《网络安全等级保护2.0-通用要求-表格版》由会员分享，可在线阅读，更多相关《网络安全等级保护2.0-通用要求-表格版（18页珍藏版）》请在金锄头文库上搜索。
1、网络安全级别保护基本规定 第1部分:安全通用规定一、技术规定:基本规定第一级第二级第三级第四级物理和环境安全物理位置的选择/a)机房场地应选择在具有防震、防风和防雨等能力的建筑内;b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施a);b) ;） ;);物理访问控制a)机房出入口应安排专人值守或配备电子门禁系统，控制、鉴别和记录进入的人员a)a) 机房出入口应配备电子门禁系统,控制、鉴别和记录进入的人员a) ;b) 重要区域应配备第二道电子门禁系统，控制、鉴别和记录进入的人员防盗窃和防破坏a)应将机房设备或重要部件进行固定,并设立明显的不易除去的标记a)；b）应将通信线缆铺设
2、在隐蔽处,可铺设在地下或管道中。a);）；c）应设立机房防盗报警系统或设立有专人值守的视频监控系统a);b） ;） ；防雷击a)应将各类机柜、设施和设备等通过接地系统安全接地a) );)应采用措施避免感应雷,例如设立防雷保安器或过压保护装置等a）;b);防火a)机房应设立灭火设备)机房应设立火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；)机房及有关的工作房间和辅助房应采用品有耐火级别的建筑材料a);）;c)应对机房划分区域进行管理,区域和区域之间设立隔离防火措施。a) ;b)；c） ；防水和防潮a)应采用措施避免雨水通过机房窗户、屋顶和墙壁渗入);b)应采用措施避免机房内水蒸气结露
3、和地下积水的转移与渗入a);b);)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。a) ;b);c） ;防静电/a) 应安装防静电地板并采用必要的接地防静电措施a);b)应采用措施避免静电的产生，例如采用静电消除器、佩戴防静电手环等。a) ；b) ;温湿度控制a）机房应设立必要的温、湿度控制设施,使机房温、湿度的变化在设备运营所容许的范畴之内a） 机房应设立温湿度自动调节设施，使机房温湿度的变化在设备运营所容许的范畴之内a) ; a） ；电力供应a)应在机房供电线路上配备稳压器和过电压防护设备a)；)应提供短期的备用电力供应，至少满足设备在断电状况下的正常运营规定)；b)；)应设立
4、冗余或并行的电力电缆线路为计算机系统供电。a)；)；)；d)应提供应急供电设施。电磁防护/a) 电源线和通信线缆应隔离铺设，避免互相干扰a);b)应对核心设备实行电磁屏蔽。);b)应对核心设备或核心区域实行电磁屏蔽。网络和通信安全网络架构a)应保证网络设备的业务解决能力满足基本业务需要;b)应保证接入网络和核心网络的带宽满足基本业务需要。a）应保证网络设备的业务解决能力满足业务高峰期需要；b)应保证接入网络和核心网络的带宽满足业务高峰期需要;)应划分不同的网络区域，并按照以便管理和控制的原则为各网络区域分派地址;d)应避免将重要网络区域部署在网络边界处且没有边界防护措施。);b)应保证网络各个
5、部分的带宽满足业务高峰期需要；c);)；)应提供通信线路、核心网络设备的硬件冗余，保证系统的可用性。a）；c）;d);e)；f)应可按照业务服务的重要限度分派带宽，优先保障重要业务。通信传播a) 应采用校验码技术保证通信过程中数据的完整性a)应采用校验码技术或加解密技术保证通信过程中数据的完整性；b）应采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性。a);b)；c)应在通信前基于密码技术对通信的双方进行验证或认证；d）应基于硬件设备对重要通信过程进行加解密运算和密钥管理。边界防护a） 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信a） a）;）应可以对非授权设备
6、擅自联到内部网络的行为进行限制或检查;c)应可以对内部顾客非授权联到外部网络的行为进行限制或检查;d)应限制无线网络的使用，保证无线网络通过受控的边界防护设备接入内部网络。a）;b)应可以对非授权设备擅自联到内部网络的行为进行限制或检查，并对其进行有效阻断；c)应可以对内部顾客非授权联到外部网络的行为进行限制或检查，并对其进行有效阻断;d)；e)应可以对连接到内部网络的设备进行可信验证,保证接入网络的设备真实可信。访问控制)应在网络边界根据访问控制方略设立访问控制规则，默认状况下除容许通信外受控接口回绝所有通信；b)应删除多余或无效的访问控制规则,优化访问控制列表，并保证访问控制规则数量最小化
7、;c）应对源地址、目的地址、源端口、目的端口和合同等进行检查,以容许/回绝数据包进出a)应在网络边界或区域之间根据访问控制方略设立访问控制规则,默认状况下除容许通信外受控接口回绝所有通信;b)；c）;）应能根据会话状态信息为数据流提供明确的容许回绝访问的能力，控制粒度为端口级);b);）；d);e)应在核心网络节点处对进出网络的信息内容进行过滤,实现对内容的访问控制。a);b)；c)应不容许数据带通用合同通过。入侵防备a) 应在核心网络节点处监视网络袭击行为a)应在核心网络节点处检测、避免或限制从外部发起的网络袭击行为;b）应在核心网络节点处检测和限制从内部发起的网络袭击行为；c）应采用技术措
