等保2.0.第九章.等保2.0基础知识

等保2.0基本概况

基本概念回顾

什么是等级保护？
网络安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
等级保护级别
■第一级信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益
■第二级信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全
■第三级信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害
■第四级信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害
■第五级信息系统受到破坏后，会对国家安全造成特别严重损害
等保工作主要流程
■一是定级
■二是备案（二级以上的信息系统）
■三是系统建设、整改
■四是开展等级测评
■五是信息安全监管部门定期开展监督检查

等保对象演变

保护重点没有变，但复杂度提高

等保标准变化

等保2.0将原来的标准《信息安全技术信息系统安全等级保护基本要求》改为《信息安全技术网络安全等级保护基本要求》，与《中华人民共和国网络安全法》中的相关法律条文保持一致。
标准内容变化

等保2.0通用要求解读

等级保护1.0和2.0对比

控制点对比

要求项对比

总结对比

总体上看，等保2.0通用要求在技术部分的基础上进行了一些调整，但控制点要求上并没有明显增加，通过合并整合后相对旧标准略有缩减。

详细控制点对比

物理安全/物理和环境安全

变化：

网络安全/网络和通信安全

其中集中管控通常是指安全态势感知
变化：


集中管控中的第一条中的管理区域：用来放堡垒机、安全管理认证、运维的设备，例如下图：

■重点解读
1.根据服务器角色和重要性，对网络进行安全域划分；（网络架构中的安全区域划分）
2.在内外网的安全域边界设置访问控制策略，并要求配置到具体的端口；（防火墙）
3.在网络边界处应当部署入侵防范手段，防御并记录入侵行为；（IPS）
4.对网络中的用户行为日志和安全事件信息进行记录和审计；（上网行为管理）
5.对安全设备、网络设备和服务器等进行集中管理。（安全态势感知/安全大数据分析）
接下来继续讲剩下两大块：

主机安全/设备和计算安全

2.0去掉了剩余信息保护

■重点解读
1.避免账号共享、记录和审计运维操作行为是最基本的安全要求；（运维审计/堡垒机）
2.必要的安全手段保证系统层安全，防范服务器入侵行为；（服务器加固-服务/软件）

应用安全+数据安全及备份恢复/应用和数据安全

个人信息保护是网络安全法中提到的内容。

■重点解读
1.应用是具体业务的直接实现，不具有网络和系统相对标准化的特点。大部分应用本身的身份鉴别、访问控制和操作审计等功能，都难以用第三方产品来替代实现；
2.数据的完整性和保密性，除了在其他层面进行安全防护以外，加密是最为有效的方法；
3.数据的异地备份是等保三级区别于二级最重要的要求之一，是实现业务连续最基础的技术保障措施。

等保1.0与2.0对比分析

网络安全法与等级保护

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。

第三十一条 国家公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。
国家互联网信息办公室《关键信息基础设施安全保护条例（征求意见稿）》已发布：

地市级以上人民政府应当将关键信息基础设施安全保护工作纳入地区经济社会发展总体规划，加大投入，开展工作绩效考核评价；
国家行业主管或监管部门应当设立或明确专门负责本行业、本领域关键信息基础设施安全保护工作的机构和人员，编制并组织实施本行业、本领域的网络安全规划、建立健全工作经费保障机制并督促落实。

注意：关键信息基础设施不低于等级保护三级！

关键信息基础设施认定标准

等级保护1.0-2.0标准体系

2.0在1.0已有体系基础上，进一步建立完善等级保护政策体系、标准体系、测评体系、技术体系、服务体系、关键技术研究体系、教育培训体系等，等级保护作为核心，围绕核心构建起安全监测、通报预警、快速处置、态势感知、安全防范、精确打击等一体的国家关键信息基础设施安全保卫体系

