新时代-等级保护2.0安全解决方案.ppt

,.,*,*,新时代,网络安全等级保护解决方案,.,目录,CONTENTS,网络安全法解读,新等级保护差异变化,等级保护解决方案,.,网络安全法解读,.,2016.11,网络安全法草案三审稿,2016.11.7,人大常委会表决通过,2017,年,6,月,1,日,网络安全法实施,2015.7.7,网络安全法草案一审稿,2016.6,网络安全法草案二审稿,2014.2,网络安全法首次在政府工作报告中提及,网络安全法的背景和历程,网络安全法时间轴,“一法一决定”执法检查,开展“一法一决定”宣传教育情况；制定“一法一决定”配套法规规章情况；强化关键信息基础设施保护及 落实网络安全等级保护制度情况；治理网络违法有害信息，维护网络空间良好生态情况；落实公民个人信息 保护制度，查处侵犯公民个人信息及相关违法犯罪情况等.2017年9月至12月,.,网络安全法颁布,网络领域的基本法,总体牵头,：中央网信办总体牵头,监管单位,：公安,/,工信,/,广电,/,国办（非密领域管理指导监管检查）,国,M/,国,A/,保,M/,机要,/,中,B/,科工委（涉密领域管理指导监督检查）,国家安全五个领域,（海、陆、空、天、,网,）,目标：网际空间自主可控安全可靠,互联网,安全领域,刚性需求上升,重要系统,基础设施安全领域,需求伴随十三五,涉及国家,MM,安全领域,需求伴随,N,网,国产化替代,安全领域,试点推进,.,辩证思维,网络安全上升为国家战略，成为总体国家安全观的重要组成部分,国家战略,统一体,合作共赢,将网络安全和信息化工作视为一个统一体，形成了一体两翼、驱动 双轮的网络安全观,针对网络安全新形势、新特点，提出了整体、动态、开放、相对、,共同的辩证网络安全观,针对全球互联网领域发展不平衡、规则不健全、秩序不合理等问题，,提出了在相互尊重、相互信任基础上合作共赢的网络安全观,新 时,代,的 网 络 安 全 观,网络安全法的意义和作用,以人为本,将以人民为中心的发展思想贯穿到网络安全领域，形成了“网络安,全为人民，网络安全靠人民”的以人为本的网络安全观,没有网络安全就没有国家安全,.,网络安全法的意义和作用（续）,中国网络安全法是网络安全领域的基本法,宪法、刑法（部分条款）,国家安全法（部分条款）,保守国家秘密法,电子签名法,网络安全法,反恐法,关于加强网络信息保护的决定,计算机信息系统安全保护条例,互联网信息服务管理办法,商用密码管理条例,公安部（安全专用产品等）,原信产部（互联网域名等）,国新办（互联网新闻信息服务）,保密局（保密等）,地方人民政府,地方人大及常委会,国务院,全国人大及其常委会,法律,行政,法规,地方性,法规,地方政府,规章,部门,规章,国务院各部委,多级立法,北京市信息化促进条例,辽宁省计算机信息系统安全管理条例,.,北京市公共服务网络与信息系统安全管理规定,上海市公共信息系统安全测评管理办法,.,.,网络安全法的意义和作用（续）,是落实党中央决策部署的重要举措,是维护网络安 全、国家安全的迫切需要,是维护网络空间国家主权的迫切需要,是深化网络安全等级保护制度、保护国家关键信 息基础设施和大数据安全的迫切需要,是打击网络违法犯罪、维护广大人民群众利益的 迫切需要,是参与互联网国际竞争和国际治理的迫切需要,制定网络安全法的迫切性和必要性,.,网络安全法解读,网络安全法整体框架,“防御、控制与惩治”三位一体,7章79条,.,网络安全法解读（续）,章节,核心内容解读,第一章 总则,目标：,保障,网络安全，,维护,网络空间主权和国家安全、社会公共利益，,保护,公民、法人和其他组织的合法权益，,促进,经济社会信息化健康发展,范围：在中华人民共和国,境内,建设、运营、维护和使用网络，以及网络安全的监督管理,职责：国家,网信部门,负责,统筹协调,网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作,关键点：,网络安全与信息化发展并重、网络安全战略、,基本要求和主要目标、培养网络,安全人才,、网络技术研发、,标准制定,、义务、举报，监测、防御、处置境内外安全风险和威胁，保护关键信息基础设施,第二章 支持与促进,定义国家对网络安全工作支持与推进说明，包括相关标准制定与监督；各级政府单位要支持网络安全；包括,信息安全技术、信息安全服务、信息安全测评、信息安全教育与宣传、信息安全人才培养等,工作,.,网络安全法解读（续）,章节,核心内容解读,第三章,网络运行安全,第一节：,国家实行网络安全,等级保护制度,网络产品、服务应当符合相关国家标准的,强制性要求,网络关键设备和产品应强制取得,国家安全标准认证,对网络运营者提共标准的安全职责工作说明,第二节：,针对,公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务,等重要行业和领域，在网络安全,等级保护制度,的基础上，实行,重点保护,每年至少进行一次检测评估,定期组织安全应急演练,安全等保上升到法律高度，不做等保防护，是属违法,!,.,网络安全法解读（续）,章节,核心内容解读,第四章,网络信息安全,个人隐私保护、发布信息监管,第五章,监测预警与应急处置,网络安全预警监测、安全风险评估、应急预案、风险发布,第六章 