等級保護(hù)第四級基本要求

1、文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持等級保護(hù)第四級基本要求-技術(shù)需部署的安全設(shè)施其他建議殘留問題1.1.1 物理安全物理位置的選擇 （G3）本項要求包括：a） 機(jī)房和辦公場地應(yīng)選擇 在具有防震、防風(fēng)和防 雨等能力的建筑內(nèi)；b）機(jī)房場地應(yīng)避免設(shè)在建 筑物的高層或地下室， 以及用水設(shè)備的下層或 隔壁。一般選擇在建筑物 2-3層，最好在辦公 區(qū)附近，且不能鄰 近洗手間、廚房等。（同B類安全機(jī)房 的選址要求。）1.1.1.2 物理訪問控制（G3）本項要求包括：a）機(jī)房出入口應(yīng)安排專人 值守并配置電子門禁系 統(tǒng)，控制、鑒別和記錄 進(jìn)入的人員；機(jī)房安裝電子門禁系統(tǒng) （北京大宇飛翔，

2、深圳微耕，瑞士 KABA德國 KABA Gallenschutz ）, 建議采用雙向控制。增設(shè)保安人員在門 外值守；通過門禁電子記錄 或填寫出入記錄單 的形式記錄進(jìn)出人 員和時間。b）需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請和審批流 程，并限制和監(jiān)控其活 動范圍；機(jī)房內(nèi)、外部臨近入口 區(qū)域安裝監(jiān)控攝像頭保 證全部范圍覆蓋。需要后來訪人員進(jìn) 入機(jī)房的審批記 錄；外來人員進(jìn)入 機(jī)房應(yīng)當(dāng)由專人全 程陪同。c）應(yīng)對機(jī)房劃分區(qū)域進(jìn)行 管理，區(qū)域和區(qū)域之間 設(shè)置物理隔離裝置，在 重要區(qū)域前設(shè)直交付或 安裝等過渡區(qū)域；d） 重要區(qū)域應(yīng)配置第一道 電子門禁系統(tǒng)，控制、 鑒別和記錄進(jìn)入的人 員。重要區(qū)域物理隔離，并 安裝

3、第二道電子門禁系 統(tǒng)（雙向）。1.1,1.3防盜竊和防破壞（G3）本項要求包括：a）應(yīng)將主要設(shè)備放置在機(jī) 房內(nèi)；b）應(yīng)將設(shè)備或主要部件進(jìn)使用機(jī)柜并在設(shè)備上焊1文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持行固定，并設(shè)置明顯的 不易除去的標(biāo)記；接銘牌，標(biāo)明設(shè)備型號、 負(fù)責(zé)保管人員、維護(hù)單 位等信息。（設(shè)備銘牌 只能被破壞性地去除。）c）應(yīng)將通信線纜鋪設(shè)在隱 敝處，引鋪設(shè)在地卜或 管道中；d）應(yīng)對介質(zhì)分類標(biāo)識，存 儲在介質(zhì)庫或檔案室 中；介質(zhì)應(yīng)異地存放。e）應(yīng)利用光、電等技術(shù)設(shè) 置機(jī)房防盜報警系統(tǒng)；機(jī)房重要資產(chǎn)存放處及 附近區(qū)域安裝光、

4、電防 盜報警系統(tǒng)，如紅外或 感應(yīng)報警系統(tǒng)。f） 應(yīng)對機(jī)房設(shè)置監(jiān)控報警 系統(tǒng)。機(jī)房安裝視頻監(jiān)控報警 系統(tǒng)。1.1.1.4 防雷擊（G3）本項要求包括：a）機(jī)房建筑應(yīng)設(shè)置避雷裝置；b）應(yīng)設(shè)置防雷保安器，防 止感應(yīng)雷；安裝電源三級防雷器和 信號二級防雷器（美國 克雷太ALLTEQ 。c） 機(jī)房應(yīng)設(shè)置交流電源地 線。機(jī)房設(shè)置專用交流電源 地線，接地電阻不應(yīng)大 于4Q。機(jī)房交流工作接 地、安全保護(hù)接地、 防雷接地應(yīng)符合 GB50174-93電子 計算機(jī)機(jī)房設(shè)計規(guī) 范要求。1.1.1.5防火（G3）本項要求包括：a）機(jī)房應(yīng)設(shè)置火災(zāi)自動消 防系統(tǒng)，能夠自動檢測 火情、自動報警，并自 動滅火；在機(jī)房內(nèi)安裝溫感

