<4D F736F F D20CBAEC0FBCDF8C2E7D3EBD0C5CFA2B0B2C8ABCCE5CFB5BDA8C9E8BBF9B1BEBCBCCAF5D2AAC7F DCBCDC9F3B8E52E646F63>

Transcription

1 水 利 网 络 与 信 息 安 全 体 系 建 设 基 本 技 术 要 求 ( 送 审 稿 ) 水 利 部 信 息 化 工 作 领 导 小 组 办 公 室 二 零 一 零 年 三 月

2

3 目 录 1 目 的 与 范 围 目 的 范 围 规 范 性 引 用 文 件 术 语 定 义 和 缩 略 语 总 体 建 设 要 求 总 体 要 求 基 本 框 架 信 息 系 统 安 全 定 级 节 点 建 设 要 求 部 机 关 安 全 系 统 建 设 要 求 省 流 域 级 节 点 安 全 系 统 建 设 要 求 市 级 节 点 安 全 系 统 建 设 要 求 县 级 节 点 安 全 系 统 建 设 要 求 安 全 要 素 建 设 要 求 物 理 安 全 环 境 建 设 要 求 第 二 级 安 全 防 护 物 理 安 全 要 求 第 三 级 安 全 防 护 物 理 安 全 要 求 第 四 级 安 全 防 护 物 理 安 全 要 求 第 二 级 应 用 服 务 区 建 设 要 求 安 全 计 算 环 境 建 设 安 全 区 域 边 界 建 设 安 全 通 信 网 络 建 设 第 三 级 应 用 服 务 区 建 设 要 求 安 全 计 算 环 境 建 设 安 全 区 域 边 界 建 设 安 全 通 信 网 络 建 设 第 四 级 应 用 服 务 区 建 设 要 求 安 全 计 算 环 境 建 设 安 全 区 域 边 界 建 设 安 全 通 信 网 络 建 设 安 全 管 理 区 建 设 要 求 第 二 级 安 全 管 理 中 心 建 设 第 三 级 安 全 管 理 中 心 建 设 第 四 级 安 全 管 理 中 心 建 设 核 心 交 换 区 建 设 要 求 终 端 区 建 设 要 求...49 I

4 4.7.1 第 二 级 终 端 安 全 要 求 第 三 级 终 端 安 全 要 求 第 四 级 终 端 安 全 要 求 公 众 服 务 区 建 设 要 求 部 级 节 点 省 流 域 级 节 点 市 级 节 点 县 级 节 点 安 全 互 联 部 件 建 设 要 求 应 用 安 全 建 设 要 求 第 二 级 应 用 安 全 建 设 第 三 级 应 用 安 全 建 设 第 四 级 应 用 安 全 建 设...57 II

5 1 目 的 与 范 围 1.1 目 的 水 利 信 息 化 发 展 快 速, 信 息 化 基 础 设 施 及 业 务 应 用 逐 步 建 设 并 完 善, 与 此 同 时, 网 络 与 信 息 安 全 体 系 也 逐 步 建 立 和 发 展 但 与 日 益 增 加 的 业 务 应 用 对 安 全 的 需 求 相 比, 水 利 行 业 网 络 与 信 息 安 全 系 统 尚 缺 乏 统 一 的 规 划 安 排 组 织 和 实 施, 现 有 的 安 全 应 用 还 比 较 单 一, 缺 乏 系 统 性 和 整 体 性, 存 在 较 大 安 全 风 险, 远 不 能 达 到 国 家 对 信 息 系 统 安 全 防 护 的 相 关 要 求, 如 不 及 时 解 决 将 严 重 影 响 水 利 信 息 化 的 进 一 步 发 展 中 华 人 民 共 和 国 计 算 机 信 息 系 统 安 全 防 护 条 例 ( 国 务 院 令 第 147 号 ) 明 确 规 定 我 国 计 算 机 信 息 系 统 实 行 安 全 等 级 保 护 依 据 国 务 院 147 号 令 的 要 求 而 制 订 发 布 的 强 制 性 国 家 标 准 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 (GB ) 为 计 算 机 信 息 系 统 安 全 防 护 等 级 的 划 分 奠 定 了 技 术 基 础 国 家 信 息 化 领 导 小 组 关 于 加 强 信 息 安 全 保 障 工 作 的 意 见 ( 中 办 发 [2003]27 号 ) 明 确 指 出 实 行 信 息 安 全 等 级 保 护, 要 重 点 保 护 基 础 信 息 网 络 和 关 系 国 家 安 全 经 济 命 脉 社 会 稳 定 等 方 面 的 重 要 信 息 系 统, 抓 紧 建 立 信 息 安 全 等 级 保 护 制 度 关 于 信 息 安 全 等 级 保 护 工 作 的 实 施 意 见 ( 公 通 字 [2004]66 号 ) 和 信 息 安 全 等 级 保 护 管 理 办 法 ( 公 通 字 [2007]43 号 ) 确 定 了 实 施 信 息 安 全 等 级 保 护 制 度 的 原 则 工 作 职 责 划 分 实 施 要 求 和 实 1

6 施 计 划, 明 确 了 开 展 信 息 安 全 等 级 保 护 工 作 的 基 本 内 容 工 作 流 程 工 作 方 法 等 信 息 安 全 等 级 保 护 相 关 法 规 政 策 文 件 国 家 标 准 和 公 共 安 全 行 业 标 准 的 出 台, 为 网 络 与 信 息 安 全 体 系 的 建 设 提 供 了 法 律 政 策 标 准 依 据 关 于 开 展 信 息 安 全 等 级 保 护 安 全 建 设 整 改 工 作 的 指 导 意 见 ( 公 信 安 [2009]1429 号 ) 明 确 要 求 各 部 门 在 信 息 安 全 等 级 保 护 定 级 工 作 基 础 上, 力 争 在 2012 年 底 前 完 成 已 定 级 信 息 系 统 ( 不 包 括 涉 及 国 家 秘 密 信 息 系 统 ) 安 全 建 设 整 改 工 作 水 利 部 于 2007 年 9 月 初 组 织 开 展 了 水 利 行 业 信 息 系 统 安 全 等 级 保 护 定 级 工 作, 目 前 定 级 工 作 已 基 本 完 成, 这 为 水 利 行 业 网 络 与 信 息 安 全 体 系 建 设 奠 定 了 基 础 本 标 准 编 制 的 目 的 是 依 据 国 家 信 息 系 统 等 级 保 护 相 关 标 准 及 其 他 信 息 安 全 标 准 规 范, 结 合 水 利 信 息 化 实 际 情 况, 对 水 利 网 络 与 信 息 安 全 体 系 的 框 架 结 构 安 全 要 素 基 本 要 求 等 进 行 规 范, 指 导 水 利 行 业 各 单 位 各 部 门 在 信 息 安 全 等 级 保 护 定 级 和 备 案 工 作 基 础 上, 开 展 信 息 系 统 安 全 规 划 整 改 及 建 设 工 作, 落 实 安 全 防 护 技 术 措 施, 建 立 健 全 安 全 管 理 制 度, 进 一 步 提 高 水 利 网 络 与 信 息 系 统 的 安 全 保 障 能 力 和 防 护 水 平, 确 保 各 单 位 部 门 网 络 与 信 息 系 统 的 安 全 运 行, 推 进 水 利 信 息 化 的 安 全 健 康 协 调 发 展 1.2 范 围 本 技 术 要 求 适 用 于 水 利 行 业 各 单 位, 用 于 指 导 各 单 位 政 务 外 网 ( 水 利 专 网 ) 的 网 络 与 信 息 安 全 体 系 规 划 设 计 建 设 和 整 改, 及 2

7 各 单 位 政 务 外 网 信 息 系 统 的 安 全 设 计 建 设, 保 障 信 息 系 统 的 安 全 运 行, 也 可 作 为 水 利 行 业 信 息 安 全 职 能 部 门 进 行 监 督 检 查 和 指 导 的 依 据 各 单 位 政 务 内 网 的 网 络 与 信 息 安 全 系 统 建 设 应 遵 循 国 家 有 关 职 能 部 门 及 水 利 部 的 相 关 规 定 1.3 规 范 性 引 用 文 件 1) GB 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 2) 国 务 院 令 第 147 号 中 华 人 民 共 和 国 计 算 机 信 息 系 统 安 全 防 护 条 例 3) 中 办 发 [2003]27 号 国 家 信 息 化 领 导 小 组 关 于 加 强 信 息 安 全 保 障 工 作 的 意 见 4) 公 通 字 号 关 于 印 发 关 于 信 息 安 全 等 级 保 护 工 作 的 实 施 意 见 的 通 知 5) 公 通 字 号 信 息 安 全 等 级 保 护 管 理 办 法 6) 信 息 安 全 技 术 信 息 系 统 等 级 保 护 安 全 设 计 技 术 要 求 (GB/T ) 7) 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求 (GB/T ) 1.4 术 语 定 义 和 缩 略 语 1) 定 级 系 统 安 全 保 护 环 境 security environment of classified system 3

8 由 安 全 计 算 环 境 安 全 区 域 边 界 安 全 通 信 网 络 和 ( 或 ) 安 全 管 理 中 心 构 成 的 对 定 级 系 统 进 行 安 全 保 护 的 环 境 定 级 系 统 安 全 保 护 环 境 包 括 第 一 级 系 统 安 全 保 护 环 境 第 二 级 系 统 安 全 保 护 环 境 第 三 级 系 统 安 全 保 护 环 境 第 四 级 系 统 安 全 保 护 环 境 第 五 级 系 统 安 全 保 护 环 境 以 及 定 级 系 统 的 安 全 互 联 2) 安 全 计 算 环 境 secure computing environment 对 定 级 系 统 的 信 息 进 行 存 储 处 理 及 实 施 安 全 策 略 的 相 关 部 件 安 全 计 算 环 境 按 照 保 护 能 力 划 分 为 第 一 级 安 全 计 算 环 境 第 二 级 安 全 计 算 环 境 第 三 级 安 全 计 算 环 境 第 四 级 安 全 计 算 环 境 和 第 五 级 安 全 计 算 环 境 3) 安 全 区 域 边 界 secure area boundary 对 定 级 系 统 的 安 全 计 算 环 境 边 界, 以 及 安 全 计 算 环 境 与 安 全 通 信 网 络 之 间 实 现 连 接 并 实 施 安 全 策 略 的 相 关 部 件 安 全 区 域 边 界 按 照 保 护 能 力 划 分 为 第 一 级 安 全 区 域 边 界 第 二 级 安 全 区 域 边 界 第 三 级 安 全 区 域 边 界 第 四 级 安 全 区 域 边 界 和 第 五 级 安 全 区 域 边 界 4) 安 全 通 信 网 络 secure communication network 对 定 级 系 统 安 全 计 算 环 境 之 间 进 行 信 息 传 输 及 实 施 安 全 策 略 的 相 关 部 件 安 全 通 信 网 络 按 照 保 护 能 力 划 分 第 一 级 安 全 通 信 网 络 第 二 级 安 全 通 信 网 络 第 三 级 安 全 通 信 网 络 第 四 级 安 全 通 信 网 络 和 第 五 级 安 全 通 信 网 络 4

9 5) 安 全 管 理 中 心 security management center 对 定 级 系 统 的 安 全 策 略 及 安 全 计 算 环 境 安 全 区 域 边 界 和 安 全 通 信 网 络 上 的 安 全 机 制 实 施 统 一 管 理 的 平 台 第 二 级 及 第 二 级 以 上 的 定 级 系 统 安 全 保 护 环 境 需 要 设 置 安 全 管 理 中 心, 称 为 第 二 级 安 全 管 理 中 心 第 三 级 安 全 管 理 中 心 第 四 级 安 全 管 理 中 心 和 第 五 级 安 全 管 理 中 心 6) 系 统 安 全 互 联 secure system interconnection 通 过 安 全 互 联 部 件 和 跨 定 级 系 统 安 全 管 理 中 心 实 现 的 相 同 或 不 同 等 级 的 定 级 系 统 安 全 保 护 环 境 之 间 的 安 全 连 接 5

10 2 总 体 建 设 要 求 2.1 总 体 要 求 本 技 术 要 求 只 是 对 网 络 与 信 息 安 全 体 系 的 框 架 和 基 本 技 术 要 求 进 行 约 定, 而 不 是 网 络 与 信 息 安 全 体 系 建 设 的 方 案, 各 单 位 在 网 络 与 信 息 安 全 系 统 建 设 时, 应 依 据 本 技 术 要 求, 结 合 各 自 实 际 情 况, 进 行 网 络 与 信 息 安 全 系 统 规 划 设 计 及 建 设 本 技 术 要 求 主 要 是 对 水 利 信 息 系 统 中 已 定 级 为 第 二 级 第 三 级 第 四 级 的 信 息 系 统 的 安 全 防 护 建 设 提 出 基 本 技 术 要 求, 对 于 定 级 为 第 一 级 或 五 级 的 信 息 系 统 的 安 全 防 护 由 各 建 设 管 理 单 位 参 照 等 级 保 护 的 要 求 进 行 建 设 水 利 网 络 与 信 息 系 统 安 全 体 系 建 设, 需 要 遵 循 以 下 总 体 要 求 : 1) 遵 循 等 级 保 护 的 相 关 标 准 和 规 范 的 要 求 ; 2) 按 照 本 技 术 要 求 进 行 设 计, 保 证 系 统 结 构 完 整, 安 全 要 素 全 面 覆 盖 ; 3) 网 络 与 信 息 安 全 体 系 建 设 是 一 个 逐 步 完 善 的 过 程, 各 单 位 应 依 据 本 技 术 要 求 进 行 统 一 规 划, 在 建 设 时 可 以 根 据 信 息 化 的 发 展 逐 步 建 设 与 完 善, 首 先 保 证 重 要 信 息 系 统 的 安 全 ; 4) 本 要 求 为 基 本 要 求, 各 单 位 在 安 全 体 系 建 设 时, 可 根 据 具 体 信 息 系 统 的 特 点, 适 当 调 整 部 分 安 全 要 素 要 求 ; 5) 在 保 证 关 键 技 术 实 现 的 前 提 下, 尽 可 能 采 用 成 熟 产 品, 保 证 系 6

