09_等保系列之等保2.0安全解决方案

《中华人民共和国网络安全法》的意义和作用主要体现在以下几个方面: 法律框架的建立:该法为中国网络安全提供了法律框架，为网络空间的安全和稳定提供了明确的法律依据。
网络主权原则的确立:法律强调了网络空间的主权属于国家，这有助于维护国家在网络空间的权益和地位。
网络实名制的实施:法律要求网络用户进行实名注册，这有助于提高网络行为的透明度，减少网络犯罪和不良信息传播。
关键信息基础设施的保护:针对关键信息基础设施提供特别的安全保护措施，确保这些基础设施的安全和稳定运行。
共同治理原则的推广:鼓励政府部门、网络建设者、网络运营者、网络服务提供者、网络行业相关组织、公民等共同参与网络空间安全治理，形成全社会共同维护网络安全的合力。
个人信息和数据安全的保护:法律对个人信息保护、数据安全等方面进行了规定，有助于防止个人信息和数据的泄露和滥用。
监测预警与应急处置机制:法律明确了网络安全监测、预警和应急处置的机制和措施，有助于在网络安全事件发生时迅速响应和处理。
法律责任的明确:法律明确了违反网络安全法的行为及其法律责任，有助于加强网络安全执法和司法。

关键安全预防措施

加强网络入侵防护
1. 关键基础设施一旦被入侵，危害极大，要重点进行网络入侵的防护。
2. 对于传统威胁，要做到快速、精准的防护;对于高级未知威胁，也要做到智能检测与防护。
3. 建设和加强入侵防护是网络安全防护的核心关键工作。
建设安全态势平台
1. 维护网络安全，首先要知道风险在哪里是什么样的风险，什么时候发生风险，正所谓"聪者听于无声，明者见于未形"。
2. 感知网络安全态势是网络安防护中最基本、最基础的工作。

等保解决方案

管理组织

我国在信息安全等级保护方面的多层次管理体系和组织架构，从中央到地方的各级机构以及职责分工。

指导监督部门:公安部网络安全保卫局，负责指导监管部门开展、推进和指导国家等保工作。
技术支撑部门:包括公安部信息安全等级保护评估中心(MPS Information Classified Security ProtectionEvaluation Center)，以及多个国家级、行业级和地方级的测评机构。这些部门主要负责制定、修订国家标准和技术指南，进行培训和技术指导，以及管理全国测评单位。
国家测评机构:
1. 公安部信息安全等级保护评估中心
2. 国家信息技术安全研究中心
3. 中国信息安全测评中心
行业测评机构:
1. 电力行业信息安全等级保护测评中心
2. 中国金融电子化公司测评中心
3. 教育信息安全等级保护测评中心
4. 国家广播电影电视总局广播电视信息安全测评中心

工作流程

系统定级:信息系统运营单位自行确定系统的安全保护等级
系统备案:定级申报获得通过后，需到公安机关办理备案手续
建设整改:根据等级保护的相关规定和标准整改
等级测评:信息系统运营单位选择公安部认可的第三方等级测评机构进行测评
监督检查:当地网监部门会定期对信息系统进行监督检查

重要行业关键信息系统划分及定级建议

安全技术方案

等保二、三级关键点说明

三级是等级保护二级要求的扩展加强三级要求主干链路冗余，设备性能有冗余

关键点	二级	三级
技术方面	安全审计、边界完整性检查、入侵防范资源控制以及通信保密性等控制点	网络恶意代码防范、剩余信息保护，如访问控制增加了对重要信对身份鉴别、访问控制、安全审计、数据完整性、数据保密性等均有更进一步的要求息资源设置敏感标记等
网络安全	不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力要满足业务极限时的需要	对网络处理能力增加了"优先级"考虑，保证重要主机能够在网络拥堵时仍能够正常运行
	加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点	网络边界的访问控制扩展到应用层，网络边界的其他防护措施进一步增强，不仅能够被动的"防"，还应能够主动发出一些动作，如报警阻断等，网络设备的防护手段要求两种身份鉴别技术综合使用
	对网络设备的防户不仅局限于简单的身份鉴别，同时对标识和鉴别信息都有了相应的要求。

三级等保实施方案

新等级保护差异变化

面临的挑战

成本上升、合规性要求、混合和多云环境复杂性这些因素使得企业在云部署过程中面临更多的挑战，需要识别和管理这些独特挑战，比如数据丢失篡改或泄露、滥用云服务、网络攻击、利用共享技术漏洞进行的攻击、利用不安全接口的攻击、云服务中断、数据残留、越权、滥用与误操作等风险

等保三级认证含义

云平台通过等保三级，一方面意味着其安全性达到国家标准的较高水准，另一方面则可以助力云平台所承载业务的安全水平提升，有利于业务系统自身的等级保护安全建设。反之，若云平台不通过等保三级，则无法承载三级或三级以上政务系统。

