信息安全技术网站身份和系统安全要求与评估方法(GB-T 35284-2017).docx
《信息安全技术网站身份和系统安全要求与评估方法(GB-T 35284-2017).docx》由会员分享,可在线阅读,更多相关《信息安全技术网站身份和系统安全要求与评估方法(GB-T 35284-2017).docx(25页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、ICS35.040L80中华人民共和国国家标准GB/T XXXXXXXXX信息安全技术网站身份和系统安全要求与评估方法Information security technology Requirements and assessment methods for website identity and system security(本稿完成日期:2017-05-22)XXXX - XX - XX发布XXXX - XX - XX实施GB/T XXXXXXXXX目次前言II引言III1 范围12 规范性引用文件13 术语和定义14 缩略语15 概述26 网站基本级要求26.1 身份要求26.2
2、系统安全要求37 网站增强级要求57.1 身份要求57.2 系统安全要求58 网站基本级评估方法88.1 身份真实性评估88.2 系统安全评估99 网站增强级评估方法129.1 身份真实性评估129.2 系统安全评估1210 评估结果展示1711 评估结果撤销17附录A(资料性附录)评估流程示例18参考文献19前言本标准按照GB/T 1.12009标准化工作导则第1部分:标准的结构和编写给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。本标准主要起草单位:中国电子技术标准化研究院、
3、北龙中网(北京)科技有限责任公司、上海凭安网络科技有限公司、北京奇虎科技有限公司、北京天威诚信电子商务服务有限公司、北京数字认证股份有限公司、陕西省网络与信息安全测评中心、中国信息安全认证中心。本标准主要起草人:许东阳、范科峰、叶润国、上官晓丽、毛伟、杨茂江、石晓虹、郝萱、傅大鹏、杨帆、王楠、张斌。引言互联网应用的迅速普及,各种网站得到快速发展,但由此产生的网站信任问题也逐渐突出和严重。大量的假冒网站和钓鱼网站的出现已严重影响了我国网站的健康发展,很多的网民被假冒网站和钓鱼网站欺诈过,每年造成巨大的经济损失,这引发了互联网的诚信危机,也对社会和经济的发展造成了一定负面的影响。 本标准规定了网站
4、身份和系统安全要求与评估方法,使得网站标识颁发机构可以评估网站的身份真实性与系统安全,互联网各终端软件厂商(浏览器、搜索引擎、微博、安全软件和即时通讯软件等)可查询网站标识颁发机构验证的标识信息,并以适当的方式展示给网民,以实现对网民上网行为的保护,帮助网民有效甄别真假网站,净化网络环境。在本标准实施过程中,如涉及到密码技术,应符合国家密码管理相关规定。19信息安全技术网站身份和系统安全要求与评估方法1 范围本标准规定了网站身份和系统安全要求与评估方法,包括网站基本级要求、网站增强级要求、评估方法、评估结果展示和撤销等内容。本标准适用于我国合法接入的互联网网站,也可为网站的开发、运维及评估等提
5、供参考。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 222392008信息安全技术信息系统安全等级保护基本要求GB/T 222402008信息安全技术信息系统安全等级保护定级指南GB/T 250692010信息安全技术术语3 术语和定义GB/T 250692010中界定的以及下列术语和定义适用于本文件。3.1网站系统 website system网站及支撑其运行的物理环境、网络环境、服务器操作系统和数据库系统等。3.2交易类网站 transactional
