07-系统安全保护设施设计方案.docx

《07-系统安全保护设施设计方案.docx》由会员分享，可在线阅读，更多相关《07-系统安全保护设施设计方案.docx（21页珍藏版）》请在第一文库网上搜索。

1、神木市孙家岔镇河西联办煤矿有限公司信息系统安全保护设施设计方案神木市孙家岔镇河西联办煤矿有限公司目录一项目概述11.1 项目背景11.2 项目目标2二安全需求分析32.1 综合安全防护能力需求32.2 等级保护合规安全需求32.2.1 安全通信网络需求32.2.2 安全区域边界需求32.2.3 安全计算环境需求42.2.4 安全管理中心需求52.2.5 安全管理需求5三解决方案73.1 设计依据73.2 设计原则73.3 安全技术体系83.3.1 架构设计83.3.2 边界防护93.3.3 入侵检测93.3.4 主机防护103.3.5 安全运维103.3.6 日志审计103.4 安全管理体系1

2、03.4.1 安全管理制度103.4.2 安全管理机构123.4.3 安全管理人员133.4.4 安全建设管理143.4.5 安全运维管理16四设备清单19一项目概述11项目背景随着德国工业4.0、美国工业互联网以及中国制造2025等数字化革命战略的相继提出，再加上物联网、大数据、云计算、5G等新一代信息技术的快速发展，助推了工业生产向网络化、数字化、智能化方向发展。能源行业是我国实体经济的基础，而我国富煤、少气、贫油的地质国情更加突出了煤炭行业的重要性。煤炭作为我国重要的传统能源行业，是我国国民经济的重要组成部分，其智能化建设直接关系我国国民经济和社会智能化的进程。煤矿智能化是煤炭工业高质量

3、发展的核心技术支撑，将人工智能、工业物联网、云计算、大数据、机器人、智能装备等与现代煤炭开发利用深度融合，形成全面感知、实时互联、分析决策、自主学习、动态预测、协同控制的智能系统，实现煤矿开拓、采掘（剥）、运输、通风、洗选、安全保障、经营管理等过程的智能化运行，对于提升煤矿安全生产水平、保障煤炭稳定供应具有重要意义。从2010年伊朗震网事件的出现，敲响世人对工控安全事件的认知开始，针对工业生产环境的攻击就一直没有停止，如2015年乌克兰电力遭受B1aCkEnCrgy恶意软件的攻击；2016年德国Gundremmingen核电站计算机系统发现恶意程序；2018年台积电WannaCry变种病毒感染

4、事件以及2023年美国最大成品油运营商遭受勒索攻击，表明工业控制系统的安全威胁已经来临，甚至进入APT2.0时代。面对安全事件的频发，我国政府和有关部门给予高度重视，分别在法律法规、政策、工作要求等方面积极行动。从2011年工信部的451号文，到2016年的工业控制系统信息安全防护指南，以及2017年6月1日正式实施的网络安全法，2023年9月1日正式实施的数据安全法、关键信息基础设施安全保护条例等等，这一系列国家举措都已表明我国政府和有关部门高度重视工业信息安全，已经上升到国家的战略高度。为了更好适应时代发展,迎接网络与信息技术快速发展创新带来的安全新问题、新挑战，保障单位关键信息基础设施在

5、新技术、新设施、新应用为代表的新经济、新环境下的平稳运行与数据安全，聚隆煤矿根据等级保护2.0的相关标准要求，以安全技术保障、安全管理运营、安全监测预警、安全应急响应为核心，开展新监管体系下等级保护2.0的定级、备案、建设整改、测评工作，切实保障单位网络安全，并为单位后续网络安全建设起到示范和指导作用。12项目目标本次网络安全等级保护建设项目，最终达到的目标是：为单位提供综合安全保障，使其重要业务系统满足国家网络安全等级保护3级要求。本方案根据等级保护2.0思想、以技术保障为基础、以管理运营为抓手、以监测预警为核心、以协同响应为目标的网络安全防御体系并落地为具体的安全需求，包括网络和通信、设备

