等级保护测评

1、广东计安信息网络培训中心广东计安信息网络培训中心信息安全等级保护测评讲师：傅欲华讲师：傅欲华目录第一部分 等级保护测评基础 第二部分 等级保护测评要求 第三部分 等级保护测评项目管理 第四部分 等级保护测评探讨第一部分 等级保护测评基础（1）国家和广东省对测评机构的要求回顾（2）测评和测评机构的概念（3）等级保护测评方法和技术（4）等级保护标准体系当前的信息安全等级保护有关法规 信息安全等级保护管理办法信息安全等级保护管理办法（公通字（公通字200743号）号） 广东省计算机信息系统安全保护条例广东省计算机信息系统安全保护条例 广东省公安厅关于计算机信息系统安全保护的实施办法广东省公安厅关于计

2、算机信息系统安全保护的实施办法 关于贯彻关于贯彻广东省计算机信息系统安全保护条例广东省计算机信息系统安全保护条例和和广东省公广东省公安厅关于计算机信息系统安全保护的实施办法安厅关于计算机信息系统安全保护的实施办法的通知的通知 广公广公（网监）（网监）2008633号号 关于开展信息安全等级保护测评体系建设试点工作的通知关于开展信息安全等级保护测评体系建设试点工作的通知（公信安（公信安2009812号）号） 关于明确信息安全等级保护测评机构管理有关事项的通知（广公关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监）（网监）2009421号）号） 关于推动信息安全等级保护测评体系建设和

3、开展等级测评工作的关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安通知（公信安2010303号号 ） 信息安全等级保护测评工作管理规范信息安全等级保护测评工作管理规范(试行试行) 信息安全等级测评机构能力要求（试行）信息安全等级测评机构能力要求（试行） 等级测评师培训和考试指南等级测评师培训和考试指南1.1.3国家对等级保护测评的要求 管理办法”等级保护的实施与管理“第十四条 信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据信息系统安全等级保护测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。 第三级信息系统应当每年至少进

4、行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。1.1.4国家对测评机构的基本要求第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评：在中华人民共和国境内注册成立（港澳台地区除外）；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；从事相关检测评估工作两年以上，无违法记录；工作人员仅限于中国公民；法人及主要业务、技术人员无犯罪记录；使用的技术装备、设施应当符合本办法对信息安全产品的要求； 具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；对国家安全、社会秩序、公共利益不构成

5、威胁。广东省公安厅关于计算机信息系统安全保护的实施办法广东省公安厅关于计算机信息系统安全保护的实施办法（一）（一） 第二十二条 我省对测评机构实施备案制度。符合第二十一条规定的条件，承担第二级以上的计算机信息系统测评工作的机构应当到省公安厅公共信息网络安全监察部门备案。 第二十五条 第二级以上的计算机信息系统建设完成后，使用单位应当委托符合规定的测评机构安全测评合格方可投入使用。测评活动应当接受公安机关公共信息网络安全监察部门的监督。 1.1.10广东省信息安全等级测评工作细则广东省信息安全等级测评工作细则（试行）计算机信息系统投入使用后，存在下列情形之一的，应当进行安全自查，同时委托安全测评

6、机构进行安全测评： （一）变更关键部件； （二）安全测评时间满一年；（三）发生危害计算机信系统安全的案件或安全事故；（四）公安机关公共信息网络安全监察部门根据应急处置工作的需要认为应当进行安全测评； （五）其他应当进行安全自查和安全测评的情形。 申请单位认为安全测评报告的合法性和真实性存在重大问题的，可以向本单位所在地公安机关公共信息网络安全监察部门提出申诉，提交异议申诉书及有关证明材料。 1.1.11广东省转发开展电子政务信息安全风险评估广东省转发开展电子政务信息安全风险评估省发改委、省公安厅、省保密局转发关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（粤发改高2009182号文

7、） 省电子政务项目应开展信息安全等级测评和风险评估工作，作为项目竣工验收的重要内容。 非涉密项目在完成后试运行期间，向相关评测机构提出评估申请。 评测机构与承建单位原则上不能为同一家。 等级测评和风险评估费用计入项目总投资。1.1.12公安部对测评机构的明确要求公安部对测评机构的明确要求对等级测评机构管理相关问题进行了明确，要求开展等级测评的单位不得从事下列活动：一是承担信息系统安全建设整改工作；二是将等级测评任务分包、外包；三是信息安全产品开发、营销和信息系统集成活动；四是限定被测评单位购买、试用其指定的信息安全产品；五是未经许可占有、使用被测评单位有关信息、资料及数据文件。 1.1.13关

