简介一份面向涉密信息系统建设、保密管理及安全运维人员的分级保护方案文档围绕系统分级保护要求解决从网络架构、安全域划分到物理防护措施的落地设计问题。文档以系统总体部署开篇给出服务器区、安全管理区、终端区接入核心交换机的组网模式并结合VLAN、ACL、防火墙桥接、安全访问控制中间件等说明访问控制策略同时细化邮件系统安全级别设置、信息流向控制以及红外对射、红外报警、视频监控、门禁、线路干扰仪、红黑电源隔离插座等物理安全防护建设内容附有部署位置统计表便于直接套用或改造。资源为单个doc文件共2.06MB适合需要编写本单位分级保护方案、迎接保密测评或完善涉密信息系统安全设计的读者参考。已有58人学习下载。1. 分级保护方案到底在保护什么先看懂这套体系的骨架第一次完整把一份《计算机信息系统分级保护方案.doc》从头读到尾的时候我心里其实挺没底的。文档里设备清单列了一大串网闸、防火墙、服务器安全访问控制中间件、违规外联系统、线路干扰仪、红黑电源隔离插座……光是电磁泄漏防护那一章就够研究半天。但这套方案的核心并不在设备数量而在三个字分域防控。网络侧用网闸和 ACL 把 VLAN 切段服务器区用访问控制中间件做应用层过滤终端侧用域控、防病毒和移动介质管理把“人”和“U 盘”都管住。整份 doc 就是一张从物理边界到应用层再到终端的防护网。这篇笔记按交付顺序拆这套方案适合刚接手分级保护项目、或者正打算把这样一份 doc 落到真实机房里的朋友。2. 网络安全域的搭建顺序网闸、防火墙与 ACL 策略怎么落地2.1 网闸部署为什么必须“物理断开”而不是“防火墙隔离”分级保护里最常见的一个理解偏差是把网闸当成一台加了过滤规则的防火墙。文档里写得很清楚网闸部署于主中心及从属中心核心交换机之间启用路由模式从物理层到应用层终结所有的协议包还原成原始应用数据再以完全私有的方式传递到另一个网络。关键结论是主中心与从属中心在任一时刻点上都不产生直接的物理连通。落地时策略是这样配的允许从属中心特定地址访问主中心所有服务器其他地址只允许访问公司内部门户以及人力资源系统内部门户的 SQL Server 数据库服务器单独放行除以上三项禁止所有其他访问方式。网闸本身还承担病毒扫描对流经的数据做安全检查。管理方式强制改成 HTTPS避免管理流量明文暴露在业务链路上。访问方向源地址目的资源动作从属中心 → 主中心特定授权地址段主中心所有服务器允许从属中心 → 主中心其他地址内部门户、人力资源系统允许从属中心 → 主中心其他地址门户 SQL Server 数据库仅允许指定端口从属中心 → 主中心任意其他服务禁止注意这张表是“默认拒绝、按需放行”的思路。有人图省事配了双向全放等于把网闸退化成了一台普通路由器分保验收时这是必查项。设备两侧的管理口要独立规划地址段不要和业务 VLAN 混在一起。2.2 防火墙透明模式桥接部署中的 VLAN 与过滤配置防火墙这台设备在方案里的角色比较特殊它部署在从属中心限制从属中心终端访问机密级服务器的权限并且记录所有与服务器区交互的日志。主中心那台原有防火墙保持不动避免影响现有业务。从属中心这台的关键在于eth1 口、eth2 口设置为透明模式配置桥接口 fwbridge0 的 IP 地址用于管理打开多 VLAN 开关打开 TCP、UDP、ICMP 广播过滤。日志数据库安装在安全管理服务器上不在本地存储。透明模式的最大好处是网络结构零改动防火墙像一根网线一样串进链路不需要调整终端网关和交换机路由。代价是排错时容易“看不见”它所以管理地址必须独立规划。