等级保护三级信息系统设计与实现

◆熊杨

（中国地质调查局应用地质调查研究中心 四川 610036）

现如今各方面竞争都尤为激烈，信息资源已然成为战略资源中最关键的构成部分，此时以等级保护三级信息系统设计与实现为例的技术研究，就必须要尽快提上日程，这也是信息安全管理与保护水平获得提升的必要途径。

1 信息系统安全等级保护的概念

信息系统安全等级保护是我国信息安全保障工作的基本制度和方法，是我国多年来信息安全工作经验的总结。根据相关法律政策规定，我国制定了一系列信息安全管理办法，为信息安全保护工作的开展提供了法律、政策、标准依据。作为国家统一制定并发布的标准，《信息系统安全等级保护基本要求》中明确指出，应将信息系统的重要程度作为根据，将保护工作有针对性的合理安排下去，并且应对信息系统展开相应的保护，国家也需对各等级的信息系统，制定强度适中的监督管理计划[1]。

2 等保三级的设计要求

2.1 安全计算环境设计

本文主要从以下几方面来论述安全计算环境设计。

首先是身份鉴别，这是达到三级安全要求的首要前提，需从用户标识与用户鉴别这两方面来明确安全机制。用户标识安全机制简单来讲，就是用系统中每位用户注册时填写的用户标识，来对用户身份进行标注，同时需保证生存周期内用户标识不能出现重复；而后者则指用户在每次登录系统的时候，通过安全管理中心控制下的口令、生物特征以及安全强度达标的组合机制，展开的对用户身份的鉴别，且鉴别后会保护好生成数据的私密性与完整性。

其次是标记和强制访问控制。系统需针对安全管理员，展开严格的身份鉴别与权限控制，并且赋予其主体与客体安全标记的权利。在强制访问控制之下，技术人员应将重点放在全部主体与客体标机信息的一致性上，且强制访问控制规则也应该同样落实。

最后是安全计算环境的严格审计。系统应对安全事件有明确且完整的记录，且一般来讲，安全事件的主体、客体、类型、出现节点、后果等，都应纳入安全事件记录的总体范畴。与此同时，审计记录还应通过分析、分类等环节，向系统中存储保护。技术人员还应为安全管理中心提供接口，如果某些安全事件系统无法自行解决，则应基于授权主体调用要求创设接口。

2.2 安全通信网络设计

安全通信网络设计工作，基本上都是以通信网络的保密要求为基点展开的，通常情况下，网络加密技术能满足等保三级中涉及的全部要求，技术人员可通过对VPN 技术的合理运用，达成保护通信网络与数据的目的[2-3]。

2.3 安全管理中心设计

（1）系统管理

等级保护三级对系统的要求，主要体现在系统管理员的身份鉴别与授权上，管理员一般情况下只有特定界面与系统访问的权利。系统管理员大致可以划分成网络、主机以及存储管理这几种，网络管理员的主要职责在于配置网络设备；主机管理的配置服务则主要针对服务器展开；存储管理员需做好存储设备的维护与管理工作[4]。

（2）安全管理

等保三级在管理员身份鉴别与授权方面的要求也格外严格。虽说安全管理员的工作并不复杂，通常只涉及安全设备管理，但因为安全设备是覆盖到计算系统各方面的，所以安全管理员的专业水平、工作状态以及综合素质等，都需要得到足够的重视。现阶段，安全设备基本上都有log 记录功能，可用于授权管理的接口使用也很方便。

（3）审计管理

安全审计员也应接受严格的身份鉴别和管理，由于其在工作中会接触多种设备，所以对其行为的控制也要得到充分保证。

3 等保三级的实现设计策略

（1）安全计算环境建设

首先，在安全计算环境设计的过程中，多因子身份认证系统的应用绝对是重中之重，经实践证明，如果能确保此身份认证系统的合理应用，则等保三级中要求的用户身份鉴别、强制访问以及自主访问控制等要求均能得到满足。除此之外，此系统还能有效控制访问的过程，从而在最大程度上确保访问的有效性。其次，敏感数据保护系统在我国出现与应用的时间虽然并不长，但在文件驱动管理方面的优势却非常显著，例如稳定性与可靠性强等，但同时此系统的缺陷与弊端也不能忽视，因为其对操作系统平台的依赖度过强，导致操作系统中的数据私密性与完整性很难被保护。现阶段，也有很多国内企业通过国际先进技术，来保护存于操作系统内部的数据，但其稳定性与实际效果仍有待观察，所以就目前的要求来看，敏感数据保护系统已然可以达到等保三级对用户数据及客体安全保护的标准和要求[5]。

