集团公司信息系统等级保护建设方案V21_2009

山东省电力集团公司信息系统等级保护建设方案

二零零九年八月

版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属国网电力科学研究院/国网信息网络安全实验室和山东省电力集团公司所有，受到有关产权及版权法保护。任何个人、机构未经国网电力科学研究院/国网信息网络安全实验室和山东省电力集团公司的书面授权许可，不得以任何方式复制或引用本文的任何片断。

文档信息

文档名称山东省电力集团公司信息系统等级保护建设方案

文档管理编号INSL-SDDL-BLT-2009-FA

保密级别商密文档版本号V3.0

制作人郭骞制作日期2009年6月复审人余勇复审日期2009年6月扩散范围国家电网公司信息网络安全实验室

山东省电力集团公司

扩散批准人林为民

版本变更记录

时间版本说明修改人

2009-８V1.0 创建文档郭骞

2009-８V2.0 修改文档俞庚申

2009-８V3.0 文档复审定稿余勇

适用性声明

本报告由国网电力科学研究院/国网信息网络安全实验室撰写，适用于山东省电力集团公司信息系统等级保护项目。

目录

1.项目概述 (1)

1.1目标与范围 (1)

1.2方案设计 (2)

1.3参照标准 (2)

2.等保现状及建设总目标 (2)

2.1等级保护现状............................................................. 错误!未定义书签。

2.1.1国家电网公司等保评测结果.............................. 错误!未定义书签。

2.1.2公安部等保测评结果.......................................... 错误!未定义书签。

2.2等级保护建设总体目标 (2)

3.安全域及网络边界防护 (3)

3.1信息网络现状 (3)

3.2安全域划分方法 (4)

3.3安全域边界 (5)

3.3.1二级系统边界 (5)

3.3.2三级系统边界 (6)

3.4安全域的实现形式 (7)

3.5安全域划分及边界防护 (8)

3.5.1安全域的划分 (8)

4.信息安全管理建设 (11)

4.1建设目标 (11)

4.2安全管理机构建设..................................................... 错误!未定义书签。

4.3安全管理制度完善..................................................... 错误!未定义书签。

5.二级系统域建设 (12)

5.1概述与建设目标 (12)

5.2网络安全 (13)

5.2.1网络安全建设目标 (13)

5.2.2地市公司建设方案 (13)

5.3主机安全 (19)

5.3.1主机安全建设目标 (19)

5.3.3访问控制 (22)

5.3.4安全审计 (23)

5.3.5入侵防范 (26)

5.3.6恶意代码防范 (28)

5.3.7资源控制 (28)

5.4应用安全 (30)

5.4.1应用安全建设目标 (30)

5.4.2身份鉴别 (31)

5.4.3安全审计 (31)

5.4.4通信完整性、通信保密性 (32)

5.4.5资源控制 (33)

5.5数据安全及备份恢复 (34)

5.5.1数据安全及备份恢复建设目标 (34)

5.5.2数据完整性、数据保密性 (34)

6.三级系统域建设 (36)

6.1概述与建设目标 (36)

6.2物理安全 (36)

6.2.1物理安全建设目标 (36)

6.2.2机房感应雷防护措施 (37)

6.2.3物理访问控制 (37)

6.2.4防盗措施 (37)

6.2.5防火措施 (38)

6.2.6防水和防潮 (39)

6.2.7电磁防护 (39)

6.3网络安全建设方案 (40)

6.3.1网络安全建设目标 (40)

6.3.2山东省电力集团公司建设方案 (40)

6.4主机安全 (46)

6.4.1主机安全建设目标 (46)

6.4.2主机身份鉴别 (46)

6.4.4安全审计 (51)

6.4.5剩余信息保护 (54)

6.4.6入侵防范 (55)

6.4.7恶意代码防范 (57)

6.4.8资源控制 (58)

6.5应用安全 (59)

6.5.1应用安全建设目标 (59)

6.5.2身份鉴别 (59)

6.5.3访问控制 (60)

6.5.4安全审计 (61)

6.5.5剩余信息保护 (63)

