DB21T 2信息系统安全检查规范 第2部分技术规范.docx
- 文档编号:16434733
- 上传时间:2023-07-13
- 格式:DOCX
- 页数:32
- 大小:30.98KB
DB21T 2信息系统安全检查规范 第2部分技术规范.docx
《DB21T 2信息系统安全检查规范 第2部分技术规范.docx》由会员分享,可在线阅读,更多相关《DB21T 2信息系统安全检查规范 第2部分技术规范.docx(32页珍藏版)》请在冰点文库上搜索。
DB21T2信息系统安全检查规范第2部分技术规范
DB21∕T2082
L70
DB21
辽宁省地点标准
DB21/XXXXX—XXXX
信息系统安全检查规范
第2部分:
技术规范
Specificationforinformationsystemsecuritychecks
Part2:
technicalCriterion
(本稿完成日期:
2012-9-13)
XXXX-XX-XX公布
XXXX-XX-XX实施
辽宁省质量技术监督局公布
目 次
前 言
DB21/Txxxx分为2部分:
——第1部分:
治理规范
——第2部分:
技术规范
本部分是DB21/Txxxx的第2部分。
本标准依据GB/T1.1-2009《标准化工作导则第1部分:
标准的结构与编写》制定。
本标准由大连市网络与信息安全和谐小组提出。
本标准由辽宁省经济和信息化委员会归口。
本标准起草单位:
大连市经济和信息化委员会、大连市网络与信息安全专家组。
引 言
为应对日益严肃的信息安全形势,保证信息系统的可信、安全、可控,国家网络与信息安全和谐小组推进重要领域信息系统安全检查,是重要的保证措施。
本规范是为建立科学、规范、有序的信息系统安全检查环境编制。
信息系统安全检查规范
范畴
本标准规定了基于信息系统安全防护体系,信息系统基础产品检查、信息安全等级爱护检查、信息系统安全检查技术要求、检查方式的差不多要求。
本标准适用于各级党政机关、行业主管部门为履行职能提供支撑的信息系统的检查。
其它面向社会提供服务的重要行业信息系统检查可参照本标准执行。
本标准不适用于涉及国家隐秘的信息系统安全检查。
规范性引用文件
下列文件关于本文件的应用是必不可少的。
凡是注日期的引用文件,仅所注日期的版本适用于本文件。
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T5271.8信息技术词汇第8部分:
安全
GB/T20269信息安全技术信息系统安全治理要求
GB/T20984信息安全技术信息安全风险评估规范
GB/T20988信息安全技术信息系统灾难复原规范
GB/T21671基于以太网技术的局域网系统验收测评规范
GB/T22239信息安全技术信息系统安全等级爱护差不多要求
GB/T22240信息安全技术信息系统安全等级爱护定级指南
GB/Z24364信息安全技术信息安全风险治理指南
中华人民共和国国务院令(147号)运算机信息系统安全爱护条例
国密局发[2009]10号关于印发《<信息安全等级爱护商用密码治理方法>实施意见》的通知
DB21/T1799.1信息服务治理规范第1部分:
总则
DB21/T1799.3信息服务治理规范第3部分:
运算机信息系统运营和爱护治理
DB21/Txxxx.1信息系统安全检察规范第1部分:
治理规范
术语和定义
GB/T5271.8和DB21/Txxxx.1界定的以及下列术语和定义适用于本部分。
3.1
信息系统生命周期lifecycleofinformationsystem
信息系统开发方法,包括可行性分析、需求治理、总体规划、系统设计、系统实施、系统运行、系统服务和系统评估等时期。
3.2
安全策略informationsecuritypolicy
为实现安全目标制定的约束所有信息安全治理有关活动的一组规则。
由实施信息安全的组织建立、描述、实施和实现。