等级保护2.0要求一览图

下图中的大类名称没有按2.0的名称。整个图明显有1.0的痕迹，例如主机安全中的剩余信息保护明显应该是没有的了。，只能参考一下。。

几个方面的对比

技术和管理要求扩展

执行力度加强

等级保护定级

等级保护内容

防御能力

网络安全法与等保2.0关系

重点解读
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
这里指出了等保是有法律规定的。这条主要是技术层面。
第三十四条 除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
（一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
（二）定期对从业人员进行网络安全教育、技术培训和技能考核；
（三）对重要系统和数据库进行容灾备份；
（四）制定网络安全事件应急预案，并定期进行演练；
（五）法律、行政法规规定的其他义务。
这条是管理层面的规定。

等保2.0扩展要求（一）云计算

等级保护2.0云计算扩展要求解析

云计算平台架构
云计算平台由设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。
软件即服务（SaaS）在平台即服务模式下，云计算平台包括设施、硬件、资源抽象控制层、虚拟化计算资源和软件平台；
平台即服务（PaaS）在平台即服务模式下，云计算平台包括设施、硬件、资源抽象控制层、虚拟化计算资源和软件平台；
基础设施即服务（laaS）在基础设施即服务模式下，云计算平台由设施、硬件、资源抽象控制层组成；

---

如果你是一个网站站长，想要建立一个网站。不采用云服务，你所需要的投入大概是：买服务器，安装服务器软件，编写网站程序。
现在你追随潮流，采用流行的云计算。
如果你采用IaaS服务，那么意味着你就不用自己买服务器了，随便在哪家购买虚拟机，但是还是需要自己装服务器软件。（相当于菜场买菜回来洗切炒）
而如果你采用PaaS的服务，那么意味着你既不需要买服务器，也不需要自己装服务器软件，只需要自己开发网站程序。（相当于超市买净菜直接下锅）
如果你再进一步，购买某些在线论坛或者在线网店的服务,这意味着你也不用自己开发网站程序，只需要使用它们开发好的程序，而且他们会负责程序的升级、维护、增加服务器等，而你只需要专心运营即可，此即为SaaS。（相当于直接点外卖）
————————————————
版权声明：本文为CSDN博主「Stella__Lee」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_34386891/article/details/79621599

---

要考虑三种云计算模式的等级保护安全。

定级

根据云计算环境的划分，那么定级也分两种：

云计算系统与传统信息系统保护对象差异

责任划分

几种模式的控制要求

laaS

■设施
提出物理位置的选择的要求，例如云计算的所有物理设备和数据均存放在国内。
提出服务供应商选择和供应链管理的要求，例如选择云服务商和供应商的过程须符合国家的要求。
■硬件
提出身份鉴别的要求，例如设备之间建立双向身份验证机制。
提出访问控制的要求，例如在远程管理设备时不能直接连接其他网络。（防代理）
提出数据保密性的要求，例如保证设备之间网络通信的保密性。
特别增加了镜像和快照保护的控制要求。
提出了对身份验证机制的控制要求。
提出了对职责与权限划分、数据安全审计、恶意代码检测、虚拟机迁移、资源控制的要求。
原文：

Paas

提出了对数据集中审计的、职责划分的要求。
提出了对开发环境访问控制的要求。

Saas

特别增加了接口安全的控制要求。
提出了对应用系统监测、数据备份/存储/迁移/审计的控制要求。
提出了对职责与权限划分、数据安全审计、恶意代码检测、资源控制的要求。


特别增加了供应链管理、监控和审计管理的控制要求。
提出了对选择服务商、测试验收、台接口安全、授权审批的控制要求。

云计算安全拓展要求控制点/要求项

等保2.0扩展要求（二）移动互联

定级

移动互联技术的等级保护对象应作为一个整体对象定级，移动终端、移动应用和无线网络等要素不单独定级，与采用移动互联技术等级保护对象的应用环境和应用对象一起定级。
注意：云计算安全中云服务商和云租户是分开定级的。

移动终端

控制要求

提出了对移动终端自身安全、移动终端运行环境、移动终端应用管理的控制要求。
原文：
a）应对移动终端用户登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别；
b）移动终端应具有登录失败处理功能，应配置并启用限制非法登录次数等措施。

a）应启用移动终端安全审计功能，对终端用户重要操作及软件行为进行审计；
b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等，

a）移动终端应安装防恶意代码软件，并定期进行恶意代码扫描，及时更新防恶意代码软件版本和恶意代码库；
b）移动终端应支持移动业务应用软件仅运行在安全容器内，防止被恶意代码攻击。

a）应将移动终端处理访问不同等级等级保护对象的运行环境进行操作系统级隔离；
b）应将移动终端处理访问等级保护对象的运行环境与非处理访问等级保护对象运行环境进行系统级隔离；
c）应限制用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权。

