根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。当然，安全域的划分不能单纯从安全角度考虑，而是应该以业务角度为主，辅以安全角度，并充分参照现有网络结构和管理现状，才能以较小的代价完成安全域划分和网络梳理，而又能保障其安全性。对信息系统安全域（保护对象）的划分应主要考虑如下方面因素：

1. 业务和功能特性

? 业务系统逻辑和应用关联性

? 业务系统对外连接：对外业务，支撑，内部管理 2. 安全特性的要求

? 安全要求相似性：可用性、保密性和完整性的要求，如有保密性要求的

资产单独划区域。

? 威胁相似性：威胁来源、威胁方式和强度，如第三方接入区单独划区域。 ? 资产价值相近性：重要与非重要资产分离，如核心生产区和管理终端区

分离。 3. 参照现有状况

? 现有网络结构的状况：现有网络结构、地域和机房等 ? 参照现有的管理部门职权划分

7.3.2 安全域划分与说明

根据xx单位的实际情况，将安全域划分为如下几个： ? xxx域，承载什么内容，什么作用。 ? xxx域，承载什么内容，什么作用。

25

? xxx域，承载什么内容，什么作用。 ? xxx域，承载什么内容，什么作用。

7.4 安全技术体系设计

7.4.1 机房与配套设备安全设计

机房与配套设备安全策略的目的是保护网络中计算机网络通信有一个良好的电磁兼容工作环境，并防止非法用户进入计算机控制室和各种偷窃、破坏活动的发生。

? 机房选址

机房和办公场地选择在具有防震、防风和防雨等能力的建筑内。机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

? 机房管理

机房出入口安排专人值守，控制、鉴别和记录进入的人员；

需进入机房的来访人员须经过申请和审批流程，并限制和监控其活动范围。 对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；

重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 ? 典型产品推荐：电子门禁系统、视频监控系统 ? 机房环境

合理规划设备安装位置，应预留足够的空间作安装、维护及操作之用。房间装修必需使用阻燃材料，耐火等级符合国家相关标准规定。机房门大小应满足系统设备安装时运输需要。机房墙壁及天花板应进行表面处理，防止尘埃脱落，机房应安装防静电活动地板。

机房安装防雷和接地线，设置防雷保安器，防止感应雷，要求防雷接地和机

26

房接地分别安装，且相隔一定的距离；机房设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。配备空调系统，以保持房间恒湿、恒温的工作环境；在机房供电线路上配置稳压器和过电压防护设备；提供短期的备用电力供应，满足关键设备在断电情况下的正常运行要求。设置冗余或并行的电力电缆线路为计算机系统供电；建立备用供电系统。铺设线缆要求电源线和通信线缆隔离铺设，避免互相干扰。对关键设备和磁介质实施电磁屏蔽。

? 典型产品推荐：消防系统、屏蔽机柜、电力供应系统、空调、环境监控

系统

? 设备与介质管理

为了防止无关人员和不法分子非法接近网络并使用网络中的主机盗取信息、破坏网络和主机系统、破坏网络中的数据的完整性和可用性，必须采用有效的区域监控、防盗报警系统，阻止非法用户的各种临近攻击。此外，必须制定严格的出入管理制度和环境监控制度，以保障区域监控系统和环境监控系统的有效运行。对介质进行分类标识，存储在介质库或档案室中。利用光、电等技术设置机房防盗报警系统；对机房设置监控报警系统。

? 典型产品推荐：保密柜

7.4.2 计算环境安全设计 7.4.2.1 身份鉴别

身份鉴别可分为主机身份鉴别和应用身份鉴别两个方面： 主机身份鉴别：

为提高主机系统安全性，保障各种应用的正常运行，对主机系统需要进行一系列的加固措施，包括：

? 对登录操作系统和数据库系统的用户进行身份标识和鉴别，且保证用户

27

名的唯一性。

? 根据基本要求配置用户名/口令；口令必须具备采用3种以上字符、长度

不少于8位并定期更换；

? 启用登陆失败处理功能，登陆失败后采取结束会话、限制非法登录次数

和自动退出等措施。

? 远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。 ? 对主机管理员登录进行双因素认证方式，采用USBkey+密码进行身份鉴

别

应用身份鉴别：

为提高应用系统系统安全性应用系统需要进行一系列的加固措施，包括： 对登录用户进行身份标识和鉴别，且保证用户名的唯一性。

根据基本要求配置用户名/口令，必须具备一定的复杂度；口令必须具备采用3种以上字符、长度不少于8位并定期更换；

启用登陆失败处理功能，登陆失败后采取结束会话、限制非法登录次数和自动退出等措施。

应用系统如具备上述功能则需要开启使用，若不具备则需进行相应的功能开发，且使用效果要达到以上要求。

对于三级系统，要求对用户进行两种或两种以上组合的鉴别技术，因此可采用双因素认证（USBkey+密码）或者构建PKI体系，采用CA证书的方式进行身份鉴别。

? 典型产品推荐：xx公司CA系统，远程用户登录使用深信服SSL VPN

7.4.2.2 访问控制

三级系统一个重要要求是实现自主访问控制和强制访问控制。自主访问控制

28