简介这份《计算机信息系统分级保护方案》文档面向涉密信息系统建设与合规管理人员、安全集成工程师及等保测评备考者围绕分级保护要求给出可落地的整体设计思路。内容涵盖系统总体部署、物理安全防护、电磁泄漏防护与安全管理制度等模块具体涉及核心交换机VLAN划分与ACL访问控制策略、服务器安全访问控制中间件与防火墙桥接部署、入侵检测与网络安全审计镜像、邮件系统1至7级密级流向控制以及红外对射、红外报警、视频监控、门禁系统、线路干扰仪、红黑电源隔离插座等物理与电磁防护措施的部署位置、运行策略和管理职责。资源包共1个doc文件约2.06MB结构完整、表格与图示说明详实便于直接参照编写方案或对照检查现有防护体系。已有58人学习适合需要理解分级保护落地细节、梳理安全区域划分与防护措施清单的读者参考。1. 涉密网分级保护方案从 VLAN 隔离到红黑电源的落地拆解接手一个涉密信息系统的分级保护改造最怕的不是设备不会配而是方案里每个措施都写了现场却对不上号。这份《计算机信息系统分级保护方案.doc》就是典型的落地文档——它不讲等保测评的评分逻辑而是直接给出组网模式、设备部署位置、第一次运行策略和运维责任划分。核心思路是把涉密网拆成服务器区、安全管理区、终端区三块用核心交换机做三层网关和 VLAN 划分再用服务器群组安全访问控制中间件和防火墙做桥接模式下的 ACL 控制禁止部门间 VLAN 互访只允许部门 VLAN 与服务器 VLAN 通信。适合谁看正在做分级保护方案编写、涉密网改造实施、或者需要把物理防护和电磁泄漏防护落到具体设备清单上的系统集成工程师。下面按网络层、物理层、应用层、终端层四条线拆开讲。2. 网络层隔离VLAN 划分、网闸单向访问与防火墙透明模式2.1 核心交换机的 VLAN 与 ACL 策略方案里组网模式写得很清楚服务器区、安全管理区、终端区共同连接至核心交换机参照 TCP/IP 模型建立核心交换机上配置三层网关并划分 VLAN。关键动作是在核心交换机、服务器安全访问控制中间件和防火墙上同时设置 ACL禁止部门间 VLAN 互访允许部门 VLAN 与服务器 VLAN 通信。这个策略的逻辑是终端之间的数据流动被设计为以服务器为跳板进行驻留转发所以终端到终端的直接通信必须掐断否则横向移动无法控制。配置时我一般会先确认 VLAN 编号规划比如终端区按部门分 VLAN 10-19服务器区 VLAN 20-29安全管理区 VLAN 30-39。核心交换机上做三层接口ACL 应用在 VLAN 接口的 inbound 方向。下面是一段华为/H3C 风格的配置示例实际设备型号不同命令有差异但逻辑一致# 创建 VLAN 并配置三层接口 vlan 10 description Terminal_Dept_A vlan 20 description Server_Zone vlan 30 description Security_Management interface Vlanif10 ip address 10.10.10.1 255.255.255.0 interface Vlanif20 ip address 10.10.20.1 255.255.255.0 interface Vlanif30 ip address 10.10.30.1 255.255.255.0 # 定义 ACL禁止部门 VLAN 互访允许访问服务器 VLAN acl number 3000 rule 5 deny ip source 10.10.10.0 0.0.0.255 destination 10.10.11.0 0.0.0.255 rule 10 permit ip source 10.10.10.0 0.0.0.255 destination 10.10.20.0 0.0.0.255 rule 15 deny ip source 10.10.10.0 0.0.0.255 destination any # 应用 ACL 到 VLAN 接口 interface Vlanif10 traffic-filter inbound acl 3000这段配置的核心参数是 ACL 规则顺序先拒绝部门间互访再允许到服务器区最后默认拒绝所有其他流量。注意 rule 15 的 deny any 很关键很多现场翻车就是因为只写了允许规则没写默认拒绝导致终端还能访问安全管理区。另外核心交换机需要镜像数据至入侵检测系统和网络安全审计系统镜像口一般配在连接审计设备的接口上方向选 both。2.2 网闸的单向访问控制与病毒扫描方案里用 1 台网闸连接主中心和从属中心部署在两边核心交换机之间启用路由模式从物理层到应用层终结所有协议包还原成原始应用数据以完全私有的方式传递到另一个网络。主中心和从属中心在任一时刻点上都不产生直接的物理连通。