您当前所在位置: 首页 > 解决方案 > 行业解决方案  > 交通行业 > 解决方案

浪潮交通管理部门数据中心等级保护建设方案

发布时间: 2014年09月03日

  一、需求与挑战

  近年来,随着信息技术和计算机技术的飞速发展,安全事件对攻击者的技术要求越来越简单,实施攻击的成本越来越低, 交通管理部门数据中心所面临的安全威胁越来越大,安全的重要性也就越来越突出。

  信息安全等级测评依据国家信息安全等级保护有关标准,对交通管理部门数据中心已定级为3级的某信息系统开展信息安全等级测评,通过测评确定信息系统安全保护能力是否达到3级的基本要求,分析系统安全保护现状与3级的保护要求之间的差距,并对发现的差距提出整改建议,从而有效落实国家信息安全等级保护有关政策,为提高交通管理部门数据中心信息安全保护能力打下基础。

  实施信息安全等级保护,可以有效地提高某信息系统安全建设的整体水平,为单位对外服务业务发展和安全建设指明了方向。实施信息安全等级保护有利于在信息化建设过程中同步建设信息安全设施,保障信息安全与信息化建设相协调;有利于加强对涉及国家安全、经济秩序、社会稳定和公共利益的信息系统的安全保护和管理监督;有利于明确国家、法人和其他组织、公民的安全责任,强化政府监管职能,共同落实各项安全建设和安全管理措施;有利于提高安全保护的科学性、整体性、针对性,推动信息安全产业水平,逐步探索一条适应社会主义市场经济发展的信息系统安全的。

  交通管理部门数据中心方案测评包含了单元测评和整体测评。单元测评范围和内容包括:物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、终端安全、安全管理(安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理)等7个方面。整体测评范围包括了安全控制点间、层面间、区域间和系统结构的测评。测评的方法包括人员访谈、查阅文档、实地考察、实际操作和工具测试5种。

  通过对测评结果的分析,信息系统在信息安全方面一般面临如下风险:

  安全管理制度体系不够完善,部分制度执行不够规范。主要表现在:安全管理制度不够完善,部分制度缺乏可操作性,部分制度在落实中存在一定偏差;未聘请信息安全专家作为安全顾问;信息中心人员紧张,系统开发人员、系统管理人员、安全人员、网络安全管理员等关键岗位未配备备岗人员;部分重要岗位人员对信息安全专业技能掌握不深入,需进一步加强;人员离岗时未签署保密协议等。

  物理环境安全整体较好,但也存在一定的安全隐患。机房物理访问控制、机房防火、机房供配电等方面都存在不同程度的安全风险。

  网络基础设施不完善,设备配置管理不到位。主要问题表现在:网络未划分安全域,不同网段间未制定访问控制策略,部分设备安全审计功能不健全,未采用两种或两种以上的组合方法进行身份鉴别,未部署网络恶意代码防范设备等。

  主机和应用软件安全防护不完善,存在安全隐患。主要表现在:应用系统未提供服务优先级设定功能,对单个账户的多重并发会话连接数未进行限制。应用软件系统和主机操作系统均未完全采用强化管理的口令,主机操作系统无登陆失败处理功能,未安装防恶意代码软件,未设置登录终端的操作超时锁定,未限制单个用户对系统资源的最大或最小使用限度;应用软件系统和数据库管理系统均未开启审计功能。

  终端存在安全隐患。主要表现在:对登录用户未采用两种或两种以上的组合方法进行身份鉴别;未设置登录失败处理功能;未实现对敏感信息的标记与控制;终端审计功能不完善;开启了不安全的端口和服务;不具有与网络防恶意代码产品不同的恶意代码库。

  建议交通管理部门数据中心重点从5个方面进行整改:

  完善安全管理制度,加强安全管理。

  增强机房安全防护措施,消除安全隐患。

  优化网络结构,合理地实现内网安全区域划分,加强集中管理。

  加固主机、升级应用软件安全功能。

  加强终端安全。

  二、浪潮交通管理部门数据中心等级保护建设方案

  通过对信息系统的测评可以得出,交通管理部门数据中心在物理安全、网络安全、主机和应用系统安全、安全管理等各个方面都存在一些问题。建议在以下几个方面进行整改:

