机房2级和3级等保要求.docx
- 文档编号:14064268
- 上传时间:2023-06-20
- 格式:DOCX
- 页数:55
- 大小:36.48KB
机房2级和3级等保要求.docx
《机房2级和3级等保要求.docx》由会员分享,可在线阅读,更多相关《机房2级和3级等保要求.docx(55页珍藏版)》请在冰点文库上搜索。
机房2级和3级等保要求
二级、三级等级保护要求比较
一、技术要求
技术要求项
二级等保
三级等保
物理安全
物理位置的选择
1)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
1)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;2)机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁;3)机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区。
物理访问控制
1)机房出入口应有专人值守,鉴别进入的人员身份并登记在案;应批准进入机房的来访2)人员,限制和监控其活动范围。
1)机房出入口应有专人值守,鉴别进入的人员身份并登记在案;2)应批准进入机房的来访人员,限制和监控其活动范围;3)应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过度区域;
4)应对重要区域配置电子门禁系统,鉴别和记录进入的人员身份并监控其活动。
防盗窃和防破坏
1)应将主要设备放置在物理受限的范围内;应对设备或主要部件进2)行固定,并设置明显的不易除去的标记;应将通信线缆铺设在隐3)如铺设在地下或管蔽处,道中等;)4存储应对介质分类标识,在介质库或档案室中;)5应安装必要的防盗报警设施,以防进入机房的盗窃和破坏行为。
.
1)应将主要设备放置在物理受限的范围内;
2)应对设备或主要部件进行固定,并设置明显的无法除去的标记;3)应将通信线缆铺设在隐蔽处,如铺设在地下或管道中等;
4)应对介质分类标识,存储在介质库或档案室中;5)设备或存储介质携带出工作环境时,应受到监控和内容加密;6)应利用光、电等技术设置机房的防盗报警系统,以防进入机房的盗窃和破坏行为;
技术要求项
二级等保
三级等保
7)应对机房设置监控报警系统。
防雷击
1)机房建筑应设置避雷装置;2)应设置交流电源地线。
1)机房建筑应设置避雷装置;
2)应设置防雷保安器,防止感应雷;
3)应设置交流电源地线。
防火
1)应设置灭火设备和火灾自动报警系统,并保持灭火设备和火灾自动报警系统的良好状态。
1)应设置火灾自动消防系统,自动检测火情、自动报警,并自动灭火;机房及相关的工作房间和辅助房,其建2)筑材料应具有耐火等级;
机房采取区域隔离防火措施,将重要设3)备与其他设备隔离开。
防水和防潮
1)水管安装,不得穿过屋顶和活动地板下;应对穿过墙壁和楼板的2)水管增加必要的保护措施,如设置套管;应采取措施防止雨水通)3过屋顶和墙壁渗透;
应采取措施防止室内水)4
蒸气结露和地下积水的转移与渗透。
1)水管安装,不得穿过屋顶和活动地板下;
2)应对穿过墙壁和楼板的水管增加必要的保护措施,如设置套管;3)应采取措施防止雨水通过屋顶和墙壁渗透;
4)应采取措施防止室内水蒸气结露和地下积水的转移与渗透。
防静电
1)应采用必要的接地等防静电措施
1)应采用必要的接地等防静电措施;
2)应采用防静电地板。
温湿度控制
1湿度自动调节)应设置温、设施,使机房温、湿度的变化在设备运行所允许的范围之内。
1)应设置恒温恒湿系统,使机房温、湿度的变化在设备运行所允许的范围之内。
电力供应
1)计算机系统供电应与其他供电分开;)2应设置稳压器和过电压防护设备;3应提供短期的备用电力)UPS供应(如设备)。
1)计算机系统供电应与其他供电分开;
2)应设置稳压器和过电压防护设备;
3)应提供短期的备用电力供应(如UPS设备);
4)应设置冗余或并行的电力电缆线路;
5)应建立备用供电系统(如备用发电机),以备常用供电系统停电时启用。
.
