信息系统安全等级保护测评报告.pdf
《信息系统安全等级保护测评报告.pdf》由会员分享,可在线阅读,更多相关《信息系统安全等级保护测评报告.pdf(263页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、报 告 编 号-16-1303-01)信 息 系 统 安 全 等 级 测 评 报 告说 明:一、每 个 备 案 信 息 系 统 单 独 出 具 测 评 报 告。二、测 评 报 告 编 号 为 四 组 数 据。各 组 含 义 和 编 码 规 则 如 下:第 一 组 为 信 息 系 统 备 案 表 编 号,由 2 段 16位 数 字 组 成,可 以 从 公+安 机 关 颁 发 的 信 息 系 统 备 案 证 明(或 备 案 回 执)上 获 得。第 1段 即 备 案 证 明 编 号 的 前 1 1位(前 6 位 为 受 理 备 案 公 安 机 关 代 码,后 5 位 为 受 理 备 案 的 公 安
2、机 关 给 出 的 备 案 单 位 的 顺 序 编 号);第 2 段 即 备 案 证 明 编 号 的 后 5 位(系 统 编 号)。第 二 组 为 年 份,由 2 位 数 字 组 成。例 如 0 9代 表 2009年。第 三 组 为 测 评 机 构 代 码,由 四 位 数 字 组 成。前 两 位 为 省 级 行 政 区 划 数 字 代 码 的 前 两 位 或 行 业 主 管 部 门 编 号:0 0 为 公 安 部,1 1为 北 京,12为 天 津,13为 河 北,14为 山 西,15为 内 蒙 古,2 1为 辽 宁,2 2为 吉 林,2 3为 黑 龙 江,3 1为 上 海,3 2为 江 苏,3
3、 3为 浙 江,3 4为 安 徽,3 5为 福 建,3 6为 江 西,3 7为 山 东,4 1为 河 南,4 2为 湖 北,4 3为 湖 南,4 4为 广 东,4 5为 广 西,4 6为 海 南,5 0为 重 庆,5 1为 四 川,5 2为 贵 州,53为 云 南,5 4为 西 藏,6 1为 陕 西,6 2为 甘 肃,6 3为 青 海,6 4为 宁 夏,65为 新 疆,6 6为 新 疆 兵 团。9 0为 国 防 科 工 局,9 1为 电 监 会,9 2为 教 育 部。后 两 位 为 公 安 机 关 或 行 业 主 管 部 门 推 荐 的 测 评 机 构 顺 序 号。第 四 组 为 本 年 度
4、信 息 系 统 测 评 次 数,由 两 位 构 成。例 如 0 2表 示 该 信 息 系 统 本 年 度 测 评 2 次。信 息 系 统 等 级 测 评 基 本 信 息 表 信 息 系 统 系 统 名 称 票 务 系 统 安 全 保 护 等 级 第 三 级 备 案 证 明 编 号 测 评 结 论 基 本 符 合 被 测 单 位 单 位 名 称 单 位 地 址 邮 政 编 码 联 系 人 姓 名 职 务/职 称 部 长 助 理 所 属 部 门 票 务 运 营 部 办 公 电 话 移 动 电 话 电 子 邮 件 测 评 单 位 单 位 名 称 单 位 代 码 通 信 地 址 邮 政 编 码注:单
5、位 代 码 由 受 理 测 评 机 构 备 案 的 公 安 机 关 给 出。联 系 人 姓 名 职 务/职 称 所 属 部 门 办 公 电 话 移 动 电 话 电 子 邮 件 审 核 批 准 编 制 人 编 制 日 期 审 核 人 审 核 日 期 批 准 人 批 准 日 期声 明 本 报 告 是 票 务 系 统 的 安 全 等 级 测 评 报 告。本 报 告 测 评 结 论 的 有 效 性 建 立 在 被 测 评 单 位 提 供 相 关 证 据 的 真 实 性 基 础 之 上。本 报 告 中 给 出 的 测 评 结 论 仅 对 被 测 信 息 系 统 当 时 的 安 全 状 态 有 效。当 测
