文章目录
开始之前先复习一下等保工作流程：
一是定级
二是备案（二级以上的信息系统）
三是系统初测、整改
四是开展等级测评
五是信息安全监管部门定期开展监督检查
定级和备案材料
等保定级备案模版材料解读
《信息系统安全等级保护定级报告》
一、XXX信息系统描述
简述确定该系统为定级对象的理由。从三方面进行说明：
一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；
二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）
（一）业务信息安全保护等级的确定
1、业务信息描述
描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定
说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定。
说明信息受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定
依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定
1、系统服务描述
描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定
说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定
说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
（三）安全保护等级的确定
信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全保护等级为第几级。就是下面这个表：
| 信息系统名称 | 安全保护等级 | 业务信息安全等级 | 系统服务安全等级 |
|---|---|---|---|
| XXX信息系统 | X | X | X |
注意：虽然等级由业务信息安全等级和系统服务安全等级较高者决定，但是业务信息安全等级和系统服务安全等级各自的级别对与测评强度是有影响的。
信息系统安全等级保护备案表
https://wenku.baidu.com/view/4650672f08a1284ac950436a.html
表一 单位基本情况
XXX信息系统情况
表三 XXX信息系统定级情况
表四 第三级以上信息系统提交材料情况
（二级系统不用填，也不用准备以下材料）
涉及国家秘密的信息系统分级保护备案表
涉密系统才用填的材料
等保评估
定级和备案完毕后就进入内部评估阶段。下面以一个评估的规范方案为例进行讲解。
某市某单位等保评估服务规划方案
目录
第1章.项目概述…2
1.1.项目背景…2
1.2.项目依据…2
1.3.项目建设内容…3
第2章.系统安全需求分析…4
2.1.目前状况…4
2.2.状况分析…5
第3章.等保评估…6
3.1.测评基本内容…6
3.2.评估对象现状…7
3.2.1.系统定级…7
3.2.2.系统列表…7
3.3.等级保护评估实施规划…7
3.3.1.评估方法…7
3.3.2.评估工具…8
3.3.3.评估流程…9
3.4.等级保护评估内容规划…10
3.4.1.安全控制评估…10
3.4.2.安全管理评估…44
3.4.3.系统整体评估…80
3.4.4.综合评估分析…80
3.5.等级保护评估安排…80
3.5.1.现场评估准备…80
3.5.2.现场检查测试…83
3.5.3.需要配合事项…84
第4章.安全管理体系建设…85
4.1.总体安全体系建设…85
4.2.安全管理层面…85
4.2.1.安全管理制度…86
4.2.2.安全管理机构…86
4.2.3.人员安全管理…87
4.2.4.系统建设管理…87
4.2.5.系统运维管理…88
第5章.项目规划建设…89
5.1.总体工作计划…89
5.2.系统差距评估…89
第6章.安全建设清单及预算…93
