广东计安信息网络培训中心广东计安信息网络培训中心信息安全等级保护测评讲师：傅欲华讲师：傅欲华目录第一部分等级保护测评基础第二部分等级保护测评要求第三部分等级保护测评项目管理第四部分等级保护测评探讨第一部分等级保护测评基础（1）国家和广东省对测评机构的要求回顾（2）测评和测评机构的概念（3）等级保护测评方法和技术（4）等级保护标准体系当前的信息安全等级保护有关法规信息安全等级保护管理办法信息安全等级保护管理办法（公通字（公通字200743号）号） 广东省计算机信息系统安全保护条例广东省计算机信息系统安全保护条例广东省公安厅关于计算机信息系统安全保护的实施办法广东省公安厅关于计算机信息系统安全保护的实施办法关于贯彻关于贯彻广东省计算机信息系统安全保护条例广东省计算机信息系统安全保护条例和和广东省公广东省公安厅关于计算机信息系统安全保护的实施办法安厅关于计算机信息系统安全保护的实施办法的通知的通知 广公广公（网监）（网监）2008633号号关于开展信息安全等级保护测评体系建设试点工作的通知关于开展信息安全等级保护测评体系建设试点工作的通知（公信安（公信安2009812号）号）关于明确信息安全等级保护测评机构管理有关事项的通知（广公关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监）（网监）2009421号）号）关于推动信息安全等级保护测评体系建设和开展等级测评工作的关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安通知（公信安2010303号号 ）信息安全等级保护测评工作管理规范信息安全等级保护测评工作管理规范(试行试行)信息安全等级测评机构能力要求（试行）信息安全等级测评机构能力要求（试行）等级测评师培训和考试指南等级测评师培训和考试指南1.1.3国家对等级保护测评的要求管理办法”等级保护的实施与管理“第十四条信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据信息系统安全等级保护测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。1.1.4国家对测评机构的基本要求第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评：在中华人民共和国境内注册成立（港澳台地区除外）；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；从事相关检测评估工作两年以上，无违法记录；工作人员仅限于中国公民；法人及主要业务、技术人员无犯罪记录；使用的技术装备、设施应当符合本办法对信息安全产品的要求；具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；对国家安全、社会秩序、公共利益不构成威胁。广东省公安厅关于计算机信息系统安全保护的实施办法广东省公安厅关于计算机信息系统安全保护的实施办法（一）（一）第二十二条我省对测评机构实施备案制度。符合第二十一条规定的条件，承担第二级以上的计算机信息系统测评工作的机构应当到省公安厅公共信息网络安全监察部门备案。第二十五条第二级以上的计算机信息系统建设完成后，使用单位应当委托符合规定的测评机构安全测评合格方可投入使用。测评活动应当接受公安机关公共信息网络安全监察部门的监督。1.1.10广东省信息安全等级测评工作细则广东省信息安全等级测评工作细则（试行）计算机信息系统投入使用后，存在下列情形之一的，应当进行安全自查，同时委托安全测评机构进行安全测评：（一）变更关键部件；（二）安全测评时间满一年；（三）发生危害计算机信系统安全的案件或安全事故；（四）公安机关公共信息网络安全监察部门根据应急处置工作的需要认为应当进行安全测评；（五）其他应当进行安全自查和安全测评的情形。申请单位认为安全测评报告的合法性和真实性存在重大问题的，可以向本单位所在地公安机关公共信息网络安全监察部门提出申诉，提交异议申诉书及有关证明材料。1.1.11广东省转发开展电子政务信息安全风险评估广东省转发开展电子政务信息安全风险评估省发改委、省公安厅、省保密局转发关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（粤发改高2009182号文）省电子政务项目应开展信息安全等级测评和风险评估工作，作为项目竣工验收的重要内容。非涉密项目在完成后试运行期间，向相关评测机构提出评估申请。评测机构与承建单位原则上不能为同一家。等级测评和风险评估费用计入项目总投资。1.1.12公安部对测评机构的明确要求公安部对测评机构的明确要求对等级测评机构管理相关问题进行了明确，要求开展等级测评的单位不得从事下列活动：一是承担信息系统安全建设整改工作；二是将等级测评任务分包、外包；三是信息安全产品开发、营销和信息系统集成活动；四是限定被测评单位购买、试用其指定的信息安全产品；五是未经许可占有、使用被测评单位有关信息、资料及数据文件。1.1.13关于明确信息安全等级保护测评机构管理有关事项的通知关于明确信息安全等级保护测评机构管理有关事项的通知一、进一步规范测评服务管理。一、进一步规范测评服务管理。根据公安部十一局要求，为确保测评活动的公正性，承担测评工作的机构不宜从事信息安全整改、集成服务。二、提高测评工作装备水平。二、提高测评工作装备水平。为统一工具标准，我总队制定了信息安全等级保护测评工具选用指引（以下简称指引），对测评所需的必备工具和选用工具进行了明确。三、推动信息安全等级保护整改。三、推动信息安全等级保护整改。各级公安网监部门要按照广东省深化信息系统安全等级保护工作方案要求，加大各类测评机构和安全服务机构的监督指导力度，发挥其作用，为信息系统运营、使用单位、主管部门提供差距评估、整改方案制订和实施、安全测评等服务，大力推动信息系统的安全整改，切实推动我省信息安全等级保护工作深入开展。1.1.15广东省等级保护测评机构广东省等级保护测评机构关于发布广东省信息安全等级保护测评机构的公关于发布广东省信息安全等级保护测评机构的公告告（粤等保办（粤等保办20103号）号）供我省信息系统运营、使用单位、主管部门选用提供各类测评服务（差距评估、验收性测评、年度测评工作）。1、广州竞远系统网络技术有限公司2、中国赛宝实验室（工业和信息化部电子第五研究所）3、广州华南信息安全测评中心4、深圳市信息安全测评中心5、深圳市网安计算机安全检测技术有限公司1.2.9测评报告测评机构应按照公安部统一制订的信息系统安全等级测评报告模版（试行）格式出具测评报告1.3.1等级保护测评流程（1）1.3.1等级保护测评流程（1）测评过程测评准备活动本活动是开展等级测评工作的前提和基础,是整个等级测评过程有效性的保证。