测评指导书二级

XXXXXX公司

XXXXXX等级测评项目

测评指导书XXXXXX信息安全测评技术中心2009年10月第1页共60页DocumentControl文档名称文档类型文档编号密级日期版本编写者描述审核人员第2页共60页

目录urLZriLArLS21安全管理机构测评安全管理制度测评 目录urLZriLArLS21安全管理机构测评安全管理制度测评 人员安全管理测评 系统建设管理测评 系统运维管理测评物理安全测评第3章 网络安全测评指导书 3A 网络全局安全测评 32 路由器安全测评 3.2.1 思科路由器安全测 33 交换机安全测评 3.3.1 华为交换机安全测 山 思科交换机安全测 34 防火墙安全测评 PIX防火墙安全测评 天融信防火墙安全测 华为防火墙安全测 35 远程拨号服务器安全测评 入侵检测/防御系统安全测评Windows操作系统安全测评TRU64操作系统安全测评.....Linux操作系统安全测评......Solaris操作系统安全测评...AIX操作系统安全测评 应用系统安全测评52IIS应用安全测评 5.3 ApACHE应用安全测评 第6章数据库安全测评指导书 6A SQLSERVER数据库安全测评 6.2 Oracle数据库安全测评 63 SvBASE数据库安全测评 第3页共60页

第1章安全管理测评指导书安全管理机构测评测评项检测方法ta）设定管理部，定义各个方面的负责人岗位和职责访谈安全主管，管理机构，部门和各负责人职责；检查核查各岗位职责范围和技能要求；制设定制证人b）定义各个岗位和职责（系统、网络、安全管理）访谈安全主管，岗位分工及相关职责；。）制定文件明确分工检查安全管理委员会职责文件。Tra）配备系统、网络、安全管理员访谈安全主管，岗位人员配备情况；检查安全管理人员名单；人员配备要求文档；制管b）安全管理员是专职的检查安全管理人员名单；人员配备要求文档。a）对关键活动授权审批部门及批准人访谈安全主管，关键活动的审批部门，批准人是否得到授权，更新审批项目，审查周期；检查授权管理文件包括事项列表（审批、事项、程序），更新审批项目，审查周期；制程记准人批带瘁接斯外管b）列表说明须审批的事项、部门和可批准人访谈关键活动的批准人，审批范围，审查程序；审批文档、签字和盖章。第4页共60页

测评项检测方法Ia）内部沟通，定期召开会议访谈安全主管，与外单位和其他部门合作内容，沟通、合作方式有哪些；安全主管，部门间协调会议，安全管理机构内部会议，信息安全领导小组例会；安全管理人员，与外单位和其他部门人员主要沟通内容；检查部门间协调会议文件；记或部导证歹b）职能部门召开会议协调安全工作实施检查安全工作会议文件；c）加强公安，电信的合作与沟通检查外联单位说明文档；)a）定期安全检查访谈安全主管，检查周期，定期分析、评审异常行为；安全员，安全检查包含内容、人员、程序策略和要求，通报形式、范围；检查安全检查内容、检查程序和检查结果等。制金带第5页共60页

安全管理制度测评测评项检测方法预ra）制定总体方针、政策性文件和安全策略访谈安全主管，制度体系是否有安全政策、安全策略；检查明确总体目标、范围、方针、原则、责任，安全策略；制管证专b）建立安全管理制度检查覆盖物理、网络、主机系统、数据、应用和管理等层面；c）建立操作规程检查重要管理操作的操作规程，如维护手册和操作规程；工a）信息安全职能部门，组织相关人员制定访谈安全主管，是否在信息安全领导小组或委员会负责下统一制定；制改在的b）统一的格式和版本访谈安全主管，是否按照统一的格式标准或要求制定、论证和审定；检查管理文档说明制定和发布程序、格式要求及版本；c）论证和审定检查评审记录，评审意见；d）签发后按照一定的程序以文件形式发布检查管理层的签字或盖章，格式统一；1a）对存在不足或需要改进的安全管理制度进行修订访谈安全主管，对安全管理制度的评审由何部门、何人负责；管理人员，对安全管理制度的评审、修订程序，维护措施；检查列表注明评审周期；评审记录，日期与评审周期是否一致，修订记录和版本。制流理在订第6页共60页

人员安全管理测评测评项检测方法预a）具备专业技术水平和安全管理知识访谈人事负责人，录用人员要求与其职责相对应；检查人事工作人员，人员录用要求管理文档；制岗管在查员考证枕枕b）身份、背景、专业资格和资质等进行审查访谈审查身份、背景、专业资格和资质，签署保密协议，说明工作职责；审查文档，记录审查内容和审查结果；c）技能进行考核检查考核内容和结果；d）说明其角色和职责访谈人事负责人，录用人员要求与其职责相对应；检查人事工作人员，人员录用要求管理文档；e）签署保密协议检查保密范围、保密责任、违约责任、协议的有效期限和责任人签字；a）终止所有访问权限访谈安全主管，及时终止离岗人员所有访问权限，取回物资；b）物资收回核查检查安全处理记；c）离岗须承诺调离后的保密义务访谈人事工作人员，调离手续；检查保密承诺文档，有调离人员的签字；a）技能及认知的考核访谈安全主管，专人负责定期考核；b）安全审查访谈人事工作人员，考核情况，考核周期、考核内容、审查情况和内容如如操作行为、社会关系、社交活动；c）违背安全策略和规定的人员进行惩戒访谈人事工作人员，惩戒措施；=1a）安全意识教育访谈安全主管，以何形式制定安全教育和培训计划，效果如何；制和理b）告知责任和惩戒措施访谈安全员，系统管理员，网络管理员，数据库管理员，各岗位人员对安全知识、责任和惩戒措施等的理解程度；c）制定安全教育和培训计划检查安全教育、培训计划和不同岗位培训计划，明确目的、方式、对象、内容、时间和地点，内容包含信息安全基础知识、岗位操作规程；第7页共60页

