等保测评--通信网络安全测评要求

信息安全等级保护是一种对信息和信息载体按照重要性等级分级别实施保护的工作方法，在全球多个国家和地区均被广泛采用作为一种信息安全领域的核心工作方法。在中国而言，信息安全等级保护的广义定义涵盖了与该领域相关的标准体系、产品规范、系统架构以及相关的信息资源等均依据等级保护理念开展的安全管理活动；而狭义上通常特指针对信息系统内部安全配置的具体防护措施。

---

目录

网络安全等级测评师---安全通信网络测试（CNS）

1.网络架构

2.通信传输

3.可信验证

---

网络安全等级测评师---安全通信网络测试（CNS）

1.网络架构

确保网络设备的承载能力能够满足业务高要求。

1）业务高峰为何时，处理能力是否满足需要，何种手段监控设备运行情况

设备CPU和内存使用率峰值不大于70%

检查设备运行状态是否会出现故障中断，并查看或记录网管平台的告警日志以及设备累计运行时长；与相关人员沟通以确认是否存在因处理能力不足导致需要升级硬件的情况

未出现宕机情况，网管平台未出现宕机告警日志，设备运行时间较长

3）核查性能峰值，结合承载性能，分析业务处理能力

业务高峰流量不超过设备处理能力的70%

• 应保证网络各部分的带宽满足业务高峰期需要。（高峰期网络各部分带宽）

在高峰期流量使用情况中，请确定是否在相关设备上进行了相应的配置设置以实现对关键业务系统的流量带宽控制，并对网络各组成部分进行优化分配安排以确保业务服务能够保持连续运行。

关键节点部署流量监控系统，能够检测实时流量，部署流量控制设备

在关键节点配置QoS策略，对关键业务熊的流量带宽进行控制

监控高峰时段下各网络节点的带宽使用状况，并判断当前带宽是否能够支持现有业务需求。如果发现存在超出预期的情况，则应在主设备中设置相应的带宽分配策略。

节点设备配置流量监管和流量整形策略

3）测试验证网络各个部分的带宽是否满足业务高峰期需求。

各通信链路高峰流量均不大于其带宽的70%

有必要将网络划分为不同的区域，并遵循便于管理和控制的指导方针为每个网络区域分配相应的IP地址。（地址分配原则：方便管控）

请确定网络管理员根据部门的工作职能、等级保护对象的重要程度以及应用系统的级别等因素，并结合区域安全防护要求来划分不同的VLAN。随后，请核对所有网络设备的配置信息以确保其准确性。最后，请确认所划分的区域与制定原则相符，并确保其符合实际需求

划分不同区域范围，并遵循便于管理的指导原则对各网络区域进行地址规划，在不同网络区域之间实施边界防护措施。

• 不应将重要网络区域放置在外围位置，并应在各关键节点上实施有效的技术分隔措施。（配置重要网络）

1）核查网络拓扑图是否与运行环境一致

检查关键网络设施是否在边界位置设置了安全防护装置，并确认该位置配备了安全监控设备

核查关键网络区域与其他区域之间是否实施了可靠的网络安全防护措施

为确保通信网络的可靠运行，在关键部位部署备份装置，并配备必要的冗余组件。

对系统出口的路由器、核心交换机以及安全相关的设备等关键设备进行检查，并确保这些设备具备硬件冗余和通信线路冗余以确保整个系统的高可用性

通过HSRP和VRRP等冗余机制构建网络架构方案, 保证在通信线路或设备发生故障时系统的连续运行, 显著提升网络系统的可靠性和稳定性

HSRP（热备份路由协议）是一种专有于Cisco平台的技术。它属于Cisco公司的内部专用协议。当源主机无法实时获取第一跳路由器IP地址信息时，该协议能够提供保障确保第一条路由器正常运行。

VRRP（Virtual Router Redundancy Protocol 虚拟路由冗余协议）是一种动态资源分配协议。该协议通过将虚拟路由器的功能动态分配至局域网中的 VRRP 代理路由器上以实现负载均衡，并负责管理 VRRP 路由器 IP 地址分配的 VRRP 主 router 是核心组件。当主 router 失效时 该协议通过其内置的选择机制自动完成负载转移 并通过负载均衡策略确保网络性能不受影响。

2.通信传输

应采用校验技术或密码技术保证通信过程中数据的完整性。（数据完整性）

对数据传输过程中的安全性进行全面评估，并确定是否采用验证机制和加密策略以确保数据不受干扰。（识别机制及其影响因素包括：日常运营活动的合规性检查与管理需求相关的一系列安全措施）

需对设备或组件进行通信过程中的数据完整性测试与验证。校验工具包括File Checksum Integrity Verifier和SugCheck。通过计算数据的散列值来实现完整性验证，并完成对数据完整性的验证评估。

• 应采用密码技术保证通信过程中数据的保密性

1）核查通信过程中是否采取保密措施，采用哪些技术措施

测试评估通信过程中是否存在针对敏感信息字段或整个报文的加密处理措施，并通过使用流量镜像技术等手段获取网络中的数据以验证其安全性

3.可信验证

可通过对通信设备的系统引导程序、系统程序、重要配置参数以及通信应用程序等实施基于可信根的有效验证，并在应用关键执行环节实施动态可信度评估，在检测发现其信任度受到影响时触发警报机制，并将相关验证结果汇总形成审计记录提交至安全管理系统中。

审查是否依靠设备的系统引导程序、系统程序、重要配置参数及关键应用程序等开展有效验证工作？通信设备配备有可信根芯片或硬件支持。

启动过程基于可信根对系统引导程序文件、核心系统服务程序、关键配置参数设置和重点应用软件实施可信度评估措施。

3）测试验证当设备的可信性受到破坏时进行报警检查。设备在受到破坏时能够触发报警机制，并同时生成结构信息并提交给安全管理中心。

4）通过测试分析，结构是否以某种形式通过发送至安全管理中心？与此同时，在此过程中，请确保安全管理系统能够接收设备的验证结果记录。