GB-T 35284-2017 信息安全技术 网站身份和系统安全要求与评估方法.pdf
《GB-T 35284-2017 信息安全技术 网站身份和系统安全要求与评估方法.pdf》由会员分享,可在线阅读,更多相关《GB-T 35284-2017 信息安全技术 网站身份和系统安全要求与评估方法.pdf(22页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、书 书 书犐 犆犛 犔?犌犅犜?犐 狀 犳 狅 狉犿犪 狋 犻 狅 狀狊 犲 犮 狌 狉 犻 狋 狔狋 犲 犮 犺 狀 狅 犾 狅 犵 狔犚犲 狇 狌 犻 狉 犲犿犲 狀 狋 狊犪 狀 犱犪 狊 狊 犲 狊 狊犿犲 狀 狋犿犲 狋 犺 狅 犱 狊犳 狅 狉狑犲 犫 狊 犻 狋 犲犻 犱 犲 狀 狋 犻 狋 狔犪 狀 犱狊 狔 狊 狋 犲犿狊 犲 犮 狌 狉 犻 狋 狔?目次前言引言范围规范性引用文件术语和定义缩略语概述网站基本级要求 身份要求 系统安全要求网站增强级要求 身份要求 系统安全要求网站基本级评估方法 身份真实性评估 系统安全评估网站增强级评估方法 身份真实性评估 系统安全评估 评估
2、结果展示 评估结果撤销 附录(资料性附录)评估流程示例 参考文献 犌犅犜 前言本标准按照 给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会()提出并归口。本标准起草单位:中国电子技术标准化研究院、北龙中网(北京)科技有限责任公司、上海凭安网络科技有限公司、北京奇虎科技有限公司、北京天威诚信电子商务服务有限公司、北京数字认证股份有限公司、陕西省网络与信息安全测评中心、中国信息安全认证中心。本标准主要起草人:许东阳、刘贤刚、范科峰、叶润国、上官晓丽、毛伟、杨茂江、石晓虹、郝萱、傅大鹏、杨帆、王楠、张斌。犌犅犜 引言互
3、联网应用的迅速普及,各种网站得到快速发展,但由此产生的网站信任问题也逐渐突出和严重。大量的假冒网站和钓鱼网站的出现已严重影响了我国网站的健康发展,很多的网民被假冒网站和钓鱼网站欺诈过,每年造成巨大的经济损失,这引发了互联网的诚信危机,也对社会和经济的发展造成了一定负面的影响。本标准从网站身份和系统安全两个方面提出要求与评估方法,使得网站标识颁发机构可以评估网站的身份真实性与系统安全,互联网各终端软件厂商(浏览器、搜索引擎、微博、安全软件和即时通讯软件等)可查询网站标识颁发机构验证的标识信息,并以适当的方式展示给网民,以实现对网民上网行为的保护,帮助网民有效甄别真假网站,净化网络环境。犌犅犜 信
4、息安全技术网站身份和系统安全要求与评估方法范围本标准规定了网站身份和系统安全要求与评估方法,包括网站基本级要求、网站增强级要求、评估方法、评估结果展示和撤销等内容。本标准适用于我国合法接入的互联网网站,也可为网站的开发、运维及评估等提供参考。规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。信息安全技术信息系统物理安全技术要求 信息安全技术术语术语和定义 界定的以及下列术语和定义适用于本文件。网站系统狑 犲 犫 狊 犻 狋 犲狊 狔 狊 狋 犲犿网站及支撑其运行的物理环境、网
5、络环境、服务器操作系统和数据库系统等。交易类网站狋 狉 犪 狀 狊 犪 犮 狋 犻 狅 狀 犪 犾狑 犲 犫 狊 犻 狋 犲以产品的网络销售为核心目的与盈利模式的网站,涉及支付、交易等行为,如网络商店、网络商城等。网站标识狑 犲 犫 狊 犻 狋 犲犻 犱 犲 狀 狋 犻 狋 狔用于公众识别网站身份和系统安全的电子图形标识。网站标识颁发机构狑 犲 犫 狊 犻 狋 犲犻 犱 犲 狀 狋 犻 狋 狔犻 狊 狊 狌 犲 狉负责网站标识整个生命周期(包括注册、签发、发布和废除)管理的、用户信任的颁发机构。缩略语下列缩略语适用于本文件。:超文本传输协议():网络内容服务商():互联网协议网间协议()犌犅犜
6、 :页面访问量():结构化查询语言():安全外壳协议():虚拟专用网()概述网站身份信息包括网站名称、网站 地址、域名、网站实际经营者身份证明信息等。普通用户通过互联网访问网站系统提供的服务,管理员用户通过专用的管理终端从本地网络或通过可信的安全通道等方式访问内容管理及系统管理子系统。由于构成网站系统的物理层、网络层、主机层、数据层、网站层中的任何一层存在脆弱性,都可能导致网站出现内容篡改、服务中断、信息泄露及恶意控制等安全风险。为了实现上述安全目标,需要针对构成网站系统的各层面存在的脆弱性提出安全要求,并采取相应的技术措施,包括运行支撑、攻击防范、安全监控、应急响应等。本标准中的网站身份和系
