SG186工程安全防護(hù)總體方案

附件:國(guó)家電網(wǎng)公司信息化“SG186"X程安全防護(hù)總體方案（試行）TOC\o"1-5"\h\z\o"CurrentDocument"第一章總則 4\o"CurrentDocument"目標(biāo) 4范圍 4\o"CurrentDocument"防護(hù)對(duì)象 4\o"CurrentDocument"方案結(jié)構(gòu) 5\o"CurrentDocument"參考資料 6\o"CurrentDocument"第二章信息安全防護(hù)方案 7\o"CurrentDocument"管理信息系統(tǒng)安全防護(hù)策略 7\o"CurrentDocument"分級(jí)分域安全防護(hù)設(shè)計(jì) 8\o"CurrentDocument"安全域的定義 8\o"CurrentDocument"安全域的劃分方案 8\o"CurrentDocument"信息安全防護(hù)設(shè)計(jì) 10\o"CurrentDocument"邊界安全防護(hù) 11網(wǎng)絡(luò)環(huán)境安全防護(hù) 錯(cuò)誤!未定義書簽。主機(jī)系統(tǒng)安全防護(hù) 錯(cuò)誤!未定義書簽。應(yīng)用安全防護(hù) 錯(cuò)誤!未定義書簽。各域安全防護(hù)措施對(duì)應(yīng)表 ?錯(cuò)誤!未定義書簽。第三章安全控制措施及防護(hù)要點(diǎn) 錯(cuò)誤!未定義書簽。網(wǎng)絡(luò)訪問控制 錯(cuò)誤!未定義書簽。系統(tǒng)安全加固 錯(cuò)誤!未定義書簽。系統(tǒng)弱點(diǎn)掃描 錯(cuò)誤!未定義書簽。入侵檢測(cè)措施 錯(cuò)誤!未定義書簽。無線安全措施 錯(cuò)誤!未定義書簽。遠(yuǎn)程接入控制 錯(cuò)誤!未定義書簽。內(nèi)容安全措施 錯(cuò)誤!未定義書簽。病毒檢測(cè)措施 錯(cuò)誤!未定義書簽。日志審計(jì)措施 錯(cuò)誤!未定義書簽。備份恢復(fù)措施 錯(cuò)誤!未定義書簽。身份認(rèn)證和訪問管理相關(guān)控制措施 錯(cuò)誤!未定義書簽。物理安全措施 錯(cuò)誤!未定義書簽。附表一：詞匯表 錯(cuò)誤!未定義書簽。附表二：國(guó)家電網(wǎng)公司信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)表 錯(cuò)誤!未定義書簽。TOC\o"1-5"\h\z附1：安全方案實(shí)施指引 61附2:安全產(chǎn)品功能與技術(shù)要求 83附3:ERP系統(tǒng)域安全防護(hù)方案 109附4:營(yíng)銷管理系統(tǒng)域安全防護(hù)方案 135附5:電力市場(chǎng)交易系統(tǒng)域安全防護(hù)方案 161附6：財(cái)務(wù)（資金）管理系統(tǒng)域安全防護(hù)方案 187附7：總部辦公自動(dòng)化系統(tǒng)域安全防護(hù)方案 211附8：二級(jí)系統(tǒng)域安全防護(hù)方案 233附9：桌面終端域安全防護(hù)方案 253第一章總則目標(biāo)國(guó)家電網(wǎng)公司信息化“SG186”工程安全防護(hù)體系建設(shè)的總體目標(biāo)是防止信息網(wǎng)絡(luò)癱瘓、防止應(yīng)用系統(tǒng)破壞、防止業(yè)務(wù)數(shù)據(jù)丟失、防止企業(yè)信息泄密、防止終端病毒感染、防止有害信息傳播、防止惡意滲透攻擊，以確保信息系統(tǒng)安全穩(wěn)定運(yùn)行，確保業(yè)務(wù)數(shù)據(jù)安全。安全防護(hù)總體方案是面向國(guó)家電網(wǎng)公司信息化“SG186”工程一體化平臺(tái)及業(yè)務(wù)應(yīng)用的安全技術(shù)防護(hù)方案，是落實(shí)國(guó)家等級(jí)保護(hù)工作的典型設(shè)計(jì)；本方案不對(duì)公司的信息安全管理、業(yè)務(wù)連續(xù)性/災(zāi)難恢復(fù)、信任體系建設(shè)、數(shù)據(jù)分級(jí)分類等內(nèi)容進(jìn)行深入設(shè)計(jì)。