6.5.6通信完整性、通信保密性、抗抵赖 (63)

6.5.7资源控制 (64)

6.6数据安全及备份恢复 (66)

6.6.1数据安全及备份恢复建设目标 (66)

6.6.2数据完整性、数据保密性 (66)

6.6.3备份和恢复 (67)

1. 项目概述

根据国家电网公司《关于信息安全等级保护建设的实施指导意见（信息运安〔2009〕27号）》和山东省电力集团公司对等级保护相关工作提出的要求，落实等级保护各项任务，提高山东省电力集团公司信息系统安全防护能力，特制定本方案。

1.1 目标与范围

公司为了落实和贯彻公安部、国家保密局、国家密码管理局、电监会等国家有关部门信息安全等级保护工作要求，全面完善公司信息安全防护体系，落实公司“双网双机、分区分域、等级防护、多层防御”的安全防护策略，确保等级保护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建设工作。

前期在省公司及地市公司开展等级保护符合性测评工作，对地市公司进行测评调研工作，范围涵盖内网门户、外网门户、财务管理系统、营销管理系统、电力市场交易系统、生产管理信息系统、协同办公系统、人力资源管理系统、物资管理系统、项目管理系统、邮件系统、公司广域网SGInet、管理制度这13个业务系统分类，分析测评结果与等级保护要求之间的差距，提出本的安全建设方案。

本方案主要遵循GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《信息安全等级保护管理办法》（公通字[2007]43号）、《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）、《国家电网公司信息化“SG186”工程安全防护总体方案》、ISO/IEC 27001信息安全管理体系标准和ISO/IEC 13335信息安全管理标准等。

实施的范围包括：省公司本部、各地市公司。

通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个信息系统的安全状况提升到一个较高的水平，并尽可能地消除或降低信息系统的安全风险。

1.2 方案设计

根据等级保护前期测评结果，省公司本部及各地市公司信息系统存在的漏洞、弱点提出相关的整改意见，并最终形成安全解决方案。

1.3 参照标准

GB/T22239-2008《信息安全技术信息安全等级保护基本要求》

《信息安全等级保护管理办法》（公通字[2007]43号）

《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）

《国家电网公司信息化“SG186”工程安全防护总体方案》

ISO/IEC 27001信息安全管理体系标准

ISO/IEC 13335信息安全管理标准

《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求（征求意见稿）》

《国家电网公司信息机房设计及建设规范》

《国家电网公司信息系统口令管理规定》

GB50057-94《建筑防雷设计规范》

《国家电网公司应用软件通用安全要求》

2. 建设总目标

2.1 等级保护建设总体目标

综合考虑省公司现有的安全防护措施，针对与《信息安全技术信息系统安全等级保护基本要求》间存在的差异，整改信息系统中存在的问题，使省公司及地市公司信息系统满足《信息安全技术信息系统安全等级保护基本要求》中不同等级的防护要求，顺利通过国家电网公司或公安部等级保护建设测评。

3. 安全域及网络边界防护

根据GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《国家电网公司信息化“SG186”工程安全防护总体方案》及《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求（征求意见稿）》的要求，省公司及地市公司信息系统按照业务系统定级，根据不同级别保护需求，按要求划分安全区域进行分级保护。因此，安全域划分是进行信息安全等级保护建设的首要步骤。

3.1 信息网络现状

山东省电力集团公司各地市信息内网拓扑典型结构： 桌面终端域S i

多产以及第三方网络

S i 营销系统域二级系统域S i 县局广域网

县局广域网

S i

省局信息广域网

链路聚合

链路聚合

IPS 应用服务器

图：典型信息网络现状

主要问题：

各安全域之间缺乏有效的控制措施不能够保障业务系统安全、独立运

行，不受其他业务系统的影响。

根据GB/T22239-2008《信息安全技术信息安全等级保护基本要求》和《国家电网公司信息化“SG186”工程安全防护总体方案》的建设要求，省公司和各地市信息网络安全域需根据业务系统等级进行重新划分。

