1、2021/7/261(最新整理)关键信息基础设施网络安全等级保护核心技术2021/7/262关键信息基础设施网络安全等级保护核心技术2021/7/263目 录信息安全等级保护2.0网络安全等级保护全面建设、全程防护主动免疫、积极防御是我国网络安全保障的基本制度是网络空间安全保障体系的重要支撑是应对强敌APT的有效措施网络安全等级保护一、信息安全等级保护2.0网络安全等级保护我国等级保护工作创新发展我国等级保护工作创新发展我国我国8080年代兴起了计算机信息系统安全保护研究，年代兴起了计算机信息系统安全保护研究，19941994年，国务院发布年，国务院发布中华人民共和国计算机信息系统安全中华人民
2、共和国计算机信息系统安全保护条例保护条例（国务院令第（国务院令第147147号），为我国信息系统实号），为我国信息系统实行等级保护提供法律依据，也是行等级保护提供法律依据，也是世界上第一个世界上第一个等级保等级保护国家法规护国家法规依据国务院依据国务院147147号令制定发布了强制性国家标准号令制定发布了强制性国家标准计算机计算机信息系统安全保护等级划分准则信息系统安全保护等级划分准则 （GB 17859-1999GB 17859-1999），），强制性标准强制性标准，为等级划分和保护奠定了技术基础为等级划分和保护奠定了技术基础国家信息化领导小组关于加强信息安全保障工作的意见国家信息化领导小组
3、关于加强信息安全保障工作的意见（中办发（中办发200327200327号）进一步明确要求号）进一步明确要求“抓紧建立信息抓紧建立信息安全等级保护制度安全等级保护制度”国家有关部委多次联合发文，明确了等级保护的原则、基国家有关部委多次联合发文，明确了等级保护的原则、基本内容、工作流程和方法、实施要求和计划等。目前国家本内容、工作流程和方法、实施要求和计划等。目前国家各部门都按信息系统定级备案、整改建设和测评进行推进各部门都按信息系统定级备案、整改建设和测评进行推进，国家重点工程的验收要求必须通过信息安全等级保护的，国家重点工程的验收要求必须通过信息安全等级保护的测评测评最近公布的最近公布的网络安
4、全法网络安全法第二十一条第二十一条 国家实行网国家实行网络安全等级保护制度。网络运营者应当按照网络安全等络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改露或者被窃取、篡改第三十一条规定第三十一条规定，国家对关键信息基础设施，在网络，国家对关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护安全等级保护制度的基础上实行重点保护美国国防部早在八十年代就推行美国国防部早在八十年代就推行
5、“安全等级划分准则安全等级划分准则”（TCSECTCSEC）（ITSECITSEC）（CCCC）20032003年，美国发布年，美国发布保护网络空间国家战略保护网络空间国家战略，提出按重，提出按重要程度不同分五级保护，并通过了要程度不同分五级保护，并通过了联邦信息安全管理法联邦信息安全管理法案案（FISMAFISMA），要求），要求NISTNIST制定分类分级标准制定分类分级标准超越国外等级保护超越国外等级保护20132013年年2 2月月1212日，奥巴马发布了日，奥巴马发布了增强关键基础设施网络增强关键基础设施网络安全安全行政令，按此令行政令，按此令NISTNIST于于20142014年年
6、2 2月月1212日日1212日提出了日提出了美国增强关键基础设施网络安全框架美国增强关键基础设施网络安全框架，按风险程度，按风险程度不同分为四个等级，实行识别、保护、监测、响应、恢不同分为四个等级，实行识别、保护、监测、响应、恢复全过程的风险管理复全过程的风险管理20052005年变成强制性标准（年变成强制性标准（FIPS200FIPS200），要求联邦机构无条），要求联邦机构无条件执行件执行1、法律支撑：、法律支撑：计算机信息系统安全等级保护条例提升为“网络安全法”中的网络安全等级保护制度3、工程应用：、工程应用：由传统的信息系统防护转向新型计算环境下的主动防御体系建设2、科学技术：、科学
7、技术：由分层被动防护到科学安全框架下的主动免疫防护等级保护等级保护2.0的时代特征的时代特征确保关键信息基础设施安全全 过 程准确划分定级系统，从保护准确划分定级系统，从保护业务信息和和系统服务两维两维资源出发，根据在国家安全、经济建设、社会生活中的重资源出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等因素确定等级要程度，以及系统遭受破坏后的危害程度等因素确定等级适用于网络空间的云计算等安全需求分析适用于网络空间的云计算等安全需求分析1、分析风险，准确等级二、全面建设、全程防护业务处理流程的完整性软硬件设备相对的独立性安全管理责权的统一性定级系统的特征多级互
8、联隔离性等级合法权益合法权益社会秩序和社会秩序和公共利益公共利益国家安全国家安全损害损害严重严重损害损害损害损害严重严重损害损害特别严特别严重损害重损害损害损害严重严重损害损害特别严特别严重损害重损害一级二级三级四级五级信息系统按重要程度不同分为五级，三级以上是国家重要信息系统（业务信息/系统服务）等级等级按级保护按级保护保护级（保护级（GB17859)可信保障可信保障一级自主保护自主访问静态可信二级指导保护审计（自主访问）建可信链三级监督检查标记（强制访问）动态度量四级强制监督检查结构化保证实时感知五级专门监督检查实时监控实时处置按照按照信息安全等级保护管理办法信息安全等级保护管理办法、计算
