安全域划分及防护

目录

安全域划分及防护规范 ............................................................................................... 错误!未定义书签。

一. 概述 (3)

1.1适用范围 (3)

1.2引用标准 (3)

二. XX证券信息系统概述 (4)

三.安全域划分规范 (6)

3.1划分原则 (6)

3.2安全域划分 (9)

3.2.1网络外部域 (10)

3.2.2网络接入域 (10)

3.2.3网络核心域 (11)

3.2.4计算域 (11)

3.2.5管理用户域 (12)

3.2.6安全支撑域 (12)

3.2.7边界描述 (12)

四.安全域保护定级 (15)

五.安全域防护策略 (18)

5.1 XX证券信息系统防护策略 (18)

5.2网络核心域防护 (18)

5.2.1边界防护策略 (18)

5.2.2边界5的防护策略 (19)

5.2.3边界6的防护策略 (19)

5.2.4边界7、8的防护策略 (20)

5.2.5边界9的防护策略 (21)

5.2.6内部防护策略 (22)

5.3网络接入域的防护 (24)

5.3.1边界防护策略 (24)

5.3.2 互联网接入域 (25)

5.3.3外联网接入域1的防护策略 (27)

5.3.4外联网接入域2的防护策略 (28)

5.3.5内联网接入域的防护策略 (30)

六. 总结 (31)

一. 概述

1.1 适用范围

本文档是根据xx证券公司2008年网络安全评估项目的要求，结合xx证券网络的建设现状，制定了安全域划分框架，并在此基础上制定了安全域的保护等级以及对应的安全防护规范。

本文档为xx证券信息网络的安全规划和工程建设提供了依据，可用来指导构建详细的安全技术防护体系和安全产品部署方案。

本文档面向xx证券公司信息系统的管理者和信息系统安全的工程技术人员。

1.2 引用标准

●《关于加强信息安全保障工作的意见》（中办、国办[2003]27号文）

●公安部、保密局、机要局、国务院信息办联合下发的《关于信息安全等级

保护工作的实施意见》（公通字【2004】66号文）

●国务院信息办信息安全风险评估课题组编制的《信息安全风险评估研究报

告》

●美国国家标准和技术研究所（NIST，National Institute of Standards

and Technology）制订的SP 800系列文档：《IT系统安全自评估指南》、

《IT系统风险管理指南》、《联邦IT系统安全认证和认可指南》、《信息系

统安全规划指南》等，/publications/nistpubs/

●美国国家安全局，信息保障技术框架IATF（Information Assurance

Technical Framework），V3.1版，

●《计算机信息系统安全保护等级划分准则》（GB 17859）

●公安部GA/T 387-391-2002系列标准，计算机信息系统安全等级保护操

作系统技术要求、管理要求、通用技术要求、网络技术要求、数据库管理

系统技术要求

二.xx证券信息系统概述

xx证券信息网络整体逻辑如图。从图中可以看出，xx证券网络采取星型的网络拓扑结构，由双核心交换机为核心连接银行、灾备中心、深沪交易所、营业部、互联网和业务系统，同时还连接相关网络系统。该图仅说明系统之间的连接关系，对设备间的具体连接、与外部系统的连接、以及系统内部的组成情况都进行了简化。

xx证券网络由4大部分组成，具体如下：

1）位于总公司机房的核心交换机，由两台CISCO4006热备，是网络的核心部分。

2）业务系统，包括网上行情、交易系统、银证转帐等，是xx证券网络的主要业务系统。

3）网管系统，对公司信息系统进行管理。

4）对外连接的相关系统，包括：银行系统、深沪交易所、灾备中心、营业部、互联网，核心交换作为xx证券网络的核心，连接了所有的相

关系统。

xx证券核心交换和主要业务系统的物理实体集中在总公司机房，在机房中提

供业务系统的接入，同时提供主要的对外连接接口以及网络管理的连接。由上图

我们可以看出，信息系统必须与其他系统实现网络互通和信息共享与交互。在这种应用需求下，使得不同的外部网络、不同身份和目的的人都有机会连接到xx证券内部网络中，从而对信息系统的安全带来了威胁。从xx证券网络环境的层面而言，信息系统的安全威胁主要来自以下几个方面。

1.来自内部误用和滥用的安全威胁，包括:各种调查都显示来自于内部的误用(操作)和滥用对企业网络和业务的影响都是最为致命的。而这类误用和滥用，与公司内部不同IT系统或者与其他相关系统的互联互通、合作伙伴之间的互联互通、与客户或者厂商的互联互通所采取的安全措施不利是有非常大关系的;

2.来自互联网的安全威胁:目前网上交易系统、网上行情系统等系统是与互联网相连的，如果安全措施不力就很有可能被黑客利用，带来网络安全问题;

3.来自缺省配置的安全威胁:在建设IT系统时，大量的UNIX/WINDOWS等系统很多都采用缺省配置，造成开放不必要的端口等安全隐患，如果对其IT局域网架构缺乏安全边界的划分，而又没有采取一个可集中控制访问请求的措施，则很容易被不法分子利用进行非法入侵。

三.安全域划分规范

3.1 划分原则

信息系统安全体系的最终目标就是在技术可行和管理可行的前提下，将安全风险和隐患降低到一个可以接收的水平。要实现这一目标，需要解决的问题不仅仅是选购何种品牌的防火墙、IDS和考虑在何处安装这些安全设备，更是需要综合