测评准 备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详 细情况,准备测试工具,为编制测评方案做好准备。方案编制活动本活动是开展等级测评工作的关键活动,为现场测评提供最基本的文档和指导方案。本 活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等,并根据 需要重用或开发测评指导书测评指导书,形成测评方案。 现场测评活动本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要 求,严格执行测评指导书测评指导书,分步实施所有测评项目,包括单元测评和整体测评两 个方面,以了解系统的真实保护情况,获取足够证据,发现系统存在的安全问题。 分析与报告编制活动本活动是给出等级测评工作结果的活动,是总结被测系统整体安全保护能力的综合评价 活动。本活动的主要任务是根据现场测评结果和信息系统安全等级保护测评要求的有关要求,通过单项 测评结果判定、单元测评结果判定、整体测评和风险分析等方法,找出整个系统的安全保护 现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给 出等级测评结论,形成测评报告文本。1.3.3等级保护测评方法（1）测评方法测评采用访谈、检查和测试三种方法，测评对象是测评实施过程中涉及到的信息系统的构成成份，包括人员、文档、机制、软件、设备。测评的层面涉及物理安全、网络安全、主机安全、应用系统安全、数据安全以及安全管理。测评要求使用测评表进行具体检查时，首先按询问、查验、检测等工作方式将所有检查项目分类。所有以询问方式检查的项目，在与有关人员的谈话或会议上进行；所有以查验方式检查的项目，将需要的文档清单在检查现场提交给被检查方，请被检查方当前提供并进行查验；所有需要以检测方式检查的项目，按检测部门或设备分类后，根据具体情况选择检测顺序。1.3.4等级保护测评方法（2）对技术要求对技术要求访谈访谈方法：方法：目的是是了解信息系统的全局性信息系统的全局性。范围一般不覆盖所有要求内容。一般不覆盖所有要求内容。检查检查方法：方法：目的是是确认信息系统当前具体信息系统当前具体安全机制和运行的配置是否符合要求安全机制和运行的配置是否符合要求 。范围一一般要覆盖所有要求内容。般要覆盖所有要求内容。测试测试方法：方法：目的是验证信息系统安全机制是验证信息系统安全机制有效性和安全强度。有效性和安全强度。范围不覆盖所有要求内容。不覆盖所有要求内容。1.3.5等级保护测评方法（3）对管理要求对管理要求对人员方面的要求，重点通过对人员方面的要求，重点通过访谈访谈的方式的方式来测评，检查为辅；来测评，检查为辅；对过程方面的要求，通过对过程方面的要求，通过访谈访谈和和检查检查的方式来测评；的方式来测评；对规范方面的要求，以对规范方面的要求，以检查检查文档为主，文档为主，访谈访谈为辅为辅优势证据对单一测评项实施等级测评过程中获得的多个测评结果之间存在矛盾,且都没有足够的 证据否定与之矛盾的测评结果的,则测评结果的证明力明显大于其他测评结果的证明力的那个(些)测评结果即为优势证据。检查测试访谈测评准备活动测评计划方案编制活动的基本工作流程测评指标确定从GB/T 22239-2008中选择相应等级的安全要求作为测评指标,包括对SAG三类 安全要求的选择。举例来说,假设某信息系统的定级结果为:安全保护等级为 3 级,业务信息安全保护等级为 2 级,系统服务安全保护等级为 3 级;则该系统的测评指标将包括 GB/T 22239-2008“技术要求”中的 3 级通用安全保护类要求(G3), 2级业务信息安全类要求(S2),3级系统服务保证类要求(A3),以及第 3级“管 理要求”中的所有要求。测评指标测试工具接入点确定现场测评活动的基本工作流程检查方式访谈文档审查配置检查工具测试实地察看分析与报告编制活动的基本工作流程安全单元测评结果汇总表测评对象确定原则和方法（二级）1. 主机房(包括其环境、设备和设施等),如果某一辅机房中放置了服务于整个信息 系统或对信息系统的安全性起决定作用的设备、设施,那么也应该作为测评对象;2. 存储被测系统重要数据的介质的存放环境存储被测系统重要数据的介质的存放环境; 3. 整个系统的网络拓扑结构; 4. 安全设备,包括防火墙、入侵检测设备、防病毒网关等; 5. 边界网络设备(可能会包含安全设备),包括路由器、防火墙和认证网关等; 6. 对整个信息系统或其局部的安全性或其局部的安全性起决定作用的网络互联设备,如核心交换机、汇聚层交换机、核心路由器等; 7. 承载被测系统核心或重要业务、数据的服务器(包括其操作系统和数据库); 8. 重要管理终端; 9. 能够代表被测系统主要使命的业务应用系统; 10. 信息安全主管人员、各方面的负责人员; 11. 涉及到信息系统安全的所有管理制度和记录。在本级信息系统测评时,信息系统中配置相同的安全设备、边界网络设备、网络互联设备以及服务器应至少抽查两台作为测评对象。测评对象确定原则和方法（三级）1. 主机房(包括其环境、设备和设施等)和部分辅机房,应将放置了服务于信息系统 的局部(包括整体)或对信息系统的局部(包括整体)安全性起重要作用的设备、 设施的辅机房选取作为测评对象;2. 存储被测系统重要数据的介质的存放环境; 3. 办公场地;4. 整个系统的网络拓扑结构; 5. 安全设备,包括防火墙、入侵检测设备和防病毒网关等; 6. 边界网络设备(可能会包含安全设备),包括路由器、防火墙、认证网关和边界接入设备(如楼层交换机)等; 7. 对整个信息系统或其局部的安全性起作用的网络互联设备,如核心交换机、汇聚层交换机、路由器等; 测评对象确定原则和方法（三级）8. 承载被测系统主要业务或数据的服务器(包括其操作系统和数据库); 9. 管理终端和主要业务应用系统终端; 10. 能够完成被测系统不同业务使命的业务应用系统; 11. 业务备份系统; 12. 信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人;13. 涉及到信息系统安全的所有管理制度和记录。在本级信息系统测评时,信息系统中配置相同的安全设备、边界网络设备、网络互联设 备、服务器、终端以及备份设备,每类应至少抽查两台作为测评对象。