11 统 的 可 用 性 工 程 实 施 的 简 便 快 捷 各 单 位 在 新 建 应 用 系 统 或 对 已 有 应 用 升 级 改 造 时, 可 参 照 第 5 章 应 用 安 全 建 设 要 求 有 关 内 容 完 善 应 用 安 全 2.2 基 本 框 架 依 据 信 息 系 统 安 全 等 级 保 护 基 本 要 求 及 水 利 网 络 与 信 息 系 统 状 况, 将 水 利 行 业 网 络 与 信 息 安 全 体 系 依 据 涉 及 的 业 务 范 围 划 分 为 政 务 外 网 政 务 内 网 ; 依 据 单 位 的 级 别 划 分 为 部 级 节 点 省 流 域 级 节 点 市 级 节 点 县 级 节 点 水 利 网 络 与 信 息 安 全 体 系 框 架 结 构 如 图 2-1 所 示 : 7

12 v v v v v v v / / 图 2-1 水 利 网 络 与 信 息 安 全 体 系 框 架 结 构 图 7

13 水 利 行 业 信 息 系 统 分 布 于 政 务 外 网 和 政 务 内 网 两 个 物 理 隔 离 的 网 络, 其 中 政 务 外 网 分 公 众 服 务 区 和 业 务 服 务 区 两 部 分 各 级 节 点 的 政 务 外 网 公 众 服 务 区 通 过 因 特 网 互 联, 各 级 节 点 的 政 务 外 网 业 务 服 务 区 通 过 水 利 信 息 网 政 务 外 网 互 联, 各 级 节 点 的 政 务 内 网 通 过 水 利 信 息 网 政 务 内 网 互 联, 采 用 安 全 互 联 设 备 进 行 安 全 防 护 各 节 点 的 政 务 外 网 和 政 务 内 网 网 络 与 信 息 安 全 措 施 相 对 独 立, 在 政 务 外 网 的 互 联 区 域 达 到 等 级 保 护 第 三 级 系 统 的 安 全 防 护 要 求 时, 在 经 过 有 关 部 门 审 批 同 意 的 情 况 下, 可 采 用 单 向 导 入 设 备 实 现 从 政 务 外 网 到 政 务 内 网 的 单 向 信 息 导 入 ; 各 节 点 的 政 务 外 网 公 众 服 务 区 和 业 务 服 务 区 采 用 统 一 的 安 全 防 护 错 措 施, 两 个 区 域 通 过 安 全 边 界 依 据 安 全 策 略 实 现 安 全 互 联 各 单 位 可 根 据 需 要 建 设 控 制 调 度 网, 实 现 重 要 水 库 枢 纽 灌 区 供 水 排 水 调 水 等 水 利 工 程 设 施 的 调 度, 控 制 调 度 网 宜 与 政 务 外 网 政 务 内 网 物 理 隔 离 各 信 息 系 统 根 据 定 级 情 况, 纳 入 相 应 等 级 的 应 用 服 务 区, 各 级 应 用 服 务 区 提 供 一 个 相 应 等 级 的 系 统 安 全 保 护 环 境, 保 护 信 息 系 统 安 全, 如 图 2-2 所 示 其 中 不 同 等 级 应 用 服 务 区 可 共 用 安 全 通 信 网 络, 该 安 全 通 信 网 络 将 按 最 高 等 级 安 全 服 务 区 安 全 通 信 网 络 要 求 建 设 图 2-2 应 用 服 务 区 结 构 图 本 技 术 要 求 以 下 部 分 仅 针 对 政 务 外 网 网 络 与 信 息 安 全 体 系, 政 务 内 网 的 安 全 体 系 遵 循 国 家 有 关 标 准 规 范 及 水 利 部 的 有 关 要 求 8

14 2.3 信 息 系 统 安 全 定 级 水 利 行 业 各 单 位 在 进 行 网 络 与 信 息 安 全 体 系 规 划 建 设 时, 首 先 应 进 行 信 息 系 统 的 梳 理 和 安 全 定 级 工 作, 根 据 安 全 定 级 将 信 息 系 统 划 入 相 应 等 级 的 安 全 保 护 区, 多 个 信 息 系 统 可 以 放 入 同 一 安 全 保 护 区 水 利 行 业 主 要 信 息 系 统 的 安 全 定 级 可 参 考 如 下 规 则 : 1) 防 汛 抗 旱 指 挥 系 统 可 划 分 成 骨 干 网 系 统 数 据 库 系 统 和 应 用 系 统 ( 可 根 据 实 际 应 用 情 况 再 进 行 划 分 ), 三 个 系 统 的 流 域 级 省 级 分 支 系 统 的 安 全 保 护 等 级 应 定 为 三 级 ; 三 个 系 统 的 地 市 级 及 以 下 单 位 的 分 支 系 统 的 安 全 保 护 等 级 可 定 为 二 级 2) 防 汛 抗 旱 异 地 会 商 视 频 会 议 系 统 实 时 水 情 交 换 与 查 询 系 统 的 流 域 级 省 级 分 支 系 统 的 安 全 保 护 等 级 应 定 为 三 级 ; 地 市 级 及 以 下 单 位 的 分 支 系 统 的 安 全 保 护 等 级 可 定 为 二 级 3) 城 市 水 资 源 实 时 监 控 与 管 理 信 息 系 统 的 安 全 保 护 等 级 可 定 为 二 级 或 以 上 4) 全 国 水 土 保 持 监 测 网 络 和 信 息 系 统 在 系 统 结 构 上 是 一 套 全 国 联 网 数 据 集 中 的 信 息 系 统, 全 国 水 土 保 持 监 测 网 络 信 息 系 统 分 支 系 统 的 安 全 保 护 等 级 可 定 为 二 级 5) 重 要 水 库 枢 纽 灌 区 供 水 排 水 调 水 等 水 利 工 程 设 施 的 调 度 和 运 行 信 息 系 统 的 安 全 保 护 等 级 应 定 为 三 级 6) 流 域 级 省 级 单 位 政 府 网 站 信 息 系 统 的 安 全 保 护 等 级 可 定 为 二 级 7) 各 单 位 内 部 局 域 网 日 常 办 公 等 信 息 系 统 的 安 全 保 护 等 级 可 定 为 二 级 8) 其 他 信 息 系 统 可 结 合 实 际 情 况 按 照 相 关 规 定 进 行 定 级 9

15 3 节 点 建 设 要 求 3.1 部 机 关 安 全 系 统 建 设 要 求 依 据 GB 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 以 及 信 息 安 全 技 术 信 息 系 统 等 级 保 护 安 全 设 计 技 术 要 求 等 信 息 安 全 标 准 规 范, 水 利 部 信 息 系 统 定 级 情 况 及 水 利 部 网 络 与 信 息 系 统 状 况, 将 水 利 部 政 务 外 网 网 络 与 信 息 系 统 划 分 为 7 个 安 全 保 护 区 和 1 个 物 理 安 全 环 境,7 个 安 全 保 护 区 分 别 为 : 第 二 级 应 用 服 务 区 第 三 级 应 用 服 务 区 第 四 级 应 用 服 务 区 终 端 区 安 全 管 理 区 核 心 交 换 区 公 众 服 务 区, 其 中 各 安 全 保 护 区 可 以 通 过 安 全 互 联 部 件 互 联 水 利 部 网 络 与 信 息 安 全 系 统 结 构 如 图 3-1 所 示 第 二 级 应 用 服 务 区 第 三 级 应 用 服 务 区 第 四 级 应 用 服 务 区 安 全 互 联 安 全 互 联 安 全 互 联 安 全 互 联 公 众 服 务 区 核 心 交 换 区 安 全 互 联 终 端 区 安 全 管 理 区 物 理 安 全 环 境 图 3-1 水 利 部 网 络 与 信 息 安 全 系 统 结 构 图 10

16 1) 第 二 级 应 用 服 务 区 : 第 二 级 应 用 服 务 区 用 于 部 署 定 级 为 第 二 级 的 信 息 系 统, 对 这 些 信 息 系 统 提 供 统 一 的 安 全 防 护 措 施, 并 通 过 安 全 互 联 和 核 心 交 换 区 与 其 他 区 域 和 其 他 单 位 的 信 息 系 统 进 行 数 据 交 换 在 第 二 级 应 用 服 务 区 内 的 不 同 第 二 级 信 息 系 统 可 以 根 据 需 要 采 用 安 全 措 施 进 行 隔 离 根 据 网 络 结 构 可 以 部 署 多 个 第 二 级 应 用 服 务 区, 每 个 第 二 级 应 用 服 务 区 保 护 一 个 或 多 个 第 二 级 信 息 系 统 在 第 二 级 应 用 服 务 区 需 按 以 下 安 全 防 护 要 求 建 设 : 用 户 身 份 鉴 别 应 支 持 用 户 标 识 和 用 户 鉴 别 在 对 每 一 个 用 户 注 册 到 系 统 时, 采 用 用 户 名 和 用 户 标 识 符 标 识 用 户 身 份, 并 确 保 在 系 统 整 个 生 存 周 期 用 户 标 识 的 唯 一 性 ; 在 每 次 用 户 登 录 系 统 时, 采 用 受 控 的 口 令 或 具 有 相 应 安 全 强 度 的 其 他 机 制 进 行 用 户 身 份 鉴 别, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 应 在 安 全 策 略 控 制 范 围 内, 使 用 户 对 其 创 建 的 客 体 具 有 相 应 的 访 问 操 作 权 限, 并 能 将 这 些 权 限 的 部 分 或 全 部 授 予 其 他 用 户 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 访 问 操 作 包 括 对 客 体 的 创 建 读 写 修 改 和 删 除 等 系 统 安 全 审 计 应 提 供 安 全 审 计 机 制, 记 录 系 统 的 相 关 安 全 事 件 审 计 记 录 包 括 安 全 事 件 的 主 体 客 体 时 间 类 型 和 结 果 等 内 容 该 机 制 应 提 供 审 计 记 录 查 询 分 类 和 存 储 保 护, 并 可 由 安 全 管 理 中 心 管 理 用 户 数 据 完 整 性 保 护 可 采 用 常 规 校 验 机 制, 检 验 存 储 的 用 户 数 据 的 完 整 性, 以 发 现 其 完 整 性 是 否 被 破 坏 用 户 数 据 保 密 性 保 护 可 采 用 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 对 在 安 全 计 算 环 境 中 存 储 和 处 理 的 用 户 数 据 进 行 保 密 性 保 11

17 护 客 体 安 全 重 用 应 对 用 户 使 用 的 客 体 资 源, 在 这 些 客 体 资 源 重 新 分 配 前, 对 其 原 使 用 者 的 信 息 进 行 清 除, 以 确 保 信 息 不 被 泄 露 恶 意 代 码 防 范 应 安 装 防 恶 意 代 码 软 件 或 配 置 具 有 相 应 安 全 功 能 的 操 作 系 统, 并 定 期 进 行 升 级 和 更 新, 以 防 范 和 清 除 恶 意 代 码 备 份 与 恢 复 应 能 对 重 要 信 息 进 行 备 份 与 恢 复 区 域 边 界 协 议 过 滤 应 根 据 区 域 边 界 安 全 控 制 策 略, 通 过 检 查 数 据 包 的 源 地 址 目 的 地 址 传 输 层 协 议 和 请 求 的 服 务 等, 确 定 是 否 允 许 该 数 据 包 通 过 该 区 域 边 界 区 域 边 界 安 全 审 计 应 在 安 全 区 域 边 界 设 置 审 计 机 制, 并 由 安 全 管 理 中 心 统 一 管 理 区 域 边 界 恶 意 代 码 防 范 应 在 安 全 区 域 边 界 设 置 防 恶 意 代 码 网 关, 由 安 全 管 理 中 心 管 理 区 域 边 界 完 整 性 保 护 应 在 区 域 边 界 设 置 探 测 器, 探 测 非 法 外 联 等 行 为, 并 及 时 报 告 安 全 管 理 中 心 通 信 网 络 安 全 审 计 应 在 安 全 通 信 网 络 设 置 审 计 机 制, 由 安 全 管 理 中 心 管 理 通 信 网 络 数 据 传 输 完 整 性 保 护 可 采 用 由 密 码 等 技 术 支 持 的 完 整 性 校 验 机 制, 以 实 现 通 信 网 络 数 据 传 输 完 整 性 保 护 通 信 网 络 数 据 传 输 保 密 性 保 护 可 采 用 由 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 以 实 现 通 信 网 络 数 据 传 输 保 密 性 保 护 2) 第 三 级 应 用 服 务 区 : 第 三 级 应 用 服 务 区 用 于 部 署 定 级 为 第 三 级 的 信 息 系 统, 对 这 些 系 统 提 供 安 全 防 护, 并 通 过 安 全 互 联 和 核 心 交 换 12

18 区 与 其 他 区 域 和 其 他 单 位 信 息 系 统 进 行 数 据 交 换 为 了 降 低 系 统 复 杂 度 也 可 以 将 第 二 级 的 信 息 系 统 纳 入 第 三 级 应 用 服 务 区, 按 第 三 级 信 息 系 统 防 护 在 第 三 级 应 用 服 务 区 内 的 不 同 信 息 系 统 可 以 根 据 需 要 采 用 安 全 措 施 进 行 隔 离 根 据 网 络 结 构 可 以 部 署 多 个 第 三 级 应 用 服 务 区, 每 个 第 三 级 应 用 服 务 区 保 护 一 个 或 多 个 第 三 级 信 息 系 统 在 第 三 级 应 用 服 务 区 至 少 需 要 落 实 以 下 安 全 技 术 要 求 : 用 户 身 份 鉴 别 应 支 持 用 户 标 识 和 用 户 鉴 别 在 对 每 一 个 用 户 注 册 到 系 统 时, 采 用 用 户 名 和 用 户 标 识 符 标 识 用 户 身 份, 并 确 保 在 系 统 整 个 生 存 周 期 用 户 标 识 的 唯 一 性 ; 在 每 次 用 户 登 录 系 统 时, 采 用 受 安 全 管 理 中 心 控 制 的 口 令 令 牌 基 于 生 物 特 征 数 字 证 书 以 及 其 他 具 有 相 应 安 全 强 度 的 两 种 或 两 种 以 上 的 组 合 机 制 进 行 用 户 身 份 鉴 别, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 应 在 安 全 策 略 控 制 范 围 内, 使 用 户 对 其 创 建 的 客 体 具 有 相 应 的 访 问 操 作 权 限, 并 能 将 这 些 权 限 的 部 分 或 全 部 授 予 其 他 用 户 自 主 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 和 ( 或 ) 记 录 或 字 段 级 自 主 访 问 操 作 包 括 对 客 体 的 创 建 读 写 修 改 和 删 除 等 标 记 和 强 制 访 问 控 制 在 对 安 全 管 理 员 进 行 身 份 鉴 别 和 权 限 控 制 的 基 础 上, 应 由 安 全 管 理 员 通 过 特 定 操 作 界 面 对 主 客 体 进 行 安 全 标 记 ; 应 按 安 全 标 记 和 强 制 访 问 控 制 规 则, 对 确 定 主 体 访 问 客 体 的 操 作 进 行 控 制 强 制 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 应 确 保 安 全 计 算 环 境 内 的 所 有 主 客 体 具 有 一 致 的 标 记 信 息, 并 实 施 相 同 的 强 制 访 问 控 制 规 则 13

