信息安全等級(jí)測(cè)評(píng)師培訓(xùn)教程初級(jí)學(xué)習(xí)筆記

信息安全等級(jí)測(cè)評(píng)師培訓(xùn)教程（初級(jí)）目錄TOC\o"1-3"\h\z\u信息安全等級(jí)測(cè)評(píng)師培訓(xùn)教程（初級(jí)）本書主要以三級(jí)系統(tǒng)S3A3G3測(cè)評(píng)為例標(biāo)記說(shuō)明：保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理過(guò)程中不被泄漏、破壞和免受未授權(quán)的修改的信息安全類要求（簡(jiǎn)記為S）；保護(hù)系統(tǒng)連續(xù)正常的運(yùn)行，免受對(duì)系統(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用的服務(wù)保證類要求（簡(jiǎn)記為A）；通用安全保護(hù)類要求（簡(jiǎn)記為G）后面的數(shù)字3是說(shuō)S、A、G三類的要符合等保的三級(jí)要求，比如S3就是要達(dá)到S類的3級(jí)標(biāo)準(zhǔn)其中G是通用要求，G的級(jí)別為S、A中最高的數(shù)字級(jí)別通過(guò)不同的組合，得到系統(tǒng)的最終等級(jí)。安全保護(hù)等級(jí) 信息系統(tǒng)定級(jí)結(jié)果的組合Ⅰ級(jí) S1A1G1Ⅱ級(jí) S1A2G2，S2A2G2，S2A1G2Ⅲ級(jí) S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3Ⅳ級(jí) S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4Ⅴ級(jí) S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5第1章網(wǎng)絡(luò)安全測(cè)評(píng)網(wǎng)絡(luò)全局結(jié)構(gòu)安全（G3）a）應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力有冗余空間，滿足業(yè)務(wù)高峰期需要b）應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要；c）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問(wèn)路徑；d）應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；e）應(yīng)根據(jù)各部分的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)和網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段f）應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段（在網(wǎng)絡(luò)邊界處部署：防火墻、網(wǎng)閘、或邊界網(wǎng)絡(luò)設(shè)備配置并啟用acl）g）應(yīng)按照對(duì)業(yè)務(wù)服務(wù)的重要次序來(lái)制定帶寬分配優(yōu)先級(jí)別，保證在網(wǎng)絡(luò)發(fā)生擁堵時(shí)優(yōu)先保護(hù)重要主機(jī)。（檢查防火墻是否存在策略帶寬配置）注釋：1）靜態(tài)路由是指由網(wǎng)絡(luò)管理員手工配置的路由信息，當(dāng)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)或鏈路的狀態(tài)發(fā)生變化時(shí)，網(wǎng)絡(luò)管理員需要手工修改路由表中相關(guān)的靜態(tài)路由信息。2）動(dòng)態(tài)路由是指路由器能夠自動(dòng)地建立自己的路由表，并且能夠根據(jù)實(shí)際情況的變化適時(shí)的進(jìn)行調(diào)整。動(dòng)態(tài)路由機(jī)制的運(yùn)作依賴路由的兩個(gè)基本功能：對(duì)路由表的維護(hù)和路由器之間適時(shí)的路由信息交換。路由器之間的信息交換是基于路由協(xié)議實(shí)現(xiàn)的，如ospf路由協(xié)議是一種典型的鏈路狀態(tài)路由協(xié)議，它通過(guò)路由器之間通告網(wǎng)絡(luò)接口的狀態(tài)，來(lái)建立鏈路狀態(tài)數(shù)據(jù)庫(kù)，生成最短路徑樹，每個(gè)OSPF路由器使用這些最短路徑構(gòu)造路由表。如果使用動(dòng)態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認(rèn)證功能，保證網(wǎng)絡(luò)路由安全。3）vlan是一種通過(guò)將局域網(wǎng)內(nèi)的設(shè)備邏輯而不是物理劃分成不同子網(wǎng)從而實(shí)現(xiàn)虛擬工作組的新技術(shù)。不同vlan內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的。如果不同vlan要進(jìn)行通信，則需要通過(guò)路由器或三層交換機(jī)等三層設(shè)備實(shí)現(xiàn)。思科華為4）是否存在路由協(xié)議認(rèn)證：showrunning-configdisplaycurrent-configuration查看vlan劃分情況：showvlandisplayvlanall邊界完整性檢查（S3）a）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定位，并對(duì)其進(jìn)行有效阻斷；技術(shù)手段：網(wǎng)絡(luò)接入控制，關(guān)閉網(wǎng)絡(luò)設(shè)備未使用的端口、IP/MAC地址綁定等管理措施：進(jìn)入機(jī)房全程陪同、紅外視頻監(jiān)控等b）應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定位，并對(duì)其進(jìn)行有效阻斷；（方法：非法外聯(lián)監(jiān)控功能、非法外聯(lián)軟件）入侵防范（G3）a）應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；（入侵防范的技術(shù)：入侵檢測(cè)系統(tǒng)IDS，包含入侵防范模塊的多功能安全網(wǎng)關(guān)UTM）b）當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警（報(bào)警方式：短信、郵件、聲光報(bào)警等）.注釋：1）入侵檢測(cè)的分類：主動(dòng)入侵檢測(cè)、被動(dòng)入侵檢測(cè)。主動(dòng)入侵檢測(cè)：在攻擊的同時(shí)檢測(cè)到。它會(huì)查找已知的攻擊模式或命令，并阻止這些命令的執(zhí)行。被動(dòng)入侵檢測(cè)：攻擊之后的檢測(cè)。只有通過(guò)檢查日志文件，攻擊才得以根據(jù)日志信息進(jìn)行復(fù)查和再現(xiàn)。2）多功能安全網(wǎng)關(guān)的功能：防火墻、虛擬防火墻、入侵檢測(cè)和防御、防病毒、防垃圾郵件、p2p流量控制、URL過(guò)濾等功能。惡意代碼防范（G3）a）應(yīng)在網(wǎng)絡(luò)邊界處對(duì)惡意代碼進(jìn)行檢測(cè)和清除；（防惡意代碼產(chǎn)品：防病毒網(wǎng)關(guān)、包含防病毒模塊的多功能安全網(wǎng)關(guān)、網(wǎng)絡(luò)版防病毒系統(tǒng)等）b）應(yīng)維護(hù)惡意代碼庫(kù)的升級(jí)和檢測(cè)系統(tǒng)的更新（更新方式：自動(dòng)遠(yuǎn)程更新、手動(dòng)遠(yuǎn)程更新、手動(dòng)本地更新等）路由器訪問(wèn)控制（G3）a）應(yīng)在網(wǎng)絡(luò)邊界處部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；能夠起訪問(wèn)控制功能的設(shè)備有：網(wǎng)閘、防火墻、路由器和三層路由交換機(jī)等b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為端口級(jí)；（路由器通過(guò)配置合理的訪問(wèn)控制列表ACL）c）應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP,FTP,TELNET,SMTP,POP3等協(xié)議命令級(jí)的控制（一般實(shí)現(xiàn)方式：防火墻）d）應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；當(dāng)惡意用戶進(jìn)行網(wǎng)絡(luò)攻擊時(shí)，有時(shí)會(huì)發(fā)起大量會(huì)話連接，建立會(huì)話后長(zhǎng)時(shí)間保持狀態(tài)連接，從而占用大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。因此應(yīng)在會(huì)話終止或長(zhǎng)時(shí)間無(wú)響應(yīng)的情況下終止網(wǎng)絡(luò)連接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問(wèn)。一般在防火墻上實(shí)現(xiàn)。e）應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；（一般在防火墻上實(shí)現(xiàn)）路由器可根據(jù)IP地址、端口、協(xié)議來(lái)限制應(yīng)用數(shù)據(jù)流的最大流量；根據(jù)IP地址來(lái)限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬不被占用，業(yè)務(wù)系統(tǒng)可以對(duì)外正常提供服務(wù)。路由器的帶寬策略一般采用分層的帶寬管理機(jī)制，管理員可以通過(guò)設(shè)置細(xì)粒度的帶寬策略，對(duì)數(shù)據(jù)報(bào)文做帶寬限制和優(yōu)先級(jí)別設(shè)定，還可以通過(guò)源地址、目的地址、用戶和協(xié)議4個(gè)方面來(lái)限制帶寬showrunning-configdisplayaclconfigal2f）重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙地址欺騙中的地址可以使MAC地址，也可以使IP地址。目前發(fā)生比較多的是ARP地址欺騙，ARP地址欺騙是MAC地址欺騙的一種。ARP（AddressResolutionProtocol，地址解析協(xié)議）是一個(gè)位于TCP/IP協(xié)議棧中的低層協(xié)議，負(fù)責(zé)將某個(gè)IP地址解析成對(duì)應(yīng)的MAC地址。ARP欺騙分為2種，一種是對(duì)網(wǎng)絡(luò)設(shè)備ARP表的欺騙，另一種是對(duì)內(nèi)網(wǎng)PC的網(wǎng)關(guān)欺騙。解決方法：1在網(wǎng)絡(luò)設(shè)備中把所有PC的IP-MAC輸入到一個(gè)靜態(tài)表中，這叫IP-MAC綁定；2.在內(nèi)網(wǎng)所有PC上設(shè)置網(wǎng)關(guān)的靜態(tài)ARP信息，這叫PCIP-MAC綁定。一般要求2個(gè)工作都要做，稱為IP-MAC雙向綁定思科Showiparp華為displayarpg）應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶通過(guò)配置用戶、用戶組，并結(jié)合訪問(wèn)控制規(guī)則可以實(shí)現(xiàn)對(duì)認(rèn)證成功的用戶允許訪問(wèn)受控資源showcryptoisakmppolicy；showcryptoipsectransform-set；showipaccess-list。Displayipsech）應(yīng)限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量showrunning-configdisplaydialer安全審計(jì)（G3）a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b）審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；d）應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等；注釋：查看日志記錄情況：showloggingdisplaycurrent-configuration網(wǎng)絡(luò)設(shè)備防護(hù)a）應(yīng)對(duì)登陸網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；——用戶登錄路由器的方式包括：&1利用控制臺(tái)端口（Console）通過(guò)串口進(jìn)行本地連接登錄；&2利用輔助端口（AUX）通過(guò)MODEM進(jìn)行遠(yuǎn)程撥號(hào)連接登錄&3利用虛擬終端（VTY）通過(guò)TCP/IP網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程登錄——無(wú)論哪一種登錄方式，都需要對(duì)用戶身份進(jìn)行鑒別，口令是路由器用來(lái)防止非授權(quán)訪問(wèn)的常用手段，是路由器安全的一部分?！