系统系统承建单位承建单位主管主管 使用使用 运行单位运行单位测评机构测评机构专家组专家组l支持测评l提供技术、工程和质量文档l实施的配合公安公安网监部门网监部门l测评工作组织协调l确保技术、工程和质量文档、提供运营相关文档的提供l评审实施方案等相关文档l配合等级测评实施l测评过程中的风险管理和应急管理l制定测评计划和方案等相关文档l在相关单位支持下实施等级测评l提交测评报告l对方案评审l对评估结论进行评审l测评工作 组织与监管1.3.61.3.6等级保护测评中的角色和职责关系等级保护测评中的角色和职责关系1.3.8等级保护测评工作实施步骤首次会议（1）参加人员：主管领导、技术人员、测评机构人员（2）被测评机构工作汇报测评实施被测评单位派人负责测评过程联络和协助。末次会议（1）参加人员：主管领导、技术人员、测评机构人员（2）测评机构进行测试情况汇报1.3.9等级保护测评项目组的构成测评项目组构成组长职责：管理测评过程、主持编制测评计划、主持设计测评方案、负责访谈、检查、组织分析测评结果、主持编制测评总结报告；访谈和查看组：负责访谈、执行测试，记录和分析测评结果；测试组：执行测试、记录和分析测评结果。客观性和公正性原则 经济性和可重用性原则可重复性和可再现性原则符合性原则测评原则1.3.14等级保护测评的一些注意事项信息安全产品采购对于产品的功能和性能指标，可以依据国家认可的测试机构所出具的产品测试报告，也可以根据用户自行组织的信息安全产品功能和性能选型测试所出具的报告。应用系统安全控制开发应用系统的安全控制开发应当与应用开发同步设计、同步实施，而应用系统一旦开发完成后，再增加安全措施会造成很大的成本投入。需要软件测评机构参与。基本要求的管理：借鉴了ISO/IEC17799:2005等国际上流行的信息安全管理方面的标准，尽量做到全方位的安全管理。所以在落实和测评“管理要求”时，就必须结合ISO/IEC17799:2005、ISO/IEC27001等信息安全管理体系的要求进行。1.3.16等级测评实施过程中可能存在的风险等级测评实施过程中可能存在的风险验证测试影响系统正常运行验证测试影响系统正常运行 在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。工具测试影响系统正常运行工具测试影响系统正常运行在现场测评时，会使用一些技术测试工具进行漏洞测试、性能测试甚至抗渗透能力测试。测试可能会对系统的负载造成一定的影响，漏洞测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。敏感信息泄漏敏感信息泄漏 泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。1.3.17等级测评方式测试功能功能/性能测试、渗透测试等。性能测试、渗透测试等。测试对象包括机制和设备等。测试对象包括机制和设备等。测试一般需要借助特定工具。测试一般需要借助特定工具。扫描检测工具扫描检测工具网络协议分析仪网络协议分析仪攻击工具攻击工具渗透工具渗透工具1.3.18等级保护实施中的有关测评活动物理安全建筑防雷测试（含接地电阻测试）机房火灾消防验收测试综合布线系统验收测试网络安全网络与信息安全产品选型测试应用安全应进行应用系统软件验收测试。总结：在系统整改阶段，进行了充分测试，并且有详细的测试报告和测试记录，可保证等级保护工程质量。测评结果统计（红绿灯）测评结果第二部分等级保护测评要求（1）等级保护测评要求的理解2.1.3等级保护测评的内容某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理2.1.4测评要求编制思路信息系统测评系统测评（对安全控制、层面、区域间关联关系以及系统整体结构，分层次综合分析、测评）安全控制测评（以测评单元组织的测评实施）2.1.5安全控制测评思路在内容上，与在内容上，与基本要求基本要求一一对应，针对一一对应，针对基本要求基本要求的每一个控的每一个控制项，开发具体的测评实施方法。制项，开发具体的测评实施方法。在结构上，以在结构上，以“测评单元测评单元”为基本工作单位，分等级进行组织。为基本工作单位，分等级进行组织。测评单元测评单元测评项测评项测评方式测评方式测评对象测评对象测评实施测评实施结果判定结果判定具体技术和管理要求具体技术和管理要求访谈访谈/检查检查/测试测试人员人员/文档文档/机制机制/设备设备测评方式对象操作测评方式对象操作是否符合测评项要求是否符合测评项要求第二部分等级保护测评要求（3）等级保护测评要求部分解读（物理安全）2.3.5防雷击本项要求包括：1.机房建筑应设置避雷装置；2.应设置防雷保安器，防止感应雷；应设置防雷保安器，防止感应雷；3.机房应设置交流电源地线。2.3.6防雷击实施讨论在南方地区，夏季多雨水，雷击发生的可能性很大，需要重点检测。1.电子信息系统机房施工及验收规范GB50462-20082.电子信息系统机房设计规范GB50174-20083.建筑物电子信息系统防雷技术规范GB50343-20044.建筑物防雷装置检测技术规范GB/T21431-20082.3.7防雷击测评实施1.应检查机房建筑是否有避雷装置，是否有交流地线；2.应检查机房是否安装防雷保安器等装置。应检查机房是否安装防雷保安器等装置。2.3.8防雷击结果记录1.机房建筑有避雷装置，有交流地线；2.机房电源和信号线上安装防雷保安器等装机房电源和信号线上安装防雷保安器等装置置；3.机房计算机系统接地设置了专用地线；机房计算机系统接地设置了专用地线；4.通过验收或国家有关部门的技术检测（有检测报告）第二部分等级保护测评要求（4）等级保护测评要求部分解读（网络安全）2.4.1结构安全本项要求包括：1.应保证主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；2.应保证网络各个部分的带宽网络各个部分的带宽满足业务高峰期需要；3.应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；4.应绘制与当前运行情况相符的网络拓扑结构图；5.应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；6.应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；段与其他网段之间采取可靠的技术隔离手段；7.应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。生拥堵的时候优先保护重要主机。2.4.2结构安全要求:1.