等级保护2.0 三级-Linux 测评指导书V1.0

等保2.0测评详细指标（1-3级）PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。

一级测评要求指标一．技术安全大类1.安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。

防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。

防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。

防火：机房应该设置灭火设备。

防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。

温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。

电力供应：应在机房供电线路上配置稳压器和过电压防护设备。

2.安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。

可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。

3.安全的计算环境身份鉴别：1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。

2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。

访问控制：1.应对登录的用户分配账户和权限2.应重命名或删除默认账户，修改默认账户的默认口令。

3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。

入侵防范：1.应遵循最小安装的原则，仅安装需要的组件和应用程序。

2.应关闭不需要的系统服务，默认共享和高危端口。

恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。

可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。

数据完整性：应采用检验技术保证重要数据在传输过程中的完整性。

数据备份恢复：应提供重要数据的本地数据备份与恢复功能。

4.安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。

等保2.0 VS 等保1.0（三级）对比网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构由原来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调整为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术要求“从面到点”提出安全要求，“物理和环境安全”主要对机房设施提出要求，“网络和通信安全”主要对网络整体提出要求，“设备和计算安全”主要对构成节点（包括网络设备、安全设备、操作系统、数据库、中间件等）提出要求，“应用和数据安全”主要对业务应用和数据提出要求。

（标粗内容为三级和二级的变化，标红部门为新标准主要变化）1.1、物理和环境安全VS原来物理安全控制点未发生变化，要求项数由原来的32项调整为22项。

控制点要求项数修改情况如下图：要求项的变化如下：1.2、网络和通信安全VS原来网络安全新标准减少了结构安全、边界完整性检查、网络设备防护三个控制点，增加了网络架构、通信传输、边界防护、集中管控四个控制点。

原结构安全中部分要求项纳入了网络架构控制点中，原应用安全中通信完整性和保密性的要求项纳入了通信传输控制点中，原边界完整性检查和访问控制中部分要求项内容纳入了边界防护控制点中，原网络设备防护控制点要求并到设备和计算安全要求中。

要求项总数原来为33项，调整为还是33项，但要求项内容有变化。

控制点和控制点要求项数修改情况如下图：具体要求项的变化如下表：1.3、设备和计算安全VS原来主机安全新标准减少了剩余信息保护一个控制点，在测评对象上，把网络设备、安全设备也纳入了此层面的测评范围。

要求项由原来的32项调整为26项。

控制点和各控制点要求项数修改情况如下图：具体要求项的变化如下表：1.4、应用和数据安全VS原来应用安全+数据安全及备份恢复新标准将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一个层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增加了个人信息保护控制点。

1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。

检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。

机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。

b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。

1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。

2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。

1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。

b)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围。

检查：检查是否有来访人员进入机房的审批记录。

1）来访人员进入机房需经过申请、审批流程并记录；2）进入机房有机房管理人员陪同并监控和限制其活动范围。

c)检查机房出入口等过程，测评信息系统在物理访问控访谈：访谈物理安全负责人，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；检1）对机房进行了划分区域管理； 2）对各个区域都有专门的管理要求。

- -
操作系统平安测评指导书
LINUX
- -优质-
. .
1概述
1.1 适用围
本测评指导书适用于信息系统等级为三级的主机Linux操作系统测评。

1.2说明
本测评指导书基于?信息系统平安等级保护根本要求?的根底上进展设计。

本测评指导书是主机平安对于Linux操作系统身份鉴别、访问控制、平安审计、剩余信息保护、备份与恢复平安配置要求，对Linux操作系统主机的平安配置审计作起到指导性作用。

1.4 保障条件
1)需要相关技术人员〔系统管理员〕的积极配合
2)需要测评主机的管理员和口令
3)提前备份系统及配置文件
. -可修编.
- -。

等保 2.0系列原则即将发布，网络安全级别保护基本规定通用规定在信息安全级别保护基本规定技术部分的基本上进行了某些调节，湖南金盾就网络安全级别保护基本规定通用规定在信息安全级别保护基本规定进行了具体对比，下面以三级为例进行一种对比。

网络安全级别保护基本规定通用规定技术部分与信息安全级别保护基本规定技术部分构造由本来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调节为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术规定“从面到点”提出安全规定，“物理和环境安全”重要对机房设施提出规定，“网络和通信安全”重要对网络整体提出规定，“设备和计算安全”重要对构成节点（涉及网络设备、安全设备、操作系统、数据库、中间件等）提出规定，“应用和数据安全”重要对业务应用和数据提出规定。