测评项检测方法预d）记录并归档保存检查记录包括人员、内容、结果的描述，记录与培训计划一致。&a）应在访问前与机构签署安全责任合同书或保密协议访谈安全主管，管理措施，访问前签署安全责任合同书或保密协议；检查全责任合同书或保密协议有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字；b）重要区域的访问负责人的批准，专人陪同或监督，并记录备案访谈安全管理人员，访问重要区域采取措施，有负责人批准，专人陪同记录并备案管理；检查书面申请，批准人允许访问的签字；系统建设管理测评测评项检测方法预*a）明确系统划分方法访谈划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准；检查给出等保SxAyGz值，定级结果有批准盖章；证报中b）确定信安全等级访谈系统划分方法和理由；c书面确定系统属性检查明确系统属性:使命、业务、网络、硬件、软件、数据、边界、人员；d）定级结果经过批准访谈划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准；检查给出等保SxAyGz值，定级结果有批准盖章；专家对定级结果的论证意见。)a）依据等保和风险分析选择和调整安全措施访谈系统建设负责人，根据系统的安全级别选择基本安全措施，依据风险分析的结果补充和调整安全措施，做过哪些调整；证金总告b）书面描述对系统的安全保护要求和策略、措施等内容，形成系统的安全方案访谈安全主管，授权专人负责制定总体安全方案；检查系统安全方案，要求、策略和措施；c）考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件访谈系统建设负责人，根据信息系统等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案等；第8页共60页

测评项检测方法预d）安全保障体系的配套文件经过专家论证和审定访谈系统建设负责人，安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定，并经过管理部门的批准；检查核查相关论证意见；e）安全保障体系的配套文件经批准后，才能正式实施检查各方案管理层的批准；勺a）采购符合国家规定访谈系统建设负责人，密码产品的使用是否符合国家密码主管部门的要求；检查安全产品（边界安全设备、重要服务器操作系统、数据库等）是否符合国家的规定；制方记试证b）密码产品符合国密要求检查商用密码产品和保密专用产品采购符合《商用密码管理条例》和《计算机信息系统保密工作暂行规定》；c）专人负责采购访谈安全主管，何部门何人负责产品采购。）a）开发与运行，与测试环境要独立访谈系统建设负责人，程序的修改、更新、发布进行授权和批准，控制措施，开发人员不能做测试人员（即二者分离），独立的模拟环境中编写、调试和完成；检查开发环境与运行环境物理分开；0）提供文档指南检查软件设计的相关文档（应用软件设计程序文件、源代码文档等）和软件使用指南或操作手册和维护手册等；b）文档由专人保管，控制使用检查开发相关文档（软件设计和开发程序文件、测试数据、测试结果、维护手册等）的使用控制记录。卜）a）签订协议，明确知识产权的归属和安全方面的要求访谈外包前书面文档形式规范软件开发单位的责任、安全行为、开发环境要求、软件质量、开发后的服务承诺；检查软件开发协议，知识产权归属、安全行为等内容；b）检测软件质量检查软件开发协议，知识产权归属、安全行为等内容；c）安装之前检测软件包中可能存在的恶意代码访谈交付前进行软件功能和性能验收检测，验收检测是否是由开发商和委托方共同参与，检测软件中的恶意代码，检测工具是否是第三方的商业产品；d）提供软件设计的相关文档和使用指南检查应检查是否具有需求分析说明书、软件设计说明书和软件操作手册等开发文档以及用户培训计划、程序员培训手册等后期技术支持文档。a）签订安全协议访谈系统建设负责人，以书面形式（如工程安全建设协议）约束工程实施方的工程实施行为；检查覆盖工程实施方的责任、任务要求和质量要求等方面内容，约束工程实施行为；制管制第9页共60页

测评项检测方法预b）专人负责访谈系统建设负责人，指定专人负责进度和质量控制，行为规范制度化，资质证明和能力保证；记c）制定施工方案检查覆盖工程时间限制、进度控制和质量控制等方面内容，工程实施过程是否按照实施方案形成各种文档，如阶段性工程报告；a）安全性测试验收访谈系统正式运行前，根据设计方案或合同要求对信息系统进行独立的安全性测试；制的记记证方b）制定测试验收报告访谈对测试过程（包括测试前、测试中和测试后）进行文档化要求和制度化要求；应检查是否具有系统验收报告；c）测试验收报告审定，双方签字检查应检查验收测试管理制度是否对系统验收测试的过程控制、参与人员的行为等进行规定。ta）明确交接手续访谈交接手续，交接清单是否满足合同的有关要求；检查系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册；记或订安b）技能培训访谈运行维护，培训，技术支持服务，维护的文档；服务承诺书、培训记录；c）提供运维文档检查系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册；d）服务承诺书，确保对系统运行维护的支持访谈服务承诺书、培训记录。ra）符合国家规定访谈信息系统进行安全规划、设计、实施、维护、测评等服务的安全服务单位是否符合国家有关规定。记或订安系统运维管理测评示测评项检测方法于里a）对机房设施定期维护管理访谈物理安全负责人，机房基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责，维护周期；检查设施维护记录；制71制iiib）指定部门负责机房安全访谈物理安全负责人，指定人员负责机房安全管理工作，对机房的出入管理是否要求进行制度化和文档化；c）建立机房安全管理制度检查覆盖机房物理访问、物品带进、带出机房和机房环境安全等方面；第10页共60页

示测评项检测方法至d）对机房来访人员进行登记和备案管理，限制来访人员的活动范围检查进出登记表；ij不木d）办公环境的保密性管理访谈工作人员，保证办公环境的保密性要求事项；检查办公环境管理文档对工作人员离开座位的保密行为（如清理桌面文件和屏幕锁定等）、人员调离办公室后的行为行规定。理a）资产管理制度访谈安全主管，指定资产管理的责任人员或部门，由何部门/何人负责；物理安全负责人，资产管理要求文档化；覆盖资产使用、借用、维护等方面；制质&ijb）编制资产清单检查覆盖资产责任人、所属级别、所处位置和所属部门等方面；c）资产标识访谈资产管理员，对资产进行赋值和标识管理，不同类别的资产是否采取不同的管理措施；检查资产清单中的设备有相应标识；里a）介质存放环境安全访谈资产管理员，介质的存放环境的保护措施，防止其被盗、被毁、被未授权修改以及信息的非法泄漏，专人管理；检查应检查介质管理制度，查看其内容是否覆盖介质的存放环境、使用、维护和销毁等方面；伟igi'b）介质归档和查询记录，定期盘点访谈资产管理员，对介质的使用管理要求文档化，是否根据介质的目录清单对介质的使用现状进行定期检查，是否对介质进行分类和标识管理；检查介质管理记录，记录介质的存储、归档和借用等情况；c）介质使用、维修、销毁管理访谈资产管理员，进行保密性处理；对保密性较高的介质销毁前是否有领导批准，否对数据进行净化处理；询问对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制；资产管理员，重要介质实行异地存储，异地存储环境是否与本地环境相同；d）对介质进行分类和标识管理，专人管理检查应检查介质，查看是否对其进行了分类，并具有不同标识；里a）专人维护访谈资产管理员，设备指定专人或专门部门进行定期维护，周期；伟举i'当由b）建立设备管理制度访谈系统管理员，软硬件维护进行制度化管理；检查应检查设备审批、发放管理文档，查看其内容是否对设备选型、采购和发放等环节的申报和审批作出规定；查看是否具有设备的选型、采购、发放等过程的申报材料和审批报告；第11页共60页

