等級測評基本要求復習總結(jié).doc

基本要求：技術(shù)思路、掌握不同等級要求的差異作用：使用單位：技術(shù)指導測評機構(gòu)：測評依據(jù)監(jiān)管部門：監(jiān)督檢查依據(jù)適用環(huán)節(jié)：系統(tǒng)建設、驗收、運維、測評、自查一級保護能力：個人，很少資源，一般自然災難，關鍵設備損害，能夠恢復部分功能二級保護能力：小型組織，少量資源，一般自然災難，重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和事件，能夠在一定時間內(nèi)恢復部分功能三級保護能力：大型的、有組織的團體，較為嚴重的自然災難，能夠發(fā)現(xiàn)重要的安全漏洞和事件，內(nèi)部人員的惡意威脅、設備較嚴重故障，較快恢復絕大部分功能四級保護能力：國家級別、敵對組織，嚴重的自然災難，能夠發(fā)現(xiàn)重要的安全漏洞和事件，內(nèi)部人員的惡意威脅、設備較嚴重故障，能夠迅速恢復所有功能技術(shù)措施一級：防護二級：防護/監(jiān)測三級：策略/防護/監(jiān)測/恢復四級：策略/防護/監(jiān)測/恢復/響應管理措施一級：一般執(zhí)行二級：計劃實施三級：統(tǒng)一策略四級：持續(xù)改進覆蓋范圍一級：通信/邊界 關鍵設備二級：通信/邊界/內(nèi)部 重要設備三級：通信/邊界/內(nèi)部 主要設備四級：通信/邊界/內(nèi)部/基礎設施 所有設備業(yè)務信息安全相關要求 S系統(tǒng)服務保證相關要求 A通用安全保護要求 G技術(shù)要求（3種分別標注）管理要求（全屬于G）逐級增強特點1控制點增加2要求項增多要求增多范圍增大要求細化或粒度細化未明確要求一下內(nèi)容：二級系統(tǒng)在一級基本要求基礎上，技術(shù)增加物理位置選擇、防靜電、電磁防護、網(wǎng)絡安全審計、網(wǎng)絡入侵防御、邊界完整性檢查、主機安全審計、主機資源控制、應用資源控制、應用安全審計、通信保密性以及數(shù)據(jù)保密性管理增加審核和檢查、管理制度的評審和修訂、人員考核、密碼管理、變更管理和應急預案三級在二級基礎上增加網(wǎng)絡惡意代碼防范、剩余信息保護、軟件容錯、抗抵賴，管理上增加系統(tǒng)備案、安全測評、監(jiān)控管理和安全管理中心四級在三級基礎上增加系統(tǒng)和應用層面的安全標記、可信路徑物理層：物理位置要求：一級：無要求二級：建筑物具有基本防護自然條件的能力 三級：對建筑物的樓層選擇以及周圍環(huán)境提出要求“避免高層和地下室，用水設備的下層或隔壁” 四級：同上網(wǎng)絡層：訪問控制一級：包過濾，控制數(shù)據(jù)進出網(wǎng)絡 二級：會話狀態(tài)進行過濾 三級：應用層協(xié)議過濾 四級：帶敏感標記的信息流控制安全審計一級：無要求二級：對網(wǎng)絡運行設備、流量、用戶行為等進行基本情況記錄三級：形成記錄進行分析、報警，保護審計信息四級：集中審計網(wǎng)絡入侵防范一級： 無要求二級： 檢測常見攻擊發(fā)生三級： 發(fā)出報警四級： 主動防范主機安全身份鑒別一級： 進行簡單身份鑒別二級： 唯一標識，復雜度要求三級： 兩種及以上鑒別技術(shù)組合四級： 其中一種鑒別技術(shù)不可偽造訪問控制一級： 要求實現(xiàn)一般訪問控制二級： 數(shù)據(jù)庫和os權(quán)限分離三級： 敏感信息進行標記并進行訪問控制四級： 粒度應達到進程級、文件級、表、記錄和字段級惡意代碼防范一級： 安裝防范產(chǎn)品二級： 支持統(tǒng)一管理三級： 主機和網(wǎng)路產(chǎn)品不采用統(tǒng)一惡意代碼庫四級： 同上應用通信完整性一級： 雙方確認會話判斷二級： 利用單向檢驗算法判斷三級： 密碼算法判斷四級： 同上通信保密性一級： 無要求二級： 建立連接前采用密碼技術(shù)進行初始化驗證、通信過程對敏感字段加密三級： 整個會話過程加密四級： 密鑰管理要求軟件容錯一級： 數(shù)據(jù)有效驗證二級： 故障發(fā)生，繼續(xù)提供部分功能三級： 自動保護能力四級： 自動恢復能力數(shù)據(jù)安全完整性一級： 重要數(shù)據(jù)傳輸過程進行完整性破壞檢測二級： 鑒別數(shù)據(jù)在傳輸過程中完整性破壞檢測三級： 檢測數(shù)據(jù)存儲完整性四級： 安全、專用通信協(xié)議保密性一級： 無要求二級： 身份鑒別數(shù)據(jù)保密三級： 各類敏感數(shù)據(jù)傳輸和存儲中進行保密四級： 采用安全專用通信協(xié)議數(shù)據(jù)恢復一級： 重要數(shù)據(jù)備份恢復二級： 關鍵設備和線路冗余三級： 異地備份，防止單點故障四級： 異地數(shù)據(jù)實時備份，業(yè)務應用無縫切換管理系統(tǒng)建設一級：要求具體部門和負責人二級：制定實施方案，控制實施過程三級：制度化管理四級：工程監(jiān)理測試驗收：一級：形成測試報告；二級：測試報告