信息安全等級測評報告.doc

報告編號： XXXXXXXX 測測 評評 報報 告告 系統(tǒng)名稱：系統(tǒng)名稱： XX 被測單位：被測單位： XX 測評單位：測評單位： xx 信息安全技術有限公司 報告時間：報告時間： 信息系統(tǒng)等級測評基本信息表 信息系統(tǒng)信息系統(tǒng) 系統(tǒng)名稱系統(tǒng)名稱安全保護等級安全保護等級 備案證明編號備案證明編號測評結論測評結論 被測單位被測單位 單位名稱單位名稱 單位地址單位地址郵政編碼郵政編碼 姓 名職務/職稱 所屬部門辦公電話聯(lián)聯(lián) 系系 人人 移動電話電子郵件 測評單位測評單位 單位名稱單位名稱xx 信息安全技術有限公司單位代碼單位代碼 通信地址通信地址鄭郵政編碼郵政編碼 1 姓 名職務/職稱總經(jīng)理 所屬部門辦公電話 0 聯(lián)聯(lián) 系系 人人 移動電話電子郵件 編 制 人編制日期 20 -06-30 審 核 人審核日期 20 -06-30 審核批準審核批準 批 準 人批準日期 20 -06-30 聲 明 本次測評由 XX 委托 xx 信息安全技術有限公司負責實施。項目組人員：XX。 本報告是 XX 的等級測評報告。 本報告測評結論的有效性建立在被測評單位提供相關證據(jù)的真實性基礎之上。 本報告中給出的測評結論僅對被測信息系統(tǒng)當時的安全狀態(tài)有效。當測評工作完成后， 由于信息系統(tǒng)發(fā)生變更而涉及到的系統(tǒng)構成組件（或子系統(tǒng)）都應重新進行等級測評，本報 告不再適用。 本報告中給出的測評結論不能作為對信息系統(tǒng)內(nèi)部署的相關系統(tǒng)構成組件（或產(chǎn)品）的 測評結論。 在任何情況下，若需引用本報告中的測評結果或結論都應保持其原有的意義，不得對相 關內(nèi)容擅自進行增加、修改和偽造或掩蓋事實。 xx 信息安全技術有限公司(蓋章) 20 年 6 月 目 錄 報告摘要1 第 1 章測評項目概述3 1.1 測評目的3 1.2 測評依據(jù)3 1.3 測評過程3 1.4 報告分發(fā)范圍5 第 2 章被測信息系統(tǒng)情況6 2.1 網(wǎng)絡結構6 2.2 系統(tǒng)構成7 2.2.1業(yè)務應用軟件.7 2.2.2主機/存儲設備7 2.2.3網(wǎng)絡互聯(lián)設備.8 2.2.4安全設備.8 2.2.5安全相關人員.8 2.2.6安全管理文檔.8 第 3 章等級測評范圍與方法11 3.1 測評指標11 3.1.1基本指標.11 3.1.2特殊指標.12 3.2 測評對象12 3.2.1測評對象選擇方法.12 3.2.2測評對象選擇結果.12 3.3 測評方法15 第 4 章單元測評17 4.1 物理安全17 4.1.1結果記錄.17 4.1.2匯總與分析.24 4.2 網(wǎng)絡安全25 4.2.1結果記錄.25 4.2.2匯總與分析.36 4.3 主機安全（操作系統(tǒng)）38 4.3.1結果記錄.38 4.3.2匯總與分析.52 4.4 主機安全（數(shù)據(jù)庫）55 4.4.1結果記錄.55 4.4.2匯總與分析.61 4.5 應用安全62 4.5.1結果記錄.62 4.5.2匯總與分析.71 I 4.6 數(shù)據(jù)安全及備份恢復73 4.6.1結果記錄.73 4.7 安全管理制度77 4.7.1結果記錄.77 4.7.2匯總與分析.79 4.8 安全管理機構80 4.8.1結果記錄.80 4.8.2匯總與分析.84 4.9 人員安全管理85 4.9.1結果記錄.85 4.9.2匯總與分析.88 4.10系統(tǒng)建設管理89 4.10.1 結果記錄.89 4.10.2 匯總與分析.99 4.11系統(tǒng)運維管理100 4.11.1 結果記錄.100 4.11.2 匯總與分析.115 第 5 章整體測評117 5.1 安全控制間安全測評117 5.2 層面間安全測評118 5.3 區(qū)域間安全測評118 5.4 關聯(lián)互補分析119 5.4.1物理安全互補分析.119 5.4.2網(wǎng)絡安全互補分析.119 5.4.3主機安全互補分析.121 5.4.4數(shù)據(jù)安全互補分析.122 5.4.5應用安全互補分析.123 5.4.6安全管理互補分析.125 第 6 章測評結果匯總127 第 7 章風險分析與評價131 7.1 信息資產(chǎn)賦值131 7.2 威脅分析132 7.3 風險分析136 第 8 章等級測評結論138 第 9 章安全建設整改建議139 9.1 物理安全139 9.2 網(wǎng)絡安全139 9.3 主機安全139 9.4 應用系統(tǒng)140 9.5 安全管理140 II 表索引 表 1-1 測評任務表.4 表 2-1 業(yè)務應用軟件7 表 2-2 主機/存儲設備 7 表 2-3 網(wǎng)絡互連設備表.8 表 2-4 安全設備.8 表 2-5 安全相關人員.9 表 2-6 安全管理文檔.9 表 3-1 基本指標.12 表 3-3 機房.13 表 3-4 網(wǎng)絡互連設備.13 表 3-5 安全設備.14 表 3-6 主機操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)（存儲） .14 表 3-7 業(yè)務庫應用軟件.14 表 3-8 訪談人員.14 表 3-9 安全管理文檔.15 表 4-1 物理位置的選擇.19 表 4-2 物理訪問控制.20 表 4-3 防盜竊和防破壞.20 表 4-4 防雷擊22 表 4-5 防火.22 表 4-6 防水和防潮.23 表 4-7 防靜電.24 表 4-8 溫濕度控制24 表 4-9 電力供應25 表 4-10 電磁防護26 表 4-11 物理安全方面的單項測評結果.27 表 4-12 結構安全.27 表 4-13 網(wǎng)絡訪問控制.29 表 4-14 安全審計.31 表 4-15 邊界完整性檢查33 表 4-16 網(wǎng)絡入侵防范.33 表 4-17 惡意代碼.34 表 4-18 網(wǎng)絡設備防護.35 表 4-19 結構安全方面的單項測評結果.38 表 4-20 網(wǎng)絡訪問控制方面的單項測評結果.39 表 4-21 安全審計方面的單項測評結果.39 表 4-22 邊界完整性檢查方面的單項測評結果.39 表 4-23 網(wǎng)絡入侵防范方面的單項測評結果.40 