非核心生產(chǎn)單元安全防護要求

1、非核心生產(chǎn)單元平安防護要求1 范圍本標(biāo)準(zhǔn)規(guī)定了公眾電信網(wǎng)和互聯(lián)網(wǎng)相關(guān)非核心生產(chǎn)單元在平安等級保護、平安風(fēng)險評估、災(zāi)難備份及恢復(fù)等方面的平安防護要求。本標(biāo)準(zhǔn)適用于公眾電信網(wǎng)和互聯(lián)網(wǎng)相關(guān)非核心生產(chǎn)單元。2 標(biāo)準(zhǔn)性引用文件以下文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。但凡注日期的引用文件，其隨后所有的修改單不包括勘誤的內(nèi)容或修訂版不適用于本標(biāo)準(zhǔn)。然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達成協(xié)議的各方研究是否可使用這些文件的最新版本。但凡不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。YD/T 1728-2023 電信網(wǎng)和互聯(lián)網(wǎng)平安防護管理指南YD/T 1728-2023 電信網(wǎng)和互聯(lián)網(wǎng)平安等級保護實施指南YD/T 1

2、728-2023 電信網(wǎng)和互聯(lián)網(wǎng)平安風(fēng)險評估實施指南YD/T 1728-2023 電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)實施指南YD/T 1728-2023 電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境平安等級保護要求YD/T 1728-2023 電信網(wǎng)和互聯(lián)網(wǎng)平安等級保護要求3 定義和縮略語3.1 定義3.1.1非核心生產(chǎn)單元平安等級Security Classlfication of the Support Unit of Core Production Network非核心生產(chǎn)單元平安重要程度的表征。重要程度可從非核心生產(chǎn)單元收到破壞后，對國家平安、社會秩序、經(jīng)濟運行、公共利益、網(wǎng)絡(luò)和業(yè)務(wù)運營商造成的損害來衡量。3.1

3、.2非核心生產(chǎn)單元平安等級保護Classified Security Protection of the Support Unit of Production Network對非核心生產(chǎn)單元分等級實施平安保護。3.1.3組織Organization組織是由不同作用的個體為實施共同的業(yè)務(wù)目標(biāo)而建立的結(jié)構(gòu)，組織的特性在于為完成目標(biāo)而分工合作；一個單位是一個組織，某個業(yè)務(wù)部門也可以是一個組織。3.1.4非核心生產(chǎn)單元平安風(fēng)險Security Risk of the Support Unit of Core Production Network人或自然的威脅可能利用非核心生產(chǎn)單元中存在的脆弱性導(dǎo)致平安

4、事件的發(fā)生及其對組織造成的影響。3.1.5非核心生產(chǎn)單元平安風(fēng)險評估Security Risk Assessment of the Support Unit of Core Production Network指運用科學(xué)的方法和手段，系統(tǒng)的分析非核心生產(chǎn)單元所面臨的威脅及其存在的脆弱性，評估平安事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和平安措施。防范和化解非核心生產(chǎn)單元平安風(fēng)險，或者將風(fēng)險控制在可接受的水平，為最大限度地位保障非核心生產(chǎn)單元的平安提供科學(xué)依據(jù)。3.1.6非核心生產(chǎn)單元資產(chǎn)Asset of the Support Unit of Core Producti

5、on Network非核心生產(chǎn)單元中具有價值的資源，是平安防護保護的對象。非核心生產(chǎn)單元中的資產(chǎn)可能是以多種形式存在，無形的、有形的、硬件、軟件，包括物理布局、通信設(shè)備、物理線路、數(shù)據(jù)、軟件、文檔、規(guī)程、業(yè)務(wù)、人員、管理等各種類型的資源，如非核心生產(chǎn)單元的設(shè)備、線路、數(shù)據(jù)信息等。3.1.7非核心生產(chǎn)單元資產(chǎn)價值A(chǔ)sset Value of the Support Unit of Core Production Network非核心生產(chǎn)單元中資產(chǎn)的重要程度或敏感程度。非核心生產(chǎn)單元資產(chǎn)價值是非核心生產(chǎn)單元資產(chǎn)的屬性，也是進行非核心生產(chǎn)單元資產(chǎn)識別的主要內(nèi)容3.1.8非核心生產(chǎn)單元威脅Threat

