李哲 厲遠(yuǎn)通

（南京市江寧區(qū)人力資源和社會(huì)保障信息化管理服務(wù)中心 江蘇省南京市 211100）

根據(jù)人力資源和社會(huì)保障信息系統(tǒng)的發(fā)展需要，并結(jié)合國(guó)家網(wǎng)絡(luò)安全法等相關(guān)法律法規(guī)的要求，采用先進(jìn)的信息安全防護(hù)理念和技術(shù)，規(guī)劃涉及切實(shí)可行的建設(shè)方案，為人社信息系統(tǒng)的等級(jí)化安全體系建設(shè)提供思路。

1 設(shè)計(jì)原則

在規(guī)劃、建設(shè)、使用、維護(hù)人力資源和社會(huì)保障局信息系統(tǒng)項(xiàng)目的過(guò)程中，遵循整體規(guī)劃、逐步推進(jìn)、結(jié)合實(shí)際、節(jié)約成本、科學(xué)合理、規(guī)范管理的原則進(jìn)行規(guī)劃和部署，并充分考慮到先進(jìn)性、可行性、開(kāi)放性和可拓展性。具體分為十個(gè)原則：

1.1 標(biāo)準(zhǔn)性等級(jí)原則

根據(jù)對(duì)人社信息系統(tǒng)的綜合評(píng)估，確定好建設(shè)等級(jí)為國(guó)家等級(jí)保護(hù)二級(jí)，因此所有建設(shè)方案及相關(guān)產(chǎn)品均遵循此標(biāo)準(zhǔn)。

1.2 安全、需求、預(yù)算平衡原則

就目前而言不存在絕對(duì)安全的網(wǎng)絡(luò)，無(wú)法做到?jīng)]有任何安全漏洞。我們?cè)趯?duì)網(wǎng)絡(luò)進(jìn)行安全防護(hù)前，應(yīng)對(duì)系統(tǒng)及網(wǎng)絡(luò)進(jìn)行需求分析，充分了解業(yè)務(wù)需求、設(shè)備性能、總體預(yù)算金額、網(wǎng)絡(luò)的穩(wěn)定性、可用性以及后期的維護(hù)成本等因素，對(duì)網(wǎng)絡(luò)中可能存在的風(fēng)險(xiǎn)點(diǎn)進(jìn)行充分的分析，以及可能受到的網(wǎng)絡(luò)攻擊或威脅進(jìn)行必要考量，結(jié)合以上多種因素綜合制定實(shí)施方案及有效的安全防范策略。

1.3 綜合性、全局性原則

人社信息系統(tǒng)的安全防范能力，必然遵循水桶定律，即取決于各項(xiàng)安防措施中最薄弱那個(gè)的環(huán)節(jié)，因此必須高度重視整個(gè)信息系統(tǒng)防御體系中的各個(gè)環(huán)節(jié)，提升整體安全等級(jí)，以及各個(gè)防御環(huán)節(jié)之間的聯(lián)動(dòng)機(jī)制、制約機(jī)制，從全局性視角出發(fā)，做好各環(huán)節(jié)的聯(lián)動(dòng)，實(shí)現(xiàn)整個(gè)安全體系的穩(wěn)定運(yùn)行和統(tǒng)一管理。

1.4 可操作性原則

任何安全體系的建立、設(shè)備的部署、策略的制定，最終都需要人來(lái)完成，如果制定了從理論上來(lái)講是一套完美的防御系統(tǒng)，但卻沒(méi)有操作性或操作極為繁瑣，那將是空中樓閣。因此在制定方案時(shí)需要充分考慮可操作性原則。

1.5 技術(shù)成熟度和先進(jìn)性原則

安全設(shè)備是整個(gè)安防體系中重要的組成部分，因此在選擇安全設(shè)備時(shí)，在考慮到產(chǎn)品性能及先進(jìn)性的同時(shí)，必須要著重考慮成品的成熟度。先進(jìn)性和成熟度有時(shí)是一個(gè)對(duì)立的矛盾關(guān)系，需要進(jìn)行折中式調(diào)和。