8、于明确信息安全等级保护测评机构管理有关事项的通知关于明确信息安全等级保护测评机构管理有关事项的通知 一、进一步规范测评服务管理。一、进一步规范测评服务管理。根据公安部十一局要求，为确保测评活动的公正性，承担测评工作的机构不宜从事信息安全整改、集成服务。 二、提高测评工作装备水平。二、提高测评工作装备水平。为统一工具标准，我总队制定了信息安全等级保护测评工具选用指引（以下简称指引），对测评所需的必备工具和选用工具进行了明确。 三、推动信息安全等级保护整改。三、推动信息安全等级保护整改。各级公安网监部门要按照广东省深化信息系统安全等级保护工作方案要求，加大各类测评机构和安全服务机构的监督指导力度，

9、发挥其作用，为信息系统运营、使用单位、主管部门提供差距评估、整改方案制订和实施、安全测评等服务，大力推动信息系统的安全整改，切实推动我省信息安全等级保护工作深入开展。 1.1.15广东省等级保护测评机构广东省等级保护测评机构关于发布广东省信息安全等级保护测评机构的公关于发布广东省信息安全等级保护测评机构的公告告（粤等保办（粤等保办20103号）号）供我省信息系统运营、使用单位、主管部门选用提供各类测评服务（差距评估、验收性测评、年度测评工作）。 1、广州竞远系统网络技术有限公司 2、中国赛宝实验室（工业和信息化部电子第五研究所） 3、广州华南信息安全测评中心 4、深圳市信息安全测评中心 5、深

10、圳市网安计算机安全检测技术有限公司 1.2.8等级测评师管理 测评人员参加由评估中心举办的专门培训、考试并取得评估中心颁发的等级测评师证书（等级测评师分为初级、中级和高级）。等级测评人员需持等级测评师证上岗。1.2.9测评报告 测评机构应按照公安部统一制订的信息系统安全等级测评报告模版（试行）格式出具测评报告1.3.1等级保护测评流程（1）1.3.1等级保护测评流程（1）测评过程测评准备活动本活动是开展等级测评工作的前提和基础,是整个等级测评过程有效性的保证。测评准 备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详 细情况,准备测试工具,为编制测评方案做好准备。

11、方案编制活动本活动是开展等级测评工作的关键活动,为现场测评提供最基本的文档和指导方案。本 活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等,并根据 需要重用或开发测评指导书测评指导书,形成测评方案。 现场测评活动本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要 求,严格执行测评指导书测评指导书,分步实施所有测评项目,包括单元测评和整体测评两 个方面,以了解系统的真实保护情况,获取足够证据,发现系统存在的安全问题。 分析与报告编制活动本活动是给出等级测评工作结果的活动,是总结被测系统整体安全保护能力的综合评价 活动。本活动的主要任务是根据现场测评

12、结果和信息系统安全等级保护测评要求的有关要求,通过单项 测评结果判定、单元测评结果判定、整体测评和风险分析等方法,找出整个系统的安全保护 现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给 出等级测评结论,形成测评报告文本。1.3.3等级保护测评方法（1）测评方法 测评采用访谈、检查和测试三种方法，测评对象是测评实施过程中涉及到的信息系统的构成成份，包括人员、文档、机制、软件、设备。测评的层面涉及物理安全、网络安全、主机安全、应用系统安全、数据安全以及安全管理。测评要求 使用测评表进行具体检查时，首先按询问、查验、检测等工作方式将所有检查项目分类。 所有以询问方式

13、检查的项目，在与有关人员的谈话或会议上进行； 所有以查验方式检查的项目，将需要的文档清单在检查现场提交给被检查方，请被检查方当前提供并进行查验； 所有需要以检测方式检查的项目，按检测部门或设备分类后，根据具体情况选择检测顺序。 1.3.4等级保护测评方法（2） 对技术要求对技术要求 访谈访谈方法：方法：目的是是了解信息系统的全局性信息系统的全局性。范围一般不覆盖所有要求内容。一般不覆盖所有要求内容。 检查检查方法：方法：目的是是确认信息系统当前具体信息系统当前具体安全机制和运行的配置是否符合要求安全机制和运行的配置是否符合要求 。范围一般要覆盖所有要求内容。一般要覆盖所有要求内容。 测试测试方

14、法：方法：目的是验证信息系统安全机制是验证信息系统安全机制有效性和安全强度。有效性和安全强度。范围不覆盖所有要求内容。不覆盖所有要求内容。1.3.5等级保护测评方法（3） 对管理要求对管理要求对人员方面的要求，重点通过对人员方面的要求，重点通过访谈访谈的方式的方式来测评，检查为辅；来测评，检查为辅；对过程方面的要求，通过对过程方面的要求，通过访谈访谈和和检查检查的方式来测评；的方式来测评；对规范方面的要求，以对规范方面的要求，以检查检查文档为主，文档为主，访谈访谈为辅为辅优势证据 对单一测评项实施等级测评过程中获得的多个测评结果之间存在矛盾,且都没有足够的 证据否定与之矛盾的测评结果的,则测评

