信息安全等級保護(hù)解決方案

1、THE BUSENESS PLAN信息安全等級保護(hù)解決方案等級保護(hù)背景介紹發(fā)展歷程信息安全等級保護(hù)是黨中央國務(wù)院決定在信息系統(tǒng)安全領(lǐng)域?qū)嵤┑幕緡咝畔踩燃壉Ｗo(hù)是國家信息安全保障工作的基本制度信息安全等級保護(hù)是國家信息安全保障工作的基本方法中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例 (1994年2月18日中華人民共和國國務(wù)院令147號發(fā)布)2003年9月中辦國辦頒發(fā)關(guān)于加強(qiáng)信息安全保障工作的意見（中辦發(fā)200327號）2004年11月四部委會(huì)簽關(guān)于信息安全等級保護(hù)工作的實(shí)施意見（公通字200466號）2005年9月國信辦文件 關(guān)于轉(zhuǎn)發(fā)電子政務(wù)信息安全等級保護(hù)實(shí)施指南的通知 （國信辦20042

2、5號）2006年1月四部委會(huì)簽 關(guān)于印發(fā)信息安全等級保護(hù)管理辦法的通知 （公通字20067號）2007年6月公安部、保密局、國密局、國信辦聯(lián)合印發(fā)信息安全等級保護(hù)管理辦法（公通字200743號 ）2007年7月關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知 （公信安2007861號）2008年發(fā)布GB/T 222392008 信息系統(tǒng)安全等級保護(hù)基本要求、GB/T 222402008 信息系統(tǒng)安全等級保護(hù)定級指南2009年公安部發(fā)文關(guān)于開展信息系統(tǒng)等級保護(hù)安全建設(shè)整改工作的指導(dǎo)意見（公信安20091429號）2010年3月公安部發(fā)文關(guān)于推動(dòng)信息安全等級保護(hù)測評體系建設(shè)和開展等級測評工作的通

3、知（公信安303號）2016年10月公安部網(wǎng)絡(luò)安全保衛(wèi)局組織對原有國家標(biāo)準(zhǔn) GB/T 22239-2008等系列標(biāo)準(zhǔn)進(jìn)行了修訂，新的國家標(biāo)準(zhǔn)（簡稱新國標(biāo)）將于近期正式發(fā)布。起步階段發(fā)展階段推行階段新等保階段信息安全等級保護(hù)是基本制度、基本國策、基本方法等級保護(hù)管理組織指導(dǎo)監(jiān)管部門：國家等保工作 開展、推進(jìn)、指導(dǎo)。技術(shù)支撐部門：國家等保標(biāo)準(zhǔn)制定、修訂、培訓(xùn)、技術(shù)指導(dǎo)以及全國測評單位管理。國家測評機(jī)構(gòu)行業(yè)測評機(jī)構(gòu)地方測評機(jī)構(gòu)等級保護(hù)主要工作流程一 定級二 備案三 建設(shè)整改備案是等級保護(hù)的核心 建設(shè)整改是等級保護(hù)工作落實(shí)的關(guān)鍵四 等級測評等級測評是評價(jià)安全保護(hù)狀況的方法監(jiān)督檢查是保護(hù)能力不斷提高的保

4、障定級是等級保護(hù)的首要環(huán)節(jié)重要行業(yè)關(guān)鍵信息系統(tǒng)劃分及定級建議等級對象侵害客體侵害程度監(jiān)管強(qiáng)度第一級一般系統(tǒng)合法權(quán)益損害自主保護(hù)第二級合法權(quán)益嚴(yán)重?fù)p害指導(dǎo)社會(huì)秩序和公共利益損害第三級重要系統(tǒng)社會(huì)秩序和公共利益嚴(yán)重?fù)p害監(jiān)督檢查國家安全損害第四級社會(huì)秩序和公共利益特別嚴(yán)重?fù)p害強(qiáng)制監(jiān)督檢查國家安全嚴(yán)重?fù)p害第五級極端重要系統(tǒng)國家安全特別嚴(yán)重?fù)p害專門監(jiān)督檢查等級保護(hù)建設(shè)核心思想信息系統(tǒng)的安全設(shè)計(jì)應(yīng)基于業(yè)務(wù)流程自身特點(diǎn)，建立“可信、可控、可管”的安全防護(hù)體系，使得系統(tǒng)能夠按照預(yù)期運(yùn)行，免受信息安全攻擊和破壞?？尚?23即以可信認(rèn)證為基礎(chǔ)，構(gòu)建一個(gè)可信的業(yè)務(wù)系統(tǒng)執(zhí)行環(huán)境，即用戶、平臺、程序都是可信的，確保用戶

