1、概述
　　信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。信息安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来信息安全工作经验的总结。等级保护制度的出台也为企业网络的安全建设提供了一个可以参考的建设标准，使得我们在信息化建设过程中能有据可依，同步进行信息安全系统的规划建设，保障信息安全与信息化建设协调一致；同时通过等级保护的分级分域措施，能对企业网络中的重点资产进行有针对性的重点防护，实现企业基础信息网络和重要关键的业务信息系统的安全保护和管理监督。笔者结合工作中接触的，基于等级保护的网络安全建设浅谈一下个人的一些看法。
　　2、风险分析
　　在笔者接触的网络安全建设中主要存在以下四方面的风险：
　　1)主观安全意识薄弱
　　从我国企业网络建设现状而言，由于发展时间较短、基础较为薄弱，安全建设更是成为可有可无的内容，有限的资金大多投在基础网络和应用系统建设，忽视网络安全保密建设，正是由于这样的情况，在公开媒体上经常能看到由于木马或其他恶意代码造成的企业信息泄密事件发生。企业一旦发生类似的安全事件，轻则损失惨重、形象受损，重则企业倒闭破产，给企业带来非常严重的危害。同时，与国外网络安全投资占建设总投资约20％来比，国内企业可怜的5％到甚至没有，实在令人汗颜。企业对网络安全保密建设认识不足，重视程度不够是导致安全事件频出的一个重要原因。
　　2)安全建设缺乏规划、缺乏整体思路、缺乏一致性
　　目前企业网络中的安全建设普遍缺乏整体安全设计，一个没有整体安全规划的系统建设到后面，逐渐成为安全产品的堆砌，各个产品之间缺乏有效的联动，造成在网络中使用了诸多产品，但企业网络中的安全问题仍然存在，而且由于大量产品。的堆砌不仅降低了网络的运行效率，还增加了网络复杂度，增加系统维护难度；另外存在的一个问题是选用全能型的安全产品，如防火墙不但具有防火墙的基本功能，还具有IDS、IPS甚至杀毒等功能，俗话说“术业有专攻”，在网络所处环境日趋复杂，威胁日趋智能化的情况下，这样的选择势必导致设备不能有效发挥最基本的功能。
　　3)系统策略配置过度宽松
　　在网络中应用的操作系统提供了很好的安全机制保证安全的安装配置、用户和目录权限设置及建立适当的安全策略等系统安全处理加固。例如：打安全补丁、口令的定期修改、目录和文件权限设置、用户权限设置、服务的管理、对应用系统进行安全检测等等。但实际上企业网络在安装调试过程中对系统的安全策略上往往执行最宽松的配置，丽对于安全保密来说却恰恰相反，要实现系统的安全必须遵循最小化原则，在网络中没毖要的策略一律不配置，即使有必要的也需要严格限制使用。
　　4)缺乏安全管理机制
　　安全和管理是分不开的，即便有好的安全设备和系统，没有一套好的安全管理方法并贯彻实施，值得注意的是，这里强调的不仅要有安全管理方法，而且还要贯彻实施，否则安全就是一句空话。安全管理的目的是最大程度地保护网络安全稳定地运行，同时具有较好的自我修复性，一旦发生黑客事件能最大程度地挽回损失。所以建立定期的安全检测、口令管理、人员管理、策略管理、备份管理、日志管理等一系列管理方法和制度是非常必要的。
　　3、安全评估
　　通过以上的安全风险分析，笔者在进行企业网络安全建设之前，首先对网络进行评估，评估从两个方面入手，一方面是技术评估，根据等级保护的要求，从企业网络的物理环境、主机系统、网络安全、应用安全等方面进行分析和评估；另一方面是管理评估，从管理制度、人员安全管理、安全组织机构、信息系统安全建设和信息系统安全维护方面进行分析和评估。评估的目的是为安全建设的技术、资金投入寻找平衡点，在有限资金投入的情况下达到最大化的安全保密效果。
　　技术评估从以下几个方面入手：
　　(1)物理环境安全评估：物理安全是整个网络系统安全的前提。物理安全也称实体安全，是指包括环境、设备和记录介质在内的所有支持信息系统运行的硬件设备的安全。物理安全的风险主要有：环境事故造成的整个系统毁灭；电源故障造成的设备断电以至操作系统引导失败或数据库信息丢失；设备被盗、被毁造成数据丢失或信息泄漏；电磁辐射可能造成数据信息被窃取或偷阅；报警系统的设计不足或失灵可能造成的事故等。
　　(2)主机系统安全评估：根据等级保护基本要求，对信息系统所包含主机的系统、中间件、数据库等进行安全评估，找出主机中存在的风险。安全评估可以参考等级保护的安全要求进行逐条分析，评估的工具有很多，最简单的方法就是找到所有的安全风险目录，然后对照目录进行排查。根据排查结果对主机系统进行安全评估。