1.6 無(wú)縫對(duì)接原則

在對(duì)人社信息系統(tǒng)進(jìn)行安全防御時(shí)，應(yīng)在不改變?cè)芯W(wǎng)絡(luò)架構(gòu)的基礎(chǔ)上完成，對(duì)于所有用戶而言應(yīng)該時(shí)透明的，無(wú)感知的。因此若干安全設(shè)備接入人社專網(wǎng)時(shí)，要做到無(wú)縫對(duì)接，并且不能在網(wǎng)絡(luò)中產(chǎn)生“瓶頸”，對(duì)網(wǎng)絡(luò)性能產(chǎn)生明顯影響。

1.7 可管理性原則

在部署若干安全設(shè)備的同時(shí)，勢(shì)必會(huì)增加對(duì)原有網(wǎng)絡(luò)管理的難度，因此需要有統(tǒng)一的安全管理平臺(tái)，對(duì)所有網(wǎng)絡(luò)安全設(shè)備進(jìn)行監(jiān)控，實(shí)時(shí)了解設(shè)備的工作狀態(tài)及網(wǎng)絡(luò)安全告警事件等信息。

1.8 設(shè)備利舊原則

在對(duì)人社信息系統(tǒng)進(jìn)行安全體系建設(shè)時(shí)，還應(yīng)當(dāng)充分考慮原有設(shè)備的再利用原則，充分做到新、舊設(shè)備合理規(guī)劃、充分利用。

1.9 綜合、長(zhǎng)效治理原則

人社信息系統(tǒng)的等保防護(hù)建設(shè)是一個(gè)龐大的、系統(tǒng)性的工程，系統(tǒng)安全、網(wǎng)絡(luò)安全不是通過(guò)堆疊安全設(shè)備就可以解決的，在充分運(yùn)用各種技術(shù)手段的同時(shí)，還需要對(duì)系統(tǒng)維護(hù)人員、安全管理人員及所有工作人員進(jìn)行安全防范教育，普及相關(guān)的基礎(chǔ)知識(shí)以及法律法規(guī)，實(shí)現(xiàn)綜合、長(zhǎng)效的安全防護(hù)體系。

1.10 整體規(guī)劃、階段性實(shí)施原則

在整個(gè)等保防護(hù)體系建設(shè)工作中，應(yīng)從全局出發(fā)，充分調(diào)研人社信息系統(tǒng)現(xiàn)狀、梳理各流程環(huán)節(jié)，進(jìn)而結(jié)合等保2.0防護(hù)標(biāo)準(zhǔn)，整體規(guī)劃建設(shè)方案，并將工作進(jìn)行拆分，通過(guò)分布走、階段性實(shí)施的原則，逐步提升系統(tǒng)的安全等級(jí)。首先從解決主要矛盾、重要安全隱患入手，不斷提升信息系統(tǒng)的安全防護(hù)能力，最終實(shí)現(xiàn)既定的工作目標(biāo)。

2 設(shè)計(jì)思路

2.1 縱深防御

首先要樹(shù)立的出發(fā)點(diǎn)就是以確保人社數(shù)據(jù)安全為核心，通過(guò)建設(shè)一套以“一個(gè)中心，三重防護(hù)”的縱深防御體系，來(lái)確保人力資源和社會(huì)保障系統(tǒng)的數(shù)據(jù)安全。

“一個(gè)中心，三重防護(hù)”是指以建立一套行之有效的安全管理策略為核心，建設(shè)安全的生產(chǎn)環(huán)境、構(gòu)建科學(xué)的安全邊界、搭建安全的通信網(wǎng)絡(luò)，確保人力資源和社會(huì)保障應(yīng)用系統(tǒng)在制度管理和技術(shù)防范下安全穩(wěn)定運(yùn)行，對(duì)各種可能出現(xiàn)的情況做出響應(yīng)計(jì)劃，消除任何意外狀態(tài)，禁止所有非法用戶接入人社專網(wǎng)，制定嚴(yán)格、合理的安全策略，杜絕一切未經(jīng)授權(quán)訪問(wèn)或越權(quán)訪問(wèn)，從而保證人力資源和社會(huì)保障系統(tǒng)的數(shù)據(jù)安全。

