2022軟件定義邊界實(shí)現(xiàn)等保2.0合規(guī)技術(shù)指南

11軟件定義邊界SDP實(shí)現(xiàn)等保2.0合規(guī)技術(shù)指南白皮書2020年4月目錄編者信息 2序言 3目錄 4簡介 8關(guān)于軟件定義邊界SDP 81.2關(guān)于等保2.0 13等級保護(hù)是國家信息安全管理的基本制度 13等保合規(guī)建設(shè)過程中遇到的問題 15SDP滿足等保2.0安全通用要求 162.1概述 16二級安全通用要求 17安全通用要求（二級）概述 172.2.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 192.2.3對“通信傳輸”的適用策略 192.2.4對“邊界安全”的適用策略 202.2.5對“訪問控制”的適用策略 202.2.6對“入侵防范”的適用策略 222.2.7對“安全審計(jì)”的適用策略 222.2.8對“身份鑒別”的適用策略 232.2.9對“訪問控制”的適用策略 242.2.10對“安全審計(jì)”的適用策略 242.2.11對“入侵防護(hù)”的適用策略 252.2.12對“數(shù)據(jù)完整性”的適用策略 26三級安全通用要求 27安全通用要求（三級）概述 272.3.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 292.3.3對“通信傳輸”的適用策略 302.3.4對“邊界防護(hù)”的適用策略 302.3.5對“訪問控制”的適用策略 312.3.6對“入侵防護(hù)”的適用策略 322.3.7對“安全審計(jì)”的適用策略 332.3.8對“身份鑒別”的適用策略 342.3.9對“訪問控制”的適用策略 352.3.10對“安全審計(jì)”的適用策略 362.3.11對“入侵防護(hù)”的適用策略 372.3.12對“數(shù)據(jù)完整性”的適用策略 382.3.13對“數(shù)據(jù)保密性”的適用策略 392.3.14對“集中管控”的適用策略 39四級安全通用要求 41?版權(quán)所有2020云安全聯(lián)盟大中華區(qū)4安全通用要求（四級）概述 412.4.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 432.4.3對“通信傳輸”的適用策略 442.4.4對“邊界防護(hù)”的適用策略 452.4.5對“訪問控制”的適用策略 462.4.6對“入侵防護(hù)”的適用策略 482.4.7對“安全審計(jì)”的適用策略 482.4.8對“身份鑒別”的適用策略 492.4.9對“訪問控制”的適用策略 502.4.10對“安全審計(jì)”的適用策略 512.4.11對“入侵防護(hù)”的適用策略 522.4.12對“數(shù)據(jù)完整性”的適用策略 532.4.13對“數(shù)據(jù)保密性”的適用策略 542.4.14對“集中管控”的適用策略 552.4.15SDP應(yīng)用于等級保護(hù)（四級）的合規(guī)注意事項(xiàng) 56SDP滿足等保2.0云計(jì)算安全擴(kuò)展要求 583.1概述 58云計(jì)算安全擴(kuò)展二級要求 603.2.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 613.2.2對“訪問控制”的適用策略 623.2.3對“入侵防范”的適用策略 623.2.4對“安全審計(jì)”的適用策略 633.2.5對“訪問控制”的適用策略 64云計(jì)算安全擴(kuò)展三級要求 643.3.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 653.3.2對“訪問控制”的適用策略 673.3.3對“入侵防范”的適用策略 673.3.4對“安全審計(jì)”的適用策略 683.3.5對“身份鑒別”的適用策略 693.3.6對“訪問控制”的適用策略 703.3.7對“入侵防范”的適用策略 703.3.8對“集中管控”的適用策略 71云計(jì)算安全擴(kuò)展四級要求 723.4.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 733.4.2對“訪問控制”的適用策略 753.4.3對“入侵防范”的適用策略 753.4.4對“安全審計(jì)”的適用策略 763.4.5對“身份鑒別”的適用策略 773.4.6對“訪問控制”的適用策略 773.4.7對“入侵防范”的適用策略 783.4.8對“集中管控”的適用策略 79SDP滿足等保2.0移動互聯(lián)安全擴(kuò)展要求 804.1概述 80移動互聯(lián)安全擴(kuò)展二級要求 844.2.1對“邊界防護(hù)”的適用策略 854.2.2對“訪問控制”的適用策略 854.2.3對“入侵防范”的適用策略 86對“移動應(yīng)用管控”的適用策略 87對“移動應(yīng)用軟件采購”的適用策略 87對“移動應(yīng)用軟件開發(fā)”的適用策略 88移動互聯(lián)安全擴(kuò)展三級要求 884.3.1對“邊界防護(hù)”的適用策略 894.3.2對“訪問控制”的適用策略 904.3.3對“入侵防范”的適用策略 90對“移動應(yīng)用管控”的適用策略 91對“移動應(yīng)用軟件采購”的適用策略 92對“移動應(yīng)用軟件開發(fā)”適用策略 924.3.7對“配置管理”的適用策略 93移動互聯(lián)安全擴(kuò)展四級要求 934.4.1對“邊界防護(hù)”適用策略 944.4.2對“訪問控制”的適用策略 954.4.3對“入侵防范”適用策略 954.4.4對“移動終端管控”適用策略 974.4.5對“移動應(yīng)用管控”適用策略 97對“移動應(yīng)用軟件采購”適用策略 98對“移動應(yīng)用軟件開發(fā)”適用策略 984.4.8對“配置管理”適用策略 99SDP滿足等保2.0物聯(lián)網(wǎng)安全擴(kuò)展要求 1005.1概述 100物聯(lián)網(wǎng)安全擴(kuò)展二級要求 101SDP的適用情況 1015.2.2對“接入控制”的適用策略 1035.2.3對“入侵防范”的適用策略 1045.2.4對“7.4.3安全運(yùn)維管理”的適用策略 104物聯(lián)網(wǎng)安全擴(kuò)展三級要求 105SDP的適用情況 1055.3.2對“接入控制“的適用策略 1065.3.3對“入侵防范”的適用策略 1075.3.4對“網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全”的適用策略 108物聯(lián)網(wǎng)安全擴(kuò)展四級要求 109SDP的適用情況 1095.4.2對“接入控制”的適用策略 1105.4.3對“入侵防范”的適用策略 110對“感知節(jié)點(diǎn)設(shè)備安全”的適用策略 111對“網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全”的適用策略 1125.4.6對“抗數(shù)據(jù)重放”的適用策略 1125.4.7對“數(shù)據(jù)融合處理”的適用策略 1135.4.8對“感知節(jié)點(diǎn)管理”的適用策略 113SDP滿足等保2.0工業(yè)控制系統(tǒng)安全擴(kuò)展要求 1156.1概述 115工業(yè)控制系統(tǒng)安全擴(kuò)展一級要求 1176.2.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1186.2.2對“訪問控制”的適用策略 1186.2.3對“無線使用控制”的適用策略 119工業(yè)控制系統(tǒng)安全擴(kuò)展二級要求 1196.3.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1206.3.2對“通訊傳輸”的適用策略 1216.3.3對“訪問控制”的適用策略 1216.3.4對“撥號使用控制”的適用策略 1226.3.5對“無線使用控制”的適用策略 123工業(yè)控制系統(tǒng)安全擴(kuò)展三級要求 1236.4.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1246.4.2對“通信傳輸”的適用策略 1256.4.3對“訪問控制”的適用策略 1256.4.4對“撥號使用控制”的適用策略 1266.4.5對“無線使用控制”的適用策略 1276.4.6對“控制設(shè)備安全”的適用策略 127工業(yè)控制系統(tǒng)安全擴(kuò)展四級要求 1286.5.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1296.5.2對“通信傳輸”的適用策略 1306.5.3對“訪問控制”的適用策略 1306.5.4對“撥號使用控制”的適用策略 1316.5.5對“無線使用控制”的適用策略 1326.5.6對“控制設(shè)備安全”的適用策略 1327總結(jié) 133PAGEPAGE10簡介SDP傳統(tǒng)企業(yè)網(wǎng)絡(luò)安全架構(gòu)通過建立一個固定的邊界使內(nèi)部網(wǎng)絡(luò)與外部世界分對于遠(yuǎn)VPN云的租戶不滿足共用防火墻，希望得到更個性化的服務(wù)，傳統(tǒng)防火墻和VPN不SaaSIaaSSoftware-Defined-Perimeter（SDP）安全技術(shù)架構(gòu)。SDPCSA2014GleZsr、思科、賽門鐵克、Akamai、VerizonSDP產(chǎn)品。軟件定義邊界（SDP）架構(gòu)由客戶端（Client）、管控平臺（也稱控制器，Controller）、應(yīng)用網(wǎng)關(guān)（Gateway）三個主要組件組成，如下圖所示：軟件定義邊界（SDP）架構(gòu)安全威脅SDP方案作用1數(shù)據(jù)泄露SDP通過添加預(yù)驗(yàn)證和預(yù)授權(quán)層來減少公開暴露的擊方式。剩余風(fēng)險(xiǎn)：數(shù)據(jù)泄露的幾個其他攻擊方式不適用于SDP，包括釣魚、錯誤配置和終端保護(hù)。授權(quán)用戶對授權(quán)資源的惡意訪問將不會被SDP直接阻止。SDP/SDPCSA發(fā)布的SDP安全威脅SDP方案作用1數(shù)據(jù)泄露SDP通過添加預(yù)驗(yàn)證和預(yù)授權(quán)層來減少公開暴露的擊方式。剩余風(fēng)險(xiǎn)：數(shù)據(jù)泄露的幾個其他攻擊方式不適用于SDP，包括釣魚、錯誤配置和終端保護(hù)。授權(quán)用戶對授權(quán)資源的惡意訪問將不會被SDP直接阻止。2管理過去，VPN是因?yàn)閂PN節(jié)。相比之下，SDP不允許廣泛的網(wǎng)絡(luò)訪問，并限制對份、證書和訪問管理有更大的彈性。