技术要点--等保2级
等保技术要求 |
子项 |
主要内容 |
对应产品 |
分区分域,隔离技术 | ngfw | ||
通信传输 |
采用校验技术保证通信过程中数据的完整性 | ngfw(ipsec&ssl vpn) | |
可信验证 | 基于可信根对通信设备的系统引导程序,系统程序,重要配置参数和通信,应用程序等进行可信验证,并将验证结果形成审计记录送至安全管理中心 | 设备自身可信启动机制 | |
安全区域边界 |
边界防护 | 跨越边界的访问和数据流通过边界设备提供的受控接口进行通信 | ngfw |
访问控制 | 基于五元组的会话状态进行访问控制,策略优化 | ngfw | |
入侵防范 | 在关键网络节点处监视网络攻击行为 | ngfw(ips) | |
恶意代码防范 | 恶意代码检测和清除,防护机制支持升级和更新 | ngfw(av) | |
安全审计 | 用户行为审计,安全事件审计 |
日志审计系统 |
|
可信验证 | 边界设备基于可信根对系统进行可信引导 |
设备自身可信启动机制 |
|
安全计算环境 |
身份鉴别 | 身份唯一性,鉴别信息复杂度定期更换,登录失败处理功能,远程管理过程中防鉴别信息被窃听 |
主机安全加固,堡垒机+vpn |
访问控制 | 用户权限管理,管理用户权限最小化 | 主机安全加固 | |
安全审计 | 用户行为审计 | 日志审计系统 | |
入侵防范 | 检测入侵行为,非使用端口关闭,管理终端限制,发现已知漏洞 |
ngfw(ips),漏洞扫描 |
|
恶意代码防范 | 安装防恶意代码软件,防护机制支持升级和更新 |
主机杀毒软件 |
|
可信验证 | 计算设备基于可信根对系统进行可信引导 |
设备自身可信启动机制 |
|
数据完整性 | 数据防篡改 |
ngfw(vpn),waf |
|
数据备份恢复 | 数据本地备份和恢复,批量数据异地实时备份 |
本地备份设备,异地备份方案 |
|
剩余信息保护 | 监别信息存储空间清除 |
应用自身保障 |
|
个人信息保护 | 个人信息最小采集原则,授权使用 |
应用自身保障 |
|
安全管理中心 |
系统管理 | 应对系统管理员进行身份鉴别,应通过系统管理员对系统的资源和运行进行配置,控制和管理 |
网络管理系统,堡垒机 |
审计管理 | 应对安全审计员进行身份监别,应通过安全审计员对审计记录应进行分析并根据分析结果进行处理 |
日志审计系统 |
技术要点--等保3级
等保技术要求 | 子项 |
主要内容 |
对应产品 |
安全通信网络 |
网络架构g | 选型合理,分区隔离,凡余架构,高峰可用 | ngfw, 防ddos |
通信传输g | 采用校验技术/密码技术保证通信过程中数据的完整性和保密性和保密性 | ngfw(ipsec&sslvpn) | |
可信验证s | 基于可信根对通信设备的系统引导,应用关键点动态验证,可报警,可审计 | 设备可信启动机制 | |
安全区域边界 |
边界防护g | 跨边界控制,内联设备,外联行为监测,无线网限制 | ngfw,网络准入控制 |
访问控制g | 五元组过滤,内容过滤,策略优化,基于应用协议和应用内容的访问控制 | ngfw,安全控制器 | |
入侵防范g | 防外部攻击 防内部攻击,防新型未知网络攻击 | ps/ids,探针,沙箱,nta | |
恶意代码防范g | 网络防病毒,垃圾邮件过滤 |
ngfw(av),ngfw(防 垃圾邮件) |
|
安全审计g | 用户行为,安全事件审计,远程用户行为,访问互联网用户行为单独审计和数据分析 |
堡垒机,上网行为管理,综合日志审计系统 |
|
可信验证s | 基于可信根对区域设备的系统引导,应用关键点可动态验证,可报警,可审计 | 设备可信启动机制 | |
安全计算环境 |
身份鉴别s | 身份唯一性,鉴别信息复杂度,口令,密码技术,生物技术等双因子及以上认证且其中一种必须为密码技术 | 堡垒机,认证服务器 |
访问控制s | 用户权限管理,管理用户权限最小化
访问控制的粒度应达到主体为用户级或进程级,客体为文件, 数据库表级 |
访问控制平台,api网关 | |
安全审计g | 用户行为审计,对审计进程保护 |
网行为管理,日志审计系统 |
|
入侵防范g | 检测入侵行为,非使用端口关闭,管理终端限制,发现已知漏洞 | ips,漏洞扫描 | |
恶意代码防范 g | 安装防恶意代码软件或免疫可信验证机制,防护机制支持升级和更新 | ngfw(av),主机防病毒软件 | |
可信验证s | 基于可信根对计算设备的系统引导,应用关键点动态验证,可报警,可审计 | 设备可信启动机制保障 | |
数据完整性s | 数据防篡改;应采用校验技术或密码技术保证重要数据在传输/存储过程中的完整性 | ngfw,vpn,waf,网页防篡改,加密机 | |
数据备份恢复a | 数据本地备份和恢复,提供异地实时备份功能,数据处理系统热冗余 | 多活数据中心 | |
剩余信息保护s | 鉴别信息,敏感信息缓存清除 | 应用自身机制 | |
个人信息保护 s | 个人信息最小采集原则,访问控制 | 应用自身机制 | |
安全管理中心 |
系统管理g | 应对系统管理员进行身份鉴别,应通过系统管理员对系统的资源和运行进行配置,控制和管理 | 网管系统,堡垒机 |
审计管理g | 应对安全审计员进行身份鉴别,应通过安全审计员对审计记录,应进行分析,并根据分析结果进行处理 | 堡垒机,综合日志审计系统、数据库审计 | |
集中管控g | 特定管理分区,统一网管和检测,日志采集和集中分析,安全事件识别告警和分析,策略补丁升级集中管理 | 网管系统,安全控制器,态势感知系统,补丁服务器 | |
安全管理g | 应对安全管理员进行身份鉴别,应通过安全审计员对审计记录应进行分析,并根据分析结果进行处理 | 堡垒机,日志审计系统 |
*红色是等保2.0相对于2级的递增
*蓝色是等保2.0相比1.0点型增加
安全产品/服务全景图
选型产品说明
安全区域边界配置
服务器安全管理
资产探测及漏洞检测配置
转载自公众号运维星火燎原
↑↑↑长按图片识别二维码关註↑↑↑
原文始发于微信公众号(全栈网络空间安全):等保需要的设备
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论