信息安全等级保护建设项目方案书2

《信息安全等级保护建设项目方案书2》由会员分享，可在线阅读，更多相关《信息安全等级保护建设项目方案书2（40页珍藏版）》请在装配图网上搜索。

1、目 录1 项目背景32 建设目标43 信息安全等级保护综合管理系统43.1 信息安全等级保护综合管理系统概述43.2 系统架构73.3 系统功能93.3.1 定级备案管理93.3.2 建设整改管理103.3.3 等级测评管理113.3.4 安全检查管理123.3.5 风险评估管理133.3.6 风险评估测评133.3.7 风险评估管理143.3.8 日常办公管理153.3.9 统计分析163.3.10 基础数据管理163.3.11 分级管理183.3.12 系统接口183.4 系统安全性193.5 系统部署203.6 系统配置要求204 网安全管理系统214.1 网安全管理系统概述214.2

2、产品架构214.2.1 终端监控引擎224.2.2 总控中心224.2.3 管理控制台224.2.4 系统数据库224.3 产品功能234.3.1 终端运维管理234.3.2 终端安全加固244.3.3 终端安全审计254.3.4 网络准入控制254.3.5 移动存储管理264.4 产品性能264.4.1 终端引擎性能264.4.2 总控性能264.4.3 产品性能指标274.5 产品规274.6 产品部署275 控管理平台（堡垒主机）295.1 堡垒主机概述295.2 产品功能295.2.1 账号管理295.2.2 主账号管理305.2.3 从账号管理305.2.4 授权管理305.2.5

3、灵活的授权管理305.2.6 细粒度的访问控制管理315.2.7 认证管理315.2.8 审计管理325.3 产品特点325.3.6 高可用性335.4 客户收益335.5 产品部署356 数据库安全防护平台356.1 数据库风险分析356.2 产品概述366.3 功能特性376.4 产品价值376.5 多种应用模式386.6 产品优势396.7 产品部署396.7.2 旁路模式406.7.3 混合部署模式4040 / 401 项目背景随着互联网技术飞速发展，网络状况日趋复杂和重要，网络信息安全已经提高到国家安全的高度。现在各单位、企业已经重视网络安全建设，但网络自身仍然比较脆弱。为了达到信息

4、系统安全等级保护工作的纵深要求，依据信息安全等级保护技术标准规，建设网络安全和开展等级保护管理工作。信息安全等级保护整体的安全保障体系包括技术和管理两大部分，其术部分根据信息系统安全等级保护基本要求分为物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行建设；而管理部分根据信息系统安全等级保护基本要求则分为安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。整个安全保障体系各部分既有机结合，又相互支撑。之间的关系可以理解为“构建安全管理机构，制定完善的安全管理制度与安全策略，由相关人员，利用技术工手段与相关工具，进行系统建设和运行维护。”根据等级化安全保障体系

5、的设计思路，等级保护的设计与实施通过以下步骤进行：1. 系统识别与定级：确定保护对象，通过分析系统所属类型、所属信息类别、服务围以与业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以与确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以与安全措施选择提供依据。2. 安全域设计：根据第一步的结果，通过分析系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。3. 确定安全域安全要求：参照国家相关等级保护安全要求，设计不同安全域的安全要求。通过安全域

6、适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。4. 评估现状：根据各等级的安全要求确定各等级的评估容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。5. 安全保障体系方案设计：根据安全域框架，设计系统各个层次的安全保障体系框架以与具体方案。包括：各层次的安全保障体系框架形成系统整体的安全保障体系框架；详细安全技术设计、安全管理设计。6. 安全建设：根据方案设计容逐步

7、进行安全建设，满足方案设计做要符合的安全需求，满足等级保护相应等级的基本要求，实现按需防御。7. 持续安全运维：通过安全预警、安全监控、安全加固、安全审计、应急响应等，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。通过如上步骤，系统可以形成整体的等级化的安全保障体系，同时根据安全术建设和安全管理建设，保障系统整体的安全。而应该特别注意的是：等级保护不是一个项目，它应该是一个不断循环的过程，所以通过整个安全项目、安全服务的实施，来保证用户等级保护的建设能够持续的运行，能够使整个系统随着环境的变化达到持续的安全。在整个信息安全等级保护体系实施过程中，

8、管理工作尤为重要，桂盾科技XX公司推出了LanSecS信息安全等级保护综合管理系统，该系统是一套适用于信息安全等级保护工作业务管理的综合信息管理平台。作为信息安全等级保护工作的常态化管理工具，该系统紧密结合我国信息安全等级保护政策，实现了对信息安全等级保护工作中定级备案、安全建设整改、等级测评、风险评估和安全检查等各个环节信息与数据的集中管理和工作流程管理。针对以上体系中提到了安全建设与持续安全运维，推出了LanSecS网安全管理系统、LanSecS控管理平台（堡垒主机）、LanSecS数据库安全防护平台，三款产品符合信息安全等级保护相关技术要求，也符合等保安全建设与持续安全运维的需求。2 建

9、设目标开展信息安全等级保护体系建设，已经成为许多单位、企业的重大目标，桂盾科技XX公司推出的圣博润LanSecS产品不仅符合信息安全等级保护的技术要求，而且进一步加强了等保工作的管理，加固了网络安全防护。信息安全等级保护综合管理系统能将等保管理中的数据集中管理，有效提高工作效率。让多个工作环节按流程化管理，促进等保工作的标准化和规化。通过此平台将等保工作融入日常信息安全管理工作中。网安全管理系统可以对计算机准入控制、计算机安全加固、计算机运行维护、计算机安全审计、移动存储介质注册等多个方面的综合管理，可以为各单位、企业打造一个安全、可信、规、健康的网络环境。控管理平台（堡垒主机）通过账号集中管

