二级等保标准.docx
《二级等保标准.docx》由会员分享,可在线阅读,更多相关《二级等保标准.docx(17页珍藏版)》请在冰点文库上搜索。
![二级等保标准.docx](https://file1.bingdoc.com/fileroot1/2023-7/16/1b6c525e-660e-4a37-a81b-c7617690309d/1b6c525e-660e-4a37-a81b-c7617690309d1.gif)
二级等保标准
二级等级保护要求
一、技术要求
技术要求项二级
等保实现方式
物理1
)机房和才
物理位
I公场地应选择在具有防震、防风和防雨等能力的建筑内。
机房建设
安全
置的选
物理访1
机房出入口应有专人值守,鉴别进入的人员身份并登记在案;
门禁管理系统
问控制2
机房建设
)应批准进入机房的来访人员,限制和监控其活动范围。
和防破2
坏3)
应对设备或主要部件进行固定,并设置明显的不易除去的标记;
立将通信线缆铺设在隐蔽处,如铺设在地下或管道中等;
4)应对介质分类榇识.存储在介质止或档窒室中:
5)应安装必要的防盗报警设施,以防进入机房的盗窃和破坏行为。
防雷系统
防雷击1
丿机房建筑应设置避雷装置;
2)应设置交流电源地线。
应没置灭火没备和火灾门动报警系统,并保持•灭火没备和火夾广I动
消防系统
报警系统的良好状态。
防水和1
水管安装,不得穿过屋顶和活动地板下;
机房建设
防潮2)
冋对穿过墙壁和楼极的水管增加必耍的保护措施,如设買套管;
3)应采取措施防止雨水通过屋顶和墙壁渗透;
防静电1
4)应采取措施防止室内水蒸气结露和地下积水的转移与渗透。
)应采用必要的接地等防静电措施静电地板
温湿度1
应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行
机房动力环境监控系
控制所:
C许的范围之内。
统
电力供1
计算机系统供电应与其他供电分开;UPS
应2)
蔽设置稳压器和过电压防护设备;
3)应提供短期的备用电力供应(如UPS设备)。
防电磁排插,防电磁机
电磁防1)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
护2)电源线和通信线缆应隔离,避免互相干扰。
柜
网络结构安1)网络设备的业务处理能力应具备冗余空间,要求满足业务高峰期需设备做好双机冗余
技术要求项二纽
等保实现方式
安全全
与网要;
段划分2
应设计和绘制与当前运行情况相符的网络拓扑结构图;
3)
应根据机构业务的特点,在满足业务高峰期需要的基础上,合理设
计网络带宽;
4)
应在业务终端与业务服务器之间进行路由控制,建立安全的访问路
径;
5)
应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素,
划分不同的子网或网段,并按照方便管理和控制的原则为各子网、
网段分配地址段;
6)
重要网段应采取网络层地址与数据链路层地址绑定措施,防止地址
欺骗。
网络访1
应能根据会话状态信息(包括数据包的源地址、目的地址、源端口
防火墙
问控制号
、目的端口号、协议、出入的接口、会话序列号、发出信息的主
机名等信息,并应支持地址通配符的使用),为数据流提供明确的
拨号访1
应在基于安全属性的允许远程用户对系统访问的规则的基础上,对VPN
问控制系
统所有资源允许或拒绝用户进行访问,控制粒度为单个用户;
2)冋限制具有拨号访IiU权限的用户数量。
网络安1
应对网络系统中的网络设备运行状况、网络流量、用户行为等事件
上网行为管理设备
全审计进
行日志记录;
2)对于每一个事件,其审计记录应包括:
事件的FI期和时间、用户、
边界完1
事件类型、事件是否成功,及其他与审计相关的信息。
应能够检测内部网络中岀现的内部用户未通过准许私自联到外部
IDS入侵检测
网络入1
)应在网络边界处监视以下攻击行为:
端口扫描、强力攻击、木马后
侵防范
TP0入侵防御
门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫
攻击等入侵事件的发生。
恶意代1
应在网络边界及核心业务网段处对恶意代码进行检测和清除;
防毒墙
码防范2b应维护恶意代码用的升级和检测系统的更新;
3)应支持恶意代码防范的统一管理。
网络设1)应对登录网络设备的用户进行身份鉴别;
维护堡垒机
备防护2)应对网络设备的管理员登录地址进行限制;
技术要求项二纭
等保实现方式
3)网络设备用户的标识应唯一;
4)身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和
定期的更新等;
5)应具有登录失败处理功能,女IL结束会话、限制非法登录次数,当
网络登录连接超时,自动退岀。
主机身
系统别
安全3
份鉴1)扌噪
2)应对登
操作系经
作系统和数据库管理系统用户的身份标识应具有唯一性;VPN
录操作系统和数据库管理系统的用户进行身份标识和鉴别;和数据库管理系统身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;
4)应具有登录失败处理功能,女IL结束会话、限制非法登录次数,当登录连接超时,自动退出。
墙自主访
问控制2
1)应依据安全策略控制主体对客体的访问;
)自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
3)自主访问控制的粒度应达到主体为用户级,客体为文件、数据库表
级;
4)应由授权主体设置对客体访问和操作的权限;
VPN防火
强制访无
ivn坛岀ii
o))』)殆限)功伙1垠丁
数据库审计系统
安全审1
计2)
)安全审计应覆盖到服务器上的每个操作系统用户和数据库用户;
左全审计应记录系统内重要的安全相关事件,包括重要用户行为和
重要系统命令的使用等;
3)安全相关事件的记录应包括日期和时间、类型、主体标识、客体标
识、事件的结果等;
数据库审计系统
系统保1
4)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
)系统应提供在管理维护状态中运行的能力,管理维护状态只能被系
护统管
剩余信1息保护间
理员使用。
)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空
被释放或再分配给其他用户前得到完全清除,无论这些信息是
存放在硬盘上还是在内存中;
iRJSUhUTW?
