等级保护第四级基本要求.docx
- 文档编号:10978473
- 上传时间:2023-02-24
- 格式:DOCX
- 页数:27
- 大小:26.51KB
等级保护第四级基本要求.docx
《等级保护第四级基本要求.docx》由会员分享,可在线阅读,更多相关《等级保护第四级基本要求.docx(27页珍藏版)》请在冰豆网上搜索。
等级保护第四级基本要求
需部署的安全设施
其他建议
残留问题
物理安全1.1.1
1.1.1.1物理位置的选择(G3)本项要求包括:
机房和办公场地应选择a)在具有防震、防风和防雨等能力的建筑内;
b)机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
一般选择在建筑物最好在办公层,2-3区附近,且不能邻近洗手间、厨房等。
类安全机房(同B的选址要求。
)
1.1.1.2物理访问控制(G3)本项要求包括:
a)机房出入口应安排专人配置电子门禁系值守并统,控制、鉴别和记录进入的人员;
机房安装电子门禁系统(北京天宇飞翔,深圳微耕,瑞士KABA或德国KABAGallenschutz),建议采用双向控制。
增设保安人员在门外值守;通过门禁电子记录或填写出入记录单的形式记录进出人员和时间。
b)需进入机房的来访人员和经应过申请审批流程,并限制和监控其活动范围;
机房内、外部临近入口区域安装监控摄像头保证全部范围覆盖。
需要有来访人员进记批房的审机入录;外来人员进入机房应当由专人全程陪同。
c)应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域;第二道d)重要区域应配置,控制、电子门禁系统人进录记别鉴和入的员。
重要区域物理隔离,并安装第二道电子门禁系统(双向)。
)G3防盗窃和防破坏1.1.1.3(本项要求包括:
应将主要设备放置在机a)
房内;
应将设备或主要部件进b).
使用机柜并在设备上焊
行固定,并设置明显的不易除去的标记;
接铭牌,标明设备型号、负责保管人员、维护单位等信息。
(设备铭牌只能被破坏性地去除。
)
c)应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
d)应对介质分类标识,存室案档储在介质库或中;
介质应异地存放。
e)应利用光、电等技术设置机房防盗报警系统;
机房重要资产存放处及附近区域安装光、电防盗报警系统,如红外或感应报警系统。
f)应对机房设置监控报警系统。
机房安装视频监控报警系统。
G31.1.1.4防雷击()本项要求包括:
机房建筑应设置避雷装a)置;
应设置防雷保安器,防b)止感应雷;
安装电源三级防雷器和信号二级防雷器(美国克雷太ALLTEC)。
c)机房应设置交流电源地线。
机房设置专用交流电源地线,接地电阻不应大于4Ω。
机房交流工作接地、安全保护接地、合应符防雷接地子《电GB50174-93计算机机房设计规范》要求。
1.1.1.5防火(G3)本项要求包括:
机房应设置火灾自动消a)防系统,能够自动检测火情、自动报警,并自动灭火;
在机房内安装温感或烟感探测器,连接到机房动力环境监控系统中;安装有管网气体自动灭火系统。
灭火方式应采用气如,火系统体灭CO2、FM-200、气溶胶和烟烙尽等。
b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
进行机房改造,使用防火材料装修。
c)机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
进行机房改造,重要区域使用防火玻璃隔断。
1.1.1.6防水和防潮(G3)本项要求包括:
水管安装,不得穿过机a)
房屋顶和活动地板下;应采取措施防止雨水通b)过机房窗户、屋顶和墙壁渗透;应采取措施防止机房内c)水蒸气结露和地下积水的转移与渗透;
机房顶棚、地面和四周应做好防水处理,有条件的话可以在机房顶部安装防漏水设施,在机房地面修建地漏、泄水槽和配置排水设备。
机房尽可能选择没有水管经过的房间和尽量不靠近建筑的地侧物外墙壁方,这样可以节省做防水系统的大量投资。
d)应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
安装机房动力环境监控系统(对机房设备的运行状态、温度、湿度、洁净度、供电的电压、电流、频率、配电系统的开关状态、测漏系统等进行实时监控并记录历史数据),其中含漏水检测装置。
1.1.1.7防静电(G3)本项要求包括:
主要设备应采用必要的a)
接地防静电措施;地防静电机b)房应采用板;
