等保三级安全架构设计方案

一、概述

等保三级，全称为"信息系统安全等级保护三级"，是根据信息安全保护的需求，将系统的安全保护划分为五个等级中的第三级，主要针对相对重要的信息系统进行保护。根据《信息系统安全等级保护基本要求》（GB/T 22239-2019），三级等保的核心在于确保信息系统的安全性、可用性和完整性，保护数据信息不被未经授权的访问、修改和删除，并保障信息系统的抗灾能力。

三级等保的安全架构通常分为多个层级，包括物理安全、网络安全、主机安全、应用安全和数据安全。以下各层次的关键措施都是为了实现信息系统的整体安全。

二、安全架构设计

1. 物理安全

物理安全主要涉及机房安全、设备管理等方面，确保服务器和网络设备不受到物理破坏。物理安全是信息系统安全的基础，也是其他安全层次得以实施的前提。

• • 机房安全：机房应采用防火、防水、防尘、防雷击等措施，并配置备用电源和UPS不间断电源系统，确保设备在突发情况下能够正常运行。

• • 门禁系统：设置门禁系统，对进出机房的人员进行身份验证和记录，防止未经授权的人员进入。

• • 监控与报警：安装监控摄像头和报警系统，实时监控机房内的环境和设备状态，一旦发现异常情况，能够迅速报警并采取应对措施。

2. 网络安全

网络安全层通过防火墙、入侵检测系统等方式，确保网络的数据传输安全，避免恶意访问。

• • 防火墙：部署防火墙，对进出网络的数据包进行过滤和检测，阻止未经授权的访问和攻击。

• • 入侵检测系统（IDS）：配置入侵检测系统，对网络流量进行实时监控和分析，及时发现并响应潜在的入侵行为。

• • 安全审计：对网络操作进行安全审计，记录和分析网络行为，确保网络活动的合法性和合规性。

3. 主机安全

主机安全主要关注操作系统和各类应用的安全配置，例如使用强化的服务器操作系统，确保应用程序最新保持更新。

• • 操作系统安全：采用经过安全加固的操作系统，配置安全策略，如禁用不必要的服务、限制用户权限等。

• • 应用安全配置：对应用程序进行安全配置，如使用安全的编码规范、防止SQL注入和跨站脚本攻击等。

• • 漏洞管理：定期扫描系统漏洞，及时修复已知的安全漏洞，防止被攻击者利用。

4. 应用安全

应用安全则是对具体应用中数据传输、存储的保护。

• • 身份认证与授权：采用强身份认证机制，如多因素认证，确保用户身份的真实性。同时，根据用户角色和权限进行授权，确保用户只能访问其权限范围内的资源。

• • 数据传输安全：采用加密技术，如SSL/TLS协议，对数据传输进行加密，防止数据在传输过程中被窃取或篡改。

• • 数据存储安全：对敏感数据进行加密存储，并采用访问控制机制，确保只有授权用户才能访问这些数据。

5. 数据安全

数据安全关注数据的完整性和可用性，采用各种备份和恢复策略。

• • 数据备份：定期备份重要数据，并存储在安全的位置，以防止数据丢失。同时，测试备份数据的恢复能力，确保在需要时能够迅速恢复数据。

• • 数据加密：对敏感数据进行加密处理，如数据库中的用户信息、交易记录等。采用强加密算法和密钥管理策略，确保数据的机密性。

• • 数据审计：对数据操作进行审计，记录和分析数据的访问、修改和删除等操作，确保数据的合法性和合规性。

三、安全设计思路

1. 保护对象框架

保护对象是对信息系统从安全角度抽象后的描述方法，是信息系统内具有相似安全保护需求的一组信息资产的组合。依据信息系统的功能特性、安全价值以及面临威胁的相似性，信息系统保护对象可分为计算区域、区域边界、网络基础设施、安全措施四类。

• • 计算区域：包括服务器、工作站等计算设备，是数据处理和存储的核心。

• • 区域边界：指不同安全区域之间的边界，如内部网络与外部网络的边界、生产环境与测试环境的边界等。

• • 网络基础设施：包括路由器、交换机、防火墙等网络设备，是数据传输和通信的基础。

• • 安全措施：包括身份认证、访问控制、数据加密等安全措施，是保护信息系统安全的重要手段。

建立了各层的保护对象之后，应按照保护对象所属信息系统或子系统的安全等级，对每一个保护对象明确保护要求、部署适用的保护措施。

2. 整体保障框架

整体保障框架是信息安全保障的体系框架，包括保护范围、保护等级和安全措施的关系。根据中办发[2003]27号文件，"坚持积极防御、综合防范的方针，全面提高提高信息安全防护能力"是国家信息保障工作的总体要求之一。

• • 积极防御：采取主动措施，提前发现并应对潜在的安全威胁。

• • 综合防范：综合运用多种安全措施，形成多层次、全方位的安全防护体系。

信息安全保障涉及技术和管理两个相互紧密关联的要素。技术只是一个基础，安全管理是使安全技术有效发挥作用，从而达到安全保障目标的重要保证。安全保障不是单个环节、单一层面上问题的解决，必须是全方位地、多层次地从技术、管理等方面进行全面的安全设计和建设。