SDP還可以在用戶訪問資源之前執(zhí)行強(qiáng)認(rèn)證。/來調(diào)整IAM流程，并確保訪問策略被正確定義。過于寬泛的準(zhǔn)入政策會帶來潛在的風(fēng)險(xiǎn)。3不安全的界面和API保護(hù)用戶界面不被未授權(quán)用戶訪問是SDP的核心能力。使用SDP，未經(jīng)授權(quán)的用戶（即攻擊者）無法訪問UI，因此無法利用任何漏洞。SDP還可以通過在用戶設(shè)備上運(yùn)行的進(jìn)程來保護(hù)API。目前SDP部署的主要焦點(diǎn)一直是保護(hù)用戶對服務(wù)器的訪問。剩余風(fēng)險(xiǎn)：服務(wù)器到服務(wù)器API調(diào)用在這個時候不是SDP的常見用例，因此API服務(wù)可能不會受到SDP系統(tǒng)的保護(hù)。4系統(tǒng)和應(yīng)用程序漏洞SDP顯著減少攻擊面，通過將系統(tǒng)和應(yīng)用程序的漏洞隱藏起來，對于未授權(quán)用戶不可見。在的攻擊可能性。其它安全系統(tǒng)如SIEM或IDS必須用來監(jiān)控訪問和網(wǎng)絡(luò)活動（威脅）。5賬號劫持基于會話cookie的帳戶劫持被SDP完全消除。如果沒有預(yù)先認(rèn)證和預(yù)先授權(quán)，并且攜帶適當(dāng)?shù)腟PA數(shù)話cookie，也不會被SDP網(wǎng)關(guān)準(zhǔn)入。于諸如地理定位等屬性來控制訪問的策略。6內(nèi)部惡意人員威脅SDP將限制內(nèi)部人員造成安全威脅的能力。適當(dāng)配置的SDP系統(tǒng)將具有限制用戶僅能訪問執(zhí)行業(yè)務(wù)功剩余風(fēng)險(xiǎn)：SDP不阻止授權(quán)用戶對授權(quán)資源的惡意訪問。7高級持續(xù)威脅攻擊APTS本質(zhì)上是復(fù)雜的、多方面的，不會被任何單一（APTS）的安全防御所阻止。SDP通過限制受感染終端尋找網(wǎng)絡(luò)目標(biāo)的能力，并且在整個政府部門/少攻擊面，從而降低APT的存在可能性和傳播。剩余風(fēng)險(xiǎn)：預(yù)防和檢測APTS需要多個安全系統(tǒng)和過程結(jié)合起來進(jìn)行深入的防御。8數(shù)據(jù)丟失SDP通過執(zhí)行最小權(quán)限原則，并將網(wǎng)絡(luò)資源對未授權(quán)用戶隱藏起來，來減少數(shù)據(jù)丟失的可能性。SDP可以通過適當(dāng)?shù)腄LP解決方案來增強(qiáng)。剩余風(fēng)險(xiǎn)：SDP不阻止授權(quán)用戶對授權(quán)資源的惡意訪問。9盡職調(diào)查不足SDP不適用10濫用和非法使用云服務(wù)SDP并不直接適用，但SDP供應(yīng)商的產(chǎn)品可能有能力檢測和了解云服務(wù)使用狀況。11DDoS拒絕服務(wù)SDP技術(shù)使得SDP和網(wǎng)關(guān)對阻止DDoS攻擊更有彈性。SPA與典型的TCP握手連接相比可花費(fèi)更少的資源，使服務(wù)器能相比，基于UDP的SPA進(jìn)一步提高了服務(wù)器的可用性。SPA顯著降低了由無效SPASDP系統(tǒng)仍然可能受到大規(guī)模DDoS攻擊的影響。12共享技術(shù)問題SDP可以由云服務(wù)提供商使用，以確保管理員對硬件和虛擬化基礎(chǔ)設(shè)施的訪問管理。剩余風(fēng)險(xiǎn)：云服務(wù)提供商除了SDP之外，還必須使用各種安全系統(tǒng)和流程。2.0要信息系統(tǒng)等級保護(hù)是國家信息安全管理的基本制度。1994年國務(wù)院發(fā)布了中華人民共和國國務(wù)院令（147號）《中華人民共和2003年中辦國辦聯(lián)合發(fā)布的中辦發(fā)[2003]27號文件—關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》的通知；2004年公安部、保密局、國密辦以及國信辦聯(lián)合發(fā)布的公通字[2004]66號文件—《關(guān)于信息安全等級保護(hù)工作的實(shí)施意見》；2005年后公安部陸續(xù)發(fā)布了《信息系統(tǒng)安全等級保護(hù)實(shí)施指南》、《信息息系統(tǒng)安全等級保護(hù)測評指南》。2007年公安部、保密局、國密辦和國信辦聯(lián)合發(fā)布的公通字[2007]43號文件—《信息安全等級保護(hù)管理辦法》。2008級信息系統(tǒng)的安全保護(hù)基本要求。201611，201761201844個方面，1920195132.0121級部門的監(jiān)管要求和政策法規(guī)的合規(guī)需求。等保2.0一共分為五級，逐級安全要求增強(qiáng)，具體每一級內(nèi)容如下：信息系統(tǒng)的安全保護(hù)等級內(nèi)容第一級：自主保護(hù)級法人和其他組織的合法權(quán)益產(chǎn)生損害，但不損害國家安全、社會秩序和公共利益。第二級：指導(dǎo)保護(hù)級適用于一般的信息系統(tǒng)，其受到破壞后，會對社會第三級：監(jiān)督保護(hù)級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成損害。第四級：強(qiáng)制保護(hù)級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成嚴(yán)重?fù)p害。第五級：專控保護(hù)級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)的核心系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成特別嚴(yán)重?fù)p害。60的單位不了解等級保護(hù)建設(shè)工作如何開展，70位缺乏相關(guān)的知識和應(yīng)對方案。SDP2.0安全通用要求概述2.0準(zhǔn)體系較1.0時代最大的變化，就是充分體現(xiàn)了“一個中心三重防御”的思想。一2.01.0動態(tài)的防御效果，強(qiáng)調(diào)事前預(yù)防、事中響應(yīng)、事后審計(jì)。軟件定義邊界（SDP）其本質(zhì)是一套訪問控制的策略體系，核心思想是構(gòu)建SDP2.0全網(wǎng)絡(luò)通信”的要求。事實(shí)上，SDP與等級保護(hù)2.0的總體思路是不謀而合的，二級安全通用要求（）在國家等級保護(hù)2.0的二級要求中，明確了二級要求的保護(hù)能力即“能夠防安全漏洞和輸出安全事件，在自身遭到損害后，能夠在一段時間內(nèi)恢復(fù)部分功能?！惫芾碇贫龋踩芾頇C(jī)構(gòu)，安全管理人員和安全運(yùn)維管理。通過對SDP的應(yīng)用打開了起點(diǎn)。要求項(xiàng)要求子項(xiàng)SDP適用情況7.1.1安全物理環(huán)境要求項(xiàng)要求子項(xiàng)SDP適用情況7.1.1安全物理環(huán)境--0不適用7.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗(yàn)證不適用7.1.3安全區(qū)域邊界邊界防護(hù)適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計(jì)適用見可信驗(yàn)證不適用7.1.4安全計(jì)算環(huán)境身份鑒別適用見訪問控制適用見安全審計(jì)適用見入侵防范適用見0惡意代碼防范不適用可信驗(yàn)證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)備份恢復(fù)不適用剩余信息保護(hù)不適用0個人信息保護(hù)不適用7.1.5安全管理中心系統(tǒng)管理不適用審計(jì)管理不適用7.1.6安全管理制度--不適用7.1.7安全管理機(jī)構(gòu)--不適用7.1.8安全管理人員--不適用7.1.9安全建設(shè)管理--0不適用7.1.10安全運(yùn)維管理--4不適用配地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。SDP針對第a、b條要求：SDP提供應(yīng)用層的邊界防護(hù)，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDP對于不同的網(wǎng)絡(luò)分區(qū)支持發(fā)布特有的應(yīng)用，由于SDP是通過SDP控制器來控制對應(yīng)的連接訪問，可以通過SDP的控制器來管理和控制對應(yīng)的區(qū)域，同時對應(yīng)的連接通過SDP客戶端和SDP網(wǎng)關(guān)進(jìn)行交互，大大提高了訪問的可靠性和安全性。SDP探測到服務(wù)器地址和端口。SDP應(yīng)采用校驗(yàn)技術(shù)保證通信過程中數(shù)據(jù)的完整性。SDP針對第a條要求：“應(yīng)采用校驗(yàn)技術(shù)保證通信過程中數(shù)據(jù)的完整性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性。應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信；SDPa跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨(dú)特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。a）應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外控接口拒絕所有通信。b)應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。/拒絕數(shù)據(jù)包進(jìn)出。應(yīng)根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)或提供明確的允許/拒絕訪問的能力。SDPSDP制。a也需要根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達(dá)業(yè)務(wù)系統(tǒng)，拒絕非法訪問。對于其他的情況需要視情況而定對應(yīng)的適用策略。a）應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)監(jiān)視網(wǎng)絡(luò)攻擊行為SDPaSDP重程度，以幫助有效監(jiān)控網(wǎng)絡(luò)攻擊行為。對應(yīng)的場景如果有變化，相應(yīng)的策略需要調(diào)整。要的用戶行為和重要安全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。