网络安全等级保护-硬件设备/产品对标

安全物理环境主要要求机房所在的物理环境需具备防震、防风、防雨且不处于建筑物的地下室或顶层；

要求机场出入口应当具备电子门禁系统；

机房内各个设备应固定在机柜中并张贴不宜去除的标签且机柜及设备应安全接地；

通信线缆与电缆应隔离铺设且铺设于隐蔽安全处；

机房应设置防盗报警系统或视频监控系统；

机房进电应采取防雷措施；

机房应具备防火措施，例如机房内分区隔离，采用防火/具备耐火等级的材料进行建设，设备火灾自动报警及消防系统；

应具备防水措施，部署防水检测装置等；

应具备防静电措施，例如铺设防静电地板，运维时戴防静电手环等；

部署机房专用精密空调对温湿度进行调节；

部署UPS实现短期电力供应，进电采用双路市电；

对关键设备采用电磁屏蔽机柜等进行部署。

物理访问控制-机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进出的人员；

涉及设备：电子门禁系统

设备要求：可控制、鉴别、记录进出的人员，记录可查询。

防盗窃和防破坏-应设置机房防盗报警系统或设置有专人值守的视频监控系统；

涉及设备：防盗报警系统/视频监控系统

设备要求：防止盗窃或破坏行为

防火-机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；

涉及设备：机房自动消防系统

设备要求：气体灭火体系，实现自动检测火情、自动报警、自动灭火。

温湿度控制-应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内；

涉及设备：机房专用精密空调

设备要求：可对机房温湿度进行控制

电力供应-应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；

涉及设备：UPS等短期电力供应设备

设备要求：可满足机房内重要计算设备（客户单位认定）在断电情况下的短期运行（客户单位规定）要求

电力供应-应设置冗余或并行的电力电缆线路为计算机系统供电

涉及设备：双路市电接入

设备要求：冗余并行供电线路

电磁防护-应对关键设备实施电磁屏蔽

涉及设备：电磁屏蔽装置（电磁屏蔽机柜等）

设备要求：可防止电子通信设备信息泄漏、隔离外界电磁干扰等

安全通信网络层面要求系统所在网络架构应划分不同的网络区域并为各网络区域分配地址；

避免重要网络区域部署再网络边界处，重要区域应与其他区域间采取可靠的技术隔离手段；

采用校验技术确保网络中数据传输的完整性。

网络架构-应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；

涉及设备：可管理的交换机等网络设备

设备要求：可实现VLAN划分

网络架构-应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段

涉及设备：防火墙/网闸等访问控制设备

设备要求：可实现访问控制/边界隔离功能

安全通信网络层面要求系统网络架构中网络设备的业务处理能力、各部分带宽满足业务高峰期需求；根据业务情况划分不同的网络区域并为其配置地址；

重要网络区域同其他网路区域间应部署访问控制或隔离设备，通信线路、关键网络设备、关键计算设备应冗余部署；

采取相应措施保障重要数据在网络传输过程中的完整性及保密性。

网络架构-应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；

涉及设备：可管理的交换机等网络设备

设备要求：可实现VLAN划分

网络架构-应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；

涉及设备：防火墙/网闸等访问控制设备

设备要求：可实现访问控制/边界隔离功能

网络架构-应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性；

涉及设备：-

设备要求：主链路、关键设备冗余

安全区域边界层面要求系统边界处需部署访问控制设备配置访问控制策略（最后一条需默认禁止所有网络通信）且要求访问控制策略最小化、逻辑顺序合理并禁止未受控端口进行跨越边界的网络通信；访问控制设备可对源地址、目的地址、源端口、目的端口和协议等进行检查，并根据会话状态信息为进出数据流提供明确的允许或拒绝访问的能力；可对攻击行为进行检测，对恶意代码进行防护、检测、清除；对网络中的重要用户行为和安全事件进行审计，且审计记录定期备份。

边界防护-应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；

涉及设备：防火墙/网闸等访问控制设备

设备要求：可配置指定端口进行跨越边界的网络通信

访问控制-应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力

涉及设备：防火墙/网闸等访问控制设备

设备要求：可配置访问控制策略规则、可拒绝除受控接口外所有通信；对数据包的源地址、目的地址、源端口、目的端口和协议等进行检查，允许符合策略的数据包进出，拒绝不符合策略要求的数据包；可对会话状态信息进行检测

