广州财政局等级保护整改方案.doc

附件4-2.广州市财政局等级保护整改方案2010年05月目 录1概述61.1编制背景61.2编制目的71.3等级安全体系设计目标71.3.1总体目标81.3.2安全技术体系目标82安全需求分析92.1现状分析92.1.1网络体系现状92.1.2安全体系现状112.1.3应用系统现状122.2安全风险威胁分析122.3安全问题总结132.3.1网络安全问题142.3.2主机安全问题142.3.3应用系统和资源数据152.3.4安全保障和应用支撑152.4安全需求总结162.4.1业务系统安全需求162.4.2身份鉴别与访问控制162.4.3入侵检测与边界防御172.4.4病毒的防治182.4.5安全审计182.4.6安全管理193等保安全体系总体设计203.1等级保护体系概述203.1.1标准体系的组成与相互关系203.1.2标准体系的内容203.1.3标准体系的主要特点213.1.4管理是生命线223.2等级化安全体系设计方法233.2.1设计原则233.2.2总体设计参考标准与规范253.3分域保护框架建立253.3.1设计思路和方法253.3.2安全域划分原则273.3.3保护对象分类273.3.4系统分域保护框架294安全保障技术体系详细设计304.1物理安全设计304.2网络安全设计304.2.1网络基础设施安全304.2.2网络边界安全324.2.3网络环境安全审计334.3主机安全设计344.3.1系统平台安全344.3.2主机环境入侵检测344.3.3主机平台环境安全加固、优化354.4应用安全设计354.4.1应用层入侵防御354.4.2关于CA数字证书364.4.3身份标识、鉴别和授权措施374.5备份与容灾374.5.1备份与容灾概述374.5.2数据备份384.5.3灾难恢复方案的选择444.5.4数据安全及备份恢复465安全产品选型与部署465.1主要安全设备与软件技术指标要求建议475.1.1防火墙产品总体描述和性能要求475.1.2网络入侵检测系统总体描述和性能要求515.1.3网络安全审计系统总体描述和性能要求545.1.4安全管理平台总体描述和性能要求656安全管理和安全运维676.1安全管理的重要意义676.2安全管理体系建设686.2.1安全管理体系的建设目标686.2.2安全管理体系的建设内容686.3安全运维716.3.1安全风险评估716.3.2网络管理与安全管理726.3.3备份与容灾管理726.3.4应急响应计划736.4安全人员管理756.4.1人员审查756.4.2岗位人选756.4.3人员培训766.4.4人员考核766.4.5签定保密合同766.4.6人员调离766.5技术安全管理776.5.1软件管理776.5.2设备管理786.5.3备份管理796.5.4技术文档管理797等级保护相关措施一览表817.1等级保护安全技术要求、管理要求及整改措施表817.1.1广州市财政局预算管理系统817.1.2广州市财政局预算编制系统1097.1.3广州市财政局办公自动化系统1347.1.4广州市财政网1607.1.5广州市非税征收管理系统1767.1.6广州市财政局国库集中支付单位版系统1938项目实施2108.1项目工程组织架构2108.2项目实施管理计划2138.2.1总体考虑2138.2.2项目启动阶段2148.2.3项目实施规划阶段2158.2.4项目实施阶段2168.2.5项目收尾阶段2188.2.6项目评估验收阶段2198.3工程质量管理2208.3.1组建健全有效、职责明确的项目组织机构2208.3.2制订详细、切实的工程技术指导书2218.3.3制订详细的工程进度计划2218.3.4基于实施计划的严格工程进度管理2228.3.5高效合理的资源调配与管理2228.3.6必要的工程协调会2228.3.7工程和技术文档的管理2221 概述1.1 编制背景电子政务即政务信息化，是指国家机关在政务活动中，全面应用现代信息技术进行办公和管理，为社会公众提供服务。