SDPSDP的審計(jì)內(nèi)容覆蓋到每個終端用戶，對于行為和重要事件進(jìn)行記錄。包括除、修改和覆蓋等。ab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。SDP針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強(qiáng)制要求。針對第b條要求：SDP對登錄認(rèn)證有防爆破保護(hù)，以及連接超時自動注銷保護(hù)。針對第c條要求：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽，并且能防止中間人攻擊。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離。SDPSDP屬于訪問控制類別產(chǎn)品，具備賬號管理功能，能夠分配賬戶訪問與配置權(quán)限。即便合法的用戶，也需要根據(jù)自己的角色確定賬戶和訪問權(quán)限。針對第a、b條要求：SDP對所有的用戶的訪問連接都會進(jìn)行授權(quán)校驗(yàn)。針對第c、d條要求：SDP控制器對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。對“全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。SDPab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制。應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。SDP針對第a、b條要求：SDP本身的特性就默認(rèn)關(guān)閉所有端口，拒絕一切連接，在發(fā)生嚴(yán)重入侵事件時提供預(yù)警。針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進(jìn)行身份和設(shè)備的驗(yàn)證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進(jìn)行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補(bǔ)漏洞。對“和重要個人信息等。SDP針對第a條要求：SDP通過密碼技術(shù)（mTLS雙向TLS加密）對網(wǎng)絡(luò)傳輸進(jìn)行數(shù)據(jù)加密，保障數(shù)據(jù)的完整性。三級安全通用要求（）55要求項(xiàng)要求子項(xiàng)要求項(xiàng)要求子項(xiàng)SDP適用情況8.1.1安全物理環(huán)境--0不適用8.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗(yàn)證不適用8.1.3安全區(qū)域邊界邊界防護(hù)適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計(jì)適用見可信驗(yàn)證不適用8.1.4安全計(jì)算環(huán)境身份鑒別適用見訪問控制適用見安全審計(jì)適用見入侵防范適用見0惡意代碼防范不適用可信驗(yàn)證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)保密性適用見數(shù)據(jù)備份恢復(fù)不適用0剩余信息保護(hù)不適用0個人信息保護(hù)不適用8.1.5安全管理中心系統(tǒng)管理不適用審計(jì)管理不適用安全管理不適用集中管控適用見38.1.6安全管理制度--不適用8.1.7安全管理機(jī)構(gòu)--不適用8.1.8安全管理人員--不適用8.1.9安全建設(shè)管理--0不適用8.1.10安全運(yùn)維管理--4不適用應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要。地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。可用性。SDP針對第c、d條要求：SDP提供應(yīng)用層的邊界防護(hù)，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDPSDPSDPSDPSDP客戶端和SDP和安全性。SDP探測到服務(wù)器地址和端口。SDP應(yīng)采用校驗(yàn)技術(shù)保證通信過程中數(shù)據(jù)的完整性。應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。SDP針對第a、b條要求：SDP組件之間的傳輸過程使用mTLS進(jìn)行加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性，同時也能防止被監(jiān)聽、竊取。mTLS（RSAAESSHA256SM2、SM3、SM應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信。應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。SDP針對第a條要求：SDP作為軟件定義的邊界安全隔離產(chǎn)品，可以有效地提供跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨(dú)特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。bcSDPSDP網(wǎng)關(guān)SDPd間，只有通過SDP網(wǎng)關(guān)才能訪問到企業(yè)的資源，對于非授權(quán)用戶企業(yè)資源完全不可見，可以有效地防止非授權(quán)設(shè)備進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)訪問資源。下除允許通信外受控接口拒絕所有通信。應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出。應(yīng)能根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/e）應(yīng)對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實(shí)現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。SDPa根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達(dá)業(yè)務(wù)系統(tǒng)，拒絕非法訪問。e應(yīng)用內(nèi)容，包括https、RDP協(xié)議等檢測，以對不同應(yīng)用協(xié)議的訪問進(jìn)行不同的安全檢查。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。擊行為的分析。IP在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報(bào)警。SDPabc有的資源訪問日志，日志上傳到SDP控制器，控制器對訪問行為進(jìn)行分析，發(fā)現(xiàn)并自動阻斷網(wǎng)絡(luò)攻擊行為。針對第d條要求：SDP網(wǎng)關(guān)實(shí)時記錄所有訪問日志，日志內(nèi)容包括源IP和端口、目標(biāo)IP和端口，訪問設(shè)備、訪問時間等信息，同時對這些日志進(jìn)行大數(shù)據(jù)智能分析并發(fā)出預(yù)警。要的用戶行為和重要安全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。SDP的適用策略SDP的適用策略PAGEPAGE34SDP除、修改和覆蓋等。ab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。c份。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。SDP的適用策略SDP的適用策略PAGEPAGE35針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強(qiáng)制要求。針對第b條要求：SDP對登錄認(rèn)證有防爆破保護(hù)，以及連接超時自動注銷保護(hù)。針對第c條要求：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽。dUKey、生物特征等。這些鑒別技術(shù)可以采用密碼技術(shù)來實(shí)現(xiàn)。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離。則。應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。SDP的適用策略SDP的適用策略PAGEPAGE36SDP權(quán)限。即便合法的用戶，也需要根據(jù)自己的角色確定賬戶和訪問權(quán)限。針對第a，b條要求：SDP對所有的用戶訪問都會進(jìn)行授權(quán)校驗(yàn)。針對第c、d條要求：SDP對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。e用戶（業(yè)務(wù)系統(tǒng)的訪問控制。fSDPURL對“全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。應(yīng)對審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷。SDP的適用策略SDP的適用策略PAGEPAGE37ab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。針對第d條要求：SDP審計(jì)模塊通過監(jiān)控程序相互保護(hù)，在發(fā)生異常中斷時會通過監(jiān)控程序拉起。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制。應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。報(bào)警。SDP的適用策略SDP的適用策略PAGEPAGE38ab針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進(jìn)行身份和設(shè)備的驗(yàn)證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進(jìn)行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補(bǔ)漏洞。