技术要求项
二级等保
三级等保
电磁防护
1)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;2)电源线和通信线缆应隔离,避免互相干扰。
1)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;电源线和通信线缆应隔离,避免互相干2)扰;对重要设备和磁介质实施电磁屏蔽。
3)
网络安全
结构安全与网段划分
1)网络设备的业务处理能力应具备冗余空间,要求满足业务高峰期需要;应设计和绘制与当前运2)行情况相符的网络拓扑结构图;
3)应根据机构业务的特点,在满足业务高峰期需要的基础上,合理设计网络带宽;应在业务终端与业务服4)务器之间进行路由控制,建立安全的访问路径;应根据各部门的工作职5)所涉及信息能、重要性、的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原网段分配地则为各子网、址段;重要网段应采取网络层)6地址与数据链路层地址绑定措施,防止地址欺骗。
1)网络设备的业务处理能力应具备冗余空间,要求满足业务高峰期需要;2)应设计和绘制与当前运行情况相符的网络拓扑结构图;3)应根据机构业务的特点,在满足业务高峰期需要的基础上,合理设计网络带宽;4)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
5)应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;
6)重要网段应采取网络层地址与数据链路层地址绑定措施,防止地址欺骗;7)应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要业务数据主机。
网络访问控制
应能根据会话状态信息)1(包括数据包的源地址、源端口号、目的地址、目出入的协议、的端口号、.
应能根据会话状态信息(包括数据包的)1源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息,并应支持地
技术要求项
二级等保
三级等保
发出接口、会话序列号、信息的主机名等信息,并应支持地址通配符的使用),为数据流提供明确问的能拒的允许/绝访力。
址通配符的使用),为数据流提供明确的允许/拒绝访问的能力;
2)应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;3)应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;
4)应在会话处于非活跃一定时间或会话结束后终止网络连接;
5)应限制网络最大流量数及网络连接数。
拨号访问控制
应在基于安全属性的允)1许远程用户对系统访问对系统的规则的基础上,所有资源允许或拒绝用控制粒度为户进行访问,单个用户;应限制具有拨号访问权2)限的用户数量。
1)应在基于安全属性的允许远程用户对系统访问的规则的基础上,对系统所有资源允许或拒绝用户进行访问,控制粒度为单个用户;2)应限制具有拨号访问权限的用户数量;3)应按用户和系统之间的允许访问规则,决定允许用户对受控系统进行资源访问。
网络安全审计
应对网络系统中的网络)1设备运行状况、网络流用户行为等事件进行量、日志记录;其审计对于每一个事件,)2事件的日期记录应包括:
事件类型、和时间、用户、及其他与事件是否成功,审计相关的信息。
1)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;2)对于每一个事件,其审计记录应包括:
事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息;3)安全审计应可以根据记录数据进行分析,并生成审计报表;
4)安全审计应可以对特定事件,提供指定方式的实时报警;
5)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
.
技术要求项
二级等保
三级等保
边界完整性检查
应能够检测内部网络中1)
出现的内部用户未通过准许私自联到外部网络行的行为(即”“非法外联。
为)
1)应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为(即“非法外联”行为);2)应能够对非授权设备私自联到网络的行为进行检查,并准确定出位置,对其进行有效阻断;
3)应能够对内部网络用户私自联到外部网络的行为进行检测后准确定出位置,并对其进行有效阻断。
网络入侵防范
应在网络边界处监视以)1下攻击行为:
端口扫描、强力攻击、木马后门攻缓冲拒绝服务攻击、击、碎片攻区溢出攻击、IP网络蠕虫攻击等入侵击、事件的发生。
1)应在网络边界处应监视以下攻击行为:
端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生;2)当检测到入侵事件时,应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警。
恶意代码防范
应在网络边界及核心业1)
务网段处对恶意代码进行检测和清除;应维护恶意代码库的升2)级和检测系统的更新;应支持恶意代码防范的3)统一管理。
1)应在网络边界及核心业务网段处对恶意代码进行检测和清除;2)应维护恶意代码库的升级和检测系统的更新;3)应支持恶意代码防范的统一管理。
网络设备防护
应对登录网络设备的用1)户进行身份鉴别;2)应对网络设备的管理员登录地址进行限制;网络设备用户的标识应)3.
