网上营业厅安全防护检测要求（征求意见稿V2.0）.doc

中华人民共和国通信行业标准 发布 实施 网上营业厅安全防护检测要求网上营业厅安全防护检测要求 征求意见稿 V1 0 中华人民共和国 工业与信息化部 发布 YD T YD 目 次 前 言 I 1 范围 3 2 规范性引用文件 3 3 术语和定义 3 3 1 下列定义适用于本标准 3 3 2 下列缩略语适用于本标准 7 4 网上营业厅安全防护检测概述 7 4 1 网上营业厅安全防护检测范围 7 4 2 网上营业厅安全防护检测对象 7 4 3 网上营业厅安全防护检测内容 7 4 4 网上营业厅安全防护检测结果判定 8 5 网上营业厅安全等级保护检测要求 9 5 1 第 1 级要求 9 5 2 第 2 级要求 12 5 3 第 3 1 级要求 22 5 4 第 3 2 级要求 29 5 5 第 4 级要求 30 5 6 第 5 级要求 30 6 网上营业厅安全风险评估 30 6 1 网上营业厅安全风险评估范围 30 6 2 网上营业厅安全风险评估内容 31 6 3 网上营业厅安全风险评估要素 31 6 4 网上营业厅安全风险评估赋值原则 33 6 5 网上营业厅安全风险评估计算方法 33 6 6 网上营业厅安全风险评估文件类型 34 6 7 网上营业厅安全风险评估文件记录 35 7 网上营业厅灾难备份及恢复检测要求 35 7 1 第 1 级要求 36 7 2 第 2 级要求 36 7 3 第 3 1 级要求 37 7 4 第 3 2 级要求 38 7 5 第 4 级要求 39 7 6 第 5 级要求 39 I 前 言 本标准文件是 电信网和互联网安全防护体系 系列标准文件之一 该系列标准文件预计结 构及名称如下 1 电信网和互联网安全防护管理指南 2 电信网和互联网安全等级保护实施指南 3 电信网和互联网安全风险评估实施指南 4 电信网和互联网灾难备份及恢复实施指南 5 固定通信网安全防护要求 6 移动通信网安全防护要求 7 互联网安全防护要求 8 增值业务网 消息网安全防护要求 9 增值业务网 智能网安全防护要求 10 接入网安全防护要求 11 传送网安全防护要求 12 IP 承载网安全防护要求 13 信令网安全防护要求 14 同步网安全防护要求 15 支撑网安全防护要求 16 非核心生产单元安全防护要求 17 电信网和互联网物理环境安全等级保护要求 18 电信网和互联网管理安全等级保护要求 19 固定通信网安全防护检测要求 20 移动通信网安全防护检测要求 21 互联网安全防护检测要求 22 增值业务网 消息网安全防护检测要求 23 增值业务网 智能网安全防护检测要求 24 接入网安全防护检测要求 25 传送网安全防护检测要求 26 IP 承载网安全防护检测要求 27 信令网安全防护检测要求 28 同步网安全防护检测要求 29 支撑网安全防护检测要求 30 非核心生产单元安全防护检测要求 31 电信网和互联网物理环境安全等级保护检测要求 32 电信网和互联网管理安全等级保护检测要求 33 域名系统安全防护要求 34 域名系统安全防护检测要求 35 网上营业厅安全防护要求 II 36 网上营业厅安全防护检测要求 本标准 本标准文件与 网上营业厅安全防护要求 配套使用 随着电信网和互联网的发展 将不断补充和完善电信网和互联网安全防护体系的相关标准 本标准文件由中国通信标准化协会提出并归口 本标准文件起草单位 本标准文件主要起草人 3 网上营业厅安全防护检测要求 1 范围 本标准文件规定了网上营业厅在安全等级保护 安全风险评估 灾难备份及恢复等方面的安 全防护检测要求 本标准文件适用于公众电信网中的网上营业厅 2 规范性引用文件 下列文件中的条款通过本标准文件的引用而成为本标准文件的条款 凡是注日期的引用文件 其随后所有的修改单 不包括勘误的内容 或修订版均不适用于本标准文件 然而 鼓励根据本 标准文件达成协议的各方研究是否可使用这些文件的最新版本 凡是不注日期的引用文件 其最 新版本适用于本标准文件 GB T xxxx xxxx 信息安全技术 信息系统安全等级保护基本要求 报批稿 YD T 1728 2008 电信网和互联网安全防护管理指南 YD T 1729 2008 电信网和互联网安全等级保护实施指南 YD T 1730 2008 电信网和互联网安全风险评估实施指南 YD T 1754 2008 电信网和互联网物理环境安全等级保护要求 YD T 1756 2008 电信网和互联网管理安全等级保护要求 YD T 1752 2008 支撑网安全防护要求 3 术语和定义 3 1 下列定义适用于本标准 3 1 1 网上营业厅网上营业厅 OnlineOnline BusinessBusiness HallHall 网上营业厅是电信运营商为客户提供的可在互联网上查询 办理 受理电信相关业务的服务 平台 位于互联网与BOSS系统之间 用户通过登陆网上营业厅网站自助办理各种电信业务 如查 询服务 充值缴费 业务办理 积分兑换 网上商城等 并可获知最新动态 投诉或提出建议等 3 1 2 网上营业厅安全等级网上营业厅安全等级 securitysecurity classificationclassification ofof OnlineOnline BusinessBusiness HallHall 