安全技术防护体系设计方案(等保三级)

网络安全等级保护安全技术防护体系设计方案XXX科技有限公司20XX年XX月XX日目录一安全物理环境 (3)1.1 物理位置选择 (3)1.2 物理访问控制 (3)1.3 防盗窃和防破坏 (3)1.4 防雷击 (4)1.5 防火 (4)1.6 防水和防潮 (4)1.7 防静电 (5)1.8 温湿度控制 (5)1.9 电力供应 (6)1.10 电磁防护 (6)二安全通信网络防护设计 (6)2.1 网络架构 (6)2.2 通信网络安全传输 (7)2.3 可信验证 (7)2.4 远程安全接入防护 (7)2.5 通信网络安全审计 (7)三安全区域边界防护设计 (8)3.1 边界防护 (8)3.2 访问控制 (8)3.3 入侵防护 (9)3.4 边界恶意代码防护和垃圾邮件防范 (9)3.5 安全审计 (9)3.6 可信验证 (9)3.7 带宽流量负载管理 (10)3.8 无线网络安全管理 (10)3.9 抗DDoS攻击防护 (10)3.10 APT攻击检测防护 (10)3.11 违规外联/安全接入控制 (10)四安全计算环境防护设计 (11)4.1 身份鉴别 (11)4.2 安全审计 (11)4.3 入侵防范 (12)4.4 恶意代码防范 (12)4.5 可信验证 (12)4.6 数据完整性 (12)4.7 数据保密性 (13)4.8 数据备份恢复 (14)4.9 剩余信息保护 (16)4.10 个人信息保护 (17)4.11 安全通信传输 (18)4.12 主机安全加固 (18)4.13 终端安全基线 (18)4.14 漏洞检测扫描 (19)4.15 Web应用安全防护 (19)4.16 主机运行监控 (19)4.17 安全配置核查 (19)五安全管理中心设计 (20)5.1 系统管理 (20)5.2 审计管理 (20)5.3 安全管理 (21)5.4 集中管控 (21)一安全物理环境依据《网络安全等级保护基本要求》中的“安全物理环境”要求，同时参照《信息系统物理安全技术要求》（GB/T 21052-2007），对等级保护对象所涉及到的主机房、辅助机房和异地备份机房等进行物理安全设计，设计内容包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应及电磁防护等方面。

1.1物理位置选择机房场地选择在具有防震、防风和防雨等能力的建筑内，机房和办公场地所在建筑物具有建筑物抗震设防审批文档；机房场地避免设在建筑物的顶层或地下室，受条件限制必须将机房场地设置在建筑物的顶层或地下室时，必须加强防水和防潮措施。

1.2物理访问控制机房应设置单独出入口，出入口配置电子门禁系统，并对进入的人员进行控制、鉴别和记录，而不仅仅是简单地通过门禁限制人员的出入，必须有身份鉴别系统，通过授权管理，只有通过身份认证的合法人员方可进出门禁控制区域，从物理访问上加强对机房的管理。

1.3防盗窃和防破坏将等级保护对象中的信息设备或主要部件安装在机房机架中，使用导轨、机柜螺丝等方式进行固定，并在设备的明显位置粘贴固定签进行标记；将通信线缆铺设在隐蔽处，不随意放置，从而降低被盗窃和被破坏的风险，譬如在机房内可铺设在地下或管道中，在机房外可铺设在竖井、桥架中；机房配备防盗报警系统或视频监控系统，并设置有专人值守。

对机房的防盗窃和防破坏也可以采用一些手段或技术辅助措施的智能化落地，如部署信锐红外人体感应传感器，通过红外人体感应和对接视频监控系统，可实现在人员入侵的时候，联动摄像头进行抓拍图片，实现入侵抓拍防盗。

同时，可通过额外软件定制开发，实现直接在信锐物联网平台上直接跳转到监控页面。

1.4防雷击各类机柜、设施和设备等通过接地系统安全接地，接地设置专用地线或交流地线，对于交流供电的系统设备的电源线，应使用三芯电源线，其中地线应与设备的保护接地端连接牢固；机房内采取防止感应雷措施，例如配电柜中安装防雷保安器或过压保护装置等，同时防止感应雷装置需要通过验收或国家有关部门的技术检测，机房内所有的设备和部件应安装在设有防雷保护的范围内。

1.5防火机房内配备火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火，同时设有备用电源启动装置，保障在停电的状态下依然能够正常使用灭火系统进行灭火；机房及相关的工作房间和辅助房土建施工和内部装修采用具有耐火等级的建筑材料，且耐火等级不低于相关规定的耐火等级；同时对机房划分区域进行管理，可以划分为脆弱区、危险区和一般要求区三个区域，各区域之间设置隔离防火措施。

通过信锐的烟雾探测器，能与原有消防系统形成互补，出现火灾时进行多种方式人性化告警（短信、电话、语音、web大屏提醒等）；针对最可能发生的电力火灾，对原有空气开关可能导致火灾的漏电、短路、打火等情况进行彻底改进，通过物联网空气开关的方式，直接在用电异常问题进行预警并处理。

1.6防水和防潮机房窗户、屋顶和墙壁采取防水防潮措施防止雨水渗透；采取措施防止机房内水蒸气结露和地下积水的转移与渗透，机房中最可能出现漏水的地方是空调冷凝水渗透，空调冷凝水渗水可采取安装冷凝水排放箱的方式，通过提升泵提升后，引至大楼同层卫生间排水口，通过温差结露渗水；机房安装对水敏感的检测仪表或元件检测系统，对机房进行防水检测和报警。