6、 of the Support Unit of Core Production Network可能導(dǎo)致對非核心生產(chǎn)單元產(chǎn)生危害的不希望事件潛在起因，它可能是人為地，也可能是非人為的；可能是無意失誤，也可能是惡意攻擊。常見的非核心生產(chǎn)單元威脅有攻擊、故障、災(zāi)害等。3.1.9非核心生產(chǎn)單元脆弱性Vulnerability of the Support Unit of Core Production Network脆弱性是非核心生產(chǎn)單元中存在的弱點、缺陷與缺乏，不直接對非核心生產(chǎn)單元資產(chǎn)造成危害，但可能被非核心生產(chǎn)單元威脅所利用從而危及非核心生產(chǎn)單元資產(chǎn)的平安。3.1.10非核心生產(chǎn)單元災(zāi)難Disa

7、ster of the Support Unit of Core Production Network由于各種原因，造成非核心生產(chǎn)單元故障或癱瘓，使非核心單元提供的效勞功能停頓或效勞水平不可接受、到達特定的時間的突發(fā)性事件。3.1.11非核心生產(chǎn)單元災(zāi)難備份Backup for Disaster Recovery of the Support Unit of Core Production Network為了核心生產(chǎn)單元災(zāi)難恢復(fù)而對相關(guān)的要素進行備份的過程。3.1.12非核心生產(chǎn)單元災(zāi)難恢復(fù)Disaster Recovery of the Support Unit of Core Produc

8、tion Network為了將非核心生產(chǎn)單元從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到正常運行狀態(tài)或局部正常運行狀態(tài)、并將其提供的效勞功能、效勞水平等，從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)而設(shè)計的活動和流程。3.2 縮略語以下縮略語適用于本標(biāo)準(zhǔn)。DDOS Distributed Denial of Service 分布式拒絕效勞DOS Denial of Service 拒絕效勞FIP File Transfer Protocol 文件傳輸協(xié)議HTTP Hyper Text Transfer Protocol 超文本傳輸協(xié)議IP Internet Protocol 網(wǎng)際協(xié)議POP3 Post Offi

9、ce Protocol v3 郵政代理協(xié)議第3版SMTP Simple Mail Transfer Protocol 簡單郵件傳送協(xié)議4 非核心生產(chǎn)單元平安防護概述4.1 非核心生產(chǎn)單元平安防護范圍非核心生產(chǎn)單元通常包括企業(yè)辦公系統(tǒng)、克服呼叫中心、企業(yè)門戶網(wǎng)站等。4.2 非核心生產(chǎn)單元平安防護內(nèi)容根據(jù)YD/T 1728-2023?電信網(wǎng)和互聯(lián)網(wǎng)平安防護管理指南?中電信網(wǎng)和互聯(lián)網(wǎng)平安防護體系的要求，將非核心生產(chǎn)單元平安防護內(nèi)容分為平安風(fēng)險評估、平安等級保護、災(zāi)難備份及恢復(fù)等三個局部：非核心生產(chǎn)單元平安等級保護主要包括定級對象和平安等級確實定、應(yīng)用平安、網(wǎng)絡(luò)平安、設(shè)備平安、物理環(huán)境平安、管理平安等

10、。非核心生產(chǎn)單元平安風(fēng)險評估主要包括資產(chǎn)識別、脆弱性識別、威脅識別、已有平安措施確實認(rèn)、風(fēng)險評估文件記錄等。本標(biāo)準(zhǔn)僅對非核心生產(chǎn)單元進行資產(chǎn)分析、脆弱性分析、威脅分析，在非核心生產(chǎn)單元平安風(fēng)險評估過程中確定各個資產(chǎn)、脆弱性、威脅的具體值。資產(chǎn)、脆弱性、威脅的賦值方法及資產(chǎn)價值、風(fēng)險值的計算方法參見YD/T 1730-2023 ?電信網(wǎng)和互聯(lián)網(wǎng)平安風(fēng)險評估實施指南?。非核心生產(chǎn)單元災(zāi)難備份及恢復(fù)主要包括災(zāi)難備份及恢復(fù)等級確定、針對災(zāi)難備份及恢復(fù)對各資源要素的具體要求等。5 非核心生產(chǎn)單元定級對象和等級確定我國電信網(wǎng)、互聯(lián)網(wǎng)和業(yè)務(wù)運營企業(yè)非核心生產(chǎn)單元的定級對象通常應(yīng)為企業(yè)辦公系統(tǒng)、客服呼叫中心、