19 系 统 安 全 审 计 应 记 录 系 统 的 相 关 安 全 事 件 审 计 记 录 包 括 安 全 事 件 的 主 体 客 体 时 间 类 型 和 结 果 等 内 容 应 提 供 审 计 记 录 查 询 分 类 分 析 和 存 储 保 护 ; 能 对 特 定 安 全 事 件 进 行 报 警 ; 确 保 审 计 记 录 不 被 破 坏 或 非 授 权 访 问 应 为 安 全 管 理 中 心 提 供 接 口 ; 对 不 能 由 系 统 独 立 处 理 的 安 全 事 件, 提 供 由 授 权 主 体 调 用 的 接 口 用 户 数 据 完 整 性 保 护 应 采 用 密 码 等 技 术 支 持 的 完 整 性 校 验 机 制, 检 验 存 储 和 处 理 的 用 户 数 据 的 完 整 性, 以 发 现 其 完 整 性 是 否 被 破 坏, 且 在 其 受 到 破 坏 时 能 对 重 要 数 据 进 行 恢 复 用 户 数 据 保 密 性 保 护 采 用 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 对 在 安 全 计 算 环 境 中 存 储 和 处 理 的 用 户 数 据 进 行 保 密 性 保 护 客 体 安 全 重 用 应 采 用 具 有 安 全 客 体 复 用 功 能 的 系 统 软 件 或 具 有 相 应 功 能 的 信 息 技 术 产 品, 对 用 户 使 用 的 客 体 资 源, 在 这 些 客 体 资 源 重 新 分 配 前, 对 其 原 使 用 者 的 信 息 进 行 清 除, 以 确 保 信 息 不 被 泄 露 程 序 可 信 执 行 保 护 可 采 用 可 信 计 算 等 技 术 构 建 从 操 作 系 统 到 上 层 应 用 的 信 任 链, 以 实 现 系 统 运 行 过 程 中 可 执 行 程 序 的 完 整 性 检 验, 防 范 恶 意 代 码 等 攻 击, 并 在 检 测 到 其 完 整 性 受 到 破 坏 时 采 取 措 施 恢 复 备 份 与 恢 复 应 能 对 重 要 信 息 进 行 本 地 备 份 与 恢 复, 备 份 数 据 可 通 过 网 络 定 时 传 送 到 备 用 场 地 区 域 边 界 访 问 控 制 应 在 安 全 区 域 边 界 设 置 自 主 和 强 制 访 问 控 制 机 制, 实 施 相 应 的 访 问 控 制 策 略, 对 进 出 安 全 区 域 边 界 的 数 据 信 息 进 行 控 制, 阻 止 非 授 权 访 问 14

20 区 域 边 界 协 议 过 滤 应 根 据 区 域 边 界 安 全 控 制 策 略, 通 过 检 查 数 据 包 的 源 地 址 目 的 地 址 传 输 层 协 议 请 求 的 服 务 等, 确 定 是 否 允 许 该 数 据 包 进 出 该 区 域 边 界 区 域 边 界 安 全 审 计 应 在 安 全 区 域 边 界 设 置 审 计 机 制, 由 安 全 管 理 中 心 集 中 管 理, 并 对 确 认 的 违 规 行 为 及 时 报 警 区 域 边 界 恶 意 代 码 防 范 应 在 安 全 区 域 边 界 设 置 防 恶 意 代 码 网 关, 由 安 全 管 理 中 心 管 理 区 域 边 界 完 整 性 保 护 应 在 区 域 边 界 设 置 探 测 器, 例 如 外 接 探 测 软 件, 探 测 非 法 外 联 和 入 侵 行 为, 并 及 时 报 告 安 全 管 理 中 心 通 信 网 络 安 全 审 计 应 在 安 全 通 信 网 络 设 置 审 计 机 制, 由 安 全 管 理 中 心 集 中 管 理, 并 对 确 认 的 违 规 行 为 进 行 报 警 通 信 网 络 数 据 传 输 完 整 性 保 护 应 采 用 由 密 码 等 技 术 支 持 的 完 整 性 校 验 机 制, 以 实 现 通 信 网 络 数 据 传 输 完 整 性 保 护, 并 在 发 现 完 整 性 被 破 坏 时 进 行 恢 复 通 信 网 络 数 据 传 输 保 密 性 保 护 应 采 用 由 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 以 实 现 通 信 网 络 数 据 传 输 保 密 性 保 护 通 信 网 络 可 信 接 入 保 护 可 采 用 由 密 码 等 技 术 支 持 的 可 信 网 络 连 接 机 制, 通 过 对 连 接 到 通 信 网 络 的 设 备 进 行 可 信 检 验, 确 保 接 入 通 信 网 络 的 设 备 真 实 可 信, 防 止 设 备 的 非 法 接 入 3) 第 四 级 应 用 服 务 区 域 : 第 四 级 应 用 服 务 区 用 于 部 署 定 级 为 第 四 级 的 信 息 系 统, 对 这 些 系 统 提 供 安 全 防 护, 并 通 过 安 全 互 联 和 核 心 交 换 区 与 其 他 区 域 和 其 他 单 位 信 息 系 统 进 行 数 据 交 换 在 第 四 级 应 用 服 务 区 内 的 不 同 第 四 级 信 息 系 统 可 以 根 据 需 要 采 用 安 全 措 施 进 行 隔 离 根 据 网 络 结 构 可 以 部 署 多 个 第 四 级 应 用 服 务 区, 每 个 第 四 级 应 用 服 务 区 保 护 一 个 或 多 个 第 四 级 信 息 系 统 在 第 四 级 应 用 服 务 区 至 少 需 要 落 15

21 实 以 下 安 全 技 术 要 求 : 用 户 身 份 鉴 别 应 支 持 用 户 标 识 和 用 户 鉴 别 在 每 一 个 用 户 注 册 到 系 统 时, 采 用 用 户 名 和 用 户 标 识 符 标 识 用 户 身 份, 并 确 保 在 系 统 整 个 生 存 周 期 用 户 标 识 的 唯 一 性 ; 在 每 次 用 户 登 录 和 重 新 连 接 系 统 时, 采 用 受 安 全 管 理 中 心 控 制 的 口 令 基 于 生 物 特 征 的 数 据 数 字 证 书 以 及 其 他 具 有 相 应 安 全 强 度 的 两 种 或 两 种 以 上 的 组 合 机 制 进 行 用 户 身 份 鉴 别, 且 其 中 一 种 鉴 别 技 术 产 生 的 鉴 别 数 据 是 不 可 替 代 的, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 应 在 安 全 策 略 控 制 范 围 内, 使 用 户 对 其 创 建 的 客 体 具 有 相 应 的 访 问 操 作 权 限, 并 能 将 这 些 权 限 部 分 或 全 部 授 予 其 他 用 户 自 主 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 和 ( 或 ) 记 录 或 字 段 级 自 主 访 问 操 作 包 括 对 客 体 的 创 建 读 写 修 改 和 删 除 等 标 记 和 强 制 访 问 控 制 在 对 安 全 管 理 员 进 行 身 份 鉴 别 和 权 限 控 制 的 基 础 上, 应 由 安 全 管 理 员 通 过 特 定 操 作 界 面 对 主 客 体 进 行 安 全 标 记, 将 强 制 访 问 控 制 扩 展 到 所 有 主 体 与 客 体 ; 应 按 安 全 标 记 和 强 制 访 问 控 制 规 则, 对 确 定 主 体 访 问 客 体 的 操 作 进 行 控 制 强 制 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 应 确 保 安 全 计 算 环 境 内 的 所 有 主 客 体 具 有 一 致 的 标 记 信 息, 并 实 施 相 同 的 强 制 访 问 控 制 规 则 系 统 安 全 审 计 应 记 录 系 统 相 关 安 全 事 件 审 计 记 录 包 括 安 全 事 件 的 主 体 客 体 时 间 类 型 和 结 果 等 内 容 应 提 供 审 计 记 录 查 询 分 类 分 析 和 存 储 保 护 ; 能 对 特 定 安 全 事 件 进 行 报 警, 终 止 违 例 进 程 等 ; 确 保 审 计 记 录 不 被 破 坏 或 非 授 权 访 问 以 及 防 16

22 止 审 计 记 录 丢 失 等 应 为 安 全 管 理 中 心 提 供 接 口 ; 对 不 能 由 系 统 独 立 处 理 的 安 全 事 件, 提 供 由 授 权 主 体 调 用 的 接 口 用 户 数 据 完 整 性 保 护 应 采 用 密 码 等 技 术 支 持 的 完 整 性 校 验 机 制, 检 验 存 储 和 处 理 的 用 户 数 据 的 完 整 性, 以 发 现 其 完 整 性 是 否 被 破 坏, 且 在 其 受 到 破 坏 时 能 对 重 要 数 据 进 行 恢 复 用 户 数 据 保 密 性 保 护 采 用 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 对 在 安 全 计 算 环 境 中 的 用 户 数 据 进 行 保 密 性 保 护 客 体 安 全 重 用 应 采 用 具 有 安 全 客 体 复 用 功 能 的 系 统 软 件 或 具 有 相 应 功 能 的 信 息 技 术 产 品, 对 用 户 使 用 的 客 体 资 源, 在 这 些 客 体 资 源 重 新 分 配 前, 对 其 原 使 用 者 的 信 息 进 行 清 除, 以 确 保 信 息 不 被 泄 露 程 序 可 信 执 行 保 护 应 采 用 可 信 计 算 或 其 他 技 术 构 建 从 操 作 系 统 到 上 层 应 用 的 信 任 链, 以 实 现 系 统 运 行 过 程 中 可 执 行 程 序 的 完 整 性 检 验, 防 范 恶 意 代 码 等 攻 击, 并 在 检 测 到 其 完 整 性 受 到 破 坏 时 采 取 措 施 恢 复 恶 意 代 码 防 范 应 安 装 防 恶 意 代 码 软 件 或 配 置 具 有 相 应 安 全 功 能 的 操 作 系 统, 并 定 期 进 行 升 级 和 更 新, 以 防 范 和 清 除 恶 意 代 码 备 份 与 恢 复 应 能 对 重 要 信 息 进 行 本 地 备 份 与 恢 复 ; 应 建 立 异 地 灾 难 备 份 中 心, 提 供 业 务 应 用 的 实 时 无 缝 切 换 ; 备 份 数 据 可 通 过 网 络 实 时 传 送 到 备 用 场 地 区 域 边 界 访 问 控 制 应 在 安 全 区 域 边 界 设 置 自 主 和 强 制 访 问 控 制 机 制, 实 施 相 应 的 访 问 控 制 策 略, 对 进 出 安 全 区 域 边 界 的 数 据 信 息 进 行 控 制, 阻 止 非 授 权 访 问 区 域 边 界 协 议 过 滤 应 根 据 区 域 边 界 安 全 控 制 策 略, 通 过 检 查 17

23 数 据 包 的 源 地 址 目 的 地 址 传 输 层 协 议 请 求 的 服 务 等, 确 定 是 否 允 许 该 数 据 包 进 出 受 保 护 的 区 域 边 界 区 域 边 界 安 全 审 计 应 在 安 全 区 域 边 界 设 置 审 计 机 制, 通 过 安 全 管 理 中 心 集 中 管 理, 对 确 认 的 违 规 行 为 及 时 报 警 并 做 出 相 应 处 置 区 域 边 界 恶 意 代 码 防 范 应 在 安 全 区 域 边 界 设 置 防 恶 意 代 码 网 关, 由 安 全 管 理 中 心 管 理 区 域 边 界 完 整 性 保 护 应 在 区 域 边 界 设 置 探 测 器, 例 如 外 接 探 测 软 件, 探 测 非 法 外 联 和 入 侵 行 为, 并 及 时 报 告 安 全 管 理 中 心 通 信 网 络 安 全 审 计 应 在 安 全 通 信 网 络 设 置 审 计 机 制, 由 安 全 管 理 中 心 集 中 管 理, 并 对 确 认 的 违 规 行 为 进 行 报 警, 且 做 出 相 应 处 置 通 信 网 络 数 据 传 输 完 整 性 保 护 应 采 用 由 密 码 等 技 术 支 持 的 完 整 性 校 验 机 制, 以 实 现 通 信 网 络 数 据 传 输 完 整 性 保 护, 并 在 发 现 完 整 性 被 破 坏 时 进 行 恢 复 通 信 网 络 数 据 传 输 保 密 性 保 护 应 采 用 由 密 码 等 技 术 支 持 的 保 密 性 保 护 机 制, 以 实 现 通 信 网 络 数 据 传 输 保 密 性 保 护 通 信 网 络 可 信 接 入 保 护 应 采 用 由 密 码 等 技 术 支 持 的 可 信 网 络 连 接 机 制, 通 过 对 连 接 到 通 信 网 络 的 设 备 进 行 可 信 检 验, 确 保 接 入 通 信 网 络 的 设 备 真 实 可 信, 防 止 设 备 的 非 法 接 入 4) 终 端 区 : 终 端 区 是 各 部 门 办 公 人 员 终 端 计 算 机 部 署 的 区 域 依 据 终 端 区 计 算 机 设 备 使 用 目 标 的 不 同, 终 端 区 的 计 算 机 设 备 可 以 分 为 两 类 (1) 管 理 终 端 : 办 公 人 员 需 要 使 用 此 类 终 端 进 行 应 用 系 统 进 行 配 置 管 理 (2) 普 通 终 端 : 办 公 人 员 需 要 使 用 此 类 终 端 进 行 登 录 应 用 系 统 处 理 业 务 管 理 终 端 纳 入 相 应 信 息 系 统 应 用 服 务 区 进 行 安 全 保 18