表 4-24 惡意代碼防范方面的單項測評結果.40 表 4-25 網(wǎng)絡設備防護方面的單項測評結果.40 III 表 4-26 身份鑒別的選擇.41 表 4-27 訪問控制43 表 4-28 安全審計46 表 4-29 剩余信息保護.49 表 4-30 入侵防范.50 表 4-31 惡意代碼防范.51 表 4-32 資源控制.52 表 4-33 身份鑒別方面的單項測評結果.55 表 4-34 訪問控制方面的單項測評結果.55 表 4-35 安全審計方面的單項測評結果.56 表 4-36 剩余信息保護方面的單項測評結果.56 表 4-37 入侵防范方面的單項測評結果.56 表 4-38 惡意代碼防范方面的單項測評結果.57 表 4-39 資源控制方面的單項測評結果.57 表 4-40 身份鑒別58 表 4-41 訪問控制.59 表 4-42 安全審計.61 表 4-43 資源控制62 表 4-44 身份鑒別方面的單項測評結果.63 表 4-45 訪問控制方面的單項測評結果.64 表 4-46 安全審計方面的單項測評結果.64 表 4-47 資源控制方面的單項測評結果.64 表 4-48 身份鑒別.65 表 4-49 訪問控制.66 表 4-50 安全審計.67 表 4-51 剩余信息保護.69 表 4-52 通信完整性.69 表 4-53 通信保密性70 表 4-54 抗抵賴.70 表 4-55 軟件容錯.71 表 4-56 資源控制.72 表 4-57 身份鑒別單項測評結論.74 表 4-58 訪問控制單項測評結論.74 表 4-59 安全審計單項測評結論.74 表 4-60 剩余信息保護單項測評結論.75 表 4-61 通信完整性單項測評結論.75 表 4-62 通信保密性單項測評結論.75 表 4-63 抗抵賴單項測評結論.76 表 4-64 軟件容錯單項測評結論.76 表 4-65 資源控制單項測評結論.77 表 4-66 數(shù)據(jù)完整性.77 表 4-67 數(shù)據(jù)保密性.78 表 4-68 備份和恢復.78 表 4-69 數(shù)據(jù)完整性方面的單項測評結果.80 IV 表 4-70 數(shù)據(jù)保密性方面的單項測評結果.80 表 4-71 數(shù)據(jù)備份與恢復方面的單項測評結果.80 表 4-72 管理制度.81 表 4-73 制定和發(fā)布.82 表 4-74 評審和修訂.83 表 4-75 安全管理制度方面的單項測評結果.83 表 4-76 崗位設置.84 表 4-77 人員配備.85 表 4-78 授權和審批.85 表 4-79 溝通和合作.86 表 4-80 審核和檢查.87 表 4-81 安全管理機構方面的單項測評結果.88 表 4-82 人員錄用.89 表 4-83 人員離崗.90 表 4-84 人員考核.91 表 4-85 安全意識教育和培訓.91 表 4-86 外部人員訪問管理.92 表 4-87 人員安全管理方面的單項測評結果.93 表 4-88 系統(tǒng)定級.93 表 4-89 安全方案設計.94 表 4-90 產(chǎn)品采購和使用.96 表 4-91 自行軟件開發(fā).97 表 4-92 外包軟件開發(fā).98 表 4-93 工程實施98 表 4-94 測試驗收.99 表 4-95 系統(tǒng)交付100 表 4-96 系統(tǒng)備案.101 表 4-97 等級測評.102 表 4-98 安全服務商選擇103 表 4-99 系統(tǒng)建設管理方面的單項測評結果.104 表 4-100 環(huán)境管理.105 表 4-101 資產(chǎn)管理.106 表 4-102 介質管理.107 表 4-103 設備管理.108 表 4-104 監(jiān)控管理和安全管理中心.109 表 4-105 網(wǎng)絡安全管理.110 表 4-106 系統(tǒng)安全管理.111 表 4-107 惡意代碼防范管理.113 表 4-108 密碼管理.114 表 4-109 變更管理.114 表 4-110 備份與恢復管理.115 表 4-111 安全事件處理.116 表 4-112 應急預案管理.118 表 4-113 系統(tǒng)建設管理方面的單項測評結果.119 V 表 5-1 物理安全互補分析.123 表 5-2 網(wǎng)絡安全互補分析.123 表 5-3 主機安全互補分析.125 表 5-4 數(shù)據(jù)安全互補分析.126 表 5-5 應用安全互補分析.128 表 5-6 安全管理互補分析.129 表 6-1 測評結果匯總.132 表 7-1 信息資產(chǎn)賦值.136 表 7-2 資產(chǎn)賦值.137 表 7-3 信息安全威脅分析.137 表 7-4 風險分析.141 VI 圖索引 圖 2-1 XX 總體架構圖.6 第 0 頁 /共 146 頁 報告摘要 本次測評的對象是 XX，該系統(tǒng)向企業(yè)用戶和社會渠道提供車輛信息服務，基 于 XX 業(yè)務信息包含：運輸企業(yè)信息、運輸企業(yè)車輛信息、從業(yè)人員信息、危險品 車輛電子運單信息、車輛時時狀態(tài)信息。該系統(tǒng)是對運輸企業(yè)營運車輛的時時監(jiān)控， 運輸企業(yè)可通過該系統(tǒng)設置形式速度、行駛區(qū)域對車輛進行管制，對違章行駛的車 輛進行及時通知、及時制止。該系統(tǒng)以省集中結構模式，負責各地市以及相關企業(yè) 及部門車輛批量數(shù)據(jù)的采集、集中存儲，相關企業(yè)和部門的查詢等。各車輛運營相 關企業(yè)和單位可以通過網(wǎng)絡與平臺進行數(shù)據(jù)交換，滿足各企業(yè)和地市平臺向省平臺 進行數(shù)據(jù)交換的需求。 根據(jù)定級報告，XX 的業(yè)務信息安全保護等級為第三級，系統(tǒng)服務安全保護等 級為第三級，安全保護等級第三級。 本次測評工作大致分為準備階段、現(xiàn)場實施階段、報告分析編寫階段，歷時 10 天左右；投入人員 4 人。測評內(nèi)容涵蓋等級保護安全技術要求的 5 個層面和安 全管理要求的 5 個方面，涉及測評分類 73 類。 本次測評結果表明被測系統(tǒng)的信息安全保障架構已經(jīng)初具規(guī)模。被測系統(tǒng)的信 息安全技術措施已基本到位，在技術上已從物理、網(wǎng)絡、主機和應用等層面形成了 架構比較合理、設備比較齊全、措施比較到位的安全防范技術體系。