机房2级与3级等保要求Word文档格式.docx
- 文档编号:20930464
- 上传时间:2023-01-26
- 格式:DOCX
- 页数:76
- 大小:43.38KB
机房2级与3级等保要求Word文档格式.docx
《机房2级与3级等保要求Word文档格式.docx》由会员分享,可在线阅读,更多相关《机房2级与3级等保要求Word文档格式.docx(76页珍藏版)》请在冰豆网上搜索。
3)应将通信线缆铺设在隐蔽处,如铺设在
3)应将通信线缆铺设在隐
地下或管道中等;
蔽处,如铺设在地下或
4)应对介质分类标识,存储在介质库或档
管道中等;
案室中;
4)应对介质分类标识,存
5)设备或存储介质携带出工作环境时,应
储在介质库或档案室
受到监控和内容加密;
中;
6)应利用光、电等技术设置机房的防盗报
5)应安装必要的防盗报警
警系统,以防进入机房的盗窃和破坏行
设施,以防进入机房的
为;
盗窃和破坏行为。
7)应对机房设置监控报警系统。
防雷
1)机房建筑应设置避雷装
1)机房建筑应设置避雷装置;
击
置;
2)应设置防雷保安器,防止感应雷;
〔2)应设置交流电源地线。
3)应设置交流电源地线。
防火
1)应设置火火设备和火灾
3)应设置火灾自动消防系统,自动检测火
自动报警系统,并保持
情、自动报警,并自动灭火;
灭火设备和火灾自动报
4)机房及相关的工作房间和辅助房,其建
警系统的良好状态。
筑材料应具有耐火等级;
5)机房采取区域隔离防火措施,将重要设
备与其他设备隔离开。
防水
1)水管安装,不得穿过屋
1)水管安装,不得穿过屋顶和活动地板
和防
顶和活动地板下;
下;
潮
2)应对穿过墙壁和楼板的
2)应对穿过墙壁和楼板的水管增加必要的
水管增加必要的保护措
保护措施,如设置套管;
施,如设置套管;
3)应采取措施防止雨水通过屋顶和墙壁渗
3)应采取措施防止雨水通
透;
过屋顶和墙壁渗透;
4)应采取措施防止室内水蒸气结露和地下
4)应采取措施防止室内水
积水的转移与渗透。
蒸气结露和地下积水的
转移与渗透。
防静
1)应采用必要的接地等防
1)应采用必要的接地等防静电措施;
电
静电措施
2)应采用防静电地板。
温湿
1)应设置温、湿度自动调
1)应设置恒温恒湿系统,使机房温、湿度
度控
节设施,使机房温、湿
的变化在设备运行所允许的范围之内。
制
度的变化在设备运行所
允许的范围之内。
电力
1)计算机系统供电应与其
1)计算机系统供电应与其他供电分开;
供应
他供电分开;
2)应设置稳压器和过电压防护设备;
2)应设置稳压器和过电压
3)应提供短期的备用电力供应(如UPS设
防护设备;
备);
3)应提供短期的备用电力
4)应设置冗余或并行的电力电缆线路;
供应(如UPS设备)。
5)应建立备用供电系统(如备用发电
机),以备常用供电系统停电时启用。
1)应米用接地方式防止外
1)应米用接地方式防止外界电磁干扰和设
界电磁干扰和设备寄生
备寄生耦合干扰;
电磁
防护
耦合干扰;
2)电源线和通信线缆应隔离,避免互相十
2)电源线和通信线缆应隔
扰;
离,避免互相干扰。
3)对重要设备和磁介质实施电磁屏蔽。
网络
结构
1)网络设备的业务处理能
1)网络设备的业务处理能力应具备冗余空
力应具备冗余空间,要
间,要求满足业务高峰期需要;
与网
求满足业务高峰期需
2)应设计和绘制与当前运行情况相符的网
段划
要;
络拓扑结构图;
分
2)应设计和绘制与当前运
3)应根据机构业务的特点,在满足业务高
行情况相符的网络拓扑
峰期需要的基础上,合理设计网络带
结构图;
宽;
3)应根据机构业务的特
4)应在业务终端与业务服务器之间进行路
点,在满足业务高峰期
由控制建立安全的访问路径;
需要的基础上,合理设
5)应根据各部门的工作职能、重要性、所
计网络带宽;
涉及信息的重要程度等因素,划分不冋
4)应在业务终端与业务服
的子网或网段,并按照方便管理和控制
务器之间进行路由控
的原则为各子网、网段分配地址段;
制,建立安全的访问路
6)重要网段应米取网络层地址与数据链路
径;
层地址绑定措施,防止地址欺骗;
5)应根据各部门的工作职
7)应按照对业务服务的重要次序来指定带
能、重要性、所涉及信
宽分配优先级别,保证在网络发生拥堵
息的重要程度等因素,
的时候优先保护重要业务数据主机。
划分不同的子网或网
段,并按照方便管理和
控制的原则为各子网、
网段分配地址段;
6)重要网段应米取网络层
地址与数据链路层地址