常见配置示意如下具体命令行以现场设备型号为准# 将 eth1、eth2 加入二层桥启用透明模式以常见防火墙 CLI 为示意 interface eth1 bridge enable interface eth2 bridge enable # 为桥接口配置管理地址管理流量走独立管理网段 bridge fwbridge0 ip address 192.168.200.254/24 # 开启多 VLAN 透传与广播过滤 bridge vlan-aware enable bridge broadcast-filter enable这段配置里前两行把两个业务口做成透明桥fwbridge0 只承载管理流量不参与业务转发多 VLAN 开关打开后业务 VLAN 才能原样穿过防火墙否则跨 VLAN 流量会被当作未知帧丢掉。广播过滤打开是为了防止广播风暴灌入服务器区。部署后第一件事是验证桥接本身通不通再逐步加访问控制策略不要一上来就把所有过滤规则堆上去。2.3 核心交换机 ACL禁止部门间 VLAN 互访的写法整个网络域的骨架是核心交换机划分 VLAN、配置三层网关然后通过 ACL 实现“禁止部门间 VLAN 互访允许部门 VLAN 与服务器 VLAN 通信”。服务器安全访问控制中间件和防火墙上也设置相同的 ACL 策略形成三层防护。核心交换机还要把数据镜像到入侵检测系统以及网络安全审计系统这是旁路审计的基础。ACL 的配置逻辑是同时在源和目的两个方向阻断否则只写一条反向规则部门间还是可能单向越权。下面是一段示意配置IP 段按现场实际 VLAN 网段替换# 核心交换机 VLAN 间 ACL 示意以 H3C/华为风格为例 acl number 3001 rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 20 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 30 permit ip source 192.168.0.0 0.0.255.0 destination 192.168.100.0 0.0.0.255rule 10 和 rule 20 是成对出现的部门间互斥规则。rule 30 放行所有业务网段访问服务器网段 192.168.100.0/24这是核心业务通路。注意 ACL 里用的是反掩码0.0.0.255 对应 24 位掩码写错会导致规则完全失效。ACL 挂载位置建议放在 VLAN 虚接口的 inbound 方向先过滤进入的流量减少无效转发。镜像配置同样在这台交换机上完成把上联口流量复制一份给审计设备# 核心交换机端口镜像示意 mirroring-group 1 local mirroring-group 1 mirroring-port gi1/0/1 both mirroring-group 1 monitor-port gi1/0/2这里 gi1/0/1 是业务上联口gi1/0/2 接入侵检测或网络安全审计设备。镜像方向用 both同时复制收发流量。如果审计设备要还原 HTTP、邮件这类应用协议镜像口不能只接在一个 VLAN 下否则跨 VLAN 流量抓不全。3. 服务器区防护应用中间件、邮件密级流向与审计策略3.1 服务器群组安全访问控制中间件的透明桥接部署主中心和从属中心各部署一台服务器群组安全访问控制中间件串在服务器区前端防护对象是主中心的 XXX 系统、XXX 门户以及从属中心的 XXX 系统。它的功能和防火墙有区别防火墙看 IP、端口中间件直接识别应用协议做身份认证、邮件转发控制、网络审计和邮件审计。终端之间的数据流动被设计成以服务器为跳板进行驻留转发所以中间件卡在服务器入口就能把每一笔访问都管住。部署方式同样是 eth1、eth2 透明桥接启用桥接口管理。透明模式保证服务器 IP 不发生变化业务系统不用改配置。上线前先梳理防护清单明确哪些系统走中间件、哪些走防火墙避免同一套系统被串了两层策略出现访问抖动。