控制编号：SGISL/OP-SA17-10
信息安全等级保护测评作业指导书
IDS （三级）
版号：第2版
修改次数：第0次
生效日期：2010年01月06日中国电力科学研究信息安全实验室
修改页
、安全审计1.日志记录
2
3.审计记录的保护
、安全防护
一．应用系统安全测评指导书1.应用系统安全测评 访谈： 专门的登陆控制模块进行身份鉴别手工检查： 1.查看登陆控制模块 2.验证登陆控制模块功能是否正确。1.认证方式应该为混合认证方式 2.本身操作系统用户也必须输入密码才能登陆。 访谈： 1.是否有专门的模块或选项，是否有相关参数需要配置 2.功能验证。 访谈： 1.登录失败处理的功能(如结束会话、限制非法登陆次数，当连接超时，自动退出等)，查看是否启用配置。 2.应根据应用系统使用的登录失败处理方式，采用如下测试方法之一或全部进行测试： a.以错误的用户名或密码登录系统查看系统的反应 b.以超过系统规定的非法登录次数登陆系统查看系统的反应 c.当登陆系统连接超时查看系统的反应。
访谈： 1.是否有访问控制策略配置功能，以该授权主体身份登录系统，进行验证 2.以不具有修改访问控制策略权限的用户登录系统，试图修改访问控制策略，查看是否成功 3.系统是否有默认用户，是否限制了默认用户的访问权限 4.测试应用系统是对默认账户合法/非法操作进行限制。 访谈： 1.最小授权、相互制约 2.用户职责分配的权限是否与其职责相符 3.不同账户的权限是否分离并形成制约关系 4.测试越权访问，能否成功。 访谈： 1.功能是否满足并验证。
1.系统管理员是否依据安全策略对目标系统进行了正确的配置 2.进行验证。 访谈： 1.询问安全审计员，审记策略是什么； 2.检查应用系统的审记策略，查看审记策略是否覆盖到每个用户，是否对系统异常等事件进行审计 3.确认审计功能是否全面、详细。 访谈： 1.检查应用系统是否提供专门的审计工具 2.应用系统审计报表功能 访谈： 1.询问应用系统审计方式，测试审计功能健壮性 2.验证审计功能 3.审计记录恢复功能。
信息安全技术信息系统安全等级保护测评过程指南 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南； ——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求； ——GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南； ——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。 信息安全技术 信息系统安全等级保护测评过程指南 1范围
本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。 2规范性引用文件 下列文件中的条款通过在本标准中的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件， 其最新版本适用于本标准。 GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007]43号） 3术语和定义 GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及下列的术语和定义适用于本标准。 3.1
国家信息安全等级保护制度第三级要求 1 第三级基本要求 1.1技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择(G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制(G3) 本项要求包括: a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员; b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围; c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安 装等过渡区域; d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
1.1.1.3 防盗窃和防破坏(G3) 本项要求包括: a) 应将主要设备放置在机房内; b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记; c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中; d) 应对介质分类标识,存储在介质库或档案室中; e) 应利用光、电等技术设置机房防盗报警系统; f) 应对机房设置监控报警系统。 1.1.1.4 防雷击(G3) 本项要求包括: a) 机房建筑应设置避雷装置; b) 应设置防雷保安器,防止感应雷; c) 机房应设置交流电源地线。 7.1.1.5 防火(G3) 本项要求包括: a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮(G3) 本项要求包括: a) 水管安装,不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透; d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。 1.1.1.7 防静电(G3) 本项要求包括: a) 主要设备应采用必要的接地防静电措施; b) 机房应采用防静电地板。 1.1.1.8 温湿度控制(G3) 机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应(A3) 本项要求包括: a) 应在机房供电线路上配置稳压器和过电压防护设备; b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运