示测评项检测方法至c）设备的操作和使用进行规范化管理访谈资产管理员，设备选用的各个环节（选型、采购、发放等）进行审批控制，对设备带离机构进行审批控制，设备的操作和使用是否要求规范化管理；检查应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；id）带离设备进行控制检查应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；e）监控检查管理访谈审计员，服务器的操作日志，日志文件管理，期检查管理；检查应检查服务器操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作。理a）信息系统监控和报警访谈系统运维负责人，查看主要服务器的各项资源指标，如CPU、内存、进程和磁盘等使用情况。制-u同全!）a）专人管理访谈安全主管，指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作；伟举&布b）更新，备份访谈应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、配置数据等）进行备份，采取什么方式进行备份；网络设备进行过漏洞扫描，对扫描出的漏洞是否及时修补；c）进行网络系统漏洞扫描，及时修补访谈应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、配置数据等）进行备份，采取什么方式进行备份；网络设备进行过漏洞扫描，对扫描出的漏洞是否及时修补；检查漏洞扫描报告，覆盖网络存在的漏洞、严重级别、原因分析和改进意见等方面；d）与外部系统的连接均应得到授权和批准访谈安全员，外联种类有哪些（互联网、合作伙伴企业网、上级部门网络等），得到授权与批准，由何部门/何人批准；定期检查违规联网的行为；检查应检查是否具有内部网络外联的授权批准书；e）建立网络安全管理制度访谈安全员，网络安全的管理工作（包括网络安全配置、网络用户、日志等方面）制度化；检查应检查网络安全管理制度，查看其是否覆盖网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志内容、日志保存时间等方面内容；f）网络安全策略、授权访问、最小服务、升级与补丁访谈安全员，网络安全的管理工作（包括网络安全配置、网络用户、日志等方面）制度化；检查应检查网络安全管理制度，查看其是否覆盖网络设备的安全策略、授权访问、最小服务、升第12页共60页

示测评项检测方法至级与打补丁、维护记录、日志内容、日志保存时间等方面内容；g）规定网络审计日志的保存时间检查应检查在规定的保存时间范围内是否存在网络审计日志。全!）2）指定专人对系统进行管理访谈安全主管，询问是否指定专人负责系统安全管理；制1b）制定系统安全管理制度访谈安全员，将系统安全管理工作（包括系统安全配置、系统账户、审计日志等）制度化；检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面；c）定期安装系统的最新补丁程序，前对现有的重要文件进行备份访谈应访谈系统管理员，定期安装安全补丁程序，在安装系统补丁前是否对重要文件（系统配置、系统用户数据等）进行备份，采取什么方式进行；是否对系统进行过漏洞扫描，发现漏洞是否及时修补；d）确定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限访谈系统管理员，对系统工具的使用（如脆弱性扫描工具）是否采取措施控制不同使用人员及数量；检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面。e）遵循最小授权要求f）对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求g）规定系统审计日志的保存时间访谈审计员，规定系统审计日志的保存时间检查在规定的保存时间范围内是否存在系统审计日志；h）对发现的系统安全漏洞进行及时的修补检查覆盖系统存在的漏洞、严重级别、原因分析和改进意见等方面；当里a）提高防病毒意识及时升级防病毒软件访谈系统运维负责人，对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前进行病毒检查；工作人员，熟知恶意代码基本的防范手段，主要包括哪些；制&i'于b）外来计算机或存储设备接入网络系统之前也要进行病毒检查检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面；c）专人负责检测访谈系统运维负责人，专人对恶意代码进行检测，并保存记录；第13页共60页

示测评项检测方法至d）明确规定防范软件使用访谈安全员，恶意代码防护管理工作（包括恶意代码软件的授权使用、代码库升级和防范工作情况汇报等）制度化，对其执行情况是否进行检查，周期；检查是否对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面作出规定；恶意代码检测记录、恶意代码库升级和分析报告，查看升级记录是否有升级时间、升级版本等内容；查看分析报告是否描述恶意代码的特征、修补措施等；里a）密码算法和密钥的使用应符合国家密码管理规定访谈密码算法和密钥的使用是否遵照国家密码管理规定。制&a）制定变更方案访谈系统运维负责人，制定变更方案指导系统执行变更，变更是否要求制度化管理；检查系统运维负责人，对变更类型、变更原因、变更过程、变更前评估等方面进行说明；制7iii理b）建立变更管理制度，审批后方可实施变更访谈系统运维负责人，重要系统变更前是否得到有关领导的批准，由何人批准，对发生的变更情况是否通知了所有相关人员，以何种方式通知；检查更管理制度覆盖变更前审批、变更过程记录、变更后通报等方面内容；系统的变更申请书，是否有主管领导的批准。c）系统变更情况向所有相关人员通告访谈系统运维负责人，制定变更方案指导系统执行变更，变更是否要求制度化管理。a）定期备份的重要业务信息访谈系统管理员、数据库管理员和网络管理员，识别出需要定期备份的业务信息、系统数据及软件系统，主要有哪些；对其的备份工作是否以文档形式规范了备份方式、频度、介质、保存期等内容，数据备份和恢复策略是否文档化；b）规定备份方式、备份频度（、存储介质、保存期检查备份方式、频度、介质、保存期的文档；灰c）制定数据的备份策略和恢复策略，备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法检查备份和恢复策略文档，覆盖数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面；制d）指定负责人定期维护和检查备份及冗余设备的状况访谈系统管理员、数据库管理员和网络管理员，询问其对备份和冗余设备的安装、配置和启动工作是否根据定的流程进行，是否指定专人对备份和冗余设备的有效性定期维护和检查，多长时间检查一次；检查应检查备份设备操作流程文档，查看其是否规定备份和冗余设备的安装、配置、启动、关闭等操作流程。ge）规定备份及冗余设备的安装、配置和启动流程检查应检查备份设备操作流程文档，查看其是否规定备份和冗余设备的安装、配置、启动、关闭等操作流程。牛!）a）报告弱点、可疑事件访谈及时报告告知用户在发现安全弱点和可疑事件，记录并保存；制第14页共60页

