GB-T 25070-2019 中文版 信息安全技术 网络安全等级保护安全设计技术要求 - 副本

GB/T25070-2019中文版信息安全技术网络安全等级保护安全设计技术要求前言GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》为中华人民共和国推荐性国家标准，由国家市场监督管理总局、国家标准化管理委员会于2019年5月10日发布，2019年12月1日正式实施。本标准替代GB/T25070-2010旧版规范，是网络安全等级保护2.0体系核心设计类技术标准，与GB/T22239-2019《网络安全等级保护基本要求》、GB/T28448-2019《网络安全等级保护测评要求》形成完整的等保合规闭环体系。本标准立足云计算、移动互联、物联网、大数据、工业控制等新型信息化架构，重构等级保护安全设计框架，摒弃传统单一系统防护思维，构建“安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心”五域一体的纵深防御设计体系。标准明确了第一级至第四级网络安全保护对象的差异化安全设计技术要求，新增新技术、新场景专属设计规范，解决了传统等保设计无法适配云化、虚拟化、分布式架构的行业痛点。本标准是网络安全等级保护体系建设、信息系统新建改扩建安全设计、安全整改加固、安全方案编制、第三方测评核查、行业合规验收的核心技术依据，适用于党政机关、企事业单位、关键信息基础设施运营者的全品类信息系统、网络平台、业务系统安全设计工作。1范围本文件规定了网络安全等级保护对象的安全设计总体框架、通用安全设计原则、五级防护分级设计准则，以及安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五大核心域的分级技术设计要求，同时涵盖云计算、移动互联、物联网、大数据、工业控制系统等新型场景的扩展安全设计规范。本文件适用于按照网络安全等级保护制度建设的第一级、第二级、第三级、第四级保护对象的安全规划、方案设计、建设改造、架构优化、安全加固工作，为网络安全建设单位、集成商、安全服务商、测评机构、监管部门提供标准化技术设计依据。第五级保护对象可参照本标准框架结合专项要求开展定制化设计。本文件聚焦技术设计层面，不包含等级保护安全管理制度、人员管理、建设管理等管理类要求，管理类要求遵照对应等级保护管理标准执行。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）适用于本文件。GB/T25069-2022信息安全技术术语GB/T22239-2019信息安全技术网络安全等级保护基本要求GB/T28448-2019信息安全技术网络安全等级保护测评要求GB/T31167-2014信息安全技术云计算服务安全指南GB/T30976-2013工业控制系统信息安全防护指南GB/T35273-2020信息安全技术个人信息安全规范《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》3术语和定义、缩略语3.1术语和定义3.1.1等级保护对象：按照网络安全等级保护制度要求，需要实施分级保护的网络、信息系统、云计算平台、大数据平台、物联网系统、工业控制系统、移动互联系统等各类网络与信息资产载体。3.1.2安全保护环境：为等级保护对象构建的、满足对应保护等级要求的软硬件防护集合，由物理环境、通信网络、区域边界、计算环境、管理中心五大安全域组成。3.1.3安全计算环境：承载业务应用与数据的终端、服务器、数据库、操作系统、中间件、业务应用等计算载体的安全防护整体。3.1.4安全区域边界：不同安全等级、不同功能区域网络之间的边界防护设施与策略体系，实现区域隔离、访问控制、风险拦截。3.1.5安全管理中心：实现全网安全监测、态势感知、策略管控、日志审计、风险处置、运维管理的一体化安全管控平台。3.2缩略语以下缩略语适用于本文件：IDS：入侵检测系统IPS：入侵防御系统WAF：Web应用防火墙VPN：虚拟专用网络SDN：软件定义网络NFV：网络功能虚拟化IaaS：基础设施即服务PaaS：平台即服务SaaS：软件即服务4安全设计总体要求4.1设计原则4.1.1合规适配原则：安全设计需严格匹配对应等级保护级别要求，全面覆盖基本要求条款，适配业务场景、系统架构与部署模式，杜绝过度设计、缺失设计。4.1.2纵深防御原则：构建多维度、多层次、全链路防御体系，通过物理、网络、边界、主机、应用、数据、管理多层防护，实现风险分层拦截、逐级管控，避免单点防护失效导致整体安全崩塌。4.1.3最小权限原则：网络访问、设备运维、系统操作、数据调用、接口访问均遵循最小必要权限，严控越权访问、泛化授权，从源头降低安全风险。4.1.4业务兼容原则：所有安全设计、防护策略、安全设备部署不得影响业务正常运行、实时性、可用性，兼顾安全合规与业务连续性。