GB／T 25070-2019  信息安全技术 网络安全等级保护安全设计技术要求

图2云计算等级保护安全技术设计框架

用户通过安全的通信网络以网络直接访问、API接口访问和WEB服务访问等方式安全地访问云 服务商提供的安全计算环境，其中用户终端自身的安全保障不在本部分范畴内。安全计算环境包括资 原层安全和服务层安全。其中，资源层分为物理资源和虚拟资源，需要明确物理资源安全设计技术要求 和虚拟资源安全设计要求，其中物理与环境安全不在本部分范畴内。服务层是对云服务商所提供服务 的实现，包含实现服务所需的软件组件，根据服务模式不同，云服务商和云租户承担的安全责任不同。 服务层安全设计需要明确云服务商控制的资源范围内的安全设计技术要求，并且云服务商可以通过提 共安全接口和安全服务为云租户提供安全技术和安全防护能力。云计算环境的系统管理、安全管理和 安全审计由安全管理中心统一管控。结合本框架对不同等级的云计算环境进行安全技术设计，同时通 过服务层安全支持对不同等级云租户端（业务系统）的安全设计

5.3移动互联等级保护安全技术设计框架

移动互联系统安全防护参考架构如图3，其中安全计算环境由核心业务域、DMZ域和远程接入域 个安全域组成，安全区域边界由移动互联系统区域边界、移动终端区域边界、传统计算终端区域边界 该心服务器区域边界、DMZ区域边界组成，安全通信网络由移动运营商或用户自已搭建的无线网络 租成。 核心业务域 核心业务域是移动互联系统的核心区域，该区域由移动端、传统计算终端和服务器构成，完 成对移动互联业务的处理、维护等。核心业务域应重点保障该域内服务器、计算终端和移动终 端的操作系统安全、应用安全、网络通信安全、设备接人安全。 b）DMZ域 DMZ域是移动互联系统的对外服务区域，部署对外服务的服务器及应用，如Web服务器、数 据库服务器等，该区域和互联网相联，来自互联网的访问请求应经过该区域中转才能访问核心 业务域。DMZ域应重点保障服务器操作系统及应用安全

酒店标准规范范本GB/T25070—2019

互联等级保护安全技术设

远程接入域由移动互联系统运营使用单位可控的，通过VPN等技术手段远程接入移动互联 系统运营使用单位网络的移动终端组成，完成远程办公、应用系统管控等业务。远程接人域应 重点保障远程移动终端自身运行安全、接入移动互联应用系统安全和通信网络安全。 本标准将移动互联系统中的计算节点分为两类：移动计算节点和传统计算节点。移动计算节点主 要包括远程接入域和核心业务域中的移动终端，传统计算节点主要包括核心业务域中的传统计算终端 和服务器等。传统计算节点及其边界安全设计可参考通用安全设计要求，下文提到的移动互联计算环 境、区域边界、通信网络的安全设计都是特指移动计算节点而言的

5.4物联网等级保护安全技术设计框架

重防御体系。安全管理中心支 设计框架如图4所示，物联网感知层 层都由完成计算任务的计算环境和连接 网络通信域的区域边界组成

图4物联网系统等级保护安全技术设计框架

GB/T250702019

a）安全计算环境 包括物联网系统感知层和应用层中对定级系统的信息进行存储、处理及实施安全策略的相关 部件，如感知层中的物体对象、计算节点、传感控制设备，以及应用层中的计算资源及应用服 务等。 b）安全区域边界 包括物联网系统安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施 安全策略的相关部件，如感知层和网络层之间的边界、网络层和应用层之间的边界等 C 安全通信网络 包括物联网系统安全计算环境和安全区域之间进行信息传输及实施安全策略的相关部件，如 网络层的通信网络以及感知层和应用层内部安全计算环境之间的通信网络等。 d 安全管理中心 包括对物联网系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制 实施统一管理的平台，包括系统管理、安全管理和审计管理三部分，只有第二级及第二级以上 的安全保护环境设计有安全管理中心。

