某水利水电工程管理单位网络安全二级等保解决方案

网络安全二级等保
解
决
方
案
二零二一年十一月
目录
1. 背景概述 (1)
1.1 建设背景 (1)
1.2 参考依据 (2)
2. 网络系统安全防护意义 (2)
3. 现状分析与需求分析 (2)
3.1 业务现状 (2)
3.2 需求分析 (3)
3.2.1 通信网络安全风险与需求分析 (3)
3.2.2 区域边界安全风险与需求分析 (5)
3.2.3 计算环境安全风险与需求分析 (5)
3.2.4 安全管理需求分析 (8)
4. 设计方案 (8)
4.1 概述 (8)
4.2 安全部署方案 (9)
4.2.1 下一代防火墙 (9)
4.2.2 入侵防御系统 (9)
4.2.3 上网行为管理 (10)
4.2.4 日志审计系统 (10)
4.2.5 运维审计系统堡垒机 (11)
4.2.6 数据库审计系统 (11)
4.2.7 网络防病毒系统 (12)
4.2.8 备份一体机 (12)
4.2.9 统一身份管理系统 (13)
5. 方案优势与总结 (14)
5.1 安全可视 (14)
5.2 融合架构 (14)
5.3 运维简化 (14)
1. 背景概述
1.1 建设背景
随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。

有很多是敏感信息，甚至是国家机密。

所以难免会吸引来自世界各地的各种人为攻击（例如信息泄漏、信息窃取、数据篡改、数据删添、计算机病毒等）。

贵公司处于一个信息和技术密集型的行业，其计算机网络是一个完善的办公网络系统，作为一个现代化业务网络，除了要满足内部自动化办公需求以外，还应对外界的通讯保证畅通。

结合水利复杂的应用系统，要求网络必须能够满足数据、语音、图像等综合业务的传输要求，所以在这样的网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。

同时水利网络系统连接着省级，市级以及地方机构，访问人员比较复杂，所以如何保证网络系统中的数据安全问题尤为重要。

在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。

由于网络设备、计算机操作系统网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。

我们可以想象一下，对于一个需要高速信息传达的业务系统，如果遇到致命攻击，会给社会造成多大的影响。

所以，如何保证系统及数据安全是我们不容忽视的长期问题。

在水利工程的信息化建设过程中，信息安全的建设虽然只是一个很小的部分，但其重要性不容忽视。

便捷、开放的网络环境，是业务系统信息化建设的基础，在数据传递和共享的过程当中，数据的安全性要切实地得到保障，才能保障信息化业务的正常运行。

然而，我们的数据却面临着越来越多的安全风险，时刻对业务的正常运行带来威胁。

所以，在本单位信息化建设过程中，我们应当正视可能面临的各种安全风险，对网络威胁给予充分的重视。

为了业务系统信息网络的安全稳定运行，确保信息系统建设项目的顺利实施，结合具体的网络和应用系统悄况，作为有着丰富大型安全项目实施经验的公司，将以极大的信心和饱满的热情，根据本单位目前的计算机信息网络特点及安全需求，结合等保2.0二级建设要求，本着切合实际、保护投资、着眼未来的原则，提出本技术方案。

1.2 参考依据
本方案主要依据以下法律、法规，方案进行设计：
《全国信息化建设标准与规范》
《信息安全技术网络安全等级保护基本要求》( GB/T 22239-2019)
《信息安全技术网络安全等级保护安全设计技术要求》(GB/ T 25070-2019)
《信息安全技术网络安全等级保护测评要求》( GB/ T 28448- 2019)
《信息安全技术网络安全等级保护测评过程指南》(GB/ T 28449-2018)
《信息安全技术网络安全等级保护实施指南》(GB/ T 25058- 2019)
2. 网络系统安全防护意义
目前，随着国际形势的日趋复杂，网络空间已经成为继陆、海、空和太空之后第五作战空间，国际上已经围绕“制网权”展开了国家级别的博弈甚至局部网络战争，为了加大网络安全的落实，国家出台了《网络安全法》进一步明确了业务主体单位或个人的法律责任，并于2017 年6 月1 日开始正式实施。

为加强网络系统安全防护，抵御黑客及恶意代码等对网络系统的恶意破坏和攻击以及非法操作间接影响到系统的安全稳定运行，必须积极做好网络系统安全防护，这不仅有利于配合系统安全防护工作的实施，确保整个系统安全防护体系的完整性，也有利于为公司提供安全生产和管理的保障措施。