4 网上营业厅安全重要程度的表征 重要程度可从网上营业厅受到破坏后 对国家安全 社会 秩序 经济建设 公共利益 网络和业务运营商造成的损害来衡量 3 1 3 网上营业厅安全等级保护网上营业厅安全等级保护 classifiedclassified securitysecurity protectionprotection ofof OnlineOnline BusinessBusiness HallHall 对网上营业厅分等级实施安全保护 3 1 4 组织组织 organizationorganization 组织是由不同作用的个体为实施共同的业务目标而建立的结构 组织的特性在于为完成目标 而分工 合作 一个单位是一个组织 某个业务部门也可以是一个组织 3 1 5 网上营业厅安全风险网上营业厅安全风险 securitysecurity riskrisk ofof OnlineOnline BusinessBusiness HallHall 人为或自然的威胁可能利用网上营业厅中存在的脆弱性导致安全事件的发生及其对组织造成 的影响 3 1 6 网上营业厅安全风险评估网上营业厅安全风险评估 securitysecurity riskrisk assessmentassessment ofof OnlineOnline BusinessBusiness HallHall 指运用科学的方法和手段 系统地分析网上营业厅所面临的威胁及其存在的脆弱性 评估安 全事件一旦发生可能造成的危害程度 提出有针对性的抵御威胁的防护对策和安全措施 防范和 化解网上营业厅安全风险 或者将风险控制在可接受的水平 为最大限度地为保障网上营业厅的 安全提供科学依据 3 1 7 网上营业厅资产网上营业厅资产 assetasset ofof OnlineOnline BusinessBusiness HallHall 网上营业厅中具有价值的资源 是安全防护保护的对象 网上营业厅中的资产可能是以多种 形式存在 无形的 有形的 硬件 软件 包括物理布局 通信设备 物理线路 数据 软件 文档 规程 业务 人员 管理等各种类型的资源 3 1 8 网上营业厅资产价值网上营业厅资产价值 assetasset valuevalue o of f OnlineOnline BusinessBusiness HallHall 网上营业厅中资产的重要程度或敏感程度 资产价值是资产的属性 也是进行资产识别的主 要内容 5 3 1 9 网上营业厅威胁网上营业厅威胁 threatthreat o of f OnlineOnline BusinessBusiness HallHall 可能导致对网上营业厅产生危害的不希望事故潜在起因 它可能是人为的 也可能是非人为 的 可能是无意失误 也可能是恶意攻击 常见的网上营业厅威胁有黑客入侵 硬件故障 人为 操作失误 火灾 水灾等等 3 1 10 网上营业厅脆弱性网上营业厅脆弱性 vulnerabilityvulnerability ofof OnlineOnline BusinessBusiness HallHall 网上营业厅脆弱性是网上营业厅中存在的弱点 缺陷与不足 不直接对资产造成危害 但可 能被威胁所利用从而危害资产的安全 3 1 11 网上营业厅网上营业厅灾难灾难 disasterdisaster ofof OnlineOnline BusinessBusiness HallHall 由于各种原因 造成网上营业厅故障或瘫痪 使网上营业厅的功能停顿或服务水平不可接受 达到特定的时间的突发性事件 3 1 12 网上营业厅灾难备份网上营业厅灾难备份 backupbackup forfor disasterdisaster recoveryrecovery ofof OnlineOnline BusinessBusiness HallHall 为了网上营业厅灾难恢复而对相关网络要素进行备份的过程 3 1 13 网上营业厅灾难恢复网上营业厅灾难恢复 disasterdisaster recoveryrecovery ofof OnlineOnline BusinessBusiness HallHall 为了将网上营业厅从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态 并将其功能从灾难造成的不正常状态恢复到可接受状态 而设计的活动和流程 3 1 14 访谈访谈 interviewinterview 检测人员通过与网上营业厅有关人员 个人 群体 进行交流 讨论等活动 检查网上营业 厅安全等级保护 网上营业厅安全风险评估和网上营业厅灾难备份及恢复相关措施的落实情况以 及相关工作的开展情况的一种方法 3 1 15 检查检查 examinationexamination 6 检测人员通过对检测对象进行观察 查验和分析等活动 检查网上营业厅安全等级保护 网 上营业厅安全风险评估和网上营业厅灾难备份及恢复相关措施的落实情况以及相关工作的开展情 况的一种方法 3 1 16 测试测试 testingtesting 检测人员通过对检测对象按照预定的方法 工具使其产生特定行为的活动 查看 分析输出 结果 检查网上营业厅安全等级保护 网上营业厅安全风险评估和网上营业厅灾难备份及恢复相 