枰訌?qiáng)對(duì)路由器口令的管理，包括口令的設(shè)置和存儲(chǔ)，最好的口令存儲(chǔ)方式是保存在TACACS+或RADIUS認(rèn)證服務(wù)器上。檢查方法：思科在特權(quán)模式下輸入命令showrunning-config會(huì)輸出該路由器相關(guān)配置信息檢查配置信息中是否存在類似如下的配置信息Linevty04（虛擬終端）LoginPasswordxxxxxLineaux0（輔助端口）LoginPasswordxxxxxxLinecon0（控制臺(tái)端口）LoginPasswordxxxxx為特權(quán)用戶設(shè)置口令時(shí)，應(yīng)當(dāng)使用enablesecret命令該命令用于設(shè)定具有管理員權(quán)限的口令，enablesecret命令采用的是MD5算法，這種算法比enablepassword加密算法強(qiáng)，不容易被破解。如果設(shè)備啟用了AAA認(rèn)證，則查看配置信息應(yīng)當(dāng)存在類似如下配置信息aaanew-modeltacacs-serverhostsingle-connectingtacacs-serverkeyshared1aaanew-modelradius-serverhostradius-serverkeyshared1linevty04aaaauthorizationlogin華為displaycurrent-configurationb）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；為了保證網(wǎng)絡(luò)管理員對(duì)路由器安全訪問(wèn)的同時(shí)，避免其他人的未授權(quán)訪問(wèn)，最好的方法是采用帶外管理，使用專用的管理終端和通訊路徑，將管理數(shù)據(jù)流和其他數(shù)據(jù)流分開，能夠有效地增加安全性。利用ipaccess-class限制訪問(wèn)VTY（虛擬終端）的IP地址范圍。同時(shí)由于VTY的數(shù)目有一定的限制，當(dāng)所有的vty用完，就不能再建立遠(yuǎn)程的網(wǎng)絡(luò)連接了，通過(guò)限制登錄地址，限制能夠防止DOS攻擊（拒絕服務(wù)攻擊）。c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d）主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇2種或2種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別；雙因子鑒別還需要訪問(wèn)者擁有鑒別特征：采用令牌、智能卡、數(shù)字證書和生物信息等e）身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；（使用口令的組成、長(zhǎng)度和更改周期。對(duì)儲(chǔ)存在配置文件中的所有口令和類似數(shù)據(jù)進(jìn)行加密，可以避免通過(guò)讀取配置文件而獲取明文口令）f）應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；（可以利用命令配置VTY的超時(shí)，避免一個(gè)空閑的任務(wù)一直占用VTY，從而避免惡意攻擊或遠(yuǎn)端系統(tǒng)的意外崩潰導(dǎo)致的資源獨(dú)占。）g）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽；不應(yīng)當(dāng)使用明文傳送的Telnet、http服務(wù)，應(yīng)當(dāng)采用SSH、HTTPS等加密協(xié)議等方式來(lái)進(jìn)行交互式管理h）應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離；（應(yīng)根據(jù)實(shí)際需要為用戶分配完成其任務(wù)的最小權(quán)限）交換機(jī)訪問(wèn)控制a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為端口級(jí)c）應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、Telnet、SMTP、POP3等協(xié)議命令級(jí)的控制d）應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；e）應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)交換機(jī)可根據(jù)IP地址、端口、協(xié)議來(lái)限制應(yīng)用數(shù)據(jù)流的最大流量；根據(jù)IP地址來(lái)限制網(wǎng)絡(luò)連接數(shù)交換機(jī)的帶寬策略一般采用分層的帶寬管理機(jī)制，管理員可以通過(guò)設(shè)置細(xì)粒度的帶寬策略，對(duì)數(shù)據(jù)報(bào)文做帶寬限制和優(yōu)先級(jí)別設(shè)定，還可以通過(guò)源地址、目的地址、用戶和協(xié)議4個(gè)方面來(lái)限制帶寬f）重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙g）應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶。安全審計(jì)a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b）審計(jì)記錄應(yīng)包括：時(shí)間的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表d）應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或者覆蓋等網(wǎng)絡(luò)設(shè)備防護(hù)a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別b）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d）主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇2種或2種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別e）身邊鑒別信息應(yīng)該具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜程度要求并定期更換；f）應(yīng)具有登錄失敗處理的功能，可采取結(jié)束會(huì)話，限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出的措施；g）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽h）應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離防火墻訪問(wèn)控制a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為端口級(jí)；防火墻的安全策略的配置應(yīng)當(dāng)根據(jù)信息系統(tǒng)的應(yīng)用進(jìn)行配置，只允許授權(quán)的IP地址、協(xié)議、端口通過(guò)，對(duì)于沒有明確允許通過(guò)的數(shù)據(jù)流默認(rèn)應(yīng)當(dāng)是被禁止的。同時(shí)可以通過(guò)配置NAT、靜態(tài)地址映射、IP地址綁定等措施隱藏內(nèi)部網(wǎng)絡(luò)信息，以最大限度地保證被保護(hù)網(wǎng)絡(luò)的安全c）應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP,FTP,Telnet,SMTP，POP3等協(xié)議命令級(jí)的控制d）應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；e）應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f）重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙g）應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶h）應(yīng)限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量安全審計(jì)a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b）審計(jì)記錄包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他審計(jì)相關(guān)的信息；c）應(yīng)能根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；d）應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等；網(wǎng)絡(luò)設(shè)備防護(hù)a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別b）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；需要對(duì)遠(yuǎn)程管理防火墻的登錄地址進(jìn)行限制，可以是某一特定的IP地址，也可以來(lái)自某一子網(wǎng)、地址范圍或地址組c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d）主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇2種或2種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別e）身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜程度要求并定期更換；f）應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；g）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽h）應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離入侵檢測(cè)/防御系統(tǒng)訪問(wèn)控制a）應(yīng)在網(wǎng)絡(luò)邊界部署控制設(shè)備，啟用訪問(wèn)控制；此處的訪問(wèn)控制主要指入侵防御系統(tǒng)具有的訪問(wèn)控制功能，入侵檢測(cè)系統(tǒng)IDS不具有此功能b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為端口級(jí)c）應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、Telnet，SMTP、POP3等協(xié)議命令級(jí)的控制；d）應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；e）應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)f）重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙g）應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶；h）應(yīng)限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量安全審計(jì)a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備進(jìn)行運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b）審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他審計(jì)相關(guān)的信息；c）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；d）應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等；網(wǎng)絡(luò)設(shè)備防護(hù)a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別b）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d）主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇2種或者2種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別e）身邊鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜程度要求并定期更換；f）應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施h）應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離第2章主機(jī)安全測(cè)評(píng)操作系統(tǒng)測(cè)評(píng)身份鑒別a）應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別身份標(biāo)識(shí)和鑒別就是用戶向系統(tǒng)以一種安全的方式提交自己的身份證實(shí)，然后由系統(tǒng)確認(rèn)用戶的身份是否屬實(shí)的過(guò)程。