示测评项检测方法至b）建立安全事件管理制度访谈对安全事件处置制度化管理；检查安全事件报告和处置管理制度，查看其内容是否明确与安全事件有关的工作职责，包括报告单位（人）、接报单位（人）和处置单位等职责；不iijg品在匚c）识别本系统需要防止发生的安全事件访谈本系统已发生的和需要防止发生的安全事件主要有哪几类，对识别出的安全事件是否根据其对系统的影响程度划分不同等级，划分为几级；d）安全事件进行等级划分检查安全事件定级文档，查看其内容是否明确安全事件的定义、安全事件等级划分的原则、等级描述等方面内容；e）记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生检查全事件记录分析文档，查看其是否记录引发安全事件的原因，是否记录事件处理过程，是否采取措施避免其再次发生。案!)a）统一框架，不同事件不同预案访谈系统运维负责人，制定不同事件的应急预案，对系统相关人员进行应急预案培训，培训内容是什么，多长时间举办一次；检查工作人员，应急响预案文档，查看其内容是否覆盖启动预案的条件、应急处理流程、系统恢复流程和事后教育等内容。制R13b）应急预案培训检查应急预案培训记录，演练记录和审查记录。第15页共60页

第2章物理安全测评指导书2.1物理安全测评测评项检查方法预期结果里的2）a）机房是否具备有防震、防风、防雨能力；访谈询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。机房和办公场地的设计/验收文档中彳公场所的物理位置选择的内容，并符窿雨能力要求。可控）a）是否专人值守；访谈：询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守；访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。有专人值守机房，进入机房有记录。b）是否具有申请、审批和监控的措施；访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围；检查：检查是否有来访人员进入机房的审批记录。来访人员进入机房需经过申请、审批入机房有机房管理人员陪同并监控和围。中防2）a）设备放置机房并固定、设置标记；访谈：访谈物理安全负责人，采取了哪些防止设备、介质丢失的保护措施；检查：检查主要设备是否防止在机房内或其他不易被盗窃和破坏的可控范围内。主要设备都放置在机房可控制范围内上锁。b）设备和主要部件固定并标识；访谈：访谈机房维护人员，设备和主要部件是否进行了固定和标记；检查：检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置了明显的不易除去的标记。设备和主要部件固定不易移动，设置的标记。c）隐蔽通信线缆；访谈：访谈机房维护人员，了解通信线缆是否铺设在隐蔽处；是否设置了冗余或并行的通信线路；检查：检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）。通信线缆铺设在地下或管道中，有冗线路。第16页共60页

测评项检查方法预期结果d）介质分类标识，带出应受控和加密保护；访谈：访谈资产管理人员，在介质管理中，是否设置了分类标识，是否存放在介质库或档案室中；询问对设备或存储介质携带出工作环境是否规定了审批程序、内容加密、专人检查等安全保护的措施；检查：检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或资料室中并且进行分类存放（满足磁介质、纸介质等的存放要求）；检查有关设备或存储介质携带出工作环境的审批记录，以及专人对内容加密进行检查的记录。.介质正确的分类标识并存放在介质放环境满足不同介质的存放需求；.设备和存储介质携带出工作环境需录；.存储介质携带出工作环境需经过安后方可允许。e）设置光电防盗报警系统；访谈：询问机房维护人员，采用了何种技术设置机房防盗报警系统；检查：检查机房防盗报警设施是否正常运行，并查看运行和报警记录。机房防盗报警设施运行正常并可进行记录。G2)a）避雷装置;访谈：访谈物理安全负责人，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；询问机房维护人员机房建筑避雷装置是否有人定期进行检查和维护；检查：检查机房是否有建筑防雷设计/验收文档，是否符合GB50057-1994《建筑物防雷设计规范》（GB157《建筑物防雷设计规范》）要求，如果是在雷电频繁区域，是否装设有浪涌电压吸收装置等。.机房建筑设置了避雷装置，并通过部门的技术检测；.定期对避雷装置进行检查和维护。b）交流电接地;访谈：询问物理安全负责人，机房计算机系统接地是否设置了专用地线；检查：检查机房是否有机房接地设计/验收文档，查看是否有地线连接要求的描述，与实际情况是否一致。机房交流电设置了专用的地线，与机1文档中关于地线连接要求的描述一致2)a）自动消防系统；访谈：访谈物理安全负责人，是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统；是否有专人负责维护该系统的运行，是否制定了机房的消防管理制度和消防预案，是否进行了消防培训；访谈机房值守人员，询问对机房出现的消防安全隐患是否能够及时报告并得到排除；是否参加过机房灭火设备的使用培训，是否能够正确使用灭火设备和自动消防系统（喷水不适用于机房）；检查：检查机房是否设置了自动测火情（如使用温感、烟感探测器）、自动报警、自动灭火的自动消防系统，摆放位置是否合理，有效期是否合格；检查自动消防系统是否正常工作，查看运行记录、报警记录、定期检查和维修记录；检查是否有机房的消防管理制度文档，是否有机房防火设计/验收文档，是否有机房自动消防系统的设计/验收文档，文档是否与现有消防配置状况一致。1.机房设置了自动检测火情、自动报自动消防系统；2.第17页共60页

测评项检查方法预期结果防潮石水管不得穿过机房；访谈：访谈物理安全负责人，询问机房建设是否有防水防潮措施；如果机房有上下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了保护措施，如设置套管；在湿度较高地区或季节是否有人负责机房防水防潮事宜，是否配备除湿装置。检查：检查机房是否有建筑防水和防潮设计/验收文档，与实际情况是否一致；如果有管道穿过主机房墙壁和楼板处，应检查是否有必要的保护措施，如设置套管等。.机房屋顶和活动地板下没有水管穿.有水管穿过，但水管设置有套管防b）防止雨水渗透；访谈：询问机房维护人员，机房是否出现过漏水和返潮事件；检查：检查机房是否不存在屋顶和墙壁等出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；检查机房如果出现漏水、渗透和返潮现象是否能够及时修复解决。不存在雨水渗透威胁，屋顶和墙壁不和返潮现象。c）防止水蒸气结露和积水转移破坏；访谈：访谈机房维护人员，如果出现机房水蒸气结露和地下积水的转移与渗透现象是否采取防范措施；检查：检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录和除湿装置运行记录，与机房湿度记录情况是否一致。除湿装置运行正常。G2)a）设备接地;访谈：访谈物理安全负责人是否有必要的接地防静电措施，是否有控制级房湿度的措施；检查：检查关键设备是否采取了必要的接地防静电措施。关键设备接地良好，机房湿度合适。空制a）温湿度调节设施；访谈：访谈物理安全负责人，询问机房是否配备了恒温恒湿系统，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作；访谈机房维护人员，询问是否定期检查和维护机房的温湿度自动调节设施，询问是否出现过温湿度影响系统运行的事件；检查：检查机房是否有温湿度控制设计/验收文档，是否能够满足系统运行需要，是否与当前情况相符合；检查恒温恒湿系统是否能够正常运行，查看是否有温湿度记录、运行记录和维护记录，查看机房温湿度是否满足GB2887-89《计算站场地技术条件》的要求。机房恒温恒湿系统运行正常，机房的1第18页共60页

