《信息安全技術(shù) 基于互聯(lián)網(wǎng)電子政務(wù)信息安全實(shí)施指南 第4部分：終端安全防護(hù)》

GB/Z××××—××××

ICS3n5g.040

L80GB

中華人民共和國國家標(biāo)準(zhǔn)化指導(dǎo)性技術(shù)文件

GB/Z××××—××××

信息安全技術(shù)

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實(shí)施指南

第4部分：終端安全防護(hù)

Informationsecuritytechnology–GuideofImplementationforInternet-based

E-GovernmentInformationSecurity-Part4:DefenseforTerminal

（征求意見稿）

××××-××-××發(fā)布××××-××-××實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

1發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會(huì)

GB/Z××××—××××

II

GB/Z××××—××××

引言

互聯(lián)網(wǎng)已成為重要的信息基礎(chǔ)設(shè)施，積極利用互聯(lián)網(wǎng)進(jìn)行我國電子政務(wù)建設(shè)，既能提高效率、擴(kuò)大

服務(wù)的覆蓋面，又能節(jié)約資源、降低成本。利用開放的互聯(lián)網(wǎng)開展電子政務(wù)建設(shè)，面臨著計(jì)算機(jī)病毒、

網(wǎng)絡(luò)攻擊、信息泄漏、身份假冒等安全威脅和風(fēng)險(xiǎn)。為推進(jìn)互聯(lián)網(wǎng)在我國電子政務(wù)中的應(yīng)用，指導(dǎo)基于

互聯(lián)網(wǎng)電子政務(wù)信息安全保障工作，特制定本指導(dǎo)性技術(shù)文件。

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實(shí)施指南標(biāo)準(zhǔn)由基于互聯(lián)網(wǎng)電子政務(wù)信息安全實(shí)施指南總則、接入控

制與安全交換、身份認(rèn)證與授權(quán)管理、終端安全防護(hù)四部分組成?；诨ヂ?lián)網(wǎng)電子政務(wù)信息安全實(shí)施指

南總則，是基于互聯(lián)網(wǎng)電子政務(wù)信息安全建設(shè)的總攬,可指導(dǎo)政府部門建立基于互聯(lián)網(wǎng)電子政務(wù)信息安

全系統(tǒng)，構(gòu)建基于互聯(lián)網(wǎng)電子政務(wù)信息安全體系；接入控制與安全交換、身份認(rèn)證與授權(quán)管理與終端安

全防護(hù)三個(gè)規(guī)范，分別從互聯(lián)網(wǎng)電子政務(wù)中安全互聯(lián)與接入控制、政務(wù)辦公與政務(wù)服務(wù)安全、政務(wù)終端

安全防護(hù)三個(gè)關(guān)鍵實(shí)施點(diǎn)，對基于互聯(lián)網(wǎng)電子信息安全系統(tǒng)建設(shè)進(jìn)行規(guī)范。

本指導(dǎo)性技術(shù)文件主要適用于沒有電子政務(wù)外網(wǎng)專線或沒有租用通信網(wǎng)絡(luò)專線條件的組織機(jī)構(gòu)，開

展開展非涉及國家秘密的電子政務(wù)建設(shè)，當(dāng)建設(shè)需要時(shí)，可根據(jù)安全策略與電子政務(wù)外網(wǎng)進(jìn)行安全對接。

III

GB/Z××××—××××

信息安全技術(shù)基于互聯(lián)網(wǎng)電子政務(wù)信息安全實(shí)施指南

第4部分：終端安全防護(hù)

1范圍

本指導(dǎo)性技術(shù)文件按照終端安全防護(hù)策略，明確了基于互聯(lián)網(wǎng)電子政務(wù)終端的安全防護(hù)技術(shù)要求，