应保证主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；测评实施:访谈网络管理员，询问主要网络设备的性能及业务高峰流量。访谈网络管理员，询问采用何种手段对网络设备进行监控。通过网络管理软件,或IT资源监控系统,确认主要网络设备主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。应检查网络设计/验收文档，查看是否有主要主要网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈不存在带宽瓶颈等方面等方面的设计或描述。2.4.3结构安全要求:2.应保证网络各个部分的带宽网络各个部分的带宽满足业务高峰期需要；测评实施测评实施:应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则;询问当前网络各部分的带宽是否满足业务高峰需要。询问当前网络各部分的带宽是否满足业务高峰需要。如果无法满足业务高峰期需要，则需如果无法满足业务高峰期需要，则需迚迚行带宽分配。检查主要网络设备行带宽分配。检查主要网络设备是否进行行带宽分配。以是否进行行带宽分配。以CISCO IOS 为例为例:检查配置是否类似如下配置项检查配置是否类似如下配置项: 输入命令输入命令:show running-config class-map:class-1 bandwidth:percent 50 bandwith 5000(kbps) max threshold 64(packets)2.4.4结构安全要求: 3.应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；条款理解条款理解:静态路由是指由网络管理员手工配置的路由信息。劢态路由是指路由器能够静态路由是指由网络管理员手工配置的路由信息。劢态路由是指路由器能够自劢地建立自己的路由表。自劢地建立自己的路由表。路由器之间的路由信息交换是基亍路由协议实现的，如路由器之间的路由信息交换是基亍路由协议实现的，如OSPF路由协议是一路由协议是一种典型的链路状态的路由协议。种典型的链路状态的路由协议。如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。测评实施测评实施:应检查边界和主要网络设备，查看是否配置路由控制策略以建立安全的访问应检查边界和主要网络设备，查看是否配置路由控制策略以建立安全的访问路径；路径；以CISCOIOS为例，输入命令：show running-config检查配置文件中应当存在类似如下配置项： iproute 192.168.1.0 255.255.255.0 192.168.1.193 （静态） router ospf100 （动态） ipospfmessage-digest-key 1 md5 7 XXXXXX（认证码）（认证码）测试：使用tracert路由命令2.4.5结构安全要求:4.应绘制与当前运行情况相符的网络拓扑结构图；测评实施:登录网络管理软件,检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；如果没有网络管理软件,使用其它的网络管理软件查看。如HPOPENVIEW、游龙网管等。2.4.6结构安全要求:5.应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；条款理解：根据实际情况和区域安全防护要求，应在主要网络设备上进行VLAN划分或子网划分。不同VLAN内的报文在传输时是相互隔离的。如果丌同VLAN要迚行通信，则需要通过路由器或三层交换机等三层设备实现。使用防火墙，或使用网络隔离与交换产品网络进行划分网段。测评实施：测评实施：应访谈网络管理员，询问网段划分情况以及划分的原则；询问重要网段有哪些，其应访谈网络管理员，询问网段划分情况以及划分的原则；询问重要网段有哪些，其具体的部署位置，与其他网段的隔离措施有哪些；具体的部署位置，与其他网段的隔离措施有哪些；以CISCOIOS为例，输入命令：show vlan检查配置文件中应当存在类似如下配置项： vlan2 name info Int e0/2 vlan-membership static 22.4.7结构安全要求: 6.应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；网段与其他网段之间采取可靠的技术隔离手段；条款理解条款理解为了保证信息系统的安全，应避免将重要网段部署在网络边界处且直接连接外部信息系统，防止来自外部信息系统的攻击。在重要网段和其它网段之间配置安全策略进行行访问控制。测评实施检查网络拓扑结构，查看是否将重要网段部署在网络边界处，重要网段和其它网段之间是否配置安全策略进行行访问控制，如防火墙。2.4.8结构安全要求: 7. 7.应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。络发生拥堵的时候优先保护重要主机。测评实施：测评实施：应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。 以CISCO IOS为例，检查配置文件中是否存在类似如下配置项： policy-map barpolicy-map bar class voice class voice priority percent 10 priority percent 10 class data class data bandwidth percent 30 bandwidth percent 30 class video class video bandwidth percent 20 bandwidth percent 202.4.9访问控制本项要求包括：1.应在网络边界部署访问控制设备，启用访问控制功能；2.应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级控制粒度为端口级；3.应对进出网络的信息内容进行过滤，实现对应用层应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；等协议命令级的控制；4.应在会话处于非活跃一定时间或会话结束后终止网络连接；应在会话处于非活跃一定时间或会话结束后终止网络连接；5.应限制网络最大流量数及网络连接数；应限制网络最大流量数及网络连接数；6.重要网段应采取技术手段防止地址欺骗；重要网段应采取技术手段防止地址欺骗；7.