朔州市交警队 等级保护（三级）建设方案 深信服科技（深圳）有限公司 2017年8月
目录 1项目概述 (1) 2等级保护建设流程 (2) 3方案参照标准 (4) 4信息系统定级备案 (5) 4.1信息系统定级 (5) 4.2信息系统备案 (7) 5系统安全需求分析 (8) 6安全风险与差距分析 (12) 6.1物理安全风险与差距分析 (12) 6.2计算环境安全风险与差距分析 (12) 6.3区域边界安全风险与差距分析 (14) 6.4通信网络安全风险与差距分析 (15) 7技术体系方案设计 (17) 7.1方案设计目标 (17) 7.2方案设计框架 (17) 7.3安全域的划分 (18) 7.3.1安全域划分的依据 (18) 7.3.2安全域划分与说明 (19)
7.4安全技术体系设计 (19) 7.4.1机房与配套设备安全设计 (19) 7.4.2计算环境安全设计 (21) 7.4.3区域边界安全设计 (28) 7.4.4通信网络安全设计 (30) 7.4.5安全管理中心设计 (33) 8安全管理体系设计 (37) 9系统集成设计 (39) 9.1软硬件产品部署图 (39) 9.2安全产品部署说明 (42) 9.3产品选型 (45) 9.2.1选型建议 (45) 9.2.2选型要求 (45)
1项目概述 随着信息化的发展，朔州市交警队的业务开展也越来越依托于网络平台，但纵观当前的安全形势，各种安全事件层出不穷，而朔州市交警队目前的网络中，安全设备较少，以前买的安全设备由于网络带宽升级，使用耗损等，其性能也渐渐不能满足朔州市交警队目前的网络安全需求，严重制约了朔州市交警队的信息化脚步。因此朔州市交警队希望加快信息化建设，以实现电子办公，执法信息网络公开化等。 通过对朔州市交警队信息化现状调研、分析，结合等级保护在物理安全、网络安全、主机安全、应用安全、数据安全、安全管理制度、安全管理机构、人员安全、系统建设、系统运维十个方面的要求，逐步完善信息安全组织、落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，使得单位信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展。
1.1安全计算环境-Linux 1.1.1身份鉴别 测评项： a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换； 测评方法： 测评项： b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； 测评方法： 测评项： c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；测评方法：
测评项： d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。 测评方法： 1.1.2访问控制 测评项： a) 应对登录的用户分配账户和权限； 测评方法： 测评项： b) 应重命名或删除默认账户，修改默认账户的默认口令； 测评方法： 测评项： c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在； 测评方法：
测评项： d) 应授予管理用户所需的最小权限，实现管理用户的权限分离； 测评方法： 测评项： e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；测评方法： 测评项： f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；测评方法： 测评项： g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。 测评方法：
1.1.3安全审计 测评项： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 测评方法： 测评项： b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 测评方法： 测评项： c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；测评方法：
信息系统安全等级保护基本要求 1 三级基本要求 (3) 1.1 技术要求 (3) 1.1.1 物理安全 (3) 1.1.1.1 物理位置的选择（G3） (3) 1.1.1.2 物理访问控制（G3） (3) 1.1.1.3 防盗窃和防破坏（G3） (3) 1.1.1.4 防雷击（G3） (3) 1.1.1.5 防火（G3） (3) 1.1.1.6 防水和防潮（G3） (4) 1.1.1.7 防静电（G3） (4) 1.1.1.8 温湿度控制（G3） (4) 1.1.1.9 电力供应（A3） (4) 1.1.1.10 电磁防护（S3） (4) 1.1.2 网络安全 (4) 1.1.2.1 结构安全（G3） (4) 1.1.2.2 访问控制（G3） (4) 1.1.2.3 安全审计（G3） (5) 1.1.2.4 边界完整性检查（S3） (5) 1.1.2.5 入侵防范（G3） (5) 1.1.2.6 恶意代码防范（G3） (5) 1.1.2.7 网络设备防护（G3） (5) 1.1.3 主机安全 (6) 1.1.3.1 身份鉴别（S3） (6) 1.1.3.2 访问控制（S3） (6) 1.1.3.3 安全审计（G3） (6) 1.1.3.4 剩余信息保护（S3） (7) 1.1.3.5 入侵防范（G3） (7) 1.1.3.6 恶意代码防范（G3） (7) 1.1.3.7 资源控制（A3） (7) 1.1.4 应用安全 (7) 1.1.4.1 身份鉴别（S3） (7) 1.1.4.2 访问控制（S3） (8) 1.1.4.3 安全审计（G3） (8) 1.1.4.4 剩余信息保护（S3） (8) 1.1.4.5 通信完整性（S3） (8) 1.1.4.6 通信保密性（S3） (8) 1.1.4.7 抗抵赖（G3） (8) 1.1.4.8 软件容错（A3） (8) 1.1.4.9 资源控制（A3） (8) 1.1.5 数据安全及备份恢复 (9) 1.1.5.1 数据完整性（S3） (9) 1.1.5.2 数据保密性（S3） (9)