為管理人員、工程技術(shù)人員、信息安全產(chǎn)品提供者進(jìn)行政務(wù)終端的安全防護(hù)提供管理和技術(shù)參考。

2規(guī)范性引用文件

下列文件中的條款通過在本指導(dǎo)性技術(shù)文件的引用而成為本指導(dǎo)性技術(shù)文件的條款。凡注明日期的

引用文件，其后的任何修改（不包括勘誤的內(nèi)容）或修訂版都不適用于本指導(dǎo)性技術(shù)文件。凡未注明日

期的引用文件，其最新版本適用于本指導(dǎo)性技術(shù)文件。

GB/T302781－2013信息安全技術(shù)政務(wù)計(jì)算機(jī)終端核心配置規(guī)范

GB/TEEEEEE－FFFF信息安全技術(shù)政府聯(lián)網(wǎng)計(jì)算機(jī)終端安全基本要求

3術(shù)語和定義

下列術(shù)語和定義適用于本指導(dǎo)性技術(shù)文件。

3.1

安全政務(wù)終端securityterminalofgovernment

滿足政務(wù)辦公安全防護(hù)技術(shù)要求，能夠開展政務(wù)辦公與業(yè)務(wù)應(yīng)用的計(jì)算機(jī)終端。

4縮略語

Email電子郵件（Electronicmail）

FTP文件傳輸協(xié)議（FileTransferProtocol）

IIS互聯(lián)網(wǎng)信息服務(wù)（InternetInformationServices）

IP互聯(lián)網(wǎng)協(xié)議（InternetProtocol）

WWW萬維網(wǎng)（WorldWideWeb）

5終端安全功能與實(shí)施原則

5.1安全脆弱點(diǎn)

計(jì)算機(jī)終端作為基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)的基本工作單元，承擔(dān)和參與政務(wù)信息的加工、處理、存

儲(chǔ)和傳輸?shù)戎匾ぷ?，主要安全威脅和脆弱點(diǎn)包括：

a)互聯(lián)網(wǎng)惡意攻擊

基于互聯(lián)網(wǎng)電子政務(wù)終端極易遭受來自互聯(lián)網(wǎng)的病毒、木馬等惡意代碼攻擊，將會(huì)導(dǎo)致政務(wù)終端產(chǎn)

生信息泄漏、身份假冒、虛假消息發(fā)布和工作效率降低等安全風(fēng)險(xiǎn)。

b)補(bǔ)丁升級滯后

操作系統(tǒng)、應(yīng)用軟件漏洞補(bǔ)丁不能及時(shí)更新，將會(huì)給病毒和木馬等惡意代碼帶來可乘之機(jī)，進(jìn)而威

脅整個(gè)應(yīng)用系統(tǒng)。

c)終端非法接入

1

GB/Z××××—××××

當(dāng)非授權(quán)終端接入電子政務(wù)系統(tǒng)進(jìn)行政務(wù)辦公訪問網(wǎng)絡(luò)資源時(shí)，會(huì)對政務(wù)網(wǎng)絡(luò)、合法終端以及應(yīng)用

系統(tǒng)帶來安全隱患。

d)系統(tǒng)安全配置不合理

操作系統(tǒng)安全配置項(xiàng)如果不能進(jìn)行合理的選擇和部署,不僅消弱系統(tǒng)自身的防護(hù)能力,降低防范的

實(shí)施效率,同時(shí)造成維護(hù)成本的增加。

5.2安全功能

基于互聯(lián)網(wǎng)電子政務(wù)終端圍繞統(tǒng)一安全策略，需實(shí)現(xiàn)核心安全配置、狀態(tài)實(shí)時(shí)監(jiān)測、系統(tǒng)補(bǔ)丁升級、

惡意代碼查殺和用戶操作審計(jì)等功能。

a)核心安全配置

核心安全配置適用于使用windows操作系統(tǒng)的終端，對終端的帳戶密碼策略、賬戶鎖定策略、本地

審核策略、本地用戶權(quán)限指派、事件日志、IE安全配置和系統(tǒng)服務(wù)等項(xiàng)進(jìn)行配置，加固操作系統(tǒng)。

b)狀態(tài)實(shí)時(shí)監(jiān)測

管理員可以實(shí)時(shí)監(jiān)測到終端運(yùn)行狀態(tài)，實(shí)現(xiàn)對接入政務(wù)網(wǎng)絡(luò)終端的實(shí)時(shí)管理和維護(hù)，終端狀態(tài)包括