6、 website以产品的网络销售为核心目的与盈利模式的网站,涉及支付、交易等行为,如网络商店、网络商城等。3.3网站标识 website identity用于公众识别网站身份和系统安全的电子图形标识。3.4网站标识颁发机构 website identity issuer负责网站标识整个生命周期(包括注册、签发、发布和废除)管理的、用户信任的颁发机构。4 缩略语下列缩略语适用于本文件。FTP:文件传输协议(File Transfer Protocol)HTTP:超文本传输协议(Hypertext Transfer Protocol)ICP:网络内容服务商(Internet Content Pro
7、vider) IP:互联网协议/网间协议(Internet Protocol)PV:页面访问量(PageView)SQL:结构化查询语言(Structured Query Language)SSH:安全外壳协议(Secure Shell)VPN:虚拟专用网(Virtual Private Network)WWW:万维网(World Wide Web)5 概述网站身份信息包括网站名称、网站IP地址、域名、网站实际经营者身份证明信息等。普通用户通过互联网访问网站系统提供的服务,管理员用户通过专用的管理终端从本地网络或通过可信的VPN安全通道等方式访问内容管理及系统管理子系统。由于构成网站系统的物理
8、层、网络层、主机层、数据层、网站层中的任何一层存在脆弱性,都可能导致网站出现内容篡改、服务中断、信息泄露及恶意控制等安全风险。为了实现上述安全目标,需要针对构成网站系统的各层面存在的脆弱性提出安全要求,并采取相应的技术措施,包括运行支撑、攻击防范、安全监控、应急响应等。本标准中的网站身份和系统安全要求可划分为基本级、增强级两个等级。各网站经营者可依据网站的类别、访问量、注册用户数和业务重要性选择相应级别的要求与评估级别,见表1。满足表1中任意一项指标的网站宜选择增强级要求进行评估。本标准网站增强级要求描述中的粗体字表示较高等级要求中应加强的内容。表1 网站评估级别选择方法级别选择因素级别选择指
9、标适用的评估级别类别重要交易类网站或省部级政务门户网站是增强级否基本级访问量有效日均访问次数 20万PV是增强级否基本级注册用户数累计注册用户总数 50万是增强级否基本级业务重要性网站受到破坏后,会对公民、法人和其他组织的合法权益产生特别严重损害,或者对社会秩序和公共利益造成严重损害,或者对国家安全造成损害;或按照GB/T 222402008要求安全保护等级级别定为三级以上(含三级)的网站是增强级否基本级注: 有效日均访问次数应避免重复统计同一访问源在短时间内进行的多次访问。6 网站基本级要求6.1 身份要求网站经营者:a)应向评估机构提供身份相关证明材料,包括但不限于:网站名称、ICP备案信
10、息、网站IP地址、域名所有权属、统一社会信用代码、工商登记信息、身份证明信息等; b)提供的证明材料应真实有效,不应存在身份假冒、钓鱼欺诈等问题;c)提供的身份证明信息如果为经办人信息,应提供网站负责人授权证明。6.2 系统安全要求6.2.1 物理安全机房场地在防火、防水、防震、温湿度控制等方面应符合GB/T 222392008中第二级基本要求的物理安全要求。6.2.2 网络边界安全本项要求包括:a)应在网站系统和互联网之间的网络边界部署边界隔离设备,如防火墙等,并应配置合理的边界访问控制策略,实现网站系统和互联网之间的逻辑隔离;b)应明确网站系统安全域与其他安全域之间的访问需求,合理配置相应
11、的安全域边界过滤策略;c)应仅允许互联网用户和内部用户访问指定的服务和端口,如Web服务器提供的HTTP服务等,默认禁止访问不必要的服务和端口。6.2.3 服务器安全本项要求包括:a)服务器操作系统和数据库系统应遵循最小安装原则,仅安装业务系统必需的软件、服务和组件等;b)应对登录服务器操作系统及数据库系统的用户进行身份标识和鉴别;c)服务器应具有用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;d)服务器应设置必要的用户访问控制策略,为用户授予其所需的最小权限;e)应及时更改或清除服务器操作系统及数据库系统中的默认口令、无用账号;f)如确