7、统安全要求可划分为基本级、增强级两个等级。各网站经营者可依据网站的类别、访问量、注册用户数和业务重要性选择相应级别的要求与评估级别,见表。满足表中任意一项指标的网站宜选择增强级要求进行评估。本标准网站增强级要求描述中的粗体字表示较高等级要求中应加强的内容。表网站评估级别选择方法级别选择因素级别选择指标适用的评估级别类别重要交易类网站或省部级政务门户网站是增强级否基本级访问量有效日均访问次数 万是增强级否基本级注册用户数累计注册用户总数 万是增强级否基本级业务重要性网站受到破坏后,会对公民、法人和其他组织的合法权益产生特别严重损害,或者对社会秩序和公共利益造成严重损害,或者对国家安全造成损害是增
8、强级否基本级注:有效日均访问次数需避免重复统计同一访问源在短时间内进行的多次访问。网站基本级要求 身份要求网站经营者:)应向评估机构提供身份相关证明材料,包括但不限于:网站名称、备案信息、网站 地址、域名所有权属、统一社会信用代码、工商登记信息、身份证明信息等;)提供的证明材料应真实有效,不应存在身份假冒、钓鱼欺诈等问题;)提供的身份证明信息如果为经办人信息,应提供网站负责人授权证明。犌犅犜 系统安全要求 物理安全机房场地与网站系统应在设备安全、环境安全、系统物理安全等方面符合 中第二级物理安全技术要求。网络边界安全本项要求包括:)应在网站系统和互联网之间的网络边界部署边界隔离设备,如防火墙等
9、,并应配置合理的边界访问控制策略,实现网站系统和互联网之间的逻辑隔离;)应明确网站系统安全域与其他安全域之间的访问需求,合理配置相应的安全域边界过滤策略;)应仅允许互联网用户和内部用户访问指定的服务和端口,如 服务器提供的服务等,默认禁止访问不必要的服务和端口。服务器安全本项要求包括:)服务器操作系统和数据库系统应遵循最小安装原则,仅安装业务系统必需的软件、服务和组件等;)应对登录服务器操作系统及数据库系统的用户进行身份标识和鉴别;)服务器应具有用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;)服务器应设置必要的用户访问控制策略,为用户授
10、予其所需的最小权限;)应及时更改或清除服务器操作系统及数据库系统中的默认口令、无用账号;)如确有需要对服务器进行远程管理时,应采用等安全方式实现;)服务器应仅开启业务所需的最少服务和端口;)应实现服务器操作系统及数据库系统的安全审计,对用户的登录和注销、系统开关机、重要服务访问和核心配置变更等操作进行日志记录;)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改。管理终端安全本项要求包括:)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;)应设置并启用管理终端的移动存储介质接入安全策略,并对接入的移动存储介质进行安全性检验;)不应长期设置共享目录,共
11、享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;)应对管理终端的软件增加、修改、删除等变更情况进行日志审计,审计信息应包括时间、用户、操作及结果等;)应定期对管理终端进行安全漏洞扫描,及时评估和修补已知的软件安全漏洞。犠犲 犫应用安全本项要求包括:犌犅犜 )网站对浏览用户可不进行鉴别,对注册用户应进行身份标识和鉴别;)网站应具有注册用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;)应提供访问控制功能,为用户授予其所需的最小权限;)应提供安全审计功能,对用户的注册、登录和注销、关键业务操作等行为进行日志记录;)应对审计日志及审
12、计策略设置必要的访问控制,禁止未授权的删除或修改;)应根据网站实际访问需求限制用户最大并发会话连接数;)如用户在一段时间内未作任何操作,网站 应用应自动结束当前会话;)应定期对 应用程序、运行环境等进行漏洞扫描,及时修补已知的安全漏洞。域名安全本项要求包括:)应选择国家主管部门批准的域名注册服务机构进行域名注册和托管,并进行域名信息报备;)应遵循国家相关域名监督审批流程,有效开展域名变更、解析地址变更等工作,当域名信息需要变化时,应由指定专人负责实施并及时记录。内容发布及数据安全本项要求包括:)网站内容管理模块应提供网站内容编辑与审核发布权限相分离的功能;)网站应仅向注册用户提供信息发布功能,
