整理当前数据库安全现状及其安全审计

当前数据库安全现状及其安全审计

整理表

姓名:

职业工种:

申请级别:

受理机构:

填报日期:

UDC

P GB XXXX -XXXX

（征求意见稿 ）

中华人民共和国国家标准

互联网网络安全设施技术标准 Technical Standard for Internet Security Facilities

20X X -X X -X X 发布 20X X -X X -X X 实施

中华人民共和国住房和城乡建设部

中华人民共和国国家质量监督检验检疫总局 联合发布

中华人民共和国国家标准

互联网网络安全设施技术标准

Technical Standard for Internet Security Facilities

GB XXXX-20XX

主编部门：中华人民共和国工业和信息化部

批准部门：中华人民共和国住房和城乡建设部

施行日期：20XX年XX月XX日

XXXXXX出版社

20XX 北京

中华人民共和国住房和城乡建设部公告

第XXX号

关于发布《互联网网络安全设施技术标准》的通知

现批准《互联网网络安全设施技术标准》为国家标准，编号为GB XXXX-20XX，自20XX年XX月XX日起实施。

本规范由XXXXXX出版社出版发行。

中华人民共和国住房和城乡建设部

二〇XX年X月X日

前言

根据住房和城乡建设部《关于印发2017年工程建设标准规范制修订及相关工作计划的通知》（建标[2016]248号）的要求，由中通服咨询设计研究院有限公司、华信咨询设计研究院有限公司、广东省电信规划设计院有限公司、广州宏亮信息技术有限公司会同有关单位共同编制而成。

本规范在编制过程中，结合《中华人民共和国网络安全法》关于网络安全“三同步”的相关要求，认真总结了近年来我国互联网网络安全工程建设的经验和教训，参考和借鉴了国内外有关标准，在广泛征求意见的基础上，经反复审查定稿。

本规范共分为7章，主要内容包括：总则、术语和符号、网络安全工程规划、网络安全工程设计、网络安全工程施工要求、网络安全工程验收、网络安全设施运行维护。

本规范由住房和城乡建设部负责管理和对强制性条文的解释，工业和信息化部信息通信发展司负责日常管理工作，中通服咨询设计研究院有限公司负责具体技术内容的解释。在执行本规范过程中，请各单位结合工程实践，注意发现问题，总结经验，积累资料，随时将有关意见和建议反馈给中通服咨询设计研究院有限公司（地址：江苏省南京市建邺区楠溪江东街58号，邮政编码：210019），以供今后修订时参考。

本规范主编单位、主要起草人和主要审查人：

主编单位：中通服咨询设计研究院有限公司

参编单位：华信咨询设计研究院有限公司

广东省电信规划设计院有限公司

广州宏亮信息技术有限公司

主要起草人：王小鹏、董育萍、莫晓楠、梁建辉、杨波、张子扬、叶挺、李艳杰

主要审查人员：

目次

1总则2

2术语和符号3

2.1术语3

2.2符号4

3网络安全工程规划6

4网络安全工程设计7

4.1设计基本要求7

4.2安全防护设施设计要求7

4.3安全监测设施设计要求10

4.4安全审计设施设计要求13

4.5应急灾备设施设计要求15

5网络安全工程实施要求18

5.1一般要求18

5.2安全要求18

6网络安全工程验收20

6.1验收前准备20

6.2工程验收要求20

7网络安全设施运行维护23

本标准用词说明25

引用标准名录26

1.总则

1.为规范我国互联网网络安全设施建设，确保网络安全技术措施与关键信息基础设施同步规划、同步建设、同步使用，做到技术先进、经济合理、安全适用，制定本标准。

2.本标准适用于新建、改建和扩建的互联网网络安全工程。

3.互联网网络安全工程建设应贯彻国家网络安全管理方针政策和技术经济政策，符合国家相关技术体制及技术标准，同时应密切结合互联网快速发展的实际，具备快速扩容升级的能力。

