安全等级保护2级和3级等保要求Word文档格式.docx
《安全等级保护2级和3级等保要求Word文档格式.docx》由会员分享,可在线阅读,更多相关《安全等级保护2级和3级等保要求Word文档格式.docx(84页珍藏版)》请在冰豆网上搜索。
明显的无法除去的标记;
易除去的标记;
3)应将通信线缆铺设在隐蔽处,如铺设在
3)应将通信线缆铺设在隐
地下或管道中等;
敝处,如铺设在地下或管
4)应对介质分类标识,存储在介质库或档
道中等;
案室中;
4)应对介质分类标识,存储
5)设备或存储介质携带出工作环境时,应
在介质库或档案至中;
受到监控和内容加密;
5)应安装必要的防盗报警
6)应利用光、电等技术设置机房的防盗报
设施,以防进入机房的盗
警系统,以防进入机房的盗窃和破坏行
窃和破坏行为。
为;
7)应对机房设置监控报警系统。
防雷
1)机房建筑应设置避雷装
1)机房建筑应设置避雷装置;
击
置;
2)应设置防雷保安器,防止感应雷;
2)应设置交流电源地线。
3)应设置交流电源地线。
防火
1)应设置火火设备和火灾
1)应设置火灾自动消防系统,自动检测火
自动报警系统,并保持灭
情、自动报警,并自动灭火;
火设备和火灾自动报警
2)机房及相关的工作房间和辅助房,其建
系统的良好状态。
筑材料应具有耐火等级;
3)机房采取区域隔离防火措施,将重要设
备与其他设备隔离开。
防水
1)水管安装,不得穿过屋顶
1)水管安装,不得穿过屋顶和活动地板下;
和防
和活动地板下;
2)应对穿过墙壁和楼板的水管增加必要的
潮
2)应对穿过墙壁和楼板的
保护措施,如设置套管;
水管增加必要的保护措
3)应采取措施防止雨水通过屋顶和墙壁渗
施,如设置套管;
透;
3)应采取措施防止雨水通
4)应采取措施防止室内水蒸气结露和地下
过屋顶和墙壁渗透;
积水的转移与渗透。
4)应采取措施防止室内水
蒸气结露和地下积水的
转移与渗透。
防静
1)应采用必要的接地等防
1)应采用必要的接地等防静电措施;
电
静电措施
2)应采用防静电地板。
温湿
1)应设置温、湿度自动调节
1)应设置恒温恒湿系统,使机房温、湿度
度控
设施,使机房温、湿度的
的变化在设备运行所允许的范围之内。
制
变化在设备运行所允许
的范围之内。
电力
1)计算机系统供电应与其
1)计算机系统供电应与其他供电分开;
供给
他供电分开;
2)应设置稳压器和过电压防护设备;
2)应设置稳压器和过电压
3)应提供短期的备用电力供给〔如UPS设
防护设备;
备〕;
3)应提供短期的备用电力
4)应设置冗余或并行的电力电缆线路;
供给〔如UPS设备〕。
5)应建立备用供电系统〔如备用发电机〕,
以备常用供电系统停电时启用。
1)应米用接地方式防止外
1)应米用接地方式防止外界电磁干扰和设
界电磁干扰和设备寄生
备寄生耦合干扰;
电磁
防护
耦合干扰;
2)电源线和通信线缆应隔离,防止互相干
lyJv
2)电源线和通信线缆应隔
扰;
离,防止互相干扰。
3)对重要设备和磁介质实施电磁屏蔽。
网络
构造
1)网络设备的业务处理能
1)网络设备的业务处理能力应具备冗余空
力应具备冗余空间,要求
间,要求满足业务顶峰期需要;
与网
满足业务顶峰期需要;
2)应设计和绘制与当前运行情况相符的网
段划
2)应设计和绘制与当前运
络拓扑构造图;
分
行情况相符的网络拓扑
3)应根据机构业务的特点,在满足业务顶
构造图;
峰期需要的根底上,合理设计网络带宽;
3)应根据机构业务的特点,
4)应在业务终端与业务效劳器之间进展路
在满足业务顶峰期需要
由控制建立平安的访问路径;
的根底上,合理设计网络
5)应根据各部门的工作职能、重要性、所
带宽;
涉及信息的重要程度等因素,划分不冋
4)应在业务终端与业务效
的子网或网段,并按照方便管理和控制
劳器之间进展路由控制,
的原那么为各子网、网段分配地址段;
建立平安的访问路径;
6)重要网段应米取网络层地址与数据链路
5)应根据各部门的工作职
层地址绑定措施,防止地址欺骗;
能、重要性、所涉及信息
7)应按照对业务效劳的重要次序来指定带
的重要程度等因素,划分
宽分配优先级别,保证在网络发生拥堵
不同的子网或网段,并按
的时候优先保护重要业务数据主机。
照方便管理和控制的原
那么为各子网、网段分配
地址段;
