响应式网站设计软件,音乐网站的建设,wordpress友链自定义排序,杭州外贸网站建设公司排名1.身份鉴别-在应用系统及各类型设备中确认操作者身份的过程#xff08;身份鉴别和数据保密#xff09; 1-2/2-3/3-4/4-4 a#xff09;应对登录的用户进行身份标识和鉴别#xff0c;身份标识具有唯一性#xff0c;身份鉴别信息具有复杂度要求并定期更换 b#xff09;应具有… 1.身份鉴别-在应用系统及各类型设备中确认操作者身份的过程身份鉴别和数据保密 1-2/2-3/3-4/4-4 a应对登录的用户进行身份标识和鉴别身份标识具有唯一性身份鉴别信息具有复杂度要求并定期更换 b应具有登录失败处理功能应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施 c当进行远程管理时应采取必要措施防止鉴别信息在网络传输过程中被窃听如身份鉴别信息加密传输 d应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别且其中一种鉴别技术至少应使用密码技术来实现 测评实施重点 1用户身份鉴别信息应具有唯一性、具备必要的复杂度且需要定期更新 2要开启设备登录失败处理功能连续多次失败后应结束会话或锁定账号在账户登录且长时间未操作时自动退出 3采用加密的方式传输账户鉴别信息 4采用两种或以上身份鉴别技术包括口令、密码技术、生物技术等其中至少有密码技术 2.访问控制-账户和权限设置 1-3/2-4/3-7/4-7 a应对登录的用户分配账户和权限 b应重命名或删除默认账户修改默认账户的默认口令 c应及时删除或停用多余的、过期的账户避免共享账户的存在 d应授予管理用户所需的最小权限实现管理用户的权限分离 e应由授权主体配置访问控制策略访问控制策略规定主体对客体的访问规则 f访问控制的粒度应达到主体为用户级或进程级客体为文件、数据库表级 g应对重要主体和客体设置安全标记并控制主体对有安全标记信息资源的访问 g应对主体、客体设置安全标记并依据安全标记和强制访问控制规则确定主体对客体的访问 测评实施重点 1检查被测系统中账户及其权限的设置情况 2检查系统默认账号、默认口令 3核查每个账户的用途检查是否有多余的、过期的账户是否为不同的用户创建不同的账户来登录系统 4管理用户的角色划分最小权限、权限之间是否相互制约 5核查是否有负责配置访问控制策略的管理用户核查授权主体是否依据安全策略配置主体对客体的访问规则 6控制粒度是否达到主体为用户级或进程级客体为文件、数据库表、记录或字段级。 7对重要信息资源设置安全标记 3.安全审计-对系统的运行情况及系统用户行为进行记录 1-0/2-3/3-4/4-4 a应启用安全审计功能审计覆盖到每个用户对重要的用户行为和重要安全事件进行审计 b审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息 c应对审计记录进行保护定期备份避免受到未预期的删除、修改或覆盖等 d应对审计进程进行保护防止未经授权的中断 d应对审计进程进行保护防止未经授权的中断。审计记录增加主体标识和客体标识 测评实施重点同上 4.入侵防范-主机入侵防范减少主机对外暴露的漏洞 1-2/2-5/3-6/4-6 a应遵循最小安装的原则仅安装需要的组件和应用程序 b应关闭不需要的系统服务、默认共享和高危端口 c应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制 d应提供数据有效性检验功能保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求 e应能发现可能存在的已知漏洞并在经过充分测试评估后及时修补漏洞 f应能够检测到对重要节点进行入侵的行为并在发生严重入侵事件时提供报警 测评实施重点 1检查遵循最小安装原则 2检查限制终端登录的措施例如接入方式、地址范围 3具备输入数据有效性检查 4定期漏扫 5安装并合理配置入侵检测软件或装置如具有入侵检测功能的系统自带防火墙或者第三方防火墙软件是否部署了第三方入侵检测系统如网络层的IDS 5.恶意代码防范-主机型恶意代码防范措施 1-1/2-1/3-1/4-1 a应安装防恶意代码软件或配置具有相应功能的软件并定期进行升级和更新防恶意代码库 a应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为并将其有效阻断 a应采用主动免疫可信验证机制及时识别入侵和病毒行为并将其有效阻断 测评实施重点同上 6.