第一次运行策略是配置从属中心访问主中心的权限允许从属中心特定地址访问主中心所有服务器允许其他地址访问公司内部门户和人力资源系统配置访问内部门户 SQL Server 数据库服务器禁止其他所有访问方式。这里有个容易忽略的点网闸的病毒扫描要单独配置对流经设备的数据进行病毒安全扫描。管理方式必须用 HTTPS不能开 HTTP。设备管理按“三员”分立——管理员、安全保密管理员、安全审计员各设口令由信息中心每周登录查看设备配置、运行状态、转发数据量状态和系统日志。2.3 防火墙的透明模式与桥接口配置防火墙系统部署在从属中心eth1 和 eth2 口设置为透明模式配置桥接口 fwbridge0 的 IP 地址管理方式为 HTTPS打开多 VLAN 开关打开 TCP、UDP、ICMP 广播过滤。日志数据库安装在安全管理服务器上。第一次运行策略包括允许从属中心授权用户访问软件配置管理系统开放系统内所能使用到的端口其他不使用的端口全部禁止依据保密办规定设定审查关键字进行过滤审计从属中心用户和服务器区域的数据交换信息。透明模式的好处是部署时不用改现有网络拓扑像一根线一样串进去。但要注意桥接口的 IP 只是管理地址不参与数据转发。多 VLAN 开关必须打开否则带 VLAN tag 的流量过不去。下面是一段通用防火墙透明模式配置的逻辑示意# 配置桥接口 interface fwbridge0 ip address 10.10.30.100 255.255.255.0 mode transparent vlan-filter enable # 绑定物理接口到桥 interface eth1 bridge-group fwbridge0 interface eth2 bridge-group fwbridge0 # 访问控制策略 policy permit source 10.10.10.0/24 destination 10.10.20.10 port 8080 policy deny source any destination any参数说明vlan-filter enable 对应方案里的“打开多 VLAN 开关”policy 的顺序决定匹配优先级。日志数据库单独放在安全管理服务器上是为了防止防火墙本地存储被篡改。3. 物理安全与电磁泄漏防护红外对射、门禁与红黑电源的部署参数3.1 红外对射与红外报警的响应时间计算方案里红外对射部署在厂区东围墙和北围墙设备成对出现双向对置调整至相同水平位置。第一次运行策略给了具体参数24 小时不间断运行设置合适的响应时间以 10 米/秒的速度来确定最短遮光时间设置人的宽度为 20 厘米则最短遮断时间为 20 毫秒大于 20 毫秒报警小于 20 毫秒不报警。这个计算逻辑是人走过红外对射时遮挡光束的时间 人的宽度 / 行走速度 0.2m / 10m/s 0.02s 20ms。小于这个时间的遮挡可能是飞鸟、落叶不触发报警避免误报。红外报警部署在保密要害部位安装高度距离地面 2.2 米设置检测 37℃特征性 10µm 波长的红外线。安装位置要远离空调、暖气等空气温度变化敏感的地方不间隔屏、家具或其他隔离物不直对窗口防止窗外的热气流扰动和人员走动引起误报。这两个参数——20ms 遮光时间和 10µm 波长——是现场调试时最容易被忽略的很多施工队装完就走没调响应时间结果风一吹就报警。3.2 视频监控的采集格式与存储分辨率视频监控室外采用云台枪机式设备室内采用半球式设备部署在房间墙壁角落覆盖门窗及重点区域。增加 32 路嵌入式硬盘录像机一台用于视频采集信息的收集和压缩存档。第一次运行策略24 小时不间断运行视频采集格式为 MPEG-4显示分辨率 768576存储、回放分辨率 384288。这里注意显示分辨率和存储分辨率是分开的存储降分辨率是为了省硬盘空间但回放时清晰度会下降如果保密要求高存储分辨率不能降太多。3.3 门禁系统的权限与防尾随设置门禁系统对每个通道设置权限制作门禁卡对可以进出该通道的人进行进出方式授权采取密码读卡方式。设置可以通过该通道的人在什么时间范围内可以进出实时提供每个门区人员的进出情况和门区状态包括门的开关、各种非正常状态报警。紧急状态打开或关闭所有门区的功能设置防尾随功能。防尾随是门禁里最容易出问题的功能常见做法是采用双门互锁或者红外感应判断人数但方案里没写具体实现方式现场一般靠门禁控制器自带的反潜回逻辑。3.4 线路干扰仪、视频干扰仪与红黑电源隔离插座线路干扰仪部署 8 口设备将从交换机引至布线最远端以及次远端的线缆插接至干扰仪并由干扰仪连接至最远端和次远端设备接地。运行策略是在网线中一对空线对上注入伪随机宽带扫频加扰信号使之能跟随其他三对网线上的信号并行传输到另一终端。窃密者若再从网线或其他与网络干线相平行的导线上窃取信息实际上所窃得的仅是已被加扰信号充分湮没了的混合信号。