15、结果的证明力明显大于其他测评结果的证明力的那个(些)测评结果即为优势证据。 检查测试访谈测评准备活动测评计划方案编制活动的基本工作流程测评指标确定 从GB/T 22239-2008中选择相应等级的安全要求作为测评指标,包括对SAG三类 安全要求的选择。 举例来说,假设某信息系统的定级结果为:安全保护等级为 3 级,业务信息安全保护等级为 2 级,系统服务安全保护等级为 3 级;则该系统的测评指标将包括 GB/T 22239-2008“技术要求”中的 3 级通用安全保护类要求(G3), 2级业务信息安全类要求(S2),3级系统服务保证类要求(A3),以及第 3级“管 理要求”中的所有要求。测评指

16、标测试工具接入点确定现场测评活动的基本工作流程检查方式 访谈 文档审查 配置检查 工具测试 实地察看分析与报告编制活动的基本工作流程安全单元测评结果汇总表测评对象确定原则和方法（二级）1. 主机房(包括其环境、设备和设施等),如果某一辅机房中放置了服务于整个信息 系统或对信息系统的安全性起决定作用的设备、设施,那么也应该作为测评对象;2. 存储被测系统重要数据的介质的存放环境存储被测系统重要数据的介质的存放环境; 3. 整个系统的网络拓扑结构; 4. 安全设备,包括防火墙、入侵检测设备、防病毒网关等; 5. 边界网络设备(可能会包含安全设备),包括路由器、防火墙和认证网关等; 6. 对整个信息

17、系统或其局部的安全性或其局部的安全性起决定作用的网络互联设备,如核心交换机、汇聚层交换机、核心路由器等; 7. 承载被测系统核心或重要业务、数据的服务器(包括其操作系统和数据库); 8. 重要管理终端; 9. 能够代表被测系统主要使命的业务应用系统; 10. 信息安全主管人员、各方面的负责人员; 11. 涉及到信息系统安全的所有管理制度和记录。在本级信息系统测评时,信息系统中配置相同的安全设备、边界网络设备、网络互联设备以及服务器应至少抽查两台作为测评对象。测评对象确定原则和方法（三级）1. 主机房(包括其环境、设备和设施等)和部分辅机房,应将放置了服务于信息系统 的局部(包括整体)或对信息系

18、统的局部(包括整体)安全性起重要作用的设备、 设施的辅机房选取作为测评对象;2. 存储被测系统重要数据的介质的存放环境; 3. 办公场地;4. 整个系统的网络拓扑结构; 5. 安全设备,包括防火墙、入侵检测设备和防病毒网关等; 6. 边界网络设备(可能会包含安全设备),包括路由器、防火墙、认证网关和边界接入设备(如楼层交换机)等; 7. 对整个信息系统或其局部的安全性起作用的网络互联设备,如核心交换机、汇聚层交换机、路由器等; 测评对象确定原则和方法（三级）8. 承载被测系统主要业务或数据的服务器(包括其操作系统和数据库); 9. 管理终端和主要业务应用系统终端; 10. 能够完成被测系统不同

19、业务使命的业务应用系统; 11. 业务备份系统; 12. 信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人;13. 涉及到信息系统安全的所有管理制度和记录。在本级信息系统测评时,信息系统中配置相同的安全设备、边界网络设备、网络互联设 备、服务器、终端以及备份设备,每类应至少抽查两台作为测评对象。系统系统承建单位承建单位主管主管 使用使用 运行单位运行单位测评机构测评机构专家组专家组l支持测评l提供技术、工程和质量文档l实施的配合公安公安网监部门网监部门l测评工作组织协调l确保技术、工程和质量文档、提供运营相关文档的提供l评审实施方案等相关文档l配合等级测评实施l测评过程

20、中的风险管理和应急管理l制定测评计划和方案等相关文档l在相关单位支持下实施等级测评l提交测评报告l对方案评审l对评估结论进行评审l测评工作 组织与监管.6等级保护测评中的角色和职责关系等级保护测评中的角色和职责关系1.3.8等级保护测评工作实施步骤 首次会议 （1）参加人员：主管领导、技术人员、测评机构人员 （2）被测评机构工作汇报 测评实施 被测评单位派人负责测评过程联络和协助。 末次会议 （1）参加人员：主管领导、技术人员、测评机构人员 （2）测评机构进行测试情况汇报1.3.9等级保护测评项目组的构成测评项目组构成 组长职责：管理测评过程、主持编制测评计划、主持设计测评方案

