网络安全等级保护要求

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇网络安全等级保护要求范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

网络安全等级保护要求范文第1篇

关键词：网络安全，网络管理，多级安全

 

1　引言网络技术，特别是Internet的兴起，正在从根本上改变传统的信息技术(IT)产业，随着网络技术和Internet的普及，信息交流变得更加快捷和便利，然而这也给信息保密和安全提出了更高的要求。近年来，研究人员在信息加密，如公开密钥、对称加密算法，网络访问控制，如防火墙，以及计算机系统安全管理、网络安全管理等方面做了许多研究工作，并取得了很多究成果。

本论文主要针对网络安全，从实现网络信息安全的技术角度展开探讨，以期找到能够实现网络信息安全的构建方案或者技术应用，并和广大同行分享。

2 网络安全风险分析影响局域网网络安全的因素很多，既有自然因素，也有人为因素，其中人为因素危害较大，归结起来，主要有六个方面构成对网络的威胁：

(1) 人为失误：一些无意的行为，如：丢失口令、非法操作、资源访问控制不合理、管理员安全配置不当以及疏忽大意允许不应进入网络的人上网等，都会对网络系统造成极大的破坏。

(2) 病毒感染：从“蠕虫”病毒开始到CIH、爱虫病毒，病毒一直是计算机系统安全最直接的威胁，网络更是为病毒提供了迅速传播的途径，病毒很容易地通过服务器以软件下载、邮件接收等方式进入网络，然后对网络进行攻击，造成很大的损失。

(3) 来自网络外部的攻击：这是指来自局域网外部的恶意攻击，例如：有选择地破坏网络信息的有效性和完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破译机密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。

(4) 来自网络内部的攻击：在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后，查看机密信息，修改信息内容及破坏应用系统的运行。

(5) 系统的漏洞及“后门”：操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。科技论文。另外，编程人员为自便而在软件中留有“后门”，一旦“漏洞”及“后门”为外人所知，就会成为整个网络系统受攻击的首选目标和薄弱环节。大部分的黑客入侵网络事件就是由系统的“漏洞”和“后门”所造成的。

3　网络安全技术管理探讨3.1 传统网络安全技术目前国内外维护网络安全的机制主要有以下几类：

Ø访问控制机制；

Ø身份鉴别；

Ø加密机制；

Ø病毒防护。

针对以上机制的网络安全技术措施主要有：

(1) 防火墙技术

防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它用来控制内部网和外部网的访问。

(2) 基于主机的安全措施

通常利用主机操作系统提供的访问权限，对主机资源进行保护，这种安全措施往往只局限于主机本身的安全，而不能对整个网络提供安全保证。

(3) 加密技术

面向网络的加密技术是指通信协议加密，它是在通信过程中对包中的数据进行加密，包括完整性检测、数字签名等，这些安全协议大多采用了诸如RAS公钥密码算法、DES分组密码、MD系列Hash函数及其它一些序列密码算法实现信息安全功能，用于防止黑客对信息进行伪造、冒充和篡改，从而保证网络的连通性和可用性不受损害。

(4) 其它安全措施

包括鉴别技术、数字签名技术、入侵检测技术、审计监控、防病毒技术、备份和恢复技术等。鉴别技术是指只有经过网络系统授权和登记的合法用户才能进入网络。审计监控是指随时监视用户在网络中的活动，记录用户对敏感的数据资源的访问，以便随时调查和分析是否遭到黑客的攻击。这些都是保障网络安全的重要手段。

3.2 构建多级网络安全管理多级安全作为一项计算机安全技术，在军事和商业上有广泛的需求。科技论文。“多级”包括数据、进程和人员的安全等级和分类，在用户访问数据时依据这些等级和分类进行不同的处理。人员和信息的安全标识一般由两部分组成，一部分是用“密级”表示数据分类具有等级性，例如绝密、秘密、机密和无密级；另一部分是用“类别”表示信息类别的不同，“类别”并不需要等级关系。在具体的网络安全实现上，可以从以下几个方面来构建多级网络安全管理：

