《网络安全等保三级建设整改方案网络安全等级保护第三级建设整改方案.docx》由会员分享，可在线阅读，更多相关《网络安全等保三级建设整改方案网络安全等级保护第三级建设整改方案.docx（296页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、某单位信息安全等级保护（三级）目录第一章项目概述81.1 项目概述81.2 项目建设背景81.2.1 法律要求91.2.2 政策要求111.3 项目建设目标及内容111.3.1 项目建设目标111.3.2 建设内容12第二章现状与差距分析132.1 现状概述132.1.1 信息系统现状132.2 现状与差距分析162.2.1 物理安全现状与差距分析162.2.2 网络安全现状与差距分析242.2.3 主机安全现状与差距分析372.2.4 应用安全现状与差距分析492.2.5 数据安全现状与差距分析612.2.6 安全管理现状与差距分析642.3 安全技术需求692.3.1 物理和环境安全需求6
2、92.3.2 网络和通信安全需求712.3.3 设备和计算安全需求722.3.4 应用和数据安全需求732.4 安全管理需求752.4.1 安全策略和管理制度752.4.2 安全管理机构和人员762.4.3 安全建设管理772.4.4 安全运维管理772.5 综合整改建议792.5.1 技术措施综合整改建议792.5.2 安全管理综合整改建议95第三章安全建设目标97第四章方案总体设计984.1 方案设计原则984.1.1 分区分域防护原则984.1.2 均衡性保护原则994.1.3 技术与管理相结合994.1.4 动态调整与可扩展994.1.5 网络安全三同步原则994.2 方案设计思路99
3、第五章安全整体规划1025.1 建设指导1025.1.1 指导原则1025.1.2 安全防护体系设计整体架构1035.2 安全技术规划1055.2.1 安全建设规划拓朴图105522安全设备功能1065.3 建设目标规划113第六章安全策略和方针设计1146.1 总体安全方针和策略设计1146.1.1 总体安全方针设计1146.1.2 总体安全策略设计1156.2 安全策略具体设计1166.2.1 物理和环境安全策略1176.2.2 网络和通信安全策略1186.2.3 设备和计算安全策略1196.2.4 应用和数据安全策略121第七章整体安全建设设计1227.1 物理和环境安全建设1227.1
4、.1 机房场地的选择1227.1.2 机房出入控制1227.1.3 防盗窃和防破坏1237.1.4 防雷击1237.1.5 防火1237.1.6 防水和防潮1237.1.7 防静电1247.1.8 温湿度控制1247.1.9 电力供应1247.1.10 电磁防护1247.2 安全技术体系设计方案1257.2.1 安全计算环境防护设计1257.2.2 安全区域边界防护设计1307.2.3 安全通信网络防护设计1357.2.4 安全管理中心设计1367.3 安全管理体系设计方案1377.3.1 安全策略和管理制度设计1377.3.2 安全管理机构和人员管理设计1397.3.3 安全建设管理1397
5、.3.4 安全运维管理140第八章安全防护部署设计方案1518.1 异常流量及抗DDoS攻击系统1518.1.1 产品特性1518.1.2 产品部署1578.2 下一代防火墙/UTM系统1578.2.1 产品特性1578.2.2 产品部署1618.3 应用交付控制系统1628.3.1 产品特性1628.3.2 产品部署1668.4 入侵防御系统1668.4.1 产品特性1668.4.2 产品部署1688.5 VPN综合安全网关1698.5.1 产品特性1698.5.2 产品部署1748.6 入侵检测系统1748.6.1 产品特性1748.6.2 产品部署1758.7 APT攻击检测系统1758
6、.7.1 产品特性1758.7.2 产品部署1808.8 无线安全管理系统1808.8.1 产品特性1808.8.2 产品部署1828.9 终端安全管理系统1828.9.1 产品特性1828.9.2 产品部署1848.10 漏洞扫描系统1858.10.1 产品特性1858.10.2 产品部署1878.11 Web应用安全防护系统1878.11.1 产品特性1878.11.2 产品部署1898.12 主机安全加固系统1908.13 安全运维网关1908.13.1 产品特性1908.13.2 产品部署1948.14 安全配置核查系统1948.14.1 产品特性1948.14.2 产品部署1988.