具体内容可见：https://wenku.baidu.com/view/4d54a928aff8941ea76e58fafab069dc51224772.html
https://max.book118.com/html/2018/0712/7031065055001140.shtm
某等保项目差距分析报告
目录
1引言…5
1.1评估背景…5
1.2评估目的…5
1.3评估范围…6
1.4评估依据…6
2评估实施方法与过程…8
2.1评估实施总体流程…8
2.2现有资料收集与整理…9
2.3信息安全问卷调研…9
2.4现场管理访谈…9
2.5人工检查与技术评估…10
2.6安全风险分析…11
2.7合规性分析…11
3评估结果综述…12
3.1信息化建设现状…12
3.2总体信息安全差距…13
3.3信息安全技术评估结果…14
3.3.1物理安全评估…14
3.3.1.1现状描述…14
3.3.1.2发现问题…15
3.3.1.3处置建议…15
3.3.2网络安全评估…15
3.3.2.1现状描述…15
3.3.2.2发现问题…15
3.3.2.3处置建议…16
3.3.3主机安全评估…16
3.3.3.1现状描述…16
3.3.3.2发现问题…16
3.3.3.3处置建议…17
3.3.4应用安全评估…17
3.3.4.1现状描述…17
3.3.4.2发现问题…17
3.3.4.3处置建议…18
3.3.5数据安全评估…18
3.3.5.1现状描述…18
3.3.5.2发现问题…18
3.3.5.3处置建议…18
3.4信息安全管理评估结果…19
3.4.1安全管理制度评估…19
3.4.1.1现状描述…19
3.4.1.2发现问题…19
3.4.1.3处置建议…19
3.4.2安全管理机构评估…19
3.4.2.1现状描述…19
3.4.2.2发现问题…19
3.4.2.3处置建议…20
3.4.3人员安全管理评估…20
3.4.3.1现状描述…20
3.4.3.2发现问题…20
3.4.3.3处置建议…20
3.4.4系统建设管理评估…20
3.4.4.1现状描述…20
3.4.4.2发现问题…21
3.4.4.3处置建议…21
3.4.5系统运维管理评估…21
3.4.5.1现状描述…21
3.4.5.2发现问题…21
3.4.5.3处置建议…22
4等保三级差距分析…23
客户背景与评测方法
1.1评估背景（略）
1.2评估目的
现状调研与差距分析是信息系统安全等级保护建设项目的主要基础工作之一，XX公司评估人员通过文件复审、问卷调查、现场访谈、现场走查等方式对XX人民法院信息系统的安全现状进行详细的调研，掌握目前XX人民法院信息安全建设工作中的短板，分析与等级保护体系的差距，评估出现的安全风险，为下一阶段的安全整改工作打下坚实的基础。
本次评估工作的主要目的为：
■了解目前信息化建设的整体状态；
■评测与等级保护的差距水平；
■找出信息安全建设与管理的工作短板；
■发现已出现或即将出现的安全风险；提出安全整改指导建议。
1.3评估范围
本次评估工作的范围是信息安全技术与信息安全管理相关内容：
■信息安全技术
物理安全
网络安全
主机安全
应用安全
数据安全
■信息安全管理
安全管理机构
安全管理制度
人员安全管理
系统建设管理
系统运维管理
1.4评估依据
本次评估工作的相关标准与依据为：（略）
2评估实施方法与过程
2.1评估实施总体流程
信息安全现状调研是以XX公司安全咨询方法论为衡量准则和执行方法，同时参考相关政策法规、行业最佳实践以及咨询顾问在信息全方面的实践经验，采用文件复审、问卷调查与人工检查、现场访谈等方式，针对XX区人民法院信息系统安全制度体系、组织架构、运行维护和技术防护等各方面进行详细调查与综合分析，以全面目前的信息安全现状的过程。
下图简单描述了xx公司在信息安全现状调研阶段所采用的工作方式和方法。
■文档复审主要现有的组织架构、岗位职责、现有安全制度等，为现场访谈等做好准备。