要求
信息系统安全检查技术规范,遵循GB/T20269确立的信息系统安全治理要求。
本部分遵循DB21/Txxxx.1确立的治理原则和要求,重点描述信息系统安全检查边界、检查评估内容。
信息系统安全检查技术规范的一样原则和要求,参照DB21/Txxxx.1执行。
在信息系统安全检查中,应同时使用DB21/Txxxx.1和本部分。
在信息系统安全检查中,应按照DB21/Txxxx.1确立的治理原则和要求,制定技术方案,明确检查措施、技术手段。
信息安全防护体系
物理安全
物理安全要紧包括:
a)电源治理:
将电源有效分配到系统中不同的设备组件。
应考虑电源设备参数对设备的阻碍,如过压、过流、浪涌、短路等;应考虑电源系统的裕量(包括UPS);
b)等电位治理:
设置配电系统、各类电子设备及附属设施(包括所有金属件)、防雷、防静电等的接地等电位体,应考虑静电防护、感应雷电可能形成的电磁脉冲和过电压的干扰和毁坏等;
c)设备治理:
信息系统有关设备的日常运行和治理;防电磁信息辐射泄漏、防电磁干扰、防线路截获、电源爱护等;
d)媒介安全:
各种储备媒介内容和媒介本身安全;
e)场地环境:
应考虑机房内通风、温度、湿度、灰尘、灯光等的配置;考虑机柜放置与冷却效率和制冷单元热点的关系;以及可能因功能扩大引起的冷却效率咨询题等;
f)灾难预防:
应考虑物理和自然灾难发生的可能性,制定应急预案;考虑设备防盗、防毁等;
g)布线系统:
监控设备间、弱电井、机房等区域配线设备、信息插座等设施及线缆状态,以及网络通信线路的工作状态和可能的故障状态;
h)监控系统治理:
监控门禁系统、各类监控设备等的运行状态、参数变化、提示信息等。
平台安全
信息系统平台要紧包括:
a)网络基础平台:
路由设备、网络交换设备、储备设备等网络基础设施的安全性、可靠性、可用性和可扩展性,及网络结构的优化等;
b)系统平台:
操作系统、数据库系统及网络协议等的安全性、可靠性和可用性;
c)应用系统平台:
支撑系统应用的Web、DNS、Mail、中间件等服务设施和其它支撑系统应用的软件系统的安全性、可靠性和可用性;
d)系统安全平台:
信息系统安全设施、安全策略、安全机制、安全级别、病毒防护、补丁治理等的安全性、有效性和可用性。
数据安全
a)储备设备:
服务器设备、集群系统、储备阵列、储备网络等,以及支撑数据储备设施运行的软件平台等数据储备设施的安全性、可靠性和可用性;
b)数据治理:
1)数据质量:
数据的完整性、可靠性、可用性及数据治理和数据复原策略;
3)数据储备与容灾:
数据储备、数据容灾策略,制定数据储备事件处理预案;
4)数据交换安全:
规划建设数据安全交换平台,保证内、外网络之间数据交换的安全。
制定数据安全交换、交换过程中数据的完整性、可靠性、安全性策略;制定数据交换事件处理预案。
通信安全
a)数据传输线路和网络基础设施的安全性;
b)各项网络协议的安全性;
c)数据传输的安全性及数据通信的安全策略,制定数据通信应急处理预案。
应用安全
a)应用系统可靠性、安全性、可用性测试;
b)应用系统安全策略;
c)应用系统访咨询操纵策略;
d)应用系统访咨询终端安全检查;
e)日志审计等。
运行安全
a)信息系统运行状况监测、预警和治理;
b)工作环境治理,包括工作场地、个人运算机终端安全性等;
c)系统性能评估,包括系统整体架构、系统平台、应用系统、数据治理、系统安全平台等的整体安全性、可用性,及业务融合度评估等;
d)应急治理和灾难预防复原机制;
e)系统更新、升级等。
治理安全
a)制定安全防护体系各个层次和整体的安全治理策略和机制,建立完善的治理制度;
b)日常治理规范化和标准化;
c)制定信息系统安全总体进展规划,包括信息系统安全中长期建设、应用、进展规划;资源整合规划安全性;IT治理模式;标准建设等;