安全防護(hù)總體方案適用于公司各單位，包括總部、網(wǎng)省公司及其直屬單位，作為信息系統(tǒng)規(guī)劃、設(shè)計(jì)、審查、實(shí)施、監(jiān)理、改造及運(yùn)行管理中關(guān)于信息安全方面的技術(shù)參照。1.3.防護(hù)對(duì)象國(guó)家電網(wǎng)公司信息系統(tǒng)部署于管理信息大區(qū)和生產(chǎn)控制大區(qū)，管理信息大區(qū)用以支撐國(guó)家電網(wǎng)公司不涉及國(guó)家秘密的企業(yè)管理信息業(yè)務(wù)應(yīng)用，包括國(guó)家電網(wǎng)公司一體化平臺(tái)、八大業(yè)務(wù)應(yīng)用及支持系統(tǒng)正常運(yùn)營(yíng)的基礎(chǔ)設(shè)施及桌面終端。管理信息大區(qū)劃分為用于承載“SG186”H程業(yè)務(wù)應(yīng)用和內(nèi)部辦公的信息內(nèi)網(wǎng)（可涉及企業(yè)商業(yè)秘密）以及用于支撐對(duì)外業(yè)務(wù)和互聯(lián)網(wǎng)用戶終端的信息外網(wǎng)（不涉及企業(yè)商業(yè)秘密），信息系統(tǒng)基本部署結(jié)構(gòu)如下圖所示：外網(wǎng)桌面割=*::置H 岸:置：=：：最§=：福置囂：技器廿：：置：=也#=：：置器：：：§囂=：牌鹽：：置鹽出置=：：：囂：囂：溢器的置器：出囂=：出置=：：置=：：碧=：：置=爵二=::二外網(wǎng)桌面割=*::置H 岸:置：=：：最§=：福置囂：技器廿：：置：=也#=：：置器：：：§囂=：牌鹽：：置鹽出置=：：：囂：囂：溢器的置器：出囂=：出置=：：置=：：碧=：：置=爵二=::二ZJ ■：三土:土二壬三二三三:：=，土二^^二日壬：三二壬三二：=￡：：：M^：az二上壬二:^;:財(cái)務(wù)管理（內(nèi)）營(yíng)銷管理（內(nèi)〉電力市場(chǎng)交易（內(nèi)）招投標(biāo)（內(nèi)）安全生產(chǎn)協(xié)同辦公人力資源哽II管理物資管理綜合管理::：：：：：!：：：：：!：：：：^：：：：：：：：：：：：：：：：：：：：：：!i：3S；!：：：：；：：!：：：：：：：：：：I：：：：：：：：：：財(cái)務(wù)管理（外）1營(yíng)銷管理（外）互電力市場(chǎng)交易（外）聯(lián)招投標(biāo)（外）罵宓芒堂n昭E廉E硬省進(jìn)：竺三尤/亍主*'眼*Jiml*~~lrrTliLcul JmmizTJ-t|lLui也些幽_ 內(nèi)網(wǎng)應(yīng)用:TI外網(wǎng)交互I1",1,11,1",1,11,1",1,11 -r—肝CTAL圖1國(guó)家電網(wǎng)公司網(wǎng)絡(luò)分區(qū)示意圖本方案的防護(hù)對(duì)象為國(guó)家電網(wǎng)公司總部、網(wǎng)省及其直屬單位的管理信息系統(tǒng)，主要包括一體化企業(yè)信息集成平臺(tái)和八大業(yè)務(wù)應(yīng)用相關(guān)系統(tǒng)。涉及國(guó)家秘密的信息系統(tǒng)（涉密信息系統(tǒng)）按照國(guó)家《計(jì)算機(jī)信息系統(tǒng)保密管理暫行規(guī)定》（國(guó)保發(fā)[1998]1號(hào)）、《涉及國(guó)家秘密的信息系統(tǒng)審批管理規(guī)定》（國(guó)保辦發(fā)[2007]18號(hào)）、《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）等文件對(duì)于涉密信息系統(tǒng)的要求進(jìn)行管理，本方案不涉及。生產(chǎn)控制大區(qū)的相關(guān)信息系統(tǒng)依據(jù)《電力二次系統(tǒng)安全防護(hù)總體方案》進(jìn)行安全體系建設(shè)，本方案不涉及。1.4.方案結(jié)構(gòu)《國(guó)家電網(wǎng)公司信息化“SG186”工程安全防護(hù)總體方案》附件包含有各域安全防護(hù)方案、《安全產(chǎn)品功能技術(shù)要求》及《安全方案實(shí)施指引》，結(jié)構(gòu)如下圖所示：