5、或煙 感探測器，連接到機(jī)房 動力環(huán)境監(jiān)控系統(tǒng)中； 安裝有管網(wǎng)氣體自動滅 火系統(tǒng)。火火方式應(yīng)米用氣體滅火系統(tǒng)，如CO2 FM-200、氣溶膠和煙烙盡等。b）機(jī)房及相關(guān)的工作房間 和輔助房應(yīng)采用具有耐 火等級的建筑材料；進(jìn)行機(jī)房改造，使用防 火材料裝修。2文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持c） 機(jī)房應(yīng)米取區(qū)域隔離防 火措施，將重要設(shè)備與 其他設(shè)備隔離開。進(jìn)行機(jī)房改造，重要區(qū) 域使用防火玻璃隔斷。1.1.1.6防水和防潮（G3）本項要求包括：a）水管安裝，不得穿過機(jī) 房屋頂和活動地板下；b）應(yīng)采取措施防止雨水通 過機(jī)房窗戶、屋

6、頂和墻 壁滲透；c）應(yīng)采取措施防止機(jī)房內(nèi) 水蒸氣結(jié)露和地下積水 的轉(zhuǎn)移與滲透；機(jī)房頂棚、地面和四周 應(yīng)做好防水處理，有條 件的話可以在機(jī)房頂部 安裝防漏水設(shè)施，在機(jī) 房地面修建地漏、泄水 槽和配置排水設(shè)備。機(jī)房盡可能選擇沒 有水管經(jīng)過的房間 和盡量不靠近建筑 物外側(cè)墻壁的地 方，這樣可以節(jié)省 做防水系統(tǒng)的大量 投資。d）應(yīng)安裝對水敏感的檢測 儀表或元件，對機(jī)房進(jìn) 行防水檢測和報警。安裝機(jī)房動力環(huán)境監(jiān)控 系統(tǒng)（對機(jī)房設(shè)備的運(yùn) 行狀態(tài)、溫度、濕度、 潔凈度、供電的電壓、 電流、頻率、配電系統(tǒng) 的開關(guān)狀態(tài)、測漏系統(tǒng) 等進(jìn)行實時監(jiān)控并記錄 歷史數(shù)據(jù)），其中含漏 水檢測裝置。1.1.1.7 防靜電（G3

7、）本項要求包括：a）主要設(shè)備應(yīng)采用必要的 接地防靜電措施；b）機(jī)房應(yīng)采用防靜電地 板；c）應(yīng)采用靜電消除器等裝 置，減少靜電的產(chǎn)生。采用防靜電工作臺、靜 電消除劑和靜電消除器 等。1.1.1.8溫濕度控制（G3）機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào) 節(jié)設(shè)施，使機(jī)房溫、濕度的變化 在設(shè)備運(yùn)行所允許的范圍之內(nèi)。安裝帶濕度調(diào)節(jié)功能的精密空調(diào)系統(tǒng)，配置溫 濕度檢測裝置，并接入 動力環(huán)境監(jiān)控系統(tǒng)?？照{(diào)應(yīng)依據(jù)機(jī)房面積和設(shè) 備數(shù)量安裝，盡量保證設(shè)備工作在濕度帶濕度控制的空調(diào) 價格比較昂貴，且 需要對水管的布置 進(jìn)行考慮?？梢允?用其他方法增加機(jī) 房內(nèi)的濕度，使用 濕度表進(jìn)行監(jiān)控。3文檔來源為：從網(wǎng)絡(luò)收集整理,word版