24 护, 普 通 终 端 纳 入 终 端 区 进 行 安 全 防 护 依 据 各 工 作 人 员 工 作 职 责 的 不 同, 使 用 的 终 端 可 能 需 要 同 时 访 问 多 个 级 别 信 息 系 统, 每 个 终 端 按 照 访 问 的 最 高 级 别 的 系 统, 实 施 相 应 的 安 全 防 护 措 施, 不 同 防 护 等 级 的 终 端 应 进 行 逻 辑 隔 离 5) 核 心 交 换 区 : 核 心 交 换 区 主 要 实 现 各 区 域 之 间 的 数 据 交 换, 本 身 不 提 供 安 全 防 护 能 力, 配 合 安 全 互 联 提 供 各 区 域 之 间 的 访 问 控 制 6) 安 全 管 理 区 : 建 立 集 中 的 安 全 管 理 中 心, 实 现 统 一 的 安 全 策 略 管 理 资 源 管 理 及 安 全 审 计 7) 公 众 服 务 区 : 公 众 服 务 区 主 要 部 署 为 公 众 服 务 的 信 息 系 统, 水 利 部 公 众 服 务 区 含 第 二 级 信 息 系 统 和 第 三 级 信 息 系 统, 按 照 最 高 级 别 防 护 采 取 第 三 级 应 用 服 务 区 的 防 护 措 施 8) 物 理 安 全 环 境 : 物 理 安 全 环 境 主 要 是 为 网 络 与 信 息 系 统 提 供 机 房 电 力 环 境 保 障 以 及 设 备 设 施 介 质 的 防 盗 防 破 坏 等 防 护 根 据 网 络 与 信 息 系 统 的 位 置 不 同, 每 个 节 点 物 理 安 全 环 境 可 以 分 为 多 个 部 分, 每 部 分 按 照 该 环 境 内 承 载 的 信 息 系 统 的 最 高 安 全 等 级 来 确 定 防 护 级 别 安 全 互 联 要 求 : 应 对 节 点 内 不 同 安 全 保 护 区 之 间 及 节 点 之 间 的 信 息 系 统 互 联 互 通 及 互 操 作 进 行 安 全 保 护 3.2 省 流 域 级 节 点 安 全 系 统 建 设 要 求 依 据 GB 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 以 及 信 息 安 全 技 术 信 息 系 统 等 级 保 护 安 全 设 计 技 术 要 求 等 信 息 安 全 标 准 规 范, 各 省 流 域 机 构 信 息 系 统 定 级 情 况 及 网 络 与 信 息 系 统 状 况, 将 省 流 域 机 构 政 务 外 网 网 络 与 信 息 系 统 划 分 为 6 个 安 全 保 护 区 和 1 个 物 理 安 全 环 境,6 个 安 全 保 护 区 分 别 为 : 第 二 级 应 用 服 务 区 19

25 第 三 级 应 用 服 务 区 终 端 区 安 全 管 理 区 核 心 交 换 区 公 众 服 务 区 省 流 域 机 构 网 络 与 信 息 安 全 系 统 结 构 如 图 3-2 所 示 根 据 各 单 位 的 实 际 需 求, 在 省 流 域 级 节 点 新 建 第 四 级 的 信 息 系 统 时 可 以 参 照 部 机 关 安 全 系 统 建 设 要 求 中 第 四 级 应 用 服 务 区 的 要 求 进 行 安 全 系 统 建 设 第 二 级 应 用 服 务 区 安 全 互 联 第 三 级 应 用 服 务 区 安 全 互 联 安 全 互 联 公 众 服 务 区 核 心 交 换 区 安 全 互 联 终 端 区 安 全 管 理 区 物 理 安 全 环 境 图 3-2 省 流 域 机 构 网 络 与 信 息 安 全 系 统 结 构 图 图 3-2 中 各 区 域 功 能 及 要 求 与 部 机 关 安 全 系 统 中 相 应 区 域 一 致, 省 流 域 机 构 公 众 服 务 区 可 能 是 由 第 二 级 信 息 系 统 组 成 或 第 二 级 信 息 系 统 与 第 三 级 信 息 系 统 共 同 组 成, 按 照 最 高 级 别 的 信 息 系 统 进 行 防 护 3.3 市 级 节 点 安 全 系 统 建 设 要 求 依 据 GB 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 以 及 信 息 安 全 技 术 信 息 系 统 等 级 保 护 安 全 设 计 技 术 要 求 等 信 息 20

26 安 全 标 准 规 范, 各 地 市 级 单 位 信 息 系 统 定 级 情 况 及 网 络 与 信 息 系 统 状 况, 将 地 市 级 单 位 政 务 外 网 网 络 与 信 息 系 统 划 分 为 6 个 安 全 保 护 区 和 1 个 物 理 安 全 环 境,6 个 安 全 保 护 区 分 别 为 : 第 二 级 应 用 服 务 区 第 三 级 应 用 服 务 区 终 端 区 安 全 管 理 区 核 心 交 换 区 公 众 服 务 区 地 市 级 单 位 网 络 与 信 息 安 全 系 统 结 构 如 图 3-3 所 示 第 二 级 应 用 服 务 区 安 全 互 联 第 三 级 应 用 服 务 区 安 全 互 联 安 全 互 联 公 众 服 务 区 核 心 交 换 区 安 全 互 联 终 端 区 安 全 管 理 区 物 理 安 全 环 境 图 3-3 地 市 级 节 点 网 络 与 信 息 安 全 系 统 结 构 图 图 3-3 中 各 区 域 功 能 及 要 求 与 部 机 关 安 全 系 统 中 相 应 区 域 一 致 市 级 节 点 公 众 服 务 区 一 般 由 第 二 级 信 息 系 统 组 成, 按 照 第 二 级 信 息 系 统 进 行 防 护 3.4 县 级 节 点 安 全 系 统 建 设 要 求 依 据 GB 计 算 机 信 息 系 统 安 全 防 护 等 级 划 分 准 则 以 及 信 息 安 全 技 术 信 息 系 统 等 级 保 护 安 全 设 计 技 术 要 求 等 信 息 安 全 标 准 规 范, 各 县 级 单 位 信 息 系 统 定 级 情 况 及 网 络 与 信 息 系 统 状 21

27 况, 将 县 级 单 位 政 务 外 网 网 络 与 信 息 系 统 划 分 为 5 个 安 全 保 护 区 和 1 个 物 理 安 全 环 境,5 个 安 全 保 护 区 分 别 为 : 第 二 级 应 用 服 务 区 终 端 区 安 全 管 理 区 核 心 交 换 区 公 众 服 务 区 县 级 单 位 网 络 与 信 息 安 全 系 统 结 构 如 图 3-4 所 示 根 据 各 单 位 的 实 际 需 求, 在 县 级 节 点 新 建 第 三 级 信 息 系 统 时 可 以 参 照 部 机 关 安 全 系 统 建 设 要 求 中 第 三 级 应 用 服 务 区 的 要 求 进 行 安 全 系 统 建 设 第 二 级 应 用 服 务 区 安 全 互 联 安 全 互 联 公 众 服 务 区 核 心 交 换 区 安 全 互 联 终 端 区 安 全 管 理 区 物 理 安 全 环 境 图 3-4 地 市 级 节 点 网 络 与 信 息 安 全 系 统 结 构 图 图 3-4 中 各 区 域 功 能 及 要 求 与 部 机 关 安 全 系 统 中 相 应 区 域 一 致 县 级 节 点 公 众 服 务 区 一 般 由 第 二 级 信 息 系 统 组 成, 按 照 第 二 级 信 息 系 统 进 行 防 护 对 于 规 模 较 小 的 节 点, 安 全 管 理 区 可 以 并 入 第 二 级 应 用 服 务 区 22

28 4 安 全 要 素 建 设 要 求 各 单 位 在 进 行 网 络 与 信 息 安 全 体 系 设 计 时, 可 根 据 第 2 3 章 要 求 进 行 安 全 分 区 的 基 础 上, 参 考 本 章 进 行 各 安 全 保 护 区 设 计 4.1 物 理 安 全 环 境 建 设 要 求 物 理 安 全 主 要 是 为 网 络 与 信 息 系 统 提 供 机 房 电 力 环 境 保 障 以 及 设 备 设 施 介 质 的 防 盗 防 破 坏 等 防 护 根 据 各 节 点 网 络 与 信 息 系 统 的 位 置 分 布 不 同, 物 理 安 全 环 境 可 以 分 为 多 个 部 分, 每 部 分 按 照 该 部 分 承 载 的 信 息 系 统 的 最 高 安 全 等 级 来 确 定 防 护 级 别 第 二 级 安 全 防 护 物 理 安 全 要 求 环 境 安 全 1. 场 地 选 择 机 房 场 地 选 择 应 满 足 : 1) 基 本 要 求 : 按 一 般 建 筑 物 的 要 求 进 行 机 房 场 地 选 择 ; 2) 防 火 要 求 : 避 开 易 发 生 火 灾 和 危 险 程 度 高 的 地 区, 如 油 库 和 其 他 易 燃 物 附 近 的 区 域 ; 3) 防 污 染 要 求 : 避 开 尘 埃 有 毒 气 体 腐 蚀 性 气 体 盐 雾 腐 蚀 等 环 境 污 染 的 区 域 ; 4) 防 潮 及 防 雷 要 求 : 避 开 低 洼 潮 湿 及 落 雷 区 域 ; 5) 防 震 动 和 噪 声 要 求 : 避 开 强 震 动 源 和 强 噪 声 源 区 域 ; 6) 防 强 电 场 磁 场 要 求 : 避 开 强 电 场 和 强 磁 场 区 域 ; 23

29 7) 防 地 震 水 灾 要 求 : 避 开 有 地 震 水 灾 危 害 的 区 域 ; 8) 防 公 众 干 扰 要 求 : 避 免 靠 近 公 共 区 域, 如 运 输 通 道 停 车 场 或 餐 厅 等 2. 机 房 内 部 安 全 防 护 机 房 内 部 安 全 防 护 应 满 足 : 1) 机 房 出 入 : 机 房 应 只 设 一 个 出 入 口, 并 有 专 人 负 责, 未 经 允 许 的 人 员 不 准 进 入 机 房 ; 另 设 若 干 紧 急 疏 散 出 口, 标 明 疏 散 线 路 和 方 向 ; 2) 机 房 物 品 : 没 有 管 理 人 员 的 明 确 准 许, 任 何 记 录 介 质 文 件 材 料 及 各 种 被 保 护 品 均 不 准 带 出 机 房, 磁 铁 私 人 电 子 计 算 机 或 电 设 备 食 品 及 饮 料 香 烟 吸 烟 用 具 等 均 不 准 带 入 机 房 3. 机 房 防 火 机 房 防 火 应 满 足 : 1) 建 筑 材 料 防 火 : 机 房 和 记 录 介 质 存 放 间, 其 建 筑 材 料 的 耐 火 等 级, 应 符 合 TJ 中 规 定 的 第 二 级 耐 火 等 级 ; 机 房 相 关 的 其 余 基 本 工 作 房 间 和 辅 助 房, 其 建 筑 材 料 的 耐 火 等 级 应 不 低 于 TJ 中 规 定 的 第 三 级 耐 火 等 级 ; 2) 报 警 和 灭 火 系 统 : 设 置 火 灾 报 警 系 统, 由 人 来 操 作 灭 火 设 备, 并 对 灭 火 设 备 的 效 率 毒 性 用 量 和 损 害 性 有 一 定 的 要 求 ; 3) 区 域 隔 离 防 火 : 机 房 布 局 应 将 脆 弱 区 和 危 险 区 进 行 隔 离, 防 止 外 部 火 灾 进 入 机 房, 特 别 是 重 要 设 备 地 区, 应 安 装 防 火 门 使 用 阻 燃 材 料 装 修 等 4. 机 房 供 配 电 机 房 供 配 电 应 满 足 : 1) 分 开 供 电 : 机 房 供 电 系 统 应 将 计 算 机 系 统 供 电 与 其 他 供 电 分 开, 并 配 备 应 急 照 明 装 置 ; 24

30 2) 紧 急 供 电 : 配 置 抵 抗 电 压 不 足 的 基 本 设 备, 如 UPS; 3) 备 用 供 电 : 建 立 备 用 的 供 电 系 统, 以 备 常 用 供 电 系 统 停 电 时 启 用, 完 成 对 运 行 系 统 必 要 的 保 留 ; 4) 稳 压 供 电 : 采 用 线 路 稳 压 器, 防 止 电 压 波 动 对 计 算 机 系 统 的 影 响 ; 5) 电 源 保 护 : 设 置 电 源 保 护 装 置, 如 金 属 氧 化 物 可 变 电 阻 硅 雪 崩 二 极 管 气 体 放 电 管 滤 波 器 电 压 调 整 变 压 器 和 浪 涌 滤 波 器 等, 防 止 / 减 少 电 源 发 生 故 障 5. 机 房 温 度 湿 度 调 节 应 有 必 要 的 空 调 设 备, 使 机 房 温 度 湿 度 达 到 所 需 设 备 运 行 允 许 的 范 围 6. 机 房 防 水 与 防 潮 机 房 防 水 与 防 潮 应 满 足 : 1) 水 管 安 装 要 求 : 水 管 安 装, 不 得 穿 过 屋 顶 和 活 动 地 板 下, 穿 过 墙 壁 和 楼 板 的 水 管 应 使 用 套 管, 并 采 取 可 靠 的 密 封 措 施 ; 2) 水 害 防 护 : 采 取 一 定 措 施, 防 止 雨 水 通 过 屋 顶 和 墙 壁 渗 透 室 内 水 蒸 气 结 露 和 地 下 积 水 的 转 移 与 渗 透 7. 机 房 防 静 电 机 房 防 静 电 应 满 足 : 1) 接 地 与 屏 蔽 : 采 用 必 要 的 措 施, 使 计 算 机 系 统 有 一 套 合 理 的 防 静 电 接 地 与 屏 蔽 系 统 ; 2) 服 装 防 静 电 : 人 员 服 装 采 用 不 易 产 生 静 电 的 衣 料, 工 作 鞋 选 用 低 阻 值 材 料 制 作 ; 3) 温 湿 度 防 静 电 : 控 制 机 房 温 湿 度, 使 其 保 持 在 不 易 产 生 静 电 的 范 围 内 ; 25