6、 评 工 作 完 成 后,由 于 信 息 系 统 发 生 变 更 而 涉 及 到 的 系 统 构 成 组 件(或 子 系 统)都 应 重 新 进 行 等 级 测 评,本 报 告 不 再 适 用。本 报 告 中 给 出 的 测 评 结 论 不 能 作 为 对 信 息 系 统 内 部 署 的 相 关 系 统 构 成 组 件(或 产 品)的 测 评 结 论。在 任 何 情 况 下,若 需 引 用 本 报 告 中 的 测 评 结 果 或 结 论 都 应 保 持 其 原 有 的 意 义,不 得 对 相 关 内 容 擅 自 进 行 增 加、修 改 和 伪 造 或 掩 盖 事 实。等 级 测 评 结 论 测
7、 评 结 论 与 综 合 得 分 系 统 名 称 票 务 系 统 保 护 等 级 第 三 级 系 统 简 介 测 评 过 程 简 介 此 次 测 评 的 系 统 为 票 务 系 统,测 评 对 象 包 括 系 统 所 在 机 房,2 台 服 务 器,1 台 运 维 终 端,1 套 数 据 库,2 台 网 络 安 全 设 备,1套 应 用 软 件,及 该 公 司 的 管 理 制 度 及 相 关 记 录。在 合 同 约 定 的 周 期 内,经 过 系 统 调 研、方 案 编 制、现 场 测 评、分 析 与 报 告 编 制 等 阶 段,完 成 了 对 该 系 统 的 测 评 工 作,经 过 对 测
8、评 结 果 的 整 体 分 析,判 定 该 系 统 基 本 符 合 等 级 保 护 三 级 系 统 的 基 本 要 求,但 还 存 在 个 别 问 题,希 望 在 安 全 建 设 整 改 中 继 续 完 善。测 评 结 论 基 本 符 合 综 合 得 84.79分总 体 评 价 1、基 础 设 施 与 网 络 环 境 票 务 系 统 相 关 设 备 部 署 于 指 挥 中 心 机 房,该 机 房 按 照 国 家 机 房 相 关 标 准 建 设,具 备 防 风、防 雨、防 震 等 能 力,未 出 现 雨 水 渗 透,屋 顶、墙 体、地 面 等 破 损 开 裂 等 情 况,在 物 理 访 问 控
9、制 方 面 配 备 门 禁 系 统,能 够 鉴 别 和 控 制 人 员 出 入,并 配 有 视 频 监 控 系 统,能 够 对 机 房 内 主 要 区 域 进 行 实 时 监 控,主 机 房 与 配 电 室 隔 离,通 信 线 缆 与 供 电 线 缆 隔 离 铺 设,避 免 了 电 磁 干 扰,配 备 两 台 艾 默 生 精 密 空 调,能 够 对 机 房 温 湿 度 进 行 控 制,同 时 配 有 环 境 检 测 系 统,实 时 检 测 机 房 环 境 并 提 供 报 警 功 能。网 络 环 境 先 对 简 单,电 信 联 通 双 线 接 入,网 络 边 界 配 有 两 台 防 火 墙 作
10、为 边 界 防 护,通 过 两 台 核 心 交 换 做 内 部 数 据 交 换。2、安 全 责 任 制 该 系 统 的 运 营 维 护 全 部 由 厂 商 负 责,厂 商 项 目 部 成 立 了 信 息 安 全 领 导 小 组,负 责 信 息 安 全 工 作 的 指 导 和 管 理,项 目 部 设 有 系 统 管 理 员、网 络 管 理 员、安 全 管 理 员 等 重 要 岗 位,且 安 全 管 理 员 为 专 职,通 过 值 班 体 系 对 驻 场 人 员 进 行 调 配,并 形 成 了 有 效 的 汇 报 沟 通 机 制。同 时 甲 方 也 有 专 人 对 厂 商 的 运 营 维 护 情
