12SGISLOPSA1410防火墻等級(jí)保護(hù)測(cè)評(píng)作業(yè)指導(dǎo)書(三級(jí))

1、H控制編號(hào)：SGISL/O P-SA14-10信息安全等級(jí)保護(hù)測(cè)評(píng)作業(yè)指導(dǎo)書防火墻（三級(jí)）版號(hào):第2版修改次數(shù)：第0次生效日期：2010年01月06日中國(guó)電力科學(xué)研究院信息安全實(shí)驗(yàn)室修改頁(yè)修訂號(hào)控制編號(hào)版號(hào)/ 章節(jié)號(hào)修改人修訂原因批準(zhǔn)人批準(zhǔn)日期備注1SGISL/ 0P- SA14-10唐斐按公安部要求修訂詹雄201038、網(wǎng)絡(luò)訪問(wèn)控制訪問(wèn)1端口級(jí)的訪問(wèn)控制測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-01對(duì)應(yīng)要求應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明 確的允許/拒絕訪冋的能力，控制粒度為 端口級(jí)測(cè)評(píng)項(xiàng)名稱端口級(jí)的網(wǎng)絡(luò)訪問(wèn)控制測(cè)評(píng)分項(xiàng)1:查看防火墻缺省規(guī)則是否為默認(rèn)禁止操作步驟在管理界面中，查看防火墻已有的安全規(guī)則。適用

2、版本任何版本實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定訪談網(wǎng)絡(luò)管理員，防火墻的缺省規(guī)則。如為默認(rèn)允許，則應(yīng)查看防火墻 的最后一條安全規(guī)則，如果不是拒絕從 any到any的任何協(xié)議通過(guò)， 判定結(jié)果為不符合；其它情況，判定結(jié)果為符合。測(cè)評(píng)分項(xiàng)2:檢查防火墻控制粒度是否為端口級(jí)操作步驟訪談網(wǎng)絡(luò)管理員，確定防火墻應(yīng)允許/拒絕的網(wǎng)絡(luò)服務(wù)的連接。查看防 火墻規(guī)則，驗(yàn)證控制粒度是否為端口級(jí)。適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定查看防火墻所配置的訪問(wèn)控制規(guī)則，規(guī)則設(shè)置的參數(shù)包括端口，判定結(jié)果為符合；查看防火墻所配置的訪問(wèn)控制規(guī)則，規(guī)則設(shè)置的參數(shù)不包括端口，判定測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-02對(duì)應(yīng)要求應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)

3、對(duì)應(yīng)用層 HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制測(cè)評(píng)項(xiàng)名稱協(xié)議命令級(jí)的網(wǎng)絡(luò)訪問(wèn)控制測(cè)評(píng)分項(xiàng)1:實(shí)現(xiàn)應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制操作步驟檢杳防火墻對(duì) HTTP、FTP、TELNET、SMTP、POP3協(xié)議的內(nèi)容過(guò)濾配置適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定如防火墻應(yīng)用層協(xié)議內(nèi)容過(guò)濾配置中配置的參數(shù)包含URL地址、收件人、FTP下載的文件類型等，判定結(jié)果為符合；若無(wú)上述參數(shù)，協(xié)議命令級(jí)的網(wǎng)絡(luò)訪問(wèn)控制判定結(jié)果為不符合。備注3 會(huì)話連接超時(shí)處理測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-03對(duì)應(yīng)要求應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接

4、測(cè)評(píng)項(xiàng)名稱會(huì)話連接超時(shí)處理測(cè)評(píng)分項(xiàng)1:防火墻上設(shè)置會(huì)話連接超時(shí)操作步驟在管理界面上，查看是否設(shè)置了會(huì)話連接超時(shí)。適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定管理界面上，查看設(shè)置的會(huì)話連接超時(shí)間，且時(shí)間設(shè)置的合理，判定結(jié) 果為符合。管理界面上，未設(shè)置會(huì)話連接超時(shí)時(shí)間，判定結(jié)果為不符合。若時(shí)間設(shè) 置的不合理，則判定為部分符合。備注4網(wǎng)絡(luò)流量和最大連接數(shù)的限制測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-04對(duì)應(yīng)要求在互聯(lián)網(wǎng)出口和核心網(wǎng)絡(luò)接口處應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)測(cè)評(píng)項(xiàng)名稱網(wǎng)絡(luò)流量和最大連接數(shù)的限制測(cè)評(píng)分項(xiàng)1：根據(jù)IP地址、端口、協(xié)議來(lái)限制應(yīng)用數(shù)據(jù)流的最大流量，根據(jù)IP地址限制網(wǎng)絡(luò)連接數(shù)操作步驟訪談網(wǎng)絡(luò)管理員，是否需