法律责任,最高,100,万,：违反,22/27/33/34/36/38/41/42/43,，最高,100,万，主管,10,万,最高,50,万,：违反,22/24/27/37/46/47/69,信息通报制度上升为法律,.,习近平在网络安全与信息化工作座谈会上的讲话,信息技术变化越来越快，过去分散独立的网络变得高度关联、相互依赖，网络安全的威胁来源和攻击手段不断变化，,那种依靠装几个安全设备和安全软件就想永保安全的想法已不合时宜，需要树立动态、综合的防护理念。,金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。,我们必须深入研究，采取有效措施，切实做好国家关键信息基础设施安全防护。,（要）,全天候全方位感知网络安全态势。,知己知彼，才能百战不殆。没有意识到风险是最大的风险。网络安全具有很强的隐蔽性，一个技术漏洞、安全风险可能隐藏几年都发现不了，结果是“谁进来了不知道、是敌是友不知道、干了什么不知道”，长期“潜伏”在里面，一旦有事就发作了。,要建立政府和企业网络安全信息共享机制,，,把企业掌握的大量网络安全信息用起来，龙头企业要带头参加这个机制。,.,关键安全预防措施,加强网络入侵防护,关键基础设施一旦被入侵，危害极大，要重点进行网络入侵的防护。,对于,传统威胁,，要做到快速、精准的防护；对于,高级未知威胁,，也要做到智能检测与防护。,综上，建设和加强入侵防护是网络安全防护的,核心关键工作,维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险，正所谓“聪者听于无声，明者见于未形”。,综上，感知网络安全态势是网络安防护中,最基本、最基础的工作,建设安全态势平台,.,THE BUSENESS PLAN,等级保护解决方案,.,等级保护背景介绍发展历程,信息安全等级保护是党中央国务院决定在信息系统安全领域实施的基本国策,信息安全等级保护是国家信息安全保障工作的基本制度,信息安全等级保护是国家信息安全保障工作的基本方法,起步阶段,发展阶段,推行阶段,新等保阶段,信息安全等级保护是基本制度、基本国策、基本方法,.,等级保护管理组织,指导监管部门：,国家等保工作 开展、推进、指导。,技术支撑部门：,国家等保标准制定、修订、培训、技术指导以及全国测评单位管理。,国家测评机构,行业测评机构,地方测评机构,.,等级保护主要工作流程,一,定级,二,备案,三,建设整改,备案是等级保护的,核心,建设整改是等级保护工作落实的,关键,四,等级测评,等级测评是评价安全保护状况的,方法,监督检查是保护能力不断提高的保障,定级是等级保护的,首要环节,.,重要行业关键信息系统划分及定级建议,等级,对象,侵害客体,侵害程度,监管强度,第一级,一般,系统,合法权益,损害,自主保护,第二级,合法权益,严重损害,指导,社会秩序和公共利益,损害,第三级,重要,系统,社会秩序和公共利益,严重损害,监督检查,国家安全,损害,第四级,社会秩序和公共利益,特别严重损害,强制监督检查,国家安全,严重损害,第五级,极端重要系统,国家安全,特别严重损害,专门监督检查,.,等级保护建设核心思想,信息系统的安全设计应基于业务流程自身特点，建立“,可信、可控、可管,”的安全防护体系，使得系统能够按照预期运行，免受信息安全攻击和破坏。,可信,1,2,3,即以可信认证为基础，构建一个可信的业务系统执行环境，即用户、平台、程序都是可信的，确保用户无法被冒充、病毒无法执行、入侵行为无法成功。可信的环境保证业务系统永远都按照设计预期的方式执行，不会出现非预期的流程，从而保障了业务系统安全可信,。,即以访问控制技术为核心，实现主体对客体的受控访问，保证所有的访问行为均在可控范围之内进行，在防范内部攻击的同时有效防止了从外部发起的攻击行为。对用户访问权限的控制可以确保系统中的用户不会出现越权操作，永远都按系统设计的策略进行资源访问，保证了系统的信息安全可控。,即通过构建集中管控、最小权限管理与三权分立的管理平台，为管理员创建一个工作平台，使其可以进行技术平台支撑下的安全策略管理，从而保证信息系统安全可管。