入侵防范-应在关键网络节点处监视网络攻击行为；

涉及设备：入侵检测类设备

设备要求：对网络中的攻击行为进行检测

恶意代码防范-应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；

涉及设备：防病毒网关或具备恶意代码防范功能的防火墙

设备要求：可对网络中的恶意代码进行检测和清除

安全审计-应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

涉及设备：综合安全审计系统/日志审计设备

设备要求：可对网络边界、重要网络节点的重要用户行为和重要安全事件进行审计。

安全区域边界要求网络边界处的访问和数据流应通过受控接口进行通信；可对非授权内联和外联行为进行检查或限制；可对无线网络进行限制及控制；

访问控制设备需根据实际情况对访问控制规则进行配置并保证访问控制规则的最小化，默认情况下除允许的受控接口外拒绝所有通信；

对内部及外部发起的网络攻击行为进行检测和限制，并记录攻击行为发起的IP、目的IP、详情等，在发现入侵行为时提供报警；

在网络的关键节点处对恶意代码和垃圾邮件进行检测和限制，并维护相应代码库的更新；

在关键节点、网络重要边界处对重要用户行为和安全事件进行审计并对审计记录进行备份，实现对远程访问用户的单独审计分析。

边界防护-应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；

涉及设备：防火墙/网闸等访问控制设备

设备要求：可配置指定端口进行跨越边界的网络通信

边界防护-应能够对非授权设备私自联到内部网络的行为进行检查或限制；应能够对内部用户非授权联到外部网络的行为进行检查或限制；

涉及设备：终端管理系统

设备要求：对非授权内联和外联行为进行检查和限制

访问控制-应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；应对进出网络的数据流实现基于应用协议和应用内容的访问控制

涉及设备：下一代防火墙

设备要求：可配置访问控制策略规则、可拒绝除受控接口外所有通信；对数据包的源地址、目的地址、源端口、目的端口和协议等进行检查，允许符合策略的数据包进出，拒绝不符合策略要求的数据包；可对会话状态信息进行检测；实现基于应用协议和应用内容的访问控制

入侵防范-应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为；

涉及设备：入侵防御类设备

设备要求：对内外部发起的攻击行为进行检测、防止或限制

入侵防范-应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；

涉及设备：抗APT攻击系统或其他可实现对新型网络攻击行为进行分析的设备

设备要求：可对新型网络攻击行为进行分析

恶意代码和垃圾邮件防范-应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；

涉及设备：防恶意代码网关或带有恶意代码防范模块的防火墙设备

设备要求：对网络中的恶意代码进行检测和清除

恶意代码和垃圾邮件防范-应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新；

涉及设备：防垃圾邮件网关或带有垃圾邮件防范模块的防火墙设备

设备要求：对网络中的垃圾邮件进行检测和清除

安全审计-应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

涉及设备：综合安全审计系统/日志审计设备

设备要求：可对网络边界、重要网络节点的重要用户行为和重要安全事件进行审计

安全审计-应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析；

涉及设备：上网行为管理系统

设备要求：可对远程访问内部、内部访问互联网的用户行为进行单独审计。

安全计算环境层面要求设备/应用/管理软件等需具备身份鉴别信息加密传输、口令强度和使用时间配置、登陆失败处理策略配置、登录超时时间设备功能；可对登录的用户进行权限（最小使用权限）和账户（非默认账户）配置；可对用户的操作行为或设备/应用/管理软件等本身的运行情况进行日志记录及审计，并定期对日志进行备份；关闭不需要的端口/服务，仅保留必要端口/服务，避免高危端口/服务的暴露；对远程管理设备/应用/管理软件的终端地址范围进行限定；需提供有效性校验功能，保证人机接口进行交互的数据合法性；定期开展漏洞扫描并根据漏扫报告对漏洞进行修复或采取补偿措施；安装防恶意代码软件，并定期升级防恶意代码库；保障重要数据传输的完整性并对重要数据进行定期备份甚至是异地备份；对设备/应用/管理软件等的剩余信息和涉及到的个人信息采取保护措施，避免非授权访问和过度采集。