  

                                  

 

  物理环境

  机房物理访问控制措施不完善

  差距分析:机房内未划分安全区域,且无物理隔离装置,机房未安装门禁系统。重要系统设备存在被非法授权人员操作、破坏的风险。

  建议:机房划分安全区域,设置物理隔离装置,机房安装门禁系统,加强机房访问控制管理。

  机房防火控制措施不完善

  差距分析:所有机房均未设置自动灭火系统。火灾可能无法及时扑灭,重要系统设备存在被火灾损坏的风险。

  建议:机房设置自动灭火系统。

  视频监控系统存在盲区

  差距分析:机房视频监控系统存在盲点(UPS处),恶意用户可能利用此盲点,对机房动力系统进行破坏操作,影响业务系统的正常运行。

  建议:对机房的视频监控系统进行升级改造,实现对机房环境的全方位、多角度监控。

  机房无备用发电机

  差距分析:机房仅靠UPS和双路市电供应,未配备备份发电机,如果发生故障,容易造成机房动力系统供电不足或无电力供应情况,从而影响业务系统的正常运行。

  建议:购置备用发电机。

  机房窗户未做密封防水处理

  差距分析:机房和机房均有对外窗户,未做密封防水处理,如果发生窗户进水的情况,容易造成机房积水情况。

  建议:对机房窗户做密封防水处理。

  网络安全

  未制定带宽控制策略

  差距分析:未采用带宽管理设备,网络中无带宽控制策略,发生网络拥堵时无法保证重要主机的带宽需要。

  建议:应在业务内网采用网络QoS或部署专用带宽管理设备,在网络发生拥堵时优先保证重要主机的带宽需要。

  部分链路为单链路,缺乏冗余配置

  差距分析:业务内网与部分横向连接单位的连接为单链路,如果发生故障,容易造成网络瘫痪,影响业务系统的正常运行。

  建议:规划网络拓扑,实现在线路或设备故障时候能及时切换到备份线路或设备。

  网络设备登录范围控制不严格

  差距分析:部分网络设备未设置固定登录IP地址,个别设备未修改默认用户名与口令,大部分设备口令的组合方式是:字母,数字,并没有特殊符号,容易遭受口令攻击。

  建议:所有网络设备应该设置明确的管理IP地址,对设备应设置强化管理的口令,修改默认的用户名和口令。

  网络设备和安全设备身份鉴别措施不完善

  差距分析:网络设备和安全设备只使用一种用户身份鉴别方式,非授权人员可通过口令攻击、密码分析、社会工程等手段入侵网络系统。通过telnet维护网络设备,非授权人员能够通过侦听网络中明文传输的数据包,获取传输中的用户名和口令,然后对设备进行非法访问和配置。

  建议:对网络设备和安全设备采取两种或两种以上用户身份鉴别方式。在设备登录时采用SSH协议,对鉴别信息进行加密处理。

  网络恶意代码防范功能不完善

  差距分析:未配置网络恶意代码防范设备,系统存在受到恶意代码破坏的风险。

  建议:建议:增加网络恶意代码防范设备,增强网络对恶意代码的防范能力。

  网络安全审计功能不完善

  差距分析:部分设备存在审计日志服务未开启、无保护审计记录丢失的措施或审计日志未发送到SOC安全管理平台等问题,SOC安全管理平台的审计内容仅包括安全事件,不包括用户行为。当非授权用户进行恶意攻击或者口令破解等操作时,SOC安全管理平台所做记录不完整,无法及时发现和定位攻击行为,存在很大的安全隐患。

  建议:将全部设备审计日志发送到SOC安全管理平台,将重要用户的行为纳入审计范围,对审计日志定期备份并加强管理。

  系统应用安全

  主机和应用软件的身份鉴别功能不完善

  差距分析:主机系统、数据库系统和应用软件系统均未设置强化管理的口令策略,主机系统、数据库系统未提供登录失败处理功能。非授权人员可能通过口令攻击、密码分析、身份假冒、社会工程等手段,非法登录主机操作系统、数据库系统和应用软件系统,进行恶意操作,导致系统数据被篡改或系统瘫痪。