8、本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持45-60 %之間，夏季溫度 控制在23 2 C,冬 季溫度控制在 202C,溫度變化率不 超過5C/h ,并且不得 結(jié)露。（按電子計算 機(jī)機(jī)房設(shè)計規(guī)范 A級 要求）1.1.1.9電力供應(yīng)（A3）本項要求包括：a）應(yīng)在機(jī)房供電線路上配 置穩(wěn)壓器和過電壓防護(hù) 設(shè)備；配置線路穩(wěn)壓器和電源 保護(hù)裝置（如金屬氧化 物可艾電阻、硅雪崩二 極管、氣體放電管、濾 波器、電壓調(diào)整變壓器 和浪涌濾波器）。b）應(yīng)提供短期的備用電力 供應(yīng)，至少滿足主要設(shè) 備在斷電情況下的正常 運(yùn)行要求；為機(jī)房設(shè)備配置 UPSc） 應(yīng)設(shè)置幾余或并行的電 力電纜線路

9、為計算機(jī)系 統(tǒng)供電；建筑應(yīng)采用雙路供電系 統(tǒng)（連接兩個小同區(qū)域 的供電站），并根據(jù)對 業(yè)務(wù)恢復(fù)時間的要求， 制定備用供電系統(tǒng)的切 換時間。d）應(yīng)建立備用供電系統(tǒng)。有條件的企業(yè)可以配備 柴油發(fā)電機(jī)保證較長時 間的應(yīng)急供電。1.1.1.10電磁防護(hù)（S3）本項要求包括：a）應(yīng)采用接地方式防止外 界電磁干擾和設(shè)備寄生 耦合干擾；通過將機(jī)架外殼接 地的方式可以降低 外界的電子干擾。b）電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；強(qiáng)、弱電線路盡量 原離，使用交叉走 線，避免平行走線； 使用鐵質(zhì)線槽可以 抵御電磁干擾并有 效保護(hù)線纜安全。4文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收

10、集整理,word版本可編輯.歡迎下載支持c） 應(yīng)對關(guān)鍵區(qū)域?qū)嵤╇姶?屏蔽。重要設(shè)備和磁介質(zhì)放置 在電磁屏蔽裝置中，或 對關(guān)鍵區(qū)域建屏敝室。1.1.2網(wǎng)絡(luò)安全結(jié)構(gòu)（G4本項要求包括：a） 應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù) 處理能力具備冗余空 間，滿足業(yè)務(wù)高峰期需 要；b）應(yīng)保證網(wǎng)絡(luò)各個部分的 帶寬滿足業(yè)務(wù)高峰期需要；c）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制 建立安全的訪問路徑；d）應(yīng)繪制與當(dāng)前運(yùn)行情況 相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) 圖；e）應(yīng)根據(jù)各部門的工作職 能、重要性和所涉及信 息的重要程度等因素， 劃分不同的子網(wǎng)或網(wǎng) 段，并按照方便管理和 控制的原則為各子網(wǎng)、 網(wǎng)段分配地址段；f） 應(yīng)避免將重要網(wǎng)段部署 在

11、網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要 網(wǎng)段與其他網(wǎng)段之間采重要網(wǎng)段與其他網(wǎng)段之 間采用防火墻或網(wǎng)閘進(jìn) 仃隔離。5文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持取可靠的技術(shù)隔離手段；g）應(yīng)按照對業(yè)務(wù)服務(wù)的重 要次序來指定帶寬分配 優(yōu)先級別，保證在網(wǎng)絡(luò) 發(fā)生擁堵的時候優(yōu)先保 護(hù)重要主機(jī)。在多個業(yè)務(wù)共用的網(wǎng)絡(luò) 設(shè)備上配置QOS有條件的話可以在 主干通信線路上安 裝專用的帶寬管理 設(shè)備。1.1.2.2訪問控制（G4）本項要求包括：a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問 控制設(shè)備，啟用訪問控 制功能；b）應(yīng)不允許數(shù)據(jù)帶通用協(xié) 議通過；c）應(yīng)根據(jù)數(shù)據(jù)的敏感

