等级保护相关标准解读.ppt

《等级保护相关标准解读.ppt》由会员分享，可在线阅读，更多相关《等级保护相关标准解读.ppt（44页珍藏版）》请在三一办公上搜索。

1、等级保护相关标准解读,提纲等级保护背景等保相关标准中软华泰公司参与等级保护建设工作设计技术要求的框架和方案安全建设整改技术路线,一、等级保护背景,政策和标准,国务院147号文,法律政策依据,科学技术依据,GB178591999,第一次提出信息系统要实行等级保护，并确定了等级保护的职责单位-公安部会同有关部门。,要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统。等级保护从计算机信息系统安全保护的一项制度提升到国家信息安全保障的一项基本制度。,等级保护工作的开展必须分步骤、分阶段、有计划的实施。明确了信息安全等级保护制度的基本内容。,明确了信息安全等级保护制度的基本内容

2、、流程及工作要求，明确了信息系统运营使用单位和主管部门、监管部门在信息安全等级保护工作中的职责、任务。,5,等级保护的标准体系,GB17859-1999 计算机信息系统安全保护等级划分准则,信息系统安全等级保护定级指南,GB/T20269-2006 信息系统安全管理要求GB/T20282-2006 信息安全技术 信息系统安全工程管理要求GB/T 20270-2006信息安全技术 网络基础安全技术要求GB/T 20271-2006信息安全技术 信息系统通用安全技术要求GB/T 20272-2006信息安全技术 操作系统安全技术要求GB/T 20273-2006信息安全技术 数据库管理系统通用安全

3、技术要求GB/T22239-2008信息安全技术 信息系统安全等级保护基本要求GB/T 24856-2009信息安全技术 信息系统等级保护安全设计技术要求 信息系统安全等级保护实施指南,信息系统等级保护分级标准,07年6月份开始，全国范围内的重要信息系统普遍开展了信息安全等级保护定级工作,到去年为止定级工作基本上已经落实。通过信息系统的定级，国家掌握了重要信息系统在全国范围内的分布、使用情况以及其重要程度。在定级基础上，应开展信息系统安全建设和整改，达到相应等级的安全防护能力。,二、等级保护相关标准解读,需要了解的几个法规、政策,9,几个与等级保护有关的标志性政策、文件：,国家信息化领导小组关

4、于加强信息安全保障工作的意见（中办发200327号）。,信息安全等级保护管理办法（公通字200743号）,关于信息安全等级保护工作的实施意见（公通字 200466号）,中华人民共和国计算机信息系统安全保护条例（147号令）,几个重要的技术标准,10,信息系统安全等级保护基本要求(GB/T22239-2008),信息系统等级保护安全设计技术要求（GB/T24856-2009）,计算机信息系统安全保护等级划分准则（GB17859-1999）,国家已出台约50余个标准，重点需要了解的有：,最早提出的基础性、强制性标准；粒度较粗，是一个指导性标准；,强调基本的技术和管理要求,我们在进行产品开发、等保系

5、统设计时的主要依据：（一个中心三重防御）,11,标准间的关系介绍,计算机信息系统安全保护等级划分准则,12,第四级 结构化保护级,第五级 访问验证保护级,自主访问控制 身份鉴别 完整性保护,自主访问控制 身份鉴别 完整性保护,系统审计 客体重用,自主访问控制 身份鉴别 完整性保护,系统审计 客体重用,强制访问控制 标记,自主访问控制 身份鉴别 完整性保护,系统审计 客体重用,强制访问控制 标记,自主访问控制 身份鉴别 完整性保护,系统审计 客体重用,强制访问控制 标记,隐蔽通道分析 可信路径,隐蔽通道分析 可信路径,可信恢复,信息系统安全等级保护基本要求的定位,是系统安全保护、等级测评的一个基

6、本“标尺”；按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力;针对本系统更具体的保护要求可以参考相关标准实现。,13,各级系统的保护要求的内容,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,14,技术设计要求的思路,信息系统等级保护安全技术设计要求以信息（应用）系统为核心，统筹规划强调安全体系，一个中心支撑下的三重防御体系（计算环境、区域边界、通信网络）严格的访问控制，操作人员行为控制将网络安全、主机安全、应用安全、数据安全综合考虑,信息系统等级保护安全技术设计框架,

7、16,安全计算环境由定级系统中完成信息存储与处理的计算机系统硬件和系统软件以及外部设备及其连接部件组成，也可以是独立的或移动的计算机系统。,安全区域边界是定级系统中安全计算环境的边界以及安全计算环境与安全通信网络之间实现联接功能的部分，对安全计算环境及进出安全计算环境的信息进行保护。,安全通信网络是定级系统中实现安全计算环境之间信息传输功能的部分。,安全管理中心是对部署在安全计算环境、安全区域边界和安全通信网络上的安全策略与机制实施统一管理的设施。,等级保护核心要求（三级及以上）,身份鉴别安全标记（保密性级别、完整性级别、范畴）主体（用户、进程）客体（文件、程序、设备、网络端口等）强制访问控制

8、自主访问控制客体重用数据完整性审计,非授权用户“五不”“进不来”“拿不走”“看不懂”“改不了”“赖不掉”,防内为主,安全标记保护级（三级）涉及到重要性信息的系统，要具有抵御来自外部有组织的恶意攻击能力，和防内部人员攻击的能力，不仅要对安全事件有审计纪录，还要能追踪、能响应处理，要实现多重保护制度。结构化保护级（四级）要有能抵御来自敌对组织的大规模攻击的能力，和防止内部人员内外勾结的恶意攻击的能力。不仅要全面审计违规行为还要具有及时报警和应急处理能力。,三、我公司参与等级保护建设情况,中软华泰致力于等级保护建设,2008年初，公安部为制订信息系统等级保护安全技术设计要求的国家标准，进行等级安全应