3. 现状分析与需求分析
3.1 业务现状
本网络系统计划将先进的数字化技术应用于各类信息的数字化采集、处理、存储、传输、共享和检索，实现业务数字化、过程数字化、管理流程数字化、服务方式数字化和沟通形式数字化，从而提高公司的经营效益和核心竞争力，支持公司健康、持久的发展。

在这个实现过程中，公司的信息化面临诸多挑战：
（1）网络边界模糊，信息融合带来巨大压力
传统网络严格进行内外网物理隔离，并且控制网络的使用边界。

但现在这些发生了变化。

监控、下级机构信息直报、移动设备、员工上网等业务的开展，使得任何人在任何地点、任何时间都有可能跟总部进行业务交互以获取信息，传统的边界变得模糊。

同时新的业务上线和开展，带来了成指数增长的业务压力。

（2）安全边界外延，传统防御方式应对无力
传统的安全防御体系功能正在减弱，新科技、新技术给公司业务带来便利的同时，正成为新的安全隐患。

同时，国家对个人信息的重视程度正在与日加强。

为应对各类复杂的安全问题，公司积极开展无线设备等移动应用，但整个信息系统的安全离不开一个安全的网络环境。

国家对安全等级保护政策的推行会一直持续下去，如何既符合政策要求，又满足业务需要，是需要解决的棘手问题。

（3）业务应用复杂，管理维护成难题
现代业务系统越来越精细化、复杂化，支撑业务的IT 资源众多，借助合理化的工具将有限的管理资源投入到无限扩张的业务系统上是当前的选择，降低管理成本，提升管理和维护效率。

3.2 需求分析
依据《全国信息化建设标准与规范》，结合等保二级建设标准，开展网络安全建设工作，全方位地为公司的业务系统提供立体、纵深的安全保障防御体系，保证信息系统整体的安全保护能力。

3.2.1 通信网络安全风险与需求分析
公司通信网络的安全主要包括：网络结构安全、网络安全审计、网络设备防护、通信完整性与保密性等方而。

（1）网络结构
网络结构是否合理直接影响着是否能够有效的承载业务需要。

因此网络结构需要具
备一定的冗余性；带宽能够满足业务高峰时期数据交换需求，并合理的划分网段和VLAN。

（2）网络安全审计
由于用户的计算机相关的知识水平参差不齐，一旦某些安全意识薄弱的管理用户误操作，将给信息系统带来致命的破坏。

没有相应的审计记录将给事后追查带来困难。

有必要进行基于网络行为的审计。

从而威慑那些心存侥幸、有恶意企图的少部分用户，以利于规范正常的网络应用行为。

（3）网络设备防护
由于在建网络系统将会使用大量的网络设备和安全设备，如交换机、防火墙、入侵检测设备等。

这些设备的自身安全性也会直接关系到各种网络应用的正常运行。

如果发生网络设备被不法份子攻击，将导致设备不能正常运行。

更加严重情况是设备设置被篡改，不法份子轻松获得网络设备的控制权，通过网络设备作为跳板攻击服务器，将会造成无法想象的后果。

例如，换机口令泄漏、防火墙规则被篡改、入侵检测设备失灵等都将成为威胁网络系统正常运行的风险因素。

（4）通信完整性与保密性
由于网络协议及文件格式均具有标准、开发、公开的特征，因此数据在网上存储和传输过程中，不仅仅面临信息丢失、信息重复或信息传送的自身错误，而且会遭遇信息攻击或欺诈行为，导致最终信息收发的差异性。

因此，在信息传输和存储过程中，必须确保信息内容在发送、接收及保存的一致性；并在信息遭受篡改攻击的情况下，应提供有效的察觉与发现机制，实现通信的完整性。

而数据在传输过程中，为能够抵御不良企图者采取的各种攻击，防止遭到窃取，应采用加密措施保证数据的机密性。

（5）网络可信接入
对于一个不断发展的网络而言，为方便办公，在网络设计时保留大量的接入端口，这对于随时随地快速接入到业务网络进行办公是非常便捷的，但同时也引入了安全风险，一旦外来用户不加阻拦的接入到网络中来，就有可能破坏网络的安全边界，使得外来用户具备对网络进行破坏的条件，由此而引入诸如蠕虫扩散、文件泄密等安全问题。

