一文读懂|等保2.0安全通用要求审计实践案例(第2期)

安全区域边界审计要点和注意事项

 边界防护

• 调研访谈：外网接入内网行为监控、内网私自联到外网行为监控，并进行阻断处理；

• 查看外网接入内网行为和内网私自联到外网行为进行监控的配置。

 访问控制

• 网络边界控制策略；

• 会话对数据流进行控制，应用层协议控制，自动终止网络连接的配置等。

 入侵防范

• 调研访谈：网络入侵防范措施、防范规则库升级方式、网络入侵防范的设备；

• 测试验证：检查网络入侵防范设备，查看检测的攻击行为和安全警告方式。

恶意代码防护

• 网络恶意代码防范措施、恶意代码库的更新策略；

• 网络设计或验收文档，网络边界对恶意代码采取的措施和防恶意代码产品更新。

 安全审计

• 调研访谈：开启安全审计功能、审计内容、审计报表、审计记录保护；

• 审计全面监测、查看审计报表、审计记录处理方式。

可信验证

• 核查：是否基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，是否在应用程序的关键执行环节进行动态可信验证；

• 测试验证：当检测到边界设备的可信性受到破坏后是否进行报警，结果是否以审计记录的形式送至安全管理中心。

安全区域边界审计高风险判定示例

• 互联网出口无任何访问控制措施，或访问控制措施配置失效，存在较大安全隐患。

• 互联网边界访问控制设备若无管理权限，且未按需要提供访问控制策略，无法根据业务需要或所发生的安全事件及时调整访问控制策略。

• 非授权设备能够直接接入重要网络区域，如服务器区、管理网段等，且无任何告警、限制、阻断等措施的。

• 核心重要服务器设备、重要核心管理终端，如无法对非授权联到外部网络的行为进行检查或限制，或内部人员可旁路、绕过边界访问控制设备私自外联互联网。

  
  

安全计算环境审计要点和注意事项

身份鉴别

• 调研访谈：两种用户身份鉴别、地址限制、用户唯一、口令复杂度要求、登录失败验证等；

• 测试验证：用户唯一和地址限制、密码复杂度和两种身份鉴别方式、特权用户权限分配。

 访问控制

• 调研访谈：安全策略、最小分配原则、权限分离、删除多余账户、敏感标识、控制敏感资源；

• 测试验证：检查服务器操作系统的安全策略、查看特权用户的权限是否进行分离。

安全审计

• 调研访谈：开启安全审计功能、审计内容、审计报表、审计记录保护；

• 测试验证：审计全面监测、查看审计报表、审计记录处理方式。

 入侵防范

• 调研访谈：入侵防范措施和安全报警、重要程序的完整性进行检测、系统补丁及时更新；

• 测试验证：检查入侵防范系统、检测到完整性受到破坏后恢复的措施、补丁升级记录。

恶意防范代码

• 调研访谈：安装防恶意代码软件、防恶意代码软件统一管理；

• 测试验证：检查实时检测与恶意代码的软件产品并进行及时更新、主机和网络恶意代码软件不同。

 可信验证

• 核查：是否基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，是否在应用程序的关键执行环节进行动态可信验证；

• 测试验证：当检测到计算设备的可信性受到破坏后是否进行报警，结果是否以审计记录的形式送至安全管理中心。

 数据完整性

• 调研访谈：应能够检测到系统管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性受到破坏，并进行必要措施；

• 测试验证：检测传输和存储破坏的措施和恢复措施。

数据保密性

• 调研访谈：采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输和存储保密性；

• 测试验证：鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性。

数据备份恢复

• 调研访谈：本地数据备份和恢复，备份介质场外存放，通信线路和数据处理系统的硬件冗余；

• 检查判断：查设计或验收文档，对本地数据备份和恢复功能及策略的描述，查主要网络设备、主要通信线路和主要数据处理系统是否采用硬件冗余、软件配置等。

剩余信息保护

• 核查：相关配置信息或系统设计文档，用户的鉴别信息所在的存储空间被释放或重新分配前是否得到完全清除；相关配置信息或系统设计文档，敏感数据所在的存储空间被释放或重新分配给其他用户前是否得到完全清除。

• 核查：采集的用户个人信息是否是业务应用必需的，是否制定有关用户个人信息保护的管理制度和流程，是否采用技术措施限制对用户个人信息的访问和使用，是否制定有关用户个人信息保护的管理制度和流程。

安全计算环境审计高风险判定示例

• 网络设备、安全设备、操作系统、数据库等存在空口令或弱口令帐户，并可通过该弱口令帐户登录。

• 通过不可控网络环境远程管理的网络设备、安全设备、操作系统、数据库等，鉴别信息明文传输，容易被监听，造成数据泄漏。

• 重要核心设备、操作系统等未采用两种或两种以上鉴别技术对用户身份进行鉴别。例如仅使用用户名/口令方式进行身份验证，削弱管理员账户的安全性，无法避免账号的未授权窃取或违规使用。

• 网络设备、安全设备、操作系统、数据库等默认账号的默认口令未修改，使用默认口令进行登录设备。

一文读懂丨等保2.0之网络架构管理实践

一文读懂 | 等保2.0安全通用要求审计实践案例(第1期)