7、15 网络管理监控系统1988.16 安全审计系统1988.16.1 Web 应用审计1988.16.2 数据库审计2028.16.3 综合日志审计2088.17 综合安全管理平台2108.17.1 产品特性2108.17.2 产品部署2228.18 专业安全服务2238.18.1 安全风险评估2238.18.2 渗透测试服务2248.18.3 安全加固服务2258.18.4 代码审计服务2268.18.5 应急处理服务227第九章方案与等保要求对应229第十章工程建设23410.1 工程一期建设23410.1.1 区域划分23410.1.2 网络环境改造23510.1.3 网络边界安全加固2
8、3510.1.4 网络及安全设备部署23610.1.5 安全管理体系建设服务27010.1.6 安全加固服务28810.1.7 应急预案和应急演练29610.1.8 安全等保认证协助服务29610.2 工程二期建设29710.2.1 安全运维管理平台（soc）29710.2.2 APT高级威胁分析平台301第H一章方案预估效果30311.1工程预期效果304第一章项目概述1.1 项目概述某单位是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策，拟订省机关事务工作的政策、规划和规章制度并组织实施，负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，某单位积极响应
9、国家相关政策法规，积极开展信息安全等级保护建设。对自有网络安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正常进行。1.2 项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管理的重要一环，为机关各部门以及领导者和公务人员提供工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分
10、配管理的需要，使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理工作方面，如对政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个社会和国家发展的必然趋势。1.2.1 法律要求在2017年6月1日颁发的中华人民共和国网络安全法中明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安
11、全”，网络安全法第二十一条明确规定“国家实行网络安全等级保护制度”。各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，网络安全法中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监测、记录网络运行状态、网络安全事件的技术措施，留存不少于六个月的相关网络日志；采取数据分类、重要数据备份和加密等措施。未履行上述网络安全保护义
12、务的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
13、容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演练的，会被依照此条进行责令改正。安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。每年没有进行安全检测评估的单位要被责令改正。1.2.2 政策要求为切实
14、加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常重视，陆续颁布以下文件：关于加强党政机关网站安全管理的通知（中网办发文（2014）1号）、关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知（中央编办发（2014）69号），公安部、中央网信办、中编办、工信部等四部门关于印发党政机关、事业单位和国有企业互联网网站安全专项整治行动方案的通知（公信安（2015）2562号）1.3 项目建设目标及内容L3.1项目建设目标依据国家信息安全等级保护相关指导规范，对某单位信息系统、基础设施和骨干网络按照等保三级进行安全建设规划，对安全建设进行统一规划和设备选型，实现方案合理、组网简单、扩
15、容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三级标准，按照“统一规划、统一标准、重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安全等几个方面进行安全规划与建设,确保“网络建设合规、安全防护到位”。方案目标是让某单位的骨干网络、相关应用系统达到安全等级保护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系，提升整体信息安全防护能力。1.3.2建设内容本项目以某单位骨干网络、信息系统等级保护建设为主线，以让相关信息系统达到安全等级保护第三级要求。借助网络产品、安全产品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系，从而全面提高某单位
