XXXX法院等保建设方案

XXXXX

等级保护安全建设方案

2019年3月

目录

1 项目背景 (4)

1.1方案目标 (4)

1.2项目范围 (5)

1.3设计原则 (5)

1.4参考标准 (5)

2 法院信息系统情况 (6)

2.1系统构成 (6)

2.2.1XXXXX现网网络拓扑图 (6)

2.2.2 存在安全问题分析 (7)

3 安全需求分析 (8)

3.1安全指标与需求分析 (8)

4 信息安全体系框架设计 (11)

5 技术体系整改 (12)

5.1边界安全 (12)

5.2数据安全 (13)

5.3主机安全 (13)

5.4运维管理.................................................................................................... 错误！未定义书签。

6 安全产品部署情况 ........................................................................................ 错误！未定义书签。

6.2产品部署说明............................................................................................. 错误！未定义书签。

6.2.1 防病毒网关产品部署......................................................................... 错误！未定义书签。

6.2.2 终端杀毒防御系统部署 (14)

6.2.3 堡垒机产品部署 (14)

6.2.4日志审计产品部署 (16)

6.2.5数据库审计产品部署 (17)

7 安全产品部署情况 ........................................................................................ 错误！未定义书签。

7.1.1 管理措施实现................................................................................... 错误！未定义书签。

7.1.2 管理机构和人员的设置................................................................... 错误！未定义书签。

7.1.3 管理制度的建设和修订................................................................... 错误！未定义书签。

7.1.4 人员安全技能培训........................................................................... 错误！未定义书签。

7.1.5 安全实施过程管理........................................................................... 错误！未定义书签。

7.2方案评审.................................................................................................... 错误！未定义书签。

7.3安全漏洞扫描............................................................................................ 错误！未定义书签。

1 项目背景

近年来，勒索病毒威胁呈现愈演愈烈之势，传播方式更多元，病毒更新迭代加快，勒索病毒俨然成为近两年来最严峻的网络安全威胁之一。而勒索病毒的攻击方式也从原来的广撒网逐渐转变为定向攻击高价值目标，从对个人客户的攻击逐渐转移至以政府机构、重要行业为攻击对象。

针对勒索病毒安全事件频发以及爆发后的巨大影响，最高法出台通知，要求全国各级法院根据要求进行整改，切实加强安全风险管控，确保法院专网安全稳定运行。2018年11月12日起，最高法通过办公厅秘书处，陆续向全国各法院发布《关于展开全国法院办公专网信息安全专项整治工作的通知》。同时依照《国家网络安全法》、《信息系统安全等级保护基本要求》等相关法规及要求，以及XXXXX对信息系统安全稳定运行的业务需求，通过事前威胁检测、事中联动防御、事后关联分析的机制。全面实现GBT22239-2008《信息安全技术信息系统安全等级保护基本要求》中对于三级系统的安全要求。

1.1 方案目标

本次XXXXX核心业务系统等级保护安全建设的主要目标是：

按照等级保护要求，结合实际业务系统，对法院的核心业务系统进行充分调研及详细分析，将法院的核心业务系统系统建设成为一个及满足业务需要，又符合等级保护三级级系统要求的业务平台。

依照国家《国家网络安全法》、《信息系统安全等级保护基本要求》等相关法规及要求，以及XXXXX对信息系统安全稳定运行的业务需求，通过事前威胁检测、事中联动防御、事后关联分析的机制。全面实现GBT22239-2008《信息安全技术信息系统安全等级保护基本要求》中对于三级系统的安全要求。

同时结合XXXXX网络现状及信息安全建设情况进行规划设计，根据信息系统的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的安全改造方案并以此为依据提出具有可执行性的安全整改建议，通过实施安全整改，从技术和管理两方面达到国家等级保护的基本要求，完善XXXXX信