10、理，统一所有网络设备、服务器运维请求的入口，未通过授权的请求挡在入口外面，从而根本上解决了共享账户、账户泄露等问题引起的安全风险，提高了运维访问的安全性。通过审计功能，将堡垒主机上所有运维操作录屏回放，可在安全事件发生时，做到有据可查，责任落实。通过数据库安全防护平台可以防止针对数据库的外部黑客攻击、防止部高危操作、防止敏感数据泄漏、审计追踪非法行为，实时监控数据库运行状态。保障了重要信息的安全。3 信息安全等级保护综合管理系统3.1 信息安全等级保护综合管理系统概述圣博润很早就开始与相关职能部门进行密切的交流，了解和跟踪信息安全等级保护综合管理系统的实际应用需求，从2007年开始信息安全等级

11、保护综合管理系统的相关技术研究、产品研发和持续改进等工作。并推出了具有自主知识产权的LanSecS信息安全等级保护综合管理系统。产品可解决如下几个方面的问题： 1)信息安全等级保护信息与数据缺乏集中管理 当前信息安全等级保护工作中各种信息和数据大多依靠简单的EXCEL表格进行管理，手工操作任务繁琐，不利于信息与数据的汇总和统计，本项目产品将解决这一难题，有效提高等级保护工作效率。 2)信息安全等级保护工作流程缺乏必要的约束 各行业开展等级保护功过过程中，难以有效避免因人而异、因时而异、因事而异的工作状态，各项工作流程缺乏必要的约束。本项目产品的应用，将有利于提高等级保护工作流程的规性。 3)缺

12、乏有效的信息安全等级保护工作考核依据 各行业等级保护主管部门对等级保护工作的执行和工作成效的考核没有统一的量化的标准，对等保工作和人员的考核缺乏依据。本项目产品将有效解决这一难题。通过提供标准化、流程化的办公平台，为等级保护工作的考核提供数据支持。 4)信息安全建设整改工作统一指挥和协调难 等级保护安全建设与整改工作是一项任务紧迫、形势复杂、周期较长的工作。这一工作必须要统一指挥和协调，才会取得良好的工作成效。本产品为各行业的安全建设整改工作提供了一个统一指挥和协调的工作平台，将有效解决安全建设整改工作的指挥和调度困难问题。 作为等级保护工作开展所依赖的基础工作平台，信息安全等级保护综合管理系

13、统可在如下方面促进信息安全等级保护工作的开展。 1) 实现信息与数据的集中管理和分析处理信息安全等级保护综合管理系统可对各种信息安全等级保护基础数据实现集中存储和管理，不但保证了数据的完整性和一致性，也为行业等级保护工作的开展提供了可靠的数据支持。通过数据统计和分析，可为等级保护工作的进一步开展提供决策支持。该系统可管理的数据包括如下多种类型： 系统定级、备案数据；建设整改数据；等级测评数据；安全检查数据；风险评估数据；等级保护政策标准；安全管理制度与管理措施；信息资产；安全事件；测评机构与人员；专家库； 教育培训数据。 针对上面各类数据，本系统能够进行集中管理和统计查询，并快速生成种类丰富的

14、报告和报表，极大的方便了等级保护工作的信息系统定级、备案、安全建设整改、安全测评、安全检查等工作。 2) 规等级保护工作流程，提高工作效率信息安全等级保护综合管理系统为信息安全等级保护的多个工作环节提供了基于工作流引擎的工作流程管理功能，如安全建设整改、安全检查、风险评估等。通过流程定制，使得行业管理人员可按照统一的工作流程开展行业的等级保护工作，避免了不同单位、不同管理人员在执行等级保护工作过程中的随意性。促进了等级保护工作环节的标准化和规化。另外，通过流程管理，使得数据处理和工作部署实施的自动化程度大大增强，从而有效提高了等级保护工作的效率。 3) 提升行业等级保护工作管理的透明度信息安全

15、等级保护综合管理系统通过预置部门、人员、角色和工作流程，实现了行业用户等级保护工作开展过程中的部门、角色的分工协作。通过置的办公管理模块，让等级保护工作执行人员与时受理和完成分配的工作任务，让管理人员与时掌握等级保护工作的开展情况，实现可视化的等级保护工作管理。 行业主管部门通过该系统可以对等级保护工作的进度进行跟踪。可有效改善原有等级保护工作对整体管理过程的不可跟踪性和管理效果的不可预见性。 行业主管部门通过该系统还可对每个等级保护参与人员的工作进度、工作状况、工作结果进行直观的检视。同时，根据预定义的评价指标，对等级保护工作的执行效果进行客观的考核和评价，大大增加了管理的透明度。 4) 提

16、升行业等级保护工作的整体实施能力通常，各行业的等级保护工作执行人员并不一定是安全领域的技术专家，这往往会导致等级保护工作中出现领导层与执行层工作脱节，具体执行工作难于直观的反映到信息安全保障工作的直属领导层面，出现信息安全等级保护工作执行上的不透明，直接导致管理工作的执行不彻底和不到位。 信息安全等级保护综合管理系统在各行业开展等级保护工作的过程中，通过规工作流程、完善数据管理、提供教育与培训等，提高等级保护工作人员的等级保护工作意识、理解等级保护工作职责、促进等级保护工作的规化。利用系统的置的各种工作流程，可将等级保护工作要求迅速分解到相关技术部门和人员，大大降低了单位部的协调复杂性，提升了