应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；8.应限制具有拨号访问权限的用户数量。 2.4.10访问控制要求:1.应在网络边界部署访问控制设备，启用访问控制功能；条款理解条款理解o在网络边界部署访问控制设备,防御来自其他网络的攻击，保护内部网络的安全。测评实施o检查网络拓扑结构，查看是否在网络边界处部署了访问控制设备，是否启用了访问控制功能。2.4.11访问控制要求:2.应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制，控制粒度为端口级粒度为端口级；条款理解条款理解o在网络边界部署访问控制设备,对进出网络的流量进行过滤，保护内部网络的安全。o配置的访问控制列表应有明确的源/目的地址、源/目的、协议及服务等。测评实施（以路由器，或防火墙） 以CISCO IOS为例，输入命令：show ipaccess-list 检查配置文件中应当存在类似如下配置项： no access-list 111 ipaccess-list extended 111 deny ipx.x.x.0 0.0.0.255 any log interface eth 0/0 ipaccess-group 111 in2.4.12访问控制以防火墙检查为例，应有明确的访问控制策略，如下图所示：2.4.13访问控制要求:3.应对进出网络的信息内容进行过滤，实现对应用层应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；等协议命令级的控制；条款理解条款理解o对亍一些常用的应用层协议，能够在访问控制设备上实现应用层协议命令级的控制和内容检查，从而增强访问控制粒度。测评实施测评实施o该测评项一般在防火墙、入侵防御系统上检查。o首先查看防火墙、入侵防御系统是否具有该功能，然后登录设备查看是否启用了相应的功能。2.4.14访问控制以联想网御防火墙为例，如下图所示：2.4.15访问控制要求:4.应在会话处于非活跃一定时间或会话结束后终止网络连接；应在会话处于非活跃一定时间或会话结束后终止网络连接；条款理解条款理解o当恶意用户迚行网络攻击时，有时会发起大量会话连接，建立会话后长时间保持状态连接从而占用大量网络资源，最终将网络资源耗尽的情况。o应在会话终止或长时间无响应的情况下终止网络连接，释放被占用网络资源，保证业务可以被正常访问。测评实施o该测评项一般在防火墙上检查。o登录防火墙，查看是否设置了会话连接超时，设置的超时时间是多少，判断是否合理。2.4.16访问控制以天融信防火墙为例，如下图所示：2.4.17访问控制要求:5.应限制网络最大流量数及网络连接数；应限制网络最大流量数及网络连接数；条款理解条款理解o可根据IP地址、端口、协议来限制应用数据流的最大流量，还可以根据IP地址来限制网络连接数，从而保证业务带宽丌被占用，业务系统可以对外正常提供业务。测评实施o该测评项一般在防火墙上检查。访谈系统管理员，依据实际网络状况是否需要限制网络最大流量数及网络连接数。o登录设备查看是否设置了最大流量数和连接数，并做好记录。2.4.18访问控制以天融信防火墙为例，如下图所示：2.4.19访问控制要求:6.重要网段应采取技术手段防止地址欺骗；重要网段应采取技术手段防止地址欺骗；o条款理解条款理解o地址欺骗在网络安全中比较重要的一个问题,这里的地址,可以是MAC地址,也可以是IP地址。在关键设备上，采用IP/MAC地址绑定方式防止地址欺骗。测评实施以CISCO IOS为例，输入show ip arp 检查配置文件中应当存在类似如下配置项： arp 10.10.10.1 0000.e268.9980 arpa2.4.20访问控制以联想网御防火墙为例，如下图所示：2.4.21访问控制要求:7.应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；条款理解条款理解o对亍进程拨号用户，应在相关设备上提供用户认证功能。o通过配置用户、用户组，并结合访问控制规则可以实现对认证成功的用户允许访问受控资源。测评实施o登录相关设备查看是否对拨号用户迚行身份认证，是否配置访问控制规则对认证成功的用户允许访问受控资源。2.4.22访问控制要求:8.应限制具有拨号访问权限的用户数量。条款理解条款理解o应限制通过进程采用拨号方式或通过其他方式连入系统内部的用户数量。测评实施o询问系统管理员，是否有进程拨号用户，采用什么方式接入系统部，采用何种方式迚行身份认证，具体用户数量有多少。 2.4.23安全审计本项要求包括：1.应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；2.审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；3.应能够根据记录数据进行分析，并生成审计报表；应能够根据记录数据进行分析，并生成审计报表；4.应对审计记录进行保护，避免受到未预期的删除、应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。修改或覆盖等。第二部分等级保护测评要求（5）等级保护测评要求部分解读（主机安全操作系统）2.5.1身份鉴别本项要求包括：1.应对登录操作系统和数据库系统的用户进行身份标识和鉴别；2.操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；3.应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；4.当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；5.应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。6.应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。2.5.2身份鉴别要求:1.应对登录操作系统和数据库系统的用户进行身份标识和鉴别；条款理解用户的身份标识和鉴别，就是用户向系统以一种安全的方式提交自己的身份证实，然后由系统确认用户的身份是否属实的过程。2.5.3身份鉴别测评实施Window：访谈系统管理员，系统用户是否已设置密码，并查看登录过程中系统账户是否使用了密码进行验证登录。Linux：采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中各用户名状态2.5.4身份鉴别要求:2.