信息安全等級保護(hù)測評指南.ppt

1、信息安全等級保護(hù)測評,目錄,國家對等級保護(hù)測評的要求 等級保護(hù)測評注意事項(xiàng) 等級保護(hù)測評要求（部分解讀） 等級保護(hù)測評過程 等級保護(hù)測評中常見問題,國家對等級保護(hù)測評的要求,管理辦法”等級保護(hù)的實(shí)施與管理“第十四條 信息系統(tǒng)建設(shè)完成后，運(yùn)營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測評單位，依據(jù)信息系統(tǒng)安全等級保護(hù)測評要求等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)安全等級狀況開展等級測評。 第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次等級測評，第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次等級測評，第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級測評。,廣東省安全保護(hù)條例對測評要求,第十二條 第二級以上計(jì)算機(jī)信息系統(tǒng)建設(shè)完成

2、后，運(yùn)營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合國家規(guī)定的安全等級測評機(jī)構(gòu)，依據(jù)國家規(guī)定的技術(shù)標(biāo)準(zhǔn)，對計(jì)算機(jī)信息系統(tǒng)安全等級狀況開展等級測評，測評合格后方可投入使用。 第十三條 計(jì)算機(jī)信息系統(tǒng)的運(yùn)營、使用單位及其主管部門應(yīng)當(dāng)按照國家規(guī)定定期對計(jì)算機(jī)信息系統(tǒng)開展安全等級測評，并對計(jì)算機(jī)信息系統(tǒng)安全狀況、安全管理制度及措施的落實(shí)情況進(jìn)行自查。 計(jì)算機(jī)信息系統(tǒng)安全狀況經(jīng)測評或者自查，未達(dá)到安全等級保護(hù)要求的，運(yùn)營、使用單位應(yīng)當(dāng)進(jìn)行整改。,廣東省公安廳關(guān)于計(jì)算機(jī)信息系統(tǒng)安全保護(hù)的實(shí)施辦法（一）,第二十二條 我省對測評機(jī)構(gòu)實(shí)施備案制度。符合第二十一條規(guī)定的條件，承擔(dān)第二級以上的計(jì)算機(jī)信息系統(tǒng)測評工作的機(jī)構(gòu)應(yīng)

3、當(dāng)?shù)绞」矎d公共信息網(wǎng)絡(luò)安全監(jiān)察部門備案。 第二十五條 第二級以上的計(jì)算機(jī)信息系統(tǒng)建設(shè)完成后，使用單位應(yīng)當(dāng)委托符合規(guī)定的測評機(jī)構(gòu)安全測評合格方可投入使用。測評活動應(yīng)當(dāng)接受公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門的監(jiān)督。,廣東省信息安全等級測評工作細(xì)則（試行）,計(jì)算機(jī)信息系統(tǒng)投入使用后，存在下列情形之一的，應(yīng)當(dāng)進(jìn)行安全自查，同時(shí)委托安全測評機(jī)構(gòu)進(jìn)行安全測評： （一）變更關(guān)鍵部件； （二）安全測評時(shí)間滿一年； （三）發(fā)生危害計(jì)算機(jī)信系統(tǒng)安全的案件或安全事故； （四）公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門根據(jù)應(yīng)急處置工作的需要認(rèn)為應(yīng)當(dāng)進(jìn)行安全測評； （五）其他應(yīng)當(dāng)進(jìn)行安全自查和安全測評的情形。 申請單位認(rèn)為安全測

4、評報(bào)告的合法性和真實(shí)性存在重大問題的，可以向本單位所在地公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門提出申訴，提交異議申訴書及有關(guān)證明材料。,廣東省等級保護(hù)測評機(jī)構(gòu),關(guān)于發(fā)布廣東省信息安全等級保護(hù)測評機(jī)構(gòu)的公告 （粵等保辦20103號） 供我省信息系統(tǒng)運(yùn)營、使用單位、主管部門選用提供各類測評服務(wù)（差距評估、驗(yàn)收性測評、年度測評工作）。 1、廣州競遠(yuǎn)系統(tǒng)網(wǎng)絡(luò)技術(shù)有限公司 2、中國賽寶實(shí)驗(yàn)室（工業(yè)和信息化部電子第五研究所） 3、廣州華南信息安全測評中心 4、深圳市信息安全測評中心 5、深圳市網(wǎng)安計(jì)算機(jī)安全檢測技術(shù)有限公司,等級保護(hù)測評基本概念,等級測評工作，是指測評機(jī)構(gòu)依據(jù)國家信息安全等級保護(hù)制度規(guī)定，按照有

5、關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對非涉及國家秘密信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行檢測評估的活動。 通過信息安全等級測評機(jī)構(gòu)對已完成的等級保護(hù)建設(shè)的信息系統(tǒng)定期進(jìn)行等級測評，確保信息系統(tǒng)的安全保護(hù)措施符合相應(yīng)等級的安全要求。,等級保護(hù)測評的執(zhí)行主體,等級測評機(jī)構(gòu)，是指具備本規(guī)范的基本條件，經(jīng)能力評估和審核，由省級以上信息安全等級保護(hù)工作協(xié)調(diào)（領(lǐng)導(dǎo)）小組辦公室（以下簡稱為“等保辦”）推薦，從事等級測評工作的機(jī)構(gòu)。 等級保護(hù)測評的執(zhí)行主體應(yīng)當(dāng)是具有相關(guān)資質(zhì)的、獨(dú)立的測評服務(wù)機(jī)構(gòu)。 只有獨(dú)立的第三方，才能保證測評工作的客觀性和公正性。,等級測評基本原則,測評機(jī)構(gòu)應(yīng)當(dāng)按照有關(guān)規(guī)定和統(tǒng)一標(biāo)準(zhǔn)提供“客觀、公正、安全”的測

6、評服務(wù)，按照統(tǒng)一的測評報(bào)告模版出具測評報(bào)告。 測評機(jī)構(gòu)可以從事等級測評活動以及信息系統(tǒng)安全等級保護(hù)定級、安全建設(shè)整改、信息安全等級保護(hù)宣傳教育等工作的技術(shù)支持。,等級測評的特點(diǎn),管理角度： 強(qiáng)制執(zhí)行：管理辦法強(qiáng)制周期性執(zhí)行 執(zhí)行主體：符合條件的測評機(jī)構(gòu) 執(zhí)行對象：定級的信息系統(tǒng) 服務(wù)主體：國家信息安全監(jiān)管部門/主管部門/運(yùn)維、使用單位 技術(shù)角度： 符合性測評：依據(jù)基本要求 等級化：不同級別測評強(qiáng)度不同,等級保護(hù)測評適用的階段,在實(shí)施等級保護(hù)建設(shè)工作前，信息系統(tǒng)運(yùn)營、使用單位可以開展一次等級測評以確定信息系統(tǒng)的安全需求。 在等級保護(hù)建設(shè)完成后，通過等級測評判定信息系統(tǒng)是否按照預(yù)先設(shè)定的安全模式運(yùn)