通过信锐的漏水检测方案，可以对机房内的空调的冷凝水出水管的位置进行监测，在机房易漏水的下方或周围铺设漏水探测器，再将传感器的输出信号通过采集器传输到物联网平台，如果出现漏水的情况，系统在第一时间弹窗报警，同时发出APP、短信、电话告警报警，及时通知有关人员排除漏水故障。

1.7防静电机房内安装防静电地板或地面，安装防静电地面可用导电橡胶与建筑物地面粘牢，防静电地面的体积电阻率均匀，并采用必要的接地防静电措施；机房作业中采取措施防止静电的产生，例如采用防静电工作台面、静电消除器、佩戴防静电手环等。

1.8温湿度控制机房内配备温、湿度自动调节设施（空调系统），保证机房各个区域的温、湿度变化的变化在设备运行、人员活动和其它辅助设备运行所允许的范围之内。

对设备布置密度大、设备发热量大的主机房宜采用活动地板下送上回方式，空调系统无备份设备时，单台空调制冷设备的制冷能力应留有15%~20%的余量，机房环境温度建议保持在20℃~25℃，环境湿度建议保持在40%~55%。

温湿度控制亦可部署专业的温湿度传感器，如信锐自主研发的室内型物联网温湿度传感器或机架式物联网温湿度传感器，对机房内重要区域/机柜内部的温度、湿度进行实时监测，温湿度传感器（根据实际需要可以选择有线或无线的方案）采集机房内的温度、湿度信息，实时显示温度、湿度变化情况。

支持采集当前环境温度，通过温度的变化可以联动空调设备进行环境改善，同时也可以通过上层平台进行物联策略设置，智能化调节室内温度。

支持采集环境湿度，通过湿度的变化可以联动加湿器、除湿器等设备进行环境改善，同时也可以通过上层平台进行物联策略设置，智能化调节室内湿度。

1.9电力供应机房建立独立配电系统，供电线路上配备稳压器和过电压防护设备，保证机房供电电源质量符合相关规定要求；机房内建立UPS不间断供电系统，为机房内信息设备备用电力供应，保障信息设备在公用电网供电中断情况下，关键业务服务的持续性；机房设置冗余或并行的电力电缆线路为计算机系统供电。

1.10电磁防护机房内部综合布线的配置应满足实际的需求，电源线应尽可能远离通信线缆，避免并排铺设，当不能避免时，应采取相应的屏蔽措施，避免互相干扰；建立屏蔽机房或机房采取屏蔽机柜等措施对关键设备或者关键区域实施电磁屏蔽，防止外部电磁场对计算机及设备的干扰，同时也抑制电磁信息的泄漏；机房内综合布线电缆与附近可能产生电磁泄漏设备的最小平行距离应大于1.5m以上，机房到桌面的信息传输可采用光纤信道或六类屏蔽双绞线的布线方式。

二安全通信网络防护设计依据等级保护要求第三级中网络和通信安全相关安全控制项，结合安全通信网络对通信安全审计、通信数据完整性/保密性传输、远程安全接入防护等安全设计要求，安全通信网络防护建设主要通过通信网络安全传输、通信网络安全接入，及通信网络安全审计等机制实现。

2.1网络架构网络层架构设计应重点关注以下方面：➢主要网络设备、安全设备（如核心交换机、核心路由器、关键节点安全设备等）的业务处理能力应能满足业务高峰期需要，保证各项业务运行流畅。

如主干网络需要采用包括设备冗余、链路冗余的网络架构，以满足业务连续性需求。

➢网络带宽应能满足业务高峰期的需求，保证各业务系统正常运行的基本带宽。

➢划分不同的子网，按照方便管理和控制的原则为各子网、网段分配地址段。

➢避免将重要网络区域部署在网络边界处且没有边界防护措施。

2.2通信网络安全传输通信安全传输要求能够满足业务处理安全保密和完整性需求，避免因传输通道被窃听、篡改而引起的数据泄露或传输异常等问题。

通过采用VPN技术而形成加密传输通道，即能够实现对敏感信息传输过程中的信道加密，确保信息在通信过程中不被监听、劫持、篡改及破译；保证通信传输中关键数据的的完整性、可用性。

2.3可信验证可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

2.4远程安全接入防护针对有远程安全运维需求，或者远程安全访问需求的终端接入用户而言，应采用VPN安全接入技术来满足远程访问或远程运维的安全通信要求，保证敏感/关键的数据、鉴别信息不被非法窃听、暴露、篡改或损坏。

2.5通信网络安全审计通信网络安全审计需要启用/设置安全审计功能，将用户行为和重要安全事件进行安全审计，并统一上传到安全审计管理中心。

同时，审计记录产生时的时间应由系统范围内唯一确定的时钟产生（如部署NTP服务器），以确保审计分析的正确性。

三安全区域边界防护设计依据等级保护要求第三级中网络和通信安全相关控制项，结合安全区域边界对于区域边界访问控制、区域边界包过滤、区域边界安全审计、区域边界完整性保护等安全设计要求，安全区域边界防护建设主要通过网络架构设计、安全区域划分，基于地址、协议、服务端口的访问控制策略；通过安全准入控制、终端安全管理、流量均衡控制、抗DDoS攻击、恶意代码防护、入侵监测/入侵防御、APT 攻击检测防护、非法外联/违规接入网络、无线安全管理，以及安全审计管理等安全机制来实现区域边界的综合安全防护。

具体如下：3.1边界防护网络划分安全区域后，在不同信任级别的安全区域之间形成了网络边界。

目前存在着互联网、跨边界的攻击种类繁多、破坏力也比较强。

要在划分的不同域之间部署相应的边界防护设备进行防护。