31 4) 地 板 防 静 电 : 机 房 地 板 从 表 面 到 接 地 系 统 的 阻 值, 应 在 不 易 产 生 静 电 的 范 围 ; 5) 材 料 防 静 电 : 机 房 中 使 用 的 各 种 家 具, 工 作 台 柜 等, 应 选 择 产 生 静 电 小 的 材 料 8. 机 房 接 地 与 防 雷 击 机 房 接 地 与 防 雷 击 应 满 足 : 1) 接 地 要 求 : 采 用 地 桩 水 平 栅 网 金 属 板 建 筑 物 基 础 钢 筋 构 建 接 地 系 统 等, 确 保 接 地 体 的 良 好 接 地 ; 2) 去 耦 滤 波 要 求 : 设 置 信 号 地 与 直 流 电 源 地, 并 注 意 不 造 成 额 外 耦 合, 保 障 去 耦 滤 波 等 的 良 好 效 果 ; 3) 避 雷 要 求 : 设 置 避 雷 地, 以 深 埋 地 下 与 大 地 良 好 相 通 的 金 属 板 作 为 接 地 点 ; 至 避 雷 针 的 引 线 则 应 采 用 粗 大 的 紫 铜 条, 或 使 整 个 建 筑 的 钢 筋 自 地 基 以 下 焊 连 成 钢 筋 网 作 为 大 地 与 避 雷 针 相 连 9. 机 房 电 磁 防 护 机 房 电 磁 防 护 应 满 足 : 1) 不 电 源 线 和 通 信 线 缆 应 隔 离, 避 免 相 互 干 扰 ; 10. 通 信 线 路 的 安 全 确 保 线 路 畅 通 : 采 取 必 要 措 施, 保 证 通 信 线 路 畅 通 设 备 安 全 1. 设 备 的 防 盗 和 防 毁 设 备 的 标 记 防 盗 应 满 足 : 1) 设 备 标 记 要 求 : 计 算 机 系 统 的 设 备 和 部 件 应 有 明 显 的 无 法 除 去 的 标 记, 以 防 更 换 和 方 便 查 找 赃 物 ; 2) 计 算 中 心 防 盗 : 计 算 中 心 应 安 装 防 盗 报 警 装 置, 防 止 夜 间 26

32 从 门 窗 进 入 的 盗 窃 行 为 2. 设 备 的 安 全 可 用 基 本 运 行 支 持 : 信 息 系 统 的 所 有 设 备 应 提 供 基 本 的 运 行 支 持, 并 有 必 要 的 容 错 和 故 障 恢 复 能 力 记 录 介 质 安 全 记 录 介 质 安 全 应 满 足 : 1) 用 户 公 开 数 据 介 质 保 护 : 存 放 用 户 公 开 数 据 的 各 类 记 录 介 质, 如 纸 介 质 磁 介 质 半 导 体 介 质 和 光 介 质 等, 应 采 取 一 定 措 施 防 止 被 毁 和 受 损 ; 2) 用 户 内 部 数 据 介 质 保 护 : 存 放 用 户 内 部 数 据 的 各 类 记 录 介 质, 如 纸 介 质 磁 介 质 半 导 体 介 质 和 光 介 质 等, 应 采 取 一 定 措 施, 防 止 被 盗 被 毁 和 受 损 ; 需 要 删 除 和 销 毁 的 内 部 数 据, 应 有 一 定 措 施, 防 止 被 非 法 拷 贝 第 三 级 安 全 防 护 物 理 安 全 要 求 全 要 求 在 达 到 第 二 级 安 全 防 护 物 理 安 全 要 求 的 基 础 上 达 到 以 下 物 理 安 环 境 安 全 1 机 房 场 地 选 择 1) 位 置 要 求 : 避 免 在 建 筑 物 的 高 层 以 及 用 水 设 备 的 下 层 或 隔 壁 ; 2 机 房 内 部 安 全 防 护 1) 机 房 人 员 : 获 准 进 入 机 房 的 来 访 人 员, 其 活 动 范 围 应 受 到 限 制, 并 有 接 待 人 员 陪 同 ; 27

33 2) 机 房 分 区 : 机 房 内 部 应 分 区 管 理, 一 般 分 为 主 机 区 操 作 区 辅 助 区 等, 并 根 据 每 个 工 作 人 员 的 实 际 工 作 需 要, 确 定 其 能 进 入 的 区 域 ; 3) 机 房 门 禁 : 设 置 机 房 电 子 门 禁 系 统, 进 入 机 房 的 人 员, 通 过 门 禁 系 统 的 鉴 别, 方 可 进 入 3 机 房 防 火 1) 建 筑 材 料 防 火 : 机 房 和 重 要 的 记 录 介 质 存 放 间, 其 建 筑 材 料 的 耐 火 等 级, 应 符 合 GBJ 中 规 定 的 第 二 级 耐 火 等 级 ; 机 房 相 关 的 其 余 基 本 工 作 房 间 和 辅 助 房, 其 建 筑 材 料 的 耐 火 等 级 应 不 低 于 TJ 中 规 定 的 第 二 级 耐 火 等 级 ; 2) 报 警 和 灭 火 系 统 : 设 置 火 灾 自 动 报 警 系 统, 包 括 火 灾 自 动 探 测 器 区 域 报 警 器 集 中 报 警 器 和 控 制 器 等, 能 对 火 灾 发 生 的 部 位 以 声 光 或 电 的 形 式 发 出 报 警 信 号, 并 启 动 自 动 灭 火 设 备, 切 断 电 源 关 闭 空 调 设 备 等 ; 4 机 房 供 配 电 1) 紧 急 供 电 : 配 置 抵 抗 电 压 不 足 的 改 进 设 备, 如 基 本 UPS 改 进 UPS 多 级 UPS; 2) 不 间 断 供 电 : 采 用 不 间 断 供 电 电 源, 防 止 电 压 波 动 电 器 干 扰 断 电 等 对 计 算 机 系 统 的 影 响 5 机 房 防 水 与 防 潮 防 水 检 测 : 安 装 对 水 敏 感 的 检 测 仪 表 或 元 件, 对 机 房 进 行 防 水 检 测, 发 现 水 害, 及 时 报 警 6 机 房 接 地 与 防 雷 击 防 护 地 与 屏 蔽 地 要 求 : 设 置 安 全 防 护 地 与 屏 蔽 地, 采 用 阻 抗 尽 可 能 小 的 良 导 体 的 粗 线, 以 减 小 各 种 地 之 间 的 电 位 差 ; 应 采 用 焊 接 方 法, 28

34 并 经 常 检 查 接 地 的 良 好, 检 测 接 地 电 阻, 确 保 人 身 设 备 和 运 行 的 安 全 7 通 信 线 路 的 安 全 防 护 及 时 发 现 线 路 截 获 : 采 取 必 要 措 施, 及 时 发 现 线 路 截 获 事 件 并 报 警 设 备 安 全 1 设 备 的 防 盗 和 防 毁 1) 计 算 中 心 防 盗 : 计 算 中 心 应 利 用 光 电 无 源 红 外 等 技 术 设 置 机 房 报 警 系 统, 并 有 专 人 值 守, 防 止 夜 间 从 门 窗 进 入 的 盗 窃 行 为 ; 2) 机 房 外 部 设 备 防 盗 : 机 房 外 部 的 设 备, 应 采 取 加 固 防 护 等 措 施, 必 要 时 安 排 专 人 看 管, 以 防 止 盗 窃 和 破 坏 2 设 备 的 安 全 可 用 设 备 安 全 可 用 : 支 持 信 息 系 统 运 行 的 所 有 设 备, 包 括 计 算 机 主 机 外 部 设 备 网 络 设 备 及 其 他 辅 助 设 备 等 均 应 安 全 可 用 记 录 介 质 安 全 用 户 重 要 数 据 介 质 保 护 : 存 放 用 户 重 要 数 据 的 各 类 记 录 介 质, 如 纸 介 质 磁 介 质 半 导 体 介 质 和 光 介 质 等, 应 采 取 较 严 格 的 保 护 措 施, 防 止 被 盗 被 毁 和 受 损 ; 应 该 删 除 和 销 毁 的 重 要 数 据, 要 有 有 效 的 管 理 和 审 批 手 续, 防 止 被 非 法 拷 贝 第 四 级 安 全 防 护 物 理 安 全 要 求 全 要 求 在 达 到 第 三 级 安 全 防 护 物 理 安 全 要 求 的 基 础 上 达 到 以 下 物 理 安 29

35 环 境 安 全 1 机 房 供 配 电 1) 电 器 噪 声 防 护 : 采 取 有 效 措 施, 减 少 机 房 中 电 器 噪 声 干 扰, 保 证 计 算 机 系 统 正 常 运 行 ; 2) 突 然 事 件 防 护 : 采 取 有 效 措 施, 防 止 / 减 少 供 电 中 断 异 常 状 态 供 电 ( 指 连 续 电 压 过 载 或 低 电 压 ) 电 压 瞬 变 噪 声 ( 电 磁 干 扰 ) 以 及 由 于 雷 击 等 引 起 的 设 备 突 然 失 效 事 件 2 机 房 防 水 与 防 潮 排 水 要 求 : 机 房 应 设 有 排 水 口, 并 安 装 水 泵, 以 便 迅 速 排 出 积 水 3 机 房 防 静 电 1) 维 修 MOS 电 路 保 护 : 在 硬 件 维 修 时, 应 采 用 金 属 板 台 面 的 专 用 维 修 台, 以 保 护 MOS 电 路 ; 2) 静 电 消 除 要 求 : 在 机 房 中 使 用 静 电 消 除 剂 和 静 电 消 除 器 等, 以 进 一 步 减 少 静 电 的 产 生 4 机 房 接 地 与 防 雷 击 交 流 电 源 地 线 要 求 : 设 置 交 流 电 源 地 线 ; 交 流 供 电 线 应 有 规 范 连 接 位 置 的 三 芯 线, 即 相 线 中 线 和 地 线, 并 将 该 地 线 连 通 机 房 的 地 线 网, 以 确 保 其 安 全 保 护 作 用 5 机 房 电 磁 防 护 电 磁 屏 蔽 : 关 键 区 域 应 采 用 必 要 措 施, 防 止 计 算 机 设 备 产 生 的 电 磁 泄 漏 发 射 造 成 信 息 泄 露 6 通 信 线 路 的 安 全 防 护 防 止 线 路 截 获 : 采 取 必 要 措 施, 防 止 线 路 截 获 事 件 发 生 30

36 设 备 安 全 1 设 备 的 安 全 可 用 设 备 不 间 断 运 行 : 提 供 可 靠 的 运 行 支 持, 并 通 过 容 错 和 故 障 恢 复 等 措 施, 支 持 信 息 系 统 实 现 不 间 断 运 行 4.2 第 二 级 应 用 服 务 区 建 设 要 求 第 二 级 应 用 服 务 区 通 过 建 设 第 二 级 的 安 全 计 算 环 境 安 全 区 域 边 界 安 全 通 信 网 络 及 安 全 管 理 中 心 实 现 第 二 级 系 统 安 全 保 护 环 境, 为 第 二 级 信 息 系 统 提 供 安 全 防 护 安 全 计 算 环 境 建 设 安 全 计 算 环 境 子 系 统 通 过 使 用 安 全 操 作 系 统 或 对 操 作 系 统 进 行 安 全 加 固 并 进 行 功 能 扩 充, 加 入 身 份 认 证 自 主 访 问 控 制 系 统 安 全 审 计 客 体 安 全 重 用 系 统 恶 意 代 码 查 杀 等 功 能 用 户 身 份 鉴 别 (S2) 通 过 使 用 符 合 第 二 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 相 应 的 系 统 加 固 软 件 实 现 用 户 身 份 鉴 别, 安 全 操 作 系 统 或 系 统 加 固 软 件 需 具 备 以 下 功 能 : 宜 支 持 数 字 证 书 进 行 身 份 认 证 应 提 供 用 户 身 份 标 识 唯 一 和 鉴 别 信 息 复 杂 度 检 查 功 能, 保 证 应 用 系 统 中 不 存 在 重 复 用 户 身 份 标 识, 身 份 鉴 别 信 息 不 易 被 冒 用 ; 应 提 供 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 31

37 数 和 自 动 退 出 等 措 施 ; 应 启 用 身 份 鉴 别 用 户 身 份 标 识 唯 一 性 检 查 用 户 身 份 鉴 别 信 息 复 杂 度 检 查 以 及 登 录 失 败 处 理 功 能, 并 根 据 安 全 策 略 配 置 相 关 参 数 在 每 次 用 户 登 录 系 统 时, 采 用 强 化 管 理 的 口 令 或 具 有 相 应 安 全 强 度 的 其 他 机 制 进 行 用 户 身 份 鉴 别, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 (S2) 自 主 访 问 控 制 是 使 用 户 在 安 全 策 略 控 制 范 围 内, 对 自 己 创 建 的 客 体 具 有 各 种 访 问 操 作 权 限, 并 能 将 这 些 权 限 的 部 分 或 全 部 授 予 其 他 用 户 通 过 使 用 符 合 第 二 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 相 应 的 系 统 加 固 软 件 进 行 系 统 加 固 实 现 自 主 访 问 控 制 安 全 要 求 安 全 操 作 系 统 或 系 统 加 固 软 件 需 具 备 以 下 功 能 : 策 略 控 制 : 能 接 收 到 管 理 中 心 下 发 的 安 全 策 略, 并 能 依 据 此 策 略 对 登 录 用 户 的 操 作 权 限 进 行 控 制 ; 客 体 创 建 : 用 户 可 以 在 管 理 中 心 下 发 的 安 全 策 略 控 制 范 围 内 创 建 客 体, 并 拥 有 对 客 体 的 各 种 访 问 操 作 ( 读 写 修 改 和 删 除 等 ) 权 限 ; 授 权 管 理 : 用 户 可 以 将 自 己 创 建 的 客 体 的 访 问 权 限 ( 读 写 修 改 和 删 除 等 ) 的 部 分 或 全 部 授 予 其 他 用 户 ; 访 问 控 制 主 体 的 粒 度 为 用 户 级, 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 32