12、有需要对服务器进行远程管理时,应采用SSH等安全方式实现;g)服务器应仅开启业务所需的最少服务和端口;h)应实现服务器操作系统及数据库系统的安全审计,对用户的登录和注销、系统开关机、重要服务访问和核心配置变更等操作进行日志记录;i)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改。6.2.4 管理终端安全本项要求包括:a)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;b)应设置并启用管理终端的移动存储介质接入安全策略,并对接入的移动存储介质进行安全性检验;c) 不应长期设置共享目录,共享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;
13、d) 应对管理终端的软件增加、修改、删除等变更情况进行日志审计,审计信息应包括时间、用户、操作及结果等;e) 应定期对管理终端进行安全漏洞扫描,及时评估和修补已知的软件安全漏洞。6.2.5 Web应用安全本项要求包括:a) 网站对浏览用户可不进行鉴别,对注册用户应进行身份标识和鉴别;b) 网站应具有注册用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;c) 应提供访问控制功能,为用户授予其所需的最小权限;d)应提供安全审计功能,对用户的注册、登录和注销、关键业务操作等行为进行日志记录;e)应对审计日志及审计策略设置必要的访问控制,禁止未授权
14、的删除或修改;f)应根据网站实际访问需求限制用户最大并发会话连接数;g)如用户在一段时间内未作任何操作,网站Web应用应自动结束当前会话;h)应定期对Web应用程序、运行环境等进行漏洞扫描,及时修补已知的安全漏洞。6.2.6 域名安全本项要求包括:a)应选择国家主管部门批准的域名注册服务机构进行域名注册和托管,并进行域名信息报备;b)应遵循国家相关域名监督审批流程,有效开展域名变更、解析地址变更等工作,当域名信息需要变化时,应由指定专人负责实施并及时记录。6.2.7 内容发布及数据安全本项要求包括:a)网站内容管理模块应提供网站内容编辑与审核发布权限相分离的功能;b)网站应仅向注册用户提供信息
15、发布功能,且应具有内容发布前的审核功能;c) 应保护收集到的个人信息、关键配置参数、重要业务数据等,在远程传输及本地存储过程中应采用相应措施进行安全保护,如采用密码技术等确保个人信息与数据安全;d)应对网站系统的应用程序、系统数据、配置数据及审计日志等定期进行备份。6.2.8 运行支撑本项要求包括:a)网站系统运行环境应选择在物理安全、网络边界安全、服务器安全等方面符合本标准基本级要求或GB/T 222392008中第二级基本要求的数据中心; b)网站经营者应分析网站系统的性能需求,从应用程序的并发处理能力、服务器性能、网络带宽等方面保障网站系统性能。6.2.9 攻击防范本项要求包括:a)应在
16、网络边界、服务器、管理终端等处采取恶意代码防范措施,拦截并清除企图进入网站系统的恶意代码;b)应严格控制外来介质的使用,防止恶意代码通过介质传播;c)应针对网站系统中的安全事件进行实时监控,监测和阻断端口扫描、拒绝服务攻击、木马攻击、缓冲区溢出攻击、网络蠕虫攻击、目录遍历攻击、SQL注入、跨站脚本攻击等攻击行为。6.2.10 安全监控与应急响应本项要求包括:a)应利用网站安全监控系统或人工监控的方式,监测网站的运行状态,对网站停止服务、网站挂马、网页篡改等异常状况进行报警和处置;b)可根据网站系统的具体特点,制定应急响应预案,当发生信息安全事件时,应按照应急预案的要求及时实施应急响应措施并记录
17、,以便将影响和损失减到最低。7 网站增强级要求7.1 身份要求网站经营者:a)应向评估机构提供身份相关证明材料,包括但不限于:网站名称、ICP备案信息、网站IP地址、域名所有权属、统一社会信用代码、工商登记信息、身份证明信息等; b)提供的证明材料应真实有效,不应存在身份假冒、钓鱼欺诈等问题;c)提供的身份证明信息如果为经办人信息,应提供网站负责人授权证明。7.2 系统安全要求7.2.1 物理安全机房场地在防火、防水、防震、温湿度控制等方面应符合GB/T 222392008中第三级基本要求的物理安全要求。7.2.2 网络边界安全本项要求包括:a)应在网站系统和互联网之间的网络边界部署边界隔离设
