信息系统安全等级保护基本要求.docx

信息系统安全等级保护基本要求一、技术要求标记说明：保护数据在存砧、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S)：保护系统连续正常的运行,免受对系统的未授权脩改,破炼而导致系统不可用的服务保证类要求(而记为A)：通用安全保护类要求(筒记为G若本要求第TR第二级第三级第四级物理安全物理位的逸界(G)/a)机房和办公场地应选择在具“防震、防风和防雨等能力的建筑内a)b)机房场地应避免设在建筑物的面层或地下室,以及用水设备的下层或隔壁a)b)物理访问控制(G)a)机房出入应安排专人负责,控制、睡别和记录进入的人员a)b)需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围a)b)C)应对机房划分区域进行管理,区域和区域之间设置物理隔离装置，在家要区域前设置交付或安装等过渡区域：d)里要区域应配置电子门禁系统，控制、整别和记录进入的人员a)机房出入门应安排专人值守IHE量电子门禁系统控制、鉴别和记录进入的人员b)c)山山；IeMSnEjt第二道电子11Mtt控制、鉴别和记录进入的人员防盗窃和防破坏(G)a)应将主要设备放置在机厉内：b)应将设法或主要部件进行固定,并设置明U的不易除去的标记a)b)C)应将通信线缆铺设在陷敲处，可铺设在地下或管道中：d)应耐介质分类标识，存储在介质库或档案室中：c)主机房应安装必要的防盗报警设施3)b)C)d)e)应利用光、电等技术设机房防盗报警系统：O应对机房设置监控报警系统防击()a)机房建筑应设附避雷装置a)b)机房应设置交流电双地线O应设置防缶保安器，防止延应汾防火()a)机房应设置火火设备a)机房应设置火灾自动报警系统3)机房应设置火灾自动消防系统.能自动检I1.火情、自动报警，并自动灭火：b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;0机房应采取区域隔离防火措施,将重要设符与其他设务隔离开a>b1.C)防水和防潮(G)3应对穿过机房墙壁和楼板的水管增加必要的保护措施：b)应采取措施防止加水通过机房窗户、屋顶和墙壁海透H)水管安装，不得穿过机房屋顶和活动地板下1»O应采取措施防止机房内水蒸气结露和地下枳水的转移与港透3)b)C)d)应安装对水敏潴的检泅仪表或元件，对机房进行防水检测和报警a)b)c)d)防电(G)/a)关键设招应采用必要的接地防静电措施a)主要瓷备应采用必要的接地防静电措施；b)机房应采用防静电地板a)b)G应采用静电消除器等装置.减少静电的产生程度控岬G)机房应设置必要的温、湿度控用设施，使机房温、湿度的变化在设备运行所允许的范围之内机房应设置温、观度自动调节设IT使机房温、湿度的变化在设备运行所允许的范围之内机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内机房应设置海、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内电力供应2a)应在机房供电线路上配置稳压SR和过电压防妒设备a)b)应提供短期的备用电力供应，至少满足关键设翁在断电情况下的正常运行要求3)b)应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常1运行要求：C)J设置冗余或并行的电力电缆线路为计算机系姣供电:a)b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求c)Sd）应建立备用供电系统电时IS）/b）电源线和通信线缆应Ri离铺设,避免互相干扰a）应采用接地方式防止外界电4干扰和设备寄生耦介干扰：b）O应对关键设备和磁介质实施电磁屏蔽a）b）C）应对关建区域实施电会解蔽网络安全结构安全心3）应保证关健网络设备的业务处理能力满足基本业务需要：b）应保证接入网络和核心网络的带宽满足基本业务需要：d）应绘制与当前运行情笈相符的网络拓扑结构图a）应保证关键网络设备的业务处理能力具备冗余空间，潮足业务高峰期需要：b）应保证接入网络和核心网络的带我潴足业务育峰期需要：d）e）应根据各部门的工作职能、取要性和所涉及信息的重要程度等因素，划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段a）应保证主要网络设备的业务处理能力具备冗余空间,泄足业务高峰期需要：b）应保证网络各个部分的带窗满足业务高峥期需要；C）应在业务终端与业务服务器之间进行路由控制建立安全的访问路径d）C）f）应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间栗取可靠的技术隔离手段：g）应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机a）应保U网络设务的义务处理能力具备冗余空间，满足业务高嶂期需要b）C）<1）e）Dg）访问控制（G）3>应在网络边界部署访问控制设的,启用访问控制功能：b）应根据访问控制列表对源地址、目的地址、源端k目的端口和协议等进行检自，以允许格绝数据包出入：g）应通过访问控制列表对系统资源实现允许或拒绝用户访问，控制赖度至少为用户用3）b）N能根据会话状剧I息为敷据流提供明硝的允许度笫访问的能力，控制粒度为何段级g）应按用户和系筑之同的允许访问版则，决定允许或拒绝用户对受控系统进行贵源访忖，控M粒度为单个用户：h）应限制具有拨号访问权限的a）b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为Mf1.t:0应对进出网络的信息内容进行过螃,实现对应用层HTTP、FTP、TE1.NET、SMTP、POP3等协R命令级的控制：（I）应在会话处于非活跃一定时a）b）应不允许致带电用悔议J1.