二级等保标准

1、一、 技术求 技要项二级等保要求二等实方物理安全物理位置的选择） 机和办公场地选择在具有防震、防风和防雨等能力的建筑内。 机建设物理访问控制防盗窃和防破坏防雷击） 机房入口应专人值守，鉴别进入的人员身份并登记在; ） 应批进入机的来访人员，限制和监控其活动范） 应将要设备置在物理受限的范围;） 应对备或主部件进行固定，并设置明显的不易除去的标记； ） 应将信线缆设在隐蔽处，如铺设在地下或管道中;） 应对质分类识，存储在介质库或档案室;） 应安必要的盗报警设,防进入机房的盗窃和破坏行为。 ） 机房筑应设避雷装置；） 应设交流电地线。门禁管理系统机房建设防雷系统防火） 应设灭火设和火灾自动报警系统

2、持灭火设备和火灾自动 消系统 报警系统的良好状态.防水和防潮防静电） 水管装，不穿过屋顶和活动地板;） 应对过墙壁楼板的水管增加必要的保护措施，如设置套; ） 应采措施防雨水通过屋顶和墙壁渗透；） 应采措施防室内水蒸气结露和地下积水的转移与渗透。 ） 应采必要的地等防静电措施机房建设静电地板技要项二等实方温湿度） 应设温、湿自动调节设施，使机房温、湿度的变化在设备运行 机动力环监控系控制电力供应电磁防护所允许的范围之内。） 计算系统供应与其他供电分;） 应设稳压器过电压防护设备；） 应提短期的用电力供应（如 UPS 设） 应采接地方防止外界电磁干扰和设备寄生耦合干扰； ） 电源和通信缆应隔避免

3、互相干扰统UPS防电磁排插电机 柜网络安全结构安全与网段划分） 网络备的业处理能力应具备冗余空间满足业务高峰期需 设备做好双冗余 要；） 应设和绘制当前运行情况相符的网络拓扑结构;） 应根机构业的特点在满足业务高峰期需要的基础上合理设计网络带宽） 应在务终端业务服务器之间进行路由控制安全的访问路径） 应根各部门工作职能性及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；） 重要段应采网络层地址与数据链路层地址绑定措施 止地址欺骗网络访问控制拨号访） 应能据会话态信（包括数据包的源地址目地址源口 号、目的端口号、协议、出入的接口、会话序列号、发出信

4、息的主 机名等信息，并应支持地址通配符的使用数据流提供明确的 允许/拒绝访问的能力。） 应在于安全性的允许远程用户对系统访问的规则的基础上防火墙VPN技要项问控制二等系统所有资源允许或拒绝用户进行访问，控制粒度为单个用; ） 应限具有拨访问权限的用户数量。实方网络安全审计） 应对络系统的网络设备运行状况络流量用行为等事件 上行为管设备 进行日志记录；） 对于一个事，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息。边界完整性检查） 应能检测内网络中出现的内部用户未通过准许私自联到外部 网络的行为（即非外”行IDS入侵检测网络入侵防范） 应在络边界监视以下

5、攻击行为：端口扫描、强力攻击后 IPS入侵防 门攻击拒服务攻击缓区出攻击IP 碎攻击网蠕虫攻击等入侵事件的发生。恶意代码防范网络设备防护） 应在络边界核心业务网段处对恶意代码进行检测和清除； ） 应维恶意代库的升级和检测系统的更新；） 应支恶意代防范的统一管理。） 应对录网络备的用户进行身份鉴;） 应对络设备管理员登录地址进行限制；） 网络备用户标识应唯一；） 身份别信息具有不易被冒用的特点如口令长度杂和 定期的更新等；） 应具登录失处理功,如:结束会话、限制非法登录次数，当网 络登录连接超时自动退出。防毒墙维护堡垒机主机系统安全身份鉴别） 操作统和数库管理系统用户的身份标识应具有唯一; 1、

6、） 应对录操作统和数据库管理系统的用户进行身份标识和鉴别； 、 ） 操作统和数库管理系统身份鉴别信息应具有不易被冒用的特技要项自主访问控制强制访问控制安全审计二等点，例如口令长度、复杂性和定期的更新等；） 应具登录失处理功能，如：结束会话、限制非法登录次数，当 登录连接超时，自动退出。） 应依安全策控制主体对客体的访问；） 自主问控制覆盖范围应包括与信息安全直接相关的主体 及它们之间的操作；） 自主问控制粒度应达到主体为用户级体为文件据表 级；） 应由权主体置对客体访问和操作的权限；） 应严限制默用户的访问权限。无） 安全计应覆到服务器上的每个操作系统用户和数据库用户；） 安全计应记系统内重要