16、的工作效率，提升信息化运用水平。建设内容包括某单位内网骨干网络、基础设施和信息系统等。第二章现状与差距分析2.1现状概述2.L1信息系统现状本次项目中某单位外网项目中涉及的设备有：1）服务器24台2）网络设备若干路由器、交换机、ap3）安全设备有：1台防火墙（过保）、WAF （过保）、2台 ips （dmz区前IPS已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）4）存储设备：火星舱容灾备份2.1.1.1 网络系统现状某单位的网络系统整体构架采用三层层次化模型网络架构，即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干
17、，对整个网络的连通起到至关重要的作用。某单位内网核心，由1台DPX安全业务网关组成。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层前先做汇聚，以减轻核心层设备的负荷。某单位内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线汇聚交换机。接入层：接入层向本地网段提供工作站接入。某单位内网网络中，由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。在DPX核心交换机上划分VLAN和网关，整体网络中部署了防病毒网关、IPS、UAG、DDE数据容灾备份系统。0A系统连接至无线汇聚交换机。其他各系统旁路至核心交换机上。安全现状：在整体网络中部署有相应的安全设备做安全防护
18、，但部分安全设备过保，整体网络安全防护体系不够完善、区域划分不合理,现状拓扑图如下：图表1现状拓扑图2.1.1.2 主机系统现状某单位的业务系统0A、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并进行标识区分。服务器操作系统全都采用微软的Windows Server系列操作系统。某单位办公终端约为300台，win7为主，XP系统占少数，主机系统没有进行过定期更新补丁，安装有360天擎杀毒软件2.1.1.3 应用系统现状某单位的应用系统主要为以下业务系统：0A、文件交换箱等。也包含一些其他的办公软件。2.2现状与差距分析2.2.1 物理安全现状与
19、差距分析某单位机房建设过程中参照B级机房标准参考进行统一规划,存在的物理安全隐患较少。但仍需参照以下标准进行核查、整改;根据信息安全等级保护（第三级）中对物理安全相关项（防火、防雷、防水、防磁及电力供应等）存在些许差距。详见下表差距分析。图表2物理安全现状号要求指标项是否符合现状分析备注物理位置的选择（G3）本项要求包括：a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；符合要求满足b）机房场地应避免设在建筑物的符合要求满足号要求指标项是否符合现状分析备注高层或地下室，以及用水设备的下层或隔壁。物理访问控制（G3）本项要求包括：a）机房出入口应安排专人值守，控制、鉴别和记录进入的人
20、员；不符合要求不满足无相关记录b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；不符合要求不满足有监控，但是没有申请和审批流程C）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡基本符合要求依据业务系统进行了机柜间的区域区分，但未在重要区域前设置物理隔离装置。在重要区域前设置物理隔离装置。号要求指标项是否符合现状分析备注区域；d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。符合要求基本满足防盗窃和防破坏（G3）本项要求包括：a）应将主要设备放置在机房内；符合要求满足b）应将设备或主要部件进行固定，并设置明显的不易除去的标
21、记；符合要求满足c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；不符合要求不满足有部分线缆架设在半空中d）应对介质分类标识，存储在介符合要求满足号要求指标项是否符合现状分析备注质库或档案室中；e）应利用光、电等技术设置机房防盗报警系统；符合要求满足f）应对机房设置监控报警系统。符合要求满足防雷击（G3）本项要求包括：a）机房建筑应设置避雷装置；符合要求满足b）应设置防雷保安器，防止感应 W;符合要求满足c）机房应设置交流电源地线。符合要求满足防火（G3）本项要求包括：a）机房应设置火灾自动消防系统，能够自动检测基本符合要求安装有气体灭火装置号要求指标项是否符合现状分析备注火情、自动报警，并
22、自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；符合要求满足c）机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。不符合要求不满足防水和防潮（G3）本项要求包括：a）水管安装，不得穿过机房屋顶和活动地板下；符合要求满足b）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；符合要求满足c）应采取措施符合满足号要求指标项是否符合现状分析备注防止机房内水蒸气结露和地下积水的转移与渗透；要求d）应安装对水敏感的检测仪表或组件，对机房进行防水检测和报警。符合要求满足防静电（G3）本项要求包括：a）主要设备应采用必要的接地防静电措施；符合要求满足b）机房应米用防静电地板。符合要
