高速公路收费并网安全检测规程

联网收费系统省域系统并网接入网络安全检测规程 1 1 1 3 5 5 5 为规范联网收费系统省域系统并网接入网络安全管理，保障取消省界站中安全建设合规达标及联网收费系统长期稳定运行，制定本检测规程。本规程用于取消高速公路省界收费站工作中新改建的发行等系统并网接入全国联网收费系统专网时，对《联网收费系统省域系统并网接入网络安全基本技术要求》的符合性进行检测，旨在核验取消省界站中省域系统网络架构、安全策略、设备配备等是否具备并网接入安全条件。软件功能性的并网接入不适用本规程。二、检测依据并网接入网络安全检测主要依据以下标准和规范进行：（一）时间要求。并网接入网络安全检测，省域系统应在接入全国中心生产系统前完成。（二）检测机构要求。并网接入网络安全检测应由国家有关部门认可的网络安全等级保护测评或信息安全风险评（三）安全保密要求。应符合《收费公路联网收费系统网络安全管理暂行办法》对第三方服务安全管理的有关要求。签署保密协议，明确安全责任，防止敏感信息泄露。（四）等级保护要求。省联网中心、ET四、检测方法与结果判定（一）检测方法并网接入网络安全检测应对照《并网接入网络安全符合测，检测方法可采用访谈、文档核查、配置核查、案例验证测试、漏洞扫描测试、渗透性测试等方式。不符合则检测结论为“不通过”；4．省联网中心、ETC发行系统符合率低于90%五、检测组织及接入管理各省（区、市）按照分级检测、抽测复核、核准实施、整体接入的方式开展检测及接入管理工作。（一）省域自检测。ETC发行等系统的等级保护测评、技术要求符合性检测，由各省（区、市）结合实际情况自行组织实施。功能或与全国中心系统直连的区域/路段中心系统，应实现100%检测，对其余区域/路段中心系统可采用抽检方式检3．在设计单位相同且建设施工单位也相同的条件下，对收费站系统ETC门架系统的检测可采用抽检方式开展1．在省域自检测完成后，由省联网中心或其上级单位向部路网中心提出省域系统整体并网接入申请。2．由部路网中心对申请接入的省域系统开展复核，方式包括不限于现场技术检测、调阅文档、询问有关工作人员3．如果复核通过，则组织省域系统整体接入；如果复核不通过，由部路网中心通知申请单位开展自查及整改，并重新提交并网接入申请。六、其他要求1．全国中心系统按照国家关键信息基础设施进行保护，全面落实等级保护第三级要求，并适当予以增强，等级保护测评报告应为“优”级别，由部公路局和科技司负责监2．对在技术检测过程中弄虚作假的第三方服务机构，要严肃追究责任，并向全行业通报。5并网接入网络安全符合性检测细则*机房出入口应配置电子门禁系统，控务生产控制类）与其他业务应用（业2.联网收费业务应用和外部单位存在6便捷管理和集约管控的原则为各网络机、防火墙等未提供硬件冗余（至少机、防火墙等未提供硬件冗余（至少有通信线路冗余及完整的网络通2.与互联网区域边界隔离设备本单位3.与互联网区域边界隔离设备访问控2.与互联网区域边界隔离设备本单位3.与互联网区域边界隔离设备访问控1.在部省、省站的通信过程中未配备其他具有相同功能的设备，且未采用1.在部省、省站的通信过程中未配备7边界访问控制设备不一定必须是边界访问控制设备不一定必须是相关功能能够提供相应的检测报机或者带ACL功能的负载均衡器等设备实现，可根据系统重要程如接入的区域有严格的物理访问控制，采用静态IP地址分配，关外联可能较小，相关设备上的USB接口、无线网卡等有管控措数据流通过边界设备提供的受控接口3.无任何控制措施，控制措施包括限未配备终端管控系统、网络准入系统83.无任何控制措施，控制措施包括限访问控制列表未达到传输层端口级访关键网络节点（如核心服务器区与其他内部网络区域边界处）未采取任何防护措施，无法检测、阻止或限制从可通过路由器、交换机或者带ACL功能的负载均衡器等设备实如核心服务器区与其他内部网络之间部署了防火墙等访问控制设生内部网络攻击可能性较小或有略库保持更新，可判定为部分符9关键网络节点如收费专网与外部网络处无入侵防御、防火墙等从外部网络发起的攻击行为进行检测、阻断或限满足条件（同时满足）：关键网络节点如收费专网与外部网络处无入侵防御、防火墙等从外部网络发起的攻击行为进行检测、阻断或限满足条件（同时满足）：1.