d)优化、提升系统基础架构(包括硬件基础平台、系统平台、安全平台、数据治理平台等)的可用性、可靠性和安全性。
信息系统基础产品检查
IT及有关产品
检查预备
a)IT及有关产品技术文档;
b)进网许可证、安全审查有关文档;
c)其它必要的文档。
检查对象
IT产品及有关文档。
检查项
a)IT产品国产化情形;
b)系统软件、应用系统、数据库治理系统等的国产化情形;
c)IT产品应用情形;
d)国外产品的安全审查情形。
检查实施
a)查阅IT产品技术文档(包括软件应用),确认其应用范畴;
b)查看现有IT产品国产化应用;
c)如选用国外IT产品,查阅安全审查记录。
检查评估
评估以下各项:
a)在满足应用需求情形下,优先选用国产化产品;
b)IT产品在规定的应用范畴内使用;
c)如选用国外产品,具有安全审查记录,且记录完整、清晰。
则此项检查结果应通过。
信息安全产品
检查预备
a)信息安全产品技术文档;
b)信息安全产品认证、销售许可有关文档;
c)其它必要文档。
检查对象
信息安全产品及有关文档。
检查项
a)信息安全产品国产化情形;
b)信息安全产品应用情形;
c)信息安全产品认证、销售许可情形。
检查实施
a)查阅信息安全产品技术文档,确认其应用范畴;
b)查看现有信息安全产品国产化情形;
c)查阅信息安全产品清单、认证和销售许可证明。
检查评估
a)完全选用国产信息安全产品;
b)信息安全产品在规定的应用范畴内使用;
c)信息安全产品已获得版权局、公安部、国家密码治理局等有关认证和销售许可。
则此项检查结果应通过。
信息安全等级爱护检查
检查预备
a)信息安全等级爱护测评有关文档;
b)信息安全等级爱护定级有关文档;
c)信息安全等级爱护备案文档;
d)信息安全等级爱护整改有关文档;
e)其它有关文档。
检查对象
信息安全等级爱护定级、评测、整改、备案情形及有关治理机制。
检查项
a)已建、新建信息系统定级、备案;
b)信息系统等级准确性;
c)定级报告与信息系统的符合性;
d)信息系统变更后定级、备案;
e)依据国家标准选择测评机构;
f)依据国家标准开展信息系统测评;
g)依据国家标准和实际情形实施整改;
h)等级爱护责任机构、责任人;
i)等级爱护规章制度、有关培训;
j)等级爱护建设规划。
检查实施
a)定级、备案范畴已覆盖有关业务系统;
b)等级报告符合国家标准;
c)等级报告与信息系统实际情形相符合;
d)信息系统变更后及时定级、备案;
e)测评机构选择和等级评测、等级爱护整改和相应报告符合有关标准;
f)有关规章制度明确了等级爱护工作;
g)明确等级爱护责任机构、责任主体、责任人及其职责;
h)等级爱护有关培训文档清晰、完整;
i)制定等级爱护建设规划、部署和打算等级爱护开展。
检查评估
评估以下各项:
a)具有符合等级爱护定级要求的定级报告、备案证书;
b)等级报告符合GB/T22240要求;
c)定级报告符合信息系统实际情形;
d)信息系统变更后及时定级、备案;
e)定期展开信息系统测评,测评机构和测评符合公信安[2010]303号要求;
f)整改报告满足公信安[2009]1429号要求,且记录清晰、完整;
g)明确等级爱护责任机构、责任主体、责任人,且职责明确;
h)规章制度明确信息安全等级爱护工作;
i)定期开展等级爱护培训,记录完整、清晰;
j)等级爱护建设规划、工作机制有效。
则此项检查结果应通过。
技术要求
风险评估
检查预备
a)信息安全风险评估报告;
b)其它有关文档。
检查对象
a)信息系统安全治理机制;
b)信息系统安全防护体系。
检查项
a)信息安全风险评估机制;
b)依据有关标准实施风险评估工作。
检查实施
a)信息系统生命周期内,信息安全风险评估工作情形(包括配置变更、业务变化等);
b)信息安全风险评估有关规章制度;
c)风险评估报告的严谨性、规范性和有效性。
检查评估
评估以下各项:
a)信息安全风险评估的有效性和GB/T20984、GB/Z24364的符合性;