8、施对网络行为进行分析,实现对网络袭击特别是未知的新型网络袭击的检测和分析；）当检测到袭击行为时,记录袭击源P、袭击类型、袭击目的、袭击时间，在发生严重入侵事件时应提供报警a) ;);c) ;d) ； 歹意代码防备/a)应在核心网络节点处对歹意代码进行检测和清除，并维护歹意代码防护机制的升级和更新;)应在核心网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新） ；b);安全审计/a)应在网络边界、重要网络节点进行安全审计，审计覆盖到每个顾客,对重要的顾客行为和重要安全事件进行审计；)审计记录应涉及事件的日期和时间、顾客、事件类型、事件与否成功及其她与审计有关的信息;c）应对审
9、计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。a)；b)；c);d)审计记录产生时的时间应由系统范畴内唯一拟定的时钟产生,以保证审计分析的对的性；e）应能对远程访问的顾客行为、访问互联网的顾客行为等单独进行行为审计和数据分析a） ;b) ;);) ；集中管控/a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控；b)应可以建立一条安全的信息传播途径，对网络中的安全设备或安全组件进行管理；c)应对网络链路、安全设备、网络设备和服务器等的运营状况进行集中监测;d）应对分散在各个设备上的审计数据进行收集汇总和集中分析;e）应对安全方略、歹意代码、补丁升级等安全有关事
10、项进行集中管理;f)应能对网络中发生的各类安全事件进行辨认、报警和分析。a) ;) ;c) ;d) ;e)；) ;设备和计算安全身份鉴别)应对登录的顾客进行身份标记和鉴别，身份标记具有唯一性,身份鉴别信息具有复杂度规定并定期更换;)应具有登录失败解决功能,应配备并启用结束会话、限制非法登录次数和当登录连接超时自动退出等有关措施a)；b);c)当进行远程管理时,应采用必要措施,避免鉴别信息在网络传播过程中被窃听。a);b)；c）;)应采用两种或两种以上组合的鉴别技术对顾客进行身份鉴别。a) ;b） ；） ；d) ;访问控制)应对登录的顾客分派账号和权限；b)应重命名默认账号或修改默认口令;c)应
11、及时删除或停用多余的、过期的账号，避免共享账号的存在a);b);c)；)应授予管理顾客所需的最小权限，实现管理顾客的权限分离a)；b)；c)；d)；e）应由授权主体配备访问控制方略,访问控制方略规定主体对客体的访问规则;f)访问控制的粒度应达到主体为顾客级或进程级,客体为文献、数据库表级；g)应对敏感信息资源设立安全标记,并控制主体对有安全标记信息资源的访问。a);b)；c)；d)；);f)；g)应对所有主体、客体设立安全标记，并根据安全标记和强制访问控制规则拟定主体对客体的访问。安全审计/a)应启用安全审计功能，审计覆盖到每个顾客,对重要的顾客行为和重要安全事件进行审计;）审计记录应涉及事件
12、的日期和时间、顾客、事件类型、事件与否成功及其她与审计有关的信息;)应对审计记录进行保护，定期备份,避免受到未预期的删除、修改或覆盖等。a）;b)；c);d）应对审计进程进行保护,避免未经授权的中断;）审计记录产生时的时间应由系统范畴内唯一拟定的时钟产生，以保证审计分析的对的性a）;)审计记录应涉及事件的日期、时间、类型、主体标记、客体标记和成果等;););e)。入侵防备)系统应遵循最小安装的原则，仅安装需要的组件和应用程序；b)应关闭不需要的系统服务、默认共享和高危端口a)；);c)应通过设定终端接入方式或网络地址范畴对通过网络进行管理的管理终端进行限制；d)应能发现也许存在的漏洞,并在通过
13、充足测试评估后，及时修补漏洞a)。b);c);d）；e)应可以检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。a） ;b） ；c) ;d) ;） ； 歹意代码防备a)应安装防歹意代码软件或配备具有相应功能的软件,并定期进行升级和更新防歹意代码库a) ; a)应采用免受歹意代码袭击的技术措施或采用可信计算技术建立从系统到应用的信任链,实现系统运营过程中重要程序或文献完整性检测,并在检测到破坏后进行恢复。); 资源控制/a) 应限制单个顾客或进程对系统资源的最大使用限度);)应提供重要节点设备的硬件冗余,保证系统的可用性;c）应对重要节点进行监视，涉及监视PU、硬盘、内存等资源的使用状况；d)应可以对重要节点的服务水平减少到预先规定的最小值进行检测和报警。a)；b）;c) ;d) ;应用和数据安全身份鉴别）应对登录的顾客进行身份标记和鉴别，身份标记具有唯一性，鉴别信息具有复杂度规定并定期更换；b）应提供并启用登录失败解决功能,多次登录失败后应采用必要的保护措施a)；b)；c)应强制顾客初次登录时修改初始口令;d）顾客身份鉴别信息丢失或失效时,应采用鉴别信息重置或其她技术措施保证系统安全a)；b)；c);）；)应对同一顾客采用两种或两种以上组合的鉴别技术实现顾客身份鉴别。a);
