2022軟件定義邊界實現(xiàn)等保2.0合規(guī)技術(shù)指南

11軟件定義邊界SDP實現(xiàn)等保2.0合規(guī)技術(shù)指南白皮書2020年4月目錄編者信息 2序言 3目錄 4簡介 8關(guān)于軟件定義邊界SDP 81.2關(guān)于等保2.0 13等級保護是國家信息安全管理的基本制度 13等保合規(guī)建設(shè)過程中遇到的問題 15SDP滿足等保2.0安全通用要求 162.1概述 16二級安全通用要求 17安全通用要求（二級）概述 172.2.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 192.2.3對“通信傳輸”的適用策略 192.2.4對“邊界安全”的適用策略 202.2.5對“訪問控制”的適用策略 202.2.6對“入侵防范”的適用策略 222.2.7對“安全審計”的適用策略 222.2.8對“身份鑒別”的適用策略 232.2.9對“訪問控制”的適用策略 242.2.10對“安全審計”的適用策略 242.2.11對“入侵防護”的適用策略 252.2.12對“數(shù)據(jù)完整性”的適用策略 26三級安全通用要求 27安全通用要求（三級）概述 272.3.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 292.3.3對“通信傳輸”的適用策略 302.3.4對“邊界防護”的適用策略 302.3.5對“訪問控制”的適用策略 312.3.6對“入侵防護”的適用策略 322.3.7對“安全審計”的適用策略 332.3.8對“身份鑒別”的適用策略 342.3.9對“訪問控制”的適用策略 352.3.10對“安全審計”的適用策略 362.3.11對“入侵防護”的適用策略 372.3.12對“數(shù)據(jù)完整性”的適用策略 382.3.13對“數(shù)據(jù)保密性”的適用策略 392.3.14對“集中管控”的適用策略 39四級安全通用要求 41?版權(quán)所有2020云安全聯(lián)盟大中華區(qū)4安全通用要求（四級）概述 412.4.2對“網(wǎng)絡(luò)架構(gòu)”的適用策略 432.4.3對“通信傳輸”的適用策略 442.4.4對“邊界防護”的適用策略 452.4.5對“訪問控制”的適用策略 462.4.6對“入侵防護”的適用策略 482.4.7對“安全審計”的適用策略 482.4.8對“身份鑒別”的適用策略 492.4.9對“訪問控制”的適用策略 502.4.10對“安全審計”的適用策略 512.4.11對“入侵防護”的適用策略 522.4.12對“數(shù)據(jù)完整性”的適用策略 532.4.13對“數(shù)據(jù)保密性”的適用策略 542.4.14對“集中管控”的適用策略 552.4.15SDP應(yīng)用于等級保護（四級）的合規(guī)注意事項 56SDP滿足等保2.0云計算安全擴展要求 583.1概述 58云計算安全擴展二級要求 603.2.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 613.2.2對“訪問控制”的適用策略 623.2.3對“入侵防范”的適用策略 623.2.4對“安全審計”的適用策略 633.2.5對“訪問控制”的適用策略 64云計算安全擴展三級要求 643.3.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 653.3.2對“訪問控制”的適用策略 673.3.3對“入侵防范”的適用策略 673.3.4對“安全審計”的適用策略 683.3.5對“身份鑒別”的適用策略 693.3.6對“訪問控制”的適用策略 703.3.7對“入侵防范”的適用策略 703.3.8對“集中管控”的適用策略 71云計算安全擴展四級要求 723.4.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 733.4.2對“訪問控制”的適用策略 753.4.3對“入侵防范”的適用策略 753.4.4對“安全審計”的適用策略 763.4.5對“身份鑒別”的適用策略 773.4.6對“訪問控制”的適用策略 773.4.7對“入侵防范”的適用策略 783.4.8對“集中管控”的適用策略 79SDP滿足等保2.0移動互聯(lián)安全擴展要求 804.1概述 80移動互聯(lián)安全擴展二級要求 844.2.1對“邊界防護”的適用策略 854.2.2對“訪問控制”的適用策略 854.2.3對“入侵防范”的適用策略 86對“移動應(yīng)用管控”的適用策略 87對“移動應(yīng)用軟件采購”的適用策略 87對“移動應(yīng)用軟件開發(fā)”的適用策略 88移動互聯(lián)安全擴展三級要求 884.3.1對“邊界防護”的適用策略 894.3.2對“訪問控制”的適用策略 904.3.3對“入侵防范”的適用策略 90對“移動應(yīng)用管控”的適用策略 91對“移動應(yīng)用軟件采購”的適用策略 92對“移動應(yīng)用軟件開發(fā)”適用策略 924.3.7對“配置管理”的適用策略 93移動互聯(lián)安全擴展四級要求 934.4.1對“邊界防護”適用策略 944.4.2對“訪問控制”的適用策略 954.4.3對“入侵防范”適用策略 954.4.4對“移動終端管控”適用策略 974.4.5對“移動應(yīng)用管控”適用策略 97對“移動應(yīng)用軟件采購”適用策略 98對“移動應(yīng)用軟件開發(fā)”適用策略 984.4.8對“配置管理”適用策略 99SDP滿足等保2.0物聯(lián)網(wǎng)安全擴展要求 1005.1概述 100物聯(lián)網(wǎng)安全擴展二級要求 101SDP的適用情況 1015.2.2對“接入控制”的適用策略 1035.2.3對“入侵防范”的適用策略 1045.2.4對“7.4.3安全運維管理”的適用策略 104物聯(lián)網(wǎng)安全擴展三級要求 105SDP的適用情況 1055.3.2對“接入控制“的適用策略 1065.3.3對“入侵防范”的適用策略 1075.3.4對“網(wǎng)關(guān)節(jié)點設(shè)備安全”的適用策略 108物聯(lián)網(wǎng)安全擴展四級要求 109SDP的適用情況 1095.4.2對“接入控制”的適用策略 1105.4.3對“入侵防范”的適用策略 110對“感知節(jié)點設(shè)備安全”的適用策略 111對“網(wǎng)關(guān)節(jié)點設(shè)備安全”的適用策略 1125.4.6對“抗數(shù)據(jù)重放”的適用策略 1125.4.7對“數(shù)據(jù)融合處理”的適用策略 1135.4.8對“感知節(jié)點管理”的適用策略 113SDP滿足等保2.0工業(yè)控制系統(tǒng)安全擴展要求 1156.1概述 115工業(yè)控制系統(tǒng)安全擴展一級要求 1176.2.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1186.2.2對“訪問控制”的適用策略 1186.2.3對“無線使用控制”的適用策略 119工業(yè)控制系統(tǒng)安全擴展二級要求 1196.3.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1206.3.2對“通訊傳輸”的適用策略 1216.3.3對“訪問控制”的適用策略 1216.3.4對“撥號使用控制”的適用策略 1226.3.5對“無線使用控制”的適用策略 123工業(yè)控制系統(tǒng)安全擴展三級要求 1236.4.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1246.4.2對“通信傳輸”的適用策略 1256.4.3對“訪問控制”的適用策略 1256.4.4對“撥號使用控制”的適用策略 1266.4.5對“無線使用控制”的適用策略 1276.4.6對“控制設(shè)備安全”的適用策略 127工業(yè)控制系統(tǒng)安全擴展四級要求 1286.5.1對“網(wǎng)絡(luò)架構(gòu)”的適用策略 1296.5.2對“通信傳輸”的適用策略 1306.5.3對“訪問控制”的適用策略 1306.5.4對“撥號使用控制”的適用策略 1316.5.5對“無線使用控制”的適用策略 1326.5.6對“控制設(shè)備安全”的適用策略 1327總結(jié) 133PAGEPAGE10簡介SDP傳統(tǒng)企業(yè)網(wǎng)絡(luò)安全架構(gòu)通過建立一個固定的邊界使內(nèi)部網(wǎng)絡(luò)與外部世界分對于遠VPN云的租戶不滿足共用防火墻，希望得到更個性化的服務(wù)，傳統(tǒng)防火墻和VPN不SaaSIaaSSoftware-Defined-Perimeter（SDP）安全技術(shù)架構(gòu)。SDPCSA2014GleZsr、思科、賽門鐵克、Akamai、VerizonSDP產(chǎn)品。軟件定義邊界（SDP）架構(gòu)由客戶端（Client）、管控平臺（也稱控制器，Controller）、應(yīng)用網(wǎng)關(guān)（Gateway）三個主要組件組成，如下圖所示：軟件定義邊界（SDP）架構(gòu)安全威脅SDP方案作用1數(shù)據(jù)泄露SDP通過添加預(yù)驗證和預(yù)授權(quán)層來減少公開暴露的擊方式。剩余風(fēng)險：數(shù)據(jù)泄露的幾個其他攻擊方式不適用于SDP，包括釣魚、錯誤配置和終端保護。授權(quán)用戶對授權(quán)資源的惡意訪問將不會被SDP直接阻止。SDP/SDPCSA發(fā)布的SDP安全威脅SDP方案作用1數(shù)據(jù)泄露SDP通過添加預(yù)驗證和預(yù)授權(quán)層來減少公開暴露的擊方式。剩余風(fēng)險：數(shù)據(jù)泄露的幾個其他攻擊方式不適用于SDP，包括釣魚、錯誤配置和終端保護。授權(quán)用戶對授權(quán)資源的惡意訪問將不會被SDP直接阻止。2管理過去，VPN是因為VPN節(jié)。