华三移动IT解决方案

移动化终端的准入管理能力：准入、管理、控制

华三准入管理特点：能提供kehu 能想得到的任何网络身份准入形式

无线网络

控制要求

特别增加了网络设备防护、无线通信完整性和保密性的控制要求。
提出了对无线网络设备在无线设备接入、无线设备自身安全、通信安全、网络边界安全的控制要求。
原文
a）应保证无线接入网关的处理能力满足业务高峰期需要；
b）应保证无线接入设备的带宽满足业务高峰期需要；
c）无线接入设备应开启接入认证功能，并支持采用认证服务器或国产算法进行加密。

a）应在有线网络与无线网络边界根据访问控制策略设置访问控制规则，默认情况下，除允许通信外，受控接口拒绝所有通信；
b）应对来自移动终端的数据流量、数据包和协议等进行检查，以允许/拒绝数据包通过；
c）应在无线接入网关上对进出无线网络的数据进行内容过滤；

a）应能够检测、记录、定位非授权无线接入设备；
b）应能够对非授权移动终端接入的行为进行检测、记录、定位；
c）应具备对针对无线接入设备的网络扫描、DoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录、分析定位；

a）应能发现系统移动终端、无线接入设备、无线接入网关设备可能存在的漏洞，并在经过充分测试评估后，及时修补漏洞；
b）应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认证等；
c）应禁止多个AP使用同一个鉴别密钥。

移动应用

控制要求

特别增加了软件审核与检测的控制要求。
提出了对移动应用系统自身安全、代码完整性、通信安全、备份恢复管理的控制要求。

原文
a）使用口令登录时，应强制用户首次登录时修改初始口令，对用户的鉴别信息进行复杂度检查；
b）用户身份鉴别信息丢失或失效时，应采用鉴别信息重置或其他技术措施保证系统安全；
c）移动应用软件应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求；
d）移动应用软件应提供并启用登录失败处理功能，多次登录失败后应采取必要的保护措施；
e）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别。

a）移动应用软件应采用密码技术保证通信过程中数据的完整性；
b）移动应用软件应采用校验技术或密码技术保证重要数据存储时的完整性，并在检测到完整性错误时采取必要的恢复措施；
c）移动应用软件应采用校验技术保证代码的完整性。

a）移动应用软件应采用密码技术保证重要数据在本地存储时的保密性；
b）应确保移动应用软件之间的重要数据不能被互操作；
c）应确保移动应用软件数据文件所在的存储空间，被释放或重新分配前可得到完全清除；
d）移动应用软件应对通信过程中的敏感信息字段或整个报文进行密码加密。

应保证等级保护对象业务移动应用软件开发后上线前经专业测评机构安全检测。

移动管理

管理要求1

提出了对管理制度的制定、岗位职责设定、日常操作管理、技能培训的管理要求。

a）应建立等级保护对象移动互联安全管理制度，并纳入等级保护对象管理安全制度；
b）应对管理人员或移动终端操作人员执行的日常管理操作建立操作规程；
c）应在等级保护对象管理制度中建立移动终端管理服务端操作使用管理规定。

a）应将移动互联管理纳入等级保护对象管理员职责；
b）应设立移动互联信息安全管理工作的职能部门，并制定各负责人的职责；
c）应为移动终端管理服务端设置专职管理员、操作员，并纳入职能部门职责。

应保证移动终端管理服务端配备专职管理员、操作员和审计员

a）应根据各个部门和岗位的职责明确移动互联管理授权审批事项、审批部门和批准人；
b）应针对移动互联系统变更、重要操作、物理访问和系统接入等事项执行审批过程；c）应保证移动终端管理服务端设置专职管理员、操作员权限由审批部门或批准人批准。

a）应对各类人员进行移动互联管理安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施；
b）应对移动终端管理服务端设置专职管理员、操作员进行专项安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施