网络设备具有一定的监测预警2.建有网络安全监测预警或态势1.网络设备具有一定的监测预警2.建有网络安全监测预警或态势1.如主机层部署恶意代码检测和清除产品，且恶意代码库保持更即使未部署恶意代码检测和清除入侵检测设备无法自动防止、限制内入侵检测设备无法自动防止、限制内从而在网络边界、重要网络节点无法对重要的用户行为和重要安全事件进满足条件（任意条件）：终端及应用等计算环境的用户存在空重要核心设备、操作系统等未采用两种或两种以上鉴别技术对用户身份进行鉴别。例如仅使用用户名/口令方式其他具有安全审计功能的设备具安全管理中心对审计记录进行集其他具有安全审计功能的设备具安全管理中心对审计记录进行集意用户使用该空/弱口令帐号无法意用户使用该空/弱口令帐号无法2.采用两重用户名/口令认证措施一、网络设备、安全设备、服务器、中间件、数据库、终端及应用系统。一、网络设备、安全设备、服务器、中间件、数据库、终端及应用系统。通过渗透测试或常用/弱口令尝试，发现应用系统中存在可被登录弱口令帐3.攻击者可利用登录界面进行口令猜d)*应启用登录失败处理功能，登录失部省通信的计算设备、安全防护设备未实现双向身份认证，如基于数字证录系统的情况下，非授权访问系统重部省通信的计算设备、安全防护设备未实现双向身份认证，如基于数字证录系统的情况下，非授权访问系统重f)应为与全国中心之间进行通信的计访问控制策略规定主体对客体的访问f)访问控制的粒度应达到主体为用户a)*应启用安全审计功能，审计覆盖到系统访问控制策略存在缺陷，可越权访问系统功能模块或查看、操作其他用户的数据。如存在平行越权漏洞，低权限用户越权访问高权限用户所能应用系统无任何日志审计功能，重要数据库等未开启任何审计功能，无法2.无其他技术手段对重要的用户行为具备堡垒机或其他相应权限管理1.如使用堡垒机或其他第三方审2.如通过其他技术或管理手段能其他具有安全审计功能的设备具安全管理中心对审计记录进行集通过人机接口输入或通过通信接口输关闭、阻断对默认共享和高危端络或采用多种身份鉴别方式等技1.可通过不可控网络环境远程进行管2.未采取技术手段对管理终端进行管控（管控措施包括但不限于终端接入只有在相关设备所在的物理、网只有在相关设备所在的物理、网通过验证测试或渗透测试能够确认并利用的，可对网络设备、安全设备、操作系统、数据库等造成重大安全隐提权漏洞、远程代码执行、严重逻辑对应用服务器、数据服务器等无入侵病毒库一个月以上未更新至最新病毒主机防恶意代码产品与网络防恶意代码产品为同一品牌或使用相同的恶意网络层面具备入侵检测/防御设的补丁更新/测试计划，且有历史业或系统特性，可判定为部分符2.恶意代码防范可与网络安全部分中的入侵防范和访问控制措施3.如具备管控十分严格的网络环性1.数据在传输和存储过程中无任何完在数据完整性受到破坏时能够实如使用国家主管部门认可的网络加密的技术确保数据在加密通道1.数据在传输和存储过程中无任何完在数据完整性受到破坏时能够实如使用国家主管部门认可的网络加密的技术确保数据在加密通道重要业务数据等以明文方式在不可控重要业务数据等以明文方式在不可控应用系统未提供任何数据备份措施，一旦遭受数据破坏，无法进行数据恢性性一般来说同城异地机房直接距离一般来说同城异地机房直接距离系统无异地数据备份措施，或异地备关键业务数据（交易和清分数据、拆分数据等）处理系统无热冗余，发生进行了有效加密/脱敏处理的，并a)敏感数据释放或清除机制存在缺a)敏感数据释放或清除机制存在缺未配备堡垒机或具有其他相同功能设备，导致系统管理员、审计管理员、安全管理员可直接对系统资源配置、安全审计、安全策略进行配置；且操如使用本地内部可控网络可降低无任何监控措施，发生故障也无法及未对安全策略、恶意代码、补丁升级无法对网络中发生的安全事件（包括但不限于网络攻击事件、恶意代码传12345672.