控制编号：SGISL/OP-SA17-10 信息安全等级保护测评作业指导书 IDS（三级） 版号：第 2 版 修改次数：第0 次 生效日期：2010年01月06日 中国电力科学研究信息安全实验室
修订号控制编号 版号/ 章节号 修改人修订原因批准人批准日期备注 1SGISL/OP-S A17-10 唐斐按公安部要求修订詹雄2010.3.8
一、安全审计1．日志记录 测评项编号ADT-FW-04 对应要求应对设备运行状况、网络流量等进行日志记录 测评项名称日志记录 测评分项1：记录IDS的管理行为、设备运行状况和网络异常流量。 操作步骤查看IDS日志，是否存在设备运行状况和网络异常流量等相关日志记录 适用版本任何产品 实施风险无 符合性判定 存在防火墙的管理行为、网络流量等相关日志记录，判定结果为符合 包含上述内容不全面，判定结果为不符合 测评分项2：审计记录应包括：事件的日期和时间、用户、事件类型、事件结果等 操作步骤查看日志记录内容，是否包含事件的日期和时间、用户、事件类型、事件结果 适用版本所有内容 实施风险无 符合性判定 包含事件的日期和时间、用户、事件类型、事件结果，判定结果为符合 包含上述内容不全面，判定结果为不符合 备注
2．日志分析 测评项编号ADT-FW-04 对应要求应能够根据记录数据进行分析，并生成审计报表 测评项名称日志分析 测评分项1：根据各种审计数据分析，并生成报表 操作步骤登陆IDS管理界面，获取日志分析报告及图表适用版本任何产品 实施风险无 符合性判定 能获取到日志分析报告及图表，判定结果为符合 不能获取到日志分析报告及图表，判定结果为不符合3．审计记录的保护 测评项编号ADT-FW-04 对应要求应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等 测评项名称审计记录的保护 测评分项1：审计记录的完好性保护 操作步骤查看审计记录的存储，是否未经授权可删除、修改审计记录适用版本任何产品 实施风险无 符合性判定 未经授权，不可删除、修改审计记录，判定结果为符合 未经授权，可删除、修改审计记录，判定结果为不符合三、安全防护
二级、三级等级保护要求比较一、技术要求 技术要求项二级等保三级等保 物理位置的选择1）机房和办公场地应选择 在具有防震、防风和防雨 等能力的建筑内。 1）机房和办公场地应选择在具有防震、防 风和防雨等能力的建筑内； 2）机房场地应避免设在建筑物的高层或地 下室，以及用水设备的下层或隔壁； 3）机房场地应当避开强电场、强磁场、强 震动源、强噪声源、重度环境污染、易 发生火灾、水灾、易遭受雷击的地区。 物理访问控制1）机房出入口应有专人值 守，鉴别进入的人员身份 并登记在案； 2）应批准进入机房的来访 人员，限制和监控其活动 范围。 1）机房出入口应有专人值守，鉴别进入的 人员身份并登记在案； 2）应批准进入机房的来访人员，限制和监 控其活动范围； 3）应对机房划分区域进行管理，区域和区 域之间设置物理隔离装置，在重要区域 前设置交付或安装等过度区域； 4）应对重要区域配置电子门禁系统，鉴别 和记录进入的人员身份并监控其活动。 物理安全 防盗窃和防破坏1）应将主要设备放置在物 理受限的范围内； 2）应对设备或主要部件进 行固定，并设置明显的不 易除去的标记； 3）应将通信线缆铺设在隐 蔽处，如铺设在地下或管 道中等； 4）应对介质分类标识，存储 在介质库或档案室中； 5）应安装必要的防盗报警 设施，以防进入机房的盗 窃和破坏行为。 1）应将主要设备放置在物理受限的范围内； 2）应对设备或主要部件进行固定，并设置 明显的无法除去的标记； 3）应将通信线缆铺设在隐蔽处，如铺设在 地下或管道中等； 4）应对介质分类标识，存储在介质库或档 案室中； 5）设备或存储介质携带出工作环境时，应 受到监控和内容加密； 6）应利用光、电等技术设置机房的防盗报 警系统，以防进入机房的盗窃和破坏行 为； 7）应对机房设置监控报警系统。
信息安全技术网络安全等级保护测评要求第部分安全通用要求编制说 明 文稿归稿存档编号：[KKUY-KKIO69-OTM243-OLUI129-G00I-FDQS58-
信息安全技术网络安全等级保护测评要求 第1部分：安全通用要求 编制说明 1概述 1.1任务来源 《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。 根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。 1.2制定本标准的目的和意义 《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程规范、测评结论准确、公正及可重现。 《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。 伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使