息系统安全技术防护措施、安全管理制度和安全运维体系，分期建设完整的信息安全防护体系，最终目标是XXXXX网络及应用系统的安全稳定运行以及通过最终测评。

1.2 项目范围

XXXXX局域网基础系统、科技法庭系统、办公自动化系统（按照安全类别第III级（S3A3G3）的标准设计）。

1.3 设计原则

在项目实施过程中，将遵循以下原则：

●符合性原则：项目建设要符合国家等级保护政策和标准规范要求，通过

专业等级保护测评机构的测评，并到公安部门及上级主管单位完成备案；

●适度安全原则：安全防护工作的根本性原则，指安全防护工作应根据重

要信息系统的安全等级，平衡效益与成本，采取适度的安全技术和管理

措施；

●可控性原则：指相关的项目组人员应具备可靠的职业素质和专业素质；

项目实施过程中技术工具的使用可控，避免引入新的风险；项目过程可

控性：要对整个安全防护项目进行科学的项目管理，实现项目过程的可

控性；

●最小影响原则：从项目管理层面和技术管理层面，项目的实施过程对信

息系统正常运行的影响降低到最低限度，以确保日常业务的正常运行；

保密性原则：相关安全防护工作人员签署协议，承诺对所进行的安全防护工作保密，确保不泄露重要信息系统安全防护工作重要和敏感信息。。

1.4 参考标准

在开展《信息系统等级保护安全体系建设方案》的设计过程中将严格按照国家的相关法律标准展开，为用户提供符合自身实际需求及满足等级保护建设规范的优质方案，主要依据的标准文件包含如下：

本方案主要参考一下标准和依据：

国家标准：

GB 17859-1999 计算机信息系统安全保护等级划分准则

GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南

GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求

GB/T 25058-2010 信息安全技术信息系统安全等级保护实施指南

2 法院信息系统情况

2.1 系统构成

XXXXX的信息系统主要包括外部网络（外网，连接互联网）和内部网络（内网，提供内部业务系统使用，与互联网逻辑隔离）。

系统有科技法庭系统和局域网基础系统以及办公自动化系统。

科技法庭系统（S3A3G3级）

局域网基础系统（S3A3G3级）

办公自动化系统（S3A3G3级）

2.1.1XXXXX现网网络拓扑图

XXXXX现有网络架构图2-1

2.1.2存在安全问题分析

边界安全方面

未能根据业务需要对会话终止时间进行合理限制；未记录网络攻击行为日志信息；发生严重入侵事件时未能对攻击行为进行报警；网络边界处未部署恶意代码检测措施；多个月内恶意代码库未更新升级；未对管理员登录网络设备地址进行任何限制；未对所有业务确定重要性、优先级，制定业务相关带宽分配原则及相应的带宽控制策略等等。

主机安全方面

科技法庭系统：未对重要文件的访问权限作合理配置；如果是Windows系统，未关闭系统默认共享；如果是Unix系统查看重要目录的访问权限；

局域网基础系统：未启用系统安全审计功能，未对用户的重要操作进行日志记录；主机层未安装防病毒软件；网络层未部署防毒墙；主机层与网络层部署的防恶意代码产品具有相同的代码库；所安装的防恶意代码软件为单机版，未能实现统一管理，统一更新，统一检测与查杀等等。

数据安全方面

访问控制覆盖粒度未包含主体、客体及它们之间的操作情况二：渗透测试发现存在访问控制未能覆盖的客体；非授权人员可以进行用户权限管理，实际授权与权限策略不一致，可进行越权操作；存在默认权限账户；未对审计记录进行统计、查询及分析，未生成升级报表；未提供对一个时间段内可能的并发会话连接数进行限制；未提供系统服务水平检测功能；未提供服务优先级设置功能等等。

3 安全需求分析

3.1 安全指标与需求分析

XXXXX核心业务系统的安全建设核心需求即满足等级保护的相关要求，因此将以满足等级保护指标为目标。根据前期监管机构检查的结果，结合自身业务需求，可以确定需要满足的等级保护指标如下表3-1所示：

9

表3-1

10

11

4 信息安全体系框架设计

根据《信息系统安全等级保护基本要求》，分为技术和管理两大类要求，具体如图4-1所示：

图4-1

本方案将严格根据技术与管理要求进行设计。首先应根据本级具体的基本要求设计本级系统的保护环境模型，根据《信息系统等级保护安全设计技术要求》，保护环境按照安全计算环境、安全区域边界、安全通信网络和安全管理中心进行设计，内容涵盖基本要求的5个方面。同时结合管理要求，形成如图4-1所示的保护环境模型：