38 系 统 安 全 审 计 (G2) 通 过 部 署 审 计 系 统, 探 测 记 录 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 安 全 管 理 中 心 实 现 系 统 安 全 审 计 审 计 系 统 需 具 备 以 下 功 能 : 对 系 统 相 关 安 全 事 件 进 行 审 计 记 录 ; 可 以 直 接 或 通 过 审 计 代 理, 将 安 全 事 件 上 报 安 全 管 理 中 心 ; 对 审 计 记 录 应 包 括 安 全 事 件 的 主 体 客 体 时 间 类 型 和 结 果 等 内 容 客 体 安 全 重 用 (S2) 在 客 体 安 全 重 用 要 求 能 对 于 动 态 管 理 和 使 用 的 客 体 资 源, 应 在 客 体 资 源 重 新 分 配 前, 对 其 原 使 用 者 的 信 息 进 行 清 除, 以 确 保 信 息 不 被 泄 漏 客 体 安 全 重 用 可 以 通 过 操 作 系 统 加 固, 利 用 系 统 加 固 时 建 立 的 客 体 安 全 重 用 机 制 实 现 ; 也 可 以 通 过 部 署 客 体 安 全 重 用 系 统, 对 客 体 资 源 进 行 监 控 管 理, 并 记 录 相 关 审 计 信 息 对 建 立 的 客 体 安 全 重 用 系 统, 需 能 对 使 用 的 客 体 资 源 ( 文 件 存 储 内 存 使 用 ) 进 行 监 控 管 理, 在 该 客 体 资 源 重 新 分 配 前 对 其 原 使 用 者 的 信 息 进 行 清 除, 以 确 保 系 统 的 重 要 信 息 不 被 泄 漏 恶 意 代 码 防 范 (G2) 通 过 部 署 病 毒 防 护 系 统 或 配 置 具 有 相 应 功 能 的 安 全 操 作 系 统, 实 现 安 全 计 算 环 境 的 病 毒 防 护 以 及 恶 意 代 码 防 范 病 毒 防 护 系 统 需 具 备 以 下 功 能 : 远 程 控 制 与 管 理 全 网 查 杀 毒 33

39 防 毒 策 略 的 定 制 与 分 发 实 时 监 控 客 户 端 防 毒 状 况 病 毒 与 事 件 报 警 病 毒 日 志 查 询 与 统 计 集 中 式 授 权 管 理 全 面 监 控 邮 件 客 户 端 备 份 和 恢 复 (A2) 建 立 数 据 备 份 措 施, 建 立 备 份 管 理 制 度, 制 定 数 据 备 份 策 略, 对 重 要 信 息 进 行 备 份 以 及 对 依 据 备 份 记 录 进 行 数 据 恢 复 关 键 网 络 设 备 线 路 和 数 据 处 理 设 备 硬 件 冗 余 安 全 区 域 边 界 建 设 区 域 边 界 协 议 过 滤 (G2) 在 系 统 区 域 边 界, 部 署 防 火 墙 或 其 他 访 问 控 制 设 备, 通 过 访 问 控 制 策 略, 实 现 边 界 协 议 过 滤 访 问 控 制 设 备 需 具 备 以 下 功 能 : 实 现 基 于 源 / 目 的 IP 地 址 源 MAC 地 址 服 务 / 端 口 用 户 时 间 组 ( 网 络, 服 务, 用 户, 时 间 ) 的 精 细 粒 度 的 访 问 控 制 ; 能 对 连 接 攻 击 认 证 和 配 置 等 行 为 进 行 审 计, 并 且 可 以 对 审 计 事 件 提 供 的 告 警 ; 实 现 日 志 的 本 地 存 储 远 端 存 储 备 份 等 存 储 方 式 区 域 边 界 恶 意 代 码 防 范 (G2) 在 区 域 边 界 部 署 防 恶 意 代 码 设 备 实 现 区 域 边 界 的 病 毒 防 护 以 及 34

40 恶 意 代 码 防 范 区 域 边 界 防 恶 意 代 码 设 备 需 具 备 以 下 功 能 : 应 具 有 恶 意 代 码 库 ; 恶 意 代 码 的 识 别 与 及 时 清 除 能 力 及 清 除 失 败 的 补 救 能 力 ; 应 提 供 管 理 界 面 对 恶 意 代 码 库 的 升 级 和 检 测 系 统 的 更 新 进 行 维 护 ; 能 通 过 管 理 中 心 对 防 恶 意 代 码 设 备 进 行 管 理 区 域 边 界 安 全 审 计 (G2) 在 区 域 边 界 部 署 审 计 系 统, 收 集 记 录 区 域 边 界 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 区 域 边 界 审 计 系 统 需 具 备 以 下 功 能 : 收 集 记 录 区 域 边 界 的 各 项 安 全 日 志 信 息 ; 并 使 用 标 准 通 讯 协 议 将 探 测 到 的 各 种 审 计 信 息 上 报 安 全 管 理 中 心 ; 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 主 体 事 件 类 型 事 件 是 否 成 功, 及 其 他 与 审 计 相 关 的 信 息 区 域 边 界 完 整 性 保 护 (G2) 在 区 域 边 界 部 署 检 测 设 备 实 现 探 测 非 法 外 联 和 入 侵 等 行 为, 完 成 对 区 域 边 界 的 完 整 性 保 护 检 测 设 备 需 具 备 以 下 功 能 : 能 通 过 监 视 端 口 扫 描 强 力 攻 击 木 马 后 门 攻 击 拒 绝 服 务 攻 击 缓 冲 区 溢 出 攻 击 IP 碎 片 攻 击 和 网 络 蠕 虫 攻 击 等 攻 击 行 为 ; 能 检 测 内 部 网 络 中 用 户 私 自 联 到 外 部 网 络 的 行 为 ; 探 测 结 果 需 上 报 到 安 全 审 计 系 统 35

41 4.2.3 安 全 通 信 网 络 建 设 通 信 网 络 安 全 审 计 (G2) 部 署 网 络 审 计 系 统 或 使 用 安 全 网 络 设 备 等, 收 集 记 录 通 信 网 络 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 通 信 网 络 审 计 系 统 需 具 备 以 下 功 能 : 探 测 记 录 通 信 网 络 中 的 网 络 设 备 配 置 网 络 流 量 用 户 网 络 行 为 等 安 全 事 件 ; 将 探 测 到 的 各 种 审 计 信 息 上 报 安 全 管 理 中 心 ; 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 用 户 事 件 类 型 事 件 是 否 成 功, 及 其 他 与 审 计 相 关 的 信 息 通 信 网 络 数 据 传 输 完 整 性 保 护 (G2) 通 过 密 码 技 术 或 其 他 数 据 校 验 机 制, 对 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 进 行 保 护 4.3 第 三 级 应 用 服 务 区 建 设 要 求 安 全 计 算 环 境 建 设 用 户 身 份 鉴 别 (S3) 通 过 使 用 符 合 第 三 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 相 应 的 系 统 加 固 软 件 实 现 用 户 身 份 鉴 别, 安 全 操 作 系 统 或 系 统 加 固 软 件 除 具 备 用 户 身 份 鉴 别 的 要 求 外, 还 需 具 备 以 下 功 能 : 在 每 次 用 户 登 录 系 统 时, 采 用 强 化 管 理 的 口 令 基 于 生 物 特 征 36

42 基 于 数 字 证 书 以 及 其 他 具 有 相 应 安 全 强 度 的 两 种 或 两 种 以 上 机 制 的 组 合 进 行 用 户 身 份 鉴 别, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 (S3) 通 过 使 用 符 合 第 三 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 相 应 的 系 统 加 固 软 件 进 行 系 统 加 固, 并 结 合 安 全 管 理 中 心 的 安 全 管 理 功 能 实 现 自 主 访 问 控 制 安 全 要 求 安 全 操 作 系 统 或 系 统 加 固 软 件 除 满 足 中 的 要 求 外, 还 需 具 备 以 下 功 能 : 访 问 控 制 客 体 的 粒 度 为 文 件 或 数 据 库 表 级 和 ( 或 ) 记 录 及 字 段 级 标 记 和 强 制 访 问 控 制 (S3) 通 过 采 用 符 合 第 三 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 通 过 采 用 相 应 的 系 统 加 固 软 件 对 系 统 进 行 加 固, 通 过 其 提 供 的 标 记 和 强 制 访 问 控 制 系 统, 实 现 标 记 和 强 制 访 问 控 制 功 能 安 全 操 作 系 统 或 系 统 加 固 软 件 需 具 备 以 下 功 能 : 在 对 安 全 管 理 员 进 行 严 格 的 身 份 鉴 别 和 权 限 控 制 基 础 上, 由 安 全 管 理 员 通 过 特 定 操 作 界 面 对 主 客 体 进 行 安 全 标 记 ; 应 按 安 全 标 记 和 强 制 访 问 控 制 规 则, 对 确 定 主 体 访 问 客 体 的 操 作 进 行 控 制 ; 强 制 访 问 控 制 主 体 的 粒 度 应 为 用 户 级, 客 体 的 粒 度 应 为 文 件 或 数 据 库 表 级 ; 应 确 保 系 统 安 全 计 算 环 境 内 所 有 主 客 体 具 有 一 致 的 标 记 信 息, 并 实 施 相 同 的 强 制 访 问 控 制 规 则 37

43 系 统 安 全 审 计 (G3) 通 过 部 署 审 计 系 统, 探 测 记 录 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 安 全 管 理 中 心 实 现 系 统 安 全 审 计 审 计 系 统 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 要 求 审 计 系 统 能 接 收 由 安 全 管 理 中 心 下 发 的 安 全 事 件 报 警 策 略 ; 审 计 系 统 依 据 预 定 义 的 报 警 策 略 对 特 定 安 全 事 件 进 行 报 警 用 户 数 据 完 整 性 保 护 (G3) 通 过 密 码 技 术 支 持 的 完 整 性 保 护 机 制 和 数 据 备 份 系 统, 共 同 实 现 用 户 数 据 完 整 性 保 护 密 码 技 术 支 持 的 完 整 性 保 护 机 制 需 具 备 以 下 功 能 : 能 对 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 通 过 密 码 算 法 提 供 的 验 证 机 制, 对 存 储 的 数 据 进 行 完 整 性 验 证 ; 能 对 发 现 的 数 据 破 坏 事 件 进 行 记 录 要 求 数 据 备 份 系 统 包 含 以 下 基 本 功 能 : 能 根 据 备 份 管 理 策 略, 自 动 进 行 数 据 备 份 ; 用 户 可 以 通 过 备 份 记 录 进 行 数 据 恢 复 用 户 数 据 保 密 性 保 护 (G3) 用 户 数 据 保 密 性 保 护 要 求 提 供 系 统 管 理 数 据 鉴 别 信 息 重 要 用 户 数 据 存 储 过 程 的 保 密 性 可 采 用 以 下 方 法 中 的 任 意 一 种 进 行 实 现 : 1) 通 过 部 署 符 合 第 三 级 信 息 系 统 安 全 要 求 的 安 全 操 作 系 统 或 部 署 具 备 强 制 访 问 控 制 功 能 的 系 统 加 固 软 件, 实 现 对 存 储 数 据 的 保 密 性 保 护 ; 38

44 2) 通 过 建 立 数 据 加 密 系 统 实 现 对 存 储 数 据 的 保 密 性 保 护 客 体 安 全 重 用 (S3) 同 要 求 恶 意 代 码 防 范 (G3) 同 要 求 备 份 和 恢 复 (A3) 在 满 足 要 求 的 基 础 上, 还 需 具 备 以 下 功 能 : 部 署 备 份 管 理 系 统, 并 且 要 求 备 份 管 理 系 统 能 设 置 定 时 备 份, 能 通 过 网 络 将 备 份 数 据 传 送 到 备 用 场 地, 进 行 备 份 数 据 存 储 对 关 键 网 络 设 备 提 供 双 机 热 备, 进 行 网 络 双 回 路 设 计, 对 重 要 信 息 系 统 采 用 集 群 或 双 机 器 热 ( 冷 ) 备 安 全 区 域 边 界 建 设 区 域 边 界 访 问 控 制 (S3) 在 网 络 区 域 边 界 部 署 访 问 控 制 设 备, 实 现 对 区 域 边 界 的 访 问 控 制 访 问 控 制 设 备 需 具 备 以 下 功 能 : 应 能 根 据 会 话 状 态 信 息 为 数 据 流 提 供 明 确 的 允 许 / 拒 绝 访 问 的 能 力, 控 制 粒 度 为 端 口 级 ; 应 在 会 话 处 于 非 活 跃 一 定 时 间 或 会 话 结 束 后 终 止 网 络 连 接 ; 39

45 应 按 用 户 和 系 统 之 间 的 允 许 访 问 规 则, 决 定 允 许 或 拒 绝 用 户 对 受 控 系 统 进 行 资 源 访 问, 控 制 粒 度 为 单 个 用 户 区 域 边 界 协 议 过 滤 (G3) 在 系 统 区 域 边 界, 部 署 防 火 墙 或 其 他 访 问 控 制 设 备, 通 过 访 问 控 制 策 略, 实 现 边 界 协 议 过 滤, 防 火 墙 或 其 他 访 问 控 制 设 备 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 能 实 现 网 络 流 量 控 制, 依 照 义 务 的 优 先 级 别 分 配 带 宽, 确 保 业 务 的 连 续 服 务 ; 具 备 对 ARP 攻 击 等 地 址 欺 骗 手 段 攻 击 的 防 御 能 力 ; 区 域 边 界 安 全 审 计 (G3) 在 区 域 边 界 部 署 审 计 系 统, 收 集 记 录 区 域 边 界 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 对 于 区 域 边 界 审 计 系 统 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 在 发 现 违 规 行 为 时 能 进 行 及 时 报 警 功 能 区 域 边 界 恶 意 代 码 防 范 (G3) 同 要 求 区 域 边 界 完 整 性 保 护 (G3) 在 区 域 边 界 部 署 检 测 设 备 实 现 探 测 非 法 外 联 和 入 侵 等 行 为, 完 成 对 区 域 边 界 的 完 整 性 保 护 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 部 署 内 网 安 全 管 理 系 统, 对 接 入 内 网 的 设 备 进 行 认 证, 并 对 接 40