c)应采用静电消除器等装置,减少静电的产生。
采用防静电工作台、静电消除剂和静电消除器等。
1.1.1.8温湿度控制(G3)机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
安装带湿度调节功能的精密空调系统,配置温湿度检测装置,并接入动力环境监控系统。
空调应依据机房面积和设备数量安装,尽量保证度湿在作工备设
带湿度控制的空调价格比较昂贵,且需要对水管的布置进行考虑。
可以使用其他方法增加机房内的湿度,使用湿度表进行监控。
45-60%之间,夏季温度控制在23±2℃,冬季温度控制在20±2℃,温度变化率不超过5℃/h,并且不得结露。
(按《电子计算机机房设计规范》A级要求)
1.1.1.9电力供应(A3)本项要求包括:
应在机房供电线路上配a)置稳压器和过电压防护设备;
配置线路稳压器和电源保护装置(如金属氧化物可变电阻、硅雪崩二极管、气体放电管、滤波器、电压调整变压器和浪涌滤波器)。
b)应提供短期的备用电力设供应,至少满足主要在断电情况下的正常备运行要求;
。
UPS为机房设备配置
应设置冗余或并行的电c)力电缆线路为计算机系统供电;
建筑应采用双路供电系统(连接两个不同区域的供电站),并根据对业务恢复时间的要求,制定备用供电系统的切换时间。
应建立备用供电系统。
d)
有条件的企业可以配备柴油发电机保证较长时间的应急供电。
电磁防护(S3)1.1.1.10本项要求包括:
a)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
通过将机架外壳接地的方式可以降低外界的电子干扰。
b)电源线和通信线缆应隔避免互相干扰;离铺设,
强、弱电线路尽量原离,使用交叉走线,避免平行走线;使用铁质线槽可以抵御电磁干扰并有效保护线缆安全。
.
应对关键区域实施电磁c)屏蔽。
重要设备和磁介质放置在电磁屏蔽装置中,或对关键区域建屏蔽室。
1.1.2网络安全)G41.1.2.1结构安全(本项要求包括:
的业务网络设备a)应保证空冗力具备余处理能间,满足业务高峰期需要;应保证网络各个部分的b)
带宽满足业务高峰期需要;应在业务终端与业务服c)
务器之间进行路由控制建立安全的访问路径;应绘制与当前运行情况d)
构结网符的络拓扑相图;应根据各部门的工作职e)
能、重要性和所涉及信息的重要程度等因素,网网或同划分不的子段,并按照方便管理和控制的原则为各子网、网段分配地址段;
应避免将重要网段部署f)在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采.
重要网段与其他网段之间采用防火墙或网闸进行隔离。
取可靠的技术隔离手段;
应按照对业务服务的重g)要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。
在多个业务共用的网络设备上配置QOS。
有条件的话可以在主干通信线路上安装专用的带宽管理设备。
1.1.2.2访问控制(G4)本项要求包括:
应在网络边界部署访问a)控制设备,启用访问控制功能;应不允许数据带通用协b)
议通过;应根据数据的敏感标记c)允许或拒绝数据通过;应不开放远程拨号访问d)
功能。
网络边界部署安全隔离统系(网息与信交换。
闸)
现有产品无法根据数据的敏感标记允通据数许或拒绝过。
G4安全审计(1.1.2.3)本项要求包括:
应对网络系统中的网络a)设备运行状况、网络流量、用户行为等进行日志记录;审计记录应包括:
事件b)
的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
部署专业的日志审计系统,并且所有事件源与审计服务器保持时钟同步。
c)应能够根据记录数据进行分析,并生成审计报表;
d)应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等;
e)应定义审计跟踪极限的阈值,当存储空间接近极限时,能采取必要的措施,当存储空间被耗尽时,终止可审计事件的发生;
f)应根据信息系统的统一安全策略,实现集中审计,时钟保持与时钟服务器同步。
S4)1.1.2.4边界完整性检查(本项要求包括:
应能够对非授权设备私a)自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
部署终端安全管理系绑定及IP/MAC利用统,阻断功能实现非法ARP接入控制。
应能够对内部网络用户b)私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
.