相比之下，SDP不允許廣泛的網(wǎng)絡(luò)訪問，并限制對份、證書和訪問管理有更大的彈性。SDP還可以在用戶訪問資源之前執(zhí)行強認(rèn)證。/來調(diào)整IAM流程，并確保訪問策略被正確定義。過于寬泛的準(zhǔn)入政策會帶來潛在的風(fēng)險。3不安全的界面和API保護用戶界面不被未授權(quán)用戶訪問是SDP的核心能力。使用SDP，未經(jīng)授權(quán)的用戶（即攻擊者）無法訪問UI，因此無法利用任何漏洞。SDP還可以通過在用戶設(shè)備上運行的進程來保護API。目前SDP部署的主要焦點一直是保護用戶對服務(wù)器的訪問。剩余風(fēng)險：服務(wù)器到服務(wù)器API調(diào)用在這個時候不是SDP的常見用例，因此API服務(wù)可能不會受到SDP系統(tǒng)的保護。4系統(tǒng)和應(yīng)用程序漏洞SDP顯著減少攻擊面，通過將系統(tǒng)和應(yīng)用程序的漏洞隱藏起來，對于未授權(quán)用戶不可見。在的攻擊可能性。其它安全系統(tǒng)如SIEM或IDS必須用來監(jiān)控訪問和網(wǎng)絡(luò)活動（威脅）。5賬號劫持基于會話cookie的帳戶劫持被SDP完全消除。如果沒有預(yù)先認(rèn)證和預(yù)先授權(quán)，并且攜帶適當(dāng)?shù)腟PA數(shù)話cookie，也不會被SDP網(wǎng)關(guān)準(zhǔn)入。于諸如地理定位等屬性來控制訪問的策略。6內(nèi)部惡意人員威脅SDP將限制內(nèi)部人員造成安全威脅的能力。適當(dāng)配置的SDP系統(tǒng)將具有限制用戶僅能訪問執(zhí)行業(yè)務(wù)功剩余風(fēng)險：SDP不阻止授權(quán)用戶對授權(quán)資源的惡意訪問。7高級持續(xù)威脅攻擊APTS本質(zhì)上是復(fù)雜的、多方面的，不會被任何單一（APTS）的安全防御所阻止。SDP通過限制受感染終端尋找網(wǎng)絡(luò)目標(biāo)的能力，并且在整個政府部門/少攻擊面，從而降低APT的存在可能性和傳播。剩余風(fēng)險：預(yù)防和檢測APTS需要多個安全系統(tǒng)和過程結(jié)合起來進行深入的防御。8數(shù)據(jù)丟失SDP通過執(zhí)行最小權(quán)限原則，并將網(wǎng)絡(luò)資源對未授權(quán)用戶隱藏起來，來減少數(shù)據(jù)丟失的可能性。SDP可以通過適當(dāng)?shù)腄LP解決方案來增強。剩余風(fēng)險：SDP不阻止授權(quán)用戶對授權(quán)資源的惡意訪問。9盡職調(diào)查不足SDP不適用10濫用和非法使用云服務(wù)SDP并不直接適用，但SDP供應(yīng)商的產(chǎn)品可能有能力檢測和了解云服務(wù)使用狀況。11DDoS拒絕服務(wù)SDP技術(shù)使得SDP和網(wǎng)關(guān)對阻止DDoS攻擊更有彈性。SPA與典型的TCP握手連接相比可花費更少的資源，使服務(wù)器能相比，基于UDP的SPA進一步提高了服務(wù)器的可用性。SPA顯著降低了由無效SPASDP系統(tǒng)仍然可能受到大規(guī)模DDoS攻擊的影響。12共享技術(shù)問題SDP可以由云服務(wù)提供商使用，以確保管理員對硬件和虛擬化基礎(chǔ)設(shè)施的訪問管理。剩余風(fēng)險：云服務(wù)提供商除了SDP之外，還必須使用各種安全系統(tǒng)和流程。2.0要信息系統(tǒng)等級保護是國家信息安全管理的基本制度。1994年國務(wù)院發(fā)布了中華人民共和國國務(wù)院令（147號）《中華人民共和2003年中辦國辦聯(lián)合發(fā)布的中辦發(fā)[2003]27號文件—關(guān)于轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》的通知；2004年公安部、保密局、國密辦以及國信辦聯(lián)合發(fā)布的公通字[2004]66號文件—《關(guān)于信息安全等級保護工作的實施意見》；2005年后公安部陸續(xù)發(fā)布了《信息系統(tǒng)安全等級保護實施指南》、《信息息系統(tǒng)安全等級保護測評指南》。2007年公安部、保密局、國密辦和國信辦聯(lián)合發(fā)布的公通字[2007]43號文件—《信息安全等級保護管理辦法》。2008級信息系統(tǒng)的安全保護基本要求。201611，201761201844個方面，1920195132.0121級部門的監(jiān)管要求和政策法規(guī)的合規(guī)需求。等保2.0一共分為五級，逐級安全要求增強，具體每一級內(nèi)容如下：信息系統(tǒng)的安全保護等級內(nèi)容第一級：自主保護級法人和其他組織的合法權(quán)益產(chǎn)生損害，但不損害國家安全、社會秩序和公共利益。第二級：指導(dǎo)保護級適用于一般的信息系統(tǒng)，其受到破壞后，會對社會第三級：監(jiān)督保護級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成損害。第四級：強制保護級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成嚴(yán)重損害。第五級：?？乇Ｗo級適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)的核心系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成特別嚴(yán)重損害。60的單位不了解等級保護建設(shè)工作如何開展，70位缺乏相關(guān)的知識和應(yīng)對方案。SDP2.0安全通用要求概述2.0準(zhǔn)體系較1.0時代最大的變化，就是充分體現(xiàn)了“一個中心三重防御”的思想。一2.01.0動態(tài)的防御效果，強調(diào)事前預(yù)防、事中響應(yīng)、事后審計。軟件定義邊界（SDP）其本質(zhì)是一套訪問控制的策略體系，核心思想是構(gòu)建SDP2.0全網(wǎng)絡(luò)通信”的要求。事實上，SDP與等級保護2.0的總體思路是不謀而合的，二級安全通用要求（）在國家等級保護2.0的二級要求中，明確了二級要求的保護能力即“能夠防安全漏洞和輸出安全事件，在自身遭到損害后，能夠在一段時間內(nèi)恢復(fù)部分功能。”管理制度，安全管理機構(gòu)，安全管理人員和安全運維管理。通過對SDP的應(yīng)用打開了起點。要求項要求子項SDP適用情況7.1.1安全物理環(huán)境要求項要求子項SDP適用情況7.1.1安全物理環(huán)境--0不適用7.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗證不適用7.1.3安全區(qū)域邊界邊界防護適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計適用見可信驗證不適用7.1.4安全計算環(huán)境身份鑒別適用見訪問控制適用見安全審計適用見入侵防范適用見0惡意代碼防范不適用可信驗證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)備份恢復(fù)不適用剩余信息保護不適用0個人信息保護不適用7.1.5安全管理中心系統(tǒng)管理不適用審計管理不適用7.1.6安全管理制度--不適用7.1.7安全管理機構(gòu)--不適用7.1.8安全管理人員--不適用7.1.9安全建設(shè)管理--0不適用7.1.10安全運維管理--4不適用配地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。SDP針對第a、b條要求：SDP提供應(yīng)用層的邊界防護，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDP對于不同的網(wǎng)絡(luò)分區(qū)支持發(fā)布特有的應(yīng)用，由于SDP是通過SDP控制器來控制對應(yīng)的連接訪問，可以通過SDP的控制器來管理和控制對應(yīng)的區(qū)域，同時對應(yīng)的連接通過SDP客戶端和SDP網(wǎng)關(guān)進行交互，大大提高了訪問的可靠性和安全性。SDP探測到服務(wù)器地址和端口。SDP應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性。SDP針對第a條要求：“應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性。應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信；SDPa跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。a）應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外控接口拒絕所有通信。b)應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。/拒絕數(shù)據(jù)包進出。應(yīng)根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)或提供明確的允許/拒絕訪問的能力。SDPSDP制。a也需要根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達業(yè)務(wù)系統(tǒng)，拒絕非法訪問。對于其他的情況需要視情況而定對應(yīng)的適用策略。a）應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點監(jiān)視網(wǎng)絡(luò)攻擊行為SDPaSDP重程度，以幫助有效監(jiān)控網(wǎng)絡(luò)攻擊行為。對應(yīng)的場景如果有變化，相應(yīng)的策略需要調(diào)整。要的用戶行為和重要安全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。