17、行业等级保护工作的整体实施能力。 5) 促进等级保护工作管理的常态化 信息安全等级保护综合管理系统提供了安全整改活动、等级测评活动、安全检查活动和风险评估活动的流程管理功能，为各行业开展的新一轮安全建设与整改工作以与等级测评工作提供了可靠的技术支撑。 信息安全等级保护综合管理系统的定位和目标是为我国各行业开展的等级保护工作建设一套运行可靠、管理严密、控制有效、信息全面、监管有力、便于维护、高效安全的工作平台。实现信息系统定级备案、安全建设整改、等级测评和安全检查等工作的信息化管理，提升等级保护工作的效率和管理水平。 信息安全等级保护综合管理系统提供了涵盖等级保护工作所有工作环节的管理功能，是一

18、个以等级保护为核心的集成的、综合的信息安全基础工作平台。该系统可有效促进各行业等级保护工作管理的常态化。 3.2 系统架构上图是LanSecS信息安全等级保护综合管理系统的总体框架结构示意图。系统总体分为业务管理层、基础数据层和接口层三个层次。业务功能层是软件主体功能，包括等级保护工作管理、日常办公管理、数据统计与分析和系统管理几个部分。基础数据层维护等级保护工作所需的各类基础数据，接口层负责与其它安全运维管理系统或等级保护相关系统的数据共享和交互。 1) 等级保护工作管理 等级保护工作管理以信息安全等级保护工作为主线，对等级保护工作中的定级备案、安全建设整改、等级测评、安全检查、风险评估、安

19、全评价等各个工作环节进行规化管理，包括信息与数据的收集、工作流程管理等。 2) 基础数据层 基础数据管理为信息安全等级保护综合管理所需的各种基础信息与数据提供统一的维护与管理。包括政策法规、标准规库的管理，安全管理机构、人员和管理制度库的管理，灾备信息、应急预案、应急演练的管理，教育培训管理，专家库管理，资产信息管理，信息安全事件管理等。 3) 接口层 接口层负责提供本系统与其他系统之间的数据共享和交互接口。例如本系统的定级备案数据向公安部定级备案信息管理系统的数据输出接口，信息安全运维管理系统收集的数据向本系统的数据输入接口等。 LanSecS信息安全等级保护综合管理系统的业务体系架构以与各

20、业务模块之间的关系如下图所示。系统用户通过浏览器访问LanSecS信息安全等级保护综合管理系统，经过系统身份认证和权限控制，进行等级保护业务管理工作。普通用户以日常办公管理作为主要操作界面。系统管理员则可对基础数据、工作流程、具体等级保护工作环节的业务活动进行统一维护管理并可对工作过程进行监控、对信息和数据进行统计分析等。3.3 系统功能“LanSecS 信息安全等级保护综合管理系统”主要功能包括如下几个方面： 1) 定级备案管理 2) 建设整改管理 3) 等级测评管理 4) 安全检查管理 5) 风险评估管理 6) 日常办公管理 7) 统计分析 8) 基础数据维护 3.3.1 定级备案管理重要

21、信息系统的定级与备案工作是我国信息安全等级保护工作开展的基础。各行业均应对本行业各单位的重要信息系统进行定级，并将定级情况向公安机关备案。目前大部分行业用户，均通过手动方式填写备案登记表，备案表在本单位的留存也是以离散文档的形式存储。这种备案方式非常不利于备案信息的维护，也不利于备案信息的查询、检索和统计。也就无法为主管部门快速提供本单位的信息系统备案状况。 本系统可为各行业的重要信息系统的定级和备案提供方便的管理功能。定级备案管理模块功能逻辑结构如下：“定级备案管理”主要完成重要信息系统的定级备案信息维护与管理，包括备案信息的录入、查询、统计，备案信息表的导出和导入、备案数据采集等。具体如下

22、：1） 备案信息填报：完成重要信息系统备案信息的填报；2） 备案情况查询（更改）：按照备案单位或备案信息表中任何一个字段进行单项查询或组合查询，查询结果显示为备案信息（分为以单位为主导和以信息系统为主导两类，即允许用户按单位查也可以按信息系统查），为一项或多项。提供关键字段的准确和模糊查询； 3） 备案信息导出：将备案信息导出，供导入备案数据采集工具或监督检查工具使用； 4） 备案情况统计：提供特定备案时间段的信息系统数量、单位数量等，统计显示形式为统计表； 5） 附加信息管理：完成备案附加信息的添加； 6） 备案数据采集工具 n备案表填报:完成备案表信息的填报； n备案表校验和审核:完成备案

23、表信息的校验和核对，以与系统自动给用户提供一个备案表编号供用户酌情选择使用； n备案表WORD文档生成：完成备案表xml格式到word文件格式的转换和具体文件的生成； n备案表信息打包：完成备案表信息、附件的合并和压缩，生成可上传文件 n批量入库：实现文件包的解析和批量入库。3.3.2 建设整改管理 本系统将整改建设分为五个步骤环节： 1） 工作部署：制定信息系统安全建设整改工作规划，对信息系统安全建设整改工作进行总体部署； 2） 现状分析：开展信息系统安全保护现状分析，从管理和技术两个方面确定信息系统安全建设整改需求； 3） 整改方案：确定安全保护策略，制定信息系统安全建设整改方案； 4）

24、整改实施：开展信息系统安全建设整改工作，建立并落实安全管理制度，落实安全责任制，建设安全设施，落实安全措施；5） 整改结果：开展安全自查和等级测评，与时发现信息系统中存在安全隐患和威胁，进一步开展安全建设整改工作。建设整改执行流程如下图所示。“建设整改管理”主要完成已备案信息系统的建设整改活动的跟踪记录与管理。包括建设整改信息的录入、查询、统计。 1） 建设整改信息录入：将建设整改活动过程中的所有相关信息记录入库； 2） 建设整改信息查询：对入库的建设整改信息，按照单位、系统或者整改信息表中的任何一个字段进行信息检索和查询，查询结果可生成报表； 3） 建设整改信息导出：将建设整改信息导出，生成

