网络安全等级保护安全设计技术要求.docx
- 文档编号:8965317
- 上传时间:2023-05-16
- 格式:DOCX
- 页数:50
- 大小:899.59KB
网络安全等级保护安全设计技术要求.docx
《网络安全等级保护安全设计技术要求.docx》由会员分享,可在线阅读,更多相关《网络安全等级保护安全设计技术要求.docx(50页珍藏版)》请在冰点文库上搜索。
ICS35.040L80
中华人民共和国国家标准
GB/T25070—XXXX
代替 GB/T25070-2010
信息安全技术
网络安全等级保护安全设计技术要求
Informationsecuritytechnology-Technicalrequirementsofsecuritydesignforclassifiedcybersecurityprotection
点击此处添加与国际标准一致性程度的标识
(送审稿)
(本稿完成日期:
2017.10.10)
XXXX-XX-XX发布 XXXX-XX-XX实施
GB/T25070—XXXX
目 次
前言 III
引言 IV
1范围 1
2规范性引用文件 1
3术语和定义 1
4缩略语 3
5网络安全等级保护安全技术设计概述 3
5.1通用等级保护安全技术设计框架 4
5.2云计算等级保护安全技术设计框架 4
5.3移动互联等级保护安全技术设计框架 5
5.4物联网等级保护安全技术设计框架 6
5.5工业控制等级保护安全技术设计框架 7
6第一级系统安全保护环境设计 8
6.1设计目标 8
6.2设计策略 8
6.3设计技术要求 9
7第二级系统安全保护环境设计 11
7.1设计目标 11
7.2设计策略 11
7.3设计技术要求 12
8第三级系统安全保护环境设计 16
8.1设计目标 16
8.2设计策略 16
8.3设计技术要求 17
9第四级系统安全保护环境设计 24
9.1设计目标 24
9.2设计策略 25
9.3设计技术要求 25
10第五级系统安全保护环境设计 34
11定级系统互联设计 34
11.1设计目标 34
11.2设计策略 34
11.3设计技术要求 34
II
附 录 A(资料性附录)访问控制机制设计 36
A.1自主访问控制机制设计 36
A.2强制访问控制机制设计 36
附 录 B(资料性附录)第三级系统安全保护环境设计示例 38
B.1功能与流程 38
附 录 C(资料性附录)大数据设计技术要求 43
C.1大数据等级保护安全技术设计框架 43
C.2第一级系统安全保护环境设计 43
C.3第二级系统安全保护环境设计 44
C.4第三级系统安全保护环境设计 44
C.5第四级系统安全保护环境设计 45
参考文献 46
前 言
本标准按照GB/T1.1—2009《标准化工作导则第1部分:
标准的结构和编写》给出的规则起草。
本标准代替GB/T 25070-2010《信息安全技术 信息系统等级保护安全设计技术要求》,与GB/T
25070-2010相比,主要变化如下:
——标准的名称由“信息安全技术信息系统等级保护安全设计技术要求”变更为“信息安全技术网络安全等级保护设计要求”。
——各个级别的安全计算环境设计技术要求调整为通用安全计算环境技术要求、云安全计算环境设计技术要求、移动互联安全计算环境设计技术要求、物联网系统安全计算环境设计技术要求和工业控制系统安全计算环境设计技术要求。
——各个级别的安全区域边界设计技术要求调整为通用安全区域边界技术要求、云安全区域边界设计技术要求、移动互联安全区域边界设计技术要求、物联网系统安全区域边界设计技术要求和工业控制系统安全区域边界设计技术要求。
——各个级别的安全通信网络设计技术要求调整为通用安全通信网络技术要求、云安全通信网络设计技术要求、移动互联安全通信网络设计技术要求、物联网系统安全通信网络设计技术要求和工业控制系统安全通信网络设计技术要求。
——删除了附录B.2子系统间接口、B.3重要数据结构,增加了附录B.1.3第三级系统可信验证实现机制。
本标准由全国信息安全标准化技术委员会(SAC/TC260)提出。
本标准由全国信息安全标准化技术委员会(SAC/TC260)归口。
本标准主要起草单位:
公安部第一研究所、北京工业大学、北京中软华泰信息技术有限责任公司、中国电子信息产业集团有限公司第六研究所、工业和信息化部电信研究院、阿里云计算技术有限公司、公安部第三研究所、中国信息安全测评中心、国家信息技术安全研究中心、国家能源局信息中心、中国电力科学研究院中国科学院软件研究所、中国软件评测中心、启明星辰集团信息技术股份有限公司、浙江中烟工业有限责任公司、中央电视台、北京江南天安科技有限公司、华为技术有限公司、浪潮电子信息产业股份有限公司、浪潮集团、浙江大学、北京航空航天大学、北京理工大学、北京和利时系统工程有限公司、北京江南天安科技有限公司、青岛海天炜业自动化控制系统有限公司、北京力控华康科技有限公司、石化盈科信息技术有限责任公司、北京华大智宝电子系统有限公司、北京匡恩网络科技有限责任公司、北京中电瑞铠科技有限公司、北京广利核系统工程有限公司
本标准主要起草人:
蒋勇、李超、李秋香、赵勇、袁静、吴薇、黄学臻、陈翠云、宫月、刘志宇、陈彦如、徐晓军、王昱镔、张森、卢浩、吕由、林莉、马永清、傅一帆、丰大军、龚炳铮、贡春燕、霍玉鲜、范文斌、魏薇、李强、沈锡镛、陈雪秀、任卫红、赵泰、李斌、邹琪、宫亚峰、段伟恒、孟雅辉、林楠、史大为、章志华、李健俊、李威、顾军、陈卫平、琚宏伟、陈冠直、蔡一兵、颜斌、祝乃国、尹乐、温红子、陈雪鸿、高昆仑、张錋、毛澍、张敏、冯冬芹、崔韬、王宝会、王洪军、郭永明、汤世平、张大奎、王弢、陈冠直、王晓鹏、武传坤、陈聪、刘安正、刘利民、曲越、陈志、龚亮华、方亮、王晓旭、石宝臣、孙郁熙、张一帆、巩金亮、周峰、郝鑫、梁猛、刘春晓、姜红勇、冯坚、黄敏、张旭武、李熊、石秦、赵云飞、孙洪涛。
IV
引 言
国家标准GB/T25070-2010《信息安全技术信息系统等级保护安全设计技术要求》在开展网络安全等级保护工作的过程中起到了非常重要的作用,被广泛应用于各个行业和领域开展网络安全等级保护建设整改等工作,但是随着信息技术的发展,GB/T25070-2010在适用性、时效性、易用性、可操作性上需要进一步完善。
为了配合《中华人民共和国网络安全法》的实施,同时适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的开展,需对GB/T25070-2010进行修订,修订的思路和方法是调整原国家标准GB/T25070-2010的内容,针对共性安全保护目标提出通用的安全设计技术要求,针对移动云计算、移动互联、物联网、工业控制和大数据等新技术、新应用领域的特殊安全保护目标提出特殊的安全设计技术要求。
本标准是网络安全等级保护相关系列标准之一。
与本标准相关的标准包括:
——GB/T25058信息安全技术网络安全等级保护实施指南;
——GB/T22240信息安全技术网络安全等级保护定级指南;
——GB/T25070信息安全技术网络安全等级保护基本要求;
——GB/T28448信息安全技术网络安全等级保护测评要求。
在本文件中,黑体字表示较低等级中没有出现或增强的要求。
信息安全技术网络安全等级保护安全设计技术要求
1范围
本标准规定了第一级到第四级等级保护对象的安全设计要求,对第五级等级保护对象的安全设计要求不在本标准中描述。
本标准适用于指导运营使用单位、网络安全企业、网络安全服务机构开展网络安全等级保护安全技术方案的设计和实施,也可作为网络安全职能部门进行监督、检查和指导的依据。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件,仅注日期的版本适用于本文件。
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB17859 计算机信息系统安全保护等级划分准则GB/T22240信息安全技术网络安全等级保护定级指南GB/T25069信息安全技术术语
GB/T31167-2014信息安全技术云计算服务安全指南
GB/T31168-2014信息安全技术云计算服务安全能力要求
GB/T32919-2016信息安全技术工业控制系统安全控制应用指南
3术语和定义
GB17859、GB/T22240、GB/T25069、GB/T31167—2014、GB/T31168—2014和GB/T32919-2016
界定的以及下列术语和定义适用于本文件。
为了便于使用,以下重复列出了GB/T31167-2014中的某些术语和定义。
3.1
定级系统 classifiedsystem
按照参考文献[11]已确定安全保护等级的信息系统。
定级系统分为第一级、第二级、第三级、第四级和第五级信息系统。
3.2
定级系统安全保护环境 securityenvironmentofclassifiedsystem
由安全计算环境、安全区域边界、安全通信网络和(或)安全管理中心构成的对定级系统进行安全保护的环境。