6)重要网段应米取网络层
地址与数据链路层地址
绑定措施,防止地址欺
骗。
1)应能根据会话状态信息
1)应能根据会话状态信息〔包括数据包的
〔包括数据包的源地址、
源地址、目的地址、源端口号、目的端
目的地址、源端口号、目
口号、协议、出入的接口、会话序列号、
的端口号、协议、出入的
发出信息的主机名等信息,并应支持地
接口、会话序列号、发出
址通配符的使用〕,为数据流提供明确的
信息的主机名等信息,并
允许/拒绝访问的能力;
应支持地址通配符的使
2)
应对进出网络的信息内容进展过滤,实
用〕,为数据流提供明确
现对应用层HTTP、、SMTP、POP3等协
的允许/拒绝访问的能
议命令级的控制;
力。
3)
应依据平安策略允许或者拒绝便携式和
移动式设备的网络接入;
4)
应在会话处于非活泼一定时间或会话完
毕后终止网络连接;
5)
应限制网络最大流量数及网络连接数。
拨号
1)
应在基于平安属性的允
应在基于平安属性的允许远程用丿对系
许远程用户对系统访问
统访问的规那么的根底上,对系统所有
的规那么的根底上,对系统所有资源允许或拒绝用户进展访问,控制粒度为单个用户;
资源允许或拒绝用户进展访问,控制粒度为单个用户;
应限制具有拨号访问权限的用户数量;
应限制具有拨号访问权
应按用户和系统之间的允许访问规那
限的用户数量。
么,决定允许用户对受控系统进展资源
访问。
应对网络系统中的网络
应对网络系统中的网络设备运行状况、
设备运行状况、网络流
网络流量、用户行为等进展全面的监测、
审计
量、用户行为等事件进展
日志记录;
记录;
对于每一个事件,其审计记录应包括:
对于每一个事件,其审计记录应包括:
事件的日期
事件的日期和时间、用户、事件类型、
和时间、用户、事件类型、
事件是否成功,及其他与审计相关的信
事件是否成功,及其他与
息;
审计相关的信息。
平安审计应可以根据记录数据进展分
析,并生成审计报表;
平安审计应可以对特定事件,提供指定
方式的实时报警;
审计记录应受到保护防止受到未预期的
删除、修改或覆盖等。
边界完整性检
查
1)应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为〔即非法外联〃行为〕。
1)应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为
〔即“非法外联〃行为〕;
2)应能够对非授权设备私自联到网络的行为进展检查,并准确定出位置,对其进展有效阻断;
3)应能够对内部网络用户私自联到外部网络的行为进展检测后准确定出位置,并对其进展有效阻断。
入侵
防范
1)应在网络边界处监视以下攻击行为:
端口扫描、强力攻击、木马后门攻击、拒绝效劳攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生。
1)应在网络边界处应监视以下攻击行为:
端口扫描、强力攻击、木马后门攻击、拒绝效劳攻击、缓冲区溢出攻击、IP碎
片攻击、网络蠕虫攻击等入侵事件的发
生;
2)当检测到入侵事件时,应记录入侵的源
IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警。
恶意
代码
1)应在网络边界及核心业务网段处对恶意代码进展检测和去除;
2)应维护恶意代码库的升级和检测系统的更新;
3)应支持恶意代码防范的统一管理。
1)应在网络边界及核心业务网段处对恶意代码进展检测和去除;
2)应维护恶意代码库的升级和检测系统的更新;
3)应支持恶意代码防范的统一管理。
设备
1)应对登录网络设备的用户进展身份鉴别;
2)应对网络设备的管理员登录地址进展限制;
3)网络设备用户的标识应
1)应对登录网络设备的用户进展身份鉴
别;
2)应对网络上的对等实体进展身份鉴别;
3)应对网络设备的管理员登录地址进展限
唯一;
制;
身份鉴别信息应具有不
网络设备用户的标识应唯一;
易被冒用的特点,例如口
身份鉴别信息应具有不易被冒用的特
令长度、复杂性和定期的
点,例如口令长度、复杂性和定期的更
更新等;
新等;
应具有登录失败处理功
能,如:
完毕会话、限制
6)
应对冋一用户选择两种或两种以上组合
非法登录次数,当网络登
的鉴别技术来进展身份鉴别;
录连接超时,自动退出。
