中国移动安全防护基准构件模板库.doc

中中 国国 移移 动动 安安 全全 防防 护护 基基 准准 构构 件件 模模 板板 库库 T T i i t t l l e e 英英 文文 黑黑 体体 四四 号号 版版 本本 号号 0 黑体小四 发布 实施 中国移动安全防护基准构建模板 目目 录录 1概述 1 1 1适用范围 1 1 2内部适用性说明 1 1 3外部引用说明 4 1 4术语和定义 4 1 5符号和缩略语 4 2安全防护基准构件模板 5 2 1背景 5 2 2安全防护基准构件模板说明 5 2 3模板使用原则 6 2 4安全防护基准构件模板要求编号原则 6 3安全防护基准构件模板库 7 3 1网络安全构件 7 3 2系统安全构件 13 3 3应用安全构件 15 3 4数据安全构件 18 4 编制历史 19 中国移动安全防护基准构建模板 前言 本标准由中国移动通信有限公司网络部提出并归口 本标准由标准提出并归口部门负责解释 本标准起草单位 中国移动通信有限公司网络部 本标准解释单位 同提出单位 中国移动安全防护基准构建模板 1 1 概述概述 1 1 适用范围适用范围 本规范适用于中国移动非专业人员制定通信网 业务系统和支撑系统的安 全防护方案 规范从网络安全 系统安全 应用安全 数据安全的角度 分强 度明确定义了实现安全防护使用的防护构件 供在 安全防护方案制定指导原 则 的要求下 根据 安全需求分析标准模板 和 安全威胁分析标准模板库 所导出的具体业务系统的安全需求和所面对的威胁 来提供针对业务系统的安 全防护方案 同时 本规范也可作为系统维护人员和安全人员构成特定系统防 护方案的参考指南 1 2 内部适用性说明内部适用性说明 本规范是其他制定系统防护方案规范的基础 原则上 在同一方面 其他 制定系统防护方案规范的要求应不低于本规范 如特殊原因 需要降低要求 应在相应规范的此部分予以解释说明 安全威胁与防护构件对应表 威胁类型子类网络安全系统安全应用安全 病毒 FHGJ NET 09 1 2 3 FHGJ NET 10 FHGJ NET 15 1 2 FHGJ NET 17 FHGJ NET 18 FHGJ NET 19 FHGJ SYS 04 FHGJ SYS 08 1 2 3 FHGJ APP 19 1 木马 FHGJ NET 09 1 2 3 FHGJ NET 10 FHGJ NET 15 1 2 FHGJ NET 17 FHGJ NET 18 FHGJ NET 19 FHGJ SYS 04 FHGJ SYS 07 FHGJ SYS 08 1 2 3 FHGJ APP 19 1 恶意代码 蠕虫 FHGJ NET 07 FHGJ NET 09 1 2 3 FHGJ NET 10 FHGJ NET 13 FHGJ SYS 04 FHGJ SYS 07 FHGJ SYS 08 1 2 3 FHGJ APP 19 1 中国移动安全防护基准构建模板 2 FHGJ NET 15 1 2 FHGJ NET 17 FHGJ NET 18 FHGJ NET 19 滥用权限过度使 用资源 FHGJ NET 10 FHGJ NET 09 1 2 3 FHGJ NET 20 1 2 FHGJ SYS 01 1 2 FHGJ SYS 02 1 3 FHGJ SYS 03 FHGJ APP 01 1 2 FHGJ APP 02 2 3 FHGJ APP 12 FHGJ APP 19 2 4 授权威胁 未授权访问资源 FHGJ NET 04 FHGJ NET 05 1 3 4 FHGJ NET 06 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 12 FHGJ NET 15 1 2 FHGJ NET 18 FHGJ NET 20 1 2 FHGJ SYS 01 1 2 FHGJ SYS 02 1 3 FHGJ SYS 03 FHGJ APP 01 1 2 FHGJ APP 02 2 3 FHGJ APP 12 FHGJ APP 20 4 网络基础信息探 测和信息采集 FHGJ NET 04 FHGJ NET 05 1 3 4 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 