7、行，安全控制措施是否得到合理的應(yīng)用，信息系統(tǒng)是否達(dá)到相關(guān)標(biāo)準(zhǔn)的要求，是否具備相應(yīng)等級的安全防護(hù)能力等。,等級保護(hù)測評工作開展,系統(tǒng)改建方案設(shè)計(jì)：由信息系統(tǒng)的運(yùn)營使用單位自己組織人員或由第三方評估機(jī)構(gòu)，采用等級測評方法對信息系統(tǒng)安全保護(hù)現(xiàn)狀與等級保護(hù)基本要求進(jìn)行符合性評估，得到與相應(yīng)等級要求的差距項(xiàng)，確定安全需求，為制定安全改建方案提供依據(jù)。是一種需求分析方法，不受測評執(zhí)行主體的限制。 等級保護(hù)建設(shè)完成后的測評，由具有相關(guān)資質(zhì)、獨(dú)立的第三方測評機(jī)構(gòu)完成。,1.2.13測評與監(jiān)督檢查的關(guān)系,等級保護(hù)測評的操作形式 自評估 委托評估 檢查評估,1.2.14測評工作要求,依據(jù)標(biāo)準(zhǔn)，遵循原則 恰當(dāng)選取，

8、保證強(qiáng)度 規(guī)范行為，減少風(fēng)險(xiǎn) 過程規(guī)范 行為規(guī)范,等級保護(hù)測評注意事項(xiàng),等級保護(hù)測評方法（1）,測評方法 測評采用訪談、檢查和測試三種方法，測評對象是測評實(shí)施過程中涉及到的信息系統(tǒng)的構(gòu)成成份，包括人員、文檔、機(jī)制、軟件、設(shè)備。測評的層面涉及物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)安全以及安全管理。 測評要求 使用測評表進(jìn)行具體檢查時(shí)，首先按詢問、查驗(yàn)、檢測等工作方式將所有檢查項(xiàng)目分類。 所有以詢問方式檢查的項(xiàng)目，在與有關(guān)人員的談話或會議上進(jìn)行； 所有以查驗(yàn)方式檢查的項(xiàng)目，將需要的文檔清單在檢查現(xiàn)場提交給被檢查方，請被檢查方當(dāng)前提供并進(jìn)行查驗(yàn)； 所有需要以檢測方式檢查的項(xiàng)目，按檢測部門或

9、設(shè)備分類后，根據(jù)具體情況選擇檢測順序。,等級保護(hù)測評方法（2）,對技術(shù)要求 訪談方法：目的是了解信息系統(tǒng)的全局性。范圍一般不覆蓋所有要求內(nèi)容。 檢查方法：目的是確認(rèn)信息系統(tǒng)當(dāng)前具體安全機(jī)制和運(yùn)行的配置是否符合要求 。范圍一般要覆蓋所有要求內(nèi)容。 測試方法：目的是驗(yàn)證信息系統(tǒng)安全機(jī)制有效性和安全強(qiáng)度。范圍不覆蓋所有要求內(nèi)容。,等級保護(hù)測評方法（3）,對管理要求 對人員方面的要求，重點(diǎn)通過訪談的方式來測評，檢查為輔； 對過程方面的要求，通過訪談和檢查的方式來測評； 對規(guī)范方面的要求，以檢查文檔為主，訪談為輔,等級保護(hù)測評中的角色和職責(zé)關(guān)系,信息安全服務(wù)機(jī)構(gòu):協(xié)助信息系統(tǒng)運(yùn)營、使用單位完成等級保護(hù)的

10、相關(guān)工作，包括確定其信息系統(tǒng)的安全保護(hù)等級、進(jìn)行安全需求分析、安全總體規(guī)劃、實(shí)施安全建設(shè)和安全改造等。 信息安全產(chǎn)品供應(yīng)商：開發(fā)符合等級保護(hù)相關(guān)要求的信息安全產(chǎn)品，接受安全測評，按照等級保護(hù)相關(guān)要求銷售信息安全產(chǎn)品并提供相關(guān)服務(wù)。 應(yīng)用軟件開發(fā)機(jī)構(gòu)：將安全控制要求與應(yīng)用軟件結(jié)合，負(fù)責(zé)軟件開發(fā)。 信息安全等級測評機(jī)構(gòu)：協(xié)助信息系統(tǒng)運(yùn)營、使用單位或國家管理部門，按照國家信息安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對已經(jīng)完成等級保護(hù)建設(shè)的信息系統(tǒng)進(jìn)行測評；對信息安全產(chǎn)品供應(yīng)商提供的信息安全產(chǎn)品進(jìn)行安全測評。,1.3.7等級保護(hù)實(shí)施過程中的主要參與角色,等級保護(hù)測評工作實(shí)施步驟,首次會議 （1）參加人員：主

11、管領(lǐng)導(dǎo)、技術(shù)人員、測評機(jī)構(gòu)人員 （2）被測評機(jī)構(gòu)工作匯報(bào) 測評實(shí)施 被測評單位派人負(fù)責(zé)測評過程聯(lián)絡(luò)和協(xié)助。 末次會議 （1）參加人員：主管領(lǐng)導(dǎo)、技術(shù)人員、測評機(jī)構(gòu)人員 （2）測評機(jī)構(gòu)進(jìn)行測試情況匯報(bào),等級保護(hù)測評項(xiàng)目組的構(gòu)成,測評項(xiàng)目組構(gòu)成 組長職責(zé)：管理測評過程、主持編制測評計(jì)劃、主持設(shè)計(jì)測評方案、負(fù)責(zé)訪談、檢查、組織分析測評結(jié)果、主持編制測評總結(jié)報(bào)告； 訪談和查看組：負(fù)責(zé)訪談、執(zhí)行測試，記錄和分析測評結(jié)果； 測試組：執(zhí)行測試、記錄和分析測評結(jié)果。,等級保護(hù)測評部位,被測評部門 領(lǐng)導(dǎo)辦公場所 機(jī)房 介質(zhì)保管室 設(shè)備管理部門 一般工作場所 監(jiān)控室等,等級保護(hù)測評設(shè)備,被測評檢查設(shè)備 各類服務(wù)器

12、 抽查部分個(gè)人計(jì)算機(jī)（包括臺式機(jī)、筆記本） 通信線路 交換機(jī)、路由器 防火墻、入侵檢測、殺毒軟件等安全防護(hù)設(shè)備 存儲設(shè)備 網(wǎng)絡(luò)管理軟件 應(yīng)用軟件,等級保護(hù)測評相關(guān)配合人員,測評所需要的相關(guān)配合人員 單位領(lǐng)導(dǎo) 部門領(lǐng)導(dǎo) 系統(tǒng)管理員 安全管理員 系統(tǒng)審計(jì)員 一般工作人員（抽查）等。,等級測評風(fēng)險(xiǎn)告知,在開展測評過程中，對可能影響信息系統(tǒng)正常運(yùn)行的，測評機(jī)構(gòu)應(yīng)當(dāng)事先告知被測評單位，并協(xié)助其采取相應(yīng)的預(yù)防措施。,等級測評實(shí)施過程中可能存在的風(fēng)險(xiǎn),驗(yàn)證測試影響系統(tǒng)正常運(yùn)行 在現(xiàn)場測評時(shí)，需要對設(shè)備和系統(tǒng)進(jìn)行一定的驗(yàn)證測試工作，部分測試內(nèi)容需要上機(jī)查看一些信息，這就可能對系統(tǒng)的運(yùn)行造成一定的影響，甚至存在