b)治理机制的科学性、有效性(包括治理规章的完整性);
c)风险评估的时效和周期;
d)风险评估报告完整、规范、有效。
则此项检查结果应通过。
物理安全
检查预备
a)信息系统物理环境各项技术图纸及其它有关资料;
b)信息系统物理环境有关的各项文档;
c)信息系统物理环境检测、验收文档。
检查对象
信息系统物理环境,包括机房、设备间、其它配套房间、8.2.1所列各项等。
检查项
a)5.1所列各项;
b)5.1所列各项有关设备、设施运行、爱护状况;
c)信息系统物理环境检测、验收状况。
检查实施
a)查阅8.2.1所列各项的完整性、规范性;
b)信息系统物理环境检测、验收数据的合理性、有效性;
c)实地观看信息系统物理环境现状。
检查评估
评估以下各项:
a)获得正规、可鉴证的检测、验收报告,且结论认定符合设计要求、达到质量目标、满足检测、验收条件;
b)5.1所列各项有关设备、设施运行状态正常、稳固,爱护措施有效;
c)经实地观看,信息系统物理环境符合国家有关标准,5.1所列各项均安全、合理、有效;
d)8.2.1所列各项完整、规范。
则此项检查结果应通过。
网络基础平台安全
检查预备
a)网络拓扑结构图、网络配置文档;
b)网络基础平台规划设计有关文档;
c)网络基础平台测试、验收有关文档;
d)其它网络基础设施有关文档。
检查对象
网络基础设施、网络拓扑结构、网络安全策略、网络基础平台有关文档。
检查项
a)网络基础设施性能;
b)网络拓扑结构、网络结构设计合理性;
c)网络配置、安全域划分合理性;
d)网络设备安全性;
e)网络冗余配置;
f)网络基础设施测试、验收文档;
g)网络基础平台其它文档完整性、规范性。
检查实施
8.3.4.1测试
a)网络拓扑发觉工具发觉网络拓扑结构,比对异同;
b)网络性能测试工具测试网络设备性能;
c)漏洞扫描工具扫描网络设备;
d)配置核查工具或手工检查配置核查网络设备。
形成测试报告。
8.3.4.2设备检查
a)网络设备运行、爱护、治理状况;
b)检查设备治理记录、设备无故障运行时刻、故障率等;
c)网络设备更新状况:
更新时刻、更新记录、定期检测等;
d)检查设备日志内容。
8.3.4.3结构检查
a)查看测试文档,分析网络性能、业务应用满足度;
b)查看网络基础平台设计、验收文档,分析设计、验收数据的合理性、适宜性;
c)网络配置合理性;不同网段(子网)划分,与工作职能、业务重要程度的关联性;内、外网安全性;网络拓扑结构与实际业务需求的满足度;
d)网络重要节点、关键路径的冗余配置;
e)查看网络基础设施运行、爱护文档,分析设备故障率;按照测试报告,分析网络性能;
f)实地查看网络基础设施运行状况;
g)网络基础平台文档治理完整、规范、有效。
8.3.4.4安全功能检查
a)业务高峰期网络带宽分配和业务优先级设置功能;
b)依据安全策略实施严格的访咨询操纵措施;
c)全面检测、记录网络设备运行状况、网络流量、用户行为;
d)具备边界完整性检查功能,及时定位、报警、阻断非法外联行为;
e)具备差不多的网络入侵防范功能,监控入侵事件,及时报警;
f)网络地址治理策略;
g)核心交换机配置、预留数据镜像端口。
检查评估
评估以下各项:
a)网络拓扑与实际网络系统一致,且满足当前业务应用需求;
b)网络配置、网段划分、安全域设置合理,且按照安全策略有效隔离;
c)网络重要节点、关键路径冗余配置;
d)各项安全功能均安全、合理、有效;
e)网络基础平台设计合理,测试、验收符合GB/T21671要求;
f)网络基础平台运行状态良好,运行、爱护文档完整、规范,真实记录网络运行状况;
g)其它网络基础平台文档治理规范、有效;
h)经实地查看,网络基础平台运行符合国家有关标准。
则此项检查结果应通过。
系统平台安全
检查预备
a)软件设计、部署、应用有关文档;