管理要求2

提出了对软件开发活动、产品采购、工程实施、方案设计、系统交付活动、服务商选择的管理要求。

a）应根据等级保护对象的安全保护等级选择移动互联基本安全措施，依据风险分析的结果补充和调整安全措施；
b）应根据等级保护对象的安全保护等级进行移动互联安全方案设计，并纳入系统总体方案设计；
c）应组织相关部门和安全专家对系统移动互联安全方案设计进行论证和审定，经过批准后才能正式实施。

a）应确保移动互联信息安全产品采购和使用符合国家的有关规定；
b）相关密码产品使用应符合国家密码管理相关规定。

应指定或授权专门的部门或人员负责系统移动互联工程实施过程的管理。
应对系统的移动互联部分进行安全性测试验收。

a）应根据交付清单对所交接的移动互联设备、移动应用软件和文档等进行清点；
b）应对负责系统移动互联运行维护的技术人员进行相应的技能培训
c）应确保提供移动互联建设过程中的文档和指导用户进行系统运行维护的文档；
d）应确保提供移动终端管理服务端建设过程中的文档和指导用户进行系统运行维护的文档。

a）应要求对移动业务应用软件开发者进行资格审查；
b）应确保开发移动业务应用软件的签名证书合法性；c）应要求移动应用软件开发完提供软件设计文档、使用指南及软件源代码；
d）应要求应用软件开发使用的工具来源可靠；
e）自行开发移动应用软件，应确保开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；
f）自行开发移动应用软件，应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；
g）自行开发移动应用软件，应确保具备软件设计的相关文档和使用指南，并对文档使用进行控制；
h）自行开发移动应用软件，应确保对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制。

a）应确保移动互联安全服务商的选择符合国家的有关规定；
b）应与选定的移动互联安全服务商签订与安全相关的协议，明确约定相关责任；
c）应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的信息安全相关义务；
d）应选择安全可靠应用软件分发运营商

管理要求3

特别增加了应用软件来源管理和监控和审计管理的要求。
提出了对资产管理、漏洞评估与修复、恶意代码检测、版本管理、备份恢复管理、事件处置的管理要求。
原文
a）应编制并保存与等级保护对象相关的移动终端资产清单，包括资产责任部门、重要程度和使用人等内容；
b）应根据资产的重要程度对移动终端 进行标识管理，根据其价值选择相应的管理措施。

a）应对各种移动互联设备（包括无线接入设备及移动终端）维护纳入等级保护对象进行管理；
b）应确保移动终端在报废或重用前应进行完全清除或被安全覆盖，确保该设备上的敏感数据和授权软件无法被恢复重用；
c）应在移动终端设备丢失后进行远程数据擦除。
应采取必要的措施识别移动互联安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。

a）应对移动终端应用软件恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等；
b）应对截获的恶意代码进行及时分析处理；
c）应保证移动终端管理服务端将移动应用软件运行策略推送给移动终端。

a）移动终端管理服务端应记录和保存移动终端基本配置信息，包括操作系统、软件组件版本、移动终端各种设备或软件组件的配置参数等；
b）移动终端管理服务端应将移动终端基本配置信息改变纳入系统变更范畴，实施对配置信息改变控制，并及时更新基本配置信息库；
c）应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。

a）应识别需要定期备份的移动终端中的重要业务信息、系统数据及软件系统等；
b）应规定备份信息的备份方式、备份频度、存储介质、保存期等；
c）应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。

a）应报告所发现的移动互联安全弱点和可疑事件；
b）应明确安全事件的报告和处置流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责；
c）应针对移动互联系统发生的安全事件制定应急处置预案。