15 1 2 FHGJ NET 16 2 3 4 FHGJ NET 17 FHGJ NET 18 FHGJ NET 20 1 2 FHGJ SYS 02 1 3 FHGJ SYS 04 FHGJ SYS 07 FHGJ APP 02 2 3 漏洞利用 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 13 FHGJ NET 15 1 2 FHGJ SYS 02 1 3 FHGJ SYS 04 FHGJ SYS 07 FHGJ APP 02 2 3 FHGJ APP 11 1 2 3 4 用户身份冒认和 欺骗 FHGJ NET 06 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 12 FHGJ NET 20 1 2 FHGJ SYS 01 1 2 FHGJ SYS 03 FHGJ APP 01 1 2 FHGJ APP 02 2 3 FHGJ APP 05 FHGJ APP 12 数据的窃取和破 坏 FHGJ NET 09 1 2 3 FHGJ NET 10 FHGJ NET 11 1 2 FHGJ NET 16 2 3 4 FHGJ NET 18 FHGJ SYS 02 1 3 FHGJ APP 02 2 3 FHGJ APP 13 FHGJ APP 17 FHGJ APP 18 1 2 3 4 FHGJ APP 19 2 4 FHGJ APP 20 4 网络攻击 拒绝服务攻击 抗 DDOS FHGJ NET 07 FHGJ NET 08 FHGJ SYS 02 1 3 FHGJ SYS 04 FHGJ APP 02 2 3 FHGJ APP 09 中国移动安全防护基准构建模板 3 FHGJ NET 09 1 2 3 FHGJ NET 13 FHGJ NET 15 1 2 泄密内部信息泄露 FHGJ NET 04 FHGJ NET 05 1 3 4 FHGJ NET 09 1 2 3 FHGJ NET 10 FHGJ NET 11 1 2 FHGJ NET 16 2 3 4 FHGJ NET 17 FHGJ NET 20 1 2 FHGJ SYS 01 1 2 FHGJ SYS 02 1 3 FHGJ SYS 03 FHGJ SYS 07 FHGJ APP 01 1 2 FHGJ APP 02 2 3 FHGJ APP 04 2 3 4 FHGJ APP 13 FHGJ APP 15 FHGJ APP 16 FHGJ APP 17 FHGJ APP 19 2 4 FHGJ APP 20 4 篡改网络配置信 息 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 14 FHGJ NET 16 2 3 4 篡改系统配置信 息 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 16 2 3 4 FHGJ SYS 01 1 2 FHGJ SYS 02 1 3 FHGJ SYS 03 篡改应用配置信 息 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 16 2 3 4 FHGJ APP 02 2 3 FHGJ APP 07 篡改 篡改业务数据 FHGJ NET 09 1 2 3 FHGJ NET 11 1 2 FHGJ NET 16 2 3 4 FHGJ APP 07 FHGJ APP 14 3 4 FHGJ APP 15 FHGJ APP 16 FHGJ APP 17 FHGJ APP 20 4 抵赖数据抵赖FHGJ NET 14 FHGJ SYS 01 1 2 FHGJ SYS 03 FHGJ APP 01 1 2 FHGJ APP 06 2 3 硬件系统故障 FHGJ NET 01 2 3 FHGJ NET 02 2 3 FHGJ NET 03 FHGJ SYS 05 FHGJ SYS 06 FHGJ APP 10 软件系统故障 FHGJ SYS 03 FHGJ SYS 04 FHGJ SYS 05 应用系统故障 FHGJ APP 03 2 3 4 FHGJ APP 07 FHGJ APP 08 FHGJ APP 11 1 2 3 4 可用性 容量超载 FHGJ NET 01 2 3 FHGJ NET 02 2 3 FHGJ NET 03 FHGJ SYS 05 FHGJ SYS 06 FHGJ SYS 09 1 2 FHGJ APP 09 FHGJ APP 10 中国移动安全防护基准构建模板 4 FHGJ NET 07 FHGJ NET 08 FHGJ NET 13 操作失误操作失误FHGJ NET 14FHGJ SYS 03 FHGJ APP 03 2 3 4 FHGJ APP 08 注 1 同一业务系统中每一种威胁仅考虑一次 2 1 2 1 2 3 4 分别表示不同的防护等级要求 1 3 外部引用说明外部引用说明 中国移动网络与信息安全保障体系总纲 安全防护方案制定指导原则 1 4 术语和定义术语和定义 威胁 威胁 对系统 机构及其资产构成潜在破坏能力的可能性因素或事件 是 攻击者可能具备的攻击手法 攻击者发现系统的脆弱性 并按照一定的攻击手 法加以利用 就形成了对系统信息安全的破坏 威胁一般有自然因素与非自然 因素引发之分 防护构件 防护构件 从组网 应用软件和设备安全功能 业务流程安全 安全域划 分等方面形成针对不同威胁等级的安全防护等级下的防护措施 便于系统维护 人员和安全人员按照系统威胁分析结果快速选择措施构成业务系统特定的防护 方案 防护构件包含 构件编号 构件名称 防护强度 防护措施 应对威胁 等内容 1 5 符号和缩略语符号和缩略语 缩写英文描述中文描述 SNIFFER将网卡设置为混乱模式 抓取 网络中的数据包进行分析 中国移动安全防护基准构建模板 5 缩写英文描述中文描述 VPNVirtual Private Network通过一个公用网络建立一个临 时的 安全的连接 是一条穿 过混乱的公用网络的安全 稳 定的隧道 STPSpanning Tree Protocol生成树协议 通过一定的算法 实现路径冗余 同时将环路网 络修剪成无环路的树型网络 从而避免报文在环路网络中的 增生和无限循环 VLANVirtual Local Area Network虚拟局域网 网络中的站点不 拘泥于所处的物理位置 而可 以根据需要灵活地加入不同的 逻辑子网中的一种网络技术 2 安全防护基准构件模安全防护基准构件模板板 2 1 背景背景 当前中国移动的网络系统是一个庞大复杂的系统 在支持业务不断发展的 前提下 如何保证系统的安全性是一个巨大的挑战 按照等级保护 安全域划 分 网络应用分析的思路 根据安全需求 安全威胁进行层次化 有重点的安 全防护是保证系统和信息安全的有效手段 中国移动网络与信息安全保障体系总纲 对信息系统划分 业务需求分 析 安全域划分和等级保护提出了总体的要求 2 2 安全防护基准构件模板说明安全防护基准构件模板说明 本规范为中国移动 网络与信息安全规范框架 的第二层面 其编制依据 主要为中国移动 NISS 总纲 同时参考国际 国内相关标准规范 中国移动安全防护基准构建模板 6 中国移动安全防护基准构件模板 以下简称构件模板 由网络安全防护构 件 系统安全防护构件 应用安全防护构件和数据安全防护构件组成 通信网 业务系统 支撑系统相关安全 要求 中国移动NISS总纲 中国移动安全防护方案制定指导原则 安全需求分析标准模板安全威胁分析标准模板库 安全防护基准构件模板库 网络层安全构件 系统层安全构件 应用层安全构件 通信网 业务系统 支撑系统中的安全防护方案 安全防护基准构件框架安全防护基准构件框架 2 3 模板使用原则模板使用原则 模板用于制定通信网 业务系统和支撑系统防护方案 在系统建设规划中 提供应对不同威胁的安全防护构件 全面原则 具体的安全方案应从网络安全 系统安全 应用安全和数据安 全四种类型的防护构件模板库中进行选择 唯一原则 在采用具体防护构件上 根据面对安全威胁的不同 选择不同 防护强度的防护构件 同一防护类型中仅选用一种强度的防护构件 中国移动安全防护基准构建模板 7 2 4 安全防护基准构件模板要求编号原则安全防护基准构件模板要求编号原则 本框架的防护构件遵循以下格式进行编号 FHGJ XX X YY Y opt FHGJ 