4.2.3网络设备防护

4.2.3.1应定期对网络设备的配置文件进行备份，配置发生变更时应及时备份原有配置。 4.2.3.2应定期对网络设备运行状况进行检查。 4.2.3.3应关闭网络设备上不使用的端口，并建立相应的端口开放审批制度。 4.2.3.4应定期检验网络设备软件版本信息，避免使用软件版本中出现的安全隐患。 4.2.3.5网络设备用户的标识应具有唯一性。 4.2.3.6应实现设备管理员、操作员、审计员的权限分离。

水库标准规范范本4.3主机与数据库安全

4.3.1主机与数据库身份鉴别

主机身份鉴别应符合5.2.3的规定。

主机身份鉴别应符合5.2.3的规定。

4.3.2主机与数据库访问控制

4.3.2.1应依据工作权限最小化原则启用访问控制功能。 4.3.2.2应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权 限。 4.3.2.3 应实现操作系统和数据库系统特权用户的权限分离。 4.3.2.4应严格限制默认帐户的访问权限，重命名系统默认帐户，修改默认帐户的默认口令 4.3.2.5应及时锁定或撤销多余的、过期的帐户，避免共享帐户的存在，

4.3.3主机与数据库剩余信息保护

4.3.3.1应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给！ 前得到完全清除。

到完全清除。 3.2应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其 前得到完全清除。

4.3.4主机入侵防范

4.3.4.1应能对重要程序的完整性进行检测， 并具有完整性受到破环后的恢复措施， 4.3.4.2操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等 方式保持系统补丁及时得到更新， 4.3.4.3操作系统开放的服务应遵循小化原则，关闭系统运行时不需要的应用服务

1.3.5主机恶意代码防

4.3.5.1应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。 4.3.5.2主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库。 4.3.5.3应支持防恶意代码的统一管理。

4.3.6主机与数据库资源控制

4.3.6.1应通过设定终端接入方式、网络地址范围等条件限制终端登录。 4.3.6.2应根据安全策略设置登录终端的操作超时锁定。 4.3.6.3应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况 4.3.6.4应限制单个用户对系统资源的最大或最小使用限度。 4.3.6.5应能够对系统的服务水平降低到预先规定的最小值进行检测和报警

4. 3.7 软件安全

4.3.7.1应部署全网用户的软件资源库，为用户提供常用软件下载安装。 4.3.7.2应软件或软件版本更新前，应有专人对软件进行检测，通过审批后方可将新软件向用户发布。 4.3.7.3应部署相应技术手段控制终端用户通过非法途径获得的软件或非授权的软件在终端计算机上 进行安装。 4.3.7.4生产系统服务器安装新软件需通过相关的授权审批。

4.4.1网络安全审讯

4.4.1.1应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录，内容包括：事 件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。 4.4.1.2应对网络中产生的正常通信内容进行梳理，并制定非正常通信内部的监测预警策略，及时将 网络中非正常的通信内容采取技术手段通知安全管理人员。 4.4.1.3应能够根据记录数据进行分析生成审计报表。对审计记录进行保护，避免受到未预期的删除 修改或覆盖等

4.4.2主机安全审讯

4.4.2.1审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户， 4.4.2.2审计内容包括：重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的 安全相关事件。

4.4.2.4能根据记录数据进行分析，并生成审计报表，应保护审计进程，避免受到未预期的中断，应 保护审计记录，避免受到未预期的删除、修改或覆盖等，

4.4.3应用安全审计

4.4.3.1应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计，审计记录至少 包括：事件的日期、时间、发起者信息、类型、描述和结果等。 4.4.3.2应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录，应提供对审计记录数据进 行统计、查询、分析及生成审计报表的功能。

根据业务安全需求可划分为两个计算机域：互联网计算域与内联网计算域。在两个计算域中根据业 务应用关系可划分多个子域，见图1

5.2.1.1公共信息服务类

图1安全计算域划分图

5.2.1.1.1应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问 5.2.1.1.2访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作。 5.2.1.1.3应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限。 5. 2. 1.1.4 应授予不同管理帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的 关系。 5.2.1.1.5应具有对重要信息资源设置敏感标记的功能。 5.2.1.1.6应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