测评项检查方法预期结果应a）稳压器和过电压防护设备；访谈：访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备；询问机房维护人员是否对稳压器、过电压防护设备等进行定期检查和维护；检查：检查机房是否有电力供应安全设计/验收文档，查看文档中是否标明单独为计算机系统供电，配备稳压器、过电压防护设备等要求，查看与机房电力供应实际情况是否一致；检查机房，查看计算机系统供电线路上的稳压器和过电压防护设备是否正常运行，查看供电电压是否正常；检查是否有稳压器、过电压防护设备的检查和维护记录，是否符合系统正常运行的要求。计算机系统单独配备了稳压器和过电b）主要设备短期电力供应；访谈：访谈物理安全负责人，询问计算机系统供电线路上是否设置了短期备用电源设备（如UPS），供电时间是否满足系统最低电力供应需求；询问机房维护人员是否对短期备用电源设备进行定期检查和维护；是否能够控制电源稳压范围满足计算机系统运行正常；检查：检查机房是否有电力供应安全设计/验收文档，查看文档中是否标明备用电源设备要求，查看与机房电力供应实际情况是否一致；检查机房，查看计算机系统供电线路上的短期备用电源设备是否正常运行，查看供电电压是否正常；检查是否有短期备用电源设备的检查和维护记录，是否符合系统正常运行的要求。计算机供电系统设置了UPS。护a）通信线缆和电力线缆隔离；访谈：访谈物理安全负责人是否采取了电源线和通信线缆隔离的措施来避免互相干扰；检查：检查机房布线是否做到电源线和通信线缆隔离。通信线路和电力线路隔离。第19页共60页

第3章网络安全测评指导书网络全局安全测评测评项检查方法预期结果:a）网络设备处理能力具备冗余空间；访谈：询问是否对主要网络设备性能进行监控（CPU、内存使用等）。网络设备性能满足需求。b）合理分配带宽；访谈：询问是否合理分配带宽；检查：针对Cisco设备，输入showrunning-config命令，检查配置文件中是否存在类似如下配置项class-mapclass-1bandwidthpercent50bandwidth5000（kbps）maxthreshold64（packets）有专用带宽管理设备或存在如下配置：class-mapclass-1bandwidthpercent50bandwidth5000(kbps)maxthreshold6c）安全的路由访问路径；检查：是否配置路由控制策略建立安全的访问路径。输入命令：showrunning-config如果使用静态路由协议，检查配置文件中应当存在类似如下配置项：iproute93如果使用OSPF路由协议，检查配置文件中应当存在类似如下配置项：routerosp100ipospfauthenticationipospfmessage-digest-key1md57******存在如下配置：如果使用静态路由协议，检查配置文件中应配置项：iproute192如果使用OSPF路由协议，检查配置文件中应配置项：routerosp100ipospfauthenticationipospfmessage-digest-key1md57***d）网络拓扑结构图；检查：查看网络拓扑图与当前运行情况是否一致。网络拓扑图与当前运行情况一致。e）根据需求划分子网；检查：是否进行了子网划分。输入命令：showvlan检查配置文件中是否出现类似如下配置项：vlan2nameinfo存在如卜.配置：vlan2nameinfora）检查和阻断“非法内联”设备；访谈：询问如何检查和阻断“非法内联”行为。检查：是否有包括网络接入控制、关闭网络设备未使用端口、IP/MAC地址绑定等技术手段检查和阻断“非法内联”；在网络管理员配合下验证有效性。未经授权的设备或用户无法接入内网。a）监视攻击行为；访谈：访谈是否部署了包含入侵防范功能的设备。检查：检查设备规则库更新程度；验证监控策略有效性。部署了入侵防范功能设备，能够对端口扫描马后门攻击、拒绝服务攻击、缓冲区溢出攻和网络蠕虫攻击等攻击行为进行检测；设备特征库为最新版本。路由器安全测评思科路由器安全测评第20页共60页

测评项检查方法预期结果a）对网络设备进行日志记录；检查：输入命令showrunning检查配置文件中是否存在类似如下配置项：access-list100denyip.0.0.255anylogloggingtrapdebuggingloggingX.X.X.Xloggingon存在类似如下配置：loggingtrapdebuggingloggingX.X.X.Xloggingonb）分析记录数据；检查：检查日志记录内容。日志记录包含时间、事件等内容。a）应启用路由器的访问控制功能；检查：检查网络拓扑结构和相关路由器配置，查看是否在网络边界路由器上启用了访问控制功能。输入命令showrunning-config检查配置文件中是否存在以下类似配置项：ipaccess-listextended111denyipx.x.x.055anylog存在类似如下配置：ipaccess-listextended111denyipx.x.x.055anylogb）提供访问控制能力，关闭不需要服务；检查：输入命令showipaccess-list检查配置文件中是否存在类似如下配置项：ipaccess-listextended111denyipx.x.x.055anyloginterfacef0/0ipaccess-group111in流入流量过滤：过滤掉源地址IP不是公网IP的数据包；流出流量过滤：只允许源地址IP地址是公司内部合法IP的数据包被转发出去。关闭掉路由器的一些不需要的服务，如：nocdprun,nocdpenable,noservicetcp-small-servers,noserviceudp-small-servers,noipfinger,noservicefinger,noipbootpserver,noipsource-route,noipproxy-arp,noipdirected-broadcast,noipdomain-lookup等。存在类似如下配置：ipaccess-listextended111denyipx.x.x.055anyloginterfacef0/0ipaccess-group111in路由器一些不需要的服务都关闭。c）控制远程拨号用户对受控系统的资源访问；检查：输入命令showrunning-config检查配置文件中是否有类似如下VPN相关配置项：cryptoisakmppolicy10hashmd5authenticationpre-sharecryptoisakmpkeyciscoaddressaccess-list100permittcphosthostcryptoipsectransform-settestah-md5-hmacesp-descryptomaptestmap10ipsec-isakmpsetpeersettracsform-settestmatchaddress100VPN和远程用户访问受控资源需经过认证，彳置：cryptoisakmppolicy10hashmd5authenticationpre-sharecryptoisakmpkeyciscoaddress10.0.0.access-list100permittcphost1.1.1.cryptoipsectransform-settestah-md5-cryptomaptestmap10ipsec-isakmpsetpeersettracsform-settestmatchaddress100d）限制具有拨号访问权限的用户数量。检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：encapsulationppppppauthenticationchapdialermapipnamerouterbroadcast7782001pppmultilinkdialeridle-timeout30dialerload-threshold128限制VPN和远程拨号用户的数量，存在类似:encapsulationppppppauthenticationchapdialermapipnamerouterbipppmultilinkdialeridle-timeout30dialerload-threshold128第21页共60页