23、求满足温湿度控制（G3）本项要求包括：机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备符合要求安装有动力环境监控系统，建议机房日常温度控制在10号要求指标项是否符合现状分析备注运行所允许的范围之内。28,湿度3070% o电力供应（A3）本项要求包括：a）应在机房供电线路上配置稳压器和过电压防护设备；基本符合要求满足b）应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求；符合要求设置UPS电池供电，并至少保证断电时主要设备在满负荷情况下4小时的正常运行。c）应设置冗余或并行的电力电缆线路为计算机系统供电；不符合要求只有一条出口线，极容易出现单点故障增加线缆，做到冗余
24、d）应建立备用供电系统。符合要求满足号要求指标项是否符合现状分析备注0电磁防护（S3）本项要求包括：a）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；符合要求满足b）电源线和通信线缆应隔离铺设，避免互相干扰；符合要求满足C）应对关键设备和磁介质实施电磁屏敝。符合要求满足2.2.2 网络安全现状与差距分析由于某单位前期已经行相关安全建设，仍有相关安全防护建设不到位，主要表现出以下问题点：1 .网络结构基本清晰，但细节规划不合理；2 .新增移动接入链路，3 .面对日益突增的网络安全事件缺乏有效防御手段及应急机制；4 .骨干网络架构规划不合理，核心交换区无冗余，安全防护区域划分不明晰，不能对不同
25、区域间防护措施、技术手段进行统一规划，不同区域对恶意攻击的防范能力不一。详见下表差距分析：图表3网络安全现状号要求指标项是否符合差距分析备注结构安全（G3）本项要求包括：a）应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需不符合要求域网核心交换设备均采用单链路、单设备，无冗余空间，一旦出域网核心设备至少有二台，采用多链路号要求指标项是否符合差距分析备注要；现设备故障则会出现单点故障，无法有效保障对外开放的业务安全稳定的运行。b）应保证网络各个部分的带宽满足业务高峰期需要；符合要求满足C）应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；符合要求满足d）应绘制与当前运行情
26、况相符的网络拓扑结构图；不符合要求暂无拓扑图我们会在工程结束后重新绘制网络拓扑图。号要求指标项是否符合差距分析备注e）应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；基本符合要求整体网络结构中已按照需求进行子网划分。但使用中存在混舌L,没有按规定使用。待本次项目建设进行梳理、严格限制f）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取口J靠的技术隔离手段；基本符合要求满足访问控制（G3）号要求指标项是否符合差距分析备注本项要求包括：a）应在网络边界部署访问控制设备，启用访问控
27、制功能；不符合要求仅在dmz 区部署防火墙且防火墙已过保，其他区域未部署访问控制设备建议在互联网出口与服务器区前部署防火墙进边界隔离与访问控制b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；符合要求满足c）应对进出网络的信息内容进行过滤，实现对应用层HTTP、 FTP、 TELNET、 SMTP、POP3等协议命令级的控符合要求满足号要求指标项是否符合差距分析备注制；d）应在会话处于非活跃一定时间或会话结束后终止网络连接；符合要求满足e）应限制网络最大流量数及网络连接数；不符合要求未部署流量控制设备，无法根据所承载的业务和带宽的实际情况确定网络取大流里数和网络
28、连接数并进行管理。部署上网行为管理及流控f）重要网段应采取技术手段防止地址欺骗；不符合要求未部署访问控制设备的区域无法采用包过滤或传输实现重要网段地址进行有效保护防止地址欺骗。号要求指标项是否符合差距分析备注控制协议，进行边界访问控制，防止地址欺骗，应对网络中的广播、组播进行必要的控制。g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；不符合要求没有在服务器区前和网络出口设置防火墙、认证网关或授权管理系统，可对单个用户的访问进行策略控制。新增2台防火墙实现不同安全域之间的访问控制h）应限制具有拨号访问权限的用户数量。不符合要求不涉及安全审计（G