信息安全技术网络安全等级保护测评要求 第1部分：安全通用要求 编制说明 1概述 1.1任务来源 《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。 根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。 1.2制定本标准的目的和意义 《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程规范、测评结论准确、公正及可重现。 《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。 伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。 作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。 此外，《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成方法。
1 第三级基本要求（共290小项）1.1 技术要求（共136小项） 1.1.1 物理安全（共32小项） 1.1.1.1 物理位置的选择（G3） 本项要求包括： a) b)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制（G3）本项要求包括： a) b) c) d)机房出入口应安排专人值守，控制、鉴别和记录进入的人员； 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域； 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3 防盗窃和防破坏（G3）本项要求包括： a) b) c) d) e) f)应将主要设备放置在机房内； 应将设备或主要部件进行固定，并设置明显的不易除去的标记；应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； 应对介质分类标识，存储在介质库或档案室中； 应利用光、电等技术设置机房防盗报警系统； 应对机房设置监控报警系统。 1.1.1.4 防雷击（G3）本项要求包括： a) b) c)机房建筑应设置避雷装置；应设置防雷保安器，防止感应雷；机房应设置交流电源地线。 1.1.1.5 防火（G3）本项要求包括： a) b) c)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； 机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮（G3）本项要求包括： a) b) c)水管安装，不得穿过机房屋顶和活动地板下； 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；
Xx 信息安全等级保护（三级）建设方案
目录 1. 前言 (3) 1.1 概述 (3) 1.2 相关政策及标准 (3) 2. 现状及需求分析 (5) 2.1. 现状分析 (5) 2.2. 需求分析 (5) 3. 等保三级建设总体规划 (6) 3.1. 网络边界安全建设 (6) 3.2. 日志集中审计建设 (6) 3.3. 安全运维建设 (6) 3.4. 等保及安全合规性自查建设 (6) 3.5. 建设方案优势总结 (7) 4. 等保三级建设相关产品介绍 (9) 4.1. 网络边界安全防护 (9) 4.1.1 标准要求 (9) 4.1.2 明御下一代防火墙 (10) 4.1.3 明御入侵防御系统（IPS） (13) 4.2. 日志及数据库安全审计 (15) 4.2.1 标准要求 (15) 4.2.2 明御综合日志审计平台 (17) 4.2.3 明御数据库审计与风险控制系统 (19) 4.3. 安全运维审计 (22) 4.3.1 标准要求 (22) 4.3.2 明御运维审计和风险控制系统 (23) 4.4. 核心WEB应用安全防护 (26) 4.3.1 标准要求 (26) 4.3.2 明御WEB应用防火墙 (27) 4.3.3 明御网站卫士 (30) 4.5. 等保及安全合规检查 (31) 4.5.1 标准要求 (31) 4.5.2 明鉴WEB应用弱点扫描器 (32) 4.5.3 明鉴数据库弱点扫描器 (34) 4.5.4 明鉴远程安全评估系统 (37) 4.5.5 明鉴信息安全等级保护检查工具箱 (38) 4.6. 等保建设咨询服务 (40) 4.6.1 服务概述 (40) 4.6.2 安全服务遵循标准 (41) 4.6.3 服务内容及客户收益 (41) 5. 等保三级建设配置建议 (42)
计算机信息系统安全等级保护三级 申请条件： （一）综合条件 1. 企业是在中华人民共和国境内注册的企业法人，变革发展历程清晰、产权关系明确，取得信息系统集成四级资质的时间不少于一年，或从事系统集成业务的时间不少于两年。 2. 企业主业是系统集成，近三年的系统集成收入总额占营业收入总额的比例不低于50％。 3. 企业注册资本和实收资本均不少于200万元, 或所有者权益合计不少于200万元。（二）财务状况 1. 企业近三年的系统集成收入总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％，财务数据真实可信，须经在中华人民共和国境内登记的会计师事务所审计。 2. 企业财务状况良好。 （三）信誉 1. 企业有良好的资信，近三年无触犯国家法律法规的行为。 2. 企业有良好的知识产权保护意识，近三年完成的系统集成项目中无销售或提供非正版软件的行为。 3. 企业有良好的履约能力，近三年没有因企业原因造成验收未通过的项目或应由企业承担责任的用户重大投诉。 4. 企业近三年无不正当竞争行为。 5. 企业遵守信息系统集成资质管理相关规定，在资质申报和资质证书使用过程中诚实守信，近三年无不良行为。 （四）业绩 1. 近三年完成的系统集成项目总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％。