绑定措施,防止地址欺
骗。
1)应能根据会话状态信息
1)应能根据会话状态信息(包括数据包的
(包括数据包的源地
源地址、目的地址、源端口号、目的端
址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息,并应支持地址通配符的使用),为数据流提供明确的允许/拒绝访问的能力。
拨号
1)
2)
审计
应在基于安全属性的允许远程用户对系统访问的规则的基础上,对系统所有资源允许或拒绝用户进行访问,控制粒度为单个用户;
应限制具有拨号访问权
限的用户数量。
应对网络系统中的网络设备运行状况、网络流量、用户行为等事件进行日志记录;
对于每一个事件,其审计记录应包括:
事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息。
口号、协议、出入的接口、会话序列号、发出信息的主机名等信息,并应支持地址通配符的使用),为数据流提供明确的允许/拒绝访问的能力;
2)应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
3)应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;
4)应在会话处于非活跃一定时间或会话结束后终止网络连接;
5)应限制网络最大流量数及网络连接数。
1)应在基于安全属性的允许远程用户对系统访问的规则的基础上,对系统所有资源允许或拒绝用户进行访问,控制粒度为单个用户;
2)应限制具有拨号访问权限的用户数量;
3)应按用户和系统之间的允许访问规则,决定允许用户对受控系统进行资源访问。
1)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;
2)对于每一个事件,其审计记录应包括:
事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信
3)安全审计应可以根据记录数据进行分析,并生成审计报表;
4)安全审计应可以对特定事件,提供指定方式的实时报警;
5)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
边界
1)应能够检测内部网络中
1)应能够检测内部网络中出现的内部用户
完整
出现的内部用户未通过
未通过准许私自联到外部网络的行为
性检
准许私自联到外部网络
(即“非法外联”行为);
查
的行为(即非法外联”
2)应能够对非授权设备私自联到网络的行
行为)。
为进行检查,并准确定出位置,对其进
行有效阻断;
3)应能够对内部网络用户私自联到外部网
络的行为进行检测后准确定出位置,并
对其进行有效阻断。
1)应在网络边界处监视以
1)应在网络边界处应监视以下攻击行为:
入侵
下攻击行为:
端口扫
端口扫描、强力攻击、木马后门攻击、
防范
描、强力攻击、木马后
拒绝服务攻击、缓冲区溢出攻击、IP碎
门攻击、拒绝服务攻
片攻击、网络蠕虫攻击等入侵事件的发
击、缓冲区溢出攻击、
生;
IP碎片攻击、网络蠕虫
2)当检测到入侵事件时,应记录入侵的源
攻击等入侵事件的发
IP、攻击的类型、攻击的目的、攻击的
生。
时间,并在发生严重入侵事件时提供报
警。
恶意
2)应在网络边界及核心业
2)应在网络边界及核心业务网段处对恶意
代码
务网段处对恶意代码进
代码进行检测和清除;
行检测和清除;
3)应维护恶意代码库的升级和检测系统的
3)应维护恶意代码库的升
更新;
级和检测系统的更新;
4)应支持恶意代码防范的统一管理。
4)应支持恶意代码防范的
统一管理。
1)应对登录网络设备的用
1)应对登录网络设备的用户进行身份鉴
设备
户进行身份鉴别;
别;
2)应对网络设备的管理员
2)应对网络上的对等实体进行身份鉴别;
登录地址进行限制;
3)应对网络设备的管理员登录地址进行限
3)网络设备用户的标识应
制;
唯一;
4)网络设备用户的标识应唯一;
4)身份鉴别信息应具有不
5)身份鉴别信息应具有不易被冒用的特
易被冒用的特点,例如
点,例如口令长度、复杂性和定期的更
口令长度、复杂性和定
新等;
期的更新等;
6)
应对冋一用户选择两种或两种以上组合
5)
应具有登录失败处理功
的鉴别技术来进行身份鉴别;
能,如:
结束会话、限
7)
应具有登录失败处理功能,如:
结束会
制非法登录次数,当网
话、限制非法登录次数,当网络登录连
络登录连接超时,自动