13、誤操作的可能。 工具測試影響系統(tǒng)正常運(yùn)行 在現(xiàn)場測評時(shí)，會使用一些技術(shù)測試工具進(jìn)行漏洞測試、性能測試甚至抗?jié)B透能力測試。測試可能會對系統(tǒng)的負(fù)載造成一定的影響，漏洞測試和滲透測試可能對服務(wù)器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害。 敏感信息泄漏 泄漏被測系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓?fù)?、IP地址、業(yè)務(wù)流程、安全機(jī)制、安全隱患和有關(guān)文檔信息。,等級測評方式測試,功能/性能測試、滲透測試等。 測試對象包括機(jī)制和設(shè)備等。 測試一般需要借助特定工具。 掃描檢測工具 網(wǎng)絡(luò)協(xié)議分析儀 攻擊工具 滲透工具,等級保護(hù)測評標(biāo)準(zhǔn),信息系統(tǒng)安全等級保護(hù)測評要求 信息系統(tǒng)安全等級保護(hù)測評指南,等級保護(hù)測評要求,測評要求的作用,指導(dǎo)系統(tǒng)

14、運(yùn)營使用單位進(jìn)行自查 指導(dǎo)評估機(jī)構(gòu)進(jìn)行檢測評估 監(jiān)管職能部門參照進(jìn)行監(jiān)督檢查 規(guī)范測評內(nèi)容和行為,等級保護(hù)測評的內(nèi)容,某級系統(tǒng),物理安全,技術(shù)要求,管理要求,基本要求,網(wǎng)絡(luò)安全,主機(jī)安全,應(yīng)用安全,數(shù)據(jù)安全,安全管理機(jī)構(gòu),安全管理制度,人員安全管理,系統(tǒng)建設(shè)管理,系統(tǒng)運(yùn)維管理,測評要求編制思路,信息系統(tǒng)測評,系統(tǒng)測評 （對安全控制、層面、區(qū)域間關(guān)聯(lián)關(guān)系以及系統(tǒng)整體結(jié)構(gòu)，分層次綜合分析、測評）,安全控制測評 （以測評單元組織的測評實(shí)施）,安全控制測評思路,在內(nèi)容上，與基本要求一一對應(yīng)，針對基本要求的每一個(gè)控制項(xiàng)，開發(fā)具體的測評實(shí)施方法。 在結(jié)構(gòu)上，以“測評單元”為基本工作單位，分等級進(jìn)行組織。,

15、等級保護(hù)測評,測評單元是指安全控制測評的最小工作單位，由測評項(xiàng)、測評方式、測評對象、測評實(shí)施和結(jié)果判定等組成，分別描述測評目的和內(nèi)容、測評使用的方式方法、測試過程中涉及的測評對象、具體測試實(shí)施取證過程要求和測評證據(jù)的結(jié)果判定規(guī)則與方法。 測評強(qiáng)度是指測評的廣度和深度，體現(xiàn)測評工作的實(shí)際投入程度。,測評強(qiáng)度增強(qiáng)的方法,測評廣度越大，范圍越大，包含的測評對象就越多，測評實(shí)際投入程度越高。 測評的深度越深，越需要在細(xì)節(jié)上展開，測評實(shí)際投入程度也越高。 測評的廣度和深度落實(shí)在具體的測評方法訪談、檢查和測試上，體現(xiàn)出訪談、檢查和測試的投入程度不同。,2.1.8系統(tǒng)等級保護(hù)測評思路,根據(jù)安全控制、層面和區(qū)

16、域之間的關(guān)聯(lián)作用，逐層測評分析安全控制間、層面間和區(qū)域間關(guān)聯(lián)關(guān)系對整體安全功能的影響，具體應(yīng)包括：安全控制間安全測評、層面間安全測評、區(qū)域間安全測評 。 進(jìn)行系統(tǒng)整體結(jié)構(gòu)安全測評 從安全的角度，分析信息系統(tǒng)整體結(jié)構(gòu)的安全性從安全角度看系統(tǒng) 從系統(tǒng)的角度，分析信息系統(tǒng)安全防范(體系)的合理性 以系統(tǒng)的觀點(diǎn)看安全防范（體系),等級保護(hù)測評要求部分解讀,第二部分 等級保護(hù)測評要求（3）等級保護(hù)測評要求部分解讀 （物理安全）,物理訪問控制,本項(xiàng)要求包括： 機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員； 需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍； 應(yīng)對機(jī)房劃分區(qū)域進(jìn)行管理

17、，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域； 重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。,物理訪問控制,實(shí)施討論 機(jī)房進(jìn)出通過雙向電子門禁系統(tǒng)進(jìn)行控制，可通過門禁電子記錄或填寫出入記錄單的形式記錄進(jìn)出人員和時(shí)間 有能力的單位應(yīng)當(dāng)增設(shè)保安人員在門外值守； 機(jī)房的內(nèi)和外部臨近入口區(qū)域要安裝攝像頭保證全部范圍覆蓋； 外來人員進(jìn)入機(jī)房應(yīng)當(dāng)由專人全程陪同； 對于系統(tǒng)較多、機(jī)房面積較大的有能力單位應(yīng)將機(jī)房按系統(tǒng)和設(shè)備的重要程度劃分不同的單獨(dú)區(qū)域進(jìn)行物理隔離，聯(lián)通各區(qū)域間的通道空間形成機(jī)房的過渡緩沖區(qū)。 對于電源UPS，最好能劃分單獨(dú)區(qū)域。,物理訪問控制,測評實(shí)施：

18、 應(yīng)檢查機(jī)房安全管理制度，查看是否有關(guān)于機(jī)房出入方面的規(guī)定； 應(yīng)檢查機(jī)房出入口是否有專人值守，是否有值守記錄以及進(jìn)出機(jī)房的人員登記記錄；檢查機(jī)房是否不存在值守人員控制之外的出入口； 應(yīng)檢查是否有來訪人員進(jìn)入機(jī)房的審批記錄，查看審批記錄是否包括來訪人員的訪問范圍； 應(yīng)檢查機(jī)房區(qū)域劃分是否合理，是否在機(jī)房重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；是否在不同機(jī)房間和同一機(jī)房不同區(qū)域間設(shè)置了有效的物理隔離裝置； 應(yīng)檢查重要區(qū)域配置的電子門禁系統(tǒng)是否有驗(yàn)收文檔或產(chǎn)品安全認(rèn)證資質(zhì)； 應(yīng)檢查電子門禁系統(tǒng)是否正常工作（不考慮斷電后的工作情況）；查看是否有電子門禁系統(tǒng)運(yùn)行和維護(hù)記錄；查看監(jiān)控進(jìn)入機(jī)房重要區(qū)域的電子門禁

19、系統(tǒng)記錄，是否能夠鑒別和記錄進(jìn)入人員的身份。,物理訪問控制,測評結(jié)果記錄 檢查機(jī)房安全管理制度，有關(guān)于機(jī)房出入方面的規(guī)定 ； 機(jī)房出入口有專人值守，有值守記錄以及進(jìn)出機(jī)房的人員登記記錄； 檢查機(jī)房不存在值守人員控制之外的出入口； 有來訪人員進(jìn)入機(jī)房的審批記錄，審批記錄包括來訪人員的訪問范圍 業(yè)務(wù)或安全管理需要，對機(jī)房進(jìn)行了劃分區(qū)域管理。各個(gè)區(qū)域都有專門的管理要求。 機(jī)房區(qū)域劃分合理，在機(jī)房重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；在不同機(jī)房間和同一機(jī)房不同區(qū)域間設(shè)置了有效的物理隔離裝置 重要區(qū)域配置的電子門禁系統(tǒng)是驗(yàn)收文檔或產(chǎn)品安全認(rèn)證資質(zhì)（安防驗(yàn)收報(bào)告） 電子門禁系統(tǒng)正常工作；有電子門禁系統(tǒng)運(yùn)行和

