如果說網(wǎng)絡(luò)安全的攻防對抗是一場持久的戰(zhàn)爭,《網(wǎng)絡(luò)安全法》指出了我們的戰(zhàn)略方向,而《等級保護條例》等相關(guān)法律法規(guī)則是更詳細的戰(zhàn)術(shù)布置。等級保護測評的工作專業(yè)而繁瑣,這里我們針對等保2.0的要求中,如何判定網(wǎng)絡(luò)和通信安全的高風(fēng)險項進行介紹,希望有所裨益。

案例1:重要區(qū)域與非重要網(wǎng)絡(luò)在同一子網(wǎng)或網(wǎng)段

判定依據(jù)

網(wǎng)絡(luò)架構(gòu):應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域,并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址

整改措施

1、涉及資金類交易的支付類系統(tǒng)與辦公網(wǎng)劃分不同網(wǎng)段

2、面向互聯(lián)網(wǎng)提供服務(wù)的系統(tǒng)與內(nèi)部系統(tǒng)劃分不同網(wǎng)段

3、不同級別的系統(tǒng)劃分不同網(wǎng)段

案例2

1、互聯(lián)網(wǎng)出口無任何訪問控制措施。如未部署防火墻、網(wǎng)絡(luò)訪問控制設(shè)備等,判為高風(fēng)險

2、辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施,辦公環(huán)境任意網(wǎng)絡(luò)接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò)設(shè)備進行管理

判定依據(jù)

網(wǎng)絡(luò)架構(gòu)應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域,并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址

整改措施

系統(tǒng)在互聯(lián)網(wǎng)出口部署專用的訪問控制設(shè)備;不同網(wǎng)絡(luò)區(qū)域間應(yīng)部署訪問控制設(shè)備如防火墻等,并合理配置訪問控制控制策略

案例3

在三級及四級系統(tǒng)中,口令、密鑰等重要敏感信息在網(wǎng)絡(luò)中明文傳輸?shù)?可判定為高風(fēng)險

判定依據(jù)

通信傳輸應(yīng)采用密碼技術(shù)保證通信過程中敏感信息字段或整個報文的保密性

整改措施

網(wǎng)絡(luò)設(shè)備開啟SSH或HTTPS協(xié)議,并通過這些加密方式傳輸鑒別信息

案例4

1、與互聯(lián)網(wǎng)互連的系統(tǒng),邊界處如無專用的訪問控制設(shè)備或未對與互聯(lián)網(wǎng)通信的接口進行控制

2、互聯(lián)網(wǎng)邊界租用運營商邊界訪問控制設(shè)備的,若沒有設(shè)備管理權(quán)限且未提供具體訪問控制策略,可判高風(fēng)險

判定依據(jù)

應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信

整改措施

在互聯(lián)網(wǎng)邊界部署訪問控制設(shè)備,并對通信接口進行控制。部署自有的防火墻或租用有管理權(quán)限的防火墻

案例5

在三級及四級系統(tǒng)中,非授權(quán)設(shè)備能夠直接接入重要網(wǎng)絡(luò)區(qū)域,如服務(wù)器區(qū)、管理網(wǎng)段等,且無任何告警、限制、阻斷等措施

判定依據(jù)

應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行限制或檢查, 并對其進行有效阻斷

整改措施

部署能夠?qū)Ψ欠▋?nèi)聯(lián)行為進行檢查、定位和阻斷的安全準(zhǔn)入產(chǎn)品

案例6

在三級及四級系統(tǒng)中,對于核心重要服務(wù)器、重要核心管理終端存在旁路、繞過邊界訪問控制設(shè)備私自外聯(lián)互聯(lián)網(wǎng)的可能且無任何控制措施

判定依據(jù)

邊界防護應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進行限制或檢查, 并對其進行有效阻斷

整改措施

部署能夠?qū)Ψ欠ㄍ饴?lián)行為進行檢查、定位和阻斷的安全準(zhǔn)入產(chǎn)品

案例7

與互聯(lián)網(wǎng)互連的系統(tǒng),邊界處如無專用的訪問控制設(shè)備或配置了全通策略

判定依據(jù)

應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則,默認情況下除允許通信外受控接口拒絕所有通信

整改措施

在互聯(lián)網(wǎng)邊界部署訪問控制設(shè)備,并合理設(shè)置訪問控制策略

案例8

在三級及四級系統(tǒng)中,關(guān)鍵網(wǎng)絡(luò)節(jié)點(通常為互聯(lián)網(wǎng)邊界處)未采取任何防護措施檢測、阻止或限制互聯(lián)網(wǎng)發(fā)起的攻擊行為

判定依據(jù)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為

整改措施

建議在關(guān)鍵網(wǎng)絡(luò)節(jié)點部署入侵防御、WAF等對可攻擊行為進行檢測、阻斷或限制的設(shè)備,或購買云防等外部抗攻擊服務(wù)

案例9

在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點無任何安全審計措施,無法對重要的用戶行為和重要安全事件進行日志審計

判定依據(jù)

在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點無任何安全審計措施,無法對重要的用戶行為和重要安全事件進行日志審計,可判高風(fēng)險

整改措施

建議在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點,對重要的用戶行為和重要安全事件進行日志審計,便于對相關(guān)事件或行為進行追溯

對于企事業(yè)單位而言,滿足等保要求將不僅僅是對信息系統(tǒng)本身可靠性的資質(zhì)證明,更是符合法律法規(guī)的合規(guī)要求。鑒于等級保護工作本身具有很高的門檻,這里掛一漏萬,小伙伴們也可以在評