25、可以阅读的word文档格式。3.3.3 等级测评管理等级测评管理模块负责对行业用户发起的由第三方测评机构主导实施的等级测评活动的组织和管理。行业用户在新上线的信息系统建设完毕或者对旧的信息系统安全建设整改完成时，均需要委托第三方测评机构对信息进行等级测评，以验证信息系统的安全建设是否符合定级要求。等级测评模块主要负责对测评机构的管理、测评流程的管理、测评结果的汇总与记录、测评活动的监控等子模块。各子模块之间的关系如下图所示： 1） 等级测评信息录入：将等级测评过程中的所有相关信息记录入库； 2） 等级测评信息查询：对入库的等级测评信息，按照单位、系统或者等级测评信息表中的任何一个字段进行信息检

26、索和查询，查询结果可生成报表； 3） 等级测评信息导出：将等级测评信息导出，生成可以阅读的word文档格式； 4） 等级测评机构管理：等级测评机构的相关信息管理； 5） 等级测评报告管理：对已经取得等级测评报告的信息系统所对应的测评报告进行集中归档管理。 3.3.4 安全检查管理“安全检查管理”提供对安全自查、主管部门检查和公安机关检查等安全检查活动状况的跟踪记录管理。包括： 1） 监督检查制度管理：对监督检查规章制度等级入库，并提供查询和打印服务； 2） 安全自查管理：对安全自查活动状况进行信息记录，并提供查询、统计服务； 3） 主管部门检查管理：对主管部门的检查活动状况进行信息记录，并提供

27、查询和统服务； 4） 监督检查数据导出：完成用户从主系统中导出需要监督检查单位与其系统的相关信息，并转换为桌面系统能解析识别的文件系统； 5） 监督检查信息录入：供用户直接在主系统上填写监督检查相关数据（或直接导入监督检查工具生成的检查数据包），填写完成后可生成符合信息系统安全等级保护监督检查表格式和容的Word文本； 6） 监督检查情况查询：要求按照检查表中任何一个字段（包括检查时间等）单项或组合进行查询，还可按检查次数、是否超过检查期限等条件查询，查询结果显示为一项或多项，信息为单位或信息系统监督检查信息； 7） 合规性检查：对检查结果进行分析，并与已知标准进行比对，判断所检查的信息系统是

28、否合规。 8） 监督检查工具 l 备案信息导入：可以将主系统导出的数据导入到监督检查工具中，便于在监督检查过程中实时查询信息系统的备案信息； l 监督检查填报：完成用户独立填写监督检查数据，登记信息、填写完成后可生成符合信息系统安全等级保护监督检查表格式和容的Word文本； l 监督检查数据导入：完成桌面系统特定文件格式（特定的格式包，可含文本、图象文件等附件信息）的监督检查数据导入进服务器端主系统。 3.3.5 风险评估管理风险评估管理主要负责对信息系统风险评估活动的相关信息的维护管理，规本单位在委托第三方进行风险评估过程中需要进行配合的相关事项和流程，并对整个风险评估活动过程中的各种数据进

29、行汇总记录。 风险评估管理主要由风险评估测评、风险评估管理两个子模块组成。风险评估测评子模块采用置工作流引擎进行风险评估工作的流程规与过程推动；风险评估管理子模块可对已经进行过的风险评估测评项目的相关信息进行查看管理，并可对当前正在进行风险评估测评的项目的执行情况进行监控。3.3.6 风险评估测评风险评估测评通过置的工作流引擎，以系统预先定制的风险评估流程引导并规风险评估测评工作的展开，具体的工作流程示意图如下：如上图所示，风险评估流程主要由发起风险评估、风险评估准备资料上传、风险评估方案上传、风险评估协助任务制定划分、风险评估报告上传、风险评估资料汇总整理、风险评估资料审核与风险评估资料归档

30、等几个环节组成。 1） 发起风险评估 信息系统风险评估的第一个流程是发起一个风险评估项目，系统可记录当前项目发起的日期、主要目标、主要任务和发起人等相关信息。风险评估发起后，此次风险评估即被纳入流程管理，发起者可以指定相关人员进行下一步的风险评估准备资料上传工作。 2） 风险评估准备资料上传 风险评估准备资料上传负责风险评估所需的各种资料文件的上传和管理，例如与第三方风险评估机构签署风险评估合同和协议等。系统可记录的信息包括文件的签署人，签署日期和文件描述等相关信息。 3） 风险评估方案上传 风险评估方案上传负责将本次风险评估方案文件上传并保存到系统中，系统可记录信息包括方案提供方的单位与人员

31、，方案接收方的人员、日期等信息。 4） 风险评估协助任务分配 风险评估协助任务分配负责对风险评估方案中的各项任务进行分配，需要协助的风险评估任务主要包括为风险评估单位提供信息系统相关的信息，协助风险评估人员入场、离场，并签署入场离场相关文件，协助风险评估单位人员执行工具测评，并对测评结果签字确认等相关事项。 5） 风险评估协助任务执行 风险评估协助任务执行负责通知各相关人员按照完成风险评估协助任务，并与时记录任务完成的情况和相关信息等。 6） 风险评估报告上传 风险评估报告上传负责将第三方风险评估单位提供的风险评估报告上传到服务台并保存，系统可记录提供报告文件的单位与人员和接收报告文件的人员等

32、相关信息。 7） 风险评估资料汇总整理 风险评估资料汇总整理负责将本次风险评估活动的其它相关资料逐一入库汇总，由系统进行集中管理。方便系统使用单位将风险评估的结果做为建设整改的依据，帮助系统使用单位构建一个良性循环的信息安全环境。 8） 风险评估资料审核 风险评估资料审核是指由系统使用单位对风险评估测评单位提供的风险评估相关资料的评审与审核。 9） 风险评估资料归档 风险评估资料归档主要提供电子文档归档功能，并可记录文件档案存放位置等相关信息，方便系统使用单位集中管理风险评估相关信息。3.3.7 风险评估管理风险评估管理主要提供对历史风险评估项目信息的查看管理以与对当前正在进行的风险评估项目的