■人工检查通过一系列的重要信息资产的安全配置检查单（操作系统，网络设备，安全设备，数据库等），与数据中心总体运维的各类应用、操作系统、主机和网络设备，安全设备的配置进行对比检查，了解安全运维方面的现状，并通过漏洞扫描，技术性渗透测试等手段发现信息资产的技术性安全问题，为日后形成配置规范打下基础。问卷调查则是提出有针对性的问题调研，通过填卷人对XX法院内部各安全技术环节，各安全管理环节，各安全组织环节的基本情况做出中立的填写，为差距分析做好准备。
■现场访谈通过对信息化相关负责人、骨干人员、运维人员、开发人员的面对面访谈，深入了解各业务组的业务工作及IT应用现状和信息安全状况，并了解各业务组面临的具体安全问题和对本项目的期望。
■在上述各项工作完成之后，XX公司安全顾问结合信息系统安全等级保护基本要求以及其它相关要求，对各项安全现状调研工作的结果进行逐一差距分析，最后对整体的安全现状做出总体评价和描述。
2.2现有资料收集与整理
目的：全面掌握现有组织架构、制度文件、流程类资料。
任务：主要任务是收集评估对象相关信息资料，包括企业风险管理框架、制度、流程、KRI地图、业务战略、IT规划、白皮书、IT制度文件、落实留痕、IT运维程序和记录、信息安全管理和记录、IT基础设施资料、IT应用系统资料、组织架构信息和安全事件等。
方式和工具：主要采用下发调研表和主动询问整理的方式收集现有资料。
■制度文件调研表
■资产收集调研表
资料收集情况：XX法院因信息化人员只有一人，相关信息系统管理与安全管理的文件制度相对较少，且长时间没有更新，仅收集到《中心机房管理职责规定》与《中华人民共和国保守国家秘密法规定的十二种禁止行为》两份管理制度。
2.3信息安全问卷调研
目的：通过问卷填写方式全面了解信息安全技术与管理现状。
任务：主要是让信息化相关负责人根据企业实际IT建设情况填写相关安全事件、安全管理、安全体系运作、安全运维流程方面的遇到的问题。
方式和工具：主要采用下发调研表的方式完成调研。
■信息安全问卷调研表
问卷调研情况：本次评估通过下发《信息安全问卷调查表》让相关负责人填写后收集。
2.4现场管理访谈
目的：通过与人员现场询问、沟通、了解的方式全面了解信息安全技术与管理现状。
任务：主要是了解信息资产状况，安全体系管理运行，应用的安全技术，资产管理运行，开发相关的运行，人力管理运行，安全要求和需求，实调研安全运维（操作）流程和程序，监控和审计的调研，备份和容灾的调研等。
方式和工具：主要采用下发调研表的方式完成调研。
■访谈提纲与访谈记录
现场访谈情况：本次评估通过根据《等保三级差距分析调研表》的内容与XX人民法院信息化负责人**进行了现场访谈调研。
2.5人工检查与技术评估
目的：通过技术手段与专家经验分析目前XX法院信息系统与资产的技术防护短板。
任务：核心系统抽样服务器技术评估与人工检查，网络架构评估与网络设备安全检查，办公终端抽样检查，业务系统技术性渗透测试。
方式和工具：主要采用如下方式进行人工检查和技术评估。
■工具扫描检测
业界成熟的漏洞扫描工具
■资产安全配置核查规范
UNIX系统安全配置规范
LINUX系统安全配置规范
WINDOWS系统安全配置规范
网络设备安全配置规范
数据库安全配置规范
防火墙设备安全配置规范
技术性渗透测试
黑盒测试
检查与评估情况：本次由于XX法院业务系统的运行重要性及时间问题，根据客户要求没有做技术性渗透测试与安全漏洞扫描，但是对以下部分IT资产的安全配置做了详细的检查：
2.6安全风险分析
目的：分析组织体系，技术体系，管理体系目前存在的问题。
任务：分析IT投入、安全管理体系运行，应用的安全技术，资产管理，开发管理，人力管理，安全要求和需求，安全运维（操作）流程和程序，监控和审计，备份和容灾等方面的管理问题；分析部门职责，岗位职责，安全考核等方面的落实问题；分析系统安全漏洞，配置漏洞，代码漏洞等方面的技术问题。
方式和工具：采用如下方式进行问题分析。
■制度内容评审；
■制度执行情况分析；
■设备安全分析；
■网络安全分析；
■系统安全分析；
■组织架构完整性分析；