(1) 可信终端

可信终端是指经过系统软硬件认证通过、被系统允许接入到系统的终端设备。网络安全架构中的终端具有一个最高安全等级和一个当前安全等级，最高安全等级表示可以使用该终端的用户的最高安全等级，当前安全等级表示当前使用该终端用户的安全等级。

(2) 多级安全服务器

多级安全服务器上需要部署具有强制访问控制能力的操作系统，该操作系统能够为不同安全等级的用户提供访问控制功能。该操作系统必须具备很高的可信性，一般而言要具备TCSEC标准下B1以上的评级。

(3) 单安全等级服务器和访问控制网关

单安全等级服务器本身并不能为多个安全等级的用户提供访问，但结合访问控制网关就可以为多安全等级用户提供访问服务。对于本网的用户，访问控制网关旁路许可访问，而对于外网的用户则必须经过访问控制网关的裁决。访问控制网关的作用主要是识别用户安全等级，控制用户和服务器之间的信息流。科技论文。如果用户的安全等级高于单级服务器安全等级，则只允许信息从服务器流向用户；如果用户的安全等级等于服务器安全等级，则允许用户和服务器间信息的双向流动；如果用户的安全等级低于服务器安全等级，则只允许信息从用户流向服务器。

(4) VPN网关

VPN网关主要用来保护跨网传输数据的保密安全，用来抵御来自外部的攻击。VPN网关还被用来扩展网络。应用外接硬件加密设备连接网络的方式，如果有n个网络相互连接，那么就必须使用n×(n-1)个硬件加密设备，而每增加一个网络，就需要增加2n个设备，这对于网络的扩展很不利。引入VPN网关后，n个网络只需要n个VPN网关，每增加一个网络，也只需要增加一个VPN网关。

4　结语在网络技术十分发达的今天，任何一台计算机都不可能孤立于网络之外，因此对于网络中的信息的安全防范就显得十分重要。针对现在网络规模越来越大的今天，网络由于信息传输应用范围的不断扩大，其信息安全性日益凸显，本论文正是在这样的背景下，重点对网络的信息安全管理系统展开了分析讨论，相信通过不断发展的网络硬件安全技术和软件加密技术，再加上政府对信息安全的重视，计算机网络的信息安全是完全可以实现的。

参考文献：

[1] 胡道元,闵京华.网络安全[M].北京:清华大学出版社,2004.

[2] 黄国言.WEB方式下基于SNMP的网络管理软件的设计和实现[J].计算机应用与软件,2003,20(9):92-94.

[3] 李木金,王光兴.一种被用于网络管理的性能分析模型和实现[J].软件学报,2000,22(12): 251-255.

网络安全等级保护要求范文第2篇

关键词：等级保护；网络安全；信息安全；安全防范

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03

随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络赌博等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。

1 网络信息安全等级保护

信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。

图1 等级保护基本安全要求

1） 物理安全

物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。

2） 主机安全

主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。

3） 网络安全

网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。

4） 应用安全

应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。

5） 数据安全

数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。

2 应用实例

近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。

医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。

图 2 医院网络信息系统安全区域划分图

2.1外网网络安全要求

系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。

2.2网络安全策略

根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略

1） 网络拓扑结构策略

要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。

2） 访问控制策略

访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。

3） 网络入侵检测策略

系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。

4） 网络安全审计策略

系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。

5） 运行安全策略

运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。

2.3网络安全设计

根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。

1） 网络访问控制

实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。

①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。

②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。

③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。

2） 网络入侵防护

外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。

①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。

②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。

3） 网络安全审计

信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。

由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。

①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；

②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；

③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；

④开启各区域服务器系统、网络设备和安全设备的日志审计功能。

4） 其他网络安全设计

其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。

①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；

②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。

③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。

3 结束语

信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。

参考文献：

[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.

[2] 李光辉.全台网信息安全保障体系初探[J].电脑知识与技术，2013（33）.

