网络安全等级保护合规一览重点总结 by Wei0ne

作者：Wei0ne [已获作者授权转载]

来源：https://www.t00ls.net/thread-52346-1-1.html

最近我在把自己做过的一些工作笔记进行了整理，也是对曾经工作的一个总结，也结合了当前等保2.0的一些标准进行总结，对于等保测评中容易丢分的方面做出了讲解； 如有不正确的地方，请前辈们进行多多指教；

0x00 前言

网络安全是一个国家继海陆空安全的另外一个领域的安全,现在被各个国家重视起来并且颁布了相应的法律法规;

中央高度重视网络安全工作， 网络安全和信息化同步推进， 树立正确的网络安全观，核心技术是国之利益;

根据《网络安全法》规定“国家实行网络安全等级保护制度”,把网络安全等级保护制度提升到法律保障层面。等级保护2.0时代行业单位未落实网络安全等级保护义务将有可能面临被有关部门责令整改、行政处罚、暂停注册、暂停运营的风险。

等级保护条例: 转变从信息系统等级保护条例转变到信息安全等级保护条例然后转变到现在的网络安全等级保护条例.

合规检查大概分为两类

• 关键信息基础设施安全保护-网信办(加强国家关键信息基础设施防护)
• 网络安全等级保护-公安机关(从法规层推进实施国家网络安全等级保护制度)

<br>

关键信息基础设施和网络安全等级保护的关系： 关键信息基础设施在等级保护第三级（包括第三级）以上的保护对象中确定,以保护国家关键信息基础设施为重点；

网络安全等级保护制度1.0与2.0差异：

• 等保1.0
  • 定级：确定信息系统边界,依据重要性和受到破坏后的危害程度确定;
  • 备案：二级以上信息系统到公安机关办理备案手续;
  • 等级测评：测评机构按照有关管理规范和计算标准，对非涉及工具秘密信息系统安全状况进行检测评估的活动;
  • 安全整改建设：根据国家标准开展落实信息系统安全保护责任,在开展信息系统安全管理制度建设和技术措施建设
  • 监督检测：网络运营者开展网络自查，以及公安和有关主管部门检查;
• 等保2.0
  • 法律层面：网络安全法颁布实施确认基础制度和法律
  • 保护对象：定级对象随则信息技术发展变化,有信息系统转变变更为网络保护对象全覆盖,领域全覆盖;
  • 保护措施：从定级备案的五个规范性动作到进一步加强具体安全保护措施的落实,保护要求不断增强。
  • 技术标准：基本要求、测评要求、安全设计要求、2.0追加了安全通用与安全扩展要求。
  • 工作机制：监管工作机制、协调联动机制、通报预警机制和应急处理机制等全面升级。

Q:等级保护2.0对比1.0的变化有哪些？:

• 等级保护2.0法律地位明显提升;
• 注重全方位主动防御、安全可信、动态感知和全面审计
• 监管对象范围更加广泛将重要网络基础设施(电信网、广电网、移动互联网)、重要信息系统、云计算平台、物联网、工控系统、智能设备设施、大数据平台、公众服务平台、重要行业的核心业务系统等全部纳入等级保护监管对象,并将互联网企业纳入等级保护管理。
• 《根据网络安全等级保护条例（征求意见稿）》要求,第二级以上网络运营者应当在网络的安全保护等级确定后 10 个工作日内,到县级（之前是市级）以上公安机关备案。

<hr>

0x01 等保2.0基本要求

(1) 等保2.0 : 网络安全等级保护标准 网络安全等级保护制度2.0国家标准在1.0的基础上,根据信息技术发展应用和网络安全态势,实现对新技术、新应用安全保护对象和安全保护领域的全覆盖，更加突出技术思维和立体防范，注重全方位主动防御、动态防御、整体防控和精准防护，强化一个中心，三重防护的安全保护体系，把云计算、物联网、移动互联、工业控制系统、大数据(大云物移智)等相关新技术新应用全部纳入保护范畴。

Q：等保2.0有关具体措施调整

• 定级方面：针对定级不准情况下,增加二级以上定级评审要求;
• 备案方面：备案受理单位调整为县级以上公安机关;
• 测评方法：三级以上系统上线测评以及四级系统调整为每年一次;
• 监督检测方面：强化执法检测、通报预警、事件调查和约谈等工作措施;

网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构,等保2.0由单一的标准编变成了一个系列标准;

• 原来(1.0)的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全；
• 技术部分：安全物理环境、安全通行网络、安全区域边界、安全计算环境、安全管理中心
• 管理部分：安全管理、安全管理机构、安全管理人员、安全建设管理、安全运维管理;

