114三级5 等级保护三级测评阶段重要性讲解

同等保护评估是指对国家重要信息、法人和其他组织及公民的专有信息、公共信息以及用于存储、传输和处理这些信息的信息系统，对信息系统中使用的信息安全产品进行分级管理，对信息系统中发生的信息安全事件进行分级响应和处置。几个关键词:1。信息系统不是一个整体单元，而是根据不同的系统进行保护；2.分层次进行保护管理，明确重要系统和非重要系统，重点管理重要系统。并非所有系统都有相同的保护。那么等级保护评估是指有资质的评估机构根据不同的等级要求对非保密信息系统进行安全评估，并出具相应的信息系统评估报告。你的评估必须是有资质的机构，否则你找的安全厂商、集成商或者其他人做的安全评估不是等级保护评估，最多只能叫安全检测，你的评估结果不被公安部门认可。说白了，你的钱都浪费了，哪些在考验中更重要。让我们互相了解一下。

时代新威年龄新伟

边界完整性检查(S3)

这一要求包括:

应能检查未授权设备连接内部网络的行为，准确确定位置，并能

有效阻断；

整改建议:部署终端接入系统，用于控制。

应能检查内部网络用户私下连接外部网络的行为，准确确定位置，并

并有效阻断。(2级没有此项)

整改建议:部署终端接入系统，用于控制。

入侵防御(G3)

这一要求包括:

应在网络边界监控以下攻击:端口扫描、暴力攻击、特洛伊木马后门攻击和拒绝服务

服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击；整改建议:部署**IPS系统，记录攻击日志，启用防范策略。

当检测到攻击时，记录攻击源的IP、攻击类型、攻击目的和攻击时间

严重侵入时应报警。(2级没有此项)

整改建议:部署**IPS系统，记录攻击日志，并将日志发送到统一网管中心。

恶意代码防护(G3)(此项目在2级不可用)

这一要求包括:

恶意代码应该在网络边界被检测和清除；

整改建议:部署具有病毒检测和查杀功能的病毒检测设备。用下一代防火墙开启AV功能。

恶意代码库的升级和检测系统的更新应该保持。

整改建议:病毒数据库自动更新。* *下一代防火墙支持AV病毒数据库更新功能。

网络设备保护(G3)

这一要求包括:

应该对登录到网络设备的用户进行身份验证。

整改建议:用用户/密码登录。* *安全设备都支持身份验证功能。b)网络设备的管理员登录地址要有限制；

整改建议:用用户/密码登录。* *安全设备支持对登录地址的限制。c)网络设备用户的标识应是唯一的；整改建议:配置唯一的设备名称/标识。

主网络设备应为同一用户选择两种或两种以上的组合认证技术进行身份认证

不要；(2级没有此项)

整改建议:使用双因素登录认证。* *安全设备支持。

身份认证信息应不易被冒用，密码应有复杂度要求，定期更换；整改建议:密码为强密码，密码管理有相关规定。* *安全设备支持。

应该具有登录失败处理功能，可以采取结束会话，限制非法登录的次数和网络登录时的连接

超时后自动退出等措施；

整改建议:*安全设备本身就有这个功能。

当远程管理网络设备时，应该采取必要的措施来防止认证信息被

偷听；

整改建议:*安全设备支持远程安全/加密管理方式，包括SSH和HTTPS。)设备的特权用户应该分开。(2级没有此项)

整改建议:*安全设备支持分权设置，分离专有权。

主机安全性

身份认证

登录到操作系统和数据库系统的用户应该被识别和认证；整改建议:使用账号密码。

操作系统和数据库系统管理用户身份应该很难被冒用，密码应该很复杂

学位要求和定期更换；

整改建议:使用强密码。在操作系统上配置。

应启用登录失败处理功能，并可采取结束会话、限制非法登录次数、自动退出等措施。整改建议:在操作系统上配置策略。

当远程管理服务器时，应该采取必要的措施来防止身份验证信息被

偷听；

整改建议:KVM硬件管理，启用加密功能的3389远程管理桌面，或者远程登录端口修改。

应该为操作系统和数据库系统的不同用户分配不同的用户名，以确保用户名是唯一的

做爱。

整改建议:在管理制度上规范，一人一账。

应该使用两种或两种以上的组合身份验证技术来验证管理用户(第二级中没有这样的项目)。整改建议:账户密码、指纹、动态密码、数字证书

访问控制

应启用访问控制功能，根据安全策略控制用户对资源的访问；整改建议:根据用户和资源配置控制策略。

应该根据管理用户的角色来分配权限，以便将管理用户的权限分开，只授予管理用户

所需的最低权限；(2级没有此项)

整改建议:系统管理员、安全管理员、安全审核员由不同的人员和用户承担。* *安全系统都支持分散配置。

应该实现操作系统和数据库系统特权用户的特权分离。整改建议:操作系统有管理员和审计员，相互排斥。

应严格限制默认帐户的访问权限，重命名系统默认帐户，并修改这些帐户的默认密码。整改建议:禁用来宾账户等默认账户。修改默认密码e)及时删除多余和过期的账户，避免共享账户的存在。整改建议:及时删除临时员工和离职员工账号。

