计算机信息系统分级保护方案(3)

防火墙上设置访问控制策略，并设定不同用户所能访问的资源： a、允许从属中心授权用户访问软件配置管理系统。

b、开放系统内所能使用到的端口，其他不使用的端口进行全部禁止访问限制。

c、可以依据XX公司保密办相关规定设定审查关键字，对于流经防火墙的数据流进行关键字过滤。

d、审计从属中心用户和服务器区域的数据交换信息，记录审计日志。 e、整个防火墙系统的整个运行过程和网络信息流等信息，均进行详细的日志记录，方便管理员进行审查。

（3）设备管理及策略

防火墙系统由信息中心进行管理及维护，任何策略的改动均需要经过保密办的讨论后方可实施。防火墙的日志系统维护，日志的保存与备份按照《XX公司防火墙运维管理制度》进行管理。

a、由信息中心管理防火墙设备，分别设置管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。

b、由信息中心对防火墙设备进行编号、标识密级、安放至安全管理位置。 c、信息中心负责防火墙设备的日常运行维护，每周登陆设备查看设备配置、设备自身运行状态、转发数据量状态、系统日志等内容。

d、信息中心发现异常情况及时通报保密办，并查找问题原因，各部门配合信息中心及时解决问题。

e、信息中心负责防火墙设备的维修管理，设备出现问题，通知保密办，获得批准后，负责设备的维修管理。

（4）部署后解决的风险

原有防火墙保证主中心各Vlan的三层逻辑隔离，对各安全域之间进行访问控制，对网络层访问进行记录与审计，保证信息安全保密要求的访问控制以及安全审计部分要求。 3.3 入侵检测系统

XX公司使用原有入侵检测设备进行网络层监控，保持原有部署及原有配置不变，设备的管理维护依旧。此设备解决的风险为对系统内的安全事件监控与报警，满足入侵监控要求。 3.4 违规外联系统

（1）部署

XX公司采用涉密计算机违规外联监控系统，部署于内网终端、涉密单机及中间机上。XX公司的违规外联监控系统采用B/S构架部署，安装1台内网监控

服务器、1台外网监控服务器，安装645个客户端，全部安装于内网终端、涉密单机以及中间机上。部署示意图如下。

Internet拨号、WLan、3G??庆华公司违规外联监控公网报警服务器实时监控内网终端涉密单机实时监控涉密内网均安装违规外联监控系统客户端庆华公司违规外联监控内网管理服务器中间机

图1-1 违规外联系统部署示意图

（2）第一次运行策略

系统实时地监测受控网络内主机及移动主机的活动，对非法内/外联行为由报警控制中心记录并向管理员提供准确的告警。同时，按照预定的策略对非法连接实施阻断，防止数据外泄。报警控制中心能够以手机短信、电子邮件两种告警方式向网络管理员告警，其中手机短信是完全实时的告警，非常方便和及时。

（3）设备管理及策略

违规外联监控系统由信息中心进行管理及维护，任何策略的改动均需要经过保密办的讨论后方可实施。违规外联监控系统的日志系统同时维护，日志的保存与备份按照《XX公司违规外联监控系统运维管理制度》进行管理。

a、由信息中心管理违规外联监控系统，分别设置管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。

b、由信息中心对违规外联监控系统报警服务器进行编号、标识密级、安放至安全管理位置。

c、信息中心负责违规外联监控系统的日常运行维护，每周登陆设备查看服务器硬件运行状态、策略配置、系统日志等内容。

d、信息中心发现异常情况及时通报保密办，并查找问题原因，各部门配合信息中心及时解决问题。

e、信息中心负责违规外联监控系统服务器的维修管理，设备出现问题，通知保密办，获得批准后，联系厂家负责设备的维修管理。

f、当系统出现新版本，由管理员负责及时更新系统并做好备份工作。 （4）部署后解决的风险

解决违规拨号、违规连接和违规无线上网等风险。 4 应用安全防护

4.1 服务器群组安全访问控制中间件

XX公司涉密信息系统采用服务器群组安全访问控制中间件2台，用于XX公司涉密信息系统主中心秘密级服务器、从属中心秘密级服务器边界的安全控制、应用身份认证、邮件转发控制、网络审计以及邮件审计等。防护主中心的XXX系统、XXX系统、XXX系统、XXX系统、XXX系统以及XXX门户；防护从属中心的XXX系统以及XXX类软件系统。

（1）部署

由于主中心的终端之间以及从属中心内的终端之间数据流动均被设计为以服务器为跳板进行驻留转发，所以在服务器前端的服务器群组安全访问控制中间件系统起到了很强的访问控制功能，限制终端访问服务器的权限并且记录所有与服务器区进行交互的日志。服务器群组安全访问控制中间件的eth1口、eth2口设置为透明模式，启用桥接口进行管理。部署拓扑示意图如下：