運(yùn)行進(jìn)程、啟動(dòng)服務(wù)和網(wǎng)絡(luò)連接等信息。

c)系統(tǒng)軟件升級

計(jì)算機(jī)終端系統(tǒng)軟件和主要應(yīng)用軟件的升級宜及時(shí)和安全，通過監(jiān)測終端的漏洞和補(bǔ)丁等信息，由

統(tǒng)一的補(bǔ)丁漏洞管理平臺(tái)自動(dòng)下發(fā)給終端。

d)惡意代碼查殺

為防范惡意代碼，宜采用殺毒引擎阻斷未知病毒和網(wǎng)絡(luò)入侵。惡意代碼查殺包括有效清除木馬、蠕

蟲、后門、流氓軟件、間諜軟件、廣告程序、ARP病毒和網(wǎng)頁掛馬等威脅。

e)用戶操作審計(jì)

對終端用戶和管理員用戶的行為進(jìn)行識別、記錄、存儲(chǔ)和分析，為安全管理人員和決策者提供有效

數(shù)據(jù)，便于事件分析調(diào)查、適時(shí)調(diào)整安全策略。

5.3實(shí)施原則

基于互聯(lián)網(wǎng)電子政務(wù)終端安全防護(hù)的實(shí)施原則包括：

a)適度安全

政務(wù)終端應(yīng)根據(jù)不同的安全應(yīng)用模式采用適度的安全防護(hù)措施，合理配置和部署，進(jìn)行有效管理

和實(shí)施。

b)操作方便

充分考慮到我國信息安全技術(shù)發(fā)展和應(yīng)用現(xiàn)狀，基于互聯(lián)網(wǎng)電子政務(wù)終端安全防護(hù)措施應(yīng)易于實(shí)

施，操作方便。

c)兼容性

終端安全防護(hù)產(chǎn)品與電子政務(wù)辦公系統(tǒng)應(yīng)具有兼容性，避免因終端安全防護(hù)措施導(dǎo)致政務(wù)辦公無法

實(shí)施的現(xiàn)象發(fā)生。

6終端安全應(yīng)用模式

6.1終端基本安全應(yīng)用模式

大多數(shù)計(jì)算機(jī)終端在政務(wù)辦公時(shí)終端所處的物理環(huán)境相對固定，終端處理的信息主要是公開信息，

不涉及或很少涉及政務(wù)辦公中的內(nèi)部受控信息。這部分終端宜采用基本安全應(yīng)用模式。該模式提供政務(wù)

辦公所需的基本安全防護(hù)功能，滿足國家標(biāo)準(zhǔn)GB/T302781－2013《信息安全技術(shù)政務(wù)計(jì)算機(jī)終端核

2

GB/Z××××—××××

心配置規(guī)范》和GB/TEEEEEE－FFFF《信息安全技術(shù)政府聯(lián)網(wǎng)計(jì)算機(jī)終端安全基本要求》的要求，是

基于互聯(lián)網(wǎng)電子政務(wù)終端安全防護(hù)的基礎(chǔ)。

6.2終端增強(qiáng)安全應(yīng)用模式

部分計(jì)算機(jī)終端在政務(wù)辦公中需要處理或涉及大量敏感信息，這類終端的防護(hù)，除了具備基本安全

防護(hù)外，還需要實(shí)施終端增強(qiáng)安全防護(hù)，只有安全性評估合格的終端才允許接入政務(wù)網(wǎng)絡(luò)。該應(yīng)用模式

提供了政務(wù)辦公的增強(qiáng)安全防護(hù)。

6.3移動(dòng)終端安全應(yīng)用模式

當(dāng)政務(wù)人員在移動(dòng)環(huán)境中使用不可靠的計(jì)算機(jī)終端進(jìn)行政務(wù)辦公時(shí)，適宜采用移動(dòng)終端安全應(yīng)用模