安全管理中心是整個(gè)安防體系的控制中心，是信息系統(tǒng)安全人員的辦公地。安全員根據(jù)系統(tǒng)環(huán)境及網(wǎng)絡(luò)架構(gòu)規(guī)劃設(shè)計(jì)安全策略，并將制定的策略在生產(chǎn)環(huán)境和區(qū)域邊界進(jìn)行部署，從而形成有效的防護(hù)體系，以確保人力資源和社會(huì)保障保系統(tǒng)在安全可靠的環(huán)境中運(yùn)行。安全管理中心又可以劃分為以下幾個(gè)子系統(tǒng)：防御、管理和審計(jì)系統(tǒng)。

（1）防御系統(tǒng)負(fù)責(zé)服務(wù)器、網(wǎng)絡(luò)、設(shè)備終端統(tǒng)一管理、調(diào)度和維護(hù)；

（2）管理系統(tǒng)是安全管理的核心，統(tǒng)籌規(guī)劃制定全局性的安全防護(hù)策略，對(duì)各個(gè)系統(tǒng)、網(wǎng)絡(luò)、終端進(jìn)行安全防御，從而形成體系化的網(wǎng)絡(luò)安全防護(hù)，為整個(gè)人社系統(tǒng)提供立體式防護(hù)，確保系統(tǒng)的安全；

（3）審計(jì)系統(tǒng)，監(jiān)控著系統(tǒng)運(yùn)行的各個(gè)流程環(huán)節(jié)，安全員制定好相關(guān)的審計(jì)策略，對(duì)系統(tǒng)運(yùn)行的所有流程環(huán)節(jié)進(jìn)行監(jiān)督記錄，記錄所有用戶的操作日志，以確保所有操作留痕，為后續(xù)的審計(jì)工作提供有效證據(jù)。

一套完整的信息系統(tǒng)通常包含了服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端設(shè)備等，對(duì)其的安全防護(hù)就形成了一個(gè)安全生產(chǎn)環(huán)境，應(yīng)用系統(tǒng)安全的基礎(chǔ)是生產(chǎn)環(huán)境安全。節(jié)點(diǎn)系統(tǒng)、應(yīng)用系統(tǒng)兩者結(jié)合構(gòu)成了生產(chǎn)環(huán)境。節(jié)點(diǎn)子系統(tǒng)是一種系統(tǒng)安全機(jī)制，通過(guò)對(duì)電腦終端進(jìn)行控制進(jìn)而禁用相關(guān)API和端口，通過(guò)對(duì)外部訪問(wèn)行為的控制，嚴(yán)格管控非授權(quán)用戶的非法訪問(wèn)，以及越權(quán)用戶的違規(guī)訪問(wèn)行為，從而實(shí)現(xiàn)了系統(tǒng)不會(huì)遭到惡意破壞或數(shù)據(jù)泄露等風(fēng)險(xiǎn)，保障了人社系統(tǒng)的安全。應(yīng)用防護(hù)系統(tǒng)，通過(guò)對(duì)應(yīng)用服務(wù)進(jìn)行二次封裝，一是實(shí)現(xiàn)了對(duì)數(shù)據(jù)流的有效控制，二是增強(qiáng)了系統(tǒng)數(shù)據(jù)的防干擾能力，不會(huì)受到外來(lái)惡意程序的篡改，有效保護(hù)了數(shù)據(jù)的安全。

安全邊界指的是人社各業(yè)務(wù)系統(tǒng)的邏輯邊界，是人社內(nèi)部業(yè)務(wù)系統(tǒng)和內(nèi)網(wǎng)以外的系統(tǒng)數(shù)據(jù)交換的必經(jīng)之路，我們可以通過(guò)對(duì)區(qū)域邊界加強(qiáng)安全防護(hù)，實(shí)現(xiàn)對(duì)接入人社系統(tǒng)的外部設(shè)備或數(shù)據(jù)信息進(jìn)行安全檢查，既可以保證應(yīng)區(qū)域內(nèi)的系統(tǒng)不受攻擊，也可以防止業(yè)務(wù)數(shù)據(jù)信息被竊取。

