三级测评指导书等保20通用标准Word下载.docx

三级测评指导书等保20通用标准Word下载.docx

《三级测评指导书等保20通用标准Word下载.docx》由会员分享，可在线阅读，更多相关《三级测评指导书等保20通用标准Word下载.docx（49页珍藏版）》请在冰豆网上搜索。

机房通信线缆

应核查机房内通信线缆是否铺设在隐蔽安全处，如桥架中等

应设置机房防盗报警系统或设置有专人值守的视频监控系统

机房防盗报警系统或视频监控系统

1）应核查机房内是否配置防盗报警系统或专人值守的视频监控系统；

2）应核查防盗报警系统或视频监控系统是否启用

防雷击

应将各类机柜、设施和设备等通过接地系统安全接地

应核查机房内机柜、设施和设备等是否进行接地处理

应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等

机房防雷设施

1）应核查机房内是否设置防感应雷措施；

2）应核查防雷装置是否通过验收或国家有关部门的技术检测

防火

机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火

机房防火设施

1）应核查机房内是否设置火灾自动消防系统；

2）应核查火灾自动消防系统是否可以自动检测火情、自动报警并自动灭火

机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料

机房验收类文档

应核查机房验收文档是否明确相关建筑材料的耐火等级

应对机房划分区域进行管理，区域和区域之间设置隔离防火措施

机房管理员和机房

1）应访谈机房管理员是否进行了区域划分；

2）应核查各区域间是否采取了防火措施进行隔离

防水和防潮

应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透

应核查窗户、屋顶和墙壁是否采取了防雨水渗透的措施

应采取措施防止机房内水蒸气结露和地下积水的转移与渗透

1）应核查机房内是否采取了防止水蒸气结露的措施；

2）应核查机房内是否采取了排泄地下积水，防止地下积水渗透的措施

应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警

机房防水检测设施

1）应核查机房内是否安装了对水敏感的检测装置；

2）应核查防水检测和报警装置是否启用

防静电

应采用防静电地板或地面并采用必要的接地防静电措施

1）应核查机房内是否安装了防静电地板或地面；

2）应核查机房内是否采用了接地防静电措施

应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等

应核查机房内是否配备了防静电设备

温湿度控制

应设置温、湿度自动询节设施，使机房温、湿度的变化在设备运行所允许的范围之内

机房温湿度调节设施

1）应核查机房内是否配备了专用空调；

2）应核查机房内温湿度是否在设备运行所允许的范围之内

电力供应

应在机房供电线路上配置稳压器和过电压防护设备

机房供电设施

应核查供电线路上是否配置了稳压器和过电压防护设备

应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求

机房备用供电设施

1）应核查是否配备UPS等后备电源系统；

2）应核查UPS等后备电源系统是否满足设备在断电情况下的正常运行要求

应设置冗余或并行的电力电缆线路为计算机系统供电

应核查机房内是否设置了冗余或并行的电力电缆线路为计算机系统供电

电磁防护

电源线和通信线缆应隔离铺设，避免互相干扰

机房线缆

应核查机房内电源线缆和通信线缆是否隔离铺设

应对关键设备实施电磁屏蔽

机房关键设备

应核查机房内是否为关键设备配备了电磁屏蔽装置

2、安全通信网络

网络架构

应保证网络设备的业务处理能力满足业务高峰期需要

路由器、交换机、无线接入设备和防火墙等提供网络通信功能的设备或相关组件

1）应核查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率是否满足需要；

2）应核查网络设备是否从未出现过因设备性能问题导致的岩机情况；

3）应测试验证设备是否满足业务高峰期需求

应保证网络各个部分的带宽满足业务高峰期需要

综合网管系统等

1）应核查综合网管系统各通信链路带宽是否满足高峰时段的业务流量需要；

2）应测试验证网络带宽是否满足业务高峰期需求

应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址

1）应核查是否依据重要性、部门等因素划分不同的网络区域；

2）应核查相关网络设备配置信息，验证划分的网络区域是否与划分原则一致

应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段

网络拓扑

1）应核查网络拓扑图是否与实际网络运行环境一致；

2）应核查重要网络区域是否未部署在网络边界处；

3）应核查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段，如网闸、防火墙和设备访问控制列表（ACL）等

