1、0 xxxxxx 信 息 安 全 等 级 保 护 （ 三 级 ） 建 设 项 目 设 计 方 案 二一八年二月 0 文档控制 文档名称： xxxxxx 信息安全等保保护建设（三级）设计方案 提 交 方 xxxxx 机 股 份 有 限 公 司 提 交 日 期 Xxxxx 版本信息 日 期 版 本 撰 写 者 审 核 者 描 述 2 月 28 日 V1.0 初 稿 3 月 1 日 V1.1 修 订 3 月 7 日 V1.2 修 订 本文档版权归 xxxxxx 股份有限公司所有，未经 xxxx 有限公司允许，本文档里 的任何内容都不得被用来宣传和传播。未经 xxxx 有限公司书面批准，文档或任何 类
2、似的资讯都不允许被发布。 信息安全等保保护建设（三级）设计方案 1 目录 第一章 项目概述 5 1.1 项目概述 5 1.2 项目建设背景 5 1.2.1 法律要求 6 1.2.2 政策要求 7 1.3 项目建设目标及内容 8 1.3.1 项目建设目标 8 1.3.2 建设内容 8 第二章 现状与差距分析 9 2.1 现状概述 9 2.1.1 信息系统现状 9 2.2 现状与差距分析 .12 2.2.1 物理安全现状与差距分析 .12 2.2.2 网络安全现状与差距分析 .16 2.2.3 主机安全现状与差距分析 .22 2.2.4 应用安全现状与差距分析 .27 2.2.5 数据安全现状与差
3、距分析 .32 2.2.6 安全管理现状与差距分析 .34 2.3 综合整改建议 .37 2.3.1 技术措施综合整改建议 .37 2.3.2 安全管理综合整改建议 .43 信息安全等保保护建设（三级）设计方案 2 第三章 安全建设目标 .44 第四章 安全整体规划 .46 4.1 建设指导 .46 4.1.1 指导原则 .46 4.1.2 安全防护体系设计整体架构 .47 4.2 安全技术规划 .49 4.2.1 安全建设规划拓朴图 .49 4.2.2 安全设备功能 .50 4.3 建设目标规划 .55 第五章 工程建设 .57 5.1 工程一期建设 .57 5.1.1 区域划分 .57 5
4、.1.2 网络环境改造 .57 5.1.3 网络边界安全加固 .58 5.1.4 网络及安全设备部署 .59 5.1.5 安全管理体系建设服务 .86 5.1.6 安全加固服务 102 5.1.7 应急预案和应急演练 109 5.1.8 安全等保认证协助服务 109 5.2 工程二期建设 110 5.2.1 安全运维管理平台（soc） .110 5.2.2 APT 高级威胁分析平台 .113 5.3 产品清单 115 信息安全等保保护建设（三级）设计方案 3 第六章 方案预算 116 第七章 方案预估效果 120 7.1 工程预期效果 120 信息安全等保保护建设（三级）设计方案 4 图表目录
5、 图表 1 现状拓扑图 10 图表 2 物理安全现状 12 图表 3 网络安全现状 16 图表 4 主机安全现状 22 图表 5 应用安全现状 27 图表 6 数据安全现状 32 图表 7 安全管理现状 34 图表 8 综合技术措施整改建议表格 37 图表 9 综合安全管理体系整改建议表格 43 图表 10 安全保障体系图 47 图表 11 安全建设规划拓扑图 49 图表 12 建设规划 55 图表 13 信息安全组织架构示意图 92 图表 14 安全管理制度规划示意图 98 图表 15 产品清单表 115 图表 16 方案预算表 116 信息安全等保保护建设（三级）设计方案 5 第一章 项目
6、概述 1.1 项目概述 xxxxxx 是人民政府的职能部门，贯彻执行国家有关机关事务工作 的方针政策，拟订省机关事务工作的政策、规划和规章制度并组织实 施，负责省机关事务的管理、保障、服务工作。 在面对现在越来越严重的网络安全态势下，xxxxxx 积极响应国家 相关政策法规，积极开展信息安全等级保护建设。对自有网络安全态 势进行自我核查，补齐等保短板，履行安全保护义务。 项目目标：打造一个可信、可管、可控、可视的安全网络环境， 更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好 的保障各项行政活动正常进行。 1.2 项目建设背景 机关后勤管理工作因为其政府内部服务的特殊性，一直比较少