网络安全等级保护要求范文第3篇

随着医疗行业的信息化发展水平的逐步发展，信息系统的安全风险越明显，本文就天津市医院核心业务信息系统等级保护建设工作的管理体系建设提供一些基本的思路、方法和步骤。

关键词:

医院；安全等级；管理体系建设

一、引言

根据上级部门三级甲等要求，为了促进和规范天津市医院信息化建设我院于2014年启动了围绕医院核心业务系统：门诊信息系统、住院信息系统、HIS信息系统，深入开展信息安全等级和统计管理系统，为后续各兄弟医院等级保护建设工作提供一些基本建设和方法。

二、医院信息化建设存在的安全现状分析

大型综合性医院信息系统的安全保障体系建设是一个极为复杂的工程，医院的信息系统应用众多，结构复杂，覆盖广泛，涉及的部门和人员众多，医院信息系统的角色越来越重要。信息系统任何风险都有可能带来巨大的损失。医院信息系统故障，会造成门诊大量排队，业务科室投诉，临床业务停顿，每次引发的问题都给医院管理人员造成巨大压力，社会舆论和声音受到严重影响，不同程度也给医院造成了较大经济损失。医院信息系统面临极大的安全风险。具体有以下几点：

(一)物理环境安全风险

医院的物理安全具备环境安全、设备安全及介质安全等物理支撑环境，保护网络设备、设施、介质和信息免受大自然，环境事故以及误操作导致的破坏和丢失。

(二)网络安全风险

医院的临床、财务系统和物流已经全部纳入IT系统，业务网中各业务应用是其信息系统的核心，同时也需要与外部发生业务联系。因此业务应用面临的任何风险，都会产生严重后果。

(三)管理层安全风险

对医院信息系统的管理尤为重要，责任不明，管理混乱，安全管理制度不健全等都有可能引起管理安全风险。

三、信息安全管理体系建立的作用

信息安全管理体系必须满足等级保护标准，同时也要满足政策的要求，还要贯彻执行，不断进步。一个健全的、正常运行的医疗信息安全管理体系的主要作用体现在以下方面；(1)能够有效增强行政和技术上的安全管理，将解决网络设计缺陷，威胁网络安全的问题，制定出信息系统规范和安全标准。(2)信息安全管理体系的建设，更加重视和执行对安全知识、法规、标准的宣传和培训，考核实现了信息安全的动态管理过程。(3)全方位的保护医院的核心业务系统，在核心数据和信息受到袭击时，要确保各项工作正常开展，并尽量把损失降到最低。(4)满足医疗行业和监督机构要求，保护国家或区域医疗信息安全，维护社会医疗秩序稳定。

四、安全保管体系建设的主要思路

我院从安全管理机构、安全管理制度、系统建设管理、系统运维管理及人员安全管理等五个方面着手开展安全等级保护建设。

(一)安全管理机构的设立

组建安全管理领导团队，由院领导和各科室骨干出任第一责任人，把具体的办公地点设定在信息所。

(二)安全管理制度

根据《公安信息安全等级保护基本要求》，制定《网络安全息安全管理制度》，等9个信息安全管理制度，定期进行内部检查和管理评定，不断优化和持续改进。我院在实施安全等管理体系建设工作中，采取分级、分类、分阶段的策略，根据我院各系统的不同特点，采取不同的安全等级。

