信息安全技术信息系统安全级别保护基本规定Information security technology-Baseline for classified protection of information system1 第三级基本规定1.1 技术规定1.1.1 物理安全1.1.1.1 物理位置的选择（G）本项规定涉及：a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。1.1.1.2 物理访问控制(G3）本项规定涉及:a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;b) 需进入机房的来访人员应通过申请和审批流程,并限制和监控其活动范畴；c) 应对机房划分区域进行管理,区域和区域之间设立物理隔离装置，在重要区域前设立交付或安装等过渡区域；d) 重要区域应配备电子门禁系统（电子门禁锁)，控制、鉴别和记录进入的人员。1.1.1.3 防盗窃和防破坏（G3）本项规定涉及:a) 应将重要设备放置在机房内;b) 应将设备或重要部件进行固定,并设立明显的不易除去的标记；c) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d) 应对介质分类标记,存储在介质库或档案室中；e) 应运用光、电等技术设立机房防盗报警系统(红外线防盗报警器);f) 应对机房设立监控报警系统（高清摄像头)。1.1.1.4 防雷击(G3)本项规定涉及：a) 机房建筑应设立避雷装置;b) 应设立防雷保安器，避免感应雷；c) 机房应设立交流电源地线。1.1.1.5 防火(G)本项规定涉及:a) 机房应设立火灾自动消防系统,可以自动检测火情、自动报警,并自动灭火；b) 机房及有关的工作房间和辅助房应采用品有耐火级别的建筑材料;c) 机房应采用区域隔离防火措施,将重要设备与其她设备隔离开。1.1.1.6 防水和防潮(G)本项规定涉及:a) 水管安装，不得穿过机房屋顶和活动地板下；b) 应采用措施避免雨水通过机房窗户、屋顶和墙壁渗入;c) 应采用措施避免机房内水蒸气结露和地下积水的转移与渗入；d) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。1.1.1.7 防静电（3)本项规定涉及:a) 重要设备应采用必要的接地防静电措施;b) 机房应采用防静电地板。1.1.1.8 温湿度控制（G3)机房应设立温、湿度自动调节设施,使机房温、湿度的变化在设备运营所容许的范畴之内。1.1.1.9 电力供应(A3）本项规定涉及:a) 应在机房供电线路上配备稳压器和过电压防护设备;b) 应提供短期的备用电力供应（发电机),至少满足重要设备在断电状况下的正常运营规定；c) 应设立冗余或并行的电力电缆线路为计算机系统供电;d) 应建立备用供电系统。1.1.1.10 电磁防护（S3）1.1.1.11 本项规定涉及:(防电磁辐射玻璃贴膜防辐射玻璃贴膜电磁辐射屏蔽膜机房监控室隔断)a) 应采用接地方式避免外界电磁干扰和设备寄生耦合干扰;b) 电源线和通信线缆应隔离铺设，避免互相干扰;c) 应对核心设备和磁介质实行电磁屏蔽。1.1.2 网络安全1.1.2.1 构造安全（G）本项规定涉及:a) 应保证重要网络设备的业务解决能力具有冗余空间,满足业务高峰期需要;b) 应保证网络各个部分的带宽满足业务高峰期需要;c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问途径(防火墙）；d) 应绘制与目前运营状况相符的网络拓扑构造图；e) 应根据各部门的工作职能、重要性和所波及信息的重要限度等因素，划分不同的子网或网段,并按照以便管理和控制的原则为各子网、网段分派地址段；f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其她网段之间采用可靠的技术隔离手段;g) 应按照对业务服务的重要顺序来指定带宽分派优先级别,保证在网络发生拥堵的时候优先保护重要主机。1.1.2.2 访问控制（G)本项规定涉及：(防火墙）a) 应在网络边界部署访问控制设备，启用访问控制功能；b) 应能根据会话状态信息为数据流提供明确的容许/回绝访问的能力，控制粒度为端口级;c) 应对进出网络的信息内容进行过滤,实现相应用层HTTP、P、TELN、SMTP、3等合同命令级的控制；d) 应在会话处在非活跃一定期间或会话结束后终结网络连接;e) 应限制网络最大流量数及网络连接数;f) 重要网段应采用技术手段避免地址欺骗;g) 应按顾客和系统之间的容许访问规则，决定容许或回绝顾客对受控系统进行资源访问,控制粒度为单个顾客;h) 应限制具有拨号访问权限的顾客数量。1.1.2.3 安全审计(G3）本项规定涉及：(安全审计系统)a) 应对网络系统中的网络设备运营状况、网络流量、顾客行为等进行日记记录;b) 审计记录应涉及：事件的日期和时间、顾客、事件类型、事件与否成功及其她与审计有关的信息;c) 应可以根据记录数据进行分析,并生成审计报表;d) 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。1.1.2.4 边界完整性检查（S3)本项规定涉及:（网络边界完整性检查管理系统）a) 应可以对非授权设备擅自联到内部网络的行为进行检查,精拟定出位置，并对其进行有效阻断；b) 应可以对内部网络顾客擅自联到外部网络的行为进行检查，精拟定出位置，并对其进行有效阻断。1.1.2.5 入侵防备(G）（杀毒软件）本项规定涉及:a) 应在网络边界处监视如下袭击行为：端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、IP碎片袭击和网络蠕虫袭击等；b) 当检测到袭击行为时,记录袭击源P、袭击类型、袭击目的、袭击时间,在发生严重入侵事件时应提供报警。