7、地 为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、 生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管 理的重要一环，为机关各部门以及领导者和公务人员提供工作和生活 条件，是保障各项行政活动正常进行的物质基础。 随着这几年地区经济的高速发展和政府行政职能分配管理的需要， 使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管 理工作变得十分繁重。尤其是在新增的一些业务管理工作方面，如对 政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随 着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信 息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构
8、，正 承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态 信息安全等保保护建设（三级）设计方案 6 势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个 社会和国家发展的必然趋势。 1.2.1法律要求 在 2017 年 6 月 1 日颁发的中华人民共和国网络安全法中明确 规定了法律层面的网络安全。具体如下： “没有网络安全，就没有国家安全”，网络安全法第二十一 条明确规定“国家实行网络安全等级保护制度”。各网络运营者应当 按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、 安全检查等工作。除此之外，网络安全法中还从网络运行安全、 关键信息基础设施运行安全、网络信息
9、安全等对以下方面做了详细规 定： 网络日志留存：第二十一条还规定，网络运营者应当制定内部安 全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责 任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技 术措施;采取监测、记录网络运行状态、网络安全事件的技术措施，留 存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密 等措施。未履行上述网络安全保护义务的，会被依照此条款责令整改， 拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下 罚款，对直接负责的主管人员处五千元以上五万元以下罚款。 漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件 应急预案，及时
10、处置系统漏洞、计算机病毒、网络攻击、网络侵入等 安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相 应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件 应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事 件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危 害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的 主管人员处五千元以上五万元以下罚款。 信息安全等保保护建设（三级）设计方案 7 容灾备份：第三十四条第三项规定，关键信息基础设施单位对重 要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备 份的会被依照此条款责令改正。 应急演练
11、：第三十四条第四项规定，关键信息基础设施单位应当 制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预 案的，或者没有定期演练的，会被依照此条进行责令改正。 安全检测评估：第三十八条规定，关键信息基础设施的运营者应 当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风 险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相 关负责关键信息基础设施安全保护工作的部门。每年没有进行安全检 测评估的单位要被责令改正。 1.2.2政策要求 为切实加强门户网站安全管理和防护，保障网站安全稳定运行， 国家非常重视，陆续颁布以下文件：关于加强党政机关网站安全管 理的通知（中网办发文20
