信息系統等級保護實施方案研究與分析

張都樂 何淼 張洋 王照付

中國石油天然氣管道工程有限公司 河北 065000

0 引言

信息化已作為推進全球化的一支重要力量，深刻地改變著人們的生活，信息安全成為影響網絡空間健康發展的關鍵因素。近年來，或者出于商業利益，或者出于政治和意識形態的利益，全球范圍內的信息安全事件越來越多，以2010年的Aurora事件，Stuxnet事件、2011年的RSA SecurID竊取事件，CSDN泄密事件、Shady RAT攻擊等為代表，攻擊的規模持續增加，其復雜度不斷提高，攻擊者的目標選擇、協作組織和影響范圍均體現出明顯的系統性趨勢，造成的損失和影響逐年增大，已成為一個不容忽視的現實問題。

信息安全等級保護是我國正在大力推行的一項制度，按信息系統的重要程度及危害程度采取分級保護，以保護業務信息和系統服務為目標，通過有效執行管理、技術、人員、工程等四個安全保障要素，確保信息系統的保密性、完整性和可用性等信息的安全性從而到達保障系統安全。在信息安全等級保護的5個等級中，4～5級等級保護主要是針對高等級、涉及國家要害部分和關鍵信息等，具有較強的針對性，使用面較窄。而1～3級信息安全等級保護是基礎、適用于大多數的信息系統，因而具有使用的廣泛性。

在實際工作中，如何編寫一個適合本單位實際情況又符合等級保護要求的實施方案，是成功實現信息系統安全的前提。

1 三級安全系統模型

1.1 安全計算環境設計

安全計算環境是指對定級系統的信息進行存儲、處理及實施安全策略的相關系統，是一個信息系統的核心。安全計算環境在有效的區域邊界安全防護下，可以避免受到來自外部網絡的攻擊和非授權訪問。因此，安全計算環境的安全防護主要是防范因系統本身的脆弱性而遭受攻擊。同時，安全計算環境的安全防護還要實現對來自系統內部的攻擊、非授權訪問的防范，特別是內部人員的違規操作、誤操作以及各種病毒的攻擊與破壞。作為一個整體，龐大的桌面用戶計算環境的安全設計更應該予以關注。

安全計算環境安全設計包括物理安全、主機安全、應用安全、數據安全以及備份恢復等5個方面。

1.2 安全網絡環境設計

網絡將信息系統的各種計算機/計算域、用戶/用戶域連接在一起，提供各系統之間信息傳輸通道的任務，包括各種網絡設備、網絡鏈路和通過網絡傳輸的信息流。網絡可能位于系統的邊界內部，也可能位于邊界外部，特別是網絡信息流可能需要通過未知的網絡環境傳輸。因此，網絡的安全防護既要保證網絡設備自身的安全(對各種設備的操作系統進行定期、不定期的加固)，防范其受到攻擊和非授權訪問，又要保證網絡信息流的安全，保護網絡信息流的可用性、保密性和完整性。對于網絡的保密要求，采用網絡加密技術可以實現等級保護三級中的所有要求。

網絡安全域應該具有安全的網絡結構，同時應該具備諸如網絡訪問控制、安全審計、邊界完整性、入侵防范、惡意代碼防范、網絡設備防護、可信接入保護等安全功能。

1.3 安全區域邊界設計

邊界安全防護是從各個信息安全系統的業務流程的完整性上進行區分，是不同安全域的邊界，一般而言，邊界安全防護邊界防御是利用隔離裝置或技術(比如防火墻、入侵檢測、MPLS VPN、VPN、VRF、VLAN、ACL等安全設備或技術)來保護進入安全域的入口點，邊界防護一般具備網絡強隔離、地址綁定、訪問控制、抵御SQL注入攻擊以及針對DDoS和APT攻擊等功能。其目標是保護邊界內的信息系統不會受到來自邊界外部的攻擊，同時也可以防止內部惡意人員跨越邊界對外部的信息系統進行攻擊以及信息的泄露。并且當發生安全事件后，邊界防護設備日志信息符合相關等級的規定，管理人員可以通過審核日志發現違規事件記錄以進行審計追蹤。

1.4 安全管理中心設計

安全管理中心作為信息系統的核心安全管理平臺，是對信息系統的各種安全機制進行管理使其發揮應有安全作用的重要環節。通過安全管理中心，將系統中地域上分散的安全機制進行系統化設計和集中管理，構成以安全管理中心為核心的安全技術體系，使安全機制發揮更好的作用?？梢宰鳛閷φ麄€企業信息系統及其各個系統域的安全計算域、安全用戶域、區域邊界、網絡安全域等環節的安全保護措施，進行統一的協調和調度，從而實現包含用戶身份、授權、訪問控制、操作審計等全過程的安全管理措施，并實現集中事件和風險管理，發揮出整體安全防護系統的作用。

2 三級安全系統的實現

公司信息系統等級保護的實施過程五個步驟：系統定級、總體安全規劃、安全設計與實施、安全運行與維護、信息系統終止。

(1) 系統定級

系統定級主要包括系統識別與描述；通過風險評估，根據相關標準確定信息系統的等級標準，經相關部門批準后形成定級報告，完成信息系統的劃分與定級。

(2) 總體安全規劃

總體安全規劃階段根據信息系統的劃分、定級、承載業務情況，通過分析明確信息系統安全需求，并根據風險評估的結果，綜合平衡安全風險和成本，以及各系統特定安全要求，設計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施計劃，以指導后續的信息系統安全建設工程實施。對于己運營(運行)的信息系統，需求分析應當首先分析判斷信息系統的安全保護現狀與等級保護要求之間的差距。