舞跚琳魏勰魏魏琳齡啄麒齡股齡櫥獺*密￡蹶甑翹遂齡琳魏齡齡圖2國(guó)家電網(wǎng)公司信息化“SG186"X程安全防護(hù)總體方案結(jié)構(gòu)示意圖1.5.參考資料在總體方案的編制過程中，參考了如下資料:文件名稱發(fā)布時(shí)間《電力二次系統(tǒng)安全防護(hù)總體方案》二OO六年十一月《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）二OO七年六月《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》二OO七年六月《網(wǎng)絡(luò)與信息系統(tǒng)安全隔離實(shí)施指導(dǎo)意見》二OO七年十一月《國(guó)家電網(wǎng)公司信息機(jī)房設(shè)計(jì)及建設(shè)規(guī)范》二OO六年九月《國(guó)家電網(wǎng)公司信息機(jī)房管理規(guī)范》二OO六年九月信息安全防護(hù)方案安全防護(hù)總體方案將依據(jù)“分區(qū)、分級(jí)、分域”防護(hù)方針，將各系統(tǒng)劃分至相應(yīng)安全域進(jìn)行防護(hù)，并且將各安全域劃分為網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)環(huán)境、主機(jī)系統(tǒng)及應(yīng)用環(huán)境四個(gè)層次實(shí)施安全防護(hù)措施。應(yīng)用安全防護(hù)分反防護(hù)/ 主機(jī)安全防護(hù)/ 網(wǎng)鎏紊罅護(hù)邊核全髓護(hù)分域分版?一一級(jí)系統(tǒng)二皺系統(tǒng)其它應(yīng)用紊全防護(hù)措分反防護(hù)/ 主機(jī)安全防護(hù)/ 網(wǎng)鎏紊罅護(hù)邊核全髓護(hù)分域分版?一一級(jí)系統(tǒng)二皺系統(tǒng)其它應(yīng)用紊全防護(hù)措IM主機(jī)安全防護(hù)措籍同路安全防爐措施辿界安全防護(hù)措施分區(qū)管理侑息大區(qū)分區(qū)（信息內(nèi)網(wǎng)、侑息外網(wǎng)）圖3國(guó)家電網(wǎng)公司安全防護(hù)架構(gòu)示意圖管理信息系統(tǒng)安全防護(hù)策略國(guó)家電網(wǎng)公司管理信息系統(tǒng)安全防護(hù)體系將遵循以下策略進(jìn)行建設(shè)：雙網(wǎng)雙機(jī)：管理信息大區(qū)劃分為信息內(nèi)網(wǎng)和信息外網(wǎng)，管理信息內(nèi)外網(wǎng)間采用邏輯強(qiáng)隔離設(shè)備進(jìn)行隔離，信息內(nèi)外網(wǎng)分別采用獨(dú)立的服務(wù)器及桌面主機(jī)；分區(qū)分域：在國(guó)家電網(wǎng)公司信息系統(tǒng)劃分為管理信息大區(qū)與生產(chǎn)控制大區(qū)的基礎(chǔ)上，將管理信息大區(qū)的系統(tǒng)，依據(jù)定級(jí)情況及業(yè)務(wù)系統(tǒng)類型，進(jìn)行安全域劃分，以實(shí)現(xiàn)不同安全域的獨(dú)立化、差異化防護(hù)；等級(jí)防護(hù)：管理信息系統(tǒng)將以實(shí)現(xiàn)等級(jí)保護(hù)為基本出發(fā)點(diǎn)進(jìn)行安全防護(hù)體系建設(shè)，并參照國(guó)家等級(jí)保護(hù)基本要求進(jìn)行安全防護(hù)措施設(shè)計(jì)；多層防御：在分域防護(hù)的基礎(chǔ)上，將各安全域的信息系統(tǒng)劃分為邊界、網(wǎng)絡(luò)、主機(jī)、應(yīng)用四個(gè)層次進(jìn)行安全防護(hù)設(shè)計(jì)，以實(shí)現(xiàn)層層遞進(jìn)，縱深防御。分級(jí)分域安全防護(hù)設(shè)計(jì)安全防護(hù)總體方案將結(jié)合國(guó)家電網(wǎng)公司等級(jí)保護(hù)定級(jí)結(jié)果以及各應(yīng)用系統(tǒng)的管理相似性、業(yè)務(wù)相近性對(duì)管理信息內(nèi)外網(wǎng)中的系統(tǒng)進(jìn)行安全域劃分，以更有針對(duì)性地進(jìn)行各系統(tǒng)的安全防護(hù)措施設(shè)計(jì)。