5.5工业控制等级保护安全技术设计框架

对于工业控制系统根据被保护对象业务性质分区，针对功能层次技术特点实施的网络安全等级保 护设计，工业控制系统等级保护安全技术设计框架如图5所示。工业控制系统等级保护安全技术设计 沟建在安全管理中心支持下的计算环境、区域边界、通信网络三重防御体系，采用分层、分区的架构，结 合工业控制系统总线协议复杂多样、实时性要求强、节点计算资源有限、设备可靠性要求高、故障恢复时 间短、安全机制不能影响实时性等特点进行设计，以实现可信、可控、可管的系统安全互联、区域边界安 全防护和计算环境安全。 工业控制系统分为4层，即第0～3层为工业控制系统等级保护的范畴，为设计框架覆盖的区域；横 向上对工业控制系统进行安全区域的划分，根据工业控制系统中业务的重要性、实时性、业务的关联性、 对现场受控设备的影响程度以及功能范围、资产属性等，形成不同的安全防护区域，系统都应置于相应 的安全区域内，具体分区以工业现场实际情况为准（分区方式包括但不限于：第0～2层组成一个安全区 域、第0～1层组成一个安全区域、同层中有不同的安全区域等）。 分区原则根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统间的 相互关系、广域网通信方式以及对工业控制系统的影响程度等。对于额外的安全性和可靠性要求，在主 要的安全区还可以根据操作功能进一步划分成子区，将设备划分成不同的区域可以有效地建立“纵深防 御”策略。将具备相同功能和安全要求的各系统的控制功能划分成不同的安全区域，并按照方便管理和 控制为原则为各安全功能区域分配网段地址。 设计框架逐级增强，但防护类别相同，只是安全保护设计的强度不同。防护类别包括：安全计算环 境，包括工业控制系统0～3层中的信息进行存储、处理及实施安全策略的相关部件；安全区域边界，包 括安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件；安 全通信网络，包括安全计算环境和网络安全区域之间进行信息传输及实施安全策略的相关部件；安全管 理中心，包括对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施 统一管理的平台.包括系统管理、安全管理和审计管理三部分

GB/T25070—2019

GB/T25070—2019

过程监控层，第3层：生产管理层，第4层：企业资源层， 注2：一个信息安全区域可以包括多个不同等级的子区域。 注3：纵向上分区以工业现场实际情况为准（图中分区为示例性分区），分区方式包括但不限于：第0～2层组成 安全区域、第0～1层组成一个安全区域等

过程监控层，第3层：生产管理层，第4层：企业资源层 注2：一个信息安全区域可以包括多个不同等级的子区域。 注3：纵向上分区以工业现场实际情况为准（图中分区为示例性分区），分区方式包括但不限于：第0～2层组成一个 安全区域、第01层组成一个安全区域等

6第一级系统安全保护环境设计

图5工业控制系统等级保护安全技术设计框架

第一级系统安全保护环境的设计目标是：按照GB17859一1999对第一级系统的安全保护要求，实 现定级系统的自主访问控制.使系统用

第一级系统安全保护环境的设计策略是：遵循GB17859 1999的4.1中相关要求，以身份鉴别为 基础，提供用户和（或）用户组对文件及数据库表的自主访同控制，以实现用户与数据的隔离，使用户具 备自主安全保护的能力；以包过滤手段提供区域边界保护；以数据校验和恶意代码防范等手段提供数据 和系统的完整性保护。 第一级系统安全保护环境的设计通过第一级的安全计算环境、安全区域边界以及安全通信网络的 设计加以实现。计算节点都应基于可信根实现开机到操作系统启动的可信验证

6.3.1.1通用安全计算环境设计技术要求

GB/T250702019

本项要求包括： a）用户身份鉴别 应支持用户标识和用户鉴别。在每一个用户注册到系统时，采用用户名和用户标识符标识用 户身份；在每次用户登录系统时，采用口令鉴别机制进行用户身份鉴别，并对口令数据进行 保护。 b 自主访问控制 应在安全策略控制范围内，使用户/用户组对其创建的客体具有相应的访问操作权限，并能将 这些权限的部分或全部授予其他用户/用户组。访问控制主体的粒度为用户/用户组级，客体 的粒度为文件或数据库表级。访问操作包括对客体的创建、读、写、修改和删除等。 c）用户数据完整性保护 可采用常规校验机制，检验存储的用户数据的完整性，以发现其完整性是否被破坏。 d）恶意代码防范 应安装防恶意代码软件或配置具有相应安全功能的操作系统，并定期进行升级和更新，以防范 和清除恶意代码。 可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核等进行可信验证，并在检测到其可 信性受到破坏后进行报警

6.3.1.2云安全计算环境设计技术要求

本项要求包括： a）用户账号保护 应支持建立云租户账号体系，实现主体对虚拟机、云数据库、云网络、云存储等客体的访问 授权。 b 虚拟化安全 应禁止虚拟机对宿主机物理资源的直接访问；应支持不同云租户虚拟化网络之间安全隔离。 恶意代码防范 物理机和宿主机应安装经过安全加固的操作系统或进行主机恶意代码防范

a) 用户账号保护 应支持建立云租户账号体系，实现主体对虚拟机、云数据库、云网络、云存储等客体的计 授权。 b) 虚拟化安全 应禁止虚拟机对宿主机物理资源的直接访问；应支持不同云租户虚拟化网络之间安全隔离 C 恶意代码防范 物理机和宿主机应安装经过安全加固的操作系统或进行主机恶意代码防范

