等保2.0安全区域边界四级对比
等保2.0基本要求-各级对比
应保证跨越边界的访问和数据流 通过边界设备提供的受控接口进 行通信。
a) 应划分不同的网络区域，并按 照方便管理和控制的原则为各网 络区域分配地址；
a) 应保证网络设备的业务处理能力满 足业务高峰期需要； b) 应保证网络各个部分的带宽满足业 务高峰期需要；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访 问控制规则数量最小化；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访问 控制规则数量最小化；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访问 控制规则数量最小化；
c) 应对源地址、目的地址、源端 口、目的端口和协议等进行检 查，以允许／拒绝数据包进出。
7.1.1.10 电磁防护
8.1.1.10 电磁防护
d)应提供应急供电设施。 9.1.1.10 电磁防护
电源线和通信线缆应隔离铺设， 避免互相干扰。
a)电源线和通信线缆应隔离铺设，避 免互相干扰；
a)电源线和通信线缆应隔离铺设，避 免互相干扰；
b)应对关键设备实施电磁屏蔽。
b)应对关键设备或关键区实施电磁屏 蔽。
c)应划分不同的网络区域，并按照方 便管理和控制的原则为各网络区域分 配地址；
a) 应保证网络设备的业务处理能力满 足业务高峰期需要； b) 应保证网络各个部分的带宽满足业 务高峰期需要；
c)应划分不同的网络区域，并按照方 便管理和控制的原则为各网络区域分 配地址；
b) 应避免将重要网络区域部署在 边界处，重要网络区域与其他网 络区域之间应采取可靠的技术隔 离手段。
c) 应安装对水敏感的检测仪表或元 件，对机房进行防水检测和报警。
等保2.0高风险项判定汇总
引言所谓高风险项，就是等保测评时可以一票否决的整改项，如果不改，无论你多少分都会被定为不合格。
全文共58页，写得比较细了，但是想到大家基本不会有耐心去仔细看的（凭直觉）。
这几天挑里边相对重点的内容列了出来，就是企业要重点关注的，把这些做好，上70分应该不成问题，个人认为这就是所谓的抓重点了。
最近要定级或者明年打算升级等保2.0的可以参考下。
说明：文中标记（3级）的表示3级及以上系统适用，标记（4级）的表示4级系统适用，为标记的表示所有系统适用。
物理环境部分1. 无防盗报警系统、无监控系统，可判定为高风险。
2. 机房未配备冗余或并行电力线路供电来自于同一变电站，可判高风险。
3. 系统所在的机房必须配备应急供电措施，如未配备，或应急供电措施无法使用，可判高风险。
（4级）4. 对于涉及大量核心数据的系统，如机房或关键设备所在的机柜未采取电磁屏蔽措施，可判高风险。
（4级）网络通信部分1. 对可用性要求较高的系统，网络设备的业务处理能力不足，高峰时可能导致设备宕机或服务中断，影响金融秩序或引发群体事件，若无任何技术应对措施。
核心网络设备性能无法满足高峰期需求，存在业务中断隐患，如业务高峰期，核心设备性能指标平均达到80%以上，可判定为高风险。
2. 应按照不同网络的功能、重要程度进行网络区域划分，如存在重要区域与非重要网络在同一子网或网段的，可判定为高风险。
3. 互联网出口无任何访问控制措施，或访问控制措施配置失效，存在较大安全隐患，可判定为高风险。
（区域边界要求同样适用）4. 办公网与生产网之间无访问控制措施，办公环境任意网络接入均可对核心生产服务器和网络设备进行管理，可判定为高风险。
5. 对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或关键计算设备无冗余设计，一旦出现故障，可能导致业务中断，可判定为高风险。
（3级）6. 对数据传输完整性要求较高的系统，数据在网络层传输无完整性保护措施，一旦数据遭到篡改，可能造成财产损失的，可判定为高风险。