5、無法被冒充、病毒無法執(zhí)行、入侵行為無法成功?？尚诺沫h(huán)境保證業(yè)務(wù)系統(tǒng)永遠(yuǎn)都按照設(shè)計(jì)預(yù)期的方式執(zhí)行，不會(huì)出現(xiàn)非預(yù)期的流程，從而保障了業(yè)務(wù)系統(tǒng)安全可信。即以訪問控制技術(shù)為核心，實(shí)現(xiàn)主體對客體的受控訪問，保證所有的訪問行為均在可控范圍之內(nèi)進(jìn)行，在防范內(nèi)部攻擊的同時(shí)有效防止了從外部發(fā)起的攻擊行為。對用戶訪問權(quán)限的控制可以確保系統(tǒng)中的用戶不會(huì)出現(xiàn)越權(quán)操作，永遠(yuǎn)都按系統(tǒng)設(shè)計(jì)的策略進(jìn)行資源訪問，保證了系統(tǒng)的信息安全可控。即通過構(gòu)建集中管控、最小權(quán)限管理與三權(quán)分立的管理平臺，為管理員創(chuàng)建一個(gè)工作平臺，使其可以進(jìn)行技術(shù)平臺支撐下的安全策略管理，從而保證信息系統(tǒng)安全可管?？煽乜晒艿燃壉Ｗo(hù)防護(hù)框架等級保護(hù)防護(hù)框架建設(shè)

6、“一個(gè)中心”管理、“三重防護(hù)”體系，分別對計(jì)算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)體系進(jìn)行管理，實(shí)施多層隔離和保護(hù)，以防止某薄弱環(huán)節(jié)影響整體安全分析應(yīng)用系統(tǒng)的流程，確定用戶（主體）和訪問的文件（客體）的級別（標(biāo)記），以此來制定訪問控制安全策略，由操作系統(tǒng)、安全網(wǎng)關(guān)等機(jī)制自動(dòng)執(zhí)行，從而支撐應(yīng)用安全重點(diǎn)對操作人員使用的終端、業(yè)務(wù)服務(wù)器等計(jì)算節(jié)點(diǎn)進(jìn)行安全防護(hù)，控制操作人員行為，使其不能違規(guī)操作，從而把住攻擊發(fā)起的源頭，防止發(fā)生攻擊行為等級保護(hù)總體設(shè)計(jì)流程分析關(guān)鍵保護(hù)點(diǎn)梳理主、客體及權(quán)限對系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估梳理業(yè)務(wù)流程分層分域設(shè)計(jì)安全機(jī)制及策略設(shè)計(jì)梳理業(yè)務(wù)流程是給系統(tǒng)量身定制安全設(shè)計(jì)方案的基礎(chǔ)；通過業(yè)務(wù)流程的梳理，

7、了解系統(tǒng)的現(xiàn)狀、特點(diǎn)及特殊安全需求，為后續(xù)方案設(shè)計(jì)奠定基礎(chǔ)。找出系統(tǒng)中的所有主體及客體；明確主體對客體的最小訪問權(quán)限。基于一個(gè)中心、三重防護(hù)，構(gòu)建安全防護(hù)體系；從不同層次、不同位置設(shè)計(jì)縱深防御體系，防止單點(diǎn)失效。設(shè)計(jì)身份認(rèn)證及程序可信保護(hù)機(jī)制，確保主體可信；設(shè)計(jì)訪問控制機(jī)制及策略，保證主體對客體的最小訪問權(quán)限；設(shè)計(jì)保密性、完整性保護(hù)機(jī)制，確保重要客體的保密性及完整性不被破壞；設(shè)計(jì)安全管理中心，保證系統(tǒng)安全機(jī)制始終可管。等級保護(hù)基本框架要求物理安全技術(shù)要求管理要求系統(tǒng)安全防護(hù)要求網(wǎng)絡(luò)安全主機(jī)安全應(yīng)用安全數(shù)據(jù)安全安全管理機(jī)構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運(yùn)維管理安全產(chǎn)品協(xié)助防護(hù)網(wǎng)絡(luò)安全解