被測系統(tǒng)的信 息安全管理機制已初步形成，在安全管理上已基本能夠做到策略明確、制度完善、 組織嚴密、人員職責清晰、操作規(guī)程化、運行維護常態(tài)化、初步形成了長期、有效 的安全管理機制。 本次測評也發(fā)現(xiàn)被測系統(tǒng)存在一些安全問題，主要包括： 1、 網(wǎng)絡邊界未部署入侵檢測設備； 2、 未采用兩種鑒別技術對管理用戶身份進行鑒別。 針對被測系統(tǒng)存在的安全問題，結合等級保護三級相關要求，提出以下整改建 議： 1、 應在網(wǎng)絡邊界部署入侵檢測設備，如 IDS。 2、 應采用兩種或兩種以上組合的鑒別技術對管理用戶身份進行鑒別。 第 1 頁 /共 146 頁 通過本次測評可以看出，被測系統(tǒng)基本能夠滿足 GB/T 22239-2008 信息安 全技術 信息系統(tǒng)安全等級保護基本要求第三級的要求。因此，本次 XX 的等級測 評結論為：基本符合。 測評結果符合率為：82.15%。 第 2 頁 /共 146 頁 第 1 章 測評項目概述 1.1 測評目的 根據(jù) XX 定級結果情況，從信息安全技術 信息系統(tǒng)安全等級保護基本要 求 （GB/T 22239-2008）中選擇相應等級的測評指標，結合 XX 的構成特點，確 定具體的測評對象，制定測評方案，通過訪談、檢查和測試等方式判斷其安全 技術和安全管理的各個方面對測評指標的符合程度，判斷被測系統(tǒng)的安全保護 能力是否滿足國家信息系統(tǒng)安全等級保護要求。 1.2 測評依據(jù) 1)信息安全技術 信息系統(tǒng)安全等級保護基本要求 （GB/T 22239- 2008） 2)信息安全技術 信息系統(tǒng)安全等級保護測評要求 （報批稿） 3)信息安全技術 信息系統(tǒng)安全等級保護實施指南 （報批稿） 4)信息安全技術 信息系統(tǒng)安全等級保護定級指南 （GB/T 22240- 2008） 5)計算機信息系統(tǒng)安全保護等級劃分準則 （GB17859-1999） 1.3 測評過程 等保測評工作流程分為三個階段：測評準備階段、現(xiàn)場實施階段以及報告 分析編寫階段。 1)準備階段 準備階段主要包括：現(xiàn)場調研，制定評估工作方案，人員、設備調配，技 術準備，保密教育等工作。 2)現(xiàn)場實施階段 依據(jù)工作方案，完成現(xiàn)場檢測與數(shù)據(jù)采集工作。 3)等保符合性評估與編寫等保方案階段 第 3 頁 /共 146 頁 根據(jù)檢測結果，通過定量計算、綜合分析，對被檢測系統(tǒng)做出全面評估， 編寫相關報告，組織專家審議。 本次項目現(xiàn)場工作日程安排：上午 9:00-12:00、下午 13:00-17:30。項目 進度參照計劃安排實施，根據(jù)實際情況進行合理調整。若有變更和調整，將由 雙方協(xié)商討論最終確認，并由質量管理員（QA）進行跟蹤記錄，做到項目切實 可行的可控性。本次項目整體周期為 10 天，具體工作時間安排如下表 1-1： 表 1-1 測評任務表 序號序號測評階段測評階段實施內(nèi)容實施內(nèi)容 實施時間（工作日）實施時間（工作日） 1. 測評準備階 段 1.項目啟動，等級測評項目確定后 雙方成立測評項目組； 2.雙方協(xié)同梳理信息系統(tǒng)基本要素， xx 信息安全技術有限公司獲取 XX 信息系統(tǒng)基本要素和定級情況； 3.工具和表單準備； 20 .6.18-20 .6.19 物理安全測評； 20 .6.20 上午 管理安全測評； 20 .6.20 上午 網(wǎng)絡安全測評； 20 .6.20 上午 主機安全測評； 20 .6.20 下午 2. 現(xiàn)場測評階 段 應用安全測評； 20 .6.20 下午 對現(xiàn)場測評收集的數(shù)據(jù)進行分析； 20 .6.21 3. 報告編制階 段 針對數(shù)據(jù)分析結果，從信息系統(tǒng) 測評單項、單元和整體情況以及 系統(tǒng)風險分析等方面進行考慮， 20 .6.22-20 .6.25 第 4 頁 /共 146 頁 序號序號測評階段測評階段實施內(nèi)容實施內(nèi)容 實施時間（工作日）實施時間（工作日） 形成最終測評報告和整改建議書； 對測評報告和整改建議書進行內(nèi) 部評審，并提交給 XX。 4.整改階段 由 XX 組織相關技術人員及廠商 進行整改工作，xx 信息安全技術 有限公司提供技術支持。 20 .6.26-20 .6.27 5.復測階段 整改完畢后，進行復測，并重新 進行風險分析，修改初測報告形 成最終測試報告。并提交給 XX。 20 .6.28-20 .6.29 6. 項目驗收階 段 項目成果提交驗收 20 .630 1.4 報告分發(fā)范圍 依據(jù)項目要求，本次測評交付等級測評報告一式三份，分別提交測評委托 單位（兩份） 、測評實施單位留存。 第 5 頁 /共 146 頁 第 2 章 被測信息系統(tǒng)情況 本次測評的對象是 XX。該系統(tǒng)到目前為止包含業(yè)務有：運輸企業(yè)信息、 運輸企業(yè)車輛信息、從業(yè)人員信息、危險品車輛電子運單信息、車輛時時狀態(tài) 信息。 網(wǎng)絡結構 1、根據(jù)目前實際情況繪制了 XX 網(wǎng)絡總體架構圖如下： 圖 2-1 XX 總體架構圖 從目前調研中了解到，整個信息系統(tǒng)的網(wǎng)絡系統(tǒng)邊界設備可定為 2 臺神州 數(shù)碼 DCFW-1800E-4G 防火墻和 2 臺神州數(shù)碼 DCS-4500-26T 交換機。神州數(shù) 碼 DCS-4500-26T 交換機外聯(lián)的其它系統(tǒng)都劃分為外部網(wǎng)絡部分，而神州數(shù)碼 DCFW-1800E-4G 防火墻以內(nèi)部分包括與各地市互聯(lián)的部分都可歸為中心的內(nèi) 部網(wǎng)絡，與中間業(yè)務系統(tǒng)相關的省監(jiān)控中心網(wǎng)絡邊界部分和內(nèi)部網(wǎng)絡部分都是 等級保護定級的范圍和對象。 基于 XX 業(yè)務信息包含：運輸企業(yè)信息、運輸企業(yè)車輛信息、從業(yè)人員信息、 危險品車輛電子運單信息、車輛時時狀態(tài)信息。該系統(tǒng)以省集中結構模式，負 責各地市以及相關企業(yè)及部門車輛批量數(shù)據(jù)的采集、集中存儲，相關企業(yè)和部 門的查詢等。 