29、3）号要求指标项是否符合差距分析备注本项要求包括：有上网行为管理设备（过保），但是并没有办法对网络设备运部署综合日行状况日志记志审计系统可对录，而部署综来自不同厂商的a）应对网络合安全日志审安全设备、网络系统中的网络设计系统可对来设备、主机、操备运行状况、网不符自不同J商的作系统、数据库络流量、用户行合要求安全设备、网系统、用户业务为等进行日志记络设备、主系统的日志、警录；机、操作系报等信息汇集到统、数据库系审计中心，实现统、用户业务综合安全审计。系统的日志、警报等信息汇集到审计中心，实现综合号要求指标项是否符合差距分析备注安全审计。b）审计记录应包括：事件的日期和时间、用户、事件类型、事件是
30、否成功及其他与审计相关的信息；符合要求满足c）应能够根据记录数据进行分析，并生成审计报表；不符合要求不满足部署日志审计系统d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。符合要求满足安全审计日志记录要求保存至少半年以上。边界完翳性检查（S3）本项要求包括：号要求指标项是否符合差距分析备注a）应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；不符合要求可通终端管理系统或ARP 绑定技术手段实现可采用终端管理系统等手段进行管理控制b）应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。不符合要求可采用终端管理系统等手
31、段进行管理控制入侵防范（G3）本项要求包括：a）应在网络边界处监视以下攻击行为：端口基本符合要求出口处部署有IPS入侵防御号要求指标项是否符合差距分析备注扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；b）当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报基本符合要求落实安全审计系统报警功能。恶意代码防范（G3）本项要求包括：a）应在网络边界处对恶意代码进行检测和清符合要求满足号要求指标项是否符合差距分析备注除；b）应维护恶意代码库的升级和检测系统的更新。符合要求网络设备防护（G3）本项要求包括：a）应对登录
32、网络设备的用户进行身份鉴别；不符合要求没有指定专人进行维护。通过密码和用户名进行身份鉴别，同时也没有部署堡垒主机。可以指定专人维护网络设备，并通过用户名和密码进行身份鉴别，同时也可以部署堡垒主机b）应对网络设备的管理员登录地址进行限制；不符合要求对管理员登陆地址没有限制。增添堡垒机设备，这样可以有效对远程用户进行管理。c）网络设备用户的标识应唯不符合要求网络设备没有唯一的标重新对设备进行标示。号要求指标项是否符合差距分析备注zj Od）主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；不符合要求主要网络设备未对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；增设堡
33、垒机e）身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；不符合要求密码没有定期更换，复杂度不够用户口令应12位以上，数字和字母组成，至少3个月更换一次。f）应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时符合要求当一次登录密码错误次数超过6次，应能自动关闭并告警。号要求指标项是否符合差距分析备注自动退出等措施；g）当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；不符合要求传输中进行加密，可以使用 IPsec VPN 技术h）应实现设备特权用户的权限分离。不符合要求网络管理员、系统管理员和安全审计员分开，并按职责分工限制
34、各自权限，但无技术手段控制。部署堡垒机控制用户权限2.2.3 主机安全现状与差距分析某单位内网主机终端已部署终端杀毒软件。终端主机安全现状差距分析，如下：图表4主机安全现状号要求指标项是否符合差距分析备注身份鉴别（S3）本项要求包括：a）应对登录操作系统和数据库系统的用户进行身份标识和鉴另小基本符合要求没有严格通过账号密码限制操作系统和数据库系统的用户登陆，进行身份标识和鉴别；b）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令不符合要求不满足系统管理员的登录身份标识唯一，口令12位以上，且数字和字母大小写组号要求指标项是否符合差距分析备注M有复杂度要求并定期更换；合，每半年应
35、更改一次。C）应启用登录失败处理功能，可米取结束会话、限制非法登录次数和自动退出等措施；符合要求当登录次数错误超过6次，应自动退出并告警。d）当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；不符合要求没有采用 IPSec VPN 对传输加密的方法来保证远程管理安全可靠。采用IPSecVPN部署e）应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。不符合要求不满足号要求指标项是否符合差距分析备注f）应米用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。不符合要求采用用户名密码的鉴别技术对管理员进行身份鉴别。部署堡垒机访问控制（S3）本项要