4.互联网网络安全工程建设应充分调查分析和预测网络安全需求及运营维护需求，并充分考虑新业务、新技术对网络安全设施结构、能力的影响等因素。

5.互联网网络安全工程建设应充分利用已有的网络安全设施，实现共建共享并降低工程造价。

6.互联网网络安全工程建设除应执行本规范外，尚应符合国家现行有关标准的规定。

2.术语和符号

1.术语

1.互联网业务系统Internet Business System

通过计算机网络提供信息服务的业务系统，由主机、交换机、路由器、数据库、操作系统、应用软件等硬件和软件设备所组成。

2.网络安全防护设施Network Security Protection Facilities

用于保护互联网业务系统的安全性、保密性和可用性免受外部破坏的网络安全设施。

3.网络安全监测设施Network Security Detecting Facilities

用于监测互联网业务系统安全威胁、安全漏洞和安全事件等的网络安全设施。

4.安全审计设施Network Security Audit Facilities

用于对网络数据和日志进行采集记录并支持对异常行为分析取证的网络安全设施。

5.应急灾备设施Emergency Disaster Recovery Facilities

用于在网络安全事件发生后即时响应并快速恢复数据和业务的网络安全设施。

2.符号

下列缩略语适用于本规范：

英文缩写英文名称中文名称

4A Account Authentication Authorization &

Audit

统一安全管理平台解决

方案

ACK Acknowledgement 确认字符

CA Certificate Authority 证书授权中心

CC Challenge Collapsar 挑战黑洞

DoS Denial of Service 拒绝服务攻击DDoS Distributed Denial of Service 分布式拒绝服务攻击HTTP HyperText Transfer Protocol 超文本传输协议ICMP Internet Control Message Protocol 控制报文协议IMAP Internet Mail Access Protocol 交互式邮件存取协议POP3 Post Office Protocol - Version 3 邮局协议版本3 SDN Software Defined Network 软件定义网络SMTP Simple Mail Transfer Protocol 简单邮件传输协议SQL Structured Query Language 结构化查询语言SYN Synchronization 同步

TCP Transmission Control Protocol 传输控制协议

UDP User Datagram Protocol 用户数据报协议

1.网络安全设施需能保证互联网业务的稳定持续运行，能够对网络安全风险进行有效的防御、监测和审计，能够支撑安全事件应急处置和业务灾备恢复，网络安全设施应与互联网信息设施同步规划、同步建设、同步使用。

2.网络安全工程规划中应综合考虑互联网基础设施和信息系统业务发展等对网络安全防护、网络安全监测、网络安全审计、网络应急灾备的需求。

3.网络安全工程规划应根据近、远期互联网业务及网络发展规划、用户数量、网络带宽、网络资产规模、网络安全管理需求等情况测算网络安全设施的功能性能需求和建设规模。

4.网络安全工程规划应根据现有网络安全设施的建设使用情况、各互联网信息基础设施和信息系统发展规划进行综合业务预测，结合网络安全设施技术发展情况，确定网络安全设施组织方案和近、远期演进路线。

5.网络安全工程规划应处理好整体和局部的关系，全局通用的安全技术手段宜采用共建共享的模式。

6.网络安全工程规划应进行多种方案的技术经济比较。

1.设计基本要求

1.网络安全工程设计应满足互联网网络安全保障相关功能、性能、质量和工程投资等建设项目要求。

2.互联网网络安全设施需满足互联网业务可用性、完整性、保密性、可审计性等安全需求。

3.网络安全工程设计应根据所保障的互联网业务的具体特征和信息安全等级保护等相关法规的技术要求，有针对性地进行网络安全方案设计、网络安全指标设计、网络安全设施配置等工作。

4.对特定的互联网应用场景应采用定制化的网络安全设计方案。对于SDN网络，应注重网络控制器等核心部件的安全保障；对于云计算系统，应注重虚拟机的安全保障；对于物联网系统，应注重传感层设备的安全保障。

5.对于网络安全升级改造工程，应保证现网已有网络安全设施的合理利用和充分整合。

6.网络安全工程设计应优先采用成熟稳定的网络安全技术和设备，并充分考虑网络安全技术的演进及融合发展。

7.网络安全工程设计应做到安全域划分合理、纵深防御功能清晰、安全性能计算准确。

2.安全防护设施设计要求

1.互联网网络安全防护设施主要包括访问控制设施、用户认证授权设施、入侵防御设施、异常流量清洗设施、病毒过滤设施、垃圾邮件过滤设施、敏感信息加密设施等。网络安全工程设计中需根据所保障互联网业务的特点，编制相应的安全防护策略，综合采取多种安全防护设施，实现对网络攻击行为的纵深防御。