針對第f條要求：SDP會實(shí)時分析用戶行為，發(fā)現(xiàn)異常入侵行為，并阻斷和告警。對“和重要個人信息等。應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括PAGEPAGE42據(jù)和重要個人信息等。SDP針對第a、b條要求：SDP通過密碼技術(shù)對網(wǎng)絡(luò)傳輸進(jìn)行數(shù)據(jù)加密（mTLS，即雙向TLS），有效保障數(shù)據(jù)的完整性和保密性。對“數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；SDPaTLS），有效保障數(shù)據(jù)的完整性和保密性。對“控；應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管理；應(yīng)對分散在各個設(shè)備上的審計(jì)數(shù)據(jù)進(jìn)行收集匯總和集中分析，并保證審計(jì)記錄的留存時間符合法律法規(guī)要求；應(yīng)對安全策略、惡意代碼、補(bǔ)丁升級等安全相關(guān)事項(xiàng)進(jìn)行集中管理；應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進(jìn)行識別、報(bào)警和分析；SDP針對第a條要求：SDP控制器對所有接入的SDP網(wǎng)關(guān)和SDP客戶端進(jìn)行集中管控，SDP網(wǎng)關(guān)作為邊界隔離設(shè)備，可以有效對網(wǎng)絡(luò)資源進(jìn)行分區(qū)域管理。針對第b條要求：SDP控制器和所有SDP網(wǎng)關(guān)和SDP客戶端之間的通訊都基于雙向TLS（mTLS），保障信息傳輸?shù)陌踩?。針對第c條要求：SDP控制器實(shí)時監(jiān)控所有接入的客戶端、網(wǎng)關(guān)以及自身的服務(wù)器狀態(tài)，并且可以在后臺提供集中檢測的用戶界面。針對第d條要求：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。f并告警。四級安全通用要求（）說明，等級保護(hù)四級要求：“適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成損害。”要求項(xiàng)要求子項(xiàng)SDP適用情況9.1.1安全物理環(huán)境--0要求項(xiàng)要求子項(xiàng)SDP適用情況9.1.1安全物理環(huán)境--0不適用9.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗(yàn)證不適用9.1.3安全區(qū)域邊界邊界防護(hù)適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計(jì)適用見可信驗(yàn)證不適用9.1.4安全計(jì)算環(huán)境身份鑒別適用見訪問控制適用見安全審計(jì)適用見入侵防范適用見0惡意代碼防范不適用可信驗(yàn)證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)保密性適用見數(shù)據(jù)備份恢復(fù)不適用0剩余信息保護(hù)不適用0個人信息保護(hù)不適用9.1.5安全管理中心系統(tǒng)管理不適用審計(jì)管理不適用安全管理不適用集中管控適用見39.1.6安全管理制度--不適用9.1.7安全管理機(jī)構(gòu)--不適用9.1.8安全管理人員--不適用9.1.9安全建設(shè)管理--0不適用9.1.10安全運(yùn)維管理--4不適用應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要。地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段?？捎眯浴?yīng)按照業(yè)務(wù)服務(wù)的重要程度分配帶寬，優(yōu)先保障重要業(yè)務(wù)。SDP的適用策略針對第a、e條要求：屬于硬件和網(wǎng)絡(luò)運(yùn)營商能力范疇，SDP不適用。針對第c、d條要求：SDP提供應(yīng)用層的邊界防護(hù)，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDPSDPSDPSDPSDPSDP探測到服務(wù)器地址和端口。SDPfSDP應(yīng)采用校驗(yàn)技術(shù)保證通信過程中數(shù)據(jù)的完整性。應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。應(yīng)在通信前基于密碼技術(shù)對通信的雙方進(jìn)行驗(yàn)證或認(rèn)證。應(yīng)基于硬件密碼模塊對重要通信過程進(jìn)行密碼運(yùn)算和密鑰管理。SDP針對第a條要求：“應(yīng)采用校驗(yàn)技術(shù)保證通信過程中數(shù)據(jù)的完整性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性。針對第b條要求：“應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被監(jiān)聽、竊取。mTLS基于常見的密碼學(xué)算法（如數(shù)字簽名、散列、對稱加密）。國際上使用RSA、AES、SHA256等通用算法來實(shí)現(xiàn)，而國內(nèi)可以使用SM2、SM3、SM4等國密算法來實(shí)現(xiàn)。針對第c條要求：“應(yīng)在通信前基于密碼技術(shù)對通信的雙方進(jìn)行驗(yàn)證或認(rèn)證”，SDP的傳輸過程使用雙向mTLS進(jìn)行加密傳輸，采用基于密碼技術(shù)的數(shù)字證書及TLS字證書的合法性。針對第d條要求：“應(yīng)基于硬件密碼模塊對重要通信過程進(jìn)行密碼運(yùn)算和密SDP塊提供。SDPSDPUkey使用加密卡內(nèi)置加密算法，且使用加密卡進(jìn)行密鑰管理。應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信。應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。應(yīng)能夠在發(fā)現(xiàn)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為或內(nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為時，對其進(jìn)行有效阻斷。的設(shè)備真實(shí)可信。SDPa跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨(dú)特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。bcSDPSDP網(wǎng)關(guān)SDPd間，只有通過SDP網(wǎng)關(guān)才能訪問到企業(yè)的資源，對于非授權(quán)用戶企業(yè)資源完全不可見，可以有效地防止非授權(quán)設(shè)備進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)訪問資源。針對f條要求：SDP控制器對所有接入的設(shè)備進(jìn)行終端環(huán)境檢查、用戶行為檢查、身份認(rèn)證，保證接入到網(wǎng)絡(luò)的設(shè)備是身份可信、終端可信、行為可信。下除允許通信外受控接口拒絕所有通信。應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出。應(yīng)能根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。應(yīng)在網(wǎng)絡(luò)邊界通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)交換。SDPa根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP絕不符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達(dá)業(yè)務(wù)系統(tǒng)，拒絕非法訪問。eSDP訪問策略對通信協(xié)議進(jìn)行轉(zhuǎn)換或隔離。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。擊行為的分析。IP在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報(bào)警。SDPabc有的資源訪問日志，日志上傳到SDP控制器，控制器對訪問行為進(jìn)行分析，發(fā)現(xiàn)并自動阻斷網(wǎng)絡(luò)攻擊行為。針對第d條要求：SDP網(wǎng)關(guān)實(shí)時記錄所有訪問日志，日志內(nèi)容包括源IP和端口、目標(biāo)IP和端口，訪問設(shè)備、訪問時間等信息，同時對這些日志進(jìn)行大數(shù)據(jù)智能分析并發(fā)出預(yù)警。要的用戶行為和重要安全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。應(yīng)能對遠(yuǎn)程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨(dú)進(jìn)行行為審計(jì)和數(shù)據(jù)分析。SDPab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。c份。d據(jù)分析。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。SDP針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強(qiáng)制要求。針對第b條：SDP對登錄認(rèn)證有防爆破保護(hù)，以及連接超時自動注銷保護(hù)。針對第c條：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽。d等。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離。則。應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。g）應(yīng)對主體、客體設(shè)置安全標(biāo)記，并依據(jù)安全標(biāo)記和強(qiáng)制訪問控制規(guī)則確定主體對客體的訪問。