深信服等级保护2.0的实践思考

等保建设带动安全事业发展有效推动安全保障建设等保为安全建设提供了体系化的有效指导大力促进安全产业发展我国网络安全产业快速增长实施等级保护的意义明确责任和工作方法，让安全防护更加规范改变以往单点防御方式，让安全建设更加体系化提高安全思路和意识，合理分配网络安全投资两个全覆盖•一是覆盖各地区、各单位、各部门、各企业、各机构，也就是覆盖全社会。

除个人及家庭自建网络的全覆盖。

•二是覆盖所有保护对象，包括网络、信息系统，以及新的保护对象，云平台、物联网、工控系统、大数据、移动互联等各类新技术应用。

三个特点•等级保护2.0基本要求、测评要求、安全设计技术要求框架统一，即：安全管理中心支持下的三重防护结构框架。

•通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范。

•把可信验证列入各级别和各环节的主要功能要求。

信息系统信息系统、基础信息网络、云计算平台、大数据平台、 物联网系统、工业控制系统、采用移动互联技术的网络等《信息安全技术 信息系统安全等级保护基本要求》《信息安全技术 网络安全等级保护基本要求》安全要求安全通用要求+安全扩展要求名称变化名称变安全要求 变化定级对象 变化等级保护2.0主要变化（续）等保五个规定动作五个规定动作+新的安全要求技术（物理、网络、主机、应用、数据）+管理技术（物理环境、一中心三防护）+管理技术要求 等 保 2.0安全物理环境 安全通信网络 安全区域边界 安全计算环境 安全管理中心 管理要求 安全管理制度 安全管理机构 安全管理人员 安全建设管理 安全运维管理等 保1.0技术要求 物理安全 网络安全 主机安全 应用安全 数据安全 管理要求 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理• 定级• 备案 • 安全建设 • 等级测评 • 监督检查内容 变化等保1.0等保2.0控制措施 分类结构 变化名称变内容变化• 定级 • 备案• 安全建设 • 等级测评 • 监督检查•安全检测 •通报预警 •案事件调查 •数据防护 •灾难备份 •应急处理 •风险评估2019年5月16日深信服承办等保2.0国标宣贯会公安部网络安全保卫局党委书记王英玮全国信息安全标准化技术委员会杨建军秘书长公安部网络安全保卫局郭启全总工程师中国工程院院士沈昌祥深信服CEO何朝曦大会现场深信服对等级保护2.0的价值认识采用可视化设计，提供多维度安全报表为安全决策提供数据支撑，提升组织安全管理效率。

对企业核心资产、各类威胁与违规行为，网络东西向、南北向流量进行持续检测分析，提升网络整体安全保护能力。

参照防御/检测/响应的安全模型，加强云防护/威胁情报的联动，构建本地协同、云端联动的动态保护体系。

智安全模型智能：智能化地增强防御、检测和响应，智能功能提供了以数据为驱动、以人工智能算法为基础的安全能力防御：保障关键服务的交付。

防护功能提供对潜在网络安全事件进行限制或者控制其造成的影响的能力检测：识别网络安全事件的发生，检测功能提供持续的对网络安全事件进行发现的能力响应：对检测出的网络安全事件进行处置，响应功能提供对潜在网络安全风险事件所造成影响进行控制的能力运营：实现全天候的安全运营，运营功能提供监督、监控企业安全状况、入侵检测和响应网络安全事件的能力防御(P). protect检测(D). detect响应(R). respond运营(O). operate智能(A). Artificial Intelligence深信服等级保护建设规划框架持续保护技术 体系管理 体系 运营体系智能(A) 防御(P) 运营(O)智能流量分析 智能文件分析 日志关联分析 安全数据基线 安全云脑 威胁情报 知识图谱 机器学习检测(D)响应（R ）异常检测 事件检测 安全监控响应计划 事件分析 应急响应 风险管理策略 风险评估 风险处置 资产管理 供应链风险管理 事件管理 业务连续性管理 变更管理 人员意识培训安全架构安全 体系安全 价值安全可视能力持续检测能力 协同防御能力能力 支撑安全 保障安全物理环境物理位置选择 物理访问控制 防盗窃和防破坏 防雷击 防火 防水和防潮 防静电 温湿度控制 电力供应 电磁防护安全通信网络 网络架构 通信传输 可信验证 安全计算环境 身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范 可信验证 数据完整性数据保密性 数据备份恢复 剩余信息保护 个人信息保护安全区域边界 边界防护 访问控制 入侵防范 恶意代码和垃圾邮件防范 安全审计 可信验证 安全管理中心 系统管理 审计管理 安全管理 集中管控安全管理制度 安全管理机构 安全运维管理安全管理人员 安全建设管理 渗透测试基线核查 风险评估 漏洞扫描 应急响应 应急演练 安全培训访问控制 边界防护 加解密 加固 零信任 身份 鉴别 权限深信服等保2.0通用方案设计思路分级分域——划分不同级别安全域 通信网络——网络架构及通信传输区域边界——访问控制及检测防护计算环境——入侵防范及数据安全 管理中心——集中管控及安全审计 二级等保安全产品（服务）列表必选 建议 可选 下一代防火墙 SSL VPN 数据库审计 杀毒软件上网行为管理堡垒机日志审计系统检测探针+感知平台 云端安全服务 风险评估服务三级等保安全产品（服务）列表必选建议可选下一代防火墙 SSL VPN 广域网优化设备 杀毒软件 堡垒机 风险评估服务 日志审计系统负载均衡测试渗透服务上网行为管理 检测探针+感知平台 应急响应服务数据库审计基线核查系统 应急演练服务云端安全服务邮件网关说明：产品（服务）列表主要针对左侧通用场景拓扑情况深信服智安全产品/服务全景图●下一代防火墙 AF●入侵防御系统 IPS ●Web 应用防火墙 WAF●终端检测响应平台EDR●企业移动管理 EMM边界安全终端安全●风险评估服务●渗透测试服务●漏洞扫描服务●等级保护咨询●整体安全规划设计安全评估安全规划咨询●漏洞管理服务●威胁监测与主动响应 ●应急响应服务●应急演练服务安全运营应急响应有效保护的安全产品人机共智的安全服务●一体化安全平台 XSec ●云端安全服务 SaaS合规类安全产品●上网行为管理 AC ●SSL VPN身份与访问安全●安全感知平台 SIP●安全云图 X-Central ●数据库审计 DAS威胁检测安全审计与运营●运维堡垒机 OSM ●日志审计系统 LAS●基线核查系统 BVT合规审计风险评估云安全●网闸 GAP/光闸 FGAP安全隔离深信服智安全架构——深信服产品研发交付能力矩阵及产品创新方向产品、技术围绕智安全架构能力交付矩阵进行持续创新安全能力 智安全交付AI 防御 检测 响应 运营 云安全云脑 安全云图 网下一代防火墙上网行为管理/行为感知系统SSL VPN/商密VPN 安全感知平台SD-WAN端企业移动管理 终端安全检测与响应安全服务 云眼/云盾威胁分析与处置服务（MDR ）安全托管服务（MSS ）防御(P). protect检测(D). detect响应(R). respond运营(O). operate智能(A). Artificial IntelligenceAPDRO 风险管理模型案例分享-政府一、项目背景XX省安监，根据国家安监局下发的《关于印发全国安全生产“一张图”地方建设指导意见书的通知》的要求，建设“安监云”应用。

