文档介绍：信息系统安全保障
杭州市基础信息安全测评认证中心
主要内容
信息安全现状
1
信息系统安全保障体系
2
安全保障技术要求
安全保障管理要求
4
3
用灭火设备，使用水喷淋灭火
某单位机房——设备及线路安全
机房拥挤，主机摆放随意：地板上、桌子上
设备无标签，布线凌乱，弱电/强电线路混合
某单位机房——防盗、防尘
机房临街，未安装防盗窗
经常开窗，机房内存在较多灰尘
物理环境安全——案例
物理环境安全——案例
具体安全要求
机房的外部环境条件、照明、接地、供电、建筑结构、介质存放、监视防护设备等应满足GB/T 2887《电子计算机场地通用规范》~；
机房的选址、防火、供配电、消防设施、防水、防静电、防雷击应满足GB/T 9361《计算机场地安全要求》4～8节的要求，在防火、防雷、防静电、安防监控等方面时，应经过相关专业机构的检测。
物理环境安全——机房环境
其它具体要求
提供合理的短期备用电力供应
设备防盗、防毁措施；
通讯线路连接、设备标签、布线合理性；
机房出入口配置门禁系统及监控报警系统；
机房出入记录，记录内容包括人员姓名、出入日期和时间，操作内容，携带物品等。
物理环境安全——设备及监控
安全技术要求之——网络结构安全
网络
结构
内部结构——应根据应用需求在划分内网/外网、终端接入区/服务器区等区域，并在相关网络设备中配置安全策略进行隔离；
外部边界——应根据安全需求在系统与Internet、政务外网、业务专网等外部网络的互连处配置网关设备实施访问控制，并对通信及操作事件进行审计。
典型案例
某单位外网防火墙：将多台内部服务器的Oracle数据库服务端口、内部核心业务应用系统Web服务端口直接开放至Internet (1年前开发商调试遗留)
某单位连接下属机构的专网防火墙：将业务服务器的所有网络端口不加区分地全部向区县分局开放
某单位基于Internet的VPN接入设备：对VPN用户的认证口令易猜测（单位名称缩写），可轻易接入该单位局域网。
某单位内网：服务器区和终端接入区仅划分了不同VLAN，无访问控制规则，无法防止病毒及蠕虫的传播及内部非授权人员的访问。
网络结构安全——案例
具体安全要求
应对网络边界上部署的网络隔离设备中根据应用需求设置合理的访问控制规则，合理开放对外服务
应对系统内部服务器区域进行划分及隔离，在终端计算机与服务器之间进行访问控制，建立安全的访问路径。
当有重要信息通过公共网络进行传输时，应在传输线路中配置加密设备，以保证信息传输的保密性；
禁止内部网络用户未授权与外部网络连接；如提供远程拨号或移动用户连接，应在系统入口处配置鉴别与认证服务器。
禁止非授权设备接入内部网络，尤其是服务器区域。
网络结构安全——要求
安全技术要求之——网络设备安全
网络
设备
根据系统安全策略和维护需求设置合理的设备自身安全配置：
版本更新与漏洞修补
版本信息保护
身份鉴别
链接安全
配置备份
安全审计
典型案例
某单位Internet防火墙：将防火墙所有管理界面（Web/Telnet/SSH）开放至Internet，且未修改出厂默认管理员密码（天融信：superman/talnet）
某单位Cisco核心交换机：使用多年的Cisco交换机，IOS版本未升级，存在可遭受拒绝服务攻击的漏洞
某单位所有Cisco交换机：未在设备配置中对管理员密码进行加密；且配置文件曾被多人拷贝，可通过配置文件破解管理员密码。
网络设备安全——案例
具体安全要求（以路由器交换机为例）
保持路由器/交换机软件版本的更新，修补高风险的漏洞；（软件更新)
禁止与应用无关的网络服务，关闭与应用无关的网络接口；( 最少服务)
对登录的用户进行身份标识和鉴别，身份标识唯一，不反馈鉴别信息；
修改路由器/交换机默认用户的口令或禁止默认用户访问，用户口令应满足长度和复杂性要求，并对配置口令进行加密保护；（用户管理,最小权限)
当登录连接超时，应自动断开连接，并要求重新鉴别；
网络设备安全——要求
具体安全要求
对能够登录路由器/交换机的网络地址进行限制，关闭与应用无关的远程访问接口；(访问控制)
对登录提示信息进行设置，不显示路由器/交换机型号、引擎版本、部门信息等；
对路由器/交换机配置进行备份，且对备份文件的读取实施访问控制；
开启路由器/交换机日志功能，对修改访问控制列表、调整设备配置的操作行为进行审计记录。(安全审计)
网络设备安全——要求
安全技术要求之——操作系统安全