机密级服务器群机密级服务器群服务器安全访问控制中间件服务器安全访问控制中间件从属中心核心交换机网闸主中心核心交换机机密级秘密级工作级机密级秘密级工作级图1-10 服务器群组安全访问控制中间件部署示意图

（2）第一次运行策略

服务器群组安全访问控制中间件上设置访问控制策略，并设定不同用户所能访问的服务器资源；设置邮件转发控制功能，为每个用户设置访问账号及密码，依据密级将用户划分至不同用户组中，高密级用户不得向低密级用户发送邮件。配置邮件审计功能，记录发件人，收件人，抄送人，主题，附件名等。配置网络审计与控制功能，可以依据XX公司保密办相关规定设定审查关键字，对于流经

系统的数据流进行关键字过滤；审计内部用户和服务器区域的数据交换信息，审计应用访问日志。

（3）设备管理及策略

服务器群组安全访问控制中间件系统由信息中心进行管理及维护，任何策略的改动均需要经过保密办的讨论后方可实施。服务器群组安全访问控制中间件的日志系统维护，日志的保存与备份按照《XX公司服务器群组安全访问控制中间件运维管理制度》进行管理。

a、由信息中心管理服务器群组安全访问控制中间件设备，分别设置管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。

b、由信息中心分别对2台服务器群组安全访问控制中间件设备进行编号、标识密级、安放至安全管理位置。

c、信息中心负责服务器群组安全访问控制中间件设备的日常运行维护，每周登陆设备查看设备配置、设备自身运行状态、转发数据量状态、系统日志等内容。

d、信息中心发现异常情况及时通报保密办，并查找问题原因，各部门配合信息中心及时解决问题。

e、信息中心负责服务器群组安全访问控制中间件设备的维修管理，设备出现问题，通知保密办，获得批准后，负责设备的维修管理。

（4）部署后解决的风险

解决对应用访问的边界防护、应用及网络审计、数据库安全以及数据流向控制，满足边界防护、安全审计及数据库安全等要求。 4.2 windows域控及补丁分发

改造XX公司原有AD主域控制器及备份域控制器。 （1）部署

XX公司的主中心以及从属中心均部署AD主域控制器及备份域控制器，共计2套，并建立IIS服务器，安装WSUS服务器，提供系统补丁强制更新服务。将终端系统的安全性完全与活动目录集成，用户授权管理和目录进入控制整合在活动目录当中（包括用户的访问和登录权限等）。通过实施安全策略，实现系统内用户登录身份认证，集中控制用户授权。终端操作基于策略的管理。通过设置组策略把相应各种策略（包括安全策略）实施到组策略对象中。部署拓扑示意图如下：

AD域控服务器（主、备）&WSUS服务器网闸从属中心核心交换机主中心核心交换机AD域控服务器（主、备）&WSUS服务器机密级秘密级工作级机密级秘密级工作级

图1-7 域控及WSUS部署示意图

（2）第一次运行策略

建立好域成员及其密码，将所有内网终端的本地账号权限收回，内网终端只能使用管理员下发的域成员用户登录系统。通过组策略指定不同安全域用户口令的复杂性、长度、使用周期、锁定策略，指定每一个用户可登录的机器。机密级终端需要将USB-KEY令牌与域用户登录结合使用，达到“双因子”鉴别的过程。

设置终端用户工作环境，隐藏用户无用的桌面图标，删除“开始”菜单中的“运行”、“搜索”功能。

启用内网Windows XP终端内置的WSUS客户端。由系统漏洞的官方漏洞发布页下载完整的系统漏洞修复程序，将此程序通过中间机系统导入涉密信息系统，在WSUS服务器端导入此程序，由WSUS服务器下发系统补丁强制修复策略，强制更新各个终端的系统漏洞。

（3）设备管理及策略

AD域控系统以及WSUS补丁分发系统由信息中心进行管理及维护，域控组策略的改动均需要经过保密办的讨论后方可操作。WSUS系统的升级更新按照《XX公司与管理及补丁分发运维管理制度》进行管理。

a、由信息中心管理AD域控系统以及WSUS补丁分发系统，分别设置管理员、安全保密管理员、安全审计员的口令，由“三员”分别管理。

b、由信息中心分别对2套AD域控系统以及WSUS补丁分发系统服务器进行编号、标识密级、安放至安全管理位置。

c、信息中心负责AD域控系统以及WSUS补丁分发系统服务器的日常运行维护，每周登陆服务器查看服务器硬件运行状态、组策略配置、域成员状态、系统日志等内容。

d、信息中心发现异常系统日志及时通报保密办，并查找原因，追究根源。 （4）部署后解决的风险

解决部分身份鉴别以及操作系统安全相关风险。

百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说综合文库计算机信息系统分级保护方案(3)在线全文阅读。