防护构件 XX X 大写字母表示的构件所属防护类型的简称 具体防护类型如下 NET 网络 SYS 系统 APP 应用 YY Y 构件的阿拉伯数字序号 在同规范中同类构件的序号不能相同 opt 防护强度 此为可选项 3 安全防护基准构件模板库安全防护基准构件模板库 本模板库所指的安全防护对象为通信设备和 IT 设备 模板库提出的安全防 护基准构件 在未特别说明的情况下 均适用于信息系统安全防护的规划 建 设和改进 本模板库从网络安全 系统安全 应用安全 数据安全提出了相关的安全 构件 以及这些构件应对的安全威胁 3 1 网络安全构件网络安全构件 网络安全为信息系统在网络环境的安全运行提供支持 一方面 确保网络 系统的安全运行 提供有效的网络服务 另一方面 确保服务器与客户端之间 在网上传输数据的保密性 完整性和可用性等 网络安全包括网络访问控制 拨号访问控制 网络安全审计 边界完整性检查 网络入侵防范 恶意代码防 范 网络设备防护等 构件编号 FHGJ NET 01 2 构件名称网络设备冗余 防护强度2 中国移动安全防护基准构建模板 8 防护措施网络拓扑设计双机冗余 对于核心交换机 边界路由器 边界防火墙 边界入侵保护系统等网 络串联型设备实施双机工作模式 构件编号 FHGJ NET 01 3 构件名称网络设备冗余 防护强度3 防护措施对于网络入侵检测系统 网络日志审计系统等网络旁路并联型设备实 施双机工作模式 构件编号 FHGJ NET 01 4 构件名称网络设备冗余 防护强度4 防护措施骨干网络 支撑网络等重要网络应考虑一定数量的节点冗余 满足业 务稳定性和安全性需求 构件编号 FHGJ NET 02 2 构件名称网络链路冗余 防护强度2 防护措施采用多条链路连接路由器 交换机 防火墙等网络设备 启用动态路由协议 STP 等 在单链路失败的情况下 数据流自动切 换到冗余的链路 提高网络链路的可靠性 构件编号 FHGJ NET 02 3 构件名称网络链路冗余 防护强度3 防护措施系统应根据实际需要采用必要的链路冗余 配置链路负载均衡 提高 网络链路的可用性 重要系统在骨干核心节点应最少保持 2 条以上物理路径连接 构件编号 FHGJ NET 03 构件名称网络设备状态监控 防护强度1 防护措施网络设备需要提供 SNMP 等接口判断网络设备的可用性 主要包括 网络设备的 loopback 地址 网络设备各物理端口 网络设备各逻辑子接口 网络设备各端口的带宽 网络设备 CPU 利用率 网络设备内存利用率 网络设备端口流量 中国移动安全防护基准构建模板 9 构件编号 FHGJ NET 04 构件名称网络子网划分 防护强度1 防护措施根据各部门的工作职能 重要性 所涉及信息等级等因素 划分不同 的子网或网段 并按照方便管理和控制的原则为各子网 网段分配地 址段 构件编号 FHGJ NET 05 1 构件名称网络隔离 防护强度1 防护措施根据各子网或网段的业务访问需求 划分不同的 VLAN 构件编号 FHGJ NET 05 3 构件名称网络隔离 防护强度3 防护措施采用 VPN 技术进行网络边界隔离 构件编号 FHGJ NET 05 4 构件名称网络隔离 防护强度4 防护措施物理隔离 构件编号 FHGJ NET 06 构件名称MAC 地址绑定 防护强度1 防护措施网络内采取网络层地址与数据链路层地址绑定措施 防止 ARP 地址 欺骗 网络设备中进行 IP MAC 的绑定 同时结合交换机端口的绑 定来防止地址欺骗 构件编号 FHGJ NET 07 1 构件名称网络流量控制 防护强度3 防护措施限制网络链路的最大流量 QOS 控制 根据需要采用有效的 QoS 和流量管理策略 应保证管理 和控制信息具有较高的优先级 应对广播 组播进行必要的控制 构件编号 FHGJ NET 07 2 构件名称网络流量控制 防护强度3 防护措施采用灵活 有效的服务质量和流量控制 如 IP QoS MPLS QoS 流 量映射 RSVP 码点标记 流量限速 队列调度 QPPB 等 技术策 略 符合端到端业务的需求 中国移动安全防护基准构建模板 10 构件编号 FHGJ NET 08 构件名称拒绝服务攻击控制 防护强度2 防护措施对于异常数据流量具有识别和处理能力 采用专用抗 