6.3.1.3移动互联安全计算环境设计技术要求

本项要求包括： a) 用户身份鉴别 应采用口令、解锁图案以及其他具有相应安全强度的机制进行用户身份鉴别。 b) 应用管控 应提供应用程序签名认证机制，拒绝未经过认证签名的应用软件安装和执行

6.3.1.4物联网系统安全计算环境设计技术要求

a）感知层设备身份鉴别

GB/T 250702019

应采用常规鉴别机制对感知设备具 源于正确的感知设备 b）感知层设备访问控制 应通过制定安全策略如访问控制列表，实现对感知设备的访问控制

6.3.1.5工业控制系统安全计算环境设计技术

本项要求包括： a）工业控制身份鉴别 现场控制层设备及过程监控层设备应实施唯一性的标志、鉴别与认证，保证鉴别认证与功能完 整性状态随时能得到实时验证与确认。在控制设备及监控设备上运行的程序、相应的数据集 合应有唯一性标识管理。 b）现场设备访问控制 应对通过身份鉴别的用户实施基于角色的访问控制策略，现场设备收到操作命令后，应检验该 用户绑定的角色是否拥有执行该操作的权限，拥有权限的该用户获得授权，用户未获授权应向 上层发出报警信息。 c 控制过程完整性保护 应在规定的时间内完成规定的任务，数据应以授权方式进行处理，确保数据不被非法篡改、不 丢失、不延误，确保及时响应和处理事件

6.3.2安全区域边界设计技术要求

6.3.2.1通用安全区域边界设计技术要求

本项要求包括： a）区域边界包过滤 可根据区域边界安全控制策略，通过检查数据包的源地址、目的地址、传输层协议和请求的服 务等，确定是否允许该数据包通过该区域边界。 b 区域边界恶意代码防范 可在安全区域边界设置防恶意代码软件，并定期进行升级和更新，以防止恶意代码入侵 ） 可信验证 可基于可信根对区域边界计算节点的BIOS、引导程序、操作系统内核等进行可信验证，并在检 测到其可信性受到破坏后进行报警

6.3.2.2云安全区域边界设计技术要求

本项要求包括： a 区域边界结构安全 应保证虚拟机只能接收到目的地址包括自已地址的报文或业务需求的广播报文，同时限制广 播攻击。 区域边界访问控制 应保证当虚拟机迁移时，访问控制策略随其迁移

6.3.2.3移动互联安全区域边界设计技术要求

应遵守6.3.2.1

6.3.2.5工业控制系统区域边界设计技术要

应遵穿6.3.2.1

6.3.3安全通信网络设计技术要求

6.3.3.1通用安全通信网络设计技术要求

GB/T250702019

通信网络数据传输完整性保护 可采用由密码等技术支持的完整性校验机制，以实现通信网络数据传输完整性保护。 可信连接验证 通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在 备连接网络时，对源和目标平台身份进行可信验证

6.3.3.2云安全通信网络设计技术要求

应遵守6.3.3.1

7第二级系统安全保护环境设计

第二级系统安全保护环境的设计目标是：按照GB17859一1999对第二级系统的安全保护要求，在 第一级系统安全保护环境的基础上，增加系统安全审计、客体重用等安全功能，并实施以用户为基本粒 度的自主访问控制，使系统具有更强的自主安全保护能力，并保障基础计算资源和应用程序可信。

第二级系统安全保护环境的设计策略是：遵循GB17859一1999的4.2中相关要求，以身份鉴别为 基础，提供单个用户和（或）用户组对共享文件、数据库表等的自主访问控制；以包过滤手段提供区域边 界保护；以数据校验和恶意代码防范等手段，同时通过增加系统安全审计、客体安全重用等功能，使用户 对自已的行为负责，提供用户数据保密性和完整性保护，以增强系统的安全保护能力。第二级系统安全 保护环境在使用密码技术设计时，应支持国家密码管理主管部门批准使用的密码算法，使用国家密码管 理主管部门认证核准的密码产品，遵循相关密码国家标准和行业标准。 第二级系统安全保护环境的设计通过第二级的安全计算环境、安全区域边界、安全通信网络以及安 全管理中心的设计加以实现。计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动 的可信验证，并将验证结果形成审计记录