无法配置通信传输、边界防护、入侵防范2.边界访问控制措施配置不当，存在较大安3.边界控制措施失效，无法起到访问控制功2.虚拟网络边界访问控制措施配置不当，存3.虚拟网络边界控制措施失效，无法起到访可通过路由器、交换机或者带ACL功能的负载均衡器等设备其他具有安全审计功能的设备其他具有安全审计功能的设备其他具有安全审计功能的设备其他具有安全审计功能的设备通过虚拟机自带防火墙设置访问控制策略，可判定为部分符9计别制范未实现双向身份认证，如基于数字证书的双2.不同虚拟机之间无法进行访问控制策略设1.无法检测到新建虚拟机、重启虚拟机等行增配国家主管部门认可的加密增配国家主管部门认可的加密障在完整性受到破坏时能够实如使用国家主管部门认可的网络加密的技术确保数据在加密通过分析造成信息泄露的难度护1.虚拟机在迁移过程中无任何完整性保护措和影响程度，可判定为部分符1.业务系统及数据无法迁移到其他云计算无任何监控措施，发生故障也无法及时对故12345678求出服务组件使用的用户存在空口令或弱口无法对提供的辅助工具或服务组件进行管使用该空/弱口令帐号无法直接登录相关12345*机房出入应对外来人员进行身份核实，并a)*应通过交换机或防火墙等设施至少划分与全国中心、省联网中心、区域/路段中心、ETC门架系统连接的交换机、防火存在收费专网与互联网数据交互的业务配备摄像头实时监控，可判定具备通信线路冗余及完整的网应用层采用完整性校验措施，密码技术满足国家密码管理局应用层采用保密保护措施，密码技术满足国家密码管理局要边界访问控制设备不一定要是防火墙，只要是能实现相关的访问控制功能，形态为专用设备，且有相关功能能够提供相应用层采用保密保护措施，密码技术满足国家密码管理局要边界访问控制设备不一定要是防火墙，只要是能实现相关的访问控制功能，形态为专用设备，且有相关功能能够提供相应的检测报告，可视为等效措交换机或者带ACL功能的负载均衡器等设备实现，可根据系统重要程度，设备性能压力如接入的区域有严格的物理访a)*应保证跨越网络区域边界的访问和数据a)*应保证跨越网络区域边界的访问和数据a)b)可非授权接入网络重要区域，如服务9d)*收费专网一般应禁止无线局域网络的a)物理、网络等环境不可控，存在非授b)重要核心管理终端、重要业务终端等b)未采用有效认证技术确保移动设备的访问控制列表未达到传输层端口级访问如物理、网络等环境可控，非授权外联可能较小，相关设备管控措施，对网络异常进行监控及日志审查，可判定为部分可通过具备ACL功能的路由器、交换机等设备实现访问控不符合判例b)*应在网络中进行检测从内部发起的网络b)*应在网络中进行检测从内部发起的网络d)*应启用登录失败处理功能，登录失败后部网络区域边界处）未采取任何防护措施，无法检测从内部发起的网络攻击行端及应用等计算环境的用户存在空口令通过渗透测试或常用/弱口令尝试，发现如网络设备设置较严格的访问控制策略，且发生内部网络攻击可能性较小，可判定为部分如采用双因素认证等管控手帐号无法直接登录相关设备，如采用双因素认证等管控手帐号无法直接登录相关设备，1.如整个远程管理过程中，只能使用加密传输通道进行鉴别2.如采用多因素身份认证、访问地址限定、仅允许内部可控网络进行访问的措施时，窃听到口令而无法直接进行远程登3.如通过其他技术管控手段为管理等），降低数据窃听隐4.在有管控措施的情况下，如果默认采用加密进行管理，但同时也开启非加密管理方式，根据实际管理情况，可判定为a)如使用堡垒机或其他第三方审计工具进行日志审计，能有效记录用户行为和重要安全b)如通过其他技术或管理手段能对事件进行溯源的，可视其他具有安全审计功能的设备具有审计记录。可判定为部分安全管理中心对审计记录进行通过防火墙、入侵防御等防护设备关闭、阻断对默认共享和高危端口访问，可判定为部分如管理终端部署在运维区、可控网络或采用多种身份鉴别方2.无其他技术手段对重要的用户行为和2.