33、监控功能。 风险评估项目信息的查看管理主要包括查看历次风险评估项目基本信息，历次风险评估资料档案信息，历次风险评估中的风险统计和不可接受风险处理计划的功能。 风险评估监控的主要功能包括查看当前正在进行的风险评估活动的最新状况，当前正在进行的业务节点以与当前进行业务节点的处理情况、处理人和处理日期等相关信息，另外可以查看已经完成的业务节点的处理情况、处理人和处理信息等相关信息。3.3.8 日常办公管理日常办公管理为系统用户提供了一个日常工作的平台，由待办事项，办结事项，任务管理，工作考核四个部分组成。基本囊括了与等级保护相关的事项的管理，其中系统部事项直接在此处提供统一入口，系统外事项在此处提供

34、统一任务管理入口，纳入到系统管理，方便等级保护工作的开展。具体关系如下图： 1） 待办事项管理：提供需要办理事项的记录功能，并可标记事项当前进展状态； 2） 待办事项查询：对已经录入的事项，可按照待办、办结和超期等条件进行归类查询，并按照其他条件进行复合查询； 3） 任务管理：对上级派发的等级保护工作任务进行登记管理，并提供任务执行状况的跟踪记录能力，可对任务进行复合条件查询和统计； 4） 工作考核：对等级保护各个环节的工作状况进行考核，并给出综合考核结果。3.3.9 统计分析统计分析管理主要提供等级保护相关的重要数据的统计与分析功能，包括信息系统统计，安全事件统计，工作事项统计，资产统计，安

35、全机构统计，安全人员统计，建设整改统计，等级测评统计，检查情况统计等，并提供相应的分析图表。 1） 统计信息查看：提供统一的统计信息查看功能，统计信息包括： l 信息系统统计 l 事件统计 l 工作事项统计 l 资产统计 l 组织机构统计 l 人员统计 l 建设整改统计 l 等级测评统计 l 检查情况统计 l 信息系统安全总体评价 2） 统计报告生成：对统计结果生成统计报告，并可导出到常见的文件格式，如word、excel等。 3.3.10 基础数据管理基础数据管理提供对等级保护管理工作当中各个环节所需的基础数据进行综合管理。包括： 1) 政策法规库管理：提供国家、部委、行业、部门等各个级别的

36、政策、法规的管理，包括录入、修改、查询、报表、打印、导出等维护操作。 2) 标准规库：提供国家、部委、行业、部门等各个级别的标准规的管理，包括录入、修改、查询、报表、打印、导出等维护操作。 3) 事件管理：提供安全事件的录入、查询、统计、报告等维护操作。 4) 资产管理：提供资产的手动录入、自动收集，资产查询、统计和报告等管理。 5) 组织机构：提供组织机构创建和维护管理。 6) 安全人员：提供人员的管理。 7) 安全管理制度：提供人员管理、系统建设管理、系统运维管理等管理制度的录入、查询和报告等功能。 8) 安全管理措施：提供人员管理、系统建设管理、系统运维管理等管理措施的录入、查询和报告等

37、功能。 9) 应急处置：提供应急预案和应急演练等活动的信息管理功能。 10) 技术支持队伍：提供技术支持队伍信息的录入、查询和报告等功能。 11) 专家库：提供专家库信息的录入、查询和报告等功能。 12) 知识库：提供知识库的维护管理。 基础数据管理模块对系统的基础数据的管理操作包括： 1) 数据的收集、录入和汇总系统可管理的基础数据分类多达十余类，该模块针对不同的数据分类，分别进行信息的收集、录入，存储到数据库中进行汇总保存。2) 数据查询与报表 针对不同类型的基础数据，该模块提供风格统一的数据查询、展现和报表功能。通过查询和报表，用户可将关心的数据筛选出来，形成数据报表，指导信息安全等级保

38、护工作的开展。 3) 数据统计分析 该模块还负责对不同类别的数据，按照不同的统计方式，生成统计图表，统计图表可为等级保护工作状况的综合分析提供帮助。 4) 数据备份 基础数据作为基本的等级保护管理数据，需要定期备份。该模块可按照用户设定的条件，对不同类别的基础数据进行定期备份。该模块还提供备份数据的人工恢复。3.3.11 分级管理对于大型行业用户，其信息系统分布在不同的行政区域或辖区，这些信息系统的维护管理也由辖区下级单位负责管理。但是上级单位又需要了解和掌握下级单位的信息安全等级保护工作开展情况。鉴于此，本系统提供了分级管理功能。 分级管理功能，可在多个等级保护综合管理系统之间（一般的，在上

39、级系统和下级系统之间）建立关联关系。确定上下级关系后，下级系统可以将本级的信息和数据定期或实时上传到上级系统中。如此，上级单位可对下级单位的等级保护工作信息和数据进行集中管理，如查询、统计和分析等。从而掌握下级单位的信息安全等级保护工作的开展状况。3.3.12 系统接口LanSecS信息安全等级保护综合管理系统由数据采集和共享中心负责提供与其他各种安全系统和应用系统的接口管理。数据采集和共享中心对系统接口进行统一封装和集中管理。数据采集和共享中心采用插件化的接口设计与管理，可以根据不同用户的需求，定制适合用户需要的系统数据采集和共享接口。数据采集和共享中心作为基础接口支撑平台，为用户的系统数据