11、企業(yè)門戶網(wǎng)站等。網(wǎng)絡(luò)和業(yè)務(wù)運營商應(yīng)根據(jù)YD/T 1729-2023?電信網(wǎng)和互聯(lián)網(wǎng)平安等級保護實施指南?附錄A中確定平安等級的方法對非核心生產(chǎn)單元定級，即對企業(yè)辦公系統(tǒng)、客服呼叫中心、企業(yè)門戶網(wǎng)站等根據(jù)社會影響力、所提供效勞的重要性、效勞規(guī)模的大小分別定級，權(quán)重、可根據(jù)具體網(wǎng)絡(luò)情況進行調(diào)節(jié)。6 非核心生產(chǎn)單元資產(chǎn)、脆弱性、威脅分析6.1 資產(chǎn)分析非核心生產(chǎn)單元資產(chǎn)的識別與選取應(yīng)符合科學(xué)性、合理性，非核心生產(chǎn)單元資產(chǎn)大致包括各類設(shè)備及主機、數(shù)據(jù)信息、效勞、人員、環(huán)境設(shè)施等。非核心生產(chǎn)單元的資產(chǎn)分析包括但不限于表1所列范圍。表1 資產(chǎn)類別類別資產(chǎn)設(shè)備及主機各類效勞器、終端、輔助設(shè)備等；企業(yè)網(wǎng)絡(luò)相關(guān)

12、各類路由、交換設(shè)備、內(nèi)部線路，平安過濾、入侵檢測和防護設(shè)備等獨立軟件包括有必要獨立識別的軟件，如應(yīng)用軟件、系統(tǒng)程序、數(shù)據(jù)庫等數(shù)據(jù)信息包括內(nèi)部網(wǎng)絡(luò)、設(shè)備、功能系統(tǒng)相關(guān)的各類效勞、配置、管理等方面的信息和數(shù)據(jù)等；內(nèi)部系統(tǒng)存放和使用的各類文件、資料的信息和數(shù)據(jù)等效勞各種功能效勞系統(tǒng)及其他相關(guān)資源提供效勞的能力、效勞質(zhì)量等人員各類直接效勞、維護、管理人員以及相關(guān)經(jīng)驗、能力等環(huán)境/設(shè)施包括物理環(huán)境，以及電力供給、防火、防水、防靜電、溫濕度等相關(guān)設(shè)備設(shè)施等。6.2 脆弱性分析非核心生產(chǎn)單元的脆弱性包括技術(shù)脆弱性和管理脆弱性兩個方面。脆弱性識別對象應(yīng)以資產(chǎn)為核心。非核心生產(chǎn)單元的脆弱性分析應(yīng)包括但不限于表2

13、所列范圍。表2 脆弱性類別類別對象脆弱性技術(shù)脆弱性系統(tǒng)包括系統(tǒng)功能規(guī)劃、部署、資源配置的缺陷等；內(nèi)部網(wǎng)絡(luò)保護和恢復(fù)能力的缺陷、平安技術(shù)措施和策略等方面的漏洞等；相關(guān)數(shù)據(jù)信息在存放、使用、傳送、備份、保存、恢復(fù)等環(huán)節(jié)的平安保護技術(shù)缺陷和平安策略的漏洞等設(shè)備包括各設(shè)備、效勞器、終端硬件平安性和軟件平安性的漏洞等；可靠性、穩(wěn)定性、業(yè)務(wù)支持能力和數(shù)據(jù)處理能力、容錯和恢復(fù)能力的缺陷等；后臺維護和訪問相關(guān)授權(quán)、管理等方面的平安漏洞，以及授權(quán)接入口令、方式、平安連接、用戶鑒別、代理等訪問控制方面存在的漏洞隱患等物理環(huán)境包括物理環(huán)境平安防護能力的缺陷：可分為辦公場地選擇，防火、供配電、防靜電、接地與防雷、電磁

