等保知识|测评高风险项详解：安全区域边界
前言
在等级保护2.0标准“安全区域边界”层面的核心控制点包括“边界防护”、“访问控制”、“入侵防范”和“安全审计”。其核心防护要求是：
1、网络边界处要有有效、可控的访问控制措施，且控制粒度和力度在等保1.0基础上有所升级；
2、要能判断出3个非法边界（非法接入、非法外联、无线使用）进行有效控制；
3、四级系统要使用协议转换及隔离措施。
4、网络中要能对内、外部网络攻击、恶意代码攻击有发现、分析及防御能力，并按《网络安全法》的要求保留相关网络安全审计日志。
因此，《高风险判定指引》在“安全区域边界”方面围绕以上核心防护要求展开，给出可判“高风险”的一般场景，强化要求的落地实现。
01边界防护
1.1 互联网访问控制
对应要求：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
判例内容：互联网出口无任何访问控制措施，或访问控制措施配置失效，存在较大安全隐患，可判定为高风险。
适用范围：所有系统。
满足条件（任意条件）：
1、互联网出口无任何访问控制措施。
2、互联网出口访问控制措施配置不当，存在较大安全隐患。
3、互联网出口访问控制措施配置失效，无法起到相关控制功能。
补偿措施：边界访问控制设备不一定要是防火墙，只要是能实现相关的访问控制功能，形态为专用设备，且有相关功能能够提供相应的检测报告，可视为等效措施，判符合。如通过路由器、交换机或者带ACL功能的负载均衡器等设备实现，可根据系统重要程度，设备性能压力等因素，酌情判定风险等级。
整改建议：建议在互联网出口部署专用的访问控制设备，并合理配置相关控制策略，确保控制措施有效。
1.2 网络访问控制设备不可控
对应要求：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
判例内容：互联网边界访问控制设备若无管理权限，且未按需要提供访问控制策略，无法根据业务需要或所发生的安全事件及时调整访问控制策略，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、互联网边界访问控制设备无管理权限；
2、无其他任何有效访问控制措施；
3、无法根据业务需要或所发生的安全事件及时调整访问控制策略。
补偿措施：无。
整改建议：建议部署自有的边界访问控制设备或租用有管理权限的边界访问控制设备，且对相关设备进行合理配置。
1.3 违规内联检查措施
对应要求：应能够对非授权设备私自联到内部网络的行为进行检查或限制。
判例内容：非授权设备能够直接接入重要网络区域，如服务器区、管理网段、业务网段等，且无任何告警、限制、阻断等措施的，可判定为高风险。
适用范围：三级及以上系统。
满足条件（同时）：
1、三级及以上系统；
2、机房、网络等环境不可控，存在非授权接入可能；
3、可非授权接入网络重要区域，如服务器区、管理网段业务网段等；
4、无任何控制措施，控制措施包括限制、检查、阻断等。
补偿措施：如接入的区域有严格的物理访问控制，采用静态IP地址分配，关闭不必要的接入端口，IP-MAC地址绑定等措施的，可酌情降低风险等级。
整改建议：建议部署能够对违规内联行为进行检查、定位和阻断的安全准入产品。
1.4 违规外联检查措施
对应要求：应能够对内部用户非授权联到外部网络的行为进行检查或限制。
判例内容：重要核心管理终端、重要业务终端等关键设备，如无法对非授权联到外部网络的行为进行检查或限制，或内部人员可旁路、绕过边界访问控制设备私自外联互联网，可判定为高风险。
适用范围：三级及以上系统。
满足条件（同时）：
1、三级及以上系统；
2、物理、网络等环境不可控，存在非授权外联可能；
3、重要核心管理终端、重要业务终端等关键设备存在私自外联互联网可能；
4、无任何控制措施，控制措施包括限制、检查、阻断等。
补偿措施：如物理、网络等环境可控，非授权外联可能较小，相关设备上的USB接口、无线网卡等有管控措施，对网络异常进行监控及日志审查，可酌情降低风险等级。
整改建议：建议部署能够对违规外联行为进行检查、定位和阻断的安全管理产品。
1.5 无线网络管控措施
对应要求：应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。
判例内容：内部核心网络与无线网络互联，且之间无任何管控措施，一旦非授权接入无线网络即可访问内部核心网络区域，存在较大安全隐患，可判定为高风险。
适用范围：三级及以上系统。
满足条件（同时）：
1、三级及以上系统；
2、内部核心网络与无线网络互联，且不通过任何受控的边界设备，或边界设备控制策略设置不当；
3、非授权接入无线网络将对内部核心网络带来较大安全隐患。
补偿措施：
1、在特殊应用场景下，无线覆盖区域较小，且严格受控，仅有授权人员方可进入覆盖区域的，可酌情降低风险等级；
2、对无线接入有严格的管控及身份认证措施，非授权接入可能较小，可根据管控措施的情况酌情降低风险等级。
整改建议：如无特殊需要，内部核心网络不应与无线网络互联；如因业务需要，则建议加强对无线网络设备接入的管控，并通过边界设备对无线网络的接入设备对内部核心网络的访问进行限制，降低攻击者利用无线网络入侵内部核心网络。
02访问控制
2.1 互联网边界访问控制