18、备,如防火墙等,并应配置合理的边界访问控制策略,实现网站系统和互联网之间的逻辑隔离;b)应明确网站系统安全域与其他安全域之间的访问需求,合理配置相应的安全域边界过滤策略;c)应仅允许互联网用户和内部用户访问指定的服务和端口,如Web服务器提供的HTTP服务等,默认禁止访问不必要的服务和端口;d) 应仅允许指定的IP地址访问网站系统提供的内容管理、系统管理等重要服务和端口。7.2.3 服务器安全本项要求包括:a)服务器操作系统和数据库系统应遵循最小安装原则,仅安装业务系统必需的软件、服务和组件等;b)应对登录服务器操作系统及数据库系统的用户进行身份标识和鉴别;c)服务器应具有用户登录失败处理功能
19、,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;d)服务器应设置必要的用户访问控制策略,为用户授予其所需的最小权限;e)应及时更改或清除服务器操作系统及数据库系统中的默认口令、无用账号;f)如确有需要对服务器进行远程管理时,应采用SSH等安全方式实现,并对远程管理员采用数字证书等高强度鉴别方式;g)服务器应仅开启业务所需的最少服务和端口;h)应实现服务器操作系统及数据库系统的安全审计,对用户的登录和注销、系统开关机、重要服务访问和核心配置变更等操作进行日志记录;i)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改。7.2.4 管理终端安全本项
20、要求包括:a)应采取技术措施对接入的管理终端进行身份鉴别,身份鉴别通过后方可接入和使用网络资源;b)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;c)应设置并启用管理终端的移动存储介质接入安全策略,并对接入的移动存储介质进行安全性检验;d) 不应长期设置共享目录,共享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;e) 应对管理终端的软件增加、修改、删除等变更情况进行日志审计,审计信息应包括时间、用户、操作及结果等;f) 应定期对管理终端进行安全漏洞扫描,及时评估和修补已知的软件安全漏洞。7.2.5 Web应用安全本项要求包括:a) 网站对浏览用户可
21、不进行鉴别,对注册用户根据安全需求应采用数字证书等不同强度的身份鉴别机制;b) 网站应具有注册用户登录失败处理功能,配置并启用登录失败后结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;c) 应提供访问控制功能,为用户授予其所需的最小权限;d)应提供安全审计功能,对用户的注册、登录和注销、关键业务操作等行为进行日志记录;e)应对审计日志及审计策略设置必要的访问控制,禁止未授权的删除或修改;f)应根据网站实际访问需求限制用户最大并发会话连接数;g)如用户在一段时间内未作任何操作,网站Web应用应自动结束当前会话;h)应定期对Web应用程序、运行环境等进行漏洞扫描,及时修补已知的安全漏
22、洞。7.2.6 域名安全本项要求包括:a)应选择国家主管部门批准的域名注册服务机构进行域名注册和托管,并进行域名信息报备;b)应遵循国家相关域名监督审批流程,有效开展域名变更、解析地址变更等工作,当域名信息需要变化时,应由指定专人负责实施并及时记录;c)应对域名解析的正确性进行监控,以发现可能的恶意攻击。7.2.7 内容发布及数据安全本项要求包括:a)网站内容管理模块应提供网站内容编辑与审核发布权限相分离的功能;b)网站应仅向注册用户提供信息发布功能,且应具有内容发布前的审核功能;c)应提供技术手段辅助进行网站用户论坛、留言板等信息发布内容的过滤;d) 应根据网站规模和信息内容选择相应的网页防
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息安全技术网站身份和系统安全要求与评估方法GB-T 35284-2017 信息 安全技术 网站 身份 系统安全 要求 评估 方法 GB 35284 2017
限制150内