SDPSDP的審計內(nèi)容覆蓋到每個終端用戶，對于行為和重要事件進行記錄。包括除、修改和覆蓋等。ab審計日志詳細記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。SDP針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強制要求。針對第b條要求：SDP對登錄認(rèn)證有防爆破保護，以及連接超時自動注銷保護。針對第c條要求：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽，并且能防止中間人攻擊。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離。SDPSDP屬于訪問控制類別產(chǎn)品，具備賬號管理功能，能夠分配賬戶訪問與配置權(quán)限。即便合法的用戶，也需要根據(jù)自己的角色確定賬戶和訪問權(quán)限。針對第a、b條要求：SDP對所有的用戶的訪問連接都會進行授權(quán)校驗。針對第c、d條要求：SDP控制器對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。對“全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。SDPab審計日志詳細記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進行管理的管理終端進行限制。應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。SDP針對第a、b條要求：SDP本身的特性就默認(rèn)關(guān)閉所有端口，拒絕一切連接，在發(fā)生嚴(yán)重入侵事件時提供預(yù)警。針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進行身份和設(shè)備的驗證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補漏洞。對“和重要個人信息等。SDP針對第a條要求：SDP通過密碼技術(shù)（mTLS雙向TLS加密）對網(wǎng)絡(luò)傳輸進行數(shù)據(jù)加密，保障數(shù)據(jù)的完整性。三級安全通用要求（）55要求項要求子項要求項要求子項SDP適用情況8.1.1安全物理環(huán)境--0不適用8.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗證不適用8.1.3安全區(qū)域邊界邊界防護適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計適用見可信驗證不適用8.1.4安全計算環(huán)境身份鑒別適用見訪問控制適用見安全審計適用見入侵防范適用見0惡意代碼防范不適用可信驗證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)保密性適用見數(shù)據(jù)備份恢復(fù)不適用0剩余信息保護不適用0個人信息保護不適用8.1.5安全管理中心系統(tǒng)管理不適用審計管理不適用安全管理不適用集中管控適用見38.1.6安全管理制度--不適用8.1.7安全管理機構(gòu)--不適用8.1.8安全管理人員--不適用8.1.9安全建設(shè)管理--0不適用8.1.10安全運維管理--4不適用應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要。地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段?？捎眯?。SDP針對第c、d條要求：SDP提供應(yīng)用層的邊界防護，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDPSDPSDPSDPSDP客戶端和SDP和安全性。SDP探測到服務(wù)器地址和端口。SDP應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性。應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。SDP針對第a、b條要求：SDP組件之間的傳輸過程使用mTLS進行加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性，同時也能防止被監(jiān)聽、竊取。mTLS（RSAAESSHA256SM2、SM3、SM應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信。應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查或限制。應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查或限制。應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。SDP針對第a條要求：SDP作為軟件定義的邊界安全隔離產(chǎn)品，可以有效地提供跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。bcSDPSDP網(wǎng)關(guān)SDPd間，只有通過SDP網(wǎng)關(guān)才能訪問到企業(yè)的資源，對于非授權(quán)用戶企業(yè)資源完全不可見，可以有效地防止非授權(quán)設(shè)備進入企業(yè)內(nèi)部網(wǎng)絡(luò)訪問資源。下除允許通信外受控接口拒絕所有通信。應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出。應(yīng)能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/e）應(yīng)對進出網(wǎng)絡(luò)的數(shù)據(jù)流實現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。SDPa根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達業(yè)務(wù)系統(tǒng)，拒絕非法訪問。e應(yīng)用內(nèi)容，包括https、RDP協(xié)議等檢測，以對不同應(yīng)用協(xié)議的訪問進行不同的安全檢查。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。擊行為的分析。IP在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。SDPabc有的資源訪問日志，日志上傳到SDP控制器，控制器對訪問行為進行分析，發(fā)現(xiàn)并自動阻斷網(wǎng)絡(luò)攻擊行為。針對第d條要求：SDP網(wǎng)關(guān)實時記錄所有訪問日志，日志內(nèi)容包括源IP和端口、目標(biāo)IP和端口，訪問設(shè)備、訪問時間等信息，同時對這些日志進行大數(shù)據(jù)智能分析并發(fā)出預(yù)警。要的用戶行為和重要安全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。SDP的適用策略SDP的適用策略PAGEPAGE34SDP除、修改和覆蓋等。ab審計日志詳細記錄日期時間、用戶、事件詳情信息。c份。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。SDP的適用策略SDP的適用策略PAGEPAGE35針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強制要求。針對第b條要求：SDP對登錄認(rèn)證有防爆破保護，以及連接超時自動注銷保護。針對第c條要求：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽。dUKey、生物特征等。這些鑒別技術(shù)可以采用密碼技術(shù)來實現(xiàn)。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離。則。應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。SDP的適用策略SDP的適用策略PAGEPAGE36SDP權(quán)限。即便合法的用戶，也需要根據(jù)自己的角色確定賬戶和訪問權(quán)限。針對第a，b條要求：SDP對所有的用戶訪問都會進行授權(quán)校驗。針對第c、d條要求：SDP對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。e用戶（業(yè)務(wù)系統(tǒng)的訪問控制。fSDPURL對“全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。應(yīng)對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。SDP的適用策略SDP的適用策略PAGEPAGE37ab審計日志詳細記錄日期時間、用戶、事件詳情信息。針對第c條要求：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。針對第d條要求：SDP審計模塊通過監(jiān)控程序相互保護，在發(fā)生異常中斷時會通過監(jiān)控程序拉起。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進行管理的管理終端進行限制。應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。報警。SDP的適用策略SDP的適用策略PAGEPAGE38ab針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進行身份和設(shè)備的驗證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補漏洞。