ddos 攻击技术和 设备 对各种类型的 ddos 攻击进行防护 构件编号 FHGJ NET 09 1 构件名称网络访问控制 防护强度1 防护措施在交换机 路由器配置 ACL 访问列表进行访问控制 根据会话状态信息 包括数据包的源地址 目的地址 源端口号 目 的端口号 协议 并应支持地址通配符的使用 为数据流提供明确 的允许 拒绝访问的能力 构件编号 FHGJ NET 09 2 构件名称网络访问控制 防护强度2 防护措施采用防火墙技术进行访问控制 在启用的访问控制机制中 在调查具 体业务流的基础上最大化的考虑安全性 做到关闭所有的访问数据流 只开放具体的指定的几个业务流 构件编号 FHGJ NET 09 3 构件名称网络访问控制 防护强度3 防护措施使用双重异构防火墙 不同厂家的防火墙组合 进行访问控制 防止 单一厂家的防火墙自身缺陷 构件编号 FHGJ NET 10 构件名称访问内容控制 防护强度2 防护措施对于异常数据流量具有识别和处理能力 采用专用安全过滤技术 对 进出网络的信息内容进行过滤 实现对应用层 HTTP FTP TELNET SMTP POP3 等协议进行命令级的控制 例如 网络入侵保护系统 网络内容控制技术等 构件编号 FHGJ NET 11 1 构件名称远程访问控制 防护强度1 防护措施对远程用户访问本地系统进行严格的访问控制 在远程访问服务器中针对用户进行访问规则的设置 只允许远程访问 的用户完成业务功能的最低权限 构件编号 FHGJ NET 11 2 中国移动安全防护基准构建模板 11 构件名称远程访问控制 防护强度2 防护措施在日常状态下关闭远程访问通道 只有在远程用户有访问请求时才开 放 构件编号 FHGJ NET 12 构件名称网络连接超时控制 防护强度1 防护措施在防火墙 路由器 代理服务器等设备处进行连接超时设置 如果用 户登录后在一段时间内没有任何操作 将中止此用户在本系统的登录 和网络连接 构件编号 FHGJ NET 13 构件名称网络连接数控制 防护强度3 防护措施在防火墙 边界路由器 三层交换机等设备中 根据实际网络需求设 置最大会话数 构件编号 FHGJ NET 14 构件名称网络安全审计 防护强度2 防护措施运用审计系统对网络信息进行自动审计 监控并记录网络设备的运行状况 网络流量 故障信息 对来自不同 数据源的采集数据进行分析 归纳 计算和统计 自动生成审计报告 对用户访问关键业务系统的各种操作行为进行审计 审计粒度细化到事件级 即每个审计的记录包括事件的日期和时间 用户 事件类型 事件是否成功 及其他与审计相关的信息 对一些特定的事件 提供系统告警 短信 邮件等多种方式的实时报 警 为审计系统运用备份方案对审计记录 审计策略等内容进行备份 以 在意外数据丢失的情况下进行恢复 构件编号 FHGJ NET 15 1 构件名称网络入侵检测 防护强度1 防护措施运用 SNIFFER 等网络监听软硬件监视网络状态 数据流动情况以及 网络上传输信息 构件编号 FHGJ NET 15 2 构件名称网络入侵检测 防护强度2 防护措施 依照一定的安全策略 对网络的运行状况进行监视 尽可能发现各种 中国移动安全防护基准构建模板 12 攻击企图 攻击行为或者攻击结果 构件编号 FHGJ NET 16 2 构件名称远程传输安全 防护强度2 防护措施应用 VPN 技术对远程网络数据传输建立专用通道 并采用高强度加 密算法对数据进行加密 构件编号 FHGJ NET 16 3 构件名称远程传输安全 防护强度3 防护措施采用外租专线方式进行远程数据传输 需要进行链路级加密 构件编号 FHGJ NET 16 4 构件名称远程传输安全 防护强度4 防护措施采用自建专线方式连接需要远程传输的数据站点 需要进行链路级加 密 构件编号 FHGJ NET 17 构件名称非法外联控制 防护强度2 防护措施采用各种控制措施对互联网接口进行严格控制 采用安全管理系统 检测 发现 拨号上网 等非法外部连接行为 立即报警并阻断 构件编号 FHGJ NET 18 1 构件名称终端准入管理 防护强度2 防护措施采用终端安全管理系统 对未经许可的计算机设备联入到网络 立即 报警并给予阻断 实现方式如下 运用 IP MAC 交换机端口绑定的方式 