《第四节第五节信息系统安全等级保护要求信息系统安全风险评估》由会员分享，可在线阅读，更多相关《第四节第五节信息系统安全等级保护要求信息系统安全风险评估（25页珍藏版）》请在金锄头文库上搜索。
1、信息系统安全等级保护基本要求福建省公安厅公共信息网络安全监察总队康仲生.主要1作用基本要求对等级保护工作中的安全控制选择、使用对象不同，其主要作用分为三种：调整、实施等提出规范性要求，根据为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，基本要求为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。为测评机构提供评估依据基本要求为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。为职能监管部门提供监督检查依据基本要求为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家
2、要求进行了基本的保护。技.术2标准和管理规范的作用是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态；更加贴切的保护可以通过需是每个级别信息系统进行安全保护工作的一个基本出发点，求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现；基璋頁求补充的安全措趟rElr8a91999養圾別射基本裏求等级保护其他祈准安全万面福矣棉率框2架结构基本要求在整体框架结构上以三种分类为支撑点，自上而下分别为：类、控制点和项。其中，类表
3、示：基本要求在整体上大的分类，其中技术部分分为：物理安全、网络5大类,管理部分分为:安全管理制度、5大类,一共分为10大类。如物理安全大类中的“物理访问控制”作为一个控制安全、主机安全、应用安全和数据安全及备份恢复等安全管理机构、人员安全管理、系统建设管理和系统运行管理等控制点表示每个大类下的关键控制点，点。而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。”结.构1.基2本要求安全要求的分类安全要求从整体上分为技术和管理两大类，其中,技术类安全要求按其保护的侧重点不同，将其下的控制点分为三类：信息安全类（S类）-关注的是保护数据在存储、传输、处理过程中不被
4、泄漏、破坏和免受未授权的修改。如:自主访问控制，该控制点主要关注的是防止未授权的访问系统，进而造成数据的修改或泄漏。至于对保证业务的正常连续运行并没有直接的影响。服务保证皿AM关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用。如:数据的备份和恢复，该控制点很好的体现了对业务正常运行的保护。如通过对数据进行备份,在发生安全事件后能够及时的进行恢复，从而保证了业务的正常运行。通用安全保护类（GM既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。大多数技术类安全要求都属于此类，保护的重点既是为了保证业务能够正常运行，同时数据要安全。如:物理访问控制，该控制点主
5、要是防止非授权人员物理访问系统主要工作环境，由于进入工作环境可能导致的后果既可能包括系统无法正常运行（如，损坏某台重要服务器），也可能窃取某些重要数据。因此，它保护的重点二者兼而有之。.基2本要求安全要求的分类安全要求从整体上分为技术和管理两大类，其中,技术类安全要求按其保护的侧重点不同，将其下的控制点分为三类：信息安全类（S类）-关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改。如:自主访问控制，该控制点主要关注的是防止未授权的访问系统，进而造成数据的修改或泄漏。至于对保证业务的正常连续运行并没有直接的影响。服务保证皿AM关注的是保护系统连续正常的运行，避免因对系统的
6、未授权修改、破坏而导致系统不可用。如:数据的备份和恢复，该控制点很好的体现了对业务正常运行的保护。务的正常运行。如通过对数据进行备份,在发生安全事件后能够及时的进行恢复，通用安全保护类（GM既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。大多数技术类安全要求都属于此类，保护的重点既是为了保证业务能够正常运行，同时数据要安全。如:物理访问控制，该控制点主要是防止非授权人员物理访问系统主要工作环境，由于进入工作环境可能导致的后果既可能包括系统无法正常运行（如，从而保证了业损坏某台重要服务器），也可能窃取某些重要数据。因此，它保护的重点二者兼而有之。技术安全要求按其保护的侧重点不同分为S
7、、A、G三类，如果从另外一个角度考虑，根据信息系统安全的整体结构来看，信息系统安全可从五个层面：物理、网络、主机系统、应用系统和数据对系统进行保护，因此，技术类安全要求也相应的分为五个层面上的安全要求：1、物理层面安全要求:主要是从外界环境、基础设施、运行硬件、介质等方面为信息系统的安全运行提供基本的后台支持和保证；2、网络层面安全要求：为信息系统能够在安全的网络环境中运行提供支持，确保网络系统安全运行提供有效的网络服务；3、主机层面安全要求：在物理、网络层面安全的情况下，提供安全的操作系统和安全的数据库管理系统，以实现操作系统和数据库管理系统的安全运行；4、应用层面安全要求：在物理、网络、系