第 6 頁 /共 146 頁 2.2 系統(tǒng)構成 2.2.1 業(yè)務應用軟件 表 2-1 業(yè)務應用軟件 序號序號軟件名稱軟件名稱主要功能主要功能重要程度重要程度 1 2.2.2 主機/存儲設備 表 2-2 主機/存儲設備 序序 號號 設備名稱設備名稱操作系統(tǒng)操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)數(shù)據(jù)庫管理系統(tǒng)功能功能重要程度重要程度 1 2 3 4 5 6 7 第 7 頁 /共 146 頁 2.2.3 網(wǎng)絡互聯(lián)設備 表 2-3 網(wǎng)絡互連設備表 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1 2 3 4 2.2.4 安全設備 表 2-4 安全設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1 2 2.2.5 安全相關人員 表 2-5 安全相關人員 序號序號姓名姓名崗位崗位/ /角色角色聯(lián)系方式聯(lián)系方式 1 2 3 4 2.2.6 安全管理文檔 表 2-6 安全管理文檔 1 2 3 4 5 第 8 頁 /共 146 頁 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 第 9 頁 /共 146 頁 第 3 章 等級測評范圍與方法 測評指標 測評指標包括基本指標和特殊指標兩部分。 3.1.1 基本指標 依據(jù)信息系統(tǒng)確定的業(yè)務信息安全保護等級和系統(tǒng)服務安全保護等級，選 擇信息安全技術 信息系統(tǒng)安全等級保護基本要求中對應級別的安全要求作 為等級測評的基本指標。 表 3-1 基本指標 測評指標測評指標 數(shù)量數(shù)量 技術技術/管理管理安全類安全類S 類類 (3 級級) A 類類 (3 級級) G 類類 (3 級級) 小計小計 物理安全342532 網(wǎng)絡安全203133 主機安全1551232 應用安全169631 安全技術 數(shù)據(jù)安全4408 安全管理制度001111 安全管理機構002020 人員安全管理001616 系統(tǒng)建設管理004545 安全管理 系統(tǒng)運維管理006262 合 計 290（控制點） 第 10 頁 /共 146 頁 3.1.2 特殊指標 被測信息系統(tǒng)無特殊安全要求，測評指標均按照信息安全技術 信息系統(tǒng) 安全等級保護基本要求中所包含的安全要求選取。 3.2 測評對象 3.2.1 測評對象選擇方法 由于被評估單位信息資產(chǎn)種類、數(shù)量多，在一段時間內(nèi)不可能逐一進行全 面檢測，本次檢測采用抽樣方法進行，其目的是確定技術脆弱性檢測的重點對 象和目標。抽樣檢測的對象和目標必須要能代表信息系統(tǒng)的安全現(xiàn)狀，否則評 估結果就會偏離實際情況。對 XX 資產(chǎn)抽樣時遵循了典型性、全面性兩原則。 具體如下： 1)典型性原則：對同一應用中軟件配置完全相同的資產(chǎn)抽樣部分資產(chǎn)。 2)全面性原則：對 XX 中每一類資產(chǎn)都要抽樣。 3.2.2 測評對象選擇結果 1)機房 表 3-2 機房 序號序號機房名稱機房名稱物理位置物理位置 1XX金水東路樞紐樓 1 樓 2)網(wǎng)絡互聯(lián)設備 表 3-3 網(wǎng)絡互連設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1核心主路由器路由很高 2核心主交換機 IT 服務域核心主 交換機 很高 3)安全設備 第 11 頁 /共 146 頁 表 3-4 安全設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1主防火墻IT 服務域主防火墻很高 4)主機操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)（存儲） 表 3-5 主機操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)（存儲） 序序 號號 設備名稱設備名稱 操作系統(tǒng)操作系統(tǒng)/數(shù)據(jù)庫管理系數(shù)據(jù)庫管理系 統(tǒng)統(tǒng) 功能功能 重要程重要程 度度 1 數(shù)據(jù)庫服務器 A Windows Server 2008/ SQL Server 2008 系統(tǒng)基礎數(shù)據(jù)存 儲 很高 3中心服務器 AWindows Server 2008 數(shù)據(jù)交互服務系 統(tǒng) 很高 5應用服務器 AWindows Server 2008提供 WEB 服務很高 5)業(yè)務應用軟件 表 3-6 業(yè)務應用軟件 序號序號軟件名稱軟件名稱主要功能主要功能重要程度重要程度 1XX向企業(yè)用戶和社會渠道提供車輛信息服務很高 6)訪談人員 表 3-7 訪談人員 序號序號姓名姓名崗位崗位/ /角色角色聯(lián)系方式聯(lián)系方式 1張柯管理安2王衛(wèi)平管理安3王廣祥 網(wǎng)絡安全、數(shù)據(jù)安全、物理安 全4楊根祥數(shù)據(jù)安全、應用安全、主機第 12 頁 /共 146 頁 序號序號姓名姓名崗位崗位/ /角色角色聯(lián)系方式聯(lián)系方式 全 7)安全管理文檔 表 3-8 安全管理文檔 1. XX 信息系統(tǒng)安 全防護總體方案 根據(jù)信息系統(tǒng)自身的情況，統(tǒng)一考慮安全保障體系 的總體安全策略、安全技術框架、安全管理策略、 總體建設規(guī)劃和詳細設計方案的文件。 2. XX 項目過程管 理辦法 工程實施方面的管理制度，明確說明實施過程的控 制方法和人員要求。 3. XX 人員行為規(guī) 范 公司員工行為準則的書面規(guī)定。 4. 辦公室環(huán)境管 理規(guī)定 規(guī)范辦公環(huán)境人員行為，包括工作人員調離辦公室 應立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人 員、工作人員離開座位應確保終端計算機退出登錄 狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。 