通信網(wǎng)絡(luò)是內(nèi)部應(yīng)用系統(tǒng)之間以及內(nèi)部應(yīng)用系統(tǒng)與外部應(yīng)用系統(tǒng)之間進(jìn)行數(shù)據(jù)交換的媒介，安全的通信網(wǎng)絡(luò)設(shè)備能夠保證應(yīng)用系統(tǒng)之間交互信息的完整性。

通過(guò)我們構(gòu)建的三重防護(hù)體系，為人社信息系統(tǒng)編織了一套全方位的防護(hù)網(wǎng)絡(luò)，對(duì)內(nèi)既可以防止用戶的非法訪問(wèn)和越權(quán)訪問(wèn)，對(duì)外既可以防止外部用戶的攻擊破壞，又可以避免數(shù)據(jù)的竊取或篡改，真正做到了“防內(nèi)為主，內(nèi)外兼防”，為提高人社信息系統(tǒng)的安全性提供了行之有效的防護(hù)方案。

2.2 動(dòng)態(tài)綜合防御

安全保障不是被動(dòng)的解決單個(gè)環(huán)節(jié)、單一層面上的問(wèn)題，而必須在信息存儲(chǔ)、計(jì)算和交互等多方面全方位、多層次地從技術(shù)、管理等維度全面發(fā)力，進(jìn)行無(wú)死角的安全設(shè)計(jì)和建設(shè)，我單位信息系統(tǒng)按照“積極防御、綜合防范”戰(zhàn)略要求整體采用覆蓋C端、邊界和核心等環(huán)節(jié)的檢測(cè)、響應(yīng)、防護(hù)和恢復(fù)等多種主被動(dòng)措施和手段，對(duì)系統(tǒng)進(jìn)行實(shí)時(shí)的、全面的保護(hù)，攻擊者即使成功突破了部分保護(hù)措施的情況下，其他保護(hù)措施仍然能夠有效地對(duì)系統(tǒng)進(jìn)行保護(hù)，防止威脅與風(fēng)險(xiǎn)繼續(xù)擴(kuò)大，保證系統(tǒng)長(zhǎng)期穩(wěn)定可靠的運(yùn)行，為維護(hù)人員預(yù)留出寬裕的反制時(shí)間。

2.3 安全域規(guī)劃

從整體安全域的視角進(jìn)行分析，考慮整個(gè)業(yè)務(wù)系統(tǒng)中可能存在的安全隱患。我們通常所說(shuō)的安全域，一般是指要素相關(guān)并且安全等級(jí)相等的信息系統(tǒng)的總合，通常這些要素包含：硬件設(shè)備、網(wǎng)絡(luò)環(huán)境、技術(shù)人員、整體架構(gòu)、策略流程、業(yè)務(wù)和目標(biāo)……

根據(jù)安全域的整體規(guī)劃對(duì)網(wǎng)絡(luò)按照不同的業(yè)務(wù)模塊進(jìn)行邏輯劃分，一般可以分為數(shù)據(jù)存儲(chǔ)、結(jié)算和信息交互等不同的安全域，各個(gè)安全域內(nèi)部又根據(jù)的不同的專網(wǎng)、機(jī)構(gòu)層級(jí)和服務(wù)對(duì)象劃分為不同的安全子域。針對(duì)每個(gè)安全域或安全子域的運(yùn)行環(huán)境和業(yè)務(wù)特點(diǎn)針對(duì)性的分析所存在的安全隱患和面臨的安全風(fēng)險(xiǎn)，以此為依據(jù)有側(cè)重的制定具有針對(duì)性的安全防護(hù)方案；我們需要在安全邊界部署符合業(yè)務(wù)需要的安全控制策略、身份認(rèn)證系統(tǒng)以及日志審計(jì)系統(tǒng)，通過(guò)行之有效的安全防護(hù)來(lái)確保不同安全域之間的數(shù)據(jù)交互，以及安全域內(nèi)部之間的數(shù)據(jù)交互。

3 安全通信網(wǎng)絡(luò)設(shè)計(jì)