12、141 号）、关于做好党政机关网站开 办审核、资格复核和网站标识管理工作的通知（中央编办发 201469 号），公安部、中央网信办、中编办、工信部等四部门 关于印发党政机关、事业单位和国有企业互联网网站安全专项整 治行动方案的通知（公信安20152562 号） 1.3 项目建设目标及内容 1.3.1项目建设目标 依据国家信息安全等级保护相关指导规范，对 xxxxxx 信息系统、 基础设施和骨干网络按照等保三级进行安全建设规划，对安全建设进 行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准 统一、经济适用的建设目标。 信息安全等保保护建设（三级）设计方案 8 依据信息安全等级保护三级
13、标准，按照“统一规划、统一标准、 重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安 全、应用安全、数据安全等几个方面进行安全规划与建设，确保“网 络建设合规、安全防护到位”。 方案目标是让 xxxxxx 的骨干网络、相关应用系统达到安全等级保 护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系， 提升整体信息安全防护能力。 1.3.2建设内容 本项目以 xxxxxx 骨干网络、信息系统等级保护建设为主线，以让 相关信息系统达到安全等级保护第三级要求。借助网络产品、安全产 品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系， 从而全面提高 xxxxxx 的工作效率
14、，提升信息化运用水平。 建设内容包括 xxxxxx 内网骨干网络、基础设施和信息系统等。 第二章 现状与差距分析 2.1 现状概述 2.1.1信息系统现状 本次项目中 xxxxxx 外网项目中涉及的设备有： 1) 服务器4 台 2) 网络设备若干 路由器、交换机、ap 3) 安全设备有：1 台防火墙（过保）、WAF（过保）、2 台 ips（dmz 区前 IPS 已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系 统、360 天擎终端杀毒（只具有杀毒模块） 4) 存储设备：火星舱容灾备份 2.1.1.1 网络系统现状 xxxxxx 的网络系统整体构架采用三层层次化模型网络架构，即由 核心
15、层、汇聚层和接入层组成。 网络现状： 核心层：核心层是网络的高速交换主干，对整个网络的连通起到 至关重要的作用。xxxxxx 内网核心，由 1 台 DPX 安全业务网关组成。 汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站 接入核心层前先做汇聚，以减轻核心层设备的负荷。xxxxxx 内网中， 由迪普和 H3C 交换机作为内网的有线汇聚和内网的无线汇聚交换机。 接入层：接入层向本地网段提供工作站接入。xxxxxx 内网网络中， 由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。 在 DPX 核心交换机上划分 VLAN 和网关，整体网络中部署了防病毒 网关、IPS、UAG、DD
16、I、数据容灾备份系统。OA 系统连接至无线汇聚交 换机。其他各系统旁路至核心交换机上。 安全现状： 在整体网络中部署有相应的安全设备做安全防护，但部分安全设 备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓 扑图如下： 图表 1 现状拓扑图 2.1.1.2 主机系统现状 xxxxxx 的业务系统 OA、文件交换箱等，部署于多台服务器上。服 务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并 进行标识区分。服务器操作系统全都采用微软的 Windows Server 系列 操作系统。 xxxxxx 办公终端约为 300 台，win7 为主，XP 系统占少数，主机系 统没有进行
17、过定期更新补丁，安装有 360 天擎杀毒软件 2.1.1.3 应用系统现状 xxxxxx 的应用系统主要为以下业务系统：OA、文件交换箱等。也 包含一些其他的办公软件。 2.2 现状与差距分析 2.2.1物理安全现状与差距分析 xxxxxx 机房建设过程中参照 B 级机房标准参考进行统一规划，存 在的物理安全隐患较少。但仍需参照以下标准进行核查、整改；根据 信息安全等级保护（第三级）中对物理安全相关项（防火、防雷、防 水、防磁及电力供应等）存在些许差距。详见下表差距分析。 图表 2 物理安全现状 序 号 要求指标项 是否 符合 现状分析 备注 物理位置的选择（G3） 本项要求包括： a)机房和
