等保2.0 | 安全区域边界 测评高风险判定指引(2019)

国内新闻 阅读(1502)

一,边界保护

1.互联网边界访问控制

相应要求:应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。

管辖权:互联网出口没有访问控制措施,或访问控制措施无效,存在重大安全隐患,可判定为高风险。

范围:所有系统。

片):

1.互联网出口没有访问控制措施。

2.互联网访问控制措施配置不当,存在重大安全隐患。

3. Internet出口访问控制措施的配置无效,无法播放相关的控制功能。

补偿措施:边境访问控制设备不一定是防火墙。只要能够实现相关的访问控制功能,表格就是一种特殊的设备,相关的功能可以提供相应的检测报告,可以视为等效的措施,符合判断。例如,通过具有ACL功能的路由器,交换机或负载平衡器,可以根据系统重要性和设备性能压力等因素适当确定风险等级。

整改建议:建议在互联网出口部署专用门禁控制设备,并妥善配置相关控制策略,确保控制措施有效。

2.网络访问控制设备不可控

相应要求:应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。

判例法:如果互联网边界访问控制设备没有管理权限,并且没有按要求提供访问控制策略,则无法根据业务需求或发生的安全事件及时调整访问控制策略,并且可以确定高风险。

范围:所有系统。

片(同时):

1.互联网边境访问控制设备没有管理权;

2.没有其他有效的访问控制措施;

3.根据业务需求或安全事件,无法及时调整访问控制策略。

补偿措施:无。

整改建议:建议部署自己的边界访问控制设备或租用具有管理权限的边界访问控制设备,并正确配置相关设备。

3.违反在线检查措施

相应要求:应该能够检查或限制连接到内部网络的未授权设备的行为。

判例法:未经授权的设备可以直接访问重要的网络区域,如服务器区域,管理网段等,无任何警告,限制,阻塞等,可判断为高风险。

适用范围:3级及以上系统。

片(同时):

1级,3级及以上;

2.机房和网络等环境无法控制,可能存在未经授权的访问;

3.未经授权访问网络的重要区域,如服务器区域,管理网段等;

4,没有任何控制措施,控制措施包括限制,检查,阻塞等。

补偿措施:如果接入区域具有严格的物理访问控制,静态IP地址分配,不必要的访问端口,IP-MAC地址绑定等,则可以适当降低风险等级。

补救建议:建议部署可以检查,定位和阻止内联行为违规的安全访问产品。

4.违反外展检查措施

相应要求:应该能够检查或限制未被授权连接到外部网络的内部用户的行为。

判例内容:核心重要服务器设备、重要核心管理终端,如无法对非授权联到外部网络的行为进行检查或限制,或内部人员可旁路、绕过边界访问控制设备私自外联互联网,可判定为高风险。

适用范围:3级及以上系统。

件(同时):

1、3级及以上系统;

2、机房、网络等环境不可控,存在非授权外联可能;

3、对于核心重要服务器、重要核心管理终端存在私自外联互联网可能;

4、无任何控制措施,控制措施包括限制、检查、阻断等。

补偿措施:如机房、网络等环境可控,非授权外联可能较小,相关设备上的USB接口、无线网卡等有管控措施,对网络异常进行监控及日志审查,可酌情降低风险等级。

整改建议:建议部署能够对违规外联行为进行检查、定位和阻断的安全管理产品。

5、无线网络管控措施

对应要求:应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络。

判例内容:内部核心网络与无线网络互联,且之间无任何管控措施,一旦非授权接入无线网络即可访问内部核心网络区域,存在较大安全隐患,可判定为高风险。

适用范围:3级及以上系统。

件(同时):

1、3级及以上系统;

2、内部核心网络与无线网络互联,且不通过任何受控的边界设备,或边界设备控制策略设置不当;

3、非授权接入无线网络将对内部核心网络带来较大安全隐患。

补偿措施:

xxxx1. In a special application scenario, the wireless coverage area is small and strictly controlled. Only authorized personnel can enter the coverage area, and the risk level can be reduced as appropriate;

2. There are strict control and identity authentication measures for wireless access. Unauthorized access may be small, and the risk level may be reduced as appropriate according to the control measures.

Suggestions for rectification: If there is no special need, the internal core network should not be interconnected with the wireless network; if it is required by the business, it is recommended to strengthen the control of access to the wireless network equipment, and access the internal network through the border device to the wireless network. Access restrictions are imposed to reduce the attacker's use of wireless networks to invade the internal core network.

Second, access control

1. Internet boundary access control

Corresponding requirements: Access control rules should be set according to the access control policy between network boundaries or zones. By default, the controlled interface rejects all communications except for allowing communication.

Case law: Systems interconnected with the Internet can be judged to be high risk if there is no dedicated access control device or an all-pass policy at the boundary.

Scope: All systems.

Piece):

1. There are no access control measures for Internet exports.

2. Internet access control measures are improperly configured and there are major security risks.

3. The configuration of the Internet export access control measures is invalid, and the transparent mode is enabled, which cannot function as a related control.

