关键信息基础设施网络安全等级保护核心技术.ppt

关键信息基础设施网络安全等级保护核心技术,信息安全等级保护2.0网络安全等级保护,全面建设、全程防护,主动免疫、积极防御,是我国网络安全保障的基本制度,是网络空间安全保障体系的重要支撑,是应对强敌APT的有效措施,网络安全等级保护,我国等级保护工作创新发展,我国80年代兴起了计算机信息系统安全保护研究，1994年，国务院发布中华人民共和国计算机信息系统安全保护条例（国务院令第147号），为我国信息系统实行等级保护提供法律依据，也是世界上第一个等级保护国家法规,依据国务院147号令制定发布了强制性国家标准计算机信息系统安全保护等级划分准则（GB 17859-1999），强制性标准，为等级划分和保护奠定了技术基础,国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）进一步明确要求“抓紧建立信息安全等级保护制度”,国家有关部委多次联合发文，明确了等级保护的原则、基本内容、工作流程和方法、实施要求和计划等。目前国家各部门都按信息系统定级备案、整改建设和测评进行推进，国家重点工程的验收要求必须通过信息安全等级保护的测评,最近公布的网络安全法第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改,第三十一条规定，国家对关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护,美国国防部早在八十年代就推行“安全等级划分准则”（TCSEC）（ITSEC）（CC）,2003年，美国发布保护网络空间国家战略，提出按重要程度不同分五级保护，并通过了联邦信息安全管理法案（FISMA），要求NIST制定分类分级标准,超越国外等级保护,2013年2月12日，奥巴马发布了增强关键基础设施网络安全行政令，按此令NIST于2014年2月12日12日提出了美国增强关键基础设施网络安全框架，按风险程度不同分为四个等级，实行识别、保护、监测、响应、恢复全过程的风险管理,2005年变成强制性标准（FIPS200），要求联邦机构无条件执行,1、法律支撑：计算机信息系统安全等级保护条例提升为“网络安全法”中的网络安全等级保护制度,3、工程应用：由传统的信息系统防护转向新型计算环境下的主动防御体系建设,2、科学技术：由分层被动防护到科学安全框架下的主动免疫防护,等级保护2.0的时代特征,确保关键信息基础设施安全,全 过 程,准确划分定级系统，从保护业务信息和系统服务两维资源出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等因素确定等级,适用于网络空间的云计算等安全需求分析,1、分析风险，准确等级,业务处理流程的完整性,软硬件设备相对的独立性,安全管理责权的统一性,定级系统的特征,多级互联隔离性,信息系统按重要程度不同分为五级，三级以上是国家重要信息系统（业务信息/系统服务）,按照信息安全等级保护管理办法、计算机信息系统安全保护等级划分准则（GB17859-1999）和参照信息系统等级保护安全设计技术要求（GB/T 25070-2010），设计制定建设方案,2、规范建设、严密管控,参照信息安全等级保护实施指南、信息系统等级保护安全设计技术要求等技术标准，从技术和管理两个方面进行安全建设,选择等级测评机构制定测评方案开展测评工作出具测评报告专家评审确认,3、等级测评、整改完善,4、监督检查、应急恢复,应对事件和灾难发生，减少损失，采取必要的应急和备份措施，发生事件，及时恢复,保证资源安全必须实行科学管理，强调最小权限管理，高等级系统实行三权分离管理体制，不许设超级用户,针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源），确保业务信息安全,针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护，确保系统服务安全,从技术和管理两个方面进行安全设计，做到:,1、设计原则,安全管理中心支持下的可信免疫的计算环境区域边界通信网络三重防护结构框架,2、结构框架,保护环境框架图,可信计算环境,可信区域边界,可信通信网络,构建三重安全防护结构框架 划分为节点、典型应用、区域边界、通信网络、安全管理、审计管理和系统管理等子系统。,安全管理中心,21,典型应用子系统：安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合要求的安全功能支持和安全服务,节点子系统：节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障,1）可信计算环境,22,区域边界子系统：区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是信息系统的第二道安全屏障,2）可信区域边界,23,通信网络子系统：通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是信息系统的外层安全屏障,3）可信通信网络,24,系统管理子系统：系统管理子系统负责对安全保护环境中的计算节点、安全区域边界、安全通信网络实施集中管理和维护，包括用户身份管理、资源管理、应急处理等，为信息系统的安全提供基础保障,安全管理子系统：安全管理子系统是信息系统的控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现了对整个信息系统的集中管理，为信息系统的安全提供了有力保障,审计子系统：审计子系统是系统的监督中枢，安全审计员通过制定审计策略，强制节点子系统、区域边界子系统、通信网络子系统、安全管理子系统、系统管理子系统执行，从而实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据,4）管理中心,1）国家电网电力调度系统安全防护建设,3、重要核心系统规模化建设应用,采用PCI可信卡的方式进行部署实施实现了对已知、未知恶意代码的免疫实现了可信保障机制，使得系统运行效率有限降低基于D5000平台的安全标签，不许改动源代码,通过逐级认证实现系统的主动免疫，达到等级保护四级技术要求,2）中央电视台可信制播环境建设,编排,变更,审核,生产,备播,播出,播出单,节目文件,入库,外来,中央电视台电视节目生产、存储、编排和播出流程可信环境建设示意图,