網(wǎng)絡(luò)系統(tǒng)技術(shù)標(biāo)準(zhǔn)

1、精選網(wǎng)絡(luò)系統(tǒng)平安技術(shù)標(biāo)準(zhǔn)1、 范圍本標(biāo)準(zhǔn)規(guī)定了網(wǎng)絡(luò)系統(tǒng)平安技術(shù)內(nèi)容與要求。本標(biāo)準(zhǔn)適用于山焦汾西礦業(yè)集團(tuán)公司網(wǎng)絡(luò)系統(tǒng)平安愛(ài)護(hù)系統(tǒng)的安裝和使用。2、 規(guī)范性引用文件下列文件中的條款通過(guò)本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后全部的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，凡是不注日期的引用文件，其最新版本適用本標(biāo)準(zhǔn)。GB/T 5271.8 信息技術(shù) 詞匯 第8部分：平安 GB17859-1999 計(jì)算機(jī)信息系統(tǒng)平安愛(ài)護(hù)等級(jí)劃分準(zhǔn)則GB/T AAAA-AAAA 信息平安技術(shù) 信息系統(tǒng)平安等級(jí)愛(ài)護(hù)定級(jí)指南3、總體要求3.1依據(jù)有關(guān)網(wǎng)絡(luò)行業(yè)技術(shù)規(guī)范和技術(shù)要求標(biāo)準(zhǔn)執(zhí)行3.2對(duì)

2、于網(wǎng)絡(luò)系統(tǒng)設(shè)備的選型、施工、嚴(yán)格把關(guān)。3.3 對(duì)網(wǎng)絡(luò)系統(tǒng)技術(shù)工作負(fù)管理和檢查責(zé)任。4、網(wǎng)絡(luò)系統(tǒng)平安愛(ài)護(hù)技術(shù)標(biāo)準(zhǔn)4.1.物理平安4.1.1物理位置的選擇：機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等力量的建筑內(nèi)。4.1.2物理訪問(wèn)把握:機(jī)房出入口應(yīng)支配專人值守，把握、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍4.1.3防盜竊和防破壞:a) 應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)；b) 應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d) 應(yīng)對(duì)介質(zhì)分類(lèi)標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中；e) 主機(jī)房應(yīng)安裝必要的防

3、盜報(bào)警設(shè)施。4.1.4防盜竊和防破壞：a) 應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)；b) 應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d) 應(yīng)對(duì)介質(zhì)分類(lèi)標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中；e） 主機(jī)房應(yīng)安裝必要的防盜報(bào)警設(shè)施。4.1.5 機(jī)房應(yīng)設(shè)置滅火設(shè)備和火災(zāi)自動(dòng)報(bào)警系統(tǒng)。4.1.6 防水和防：水管安裝，不得穿過(guò)機(jī)房屋頂和活動(dòng)地板下；a) 應(yīng)實(shí)行措施防止雨水通過(guò)機(jī)房窗戶、屋頂和墻壁滲透；b) 應(yīng)實(shí)行措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。4.1.7 關(guān)鍵設(shè)備應(yīng)接受必要的接地防靜電措施。4.1.8 溫濕度把握：機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)整設(shè)施

4、，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。4.1.9 電力供應(yīng)：a) 應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備；b) 應(yīng)供應(yīng)短期的備用電力供應(yīng)，至少滿足關(guān)鍵設(shè)備在斷電狀況下的正常運(yùn)行要求。4.1.10 電磁防護(hù)：電源線和通信線纜應(yīng)隔離鋪設(shè)，避開(kāi)相互干擾。4.2 網(wǎng)絡(luò)平安4.2.1 結(jié)構(gòu)平安：a) 應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理力量具備冗余空間，滿足業(yè)務(wù)高峰期需要；b) 應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要； c) 應(yīng)繪制與當(dāng)前運(yùn)行狀況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；d) 應(yīng)依據(jù)各部門(mén)的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并依據(jù)便利管理和把握的原則為各

5、子網(wǎng)、網(wǎng)段安排地址段。4.2.2 訪問(wèn)把握：a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)把握設(shè)備，啟用訪問(wèn)把握功能；b) 應(yīng)能依據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流供應(yīng)明確的允許/拒絕訪問(wèn)的力量，把握粒度為網(wǎng)段級(jí)。c) 應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)章，打算允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，把握粒度為單個(gè)用戶。4.2.3 平安審計(jì)：a) 應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b) 審計(jì)記錄應(yīng)包括大事的日期和時(shí)間、用戶、大事類(lèi)型、大事是否成功及其他與審計(jì)相關(guān)的信息。4.2.4 邊界完整性檢查：應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中消滅的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查。4.2.5 入侵防范：應(yīng)在網(wǎng)

6、絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲(chóng)攻擊等。4.2.6 網(wǎng)絡(luò)設(shè)備防護(hù)：a) 應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；b) 應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；c) 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d) 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有簡(jiǎn)單度要求并定期更換；e) 應(yīng)具有登錄失敗處理功能，可實(shí)行結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；f) 當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)實(shí)行必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)。4.3 主機(jī)平安4.3.1 身份鑒別：a) 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行

7、身份標(biāo)識(shí)和鑒別；b) 操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有簡(jiǎn)單度要求并定期更換；c) 應(yīng)啟用登錄失敗處理功能，可實(shí)行結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；d) 當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)實(shí)行必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)；e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶安排不同的用戶名，確保用戶名具有唯一性。4.3.2訪問(wèn)把握：a) 應(yīng)啟用訪問(wèn)把握功能，依據(jù)平安策略把握用戶對(duì)資源的訪問(wèn)；b) 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分別；c) 應(yīng)限制默認(rèn)帳戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；應(yīng)準(zhǔn)時(shí)刪除多余的、過(guò)期的帳戶，避開(kāi)共

8、享帳戶的存在4.3.3 平安審計(jì)：a) 審計(jì)范圍應(yīng)掩蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的特別使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的平安相關(guān)大事；c) 審計(jì)記錄應(yīng)包括大事的日期、時(shí)間、類(lèi)型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；d) 應(yīng)愛(ài)護(hù)審計(jì)記錄，避開(kāi)受到未預(yù)期的刪除、修改或掩蓋等。、4.3.4 入侵防范操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過(guò)設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁準(zhǔn)時(shí)得到更新。4.3.5 惡意代碼防范：a) 應(yīng)安裝防惡意代碼軟件，并準(zhǔn)時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；b） 應(yīng)支持防惡意代碼軟件的統(tǒng)一管理。4.3.6 資源把握：a) 應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b) 應(yīng)依據(jù)平安策略設(shè)置登錄終端的操作超時(shí)鎖定；c) 應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度。 4.3.7 平安審計(jì)：a) 應(yīng)供應(yīng)掩蓋到每個(gè)用戶的平安審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要平安大事進(jìn)行審計(jì)；b) 應(yīng)保證無(wú)法刪除、修改或掩蓋審計(jì)記錄；C） 審計(jì)記錄的內(nèi)容至少應(yīng)包括大事日期、時(shí)間、發(fā)起者信息、