时备份系统文件，备份文件应场外存储， 5.2.1.1.8应部署防篡改技术，防止主要的网立 站页面被恶意篡改

5.2.1.2非公共信息服务类

5.2.1.2.1应符合5.2.1.1.1规定。

5.2.1.2.2具备应用身份鉴别的功能，应实现：

提供专用的登录控制模块对登录用户进行身份标识和鉴别，并使用两种及以上的组织鉴别技 术； 提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标 识，身份鉴别信息不易被冒用； 提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功 能，并根据安全策略配置相关参数。

5.2.1.2.3应采用密码技术保证通信过程中数据的完整性。

5.2.1.2.3应采用密码技术保证通信过

5.2.1.2.5具备抗抵赖的功能，应实现

5.2.1.2.6具备软件容错，应实现：

提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度 系统设定要求； 提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复 2.1.2.7具备应用资源控制，应实现：

提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。

方能够自动结束会话： 能够对系统的最大并发会话连接数进行限制； 能够对单个帐户的多重并发会话进行限制； 能够对一个时间段内可能的并发会话连接数进行限制； 能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额； 能够对系统服务水平降低到预先规定的最小值进行检测和报警； 提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据 优先级分配系统资源，

5.2.1.2.8具备应用剩余信息保护，应实现：

保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息 是存放在硬盘上还是在内存中； 保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前 得到完全清除。

互联网信息收集计算域安全应符合5.2.1.1.1的规定：

5.2.3互联网终端计算机子域

5.2.3.1主机身份鉴别

5.2.3.1.1应对终端计算机登录操作系统用户进行身份标识和鉴别

5. 2. 3. 2 主机访问控制

5.2.3.2.1应限制终端计算机用户通过管理员账号登录计算机。 5.2.3.2.2应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令 5.2.3.2.3应及时删除多余的、过期的帐户，避免共享帐户的存在。 5.2.3.2.4应限制在终端计算机上处理及存放机关办公文件及业务工作文件。

5.2.3.3主机入侵防范

5.2.3.3.1终端计算机操作系统应启用个人防火墙功能，限制其它计算机访问终端计算机。 5.2.3.3.2终端计算机操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序。 5.2.3.3.3应通过统一的补丁服务器更新终端计算机的系统补丁

5.2.3.4主机恶意代码防范

5.2.3.4.1应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库 5.2.3.4.2主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库。 5.2.3.4.3应支持防恶意代码的统一管理。

5.2.4管理维护计算机子域

5.2.4.1主机身份鉴别

身份鉴别的安全要求应符合5.2.3.1的规定。

身份鉴别的安全要求应符合5.2.3.1的规定。

5.2.4.2主机访问控制

营理维护计算机域的访日控制除存合5，2，3，2的规定外， 还应实现： 限制外来计算机接入或访问管理维护计算域， 限制管理维护计算域的计算机不能连接互联网

5.2.4.3主机入侵防范

入侵防范的安全要求应符合5.2.3.3的规定。

5.2.4.4主机恶意代码防范

恶意代码防范的安全要求应符合5.2.3.4的规定

5.2.5外来接入计算机子域

5.2.5.1入网身份鉴别

应为已获得授权的外来计算机分配接入本计算域

5.2.5.1.2应限制已获得授权的外来计算机接入本计算域的时间，超时后自动锁定账号。

5. 2. 5. 2网络访问控制

应限制已获得授权的外来计算机的访问范围

5.2.6移动接入子域

5. 2. 6.1主机身份鉴别

身份鉴别的安全要求应符合5.2.3.1的规定。

5.2.6.2主机访问控制

5.2.6.2.1应限制终端计算机用户通过管理员账号登录计算机。 5.2.6.2.2应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令。 5.2.6.2.3应及时删除多余的、过期的帐户，避免共享帐户的存在。 5.2.6.3主机入侵防范 5.2.6.3.1 终端计算机操作系统应启用个人防火墙功能，限制其它计算机访问终端计算机。 5.2.6.3.2终端计算机操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序

5.2.6.2.1应限制终端计算机用户通过管理员账号登录计算机。 5.2.6.2.2应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认 5.2.6.2.3应及时删除多余的、过期的帐户，避免共享帐户的存在