12、標(biāo)記 允許或拒絕數(shù)據(jù)通過；d） 應(yīng)不開放遠(yuǎn)程撥號訪問 功能。網(wǎng)絡(luò)邊界部署安全隔離與信息交換系統(tǒng)（網(wǎng) 閘）。現(xiàn)有產(chǎn)品無法根據(jù)數(shù)據(jù)的敏感標(biāo)記允許或拒絕數(shù)據(jù)通過。1.1.2.3 安全用（G4本項要求包括：應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò) 設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日 志記錄；審計記錄應(yīng)包括：事件 的日期和時間、用戶、事件類型、事件是否成 功及其他與審計相關(guān)的 信息;部署專業(yè)的日志審計系 統(tǒng)，并且所有事件源與 審計服務(wù)器保持時鐘同 步。6文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持c）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn) 行分析，并生成審計報 表；d）

13、應(yīng)對審計記錄進(jìn)行保 護(hù)，避免受到未預(yù)期的 刪除、修改或覆蓋等；e）應(yīng)定義審計跟蹤極限的 閾值，當(dāng)存儲空間接近 極限時，能采取必要的 措施，當(dāng)存儲空間被耗 盡時，終止可審計事件 的發(fā)生；f） 應(yīng)根據(jù)信息系統(tǒng)的統(tǒng)一 安全策略，實現(xiàn)集中審 計，時鐘保持與時鐘服 務(wù)器同步。1.1,2.4邊界完整性檢查 （S4）本項要求包括：a）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位 置，并對其進(jìn)行有效阻斷；部署終端安全管理系 統(tǒng)，利用IP/MAC綁定 及ARP阻斷功能實現(xiàn) 非法接入控制。b）應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶 私自聯(lián)到外部網(wǎng)絡(luò)的行 為進(jìn)行檢查，準(zhǔn)確定出 位置，并對其進(jìn)行有效 阻斷。部署終端安全

14、管理系 統(tǒng)，提供非法外聯(lián)監(jiān)控 功能。7文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持1.1.2.5 入侵防范（G4本項要求包括：a） 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以 下攻擊行為：端口掃描、 強(qiáng)力攻擊、木馬后門攻 擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片 攻擊和網(wǎng)絡(luò)蠕蟲攻擊 等；a）當(dāng)檢測到攻擊行為時，應(yīng)記錄攻擊源IP、攻擊 類型、攻擊目的、攻擊 時間，在發(fā)生嚴(yán)重入侵 事件時應(yīng)提供報警及自 動采取相應(yīng)動作。部署網(wǎng)絡(luò)入侵防御或網(wǎng) 絡(luò)入侵檢測系統(tǒng)，對進(jìn) 出邊界的網(wǎng)絡(luò)數(shù)據(jù)流進(jìn) 行攻擊檢測，并提供適 當(dāng)?shù)娜罩居涗?、報警?自動響應(yīng)機(jī)制。1.1,2.6

15、惡：K碼吹（G4）本項要求包括：a）應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除；a）應(yīng)維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新。在區(qū)域邊界部署病毒過濾網(wǎng)關(guān)系統(tǒng)。1.1,2,7網(wǎng)絡(luò)設(shè)備防護(hù)（G4）本項要求包括：a）應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用 戶進(jìn)行身份鑒別；b）應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員 登錄地址進(jìn)行限制；c） 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；8文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持d） 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一 用戶選擇兩種或兩種以 上組合的鑒別技術(shù)來進(jìn) 行身份鑒別；e）身份鑒別信息應(yīng)具后不 易被冒用的特點，口令 應(yīng)后復(fù)雜度要求并7E期 更換；f） 網(wǎng)絡(luò)