信息系統(tǒng)進(jìn)行安全域劃分可將復(fù)雜安全防護(hù)問題進(jìn)行分解，有助于實(shí)現(xiàn)信息系統(tǒng)分等級(jí)保護(hù)，有針對(duì)性地實(shí)施應(yīng)用邊界防護(hù)，防止安全問題擴(kuò)散。2.2.1安全域的定義安全域是由一組具有相同安全保障需求、并相互信任的系統(tǒng)組成的邏輯區(qū)域，同一安全域的系統(tǒng)共享相同的安全保障策略。2.2.2安全域的劃分方案國(guó)家電網(wǎng)公司應(yīng)用系統(tǒng)主要部署于信息內(nèi)網(wǎng)，與互聯(lián)網(wǎng)有交互的子系統(tǒng)或功能單元部署于信息外網(wǎng)，信息內(nèi)網(wǎng)與信息外網(wǎng)以邏輯強(qiáng)隔離設(shè)備進(jìn)行安全隔離，對(duì)于信息內(nèi)外網(wǎng)分別進(jìn)行安全域劃分?！缎畔踩燃?jí)保護(hù)管理辦法》中對(duì)于三級(jí)系統(tǒng)安全保障要求及國(guó)家信息安全監(jiān)管部門的監(jiān)管執(zhí)行要求強(qiáng)度高于二級(jí)系統(tǒng)，因此安全域劃分采取將等級(jí)保護(hù)要求較高的各三級(jí)系統(tǒng)劃分獨(dú)立的安全域進(jìn)行安全防護(hù)，以實(shí)現(xiàn)三級(jí)系統(tǒng)間及與其他系統(tǒng)之間的獨(dú)立安全防護(hù)，也便于國(guó)家電網(wǎng)公司及外部監(jiān)管機(jī)構(gòu)對(duì)于三級(jí)系統(tǒng)的安全監(jiān)管，對(duì)于信息內(nèi)網(wǎng)的應(yīng)用系統(tǒng)安全域劃分依據(jù)以下方法：二級(jí)系統(tǒng)統(tǒng)一成域，三級(jí)系統(tǒng)獨(dú)立分域；依據(jù)以上分域方法進(jìn)行安全域劃分后信息內(nèi)網(wǎng)將有以下安全域：?電力市場(chǎng)交易系統(tǒng)域；?財(cái)務(wù)（資金）管理系統(tǒng)域（將逐步被ERP系統(tǒng)財(cái)務(wù)模塊替代）；?辦公自動(dòng)化系統(tǒng)域（僅國(guó)家電網(wǎng)公司總部劃分為三級(jí)系統(tǒng)域）；?營(yíng)銷管理系統(tǒng)域（基于營(yíng)銷管理系統(tǒng)的重要性及目前各單位的安全建設(shè)現(xiàn)狀，按等級(jí)保護(hù)三級(jí)要求進(jìn)行安全防護(hù)建設(shè)）；?ERP系統(tǒng)域（由于“SG186”規(guī)劃中財(cái)務(wù)（資金）管理系統(tǒng)將最終以模塊的形式整合于ERP系統(tǒng)中，因此ERP系統(tǒng)按財(cái)務(wù)（資金）管理系統(tǒng)所屬的等級(jí)保護(hù)三級(jí)進(jìn)行安全建設(shè)）；?二級(jí)系統(tǒng)域：所有二級(jí)系統(tǒng)統(tǒng)一部署于二級(jí)系統(tǒng)域中進(jìn)行安全防護(hù)建設(shè)。?內(nèi)網(wǎng)桌面終端域：由于桌面終端的安全防護(hù)與應(yīng)用系統(tǒng)不同，將其劃分為獨(dú)立區(qū)域進(jìn)行安全防護(hù)，信息內(nèi)網(wǎng)桌面終端用于內(nèi)網(wǎng)業(yè)務(wù)操作及內(nèi)網(wǎng)業(yè)務(wù)辦公處理，建議各單位根據(jù)各自具體情況對(duì)桌面辦公終端按業(yè)務(wù)部門或訪問類型進(jìn)一步進(jìn)行區(qū)域細(xì)分，以便于針對(duì)不同的業(yè)務(wù)訪問需求制定訪問控制及制定其他防護(hù)措施。以上分域方法應(yīng)當(dāng)在國(guó)家電網(wǎng)公司總部、網(wǎng)省、地市等各級(jí)單位獨(dú)立應(yīng)用以進(jìn)行安全域劃分。