这些项目已通过验收。 2. 近三年至少完成1个合同额不少于300万元的系统集成项目，或所完成合同额不少于100万元的系统集成项目总额不少于300万元，或所完成合同额不少于50万元的纯软件和信息技术服务项目总额不少于150万元。 3. 近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于30％，或软件和信息技术服务费总额不少于1500万元，或软件开发费总额不少于800万元。 （五）管理能力 1. 已建立质量管理体系，通过国家认可的第三方认证机构认证，并能有效运行。 2. 已建立完备的客户服务体系，能及时、有效地为客户提供服务。 3. 企业的主要负责人从事信息技术领域企业管理的经历不少于3年，主要技术负责人应具有计算机信息系统集成项目管理人员资质或电子信息类专业硕士及以上学位或电子信息类中级及以上技术职称、且从事系统集成技术工作的经历不少于3年，财务负责人应具有财务系列初级及以上职称。 （六）技术实力 1. 在主要业务领域具有较强的技术实力。 2. 经过第三方评测鉴定或用户使用认可的自主开发的软件产品不少于3个，且部分软件产品在近三年已完成的项目中得到了应用。 3. 有专门从事软件或系统集成技术开发的研发人员，已建立基本的软件开发与测试体系，
目次 前言............................................................................... IX 引言................................................................................ X 1 范围.. (1) 2规范性引用文件 (1) 3术语和定义.......................................................... 错误！未定义书签。4信息系统安全等级保护概述 (1) 4.1 信息系统安全保护等级 (1) 4.2 不同等级的安全保护能力 (1) 4.3 基本技术要求和基本管理要求 (1) 4.4 基本技术要求的三种类型 (2) 5第一级基本要求...................................................... 错误！未定义书签。 5.1 技术要求.......................................................... 错误！未定义书签。 5.1.1物理安全........................................................ 错误！未定义书签。 5.1.1.1 物理访问控制（G1）............................................ 错误！未定义书签。 5.1.1.2 防盗窃和防破坏（G1）.......................................... 错误！未定义书签。 5.1.1.3 防雷击（G1）.................................................. 错误！未定义书签。 5.1.1.4 防火（G1）.................................................... 错误！未定义书签。 5.1.1.5 防水和防潮（G1）.............................................. 错误！未定义书签。 5.1.1.6 温湿度控制（G1）.............................................. 错误！未定义书签。 5.1.1.7 电力供应（A1）................................................ 错误！未定义书签。 5.1.2网络安全........................................................ 错误！未定义书签。 5.1.2.1 结构安全（G1）................................................ 错误！未定义书签。 5.1.2.2 访问控制（G1）................................................ 错误！未定义书签。 5.1.2.3 网络设备防护（G1）............................................ 错误！未定义书签。 5.1.3主机安全........................................................ 错误！未定义书签。 5.1.3.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.3.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.3.3 入侵防范（G1）................................................ 错误！未定义书签。 5.1.3.4 恶意代码防范（G1）............................................ 错误！未定义书签。 5.1.4应用安全........................................................ 错误！未定义书签。 5.1.4.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.4.