5.2. 6.3主机入侵防范

5.2.6.3.1终端计算机操作系统应启用个人防火墙功能，限制其它计算机访问终端计算机。 5.2.6.3.2终端计算机操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序。 5.2.6.3.3应及时更新终端计算机的系统补丁

5. 2. 6. 4 主机恶意代码防范

5. 2. 6. 5 通信安全

通过互联网连接到内部网络时应采取有效的通信加密措施，加密强度不低于128位。应中断与 的其它接连，采取双因子的认证方式并控制访问的范围。

5.2.7互联网数据中心计算子域

5.2.7.1数据完整性

应能够检测到系统管理数据、鉴别信息和重要业务数据在传输与存储过程中完整性受到破环，并在 检测到完整性错误时采取必要的恢复措施

5.2.7.2备份和恢复

5.2.7.2.1应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质应场外存放 5.2.7.2.2应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地。 5.2.7.2.3应采用元余技术设计网络拓扑结构，避免关键节点存在单点故障。 5.2.7.2.4应提供主要网络设备、 通信线路和数据处理系统的硬件穴余，保证系统的高可用性

据中心计算子域的安全保护要求应合5.2.7的规

5.3.2业务服务计算子域

务计算域的安全保护要求应符合5.2.1的规定。

5.3.3机关办公服务计算子域

机关办公服务计算机的安全保护应符合5.2.1的

5.3.4业务终端计算子域

5.3.4.1主机身份鉴别

身份鉴别的安全要求应符合5.2.3.1的规定

.3.4.2主机访问控制

业务终端计算机域的访问控制除应符合5.2.3.2.1、5.2.3.2.2、5.2.3.2.3的规定外，还应 5.3.4.2.1限制终端计算机完成工作以外的权限开放。 5.3.4.2.2应限制终端计算机安装软件的来源，控制外来软件未经安全检测直接在终端计算机上安装 运行。 5.3.4.2.3应限制未授权的办公文件带出本计算机域，或在其它计算域上运行。 5.3.4.2.4应对终端计算机的外围设施进行管理，限制非授权设备接入到终端计算机上使用。 5.3.4.2.5应对外来计算机接入到本计算域进行控制，经授权接入的外来计算机应限制访问的范围，

5.3.4.3主机入侵防范

5.3.4.3.1终端计算机操作系统应启用个人防火墙功能，限制其它计算机访问终端计算机， 5.3.4.3.2终端计算机操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序。 5.3.4.3.3应通过统一的补丁服务器更新终端计算机的系统补丁。 5.3.4.3.4应设置补丁服务器进行系统补丁升级的时间，通过网络策略控制补丁服务器对互联网的访 问，并定期修改服务器更新补丁的时间

减3. 4. 4主机恶意代码

5.3.4.4.1应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。 5.3.4.4.2主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库。 5.3.4.4.3应支持防恶意代码的统一管理。 5.3.4.4.4应设置恶意代码服务器进行恶意代码库升级的时间，通过网络策略控制恶意代码服务器对 互联网的访问，并定期修改服务器更新补丁的时间，

5.3.5机关办公终端计算子域

5.3.6数据交换计算子域

5. 3. 6. 1 主机与数据库访问控制

5.3.6.1.2访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作。 5.3.6.1.3应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限， 并在它们之间形成相互制约的关系。

5.3.7管理维护计算子域

管理维护计算域安全保护应符合5.2.4的要求。

5.3.8外来接入计算子域

5.3.8.1入网身份鉴别

来接入计算域安全身份鉴别参照5.2.3.1

5. 3. 8. 2 主机访问控制

5.3.8.2.1应控制已获得授权的外 机对其它计算域的访问范围

5. 3. 8. 3主机入侵防范

应确保已获得授权的外来计算机已安装最新的操作系统补工

应确保已获得授权的外来计算机已安装最新的操作系统补工。

5. 3.8. 4主机恶意代码防范

5.3.8.4.1应确保已获得授权的外来计算 防意代软件， 并保证恶意代码库已更新。

5.3.8.4.1应确保已获得授权的外来计算

安全界保护的原则是禁止各计算域区的数据通信，根据需要设置相应的访问权限，并在需要开 权限的通信信道上实施相应的技术保护。根据计算域区的访问关系，安全边界划分见图2。