5. XX 資產(chǎn)管理辦 法 對公司給系統(tǒng)相關的資產(chǎn)清單，包括資產(chǎn)責任部門、 重要程度和所處位置等內(nèi)容給出明確的管理規(guī)范。 6. XX 存儲介質使 用和管理辦法 介質安全管理制度，對介質的存放環(huán)境、使用、維 護和銷毀等方面作出規(guī)定。 7. 設備使用管理 規(guī)程 對設備的使用過程進行規(guī)范化管理。 8. XX 終端系統(tǒng)管 理規(guī)定 對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡等設 備的操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn) 主要設備（包括備份和冗余設備）的啟動/停止、加 電/斷電等操作。 9. 網(wǎng)絡安全管理 規(guī)程 對網(wǎng)絡安全配置、安全策略、升級與補丁、口令更 新周期等方面作出規(guī)定。 第 13 頁 /共 146 頁 10. XX 信息網(wǎng)絡接 入規(guī)范 公司網(wǎng)絡連接相關規(guī)定。 11. XX 運行維護管 理規(guī)定 對系統(tǒng)安全策略、安全配置、日志管理和日常操作 流程等方面作出具體規(guī)定。 12. XX 管理信息網(wǎng) 病毒防護規(guī)定 對防惡意代碼軟件的授權使用、惡意代碼庫升級、 定期匯報等作出明確規(guī)定。 13. XX 信息系統(tǒng)數(shù) 據(jù)備份管理規(guī)定 備份與恢復管理相關的安全管理制度，對備份信息 的備份方式、備份頻度、存儲介質和保存期等進行 規(guī)范。 14. XX 網(wǎng)絡與信息 安全管理辦法 包括安全事件報告和處置管理制度，明確安全事件 的類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后 期恢復的管理職責等。 15. 保密性協(xié)議評 審規(guī)程 關于保密協(xié)議評的審相關規(guī)定。 16. 人力資源管理 規(guī)程 人力資源管理。 17. 信息安全事件 管理程序 系統(tǒng)運維過程中的安全事件報告和處置管理制度， 規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的 管理職責。 18. 信息安全培訓 規(guī)程 對各類人員進行安全意識教育、崗位技能培訓和相 關安全技術培訓的相關規(guī)定及要求。 19. 對外信息發(fā)布 管理規(guī)程 信息發(fā)布管理辦法。 20. 第三方服務管 理規(guī)程 對第三方服務的管理及要求。 21. 軟件安裝管理 規(guī)程 軟件安裝相關要求。 22.軟件開發(fā)過程軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法 第 14 頁 /共 146 頁 信息安全管理規(guī) 程 和人員行為準則。 3.3 測評方法 安全測評的主要方法有：訪談、檢查和測試。 1)訪談 訪談是指測評人員通過與信息系統(tǒng)有關人員（個人/群體）進行交流、討論 等活動，獲取相關證據(jù)以證明信息系統(tǒng)安全保護措施是否有效落實的一種方法。 在訪談范圍上，應基本覆蓋所有的安全相關人員類型，在數(shù)量上可以抽樣。 2)檢查 檢查是指測評人員通過對測評對象進行觀察、查驗、分析等活動，獲取相 關證據(jù)以證明信息系統(tǒng)安全保護措施是否有效實施的一種方法。在檢查范圍上， 應基本覆蓋所有的對象種類（設備、文檔、機制等） ，數(shù)量上可以抽樣。 3)測試 測試是指測評人員針對測評對象按照預定的方法/工具使其產(chǎn)生特定的響應， 通過查看和分析響應的輸出結果，獲取證據(jù)以證明信息系統(tǒng)安全保護措施是否 得以有效實施的一種方法。在測試范圍上，應基本覆蓋不同類型的機制，在數(shù) 量上可以抽樣。 第 15 頁 /共 146 頁 第 4 章 單元測評 本次單元測評主要依據(jù)信息安全技術 信息系統(tǒng)安全等級保護基本要求 的要求對物理安全、網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全及備份恢復、 安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理和系統(tǒng)運維管理 等方面做出判定。 物理安全 4.1.1 結果記錄 被測系統(tǒng)所在的機房，通過物理位置選擇、物理訪問控制、防盜竊和防破 壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護 十個安全控制點進行測評，判斷測評結果與相對應要求之間的符合性。 物理位置的選擇 表 4-1 物理位置的選擇 要求點要求點 a) 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)；機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房位于 XX，機房和辦公場地具有防震， 防風和防雨等能力。 符合符合 要求點要求點 b) 機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層 或隔壁或隔壁,如果不可避免，應采取有效防水措施。如果不可避免，應采取有效防水措施。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房位于 XX，下層和隔壁無用水設備。符合符合 物理訪問控制 表 4-2 物理訪問控制 第 16 頁 /共 146 頁 要求點要求點 a) 機房各出入口應安排專人值守，控制、鑒別和記錄進入的人員；機房各出入口應安排專人值守，控制、鑒別和記錄進入的人員； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX104 機房出入口未安排專人值守。不符合不符合 要求點要求點 b) 需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活 動范圍；動范圍； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 來訪人員需經(jīng)過嚴格和審批流程才能進 入機房，并有專人陪同，限制和監(jiān)控其 活動范圍。 