网络安全专项检查.docxVIP

附件：网络平安专项检查内容 、核心网络平安性 （一）网络结构平安性 序 号 类别 检查要求 检查结果 1 结构平安 a）应保证主要网络设备的业务处理能 力具备冗余空间，满足业务高峰期需 要； 2 b）应保证网络各个局部的带宽满足业 务高峰期需要； 3 C）应在业务终端与业务服务器之间进 行路由控制建立平安的访问路径； 4 d）应绘制与当前运行情况相符的网络 拓扑结构图； 5 e）应根据各部门的工作职能、重要性和 所涉及信息的重要程度等因素，划分不 同的子网或网段，并按照方便管理和控 制的原那么为各子网、网段分配地址段； 6 f）应防止将重要网段部署在网络边界处 且直接连接外部信息系统，重要网段与 其他网段之间采取可靠的技术隔离手 段； 7 g）应按照对业务服务的重要次序来指 定带宽分配优先级别，保证在网络发生 拥堵的时候优先保护重要主机。 8 访问控制 a）应在网络边界部署访问控制设备，启 用访问控制功能； 9 数据防泄露 a）应能够对非授权设备私自联到内部 网络的行为进行检查，准确定出位置， 并对其进行有效阻断； 10 b）应能够对内部网络用户私自联到外 部网络的行为及内容进行检查，准确定 出位置，并对其进行有效阻断。 入侵防范 a）应在网络边界处监视以下攻ft行为： 端口扫描、强力攻ft、木马后门攻ft、 拒绝服务攻ft、缓冲区溢出攻ft、IP 碎片攻ft和网络蠕虫攻ft等； 12 b）当检测到攻ft行为时，记录攻ft源 IP、攻ft类型、攻ft目的、攻ft时间, 在发生严重入侵事件时应提供报警。 13 恶意代码防 范 a）应在网络边界处对恶意代码进行检 测和清除； 14 b）应维护恶意代码库的升级和检测系 统的更新。 （-）网络设备及网络平安设备平安性 序 号 类别 测评项 结果记录 1 访问控制 a）应能根据会话状态信息为数据流提 供明确的允许/拒绝访问的能力，控制 粒度为端口级； 2 b）应对进出网络的信息内容进行过滤， 实现对应用层 HTTP、FTP、TELNET、 SMTP、POP3等协议命令级的控制； 3 C）应在会话处于非活跃一定时间或会 话结束后终止网络连接； 4 d）应限制网络最大流量数及网络连接 数； 5 e）重要网段应采取技术手段防止地址 欺骗； 6 f）应按用户和系统之间的允许访问规 那么，决定允许或拒绝用户对受控系统进 行资源访问，控制粒度为单个用户； 7 平安审计 a）应对网络系统中的网络设备运行状 况、网络流量、用户行为等进行日志记 录； b）审计记录应包括：事件的日期和时 8间、用户、事件类型、事件是否成功及其他与审计相关的信息； C）应能够根据记录数据进行分析，并生 成审计报表； 10 d）应对审计记录进行保护，防止受到未 预期的删除、修改或覆盖等。 11 网络设备防 护 a）应对登录网络设备的用户进行身份 鉴别； 12 b）应对网络设备的管理员登录地址进 行限制； 13 c）网络设备用户的标识应唯一； 14 d）主要网络设备应对同一用户选择两 种或两种以上组合的鉴别技术来进行 身份鉴别； 15 e）身份鉴别信息应具有不易被冒用的 特点，口令应有复杂度要求并定期更 换； 16 f）应具有登录失败处理功能，可采取结 束会话、限制非法登录次数和当网络登 录连接超时自动退出等措施； 17 g）当对网络设备进行远程管理时，应采 取必要措施防止鉴别信息在网络传输 过程中被窃听； 18 h）应实现设备特权用户的权限别离。 19 升级情况 平安设备入侵检测特征库、病毒库、应 用特征库等是否认期升级 、服务器平安性 序 号 类别 检查要求 检查结果 1 身份鉴别 a）应对登录操作系统和数据库系统的 用户进行身份标识和鉴别； 2 b）操作系统和数据库系统管理用户身 份标识应具有不易被冒用的特点，口令 应有复杂度要求并定期更换； 3 c）应启用登录失败处理功能，可采取结 束会话、限制非法登录次数和自动退出 等措施； 4 d）当对服务器进行远程管理时，应采取 必要措施，防止鉴别信息在网络传输过 程中被窃听； 5 e）应为操作系统和数据库的不同用户 分配不同的用户名，确保用户名具有唯 一性。 6 f）应采用两种或两种以上组合的鉴别技 术对管理用户进行身份鉴别。 7 平安审计 a）审计范围应覆盖到服务器和重要客 户端上的每个操作系统用户和数据库 用户； 8 b）审计内容应包括重要用户行为、系统 资源的异常使用和重要系统命令的使 用等系统内重要的平安相关事件； 9 C）审计记录应包括事件的日期、时间、 类型、主体标识、客体标识和结果等； 10 d）应能够根据记录数据进行分析，并生 成审计报表； 11 e）应保护审计进程，防止受到未预期的 中断； 12 f）应保护审计记录，防止受到未预期 的删除、修改或覆盖等