3.2 安全域划分方法

依据国家电网公司安全分区、分级、分域及分层防护的原则，管理信息大区按照双网隔离方案又分为信息内网与信息外网。本方案主要针对公司信息系统进行等级保护建设。在进行安全防护建设之前，首先实现对信息系统的安全域划分。

依据SG186总体方案中“二级系统统一成域，三级系统独立分域”的要求，结合省公司MPLS VPN现状，采用纵向MPLS VPN结合VLAN划分的方法，将全省信息系统分为：

信息内网区域可分为：

◆电力市场交易系统MPLS VPN（或相应纵向通道）：包含省公司电力市

场交易应用服务器VLAN、省公司电力市场交易办公终端；

◆财务管理系统MPLS VPN（或相应纵向通道）：包含省公司财务管理系

统VLAN、省公司财务办公终端VLAN、各地市财务办公终端VLAN（13

个）；

◆营销管理系统MPLS VPN（或相应纵向通道）：省公司营销系统VLAN、

省公司营销办公终端VLAN、各地市营销系统VLAN（13个）、各地市

营销办公终端VLAN（13个）

◆二级系统MPLS VPN（或相应纵向通道）（二级系统包括：内部门户（网

站）、生产管理信息系统、协同办公系统、人力资源管理系统、物资管

理系统、项目管理系统和邮件系统）：

◆公共服务MPLS VPN（或相应纵向通道）：包含DNS、FTP等全省需要

访问的公共服务

◆信息内网桌面终端域

信息外网区的系统可分为：

◆电力市场交易系统域

◆营销管理系统域（95598）

◆外网二级系统域（外网门户等）

◆信息外网桌面终端域

安全域的具体实现采用物理防火墙隔离、虚拟防火墙隔离或Vlan隔离等形式进行安全域划分。

3.3 安全域边界

3.3.1 二级系统边界

◆二级系统域存在的边界如下表：

边界类型边界描述

第三方网络边界Internet边界

纵向网络边界省公司与华北电网公司间、省公司与其地市公司之间

横向域间边界在信息内外网区与桌面终端域的边界在信息内外网区与基础系统域的边界与财务系统域之间的边界

与电力市场交易系统域的边界

与营销管理系统域间的边界

◆二级系统域的网络边界拓扑示意图如下：

3.3.2 三级系统边界

财务管理系统、电力市场交易系统和营销系统均涉及信息内网与银行联网存在第三方网络边界接口、省公司与地市公司之间网络边界接口、信息内网横向域间其它二级系统域间接口，电力市场交易系统还涉及信息外网与Internet存在第三方网络边界接口。

三级系统域存在的边界如下表：

边界类型边界描述

信息外网第三方边界与Internet互联网的边界，实现：

公共服务通道（边远站所、移动服务、PDA现场服务、居民集中抄表、负控终端采集、抢修车辆GPS定位等）与其他社会代收机构连接（VPN）

网上营业厅

短信服务

时钟同步

信息内网第三方边界银企互联边界

与其他社会代收机构的边界（专线连接）公共服务通道（专线、GPRS、CDMA等）

纵向网络边界省公司与地市公司

横向域间边界与二级系统域间的边界

与内外网桌面终端域的边界

与内外网基础系统域的边界

与其它三级域之间的边界

◆三级系统域的网络边界拓扑示意图如下：

3.4 安全域的实现形式

安全域实现方式以划分逻辑区域为主，旨在实现各安全区域的逻辑划分，明确边界以对各安全域分别防护，并且进行域间边界控制，安全域的实体展现为一个或多个物理网段或逻辑网段的集合。对公司信息系统安全域的划分手段采用如下方式：