linux用戶的口令經(jīng)過(guò)加密處理后存放于/etc/passwd文檔中?，F(xiàn)在的linux系統(tǒng)中口令不再直接保存在passwd文件中，通常將passwd文件中的口令字段使用一個(gè)“x”來(lái)代替，將/etc/shadow作為真正的口令文件，用于保存包括個(gè)人口令在內(nèi)的數(shù)據(jù)。淡然，shadow文件時(shí)不能被普通用戶讀取的，只有超級(jí)用戶才有權(quán)讀取。在root權(quán)限下，使用命令more、cat、vi查看/etc/passwd和/etc/shadow文件中各用戶名的狀態(tài)。以root身份登錄進(jìn)入linux。#cat/etc/passwd#cat/etc/shadowb）操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；WindowsOS中查看“本地安全策略—賬戶策略—密碼策略”中的相關(guān)項(xiàng)目：設(shè)置密碼歷史要求（此設(shè)置可確保用戶無(wú)法復(fù)用密碼）：24設(shè)置密碼最長(zhǎng)使用期限：70天設(shè)置密碼最短使用期限：2天設(shè)置最短密碼長(zhǎng)度：8個(gè)字符設(shè)置密碼復(fù)雜性要求：?jiǎn)⒂脝⒂妹艽a可逆加密：不啟用LinuxOS：PASS_MAX_DAYS90PASS_MIN_DAYS0PASS_MIN_LEN8PASS_WARN_AGE7登錄密碼過(guò)期提前7天提示修改FAIL_DELAY10登錄錯(cuò)誤時(shí)等待時(shí)間10秒FAILLOG_ENABYES登錄錯(cuò)誤記錄到日志FAILLOG_SU_ENABYES當(dāng)限定超級(jí)用戶管理日志時(shí)使用FAILLOG_SG_ENABYES當(dāng)限定超級(jí)用戶組管理日志時(shí)使用MD5_CRYPT_ENABYES當(dāng)使用md5為密碼的加密方法時(shí)使用c）應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施linux系統(tǒng)具有調(diào)用PAM的應(yīng)用程序可以用來(lái)認(rèn)證用戶、登錄服務(wù)、屏保等功能，其中的一個(gè)重要的文件/etc/system-auth，它是模塊的標(biāo)準(zhǔn)控制文件，在這個(gè)文件中可以通過(guò)配置參數(shù)，設(shè)置登錄失敗斷開連接的次數(shù)等。要獲得最大程度的安全性，建議在3-5次登錄嘗試失敗后鎖定賬戶，且不要在30分鐘內(nèi)重新啟用該賬戶，并將鎖定時(shí)間設(shè)置為“永久鎖定（直到管理員解開鎖定）”在linux操作系統(tǒng)中，以root身份登錄進(jìn)入linux的命令：#cat/etc/system-auth查看是否存在“accountrequired/lib/security/=5no-magic-rootreset”d）當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽在linux操作系統(tǒng)中：以root身份登錄linux。首先查看是否安裝SSH的相應(yīng)的包：#rpm-aq|grepssh或查看是否安裝SSH的相應(yīng)包：#service-status-all|grepsshd如果已經(jīng)安裝則查看相關(guān)的端口是否打開：#netstat-an|grepsshd22若未使用SSH方式進(jìn)行遠(yuǎn)程管理，則查看是否使用了Telnet方式進(jìn)行遠(yuǎn)程管理：#service-status-all|greprunning查看是否存在Telnet服務(wù)。e）應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性f）應(yīng)采用2種或2種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別數(shù)據(jù)庫(kù)系統(tǒng)Sql查看是否存在空口令用戶：select*fromsysloginswherepasswordisnullOracle查看是否啟用口令復(fù)雜度函數(shù)selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name=‘PASSWORD-VERIFY-FUNTION’登錄失敗嘗試次數(shù)的限制selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="FAILED-LOGIN-ATTEMPTS"(值為unlimited表示沒有限制)口令鎖定時(shí)間的設(shè)置語(yǔ)句selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="PASSWORD-LOCK-TIME"(值為unlimited表示沒有限制)訪問(wèn)控制a）應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問(wèn)；訪問(wèn)控制是安全防范和保護(hù)的主要策略，它不僅應(yīng)用與網(wǎng)絡(luò)層面，同樣也適用于主機(jī)層面，它的主要任務(wù)是保證系統(tǒng)資源不被非法適用和訪問(wèn)，適用訪問(wèn)控制的目的在于通過(guò)限制用戶對(duì)特定資源的訪問(wèn)來(lái)保護(hù)系統(tǒng)資源。主要涉及2個(gè)方面的內(nèi)容：文件系統(tǒng)和默認(rèn)共享文件權(quán)限：在windows系統(tǒng)中，重要目錄不能對(duì)“everyone”賬戶開放，在權(quán)限控制方面，尤其要注意文件權(quán)限更改后對(duì)于應(yīng)用系統(tǒng)的影響；在Linux系統(tǒng)中，應(yīng)堅(jiān)持Linux系統(tǒng)主要目錄的權(quán)限設(shè)置情況，對(duì)于配置文件權(quán)限制不能大于644，對(duì)于可執(zhí)行文件不能大于755。以root身份登錄Linux，使用”Ls-l文件名”查看重要文件和目錄權(quán)限設(shè)置是否合理默認(rèn)共享：WindowsOS的默認(rèn)共享功能的設(shè)計(jì)初衷是為了方便網(wǎng)管通過(guò)網(wǎng)絡(luò)對(duì)計(jì)算機(jī)進(jìn)行遠(yuǎn)程管理而設(shè)的，它的存在依賴于系統(tǒng)服務(wù)的“server”。為保證系統(tǒng)安全性，通常我們可以將其關(guān)閉。LinuxOS通常不存在默認(rèn)共享在命令模式下輸入netshare，查看共享查看注冊(cè)表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous值是否為“0”（0表示共享開啟）b）應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；c）應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；d）應(yīng)嚴(yán)格限制默認(rèn)賬戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令e）應(yīng)及時(shí)刪除多余的、過(guò)期的賬戶，避免共享賬戶的存在f）應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記；g）應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作注釋：1）訪問(wèn)控制是安全防范和保護(hù)的主要策略，它不僅僅用于網(wǎng)絡(luò)層面，同樣也適用于主機(jī)層面。它的主要任務(wù)是保證系統(tǒng)資源不被非法使用和訪問(wèn)，使用訪問(wèn)控制的目的在于通過(guò)限制用戶對(duì)特定資源的訪問(wèn)，來(lái)保護(hù)系統(tǒng)資源。在操作系統(tǒng)中的每一個(gè)文件和目錄都包含有訪問(wèn)權(quán)限，這些訪問(wèn)權(quán)限決定了誰(shuí)能訪問(wèn)和如何訪問(wèn)這些文件和目錄。對(duì)于linux中的一些重要文件，應(yīng)檢查linux系統(tǒng)主要的權(quán)限設(shè)置情況，對(duì)于配置文件權(quán)限值不能大于644，對(duì)于可執(zhí)行文件不能大于755.以root身份登錄進(jìn)入linux，使用命令：ls-l文件名，查看重要文件和目錄權(quán)限設(shè)置是否合理，如：#ls-l/etc/passwd#744查看共享情況，在命令行模式下輸入netshare查看注冊(cè)表：HKEY-LOCAL-MACHINE\SYSTEM\CurrentControlSet\Control\lsa\restrictanonymous值是否為0（0表示共享）2）根據(jù)管理用戶的角色對(duì)權(quán)限做出標(biāo)準(zhǔn)細(xì)致的劃分，有利于各崗位細(xì)致協(xié)調(diào)的工作。同時(shí)對(duì)授權(quán)模塊進(jìn)行一些授權(quán)管理，并且系統(tǒng)的授權(quán)安全管理工作要做到細(xì)致，今授予管理用戶所需的最小權(quán)限，避免出現(xiàn)權(quán)限的漏洞，使一些高級(jí)用戶擁有過(guò)大的權(quán)限。3）操作系統(tǒng)特權(quán)用戶可以擁有以下權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶賬戶、升級(jí)軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和安全性。數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶對(duì)數(shù)據(jù)庫(kù)的安裝、配置、升級(jí)和遷移以及數(shù)據(jù)庫(kù)用戶的管理，從而保證數(shù)據(jù)庫(kù)系統(tǒng)的可用性、完整性安全性。將操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離，能夠避免一些特權(quán)用戶擁有過(guò)大的權(quán)限以及減少一些認(rèn)為的誤操作，做到職責(zé)分明。4）敏感標(biāo)記：是強(qiáng)制訪問(wèn)控制的依據(jù)，主客體都有，它存在的形式無(wú)所謂，可能是整形的數(shù)字，也肯能是字母，他表示主客體的安全級(jí)別。敏感標(biāo)記是由強(qiáng)認(rèn)證的安全管理員進(jìn)行設(shè)置的，通過(guò)對(duì)重要信息資源設(shè)置敏感標(biāo)記，決定主體以何種權(quán)限為客體進(jìn)行操作，實(shí)現(xiàn)強(qiáng)制訪問(wèn)控制。數(shù)據(jù)庫(kù)Sql中查看是否存在多余過(guò)期的賬戶：selectfromsysloginsoracle中查看是否存在多余過(guò)期的賬戶：selectusername，account-statusfromdba-users查看是否安裝oraclelabelsecurity模塊：selectusernamefromdba-users查看是否創(chuàng)建策略：selectpolicy_name，statusfromDBA-SA-POLICIES查看是否創(chuàng)建級(jí)別：select*fromdba-sa-levelsorderbylever-num查看標(biāo)簽創(chuàng)建情況：select*fromdba-sa-label查看策略與模式、表的對(duì)應(yīng)關(guān)系：select*fromdba-sa-tabel-policies；判斷是否針對(duì)重要信息資源設(shè)置敏感標(biāo)簽。安全審計(jì)a）審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；以root身份登錄進(jìn)入Linux，查看服務(wù)進(jìn)程：系統(tǒng)日志服務(wù)#servicesyslogstatus#serviceauditstatus或#service-status-all|grepauditdb）審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；c）審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；d）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；e）應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷；f）應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等；注釋：以root身份登錄進(jìn)入Linux，查看服務(wù)進(jìn)程：系統(tǒng)日志服務(wù)#servicesyslogstatus#serviceauditstatus或#service-status-all|grepauditd2）在linux中/etc/audit/文件制定如何寫入審查記錄以及在那里寫入、日志超出可用磁盤空間后如何處理等內(nèi)容。