对非授权连入网络的设备进 行检测和控制 或者运用 IEEE802 1Q 协议技术 配合支持此协议的交换机实现对非 授权接入进行控制 构件编号 FHGJ NET 18 02 构件名称终端准入管理 防护强度2 防护措施设定终端接入方式 网络地址范围等条件限制终端登录 中国移动安全防护基准构建模板 13 构件编号 FHGJ NET 19 构件名称恶意代码检测和清除 防护强度2 防护措施防毒网关 入侵保护 对恶意代码进行检测和清除 进行恶意代码库的升级或者检测代码的更新 构件编号 FHGJ NET 20 1 构件名称用户身份认证 防护强度1 防护措施普通的身份认证 使用帐号口令 网络中的交换机 路由器 防火墙 安全网关等设备进行安全配置 使其对登录的用户进行身份鉴别 登录失败 3 次以上需要结束会话 停用帐号 并设置网络设备安全日 志记录登录失败事件 设置连接空闲超时功能 推荐 5 分钟 防止误操作及身份认证恶意窃 取 构件编号 FHGJ NET 20 2 构件名称用户身份认证 防护强度2 防护措施使用双因素认证 例如口令加令牌 口令加指纹等 网络中的交换机 路由器 防火墙 安全网关等设备进行安全配置 使其对登录的用户进行身份鉴别 登录失败 3 次以上需要结束会话 停用帐号 并设置网络设备安全日 志记录登录失败事件 设置连接空闲超时功能 推荐 5 分钟 防止误操作及身份认证恶意窃 取 3 2 系统安全构件系统安全构件 系统安全主要由系统的身份鉴别 访问控制 安全配置与加固 入侵防范 恶意代码防范 资源控制等安全功能实现 构件编号 FHGJ SYS 01 1 构件名称系统身份认证 防护强度1 防护措施采用帐号口令进行单因素认证 通过设置操作系统和数据库系统 配置用户非法登录次数限制 设置用户登录连接超时退出功能 构件编号 FHGJ SYS 01 2 中国移动安全防护基准构建模板 14 构件名称系统身份认证 防护强度2 防护措施考虑采用多因素结合的用户身份标识和认证系统 例如 采用双因素 认证系统 构件编号 FHGJ SYS 02 1 构件名称系统访问控制 防护强度1 防护措施实施访问控制最小授权原则 在系统中采用访问控制策略机制进行严格的访问控制 严格限制匿名用户的访问权限 需要分离操作系统和数据库系统的特权用户权限 构件编号 FHGJ SYS 02 3 构件名称系统访问控制 防护强度3 防护措施采用 citrix 或者相类似登录管理产品 对终端接入方式 网络地址进 行限制 构件编号 FHGJ SYS 03 构件名称系统安全审计 防护强度2 防护措施采用安全审计系统对网络中的服务器和客户端上的所有日志进行审计 对用户访问关键业务系统的各种操作行为进行审计 安全审计应记录系统内重要的安全相关事件 包括重要用户行为 系 统资源的异常使用和重要系统命令的使用 安全相关事件的记录应包 括日期和时间 类型 主体标识 客体标识 事件的结果等 审计记 录应受到保护 避免受到未预期的删除 修改或覆盖等 安全审计系统根据系统中汇集的各种数据进行分析 归纳 计算和统 计 并且自动生成性能审计报告 安全审计应可以对特定事件 提供指定方式的实时报警 为审计系统运用备份方案对审计记录 审计策略等内容进行备份 以 在意外数据丢失的情况下进行恢复 构件编号 FHGJ SYS 04 构件名称系统保护 防护强度1 防护措施操作系统 数据库系统本身应该定期进行漏洞的扫描 发现 并根据 结果对系统进行加固 例如 补丁升级 安全配置等 核心系统能在业务正常运行的状况下进行系统的管理维护 系统故障时能进行手动或者自动方式进行恢复 构件编号 FHGJ SYS 05 构件名称系统冗余 中国移动安全防护基准构建模板 15 防护强度2 防护措施根据实际情况 选择使用模块冗余 双机备份 或集群技术等 提供 冗余备份和负载均衡 重要服务器 重要部件 重要数据库应当采用本地双机备份的方式进 行容灾保护 构件编号 FHGJ SYS 06 构件名称主机状态监控 防护强度1 防护措施CPU 内存 磁盘空间 网络带宽利用率 网络流量 进程等实时监 控 构件编号 FHGJ SYS 07 构件名称入侵防范 防护强度2 防护措施添加 修改帐号实时监控 入侵 IP 包源 目的地址监控 攻击类型 攻击时间监控 重要程序完整性监控 