03、安全区域边界人工测评核查表（三级）.xlsVIP

8.1.3安全区域边界

封面

系统名称

IP地址

主要用途

负责人

重要等级

评估人员

评估日期

签字确认

控制点

测评项

测评方法及步骤

测评对象

测评权重

符合程度

得分

b)应能够对非授权设备私自联到内部网络的行为进行检查或限制；

c)应能够对内部用户非授权联到外部网络的行为进行检查或限制；

8.1.3.2访问控制

a)应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；

c)应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；

d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；

e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。

8.1.3.3入侵防范

a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；

c)应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；

d)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。

8.1.3.5安全审计

b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

8.1.3.6可信验证

可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件

1、应核查在网络边界处是否部署访问控制设备；

2、应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；

3、应采用其他技术手段（如非法无线网络设备定位、核查设备配置信息等）核查或测试验证是否不存在其他未受控端口进行跨越边界的网络通信。

终端管理系统或相关设备

1、应核查是否采用技术措施防止非授权设备接入内部网络；

2、应核查所有路由器和交换机等相关设备闲置端口是否已关闭。

终端管理系统或相关设备

应核查是否采用技术措施防止内部用户存在非法外联行为。

网络拓扑和无线网络设备

1、应核查无线网络的部署方式，是否单独组网后再连接到有限网络；

2、应核查无线网络是否通过受控的边界防护设备接入到内部有线网络。

1、应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略；

2、应核查设备的最后一条访问控制策略是否为禁止所有网络通信。

1、应核查是否不存在多余或无效的访问控制策略；

2、应核查不同的访问控制策略之间的逻辑关系及前后排列顺序是否合理。

1、应核查设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数；

2、应测试验证访问控制策略中设定的相关配置参数是否有效。

1、应核查是否采用会话认证等机制为进出数据流提供明确的允许/拒绝访问的能力；

2、应测试验证是否为进出数据流提供明确的允许/拒绝访问的能力。

第二代防火墙等提供应用层访问控制功能的设备或相关组件

1、应核查是否部署访问控制设备并启用访问控制策略；

2、应测试验证设备访问控制策略是否能够对进出网络的数据流实现基于应用协议和应用内容的访问控制。

抗APT攻击系统、网络回溯系统、威胁情报检测系统、抗DDoS攻击和入侵保护系统或相关组件

1、应核查相关系统或组件是否能够检测从外部发起的网络攻击行为；

2、应核查相关系统或组件的规则库版本或威胁情报库是否已经更新到最新版本；

3、应核查相关系统或组件的配置信息或安全策略是否能够覆盖网络所有关键节点；

4、应测试验证相关系统或组件的配置信息或安全策略是否有效。

1、应核查相关系统或组件是否能够检测到从内部发起的网络攻击行为；

2、应核查相关系统或组件的规则库版本或威胁情报库是否已经更新到最新版本；

3、应核查相关系统或组件的配置信息或安全策略是否能够覆盖网络所有关键节点；

4、应测试验证相关系统或组件的配置信息或安全策略是否有效。

1、应核查是否部署相关系统或组件对新型网络攻击进行检测和分析；

2、应测试验证是否对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分析。

1、应核查相关系统或组件的记录是否包括攻击源IP、攻击类型、攻击目标、攻击时间等相关内容；

2、应测试验证相关系统或组件的报警策略是否有效。

防病毒网关和UTM等提供防恶意代码功能的系统或相关组件

1、应核查在关键网络节点处是否部署防恶意代码产品等技术措施；

2、应核查防恶意代码产品运行是否正常，恶意代码库是否已更新到最新；

3、应测试验证相关系统或组件的安全策略是否有效。

防垃圾邮件网关