16、設(shè)備用戶的身份鑒 別信息至少應(yīng)什-種是 /、可偽造的；g）應(yīng)具有登錄失敗處理功 能，可采取結(jié)束會話、 限制非法登錄次數(shù)和當(dāng) 網(wǎng)絡(luò)登錄連接超時自動 退出等措施；h）當(dāng)對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程 管理時，應(yīng)采取必要措 施防止鑒別信息在網(wǎng)絡(luò) 傳輸過程中被竊聽；采用動態(tài)電子令牌身份認(rèn)證系統(tǒng)（如RSASecurlD）,其令牌應(yīng)當(dāng)/、可偽造。i）應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。9文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持1.1.3主機(jī)安全身份鑒別（S4）本項要求包括：a）應(yīng)對登錄操作系統(tǒng)和數(shù) 據(jù)庫系統(tǒng)的用戶進(jìn)行身 份標(biāo)識和鑒別；b）操作系統(tǒng)和數(shù)據(jù)庫系

17、統(tǒng) 管理用戶身份標(biāo)識應(yīng)具 后不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并 定期更換；c） 應(yīng)啟用登錄失敗處理功 能，可采取結(jié)束會話、 限制非法登錄次數(shù)和自 動退出等措施；d）應(yīng)設(shè)置鑒別警示信息， 描述未授權(quán)訪問可能導(dǎo) 致的后果；e）當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管 理時，應(yīng)采取必要措施， 防止鑒別信息在網(wǎng)絡(luò)傳 輸過程中被竊聽；f）應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的/、同用戶分配不 同的用戶名，確保用戶 名具有唯一性；采用操作系統(tǒng)和數(shù)據(jù)庫 系統(tǒng)安全評估和加固服 務(wù)。g） 應(yīng)米用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別，并采用動態(tài)電子令牌身份認(rèn)證系統(tǒng)（如RSASecurlD）,其令牌應(yīng)當(dāng)10文檔來源為：從網(wǎng)絡(luò)收集

18、整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持且身份鑒別信息至少有一種是/、可偽造的。不口偽造。1.1.3.2安全標(biāo)記（S4）應(yīng)對所有主體和客體設(shè)置敏感標(biāo)記；采用安全操作系統(tǒng)（如一些國產(chǎn)Linux操作系統(tǒng)或B1級操作系統(tǒng)）或在C2級操作系統(tǒng)中安裝內(nèi)核加固軟件（如 浪潮SSR服務(wù)器安全加 固系統(tǒng)-適用Windows）。1.1.3.3訪問控制（S4）本項要求包括：a）應(yīng)依據(jù)安全策略和所有主體和客體設(shè)置的敏感 標(biāo)記控制主體對客體的 訪問；b） 訪問控制的粒度應(yīng)達(dá)到 主體為用戶級或進(jìn)程 級，客體為文件、數(shù)據(jù) 庫表、記錄和字段級。c）應(yīng)根據(jù)管理用戶的角色 分配權(quán)限，

19、實現(xiàn)管理用 戶的權(quán)限分離，僅授予 管理用戶所需的最小權(quán) 限；d）應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù) 庫系統(tǒng)特權(quán)用戶的權(quán)限 分離；e）應(yīng)嚴(yán)格限制默認(rèn)帳戶的采用安全操作系統(tǒng)（如一些國產(chǎn)Linux操作系統(tǒng)或B1級操 作系統(tǒng)）或在 C2級 操作系統(tǒng)中安裝內(nèi)核 加固軟件（如浪潮SSR服務(wù)器安全加固 系統(tǒng)-適用Windows ）。11文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持訪問權(quán)限，重命名系統(tǒng) 默認(rèn)帳戶，修改這些帳 戶的默認(rèn)口令；f） 應(yīng)及時刪除多余的、過 期的帳戶，避免共享帳戶的存在。.1.3.4可信路徑（S4）本項要求包括：a）在系統(tǒng)對用戶進(jìn)行身份