视频干扰仪设置运行频率为 1000 MHz防止对涉密终端视频信息的窃取。红黑电源隔离插座要求所有涉密机均直接连接至红黑电源上红黑电源上不得插接其他设备。安装在涉密终端及涉密单机的红黑隔离电源由使用者维护安装在服务器的由信息中心维护。这里有个血泪经验红黑电源必须接地不接地等于没装现场验收时要用接地电阻测试仪测不能只看插上了事。4. 应用与终端层防护域控双因子、WSUS 补丁分发与违规外联监控4.1 Windows 域控与 WSUS 补丁分发的组策略配置主中心和从属中心均部署 AD 主域控制器及备份域控制器共计 2 套并建立 IIS 服务器安装 WSUS 服务器提供系统补丁强制更新服务。将终端系统的安全性完全与活动目录集成用户授权管理和目录进入控制整合在活动目录当中。通过组策略指定不同安全域用户口令的复杂性、长度、使用周期、锁定策略指定每一个用户可登录的机器。机密级终端需要将 USB-KEY 令牌与域用户登录结合使用达到双因子鉴别的过程。WSUS 的升级方式比较特殊在非涉密计算机上从互联网下载最新的防病毒系统升级包刻制成光盘通过非涉密中间机导入到涉密光盘上带入到涉密内网的防病毒系统服务器上利用服务器上的防病毒系统服务端提供的接口导入升级包再通过服务端将更新了的病毒库向每一台防病毒系统客户端进行强制更新。这个流程是涉密网补丁分发的标准做法不能直接连外网更新。组策略里隐藏用户无用的桌面图标删除“开始”菜单中的“运行”、“搜索”功能。启用内网 Windows XP 终端内置的 WSUS 客户端。下面是一段组策略登录脚本的示例用于强制域用户使用 USB-KEY 登录# 域控组策略登录脚本检查 USB-KEY 证书 $cert Get-ChildItem Cert:\CurrentUser\My | Where-Object { $_.Subject -like *USBKEY* } if (-not $cert) { Write-EventLog -LogName Security -Source Auth -EventId 1001 -Message USB-KEY not found, login denied logoff.exe }这段脚本的逻辑是登录时检查当前用户证书存储中是否有 USB-KEY 证书没有就强制注销。参数说明Cert:\CurrentUser\My 是用户个人证书存储Subject 过滤条件根据实际 USB-KEY 厂商的证书主题调整。4.2 违规外联监控系统的部署与告警方式违规外联监控系统采用 B/S 架构安装 1 台内网监控服务器、1 台外网监控服务器安装 645 个客户端全部安装于内网终端、涉密单机以及中间机上。系统实时监测受控网络内主机及移动主机的活动对非法内/外联行为由报警控制中心记录并向管理员提供准确的告警。按照预定的策略对非法连接实施阻断防止数据外泄。报警控制中心能够以手机短信、电子邮件两种告警方式向网络管理员告警其中手机短信是完全实时的告警。这里注意客户端数量 645 个是方案里明确写的部署时要核对终端总数漏装一台就是漏洞。外网监控服务器的作用是接收内网终端违规外联时发出的报警信号所以它必须能访问公网但本身不在涉密网内。4.3 服务器群组安全访问控制中间件的邮件密级控制服务器群组安全访问控制中间件 2 台分别用于主中心和从属中心eth1 和 eth2 口设置为透明模式启用桥接口进行管理。邮件转发控制功能为每个用户设置访问账号及密码依据密级将用户划分至不同用户组中安全级别分为 1-7 级1 级最低7 级最高。低密级用户可以向高密级用户发送邮件高密级用户不得向低密级用户发送保证信息流向的正确性。这个 1-7 级的划分是方案里最具体的参数之一。配置时要在中间件里建用户组每个组对应一个密级然后写邮件转发策略。常见做法是用 LDAP 同步域用户再在中间件里做密级映射。邮件审计功能记录发件人、收件人、抄送人、主题、附件名。网络审计与控制功能可以设定审查关键字对于流经系统的数据流进行关键字过滤。4.4 终端安全登录与移动介质管理终端安全登录与监控审计系统网络版服务器部署于安全管理区2 套分别部署于主中心和从属中心认证客户端安装于机密级终端上共计 89 台。单机版直接部署在所有中间机以及涉密单机上。第一次运行策略开机安全登录与认证关闭光驱、软驱、串口、并口、红外、蓝牙、网络接口、1394 火线、PDA。USB 存储自由使用。禁止修改注册表、安装软件、安全模式启动、外联、更换设备。禁止打印、监控文件操作。移动介质管理系统使用一台单机作为系统管理机安装涉密移动存储介质保密管理系统以及审计平台部署 30 个客户端。对公司移动存储介质进行注册登记、授权、定密、发放、收回、销毁、删除。采用全盘加密技术防止格式化 U 盘后进行数据恢复。移动介质下发至各部门由各部门统一管理保密办二级管理借用需要通过部门领导审批登记后使用限定使用时间及使用范围。