安全控制域划分上有较大的变化,原有十个安全域整合成为八个： WeiyiGeek.通用要求解析

技术要求“从面到点”提出安全要求,“物理和环境安全”主要对机房设施提出要求,“网络和通信安全”主要对网络整体提出要求,“设备和计算安全”主要对构成节点（包括网络设备、安全设备、操作系统、数据库、中间件等）提出要求,“应用和数据安全”主要对业务应用和数据提出要求。

为解决新技术、应用的安全问题等级保护进行修订并新加入了云计算、移动互联、物联网、工业控制系统、大数据安全等几方面的安全扩展要求。

关于集中管控： 特定的管理区域,管理数据的安全传输，全面的集中监控，日志的集中分析，恶意代码补丁升级等安全相关事项中的集中管理,各类安全事件进行识别/报警和分析,所有的记录统一时间源;

关于”安全管理中心”

• 从二级以上技术开始增加了”安全管理中心”要求,包含系统管理和审计管理
• 三级以上需要完整的系统管理，审计管理和安全管理(身份鉴别-安全运维审计)，并且实现集中管控;

如等保基本要求修订：

• GB/T22239.1-XXXX 安全通用要求
• GB/T22239.2-XXXX 云计算安全扩展要求
• GB/T22239.3-XXXX 移动互联安全扩展要求
• GB/T22239.4-XXXX 物联网安全扩展要求
• GB/T22239.5-XXXX 工业控制安全扩展要求

• #等级2.0-关键信息基础设施标准

• 关键~设施 保护条例
• 关键~设施 安全保护要求
• 关键~设施 安全控制要求
• 关键~设施 安全控制评估方法
• 

（2）与计算安全扩展要求 针对云计算的特点提出特殊保护要求,对云计算环境主要增加的内容包括”基础设施的位置”,虚拟化安全保护/镜像和快照保护,云服务闪选择和云计算机环境管理等等方面

<br>

0x02 等保定级

定级方法流程以及定级工作一般流程,基于GB/T 22240-2008 <信息系统安全等级保护定级指南> ;

(1) 定级对象 等级保护2.0定级对象分为基础信息网络,信息系统和其他信息系统,其中信息系统又划分为

• 工业控制系统
• 物联网
• 大数据
• 移动互联
• 云计算平台

<br>

其他信息系统作为定级对象的其他信息系统应具有如下基本特征：

• 具有确定的主要责任单位;
• 承载相对独立的业务应用;
• 具有信息系统的基本要素;

<br>

2. 定级比较

(1) 定级要素与等级的关系 第三级:等级保护对象受到破坏后,会对公民、法人和其他组织的合法权益产生特别严重损害,或者对社会秩序和公共利益造成严重损害或者对国家安全造成伤害;

注意：等保2.0要求三级以上系统每年做一次，合规标准为75分。

(2) 不同级别的安全保护能力 不同等级的等级保护对象应具备的基本安全保护能力如下：

(3) 二级 VS 三级等级保护要求比较: 网络安全等级保护措施进一步完善：将风险评估、安全监测、预警通报、应急演练、自主可控、供应链安全等重点措施纳入等级保护制度实施。 注：二级系统具有56个管理测评点和79个技术测评点,三级系统具有154个管理测评点和136个技术测评点

3. 定级通用要求

（1）物理和环境安全

<br>

（2）网络和通讯安全

<br>

(3) 设备和计算安全

<br>

(4) 应用和数据安全

<br>

(5) 安全管理中心

<br>

(6) 安全管理制度

<br>

(7) 安全管理机构和人员

<br>

(8) 安全建设管理

<br>

(9) 安全运维管理

<br>

体系框架和保障思路的变化 采取一个中心，三重防护的安全体系:

• (1) 中心：安全管理中心进行统一监管集中管控;
• (2) 第一重：安全计算环境:
  • 主机加固/数据库审计/主机防病毒/主机安全审计/剩余信息保护/抗抵赖技术
  • 身份鉴别/权限管理/应用系统安全/资源控制/数据备份与恢复
• (3) 第二重：安全区域边界,边界隔离/边界入侵防范/边界完整性保护 ,边界访问控制/恶意代码过滤/边界安全审计;
• (4) 第三重：安全通信网络,通信完整性和保密性,以及流量管控审计;

由1.0防御审计的被动保障向感知预警、动态防护、安全检测、应急响应的主动保障体系转变。 所谓“一个中心,三重防护”，就是针对安全管理中心和计算环境安全、区域边界安全、通信网络安全的安全合规进行方案设计：

