等级保护2.0要求_等级保护2.0 安全计算环境要求

作者：金玲

“

随着《网络安全法》的不断推进，网络安全等级保护制度的不断完善，网络安全已经渗透到了各行各业。等级保护2.0是一部完整的以技术保障为基础、以管理运营为抓手、以监测预警为中心、以协同响应为目标的网络安全防御体系框架性指导标准与规划建设指南。

等级保护2.0的技术保障体系虽然延续了等级保护1.0中的以资产(网络与信息系统)防护为目标的安全保障思路，但是在控制层面上进行了重新的划分，尤其是等级保护1.0中的主机安全和应用安全在等级保护2.0中已经被计算环境安全替代，在变化上较为显著。

等保2.0之安全计算环境涉及的主要对象包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等。具体包含11个控制点：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护。下面我就来详细介绍一下。

一. 身份鉴别

身份鉴别是网络安全的基础措施，是对登录应用系统及各类型设备的用户进行身份确认，从而就确认该用户是否具有资源的访问和使用权限，若是有用户登录成功就可以根据管理员设置的访问策略去进行相关操作了，这样做的目的是防止攻击者假冒合法用户获得资源的访问权限，保证系统和数据的安全。
针对身份主要具备以下几个功能：
1、身份标识唯一；
2、密码复杂度要求及密码周期；
3、具有登录失败和登录超时；
4、远程接入采用加密传输；
5、具有两种或两种以上身份鉴别方式。
控制项包括：
a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；
b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；
c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；
d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

二. 访问控制

安全计算环境中的访问控制是为了保证系统资源受控合法地使用，使用户只能在自己的权限范围内访问和使用系统资源，不得越权访问。

等保2.0中对于默认账户，通常指超管账号、具备一定权限的管理账户(像root这类不太适合修改的默认账户测评时要将原因解释清楚)必须要重命名，同时系统后台要具备强制账户第一次登录修改默认口令的功能。而对于多余、无效、长期不用的账户要及时删除，此外不能存在共享用户，即一个账户多人或多部门使用，这样不便于审计，出现事故无法准确定位故障点，不能进行追责。 关于权限管理部分，遵守最小权限原则，给需要相应权限的用户对应功能权限，不过分赋权。针对不同岗位的人员账户，功能不能过于集中，保障管理用户的权限分离。比如，负责审计的用户只给予查询、读取一类权限，安全管理账户不具备运维的权限，运维没有安全的权限。权限管理中提出了主体、客体的概念，其实主要强调的是数据安全问题。客体的访问权限应该由其所有者(即主体)来指定，如允许谁或什么级别的主体访问什么级别的客体，还有对于客体的分类也应由主体来确定。 本控制点的最后一条(数据标记)，在旧标准中一直存在，也一直是扣分项，好多企业无法证明能够提供此项功能。但在当前环境下，大数据技术已经逐步走向成熟，数据生命周期最基本步骤就是数据分级分类，因此数据标记已成为必然。 控制项包括： a)应对登录的用户分配账户和权限； b)应重命名或删除默认账户，修改默认账户的默认口令； c)应及时删除或停用多余的、过期的账户，避免共享账户的存在； d)应授予管理用户所需的最小权限，实现管理用户的权限分离；e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则； f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级； g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

三.安全审计

审计是一种操作，例如用户登录、操作、访问客体，这些都需要提交用户发送请求，经系统确认身份和权限后允许其进行相应操作，而审计后会产生结果，其结果便是日志。这么解释，大家应该就能理解什么是审计，什么是日志了吧。
等保2.0要求系统必须具备审计功能，而且要覆盖到每一个用户，不是记录所有操作，而是重要行为和重要安全事件，何为“重要”，就需要系统使用单位自行把握了。这里的建议是，对于用户重要行为，至少应包括：登录、登出、查询、修改、删除、创建等记录了；对于重要安全事件，安全相关日志全留存吧，相比流量日志这点内容好多了，因为你也无法确定哪个事件可能造成严重影响，干脆全保存好了，特别强调日志必须最少保证6个月的周期，这也是网络安全法中明确要求的。
控制项包括：
a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
d)应对审计进程进行保护，防止未经授权的中断。