因此需要对非法客户端实现禁入，能监控网络，对没有合法认证的外来机器，能够阻断其网络访问，保护好已经建立起来的安全环境。

3.2.2 区域边界安全风险与需求分析
区域边界的安全主要包括．边界访问控制、边界完整性检测、边界入侵防范以及边界安全审计等方面。

（1）边界访问控制
对于各类边界最基本的安全需求就是访问控制，对进出安全区域边界的数据信息进行控制，阻止非授权及越权访问。

（2）边界完整性检测
边界的完整性如果被破坏则所有控制规则将失去效力，因此需要对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查，维护边界完整性。

（3）边界入侵防范
各类网络攻击行为既可能来自于大家公认的互联网等外部网络，在内部也同样存在。

通过安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS 等实现对网络层以及业务系统的安全防护，保护核心信息资产的免受攻击危害。

（4）边界安全审计
在安全区域边界需要建立必要的审计机制，对进出边界的各类网络行为进行记录与审计分析，可以和主机审计、应用审计以及网络审计形成多层次的审计系统。

并可通过安全管理中心集中管理。

（5）边界恶意代码防范
现今，病毒的发展呈现出以下趋势：病毒与黑客程序相结合、蠕虫病毒更加泛滥，目前计算机病毒的传播途径与过去相比已经发生了很大的变化，更多的以网络（包括Internet、广域网、局域网）形态进行传播，因此为了安全的防护手段也需以变应变。

迫切需要网关型产品在网络层面对病毒予以查杀。

3.2.3 计算环境安全风险与需求分析
计算环境的安全主要指主机以及应用层面的安全风险与需求分析，包括：身份鉴别、访
问控制、系统审计、入侵防范、恶意代码防范、软件容错、数据完整性与保密性、备份与恢复、资源合理控制、剩余信息保护、抗抵赖等方面。

（1）身份鉴别
身份鉴别包括主机和应用两个方而。

主机操作系统登录、数据库登陆以及应用系统登录均必须进行身份验证。

过于简单的标识符和口令容易被穷举攻击破解。

同时非法用户可以通过网络进行窃听，从而获得管理员权限，可以对任何资源非法访问及越权操作。

因此必须提高用户名／口令的复杂度，且防止被网络窃听；同时应考虑失败处理机制。

（2）访问控制
访问控制包括主机和应用两个方而。

访问控制主要为了保证用户对主机资源和应用系统资源的合法使用。

非法用户可能企图假冒合法用户的身份进入系统，低权限的合法用户也可能企图执行高权限用户的操作，这些行为将给主机系统和应用系统带来了很大的安全风险。

用户必须拥有合法的用户标识符，在制定好的访问控制策略下进行操作，杜绝越权非法操作。

（3）系统审计
系统审计包括主机审计和应用审计两个方而。

对于登录主机后的操作行为则需要进行主机审计。

对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，便与日后的分析、调查、取证，规范主机使用行为。

而对于应用系统同样提出了应用审计的要求，即对应用系统的使用行为进行审计。

重点审计应用层信息，和业务系统的运转流程息息相关。

能够为安全事件提供足够的信息，与身份认证与访问控制联系紧密，为相关事件提供审计记录。

（4）入侵防范
主机操作系统面临着各类具有针对性的入侵威胁，常见操作系统存在着各种安全淄洞漏洞，并且现在漏洞被发现与漏洞被利用之间的时间差变得越来越短，这就使得操作系统本身的安全性给整个系统带来巨大的安全风险，因此对于主机操作系统的安装，使用、维护等提出了需求，防范针对系统的入侵行为。

（5）恶意代码防范
病毒、蠕虫等恶意代码是对计算环境造成危害最大的隐患，当前病毒威胁非常严峻，特别是蠕虫病毒的爆发，会立刻向其他子网迅速蔓延，发动网络攻击和数据窃密。

大量占据正常业务十分有限的带宽，造成网络性能严重下降、服务器崩溃甚至网络通信中断，信息损坏或泄露。

严重影响正常业务开展。

因此必须部署恶意代码防范软件进行防御，同时保持恶意代码库的及时更新。

（6）软件容错
软件容错的主要目的是提供足够的冗余信息和算法程序，使系统在实际运行时能够及时发现程序设计错误，采取补救措施，以提高软件可靠性，保证整个计算机系统的正常运行。