8、统等层面安全的支持下，实现用户安全需求所确定的安全目标；5、数据及备份恢复层面安全要求：全面关注信息系统中存储、传输、处理等过程的数据的安全性。管理类安全要求主要是围绕信息系统整个生命周期全过程而提出的息系统的生命周期主要分为五个阶段：初始阶段、采购段和废弃阶段。管理类安全要求正是针对这五个阶段的不同安全活动提出的，理制度、安全管理机构、人员安全管理、系统建设管理和系统运行管理五个方面。不同级别的信息系统，其应该具备的安全保护能力不同同；安全保护能力不同意味着能够应对的威胁不同，均为/开发阶段、实施阶段、运行维护阶GDOODO分为：安全管，也就是对抗能力和恢复能力不较高级别的系统应该能够应对更
9、多的威应对同一威胁可以有不同强度和数量的措胁；应对威胁将通过技术措施和管理措施来实现，施，较高级别的系统应考虑更为周密的应对措施。主机安全入侵防范：操作系统应遵循最小安装的原则，器等方式保持系统补丁及时得到更新。(G2)仅安装需要的组件和应用程序，并通过设置升级服务主机安全入侵防范：(G3)1、应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；2、应能够对重要的程序完整性进行检测，并在检测到完整性受到破坏后具有恢复的施；3、操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统
10、补丁及时得到更新。网络安全入侵防范：(G3)1、应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；2、当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。网络安全入侵防范：(G4)1、应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；2、当检测到攻击行为时,应记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警及自动采取相应动作。.各级1系统安全保护-物理安全物理安全保护的目
11、的主要是使存放计算机、网络设备的机房以及信息系统的设备和存储数据的介质等免受物理环境、自然灾难以及人为操作失误和恶意操作等各种威胁所产生的攻缺乏物理安全，其他任何安全措施都是毫无意击。物理安全是防护信息系统安全的最底层，义的。设备和介质的防盗窃物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）防破坏等方面。具体包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个控制点。各.2级系统安全保护-网络安全行，提供有效的网络服务，另一方面，确保在网上传输数据的保密性、完整性和可用性等。由于网络环境是抵御外部攻击的第一道防线，
12、因此必须进行各方面的防护。对网络安全的保护，主要关注两个方面：共享和安全。开放的网络环境便利了各种资源之间的流动、共享，但同时也打开了“罪恶”的大门。因此，必须在二者之间寻找恰当的平衡点，使得在尽可能安全的情况下实现最大程度的资源共享，这是我们实现网络安全的理想目标。网络安全为信息系统在网络环境的安全运行提供支持。一方面，确保网络设备的安全运网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等，具体的控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。2.3. 结2.构安1全在对网络安全实现全方位保护之前，首先应关注整个网
13、络的资源分布、架构是否合理。只有结构安全了，才能在其上实现各种技术功能，达到网络安全保护的目的。通常，一个机构是由多个业务部门组成，各部门的地位、重要性不同，部门所要处理的信息重要性也不同，因此，需要对整个网络进行子网划分。该控制点主要从网段划分、资源（带宽、处理能力）保证、优先处理等方面来要求。应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。应保证网络各部分的带宽满足业务高峰期需要。应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。应绘制于当前运行情况相符的网络拓扑结构图，网络拓扑结构的合理性。应根据各部门各系统的重要性，划分不同的子网和网段，应避免将重要网段直接连接
14、外部信息系统，重要网段与其他的网段之间采取可靠的技术隔离手段。应根据业务服务的重要性指定带宽优先权。访2.问2控制对于网络而言，最重要的一道安全防线就是边界，边界上汇聚了所有流经网络的数据流，必须对其进行有效的监视和控制。所谓边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间的连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。有连接，必有数据间的流动，因此在边界处，重要的就是对流经的数据（或者称进出网络）进行严格的访问控制。按照一定的规则允许或拒绝数据的流入、流出。如果说，网络访问控制是从数据的角度对网络中流动的数据进行控制，那么，拨号访问控制则是从用户的角度对远程访问网络的用户进行控制。定的控制规则来允许或拒绝用户的访问对用户的访问控制，同样应按照一应在网络边界部署访问控制设备，启用访问控制功能。应对进出网络的信息内容进行过滤，实现对应用层等协议命令级的控制。应限制网络最大流量数和网络连接数。应在会话处于非活跃一定时间或会话结束后终止网络连接。应不开放远程拔号访问功能。2.3.安2.全3审计HTTP、FTP、TELNET、SMTP、POP3如果将安全审计仅仅理解为“日志记录”功能，那么目前大多数的操作系统、网络设备都有不同程度的日志功能