测评项检查方法预期结果a）登录用户身份鉴别；检查：输入命令showrunning-config1)查看配置文件，是否存在类似如下登录口令设置：linevty04loginpassword******2)使用enablesecret命令为特权用户设置口令，如：enblesecret******3)如果设备启用了AAA认证，查看配置文件中是否存在类似如下配置项：aaanew-modeltacacs-serverhostsigle-connecting或radius-serverhostsigle-connectingradius-serverkeysharedllivevty04aaaauthorizationlogin存在类似如下配置：linevty04loginpassword******linecon0loginpasswrod******enblesecret******aaanew-modeltacacs-serverhostsigle-c(或radius-serverhostsigle-c(radius-serverkeysharedllivevty04aaaauthorizationloginb）登录地址限制；检查：输入命令showrunning-config查看配置文件里是否存在类似如下配置项：access-list3permitx.x.x.xlinevty04access-class3in存在类似如下配置：access-list3permitx.x.x.xlinevty04access-class3inc）用户标识唯一；检查：输入命令showrunning-config检查配置文件是否存在类似如下配置项：usernameadminprivilege10passwordadminusernameuserprivilege1passworduser存在类似如下配置：usernameadminprivilege10passworda(usernameuserprivilege1passworduse]d）身份鉴别信息复杂；访谈：询问网络管理员使用口令的组成、长度和更改周期等。检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：servicepassword-encryption口令组成满足复杂性和长度要求并定期更新，配置：servicepassword-encryptione）具有登录失败处理功能；检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：linevty04exec-timeout50lineaux0exec-timeout50linecon0exec-timeout50存在类似如下配置：linevty04exec-timeout50linecon0exec-timeout50f）安全的远程管理方法；访谈：询问是否采用安全的远程管理方法。检查：输入命令showrunning-config查看配置文件中是否存在类似如下配置项：ipsshauthentication-reties3linevty04transportinputssh使用SSH或SSL等安全的远程管理方法，存;ipsshauthentication-reties3linevty04transportinputssha）提供本地数据备份与恢复；访谈：访谈设备配置文件备份策略。检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：ipftpusernamexxxipftppasswordxxx存在类似如下配置：ipftpusernamexxxipftppasswordxxx第22页共60页

测评项检查方法预期结果b）冗余的网络拓扑结构；检查：查看网络拓扑结构，看是否采用了冗余技术来避免关键节点存在单点故障。拓扑结构冗余。c）提供硬件冗余。检查：查看主要路由器是否有硬件冗余。设备硬件冗余。交换机安全测评华为交换机安全测评测评项检查方法预期结果a）对网络设备进行日志记录；检查：输入命令displaycurrent-configuration检查配置文件中是否存在类似如下配置项：logging-hostx.x.x.x存在类似如下配置：logging-hostx.x.x.xb）审计记录内容检查：查看是否启用了审计功能日志记录包含时间、事件等内容。1a）启用访问控制功能；检查：检查网络拓扑结构和相关交换机配置，查看是否在交换机上启用了访问控制功能。输入命令displaycurrent-configuration检查配置文件中是否存在以下类似配置项：aclnametestbasicrule1denysourcex.x.x.x存在类似如下配置：aclnametestbasicrule1denysourcex.x.x.xb）限制网络最大流量数；访谈：询问网络管理员，根据网络现状是否需要限制网络最大流量。有专用的带宽管理设备来实现网络流量的控配置a）登录用户身份鉴别；检查：输入命令displaycurrent-configuration1)查看配置文件，是否存在类似如下登录口令设置：user-interfacevty04userprivilegelevel3setauthenticationpasswordciper******2)如果设备启用了AAA认证，查看配置文件中是否存在类似如下配置项：radiusschemeradius1primaryauthenticationprimaryaccounting存在类似如下配置：user-interfacevty04userprivilegelevel3setauthenticationpasswordciper*radiusschemeradius1primaryauthenticationprimaryaccountingb）登录地址限制；检查：输入命令displaycurrent-configuration查看配置文件里是否存在类似如下配置项：user-interfacevty04acl2000inbound存在类似如卜配置：user-interfacevty04acl2000inboundc）用户标识唯一；检查：输入命令displaycurrent-configuration检查配置文件是否存在类似如下配置项：local-useruser1passwordcipherO'WE!$@JG]OQ="Q'MAF4<1!!level1local-useruser2passwordcipherO、WE!$@JG]OQ=，、MAF4<1!!存在类似如下配置：local-useruser1passwordcipherO'WE!$@JG]OQ="Q'MAF4<level1local-useruser2passwordcipherO'WE!$@JG]OQ="Q'MAF4<level3第23页共60页

测评项检查方法预期结果level3d）身份鉴别信息复杂；访谈：询问网络管理员使用口令的组成、长度和更改周期等。检查：输入命令displaycurrent-configuration检查配置文件中是否存在类似如下配置项：passwordcipherWE!$@JG]OQ="Q'MAF4<1!!口令组成满足复杂性和长度要求并定期更新密码密文显示，举例如下：passwordcipherWE!$@JG]OQ="Q'MAF4<1!!e）具有登录失败处理功能；检查：输入命令displaycurrent-configuration检查配置文件中是否存在类似如下配置项：user-interfacevty04idle-timeout50存在类似如下配置：user-interfacevty04idle-timeout50f）安全的远程管理方法；访谈：询问是否采用安全的远程管理方法。检查：输入命令displaycurrent-configuration查看配置文件中是否存在类似如下配置项：user-interfacevty04protocolinboundssh使用SSH或SSL等安全的远程管理方法，存彳user-interfacevty04protocolinboundssha）提供本地数据备份与恢复；访谈：访谈设备配置文件备份策略。检查：是否定期备份配置文件和设备软件。定期备份配置文件和设备软件。b）冗余的网络拓扑结构；检查：查看网络拓扑结构，看是否采用了冗余技术来避免关键节点存在单点故障。拓扑结构冗余。c）提供硬件冗余。检查：查看主要交换机是否有硬件冗余。设备硬件冗余。思科交换机安全测评测评项检查方法预期结果-a）对网络设备进行日志记录；检查：输入命令showrunning检查配置文件中是否存在类似如下配置项：access-list100denyip.0.0.255anylogloggingtrapdebuggingloggingX.X.X.Xloggingon存在类似如下配置：loggingtrapdebuggingloggingX.X.X.Xloggingonb）审计记录内容检查：查看是否启用了审计功能生成日志记录的报表。1a）启用访问控制功能；检查：检查网络拓扑结构和相关交换机配置，查看是否在交换机上启用了访问控制功能。输入命令showrunning-config检查配置文件中是否存在以下类似配置项：ipaccess-listextended111denyipx.x.x.055anylog存在类似如下配置：ipaccess-listextended111denyipx.x.x.055anylog第24页共60页