（7）数据安全
主要指数据的完整性与保密性。

数据是信息资产的直接体现。

所有的措施最终无不是为了业务数据的安全。

因此数据的备份十分重要，是必须考虑的问题。

应采取措施保证数据在传输过程中的完整性以及保密性，保护鉴别信息的保密性。

（8）备份与恢复
数据是信息资产的直接体现。

所有的措施最终无不是为了业务数据的安全。

因此数据的备份十分重要，是必须考虑的问题。

对于关键数据应建立数据的备份机制，而对于网络的关键设备、线路均需进行冗余配置，备份与恢复是应对突发事件的必要措施。

（9）资源合理控制
资源合理控制包括主机和应用两个方而。

主机系统以及应用系统的资源是有限的，不能无限滥用。

系统资源必须能够为正常用户提供资源保证。

否则会出现资源耗尽、服务质量下降甚至服务中断等后果。

因此对于系统资源进行控制，制定包括：登陆条件限制、超时锁定、用户可用资源阙值设置等资源控制策略。

（10）剩余信息保护
对于正常使用中的主机操作系统和数据库系统等，经常需要对用户的鉴别信息、文件、目录、数据库记录等进行临时或长期存储，在这些存储资源重新分配前，如果不对其原使用
者的信息进行清除，将会引起用户信息泄漏的安全风险，因此，需要确保系统内的用户鉴别信息文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全消除。

对于动态管理和使用的客体资源，应在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄漏。

（11）抵赖性
对于数据安全，不仅而临机密性和完整性的问题，同样还而临着抗抵赖性（不可否认性）的问题，应采用技术手段防止用户否认其数据发送和接收行为，为数据收发双方提供证据。

3.2.4 安全管理需求分析
“三分技术、七分管理”更加突出的是管理层面在安全体系中的重要性。

除了技术管理措施外，安全管理是保障安全技术手段发挥具体作用的最有效手段，建立健全安全管理体系不但是国家等级保护中的要求，也是作为一个安全体系来讲，不可或缺的重要组成部分。

安全管理体系依赖于国家相关标准、行业规范、国际安全标准等规范和标准来指导，形成可操作的体系。

主要包括：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

根据等级保护的要求在上述方面建立一系列的管理制度与操作规范，并明确执行。

4. 设计方案
本方案重点描述网络系统等与业务直接相关部分的安全防护。

方案实现的防护目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，以及其它非法操作，防止网络系统瘫痪和失控，并由此导致的系统事故。

4.1 概述
操作系统安全是计算机网络系统安全的基础，而服务器上的业务数据又是被攻击的最终目标，因此，加强对关键服务器的安全控制，是增强系统总体安全性的核心一环。

对网络系统关键服务器实现主机加固，合理配置检测规则。

强制进行权限分配，保证对系统资源（包括数据和进程的）访问符合制定的主机安全策略，防止主机权限被滥用。

4.2 安全部署方案
4.2.1 下一代防火墙
随着云计算、大数据、物联网、移动互联网、人工智能等新兴技术的不断发展，ICT网络环境持续变化。

网络安全威胁的范围和内容不断扩大和演变，僵尸网络、钓鱼网站、分布式拒绝服务(DDoS攻击)等网络安全威胁有增无减，勒索软件、高级持续威胁(APT攻击)等新型网络攻击愈演愈烈，网络攻击趋向复杂化、系统化、高级化、规模化。

下一代防火墙作为网络安全的第一道防线，能积极适应这些变化，融合更多更有效的安全检测、防护能力。

在互联处部署下一代防火墙。

安全建设充分考虑到广域网组网、运行过程中潜在的安全问题及可靠性问题，通过下一代防火墙，综合事前、事中、事后一体化安全运营中心，实现广域网安全组网、广域网流量清洗的防护效果，确保广域网高安全和高可用。

4.2.2 入侵防御系统
通过采用串联部署方式，能够实时检测和阻断包括：溢出攻击、RPC攻击、WebCGI攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等在内的11大类网络攻击行为。

业务系统全面防护，提升安全性及合规性：覆盖L2~L7层深度入侵防护功能，实时阻断针对业务系统服务器和软件的各种黑客攻击，如缓冲区溢出、SQL注入、暴力猜测、拒绝服务、扫描探测、非授权访问、蠕虫病毒等，保障业务系统的持续可靠运转。

有助于组织客户满足等级保护、分级保护以及相关行业法规的要求，增强合规能力。

URL防护，实现主动防御：基于URL过滤、木马检测等技术为内网终端提供网关级的挂马网站防护能力，细粒度的上网行为管理解决方案能够有效降低终端通过P2P下载、IM即时通信等互联网应用传输恶意软件的几率，减少网络安全隐患。

流量可视化，网络安全感知：通过系统提供的流量分析、应用识别和攻击检测功能，客户可以清晰、直观地感知网络内的流量异常变化、应用构成情况以及存在的攻击和违规行为，为制定安全策略提供有力的信息支撑。