中间件上要设置不同用户访问服务器资源的权限并记录所有与服务器区交互的日志。实际项目中建议先跑一周审计模式只记录不阻断观察正常业务的访问基线再逐步切到强制模式。直接上阻断策略的翻车概率很高尤其是老系统存在客户端随机端口访问的情况。3.2 邮件密级流向控制1-7 级用户组与 25/110 端口邮件系统在方案里承担集团内部的公文流转和协同工作内网终端用 C/S 模式登录走 SMTP 协议的 25 端口和 POP3 协议的 110 端口。安全控制的核心不是端口本身而是邮件流向的密级控制。中间件里把邮件账号划分到不同用户组对应 1-7 级安全级别1 级最低7 级最高。控制规则是低密级用户可以向高密级用户发送邮件高密级用户不得向低密级用户发送。这个规则和我们平时的直觉相反——一般会认为高密级权限更高应该什么都能发但分级保护恰恰不允许高密级内容流向低密级用户。发件人密级收件人密级动作1-6 级7 级允许7 级1-6 级拒绝并记录审计日志同级同级允许落地时最容易漏掉的是“抄送人”和“密送人”。如果收件人级别合法但抄送人级别低按方案要求照样要拦。另一种做法是给中间件配邮件特征解析规则扫描正文和附件名中的敏感关键字命中即拦截。审计字段至少包含发件人、收件人、抄送人、主题、附件名这些信息用于事后追溯。3.3 关键字过滤与审计策略的配置思路方案里提到的审查关键字机制是由保密办制定关键字表信息中心在中间件和防火墙上同步下发。关键字过滤的粒度控制在中间件上比防火墙更合适因为中间件看到的都是服务器往来流量过滤命中率高误伤面小。防火墙上的关键字过滤可以当作第二道防线两边用同一套关键字表但动作可以不同防火墙侧只记录不阻断中间件侧阻断的同时告警。网络审计功能记录内部用户和服务器区域的数据交换信息审计应用访问日志。数据库安全这块中间件还需要记录对数据库服务器的访问请求。建议把审计日志单独导出到安全管理服务器中间件本地只保留最近七天的日志。方案里对日志保留有明确要求备份频率按《XX 公司服务器群组安全访问控制中间件运维管理制度》执行。4. 物理安全与电磁泄漏红外、门禁、干扰仪的参数与部署坑4.1 红外对射与红外报警响应时间怎么算红外对射设备成对出现在安装地点双向对置调整至相同水平位置。它工作时的遮光报警阈值是按人体特征算出来的以 10 米/秒的运动速度确定最短遮光时间取人体宽度 20 厘米那么最短遮断时间是 20 毫秒。大于 20 毫秒报警小于 20 毫秒不报警。这个阈值是为了滤掉飞鸟、落叶这类快速穿过光束的小物体。最短遮光时间 遮光体宽度 / 运动速度 0.2 m / 10 m/s 0.02 s 20 ms参数设置时注意这个 20 毫秒是理论最低值。现场如果安装在围墙顶部风大时树枝晃动可能频繁触发我会把响应时间适当调大到 30-40 毫秒但要确保人的步行速度约 1.5 m/s穿过时仍能稳定触发。红外报警则是检测人体发出的 37℃ 特征性 10µm 波长红外线。安装高度距地面约 2.2 米避开空调、暖气等空气温度变化敏感的地方不隔屏风、家具或其他隔离物不直对窗口防止窗外的热气流扰动和人员走动引起误报。4.2 视频监控参数选择与存储容量估算室外采用云台枪机式设备室内采用半球式设备部署在房间墙壁角落覆盖门窗及重点区域。方案里明确视频采集格式为 MPEG-4显示分辨率 768×576存储、回放分辨率 384×288。32 路嵌入式硬盘录像机负责采集和压缩存档。存储容量的估算我一般按单路每小时 400MB 至 600MB 来粗算MPEG-4 的 CIF 分辨率码率约在 512kbps 到 1Mbps 之间。按这个区间计算32 路全天录像一天的存储量约 300GB 到 460GB存 30 天需要 10TB 到 14TB 左右再加 20% 冗余。如果现场要求更高画质得换用主码流存储、子码流回放的模式容量翻倍。