过：0应根据数据的轴雄标记允许或拒给数据通过：h）应不开放远程拨号访忖功能用户数砒间或会话结束后终止回络连接；e)应限制网络业大流量数及网络连接数:O重要网段应采取技术手段防止地址欺脏g)h)安全审计(G)/a)应对忖络系统中的网络设备运行状况、网络流S1.用户行为等进行口志记录；b)审计记录应包括四件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的伯纪3)b)C)应能够根据记录数据进行分析，并生成审计报表：(1)应对审计记录进行保护，溺免受到未预期的明除、慵改如题英等a)b)c)d)C)应定义审计跟踪极限的周值,当存储空间接近极限时,能采取必要的措施,当存储空间被耗尽时,终止可审计事件的发生：11应根提:信息系统的统一安全策略,实现柒中审计,时钟保持与时钟服务器同步边界完整性检杳(三)/b)应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检交a)应能够对非授权设备私自联到内部网络的行为进行检杳,准确定出位置,并对其进行有效阻断：b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位，并对其进行有效阻断a)b)入侵防范(G)/a)应在网络边界处监视以下攻击行为：端口扫描、演力攻击、木马后门攻击、拒绝眼务攻击、援冲区滥出攻击、IP碎片攻击和网络结虫攻击等a)b)当检测到攻击行为时,记录攻击海IP、攻击类型、攻击目的、攻击时间,在发生严里入侵"件时应提供报警a)b)当检测到攻击行为时.应记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵”件时应提供报警及自动采取相应动作MKWM(G)/a)应在网络边界处对恶意代码进行检测和清除：b)应维护题息代码库的升级和检测系统的更新a)b)网络设备防护(G)a)应对登录网络设品的用户进行身份鉴别:f)应具有登录失败处理功能.可采取结束会话、限制非法登录次数和当网络登录连接制时自动退出等措施；g)当对网络设符进行远程管理时,应采取必要措施防止鉴别信息在网络传给过程中被窃听3)b)应时网络设得的管理员登录地址进行限制;O网络设备用户的标识应唯一；d)0身份鉴别信总应具有不易被冒用的特点,口令应有女杂度要求并定期更换：Da)b)C)d)主要网络设备应对同一用户选择两种或两种以上组合的签别技术来进行身份塞别c)Dg)h)应实现设替特权用户的权限分离a)b)c)d)c)Og)h)i)网络设务用户的身份鉴别信息至少应有-种是不可伪造的主机安全身份婺别IS)a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别a)b)操作系统和数刖除系统管理用户身份标识应具有不动被甘用的特点，口令应有复杂度要求并定期更换；C)应启用登录失败处理功能.可采取结束会话、限制非法置录次数和自动退出等措施：d)当时服务器进行远程管理时,应采取必要措施，防止签别信息在网络传输过程中被窃所：0应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有瞰一性a)b)c)d)C)D应采用两种或两种以上殂合的鉴别技术对管理用户迸行身份鉴别a)b)c)d)c)D应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别并且身份整别信息至少有一种是不可伪造的g)应设徨鉴别警示信息，描述未授权访问可能导致的后果/应对所有主体和客体设制敏缮标记访问控制总)a)应启用访问控制功能,依据a)a)安全策略控制用户对资源的访何；d)应限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认门令：O应及时删除多余的、过期的帐户，避免共享帐户的存在b)应实现操作系统和数据原系统特权用户的权限分离d)e)b)应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限C)O应对审要信息费源设置敏超标记：g)应依据安全策略严格控制用户对有敬感标记垂要信息资源的掾作和客体设J1.的敏感标记控相主体对客体的访问；b)C)d)h)访问控制的粒度应达到主体为用户锻或进程Ab客体为文件、数据京表、记录和字段锻可信路径IS)/a)在系统对用户迸行身份鉴别时,系统与用户之间应能够建i,条安全的信息传拓路径。b)在用户对系统进行访问时，系统与用户之间应能修建立一条安全的信息传ft路径安全审计(G)/a)审计苑用应厦维到服务上的每个操作系统用户和数据库用户：b)审计内容应包括包要用户行为、系统资源的#常使用利五要系统命令的使用等系统内重要的安全相关事件：C)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；f)应保护审计记录，避免受到未模期的驯除、修改或覆盅等a)审计范用陶覆盅到服务器和夫客户卜.的林个操作系统用户和数据阵用户b)c)d)应能终根据记录数据进行分折，并生成审计报总C)应保护审计进程.避免受到未预期的中断D3)b)C)<1)C)Dg)应能幡根据信息系统的统一安全策略,实现集中审计剜余信息保护IS)/a)应保证悚作系统和数据席系统用户的筌别信息所在的存储空间,被择放或再分配给其他用户前得到完全消除.无论这些伯