/etc/audit/和/etc/audit/指定內(nèi)核用來(lái)判定系統(tǒng)調(diào)用是否要審查的規(guī)則。3）在linux操作系統(tǒng)中，使用aucat和augrep工具查看審計(jì)日志：#aucat|tail-100#查看最近的100條審計(jì)記錄；#augrep-eTEXT-UAUTH-success#查看所有成功PAM授權(quán)。4)在Linux中，Auditd是審計(jì)守護(hù)進(jìn)程，syslogd是日志守護(hù)進(jìn)程，保護(hù)好審計(jì)進(jìn)程當(dāng)事件發(fā)生時(shí)，能及時(shí)記錄事件發(fā)生的詳細(xì)內(nèi)容。5）非法用戶進(jìn)入系統(tǒng)后的第一件事情就是去清理系統(tǒng)日志和審計(jì)日志，而發(fā)現(xiàn)入侵的最簡(jiǎn)單最直接的方法就是去看系統(tǒng)記錄和安全審計(jì)文件。數(shù)據(jù)庫(kù)Oracle查看是否開啟審計(jì)功能：selectvaluefromv$paramaterwherename='audit-trail'或Showparmeteraudit-trail查看是否對(duì)所有sys用戶的操作進(jìn)行了記錄：showparameteraudit-sys-operation查看是否對(duì)sel，upd，delins操作進(jìn)行了審計(jì)：selectsel，upd，delinsfromdba-obj-audit-opts查看審計(jì)是否設(shè)置成功：select*fromdba-stmt-audit-opts查看權(quán)限審計(jì)選項(xiàng)：select*fromdba-priv-audit-opts剩余信息保護(hù)a）應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中b）應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除；入侵防范a）應(yīng)能夠檢測(cè)到對(duì)重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源IP，攻擊的類型、目的、時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警；b）應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施；c）操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過(guò)設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新注釋：1）入侵威脅分為：外部滲透、內(nèi)部滲透和不法行為。入侵行為分為：物理入侵、系統(tǒng)入侵和遠(yuǎn)程入侵。造成入侵威脅的入侵行為主要是系統(tǒng)入侵和遠(yuǎn)程入侵兩種。系統(tǒng)入侵指入侵者在擁有系統(tǒng)的一個(gè)低級(jí)賬號(hào)權(quán)限下進(jìn)行的破壞活動(dòng)。（如果系統(tǒng)沒有及時(shí)更新最近的補(bǔ)丁程序，那么擁有低級(jí)權(quán)限的用戶就可能利用系統(tǒng)漏洞獲取更高的管理權(quán)限）遠(yuǎn)程入侵指入侵者通過(guò)網(wǎng)絡(luò)滲透到一個(gè)系統(tǒng)中，這種情況下，入侵者通常不具備任何特殊權(quán)限，他們要通過(guò)漏洞掃描或端口掃描等技術(shù)發(fā)現(xiàn)攻擊目標(biāo)，再利用相關(guān)技術(shù)執(zhí)行破壞活動(dòng)。2）查看入侵的重要線索的命令：#more/var/log/secure|greprefused查看是否啟用了主機(jī)防火墻、RCPSYN保護(hù)機(jī)制等設(shè)置的命令：find/-name<daemonname>-print檢查是否安裝了一下主機(jī)入侵檢測(cè)軟件。3)監(jiān)聽端口的命令：netstat-an確認(rèn)系統(tǒng)目前正在運(yùn)行的服務(wù)：#service-status-all|greprunning查看補(bǔ)丁安裝情況的命令：#rpm-qa|greppatch惡意代碼防范a）應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；b）主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)c）應(yīng)支持防惡意代碼的統(tǒng)一管理資源控制a）應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；c）應(yīng)對(duì)重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；d）應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度；e）應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警注釋：1）系統(tǒng)資源是指CPU、存儲(chǔ)空間、傳輸帶寬等軟硬件資源。應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，可以極大地節(jié)省系統(tǒng)資源，保證了系統(tǒng)的可用性，同時(shí)也提高了系統(tǒng)的安全性。Windows系統(tǒng)可以通過(guò)主機(jī)防火墻或TCP/IP篩選來(lái)實(shí)現(xiàn)以上功能，在linux系統(tǒng)中存在/etc/和/etc/兩個(gè)文件，它們是tcpd服務(wù)器的配置文件，tcpd服務(wù)器可以控制外部IP對(duì)本機(jī)服務(wù)的訪問(wèn)。其中/etc/控制可以訪問(wèn)本機(jī)的IP,/etc/控制禁止訪問(wèn)本機(jī)的IP，如果兩個(gè)文件的配置有沖突，以/etc/為準(zhǔn)。2）若是通過(guò)遠(yuǎn)程終端進(jìn)行連接windows服務(wù)器系統(tǒng)，可以通過(guò)設(shè)置超時(shí)連接來(lái)限制終端操作超時(shí)；若是本地登錄，則通過(guò)開啟帶有密碼功能屏幕保護(hù)。3）如磁盤空間不足、CPU利用率過(guò)高、硬件發(fā)生故障等，通過(guò)報(bào)警機(jī)制，將問(wèn)題現(xiàn)象發(fā)送給相關(guān)負(fù)責(zé)人，及時(shí)定位引起問(wèn)題的原因和對(duì)異常情況進(jìn)行處理，從而避免故障的發(fā)生或?qū)⒂绊憸p小到最低。數(shù)據(jù)庫(kù)Sql查看是否設(shè)置了超時(shí)時(shí)間:在查詢分析器中執(zhí)行命令sp-configure'remotelogintimeout(s)'Oracle查看空閑超時(shí)設(shè)置：selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="IDLE-TIME"(值為unlimited表示沒有限制)確定用戶使用的profile，針對(duì)指定用戶的profile，查看其限制（以defaut為例）：selectusername，profilefromdba-users查看是否對(duì)每個(gè)用戶所允許的并行會(huì)話數(shù)進(jìn)行了限制：selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="SESSION-PER-USERS"(值為unlimited表示沒有限制)查看是否對(duì)一個(gè)會(huì)話可以使用的CPU時(shí)間進(jìn)行了限制：selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="CPU-PER-SESSION"(值為unlimited表示沒有限制)查看是否對(duì)允許空閑會(huì)話的時(shí)間進(jìn)行了限制：selectlimitfromdba-profileswhereprofile=“DEFAULT”andresource-name="IDLE-TIME"(值為unlimited表示沒有限制)數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)身份鑒別a）應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；b）操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜程度要求并定期更換；c）應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施d）當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽e）應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性；f）應(yīng)采用2種或2種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒訪問(wèn)控制a）應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問(wèn)；b）應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；c）應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；d）應(yīng)嚴(yán)格限制默認(rèn)賬戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令；e）應(yīng)及時(shí)刪除多余的、過(guò)期的賬戶，避免共享賬戶的存在；f）應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記；g）應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；安全審計(jì)a）審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；

b）審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件c）審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等d）應(yīng)能根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；e）應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷；f）應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等；資源控制a）應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；c）應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度第3章應(yīng)用安全測(cè)評(píng)身份鑒別a）應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別；b）應(yīng)對(duì)同一用戶采用2種或者2種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；c）應(yīng)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢測(cè)功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；d）應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；e）應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查，以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)；訪問(wèn)控制a）應(yīng)提供訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問(wèn)；b）訪問(wèn)控制的覆蓋范圍應(yīng)包括與資源訪問(wèn)相關(guān)的主體、客體及它們之間的操作；c）應(yīng)有授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制默認(rèn)賬戶的訪問(wèn)權(quán)限；d）應(yīng)授予不同賬戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；e）應(yīng)具有對(duì)重要信息資源設(shè)置敏感標(biāo)記的功能；f）應(yīng)根據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；安全審計(jì)a）應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；b）應(yīng)保證無(wú)法單獨(dú)中斷審計(jì)進(jìn)程，無(wú)法刪除、修改或覆蓋審計(jì)記錄；c）審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；d）應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能注釋：1)應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)進(jìn)程或功能進(jìn)行保護(hù)，如果處理審計(jì)的事務(wù)是一個(gè)單獨(dú)的進(jìn)程，那么應(yīng)用系統(tǒng)對(duì)審計(jì)進(jìn)程進(jìn)行保護(hù)，不允許非授權(quán)用戶對(duì)進(jìn)程進(jìn)行中斷；如果審計(jì)是一個(gè)獨(dú)立的功能，則應(yīng)用系統(tǒng)應(yīng)防止非授權(quán)用戶關(guān)閉審計(jì)功能。