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.4.3 通信完整性（S1）.............................................. 错误！未定义书签。 5.1.4.4 软件容错（A1）................................................ 错误！未定义书签。 5.1.5数据安全及备份恢复.............................................. 错误！未定义书签。 5.1.5.1 数据完整性（S1）.............................................. 错误！未定义书签。 5.1.5.2 备份和恢复（A1）.............................................. 错误！未定义书签。 5.2 管理要求.......................................................... 错误！未定义书签。 5.2.1安全管理制度.................................................... 错误！未定义书签。 5.2.1.1 管理制度（G1）................................................ 错误！未定义书签。 5.2.1.2 制定和发布（G1）.............................................. 错误！未定义书签。 5.2.2安全管理机构.................................................... 错误！未定义书签。 I
.... 控制编号：SGISL/OP-SA14-10 信息安全等级保护测评作业指导书 防火墙（三级） 版号：修改次数：生效日期： 第2版 第0次2010年01月06日 中国电力科学研究院信息安全实验室
修改页 版号/ 修订号控制编号修改人修订原因批准人批准日期备注章节号 1SGISL/OP- SA14-10唐斐按公安部要求修订詹雄2010.3.8
一、网络访问控制访问 1．端口级的访问控制 应能根据会话状态信息为数据流提供明测评项编号ADT-FW-01对应要求确的允许/拒绝访问的能力，控制粒度为 端口级 测评项名称端口级的网络访问控制 测评分项1：查看防火墙缺省规则是否为默认禁止 在管理界面中，查看防火墙已有的安全规则。 操作步骤适用版本 实施风险任何版本无 符合性判定访谈网络管理员，防火墙的缺省规则。如为默认允许，则应查看防火墙的最后一条安全规则，如果不是拒绝从any到any的任何协议通过，判定结果为不符合； 其它情况，判定结果为符合。 测评分项2：检查防火墙控制粒度是否为端口级 访谈网络管理员，确定防火墙应允许/拒绝的网络服务的连接。查看防 火墙规则，验证控制粒度是否为端口级。 操作步骤 适用版本实施风险任何产品无 查看防火墙所配置的访问控制规则，规则设置的参数包括端口，判定结符合性判定果为符合； 查看防火墙所配置的访问控制规则，规则设置的参数不包括端口，判定
结果为不符合。 备注 2．协议命令级的网络访问控制 测评项编号 应对进出网络的信息内容进行过滤，实现 ADT-FW-02对应要求对应用层HTTP、FTP、TELNET、SMTP、 POP3等协议命令级的控制 测评项名称协议命令级的网络访问控制 测评分项1：实现应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制 检查防火墙对HTTP、FTP、TELNET、SMTP、POP3协议的内容过滤 配置 操作步骤 适用版本 实施风险任何产品无 如防火墙应用层协议内容过滤配置中配置的参数包含URL地址、收件符合性判定人、FTP下载的文件类型等，判定结果为符合； 若无上述参数，协议命令级的网络访问控制判定结果为不符合。 备注 3．会话连接超时处理 测评项编号ADT-FW-03对应要求应在会话处于非活跃一定时间或会话结
1 第三级基本要求 1.1 技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择（G3） 本项要求包括： a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制（G3） 本项要求包括： a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前 设置交付或安装等过渡区域； d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3 防盗窃和防破坏（G3） 本项要求包括： a)应将主要设备放置在机房内； b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)应利用光、电等技术设置机房防盗报警系统； f)应对机房设置监控报警系统。 1.1.1.4 防雷击（G3） 本项要求包括： a)机房建筑应设置避雷装置； b)应设置防雷保安器，防止感应雷； c)机房应设置交流电源地线。 1.1.1.5 防火（G3） 本项要求包括： a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火； b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮（G3） 本项要求包括： a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；
