政府网站等级保护实施方法20101123-志冠陈可嘉.pptVIP

网络连接世界 安全服务未来 新疆志冠信息技术有限公司 单位地址：新疆乌鲁木齐市西北路516号石油大厦 1207室 邮 编：830000 电 话：0991-4290399 传 真：0991-4290398 基本安全要求的结构 对系统进行定级后，需要通过努力达到相应等级的基本安全要求，在总体上分为技术要求和管理要求，技术上又分为物理安全、网络安全、主机安全、应用安全、数据安全，在管理要求中又分为安全管理机构、安全管理制度等5项，具体如下图所示： 基本安全结构示意图 网站系统定级思路 政府网站防御思路 安全防护建设前期工作 调查了解网站系统内部处理多少种业务，各项业务具体要完成的工作内容、服务目标和业务流程等。了解这些业务与单位职能的关联，单位对网站完成业务使命的期待和依赖程度，由此判断网站系统在单位的作用和影响程度。 调查还应关注网站的业务流，以及其他不同信息系统之间的业务关系，因为不同信息系统之间的业务关系和数据关系表明其他信息系统对该信息系统的服务的关联和依赖。 应重点了解网站系统中不同业务系统提供的服务在影响履行单位职能方面具体方式和程度，影响的区域范围、用户人数等,为设计方案打好基础. 安全防护建设前期工作 调查网站的整体网络状况和现有的安全防护情况，包括网站所在网络的构成（广域网、城域网或局域网等），内部网段/VLAN划分，网段/VLAN划分与系统的关系，与上级单位、下级单位、外部用户、合作单位等的网站链接方式，与互联网的链接方式。目的是了解网站系统整个网络中的位置，所处的单位内部网络环境和外部环境特点，以及该信息系统的网络安全保护与单位内部网络环境的安全保护的关系。 安全防护建设前期工作 调查了解与网站系统相关的现有的服务器、网络、终端、存储设备以及安全设备等，设备所在网段，在系统中的功能和作用。 安全防护建设前期工作 调查了解网站系统的管理用户和一般用户，内部用户和外部用户，本地用户和远程用户等类型，了解用户或用户群的数量分布，各类用户可访问的数据信息类型和操作权限。 了解用户类型和数量，有助于判断系统服务中断或系统信息被破坏可能影响的范围和程度。 寻找差距 按照信息系统安全等级保护要求,分析现有的设备和技术离要求还有哪些经过整改后仍然不能实现,如果不能,找到解决办法,设计安全建设方案. 网站等级保护基本要求 《信息系统安全等级保护基本要求》 应具有限制网络、操作系统和应用系统资源使用的能力 应具有能够检测对网络的各种攻击并记录其活动的能力 应具有发现所有已知漏洞并及时修补的能力 应具有对网络、系统和应用的访问进行控制的能力 应具有对数据、文件或其他资源的访问进行控制的能力 应具有对存储介质中的残余信息进行删除的能力 应具有非活动状态一段时间后自动切断连接的能力 应具有网络边界完整性检测能力 应具有重要数据恢复的能力 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 政府网站防御思路 网站二级等保的技术要求 应具有控制机房进出的能力 应具有控制机房内人员活动的能力 应具有控制接触重要设备、介质的能力 应具有对传输和存储中的信息进行必威体育官网网址性保护的能力 应具有对通信线路进行物理保护的能力 应具有限制网络、操作系统和应用系统资源使用的能力 应具有能够检测对网络的各种攻击并记录其活动的能力 应具有发现所有已知漏洞并及时修补的能力 应具有对网络、系统和应用的访问进行控制的能力 应具有对数据、文件或其他资源的访问进行控制的能力 网站二级等保的技术要求 应具有对资源访问的行为进行记录的能力 应具有对用户进行唯一标识的能力 应具有对用户产生复杂鉴别信息并进行鉴别的能力 应具有对恶意代码的检测、阻止和清除能力 应具有防止恶意代码在网络中扩散的能力 应具有对恶意代码库和有哪些信誉好的足球投注网站引擎及时更新的能力 应具有保证鉴别数据传输和存储必威体育官网网址性的能力 应具有对存储介质中的残余信息进行删除的能力 应具有非活动状态一段时间后自动切断连接的能力 应具有网络边界完整性检测能力 应具有重要数据恢复的能力 政府网站等保安全建设参考图（二级） 网站三级等保的技术要求 应具有自动保护当前工作状态的能力 应具有合理使用和控制系统资源的能力 应具有按优先级自动分配系统资源的能力 应具有对软件缺陷进行检查的能力 应具有记录用户操作行为和分析记录结果的能力 应具有对用户的误操作行为进行检测、报警和恢复的能力 应具有限制网络、操作系统和应用系统资源使用的能力 应具有合理分配、控制网络、操作系统和应用系统资源的能力 应具有能够检测、分析、响应对