a）应保证移动终端安装、运行的应用软件来自等级保护对象管理者指定证书签名或可靠分发渠道；
b）应保证移动终端安装、运行的移动应用软件由经审核的开发者开发。

a）应确保移动终端管理服务端对移动终端状态、资源使用、软件运行等进行监控和审计；
b）应对上线后的业务移动应用软件进行监测

移动互联安全拓展要求控制点/要求项小结

等保2.0扩展要求（三）工控安全

生产管理层

工业控制系统安全功能层次模型：4个层次。YL震网攻击是通过攻击生成管理层，来控制下面的层级。

控制要求1

提出了对网络区域防护、设备硬件冗余、访问控制(ACL)策略管理、审计管理的控制要求。
原文
a）应避免将重要网络区域部署在网络边界处且没有边界防护措施；
b）应提供通信线路、关键网络设备的硬件冗余，保证系统的可用性。

a）对一个可配置的时间或事件序列，应支持主管手动超驰当前人员用户授权；
b）应通过手动或在一个可配置非活动周期后系统自动启动会话锁定防止进一步访问。会话锁定应一直保持有效，直到拥有会话的人员用户或其它授权的人员用户使用适当的身份标识和鉴别规程重新建立访问；
c）应在一个可配置非活动时间周期后自动地，或由发起会话的用户手动地终止远程会话；
d）应在网络边界或安全域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
e）应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化。

a）应能生成安全相关审计记录，包括：访问控制、请求错误、操作系统事件、备份和恢复事件、配置改变、潜在的侦察活动和审计日志事件。单个审计记录应包括时间戳、来源（源设备、软件进程或人员用户帐户）、分类、类型、事件ID和事件结果；
b）应能集中管理审计事件并从系统多个组件收集审计记录，系统范围（逻辑或物理）的时间相关审计踪迹。应能按照工业标准格式输出这些审计记录，用于商业日志分析工具进行分析，例如，安全信息和事件管理（SIEM））；
c）根据一般公认的日志管理和系统配置的建议，系统应设置足够的审计记录存储容量。系统应提供审计机制来减少超出容量的可能性；
d）当分配审计记录存储值达到最大审计记录存储容量的配置比例时，系统应能发出警告；当容量超出时，支持覆盖；
e）在审计事件的处理失败时，系统能对人员进行警示并防止丧失基本服务和功能。根据普遍接受的工业实践和建议，系统应能在审计处理失败的情况下，采取恰当响应行动；
f）在审计记录生成时，系统应提供时间戳；
g）应在可配置的频率下，对系统时钟进行同步；
h）应保护审计信息和审计工具（如有），防止其在未授权情况下被获取、修改和删除；

控制要求2

特别增加了应用软件来源管理和监控和审计管理的要求。
提出了对资产管理、漏洞评估与修复、恶意代码检测、版本管理、备份恢复管理、事件处置的管理要求。
原文：
a）应对控制网络和非控制网络的边界，以及控制系统内安全域和安全域之间的边界，进行监视和控制区域边界通信；
b）应在控制网络和非控制网络的边界，以及控制系统内安全域和安全域之间的边界，默认拒绝所有网络数据流，允许例外网络数据流；
c）应在控制网络和非控制网络的边界，以及控制系统内安全域和安全域之间的边界上，阻止任何通过的通信；
d）应在控制网络和非控制网络的边界防护机制失效时，能阻止所有边界通信（也称）故障关闭）；但故障关闭功能的设计不应干扰安全相关功能的运行；应在控制系统内安全域和安全域之间的边界防护机制失效时，及时进行报警，并保障不影响关键设备通讯；
e）应能够对非授权设备联到内部网络的行为进行限制或检查；
f）应能够对内部用户未经授权联到外部网络的行为进行限制或检查；
g）应确保无线网络通过受控的控制网络和非控制网络的边界，以及控制系统内安全域和安全域之间的边界时，边界防护设备接入（有线）网络；
h）应能识别控制网络和非控制网络上的边界通讯入侵行为，并有效阻断；

a）应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；
b）应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。

a）应利用会话完整性机制，保证会话完整性；
b）应对通信过程中的敏感信息字段或整个报文进行加密

a）应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别；
b）根据普遍接受的安全工业实践，应对无线连接的授权、监视以及执行使用进行限制；

a）应在有效的补救条件下，识别和处理错误状况。在此过程中，不应暴露任何可被攻击者利用以攻击信息安全管理系统的信息，除非透露这一信息对于及时排除故障是必要的；
b）应禁止传输、接收私人消息；
c）应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；
d）应在关键网络节点处检测和限制从内部发起的网络攻击行为；
e）应采取技术措施对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分析；
f）当检源测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警件时应提供报警。