3.3
安全计算环境 securitycomputingenvironment
对定级系统的信息进行存储、处理及实施安全策略的相关部件。
45
3.4
安全区域边界 securityareaboundary
对定级系统的安全计算环境边界,以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件。
3.5
安全通信网络 securitycommunicationnetwork
对定级系统安全计算环境之间进行信息传输及实施安全策略的相关部件。
3.6
安全管理中心 securitymanagementcenter
对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台或区域。
3.7
跨定级系统安全管理中心securitymanagementcenterforcrossclassifiedsystem
对相同或不同等级的定级系统之间互联的安全策略及安全互联部件上的安全机制实施统一管理的平台或区域。
3.8
定级系统互联 classifiedsysteminterconnection
通过安全互联部件和跨定级系统安全管理中心实现的相同或不同等级的定级系统安全保护环境之间的安全连接。
3.9
云计算 cloudcomputing
通过网络访问可扩展的、灵活的物理或虚拟共享资源池,并可按需自助获取和管理资源的模式。
注:
资源实例包括服务器、操作系统、网络、软件、应用和存储设备等。
3.10
云计算平台 cloudcomputingplatform
由云服务商提供的云计算基础设施及其上服务层软件的集合。
3.11
云计算环境 cloudcomputingenvironment
云服务商提供的云计算平台,及云服务客户在云计算平台之上部署的软件及相关组件的集合。
3.12
移动互联系统 mobileinternetsystem
指采用了移动互联技术,以移动应用为主要发布形式,用户通过移动终端获取业务和服务的信息系统。
3.13
物联网 internetofthings(IOT)
将感知节点设备通过互联网等网络连接起来构成的系统。
3.14
网关节点设备 sensorlayergateway
将感知节点所采集的数据进行汇总、适当处理或数据融合,并进行转发的装置。
3.15
感知节点设备 sensornode
对物或环境进行信息采集和/或执行操作,并能联网进行通信的装置。
3.16
数据新鲜性 datafreshness
对所接收的历史数据或超出时限的数据进行识别的特性。
3.17
现场设备FieldDevice
连接到ICS现场的设备,现场设备的类型包括RTU、PLC、传感器、执行器、人机界面以及相关的通讯设备等。
3.18
现场总线Fieldbus
一种处于工业现场底层设备(如传感器、执行器、控制器和控制室设备等)之间的数字串行多点双向数据总线或通信链路。
利用现场总线技术不需要在控制器和每个现场设备之间点对点布线。
总线协议是用来定义现场总线网络上的消息,每个消息标识了网络上特定的传感器。
3.19
可信保障trustedassurance
在信息系统的整个生命周期中,基于可信计算技术,实现在运算的同时进行安全防护,使计算结果总是与预期一致,从而确保信息系统对病毒、入侵的主动免疫。
4缩略语
下列缩略语适用于本标准。
ICS 工业控制系统(IndustrialControlSystem)
DCS 分布式控制系统(DistributedControlSystem)
SCADA 数据采集与监视控制系统(SupervisoryControlAndDataAcquisitionsystem)
PLC 可编程逻辑控制器(ProgrammableLogicController)
5网络安全等级保护安全技术设计概述
5.1通用等级保护安全技术设计框架
第一级系统
安全保护环境
第二级系统
安全保护环境
第三级系统
安全保护环境
第五级系统
安全保护环境
第 第 第
— 一 一
级 级 级
安 安 安
全 全 全
计 区 通
算 域 信
环 边 网
境 界 络
第 第 第
二 二 二
级 级 级
安 安 安
全 全 全
计 区 通
算 域 信
环 边 网
境 界 络
第 第 第
三 三 三
级 级 级
安 安 安
全 全 全
计 区 通
算 域 信
环 边/ 网
境 界 络
第 第 第
五 五 五
级 级 级
安 安 安
全 全 全