針對第f條要求：SDP會實時分析用戶行為，發(fā)現(xiàn)異常入侵行為，并阻斷和告警。對“和重要個人信息等。應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括PAGEPAGE42據(jù)和重要個人信息等。SDP針對第a、b條要求：SDP通過密碼技術(shù)對網(wǎng)絡(luò)傳輸進行數(shù)據(jù)加密（mTLS，即雙向TLS），有效保障數(shù)據(jù)的完整性和保密性。對“數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；SDPaTLS），有效保障數(shù)據(jù)的完整性和保密性。對“控；應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管理；應(yīng)對分散在各個設(shè)備上的審計數(shù)據(jù)進行收集匯總和集中分析，并保證審計記錄的留存時間符合法律法規(guī)要求；應(yīng)對安全策略、惡意代碼、補丁升級等安全相關(guān)事項進行集中管理；應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進行識別、報警和分析；SDP針對第a條要求：SDP控制器對所有接入的SDP網(wǎng)關(guān)和SDP客戶端進行集中管控，SDP網(wǎng)關(guān)作為邊界隔離設(shè)備，可以有效對網(wǎng)絡(luò)資源進行分區(qū)域管理。針對第b條要求：SDP控制器和所有SDP網(wǎng)關(guān)和SDP客戶端之間的通訊都基于雙向TLS（mTLS），保障信息傳輸?shù)陌踩?。針對第c條要求：SDP控制器實時監(jiān)控所有接入的客戶端、網(wǎng)關(guān)以及自身的服務(wù)器狀態(tài)，并且可以在后臺提供集中檢測的用戶界面。針對第d條要求：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。f并告警。四級安全通用要求（）說明，等級保護四級要求：“適用于涉及國家安全、社會秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序和公共利益造成損害?！币箜椧笞禹桽DP適用情況9.1.1安全物理環(huán)境--0要求項要求子項SDP適用情況9.1.1安全物理環(huán)境--0不適用9.1.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用見通信傳輸適用見可信驗證不適用9.1.3安全區(qū)域邊界邊界防護適用見訪問控制適用見入侵防范適用見惡意代碼防范不適用安全審計適用見可信驗證不適用9.1.4安全計算環(huán)境身份鑒別適用見訪問控制適用見安全審計適用見入侵防范適用見0惡意代碼防范不適用可信驗證不適用數(shù)據(jù)完整性適用見數(shù)據(jù)保密性適用見數(shù)據(jù)備份恢復(fù)不適用0剩余信息保護不適用0個人信息保護不適用9.1.5安全管理中心系統(tǒng)管理不適用審計管理不適用安全管理不適用集中管控適用見39.1.6安全管理制度--不適用9.1.7安全管理機構(gòu)--不適用9.1.8安全管理人員--不適用9.1.9安全建設(shè)管理--0不適用9.1.10安全運維管理--4不適用應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要。地址。應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段?？捎眯浴?yīng)按照業(yè)務(wù)服務(wù)的重要程度分配帶寬，優(yōu)先保障重要業(yè)務(wù)。SDP的適用策略針對第a、e條要求：屬于硬件和網(wǎng)絡(luò)運營商能力范疇，SDP不適用。針對第c、d條要求：SDP提供應(yīng)用層的邊界防護，應(yīng)用網(wǎng)關(guān)起到技術(shù)隔離作用。SDPSDPSDPSDPSDPSDP探測到服務(wù)器地址和端口。SDPfSDP應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性。應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。應(yīng)在通信前基于密碼技術(shù)對通信的雙方進行驗證或認(rèn)證。應(yīng)基于硬件密碼模塊對重要通信過程進行密碼運算和密鑰管理。SDP針對第a條要求：“應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被篡改，保障數(shù)據(jù)的完整性。針對第b條要求：“應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性”，傳輸過程使用雙向TLS（mTLS）加密傳輸，防止被監(jiān)聽、竊取。mTLS基于常見的密碼學(xué)算法（如數(shù)字簽名、散列、對稱加密）。國際上使用RSA、AES、SHA256等通用算法來實現(xiàn)，而國內(nèi)可以使用SM2、SM3、SM4等國密算法來實現(xiàn)。針對第c條要求：“應(yīng)在通信前基于密碼技術(shù)對通信的雙方進行驗證或認(rèn)證”，SDP的傳輸過程使用雙向mTLS進行加密傳輸，采用基于密碼技術(shù)的數(shù)字證書及TLS字證書的合法性。針對第d條要求：“應(yīng)基于硬件密碼模塊對重要通信過程進行密碼運算和密SDP塊提供。SDPSDPUkey使用加密卡內(nèi)置加密算法，且使用加密卡進行密鑰管理。應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信。應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查或限制。應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查或限制。應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。應(yīng)能夠在發(fā)現(xiàn)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為或內(nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為時，對其進行有效阻斷。的設(shè)備真實可信。SDPa跨越邊界的安全訪問以及跨越邊界數(shù)據(jù)流的受控接口。由于獨特的SDP三組件個內(nèi)部網(wǎng)絡(luò)。bcSDPSDP網(wǎng)關(guān)SDPd間，只有通過SDP網(wǎng)關(guān)才能訪問到企業(yè)的資源，對于非授權(quán)用戶企業(yè)資源完全不可見，可以有效地防止非授權(quán)設(shè)備進入企業(yè)內(nèi)部網(wǎng)絡(luò)訪問資源。針對f條要求：SDP控制器對所有接入的設(shè)備進行終端環(huán)境檢查、用戶行為檢查、身份認(rèn)證，保證接入到網(wǎng)絡(luò)的設(shè)備是身份可信、終端可信、行為可信。下除允許通信外受控接口拒絕所有通信。應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出。應(yīng)能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。應(yīng)在網(wǎng)絡(luò)邊界通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進行數(shù)據(jù)交換。SDPa根據(jù)自己的權(quán)重分配賬戶和訪問權(quán)限。bSDPcSDP絕不符合條件的數(shù)據(jù)包。d攜帶合法會話狀態(tài)信息的流量到達業(yè)務(wù)系統(tǒng)，拒絕非法訪問。eSDP訪問策略對通信協(xié)議進行轉(zhuǎn)換或隔離。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為。應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。擊行為的分析。IP在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。SDPabc有的資源訪問日志，日志上傳到SDP控制器，控制器對訪問行為進行分析，發(fā)現(xiàn)并自動阻斷網(wǎng)絡(luò)攻擊行為。針對第d條要求：SDP網(wǎng)關(guān)實時記錄所有訪問日志，日志內(nèi)容包括源IP和端口、目標(biāo)IP和端口，訪問設(shè)備、訪問時間等信息，同時對這些日志進行大數(shù)據(jù)智能分析并發(fā)出預(yù)警。要的用戶行為和重要安全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。應(yīng)能對遠程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨進行行為審計和數(shù)據(jù)分析。SDPab審計日志詳細記錄日期時間、用戶、事件詳情信息。c份。d據(jù)分析。息具有復(fù)雜度要求并定期更換。應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施。聽。應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。SDP針對第a條要求：SDP支持多因素認(rèn)證，保證身份不易被冒用，并對密碼復(fù)雜度有強制要求。針對第b條：SDP對登錄認(rèn)證有防爆破保護，以及連接超時自動注銷保護。針對第c條：SDP對所有數(shù)據(jù)都使用雙向TLS（mTLS）加密傳輸，防止數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽。d等。應(yīng)對登錄的用戶分配賬戶和權(quán)限。應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離。則。應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。g）應(yīng)對主體、客體設(shè)置安全標(biāo)記，并依據(jù)安全標(biāo)記和強制訪問控制規(guī)則確定主體對客體的訪問。SDP針對第a，b條要求：SDP屬于訪問控制類別產(chǎn)品，對所有的用戶訪問都會進行授權(quán)校驗。針對第c,d條：SDP對賬號會設(shè)置過期時間，對于長時間不登錄的賬號會禁止登錄。e（用戶（業(yè)務(wù)系統(tǒng)訪問控制。fSDPurlgSDP的安全標(biāo)記，并按照主體和客體的訪問關(guān)系設(shè)置訪問控制規(guī)則。對“全事件進行審計。審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。等。應(yīng)對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。SDPab審計日志詳細記錄日期時間、用戶、事件詳情信息。針對第c條：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。針對第d條要求：SDP審計模塊通過監(jiān)控程序相互保護，在發(fā)生異常中斷時會通過監(jiān)控程序拉起。對“應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進行管理的管理終端進行限制。應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。報警。SDPab針對第c條要求：SDP客戶端在連接網(wǎng)關(guān)之前需要先去控制器進行身份和設(shè)備的驗證，控制器可以對終端的接入方式或網(wǎng)絡(luò)地址范圍進行有效控制。dDPDP(mTLS)的數(shù)據(jù)傳輸，以保證數(shù)據(jù)的正確性和有效性。針對第e條要求：SDP三組件（客戶端、網(wǎng)關(guān)、控制器）支持自動更新和升級，保證可以及時修補漏洞。針對第f條要求：SDP網(wǎng)關(guān)部署在重要節(jié)點上，會實時分析用戶行為，發(fā)現(xiàn)異常入侵行為，并阻斷和告警。對“和重要個人信息等。應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括據(jù)和重要個人信息等。數(shù)據(jù)接收證據(jù)，實現(xiàn)數(shù)據(jù)原發(fā)行為的抗抵賴和數(shù)據(jù)接收行為的抗抵賴。SDP針對第a條要求：SDP通過雙向TLS（mTLS）進行數(shù)據(jù)加密傳輸，mTLS基于密碼技術(shù)，可以有效保障數(shù)據(jù)的完整性。cSDP訪問過程的主體的基于密碼學(xué)的數(shù)字簽名機制，以滿足可追溯的抗抵賴特性。對“數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。SDP針對第a條要求：SDP通過雙向TLS（mTLS）進行數(shù)據(jù)加密傳輸。mTLS基于密碼技術(shù)，可以有效保障數(shù)據(jù)的保密性。對“控。應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管理。應(yīng)對分散在各個設(shè)備上的審計數(shù)據(jù)進行收集匯總和集中分析，并保證審計記錄的留存時間符合法律法規(guī)要求。應(yīng)對安全策略、惡意代碼、補丁升級等安全相關(guān)事項進行集中管理。應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進行識別、報警和分析。SDP針對第a條要求：SDP控制器對所有接入的SDP網(wǎng)關(guān)和SDP客戶端進行集中管控，SDP網(wǎng)關(guān)作為邊界隔離設(shè)備，可以有效對網(wǎng)絡(luò)資源進行分區(qū)域管理。針對第b條要求：SDP控制器和所有SDP網(wǎng)關(guān)和SDP客戶端之間的通訊都基于雙向TLS（mTLS），保障信息傳輸?shù)陌踩?。針對第c條要求：SDP控制器實時監(jiān)控所有接入的客戶端、網(wǎng)關(guān)以及自身的服務(wù)器狀態(tài)，并且可以在后臺提供集中檢測的用戶界面。針對第d條要求：SDP控制器上支持設(shè)置審計日志的保存時間，并且定期備份。f并告警。SDP四級SDP行的網(wǎng)絡(luò)產(chǎn)品應(yīng)通過專業(yè)機構(gòu)的測評或認(rèn)證。SDP構(gòu)建四級系統(tǒng)時，需要重點關(guān)注密碼技術(shù)對SDP安全能力的提升，并充分考慮會公共利益或重要領(lǐng)域的核心業(yè)務(wù)，也會與關(guān)鍵基礎(chǔ)設(shè)施的范圍存在較大的重2020測關(guān)系表述，但隨著法律實施效果的顯現(xiàn)，可以預(yù)見SDP在高安全等級網(wǎng)絡(luò)中的所采用的密碼算法，密鑰管理和密碼產(chǎn)品或模塊應(yīng)用的合規(guī)性。此外，等級保護2.0風(fēng)險。需要特殊注意的是，在密碼國家標(biāo)準(zhǔn)《GM/T0054-2018信息系統(tǒng)密碼應(yīng)用基本要求》第7.2.5節(jié)中，等保四級系統(tǒng)相較三級系統(tǒng)的增加要求如下：在SDP中常見的密碼模塊或密碼產(chǎn)品包括但不限于：TPM芯片、密碼卡、VPN滿足三級以上的產(chǎn)品資質(zhì)要求。SDP2.0概述2.0算還有單獨的擴展要求。定的網(wǎng)絡(luò)地址，需要能夠動態(tài)的賦予用戶訪問權(quán)限。2.0SDP為中心的，而沒有基于預(yù)設(shè)的發(fā)起方（IH）和接受方（AH）的地址，因而能夠離和訪問控制手段。CSA提出采用以身份體系代替物理位置、網(wǎng)絡(luò)區(qū)域的SDP零信任架構(gòu)逐漸獲得業(yè)界認(rèn)可。雖然SDP的具體實現(xiàn)方式不在本文的討論范圍之內(nèi)，但是SDP控制器（Controller）SDP（Gateway）的形態(tài)確實對其部署位置有較大的影響，SDPSDPSDPSDP內(nèi)嵌式部署：SDPAgent系統(tǒng)中，并占用部分用戶計算資源。虛擬網(wǎng)元部署：SDP虛擬化部署在每臺宿主機上（控制）或者每個租戶私有網(wǎng)絡(luò)內(nèi)（問控制），取決于用戶所需的訪問策略需求。物理網(wǎng)元部署：SDP的隔離和訪問控制粒度較粗，能夠?qū)崿F(xiàn)云內(nèi)云外互訪的訪問策略需求。SDPGateway。接下來的章節(jié)將分別介紹SDP在等級保護2.0中對第二、三、四級云計算安全擴展要求的適用情況和具體適用策略。云計算安全擴展二級要求等級保護2.0第二級要求中，SDP能夠幫助用戶滿足或部分滿足的條目如下表所示。要求項要求子項SDP適用情況7.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用7.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用，見3.07.2.3安全區(qū)域邊界訪問控制適用，見3.0入侵防范適用，見3.0安全審計適用，見3.07.2.4安全計算環(huán)境訪問控制適用，見3.0鏡像和快照保護不適用數(shù)據(jù)完整性和保密性不適用數(shù)據(jù)備份恢復(fù)不適用剩余信息保護不適用7.2.5安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用7.2.6安全運維管理云計算環(huán)境管理不適用應(yīng)保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應(yīng)用系。應(yīng)實現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機制的能力。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)SDP對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強制的單包授權(quán)（SPA）機制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強加密隧道，保證通信傳輸安全，實現(xiàn)c)中通信傳輸保護；通過控制器下發(fā)安全策略，可以細粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）留下的痕跡，攻擊者入侵時被SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP/服務(wù)器。SDP制，用戶和客戶需要使用的云服務(wù)只有在向SDP控制器和網(wǎng)關(guān)環(huán)境中注冊后才能訪問，且用戶只能通過確定的客戶端才能訪問有適當(dāng)訪問權(quán)限的服務(wù)。時間、攻擊流量等。應(yīng)能檢測到對虛擬網(wǎng)絡(luò)節(jié)點的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。應(yīng)能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機與宿主機、虛擬滿足本項中的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。