系署部终管理全安端统,提供非法外联监控功能。
1.1.2.5入侵防范(G4)本项要求包括:
应在网络边界处监视以a)
下攻击行为:
端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓碎片IP冲区溢出攻击、击攻和网络蠕虫攻击等;当检测到攻击行为时,a)攻击应记录攻击源IP、类型、攻击目的、攻击时间,在发生严重入侵自事件时应提供报警及动采取相应动作。
部署网络入侵防御或网络入侵检测系统,对进出边界的网络数据流进行攻击检测,并提供适当的日志记录、报警和自动响应机制。
G41.1.2.6恶意代码防范()本项要求包括:
应在网络边界处对恶意a)
代码进行检测和清除;应维护恶意代码库的升a)
级和检测系统的更新。
在区域边界部署病毒过滤网关系统。
1.1.2.7网络设备防护(G4)
本项要求包括:
应对登录网络设备的用a)
户进行身份鉴别;应对网络设备的管理员b)登录地址进行限制;网络设备用户的标识应c)
唯一;
d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;身份鉴别信息应具有不e)
易被冒用的特点,口令应有复杂度要求并定期更换;网络设备用户的身份鉴f)
别信息至少应有一种是不可伪造的;应具有登录失败处理功g)
能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;当对网络设备进行远程h)
管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
采用动态电子令牌身份RSA(证系统如认,其令牌应当SecurID)不可伪造。
i)应实现设备特权用户的权限分离。
.
1.1.3主机安全1.1.3.1身份鉴别(S4)本项要求包括:
应对登录操作系统和数a)
据库系统的用户进行身份标识和鉴别;操作系统和数据库系统b)管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;应启用登录失败处理功c)
能,可采取结束会话、限制非法登录次数和自动退出等措施;应设置鉴别警示信息,d)
描述未授权访问可能导致的后果;当对服务器进行远程管e)
应采取必要措施,理时,防止鉴别信息在网络传输过程中被窃听;应为操作系统和数据库f)系统的不同用户分配不同的用户名,确保用户名具有唯一性;
采用操作系统和数据库系统安全评估和加固服务。
应采用两种或两种以上g)组合的鉴别技术对管理并用户进行身份鉴别,
采用动态电子令牌身份RSA如统证认系(,其令牌应当)SecurID
且身份鉴别信息至少有一种是不可伪造的。
不可伪造。
1.1.3.2安全标记(S4)应对所有主体和客体设置敏感标记;
采用安全操作系统(如操作系Linux一些国产或统或B1级操作系统)级操作系统中安在C2装内核加固软件(如浪服务器安全加固潮SSRWindows)。
系统-适用
1.1.3.3访问控制(S4)本项要求包括:
应依据安全策略和所有a)主体和客体设置的敏感标记控制主体对客体的访问;b)访问控制的粒度应达到程或户为主体用级进级,客体为文件、数据库表、记录和字段级。
应根据管理用户的角色c)分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;应实现操作系统和数据d)
库系统特权用户的权限分离;应严格限制默认帐户的e)
访问权限,重命名系统
采用安全操作系统Linux(如一些国产级操操作系统或B1级操C2作系统)或在作系统中安装内核加SSR固软件(如浪潮服务器安全加固系统。
)Windows适用-
默认帐户,修改这些帐户的默认口令;
f)应及时删除多余的、过期的帐户,避免共享帐户的存在。
1.1.3.4可信路径(S4)本项要求包括:
在系统对用户进行身份a)鉴别时,系统与用户之间应能够建立一条安全的信息传输路径。
在用户对系统进行访问b)时,系统与用户之间应能够建立一条安全的信息传输路径。
.
