网站集约化管理平台安全防护规范——征求意见稿.docx

ICS
点击此处添加中国标准文献分类号
DB43
湖 南 省 地 方 标 准
DB XX/ XXXXX—XXXX
网站集约化管理平台安全防护规范
点击此处添加标准英文译名
点击此处添加与国际标准一致性程度的标识
（征求意见稿、统一信息资源库等指定的服 务和端口 ；
——应限制集约化管理平台中的服务器主动访问内部网络，仅允许访问内部网络提供的指定交互 业务、补丁更新、病毒库升级等服务；
——应限制边界隔离设备的远程管理方式。若需要采用远程管理方式时，应采用加密方式进行设 备的远程管理，或采用数字证书等高强度鉴别方式；
——集约化管理平台应具备互联网流量的安全检测能力。

5. ，实现互联网和内部业务网络的 安全隔离及信息交换。
5. 3. 2. 2在内部业务网络内，应采用在交换设备上划分VLAN或部署安全域边界防火墙等方式，实现集 约化管理平台所在安全域与其他业务系统所在安全域之间的逻辑隔离。具体包括但不限于下列措施：
——数据进行跨网交换时，应具备设备认证、通信协议剥离、数据摆渡、数据内容过滤、格式检 查及病毒查杀等功能；
——平台管理系统应单独划分安全域，应在安全域边界部署防火墙或者虚拟防火墙实现基于五元 组的访问控制；
——安全域访问控制设备的默认过滤策略应设置为默认禁止任意访问，设置最小化访问控制规 贝h控制粒度应达到端口级；
——使用云计算环境时，集约化管理平台应具备独立的安全策略配置能力，包括定义访问路径、 选择安全组件、设置安全策略；
——应具有防止、清除和告警云主机传播有害信息的能力。

集约管理平台与应用之间、应用和应用之间，应建立数据列表，并规范交互数据的内容及格式。应 提供管理用户权限分离机制，为系统管理员、应用管理员等建立不同账户并分配相应的权限。应采用访 问控制、加密传输及加密存储等多种安全措施，确保业务数据交互过程的安全性。采用身份鉴别加密机 制应满足国家商用密码使用相关要求，并满足符合安全可靠要求的主机接入管理。
5. 3. 1通信链路安全
集约化管理平台部署的网络架构及通信链路安全应满足以下要求：
——应为支撑集约化管理平台运转的关键设备提供硬件冗余措施，关键设备包括但不限于出口路 由器、核心交换机、关键安全设备、应用及数据库服务器等；
——政府网站、集约化管理平台、统一信息资源库等应部署在不同区域中，并防止管理后台系统 暴露在互联网区；
——应采用负载均衡、分布式部署等方式实现链路和主机层的负载均衡，链路层面至少应实现多 条互联网链路之间的负载均衡，主机层面应实现多应用服务器之间的应用负载均衡；
——应部署由不同互联网接入服务商提供的冗余互联网接入链路；
——平台对外提供服务应设置符合实际需求的互联网独享带宽，并支持根据网站的日均页面访问 量（次）及业务高峰期（包括日高峰及高峰日）访问量调整出口带宽；
——集约化管理平台应采用密码技术建立一条安全的信息传输通道，对网络中的安全设备或安全 组件进行集中管理。

考虑到移动网络、设备、应用等在集约化管理平台建设中的应用，应对平台管理用户和网站管理用 户采取有效的移动互联安全措施，包括但不限于以下措施：
——应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备；
——无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的 密码模块进行认证；
——应能够检测到非授权无线接入设备和非授权移动终端的接入行为；
——应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击 等行为；
——应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认证等；
——应禁止多个AP使用同一个认证密钥；
——应能够阻断非授权无线接入设备或非授权移动终端。

1服务器安全
1. 1系统选用和配置
宜选择安全操作系统或根据集约化管理平台性能、可用性、安全要求等需求对操作系统进行定制（包 括：内核、服务、应用、端口等），或借助第三方机构对操作系统和数据库系统进行安全加固。操作系 统和数据库系统宜遵循最小安装原则，仅安装应用必需的服务、组件、软件等。

应根据用户类别设置不同安全强度的鉴别机制，严格设定访问和操作权限，具体措施包括但不限于 下列内容：
——应采用两种或两种以上组合的鉴别技术，对系统账户和管理员账户进行身份验证，包括对中 间件的运行账户、主机操作系统、数据库基础运行环境中的系统用户账户，确定管理用户身 份；
——禁止使用系统默认或匿名账