7)
应具有登录失败处理功能,如:
完毕会
话、限制非法登录次数,当网络登录连
接超时,自动退出;
8)
应实现设备特权用户的权限别离,例如
将管理与审计的权限分配给不冋的网络
设备用户。
主机
身份
操作系统和数据库管理
操作系统和数据库管理系统用户的身份
系统
鉴别
系统用户的身份标识应
标识应具有唯一性;
具有唯一性;
应对登录操作系统和数据库管理系统的用户进展身份标识和鉴别;
应对登录操作系统和数据库管理系统的
用户进展身份标识和鉴别;
应对冋一用户采用两种或两种以上组合
的鉴别技术实现用户身份鉴别;
系统身份鉴别信息应具
有不易被冒用的特点,例
鉴别信息应具有不易被冒用的特点,例
如口令长度、复杂性和定
期的更新等;
如口令长度、复杂性和定期的更新等;
能,女口:
话、限制非法登录次数,当登录连接超
非法登录次数,当登录连
时,自动退出;
接超时,自动退出。
应具有鉴别警示功能;
重要的主机系统应对与之相连的效劳器
或终端设备进展身份标识和鉴别。
自主
应依据平安策略控制主
应依据平安策略控制主体对客体的访
体对客体的访问;
问;
自主访问控制的覆盖范
自主访问控制的覆盖范围应包括与信息
围应包括与信息平安直
平安直接相关的主体、客体及它们之间
接相关的主体、客体及它
们之间的操作;
的操作;
自主访问控制的粒度应
自主访问控制的粒度应到达主体为用户
到达主体为用户级,客体
级,客体为文件、数据库表级;
为文件、数据库表级;
应由授权主体设置对客体访问和操作的
应由授权主体设置对客
权限;
体访问和操作的权限;
权限别离应采用最小授权原那么,分别
应严格限制默认用户的访问权限。
授予不冋用户各自为完成自己承当任务
所需的最小权限,并在他们之间形成相
互制约的关系;
应实现操作系统和数据库管理系统特权
用户的权限别离;
应严格限制默认用户的访问权限。
强制
无
应对重要信息资源和访问重要信息资源
的所有主体设置敏感标记;
强制访问控制的覆盖范围应包括与重要
信息资源直接相关的所有主体、客体及
它们之间的操作;
强制访问控制的粒度应到达主体为用户
级,客体为文件、数据库表级。
平安审计应覆盖到效劳
平安审计应覆盖到效劳器和客户端上的
器上的每个操作系统用
户和数据库用户;
每个操作系统用户和数据库用户;
平安审计应记录系统内重要的平安相关
平安审计应记录系统内
重要的平安相关事件,包
事件,包括重要用户行为、系统资源的
括重要用户行为和重要
异常使用和重要系统命令的使用;
系统命令的使用等;
平安相关事件的记录应包括日期和时
平安相关事件的记录应
包括日期和时间、类型、主体标识、客体标识、事件的结果等;
4)审计记录应受到保护防
止受到未预期的删除、修改或覆盖等。
间、类型、主体标识、客体标识、事件
的结果等;
4)平安审计应可以根据记录数据进展分
5)平安审计应可以对特定事件,提供指定
6)审计进程应受到保护防止受到未预期的中断;
7)审计记录应受到保护防止受到未预期的
保护
1)系统应提供在管理维护状态中运行的能力,管理维护状态只能被系统管理员使用。
1)系统因故障或其他原因中断后,应能够以手动或自动方式恢复运行。
剩余
信息
1)应保证操作系统和数据库管理系统用户的鉴别
信息所在的存储空间,被释放或再分配给其他用户前得到完全去除,无论这些信息是存放在硬盘上还是在内存中;
2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全去除。
1)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全去除,无论这些信息是存放在硬盘上还是在内存中;
2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全去除。
1)应进展主机运行监视,包括监视主机的
CPU硬盘、内存、网络等资源的使用情
况;
2)应设定资源报警域值,以便在资源使用
超过规定数值时发出报警;
3)应进展特定进程监控,限制操作人员运行非法进程;
4)应进展主机账户监控,限制对重要账户的添加和更改;
5)应检测各种的入侵行为,记录入侵的源
IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警.