11、况 进 行 监 督。3、技 术 机 制 在 机 房 保 障 机 制 方 面,该 系 统 配 备 双 通 信 线 路 接 入,保 证 网 络 通 畅,同 时 边 界 防 火 墙、核 心 交 换 机、应 用 服 务 器、数 据 库 服 务 器 均 双 机 热 备 文 档 可 自 由 编 辑部 署,并 配 有 存 储 设 备 存 储 业 务 数 据,同 时 配 备 备 份 服 务 器 对 主 要 数 据、配 置 文 件 和 日 志 文 件 等 进 行 备 份,提 供 设 备 冗 余,保 证 系 统 的 可 用 性。在 安 全 策 略 方 面 网 络 设 备、主 机、应 用 系 统 在 身 份 验 证
12、 方 面 身 份 标 识 唯 一,密 码 满 足 复 杂 度 要 求,并 定 期 更 换,但 仅 采 用 用 户 名 密 码 方 式 进 行 身 份 验 证;在 访 问 控 制 方 面,根 据 用 户 角 色 进 行 了 权 限 划 分,授 予 用 户 所 需 的 最 小 权 限;在 安 全 审 计 方 面,网 络 设 备、主 机、应 用 系 统 配 置 都 相 对 完 善,日 志 记 录 信 息 基 本 满 足 要 求;另 外 厂 家 技 术 工 程 师 驻 场 维 护,保 障 系 统 安 全 稳 定 的 运 行。4、监 测 预 警 及 应 急 保 障 监 测 预 警 方 面 厂 家 工 程
13、 师 通 过 软 件 可 监 控 网 络 设 备、服 务 器、软 件 的 运 行 状 态,并 提 供 报 警 功 能。通 过 对 日 志 进 行 分 析 发 现 系 统 出 现 的 异 常 情 况 及 时 处 置,并 定 期 由 工 程 师 对 设 备 进 行 巡 检。应 急 保 障 方 面 厂 家 在 系 统 设 计 之 初 就 通 过 双 线 路、双 击 热 备、存 储 设 备 等 方 式 保 证 系 统 的 可 用 性,同 时 安 排 工 程 师 驻 场 维 护,已 应 对 突 发 事 件,但 未 根 据 相 关 规 定 对 计 算 机 安 全 事 件 进 行 等 级 划 分,发 生 安
14、 全 事 件 采 取 何 种 处 置 措 施 不 明 确,不 利 于 安 全 事 件 的 及 时 处 理。综 上 所 述,被 测 票 务 系 统 基 本 符 合 第 三 级 信 息 系 统 等 级 保 护 的 安 全 要 求,但 还 存 在 个 别 问 题,希 望 在 安 全 建 设 整 改 中 继 续 完 善。主 要 安 全 问 题 票 务 系 统 存 在 的 主 要 安 全 问 题:1.安 全 管 理 方 面 1)未 成 立 指 导 和 管 理 信 息 安 全 工 作 的 领 导 小 组;2)全 员 统 一 考 核,未 针 对 关 键 岗 位 考 核;3)厂 商 内 部 对 系 统 进 行
15、 安 全 性 测 试,未 委 托 第 三 方 测 试 单 位 对 系 统 进 行 测 试;4)由 信 息 化 部 控 制 机 房 的 人 员 出 入 和 物 品 带 进 带 出,暂 时 缺 少 机 房 管 理 制 度;5)未 建 立 安 全 管 理 中 心 集 中 管 理,厂 商 工 程 师 通 过 不 同 的 方 式 对 设 备 状 态、恶 意 代 码、补 丁 升 级、安 全 审 计 等 事 项 进 行 管 理;6)未 对 安 全 事 件 划 分 等 级 管 理;7)暂 未 制 定 应 急 预 案,未 进 行 应 急 预 案 培 训 和 应 急 演 练;2.物 理 安 全 方 面 1)机 房
