韩_鹏 发表于 2023-9-4 08:56
  
g感谢分享                                          
新手078326 发表于 2023-9-18 11:55
  


楼主分析的很详细,不错的实战经验
Tough_future 发表于 2023-9-19 10:08
  
感谢楼主分享,努力学习中!!!!
奔走的公牛 发表于 2023-9-19 10:18
  
打造猛将如云,谋臣似雨的技术团队,来年再战!
dhf 发表于 2023-11-27 10:26
  
每日打卡学习,感谢分享,学习了!!!
4-网络安全等级保护测评高风险判定指引 信息安全测评联盟
  

新手582144 69163人觉得有帮助

{{ttag.title}}
6 安全区域边界
6.1 边界防护
6.1.1 互联网边界访问控制
对应要求:应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
判例内容:互联网出口无任何访问控制措施,或访问控制措施配置失效,存在较大安全隐患,可判定为高风险。
适用范围:所有系统。
满足条件(任意条件):
1、互联网出口无任何访问控制措施。
2、互联网出口访问控制措施配置不当,存在较大安全隐患。
3、互联网出口访问控制措施配置失效,无法起到相关控制功能。
补偿措施:边界访问控制设备不一定一定要是防火墙,只要是能实现相关的访问控制功能,形态为专用设备,且有相关功能能够提供相应的检测报告,可视为等效措施,判符合。如通过路由器、交换机或者带ACL功能的负载均衡器等设备实现,可根据系统重要程度,设备性能压力等因素,酌情判定风险等级。
整改建议:建议在互联网出口部署专用的访问控制设备,并合理配置相关控制策略,确保控制措施有效。
6.1.2 网络访问控制设备不可控
对应要求:应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
判例内容:互联网边界访问控制设备若无管理权限,且未按需要提供访问控制策略,无法根据业务需要或所发生的安全事件及时调整访问控制策略,可判定为高风险。
适用范围:所有系统。
满足条件(同时):
1、互联网边界访问控制设备无管理权限;
2、无其他任何有效访问控制措施;
3、无法根据业务需要或所发生的安全事件及时调整访问控制策略。
补偿措施:无。
整改建议:建议部署自有的边界访问控制设备或租用有管理权限的边界访问控制设备,且对相关设备进行合理配置。
6.1.3 违规内联检查措施
对应要求:应能够对非授权设备私自联到内部网络的行为进行检查或限制。
判例内容:非授权设备能够直接接入重要网络区域,如服务器区、管理网段等,且无任何告警、限制、阻断等措施的,可判定为高风险。
适用范围:3级及以上系统。
满足条件(同时):
1、3级及以上系统;
2、机房、网络等环境不可控,存在非授权接入可能;
3、可非授权接入网络重要区域,如服务器区、管理网段等;
4、无任何控制措施,控制措施包括限制、检查、阻断等。
补偿措施:如接入的区域有严格的物理访问控制,采用静态IP地址分配,关闭不必要的接入端口,IP-MAC地址绑定等措施的,可酌情降低风险等级。
整改建议:建议部署能够对违规内联行为进行检查、定位和阻断的安全准入产品。
6.1.4 违规外联检查措施
对应要求:应能够对内部用户非授权联到外部网络的行为进行检查或限制。
判例内容:核心重要服务器设备、重要核心管理终端,如无法对非授权联到外部网络的行为进行检查或限制,或内部人员可旁路、绕过边界访问控制设备私自外联互联网,可判定为高风险。
适用范围:3级及以上系统。
满足条件(同时):
1、3级及以上系统;
2、机房、网络等环境不可控,存在非授权外联可能;
3、对于核心重要服务器、重要核心管理终端存在私自外联互联网可能;
4、无任何控制措施,控制措施包括限制、检查、阻断等。
补偿措施:如机房、网络等环境可控,非授权外联可能较小,相关设备上的USB接口、无线网卡等有管控措施,对网络异常进行监控及日志审查,可酌情降低风险等级。
整改建议:建议部署能够对违规外联行为进行检查、定位和阻断的安全管理产品。
6.1.5 无线网络管控措施
对应要求:应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络。
判例内容:内部核心网络与无线网络互联,且之间无任何管控措施,一旦非授权接入无线网络即可访问内部核心网络区域,存在较大安全隐患,可判定为高风险。
适用范围:3级及以上系统。
满足条件(同时):
1、3级及以上系统;
2、内部核心网络与无线网络互联,且不通过任何受控的边界设备,或边界设备控制策略设置不当;
3、非授权接入无线网络将对内部核心网络带来较大安全隐患。
补偿措施:
1、在特殊应用场景下,无线覆盖区域较小,且严格受控,仅有授权人员方可进入覆盖区域的,可酌情降低风险等级;
2、对无线接入有严格的管控及身份认证措施,非授权接入可能较小,可根据管控措施的情况酌情降低风险等级。
整改建议:如无特殊需要,内部核心网络不应与无线网络互联;如因业务需要,则建议加强对无线网络设备接入的管控,并通过边界设备对无线网络的接入设备对内部核心网络的访问进行限制,降低攻击者利用无线网络入侵内部核心网络。
6.2 访问控制
6.2.1 互联网边界访问控制
对应要求:应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信。
判例内容:与互联网互连的系统,边界处如无专用的访问控制设备或配置了全通策略,可判定为高风险。
适用范围:所有系统。
满足条件(任意条件):
