2024年9月23日19:06:05评论18 views字数 8340阅读27分48秒阅读模式

项目概述

项目名称及背景

项目名称：福建xxx电子政务等保二级解决方案。

背景：根据福建XX的现状和将来的应用需求，并结合公安部关于等级化保护的相关要求，而制定针对性的技术方案与管理方案，可为XX的等级化安全体系改造和加固提供参考和实施依据。本文将主要阐述和针对福建省XX的改造和信息安全体系的规划设计。

项目的主要内容是福建省XX的总体信息安全体系安全改造，包括以下几个方面：l建设福建XX网络安全基础设施；l福建XX的边界安全保护。

项目目标与范围

该安全体系需要全面保卫网络和基础设施、边界和外部接入、计算环境、支持性基础设施、数据和系统等方面内容，实现信息资源的机密、完整、可用、不可抵赖和可审计性，基本做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。

具体包括：

²保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。

²保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。

²保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。

²安全管理体系保障，根据国家有关信息安全等级保护方面的标准和规范要求，结合实际，建立一套切实可行的安全管理体系。

3、安全现状

网络体系现状：XX通过两台路由器与国家电子政务外网（省级网络互联），其中国家电子政务采用MPLS VPN承载不同业务。

电子政务等级保护解决方案

安全风险威胁分析：

福建XX覆盖范围较大，并涉及用户面广，业务应用众多复杂，并需要与相关网络互联。因此，其面临很多的安全威胁，经过总结分析主要包括了以下几类：

²身份假冒，一个实体假装成另一个不同的实体，从而获得对福建XX的访问。

²恶意代码，通过恶意程序，计算机病毒等恶意代码程序可获取信息或破坏福建XX的正常运行。

²破坏信息完整性，改变系统信息的内容或形式。

²行为抵赖，信息发送方或接收方否认自己发送过或接收到特定的信息，从而对福建XX的正常运行造成潜在的安全威胁。

²破坏网络的可用性，通过执行命令，发送数据或执行其它操作使系统资源对用户失效，使合法用户不能正常访问网络资源或使有严格时间要求的服务不能及时得到响应。也可能以物理方式盗窃或破坏网络的设备、设施。

²操作失误，人为操作失误可能会对福建XX造成破坏。

²漏洞利用，大部分服务器普遍存在高风险漏洞，导致服务器或应用系统存在被远程控制的可能。

²通信中断，由于目前部分网络设备和网络链路均未做冗余，因此，存在通信中断而导致业务中断的威胁。

‍‍‍

4、安全保障技术体系详细设计

网络安全设计

1）网络基础设施安全

福建XX基础设施安全就是网络平台子系统的安全。在方案设计中，需考虑出口区域路由器、防火墙、入侵防御等设备的冗余。降低设备单点故障的风险。同时需要对网络设备进行如访问控制列表（ACL）等安全配置。

2）网络边界安全

边界安全措施是任何一个信息系统的基本安全措施，也是保障福建XX安全的第一步。福建XX的边界安全措施主要包括两个方面：边界的定义、边界的隔离和访问控制。

3）边界定义

安全访问控制的前提是必须合理的建立安全域，根据不同的安全需求建立不同的安全域。安全域的建立可以从物理上和逻辑上分别划分安全域。在物理上将信息系统从地域上独立出来，划分不同物理区域。在逻辑上将信息系统或用户分组，指定不同的访问权限。

安全域边界定义对目前及日后福建XX的安全运行都是非常重要的因素，同时也是建立福建XX等级保护安全保障体系的基础措施。只有合理的划分了安全域，才能有效的采取系统分域技术手段保证福建XX的安全。

4）边界隔离和访问控制

安全域定义完成后，就是如何设计各安全域间的边界控制问题。一般对于边界的控制主要有两种，物理隔离和逻辑隔离。针对XX网络的信息交换需求，安全域间通过防火墙实现边界隔离。这是用在信任网络和不信任网络之间的一种访问控制技术。

利用防火墙的目的主要有两个：一是控制福建XX用户与外部网络用户之间的相互访问，规划网络的信息流向；另一个目的是起到一定的隔离作用，一旦某外部发生安全事故，避免波到XX。