20、維護(hù)記錄；能夠鑒別和記錄進(jìn)入人員的身份。,防雷擊,本項(xiàng)要求包括： 機(jī)房建筑應(yīng)設(shè)置避雷裝置； 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷； 機(jī)房應(yīng)設(shè)置交流電源地線。,2.3.6防雷擊,實(shí)施討論 在南方地區(qū)，夏季多雨水，雷擊發(fā)生的可能性很大，需要重點(diǎn)檢測。 電子信息系統(tǒng)機(jī)房施工及驗(yàn)收規(guī)范GB50462-2008 電子信息系統(tǒng)機(jī)房設(shè)計(jì)規(guī)范GB50174-2008 建筑物電子信息系統(tǒng)防雷技術(shù)規(guī)范GB50343-2004 建筑物防雷裝置檢測技術(shù)規(guī)范 GB/T21431-2008,防雷擊,測評實(shí)施 應(yīng)檢查機(jī)房建筑是否有避雷裝置，是否有交流地線； 應(yīng)檢查機(jī)房是否安裝防雷保安器等裝置。,防雷擊,結(jié)果記錄 機(jī)房建筑有避雷裝置

21、，有交流地線； 機(jī)房電源和信號線上安裝防雷保安器等裝置； 機(jī)房計(jì)算機(jī)系統(tǒng)接地設(shè)置了專用地線； 通過驗(yàn)收或國家有關(guān)部門的技術(shù)檢測（有檢測報(bào)告）,防火,本項(xiàng)要求包括： 機(jī)房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報(bào)警，并自動滅火； 機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料； 機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。,防火,測評實(shí)施 應(yīng)檢查機(jī)房是否設(shè)置了自動檢測火情、自動報(bào)警、自動滅火的自動消防系統(tǒng)，自動消防系統(tǒng)擺放位置是否合理，其有效期是否合格；應(yīng)檢查自動消防系統(tǒng)是否正常工作，查看是否有運(yùn)行記錄、報(bào)警記錄、定期檢查和維修記錄； 應(yīng)檢查機(jī)房是否采取區(qū)域隔離防火措

22、施，將重要設(shè)備與其他設(shè)備隔離開。,防火,測評結(jié)果記錄 機(jī)房設(shè)置了滅火設(shè)備，設(shè)置了自動檢測火情、自動報(bào)警、自動滅火的自動消防系統(tǒng)； 有專人負(fù)責(zé)維護(hù)該系統(tǒng)的運(yùn)行，制定了有關(guān)機(jī)房消防的管理制度和消防預(yù)案，進(jìn)行了消防培訓(xùn)； 火災(zāi)自動消防系統(tǒng)定期進(jìn)行檢查和維護(hù) 自動消防系統(tǒng)擺放位置合理，其有效期合格； 自動消防系統(tǒng)正常工作，有運(yùn)行記錄、報(bào)警記錄、定期檢查和維修記錄； 應(yīng)檢查機(jī)房采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。,溫濕度控制,本項(xiàng)要求包括： 機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。,溫濕度控制,實(shí)施討論 電子信息系統(tǒng)機(jī)房設(shè)計(jì)規(guī)范GB50174-200

23、8 計(jì)算站場地技術(shù)條件 GB 2887-89,溫濕度控制,測評實(shí)施 應(yīng)檢查溫濕度自動調(diào)節(jié)設(shè)施是否能夠正常運(yùn)行，查看是否有溫濕度記錄、運(yùn)行記錄和維護(hù)記錄；查看機(jī)房溫濕度是否滿足計(jì)算站場地的技術(shù)條件要求。,溫濕度控制,測評結(jié)果記錄 濕度自動調(diào)節(jié)設(shè)施能夠正常運(yùn)行； 有溫濕度記錄、運(yùn)行記錄和維護(hù)記錄。,電力供應(yīng),本項(xiàng)要求包括： 應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備； 應(yīng)提供短期的備用電力供應(yīng)，至少滿足主要設(shè)備在斷電情況下的正常運(yùn)行要求； 應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電； 應(yīng)建立備用供電系統(tǒng)。,電力供應(yīng),實(shí)施討論 國家標(biāo)準(zhǔn)供配電系統(tǒng)設(shè)計(jì)規(guī)范 在電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備以

24、保證在電壓突然變化時(shí)不影響到設(shè)備的正常運(yùn)行； 需要配備足夠的UPS保證在段時(shí)間內(nèi)斷電的運(yùn)行或至少保證服務(wù)器有足夠的關(guān)機(jī)時(shí)間； 采取冗余形式，一般至少有2家不同的供電公司供電；有條件的可以配備發(fā)電機(jī)保證較長時(shí)間的應(yīng)急供電。 對UPS沒有定期進(jìn)行可用性測試。,電力供應(yīng),測評實(shí)施 應(yīng)檢查機(jī)房，查看計(jì)算機(jī)系統(tǒng)供電線路上的穩(wěn)壓器、過電壓防護(hù)設(shè)備和短期備用電源設(shè)備是否正常運(yùn)行，查看供電電壓是否正常； 應(yīng)檢查是否有穩(wěn)壓器、過電壓防護(hù)設(shè)備、短期備用電源設(shè)備以及備用供電系統(tǒng)等電源設(shè)備的檢查和維護(hù)記錄，冗余或并行的電力電纜線路切換記錄，備用供電系統(tǒng)運(yùn)行記錄；以及上述計(jì)算機(jī)系統(tǒng)供電的運(yùn)行記錄，是否能夠符合系統(tǒng)正常運(yùn)

25、行的要求； 應(yīng)測試安裝的冗余或并行的電力電纜線路，是否能夠進(jìn)行雙路供電切換； 應(yīng)測試備用供電系統(tǒng)是否能夠在規(guī)定時(shí)間內(nèi)正常啟動和正常供電。,電力供應(yīng),測評結(jié)果記錄 計(jì)算機(jī)系統(tǒng)供電線路上的穩(wěn)壓器、過電壓防護(hù)設(shè)備和短期備用電源設(shè)備（如UPS）正常運(yùn)行，查看供電電壓正常； 有穩(wěn)壓器、過電壓防護(hù)設(shè)備、短期備用電源設(shè)備以及備用供電系統(tǒng)等電源設(shè)備的檢查和維護(hù)記錄，冗余或并行的電力電纜線路切換記錄，備用供電系統(tǒng)運(yùn)行記錄；以及上述計(jì)算機(jī)系統(tǒng)供電的運(yùn)行記錄，能夠符合系統(tǒng)正常運(yùn)行的要求； 測試安裝的冗余或并行的電力電纜線路，能夠進(jìn)行雙路供電切換； 測試備用供電系統(tǒng)（如UPS）能夠在規(guī)定時(shí)間內(nèi)正常啟動和正常供電。,電