信息安全技术信息系统安全等级保护测评过程指 南 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院 ??号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发????????号）、《关于信息安全等级保护工作的实施意见》（公通字????????号）和《信息安全等级保护管理办法》（公通字????????号），制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ???????????????信息安全技术信息系统安全等级保护定级指南； ???????????????信息安全技术信息系统安全等级保护基本要求； ??????????????信息安全技术信息系统安全等级保护实施指南； ??????????????信息安全技术信息系统安全等级保护测评要求。 信息安全技术 信息系统安全等级保护测评过程指南
范围 本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。 规范性引用文件 下列文件中的条款通过在本标准中的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件， 其最新版本适用于本标准。 ??????????信息技术词汇第 部分：安全????????????计算机信息系统安全保护等级划分准则??????????????信息安全技术信息系统安全等级保护定级指南??????????????信息安全技术信息系统安全等级保护基本要求?????????????信息安全技术信息系统安全等级保护实施指南?????????????信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字????????号） 术语和定义 ??????????、????????????、
1.1安全计算环境-Windows（例：Server 2012） 1.1.1身份鉴别 测评项： a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换； 测评方法： 测评项： b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； 测评方法： 测评项： c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；测评方法：
测评项： d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。 测评方法： 1.1.2访问控制 测评项： a) 应对登录的用户分配账户和权限； 测评方法： 测评项： b) 应重命名或删除默认账户，修改默认账户的默认口令； 测评方法： 测评项： c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在；
测评方法： 测评项： d) 应授予管理用户所需的最小权限，实现管理用户的权限分离； 测评方法： 测评项： e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；测评方法： 测评项： f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；测评方法： 测评项： g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。 测评方法：
1.1.3安全审计 测评项： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 测评方法： 测评项： b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 测评方法： 测评项： c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；测评方法：
信息系统安全等级保护测评服务内容及要求 一、供应商资格： 1.供应商应具备《政府采购法》第二十二条规定的条件； 1）具有独立承担民事责任的能力； 2）具有良好的商业信誉和健全的财务会计制度； 3）具有履行合同所必需的设备和专业技术能力； 4）有依法缴纳税收和社会保障资金的良好记录； 5）参加政府采购活动前三年内，在经营活动中没有重大违法记录； 6）法律、行政法规规定的其他条件。 2.投标人要求为国内独立的事业法人的独立企业法人，并且股权结构中 不能有任何外资成份。 3.具有网络安全等级保护测评机构推荐证书。 4.具有中国合格评定国家认可委员会颁发的CNAS证书。 5.具有广东省电子政务服务能力等级证书。 6.具有中国通信行业协会颁发的通信网络安全服务能力评定证书（应急 响应一级） 7.具有中鉴认证有限责任公司颁发的质量管理体系认证证书（ISO9001）。 8.中国通信行业协会颁发的通信网络安全服务能力评定证书（风险评估 二级）。 9.本项目不接受联合体投标。
二、项目服务内容及要求 1.采购项目需求一览表： 2.基本要求: 2.1 项目背景 为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，响应国家的要求，珠海市不动产登记中心于2018年全面启动本单位的信息安全等级保护工作。 按照同时根据珠海市不动产登记中心的信息系统安全等级保护工作安排，现需开展信息系统安全等级保护测评等工作，并邀请具备国家或省公安厅颁发等级保护测评资质的公司对珠海市不动产登记中心的信息系统提供等级保护测评服务。 2.2项目目标 2.2.1等级保护测评服务。 根据《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》等标准，及各个信息系统保护等级需求，协助采购人对现有的信息系统进行等级保护备案，编写信息系统定级备案表和信息系统定级报告，并协助向公安局提交定级备案材料，取得信息系统定级备案证明。