图4-1

信息系统的安全保护等级由业务信息安全性等级和系统服务保证性等级较高者决定，因此，对某一个定级后的信息系统的安全保护的侧重点可以有多种组合。对于3级保护系统，其组合为：（在S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3选择）。以下详细方案设计时以S3A3G3为例，其他组合根据实际情况酌情修改。

5 技术体系整改

5.1边界安全

通过对边界风险与需求分析，在网络层进行访问控制需部署边界安全防护产品，通过该安全产品实现对边界的访问控制、入侵防范和恶意代码防范，要求下一代防火墙具备如下功能功能：

可以对所有流经该设备的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。

可面对越来越广泛的基于应用层内容的攻击行为，该设备还应具有能够及时

识别网络中发生的入侵行为并实时报警并且进行有效拦截防护。

能够对夹杂在网络交换数据中的各类网络病毒进行过滤，可以对网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行全面的拦截。阻止病毒通过网络的快速扩散，将经网络传播的病毒阻挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中。截断了病毒通过网络传播的途径，净化了网络流量。

部署下一代防火墙时应特别注意设备性能，产品必须具备良好的体系架构保证性能，能够灵活的进行网络部署。同时为使得达到最佳防护效果。另外，安全防护设备的防病毒库应该和桌面防病毒软件应为不同的厂家产品，两类病毒防护产品共同组成中级法院的立体病毒防护体系。

5.2数据安全

部署数据库审计系统对用户行为、用户事件及系统状态加以审计，范围覆盖到每个用户，从而把握数据库系统的整体安全，具体要求：

细粒度审计：实时监控业务系统和管理员对业务数据库的所有访问，根据多种安全策略判定访问操作的风险等级，从而实现完全独立于数据库的审计功能。模块提供可视化的审计日志检索和回放功能，生成可读性高的报表，达到提高数据库及业务系统的安全性的目的。

状态监控：实时监控数据库运行状态，在状态异常时进行预警，防止业务瘫痪，保障业务系统的可用性，包括用户活动情况、数据库内存状态、文件系统状态、查询响应性能。

漏洞扫描：实现数据库的漏洞扫描，提前预知风险状况，包括弱口令检查、软件漏洞补丁、权限分配风险、数据库配置风险、操作系统相关风险。

5.3主机安全

集中身份管理系统是针对国内企业信息化发展现状而开发的应用系统管理

平台,可以在不改变现有软硬件及网络环境的前提下，无缝地将用户各种现有的应用系统整合到单点登录平台上，实现一次登录后就可访问所有有权限访问的应用系统。

集中身份管理系统能够为单位应用系统提供集中的管理平台，减少系统维护工作；能够为企业提供全面的用户和资源管理，减少企业的维护成本；能够帮助企业制定严格的资源访问策略和采用强身份认证手段，全面保障系统资源的安全；能够详细记录用户对资源的访问及操作，达到对用户行为审计的需要。

6.2.1 终端管控系统部署

6.2.1.1 部署位置

在XXXXX、所有服务器终端上部署终端管控系统系统进行主机安全防护、防止中勒索病毒、未知病毒、外接设备端口管控等。

6.2.1.2 实现目的

实现智能检测防御CC攻击，内核级防火墙（业务间流量东西向隔离）功能，集中管控、具有系统漏洞扫描和修复功能，提供真实漏洞补丁。管理中心可作为补丁服务器。提供离线补丁下载器，按需智能获取内网所需补丁，支持防端口扫描，防违规外联，锁定恶意的端口扫描及外联行为，并记录告警。提供实时对终端进行管控。

6.2.1.3 对应等级保护三级要求

终端威胁防御系统是针对国内企业信息化发展现状而开发的应用系统管理

平台,可以在不改变现有软硬件及网络环境的前提下，无缝地将用户各种现有的

应用系统整合到单点登录平台上，实现一次登录后就可访问所有有权限访问的应用系统。

终端威胁防御系统能够为单位应用系统提供集中的管理平台，减少系统维护工作；能够为企业提供全面的用户和资源管理，减少企业的维护成本；能够帮助企业制定严格的资源访问策略和采用强身份认证手段，全面保障系统资源的安全；能够详细记录用户对资源的访问及操作，达到对用户行为审计的需要。