◆防火墙安全隔离：采用双接口或多接口防火墙进行边界隔离，在每两个

安全域的边界部署双接口防火墙，或是采用多接口防火墙的每个接口分

别与不同的安全域连接以进行访问控制。

◆虚拟防火墙隔离：采用虚拟防火墙实现各安全域边界隔离，将一台防火

墙在逻辑上划分成多台虚拟的防火墙，每个虚拟防火墙系统都可以被看

成是一台完全独立的防火墙设备，可拥有独立的系统资源、管理员、安

全策略、用户认证数据库等。在本方案实现中，可以为每个安全域建立

独立的虚拟防火墙进行边界安全防护。

◆ 三层交换机Vlan 隔离：采用三层交换机为各安全域划分Vlan ，采用交

换机访问控制列表或防火墙模块进行安全域间访问控制。

◆ 二层交换机Vlan 隔离：在二层交换机上为各安全域划分Vlan ，采用

Trunk 与路由器或防火墙连接，在上联的路由器或防火墙上进行访问控制。

对于一个应用的子系统跨越多个物理环境如设备机房所带来的分域问题，由于安全域为逻辑区域，可以将公司层面上的多个物理网段或子网归属于同一安全域实现安全域划分。

3.5 安全域划分及边界防护

3.5.1 安全域的划分

结合SG186总体方案中定义的“二级系统统一成域，三级系统独立分域”，在不进行物理网络调整的前提下，将财务系统和物资与项目系统进行分离，使三级财务系统独立成域，二级系统物资和项目管理归并和其他二级系统统一成域，在VPN 内，建立ACL 控制桌面终端与服务器间的访问，现将省公司信息系统逻山山山山山山山山山山山山

山山山山山山

Si

Si 山山山山山山山山山山山山山山山

山山山山山

山山山山山山山山山山山山山

山山山山山山山山山山山山

山山 山山山山山山山山山山

图：省公司内网逻辑划分图

营销服务器营销终端财务服务器财务终端电力市场交易

服务器电力市场交易

终端

二级系统安

全域（内网

门户、物

资、项目、

生产等）公共应用服务安全域（DNS 、车辆管理等）桌面终端营销服务器

营销终端财务终端

二级系统安全域（内网门户、生产等）桌面终端

省公司地市公司营销MPLS VPN 财务MPLS VPN

电力市场交易

MPLS VPN

图：全省信息系统MPLS VPN 安全域划分逻辑图 Internet

外网门户95598电力市场交易

Si 应用服务器其他

应用

服务信息外网

应用服务

器区域

防火墙

信息外网桌面终端域

防火墙设备

或访问控制措施

图：信息外网安全域划分逻辑图

在原有的MPLS VPN 的基础上结合VLAN 划分方法，根据等级保护及国网SG186总体防护方案有求，对全省信息系统进行安全域划分。

1) 三级系统与二级系统进行分离：

集中集成区域的三台小型机采用集群模式部署了财务、物资、项目这三个业务系统，由于财务为三级业务系统，应要独立成域，必须将财务系统从集群中分离出来，安装在独立的服务器或者小型机上，接入集中集成区域或新大楼服务器

区。

2)划分安全域，明确保护边界：

采用MPLS VPN将三级系统划分为独立安全域。财务系统MPLS VPN、电力市场交易系统MPLS VPN、营销系统MPLS VPN、二级系统安全域、桌面安全域、公共应用服务安全域。二级系统安全域包含除三级系统外的所有应用系统服务器；桌面安全域包含各业务部门桌面终端VLAN；公共引用服务安全域为全省均需要访问的应用服务器，如DNS等。

目前信息外网存在三大业务系统：外网门户、营销系统95598网站、电力市场交易系统外网网站。根据等级保护要求应将营销系统95598网站和电力市场交易系统外网网站分别划分独立的VLAN，并在边界防火墙上设置符合等级保护三级要求的VLAN访问控制策略。

3)部署访问控制设备或设置访问控制规则

在各安全域边界设置访问控制规则，其中安全域边界按照“安全域边界”章节所列举的边界进行防护。访问控制规则可以采用交换机访问控制策略或模块化逻辑防火墙的形式实现。

二级系统安全域边界访问控制规则可以通过交换机的访问控制规则实现，访问控制规则满足如下条件：

◆根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制

粒度为网段级。

◆按用户和系统之间的允许访问规则，控制粒度为单个用户。

三级系统安全域边界的安全防护需满足如下要求：

◆根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制

粒度为端口级；

◆对进出网络的信息内容进行过滤，实现对应用层协议命令级的控制。