式。通過構(gòu)建獨(dú)立于宿主機(jī)的操作系統(tǒng)環(huán)境和辦公應(yīng)用軟件，以及隔離于宿主機(jī)硬盤的安全存儲(chǔ)區(qū)來實(shí)

現(xiàn)該應(yīng)用模式下的終端安全防護(hù)。

7終端基本安全防護(hù)要求

7.1系統(tǒng)服務(wù)配置

主要內(nèi)容包括：

a)禁用Alerter服務(wù)。終端用戶不需要接受來自計(jì)算機(jī)系統(tǒng)管理級警報(bào)（AdministrativeAlerts）。

b)禁用ClipBook服務(wù)。禁止與遠(yuǎn)程電腦共享剪貼板內(nèi)容。

c)禁用FTPPublishingService。禁止開啟FTP服務(wù)。

d)禁用IISAdminService。禁用IIS管理。

e)禁用Messenger。禁用信使服務(wù)。

f)禁用NetMeetingRemoteDesktopSharing。禁用netmeeting遠(yuǎn)程桌面共享

g)禁用RoutingandRemoteAccess。禁用軟件路由器功能

h)禁用SSDPDiscoveryService。禁用簡易服務(wù)發(fā)現(xiàn)協(xié)議SSDP的服務(wù)，該服務(wù)用于家庭網(wǎng)絡(luò)中

的UPnP設(shè)備的發(fā)現(xiàn)。

i)禁用Telnet。禁用Telnet服務(wù)。

j)禁用WorldWideWebPublishingServices。禁用WWW服務(wù)。

7.2帳戶策略配置

7.2.1帳戶密碼策略

主要內(nèi)容包括：

a)密碼符合復(fù)雜性要求宜啟用；

b)密碼長度最小值宜設(shè)置為不小于8的數(shù)字；

c)強(qiáng)制密碼歷史宜設(shè)置為不小于6的數(shù)字。

7.2.2賬戶鎖定策略

主要內(nèi)容包括：

主要內(nèi)容包括：

a)帳戶鎖定閾值，即用戶帳戶被鎖定的登錄嘗試失敗的次數(shù)不大于5；

b)賬戶鎖定時(shí)間，即鎖定帳戶在自動(dòng)解鎖之前保持鎖定的分鐘數(shù)不小于15。

7.3日志與審核策略配置

7.3.1事件日志

主要內(nèi)容包括：

a)設(shè)置系統(tǒng)日志、安全日志和應(yīng)用日志的最大字節(jié)分別不小于16384KB、81920KB和16384KB；

b)禁止本地Guests組訪問系統(tǒng)日志、安全日志和應(yīng)用日志

c)設(shè)置系統(tǒng)日志、安全日志和應(yīng)用日志的保留方法為按需要覆蓋事件，且不能定義日志的保留天

數(shù)。

3

GB/Z××××—××××

7.3.2本地審核

主要內(nèi)容包括：

a)審核賬戶登錄事件，即在本地帳戶登錄成功時(shí)和失敗時(shí)生成審核項(xiàng)；

b)審核特權(quán)使用，即在用戶權(quán)限執(zhí)行失敗時(shí)生成審核項(xiàng)；

c)審核策略更改，即在成功更改用戶權(quán)限分配策略、審核策略或信任策略時(shí)生成審核項(xiàng)；

d)審核系統(tǒng)事件，即在系統(tǒng)事件執(zhí)行成功時(shí)生成審核項(xiàng)。系統(tǒng)事件包括用戶重新啟動(dòng)或關(guān)閉計(jì)算