符合符合 要求點要求點 c) 應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間應用物理方式隔斷，在應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間應用物理方式隔斷，在 重要區(qū)域前設置交付或安裝等過渡區(qū)域；重要區(qū)域前設置交付或安裝等過渡區(qū)域； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房劃分為；設備間，配電間，消防間， 監(jiān)控室等，各區(qū)域間物理隔離。 符合符合 要求點要求點 d) 重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房配置電子門禁系統(tǒng)，對進出機房人 員進行控制記錄。 符合符合 防盜竊和防破壞 表 4-3 防盜竊和防破壞 要求點要求點 a) 應將主要設備放置在機房內(nèi)；應將主要設備放置在機房內(nèi)； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 第 17 頁 /共 146 頁 XX 服務器、交換機等主要設備放置在機房 可控范圍內(nèi)。 符合符合 要求點要求點 b) 應將設備或主要部件進行固定，并設置明顯的不易除去的標記；應將設備或主要部件進行固定，并設置明顯的不易除去的標記； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 設備和主要部件固定牢靠，并設置標簽 等標記。 符合符合 要求點要求點 c) 應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中；應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 通信線纜鋪設在機房機柜頂部走線槽內(nèi)。 符合符合 要求點要求點 d) 應對介質分類標識，存儲在介質庫或檔案室中；應對介質分類標識，存儲在介質庫或檔案室中； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX對介質分類標識，并存儲在檔案柜內(nèi)。符合符合 要求點要求點 e) 應利用光、電等技術設置機房防盜報警系統(tǒng)；應利用光、電等技術設置機房防盜報警系統(tǒng)； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房內(nèi)設置防盜報警系統(tǒng)。符合符合 要求點要求點 f) 應對機房設置監(jiān)控報警系統(tǒng)。應對機房設置監(jiān)控報警系統(tǒng)。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房采用視頻監(jiān)控報警系統(tǒng)。符合符合 第 18 頁 /共 146 頁 防雷擊 表 4-4 防雷擊 要求點要求點 a) 機房建筑應設置避雷裝置；機房建筑應設置避雷裝置； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX XX 設置避雷裝置，采用三級防雷標準。 符合符合 要求點要求點 b) 應設置防雷保安器，防止感應雷；應設置防雷保安器，防止感應雷； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 電源經(jīng)過配電柜接入，安裝了防雷保安 器，防止感應雷。 符合符合 要求點要求點 c) 機房應設置交流電源地線。機房應設置交流電源地線。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房設置有交流電源接地。符合符合 防火 表 4-5 防火 要求點要求點 a) 機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自 動滅火；動滅火； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房設置了火災自動消防系統(tǒng)，能夠自 動檢測火情，自動報警，并自動滅火。 符合符合 要求點要求點 b) 機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 第 19 頁 /共 146 頁 XXXX 采用了具有耐火等級的建筑材料。符合符合 要求點要求點 c) 機房應采取區(qū)域隔離防火措施，將重要設備與其他設備隔離開。機房應采取區(qū)域隔離防火措施，將重要設備與其他設備隔離開。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房采用區(qū)域劃分管理，區(qū)域與區(qū)域之 間采用了有效的物理隔離措施。 符合符合 防水和防潮 表 4-6 防水和防潮 要求點要求點 a) 主機房盡量避開水源，與主機房無關的給排水管道不得穿過主機房主機房盡量避開水源，與主機房無關的給排水管道不得穿過主機房, 與主機房相關的給排水管道必須有可靠的防滲漏措施；與主機房相關的給排水管道必須有可靠的防滲漏措施； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房屋頂無水管通過，進行了有效的防 滲漏處理。 符合符合 要求點要求點 b) 應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房窗體未封閉，未發(fā)現(xiàn)明顯漏水，滲 透和返潮現(xiàn)象。 符合符合 要求點要求點 c) 應采取措施防止機房內(nèi)水蒸氣結露和地下積水的轉移與滲透；應采取措施防止機房內(nèi)水蒸氣結露和地下積水的轉移與滲透； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 采用精密空調進行溫，濕度控制，防止 水蒸氣凝露；采取地漏措施防止地下積 水轉移與滲透。 符合符合 要求點要求點 d) 應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。 