计 区 通
算 域 信
环 边 网
境 界 络
第二级安全管理中心 第三级安全管理中心
第五级安全管理中心
定级系统互联
跨定级系统安全管理中心
安全互联部件
网络安全等级保护安全技术设计包括各级系统安全保护环境的设计及其安全互联的设计,如图1所示。
各级系统安全保护环境由相应级别的安全计算环境、安全区域边界、安全通信网络和(或)安全管理中心组成。
定级系统互联由安全互联部件和跨定级系统安全管理中心组成。
第四级系统安全保护环境
第 第 第
四 四 四
级 级 级
安 安 安
全 全 全
计 区 通
算 域 信
环 边 网
境 界 络
第四级安全管理中心
图1 网络安全等级保护安全技术设计框架
本标准第5章节以下,对图1各个部分提出了相应的设计技术要求(第五级网络安全保护环境的设计要求除外)。
附录A给出了访问控制机制设计,附录B给出了第三级系统安全保护环境设计示例。
在对定级系统进行等级保护安全保护环境设计时,可以结合系统自身业务需求,将定级系统进一步细化成不同的子系统,确定每个子系统的等级,对子系统进行安全保护环境的设计。
5.2云计算等级保护安全技术设计框架
结合云计算功能分层框架和云计算安全特点,构建云计算安全设计防护技术框架,包括云用户层、访问层、资源层、服务层、资源层、硬件设施层和管理层(跨层功能)。
其中一个中心指安全管理中心,三重防护包括安全计算环境、安全区域边界和安全通信网络,具体如图2所示:
图2 网络安全等级保护云计算安全防护技术框架
用户通过安全的通信网络以网络直接访问、API接口访问和WEB服务访问等方式安全地访问云服务商提供的安全计算环境,其中用户终端自身的安全保障不在本部分范畴内。
安全计算环境包括资源层安全和服务层安全。
其中,资源层分为物理资源和虚拟资源,需要明确物理资源安全设计技术要求和虚拟资源安全设计要求,其中物理与环境安全不在本部分范畴内。
服务层是对云服务商所提供服务的实现,包含实现服务所需的软件组件,根据服务模式不同,云服务商和云服务客户承担的安全责任不同。
服务层安全设计需要明确云服务商控制的资源范围内的安全设计技术要求,并且云服务商可以通过提供安全接口和安全服务为云服务客户提供安全技术和安全防护能力。
云计算环境的系统管理、安全管理和安全审计由安全管理中心统一管控。
结合本框架对不同等级的云计算环境进行安全技术设计,同时通过服务层安全支持对不同等级云服务客户端(业务系统)的安全设计。
5.3移动互联等级保护安全技术设计框架
移动互联系统安全防护参考架构如下图,其中安全计算环境由核心业务域、DMZ域和远程接入域三个安全域组成,安全区域边界由移动互联系统区域边界、移动终端区域边界、传统计算终端区域边界、核心服务器区域边界、DMZ区域边界组成,安全通信网络由移动运营商或用户自己搭建的无线网络组成。
a)核心业务域
核心业务域是移动互联系统的核心区域,该区域由移动终端、传统计算终端和服务器构成,完成对移动互联业务的处理、维护等。
核心业务域应重点保障该域内服务器、计算终端和移动终端的操作系统安全、应用安全、网络通信安全、设备接入安全。
b)DMZ域
安全管理区
核心服务器区
传统计算终端区
移动终端区
核心服务器区域边界
传统计算终端区域边界
移动终端区域边界
核心业务域
VPN
DMZ
区域边界
移动互联系统区域边界
远程接入域
服务器
DMZ域
通信网络
图例:
计算环境
区域边界通信网络
DMZ域是移动互联系统的对外服务区域,部署对外服务的服务器及应用,如Web服务器、数据库服务器等,该区域和互联网相联,来自互联网的访问请求必须经过该区域中转才能访问核心业务域。
DMZ域应重点保障服务器操作系统及应用安全。
图3 移动互联系统安全防护参考架构
c)远程接入域
远程接入域由移动互联系统运营使用单位可控的,通过VPN等技术手段远程接入移动互联系统运营使用单位网络的移动终端组成,完成远程办公、应用系统管控等业务。
远程接入域应重点保障远程移动终端自身运行安全、接入移动互联应用系统安全和通信网络安全。
本标准将移动互联系统中的计算节点分为两类:
移动计算节点和传统计算节点。
移动计算节点主要包括远程接入域和核心业务域中的移动终端,传统计算节点主要包括核心业务域中的传统计算终端和服务器等。
传统计算节点及其边界安全设计可参考通用安全设计要求,下文提到的移动互联计算环境、区域边界、通信网络的安全设计都是特指移动计算节点而言的。
5.4物联网等级保护安全技术设计框架
应用计算环境
感知计算环境
安全通信网络