18、办公场地 应选择在具有防震、防风 和防雨等能力的建筑内； 符合要 求 满足1 b)机房场地应避免 设在建筑物的高层或地下 室，以及用水设备的下层 或隔壁。 符合要 求 满足 物理访问控制（G3） 本项要求包括： a)机房出入口应安 排专人值守，控制、鉴别 和记录进入的人员； 不符合 要求 不满足 无相关记 录 b)需进入机房的来 访人员应经过申请和审批 流程，并限制和监控其活 动范围； 不符合 要求 不满足 有监控， 但是没有申请和 审批流程 2 c)应对机房划分区 域进行管理，区域和区域 之间设置物理隔离装置， 基本符 合要求 依据业务系统进行 了机柜间的区域区分，但 未在重要区域前设置物理
19、 在重要区 域前设置物理隔 离装置。 序 号 要求指标项 是否 符合 现状分析 备注 在重要区域前设置交付或 安装等过渡区域； 隔离装置。 d) 重要区域应配置 电子门禁系统，控制、鉴 别和记录进入的人员。 符合要 求 基本满足 防盗窃和防破坏（G3） 本项要求包括： a)应将主要设备放 置在机房内； 符合要 求 满足 b)应将设备或主要 部件进行固定，并设置明 显的不易除去的标记； 符合要 求 满足 c)应将通信线缆铺 设在隐蔽处，可铺设在地 下或管道中； 不符合 要求 不满足 有部分线 缆架设在半空中 d)应对介质分类标 识，存储在介质库或档案 室中； 符合要 求 满足 e)应利用光、电等
20、 技术设置机房防盗报警系 统； 符合要 求 满足 3 f)应对机房设置监 控报警系统。 符合要 求 满足 防雷击（G3） 本项要求包括： a)机房建筑应设置 避雷装置； 符合要 求 满足 b)应设置防雷保安 器，防止感应雷； 符合要 求 满足 4 c)机房应设置交流 电源地线。 符合要 求 满足 防火（G3） 本项要求包括： 5 a)机房应设置火灾自动消防系统，能够自动 检测火情、自动报警，并 自动灭火； 基本符 合要求 安装有气体灭火装 置 序 号 要求指标项 是否 符合 现状分析 备注 b)机房及相关的工 作房间和辅助房应采用具 有耐火等级的建筑材料； 符合要 求 满足 c)机房应采取区域
21、 隔离防火措施，将重要设 备与其他设备隔离开。 不符合 要求 不满足 防水和防潮（G3） 本项要求包括： a)水管安装，不得 穿过机房屋顶和活动地板 下； 符合要 求 满足 b)应采取措施防止 雨水通过机房窗户、屋顶 和墙壁渗透； 符合要 求 满足 c)应采取措施防止 机房内水蒸气结露和地下 积水的转移与渗透； 符合要 求 满足 6 d)应安装对水敏感 的检测仪表或组件，对机 房进行防水检测和报警。 符合要 求 满足 防静电（G3） 本项要求包括： a)主要设备应采用 必要的接地防静电措施； 符合要 求 满足7 b)机房应采用防静 电地板。 符合要 求 满足 温湿度控制（G3） 本项要求包括：
22、 8 机房应设置温、湿度自动调节设施，使机房 温、湿度的变化在设备运 行所允许的范围之内。 符合要 求 安装有动力环境监 控系统，建议机房日常温 度控制在 1028，湿 度 3070%。 电力供应（A3） 本项要求包括： a)应在机房供电线 路上配置稳压器和过电压 防护设备； 基本符 合要求 满足9 b)应提供短期的备 用电力供应，至少满足主 符合要 求 设置 UPS 电池供电， 并至少保证断电时主要设 序 号 要求指标项 是否 符合 现状分析 备注 要设备在断电情况 下的正 常运行要求； 备在满负荷情况下 4 小时 的正常运行。 c)应设置冗余或并 行的电力电缆线路为计算 机系统供电； 不符
23、合 要求 只有一条出口线， 极容易出现单点故障 增加线缆， 做到冗余 d)应建立备用供电 系统。 符合要 求 满足 电磁防护（S3） 本项要求包括： a)应采用接地方式 防止外界电磁干扰和设备 寄生耦合干扰； 符合要 求 满足 b)电源线和通信线 缆应隔离铺设，避免互相 干扰； 符合要 求 满足 1 0 c)应对关键设备和 磁介质实施电磁屏蔽。 符合要 求 满足 2.2.2网络安全现状与差距分析 由于 xxxxxx 前期已经行相关安全建设，仍有相关安全防护建设不 到位，主要表现出以下问题点： 1. 网络结构基本清晰，但细节规划不合理； 2. 新增移动接入链路， 3. 面对日益突增的网络安全事件
24、缺乏有效防御手段及应急机制； 4. 骨干网络架构规划不合理，核心交换区无冗余，安全防护区域 划分不明晰，不能对不同区域间防护措施、技术手段进行统一 规划，不同区域对恶意攻击的防范能力不一。 详见下表差距分析： 图表 3 网络安全现状 序 号 要求指标项 是否 符合 差距分析 备注 结构安全（G3） 本项要求包括： a)应保证主要网络 设备的业务处理能力具备 冗余空间，满足业务高峰 期需要； 不符合 要求 域网核心交换设 备均采用单链路、单 设备，无冗余空间， 一旦出现设备故障则 会出现单点故障，无 法有效保障对外开放 的业务安全稳定的运 行。 域网核心设备至 少有二台，采用多链路 b)应保证网