36、求包括：a）应启用访问控制功能，依据安全策略控制用户对资源的访问；不符合要求不满足b）应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；不符合要求因只设置了一个管理员账号，也未通过技术手段控制授予所需要的最小权限。部署堡垒机，将网络管理员、系统管理员和安全审计员分离，通过技术手段控制授予所需要的最小权限。c）应实现操不符合还是未修号要求指标项是否符合差距分析备注作系统和数据库系统特权用户的权限分离；要求改的默认口令修改口令d）应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；不符合要求不满足e）应及时删除多余的、过期的帐户，避免共享帐户
37、的存在。基本符合要求因只一个账户，不存在多余的账户f）应对重要信息资源设置敏感标记；不符合要求未对重要服务器部署服务器加固系统，采取安全加固措施，并设置敏感标记。对重要服务器部署服务器加固系统，采取安全加固措施，并设置敏感标记号要求指标项是否符合差距分析备注g）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；不符合要求不满足安全审计（G3）本项要求包括：a）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；不符合要求未部署数据库审计系统，无法对服务器和重要客户端上的每个操作系统用户和数据库用户进行审计。部署日志审计系统和数据库审计系统b）审计内容应包括重要用户行为、
38、系统资源的异常使用和重不符合要求未部署数据库审计系统，无法对重要用户行部署日志审计系统和数据库审计系统号要求指标项是否符合差距分析备注要系统命令的使用等系统内重要的安全相关事件；为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件进行审计。C）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；不符合要求未部署数据库审计系统，无法对数据库进行审计。部署日志审计系统和数据库审计系统d）应能够根据记录数据进行分析，并生成审计报表；不符合要求未部署数据库审计系统，无法对异常行为实时告警。部署日志审计系统和数据库审计系统e）应保护审不符合未部署数部署日志审号要求指标项是否
39、符合差距分析备注计进程，避免受到未预期的中断；要求据库审计系统。计系统和数据库审计系统f）应保护审计记录，避免受到未预期的删除、修改或覆盖等。不符合要求未部署数据库审计系统。（审计记录至少应保存半年。）部署日志审计系统和数据库审计系统剩余信息保护（S3）本项要求包括：a）应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘不符合要求不满足号要求指标项是否符合差距分析备注上还是在内存中；b）应确保系统内的文件、目同和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。不符合要求可在终端 Windows 操作
40、系统未启用“关机前清除虚拟内存页面”功能项。在终端 Windows操作系统启用“关机前清除虚拟内存页面”功能项。入侵防范（G3）本项要求包括：a）应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严符合要求已有ips入侵防御系统号要求指标项是否符合差距分析备注重入侵事件时提供报警；b）应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；不符合要求未定期使用完整性检查工具或脚本对服务器的重要程序和文件进行检查。定期使用完整性检查工具或脚本对服务器的重要程序和文件进行检查。c）操作系统应遵循最小安装的原则，仅安装需要的
41、组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。不符合要求未通过技术手段保持系统补丁及时得到更新。增加终端管理软件模块。恶意代码防范（G3）本项要求包括:号要求指标项是否符合差距分析备注a）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；符合要求满足，安装了360天擎b）主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；符合要求满足，安装了360天擎C）应支持防恶意代码的统一管理。符合要求满足，安装了360天擎资源控制（A3）本项要求包括：a）应通过设定终端接入方式、网络地址范围等条件限制终端登录；不符合要求通过账号密码限制终端登录。通过增设堡垒机对终端接入进行管理。号要求指标项是否符合差距分析备注b）应根据安全策略设置登录终端的操作超时锁定；不符合要求未部署终端管理系统对登录终端进行管理。部署终端管理系统对登录终端进行管理。c）应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；不符合要求没有网络管理系统可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。d）应限制单个用户对系统资源的