《信息安全等级保护管理办法》o按照以下相关标准开展等级保护工作:o《计算机信息系统安全保护等级划分准则》(GB17859-1999)o《信息系统安全等级保护定级指南》(GB/T22240-2008)o《信息系统安全等级保护基本要求》(GB/T22239-2008)o《信息系统安全等级保护测评要求》(报批稿)o《信息系统安全等级保护实施指南》(报批稿)o.......3标准概述o测评过程中重点依据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评要求》来进行。4标准概述o基本要求中网络安全的控制点与要求项各级分布:级别控制点要求项第一级39第二级618第三级733第四级7325标准概述o等级保护基本要求三级网络安全方面涵盖哪些内容?o共包含7个控制点33个要求项,涉及到网络安全中的结构安全、、安全审计、、边界完整性检查、入侵防范、恶意代码防范、访问控制、设备防护等方面。:理解标准中涉及网络部分的每项基本要求。o明确目的:检查的最终目的是判断该信息系统的网网络安全综合防护能力,如抗攻击能力、、防病毒能力等等,不是单一的设备检查。o分阶段进行:共划分为4个阶段,测评准备、方案编制、现场测评、分析及报告编制。8检查范围o确定检查范围,细化检查项。n通过前期调研获取被测系统的网络结构拓扑、外连线路、、网络设备、安全设备等信息。n根据调研结果,进行初步分析判断。n明确边界设备、核心设备及其他重要设备,确定检查范围。9检查范围o注意事项n考虑设备的重要程度可以采用抽取的方式。n不能出现遗漏,避免出现脆弱点。n最终需要在测评方案中与用户明确检查范围-网络设备、安全设备列表。,按照基本要求7个控制点33个要求项进行检查。n一、结构安全(7项)n二、访问控制(8项)n三、安全审计(4项)13检查内容n四、边界完整性检查(2项)n五、入侵防范(2项)n六、恶意代码防范(2项)n七、网络设备防护(8项)14检查内容o一、结构安全(7项)n结构安全是网络安全测评检查的重点,网络结构是否合理直接关系到信息系统的整体安全。o条款解读15结构安全a)应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;o条款理解n为了保证信息系统的高可用性,主要网络设备的业务处理能力应具备冗余空间。o检查方法n访谈网络管理员,询问主要网络设备的性能及业务高峰流量。n访谈网络管理员,询问采用何种手段对网络设备进行监控。16结构安全b)应保证网络各个部分的带宽满足业务高峰期需要;(保证接入网络和核心网络的带宽满足业务高峰期需要)o条款理解n对网络各个部分进行分配带宽,从而保证在业务高峰期业务服务的连续性。o检查方法n询问当前网络各部分的带宽是否满足业务高峰需要。n如果无法满足业务高峰期需要,则需进行带宽分配。检查主要网络设备是否进行带宽分配。17结构安全c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;o条款理解n静态路由是指由网络管理员手工配置的路由信息。动态路由是指路由器能够自动地建立自己的路由表。n路由器之间的路由信息交换是基于路由协议实现的,如OSPF路由协议是一种典型的链路状态的路由协议。n如果使用动态路由协议应配置使用路由协议认证功能,保证网络路由安全。18结构安全o检查方法n检查边界设备和主要网络设备,查看是否进行了路由控制建立安全的访问路径。n以CISCOIOS为例,输入命令:showrunning-config检查配置文件中应当存在类似如下配置项:(静态)routerospf100(动态)ipospfmessage-digest-key1md57XXXXXX(认证码)19结构安全d)应绘制与当前运行情况相符的网络拓扑结构图;o条款理解n为了便于网络管理,应绘制与当前运行情况相符的网络拓扑结构图。当网络拓扑结构发生改变时,应及时更新。o检查方法n检查网络拓扑图,查看其与当前运行情况是否一致。20结构安全e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;o条款理解n根据实际情况和区域安全防护要求,应在主要网络设备上进行VLAN划分或子网划分。n不同VLAN内的报文在传输时是相互隔离的。如果不同VLA
网络安全测评-于东升 来自淘豆网m.daumloan.com转载请标明出处.