关措施的落实情况以及相关工作的开展情况的一种方法 3 1 17 中间件中间件 MiddleWareMiddleWare 中间件是位于平台 硬件和操作系统 和应用程序之间的通用服务 包括web服务器和应用服 务器功能模块 这些服务具有标准的程序接口和协议 针对不同的操作系统和硬件平台 中间件 可以有符合接口和协议规范的多种实现 3 1 18 跨站脚本攻击跨站脚本攻击 Cross SiteCross Site ScriptingScripting 跨站脚本攻击是指入侵者在远程WEB页面的HTML代码中插入具有恶意目的的数据 用户认为 该页面是可信赖的 但是当浏览器下载该页面 嵌入其中的脚本将被解释执行 从而威胁用户浏 览过程的安全 3 1 19 SQLSQL注入攻击注入攻击 SQLSQL InjectionInjection attackattack SQL注入攻击是指攻击者构造恶意的字符串 欺骗应用系统用于构造数据库查询语句并执行 从而达到盗取或修改数据库中存储的数据的目的 3 1 20 路径遍历攻击路径遍历攻击 PathPath TraversalTraversal attackattack 路径遍历攻击是指攻击者操纵输入参数使应用系统执行或透露任意文件内容 或对服务器任 意文件目录进行读 写 删除等操作 3 1 21 命令注入攻击命令注入攻击 CommandCommand InjectionInjection attackattack 7 命令注入攻击是指攻击者操纵输入参数使应用系统执行额外的指令 例如操作系统命令等 3 1 22 BOSSBOSS系统敏感信息系统敏感信息 sensitivesensitive informationinformation inin BOSSBOSS systermsysterm 是指BOSS系统中存贮的用户鉴权信息 用户隐私数据 例如BOSS服务密码 通话详单 短信 记录 用户个人信息 3 1 23 BOSSBOSS系统敏感功能系统敏感功能 sensitivesensitive functionfunction providedprovided byby BOSSBOSS 运营商BOSS接口规范中规定调用时必须同时提供服务鉴权信息的接口功能 如详单查询 业 务办理等 3 2 下列缩略语适用于本标准 BOSS 电信业务运营支持系统业务运营支撑系统 Business and Operation support systerm SQL 结构化查询语言 Structured Query Language 4 网上营业厅安全防护检测概述 4 1 网上营业厅安全防护检测范围 网上营业厅位于互联网与BOSS系统或其它运营商核心网络之间 是由Web服务器设备 数据 库服务器设备以及其他网络设备组成的网络 用户通过登陆网上营业厅网站自助办理各种电信业 务 如查询服务 充值缴费 业务办理 积分兑换 网上商城等 并可获知最新动态 投诉或提 出建议等 4 2 网上营业厅安全防护检测对象 本标准文件中网上营业厅的定级对象为网上营业厅系统 可按照全国 省和地市将各个系统 分为不同级别 安全等级保护的检测对象确定以后 风险评估的检测对象 灾难备份及恢复的检 测对象应与安全等级保护的检测对象相一致 4 3 网上营业厅安全防护检测内容 按照网上营业厅安全防护检测的需要 将网上营业厅安全防护检测分为网上营业厅安全等级 保护检测 网上营业厅安全风险评估检测和网上营业厅灾难备份及恢复检测等三个部分 网上营业厅安全防护检测要求包括以下内容 网上营业厅安全等级保护检测 8 主要包括业务安全检测 网络安全检测 主机安全检测 中间件安全检测 应用安全检测 数据加密与备份 物理安全检测 管理安全检测等 网上营业厅安全风险评估检测 主要包括安全风险评估范围检测 安全风险评估内容检测 安全风险评估要素检测 安全风 险评估赋值原则检测 安全风险评估计算方法检测 安全风险评估文件类型检测和安全风险评估 文件记录检测等 网上营业厅灾难备份及恢复检测 主要包括冗余系统 冗余设备及冗余链路检测 备份数据检测 人员和技术支持能力检测 运行维护管理能力检测和灾难恢复预案检测等 4 4 网上营业厅安全防护检测结果判定 网上营业厅安全防护检测包括对网上营业厅的安全等级保护 安全风险评估 灾难备份及恢 复三个部分的检测 应对三个部分的检测结果分别进行判定 并根据检测结果分别出具检测报告 网上营业厅安全防护检测应采取打分的方式进行量化操作 对每一个测试项打分 如果属于 判断结果为 是 或 否 的测试项 结果为 是 则评5分 为 否 则评1分 其他测试项可 根据具体实施情况进行评估 并参照表1将评估结果换算成评分 表1 实施情况评分方法 评估结果评分 实施很好 5 实施较好 4 实施一般 3 实施较差 2 实施很差 1 对于安全等级保护 将同一子类测试项的评分结果进行算术平均得到该等级保护子类的分数 然后在将各子类的分数进行加权平均得到整个网上营业厅的安全等级保护的总分数 网上营业厅 安全等级保护中各项的权重如表2 对于安全风险评估和灾难备份及恢复检测 可将所有检测项 目进行算术平均得到最终总分数 表2 安全等级保护各子类的权重 权重 等级保护子类 9 根据总分数对网上营业厅的安全等级保护 安全风险评估和灾难备份及恢复测结果进行等级化评 定 总分数和评定等级的关系如表3所示 表3 总分数和评定等级的关系 