基于信息系统的三级等保方案的研究及设计

王洁玉

（华信咨询设计研究院有限公司，浙江 杭州 310014）

0 引 言

随着科技的进步，新技术的发展，等保2.0 的发布，网络安全进入新的发展阶段。根据国家政策要求，重要的信息系统均需满足三级等级保护的测评要求，因此，在信息系统建设的同时，需要对本系统的等级保护方案进行设计。文章结合GBT 22239—2019 规范的要求以及实际项目的经验，对新建信息系统的安全防护方案进行设计，通过部署多类安全设备，防范网络安全风险，提升信息系统的网络安全水平，并使其符合三级等级保护测评的要求。

1 信息安全等级保护概述

1.1 信息安全等级保护概念

信息安全等级保护，是为了规范对国家重要信息系统的安全管理，提高信息系统的安全保障水平，保障并促进全国信息系统的建设，对信息系统按照重要性等级分级别进行保护，不同级别的信息系统需采取不同的安全防护措施对信息系统进行安全防护，以维护国家和社会的安全及稳定。

通常情况下，广义上的安全等级保护范围较广，包含从制定的标准、生产的产品、信息的传输等都需要进行保护；狭义上一般指信息系统安全等级保护。

1.2 信息安全等级保护发展历程

自1994年国务院第147 号令发布至今，信息安全等级保护经历了四个阶段的发展：

1994年—2007年，是信息安全等级保护的起步与探索时期，我国先后发布了《中华人民共和国计算机信息系统安全保护条例》等多项通知，从首次提出等级保护的概念，到定义五个等级，到明确等级保护主要任务及职责划分等，开启了等级保护的时代。

2008年—2015年，是信息安全等级保护1.0 时期，2008年发布了GB/T 22239—2008标准及22240、25070、28448、28449 等保国标系列标准，制定了从一级信息系统到五级信息系统的基本技术要求和相应的管理要求，分别从安全角度和管理角度指导系统的安全建设。

2016年—2018年，是信息安全等级保护2.0 的孕育时期，国家先后颁布了《中华人民共和国网络安全法》和《网络安全等级保护管理条例（征求意见稿）》，对信息安全的要求提出了更高的要求。

2019年至今，是信息安全等级保护2.0 时期，2019年GBT 22239—2019标准发布，根据新技术新时代的要求，从多个方面对等级保护1.0 进行了修订，开启等级保护2.0时代。

2 三级等级保护的通用要求

主要涉及两个方向的要求，即安全技术要求和安全管理要求两方面，如图1所示。由于安全管理要求主要侧重于信息系统的管理制度和运维制度等，不涉及技术层面要求，所以本文暂不讨论。本文仅针对于安全技术要求展开方案的设计，并从安全技术要求的五个要求维度出发，提出相应的安全设备设计配置方案。

图1 三级等保通用要求

3 基于三级等级保护的信息系统的设计

3.1 安全物理环境设计

安全物理环境的目的是建设一个良好安全的物理环境，保证通信网络不受电磁干扰等外界因素的影响，同时做好防盗、防破坏的保护，以免非法分子或无关人员进入机房，对网络或系统进行破坏，影响信息系统的正常运行。因此，机房的位置选择、门禁系统、视频监控系统、防雷接地、消防系统、动力系统等均需满足三级等保的要求。主要要求如下：

1、机房位置：选择防水的机房楼层，如机房位于顶层或底层，建议做好防水。

2、电子门禁系统：在机房的出入口配置电子门禁系统。

3、视频监控系统：需要建设一套专门的视频监控系统，并派专职人员值守，或建设一套防盗报警系统，实时监控机房的动态，发现可疑人员能及时报警。

4、消防系统：在机房部署一套自动消防系统，发生火灾时，可以自动的对火灾形势进行检测，并根据检测结果自动报警，同时启动灭火程序，精准灭火。

5、温、湿度控制系统：在机房部署温、湿度控制系统用于机房温、湿度自动调节。

6、动力系统：配置UPS 系统用于机房短期的备用电力供应。

一般情况下，信息系统的设计不包含安全物理环境设计，安全物理环境的设计属于土建和弱电专业的规划范围，在进行信息系统建设的初期，需要根据以上要求选择满足三级等保的机房。

3.2 安全通信网络设计

信息系统业务的承载均需通过网络进行交互，安全通信网络是业务正常开展的基础。因此，网络架构、系统可靠性、传输保密性及完整性等均需符合三级等级保护的要求。其中，在网络架构方面，需要从硬件设备的配置及网络带宽的配置两方面来考虑，硬件配置方面需要保证所配置的设备性能可以满足业务的发展需要，网络带宽方面需要考虑配置的链路类型能够满足需求；在系统可靠性方面，需要对重要的硬件设备和链路进行冗余配置，确保硬件故障下，业务的连续性和系统的可用性；在通信传输方面要求在通信过程中确保数据的保密性。根据以上要求，对安全通信网络的设计如下：

（1）网络设备的型号及开设链路的选择：根据实际的业务需求按需选择高/中/低端的网络设备，并根据业务的预测，测算网络流量，确定开设100GE/10GE/GE 等的链路，满足实际的业务需求。

（2）保证系统的可靠性：对于核心交换机、接入交换机等网络设备配置时主备部署或热备部署增加设备的高可靠性；对于通信线路也应主备或捆绑部署，以免出现单点故障，业务中断的现象。