,可控,可管,.,等级保护防护框架,等级保护防护框架,建设“一个中心”管理、“三重防护”体系，分别对计算环境、区域边界、通信网络体系进行管理，实施多层隔离和保护，以防止某薄弱环节影响整体安全,分析应用系统的流程，确定用户（主体）和访问的文件（客体）的级别（标记），以此来制定访问控制安全策略，由操作系统、安全网关等机制自动执行，从而支撑应用安全,重点对操作人员使用的终端、业务服务器等计算节点进行安全防护，控制操作人员行为，使其不能违规操作，从而把住攻击发起的源头，防止发生攻击行为,.,等级保护总体设计流程,分析关键保护点,梳理主、客体及权限,对系统进行风险评估,梳理业务流程,分层分域设计,安全机制及策略设计,梳理业务流程是给系统量身定制安全设计方案的基础；,通过业务流程的梳理，了解系统的现状、特点及特殊安全需求，为后续方案设计奠定基础。,找出系统中的所有主体及客体；,明确主体对客体的最小访问权限,。,基于一个中心、三重防护，构建安全防护体系；,从不同层次、不同位置设计纵深防御体系，防止单点失效。,设计身份认证及程序可信保护机制，确保主体可信；,设计访问控制机制及策略，保证主体对客体的最小访问权限；,设计保密性、完整性保护机制，确保重要客体的保密性及完整性不被破坏；,设计安全管理中心，保证系统安全机制始终可管。,.,等级保护基本框架要求,物理安全,技术要求,管理要求,系统安全防护要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,安全产品协助防护,.,网络安全解读,网络安全,结构,安全,访问,控制,安全,审计,边界安,全检查,入侵,防范,恶意代,码防范,设备,防护,要点：,主要设备冗余空间、安全路径控制、整体网络带宽、带宽优先级、重要网段部署,要点：,端口控制、防地址欺骗,协议过滤、会话控制,最大流量数及最大连接数,要点：,审计记录,审计报表,审计记录的保护,要点：,非授权设备接入,非授权网络联出,要点：,记录、报警、阻断,要点：,记录、报警、阻断,要点：,组合鉴别技术,特权用户权限分离,在云计算环境中，除以上必要的保护措施外，还需考虑云使用者利用云资源发起的网络攻击、云租户之间的隔离以及云租户与云服务商的审计独立,.,网络安全解读（,1,）,分类,基本要求,说明及技术方案,产品部署,网络安全,结构安全（,G3,）,a),应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；,主要设备、部件冗余,方案及网络设备保证,b),应保证网络各个部分的带宽满足业务高峰期需要；,带宽预留,方案及网络设备保证,c),应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；,策略路由、静态路由、动态路由协议认证,方案及网络设备保证,d),应绘制与当前运行情况相符的网络拓扑结构图；,根据实际情况绘制、更新拓扑图（纸质或管理软件生成）,eSight,e),应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；,合理划分网段,整体方案保证,f),应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；,防火墙策略,USG,防火墙,g),应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。,辅助防火墙设备部署,QOS,策略,USG,防火墙、,ASG,.,网络安全解读（,2,）,分类,基本要求,说明及技术方案,产品部署,网络安全,访问控制（,G3,）,a),应在网络边界部署访问控制设备，启用访问控制功能；,防火墙做边界访问控制,USG,防火墙,b),应能根据会话状态信息为数据流提供明确的允许,/,拒绝访问的能力，控制粒度为端口级；,防火墙策略,USG,防火墙,c),应对进出网络的信息内容进行过滤，实现对应用层,HTTP,、,FTP,、,TELNET,、,SMTP,、,POP3,等协议命令级的控制；,IPS,实现,4-7,层协议安全控制,USG,防火墙,d),应在会话处于非活跃一定时间或会话结束后终止网络连接；,防火墙会话老化，设置会话超时时间,USG,防火墙,e),应限制网络最大流量数及网络连接数；,防火墙策略,USG,防火墙,f),重要网段应采取技术手段防止地址欺骗；,ip、mac,绑定,防火墙、交换机组合方案保证,g),应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；,第一层次基于,IP,的访问控制，基本防火墙能力第二层次基于用户身份的访问控制，下一代防火墙支持，配合,AAA,系统使用,USG,防火墙,h),应限制具有拨号访问权限的用户数量。