可信验证-基于可信根引导平台从基础硬件出发到顶层应用程序可信启动 1-1/2-1/3-1/4-1 a可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证并在检测到其可信性受到破坏后进行报警 a可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证并在检测到其可信性受到破坏后进行报警并将验证结果形成审计记录送至安全管理中心 a可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证并在应用程序的关键执行环节进行动态可信验证在检测到其可信性受到破坏后进行报警并将验证结果形成审计记录送至安全管理中心 a可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证并在应用程序的所有执行环节进行动态可信验证在检测到其可信性受到破坏后进行报警并将验证结果形成审计记录送至安全管理中心并进行动态关联 测评实施重点同上 7.数据完整性-各类数据传输和存储完整性保护 1-1/2-1/3-2/4-3 a应采用校验技术保证重要数据在传输过程中的完整性 a应采用密码技术保证重要数据在传输过程中的完整性包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等 b应采用校验技术或密码技术保证重要数据在存储过程中的完整性包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等 b应采用密码技术保证重要数据在存储过程中的完整性包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等 c在可能涉及法律责任认定的应用中应采用密码技术提供数据原发证据和数据接收证据实现数据原发行为的抗抵赖和数据接收行为的抗抵赖不可否认性 测评实施重点 1检测重要数据在传输过程中采用什么技术保证数据完整性若被篡改或破坏是否能检测到并及时恢复 2检测重要数据在存储过程中采用什么技术保证数据完整性若被篡改或破坏是否能检测到并及时恢复 3采用密码技术保证数据在发送和接收过程中不会被篡改 8.数据保密性-保护各类重要数据在传输和存储过程中不被泄露 1-0/2-0/3-2/4-2 a应采用密码技术保证重要数据在传输过程中的保密性包括但不限于鉴别数据、重要业务数据和重要个人信息 b应采用密码技术保证重要数据在存储过程中的保密性包括但不限于鉴别数据、重要业务数据和重要个人信息等 测评实施重点 1通过系统设计文档检查重要数据是否采用了密码技术进行机密性保护 2通过嗅探等方式抓取传输过程中的数据包分析重要数据在传输过程中是否进行了加密等处理措施 3检查数据库表或存储文件等在存储过程中是否采取了保障保密性的措施 9.数据备份恢复-对数据进行备份是防止数据遭到破坏后无法使用的最好方法数据备份、系统备份 1-1/2-2/3-3/4-4 a应提供重要数据的本地数据备份与恢复功能 b应提供异地数据备份功能利用通信网络将重要数据定时批量传送至备用场地 b应提供异地实时备份功能利用通信网络将重要数据实时备份至备份场地 c应提供重要数据处理系统的热冗余保证系统的高可用性 d应建立异地灾难备份中心提供业务应用的实时切换 测评实施重点 1按照备份策略进行备份备份策略要设置合理、配置正确。 2备份结果应与备份策略一致。核查近期恢复测试记录了解是否进行正常的数据恢复。 3实现异地实时备份功能 4边界交换机、边界防火墙、核心路由器、应用服务器、数据库服务器等应采用热冗余方式部署 5建立异地灾难备份中心提供业务应用的实时切换功能 10.剩余信息保护-保证存储在内存或缓冲区中的信息不被非授权访问 剩余信息是指当前用户在登出后仍然留存在系统内存、磁盘中的身份标识、鉴别信息或其他形式的登录凭证,以及敏感数据 1-0/2-1/3-2/4-2 a应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除 b应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除 测评实施重点 1核查终端和服务器等设备的操作系统、数据库系统、中间件等系统软件及业务应用系统的鉴别信息所在的存储空间被释放或重新分配前是否得到完全清除 2核查终端和服务器等设备的操作系统、数据库系统、中间件等系统软件及业务应用系统的敏感信息所在的存储空间被释放或重新分配前是否得到完全清除 11.个人信息保护-个人信息的采集和使用 1-0/2-2/3-2/4-2 a应仅采集和保存业务必需的用户个人信息 b应禁止未授权访问和非法使用用户个人信息 测评实施重点 1采集的用户信息是否是业务应用所必需的 2是否有个人信息保护方面的管理制度和流程 3采用什么技术措施限制对用户信息的访问和使用