4.1.5可管控可追溯原则：安全设计需实现全流程可监控、全操作可审计、全风险可追溯，支撑安全运维、事件处置、合规核查与责任认定。4.1.6动态迭代原则：安全架构具备可扩展、可迭代能力，适配业务升级、架构改造、新型安全风险迭代更新。4.2分级设计准则第一级（自主保护级）：基础安全防护设计，满足基本网络安全运行需求，依靠自主管理实现基础风险防控，适用于低风险、非重要业务系统。第二级（指导保护级）：标准化基础防护设计，具备完善的基础安全策略、审计能力与运维机制，适用于一般业务、普通办公系统。第三级（监督保护级）：强化纵深防御设计，具备主动监测、入侵防御、数据防护、集中管控、应急处置能力，是政企核心业务主流防护等级，需常态化合规测评。第四级（强制保护级）：最高强度技术防护设计，具备抗高级持续性攻击、全方位冗余容灾、精准态势感知、强制安全管控能力，适用于关键信息基础设施、核心涉密关联、重大民生业务系统。4.3整体设计框架本标准统一采用五域一体安全设计框架，五大安全域相互协同、层层防护，覆盖保护对象全架构、全链路、全生命周期，分别为：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。同时针对云、移动、物联网、大数据、工控场景提供扩展设计要求。5第一级安全设计技术要求5.1安全物理环境机房及设备区域需落实基础物理防护，配备基础门禁、防盗、防尘、防潮设施；合理管控设备物理访问，禁止无关人员随意接触核心设备；保障基础供电、温湿度环境稳定，避免环境异常导致设备故障。5.2安全通信网络网络架构简洁合理，核心网络设备稳定可靠；划分基础网络区域，规避网络混乱风险；关闭设备非必要端口与冗余服务，落实基础网络安全配置；保障基础网络传输稳定，无明显安全漏洞。5.3安全区域边界落实基础边界访问控制，配置简易访问策略，拒绝非法访问；开启基础流量监测能力，及时发现异常网络行为；实现内外网基础隔离，规避直白的网络攻击风险。5.4安全计算环境主机、终端、应用系统设置基础账号密码，禁用默认弱口令；关闭系统无用服务与端口；落实基础病毒查杀、漏洞修复机制；保障业务数据基础完整性，避免数据随意丢失、篡改。5.5安全管理中心具备基础运维管理能力，留存关键操作日志；落实基础安全巡检机制，及时发现并处置基础安全隐患。6第二级安全设计技术要求6.1安全物理环境机房实行封闭式管理，部署门禁系统、视频监控系统，留存人员出入记录；配备防雷、防静电、防火、防水、防尘设施；配备不间断供电设备，保障设备断电后短时持续运行；划分设备区域、运维区域，实现区域隔离；定期开展机房环境巡检。6.2安全通信网络规范网络架构设计，区分生产区、办公区、运维区，实现区域逻辑隔离；网络设备、链路具备冗余能力，规避单点故障；核心网络设备定期开展配置加固、漏洞修复；重要业务数据传输采用加密方式，防止明文泄露；规范VLAN划分，缩小风险扩散范围。6.3安全区域边界网络边界部署防火墙设备，精细化配置访问控制策略，默认拒绝所有非必要访问；开启边界流量监测、异常访问告警能力；对外服务端口严格管控，关闭高危端口；实现边界访问日志留存，记录访问源、访问目的、访问行为；禁止非法设备接入内网区域。6.4安全计算环境6.4.1主机安全：服务器、终端系统全面加固，修改默认账号、禁用弱口令、关闭冗余服务；安装主机安全防护软件，定期病毒查杀、补丁更新；落实账号分级管理，一人一号，禁止共享账号；留存系统登录、操作日志。6.4.2应用安全：业务应用做好权限管控，禁止越权操作；修复Web常见漏洞（SQL注入、XSS跨站、弱口令等）；应用操作全程日志留存；禁止非法插件、未知程序运行。6.4.3数据安全：核心业务数据定期备份，保障数据可恢复；重要数据做好存储防护，避免随意泄露；数据操作留痕，规范数据导出、使用行为。6.5安全管理中心搭建基础安全审计体系，集中留存网络、主机、应用日志；建立常态化安全巡检机制，定期开展漏洞扫描、风险排查；落实基础权限管理、运维管控，规范日常运维操作。7第三级安全设计技术要求第三级为政企核心业务主流防护等级，需全面落实纵深防御、主动防护、集中管控、持续迭代设计要求，各安全域设计标准显著高于二级，具备完整的风险预警、入侵防御、应急处置能力。7.1安全物理环境机房按照标准化机房规范设计，实行7×24小时视频监控、门禁管控，出入人员实名登记、权限分级；配备精密空调、UPS不间断电源、消防系统、防雷接地系统；核心设备物理上锁、防拆防护；机房实现环境监测、告警联动，对温湿度、电力、烟火、入侵行为实时告警；设备线缆规范布线、标识清晰，规避线路故障与物理攻击风险。7.2安全通信网络网络架构采用分层、分区、冗余设计，核心层、汇聚层、接入层架构清晰，不同安全等级业务严格隔离；核心网络设备、关键链路双机热备、冗余备份，杜绝单点故障；采用可信网络传输机制，重要业务、控制指令全程加密传输；部署网络流量分析设备，实现全网流量可视化监测；规范网络地址规划、路由策略，禁止非法路由接入；云、虚拟化场景需适配虚拟网络隔离、流量管控设计。