,拨号接入设备控制（可能包括,PPTP,等,VPN,方式）,USG,防火墙,.,网络安全解读（,3,）,分类,基本要求,说明及技术方案,产品部署,网络安全,安全审计（,G3,）,a),应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；,技术点解析：审计网络设备操作记录，提供有效展示，并确保日志安全存储。应对方案：通过流量分析系统、运维管理系统配合实现,LogCenter,、,CIS,、堡垒机、,eSight,b),审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；,c),应能够根据记录数据进行分析，并生成审计报表；,d),应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。,边界完整性检查（,S3,）,a),应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；,接入认证、,IP/MAC,绑定,Agile Controller+USG,b),应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。,防私接,Agile Controller+USG,.,网络安全解读（,4,）,分类,基本要求,说明及技术方案,产品部署,网络安全,入侵防范（,G3）,a),应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、,IP,碎片攻击和网络蠕虫攻击等；,攻击检测和防御,NIP,、,USG,、,eSight,、,LogCenter,b),当检测到攻击行为时，记录攻击源,IP,、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。,恶意代码防范（,G3,）,a),应在网络边界处对恶意代码进行检测和清除；,攻击、病毒检测和防御,NIP,、,USG,、,FireHunter,b),应维护恶意代码库的升级和检测系统的更新。,定期升级特征库,.,网络安全解读（,5,）,分类,基本要求,说明及技术方案,产品部署,网络安全,网络设备防护（,G3,）,a),应对登录网络设备的用户进行身份鉴别；,网络运维人员身份管理,网络设备安全策略控制设定,+,堡垒机辅助,b),应对网络设备的管理员登录地址进行限制；,ACL、,安全策略,c),网络设备用户的标识应唯一；,堡垒机做双因素认证,d),主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；,堡垒机做双因素认证,e),身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；,设置复杂口令,f),应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；,设置策略控制非法登录次数和超时退出,g),当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；,远程管理使用加密协议，如,SSH,h),应实现设备特权用户的权限分离。,设备上设置用户权限,.,主机安全解读,主机安全,身份,鉴别,访问,控制,安全,审计,剩余信,息保护,入侵,防范,恶意代,码防范,资源,控制,要点：组合鉴别技术,要点：,管理用户权限分离,敏感标记的设置,要点：,审计记录,审计报表,审计记录的保护,要点：,空间释放,信息清除,要点：,记录、报警、阻断,要点：,记录、报警、阻断,与网络恶意代码库分离,要点：,监控重要服务器,最小化服务,检测告警,在云计算环境中，除以上必要的保护措施外，还需考虑不同租户存储空间的隔离、对外提供,API,的访问控制、虚拟资源占用控制以及杀毒风暴的避免等措施,.,主机安全解读（,1,）,分类,基本要求,说明及技术方案,产品部署,主机安全,身份鉴别（,S3,）,a),应对登录操作系统和数据库系统的用户进行身份标识和鉴别；,操作系统和数据库系统的统一身份鉴别，操作系统和数据库系统用户权限分离，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机辅助,b),操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；,设置复杂密码，检测弱口令，堡垒机定期改密，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机、,漏扫辅助（缺失）,c),应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；,主机策略设置登录限制，安全配置核查系统定期对服务器尝试登录阈值进行检查，配置服务器检测到超过一定失败次数的登录行为后，锁定该账号，重新启用账号需向管理员提交申请，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机辅助,d),当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；,加密管理，对服务器的远程管理采用,SSH,、,SSL,等加密协议，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机辅助,e),应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。