对应要求：应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信。
判例内容：与互联网互连的系统，边界处如无专用的访问控制设备或配置了全通策略，可判定为高风险。
适用范围：所有系统。
满足条件（任意条件）：
1、互联网出口无任何访问控制措施。
2、互联网出口访问控制措施配置不当，存在较大安全隐患。
3、互联网出口访问控制措施配置失效，启用透明模式，无法起到相关控制功能。
补偿措施：边界访问控制设备不一定要是防火墙，只要是能实现相关的访问控制功能，形态为专用设备，且有相关功能能够提供相应的检测报告，可视为等效措施，判符合。如通过路由器、交换机或者带ACL功能的负载均衡器等设备实现，可根据系统重要程度，设备性能压力等因素，酌情判定风险等级。
整改建议：建议在互联网出口部署专用的访问控制设备，并合理配置相关控制策略，确保控制措施有效。
2.2 通信协议转换及隔离措施
对应要求：应在网络边界通过通信协议转换或通信协议隔离等方式进行数据交换。
判例内容：可控网络环境与不可控网络环境之间数据传输未采用通信协议转换或通信协议隔离等方式进行数据转换，可判定为高风险。
适用范围：四级系统。
满足条件（同时）：
1、四级系统；
2、可控网络环境与不可控网络环境之间数据传输未进行数据格式或协议转化，也未采用通讯协议隔离措施。
补偿措施：如通过相关技术/安全专家论证，系统由于业务场景需要，无法通过通信协议转换或通信协议隔离等方式进行数据转换的，但有其他安全保障措施的，可酌情降低风险等级。
整改建议：建议数据在不同等级网络边界之间传输时，通过通信协议转换或通信协议隔离等方式进行数据交换。
03入侵防范
3.1 外部网络攻击防御
对应要求：应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。
判例内容：关键网络节点（如互联网边界处）未采取任何防护措施，无法检测、阻止或限制互联网发起的攻击行为，可判定为高风险。
适用范围：三级及以上系统。
满足条件（同时）：
1、三级及以上系统；
2、关键网络节点（如互联网边界处）无任何入侵防护手段（如入侵防御设备、云防、WAF等对外部网络发起的攻击行为进行检测、阻断或限制）。
补偿措施：如具备入侵检测能力（IDS），且监控措施较为完善，能够及时对入侵行为进行干预的，可酌情降低风险等级。
整改建议：建议在关键网络节点（如互联网边界处）合理部署可对攻击行为进行检测、阻断或限制的防护设备（如抗APT攻击系统、网络回溯系统、威胁情报检测系统、入侵防护系统等），或购买云防等外部抗攻击服务。
3.2 内部网络攻击防御
对应要求：应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。
判例内容：关键网络节点（如核心服务器区与其他内部网络区域边界处）未采取任何防护措施，无法检测、阻止或限制从内部发起的网络攻击行为，可判定为高风险。
适用范围：三级及以上系统。
满足条件（同时）：
1、三级及以上系统；
2、关键网络节点（如核心服务器区与其他内部网络区域边界处）无任何入侵防护手段（如入侵防御、防火墙等对内部网络发起的攻击行为进行检测、阻断或限制）。
补偿措施：如核心服务器区与其他内部网络之间部署了防火墙等访问控制设备，且访问控制措施较为严格，发生内部网络攻击可能性较小或有一定的检测、防止或限制能力，可酌情降低风险等级。
整改建议：建议在关键网络节点处（如核心服务器区与其他内部网络区域边界处）进行严格的访问控制措施，并部署相关的防护设备，检测、防止或限制从内部发起的网络攻击行为。
04恶意代码和垃圾邮件防范
4.1 网络层恶意代码防范
对应要求：应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。
判例内容：主机和网络层均无任何恶意代码检测和清除措施的，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、主机层无恶意代码检测和清除措施；
2、网络层无恶意代码检测和清除措施。
补偿措施：
1、如主机层部署恶意代码检测和清除产品，且恶意代码库保持更新，可酌情降低风险等级。
2、如2级及以下系统，使用Linux、Unix系统，主机和网络层均未部署恶意代码检测和清除产品，可视总体防御措施酌情降低风险等级。
3、对与外网完全物理隔离的系统，其网络环境、USB介质等管控措施较好，可酌情降低风险等级。
整改建议：建议在关键网络节点处部署恶意代码检测和清除产品，且与主机层恶意代码防范产品形成异构模式，有效检测及清除可能出现的恶意代码攻击。
05安全审计
5.1 网络安全审计措施
对应要求：应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
判例内容：在网络边界、重要网络节点无任何安全审计措施，无法对重要的用户行为和重要安全事件进行日志审计，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、无法对重要的用户行为和重要安全事件进行日志审计。
补偿措施：无。
整改建议：建议在网络边界、重要网络节点，对重要的用户行为和重要安全事件进行日志审计，便于对相关事件或行为进行追溯。