GB/T25070—2019

GB/T25070—2019

安全计算环境设计技术要

7.3.1.1通用安全计算环境设计技术要求

本项要求包括： a）用户身份鉴别 应支持用户标识和用户鉴别。在每一个用户注册到系统时，采用用户名和用户标识符标识用 户身份，并确保在系统整个生存周期用户标识的唯一性；在每次用户登录系统时，采用受控的 口令或具有相应安全强度的其他机制进行用户身份鉴别，并使用密码技术对鉴别数据进行保 密性和完整性保护。 b） 自主访问控制 应在安全策略控制范围内，使用户对其创建的客体具有相应的访问操作权限，并能将这些权限 的部分或全部授予其他用户。访问控制主体的粒度为用户级，客体的粒度为文件或数据库表 级。访问操作包括对客体的创建、读、写、修改和删除等。 c）系统安全审计 应提供安全审计机制，记录系统的相关安全事件。审计记录包括安全事件的主体、客体、时间、 类型和结果等内容。该机制应提供审计记录查询、分类和存储保护，并可由安全管理中心 管理。 d）用户数据完整性保护 可采用常规校验机制，检验存储的用户数据的完整性，以发现其完整性是否被破坏。 e 用户数据保密性保护 可采用密码等技术支持的保密性保护机制，对在安全计算环境中存储和处理的用户数据进行 保密性保护。 f）客体安全重用 应采用具有安全客体复用功能的系统软件或具有相应功能的信息技术产品，对用户使用的客 体资源，在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄露。 g）恶意代码防范 应安装防恶意代码软件或配置具有相应安全功能的操作系统，并定期进行升级和更新，以防范 和清除恶意代码。 SA h）可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核、应用程序等进行可信验证，并在 检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录

7.3.1.2云安全计算环境设计技术要求

本项要求包括： a） 用户身份鉴别 应支持注册到云计算服务的云租户建立主子账号，并采用用户名和用户标识符标识主子账号 用户身份。 b） 用户账号保护 应支持建立云租户账号体系，实现主体对虚拟机、云数据库、云网络、云存储等客体的访问 授权。 )安全审计

GB/T250702019

应支持云服务商和云租户远程管理时执行特权命令进行审计。 应支持租户收集和查看与本租户资源相关的审计信息，保证云服务商对云租户系统和数据的 访问操作可被租户审计。 d）入侵防范 应能检测到虚拟机对宿主机物理资源的异常访问。 e） 数据备份与恢复 应采取穴余架构或分布式架构设计；应支持数据多副本存储方式；应支持通用接口确保云租户 可以将业务系统及数据迁移到其他云计算平台和本地系统，保证可移植性， 虚拟化安全 应实现虚拟机之间的CPU、内存和存储空间安全隔离；应禁止虚拟机对宿主机物理资源的直 接访问；应支持不同云租户虚拟化网络之间安全隔离。 g）恶意代码防范 物理机和宿主机应安装经过安全加固的操作系统或进行主机恶意代码防范；虚拟机应安装经 过安全加固的操作系统或进行主机恶意代码防范；应支持对Web应用恶意代码检测和防护的 能力。 h）镜像和快照安全 应支持镜像和快照提供对虚拟机镜像和快照文件的完整性保护；防止虚拟机镜像、快照中可能 存在的敏感资源被非授权访问；针对重要业务系统提供安全加固的操作系统镜像或支持对操 作系统错像进行自加固

7.3.1.3移动互联安全计算环境设计技术要求

本项要求包括： a）用户身份鉴别 应采用口令、解锁图案以及其他具有相应安全强度的机制进行用户身份鉴别。 b) 应用管控 应提供应用程序签名认证机制，拒绝未经过认证签名的应用软件安装和执行。 C 安全域隔离 应能够为重要应用提供应用级隔离的运行环境，保证应用的输入、输出、存储信息不被非法 获取。 d 数据保密性保护 应采取加密、混淆等措施，对移动应用程序进行保密性保护，防止被反编译， e) 可信验证 5Z1C 应能对移动终端的操作系统、应用等程序的可信性进行验证，阻止非可信程序的执行

7.3.1.4物联网系统安全计算环境设计技术要

本项要求包括： a）感知层设备身份鉴别 应采用常规鉴别机制对感知设备身份进行鉴别，确保数据来源于正确的感知设备；应对感知设 备和感知层网关进行统一入网标识管理和维护，并确保在整个生存周期设备标识的唯一性。 b）感知层设备访问控制 应通过制定安全策略如访问控制列表，实现对感知设备的访问控制；感知设备和其他设备（感 知层网关、其他感知设备）通信时，应根据安全策略对其他设备进行权限检查

感知层设备身份鉴别 应采用常规鉴别机制对感知设备身份进行鉴别，确保数据来源于正确的感知设备；应对感失 备和感知层网关进行统一入网标识管理和维护，并确保在整个生存周期设备标识的唯一性