20、鑒別時，系統(tǒng)與用戶之 間應(yīng)能夠建立一條安全 的信息傳輸路徑。b）在用戶對系統(tǒng)進(jìn)行訪問 時，系統(tǒng)與用戶之間應(yīng) 能夠建立一條安全的信 息傳輸路徑。米用高等級安全操作 系統(tǒng)（如一些國產(chǎn)女 全操作系統(tǒng)或國際主 流操作系統(tǒng)廠商提供 的高級安全功能。）112文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持1.1.3.5安全審計（G4）本項要求包括：a） 審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每 個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b）審計內(nèi)谷應(yīng)包括重要用戶行為、系統(tǒng)資源的異 常使用和重要系統(tǒng)命令 的使用等系統(tǒng)內(nèi)重要的 安全相關(guān)事件；c） 審計記錄應(yīng)包括日期

21、和 時間、類型、主體標(biāo)識、客體標(biāo)識、事件的結(jié)果 等；服務(wù)器開啟日志功 能；重要客戶端安裝 終端安全管理軟件進(jìn) 行審計。d）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表；米用專業(yè)的日志審計系統(tǒng)。e）應(yīng)保護(hù)審計進(jìn)程，避免受到未預(yù)期的中斷；服務(wù)器采用安全操作 系統(tǒng)或安裝內(nèi)核加固 軟件，對審計進(jìn)程進(jìn) 行守護(hù)，防止進(jìn)程中 斷；重要客戶端的終 端安全管理代理進(jìn)程 具有自我保護(hù)機(jī)制。f） 應(yīng)保護(hù)審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等；g）應(yīng)能夠根據(jù)信息系統(tǒng)的采用專業(yè)的日志審計系統(tǒng)。13文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持統(tǒng)一安全策略,

22、實現(xiàn)集中審計。1.1.3.6 剩余信息保護(hù)（S4）本項要求包括：a）應(yīng)保證操作系統(tǒng)和數(shù)據(jù) 庫系統(tǒng)用戶的鑒別信息 所在的存儲空間，被釋 放或再分配給其他用戶 前得到完全清除，無論 這些信息是存放在硬盤 上還是在內(nèi)存中；b）應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資 源所在的存儲空間，被 釋放或重新分配給其他 用戶前得到完全清除。采用安全操作系統(tǒng)（如一些國產(chǎn)Linux操作系統(tǒng)或B1級操 作系統(tǒng)）或安裝Windows平臺的剩余信息保護(hù)軟件。（同客 體重用。）1.1,3,7 入侵防范（G4本項要求包括：a）應(yīng)能夠檢測到對重要服 務(wù)器進(jìn)行入侵的行為， 能夠記錄入侵的源IP、 攻擊的類型、攻擊的目 的、攻擊

23、的時間，開在 發(fā)生嚴(yán)重入侵事件時提 供報警；采用主機(jī)或網(wǎng)絡(luò)入侵檢 測系統(tǒng)。b）應(yīng)能夠?qū)χ匾绦虻耐?整性進(jìn)行檢測，并在檢 測到完整性受到破壞后 具有恢復(fù)的措施；米用安全操作系統(tǒng)或安 裝內(nèi)核加固軟件。14文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持c）操作系統(tǒng)應(yīng)遵循最小安 裝的原則，僅安裝需要 的組件和應(yīng)用程序，并 通過設(shè)置升級服務(wù)器等 方式保持系統(tǒng)補(bǔ)丁及時 得到更新。采用操作系統(tǒng)安全評估 和加固服務(wù)，并部署補(bǔ) 丁服務(wù)器。1.1,3.8惡息代碼防氾（G4）本項要求包括：a）應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫

24、；b）主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；c）應(yīng)支持防惡意代碼的統(tǒng)f理。安裝網(wǎng)絡(luò)版防病毒軟 件并與病毒過濾網(wǎng)關(guān) 異構(gòu)。1.1.3.9資源控制（A4）本項要求包括：a）應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖 定；采用操作系統(tǒng)安全評估 和加固服務(wù)。c）應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU硬盤、1內(nèi)存、網(wǎng)絡(luò)米用操作系統(tǒng)附帶或第 三方資源監(jiān)控軟件。15文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持等資源的使用情況；d）應(yīng)限制單個用戶對系統(tǒng) 資源的最

25、大或最小使用 限度；e）應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水 平降低到預(yù)先規(guī)定的最 小值進(jìn)行檢測和報警。1.1.4 應(yīng)用安全1.1,4,1身份鑒別（S4）本項要求包括：a）應(yīng)提供專用的登錄控制 模塊對登錄用戶進(jìn)行身 份標(biāo)識和鑒別；進(jìn)行應(yīng)用系統(tǒng)二次開 發(fā)。b） 應(yīng)對同一用戶米用兩種 或兩種以上組合的鑒別 技術(shù)實現(xiàn)用戶身份鑒 另L其中一種是/、可偽 造的；c）應(yīng)提供用戶身份標(biāo)識唯 一和鑒別信息復(fù)雜度檢 查功能，保證應(yīng)用系統(tǒng) 中不存在重復(fù)用戶身份 標(biāo)識，身份鑒別信息不 易被冒用；采用數(shù)字證書身份認(rèn)證 系統(tǒng)，證書和私鑰存放 在硬件Key中。d）應(yīng)提供登錄失敗處理功 能，可采取結(jié)束會話、 限制非法登錄次數(shù)和自 動退出等

26、措施；e）應(yīng)啟用身份鑒別、用戶 身份標(biāo)識唯一性檢查、 用戶身份鑒別信息復(fù)雜 度檢查以及登錄失敗處 理功能，并根據(jù)安全策 略配置相關(guān)參數(shù)。進(jìn)行應(yīng)用系統(tǒng)二次開 發(fā)。16文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持1.1.4.2安全標(biāo)記（S4）應(yīng)提供為主體和客體設(shè)置安 全標(biāo)記的功能并在安裝后啟 用；借助操作系統(tǒng)提供的安全標(biāo)記功能。1.1.4.3訪問控制（S4）本項要求包括：a）應(yīng)提供自主訪問控制功 能，依據(jù)安全策略控制 用戶對文件、數(shù)據(jù)庫表 等客體的訪問；b）自主訪問控制的覆蓋范 圍應(yīng)包括與信息安全直 接相關(guān)的主體、客體及 它們之間的操作

27、；c） 應(yīng)由授權(quán)主體配置訪問 控制策略，并禁止默認(rèn) 帳戶的訪問；d）應(yīng)授予不向帳戶為完成 各自承擔(dān)任務(wù)所需的最 小權(quán)限，并在它們之間 形成相互制約的關(guān)系；進(jìn)行應(yīng)用系統(tǒng)二次開 發(fā)，并結(jié)合采用第三 方身份認(rèn)證和訪問控 制系統(tǒng)。e） 應(yīng)通過比較安全標(biāo)記來 確止7授予還TE拒絕主 體對客體的訪問。借助安全操作系統(tǒng)或 內(nèi)核加固軟件提供的 強(qiáng)制訪問控制功能實 現(xiàn)。17文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持1.1.4.4可信路徑（S4）本項要求包括：a）在應(yīng)用系統(tǒng)對用戶進(jìn)行 身份鑒別時，應(yīng)能夠建 立一條安全的信息傳輸 路徑。b） 在用戶通過