6、和计算安全、安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理各个层面的安全需求,再依据。成熟的安全能力，将安全需求转化为可以实现的技术防护、安全管理措施，安全运营手段，为单位业务系统安全保驾护航。二安全需求分析2.1 综合安全防护能力需求本方案既是单位信息系统落实国家网络安全等级保护制度合规性方案，同时也是单位整体安全建设方案。本方案充分考虑了单位特定保护对象的安全需求,单位网络安全等级保护建设方案不是简单生硬的等保条款满足，在方案设计过程中尽量避免将网络等级保护工作做得僵化，而是以单位整体信息安全为目标，以业务需求为主导，构建和单位业务需求相匹配的综合安全防护能力，并通过安

7、全管理制度落地，加强运维过程中的预警监测能力和应急处置工作，不断提高单位的抗攻击能力，同时在安全保障工作中通过定期培训、加强应急预案演练、协同应急处置等方面的工作加强人员的安全技能。最终在整个安全保障工作中全面提升单位的综合防护能力。2.2 等级保护合规安全需求221安全通信网络需求安全通信网络是在安全计算环境之间进行信息传输及实施安全策略的软硬件设备，是单位的重要基础设施，也是保证数据安全传输和业务可靠运行的关键，更是实现单位数据内部纵向交互、对外提供服务、与其它单位横向交流的重要保证。通信网络进行的各类传输活动的安全都应得到关注。现有的大部分攻击行为，包括病毒、蠕虫、远程溢出、口令猜测、未

8、知威胁等攻击行为，都可以通过网络实现。安全通信网络需求主要考虑如下方面的内容： 网络架构 通信传输222安全区域边界需求安全区域边界安全对安全计算环境边界、以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关软硬件设备。区域边界安全防护是实现各安全域边界隔离和计算环境之间安全保障的重要手段，是实现纵深防御的重要防护措施。通过边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证，实现保护环境的区域边界安全。安全区域边界安全需求主要考虑如下方面的内容： 边界防护 访问控制 入侵防范 恶意代码 安全审计223安全计算环境需求安全计算环境是对系统的信息进行存储、处理及实施

9、安全策略的相关软硬件设备，安全计算环境包括各类计算服务资源和操作系统层面的安全风险。作为单位用于信息存储、传输、应用处理的计算服务资源，其自身安全性涉及到承载业务的方方面面，任何一个节点安全隐患都有可能威胁到整个网络的安全。计算环境作为单位的业务数据和信息的主要载体，这些业务数据和信息是信息资产的重要组成；另一方面，其是系统各项支撑业务的起点和终点，病毒、木马等安全威胁也容易通过网络渗透到后台各种业务应用和服务主机中，从而对系统的整体安全带来危害。计算环境面临的安全风险主要来多方面，对系统的不安全使用、配置和管理、未进行有效的入侵防范、没有进行安全审计和资源控制，这导致业务系统存在被黑客入侵或

10、爆发高级安全威胁的可能。安全计算环境需求主要考虑如下方面的内容： 身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范2.2.4 安全管理中心需求安全管理中心是等级保护安全应用环境提供集中安全管理功能的技术管控中枢，是安全应用系统安全策略部署和控制的中心，对安全策略和安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理，安管中心为各级系统管理员、安全管理员和安全审计员提供身份鉴别和权限管理的集成平台，实施系统管理、安全管理、审计管理和集中管控。安全管理中心针对整个系统提出了安全管理方面的技术控制要求，通过技术手段实现集中管理，全通信网络需求主要考虑如下方面的内容： 系统管理 审计管