b）感知层设备访问控制

应通过制定安全策略如访问控制列表，实现对感知设备的访问控制；感知设备和其他设备 知层网关、其他感知设备）通信时，应根据安全策略对其他设备进行权限检查

GB/T 250702019

3.1.5工业控制系统安全计算环境设计技术要求

本项要求包括： a）工业控制身份鉴别 现场控制层设备及过程监控层设备应实施唯一性的标志、鉴别与认证，保证鉴别认证与功能完 整性状态随时能得到实时验证与确认。在控制设备及监控设备上运行的程序、相应的数据集 合应有唯一性标识管理。 b）现场设备访问控制 应对通过身份鉴别的用户实施基于角色的访控制策略，现场设备收到操作命令后，应检验该 用户绑定的角色是否拥有执行该操作的权限，拥有权限的该用户获得授权，用户未获授权应向 上层发出报警信息。 现场设备数据保密性保护 可采用密码技术支持的保密性保护机制或可采用物理保护机制，对现场设备层设备及连接到 现场控制层的现场总线设备内存储的有保密需要的数据、程序、配置信息等进行保密性保护。 d）控制过程完整性保护 应在规定的时间内完成规定的任务，数据应以授权方式进行处理，确保数据不被非法篡改、不 丢失、不延误，确保及时响应和处理事件，保护系统的同步机制、校时机制，保持控制周期稳定、 现场总线轮询周期稳定

7.3.2安全区域边界设计技术要求

7.3.2.1通用安全区域边界设计技术要求

本项要求包括： a）区域边界包过滤 应根据区域边界安全控制策略，通过检查数据包的源地址、目的地址、传输层协议和请求的服 务等，确定是否允许该数据包通过该区域边界。 b）区域边界安全审计 应在安全区域边界设置审计机制，并由安全管理中心统一管理。 区域边界恶意代码防范 可在安全区域边界设置防恶意代码网关，由安全管理中心管理。 d 区域边界完整性保护 应在区域边界设置探测器，探测非法外联等行为，并及时报告安全管理中心。 e） 可信验证 可基于可信根对区域边界计算节点的BIOS、引导程序、操作系统内核、区域边界安全管控程序 等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录

7.3.2.2云安全区域边界设计技术要求

本项要求包括： 区域边界结构安全 应保证虚拟机只能接收到目的地址包括自已地址的报文或业务需求的广播报文，同时限制厂 播攻击。 b）区域边界访问控制 应保证当虚拟机迁移时，访问控制策略随其迁移：应充许云租户设置不同虚拟机之间的访问控

制策略；应建立租户私有网络实现不同租户之间的安全隔离

7.3.2.3移动互联安全区域边界设计技术要求 本项要求包括： a)[ 区域边界访问控制 应能限制移动设备在不同工作场景下对WiFi、3G、4G等网络的 b） 区域边界完整性保护 应具备无线接入设备检测功能，对于非法无线接入设备进行报誉 7.3.2.4物联网系统安全区域边界设计技术要求 本项要求包括： a 区域边界准入控制 应在安全区域边界设置准入控制机制，能够对设备进行认证 b） 区域边界协议过滤与控制 5Z1C 应在安全区域边界设置协议检查，对通信报文进行合规检查。 7.3.2.5 工业控制系统安全区域边界设计技术要求

应遵守 7.3.2.1

7.3.3安全通信网络设计技术要求

7.3.3.1通用安全通信网络设计技术要求

GB/T250702019

本项要求包括： a）通信网络安全审计 应在安全通信网络设置审计机制，由安全管理中心管理。 b） 通信网络数据传输完整性保护 可采用由密码等技术支持的完整性校验机制，以实现通信网络数据传输完整性保护。 C） 通信网络数据传输保密性保护 可采用由密码等技术支持的保密性保护机制，以实现通信网络数据传输保密性保护。 d 可信连接验证 通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在 备连接网络时，对源和目标平台身份、执行程序进行可信验证，并将验证结果形成审计记录。

7.3.3.2云安全通信网络设计技术要求

本项要求包括： a 通信网络数据传输保密性 可支持云租户远程通信数据保密性保护。 b) 通信网络安全审计 应支持租户收集和查看与本租户资源相关的审计信息；应保证云服务商对云租户通信网络的 访问操作可被租户审计

移动互联安全通信网络设

应遵守7.3.3.1

应遵守7.3.3.1

GB/T 25070—2019

7.3.3.4物联网系统安全通信网络设计技术要

本项要求包括： a）吴 异构网安全接入保护 应采用接入认证等技术建立异构网络的接入认证系统，保障控制信息的安全传输。 3.3.5工业控制系统安全通信网络设计技术要求 本项要求包括： a）现场总线网络数据传输完整性保护 可采用适应现场总线特点的报文短、时延小的密码技术支持的完整性校验机制或可采用物理 保护机制，实现现场总线网络数据传输完整性保护， b 无线网络数据传输完整性保护 可采用密码技术支持的完整性校验机制，以实现无线网络数据传输完整性保护