8、讀網(wǎng)絡(luò)安全結(jié)構(gòu)安全訪問控制安全審計(jì)邊界安全檢查入侵防范惡意代碼防范設(shè)備防護(hù)要點(diǎn)：主要設(shè)備冗余空間、安全路徑控制、整體網(wǎng)絡(luò)帶寬、帶寬優(yōu)先級、重要網(wǎng)段部署要點(diǎn)：端口控制、防地址欺騙協(xié)議過濾、會(huì)話控制最大流量數(shù)及最大連接數(shù)要點(diǎn)：審計(jì)記錄審計(jì)報(bào)表審計(jì)記錄的保護(hù)要點(diǎn)：非授權(quán)設(shè)備接入非授權(quán)網(wǎng)絡(luò)聯(lián)出要點(diǎn)：記錄、報(bào)警、阻斷要點(diǎn)：記錄、報(bào)警、阻斷要點(diǎn)：組合鑒別技術(shù)特權(quán)用戶權(quán)限分離在云計(jì)算環(huán)境中，除以上必要的保護(hù)措施外，還需考慮云使用者利用云資源發(fā)起的網(wǎng)絡(luò)攻擊、云租戶之間的隔離以及云租戶與云服務(wù)商的審計(jì)獨(dú)立網(wǎng)絡(luò)安全解讀（1）分類基本要求說明及技術(shù)方案產(chǎn)品部署網(wǎng)絡(luò)安全結(jié)構(gòu)安全（G3）a) 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處

9、理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要； 主要設(shè)備、部件冗余方案及網(wǎng)絡(luò)設(shè)備保證b) 應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要； 帶寬預(yù)留方案及網(wǎng)絡(luò)設(shè)備保證c) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑； 策略路由、靜態(tài)路由、動(dòng)態(tài)路由協(xié)議認(rèn)證方案及網(wǎng)絡(luò)設(shè)備保證d) 應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖； 根據(jù)實(shí)際情況繪制、更新拓?fù)鋱D（紙質(zhì)或管理軟件生成）eSighte) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段； 合理劃分網(wǎng)段整體方案保證f) 應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接

10、連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段； 防火墻策略USG防火墻g) 應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。輔助防火墻設(shè)備部署QOS策略USG防火墻、ASG網(wǎng)絡(luò)安全解讀（2）分類基本要求說明及技術(shù)方案產(chǎn)品部署網(wǎng)絡(luò)安全訪問控制（G3） a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； 防火墻做邊界訪問控制USG防火墻b) 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級； 防火墻策略USG防火墻c) 應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層 HTTP、FTP 、TELNET、SMT

11、P 、POP3等協(xié)議命令級的控制； IPS實(shí)現(xiàn)4-7層協(xié)議安全控制USG防火墻d) 應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接； 防火墻會(huì)話老化，設(shè)置會(huì)話超時(shí)時(shí)間USG防火墻e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)； 防火墻策略USG防火墻f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙； ip、mac綁定防火墻、交換機(jī)組合方案保證g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶； 第一層次基于IP的訪問控制，基本防火墻能力第二層次基于用戶身份的訪問控制，下一代防火墻支持，配合AAA系統(tǒng)使用USG防火墻h) 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。撥

12、號接入設(shè)備控制（可能包括PPTP等VPN方式）USG防火墻網(wǎng)絡(luò)安全解讀（3）分類基本要求說明及技術(shù)方案產(chǎn)品部署網(wǎng)絡(luò)安全安全審計(jì)（G3）a) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄； 技術(shù)點(diǎn)解析：審計(jì)網(wǎng)絡(luò)設(shè)備操作記錄，提供有效展示，并確保日志安全存儲(chǔ)。應(yīng)對方案：通過流量分析系統(tǒng)、運(yùn)維管理系統(tǒng)配合實(shí)現(xiàn)LogCenter、CIS、堡壘機(jī)、eSightb) 審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表； d) 應(yīng)對審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。邊界完整性檢查（S

13、3）a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)行有效阻斷； 接入認(rèn)證、IP/MAC綁定Agile Controller+USGb) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)行有效阻斷。防私接Agile Controller+USG網(wǎng)絡(luò)安全解讀（4）分類基本要求說明及技術(shù)方案產(chǎn)品部署網(wǎng)絡(luò)安全入侵防范（G3）a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP 碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；攻擊檢測和防御NIP、USG、eSight、LogCenterb) 當(dāng)檢測到攻擊行為時(shí)，記