等保2.0的等级保护指标
等保2.0是指信息安全等级保护2.0的简称，是中国政府为了加强网络安全管理和保护国家关键信息系统而提出的一项标准。
根据等保2.0标准，不同级别的关键信息系统需要满足相应的等级保护指标。
等保2.0标准将关键信息系统分为五个等级，等级由高到低依次为：一级、二级、三级、四级和五级。
每个等级都有相应的保护要求和技术措施。
以下是等保2.0不同等级的保护指标的一些示例：
1. 一级保护：要求采取严格的安全技术措施，能够应对高级威胁和攻击。
包括防火墙、入侵检测和入侵防护系统、访问控制、安全审计等。
2. 二级保护：要求采用较高的安全技术措施，能够应对较高级别的威胁和攻击。
包括数据加密、网络隔离、安全监测与响应、灾备恢复等。
3. 三级保护：要求采用适当的安全技术措施，能够应对中级威胁和攻击。
包括访问控制、恶意代码防范、安全培训教育等。
4. 四级保护：要求基本的安全技术措施，能够应对一般威胁和攻击。
包括密码安全、基础设施保护、安全漏洞管理等。
5. 五级保护：要求最基本的安全措施，能够应对低级威胁和攻击。
包括安全策略制定、安全事件响应等。
需要注意的是，等保2.0的具体保护指标是根据具体的应用环境和信息系统的特点而确定的，上述只是一些示例，并不包括所有的保护要求。
对于具体的等级保护指标，建议参考相关的政府发布的相关文件以获取更准确和详细的信息。
等保一级二级三级四级测评项对比
等保一级二级三级四级测评项对比今天咱们聊聊“等保”四个等级的事儿，啥叫等保呢？就是“等级保护”，全称叫做《信息安全技术网络安全等级保护基本要求》。
简单来说就是根据你单位、你网站、你系统的“重要程度”来划分的安全等级。
简单点说，就是你的网站有多重要，相关部门对你要求的安全防护就有多高。
等保的等级从一级到四级，四级就等于是“顶级防护”，一级呢，就是最基础的保护。
你看哈，就像是咱家的门锁一样，一星级门锁只能防止小偷偷东西，四星级门锁嘛，就算是黑客来也得瑟瑟发抖。
所以今天咱就来看看这四个等级有啥不一样，各自的测评项有哪些区别。
咱先从等保一级说起，基本上属于“随便打个防护墙也就够了”的级别，主要适用于一些没有啥敏感数据、对安全要求不高的小系统。
你想啊，像咱家的WiFi密码，可能也就不过是一个简单的“123456”，那啥，基本上是不会有黑客来攻破你家防线的。
这个级别的测评项主要是看你有没有做一些基本的安全措施，比如设置了防火墙没有、默认密码改了没、是不是有一些简单的入侵检测。
低调，简单，只要能防住一般的小问题就行了。
再说等保二级吧，哎呦，这就好像是换了个更结实的门锁，防盗网也加上了，不单单是防止普通的黑客攻击了，还得防止一些有点儿“水平”的攻击者。
这个级别的测评就多了，比如会看看你的系统有没有定期做漏洞扫描，系统的日志有没有记录，权限控制是不是合理。
这个就像你家门锁不光得结实，还得有个监控摄像头，看见有可疑的人就能报警。
简单说吧，二级安全还是比较基础的，差不多能防住那些不太专业的攻击了。
然后咱说说三级，这就厉害了，三级差不多就相当于家里换了带密码的智能锁，防盗网也升级为全自动的那种。
三级的测评项可就多了，不光得看防护能力，还得看管理、运维、数据保护等各方面。
比如有没有定期的安全巡检？系统的漏洞有没有及时打补丁？数据的备份是不是做好了？这个时候，系统的安全防护已经不只是看“有没有密码”，而是更侧重于“如何保护”了。
华为安全等保二、三级方案介绍
2
采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施
3
采取检测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月
4
采取数据分类、重要数据备份和加密等措施
5
法律、行政法规规定的其他义务
对不履行第二十一条规定的，将对运营者及直接负责的主管人员处以责令整改、警告、罚款等行政处罚，情节严 重的还将追究刑事责任
