网络系统安全管理规范.doc

《网络系统安全管理规范.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、文件名称网络系统安全管理规范密级文件编号版本号编写部门编写人审批人发布时间XXXXXXXXXXXXXXX公司业务平台安全管理制度—网络系统安全管理规范XXXXXXX网络运行维护事业部目录一.网络系统架构安全规范11.1网络安全的范围11.2网络结构安全要求1二.网络系统拓扑结构安全22.1安全域的设计22.2安全域划分原则22.3安全域划分方法32.4边界整合及控制3三.网络系统访问控制53.1通用网络保护要求53.2网络设备配置要求53.2.1交换机配置要求53.2.2路由器配置要求63.2.3防

2、火墙配置要求6四.网络系统设备安全74.1变更管理要求74.2账号口令管理要求74.3日志安全要求74.4访问控制要求74.5SNMP安全要求84.6版本安全要求8五.网络流量监控分析95.1异常流量检测分析95.2异常流量控制9六.附录106.1交换机安全配置规范106.2路由器安全配置规范106.3防火墙安全配置规范10II主机系统安全管理规范一.网络系统架构安全规范1.1网络安全的范围网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统

3、连续可靠正常地运行，网络服务不中断。它涉及主机、终端和应用等多个层面的安全防护；网络安全采用的技术手段也多种多样，既有网络层面的入侵检测、远程接入管理、内容过滤、流量检测，也有其它层面的文档安全、桌面管理、病毒防护、访问认证等。单纯的采用一种或多种安全技术手段，不能从根本上弥补网络架构所造成的缺陷，必须综合考虑网络性能、网络维护、网络优化改造、边界防护等多方面的因素，以网络的整体安全为框架，融合安全技术、安全手段，并充分考虑系统生命周期内的安全要素，才能达到预期的网络安全目标。1.2网络结构安全要求

4、网络结构的设计应满足网络整体的安全要求，包括：设备安全、访问控制、边界完整性、入侵防范、恶意代码防范、网络冗余、安全审计等。u应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；u应保证网络各个部分的带宽满足业务高峰期需要；u应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；u应绘制与当前运行情况相符的网络拓扑结构图；u应根据各系统的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；u应避免将重要网段部署在

5、网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；u应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。-10-主机系统安全管理规范一.网络系统拓扑结构安全1.1安全域的设计安全域设计应基于业务系统平台的结构，从各种业务功能、管理、控制功能出发，梳理其数据流、刻画构成数据流的各种数据处理活动/行为，分析数据流、数据处理活动的安全需求和安全域设计要求，将系统分解为若干个功能简单、边界清晰且结构化的小的安全域，根据不同安全域承担的业务

6、使命、业务功能以及受到的潜在的威胁和安全风险，进行有针对的分等级的重点保护，构建起多层、主动、立体的安全保障体系，并通过控制、审计等手段，达到持久、有效地保障系统安全的目的。1.2安全域划分原则安全域划分是网络安全工作的基础。所谓安全域，是指网络中具有相同的安全保护需求、并相互信任的区域或网络实体的集合。一个安全域内也可根据实际情况进一步细分安全区域、安全子域。安全域划分的基本原则包括：u业务保障原则：安全域划分的根本目标是为了能够更好地保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行

7、和运行效率。u结构简化原则：安全域划分的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。因此，安全域划分并不是粒度越细越好，安全域数量过多过杂反而可能导致安全域的管理过于复杂，实际操作过于困难。u立体协防原则：安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应用等层次；同时，在部署安全域防护体系的时候，要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。u生命周期原则：对于安全域的划分和

8、布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。-10-主机系统安全管理规范1.1安全域划分方法根据安全域的设计原理，业务平台可以划分为：核心生产区、内部互联区、互联网接口区、核心交换区.核心生产区：本区域仅和该业务系统其它安全子域直接互联，不与任何外部网络直接互联。该业务系统中资产价值最高的设备位于本区域，如服务器群、数据库以及重要存储设备，外部不能通过互联网直接访问该区域内设备。内部互联接口区：本区域放置的设备和公