(3) 安全設計與實施

本階段按照信息系統安全總體方案的要求，結合信息系統安全建設項目計劃，分期分步落實安全措施，并按照等級保護的要求，選擇相應的方式來評估系統是否滿足相應的等級保護要求，并對等級保護建設的最終結果進行驗收。

(4) 運行與維護

在系統的運行期間，監控系統和系統安全風險的變化，評估系統的安全狀況。根據評估結果決定系統的改進：重新定級或改進相應的安全措施滿足新的情況。

(5) 信息系統終止

信息系統在終止處理過程中應確保信息轉移、設備遷移和介質銷毀等方面的安全。

3 關鍵問題

等級保護建設從根本意義上是合規性建設，一方面既要根據要求對現有系統進行合規性整改，同時應將新系統建設的整個生命周期與等級保護過程進行無縫連接，使得安全成為信息系統的一部分，確保等級保護的各項要求確實落地；另一方面，等級保護出發點是適度保護，促進信息安全共享，因此等級保護建設時應該充分考慮不同安全域之間互相操作的問題；這兩個問題關系到等級保護的建設成功的能否成功的問題。

3.1 信息系統全生命周期的安全保護

新建信息系統的等級保護工作與已經建成的信息系統之間，在等級保護工作的切入點方面是不相同的，它們各自的切入點及其對應關系如圖1所示。

圖1 等級保護過程與系統生命周期對應關系

(1) 組織規劃階段，應分析并確定所建信息系統的安全等級，并在項目建議書中對系統的安全等級進行論證。

(2) 開發采購階段，要根據所確定的系統安全等級，設計系統的安全保護措施，并在可行性分析中論證安全保護措施。

(3) 實施交付階段，要與信息系統建設同步進行信息安全等級保護體系的實施，之后進行等級評估和驗收。

(4) 運行維護階段，要按照所建立的等級保護體系的要求，進行安全維護與安全管理。

(5) 廢棄階段，要按照所建立的等級保護體系的要求，對廢棄過程進行有效的安全管理。

對于已建的信息系統，由于在系統規劃、設計和實施階段沒有考慮等級保護的要求，因此等級保護工作的切入點是系統運行維護階段。

3.2 安全域之間互操作的安全保護

不同安全域之間互操作的安全保護包括相同安全保護等級和不同安全保護等級的安全域之間互操作的安全保護，以及獨立用戶/用戶群對安全域的訪問操作的安全保護，主要涉及到安全通信與多角色主機，文獻[6]中對此進行了詳細討論。

在企業網內，選擇用戶名結合域名拼接的方式進行認證，由認證服務器配合進行用戶名和域名的獨立解析，然后下發動態的設備配置到主機所接入的交換機的對應端口，用戶認證通過后，根據后綴屬性實現同一賬號在各個業務域內安全接入，通過身份實現控制權限動態下發ACL(Access Control List)或VALN(Virtual Local Area Network)，以不同的VLAN號區分不同的業務，完成服務器資源的訪問。

在跨廣域傳輸中，通過MPLS VPN訪問內部資源，以VRF(VPN Routing Forwarding)來區別不同業務，在數據中心前端，通過多實例用戶網絡邊界設備MCE(Multi-VPNInstance Customer Edge)連接技術，實現對不同來自VRF業務的安全策略控制，再以映射VLAN的方式訪問服務器資源。

4 結論

等級保護是國家信息安全的基本制度，它以計算環境保護為基礎，以訪問控制為主線，逐級增強，等級保護建設是一個動態的、持續性的過程，不可能通過一次建設從根本上解決公司的信息系統的安全，一方面，隨著業務的發展和安全需求的變化，原有安全防護等級也會隨之進行相應的調整；另一方面，隨著網絡信息技術的快速發展，各類新的攻擊手段和威脅形式將會不斷出現，信息系統面臨的風險也將不斷地發生變化，原有安全防護等級采用產品、模式也應隨之進行相應的調整與優化。

同時應該意識到，采用等級保護體系的安全系統的高度標準化特征，使其具備更高的穩定性和安全性，但同時由于其標準化的特性攻擊者更容易得到相關的技術資料以及尋找類似系統進行試驗，因此也容易受到攻擊，因此加強動態監控、持續性的周期評審，對其進行動態更新是確保信息系統安全的重要保障。

[1] 齊瑩素. 三級信息系統等級保護實施方案的研究與應用[D].北京工業大學.2007.

[2] 何新華.淺談企業等保建設總體規劃[J].信息安全與通信保密.2011.

[3] 李廣.等級保護三級系統建設實踐[J].計算機安全.2010.

[4] GB/T20271-2006信息安全技術 信息系統通用安全技術要求[S].

[5] GB/T25058-2010 信息安全技術 信息系統安全等級保護實施指南[S].

[6] 景峰.信息系統等級保護安全域隔離技術的探討[J].山西電力.2010.