接超时,自动退出;
退出。
8)
应实现设备特权用户的权限分离,例如
将管理与审计的权限分配给不冋的网络
设备用户。
主机
身份
操作系统和数据库管理
操作系统和数据库管理系统用户的身份
系统
鉴别
系统用户的身份标识应
标识应具有唯一性;
具有唯一性;
3)
应对登录操作系统和数据库管理系统的
应对登录操作系统和数
用户进行身份标识和鉴别;
据库管理系统的用户进
4)
应对冋一用户米用两种或两种以上组合
行身份标识和鉴别;
的鉴别技术实现用户身份鉴别;
系统身份鉴别信息应具
鉴别信息应具有不易被冒用的特点,例
有不易被冒用的特点,
如口令长度、复杂性和定期的更新等;
例如口令长度、复杂性
和定期的更新等;
话、限制非法登录次数,当登录连接超
时,自动退出;
应具有鉴别警示功能;
制非法登录次数,当登
重要的主机系统应对与之相连的服务器
录连接超时,自动退出。
或终端设备进行身份标识和鉴别。
自主
应依据安全策略控制主
应依据安全策略控制主体对客体的访
体对客体的访问;
问;
自主访问控制的覆盖范
自主访问控制的覆盖范围应包括与信息
围应包括与信息安全直
安全直接相关的主体、客体及它们之间
接相关的主体、客体及
的操作;
它们之间的操作;
自主访问控制的粒度应达到主体为用户
自主访问控制的粒度应
级,客体为文件、数据库表级;
达到主体为用户级,客
应由授权主体设置对客体访问和操作的
强制
无
保护
体为文件、数据库表
权限;
级;
权限分离应采用最小授权原则,分别授
4)应由授权主体设置对客
体访问和操作的权限;
5)应严格限制默认用户的
访问权限。
予不同用户各自为完成自己承担任务所
需的最小权限,并在他们之间形成相互
制约的关系;
应实现操作系统和数据库管理系统特权
用户的权限分离;
应严格限制默认用户的访问权限。
应对重要信息资源和访问重要信息资源
的所有主体设置敏感标记;
强制访问控制的覆盖范围应包括与重要
信息资源直接相关的所有主体、客体及
它们之间的操作;
强制访问控制的粒度应达到主体为用户
级,客体为文件、数据库表级。
安全审计应覆盖到服务
器上的每个操作系统用
户和数据库用户;
安全审计应记录系统内
重要的安全相关事件,
包括重要用户行为和重
要系统命令的使用等;
安全相关事件的记录应
包括日期和时间、
型、主体标识、客体标
识、事件的结果等;
审计记录应受到保护避
免受到未预期的删除、
修改或覆盖等。
1)系统应提供在管理维护
状态中运行的能力,管
1)安全审计应覆盖到服务器和客户端上的
每个操作系统用户和数据库用户;
2)安全审计应记录系统内重要的安全相关
事件,包括重要用户行为、系统资源的
异常使用和重要系统命令的使用;
3)安全相关事件的记录应包括日期和时
间、类型、主体标识、客体标识、事件
的结果等;
4)安全审计应可以根据记录数据进行分
析,并生成审计报表;
5)安全审计应可以对特定事件,提供指定
方式的实时报警;
6)审计进程应受到保护避免受到未预期的
中断;
7)审计记录应受到保护避免受到未预期的
删除、修改或覆盖等。
2)系统因故障或其他原因中断后,应能够
以手动或自动方式恢复运行。
理维护状态只能被系统
管理员使用。
剩余
信息
1)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
8)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
9)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
1)应进行主机运行监视,包括监视主机的CPU硬盘、内存、网络等资源的使用情况;
2)应设定资源报警域值,以便在资源使用超过规定数值时发出报警;
3)应进行特定进程监控,限制操作人员运行非法进程;
4)应进行主机账户监控,限制对重要账户的添加和更改;
5)应检测各种已知的入侵行为,记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
6)应能够检测重要程序完整性受到破坏,并在检测到完整性错误时米取必要的恢复措施。
1)服务器和重要终端设备
(包括移动设备)应安装实时检测和查杀恶意
1)服务器和终端设备(包括移动设备)均应安装实时检测和查杀恶意代码的软件产品;
代码的软件产品;
2)主机系统防恶意代码产品应具有与网络防恶意代码产品不冋的恶意代码库;
2)主机系统防恶意代码产品应具有与网络防恶意代码产品不冋的恶意代码库;