1、互联网出口无任何访问控制措施。
2、互联网出口访问控制措施配置不当,存在较大安全隐患。
3、互联网出口访问控制措施配置失效,启用透明模式,无法起到相关控制功能。
补偿措施:边界访问控制设备不一定一定要是防火墙,只要是能实现相关的访问控制功能,形态为专用设备,且有相关功能能够提供相应的检测报告,可视为等效措施,判符合。如通过路由器、交换机或者带ACL功能的负载均衡器等设备实现,可根据系统重要程度,设备性能压力等因素,酌情判定风险等级。
整改建议:建议在互联网出口部署专用的访问控制设备,并合理配置相关控制策略,确保控制措施有效。
6.2.2 通信协议转换及隔离措施
对应要求:应在网络边界通过通信协议转换或通信协议隔离等方式进行数据交换。
判例内容:可控网络环境与不可控网络环境之间数据传输未采用通信协议转换或通信协议隔离等方式进行数据转换,可判定为高风险。
适用范围:4级系统。
满足条件(同时):
1、4级系统;
2、可控网络环境与不可控网络环境之间数据传输未进行数据格式或协议转化,也未采用通讯协议隔离措施。
补偿措施:如通过相关技术/安全专家论证,系统由于业务场景需要,无法通过通信协议转换或通信协议隔离等方式进行数据转换的,但有其他安全保障措施的,可酌情降低风险等级。
整改建议:建议数据在不同等级网络边界之间传输时,通过通信协议转换或通信协议隔离等方式进行数据交换。
6.3 入侵防范
6.3.1 外部网络攻击防御
对应要求:应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。
判例内容:关键网络节点(如互联网边界处)未采取任何防护措施,无法检测、阻止或限制互联网发起的攻击行为,可判定为高风险。
适用范围:3级及以上系统。
满足条件(同时):
1、3级及以上系统;
2、关键网络节点(如互联网边界处)无任何入侵防护手段(如入侵防御设备、云防、WAF等对外部网络发起的攻击行为进行检测、阻断或限制)。
补偿措施:如具备入侵检测能力(IDS),且监控措施较为完善,能够及时对入侵行为进行干预的,可酌情降低风险等级。
整改建议:建议在关键网络节点(如互联网边界处)合理部署可对攻击行为进行检测、阻断或限制的防护设备(如抗APT攻击系统、网络回溯系统、威胁情报检测系统、入侵防护系统等),或购买云防等外部抗攻击服务。
6.3.2 内部网络攻击防御
对应要求:应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。
判例内容:关键网络节点(如核心服务器区与其他内部网络区域边界处)未采取任何防护措施,无法检测、阻止或限制从内部发起的网络攻击行为,可判定为高风险。
适用范围:3级及以上系统。
满足条件(同时):
1、3级及以上系统;
2、关键网络节点(如核心服务器区与其他内部网络区域边界处)无任何入侵防护手段(如入侵防御、防火墙等对内部网络发起的攻击行为进行检测、阻断或限制)。
补偿措施:如核心服务器区与其他内部网络之间部署了防火墙等访问控制设备,且访问控制措施较为严格,发生内部网络攻击可能性较小或有一定的检测、防止或限制能力,可酌情降低风险等级。
整改建议:建议在关键网络节点处(如核心服务器区与其他内部网络区域边界处)进行严格的访问控制措施,并部署相关的防护设备,检测、防止或限制从内部发起的网络攻击行为。
6.4 恶意代码和垃圾邮件防范
6.4.1 网络层恶意代码防范
对应要求:应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新。
判例内容:主机和网络层均无任何恶意代码检测和清除措施的,可判定为高风险。
适用范围:所有系统。
满足条件(同时):
1、主机层无恶意代码检测和清除措施;
2、网络层无恶意代码检测和清除措施。
补偿措施:
1、如主机层部署恶意代码检测和清除产品,且恶意代码库保持更新,可酌情降低风险等级。
2、如2级及以下系统,使用Linux、Unix系统,主机和网络层均未部署恶意代码检测和清除产品,可视总体防御措施酌情降低风险等级。
3、对与外网完全物理隔离的系统,其网络环境、USB介质等管控措施较好,可酌情降低风险等级。
整改建议:建议在关键网络节点处部署恶意代码检测和清除产品,且与主机层恶意代码防范产品形成异构模式,有效检测及清除可能出现的恶意代码攻击。
6.5 安全审计
6.5.1 网络安全审计措施
对应要求:应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计。
判例内容:在网络边界、重要网络节点无任何安全审计措施,无法对重要的用户行为和重要安全事件进行日志审计,可判定为高风险。
适用范围:所有系统。
满足条件(同时):
1、无法对重要的用户行为和重要安全事件进行日志审计。
补偿措施:无。
整改建议:建议在网络边界、重要网络节点,对重要的用户行为和重要安全事件进行日志审计,便于对相关事件或行为进行追溯。

打赏鼓励作者,期待更多好文!

打赏
27人已打赏

发表新帖
热门标签
全部标签>
安全效果
西北区每日一问
技术盲盒
技术笔记
干货满满
【 社区to talk】
每日一问
信服课堂视频
GIF动图学习
新版本体验
技术咨询
功能体验
2023技术争霸赛专题
产品连连看
自助服务平台操作指引
标准化排查
秒懂零信任
技术晨报
安装部署配置
原创分享
排障笔记本
玩转零信任
排障那些事
SDP百科
技术争霸赛
深信服技术支持平台
通用技术
以战代练
升级&主动服务
社区新周刊
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版达人