网络安全等级保护加固方案【适用二级、三级系统】

网络安全等级保护加固方案

（适用二级、三级系统）

目 录

一、 安全通信网络—网络架构

二、 安全区域边界—边界访问控制策略

三、 安全计算环境—交换机、路由器、防火墙等网络设备、安全设备

四、 安全计算环境—中间件

五、 安全计算环境—应用系统、数据库：

六、 安全计算环境—服务器

七、 安全计算环境—终端

八、 安全管理中心

九、 管理制度

十、 物联网扩展要求（感知节点-检测器）

十一、云计算扩展要求

• 安全通信网络—网络架构（含虚拟网络）

1. 合理划分网络分区，划分不同Vlan，需要按照应用系统类别划分不同的VLAN段，做到重要网络区域内横向（东西向）内部隔离、纵向（南北向）访问控制、内网与外网隔离；
2. 关键线路和设备冗余，对于高可用性的三级及以上系统，网络中关键业务流向上的设备、链路要求冗余部署，避免因线路或设备故障导致业务服务中断；
3. 重要数据网络加密传输，鉴别信息、个人敏感信息或重要业务敏感信息等，要求在传输过程中使用加密协议，可使用网络层IPsec加密协议、SSL VPN加密协议，也可使用应用层HTTPS等加密传输协议；（对于信创项目，要求使用的协议加密算法为国密算法。）

• 安全区域边界—边界访问控制策略（含虚拟网络边界）

1. 边界具有受控措施，网络边界处需要部署受控的边界设备（虚拟网络边界处需要部署云防火墙等虚拟网络边界设备）；
2. 边界具有严格的访问控制策略，网络边界或内部区域间边界，需要配置端口级访问控制策略，合理设置IP to IP的策略，配置白名单策略。此外，除允许的访问控制外，要默认拒绝其余访问请求（即要有any到any的deny策略，如设备默认策略为全拒绝策略，则无需此要求）；
3. 边界具有流量审计，开启网络边界流量审计日志，可记录6个月以上的日志；
4. 边界具备入侵防范措施，网络边界需要具有IPS或IDS，并合理配置防护或检测策略，特征库要求更新到最新版本；
5. 边界具有防病毒措施，网络边界需要具备网络层病毒防护，即具有防病毒功能的防火墙（虚拟防火墙）或防毒墙设备，并合理配置防病毒检查策略，病毒库更新到最新日期；
6. 远程运维管理审计措施，对于远程运维管理的业务系统，要求能够对网络远程运维操作进行审计，通常使用VPN+堡垒机或单独使用具有双因素认证的堡垒机。

• 安全计算环境—交换机、路由器、防火墙等网络设备、安全设备（含虚拟网络安全设备）

1. 用户名、密码策略：不能有默认用户名、密码8位以上、数字、字母、符号多种形式组合的策略；
2. 登录失败处理策略：要求5次密码输入错误，第六次锁定，锁定30分钟，登录后无操作20分钟后，自动退出登录，需重新登录；
3. 安全远程运维管理：限定远程运维管理终端地址范围，对运维协议要求使用https或ssh等加密运维协议，并且关闭HTTP、Telnet等不安全的运维协议；
4. 限制默认账户的使用：禁用或删除默认用户名（root、admin、administrator、sys、system）等，如无法禁用或删除则限制默认账户远程登录；
5. 建立三权分立账户机制：创建系统管理员、安全管理员、审计管理员，修改默认密码，定期删除过期无用账户，避免共享用户情况；
6. 安全审计措施：开启设备审计日志，定期备份（备份到日志审计系统或日志审计服务器中），记录保存6个月以上；
7. 最小化安装要求：关闭多余端口或服务，例如135、445、3389等，使用必要端口，无用端口都关闭；
8. 配置数据备份要求，至少满足本地数据备份，备份策略满足业务系统运行使用要求。

• 安全计算环境—中间件：

1. 如可关闭B/S管理控制台，则关闭控制台，通过登录服务器进行程序更新发布，则只需要开启日志、定期备份，保存6个月以上的日志即可；
2. 如不能关闭B/S管理控制台，则要求参考下文“应用系统、数据库”的要求。

• 安全计算环境—应用系统、数据库：

1. 用户名、密码策略：不能有默认用户名、密码8位以上、数字、字母、符号多种形式组合的策略；
2. 登录失败处理策略：要求5次密码输入错误，第六次锁定，锁定30分钟，登录后无操作20分钟后，自动退出登录，需重新登录；
3. 安全远程运维管理：限定应用系统或数据库远程运维管理终端地址范围，对运维协议要求使用https或ssh等加密运维协议，并且关闭HTTP、Telnet等不安全的运维协议；
4. 限制默认账户的使用：禁用或删除默认用户名（root、admin、administrator、sys、system）等，如无法禁用或删除则限制默认账户远程登录应用系统或数据库；
5. 建立三权分立账户机制：创建系统管理员、安全管理员、审计管理员，修改默认密码，定期删除过期无用账户，避免共享用户情况；限制应用系统使用的数据库账户，应为普通用户而非DBA用户；
6. 安全审计措施：开启应用系统、数据库的审计功能，审计日志定期备份，记录保存6个月以上；
7. 应用系统输入域校验限制：要求应用系统实现前后台，针对输入域内特殊字符的校验、过滤功能，对于上传文件功能，要进行前后台文件格式校验功能；
8. 数据安全要求：对于应用系统重要业务数据、鉴别数据、审计数据，要实现数据的存储保密性、完整性和传输保密性、完整性，如无此类措施，则需要限制数据在可控的网络中进行传输； 
9. 个人信息保护要求：应用系统只允许采集符合业务需求的最少个人信息，且个人信息在数据库中存储要符合数据安全要求；数据使用要建立相应个人信息使用管理制度，避免越权使用；
10. 剩余信息保护要求：退出应用系统时，要清除前次登录的用户鉴别信息、释放其访问的存储空间资源；系统不应该具有记住密码、记住前次用户名等功能；
11. 数据备份要求：重要应用系统业务数据、鉴别数据、审计数据，要求每天进行本地备份，备份策略满足业务系统运行使用要求。