5）入侵防御系统

防火墙作为企业级安全保障体系的第一道防线，已经得到了非常广泛的应用，但是各式各样的攻击行为还是被不断的发现和报道，这就意味着有一类攻击行为是防火墙所不能防御的，比如说应用层的攻击行为。

想要实现完全的入侵防御，首先需要对各种攻击能准确发现，其次是对攻击进行实时的阻断与响应。防火墙等访问控制设备没有能做到完全的协议分析，仅能实现较为低层的入侵防御，对应用层的攻击以及其他非法行为无法进行判断，而入侵检测等旁路设备由于部署方式的局限，在发现攻击后无法及时切断可疑连接，都达不到完全防御的要求。

想要实现完全的入侵防御，就需要将完全协议分析和在线防御相融合，这就是入侵防御系统（IDP）。入侵防御系统以在线方式部署，实时分析链路上的传输数据，对隐藏在其中的攻击行为进行阻断，专注的是深层防御、精确阻断，这意味着入侵防御系统是作为安全防御工具存在，解决用户面临的实际应用上的难题，进一步优化用户网络的风险控制环境。

因此，在XX出口区域部署入侵防御系统，可以有效阻止攻击行为。

6）统一安全认证与运维审计

由于XX设备和服务器众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况不可避免，这些会严重影响整个系统的运行效能，并对客户声誉造成重大影响。另外黑客的恶意访问也有可能获取系统权限，闯入部门或企业内部网络，造成不可估量的损失。因此需提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足等保三级标准要求。

因此，需在XX部署统一安全认证与运维审计系统，扮演看门者的职责，对所有网络设备和服务器的访问请求都要从这扇大门经过。系统提供集中统一的安全管理平台，使得系统和安全管理人员可以对支撑系统的用户和各种资源进行集中管理、集中权限分配、集中审计，从技术上保证支撑系统安全运行。

5、产品选型与部署

建议福建XX中，采用主流成熟性的技术和产品，通过使用路由器、入侵防御、统一安全认证与运维审计、防火墙边界访问控制及安全管理平台等安全措施，并运用切实的安全控制策略和安全服务手段，为XX网络的安全运行、系统可靠性运行和数据信息安全保密性提供一套安全保障防御体系。同时，由于XX出口采用万兆链路，出口涉及的路由器、防火墙、入侵防御等产品都需为万兆规格产品。

1）主要设技术指标要求建议

此处针对一些重要的产品给出建议性的技术指标要求。

2）路由器产品总体描述和性能要求

总体描述

路由器作为XX与外部网络互连的出口节点设备，承担XX与外部网络互访数据流的汇聚集中转发

2、防火墙产品总体描述和性能要求

2.1）总体描述

防火墙是边界保护的基本手段，是保障网络安全的必须采用的方法之一。根据对XX网络的安全保护要求，在XX的出口区域需使用防火墙实现边界保护。

2.2）相关要求

主要从性能、设备安全性、可靠性、可管理性、安全防护能力、日志审计能力等方面考虑。防火墙产品选型具体建议如下所示：

类别	功能和性能	指标要求
基本参数	硬件架构	硬件要求采用专用架构平台，采用多核的处理芯片
	物理端口数	至少8个万兆SFP+接口，16个千兆电口，16个千兆光口
	每秒新建连接数	≥250000
	最大并发连接	≥12000000
	吞吐量	≥80G
	AV吞吐量	≥11G
	IPS吞吐量	≥13G
安全特性	安全功能	支持状态检测包过滤、应用层检测，能够有效的进行边界隔离，支持对常见的应用层协议进行监控
		支持透明模式和路由模式进行部署，支持虚拟防火墙功能
		支持反垃圾邮件功能，支持用户信誉库功能
		在传统三层防火墙功能基础上具备IPS、Web过滤防护、杀毒、VPN，行为控制、数据防泄漏、广域网加速等功能模块。其中要求应用识别库超过3000个，要求IPS特征库超过7000个，病毒特征库超过200万个
		支持Web Cache以及对常见协议CIFS/FTP/MAPI/HTTP/HTTPS/TCP等加速的WAN链路加速功能
		支持URL过滤，对用户web行为进行过滤，保护用户免受攻击；要求能够自定义URL，脚本过滤能够阻断Java Applet, Cookies, Active X。支持单臂模式的URL检测。WEB分类库类别≥78个
产品资质	产品资质	《计算机信息系统安全专用产品销售许可证》
		《国家信息安全认证产品型号证书》
		支持下一代互联网IPV6技术，具有《IPV6 Ready Logo Certified Phase-2》证书