总分数x评定等级 4 5 x 5 很好 3 5 x 4 5 较好 2 5 x 3 5 一般 1 5 x 2 5 较差 1 x 1 5 很差 5 网上营业厅安全等级保护检测要求 5 1 第 1 级要求 5 1 1 业务安全 5 1 1 1 检测方式 访谈 检查 5 1 1 2 检测对象 网上营业厅 5 1 1 3 检测实施 a 询问网上营业厅管理人员 是否按照用户登陆网上营业厅的不同方式 服务密码登陆或 手机随机码登陆 实现用户操作功能权限的横向 纵向隔离 保证用户登录后只能访 问该用户的相关信息 不能非法访问其它用户相关信息 并且只能实现运营商开放给用 户的网上营业厅功能 检查并验证 10 业务安全 10 网络安全 10 主机安全 10 中间件安全 10 应用安全 10 数据安全及备份恢复 15 物理环境安全 25 管理安全 Comment b1 测试 10 b 询问网上营业厅管理人员 是否备份登录网上营业厅记录 交易记录 充值卡密等网上 营业厅重要信息数据 检查网上营业厅数据库是否备份了这些网上营业厅重要信息 5 1 2 网络安全 5 1 2 1 结构安全 不做要求 5 1 2 2 访问控制 不做要求 5 1 2 3 安全审计 不做要求 5 1 2 4 入侵防范 5 1 2 4 1 检测方式 访谈 检查 5 1 2 4 2 检测对象 网上营业厅Web服务器 防火墙 5 1 2 4 3 检测实施 a 访谈网上营业厅技术人员 询问直接面向互联网为用户提供服务的网上营业厅设备 如 Web服务器设备 是否基于最小原则开放相应端口 检查是否采用技术手段监控其他端 口通信情况 b 检查网上营业厅与BOSS系统等其他运营商核心网络之间是否部署防火墙等设备 检查是 否监控网上营业厅发起的到核心网BOSS系统络的通信连接 5 1 2 5 网络设备防护 不做要求 5 1 3 主机安全 不做要求 5 1 4 中间件安全 不做要求 5 1 5 应用安全 5 1 5 1 身份鉴别 5 1 5 1 1 检测方式 访谈 检查 测试 5 1 5 1 2 检测对象 Comment b2 是否太笼统 11 网上营业厅 5 1 5 1 3 检测实施 a 访谈网上营业厅管理人员 询问网上营业厅是否提供专用的登录控制模块对登录网上营 业厅的用户进行身份标识和鉴别 检查网上营业厅相关文档是否有对登录控制模块进行 记录描述 b 检查网上营业厅数据库中用户身份标识是否重复 身份鉴别信息是否不易被冒用 测试 网上营业厅是否对用户身份标识的唯一和鉴别信息复杂度检查功能 5 1 5 2 访问控制 5 1 5 2 1 检测方式 访谈 测试 5 1 5 2 2 检测对象 网上营业厅 5 1 5 2 3 检测实施 a 访谈网上营业厅管理人员 询问网上营业厅是否具备登录失败处理功能 测试网上营业 厅是否具备限制非法登录次数等失败处理功能 5 1 5 3 安全审计 不做要求 5 1 5 4 通信完整性 不做要求 5 1 5 5 通信保密性 不做要求 5 1 5 6 软件质量 不做要求 5 1 5 7 资源控制 不做要求 5 1 6 数据安全及备份 5 1 6 1 检测方式 访谈 检查 5 1 6 2 检测对象 网上营业厅 Comment b3 测试 12 5 1 6 3 检测实施 a 访谈网上营业厅设计 技术人员 询问 BOSS 敏感信息如详单 用户信息等是否没有存 贮在网上营业厅中 检查网上营业厅中 Web 服务器设备 文件系统数据 网上营业厅 数据库中是否没有 BOSS 敏感信息 b 访谈网上营业厅设计 技术人员 询问是否对网上营业厅存储的数据划分安全等级 并 采取相应的保护措施 例如加密 保存位置等 查看相应等级的数据划分 c 访谈网上营业厅设计 技术人员 询问网上营业厅登陆记录 交易记录 充值卡密等网 上营业厅重要信息数据是否采用加密的形式存储 5 1 7 物理环境安全 应满足YD T 1755 2008 电信网和互联网物理环境安全等级保护检测要求 中第1级检测要 求 5 1 8 管理安全 应满足YD T 1757 2008 电信网和互联网管理安全等级保护检测要求 中第1级检测要求 5 2 第 2 级要求 5 2 1 业务安全 与5 1 1检测内容相同 5 2 2 网络安全 5 2 2 1 结构安全 除按5 1 2 1内容进行检测外 还应按照本节内容进行检测 5 2 2 1 1 检测方式 访谈 检查 5 2 2 1 2 检测对象 网络设备 网络拓扑图 网络配置数据 5 2 2 1 3 检测实施 a 访谈网上营业厅管理员 检查网上营业厅网络设备 查看关键网络设备是否具备冗余空 间保障的业务处理能力 满足业务高峰期需要 b 检查网络拓扑结构图 是否与当前运行情况相符 c 检查是否符合运营商对网上营业厅持续运行时间的要求 5 2 2 2 访问控制 除按5 1 2 2内容进行检测外 还应按照本节内容进行检测 13 5 2 2 2 1 检测方式 访谈 检查 测试 5 2 2 2 2 检测对象 网络设备 访问控制设备 5 2 2 2 3 检测实施 a 访谈网上营业厅管理员 询问是否对从互联网进入网上营业厅的流量进行过滤 测试网 上营业厅是否实现对应用层HTTP FTP TELNET SMTP POP3等协议命令级的控制 b 访谈网上营业厅管理员 询问用户通过互联网与网上营业厅Web服务器建立的会话处于 