安全风险分析实施情况：评估人员通过结合众多公检法行业的安全检查与评估经验，以专家的视角对目前收集到的原始信息（制度，规范，扫描结果，配置核查结果，访谈记录，调研表的填写，安全意识调查等）对安全风险与出现的问题进行分析。
2.7合规性分析
目的：分析目前反映的回题和行业标准的差距。
任务：主要任务是分析与信息系统安全等级保护系列标准的差距。
方式和工具：采用如下方式和工具了解安全差距方面的问题。
■等级保护差距分析表；
■等级保护各项内容现状评估评分表；
合规性分析实施情况：评估人员通过参考等级保护三级基本要求的10个大类项，73个子类项，290个基本要求，对比目前了解的相关安全管理情况作出差距分析结果。
物理和网络安全评估分析
3评估结果综述
3.1信息化建设现状
XX人民法院信息化建设整体相对较为简单，业务系统不多，网络结构比较单一，如下图所示：
两个主要区域，办公区域和服务器区域，接到双核心路由，然后旁挂了IPS、安管系统，出口是出口路由器，由防火墙做边界防护。
■两台核心交换机为中兴ZRX108905，为主备模式，承载所有法院内部所有业务信息系统和各办公终端的总体网络流量；
■出口为一台中兴路由器，通过电信提供的专网与XXX高级人民法院和其他区域的人民法院进行网络互连与业务数据共享；
■各楼层均通过楼层交换机汇聚后接入核心交换机访问业务应用区域；
■业务应用区域内的审批执行系统数据库分别接入爱数存储与同友存储设备，档案管理系统与数字法庭系统分别接入各自数据存储阵列；OA系统与网站系统均为一台服务器承载应用；
■网络到电信专网的总出口处部署了防火墙进行安全防护；
■核心交换机分别旁路部署了网络入侵检测（IDS）和终端安全管理认证网关。
3.2总体信息安全差距
XX人民法院的信息安全体系建设比较落后，安全短板较多，根据现状调研的安全总体差距体现为除物理安全、网络安全、人员安全达到等级保护三级部分要求外，主机安全、应用安全、数据安全、安全管理制度、安全管理机构、系统建设管理、系统运维管理等几个方面均有较大的安全差距，如下图所示：
3.3信息安全技术评估结果
3.3.1物理安全评估
3.3.1.1现状描述
■所有物理区域与外界都有门禁系统或者保安人员值守，进入办公楼的外部人员还需进行安全检查；
■外来人员进入机房均有内部人员陪同，进入机房施工有相应的使用登记单；
■机房内部环境整洁，没有发现易燃、易爆等危险物品；
■机房具有完善的空调、消防、供电等设施，对于这些设施能够进行定期的检查与维护；
■机房设备走线规范，都贴有相应的资产标签；
■明确了机房物理环境的负责人与配合部门；
3.3.1.2发现问题
■机房内发现未喝完的矿泉水瓶；
■机房内缺少动力环境情况监控；（UPS、漏水等）
■人员对机房的访问缺少真实的登记记录，来访记录随意性较大；
■缺少对信息设备信息安全要求描述的条例，如场外设备安全、设备安全报废和重用、设备维护、线缆安全等；
■缺乏机房管理细则及场外设备管理制度；
3.3.1.3处置建议
■应逐步完善机房的日常安全管理制度；应建立完整真实的访问情况记录，提高安全防范意识；
■应尽快清理机房内的无关物品，保持机房干净整洁
■应形成一套完善的机房动力环境安全监控机制，提高运维水平与故障发现效率。
3.3.2网络安全评估
3.3.2.1现状描述
■网络核心交换部分采用了两台交换机冗余备份，保证了网络核心链路稳定；
■针对具体业务与区域划分了VLAN；
■针对指定的IP地址设置了ACL列表，做到了访问控制与隔离；
■网络出口处部署了防火墙进行安全防护；
■网络中部署了网络安全入侵检测系统进行安全监控；
3.3.2.2发现问题
■缺乏网络审计手段，对异常流量、设备操作、违规协议等问题不能及时发现和定镜；
■缺乏网络层防病毒手段，对计算机病毒木马和其他恶意代码不能及时阻断；
■网络入侵检测系统（IDS）没有真正启用，没有数据也没有监控报表定期分析；
■防火墙的IPS策略库、WEB防护策略库、数据泄密防护策略库不是最新的，僵尸网络识别策略库已经过期了；
