护网即将来临，是不是都在忙着加固的啊，来吧详细的加固方案来了，直接拿走用吧【文末见彩蛋】。

一、项目背景概述

1.1 背景与需求分析

xxx局是市人民政府主管统计和国民经济核算工作的直属机构。主要承担组织协调和指导全市统计工作，确保统计数据真实、准确、及时的责任；贯彻执行国家统计工作的政策和法律、法规，拟订全市统计改革、统计科学发展规划及统计调查计划；监督检查统计法律、法规、规章的实施职责。

随着网络技术的发展和进步，我们也面临各种各样、越来越多的安全威胁。病毒破坏、黑客攻击、网络欺诈、重要信息资料丢失、信息系统瘫痪以及利用计算机网络实施的各种犯罪行为层出不穷、防不胜防，网络信息安全问题已变得日益突出和重要。信息资产一旦遭到破坏，将给相应组织带来直接的经济损失，并导致相应组织的声誉和公众形象受到损害，对社会造成不良影响。因此，相应组织必须解决信息安全问题，有效保护信息资产。

据了解，现在各单位、企业已经重视网络安全建设，但我单位网络自身仍然比较脆弱。为了达到信息系统安全等级保护工作的纵深要求，需依据信息安全等级保护技术标准规范，建设网络安全和开展等级保护管理工作。此外，单位之前采购的防火墙使用已达5年，目前的功能跟不上安全威胁的变化，应对不了新型的应用层安全风险，已经不能够很好地控制住网络安全方面的问题。并且随着单位的持续发展，带宽需求持续提升，现有的防火墙性能已不能满足要求，需要进行升级替换。

在加强业务信息化建设过程中，确保单位信息化系统安全、可靠、高效、稳定运行，成为横亘在xxx局信息化业务建设的一道难题。为确保xxx局整体业务系统的安全运行，迫切需要建设系统立体的安全防护措施，以确保系统业务安全运转。为了xxx局信息网络的安全稳定运行，根据目前的计算机信息网网络特点及安全需求，本着切合实际、保护投资、符合等保、着眼未来的原则，提出本设计方案。

1.2 建设目标

二级系统安全保护环境的设计目标是：遵循GB 17859-1999的4.2中相关要求，以身份鉴别为基础，提供单个用户和（或）用户组对共享文件、数据库表等的自主访问控制；以包过滤手段提供区域边界保护；以数据校验和恶意代码防范等手段，同时通过增加系统安全审计、客体安全重用等功能，使用户对自己的行为负责，提供用户数据保密性和完整性保护，以增强系统的安全保护能力。

本期的建设目标主要是完善xxx局的信息安全建设，实现基于安全策略模型和标记的强制访问控制以及增强系统的审计机制，使得系统具有在统一安全策略管控下，保护敏感资源的能力；并根据新等级保护意见稿的要求，逐步开展信息安全等级保护的安全建设，建设具有前瞻性、安全性、符合未来三年至五年发展需要的安全保障体系。

通过本次对xxx局的定级系统开展安全建设整改与策略加固工作，需要达到以下5个方面的目标：

（1）定级系统安全管理水平明显提高；

（2）整体安全防范能力明显增强；

（3）定级系统安全隐患及时发现与整改；

（4）满足定级系统合规性要求，通过传统等级保护二级建设标准，并且需要参考等级保护2.0的建设要求。

二、总体方案设计思路

2.1 参考标准

2007年6月，《信息安全等级保护管理办法》（公通字【2007】43号文件）正式出台。

2017年6月1日，《网络安全法》正式实施，正式将网络安全提高到国家国家安全的高度，也通过法律的形式明确提出了加强对关键基础设施和其数据保护，

以上相关文件对国家关于网络安全的相关政策、法律法规作了详细说明：

1）法律法规

《中华人民共和国网络安全法》

2）四大标准

l信息系统安全保护等级定级指南（GB/T 22240-2008）

l信息系统安全等级保护基本要求（GB/T 22239-2008）

l信息系统安全等级保护实施指南（国家标准报批稿）

l信息系统安全等级保护测评准则（国家标准报批稿）

3）技术标准

l《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）

l《信息安全技术网络基础安全技术要求》（GB/T20270-2006）

l《信息安全技术操作系统安全技术要求》（GB/T20272-2006）

l《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）

l《信息安全技术服务器技术要求》（GB/T21028-2007）

l《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）

4）管理标准

l《信息安全技术信息系统安全管理要求》（GB/T20269-2006）

l《信息安全技术信息系统安全工程管理要求》（GB/T20282-2006）

l《信息技术安全技术信息安全管理体系要求》（GB/T 22080-2008）

l《信息技术安全技术信息安全管理实用规则》（GB/T 22081-2008）

5）服务标准

l《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）

l《信息技术安全技术信息安全事件管理指南》（GB/Z 20985-2007）

2.2 设计原则

安全合规

安全加固方案首先应符合国家等级保护建设相关信息安全政策和标准，确保设计的安全方案遵循国家法律且符合国家政策和国家标准。

安全适用

信息安全保障方案的设计应符合信息安全技术和管理需要，应切实符合实际情况，应适用于安全运营的各个环节。方案设计应与业务发展和IT建设充分结合，发挥安全职能为业务保驾护航的作用。