(三)系统运维管理

根据最高等级的保护要求，制定多种信息安全方法：一是机房定时巡查，二是增加视频监控，减少视频盲区，三是建立智能监控系统，对全院网络运维情况监控，减低网络故障。

(四)人员安全管理

我院坚持在风险评估的基础上，采取适当和管用、足够的措施来加强信息安全，大大降低系统故障。

五、安全等保的实施过程

实现等级保护，应该采取分级，分类，分阶段的策略坚持分级实施保护，加强安全，突出关注重点，要害部位，根据信息化发展阶段的不平衡，须根据信息资产的规模大小，依赖程度的深浅，按阶段分步骤逐步实现等级保护的各项要求。(1)信息安全管理体系第一阶段主要是做好建立信息安全管理系统的前期工作及安全管理人力资源配置。(2)信息安全工作团队结合等级保护的基本要求，对HIS，LIS,RACS等核心业务信息系统进行处理，对在传输和存储的过程中，信息的机密性，完整性等重要特性进行调研和评价，结合等级保护基本要求差距项汇总，分析差距项目涉及的安全事件一旦发生对医院信息系统造成的影响。(3)制定安全管理策略、安全管理制度和信息安全管理体系等各方位保护措施，计划和建成符合三级等保系统基本要求的信息安全管理框架。(4)落实安全管理制度，根据安全管理体系的具体要求，进行全面的信息安全牢固与整改工作，充分发挥安全体系的各项功能。(5)自查和调整。深入分析问题，找出问题根源，查出不完善的过程记录文件并进行完善，调整不合理管理流程，进一步完善信息安全管理体系。

六、结束语

至2014年初，在我院领导的直接关心和指导下，通过各部门通力合作使信息安全通过了等级保护测评的三甲医院，为地区三甲医院信息安全等级保护建设工作开启良好的开端，展现了我院信息化建设的先进成果。

作者：杨静 单位：天津市中心妇产科医院行政楼

参考文献:

[1]王升宝.信息安全等级保护体系研究及应用[J].通信技术，2009

网络安全等级保护要求范文第4篇

[关键词]信息安全等级保护分级分域网络隔离安全防护

1网络现状及防护需求

福建省莆田电业局已构建了信息网络,已经稳定运行有财务管理、安全生产管理、协同办公、电力营销、ERP等应用系统。随着国家电网公司“SG186”工程的信息化建设的推进工作,网络和信息系统情况复杂,迫切需要进行信息安全全面建设。

根据国家《信息安全技术信息系统安全等级保护实施指南》(GB/T22240-2008)、国家《信息安全技术信息系统安全等级保护基本要求》(GB/T-22239-2008)、《国家电网公司“SG186”工程安全防护总体方案》、《国家电网公司“SG186”工程信息系统安全等级保护基本要求》、《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求(试行)》等文件要求,按照统筹资源,重点保护,适度安全的原则,依据等级保护定级结果,采用“二级系统统一成域,三级系统独立分域”的方法,对信息网络系统进行分级分域。

2安全防护建设目标

通过项目的实施,按照“层层递进,纵深防御”的思想,从边界、网络、主机、应用四个层次进行安全防护等级保护设计和施工,使莆田电业局信息系统符合国家和国家电网公司的网络与信息系统等级保护建设要求。

3实施方法

信息系统分级分域安全防护建设一般分三个阶段:

第一阶段:合理进行安全域划分和初步规划,针对重要信息进行防护。主要表现在针对业务安全要求比较高的信息系统如ERP、财务系统域进行防护,以及针对互联网出口的应用层防护。

第二阶段:针对当前信息网络状态,按照等级保护要求进行等级化评估、安全评估和合理定级,全面获取当前安全现状以及企业信息化建设的特殊需求。在评估基础上,全面从等级保护要求及企业信息化建设的安全需求出发,合理进行安全方案设计。

第三阶段:根据设计方案,全面开展等级化改造,包括技术措施和管理措施的完善,建立完整的信息安全体系,并且根据相关要求进行运行维护。

4分级分域安全防护方解决方案

信息网络系统分级分域安全防护建设应当按照国家标准和国家电网公司“SG186”工程相关规定的要求完成,通过项目建设实施保障莆田电业局信息化管理系统的安全运营。

4.1 分级分域设计方案及安全等级建设要求

莆田电业局信息网络主要分为两个部分:信息内网和信息外网,两个网络之间通过强制隔离设备进行隔离。

信息内网分级分域及安全等级建设要求:

4.1.1二级系统域

二级系统域是指协同办公系统、财务管理系统、安全生产管理系统、人力资源管理系统、企业门户、ERP等信息系统

安全建设等级:基于信息系统的整合,所有二级系统统一部署于二级系统域,并根据国家安全等级保护标准和国家电网公司“SG186”工程信息系统安全等级保护基本要求等规范要求,按照安全防护等级二级进行建设。