,主机策略，按照不同用户的职责为用户分配不同权限，管理账号不共用，确保用户名唯一，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机辅助,f),应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。,静态口令,+,动态口令,/,证书,/,生物识别,/,短信认证等技术，可由堡垒机辅助实现,主机身份鉴别设定,+,堡垒机辅助,.,主机安全解读（,2,）,分类,基本要求,说明及技术方案,产品部署,主机安全,访问控制（,S3,）,a),应启用访问控制功能，依据安全策略控制用户对资源的访问；,由操作系统自身的权限控制实现，可由堡垒机辅助,主机访问控制策略设定,+,堡垒机辅助,b),应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；,由操作系统自身的权限控制实现，可由堡垒机辅助,主机访问控制策略设定,+,堡垒机辅助,c),应实现操作系统和数据库系统特权用户的权限分离；,系统分级管理，操作系统和数据库系统特权用户分离，由不同的管理员行使特权,主机访问控制策略设定,+,堡垒机辅助,d),应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；,漏扫系统定期检查系统默认账户口令,主机访问控制策略设定,+,堡垒机、,漏扫辅助（缺失）,e),应及时删除多余的、过期的帐户，避免共享帐户的存在。,定期检查系统多余账号，员工离职或调岗需提交账户销户申请,主机访问控制策略设定,+,堡垒机辅助,f),应对重要信息资源设置敏感标记；,基于安全标志实施强制访问控制，控制主体对客体的操作,操作系统加固,g),应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；,基于安全标志实施强制访问控制，控制主体对客体的操作,操作系统加固,.,主机安全解读（,3,）,分类,基本要求,说明及技术方案,产品部署,主机安全,安全审计（,G3,）,a),审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；,技术点解析：审计主机操作记录，提供有效展示，并确保日志安全存储、稳定可靠。应对方案：通过专用审计系统、运维管理系统配合实现,堡垒机、,数据库审计（缺失）,SIEM,（缺失）,b),审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；,c),审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；,d),应能够根据记录数据进行分析，并生成审计报表；,e),应保护审计进程，避免受到未预期的中断；,f),应保护审计记录，避免受到未预期的删除、修改或覆盖等。,.,主机安全解读（,4,）,分类,基本要求,说明及技术方案,产品部署,主机安全,剩余信息保护（,S3,）,a),应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；,用户鉴别信息不在硬盘上静态存储，并配置服务器不显示上次登录用户名,系统加固,b),应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。,操作系统对剩余信息进行处理设置。以,Windows,系统为例：打开“本地安全策略”,-,本地策略中的安全选项；查看是否选中“关机前清除虚拟内存页面”；打开“本地安全策略”,-“,帐户策略”中的密码策略；查看是否选中“用可还原的加密来存储密码”,系统加固,入侵防范（,G3）,a),应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源,IP,、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；,系统入侵防范，网络入侵防范系统辅助,NIP,、,LogCenter,b),应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；,操作系统自身的安全机制保障,系统配置和管理保障,c),操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。