DB3305-T 253-2022 物聯(lián)中臺安全管理規(guī)范

ICS

03.080.99CCS

A

01DB3305 DB3305/T

—2022物聯(lián)中臺安全管理規(guī)范Internet

of

Things

Security

Standard

湖州市市場監(jiān)督管理局發(fā)

布DB3305/T

—2022 前言

.................................................................................

II1

范圍

................................................................................

12

規(guī)范性引用文件

......................................................................

13

術(shù)語和定義

..........................................................................

14

縮略語

..............................................................................

15

終端安全

............................................................................

16

傳輸安全

............................................................................

27

平臺安全

............................................................................

2DB3305/T

—2022 本標準旨在指導湖州市物聯(lián)中臺物聯(lián)感知體系規(guī)劃、建設及改造，夯實全域感知的基礎。本標準編寫原則：遵循國家感知終端有關(guān)法律法規(guī)，保證本文檔內(nèi)容能適用于物聯(lián)中臺建設需求，規(guī)范終端接入、數(shù)據(jù)轉(zhuǎn)發(fā)以及安全等相關(guān)活動。本文件由

湖州市大數(shù)據(jù)發(fā)展管理局提出并歸口。中移物聯(lián)網(wǎng)有限公司、中國移動通信集團浙江有限公司湖州分公司。云杰、鄭京天、王碩。IIDB3305/T

—20221 范圍本文件規(guī)定了物聯(lián)中臺相關(guān)的終端安全、傳輸安全、平臺安全等相關(guān)內(nèi)容。場景網(wǎng)絡信息安全參考。2規(guī)范性引用文件文件。GB/T

信息安全技術(shù)

網(wǎng)絡安全等級保護基本要求GB/T

信息安全技術(shù)

物聯(lián)網(wǎng)感知終端應用安全技術(shù)要求3 術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1物聯(lián)中臺

一接入和集中管理，向上面向第三方應用系統(tǒng)提供數(shù)據(jù)推送以及API接口服務，實現(xiàn)物聯(lián)數(shù)據(jù)統(tǒng)一標準匯聚以及多方共享。3.2網(wǎng)絡安全

cybersecurity穩(wěn)定可靠運行的狀態(tài)，以及保障網(wǎng)絡數(shù)據(jù)的完整性、保密性、可用性的能力。[GB/T

22239-2019，定義3.1]4 縮略語下列縮略語適用于本文件。GRE：通用路由封裝（

）IP：網(wǎng)際互連協(xié)議（Internet

Protocol）IPSec：互聯(lián)網(wǎng)安全協(xié)議（Internet

Protocol

Security）L2TP：第二層隧道協(xié)議（Layer

Tunneling

Protocol）5 終端安全DB3305/T

—20225.1終端物理安全物聯(lián)網(wǎng)終端選址時，應滿足GB∕T

36951-2018確立的下列選址要求：——在防盜竊防破壞、防水防潮、防極端溫度等方面滿足部署的要求；——在信號防干擾、防屏蔽、防阻擋等方面滿足部署環(huán)境的要求。5.2 終端軟件安全物聯(lián)網(wǎng)終端在軟件安全方面，應滿足下列要求：——僅安裝經(jīng)授權(quán)的軟件；——按照策略進行軟件補丁更新和升級，且保證所更新的數(shù)據(jù)是來源合法的和完整的；——安裝滿足業(yè)務安全功能需求的軟件并正確配置及使用；——確保維護單位對終端固件安全漏洞具備基礎的檢測和響應能力；——應兼容安全插件、安全SDK等，應具備安全基線檢查及配置能力。5.3 終端接入安全在接入物聯(lián)中臺時，終端應滿足下列要求：——能向接入網(wǎng)絡證明其網(wǎng)絡身份，具備唯一且可靠的網(wǎng)絡身份標識；——在采用插卡方式進行網(wǎng)絡身份鑒別時，應采取措施防止卡片被拔除或替換；——應保證密鑰存儲和交換安全；——對于可通過用戶口令直接登錄的終端，需確保用戶口令的復雜度符合相關(guān)規(guī)定；照相關(guān)規(guī)范記錄和上傳安全日志。5.4網(wǎng)絡訪問控制終端接入物聯(lián)中臺時，應具備如下能力：——可禁用業(yè)務需求以外的通信端口；——可設置網(wǎng)絡訪問控制策略，限制非必要主體對終端的網(wǎng)絡訪問。6 傳輸安全6.1 傳輸保密性6.1.1 終端接入物聯(lián)中臺時，應確保傳輸數(shù)據(jù)的保密性。6.1.2 應運用

GRE、L2TP、IPSec

等技術(shù)實現(xiàn)

APN

端到端的安全保障及身份認證。6.2 傳輸安全審計來源、數(shù)據(jù)去向、授權(quán)記錄等進行存證。7 平臺安全7.1 安全物理環(huán)境7.1.1 部署平臺的機房場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)，機房場地應避免設在建DB3305/T

—2022筑物的頂層或地下室，否則應加強防水和防潮措施。7.1.2 部署平臺的機房應具備物理訪問控制能力、防盜竊和防破壞能力、防火防雷擊能力、防水和防潮能力、防靜電能力、溫濕度控制能力、電力供應保障能力、電磁防護能力。7.2安全通信網(wǎng)絡7.2.1 網(wǎng)絡架構(gòu)7.2.1.1 應保證網(wǎng)絡設備的業(yè)務處理能力滿足業(yè)務高峰期需要。7.2.1.2 應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要。7.2.1.3 應劃分不同的網(wǎng)絡區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡區(qū)域分配地址。7.2.1.4 應避免將重要網(wǎng)絡區(qū)域部署在邊界處，重要網(wǎng)絡區(qū)域與其他網(wǎng)絡區(qū)域之間應采取可靠的技術(shù)隔離手段。7.2.1.5 應提供通信線路、關(guān)鍵網(wǎng)絡設備和關(guān)鍵計算設備的硬件冗余，保證系統(tǒng)的可用性。7.3 安全計算環(huán)境7.3.1 身份鑒別7.3.1.1 應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換。7.3.1.2 應具有登錄失敗處理功能，應配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關(guān)措施。7.3.1.3 當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。7.3.1.4 應采用口令、密碼技術(shù)等技術(shù)對用戶進行身份鑒別。7.3.2 訪問控制7.3.2.1

應對登錄的用戶分配賬戶和權(quán)限。7.3.2.2

應重命名或刪除默認賬戶，修改默認賬戶的默認口令。7.3.2.3

應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。7.3.2.4

應授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離。7.3.2.5

應由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則。7.3.2.6

訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級。7.3.2.7

應對重要主體和客體設置安全標記，并控制主體對有安全標記信息資源的訪問。7.3.3 安全審計7.3.3.1

應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計。7.3.3.2

審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。7.3.3.3

應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。7.3.3.4

應對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。7.3.3.5

審計日志能夠依照相關(guān)要求同物聯(lián)感知體系對應安全系統(tǒng)進行對接。7.3.4 入侵防范7.3.4.1 應遵循最小安裝的原則，僅安裝需要的組件和應用程序。7.3.4.2 應關(guān)閉不需要的系統(tǒng)服務、默認共享和高危端口。DB3305/T

—20227.3.4.3 應通過設定終端接入方式或網(wǎng)絡地址范圍對通過網(wǎng)絡進行管理的管理終端進行限制。7.3.4.4 應提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設定要求。7.3.4.5 應具備安全基線配置和下發(fā)能力，能夠通過安全巡檢發(fā)現(xiàn)安全風險，防范入侵事件。7.3.5 惡意代碼防范、并將其有效阻斷。7.3.6 數(shù)據(jù)完整性7.3.6.1 應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。7.3.6.2 應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。7.3.7 數(shù)據(jù)保密性7.3.7.1 應采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等。7.3.7.2 應采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等。7.3.8 個人信息保護7.3.8.1 應僅采集和保存業(yè)務必需的用戶個人信息。7.3.8.2 應禁止未授權(quán)訪問和非法使用用戶個人信息。7.4 安全區(qū)域邊界7.4.1 邊界防護7.4.1.1

應保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設備提供的受控接口進行通信。7.4.1.2

應能夠?qū)Ψ鞘跈?quán)設備私自聯(lián)到內(nèi)部網(wǎng)絡的行為進行檢查或限制。7.4.1.3

應能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡的行為進行檢查或限制。7.4.1.4

應限制無線網(wǎng)絡的使用，保證無線網(wǎng)絡通過受控的邊界設備接入內(nèi)部網(wǎng)絡。7.4.2 訪問控制7.4.2.1 應在網(wǎng)絡邊界或區(qū)域之間根據(jù)訪問控制策略設置訪問控制規(guī)則，默認情況下除允許通信外受控接口拒絕所有通信。7.4.2.2 應刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。7.4.2.3 應對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出。7.4.2.4 應能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。7.4.2.5 應對進出網(wǎng)絡的數(shù)據(jù)流實現(xiàn)基于應用協(xié)議和應用內(nèi)容的訪問控制。7.4.3 入侵防范7.4.3.1 應在關(guān)鍵網(wǎng)絡節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡攻擊行為。7.4.3.2 應在關(guān)鍵網(wǎng)絡節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡攻擊行為。DB3305/T

—20227.4.3.3 應采取技術(shù)措施對網(wǎng)絡行為進行分析，實現(xiàn)對網(wǎng)絡攻擊特別是新型網(wǎng)絡攻擊行為的分析。7.4.3.4

件時應提供報警。7.4.3.5 具備針對網(wǎng)絡安全攻擊的態(tài)勢分析、預警和應急響應能力。7.4.4 安全審計7.4.4.1 應在網(wǎng)絡邊界、重要網(wǎng)絡節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計。7.4.4.2 審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。7.4.4.3 應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。7.4.4.4應能對遠程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨進行行為審計和數(shù)據(jù)分析。7.5 安全管理中心7.5.1 系統(tǒng)管理7.5.1.1 應對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計。7.5.1.2 應通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括用戶身份、系統(tǒng)資源配置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數(shù)據(jù)和設備的備份與恢復等。7.5.2 審計管理7.5.2.1 應對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并對這些操作進行審計。7.5.2.2 應通過審計管理員對審計記錄應進行分析，并根據(jù)分析結(jié)果進行處理，包括根據(jù)安全審計策略對審計記錄進行存儲、管理和查詢等。7.5.2.3 應通過如分布式存儲、區(qū)塊鏈等技術(shù)確保審計記錄不被篡改。7.5.3安全管理7.5.3.1應對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并對這些操作進行審計。7.5.3.2 應通過安全管理員對系統(tǒng)中的安全策略進行配置，包括安全參數(shù)的設置，主體、客體進行統(tǒng)一安全標記，對主體進行授權(quán)，配置可信驗證策略等。7.5.4 集中管控7.5.4.1 應劃分出特定的管理區(qū)域，對