采用高等级安全操作系统(如一些国产安全操作系统或国际主流操作系统厂商提供)的高级安全功能。
1.1.3.5安全审计(G4)本项要求包括:
a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;审计内容应包括重要用b)
户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;审计记录应包括日期和c)主体标识、时间、类型、客体标识、事件的结果等;
服务器开启日志功能;重要客户端安装终端安全管理软件进行审计。
d)应能够根据记录数据进行分析,并生成审计报表;
采用专业的日志审计系统。
应保护审计进程,避免e)受到未预期的中断;
服务器采用安全操作系统或安装内核加固软件,对审计进程进行守护,防止进程中断;重要客户端的终端安全管理代理进程具有自我保护机制。
f)应保护审计记录,避免受到未预期的删除、修改或覆盖等;应能够根据信息系统的g).
采用专业的日志审计系统。
统一安全策略,实现集中审计。
1.1.3.6剩余信息保护(S4)本项要求包括:
应保证操作系统和数据a)库系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;应确保系统内的文件、b)
目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
采用安全操作系统Linux(如一些国产级操操作系统或B1装)统或安系作平台的剩余Windows(同客信息保护软件。
)体重用。
G41.1.3.7入侵防范()本项要求包括:
应能够检测到对重要服a)务器进行入侵的行为,、IP能够记录入侵的源攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
采用主机或网络入侵检测系统。
应能够对重要程序的完b)整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;
采用安全操作系统或安装内核加固软件。
操作系统应遵循最小安c)装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。
采用操作系统安全评估和加固服务,并部署补丁服务器。
恶意代码防范(G4)1.1.3.8本项要求包括:
防a)应安装恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;主机防恶意代码产品应b)
具有与网络防恶意代码码同的恶意代不产品库;应支持防恶意代码的统c)一管理。
安装网络版防病毒软件并与病毒过滤网关异构。
资源控制(1.1.3.9A4)本项要求包括:
应通过设定终端接入方a)式、网络地址范围等条件限制终端登录;应根据安全策略设置登b)锁作的终录端操超时定;
采用操作系统安全评估和加固服务。
应对重要服务器进行监c)视,包括监视服务器的网络内存、硬盘、、CPU.
采用操作系统附带或第三方资源监控软件。
等资源的使用情况;
d)应限制单个用户对系统资源的最大或最小使用限度;
e)应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
1.1.4应用安全S4)1.1.4.1身份鉴别(本项要求包括:
a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
次统用行进应系二开发。
应对同一用户采用两种b)或两种以上组合的鉴别鉴份户现技术实用身其中一种是不可伪别,;造的应提供用户身份标识唯c)
一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
采用数字证书身份认证系统,证书和私钥存放中。
Key在硬件
应提供登录失败处理功d)能,可采取结束会话、限制非法登录次数和自动退出等措施;应启用身份鉴别、用户e)身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
.
应行进用次二统系开发。
1.1.4.2安全标记(S4)应提供为主体和客体设置安全标记的功能并在安装后启用;
借助操作系统提供的安全标记功能。
1.1.4.3访问控制(S4)本项要求包括:
a)应提供自主访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;自主访问控制的覆盖范b)围应包括与信息安全直接相关的主体、客体及它们之间的操作;应由授权主体配置访问c)
并禁止默认控制策略,帐户的访问;应授予不同帐户为完成d)各自承担任务所需的最小权限,并在它们之间形成相互制约的关系;
进行应用系统二次开发,并结合采用第三方身份认证和访问控制系统。
应通过比较安全标记来e)确定是授予还是拒绝主体对客体的访问。
借助安全操作系统或内核加固软件提供的强制访问控制功能实现。
.