14、錄攻擊源 IP 、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。 惡意代碼防范（G3）a) 應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除； 攻擊、病毒檢測和防御NIP、USG、FireHunterb) 應(yīng)維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新。定期升級特征庫網(wǎng)絡(luò)安全解讀（5）分類基本要求說明及技術(shù)方案產(chǎn)品部署網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)（G3） a) 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別； 網(wǎng)絡(luò)運(yùn)維人員身份管理網(wǎng)絡(luò)設(shè)備安全策略控制設(shè)定+堡壘機(jī)輔助b) 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制； ACL、安全策略c) 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一； 堡壘機(jī)做雙因素認(rèn)證d) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種

15、或兩種以上組合的鑒別技術(shù)來進(jìn)行身份鑒別； 堡壘機(jī)做雙因素認(rèn)證e) 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； 設(shè)置復(fù)雜口令f) 應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施； 設(shè)置策略控制非法登錄次數(shù)和超時(shí)退出g) 當(dāng)對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； 遠(yuǎn)程管理使用加密協(xié)議，如SSHh) 應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。設(shè)備上設(shè)置用戶權(quán)限主機(jī)安全解讀主機(jī)安全身份鑒別訪問控制安全審計(jì)剩余信息保護(hù)入侵防范惡意代碼防范資源控制要點(diǎn)：組合鑒別技術(shù)要點(diǎn)：管理用戶權(quán)限分離敏感標(biāo)記的設(shè)置要點(diǎn)：審計(jì)記

16、錄審計(jì)報(bào)表審計(jì)記錄的保護(hù)要點(diǎn)：空間釋放信息清除要點(diǎn)：記錄、報(bào)警、阻斷要點(diǎn)：記錄、報(bào)警、阻斷與網(wǎng)絡(luò)惡意代碼庫分離要點(diǎn)：監(jiān)控重要服務(wù)器最小化服務(wù)檢測告警在云計(jì)算環(huán)境中，除以上必要的保護(hù)措施外，還需考慮不同租戶存儲(chǔ)空間的隔離、對外提供API的訪問控制、虛擬資源占用控制以及殺毒風(fēng)暴的避免等措施主機(jī)安全解讀（1）分類基本要求說明及技術(shù)方案產(chǎn)品部署主機(jī)安全身份鑒別（S3）a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別； 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的統(tǒng)一身份鑒別，操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶權(quán)限分離，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份鑒別設(shè)定+堡壘機(jī)輔助b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的

17、特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； 設(shè)置復(fù)雜密碼，檢測弱口令，堡壘機(jī)定期改密，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份鑒別設(shè)定+堡壘機(jī)、漏掃輔助（缺失）c) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施； 主機(jī)策略設(shè)置登錄限制，安全配置核查系統(tǒng)定期對服務(wù)器嘗試登錄閾值進(jìn)行檢查，配置服務(wù)器檢測到超過一定失敗次數(shù)的登錄行為后，鎖定該賬號，重新啟用賬號需向管理員提交申請，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份鑒別設(shè)定+堡壘機(jī)輔助d) 當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； 加密管理，對服務(wù)器的遠(yuǎn)程管理采用SSH、SSL等加密協(xié)議，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份

18、鑒別設(shè)定+堡壘機(jī)輔助e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。 主機(jī)策略，按照不同用戶的職責(zé)為用戶分配不同權(quán)限，管理賬號不共用，確保用戶名唯一，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份鑒別設(shè)定+堡壘機(jī)輔助f) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。靜態(tài)口令+動(dòng)態(tài)口令/證書/生物識別/短信認(rèn)證等技術(shù)，可由堡壘機(jī)輔助實(shí)現(xiàn)主機(jī)身份鑒別設(shè)定+堡壘機(jī)輔助主機(jī)安全解讀（2）分類基本要求說明及技術(shù)方案產(chǎn)品部署主機(jī)安全訪問控制（S3） a) 應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問； 由操作系統(tǒng)自身的權(quán)限控制實(shí)現(xiàn)，可由堡壘機(jī)輔助主機(jī)訪問控制策略設(shè)定+堡壘