第 20 頁 /共 146 頁 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房安裝有進水報警裝置。符合符合 防靜電 表 4-7 防靜電 要求點要求點 a) 主要設備應采用必要的接地防靜電措施；主要設備應采用必要的接地防靜電措施； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 采用了機柜接地防靜電措施，所有機柜 外殼都接地連接。 符合符合 要求點要求點 b) 機房應采用防靜電地板。機房應采用防靜電地板。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX機房未采用防靜電地板。 不符合不符合 溫濕度控制 表 4-8 溫濕度控制 要求點要求點 a) 機房應設置溫、濕度自動調節(jié)設施，使機房溫、濕度的變化在設備運機房應設置溫、濕度自動調節(jié)設施，使機房溫、濕度的變化在設備運 行所允許的范圍之內(nèi)。行所允許的范圍之內(nèi)。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房配置了恒溫恒濕空調機組，溫度控 制在 20左右，不超過 25，濕度保持 在 50左右且有個簡易的溫度濕度測量 儀，顯示測評時溫度為 20，濕度為 44.5。 符合符合 第 21 頁 /共 146 頁 電力供應 表 4-9 電力供應 要求點要求點 a) 應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備；應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房供電線路都通過 UPS 進入機房， UPS 具有穩(wěn)壓和過壓防護功能。 符合符合 要求點要求點 b) 應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正 常運行要求；常運行要求； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX采用 UPS 提供短期備用電力供應。符合符合 要求點要求點 c) 設置冗余或并行的電力電纜線路為計算機系統(tǒng)供電，輸入電源應采用設置冗余或并行的電力電纜線路為計算機系統(tǒng)供電，輸入電源應采用 雙路自動切換供電方式；雙路自動切換供電方式； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 機房電力供應進行雙回路電源設置，并 且每年會對雙路供電切換測試。 符合符合 要求點要求點 d) 應建立備用供電系統(tǒng)。應建立備用供電系統(tǒng)。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 設置有備用供電系統(tǒng)，機房有雙回路電 源，有 UPS 備用供電。 符合符合 第 22 頁 /共 146 頁 0電磁防護 表 4-10 電磁防護 要求點要求點 a) 電源線和通信線纜應隔離鋪設，避免互相干擾；電源線和通信線纜應隔離鋪設，避免互相干擾； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 電源線和通信線纜隔離鋪設，避免互相 干擾。 符合符合 要求點要求點 b) 應采用接地方式防止外界電磁干擾和設備寄生耦合干擾；應采用接地方式防止外界電磁干擾和設備寄生耦合干擾； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 采用接地方式防止外界電磁干擾和設備 寄生耦合干擾。 符合符合 要求點要求點 c) 應對關鍵設備和磁介質實施電磁屏蔽。應對關鍵設備和磁介質實施電磁屏蔽。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 XX 未對關鍵設備和磁介質實施電磁屏蔽防 護措施，所有磁介質儲存在設備內(nèi)，不 需場外存放。 不適用不適用 4.1.2 匯總與分析 根據(jù)對 XX 的現(xiàn)場安全測評記錄，針對 XX 在物理安全方面的“物理位置 選擇” 、 “物理訪問控制” 、 “防盜竊和防破壞” 、 “防雷擊” 、 “防火” 、 “防水和防 潮” 、 “防靜電” 、 “溫濕度控制” 、 “電力供應”和“電磁防護”等測評指標，分 析后判斷出與其相對應的各測評項的測評結果，具體如下表所示。 表 4-11 物理安全方面的單項測評結果 測評項測評項序號序號 測評對象測評對象 a)b)c)d)e)f) 第 23 頁 /共 146 頁 1 物理位置選擇 2 物理訪問控制 3 防盜竊和防破壞 4 防雷擊 5 防火 6 防水和防潮 7 防靜電 8 溫濕度控制 9 電力供應 10 電磁防護 XX N/A 注：“”表示符合，“”表示不符合，“”表示部分符合，“N/A”表示 不適用，“”表示該項控制類無此項 4.2 網(wǎng)絡安全 4.2.1 結果記錄 網(wǎng)絡依照安全等級保護三級要求進行全測評，現(xiàn)場測評包括了結構安全、 網(wǎng)絡訪問控制、安全審計、邊界完整性檢查、網(wǎng)絡入侵防范、惡意代碼、網(wǎng)絡 設備防護等方面的內(nèi)容。 結構安全 表 4-12 結構安全 要求點要求點 a)：應保證主要網(wǎng)絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰：應保證主要網(wǎng)絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰 期需要；期需要； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 第 24 頁 /共 146 頁 網(wǎng)絡拓撲結構 查看邊界設備和主要網(wǎng)絡設備，其性能指標（如 CPU 利用率等）能夠滿足目前業(yè)務高峰流量情況。符合符合 要求點要求點 b)：應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要；：應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 查看邊界設備和主要網(wǎng)絡設備，在主要網(wǎng)絡設備 上進行了寬帶配置，網(wǎng)絡各個部分的帶寬滿足業(yè) 務高峰期需求。 