網(wǎng)絡(luò)架構(gòu)的設(shè)計(jì)是否安全，決定著通信網(wǎng)絡(luò)的安全，是實(shí)現(xiàn)通信網(wǎng)絡(luò)安全的重點(diǎn)，它包括了網(wǎng)絡(luò)安全區(qū)域的合理劃分，重要網(wǎng)絡(luò)區(qū)域部署和防護(hù)，網(wǎng)絡(luò)通信中數(shù)據(jù)完整性防護(hù)等。因此，在網(wǎng)絡(luò)層面需要采用安全技術(shù)手段，防御來(lái)自外部的惡意入侵，并對(duì)數(shù)據(jù)的有效性進(jìn)行防護(hù)。結(jié)合人社業(yè)務(wù)系統(tǒng)工作需要，根據(jù)等保要求，規(guī)劃設(shè)計(jì)了如圖1所示的網(wǎng)絡(luò)架構(gòu)圖。

圖1：網(wǎng)絡(luò)架構(gòu)圖

3.1 網(wǎng)絡(luò)架構(gòu)安全設(shè)計(jì)

根據(jù)信息系統(tǒng)的功能劃分，將網(wǎng)絡(luò)劃分不同的安全區(qū)域，比如Trsut、Untrust、DMZ等，同時(shí)還需為各區(qū)域分配相應(yīng)的地址和設(shè)置默認(rèn)路由。在安全域劃分基礎(chǔ)上，還需兼顧到對(duì)網(wǎng)絡(luò)管理的便捷性、網(wǎng)絡(luò)資源管理的安全性等因素，因此需要根據(jù)不同安全域邊界功能、防護(hù)等級(jí)、等因素而針對(duì)性的設(shè)置安全策略，通過(guò)設(shè)置相應(yīng)的網(wǎng)絡(luò)地址轉(zhuǎn)換策略和端口控制策略，這樣可以實(shí)現(xiàn)對(duì)重要網(wǎng)絡(luò)區(qū)域的隱蔽，可以對(duì)需要鏈接互聯(lián)網(wǎng)的應(yīng)用系統(tǒng)及網(wǎng)絡(luò)區(qū)域進(jìn)行安全防護(hù)。

3.1.1 安全域劃分

對(duì)人社信息系統(tǒng)劃分不同的安全區(qū)域，并為各安全區(qū)域分配相應(yīng)的地址和設(shè)置默認(rèn)路由。

3.1.2 區(qū)域邊界隔離

將下一代防火墻部署在人社信息系統(tǒng)的互聯(lián)網(wǎng)出口區(qū)、各外聯(lián)區(qū)的核心交換機(jī)上，并通過(guò)NAT（地址轉(zhuǎn)換）策略和端口控制策略，實(shí)現(xiàn)對(duì)重要網(wǎng)絡(luò)區(qū)域的隱蔽，可以對(duì)需要鏈接互聯(lián)網(wǎng)的應(yīng)用系統(tǒng)及網(wǎng)絡(luò)區(qū)域進(jìn)行安全防護(hù)。

3.2 通信傳輸安全設(shè)計(jì)

對(duì)于移動(dòng)辦公、遠(yuǎn)程運(yùn)維人員通過(guò)互聯(lián)網(wǎng)登錄到信息系統(tǒng)進(jìn)行的業(yè)務(wù)交互操作或遠(yuǎn)程管理操作，需要采用IPSEC或SSL VPN技術(shù)保證重要、敏感信息在網(wǎng)絡(luò)傳輸過(guò)程中完整性和保密性。

3.3 區(qū)域邊界安全設(shè)計(jì)

為了防護(hù)內(nèi)部各系統(tǒng)生產(chǎn)環(huán)境的安全以及杜絕涉密信息的泄露，必須加強(qiáng)安全區(qū)域邊界的設(shè)計(jì)和規(guī)劃；通過(guò)在區(qū)域邊界設(shè)置嚴(yán)格的安全策略，可以實(shí)現(xiàn)對(duì)所有進(jìn)、出數(shù)據(jù)的管控和審計(jì)。對(duì)內(nèi)可以保證參保人員敏感信息不會(huì)泄漏到應(yīng)用系統(tǒng)外部，對(duì)外可以阻擋外界的惡意攻擊破壞數(shù)據(jù)庫(kù)或應(yīng)用系統(tǒng)。