（3）数据的保密性：需要配置VPN 设备，建立加密传输通道，保证远程数据传输的数据完整性，降低数据窃听的隐患。

3.3 安全区域边界设计

网络是互通的，不同网络间的边界防护是非常必要的。边界防护的安全性需满足三级等保的要求，主要包括网络边界安全设备的配置、内部外网络攻击的防范、抗APT 攻击、防防毒的配置以及对内部用户非授权联到外部网络的行为进行检查或限制等多方面对安全区域边界进行防护。根据以上要求，对安全区域边界的设计如下：

（1）防火墙的配置：通过在每个安全域/或重要的安全域的边界部署防火墙等安全设备，从网络层面实现对各类行为的访问控制，严格过滤经过防火墙设备的所有数据包，并屏蔽所有不符合安全规则的数据包，对各种非法访问、非法攻击、越权访问的行为进行阻止，实现各安全域的隔离防护。

（2）入侵防范设备的配置：在各区域边界，防火墙保护了网络层的非法攻击，但是面对基于应用的攻击，就需要在网络的关键位置配置入侵防范设备或选择带有入侵防范功能的防火墙，实时的检测、限制从系统外部或系统内部发起的基于应用的网络攻击行为。目前常用的方案是配置带有入侵防范功能的防火墙设备。

（3）抗APT 攻击系统的配置：随着具备国家和组织背景的APT 攻击日益增多，针对信息系统的APT 攻击也逐渐显现，为满足安全需求，需配置抗APT 攻击系统，防止水坑攻击、鱼叉式钓鱼攻击、SQL 注入攻击、0Day 漏洞利用、供应链攻击、屏幕记录、加密通信、声波通信、清除痕迹等APT 攻击行为。

（4）防病毒设备的配置：在部署恶意代码防范设备，对恶意代码特征库进行及时的更新，并对系统进行检测，对检测到的恶意代码进行清除，与主机层的恶意代码相关防范产品形成异构模式。

（5）准入准出系统的配置：对内部用户非授权联到外部网络的行为进行检查或限制，对违规外联行为进行检查、定位和阻断的安全管理产品；对非授权设备私自联到内部网络的行为进行检查或限制，对违规内联行为进行检查、定位和阻断的安全准入产品，包括无线用户接入。

3.4 安全计算环境设计

为保证系统正常有序运行，必须要具备一个安全的计算环境。根据等保规范，三级等保系统要从用户身份鉴别、系统的高可用性、数据备份恢复等方面进行建设，进一步加强保证数据安全性，保证系统可用性。具体设计如下：

（1）堡垒机的配置：通过配置堡垒机，对系统内部的网络设备、安全设备、主机、运维设备等进行双因子认证，对用户进行身份鉴别，加强访问控制管理；

（2）杀毒软件的配置：通过购置杀毒软件，并及时更新病毒库，与网络层面恶意代码防范产品形成异构模式。

（3）核心服务器冗余配置：对核心服务器进行冗余部署，进行双机、双线的冗余设计，提供重要数据处理系统的热冗余，保障从硬件配置上满足系统的不间断运行，提高系统的高可靠性。

（4）本地备份：对业务数据、系统数据等进行分级分类，根据不同的重要程度，制定不同的备份策略、备份方式，以保证在发生硬件故障时快速切换，迅速恢复业务。

3.5 安全管理中心设计

从安全运维的角度实现对系统的管理。通过配置日志审计系统、运维堡垒机及漏洞扫描设备，实现对系统所有的配置操作日志的管理，及时发现管理上的安全隐患，同时掌握系统所有软硬件的运行状态，及时掌握软硬件设备的运行状态。具体设计如下：

（1）日志审计系统的配置：配置日志审计系统，集中收集、汇总和分析各类硬件设备上的日志数据，并对收集到的数据进行审计，通过对日志的联动分析，快速发现潜在安全问题，提高系统的安全管理水平，日志保存时间至少6 个月。

（2）运维堡垒机的配置：配置运维堡垒机，对信息系统的所有硬件设备（含计算设备、存储设备、安全设备及网络设备）的运行情况及物理链路的开通运行情况进行性能监测，所有操作均要通过堡垒机，有效的提升运维管理能力，并保障了运维的安全能力。

（3）漏洞扫描设备的配置：通过配置该类漏洞设备，实时的跟踪漏洞发布信息，对其进行分析后，及时的更新补丁信息，提出修补漏洞的建议等；同时，即时发现内网主机安全，主动式扫描安全漏洞，并定位存在漏洞，全面排查安全隐患。

根据以上方案，设计一套基于信息系统的三级等级保护方案，配置上述安全防护设备，满足等保测评的要求，供相关信息系统建设参考，网络组网图示意如图2所示。

图2 信息系统的三级等级保护方案组网示意图

4 结 论

没有网络安全就没有国家安全。信息安全等级保护制度是我国网络安全领域一项重要制度，且国家重要信息系统必须符合三级等级保护规范的要求。本文对信息安全等级保护的概念和分级进行了阐述，对三级等级保护的防护措施进行了分析，最后基于防护措施的要求，设计了一套三级等级保护方案，对信息系统进行安全防护，满足三级等保测评的要求。随着新技术的不断发展，等级保护制度也会不断的完善和更新，我们需要与时俱进，把理论和实践相结合，将等级保护制度更好的应用到实际应用中去。