1)应对登录网络设备的用户进行身份鉴别;)应对网络上的对等实体进行身份鉴别;2应对网络设备的管理员登录地址进行限)3
技术要求项
二级等保
三级等保
唯一;身份鉴别信息应具有不4)例如口易被冒用的特点,复杂性和定期的令长度、更新等;应具有登录失败处理功5)能,如:
结束会话、限制当网络登非法登录次数,录连接超时,自动退出。
制;4)网络设备用户的标识应唯一;5)身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;6)应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;7)应具有登录失败处理功能,如:
结束会话、限制非法登录次数,当网络登录连接超时,自动退出;
8)应实现设备特权用户的权限分离,例如将管理与审计的权限分配给不同的网络设备用户。
主机系统安全
身份鉴别
操作系统和数据库管理1)系统用户的身份标识应具有唯一性;应对登录操作系统和数2)据库管理系统的用户进行身份标识和鉴别;操作系统和数据库管理3)系统身份鉴别信息应具例有不易被冒用的特点,复杂性和定如口令长度、期的更新等;应具有登录失败处理功)4限制结束会话、如:
能,当登录连非法登录次数,接超时,自动退出。
1)操作系统和数据库管理系统用户的身份标识应具有唯一性;2)应对登录操作系统和数据库管理系统的用户进行身份标识和鉴别;3)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;4)操作系统和数据库管理系统用户的身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等;5)应具有登录失败处理功能,如:
结束会话、限制非法登录次数,当登录连接超时,自动退出;6)应具有鉴别警示功能;
7)重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别。
自主
应依据安全策略控制主)1
应依据安全策略控制主体对客体的访)1
技术要求项
二级等保
三级等保
访问控制
体对客体的访问;2)自主访问控制的覆盖范围应包括与信息安全直客体及它接相关的主体、们之间的操作;自主访问控制的粒度应3)客体达到主体为用户级,为文件、数据库表级;应由授权主体设置对客4)体访问和操作的权限;应严格限制默认用户的5)访问权限。
问;2)自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;3)自主访问控制的粒度应达到主体为用户级,客体为文件、数据库表级;4)应由授权主体设置对客体访问和操作的权限;5)权限分离应采用最小授权原则,分别授予不同用户各自为完成自己承担任务所需的最小权限,并在他们之间形成相互制约的关系;
6)应实现操作系统和数据库管理系统特权用户的权限分离;
7)应严格限制默认用户的访问权限。
强制访问控制
无
1)应对重要信息资源和访问重要信息资源的所有主体设置敏感标记;2)强制访问控制的覆盖范围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作;
3)强制访问控制的粒度应达到主体为用户级,客体为文件、数据库表级。
安全审计
安全审计应覆盖到服务1)
器上的每个操作系统用户和数据库用户;安全审计应记录系统内2)包重要的安全相关事件,括重要用户行为和重要系统命令的使用等;安全相关事件的记录应)3.