用户资源保护，提高投资回报率：基于精确应用识别的全面流量控制功能，管控非业务流量，保证关键应用全天候畅通无阻，提高带宽资源利用率。

细粒度的上网行为管理有效约束员工的网络使用习惯，提高工作效率。

4.2.3 上网行为管理
上网行为管理系统综合考虑各行业客户需求，为客户提供安全策略、链路负载、身份认证、流量管理、行为管控、上网审计、日志追溯、网监对接、用户行为分析、VPN等实用功能。

符合政策要求：
根据公安部33号令第八条、82号令第八条、151号令第九到十七条、《网络安全法》、等保2.0等相关条例，提供联网的单位、场所须落实安全审计措施、安装安全审计设备。

提高工作效率：
现在基本所有企事业单位都能上网，工作中购物、看视频、聊天等严重影响工作效率，对于一个企业而言工作效率意味着战斗力，意味着产出，而上网行为管理设备能帮助客户提高工作效率，解决问题。

优化带宽利用：
对于企事业而言，带宽资源相对成本较高，而往往带宽被与工作无关的事情占用，导致关键业务得不到保障。

尤其现在流行短视频如抖音、快手等抢占着带宽。

我们设备不仅可以对各类应用做识别实现阻断、限速还可以针对客户关键业务比如云访问、视频语音实现保障。

减少投入成本：
对于客户来说，花很少的钱，既能解决自己的实际问题，同时还能满足网监对接要求，部署上网行为管理系统是性价比很高的解决方案。

4.2.4 日志审计系统
日志审计系统采用主被动结合技术手段，7*24小时实时采集网络中安全设备、网络设备、服务器资源和应用系统的日志，实时感知全网安全势态；系统支持集中存储和分布式集群存储方式，实现海量日志全生命周期存储管理；通过对日志的采集、分析、存储、备份、查询、实时汇总分析和报表汇总实现对海量日志全生命周期管理；是一款满足合规需求和日常运维需求的利器。

日常运维有力支撑：通过系统自动化的对海量日志采集、存储、分析、统计，可以及时
发现IT系统中的安全隐患，安全防御的薄弱环节，同时解决人工效率低下以及面对海量数据人工无法进行管理的难题；系统内置的丰富统计报表、可视化视图能够直观展示安全事件的态势，IT运维管理员通过日志审计定期发送的日志报表知悉全网事件分布、来源和目标；原始日志存档为后期取证提供了不可抵赖的证据，是运维人员日常运维中不可或缺的技术支撑。

轻松实现海量日志全生命周期管理：通过部署日志审计能够对全网设备、应用日志实现7*24小时不间断快速采集、分析和存储，无需人工干预即可实现日志自动化管理，为后续日志取证、分析和合规提供事件仓库。

通过系统可扩展的日志存储机制保障有日志必存、日志可永久存档，无需考虑存储限制；同时灵活的存储机制提供按日志重要程度独立设置日志保存时间。

合规检查必备利器：系统满足等级保护、分级保护、金融行业监管条例、82号令以及国能安全36号文件等合规性要求，为用户开展合规性建设工作提供技术支撑。

通过系统内置的合规性分析策略用户可以对全网的安全事件进行全方位、多视角、细粒度的实时监测、分析、调查、追溯，动态了解系统的合规情况，通过部署日志审计完美满足合规性要求。

安全事件快速定位追踪：日志检索引擎可以根据用户需求进行快速检索目标日志，100亿级别日志追踪检索只需要10秒时间即可返回结果；通过IP地址定位可以实现可疑目标快速追踪。

4.2.5 运维审计系统堡垒机
堡垒机是面向政府、企事业单位等组织机构推出的兼具运维管理和合规审计的解决方案。

在合规审计方面，堡垒机通过集中化账号管理、高强度认证加固、细粒度授权控制和多形式审计记录，使内部人员、第三方人员的操作处于可管、可控、可见、可审的状态下，规范运维的操作步骤，避免误操作和非授权操作带来的隐患，有效保障组织机构的服务器、虚拟机、网络设备、安全设备、数据库、业务系统等资产的安全运行和数据的安全使用。

在运维管理方面，堡垒机以单点登录为核心，运维代理技术为支撑，通过高可用的部署方式，对用户提供跨平台资产管理、自动化运维和运维分析报表等运维管理工具。

4.2.6 数据库审计系统
数据库审计系统采用旁路方式部署，是规范数据库操作行为、满足合规审计的最佳实践。