4.1.2内网桌面终端域

信息内网桌面终端是用于内网业务操作及内网业务办公处理,通过对桌面办公终端按业务部门或访问类型进一步进行VLAN区域细分,实现不同的业务访问需求指定访问控制及其他防护措施,由于桌面终端的安全防护与应用系统不同,将其划分为独立区域进行安全防护。

安全建设等级:按照安全等级二级进行安全建设;

信息外网分级分域及安全等级建设要求:

4.1.3外网应用系统域

需与互联网进行数据交换的系统统一部署为外网系统域。

安全建设等级:按照安全等级二级进行安全建设;

4.1.4外网桌面终端域

外网桌面终端用于外网业务办公及互联网访问,对外网桌面办公终端按业务部门或访问类型进行区域细分,针对不同业务访问需求进行访问控制及其他防护措施。

安全建设等级:按照安全等级二级进行安全建设;

图1改造后的网络拓扑图

4.2 安全防护部署方案

4.2.1防火墙等级保护部署方案

目前网络中主要使用防火墙来保证基础安全。它监控可信任网络和不可信任网络之间的访问通道,以防止外部网络的危险蔓延到内部网络上。

项目在四个域与核心交换机的连接点分别部署了启明星辰天清汉马USG-FW-4000D防火墙(见图1),并进行了相应的配置。

防火墙典型的网络部署模式包括路由模式和透明模式,本项目中,考虑到防火墙负责转发各个区域的用户访问,采取透明模式部署。

根据企业安全区域的划分,部署防火墙对不同区域之间的网络流量进行控制,基本原则为:高安全级别区域可以访问低安全级别区域,低安全级别严格受控访问高安全级别区域,进行如下基本配置策略:

防火墙设置为默认拒绝工作方式,保证所有的数据包,如果没有明确的规则允许通过,全部拒绝以保证安全;

配置防火墙防DOS/DDOS功能,对Land、Smurf、Fraggle、Ping of death、udp flood等拒绝服务攻击进行防范;

配置防火墙全面安全防范能力,包括arp欺骗攻击的防范,提供arp主动反向查询、tcp报文标志位不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、ICMP重定向或不可达报文控制功能、Tracert报文控制功能、带路由记录选项IP报文控制功能等。

4.2.2入侵防护系统等级保护部署方案

在传统的安全解决方案中,防火墙和入侵检测系统已经无法满足高危网络的安全需求,互联网上流行的蠕虫、P2P、木马等安全威胁日益滋长,必须有相应的技术手段和解决方案来解决对应用层的安全威胁。以入侵防御系统为代表的应用层安全设备作为防火墙的重要补充,很好地解决了应用层防御的问题,并且变革了管理员构建网络防御的方式。通过部署IPS,可以在线检测并直接阻断恶意流量。

项目在外网系统部署1台启明星辰天清NIPS3060入侵防护系统。

4.2.3服务器换机等级保护部署方案

服务器交换机采用华为QuidwayS9306高端多业务路由交换机,该产品基于华为公司自主知识产权的Comware V5操作系统,融合了MPLS、IPv6、网络安全等多种业务,提供不间断转发、优雅重启、环网保护等多种可靠技术,在提高用户生产效率的同时,保证了网络最大正常运行时间,从而降低企业的总拥有成本。

项目配置两台华为QuidwayS9306交换机分别用作内网二级系统域和外网应用系统域,配置冗余电源、双引擎、2块48端口千兆电口板、1块48端口SFP千兆光口板卡,保证了服务器换机的安全可靠。

4.2.4终端汇聚交换机等级保护部署方案

终端汇聚交换机采用华为Quidway LS-S5328C交换机,实现信息内外网桌面终端域的安全接入。

华为QuidwayLS-S5300系列交换机是华为公司最新开发的增强型IPv6万兆以太网交换机,具备业界盒式交换机最先进的硬件处理能力和丰富的业务特性。支持最多4个万兆扩展接口;支持IPv4/IPv6硬件双栈及线速转发;出色的安全性、可靠性和多业务支持能力使其成为网络汇聚和城域网边缘设备的第一选择。