3)应支持恶意代码防范的统一管理。
资源
1)应限制单个用户的会话数量;
2)应通过设定终端接入方式、网络地址范围等条件限制终端登录。
2)应限制单个用户的多重并发会话;
3)应对最大并发会话连接数进行限制;
4)应对一个时间段内可能的并发会话连接数进行限制;
5)应通过设定终端接入方式、网络地址范围等条件限制终端登录;
6)应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定,并规定解锁或终止方式;
7)应禁止冋一用户账号在冋一时间内并发登录;
8)应限制单个用户对系统资源的最大或最小使用限度;
9)当系统的服务水平降低到预先规定的最小值时,应能检测和报警;
10)应根据安全策略设定主体的服务优先级,根据优先级分配系统资源,保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
应用
1)应用系统用户的身份标识应具有唯一性;
2)应对登录的用户进行身份标识和鉴别;
3)系统用户身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;
4)应具有登录失败处理功
1)系统用户的身份标识应具有唯一性;
2)应对登录的用户进行身份标识和鉴别;
3)系统用户的身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;
4)应对冋一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
5)应具有登录失败处理功能,如:
结束会话、限制非法登录次数,当登录连接超
制非法登录次数,当登录连接超时,自动退出。
应依据安全策略控制用
户对客体的访问;
自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
自主访问控制的粒度应达到主体为用户级,客体为文件、数据库表级;
应由授权主体设置用户
对系统功能操作和对数
据访问的权限;
应实现应用系统特权用户的权限分离,例如将管理与审计的权限分配给不同的应用系统用户;
权限分离应采用最小授权原则,分别授予不冋用户各自为完成自己承担任务所需的最小权限,并在它们之间形成相互制约的关系;
应严格限制默认用户的访问权限。
安全审计应覆盖到应用
系统的每个用户;
安全审计应记录应用系
6)应具有鉴别警示功能;
7)应用系统应及时清除存储空间中动态使用的鉴别信息。
1)应依据安全策略控制用户对客体的访问;
2)自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
3)自主访问控制的粒度应达到主体为用户级,客体为文件、数据库表级;
4)应由授权主体设置用户对系统功能操作和对数据访问的权限;
5)应实现应用系统特权用户的权限分离,例如将管理与审计的权限分配给不同的应用系统用户;
6)权限分离应采用最小授权原则,分别授予不同用户各自为完成自己承担任务所需的最小权限,并在它们之间形成相互制约的关系;
7)应严格限制默认用户的访问权限。
1)安全审计应覆盖到应用系统的每个用
户;
2)安全审计应记录应用系统重要的安全相
统重要的安全相关事件,包括重要用户行为和重要系统功能的执行
等;
3)安全相关事件的记录应包括日期和时间、类型、主体标识、客体标
识、事件的结果等;
4)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
1)应保证用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
2)应确保系统内的文件、
目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
通信
性
1)通信双方应约定单向的校验码算法,计算通信数据报文的校验码,在进行通信时,双方根据校验码判断对方报文的有效性。
抗抵
赖
关事件,包括重要用尸行为、系统资源
的异常使用和重要系统功能的执行等;
的结果等;
]
析,并生成审计报表;
方式的实时报警;
中断;
审计记录应受到保护避免受到未预期的
1)应保证用户的鉴别信息所在的存储空
间,被释放或再分配给其他用户前得到完全清除,无
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 机房 要求