11、理 安全管理2.2.5 安全管理需求除了采用网络安全技术措施控制安全威胁外，安全管理措施也是必不可少的手段，所谓“三分技术，七分管理”更加凸显了安全管理的重要性，健全的安全管理体系是各种安全防范措施得以有效实施、网络系统安全实现和维系的保证,安全技术措施和安全管理措施可以相互补充，共同构建完整、有效的网络安全保障体系。管理管理需求主要考虑如下方面的内容： 安全管理制度 安全管理机构 安全管理人员 安全建设管理 安全运维管理很显然，单位的安全建设需要考虑以上各个层次的安全管理要求，同时还需要结合国际国内成熟的安全体系建设经验，并通过借助成熟的安全产品、安全服务和安全管理措施不断进行持续改进，最终

12、建立符合单位业务的安全保障体系。三解决方案3.1 设计依据煤炭安全规程(国家安全生产监管管理总局令2016年第87号)；煤炭工业矿井设计规范(GB50215-2015);煤矿安全监控系统升级改造技术方案的通知(煤安监函20165号)；智慧煤矿信息系统通用技术规范(GB/T34679-2017); 信息安全技术网络安全等级保护定级指南(GB/T22240-2023); 信息安全技术网络安全等级保护基本要求(GB/T22239-2019); 信息技术安全技术信息安全管理体系要求(GB/T220802016); 工业控制系统信息安全第1部分：评估规范(GB/T30976.12014); 工业控制系统

13、信息安全第2部分：验收规范(GB/T30976.22014)o3.2 设计原则 适度防护原则矿山生产业务系统防护等级和防护深度必须要以实际安全风险作为安全基准，在考虑安全性和建设成本的前提下，对现有网络和系统进行改造升级，过多的防护必将造成成本的增加和操作的复杂度，需要找到易用和安全的平衡点。 安全分区原则根据煤炭生产业务功能及物理区域，划分为不同的安全区，各安全生产子系统都应置于相应的安全区域内。 纵深防御原则在网络安全防护系统设计、实施过程中，对设备安全、控制安全、网络安全、应安全和数据安全进行全面防护，建立可信、可控、可管的动态防御体系。技术管理并重原则要把技术措施和管理措施结合起来，在

14、一定情况下，依靠管理措施来弥补技术措施的缺陷、保障安全技术措施的正确实施，才能更有效地保障工控系统整体安全。等保标准的符合性单位系统属于煤矿行业的关键信息基础设施，其安全建设不能忽视国家相关政策要求，方案所采用的技术手段和安全建设管理，都必须符合相应的国家标准,并且方案涉及的安全产品需要符合业内安全通用要求和扩展规范。便于业务系统升级、扩充，以及与行业监管系统、其它第三方平台进行互连、互通。3.3 安全技术体系3.3.1 架构设计针对井工矿存在的网络安全风险，依据设计原则、设计思路，参考信息安全技术网络安全等级保护基本要求(GB/T22239-2019)以及其他设计依据进行如下架构设计。入侵检

15、测费心业务区（标注说明II红色字体：解决方案新增11I：设备音一、设计说明1、新增网络安全产品，以红色字体标注；2、整个架构设计，满足等保三级的要求；332边界防护通过在网络区域边界部署防火墙，实现对区域之间的边界防护。利用防火墙的无监督机器自学习人工智能技术，对流经防火墙的通信链路进行学习、建模、分析。对通信的链路建立白名单模型，形成基于通信链路的访问控制列表，对违规接入设备进行监控，防止建立非法链路，实现对不同业务系统之间的访问控制。333入侵检测部署入侵检测设备，对系统网络中存在的异常威胁、漏洞利用行为、恶意攻击进行实时检测。首先，利用内置的网络攻击DDoS库，实时检测发起的网络洪水攻击，如UDP-f1ood、ICMP-Aood等。334主机防护在安全管理区部署终端安全管理中心，在办公网终端部署终端安全管理客户端，实现对办公主机的安全防护，防止攻击系统，造成系统瘫痪或操作异常；窃取和泄露文件、配置或隐私信息；肆意占用资源，影响系统、应用或系统平台的性能。335安全运维