（标粗内容为三级和二级的变化，标红部门为新原则重要变化）
•
物理与环境安全VS本来物理安全
•
控制点未发生变化，规定项数由本来的32项调节为22项。

控制点
•
网络和通信安全VS本来网络安全
•
新原则减少了构造安全、边界完整性检查、网络设备防护三个控制
•
设备和计算安全VS本来主机安全
•
新原则减少了剩余信息保护一种控制点，在测评对象上，把网络设
•
应用和数据安全VS本来应用安全+数据安全及备份恢复
•
新原则将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一种层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增长了个人信息保护控制点。

通信完整性和通信保密性的规定纳入了网络。

信息等保2.0：三级以上系统测评时间有变（附等保1.0与2.0区别分析）信息等保2.0：三级以上系统测评时间有变（附等保1.0与2.0区别分析）健康界05-15 00:00备受关注的网络安全等级保护系列新国家标准(新国标)5月13日正式公布。

据了解，新国标将等级保护对象从信息系统扩展到云计算平台、大数据平台、物联网等等。

备受关注的网络安全等级保护系列新国家标准(新国标)5月13日正式公布。

据了解，新国标将等级保护对象从信息系统扩展到网络基础设施、云计算平台、大数据平台、物联网、工业控制系统、采用移动互联技术的系统等等。

国家市场监督管理总局、国家标准化管理委员会5月13日召开的新闻发布会上，发布了新修订的《信息安全技术网络安全等级保护基本要求》(下称《基本要求》)、《信息安全技术网络安全等级保护测评要求》(下称《测评要求》)和《信息安全技术网络安全等级保护安全设计技术要求》(下称《技术要求》)三个网络安全领域的国家标准。

陈广勇解读《信息安全技术网络安全等级保护基本要求》国家标准据悉，《基本要求》、《测评要求》和《技术要求》已被广泛应用于各个行业或领域指导用户开展信息系统安全等级保护的建设整改、等级测评等工作。

但随着云计算、互联网、移动互联网、工业控制系统等新技术、新应用的大量涌现，这三项标准亟须修订完善。

公安部信息安全等级保护保护评估中心咨询服务部主任陈广勇介绍说，信息安全等级保护标准原国标的上位文件是公安部、国家保密局、国家密码管理局、国务院信息工作办公室于2007年颁布的《信息安全等级保护管理办法》。

为顺应当前的网络安全要求，等级保护从原来的“信息安全等级保护”变更为“网络安全等级保护”，标志着实施了10余年之久的信息安全等级保护制度从1.0跨入了2.0的新阶段。

陈广勇表示，“从07年开始，已经过去十几年了，技术发展很快，所以我们对标准的修订也是基于两点，第一是采用新技术、新标准的构建的云计算平台、物联网、大数据出现，等级保护的内容和覆盖需要随时变化，第二是《网络安全法》的颁布对推进等级保护标准修订工作注入了强心剂。

等保2.0通用部分安全区域边界（三级）测评指导书通用部分包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理十个层面。

今天给大家分享的是通用部分【安全区域边界】（三级）测评指导书！8.1.3.1 边界防护a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件测评方法：1、应核查在网络边界处是否部署访问控制设备；2、应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；3、应采用其他技术手段（如非法无线网络设备定位、核查设备配置信息等）核查或测试验证是否不存在其他未受控端口进行跨越边界的网络通信。

b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制；测评对象：终端管理系统或相关设备测评方法：1、应核查是否采用技术措施防止非授权设备接入内部网络；2、应核查所有路由器和交换机等相关设备闲置端口是否已关闭。

c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制；测评对象：终端管理系统或相关设备测评方法：应核查是否采用技术措施防止内部用户存在非法外联行为。

d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。

测评对象：网络拓扑和无线网络设备测评方法：1、应核查无线网络的部署方式，是否单独组网后再连接到有限网络；2、应核查无线网络是否通过受控的边界防护设备接入到内部有线网络。

8.1.3.2 访问控制a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件测评方法：1、应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略；2、应核查设备的最后一条访问控制策略是否为禁止所有网络通信。

安全计算环境Linux服务器Linux是指UNIX克隆或类UNIX风格的操作系统，在源代码级别兼容绝大部分UNIX标准(IEEE POSIX, System V, BSD),是一种支持多用户、多进程、多线程的实时性较好且功能强大而稳定的操作系统。

1身份鉴别为确保服务器的安全，必须对服务器的每个用户或与之相连的服务器设备进行有效的标识与鉴别。

只有通过鉴别的用户，才能被赋予相应的权限，进入服务器操作系统，并在规定的权限范围内进行操作。

1.1应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换Linux操作系统的用户鉴别过程与其他UNIX操作系统相同：系统管理员为用户建立一个账户并为其指定一个口令，用户使用指定的口令登录后重新配置自己的口令，这样用户就获得了一个私有口令。

