT25070-2010《信息安全等级保护设计要求》1.2.2行业及其他相关规范GD/J038—2011《广播相关信息系统安全等级保护基本要求》《信息系统安全保障理论模型和技术框架IATF理论模型及方法论》二信息安全建设的目的与意义2.1信息安全风险分析网络从它诞生之日起就面临着各种各样的安全问题，从最初物理层设备的各种故障引起的网络中断，发展到目前双向式综合数据承载网络的各种攻击，直接第3页共11页威胁到网络业务管理、运营支撑系统等核心业务的安全。目前省公司所面临的安全风险主要有以下几个方面：网络的广播式网络特点对外来的网络攻击和恶意代码的抵抗能力脆弱。各业务系统越来越依赖于BOSS系统，而随着业务的发展，BOSS系统必须与外部网络连接，一旦BOSS系统遭到外部入侵或内部的恶意破坏，攻击者将能绕过复杂的CA系统直接篡改用户数据或对未授权用户给予授权。银行、商务的发展导致在有线网络上产生越来越多的网上交易和网上支付行为，对网上交易和支付的安全保障迫在眉睫。后台业务系统越来越电子化、自动化，需要对业务系统的各种网络安全隐患事前预防，并能在发生安全问题后有据可查，内网的安全审计重要性正日益突出。近些年网络黑客对web服务器、邮件服务器、EPG服务器、流媒体服务器的安全攻击事件层出不穷，面向公众服务的安全需求不断增加。网络维护人员没有一套很好的手段去了解和把握整个网络的运行状况。因此对异常事件的反应时间太长，缺乏网络安全的预警和响应能力。省公司目前没有明确划分出网络安全区域，边界防护措施无法落实，除了BOSS系统有简单的防火墙保护，其他业务系统基本处于裸奔状态，对于恶意攻击和病毒蠕虫等事件毫无防护措施，十分危险。2.2安全建设目的1、理顺系统架构进行安全域划分可以帮助理顺网络和应用系统的架构，使得信息系统的逻辑结构更加清晰，从而更便于进行运行维护和各类安全防护的设计。2、简化复杂度第4页共11页基于安全域的保护实际上是一种工程方法，它极大的简化了系统的防护复杂度：由于属于同一安全域的信息资产具备相同的IT要素，因此可以针对安全域而不是信息资产来进行防护，这样会比基于资产的等级保护更易实施。3、降低投资由于安全域将具备同样IT特征的信息资产集合在一起，因此在防护时可以采用公共的防护措施而不需要针对每个资产进行各自的防护，这样可以有效减少重复投资；同时在进行安全域划分后，信息系统和信息资产将分出不同的防护等级，根据等级进行安全防护能够提高组织在安全投资上的ROI（投资回报率）。4、提供依据组织内进行了安全域的设计和划分，便于组织发现现有信息系统的缺陷和不足，并为今后进行系统改造和新系统的设计提供相关依据，也简化了新系统上线安全防护的设计过程。特别是针对组织的分支机构，安全域划分的方案也有利于协助他们进行系统安全规划和防护，从而进行规范的、有效的安全建设工作。2.3安全建设的收益a)构建纵深的防御体系方案从技术、物理和管理三个方面提出基本安全要求，在采取由点到面的各种安全措施时，系统整体上还保证了各种安全措施的组合，从以下两个方面构建安全纵深防御体系，保证信息系统整体的安全保护能力：根据各信息系统与播出业务的相关程度，从BOSS系统、播出系统、OA办公系统、华数平台及OTT等信息系统安全层面，构建了从外到内的业务安全纵深；同时还从基础网络安全、边界安全、计算环境（主机、应用）安全等多个层次落实各种安全措施，形成纵深防御体系。b)采取互补的安全措施方案以安全控制组件的形式提出基本安全防护要求，在将各种安全控制组件集成到特定信息系统中时，考虑了各个安全控制组件功能的整体性和互补性，关注各个安全控制组件在层面内、层面间和功能间产生的连接、交互、依赖、协调、第5页共11页协同等相互关联关系，保证各个安全控制组件共同综合作用于信息系统的安全功能上，使得信息系统的整体安全保护能力得以保证。