5、要限制網(wǎng)絡(luò)最大流量和網(wǎng)絡(luò)連接數(shù)。在管理界 面上，查看是否設(shè)置了網(wǎng)絡(luò)最大流量和網(wǎng)絡(luò)連接數(shù)。適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定備注管理界面上，查看設(shè)置了最大流量數(shù)和網(wǎng)絡(luò)連接數(shù)，判定結(jié)果為符合。如訪談結(jié)果顯示不需要設(shè)置網(wǎng)絡(luò)最大流量和網(wǎng)絡(luò)連接數(shù)，判定結(jié)果也為符合。管理界面上，未設(shè)置最大流量數(shù)，判定結(jié)果為不符合。、安全審計(jì)1.日志記錄測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-05對(duì)應(yīng)要求應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄測(cè)評(píng)項(xiàng)名稱防火墻日志記錄測(cè)評(píng)分項(xiàng)1:防火墻記錄防火墻的管理行為、設(shè)備運(yùn)行狀況和網(wǎng)絡(luò)流量。操作步驟查看防火墻的日志，是否存在防火墻的管理行為、網(wǎng)絡(luò)流量、訪冋控制策略的匹配等

6、相關(guān)日志記錄適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定存在防火墻的管理行為、網(wǎng)絡(luò)流量、訪冋控制策略的匹配等相關(guān)日志記 錄，判定結(jié)果為符合包含上述內(nèi)容不全面，判定結(jié)果為部分符合測(cè)評(píng)分項(xiàng)2:審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件結(jié)果等操作步驟查看日志記錄內(nèi)容，是否包含事件的日期和時(shí)間、用戶、事件類型、事件結(jié)果適用版本所有內(nèi)容實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定包含事件的日期和時(shí)間、用戶、事件類型、事件結(jié)果，判定結(jié)果為符合 包含上述內(nèi)容不全面，判定結(jié)果為部分符合備注2.日志分析測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-06對(duì)應(yīng)要求應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審 計(jì)報(bào)表測(cè)評(píng)項(xiàng)名稱日志分析測(cè)評(píng)分項(xiàng)1:查詢各種審計(jì)數(shù)據(jù)的分

7、析結(jié)果并生成報(bào)表操作步驟登陸防火墻管理界面，分類統(tǒng)計(jì)已有的審計(jì)數(shù)據(jù)，并選擇生成圖表適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定根據(jù)防火墻支持的分類統(tǒng)計(jì)方法分析審計(jì)記錄數(shù)據(jù)，并生成圖表，判定結(jié)果為符合防火墻不能分析已有的審計(jì)記錄以生成數(shù)據(jù)和圖表， 判定結(jié)果為不符合備注3.審計(jì)記錄的保護(hù)測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-07對(duì)應(yīng)要求應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等測(cè)評(píng)項(xiàng)名稱審計(jì)記錄的保護(hù)測(cè)評(píng)分項(xiàng)1:審計(jì)記錄的完好性保護(hù)操作步驟訪談網(wǎng)絡(luò)設(shè)備管理員，采取了何種方法來(lái)避免審計(jì)日志的未授權(quán)修改、 刪除和破壞適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定訪談結(jié)果顯示，采取了方法如設(shè)置日志服務(wù)器來(lái)保護(hù)審計(jì)日志，判

8、定結(jié)果為符合訪談結(jié)果顯示，未采取方法如設(shè)置日志服務(wù)器來(lái)保護(hù)審計(jì)日志，判定結(jié)果為不符合備注三、設(shè)備防護(hù)1.身份鑒別測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-08對(duì)應(yīng)要求應(yīng)對(duì)登陸網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別測(cè)評(píng)項(xiàng)名稱身份鑒別測(cè)評(píng)分項(xiàng)1:用戶登錄設(shè)備的身份鑒別過(guò)程檢查設(shè)備管理員采用何種方式登錄，是否對(duì)登陸用戶進(jìn)行身份鑒別，是否修改了默認(rèn)的用戶名及密碼操作步驟適用版本所有內(nèi)容實(shí)施風(fēng)險(xiǎn)測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-09對(duì)應(yīng)要求應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制測(cè)評(píng)項(xiàng)名稱設(shè)備管理地址的限制測(cè)評(píng)分項(xiàng)1：限制設(shè)備管理員的登錄地址操作步驟登錄防火墻管理界面，檢查是否設(shè)置管理員的登錄主機(jī)地址適用版本所有內(nèi)容實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定設(shè)置了管理