16、 窗 户 没 有 做 密 封 处 理,不 能 防 止 雨 水 通 过 机 房 窗 户、屋 顶 和 墙 壁 渗 透;3.网 络 安 全 方 面 1)未 部 署 入 侵 检 测 设 备,仅 通 过 防 火 强 异 常 日 志 记 录,然 后 人 为 判 断 异 常 行 为 份;2)网 络 边 界 未 配 置 恶 意 代 码 检 测 设 备,仅 通 过 防 火 墙 做 策 略 防 护;3)没 有 对 网 络 设 备 运 行 状 况、网 络 流 量 进 行 监 控,可 以 对 用 户 操 作 进 行 日 志 记 录,日 志 文 件 存 储 于 设 备 本 地,覆 盖 式 存 储,且 无 审 计 报 表
17、;4)网 络 及 安 全 设 备 仅 采 用 用 户 名 密 码 一 种 身 份 鉴 别 方 式;5)没 有 技 术 手 段 防 止 地 址 欺 骗,不 能 防 止 从 内 部 网 络 发 起 的 网 络 攻 击 和 对 重 要 主 机 的 地 址 欺 骗;6)远 程 管 理 采 用 t e l n e t明 文 协 议;4.主 机 安 全 方 面 1)仅 使 用 账 号、密 码 登 录 系 统,未 实 现 两 种 及 以 上 鉴 别 技 术 对 管 理 用 户 进 行 身 份 鉴 别;2)主 机 安 装 赛 门 铁 克 杀 毒 软 件,网 络 暂 时 没 有 启 用 防 恶 意 代 码 设
18、备;3)终 端 安 装 有 3 6 0杀 毒,网 络 没 有 防 恶 意 代 码 设 备;4)系 统 存 在 多 余 账 户,没 有 共 享 账 户 存 在;5)数 据 库 版 本 为 s q l s e r v e r 2 0 1 2企 业 版,遵 循 最 小 安 装 原 则,没 有 开 放 多 余 端 口,补 丁 不 会 定 期 进 行 更 新;5.应 用 安 全 方 面 1)仅 使 用 账 号 密 码 登 录,没 有 使 用 两 种 及 以 上 方 式 进 行 身 份 鉴 别;2)有 用 户 名 唯 一 鉴 别 功 能,用 户 名 没 有 设 置 复 杂 度 要 求;3)已 启 用 身
19、份 鉴 别,用 户 身 份 标 识 唯 一,用 户 身 份 鉴 别 信 息 复 杂 度 不 满 足 要 求,开 启 登 录 失 败 处 理 功 能;4)修 改 密 码 时,新 设 定 的 密 码 与 旧 密 码 可 以 相 同,不 符 合 要 求;5)审 计 记 录 不 能 筛 选,不 能 生 成 审 计 报 表 进 行 分 析。6.数 据 安 全 方 面 1)数 据 信 息 没 有 进 行 异 地 备 份;整 改 建 议 1.安 全 管 理 方 面 的 整 改 建 议 1)建 议 设 立 指 导 和 管 理 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组,其 最 高 领 导 是
20、否 由 单 位 主 管 领 导 委 任 或 授 权 的 人 员 担 任;明 确 信 息 安 全 管 理 委 员 会 或 领 导 小 组 职 责;2)建 议 对 关 键 岗 位 的 人 员 进 行 全 面、严 格 的 安 全 审 查 和 技 能 考 核;3)建 议 安 排 专 门 的 部 门 负 责 测 试 验 收 工 作,并 委 托 公 正 的 第 三 方 测 试 机 构 对 信 息 系 统 进 行 独 立 的 安 全 性 测 试 报 告;4)建 议 对 相 关 机 房 管 理 制 度 对 机 房 物 理 访 问、物 品 带 进、带 出 机 房 和 机 房 环 境 安 全 等 方 面 的 管