  建议:设置主机系统、数据库系统和应用软件系统的强化管理的口令策略和主机系统和数据库系统的登录失败处理功能。

  主机的访问控制策略不全面

  差距分析:未对主机重要信息资源设置敏感标记,并且未依据安全策略严格控制用户对有敏感标记重要信息资源的操作。非授权人员可能利用多种手段窃取系统重要数据,导致系统数据遭到破坏。

  建议:逐步实现对主机重要信息资源设置敏感标记,并且依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

  特权用户的权限分配不合理

  差距分析:未授予管理用户所需的最小权限,未实现操作系统特权用户的权限分离,未严格限制默认账户的访问权限,管理员具有最大权限。可能会导致特权用户利用自己的权限故意或非故意破坏系统。

  建议:仅授予管理用户所需的最小权限,设置管理员、安全员、审计员,并实现特权用户的权限分离,严格限制默认账户的访问权限。

  主机和应用系统未开启审计功能

  差距分析:应用系统和数据库管理系统未开启审计功能,当非授权用户进行恶意攻击或者口令破解等操作时,系统无法进行详细记录,无法对审计数据进行分析,无法及时发现和定位攻击行为,存在安全隐患。

  建议:开启并合理设置应用软件系统和数据库管理系统的安全审计策略,或通过第三方软件实现对该系统的审计功能,并为集中审计和安全数据汇集提供统一接口。

  主机系统未设置入侵监测装置,未安装恶意代码防范软件

  差距分析:主机系统未设置入侵监测装置,也未安装恶意代码防范软件;非授权人员通过扫描、渗透等手段的恶意入侵系统,窃取业务数据,破坏系统的正常运行。

  建议:关闭主机操作系统不必要的服务;部署入侵防范设备和恶意代码防范设备,并合理安全配置。

  主机和应用软件系统资源控制功能不完善

  差距分析:未对应用软件系统资源的使用进行限制,未限制单个账户的多重并发会话连接数,容易造成系统资源的无限制使用,引起系统性能下降,甚至系统瘫痪。

  建议:通过安装第三方软硬件对系统资源的访问和单个账户的多重并发会话连接数进行控制,防止资源的无限制占用。通过已有的网管监控平台软件实现对系统所有服务器资源的使用进行监测,并实现报警功能。

  终端安全

  终端系统的身份鉴别功能不完善

  差距分析:终端系统的身份鉴别功能不完善,非授权人员通过口令攻击、密码分析、身份假冒、社会工程等手段,非法登录终端系统,导致系统数据被窃取、篡改或系统瘫痪。

  建议:采用两种或两种以上机制的组合方法进行鉴别,强化管理口令,设置登录失败处理功能,以及加强对终端设备账户(包括操作系统用户、应用系统管理员账户、操作员帐户等)的管理。

  终端系统未设置敏感信息控制策略

  差距分析:终端只是实现了访问控制,但是未实现敏感信息控制。敏感信息控制是抵御特洛伊木马的攻击的有力手段,非授权人员可能利用多种手段窃取终端系统重要数据,导致系统数据遭到破坏。

  建议:逐步实现终端系统敏感信息控制功能。

  终端系统的审计功能不完善

  差距分析:终端系统的审计功能不完善,当非授权用户进行恶意攻击或者口令破解等操作时,系统没有任何记录,无法对审计数据进行分析,无法及时发现和定位攻击行为,存在安全隐患。