1)安全审计应覆盖到服务器和客户端上的每个操作系统用户和数据库用户;2)安全审计应记录系统内重要的安全相关事件,包括重要用户行为、系统资源的异常使用和重要系统命令的使用;安全相关事件的记录应包括日期和时)3
技术要求项
二级等保
三级等保
包括日期和时间、类型、事主体标识、客体标识、件的结果等;审计记录应受到保护避4)修免受到未预期的删除、改或覆盖等。
间、类型、主体标识、客体标识、事件的结果等;4)安全审计应可以根据记录数据进行分析,并生成审计报表;5)安全审计应可以对特定事件,提供指定方式的实时报警;
6)审计进程应受到保护避免受到未预期的中断;
7)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
系统保护
1)系统应提供在管理维护状态中运行的能力,管理维护状态只能被系统管理员使用。
1)系统因故障或其他原因中断后,应能够以手动或自动方式恢复运行。
剩余信息保护
应保证操作系统和数据1)库管理系统用户的鉴别被信息所在的存储空间,释放或再分配给其他用无论户前得到完全清除,这些信息是存放在硬盘上还是在内存中;目应确保系统内的文件、)2
录和数据库记录等资源被释放所在的存储空间,或重新分配给其他用户前得到完全清除。
1)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
入侵防范
无
1)应进行主机运行监视,包括监视主机的CPU、硬盘、内存、网络等资源的使用情况;
2)应设定资源报警域值,以便在资源使用超过规定数值时发出报警;
技术要求项
二级等保
三级等保
3)应进行特定进程监控,限制操作人员运行非法进程;
4)应进行主机账户监控,限制对重要账户的添加和更改;
5)应检测各种已知的入侵行为,记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
6)应能够检测重要程序完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。
恶意代码防范
服务器和重要终端设备1)应安装(包括移动设备)实时检测和查杀恶意代码的软件产品;主机系统防恶意代码产2)品应具有与网络防恶意代码产品不同的恶意代码库;
1)服务器和终端设备(包括移动设备)均应安装实时检测和查杀恶意代码的软件产品;2)主机系统防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;3)应支持恶意代码防范的统一管理。
资源控制
应限制单个用户的会话1)
数量;应通过设定终端接入方2)网络地址范围等条件式、限制终端登录。
1)应限制单个用户的多重并发会话;2)应对最大并发会话连接数进行限制;3)应对一个时间段内可能的并发会话连接数进行限制;4)应通过设定终端接入方式、网络地址范围等条件限制终端登录;
5)应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定,并规定解锁或终止方式;
6)应禁止同一用户账号在同一时间内并发登录;
技术要求项
二级等保
三级等保
7)应限制单个用户对系统资源的最大或最小使用限度;
8)当系统的服务水平降低到预先规定的最小值时,应能检测和报警;
9)应根据安全策略设定主体的服务优先级,根据优先级分配系统资源,保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
应用安全
身份鉴别
应用系统用户的身份标)1识应具有唯一性;应对登录的用户进行身2)份标识和鉴别;系统用户身份鉴别信息)3应具有不易被冒用的特复杂点,例如口令长度、性和定期的更新等;
应具有登录失败处理功)4能,如:
结束会话、限制当登录连非法登录次数,接超时,自动退出。
1)系统用户的身份标识应具有唯一性;应对登录的用户进行身份标识和鉴别;2)系统用户的身份鉴别信息应具有不易被3)冒用的特点,例如口令长度、复杂性和定期的更新等;应对同一用户采用两种或两种以上组合4)的鉴别技术实现用户身份鉴别;应具有登录失败处理功能,如:
结束会5)话、限制非法登录次数,当登录连接超时,自动退出;6)应具有鉴别警示功能;应用系统应及时清除存储空间中动态使7)用的鉴别信息。
访问控制
应依据安全策略控制用)1户对客体的访问;自主访问控制的覆盖范2)围应包括与信息安全直客体及它接相关的主体、们之间的操作;自主访问控制的粒度应3)客体达到主体为用户级,为文件、数据库表级;应由授权主体设置用户)4.