入侵防范-应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；

涉及设备：漏洞扫描设备或漏洞扫描服务

设备要求：定期对系统范围内资产进行漏洞扫描并根据漏洞扫描报告进行漏洞修复或在防火墙等设备上进行补偿策略配置

恶意代码防范-应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库；

涉及设备：恶意代码防范软件

设备要求：系统范围内服务器、终端设备应安装恶意代码软件，以防范主机层恶意代码，并及时更新防恶意代码库

数据备份恢复-应提供重要数据的本地数据备份与恢复功能；

涉及设备：存储备份设备

设备要求：定期对系统的重要数据进行手动/自动备份

数据备份恢复-应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地；

涉及设备：异地灾备措施

设备要求：35KM以上的异地灾备措施，对重要数据进行手动/自动备份。

安全计算环境要求设备/应用/管理软件等具备口令复杂度配置、登录超时退出、登录失败处理、口令有效期、口令远程管理加密传输、双因素认证等身份鉴别要求；并且在访问控制方面要求其具备对用户进行账号和权限配置的能力，配置合适的访问控制策略和访问控制粒度；开启安全审计功能，可对重要用户及重要事件进行记录审计、并对审计记录进行备份；

设备/应用/管理软件等需关闭不需要的端口及服务，确保端口服务的最小化，对管理终端的终端地址范围进行限制，防止非授权的访问和连接；

进行有效性校验，确保通过人机接口的交互信息符合系统设定程序，定期开展漏洞扫描并根据漏扫结果进行漏洞修补或其他补偿措施；

可在受到攻击时进行报警，可对恶意代码及病毒等进行防范和识别；

重要数据在传输及存储过程中应确保完整性及保密性；

应提供本地数据备份、异地数据备份和重要数据处理系统的冗余功能；

对剩余信息和个人信息进行保护。

入侵防范-应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；

涉及设备：漏洞扫描设备或漏洞扫描服务

设备要求：定期对系统范围内资产进行漏洞扫描并根据漏洞扫描报告进行漏洞修复或在防火墙等设备上进行补偿策略配置

入侵防范-应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警；

恶意代码防范-应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断；

涉及设备：恶意代码防范等安全软件

设备要求：可对攻击行为、恶意代码进行检测、阻断

数据备份恢复-应提供重要数据的本地数据备份与恢复功能；

涉及设备：存储备份设备

设备要求：定期对系统的重要数据进行手动/自动备份

数据备份恢复-应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地；

涉及设备：异地灾备措施

设备要求：35KM以上的异地灾备措施，对重要数据进行手动/自动备份

数据备份回复-应提供重要数据处理系统的热冗余，保证系统的高可用性

涉及设备：-

设备要求：关键计算设备冗余。

安全管理中心要求系统的管理人员应当使用特定的管理账号采用特定的管理渠道（特定的命令或操作页面，一般堡垒机）对系统进行系统管理及审计管理，管理方面包括安全计算环境中所有控制点要求。

系统管理-应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；

涉及设备：提供集中管理的系统/堡垒机

设备要求：仅允许系统管理员通过此设备认证后，通过特定的操作界面对系统进行管理操作并对操作进行审计

审计管理-应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；

涉及设备：综合安全审计系统/日志审计等提供集中审计的系统

设备要求：仅允许审计管理员通过此设备认证后，通过特定的操作界面对系统进行管理操作并对操作进行审计。

安全管理中心要求系统中的系统管理员、审计管理员、安全管理员通过特定的管理界面对系统开展系统、审计、安全管理；并建立安全的信息传输路径，对安全设备或安全组件进行管理；

需对分散在各个设备中的审计数据进行汇总和分析并对各个设备的运行状态进行监测；

可对系统中的安全策略、恶意代码、补丁升级等安全相关行为进行集中管理并对网络中发生的各类安全事件进行识别、报警和分析。

系统管理-应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；

涉及设备：提供集中管理的系统/堡垒机

设备要求：仅允许系统管理员通过此设备认证后，通过特定的操作界面对系统进行管理操作并对操作进行审计

审计管理-应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；

涉及设备：综合安全审计系统/日志审计等提供集中审计的系统

设备要求：仅允许审计管理员通过此设备认证后，通过特定的操作界面对系统进行管理操作并对操作进行审计

安全管理-应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计；

集中管控-应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；应能对网络中发生的各类安全事件进行识别、报警和分析

涉及设备：安全管理平台

设备要求：仅允许安全管理员通过此设备认证后，通过特定的操作界面对系统进行管理操作并对操作进行审计；对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；应能对网络中发生的各类安全事件进行识别、报警和分析

集中管控-应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；

涉及设备：集中监测设备

设备要求：集中化展示系统中各个设备、网络链路的运行状态（CPU、内存等）。