零信任SDP等保三级要求

一、8.3.2.1 边界防护

1.1 本项要求包括

a)应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。

1.2 SDP 的适用策略

可通过内嵌式或应用侧 SDP 网关或移动侧 SDP 网关都能满足 a)的边界防护要求。无线终端作为 SDP 客客户端，使用 SDP 网关作为无线接入网关。

二、8.3.2.2 访问控制

2.1 本项要求包括:

a)无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。

2.2 SDP 的适用策略

可通过内嵌式或应用侧 SDP 网关或移动侧 SDP 网关都能满足 a)的访问控制要求。

SDP 客户端中每次连接网关的会话都需要认证后连接，天然支持接入认证。SDP 默认采用多因子认证,认证方式支持认证服务器认证或国家密码管理机构批准的密码模块进行认证。

三、8.3.2.3 入侵防范

3.1 本项要求包括

a)应能够检测到非授权无线接入设备和非授权移动终端的接入行为。

b)应能够检测到针对无线接入设备的网络扫描、DDoS 攻击、密钥破解中间人攻击和欺骗攻击等行为。

c)应能够检测到无线接入设备的 SSID 广播、WPS 等高风险功能的开启状态。

d)应禁用无线接入设备和无线接入网关存在风险的功能，如:SSID 广播WEP 认证等。

e)应禁止多个 AP 使用同一个认证密钥。

f)应能够阻断非授权无线接入设备或非授权移动终端。

3.2 SDP 的适用策略

可通过内嵌式或应用侧 SDP 网关或移动侧 SDP 网关都能部分满足。

a)和 b)要求:由于 SDP 采用先认证后接入的方式，天然拒绝非授权连接而非检测。

c)要求:SDP 不适用，依赖无线设备自身功能。

d)和 e)要求: SDP 不适用，属于管理范畴。

f)要求: SDP 支持阻断非授权连接。

对于符合访问策略的网络攻击行为，SDP 需要结合用户行为日志大数据分析软件，发现异常行为并且发出预警。

四、8.3.3.2 移动应用管控

4.1 本项要求包括

a)应具有选择应用软件安装、运行的功能。

b)应只允许指定证书签名的应用软件安装和运行。

应具有软件白名单功能，应能根据白名单控制应用软件安装、运行。

4.2 SDP 的适用策略

SDP 本身不提供应用移动应用管控能力，但 SDP 插件需要满足移动应用管控要求，如需要合适的证书签名，加入到白名单中。

五、8.3.4.1 移动应用软件采购

5.1 本项要求包括

a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名。

b)应保证移动终端安装、运行的应用软件由指定的开发者开发。

5.2 SDP 的适用策略

SDP 本身不提供应用移动应用管控能力，但 SDP 软件采购时需要满足移动应用软件采购的要求，如需要合适的证书签名，或者可信的开发者开发。

六、8.3.4.2 移动应用软件开发

6.1 本项要求包括

a)应对移动业务应用软件开发者进行资格审查。

b)应保证开发移动业务应用软件的签名证书合法性。

6.2 SDP 的适用策略

SDP 本身不提供应用移动应用管控能力，但是SDP要求发起方进行身份验证，即移动终端的应用软件在管控范围内，软件开发时需要满足移动应用软件开发的要求，如需要合适的证书签名，或者可信的开发者开发。

七、8.3.5.1 配置管理

7.1 本项要求包括

a)应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。

7.2 SDP 的适用策略

可通过内嵌式或应用侧 SDP 网关或移动侧 SDP 网关都能满足，SDP 需要先认证后连接，因此必须要有终端配置管理和认证服务。