應(yīng)對云服務(wù)商和云服務(wù)客戶在遠程管理時執(zhí)行的特權(quán)命令進行審計,至少包括虛擬機刪除、虛擬機重啟；應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計算客戶需要經(jīng)過SDP網(wǎng)關(guān)實現(xiàn)云資源遠程管理以及數(shù)據(jù)的SDPa)項要求。應(yīng)保證當(dāng)虛擬機遷移時，訪問控制策略隨其遷移。應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機之間的訪問控制策略。云計算安全擴展三級要求要求項要求子項要求項要求子項SDP適用情況8.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用8.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)部分適用，見3.08.2.3安全區(qū)域邊界訪問控制適用，見3.0入侵防范適用，見3.0安全審計適用，見3.08.2.4安全計算環(huán)境身份鑒別適用，見3.0訪問控制適用，見3.0入侵防范適用，見3.0鏡像和快照保護不適用數(shù)據(jù)完整性和保密性不適用數(shù)據(jù)備份恢復(fù)不適用剩余信息保護不適用8.2.5安全管理中心集中管控部分適用，見3.08.2.6安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用8.2.7安全運維管理云計算環(huán)境管理不適用應(yīng)保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應(yīng)用系統(tǒng)。應(yīng)實現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機制的能力。應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求自主設(shè)置安全策略的能力，包括定義訪問路徑、選擇安全組件、配置安全策略。品或在云計算平臺選擇第三方安全服務(wù)。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)SDP對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強制的單包授權(quán)（SPA）機制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強加密隧道，保證通信傳輸安全，實現(xiàn)c)中通信傳輸保護；通過控制器下發(fā)安全策略，可以細粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。SDP管理能力。它能夠支持云服務(wù)客戶根據(jù)業(yè)務(wù)需求自主設(shè)置安全策略和訪問方式，包括定義訪問路徑、選擇安全組件、配置安全策略。同時，SDP控制器，可以跟云平臺配合，將SDP網(wǎng)關(guān)與業(yè)務(wù)實現(xiàn)自動網(wǎng)絡(luò)編排。a）和e）項要求屬于管理實踐的范疇，不在SDP支持的范圍之內(nèi)，還需要結(jié)合其他措施實現(xiàn)本項的要求。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP/服務(wù)器。SDP制，用戶和客戶需要使用的云服務(wù)只有在向SDP控制器和網(wǎng)關(guān)環(huán)境中注冊后才能訪問，且用戶只能通過確定的客戶端才能訪問有適當(dāng)訪問權(quán)限的服務(wù)。應(yīng)能檢測到云服務(wù)客戶發(fā)起的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。時間、攻擊流量等。應(yīng)能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量。應(yīng)在檢測到網(wǎng)絡(luò)攻擊行為、異常流量情況時進行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機與宿主機、虛擬滿足本項中的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。a）應(yīng)對云服務(wù)商和云服務(wù)客戶在遠程管理時執(zhí)行的特權(quán)命令進行審計,至少包括虛擬機刪除、虛擬機重啟。應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計算客戶需要經(jīng)過SDP網(wǎng)關(guān)實現(xiàn)云資源遠程管理以及數(shù)據(jù)的SDP和b）項要求。份驗證機制。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP控制器進行身份認(rèn)證，TLS（mTLS）通信方式，mTLS云計算平臺可集成SDP控制器，并提供網(wǎng)關(guān)。應(yīng)保證當(dāng)虛擬機遷移時，訪問控制策略隨其遷移。應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機之間的訪問控制策略。應(yīng)能檢測虛擬機之間的資源隔離失效，并進行告警。應(yīng)能檢測非授權(quán)新建虛擬機或者重新啟用虛擬機，并進行告警。應(yīng)能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶檢測虛擬機與宿主機、虛擬機與虛擬機之間不符合訪問策略的異常訪問行為，滿足本項中a)、b)的要求，滿足本項中c)的要求。SDPSDP控制器SPA這在很大程度上，可以阻止惡意代碼在虛機間的蔓延。SDP源隔離失效非授權(quán)新建虛擬機或者重新啟用虛擬機行記錄和告警。應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配。應(yīng)保證云計算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離。據(jù)并實現(xiàn)各自的集中審計。擬化網(wǎng)絡(luò)、虛擬機、虛擬化安全設(shè)備等的運行狀況的集中監(jiān)測。SDPSDPSDP可作為集中管控的一部分，部分滿足本項中的相關(guān)要求。云計算平臺管理與云服務(wù)業(yè)務(wù)是兩種不同的業(yè)務(wù)，由不同的業(yè)務(wù)服務(wù)/服務(wù)同的目標(biāo)服務(wù)//設(shè)備才能發(fā)現(xiàn)對應(yīng)的隱藏服務(wù)//器只會接受對應(yīng)的用戶從確定的客戶端設(shè)備發(fā)起的連接。云計算安全擴展四級要求等級保護2.0第四級要求中，SDP能夠幫助用戶滿足或部分滿足的條目如下表所示。要求項要求子項SDP適用情況9.2.1安全物理環(huán)境基礎(chǔ)設(shè)施位置不適用9.2.2安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)適用，見09.2.3安全區(qū)域邊界訪問控制適用，見0入侵防范適用，見0安全審計部分適用，見09.2.4安全計算環(huán)境身份鑒別適用，見0訪問控制適用，見0入侵防范適用，見0鏡像和快照保護不適用數(shù)據(jù)完整性和保密不適用性數(shù)據(jù)備份恢復(fù)不適用剩余信息保護不適用9.2.5安全管理中心集中管控適用，見09.2.6安全建設(shè)管理云服務(wù)商選擇不適用供應(yīng)鏈管理不適用9.2.7安全運維管理云計算環(huán)境管理不適用應(yīng)保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應(yīng)用系統(tǒng)。應(yīng)實現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離。安全機制的能力。問路徑、選擇安全組件、配置安全策略。品或在云計算平臺選擇第三方安全服務(wù)?？梢砸罁?jù)安全標(biāo)記和強制訪間控制規(guī)則確定主體對客體的訪問。應(yīng)提供通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等的數(shù)據(jù)交換方式，保證云服務(wù)客戶可以根據(jù)業(yè)務(wù)需求自主選擇邊界數(shù)據(jù)交換方式。應(yīng)為第四級業(yè)務(wù)應(yīng)用系統(tǒng)劃分獨立的資源池。SDP可通過內(nèi)嵌式或虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：（于每個租戶私有網(wǎng)絡(luò)內(nèi)b)、f)兩項的隔離和訪問控制要求。SDP控制器和網(wǎng)關(guān)保證用戶設(shè)備的SDP客戶端只能連接到有訪問權(quán)限的對應(yīng)云服務(wù)，不同客戶的用戶及其對應(yīng)的云服務(wù)對其他云服務(wù)客戶隱藏，“拒絕所有”的防火墻和強制的單包授權(quán)（SPA）機制能夠?qū)崿F(xiàn)不同業(yè)務(wù)的充分隔離。SDP架構(gòu)強制要求所有的數(shù)據(jù)通信采用雙向TLS（mTLS）IPsec/IKE保證云服務(wù)客戶的用戶與服務(wù)之間始終通過采用強加密隧道，保證通信傳輸安全，實現(xiàn)c)中通信傳輸保護；通過控制器下發(fā)安全策略，可以細粒度配置用戶的傳輸參數(shù)(如加密套件)。SDPSDP（SPA）SDP丟棄的數(shù)據(jù)包也會提供可以被用于分析的證據(jù)和數(shù)據(jù)，用以改善防御和/或起訴攻擊者。SDP控制器實現(xiàn)安全控制中心功能，能夠幫助滿足d)項的要求。它能夠確管理能力。它能夠支持云服務(wù)客戶根據(jù)業(yè)務(wù)需求自主設(shè)置安全策略和訪問方式，包括定義訪問路徑、選擇安全組件、配置安全策略。