配置2台桌面终端汇聚交换机分别部署在信息内网和信息外网的桌面终端域接口上。

5网络安全成果分析

福建省莆田电业局信息网络系统分级分域安全防护建设项目从边界、网络、主机、应用四个层次进行了安全防护等级保护设计及工程实施,对原有网络、安全设备进行了调整,实现了安全域的划分,实现了对关键业务的安全防护,达到了国家和国家电网公司的网络与信息系统等级保护建设要求,并通过了国家电网公司等级测评验收。

参考文献:

[1] 信息安全技术信息系统安全等级保护实施指南(GB/T22240-2008)

[2] 信息安全技术信息系统安全等级保护基本要求(GB/T-22239-2008)

网络安全等级保护要求范文第5篇

关键词：电子政务外网 安全保障体系 计算区域 网络基础设施 计算区域边界 安全域 等级保护 风险评估

一、前言

国家电子政务外网（以下简称政务外网）是中办发[2002]17号文件明确规定要建设的政务网络平台。政务外网是政府的业务专网，主要为党委、人大、政府、政协、法院和检察院各级政务部门服务，运行各级政务部门面向社会的专业业务和不需要在内网上运行的业务。

为保证电子政务外网的安全运行，中办发[2003]27号文和[2006]18号文明确提出，电子政务外网与政务内网之间采用物理隔离，政务外网与互联网之间采用逻辑隔离。政务外网的建设要按照信息安全等级保护的有关要求，分别采用相应的保护措施，通过建立统一的密码和密钥管理体系、网络信任体系和安全管理体系，分级、分层、分域保障信息安全。

二、政务外网（一期工程）安全需求

⒈政务外网安全防护对象

政务外网的基础网络环境如图1所示。

依据政务外网的网络环境，政务外网的安全防护对象分为如下三类：计算区域、网络基础设施和计算区域边界。

⑴计算区域

政务外网所涉及的计算环境有：中央网络管理中心计算区域、各省市节点的二级网络管理中心计算区域、中央城域网接入单位计算区域以及外网骨干网接入的各省市节点的计算区域。

在各计算区域内主要防护如下对象：

①数据资源，主要包括各应用系统管理的数据资源；

②软件资源，包括系统软件、网络软件、支撑软件和应用系统等；

③中心计算机；

④存储介质，包括数据备份磁带、软盘、可读写光盘等；

⑤用户，包括普通操作员、业务管理员、高级业务管理员以及系统（数据库）管理员和网络管理员等。

⑵网络基础设施

政务外网所要防护的网络基础设施主要有：各计算区域的网络基础设施，以及实现各计算区域相联的网络基础设施。

⑶计算区域边界

由于计算区域与其他外部实体相联而产生区域边界，区域边界与计算区域直接相关，与计算区域相联的外部实体的性质直接决定区域边界的保护的策略。

政务外网中的计算区域边界主要有：与中央城域网相联的各计算区域因与中央城域网相联而产生的区域边界以及这些区域与互联网等外部实体相联而产生的区域边界、各省市节点计算区域因与政务外网骨干网相联而产生的区域边界以及这些区域与互联网等外部实体相联而产生的区域边界。

⒉安全需求

根据政务外网的特点，政务外网的安全需求体现在如下几方面：

①建设政务外网安全信任体系，确保政务外网资源不能被非法用户访问；

②建设政务外网数据交换中心，确保不同安全域之间的安全数据交换；

③确保政务外网的安全保障体系具有高可靠性，并具有可审计、可监控性；

④实现政务外网统一的安全管理体系；

⑤确保政务外网与互联网的安全互连。

三、政务外网安全保障体系框架

政务外网要为政务部门的业务系统提供网络、信息、安全等支撑服务，为社会公众提供政务信息服务。从政务外网的实际出发，政务外网的安全保障体系设计应重点针对政务外网的如下特点：