6. 2. 1网络访问控制

6.2.1.1应在网络边界部署访问控制设备，启用访问控制功能。 6.2.1.2应在网络边界通过IP地址翻译技术，隐藏内部网络结构。 6.2.1.3应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级。 6.2.1.4应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议 命令级的控制。 6.2.1.5应在会话处于非活跃一定时间或会话结束后终止网络连接。 6.2.1.6应根据互联网信息服务计算域、互联网信息收集计算域、互联网终端计算机的实际网络需求 划分网络带宽，保障重要系统获得必要的网络资源。 6.2.1.7应限制互联监测点上传数据的IP地址。 6.2.1.8通过互联网拨号访问到内部网络时应必需通过加密信道的方式，根据用户需要分配账号与口 令，并限制访问范围。 6.2.1.9通过互联网拨号访问到内部网络时应限制计算机与互联网产生非加密的信息传输。 6. 2. 1.10 通过互联网拨号访问到内部网络时应断开互联网其它的通信连接

6.2.2网络入侵防范

6.2.2.1应在网络边界处控制以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、 缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，记录范围包含外网攻击内网，并同时记录内网攻击 外网的行为。 6.2.2.2当检测到攻击行为时，阻断并记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重 入侵事件时应提供报警。

6.2.3网络恶意代码防范

6.2.3.1应在网络边界处对恶意代码进行检测和清除

6.3互联网服务器边界

6.3.1网站安全防范

6.3.1.1应过滤针对HTTP攻击的通信内容

6.3.2邮件系统安全防范

6.5内联网服务器边界

6.5.1网络访问控制

6.5.1.1应在网络边界部署访问控制设备，根据应用关系启用访问控制功能。 6.5.1.2应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级 6.5.1.3应在会话处于非活跃一定时间或会话结束后终止网络连接。 6.5.1.4应根据内部信息系统实际网络需求划分网络带宽，保障重要系统获得必要的网络资源。

6.5.2网络入侵防范

网络入侵防范安全要求应符合6.2.2的规定

数据中心安全保护要求应符合6.5.1的规定。

6.7.1网络访问控制

6.7.1.1应在网络边界部署访问控制设备，根据应用关系启用访问控制功能： 6.7.1.2应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； 6.7.1.3应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议 命令级的控制： 6.7.1.4应在会话处于非活跃一定时间或会话结束后终止网络连接

6.7.1.4应在会话处于非活跃一定时间或会话结束后终止网络连接： 6.7.1.5应限制外联网直接访问内联网络的IP地址。

6.7.2网络入侵防范

入侵防范要求应符合6.2.2的规定。

7.1.1应根据信息系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措 施。 7.1.2应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工 作计划。 7.1.3应根据信息系统的等级划分情况暖通空调图纸、图集，统一考虑安全保障体系的总体安全策略、安全技术框架、安 全管理策略、总体建设规划和详细设计方案，并形成配套文件。 7.1.4应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建 设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，经过批准后，才能正式实施。

7.1.1应根据信息系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全指 施。 7.1.2应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工 作计划。 7.1.3应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安 全管理策略、总体建设规划和详细设计方案，并形成配套文件。 7.1.4应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建 设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，经过批准后，才能正式实施。

7.1.5应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策 略、总体建设规划、详细设计方案等相关配套文件

7.2.1应确保安全产品采购和使用符合国家的有关规定。 7.2.2应确保密码产品采购和使用符合国家密码主管部门的要求。 7.2.3应指定或授权专门的部门负责相关产品的采购。 7.2.4应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单

7.3.1应确保开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受 到控制。 7.3.2应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。 7.3.3应制定代码编写安全规范，要求开发人员参照规范编写代码。 7.3.4 应确保提供软件设计的相关文档和使用指南，并由专人负责保管。 7.3.5应确保对程序资源库的修改、更新、发布进行授权和批准。

7.4.1应根据开发需求检测软件质量。 7.4.2应在软件安装之前检测软件包中可能存在的恶意代码。 7.4.3应要求开发单位提供软件设计的相关文档和使用指南。 7.4.4应要求开发单位提供软件源代码水利工艺、技术交底，并审查软件中可能存在的后门

7.5.1应指定或授权专门的部门或人员负责工程实施过程的管理 7.5.2应制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程， 7.5.3应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。