25、络各个 部分的带宽满足业务高峰 期需要； 符合要 求 满足 1 c)应在业务终端与 业务服务器之间进行路由 符合要 求 满足 序 号 要求指标项 是否 符合 差距分析 备注 控制建立安全的访问路径； d)应绘制与当前运 行情况相符的网络拓扑结 构图； 不符合 要求 暂无拓扑图 我们会在工程结 束后重新绘制网络拓扑 图。 e)应根据各部门的 工作职能、重要性和所涉 及信息的重要程度等因素， 划分不同的子网或网段， 并按照方便管理和控制的 原则为各子网、网段分配 地址段； 基本符 合要求 整体网络结构中 已按照需求进行子网划 分。但使用中存在混乱， 没有按规定使用。待本 次项目建设进行梳理、 严格
26、限制 f)应避免将重要网 段部署在网络边界处且直 接连接外部信息系统，重 要网段与其他网段之间采 取可靠的技术隔离手段； 基本符 合要求 满足 访问控制（G3） 本项要求包括： a)应在网络边界部 署访问控制设备，启用访 问控制功能； 不符合 要求 仅在 dmz 区部署 防火墙且防火墙已过 保，其他区域未部署 访问控制设备 建议在互联网出 口与服务器区前部署防 火墙进边界隔离与访问 控制 b)应能根据会话状 态信息为数据流提供明确 的允许/拒绝访问的能力， 控制粒度为端口级； 符合要 求 满足 c)应对进出网络的 信息内容进行过滤，实现 对应用层 HTTP、FTP、TELNET、SMT P、P
27、OP3 等协议命令级的 控制； 符合要 求 满足 2 d)应在会话处于非 活跃一定时间或会话结束 符合要 求 满足 序 号 要求指标项 是否 符合 差距分析 备注 后终止网络连接； e)应限制网络最大 流量数及网络连接数； 不符合 要求 未部署流量控制 设备，无法根据所承 载的业务和带宽的实 际情况确定网络最大 流量数和网络连接数 并进行管理。 部署上网行为管 理及流控 f)重要网段应采取 技术手段防止地址欺骗； 不符合 要求 未部署访问控制 设备的区域无法采用 包过滤或传输控制协 议，进行边界访问控 制，防止地址欺骗， 应对网络中的广播、 组播进行必要的控制。 实现重要网段地 址进行有效保护
28、防止地 址欺骗。 g)应按用户和系统 之间的允许访问规则，决 定允许或拒绝用户对受控 系统进行资源访问，控制 粒度为单个用户； 不符合 要求 没有在服务器区 前和网络出口设置防 火墙、认证网关或授 权管理系统，可对单 个用户的访问进行策 略控制。 新增 2 台防火墙 实现不同安全域之间的 访问控制 h)应限制具有拨号 访问权限的用户数量。 不符合 要求 不涉及 安全审计（G3） 本项要求包括： 3 a)应对网络系统中的网络设备运行状况、网 络流量、用户行为等进行 日志记录； 不符合 要求 有上网行为管理 设备（过保），但是 并没有办法对网络设 备运行状况日志记录， 而部署综合安全日志 审计系统
29、可对来自不 同厂商的安全设备、 网络设备、主机、操 作系统、数据库系统、 用户业务系统的日志、 警报等信息汇集到审 计中心，实现综合安 全审计。 部署综合日志审 计系统可对来自不同厂 商的安全设备、网络设 备、主机、操作系统、 数据库系统、用户业务 系统的日志、警报等信 息汇集到审计中心，实 现综合安全审计。 序 号 要求指标项 是否 符合 差距分析 备注 b)审计记录应包括： 事件的日期和时间、用户、 事件类型、事件是否成功 及其他与审计相关的信息； 符合要 求 满足 c)应能够根据记录 数据进行分析，并生成审 计报表； 不符合 要求 不满足 部署日志审计系 统 d)应对审计记录进 行保护，
30、避免受到未预期 的删除、修改或覆盖等。 符合要 求 满足 安全审计日志记 录要求保存至少半年以 上。 边界完整性检查（S3） 本项要求包括： a)应能够对非授权 设备私自联到内部网络的 行为进行检查，准确定出 位置，并对其进行有效阻 断； 不符合 要求 可通终端管理系 统或 ARP 绑定技术手 段实现 可采用终端管理 系统等手段进行管理控 制 4 b)应能够对内部网 络用户私自联到外部网络 的行为进行检查，准确定 出位置，并对其进行有效 阻断。 不符合 要求 可采用终端管理 系统等手段进行管理控 制 入侵防范（G3） 本项要求包括： a)应在网络边界处 监视以下攻击行为：端口 扫描、强力攻击、