14、防護、溫濕度控制、線路、其它設(shè)施及設(shè)備的保護等。管理脆弱性包括相關(guān)的方案和預(yù)案、人員、保障、組織等平安機制和管理制度在制定和實施等環(huán)節(jié)的漏洞和缺陷，可分為平安管理機構(gòu)方面如崗位設(shè)置、授權(quán)和審批程序、溝通和合作等，平安管理制度方面如管理制度及相應(yīng)的評審和修訂等，人員平安管理方面如人員錄用、上崗、平安培訓(xùn)、組織、訪問控制等，建設(shè)管理方面如平安方案不完善、軟件開發(fā)不符合程序、工程實施未進行平安驗收或驗收不合格等，運維管理方面如物理環(huán)境管理、設(shè)備維護、技術(shù)支持、關(guān)鍵性能指標(biāo)監(jiān)控、攻擊防范措施、數(shù)據(jù)備份和恢復(fù)、訪問控制、操作管理、應(yīng)急保障措施等6.3 威脅分析非核心生產(chǎn)單元的威脅根據(jù)來源可分為技術(shù)威脅、

15、環(huán)境威脅和人為威脅。環(huán)境威脅包括自然界不可抗的威脅和其他物理威脅。根據(jù)威脅的動機，人為威脅又可分為惡意和非惡意兩種。非核心生產(chǎn)單元的威脅分析應(yīng)包括但不限于表3所列范圍。表3 威脅類別類別威脅技術(shù)威脅包括設(shè)備相關(guān)故障，未充分考慮冗余、可靠性及平安、效勞需求等原因，阻礙相關(guān)功能平安實現(xiàn)的缺陷或隱患而造成的平安事件等；錯誤響應(yīng)和恢復(fù)等；相關(guān)數(shù)據(jù)、信息在備份、保存、處理過程中發(fā)生的過失、損失、喪失等；其他突發(fā)、異常事件的沖擊和數(shù)據(jù)擁塞等。表3 續(xù)類別威脅環(huán)境威脅物理環(huán)境包括供電故障，灰塵、潮濕、溫度超標(biāo)，靜電、電磁干擾等；意外事故或線路方面的故障等災(zāi)害包括鼠蟻災(zāi)害：洪災(zāi)、火災(zāi)、地震、臺風(fēng)、雷電等自然災(zāi)

16、害；戰(zhàn)爭、社會動亂、恐怖活動等包括針對相關(guān)功能系統(tǒng)的惡意擁塞，針對效勞、設(shè)備等相關(guān)數(shù)據(jù)和信息的攔截、篡改、刪除等攻擊行為和惡意掃描、監(jiān)聽、截獲等嗅探行為；惡意代碼、病毒等；非授權(quán)訪問、越權(quán)操作等；偽造和欺騙等；物理攻擊，損壞、盜竊等包括誤操作：無作為、技能缺乏等：相關(guān)數(shù)據(jù)、信息無意泄露，數(shù)據(jù)損壞和喪失等；組織、平安管理制度不完善、制度推行不力、缺乏資源等非標(biāo)準(zhǔn)平安管理等7 非核心生產(chǎn)單元平安等級保護要求7.1 第1級要求本標(biāo)準(zhǔn)對平安等級為第1級的非核心生產(chǎn)單元暫不作要求7.2 第2級要求7.2.1 應(yīng)用平安要求 身份鑒別a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標(biāo)識和鑒別；b) 應(yīng)提供用

17、戶身份識別唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識；身份鑒別信息不易被冒用；c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；d) 應(yīng)啟動身份鑒別、用戶身份識別唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)平安策略配置相關(guān)參數(shù)。 訪問控制a) 應(yīng)提供訪問控制功能，依據(jù)平安策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限；d) 應(yīng)授權(quán)不同賬戶為完成各自承當(dāng)任務(wù)所需的最小權(quán)限，并在它們之間形成

18、相互制約的關(guān)系。 平安審計a) 應(yīng)提供覆蓋到每個用戶的平安審計功能，對應(yīng)用系統(tǒng)重要平安事件進行審計；b) 應(yīng)保證無法刪除、修改或覆蓋審計記錄；c) 審計記錄的內(nèi)容至少應(yīng)包括事件日期、事件、發(fā)起者信息、類型、描述和結(jié)果等。 通信數(shù)據(jù)平安性a) 應(yīng)采用校驗碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；b) 應(yīng)能夠檢測到鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞；c) 應(yīng)采用加密或其他保護措施實現(xiàn)鑒別信息的存儲保密性；d) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始驗證；e) 應(yīng)對通信過程中的敏感信息進行加密。 資源控制a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能

