等保2.0|安全计算环境设备测评高危判定指南
文章出处：
作者：文网文代办
人气：
发表时间：2020-07-21 16:33
网络设备、安全设备、主机设备等
1、身份鉴别
设备弱口令
对应要求：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
判例内容：网络设备、安全设备、操作系统、数据库等存在空口令或弱口令帐户，并可通过该弱口令帐户登录，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、存在空口令或弱口令帐户；
2、可使用该弱口令帐户登录。
补偿措施：
1、如采用双因素认证等管控手段，恶意用户使用该空/弱口令帐号无法直接登录相关设备，可酌情降低风险等级。
2、如测评对象重要性较低，不会对整个信息系统安全性产生任何影响，可酌情降低风险等级。
整改建议：建议删除或重命名默认账户，制定相关管理制度，规范口令的最小长度、复杂度与生存周期，并根据管理制度要求，合理配置账户口令策略，提高口令质量。
远程管理防护
对应要求：当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
判例内容：通过不可控网络环境远程管理的网络设备、安全设备、操作系统、数据库等，鉴别信息明文传输，容易被监听，造成数据泄漏，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、通过不可控网络环境远程进行管理；
2、管理帐户口令以明文方式传输；
3、使用截获的帐号可远程登录。
补偿措施：
1、如整个远程管理过程中，只能使用加密传输通道进行鉴别信息传输的，可视为等效措施，判符合。
2、如采用多因素身份认证、访问地址限定、仅允许内部可控网络进行访问的措施时，窃听到口令而无法直接进行远程登录的，可酌情降低风险等级。
3、如通过其他技术管控手段（如准入控制、桌面管理、行为管理等），降低数据窃听隐患的，可酌情降低风险等级。
4、在有管控措施的情况下，如果默认采用加密进行管理，但同时也开启非加密管理方式，可根据实际管理情况，酌情判断风险等级。
5、可根据被测对象的作用以及重要程度，可根据实际情况，酌情判断风险等级。
整改建议：建议尽可能避免通过不可控网络对网络设备、安全设备、操作系统、数据库等进行远程管理，如确有需要，则建议采取措施或使用加密机制（如VPN加密通道、开启SSH、HTTPS协议等），防止鉴别信息在网络传输过程中被窃听。
双因素认证
对应要求：应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
判例内容：重要核心设备、操作系统等未采用两种或两种以上鉴别技术对用户身份进行鉴别。例如仅使用用户名/口令方式进行身份验证，削弱了管理员账户的安全性，无法避免账号的未授权窃取或违规使用，可判定为高风险。
适用范围：3级及以上系统。
满足条件（同时）：
1、3级及以上系统；
2、重要核心设备、操作系统等通过不可控网络环境远程进行管理；
3、设备未启用两种或两种以上鉴别技术对用户身份进行鉴别；4级系统多种鉴别技术中未用到密码技术或生物技术。
补偿措施：
1、如设备通过本地登录方式（非网络方式）维护，本地物理环境可控，可酌情降低风险等级。
2、采用两重用户名/口令认证措施（两重口令不同），例如身份认证服务器、堡垒机等手段，可酌情降低风险等级。
3、如设备所在物理环境、网络环境安全可控，网络窃听、违规接入等隐患较小，口令策略和复杂度、长度符合要求的情况下，可酌情降低风险等级。
4、可根据被测对象的作用以及重要程度，根据实际情况，酌情判断风险等级。
整改建议：建议重要核心设备、操作系统等增加除用户名/口令以外的身份鉴别技术，如密码/令牌、生物鉴别方式等，实现双因子身份鉴别，增强身份鉴别的安全力度。
2、 访问控制
默认口令处理
对应要求：应重命名或删除默认账户，修改默认账户的默认口令。
判例内容：网络设备、安全设备、操作系统、数据库等默认账号的默认口令未修改，使用默认口令进行登录设备，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、未修改默认帐户的默认口令；
2、可使用该默认口令账号登录。
补偿措施：无。
整改建议：建议网络设备、安全设备、操作系统、数据库等重命名或删除默认管理员账户，修改默认密码，使其具备一定的强度，增强账户安全性。
3、安全审计
设备安全审计措施
对应要求：应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
判例内容：重要核心网络设备、安全设备、操作系统、数据库等未开启任何审计功能，无法对重要的用户行为和重要安全事件进行审计，也无法对事件进行溯源，可判定为高风险。
适用范围：3级及以上系统。
满足条件（同时）：
1、3级及以上系统
2、重要核心网络设备、安全设备、操作系统、数据库等未开启任何审计功能，无法对重要的用户行为和重要安全事件进行审计；
3、无其他技术手段对重要的用户行为和重要安全事件进行溯源。
补偿措施：
1、如使用堡垒机或其他第三方审计工具进行日志审计，能有效记录用户行为和重要安全事件，可视为等效措施，判符合。
2、如通过其他技术或管理手段能对事件进行溯源的，可酌情降低风险等级。
3、如核查对象非重要核心设备，对整个信息系统影响有限的情况下，可酌情降低风险等级。