四. 入侵防范

针对主机的入侵，可能是来自网络上的其他节点，也可能发生在主机内部，破坏主机的进程。因此主机入侵防范也需要从这两方面进行，防止主机被入侵的最有效办法就是减少主机对外暴露的漏洞。该控制点主要从系统最小安装、限制终端接入、入侵检测及报警、数据有效性检验以及系统漏洞的发现与修补等方面来要求。
控制项包括：
a)应遵循最小安装的原则，仅安装需要的组件和应用程序；
b)应关闭不需要的系统服务、默认共享和高危端口；
c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；
d)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；
e)应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；
f)应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。

五. 恶意代码防范

恶意代码防范顾名思义就是要采取一些措施(采用防恶意代码产品、技术或通过可信验证机制)及时识别并有效阻断入侵和病毒行为。可信验证我们先不要考虑太多了，重点还是考虑恶意代码防护工具吧,例如使用安全设备WAF防火墙、IDS以及网络杀毒软件等。

控制项是应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。

六.可信验证 等保2.0标准首次加入了可信计算的相关要求并分级逐级提出可采用可信验证的要求，注意是可采用不是应采用，当然采用当然是最好的。可信为计算的组件、操作或过程在任意条件下是可预测的、并能抵御病毒和一定程度的物理干扰。这样说你可能不明白，举个例子吧，比如服务器有一块安全芯片，芯片中规定了服务器可以/不可以启用程序，服务器启动时是按芯片里设定去启动服务器中能起的程序。测评是若能看到这个安全芯片那么就是采用了可信验证技术。

这部分是要求可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

七.数据完整性

数据完整性是信息安全的三个基本要点之一，指在传输、存储信息或数据的过程中，确保信息或数据不被未授权的篡改或在篡改后能够被迅速发现。说的通俗一些就是保证通信双方所发的信息或数据不被别人改变，保持获得信息的一致性；数据库中存储的信息是正确的、有效的、一致的；若是内容被人非法改变了，能利用一些技术手段快速发现且阻止。

控制项包括：a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；

b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

八.数据保密性

数据的保密性就是对产生的数据进行加密只允许通过个人的授权通过以后使用，保证不会其它人窃取盗用，包括输传和存储两个方面。传输保密性就是加密通信(一般利用SSH、VPN、HTTPs等)；而加密存储，通常在访问控制和数据管理上下功夫。

控制项包括： a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；

b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

九.数据备份恢复

数据对于企业来说是非常重要的，即使对数据进行了种种保护，但仍无法绝对保证数据的安全。对数据进行备份，是防止数据遭到破坏后无法使用的最好办法。
控制项包括：
a)应提供重要数据的本地数据备份与恢复功能；
b)应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；
c)应提供重要数据处理系统的热冗余，保证系统的高可用性。

十.剩余信息防护

剩余信息保护是为了防止某个用户非授权获取其他用户的鉴别信息、文件、目录和数据库记录等资源，应用系统应加强内存及其他资源管理，如配置应用系统不记录上次登录密码、退出系统前清除内存空间等。
控制项包括：
a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；
b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。

十一.个人信息保护

本控制点的要求相对简单，一是采集个人信息，有用则采，无用信息不要收集。然后，未经授权不能访问、也不能使用用户个人信息。这部分虽说在技术部分，但是测评要求里提到要查看制度，就是要查看你对于用户个人信息保护的管理规定以及执行情况。

控制项包括： a)应仅采集和保存业务必需的用户个人信息；

b)应禁止未授权访问和非法使用用户个人信息。

安全计算环境技术要求是等级保护2.0内单元内容最多的，涉及到主机层面、应用层面、数据层面和备份恢复面。企业可以参照其中个控制点查看自身相关系统安全建设情况是否到位。

后期将针对等级保护2.0标准各主题进行分析介绍；

欢迎各位关注后吹毛求疵，且多多益善。
关 注 我 有更多干货给你哦~ “

如有咨询需求，发送daluzixun@163.com，期待您的联系~

关于大路咨询

大路咨询专注于信息咨询和研究。以安全为主体，从国际国内标准、国家政策、行业态势、大众认知等多个维度进行深度剖析。关注大路咨询，让我们一起共同交流、共同学习。

更多专业技术分享，敬请期待~