测评项检查方法预期结果b）限制网络最大流量数；访谈：询问网络管理员，根据网络现状是否需要限制网络最大流量。有专用的带宽管理设备来实现网络流量的控配置a）登录用户身份鉴别；检查：输入命令showrunning-config1）查看配置文件，是否存在类似如下登录口令设置：linevty04loginpassword******linecon0loginpasswrod******2）使用enablesecret命令为特权用户设置口令，如：enblesecret******3）如果设备启用了AAA认证，查看配置文件中是否存在类似如下配置项：aaanew-modeltacacs-serverhostsigle-connecting或radius-serverhostsigle-connectingradius-serverkeysharedllivevty04aaaauthorizationlogin存在类似如下配置：linevty04loginpassword******linecon0loginpasswrod******enblesecret******aaanew-modeltacacs-serverhostsigle-c或radius-serverhostsigle-cradius-serverkeysharedllivevty04aaaauthorizationloginb）登录地址限制；检查：输入命令showrunning-config查看配置文件里是否存在类似如下配置项：access-list3permitx.x.x.xlinevty04access-class3in存在类似如下配置：access-list3permitx.x.x.xlinevty04access-class3inc）用户标识唯一；检查：输入命令showrunning-config检查配置文件是否存在类似如下配置项：usernameadminprivilege10passwordadminusernameuserprivilege1passworduser存在类似如下配置：usernameadminprivilege10passwordausernameuserprivilege1passwordused）身份鉴别信息复杂；访谈：询问网络管理员使用口令的组成、长度和更改周期等。检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：servicepassword-encryption口令组成满足复杂性和长度要求并定期更新配置：servicepassword-encryptione）具有登录失败处理功能；检查：输入命令showrunning-config检查配置文件中是否存在类似如下配置项：linevty04exec-timeout50linecon0exec-timeout50存在类似如下配置：linevty04exec-timeout50linecon0exec-timeout50f）安全的远程管理方法；访谈：询问是否采用安全的远程管理方法。检查：输入命令showrunning-config查看配置文件中是否存在类似如下配置项：ipsshauthentication-reties3linevty04transportinputssh使用SSH或SSL等安全的远程管理方法，存彳ipsshauthentication-reties3linevty04transportinputssha）提供本地数据备份与恢复；访谈：访谈设备配置文件备份策略。检查：是否定期备份配置文件和设备软件。定期备份配置文件和设备软件。第25页共60页

测评项检查方法预期结果b）冗余的网络拓扑结构；检查：查看网络拓扑结构，看是否采用了冗余技术来避免关键节点存在单点故障。拓扑结构冗余。c）提供硬件冗余。检查：查看主要交换机是否有硬件冗余。设备硬件冗余。防火墙安全测评PIX防火墙安全测评测评项检查方法预期结果•a）对网络设备进行日志记录；检查：输入命令showrunning检查配置文件中是否存在类似如下配置项：loggingenableloggingtrapxxxlogginghostx.x.x.x存在类似如下配置：loggingenableloggingtrapxxxlogginghostx.x.x.xb）分析记录数据；检查：检查日志记录内容。日志记录包含时间、事件等内容。a）启用访问控制功能；检查：检查网络拓扑结构和防火墙配置，查看是否在防火墙上启用了访问控制功能。输入命令showrunning-config检查配置文件中是否存在以下类似配置项：access-list115denytcpanyanyeq135access-list115denyudpanyanyeq135存在类似如卜配置：access-list115denytcpanyanyeq13access-list115denyudpanyanyeq13b）提供访问控制能力；检查：登录到防火墙上，查看相关访问控制策略，分析其可用性和有效性。防火墙配置了合理的访问控制策略。c）用户对受控系统资源访问控制；检查：是否有远程VPN访问用户，远程用户访问收控资源有无控制对远程VPN访问用户限制了访问范围，如：access-list110permitip25d）限制具有拨号访问权限的用户数量。检查：当有远程VPN访问用户时，限制可访问的用户数量。存在类似如卜配置：vpngrouptestvpn-simultaneous-loginsa）登录用户身份鉴别；检查：输入命令showrunning-config检查配置文件中是否存在以下类似配置项：usernameciscopassword******或aaa-server3araduisaaa-server3ahostx.x.x.xcisco存在类似如下配置：usernameciscopassword******或aaa-server3araduisaaa-server3ahostx.x.x.xciscob）登录地址限制；检查：输入命令showrunning-config检查配置文件中是否存在以下类似配置项：telnetx.x.x.xx.x.x.xinside存在类似如卜配置：telnetx.x.x.xx.x.x.xinside第26页共60页

测评项检查方法预期结果c）用户标识唯一；检查：输入命令showrunning-config检查配置文件中是否存在以下类似配置项：usernameciscopassword******usernamepixpassword******帐号专用，不存在混用现象，存在类似如下usernameciscopassword******usernamepixpassword******d）身份鉴别信息复杂；访谈：询问管理员对身份鉴别所采取的具体措施，使用口令的长度以及复杂度等。口令满足复杂性和长度要求，并定期修改。e）具有登录失败处理功能；检查：输入命令showrunning-config检查配置文件中是否存在以下类似配置项：telnettimeout10sshtimeout10存在类似如下配置：telnettimeout10sshtimeout10f）安全的远程管理方法；检查：输入命令showrunning-config检查配置文件中是否存在以下类似配置项：sshx.x.x.xx.x.x.xoutside不使用Telnet，使用SSH进行远程管理，存彳sshx.x.x.xx.x.x.xoutsidea）提供本地数据备份与恢复；访谈：访谈设备配置文件备份策略。检查：是否定期备份配置文件和设备软件，是否有异地备份机制。定期备份配置文件和设备软件。b）冗余的网络拓扑结构；检查：查看网络拓扑结构，判断是否采用了冗余技术设计网络拓扑结构。拓扑结构冗余。c）提供硬件冗余。检查：查看防火墙是否有硬件冗余来保证系统的高可用性。设备硬件冗余。天融信防火墙安全测评测评项检查方法预期结果a）对网络设备进行日志记录；检查：在日志与报警＞＞日志设置界面，查看是否配置了正确的日志记录项信息。在日志与报警＞＞日志设置界面，配置了正确白息。b）审计记录包括：时间、用户、类型、是否成功等；检查：在日志服务器上，在功能＞＞日志查询界面并打开“审计域”页签，根据IP地址选择防火墙并对该防火墙的日志进行查看和审计。在功能＞＞日志查询界面的“审计域”页签，彳择防火墙并对该防火墙的日志进行查看和审十a）启用访问控制功能；检查：查看网络拓扑结构，判断是否在网络边界处部署了防火墙等访问控制设备，若果部署了防火墙，则登录到设备上，在防火墙》访问控制界面，查看是否配置了访问控制策略并启用。在防火墙＞＞访问控制界面，配置了访问控制£b）提供访问控制能力；检查：登录到防火墙上，在防火墙与访问控制界面，查看相关访问控制策略，分析其可用性和有效性。在防火墙＞＞访问控制界面，存在合理的访问才第27页共60页

