项目背景
随着XX市围绕着“智慧城市”建设规划有序的推进数字化和智慧化转型，信息化服务和形式也更加的多元化，政务云平台、基于大数据分析与决策一体化的XX市智能指挥中心等信息基础设施的建设，以及未来智慧交通、智慧医疗、智慧环保、智慧金融等智慧化应用的开展，信息网络环境日益复杂，所面临的网络安全形势也愈加严峻，对XX市管理者的能力要求也越来越高。XX市在享受数字化所带来诸多便利的同时，也面临着由数字化所带来的诸多风险，对信息系统的依赖程度不断增加，网上信息价值不断增大，信息安全问题也日渐凸现。同时随着国内外安全形势日趋严峻、《网络安全法》的实施以及等保2.0标准，无论是合规性、业务系统监管和防护还是安全运营管理，都面临新的挑战。
为了贯彻国家对重要信息系统安全保障工作的要求以及等级化保护“坚持积极防御、综合防范”的方针，全面提高信息安全防护能力，XX市安全建设需要进行整体安全体系规划设计，全面提高信息安全防护能力，创建安全健康的网络环境，保护国家利益，促进XX市信息化的深入发展。
本方案以XX市智能指挥中心的整体信息系统建设为基础，分析安全建设需求，结合国家等级保护建设规范、网络安全法而编制，为XX市智能指挥中心的信息安全合规性建设、业务监管和防护、安全运营管理和机制建设提供指导。
需求分析
安全计算环境需求分析
根据前期差距分析结果，该信息系统如果想达到等级保护三级关于安全计算环境的要求，还需要满足以下需求：
终端检测与响应：该信息系统需要建设完善的检测与响应机制，需要在各终端配置终端检测与响应软件
安全区域边界需求分析
根据前期差距分析结果，该信息系统如果想达到等级保护三级关于安全区域边界的要求，还需要满足以下需求：
安全区域划分：未划分安全域，一旦攻击者入侵一台电脑，即可进行全网横向攻击。
互联网出口安全：该信息系统需要实现对边界的访问控制，需要部署安全网关类设备来实现。
WEB安全防护：需要专业的web安全防护设备，对攻击者利用web系统进行的攻击进行防护
安全管理中心需求分析
根据前期差距分析结果，该信息系统如果想达到等级保护三级关于安全管理中心的要求，还需要满足以下需求：
安全态势感知平台：该信息系统无法实现对外部未知威胁、内部横向威胁、内网资产风险的检测、排查、预警、防护策略下发能力，需要部署专业的安全态势感知平台来实现。
APT攻击防护平台：该信息系统无法实现对未知APT攻击（例如异常访问、非法攻击、恶意病毒、网页木马、0day样本）的防护和预警能力，需要部署专业的APT攻击防护预警平台来实现。
日志审计系统：该信息系统无法实现对相关服务器、网络设备及安全设备的日志审计功能，需要部署日志审计系统来实现。日志审计系统具有全面的智能收集日志功能；对各种安全事件日志(攻击、入侵、异常)、各种行为事件日志(内控、违规)、各种弱点扫描日志(弱点、漏洞)、各种状态监控日志(可用性、性能、状态)的标准化收集和关联分析
运维管理：由于XX市智能指挥中心业务不断扩展等因素，在XX市智能指挥中心中的服务器及各种网络设备的不断增加，对目标主机的管理必须经过各种认证和登录过程。在某个主机及账户被多个管理人员共同使用的情况下，引发了如帐号管理混乱、授权关系不清晰、越权操作、数据泄漏等各类安全问题，并加大了IT内控审计的难度，需要专业的运维管理设备保障运维管理安全
统一数据库审计平台：该信息系统需要实现对业务系统数据库，如OA系统、ERP系统等应用系统的数据库信息及日志进行审计功能，需要部署数据库计系统来实现。
网络安全审计：该信息系统缺少对内部终端上网行为的审计，对网络中的网络社区、P2P/IM带宽滥用、网络游戏、炒股、网络多媒体、非法网站访问等行为进行精细化识别和控制，需要部署网络安全审计设备。
规划建议
安全规划建设拓扑
设计思路
依据国家信息安全等级保护制度和信息保障技术框架，根据系统在不同阶段的需求、业务特性及应用重点，采用层次化与区域化相结合的安全体系设计方法，帮助构建一套覆盖全面、重点突出、节约成本、持续运行的安全防御体系。
根据安全保障体系的设计思路，安全域保护的设计与实施通过以下步骤进行：
安全域设计：通过分析系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架；
安全保障体系框架设计：根据安全域框架，设计系统各个层次的安全保障体系框架（包括策略、组织、技术和运作），各层次的安全保障体系框架形成系统整体的安全保障体系框架；
确定安全域安全要求：参照国家相关等级保护安全要求，设计等级安全指标库。通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标；