同時，SDP控制器，可以跟云平臺配合，將SDP網(wǎng)關(guān)與業(yè)務(wù)實現(xiàn)自動網(wǎng)絡(luò)編排。a）和e）項要求屬于管理實踐的范疇，不在SDP支持的范圍之內(nèi)，還需要結(jié)合其他措施實現(xiàn)本項的要求。應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機制，并設(shè)置訪問控制規(guī)則。應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪間控制機制，設(shè)置訪問控制規(guī)則。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：等級保護2.0中的第四級要求不同等級的網(wǎng)絡(luò)必須物理隔離，因此，采用物理網(wǎng)元部署的SDP網(wǎng)關(guān)即可滿足本項所有要求。時間、攻擊流量等。應(yīng)能檢測到對虛擬網(wǎng)絡(luò)節(jié)點的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。應(yīng)能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量。應(yīng)在檢測到網(wǎng)絡(luò)攻擊行為、異常流量情況時進行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：用戶及其使用的設(shè)備必須在SDP控制器注冊，且在訪問服務(wù)時經(jīng)過嚴(yán)格驗證。通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶迅速檢測虛擬機與宿主機、虛擬c)、d)的要求。件，通過對用戶行為的建模以及異常檢測，發(fā)現(xiàn)攻擊行為并且發(fā)出預(yù)警。包括虛擬機刪除、虛擬機重啟。應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元部署SDP網(wǎng)關(guān)部分滿足：云服務(wù)商和云計算客戶需要經(jīng)過SDP網(wǎng)關(guān)實現(xiàn)云資源遠程管理和數(shù)據(jù)的操SDPa)和項要求。份驗證機制。SDP可通過內(nèi)嵌式、虛擬網(wǎng)元或物理網(wǎng)元部署SDP網(wǎng)關(guān)滿足：SDPSDP控制器進行身份認(rèn)證，TLS（mTLS）通信方式，mTLS云計算平臺可集成SDP控制器，并提供網(wǎng)關(guān)。應(yīng)保證當(dāng)虛擬機遷移時，訪問控制策略隨其遷移；應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機之間的訪問控制策略。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)滿足：若其網(wǎng)絡(luò)地址發(fā)生變化，將重新觸發(fā)到SDP控制器的認(rèn)證，訪問策略也將隨之更新。云服務(wù)客戶可以通過SDP控制器集中配置不同虛擬機之間的訪問控制策略。應(yīng)能檢測虛擬機之間的資源隔離失效，并進行告警。應(yīng)能檢測非授權(quán)新建虛擬機或者重新啟用虛擬機，并進行告警。應(yīng)能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警。SDP可通過內(nèi)嵌式部署SDP網(wǎng)關(guān)部分滿足：通過內(nèi)嵌式部署SDP網(wǎng)關(guān)，可以幫助用戶檢測虛擬機與宿主機、虛擬機與a)bc)的要求。SDPSDP控制器SPA這在很大程度上，可以阻止惡意代碼在虛機間的蔓延。SDP源隔離失效非授權(quán)新建虛擬機或者重新啟用虛擬機行記錄和告警。應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配。應(yīng)保證云計算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離。據(jù)并實現(xiàn)各自的集中審計。擬化網(wǎng)絡(luò)、虛擬機、虛擬化安全設(shè)備等的運行狀況的集中監(jiān)測。SDPSDPSDP可作為集中管控的一部分，部分滿足本項中的相關(guān)要求。云計算平臺管理與云服務(wù)業(yè)務(wù)是兩種不同的業(yè)務(wù)，由不同的業(yè)務(wù)服務(wù)/服務(wù)同的目標(biāo)服務(wù)//設(shè)備才能發(fā)現(xiàn)對應(yīng)的隱藏服務(wù)//器只會接受對應(yīng)的用戶從確定的客戶端設(shè)備發(fā)起的連接。SDP2.0概述端軟件發(fā)送移動設(shè)備管理、移動應(yīng)用管理和移動內(nèi)容管理策略等。移動互聯(lián)應(yīng)用架構(gòu)如下圖所示：圖：移動互聯(lián)應(yīng)用架構(gòu)移動互聯(lián)安全擴展要求是針對移動終端、移動應(yīng)用和無線網(wǎng)絡(luò)提出的特殊安全要求,它們與安全通用要求一起構(gòu)成針對采用移動互聯(lián)技術(shù)的等級保護對象有線網(wǎng)絡(luò)之間的入侵防范,移動終端管控、移動應(yīng)用管控、移動應(yīng)用軟件采購、移動應(yīng)用軟件開發(fā)和配置管理。軟件定義邊界（SDP）基于零信任安全理念，可以很好的保護跨網(wǎng)絡(luò)的安全在固定網(wǎng)絡(luò)和移動網(wǎng)絡(luò)，都能提供可靠的隔離和訪問控制。在移動互聯(lián)網(wǎng)擴展中，可以采用多種SDP部署方式。內(nèi)嵌式部署：SDP服務(wù)端。這種部署方式下用戶能夠定義任意兩臺設(shè)備之間的訪問策略，從而實現(xiàn)終端級別的細粒度隔離和訪問控制。但這種部署方式需要將Agent應(yīng)用側(cè)網(wǎng)關(guān)部署：SDP部署在移動應(yīng)用服務(wù)端前端位置。SDP移動互聯(lián)網(wǎng)側(cè)網(wǎng)關(guān)部署：SDP境中，部署在移動互聯(lián)網(wǎng)網(wǎng)絡(luò)匯聚出口處。SDPSDP用戶可以根據(jù)實際環(huán)境需要，選擇其中的一種方式或組合使用幾種方式部署SDP網(wǎng)關(guān)。SDP對標(biāo)移動互聯(lián)安全擴展要求：要求項要求子項SDP適用情況7.3移動互聯(lián)安全擴展要求（二級）7.3.1安全物理環(huán)境無線接入點的物理位置不適用7.3.2安全區(qū)域邊界邊界防護適用訪問控制適用入侵防范部分適用要求項要求子項SDP適用情況7.3移動互聯(lián)安全擴展要求（二級）7.3.1安全物理環(huán)境無線接入點的物理位置不適用7.3.2安全區(qū)域邊界邊界防護適用訪問控制適用入侵防范部分適用7.3.3安全計算環(huán)境移動應(yīng)用管控不適用7.3.4安全建設(shè)管理移動應(yīng)用軟件采購不適用移動應(yīng)用軟件開發(fā)不適用8.3移動互聯(lián)安全擴展要求（三級）8.3.1安全物理環(huán)境無線接入點的物理位置不涉及8.3.2安全區(qū)域邊界邊界防護適用訪問控制適用入侵防范接入設(shè)備的廣播、WPS等高風(fēng)險功能”檢測和禁止未覆蓋8.3.3安全計算環(huán)境移動終端管控（遠程擦除等涵蓋；移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運行”未覆蓋8.3.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，組件驗證要求嚴(yán)格，符合采購要求可通過驗證。移動應(yīng)用軟件開發(fā)部分適用，組件驗證要求嚴(yán)格，符合開發(fā)要求可通過驗證。8.3.5安全運維管理配置管理適用移動互聯(lián)安全擴展二級要求2.0SDP詳細闡述。要求項要求子項SDP適用情況7.3.1安全物理環(huán)境位置無線接入點的物理不適用7.3.2安全區(qū)域邊界邊界防護適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，見.3安全計算環(huán)境移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運行”未覆蓋，見.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，SDP組件驗證要求嚴(yán)格，符合采購要求可通過驗證，見.4.2移動應(yīng)用軟件開發(fā)部分適用，見.2.1設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)訪問和數(shù)據(jù)流通過無線接入網(wǎng)關(guān)設(shè)備的要求。無線終端作為SDP客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。無線接入設(shè)備應(yīng)開啟接入認(rèn)證功能，并且禁止使用WEP8SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDP2.0求，SDPWEP應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。應(yīng)能夠檢測到針對無線接入設(shè)備的網(wǎng)絡(luò)掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險功能的開啟狀態(tài)。應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險的功能，如：SSIDWEPAPSDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）bSDPDDoS擊和欺騙攻擊等行為。