基于等级保护2．0的安全通用技术设计研究

黄海 陈章芬

摘要：文章从等级保护测评要求出发，介绍了网络安全等级保护制度2.0标准下的安全通用技术设计思路，即等级保护对象在系统设计之初应考虑的安全通用技术关键点及问题。利用该设计思路可有效避免或减少信息系统上线后的各类网络安全问题，节约后期网络安全问题整改投入。

关键词：等级保护2.0;安全技术;设计

中图法分类号：TP393文献标识码：A

Research on security general technology design based on level protection 2.0

HUANG Hai，CHEN Zhangfen

（Fujian Branch of National Computer Network Emergency Response TechnicalTeam/Coordination Center of China，Fuzhou，China，350025）

Abstract：This paper introduces the design idea of general security technology under the network security level protection 2.0 standard based on the requirements of hierarchical protection，that is， the key points and problems of security general technology that should be considered at the beginning of system design. The design idea will effectively avoid or reduce various network security problems after application of information system， and save the investment in the rectification of network security problems in the later stage.

Key words： network security level protection 2.0 standard， security technology，design

近年來，信息技术和网络技术高速发展，一方面极大提高了人民群众的生活水平，另一方面给网络空间安全带来愈发严峻的挑战。国家计算机网络应急技术处理协调中心（“CNCERT”或“CNCERT/CC”）发布的《2021年上半年我国互联网网络安全监测数据分析报告》显示，仅2021年上半年，国内累计捕获恶意程序样本约2，307万个，日均传播次数达582万余次;累计约1.8万起重要信息系统的网络安全漏洞事件受到国家信息安全漏洞共享平台（CNVD）验证及处置 [1]。关键信息系统遭受攻击甚至破坏，都将损害公民个人及企事业单位的权益，甚至会导致社会秩序、国家安全遭受威胁，因此提高我国信息安全保障能力势在必行。2017年，《中华人民共和国网络安全法》明确规定我国实行网络安全等级保护制度;2021年，《关键信息基础设施安全保护条例》要求关键信息基础设施运营者须在网络安全等级保护的基础上采取必要措施，以应对网络安全事件。

1  网络安全等级保护的发展

1994年，《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）颁布，这是我国首部为网络安全等级保护实施提供依据的法律。2017年 5月，相关部门发布《GA/T1389—2017网络安全等级保护定级指南》等4 个公共安全行业等级保护标准[2]。 2019年 5月，网络安全等级保护制度2.0国家标准正式发布，该制度的主要内容包括《信息安全技术网络安全等级保护基本要求》《信息安全技术网络安全等级保护测评要求》和《信息安全技术网络安全等级保护安全设计技术要求》等三个核心标准[3]。

2  安全通用技术要求

《网络安全等级保护基本要求》《网络安全等级保护测评要求》和《网络安全等级保护安全设计技术要求》均从安全通用、安全扩展两个方面规定了技术要求及设计规范。其中，安全通用要求是针对共性化保护需求提出的[4] ，主要分为技术要求和管理要求两方面。本文重点介绍的技术要求主要包括安全物理环境及系统安全保护环境，其中系统安全保护环境则由“安全通信网络”“安全区域边界”“安全计算环境”和“安全管理中心”组成[5]。

2.1  安全物理环境

等级保护制度对等级保护对象的机房楼选址、机房配套和动力环境运维等方面提出要求。

（1）物理位置选择时，应将机房设在具备多路电力供应、无内涝现象的区域内，避开强电磁场、有害气体源以及存放易燃易爆物品的危险地带。

（2）物理访问控制设计时，应根据重要程度对机房进行区域隔离，部署门禁系统实现授权管理和身份鉴别。

（3）防盗窃和防破坏设计时，应在主要通道、重要区域部署视频监控系统、防盗报警系统。

（4）防雷击设计时，应在机柜内部署安全接地系统，使用专用地线或交流地线接地;在配电柜内配备防雷保安器、过压保护器等防感应雷设备。

（5）防火设计时，应在机柜内部署极早期火灾探测及气体消防系统，确保第一时间发现并消除火情。

（6）防水和防潮设计时，应在空调系统进出水管处部署水浸报警系统，实时监测空调漏水、结露渗水等情况。

（7）防静电设计时，应在机房内安装防静电地板，日常运维时应采取使用防静电工作台、佩戴防静电手环等措施。

（8）温湿度控制设计时，应配备空调系统对机房内温湿度进行控制，确保其运行在许可范围内，对于重点区域应设置备份系统。

（9）电力供应设计时，应配备 UPS 不间断供电系统和油机发电设备，确保在市电中断情况下，信息系统仍能维持运行。

（10）电磁防护设计时，应参照电磁防护标准进行综合布线，关键设备及区域应使用屏蔽机柜或屏蔽机房。

2.2  安全通信网络

等级保护制度对等级保护对象提出网络架构、通信传输、可信验证等方面的要求[6]。

（1）网络架构是实现网络安全的前提和基础，等级保护对象设计时应分析业务需求、划分网络安全域，并据此细化网络架构，将等级保护对象的安全问题分解至各子区域，使有限的资金可以投入更有需求的区域。

