等保测评之安全通信网络.pdfVIP

等保测评之安全通信⽹络

安全通信⽹络

1.⽹络架构

a)应保证⽹络设备的业务处理能⼒满⾜业务⾼期需要

1)应访谈⽹络管理员业务⾼时期为何时，查边界设备和主要⽹络设备的处理能⼒是否满⾜业务⾼期需要，询问采⽤何种⼿段对主要⽹

络设备的运⾏状态进⾏监控。

以华为交换机为例，输⼊命令““displaycpu-usage””,“displaymemory-usage”查看相关配置。⼀般来说，在业务⾼期主要

⽹络设备的CPU内存最⼤使⽤率不宜超过70%，也可以通过综合⽹管系统查看主要⽹络设备的CPU、内存的使⽤情况

2)应访谈或查是否因设备处理能⼒不⾜⽽出现过宕机情况，可查综合⽹管系统告警⽇志或设备运⾏时间等，或者访谈是否因设备处理能

⼒不⾜⽽进⾏设备升级。

以华为设备为例，输⼊命令displayversion”，查看设备在线时长，如设备在线时间在近期有重启可询问原因

3)应查设备在⼀段时间内的性能值，结合设备⾃⾝的承载性能，分析是否能够满⾜业务处理能⼒

b)应保证⽹络各个部分的带宽满⾜业务⾼期需要

1)应访谈管理员⾼时段的流量使⽤情况，是否部署流量控制设备对关键业务系统的流量带宽进⾏控制，或在相关设备上启⽤QoS配置，对

⽹络各个部分进⾏带宽分配，从⽽保证业务⾼期业务服务的连续性

2)应该查综合⽹管系统在业务商时段的带宽占⽤情况，分析是否满⾜业务需求。如果⽆法满⾜业务⾼蜂期需要，则需要在主要⽹络设备上

进⾏带宽配置

3)测试验证⽹络各个部分的带宽是否满⾜业务⾼期需求

c)应划分不同的⽹络区域，并按照⽅便管理和控制的原则为各⽹络区域分配地址

1)应访谈⽹络管理员，是否依据部门的⼯作职能、等级保护对象的重要程度和应⽤系统的级别等实际情况和区域安全防护要求划分了不同的

VLAN,并查相关⽹络设备配置信息，验证划分的⽹络区域是否与划分原则⼀致。

以CiscoIOS为例，输⼊命令“showvlanbrief”,查看相关配置

d)应避免将重要⽹络区域部署在边界处，重要⽹络区域与其他⽹络区域之间应采取可靠的技术隔离⼿段

1)应查⽹络拓扑图是否与实际⽹络运⾏环境⼀致

2)应查重要⽹络区域是否未部署在⽹络边界处；⽹络区域边界处是否部署了安全防护措施

3)应查重要⽹络区域与其他⽹络区域之间，例如应⽤系统区、数据库系统区等重要⽹络区域边界是否采取可靠的技术隔离⼿段，是否部署

了⽹闸、防⽕墙和设备访问控制列表(ACL)等

e)应提供通信线路、关键⽹络设备和关键计算设备的硬件冗余，保证系统的可⽤性

应查系统的出⼝路由器、⼼交换机、安全设备等关键设备是否有硬件冗余和通信线路冗余，保证系统的⾼可⽤性

2.通信传输

a)应采⽤校验技术或密码技术保证通信过程中数据的完整性；

1)应查是否在数据传输过程中使⽤校验技术或密码技术来保证其完整性

2)应测试验证设备或组件是否保证通信过程中数据的完整性。例如使⽤FileChecksumIntegrityVerifier、SigCheck等⼯具对数据进⾏完

整性校验

b)应采⽤密码技术保证通信过程中数据的保密性；

1)应查是否在通信过程中采取保密措施，具体采⽤哪些技术措施

2)应测试验证在通信过程中是否对敏感信息字段或整个报⽂进⾏加密，可使⽤Sniffer、Wireshark等测试⼯具通过流量镜像等⽅式抓取⽹

络中的数据,验证数据是否加密

3.可信验证

a)可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应⽤程序等进⾏可信验证，并在应⽤程序的关键执⾏环节进⾏

动态可信验证，在检测到其可信性受到破坏后进⾏报警，并将验证结果形成审计记录送⾄安全管理中⼼；

1)应查是否基于可信根对设备的系统引导程序、系统程序、重要配置参数和关键应⽤程序等进⾏可信验证（通信设备、交换机、路由器或

其他通信设备具有可信根芯⽚或硬件）

2)应查是否在应⽤程序的关键执⾏环节进⾏动态可信验证（启动过程基于可信根对系统引导程序、系统程序，重要配置参数和关键应⽤程

序等进⾏可信验证度量）

3)应测试验证当检测到设备的可信性受到破坏后是否进⾏报警（在检测到其可信性受到破坏后进⾏报警，并将验证结果形成审计记录送⾄安

全管理中⼼）

4)应测试验证结果是否以审计记录的形式送⾄安全管理中⼼（安全管理中⼼可以接收设备的验证结果记录）

4.安全扩展要求部分

云服务商

a)应保证云计算平台不承