21、、负责访谈、检查、组织分析测评结果、主持编制测评总结报告； 访谈和查看组：负责访谈、执行测试，记录和分析测评结果； 测试组：执行测试、记录和分析测评结果。测评原则1.3.14等级保护测评的一些注意事项 信息安全产品采购对于产品的功能和性能指标，可以依据国家认可的测试机构所出具的产品测试报告，也可以根据用户自行组织的信息安全产品功能和性能选型测试所出具的报告。 应用系统安全控制开发 应用系统的安全控制开发应当与应用开发同步设计、同步实施，而应用系统一旦开发完成后，再增加安全措施会造成很大的成本投入。需要软件测评机构参与。 基本要求的管理：借鉴了ISO/IEC 17799:2005等国际上流行的信

22、息安全管理方面的标准，尽量做到全方位的安全管理。所以在落实和测评“管理要求”时，就必须结合ISO/IEC 17799:2005、ISO/IEC27001等信息安全管理体系的要求进行。1.3.16等级测评实施过程中可能存在的风险等级测评实施过程中可能存在的风险 验证测试影响系统正常运行验证测试影响系统正常运行 在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。 工具测试影响系统正常运行工具测试影响系统正常运行 在现场测评时，会使用一些技术测试工具进行漏洞测试、性能测试甚至抗渗透能力测试。测试可能会对系

23、统的负载造成一定的影响，漏洞测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。 敏感信息泄漏敏感信息泄漏 泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。 1.3.17等级测评方式测试 功能功能/性能测试、渗透测试等。性能测试、渗透测试等。 测试对象包括机制和设备等。测试对象包括机制和设备等。 测试一般需要借助特定工具。测试一般需要借助特定工具。 扫描检测工具扫描检测工具 网络协议分析仪网络协议分析仪 攻击工具攻击工具 渗透工具渗透工具1.3.18等级保护实施中的有关测评活动 物理安全 建筑防雷测试（含接地电阻测试） 机房火灾消防验收测试 综合布

24、线系统验收测试 网络安全 网络与信息安全产品选型测试 应用安全 应进行应用系统软件验收测试。总结：在系统整改阶段，进行了充分测试，并且有详细的测试报告和测试记录，可保证等级保护工程质量。测评结果统计（红绿灯）测评结果民政公共服务系统0481216202428物理安全网络安全主机安全应用安全数据备份与恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理符合部分符合不符合N/A第一部分 等级保护测评基础 （4）等级保护标准体系信息系统安全等级保护基本要求信息系统安全等级保护基本要求计算机信息系统安全保护等级划分准则（GB17859）信息系统通用安全技术要求信息系统物理安全技术要求技术类

25、技术类其他技术类标准信息系统安全管理要求信息系统安全工程管理要求其他管理类标准信息系统安全等级保护定级指南信息系统安全等级保护基本要求的行业细则信息系统安全等级保护测评过程指南信息系统安全等级保护测评要求信息系统等级保护安全设计技术要求管理类管理类产品类产品类数据库管理系统安全技术要求其他产品类标准信息系统安全等级保护行业定级细则操作系统安全技术要求信息安全等级信息安全等级保护安全建设保护安全建设整改工作整改工作网络基础安全技术要求网络和终端设备隔离部件技术要求安全等级基线要求状况分析方法指导信息系统安全等级保护实施指南测评类标准测评类标准设计类标准设计类标准等级保护标准体系等级保护标准体系1

26、.4.4等级保护设计标准等级保护设计标准 （2）设计）设计信息系统安全等级保护基本要求GB/T22239-2008 指南GB/T27058-2010信息系统等级保护安全设计技术要求GB/T27070-2010信息安全技术信息系统通用安全技术要求GB/T20271-2006信息安全风险评估规范GB/T 20984-2007信息安全技术 信息系统安全管理要求GB/T20269-20061.4.5等级保护设计标准（续）等级保护设计标准（续）信息安全技术 网络基础安全技术要求GB/T20270-2006信息系统物理安全技术要求 GB/T 21052-2007 信息安全技术 信息系统灾难恢复规范GB/T

27、 20988-2007信息安全技术 信息安全事件分类分级指南GB/Z 20986-2007 信息技术 安全技术 信息安全管理体系 要求GB/T 22080-2008，ISO/IEC27001信息技术 安全技术 信息安全管理实用规则 (GB/T 22081-2008,ISO/IEC27002, GB/T 19716-2005的更新基于互联网电子政务信息安全实施指南（报批稿）.7等级保护测评等级保护测评信息系统安全等级保护测评要求 信息系统安全等级保护测评过程指南信息安全技术 信息系统安全审计产品技术要求和测试评价方法（GB/T 20945-2007）信息安全技术 入侵检测系统技术

