GB/T 25068.3-2022信息技术安全技术网络安全第3部分：面向网络接入场景的威胁、设计技术和控制

ICS35030

CCSL.80

中华人民共和国国家标准

GB/T250683—2022

.

代替GB/T250684—2010

.

信息技术安全技术网络安全

第3部分面向网络接入场景的

:

威胁设计技术和控制

、

Informationtechnology—Securitytechniques—Networksecurity—

Part3Threatsdesintechniuesandcontrolfornetworkaccessscenarios

:,gq

ISO/IEC27033-32010Informationtechnolo—Securittechniues—

(:,gyyq

Networksecurit—Part3Referencenetworkinscenarios—

y:g

ThreatsdesintechniuesandcontrolissuesMOD

,gq,)

2022-10-12发布2023-05-01实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T250683—2022

.

目次

前言

…………………………Ⅲ

引言

…………………………Ⅴ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

缩略语

4……………………2

文档结构

5…………………2

概述

6………………………3

员工的互联网访问服务

7…………………5

背景

7.1…………………5

安全威胁

7.2……………5

安全设计技术和控制措施

7.3…………6

企业对企业的服务

8………………………7

背景

8.1…………………7

安全威胁

8.2……………8

安全设计技术和控制措施

8.3…………8

企业对客户的服务

9………………………9

背景

9.1…………………9

安全威胁

9.2……………9

安全设计技术和控制措施

9.3…………10

增强协作服务

10…………………………11

背景

10.1………………11

安全威胁

10.2…………………………12

安全设计技术和控制措施

10.3………………………12

网络分段

11………………13

背景

11.1………………13

安全威胁

11.2…………………………13

安全设计技术和控制措施

11.3………………………14

为居家办公和小型商务办公场所提供网络支持

12……………………14

背景

12.1………………14

安全威胁

12.2…………………………14

安全设计技术和控制措施

12.3………………………15

移动通信

13………………16

Ⅰ

GB/T250683—2022

.

背景

13.1………………16

安全威胁

13.2…………………………16

安全设计技术和控制措施

13.3………………………17

为流动用户提供网络支持

14……………18

背景

14.1………………18

安全威胁

14.2…………………………18

安全设计技术和控制措施

14.3………………………19

外包服务

15………………19

背景

15.1………………19

安全威胁

15.2…………………………19

安全设计技术和控制措施

15.3………………………20

附录资料性威胁目录

A()………………21

附录资料性互联网使用策略示例

B()…………………25

参考文献

……………………28

表网络接入场景资源访问框架

1…………3

表网络安全技术示例

2……………………5

表员工的互联网访问服务场景下的安全控制措施

3……………………6

表企业对企业的服务场景下的安全控制措施

4…………8

表企业对客户的服务场景下的安全控制措施

5………10

表增强协作服务场景下的安全控制措施

6……………12

表网络分段场景下的安全控制措施

7…………………14

表用于居家和小型商务办公场所场景的网络安全控制

8……………15

表移动通信场景下的安全控制措施

9…………………17

表为流动用户提供网络支持场景下的安全控制措施

10………………19

表外包服务场景下的安全控制措施

11…………………20

Ⅱ

GB/T250683—2022

.

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

本文件是信息技术安全技术网络安全的第部分已发布了以下

GB/T25068《》3。GB/T25068

部分

:

第部分综述和概念

———1:;

第部分网络安全设计和实现指南

———2:;

第部分面向网络接入场景的威胁设计技术和控制

———3:、;

第部分使用安全网关的网间通信安全保护

———4:;

第部分使用虚拟专用网的跨网通信安全保护

———5:。

本文件代替信息技术安全技术网络安全第部分远程接入的安

GB/T25068.4—2010《IT4:

全保护与相比除结构调整和编辑性改动外主要技术变化如下

》。GB/T25068.4—2010,,:

本文件主要内容由远程接入的安全保护改为面向网络接入场景的威胁设计技术和控制

———、;

本文件对原系列标准中的每个技术应用场景进行了重新归纳和修改

———;

删除了接入点高级加密标准回叫等术语和定义增加了恶意软件不透明性外包

———“”“”“”,“”“”“”

等术语和定义见第章年版的第章

(3,20103);

增加了员工的互联网访问服务企业对企业的服务企业对客户的服务增强协作服务

———“”“”“”“”

网络分段为居家办公和小型商务办公场所提供网络支持等内容删除了远程访问连接类

“”“”,“

型远程访问连接技术选择和配置指南等内容见第章第章年版的第

”“”“”(7~15,20106

章第章

~8);

