下载文档原格式
控制编号：SGISL/OP-SA14-10
信息安全等级保护测评作业指导书
防火墙（三级）
版号：第 2 版
修改次数：第0 次
生效日期：2010年01月06日
中国电力科学研究院信息安全实验室
一、网络访问控制访问1．端口级的访问控制
2．协议命令级的网络访问控制
3．会话连接超时处理
4．网络流量和最大连接数的限制
二、安全审计1．日志记录
2．日志分析
3．审计记录的保护
三、设备防护1．身份鉴别
2．设备管理地址的限制
3．身份标识唯一
4．身份鉴别信息不易被冒用
5．双因子身份鉴别
6．登录失败和超时处理
7．远程管理信息的保密性
8．特权用户权限分离。
技术测评要求（S3A3G3）等级保护三级技术类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况Y N物理安全物理位置的选择1.机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
（G2 ）访谈，检查。
物理安全负责人，机房，办公场地，机房场地设计/ 验收文档。
2.机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。
（G3）物理访问控制3.机房出入口应安排专人值守，控制、鉴别和记录进入的人员。
（G2 ）访谈，检查。
物理安全负责人，机房值守人员，机房，机房安全管理制度，值守记录，进入机房的登记记录，来访人员进入机房的审批记录。
4.需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。
（G2）等级保护三级技术类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况Y N5.应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域。
（G3）6.重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
（G3 ）防盗窃和防破坏7.应将主要设备放置在机房内。
（G2 ）访谈，检查。
物理安全负责人，机房维护人员，资产管理员，机房设施，设备管理制度文档，通信线路布线文档，报警设施的安装测试/ 验收报告。
8.应将设备或主要部件进行固定，并设置明显的不易除去的标记。
（G2）9.应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
（G2 ）等级保护三级技术类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况Y N10.应对介质分类标识，存储在介质库或档案室中。
（G2）11.应利用光、电等技术设置机房防盗报警系统。
（G3）12.应对机房设置监控报警系统。
（G3 ）防雷击13.机房建筑应设置避雷装置。
（G2 ）访谈，检查。
物理安全负责人，机房维护人员，机房设施（避雷装置，交流电源地线），建筑防雷设计/ 验收文档。
14.应设置防雷保安器，防止感应雷。
信息系统安全等级测评报告模板项目名称： ______________________________________ 委托单位： ______________________________________测评单位： ______________________________________报告摘要一、测评工作概述概要描述被测信息系统的基本情况（可参考信息系统安全等级保护备案表），包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。
（见附件：信息系统安全等级保护备案表）描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、等级测评结果依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）；通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。
三、系统存在的主要问题依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果（如，未部署DDos防御措施，易遭受DDos攻击，导致系统无法提供正常服务）。
四、系统安全建设、整改建议针对系统存在的主要问题提出安全建设、整改建议，是对第七章容的提炼和简要描述。
报告基本信息声明声明是测评单位对于测评报告容以及用途等有关事项做出的约定性述，包含但不限于以下容：本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用。
本报告中给出的结论不能作为对系统相关产品的测评结论。
本报告结论的有效性建立在用户提供材料的真实性基础上。
在任何情况下，若需引用本报告中的结果或数据都应保持其本来的意义，不得擅自进行增加、修改、伪造或掩盖事实。
测评指导书（三级）目录第1章安全管理测评指导书 (4)1.1安全管理机构测评 (4)1.2安全管理制度测评 (9)1.3人员安全管理测评 (11)1.4系统建设管理测评 (14)1.5系统运维管理测评 (20)第2章物理安全测评指导书 (32)2.1物理安全测评 (32)第3章网络安全测评指导书 (44)3.1网络全局安全测评 (44)3.2路由器安全测评 (47)3.3交换机安全测评 (59)3.4防火墙安全测评 (67)3.5入侵检测/防御系统安全测评 (71)第4章操作系统安全测评指导书 (75)4.1WINDOWS操作系统安全测评 (75)4.2L INUX操作系统安全测评 (82)4.3S OLARIS操作系统安全测评 (92)4.4AIX操作系统安全测评 (101)第5章应用系统安全测评指导书 (109)5.1应用系统安全测评 (109)5.2IIS应用安全测评 (114)5.3A PACHE应用安全测评 (116)第6章数据库安全测评指导书 (120)6.1SQL S ERVER数据库安全测评 (120)第 2 页共135 页6.2O RACLE数据库安全测评 (124)6.3S YBASE数据库安全测评 (130)第 3 页共135 页第1章安全管理测评指导书1.1安全管理机构测评第 4 