5. 避坑与排查分级保护方案落地时最容易翻车的五个点5.1 现象部门间 VLAN 还是能互访ACL 不生效原因ACL 应用方向搞反了或者规则顺序写错。核心交换机上 ACL 要应用在 VLAN 接口的 inbound 方向如果应用在 outbound流量已经经过三层转发匹配不到源 VLAN。另外如果先写了 permit any后面的 deny 规则永远不会命中。解决用 display acl 命令查看规则命中计数确认 deny 规则有匹配。调整规则顺序默认拒绝放在最后。测试时从不同 VLAN 的终端互相 ping确认不通再 ping 服务器 VLAN 确认通。5.2 现象网闸配置完从属中心访问主中心时通时断原因网闸的路由模式配置了但回程路由没写或者病毒扫描策略把正常数据包当病毒拦了。方案里要求配置网闸病毒扫描但扫描引擎的误报率不低尤其是加密流量。解决先关病毒扫描测试连通性确认路由没问题后再开扫描把业务系统加入白名单。检查主中心和从属中心的核心交换机上是否有指向网闸的路由。5.3 现象红外对射频繁误报风一吹就报警原因响应时间没按方案里的 20ms 设置用了默认值或者安装时两束红外没对准水平位置有偏差。解决用调试模式查看遮光时间按 10m/s 速度和 20cm 宽度算出 20ms 阈值大于 20ms 才报警。重新调整对射设备的水平位置确保接收机信号强度在正常范围。5.4 现象WSUS 补丁分发失败终端不更新原因涉密网不能直接连外网WSUS 服务器上的补丁包是通过中间机导入的如果导入不完整或者 WSUS 的 IIS 配置有问题客户端就拉不到补丁。解决在 WSUS 服务器上检查补丁包是否完整用 wsusutil checkhealth 检查健康状态。客户端上运行 wuauclt /detectnow 手动触发检测看 WindowsUpdate.log 里的错误码。常见的是 0x8024401c一般是 IIS 的应用程序池没启动。5.5 现象红黑电源隔离插座装了但电磁泄漏测试还是不过原因红黑电源没接地或者涉密设备插在了普通插座上红黑电源上插了非涉密设备。解决用接地电阻测试仪测红黑电源接地电阻必须小于 4 欧姆。检查所有涉密终端和服务器的电源线确保直接插在红黑电源上红黑电源上不插其他设备。视频干扰仪和线路干扰仪也要确认接地。6. 从方案文档到现场验收一份可复用的检查清单与参数速查方案文档写得再细现场验收时还是得逐项核对。我一般会把方案里的关键参数抽成一张速查表验收时对着打勾。下面这张表覆盖了网络层、物理层、应用层、终端层的主要设备及其核心参数可以直接抄作业。设备/系统部署位置核心参数验收要点核心交换机 ACL服务器区/终端区禁止部门 VLAN 互访允许访问服务器 VLAN规则命中计数默认拒绝网闸主中心/从属中心核心交换机之间路由模式HTTPS 管理病毒扫描单向访问无物理直连防火墙从属中心透明模式fwbridge0多 VLAN 开关桥接口管理地址日志外存红外对射厂区东/北围墙20ms 遮光阈值10m/s 速度水平对准信号强度红外报警要害部位37℃、10µm 波长高度 2.2m远离空调暖气不直对窗口视频监控周界/要害部位MPEG-4显示 768576存储 38428832 路录像机覆盖门窗门禁系统要害部门密码读卡防尾随紧急开关权限时间范围进出记录线路干扰仪交换机最远端/次远端8 口伪随机宽带扫频接地空线对注入视频干扰仪涉密终端1000 MHz接地红黑电源涉密终端/服务器/UPS直接连接不插其他设备接地电阻小于 4 欧姆服务器群组中间件主中心/从属中心透明模式邮件密级 1-7 级低密级可发高密级反向禁止域控WSUS主中心/从属中心双因子 USB-KEY组策略补丁导入完整IIS 正常违规外联监控内网终端/涉密单机/中间机645 客户端短信邮件告警客户端全覆盖外网服务器可达网络安全审计核心交换机镜像口HTTP/POP3/SMTP/IMAP/Telnet/FTP自定义端口审计HTTPS 管理终端安全登录机密级终端 89 台关闭光驱/软驱/串口/并口/红外/蓝牙USB 存储自由使用禁止改注册表移动介质管理信息中心单机30 客户端全盘加密注册/授权/定密/发放/收回/销毁这张表里最容易被忽略的是红黑电源的接地电阻和红外对射的 20ms 阈值这两个参数在方案里写得很具体但现场施工时经常被跳过。另外网闸的病毒扫描和防火墙的日志外存也是验收时的重点日志不能存在设备本地必须传到安全管理服务器。从那以后我每次做分级保护方案落地都会先把方案里的“第一次运行策略”逐条抄到检查表上每配完一项就打个勾尤其是那些带具体数字的参数——20ms、10µm、1000MHz、1-7 级、645 个客户端、89 台终端——这些数字是方案里最值钱的部分也是现场最容易走样的地方。希望帮到你。本文还有配套的精品资源点击获取