,强制补丁检查、补丁分发主要涉及到两个方面的内容，分别是：系统服务、补丁升级。遵循最小安装原则，仅开启需要的服务，安装需要的组件和程序，可以极大的降低系统遭受攻击的可能性。及时更新系统补丁，可以避免遭受由系统漏洞带来的风险,AD,域控,终端管控软件,漏扫系统（缺失）,.,主机安全解读（,5,）,分类,基本要求,说明及技术方案,产品部署,主机安全,恶意代码防范（,G3,）,a),应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；,安装杀毒软件，及时升级特征库，强制认证检查杀毒软件版本和病毒库,防病毒软件,b),主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；,c),应支持防恶意代码的统一管理。,资源控制（,A3,）,a),应通过设定终端接入方式、网络地址范围等条件限制终端登录；,准入控制,系统策略,+,堡垒机辅助,b),应根据安全策略设置登录终端的操作超时锁定；,系统配置保障,系统策略,+,堡垒机辅助,c),应对重要服务器进行监视，包括监视服务器的,CPU,、硬盘、内存、网络等资源的使用情况；,应用管理平台辅助,eSight,d),应限制单个用户对系统资源的最大或最小使用限度；,系统配置保障,系统配置保障,e),应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。,应用管理平台辅助,eSight,.,应用及数据安全,应用安全,身份鉴别,访问控制,安全审计,剩余信息保护,通信完整性,通信保密性,防抵赖,软件容错,资源控制,要点,身份鉴别,访问控制,安全审计,剩余信息保护,通信,完整性,通信保密,性,防,抵赖,软件容错,资源控制,组合鉴别技术,敏感标记的设置,审计报表及审计记录的保护,敏感信息清楚、存储空间释放,加密技术,整个报文及会话传输过程加密,原发证据的提供,出错校验、自动保护,资源分配、优先级、最小化服务及检测报警,数据安全,要点,数据完整性,数据保密性,备份和回复,数据完整性,数据保密性,备份和恢复,数据存储、传输，完整性检测和恢复,数据存储、传输，加密保护,冗余、备份,.,应用安全解读（,1,）,分类,基本要求,说明及技术方案,产品部署,应用安全,身份鉴别（,S3,）,a),应提供专用的登录控制模块对登录用户进行身份标识和鉴别；,应用系统自身保障,外部认证系统,b),应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；,双因素认证，例如：静态密码,+,动态口令,外部认证系统,c),应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；,不存在共享账号,应用配置,d),应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；,应用设置,应用配置,e),应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。,不存在共享账号,应用配置,.,应用安全解读（,2,）,分类,基本要求,说明及技术方案,产品部署,应用安全,访问控制（,S3,）,a),应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；,系统配置保障,系统配置保障,漏扫系统辅助,b),访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；,系统配置保障,c),应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；,系统配置保障,d),应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。,系统配置保障,e),应具有对重要信息资源设置敏感标记的功能；,系统配置保障,f),应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；,系统配置保障,.,应用安全解读（,3,）,分类,基本要求,说明及技术方案,产品部署,应用安全,安全审计（,G3,）,a),应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；,技术点解析：审计应用系统操作记录，提供有效展示，并确保日志安全存储、稳定可靠。