操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；测评实施Windows:本地安全策略-帐户策略-密码策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/login.defs文件中相关配置参数2.5.5身份鉴别2.5.6身份鉴别2.5.7身份鉴别要求:3.应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；条款理解要求系统应具有一定的登录控制功能。可以通过适当的配置“帐户锁定策略”来对用户的登录进行限制。如帐户锁定阈值，帐户锁定时间等。测评实施Windows:本地安全策略-帐户策略-帐户锁定策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/pam.d/system-auth文件中相关配置参数2.5.8身份鉴别2.5.9身份鉴别2.5.10身份鉴别要求:4.当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；条款理解为方便管理员进行管理操作，众多服务器采用了网络登录的方式进行远程管理操作，例如Linux可以使用telnet登录，Windows使用远程终端服务。基本要求规定了这些传输的数据需要进行加密处理过，目的是为了保障帐户与口令的安全。测评实施Windows:确认操作系统版本确认终端服务器使用了SSL加密确认RDP客户端使用SSL加密2.5.11身份鉴别Linux:在root权限下，使用命令more、cat或vi查看是否运行了sshd服务：servicestatus-all|grepsshd若未使用ssh方式进行远程管理，则查看是否使用了telnet方式进行远程管理：servicestatus-all|greprunning2.5.12身份鉴别要求:5.应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。条款理解条款理解对于操作系统来说，用户管理是操作系统应具备的基本功能。用户管理由创建用户和组以及定义它们的属性构成。用户的一个主要属性是如何对他们进行认证。用户是系统的主要代理。其属性控制他们的访问权、环境、如何对他们进行认证以及如何、何时、在哪里可以访问他们的帐户。因此，用户标识的唯一性至关重要。如果系统允许用户名相同，而UID不同，其唯一性标识为UID，如果系统允许UID相同，而用户名不同，其唯一性标识为用户名。2.5.13身份鉴别测评实施Windows:“管理工具”-“计算机管理”-“本地用户和组”中的“用户”，检查其中的用户名是否出现重复。Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd文件中用户名信息2.5.15访问控制本项要求包括：1.应启用访问控制功能，依据安全策略控制用户对资源的访问；2.应根据管理用户的角色分配权限，实现管理用户的权限分离，应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；仅授予管理用户所需的最小权限；3.应实现操作系统和数据库系统特权用户的权限分离；4.应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；5.应及时删除多余的、过期的帐户，避免共享帐户的存在。6.应对重要信息资源设置敏感标记；应对重要信息资源设置敏感标记；7.应依据安全策略严格控制用户对有敏感标记重要信息资源的操应依据安全策略严格控制用户对有敏感标记重要信息资源的操作作.2.5.16访问控制要求:1.应启用访问控制功能，依据安全策略控制用户对资源的访问；2.5.17访问控制测评实施2.5.18访问控制2.5.19访问控制要求要求:2.应根据管理用户的角色分配权限，实现管理用户应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；的权限分离，仅授予管理用户所需的最小权限；条款理解根据管理用户的角色对权限作出标准细致的划分，有利于各岗位细致协调的工作。仅授予管理用户所需的最小权限，避免出现权限的漏洞使一些高级用户拥有过大的权限。测评实施记录系统是否有完整的安全策略、系统主要有哪些角色、每个角色的权限是否相互制约、每个系统用户是否被赋予相应的角色。2.5.20访问控制2.5.21访问控制要求:3.应实现操作系统和数据库系统特权用户的权限分离；条款理解操作系统特权用户可能拥有以下一些权限：安装和配置系统的硬件和软件、建立和管理用户帐户、升级软件、备份和恢复等业务，从而保证操作系统的可用性、完整性和安全性。数据库系统特权用户则更多是对数据库的安装、配置、升级和迁移以及数据库用户的管理，从而保证数据库系统的可用性、完整性和安全性。将操作系统和数据库系统特权用户的权限分离，能够避免一些特权用户拥有过大的权限以及减少一些人为的误操作，做到了职责明确。测评实施结合系统管理员的组成情况，判定是否实现了该项要求2.5.22访问控制要求:4.应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；条款理解对于系统默认的用户名，由于它们的某些权限与实际系统的要求可能存在差异，从而造成安全隐患，因此这些默认用户名应禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作系统，确认匿名/默认用户的访问权限已被禁用或者严格限制。依据服务器操作系统访问控制的安全策略，以未授权用户身份/角色测试访问客体，是否不允许进行访问。测评实施查看默认用户名是否重命名查看guest等默认账户是否已禁用2.5.23访问控制要求:5.应及时删除多余的、过期的帐户，避免共享帐户的存在。条款理解对于系统默认的用户名，由于它们的某些权限与实际系统的要求可能存在差异，从而造成安全隐患，因此这些默认用户名应禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作系统，确认匿名/默认用户的访问权限已被禁用或者严格限制。依据服务器操作系统访问控制的安全策略，以未授权用户身份/角色测试访问客体，是否不允许进行访问。测评实施查看是否存在多余的、过期的帐户，避免共享帐户2.5.24访问控制要求要求:6.应对重要信息资源设置敏感标记；应对重要信息资源设置敏感标记；要求要求:7.应依据安全策略严格控制用户对有敏感标记应依据安全策略严格控制用户对有敏感标记重要信息资源的操作重要信息资源的操作.