9、員的登錄主機(jī)地址，判定結(jié)果為符合未設(shè)置管理員的登錄主機(jī)地址，判定結(jié)果為不符合備注3 身份標(biāo)識(shí)唯一測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-10對(duì)應(yīng)要求網(wǎng)絡(luò)設(shè)備標(biāo)識(shí)應(yīng)唯一；同一網(wǎng)絡(luò)設(shè)備的用 戶標(biāo)識(shí)應(yīng)唯一；禁止多個(gè)人員共用一個(gè)賬 號(hào)測(cè)評(píng)項(xiàng)名稱身份標(biāo)識(shí)唯一測(cè)評(píng)分項(xiàng)1:同一網(wǎng)絡(luò)設(shè)備的用戶標(biāo)識(shí)唯一操作步驟登錄防火墻管理界面，檢查是否存在同名用戶適用版本所有內(nèi)容實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定不存在同名用戶，判定結(jié)果為符合 存在同名用戶，判定結(jié)果為不符合測(cè)評(píng)分項(xiàng)2:禁止多個(gè)人員共用一個(gè)賬號(hào)操作步驟訪談網(wǎng)絡(luò)管理員，是否為每個(gè)管理員設(shè)置了單獨(dú)的賬戶適用版本所有內(nèi)容實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定訪談結(jié)果表明，為每個(gè)用戶設(shè)置了單獨(dú)賬戶，判定結(jié)果為符合訪

10、談結(jié)果表明，未為每個(gè)用戶設(shè)置單獨(dú)賬戶，判定結(jié)果為不符合備注4身份鑒別信息不易被冒用測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-11對(duì)應(yīng)要求身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度 應(yīng)滿足要求并定期更換。應(yīng)修改默認(rèn)用戶 和口令，不得使用缺省口令，口令長(zhǎng)度不 得小于8位，要是是字母和數(shù)字或特殊字 符的混合并不得與用戶名相同，口令應(yīng)定 期更換，并加密存儲(chǔ)測(cè)評(píng)項(xiàng)名稱身份鑒別信息不易被冒用測(cè)評(píng)分項(xiàng)1: 口令復(fù)雜度滿足要求操作步驟訪談設(shè)備管理員，口令的復(fù)雜度要求和更改周期適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定口令復(fù)雜度滿足長(zhǎng)度、復(fù)雜度等要求，并定期更換，判定結(jié)果為符合 部分要求不滿足，判定結(jié)果為部分符合要求全部滿足，判定結(jié)果為不符

11、合備注5雙因子身份鑒別測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-12對(duì)應(yīng)要求主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇兩種或 兩種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒 別測(cè)評(píng)項(xiàng)名稱雙因子身份鑒別測(cè)評(píng)分項(xiàng)1:米用雙因子身份鑒別方式操作步驟檢查管理員登錄防火墻是否采用雙因子身份鑒別方式適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定除用戶+ 口令的身份鑒別方式外，還米取 USB KEY或令牌的身份鑒別 方式，判定結(jié)果為符合僅采用用戶+口令的身份鑒別方式，判定結(jié)果為不符合備注6 登錄失敗和超時(shí)處理測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-13對(duì)應(yīng)要求應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì) 話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接 超時(shí)自動(dòng)退出等措施測(cè)評(píng)項(xiàng)名稱登錄失敗和超時(shí)

12、處理測(cè)評(píng)分項(xiàng)1:登錄失敗處理方式操作步驟訪談管理員，檢查登錄失敗后米取的處理方式適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定用戶登錄失敗一定次數(shù)后，米取用戶鎖定、結(jié)束會(huì)話等措施，判定結(jié)果為符合無(wú)用戶登錄失敗次數(shù)限制，判定結(jié)果為不符合測(cè)評(píng)分項(xiàng)2:登錄超時(shí)處理操作步驟訪談網(wǎng)絡(luò)管理員，檢查網(wǎng)絡(luò)連接超時(shí)時(shí)是否采取注銷會(huì)話、自動(dòng)退出等 措施。適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定具有登錄超時(shí)退出處理機(jī)制的，判定結(jié)果為符合 不具有登錄超時(shí)退出處理機(jī)制的，判定結(jié)果為不符合備注7 遠(yuǎn)程管理信息的保密性測(cè)評(píng)項(xiàng)編號(hào)ADT-FW-14對(duì)應(yīng)要求當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必 要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中 被竊聽(tīng)測(cè)評(píng)項(xiàng)名稱遠(yuǎn)程管理信息的保密性測(cè)評(píng)分項(xiàng)1:管理員遠(yuǎn)程登錄防火墻時(shí)，應(yīng)采取加密措施防竊聽(tīng)操作步驟訪談網(wǎng)絡(luò)管理員，是否存在遠(yuǎn)程登錄管理行為，檢查身份鑒別信息是否 采用加密措施。適用版本任何產(chǎn)品實(shí)施風(fēng)險(xiǎn)無(wú)符合性判定遠(yuǎn)