c)进行集中的安全管理方案在第三级信息系统的安全功能管理要求上，实现了统一安全策略、统一安全管理等要求，为了保证分散于各个层面的安全功能在统一策略的指导下实现，各个安全控制组件在可控情况下发挥各自的作用，建立了安全管理中心，集中管理信息系统中的各个安全控制组件，支持统一安全管理。d)符合监管单位的合规要求方案实施后，可以达到GBT22239-2008信息系统等级保护中的第三级，符合广播相关信息系统安全等级保护基本要求。三安全防护方案3.1总体架构根据省公司信息系统现状，结合业务发展需求，制订全网安全域划分的总体架构如下图所示：第6页共11页总体可以划分为：边界接入域、计算服务域、管理支撑域、网络设施域，每个域又可以根据业务系统细分要求再划分不同子域。3.2网络拓扑网络安全域划分及边界整合总体方案建议如下图所示：图表三-1安全域划分示意图第7页共11页3.3安全防护架构省公司IT支撑系统安全防护架构如下：图6-三-1IT支撑系统安全防护框架图安全防护的工作思路有以下几点：1.管理和技术同步建设：技术层面包括物理、网络、主机、应用、数据等方面，本次规划重点考虑网络、主机和应用平面的需求，管理层面包括安全管理和安全运维。通过技术手段，实现安全管理的要求，通过安全管理，使得技术手段更加规范。2.安全域划分与防护：作为本次规划的一个重点，将从网络设备、主机设备及应用系统层面逐步建设由各种基础设施构成的多层次立体防护体系。通过安全域划分和边界整合明确所部署的设备及访问控制策略，保证业务网络的安全运行。3.安全防护设备部署：根据防护架构，业务网络需具备访问控制、入侵检测和防护、行为分析、vpn接入、抗拒绝服务攻击、网络审计、基线核查、日志审计、漏洞扫描、终端管理、web防护、数据库审计等安全防第8页共11页护和检测能力，建议部署多种成熟的安全防护设备，包括防火墙、入侵检测、业务审计、VPN、抗拒绝服务攻击设备、漏洞扫描等系统，具体详见防护方案和设备列表。4.系统组件安全配置检查：对IT支撑系统中的网络设备、主机设备、安全设备、数据库、Web服务器及中间件等组成部件要进行安全配置检查和加固。5.安全值守和应急响应：提供定期巡检、安全策略优化、安全割接配合、应急响应和取证、安全趋势报告分析，并定期对重要系统进行评估和加固。3.4安全域划分与防护3.4.1总体方案安全改造示意图将网络IT系统划分为计算环境域、网络基础设施域、接入域和管理支撑域四个大安全域。根据各区域业务系统属性细化后得到以下子域：计算环境域包括：核心服务域，重要服务域以及前置业务域。网络基础设施域包括：骨干区、汇聚区和接入区。接入域包括：城域网内联接入区和互联网的外联接入区。管理支撑域包括：网络管理、安全管理、运维等运维支撑系统区域。通过在各区域边界部署防火墙、Web安全防护、VPN、入侵检测及安全审计等设备实现对业务系统的安全防护。边界隔离及防护策略有如下建议：3.4.2核心服务域核心服务域仅包括BOSS系统，是对省公司正常运行至关重要的核心服务器，第9页共11页该区域因为具有极高的价值资产，因此极易成为攻击者的目标，防护体系应更加完善，防护策略应更加细化。细化业务系统的访问控制策略，只开放必需的对外服务端口，如业务服务、数据访问等，对于Web服务器只开放HTTP和HTTPS服务端口，数据库服务器根据被访问的Web服务器地址和数据库类型开放相应的端口；由于该区域存在数据库高价值资产，因此恶意访问和篡改行为风险相对更高，在业务系统旁路新增业务审计系统，对业务数据库的所有行为进行审计，以提供分析、取证和溯源的能力。3.4.3重要