等保测评高风险判定——第三章 区域边界篇

提示：文章如有错误，欢迎指出。

---

前言

什么是等保测评：等保测评的全称是信息安全等级保护测评，是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。

高可用性系统:
可用性大于或等于99.9% ,年度停机时间小于或等于8.8小时的系统,例如,银行、证券、非银行支付机构、互联网金融等交易类系统，提供公共服务的民生类系统、工业控制类系统、云计算平台等。

---

提示：以下是本篇文章正文内容。

等保测评高风险判定——第二章 安全区域边界

安全区域边界

二级及以上系统高风险判定

1.1重要网络区域边界访问控制配置不当

要求项:应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信。

解读:重要网络区域与其他网络区域之间(包括内部区域边界和外部区域边界)访问控制设备配置不当或控制措施失效,存在较大安全隐患。

举例:
1.办公网络任意网络终端均可访问核心生产服务器和网络设备。
2.无线网络接入区终端可直接访问生产网络设备等。

补偿措施:无。

1.2外部网络攻击防御措施缺失

要求项:应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。

解读:
1.二级系统关键网络节点无任何网络攻击行为检测手段；
2.三级及以上系统关键网络节点对外部发起的攻击行为无任何防护手段；
3.网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求。

任意条件满足都可判定高风险。

举例:
1.网络攻击行为检测手段,例如未部署入侵检测系统；
2.系统关键网络节点对外部发起的攻击行为无任何防护手段,例如未部署IPS人侵防御设备、应用防火墙、反垃圾邮件、态势感知系统或抗DDoS设备等。

补偿措施:
1.主机设备部署入侵防范产品,且策略库﹑规则库更新及时,能够对攻击行为进行检测﹑阻断或限制,可根据实际措施效果,酌情判定风险等级。

注1:策略库﹑规则库的更新周期可根据部署环境、行业或设备特性缩短或延长。
注2:所列举的防护设备仅为举例使用。测评过程中,应分析定级对象所面临的威胁﹑风险以及安全防护需求,并以此为依据检查是否合理配备了对应的防护设备。

1.3恶意代码防范措施缺失

要求项:应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的更新。

解读:
1.主机层无恶意代码检测和清除措施，或恶意代码库一个月以上未更新;
2.网络层无恶意代码检测和清除措施，或恶意代码库一个月以上未更新。

全部条件都满足才可判定高风险。

补偿措施:
1) 对于使用Linux.Unix、Solaris、CentOS. AIX. Mac等非Windows操作系统的二级系统，主机和网络层均未部署恶意代码检测和清除产品,可从总体防御揩施、恶意代码人侵的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
2)与互联网完全物理隔离或强逻辑隔离的系统,其网络环境可控,并采取USB介质管控、部署主机防护软件、软件白名单等技术措施，能有效防范恶意代码进人被测主机或网络,可根据实际措施效果,酌情判定风险等级;
3)主机设备采用可信基的防控技术,对设备运行环境进行有效度量,可根据实际措施效果，酌情判定风险等级。

1.4 网络安全审计措施缺失

要求项:应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计。

解读:
1.在网络边界、关键网络节点无法对重要的用户行为进行日志审计;
2.在网络边界、关键网络节点无法对重要安全事件进行日志审计。

全部条件都满足才可判定高风险。

补偿措施:无。

注:网络安全审计指通过对网络边界或重要网络节点的流量数据进行分析,从而形成的网络安全审计数据。网络安全审计包括网络流量审计和网络安全事件审计,其中网络流量审计主要是通过对网络流量进行统计、关联分析、识别和筛选,实现对网络中特定重要行为的审计,例如对各种违规的访问协议及其流量的审计、对访问敏感数据的人员行为或系统行为的审计等;网络安全事件审计包括但不限于对网络人侵检测,网络人侵防御,防病毒产品等设备检测到的网络攻击行为、恶意代码传播行为的审计等。

三级及以上系统高风险判定

2.1无线网络管控措施缺失

要求项:应限制无线网络的使用,保证无线网络通过受控的边界设备接人内部网络。

解读:
1.内部重要网络与无线网络互联,且不通过任何受控的边界设备,或边界设备控制策略设置不当,一旦非授权接人无线网络即可访问内部重要资源。

补偿措施:
1.对于必须使用无线网络的场景,可从无线接入设备的管控和身份认证措施、非授权接入的可能性等角度进行综合风险分析,根据分析结果，酌情判定风险等级。

2.2内部网络攻击防御措施缺失

要求项:应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。

解读:
1.关键网络节点对内部发起的攻击行为无任何检测、防护手段,例如未部署人侵检测系统、IPS人侵防御设备、态势感知系统等;
2.网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求。

补偿措施:
1.对于主机设备部署入侵防范产品的情况，可从策略库、规则库更新情况，对攻击行为的防护能力等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
2.对于重要网络区域与其他内部网络之间部署防火墙等访问控制设备,且对访问的目标地址、目标端口、源地址、源端口、访问协议等有严格限制的情况,可从现有措施能否对内部网络攻击起到限制作用等角度进行综合风险分析，根据分析结果,酌情判定风险等级;
3.对于与互联网完全物理隔离或强逻辑隔离的系统,可从网络、终端采取的管控,攻击源进入内部网络的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

---

总结

以上就是今天要讲的内容，本文仅仅简单介绍了安全区域边界篇的高风险判定，如有不解和错误，欢迎大家一块讨论。

                                                    FROM：MZR