SDP針對第a，b條要求：SDP屬于訪問控制類別產(chǎn)品，對所有的用戶訪問都會進(jìn)行授權(quán)校驗(yàn)。針對第c,d條：SDP對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。e（用戶（業(yè)務(wù)系統(tǒng)訪問控制。fSDPurlgSDP的安全標(biāo)記，并按照主體和客體的訪問關(guān)系設(shè)置訪問控制規(guī)則。對“全事件進(jìn)行審計(jì)。審計(jì)記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。等。應(yīng)對審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷。SDPab審計(jì)日志詳細(xì)記錄日期時間、用戶、事件詳情信息。針對第c條：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。針對第d條要求：SDP審計(jì)模塊通過監(jiān)控程序相互保護(hù)，在發(fā)生異常中斷時會通過監(jiān)控程序拉起。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制。應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。報(bào)警。SDPab針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進(jìn)行身份和設(shè)備的驗(yàn)證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進(jìn)行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補(bǔ)漏洞。針對第f條要求：SDP網(wǎng)關(guān)部署在重要節(jié)點(diǎn)上，會實(shí)時分析用戶行為，發(fā)現(xiàn)異常入侵行為，并阻斷和告警。對“和重要個人信息等。應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括據(jù)和重要個人信息等。數(shù)據(jù)接收證據(jù)，實(shí)現(xiàn)數(shù)據(jù)原發(fā)行為的抗抵賴和數(shù)據(jù)接收行為的抗抵賴。SDP針對第a條要求：SDP通過雙向TLS（mTLS）進(jìn)行數(shù)據(jù)加密傳輸，mTLS基于密碼技術(shù)，可以有效保障數(shù)據(jù)的完整性。cSDP訪問過程的主體的基于密碼學(xué)的數(shù)字簽名機(jī)制，以滿足可追溯的抗抵賴特性。對“數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。SDP針對第a條要求：SDP通過雙向TLS（mTLS）進(jìn)行數(shù)據(jù)加密傳輸。mTLS基于密碼技術(shù)，可以有效保障數(shù)據(jù)的保密性。對“控。應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管理。應(yīng)對分散在各個設(shè)備上的審計(jì)數(shù)據(jù)進(jìn)行收集匯總和集中分析，并保證審計(jì)記錄的留存時間符合法律法規(guī)要求。應(yīng)對安全策略、惡意代碼、補(bǔ)丁升級等安全相關(guān)事項(xiàng)進(jìn)行集中管理。應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進(jìn)行識別、報(bào)警和分析。SDP針對第a條要求：SDP控制器對所有接入的SDP網(wǎng)關(guān)和SDP客戶端進(jìn)行集中管控，SDP網(wǎng)關(guān)作為邊界隔離設(shè)備，可以有效對網(wǎng)絡(luò)資源進(jìn)行分區(qū)域管理。針對第b條要求：SDP控制器和所有SDP網(wǎng)關(guān)和SDP客戶端之間的通訊都基于雙向TLS（mTLS），保障信息傳輸?shù)陌踩?。針對第c條要求：SDP控制器實(shí)時監(jiān)控所有接入的客戶端、網(wǎng)關(guān)以及自身的服務(wù)器狀態(tài)，并且可以在后臺提供集中檢測的用戶界面。針對第d條要求：SDP控制器上支持設(shè)置審計(jì)日志的保存時間，并且定期備份。f并告警。SDP四級SDP行的網(wǎng)絡(luò)產(chǎn)品應(yīng)通過專業(yè)機(jī)構(gòu)的測評或認(rèn)證。SDP構(gòu)建四級系統(tǒng)時，需要重點(diǎn)關(guān)注密碼技術(shù)對SDP安全能力的提升，并充分考慮會公共利益或重要領(lǐng)域的核心業(yè)務(wù)，也會與關(guān)鍵基礎(chǔ)設(shè)施的范圍存在較大的重2020測關(guān)系表述，但隨著法律實(shí)施效果的顯現(xiàn)，可以預(yù)見SDP在高安全等級網(wǎng)絡(luò)中的所采用的密碼算法，密鑰管理和密碼產(chǎn)品或模塊應(yīng)用的合規(guī)性。此外，等級保護(hù)2.0風(fēng)險(xiǎn)。需要特殊注意的是，在密碼國家標(biāo)準(zhǔn)《GM/T0054-2018信息系統(tǒng)密碼應(yīng)用基本要求》第7.2.5節(jié)中，等保四級系統(tǒng)相較三級系統(tǒng)的增加要求如下：在SDP中常見的密碼模塊或密碼產(chǎn)品包括但不限于：TPM芯片、密碼卡、VPN滿足三級以上的產(chǎn)品資質(zhì)要求。SDP2.0概述2.0算還有單獨(dú)的擴(kuò)展要求。定的網(wǎng)絡(luò)地址，需要能夠動態(tài)的賦予用戶訪問權(quán)限。2.0SDP為中心的，而沒有基于預(yù)設(shè)的發(fā)起方（IH）和接受方（AH）的地址，因而能夠離和訪問控制手段。CSA提出采用以身份體系代替物理位置、網(wǎng)絡(luò)區(qū)域的SDP零信任架構(gòu)逐漸獲得業(yè)界認(rèn)可。雖然SDP的具體實(shí)現(xiàn)方式不在本文的討論范圍之內(nèi)，但是SDP控制器（Controller）SDP（Gateway）的形態(tài)確實(shí)對其部署位置有較大的影響，SDPSDPSDPSDP內(nèi)嵌式部署：SDPAgent系統(tǒng)中，并占用部分用戶計(jì)算資源。虛擬網(wǎng)元部署：SDP虛擬化部署在每臺宿主機(jī)上（控制）或者每個租戶私有網(wǎng)絡(luò)內(nèi)（問控制），取決于用戶所需的訪問策略需求。物理網(wǎng)元部署：SDP的隔離和訪問控制粒度較粗，能夠?qū)崿F(xiàn)云內(nèi)云外互訪的訪問策略需求。SDPGateway。接下來的章節(jié)將分別介紹SDP在等級保護(hù)2.0中對第二、三、四級云計(jì)算安全擴(kuò)展要求的適用情況和具體適用策略。云計(jì)算安全擴(kuò)展二級要求等級保護(hù)2.0第二級要求中，SDP能夠幫助用戶滿足或部分滿足的條目如下表所示。要求項(xiàng)要求子項(xiàng)SDP適用情況7.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用7.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用，見3.07.2.3安全區(qū)域邊界訪問控制適用，見3.0入侵防范適用，見3.0安全審計(jì)適用，見3.07.2.4安全計(jì)算環(huán)境訪問控制適用，見3.0鏡像和快照保護(hù)不適用數(shù)據(jù)完整性和保密性不適用數(shù)據(jù)備份恢復(fù)不適用剩余信息保護(hù)不適用7.2.5安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用7.2.6安全運(yùn)維管理云計(jì)算環(huán)境管理不適用應(yīng)保證云計(jì)算平臺不承載高于其安全保護(hù)等級的業(yè)務(wù)應(yīng)用系。應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機(jī)制的能力。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)SDP對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強(qiáng)制的單包授權(quán)（SPA）機(jī)制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強(qiáng)制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強(qiáng)加密隧道，保證通信傳輸安全，實(shí)現(xiàn)c)中通信傳輸保護(hù)；通過控制器下發(fā)安全策略，可以細(xì)粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）留下的痕跡，攻擊者入侵時被SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機(jī)制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP/服務(wù)器。SDP制，用戶和客戶需要使用的云服務(wù)只有在向SDP控制器和網(wǎng)關(guān)環(huán)境中注冊后才能訪問，且用戶只能通過確定的客戶端才能訪問有適當(dāng)訪問權(quán)限的服務(wù)。時間、攻擊流量等。應(yīng)能檢測到對虛擬網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。應(yīng)能檢測到虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間的異常流量。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗(yàn)證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機(jī)與宿主機(jī)、虛擬滿足本項(xiàng)中的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。應(yīng)對云服務(wù)商和云服務(wù)客戶在遠(yuǎn)程管理時執(zhí)行的特權(quán)命令進(jìn)行審計(jì),至少包括虛擬機(jī)刪除、虛擬機(jī)重啟；應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計(jì)。