非活跃一定时间后 网上营业厅Web服务器设备是否自动终止会话 通过测试验证该功 能 c 访谈网上营业厅管理员 询问是否限制互联网访问网上营业厅的最大流量数及网络连接 数 检查相关配置数据 5 2 2 3 访谈网上营业厅管理员 询问是否采取技术手段防止来自互联网的地址欺骗 检 查相关实现设备的配置数据 5 2 2 3 安全审计 除按5 1 2 3内容进行检测外 还应按照本节内容进行检测 5 2 2 3 1 检测方式 访谈 检查 5 2 2 3 2 检测对象 网络设备 网络设备运行状况日志 网络流量日志 用户行为日志 审计记录 5 2 2 3 3 检测实施 a 访谈网上营业厅管理员 询问是否对网络系统中的网络设备运行状况 网络流量 用户 行为等进行日志记录 检查各项日志记录 b 访谈网上营业厅管理员 询问是否有审计记录 检查审计记录 查看是否包括事件的日 期和时间 用户 事件类型 事件是否成功及其他与审计相关的信息 5 2 2 4 入侵防范 除按5 1 2 4内容进行检测外 还应按照本节内容进行检测 5 2 2 4 1 检测方式 访谈 检查 14 5 2 2 4 2 检测对象 网络设备 监视记录 5 2 2 4 3 检测实施 a 访谈网络管理员 询问是否在网上营业厅与互联网的网络边界处检测 防御监视以下攻 击行为 端口扫描 强力攻击 木马后门攻击 拒绝服务攻击 缓冲区溢出攻击 IP 碎片攻击和网络蠕虫攻击等 查看相关配置及网络攻击监视记录 b 访谈网络管理员 询问是否对网上营业厅向 BOSS 系统等核心网络发起的请求连接进行 规定 限制在一定范围内 是否能够限制非法连接 5 2 2 5 网络设备防护 除按5 1 2 5内容进行检测外 还应按照本节内容进行检测 5 2 2 5 1 检测方式 访谈 检查 测试 5 2 2 5 2 检测对象 网络设备 网络设备用户标识 5 2 2 5 3 检测实施 a 访谈网络管理员 询问是否对登录网络设备的用户进行身份鉴别 b 访谈网络管理员 询问是否对网络设备的管理员登录地址进行限制 c 访谈网络管理员 询问是否对网络设备用户做唯一标识 d 访谈网络管理员 询问用户口令是否足够复杂度 至少8位 是否定期更换 e 访谈网络管理员 询问是否具有登录失败处理功能 是否可采取结束会话 限制非法登 录次数和当网络登录连接超时自动退出等措施 通过测试检验该功能 f 访谈网络管理员 询问当对网络设备进行远程管理时 是否采取必要措施防止鉴别信息 在网络传输过程中被窃听 5 2 3 主机安全 5 2 3 1 身份鉴别 除按5 1 3 1内容进行检测外 还应按照本节内容进行检测 5 2 3 1 1 检测方式 访谈 检查 5 2 3 1 2 检测对象 主机设备 操作系统 数据库 15 5 2 3 1 3 检测实施 a 访谈网络管理员 询问是否对登录操作系统和数据库系统的用户进行身份标识和鉴别 b 访谈网络管理员 询问操作系统和数据库系统管理用户身份标识应具有不易被冒用的特 点 口令是否有复杂度 至少8位 要求并定期更换 检查用户身份标识 检查口令更 改记录 c 访谈网络管理员 询问是否启用登录失败处理功能 是否采取结束会话 限制非法登录 次数和自动退出等措施 d 访谈网络管理员 询问当对服务器进行远程管理时 是否采取必要措施 防止鉴别信息 在网络传输过程中被窃听 e 访谈网络管理员 询问是否为操作系统和数据库系统的不同用户分配不同的用户名 确 保用户名具有唯一性 5 2 3 2 访问控制 除按5 1 3 2内容进行检测外 还应按照本节内容进行检测 5 2 3 2 1 检测方式 访谈 检查 5 2 3 2 2 检测对象 主机设备 操作系统 数据库 5 2 3 2 3 检测实施 a 访谈网络管理员 询问是否实现操作系统和数据库系统特权用户的权限分离 b 访谈网络管理员 询问是否限制默认帐户的访问权限 重命名系统默认帐户 修改这些 帐户的默认口令 c 访谈网络管理员 询问是否及时删除多余的 过期的帐户 避免共享帐户的存在 5 2 3 3 安全审计 除按5 1 3 3内容进行检测外 还应按照本节内容进行检测 5 2 3 3 1 检测方式 访谈 检查 5 2 3 3 2 检测对象 主机设备 操作系统 数据库 审计记录 5 2 3 3 3 检测实施 16 a 访谈网络管理员 询问审计范围是否覆盖到服务器上的每个操作系统用户和数据库用户 b 访谈网络管理员 询问是否审计内容是否包括重要用户行为 系统资源的异常使用和重 要系统命令的使用等系统内重要的安全相关事件 c 检查审计记录 是否包括事件的日期 时间 类型 主体标识 客体标识和结果等 d 访谈网络管理员 询问是否保护审计记录 避免受到未预期的删除 修改或覆盖等 5 2 3 4 入侵防范 除按5 1 3 4内容进行检测外 还应按照本节内容进行检测 5 2 3 4 1 检测方式 访谈 检查 5 2 3 4 2 检测对象 主机设备 操作系统 5 2 3 4 3 检测实施 a 访谈网络管理员 询问操作系统是否遵循最小安装的原则 仅安装需要的组件和应用程 序 保持系统补丁及时得到更新 5 2 3 5 恶意代码防范 5 2 3 5 1 检测方式 访谈 检查 5 2 3 5 2 检测对象 主机设备 防恶意代码软件 防恶意代码软件更新记录 恶意代码库更新记录 5 2 3 5 3 