• 建立以计算环境安全为基础，以区域边界安全、通信网络安全为保障
• 以安全管理中心为核心的信息安全整体保障体系

0x03 合规流程

笔者我曾经也做过半年的安全服务(乙方)可以说是开mo开pa心gun心da,下面是以我做安全服务总结得出流程是(如有不对请多多指教)：

当前网络环境态势导致网络安全不再是单一的,而是一个整体的我们需要从横纵方面进行防护,并且企业需要做到安全预警(防范于未然)以保证自身业务及系统安全;

<br>

0x04 网络安全工作建议

（1）抓好网络安全统筹规划和组织领导

• 统筹规划：信息化建设和安全通用规则、网络安全规划方案、人财物保障
• 督促指导：组织领导检查、网络安全考核
• 明确责任：信息系统建设和应用、安全保护的边界和责任
• 规范和标准：国家要求和行业要求、内部安全管理规范

（2）贯彻落实等级保护制度

• 梳理网络和系统底数：信息系统底数、网站、数据资源
• 加强安全防护：等级保护2.0标准、技术防护、动态防护、整体防护、数据保护
• 安全监测：等级测评、渗透测试、风险评估、实战演示
• 加强安全管理：管人管单位、管网络、管系统/制度措施

(3) 抓好网络安全监测、值守和应急处理工作

• 动态监测：全天态势感知，多渠道多方位安全监测
• 值班值守：单位和支撑单位驻场值守、日常运维保障、第三方服务管控
• 技术管网：技术手段建设和应用、与公安机关技术对接
• 应急处置：应急方案和演练、实战化应急处置

<br>

0x05 2.0 判定指引

等保2.0技术部分高危风险汇总 《网络安全等级保护测评高风险判定指引》（简称“判定指引”）。

切勿死搬硬套,需要切合实际; (我以三级系统为主)

1. 安全物理环境高危风险

• 动环系统：门禁 / 防盗警报 / 视频监控 / 温湿度调节
• 电力供应：UPS不间断电源 / 备用电 / 冗余或者并行电
• 电磁防护

2)安全通信网络高危风险

• 网络架构：负载均衡 / 可用性 / 网络区域隔离 / 特殊设备访问控制 / 边界划分/ 主备冗余
• 通信传输：加密传输HTTPS/AES / 业务前后端加密

3)安全区域边界高危风险

• 边界防护: 访问控制 / 网络接入控制(交换机/路由器/WIFI)
• 访问控制：防火墙 / 网闸
• 入侵防护：内部/外部攻击监测
• 安全审计：网络设备日志审计

4)安全计算环境高危风险

• 身份鉴别：强口令 / 登录策略 / 登录失败处理 / 双因子认证
• 安全审计：安全设备日志审计 / 态势感知 / 恶意代码和垃圾邮件防护(邮件过滤,杀毒软件)
• 数据保护：敏感信息过滤
• 数据容灾：同城异地 / 差备 / 全备

5)安全区域边界（集中管理中心）高危风险

• 集中管控(一个中心,三重防护) : 运维监控 / 日志收集 / 威胁情报

WeiyiGeek.安全物理环境高危风险(https://weiyigeek-1251733653.cos.ap-chengdu.myqcloud.com/2019/20190719175616.png)

WeiyiGeek.安全通信网络高危风险(https://weiyigeek-1251733653.cos.ap-chengdu.myqcloud.com/2019/20190719175625.png)

WeiyiGeek.安全区域边界高危风险](https://weiyigeek-1251733653.cos.ap-chengdu.myqcloud.com/2019/20190719175711.png)

WeiyiGeek.安全计算环境高危风险](https://weiyigeek-1251733653.cos.ap-chengdu.myqcloud.com/2019/20190719175725.png)

WeiyiGeek.安全区域边界（集中管理中心）高危风险](https://weiyigeek-1251733653.cos.ap-chengdu.myqcloud.com/2019/20190719175743.png)

以上高危风险项目大家可以各自进行对照，避免自己的系统有以上的风险，高危风险在等保测评中是拥有一票否决权的，即使其他方面做得很好，一旦出现高危风险，则测评结论将直接从不符合（差）开始。 <br>

0x06 附录

备注：网络安全等级保护备案下载( http://gaj.cq.gov.cn/wlaq/djbf/ )-2019-07-02更新

重庆测评机构：

（渝）-001 重庆信安网络安全等级测评有限公司    重庆市江北区五江路8号    王茂忠    13618363516
（渝）-002 重庆若可网络安全测评技术有限公司    重庆市北部新区黄山大道中段水星科技大厦中后楼3-8  周非   13002392319
（渝）-003 重庆巽诺科技有限公司  重庆市北部新区黄山大道中段70号2栋7－1    饶健 17783855882
（渝）-004 重庆市信息通信咨询设计院有限公司    重庆市九龙坡区科园四路257号电信实业大厦  韦龙飞  18996193318