■网络性能与流量使用情况缺乏有效的监控管理手段；
■采样的两台网络设备缺乏基本安全配置，两台核心交换机均为默认配置，具体表现为：
没有禁用设备BANNNER，造成设备信息泄漏；
没有启用SSH安全登录协议，只用采用了明文的TELNET和本地 CONSOLE登录；
启用了OSPF协议单没有启动路由安全认证，如MD5加密；
日志没有开启远程收集，本地日志记录有限；
设备用户和密码为明文保存，没有加密保存；
3.3.2.3处置建议
■应完善网络行为审计手段，建立网络审计与安全管控机制；
■应通过网络防毒设备对计算机病毒与恶意代码进行网络层防护；
■应完善网络性能监控与设备运维手段，提高网络资源使用分析与集中管控水平；
■应对网络设备进行安全规范配置；
3.3.3主机安全评估
3.3.3.1现状描述
■终端操作系统都安装了杀毒软件通过离线包进行更新
■终端通过内网安全管控系统进行认证安全控制；
■服务器操作系统登陆均设置了复杂密码。
3.3.3.2发现问题
■部分服务器没有安装杀毒软件，导致出现计算机病毒入侵安全风险；
■缺乏对操作系统的操作行为审计；
■缺乏账号管理与身份认证的统一管理，没有认证日志记录，存在多人共用一账号的情况；
■终端安全目前只实现了U盘插入安全管理，其他功能没有启用；
■终端安全使用习惯没有建立，存在大量登录弱口令；
■缺乏对服务器性能的实时监控与告警机制，运维效率不高；
■采样的三台应用服务器配置基本为默认配置，存在较高安全风险，具体表现为：
没有任何安全防护软件；
安全补丁从未更新，存在大量安全漏洞；
安全访问审核日志没有打开，从未记录相关访问情况；
密码安全策略未开启；
账号锁定策略未开启；
危险服务如Task Scheduler、remote registry、printer spooler没有关闭；
3.3.3.3处置建议
■应继续完善的统一防病毒体系，终端、服务器进行安全防摆；
■应形成操作行为审计手段；
■应完善服务器性能监控与设备运维手段，提高网络资源使用分析与集中管控水平；
■应对服务器进行安全规范配置，对安全补丁、审核日志、本地安全策略、开启服务等进行安全配置修改，提高服务器安全等级。
3.3.4应用安全评估
3.3.4.1现状描述
■通过防火墙的WAF功能对应用系统的WEB程序进行安全防护；
■应用系统的账号按角色进行了权限分类与限制；
3.3.4.2发现问题
■缺乏应用操作的安全审计手段；
■缺乏对应用的定期安全评估与漏洞检测；
■缺乏对程序代码的安全审计手段；
■缺乏对应用性能的有效监控与问题分析定位；
3.3.4.3处置建议
■应定期对应用系统进行安全漏洞检查与渗透测试；
■应形成应用系统操作行为审计手段；
■应完善应用程序的性能监控与设备运维手段提高资源使用分析与集中管控水平；
■应规范软件开发流程，形成代码开发或上线前的程序级代码安全审计机制。
3.3.5数据安全评估
3.3.5.1现状描述
■案例审批信息数据通过应用程序功能设置按账号权限进行数据上传与分享；
■关键数据都进行了阵列存储备份，并形成了备份机制。
3.3.5.2发现问题
■数据上传没有经过专用加密通道；
■重要数据的敏感信息没有加密保护；
3.3.5.3处置建议
■应建立专用数据上传与分享加密VPN通道；
■应对敏感信息进行加密保护。
安全管理和制度分析
以上是技术层面的差分，下面看管理层面的：
3.4信息安全管理评估结果
3.4.1安全管理制度评估
3.4.1.1现状描述
■已经制定了一些IT管理制度与要求，如《移动存储介质管理办法》、《终端管理办法》、《网络管理办法》、《机房管理办法》等。
3.4.1.2发现问题
■管理制度内容覆盖不全，安全管理内容只占较少部分；
■缺乏纲领性信息安全工作指导，如信息安全目标、策略、方针等；
■制度长期没有评审与更新，内容过于成旧；
■制度没有检查执行记录，无法判断是否按照要求执行与宣贯。
3.4.1.3处置建议
■应完善各方面的安全管理制度与操作规范；
■应形成制度执行的检查与考核机制，提高自觉遵守管理规定的意识；