主要包括四方面内容：一是在因特网上发布政务信息，供公众了解和使用；二是通过因特网对政府与公众之间的事务进行互动处理；三是在政府机构内部实现办公自动化，提高政府机构办公效率；四是公务员从网络中获得机构内部的工作信息和机构外部的业务信息，为日常的政务工作和领导决策提供服务。2006年5月，中共中央办公厅、国务院办公厅转发国家信息化领导小组关于推进国家电子政务网网络建设的意见（中办发【2006】18号），明确国家电子政务网络建设的目标是：用3年左右的时间，形成中央到地方统一的国家电子政务传输骨干网，建成基本满足各级政务部门业务应用需求的政务内网和政务外网，健全国家电子政务网络安全保障机制，完善国家电子政务网络管理体制，为电子政务发展提供网络支持。2007年3月5日，温家宝总理在全国人大五次会议上作政府工作报告时指出：“要以转变政府职能为核心，改进政府管理与服务方式，大力推进政务公开，加快电子政务和政府网站建设”。2007年4月5日，温家宝总理签署国务院第492号令，公布中华人民共和国政府信息公开条例（以下简称条例），自2008年5月1日起正式实施。为了保证公众方便、及时获取政府信息，条例对信息公开的方式作了明确规定：第一，行政机关应当将主动公开的政府信息通过政府公报、政府网站、新闻发布会以及报刊、广播、电视等等便于公众知晓的方式公开；第二，行政机关根据需要设立公共查阅室、资料索取点、信息公告栏、电子信息屏等场所、设施公开政府信息。2007年8月4日，国务院办公厅下发了关于做好施行中华人民共和国政府信息公开条例准备工作的通知（国办发200754号），以下简称通知），明确要求，要充分发挥政府网站公开政府信息的平台作用，各级政府网站要成为政府信息公开的第一平台。广州市财政局将电子政务建设作为省厅信息化建设的一项重要任务，近几年已经取得了一定的成绩，但由于工作机制、经费投入及运行维护人员、技术保障等问题，还存在一些问题和不足。广州市财政局网络是广州市财政局电子政务的重要组成部分。经过多年的信息化建设，已初具规模。随着广州市财政局信息化程度的不断提高，使对政务外网信息系统的依赖程度不断增加，网上信息价值不断增大，信息安全问题也日渐凸现。广州市财政局网络信息安全体系是广州市财政局网络的重要组成部分，是广州市财政局信息化业务开展的重要安全屏障，它是一个包含实体、网络、系统、应用和管理等五个层面，包括保护、检测、响应、恢复四个方面，通过技术保障和规章制度建立起来的可靠有效的安全体系。为了贯彻国家对电子政务信息系统安全保障工作的要求以及等级化保护“坚持积极防御、综合防范”的方针，全面提高信息安全防护能力，广州市财政局网络建设需要进行整体安全体系规划设计及特殊网站安全保护设计，全面提高信息安全防护能力，创建安全健康的网络环境，保护国家利益，促进广州市财政局信息化的深入发展。1.2 编制目的根据广州市财政局网络系统的现状和将来的应用需求，并结合公安部关于等级化保护的相关要求，而制定针对性的技术方案与管理方案，可为广州市财政局网络系统的等级化安全体系改造和加固提供参考和实施依据。本文将主要阐述和针对广州市财政局网络的改造和信息安全体系的规划设计。项目的主要内容是广州市财政局网络系统的总体信息安全体系安全改造，包括以下几个方面：l 建设广州市财政局网络安全基础设施；l 广州市财政局信息系统的边界安全保护；l 广州市财政局信息系统的计算环境安全保护；l 建立广州市财政局信息系统的安全管理和运维体系。1.3 等级安全体系设计目标根据对广州市财政局电子政务信息系统的全面了解，并结合国家的相关政策标准，广州市财政局网络系统的信息安全建设目标如下。1.3.1 总体目标 为了落实关于信息安全等级保护工作的实施意见（公通字【2004】66号）和关于开展信息系统安全等级保护基础调查工作的通知（公信安【2005】1431号），实施符合国家标准的安全等级保护体系建设，通过对广州市财政局网络系统的安全等级划分，合理调配广州市财政局财力资源、信息科技资源、业务骨干资源等，重点确保广州市财政局网络的核心信息资产的安全性，从而使重要信息系统的安全威胁最小化，达到广州市财政局网络信息安全投入的最优化。实现如下总体安全目标：（1）依据信息系统所包括的信息资产的安全性、信息系统主要处理的业务信息类别、信息系统服务范围以及业务对信息系统的依赖性等指标，来划分广州市财政局信息系统的安全等级。