页共135 页第 5 页共135 页第 6 页共135 页第7 页共135 页第8 页共135 页1.2安全管理制度测评第9 页共135 页第10 页共135 页1.3人员安全管理测评第11 页共135 页第12 页共135 页第13 页共135 页1.4系统建设管理测评第14 页共135 页第15 页共135 页第16 页共135 页第17 页共135 页第18 页共135 页第19 页共135 页1.5系统运维管理测评第20 页共135 页第21 页共135 页第22 页共135 页第23 页共135 页第24 页共135 页第25 页共135 页第26 页共135 页第27 页共135 页第28 页共135 页第29 页共135 页第30 页共135 页第31 页共135 页第2章物理安全测评指导书2.1物理安全测评第32 页共135 页第33 页共135 页第34 页共135 页第35 页共135 页第36 页共135 页第37 页共135 页第38 页共135 页第39 页共135 页第40 页共135 页第41 页共135 页第42 页共135 页第43 页共135 页第3章网络安全测评指导书3.1网络全局安全测评第44 页共135 页第45 页共135 页第46 页共135 页3.2路由器安全测评思科路由器第47 页共135 页第48 页共135 页第49 页共135 页第50 页共135 页。
文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持. 控制编号：SGISL/OP-SA14-10
信息安全等级保护测评作业指导书
防火墙（三级）
版号：第 2 版
修改次数：第0 次
生效日期：2010年01月06日
中国电力科学研究院信息安全实验室
1
一、网络访问控制访问1．端口级的访问控制
2．协议命令级的网络访问控制
3．会话连接超时处理
4．网络流量和最大连接数的限制
二、安全审计1．日志记录
2．日志分析
3．审计记录的保护
三、设备防护1．身份鉴别
2．设备管理地址的限制
3．身份标识唯一
4．身份鉴别信息不易被冒用
5．双因子身份鉴别
6．登录失败和超时处理
7．远程管理信息的保密性
8．特权用户权限分离。
控制编号：SGISL/OP-SA92-10信息安全等级保护测评作业指导书系统建设管理（三级）版号：第 2 版修改次数：第0 次生效日期：2010年01月06日中国电力科学研究院信息安全实验室修改页一、系统定级1．信息系统边界和安全保护等级2．信息系统定级方法和理由3．定级结果论证和审定4．定级结果经过相关部门批准二、安全方案设计1．选择基本安全措施及补充调整2．安全建设总体规划3．细化系统安全方案4．安全技术专家论证和审定5．安全方案调整和修订三、产品采购和使用1．安全产品采购和使用符合国家有关规定2．保密码产品采购和使用符合国家密码主管部门要求3．专门部门负责产品采购4．预先产品选型测试四、自行软件开发1．开发环境与实际运行环境物理分开，测试数据和测试结果受到控制2．软件开发管理制度3．代码编写安全规范4．软件设计相关文档和使用指南5．程序资源库修改、更新、发布进行授权和批准五、外包软件开发1．软件质量测试2．检测软件包恶意代码3．软件设计相关文档和使用指南4．软件源代码检查六、工程实施1．工程实施管理2．工程实施方案3．工程实施管理制度七、测试验收1．第三方安全性测试2．安全性测试验收报告3．书面规定测试验收的控制方法和人员行为准则4．系统测试验收授权及完成5．测试验收报告审定八、系统交付1．系统交付清单2．运行维护技术人员技能培训3．系统运行维护文档4．书面规定系统交付的控制方法和人员行为准则5．系统交付管理工作授权及完成九、系统备案1．系统定级材料管理2．系统主管部门备案3．备案材料报送相应公安机关备案十、等级测评1．每年一次等级测评及整改2．系统变更进行等级测评3．测评单位技术资质和安全资质4．授权专门部门或人员负责等级测评管理十一、安全服务商选择1．安全服务商选择合规2．安全服务商协议3．安全服务商服务合同。
数据安全及备份恢复等级保护测评作业指
导书（二级）
等级保护测评作业指导书数据安全（二级）版号：
第2 版修改次数：
第 0 次生效日期：xx 年 01 月 06 日中国电力科学研究院信息安全实验室控制编号：
SGISL/OP-SA73-10 修改页修订号控制编号版号 / 章节号修改人修订原因批准人批准日期备注 1 SGISL/OP-SA73-10 李鹏按公安部要求修订詹雄全文结束》》、3、8
一、数据完整性 1 数据传输过程中完整性测评项编号ADT-SJAQSJAQSJAQSJAQ -03 对应要求应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性测评项名称系统的硬件冗余测评分项1：
检查关键网络设备、通信线路和数据处理系统的硬件冗余操作步骤访谈管理员是否有通信线路、网络设备和数据处理的硬件冗余，保证灾难恢复时能正常使用，是否提供自动机制在灾难发生时实现实时无缝业务切换和恢复的功能适用版本任何版本实施风险无符合性判定存在通信线路、网络设备和数据处理的硬件冗余，判定结果为符合；不存在通信线路、网络设备和数据处理的硬件冗余，判定结果为不符合。
1。
控制编号：SGISL/OP-SA29-10
信息安全等级保护测评作业指导书Windows主机（三级）
版号：第2 版
修改次数：第0 次
生效日期：2010年01月06日中国电力科学研究院信息安全实验室
修改页
一、身份鉴别
1．用户身份标识和鉴别
2．账号口令强度
3．检查锁定策略
4．远程管理方式
5．用户名具有唯一性
6．身份鉴别
二、访问控制
1．控制用户对资源的访问
2．用户权限检查
3．用户的权限分离
4．账户权限配置
5．系统是否存在多余
6．资源敏感标记设置检查
7．有敏感标记的资源访问
三、安全审计1．审计容
2．审计日志分析
3．保护进程
4．系统日志存储
四、剩余信息保护1．鉴别信息保护
2．存储文件剩余信息保护
五、入侵防
1．操作系统补丁及程序安装原则
2．攻击事件的纪录情况
3．系统完整性及恢复
六、恶意代码防
1．检查系统防病毒软件部署
2．恶意代码统一管理
3．代码库检查
七、资源控制1．限制终端登录
2．终端超时注销
3．查看用户资源使用限度
4．性能监视情况检查
5．报警设置检查。