28、要求和测试评价方法 （GB/T 20275-2006） 信息安全技术 网络和终端设备隔离部件测试评价方法 （GB/T 20277-2006） 信息安全技术 网络脆弱性扫描产品测试评价方法 （GB/T 20280-2006） 信息安全技术 防火墙技术要求和测试评价方法 （GB/T 20281-2006） 信息安全技术 操作系统安全技术要求（GB/T 20272-2006） 信息安全技术 操作系统安全评估准则（GB/T 20008-2005）1.4.8等级保护产品标准信息安全技术 数据库管理系统通用安全技术要求 GB/T 20273-2006信息安全技术 数据库管理系统安全评估准则 （GB/T 2

29、0009-2005）信息安全技术 网络交换机安全技术要求评估保证级3 （GB/T 21050-2007） 信息安全技术公钥基础设施 PKI系统安全等级保护评估准则（GB/T 21054-2007） 信息安全技术 终端计算机系统安全等级技术要求（GA/T671-2006） 服务器安全技术要求 GB/T 21028-2007 1.4.9等级保护产品标准（续）（a）机房工程 ： GB/T 2887-2000电子计算机场地通用规范 GB 50174-2008电子信息系统机房设计规范 SJ/T 31469-2002 防静电地面施工及验收规范 GB 9361-88 计算站场地安全要求 GB50057 建筑

30、物防雷设计规范 GB/T 50314 智能建筑设计标准 1.4.10等级保护其它参考标准 （5）其它标准（b）综合布线系统：GB/T 50311-2007建筑与建筑群综合布线工程系统设计规范 GB/T 50312-2007 建筑与建筑群综合布线系统工程验收规范（c）网络基础平台： YD505197 本地网通信线路工程验收规范 YD5070-98 公用计算机互联网工程验收规范（d）信息应用系统： GB/T 17544-1998 信息技术 软件包 质量要求和测试 GB/T 16260-1996 软件工程 产品质量 GB/T 18905-2002软件工程 产品评价1.4.11等级保护其它参考标准（续

31、） GB/T 19668.1-2005 信息化工程监理规范 第1部分：总则 GB/T 19668.2-2007 信息化工程监理规范 第2部分：通用布缆系统工程监理规范 GB/T 19668.3-2007 信息化工程监理规范 第3部分：电子设备机房系统工程监理规范 GB/T 19668.4-2007 信息化工程监理规范 第4部分：计算机网络系统工程监理规范 GB/T 19668.5-2007 信息化工程监理规范 第5部分: 软件工程监理规范 GB/T 19668.6-2007 信息化工程监理规范 第6部分: 信息化工程安全监理规范1.4.12等级保护工程监理参考标准1.4.13 网络信任体系标准

32、PKI/PMI安全机制安全机制密码算法密码算法GB/T 15843-2008 信息技术 安全技术 实体鉴别GB/T 17902-2005信息技术 安全技术 带附录的数字签名GB/T 17903-2008信息技术 安全技术 抗抵赖 分组算法应用接口规范（征求意见稿）CA密码设备应用程序接口（征求意见稿）杂凑算法应用接口规范（征求意见稿）随机性检测标准（征求意见稿）网络密码机通用技术规范（征求意见稿）ECC算法应用接口规范（征求意见稿） GB/T 16264.8-2005 信息技术 开放系统互连 目录 第8部分：公钥和属性证书框架GB/T 20518-2006 信息技术 安全技术 公钥基础设施 数

33、字证书格式GB/T 19714-2005 信息技术 安全技术 公钥基础设施 证书管理协议GB/T 20519-2006 信息安全技术 公钥基础设施 特定权限管理中心技术规范GB/T 19713-2005 信息技术 安全技术 公钥基础设施 在线证书状态协议GB/T 20520-2006 信息安全技术 公钥基础设施 时间戳规范 第二部分 等级保护测评要求第二部分 等级保护测评要求（1）等级保护测评要求的理解（2）等级保护测评内容分析（3）等级保护测评要求部分解读 （物理安全）（4）等级保护测评要求部分解读 （网络安全）（5）等级保护测评要求部分解读 （主机安全操作系统）（6）等级保护测评要求部分解

34、读 （应用安全）第二部分 等级保护测评要求（1）等级保护测评要求的理解2.1.3等级保护测评的内容某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理2.1.4测评要求编制思路信息系统测评系统测评（对安全控制、层面、区域间关联关系以及系统整体结构，分层次综合分析、测评）安全控制测评（以测评单元组织的测评实施）2.1.5安全控制测评思路 在内容上，与在内容上，与基本要求基本要求一一对应，针对一一对应，针对基本要求基本要求的每一个控的每一个控制项，开发具体的测评实施方法。制项，开发具体的测评实施方法。 在结构上，以在结