b)数据库系统设计、部署、应用有关文档;
d)系统平台测试、验收文档;
e)其它有关文档。
检查对象
操作系统、数据库系统、中间件及网络协议等、应用服务器、应用系统平台,系统平台有关文档。
检查项
a)操作系统性能和资源占用;
b)系统应用平台设计、部署;
c)数据库系统设计、部署、应用现状;
d)应用服务器设计、配置、应用;
e)测试、验收文档;
f)其它有关文档完整性、规范性。
检查实施
8.4.4.1测试
a)漏洞扫描工具检查操作系统、数据库系统、应用系统平台和应用系统的中、高风险安全漏洞;
b)配置核查工具配置核查操作系统、数据库治理系统;
c)数据库渗透测试、SQL注入、TDS协议安全性分析;
d)应用服务器失效性检查等。
形成测试报告。
8.4.4.2安全配置检查
a)系统性能和资源占用情形;
b)安全策略配置(如密码设置、系统审核、开放端口、访咨询权限、帐户治理等);
c)桌面软件正版和安全漏洞更新;
d)应用服务器配置、日志、运行状况及日常检查;
e)虚拟技术的安全性检查(虚拟软件、工具、治理等);
f)桌面级安全产品部署和应用(防病毒、桌面防火墙等)。
8.4.4.3安全监控检查
a)服务器和重要客户端部署桌面治理系统;
b)系统使用行为、系统资源状况监控、审计;
c)虚拟机治理策略、采纳虚拟技术的网络访咨询操纵策略、虚拟软件更新策略;
d)监控记录的记录形式、内容等。
检查评估
评估以下各项:
a)操作系统的CPU使用率低于30%、内存使用率低于60%、系统盘剩余空间大于30%,系统运行状态良好;
b)系统平台密码设置、系统审核、开放端口、访咨询权限、帐户治理等安全策略配置合理、有效;
c)服务器和重要客户端已安装、部署并启动桌面治理系统;
d)正版软件并随时更新安全漏洞;
e)系统平台不存在中、高安全风险漏洞(如弱口令、SQL注入等);
f)虚拟机治理策略、虚拟工具使用、虚拟软件更新、网络访咨询操纵策略等配置合理、有效;
g)安全监控记录完整、储备方式合理,包括:
1)监控内容包括时刻和日期、类型、主体标识、客体标识、事件结果等;
2)监控记录储备空间满足安全策略要求,且显现专门时应有相应处理机制,保证记录完整;
3)监控记录储存时刻应在30天左右;
4)监控记录应由专人负责治理、统计和分析;
h)系统平台有关文档完整、规范。
则此项检查结果应通过。
应用系统安全
检查预备
a)应用系统设计书及有关文档;
b)应用系统部署、应用有关文档;
c)应用系统测试、验收文档;
d)其它有关文档。
检查对象
业务系统、网站等重要应用系统及有关文档治理、内容审计系统。
检查项
a)应用系统设计、验收和测试文档;
b)应用系统代码安全;
c)系统可用性、可控性;
d)防篡改和复原功能;
e)web应用层防护功能;
f)应用系统应用现状。
检查实施
8.5.4.1测试
a)漏洞扫描工具检查应用系统中、高风险安全漏洞;
b)代码安全测试(黑、白盒等);
c)网站监测、CC攻击检测;
d)SQL注入检查等。
形成测试报告。
8.5.4.2防护措施检查
a)安全策略(如密码设置、身份鉴别、系统审核、开放端口、访咨询操纵和权限、帐户治理等);
b)资源操纵、容错机制、变更治理;
c)系统交付治理(开发环节和过程操纵、测试验收治理、交付治理、文档治理等);
d)防篡改和复原功能;
e)web应用层防护功能。
8.5.4.2关键字过滤检查
a)内容审计系统关键字过滤功能设置;
b)内容审计系统关键字过滤记录;
c)关键字过滤的安全策略设定。
检查评估
评估以下各项:
a)密码设置、身份鉴别、系统审核、开放端口、访咨询操纵和权限、帐户治理等设置合理、有效;
b)某一时刻段内系统并发会话连接数限制合理、有效;
c)访咨询帐户或进程分配资源最大和最小限额,并在达到阈值时自动监测、报警;
d)建立数据处理容错机制,并可有效实现;
e)系统交付过程符合国家有关标准,规范、完整、有效;