测评实施询问管理员是否对重要信息资源设置敏感标记询问或查看目前的敏感标记策略的相关设置，如：如何划分敏感标记分类，如何设定访问权限等第二部分等级保护测评要求（6）等级保护测评要求部分解读（应用安全）2.6.1应用安全的形势（一）开发商和用户对应用安全重视程度不够开发商和用户对应用安全重视程度不够开发商安全意识普遍淡薄，开发中留有安全隐患开发商安全意识普遍淡薄，开发中留有安全隐患用户普遍对应用安全不重视，系统上线前把关不严用户普遍对应用安全不重视，系统上线前把关不严应用系统存在的漏洞较多应用系统存在的漏洞较多o121oNIST的报告显示，超过90%的安全漏洞是应用层漏洞，它已经远远超过网络、操作系统和浏览器的漏洞数量，这个比例还有上升的趋势。2.6.2应用安全的形势（二）针对应用系统的攻击手段越来越多，面临的威针对应用系统的攻击手段越来越多，面临的威胁在不断增大胁在不断增大针对口令的攻击，如口令破解等针对口令的攻击，如口令破解等非授权获取敏感信息，如信息窃听、系统管理员非授权获取非授权获取敏感信息，如信息窃听、系统管理员非授权获取敏感业务数据（如用户的密码等信息）等敏感业务数据（如用户的密码等信息）等针对针对WEB应用的攻击，应用的攻击，如跨站脚本攻击、如跨站脚本攻击、SQL注入、缓冲注入、缓冲区溢出、拒绝服务攻击区溢出、拒绝服务攻击、改变网页内容等、改变网页内容等o122典型网络攻击示例黑客发现某web应用程序登陆界面，单击login尝试登陆系统提示需要输入有效用户名典型网络攻击示例黑客尝试猜测有效用户名系统提示需要输入正确口令典型网络攻击示例黑客采用单引号作为口令尝试登陆后台数据库报错，通过分析可知数据库查询命令为：SQL查询 = SELECT Username FROM Users WHERE Username = donald AND Password = 典型网络攻击示例系统反馈不存在名为dan的用户，标明后台查询语句为SQL查询 = “SELECT Username FROM Users WHERE Username = dan 后面所有的字符被作为注释对待 口令有效性验证被旁路黑客尝试使用dan作为用户名登陆 典型网络攻击示例黑客尝试使用admin作为用户名登陆 即猜测存在名为admin的管理员用户成功登陆系统，黑客可以随意读取邮件、下载文件等操作。2.6.3应用系统的指标选取在在基本要求基本要求中的位置中的位置“应用安全应用安全”的所有指标，对于应用平台软件等则从中选择的所有指标，对于应用平台软件等则从中选择部分指标；部分指标；“数据安全及备份恢复数据安全及备份恢复”中的部分指标，对于三级信息系统，中的部分指标，对于三级信息系统，在应用安全中，主要检查在应用安全中，主要检查“数据完整性数据完整性”、“数据保密性数据保密性”和和“备份和恢复备份和恢复”第一和第二项；第一和第二项；应结合管理的要求，如应结合管理的要求，如“应根据开发需求检测软件质量应根据开发需求检测软件质量”、“应要求开发单位提供软件源代码，并审查软件中可能存在应要求开发单位提供软件源代码，并审查软件中可能存在的后门的后门”，加强应用系统的源代码安全性。，加强应用系统的源代码安全性。o1281292.6.4应用测评的特点安全功能和配置检查并重安全功能和配置检查并重和数据库、操作系统等成熟产品不同，应用系统现场测评除和数据库、操作系统等成熟产品不同，应用系统现场测评除检查安全配置外，还需验证相关安全功能是否正确检查安全配置外，还需验证相关安全功能是否正确应用测评中不确定因素较多应用测评中不确定因素较多业务和数据流程不同，需根据业务和数据特点确定范围业务和数据流程不同，需根据业务和数据特点确定范围应用系统安全漏洞发现困难，很难消除代码级的安全隐患应用系统安全漏洞发现困难，很难消除代码级的安全隐患测评范围较广，分析较为困难测评范围较广，分析较为困难应用系统测评包括应用平台（如应用系统测评包括应用平台（如IIS等）的测评，且和其他等）的测评，且和其他层面关联较大层面关联较大2.6.5应用测评的方法（1）通过访谈，了解安全措施的实施情况通过访谈，了解安全措施的实施情况o130和其他成熟产品不同，应用系统只有在充分了解其部署情况后，才能明确测评的范围和对象，分析其系统的脆弱性和面临的主要安全威胁，有针对性的进行检查和测试。-右图是一个手机支付系统的流程示意图，通过网页和手机可以完成冲值、查询等业务。2.6.6应用测评的方法（2）通过检查，查看其是否进行了正确的配置通过检查，查看其是否进行了正确的配置有的安全功能（如口令长度限制、错误登录尝试次数等）需要在有的安全功能（如口令长度限制、错误登录尝试次数等）需要在应用系统上进行配置，则查看其是否进行了正确的配置，与安全应用系统上进行配置，则查看其是否进行了正确的配置，与安全策略是否一致。策略是否一致。无需进行配置的，则应查看其部署情况是否与访谈一致。无需进行配置的，则应查看其部署情况是否与访谈一致。如果条件允许，需进行测试如果条件允许，需进行测试可通过测试验证安全功能是否正确，配置是否生效。可通过测试验证安全功能是否正确，配置是否生效。代码级的安全漏洞在现场查验比较困难，则可进行漏洞扫描和渗代码级的安全漏洞在现场查验比较困难，则可进行漏洞扫描和渗透测试。透测试。o131第三部分等级保护测评项目管理第三部分等级保护测评项目管理（1）等级保护测评过程分析（2）等级保护测评工作准备（3）等级保护测评案例分析（4）等级保护测评中常见问题第三部分等级保护测评项目管理（3）等级保护测评案例分析3.3.1等级保护被测评系统说明(1)某公司（简称“AAA”）用电信息系统承载着该公司的电力营销业务，由数据存储、业务处理、接入、对外服务和外联等五个功能区域组成，是一个安全等级为三级的信息系统。(2)现场测评时间为X年X月X日至X年X月X日，现场测评小组分为管理组（2人）和技术组（4人）两组，分别完成安全管理和安全技术方面的测评。3.3.2等级保护被测评系统说明(2)(3)被测系统为承载着AAA公司电力营销业务，是AAA公司的重要信息系统，其安全等级定为三级（S3A2G3）。(4)被测系统由数据存储、业务处理、接入、对外服务和外联等五个功能区域组成.对外有可以为大客户单位、internet网、拨号用户等提供电费数据查询、交纳、业务扩充、投诉等服务的功能模块。数据存储功能区位于屏蔽机房，其它功能区域位于中心机房。3.3.3测评对象根据用电信息系统的实际情况，分别确定物理安全、网络安全、主机系统安全、应用安全等各层面的测评对象。物理方面主要是测评屏蔽机房和主机房。