Compensation measures: The border access control device does not have to be a firewall. As long as it can implement the relevant access control functions, the form is a special device, and related functions can provide corresponding detection reports, which can be regarded as equivalent measures and conform to the judgment. For example, through routers, switches, or load balancers with ACL functions, the risk level can be determined as appropriate according to factors such as system importance and equipment performance pressure.

xx整改建议:建议在互联网出口部署专用门禁控制设备,并妥善配置相关控制策略,确保控制措施有效。

2.通信协议转换和隔离措施

相应要求:数据交换应通过通信协议转换或通信协议隔离在网络边界进行。

案例内容:可控网络环境与不可控网络环境之间的数据传输不通过通信协议或通信协议隔离进行转换,可以判断为高风险。

适用范围:4级系统。

片(同时):

1级和4级系统;

2.可控网络环境与不可控网络环境之间的数据传输不通过数据格式或协议转换,不采用通信协议隔离措施。

补偿措施:如果相关技术/安全专家证明由于业务场景要求而无法通过通信协议转换或通信协议隔离来转换系统,则如果存在其他安全措施,则可以适当降低风险等级。

整改建议:当在不同级别的网络边界之间传输数据时,建议在通信系统协议或通信协议隔离之间交换数据。

三,入侵防御

1.外部网络攻击防御

相应要求:应在关键网络节点检测,阻止或限制从外部发起的网络攻击行为。

判例法:关键网络节点(如互联网边界)不采取任何保护措施,无法检测,阻止或限制因特网引发的攻击,这可能被视为高风险。

适用范围:3级及以上系统。

片(同时):

1级,3级及以上;

2.关键网络节点(如Internet边界)没有任何入侵防御手段(如入侵防御设备,云防御,WAF等)来检测,阻止或限制外部网络发起的攻击。

补偿措施:如果您具有入侵检测功能(IDS)并且监控措施是完美的,并且您可以及时干预侵入行为,则可以适当降低风险等级。

整改建议:建议正确部署可以检测,阻止或限制对关键网络节点的攻击的保护设备(如防APT攻击系统,网络回溯系统,威胁情报检测系统,入侵防御系统等) (例如互联网边界)。 ),或购买云防御等外部防攻击服务。

2.内部网络攻击防御

相应要求:应在关键网络节点检测,阻止或限制内部发起的网络攻击。

案例内容:关键网络节点(如核心服务器区域和其他内部网络区域边界)不采取任何保护措施,无法检测,阻止或限制从内部发起的网络攻击行为,可判断为高风险。

适用范围:3级及以上系统。

片(同时):

1级,3级及以上;

2.关键网络节点(如核心服务器区域和其他内部网络区域之间的边界)没有任何入侵防御手段(如入侵防御,防火墙等)来检测,阻止或限制由内部网络)。

补偿措施:如果核心服务器区域与其他内部网络之间部署了防火墙等访问控制设备,且访问控制措施严格,内部网络攻击的可能性很小,或者有一定的检测,防范或限制能力,可以适当减少。风险等级。

整改建议:建议在关键网络节点(如核心服务器区域和其他内部网络区域边界)进行严格的访问控制措施,并部署相关的保护设备来检测,防止或限制内部网络攻击。

四,恶意代码和垃圾邮件预防

1.网络层恶意代码防护

相应要求:应在关键网络节点检测并清除恶意代码,并应维护恶意代码保护机制的升级和更新。

判例法:如果主机和网络层没有恶意代码检测和删除措施,则可以判断为高风险。

范围:所有系统。

片(同时):

1.主机层上没有恶意代码检测和删除措施;

2.网络层没有恶意代码检测和删除措施。

补偿措施:

1.如果主机层部署恶意代码检测和删除产品,并且恶意代码库仍然更新,则可以适当降低风险级别。

2.对于级别为2及以下的系统,使用Linux,Unix系统,恶意代码检测和删除产品不会部署在主机和网络层,整体防御措施可能会降低风险级别。

3.对于与外部网络完全物理隔离的系统,网络环境,USB介质和其他管理措施更好,并且可以适当降低风险等级。

整改建议:建议在关键网络节点部署恶意代码检测和删除产品,与主机层恶意代码防护产品形成异构模式,有效检测和消除可能的恶意代码攻击。

五,安全审计

1.网络安全审计措施

相应要求:安全审核应在网络边界和重要网络节点进行。应为每个用户提供审核,以审核重要的用户行为和重要的安全事件。

判例法:网络边界和重要的网络节点没有安全审计措施,不可能对重要的用户行为和重要的安全事件进行日志审计,这可以判断为高风险。

范围:所有系统。

片(同时):

1.无法记录重要用户行为和重要安全事件的日志审核。

补偿措施:无。

整改建议:建议对网络边界和重要网络节点上的重要用户行为和重要安全事件进行日志审计,以便于跟踪相关事件或行为。

天翼网络安全