1.1.2.6 歹意代码防备(G3)（防火墙)本项规定涉及:a) 应在网络边界处对歹意代码进行检测和清除;b) 应维护歹意代码库的升级和检测系统的更新。1.1.2.7 网络设备防护（）（防火墙)本项规定涉及：a) 应对登录网络设备的顾客进行身份鉴别；b) 应对网络设备的管理员登录地址进行限制;c) 网络设备顾客的标记应唯一；d) 重要网络设备应对同一顾客选择两种或两种以上组合的鉴别技术来进行身份鉴别;e) 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度规定并定期更换；f) 应具有登录失败解决功能,可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;g) 当对网络设备进行远程管理时,应采用必要措施避免鉴别信息在网络传播过程中被窃听;h) 应实现设备特权顾客的权限分离。1.1.3 主机安全 1.1.3.1 身份鉴别（3）（防火墙)本项规定涉及:a) 应对登录操作系统和数据库系统的顾客进行身份标记和鉴别;b) 操作系统和数据库系统管理顾客身份标记应具有不易被冒用的特点，口令应有复杂度规定并定期更换；c) 应启用登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等措施；d) 当对服务器进行远程管理时,应采用必要措施，避免鉴别信息在网络传播过程中被窃听;e) 应为操作系统和数据库系统的不同顾客分派不同的顾客名,保证顾客名具有唯一性。f) 应采用两种或两种以上组合的鉴别技术对管理顾客进行身份鉴别。1.1.3.2 访问控制(S3)(防火墙）本项规定涉及：a) 应启用访问控制功能，根据安全方略控制顾客对资源的访问;b) 应根据管理顾客的角色分派权限，实现管理顾客的权限分离，仅授予管理顾客所需的最小权限；c) 应实现操作系统和数据库系统特权顾客的权限分离；d) 应严格限制默认帐户的访问权限,重命名系统默认帐户，修改这些帐户的默认口令;e) 应及时删除多余的、过期的帐户，避免共享帐户的存在。f) 应对重要信息资源设立敏感标记；g) 应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作；1.1.3.3 安全审计（G3）（防火墙)本项规定涉及：a) 审计范畴应覆盖到服务器和重要客户端上的每个操作系统顾客和数据库顾客;b) 审计内容应涉及重要顾客行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全有关事件；c) 审计记录应涉及事件的日期、时间、类型、主体标记、客体标记和成果等； d) 应可以根据记录数据进行分析，并生成审计报表；e) 应保护审计进程，避免受到未预期的中断;f) 应保护审计记录，避免受到未预期的删除、修改或覆盖等。1.1.3.4 剩余信息保护（3)(防火墙）本项规定涉及:a) 应保证操作系统和数据库系统顾客的鉴别信息所在的存储空间,被释放或再分派给其她顾客前得到完全清除，无论这些信息是寄存在硬盘上还是在内存中；b) 应保证系统内的文献、目录和数据库记录等资源所在的存储空间，被释放或重新分派给其她顾客前得到完全清除。1.1.3.5 入侵防备(G3）（杀毒软件）本项规定涉及：a) 应可以检测到对重要服务器进行入侵的行为,可以记录入侵的源IP、袭击的类型、袭击的目的、袭击的时间,并在发生严重入侵事件时提供报警；b) 应可以对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设立升级服务器等方式保持系统补丁及时得到更新。1.1.3.6 歹意代码防备（3)（防火墙和杀毒软件)本项规定涉及:a) 应安装防歹意代码软件，并及时更新防歹意代码软件版本和歹意代码库；b) 主机防歹意代码产品应具有与网络防歹意代码产品不同的歹意代码库;c) 应支持防歹意代码的统一管理。1.1.3.7 资源控制(A3）本项规定涉及:a) 应通过设定终端接入方式、网络地址范畴等条件限制终端登录;b) 应根据安全方略设立登录终端的操作超时锁定;c) 应对重要服务器进行监视,涉及监视服务器的PU、硬盘、内存、网络等资源的使用状况；d) 应限制单个顾客对系统资源的最大或最小使用限度;e) 应可以对系统的服务水平减少到预先规定的最小值进行检测和报警。1.1.4 应用安全1.1.4.1 身份鉴别(S3）本项规定涉及:a) 应提供专用的登录控制模块对登录顾客进行身份标记和鉴别; b) 应对同一顾客采用两种或两种以上组合的鉴别技术实现顾客身份鉴别;c) 应提供顾客身份标记唯一和鉴别信息复杂度检查功能,保证应用系统中不存在反复顾客身份标记,身份鉴别信息不易被冒用；d) 应提供登录失败解决功能,可采用结束会话、限制非法登录次数和自动退出等措施；e) 应启用身份鉴别、顾客身份标记唯一性检查、顾客身份鉴别信息复杂度检查以及登录失败解决功能,并根据安全方略配备有关参数。1.1.4.2 访问控制(S3）（防火墙)本项规定涉及：a) 应提供访问控制功能,根据安全方略控制顾客对文献、数据库表等客体的访问；b) 访问控制的覆盖范畴应涉及与资源访问有关的主体、客体及它们之间的操作；c) 应由授权主体配备访问控制方略，并严格限制默认帐户的访问权限;d) 应授予不同帐户为完毕各自承当任务所需的最小权限，并在它们之间形成互相制约的关系。e) 应具有对重要信息资源设立敏感标记的功能;f) 应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作;1.1.4.3 安全审