3.3.1 邊界防護(hù)、訪問(wèn)控制

在人社信息系統(tǒng)的互聯(lián)網(wǎng)接入鏈路，各個(gè)外聯(lián)區(qū)接入交換機(jī)與業(yè)務(wù)交換機(jī)之間分別串聯(lián)部署下一代防火墻，確保所有跨越邊界的訪問(wèn)和所有流入、流出的數(shù)據(jù)均通過(guò)其受控接口進(jìn)行通信、接受安全檢查和處理。

3.3.2 入侵防范

3.3.2.1 入侵檢測(cè)系統(tǒng)

在人社信息系統(tǒng)核心交換機(jī)上及各個(gè)分支節(jié)點(diǎn)旁路部署入侵檢測(cè)系統(tǒng)，并在交換機(jī)上設(shè)置端口鏡像，將流經(jīng)交換機(jī)各個(gè)重要通信端口的進(jìn)出雙向數(shù)據(jù)流量鏡像到IDS（入侵檢測(cè)），由入侵檢測(cè)系統(tǒng)對(duì)所有網(wǎng)絡(luò)流量進(jìn)行檢測(cè)，以便發(fā)現(xiàn)網(wǎng)絡(luò)中的攻擊行為，并及時(shí)通報(bào)給系統(tǒng)管理員。一旦發(fā)現(xiàn)攻擊可通過(guò)與防火墻聯(lián)動(dòng)或發(fā)阻斷包等方式進(jìn)行限制。

3.3.2.2 入侵防御系統(tǒng)

在人社信息系統(tǒng)的互聯(lián)網(wǎng)出口邊界的下一代入侵防御設(shè)備上開(kāi)啟入侵防御功能，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊行為的全方位檢測(cè)和立體呈現(xiàn)。一旦發(fā)現(xiàn)攻擊可以阻斷包等方式進(jìn)行防護(hù)。

3.3.2.3 WEB應(yīng)用安全防護(hù)系統(tǒng)

在人社信息系統(tǒng)的WEB服務(wù)器前端部署WAF（WEB應(yīng)用安全防護(hù)系統(tǒng)），通過(guò)WAF系統(tǒng)提供的WEB攻擊防護(hù)，實(shí)現(xiàn)對(duì)SQL注入、XSS攻擊、惡意文件上傳、遠(yuǎn)程命令執(zhí)行、惡意掃描等攔截，從而保護(hù)WEB應(yīng)用服務(wù)的安全，真正實(shí)現(xiàn)了從應(yīng)用層和業(yè)務(wù)層解決WEB網(wǎng)站安全的問(wèn)題。

3.3.3 惡意代碼

在人社信息系統(tǒng)的互聯(lián)網(wǎng)出口邊界及外聯(lián)區(qū)的下一代防火墻上開(kāi)啟病毒過(guò)濾功能，對(duì)其他網(wǎng)絡(luò)流入的數(shù)據(jù)進(jìn)行病毒、惡意代碼掃描和和過(guò)濾處理。同時(shí)人社專網(wǎng)上達(dá)省廳、下達(dá)街道社區(qū)，專網(wǎng)內(nèi)部不同的網(wǎng)絡(luò)區(qū)域由不同的主體運(yùn)維和使用。

防火墻不能簡(jiǎn)單的定義為承載著阻斷外部網(wǎng)絡(luò)的病毒、蠕蟲(chóng)、木馬及各種惡意代碼對(duì)網(wǎng)絡(luò)內(nèi)部攻擊的功能。還需要根據(jù)不同的外聯(lián)邊界將我部門管轄的網(wǎng)絡(luò)分割為多個(gè)區(qū)域，防止內(nèi)部某個(gè)區(qū)域的攻擊向其他區(qū)域擴(kuò)散。

3.4 安全生產(chǎn)環(huán)境設(shè)計(jì)