应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性

网络管理员和网络拓扑

应核查是否有关键网络设备、安全设备和关键计算设备的硬件冗余（主备或双活等）和通信线路冗余

通信传输

应采用校检技术或密码技术保证通信过程中数据的完整性

提供校检技术或密码技术功能的设备或组件

1）应核查是否在数据传输过程中使用检验技术或密码技术来保证其完整性2）应测试验证密码技术设备或组件能否保证通信过程中数据的完整性

应采用密码技术保证通信过程中数据的保密性

提供密码技术功能的设备或组件

1）应核查是否在通信过程中采取保密措施，具体采用哪些技术措施；

2）应测试验证在通信过程中是否对数据进行加密

3、安全区域边界

边界防护

应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信

网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件

1）应核查在网络边界处是否部署访问控制设备；

2）应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；

3）应采用其他技术手段（如非法无线网络设备定位、核查设备配置信息等）核查或测试验证是否不存在其他未受控端口进行跨越边界的网络通信

应能够对非授权设备私自联到内部网络的行为进行检查或限制

终端管理系统或相关设备

1）应核查是否采用技术措施防止非授权设备接入内部网络；

2）应核查所有路由器和交换机等相关设备闲置端口是否均已关闭

应能够对内部用户非授权联到外部网络的行为进行检查或限制

应核查是否采用技术措施防止内部用户存在非法外联行为

应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络

网络拓扑和无线网络设备

1）应核查无线网络的部署方式，是否单独组网后再连接到有线网络；

2）应核查无线网络是否通过受控的边界防护设备接入到内部有线网络

访问控制

应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信

1）应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略；

2）应核查设备的最后一条访问控制策略是否为禁止所有网络通信

应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化

1）应核查是否不存在多余或无效的访问控制策略；

2）应核查不同的访问控制策略之间的逻辑关系及前后排列顺序是否合理

应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许／拒绝数据包进出

1）应核查设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数；

2）应测试验证访问控制策略中设定的相关配置参数是否有效

应能根据会话状态信息为进出数据流提供明确的允许／拒绝访问的能力

1）应核查是否采用会话认证等机制为进出数据流提供明确的允许／拒绝访问的能力；

2）应测试验证是否为进出数据流提供明确的允许／拒绝访问的能力

入侵防范

应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为

抗APT攻击系统、网络回溯系统、威胁情报检测系统、抗DDoS攻击系统和入侵保护系统或相关组件

1）应核查相关系统或组件是否能够检测从内部发起的网络攻击行为；

2）应核查相关系统或组件的规则库版本或威胁情报库是否已经更新到最新版本；

3）应核查相关系统或组件的配置信息或安全策略是否能够覆盖网络所有关键节点；

4）应测试验证相关系统或组件的配置信息或安全策略是否有效

应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析

抗APT攻击系统、网络回溯系统和威胁情报检测系统或相关组件

1）应核查是否部署相关系统或组件对新型网络攻击进行检测和分析；

2）应测试验证是否对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分析；

当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警

1）应核查相关系统或组件的记录是否包括攻击源IP、攻击类型、攻击目标、攻击时间等相关内容；

2）应测试验证相关系统或组件的报警策略是否有效

恶意代码和垃圾邮件防范

应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新

防病毒网关和UTM等提供防恶意代码功能的系统或相关组件

1）应核查在关键网络节点处是否部署防恶意代码产品等技术措施；

2）应核查防恶意代码产品运行是否正常，恶意代码库是否已经更新到最新；

3）应测试验证相关系统或组件的安全策略是否有效

应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新

防垃圾邮件网关等提供防垃圾邮件功能的系统或相关组件

1）应核查在关键网络节点处是否部署了防垃圾邮件产品等技术措施；

2）应核查防垃圾邮件产品运行是否正常，防垃圾邮件规则库是否已经更新到最新；

安全审计

应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

综合安全审计系统等

1）应核查是否部署了综合安全审计系统或类似功能的系统平台；

2）应核查安全审计范围是否覆盖到每个用户；

3）应核查是否对重要的用户行为和重要安全事件进行了审计

审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

应核查审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

1）应核查是否采取了技术措施对审计记录进行保护；

2）应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略；

4、安全计算环境

身份鉴别