评估现状：根据各区域安全要求确定各安全等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的风险评估。通过风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据；
安全技术解决方案设计：针对安全要求，建立安全技术措施库。通过风险评估结果，设计系统安全技术解决方案；
安全管理建设：针对安全要求，建立安全管理措施库。通过风险评估结果，进行安全管理建设。
通过如上步骤，信息系统安全可以形成整体的安全保障体系，同时根据安全技术建设和安全管理建设，保障系统整体的安全。
安全规划方案详细设计
主机防病毒设计
针对病毒的风险，通过部署主机防病毒软件进行管控，同时实现对于主机安全-恶意代码防范的要求，要求在服务器上部署网络防病毒系统，加强主机的病毒防护能力并及时升级恶意代码软件版本以及恶意代码库，本方案设计在内网服务器终端设备部署主机安全及管理系统。
在网络边界通过下一代防火墙进行基于通信端口、带宽、连接数量的过滤控制，可以在一定程度上避免蠕虫病毒爆发时的大流量冲击。同时，防毒系统可以为安全管理平台提供关于病毒威胁和事件的监控、审计日志，为全网的病毒防护管理提供必要的信息。
主机安全加固
通过服务器安全加固，启用服务器操作系统本身的审计功能，实现对于主机层面的安全审计要求。
边界安全加固
在XX市智能指挥中心系统边界处部署下一代防火墙，对外部网络黑客利用防火墙为合法的用户访问而开放的端口穿透防火墙对内网发起的各种高级、复杂的攻击行为进行检测和阻断。网络入侵防护系统作为一种在线部署的产品，提供主动的、实时的防护，其设计目标旨在准确监测网络异常流量，自动对各类攻击性的流量，IPS系统工作在第二层到第七层，通常使用特征匹配和异常分析的方法来识别各种网络攻击行为，尤其是应用层的威胁进行实时阻断，而不是简单地在监测到恶意流量的同时或之后才发出告警。
应用层安全加固
在XX市智能指挥中心系统边界处部署下一代防火墙，对外部网络黑客利用防火墙为合法的用户访问而开放的端口穿透防火墙对内网发起的各种高级、复杂的攻击行为进行检测和阻断。网络入侵防护系统作为一种在线部署的产品，提供主动的、实时的防护，其设计目标旨在准确监测网络异常流量，自动对各类攻击性的流量，IPS系统工作在第二层到第七层，通常使用特征匹配和异常分析的方法来识别各种网络攻击行为，尤其是应用层的威胁进行实时阻断，而不是简单地在监测到恶意流量的同时或之后才发出告警。
未知威胁检测设计
APT（Advanced Persistent Threat）高级持续性威胁，是利用先进的攻击手段对特定目标进行长期持续性的网络攻击的攻击形式。通常由具备国家背景或组织背景的黑客团体发起，他们组织严密、目标明确、手段高超、危害巨大。APT攻击中针对被攻击目标对象的特定应用和系统，往往会制作或投放包含针对性的0day漏洞利用的恶意代码样本，传统的杀毒软件、防毒墙、IPS、IDS、防火墙等设备都只能检测基于已知安全漏洞及恶意代码特征的部分攻击行为，无法检测利用0day漏洞进行渗透的攻击。
本方案通过在XX市智能指挥中心系统部署APT攻击预警平台对XX市智能指挥中心系统全流量进行威胁探测，APT攻击预警平台针对弱点探测、渗透入侵、获取权限、命令与控制、数据盗取整个APT攻击链中的攻击行为都具备检测能力。同时基于双向流量的解析机制，实时发现由外到内和由内到外的网络攻击行为。产品基于丰富的特征库、全面的检测策略、智能的机器学习、高效的沙箱动态分析、海量的威胁情报，能实时发现网络中发生的各种已知威胁和未知威胁，检测能力完整覆盖整个APT攻击链，保障XX市智能指挥中心系统具有良好的未知威胁检测能力。
建立安全运维去区
通过集中部署安全管理设备建设内网安全运维管理区域，实现安全运维管理的要求。
安全运维管理区设计如下：
日志审计
在XX市智能指挥中心系统安全管理区部署一台日志审计平台对全网的网络设备、安全设备、主机和应用系统日志进行全面的标准化处理，及时发现各种安全威胁、异常行为事件，为管理人员提供全局的视角，确保客户业务的不间断运营安全，为XX市智慧城市系统提供符合标准的全维度、跨设备、细粒度的日志分析，透过事件的表象真实地还原事件背后的信息，为XX市智能指挥中心系统提供真正可信赖的事件追责依据和业务运行的深度安全。同时提供集中化的统一日志管理平台，将所有的日志信息收集到平台中，实现信息资产的统一管理、监控资产的运行状况，协助XX市智能指挥中心系统全面审计信息系统整体安全状况。
堡垒机