9、机信息系统计算机信息系统安全保护等级划分准则安全保护等级划分准则（GB17859-1999GB17859-1999）和参照）和参照信息信息系统等级保护安全设计技术要求系统等级保护安全设计技术要求（GB/T 25070-2010GB/T 25070-2010），），设计制定建设方案设计制定建设方案2、规范建设、严密管控参照参照信息安全等级保护实施指南信息安全等级保护实施指南、信息系统等级信息系统等级保护安全设计技术要求保护安全设计技术要求等技术标准，从技术和管理两等技术标准，从技术和管理两个方面进行安全建设个方面进行安全建设选择等级测评机构选择等级测评机构制定测评方案制定测评方案开展测评工作开展
10、测评工作出具测评报告出具测评报告专家评审确认专家评审确认3、等级测评、整改完善2021/7/26184、监督检查、应急恢复应对事件和灾难发生，减少损失，采取必要的应急应对事件和灾难发生，减少损失，采取必要的应急和备份措施，发生事件，及时恢复和备份措施，发生事件，及时恢复 保证资源安全必须实行科学管理，强调最小权限管理，高等级系统实行三权分离管理体制，不许设超级用户 针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源），确保业务信息安全 针对计算资源（软硬件）构建保护环境针对计算资源（软硬件）构建保护环境，以可信计算基（，以可信计算基（T
11、CBTCB）为基础，层层）为基础，层层扩充，对计算资源进行保护，扩充，对计算资源进行保护，确保系统服务安全You canBe likeGod 1)可信 2)可控You canBe likeGod 3)可管从技术和管理两个方面进行安全设计，做到从技术和管理两个方面进行安全设计，做到:1、设计原则三、主动免疫、积极防御 安全管理中心安全管理中心支持下的可信免疫的支持下的可信免疫的计算环境计算环境区域边界区域边界通信网络通信网络三重防护结构框架三重防护结构框架2、结构框架 保护环境框架图保护环境框架图 构建构建结构框架结构框架 划分为划分为和和等子等子系统。系统。安全管理中心典型应用子系统：安全保护
12、环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合要求的安全功能支持和安全服务节点子系统：节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障区域边界子系统：区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是信息系统的第二道安全屏障通信网络子系统：通信网络子系统通过对通信
13、数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是信息系统的外层安全屏障系统管理子系统：系统管理子系统负责对安全保护环境中的计算节点、安全区域边界、安全通信网络实施集中管理和维护，包括用户身份管理、资源管理、应急处理等，为信息系统的安全提供基础保障安全管理子系统：安全管理子系统是信息系统的控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现了对整个信息系统的集中管理，为信息系统的安全提供了有力保障审计子系统：审计子系
14、统是系统的监督中枢，安全审计员通过制定审计策略，强制节点子系统、区域边界子系统、通信网络子系统、安全管理子系统、系统管理子系统执行，从而实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据2021/7/26261）国家电网电力调度系统安全防护建设）国家电网电力调度系统安全防护建设发改委发改委1414号令决定以可信计算架构实现等级保护四级号令决定以可信计算架构实现等级保护四级电力可信计算密码平台已在电力可信计算密码平台已在3434个省级以上调度控制中心个省级以上调度控制中心和和5959个地级调度控制中心上线运行，覆盖了上万台服务个地级调度控制中心上线运行，
15、覆盖了上万台服务器，确保了运行安全器，确保了运行安全 3、重要核心系统规模化建设应用2021/7/2627应用CPU使用率内存使用率计算时间加载前加载后影响度加载前加载后影响度加载前加载后影响度应用12.92%2.95%1.03%11%11%0%69s69.9s1.3%应用22.3%2.33%1.3%6.9%7%1.45%24.6s25.1s2.03%应用32.8%2.85%1.79%7.8%7.9%1.28%18.9s19.4s2.65%采用PCI可信卡的方式进行部署实施实现了对已知、未知恶意代码的免疫实现了可信保障机制，使得系统运行效率有限降低基于D5000平台的安全标签，不许改动源代码
16、通过逐级认证实现系统的主动免疫，达到等级保护四级技术要求2021/7/26282）中央电视台可信制播环境建设）中央电视台可信制播环境建设中央电视台播出中央电视台播出4242个频道节目，面向全球提供中、英、个频道节目，面向全球提供中、英、西、法、俄、阿等语言电视节目，在没有与互联网物理西、法、俄、阿等语言电视节目，在没有与互联网物理隔离的计算机网络环境下，构建了网络制播的可信计算隔离的计算机网络环境下，构建了网络制播的可信计算安全技术体系，建立了可信、可控、可管的网络制播环安全技术体系，建立了可信、可控、可管的网络制播环境，达到四级安全要求，确保节目安全播出境，达到四级安全要求，确保节目安全播出2021/7/2629编排变更审核生产备播播出播出单节目文件入库外来中央电视台电视节目生产、存储、编排和播出流程可信环境建设示意图2021/7/2631