31、 木马 后门攻击、拒绝服务攻击、 缓冲区溢出攻击、IP 碎 片攻击和网络蠕虫攻击等； 基本符 合要求 出口处部署有 IPS 入侵防御 5 b)当检测到攻击行 为时，记录攻击源 IP、 攻击类型、攻击目的、攻 击时间，在发生严重入侵 事件时应提供报警 基本符 合要求 落实安全审计系 统报警功能。 6 恶意代码防范（G3） 序 号 要求指标项 是否 符合 差距分析 备注 本项要求包括： a)应在网络边界处 对恶意代码进行检测和清 除； 符合要 求 满足 b)应维护恶意代码 库的升级和检测系统的更 新。 符合要 求 网络设备防护（G3） 本项要求包括： a)应对登录网络设 备的用户进行身份鉴别； 不
32、符合 要求 没有指定专人进 行维护。通过密码和 用户名进行身份鉴别， 同时也没有部署堡垒 主机。 可以指定专人维 护网络设备，并通过用 户名和密码 进行身份 鉴别，同时也可以部署 堡垒主机 b)应对网络设备的 管理员登录地址进行限制； 不符合要求 对管理员登陆地址没有限制。 增添堡垒机设备， 这样可以有效对远程用 户进行管理。 c)网络设备用户的 标识应唯一； 不符合 要求 网络设备没有唯 一的标示。 重新对设备进行 标示。 d)主要网络设备应 对同一用户选择两种或两 种以上组合的鉴别技术来 进行身份鉴别； 不符合 要求 主要网络设备未 对同一用户选择两种 或两种以上组合的鉴 别技术来进行身份
33、鉴 别； 增设堡垒机 e)身份鉴别信息应 具有不易被冒用的特点， 口令应有复杂度要求并定 期更换； 不符合 要求 密码没有定期更 换，复杂度不够 用户口令应 12 位 以上，数字和字母组成， 至少 3 个月更换一次。 f)应具有登录失败 处理功能，可采取结束会 话、限制非法登录次数和 当网络登录连接超时自动 退出等措施； 符合要 求 当一次登录密码 错误次数超过 6 次， 应能自动关闭并告警。 g)当对网络设备进 行远程管理时，应采取必 要措施防止鉴别信息在网 络传输过程中被窃听； 不符合 要求 传输中进行加密， 可以使用 IPsec VPN 技术 7 h)应实现设备特权 用户的权限分离。 不
34、符合 要求 网络管理员、系 统管理员和安全审计 员分开， 并按职责分 部署堡垒机控制 用户权限 序 号 要求指标项 是否 符合 差距分析 备注 工限制各自权限，但 无技术手段控制。 2.2.3主机安全现状与差距分析 xxxxxx 内网主机终端已部署终端杀毒软件。 终端主机安全现状差距分析，如下： 图表 4 主机安全现状 序 号 要求指标项 是否 符合 差距分析 备注 身份鉴别（S3） 本项要求包括： a)应对登录操作系 统和数据库系统的用户进 行身份标识和鉴别； 基本符合 要求 没有严格通 过账号密码限制操 作系统和数据库系 统的用户登陆，进 行身份标识和鉴别； b)操作系统和数据 库系统管理
35、用户身份标识 应具有不易被冒用的特点， 口令应有复杂度要求并定 期更换； 不符合要 求 不满足 系统管理员的登 录身份标识唯一，口令 12 位以上，且数字和字 母大小写组合，每半年 应更改一次。 c)应启用登录失败 处理功能，可采取结束会 话、限制非法登录次数和 自动退出等措施； 符合要求 当登录次数 错误超过 6 次，应 自动退出并告警。 d)当对服务器进行 远程管理时，应采取必要 措施，防止鉴别信息在网 络传输过程中被窃听； 不符合要 求 没有采用 IPSec VPN 对传输 加密的方法来保证 远程管理安全可靠。 采用 IPSec VPN 部署 e)应为操作系统和 数据库系统的不同用户分
36、配不同的用户名，确保用 户名具有唯一性。 不符合要 求 不满足 1 f)应采用两种或两 种以上组合的鉴别技术对 管理用户进行身份鉴别。 不符合要 求 采用用户名 密码的鉴别技术对 管理员进行身份鉴 别。 部署堡垒机 2 访问控制（S3） 序 号 要求指标项 是否 符合 差距分析 备注 本项要求包括： a)应启用访问控制 功能，依据安全策略控制 用户对资源的访问； 不符合要 求 不满足 b)应根据管理用户 的角色分配权限，实现管 理用户的权限分离，仅授 予管理用户所需的最小权 限； 不符合要 求 因只设置了 一个管理员账号， 也未通过技术手段 控制授予所需要的 最小权限。 部署堡垒机，将 网络管
37、理员、系统管理 员和安全审计员分离， 通过技术手段控制授予 所需要的最小权限。 c)应实现操作系统 和数据库系统特权用户的 权限分离； 不符合要 求 还是未修改 的默认口令 修改口令 d)应严格限制默认 帐户的访问权限，重命名 系统默认帐户，修改这些 帐户的默认口令； 不符合要 求 不满足 e)应及时删除多余 的、过期的帐户，避免共 享帐户的存在。 基本符合 要求 因只一个账 户，不存在多余的 账户 f)应对重要信息资 源设置敏感标记； 不符合要 求 未对重要服 务器部署服务器加 固系统，采取安全 加固措施，并设置 敏感标记。 对重要服务器部 署服务器加固系统，采 取安全加固措施，并设 置敏感