①政务外网必须与互联网逻辑隔离；

②政务外网主要运行面向社会的专业业务，这些业务所涉及的业务信息具有面向公众的特性，所以保护业务信息的完整性、可鉴别性以及抗抵赖性十分重要；

③政务外网是国家电子政务的基础性网络环境，支持电子政务系统互联互通、数据交换、信息共享、业务互动、便民服务的需求，所以政务外网要满足公用网络安全可信的需求；

根据以上分析，政务外网（一期工程）安全保障体系由网络防护体系、网络信任体系、安全管理体系、安全服务体系等构成，逻辑模型如图2所示。

⒈网络安全防护体系

网络安全防护系统是政务外网安全保障体系中最重要的安全设施，主要保护电子政务外网的各子网网络节点及整个电子政务外网，保证整个政务外网及相关业务系统的可用性、完整性、可控性等。网络安全防护系统重点要考虑防火墙系统、入侵防御系统、防病毒系统、远程安全接入系统、流量监测系统等的配置和建设。

政务外网的网络安全防护体系将涵盖以下几个方面：

⑴物理安全

保证政务外网中各种骨干设备的物理安全是整个政务外网安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

⑵网络安全

网络安全主要考虑VPN、防火墙、入侵检测系统、非法外联监控系统、PKI接入认证网关等安全设备在政务外网中的配置与部署。

⑶系统层安全

系统层安全主要包括漏洞扫描、操作系统安全加固、数据库安全加固。

⑷应用层安全

应用层安全主要考虑应用系统的鉴别、授权和访问控制等安全机制。

⒉网络信任体系

网络信任体系是为网络用户、设备提供信息安全服务的具有普适性的信息安全基础设施。该体系在统一的安全认证标准和规范基础上提供在线身份认证、授权管理和责任认定。其核心是要解决信息网络空间中的信任问题，确定信息网络空间中各种经济和管理行为主体(包括组织和个人)身份的唯一性、真实性和合法性，保护信息网络空间中各种主体的安全利益。政务外网网络信任体系的建设与政务外网的安全运营息息相关，是电子政务安全运行的支撑基础设施。

政务外网（一期工程）的网络信任体系，主要是在国家主管部门的指导下，建设政务外网身份认证系统，组建政务外网身份认证管理协调机构和技术保障队伍，制定有关政务外网身份认证的相关标准体系、管理运行规章制度和规范，逐步形成统一的政务外网网络信任体系。

⒊安全服务体系

政务外网安全服务体系主要由安全评估和安全培训组成。安全评估主要是对政务外网及其处理的传输和存储的信息的保密性、完整性和可用性等安全属性进行科学识别和扫描评估的过程。安全评估的主要目的是定期对网络系统进行安全性分析，及时发现并修正动态运行的网络系统中存在的弱点和漏洞，认清信息安全环境、信息安全状况，明确责任，采取或完善安全保障措施，并使信息安全策略保持一致性和持续性。

⒋安全管理体系

安全并非只是一个技术问题，它也是一个关于人和管理的问题。安全不是个产品，它是一个完整的过程。作为一个过程，它有人、技术、流程这3个组成部分，这些组成部分匹配得越好，过程进展得就越顺利。

安全管理在政务外网的安全保密中占有非常重要的地位，即使有了较完善的安全保密技术措施，如果管理的力度不够，将会造成很大的安全隐患。因此，必须加强安全保密管理，设置安全保密管理机构，制定严格的安全保密管理制度，采用适当的安全保密管理技术将政务外网中各种安全保密产品进行集成，并加强对人员的管理。

安全管理体系的建设包括安全保密管理机构的建立、安全保密制度的制定、安全保密管理技术的使用以及人员的管理等几方面内容，这里不再予以赘述。只有通过建立科学、严密的安全管理体系，不断完善管理行为，形成一个动态的安全过程，才能为政务外网提供制度上的保证。

四、几个重要问题

在整个政务外网（一期工程）安全保障体系的规划和建设当中，有几个重要问题需要特别说明。

⒈安全域划分

政务外网要为政务部门的业务系统提供网络、信息、安全等支撑服务，为社会公众提供政务信息服务，要满足政府公用网络安全可信的需求。所以，在政务外网内有必要划分不同的安全域，定义每个安全域的物理或逻辑边界，形成隶属于由单一安全策略权威定义和执行的公共安全策略的安全要素的集合，有利于每个安全域共享相似的安全策略。