40、采集和共享提供了灵活的手段和方式。数据采集和共享中心的接口分类两大类，数据采集类和数据共享类。 1) 数据采集接口 数据采集接口负责从其它信息系统或者安全设备收集信息和数据，将采集的信息和数据存储到系统数据库中。这些数据为等级保护综合管理系统的各项工作管理提供更加丰富的数据支持，为安全建设整改方案和安全检查方案的制定提供依据。例如，通过等级测评数据采集接口，可将信息安全等级保护测评与评估系统的测评数据导入本系统，为系统的等级测评活动提供测评依据；通过资产信息采集接口，可将其他资产管理系统的资产数据直接导入本系统，省却了资产信息的收集和录入；通过安全事件采集接口，可将其他安全运维管理系统的安全事

41、件实时导入本系统，由本系统负责统一的安全事件管理。 2) 数据共享接口数据共享接口负责将等级保护综合管理系统的自身数据共享给其他信息系统使用，为其他信息系统提供丰富的数据来源，以便对数据进行进一步的分析和处理。例如，本系统的安全评价数据，可输出至专家评价系统进行信息系统的综合安全评价；本系统的定级备案数据，可导入公安部定级备案综合工作平台，完成行业用户的定级备案工作。3.4 系统安全性系统设计充分考虑了自身的安全性，主要采取了如下技术措施保障系统自身的安全性。 身份认证方面：本系统有专门的身份认证模块，系统自身设计采用了双因子身份认证。通过统一的用户管理功能保证用户标识的唯一性。用户登录失败会

42、话自动无效，自动限制登录失败次数。 访问控制方面：本系统实现了基于角色的访问控制技术，按数据和功能授予用户权限。专门的拦截过滤器检查用户的每一次访问是否符合授权要求。授权和审计管理分开。 安全审计方面：本系统对用户的访问行为按功能、数据对象记录了详细的日志，并提供了日志查询和统计功能。 剩余信息保护方面：敏感信息不得写入静态字段，存自动回收技术保护了存中的剩余信息。定期检查系统使用临时文件夹，清除过期的临时文件。 通信完整性和性方面：本系统为B/S架构，通过对SSL协议的支持实现通信完整性和性方面的要求。 软件容错方面：用户提交的信息，系统在处理前进行数据有效性检查。所有的异常必须得到有效正理

43、。对于外部采集的数据导入，则规定必须进行严格的数据检查后才准导入。多线程技术防止了单个用户的错误不会影响系统的其它用户的业务操作。故障报警机制使用管理员与时地处理系统故障。提供灾难时的数据恢复功能。 资源控制方面：禁止用户的并发登录，设置合适的会话失效时间，当用户登录错误超过一定次数时自动锁定。并记录日志。 代码安全方面：通过工具扫描、代码复审保证程序代码符合编码规，查找可能存在的恶意代码。 3.5 系统部署系统支持两种部署模式，一种是独立部署，一种是分级部署。通过分级部署，可以将下级系统的信息和数据实时或周期性同步到上级系统中，为上级部门的等级保护工作管理提供更加完备的数据支持。3.6 系统

44、配置要求本系统的配置要求如下： 1） 数据库服务器：用于提供基础数据和等级保护工作数据存贮服务，配置要求为双CPU Xeon 3.0G 以上，500G硬盘以上，存4G以上； 2） 应用服务器：用于部署本系统服务器程序，配置要求为双CPU Xeon 3.0G 以上，120G硬盘，存4G以上；3） 系统管理主机：用于本系统的管理，通过浏览器进行系统的管理。配置要求为Xeon 3.0G CPU，120G硬盘，存1G以上。4 网安全管理系统4.1 网安全管理系统概述LanSecS网安全管理系统通过对计算机准入控制、计算机安全加固、计算机运行维护、计算机安全审计、移动存储介质注册等多个方面的综合管理，为

45、政府和企业用户打造一个安全、可信、规、健康的网环境。LanSecS网安全管理系统V7.0 是圣博润公司的一个里程碑式的、战略性的产品版本，该版本通过系统架构的优化调整和用户需求的持续跟踪，使得产品性能显著提升、产品功能进一步丰富。借助LanSecS网安全管理系统v7.0 的发布，圣博润公司更加明确地宣告了其专注于网安全管理领域的决心。LanSecS网安全管理系统可为用户解决如下一系列的网安全管理问题：l确保入网终端符合要求l全面监测终端健康状况l保证终端信息安全可控l动态监测网安全态势l快速定位解决终端故障l规企业员工网络行为l统一网用户身份管理l杜绝移动存储介质滥用l提高和实现软件正版化在为

46、用户提供终端安全保护手段的同时，LanSecS网安全管理系统更加强调为用户提供便利的终端运维管理手段。集中式、人性化的终端管理能力是LanSecS网安全管理系统的特色之一，也是圣博润公司一直以来的努力方向。4.2 产品架构4.2.1 终端监控引擎终端监控引擎以服务的形式运行于终端计算机上，是终端计算机管理的核心和基础部件，用于对被管理终端计算机的安全加固、运行维护和监测审计等管理职能。终端监控引擎可以部署在所有Windows 系列操作系统上，包括Windows 2000、Windows XP、Windows Server 2003、Windows Vista、Windows Server 20

47、08、Windows 7、windows8、windows Server 2012。终端监控引擎的设计充分考虑了稳定性、安全性和兼容性要求。终端监控引擎可防止恶意停止，并全面兼容防病毒软件、防火墙软件、设计开发软件、业务软件、办公软件。4.2.2 总控中心总控中心用于计算机的集中管理，为终端监控引擎和管理控制台提供一系列的管理服务。由注册管理服务、认证管理服务、策略管理服务、审计管理服务、补丁/软件分发服务等组成。视网规模和性能要求，这些服务可分别部署在不同的硬件平台上，也可部署在同一个硬件平台上。策略管理服务：负责终端计算机策略的配置和更新。审计管理服务：负责接收终端监控引擎发送的审计信息与