硬盘录像机建议单独划分一个存储 VLAN避免录像数据流占用业务带宽。参数项方案值说明采集格式MPEG-4压缩后存档节省存储显示分辨率768×576实时预览用存储/回放分辨率384×288降低存储压力录像机路数32 路覆盖厂区周界与要害部位4.3 门禁系统紧急模式与防尾随的落地细节门禁系统覆盖保密要害部门部位的人员出入控制采用智能 IC 卡和口令相结合的管理方式即密码加读卡双重认证。每个通道单独设置权限制作门禁卡授权特定人员在指定时间段内进出。系统实时提供每个门区人员的进出情况和门区状态包括门的开关以及各种非正常状态报警。两个容易忽略的点。第一是紧急状态功能要设置紧急情况下打开或关闭所有门区的开关火灾疏散时强制放行防入侵演练时一键锁死。第二是防尾随功能常见做法是双门缓冲加红外探测前一个门未关闭时后一个门无法打开防止无卡人员跟随进入。现场实施时门禁主机和电锁要接在 UPS 后面断电时电锁自动落锁还是自动开锁必须和保密办提前确认口径。4.4 线路干扰仪、视频干扰仪与红黑电源隔离插座的部署细节这三类设备都用于电磁泄漏防护。线路干扰仪是 8 口设备将从交换机引至布线最远端以及次远端的线缆插接至干扰仪。它的工作原理是在网线的一对空线对上注入伪随机宽带扫频加扰信号跟随其他三对网线上的信号并行传输到另一终端。窃密者从网线或与之平行的电话线、电源线上窃取信息时得到的只是被加扰信号充分湮没的混合信号。设备必须接地处理否则加扰信号会变成辐射源。视频干扰仪防护的是涉密终端视频信息的电磁窃取设置运行频率 1000MHz。红黑电源隔离插座防护电源线传导泄漏涉密终端、服务器、UPS 都要接到红黑电源上且红黑电源上不得插接其他设备。这三类设备的管理权都在信息中心需要编号、标识密级、摆放固定定期检查接地是否松动。实测中最常出现的问题是干扰仪和红黑电源接地不规范地线虚接会导致防护效果直接归零。5. 终端与介质管理避坑域控、升级包与 U 盘管控的高频翻车点5.1 域控与 WSUS从本地管理员到统一策略主中心和从属中心各部署一套 AD 主域控制器和备份域控制器共两套另建 IIS 服务器安装 WSUS提供系统补丁强制更新服务。这里的关键动作是“收回终端本地账号权限”所有内网终端只能使用管理员下发的域成员用户登录系统不能再用本地管理员账户。组策略负责指定不同安全域用户口令的复杂性、长度、使用周期和锁定策略并指定每一个用户可登录的机器。机密级终端需要将 USB-KEY 令牌与域用户登录结合使用形成双因子鉴别。组策略里还会隐藏用户无用的桌面图标删除“开始”菜单中的“运行”和“搜索”功能减少终端上执行未知程序的机会。WSUS 的补丁导入链路是从官方漏洞发布页下载完整补丁程序通过中间机系统导入涉密信息系统再在 WSUS 服务器端导入下发强制修复策略。这块踩坑最多的是本地管理员权限没收干净。终端加域后如果本地 Administrator 口令没统一重置用户重启切换到本地账户就能绕过域策略后续所有安全策略全被架空。我一般会在域策略里加一条“拒绝本地账户登录”并批量重置终端本地管理员口令。5.2 防病毒系统的离线升级路径防病毒系统采用客户端加服务器结构杀毒中心安装在安全管理服务器上设置 admin 密码并将注册信息输入控制中心。方案里有两个数量口径网络版 26 个服务器端、419 个客户端单机版 226 个终端覆盖中间机、单机及便携式计算机。杀毒中心连接在核心交换机的 access 接口上二层划分独立 VLAN确保防病毒系统与各个业务 VLAN 通过三层通信而不是二层广播泛洪。离线升级链路是这份方案里最值得照抄的部分在非涉密计算机上从互联网下载最新的防病毒升级包刻制成光盘将光盘上的升级包通过非涉密中间机导入到涉密光盘带入涉密内网的防病毒服务器利用服务器提供的接口导入升级包再强制更新每一台客户端。