应对方案：通过专用审计系统、运维管理系统配合实现,堡垒机、,SIEM,（缺失）、,数据库审计（缺失）,b),应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；,c),审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；,d),应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。,剩余信息保护（,S3,）,a),应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；,应用策略，用户在退出、注销系统后，系统要对访问进程清理，对存储用户鉴别信息数据空间进行完全清除,应用配置,b),应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。,应用策略，系统对访问进程清理,应用配置,.,应用安全解读（,4,）,分类,基本要求,说明及技术方案,产品部署,应用安全,通信完整性（,S3）,应采用密码技术保证通信过程中数据的完整性。,应用策略，完整性校验,应用配置实现,通信保密性（,S3）,a),在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；,应用加密，,HTTPS,指纹识别等技术,b),应对通信过程中的整个报文或会话过程进行加密。,通信协议加密、内容加密,抗抵赖（,G3）,a),应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；,用户操作要有日志记录、交易电子签名,b),应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。,用户操作要有日志记录、交易电子签名,软件容错（,A3,）,a),应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；,应用自身防护，对数据有效性检验，并规定每个输入接口只允许输入数字、字符等限制,b),应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。,防攻击系统提供保护功能，当故障发生时或操作失败能回退，并且数据库有实时镜像备份，能够进行恢复,.,应用安全解读（,5,）,分类,基本要求,说明及技术方案,产品部署,应用安全,资源控制（,A3,）,a),当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；,应用安全策略，设置会话超时时间,应用配置实现,b),应能够对系统的最大并发会话连接数进行限制；,应用安全策略，通过配置数据库和中间件实现,c),应能够对单个帐户的多重并发会话进行限制；,应用安全策略，限制单用户不能同时多点登录，且只能在单一浏览器窗口登录,d),应能够对一个时间段内可能的并发会话连接数进行限制；,应用安全策略，流量控制设备,/,通过中间件线程池进行配置限制,e),应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；,应用安全策略，设置应用系统资源限额，超出限额时会给出提示信息,f),应能够对系统服务水平降低到预先规定的最小值进行检测和报警；,应用安全策略，通过安全监控平台,/,管理平台，监测应用系统服务水平,g),应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。,应用安全策略，配置应用根据不同用户的资源使用优先级分配系统资源,.,数据安全解读（,1,）,分类,基本要求,说明及技术方案,产品部署,数据安全,数据完整性（,S3,）,a),应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；,利用校验技术来保证数据传输的完整性,传输加密辅助：防火墙、下一代防火墙,b),应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。,将存储数据生成多份，保证当数据完整性受到破坏时可恢复数据,传输加密辅助：防火墙、下一代防火墙,数据保密性（,S3,）,a),应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；,加密机,、加密协议、传输加密,传输加密：防火墙、下一代防火墙,b),应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。