機(jī)時(shí)或者在發(fā)生影響系統(tǒng)安全或安全日志的事件等；

e)審核帳戶管理，即審核計(jì)算機(jī)上的每個(gè)帳戶管理事件的成功和失敗操作。

7.4瀏覽器安全配置

對管理模板中windows組件中的InternetExplorer進(jìn)行安全配置，主要內(nèi)容包括：

a)禁止InternetExplorer自動(dòng)安裝組件；

b)禁止InternetExplorer檢查是否有新版本；

c)禁用程序啟動(dòng)時(shí)的軟件更新通知。如果啟用該策略，則在使用軟件分發(fā)頻道更新程序時(shí)，用戶

將不會(huì)被通知而程序自動(dòng)進(jìn)行更新操作。如果禁用該策略或不對其進(jìn)行配置，則在更新程序之

前用戶將收到通知。

d)禁止用戶啟用或禁用加載項(xiàng)；

e)關(guān)閉故障檢測；

f)啟用IE進(jìn)程的限制ActiveX功能，阻止InternetExplorer進(jìn)程的ActiveX控件安裝提示。

7.5惡意代碼防范

終端宜安裝和運(yùn)行惡意代碼防范系統(tǒng)并及時(shí)更新病毒庫，定期進(jìn)行惡意代碼掃描和清除，防范惡意

代碼的擴(kuò)散。

7.6個(gè)人防火墻

終端宜安裝并運(yùn)行個(gè)人防火墻系統(tǒng)，依據(jù)安全策略，實(shí)現(xiàn)對進(jìn)出計(jì)算機(jī)的數(shù)據(jù)包進(jìn)行安全過濾，同

時(shí)支持用戶策略的統(tǒng)一配置。

7.7系統(tǒng)漏洞補(bǔ)丁升級

終端在首次安裝時(shí)不含惡意軟件，在使用過程中確保及時(shí)安裝已發(fā)布的系統(tǒng)漏洞補(bǔ)丁。漏洞補(bǔ)丁包

含：

a)操作系統(tǒng)關(guān)鍵補(bǔ)丁。對微軟發(fā)布的winXP、Vista和win7等操作系統(tǒng)的漏洞補(bǔ)丁宜及時(shí)安裝。

b)主要軟件關(guān)鍵補(bǔ)丁。對瀏覽器和辦公軟件等主要應(yīng)用軟件的漏洞補(bǔ)丁宜及時(shí)安裝。

8終端增強(qiáng)安全防護(hù)要求

8.1安全性評估

8.1.1評估目標(biāo)

終端安全性評估的目標(biāo)是通過檢查終端安全防護(hù)措施和安全配置，阻止防護(hù)措施不符合規(guī)范的終端

接入政務(wù)辦公應(yīng)用系統(tǒng)，降低基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)所受的安全風(fēng)險(xiǎn)。同時(shí)為安全管理員提升終端安

全防護(hù)能力提供整改依據(jù)。

8.1.2評估指標(biāo)

評估指標(biāo)包括：終端的操作系統(tǒng)漏洞補(bǔ)丁、防火墻啟動(dòng)狀態(tài)、殺毒軟件病毒庫更新日期以及windows

終端核心安全配置等信息。評估可以在兩個(gè)時(shí)段執(zhí)行，一是終端操作系統(tǒng)啟動(dòng)后執(zhí)行初始評估，二是在

政務(wù)辦公過程中執(zhí)行實(shí)時(shí)評估。

8.1.3評估處理

安全性評估結(jié)果為合格或不合格。合格者允許接入政務(wù)辦公系統(tǒng)進(jìn)行通信，否則不允許接入政務(wù)辦

公系統(tǒng)，同時(shí)將評估結(jié)果及時(shí)提交給安全管理員以便整改。

4

GB/Z××××—××××

8.2程序運(yùn)行授權(quán)