升级频率要求病毒特征库每周至少升级一次全网杀毒扫描每天计划不少于一次。5.3 移动介质管理与光盘刻录审计移动介质管理系统的部署结构是一台单机作为系统管理机安装涉密移动存储介质保密管理系统及审计平台全系统共部署 30 个客户端。管理动作覆盖移动存储介质的整个生命周期注册登记、授权、定密、发放、收回、销毁、删除。介质采取全盘加密技术防止格式化 U 盘后进行数据恢复。这个设计解释了为什么终端安全登录策略里没有一刀切禁用 USB 存储——因为公司内部的移动介质已经通过管理系统做了注册授权和全盘加密U 盘的失控风险被转移到管理系统上。光盘刻录监控与审计系统用于对刻录行为做监控和审计。常见做法是刻录前走申请审批流程刻录时记录光盘内容摘要、刻录人、刻录时间出盘时登记盘号。中间机负责人要严格遵守管理制度使用中间机需要申请、审批、登记摆渡内容恶意程序辅助检测系统则负责防止摆渡介质携带的恶意程序及木马进入涉密网。5.4 三条高频踩坑记录踩坑一网闸部署后仍然存在物理连通路径。现象是从属中心的管理终端能直接访问到主中心管理网段和方案要求的“任一时刻无直接物理连通”矛盾。原因是网闸两侧管理口被划进了业务 VLAN等于在物理隔离设备旁开了一条管理旁路。解决方法是管理口单独划分管理 VLAN访问方式限定为 HTTPS并确认两侧路由表里不存在指向对端物理网段的直连路由。踩坑二防火墙透明模式一启用全网不通。现象是 eth1、eth2 配置桥接后业务终端访问服务器全部超时。原因是打开多 VLAN 开关之后没有把业务 VLAN 放进桥的转发列表二层帧被丢弃。解决方法是先以交换机模式把桥口加入所有业务 VLAN验证二层连通后再启用访问控制策略逐条下发。踩坑三红外报警设备频繁误报。现象是每天固定时间报警值班人员到场确认无入侵。原因是安装位置离空调送风口太近气流变化干扰了热释电探测。解决方法是按方案要求重新选址避开空调、暖气、门窗等空气温度变化敏感的位置报警主机安装在墙壁角落离地 2.2 米不直对窗口。踩坑四防病毒离线升级包在中间机上被恶意程序辅助检测系统拦截。现象是非涉密机上下载的升级包制成光盘后在涉密中间机导入时提示检测到未知驱动加载。原因是升级包内包含驱动级文件辅助检测系统按“未知驱动禁止加载”的策略拦了。解决方法是提前在测试机上验证升级包数字签名通过后导入时在辅助检测系统里走白名单审批流程。6. 分级保护方案的验证方法从自检清单到整改闭环方案交付后不能只看设备面板指示灯要主动做验证。我习惯按四个层面过一遍自检清单。网络侧在核心交换机镜像口抓包确认部门间 VLAN 的流量被 ACL 丢弃部门 VLAN 到服务器 VLAN 的流量正常转发。抓包命令可以用 tcpdump 在镜像口上做针对性过滤。# 在审计设备上验证部门A到部门B的通信是否被ACL拦截示意 tcpdump -i eth0 host 192.168.10.10 and 192.168.20.10应用侧验证邮件密级流向用低密级账号向高密级账号发测试邮件预期成功用高密级账号向低密级账号发测试邮件预期被中间件拦截并生成审计日志。物理侧做一次红外对射遮光测试记录从遮挡到报警的时间确认 20 毫秒阈值范围内的触发情况门禁系统做一次尾随测试确认双门互锁生效。终端侧用域策略结果命令检查客户端是否收到最新组策略确认 USB-KEY 双因子登录已启用。# 在Windows终端上确认域策略已生效 gpresult /r实际项目里还有一个容易忽视的环节是日志的闭环。每周巡检要查看设备配置、设备自身运行状态、转发数据量状态、系统日志发现异常及时通报保密办并查找原因。从那以后我每次做分级保护交付都强制把这份自检清单从头到尾走一遍尤其是邮件高密级往低密级发送的拦截测试这条没过整改就是一句空话。希望帮到你。本文还有配套的精品资源点击获取