• 安全计算环境—服务器

1. 用户名、密码策略：不能有默认用户名、密码8位以上、数字、字母、符号多种形式组合的策略；
2. 登录失败处理策略：要求5次密码输入错误，第六次锁定，锁定30分钟，登录后无操作20分钟后，自动退出登录，需重新登录；
3. 安全远程运维管理：限定应用系统或数据库远程运维管理终端地址范围，对运维协议要求使用https或ssh等加密运维协议，并且关闭HTTP、Telnet等不安全的运维协议；
4. 限制默认账户的使用：禁用或删除默认用户名（root、admin、administrator、sys、system）等，如无法禁用或删除则限制默认账户远程登录应用系统或数据库；
5. 建立三权分立账户机制：创建系统管理员、安全管理员、审计管理员，修改默认密码，定期删除过期无用账户，避免共享用户情况；
6. 安全审计措施：开启服务器的syslog、audit审计功能，合理配置审计策略，审计日志定期备份（备份到日志审计系统或日志审计服务器中），记录保存6个月以上；
7. 最小化安装要求：关闭多余端口或服务，例如135、445、3389等，使用必要端口，无用端口都关闭；
8. 主机入侵和防病毒措施：要求服务器安装主机层面防病毒软件，Linux系统二级可不安装杀毒软件，三级需要安装杀毒软件；

1. 服务器本地备份：在系统配置变更时，要进行服务器本地备份，可采取镜像备份方式，备份策略满足业务系统运行使用要求；
2. 服务器剩余信息保护：禁止保存历史操作命令功能，禁止保存前次登录用户名。

• 安全计算环境—终端

1. 用户名、密码策略：不能有默认用户名、密码8位以上、数字、字母、符号多种形式组合的策略；
2. 登录失败处理策略：要求5次密码输入错误，第六次锁定，锁定30分钟，登录后无操作20分钟后，自动退出登录，需重新登录；
3. 禁止远程运维管理：终端不允许开启远程运维管理服务；
4. 限制默认账户的使用：禁用或删除默认用户名（root、admin、administrator、sys、system）等；
5. 建立三权分立账户机制：创建系统管理员、安全管理员、审计管理员，修改默认密码，定期删除过期无用账户，避免共享用户情况；
6. 安全审计措施：开启服务器的syslog、audit审计功能，合理配置审计策略，审计日志定期备份（备份到日志审计系统或日志审计服务器中），记录保存6个月以上；
7. 最小化安装要求：关闭多余端口或服务，例如135、445、3389等，使用必要端口，无用端口都关闭；
8. 终端防病毒措施：要求服务器安装主机层面防病毒软件，Linux系统二级可不安装杀毒软件，三级需要安装杀毒软件；
9. 终端剩余信息保护：禁止保存历史操作命令功能，禁止保存前次登录用户名。

• 安全管理中心

1. 部署堡垒机，针对不同管理用户，建立不同账户，分配不同管理资源，对运维操作要统一入口进行集中管理与审计；
2. 日志审计统一收集分析：收集所有防火墙、交换机、路由器、应用系统、数据库、中间件、服务器等的日志，做到日志的收集与分析，超过6个月以上的记录；
3. 对重要资源进行IT资源监控，监控CPU、内存、硬盘使用率，预设阈值，超出运行安全阈值时，能够进行报警；
4. 具备条件时，对设备安全策略，终端、服务器病毒防护特征库等进行统一升级管理。

• 管理制度

1. 具有完善的网络安全管理制度，制度包括：总体方针、安全策略、信息安全领导小组授权、人员管理制度、系统建设管理制度、运维管理制度、此外，要具有操作手册及相关运行记录；

• 物联网扩展要求（感知节点-检测器）

1. 保证只有授权的感知节点可以接入系统；
2. 能够限制与感知节点通信的目标地址，以避免对陌生地址的攻击行为；
3. 能够限制与网关节点通信的目标地址，以避免对陌生地址的攻击行为；
4. 应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更；
5. 应具有对连接的感知节点设备进行身份标识和鉴别的能力；
6. 应具有对连接的其他感知节点设备进行身份标识和鉴别的能力；
7. 授权用户应能够在设备使用过程中对关键密钥进行在线更新；
8. 授权用户应能够在设备使用过程中对关键配置参数进行在线更新；
9. 能够鉴别数据的新鲜性，避免历史数据的重放攻击；
10. 能够鉴别历史数据的非法修改，避免数据的修改重放攻击；
11. 能够对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。

• 云计算扩展要求

1. 保证云计算平台不承载高于其安全保护等级的业务应用系统；
2. 选择的云平台要具备不同云服务客户虚拟网络之间的隔离的功能，云服务客户要对各自虚拟网络设置合理的隔离策略；
3. 云服务客户需要具有虚拟网络边界产品，作为虚拟网络边界的测评对象；
4. 云服务客户需要根据云模式类型，配备相应的虚拟安全资源作为云服务客户安全通信网络、安全区域边界的测评对象；