依據(jù)業(yè)務(wù)需要和安全策略，終端辦公使用的政務(wù)辦公應(yīng)用程序和安全防護(hù)軟件如office編輯軟件、

電子郵件軟件、個(gè)人防火墻、惡意代碼防范軟件等宜提交給管理系統(tǒng)進(jìn)行授權(quán)，形成終端程序白名單，

經(jīng)過授權(quán)的白名單中的終端應(yīng)用程序才可以運(yùn)行。

8.3安全電子郵件

a)傳輸安全。支持郵件傳輸?shù)谋Ｃ苄浴⑼暾院涂设b別性等安全服務(wù)，防止政務(wù)郵件在傳輸過程

中的泄密、偽造和篡改等；

b)郵件互發(fā)。支持同一安全域內(nèi)安全郵件的群發(fā)，支持基于公鑰技術(shù)的點(diǎn)對點(diǎn)郵件互發(fā)；

c)密鑰管理。支持密鑰及用戶證書的更新、撤銷、恢復(fù)、同步等功能。

8.4安全公文包

a)加密存儲(chǔ)要求。支持信息的加密存儲(chǔ)保護(hù)，支持對安全公文包訪問的身份認(rèn)證，以及數(shù)據(jù)文件、

數(shù)據(jù)目錄的機(jī)密性、完整性和數(shù)字簽名保護(hù)；支持與微軟Windows系列操作系統(tǒng)的無縫集成；

b)算法要求。支持國產(chǎn)密碼SM1、SM3算法，符合國家商用密碼管理?xiàng)l例；

c)密鑰管理。支持密鑰的更新、撤銷、恢復(fù)、同步等密鑰管理功能。

8.5安全審計(jì)

a)行為審計(jì)。支持對終端用戶操作行為事件的審計(jì)，如用戶上網(wǎng)行為和政務(wù)信息處理行為等，與

基本安全防護(hù)要求中日志與審核策略保持一致；

b)配置審計(jì)。支持對終端安全配置信息更改事件的審計(jì)，與基本安全防護(hù)要求中日志與審核策略

保持一致；

c)評估審計(jì)。支持對終端可信評估結(jié)果為不合格事件的審計(jì)；

d)審計(jì)數(shù)據(jù)安全。支持審計(jì)數(shù)據(jù)免遭未經(jīng)授權(quán)的刪除或修改。支持審計(jì)數(shù)據(jù)的集中管理。

9移動(dòng)終端安全防護(hù)要求

9.1系統(tǒng)組成

a)以移動(dòng)存儲(chǔ)介質(zhì)為載體的操作系統(tǒng)和辦公應(yīng)用軟件。這是政務(wù)辦公的軟件環(huán)境，宜根據(jù)業(yè)務(wù)需

要和安全需求定制。軟件環(huán)境包含了定制的操作系統(tǒng)、辦公應(yīng)用軟件、特定加密存儲(chǔ)區(qū)域以及

相關(guān)密碼算法；移動(dòng)存儲(chǔ)介質(zhì)通過USB接口與宿主機(jī)連接；

b)宿主機(jī)。這是政務(wù)辦公的硬件環(huán)境，它是終端安全防護(hù)能力未經(jīng)驗(yàn)證的不安全終端硬件設(shè)備；

c)安全防護(hù)管理平臺(tái)。主要完成移動(dòng)存儲(chǔ)介質(zhì)注冊與管理、操作系統(tǒng)定制、辦公軟件定制等功能。

9.2系統(tǒng)隔離

a)操作系統(tǒng)隔離。在宿主機(jī)硬件支撐下，移動(dòng)存儲(chǔ)介質(zhì)上定制的嵌入式操作系統(tǒng)啟動(dòng)后，宜獨(dú)立

于宿主機(jī)操作系統(tǒng)，不與宿主機(jī)上的系統(tǒng)軟件與應(yīng)用軟件通信。

b)存儲(chǔ)系統(tǒng)隔離。移動(dòng)終端安全應(yīng)用模式中產(chǎn)生和接收的政務(wù)信息宜存儲(chǔ)在移動(dòng)存儲(chǔ)介質(zhì)中的特

定加密存儲(chǔ)區(qū)域，存儲(chǔ)過程不受宿主機(jī)干擾。

9.3系統(tǒng)功能

9.3.1自身安全。

移動(dòng)終端安全防護(hù)中所使用的自定制系統(tǒng)宜具有嵌入式操作系統(tǒng)漏洞補(bǔ)丁更新、惡意代碼特征庫升

級、系統(tǒng)安全核心配置等功能，支持自定制操作系統(tǒng)安全加固。

9.3.