7.3.4安全管理中心设计技术要求

7.3.4. 1系统管理

可通过系统管理员对系统的资源和运行进行配置、控制和可信管理，包括用户身份、可信证书、可信 基准库、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复以及恶意代码 防范等。 应对系统管理员进行身份鉴别，只充许其通过特定的命令或操作界面进行系统管理操作，并对这些 噪作进行审计。 在进行云计算平台安全设计时，安全管理应提供查询云租户数据及备份存储位置的方式。 在进行物联网系统安全设计时，应通过系统管理员对感知设备、感知层网关等进行统一身份标识 管理。

7.3.4.2审计管理

可通过安全审计员对分布在系统各个组成部分的安全审计机制进行集中管理，包括根据安全审计 策略对审计记录进行分类；提供按时间段开启和关闭相应类型的安全审计机制；对各类审计记录进行存 储、管理和查询等。 应对安全审计员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作， 在进行云计算平台安全设计时，云计算平台应对云服务器、云数据库、云存储等云服务的创建、删除 等操作行为进行审计。 在进行工业控制系统安全设计时，应通过安全管理员对工业控制现场控制设备、网络安全设备、网 落设备、服务器、操作站等设备中主体和客体进行登记，并对各设备的网络安全监控和报警、网络安全目 志信息进行集中管理。根据安全审计策略对各类网络安全信息进行分类管理与查询，并生成统一的审 计报告。

8第三级系统安全保护环境设计

第二级系统安全保护环境的设计目标是：按照GB17859一1999对第三级系统的安全保护要求 级系统安全保护环境的基础上，通过实现基于安全策略模型和标记的强制访问控制以及增强系

内审计机制，使系统具有在统 可信.确保关键执行环节可信

第三级系统安全保护环境的设计策略是：在第二级系统安全保护环境的基础上，遵循GB17859一 999的4.3中相关要求，构造非形式化的安全策略模型，对主、客体进行安全标记，表明主、客体的级别 分类和非级别分类的组合，以此为基础，按照强制访问控制规则实现对主体及其客体的访问控制。第三 级系统安全保护环境在使用密码技术设计时，应支持国家密码管理主管部门批准使用的密码算法，使用 国家密码管理主管部门认证核准的密码产品，遵循相关密码国家标准和行业标准 第三级系统安全保护环境的设计通过第三级的安全计算环境、安全区域边界、安全通信网络以及安 全管理中心的设计加以实现。计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动 的可信验证，并在应用程序的关键执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，并将 证结果形成审计记录，送至管理中心

安全计算环境设计技术要

8.3.1.1通用安全计算环境设计技术要求

本项要求包括： a）用户身份鉴别 应支持用户标识和用户鉴别。在对每一个用户注册到系统时，采用用户名和用户标识符标识 用户身份，并确保在系统整个生存周期用户标识的唯一性；在每次用户登录系统时，采用受安 全管理中心控制的口令、令牌、基于生物特征、数字证书以及其他具有相应安全强度的两种或 两种以上的组合机制进行用户身份鉴别，并对鉴别数据进行保密性和完整性保护。 b）自主访问控制 应在安全策略控制范围内，使用户对其创建的客体具有相应的访问操作权限，并能将这些权限 的部分或全部授予其他用户。自主访问控制主体的粒度为用户级，客体的粒度为文件或数据 库表级和（或）记录或字段级。自主访问操作包括对客体的创建、读、写、修改和删除等。 C 标记和强制访问控制 在对安全管理员进行身份鉴别和权限控制的基础上，应由安全管理员通过特定操作界面对主、 客体进行安全标记；应接安全标记和强制访问控制规则，对确定主体访同客体的操作进行控 制。强制访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级。应确保安全计算 环境内的所有主、客体具有一致的标记信息，并实施相同的强制访问控制规则。 d）系统安全审计 应记录系统的相关安全事件。审计记录包括安全事件的主体、客体、时间、类型和结果等内容， 应提供审计记录查询、分类、分析和存储保护；确保对特定安全事件进行报警；确保审计记录不 被破坏或非授权访问。应为安全管理中心提供接口；对不能由系统独立处理的安全事件，提供 由授权主体调用的接口。 e 用户数据完整性保护 应采用密码等技术支持的完整性校验机制，检验存储和处理的用户数据的完整性，以发现其完 整性是否被破坏，且在其受到破坏时能对重要数据进行恢复。 用百数据保密性促护

保密性保护。 g）客体安全重用 应采用具有安全客体复用功能的系统软件或具有相应功能的信息技术产品，对用户使用的客 体资源，在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄露。 h）可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核、应用程序等进行可信验证，并在 应用程序的关键执行环节对系统调用的主体、客体、操作可信验证，并对中断、关键内存区域等 执行资源进行可信验证，并在检测到其可信性受到破坏时采取措施恢复，并将验证结果形成审 计记录，送至管理中心。 1 配置可信检查 应将系统的安全配置信息形成基准库，实时监控或定期检查配置信息的修改行为，及时修复和 基准库中内容不符的配置信息。 亚#