（二）铁路、银行、海关、税务、银 行、电力、证券、保险、外交、科技、 发展改革、国防科技、公安、人事劳 动和社会保障、财政、审计、商务、 水利、国土资源能源、交通、文化、 教育、统计、工商行政管理、邮政行 业部门的生产、调度、管理、办公等 重要信息系统
等级保护价值
满足监管要求
明确安全责任
体系化建设
社会秩序和公共利益。
第二级：信息系统受到破坏后，会对公民、法人和 其他组织的合法权益产生严重损害，或者对社会秩 序和公共利益造成损害，但不损害国家安全。
第三级：信息系统受到破坏后，会对社会秩序和公 共利益造成严重损害，或者对国家安全造成损害。
第四级：信息系统受到破坏后，会对社会秩序和公 共利益造成特别严重损害，或者对国家安全造成严 重损害。
集约化运营
优化安全收益
满足政策、法律与行 业要求，安全状况获
得公安机关认可
谁主管，谁负责 谁使用，谁负责 谁运营，谁负责
整体规划，分区域, 分层,分类,分级别,分 阶段进行建设，安 全建设更加体系化
利于企业集约化运 营，相同等级的信 息资产共享相同的
保护措施
根据信息资产价值 实施保护，平衡安
全投入与产出
由公安监督检查
•公安机关负责信息安全等级保护工作 的监督、检查、指导 •国家保密工作部门负责等级保护工作 中有关保密工作的监督、检查、指导 •国家密码管理部门负责等级保护工作 中有关密码工作的监督、检查、指导
等保2.0时代,云等保安全合规要求解读
等保2.0时代，云等保安全合规要求解读导读伴随着《网络安全法》出台，等级保护制度上升到法律层面。
在此背景下孕育出来等保2.0相比之前的等保要求，在等级保护的对象、保护的内容、保护的体系都大不相同。
当然，云等保不是新鲜的事物，而是在原等保框架下的扩展要求。
云等保的各环节与传统等保相同，包括定级、备案、建设整改、测评、监督检查等，因此只需要对原有等级保护相关工作的具体内容进行扩充并统一。
传统信息系统的网络架构伴随业务变化而变化，系统各组件功能与硬件紧耦合，在安全防护上强调分区域和纵深防御。
直观上来说，就像铁路局各管一段，信息系统通常以物理网络或者安全设备为边界进行划分。
但是，云计算系统网络架构是扁平化的，业务应用系统与硬件平台松耦合，犹如航空运输。
如果信息系统的划分，单纯的以物理网络或安全设备为边界进行划分，将无法体现出业务应用系统的逻辑关系，更无法保证业务信息的安全和系统服务的安全，这就犹如以机场划分各航空公司一样不适用。
一、云计算系统边界划分云计算系统边界划分基本场景包括两个类型：第一类场景：存在业务应用不独占硬件物理资源或硬件物理资源上运行的基础服务系统是所有业务应用公用的情况，这时定级系统的边界应划在虚拟边界处，这个虚拟边界就是运行业务应用所用到的最底层独占虚拟资源，通常是虚拟机。
如下图所示：在上图场景中有3个业务应用，通过对业务应用的梳理，业务应用1单独成为一个定级系统，业务应用2和业务应用3组成另一个定级系统。
这两个定级系统共用底层服务，因此我们把底层服务连同硬件一起作为一个定级系统C，即云计算平台。
定级系统A和定级系统B就是云平台上承载的业务应用系统。
第二类场景：业务应用对应的系统模块存在相对独立的底层服务和硬件资源，因此可以将整个系统边界划分到硬件物理设备，从而确定两个定级系统，如下图所示。
如果这个场景对应的是对外提供服务的云计算系统，那么定级系统A就是一个使用了云计算技术的应用系统，而顶级系统B是另一个使用了云计算技术的应用系统。
3 等保2.0移动互联安全扩展要求 测评权重表
1
a) 应保证移动终端安装、运行的应用软件 来自可靠分发渠道或使用可靠证书签名；
1
b) 应保证移动终端安装、运行的应用软件由指定 的开发者开发。
0.4
b) 应保证移动终端安装、运行的应用软件 由指定的开发者开发。
0.4
a) 应对移动业务应用软件开发者进行资格审查；
0.4
a) 应对移动业务应用软件开发者进行资格 审查；
边界防护
应保证有线网络与无线网络边界之间的访问 和数据流通过无线接入安全网关设备。
1