f)网站储备空间无有害程序(病毒、木马、恶意代码、域名劫持等),测试未发觉安全漏洞、后门;
g)建立网站页面定期监测机制,及时处理可能显现的信息破坏事件、有害程序事件等;
h)建立网站信息内容安全定期监测机制,监测法规禁止、敏锐、涉密信息等;
i)具备防篡改和复原功能;
j)具备web应用层防护功能;
k)应用系统运行状况正常;
l)内容审计系统设置关键字过滤功能;
m)关键字过滤记录清晰、完整;
n)安全策略设定关键字过滤规定;
o)应用系统运行日志完整;
p)文档治理完整、规范。
则此项检查结果应通过。
系统安全平台检查
检查预备
a)系统安全平台设计、配置文档及其它有关文档;
b)系统安全平台测试、验收文档;
c)设备运行爱护文档;
d)其它有关文档。
检查对象
各类安全设备及信息安全防备技术、安全策略、安全机制、安全审计、设备运行治理等。
检查项
a)系统安全平台设计、配置文档;
b)系统安全平台测试、验收文档;
c)各类安全设备性能、功能及运行治理现状;
d)安全治理策略;
e)日志记录、储存、使用;
f)安全设备更新状况。
检查实施
8.6.4.1测试
a)采纳有关网络安全工具(如威逼发觉系统、安全扫描技术、木马监测系统、防病毒设备、网络故障综合分析系统等)检测网络系统恶意代码等;
b)采纳有关系统安全工具(如系统分析软件、恶意代码清查软件、防病毒软件等)检测系统平台恶意代码等;
c)采纳网络嗅探工具,检查重要线路数据包的密码使用;
d)采纳漏洞扫描工具,扫描测试网络设备、系统平台、系统安全平台等。
形成测试报告。
8.6.4.2设备检查
a)安全设备运行、爱护、治理状况;
b)检查设备治理记录、设备无故障运行时刻、故障率等;
c)安全设备更新状况:
更新时刻、更新记录、定期检测等;
d)检查设备日志内容。
8.6.4.3安全治理检查
a)按照第5章和信息资源安全需求,制定不同的安全策略的合理性、有效性;
b)安全设备的安全策略设置的合理性、有效性;
c)安全机制(包括数据加密、身份验证、访咨询操纵等)设置的合理性、有效性;
d)系统安全监测系统的适宜性、合理性和有效性。
8.6.4.4密码使用和治理
a)密码生成、分发、储备、使用、更新、备份、复原、导入、导出、归档、销毁等按照国家有关法规、政策、标准治理;
b)重要线路采纳加密方式爱护;
c)重要数据、文档采取加密爱护措施。
检查评估
评估以下各项:
a)安全设备正常运行,且运行状态良好,故障率在安全策略承诺范畴内;
b)安全设备软件、特点库、防病毒系统保持更新至最新版本;
c)建立深层信息安全防备体系,具备入侵防范功能,检测、监控端口扫描、强力攻击、木马攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、蠕虫攻击等入侵事件,并提示报警,有效阻断;
d)建立准入操纵机制,使入网所有终端合法、合规、可信。
e)网络系统、操作系统、应用系统、数据库系统等不存在恶意代码(如木马、蠕虫、ARP病毒等);
f)安全策略、安全机制配置有效;
g)安全设备日志采纳合理方式储备,记录完整、储存时限适当,有专人治理;
h)重要数据、文档、线路加密爱护;
i)密码治理符合国密局发[2009]10号,密码使用符合安全策略规定;
j)文档治理完整、规范;
k)经实地观看,安全设备安装、运行符合国家有关标准。
则此项检查结果应通过。
数据安全检查
检查预备
a)数据储备设计、配置文档及其它有关文档;
b)数据储备测试、验收有关文档
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- DB21T 2信息系统安全检查规范 第2部分技术规范 信息系统安全 检查 规范 部分 技术规范
![提示](https://static.bingdoc.com/images/bang_tan.gif)