19、機(jī)輔助b) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限； 由操作系統(tǒng)自身的權(quán)限控制實(shí)現(xiàn)，可由堡壘機(jī)輔助主機(jī)訪問控制策略設(shè)定+堡壘機(jī)輔助c) 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； 系統(tǒng)分級管理，操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶分離，由不同的管理員行使特權(quán)主機(jī)訪問控制策略設(shè)定+堡壘機(jī)輔助d) 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； 漏掃系統(tǒng)定期檢查系統(tǒng)默認(rèn)賬戶口令主機(jī)訪問控制策略設(shè)定+堡壘機(jī)、漏掃輔助（缺失）e) 應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。 定期檢查系統(tǒng)多余賬號，員工離職或調(diào)崗需提交賬戶銷戶申

20、請主機(jī)訪問控制策略設(shè)定+堡壘機(jī)輔助f) 應(yīng)對重要信息資源設(shè)置敏感標(biāo)記； 基于安全標(biāo)志實(shí)施強(qiáng)制訪問控制，控制主體對客體的操作操作系統(tǒng)加固g) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；基于安全標(biāo)志實(shí)施強(qiáng)制訪問控制，控制主體對客體的操作操作系統(tǒng)加固主機(jī)安全解讀（3）分類基本要求說明及技術(shù)方案產(chǎn)品部署主機(jī)安全安全審計(jì)（G3）a) 審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶； 技術(shù)點(diǎn)解析：審計(jì)主機(jī)操作記錄，提供有效展示，并確保日志安全存儲(chǔ)、穩(wěn)定可靠。應(yīng)對方案：通過專用審計(jì)系統(tǒng)、運(yùn)維管理系統(tǒng)配合實(shí)現(xiàn)堡壘機(jī)、數(shù)據(jù)庫審計(jì)（缺失）SIEM（缺失）b) 審計(jì)內(nèi)容應(yīng)包括重要

21、用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件； c) 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等； d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表； e) 應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷； f) 應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。 主機(jī)安全解讀（4）分類基本要求說明及技術(shù)方案產(chǎn)品部署主機(jī)安全剩余信息保護(hù)（S3） a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中； 用戶鑒別信息不在硬盤上靜態(tài)存儲(chǔ)，并配置服務(wù)器不顯示上次登錄用戶名

22、系統(tǒng)加固b) 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。操作系統(tǒng)對剩余信息進(jìn)行處理設(shè)置。以Windows系統(tǒng)為例：打開“本地安全策略”-本地策略中的安全選項(xiàng)；查看是否選中“關(guān)機(jī)前清除虛擬內(nèi)存頁面”；打開“本地安全策略”-“帳戶策略”中的密碼策略；查看是否選中“用可還原的加密來存儲(chǔ)密碼”系統(tǒng)加固入侵防范（G3） a) 應(yīng)能夠檢測到對重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警； 系統(tǒng)入侵防范，網(wǎng)絡(luò)入侵防范系統(tǒng)輔助NIP、LogCenterb) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)

23、行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施； 操作系統(tǒng)自身的安全機(jī)制保障系統(tǒng)配置和管理保障c) 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。強(qiáng)制補(bǔ)丁檢查、補(bǔ)丁分發(fā)主要涉及到兩個(gè)方面的內(nèi)容，分別是：系統(tǒng)服務(wù)、補(bǔ)丁升級。遵循最小安裝原則，僅開啟需要的服務(wù)，安裝需要的組件和程序，可以極大的降低系統(tǒng)遭受攻擊的可能性。及時(shí)更新系統(tǒng)補(bǔ)丁，可以避免遭受由系統(tǒng)漏洞帶來的風(fēng)險(xiǎn)AD域控終端管控軟件漏掃系統(tǒng)（缺失）主機(jī)安全解讀（5）分類基本要求說明及技術(shù)方案產(chǎn)品部署主機(jī)安全惡意代碼防范（G3）a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件

24、版本和惡意代碼庫； 安裝殺毒軟件，及時(shí)升級特征庫，強(qiáng)制認(rèn)證檢查殺毒軟件版本和病毒庫防病毒軟件b) 主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫； c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。資源控制（A3） a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 準(zhǔn)入控制系統(tǒng)策略+堡壘機(jī)輔助b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定； 系統(tǒng)配置保障系統(tǒng)策略+堡壘機(jī)輔助c) 應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況； 應(yīng)用管理平臺輔助eSightd) 應(yīng)限制單個(gè)用戶對系統(tǒng)資源的最大或最小使用限度； 系統(tǒng)配置保障系統(tǒng)配置保障e) 應(yīng)能夠?qū)ο?/p>