（2）通过信息安全需求分析，判断广州市财政局信息系统的安全保护现状与国家等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划，以指导后续的信息系统安全建设工程实施。（3）达到公安部关于信息系统安全保护等级保护相关要求。1.3.2 安全技术体系目标按照公安部、广州市财政局信息中心和相关国家部门关于信息系统在物理、网络安全运行、信息保密和管理等方面的总体要求，科学合理评估广州市财政局信息系统风险，协助其合理确定安全保护等级，在此基础上科学规划设计一整套完整的安全体系改造加固方案。该安全体系需要全面保卫网络和基础设施、边界和外部接入、计算环境、支持性基础设施、数据和系统等方面内容，实现信息资源的机密、完整、可用、不可抵赖和可审计性，基本做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。具体包括：² 保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。² 保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。² 保障计算环境的安全，保障操作系统、数据库、服务器、用户终端及相关商用产品的安全。² 保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。² 安全管理体系保障，根据国家有关信息安全等级保护方面的标准和规范要求，结合广州市财政局实际，建立一套切实可行的安全管理体系。2 安全需求分析2.1 现状分析广州市财政局网络系统是涉及多个行政部门及各类繁杂的信息系统等特征的系统，具有以下特点：² 涉及的部门多、范围广；² 信息系统种类繁多、应用众多、服务类型多并且结构复杂；² 网络建设涉及互联网访问的诸多需求。2.1.1 网络体系现状2.1.1.1 广州市财政局电子政务内网通过前期调研和对网络拓扑进行分析得知：广州市财政局电子政务内网网络系统以两台H3C 9508交换机为核心，连接到了多个网络。Ø 广州市财政局内网办公区网络：广州市财政局本部内网客户端通过楼层接入交换机汇聚连接到内网H3C 9508核心交换机上；Ø 征管分局、番禺区财政局客网络：征管分局、番禺区财政局客户端通过楼层接入交换机汇聚连接到内网H3C 9508核心交换机上；Ø 投资评审中心网络：投资评审中心客户端直连内网H3C 9508核心交换机上；Ø 人行金库网络：人行金库用户经由思科路由器，通过中网网闸连接内网H3C 9508核心交换机上；Ø 广州市电子政务外网网络：广州市电子政务外网用户通过中网网闸连接内网H3C 9508核心交换机上；Ø 广州市电子政务内网网络：广州市电子政务内网用户经由思科路由器，通过亿阳防火墙连接内网H3C 9508核心交换机上；Ø 业务服务器区网络：在业务服务器区中对所有服务器进行了VLAN的划分：广州市财政局内网重要业务服务器VLAN、广州市财政局内网一般业务服务器VLAN，分别通过服务器区接入层交换机连接到H3C 9508核心上。对内进行病毒防范管理的趋势网络防病毒服务器、桌面终端安全管理工作站均部署在一般业务服务器区中。针对广州市财政局目前的内部网络拓扑和应用需求，在应用上，广州市财政局拥有对内提供服务的服务器群、对广州市电子政务内网提供服务的业务等，业务种类和业务量相对较多。在安全设备的部署上，广州市财政局在安全防护的整体架构上未形成整体的安全保障体系，部分外联边界没有采取安全访问控制、恶意代码防范措施，缺乏对业务应用的防护能力。2.1.1.2 广州市财政局电子政务外网通过前期调研和对网络拓扑进行分析得知：广州市财政局电子政务外网网络系统以两台Cisco 6509交换机为核心，连接到了多个网络。