21、理 作 出 规 定,且 相 关 制 度 建 议 张 贴 在 明 显 可 见 的 位 置;5)应 对 设 备 状 态、恶 意 代 码、补 丁 升 级、安 全 审 计 等 安 全 相 关 事 项 进 行 集 中 管 理,应 对 集 中 管 理 的 检 测 记 录 文 档,文 档 应 包 括 检 测 内 容、检 测 人 员、检 测 结 果 和 时 间 等;6)建 议 根 据 本 系 统 已 发 生 的 和 需 要 防 止 发 生 的 安 全 事 件 对 系 统 的 影 响 程 度 划 分 不 同 等 级,划 分 为 几 级,划 分 方 法 应 参 照 了 国 家 相 关 管 理 部 门 的 技 术
22、资 料,主 要 参 照 哪 些;7)建 议 在 统 一 的 应 急 预 案 框 架 下 制 定 不 同 事 件 的 应 急 预 案,应 急 预 案 框 架 应 包 括 启 动 应 急 预 案 的 条 件、应 急 处 理 流 程、系 统 恢 复 流 程、事 后 教 育 和 培 训 等 内 容;8)建 议 对 相 关 人 员 进 行 应 急 预 案 培 训,制 作 应 急 预 案 培 训 记 录,记 录 应 包 括 培 训 内 容、培 训 对 象、培 训 效 果 和 培 训 时 间 等。9)建 议 定 期 对 应 急 预 案 作 演 练,对 各 应 急 预 案 做 演 练 记 录,记 录 内 容
23、应 包 括 演 练 周 期、演 练 内 容、参 加 演 练 人 员、演 练 效 果 和 演 练 时 间 等;2.物 理 安 全 方 面 的 整 改 建 议 1)建 议 将 窗 户 做 密 闭 处 理,防 止 雨 水 渗 透 进 入 机 房;3.网 络 安 全 方 面 的 整 改 建 议 1)建 议 在 网 络 边 界 部 署 入 侵 检 测 设 备,开 启 日 志 记 录,对 入 侵 行 为 进 行 检 测 记 录,当 发 生 攻 击 时 及 时 报 警;2)建 议 在 网 络 边 界 部 署 恶 意 代 码 检 测 设 备,对 进 入 网 络 的 流 量 进 行 恶 意 代 码 检 测,及
24、时 发 现 清 除;3)建 议 通 过 第 三 方 设 备 或 软 件 对 设 备 的 运 行 状 况、流 量 等 进 行 监 控,并 对 日 志 文 件 定 期 分 析 生 成 审 计 报 表。设 备 日 志 文 件 建 议 备 份 至 日 志 服 务 器,避 免 为 预 期 的 修 改 或 删 除;4)采 用 口 令+数 字 证 书、口 令+硬 件 令 牌 等 双 因 子 鉴 别 方 式,或 采 用 堡 垒 机 的 方 式 管 理 设 备;5)在 技 术 条 件 允 许 的 前 提 下,对 重 要 网 段 上 的 主 机 等 设 备 设 置 网 络 层 和 数 据 链 路 层 地 址 绑
25、定;6)建 议 关 闭 设 备 远 程 管 理 或 采 用 SSH等 加 密 协 议 进 行 远 程 管 理。4.主 机 安 全 方 面 的 整 改 建 议 1)建 议 改 造 操 作 系 统 和 数 据 库 登 录 控 制 模 块,使 之 采 用 两 种 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别,如 同 时 采 用 用 户 名/口 令 和 数 字 证 书 的 认 证 方 式;或 采 用 身 份 认 证 服 务 器 和 双 因 子 鉴 别 服 务 器 或 采 用 堡 垒 机 登 录 方 式;2)建 议 安 装 部 署 入 侵 检 测 设 备,当 网 络 受 到 攻 击 时
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息系统安全 等级 保护 测评 报告
限制150内