25、統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警。應(yīng)用管理平臺輔助eSight應(yīng)用及數(shù)據(jù)安全應(yīng)用安全身份鑒別訪問控制安全審計(jì)剩余信息保護(hù)通信完整性通信保密性防抵賴軟件容錯(cuò)資源控制要點(diǎn)身份鑒別訪問控制安全審計(jì)剩余信息保護(hù)通信完整性通信保密性防抵賴軟件容錯(cuò)資源控制組合鑒別技術(shù)敏感標(biāo)記的設(shè)置審計(jì)報(bào)表及審計(jì)記錄的保護(hù)敏感信息清楚、存儲(chǔ)空間釋放加密技術(shù)整個(gè)報(bào)文及會(huì)話傳輸過程加密原發(fā)證據(jù)的提供出錯(cuò)校驗(yàn)、自動(dòng)保護(hù)資源分配、優(yōu)先級、最小化服務(wù)及檢測報(bào)警數(shù)據(jù)安全要點(diǎn)數(shù)據(jù)完整性數(shù)據(jù)保密性備份和回復(fù)數(shù)據(jù)完整性數(shù)據(jù)保密性備份和恢復(fù)數(shù)據(jù)存儲(chǔ)、傳輸，完整性檢測和恢復(fù)數(shù)據(jù)存儲(chǔ)、傳輸，加密保護(hù)冗余、備份應(yīng)用安全解讀（1）分類

26、基本要求說明及技術(shù)方案產(chǎn)品部署應(yīng)用安全身份鑒別（S3）a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別； 應(yīng)用系統(tǒng)自身保障外部認(rèn)證系統(tǒng)b) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別； 雙因素認(rèn)證，例如：靜態(tài)密碼+動(dòng)態(tài)口令外部認(rèn)證系統(tǒng)c) 應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用； 不存在共享賬號應(yīng)用配置d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施； 應(yīng)用設(shè)置應(yīng)用配置e) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)

27、安全策略配置相關(guān)參數(shù)。 不存在共享賬號應(yīng)用配置應(yīng)用安全解讀（2）分類基本要求說明及技術(shù)方案產(chǎn)品部署應(yīng)用安全訪問控制（S3）a) 應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問； 系統(tǒng)配置保障系統(tǒng)配置保障漏掃系統(tǒng)輔助b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作； 系統(tǒng)配置保障c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限； 系統(tǒng)配置保障d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。 系統(tǒng)配置保障e) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能； 系統(tǒng)配置保障f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有

28、敏感標(biāo)記重要信息資源的操作；系統(tǒng)配置保障應(yīng)用安全解讀（3）分類基本要求說明及技術(shù)方案產(chǎn)品部署應(yīng)用安全安全審計(jì)（G3） a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)； 技術(shù)點(diǎn)解析：審計(jì)應(yīng)用系統(tǒng)操作記錄，提供有效展示，并確保日志安全存儲(chǔ)、穩(wěn)定可靠。應(yīng)對方案：通過專用審計(jì)系統(tǒng)、運(yùn)維管理系統(tǒng)配合實(shí)現(xiàn)堡壘機(jī)、SIEM（缺失）、數(shù)據(jù)庫審計(jì)（缺失）b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄； c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等； d) 應(yīng)提供對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。剩余信息保護(hù)（S3）

29、a) 應(yīng)保證用戶鑒別信息所在的存儲(chǔ)空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中； 應(yīng)用策略，用戶在退出、注銷系統(tǒng)后，系統(tǒng)要對訪問進(jìn)程清理，對存儲(chǔ)用戶鑒別信息數(shù)據(jù)空間進(jìn)行完全清除應(yīng)用配置b) 應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲(chǔ)空間被釋放或重新分配給其他用戶前得到完全清除。 應(yīng)用策略，系統(tǒng)對訪問進(jìn)程清理應(yīng)用配置應(yīng)用安全解讀（4）分類基本要求說明及技術(shù)方案產(chǎn)品部署應(yīng)用安全通信完整性（S3）應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。應(yīng)用策略，完整性校驗(yàn)應(yīng)用配置實(shí)現(xiàn)通信保密性（S3）a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化