6.2.1 特权帐号管理系统部署

6.2.2.1 部署位置

在中级法院运维管理区部署特权帐号管理系统。县法院不需要部署特权帐号管理系统、市中院统一管理运维；满足三级等保要求。

6.2.2.2 实现目标

通过部署特权帐号管理系统，实现如下安全目标：

1.对以SSH，TELNET，FTP，SCP、SFTP、远程桌面RDP、VNC、X11、HTTP、

HTTPS、ORACLE、MSSQL、DB2，INFORMIX，MYSQL等应用协议的集中管理

与审计；

2.实现所有运维人员、服务器、网络设备、安全设备、数据库的集中管理；

3.自动改密可以对主流的windows、linux、unix、交换机、路由器等设备，

对用户最担心的密码安全方面设计了完善的策略；

4.完整记录运维管理员的运维过程，哪个账号通过哪个IP地址登陆了什么

设备、在设备上面做了什么操作、目标设备的返回结果都会完整记录；

5.提供了丰富的统计报表，对资产运维操作以及系统自身运行、操作进行

各类统计和多维度分析。

6.2.2.3 对应等级保护三级要求

通过部署特权帐号管理系统，可以满足信息系统安全等级保护基本要求中网络安全中的要求：

1、应对登录网络设备的用户进行身份鉴别；

2、主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；

3、应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

4、当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

满足信息系统安全等级保护基本要求中主机安全中的要求：

1、操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

2、应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动

退出等措施；

3、当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

4、应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

5、应及时删除多余的、过期的帐户，避免共享帐户的存在。

6、应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；

7、审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

8、应能够根据记录数据进行分析，并生成审计报表；

9、应保护审计进程，避免受到未预期的中断；

10、应保护审计记录，避免受到未预期的删除、修改或覆盖等。

满足信息系统安全等级保护基本要求中系统运维管理中的要求：

1、应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定；

2、应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则。

6.2.3日志审计产品部署

6.2.3.1 部署位置

在中级法院运维管理区部署日志审计产品。县法院不需要部署日志审计产品、市中院统一管理运维；满足三级等保要求。

6.2.3.2 实现目标

通过部署综合日志审计产品，实现如下安全目标：

1.各种安全事件日志(攻击、入侵、异常)、各种行为事件日志(内控、违规)、

各种弱点扫描日志(弱点、漏洞)、各种状态监控日志(可用性、性能、状

态)、安全视角的事件描述；

2.实时关联分析，跨设备的多事件关联分析；

3.根据资产价值、资产漏洞、针对漏洞的威胁事件三者进行威胁的自动关

联分析；

4.日志备份自动传送到远程服务器；

5.设置安全告警策略，提供多种告警方式。

6.2.3.3 对应等级保护三级要求

通过部署综合日志审计产品，可以满足信息系统安全等级保护基本要求中主机安全中的要求：

1、审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系

2、统内重要的安全相关事件；

3、应能够根据记录数据进行分析，并生成审计报表；

4、应保护审计进程，避免受到未预期的中断；

5、应保护审计记录，避免受到未预期的删除、修改或覆盖等。

可以满足信息系统安全等级保护基本要求中7.2.5系统运维管理中中的要求：

1、应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记录并妥善保存；

2、应组织相关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的应对措施；

6.2.4数据库审计产品部署

6.2.4.1 部署位置

在法院运维管理区部署数据库审计产品总共11台；满足三级等保要求。

6.2.4.2 实现目标

通过部署数据库审计产品，实现如下安全目标：

1.对几百种不当的数据库配置、潜在弱点、数据库用户弱口令、数据库软

件补丁等等的漏洞检测；

2.保护业界主流的数据库系统，防止受到特权滥用、已知漏洞攻击、人为

失误等等的侵害；

3.对双向数据包的解析、识别及还原，不仅对数据库操作请求进行实时审

计，而且还可对数据库系统返回结果进行完整的还原和审计；

4.提供细粒度的审计规则，如精细到表、字段、具体报文内容的细粒度审

计规则，实现对敏感信息的精细监控。

6.2.4.3 对应等级保护三级要求

通过部署数据库审计产品，可以满足信息系统安全等级保护基本要求中网络安全中的要求：

1、应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；

2、审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

3、应能够根据记录数据进行分析，并生成审计报表；

4、应保护审计进程，避免受到未预期的中断；

5、应保护审计记录，避免受到未预期的删除、修改或覆盖等。