48、事件报警，并存储到数据库中。接入认证服务：负责对接入网的终端计算机身份和健康状况进行认证。文件备份服务：提供集中的文件备份。文件备份服务支持用户身份认证。补丁分发服务：提供补丁文件和软件的下载服务，支持 FTP 和 两种方式。时间同步服务：为终端计算机提供统一的标准时间服务，便于终端计算机的时间管理。网络管理服务：提供网络拓扑扫描服务，可绘制网络的链路层拓扑。分级管理服务：提供分级部署环境下的分级管理。事件订阅服务：接受报警监控程序事件订阅，根据订阅条件向报警监控程序发送符合要求的报警事件，可向多个报警监控程序同时提供服务。健康检测服务：用于总控中心自身各服务的运行状态监控。4.2.3 管理控

49、制台管理控制台是系统管理人员提供系统管理入口。采用了B/S 方式进行系统管理，通过管理控制台可以完成系统管理的全部操作。4.2.4 系统数据库系统数据库用于存储策略、信息和事件，全面支持目前主流数据库，包括：SQL Server、MySQL、Oracle、IBM DB2、PostGreSQL、Gbase。总控中心与数据库之间采用数据库访问中间件和网络缓存技术实现高速数据访问。通过数据库访问中间件和网络缓存，可以大大降低数据库的访问压力，提高数据的存储和访问能力。 终端监控引擎和总控中心之间采用ICE 网络通讯中间件进行相互通讯。通过SSL 协议对通信过程进行认证和加密，增强组件间通信的安全性。

50、三层管理结构大大提高了系统设计开发、安装部署和运行维护的灵活性、便利性和扩展性。4.3 产品功能4.3.1 终端运维管理网的可靠运行是业务系统可靠运行的保障。网的可靠运行依赖于网络设备、服务器和个人终端计算机的安全运行，任何一个环节出现故障，都可能对网的可靠性产生不可估量的冲击。 网中主要设备是终端计算机，终端计算机的安全运行与管理对整个网安全有至关重要的作用。系统对终端计算机的管理采取了两种不同的安全措施：系统运行管理和系统监测。 系统运行管理方面主要包括补丁管理、主机资产管理、主机防病毒管理、系统日志管理、时间同步、消息分发与文件备份，通过系统运行管理确保终端主机以最安全的状态运行，有效地

51、减少病毒爆发和木马泛滥带来的网安全隐患，减少终端计算机被入侵的可能性。系统监测方面主要包括主机性能、网络流量、健康状态、设备入网、时间同步与安全态势分析等。通过系统检测可以让管理员与时了解整个网络终端主机的状态，针对存在的安全隐患与时采取有效措施，更好地保证网的可靠性。具体功能如下：4.3.2 终端安全加固终端主机的安全运行是整个网络的基础，而终端主机运行参数、运行策略的稳定又是终端主机安全运行的保障，系统的具体加固措施包括如下方面：4.3.3 终端安全审计任何政府部门和企业单位，均拥有自己的信息。这些信息，如果没有良好的技术防护手段，很容易发生侵害政府和企业利益的信息泄露事件。政府和企业面临

52、的信息泄露威胁有两种：被动信息泄露和主动信息泄露。 被动信息泄露：由于人员缺乏信息意识，常常由于专业知识不熟悉或者工作疏忽而造成泄密。如有些人由于不知道计算机的电磁波辐射会泄露秘密信息，计算机工作时未采取任何措施，因而给他人提供窃密的机会；有些人由于不知道计算机软盘上的剩磁可以提取还原，将曾经存贮过秘密信息的软盘交流出去，因而造成泄密；有些人因事离机时没有与时关机，或者采取屏幕保护加密措施，使各种输入、输出信息暴露在界面上；有些人对自己使用的计算机终端缺乏防护意识，如没有与时升级病毒库和更新系统补丁，导致病毒和木马的入侵，在不知不觉中泄露了信息。 主动信息泄露：这种情况是由于部人员出于个人利益

53、或者发泄不满情绪，有意识的收集和窃取信息。由于电子信息文档不像统文档那样直观，极易被复制，且不会留下痕迹，所以窃取秘密也非常容易。电子计算机操作人员徇私枉法，受亲友或朋友委托，通过计算机查询有关案情，就可以向有关人员泄露案情。计算机操作人员被收买，泄露计算机系统软件措施，口令或密钥，就会使不法分子打入计算机网络，窃取信息系统、数据库的重要秘密。对于政府部门和企业来说，计算机终端作为信息处理的工具，在其上存储、传输和处理的信息的安全性保护相当重要。任何一个环节的疏漏均可导致信息的丢失。因此，必须加强对信息的监控和审计管理。LanSecS网安全管理系统提供了设备输出监控、违规外联监控、共享监控、打

54、印监控、文件监控、账户监控、进程监控、服务监控、软件安装监控、注册表监控和网络行为审计等一系列信息监控与审计功能，为政府和企业的信息与信息防护提供了有力的技术手段和工具。4.3.4 网络准入控制系统提供了“主动防护”和“动态监控”相结合的计算机准入控制机制。“主动防护”是指：在计算机接入网络之前，首先验证其身份信息和安全状态，以决定是否允许其接入网络。这与以往的安全思路“先接入网络，再验证其身份”相比，极提高了网络的安全性。“动态监控”是指：当计算机通过验证并接入网络后，并非该计算机就可以在接入期间不受控制地访问网络资源。系统还会动态地对接入计算机的身份和安全状态进行跟踪和检测，一旦发现身份信