2.安全防护设施设计宜遵循以下基本步骤：

1.调查梳理网络与系统现状；

2.明确安全防护目标：包括防护对象、防护等级、性能目标和投资费用目标；

3.安全防护体系设计：包括安全域划分、防护设施配置、防护策略设计；

4.防护性能设计：包括网络攻击规模预测和防御性能配置；

5.网络安全威胁分析；

6.防护设施规划和参数设计；

7.设备选型；

8.勘察局址，确定最终方案。

1.安全防护设施设计应遵循以下原则：

1.应根据互联网业务所面临的网络安全威胁和攻击模型进行防护系统设计，在兼顾工程投资的前提下，实现高效全面的安全防护，达到纵深防御的要求；

2.应根据互联网业务发展需求构建合理的安全防护体系，能够按需对相关防护设施的功能和性能进行灵活扩容而无需对整个安全防护架构进行调整。

3.网络安全防护设施能够与网络安全监测设施进行联动，通过动态监测与主动防御相结合，实现精准化、智能化防护。

4.互联网网络安全防护设施的防护性能须与所防护的互联网业务规模相匹配，防护设施配置需不低于业务忙时和攻击峰值时的安全防护需求。

1.访问控制设施用于在关键网络节点和安全域边界按照确定的控制策略对网络访问进行管控，访问控制设施可按需以路由模式、透明模式或者混杂模式参与系统组网，访问控制策略应包括：

1.根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，允许或者拒绝数据包出入；

2.网络访问控制应设定过滤规则集，并涵盖所有出入边界数据包的处理方式，对于没有明确定义的数据包，应缺省拒绝；

3.能够根据应用层协议信息及相应的安全规则，对数据流中的每一个报文进行允许/禁止操作。

1.用户认证授权设施用于对访问特定网络目标的用户及终端进行身份认证和访问授权，身份认证宜采取静态密码、动态口令、CA证书等多因子组合认证的方式,访问授权应细化到用户级和系统资源级。用户认证授权设施的处理能力须高于业务峰值时的用户认证授权需求，避免成为业务访问性能的瓶颈。用户认证授权设施应部署于所防护的系统资源前端，并作为用户访问相关资源的唯一入口。

2.入侵防御设施可通过监视并深层次检查网络传输报文，及时发现非法的、不正常的、含攻击行为的报文并实时进行阻断，用于防御对互联网业务系统的恶意攻击。入侵防御设施可按需以透明串接模式或者旁路模式部署于系统网络中，应具有如下功能：

1.具有规范健全的特征库，能够基于攻击行为特征准确检测和防御主流的已知攻击行为；

2.支持对网络协议进行深度分析和异常检测，能够识别未知网络攻击行为；

3.能够检测如下攻击类型并能实时阻断，同时不影响正常业务流量的通过：蠕虫、恶意代码、协议异常、缓冲区溢出、SQL注入、DoS攻击；

4.能够按照IP地址、网络服务、时间、协议和攻击类型、安全风险级别等进行网络入侵行为的统计。

1.异常流量清洗设施通过流量分析、验证技术对正常业务流量和恶意攻击流量进行识别和分离，丢弃攻击流量，用于防御DDoS攻击、保障互联网业务的正常运行和访问。异常流量清洗设施宜采用旁路方式部署，并能够通过集群方式进行性能扩展，应具有如下功能：

1.能够有效防御如下几种类型的DDoS攻击：SYN Flood、ICMP Flood、ACK Flood、DNS Query Request Flood、TCP连接耗尽、HTTP Get Flood、CC、UDP Flood；

2.应支持过滤、反欺骗、异常识别、协议分析、速率限制、基线学习等DDoS过滤及防御机制；

3.能够与入侵防御设施进行联动，按照入侵防御设施的指令执行流量清洗操作。

1.病毒过滤设施通过对网络中传输的数据进行分析，及时识别病毒传输数据并进行拦截和清除，应部署于关键网络节点和安全域边界处，用于阻止病毒向内部网络传播。病毒过滤设施应具有如下功能：

1.支持HTTP、FTP、SMTP、POP3等应用协议的病毒过滤；

2.支持对常见木马、间谍软件和蠕虫病毒的拦截过滤。

1.垃圾邮件过滤设施通过对网络中传输的数据进行分析，及时识别垃圾邮件数据并进行拦截和阻止，应部署于邮件系统前端，用于阻止垃圾邮件的接收和发送。垃圾邮件过滤设施应具有如下功能：

1.支持SMTP、POP3、IMAP等邮件传输协议的垃圾邮件过滤；

2.支持基于邮件主题、发件人、收件人、抄送人、正文相关关键字的垃圾邮件过滤；

3.支持基于邮件、IP地址黑白名单及特征库进行垃圾邮件过滤拦截。

1.敏感信息加密设施用于对系统和网络中流转的敏感数据进行加密处理，预防敏感信息被泄露或窃取。敏感信息加密算法需有足够的安全强度，宜采用经权威机构认证的国有自主加密算法，且具有较高的加解密计算效率和开放的加解密接口，对互联网业务应用透明。

