网络渗透第一次作业：对等级保护2.0的认识

一·对等级保护基本介绍
  网络安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

二·等级保护的undeground
在历史背景上

第一阶段（1994-2007 网络安全等级保护起步与探索）：1994年2月18日《中华人民共和国计算机信息系统安全保护条例》 （国务院第147号令）
2003年9月7日《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）
2004年9月15日《关于信息安全等级保护工作的实施意见》
2007年6月22日《信息安全等级保护管理办法》（公通字［2007］43 号）
2007年7月16日《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）
第二阶段（2007-2016 网络安全等级保护标准化与发展）GB/T 22239—2008 基本要求；22240、25070、28448、28449等保国标系列标准。
第三阶段（2016-2019 网络安全等级保护行业深耕落地）2017年6月1日《中华人民共和国网络安全法》
2018年6月27日《网络安全等级保护管理条例（征求意见稿）》
第四阶段（2019——进入网络安全等级保护2.0时代）2019年5月13日《信息安全技术网络安全等级保护基本要求》
2020年7月22日《贯彻落实网络安全等保制度和关保制度的指导意见》（公安部1960号）
2020年11月1日《信息安全技术 网络安全等级保护定级指南 GB/T22240-2020》正式实施

现代发展需求背景
自1994年第“147号令”，我国开始实施信息系统等级保护。十几年来，在金融、能源、电信、医疗卫生等多个行业都已深耕落地，但是随着云计算、大数据、物联网、移动互联以及人工智能等新技术的发展，等级保护1.0已无法有效的应对新技术带来的信息安全风险，为了满足新的技术挑战，有效防范和管理各种信息技术风险，提升国家层面的安全水平，等级保护2.0应时而生。网络安全进入新的发展阶段，很多行业主管单位要求行业客户开展等级保护工作，合理地规避风险。资料显示网络安全相关公司有北京时代新威、启明星辰、蓝盾股份等，其中时代新威是国家等保办推荐测评机构（证书编号：DJCP2019110192）。

所以在等级保护的发展上以及等保2.0的产生上具有着它的历史必然性以及当下社会发展中的重要性。为国家在信息高速发展的时代中为规范市场，促进发展，提高安全水平做出贡献。

三·关于等保在内容上的Innovation and Development

保护对象范围扩大

- 纳入新兴技术领域：

- 云计算平台：随着越来越多的企业选择将业务迁移到云端，云计算平台承载着海量的企业数据和业务应用。等保2.0将其纳入保护范畴，针对云计算的特点，例如多租户模式下不同用户数据和业务的隔离、云资源的动态分配与安全管理、云平台自身的架构安全等都制定了相应要求。像某电商企业租用云服务器开展线上业务，其使用的云平台就要按照等保2.0要求，保障不同租户（各个电商店铺所属的数据和应用等）之间不会因云平台的安全漏洞出现数据泄露或相互干扰的情况，并且云平台在资源调配过程中要确保业务的连续性和安全性。

- 大数据平台：大数据在当今社会各个领域广泛应用，用于收集、存储、分析海量的数据。等保2.0考虑到大数据的特殊性，如数据的多样性（结构化、非结构化数据并存）、数据处理流程复杂（涉及数据采集、清洗、挖掘等多环节）以及数据量大带来的存储和管理难题等，规定了大数据平台要进行数据分类分级管理，依据数据的敏感程度采取不同强度的安全保护措施，同时在数据共享、开发利用等场景要做好数据脱敏等工作，防止敏感数据在流转过程中被不当利用。例如金融机构利用大数据平台进行风险评估和信贷决策，其中涉及大量客户的个人隐私信息和金融交易数据，就需要严格遵循等保2.0大数据扩展要求来保障数据安全。

- 物联网系统：物联网涵盖了众多设备与网络的连接，从智能家居设备到工业生产中的智能传感器等。等保2.0针对物联网的终端设备众多、通信协议多样、网络拓扑复杂等特点，着重对设备的安全接入进行规范，要求每个物联网设备都要有唯一可识别、可验证的身份标识，只有通过认证的合法设备才能接入网络，防止非法设备的接入篡改数据或干扰正常业务运行。例如在智能交通系统中，路边的交通流量监测传感器、智能信号灯等物联网设备都需要遵循这些要求，确保整个交通物联网系统的安全稳定，避免因恶意攻击导致交通混乱。

- 工业控制系统：工业控制系统关系到国家关键工业领域的生产运营，像电力、化工、制造业等行业的自动化生产流程都依赖工业控制系统。等保2.0强调工业控制系统的网络安全防护，要求其控制网络与外部办公网络、互联网等进行有效的安全隔离，防止外部网络攻击渗透到生产控制环节，同时对工业控制协议（如常用的Modbus、OPC等协议）进行安全加固，保障在工业控制指令传输过程中的准确性和安全性，避免因网络安全问题引发工业生产事故，影响国计民生。