19、自動結(jié)束會話；b) 應(yīng)能夠?qū)?yīng)用系統(tǒng)的最大并發(fā)會話連續(xù)數(shù)進行限制；c) 應(yīng)能夠?qū)蝹€賬戶的多重并發(fā)會話進行限制。7.2.2 網(wǎng)絡(luò)平安要求 結(jié)構(gòu)平安a) 應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；b) 應(yīng)根據(jù)應(yīng)用和效勞的特點，在滿足頂峰期流量需求的根底上，合理設(shè)計帶寬；c) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，按照統(tǒng)一管理和控制原那么劃分不同的子網(wǎng)或網(wǎng)段。 訪問控制a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟動訪問控制功能；b) 應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)絡(luò)級；c) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)那么，決定允許或拒絕用戶對受控系統(tǒng)進

20、行資源訪問，控制粒度為單個用戶；d) 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量 平安審計a) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；b) 審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。 入侵防范a) 應(yīng)在網(wǎng)絡(luò)邊界處對發(fā)生的端扣掃描、強力攻擊、木馬后門攻擊、Dos/Dos攻擊，緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等攻擊和入侵事件提供有效地抵御和防范能力；b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過授權(quán)，私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查。7.2.3 設(shè)備平安要求 平安檢測a) 應(yīng)對構(gòu)建相關(guān)系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)的數(shù)據(jù)網(wǎng)絡(luò)設(shè)備，如各類路由器、交換

21、機等，進行必要的平安檢測：相關(guān)組網(wǎng)設(shè)備的平安應(yīng)滿足響應(yīng)設(shè)備技術(shù)標(biāo)準(zhǔn)、設(shè)備平安要求等行業(yè)標(biāo)準(zhǔn)的相關(guān)規(guī)定，并應(yīng)符合網(wǎng)絡(luò)和業(yè)務(wù)運營商相關(guān)設(shè)備的要求；網(wǎng)絡(luò)設(shè)備原那么上應(yīng)符合設(shè)備入網(wǎng)管理相關(guān)要求的規(guī)定；b) 應(yīng)對提供相關(guān)應(yīng)用和效勞的各類通用計算機、效勞器等主機設(shè)備進行必要的平安檢測，出具平安檢測及驗收報告并妥善保存；各類計算機、效勞器設(shè)備應(yīng)符合并滿足網(wǎng)絡(luò)和業(yè)務(wù)運營商相關(guān)通用設(shè)備的要求。 身份鑒別a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份識別和鑒別；b) 通用主機操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜程度要求并定期更換；c) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、

22、限制非法登錄次數(shù)和自動退出等措施；d) 當(dāng)對主機進行流程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。 訪問控制a) 應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對資源的訪問；b) 應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限別離；c) 應(yīng)限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令；d) 應(yīng)及時刪除多余的、過期的賬戶，防止共享賬戶的存在。 平安審計a) 審計范圍應(yīng)覆蓋到效勞器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)

23、內(nèi)重要的平安相關(guān)事件；c) 審計記錄應(yīng)包括事件的日期、事件、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；d) 應(yīng)保護審計記錄，防止受到未預(yù)期的刪除、修改或覆蓋等。 惡意代碼防范a) 通用主機操作系統(tǒng)應(yīng)遵循最小安裝的原那么，僅安裝需要的組件和應(yīng)用程序，并通過平安的方式如設(shè)置升級效勞器保持系統(tǒng)補丁及時得到更新；b) 通用主機應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；c) 通用主機應(yīng)支持防惡意代碼軟件的統(tǒng)一管理。 資源控制a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b) 應(yīng)根據(jù)平安策略設(shè)置登錄終端的操作超時鎖定；c) 應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度。7.2