2.安全监测设施设计要求

1.互联网网络安全监测设施主要包括入侵检测设施、漏洞扫描检测设施、网站安全监测设施、病毒扫描检测设施、敏感信息监测设施、安全态势感知设施等。网络安全工程设计中需根据所保障的互联网业务的特点，编制相应的网络安全监测方案，综合采取多种安全监测设施，实现对安全威胁、安全漏洞和安全

事件的及时发现和分析。

2.安全监测设施设计宜遵循以下基本步骤：

1.调查梳理网络与系统现状；

2.明确安全监测目标：包括监测对象、监测内容、监测周期和投资费用目标；

3.安全监测体系设计：包括监测点的选择、监测设施配置、监测和告警策略设计；

4.监测性能设计：包括安全监测规模测算和监测性能配置；

5.监测设施规划和参数设计；

6.设备选型；

7.勘察局址，确定最终方案。

1.安全监测设施设计应遵循以下原则：

1.应根据互联网业务所面临的网络安全威胁和已有防护体系进行监测系统设计，在兼顾工程投资的前提下，实现高效全面的安全监测，达到及时发现并管控安全风险的要求；

2.应根据互联网业务发展需求构建合理的安全监测体系，能够按需对相关监测设施的功能和性能进行灵活扩容而无需对整个安全监测架构进行调整；

3.网络安全监测设施应能将监测结果及时反馈给网络安全防护设施和安全审计设施，形成一体化的安全防护和监测感知能力；

4.互联网网络安全监测设施的监测性能须与所监测的互联网业务规模相匹配，监测设施配置需不低于业务忙时和攻击峰值时的安全监测需求。

1.入侵监测设施可通过监视并深层次检查网络传输报文，及时发现非法的、不正常的、含攻击行为的报文，详细记录并实时告警。入侵监测设施可按需以透明串接模式或者旁路模式部署于系统网络中，应具有如下功能：

1.具有规范健全的特征库，能够基于攻击行为特征准确检测主流的已知攻击行

为；

2.支持对网络协议进行深度分析和异常检测，能够识别未知网络攻击行为；

3.能够按照IP地址、网络服务、时间、协议和攻击类型、安全风险级别等进行网络入侵行为的统计。

1.漏洞扫描监测设施可通过逐个端口扫描探测等方式批量检测服务器和网络设备所开放的端口和服务，通过与这些端口所开放服务的交互及时发现被监测设备在操作系统、网络服务、数据库、网络应用等方面所存在的安全漏洞，以及弱口令等安全配置问题。漏洞扫描监测设备在网络配置和安全策略设置上应能访问被监测设备的所有端口，并具有如下功能：

1.具有规范健全的特征库，能够基于各端口的交互信息准确识别所存在的安全

漏洞；

2.应采取某种措施，对系统可以扫描的IP地址进行限制，即只允许对授权地址

和地址段进行扫描；

3.可对漏洞扫描监测的结果进行查询并生成报告，并在报告中针对发现的安全

漏洞给出具体的整改建议；

4.可将漏洞信息传送给访问控制设施和病毒防护设施进行联动，及时封堵相应

网络端口并启动病毒查杀工作。

1.网站安全监测设施可按照指定的频率对WEB网站系统进行持续的安全监测，及时发现非法内容、内容篡改、恶意代码、安全漏洞、响应迟缓等安全风险。网站安全监测设施应能访问被监测网站的WEB服务端口，并具有如下功能：

1.具有规范健全的特征库，能够基于网站特征准确检测主流的网站安全漏洞、

非法内容和入侵篡改情况；

2.对监测发现的中高危漏洞、安全入侵、非法内容等安全事件能够通过邮件、

短信等方式及时告警；

3.能够按需生成针对特定网站的安全监测报告，报告的内容包括网站的基本属性、监测发现的安全风险、建议的整改措施等。

1.病毒扫描监测设施可通过定期扫描主机内存和文件系统等方式及时发现主机上存在的各类恶意软件，包括病毒、蠕虫、特洛伊木马、间谍软件等，及时告警并能够对这些恶意软件进行自动或者人工的隔离、删除等操作。病毒扫描监测设施须保持病毒特征库的实时更新，在所监测的网络范围内宜采用集中式管理中心加分布式代理的模式进行部署，管理中心应能及时统计分析监测区域内所有主机的病毒感染和处置情况。