整体保障框架的建设应在国家和地方、行业相关的安全政策、法规、标准、要求的指导下，制订可具体操作的安全策略，并在充分利用信息安全基础设施的基础上，构建信息系统的安全技术体系、安全管理体系，形成集防护、检测、响应、恢复于一体的安全保障体系，从而实现物理安全、网络安全、系统安全、数据安全、应用安全和管理安全，以满足信息系统全方位的安全保护需求。

3. 安全措施选择

安全措施的选择应依据我国信息系统安全等级划分的要求，设计五个等级的安全措施等级要求。不同等级的信息系统在相应级别安全措施等级要求的基础上，进行安全措施的调整、定制和增强，并按照一定的划分方法组成相应的安全措施框架。

• • 安全技术措施：包括安全防护系统（物理防护、边界防护、监控检测、安全审计和应急恢复等子系统）和安全支撑系统（安全运营平台、网络管理系统和网络信任系统）。

• • 安全管理措施：包括安全管理制度、安全培训、安全审计等。

安全技术措施和安全管理措施应相互配合，共同构成信息系统的安全保障体系。

四、案例分析

以某市政务外网骨干网络为例，介绍等保三级安全架构设计的实际应用。

1. 背景介绍

某市政务外网骨干网络是市政务机关利用互联网通过统一门户对外统一发布信息和向社会提供信息服务、业务办理和管理监督等政务活动的公共信息网络。政务外网承载各级政府部门业务协同、社会管理、公共服务、应急联动等面向社会服务的业务应用系统。随着等保2.0的发布，对某市政务外网骨干的网络安全提出了新的要求。

2. 现状分析

该市政务外网骨干网络前期已开展过网络安全建设，但已建成时间距今周期较长，大部分设备已投用7至8年以上，设备已脱保且性能无法满足目前电子政务业务快速增长的需要。目前骨干网络区域部署了防火墙，主要用作网络边界的访问控制，以及内部服务器的端口映射。但设备功能及性能均已无法满足电子政务外网业务快速发展的需求。

3. 方案设计

针对以上问题，提出以下等保三级安全架构设计方案：

• • 网络边界防护：在网络边界部署链路负载均衡设备，实现对电信和移动链路的负载。同时，通过冗余部署下一代防火墙（含VPN模块）、入侵防御、上网行为管理等设备进行安全防护和管控。

• • 安全运维中心：新建安全运维中心，部署天池安全管理平台、网络安全态势感知平台以及数据一体化备份平台。天池等保一体机平台由一台物理设备搭建（可按需横向扩展），按需激活漏洞扫描、WEB防火墙、虚拟防火墙、堡垒机、日志综合审计、数据库审计、网页防篡改、主机安全管理等多项安全防护技术，实现电子政务外网内部横向的安全防护和管控。

• • 数据备份与恢复：建设数据一体化备份平台，实现业务数据的统一集中备份，满足等级保护的相关要求。

• • AI技术应用：利用AI技术实现用户行为分析（UEBA），通过机器学习算法快速训练客户现场安全场景，对异常行为进行定位跟踪，风险阈值实现智能动态调整，实现智能安全判定，对残余风险、隐蔽威胁、未知攻击和0day攻击等未知风险进行检测。

4. 预期效果

通过实施以上方案，该市政务外网骨干网络将具备以下安全能力：

• • 全面的安全防护：形成多层次、全方位的安全防护体系，有效抵御各类网络攻击和威胁。

• • 实时的安全监测：通过网络安全态势感知平台，实时监测网络状态和安全事件，及时发现并响应潜在的安全风险。

• • 高效的数据备份与恢复：确保业务数据的完整性和可用性，在数据丢失或损坏时能够迅速恢复。

• • 智能的安全管理：利用AI技术实现智能安全判定和风险管理，提高安全管理效率和准确性。

五、总结

等保三级安全架构设计是确保信息系统安全性的重要手段。通过构建包括物理安全、网络安全、主机安全、应用安全和数据安全在内的多层次安全防护体系，并采用积极防御和综合防范的策略，可以有效抵御各类网络攻击和威胁。同时，通过实施安全管理制度、安全培训和安全审计等安全管理措施，可以进一步提高信息系统的安全保障能力。

在实际应用中，需要根据信息系统的具体需求和特点，定制和增强相应的安全措施，形成符合等保三级要求的安全架构。此外，还需要定期进行安全评估和漏洞扫描，及时发现并修复潜在的安全风险，确保信息系统的持续安全稳定运行。

需要强调的是，信息安全是一个持续的过程，而不是一次性的任务。因此，在等保三级安全架构的设计和实施过程中，需要注重长效机制的建立，确保安全措施的持续有效性和适应性。同时，还需要加强与其他相关方的合作与沟通，共同构建更加安全、可靠的信息系统环境。