24、.4 物理環(huán)境平安要求應(yīng)滿足YD/T 1754-2023?電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境平安等級保護要求?中第2級的相關(guān)要求。7.2.5 管理平安要求應(yīng)滿足YD/T 1756-2023?電信網(wǎng)和互聯(lián)網(wǎng)管理平安等級保護要求?中第2級的相關(guān)要求。7.3 第3.1級要求7.3.1 應(yīng)用平安要求 身份鑒別除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；b) 應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作 平安審計除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；b) 應(yīng)根據(jù)平安策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作。 平安審計除滿

25、足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)保證無法單獨中斷審計進程；b) 應(yīng)提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢分析及生成審計報表的功能。 通信數(shù)據(jù)平安除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；b) 應(yīng)對通信過程中的整個報文或會話過程進行加密；c) 應(yīng)能根據(jù)需要提供必要的通信數(shù)據(jù)防抵賴的功能。 資源控制除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；b) 應(yīng)能夠?qū)σ粋€訪問賬戶或一個請求進程占用的資源分配最大限額和最小限額；c) 應(yīng)能夠?qū)ο到y(tǒng)效勞水平降低到預(yù)先規(guī)定的最小值進行檢測和報警；d) 應(yīng)提供效勞優(yōu)先級

26、設(shè)定功能，并能根據(jù)平安策略設(shè)定訪問賬戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。7.3.2 網(wǎng)絡(luò)平安要求 結(jié)構(gòu)平安除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)效勞器之間進行路由控制建立平安的訪問路徑；b) 應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠地技術(shù)隔離手段；c) 應(yīng)按照對業(yè)務(wù)效勞的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。 訪問控制除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；b) 應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層

27、HTTP、FTP、Telnet、SMTP、POP3等協(xié)議命令級的控制；c) 當(dāng)會話在一定時間內(nèi)處于非活潑d) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；e) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙。 平安審計除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；b) 應(yīng)對審計記錄進行保護，防止受到未預(yù)期的刪除、修改或覆蓋等。 入侵防范除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和去除；應(yīng)維護惡意代碼庫德升級和檢測系統(tǒng)的更新；b) 當(dāng)檢測到入侵行為時，應(yīng)記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警；c) 應(yīng)能夠?qū)Ψ鞘跈?quán)

28、設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)、以及內(nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)等行為進行檢查，準(zhǔn)確定出位置，并對其進行有效阻斷。7.3.3 設(shè)備平安要求7.3.1 平安檢測同第2級要求。 身份鑒別除滿足第2級的要求之外，還應(yīng)滿足：應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進行身份鑒別。 訪問控制除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限別離，僅授予管理用戶所需的最小權(quán)限；b) 應(yīng)對重要信息資源設(shè)置敏感標(biāo)記；c) 應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作。 平安審計除滿足第2級的要求之外，還應(yīng)滿足：a) 審計范圍應(yīng)覆蓋到效勞器和重要客戶端上的

29、每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b) 應(yīng)能夠根據(jù)日志記錄數(shù)據(jù)進行分析，并生成審計報表；c) 應(yīng)保護審計進程，防止受到未預(yù)期的中斷。 惡意代碼防范除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)能夠?qū)χ匾鳈C進行入侵行為的監(jiān)測，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴(yán)重入侵事件時提供報警；b) 通用主機應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；c) 通用主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫。 資源控制除滿足第2級的要求之外，還應(yīng)滿足：a) 應(yīng)對重要主機進行性能監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況

30、；b) 應(yīng)能夠?qū)π谄鳌?shù)據(jù)庫等系統(tǒng)的效勞水平設(shè)定報警閥值，當(dāng)監(jiān)測到效勞水平降低到閥值時應(yīng)能進行報警。7.3.4 物理環(huán)境平安要求應(yīng)滿足YD/T 1754-2023?電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境平安等級保護要求?中第3.1級的相關(guān)要求。7.3.5 管理平安要求應(yīng)滿足YD/T 1756-2023?電信網(wǎng)和互聯(lián)網(wǎng)管理平安等級保護要求?中第3.1級的相關(guān)要求。7.4第3.2級要求同第3.1級的要求。7.5第4級要求同第3.2級要求。7.6 第5級要求平安等級為第5級的非核心生產(chǎn)單元平安要求待補充。8非核心生產(chǎn)單元災(zāi)難備份及恢復(fù)要求8.1 概述根據(jù)YD/T 1731-2023?電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)實施