Ø 银行网络：银行用户经由思科路由器，直连外网Cisco 6509核心交换机上；Ø 执收单位网络：部分执收单用户经由拨号路由器、部分执收单位用户经由广州市电子政务外网，通过天融信防火墙连接外网Cisco 6509核心交换机上；Ø 广州市电子政务外网网络：广州市电子政务外网用户通过天融信防火墙连接外网Cisco 6509核心交换机上；Ø 业务服务器区网络：在业务服务器区中对所有服务器进行了VLAN的划分：广州市财政局外网公共安全服务器VLAN1、广州市财政局外网公共安全服务器VLAN2，经服务器区接入层交换机，通过IPS连接到Cisco 6509核心上。对外进行病毒防范管理的趋势网络防病毒服务器部署在广州市财政局外网公共安全服务器VLAN1。针对广州市财政局目前的外部网络拓扑和应用需求，在应用上，广州市财政局拥有对外提供服务的服务器群、对广州市电子政务外网提供服务的业务等，业务种类和业务量相对较多。在安全设备的部署上，广州市财政局在安全防护的整体架构上未形成整体的安全保障体系，部分外联边界没有采取恶意代码防范措施，缺乏对业务应用的防护能力。2.1.2 安全体系现状广州市财政局目前网络信息安全防护措施和管理手段覆盖面不完整，不能全面满足安全管理的需要。现有安全设备部署情况如下：² 边界防护：广州市财政局电子政务内网与征管分局用户边界、番禺区财政局边界、评审中心用户边界未采取访问控制措施；人行金库、广州市电网政务外网边界通过中网网闸对数据流实施单向控制；广州市电子政务内网边界通过亿阳防火墙进行访问控制。广州市财政局电子政务外网与银行用户边界、执收单位边界、广州市电子政务外网边界通过天融信防火墙进行访问控制。² 入侵防护：广州市财政局电子政务内网有部署入侵检测系统。广州市财政局电子政务外网有部署入侵防御系统。² 防病毒：广州市财政局电子政务内网、广州市财政局电子政务内网服务器区均部署了趋势网络防病毒服务器。² 终端安全管理：广州市财政局电子政务内网服务器区部署了桌面终端安全管理服务器。2.1.3 应用系统现状在长期信息化建设过程中，广州市财政局建立了十一套应用系统，以满足各自业务数据收集、对外信息发布以及对外业务往来的工作需要，由此所产生的大量行业信息数据在INTERNET、电子政务网络中流通。这些应用系统包括：² 广州市财政局预算管理系统² 广州市财政局预算编制系统² 广州市财政局办公自动化系统² 广州市财政网² 广州市非税征收管理系统² 广州市财政局国库集中支付单位版系统2.2 安全风险威胁分析广州市财政局网络系统覆盖范围较大，并涉及用户面广，业务应用众多复杂，并需要与相关网络互联。因此，其面临很多的安全威胁，经过总结分析主要包括了以下几类：² 身份假冒，一个实体假装成另一个不同的实体，从而获得对广州市财政局网络系统的访问。² 恶意代码，通过恶意程序，计算机病毒等恶意代码程序可获取信息或破坏广州市财政局网络系统的正常运行。² 破坏信息完整性，改变广州市财政局电子政务外网系统信息的内容或形式。² 行为抵赖，信息发送方或接收方否认自己发送过或接收到特定的信息，从而对广州市财政局网络系统的正常运行造成潜在的安全威胁。² 破坏网络的可用性，通过执行命令，发送数据或执行其它操作使系统资源对用户失效，使合法用户不能正常访问广州市财政局网络网络资源或使有严格时间要求的服务不能及时得到响应。也可能以物理方式盗窃或破坏广州市财政局网络网络的设备、设施。² 操作失误，人为操作失误可能会对广州市财政局网络系统造成破坏。² 自然灾害和环境事故，地震，火灾，水灾等自然灾害和电磁污染等环境事故会对广州市财政局网络系统造成破坏。² 电力中断，电力中断会破坏广州市财政局网络系统的可用性或导致数据丢失。² 漏洞利用，广州市财政局大部分服务器普遍存在高风险漏洞，导致服务器或应用系统存在被远程控制的可能。² 通信中断，由于目前广州市财政局部分网络设备和网络链路均未做冗余，因此，存在通信中断而导致业务中断的威胁。其中，广州市财政局网络系统所面临的最大的风险，就是一旦攻击者获得对广州市财政局网络系统资源的控制权，就可以随意进行破坏活动，这包括：l 信息泄露：将广州市财政局信息系统中的信息散发到了不该获得该信息的人手中，造成信息泄露；l 盗取信息：获得不该获得的信息，破坏了信息的机密性；l 修改信息：任何对存储（或传输）中数据、文件的非授权修改，破坏了信息的完整性；l 盗用服务：非法盗用系统的服务，盗用服务会影响广州市财政局网络系统为其它合法用户提供正常服务；l 拒绝服务：攻击的直接后果就是将系统的服务性能降低或完全瘫痪，无法为合法用户提供正常的服务，破坏了系统的可用性。