系统 安全 审计
安全管理中心
基础设施
计算节点
计算
资源
…
应用
服务
网关接入(安全边界)
前置处理(安全边界)
智能物流
智能电网
结合物联网系统的特点,构建在安全管理中心支持下的安全计算环境、安全区域边界、安全通信网络三重防御体系。
安全管理中心支持下的物联网系统安全保护设计框架如图4所示,物联网感知层和应用层都由完成计算任务的计算环境和连接网络通信域的区域边界组成。
物体对象
计算节点
传感控制
图4 物联网系统安全保护设计框架
a)安全计算环境
包括物联网系统感知层和应用层中对定级系统的信息进行存储、处理及实施安全策略的相关部件,如感知设备、感知层网关、主机及主机应用等。
b)安全区域边界
包括物联网系统安全计算环境边界,以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件,如感知层和网络层之间的边界、网络层和应用层之间的边界等。
c)安全通信网络
包括物联网系统安全计算环境和安全区域之间进行信息传输及实施安全策略的相关部件,如网络层的通信网络以及感知层和应用层内部安全计算环境之间的通信网络等。
d)安全管理中心
包括对物联网系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台,包括系统管理、安全管理和审计管理三部分,只有第二级及第二级以上的安全保护环境设计有安全管理中心。
5.5工业控制等级保护安全技术设计框架
对于工业控制系统根据被保护对象业务性质分区,针对功能层次技术特点实施的网络安全等级保护设计,工业控制系统推荐的等级保护安全技术设计构建在安全管理中心支持下的计算环境、区域边界、通信网络三重防御体系,采用分层、分区的架构,结合工业控制系统总线协议复杂多样、实时性要求强、节点计算资源有限、设备可靠性要求高、故障恢复时间短、安全机制不能影响实时性等特点进行设计,以实现可信、可控、可管的系统安全互联、区域边界安全防护和计算环境安全。
工业控制系统分为4层,即第0~3层为工业控制系统等级保护的范畴,即为设计框架覆盖的区域;横向上对工业控制系统进行安全区域的划分,根据工业控制系统中业务的重要性、实时性、业务的关
联性、对现场受控设备的影响程度以及功能范围、资产属性等,形成不同的安全防护区域,所有系统都必须置于相应的安全区域内,具体分区以工业现场实际情况为准(本防护方案的分区为示例性分区,分区方式包括但不限于:
第0~2层组成一个安全区域、第0~1层组成一个安全区域、同层中有不同的安全区域等)。
分区原则根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统间的相互关系、广域网通信方式以及对工业控制系统的影响程度等。
对于额外的安全性和可靠性要求,在主要的安全区还可以根据操作功能进一步划分成子区,将设备划分成不同的区域可以帮助企业有效地建立“纵深防御”策略。
将具备相同功能和安全要求的各系统的控制功能划分成不同的安全区域,并按照方便管理和控制为原则为各安全功能区域分配网段地址。
设计框架逐级增强,但防护类别相同,只是安全保护设计的强度不同。
防护类别包括:
安全计算
环境,包括工业控制系统0~3层中的信息进行存储、处理及实施安全策略的相关部件;安全区域边界,包括安全计算环境边界,以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件;安全通信网络,包括安全计算环境和网络安全区域之间进行信息传输及实施安全策略的相关部件;安
参见通用等级保护
安全设计技术要求
第3层和第4层之间通信网络
第3层计算环境
第3层边界防护
第2层和第3层之间通信网络
信息安全区域
之间通
区域边界防护
信息安全区域A
复杂工业控制
系统等级保护
第2层计算环境 第2层边界防护
第1层和第2层之间通信网络
第1层计算环境 第1层边界防护第0层和第1层
之间通信网络
安全通信网络第0层计算环境 第0层边界防护
安全管理中心边界防护
第4层企业经营管理层
安全管理中心
系统管理
安全管理
审计管理
全管理中心,包括对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台,包括系统管理、安全管理和审计管理三部分。
信网络
区域边界防护
信息安全区域
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络安全 等级 保护 安全 设计 技术 要求