35、构上，以“测评单元测评单元”为基本工作单位，分等级进行组织。为基本工作单位，分等级进行组织。测评单元测评单元测评项测评项测评方式测评方式测评对象测评对象测评实施测评实施结果判定结果判定具体技术和管理要求具体技术和管理要求访谈访谈/检查检查/测试测试人员人员/文档文档/机制机制/设备设备测评方式对象操作测评方式对象操作是否符合测评项要求是否符合测评项要求第二部分 等级保护测评要求（3）等级保护测评要求部分解读 （物理安全）2.3.5防雷击本项要求包括： 机房建筑应设置避雷装置； 应设置防雷保安器，防止感应雷；应设置防雷保安器，防止感应雷；1. 机房应设置交流电源地线。2.3.6防雷击实施讨论在南

36、方地区，夏季多雨水，雷击发生的可能性很大，需要重点检测。 电子信息系统机房施工及验收规范GB50462-2008 电子信息系统机房设计规范GB50174-2008 建筑物电子信息系统防雷技术规范GB50343-20041. 建筑物防雷装置检测技术规范 GB/T21431-20082.3.7防雷击测评实施 应检查机房建筑是否有避雷装置，是否有交流地线；1. 应检查机房是否安装防雷保安器等装置。应检查机房是否安装防雷保安器等装置。2.3.8防雷击结果记录 机房建筑有避雷装置，有交流地线； 机房电源和信号线上安装防雷保安器等装机房电源和信号线上安装防雷保安器等装置置； 机房计算机系统接地设置了专用地

37、线；机房计算机系统接地设置了专用地线； 1. 通过验收或国家有关部门的技术检测（有检测报告）第二部分 等级保护测评要求（4）等级保护测评要求部分解读 （网络安全）2.4.1 结构安全 本项要求包括：应保证主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；应保证网络各个部分的带宽网络各个部分的带宽满足业务高峰期需要；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应绘制与当前运行情况相符的网络拓扑结构图；应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控

38、制的原则为各子网、网段分配地址段；应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；网段与其他网段之间采取可靠的技术隔离手段；1.应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。发生拥堵的时候优先保护重要主机。2.4.2 结构安全要求:1.应保证主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；测评实施:访谈网络管理员，询问主要网络设备的性能及业务高峰流量。访

39、谈网络管理员，询问采用何种手段对网络设备进行监控。通过网络管理软件,或IT资源监控系统,确认主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。应检查网络设计/验收文档，查看是否有主要主要网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈不存在带宽瓶颈等方面等方面的设计或描述。2.4.3 结构安全要求: 2.应保证网络各个部分的带宽网络各个部分的带宽满足业务高峰期需要；测评实施测评实施:应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则;询问当前网络各部分的带宽是否满足业务高

40、峰需要。询问当前网络各部分的带宽是否满足业务高峰需要。如果无法满足业务高峰期需要，则需如果无法满足业务高峰期需要，则需迚迚行带宽分配。检查主要网络设行带宽分配。检查主要网络设备是否进行行带宽分配。以备是否进行行带宽分配。以CISCO IOS 为例为例:检查配置是否类似如下配置项检查配置是否类似如下配置项: 输入命令输入命令:show running-config class-map:class-1 bandwidth:percent 50 bandwith 5000(kbps) max threshold 64(packets)2.4.4 结构安全要求: 3.应在业务终端与业务服务器之间进行路

41、由控制建立安全的访问路径；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；条款理解条款理解:静态路由是指由网络管理员手工配置的路由信息。劢态路由是指路由器能静态路由是指由网络管理员手工配置的路由信息。劢态路由是指路由器能够自劢地建立自己的路由表。够自劢地建立自己的路由表。路由器之间的路由信息交换是基亍路由协议实现的，如路由器之间的路由信息交换是基亍路由协议实现的，如OSPF路由协议是路由协议是一种典型的链路状态的路由协议。一种典型的链路状态的路由协议。如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。

42、测评实施测评实施:应检查边界和主要网络设备，查看是否配置路由控制策略以建立安全的访应检查边界和主要网络设备，查看是否配置路由控制策略以建立安全的访问路径；问路径； 以CISCO IOS为例，输入命令：show running-config 检查配置文件中应当存在类似如下配置项： iproute 93 （静态） router ospf100 （动态） ipospfmessage-digest-key 1 md5 7 XXXXXX（认证码）（认证码） 测试：使用tracert路由命令2.4.5 结构安全要求: 4.应绘制与当

43、前运行情况相符的网络拓扑结构图；测评实施:登录网络管理软件,检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；如果没有网络管理软件,使用其它的网络管理软件查看。如HP OPENVIEW、游龙网管等。2.4.6 结构安全要求: 5.应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；条款理解：根据实际情况和区域安全防护要求，应在主要网络设备上进行VLAN划分或子网划分。不同VLAN内的报文在传输时是相互隔离的。如果丌同VLAN要迚行通信，则需要通过路由器或三层交换机等三层设备实现。使用防火墙，或使用网络隔