2.3 安全问题总结通过上述对广州市财政局网络系统的现状和安全威胁分析，目前广州市财政局网络系统的信息系统面临多方面的以下安全问题。包括：网络、服务器、终端、应用系统和资源数据、安全保障和应用支撑等多个方面。2.3.1 网络安全问题l 入侵防护方面托管服务器区缺乏入侵检测手段，不能及时掌握网络系统内部非法事件的动态。l 恶意代码防范方面缺乏网络层恶意代码检测手段，不能有效的对网络层中的病毒、木马、恶意代码等进行实时有效防护。l 安全审计方面未能采取措施，对局域网内网络设备的运行状况、网络流量、用户行为等进行日志记录，不能及时发现网络设备的运行状态、网络带宽是否满足业务需要、用户对设备的操作和数据库的操作是否合规。l 结构安全方面定级系统服务器网段之间、普通服务器网段之间，没有采取技术隔离手段；没有按照业务所提供服务的重要次序来指定带宽分配优先级别。l 网络设备防护方面对网络设备进行远程管理时，没有采取必要措施防止鉴别信息在网络传输过程中被窃听。未采取措施，实现对设备的特权用户进行权限分离，存在多个帐号权限相同的情况。l 网络安全管理方面未采取技术手段，定期对网络系统和业务应用系统进行漏洞扫描，不能及时发现系统自身存在的高危风险漏洞。2.3.2 主机安全问题l 身份鉴别方面大部分业务系统主机未对账户密码策略、账户锁定策略进行安全配置，如：启用密码复杂度要求、设置密码最长存留期、设置密码最短存留期、设置合理的账户锁定时间、设置账户锁定阀值、设复位账户锁定计数器值等；对类Unix服务器进行远程管理时，未采取措施，防止鉴别信息在网络传输过程中被窃听；个别三级系统，没有采取两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。l 访问控制方面大部分业务系统主机没有采取措施实现操作系统和数据库系统特权用户的权限分离，同一用户既被赋予操作系统特权又被赋予数据库系统特权。l 安全审计方面个别业务系统应管理需要暂未启用主机系统审计功能；大部分业务系统均未采取措施，定期对记录数据进行分析和形成审计报表。l 资源控制方面部分系统没有采取措施对重要服务器的运行服务水平进行监视和报警，不能及时掌握系统的运行状况，如：CPU的利用率、剩余磁盘空间、内存、网络带宽等资源的使用情况。2.3.3 应用系统和资源数据l 业务系统缺少应用层防御广州市财政局托管服务器区未采取对于应用层级别的攻击（例如：SQL注入、跨站脚本攻击）没有相应的防御措施。l 数据库未开启审计功能目前广州市财政局的数据库系统均未开启审计功能。没有日志，无法了解曾经受到的入侵行为、无法诊断服务中断的原因、无法及时响应网络探测和扫描等行为、会造成发生事故而无法定位的威胁。另外，无法发觉各种可疑的事件，这也为非法者提供了更多尝试攻击的机会，以及由于无法及时发觉非法者正在发起的攻击行为，可能使得攻击所造成的影响扩大。2.3.4 安全保障和应用支撑l 缺乏完善的安全保障目前，整个网络系统没有一套完善的信息安全保障体系，无法满足系统对物理安全、网络及计算机系统安全、应用及数据安全和安全管理的需要，不能有效抵御来自内部、外部的各种安全威胁和攻击。l 缺乏应用支撑平台随着广州市财政局各类业务管理信息系统不断建设，各种系统需要一致的技术规范，实现应用系统统一身份认证、授权管理和责任认定功能，从而确保应用资源整合，实现应用“单点登录”。2.4 安全需求总结根据对广州市财政局网络系统的安全问题总结，可以得出广州市财政局网络系统的信息安全需求，主要内容可体现在以下几个方面：2.4.1 业务系统安全需求应用软件系统的安全性及其保护机制，在整个软件的生命周期中一直处于极为重要的地位，作为广州市财政局网络系统这样一个大型应用系统，必须在安全保护方面设计得当考虑周到。为了在当出现新的安全漏洞时有效的进行安全防御，建立有效的访问控制和部署安全产品是关键；其中采用数字证书认证技术是目前访问控制中最有效的角色认证方法之一，部署入侵防御系统对业务系统的WEB网站和后台数据库系统进行保护是有效抵御外部攻击的措施之一。