大数据中心安全解决方案文档格式.docx
《大数据中心安全解决方案文档格式.docx》由会员分享，可在线阅读，更多相关《大数据中心安全解决方案文档格式.docx（34页珍藏版）》请在冰豆网上搜索。
移动互联网安全扩展要求20
安全物理环境20
安全区域边界20
安全计算环境21
安全建设管理21
物联网安全扩展要求22
安全物理环境22
安全区域边界22
安全运维管理22
工业控制系统安全扩展要求23
安全物理环境23
安全通信网络23
安全区域边界24
安全计算环境25
安全建设管理25
1.1安全通用要求
1.1.1安全物理环境
《基本要求》控制项
控制措施
建设需求
物理位置选择
1
机房场地应选择在具有防震、防风和防雨等能力的建筑内；
2
机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
物理访问控制
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员；
电子门禁系统
防盗窃和防破坏
应将设备或主要部件进行固定，并设置明显的不易除去的标记；
应将通信线缆铺设在隐蔽安全处；
防雷击
应将各类机柜、设施和设备等通过接地系统安全接地；
防火
机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；
火灾自动消防系
统
机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；
防水和防潮
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；
应釆取措施防止机房内水蒸气结露和地下积水的转移与渗透；
防静电
应安装防静电地板或地面并采用必要的接地防静电措施；
防静电地板
温湿度控制
应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范圉之内。
机房空调/精密空调
电力供应
应在机房供电线路上配置稳压器和过电压防护设备；
稳压器、UPS
应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求；
电磁防护
电源线和通信线缆应隔离铺设，避免互相干扰；
1.1・2安全通信网络
网络架构
应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址
根据服务器功能区的作用，划分了VLAN
核心交换机/核心路山器/防火墙等
应避免将重要网络区域部署在网络边界处，重要网络区域与其他网络区域之间应采取可黑的技术隔离手段
通过划分不同区域并防火隔离措施
通信传输
应采用校验技术保证通信过程中数据的完整性
使用校验技术保障数据的完整性及保密性
VPN设备
可信验证
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心
1.1.3安全区域边界
边界防护
应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；
端口级访问控制
防火墙、网闸、路由器和交换机
访问控制
应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
边界访问控制策略
应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；
应用配置项
3
应对源地址、U的地址、源端口、忖的端口和协议等进行检查，以允许/拒绝数据包进出；
4
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力；
对进出网络的数据流实现基于应用协议和应用内容的访问控制
入侵防范
应在关键网络节点处监视网络攻击行为；
关键网络节点双向（外部发起攻击和内部发起攻击行为）网络攻击行为检测、防止或限制
防火墙、IPS、IDS
恶意代码和垃圾邮件防范
应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；
防御网络恶意代码
防火墙（开启防病毒模块）\防毒墙网关
安全审计
应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
（路由器、交换机和防火墙等设备）启用日志功能
日志审计系统、堡垒机、上网行为管理、防火墙、VPN
审计记录应包括事件的日期和时间、用户、事件类型、事件是否成
功及其他与审计相关的信息；
应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
1.1.4安全计算环境
身份鉴别
应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；
设备设置登录认证功能
VPN＞运维堡垒主机
应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；
_E机启用设备自身策略：
密码策略、用户管理、登录失败处理功能，启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施
当进行远程管理时，应釆取必要措施，防止鉴别信息在网络传输过程中被窃听；
远程管理时，使用SSH、HTTPS加密
应对登录的用户分配账号和权限；
主机配置项：
登录的用户账户和权限合理分配
防火墙，运维堡垒主机
应重命名或删除默认帐户修改默认帐户的默认口令；
重命名或删除默认账户，修改默认账户的默认口令
应及时删除或停用多余的、过期的帐户，避免共享帐户的存在；
及时删除或停用多余的、过期的账户，避免共享账户的存在
应授予管理用户所需的最小权限，实现管理用户的权限分离；
管理用户的权限分离
应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
启用网络设备、安全设备、服务器等日志功能，并设置独立审计员账号进行安全审计
防火墙、日志审计系统、网络安全审计、数据库审计
审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
对审计记录进行保护
应遵循最小安装的原则，仅安装需要的组件和应用程序；
仅安装需要的组件和应用程序
漏洞扫描系统、入侵检测系统、EDR、网络防病毒系统
应关闭不需要的系统服务、默认
共享和同危端11;
关闭不需要的系统服务、默认共享和高危端口
应通过设定终端接入方式或网络地址范用对通过网络进行管理的管理终端进行限制；
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；
系统配置项（如登录对输入框输入的内容进行长度、位数及复杂度验证等）
5
应能发现可能存在的已知漏洞，并在经过充分测试评佔后，及时修补漏洞；
恶意代码防范
应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
安装杀毒软件并及时更新库
EDR、网络防病毒系统
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心
数据完整性
应采用校验技术保证重要数据在传输过程中的完整性；
采用校验技术或者加密通道通信
VTN
数据备份恢复
应提供重要数据的本地备份与恢复功能；
数据备份软件、容灾备份系统
应提供异地实时备份功能，利用通信网络将重要数据定时批量备份至备份场地；
剩余信息保护
应保证鉴别信息所在的存储空间，被释放或重新分配前得到完全清除；
个人信息保护
应仅釆集和保存业务必需的用户个人信息；
上网行为管理
应禁止未授权访问和非法使用用户个人信息
1.1・5安全管理中心
系统管理
应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；
运维堡垒机、网管系统、网络安全管理平台等
应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。
审计管理
应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作
数据库审计、日志审计、运维堡垒机
界面进行安全审计操作，并对这些操作进行审讼；
应通过审讣管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等。
1.1.6安全管理制度
序号
是否满足
已有措施
需求
安全策略
a
应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体H标、范围、原则和安全框架等。
满足
已建立，不断完善
管理制度
应对安全管理活动中的各类管理内容建立安全管理制度；
b
应对要求管理人员或操作人员执行的日常管理操作建立操作规程；
已建立，不
断完善
制定和发布
应指定或授权专门的部门或人员负责安全管理制度的制定；
安全管理制度应通过正式、有效的方式发布，并进行版本控制；
评审和修订
应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。
1.1.7安全管理机构
岗位设置
应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面
升级会员 