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等

1）应核查用户在登录时是否采用了身份鉴别措施；

2）应核查用户列表确认用户身份标识是否具有唯一性；

3）应核查用户配置信息或测试验证是否不存在空口令用户；

4）应核查用户鉴别信息是否具有复杂度要求并定期更换

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

1）应核查是否配置并启用了登录失败处理功能；

2）应核查是否配置并启用了限制非法登录功能，非法登录达到一定次数后采取特定动作，如账户锁定等；

3）应核查是否配置并启用了登录连接超时及自动退出功能

应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端：

移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等

1）应核查是否采用动态口令、数字证书、生物技术和设备指纹等两种或两种以上组合的鉴别技术对用户身份进行鉴别

2）应核查其中一种鉴别技术是否使用密码技术来实现

应对登陆的用户分配账户和权限

1）应核查是否为用户分配了账户和权限及相关设置情况；

2）应核查是否已禁用或限制匿名、默认账户的访问权限；

应重命名或删除默认账户，修改默认账户的默认口令

1）应核查是否已经重命名默认账户或默认账户已被删除；

2）应核查是否已修改默认账户的默认口令

应及时删除或停用多余的、过期的账户，避免共享账户的存在

移动终端管理系统、移动终端管

理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等

1）应核查是否不存在多余或过期账户，管理员用户与账户之间是否一一对应；

2）应测试验证多余的、过期的账户是否被删除或停用

应授予管理用户所需的最小权限，实现管理用户的权限分离

1）应核查是否进行角色划分；

2）应核查管理用户的权限是否已进行分离；

3）应核查管理用户权限是否为其工作任务所需的最小权限

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

1）应核查是否开启了安全审计功能；

3）应核查是否对重要的用户行为和重要安全事件进行审计

移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等

1）应核查是否采取了保护措施对审计记录进行保护；

2）应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略

应对审计进程进行保护，防止XX的中断

应测试验证通过非审计管理员的其他账户来中断审计进程，验证审计进程是否受到保护

应遵循最小安装的原则，仅安装需要的组件和应用程序

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等

1）应核查是否遵循最小安装原则；

2）应核查是否未安装非必要的组件和应用程序

应关闭不需要的系统服务、默认共享和高危端口

1）应核查是否关闭了非必要的系统服务和默认共享；

2）应核查是否不存在非必要的高危端口

应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

应核查配置文件或参数是否对终端接入范围进行限制

应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

：

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件等

1）应通过漏洞扫描、渗透测试等方式核查是否不存在高风险漏洞；

2）应核查是否在经过充分测试评估后及时修补漏洞

应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等

1）应访谈并核查是否有入侵检测的措施；

2）应核查在发生严重入侵事件时是否提供报警

恶意代码防范

应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、移动终端、移动终端管理系统、移动终端管理客户端和控制设备等

1）应核查是否安装了防恶意代码软件或相应功能的软件，定期进行升级和更新防恶意代码库；

2）应核查是否采用主动免疫可信验证技术及时识别入侵和病毒行为；

3）应核查当识别入侵和病毒行为时是否将其有效阻断

数据备份恢复

应提供重要数据的本地数据备份与恢复功能

配置数据和业务数据

1）应核查是否按照备份策略进行本地备份；

2）应核查备份策略设置是否合理、配置是否正确；

3）应核查备份结果是否与备份策略一致；

4）应核查近期恢复测试记录是否能够进行正常的数据恢复

应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

应核查是否提供异地实时备份功能，并通过网络将重要配置数据、重要业务数据实时备份至备份场地

应提供重要数据处理系统的热冗余，保证系统的高可用性

重要数据处理系统

应核查重要数据处理系统（包括边界路由器、边界防火墙、核心交换机、应用服务器和数据库服务器等）是否采用热冗余方式部署

5、安全管理中心

系统管理

应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计

提供集中系统管理功能的系统

1）应核查是否对系统管理员进行身份鉴别；

2）应核查是否只允许系统管理员通过特定的命令或操作界面进行系统管理操作；

3）应核查是否对系统管理的操作进行审计

应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等

应核查是否通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等

审计管理

应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计

综合安全审计系统、数据库审计系统等提供集中审计功能的系统

1）应核查是否对审计管理员进行身份鉴别；

2）应核查是否只允许审计管理员通过特定的命令或操作界面进行安全审计操作；

3）应核查是否对安全审计操作进行审计

应通过审计管理员对审计记录进