44、离与交换产品网络进行划分网段。测评实施：测评实施：应访谈网络管理员，询问网段划分情况以及划分的原则；询问重要网段有哪些，其应访谈网络管理员，询问网段划分情况以及划分的原则；询问重要网段有哪些，其具体的部署位置，与其他网段的隔离措施有哪些；具体的部署位置，与其他网段的隔离措施有哪些； 以CISCO IOS为例，输入命令：show vlan 检查配置文件中应当存在类似如下配置项： vlan2 name info Int e0/2 vlan-membership static 22.4.7 结构安全要求: 6.应避免将重要网段部署在网络边界处且直接连接外部信息系统，重应避免将重要网段部署在网络边界处

45、且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；要网段与其他网段之间采取可靠的技术隔离手段；条款理解条款理解为了保证信息系统的安全，应避免将重要网段部署在网络边界处且直接连接外部信息系统，防止来自外部信息系统的攻击。在重要网段和其它网段之间配置安全策略进行行访问控制。测评实施检查网络拓扑结构，查看是否将重要网段部署在网络边界处，重要网段和其它网段之间是否配置安全策略进行行访问控制，如防火墙。2.4.8 结构安全要求: 7. 7.应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主

46、机。络发生拥堵的时候优先保护重要主机。测评实施：测评实施：应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。 以CISCO IOS为例，检查配置文件中是否存在类似如下配置项： policy-map barpolicy-map bar class voice class voice priority percent 10 priority percent 10 class data class data band

47、width percent 30 bandwidth percent 30 class video class video bandwidth percent 20 bandwidth percent 202.4.9 访问控制 本项要求包括：应在网络边界部署访问控制设备，启用访问控制功能；应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级控制粒度为端口级；应对进出网络的信息内容进行过滤，实现对应用层应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；等协议命令级的控制；应在会话处于非活跃一定时间或会话结束后

48、终止网络连接；应在会话处于非活跃一定时间或会话结束后终止网络连接；应限制网络最大流量数及网络连接数；应限制网络最大流量数及网络连接数；重要网段应采取技术手段防止地址欺骗；重要网段应采取技术手段防止地址欺骗；应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；1.应限制具有拨号访问权限的用户数量。 2.4.10 访问控制 要求:1.应在网络边界部署访问控制设备，启用访问控制功能；条款理解条款理解o在网络边界部署访问控制设备,防御来自其他网络的攻击，保护内部网络的安全。测评实施o检查网络拓扑结构，查看是否在网络边界处部署了访问控制设备，是否启用了访问控制

49、功能。2.4.11 访问控制 要求:2.应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制，控制粒度为端口级粒度为端口级；条款理解条款理解o在网络边界部署访问控制设备,对进出网络的流量进行过滤，保护内部网络的安全。o配置的访问控制列表应有明确的源/目的地址、源/目的、协议及服务等。测评实施（以路由器，或防火墙） 以CISCO IOS为例，输入命令：show ipaccess-list 检查配置文件中应当存在类似如下配置项： no access-list 111 ipaccess-list extended 111 deny ipx.x.x.0 55 any log

50、interface eth 0/0 ipaccess-group 111 in2.4.12 访问控制 以防火墙检查为例，应有明确的访问控制策略，如下图所示：2.4.13 访问控制 要求:3.应对进出网络的信息内容进行过滤，实现对应用层应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；等协议命令级的控制；条款理解条款理解o对亍一些常用的应用层协议，能够在访问控制设备上实现应用层协议命令级的控制和内容检查，从而增强访问控制粒度。测评实施测评实施o该测评项一般在防火墙、入侵防御系统上检查。o首先查看防火墙、入侵防御系统是否具有该功能，然

51、后登录设备查看是否启用了相应的功能。2.4.14 访问控制 以联想网御防火墙为例，如下图所示：2.4.15 访问控制 要求:4.应在会话处于非活跃一定时间或会话结束后终止网络连接；应在会话处于非活跃一定时间或会话结束后终止网络连接；条款理解条款理解o当恶意用户迚行网络攻击时，有时会发起大量会话连接，建立会话后长时间保持状态连接从而占用大量网络资源，最终将网络资源耗尽的情况。o应在会话终止或长时间无响应的情况下终止网络连接，释放被占用网络资源，保证业务可以被正常访问。测评实施o该测评项一般在防火墙上检查。o登录防火墙，查看是否设置了会话连接超时，设置的超时时间是多少，判断是否合理。2.4.16

52、访问控制 以天融信防火墙为例，如下图所示：2.4.17 访问控制 要求:5.应限制网络最大流量数及网络连接数；应限制网络最大流量数及网络连接数；条款理解条款理解o可根据IP地址、端口、协议来限制应用数据流的最大流量，还可以根据IP地址来限制网络连接数，从而保证业务带宽丌被占用，业务系统可以对外正常提供业务。测评实施o该测评项一般在防火墙上检查。访谈系统管理员，依据实际网络状况是否需要限制网络最大流量数及网络连接数。o登录设备查看是否设置了最大流量数和连接数，并做好记录。2.4.18 访问控制 以天融信防火墙为例，如下图所示：2.4.19 访问控制 要求:6.重要网段应采取技术手段防止地址欺骗；