7.3安全区域边界内外网边界、区域边界部署工业级防火墙、IPS入侵防御系统、WAF应用防护系统，实现访问控制、协议过滤、入侵拦截、攻击防御；精准配置白名单策略，最小化边界暴露面；开启DDoS防护能力，抵御流量攻击、资源耗尽攻击；对边界访问、数据交互、接口调用全程审计、日志留存；虚拟机、云资源迁移场景需实现安全策略同步迁移；禁止高危端口、高危服务对公网暴露。7.4安全计算环境7.4.1主机与终端安全：全面落实主机基线加固、补丁管理、病毒木马防护、恶意程序拦截；核心主机启用双因素身份认证；精细化划分账号权限，严格落实最小权限、权限分离；离职账号、闲置账号及时清理；系统日志、安全日志、操作日志集中留存、不可篡改；针对服务器、终端、工控主机差异化加固，兼容业务稳定性。7.4.2应用与中间件安全：业务系统、Web应用、中间件开展专项安全设计，彻底修复注入、跨站、越权、文件上传、命令执行等高危漏洞；落实应用权限分级、操作审计、异常拦截；禁止破解版、未知来源软件部署；应用更新、版本迭代需经过安全测试、审批备案。7.4.3数据安全与备份：落实数据分类分级防护，敏感数据加密存储、脱敏使用；建立全量备份、增量备份机制，核心数据异地备份；定期开展备份恢复测试，保障数据可用性；严控数据导出、外发、共享行为，全程审计留痕；防止数据篡改、丢失、泄露、滥用。7.5安全管理中心搭建一体化安全管理中心，集成集中管控、安全审计、态势感知、风险预警、运维管理能力；实现全网设备、主机、应用、日志集中采集、统一分析；建立风险告警、研判、处置闭环机制；统一管理全网安全策略，实现策略下发、更新、废止统一管控；落实运维集中堡垒机管控，所有运维操作全程录屏、审计、追溯；定期输出安全态势报告、风险整改报告。8第四级安全设计技术要求第四级针对关键信息基础设施、核心涉密关联系统、重大公共服务系统，采用最高强度安全设计，具备抵御高级持续性威胁（APT）攻击、系统性入侵、大规模风险扩散的能力，实现主动防御、智能防护、强制管控、全域容灾。8.1安全物理环境采用高等级专用机房建设标准，落实物理隔离、多重门禁、身份核验、人防技防结合防护；实现机房环境、电力、消防、安防全方位自动化监测与联动处置；核心设备双设备、双链路、双电源冗余；具备防物理渗透、防恶意破坏、防电磁泄露能力；人员出入实行双人审批、全程监护、全程记录。8.2安全通信网络全网采用可信、可控、可验证的安全网络架构，实现网络层级强制隔离、业务域强制隔离；全网链路、核心设备多重冗余，实现故障自动切换、无感知容错；采用加密、认证、完整性校验三重传输防护，杜绝链路劫持、数据篡改、中间人攻击；具备高级流量清洗、异常行为智能识别、隐蔽攻击检测能力；适配SDN、NFV虚拟化网络安全动态管控设计。8.3安全区域边界部署高级入侵防御、智能WAF、下一代防火墙、流量溯源分析设备，具备APT攻击、0day漏洞利用、高级恶意报文识别拦截能力；边界策略强制最小化、定期自动审计清理；实现跨区域访问全程加密、全程认证、全程溯源；对异常登录、批量访问、高频操作、隐蔽隧道攻击实时拦截、告警、阻断；杜绝一切非必要边界暴露与非法穿透。8.4安全计算环境全网主机、应用、数据库实现可信启动、可信运行、可信管控；系统漏洞、配置风险实时监测、自动修复；账号权限动态管控、智能风控，异常权限自动冻结；业务应用具备自我防护、自我校验、异常自愈能力；核心数据采用高强度加密、多副本异地容灾、实时备份；数据操作全程智能审计，异常行为自动拦截处置；杜绝越权访问、数据泄露、程序篡改风险。8.5安全管理中心构建高级态势感知与安全运营中心，实现全网安全风险全景可视、智能研判、自动处置；具备APT攻击溯源、威胁情报联动、全网策略自动优化能力；实现安全运维、事件处置、漏洞治理、权限管控、合规审计全流程自动化闭环；支持监管数据对接、安全事件实时上报；具备7×24小时不间断安全运营能力。9新技术新场景扩展安全设计要求9.1云计算安全设计要求云平台需落实多租户强制隔离，实现计算、存储、网络、数据租户隔离，防范租户逃逸、跨租户攻击；虚拟网络策略随虚拟机迁移自动同步；云主机、云存储、云数据库落实专属安全加固策略；云资源访问、镜像使用、快照管理全程审计；云平台具备弹性安全防护能力，适配资源弹性伸缩场景；区分云服务商与租户安全责任边界，分层落实防护设计。9.2移动互联安全设计要求移动终端接入内网需经过专属安全通道、身份认证、设备合规检测；移动应用做好安全加固、防篡改、防逆向；移动数据传输全程加密，禁止明文传输敏感数据；管控移动设备接入权限，实现设备绑定、准入白名单；移动操作全程审计，异常接入实时拦截。9.3物联网安全设计要求物联网终端接入前开展身份认证、合法性校验；终端数据采集、传输、上报全程防护，