三级等保建设方案.pdfVIP

三级等保建设方案--第1页

1安全通信网络

1.1网络架构

一、安全要求

a）应保证网络设备的业务处理能力满足业务高峰期需要；

b）应保证网络各个部分的带宽满足业务高峰期需要；

c）应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分

配地址；

d）应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之

间应采取可靠的技术隔离手段；

e）应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统

的可用性。

二、应对措施

1）核心交换机、网络出口设备性能在业务高峰期性能不高于80%；

2）出口链路和网络设备（如：防火墙，IPS，防病毒网关等）采用冗余方式

部署；

3）网络拓扑设计按照不同功能、不同重要程度分区分域管理原则划分为多

个安全域，不同安全域的IP地址规划不同（不同网段），按照方便管理和控制的

原则为各网络区域分配地址；

4）根据安全域不同，采取ACL策略或防火墙进行安全隔离。

2安全区域边界

2.1边界防护

一、安全要求

a）应保证跨越边界的访间和数据流通过边界设备提供的受控接口进行通信；

b）应能够对非授权设备私自联到内部网络的行为进行检查或限制；

c）应能够对内部用户非授权联到外部网络的行为进行检查或限制；

d）应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网

络。

1

三级等保建设方案--第1页

三级等保建设方案--第2页

二、应对措施

1）在边界部署防火墙，确保跨越边界访问和数据流都通过网关设备的受控

接口通信。设置必要的访问控制策略，未明确的通信统一拒绝。

2）在安全管理区域部署终端安全管理系统，实现对非授权设备私自联到内

部网络的行为进行检查或限制，并且对内部用户非授权联到外部网络的行为进行

检查或限制；

3）在安全管理区域部署网络准入控制控制系统，对入网终端、设备进行授

权，保证入网终端、设备的合法性和安全性，实现对网络中的用户和终端进行全

方位的管控。通过网络准入控制系统，建立完善的接入用户身份认证机制，及时

发现网络中出现的新设备，对外来终端的接入行为进行阻拦并告警。网络准入系

统部署简单，旁路部署，基于网络扫描模式工作，无须改变原有网络架构。网络

准入控制系统可实时发现终端私接HUB、NAT设备行为，对终端私自连接3G网

卡、手机共享、WIFI等外联行为，第一时间发现并阻断，结合安全域的策略定

制，对终端进行访问控制，从而保障了网络内部边界的可视、可管。网络准入系

统还具备IP地址管理、网络拓扑管理、终端定位查询、日志统计报表等。

2.2访问控制

一、安全要求

a）应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情

况下除允许通信外受控接口拒绝所有通信；

b）应删除多余或无效的访间控制规则，优化访问控制列表，并保证访问控

制规则数量最小化；

c）应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许

／拒绝数据包进出；

d）应能根据会话状态信息为进出数据流提供明确的允许／拒绝访间的能力。

e）应对进出网络的数据实现基于应用协议和应用内容的访问控制。

二、应对措施

1）在边界部署防火墙，依据总体网