简介这份《计算机信息系统分级保护方案》文档面向涉密信息系统建设与合规管理人员、安全集成工程师及等保测评备考者围绕分级保护要求给出可落地的整体设计思路。内容涵盖系统总体部署、物理安全防护、电磁泄漏防护与安全管理制度等模块具体涉及核心交换机VLAN划分与ACL访问控制策略、服务器安全访问控制中间件与防火墙桥接部署、入侵检测与网络安全审计镜像、邮件系统1至7级密级流向控制以及红外对射、红外报警、视频监控、门禁系统、线路干扰仪、红黑电源隔离插座等物理与电磁防护措施的部署位置、运行策略和管理职责。资源包共1个doc文件约2.06MB结构完整、表格与图示说明详实便于直接参照编写方案或对照检查现有防护体系。已有58人学习适合需要理解分级保护落地细节、梳理安全区域划分与防护措施清单的读者参考。1. 涉密网分级保护方案从 VLAN 隔离到红黑电源的落地拆解接手一个涉密信息系统的分级保护改造最怕的不是设备不会配而是方案里每个措施都写了现场却对不上号。这份《计算机信息系统分级保护方案.doc》就是典型的落地文档——它不讲等保测评的评分逻辑而是直接给出组网模式、设备部署位置、第一次运行策略和运维责任划分。核心思路是把涉密网拆成服务器区、安全管理区、终端区三块用核心交换机做三层网关和 VLAN 划分再用服务器群组安全访问控制中间件和防火墙做桥接模式下的 ACL 控制禁止部门间 VLAN 互访只允许部门 VLAN 与服务器 VLAN 通信。适合谁看正在做分级保护方案编写、涉密网改造实施、或者需要把物理防护和电磁泄漏防护落到具体设备清单上的系统集成工程师。下面按网络层、物理层、应用层、终端层四条线拆开讲。2. 网络层隔离VLAN 划分、网闸单向访问与防火墙透明模式2.1 核心交换机的 VLAN 与 ACL 策略方案里组网模式写得很清楚服务器区、安全管理区、终端区共同连接至核心交换机参照 TCP/IP 模型建立核心交换机上配置三层网关并划分 VLAN。关键动作是在核心交换机、服务器安全访问控制中间件和防火墙上同时设置 ACL禁止部门间 VLAN 互访允许部门 VLAN 与服务器 VLAN 通信。这个策略的逻辑是终端之间的数据流动被设计为以服务器为跳板进行驻留转发所以终端到终端的直接通信必须掐断否则横向移动无法控制。配置时我一般会先确认 VLAN 编号规划比如终端区按部门分 VLAN 10-19服务器区 VLAN 20-29安全管理区 VLAN 30-39。核心交换机上做三层接口ACL 应用在 VLAN 接口的 inbound 方向。下面是一段华为/H3C 风格的配置示例实际设备型号不同命令有差异但逻辑一致# 创建 VLAN 并配置三层接口 vlan 10 description Terminal_Dept_A vlan 20 description Server_Zone vlan 30 description Security_Management interface Vlanif10 ip address 10.10.10.1 255.255.255.0 interface Vlanif20 ip address 10.10.20.1 255.255.255.0 interface Vlanif30 ip address 10.10.30.1 255.255.255.0 # 定义 ACL禁止部门 VLAN 互访允许访问服务器 VLAN acl number 3000 rule 5 deny ip source 10.10.10.0 0.0.0.255 destination 10.10.11.0 0.0.0.255 rule 10 permit ip source 10.10.10.0 0.0.0.255 destination 10.10.20.0 0.0.0.255 rule 15 deny ip source 10.10.10.0 0.0.0.255 destination any # 应用 ACL 到 VLAN 接口 interface Vlanif10 traffic-filter inbound acl 3000这段配置的核心参数是 ACL 规则顺序先拒绝部门间互访再允许到服务器区最后默认拒绝所有其他流量。注意 rule 15 的 deny any 很关键很多现场翻车就是因为只写了允许规则没写默认拒绝导致终端还能访问安全管理区。另外核心交换机需要镜像数据至入侵检测系统和网络安全审计系统镜像口一般配在连接审计设备的接口上方向选 both。2.2 网闸的单向访问控制与病毒扫描方案里用 1 台网闸连接主中心和从属中心部署在两边核心交换机之间启用路由模式从物理层到应用层终结所有协议包还原成原始应用数据以完全私有的方式传递到另一个网络。主中心和从属中心在任一时刻点上都不产生直接的物理连通。