2.敏感信息监测设施通过在终端、网络关口等处进行数据采集分析，实时监测敏感及涉密数据的泄露和传送情况，及时告警并记录敏感信息传播路径，为数据泄露的安全审计和取证提供依据。

3.安全态势感知设施通过广泛采集并分析分布在网络中的网络安全设施、网络和主机设备的日志和告警数据、关键端口的流量信息、外部威胁情报信息等，实现对网络安全的持续监测能力，及时发现各种攻击威胁与异常。同时通过建立威胁可视化及分析能力，对威胁的影响范围、攻击路径、目的、手段进行快速研判，实现有效的安全决策和响应。

2.安全审计设施设计要求

1.互联网网络安全审计设施主要包括网络审计设施、数据库审计设施、应用审计设施、用户行为审计设施等。网络安全工程设计中需根据所保障互联网业务的特点，编制相应的安全审计策略和方案，综合采取多种安全审计设施，实现对网络攻击行为的发现、溯源和取证。

2.安全审计设施设计宜遵循以下基本步骤：

1.调查梳理网络与系统现状；

2.明确安全审计目标：包括审计对象、审计周期、审计策略和投资费用目标；

3.安全审计体系设计：包括审计设施种类选择、审计设施配置、审计规则设计；

4.审计性能设计：包括安全审计数据规模测算和审计设施性能配置；

5.审计设施规划和参数设计；

6.设备选型；

7.勘察局址，确定最终方案。

1.安全审计设施设计应遵循以下原则：

1.应根据互联网业务所面临的网络安全威胁和已有防护和监测体系进行审计系统设计，在兼顾工程投资的前提下，实现高效全面的安全审计，达到异常发现和溯源取证的要求；

2.应根据互联网业务发展特征构建合理的安全审计体系，能够按需对相关审计设施的功能和性能进行灵活扩容而无需对整个安全审计架构进行调整；

3.网络安全审计设施应支持人工和自动化相结合的审计模式，既能通过人工方便地查询取证分析，也可按规则自动化地分析并发现异常。

1.网络审计的对象包括路由器、交换机、服务器、网络安全设备等。所有审计对象应开启日志记录功能，网络审计设施应集中采集相关设备的端口数据、运行日志、状态信息、告警信息等，经过规范化处理之后进行存储和管理，支持异常状态和数据的分析、查询等。

2.数据库安全审计设施应能监视并记录对数据库服务器的各类操作行为。可通过旁路、直连、软件探针等多种方式监控数据库的多重状态和通信内容，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤。

3.应用审计设施应能集中采集各应用系统中的系统安全事件、用户访问记录、系统运行日志、系统运行状态等各类信息，经过规范化、过滤、归并

和告警分析等处理后，以统一格式的日志形式进行集中存储和管理，并能进行异常行为和数据的分析、查询等。

4.用户行为审计设施应能对系统用户或运维人员的操作过程进行全面的跟踪、控制、记录和回放。可与用户认证授权设施相整合，以4A系统等方式进行统一部署。

5.安全审计设施信息收集应通过审计接口，从被管理资源或第三方系统收集审计信息进行标准化处理，形成统一的审计数据格式进行存储。

6.安全审计设施的部署和数据采集应保证被审计设备和系统的稳定性要求，应符合下列规定：

1.数据采集软件代理在宿主机操作系统上应工作稳定，对宿主机资源不应长时间固定或无限制占用，不应造成宿主机崩溃等影响可用性的情况；

2.应给安全审计设施预留足够的网络带宽，审计设施工作时不应对原网络正常通信产生长时间固定影响；

3.安全审计设施应有足够的呑吐量，确保能够及时收集处理所有的审计数据信息，在大流量的情况下，应通过动态负载均衡机制等实现弹性扩展。

1.应急灾备设施设计要求

1.应急灾备设施设计应以相应灾难恢复能力等级的技术要求为基础，根据灾难恢复策略制定相应的灾难备份系统技术方案，包括数据备份系统、备用数据处理系统和备用网络系统等。

2.应急灾备设施设计宜遵循以下基本步骤：

1.调查梳理网络与系统现状；

2.明确应急灾备目标：包括灾备对象、灾难恢复等级、灾备策略和投资费用目标；

3.应急灾备体系设计：包括灾备设施选择、灾备设施配置、灾备及恢复规则设