生產(chǎn)環(huán)境是人社各業(yè)務(wù)應(yīng)用系統(tǒng)實(shí)際部署及運(yùn)行環(huán)境，包括硬件（電腦終端、服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備等）、應(yīng)用系統(tǒng)、數(shù)據(jù)、存儲(chǔ)與備份等，生產(chǎn)環(huán)境安全是應(yīng)用系統(tǒng)安全的根本。

3.4.1 安全審計(jì)

在數(shù)據(jù)庫(kù)服務(wù)器所連接的交換機(jī)上旁路部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，對(duì)來(lái)自網(wǎng)絡(luò)的數(shù)據(jù)庫(kù)訪問(wèn)行為進(jìn)行記錄，及時(shí)判斷出違規(guī)操作或外部入侵行為并進(jìn)行記錄、報(bào)警，為數(shù)據(jù)庫(kù)系統(tǒng)的安全運(yùn)行及事后審計(jì)提供有力保障。

3.4.2 入侵防范

人社系統(tǒng)的終端承載著業(yè)務(wù)窗口經(jīng)辦的功能。其中不可避免地需要使用U盤等存儲(chǔ)介質(zhì)，與前來(lái)辦理業(yè)務(wù)的市民或組織進(jìn)行數(shù)據(jù)交互。所以在業(yè)務(wù)經(jīng)辦終端進(jìn)行入侵防御顯得尤為重要。為此我部門設(shè)置了三道屏障。

（1）在終端部署殺毒軟件，并定期進(jìn)行查殺和軟件升級(jí)；

（2）借助基于網(wǎng)絡(luò)的脆弱性掃描與管理系統(tǒng)，通過(guò)遠(yuǎn)程檢測(cè)目標(biāo)系統(tǒng)TCP/IP不同端口所提供的服務(wù)，分析目標(biāo)給予的應(yīng)答，搜集目標(biāo)系統(tǒng)上的漏洞信息，然后與系統(tǒng)內(nèi)置的漏洞庫(kù)進(jìn)行匹配，對(duì)存在的安全漏洞進(jìn)行針對(duì)性維護(hù)。

（3）在匯聚業(yè)務(wù)終端的交換機(jī)后端部署防火墻。阻隔感染病毒的終端向內(nèi)部擴(kuò)散病毒。

3.4.3 惡意代碼

在人社信息系統(tǒng)中所有服務(wù)器、終端系統(tǒng)上部署終端威脅防御系統(tǒng)，實(shí)現(xiàn)的統(tǒng)一病毒查殺、漏洞管理、系統(tǒng)加固、軟件管理、流量監(jiān)控、資產(chǎn)管理等安全功能，有效地保護(hù)計(jì)算環(huán)境內(nèi)用戶計(jì)算機(jī)系統(tǒng)安全和信息數(shù)據(jù)安全。在安全管理區(qū)部署統(tǒng)一的終端威脅防御系統(tǒng)管理服務(wù)器和病毒庫(kù)升級(jí)服務(wù)器，確保全網(wǎng)終端具有一致的威脅防御策略和最新的病毒查殺能力。

3.5 管理中心安全設(shè)計(jì)

安全管理中心需要有三類角色存在，即系統(tǒng)管理員、審計(jì)管理員和安全管理員，這三個(gè)角色需要做到三權(quán)分立，對(duì)各類管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的堡壘機(jī)和賬戶登錄，進(jìn)而進(jìn)行權(quán)限范圍內(nèi)的管理操作，并使用日志管理系統(tǒng)對(duì)這些操作進(jìn)行記錄和審計(jì)。

在信息系統(tǒng)的安全管理區(qū)部署堡壘主機(jī)，在人社信息系統(tǒng)與運(yùn)維人員之間搭建一個(gè)安全防護(hù)屏障，使得每個(gè)維護(hù)人員具有唯一的安全入口，并為所有維護(hù)人員提供統(tǒng)一的交互界面，從而確保維護(hù)人員的所有操作行為有跡可循。在安全管理區(qū)部署一套集中的日志收集和分析系統(tǒng)，通過(guò)被動(dòng)采集（SYSLOG、SNMPTRAP）或主動(dòng)采集（ODBC/JDBC、文件讀取、安裝AGENT）的方式對(duì)信息系統(tǒng)中所有網(wǎng)絡(luò)設(shè)備、服務(wù)器操作系統(tǒng)、應(yīng)用系統(tǒng)、安全設(shè)備、安全軟件管理平臺(tái)等所產(chǎn)生的日志數(shù)據(jù)進(jìn)行統(tǒng)一采集、存儲(chǔ)、分析和統(tǒng)計(jì)，通過(guò)圖形化界面為管理人員提供形象易懂的態(tài)勢(shì)感知、日志分析、異常報(bào)警等功能，并按照等保要求長(zhǎng)期妥善保存日志數(shù)據(jù)以便隨時(shí)倒查。