（2）通信网络的性质是开放的、公共的，因此传输过程中可能存在中断、复制、伪造和窃听等情况。等级保护对象设计时应在互联网出口处部署 VPN 等设备，利用其隧道技术、加解密技术等手段来保证传输过程中数据的完整性和保密性。

（3）通信网络可信验证实现内部网络的接入控制和外部网络访问限制。对于内部网络接入，等级保护对象设计时应采用 IP/MAC/VLAN/端口绑定、禁用闲置端口等方式限制未授权人员接入内部网络;对于外部网络访问，等级保护对象设计时应在边界设备上配置访问控制策略来限制外部未授权设备访问。

2.3  安全区域边界

等级保护制度对等级保护对象提出了边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计等方面的要求。

（1）边界防护负责监视和控制不同层级网络间的数据交换。等级保护对象设计时应在终端接入域部署终端接入控制系统，通过进行 IP/MAC/VLAN/端口绑定、禁用闲置端口等措施阻止非授权设备连接到内部网络。此外，应部署违规外联监测系统用以监控内部网络终端行为，对涉嫌违规外联的行为进行阻断和报警。

（2）区域边界访问控制利用区域边界安全设备的访问控制功能实现各网络安全域间的数据控制。等级保护对象设计时应分析各网络安全域之间的业务需求，制定访问控制策略，在边界安全设备上通过校验地址、端口、协议的方式过滤流经数据包，杜绝越权访问和非法攻击行为。

（3）区域边界入侵防范是防御网络攻击的重要措施。等级保护对象设计时应根据各业务域的业务特性，在网络域边界处配置防火墙、入侵检测系统（IDS） 和入侵防御系统（ IPS）等防范设备，实现对内外部网络攻击的检测和防控功能，并记录攻击源信息形成可审计日志。

（4）恶意代码通过网页、邮件等介质进行传播，可对信息系统完整性造成严重破坏。等级保护对象设计时，应在外联域边界部署恶意代码防范设备，配置恶意代码特征库来实现恶意代码防范;在邮件域边界部署防垃圾邮件网关，用以防止计算机病毒、木马、蠕虫和逻辑炸弹的攻击以及通过邮件进入网络。

（5）区域边界安全审计可通过整合网络边界设备和重要网络节点的审计功能实现。等级保護对象设计时应设立区域边界审计机制，规定日志规格及调用接口，通过安全管理中心集中整合区域边界上网络设备和安全设备的审计日志，对危及区域边界的行为进行关联分析、记录审计及实时报警。

2.4  安全计算环境

等级保护制度对等级保护对象提出了身份鉴别、计算环境访问控制、计算环境安全审计、计算环境可信验证、计算环境入侵防范和恶意代码防范、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护等方面的要求。

（1）身份鉴别是提高信息系统网络安全保护最基本、最关键的手段。等级保护对象设计时应在操作系统及应用系统层面设定唯一用户身份标识，同时可通过部署公钥基础设施或终端接入控制系统等形式实现双因子认证。此外，设置鉴别策略时应对鉴别失败、超过空闲操作规定时长等情况采取必要的加固措施。

（2）计算环境访问控制通过自主访问控制和强制访问控制实现对资源的管理。自主访问控制为资源所有者对资源所具有的最高操作权限，属主可自行决定是否将自己的客体访问权或部分访问权授予其他用户，等级保护对象设计时可通过操作系统自带的访问控制功能来操控资源的读、写、运行;强制访问控制即通过身份鉴别和权限控制来判定用户对资源的操作权限等级，等级保护对象设计时可利用操作系统本身或应用系统的访问控制功能进行用户授权，从而实现强制访问控制。

（3）计算环境安全审计通过整合计算环境内业务终端、服务器、数据库等信息系统部件的操作记录实现。等级保护对象设计时应在信息系统中合理规划审计功能，规范日志格式，统一调用接口，收集记录运维操作、终端操作、数据库操作、应用实用以及安全时间的相关审计日志。安全管理中心对审计日志进行汇总管理，并在发生安全事件时发出报警。

（4）计算环境可信验证即通过配置基于可信根的各类引导程序、系统程序、配置参数等安全组件杜绝引导安装过程、执行过程中可能发生的安全防护问题。等级保护对象设计时应部署由可信安全管理平台、可信终端软件、可信软件库、可信芯片组成的免疫保护平台，统一管理所有终端的操作系统、系统环境、安全软件及业务应用，阻止未授权及不符合预期的执行程序运行。