應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，防止非授權(quán)刪除、修改或覆蓋審計(jì)記錄。剩余信息保護(hù)a）應(yīng)保證用戶鑒別信息所在的存儲(chǔ)空間唄釋放或再分配給其他用戶前被完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；b）應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間唄釋放或重新分配給其他用戶前得到完全清除；注釋：1）有的應(yīng)用系統(tǒng)將用戶的鑒別信息放在內(nèi)存中進(jìn)行處理，處理完成后沒有及時(shí)將其清除，這樣其他的用戶通過(guò)一些非正常手段就有可能獲取該用戶的鑒別信息。2）有的應(yīng)用系統(tǒng)在使用過(guò)程中可能會(huì)產(chǎn)生一些臨時(shí)文件，這些臨時(shí)文件中可能會(huì)記錄一些敏感信息，當(dāng)將這些資源分配給其他用戶是我，其他用戶就可能獲取到這些敏感信息。通信完整性a）應(yīng)采用密碼技術(shù)保證通信過(guò)程中的數(shù)據(jù)的完整性；注釋：為了防止數(shù)據(jù)在傳輸時(shí)被修改或破壞，應(yīng)用系統(tǒng)必須確保通信過(guò)程中的數(shù)據(jù)完整性，通信雙方利用密碼算法，來(lái)保證數(shù)據(jù)的完整性。通信保密性a）在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；b）應(yīng)對(duì)通信過(guò)程中的整個(gè)報(bào)文或會(huì)話過(guò)程進(jìn)行加密；抗抵賴a）應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b）應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能；軟件容錯(cuò)a）應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要求；b）應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)；資源控制a）當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方面能夠自動(dòng)結(jié)束會(huì)話；b）應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制；c）應(yīng)能夠?qū)蝹€(gè)賬戶的多重并發(fā)會(huì)話進(jìn)行限制；d）應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會(huì)話連接數(shù)進(jìn)行限制；e）應(yīng)能夠?qū)σ粋€(gè)訪問(wèn)賬戶或一個(gè)請(qǐng)求進(jìn)程占用的資源分配最大限額和最小限額；f）應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警；g）應(yīng)提供服務(wù)優(yōu)先級(jí)設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問(wèn)賬戶或請(qǐng)求進(jìn)程的優(yōu)先級(jí)，根據(jù)優(yōu)先級(jí)分配系統(tǒng)資源；第4章數(shù)據(jù)安全測(cè)評(píng)數(shù)據(jù)完整性a）應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過(guò)程中的完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；b）應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲(chǔ)過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；數(shù)據(jù)保密性a）應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b）應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性；備份和恢復(fù)a）應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場(chǎng)外存放；b）應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場(chǎng)地；c）應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障；d）應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性注釋：1）對(duì)數(shù)據(jù)進(jìn)行備份，是防止數(shù)據(jù)遭到破壞后無(wú)法使用的最好方法。通過(guò)對(duì)數(shù)據(jù)采取不同的備份方式和形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠被恢復(fù)。2）對(duì)于配置文件、應(yīng)用程序這類數(shù)據(jù)一般變化較小，一般是在其發(fā)生變化時(shí)才進(jìn)行備份。而業(yè)務(wù)數(shù)據(jù)由于其具有重要程度高、變化快等特點(diǎn)，它是備份的主題（如每天、每小時(shí)等）批量傳送至備用場(chǎng)地。第五章物理安全物理位置的選擇（G3）機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；機(jī)房和辦公場(chǎng)地應(yīng)避免在建筑物的頂層或地下室，以及用水設(shè)備的下層或隔壁。物理訪問(wèn)控制（G3）機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍；應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域；重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。注釋：采取門禁、專人值守、專人陪同、審批登記、區(qū)域隔離等必要的措施，對(duì)機(jī)房的出入及人員進(jìn)入機(jī)房后的活動(dòng)進(jìn)行管理和控制防盜竊和防破壞（G3）應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)；應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中；應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；應(yīng)對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。注釋：機(jī)房安裝視頻監(jiān)控和防盜報(bào)警系統(tǒng)，設(shè)備固定并粘貼標(biāo)記，存儲(chǔ)介質(zhì)分類安全存放，通信線纜隱蔽鋪設(shè)防雷擊（G3）機(jī)房建筑應(yīng)設(shè)置避雷裝置；應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；機(jī)房應(yīng)設(shè)置交流電源地線。注釋：機(jī)房建筑、機(jī)房?jī)?nèi)部的電源線、信號(hào)線及電子設(shè)備采取必要的防雷措施防火（G3）機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警，并自動(dòng)滅火；機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級(jí)的建筑材料；機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。注釋：安裝消防設(shè)備和采用防火材料裝修機(jī)房，以及進(jìn)行區(qū)域隔離防火措施防水和防潮（G3）水管安裝，不得穿過(guò)機(jī)房屋頂和活動(dòng)地板下；應(yīng)采取措施防止雨水通過(guò)機(jī)房窗戶、屋頂和墻壁滲透；應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；應(yīng)安裝對(duì)水敏感的檢測(cè)儀表或元件，對(duì)機(jī)房進(jìn)行防水檢測(cè)和報(bào)警。注釋：正確、合理設(shè)計(jì)機(jī)房?jī)?nèi)的各種水、蒸汽或氣體管道，盡量避開主要設(shè)備，配備除濕裝置，安裝防水檢測(cè)裝置及時(shí)發(fā)現(xiàn)水患隱情。防靜電（G3）主要設(shè)備應(yīng)采用必要的接地防靜電措施；機(jī)房應(yīng)采用防靜電地板、防靜電工作臺(tái)。注釋：機(jī)房采用防靜電地板、防靜電工作臺(tái)、關(guān)鍵設(shè)備接地等。如果信息系統(tǒng)位于氣候干燥、易產(chǎn)生靜電地區(qū)，還應(yīng)檢查是否有靜電消除劑或靜電消除器等措施。（氣候干燥靜電極易產(chǎn)生。）溫濕度控制（G3）配備機(jī)房專用空調(diào)等溫、濕度自動(dòng)調(diào)節(jié)裝置，保證機(jī)房溫度和濕度分別在設(shè)備運(yùn)行所允許的范圍之內(nèi)。注釋：理想的空氣濕度范圍被定義在40%-70%；溫度20度左右電力供應(yīng)（A3）應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備；應(yīng)提供短期的備用電力供應(yīng)，至少滿足主要設(shè)備在斷電情況下的正常運(yùn)行要求；應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電；應(yīng)建立備用供電系統(tǒng)。注釋：在供電線路或設(shè)備上安裝穩(wěn)壓器或過(guò)電壓保護(hù)裝置，設(shè)置冗余或并行的電力電纜線路，為一些關(guān)鍵系統(tǒng)和設(shè)備配備不間斷電源（UPS）和備份供電系統(tǒng)。（電力波動(dòng)對(duì)一些精密的電子配件造成嚴(yán)重物理?yè)p害，電力供應(yīng)的意外中斷會(huì)造成設(shè)備無(wú)法正常工作。）電磁防護(hù)（S3）應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；應(yīng)對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。注釋：設(shè)備外殼接地、電源線和通信線纜隔離鋪設(shè)、對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。（電磁設(shè)備的電磁輻射不僅會(huì)造成設(shè)備之間的相互干擾，也可能造成重要數(shù)據(jù)信息的泄露。一些線路鋪設(shè)和設(shè)計(jì)的不合理也可能會(huì)造成電磁耦合與干擾，造成數(shù)據(jù)傳輸錯(cuò)誤。第六章安全管理測(cè)評(píng)安全管理制度應(yīng)制定信息安全工作的總體方針和安全策略，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；應(yīng)對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度；應(yīng)對(duì)要求管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。建立總體方針政策文件、各類管理制度、各種操作規(guī)程構(gòu)成的信息安全管理制度文件體系，總體安全方針政策闡明機(jī)構(gòu)信息安全工作的使命和意愿、定義信息安全的總體目標(biāo)、規(guī)定信息安全責(zé)任機(jī)構(gòu)和職責(zé)、建立信息安全工作運(yùn)行模式等，安全管理制度對(duì)信息系統(tǒng)的建設(shè)、開發(fā)、運(yùn)維、升級(jí)和改造等各個(gè)階段和環(huán)節(jié)，所應(yīng)當(dāng)遵循的行為進(jìn)行了規(guī)范。