第一次运行策略是配置从属中心访问主中心的权限允许从属中心特定地址访问主中心所有服务器允许其他地址访问公司内部门户和人力资源系统配置访问内部门户 SQL Server 数据库服务器禁止其他所有访问方式。这里有个容易忽略的点网闸的病毒扫描要单独配置对流经设备的数据进行病毒安全扫描。管理方式必须用 HTTPS不能开 HTTP。设备管理按“三员”分立——管理员、安全保密管理员、安全审计员各设口令由信息中心每周登录查看设备配置、运行状态、转发数据量状态和系统日志。2.3 防火墙的透明模式与桥接口配置防火墙系统部署在从属中心eth1 和 eth2 口设置为透明模式配置桥接口 fwbridge0 的 IP 地址管理方式为 HTTPS打开多 VLAN 开关打开 TCP、UDP、ICMP 广播过滤。日志数据库安装在安全管理服务器上。第一次运行策略包括允许从属中心授权用户访问软件配置管理系统开放系统内所能使用到的端口其他不使用的端口全部禁止依据保密办规定设定审查关键字进行过滤审计从属中心用户和服务器区域的数据交换信息。透明模式的好处是部署时不用改现有网络拓扑像一根线一样串进去。但要注意桥接口的 IP 只是管理地址不参与数据转发。多 VLAN 开关必须打开否则带 VLAN tag 的流量过不去。下面是一段通用防火墙透明模式配置的逻辑示意# 配置桥接口 interface fwbridge0 ip address 10.10.30.100 255.255.255.0 mode transparent vlan-filter enable # 绑定物理接口到桥 interface eth1 bridge-group fwbridge0 interface eth2 bridge-group fwbridge0 # 访问控制策略 policy permit source 10.10.10.0/24 destination 10.10.20.10 port 8080 policy deny source any destination any参数说明vlan-filter enable 对应方案里的“打开多 VLAN 开关”policy 的顺序决定匹配优先级。日志数据库单独放在安全管理服务器上是为了防止防火墙本地存储被篡改。3. 物理安全与电磁泄漏防护红外对射、门禁与红黑电源的部署参数3.1 红外对射与红外报警的响应时间计算方案里红外对射部署在厂区东围墙和北围墙设备成对出现双向对置调整至相同水平位置。第一次运行策略给了具体参数24 小时不间断运行设置合适的响应时间以 10 米/秒的速度来确定最短遮光时间设置人的宽度为 20 厘米则最短遮断时间为 20 毫秒大于 20 毫秒报警小于 20 毫秒不报警。这个计算逻辑是人走过红外对射时遮挡光束的时间 人的宽度 / 行走速度 0.2m / 10m/s 0.02s 20ms。小于这个时间的遮挡可能是飞鸟、落叶不触发报警避免误报。红外报警部署在保密要害部位安装高度距离地面 2.2 米设置检测 37℃特征性 10µm 波长的红外线。安装位置要远离空调、暖气等空气温度变化敏感的地方不间隔屏、家具或其他隔离物不直对窗口防止窗外的热气流扰动和人员走动引起误报。这两个参数——20ms 遮光时间和 10µm 波长——是现场调试时最容易被忽略的很多施工队装完就走没调响应时间结果风一吹就报警。3.2 视频监控的采集格式与存储分辨率视频监控室外采用云台枪机式设备室内采用半球式设备部署在房间墙壁角落覆盖门窗及重点区域。增加 32 路嵌入式硬盘录像机一台用于视频采集信息的收集和压缩存档。第一次运行策略24 小时不间断运行视频采集格式为 MPEG-4显示分辨率 768576存储、回放分辨率 384288。这里注意显示分辨率和存储分辨率是分开的存储降分辨率是为了省硬盘空间但回放时清晰度会下降如果保密要求高存储分辨率不能降太多。3.3 门禁系统的权限与防尾随设置门禁系统对每个通道设置权限制作门禁卡对可以进出该通道的人进行进出方式授权采取密码读卡方式。设置可以通过该通道的人在什么时间范围内可以进出实时提供每个门区人员的进出情况和门区状态包括门的开关、各种非正常状态报警。紧急状态打开或关闭所有门区的功能设置防尾随功能。防尾随是门禁里最容易出问题的功能常见做法是采用双门互锁或者红外感应判断人数但方案里没写具体实现方式现场一般靠门禁控制器自带的反潜回逻辑。3.4 线路干扰仪、视频干扰仪与红黑电源隔离插座线路干扰仪部署 8 口设备将从交换机引至布线最远端以及次远端的线缆插接至干扰仪并由干扰仪连接至最远端和次远端设备接地。运行策略是在网线中一对空线对上注入伪随机宽带扫频加扰信号使之能跟随其他三对网线上的信号并行传输到另一终端。窃密者若再从网线或其他与网络干线相平行的导线上窃取信息实际上所窃得的仅是已被加扰信号充分湮没了的混合信号。