安全审计

审核范围应覆盖服务器上的每个操作系统用户和数据库用户以及重要的客户端；b)审核内容包括重要用户行为、系统资源异常使用、重要系统命令使用等。

重要的安全相关事件；

审核记录应包括事件的日期、时间、类型、主体识别、客体识别和结果；d)应能根据记录的数据进行分析并生成审计报告；(二级没有这个项目)E)审核过程要防止意外中断；(第2级没有此项)f)审计记录应受到保护，以防意外删除、修改或覆盖。

整改建议:服务器通过自己的日志记录后，支持日志收集和日志保护。

6.1.3.4的剩余信息保护(二级不可用)

a)确保操作系统和数据库系统用户认证信息所在的存储空被释放或重新分配给

其他用户之前是完全清除的，不管信息是存储在硬盘上还是内存中；b)确保系统中文件、目录和数据库记录所在的存储空室被释放或重新划分

在分发给其他用户之前，它被完全清除。

整改建议:查看产品检测报告、用户手册或管理手册，确认是否具有相关功能；或者相应的功能由第三方工具提供。如果测试报告、用户手册或管理手册中没有相关说明，并且没有提供第三方工具来增强该功能，则该要求不符合要求。

入侵防御

a)能检测重要服务器的入侵，并能记录入侵的源IP、攻击类型、

攻击目的，攻击时间，发生严重入侵时提供报警；(二级没有这个项目)整改建议:部署* * IPS&: WAF系统保护服务器。入侵防御系统和晶片设备可以记录攻击的具体日志并发出警报

b)应能检测重要程序的完整性，检测到完整性受损后恢复。

措施；(2级没有此项)

整改建议:部署**IPS防御系统，保护服务器的完整性。

c)操作系统应遵循最小安装原则，只安装所需的组件和应用程序，并通过设置进行升级

服务器等方式及时更新系统补丁。

整改建议:及时更新和补丁服务器。网络侧**IPS支持热补丁功能，无需及时打补丁即可为系统提供保护。

恶意代码防范

a)应安装反恶意代码软件，并及时更新反恶意代码软件版本和恶意代码库；

b)主机防恶意代码产品要有不同于网络防恶意代码产品的恶意代码库；(无二级)

这个项目)

c)应支持反恶意代码的统一管理。

资源控制

a)应通过设置终端访问模式和网络地址范围来限制终端登录；b)应根据安全策略设置登录终端的操作超时锁；

c)应监控重要服务器，包括服务器的CPU、硬盘、内存、网络等资源

使用情况；(2级没有此项)

d)限制单个用户对系统资源的最大或最小使用；

e)当系统服务水平降至预先规定的最小值时，应能检测并报警。(二级没有这个

项目)

整改建议:支持主机状态监控。

应用安全

身份认证

a)应提供特殊的登录控制模块，以识别和认证登录用户；

b)同一用户应采用两种或两种以上的组合认证技术进行认证；(无二级)

这个项目)

c)应提供检查用户标识的唯一性和认证信息的复杂性的功能，以确保应用系统中没有重复

用户身份，身份认证信息不易被冒用；

d)应提供登录失败处理功能，并可采取结束会话、限制非法登录次数、自动退出等措施；e)应启用身份验证、用户标识唯一性检查、用户标识信息复杂性检查和登录

记录故障处理功能，并根据安全策略配置相关参数。整改建议:考察自己的业务系统，要求其支持以上能力。

访问控制

a)应提供访问控制功能，以根据安全策略控制用户对文件、数据库表和其他对象的访问；整改建议:使用* *安全堡垒主机

b)访问控制的覆盖范围应包括与资源访问及其操作相关的主体和客体；

整改建议:使用* *安全堡垒主机

c)访问控制策略应由授权主体配置，并严格限制默认账户的访问权限；整改建议:使用* *安全堡垒主机

d)不同的帐户应被授予完成各自任务所需的最低权限，并在它们之间形成一个相互的系统

关于关系。

整改建议:使用* *安全堡垒主机时，应用系统也需要配置相应的权限控制。e)应具有对重要信息资源设置敏感标志的功能；(二级没有这个项目)整改建议:应用系统本身就有这个功能。

f)用户对带有敏感标识的重要信息资源的操作应按照安全策略严格控制；(二级没有这个

项目)

安全审计

a)提供覆盖每个用户的安全审计功能，对应用系统的重要安全事件进行审计；b)确保审核过程不能独立中断，审核记录不能被删除、修改或覆盖；

c)审核记录至少应包括事件的日期、时间、发起者信息、类型、描述和结果

等等。；

d)应提供审计记录数据的统计、查询和分析以及审计报告生成的功能。(无二级)

这个项目)

整改建议:业务系统本身支持日志记录、日志上报功能和防篡改。

剩余信息保护(该项目在2级不可用)

a)确保用户认证信息所在的存储空在被释放或重新分配给其他用户之前被完全清除。

该信息是存储在硬盘上还是存储在内存中；在分发给其他用户之前，它被完全清除。

整改建议:查看产品检测报告、用户手册或管理手册，确认是否具有相关功能；或者相应的功能由第三方工具提供。如果测试报告、用户手册或管理手册中没有相关说明，并且没有提供第三方工具来增强该功能，则该要求不符合要求。

b)确保系统中文件、目录、数据库记录等资源所在的存储空被释放或重新划分

6.1.4.5的通信完整性

a)应采用加密技术，以确保通信过程中数据的完整性。整改建议:应用系统本身要有这个能力。

6.1.4.6的通信保密

a)在通信方建立连接之前，应用系统应使用密码技术进行会话初始化验证；