3、网络入侵防御系统总体描述和性能要求

3.1）总体描述

防火墙的边界保护是安全域边界的基本保护措施，通过防火墙的控制列表可以把非法的用户和访问行为杜绝与安全域外，但防火墙无法实现对合法用户或者合法的访问行为中所包含的入侵攻击行为进行控制，通过部署入侵防御系统，可以弥补防火墙的不足之处。因此，福建XX必须采用入侵防御系统实现与防火墙的互补，构建主动的防护体系。

3.2 相关要求

产品指标项	技术参数要求
硬件特性	标准的2U机箱规格；
	全模块化产品；
	支持扩展插槽≥3个；
	支持扩展千兆光口数≥24个；
	支持扩展千兆电口数≥24个；
	整机支持最大千兆接口数≥24个；
	支持冗余电源，保留测试权利；
	USB 2.0接口≥2个；
性能参数	最大吞吐量≥12Gbps；
	最大并发连接数≥700万；
	每秒新建连接数≥130000；
部署方式	支持串接、旁路、混合模式部署
工作模式	支持IPS模式，IPS监视模式，IDS监视模式，混合模式，Forward模式
检测识别	支持基于协议异常、会话状态和七层应用行为等的攻击识别功能；
	支持对VLAN、MPLS、ARP、TCP、UDP、RPC、WCCP、GRE、IPV6、QinQ等多种协议的分析功能；
	支持自定义检测方向，进行针对性检测功能；
攻击防护	支持对病毒、蠕虫、木马、间谍软件、广告软件、可疑代码、端口扫描、非法连接、SQL注入、XSS跨站脚本等多种攻击的防护；可防范三至七层DoS/DDoS攻击；可防范IP Spoofing攻击
IPv4和IPv6安全及流控要求	支持IPv4和IPv6的双栈，支持IPv6下的各种隧道，支持基于 IPV6 的探测碎片攻击和协议确认技术，设备管理、安全策略、报表和告警均支持IPv4和IPv6
	具备基于IPV6的安全防御功能，可防御包括DDos、缓冲区溢出（Buffer Overflow）、Web Attacks等多种IPv6环境下的网络攻击
	具备基于 IPv6的应用带宽和流量控制功能,可以在IPv6的环境下对相关网络应用带宽和流量进行管控
IM等软件管理	支持对IM软件包括登录、发信息、传文件、语音、视频各种动作分别控制
IM等软件管理	支持对网络视频、P2P下载、炒股软件、网络游戏等进行限制
非法代理软件管理	支持对VNN、SoftEther、Hamachi、TinyVPN、PacketiX、HTTP-Tunnel、Tor等流行的虚拟隧道的以及自由门、无界、花园等非法代理类软件的管控
攻击特征库升级方式	内置攻击特征库≥3000种，全面兼容CVE标准；
	可自定义入侵攻击和应用软件的特征
	攻击特征库可支持手动和在线更新；
Web访问过滤功能	支持基于URL、内容等制定黑白名单来对Web访问进行过滤；
带宽限流功能	支持针对VLAN、IP地址、应用等进行网络传输带宽和网络传输总量限流；
设备可靠性	支持双机热备功能；
	支持软件Bypass功能；
	支持硬件Bypass功能；
	一个接口故障，设备会将对应另一接口关闭；主备线路时，通过相连的HA接口传输各Session状态
设备自身安全性	设备自身采用加密通讯形式
	设备自身具有抗端口扫描功能
	设备自身具有限制访问IP、禁止ping等防护功能
管理界面	支持中文图形管理界面，支持集中管理和分级管理；
数据镜像功能	自身提供镜像物理接口，可将流经设备数据镜像到其他设备上进行分析
设备报表	内置多样化的报表模版，支持自定义生成报表；支持自动定时生成报表，可利用邮件或FTP等形式定时外传报表，支持HTML、PDF、CSV等文件格式；
告警方式	支持控制台报警、邮件报警等
产品资质	中华人民共和国公安部监制《计算机信息系统安全专用产品销售许可证》
	中华人民共和国公安部监制《公安部信息安全产品检测中心测试报告》要求报告内容中检验的产品类型为web过滤防护
	中华人民共和国国家版权局的《计算机软件著作权登记证》
	全球下一代互联网测试中心天地互连信息技术有限公司的《ipv6 ready认证证书》
	国家保密局涉密信息系统安全保密测评中心的《涉密信息系统产品检测证书
	工业和信息化部电信传输研究所测试报告。