55、息和安全状态有变，即刻对其重新隔离。主机健康检查：对接入网的计算机的安全状况进行检查。接入认证：对主机进行身份认证，系统支持用户名/口令、PKI 数字证书以与设备特征标识三种身份信息的认证方式。主机隔离与修复：根据策略将未通过认证的主机隔离到修复区/工作区/访客区。主机状态动态检测：对接入网络的计算机进行动态监测，监测的容包括身份确认、安全状态确认等。 IP 通讯控制：网主机之间的通讯采用PKI 数字证书标识双方的身份，并同时对通讯数据进行加密。4.3.5 移动存储管理 USB 移动存储介质是目前使用最为广泛的数据交换手段。也正因为USB 移动存储介质使用的广泛性，为政府和企业网信息的安全防护

56、带来了很大的安全隐患，如何对其进行有效的管理，成为政府、企业和信息安全产品提供商需要共同面对的问题。系统通过对移动存储介质实施注册管理，有效避免了移动存储介质的滥用，以此提高政府和企业网信息的安全性。 移动存储介质注册管理是指将移动存储介质进行特殊处理后，在移动存储介质无法被直接访问的区域写入该移动存储介质相对应的注册信息，注册信息包括两种类型：标记信息：用于标明该移动存储介质的所有者、联系方式、管理者、所属部门等。访问控制信息：当该移动存储介质插入计算机时，依靠访问控制信息决定是否允许在计算机上使用。 根据用户管理需求的不同，系统将移动存储介质的管理分为五种管理模式：未授权移动存储介质、安全

57、U 盘、多分区U 盘、专用安全U 盘、特权U 盘。注册介质的授权使用围包括全局、部门与主机三个选项。注册介质的授权操作权限包括只读、读写与禁用、只写四种工作模式。 系统通过专用工具对各种存储介质进行注册管理，系统自带U 盘资源管理器，实现对注册移动存储介质的访问与文件操作，有效地保证了移动存储介质管理的安全性。系统采用了文件操作动态监控和审计的技术思路。当有文件在加密移动存储介质和本地磁盘进行拷贝时，系统将自动记录文件操作行为，包括访问、创建、删除、修改等。4.4 产品性能4.4.1 终端引擎性能 终端监控引擎设计时充分考虑了其可能对桌面计算机造成的性能影响，通过多次优化，形成了现在的终端监控

58、引擎架构。该架构保证了终端监控引擎在稳定可靠运行的前提下，仍能保持极少的静态工作模式系统资源占用。经过严格的第三方测试，以与大量用户的实际使用证明，终端监控引擎在静态工作模式下，对系统资源的占用几乎可以达到零消耗。静态工作模式下，CPU 的占用率低于1%，存占用低于10M，网络带宽占用低于0.2K/s/客户端。4.4.2 总控性能LanSecS网安全管理系总控中心采用了分层设计理念，系统架构设计时采用了分布式负载均衡技术和动态性能扩展技术，路由与定位服务、业务服务、数据库服务均支持多个服务镜像，从而能有效分散终端计算机连接请求，实现负载均衡。同时，在系统运行过程中，可以根据业务需要随时增加路由

59、与定位服务、业务服务和数据库服务镜像，以达到动态性能扩展的目的。系统可以在一个总控中心单元管理2 万台终端计算机。4.4.3 自身安全性 LanSecS 系统设计之初便对其自身安全性做了充分的考虑和技术处理，使LanSecS 系统的安全性得到了有效的保障。在自身安全性方面，主要考虑了如下几个安全问题：l总控中心安全性：系统通过采用最小服务原则、系统管理控制、代理访问认证等几个措施确保总控中心的安全运行。l终端监控引擎安全性：系统通过采用监控进程隐藏技术、本地文件访问保护、多入口恢复技术与监控引擎完整性校验技术等确保终端监控引擎的安全运行。l数据库安全性：系统通过采用数据库访问控制、数据加密与数

60、据备份等措施确保数据库的安全运行。l策略安全性：系统通过策略订单生成控制、加密策略传递与存储、策略完整性校验等措施确保策略的安全性。l通讯安全性：系统通过采用加密传输、身份认证、本地安全存储等措施确保终端监控引擎与总控中心之间的通讯的安全运行。4.4.3 产品性能指标 LanSecS网安全管理系统主要性能指标如下：l总控中心最大并发连接数：3000；l总控中心最大可管理注册主机数量：20000 台；l总控中心网络带宽占用：100K/1000 客户端；l终端监控引擎 CPU 占用（静态模式）： 1%；4.5 产品规 LanSecS网安全管理系统的设计参考了如下国家标准规：lBMB172006：涉

61、与国家秘密的信息系统分级保护技术要求lBMB202007：涉与国家秘密的信息系统分级保护管理规lBMB222007：涉与国家秘密的计算机信息系统分级保护测评指南lGB/T222392008：信息系统安全等级保护基本要求lGBT 222402008：信息系统安全等级保护定级指南lGBT 222412008：信息系统安全等级保护实施指南4.6 产品部署4.6.1 产品形态LanSecS网安全管理系统提供网络版和单机版两种产品版本。网络版适用于对联网的网计算机进行统一的安全管理，而单机版则适用于对未接入网的独立计算机进行安全管理。用户可以根据自己的实际情况选择部署和使用两种版本中的任何一种。网络版：网络版产品可以提供最大的管理灵活性和方便性。通过计算机的集中管理，实现网策略的统一和报警事件的集中管理和响应。单机版：单机版产品可以对孤立的计算机进行单独管理。策略的配置和事件的管理均在本地计算机实现。4.6.2 部署方式LanSecS网安全管理系统提供本地和分级两种产品部署方式。用户可以根据网络的实际环境选择合适的部署方式进行产品的部署实施。本地部署本地部署是本系统最常见的部署方式。适用于计算机终端数量不多（例如，小于10000台）并希望对所有终端计算