等級保護測評網絡安全

1、精品文檔A.1全局性項目安全測評項符合子類結果記錄情況a) 應保證主要網絡設備的業(yè)務處理能力具備冗余空間， 滿足業(yè)務高峰期需要；b) 應保證網絡各個部分的帶寬滿足業(yè)務高峰期需要；c) 應在業(yè)務終端與業(yè)務服務器之間進行路由控制建立安全的訪問路徑；結 構安全d) 應繪制與當前運行情況相符的網絡拓撲結構圖；e) 應根據(jù)各部門的工作職能、 重要性和所涉及信息的重要程度等因素， 劃分不同的子網或網段， 并按照方便管理和控制的原則為各子網、 網段分配地址段；f) 應避免將重要網段部署在網絡邊界處且直接連接外部信息系統(tǒng)， 重要網段與其他網段之間采取可靠的技術隔離手段；g) 應按照對業(yè)務服務的重要次序來指定帶

2、寬分配優(yōu)先級別， 保證在網絡發(fā)生擁堵的時候優(yōu)先保護重要主機。訪 問 a) 應在網絡邊界部署訪問控制設備，控制 啟用訪問控制功能；a) 應能夠對非授權設備私自聯(lián)到內邊 界部網絡的行為進行檢查，準確定出位完 整置，并對其進行有效阻斷；性 檢b) 應能夠對內部網絡用戶私自聯(lián)到查外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。1歡迎下載精品文檔入 侵防范a) 應在網絡邊界處監(jiān)視以下攻擊行為：端口掃描、 強力攻擊、 木馬后門攻擊、拒絕服務攻擊、 緩沖區(qū)溢出攻擊、IP 碎片攻擊和網絡蠕蟲攻擊等；b) 當檢測到攻擊行為時， 記錄攻擊源IP 、攻擊類型、 攻擊目的、 攻擊時間，在發(fā)生嚴重入侵事件時應

3、提供報警。a) 應在網絡邊界處對惡意代碼進行惡 意檢測和清除；代 碼b) 應維護惡意代碼庫的升級和檢測防范系統(tǒng)的更新。A.2 交換機安全子結果符合類測評項情況記錄b) 應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/ 拒絕訪問的能力，控制粒度為端口級；c) 應對進出網絡的信息內容進行過濾，實現(xiàn)對應用層HTTP、 FTP、TELNET、 SMTP、POP3等協(xié)議命令級的控制；訪問控d) 應在會話處于非活躍一定時間或會話結束后終止網絡連接；制e) 應限制網絡最大流量數(shù)及網絡連接數(shù)；f) 重要網段應采取技術手段防止地址欺騙；g) 應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問

4、，控制粒度為單個用戶；h) 應限制具有撥號訪問權限的用戶數(shù)量。a) 應對網絡系統(tǒng)中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；安全審計b) 審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；。2歡迎下載精品文檔網絡設備防護備份和恢復c) 應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；d) 應對審計記錄進行保護， 避免受到未預期的刪除、 修改或覆蓋等。a) 應對登錄網絡設備的用戶進行身份鑒別；b) 應對網絡設備的管理員登錄地址進行限制；c) 網絡設備用戶的標識應唯一；d) 主要網絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；e) 身

5、份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換；f) 應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和當網絡登錄連接超時自動退出等措施；g) 當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽；h) 應實現(xiàn)設備特權用戶的權限分離。a) 應能夠對重要信息進行備份和恢復；b) 應提供關鍵網絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的可用性。A.3 防火墻模塊安全符合測評項結果記錄子類情況b) 應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)訪問流提供明確的允許/ 拒絕訪問的控制能力，控制粒度為端口級；。3歡迎下載安全審計網絡設備防護精品文檔c) 應對進出網絡的

6、信息內容進行過濾，實現(xiàn)對應用層 HTTP、FTP、TELNET、 SMTP、 POP3等協(xié)議命令級的控制；d) 應在會話處于非活躍一定時間或會話結束后終止網絡連接；e) 應限制網絡最大流量數(shù)及網絡連接數(shù)；f) 重要網段應采取技術手段防止地址欺騙；g) 應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；h) 應限制具有撥號訪問權限的用戶數(shù)量。a) 應對網絡系統(tǒng)中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；b) 審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；c) 應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；d) 應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等。a) 應對登錄網絡設備的用戶進行身份鑒別；b) 應對網絡設備的管理員登錄地址進行限制；c) 網絡設備用戶的標識應唯一；d) 主要網絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；e) 身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換；f) 應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和當網絡登錄連接超時自動退出等措施；。4歡迎下載精品文檔g) 當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信息在