网络方面主要测评的设备有：路由器、交换机、防火墙、IDS、外联检测、防病毒等。3.3.4测评对象（2）主机方面主要测评的主机服务器（包括数据库服务器）。3.3.5测评对象（3）应用方面主要测评的应用系统。3.3.6测评对象（4）安全管理，主要测评对象为与信息安全管理有关的策略、制度、操作规程、运行记录、管理人员、技术人员和相关设备设施等。3.3.7测评指标选取被测系统的定级结果为：安全保护等级为3级，业务信息安全等级为S3，系统服务安全等级为A2；则该系统的测评指标应包括GB/T22239-2008“技术要求”中的3级通用指标类（G3），3级业务信息安全指标类（S3），2级系统服务安全指标类（A2），以及第3级“管理要求”中的所有指标类。3.3.8测评工具和接入点根据3级信息系统的测评强度要求，在测试的广度上，应基本覆盖不同类型的机制，在数量、范围上可以抽样；在测试的深度上，应执行功能测试和渗透测试，功能测试可能涉及机制的功能规范、高级设计和操作规程等文档，渗透测试可能涉及机制的所有可用文档，并试图智取进入信息系统等。因此，对其进行测评，应涉及到漏洞扫描工具、渗透测评工具集等多种测试工具。使用的测试工具主要有：网络漏洞扫描器、数据库安全扫描器、渗透测试工具集等。3.3.9测评内容-物理安全物理安全测评将通过访谈、文档审查和实地察看的方式测评信息系统的的物理安全保障情况。主要涉及对象为屏蔽机房和主机房。3.3.10测评内容网络安全网络安全测评将通过访谈、配置检查和工具测试的方式测评信息系统的的网络安全保障情况。主要涉及对象为网络互联设备、网络安全设备和网络拓扑结构等三大类对象。3.3.11测评内容主机安全主机系统安全测评将通过访谈、配置检查和工具测试的方式测评主机系统安全保障情况。本次重点测评的操作系统包括各网站服务器、应用服务器和数据库服务器等的操作系统，数据库管理系统为数据库服务器Sybase。3.3.12测评内容应用安全和数据安全应用安全测评将通过访谈、配置检查和工具测试的方式测评应用安全保障情况，主要涉及对象为用电信息系统、对外服务网站系统和远程客户服务系统。3.3.13测评内容安全管理部分安全管理部分为全局性问题，涉及安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五个方面。主要是审查相关管理文档和记录文件。第三部分等级保护测评项目管理（4）等级保护测评中常见问题3.4.1测评中存在的一些问题-物理安全机房接地系统没有没有充分测试，接地电阻达不到GB/T2887-2000要求。机房防静电系统不能满足SJ/T31469-2002的要求。综合布线系统的检测没有严格按照GB/T50312建筑与建筑群综合布线系统工程验收规范进行检测。机房及综合布线系统验收文档不齐全、规范、完整。3.4.2测评中存在的一些问题网络安全没有绘制与实际网络相一致的网络拓扑结构图。有一份与实际网络相一致的网络拓扑结构图对网络管理相当重要，可以方便工作人员掌握网络的整体情况，便于网络故障的排除，便于网络安全设备的策略配置等。网络设备和安全防护产品，没有进行充分配置，存在配置错误或系统漏洞，如SNMP漏洞。安全策略文档普遍缺乏。安全防护体系不健全。没有对重要网段采取网络层地址与数据链路层地址绑定措施。进行MAC地址和IP地址的绑定，有助于防止地址欺骗。3.4.3测评中存在的一些问题主机安全操作系统和数据库管理系统，没有进行充分配置，存在配置错误或系统漏洞，系统补丁大多没有升级。安全策略文档普遍缺乏。3.4.4测评中存在的一些问题应用安全应用系统没有将身份认证、访问控制、日志审计等安全控制在设计阶段充分考虑；在软件代码编程实现没有考虑软件安全漏洞；在验收时没有进行充分测试。普遍没有应用软件的安全策略文档。3.4.5测评中存在的一些问题数据安全没有完整的数据安全备份策略；数据安全备份没有经过演练。3.4.6测评中存在的一些问题管理安全与安全管理制度相配套的总体信息安全策略还没有正式制定，且有部分管理制度没有制定，如工程实施安全管理制度等。总体性安全策略文件是整个机构开展信息安全工作的纲领，对机构近期和远期的安全规划起着重要的指导作用。没有方针性文件的指引和统一规划，机构的信息安全工作则会有工作方向不明确的问题管理机构不健全、管理人员不到位；对信息安全关键岗位的人员管理缺乏更细粒度的要求。没有明确对这些岗位的人员是否有区别于其他岗位的更严格的录用要求、日常信用审查等管理要求。关键岗位所从事的工作是信息安全工作的重中之重，加强对这些岗位人员的管理，对做好信息安全工作起到了关键的作用。（4）等级保护测评工具与作业指导书探讨(1)必须配置测试工具漏洞扫描探测工具。网络安全漏洞扫描系统。数据库安全扫描系统。木马检查工具。专用木马检查工具。进程查看与分析工具。4.4.14.4.1等级保护测评推荐测试工具等级保护测评推荐测试工具(2)选用配置测试工具漏洞扫描探测工具。应用安全漏洞扫描工具。软件代码安全分析类。软件代码安全分析工具。安全攻击仿真工具网络协议分析工具o系统性能压力测试工具网络性能压力测试工具应用软件性能压力测试工具o网络拓扑生成工具o物理安全测试工具接地电阻测试仪电磁屏蔽性能测试仪o渗透测试工具集o安全配置检查工具集o等级保护测评管理工具4.4.24.4.2等级保护测评推荐测试工具等级保护测评推荐测试工具作业指导书开发作业指导书开发网络设备（举例）网络设备（举例）CISCO交换机：管理员登录地址限制交换机：管理员登录地址限制输入命令：showconfig例如，查看配置文件，存在如下配置项：access-list3permit192.168.1.10logaccess-list3denyanylinevty04access-class3inCISCO交换机：登录连接超时交换机：登录连接超时输入命令：show config例如，检查配置文件中存在如下配置项： line con 0 login password 0 xxxxxx exec-timeout 5 04.4.34.4.3作业指导书开发作业指导书开发作业指导书开发作业指导书开发主机系统主机系统（举例）（举例）AIX：登录次数和连接超时：登录次数和连接超时输入命令：输入命令：more /etc/security/login.cfg检查密码策略的设置，查检查密码策略的设置，查看参数看参数logintimes（登录次数）设定情况。（登录次数）设定情况。输入命令：输入命令：egrepTMOUT|TIMEOUT|timeout/etc/profile检查检查登录超时设置，查看参数登录超时设置，查看参数TIMEOUT设定情况。设定情况。4.4.44.4.4作业指导书开发作业指导书开发