26、磁防護(hù),實(shí)施討論 電磁屏蔽室屏蔽效能的測量方法 GBT 12190-2006 通過將機(jī)架外殼接地的方式可以降低外界的電子干擾，對于要求較高的機(jī)房，如CA機(jī)房需要建立屏蔽室； 機(jī)房布線要嚴(yán)格按照規(guī)定，強(qiáng)、弱電線路盡量原理，使用交叉走線，避免平行軸線；使用鐵質(zhì)線槽可以抵御電磁干擾并有效保護(hù)線纜安全。 處理涉密信息的電磁屏蔽室的技術(shù)要求和測試方法 BMB3-1999 涉密信息設(shè)備使用現(xiàn)場的電磁泄漏發(fā)射防護(hù)要求 BMB5-2000,電磁防護(hù),本項(xiàng)要求包括： 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾； 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾； 應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。,電磁防護(hù),測評

27、實(shí)施 應(yīng)檢查機(jī)房設(shè)備外殼是否有安全接地； 應(yīng)檢查機(jī)房布線，查看是否做到電源線和通信線纜隔離； 應(yīng)檢查磁介質(zhì)是否存放在具有電磁屏蔽功能的容器中。,第二部分 等級保護(hù)測評要求（4）等級保護(hù)測評要求部分解讀 （網(wǎng)絡(luò)安全）,結(jié)構(gòu)安全,本項(xiàng)要求包括： 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要； 應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要； 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑； 應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖； 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段； 應(yīng)

28、避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段； 應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。,結(jié)構(gòu)安全,要求:1.應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要； 測評實(shí)施: 訪談網(wǎng)絡(luò)管理員，詢問主要網(wǎng)絡(luò)設(shè)備的性能及業(yè)務(wù)高峰流量。 訪談網(wǎng)絡(luò)管理員，詢問采用何種手段對網(wǎng)絡(luò)設(shè)備進(jìn)行監(jiān)控。 通過網(wǎng)絡(luò)管理軟件,或IT資源監(jiān)控系統(tǒng),確認(rèn)主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要。 應(yīng)檢查網(wǎng)絡(luò)設(shè)計(jì)/驗(yàn)收文檔，查看是否有主要網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力、接入網(wǎng)絡(luò)及核心網(wǎng)絡(luò)的帶寬滿足

29、業(yè)務(wù)高峰期的需要以及不存在帶寬瓶頸等方面的設(shè)計(jì)或描述。,結(jié)構(gòu)安全,要求: 2.應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要； 測評實(shí)施: 應(yīng)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)中帶寬控制情況以及帶寬分配的原則; 詢問當(dāng)前網(wǎng)絡(luò)各部分的帶寬是否滿足業(yè)務(wù)高峰需要。 如果無法滿足業(yè)務(wù)高峰期需要，則需迚行帶寬分配。檢查主要網(wǎng)絡(luò)設(shè)備是否進(jìn)行行帶寬分配。以CISCO IOS 為例: 檢查配置是否類似如下配置項(xiàng): 輸入命令:show running-config class-map:class-1 bandwidth:percent 50 bandwith 5000(kbps) max threshold 64(packe

30、ts),結(jié)構(gòu)安全,要求: 3.應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑； 條款理解: 靜態(tài)路由是指由網(wǎng)絡(luò)管理員手工配置的路由信息。勱態(tài)路由是指路由器能夠自勱地建立自己的路由表。 路由器之間的路由信息交換是基亍路由協(xié)議實(shí)現(xiàn)的，如OSPF路由協(xié)議是一種典型的鏈路狀態(tài)的路由協(xié)議。 如果使用勱態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認(rèn)證功能，保證網(wǎng)絡(luò)路由安全。 測評實(shí)施: 應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備，查看是否配置路由控制策略以建立安全的訪問路徑； 以CISCO IOS為例，輸入命令：show running-config 檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)： iproute 192.168.1.

31、0 93 （靜態(tài)） router ospf100 （動態(tài)） ipospfmessage-digest-key 1 md5 7 XXXXXX（認(rèn)證碼）,結(jié)構(gòu)安全,要求: 4.應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖； 測評實(shí)施: 登錄網(wǎng)絡(luò)管理軟件,檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，查看其與當(dāng)前運(yùn)行的實(shí)際網(wǎng)絡(luò)系統(tǒng)是否一致； 如果沒有網(wǎng)絡(luò)管理軟件,使用其它的網(wǎng)絡(luò)管理軟件查看。如HP OPENVIEW、游龍網(wǎng)管等。,結(jié)構(gòu)安全,要求: 5.應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址

32、段； 條款理解： 根據(jù)實(shí)際情況和區(qū)域安全防護(hù)要求，應(yīng)在主要網(wǎng)絡(luò)設(shè)備上進(jìn)行VLAN劃分或子網(wǎng)劃分。 不同VLAN內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的。如果丌同VLAN要迚行通信，則需要通過路由器或三層交換機(jī)等三層設(shè)備實(shí)現(xiàn)。 使用防火墻，或使用網(wǎng)絡(luò)隔離與交換產(chǎn)品網(wǎng)絡(luò)進(jìn)行劃分網(wǎng)段。 測評實(shí)施： 應(yīng)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)段劃分情況以及劃分的原則；詢問重要網(wǎng)段有哪些，其具體的部署位置，與其他網(wǎng)段的隔離措施有哪些； 以CISCO IOS為例，輸入命令：show vlan 檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)： vlan2 name info Int e0/2 vlan-membership static 2,結(jié)構(gòu)

33、安全,要求: 6.應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段； 條款理解 為了保證信息系統(tǒng)的安全，應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，防止來自外部信息系統(tǒng)的攻擊。 在重要網(wǎng)段和其它網(wǎng)段之間配置安全策略進(jìn)行行訪問控制。 測評實(shí)施 檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，查看是否將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處，重要網(wǎng)段和其它網(wǎng)段之間是否配置安全策略進(jìn)行行訪問控制，如防火墻。,結(jié)構(gòu)安全,要求: 7.應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。 測評實(shí)施： 應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備，查看是否配置對帶寬進(jìn)

34、行控制的策略，這些策略是否能夠保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要業(yè)務(wù)。 以CISCO IOS為例，檢查配置文件中是否存在類似如下配置項(xiàng)： policy-map bar class voice priority percent 10 class data bandwidth percent 30 class video bandwidth percent 20,訪問控制,本項(xiàng)要求包括： 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； 應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級； 應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SM

35、TP、POP3等協(xié)議命令級的控制； 應(yīng)在會話處于非活躍一定時(shí)間或會話結(jié)束后終止網(wǎng)絡(luò)連接； 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)； 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙； 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶； 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。,訪問控制,要求:1.應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； 條款理解 在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備,防御來自其他網(wǎng)絡(luò)的攻擊，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。 測評實(shí)施 檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，查看是否在網(wǎng)絡(luò)邊界處部署了訪問控制設(shè)備，是否啟用了訪問控制功能。,訪問控制,要求:2.應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明

36、確的允許/拒絕訪問的能力，控制粒度為端口級； 條款理解 在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備,對進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行過濾，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。 配置的訪問控制列表應(yīng)有明確的源/目的地址、源/目的、協(xié)議及服務(wù)等。 測評實(shí)施（以路由器，或防火墻） 以CISCO IOS為例，輸入命令：show ipaccess-list 檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)： no access-list 111 ipaccess-list extended 111 deny ipx.x.x.0 55 any log interface eth 0/0 ipaccess-group 111 in,訪問控制,以防火