检测实施 a 访谈网络管理员 询问是否安装防恶意代码软件 是否及时更新防恶意代码软件版本和 恶意代码库 检查防恶意代码软件和恶意代码库的更新记录 b 访谈网络管理员 询问是否支持防恶意代码软件的统一管理 5 2 3 6 资源控制 除按5 1 3 5内容进行检测外 还应按照本节内容进行检测 5 2 3 6 1 检测方式 访谈 检查 测试 5 2 3 6 2 检测对象 17 主机设备 安全策略 5 2 3 6 3 检测实施 a 访谈网络管理员 询问是否通过设定终端接入方式 网络地址范围等条件限制终端登录 b 访谈网络管理员 询问是否根据安全策略设置登录终端的操作超时锁定 通过测试检验 该功能 c 访谈网络管理员 询问是否限制单个用户对系统资源的最大或最小使用限度 查看配置 数据 5 2 4 中间件安全 5 2 4 1 身份鉴别 5 2 4 1 1 检测方式 访谈 检查 5 2 4 1 2 检测对象 网络设备 服务器 5 2 4 1 3 检测实施 a 访谈网上营业厅管理人员 询问是否实现操作系统和中间件用户的权限分离 中间件是 否使用独立用户 查看不同用户权限 b 访谈网上营业厅管理人员 询问是否实现中间件用户和网上营业厅应用软件用户的权限 分离 查看不同用户权限 5 2 4 2 访问控制 5 2 4 2 1 检测方式 访谈 检查 5 2 4 2 2 检测对象 Web服务器 5 2 4 2 3 检测实施 a 访谈管理员 询问是否启用了SSL 若启用SSL 是否采用不低于3 0版本的SSL 且启用 安全的密码算法 查看SSL情况 b 访谈管理员 询问服务器使用的操作系统级别的服务用户的权限是否遵循最小权限原则 即中间件用户不能是root用户 中间件用户权限不应能访问操作系统中一些关键进程 检查中间件用户是否是操作系统root用户 5 2 4 3 安全审计 18 5 2 4 3 1 检测方式 访谈 检查 5 2 4 3 2 检测对象 监控软件 5 2 4 3 3 检测实施 a 访谈网上营业厅管理人员 询问是否采用技术手段 如定期运行文件完整性监控软件 及时发现中间件关键系统数据或文件被非授权更改 是否在发现后能及时通知相关人员 是否至少每周对关键文件进行比较 查看相关配置数据 b 访谈网上营业厅管理人员 询问是否中间件安全日志 查看安全日志 5 2 4 4 入侵防范 5 2 4 4 1 检测方式 访谈 检查 测试 5 2 4 4 2 检测对象 中间件 5 2 4 4 3 检测实施 a 访谈网上营业厅管理人员 询问中间件Web服务器的安装是否遵循最小安装的原则 检 查是否关闭或限制与系统正常运行无关 但可能造成安全隐患的默认扩展功能 例如示 例程序 后台管理 不必要的存储过程等 并通过测试验证访谈反馈 b 访谈网上营业厅管理人员 询问是否禁用中间件Web服务器的目录列出功能 并通过测 试验证访谈反馈 c 访谈网上营业厅管理人员 询问协议级的配置时是否禁用中间件Web服务器的不必要的 HTTP方法 如PUT TRACE DELETE等 询问是否启用了HTTPS 若启用检查则禁用 HTTP 通过测试验证访谈反馈 d 访谈网上营业厅管理人员 询问并检查是否已经启用了必要的语言安全设置 例如PHP 语言设置 JAVA语言设置 e 访谈网上营业厅管理人员 是否对安装时自动生成的帐号 如 演示账号 做了清理或 者修改密码 f 访谈网上营业厅管理人员 询问并检查是否已经配置HTTP服务标识 使其不泄露Web服务 器以及操作系统的版本 并通过测试验证访谈反馈 5 2 5 应用安全 5 2 5 1 身份鉴别 除按5 1 5 1内容进行检测外 还应按照本节内容进行检测 5 2 5 1 1 检测方式 19 访谈 测试 5 2 5 1 2 检测对象 网上营业厅 5 2 5 1 3 检测实施 a 访谈网上营业厅管理人员 询问用户登录网上营业厅时是否需要输入图片验证码或其他 防御账号暴力猜测的手段 测试登陆网上营业厅过程中图片验证码或其他手段的安全性 5 2 5 2 访问控制 除按5 1 5 2内容进行检测外 还应按照本节内容进行检测 5 2 5 2 1 检测方式 访谈 检查 测试 5 2 5 2 2 检测对象 网上营业厅 BOSS系统规范 5 2 5 2 3 检测实施 a 访谈网上营业厅管理人员 询问用户登陆网上营业厅办理相关业务时 若需要网上营业 厅通过应用层接口向核心网络例如BOSS系统调用敏感功能如查询通话详单 短信记录 业务状态时 办理业务用户应是否需要再次输入服务密码或其它可信凭证 进行二次验 证 b 查看运营商BOSS系统开发规范中对BOSS功能敏感功能相关规定 测试网上营业厅二次认 证功能 5 2 5 3 安全审计 除按5 1 5 3内容进行检测外 还应按照本节内容进行检测 5 2 5 3 1 检测方式 访谈 检查 5 2 5 3 2 检测对象 应用软件 审计记录 5 2 5 3 3 检测实施 a 访谈网络管理员 询问是否应用程序重要安全事件进行审计 b 访谈网络管理员 询问是否能够保证无法删除 修改或覆盖审计记录 c 检查审计记录的内容 查看是否至少包括事件日期 时间 发起者信息 类型 描述和 结果等 20 d 访谈网络管理员 询问是否提供对审计记录数据进行统计 查询 分析及生成审计报表 的功能 查看审计报表 5 2 5 4 通信完整性 除按5 1 5 