7、的安全相关事件重要用户行为和 重要系统命令的使用;） 安全关事件记录应包括日期和时间、类型、主体标识标 识、事件的结果等;） 审计录应受保护避免受到未预期的删除、修改或覆盖等。实方VPN防火墙数据库审计系统数据库审计系统系统保护） 系统提供在理维护状态中运行的能力维护状态只能被系 数据存储备， 统管理员使用。剩余信息保护） 应保操作系和数据库管理系统用户的鉴别信息所在的存储空 间,被释或再分配给其他用户前得到完全清除，无论这些信息是 存放在硬盘上还是在内存中；） 应确系统内文件、目录和数据库记录等资源所在的存储空间， 被释放或重新分配给其他用户前得到完全清.VPN技要项二等实方入侵防范无网管系

8、统， IPS入防 御系统恶意代码防范） 服务和重要端设包括移动设备安装实时检测和查杀恶 防毒墙杀毒软件 意代码的软件产品;） 主机统防恶代码产品应具有与网络防恶意代码产品不同的恶意代码库应用安全资源控制身份鉴别访问控制） 应限单个用的会话数;） 应通设定终接入方式、网络地址范围等条件限制终端登. ） 应用统用户身份标识应具有唯一性；） 应对录的用进行身份标识和鉴别；） 系统户身份别信息应具有不易被冒用的特点，例如口令长度、 复杂性和定期的更新等；） 应具登录失处理功能 如：结束会话、限制非法登录次数，当 登录连接超时，自动退.） 应依安全策控制用户对客体的访;） 自主问控制覆盖范围应包括与信息

9、安全直接相关的主体 及它们之间的操作；） 自主问控制粒度应达到主体为用户级体为文件据表 级；） 应由权主体置用户对系统功能操作和对数据访问的权限；） 应实应用系特权用户的权限分离将管理与审计的权限分 配给不同的应用系统用户；） 权限离应采最小授权原则授予不同用户各自为完成自己VPN、权限明确、建 议 统 一 身 份 认 证短信登录等 方式、 位上字母、数 字、字符混合搭配、SESSION 时 效 明 确，超时自动退出防火墙技要项安全审计二等承担任务所需的最小权,在它们之间形成相互制约的关系； ） 应严限制默用户的访问权.） 安全计应覆到应用系统的每个用户；） 安全计应记应用系统重要的安全相关事

10、件 包括重要用户行为 和重要系统功能的执行等;） 安全关事件记录应包括日期和时间、类型、主体标识标 识、事件的结果等；） 审计录应受保护避免受到未预期的删除、修改或覆盖等。实方日志审计系统操作日志剩余信息保护） 应保用户的别信息所在的存储空间放或再分配给其他用 VPN 户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；） 应确系统内文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清.通信完整性抗抵赖） 通信方应约单向的校验码算法 ,计算通信数据报文的校验码， 在进行通信时，双方根据校验码判断对方报文的有效.无VPN 加VPN通信保密性） 当通双方中一方在

11、一段时间内未作任何响应方应能够自 VPN 动结束会话；） 在通双方建连接之前，利用密码技术进行会话初始化验证；） 在通过程中应对敏感信息字段进行加密。软件容错） 应对过人机口输入或通过通信接口输入的数据进行有效性检 验） 应对过人机口方式进行的操作提回退功能允许按照操 作的序列进行回退；） 在故发生时续提供一部分功能保能够实施必要的措VPN技要项资源控制代码安全二等） 应限单个用的多重并发会;） 应对用系统最大并发会话连接数进行限制；） 应对个时间内可能的并发会话连接数进行限制。 ） 应对用程序码进行恶意代码扫描；） 应对用程序码进行安全脆弱性分.实方VPN防火墙数据安全数据完整性） 应能检测到统管理数据别信息和用户数据在传输过程中完 防墙 整性受到破坏；） 应能检测到统管理数据别信息和用户数据在存储过程中完整性受到破坏。数据保密性数据备份和恢复） 网络备、操系统、数据库管理系统和应用系统的鉴别信息 感的系统管理数据和敏感的用户数据应采用加密