8.3.1.2云安全计算环境设计技术要求

a）用户身份鉴别 应支持注册到云计算服务的云租户建立主子账号，并采用用户名和用户标识符标识主子账号 用户身份。 b 用户账号保护 应支持建立云租户账号体系，实现主体对虚拟机、云数据库、云网络、云存储等客体的访问 授权。 c）安全审计 应支持对云服务商和云租户远程管理时执行的特权命令进行审计。 应支持租户收集和查看与本租户资源相关的审计信息，保证云服务商对云租户系统和数据的 访问操作可被租户审计。 d）人侵防范 应能检测到虚拟机对宿主机物理资源的异常访问。应支持对云租户进行行为监控，对云租户 发起的恶意攻击或恶意对外连接进行检测和告警。 e 数据保密性保护 应提供重要业务数据加密服务，加密密钥由租户自行管理；应提供加密服务，保证虚拟机在迁 移过程中重要数据的保密性。 数据备份与恢复 应采取穴余架构或分布式架构设计；应支持数据多副本存储方式；应支持通用接口确保云租户 可以将业务系统及数据迁移到其他云计算平台和本地系统，保证可移植性。 g 虚拟化安全 应实现虚拟机之间的CPU、内存和存储空间安全隔离，能检测到非授权管理虚拟机等情况，并 进行告警；应禁止虚拟机对宿主机物理资源的直接访问，应能对异常访问进行告警；应支持不 同云租户虚拟化网络之间安全隔离；应监控物理机、宿主机、虚拟机的运行状态 h）恶意代码防范 物理机和宿主机应安装经过安全加固的操作系统或进行主机恶意代码防范；虚拟机应安装经 过安全加固的操作系统或进行主机恶意代码防范；应支持对Web应用恶意代码检测和防护的

GB/T250702019

能力。 i） 镜像和快照安全 应支持镜像和快照提供对虚拟机镜像和快照文件的完整性保护；防止虚拟机镜像、快照中可能 存在的敏感资源被非授权访问；针对重要业务系统提供安全加固的操作系统镜像或支持对操 作系统镜像进行自加固

8.3.1.3移动互联安全计算环境设计技术要求

本项要求包括： a） 用户身份鉴别 应对移动终端用户实现基于口令或解锁图案、数字证书或动态口令、生物特征等方式的两种或 两种以上的组合机制进行用户身份鉴别， b 标记和强制访问控制 应确保用户或进程对移动终端系统资源的最小使用权限；应根据安全策略，控制移动终端接入 访问外设，外设类型至少应包括扩展存储卡、GPS等定位设备、蓝牙、NFC等通信外设，并记录 日志。 应用管控 应具有软件白名单功能，能根据白名单控制应用软件安装、运行；应提供应用程序签名认证机 制，拒绝未经过认证签名的应用软件安装和执行。 d 安全域隔离 应能够为重要应用提供基于容器、虚拟化等系统级隔离的运行环境，保证应用的输人、输出、存 储信息不被非法获取。 e 移动设备管控 5Z1C 应基于移动设备管理软件，实行对移动设备全生命周期管控，保证移动设备去失或被盗后，通 过网络定位搜寻设备的位置、远程锁定设备、远程擦除设备上的数据、使设备发出警报音，确保 在能够定位和检索的同时最大程度地保护数据。 数据保密性保护 应采取加密、混淆等措施，对移动应用程序进行保密性保护，防止被反编译；应实现对扩展存储 设备的加密功能，确保数据存储的安全。 8 可信验证 应能对移动终端的引导程序、操作系统内核、应用程序等进行可信验证，确保每个部件在加载 前的真实性和完整性

8.3.1.4物联网系统安全计算环境设计技术要求

本项要求包括： a）感知层设备身份鉴别 应采用密码技术支持的鉴别机制实现感知层网关与感知设备之间的双向身份鉴别，确保数据 来源于正确的设备；应对感知设备和感知层网关进行统一入网标识管理和维护，并确保在整个 生存周期设备标识的唯一性；应采取措施对感知设备组成的组进行组认证以减少网络拥塞。 b 感知层设备访问控制 应通过制定安全策略如访问控制列表，实现对感知设备的访问控制；感知设备和其他设备（感 知层网关、其他感知设备)通信时，根据安全策略对其他设备进行权限检查；感知设备进行更新 配置时.根据安全策略对用户进行权限检查