28、應(yīng)用系統(tǒng)對 資源進(jìn)行訪問時，應(yīng)用 系統(tǒng)應(yīng)保證在被訪問的 資源與用戶之間應(yīng)能夠 建立一條安全的信息傳 輸路徑。應(yīng)用系統(tǒng)二次開發(fā)，并結(jié)合高等級安全操 作系統(tǒng)提供的可信路 徑功能。1.1.4.5 安全用（G4本項要求包括：a）應(yīng)提供覆蓋到每個用戶 的安全審計功能，對應(yīng) 用系統(tǒng)重要安全事件進(jìn) 行審計；應(yīng)保證無法單獨中斷審 計進(jìn)程，無法刪除、修 改或覆蓋審計記錄；審計記錄的內(nèi)谷至少應(yīng) 包括事件的日期、時間、發(fā)起者信息、類型、描 述和結(jié)果等；d）應(yīng)提供對審計記錄數(shù)據(jù) 進(jìn)行統(tǒng)計、查詢、分析 及生成審計報表的功 能；米用網(wǎng)絡(luò)審計結(jié)合日 志審計實現(xiàn)；應(yīng)用服 務(wù)器采用安全操作系 統(tǒng)或安裝內(nèi)核加固軟 件，對審計進(jìn)程

29、進(jìn)行 守護(hù)，防止進(jìn)程中斷。18文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持e）應(yīng)根據(jù)系統(tǒng)統(tǒng)一安全策略，提供集中審計接口。1.1,4.6剩余信息保護(hù)（S4）本項要求包括：a）應(yīng)保證用戶的鑒別信息 所在的存儲空間被釋放 或再分配給其他用戶前 得到完全清除，無論這 些信息是存放在硬盤上 還是在內(nèi)存中；b）應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資 源所在的存儲空間被釋 放或重新分配給其他用 戶前得到完全清除。向主機(jī)安全。19文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持通信完整性（

30、S4）應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。通信保密性（S4）本項要求包括：a）在通信雙方建立連接之 前，應(yīng)用系統(tǒng)應(yīng)利用密 碼技術(shù)進(jìn)行會話初始化 驗證；b）應(yīng)對通信過程中的整個 報文或會話過程進(jìn)行加 密；c）應(yīng)基于硬件化的設(shè)備對重要通信過程進(jìn)行加解密運(yùn)算和密鑰管理。1.1.4.9抗抵賴（G4）本項要求包括：a）應(yīng)具有在請求的情況下 為數(shù)據(jù)原發(fā)者或接收者 提供數(shù)據(jù)原發(fā)證據(jù)的功 能；b）應(yīng)具有在請求的情況下 為數(shù)據(jù)原發(fā)者或接收者 提供數(shù)據(jù)接收證據(jù)的功 臺匕 目匕。采用SSL或IPSEC技 術(shù)，結(jié)合基于數(shù)字證 書的PKI體系，重要 通信加解密采用專用 硬件加密卡。1.1.4.10軟件容錯（A4）

31、本項要求包括：a）應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機(jī)接進(jìn)行應(yīng)用系統(tǒng)二次開發(fā)。20文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持口輸入或通過通信接口 輸入的數(shù)據(jù)格式或長度 符合系統(tǒng)設(shè)定要求； b）應(yīng)提供自動保護(hù)功能，當(dāng)故障發(fā)生時自動保護(hù) 當(dāng)前所有狀態(tài)；c）應(yīng)提供自動恢復(fù)功能，當(dāng)故障發(fā)生時立即自動 啟動新的進(jìn)程，恢復(fù)原 來的工作狀態(tài)。1.1.4,11資源控制（A4）本項要求包括：a）當(dāng)應(yīng)用系統(tǒng)中的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b）應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制；c）應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進(jìn)行限制；d）應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；e）應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進(jìn)程占用的資源分配最大限額和最小限額；進(jìn)行應(yīng)用系統(tǒng)二次開 發(fā)或采用第三方應(yīng)用 監(jiān)控系統(tǒng)。21文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯文檔來源為：從網(wǎng)絡(luò)收集整理,word版本可編輯.歡迎下載支持f） 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平 降低到預(yù)先規(guī)定的最小 值進(jìn)行檢測和報警；g）應(yīng)提供服務(wù)優(yōu)先級設(shè)定 功能，并在安