（2）安全区域边界建设

防火墙、入侵检测设备以及防病毒网关，即为现如今等保三级系统中内外部网络保护系统的主要构成部分。第一，防火墙中只有必要的服务端才会开放，如果有相应的IDS 在配置中，则技术人员必须将二者间的联动充分考虑在内，从而在系统受到攻击时能及时检测并且报警。第二，对于外部网络层的保护而言，入侵检测设备对攻击能发挥良好、稳定的分布式拒绝功能。第三，防病毒网关主要针对进入系统的数据信息，展开全面的防毒检测，它是预防病毒进入的最前线，对于安全区域边界建设而言，有着不能忽视的重要作用。但经实践证明，仅用防病毒网关来保护系统是远远不够的，还应将网络防病毒软件安装于终端，以确保对入侵病毒的实时查杀。

此时相关人员还需明确意识到，部分国外的防毒软件在染毒文件无法有效杀毒时，通常会选择采取保守策略，即只对病毒给出警告或把染毒文件移动到保护区；而国内大多数的防毒软件则基本上会直接将文件删除。在染毒文件尤为重要的情况下，这两种方法都可能会为用户带来不可逆转的损失，因此，我们可以采取结合杀毒软件与终端管理软件的方法，确保染毒文件能向相应病毒服务器的制定目录中移动，从而由安全管理员展开接下来的人工处理[6]。

作为不同网络安全域间的访问控制设备，安全区域边界防护系统通常都以安全计算环境边界为主要设置点，其会以安全标记过滤与管理标准为根据，实现对数据包与访问的有效过滤、检测并对网络攻击发出警报等功能。

（3）安全通信网络建设

实际上，一台可正常运行的VP 设备，就能满足安全通信网络的基本要求。具体来讲，在外部终端需访问内部网络资源的时候，SSLVPN 的效果更加显著；若出现分支机构的现象，则利用VPN 设备的加速功能，也能促进网络传输效率的大幅度提升；从技术成熟度的角度上来看，IPSecVPN 略胜一筹，但其配置的复杂性较强，实际使用也远比不过SSL VPN 的便捷性[6]。

除此之外，在等级保护三级的要求下，技术人员必须开放VPN数据校验与系统审计的功能。

（4）安全管理中心建设

就等级保护三级系统中安全管理中心的建设而言，很多厂家的SOC 产品安全管理平台产品，设计与配置都是以ITIL 规范为根据展开的，但目前能将规范中全部要求一一满足的厂家几乎没有。与此同时，只有少部分的合作伙伴才能接触到安全产品，产品大量生产及统一管理的目的很难达成，经过相应的分析与研究可知，此问题主要是安全产品并未严格遵循规范导致的。

因此，为同时满足等保三级的要求与实际使用需求，我们应基于多个产品来建设安全管理中心，确保其各项功能均能发挥应有的重要作用，也为各被管理系统中管理工具与数据的高效融合提供更高程度的保证。具体来讲，技术人员可按照要求选择多个产品，这样即使在权限不同的情况下，系统级别划分工作也不会受到影响；同时各部分的管理人员也应分别配置，从而使管理规范能充分发挥其约束作用。在各项管理工具获取到相应信息之后，技术人员即可进行最终的数据整合工作，一般情况下，需要进行数据整合的产品数量很多，尤其被广泛应用于ERP 系统里，并且最终用于企业领导层的重大决策。实际上，一般企业都能接受此价位，价格也能够为一般企业所接受，只是传统方案设计中并未考虑过产品在安全管理中心建设中的使用，现如今只通过对数据整合工具的利用，即能实现对多个管理工具间的信息互通[7]。

4 结束语

本文通过对等保三级的概述与分析，阐述了等保三级所需要的要求，结合现在网络环境下的实际情况，做出相应的设计以及策略，希望能够为等保三级的实现作出贡献。