4内容进行检测外 还应按照本节内容进行检测 5 2 5 4 1 检测方式 访谈 检查 5 2 5 4 2 检测对象 应用软件 软件设计文档 5 2 5 4 3 检测实施 a 访谈网上营业厅管理员 询问是否采用校验码技术保证通信过程中数据的完整性 查看 软件设计文档 是否具备该功能 5 2 5 5 通信保密性 除按5 1 5 5内容进行检测外 还应按照本节内容进行检测 5 2 5 5 1 检测方式 访谈 检查 测试 5 2 5 5 2 检测对象 应用软件 5 2 5 5 3 检测实施 a 访谈网络管理员 询问网上营业厅内部主机之间 网上营业厅与BOSS系统等运营商核心 网络之间是否没有物理旁路 b 访谈网络管理员 询问是否对通信过程中的敏感信息字段进行加密 通过测试验证访谈 反馈 5 2 5 6 软件质量 除按5 1 5 6内容进行检测外 还应按照本节内容进行检测 5 2 5 6 1 检测方式 访谈 5 2 5 6 2 检测对象 应用软件 5 2 5 6 3 检测实施 a 访谈网上营业厅管理员 询问是否提供数据有效性检验功能 保证通过人机接口输入或 通过通信接口输入的数据格式或长度符合系统设定要求 21 5 2 5 7 资源控制 除按5 1 5 7内容进行检测外 还应按照本节内容进行检测 5 2 5 7 1 检测方式 访谈 检查 测试 5 2 5 7 2 检测对象 应用软件 5 2 5 7 3 检测实施 a 访谈网络管理员 询问是否能够对单个帐户的多重并发会话进行限制 通过测试检验该 功能 5 2 6 数据安全及备份恢复 5 2 6 1 数据完整性 除按5 2 6 1内容进行检测外 还应按照本节内容进行检测 5 2 6 1 1 检测方式 访谈 检查 5 2 6 1 2 检测对象 鉴别信息 重要业务数据 5 2 6 1 3 检测实施 a 访谈网上营业厅管理员 询问是否能够检测到鉴别信息和重要业务数据在传输过程中完 整性受到破坏 5 2 6 2 数据保密性 除按5 2 6 2内容进行检测外 还应按照本节内容进行检测 5 2 6 2 1 检测方式 访谈 检查 5 2 6 2 2 检测对象 鉴别信息 5 2 6 2 3 检测实施 a 访谈网上营业厅管理员 询问是否加密存储敏感信息 如管理员密码等 b 访谈网上营业厅管理员 询问系统是否避免将重要文件 如日志文件 代码备份文件 数据库文件等 存放在Web内容目录下 防止被攻击者直接下载 5 2 6 3 备份和恢复 22 除按5 2 6 3内容进行检测外 还应按照本节内容进行检测 5 2 6 3 1 检测方式 访谈 检查 5 2 6 3 2 检测对象 重要信息的备份和恢复记录 关键网络设备 通信线路 数据处理系统 5 2 6 3 3 检测实施 a 访谈网上营业厅管理员 询问是否对重要信息进行备份和恢复 检查重要信息备份和恢 复记录 b 访谈网上营业厅管理员 询问是否提供关键网络设备 通信线路和数据处理系统的硬件 冗余 保证系统的可用性 5 2 7 物理环境安全 应满足 电信网和互联网物理环境安全等级保护检测要求 中第2级检测要求 5 2 8 管理安全 应满足 电信网和互联网管理安全等级保护检测要求 中第2级检测要求 5 3 第 3 1 级要求 5 3 1 业务安全 除按5 2 1内容进行检测外 还应按照本节内容进行检测 5 3 1 1 检测方式 访谈 检查 5 3 1 2 检测对象 网上营业厅 5 3 1 3 检测实施 a 访谈网上营业厅管理人员 询问是否了解业务的功能 使用方式和核心数据 对业务流 程中每个数据交互环节 如 每一次客户端浏览器的点击 进行威胁分析 b 访谈网上营业厅管理人员 询问网上营业厅同一业务流程中每个数据交互环节 服务器 端是否保证客户端前后操作的身份一致并经过授权 c 访谈网上营业厅管理人员 询问网上营业厅同一业务流程中每个数据交互环节 若存在 写操作 或会对后续流程环节内容有影响 业务流程设计时限制的 不应篡改的数据 如产品金额 是否在程序实现中的完整性得到保证 d 访谈网上营业厅管理人员 询问网上营业厅业务流程是否具有必要的流程安全控制 保 证流程衔接正确 防止关键鉴别步骤被绕过 重复 乱序 5 3 2 网络安全 5 3 2 1 结构安全 23 除按5 2 2 1内容进行检测外 还应按照本节内容进行检测 5 3 2 1 1 检测方式 访谈 检查 5 3 2 1 2 检测对象 网络拓扑 应用软件 数据库软件 5 3 2 1 3 检测实施 a 访谈网上营业厅管理人员 询问网上营业厅应用程序是否部署在专用的主机上 是否避 免将网上营业厅数据库应用程序或其他核心应用程序与网上营业厅应用程序安装在同一 台主机上 查看部署情况 5 3 2 2 访问控制 与5 2 2 2检测方法相同 5 3 2 3 安全审计 除按5 2 2 3内容进行检测外 还应按照本节内容进行检测 5 3 2 3 1 检测方式 访谈 检查 5 3 2 3 2 检测对象 网络设备 审计记录 5 3 2 3 3 检测实施 a 访谈网络管理员 询问是否能够根据记录数据进行分析 并生成审计报表 检查审计记 录 c 访谈网络管理员 询问是否对审计记录进行保护 避免受到未预期的删除 修改或覆盖 等 5 3 2 4 入侵防范 除按照5 2 2 5的要求进行检测外 还应按照本节内容进行检测 5 3 2 4 1 检测方式 