安全可靠

在设计等级保护建设方案时应考虑信息安全保障中应该包括的各项内容，保证总体设计方案的全面有效。安全设计方案应考虑如下：

1）灵活部署，弹性扩展；

2）合规安全，安全能力服务化交付；

3）在保障安全运营的前提下，降低风险，减少损失的原则。

三、安全加固建设方案

3.1 总体安全设计架构

结合建设现状，通过对安全威胁和实际需求的分析，遵照设计思路和设计原则。按照等级保护二级的基本要求进行总体规划和设计。

安全整体框架主要围绕层面建设，分别为：

物理安全：物理设施安全：通过门禁系统、视频监控、环境监控等实现数据中心环境、物理访问控制、设施层面的安全。

网络安全：通过在网络边界部署下一代防火墙，实现对网络系统中的系统和通信数据进行保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

主机安全：通过对承载统计系统的业务服务器以及内网终端部署EDR终端检测与响应，实现对服务器以及终端的安全防护，保障用户服务器以及终端不受内外网络的病毒感染威胁，黑客入侵威胁，安全漏洞威胁，使得用户的业务得以长期、稳定的运行。

数据安全：数据是单位的核心资产。通过部署堡垒机、数据库审计、日志审计等技术，实现对数据的安全防护，防止数据泄密、丢失、篡改等行为，并可以在数据异常操作发生后实现安全事件的追溯，从源头保障数据安全。

安全管理：通过制定完善管理体系，形成规范的管理流程，包含管理流程、组织架构、安全策略，结合云安全运维体系。通过统一的安全运维接入和接入访问控制解决方案，实现对云数据中心用户核心业务的操作系统、数据网络设备等IT资源的帐号、认证、授权和审计的集中控制和管理。同时，通过将操作日志发送到统一安全管控中心，可以由统一安全管控中心进行关联分析，及时发现安全风险，为信息安全事件提供责任认定、调查取证的证据。

典型的方案拓扑如下：

3.2方案详细说明

3.2.1下一代防火墙

在互联网出口及核心业务区外部部署下一代防火墙，xxx下一代防火墙是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有全面的应用层安全防护功能和强劲的处理能力。同时具备入侵检测、防病毒等功能。xxx下一代防火墙NGAF为组织网络出口及系统内部区域隔离构建一套安全长城，实现内外部网络隔离和访问控制，为系统提供漏洞防护功能，同时为系统防病毒感染提供坚实壁垒。

Ø精细到应用的访问控制粒度

不仅具备五元组访问控制策略，还可以通过结合应用识别与用户识别技术制定的L3-L7一体化应用控制策略,提高了策略控制的准确度，提升数据中心管理的效率。

如访问数据中心的常见应用OA、ERP、Web、邮箱等；或外部运维人员访问数据库等场景，通过应用层访问控制策略，解决传统ACL的无法对端口逃逸、端口跳跃等（如使用Oracle建立连接1521，连接后为随机端口）技术的应用进行控制的问题。

四、一站式等保配套安全服务建设

4.1 等级保护建设流程

等级保护整体的安全保障体系包括技术和管理两大部分，其中技术部分根据《信息系统安全等级保护基本要求》分为物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行建设；而管理部分根据《信息系统安全等级保护基本要求》则分为安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。

整个安全保障体系各部分既有机结合，又相互支撑。之间的关系可以理解为“构建安全管理机构，制定完善的安全管理制度及安全策略，由相关人员，利用技术手段及相关工具，进行系统建设和运行维护。”

根据等级化安全保障体系的设计思路，等级保护的设计与实施通过以下步骤进行：

（1）系统识别与定级：确定保护对象，通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以及确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。

（2）安全域设计：根据第一步的结果，通过分析系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。

（3）确定安全域安全要求：参照国家相关等级保护安全要求，设计不同安全域的安全要求。通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。

（4）评估现状：根据各等级的安全要求确定各等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。

（5）安全保障体系方案设计：根据安全域框架，设计系统各个层次的安全保障体系框架以及具体方案。包括：各层次的安全保障体系框架形成系统整体的安全保障体系框架；详细安全技术设计、安全管理设计。

（6）安全建设：根据方案设计内容逐步进行安全建设，满足方案设计做要符合的安全需求，满足等级保护相应等级的基本要求，实现按需防御。

（7）持续安全运维：通过安全预警、安全监控、安全加固、安全审计、应急响应等，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。

星球介绍

一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了1年左右，已经有500+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，戳链接🔗（内有优惠卷）快加入我们吧。系统性的知识库已经有：《Java代码审计》++《Web安全》++《应急响应》++《护网资料库》++《网安面试指南》+《AI+网安》

原文始发于微信公众号（吉祥讲安全）：1000字的安全加固方案