视频干扰仪设置运行频率为 1000 MHz防止对涉密终端视频信息的窃取。红黑电源隔离插座要求所有涉密机均直接连接至红黑电源上红黑电源上不得插接其他设备。安装在涉密终端及涉密单机的红黑隔离电源由使用者维护安装在服务器的由信息中心维护。这里有个血泪经验红黑电源必须接地不接地等于没装现场验收时要用接地电阻测试仪测不能只看插上了事。4. 应用与终端层防护域控双因子、WSUS 补丁分发与违规外联监控4.1 Windows 域控与 WSUS 补丁分发的组策略配置主中心和从属中心均部署 AD 主域控制器及备份域控制器共计 2 套并建立 IIS 服务器安装 WSUS 服务器提供系统补丁强制更新服务。将终端系统的安全性完全与活动目录集成用户授权管理和目录进入控制整合在活动目录当中。通过组策略指定不同安全域用户口令的复杂性、长度、使用周期、锁定策略指定每一个用户可登录的机器。机密级终端需要将 USB-KEY 令牌与域用户登录结合使用达到双因子鉴别的过程。WSUS 的升级方式比较特殊在非涉密计算机上从互联网下载最新的防病毒系统升级包刻制成光盘通过非涉密中间机导入到涉密光盘上带入到涉密内网的防病毒系统服务器上利用服务器上的防病毒系统服务端提供的接口导入升级包再通过服务端将更新了的病毒库向每一台防病毒系统客户端进行强制更新。这个流程是涉密网补丁分发的标准做法不能直接连外网更新。组策略里隐藏用户无用的桌面图标删除“开始”菜单中的“运行”、“搜索”功能。启用内网 Windows XP 终端内置的 WSUS 客户端。下面是一段组策略登录脚本的示例用于强制域用户使用 USB-KEY 登录# 域控组策略登录脚本检查 USB-KEY 证书 $cert Get-ChildItem Cert:\CurrentUser\My | Where-Object { $_.Subject -like *USBKEY* } if (-not $cert) { Write-EventLog -LogName Security -Source Auth -EventId 1001 -Message USB-KEY not found, login denied logoff.exe }这段脚本的逻辑是登录时检查当前用户证书存储中是否有 USB-KEY 证书没有就强制注销。参数说明Cert:\CurrentUser\My 是用户个人证书存储Subject 过滤条件根据实际 USB-KEY 厂商的证书主题调整。4.2 违规外联监控系统的部署与告警方式违规外联监控系统采用 B/S 架构安装 1 台内网监控服务器、1 台外网监控服务器安装 645 个客户端全部安装于内网终端、涉密单机以及中间机上。系统实时监测受控网络内主机及移动主机的活动对非法内/外联行为由报警控制中心记录并向管理员提供准确的告警。按照预定的策略对非法连接实施阻断防止数据外泄。报警控制中心能够以手机短信、电子邮件两种告警方式向网络管理员告警其中手机短信是完全实时的告警。这里注意客户端数量 645 个是方案里明确写的部署时要核对终端总数漏装一台就是漏洞。外网监控服务器的作用是接收内网终端违规外联时发出的报警信号所以它必须能访问公网但本身不在涉密网内。4.3 服务器群组安全访问控制中间件的邮件密级控制服务器群组安全访问控制中间件 2 台分别用于主中心和从属中心eth1 和 eth2 口设置为透明模式启用桥接口进行管理。邮件转发控制功能为每个用户设置访问账号及密码依据密级将用户划分至不同用户组中安全级别分为 1-7 级1 级最低7 级最高。低密级用户可以向高密级用户发送邮件高密级用户不得向低密级用户发送保证信息流向的正确性。这个 1-7 级的划分是方案里最具体的参数之一。配置时要在中间件里建用户组每个组对应一个密级然后写邮件转发策略。常见做法是用 LDAP 同步域用户再在中间件里做密级映射。邮件审计功能记录发件人、收件人、抄送人、主题、附件名。网络审计与控制功能可以设定审查关键字对于流经系统的数据流进行关键字过滤。4.4 终端安全登录与移动介质管理终端安全登录与监控审计系统网络版服务器部署于安全管理区2 套分别部署于主中心和从属中心认证客户端安装于机密级终端上共计 89 台。单机版直接部署在所有中间机以及涉密单机上。第一次运行策略开机安全登录与认证关闭光驱、软驱、串口、并口、红外、蓝牙、网络接口、1394 火线、PDA。USB 存储自由使用。禁止修改注册表、安装软件、安全模式启动、外联、更换设备。禁止打印、监控文件操作。移动介质管理系统使用一台单机作为系统管理机安装涉密移动存储介质保密管理系统以及审计平台部署 30 个客户端。对公司移动存储介质进行注册登记、授权、定密、发放、收回、销毁、删除。采用全盘加密技术防止格式化 U 盘后进行数据恢复。移动介质下发至各部门由各部门统一管理保密办二级管理借用需要通过部门领导审批登记后使用限定使用时间及使用范围。