53、重要网段应采取技术手段防止地址欺骗；o条款理解条款理解o地址欺骗在网络安全中比较重要的一个问题,这里的地址,可以是MAC地址,也可以是IP地址。在关键设备上，采用IP/MAC地址绑定方式防止地址欺骗。测评实施以CISCO IOS为例，输入show ip arp 检查配置文件中应当存在类似如下配置项： arp 0000.e268.9980 arpa2.4.20 访问控制 以联想网御防火墙为例，如下图所示：2.4.21 访问控制 要求:7.应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；条款理解条款理解o对亍进程拨号用户，应在相

54、关设备上提供用户认证功能。o通过配置用户、用户组，并结合访问控制规则可以实现对认证成功的用户允许访问受控资源。测评实施o登录相关设备查看是否对拨号用户迚行身份认证，是否配置访问控制规则对认证成功的用户允许访问受控资源。2.4.22 访问控制 要求:8.应限制具有拨号访问权限的用户数量。条款理解条款理解o应限制通过进程采用拨号方式或通过其他方式连入系统内部的用户数量。测评实施o询问系统管理员，是否有进程拨号用户，采用什么方式接入系统部，采用何种方式迚行身份认证，具体用户数量有多少。 2.4.23 安全审计本项要求包括：应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；审计记录应

55、包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应能够根据记录数据进行分析，并生成审计报表；应能够根据记录数据进行分析，并生成审计报表；1. 应对审计记录进行保护，避免受到未预期的删除、应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。修改或覆盖等。第二部分 等级保护测评要求（5）等级保护测评要求部分解读 （主机安全操作系统）2.5.1 身份鉴别本项要求包括：应对登录操作系统和数据库系统的用户进行身份标识和鉴别；操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；应启用登录失败处理功能，可采取结束会话、限制非法登录次数和

56、自动退出等措施；当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。1.应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。2.5.2 身份鉴别要求:1.应对登录操作系统和数据库系统的用户进行身份标识和鉴别；条款理解用户的身份标识和鉴别，就是用户向系统以一种安全的方式提交自己的身份证实，然后由系统确认用户的身份是否属实的过程。2.5.3 身份鉴别测评实施 Window：访谈系统管理员，系统用户是否已设置密码，并查看登录过程中系统账户

57、是否使用了密码进行验证登录。 Linux：采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中各用户名状态2.5.4 身份鉴别要求:2.操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；测评实施 Windows:本地安全策略-帐户策略-密码策略中的相关项目 Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/login.defs文件中相关配置参数2.5.5 身份鉴别2.5.6 身份鉴别2.5.7 身份鉴别要求:3.应启用登录失败处理功能，可采取结束会话、

58、限制非法登录次数和自动退出等措施；条款理解要求系统应具有一定的登录控制功能。可以通过适当的配置“帐户锁定策略”来对用户的登录进行限制。如帐户锁定阈值，帐户锁定时间等。测评实施Windows:本地安全策略-帐户策略-帐户锁定策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/pam.d/system-auth文件中相关配置参数2.5.8 身份鉴别2.5.9 身份鉴别2.5.10 身份鉴别要求:4.当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；条款理解为方便管理员进行管理操作，众多服务器采用了网络登录的方式进行远程

59、管理操作，例如Linux可以使用telnet登录，Windows使用远程终端服务。基本要求规定了这些传输的数据需要进行加密处理过，目的是为了保障帐户与口令的安全。测评实施Windows: 确认操作系统版本 确认终端服务器使用了SSL加密 确认RDP客户端使用SSL加密2.5.11 身份鉴别 Linux: 在root权限下，使用命令more、cat或vi查看是否运行了sshd服务：service status-all | grep sshd 若未使用ssh方式进行远程管理，则查看是否使用了telnet方式进行远程管理：service status-all | grep running2.5.12

60、 身份鉴别要求:5.应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。条款理解条款理解对于操作系统来说，用户管理是操作系统应具备的基本功能。用户管理由创建用户和组以及定义它们的属性构成。用户的一个主要属性是如何对他们进行认证。用户是系统的主要代理。其属性控制他们的访问权、环境、如何对他们进行认证以及如何、何时、在哪里可以访问他们的帐户。因此，用户标识的唯一性至关重要。如果系统允许用户名相同，而UID不同，其唯一性标识为UID，如果系统允许UID相同，而用户名不同，其唯一性标识为用户名。2.5.13 身份鉴别测评实施 Windows:“管理工具”-“计算机管理”-“本地用