云平台安全解决方案

物理和环境安全
1. 云服务方所提供的物理设备以及云租户的关键业务和数据都应该在"中国境内确保数据不出境。
2. 云服务方应具有IDC运营资质。
网络和通信安全
1. 网络架构:划分资源池、资源池之间的隔离、强调云计算平台开放安全接口
  1. 既有二级业务又有三级业务的，需要划分二级资源池和三级资源池。
  2. 三级(含)以下业务，资源池之间网络隔离，允许逻辑隔离。
  3. 四级资源池与级别资源池之间隔离，必须物理隔离。
  4. 网络流量导出到安全设备，包括到物理防火墙，vFW，VIPS等，也包括身份认证、审计(syslog接口)等。
  5. 根据云租户的业务需求定义安全访问路径。
2. 访问控制
  1. 要有相关的安全控制措施，防止虚机逃逸。
  2. 在网络边界部署虚拟防火墙产品进行虚拟网络间的访问控制。
  3. 需要有关措施能够保证虚机迁移时访问控制措施随之迁移。
  4. 在虚机之间可以有控制虚机间访问控制的安全策略措施。
  5. 不同安全等级的网络边界应有访问控制措施和设备。如虚拟防火墙、防火墙、网闸。
3. 安全审计
  1. 根据不同的职责和身份，应该有收集审计数据的功能和措施。
  2. 能有明显的界面显示云操作方对云租户进行数据和系统相关的任何操作行为的记录。
  3. 保证一切审计数据不会被删除不会被篡改。
  4. 应该具有开放数据接口的能力，可以允许第三方审计产品完整顺利的获取所有安全审计数据。
  5. 保证云服务方对云租户系统和数据的操作可被云租户审计。
应用及数据安全
1. 应用安全
  1. 身份鉴别:组合鉴别技术
  2. 访问控制:敏感标记的设置
  3. 安全审计:审计报表及审计记录的保护
  4. 剩余信息保护:敏感信息清楚、存储空间释放
  5. 通信完整性:加密技术
  6. 通信保密性:整个报文及会话传输过程加密
  7. 防抵赖:原发证据的提供
  8. 软件容错:出错校验、自动保护
  9. 资源控制:资源分配、优先级、最小化服务及检测报警
2. 数据安全
  1. 数据完整性:数据存储、传输，完整性检测和恢复
  2. 数据保密性:数据存储、传输，加密保护
  3. 备份和恢复:冗余、备份
3. 设备和计算安全
  1. 资源控制
    1. 虚拟机的迁移只能在同级别的资源池内迁移，二级业务系统只能在二级资源池内迁移，三级业务系统只能在三级资源池内迁移
    2. 二级业务系统迁到三级资源池:二级业务系统本身安全防护比较弱，可能会对三级资源池带来新的风险三级业务系统迁到
    3. 二级资源池:三级业务系统本身的数据重要性，二级资源池无法达到三级防护要求
  2. 访问控制
    1. 可以统一对物理主机、网络、存储和虚拟资源进行资源控制。
    2. 全标准中几个概念"虚拟机""物理机"、"宿主机"、"主机"
    3. 物理机就是指独立的物理主机，比如安装数据库的物理机

新旧等级保护标准主要变化点

控制项结构的变化:新标准的安全通用要求中，控制大项的数量从之前的8项增加到了10项。网络安全被拆分为安全通信网络和安全区域边界两个部分，而主机安全、应用安全和数据及备份则合并到安全计算环境中。此外，新标准还新增了安全管理中心控制项。
要求项的变化:在要求项方面，新标准的安全通用部分的要求项数量有所减少。例如，三级要求项从230项减少到211项，二级要求项从147项减少到135项。同时，个人信息保护的要求被保留，而剩余信息保护的要求又重新引入。
扩展要求的变化:新标准不再发布5个单独的扩展要求标准，而是将它们整合到一个标准中。这些扩展要求包括云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求和工业控制系统安全扩展要求。
标准名称和结构的变更:新标准将原来的《GB/T 22240-2008信息安全技术信息系统安全等级保护定级指南》更名为《GB/T22240-2020信息安全技术网络安全等级保护定级指南》，并对标准目录结构进行了调
定级原理的变化:新标准在定级原理上进行了细微调整，例如将原来的"信息系统"调整为"等级保护对象"，将"公民"调整为"相关公民"。
等级保护内容的扩展:新标准将云计算、移动互联、物联网、工业控制系统等纳入了等级保护的范围，保护对象从传统的网络和信息系统扩展到这些新兴技术领域。
可信计算的要求增加:相比等保1.0，等保2.0增加了可信计算的相关要求。可信计算贯穿等保2.0从一级到四级整个标准，在安全通信网络、安全区域边界与安全计算环境中均有明确要求。

网络安全

主机安全

总结

√网络安全法

√ 等保解决方案

√ 新等级保护差异变化

√ 新旧等级保护标准主要变化点