37、墻檢查為例，應(yīng)有明確的訪問控制策略，如下圖所示：,訪問控制,要求:3.應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制； 條款理解 對亍一些常用的應(yīng)用層協(xié)議，能夠在訪問控制設(shè)備上實(shí)現(xiàn)應(yīng)用層協(xié)議命令級的控制和內(nèi)容檢查，從而增強(qiáng)訪問控制粒度。 測評實(shí)施 該測評項(xiàng)一般在防火墻、入侵防御系統(tǒng)上檢查。 首先查看防火墻、入侵防御系統(tǒng)是否具有該功能，然后登錄設(shè)備查看是否啟用了相應(yīng)的功能。,訪問控制,以聯(lián)想網(wǎng)御防火墻為例，如下圖所示：,訪問控制,要求:4.應(yīng)在會話處于非活躍一定時(shí)間或會話結(jié)束后終止網(wǎng)絡(luò)連接； 條款理解 當(dāng)惡意用戶迚行網(wǎng)絡(luò)攻擊時(shí)，有

38、時(shí)會發(fā)起大量會話連接，建立會話后長時(shí)間保持狀態(tài)連接從而占用大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。 應(yīng)在會話終止或長時(shí)間無響應(yīng)的情況下終止網(wǎng)絡(luò)連接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問。 測評實(shí)施 該測評項(xiàng)一般在防火墻上檢查。 登錄防火墻，查看是否設(shè)置了會話連接超時(shí)，設(shè)置的超時(shí)時(shí)間是多少，判斷是否合理。,訪問控制,以天融信防火墻為例，如下圖所示：,訪問控制,要求:5.應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)； 條款理解 可根據(jù)IP地址、端口、協(xié)議來限制應(yīng)用數(shù)據(jù)流的最大流量，還可以根據(jù)IP地址來限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬丌被占用，業(yè)務(wù)系統(tǒng)可以對外正常提供業(yè)務(wù)。 測評實(shí)施 該測評項(xiàng)一般在防火墻

39、上檢查。訪談系統(tǒng)管理員，依據(jù)實(shí)際網(wǎng)絡(luò)狀況是否需要限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。 登錄設(shè)備查看是否設(shè)置了最大流量數(shù)和連接數(shù)，并做好記錄。,訪問控制,以天融信防火墻為例，如下圖所示：,訪問控制,要求:6.重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙； 條款理解 地址欺騙在網(wǎng)絡(luò)安全中比較重要的一個(gè)問題,這里的地址,可以是MAC地址,也可以是IP地址。在關(guān)鍵設(shè)備上，采用IP/MAC地址綁定方式防止地址欺騙。 測評實(shí)施 以CISCO IOS為例，輸入show ip arp 檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)： arp 0000.e268.9980 arpa,訪問控制,以聯(lián)想網(wǎng)御防火墻為例

40、，如下圖所示：,訪問控制,要求:7.應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶； 條款理解 對亍進(jìn)程撥號用戶，應(yīng)在相關(guān)設(shè)備上提供用戶認(rèn)證功能。 通過配置用戶、用戶組，并結(jié)合訪問控制規(guī)則可以實(shí)現(xiàn)對認(rèn)證成功的用戶允許訪問受控資源。 測評實(shí)施 登錄相關(guān)設(shè)備查看是否對撥號用戶迚行身份認(rèn)證，是否配置訪問控制規(guī)則對認(rèn)證成功的用戶允許訪問受控資源。,訪問控制,要求:8.應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。 條款理解 應(yīng)限制通過進(jìn)程采用撥號方式或通過其他方式連入系統(tǒng)內(nèi)部的用戶數(shù)量。 測評實(shí)施 詢問系統(tǒng)管理員，是否有進(jìn)程撥號用戶，采用什么方式接入系統(tǒng)部，采用何種

41、方式迚行身份認(rèn)證，具體用戶數(shù)量有多少。,安全審計(jì),本項(xiàng)要求包括： 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄； 審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息； 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表； 應(yīng)對審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。,第二部分 等級保護(hù)測評要求（5）等級保護(hù)測評要求部分解讀 （主機(jī)安全操作系統(tǒng)）,身份鑒別,本項(xiàng)要求包括： 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別； 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； 應(yīng)啟用登錄失敗處

42、理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施； 當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。,身份鑒別,要求:1.應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別； 條款理解 用戶的身份標(biāo)識和鑒別，就是用戶向系統(tǒng)以一種安全的方式提交自己的身份證實(shí)，然后由系統(tǒng)確認(rèn)用戶的身份是否屬實(shí)的過程。,身份鑒別,測評實(shí)施 Window： 訪談系統(tǒng)管理員，系統(tǒng)用戶是否已設(shè)置密碼，并查看登錄過程中系統(tǒng)賬戶是否使用了密碼進(jìn)行驗(yàn)證登

43、錄。 Linux： 采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中各用戶名狀態(tài),身份鑒別,要求:2.操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； 測評實(shí)施 Windows: 本地安全策略-帳戶策略-密碼策略中的相關(guān)項(xiàng)目 Linux: 采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/login.defs文件中相關(guān)配置參數(shù),身份鑒別,身份鑒別,身份鑒別,要求:3.應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施； 條款理解 要求系

44、統(tǒng)應(yīng)具有一定的登錄控制功能?？梢酝ㄟ^適當(dāng)?shù)呐渲谩?帳戶鎖定策略”來對用戶的登錄進(jìn)行限制。如帳戶鎖定閾值，帳戶鎖定時(shí)間等。 測評實(shí)施 Windows: 本地安全策略-帳戶策略-帳戶鎖定策略中的相關(guān)項(xiàng)目 Linux: 采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/pam.d/system-auth文件中相關(guān)配置參數(shù),身份鑒別,身份鑒別,身份鑒別,要求:4.當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； 條款理解 為方便管理員進(jìn)行管理操作，眾多服務(wù)器采用了網(wǎng)絡(luò)登錄的方式進(jìn)行遠(yuǎn)程管理操作，例如Linux可以使用telnet登錄，Window

45、s使用遠(yuǎn)程終端服務(wù)?；疽笠?guī)定了這些傳輸?shù)臄?shù)據(jù)需要進(jìn)行加密處理過，目的是為了保障帳戶與口令的安全。 測評實(shí)施 Windows: 確認(rèn)操作系統(tǒng)版本 確認(rèn)終端服務(wù)器使用了SSL加密 確認(rèn)RDP客戶端使用SSL加密,身份鑒別,Linux: 在root權(quán)限下，使用命令more、cat或vi查看是否運(yùn)行了sshd服務(wù)：service status-all | grep sshd 若未使用ssh方式進(jìn)行遠(yuǎn)程管理，則查看是否使用了telnet方式進(jìn)行遠(yuǎn)程管理：service status-all | grep running,身份鑒別,要求:5.應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶

46、名具有唯一性。 條款理解 對于操作系統(tǒng)來說，用戶管理是操作系統(tǒng)應(yīng)具備的基本功能。用戶管理由創(chuàng)建用戶和組以及定義它們的屬性構(gòu)成。用戶的一個(gè)主要屬性是如何對他們進(jìn)行認(rèn)證。用戶是系統(tǒng)的主要代理。其屬性控制他們的訪問權(quán)、環(huán)境、如何對他們進(jìn)行認(rèn)證以及如何、何時(shí)、在哪里可以訪問他們的帳戶。因此，用戶標(biāo)識的唯一性至關(guān)重要。如果系統(tǒng)允許用戶名相同，而UID不同，其唯一性標(biāo)識為UID，如果系統(tǒng)允許UID相同，而用戶名不同，其唯一性標(biāo)識為用戶名。,身份鑒別,測評實(shí)施 Windows: “管理工具”-“計(jì)算機(jī)管理”-“本地用戶和組”中的“用戶”，檢查其中的用戶名是否出現(xiàn)重復(fù)。 Linux: 采用查看方式，在root

