等级保护测评指导书----网络部分

层面控制点测评项重要性级别系统a)        应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。G3通用a)        应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。G2通用a)        应保证关键网络设备的业务处理能力满足基本业务需要G1通用b)       应保证网络各个部分的带宽满足业务高峰期需要。G3通用b)       应保证接入网络和核心网络的带宽满足业务高峰期需要。G2通用b)       应保证接入网络和核心网络的带宽满足基本业务需要。G1通用CISCO路由器华为路由器/H3C路由器G3结构安全(G3、G2、G1)重要c)        应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。路由器通用d)       应绘制与当前运行情况相符的网络拓扑结构图。重要G3G2G1通用CISCO交换机华为交换机/H3C交换机交换机通用f)        应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段。重要G3通用网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3G2G3结构安全(G3、G2、G1)重要重要c)        应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。e)        应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。CISCO交换机交换机通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDS网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3G2G1G3重要重要结构安全(G3、G2、G1)g)       应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。访问控制（G1、G2、G3）a)        应在网络边界部署访问控制设备，启用访问控制功能。CISCO交换机、CISCO路由器华为路由器/华为交换机/H3C交换机/H3C路由器防火墙、交换机、路由器、IDS通用网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3G2G1重要访问控制（G1、G2、G3）a)        应在网络边界部署访问控制设备，启用访问控制功能。天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDSCISCO交换机、CISCO路由器网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要G3访问控制（G1、G2、G3）b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级（G3）。b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级(G2)。b)应能根据访问控制列表，对原地址、目地地址、源端口、目的端口和协议进行检查，以允许/拒绝数据包出入(G1)。华为交换机/路由器/H3C交换机/H3C路由器防火墙、交换机、路由器、IDS通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要重要G3G3访问控制（G1、G2、G3）b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级（G3）。b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级(G2)。b)应能根据访问控制列表，对原地址、目地地址、源端口、目的端口和协议进行检查，以允许/拒绝数据包出入(G1)。c)        应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。Cisco防火墙启明星辰IDS防火墙、IDS通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDS网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要G3G3访问控制（G1、G2、G3）c)        应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。d)       应在会话处于非活跃一定时间或会话结束后终止网络连接。防火墙、IDS通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDS网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3访问控制（G1、G2、G3）e)        应限制网络最大流量数及网络连接数。CISCO交换机、CISCO路由器防火墙、IDS、交换机、路由器通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDS网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3重要S3A3G3访问控制（G1、G2、G3）e)        应限制网络最大流量数及网络连接数。f)        重要网段应采取技术手段防止地址欺骗。CISCO交换机华为交换机/H3C交换机防火墙、IDS、交换机、路由器通用天融信防火墙Checkpoint防火墙Netscreen/Juniper防火墙Cisco防火墙联想网御防火墙网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G3G2G1重要S3A3G3重要g)       应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。（G2、G3）g) 应通过访问控制列表对系统资源实现允许或拒绝用户访问，控制力度至少为用户组（G1）访问控制（G1、G2、G3）f)        重要网段应采取技术手段防止地址欺骗。防火墙通用h)       应限制具有拨号访问权限的用户数量。G3G2通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙G2G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要a)        应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。访问控制（G1、G2、G3）安全审计（G2、G3）启明星辰IDSCISCO交换机、CISCO路由器华为交换机/路由器/H3C交换机/H3C路由器防火墙、IDS、路由器、交换机、审计通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙G2G3重要G2G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要a)        应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。b)       审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。安全审计（G2、G3）Cisco防火墙启明星辰IDSCISCO交换机、CISCO路由器华为交换机/路由器/H3C交换机防火墙、IDS、路由器、交换机、审天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDS防火墙、IDS、路由器、交换机、审计通用重要G2G3G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）b)       审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。c)        应能够根据记录数据进行分析，并生成审计报表。安全审计（G2、G3）天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDSCISCO交换机、CISCO路由器G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要d)       应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。安全审计（G2、G3）华为交换机/路由器/H3C交换机/H3C路由器防火墙、IDS、路由器、交换机、审计通用a)        应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断。重要S3通用b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。（S3）b)应能够对内部网络用户私自联到外部网络的行为进行检查。（S2）S3通用天融信防火墙Checkpoint防火墙G2、G3G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）重要d)       应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。边界完整性检查（S2、S3）安全审计（G2、G3）入侵防范（G2、G3）重要a)        应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。Netscreen/Juniper防火墙防火墙、IDS通用天融信防火墙Checkpoint防火墙Netscreen/Juniper防火墙防火墙、IDS通用a)        应在网络边界处对恶意代码进行检测和清除。重要G3通用b)       应维护恶意代码库的升级和检测系统的更新。重要G3通用天融信防火墙Checkpoint防火墙G2、G3G3网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G1G2G3重要恶意代码防范（G3）网络设备防护（G1、G2、G3）入侵防范（G2、G3）重要a)        应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。b)       当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。a)        应对登录网络设备的用户进行身份鉴别。联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙启明星辰IDSCISCO交换机、CISCO路由器网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G1G2G3重要网络设备防护（G1、G2、G3）a)        应对登录网络设备的用户进行身份鉴别。华为交换机/路由器/H3C交换机/H3C路由器防火墙、交换机、路由器、IDS通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/Juniper防火墙Cisco防火墙CISCO交换机、CISCO路由器网络安全（可使用配置核查工具Nipper、远程管理工具SecureCRT、漏洞扫描工具Nessus）G1G2G3重要重要G2G3网络设备防护（G1、G2、G3）a)        应对登录网络设备的用户进行身份鉴别。b)       应对网络设备的管理员登录地址进行限制。华为交换机/路由器/H3C交换机/H3C路由器防火墙、交换机、路由器、IDS通用天融信防火墙Checkpoint防火墙联想网御防火墙Netscreen/J