46 入 内 网 的 设 备 网 络 资 源 访 问 权 限 进 行 严 格 控 制 ; 安 全 通 信 网 络 建 设 通 信 网 络 安 全 审 计 (G3) 部 署 网 络 审 计 系 统, 收 集 记 录 通 信 网 络 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 通 信 网 络 审 计 系 统 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 对 确 认 的 违 规 行 为 及 时 报 警 通 信 网 络 数 据 传 输 完 整 性 保 护 (G3) 通 过 等 密 码 技 术 或 其 他 数 据 校 验 机 制, 对 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 进 行 保 护, 发 现 数 据 破 坏 的 同 时, 对 被 破 坏 的 数 据 进 行 修 复 或 自 动 抛 弃 被 破 坏 的 数 据, 向 数 据 发 送 端 重 新 请 求 被 抛 弃 的 数 据 通 信 网 络 数 据 传 输 保 密 性 保 护 (G3) 通 信 网 络 数 据 传 输 保 密 性 要 求 提 供 系 统 管 理 数 据 鉴 别 信 息 重 要 用 户 数 据 传 输 的 保 密 性 保 护 可 采 用 以 下 方 法 中 的 任 意 一 种 进 行 实 现 : 1) 通 过 建 立 VPN 为 数 据 传 输 提 供 数 据 保 密 性 保 护 ; 2) 通 过 采 用 加 密 传 输 设 备 为 数 据 传 输 提 供 数 据 保 密 性 保 护 ; 3) 通 过 部 署 符 合 第 三 级 信 息 系 统 安 全 要 求 的 安 全 操 作 系 统 或 部 署 具 数 据 加 密 传 输 功 能 的 系 统 加 固 软 件, 为 数 据 传 输 提 供 数 据 保 密 性 保 护 41

47 4.4 第 四 级 应 用 服 务 区 建 设 要 求 安 全 计 算 环 境 建 设 用 户 身 份 鉴 别 (S4) 通 过 使 用 符 合 第 四 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 相 应 的 系 统 加 固 软 件 实 现 用 户 身 份 鉴 别, 安 全 操 作 系 统 或 系 统 加 固 软 件 除 具 备 的 要 求 外, 还 需 具 备 以 下 功 能 : 在 每 次 用 户 登 录 和 重 新 连 接 系 统 时, 采 用 强 化 管 理 的 口 令 基 于 生 物 特 征 数 据 基 于 数 字 证 书 以 及 其 他 具 有 相 应 安 全 强 度 的 两 种 或 两 种 以 上 机 制 的 组 合 进 行 用 户 身 份 鉴 别 ; 其 中 一 种 鉴 别 技 术 产 生 的 鉴 别 数 据 是 不 可 替 代 的, 并 对 鉴 别 数 据 进 行 保 密 性 和 完 整 性 保 护 自 主 访 问 控 制 (S4) 同 中 的 要 求 标 记 和 强 制 访 问 控 制 (S4) 通 过 采 用 符 合 第 四 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 通 过 采 用 相 应 的 系 统 加 固 软 件 对 服 务 器 以 及 终 端 进 行 系 统 加 固, 通 过 其 提 供 的 标 记 和 强 制 访 问 控 制 系 统, 实 现 标 记 和 强 制 访 问 控 制 功 能 符 合 第 四 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 系 统 加 固 软 件 在 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 能 将 强 制 访 问 控 制 扩 展 到 所 有 主 体 与 客 体 ; 应 按 安 全 标 记 和 强 制 访 问 控 制 规 则, 对 确 定 主 体 访 问 客 体 的 操 42

48 作 进 行 控 制 系 统 安 全 审 计 (G4) 通 过 部 署 审 计 系 统, 探 测 记 录 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 安 全 管 理 中 心 实 现 系 统 安 全 审 计 审 计 系 统 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 能 对 特 定 安 全 事 件 进 行 报 警 和 相 应 的 处 置, 终 止 违 例 进 程 等 ; 确 保 审 计 记 录 不 被 破 坏 或 非 授 权 访 问 以 及 防 止 审 计 记 录 丢 失 等 ; 应 为 安 全 管 理 中 心 提 供 接 口 ; 对 不 能 由 系 统 独 立 处 理 的 安 全 事 件, 应 提 供 可 由 授 权 主 体 调 用 的 接 口 用 户 数 据 完 整 性 保 护 (G4) 同 要 求 用 户 数 据 保 密 性 保 护 (G4) 同 要 求 客 体 安 全 重 用 (S4) 同 要 求 程 序 可 信 执 行 保 护 (G4) 通 过 采 用 符 合 第 四 级 安 全 保 护 要 求 的 安 全 操 作 系 统 或 通 过 采 用 相 应 的 系 统 加 固 软 件 对 服 务 器 以 及 终 端 进 行 系 统 加 固, 构 建 从 操 作 系 统 到 上 层 应 用 的 信 任 链, 其 中 可 采 用 可 信 计 算 技 术, 以 实 现 系 统 运 行 43

49 过 程 中 可 执 行 程 序 的 完 整 性 检 验, 防 范 恶 意 代 码 等 攻 击, 并 在 检 测 到 其 完 整 性 受 到 破 坏 时, 应 采 取 有 效 的 恢 复 措 施 备 份 和 恢 复 (A4) 除 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 在 异 地 建 立 数 据 备 份 中 心, 进 行 数 据 实 时 备 份 ; 为 建 立 异 地 灾 难 备 份 中 心 配 备 应 急 通 信 线 路 网 络 设 备 和 数 据 处 理 设 备, 提 供 业 务 应 用 的 实 时 无 缝 切 换 ; 主 要 网 络 设 备 和 数 据 处 理 硬 件 系 统 需 提 供 冗 余, 通 信 线 路 提 供 双 回 路 安 全 区 域 边 界 建 设 区 域 边 界 访 问 控 制 (S4) 同 要 求 区 域 边 界 协 议 过 滤 (G4) 同 要 求 区 域 边 界 安 全 审 计 (G4) 在 区 域 边 界 部 署 审 计 系 统, 收 集 记 录 区 域 边 界 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 区 域 边 界 审 计 系 统 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 在 发 现 违 规 行 为 时 能 进 行 及 时 报 警 和 并 做 出 相 应 的 处 置 44

50 区 域 边 界 完 整 性 保 护 (G4) 同 要 求 安 全 通 信 网 络 建 设 通 信 网 络 安 全 审 计 (G4) 部 署 网 络 审 计 系 统, 收 集 记 录 通 信 网 络 的 相 关 安 全 事 件, 并 将 审 计 记 录 转 换 为 标 准 格 式, 上 报 审 计 管 理 中 心 通 信 网 络 审 计 系 统 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 对 确 认 的 违 规 行 为 及 时 报 警 并 做 出 相 应 处 置 网 络 数 据 传 输 完 整 性 保 护 (G4) 同 要 求 网 络 数 据 传 输 保 密 性 保 护 (G4) 同 要 求 网 络 可 信 接 入 (G4) 在 网 络 区 域 边 界 部 署 可 信 网 络 接 入 设 备 或 采 用 可 信 接 入 技 术, 依 据 安 全 管 理 中 心 制 定 的 安 全 策 略, 对 接 入 网 络 的 设 备 进 行 验 证, 实 现 对 区 域 边 界 保 护 4.5 安 全 管 理 区 建 设 要 求 各 级 节 点 应 建 立 集 中 安 全 管 理 中 心, 对 本 节 点 内 安 全 设 施 进 行 集 45

51 中 管 理, 根 据 需 要 可 以 在 各 应 用 服 务 区 建 设 本 区 的 安 全 管 理 中 心, 负 责 本 区 内 的 安 全 集 中 管 理 安 全 管 理 中 心 包 括 : 包 括 系 统 / 安 全 管 理 和 审 计 管 理, 系 统 / 安 全 管 理 对 信 息 系 统 安 全 保 护 环 境 中 的 计 算 节 点 区 域 边 界 通 信 网 络 实 施 管 理 和 维 护, 包 括 用 户 身 份 管 理 资 源 管 理 应 急 处 理 授 权 管 理 和 策 略 管 理 审 计 管 理 对 安 全 保 护 环 境 中 的 计 算 节 点 区 域 边 界 通 信 网 络 系 统 / 安 全 管 理 依 据 制 定 的 审 计 策 略 统 一 实 施 安 全 审 计, 记 录 确 定 的 系 统 安 全 相 关 事 件 并 对 其 分 析 ; 提 供 受 保 护 的 审 计 踪 迹 存 储 和 审 计 记 录 的 保 护 ; 为 系 统 不 能 独 立 分 辨 的 审 计 事 件 提 供 可 由 授 权 主 体 调 用 的 审 计 接 口 第 二 级 安 全 管 理 中 心 建 设 系 统 管 理 要 求 应 对 系 统 管 理 员 进 行 身 份 鉴 别, 只 允 许 使 用 特 定 的 命 令 和 操 作 界 面 进 行 系 统 管 理 操 作, 并 对 管 理 操 作 进 行 审 计 审 计 管 理 要 求 应 对 安 全 审 计 员 进 行 身 份 鉴 别, 只 允 许 使 用 特 定 的 命 令 和 操 作 界 面 进 行 安 全 审 计 操 作 第 三 级 安 全 管 理 中 心 建 设 系 统 管 理 中 心 要 求 系 统 管 理 中 心 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 用 户 身 份 管 理, 系 统 资 源 配 置, 系 统 加 载 和 启 动, 系 统 运 行 的 46

52 异 常 处 理, 以 及 支 持 管 理 本 地 和 / 或 异 地 灾 难 备 份 与 恢 复 等 ; 及 时 发 现 发 生 的 安 全 事 件, 并 采 取 相 应 措 施 安 全 管 理 中 心 要 求 建 立 安 全 管 理 中 心 对 主 \ 客 体 进 行 统 一 标 记, 用 户 授 权 策 略 等 进 行 集 中 管 理 对 安 全 管 理 员 进 行 身 份 鉴 别, 只 允 许 使 用 特 定 的 命 令 和 操 作 界 面 进 行 安 全 管 理 操 作, 并 对 管 理 操 作 进 行 审 计 安 全 管 理 中 心 功 能 要 求 如 下 : 1) 标 记 管 理 功 能 要 求 如 下 : 提 供 主 体 标 记 管 理 功 能, 为 系 统 中 的 所 有 用 户 配 置 安 全 级 别 和 安 全 范 畴 提 供 客 体 标 记 管 理 功 能, 为 系 统 与 安 全 业 务 相 关 的 客 体 设 定 安 全 标 记 安 全 标 识 包 括 与 文 件 名 直 接 相 关 的 安 全 标 识 目 录 安 全 标 识 通 配 符 格 式 的 安 全 标 识 等 类 型 同 时 提 供 安 全 标 识 中 安 全 级 别 的 修 改 接 口, 供 人 工 参 与 安 全 级 别 的 制 定 和 更 改 2) 授 权 管 理 功 能 要 求 如 下 : 提 供 授 权 管 理 界 面, 安 全 管 理 子 系 统 提 供 授 权 模 板 维 护 强 制 访 问 控 制 表 和 自 主 访 问 控 制 表, 将 对 特 定 客 体 的 读 写 执 行 等 权 限 赋 予 相 应 的 用 户 对 应 用 流 程 的 特 定 位 置 进 行 授 权, 制 定 级 别 调 整 策 略 网 络 访 问 控 制 策 略 等 提 供 策 略 批 准 功 能, 接 收 并 查 看 来 自 系 统 管 理 员 以 及 各 节 点 上 报 的 策 略 申 请 信 息, 依 据 安 全 管 理 规 则 和 主 客 体 的 安 全 标 识 信 息, 对 合 法 的 申 请 内 容 予 以 批 准 3) 策 略 管 理 功 能 要 求 如 下 : 生 成 访 问 策 略 库 访 问 策 略 库 是 将 用 户 与 用 户 能 够 访 问 的 客 体 47

53 资 源 结 合 起 来 所 形 成 的 一 个 访 问 控 制 策 略 表, 安 全 管 理 子 系 统 根 据 应 用 的 安 全 策 略 配 置, 生 成 访 问 策 略 设 置, 并 将 访 问 策 略 设 置 与 策 略 配 置 功 能 所 生 成 的 用 户 身 份 配 置 文 件 标 识 配 置 以 及 可 信 接 入 策 略 和 可 信 进 程 名 单 等 组 装 发 送 到 各 安 全 部 件 中 策 略 请 求 处 理 和 下 发 策 略 请 求 和 处 理 是 将 设 定 客 体 安 全 级 别 的 特 权 和 该 特 权 所 授 予 的 用 户 身 份 结 合 起 来 所 形 成 的 一 个 权 限 列 表, 该 列 表 项 目 来 源 于 各 用 户 提 出 的 主 客 体 安 全 级 别 修 改 请 求 和 自 主 访 问 控 制 策 略 申 请, 反 应 客 体 资 源 属 性 和 主 体 的 权 限 范 围, 并 将 该 列 表 发 送 给 相 应 主 体 所 在 的 平 台 策 略 的 维 护 策 略 的 维 护 功 能 为 安 全 管 理 员 的 策 略 查 找 策 略 更 新 等 操 作 提 供 支 持, 并 能 够 实 现 策 略 文 件 的 导 入 和 导 出 操 作, 支 持 离 线 状 态 下 的 策 略 管 理, 提 高 安 全 管 理 员 的 策 略 管 理 操 作 的 方 便 性 和 易 用 性 审 计 管 理 中 心 要 求 审 计 管 理 中 心 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 对 分 散 到 系 统 各 部 分 的 安 全 审 计 机 制 进 行 集 中 的 管 理, 对 审 计 记 录 进 行 分 类, 并 将 这 些 记 录 转 换 为 标 准 格 式 进 行 记 录, 对 各 类 审 计 记 录 进 行 存 储 管 理 和 查 询 ; 实 现 自 动 对 采 集 的 审 计 信 息 进 行 分 析, 对 违 规 行 为 进 行 报 警, 并 能 进 行 报 警 方 式 的 设 置 48