47、權(quán)限下，使用命令more、cat或vi查看/etc/passwd文件中用戶名信息,身份鑒別,要求:6.應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。 條款理解 對于三級以上的操作系統(tǒng)應(yīng)使用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別，如密碼和令牌的組合使用等。 測評實(shí)施 訪談系統(tǒng)管理員，詢問系統(tǒng)除用戶名口令外有無其他身份鑒別方法，如有沒有令牌等。,訪問控制,本項(xiàng)要求包括： 應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問； 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限； 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪

48、問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； 應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。 應(yīng)對重要信息資源設(shè)置敏感標(biāo)記； 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作.,訪問控制,要求:1.應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；,訪問控制,測評實(shí)施,訪問控制,訪問控制,要求:2.應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限； 條款理解 根據(jù)管理用戶的角色對權(quán)限作出標(biāo)準(zhǔn)細(xì)致的劃分，有利于各崗位細(xì)致協(xié)調(diào)的工作。僅授予管理用戶所需的最小權(quán)限，避免出現(xiàn)權(quán)限的漏洞使一些高級用戶擁有過大的權(quán)限。 測評實(shí)施 記錄系統(tǒng)是否有完整

49、的安全策略、系統(tǒng)主要有哪些角色、每個(gè)角色的權(quán)限是否相互制約、每個(gè)系統(tǒng)用戶是否被賦予相應(yīng)的角色。,訪問控制,訪問控制,要求:3.應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； 條款理解 操作系統(tǒng)特權(quán)用戶可能擁有以下一些權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶帳戶、升級軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和安全性。數(shù)據(jù)庫系統(tǒng)特權(quán)用戶則更多是對數(shù)據(jù)庫的安裝、配置、升級和遷移以及數(shù)據(jù)庫用戶的管理，從而保證數(shù)據(jù)庫系統(tǒng)的可用性、完整性和安全性。將操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離，能夠避免一些特權(quán)用戶擁有過大的權(quán)限以及減少一些人為的誤操作，做到了職責(zé)明確。 測評實(shí)施 結(jié)合系

50、統(tǒng)管理員的組成情況，判定是否實(shí)現(xiàn)了該項(xiàng)要求,訪問控制,要求:4.應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； 條款理解 對于系統(tǒng)默認(rèn)的用戶名，由于它們的某些權(quán)限與實(shí)際系統(tǒng)的要求可能存在差異，從而造成安全隱患，因此這些默認(rèn)用戶名應(yīng)禁用。對于匿名用戶的訪問原則上是禁止的，查看服務(wù)器操作系統(tǒng)，確認(rèn)匿名/默認(rèn)用戶的訪問權(quán)限已被禁用或者嚴(yán)格限制。依據(jù)服務(wù)器操作系統(tǒng)訪問控制的安全策略，以未授權(quán)用戶身份/角色測試訪問客體，是否不允許進(jìn)行訪問。 測評實(shí)施 查看默認(rèn)用戶名是否重命名 查看guest等默認(rèn)賬戶是否已禁用,訪問控制,要求:5.應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的

51、存在。 條款理解 對于系統(tǒng)默認(rèn)的用戶名，由于它們的某些權(quán)限與實(shí)際系統(tǒng)的要求可能存在差異，從而造成安全隱患，因此這些默認(rèn)用戶名應(yīng)禁用。對于匿名用戶的訪問原則上是禁止的，查看服務(wù)器操作系統(tǒng)，確認(rèn)匿名/默認(rèn)用戶的訪問權(quán)限已被禁用或者嚴(yán)格限制。依據(jù)服務(wù)器操作系統(tǒng)訪問控制的安全策略，以未授權(quán)用戶身份/角色測試訪問客體，是否不允許進(jìn)行訪問。 測評實(shí)施 查看是否存在多余的、過期的帳戶，避免共享帳戶,訪問控制,要求:6.應(yīng)對重要信息資源設(shè)置敏感標(biāo)記； 要求:7.應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作. 測評實(shí)施 詢問管理員是否對重要信息資源設(shè)置敏感標(biāo)記 詢問或查看目前的敏感標(biāo)記策略的相關(guān)設(shè)置

52、，如：如何劃分敏感標(biāo)記分類，如何設(shè)定訪問權(quán)限等,剩余信息保護(hù),本項(xiàng)要求包括： 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中； 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。,剩余信息保護(hù),要求:1.應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中； 條款理解 剩余信息保護(hù)是指操作系統(tǒng)用戶的鑒別信息存儲空間，被釋放或再分配給其他用戶前是否得到完全清除。 測評實(shí)施 打開“

53、本地安全策略”-本地策略中的安全選項(xiàng) 查看是否啟用“不顯示上次登錄用戶名”,剩余信息保護(hù),要求:2.應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。 條款理解 由于主存與輔存價(jià)格和性能的差異，現(xiàn)代操作系統(tǒng)普遍采用輔 存作為緩存，對于緩存使用的安全問題也尤其重要。 測評實(shí)施 打開“本地安全策略”-本地策略中的安全選項(xiàng) 查看是否選中“關(guān)機(jī)前清除虛擬內(nèi)存頁面” 打開“本地安全策略”-“帳戶策略”中的密碼策略 查看是否選中“用可還原的加密來存儲密碼”,第二部分 等級保護(hù)測評要求（6）等級保護(hù)測評要求部分解讀 （應(yīng)用安全）,應(yīng)用安全的形勢（一）,開發(fā)商

54、和用戶對應(yīng)用安全重視程度不夠 開發(fā)商安全意識普遍淡薄，開發(fā)中留有安全隱患 用戶普遍對應(yīng)用安全不重視，系統(tǒng)上線前把關(guān)不嚴(yán) 應(yīng)用系統(tǒng)存在的漏洞較多,116,NIST的報(bào)告顯示，超過90%的安全漏洞是應(yīng)用層漏洞，它已經(jīng)遠(yuǎn)遠(yuǎn)超過網(wǎng)絡(luò)、操作系統(tǒng)和瀏覽器的漏洞數(shù)量，這個(gè)比例還有上升的趨勢。,應(yīng)用安全的形勢（二）,針對應(yīng)用系統(tǒng)的攻擊手段越來越多，面臨的威脅在不斷增大 針對口令的攻擊，如口令破解等 非授權(quán)獲取敏感信息，如信息竊聽、系統(tǒng)管理員非授權(quán)獲取敏感業(yè)務(wù)數(shù)據(jù)（如用戶的密碼等信息）等 針對WEB應(yīng)用的攻擊，如跨站腳本攻擊、SQL注入、緩沖區(qū)溢出、拒絕服務(wù)攻擊、改變網(wǎng)頁內(nèi)容等,117,應(yīng)用系統(tǒng)的指標(biāo)選取,在基