应保证有线网络与无线网络边界之间的访问和数据 流通过无线接入网关设备。
无线接入设备应开启接入认证功能，并且禁
无线接入设备应开启接入认证功能，并且禁止使用
访问控制
止使用WEP方式进行认证，如使用口令，长
1
WEP方式进行认证，如使用口令，长度不小于8位字
1
f) 应能够阻断非授权无线接入设备或非授 权移动终端。
0.4
a) 应保证移动终端安装、注册并运行终端管理客 户端软件；
1
a) 应保证移动终端安装、注册并运行终端 管理客户端软件；
0.4
b) 移动终端应接受移动终端管理服务端的设备生
b) 移动终端应接受移动终端管理服务端的
命周期管理、设备远程控制，如：远程锁定、远程
1
无线接入设备应开启接入认证功能，并支持采用认
无线接入设备应开启接入认证功能，并支
证服务器认证或国家密码管理机构批准的密码模块
1
持采用认证服务器认证或国家密码管理机
1
进行认证。
构批准的密码模块进行认证。
a) 应能够检测到非授权无线接入设备和非授权移 动终端的接入行为；
1
网络安全等级保护2
网络安全等级保护2.0网络安全是当今数字化时代不可忽视的重要问题之一。
随着互联网的普及和技术的不断进步，各种网络威胁和攻击也不断增加，给个人和组织的信息和财产安全带来了巨大的威胁。
为了有效保护网络安全，各国纷纷制定了相关法规和政策，建立起了网络安全等级保护体系。
网络安全等级保护是一种以等级划分的安全管理模式，旨在按照信息资产的安全性等级以及威胁程度对其进行分类、分等级保护。
通过制定规章制度和技术手段，对不同等级的信息资产进行科学合理的保护，可以最大限度地防止潜在的安全威胁和风险。
网络安全等级保护体系分为五个等级，分别是一级、二级、三级、四级和五级。
每个等级都有相应的安全保护要求和防护措施。
下面将对每个等级进行详细介绍。
一级等级的网络安全保护主要针对普通级信息资产，包括个人隐私信息、一般商业信息等。
主要保护措施包括建立完善的防火墙和入侵检测系统、加密通信等。
二级等级的网络安全保护主要是针对非商业级信息资产，包括部分商业机密信息等。
除了基本的一级保护措施外，还需加强对网络设备的安全管理，实施行为监控和访问控制等。
三级等级的网络安全保护主要是针对商业级信息资产，包括商业机密信息、核心业务系统等。
在保持一二级保护措施的基础上，还需要建立灾备系统和隔离机制，确保核心数据的安全性。
四级等级的网络安全保护主要是针对敏感级信息资产，包括涉密信息、国家重要信息等。
除了前面等级的保护措施外，还需要建立专门的安全管理机构和技术防护手段，加强监控和审计等。
五级等级的网络安全保护主要是针对绝密级信息资产，包括国家绝密信息等。
这个等级的保护要求最高，需要建立高可靠性的安全网络系统，强化物理安全和技术措施，实行严格的权限管理和审计制度。
网络安全等级保护体系的建立和实施，对于保护信息资产的安全至关重要。
通过科学合理的安全分级，可以提高信息安全意识，加强网络安全管理，降低信息泄露和网络攻击的风险。
同时，也需要相关部门的监督和管理，确保网络安全等级保护体系的有效运行。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
和 垃 圾 邮 件 防
b)应在关键网络节 b)应在关键网络节点 点处对垃圾邮件进 处对垃圾邮件进行 行检测和防护.并维 检测和防护,并维护 护垃圾邮件防护机 垃圾邮件防护机制 制的升级和更新。 的升级和更新。
a）应在网络边界. a)应在网络边界、 a) 应在网络边界、 重要网络节点进行 重要网络节点进行 重要网络节点进行 安全审计,审计覆盖 安全审计,审计覆盖 安全审计,审计覆盖 到每个用户,对重要 到每个用户,对重要 到每个用户,对重要 的用户行为和重要 的用户行为和重要 的用户行为和重要 安全事件进行审计; 安全事件进行审计: 安全事件进行审计;