通过在安全管理区部署运维审计与风险控制系统，对XX市智能指挥中心系统运维人员的操作进行审计与监控，解决XX市智能指挥中心系统在运维安全方面存在的安全隐患，做到审计有据可查，问题有法可究。运维审计与风险控制系统能够通过精细全面的审计功能记录所有运维会话，以充足的审计数据方便事后查询和追溯，从而解决了XX市智能指挥中心系统众多服务器、网络、安全设备在运维过程中所面临的“越权使用、权限滥用、权限盗用”等安全威胁，极大的保护了客户内部网络设备及服务器资源的安全性，使得XX市智能指挥中心系统的网络管理合理化、专业化和高效化，并能够满足各类法令法规对运维审计的要求，使XX市智慧城市系统具备全方位运维风险控制能力的统一安全管理与审计能力。
数据库安全审计
通过部署明御数据库审计与风险控制系统，实现对XX市智能指挥中心系统用户行为、用户事件及系统状态加以审计，范围覆盖到每个用户，从而把握数据库系统的整体安全。
态势感知
经过基础设备方案的建设，XX市智能指挥中心部署了防火墙、防病毒系统、日志审计系统、运维审计系统等，构建起了一道道安全防线。然而，这些安全防线都仅仅抵御来自某个方面的安全威胁，形成了一个个“安全防御孤岛”，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，形成了大量“信息孤岛”。有限的安全管理人员面对这些数量巨大、彼此割裂的安全信息，操作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。
所以，通过部署态势感知安全平台，利用建设部署的日志审计平台做为日志采集探针、APT攻击预警平台作为流量采集探针，实现安全类、管理类、流量数据以及资产、用户的基本数据的采集、标准化和集中化存储，建立安全大数据中心，并在安全大数据中心的基础上建立安全态势感知与预警平台，实现全网的安全要素分析、安全威胁事件联动分析、异常行为快速发现的能力以及实现整体网络的安全态势可视化能力和整体网络环境安保能力综合评估。通过大数据态势感知平台为管理人员提供全局的视角，确保XX市智能指挥中心业务的不间断运营安全。
网络安全审计
通过在安全管理区部署网络安全审计设备，能对网络中的网络社区、P2P/IM带宽滥用、网络游戏、炒股、网络多媒体、非法网站访问等行为进行精细化识别和控制。并利用智能流控、智能阻断、智能路由等技术，配合创新的社交网络上网行为审计功能、清晰易用的管理日志功能等，提供全面、完善的上网行为审计解决方案。从而保障网络关键应用和服务的带宽，对网络流量、用户上网行为进行深入分析与全面的审计，为XX市智能指挥中心全面了解网络应用模型和流量趋势、优化带宽资源、顺利开展网络业务提供有力的支撑。
预期成果
总体价值
通过对整体网络规划，使XX市智能指挥中心系统内外网环境符合等级保护2.0的建设要求，合法合规，同时通过此次建设，使XX市智能指挥中心系统对内外网安全风险具备安全感知能力，且可以对突发及持续安全事件有整体防护能力，保障XX市智能指挥中心系统应用业务系统的安全运行，在合规合法建设的同时为业务资产安全提供强有力的保障。
提升安全管理水平
本方案规划通过对全网段存活资产识别、端口识别，确保所有资产可控，并对业务系统进行安全事件关联分析，发现异常点和残余风险。通过定期报告，及时发现最新的安全漏洞隐患，及时处置，能够保证将安全事件的影响降到最低。通过人员安全培训，结合项目实践，能够切实提高运维人员安全能力。平台帮助XX市智能指挥中心实现以下安全管理目标。
帮助XX市智能指挥中心系统满足落实《网络安全法》《等保2.0》等政策法规的相关要求，建设安全管理中心。
帮助XX市智能指挥中心系统统一监管全网环境安全风险，整合安全要素，打破数据孤岛、能力孤岛。
帮助XX市智能指挥中心系统提升面对重大活动的应急保障能力，为重大活动提供专项检测、实时监测、应急处置等能力，协助安全服务人员完成网络安全保障使命。
加强安全资源整合能力
本方案规划通过态势感知构建安全数据中台对全网安全数据进行统一管理，提升数据对业务前台的支撑能力，降低数据体系重复建设、数据不一致等问题导致的成本浪费，最大化安全数据价值，赋能安全业务决策。
通过构建安全能力中台对安全能力进行集中调度编排，整合现网安全能力，提升安全设备协同作战能力。同时，借助安全能力中台建设，从识别、防护、检测、响应四个维度进行缺失能力发现补齐，打造全方位网络安全纵深体系。
强化日常安全运营闭环
本方案规划通过态势感知的剧本编排，实现安全事件自动化响应，形成威胁发现、智能研判和响应处置的安全运营闭环处置流程，释放安全管理人员手动处置威胁负担，帮助XX市智能指挥中心系统解决威胁发现不及时、安全响应滞后等问题，同时也帮助安全管理人员提升运维效率。
同时通过定期输出《深度威胁分析报告》、《内部威胁报告》等在海量告警中，分析提炼出关键事件，把人工不可能完成的工作任务变成轻松完成，避免重要的安全事件被海量告警淹没。