2.4.2 身份鉴别与访问控制安全域的划分根据了解，目前广州市财政局网络系统网络规模庞大，用户数量较多，情况复杂，急待通过安全区域的划分，从而进行不同安全域之间访问控制。应将不同的业务类型划分若干个逻辑隔离区域，在根据区域和应用不同划分多个VLAN，不同VLAN之间通过严格的访问控制规划信息流向，隔离广播，限制不是必需的和非法的访问。身份鉴别需要根据实际业务应用系统的要求，具体实现用户身份鉴别机制或与CA数字证书的整合，从而达到只有授权用户才能访问所需数据的，保证某些不对外开放的数据不泄漏。2.4.3 入侵检测与边界防御广州市财政局网络系统的用户遍布全市财政系统相关单位，使用者成分极其复杂，不可信任，因此需要考虑到针对网络攻击的安全应对措施。准确识别出可能的攻击者，对于计算机系统来说具有重要意义，因为攻击往往是在“暗中”发生的，我们只有先找到假想敌，才有可能采取正确的对策，但安全又是要付出代价的，不正确的假设不仅无助于安全的解决，还有可能是浪费资源。我们总结广州市财政局网络系统可能面对的攻击者可以分为四类：l 黑客：狂热的技术迷，攻击是为了寻找技术挑战，绕过或攻破一个系统的安全机制就是最大的成功，并且喜好相互炫耀彼此的业绩；l 专业罪犯：攻击系统的主要目的也是为了经济或其他利益；l 内部人员：攻击系统的主要目的是为了兴趣、恶作剧或其他利益；l 蓄意破坏者：攻击系统的目的纯粹是为了破坏。鉴于广州市财政局网络系统内部环境用户的复杂性，因而需要在重要的网络边界处和重要网段配置入侵检测设备。入侵检测系统通过对数据流的实时采集与分析，能够洞察各种非法行为，及时弥补安全漏洞。通过入侵检测，可以实时监控网络的数据流量，实时发现攻击行为并立即报警，为动态网络安全防御提供了良好的基础设备支持。利用入侵检测系统，可以进行7×24的安全监控，一旦发现入侵行为，可以及时的通知管理人员或者采取其他相应的措施。根据分析，广州市财政局可能发生网络入侵攻击的地点主要是两处：l 一是来自外部的攻击：主要集中于广州市财政局网络系统与其他外部网络的接入口；l 二是来自内部的攻击：主要攻击可能来自全网各个相关互连部门，目标是广州市财政局网络系统提供的网络服务和核心资产数据。鉴于重要的网段分部在不同的物理和逻辑网段，所以应配置一个管理控制中心，集中管理分布在不同地点的网络入侵检测系统，发现异常迅速反应，及时切断入侵行为。此外，防火墙作为网络边界设备，放置在不同网络出入口上，控制各级网络用户之间的相互访问，规划网络的信息流向，同时可以起到一定的用户隔离作用，一旦某一子网发生安全事故，避免波及其他子网。对各个安全区域必须使用防火墙作为其边界的安全保护。2.4.4 病毒的防治随着计算机技术的不断发展，计算机病毒也变得越来越复杂和高级，其扩散速度也越来越快，破坏力也越来越强，对计算机网络系统构成极大的威胁。在网络中，病毒已从存储介质（软、硬、光盘）的感染发展为网络通讯和电子邮件的感染上来。其传播速度极快、破坏力更强，据统计一个新病毒从一台计算机出发仅六个小时就能感染全球互联网机器。网络一旦被病毒侵入，将会对重要数据的安全、网络的正常运行带来严重的危害，所以防止计算机病毒是广州市财政局网络系统安全工作的重要环节。因此针对此情况，需要建立相应的防病毒安全策略以配合防病毒软件，比如对全网的所有客户端设置强安全策略，不允许用户随意的关闭病毒实时监控程序，以免病毒趁虚而入，从而对全网造成威胁。每周定时设置全网全面查毒，并建立人员检查制度，定期查看防病毒日志，以期及早的发现病毒隐患并加以处理等。此外，在网络边界处部署网络层防病毒设备，对病毒进行基本的过滤和检测，可以减轻部署在PC终端的防病毒产品的压力，也可以有效防范蠕虫病毒的大规模传播；同时对于网络病毒的防治，采用两家不同厂商提供的“防病毒库”，可以避免单一防病毒产品的局限，达到更高的防护强度。2.4.5 安全审计安全审计通过收集并分析系统日志等数据，从而发现违反安全策略的行为。与入侵检测相比，安全审计主要侧重于事后分析，即当发生安全事故或者发生违反安全策略的行为之后，通过检查、分析、比较审计系统收集的数据，从中发现违反安全策略行为。