构件编号 FHGJ SYS 08 1 构件名称恶意代码防范 防护强度1 防护措施安装实时的恶意软件监控程序 例如 防病毒系统 对病毒 木马 垃圾程序等进行检测和清除 构件编号 FHGJ SYS 08 2 构件名称恶意代码防范 防护强度2 防护措施实施恶意代码防范统一管理 构件编号 FHGJ SYS 08 3 构件名称恶意代码防范 防护强度3 防护措施主机系统的防恶意代码产品和基于网络防恶意代码产品 例如 防病 毒网关 选用两个不同品牌的产品 构件编号 FHGJ SYS 09 1 构件名称系统资源控制 防护强度1 防护措施设置登录终端的操作超时鉴别失败锁定 并规定解锁或终止方式 限制单个用户对系统资源的最大或最小使用限度 中国移动安全防护基准构建模板 16 构件编号 FHGJ SYS 09 2 构件名称系统资源控制 防护强度2 防护措施监控 限制单个用户的多重并发会话数 监控 限制某个 IP 源地址的多重并发会话数 监控 限制某个时间段内的多重并发会话数 3 3 应用安全构件应用安全构件 数据的采集 传输 处理和存储都需要应用程序 数据库和操作系统的支 持 在整个信息系统中 尽管已有了网络边界保护 但应用程序通过阻止未授 权访问的机制在其自身周围形成了一种边界 应用程序能够采取措施来阻止 检测和审计未授权的数据修改企图 即使防火墙或者网络隔离设备能够为整个 系统提供安全与保障 应用程序依然具有保护敏感信息的义务 数据是信息系统的血液 通常都保存着重要的商业信息 业务信息等 数 据安全主要是指保护数据在存储和传输过程中的机密性 真实性 实用性 完 整性 唯一性 不可否认性 生存性 构件编号 FHGJ APP 01 1 构件名称身份认证 防护强度1 防护措施接入认证方面采用普通帐号口令方式 通信双方的会话建立时必须利用密码技术进行会话初始化验证 登录失败 3 次以上需要结束会话 停用帐号 并设置系统安全日志记 录登录失败事件 构件编号 FHGJ APP 01 2 构件名称身份认证 防护强度2 防护措施采用多因素认证方式如 令牌加口令结合 多种接入认证相结合的方 式 设置连接空闲超时功能 推荐 5 分钟 防止误操作及身份认证恶意窃 取 构件编号 FHGJ APP 02 2 构件名称访问控制 防护强度2 防护措施严格按照可访问数据资源 可使用系统功能 可使用系统指令对用户 使用权限进行划分及控制 中国移动安全防护基准构建模板 17 应用系统用户的默认权限设置应按照最小化原则设置 通过对应用系统的开发 针对终端登录访问系统设置安全策略 对超 时 认证等进行识别和处理 根据用户的账号信息 设置安全策略仅 允许同一用户账号在同一时间只能有一个连接 实现通过用户或者进 程的安全属性来允许或者拒绝建立会话连接 构件编号 FHGJ APP 02 3 构件名称访问控制 防护强度3 防护措施某些权限不能同时赋予同一个用户 比如管理与审计权限不能由同一 用户承担 需根据互斥列表赋予用户合理的权限 用户的权限之间需有相互制约的机制 实现用户权限间的相互监督 保证系统安全可控 构件编号 FHGJ APP 03 2 构件名称安全审计 防护强度2 防护措施应用的安全日志的设计需包含日期和时间 类型 主体标识 客体标 识 事件的结果等 对一些特定的事件 提供系统告警 短信 邮件等多种方式的实时报 警 构件编号 FHGJ APP 03 3 构件名称安全审计 防护强度3 防护措施运用审计系统对信息进行自动审计 对数据库操作行为进行自动审计 为审计系统运用备份方案对审计记录 审计策略等内容进行备份 以 在意外数据丢失的情况下进行恢复 构件编号 FHGJ APP 03 4 构件名称安全审计 防护强度4 防护措施通过对安全审计结果进行归类及风险分析 实现安全审计结果展现 安全风险事件预警 用户行为控制等功能 构件编号 FHGJ APP 04 2 构件名称远程传输安全 防护强度2 防护措施利用加密技术对通信双方在整个数据通信过程中的数据包进行加密 报文加密 例如 对称加密算法 DES IDEA 非对称 RSA 报文完整性校验 例如 MD5 中国移动安全防护基准构建模板 18 构件编号 FHGJ APP 04 3 构件名称远程传输安全 防护强度3 防护措施应用符合国家有关部门要求密码算法对通信数据进行加密 