VPN
2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,
被释放或重新分配给其他用户前得到完全清除。
入侵防
恶意代1
码防范意
无网管系统,IPS入侵防
御糸统
应用身
安全别
服务器和重要终端设备(包括移动设备)应安装实时检测和查杀恶
代码的软件产品;
站爭係钿恶韵毛码产品应具存与网络防恶意代码产祎同的恶
意代码库;
十限刪单钟|尸的今i舌数量;¥吓
制2)蔽通过设定终端接入方式、网络地址范围等条件限制终端登录。
份鉴1)斥用系统用户的身份标识应具有唯一性;
2)应对碧录的用户进行身份标识和鉴别;
3)系统用户身份鉴别信息应具有不易被冒用的特点,例如口令长度、
复杂性和定期的更新等;
豹一应具有■登录失败处理功能,一如l结束会话L限制•侔法脊录次数,•-I
n[Z
防毒墙,杀毒软件
登录连接超时,自动退出。
防火墙
及它们之间的操作;
级;
配给不同的应用系统用户;
承担任务所需的最小权限,并在它们之间形成相互制约的关系;
7)应严格限制默认用户的访问权限。
日志审计系统
计2)
安全审计应记录应用系统重要的安全相关事件,包括重要用户行为
和重要系统功能的执行等;
3)安全相关事件的记录丿勺包括F1期和时间、类型、主体标识、客体标
4)审计记录丿应受到保护避免受到未预期的删除、修改或覆盖善。
剩余信1)应保证用户的鉴别信息所在的存储空间,被释放或再分配给其他用
息保护户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
通信完1
整性在才
抗抵赖无
通信保1
软件容1
错验;
资源控1
制2)
代码安1
2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,
被释放或重新分配给其他用户前得到完全清除。
通信双方应约定单向的校验码算法,计算通信数据报文的校验码,VPN加徃
上行通信时,双方根据校验码判断对方报文的有效性。
VPN
VPN
数据数
安全整
当通信双方中的一方在一段时间内未作任何响应,另一方应能够自
密性动结束会话;
2)在通信双方建立连接之前,利用密码技术进行会话初始化验证;
防■在通侑•过■程申•,一应对敏感侑息字段迹行加密答
应对通过人机接口输入或通过通信接口输入的数据进行有效性检VPN
2)应对通过人机接口方式进行的操作提供“回退”功能,即允许按照操
作的序列进行回退;
3)在故障发生时,应继续提供•部分功能,确保能够实施必要的卅施。
应限制单个用户的多重并发会话;VPN
立对应用系统的最大并发会话连接数进行限制;
3F■对一牛时丽段盼可能的并发会话连接数进行限制。
)应对应用程序代码进行恶意代码扫描;
全2)
立对应用程序代码进行安全脆弱性分析。
据完1)应能够检测到系统管理数据、鉴别信息和用户数据在传输过程中完
性整性受空
!
)破坏;
2)丿也能够检测到系统管埋数据、鉴别佶息和用户数据在存储过程屮完
整性受到破坏。
数据保1
密性感$
网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏
勺系统管理数据和敏感的用户数据应采用加密或其他有效措施
实现传输保密性;
2)网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏
感的系统管理数据和敏感的用户数据应采用加密或其他保护措施
实现存储保密性;
3)当使用便携式和移动式设备时,应加密或者采用可移动磁盘存储敏
感信息。
数据备1)应提供自动机制对重要信息进行有选择的数据备份;
防火墙
防火墙
堡垒机
数据存储备份
份和恢2)应提供恢复重要信息的功能;
技术要求项二纭
等保实现方式
复3)
立提供重要网络设备、通信线路和服务器的硬件冗余