GB/T25070—2019

3.1.5工业控制系统安全计算环境设计技术要求

本项要求包括： a）工业控制身份鉴别 现场控制层设备及过程监控层设备应实施唯一性的标志、鉴别与认证，保证鉴别认证与功能完 整性状态随时能得到实时验证与确认。在控制设备及监控设备上运行的程序、相应的数据集 合应有唯一性标识管理，防止未经授权的修改。 b）现场设备访问控制 应对通过身份鉴别的用户实施基于角色的访控制策略，现场设备收到操作命令后，应检验该 用户绑定的角色是否拥有执行该操作的权限，拥有权限的该用户获得授权，用户未获授权应向 上层发出报警信息。只有获得授权的用户才能对现场设备进行组态下装、软件更新、数据更 新、参数设定等操作。 C）现场设备安全审计 在有穴余的重要应用环境，双重或多重控制器可采用实时审计跟踪技术，确保及时捕获网络安 全事件信息并报警。 d）现场设备数据完整性保护 应采用密码技术或应采用物理保护机制保证现场控制层设备和现场设备层设备之间通信会话 完整性。 e） 现场设备数据保密性保护 应采用密码技术支持的保密性保护机制或应采用物理保护机制，对现场设备层设备及连接到 现场控制层的现场总线设备内存储的有保密需要的数据、程序、配置信息等进行保密性保护。 f）控制过程完整性保护 应在规定的时间内完成规定的任务，数据应以授权方式进行处理，确保数据不被非法篡改、不 丢失、不延误，确保及时响应和处理事件，保护系统的同步机制、校时机制，保持控制周期稳定、 现场总线轮询周期稳定；现场设备应能识别和防范破坏控制过程完整性的攻击行为，应能识别 和防止以合法身份、合法路径干扰控制器等设备正常工作节奏的攻击行为；在控制系统遭到攻 击无法保持正常运行时，应有故障隔离措施，应使系统导向预先定义好的安全的状态，将危害 控制到最小范围

8.3.2安全区域边界设计技术要求

8.3.2.1通用安全区域边界设计技术要求

本项要求包括： 区域边界访问控制 应在安全区域边界设置自主和强制访问控制机制，应对源及目标计算节点的身份、地址、端口 和应用协议等进行可信验证，对进出安全区域边界的数据信息进行控制，阻止非授权访问。 b) 区域边界包过滤 应根据区域边界安全控制策略，通过检查数据包的源地址、目的地址、传输层协议、请求的服务 等，确定是否允许该数据包进出该区域边界。 C 区域边界安全审计 应在安全区域边界设置审计机制，由安全管理中心集中管理，并对确认的违规行为及时报警 d 区域边界完整性保护 应在区域边界设置探测器，例如外接探测软件，探测非法外联和入侵行为，并及时报告安全管

GB/T250702019

理中心。 e 可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核、区域边界安全管控程序等进行可 信验证，并在区域边界设备运行过程中定期对程序内存空间、操作系统内核关键内存区域等执 行资源进行可信验证，并在检测到其可信性受到破坏时采取措施恢复，并将验证结果形成审计 记录，送至管理中心

空调标准规范范本8.3.2.2云安全区域边界设计技术要求

本项要求包括： a）区域边界结构安全 应保证虚拟机只能接收到目的地址包括自已地址的报文或业务需求的广播报文，同时限制广 播攻击；应实现不同租户间虚拟网络资源之间的隔离，并避免网络资源过量占用；应保证云计 算平台管理流量与云租户业务流量分离 应能够识别、监控虚拟机之间、虚拟机与物理机之间的网络流量；提供开放接口或开放性安全 服务，允许云租户接入第三方安全产品或在云平台选择第三方安全服务。 b）区域边界访问控制 应保证当虚拟机迁移时，访问控制策略随其迁移；应充许云租户设置不同虚拟机之间的访问控 制策略；应建立租户私有网络实现不同租户之间的安全隔离；应在网络边界处部署监控机制， 对进出网络的流量实施有效监控。 区域边界入侵防范 当虚拟机迁移时，入侵防范机制可应用于新的边界处；应将区域边界入侵防范机制纳入安全管 理中心统一管理。 应向云租户提供互联网内容安全监测功能，对有害信息进行实时检测和告警。 区域边界审计要求 根据云服务商和云租户的职责划分，收集各自控制部分的审计数据；根据云服务商和云租户的 职责划分，实现各自控制部分的集中审计；当发生虚拟机迁移或虚拟资源变更时，安全审计机 制可应用于新的边界处；为安全审计数据的汇集提供接口，并可供第三方审计

8.3.2.3.1区域边界访问控制

应对接入系统的移动终端，采取基于SIM卡、证书等信息的强认证措施；应能限制移动设备在 作场景下对WiFi、3G、4G等网络的访问能力

8.3.2.3.2区域边界完整性保护

移动整端区域边界检测设 完整覆盖移动终端办公区，并具备无线路由器设备位 功能包装标准，对于非法无线路由器设备接入进行报警和阻断

8.3.2.4物联网系统安全区域边界设计技术要求

应能根据数据的时间戳为数据流提供明确的允许/拒绝访问的能力；应提供网络最大流量及网 络连接数限制机制 据包的出入