54 4.5.3 第 四 级 安 全 管 理 中 心 建 设 系 统 管 理 中 心 要 求 同 要 求 安 全 管 理 中 心 要 求 能 : 安 全 管 理 管 理 中 心 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 确 保 标 记 授 权 合 安 全 策 略 的 数 据 完 整 性 审 计 管 理 中 心 要 求 审 计 管 理 中 心 除 需 满 足 的 要 求 外, 还 需 具 备 以 下 功 能 : 对 违 规 行 为 进 行 及 时 处 理 4.6 核 心 交 换 区 建 设 要 求 核 心 交 换 区 主 要 工 作 是 数 据 交 换, 各 级 系 统 安 全 保 护 环 境 及 终 端 区 通 过 安 全 互 联 到 核 心 交 换 区 实 现 数 据 交 换 处 理 ; 核 心 交 换 区 汇 聚 所 有 数 据 的 集 合, 核 心 交 换 区 应 提 供 高 速 转 发 通 信, 可 靠 的 骨 干 传 输 结 构, 因 此 核 心 交 换 区 应 拥 有 更 高 的 交 换 性 能 和 吞 吐 量 4.7 终 端 区 建 设 要 求 第 二 级 终 端 安 全 要 求 终 端 访 问 安 全 保 护 等 级 为 第 二 级 的 信 息 系 统 需 通 过 使 用 安 全 操 49

55 作 系 统 或 对 操 作 系 统 进 行 安 全 加 固 并 进 行 功 能 扩 充 满 足 以 下 要 求 : 用 户 身 份 鉴 别 : 详 细 参 照 要 求 ; 自 主 访 问 控 制 : 详 细 参 照 要 求 ; 系 统 安 全 审 计 : 提 供 对 用 户 登 录 审 计 文 件 访 问 审 计 进 程 启 动 审 计 移 动 存 储 设 备 使 用 审 计 网 络 访 问 审 计 恶 意 代 码 防 范 : 详 细 参 照 要 求 第 三 级 终 端 安 全 要 求 终 端 访 问 安 全 保 护 等 级 为 第 三 级 的 信 息 系 统 需 通 过 使 用 安 全 操 作 系 统 或 对 操 作 系 统 进 行 安 全 加 固 并 进 行 功 能 扩 充 满 足 以 下 要 求 : 用 户 身 份 鉴 别 : 详 细 参 照 要 求 ; 自 主 访 问 控 制 : 详 细 参 照 要 求 ; 强 制 访 问 控 制 : 提 供 控 制 文 件 操 作 ( 读 写 改 名 和 删 除 ) 文 件 的 特 权 访 问, 粒 度 为 文 件 或 文 件 夹 系 统 安 全 审 计 : 提 供 对 用 户 登 录 审 计 文 件 访 问 审 计 进 程 启 动 审 计 移 动 存 储 设 备 使 用 审 计 网 络 访 问 审 计 数 据 保 密 性 保 护 : 提 供 信 息 进 行 加 密 保 护, 加 密 粒 度 为 文 件 或 目 录 ; 恶 意 代 码 防 范 : 详 细 参 照 要 求 第 四 级 终 端 安 全 要 求 终 端 访 问 安 全 保 护 等 级 为 第 四 级 的 信 息 系 统 需 通 过 使 用 安 全 操 作 系 统 或 对 操 作 系 统 进 行 安 全 加 固 并 进 行 功 能 扩 充 满 足 以 下 要 求 : 用 户 身 份 鉴 别 : 详 细 参 照 要 求 ; 自 主 访 问 控 制 : 详 细 参 照 要 求 ; 50

56 强 制 访 问 控 制 : 提 供 控 制 文 件 操 作 ( 读 写 改 名 和 删 除 ) 文 件 的 特 权 访 问, 粒 度 为 文 件 或 文 件 夹 系 统 安 全 审 计 : 提 供 对 用 户 登 录 审 计 文 件 访 问 审 计 进 程 启 动 审 计 移 动 存 储 设 备 使 用 审 计 网 络 访 问 审 计 数 据 保 密 性 保 护 : 提 供 信 息 进 行 加 密 保 护, 加 密 粒 度 为 文 件 或 目 录 ; 恶 意 代 码 防 范 : 详 细 参 照 要 求 ; 程 序 可 信 执 行 保 护 : 提 供 程 序 保 护, 非 授 权 程 序 无 法 获 得 执 行 权 限, 被 篡 改 的 授 权 程 序 无 法 启 动, 授 权 程 序 无 法 被 写 篡 改 4.8 公 众 服 务 区 建 设 要 求 部 级 节 点 水 利 部 公 众 服 务 区 按 照 第 三 级 应 用 服 务 区 的 相 关 要 求 建 设 省 流 域 级 节 点 在 水 利 行 业 省 流 域 级 单 位 的 公 众 服 务 区, 一 般 包 含 有 已 定 级 为 第 二 级 第 三 级 的 公 众 服 务 系 统 公 众 服 务 区 根 据 包 含 的 公 众 服 务 系 统 最 高 等 级 按 照 相 应 等 级 应 用 服 务 区 的 相 关 要 求 建 设 市 级 节 点 在 水 利 行 业 市 级 单 位 的 公 众 服 务 区, 一 般 包 含 有 已 定 级 为 第 二 级 的 公 众 服 务 系 统, 公 众 服 务 区 按 照 第 二 级 应 用 服 务 区 的 相 关 要 求 建 设 当 市 级 单 位 的 公 众 服 务 区 中 包 含 有 已 定 级 为 第 三 级 的 信 息 系 统 时, 需 要 按 照 第 三 级 应 用 服 务 区 的 相 关 要 求 进 行 设 计 建 设 或 整 改 51

57 4.8.4 县 级 节 点 在 水 利 行 业 县 级 单 位 的 公 众 服 务 区, 一 般 包 含 有 已 定 级 为 第 二 级 的 信 息 系 统 公 众 服 务 区 按 照 第 二 级 应 用 服 务 区 的 相 关 要 求 建 设 当 县 级 单 位 的 公 众 服 务 区 中 包 含 有 已 定 级 为 第 三 级 的 信 息 系 统 时, 需 要 按 照 第 三 级 应 用 服 务 区 的 相 关 要 求 进 行 设 计 建 设 或 整 改 4.9 安 全 互 联 部 件 建 设 要 求 安 全 互 联 部 件 遵 循 GB 对 各 级 系 统 的 安 全 保 护 要 求, 以 各 定 级 系 统 的 计 算 环 境 安 全 区 域 边 界 安 全 和 通 信 网 络 安 全 为 基 础, 通 过 安 全 管 理 中 心 增 加 相 应 的 安 全 互 联 策 略, 保 持 用 户 身 份 主 / 客 体 标 记 访 问 控 制 策 略 等 安 全 要 素 的 一 致 性, 对 互 联 系 统 之 间 的 互 操 作 和 数 据 交 换 进 行 安 全 保 护 1 系 统 间 互 操 作 安 全 要 求 各 级 系 统 之 间 的 互 操 作 安 全 防 护 包 括 访 问 控 制 部 分 和 数 据 传 输 保 护 部 分 对 于 访 问 控 制 部 分, 需 要 对 全 系 统 中 的 主 体 客 体 进 行 统 一 标 记, 并 设 置 统 一 的 访 问 规 则 对 于 数 据 传 输 保 护 部 分 由 相 关 的 通 信 网 络 来 实 现 52

58 第 二 级 应 用 服 务 区 第 三 级 应 用 服 务 区 第 四 级 应 用 服 务 区 其 他 节 点 安 全 互 联 安 全 互 联 安 全 互 联 公 众 服 务 区 安 全 互 联 安 全 互 联 安 全 互 联 安 全 管 理 区 终 端 区 图 4-1 安 全 互 联 系 统 结 构 示 意 图 2 系 统 间 数 据 交 换 安 全 要 求 各 级 系 统 之 间 的 数 据 交 换 安 全 防 护 主 要 是 确 保 通 过 跨 系 统 通 信 网 络 进 行 数 据 交 换 的 参 与 者 双 方 身 份 的 真 实 性 和 交 换 数 据 的 真 实 性 及 抗 抵 赖 等 实 现 通 信 网 络 数 据 交 换 的 参 与 者 双 方 身 份 的 真 实 性 和 交 换 数 据 的 真 实 性 及 抗 抵 赖 等, 可 以 采 用 以 PKI 为 基 础 的 CA 系 统 实 现 或 采 用 具 有 相 当 安 全 性 的 其 他 安 全 机 制 实 现 53

59 5 应 用 安 全 建 设 要 求 新 建 应 用 系 统 或 对 已 有 应 用 系 统 升 级 改 造 时, 可 以 参 照 本 要 求 进 行 应 用 系 统 安 全 建 设 5.1 第 二 级 应 用 安 全 建 设 身 份 鉴 别 (S2) 1) 宜 支 持 CA 数 字 证 书 进 行 身 份 认 证 ; 2) 应 提 供 专 用 的 登 录 控 制 模 块 对 登 录 用 户 进 行 身 份 标 识 和 鉴 别 ; 3) 应 提 供 用 户 身 份 标 识 唯 一 和 鉴 别 信 息 复 杂 度 检 查 功 能, 保 证 应 用 系 统 中 不 存 在 重 复 用 户 身 份 标 识, 身 份 鉴 别 信 息 不 易 被 冒 用 ; 4) 应 提 供 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 访 问 控 制 (S2) 1) 应 提 供 访 问 控 制 功 能, 依 据 安 全 策 略 控 制 用 户 对 应 用 资 源 的 访 问 ; 2) 访 问 控 制 的 覆 盖 范 围 应 包 括 与 资 源 访 问 相 关 的 主 体 客 体 及 它 们 之 间 的 操 作 ; 3) 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ; 4) 应 授 予 不 同 帐 户 为 完 成 各 自 承 担 任 务 所 需 的 最 小 权 限, 并 在 它 们 之 间 形 成 相 互 制 约 的 关 系 54

60 5.1.3 安 全 审 计 (G2) 1) 应 提 供 覆 盖 到 每 个 用 户 的 安 全 审 计 功 能, 对 应 用 系 统 重 要 安 全 事 件 进 行 审 计 ; 2) 应 保 证 无 法 删 除 修 改 审 计 记 录, 应 将 审 计 记 录 上 传 至 安 全 管 理 中 心 ; 3) 审 计 记 录 的 内 容 至 少 应 包 括 事 件 日 期 时 间 发 起 者 信 息 类 型 描 述 和 结 果 等 软 件 容 错 (A2) 1) 应 提 供 数 据 有 效 性 检 验 功 能, 保 证 通 过 人 机 接 口 输 入 或 通 过 通 信 接 口 输 入 的 数 据 格 式 或 长 度 符 合 系 统 设 定 要 求 资 源 控 制 (A2) 1) 当 应 用 系 统 的 通 信 双 方 中 的 一 方 在 一 段 时 间 内 未 作 任 何 响 应, 另 一 方 应 能 够 自 动 结 束 会 话 ; 2) 应 能 够 对 系 统 的 最 大 并 发 会 话 连 接 数 进 行 限 制 ; 3) 应 能 够 对 单 个 帐 户 的 多 重 并 发 会 话 进 行 限 制 5.2 第 三 级 应 用 安 全 建 设 身 份 鉴 别 (S3) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 对 同 一 用 户 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别 ; 55

61 2) 可 提 供 身 份 鉴 别 策 略 管 理 接 口, 由 安 全 管 理 中 心 统 一 管 理 策 略 访 问 控 制 (S3) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 具 有 对 重 要 应 用 资 源 设 置 敏 感 标 记 的 功 能 ; 2) 应 依 据 安 全 策 略 严 格 控 制 用 户 对 有 敏 感 标 记 重 要 应 用 资 源 的 操 作 ; 3) 可 提 供 访 问 控 制 策 略 管 理 接 口, 由 安 全 管 理 中 心 统 一 管 理 策 略 安 全 审 计 (G3) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 保 证 无 法 单 独 中 断 审 计 进 程 ; 2) 可 提 供 审 计 策 略 管 理 接 口, 由 安 全 管 理 中 心 统 一 管 理 策 略 客 体 安 全 重 用 (S3) 1) 可 保 证 用 户 鉴 别 信 息 所 在 的 存 储 空 间 被 释 放 前 得 到 完 全 清 除, 无 论 这 些 信 息 是 存 放 在 硬 盘 上 还 是 在 内 存 中 ; 2) 可 保 证 应 用 数 据 的 存 储 空 间 被 释 放 前 得 到 完 全 清 除 抗 抵 赖 (G3) 1) 应 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 原 发 证 据 的 功 能 ; 56

62 2) 应 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 接 收 证 据 的 功 能 软 件 容 错 (A3) 同 的 要 求 资 源 控 制 (A3) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 能 够 对 一 个 时 间 段 内 可 能 的 并 发 会 话 连 接 数 进 行 限 制 ; 2) 应 能 够 对 一 个 访 问 帐 户 或 一 个 请 求 进 程 占 用 的 资 源 分 配 最 大 限 额 和 最 小 限 额 5.3 第 四 级 应 用 安 全 建 设 身 份 鉴 别 (S4) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 对 同 一 用 户 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别, 其 中 一 种 是 不 可 伪 造 的 访 问 控 制 (S4) 在 实 现 要 求 的 基 础 上, 还 需 实 现 以 下 要 求 : 1) 应 通 过 比 较 安 全 标 记 来 确 定 是 授 予 还 是 拒 绝 主 体 对 客 体 的 访 问 57

63 5.3.3 可 信 路 径 (S4) 1) 在 应 用 系 统 对 用 户 进 行 身 份 鉴 别 时, 应 能 够 建 立 一 条 安 全 的 信 息 传 输 路 径 ; 2) 在 用 户 通 过 应 用 系 统 对 资 源 进 行 访 问 时, 应 用 系 统 应 保 证 在 被 访 问 的 资 源 与 用 户 之 间 应 能 够 建 立 一 条 安 全 的 信 息 传 输 路 径 安 全 审 计 (G4) 同 要 求 客 体 安 全 重 用 (S4) 同 要 求 抗 抵 赖 (G4) 同 要 求 软 件 容 错 (A4) 同 要 求 资 源 控 制 (A4) 同 要 求 58