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計(jì)算客戶需要經(jīng)過SDP網(wǎng)關(guān)實(shí)現(xiàn)云資源遠(yuǎn)程管理以及數(shù)據(jù)的SDPa)項(xiàng)要求。應(yīng)保證當(dāng)虛擬機(jī)遷移時，訪問控制策略隨其遷移。應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機(jī)之間的訪問控制策略。云計(jì)算安全擴(kuò)展三級要求要求項(xiàng)要求子項(xiàng)要求項(xiàng)要求子項(xiàng)SDP適用情況8.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用8.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)部分適用，見3.08.2.3安全區(qū)域邊界訪問控制適用，見3.0入侵防范適用，見3.0安全審計(jì)適用，見3.08.2.4安全計(jì)算環(huán)境身份鑒別適用，見3.0訪問控制適用，見3.0入侵防范適用，見3.0鏡像和快照保護(hù)不適用數(shù)據(jù)完整性和保密性不適用數(shù)據(jù)備份恢復(fù)不適用剩余信息保護(hù)不適用8.2.5安全管理中心集中管控部分適用，見3.08.2.6安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用8.2.7安全運(yùn)維管理云計(jì)算環(huán)境管理不適用應(yīng)保證云計(jì)算平臺不承載高于其安全保護(hù)等級的業(yè)務(wù)應(yīng)用系統(tǒng)。應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機(jī)制的能力。應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求自主設(shè)置安全策略的能力，包括定義訪問路徑、選擇安全組件、配置安全策略。品或在云計(jì)算平臺選擇第三方安全服務(wù)。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)SDP對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強(qiáng)制的單包授權(quán)（SPA）機(jī)制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強(qiáng)制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強(qiáng)加密隧道，保證通信傳輸安全，實(shí)現(xiàn)c)中通信傳輸保護(hù)；通過控制器下發(fā)安全策略，可以細(xì)粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。SDP管理能力。它能夠支持云服務(wù)客戶根據(jù)業(yè)務(wù)需求自主設(shè)置安全策略和訪問方式，包括定義訪問路徑、選擇安全組件、配置安全策略。同時，SDP控制器，可以跟云平臺配合，將SDP網(wǎng)關(guān)與業(yè)務(wù)實(shí)現(xiàn)自動網(wǎng)絡(luò)編排。a）和e）項(xiàng)要求屬于管理實(shí)踐的范疇，不在SDP支持的范圍之內(nèi)，還需要結(jié)合其他措施實(shí)現(xiàn)本項(xiàng)的要求。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機(jī)制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP/服務(wù)器。SDP制，用戶和客戶需要使用的云服務(wù)只有在向SDP控制器和網(wǎng)關(guān)環(huán)境中注冊后才能訪問，且用戶只能通過確定的客戶端才能訪問有適當(dāng)訪問權(quán)限的服務(wù)。應(yīng)能檢測到云服務(wù)客戶發(fā)起的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。時間、攻擊流量等。應(yīng)能檢測到虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間的異常流量。應(yīng)在檢測到網(wǎng)絡(luò)攻擊行為、異常流量情況時進(jìn)行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗(yàn)證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機(jī)與宿主機(jī)、虛擬滿足本項(xiàng)中的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。a）應(yīng)對云服務(wù)商和云服務(wù)客戶在遠(yuǎn)程管理時執(zhí)行的特權(quán)命令進(jìn)行審計(jì),至少包括虛擬機(jī)刪除、虛擬機(jī)重啟。應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計(jì)。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計(jì)算客戶需要經(jīng)過SDP網(wǎng)關(guān)實(shí)現(xiàn)云資源遠(yuǎn)程管理以及數(shù)據(jù)的SDP和b）項(xiàng)要求。份驗(yàn)證機(jī)制。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP控制器進(jìn)行身份認(rèn)證，TLS（mTLS）通信方式，mTLS云計(jì)算平臺可集成SDP控制器，并提供網(wǎng)關(guān)。應(yīng)保證當(dāng)虛擬機(jī)遷移時，訪問控制策略隨其遷移。應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機(jī)之間的訪問控制策略。應(yīng)能檢測虛擬機(jī)之間的資源隔離失效，并進(jìn)行告警。應(yīng)能檢測非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)，并進(jìn)行告警。應(yīng)能夠檢測惡意代碼感染及在虛擬機(jī)間蔓延的情況，并進(jìn)行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶檢測虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間不符合訪問策略的異常訪問行為，滿足本項(xiàng)中a)、b)的要求，滿足本項(xiàng)中c)的要求。SDPSDP控制器SPA這在很大程度上，可以阻止惡意代碼在虛機(jī)間的蔓延。SDP源隔離失效非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)行記錄和告警。應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配。應(yīng)保證云計(jì)算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離。據(jù)并實(shí)現(xiàn)各自的集中審計(jì)。擬化網(wǎng)絡(luò)、虛擬機(jī)、虛擬化安全設(shè)備等的運(yùn)行狀況的集中監(jiān)測。SDPSDPSDP可作為集中管控的一部分，部分滿足本項(xiàng)中的相關(guān)要求。云計(jì)算平臺管理與云服務(wù)業(yè)務(wù)是兩種不同的業(yè)務(wù)，由不同的業(yè)務(wù)服務(wù)/服務(wù)同的目標(biāo)服務(wù)//設(shè)備才能發(fā)現(xiàn)對應(yīng)的隱藏服務(wù)//器只會接受對應(yīng)的用戶從確定的客戶端設(shè)備發(fā)起的連接。云計(jì)算安全擴(kuò)展四級要求等級保護(hù)2.0第四級要求中，SDP能夠幫助用戶滿足或部分滿足的條目如下表所示。要求項(xiàng)要求子項(xiàng)SDP適用情況9.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用9.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用，見09.2.3安全區(qū)域邊界訪問控制適用，見0入侵防范適用，見0安全審計(jì)部分適用，見09.2.4安全計(jì)算環(huán)境身份鑒別適用，見0訪問控制適用，見0入侵防范適用，見0鏡像和快照保護(hù)不適用數(shù)據(jù)完整性和保密不適用性數(shù)據(jù)備份恢復(fù)不適用剩余信息保護(hù)不適用9.2.5安全管理中心集中管控適用，見09.2.6安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用9.2.7安全運(yùn)維管理云計(jì)算環(huán)境管理不適用應(yīng)保證云計(jì)算平臺不承載高于其安全保護(hù)等級的業(yè)務(wù)應(yīng)用系統(tǒng)。應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機(jī)制的能力。問路徑、選擇安全組件、配置安全策略。品或在云計(jì)算平臺選擇第三方安全服務(wù)?？梢砸罁?jù)安全標(biāo)記和強(qiáng)制訪間控制規(guī)則確定主體對客體的訪問。應(yīng)提供通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等的數(shù)據(jù)交換方式，保證云服務(wù)客戶可以根據(jù)業(yè)務(wù)需求自主選擇邊界數(shù)據(jù)交換方式。應(yīng)為第四級業(yè)務(wù)應(yīng)用系統(tǒng)劃分獨(dú)立的資源池。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)、f)兩項(xiàng)的隔離和訪問控制要求。SDP控制器和網(wǎng)關(guān)保證用戶設(shè)備的SDP客戶端只能連接到有訪問權(quán)限的對應(yīng)云服務(wù)，不同客戶的用戶及其對應(yīng)的云服務(wù)對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強(qiáng)制的單包授權(quán)（SPA）機(jī)制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強(qiáng)制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強(qiáng)加密隧道，保證通信傳輸安全，實(shí)現(xiàn)c)中通信傳輸保護(hù)；通過控制器下發(fā)安全策略，可以細(xì)粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。