浅述开展等级保护之网络安全域划分.docVIP

浅述开展等级保护之网络安全域划分 　　一、网络安全域划分的背景 　　随着信息系统安全等级保护、分级保护方面的政策和规范的发布，以及国家萨班斯法案内控审计要求的出台，IT控制的重要性正逐步提升。信息系统进行等级保护，不是对整个系统进行同一等级的保护，而是对系统内不同业务区域进行不同等级的保护。因此，安全域划分是进行信息安全等级保护的首要步骤。 　　安全域是指同一系统内根据信息性质、使用主体、安全目标和策略等元素的不同来划分不同逻辑子网，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域内具有相互信任关系，同一安全域共享同样的安全策略。 　　二、网络安全域划分的方式 　　安全域划分需考虑网络中业务系统访问终端与业务主机的访问关系，以及业务主机间的访问关系，若业务主机间没有任何访问关系，则单独考虑各业务系统安全域的划分，若业务主机间有访问关系，则几个业务系统一起考虑安全域的划分。一个物理网络区域可以对应多个安全区域，而一个安全区域一般只对应一个物理网络区域。 　　（一）划分安全计算域 　　根据业务系统的功能实现机制、保护等级程度进行安全计算域的划分，一般分为核心处理域和访问域，其中数据库服务器等后台处理设备归入核心处理域，前台直接面对用户的应用服务器归入访问域。 　　（二）划分安全用户域 　　根据业务系统的访问用户分类进行安全用户域的划分，访问同类数据的用户终端、需要进行相同级别保护划为一类安全用户域，一般分为管理用户域、内部用户域、外部用户域等。 　　（三）划分安全网络域 　　安全网络域是连接具有相同安全等级的计算域和用户域组成的网络域。网络域的安全等级的确定与网络所连接的安全用户域和安全计算域的安全等级有关。一般同一网络内可划分三种安全域：外部域、接入域、内部域等。 　　三、根据业务功能特点进行安全域划分 　　（一）两级三层结构划分 　　安全域划分应与业务架构相融合，传统的业务应用可归结为B/S或者C/S结构。依据业务架构进行传统结构划分，称为两级三层结构划分。此方式是在User与Application之间进行安全域划分，同时在应用当中的Server与Mainframe之间进行安全域区分。 　　优点：可有效避免用户访问核心处理域，对现有系统改动较小，不影响现有业务应用；所有用户对于核心处理域的请求必须由应用服务访问域内的应用程序进行，并由应用程序进行反馈；避免用户计算机对核心处理域主机的病毒传播。 　　缺点：用户可以通过客户端提出非职责范围内的信息查询、维护等操作；缺少将用户请求进行标准化的过程，对用户请求的合法性分析缺乏统一验证；核心处理域与应用服务访问域的每一个应用成为逻辑的单线联系。 　　（二）两级四层结构划分 　　针对上述问题，需要根据SOA框架技术和参照银行金融业安全方式，进行业务逻辑更改，将业务安全架构系统划分为User层、Application层；在Application层内部再次进行更加安全的考虑，将Application层再次细化为Presentation层（表示层）、Business层（业务处理层）、Back-end层（核心数据层），称为两级四层划分。 　　优点：具备两级三层优点，在Business层将用户提出的请求进行统一检查和日志，提供统一的服务接口，Presentation层将用户请求标准化后提交给Business层，并将服务响应进行可视化表现。 　　缺点：对现有网络和业务系统改动较大。 　　四、实际网络环境的安全域划分 　　（一）局域网、城域网、广域网应划分为不同安全域 　　安全域划分关键是网络边界的划分，一旦划分了边界，也就划分了不同的域。在现有的信息系统中，划分区域最便捷的方式就是依靠网络类型进行边界的划分。 　　（二）局域网内部安全域划分 　　局域网内部安全域划分是安全域划分的重点，可以依据业务的安全策略进行划分，主要参考在各业务的业务功能、安全等级、局域网网络结构三方面因素。 　　（1）根据业务功能特点划分 　　不改变当前业务逻辑，可以使用两级三层结构进行划分： 　　终端用户区域：所有应用的客户端。主要包括为C/S结构的C端，B/S结构的B端。 　　管理用户域：具有管理系统、网络、应用等相关管理职能的用户客户端网络。 　　内部用户域：在局域网内部需使用信息系统的用户端网络。 　　外部用户域：在局域网外部需访问信息系统的用户端网络。 　　服务器域：包括所有服务器。为客户端提供业务平台，完成业务所需的所有服务处理，以及后台数据存储的功能。 　　应用服务访问域：包括所有应用服务器。为主要为业务处理的中间层服务器。 　　核心处理域：核心数据存储以及运算服务器，包括数据库服务器等后台处理设备。 　　（2）根据安全等级要求划分 　　等级保护、分级保护是通过安全域划分，将信息