整改建议：建议在重要核心设备、安全设备、操作系统、数据库性能允许的前提下，开启用户操作类和安全事件类审计策略或使用第三方日志审计工具，实现对相关设备操作与安全行为的全面审计记录，保证发生安全问题时能够及时溯源。
4、入侵防范
不必要服务处置
对应要求：应关闭不需要的系统服务、默认共享和高危端口。
判例内容：网络设备、安全设备、操作系统等存在多余系统服务/默认共享/高危端口存在，且存在可被利用的高危漏洞或重大安全隐患，可判定为高风险。
适用范围：所有系统。
满足条件：操作系统上的多余系统服务/默认共享/高危端口存在可被利用的高风险漏洞或重大安全隐患。
补偿措施：如通过其他技术手段能降低漏洞影响，可酌情降低风险等级。
整改建议：建议网络设备、安全设备、操作系统等关闭不必要的服务和端口，减少后门等安全漏洞；根据自身应用需求，需要开启共享服务的，应合理设置相关配置，如设置账户权限等。
管理终端管控措施
对应要求：应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。
判例内容：通过不可控网络环境远程管理的网络设备、安全设备、操作系统、数据库等，未采取技术手段对管理终端进行限制，可判定为高风险。
适用范围：3级及以上系统。
满足条件（同时）：
1、3级及以上系统；
2、可通过不可控网络环境远程进行管理；
3、未采取技术手段对管理终端进行管控（管控措施包括但不限于终端接入管控、网络地址范围限制、堡垒机等）。
补偿措施：如管理终端部署在运维区、可控网络或采用多种身份鉴别方式等技术措施，可降低终端管控不善所带来的安全风险的，可酌情降低风险等级。
整改建议：建议通过技术手段，对管理终端进行限制。
已知重大漏洞修补
对应要求：应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
判例内容：对于一些互联网直接能够访问到的网络设备、安全设备、操作系统、数据库等，如存在外界披露的重大漏洞，未及时修补更新，无需考虑是否有POC攻击代码，可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、该设备可通过互联网访问；
2、该设备型号、版本存在外界披露的重大安全漏洞；
3、未及时采取修补或其他有效防范措施。
补偿措施：
1、如相关漏洞暴露在可控的网络环境，可酌情降低风险等级。
2、如某网络设备的WEB管理界面存在高风险漏洞，而该WEB管理界面只能通过特定IP或特定可控环境下才可访问，可酌情降低风险等级。
整改建议：建议订阅安全厂商漏洞推送或本地安装安全软件，及时了解漏洞动态，在充分测试评估的基础上，弥补严重安全漏洞。
测试发现漏洞修补
对应要求：应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
判例内容：通过验证测试或渗透测试能够确认并利用的，可对网络设备、安全设备、操作系统、数据库等造成重大安全隐患的漏洞（包括但不限于缓冲区溢出、提权漏洞、远程代码执行、严重逻辑缺陷、敏感数据泄露等），可判定为高风险。
适用范围：所有系统。
满足条件（同时）：
1、存在可被利用的高风险漏洞；
2、通过验证测试或渗透测试确认该高风险漏洞可能对该设备造成重大安全隐患。
补偿措施：只有在相关设备所在的物理、网络、管理环境严格受控，发生攻击行为可能性较小的情况下，方可酌情降低风险等级；对于互联网可访问到的设备，原则上不宜降低其风险等级。
整改建议：建议在充分测试的情况下，及时对设备进行补丁更新，修补已知的高风险安全漏洞；此外，还应定期对设备进行漏扫，及时处理发现的风险漏洞，提高设备稳定性与安全性。
5、恶意代码防范
操作系统恶意代码防范
对应要求：应采用主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。
判例内容：Windows操作系统未安装防恶意代码软件，并进行统一管理，无法防止来自外部的恶意攻击或系统漏洞带来的危害，可判定为高风险。
适用范围：所有系统。
满足条件（任意条件）：
1、Windows操作系统未安装杀毒软件。
2、Windows操作系统安装的杀毒软件病毒库一月以上未更新。（可根据服务器部署环境、行业或系统特性缩短或延长病毒库更新周期）
补偿措施：
1、如一个月以上未更新，但有完备的补丁更新/测试计划，且有历史计划执行记录的，可根据服务器部署环境、行业或系统特性酌情降低风险等级。
2、可与网络安全部分中的入侵防范和访问控制措施相结合来综合评定风险，如网络层部署了恶意代码防范设备，可酌情降低风险等级。
3、对与外网完全物理隔离的系统，其网络环境、USB介质等管控措施较好，可酌情降低风险等级。
整改建议：建议操作系统统一部署防病毒软件，或采用集成性质防病毒服务器或虚拟化底层防病毒措施，并及时更新病毒库，抵挡外部恶意代码攻击。
此文关键字：安全计算环境,
同类文章排行
- 营业性演出许可证办理条件&申请流程有哪些？
- 2022年文物拍卖许可证现在给办理吗？
- 上海广播电视节目制作经营许可证办理流程资料
- 企业符合什么条件能办理深圳文网文 办理深圳文网文材料
- 2022年广东文网文资质转让多少钱 收购的文网文变更审核材料
- 2022年深圳信息网络传播视听节目许可证代办年检
- 企业经营IDC业务却没有办理IDC经营许可证有什么处罚
- icp许可证代办找哪里办靠谱 申请ICP许可证的条件
- 河南网络文化经营许可证续期续期申请流程
- 广州网络文化经营许可证如何办理 在哪里办?多长时间?