警;
6)应能够检测重要程序完整性受到破坏,并在检测到完整性错误时米取必要的恢复措施。
1)效劳器和重要终端设备
〔包括移动设备〕应安装实时检测和查杀恶意代码的软件产品;
2)主机系统防恶意代码产品应具有与网络防恶意代码产品不冋的恶意代码库;
1)效劳器和终端设备〔包括移动设备〕均应安装实时检测和查杀恶意代码的软件产品;
2)主机系统防恶意代码产品应具有与网络防恶意代码产品不冋的恶意代码库;
资源
1)应限制单个用户的会话数量;
2)应通过设定终端接入方式、网络地址范围等条件限制终端登录。
1)应限制单个用户的多重并发会话;
2)应对最大并发会话连接数进展限制;
3)应对一个时间段内可能的并发会话连接数进展限制;
4)应通过设定终端接入方式、网络地址范围等条件限制终端登录;
5)应根据平安策略设置登录终端的操作超时锁定和鉴别失败锁定,并规定解锁或终止方式;
6)应制止同一用户账号在同一时间内并发登录;
7)应限制单个用户对系统资源的最大或最
小使用限度;
8)当系统的效劳水平降低到预先规定的最
小值时,应能检测和报警;
9)应根据平安策略设定主体的效劳优先
级,根据优先级分配系统资源,保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
应用
1)应用系统用户的身份标识应具有唯一性;
2)应对登录的用户进展身份标识和鉴别;
3)系统用户身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;
4)应具有登录失败处理功能,如:
完毕会话、限制非法登录次数,当登录连接超时,自动退出。
1)系统用户的身份标识应具有唯一性;
2)应对登录的用户进展身份标识和鉴别;
3)系统用户的身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;
4)应对冋一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
5)应具有登录失败处理功能,如:
完毕会话、限制非法登录次数,当登录连接超时,自动退出;
6)应具有鉴别警示功能;
7)应用系统应及时去除存储空间中动态使
用的鉴别信息。
1)应依据平安策略控制用户对客体的访问;
2)自主访问控制的覆盖范围应包括与信息平安直
接相关的主体、客体及它们之间的操作;
3)自主访问控制的粒度应到达主体为用户级,客体为文件、数据库表级;
4)应由授权主体设置用户
1)应依据平安策略控制用户对客体的访
2)自主访问控制的覆盖范围应包括与信息平安直接相关的主体、客体及它们之间的操作;
3)自主访问控制的粒度应到达主体为用户
4)应由授权主体设置用户对系统功能操作
对系统功能操作和对数
和对数据访问的权限;
据访问的权限;
应实现应用系统特权用户的权限别离,
应实现应用系统特权用
例如将管理与审计的权限分配给不冋的
户的权限别离,例如将管理与审计的权限分配给
应用系统用户;
不同的应用系统用户;
权限别离应采用最小授
权原那么,分别授予不同
所需的最小权限,并在它们之间形成相
用户各自为完成自己承
当任务所需的最小权限,
并在它们之间形成相互
制约的关系;
应严格限制默认用户的
访问权限。
平安审计应覆盖到应用
平安审计应覆盖到应用系统的每个用
系统的每个用户;
户;
平安审计应记录应用系
平安审计应记录应用系统重要的平安相
统重要的平安相关事件,包括重要用户行为和重
关事件,包括重要用户行为、系统资源
要系统功能的执行等;
的异常使用和重要系统功能的执行等;