13、且应具有内容发布前的审核功能;)应保护收集到的个人信息、关键配置参数、重要业务数据等,在远程传输及本地存储过程中应采用相应措施进行安全保护,如采用密码技术等确保个人信息与数据安全;)应对网站系统的应用程序、系统数据、配置数据及审计日志等定期进行备份。运行支撑本项要求包括:)网站系统运行环境应选择在物理安全、网络边界安全、服务器安全等方面符合本标准基本级要求;)网站经营者应分析网站系统的性能需求,从应用程序的并发处理能力、服务器性能、网络带宽等方面保障网站系统性能。攻击防范本项要求包括:)应在网络边界、服务器、管理终端等处采取恶意代码防范措施,拦截并清除企图进入网站系统的恶意代码;)应严格控制外
14、来介质的使用,防止恶意代码通过介质传播;)应针对网站系统中的安全事件进行实时监控,监测和阻断端口扫描、拒绝服务攻击、木马攻击、缓冲区溢出攻击、网络蠕虫攻击、目录遍历攻击、注入、跨站脚本攻击等攻击行为。安全监控与应急响应本项要求包括:)应利用网站安全监控系统或人工监控的方式,监测网站的运行状态,对网站停止服务、网站挂马、网页篡改等异常状况进行报警和处置;犌犅犜 )可根据网站系统的具体特点,制定应急响应预案,当发生信息安全事件时,应按照应急预案的要求及时实施应急响应措施并记录,以便将影响和损失减到最低。网站增强级要求 身份要求网站经营者:)应向评估机构提供身份相关证明材料,包括但不限于:网站名称、
15、备案信息、网站 地址、域名所有权属、统一社会信用代码、工商登记信息、身份证明信息等;)提供的证明材料应真实有效,不应存在身份假冒、钓鱼欺诈等问题;)提供的身份证明信息如果为经办人信息,应提供网站负责人授权证明。系统安全要求 物理安全机房场地与网站系统应在设备安全、环境安全、系统物理安全等方面符合 中第三级物理安全技术要求。网络边界安全本项要求包括:)应在网站系统和互联网之间的网络边界部署边界隔离设备,如防火墙等,并应配置合理的边界访问控制策略,实现网站系统和互联网之间的逻辑隔离;)应明确网站系统安全域与其他安全域之间的访问需求,合理配置相应的安全域边界过滤策略;)应仅允许互联网用户和内部用户访
16、问指定的服务和端口,如 服务器提供的服务等,默认禁止访问不必要的服务和端口;)应仅允许指定的犐 犘地址访问网站系统提供的内容管理、系统管理等重要服务和端口。服务器安全本项要求包括:)服务器操作系统和数据库系统应遵循最小安装原则,仅安装业务系统必需的软件、服务和组件等;)应对登录服务器操作系统及数据库系统的用户进行身份标识和鉴别;)服务器应具有用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;)服务器应设置必要的用户访问控制策略,为用户授予其所需的最小权限;)应及时更改或清除服务器操作系统及数据库系统中的默认口令、无用账号;)如确有需要对服务
17、器进行远程管理时,应采用等安全方式实现,并对远程管理员采用数字证书等高强度鉴别方式;)服务器应仅开启业务所需的最少服务和端口;)应实现服务器操作系统及数据库系统的安全审计,对用户的登录和注销、系统开关机、重要服务访问和核心配置变更等操作进行日志记录;)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改。犌犅犜 管理终端安全本项要求包括:)应采取技术措施对接入的管理终端进行身份鉴别,身份鉴别通过后方可接入和使用网络资源;)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;)应设置并启用管理终端的移动存储介质接入安全策略,并对接入的移动存储介质进行安全性检
18、验;)不应长期设置共享目录,共享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;)应对管理终端的软件增加、修改、删除等变更情况进行日志审计,审计信息应包括时间、用户、操作及结果等;)应定期对管理终端进行安全漏洞扫描,及时评估和修补已知的软件安全漏洞。犠犲 犫应用安全本项要求包括:)网站对浏览用户可不进行鉴别,对注册用户根据安全需求应采用数字证书等不同强度的身份鉴别机制;)网站应具有注册用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;)应提供访问控制功能,为用户授予其所需的最小权限;)应提供安全审计功能,对用户的注册、登录和注销