55、本要求中的位置 “應(yīng)用安全”的所有指標(biāo)，對于應(yīng)用平臺軟件等則從中選擇部分指標(biāo)； “數(shù)據(jù)安全及備份恢復(fù)”中的部分指標(biāo)，對于三級信息系統(tǒng)，在應(yīng)用安全中，主要檢查“數(shù)據(jù)完整性”、“數(shù)據(jù)保密性”和“備份和恢復(fù)”第一和第二項(xiàng)； 應(yīng)結(jié)合管理的要求，如“應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量”、“應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門”，加強(qiáng)應(yīng)用系統(tǒng)的源代碼安全性。,118,119,應(yīng)用測評的特點(diǎn),安全功能和配置檢查并重 和數(shù)據(jù)庫、操作系統(tǒng)等成熟產(chǎn)品不同，應(yīng)用系統(tǒng)現(xiàn)場測評除檢查安全配置外，還需驗(yàn)證相關(guān)安全功能是否正確 應(yīng)用測評中不確定因素較多 業(yè)務(wù)和數(shù)據(jù)流程不同，需根據(jù)業(yè)務(wù)和數(shù)據(jù)特點(diǎn)確定范圍 應(yīng)用系統(tǒng)

56、安全漏洞發(fā)現(xiàn)困難，很難消除代碼級的安全隱患 測評范圍較廣，分析較為困難 應(yīng)用系統(tǒng)測評包括應(yīng)用平臺（如IIS等）的測評，且和其他層面關(guān)聯(lián)較大,應(yīng)用測評的方法（1）,通過訪談，了解安全措施的實(shí)施情況,120,和其他成熟產(chǎn)品不同，應(yīng)用系統(tǒng)只有在充分了解其部署情況后，才能明確測評的范圍和對象，分析其系統(tǒng)的脆弱性和面臨的主要安全威脅，有針對性的進(jìn)行檢查和測試。-右圖是一個(gè)手機(jī)支付系統(tǒng)的流程示意圖，通過網(wǎng)頁和手機(jī)可以完成沖值、查詢等業(yè)務(wù)。,應(yīng)用測評的方法（2）,通過檢查，查看其是否進(jìn)行了正確的配置 有的安全功能（如口令長度限制、錯誤登錄嘗試次數(shù)等）需要在應(yīng)用系統(tǒng)上進(jìn)行配置，則查看其是否進(jìn)行了正確的配置，與

57、安全策略是否一致。 無需進(jìn)行配置的，則應(yīng)查看其部署情況是否與訪談一致。 如果條件允許，需進(jìn)行測試 可通過測試驗(yàn)證安全功能是否正確，配置是否生效。 代碼級的安全漏洞在現(xiàn)場查驗(yàn)比較困難，則可進(jìn)行漏洞掃描和滲透測試。,121,等級保護(hù)測評過程,測評準(zhǔn)備階段-項(xiàng)目啟動,向被測單位介紹等級測評的意義和作用，測評工作的基本流程和工作方法。 了解被測單位的信息化建設(shè)狀況與發(fā)展。包括被測系統(tǒng)的行業(yè)特征、主管機(jī)構(gòu)、業(yè)務(wù)范圍、地理位置以及被測系統(tǒng)基本情況，獲得被測系統(tǒng)的背景信息和聯(lián)絡(luò)方式。 指出被測單位應(yīng)提供的基本資料，包括：被測系統(tǒng)總體描述文件，被測系統(tǒng)詳細(xì)描述文件，被測系統(tǒng)安全保護(hù)等級定級報(bào)告，系統(tǒng)驗(yàn)收報(bào)告，

58、安全需求分析報(bào)告，被測系統(tǒng)安全總體方案等。 根據(jù)測評雙方簽訂的委托測評協(xié)議書和系統(tǒng)規(guī)模，測評機(jī)構(gòu)組建測評項(xiàng)目組，從人員方面做好準(zhǔn)備，并編制項(xiàng)目計(jì)劃書。,124,3.1.2測評準(zhǔn)備階段-信息收集與分析,被測單位積極配合測評機(jī)構(gòu)，為測評機(jī)構(gòu)提供其所需要的各種資料，包括被測單位的各種方針文件、規(guī)章制度及相關(guān)過程管理記錄、被測系統(tǒng)總體描述文件、被測系統(tǒng)詳細(xì)描述文件、被測系統(tǒng)安全保護(hù)等級定級報(bào)告、安全需求分析報(bào)告、被測系統(tǒng)安全總體方案、安全現(xiàn)狀評價(jià)報(bào)告、被測系統(tǒng)安全詳細(xì)設(shè)計(jì)方案、用戶指南、運(yùn)行步驟、網(wǎng)絡(luò)圖表、配置管理文檔等。 測評機(jī)構(gòu)分析被測單位提供的系統(tǒng)相關(guān)文件和初步了解到的系統(tǒng)基本情況，將需要補(bǔ)充了

59、解的內(nèi)容編制成調(diào)查表并發(fā)放給被測系統(tǒng)運(yùn)行維護(hù)人員。 測評機(jī)構(gòu)收回填寫完成的調(diào)查表單，并分析調(diào)查結(jié)果，以進(jìn)一步了解和熟悉被測系統(tǒng)的實(shí)際情況。分析的內(nèi)容包括被測系統(tǒng)的基本信息、管理框架、被測系統(tǒng)的網(wǎng)絡(luò)及設(shè)備部署、業(yè)務(wù)種類和特性、業(yè)務(wù)系統(tǒng)處理的信息資產(chǎn)、用戶范圍和用戶類型等。,125,測評準(zhǔn)備階段-調(diào)查表,內(nèi)容全面 順序合理 保留邏輯關(guān)聯(lián) 內(nèi)容至少包括被測系統(tǒng)的行業(yè)特征、主管機(jī)構(gòu)、業(yè)務(wù)范圍、地理位置、背景信息、聯(lián)絡(luò)方式、組織管理結(jié)構(gòu)、管理策略、部門設(shè)置和部門在業(yè)務(wù)運(yùn)行中的作用、崗位職責(zé)、物理環(huán)境、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、硬件設(shè)備部署情況、范圍及邊界、業(yè)務(wù)種類及特性、業(yè)務(wù)流程、業(yè)務(wù)安全保護(hù)等級等。,126,測評準(zhǔn)備階段-編制測評方案,根據(jù)被測系統(tǒng)基本情況描述被測系統(tǒng)，包括被測系統(tǒng)基本信息、管理框架、被測系統(tǒng)的網(wǎng)絡(luò)及設(shè)備部署、業(yè)務(wù)種類和特性、業(yè)務(wù)信息安全等級、系統(tǒng)服務(wù)安全等級、業(yè)務(wù)流程相關(guān)設(shè)備、部件和數(shù)據(jù)、管理模式、用戶范圍和用戶類型等。 根據(jù)被測系統(tǒng)規(guī)模確定人員分工和測評計(jì)劃。對于一般規(guī)模且業(yè)務(wù)種類較少的被測系統(tǒng)，分組負(fù)責(zé)主機(jī)、網(wǎng)絡(luò)、應(yīng)用安全測評和工具測試。測評計(jì)劃可以列表的形式給出，包括總體時(shí)間安排、分項(xiàng)測評時(shí)間安排等。 選擇適當(dāng)?shù)臏y評對象、方式和工具。 確定測評指標(biāo)。 確定現(xiàn)場測評實(shí)施內(nèi)容，包括單項(xiàng)測評和系統(tǒng)整體測評。 匯總上述6個(gè)步驟的各類文檔和資料形