- 移动互联网络：如今移动应用广泛普及，人们通过手机等移动设备开展各类业务活动。等保2.0针对移动互联场景下移动应用的开发安全、运行安全以及移动设备的安全管理等方面制定规则，例如要求移动应用开发过程中要做好代码安全审查，防止出现漏洞被黑客利用植入恶意代码，在移动设备接入企业内部网络等场景时要进行身份认证和安全检测，确保移动互联网络环境的安全。

安全要求全面升级

- 安全通用要求优化：

- 技术层面：

- 安全物理环境：相较于等保1.0，对等保2.0对机房等物理环境的选址、建设、防护设施等方面要求更加细化。不仅要考虑地理位置的安全性（如远离自然灾害易发区、电磁干扰源等），还要严格规范机房的访问控制，采用多因素身份验证（如门禁卡加指纹识别等）来限制人员的进出，并且对机房内的温湿度、电力供应等环境条件要有实时的监控和应急保障措施，确保信息系统硬件所处的物理环境稳定可靠，避免因物理环境问题引发系统故障或安全隐患。

- 安全通信网络：在网络架构设计上，要求具备冗余性和高可用性，例如采用双链路网络接入等方式，防止单点故障导致网络中断。加强网络访问控制，通过防火墙、访问控制列表等手段精确地限制不同网络区域之间、内外网之间的访问权限，同时要具备入侵检测和防范能力，能够实时监测并阻止外部网络的恶意入侵行为，像对常见的网络扫描、DDoS攻击等要有有效的应对机制，保障网络通信的安全顺畅。

- 安全区域边界：进一步明确了不同安全区域之间的边界划分和防护措施，通过部署入侵防御系统、边界防火墙等设备，对跨越区域边界的网络流量进行深度检测和过滤，识别并阻断异常的访问请求。例如在企业的办公区网络和核心业务区网络之间设置严格的区域边界防护，防止办公区可能遭受的外部攻击或者内部违规操作影响到核心业务系统的安全。

- 安全计算环境：对服务器、终端等计算设备的安全要求更加严格，包括操作系统、数据库等软件要及时更新安全补丁，采用强身份认证机制（如多因素认证等）保障用户登录的安全性，对重要数据在存储和传输过程中要进行加密处理，同时要通过安全审计功能记录设备上的各类操作行为，便于事后追溯和分析安全事件，确保计算环境的安全可靠，防止数据泄露、恶意篡改等安全风险。

- 安全管理中心：这是等保2.0新增的一个重要方面，强调建立统一的安全管理平台，将分散在各个系统、设备中的安全管理功能进行整合，如集中进行漏洞扫描管理、安全策略配置、安全事件监测与分析等，通过这个中心实现对整个网络安全态势的实时掌控和统一指挥调度，提升整体的安全管理效率和应急响应能力。

- 管理层面：

- 安全管理制度：要求网络运营者制定更为完善、细致且可操作的安全管理制度体系，涵盖从日常安全操作规范到应急响应预案等一系列文件，并且要根据业务发展、技术变化等情况定期对这些制度进行修订和更新，确保制度的时效性和适用性。例如，企业要制定详细的员工网络安全行为准则，明确规定禁止在办公网络中随意下载不明来源的软件等行为，并制定相应的奖惩措施来保障制度的有效执行。

- 安全管理机构：明确需要设立专门的网络安全管理部门或岗位，配置专业的安全管理人员，明确各岗位的职责分工，形成有效的安全管理组织架构。例如大型企业要设置网络安全总监、安全运维工程师、安全审计员等不同岗位，各岗位各司其职，共同协作做好企业的网络安全管理工作。

- 安全管理人员：对安全管理人员的录用、培训、考核等环节都有严格要求，录用时要考察其专业背景和相关安全资质，入职后要定期开展不同层次、不同内容的网络安全培训，包括最新的网络攻击手段及防护技术、安全法规政策解读等，同时通过绩效考核等方式激励管理人员不断提升自身专业素养，保障安全管理工作的质量。

- 安全建设管理：从信息系统的规划、设计阶段就开始融入网络安全理念，要求进行安全需求分析、安全方案设计等工作，在系统建设过程中严格按照安全标准采购设备、进行软件开发等，确保新建系统在上线前就具备符合等级保护要求的安全能力，避免后期出现先天性的安全缺陷。

- 安全运维管理：加强对信息系统日常运行维护阶段的安全管理，包括定期的系统巡检、设备维护、安全漏洞扫描与修复、数据备份与恢复等工作，同时要做好安全事件的记录和应急响应，一旦出现安全问题能够快速定位、及时处理，保障系统的持续稳定运行。