4 建設(shè)步驟及內(nèi)容

根據(jù)等保2.0的標(biāo)準(zhǔn)，結(jié)合人社信息系統(tǒng)的運(yùn)作特性構(gòu)建設(shè)計(jì)思路，等級(jí)保護(hù)的設(shè)計(jì)與實(shí)施通過(guò)以下步驟實(shí)現(xiàn)：評(píng)估現(xiàn)行系統(tǒng)、安全域設(shè)計(jì)劃分、確定安全域安全要素、整體安全保障體系方案設(shè)計(jì)、方案建設(shè)與實(shí)施、信息系統(tǒng)定級(jí)與備案、安全運(yùn)維制度化。通過(guò)以上步驟，人社信息系統(tǒng)可以初步形成系統(tǒng)性的安全保障，同時(shí)根據(jù)安全技術(shù)建設(shè)和安全管理建設(shè)，保障信息系統(tǒng)整體的安全。

依據(jù)國(guó)家相關(guān)政策要求，在技術(shù)體系的層面，對(duì)信息系統(tǒng)進(jìn)行安全建設(shè)，主要覆蓋以下四個(gè)方面內(nèi)容：

（1）安全通信網(wǎng)絡(luò)，主要考慮如何劃分安全域、如何實(shí)現(xiàn)區(qū)域邊界的隔離、VPN網(wǎng)絡(luò)搭建。

（2）安全區(qū)域邊界，主要考慮邊界安全防護(hù)及策略配置、用戶權(quán)限及行為管理、病毒過(guò)濾、WEB應(yīng)用安全防護(hù)系統(tǒng)、入侵防御系統(tǒng)。

（3）安全生產(chǎn)環(huán)境，主要考慮惡意代碼防護(hù)、日志收集分析報(bào)警系統(tǒng)、入侵檢測(cè)系統(tǒng)、數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)。

（4）安全管理中心，主要考慮三員管理、日志收集和分析系統(tǒng)、運(yùn)維訪問(wèn)控制和安全審計(jì)。

5 建設(shè)收益

通過(guò)等保2.0項(xiàng)目建設(shè)，收益表現(xiàn)在短期效益和長(zhǎng)期效益兩方面：

從短期效益來(lái)看，可以達(dá)到：使IT系統(tǒng)符合業(yè)務(wù)發(fā)展需求；滿足網(wǎng)絡(luò)安全的合規(guī)性需求；建立良好的安全管理運(yùn)維體系；均衡IT投入和產(chǎn)出；有效降低惡性風(fēng)險(xiǎn)事件帶來(lái)的直接經(jīng)濟(jì)損失；降低因安全風(fēng)險(xiǎn)帶來(lái)的負(fù)面影響和代價(jià)預(yù)期。

從長(zhǎng)期效益來(lái)看，可以實(shí)現(xiàn)：IT的投資建設(shè)進(jìn)入良性循環(huán)；促進(jìn)業(yè)務(wù)的良好持續(xù)發(fā)展；防范網(wǎng)絡(luò)安全問(wèn)題引發(fā)的社會(huì)不良影響；降低網(wǎng)絡(luò)安全問(wèn)題可能引發(fā)的法律風(fēng)險(xiǎn)和商業(yè)風(fēng)險(xiǎn)；保護(hù)知識(shí)產(chǎn)權(quán)，杜絕核心數(shù)據(jù)外泄；實(shí)現(xiàn)全方位威脅檢測(cè)和防護(hù)體系。