6.1.2制定和發(fā)布（G3）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)安全管理制度的制定；安全管理制度應(yīng)具有統(tǒng)一的格式，并進(jìn)行版本控制；應(yīng)組織相關(guān)人員對(duì)制定的安全管理制度進(jìn)行論證和審定；安全管理制度應(yīng)通過(guò)正式、有效的方式發(fā)布；e）安全管理制度應(yīng)注明發(fā)布范圍，并對(duì)收發(fā)文進(jìn)行登記。在相關(guān)部門的負(fù)責(zé)和指導(dǎo)下，嚴(yán)格按照制度制定的有關(guān)程序和方法，控制管理制度的起草、論證、評(píng)審和發(fā)布等環(huán)節(jié)。注釋：訪談安全主管，了解安全管理制度制定的流程和方法，查看制度文檔的格式、編號(hào)和要求是否統(tǒng)一。查看安全管理制度的收發(fā)登記記錄是否符合規(guī)定的收發(fā)程序和發(fā)布范圍控制等要求。6.1.3評(píng)審和修訂（G3）信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定；應(yīng)定期或不定期對(duì)安全管理制度進(jìn)行檢查和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。安全管理機(jī)構(gòu)安全管理制度文件體系的適用性定期進(jìn)行評(píng)審和修訂，尤其當(dāng)發(fā)生重大安全事故、出現(xiàn)新的漏洞及技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更時(shí)，需要對(duì)部分制度進(jìn)行評(píng)審修訂。安全管理機(jī)構(gòu)6.2.1崗位設(shè)置（G3）應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)；應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個(gè)工作崗位的職責(zé)；應(yīng)成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。設(shè)立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組及信息安全管理工作的職能部門，并以文件的形式明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技術(shù)要求。明確安全主管和安全管理各個(gè)方面的負(fù)責(zé)人的職責(zé)（物理安全負(fù)責(zé)人、人事負(fù)責(zé)人、系統(tǒng)建設(shè)負(fù)責(zé)人、系統(tǒng)運(yùn)維負(fù)責(zé)人），設(shè)置信息安全管理有關(guān)的崗位，如安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等6.2.2人員配備（G3）應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；應(yīng)配備專職安全管理員，不可兼任；關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。配備一定數(shù)量的安全管理員，如系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等，安全管理員配備專職人員，關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。（G3）應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等；應(yīng)針對(duì)系統(tǒng)變更、重要操作、物理訪問(wèn)和系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過(guò)程，對(duì)重要活動(dòng)建立逐級(jí)審批制度；應(yīng)定期審查審批事項(xiàng)，及時(shí)更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息；應(yīng)記錄審批過(guò)程并保存審批文檔。以文件的形式明確授權(quán)與審批制度，明確授權(quán)審批部門、批準(zhǔn)人、審批程序、審批范圍等內(nèi)容。（G3）應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問(wèn)題；應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通；應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通；應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息；應(yīng)聘請(qǐng)信息安全專家作為常年的安全顧問(wèn)，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評(píng)審等。建立信息安全管理職能部門內(nèi)部、部門之間及與外聯(lián)單位之間的溝通機(jī)制，其中外聯(lián)單位可能包括供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織、上級(jí)主管部門、兄弟單位、安全服務(wù)機(jī)構(gòu)、電信運(yùn)營(yíng)部門、執(zhí)法機(jī)關(guān)等。（G3）安全管理員應(yīng)負(fù)責(zé)定期進(jìn)行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；應(yīng)由內(nèi)部人員或上級(jí)單位定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；應(yīng)制定安全檢查表格實(shí)施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報(bào)告，并對(duì)安全檢查結(jié)果進(jìn)行通報(bào)；應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進(jìn)行安全審核和安全檢查活動(dòng)。機(jī)構(gòu)制定安全審核和檢查制度，并定期組織實(shí)施，安全檢查的結(jié)果應(yīng)進(jìn)行匯總并形成檢查報(bào)告，報(bào)給主管領(lǐng)導(dǎo)及相關(guān)負(fù)責(zé)人。人員安全管理6.3.1人員錄用（G3）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用；應(yīng)嚴(yán)格規(guī)范人員錄用過(guò)程，對(duì)被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查，對(duì)其所具有的技術(shù)技能進(jìn)行考核；應(yīng)簽署保密協(xié)議；應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。指定人員，負(fù)責(zé)人員錄用，聘用員工時(shí)進(jìn)行充分篩選、審查和考核，并與其簽署保密協(xié)議。關(guān)鍵崗位的人員還要簽署崗位安全協(xié)議。人員離崗（G3）應(yīng)嚴(yán)格規(guī)范人員離崗過(guò)程，及時(shí)終止離崗員工的所有訪問(wèn)權(quán)限；應(yīng)取回各種身份證件、密鑰、訪問(wèn)控制標(biāo)識(shí)、徽章以及機(jī)構(gòu)提供的軟硬件設(shè)備；應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。規(guī)范人員離崗過(guò)程，終止離崗人員訪問(wèn)權(quán)限，關(guān)鍵崗位承諾離崗后的保密義務(wù)等（G3）應(yīng)定期對(duì)各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核；應(yīng)對(duì)關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核；應(yīng)對(duì)考核結(jié)果進(jìn)行記錄并保存。定期對(duì)各崗位人員進(jìn)行安全技能及安全認(rèn)知的考核，除此之外對(duì)關(guān)鍵崗位的人員還應(yīng)進(jìn)行嚴(yán)格的審查。（G3）應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；應(yīng)對(duì)安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員，對(duì)違反違背安全策略和規(guī)定的人員進(jìn)行懲戒；應(yīng)對(duì)定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定，針對(duì)不同崗位制定不同的培訓(xùn)計(jì)劃，對(duì)信息安全基礎(chǔ)知識(shí)、崗位操作規(guī)程等進(jìn)行培訓(xùn)；應(yīng)對(duì)安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。對(duì)安全教育和培訓(xùn)、懲戒方面進(jìn)行書面規(guī)定，對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。（G3）應(yīng)確保在外部人員訪問(wèn)受控區(qū)域前先提出書面申請(qǐng)，批準(zhǔn)后由專人全程陪同或監(jiān)督，并登記備案；對(duì)外部人員允許訪問(wèn)的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進(jìn)行書面的規(guī)定，并按照規(guī)定執(zhí)行。對(duì)外部人員訪問(wèn)進(jìn)行規(guī)范化管理，嚴(yán)格控制器訪問(wèn)、有專人全程陪同或監(jiān)督其訪問(wèn)過(guò)程，并記錄備案等。系統(tǒng)建設(shè)管理6.4.1系統(tǒng)定級(jí)（G3）應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)；應(yīng)以書面的形式說(shuō)明確定信息系統(tǒng)為某個(gè)安全保護(hù)等級(jí)的方法和理由；應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對(duì)信息系統(tǒng)定級(jí)結(jié)果的合理性和正確性進(jìn)行論證和審定；應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過(guò)相關(guān)部門的批準(zhǔn)。信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)根據(jù)信息系統(tǒng)劃分方法和定級(jí)方法，確定各個(gè)信息系統(tǒng)的安全保護(hù)等級(jí)，并對(duì)定級(jí)結(jié)果的合理性和正確性進(jìn)行論證和審定，最后報(bào)相關(guān)部門批準(zhǔn)。（G3）應(yīng)根據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇基本安全措施，并依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施；應(yīng)指定和授權(quán)專門的部門對(duì)信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，制定近期和遠(yuǎn)期的安全建設(shè)工作計(jì)劃；應(yīng)根據(jù)信息系統(tǒng)的等級(jí)劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案，并形成配套文件；應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對(duì)總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)行論證和審定，并且經(jīng)過(guò)批準(zhǔn)后，才能正式實(shí)施；應(yīng)根據(jù)等級(jí)測(cè)評(píng)、安全評(píng)估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件。本項(xiàng)要求包括：應(yīng)確保安全產(chǎn)品采購(gòu)和使用符合國(guó)家的有關(guān)規(guī)定；應(yīng)確保密碼產(chǎn)品采購(gòu)和使用符合國(guó)家密碼主管部門的要求；應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購(gòu)；應(yīng)預(yù)先對(duì)產(chǎn)品進(jìn)行選型測(cè)試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。