1)应依据安全策略控制用户对客体的访问;2)自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;3)自主访问控制的粒度应达到主体为用户级,客体为文件、数据库表级;应由授权主体设置用户对系统功能操作)4
技术要求项
二级等保
三级等保
对系统功能操作和对数据访问的权限;应实现应用系统特权用5)例如将管户的权限分离,理与审计的权限分配给不同的应用系统用户;权限分离应采用最小授6)分别授予不同用权原则,户各自为完成自己承担并任务所需的最小权限,在它们之间形成相互制约的关系;应严格限制默认用户的)7
访问权限。
和对数据访问的权限;5)应实现应用系统特权用户的权限分离,例如将管理与审计的权限分配给不同的应用系统用户;6)权限分离应采用最小授权原则,分别授予不同用户各自为完成自己承担任务所需的最小权限,并在它们之间形成相互制约的关系;7)应严格限制默认用户的访问权限。
安全审计
安全审计应覆盖到应用1)系统的每个用户;安全审计应记录应用系2)统重要的安全相关事件,包括重要用户行为和重要系统功能的执行等;安全相关事件的记录应3)包括日期和时间、类型、事主体标识、客体标识、件的结果等;审计记录应受到保护避4)修免受到未预期的删除、改或覆盖等。
1)安全审计应覆盖到应用系统的每个用户;2)安全审计应记录应用系统重要的安全相关事件,包括重要用户行为、系统资源的异常使用和重要系统功能的执行等;3)安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等;4)安全审计应可以根据记录数据进行分析,并生成审计报表;5)安全审计应可以对特定事件,提供指定方式的实时报警;
6)审计进程应受到保护避免受到未预期的中断;
7)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
剩余.
应保证用户的鉴别信息)1
应保证用户的鉴别信息所在的存储空)1
技术要求项
二级等保
三级等保
信息保护
被释放所在的存储空间,或再分配给其他用户前无论这些得到完全清除,信息是存放在硬盘上还是在内存中;目应确保系统内的文件、2)录和数据库记录等资源被释放所在的存储空间,或重新分配给其他用户前得到完全清除。
间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;2)应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
通信完整性
1)通信双方应约定单向的校验码算法,计算通信数在进行据报文的校验码,通信时,双方根据校验码判断对方报文的有效性。
1)通信双方应约定密码算法,计算通信数据报文的报文验证码,在进行通信时,双方根据校验码判断对方报文的有效性。
抗抵赖
无
1)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
2)应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
通信保密性
当通信双方中的一方在1)
一段时间内未作任何响另一方应能够自动结应,束会话;在通信双方建立连接之)2利用密码技术进行会前,话初始化验证;应对敏感3)在通信过程中,
信息字段进行加密。
1)当通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;2)在通信双方建立连接之前,利用密码技术进行会话初始化验证;3)在通信过程中,应对整个报文或会话过程进行加密;4)应选用符合国家有关部门要求的密码算法。
软件容错
1)应对通过人机接口输入或通过通信接口输入的数据进行有效性检验;应对通过人机接口方式)2
1)应对通过人机接口输入或通过通信接口输入的数据进行有效性检验;应对通过人机接口方式进行的操作提供)2“回退”功能,即允许按照操作的序列.
技术要求项
二级等保
三级等保
”进行的操作提供“回退即允许按照操作的功能,序列进行回退;应继续提在故障发生时,3)确保能够供一部分功能,实施必要的措施。
进行回退;3)应有状态监测能力,当故障发生时,能实时检测到故障状态并报警;4)应有自动保护能力,当故障发生时,自动保护当前所有状态。
资源控制
1)应限制单个用户的多重并发会话;2)应对应用系统的最大并发会话连接数进行限制;3)应对一个时间段内可能的并发会话连接数进行限制。
1)应限制单个用户的多重并发会话;应对应用系统的最大并发会话连接数进)2行限制;应对一个时间段内可能的并发会话连接3)数进行限制;应根据安全策略设置登录终端的操作超4)时锁定和鉴别失败锁定,并规定解锁或终止方式;应禁止同一用户账号在同一时间内并发)5
登录;应对一个访问用户或一个请求进程占用6)的资源分配最大限额和最小限额;应根据安全属性(用户身份、访问地址、)7时间范围等)允许或拒绝用户建立会话连接;当系统的服务水平降低到预先规定的最)8小值时,应能检测和报警;应根据安全策略设定主体的服务优先9)级,根据优先级分配系统资源,保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
代码安全
应对应用程序代码进行1)
恶意代码扫描;应对应用程序代码进行2)
1)应制定应用程序代码编写安全规范,要求开发人员参照规范编写代码;应对应用程序
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 机房 要求
![提示](https://static.bingdoc.com/images/bang_tan.gif)