在广州市财政局网络系统的重要网络设备，如思科、H3C核心交换机，应配置安全审计系统，针对应用系统和数据库的操作进行审计，并且针对于特殊要求的主机系统部署基于主机的审计系统，以保证触发审计系统的事件存储在审计系统内，能够根据存储的记录和操作者的权限进行查询、统计、管理、维护等操作。并且能够在必要时从记录中抽取所需要的资料。2.4.6 安全管理建立完善的安全管理机构及安全管理制度，安全管理培训制度化，制定有效措施，保证系统安全措施的执行，强化安全管理。完善系统管理员制度，建立网络拓扑图，方便系统管理员图形化的管理；建立硬件资产管理系统，让管理员能查询系统中所有平台的硬件信息（如硬盘大小、内存大小、外设配置等）。广州市财政局信息安全建设保障工作目前存在的主要困难包括：² 信息安全涵盖内容极为广泛，从物理安全，网络安全，系统安全一直到应用安全，数据安全，安全管理，安全组织等等，凡是涉及到影响正常运行的和业务连续性的都可以认为是信息安全问题；² 安全保障是个系统化的工程，各个要素之间存在紧密联系，互相依赖，牵一发而动全身；² 安全保障是个长期性的工作，伴随信息系统的整个生命周期，是一个不断实施、检查和改进的过程；² 安全保障除了耗费人力财力，还会损失易用性，降低效率，所以应该考虑信息安全要求与资金人力投入的平衡，控制安全的成本。3 等保安全体系总体设计本章将对广州市财政局网络系统进行总体设计，在总体设计时，将首先描述等保体系和安全要求分析，其次遵循等保体系标准作为设计方法，并根据等级保护安全要求进行广州市财政局网络系统的安全体系总体设计。3.1 等级保护体系概述3.1.1 标准体系的组成与相互关系信息安全等级保护标准由运行过程控制标准、评测过程控制标准、构建过程控制标准、基础标准（GB17859）组成。其中，基础性标准包括：（1）GB178591999计算机信息系统安全保护等级划分准则，是其他标准的基础；（2）信息系统安全等级保护实施指南，为等级保护的实施提供指导。构建过程控制标准包括：（1）技术要求标准；（2）产品要求标准。测评过程控制标准包括（1）系统测试与评估标准；（2）产品测试域评估标准。过程控制标准包括：（1）工程管理标准，为管理工程实施提供指导；（2）系统管理标准，对系统运行过程的管理提供指导；（3）监督、检查管理标准，为按等级保护要求对信息系统的构建、测评、运行过程进行监督、检查、管理提供指导。3.1.2 标准体系的内容标准体系的基本思想概括为：以信息安全的五个属性为基本内容，从实现信息安全的五个层面，按照信息安全五个等级的不同要求，分别对安全信息系统的构建过程、测评过程和运行过程进行控制和管理，实现对不同信息类别按不同要求进行分等级安全保护的总体目标，如下图所示。图表 31等级保护基本思想和分级、分层及控制过程图表 32等级保护五个层面内容和系统安全运行及安全防护3.1.3 标准体系的主要特点（1）完备性：对信息安全的五个属性，从五个层面、按五个等级确定安全功能要求和安全保证要求：对安全系统的构建、测评、运行三个过程进行全面控制。（2）整体保护性：实现信息的保密性、完整性和可用性（包括抗抵赖性、可控性和可操作性等），以及系统安全运行控制。（3）技术先进性：标准体系是在充分了解国际上当前信息安全技术及其标准发展的基础上，汲取先进的安全技术确定，并与国际接轨。（4）实用性：充分考虑到我国信息技术的发展和信息安全的现状，从制定可行的信息系统安全方案出发，适用于我国信息安全等级管理的需要。（5）前瞻性和可扩展性：标准体系所确定的技术和管理，具有一定的前瞻性，并可根据信息安全技术的发展改进和扩展。（6）具有充分的法律依据和执法保证：147号令、27号文件明确规定我国信息安全实施等级保护：执行过程控制标准适用于安全等级管理对安全系统及安全产品从设计、实现、检测、评估到监督、检查的管理需要：有相应的执法人员（如电子警察）确保等级保护的贯彻执行。3.1.4 管理是生命线管理对信息安全等级保护的实现有十分重要的意义和作用。所谓管理是对人的管理。信息安全管理是指，在实现信息安全的全过程中，人应该做什么、如何做，通常用“三分技术，七分管理”来形容管理对信息安全的重要性。