/etc/passwd文件中记录的用户属性信息包括用户名、密码、用户标识、组标识等。

目前，Linux 操作系统中的口令不再直接保存在/etc/passwd文件中，通常使用一个“x”代替/etc/passwd文件中的口令字段，将/etc/shadow作为真正的口令文件来保存包括个人口令在内的数据。

当然，普通用户不能读取/etc/shadow文件，只有超级用户才有权读取。

Linux操作系统中的/etc/login,defs是登录程序的配置文件,在该文件中可以配置密码的过期天数、密码的长度约束等参数。

如果/etc/pam.d/system-auth文件中有与该文件相同的选项，贝(I 以/etc/pam.d/system-auth 文件的设置为准。

也就是说，/etc/pam.d/system-auth文件的配置优先级高于/etcAogin.defs文件。

Linux文件系统具有调用PAM的应用程序认证用户、登录服务、屏保等功能，其中重要的文件是/etc/pam.d/system-auth (在Redhat、CentOS 和Fedora 系统中)或/etc/pam.d/common-passwd (在Debian、Ubuntu和Linux Mint系统中)口这两个文件的配置优先级高于其他文件。

安全物理环境物理位置选择测评单元（L3-PES1-01）该测评单元包括以下要求：a）测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。

b）测评对象：记录类文档和机房。

c）测评实施包括以下内容：1）应核查所在建筑物是否具有建筑物抗震设防审批文档；2）应核查机房是否不存在雨水渗漏；3）应核查门窗是否不存在因风导致的尘土严重；4）应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。

d）单元判定：如果1）~4）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

测评单元（L3-PES1-02）该测评单元包括以下要求：a）测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。

b）测评对象：机房。

c）测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。

d）单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。

物理访问控制测评单元（L3-PES1-03）该测评单元包括以下要求：a）测评指标：机房出人口应配置电子门禁系统，控制、鉴别和记录进入的人员。

b）测评对象：机房电子门禁系统。

c）测评实施包括以下内容：1）应核查出人口是否配置电子门禁系统；2）应核查电子门禁系统是否可以鉴别、记录进入的人员信息。

d）单元判定；如果1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

防盗窃和防破坏。

测评单元（L3-PES1-04）该测评单元包括以下要求：a）测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。

b）测评对象：机房设备或主要部件。

c）测评实施包括以下内容：1）应核查机房内设备或主要部件是否固定；2）应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。

d）单元判定：如果1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

（完整版）等保2.0通⽤要求VS等保1.0（三级）技术部分要求详细对⽐等保2.0通⽤要求VS等保1.0（三级）技术部分要求详细对⽐⽹络安全等级保护基本要求通⽤要求技术部分与信息安全等级保护基本要求技术部分结构由原来的五个层⾯：物理安全、⽹络安全、主机安全、应⽤安全、数据安全，调整为四个部分：物理和环境安全、⽹络和通信安全、设备和计算安全、应⽤和数据安全；技术要求“从⾯到点”提出安全要求，“物理和环境安全”主要对机房设施提出要求，“⽹络和通信安全”主要对⽹络整体提出要求，“设备和计算安全”主要对构成节点（包括⽹络设备、安全设备、操作系统、数据库、中间件等）提出要求，“应⽤和数据安全”主要对业务应⽤和数据提出要求。

物理与环境安全VS原来物理安全控制点未发⽣变化，要求项数由原来的32项调整为22项。

控制点要求项数修改情况如下图：要求项的变化如下：⽹络和通信安全VS原来⽹络安全新标准减少了结构安全、边界完整性检查、⽹络设备防护三个控制点，增加了⽹络架构、通信传输、边界防护、集中管控四个控制点。

原结构安全中部分要求项纳⼊了⽹络架构控制点中，原应⽤安全中通信完整性和保密性的要求项纳⼊了通信传输控制点中，原边界完整性检查和访问控制中部分要求项内容纳⼊了边界防护控制点中，原⽹络设备防护控制点要求并到设备和计算安全要求中。

要求项总数原来为33项，调整为还是33项，但要求项内容有变化。

控制点和控制点要求项数修改情况如下图：具体要求项的变化如下表：具体要求项的变化如下表：新标准将应⽤安全、数据安全及备份恢复两个层⾯合并成了应⽤和数据安全⼀个层⾯，减少了通信完整性、通信保密性和抗抵赖三个控制点，增加了个⼈信息保护控制点。

通信完整性和通信保密性的要求纳⼊了⽹络和通信安全层⾯的通信传输控制点。

要求项由原来的39项调整为33项。

控制点和控制点要求项数修改情况如下图：具体要求项的变化如下表：。