符合符合 要求點要求點 c)：應在業(yè)務終端與業(yè)務服務器之間進行路由控制建立安全的訪問路徑；：應在業(yè)務終端與業(yè)務服務器之間進行路由控制建立安全的訪問路徑； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 交換機使用靜態(tài)路由在業(yè)務終端與業(yè)務服務器之 間進行路由控制。 符合符合 要求點要求點 d)：應繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖；：應繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構XX 網(wǎng)絡拓撲結構與當前實際網(wǎng)絡環(huán)境一致。符合符合 要求點要求點 e)：應根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，：應根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素， 劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地 址段；址段； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 XX 內(nèi)核心交換機為系統(tǒng)劃分了獨立的 VLAN， 并為其劃分了子網(wǎng)，進行了地址分配。 符合符合 第 25 頁 /共 146 頁 要求點要求點 f)：應避免將重要網(wǎng)段部署在網(wǎng)絡邊界處且直接連接外部信息系統(tǒng)，重：應避免將重要網(wǎng)段部署在網(wǎng)絡邊界處且直接連接外部信息系統(tǒng)，重 要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術隔離手段；要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術隔離手段； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 經(jīng)查看網(wǎng)絡拓撲結構，重要網(wǎng)段未部署在網(wǎng)絡邊 界處且未直接連接外部信息系統(tǒng)，重要網(wǎng)段和其 他網(wǎng)段之間部署有訪問控制設備進行隔離。 符合符合 要求點要求點 g)：應按照對業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)：應按照對業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng) 絡發(fā)生擁堵的時候優(yōu)先保護重要主機。絡發(fā)生擁堵的時候優(yōu)先保護重要主機。 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構未指定帶寬分配的優(yōu)先級。不符合不符合 網(wǎng)絡訪問控制 表 4-13 網(wǎng)絡訪問控制 要求點要求點 a)：應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能；：應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 經(jīng)查看網(wǎng)絡拓撲結構，在網(wǎng)絡邊界處部署了神州數(shù) 碼防火墻并啟用了訪問控制功能。 符合符合 要求點要求點 b)：應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許：應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，拒絕訪問的能力， 控制粒度為端口級；控制粒度為端口級； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 查看防火墻配置，在防火墻上設置了訪問控制規(guī)則， 訪問控制力度為端口級。 符合符合 第 26 頁 /共 146 頁 要求點要求點 c)：應對進出網(wǎng)絡的信息內(nèi)容進行過濾，實現(xiàn)對應用層：應對進出網(wǎng)絡的信息內(nèi)容進行過濾，實現(xiàn)對應用層 HTTP、FTP、TELNET、SMTP、POP3 等協(xié)議命令級的控制；等協(xié)議命令級的控制； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 查看防火墻配置，對進出網(wǎng)絡的信息內(nèi)容進行過濾， 遠程登錄的用戶數(shù)量是固定的。 符合符合 要求點要求點 d)：應在會話處于非活躍一定時間或會話結束后終止網(wǎng)絡連接；：應在會話處于非活躍一定時間或會話結束后終止網(wǎng)絡連接； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 系統(tǒng)未對 TCP,UDP 會話超時時間進行設置。不符合不符合 要求點要求點 e)：應限制網(wǎng)絡最大流量數(shù)及網(wǎng)絡連接數(shù)；：應限制網(wǎng)絡最大流量數(shù)及網(wǎng)絡連接數(shù)； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 路由器上設置了網(wǎng)絡連接數(shù)與及最大流量限制。符合符合 要求點要求點 f)：重要網(wǎng)段應采取技術手段防止地址欺騙；：重要網(wǎng)段應采取技術手段防止地址欺騙； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 在交換機與路由器上都設置了 IP/MAC 地址綁定。符合符合 要求點要求點 g)：應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控：應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控 系統(tǒng)進行資源訪問，控制粒度為單個用戶；系統(tǒng)進行資源訪問，控制粒度為單個用戶； 測評對象測評對象現(xiàn)狀現(xiàn)狀符合性符合性 網(wǎng)絡拓撲結構 防火墻和交換機已設置了訪問控制列表，明確了允 許/拒絕訪問的網(wǎng)絡段，控制粒度為單個用戶。 符合符合 第 27