政务外网具有数据量庞大、业务复杂多样、安全等级各异的特点，因此安全域的划分遵循以下原则：

①根据信任等级划分安全域。在政务外网中，要为政务信息资源和国家基础信息资源的登记、备案、、交换和共享提供服务，同时相关的业务系统也要有连接到互联网和有需求的其它单位，不同的系统由于处理的数据和交互的实体不同，需要在不同的位置或业务流程中，划分不同的安全域。

②根据业务节点类型，对不同的节点划分相应的安全域，并配置和节点业务量相匹配的安全措施和安全设备。在政务外网中，政务外网要连接不同类型的网络节点，网络节点的安全等级决定了安全域的划分和安全设施的投资建设规模。

③依据数据的安全等级，在存储和传输的不同区域，划分安全域，并采用不同的安全策略，体现数据的分等级保护。

根据以上原则，在政务外网中，网络各节点的局域网构成相对独立的安全域，并在各节点内部进行安全域细化。政务外网中，按节点所划分的安全域有中央网络管理中心局域网、中央城域网接入节点单位、各省市节点的二级网络管理中心局域网和各省市节点的各自的接入网络。

⒉等级保护

根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室2007年联合颁布的43号文件《信息安全等级保护管理办法》的相关规定，为保障电子政务外网的网络安全，对电子政务外网需采用等级保护机制。等级保护以网络安全域划分为基础，电子政务外网包括网络基础设施，包括众多接入网络，各个子网络又包括不同的应用系统。只有根据这些资产的重要性以及它们面临的安全威胁的不同，结构化地划分为安全域，才能有效地进行安全保护。

根据政务外网的逻辑结构、安全域划分情况、面向对象及应用模式，中央网络管理中心局域网、中央城域网接入节点单位二级网络管理中心局域网和各省区市接入节点二级网络管理中心局域网，至少要达到第三级（监督保护级）的要求。对于这类的安全域，将依照国家管理规范和技术标准进行自主保护，并接受信息安全监管职能部门的监督、检查。

中央城域网接入节点单位接入网络和各省区市接入节点单位接入网络至少要达到第二级（指导保护级）的要求。对于这类安全域，将在信息安全监管职能部门的指导下，依照国家管理规范和技术标准进行自主保护。

⒊风险评估

在政务外网（一期工程）安全保障体系规划和设计时，国家信息中心网络安全部将风险管理的思想引入到政务外网的建设中，获取规划和设计阶段的政务外网的安全风险，提出并确定外网安全建设的要求，改进规划中的不合理因素，为后续的网络建设的实施提供安全建设依据。此次事前评估范围主要是政务外网一期工程第一阶段工程初步设计规划方案，评估着重考虑外网规划中系统平台的安全性。为支持整个风险评估过程的推进，国家信息中心网络安全部成立了由领导层、相关业务骨干、外网相关人员等组成的风险评估小组。评估结束后，针对不可接受的风险，风险评估小组对规划和设计做了相应的修改，很好地兼顾了风险与成本的平衡。

五、结语

根据政务外网（一期工程）安全保障体系整体规划和一期工程建设进度安排，政务外网中央节点安全保障体系已初步建成。通过几个月的试运行，整个政务外网安全保障体系运转良好，初步达到了预期的设计目标。下一步的工作重点将是：进一步完善政务外网安全保障体系，建立健全政务外网安全管理机制，明确各级网管部门安全管理责任；开展信息安全风险评估工作，按照信息安全等级保护的要求，对全网分级、分层、分域确定信息安全等级；从技术和管理两方面入手，不断完善信息安全保障体系，初步建成统一的政务外网信任体系，形成面向外网用户的服务能力。

作者简介：

王勇，男，汉族，1977年生，山东鄄城人，国家信息中心网络安全部工程师；研究方向：网络安全。