■应定期对管理制度进行内容评审与修订，保持适用性；
■应建立信息安全方针、目标、策略。
3.4.2安全管理机构评估
3.4.2.1现状描述
■信息化专职人员1名，工作职责包括安全建设、维护、管理；
■有系统集成厂家负责技术支持与技术沟通。
3.4.2.2发现问题
■没有形成体系化的信息安全组织架构，信息安全领导层、信息安全管理层、信息安全执行层分工不明确；
■信息化工作岗位没有明确具体安全工作的职责与义务；
3.4.2.3处置建议
■因法院人员编制问题不能建立信息安全团队，可以通过明确各级领导、中层干部、普通员工的信息安全责任间接建立信息安全组织架构；
3.4.3人员安全管理评估
3.4.3.1现状描述
■内部人员正式编制员工通过国家统一公务员考试与面试审核入职；
■所有不同类型编制的内部人员都签订了保密协议；
■离岗与转岗人员的工作交接都有详细的记录。
3.4.3.2发现问题
■没有对关键岗位人员进行安全管理与工作审计；
■ 没有制定信息安全培训计划，很少进行不同岗位不同层次的安全培训。
3.4.3.3处置建议
■应定期对关键岗位人员进行安全管理与培训教育；
■应制定符合实际工作需求的信息安全知识培训计划，对不同岗位的人员从管理、技术、意识等不同内容进行定期的、系统的培训。
3.4.4系统建设管理评估I
3.4.4.1现状描述
■所有业务系统与网络已经定级并完成备案；
■所有工程项目的方案均正式公开招投标并经过专家组评审；
■所有采购和使用的IT产品均是正规厂家生产的市场主流产品，安全产品全部有正式的公安部销售许可证；
■工程实施过程的质量由厂家和信息化负责人监督控制，并由办公室联合验收。
3.4.4.2发现问题
■项目管理过程文档与记录过于简单，有的项目只有一个进度确认表，没有形成体系化的项目管理机制；
■项目需求到致设计开发没有安全介入，安全防护设计也没有形成第三方单独的方案；
■开发过程为高院统一指定外包商开发，对人员不能进行安全控制；
■没有指定专门的信息安全服务商，而是由项目集成厂家代维安全。
3.4.4.3处置建议
■应形成完善的项目实施与管理文档记录与流程管理体系；
■应形成安全介入机制，做到与信息系统“同步规划、同步设计、同步开发、同步运维”
■应专门指定安全服务商提供技术服务，服务商的选择要符合从业标准，无不良记录。
3.4.5系统运维管理评估
3.4.5系统运维管理评估
3.4.5.1现状描述
■业务系统统一由高院负责运维管理；
■本地维护人员负责设备、网络、环境的运维；
■PC和部分系统运维有外包代维。
3.4.5.2发现问题
■缺乏基于ITL流程的运维管理手段；
■缺乏安全事件的预警机制；
■缺乏安全事件与业务连续性的应急处置计划与应对方案；
没有进行建立安全管理中心进行安全体系统一运作与管理。
3.4.5.3处置建议
■应建立基ITIL流程管理的运维管理手段；
■应形成安全事件的预警与实时监控能力；
■应制定业务连续性应急处置计划与方案并定期开展演练；
■应建立统一的安全管理中心进行安全管理（SOC）。
三级等保综合分析
这部分相当于前面的细化总结
4等保三级差距分析
物理安全
先是物理安全，就是2.0中物理和环境安全
下表内容可以在《GB∕T 22239-2019信息安全技术网络安全等级保护基本要求》中找到相应内容。
网络安全
后面略。。。
三级等保标准网络安全产品清单分析1.0
看看过等保三级需要什么设备
防火墙：特征库不用配，因为内网不好升级，送的另说
入侵检测
行为审计
这三个是必备，其他可以二期。
某法院三级等保项目实战
产品列表
拓扑
上图中少画了用户区，应该是从核心交换机接出来，中间用防火墙隔离。
如果经费允许，出口路由器和核心交换机应该用双核心。不然是要扣分的。
某等保整改规划方案设计（一）
安全技术能力——网络安全建设整改
第一块：结构安全
第一步先要划分区域（物理和环境安全先忽略）即结构安全第一步
外联前置服务器是用来防护真正的服务器的，真正的服务器通常会把数据丢到前置服务器上，用户不能直接访问真正的服务器。在一些安全要求很高的地方经常使用。
