二级等保建设方案

乌鲁瓦提水利枢纽管理局机房系

统安全建设

解决方案

深信服科技有限公司

2019年

目录

1背景概述 (3)

1.1建设背景 (3)

1.2文件要求 (3)

1.3参考依据 (3)

2阀门监控系统安全防护意义 (4)

3安全防护总体要求 (4)

3.1系统性 (4)

3.2动态性 (4)

3.3安全防护的目标及重点 (5)

3.4安全防护总体策略 (5)

3.5综合安全防护要求 (6)

3.5.1安全区划分原则 (6)

3.6综合安全防护基本要求 (7)

3.6.1主机与网络设备加固 (7)

3.6.2入侵检测 (7)

3.6.3安全审计 (7)

3.6.4恶意代码、病毒防范 (7)

4需求分析 (8)

4.1安全风险分析 (8)

4.2安全威胁的来源 (9)

5设计方案 (10)

5.1拓扑示意 (11)

5.2安全部署方案 (11)

5.2.1下一代防火墙 (11)

5.2.2终端安全检测响应系统（杀毒） (12)

5.2.3日志审计系统 (14)

5.2.4运维审计系统 (17)

5.2.5安全态势感知系统 (19)

6方案优势与总结 (21)

6.1安全可视 (21)

6.2融合架构 (21)

6.3运维简化 (22)

1背景概述

1.1 建设背景

随着我国信息化的大力发展，信息网络已经由几个孤立的网络发展成一个多连接的信息共享的复杂网络，也正是由于网络的接入共享为不法黑客的入侵系统带来机会，严重影响系统的正常稳定运行和输送。

1.2 文件要求

根据《中华人民共和国网络安全法》，水利相关单位是国家关键信息基础设施和网络安全重点保护单位。监控、数据调度系统网络空间大，涉及单位多，安全隐患分布广，一旦被攻破将直接威胁安全生产。为进一步提高阀门监控系统及调度数据网的安全性，保障阀门监控系统安全，确保安全稳定运行，需满足以下文件要求及原则。

➢满足调度数据网已投运设备接入的要求；

➢满足生产调度各种业务安全防护的需要；

➢满足责任到人、分组管理、联合防护的原则；

➢提高信息安全管理水平，降低重要网络应用系统所面临的的安全风险威胁，保证信息系统安全、稳定的运行，使信息系统在等级保护测评环节基本符合国家信息安全等级保护相应级别系统的安全要求。

1.3 参考依据

本次网络安全保障体系的建设，除了要满足系统安全可靠运行的需求，还必须符合国家相关法律要求，同时基于系统业务的特点，按照分区分域进行安全控制《《计算机信息系统安全保护等级划分准则》（GB17859-1999）。

2阀门监控系统安全防护意义

目前，随着国际形势的日趋复杂，网络空间已经成为继陆、海、空和太空之后第五作战空间，国际上已经围绕“制网权”展开了国家级别的博弈甚至局部网络战争，为了加大网络安全的落实，国家出台了《网络安全法》进一步明确了业务主体单位或个人的法律责任，并于2017年6月1日开始正式实施。

为加强阀门监控系统安全防护，抵御黑客及恶意代码等对阀门监控系统的恶意破坏和攻击，以及非法操作间接影响到系统的安全稳定运行。作为系统的重要组成部分，其安全与系统安全运行密切相关，积极做好阀门监控系统系统安全防护既有利于配合阀门监控系统安全防护工作的实施，确保整个系统安全防护体系的完整性，也有利于为公司提供安全生产和管理的保障措施。

3安全防护总体要求

系统安全防护具有系统性和动态性的特点。

3.1 系统性

其中以不同的通信方式和通信协议承载着安全性要求各异的多种应用。网络采用分层分区的模式实现信息组织和管理。这些因素决定了系统的安全防护是一个系统性的工程。安全防护工作对内应做到细致全面，清晰合理；对外应积极配合上级和调度机构的安全管理要求。

3.2 动态性

阀门监控系统安全防护的动态性由两方面决定。一是通信技术、计算机网络技术的不断发展；二是阀门监控系统系统自身内涵外延的变化。在新的病毒、恶意代码、网络攻击手段层出不穷的情况下，静止不变的安全防护策略不可能满足阀门监控系统网络信息安全的要求，安全防护体系必须采用实时、动态、主动的防护思想。同时阀门监控系统内部也在不断更新、扩充、结合，安全要求也相应

改变。所以安全防护是一个长期的、循环的不断完善适应的过程。如图3-1所示P2DR模型是阀门监控系统安全防护动态性的形象表示。

图3-1 安全防护P2DR动态模型

3.3 安全防护的目标及重点

阀门监控系统安全防护是系统安全生产的重要组成部分，其目标是：

1) 抵御黑客、病毒、恶意代码等通过各种形式对阀门监控系统发起的恶意破坏和攻击，尤其是集团式攻击。

2) 防止内部未授权用户访问系统或非法获取信息以及重大违规操作。

3) 防护重点是通过各种技术和管理措施，对实时闭环监控系统及调度数据网的安全实施保护，防止阀门监控系统瘫痪和失控，并由此导致系统故障。

3.4 安全防护总体策略

➢安全分区

根据系统中业务的重要性和对一次系统的影响程度进行分区，所有系统都必须置于相应的安全区内。

➢网络专用

安全区边界清晰明确，区内根据业务的重要性提出不同安全要求，制定强度不同的安全防护措施。特别强调，为保护生产控制业务应建设调度数据网，实现

与其它数据网络物理隔离，并以技术手段在专网上形成多个相互逻辑隔离的子网，保障上下级各安全区的互联仅在相同安全区进行，避免安全区纵向交叉。

➢综合防护

综合防护是结合国家信息安全等级保护工作的相关要求对阀门监控系统从主机、网络设备、恶意代码方案、应用安全控制、审计、备份等多个层面进行信息安全防护的措施。

3.5 综合安全防护要求

3.5.1安全区划分原则

阀门监控系统系统划分为不同的安全工作区，反映了各区中业务系统的重要性的差别。不同的安全区确定了不同的安全防护要求，从而决定了不同的安全等级和防护水平。

根据阀门监控系统系统的特点、目前状况和安全要求，整个阀门监控系统分为两个大区：监控大区和办公大区。

阀门监控业务区

是指由具有实时监控功能、纵向联接使用调度数据网的实时子网或专用通道的各业务系统构成的安全区域。

控制区中的业务系统或其功能模块（或子系统）的典型特征为：是生产的重要环节，直接实现对一次系统的实时监控，纵向使用调度数据网络或专用通道，是安全防护的重点与核心。

➢办公业务区

办公业务区内部在不影响阀门监控业务区安全的前提下，可以根据各企业不同安全要求划分安全区，安全区划分一般规定。