38、标记 g)应依据安全策略 严格控制用户对有敏感标 记重要信息资源的操作； 不符合要 求 不满足 安全审计（G3） 本项要求包括： a)审计范围应覆盖 到服务器和重要客户端上 的每个操作系统用户和数 据库用户； 不符合要 求 未部署数据 库审计系统，无法 对服务器和重要客 户端上的每个操作 系统用户和数据库 用户进行审计。 部署日志审计系 统和数据库审计系统 3 b)审计内容应包括 重要用户行为、系统资源 的异常使用和重要系统命 令的使用等系统内重要的 不符合要 求 未部署数据 库审计系统，无法 对重要用户行为、 系统资源的异常使 部署日志审计系 统和数据库审计系统 序 号 要求指标项 是否 符
39、合 差距分析 备注 安全相关事件； 用和重要系统命令 的使用等系统内重 要的安全相关事件 进行审计。 c)审计记录应包括 事件的日期、时间、类型、 主体标识、客体标识和结 果等； 不符合要 求 未部署数据 库审计系统，无法 对数据库进行审计。 部署日志审计系 统和数据库审计系统 d)应能够根据记录 数据进行分析，并生成审 计报表； 不符合要 求 未部署数据 库审计系统，无法 对异常行为实时告 警。 部署日志审计系 统和数据库审计系统 e)应保护审计进程， 避免受到未预期的中断； 不符合要 求 未部署数据 库审计系统。 部署日志审计系 统和数据库审计系统 f)应保护审计记录， 避免受到未预期的删
40、除、 修改或覆盖等。 不符合要 求 未部署数据 库审计系统。（审 计记录至少应保存 半年。） 部署日志审计系 统和数据库审计系统 剩余信息保护（S3） 本项要求包括： a)应保证操作系统 和数据库系统用户的鉴别 信息所在的存储空间，被 释放或再分配给其他用户 前得到完全清除，无论这 些信息是存放在硬盘上还 是在内存中； 不符合要 求 不满足 4 b)应确保系统内的 文件、目录和数据库记录 等资源所在的存储空间， 被释放或重新分配给其他 用户前得到完全清除。 不符合要 求 可在终端 Windows 操作系统 未启用“关机前清 除虚拟内存页面” 功能项。 在终端 Windows 操作系统启用“关机
41、前 清除虚拟内存页面”功 能项。 入侵防范（G3） 本项要求包括： 5 a)应能够检测到对 重要服务器进行入侵的行 为，能够记录入侵的源 IP、攻击的类型、攻击的 目的、攻击的时间，并在 符合要求 已有 ips 入侵防御系统 序 号 要求指标项 是否 符合 差距分析 备注 发生严重入侵事件时提供 报警； b)应能够对重要程 序的完整性进行检测，并 在检测到完整性受到破坏 后具有恢复的措施； 不符合要 求 未定期使用 完整性检查工具或 脚本对服务器的重 要程序和文件进行 检查。 定期使用完整性 检查工具或脚本对服务 器的重要程序和文件进 行检查。 c)操作系统应遵循 最小安装的原则，仅安装 需要
42、的组件和应用程序， 并通过设置升级服务器等 方式保持系统补丁及时得 到更新。 不符合要 求 未通过技术 手段保持系统补丁 及时得到更新。 增加终端管理软 件模块。 恶意代码防范（G3） 本项要求包括： a)应安装防恶意代 码软件，并及时更新防恶 意代码软件版本和恶意代 码库； 符合要求 满足，安装了 360 天擎 b)主机防恶意代码 产品应具有与网络防恶意 代码产品不同的恶意代码 库； 符合要求 满足，安装了 360 天擎 6 c)应支持防恶意代 码的统一管理。 符合要求 满足，安装 了 360 天擎 资源控制（A3） 本项要求包括： a)应通过设定终端 接入方式、网络地址范围 等条件限制终端
43、登录； 不符合要 求 通过账号密 码限制终端登录。 通过增设堡垒机 对终端接入进行管理。 b)应根据安全策略 设置登录终端的操作超时 锁定； 不符合要 求 未部署终端 管理系统对登录终 端进行管理。 部署终端管理系 统对登录终端进行管理。 c)应对重要服务器 进行监视，包括监视服务 器的 CPU、硬盘、内存、 网络等资源的使用情况； 不符合要 求 没有网络管 理系统 可通过增加网络 管理系统对重要服务器 进行监视并对服务器的 运行状况异常实时告警。 7 d)应限制单个用户 对系统资源的最大或最小 不符合要 求 没有网络管 理系统 可通过增加网络 管理系统对重要服务器 序 号 要求指标项 是否