19、、关键业务操作等行为进行日志记录;)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改;)应根据网站实际访问需求限制用户最大并发会话连接数;)如用户在一段时间内未作任何操作,网站 应用应自动结束当前会话;)应定期对 应用程序、运行环境等进行漏洞扫描,及时修补已知的安全漏洞。域名安全本项要求包括:)应选择国家主管部门批准的域名注册服务机构进行域名注册和托管,并进行域名信息报备;)应遵循国家相关域名监督审批流程,有效开展域名变更、解析地址变更等工作,当域名信息需要变化时,应由指定专人负责实施并及时记录;)应对域名解析的正确性进行监控,以发现可能的恶意攻击。内容发布及数据安全本项要求包
20、括:)网站内容管理模块应提供网站内容编辑与审核发布权限相分离的功能;)网站应仅向注册用户提供信息发布功能,且应具有内容发布前的审核功能;)应提供技术手段辅助进行网站用户论坛、留言板等信息发布内容的过滤;)应根据网站规模和信息内容选择相应的网页防篡改产品,对网站关键的静态页面和动态页面进行监控和保护;)应保护收集到的个人信息、关键配置参数、重要业务数据等,在远程传输及本地存储过程中应犌犅犜 采用相应措施进行安全保护,如采用密码技术等确保个人信息与数据安全;)应对网站系统的应用程序、系统数据、配置数据及审计日志等定期进行备份,必要时应采取异地备份措施,并实施备份恢复演练。运行支撑本项要求包括:)网
21、站系统运行环境应选择在物理安全、网络边界安全、服务器安全等方面符合本标准增强级要求;)网站系统的犠犲 犫应用程序与数据库系统应分开部署在不同的独立物理服务器或虚拟服务器上;)网站经营者应分析网站系统的性能需求,从应用程序的并发处理能力、服务器性能、网络带宽等方面保障网站系统性能。攻击防范本项要求包括:)应在网络边界、服务器、管理终端等处采取恶意代码防范软件等措施,拦截并清除企图进入网站系统的恶意代码;)应对恶意代码防范软件的运行状态进行监测,防止修改配置或关闭进程的行为;)应严格控制外来介质的使用,防止恶意代码通过介质传播;)应针对网站系统中的安全事件进行实时监控,监测和阻断端口扫描、拒绝服务
22、攻击、木马攻击、缓冲区溢出攻击、网络蠕虫攻击、目录遍历攻击、注入、跨站脚本攻击等攻击行为;)应加强人员安全意识教育和培训,防御社会工程攻击。安全监控与应急响应本项要求包括:)应利用网站安全监控系统或第三方安全服务等方式,监测网站的运行状态,对网站停止服务、网站挂马、网页篡改等异常状况进行实时报警和处置;)可根据网站系统的具体特点,制定应急响应预案,当发生信息安全事件时,应按照应急预案的要求及时实施应急响应措施并记录,以便将影响和损失减到最低。网站基本级评估方法 身份真实性评估本项评估方法与结果判定如下:)评估方法)网站经营者作为申请单位可参照附录所示网站身份和系统安全评估流程,提交包括但不限于
23、:申请表原件、备案信息、域名所有权属、工商营业执照副本复印件或统一社会信用代码证复印件以及经办人身份证复印件等材料;)评估机构对材料完整性进行核验,并采用技术手段与相应的数据库信息进行比对测试,核验其真实性与有效性,需要年检的证明材料应核验是否通过年检,评估项目如表中所示。犌犅犜 表身份真实性评估项目序号项目评估内容网站名称评估机构验证网站注册名称的一致性 备案信息一致性评估机构验证网站相关信息是否与 备案信息一致网站 地址评估机构采用技术手段进行 地址检测,验证网站 地址的一致性,包括地址范围,是否动态分配,网站服务器是否在国内或者国外等域名所有权属评估机构验证网站域名注册信息,核验该网站是
24、否具有域名所有权属统一社会信用代码评估机构验证网站实际经营单位统一社会信用代码的一致性工商登记信息一致性评估机构验证网站相关信息是否与工商登记信息一致身份证明信息评估机构验证身份证明信息一致性,身份证明信息可以为网站实际经营者身份证明信息或者经办人信息及授权证明)结果判定如果身份真实性的全部要求都能得到满足,则符合本项要求,否则不符合或部分符合本项要求。系统安全评估 物理安全本项评估方法与结果判定如下:)评估方法检查其机房场地与网站系统在设备安全、环境安全、系统物理安全等方面是否符合 中第二级物理安全技术要求。)结果判定如果运行的网站系统与机房能够满足上述物理安全的要求,则符合本项要求,否则不
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GB-T 35284-2017 信息安全技术 网站身份和系统安全要求与评估方法 GB 35284 2017 信息 安全技术 网站 身份 系统安全 要求 评估 方法
限制150内