无其他技术手段对重要的用户行为和满足条件（任意条件）：操作系统上的多余系统服务/默认共享/高危端口存在可被利用的高风险漏洞或重a)可通过不可控网络环境远程进行管b)*应关闭不需要的系统服务、默认共享和b)未采取技术手段对管理终端进行管控未对各类硬件设备的外接接口进行限制式等技术措施，可降低终端管控不善所带来的安全风险的，性性2.可与网络层的入侵防范和访2.可与网络层的入侵防范和访问控制措施相结合来综合评定风险，如网络层部署了恶意代码防范设备，可判定为部分符3.如具备管控十分严格的网络在数据完整性受到破坏时能够实施数据重传，并对存储的数据采取多重备份，可判定为部毒库一个月以上未更新至最新病毒库版主机防恶意代码产品与网络防恶意代码产品为同一品牌或使用相同的恶意代码1.数据在传输和存储过程中无任何完整性如使用国家主管部门认可的网络加密的技术确保数据在加密如采取区域隔离、部署数据库防火墙、数据防泄露产品等安全防护措施的，可对通过分析造成信息泄露的难度和影响程123456），属性信息的注册管理，以及与部、省联网中心之间基于国产密码算法数字证书设备可以与目标地址以外的地址进行通终端及应用等计算环境的用户存在空口意用户使用该空/弱口令帐号无法意用户使用该空/弱口令帐号无法7893.攻击者可利用登录界面进行口令猜1.如整个远程管理过程中，只能使用加密传输通道进行鉴别信息传2.如采用多因素身份认证、访问地3.如通过其他技术管控手段（如准，，4.在有管控措施的情况下，如果默3.ETC门架123451.计算设备和通信设备布设环境不具2.计算设备和通信设备布设环境不具未通过有线通信网络与门架设备连无任何措施对箱体开启进行监测、防制制ETC门架系统室外设备的工作环境不与收费站连接的交换机、防火墙等未ETC门架系统室外设备的工作环境不与收费站连接的交换机、防火墙等未3.网络区域边界隔离设备访问控制措边界访问控制设备不一定要是防火如通过路由器、交换机或者带ACL在与全国中心、省联网中心通信过程2.可非授权接入网络重要区域，如服未配备终端管控系统、网络准入系统2.重要核心管理终端、重要业务终端等关键设备存在私自外联互联网可访问控制列表未达到传输层端口级访如接入的区域有严格的物理访问控关键网络节点未配备网络攻击检测设关键网络节点未配备网络攻击检测设器和计算机终端等管理员用户存在空用户使用空口令帐号无法直接登录用户使用该空/弱口令帐号无法直接用户使用空口令帐号无法直接登录用户使用该空/弱口令帐号无法直接一、网络设备、安全设备、服务器、中间件、数据库、终端及应用系统。现应用系统中存在可被登录弱口令帐一、网络设备、安全设备、服务器、中间件、数据库、终端及应用系统。现应用系统中存在可被登录弱口令帐3.攻击者可利用登录界面进行口令猜加密管理方式，可根据实际管理情全设备、操作系统、数据库等未开启任何审计功能，无法对用户的重要行2.无其他技术手段对重要的用户行为1.如使用堡垒机或其他第三方审计其他具有安全审计功能的设备具有对默认共享和高危端口，可视同符各类硬件设备的外接接口进行限制2.可与网络层的入侵防范和访问控存在不必要的系统服务、默认共享和操作系统上的多余系统服务/默认共享/USB介质等管控措施较好，可判定性性123456），未通过部署接入防护设备实现对IP/MAC地址等属性信息的注册管国产密码算法数字证书的可信身份设备可以与目标地址以外的地址进终端及应用等计算环境的用户存在空口令或弱口令账户，并可以登录。制定严格的设备管理接入制度，可如采用双因素认证等管控手段，恶意用户使用该空/弱口令帐号无法直接登录相关设备，可判定为部分如采用双因素认证等管控手段，恶意用户使用该空/弱口令帐号无法直接登录相关设备，可判定为部分现应用系统中存在可被登录弱口令d）*具有登录失败和登录超时处理功d）*具有登录失败和登录超时处理功3.攻击者可利用登录界面进行口令猜1.如整个远程管理过程中，只能使用加密传输通道进行鉴别信息传输2.如采用多因素身份认证、访问地2.如采用多因素身份认证、访问地址限定、仅允许内部可控网络进行访问的措施时，窃听到口令而无法直接进行远程登录的，可判定为部3.