,备份和加密存储，审计日志直接存储，关键用户信息进行加密存储,应用配置,.,数据安全解读（,2,）,分类,基本要求,说明及技术方案,产品部署,数据安全,备份和恢复（,A3,）,a),应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；,管理要求,每天进行完全数据备份，本地实时镜像备份,b),应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；,管理要求,同城和异地准时备份，批量传送,c),应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；,管理要求,重要设备、服务器均采用冗余设计,d),应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。,管理要求,重要设备、服务器均采用冗余设计,.,等级保护安全技术方案,互联网接入区,SSL VPN,网关,管理区,数据中心区,管理区,FW,上网行为管理,边界,FW,核心,FW/IPS,DDoS,防御,运维审计系统,Web,服务区,Web,服务器,Web,防火墙,安全沙箱,网络管理系统,终端安全准入系统,日志审计系统,接入区,接入用户,接入用户,接入用户,IPS/AV,防火墙,漏洞扫描系统,态势感知,CIS,.,等级保护二、三级关键点说明,技术方面,安全审计、边界完整性检查、入侵防范、资源控制以及通信保密性等控制点,网络安全,不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力,要满足业务极限时的需,要,加强了,网络边界的防护,，,增加了安全审计,、,边界完整性检查、入侵防范等控制点,对网络设备的防护不仅局限于简单的身份鉴别，同时,对标识和鉴别信息都有了相应的要求。,是等级保护二级要求的扩展加强,三级要求主干链路冗余，设备性能有冗余,技术方面,网络,恶意代码防范,、剩余信息保护、抗抵赖,，如访问控制增加了对重要信,对身份鉴别、访问控制、安全审计、数据完整性、数据保密性等均有更进一步的要求,息资源设置敏感标记等,网络安全,对网络处理能力增加了,“优先级”考虑,，保证重要主机能够在网络拥堵时仍能够正常运行,网络边界的,访问控制扩展到应用层,，网络边界的其他防护措施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等，网络设备的防护手段要求两种身份鉴别技术综合使用。,二级,三级,.,三级等保实施方案（通用）,三级系统安全保护环境基本要求与对应产品,使用范围,基本要求,产品类型举例,安全计算环境,网络结构（,VLAN,划分）,三层交换机（防火墙）,MPLS VPN,访问控制（权限分离）,主机核心加固系统,入侵防范（检测告警）,主机入侵检测产品（,HIDS,）,备份恢复（数据备份）,设备冗余、本地备份（介质场外存储）,数据完整性、保密性,VPN,设备,剩余信息管理,终端综合管理系统,身份认证（双因素）,证书、令牌、密保卡,恶意代码防范（统一管理）,网络版主机防病毒软件,安全区域边界,区域边界访问控制（协议检测）,防火墙（,IPS）,资源控制（优先级控制）,带宽管理、流量控制设备,区域边界入侵检测,IDS,区域边界恶意代码防范,防病毒网关，沙箱,区域边界完整性保护,终端综合管理系统,安全通信网络,通信网络安全审计,上网行为管理,数据传输完整性、保密性保护,VPN,设备,安全管理中心,系统管理,安全管理平台,审计管理（网络、主机、应用）,安全审计系统,.,等级保护几点问题澄清,等保不仅仅是安全的舞台，像交换机、路由器都是需要的，数通安全同品牌可是我们克敌制胜法宝哦,等保是功能的要求，而不是设备的罗列,防火墙,-,必备,入侵防御,-,三级必备,交换机等数通产品,-,必备,网闸,-,四级以上,漏扫,-,没要求,堡垒机,-,推荐,我们设备种类全面满足等保的要求，华为的自主可控是最好的等保厂商,等级保护建设常见问题,.,THE BUSENESS PLAN,新等级保护差异变化,.,云计算带来了新的安全风险,IDC,云,IDC,虚拟化平台,共享弹性资源,租户传统网络边界消失,业务自动化,传统,IDC,租户资源物理独立,租户网络边界清晰,新增业务耗时,外部威胁,内部威胁,DDOS,攻击,网络扫描、监听,木马、蠕虫、病毒入侵,挂马、,SQL,注入,非授权访问,越权访问,&,操作,内网,IP,、,ARP,欺骗,病毒二次扩散,非法终端接入,关键信息泄密,新增外部威胁,新增内部威胁,接入终端更多样，各种移动终端、,VDI,终端；,新的针对,Hypervisor,漏洞攻击；,VM,存在相互攻击、流量不可视，取证困难；,VM,动态迁移需要安全策略保持一致性；,存储数据物理位置不可知，用户担心数据隐私泄露；,云,IDC,的管理