自行軟件開發(fā)（G3）本項(xiàng)要求包括：應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員和測(cè)試人員分離，測(cè)試數(shù)據(jù)和測(cè)試結(jié)果受到控制；應(yīng)制定軟件開發(fā)管理制度，明確說(shuō)明開發(fā)過(guò)程的控制方法和人員行為準(zhǔn)則；應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管；應(yīng)確保對(duì)程序資源庫(kù)的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)。外包軟件開發(fā)（G3）本項(xiàng)要求包括：應(yīng)根據(jù)開發(fā)需求檢測(cè)軟件質(zhì)量；應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼；應(yīng)要求開發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南；應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門。（G3）本項(xiàng)要求包括：應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過(guò)程的管理；應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過(guò)程，并要求工程實(shí)施單位能正式地執(zhí)行安全工程過(guò)程；應(yīng)制定工程實(shí)施方面的管理制度，明確說(shuō)明實(shí)施過(guò)程的控制方法和人員行為準(zhǔn)則。（G3）本項(xiàng)要求包括：應(yīng)委托公正的第三方測(cè)試單位對(duì)系統(tǒng)進(jìn)行安全性測(cè)試，并出具安全性測(cè)試報(bào)告；在測(cè)試驗(yàn)收前應(yīng)根據(jù)設(shè)計(jì)方案或合同要求等制訂測(cè)試驗(yàn)收方案，在測(cè)試驗(yàn)收過(guò)程中應(yīng)詳細(xì)記錄測(cè)試驗(yàn)收結(jié)果，并形成測(cè)試驗(yàn)收?qǐng)?bào)告；應(yīng)對(duì)系統(tǒng)測(cè)試驗(yàn)收的控制方法和人員行為準(zhǔn)則進(jìn)行書面規(guī)定；應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)測(cè)試驗(yàn)收的管理，并按照管理規(guī)定的要求完成系統(tǒng)測(cè)試驗(yàn)收工作；應(yīng)組織相關(guān)部門和相關(guān)人員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)行審定，并簽字確認(rèn)。（G3）本項(xiàng)要求包括：應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)；應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)；應(yīng)確保提供系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔；應(yīng)對(duì)系統(tǒng)交付的控制方法和人員行為準(zhǔn)則進(jìn)行書面規(guī)定；應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。本項(xiàng)要求包括：應(yīng)指定專門的部門或人員負(fù)責(zé)管理系統(tǒng)定級(jí)的相關(guān)材料，并控制這些材料的使用；應(yīng)將系統(tǒng)等級(jí)及相關(guān)材料報(bào)系統(tǒng)主管部門備案；應(yīng)將系統(tǒng)等級(jí)及其他要求的備案材料報(bào)相應(yīng)公安機(jī)關(guān)備案。本項(xiàng)要求包括：在系統(tǒng)運(yùn)行過(guò)程中，應(yīng)至少每年對(duì)系統(tǒng)進(jìn)行一次等級(jí)測(cè)評(píng)，發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改；應(yīng)在系統(tǒng)發(fā)生變更時(shí)及時(shí)對(duì)系統(tǒng)進(jìn)行等級(jí)測(cè)評(píng)，發(fā)現(xiàn)級(jí)別發(fā)生變化的及時(shí)調(diào)整級(jí)別并進(jìn)行安全改造，發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改；應(yīng)選擇具有國(guó)家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測(cè)評(píng)單位進(jìn)行等級(jí)測(cè)評(píng)；應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)等級(jí)測(cè)評(píng)的管理。（G3）本項(xiàng)要求包括：應(yīng)確保安全服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定；應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任；應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要的與其簽訂服務(wù)合同。系統(tǒng)運(yùn)維管理環(huán)境管理（G3）本項(xiàng)要求包括：應(yīng)指定專門的部門或人員定期對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理；應(yīng)指定部門負(fù)責(zé)機(jī)房安全，并配備機(jī)房安全管理人員，對(duì)機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理；應(yīng)建立機(jī)房安全管理制度，對(duì)有關(guān)機(jī)房物理訪問(wèn)，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定；應(yīng)加強(qiáng)對(duì)辦公環(huán)境的保密性管理，規(guī)范辦公環(huán)境人員行為，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來(lái)訪人員、工作人員離開座位應(yīng)確保終端計(jì)算機(jī)退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。資產(chǎn)管理（G3）本項(xiàng)要求包括：應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用的行為；應(yīng)根據(jù)資產(chǎn)的重要程度對(duì)資產(chǎn)進(jìn)行標(biāo)識(shí)管理，根據(jù)資產(chǎn)的價(jià)值選擇相應(yīng)的管理措施；應(yīng)對(duì)信息分類與標(biāo)識(shí)方法作出規(guī)定，并對(duì)信息的使用、傳輸和存儲(chǔ)等進(jìn)行規(guī)范化管理。介質(zhì)管理（G3）本項(xiàng)要求包括：應(yīng)建立介質(zhì)安全管理制度，對(duì)介質(zhì)的存放環(huán)境、使用、維護(hù)和銷毀等方面作出規(guī)定；應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類介質(zhì)進(jìn)行控制和保護(hù)，并實(shí)行存儲(chǔ)環(huán)境專人管理；應(yīng)對(duì)介質(zhì)在物理傳輸過(guò)程中的人員選擇、打包、交付等情況進(jìn)行控制，對(duì)介質(zhì)歸檔和查詢等進(jìn)行登記記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點(diǎn)；應(yīng)對(duì)存儲(chǔ)介質(zhì)的使用過(guò)程、送出維修以及銷毀等進(jìn)行嚴(yán)格的管理，對(duì)帶出工作環(huán)境的存儲(chǔ)介質(zhì)進(jìn)行內(nèi)容加密和監(jiān)控管理，對(duì)送出維修或銷毀的介質(zhì)應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，對(duì)保密性較高的存儲(chǔ)介質(zhì)未經(jīng)批準(zhǔn)不得自行銷毀；應(yīng)根據(jù)數(shù)據(jù)備份的需要對(duì)某些介質(zhì)實(shí)行異地存儲(chǔ)，存儲(chǔ)地的環(huán)境要求和管理方法應(yīng)與本地相同；應(yīng)對(duì)重要介質(zhì)中的數(shù)據(jù)和軟件采取加密存儲(chǔ)，并根據(jù)所承載數(shù)據(jù)和軟件的重要程度對(duì)介質(zhì)進(jìn)行分類和標(biāo)識(shí)管理。設(shè)備管理（G3）本項(xiàng)要求包括：應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)備（包括備份和冗余設(shè)備）、線路等指定專門的部門或人員定期進(jìn)行維護(hù)管理；應(yīng)建立基于申報(bào)、審批和專人負(fù)責(zé)的設(shè)備安全管理制度，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購(gòu)、發(fā)放和領(lǐng)用等過(guò)程進(jìn)行規(guī)范化管理；應(yīng)建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對(duì)其維護(hù)進(jìn)行有效的管理，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過(guò)程的監(jiān)督控制等；應(yīng)對(duì)終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理，按操作規(guī)程實(shí)現(xiàn)主要設(shè)備（包括備份和冗余設(shè)備）的啟動(dòng)/停止、加電/斷電等操作；應(yīng)確保信息處理設(shè)備必須經(jīng)過(guò)審批才能帶離機(jī)房或辦公地點(diǎn)。監(jiān)控管理和安全管理中心（G3）本項(xiàng)要求包括：應(yīng)對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測(cè)和報(bào)警，形成記錄并妥善保存；應(yīng)組織相關(guān)人員定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析、評(píng)審，發(fā)現(xiàn)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措施；應(yīng)建立安全管理中心，對(duì)設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級(jí)、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。網(wǎng)絡(luò)安全管理（G3）本項(xiàng)要求包括：應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作；應(yīng)建立網(wǎng)絡(luò)安全管理制度，對(duì)網(wǎng)絡(luò)安全配置、日志保存時(shí)間、安全策略、升級(jí)與打補(bǔ)丁、口令更新周期等方面作出規(guī)定；應(yīng)根據(jù)廠家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對(duì)現(xiàn)有的重要文件進(jìn)行備份；應(yīng)定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)；應(yīng)實(shí)現(xiàn)設(shè)備的最小服務(wù)配置，并對(duì)配置文件進(jìn)行定期離線備份；應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)；應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動(dòng)式設(shè)備的網(wǎng)絡(luò)接入；應(yīng)定期檢查違反規(guī)定撥號(hào)上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。