访谈 检查 5 3 2 4 2 检测对象 网络设备 入侵事件记录 5 3 2 4 3 检测实施 a 访谈网络管理员 询问当检测到攻击行为时 是否能记录攻击源 IP 攻击类型 攻击 24 目的 攻击时间 在发生严重入侵事件时是否能及时报警 检查入侵事件记录和告警信 息 b 访谈网络管理员 询问在网上营业厅与互联网网络之间安装应用层防火墙 5 3 2 5 网络设备防护 除按照5 2 2 6的要求进行检测外 还应按照本节内容进行检测 5 3 2 5 1 检测方式 访谈 检查 5 3 2 5 2 检测对象 网络设备 5 3 2 5 3 检测实施 a 访谈网络管理员 询问是否实现设备特权用户的权限分离 5 3 2 6 恶意代码防范 除按5 2 2 6内容进行检测外 还应按照本节内容进行检测 5 3 2 6 1 检测方式 访谈 检查 5 3 2 6 2 检测对象 网络设备 恶意代码库 5 3 2 6 3 检测实施 a 访谈网络管理员 询问是否是否在互联网与网上营业厅边界处对恶意代码进行检测和清 除 b 访谈网络管理员 询问是否维护恶意代码库的升级和检测系统的更新 检查恶意代码苦 的升级记录和系统更新记录 5 3 3 主机安全 5 3 3 1 身份鉴别 与5 2 3 1的检测内容相同 5 3 3 2 访问控制 除按照5 2 3 2的要求进行检测外 还应按照本节内容进行检测 5 3 3 2 1 检测方式 访谈 检查 5 3 3 2 2 检测对象 25 主机设备 5 3 3 2 3 检测实施 a 访谈网络管理员 询问是否根据管理用户的角色分配权限 实现管理用户的权限分离 仅授予管理用户所需的最小权限 检查用户权限设置数据 b 访谈网络管理员 询问是否对重要信息资源设置敏感标记 检查具体标记 c 访谈网络管理员 询问是否依据安全策略严格控制用户对有敏感标记重要信息资源的操 作 5 3 3 3 安全审计 除按照5 2 3 3的要求进行检测外 还应按照本节内容进行检测 5 3 3 3 1 检测方式 访谈 检查 5 3 3 3 2 检测对象 主机设备 审计报表 5 3 3 3 3 检测实施 a 访谈网络管理员 询问是否能够根据记录数据进行分析 并生成审计报表 b 访谈网络管理员 询问是否能保护审计进程 避免受到未预期的中断 5 3 3 4 入侵防范 除按照5 2 3 4的要求进行检测外 还应按照本节内容进行检测 5 3 3 4 1 检测方式 访谈 检查 测试 5 3 3 4 2 检测对象 主机设备 入侵记录 完整性测试记录 恢复记录 5 3 3 4 3 检测实施 a 访谈网络管理员 询问是否能够检测到对重要服务器进行入侵的行为 是否能够记录入 侵的源IP 攻击的类型 攻击的目的 攻击的时间 并在发生严重入侵事件时提供报警 检查入侵记录 b 访谈网络管理员 询问是否能够对主机上重要应用程序的完整性进行检测 并在检测到 完整性受到破坏后具有恢复的措施 检查完整性测试和恢复记录 5 3 3 5 恶意代码防范 26 除按照5 2 3 5的要求进行检测外 还应按照本节内容进行检测 5 3 3 5 1 检测方式 访谈 检查 5 3 3 5 2 检测对象 主机设备 防恶意代码产品 5 3 3 5 3 检测实施 a 访谈网络管理员 询问是否对用户通过网上营业厅从主机上下载的程序进行扫描 避免 传播病毒 b 访谈网络管理员 询问主机防恶意代码产品是否具有与网络防恶意代码产品不同的恶意 代码库 5 3 3 6 资源控制 除按照5 2 3 6的要求进行检测外 还应按照本节内容进行检测 5 3 3 6 1 检测方式 访谈 检查 测试 5 3 3 6 2 检测对象 主机设备 5 3 3 6 3 检测实施 a 访谈网络管理员 询问是否对网上营业厅重要主机进行监视 包括监视主机的CPU 硬 盘 内存 网络等资源的使用情况 5 3 4 中间件安全 与5 2 4测试方法相同 5 3 5 应用安全 5 3 5 1 身份鉴别 除按照5 2 5 1的要求进行检测外 还应按照本节内容进行检测 5 3 5 1 1 检测方式 访谈 测试 5 3 5 1 2 检测对象 网上营业厅系统 5 3 5 1 3 检测实施 a 访谈网络管理员 询问网上营业厅Web服务器设备为每个会话分配的会话标识是否随机 测试验证会话标识的随机性 预防攻击者猜测标识或依据当前标识推导后续的标识 27 b 访谈网络管理员 询问同一用户登录后网上营业厅Web服务器设备是否分配新的会话标 识 测试并验证不能继续使用用户未登录前所使用的标识 5 3 5 2 访问控制 与5 2 5 2的检测方法相同 5 3 5 3 审计安全 与5 2 5 3的检测方法相同 5 3 5 4 通信完整性 与5 2 5 4的检测方法相同 5 3 5 5 通信保密性 除按照5 2 5 5的要求进行检测外 还应按照本节内容进行检测 5 3 5 5 1 检测方式 访谈 检查 测试 5 3 5 5 2 检测对象 网上营业厅系统 5 3 5 5 3 检测实施 a 访谈网上营业厅网络管理人员 询问网上营业厅是否不能向用户提示过多的技术细节 以避免被攻击者利用 例如错误提示信息中不应包含SQL语句 否则有利于攻击者构造 合法的攻击字串 HTML中不应含有技术性的注释语句等 5 3 5 6 软件质量 除按照5 2 5 6的要求进行检测外 还应按照本节内容进行检测 5 3 5 6