30、驗(yàn)證； 應(yīng)用加密，HTTPS指紋識別等技術(shù)b) 應(yīng)對通信過程中的整個(gè)報(bào)文或會(huì)話過程進(jìn)行加密。通信協(xié)議加密、內(nèi)容加密抗抵賴（G3）a) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能； 用戶操作要有日志記錄、交易電子簽名b) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。用戶操作要有日志記錄、交易電子簽名軟件容錯(cuò)（A3）a) 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求； 應(yīng)用自身防護(hù)，對數(shù)據(jù)有效性檢驗(yàn)，并規(guī)定每個(gè)輸入接口只允許輸入數(shù)字、字符等限制 b) 應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保

31、證系統(tǒng)能夠進(jìn)行恢復(fù)。防攻擊系統(tǒng)提供保護(hù)功能，當(dāng)故障發(fā)生時(shí)或操作失敗能回退，并且數(shù)據(jù)庫有實(shí)時(shí)鏡像備份，能夠進(jìn)行恢復(fù)應(yīng)用安全解讀（5）分類基本要求說明及技術(shù)方案產(chǎn)品部署應(yīng)用安全資源控制（A3）a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會(huì)話； 應(yīng)用安全策略，設(shè)置會(huì)話超時(shí)時(shí)間應(yīng)用配置實(shí)現(xiàn)b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制； 應(yīng)用安全策略，通過配置數(shù)據(jù)庫和中間件實(shí)現(xiàn)c) 應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會(huì)話進(jìn)行限制； 應(yīng)用安全策略，限制單用戶不能同時(shí)多點(diǎn)登錄，且只能在單一瀏覽器窗口登錄d) 應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會(huì)話連接數(shù)進(jìn)行限制； 應(yīng)用安全策略，流量

32、控制設(shè)備/通過中間件線程池進(jìn)行配置限制e) 應(yīng)能夠?qū)σ粋€(gè)訪問帳戶或一個(gè)請求進(jìn)程占用的資源分配最大限額和最小限額； 應(yīng)用安全策略，設(shè)置應(yīng)用系統(tǒng)資源限額，超出限額時(shí)會(huì)給出提示信息f) 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警； 應(yīng)用安全策略，通過安全監(jiān)控平臺/管理平臺，監(jiān)測應(yīng)用系統(tǒng)服務(wù)水平g) 應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進(jìn)程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。 應(yīng)用安全策略，配置應(yīng)用根據(jù)不同用戶的資源使用優(yōu)先級分配系統(tǒng)資源數(shù)據(jù)安全解讀（1）分類基本要求說明及技術(shù)方案產(chǎn)品部署數(shù)據(jù)安全數(shù)據(jù)完整性（S3）a) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要

33、業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施； 利用校驗(yàn)技術(shù)來保證數(shù)據(jù)傳輸?shù)耐暾詡鬏敿用茌o助：防火墻、下一代防火墻b) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲(chǔ)過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。 將存儲(chǔ)數(shù)據(jù)生成多份，保證當(dāng)數(shù)據(jù)完整性受到破壞時(shí)可恢復(fù)數(shù)據(jù)傳輸加密輔助：防火墻、下一代防火墻數(shù)據(jù)保密性（S3）a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性； 加密機(jī)、加密協(xié)議、傳輸加密傳輸加密：防火墻、下一代防火墻b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密

34、性。備份和加密存儲(chǔ)，審計(jì)日志直接存儲(chǔ)，關(guān)鍵用戶信息進(jìn)行加密存儲(chǔ)應(yīng)用配置數(shù)據(jù)安全解讀（2）分類基本要求說明及技術(shù)方案產(chǎn)品部署數(shù)據(jù)安全備份和恢復(fù)（A3）a) 應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場外存放； 管理要求每天進(jìn)行完全數(shù)據(jù)備份，本地實(shí)時(shí)鏡像備份b) 應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場地； 管理要求同城和異地準(zhǔn)時(shí)備份，批量傳送c) 應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障； 管理要求重要設(shè)備、服務(wù)器均采用冗余設(shè)計(jì)d) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。管理要求重要設(shè)備、服務(wù)器均采用冗余設(shè)計(jì)等