- 安全扩展要求新增：

- 云计算扩展要求：在云计算环境下，针对云服务提供商和云租户的不同角色和责任有清晰划分。云服务提供商要保障云平台基础设施的安全，如对云服务器的物理硬件进行安全防护、确保虚拟资源分配的合理与安全等；而云租户除了要遵循通用安全要求外，还要特别关注自身应用和数据在云计算环境中的安全，比如选择合适的加密方式对存储在云平台上的数据进行加密，设置合理的访问权限确保只有授权人员能够访问自己的数据等。此外，对于云平台的运维管理，要求建立多租户隔离机制，保证不同租户之间在资源使用、数据存储等方面不会相互干扰和泄露，并且在云平台升级、迁移等操作过程中保障租户业务的连续性和数据安全。

- 大数据扩展要求：除了前面提到的数据分类分级和脱敏处理外，对于大数据平台的计算资源管理也有要求，要确保大数据分析、挖掘等计算过程的安全，防止恶意攻击者利用大数据算法漏洞进行数据窃取或者篡改分析结果等行为。在大数据的存储方面，要根据数据的重要性和访问频率等因素选择合适的存储架构和存储介质，同时采用数据冗余备份、异地灾备等方式保障数据的可用性和完整性，以应对可能出现的硬件故障、自然灾害等情况导致的数据丢失风险。

- 物联网扩展要求：物联网系统的安全扩展要求重点关注设备层到网络层再到平台层的全链条安全。对于物联网终端设备，除了安全接入要求外，还要对设备的固件进行安全升级管理，防止因设备自身存在的安全漏洞被利用，同时要确保设备在低功耗等特殊运行状态下也具备一定的安全防护能力。在网络传输环节，要采用适合物联网特点的安全通信协议，对传输的数据进行加密和完整性验证，保证数据在复杂的物联网环境中准确、安全地传输。在物联网平台方面，要对平台的配置管理、用户管理、数据管理等进行严格规范，例如对平台的管理员账号要采用强密码和多因素认证，对平台上的数据访问要进行详细的权限审批等，保障物联网平台的安全运营。

- 工业控制系统扩展要求：工业控制系统扩展要求围绕保障工业生产流程的安全稳定运行这一核心目标。在网络架构方面，强调采用分层分区的设计理念，将工业控制网络划分为不同的安全区域，如生产管理区、过程监控区、现场控制区等，每个区域之间通过工业防火墙等设备进行严格的安全隔离和访问控制，同时对不同区域间的数据交换进行严格审核和过滤。对于工业控制设备，要求具备硬件冗余和故障诊断功能，保障在设备出现故障时能够快速切换或修复，不影响生产的正常进行。此外，对工业控制软件，要进行严格的代码审查和安全测试，防止因软件漏洞引发工业生产事故，并且要建立工业控制系统的安全应急机制，一旦出现网络安全事件能够迅速采取措施，最大限度降低对工业生产的影响。

- 移动互联扩展要求：在移动互联领域，针对移动应用的开发环节，要求遵循安全开发规范，从代码编写的安全性、应用接口的防护到应用的打包发布等全过程进行安全把控，例如要避免出现硬编码密码等安全隐患。在移动应用的运行阶段，要具备实时的安全监测能力，能够检测到应用是否被篡改、是否存在恶意代码注入等情况，并且及时向用户和运营者发出预警。对于移动设备管理，要建立设备的注册、认证和远程管理机制，当设备丢失或被盗时，可以远程擦除设备上的数据、锁定设备等，防止设备上的数据泄露，保障移动互联网络的整体安全。

核心防护理念更新

- “一个中心，三重防护”理念：

- 安全管理中心：作为整个网络安全防护体系的核心，它起到统筹协调、集中管理的作用。通过收集来自安全计算环境（如服务器、终端设备等）、安全区域边界（不同网络区域间的防护设备等）、安全通信网络（网络设备、通信链路等）各个层面的安全信息，包括安全事件报警、设备运行状态、网络流量数据等，运用大数据分析、人工智能等技术进行综合分析，实时掌握网络的整体安全态势。例如，当安全管理中心监测到某个区域边界的入侵防御系统频繁报警，显示有外部疑似恶意攻击的流量试图突破边界时，它可以迅速协调相关的安全设备（如防火墙调整访问控制策略等）进行应对，同时通知安全管理人员及时关注和处理该情况，形成快速响应机制。

- 安全计算环境防护：这是最接近信息资产（如数据、应用等）的一层防护，主要聚焦于保障计算设备自身的安全以及其上运行的数据和应用的安全。通过采用诸如操作系统安全加固、安装防病毒软件、启用数据加密、设置严格的用户权限管理等措施，防止内部人员的违规操作以及外部攻击对计算环境造成破坏，确保信息在产生、存储、使用等环节的安全性。例如，在企业的办公终端上，通过安装终端安全管理软件，限制员工对某些敏感文件的访问权限，只有具备相应授权的人员才能打开和编辑这些文件，同时对终端上的数据传输进行加密，保障数据在终端层面的安全。