上图中，和兴交换区用网闸和外网隔离，最上面有三个服务器区，其中公共服务区放置的是外网需要访问的网站等服务器。
结构安全第二步可以做VLAN。以及第三步做路由控制（OSPF）
第二块 边界安全
边界安全最最最常用的就是防火墙，其次是IPS
网闸右边的外网区域的边界在互联网接入区
客户终端接入区的防火墙可放可不放。
第三块 网络安全审计
客户终端接入区接一个，用于用户审计
核心交换机接一个，用于日志审计
其实互联网接入区也可以接一个，因为这里应该还有一个区域没有画出来
第四块 网络入侵防范
主要是IPS设备，可以在有防火墙的地方就部署一个，但是这样成本有点高，所以服务器区没有放。现在已经部署了六台IPS了。
可以为了节省成本把串行的IPS改为旁挂，这样既可以节省成本，又可以减少误报率，串行误报率还蛮高。旁挂的话，核心交换机和外网交换机各旁挂一个即可。
第五块 网络恶意代码防范
网关防病毒，就是直接用的下一代防火墙，这样防火墙就带防病毒这个功能。
第六块 边界完整性检查
终端安全。主要是用认证软件来解决
第七块 网络设备自身防护
安全加固服务
主要是以上各种安全设备自身的安全。
三级系统安全技术要求一主机安全
■主机系统安全是包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的安全。
■主机安全具体包括：7个控制点
身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、入侵防范（G）、恶意代码防范（G）、资源控制（A）
安全技术能力——主机安全建设整改
第一块 身份鉴别
通过在安全管理区部署CA，使得客户终端接入区的用户登录CA做认证
第二块 主机入侵防范和主机恶意代码防范
主机入侵防范主机恶意代码防范可以通过桌面安全管理（桌管软件）也可以通过类似360等杀毒软件实现，还可以做：
主机加固服务
网络防病毒系统
第三块 剩余信息保护、主机安全审计、主机访问控制、资源控制
主机加固服务
堡垒机：放在安全管理区
数据库审计：旁挂在数据库服务器连接的交换机上
终端管理系统：安装在客户终端上
三级系统安全技术要求一应用安全
■应用系统的安全就是保护系统的各种应用程序安全运行。包括
基本应用，如：消息发送、Web浏览等；
业务应用，如：电子政务等。
■应用安全具体包括：9个控制点
身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）
安全技术能力—应用安全建设整改
第一块 应用身份鉴别、抗抵赖、通信保密性完整性
CA中心
通讯加密（VPN）：如下图所示可以挂在互联网接入区，当然也可以挂在安全管理区，或者挂在核心交换区、或右边那个交换机上
应用软件整改
第二块 应用访问控制、应用安全审计、剩余信息保护、资源控制
涉及的设备：
应用安全加固服务
应用软件整改
Web应用防护（最重要）：可以按图中的部署，也可以按照绿色圆圈的位置部署在网站前面。
运维管理系统：部署在安全管理区。
三级系统安全技术要求一数据安全与备份恢复
■数据安全主要是保护用户数据、系统数据、业务数据的保护。将对数据造成的损害降至最小。
■备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括数据备份、硬件冗余和异地实时备份。
■数据安全和备份恢复具体包括：3个控制点
数据完整性（S）、数据保密性（S）、备份和恢复（A）
安全技术能力——数据安全建设整改
数据保密性、数据完整性、备份与恢复
直接一起讲：
■数据保密性
CA中心、通讯加密（VPN、SSL）
主机加固服务
■数据完整性
CA中心、通讯加密（VPN、SSL）
主机加固服务
■备份与恢复
网络、服务器冗余
备份软件和设备：直接上备份一体机，就是安装好备份软件的服务器。
双机、双链路
基于等级保护的安全建设整改拓扑（总体拓扑）
注意：生产业务区、数据决策分析区和公共服务区的应用系统，大多定为等保三级