增加了威胁目录互联网使用策略示例删除了远程接入安全策略示例实施

———“”“”,“”“RADIUS

和部署的最佳实践的两种模式安全邮件服务核查表安全服务核查表无线

”“FTP”“”“Web”“

局域网安全核查表见附录附录年版的附录附录

”(A、B,2010A~F)。

本文件修改采用信息安全安全技术网络安全第部分参考网络

ISO/IEC27033-3:2010《3:

场景威胁设计技术和控制

—、》。

本文件与相比做了下述结构调整

ISO/IEC27033-3:2010:

将附录调整为附录附录调整为附录

———AB,BA。

本文件与的技术差异及其原因如下

ISO/IEC27033-3:2010:

用规范性引用的代替见第章第章代替

———GB/T29246ISO/IEC27000(3、6),GB/T25068.1

见第章以适应我国的技术条件

ISO/IEC27033-1(3),;

将面向联邦国家或欧盟等政府组织的网络分段指导改为适合我国的跨国组织的网络分段指

———

导并以注的形式出现见

,“”(11.1)。

本文件做了下列编辑性改动

:

将一些适用于国际标准的表述改为适用于我国标准的表述

———;

增加了表中的脚注

———1;

将国际标准附录中面向博客的使用要求扩展为面向所有社交平台的使用要求

———A;

将国际标准附录中中的悬置段调整为附录中带序号的等内容

———AA.4.3BB.4.3.1;

删除了国际标准附录中的定义

———AA.6;

增加了参考文献

———“”。

Ⅲ

GB/T250683—2022

.

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本文件起草单位黑龙江省网络空间研究中心中国电子技术标准化研究院安天科技集团股份有

:、、

限公司黑龙江安信与诚科技开发有限公司上海工业控制安全创新科技有限公司哈尔滨理工大学

、、、、

哈尔滨工业大学

。

本文件主要起草人曲家兴方舟于海宁谷俊涛肖鸿江李琳琳宋雪李锐杨霄璇白瑞马遥

:、、、、、、、、、、、

王大萌呼大永树彬吴琼上官晓丽蔡一鸣杜宇芳赵超吴佳兴曹威鲁子元马超孟庆川

、、、、、、、、、、、、、

单建中韩建雍刘明鸽黄海方伟童松华刘颖孙腾倪华

、、、、、、、、。

本文件及其所代替文件的历次版本发布情况为

:

年首次发布为

———2010GB/T25068.4—2010;

本次为第一次修订调整为

———,GB/T25068.3—2022。

Ⅳ

GB/T250683—2022

.

引言

的目的是为信息系统网络的管理运行使用及互联互通提供安全方面的详细指

GB/T25068、、

导方便组织内负责信息安全特别是网络安全的人员采纳本文件以满足其特定需求拟由六个部分

,。

构成

。

第部分综述和概念目的是提出网络安全相关的概念并提供管理指导

———1:。。

第部分网络安全设计和实现指南目的是为组织如何规划设计实现高质量的网络安全

———2:。、、

体系确保网络安全适合相应的业务环境提供指导

,。

第部分面向网络接入场景的威胁设计技术和控制目的是列举与典型的网络接入场景相

———3:、。

关的具体风险设计技术和控制适用于所有参与网络安全架构方面规划设计和实施的人员

、,、。

第部分使用安全网关的网间通信安全保护目的是确保使用安全网关的网间通信安全

———4:。。

第部分使用虚拟专用网的跨网通信安全保护目的是定义使用虚拟专用网络建立安全连

———5:。

接的具体风险设计技术和控制要素

、。

第部分无线网络访问安全目的是为选择实施和监测使用无线网络提供安全通信所必需

———6:。、

的技术控制提供指南并用于第部分中涉及使用无线网络的技术安全架构或设计选项的审

,2

查与选择

。

是在信息技术安全技术信息安全控制实践指南的基础上进一步

GB/T25068GB/T22081《》,

对网络安全控制提供了详细的实施指导仅强调业务类型等因素影响网络安全的重要性

。GB/T25068

而不做具体说明

。

本文件凡涉及采用密码技术解决保密性完整性真实性抗抵赖性需求的遵循密码相关国家标准

、、、,

和行业标准

。

Ⅴ

GB/T250683—2022

.

信息技术安全技术网络安全

第3部分面向网络接入场景的

:

威胁设计技术和控制

、

1范围

本文件描述了与网络接入场景相关的威胁设计技术和控制问题为每一个网络接入场景提供了能

、,

够降低相关风险的安全威胁安全设计技术以及控制三个要素的详细指南

、。

本文件适用于按照来评审技术性安全体系的结构和设计