- 安全区域边界防护：主要是对不同安全区域（如企业内部的办公区网络、研发区网络、核心业务区网络等）之间进行明确的边界划分和有效的防护。利用边界防火墙、入侵防御系统、VPN设备等，对外来的网络流量进行严格的过滤和检测，只允许合法合规的访问请求通过边界进入相应区域，同时阻止内部区域的非法访问向外流出，防止外部网络攻击渗透到内部核心区域以及内部安全区域间的违规访问行为。例如，在企业的核心业务区网络边界设置高性能的入侵防御系统，对进入该区域的网络流量进行深度包检测，识别并拦截诸如SQL注入、恶意脚本等网络攻击行为，保障核心业务区的安全。

- 安全通信网络防护：侧重于保障网络通信链路和网络设备的安全，确保信息在网络中传输的可靠性和安全性。通过采用网络冗余技术（如双链路、多路由等）保障网络不会因单点故障而中断通信，运用加密技术（如SSL/TLS协议等）对传输的数据进行加密，防止数据在传输过程中被窃取或篡改，同时利用网络监控和入侵检测手段实时监测网络中的异常流量和攻击行为，及时采取措施进行处理。例如，银行的网上交易系统在客户与银行服务器之间的通信过程中，采用SSL/TLS加密协议对交易数据进行加密传输，保障客户的账户信息、交易密码等敏感数据在网络传输过程中的保密性和完整性。

可信计算技术强化

- 可信体系建设：等保2.0将可信验证融入到各个安全级别和各个环节中，从硬件到软件，从系统启动到运行过程，都要求具备可信验证能力。例如，在计算机硬件层面，通过可信芯片等硬件模块对计算机的BIOS（基本输入输出系统）进行可信验证，确保BIOS未被篡改，只有通过验证的BIOS才能启动计算机系统，防止恶意攻击者通过篡改BIOS植入恶意代码来控制计算机。在操作系统层面，对系统内核、关键驱动程序等进行可信验证，一旦发现有被篡改的迹象，系统能够及时发出警报并采取相应的限制措施，如禁止非法访问、自动隔离等，保障操作系统的完整性和安全性。

- 密码技术与可信计算协同：利用密码技术为可信计算提供支撑，如采用数字签名、加密算法等对可信验证过程中的关键信息进行保护，确保验证信息的真实性和保密性。同时，可信计算为密码技术的应用提供了更可靠的运行环境，例如在可信环境下，密码密钥的生成、存储和使用更加安全，防止密钥泄露导致的加密体系失效。通过密码技术和可信计算技术的紧密结合，构建起主动防御体系，使信息系统在面对各种潜在的网络安全威胁时，能够提前发现、主动防御，而不是仅仅依靠事后的检测和修复，提升了整个系统的安全可靠性。

测评标准精确细化

- 测评等级划分：等保2.0的测评结论分为优（90分及以上）、良（80分及以上）、中（70分及以上）、差（低于70分）四档，相较于等保1.0那种相对模糊的符合与不符合评判方式，这种精确的分档能够更细致地反映信息系统的安全状况。例如，一个信息系统测评得分为85分，就可以明确其处于“良”的水平，说明整体安全状况较好，但可能还存在一些需要改进的地方，比如部分安全管理制度执行不够到位或者某些技术防护措施还可进一步优化等，为信息系统的运营者提供了更具针对性的改进方向和指导依据。

- 测评指标细化：测评指标在各个安全层面都进行了细化和量化，无论是安全物理环境中的机房温湿度控制范围、人员访问控制的具体措施，还是安全管理机构中各岗位的职责明确程度、安全培训的频次等，都有明确的测评标准和要求。这使得测评机构在开展测评工作时能够更加客观、准确地评估信息系统的安全水平，同时也让信息系统的运营者清楚知晓自身在哪些方面达到了标准，哪些方面还存在差距，便于有针对性地进行整改和完善，持续提升网络安全防护能力。

四·结语

  等保2.0的全面实施，使得密码技术的应用场景从传统的少数特定领域扩展到了云计算、大数据、物联网、工业控制系统等众多新兴技术领域。作为密码科学与技术专业的学生，意味着未来有更多机会参与到这些不同类型的项目中，比如为大数据平台设计合理的数据加密方案，或者为物联网设备间的通信定制安全的加密协议等，极大地拓宽了专业施展的空间。我们应当深刻认识等保2.0对于理解密码技术在网络安全领域的重要地位、把握专业发展方向以及积累专业实践经验等方面都有着至关重要的意义，应当将其作为重要的学习和研究内容来对待。