1.1.4.4可信路径(S4)本项要求包括:
a)在应用系统对用户进行身份鉴别时,应能够建立一条安全的信息传输路径。
在用户通过应用系统对b)资源进行访问时,应用系统应保证在被访问的资源与用户之间应能够建立一条安全的信息传输路径。
应用系统二次开发,并结合高等级安全操作系统提供的可信路径功能。
安全审计(G4)1.1.4.5本项要求包括:
应提供覆盖到每个用户a)的安全审计功能,对应用系统重要安全事件进行审计;应保证无法单独中断审b)
计进程,无法删除、修改或覆盖审计记录;审计记录的内容至少应c)
时间、包括事件的日期、发起者信息、类型、描述和结果等;应提供对审计记录数据d)进行统计、查询、分析功审生及成表报计的能;
采用网络审计结合日志审计实现;应用服务器采用安全操作系统或安装内核加固软件,对审计进程进行防止进程中断。
守护,
e)应根据系统统一安全策略,提供集中审计接口。
1.1.4.6剩余信息保护(S4)本项要求包括:
应保证用户的鉴别信息a)
所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;应保证系统内的文件、b)目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。
.
同主机安全。
1.1.4.7通信完整性(S4)应采用密码技术保证通信过程中数据的完整性。
)S41.1.4.8通信保密性(本项要求包括:
在通信双方建立连接之a)
前,应用系统应利用密码技术进行会话初始化验证;应对通信过程中的整个b)报文或会话过程进行加密;应基于硬件化的设备对c)
重要通信过程进行加解密运算和密钥管理。
)抗抵赖(G41.1.4.9
本项要求包括:
应具有在请求的情况下a)为数据原发者或接收者提供数据原发证据的功能;应具有在请求的情况下b)为数据原发者或接收者提供数据接收证据的功能。
采用SSL或IPSEC技术,结合基于数字证体系,重要书的PKI通信加解密采用专用硬件加密卡。
1.1.4.10)软件容错(A4本项要求包括:
应提供数据有效性检验a)
功能,保证通过人机接.
进行应用系统二次开发。
口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
b)应提供自动保护功能,当故障发生时自动保护当前所有状态;
c)应提供自动恢复功能,当故障发生时立即自动启动新的进程,恢复原来的工作状态。
1.1.4.11资源控制(A4)本项要求包括:
当应用系统中的通信双a)
方中的一方在一段时间内未作任何响应,另一会束自够动结方应能话;应能够对系统的最大并b)
限进话发会连接数行制;应能够对单个帐户的多c)
重并发会话进行限制;应能够对一个时间段内d)
可能的并发会话连接数进行限制;应能够对一个访问帐户e)
或一个请求进程占用的资源分配最大限额和最小限额;
进行应用系统二次开发或采用第三方应用监控系统。
f)应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
g)应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。
1.1.5数据安全及备份恢复)数据完整性(1.1.5.1S4本项要求包括:
应能够检测到系统管理a)数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
采用SSL或IPSEC技术,的书字合结基于数证PKI体系。
b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采.
利用安全操作系统或安装内核加固软件提供的文件完整性保护功能或数据库系统提供的完整性保护功能。
取必要的恢复措施;
应对重要通信提供专用c)通信协议或安全通信协议服务,避免来自基于通用通信协议的攻击破坏数据完整性。
采用SSL或IPSEC技术,的书字于合结基数证体系。
PKI
1.1.5.2数据保密性(S4)本项要求包括:
应采用加密或其他有效a)数措管理统施实现系据、鉴别信息和重要业务数据传输保密性;
技术,或IPSECSSL采用的基合结于证字
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 第四 基本要求