9、用技术平台示范系统搭建工作。我公司在众多竞争者中脱颖而出，承接了目前最高等级四级系统的建设任务，目前已经完成项目验收。国家标准即将出台；示范系统搭建在公安部第一研究所；我公司还成为等级保护国家标准863课题研究参与单位，目前正在配合国家主管单位参与国家重大支持项目的研究工作。,二、我公司参与等级保护建设情况,产品和服务体系,形成了信息系统等级保护建设和整改的体系结构、技术框架、解决方案体系相关安全产品高等级操作系统终端安全防护服务器安全防护应用安全网关网站防护系统安全管理平台等,四、技术设计框架和方案,建设信息系统的可信计算基（TCB），即为信息系统建立基本的保护环境，并提供安全保护所要求的附

10、加服务。下面以三级系统为例，展示在安全管理中心支持下的计算环境、区域边界和通信网络三重安全防护结构框架。,26,等保系统整体架构,其它定级系统,计算环境,区域边界,通信网络,安全管理中心,通信网络,区域边界,计算环境,安全管理中心,保护环境框架图,通过在操作系统核心层、系统层设置以强制访问控制为主体的系统安全机制，形成了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障。,保护环境框架图,安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三

11、级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合三级要求的安全功能支持和安全服务。,保护环境框架图,区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是三级信息系统的第二道安全屏障。,保护环境框架图,通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是三级信息系统的外层安全屏障。,保护环境框架图,系统管理子系统 用户身份管理，资源管理，应急处理等。,保护环境框架图,标记管理，授权管理，策略管理等。安全管理子系统通过制定相应的系

12、统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现对整个信息系统的集中管理，为三级信息系统的安全提供了有力保障,保护环境框架图,审计子系统是系统的监督中枢，安全审计员通过制定审计策略，强制实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据。,安全管理流程 安全管理流程主要由安全管理中心的安全管理员系统管理员和系统审计员实施，分别实施系统维护、安全策略部署和审计策略部署等机制。访问控制流程 访问控制流程是在系统运行时执行，实施自主访问控制、强制访问控制等。,主要流程,1）策略初始化流程节点子系统在运行之前，系统管理员

13、确定所有用户的身份、工作密钥、证书等，即确定业务系统正常运行所需要使用的执行程序等资源配置。安全管理员为所有主客体实施标记管理，生成全局客体安全标记列表和全局主体安全标记列表，为主体实施授权管理，生成访问控制列表和级别调整检查列表。安全审计员制定审计策略，实施系统的审计跟踪管理。,2）计算节点启动流程策略初始化完成后，节点系统在启动时需要对所装载的可执行代码进行可信验证，确保其在可执行代码预期值列表中。用户登录系统验证登录用户是否是该节点上的授权用户。下载与该用户相关的系统安全策略，并初始化用户工作空间。,37,全程访问控制,其它定级系统,区域边界,通信网络,网站/应用服务器,交换设备,用户,

14、终端,安全管理中心,通信网络,区域边界,五、安全建设整改技术路线,1）要加强定级对象信息系统整体防护,建设管理中心支持下的计算环境、区域边界、通信网络三重防护体系结构，实施多层隔离和保护，以防止某薄弱环节影响整体安全。,1）要加强定级对象信息系统整体防护 2）要重点做好操作人员使用的终端防护,要在框架体系上解决问题，而不是在一些内部的点上解决问题。要创造可信安全的保护环境，然后在可信的环境中实施各种操作。要重点做好操作人员行为控制，使其不能违规操作，防止发生攻击行为。要改变以往在网络上封堵的观念，首先搞好终端源头的防御这样才能符合人、技术、操作的纵深防御策略，而且将降低建设成本。,1）要加强定

15、级对象信息系统整体防护 2）要重点做好操作人员使用的终端防护 3）要以防内为主，内外兼防,安全保护体系搭建好以后，病毒失去了对系统的攻击能力。三级以上的系统强制访问控制，严格控制了几乎所有的有害程序，并通过校验方法对文件真实性加以验证，使病毒无法发挥作用。要实施自主防御，加强内部的控制，这样可以降低保护成本。要使非法攻击者进不去，进去以后拿不到，拿到了以后也看不懂，想篡改也改不掉。,1）要加强定级对象信息系统整体防护 2）要重点做好操作人员使用的终端防护 3）要以防内为主，内外兼防 4）加强技术平台支持下的安全管理，与日常安 全管理制度相适应,以前的安全管理比较抽象，譬如防火墙和IDS的配置不同，难以理解和管理。我们要求安全管理跟日常的管理一样，规定什么级别的人只能做与其权限相符的事，对照着进行管理就行。应该技术与管理并重，要在技术平台支持下进行管理，才能做到真正的有效管理。,1）要加强定级对象信息系统整体防护 2）要重点做好操作人员使用的终端防护 3）要以防内为主，内外兼防 4）加强技术平台支持下的安全管理，与日常安 全管理制度相适应 5）为便于技术方案实施，整改时不改或少改原 有的应用系统，尤其是用户应用程序不能改,如果对原应用和数据要进行安全设计和改造，那么会涉及整个系统，修改程序就要重新调试系统，是不可行的。,谢 谢!,