5. 避坑与排查分级保护方案落地时最容易翻车的五个点5.1 现象部门间 VLAN 还是能互访ACL 不生效原因ACL 应用方向搞反了或者规则顺序写错。核心交换机上 ACL 要应用在 VLAN 接口的 inbound 方向如果应用在 outbound流量已经经过三层转发匹配不到源 VLAN。另外如果先写了 permit any后面的 deny 规则永远不会命中。解决用 display acl 命令查看规则命中计数确认 deny 规则有匹配。调整规则顺序默认拒绝放在最后。测试时从不同 VLAN 的终端互相 ping确认不通再 ping 服务器 VLAN 确认通。5.2 现象网闸配置完从属中心访问主中心时通时断原因网闸的路由模式配置了但回程路由没写或者病毒扫描策略把正常数据包当病毒拦了。方案里要求配置网闸病毒扫描但扫描引擎的误报率不低尤其是加密流量。解决先关病毒扫描测试连通性确认路由没问题后再开扫描把业务系统加入白名单。检查主中心和从属中心的核心交换机上是否有指向网闸的路由。5.3 现象红外对射频繁误报风一吹就报警原因响应时间没按方案里的 20ms 设置用了默认值或者安装时两束红外没对准水平位置有偏差。解决用调试模式查看遮光时间按 10m/s 速度和 20cm 宽度算出 20ms 阈值大于 20ms 才报警。重新调整对射设备的水平位置确保接收机信号强度在正常范围。5.4 现象WSUS 补丁分发失败终端不更新原因涉密网不能直接连外网WSUS 服务器上的补丁包是通过中间机导入的如果导入不完整或者 WSUS 的 IIS 配置有问题客户端就拉不到补丁。解决在 WSUS 服务器上检查补丁包是否完整用 wsusutil checkhealth 检查健康状态。客户端上运行 wuauclt /detectnow 手动触发检测看 WindowsUpdate.log 里的错误码。常见的是 0x8024401c一般是 IIS 的应用程序池没启动。5.5 现象红黑电源隔离插座装了但电磁泄漏测试还是不过原因红黑电源没接地或者涉密设备插在了普通插座上红黑电源上插了非涉密设备。解决用接地电阻测试仪测红黑电源接地电阻必须小于 4 欧姆。检查所有涉密终端和服务器的电源线确保直接插在红黑电源上红黑电源上不插其他设备。视频干扰仪和线路干扰仪也要确认接地。6. 从方案文档到现场验收一份可复用的检查清单与参数速查方案文档写得再细现场验收时还是得逐项核对。我一般会把方案里的关键参数抽成一张速查表验收时对着打勾。下面这张表覆盖了网络层、物理层、应用层、终端层的主要设备及其核心参数可以直接抄作业。设备/系统部署位置核心参数验收要点核心交换机 ACL服务器区/终端区禁止部门 VLAN 互访允许访问服务器 VLAN规则命中计数默认拒绝网闸主中心/从属中心核心交换机之间路由模式HTTPS 管理病毒扫描单向访问无物理直连防火墙从属中心透明模式fwbridge0多 VLAN 开关桥接口管理地址日志外存红外对射厂区东/北围墙20ms 遮光阈值10m/s 速度水平对准信号强度红外报警要害部位37℃、10µm 波长高度 2.2m远离空调暖气不直对窗口视频监控周界/要害部位MPEG-4显示 768576存储 38428832 路录像机覆盖门窗门禁系统要害部门密码读卡防尾随紧急开关权限时间范围进出记录线路干扰仪交换机最远端/次远端8 口伪随机宽带扫频接地空线对注入视频干扰仪涉密终端1000 MHz接地红黑电源涉密终端/服务器/UPS直接连接不插其他设备接地电阻小于 4 欧姆服务器群组中间件主中心/从属中心透明模式邮件密级 1-7 级低密级可发高密级反向禁止域控WSUS主中心/从属中心双因子 USB-KEY组策略补丁导入完整IIS 正常违规外联监控内网终端/涉密单机/中间机645 客户端短信邮件告警客户端全覆盖外网服务器可达网络安全审计核心交换机镜像口HTTP/POP3/SMTP/IMAP/Telnet/FTP自定义端口审计HTTPS 管理终端安全登录机密级终端 89 台关闭光驱/软驱/串口/并口/红外/蓝牙USB 存储自由使用禁止改注册表移动介质管理信息中心单机30 客户端全盘加密注册/授权/定密/发放/收回/销毁这张表里最容易被忽略的是红黑电源的接地电阻和红外对射的 20ms 阈值这两个参数在方案里写得很具体但现场施工时经常被跳过。另外网闸的病毒扫描和防火墙的日志外存也是验收时的重点日志不能存在设备本地必须传到安全管理服务器。从那以后我每次做分级保护方案落地都会先把方案里的“第一次运行策略”逐条抄到检查表上每配完一项就打个勾尤其是那些带具体数字的参数——20ms、10µm、1000MHz、1-7 级、645 个客户端、89 台终端——这些数字是方案里最值钱的部分也是现场最容易走样的地方。希望帮到你。本文还有配套的精品资源点击获取