利用加密技术对通信双方在整个数据通信过程中的数据包进行加密 报文加密 例如 对称加密算法 DES IDEA 非对称 RSA 报文完整性校验 例如 MD5 构件编号 FHGJ APP 04 4 构件名称远程传输安全 防护强度4 防护措施应用符合国家有关部门要求密码算法对通信数据进行加密 利用加密技术对通信双方在整个数据通信过程中的数据包进行加密 报文加密 例如 对称加密算法 DES IDEA 非对称 RSA 报文完整性校验 例如 MD5 应基于硬件化的设备 产生密钥 进行加解密运算 构件编号 FHGJ APP 05 构件名称自动结束通信会话 防护强度2 防护措施当通信双方中的一方在一段时间内未作任何响应 另一方应能够自动 结束会话 例如 通过对应用系统的开发 定义通信检查的时间 可 以固定到几秒一次 如果对方没有响应 将再进行第二次检测 总共 进行三次 检测失败后自动结束当前会话 构件编号 FHGJ APP 06 2 构件名称数据抵赖验证 防护强度2 防护措施保存数据发送和接收的双方提供数据接收证据 定期进行检查 构件编号 FHGJ APP 06 3 构件名称数据抵赖验证 防护强度3 防护措施引入 PKI CA 机制 能为数据发送和接收的双方提供数据接收证据 构件编号 FHGJ APP 07 构件名称业务回退恢复操作 防护强度1 防护措施实现业务的 回退 撤消操作 的功能 构件编号 FHGJ APP 08 中国移动安全防护基准构建模板 19 构件名称系统状态保护 防护强度3 防护措施提供系统自动防护的功能 当有故障发生时 对现场状态进行保护 构件编号 FHGJ APP 09 构件名称应用并发会话数限制 防护强度2 防护措施对应用程序的最大并发会话连接数进行限制 针对每个用户进行会话数 的限制 仅允许一个用户的会话数在一定的范围内 这个范围根据其 授权业务的特定进行设置 对系统在一个时间段内可能的并发会话数 进行限制 时间段基本分为忙时 闲时等 构件编号 FHGJ APP 10 构件名称系统资源告警 防护强度1 防护措施实现对系统的资源 包括运算能力 存储能力等 进行检测 根据业 务系统的特点和系统的具体性能指标定义一个资源危险等级 即最小 值 当低于这个值时用邮件 短信等多种方式向管理员报警 构件编号 FHGJ APP 11 1 构件名称代码编写安全 防护强度1 防护措施要求开发人员参照规范编写代码 构件编号 FHGJ APP 11 2 构件名称代码编写安全 防护强度2 防护措施要求开发人员参照规范编写代码 编写完成后对应用程序代码进行安全脆弱性分析 确认脆弱性不会被 利用 构件编号 FHGJ APP 11 3 构件名称代码编写安全 防护强度3 防护措施要求开发人员参照规范编写代码 编写完成后对应用程序代码进行安全脆弱性分析 确认脆弱性不会被 利用 应对应用代码进行穿透性测试 确定可以抵御攻击者发起的攻击 构件编号 FHGJ APP 11 4 构件名称代码编写安全 防护强度4 防护措施要求开发人员参照规范编写代码 中国移动安全防护基准构建模板 20 编写完成后对应用程序代码进行安全脆弱性分析 确认脆弱性不会被 利用 应对应用代码进行穿透性测试 确定可以抵御攻击者发起的攻击 应对应用代码进行严格的代码复审 识别可能存在的隐蔽信道 应对应用代码进行严格的检查 检测软件包中可能存在的恶意代码 构件编号 FHGJ APP 12 防护名称系统认证 防护强度1 防护措施对管理数据 鉴别信息 用户数据在传输过程中的进行身份检查 构件编号 FHGJ APP 13 防护名称远程传输安全 防护强度2 防护措施如果这些数据有跨越广域网的网络通信方式存在 应采用 VPN 技术 在通信双方建立专用的数据通道 对传输的数据进行加密 防止在传 输过程中数据被篡改 删除 插入等情况发生 构件编号 FHGJ APP 14 3 防护名称数据完整性检查 防护强度3 防护措施实现数据 管理数据 鉴别信息 用户数据 在存储过程中的完整性 检测 当检测到有错误发生时启用恢复措施对数据进行恢复 在数据 的存储方式中使用数据存储效验的技术对其进行完整性检查 如使用 代存储效验功能的 RAID 方式 构件编号 FHGJ APP 14 4 防护名称数据完整性检查 防护强度4 防护