（5）计算环境入侵防范是识别入侵、免疫病毒的重要手段。等级保护对象设计时应在所有终端安装网络版防病毒软件，并遵循最小安装原则，关闭不必要服务及高危端口，构建起最基本的病毒防线。针对计算环境恶意代码防范，等级保护对象设计时应在信息系统上部署免疫保护平台，利用可行计算校验机制仅允许操作系统完整性安装可信软件，阻止未授权及不符合预期的执行程序运行。

（6）数据完整性指传输和存储的数据没有被非法修改或删除，其安全需求与数据所处的位置、类型、数量和价值有关。等级保护对象设计时应根据信息系统的重要性采用数据校验技术、数字签名技术等校验、密码保密等技术保证传输过程中的数据完整性。

（7）数据保密性主要考虑防止信息被未经授权者访问、防止信息在传递过程中被截获解密，具体可分为动态信息保密性和静态信息保密性。在动态数据保密性方面，等级保护对象设计时应部署 VPN 或其他密码设备来实现数据传输过程中的保密性防护;在静态数据保密性方面，等级保护对象设计时应通过密码加密技术实现数据存储过程中的保密性防护。

（8）数据备份与恢复是避免数据丢失的重要手段，组织的信息化程度越高，越应重视数据备份和恢复。等级保护对象设计时应根据信息系统重要性设置完全备份、差异备份、增量备份等备份策略;应建设异地机房对重要数据进行备份，并对其信息系统设置热冗余机制。

（9）剩余信息保护指的是在存储空间被释放或重新分配前，相关的重要数据需要得到彻底清除，同时未授权用户无法对其进行非法获取。等级保护对象设计时应在操作系统和业务应用中建立相关保护机制，确保存储空间被释放或重新分配之前实现资源完全清除，且该过程中资源无法被其他用户或业务应用调用。

（10）根据《网络安全法》相关规定，信息系统应当仅采集和保存必需的用户个人信息，禁止采集与业务无关的个人信息。等级保护对象进行个人信息保护时应部署行为管理系统，通过信息系统内的访问控制限制非授权用户对个人信息的访问和使用。

2.5  安全管理中心

等级保护制度对等级保护对象提出集中管控、系统管理、审计管理和安全管理等方面的要求。

（1）安全管理中心通过对安全通信网络、安全区域边界和安全计算环境的统一管控，建立了集中统一的纵深防御体系。等级保护对象设计时应将安全管理中心部署在单独的管理域中，集中管控等级保护对象所涉及的通信链路、网络及安全设备、服务器、终端等组件，并对其进行资源管理、运行监测、审计日志收集及分析、安全策略分发、补丁升级等安全操作。

（2）系统管理指系统管理员在安全管理中心运行维护工作的平台。等级保护对象设计时应部署运维安全管理系统，并将信息系统资源信息纳入该系统管理范围，使系统管理员可以此进行资源配置和管理、系统异常处置、数据或设备的备份与恢复。

（3）审计管理指集中管理分布在等级保护对象各处的安全审计机制，通过对审计数据进行查询、统计、分析，实现用户行为监测和危险行为告警的功能。等级保护对象设计时应收集各类日志，包括但不限于网络设备日志、安全设备日志、业务应用日志、数据库日志等信息，并由安全管理中心进行集中统一管理。

（4）安全管理是指对信息内各类用户系统进行统一的身份管理、授权管理。等级保护对象设计时应在安全管理中心实现集中账号管理、集中访问控制、集中安全审计等功能，并且应单独部署在运维域，实现和业务数据的隔离。

参考文献：

[1 ] 国家计算机网络应急技术处理协调中心.2021年上半年我国互联网网络安全监测数据分析报告[ R].2021，https：∥ www.cert.org.cn/publish/main/upload/File/first?half%20%20year%20cyberseurity%20report%202021.pdf.

[2] 胡鹏，王晖.基于等级保护2.0的政务信息系统安全保障体系设计思路[ J].办公自动化，2021，26（4）：15?17.

[3] 郝君婷.等保2.0标准发布网络安全呈现新生态—网络安全等级保护制度2.0国家标准宣贯会侧记[ J].保密科学技术，2019（7）：8? 11.

[4] GB/T 22239?2019.信息安全技术网络安全等级保护基本要求[ S].2019.

[5] 馬力，陈广勇，祝国邦.网络安全等级保护2.0国家标准解读[ J].保密科学技术，2019（7）：14?19.

[6] GB/T 22239?2019.网络安全等级保护测评要求[ S].2019.

作者简介：

黄海（1994—） ，本科，网络工程师，研究方向：信息系统建设及维护。

陈章芬（1991— ），硕士，通信工程师，研究方向：信息系统建设及维护。