用另一句话来描述管理的作用可能更为确切，这就是：管理是贯穿信息安全整个过程的生命线。作为实施信息安全重要途径的等级保护的管理，这种生命线的作用体现得就更为充分。首先，信息安全等级保护制度的确立，需要有政策、法律、法规来保证。其次，信息安全等级保护的贯彻实施，需要有规范化的过程和制度，需要建立标准体系，进行系统和产品的研究与开发，进行系统和产品的测试与评估等等。这些都需要有统一的管理和协调。另外，与技术相关管理更是无处不在。安全系统开发过程需要进行工程管理；安全系统的运行过程需要进行系统管理；甚至每一个安全功能的实现和正确使用，都离不开管理。与信息安全有关的人包括安全系统的开发者、测试与评估者、运行管理者、使用者以及对这些过程的实施进行监督检查者。管理的目的就是让参与信息安全的所有人员都能够按照确定的要求去行动。对开发者的管理是为了开发出符合安全要求的系统或产品；对测试与评估者的管理是为了对开发的系统和产品严格把关；对运行管理者的管理是为了确保运行管理者对系统或产品的运行进行正确控制；对使用者的管理是为了让使用者按规定合理使用系统或产品；对监督检查者的管理是为了让执法者严格执法。不同安全等级的信息安全对管理有不同的要求。为达到高级别的安全要求，需要更严格的管理，就像为了提供高质量的产品需要有更严格的管理一样。管理的重要性还体现在，如果没有相应的管理，许多安全技术和机制就不能发挥应有作用。比如，如果没有严格的权限管理，而是随意授权，访问控制就失去了应有作用。又如，如果没有人员分工上的严格管理，对系统管理员、安全员、审计员实行权限分离的安全机制就不以发挥应有作用。例似的情况在安全系统中随处可见，最普遍的情况是，几乎所有的安全机制都需要进行正确的系统配置、操作和运行控制，而且越是高级别的系统这种要求就越多、越严格，如果没有按照要求进行操作、配置和运行控制，相应的安全技术和机制会起不到应有的作用，甚至成为攻击的弱点和漏洞，与技术密切相关的管理要求应在系统开发过程中同时产生，并以文档形式（包括安全员指南和用户指南）随系统一起提交用户。根据我国国情，管理的重要性还体现在领导的重视程度上。实践证明，在我国信息系统建设阶段，哪个单位没有领导的重视与支持，哪个单位的信息系统建设就不会有好的发展。相反，得到了主要领导的重视和支持，单位信息系统的建设就会有好的发展。这已经成为不争的事实。同样，对于信息安全的建设，单位领导，特别是主要领导的重视与支持，是一个单位信息安全系统的建设和运行得到应有的重视，从而发挥应有效能的重要前提和保证。3.2 等级化安全体系设计方法3.2.1 设计原则在规划、建设、使用、维护整个广州市财政局网络系统项目的过程中，本方案将主要遵循统一规划、分步实施、立足现状、节省投资、科学规范、严格管理的原则进行安全体系的整体设计和实施，并充分考虑到先进性、现实性、持续性和可扩展性。具体体现为：1) 等级标准性原则构建广州市财政局网络系统这样庞大的系统，必须坚持遵循相关的标准。本方案从设计到产品选型都遵循国家等级保护二级相关标准。2) 需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。应对一个网络进行实际分析(包括任务、性能、结构、可靠性、可用性、可维护性等)，并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定安全策略。3) 综合性、整体性原则安全模块和设备的引入应该体现系统运行和管理的统一性。一个完整的系统的整体安全性取决于其中安全防范最薄弱的一个环节，必须提高整个系统的安全性以及系统中各个部分之间的严密的安全逻辑关联的强度，以保证组成系统的各个部分协调一致地运行。4) 易操作性原则安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。5) 设备的先进性与成熟性安全设备的选择，既要考虑其先进性，还要考虑其成熟性。先进意味着技术、性能方面的优越，而成熟性表示可靠与可用。6) 无缝接入安全设备的安装、运行，应不改变网络原有的拓扑结构，对网络内的用户应是透明的，不可见的。同时，安全设备的运行应该不会对网络传输造成通信“瓶颈”。7) 可管理性与