二级等保建设方案.doc

《二级等保建设方案.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、乌鲁瓦提水利枢纽管理局机房系统安全建设解决方案      深信服科技有限公司2019年22目录1背景概述31.1建设背景31.2文件要求31.3参考依据32阀门监控系统安全防护意义43安全防护总体要求43.1系统性43.2动态性43.3安全防护的目标及重点53.4安全防护总体策略53.5综合安全防护要求63.5.1安全区划分原则63.6综合安全防护基本要求73.6.1主机与网络设备加固73.6.2入侵检测73.6.3安全审计73.6.4恶意代码、病毒防范74需求分析84.1安全风险分析84.2安全威胁的来源95设计方案105.1

2、拓扑示意105.2安全部署方案115.2.1下一代防火墙115.2.2终端安全检测响应系统（杀毒）125.2.3日志审计系统135.2.4运维审计系统175.2.5安全态势感知系统196方案优势与总结206.1安全可视216.2融合架构216.3运维简化2222背景概述1.1建设背景随着我国信息化的大力发展，信息网络已经由几个孤立的网络发展成一个多连接的信息共享的复杂网络，也正是由于网络的接入共享为不法黑客的入侵系统带来机会，严重影响系统的正常稳定运行和输送。1.2文件要求根据《中华人民共和国网络安全法》，水利相关单位是国家关键

3、信息基础设施和网络安全重点保护单位。监控、数据调度系统网络空间大，涉及单位多，安全隐患分布广，一旦被攻破将直接威胁安全生产。为进一步提高阀门监控系统及调度数据网的安全性，保障阀门监控系统安全，确保安全稳定运行，需满足以下文件要求及原则。Ø满足调度数据网已投运设备接入的要求；Ø满足生产调度各种业务安全防护的需要；Ø满足责任到人、分组管理、联合防护的原则；Ø提高信息安全管理水平，降低重要网络应用系统所面临的的安全风险威胁，保证信息系统安全、稳定的运行，使信息系统在等级保护测评环节基本符合国家信息安全等级保护相应级别系统的安全要求。1

4、.3参考依据本次网络安全保障体系的建设，除了要满足系统安全可靠运行的需求，还必须符合国家相关法律要求，同时基于系统业务的特点，按照分区分域进行安全控制《《计算机信息系统安全保护等级划分准则》（GB17859-1999）。221阀门监控系统安全防护意义目前，随着国际形势的日趋复杂，网络空间已经成为继陆、海、空和太空之后第五作战空间，国际上已经围绕“制网权”展开了国家级别的博弈甚至局部网络战争，为了加大网络安全的落实，国家出台了《网络安全法》进一步明确了业务主体单位或个人的法律责任，并于2017年6月1日开始正式实施。为加强阀门监控

5、系统安全防护，抵御黑客及恶意代码等对阀门监控系统的恶意破坏和攻击，以及非法操作间接影响到系统的安全稳定运行。作为系统的重要组成部分，其安全与系统安全运行密切相关，积极做好阀门监控系统系统安全防护既有利于配合阀门监控系统安全防护工作的实施，确保整个系统安全防护体系的完整性，也有利于为公司提供安全生产和管理的保障措施。2安全防护总体要求系统安全防护具有系统性和动态性的特点。2.1系统性其中以不同的通信方式和通信协议承载着安全性要求各异的多种应用。网络采用分层分区的模式实现信息组织和管理。这些因素决定了系统的安全防护是一个系统性的工程

6、。安全防护工作对内应做到细致全面，清晰合理；对外应积极配合上级和调度机构的安全管理要求。2.2动态性阀门监控系统安全防护的动态性由两方面决定。一是通信技术、计算机网络技术的不断发展；二是阀门监控系统系统自身内涵外延的变化。在新的病毒、恶意代码、网络攻击手段层出不穷的情况下，静止不变的安全防护策略不可能满足阀门监控系统网络信息安全的要求，安全防护体系必须采用实时、动态、主动的防护思想。同时阀门监控系统22内部也在不断更新、扩充、结合，安全要求也相应改变。所以安全防护是一个长期的、循环的不断完善适应的过程。如图3-1所示P2DR模型

7、是阀门监控系统安全防护动态性的形象表示。图3-1安全防护P2DR动态模型1.1安全防护的目标及重点阀门监控系统安全防护是系统安全生产的重要组成部分，其目标是：1)抵御黑客、病毒、恶意代码等通过各种形式对阀门监控系统发起的恶意破坏和攻击，尤其是集团式攻击。2)防止内部未授权用户访问系统或非法获取信息以及重大违规操作。3)防护重点是通过各种技术和管理措施，对实时闭环监控系统及调度数据网的安全实施保护，防止阀门监控系统瘫痪和失控，并由此导致系统故障。1.2安全防护总体策略Ø安全分区根据系统中业务的重要性和对一次系统的影响程度进行分区，

8、所有系统都必须置于相应的安全区内。Ø网络专用22安全区边界清晰明确，区内根据业务的重要性提出不同安全要求，制定强度不同的安全防护措施。特别强调，为保护生产控制业务应建设调度数据网，实现与其它数据网络物理隔离，并以技术手段在专网上形成多个相互逻辑隔离的子网，保障上