SDP控制器實(shí)現(xiàn)安全控制中心功能，能夠幫助滿足d)項(xiàng)的要求。它能夠確管理能力。它能夠支持云服務(wù)客戶根據(jù)業(yè)務(wù)需求自主設(shè)置安全策略和訪問方式，包括定義訪問路徑、選擇安全組件、配置安全策略。同時，SDP控制器，可以跟云平臺配合，將SDP網(wǎng)關(guān)與業(yè)務(wù)實(shí)現(xiàn)自動網(wǎng)絡(luò)編排。a）和e）項(xiàng)要求屬于管理實(shí)踐的范疇，不在SDP支持的范圍之內(nèi)，還需要結(jié)合其他措施實(shí)現(xiàn)本項(xiàng)的要求。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機(jī)制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：等級保護(hù)2.0中的第四級要求不同等級的網(wǎng)絡(luò)必須物理隔離，因此，采用物理網(wǎng)元部署的SDP網(wǎng)關(guān)即可滿足本項(xiàng)所有要求。時間、攻擊流量等。應(yīng)能檢測到對虛擬網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。應(yīng)能檢測到虛擬機(jī)與宿主機(jī)、虛擬機(jī)與虛擬機(jī)之間的異常流量。應(yīng)在檢測到網(wǎng)絡(luò)攻擊行為、異常流量情況時進(jìn)行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗(yàn)證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機(jī)與宿主機(jī)、虛擬c)、d)的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。包括虛擬機(jī)刪除、虛擬機(jī)重啟。應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計(jì)。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計(jì)算客戶需要經(jīng)過SDP網(wǎng)關(guān)實(shí)現(xiàn)云資源遠(yuǎn)程管理和數(shù)據(jù)的操SDPa)和項(xiàng)要求。份驗(yàn)證機(jī)制。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP控制器進(jìn)行身份認(rèn)證，TLS（mTLS）通信方式，mTLS云計(jì)算平臺可集成SDP控制器，并提供網(wǎng)關(guān)。應(yīng)保證當(dāng)虛擬機(jī)遷移時，訪問控制策略隨其遷移；應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機(jī)之間的訪問控制策略。應(yīng)能檢測虛擬機(jī)之間的資源隔離失效，并進(jìn)行告警。應(yīng)能檢測非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)，并進(jìn)行告警。應(yīng)能夠檢測惡意代碼感染及在虛擬機(jī)間蔓延的情況，并進(jìn)行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶檢測虛擬機(jī)與宿主機(jī)、虛擬機(jī)與a)bc)的要求。SDPSDP控制器SPA這在很大程度上，可以阻止惡意代碼在虛機(jī)間的蔓延。SDP源隔離失效非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)行記錄和告警。應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配。應(yīng)保證云計(jì)算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離。據(jù)并實(shí)現(xiàn)各自的集中審計(jì)。擬化網(wǎng)絡(luò)、虛擬機(jī)、虛擬化安全設(shè)備等的運(yùn)行狀況的集中監(jiān)測。SDPSDPSDP可作為集中管控的一部分，部分滿足本項(xiàng)中的相關(guān)要求。云計(jì)算平臺管理與云服務(wù)業(yè)務(wù)是兩種不同的業(yè)務(wù)，由不同的業(yè)務(wù)服務(wù)/服務(wù)同的目標(biāo)服務(wù)//設(shè)備才能發(fā)現(xiàn)對應(yīng)的隱藏服務(wù)//器只會接受對應(yīng)的用戶從確定的客戶端設(shè)備發(fā)起的連接。SDP2.0概述端軟件發(fā)送移動設(shè)備管理、移動應(yīng)用管理和移動內(nèi)容管理策略等。移動互聯(lián)應(yīng)用架構(gòu)如下圖所示：圖：移動互聯(lián)應(yīng)用架構(gòu)移動互聯(lián)安全擴(kuò)展要求是針對移動終端、移動應(yīng)用和無線網(wǎng)絡(luò)提出的特殊安全要求,它們與安全通用要求一起構(gòu)成針對采用移動互聯(lián)技術(shù)的等級保護(hù)對象有線網(wǎng)絡(luò)之間的入侵防范,移動終端管控、移動應(yīng)用管控、移動應(yīng)用軟件采購、移動應(yīng)用軟件開發(fā)和配置管理。軟件定義邊界（SDP）基于零信任安全理念，可以很好的保護(hù)跨網(wǎng)絡(luò)的安全在固定網(wǎng)絡(luò)和移動網(wǎng)絡(luò)，都能提供可靠的隔離和訪問控制。在移動互聯(lián)網(wǎng)擴(kuò)展中，可以采用多種SDP部署方式。內(nèi)嵌式部署：SDP服務(wù)端。這種部署方式下用戶能夠定義任意兩臺設(shè)備之間的訪問策略，從而實(shí)現(xiàn)終端級別的細(xì)粒度隔離和訪問控制。但這種部署方式需要將Agent應(yīng)用側(cè)網(wǎng)關(guān)部署：SDP部署在移動應(yīng)用服務(wù)端前端位置。SDP移動互聯(lián)網(wǎng)側(cè)網(wǎng)關(guān)部署：SDP境中，部署在移動互聯(lián)網(wǎng)網(wǎng)絡(luò)匯聚出口處。SDPSDP用戶可以根據(jù)實(shí)際環(huán)境需要，選擇其中的一種方式或組合使用幾種方式部署SDP網(wǎng)關(guān)。SDP對標(biāo)移動互聯(lián)安全擴(kuò)展要求：要求項(xiàng)要求子項(xiàng)SDP適用情況7.3移動互聯(lián)安全擴(kuò)展要求（二級）7.3.1安全物理環(huán)境無線接入點(diǎn)的物理位置不適用7.3.2安全區(qū)域邊界邊界防護(hù)適用訪問控制適用入侵防范部分適用要求項(xiàng)要求子項(xiàng)SDP適用情況7.3移動互聯(lián)安全擴(kuò)展要求（二級）7.3.1安全物理環(huán)境無線接入點(diǎn)的物理位置不適用7.3.2安全區(qū)域邊界邊界防護(hù)適用訪問控制適用入侵防范部分適用7.3.3安全計(jì)算環(huán)境移動應(yīng)用管控不適用7.3.4安全建設(shè)管理移動應(yīng)用軟件采購不適用移動應(yīng)用軟件開發(fā)不適用8.3移動互聯(lián)安全擴(kuò)展要求（三級）8.3.1安全物理環(huán)境無線接入點(diǎn)的物理位置不涉及8.3.2安全區(qū)域邊界邊界防護(hù)適用訪問控制適用入侵防范接入設(shè)備的廣播、WPS等高風(fēng)險(xiǎn)功能”檢測和禁止未覆蓋8.3.3安全計(jì)算環(huán)境移動終端管控（遠(yuǎn)程擦除等涵蓋；移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行”未覆蓋8.3.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，組件驗(yàn)證要求嚴(yán)格，符合采購要求可通過驗(yàn)證。移動應(yīng)用軟件開發(fā)部分適用，組件驗(yàn)證要求嚴(yán)格，符合開發(fā)要求可通過驗(yàn)證。8.3.5安全運(yùn)維管理配置管理適用移動互聯(lián)安全擴(kuò)展二級要求2.0SDP詳細(xì)闡述。要求項(xiàng)要求子項(xiàng)SDP適用情況7.3.1安全物理環(huán)境位置無線接入點(diǎn)的物理不適用7.3.2安全區(qū)域邊界邊界防護(hù)適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，見.3安全計(jì)算環(huán)境移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行”未覆蓋，見.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，SDP組件驗(yàn)證要求嚴(yán)格，符合采購要求可通過驗(yàn)證，見.4.2移動應(yīng)用軟件開發(fā)部分適用，見.2.1設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)訪問和數(shù)據(jù)流通過無線接入網(wǎng)關(guān)設(shè)備的要求。無線終端作為SDP客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。無線接入設(shè)備應(yīng)開啟接入認(rèn)證功能，并且禁止使用WEP8SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDP2.0求，SDPWEP應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。應(yīng)能夠檢測到針對無線接入設(shè)備的網(wǎng)絡(luò)掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險(xiǎn)功能的開啟狀態(tài)。應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險(xiǎn)的功能，如：SSIDWEPAPSDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）bSDPDDoS擊和欺騙攻擊等行為。