此外考慮到總部、網(wǎng)省及地市公司層面系統(tǒng)安全防護(hù)體系建設(shè)的一致性，營(yíng)銷管理及ERP系統(tǒng)在各單位均按等級(jí)保護(hù)三級(jí)要求進(jìn)行建設(shè)；財(cái)務(wù)（資金）管理系統(tǒng)在總部、網(wǎng)省按三級(jí)防護(hù)，地市按二級(jí)防護(hù)。由于國(guó)家電網(wǎng)公司主要應(yīng)用系統(tǒng)部署于信息內(nèi)網(wǎng)，信息外網(wǎng)主要包括需要與互聯(lián)網(wǎng)交互的子系統(tǒng)或應(yīng)用模塊，且系統(tǒng)數(shù)量較少，因此將信息外網(wǎng)的應(yīng)用系統(tǒng)統(tǒng)一部署于同一安全域內(nèi)進(jìn)行安全防護(hù)，該安全域中的應(yīng)用系統(tǒng)在主機(jī)及應(yīng)用層面按各系統(tǒng)所屬的安全級(jí)別進(jìn)行防護(hù)，網(wǎng)絡(luò)及與信息外網(wǎng)邊界防護(hù)按滿足域中各系統(tǒng)所屬最高等級(jí)就高進(jìn)行安全建設(shè)。信息外網(wǎng)系統(tǒng)劃分為以下安全域：

?外網(wǎng)應(yīng)用系統(tǒng)域：需與互聯(lián)網(wǎng)進(jìn)行數(shù)據(jù)交換的系統(tǒng)部署于外網(wǎng)應(yīng)用系統(tǒng)域進(jìn)行安全防護(hù)；?外網(wǎng)桌面終端域：外網(wǎng)桌面終端用于外網(wǎng)業(yè)務(wù)辦公及互聯(lián)網(wǎng)訪問，建議各單位跟據(jù)各自具體情況對(duì)外網(wǎng)桌面辦公終端按業(yè)務(wù)部門或訪問類型進(jìn)行區(qū)域細(xì)分，以便于針對(duì)不同的業(yè)務(wù)訪問需求進(jìn)行訪問控制及實(shí)施其他安全防護(hù)措施。按以上方案進(jìn)行安全域劃分后，國(guó)家電網(wǎng)公司各單位安全域分布結(jié)構(gòu)如下：公司總部信息外網(wǎng)外網(wǎng)應(yīng)用系統(tǒng)域信息內(nèi)網(wǎng)電力市場(chǎng)妄易幕統(tǒng)域后鎧管理部以自卻化系統(tǒng)域上h!F系統(tǒng)域；二噩系統(tǒng)歧1桌面也§媛"1信息外網(wǎng)』公司總部信息外網(wǎng)外網(wǎng)應(yīng)用系統(tǒng)域信息內(nèi)網(wǎng)電力市場(chǎng)妄易幕統(tǒng)域后鎧管理部以自卻化系統(tǒng)域上h!F系統(tǒng)域；二噩系統(tǒng)歧1桌面也§媛"1信息外網(wǎng)』外網(wǎng)應(yīng)用系統(tǒng)域|m外網(wǎng)患面終端攙1m勾期七口網(wǎng)省公司電方市場(chǎng)交曹捎管理易泵藐性:_垂疝——域信息內(nèi)網(wǎng)二圾系蛇域見面線箱域電市公Ml圖4國(guó)家電網(wǎng)公司各級(jí)單位安全域分布示意圖外網(wǎng)桌面將端域信息安全防護(hù)設(shè)計(jì)信息安全防護(hù)設(shè)計(jì)將在國(guó)家電網(wǎng)公司分區(qū)、分級(jí)、分域防護(hù)原則的基礎(chǔ)上，將公司各業(yè)務(wù)單位的信息系統(tǒng)安全防護(hù)劃分為邊界安全防護(hù)、網(wǎng)絡(luò)環(huán)境安全防護(hù)、主機(jī)系統(tǒng)安全防護(hù)及應(yīng)用安全防護(hù)四個(gè)層次進(jìn)行安全防護(hù)措施設(shè)計(jì)。對(duì)于物理層面安全防護(hù)，由于其相對(duì)固定，可參照“3.12物理安全防護(hù)措施”結(jié)合《國(guó)家電網(wǎng)公司信息機(jī)房設(shè)計(jì)及建設(shè)規(guī)范》及《國(guó)家電網(wǎng)公司信息機(jī)房管理規(guī)范》實(shí)施。2.3.1邊界安全防護(hù)邊界安全防護(hù)關(guān)注如何對(duì)進(jìn)出該邊界的數(shù)據(jù)流進(jìn)行有效的檢測(cè)和控制，有效的檢測(cè)機(jī)制包括基于網(wǎng)絡(luò)的入侵檢測(cè)（IDS）、對(duì)流經(jīng)邊