44、符合 差距分析 备注 使用限度； 进行监视并对服务器的 运行状况异常实时告警。 e)应能够对系统的 服务水平降低到预先规定 的最小值进行检测和报警。 不符合要 求 不能进行报 警 可通过增加网络 管理系统对重要服务器 进行监视并对服务器的 运行状况异常实时告警。 2.2.4应用安全现状与差距分析 xxxxxx 应用系统根据国家信息安全等级保护（第三级）标准在对 应用系统安全进行分析时，发现应用系统涉及到应用系统的运行稳定 以及业务数据的安全可靠，故而安全防护技术手段如下： 1. 以业务系统自身通过代码查错、规则设置、权限细化等方法为主要手段， 来满足信息系统安全等级保护（第三级）中应用安全部分
45、标准项（如身份 鉴别、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软 件容错、资源控制等）的要求 2. 部分标准项（如身份鉴别、访问控制、安全审计、通信保密性等）除可通 过应用系统进行安全加强外，也可通过设备进行技术防护 详见下表差距分析： 图表 5 应用安全现状 序 号 要求指标项 是否 符合 差距分析 备注 身份鉴别（S3） 本项要求包括： a)应提供专用的登录 控制模块对登录用户进行 身份标识和鉴别； 不符 合要求 未采用技术手段， 提供专用的登录控制模块 对登录用户的身份进行标 识和鉴别。 增设堡垒机， 通过堡垒机用户登 陆进行身份识别和 鉴别。 b)应对同一用户采用 两种
46、或两种以上组合的鉴 别技术实现用户身份鉴别； 符合 要求 c)应提供用户身份标 识唯一和鉴别信息复杂度 检查功能，保证应用系统 中不存在重复用户身份标 识，身份鉴别信息不易被 冒用； 符合 要求 d)应提供登录失败处 理功能，可采取结束会话、 限制非法登录次数和自动 退出等措施； 符合 要求 1 e)应启用身份鉴别、 用户身份标识唯一性检查、 用户身份鉴别信息复杂度 基本 符合要求 序 号 要求指标项 是否 符合 差距分析 备注 检查以及登录失败处理功 能，并根据安全策略配置 相关参数。 访问控制（S3） 本项要求包括： a)应提供访问控制功 能，依据安全策略控制用 户对文件、数据库表等客 体
47、的访问； 符合 要求 b)访问控制的覆盖范 围应包括与资源访问相关 的主体、客体及它们之间 的操作； 符合 要求 c)应由授权主体配置 访问控制策略，并严格限 制默认帐户的访问权限； 符合 要求 d)应授予不同帐户为 完成各自承担任务所需的 最小权限，并在它们之间 形成相互制约的关系。 符合 要求 e)应具有对重要信息 资源设置敏感标记的功能； 不合要求 对重要服务器部署 服务器加固系统，采取安 全加固措施，并设置敏感 标记。 2 f)应依据安全策略严 格控制用户对有敏感标记 重要信息资源的操作； 不合 要求 服务器加固系统有 实现文件强制访问控制、 注册表强制访问控制、进 程强制访问控制、程
48、序授 权控制、网络级访问控制 等功能。 安全审计（G3） 本项要求包括： a)应提供覆盖到每个 用户的安全审计功能，对 应用系统重要安全事件进 行审计； 基本 符合要求 部署了安全 审计系统,对应用 系统每个用户的安 全事件进行记录审 计。 b)应保证无法单独中 断审计进程，无法删除、 修改或覆盖审计记录； 基本 符合要求 未部署安全管理系 统 部署了安全 审计系统 3 c)审计记录的内容至 少应包括事件的日期、时 基本 符合要求 部署了安全 审计系统 序 号 要求指标项 是否 符合 差距分析 备注 间、发起者信息、类型、 描述和结果等； d)应提供对审计记录 数据进行统计、查询、分 析及生成
49、审计报表的功能。 基本符合要求 部署了安全审计系统 剩余信息保护（S3） 本项要求包括： a)应保证用户鉴别信 息所在的存储空间被释放 或再分配给其他用户前得 到完全清除，无论这些信 息是存放在硬盘上还是在 内存中； 不符合 要求 在终端 Windows 操作系统中未启用“不 显示上次登录名”功能 项。 可在终端 Windows 操作系统 启用“不显示上次 登录名”功能项。4 b)应保证系统内的文 件、目录和数据库记录等 资源所在的存储空间被释 放或重新分配给其他用户 前得到完全清除。 不符合 要求 在终端 Windows 操作系统中未启用“关 机前清除虚拟内存页面” 功能项。 在终端 Windows 操作系统 中未启用“关机前 清除虚拟内存页面” 功能项。 通信完整性（S3） 本项要求包括： 5 应采用密码技术保证 通信过程中数据的完整性。 符合要求 在应用软件编程中， 对通信的保密性提出要求。 通信保密性（S3） 本项要求包括： a)在通信双方建立连 接之前，应用系统应利用 密码技术进行会话初始化 验证； 符合 要求 在应用软件编程中， 对通信的保密性提出要求。6 b)应对通信过程中的 整个报文或会话过程进行 加密。 符合 要求 应用软件中应有此 功能 抗抵赖（G3） 本项要求包括： 7 a)应具有在请求的情况下为数据原发者或接