a）应能唯一地鉴别和认证全部人员用户。应在所有接口上执行标识和鉴别。当有人员用户访问时，应根据适用的安全策略和规程实施职责分离和最小权限；
b）应能对所有使用人员用户实施多因子鉴别；
c）应能对所有设备提供唯一性标识和鉴别。应在进行系统访问时，使所有接口根据适用的安全策略和规程支持最小权限，实施标识和鉴别。
d）应支持用户、组、角色或者接口的标识符管理功能；
e）应能初始化鉴别器内容；系统一经安装完成，立即改变所有鉴别器的默认值；改变或者刷新所有的鉴别器；当存储或者传输的时候，要保护鉴别器免受未经授权的泄露和修改；
f）对于使用设备的用户，应通过硬件机制保护相关鉴别器；
g）对于使用口令鉴别机制的设备，设备应能通过设置最小长度和多种字符类型，实现强制配置口令强度；h）设备应防止任何已有的用户账户重复使用同一批口令。此外，设备应加强用户口令的最大和最小有效期的使用。这些能力应符合一般公认的安全产业实践要求；
i）应根据通用的可以接受的安全行业实践和建议，通过硬件机制来保护相关的私钥；
j）应能够隐藏鉴别过程中的鉴别信息反馈；
k）应针对任何用户（人员、软件进程或设备）在可配置时间周期内，对连续无效的访问尝试进行可配置次数限制。当限制次数超出后，应在规定的周期内拒绝访问或者直到管理员解锁。对于代表关键服务或者服务器运行的系统账户，不应允许交互式登录；
l）在进行鉴别之前，应能显示系统提示信息。使用提示信息应可通过授权人进行配置；
m）当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。

a）应能支持授权用户管理所有帐户，包括添加、激活、修改、禁用和删除帐；
b）应能支持统一账户管理；
c）应在一个可配置非活动时间周期后自动地，或由发起会话的用户手动地终止远程会话；
d）对于所有接口，应根据职责分离和最小权限对特定用户（人员、软件进程或设备）实施控制系统的控制使用授权；
e）应能使授权用户或角色可对所有人员用户的许可到角色映射进行规定和修改；
f）应能在日常维护时，进行安全功能操作的验证和报告异常事件；
g）应限制默认账户的访问权限，重命名系统默认账户，修改默认口令；
h）应及时删除多余的、过期的账户，避免共享账户的存在。

控制要求3

特别增加了应用软件来源管理和监控和审计管理的要求。
提出了对资产管理、漏洞评估与修复、恶意代码检测、版本管理、备份恢复管理、事件处置的管理要求。
原文：
a）应能对可能造成损害的移动代码技术执行使用限制，包括：防止移动代码的执行；对于代码的来源要求适当的鉴别和授权；限制移动代码传入/传出系统；监视移动代码的使用；
b）应能允许代码执行之前验证移动代码完整性；
c）应能应用保护机制，防止、检测、报告和减轻恶意代码或未经授权软件的影响。应能更新防护机制；
d）应在所有入口和出口提供恶意代码防护机制；
e）应能管理恶意代码防护机制；
f）可采用可信计算技术建立从系统到应用的信任链，实现系统运行过程中重要程序或文件完整性检测，并在检测到破坏后进行恢复。

a）在不影响当前安全状态下，系统应能切换至和切换出应急电源的供应；
b）应对重要节点进行监视，包括监视CPU、硬盘、内存等资源的使用情况；
c）应能够对重要节点的服务水平降低到预先规定的最小值进行检测和报警。

a）无论在信息存储或传输时，都应对有明确读授权的信息提供保密性保护；
b）在进行加密时，应按照国家相关保密部门要求采用合适的加密算法、密钥长度和机制。

工控安全拓展要求控制点/要求项小结

等保2.0扩展要求（四）物联网

物联网架构-层次划分

物联网安全拓展要求控制点/要求项小结

主要防护的重点在传感器节点（1-4）和平台这两部分（5-8）