测评项检查方法预期结果c）用户对受控系统资源访问控制；检查：1、在防火墙＞＞访问控制界面，查看是否存在相应的访问控制规则；2、在系统管理＞＞配置界面，激活“开放服务”页签，查看是否配置了用户主机地址和所属区域资源的对应关系。1、在防火墙》访问控制界面，存在相应的访2、在系统管理》配置界面的“开放服务”页主机地址和所属区域资源的对应关系。d）限制具有拨号访问权限的用户数量。检查：通过查看防火墙的license，查看限制的VRC用户数量。防火墙的license限制了VRC用户数量。a）登录用户身份鉴别；检查：通过WEB,、console口命令行方式、SSH方式登录防火墙，测试用户的身份鉴别功能。登录设备需要用户身份验证。b）登录地址限制；检查：在系统管理》配置界面，激活“开放服务”页签，查看是否存在对管理员地址的限制条件。在系统管理》配置界面的“开放服务”页签，址的限制条件。c）用户标识唯一；检查：检查防火墙管理员帐户，看是否存在多人共用帐户的情况。不存在多人共用一个帐户的情况。d）身份鉴别信息复杂；访谈：询问管理员对身份鉴别所采取的具体措施，使用口令的长度以及复杂度等。口令满足复杂性和长度要求，并定期修改。e）具有登录失败处理功能；检查：在系统管理》配置界面，激活“系统参数”页签，勾选“高级属性”复选框，检查认证参数配置是否合理。在系统管理》配置界面的“系统参数”页签，复选框，配置了合理的认证参数和登录失败攵f）安全的远程管理方法；访谈：询问如何进行安全的远程管理。使用了SSH和SSL等安全的远程管理方法。a）提供本地数据备份与恢复；检查：在系统管理＞＞维护界面，分别查看“配置维护”、“备份和恢复”等页签下的配置，是否对防火墙数据的备份和恢复做了相应配置。在系统管理＞＞维护界面，分别查看“配置维士复”等页签下的配置，对防火墙数据的备份和置。b）冗余的网络拓扑结构；检查：查看网络拓扑结构，判断是否采用了冗余技术设计网络拓扑结构。拓扑结构冗余。c）提供硬件冗余。检查：查看防火墙是否有硬件冗余来保证系统的高可用性。设备硬件冗余。华为防火墙安全测评测评项检查方法预期结果a）对网络设备进行日志记录；检查：输入命令displayinfo-center检查配置文件中是否存在类似如下配置项：InformationCenter:eabled配置文件中是否存在类似如下配置项：InformationCenter:eabledb）审计记录包括：时间、用户、类型、是否成功等；检查：检查日志记录内容。日志记录包含时间、事件等内容。第28页共60页

测评项检查方法预期结果a）启用访问控制功能；检查：查看网络拓扑结构，判断是否在网络边界处部署了防火墙等访问控制设备，若果部署了防火墙，则登录到设备上，在防火墙＞＞ACL界面，查看是否配置了访问控制策略并启用。在防火墙》ACL界面，配置了访问控制策略并b）提供访问控制能力；检查：登录到防火墙上，在防火墙〉ACL界面，查看相关访问控制策略，分析其可用性和有效性。在防火墙〉ACL界面，存在合理的访问控制策c）用户对受控系统资源访问控制；检查：1、在防火墙＞乂必界面，查看是否存在相应的访问控制规则；1、在防火墙》访问控制界面，存在相应的访d）限制具有拨号访问权限的用户数量。检查：有远程VPN访问用户时，限制可访问的用户数量。。防火墙限制了VPN用户数量。a）登录用户身份鉴别；检查：通过3£8方式、console口命令行方式、SSH方式登录防火墙，测试用户的身份鉴别功能。登录设备需要用户身份验证。b）登录地址限制；检查：防火墙》ACL界面，查看是否存在对管理员地址的限制条件。在防火墙〉ACL界面，存在对管理员地址的限c）用户标识唯一；检查：检查防火墙管理员帐户，看是否存在多人共用帐户的情况。不存在多人共用一个帐户的情况。d）身份鉴别信息复杂；访谈：询问管理员对身份鉴别所采取的具体措施，使用口令的长度以及复杂度等。口令满足复杂性和长度要求，并定期修改。e）具有登录失败处理功能；检查：在系统管理》用户配置界面，检查认证参数配置是否合理。在系统管理》用户配置界面，配置了合理的t败处理功能。f）安全的远程管理方法；访谈：询问如何进行安全的远程管理。使用了SSH和SSL等安全的远程管理方法。a）提供本地数据备份与恢复；检查：在系统管理》配置下载、配置上传界面，分别查看“配置维护”、“备份和恢复”等页签下的配置，是否对防火墙数据的备份和恢复做了相应配置。在系统管理》配置下载、配置上传界面，分别“备份和恢复”等页签下的配置，对防火墙,做了相应配置。b）冗余的网络拓扑结构；检查：查看网络拓扑结构，判断是否采用了冗余技术设计网络拓扑结构。拓扑结构冗余。c）提供硬件冗余。检查：查看防火墙是否有硬件冗余来保证系统的高可用性。设备硬件冗余。远程拨号服务器安全测评测评项检查方法预期结果测评项检查方法预期结果第29页共60页测评项检查方法预期结果a）对网络设备进行日志记录；访谈：是否对拨号服务器的日志进行记录。对拨号服务器的日志进行记录。b）审计记录内容检查：查看记录内容。对日志的时间、用户、类型、是否成功等内1a）启用访问控制功能；检查：检查拨号服务器配置，看是否启用了访问控制功能。对远程拨号访问的用户提供了访问控制。b）提供访问控制能力；检查：检查访问控制是否合理。存在合理的访问控制策略。a）登录用户身