系統(tǒng)安全管理（G3）本項(xiàng)要求包括：應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問(wèn)控制策略；應(yīng)定期進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的系統(tǒng)安全漏洞及時(shí)進(jìn)行修補(bǔ)；應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程序，在安裝系統(tǒng)補(bǔ)丁前，首先在測(cè)試環(huán)境中測(cè)試通過(guò)，并對(duì)重要文件進(jìn)行備份后，方可實(shí)施系統(tǒng)補(bǔ)丁程序的安裝；應(yīng)建立系統(tǒng)安全管理制度，對(duì)系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出具體規(guī)定；應(yīng)指定專人對(duì)系統(tǒng)進(jìn)行管理，劃分系統(tǒng)管理員角色，明確各個(gè)角色的權(quán)限、責(zé)任和風(fēng)險(xiǎn)，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小授權(quán)原則；應(yīng)依據(jù)操作手冊(cè)對(duì)系統(tǒng)進(jìn)行維護(hù)，詳細(xì)記錄操作日志，包括重要的日常操作、運(yùn)行維護(hù)記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進(jìn)行未經(jīng)授權(quán)的操作；應(yīng)定期對(duì)運(yùn)行日志和審計(jì)數(shù)據(jù)進(jìn)行分析，以便及時(shí)發(fā)現(xiàn)異常行為。惡意代碼防范管理（G3）本項(xiàng)要求包括：應(yīng)提高所有用戶的防病毒意識(shí)，及時(shí)告知防病毒軟件版本，在讀取移動(dòng)存儲(chǔ)設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進(jìn)行病毒檢查，對(duì)外來(lái)計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進(jìn)行病毒檢查；應(yīng)指定專人對(duì)網(wǎng)絡(luò)和主機(jī)進(jìn)行惡意代碼檢測(cè)并保存檢測(cè)記錄；應(yīng)對(duì)防惡意代碼軟件的授權(quán)使用、惡意代碼庫(kù)升級(jí)、定期匯報(bào)等作出明確規(guī)定；應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫(kù)的升級(jí)情況并進(jìn)行記錄，對(duì)主機(jī)防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險(xiǎn)病毒或惡意代碼進(jìn)行及時(shí)分析處理，并形成書面的報(bào)表和總結(jié)匯報(bào)。密碼管理（G3）應(yīng)建立密碼使用管理制度，使用符合國(guó)家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。變更管理（G3）本項(xiàng)要求包括：應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的變更，并制定變更方案；應(yīng)建立變更管理制度，系統(tǒng)發(fā)生變更前，向主管領(lǐng)導(dǎo)申請(qǐng)，變更和變更方案經(jīng)過(guò)評(píng)審、審批后方可實(shí)施變更，并在實(shí)施后將變更情況向相關(guān)人員通告；應(yīng)建立變更控制的申報(bào)和審批文件化程序，對(duì)變更影響進(jìn)行分析并文檔化，記錄變更實(shí)施過(guò)程，并妥善保存所有文檔和記錄；應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序，明確過(guò)程控制方法和人員職責(zé)，必要時(shí)對(duì)恢復(fù)過(guò)程進(jìn)行演練。備份與恢復(fù)管理（G3）本項(xiàng)要求包括：應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；應(yīng)建立備份與恢復(fù)管理相關(guān)的安全管理制度，對(duì)備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)和保存期等進(jìn)行規(guī)范；應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略須指明備份數(shù)據(jù)的放置場(chǎng)所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒?；?yīng)建立控制數(shù)據(jù)備份和恢復(fù)過(guò)程的程序，對(duì)備份過(guò)程進(jìn)行記錄，所有文件和記錄應(yīng)妥善保存；應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性，確?？梢栽诨謴?fù)程序規(guī)定的時(shí)間內(nèi)完成備份的恢復(fù)。安全事件處置（G3）本項(xiàng)要求包括：應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；應(yīng)制定安全事件報(bào)告和處置管理制度，明確安全事件的類型，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)；應(yīng)根據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生的影響，對(duì)本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分；應(yīng)制定安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；應(yīng)在安全事件報(bào)告和響應(yīng)處理過(guò)程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過(guò)程，總結(jié)經(jīng)驗(yàn)教訓(xùn)，制定防止再次發(fā)生的補(bǔ)救措施，過(guò)程形成的所有文件和記錄均應(yīng)妥善保存；對(duì)造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報(bào)告程序。應(yīng)急預(yù)案管理（G3）本項(xiàng)要求包括：應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)等內(nèi)容；應(yīng)從人力、設(shè)備、技術(shù)和財(cái)務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足夠的資源保障；應(yīng)對(duì)系統(tǒng)相關(guān)的人員進(jìn)行應(yīng)急預(yù)案培訓(xùn)，應(yīng)急預(yù)案的培訓(xùn)應(yīng)至少每年舉辦一次；應(yīng)定期對(duì)應(yīng)急預(yù)案進(jìn)行演練，根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容，確定演練的周期；應(yīng)規(guī)定應(yīng)急預(yù)案需要定期審查和根據(jù)實(shí)際情況更新的內(nèi)容，并按照?qǐng)?zhí)行。第7章工具測(cè)試測(cè)試目的工具測(cè)試，是利用各種測(cè)試工具，通過(guò)對(duì)目標(biāo)系統(tǒng)的掃描、探測(cè)等操作，使其產(chǎn)生特定的響應(yīng)等活動(dòng)，查看、分析響應(yīng)結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否得以有效實(shí)施的一種方法測(cè)試內(nèi)容利用工具測(cè)試，不僅可以直接獲取到目標(biāo)系統(tǒng)本身存在的系統(tǒng)、應(yīng)用等方面的漏洞，同時(shí)，也可以通過(guò)在不同的區(qū)域接入測(cè)試工具所得到的測(cè)試結(jié)果，判斷不同區(qū)域之間的訪問(wèn)控制情況。測(cè)試流程收集信息1）網(wǎng)絡(luò)設(shè)備目標(biāo)網(wǎng)絡(luò)設(shè)備的基本信息，如路由器、交換機(jī)型號(hào)等；需要了解目標(biāo)系統(tǒng)網(wǎng)絡(luò)設(shè)備的物理端口情況，是否具備接入測(cè)試工具的條件；目標(biāo)網(wǎng)絡(luò)設(shè)備的IP地址2）安全設(shè)備目標(biāo)安全設(shè)備的基本信息，比如防火墻，IDS或者特殊安全設(shè)備型號(hào)等；目標(biāo)安全設(shè)備的IP地址，注意防火墻，IDS等可能工作在透明模式或沒有IP地址主機(jī)目標(biāo)主機(jī)的基本信息，包括主機(jī)操作系統(tǒng)，運(yùn)行的主要應(yīng)用等目標(biāo)主機(jī)的IP地址目標(biāo)主機(jī)的主要業(yè)務(wù)時(shí)間段，為選擇工具測(cè)試時(shí)間段做準(zhǔn)備網(wǎng)絡(luò)拓?fù)浣Y(jié)果目標(biāo)系統(tǒng)的網(wǎng)絡(luò)結(jié)果，直接影響到測(cè)試時(shí)的接入點(diǎn)的設(shè)置。需要了解目標(biāo)系統(tǒng)的網(wǎng)絡(luò)區(qū)域劃分，比如應(yīng)用區(qū)，數(shù)據(jù)庫(kù)區(qū)等；目標(biāo)系統(tǒng)各個(gè)網(wǎng)絡(luò)設(shè)備、安全設(shè)備的位置；確定目標(biāo)系統(tǒng)不同區(qū)域之間的關(guān)系，比如區(qū)域級(jí)別的關(guān)系及區(qū)域之間的大概業(yè)務(wù)數(shù)據(jù)流程。規(guī)劃接入點(diǎn)工具測(cè)試的首要原則是在不影響目標(biāo)系統(tǒng)正常運(yùn)行的前提下嚴(yán)格按照方案選定范圍進(jìn)行測(cè)試。接入點(diǎn)規(guī)劃的，基本的、共性的原則：由低級(jí)別系統(tǒng)向高級(jí)別系統(tǒng)探測(cè)；同一系統(tǒng)同等重要程度功能區(qū)域之間要相互探測(cè)；由較低重要程度區(qū)域向較高重要程度區(qū)域探測(cè)；由外聯(lián)接口向系統(tǒng)內(nèi)部探測(cè)；跨網(wǎng)絡(luò)隔離設(shè)備（包括網(wǎng)絡(luò)設(shè)備和安全設(shè)備）要分段探測(cè)；編制《工具測(cè)試作業(yè)指導(dǎo)書》《工具測(cè)試作業(yè)指導(dǎo)書》是工具測(cè)試順利進(jìn)行、測(cè)試證據(jù)準(zhǔn)確獲取的重要保證，是對(duì)之前各個(gè)準(zhǔn)備階段中獲取到信息的總結(jié)，也是對(duì)我們進(jìn)行現(xiàn)場(chǎng)工具測(cè)試的指導(dǎo)文件?，F(xiàn)場(chǎng)測(cè)試現(xiàn)場(chǎng)測(cè)試，是工具測(cè)試的一個(gè)重要實(shí)施階段，也是取得工具測(cè)試證據(jù)的重要階段。測(cè)試過(guò)程中，必須詳細(xì)記錄每一接入點(diǎn)測(cè)試的起止時(shí)間、接入IP地址（包括接入設(shè)備的IP地址配置，掩碼、網(wǎng)管配置等）。如果測(cè)試過(guò)程中出現(xiàn)異常情況，要及時(shí)記錄。測(cè)試結(jié)果要及時(shí)整理、保存，重要驗(yàn)證步驟要抓圖為證，為測(cè)試結(jié)果的整理準(zhǔn)備充足必要的證據(jù)。結(jié)果整理從整理的結(jié)果中，可以分析出被測(cè)系統(tǒng)中各個(gè)被測(cè)個(gè)體存在的漏洞情況，也可以根據(jù)各個(gè)接入點(diǎn)測(cè)試結(jié)果的統(tǒng)計(jì)整理，分析出各個(gè)區(qū)域之間的訪問(wèn)控制策略配置情況。注意事項(xiàng)1）工具測(cè)試接入測(cè)試設(shè)備之前，首先要有被測(cè)系統(tǒng)人員確定測(cè)試條件是否具備。測(cè)試條件包括被測(cè)網(wǎng)絡(luò)設(shè)備、主機(jī)、安全設(shè)備等是否都在正常運(yùn)行，測(cè)試時(shí)間段是否為可測(cè)試時(shí)間段；2）接入系統(tǒng)的設(shè)備、工具的IP地址等配置要經(jīng)過(guò)被測(cè)系統(tǒng)相關(guān)人員確認(rèn)3）對(duì)于測(cè)試過(guò)程可能造成的對(duì)目標(biāo)系統(tǒng)的網(wǎng)絡(luò)流量及主機(jī)性能等方面的影響（例如口令探測(cè)可能會(huì)造成的賬號(hào)鎖定等情況），要事先告知被測(cè)系統(tǒng)相關(guān)人員。4）對(duì)于測(cè)試過(guò)程中的關(guān)鍵步驟、重要證據(jù)，要及時(shí)利用抓圖等取證工具取證。5）對(duì)于測(cè)試過(guò)程中出現(xiàn)的異常情況（服務(wù)器出現(xiàn)故障、網(wǎng)絡(luò)中斷等）要及時(shí)記錄。6）測(cè)試結(jié)束后，需要被測(cè)方人員確認(rèn)被測(cè)系統(tǒng)狀態(tài)正常并簽字后離場(chǎng)。附錄A信息安