4 统一安全认证和运维审计系统总体描述和性能要求

4.1 ）总体描述

统一安全认证与运维审计系统主要用于提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足等保三级标准要求。

4.2）相关要求

统一安全认证与运维审计系统系统的性能要求和指标需要能够满足以下几个方面：

指标项	技术参数要求
硬件特征	产品规格：2U机架式；
	千兆电口≥6个；
	独立管理接口1个；2个USB接口；
	1+1冗余电源；
	≥2T企业级硬盘；内存≥8G；
	模块化扩展插槽≥4个；
	支持万兆光接口扩展≥8个；
	支持千兆电口数最大扩展不少于38个；
	支持千兆光口数最大扩展不少于32个
性能参数	自带设备管理数200个，最大可扩展至500个
性能参数	图形并发≥200，字符并发≥500
系统架构要求	业务数据采取轻型目录存储，支持多节点数据实时同步
	支持双网卡冗余（双网卡虚拟单Ip）
	支持active-stanby方式的HA部署
	支持集群部署。
基础功能	提供统一安全认证和运维审计系统自身状态的监控功能，包括：cpu工作情况，内存使用情况，磁盘使用情况，网卡使用情况，统一安全认证和运维审计系统自身数据库工作情况，统一安全认证和运维审计系统自身WEB服务工作情况，统一安全认证和运维审计系统自身其他关键组件工作情况等。
	支持管理配置的批量功能，包括：批量自然人管理，批量资源管理，批量资源从帐号管理，批量授权管理，批量应用发布管理等，提供产品功能截图
	支持消息管理，可通过系统统一给各管理员和运维人员发布消息。
	支持工作计划管理，可自维护方式制定运维工作计划，并到期提醒，提供产品功能截图
主账号管理	支持主帐号的分组管理，分组可以树形方式展现，不限制分组层级数量
	支持主帐号的证书认证，可以灵活配置主帐号的认证方式。统一安全认证和运维审计系统上定义主帐号时可以为主帐号生成证书，方便证书认证模式的部署和实施。也可以和其他认证方式结合，做组合认证，提高访问的安全性。
	主帐号支持从AD域内抽取，可方便主帐号的建立。
资源管理	支持资源的分组管理，分组可以树形方式展现，不限制分组层级数量，提供产品功能截图
	资源类型支持Windows主机、域控主机、域内主机、Unix主机、各种网络设备、安全设备、网元、数据库、WEB中间件等，提供产品功能截图
	资源管理协议支持SSH、TELNET、FTP、SFTP、VNC、XWINDOW、WINDOWS文件共享等协议。其中，SSH协议代理支持SecureCRT软件的Session Clone及Send To All等复杂的功能
	支持针对windows类型设备，统一安全认证和运维审计系统选择启用或者关闭某台设备的磁盘映射功能
	对于数据库、web、专用C/S客户端程序支持以应用发布的方式进行授权和审计。
从帐号管理	能够对各种资源上的帐号进行推、拉、同步。推帐号即从统一安全认证和运维审计系统平台向资源上添加帐号；拉帐号即从资源上自动收集所有设备帐号到统一安全认证和运维审计系统上；同步帐号完成推拉两个动作，从而保持统一安全认证和运维审计系统和资源上从帐号的同步。
从帐号管理	能够对资源上的帐号进行管理，可以添加、修改、删除资源上的从帐号，提供产品功能截图
授权管理	可以将资源和资源的从帐号授权给主帐号。授权给主帐号的资源可以新增和删除。授权时可以按照树形组显示资源，方便资源的选择，提供产品功能截图
	对RDP资源进行授权时，支持剪贴板及本地磁盘的使用授权。
	统一安全认证和运维审计系统内部管理功能权限支持角色定义，角色可以针对目录树的节点定义，角色包含的权限可以自定义。自定义内容包括：分组管理权，自然人管理权，资源管理权，授权管理权，角色定义管理权，计划管理权，审计管理权等等。
计划管理	支持资源帐号同步计划，可以设置执行时间，也可以设置单次执行或周期执行。可以根据目录树选择计划包含的资源。
计划管理	支持资源帐号口令修改计划，可以设置执行时间，也可以设置单次执行或周期执行。可以根据目录树选择计划包含的资源。
审计及报表	对字符命令方式的访问可以审计到所有交互内容，可以还原操作过程的命令输入和结果输出，并且可以展现各命令的执行时间和允许执行情况。
	对图形方式的资源访问，可以以录像形式审计到操作过程，支持操作过程的录像回放，提供产品功能截图
	支持实时审计和阻断。操作人员对于资源的访问，审计员可以实时查看。发现高危操作时，支持实时切断当前会话。
单点登陆	主帐号WEB方式登录统一安全认证和运维审计系统后，可以展现所有已经授权给自己的资源，包括字符型和图形的授权资源。
	主帐号登录统一安全认证和运维审计系统后，访问授权资源时不必再输入从帐号和密码。
	统一安全认证和运维审计系统内含Radius服务器，可以作为网络设备的3A认证服务器，便于网络设备的帐号、认证、授权管理。网络设备使用统一安全认证和运维审计系统的Radius作为3A认证服务器，可以设置密码策略来控制设备的密码强度，也可以设置密码变更计划，使网络设备的帐号管理符合SOX法案关于密码定期变更的要求。
	对SSH、TELNET、FTP、RDP、XWINDOW等协议不仅仅支持web式的单点登录功能，支持使用原有客户端软件，单点登录目标设备时，支持一次性会话号的登录方式确保会话安全
	支持对en，su的密码自动代填功能，可方便进行单点登录。
	集成VPN功能，方便远程的接入和管理。
	VNC连接时，如果被连系统超时锁屏，统一安全认证和运维审计系统建立的远程VNC连接可以传送组合键进行解锁。
	在FTP，SFTP及WINDOWS共享方式做文件传输时，支持自有图形化文件传输工具，能够像标准FTP工具一样实现文件拖拽传输，且支持输入关键字快速定位文件和在线编辑功能。
资质要求	★中华人民共和国国家保密局颁发的有效的《涉密信息系统产品检测证书》复印件；
	★中华人民共和国信息安全认证中心颁发的有效的《国家信息安全产品认证证书(ISCCC)》
	★提供中华人民共和国公安部颁发的有效的《计算机信息系统安全专用产品销售许可证》复印件，