如通过其他技术管控手段（如准降低数据窃听隐患的，可判定为部4.在有管控措施的情况下，如果默认采用加密进行管理，但同时也开启非加密管理方式，可根据实际管1.通过不可控网络环境远程进行管1234a)*机房出入应对外来人员进行身份核a)*应通过交换机或防火墙等设施至少划机房无电子或机械门锁，机房入口也无专人值守，办公或外来人员可随意进出有相同功能的设备，且未采用校验技术配备摄像头实时监控，可视施，密码技术满足国家密码采用应用层加密保护措施，密码技术满足国家密码管理边界访问控制设备不一定要是防火墙，只要是能实现相关的访问控制功能，形态为专用设备，且有相关功能能够提供相应的检测报告，可的负载均衡器等设备实现，可根据系统重要程度，设备性能压力等因素，可视同符如接入的区域有严格的物理分配，关闭不必要的接入端如物理、网络等环境可控，非授权外联可能较小，相关卡等有管控措施，对网络异常进行监控及日志审查，可酌情降低风险等级，可判定据流通过边界设备提供的受控接口进行据流通过边界设备提供的受控接口进行未配备终端管系统、网络准入系统导致892.未采用有效认证技术确保移动设备的访问控制列表未达到传输层端口级访问关键网络节点如收费专网与监控网等外部网络处无防火墙等从外部网络发起的关键网络节点（如核心服务器区与其他内部网络区域边界处）未采取任何防护措施，无法检测从内部发起的网络攻击可通过具备ACL功能的路由器、交换机等设备实现访问如网络设备设置较严格的访问控制策略，且发生内部网络攻击可能性较小，可判定对远程访问的用户行为单独进行行为审未部署网络审计系统、日志审计系统，从而在网络边界、重要网络节点无法对重要的用户行为和重要安全事件进行日其他具有安全审计功能的设备具有审计记录，可视同符其他具有安全审计功能的设备具有审计记录，可视同符安全管理中心对审计记录进如采用双因素认证等管控手令帐号无法直接登录相关设如采用双因素认证等管控手令帐号无法直接登录相关设满足条件（任意条件）：登录网络、服务器、中间件、数据库、终端及应用等计算环境的用户存在空口只能使用加密传输通道进行鉴别信息传输的，可视为等只能使用加密传输通道进行鉴别信息传输的，可视为等访问地址限定、仅允许内部时，窃听到口令而无法直接进行远程登录的，可判定为（如准入控制、桌面管理、行为管理等），降低数据窃听隐患的，可判定为部分符理，但同时也开启非加密管理方式，可根据实际管理情系统的情况下，非授权访问系统重要功用系统无任何日志审计功能，重要核心网络设备、安全设备、操作系统、数据库等未开启任何审计功能，无法对用户2.无其他技术手段对重要的用户行为和满足条件（任意条件）：a)如使用堡垒机或其他第三方审计工具进行日志审计，能有效记录用户行为和重要b)如通过其他技术或管理手段能对事件进行溯源的，其他具有安全审计功能的设备具有审计记录，可视同符安全管理中心对审计记录进范围对通过网络进行管理的管理终端进通过防火墙、入侵防御等防护设备关闭、阻断对默认共享和高危端口，可判定为部如管理终端部署在运维区、可控网络或采用多种身份鉴别方式等技术措施，可降低终端管控不善所带来的安全有完备的补丁更新/测试计划，且有历史计划执行记录行业或系统特性，可判定为b)可与网络安全部分中的入侵防范和访问控制措施相结合来综合评定风险，如网络层部署了恶意代码防范设操作系统上的多余系统服务/默认共享/高危端口存在可被利用的高风险漏洞或2.未采取技术手段对管理终端进行管控（管控措施包括但不限于终端接入管对应用服务器、数据服务器等无入侵检毒库一个月以上未更新至最新病毒库版c)如具备管控十分严格的网络环境、USB介质等管控措施较好，可判定为部分符性性主机防恶意代码产品与网络防恶意代码产品为同一品牌或使用相同的恶意代码1.数据在传输和存储过程中无任何完整在数据完整性受到破坏时能够实施数据重传，并对存储的数据采取多重备份，可判如使用国家密码管理局认可的网络加密的技术确保数据在加密通道中传输，可根据如采取区域隔离、部署数据库防火墙、数