二、需求分析1.安全设备使用年限长，侧重访问控制式的防御，无法发挥深度防御的价值，同时无法主动应对日益多样化的高级威胁；2. 业务上云，缺乏灵活的保护措施；3. 需要满足三级等保合规要求；三、结合等保2.0思想的方案设计1. 安全区域边界：在各重要网络节点将传统防火墙升级为下一代防火墙，提供应用级内外双向防护，构建主动防御体系。

2. 安全通信网络：应用商密SSL VPN，实现移动办公的端到端的安全接入，避免移动引入高级威胁，并符合等保2.0移动互联安全建设要求。

3. 云安全：应用了安全服务平台，实现按需申请、自由编排安全组件，不但合规，且充分适应了云的灵活性要求。

4. 安全运维管理：应用态势感知平台，不但实现全局运营，同事帮助用户实时监测高级威胁，实现发现、及时处置安全事件。

“云安全服务平台（等保场景）”创新方案出口网络/安全设备云安全服务平台核心交换安全运营服务安全运营服务安全运营服务下一代防火墙 下一代防火墙 下一代防火墙 上网行为管理日志审计系统上网行为管理数据库审计杀毒软件 广域网优化 日志审计系统数据库审计 负载均衡杀毒软件 负载均衡堡垒机 SSL VPN流量编排等保二级合规模板 出口边界安全模板 等保三级合规模板 VM 数据库Web 服务 杀软/EDRVM 数据库Web 服务 杀软/EDRVM 数据库Web 服务 杀软/EDRIT 基础设施（云环境、物理环境）二级区域三级区域其他区域用户可根据实际业务需求情况，自定义模板或安全组件安全运营服务下一代防火墙 入侵防御系统WEB 防火墙 漏洞扫描自定义 安全模板案例分享-医疗一、项目背景XX大学附属医院作为XX省重要公立医院，其在投资建设新院区，而其老院区已深受勒索病毒的侵袭。

二、需求分析1. 充分保障挂号、就诊、影像等所有核心系统不受勒索病毒侵袭。

2. 实现老院区到新院区的跨区安全，即使老院区出安全事件，也不能影响新院区；3. 按照等保三级要求进行规划设计。

三、结合等保2.0思想的方案设计1. 两套网络，内外网两套逻辑隔离网络；2. 分级分域，新老院区边界安全隔离防护；3. 规划潜伏威胁探针加强检测能力、可视化能力，并借助EDR做终端检测响应，有效应对新型威胁。

等保2.0关键技术要求-恶意代码防范安全计算环境恶意代码防范：应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。

入侵防范：能够检测恶意代码感染及在虚拟机间蔓延的情况，并进行告警（云安全扩展要求）安全管理中心集中管控：应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。

《2018年我国互联网网络安全态势综述》2018年CNCERT捕获勒索软件近14万个，活跃勒索软件数量呈现快速增长势头，且更新频率和威胁广度都大幅度增加…GandCrab 全年出现了约 19 个版本。

有效防范勒索病毒终端闭环预防、预测组织、防护 响应、调查检测、监控基线系统Baseline systems人工智能 SAVE 引擎预测攻击 Predict attacks系统漏洞检测 主动风险分析 Proactive risk analys阻止事件 Prevent issues 一键隔离 转移攻击者 Divert attacks 勒索诱捕 强化和隔离系统Harden and isolate systems微隔离 文件修复修复与进行变更Remediate/Make change网端联动持续迭代设计/模式变更Design/Model change溯源分析调查与取证Investigate Forensics检测事件 Detect issues 文件实时监控 主动扫描 抑制事件 Contain issues终端围剿式查杀 确认风险并按优先级排列 Confirm and prioritize risk威胁等级分类安全基线核查案例分享-教育一、项目背景XX大学由教育部直属、中央直管，是中国著名顶级学府之一。