要求：SDPd）e)要求：SDP軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。應(yīng)具有選擇應(yīng)用軟件安裝、運(yùn)行的功能。應(yīng)只允許可靠證書簽名的應(yīng)用軟件安裝和運(yùn)行。SDPSDP本身不能提供相對應(yīng)功能，可通過SDP插件或與MAM（移動應(yīng)用管控）或MDM（移動設(shè)備管理）相關(guān)軟件聯(lián)動實(shí)現(xiàn)本項(xiàng)的要求。書簽名。應(yīng)保證移動終端安裝、運(yùn)行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進(jìn)行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDPSDP進(jìn)行資格審查，應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。移動互聯(lián)安全擴(kuò)展三級要求2.0SDP詳細(xì)闡述。要求項(xiàng)要求子項(xiàng)SDP適用情況8.3.1安全物理環(huán)境無線接入點(diǎn)的物理位置不適用8.3.2安全區(qū)域邊界邊界防護(hù)適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，“無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險(xiǎn)功能”檢測和禁止未覆蓋，見4.3.3。8.3.3安全計(jì)算環(huán)境移動終端管控部分適用，“移動終端遠(yuǎn)程管控（未涵蓋。移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行”未覆蓋，見.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，SDP組件驗(yàn)證要求嚴(yán)格，符合采購要求可通過驗(yàn)證，見4.3.5。移動應(yīng)用軟件開發(fā)部分適用，SDP組件驗(yàn)證要求嚴(yán)格，符合開發(fā)要求可通過驗(yàn)證。見4.3.6。8.3.5安全運(yùn)維管理配置管理適用，見4.3.7。設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的邊界防護(hù)要求。無線終端作為SDP客客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。密碼管理機(jī)構(gòu)批準(zhǔn)的密碼模塊進(jìn)行認(rèn)證。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDPSDP應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。應(yīng)能夠檢測到針對無線接入設(shè)備的網(wǎng)絡(luò)掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險(xiǎn)功能的開啟狀態(tài)。應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險(xiǎn)的功能，如：SSID廣播、WEP認(rèn)證等。AP使用同一個認(rèn)證密鑰。應(yīng)能夠阻斷非授權(quán)無線接入設(shè)備或非授權(quán)移動終端。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）和b)要求：由于SDP采用先認(rèn)證后接入的方式，天然拒絕非授權(quán)連接，而非檢測。c)要求：SDP不適用，依賴無線設(shè)備自身功能。d）和e)要求：SDP不適用，屬于管理范疇。f)要求：SDP支持阻斷非授權(quán)連接。軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。應(yīng)具有選擇應(yīng)用軟件安裝、運(yùn)行的功能。應(yīng)只允許指定證書簽名的應(yīng)用軟件安裝和運(yùn)行。應(yīng)具有軟件白名單功能，應(yīng)能根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP插件需要滿足移動應(yīng)用管控要求，如需要合適的證書簽名，加入到白名單中。書簽名。應(yīng)保證移動終端安裝、運(yùn)行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。移動應(yīng)用軟件開發(fā)”適用策略應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進(jìn)行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但是SDP要求發(fā)起方進(jìn)行身份驗(yàn)發(fā)的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。設(shè)備和非法移動終端的識別。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足，SDP需要先認(rèn)證后連接，因此必須要有終端配置管理和認(rèn)證服務(wù)。移動互聯(lián)安全擴(kuò)展四級要求2.0SDP詳細(xì)闡述。要求項(xiàng)要求子項(xiàng)SDP適用情況9.3.1安全物理環(huán)境無線接入點(diǎn)的物理位置不適用9.3.2安全區(qū)域邊界邊界防護(hù)適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，“無線接入設(shè)備的SSIDWPS4.4.3。9.3.3安全計(jì)算環(huán)境移動終端管控部分適用，“移動終端遠(yuǎn)程管控（未涵蓋，見4.4.4。移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行”未覆蓋，見.4安全建設(shè)管理采購移動應(yīng)用軟件部分適用，SDP組件驗(yàn)證要求嚴(yán)格，符合采購要求可通過驗(yàn)證，見4.4.6。開發(fā)移動應(yīng)用軟件部分適用，SDP組件驗(yàn)證要求嚴(yán)格，符合開發(fā)要求可通過驗(yàn)證，見4.4.7。9.3.5安全運(yùn)維管理配置管理適用，見.2.1邊界防護(hù)”適用策略a）應(yīng)保證有線網(wǎng)絡(luò)與無線網(wǎng)絡(luò)邊界之間的訪問和數(shù)據(jù)流通過無線接入網(wǎng)關(guān)設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的邊界防護(hù)要求。無線終端作為SDP客客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。訪問控制”的適用策略a）無線接入設(shè)備應(yīng)開啟接入認(rèn)證功能，并支持采用認(rèn)證服務(wù)器認(rèn)證或國家密碼管理機(jī)構(gòu)批準(zhǔn)的密碼模塊進(jìn)行認(rèn)證。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDPSDP入侵防范”適用策略應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。DDoS間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSIDWPS應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險(xiǎn)的功能，如：SSIDWEPAP應(yīng)能夠阻斷非授權(quán)無線接入設(shè)備或非授權(quán)移動終端。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）和b)要求：由于SDP采用先認(rèn)證后接入的方式，天然拒絕非授權(quán)連接，而非檢測。c)要求：SDP不適用，依賴無線設(shè)備自身功能。d）和e)要求：SDP不適用，屬于管理范疇。f)要求：SDP支持阻斷非授權(quán)連接。對于符合訪問策略的網(wǎng)絡(luò)攻擊行為，SDP需要結(jié)合用戶行為日志大數(shù)據(jù)分析軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。移動終端管控”適用策略應(yīng)保證移動終端安裝、注冊并運(yùn)行終端管理客戶端軟件。移動終端應(yīng)接受移動終端管理服務(wù)端的設(shè)備生命周期管理、設(shè)備遠(yuǎn)程控制，如：遠(yuǎn)程鎖定、遠(yuǎn)程擦除等。應(yīng)保證移動終端只用于處理指定業(yè)務(wù)。SDPSDP可以與移動設(shè)備管理軟件（MDM）配合，保證移動終端安裝了管理軟件才SDPc）。移動應(yīng)用管控”適用策略應(yīng)具有選擇應(yīng)用軟件安裝、運(yùn)行的功能。應(yīng)只允許指定證書簽名的應(yīng)用軟件安裝和運(yùn)行。應(yīng)具有軟件白名單功能，應(yīng)能根據(jù)白名單控制應(yīng)用軟件安裝、運(yùn)行。該策略對軟件實(shí)施管控的能力。SDP的適用策略：SDP的適用策略：PAGEPAGE98SDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP插件需要滿足移動應(yīng)用管控要求，如需要合適的證書簽名，加入到白名單中。移動應(yīng)用軟件采購”適用策略應(yīng)保證移動終端安裝、運(yùn)行的應(yīng)用軟件來自可靠分發(fā)渠道或使用可靠證書簽名。應(yīng)保證移動終端安裝、運(yùn)行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。移動應(yīng)用軟件開發(fā)”適用策略應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進(jìn)行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDP的適用策略：SDP的適用策略：PAGEPAGE99SDP本身不提供應(yīng)用移動應(yīng)用管控能力，但是SDP要求發(fā)起方進(jìn)行身份驗(yàn)發(fā)的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。配置