要求：SDPd）e)要求：SDP軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。應(yīng)具有選擇應(yīng)用軟件安裝、運行的功能。應(yīng)只允許可靠證書簽名的應(yīng)用軟件安裝和運行。SDPSDP本身不能提供相對應(yīng)功能，可通過SDP插件或與MAM（移動應(yīng)用管控）或MDM（移動設(shè)備管理）相關(guān)軟件聯(lián)動實現(xiàn)本項的要求。書簽名。應(yīng)保證移動終端安裝、運行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDPSDP進行資格審查，應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。移動互聯(lián)安全擴展三級要求2.0SDP詳細闡述。要求項要求子項SDP適用情況8.3.1安全物理環(huán)境無線接入點的物理位置不適用8.3.2安全區(qū)域邊界邊界防護適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，“無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險功能”檢測和禁止未覆蓋，見4.3.3。8.3.3安全計算環(huán)境移動終端管控部分適用，“移動終端遠程管控（未涵蓋。移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運行”未覆蓋，見.4安全建設(shè)管理移動應(yīng)用軟件采購部分適用，SDP組件驗證要求嚴(yán)格，符合采購要求可通過驗證，見4.3.5。移動應(yīng)用軟件開發(fā)部分適用，SDP組件驗證要求嚴(yán)格，符合開發(fā)要求可通過驗證。見4.3.6。8.3.5安全運維管理配置管理適用，見4.3.7。設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的邊界防護要求。無線終端作為SDP客客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。密碼管理機構(gòu)批準(zhǔn)的密碼模塊進行認(rèn)證。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDPSDP應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。應(yīng)能夠檢測到針對無線接入設(shè)備的網(wǎng)絡(luò)掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSID廣播、WPS等高風(fēng)險功能的開啟狀態(tài)。應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險的功能，如：SSID廣播、WEP認(rèn)證等。AP使用同一個認(rèn)證密鑰。應(yīng)能夠阻斷非授權(quán)無線接入設(shè)備或非授權(quán)移動終端。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）和b)要求：由于SDP采用先認(rèn)證后接入的方式，天然拒絕非授權(quán)連接，而非檢測。c)要求：SDP不適用，依賴無線設(shè)備自身功能。d）和e)要求：SDP不適用，屬于管理范疇。f)要求：SDP支持阻斷非授權(quán)連接。軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。應(yīng)具有選擇應(yīng)用軟件安裝、運行的功能。應(yīng)只允許指定證書簽名的應(yīng)用軟件安裝和運行。應(yīng)具有軟件白名單功能，應(yīng)能根據(jù)白名單控制應(yīng)用軟件安裝、運行。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP插件需要滿足移動應(yīng)用管控要求，如需要合適的證書簽名，加入到白名單中。書簽名。應(yīng)保證移動終端安裝、運行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。移動應(yīng)用軟件開發(fā)”適用策略應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但是SDP要求發(fā)起方進行身份驗發(fā)的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。設(shè)備和非法移動終端的識別。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足，SDP需要先認(rèn)證后連接，因此必須要有終端配置管理和認(rèn)證服務(wù)。移動互聯(lián)安全擴展四級要求2.0SDP詳細闡述。要求項要求子項SDP適用情況9.3.1安全物理環(huán)境無線接入點的物理位置不適用9.3.2安全區(qū)域邊界邊界防護適用，見.2.2訪問控制適用，見.2.3入侵防范部分適用，“無線接入設(shè)備的SSIDWPS4.4.3。9.3.3安全計算環(huán)境移動終端管控部分適用，“移動終端遠程管控（未涵蓋，見4.4.4。移動應(yīng)用管控部分適用，“根據(jù)白名單控制應(yīng)用軟件安裝、運行”未覆蓋，見.4安全建設(shè)管理采購移動應(yīng)用軟件部分適用，SDP組件驗證要求嚴(yán)格，符合采購要求可通過驗證，見4.4.6。開發(fā)移動應(yīng)用軟件部分適用，SDP組件驗證要求嚴(yán)格，符合開發(fā)要求可通過驗證，見4.4.7。9.3.5安全運維管理配置管理適用，見.2.1邊界防護”適用策略a）應(yīng)保證有線網(wǎng)絡(luò)與無線網(wǎng)絡(luò)邊界之間的訪問和數(shù)據(jù)流通過無線接入網(wǎng)關(guān)設(shè)備。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的邊界防護要求。無線終端作為SDP客客戶端，使用SDP網(wǎng)關(guān)作為無線接入網(wǎng)關(guān)。訪問控制”的適用策略a）無線接入設(shè)備應(yīng)開啟接入認(rèn)證功能，并支持采用認(rèn)證服務(wù)器認(rèn)證或國家密碼管理機構(gòu)批準(zhǔn)的密碼模塊進行認(rèn)證。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能滿足a)的訪問控制要求。SDPSDP入侵防范”適用策略應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為。DDoS間人攻擊和欺騙攻擊等行為。應(yīng)能夠檢測到無線接入設(shè)備的SSIDWPS應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風(fēng)險的功能，如：SSIDWEPAP應(yīng)能夠阻斷非授權(quán)無線接入設(shè)備或非授權(quán)移動終端。SDP可通過內(nèi)嵌式或應(yīng)用側(cè)SDP網(wǎng)關(guān)或移動側(cè)SDP網(wǎng)關(guān)都能部分滿足：a）和b)要求：由于SDP采用先認(rèn)證后接入的方式，天然拒絕非授權(quán)連接，而非檢測。c)要求：SDP不適用，依賴無線設(shè)備自身功能。d）和e)要求：SDP不適用，屬于管理范疇。f)要求：SDP支持阻斷非授權(quán)連接。對于符合訪問策略的網(wǎng)絡(luò)攻擊行為，SDP需要結(jié)合用戶行為日志大數(shù)據(jù)分析軟件，發(fā)現(xiàn)異常行為并且發(fā)出預(yù)警。移動終端管控”適用策略應(yīng)保證移動終端安裝、注冊并運行終端管理客戶端軟件。移動終端應(yīng)接受移動終端管理服務(wù)端的設(shè)備生命周期管理、設(shè)備遠程控制，如：遠程鎖定、遠程擦除等。應(yīng)保證移動終端只用于處理指定業(yè)務(wù)。SDPSDP可以與移動設(shè)備管理軟件（MDM）配合，保證移動終端安裝了管理軟件才SDPc）。移動應(yīng)用管控”適用策略應(yīng)具有選擇應(yīng)用軟件安裝、運行的功能。應(yīng)只允許指定證書簽名的應(yīng)用軟件安裝和運行。應(yīng)具有軟件白名單功能，應(yīng)能根據(jù)白名單控制應(yīng)用軟件安裝、運行。該策略對軟件實施管控的能力。SDP的適用策略：SDP的適用策略：PAGEPAGE98SDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP插件需要滿足移動應(yīng)用管控要求，如需要合適的證書簽名，加入到白名單中。移動應(yīng)用軟件采購”適用策略應(yīng)保證移動終端安裝、運行的應(yīng)用軟件來自可靠分發(fā)渠道或使用可靠證書簽名。應(yīng)保證移動終端安裝、運行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。SDPSDP本身不提供應(yīng)用移動應(yīng)用管控能力，但SDP軟件采購時需要滿足移動應(yīng)用軟件采購的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。移動應(yīng)用軟件開發(fā)”適用策略應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進行資格審查。應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。SDP的適用策略：SDP的適用策略：PAGEPAGE99SDP本身不提供應(yīng)用移動應(yīng)用管控能力，但是SDP要求發(fā)起方進行身份驗發(fā)的要求，如需要合適的證書簽名，或者可信的開發(fā)者開發(fā)。配置