  建议:设置终端系统的安全审计策略。

  终端系统入侵防范机制不完善

  差距分析:开启了不安全的端口和服务;非授权人员通过扫描、渗透等手段的恶意入侵系统,窃取用户数据,破坏终端系统的正常运行。

  建议:关闭终端不安全的端口和服务,卸载不必要的软件;安装入侵监测工具,并实现集中管理。

  安全管理

  信息安全管理制度体系不完善

  差距分析:信息安全制度体系不完善,安全管理工作无章可循。

  建议:完善信息系统安全管理制度,有针对性出台分项管理制度,每年按规定对安全管理制度的合理性和适用性进行检查和评审。

  信息安全工作人员不足,难以按照相关要求落实信息安全岗位职责

  差距分析:安全岗位、数据库岗位等关键管理岗位人员不足,无法落实安全岗位、数据库岗位等关键管理岗位人员应该两人或两人以上担任的管理要求。

  建议:适当增加信息中心工作人员。系统开发人员、系统管理人员、安全人员、网络安全管理员等关键岗位都未配备备岗人员。

  缺少人员岗位审核和考核、无人员离岗相关管理制度

  差距分析:在人员录用时未对从事信息安全相关岗位工作人员的身份、背景、专业资格和技术技能等进行审查和考核,人员离岗时虽然能够采取收回权限、物品等措施,但是没有建立人员离岗有关的规章制度,容易减弱人员的安全保密意识和责任感,容易导致滥用权限、信息泄露等隐患。

  建议:建立人员岗位审核和考核、无人员离岗相关管理制度。关键岗位人员录用时进行身份、背景、专业资格和技术技能等的专门审查和考核,不能仅依靠公务员录用考核。人员离岗时未签署保密协议,建议全面完善保密协议的覆盖范围。

  应用系统开发过程缺乏有效的安全管理

  差距分析:应用系统设计阶段提出的安全要求不规范,软件开发过程缺乏严格的安全控制措施。系统上线后存在安全隐患,容易遭到攻击入侵。

  建议:严格对安全设计、软件开发、工程实施、测试验收等安全发的各个环节进行。选择有资质的信息技术安全服务商进行信息安全技术支持工作。

  存储介质安全管理不够规范

  差距分析:存储介质安全管理不够规范。存储介质无专人进行分类登记和标识,未采取有效的保护措施。使用移动存储介质传输数据后,不能完全清除数据。这会引起网络病毒传播、敏感文件丢失等安全隐患。

  建议:加强对信息类资产的管理,对信息资产的分类、标识及信息使用、传输、存储做明确规定。对存储介质和移动设备进行严格管理,使用存储介质传输数据后,应使用专业工具对数据清除。存储介质的销毁需进行严格审批,并有两人以上共同实施销毁。

  安全运维管理不够完善

  差距分析:未进行过网络与信息安全应急响应演练,不能及时发现安全问题。

  建议:定期进行应急响应演练。

  三、浪潮解决方案优势及价值

  浪潮作为中国最早的信息安全厂商之一,96年开始进行信息安全产品、技术的研发与推广;是国家信息安全等级保护政策的参与者、制定者和推广者之一;中国主机安全、数据中心安全的领先品牌,是CCID评选的中国信息安全值得信赖品牌、中国主机安全国内市场占有率第一等;

  浪潮信息安全作为最早的国内安全产品提供商和解决方案商,1996年开始进行信息安全产品、技术的研发与推广;是国家信息安全等级保护政策的参与者、制定者和推广者之一;浪潮信息安全依据国家等级保护相关技术要求,推出了国内第一款操作系统安全增强系统SSR,填补了我国操作系统安全方面的长期空白。浪潮SSR是中国第一款主机安全加固软件系统,中央电视台曾专门报道其填补了我国操作系统安全领域的空白;中国唯一通过微软认证的产品,入选国家公布、安全、保密、总参等行业,符合国家信息安全三级防护要求,在政府、军队军工、央企、2010年上海世博会、2008年奥运会等遍及全国的上万个客户中得广泛成熟的应用。

  浪潮信息安全的技术发展理念:自主可控、安全可靠;自主可控是为了解决交通管理部门数据中心中核心的应用依然运行在国外主流品牌构建的系统平台上;安全可靠则针对当前数据中心,因为采取了多个品牌、类型的软硬件系统,按照国家等级保护、分级保护政策而定的方案,通过四个产品模块提升客户数据中心的安全防护能力和等级。

  浪潮具有信息安全领域所需的所有顶级资质。

  浪潮等级保护规划与整改咨询能给客户带来的收益如下:

  -     符合政策、行业要求,规避政策风险;

  -     分级保护、分级响应、分级处置,风险分担、责任分担;

  -     明确信息安全建设方向及建设重点;

  -     培养内部人才,提升队伍安全水平;

  -     降低安全风险,降低安全损失。

中科汇联承办,easysite内容管理系统,portal门户,舆情监测,搜索引擎,政府门户,信息公开,电子政务