　　(3)网络安全评估：根据等级保护基本要求，对网络架构、网络设备、安全设备进行安全评估，找出网络架构、网络设备、安全设备中存在的风险。网络设备中存在的风险也是我们要重点面对的，一旦网络出现问题，任何人是可以感知的。
　　(4)应用安全评估：根据等级保护基本要求，对信息系统的应用进行安全评估，找出应用程序中存在的风险。应用安全评估是一个复杂的过程，而且，比较熟悉应用的除了应用开发商以外就是使用单位了，所以应用安全评估必须是应用开发商和使用单位共同参与的过程。
　　(5)渗透性测试：通过对信息系统进行模拟黑客入侵，找出信息系统中存在的安全隐患，现在在互联网上有很多专用的渗透测试工具可供使用，但考虑到渗透性测试所带来的风险，因此，必须进行必要的告知和恢复措施。
　　(6)代码安全审计：对信息系统的开发代码进行扫描，找出代码编写过程中存在的代码安全隐患，代码安全审计同样操作起来有一定难度，需要应用开发商配合。
　　管理评估主要从以下几个方面入手：
　　(1)安全管理制度：按照等级保护要求，建立安全管理制度，如果已经存在，那么需要对现有的安全管理制度进行评估，找出其中存在的风险。
　　(2)人员安全管理：需要对人员录用、离岗、考核等安全管理制度进行评估，找出其中存在的安全风险。
　　(3)安全组织机构：对安全岗位的设置、人员配备情况、审核与检查等管理方面进行评估，找出其中存在的安全风险。
　　(4)信息系统安全建设：对信息系统建设过程中的方案设计、工程实施、产品选型等方面进行评估，找出其中存在的安全风险。
　　(5)信息系统安全维护：对信息系统安全维护过程中的环境管理、资产管理、设备管理等方面进行安全评估，找出其中存在的安全风险。
　　具体建设内容
　　经过风险评估之后，根据评估的结果对重要的资产、具有较大危害的风险采取有针对性的解决手段。从笔者所建设的网络环境来看，按照等级保护要求，需要从以下几方面进行考虑。
　　1)应用环境安全
　　对于网络中的应用系统，需要利用身份认证、多级访问控制、加密存储、剩余信息保护、数据完整性保护、安全审计等技术手段，构建可信应用环境。
　　2)敏感信息保护
　　(1)对系统中的敏感信息实行安全控制，采用自主和强制双重访问控制，防止非法访问文件，对主机中被保护的敏感数据信息，能防止非法读／写。
　　(2)当敏感信息从存储介质中删除时，要对敏感信息的残留痕迹做到彻底擦除，能防止利用恶意的数据恢复技术对敏感信息的窃取。
　　(3)文件系统的完整性进行分析和检查，监视文件系统的非授权或不期望的改变，检测和通知系统管理员改变的、增加的、删除的文件。
　　(4)敏感信息在持久性存储介质中加密存储，防止存储介质在发生丢失、失窃时造成信息泄漏。
　　3)恶意代码防护
　　采用主动防御的思想实现恶意代码的防护，设计思路是采用白名单的方式对可执行程序进行管理，即所有可执行文件都必须经过安全管理中心的配置，添加到用户的可执行程序列表中才允许执行。对于已经添加的文件，不允许更改操作，保证程序不被恶意篡改。
　　4)网站防护
　　对网站防护系统具有恶意代码主动防御、网页文件保护、防SQL注入和抗网络攻击能力等功能。
　　5)安全隔离
　　根据所给定的访问策略配置，对所有经过边界的信息进行有效的安全访问控制。
　　6)通信网络安全保护
　　通过对安全区域边界防火墙的访问控制列表进行合理配置，防止网络的非法外联和非法接入，保证网络环境的安全。同时通过网络审计、入侵检测技术的配合使用，对网络中的通信行为进行有效的监控，对系统内部出现的较为严重的误用和异常的入侵行为进行报警，并且在发现这些异常的网络行为后，对其进行安全审计和追踪。
　　7)审计管理
　　在企业网络中的审计管理不仅仅局限于日志的收集和管理，更需要提供对系统当前状态的监视、综合的风险评估分析，并根据其结果给出详细的风险评估报告和综合报表。
　　5、小结
　　等级保护的出台为企业网络的信息安全保护工作指明了发展方向，企业在建设中，根据等级保护不同级别的技术要求和管理要求，结合企业自身的安全需求和业务需求进行信息化和安全保密的设计，能在保证企业网络安全的前提下，实现企业投资保护，同时实现企业投资最大化的回报。


发表时间：2012-4-18 曲成 来源：万方数据

就算是理论指导吧。

非常清晰！收了{:soso_e113:}

超赞的资料，学习中