ending

一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了3个月左右，已经有300+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，戳链接🔗（内有优惠卷）快加入我们吧。系统性的知识库已经有：《Java代码审计》 ++《Web安全》++《应急响应》++《护网资料库》++《网安面试指南》

电子政务等级保护解决方案

原文始发于微信公众号（吉祥学安全）：电子政务等级保护解决方案

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

指标项	参数要求
性能指标	交换容量≥160Gbps
	包转发率≥120Mpps
	整机业务载板插槽≥2个；业务载板子插槽≥4个
	整机支持≥96个千兆以太路由接口
	要求支持路由与转发硬件分离，设备内置NAT、IPSec、L2TP、GRE等业务分布式功能特性
	支持MPLS，MPLS VPN、IPSEC VPN、GRE VPN
	支持基于IPFIX国际标准网络流量报文统计功能，可以针对不同的流信息进行独立的数据统计
	支持静态路由、等价路由、策略路由；支持RIPv1/v2、BGPv4、BGP4+等路由协议
	设备内置状态防火墙、URL过滤、高性能ACL等多种安全特性。
	支持高性能的NAT功能，在启用策略路由、NAT，并且启用超过1000条ACL的情况下，业务端口仍然能够达到线速转发性能，吞吐率100%，NAT新建连接数不少于20万/秒，最大并发连接数不低于200万
	支持双引擎热备功能，主备引擎切换时，不影响单业务卡内的数据转发，单卡内数据转发不丢包，跨业务卡数据转发切换丢包时间<5ms
	支持在启用QoS、ACL、OSPF、BFD等功能应用场景下，可实现800路分支机构的汇聚能力，满足双向数据转发不丢包，且路由器的CPU利用率低于10%
	支持高精度的层次化QoS队列调度策略，实际误差应不超过0.1%

电子政务等级保护解决方案

安全风险威胁分析：

4、安全保障技术体系详细设计

网络安全设计