d)应能根据会话状 d)应能根据会话状 d)应能根据会话状态 态信息为进出数据 态信息为进出数据 信息为进出数据流 流提供明确的允许/ 流提供明确的允许/ 提供明确的允许/拒 拒绝访间的能力。 拒绝访问的能力; 绝访问的能力;
e)应对进出网络的 e)应在网络边界通过
数据流实现基于应 通信协议转换或通
访 问 控 制
c)应对源地址.目 的地址、源端口 、目的端口和协 议等进行检查.以 允许/拒绝数据包 进出。
c)应对源地址.目的 地址、源端口、目 的端口和协议等进 行检查,以允许/拒 绝数据包进出
c)应对源地址,目的 地址、源端口、目 的端口和协议等进 行检查,以允许/拒 绝数据包进出;
c)应对源地址、日的 地址、源端口、目 的端口和协议等进 行检查,以允许/拒绝 数据包进出;
用协议和应用内容 信协议隔离等方式
的访间控制。
进行数据交换。
应在关键网络节点 处监视网络攻击行 为。
a)应在关键网络节 a)应在关键网络节点
点处检测.防止或限 处检测、防止或限
制从外部发起的网 制从外部发起的网
络攻击行为;
络攻击行为;
b)应在关键网络节 b)应在关键网络节点
点处检测、防止或 处检测、防止或限
d)应限制无线网络的 使用,保证无线网络 通过受控的边界设 备接人内部网络;
e) 应能够在发现非
授权设备私自联到
内部网络的行为或
内部用户非授权联
到外部网络的行为
时,对其进行有效阻
断;
f) 应采用可信验证机
制对接入到网络中
的设备进行可信验
证,保证接入网络的
设备真实可信.
a)应在网络边界 根据访问控制策 略设置访问控制 规则.默认情况下 除允许通信外受 控接口拒绝所有 通信;
b)应能够对非授权 b)应能够对非授权设
设备私自联到内部 备私自联到内部网
网络的行为进行检 络的行为进行检查
查或限制;
或限制:
c) 应能够对内部用 c)应能够对内部用户
户非授权联到外部 非授权联到外部网
网络的行为进行检 络的行为进行检查
9.1.
查或限制;
或限制;
3.1 边 界 防 护
d)应限制无线网络 的使用,保证无线网 络通过受控的边界 设备接入内部网络 。
一级
二级
三级
四级
应保证跨越边界 的访问和数据流 通过边界设备提 供的受控接口进 行通信
应保证跨越边界的 访问和数据流通过 边界设备提供的受 控接口进行通信。
应保证跨越边界的 访问和数据流通过 边界设备提供的受 控接口进行通信;
a)应保证跨越边界的 访问和数据流通过 边界设备提供的受 控接口进行通信;
审计记录送至安全 警,并
形成审计记录送至
管理中心
将验证结果形成审 安全管理中心，并
计记录送至安全管 进行动态关联感知
理中心。
。
。
程序、系统程序,重 要配置参数和边界 防护应用程序等进 行可信验证，并在 检测到其可信性受 到破坏后进行报警, 并将验证结果形成
护应用程序等进行 可 信验证,并在应用程 序的关键执行环节 进行动态可信验证, 在检测到其可信性 受到破坏后进行报
护应用程序等进行 可信验证,并在应用 程序的所有执行环 节进行动态可信验 证.在检测到其可信 性受到破坏后进行 报警,并将验证结果
b)应删除多余或 无效的访问控制 规则，优化访问 控制列表.并保证 9.1. 访问控制规则数 3.2 量最小化;.
b)应删除多余或无 效的访问控制规 则，优化访问控制 列表,并保证访问控 制规则数量最小化;
b)应删除多余或无 效的访问控制规则, 优化访问控制列表, 并保证访问控制规 则数量最小化;
b)应删除多余或无效 的访问控制规则.优 化访问控制列表,并 保证访问控制规则 数量最小化;
。
计和数据分析。
可基于可信根对边 可基于可信根对边
界设备的系统引导 界设备的系统引导
可基于可信根对边 程序.系统程序.重要 程序.系统程序.重要
界设备的系统引导 配置参数和边界防 配置参数和边界防
9.1. 3.6 可 信 验 证
可基于可信根对 边界设备的系统 引导程序.系统程 序等进行可信验 证,并在检测到其 可信性受到破坏 后进行报警。
a)应在网络边界或 a)应在网络边界或
区域之间根据访问 区域之间根据访问
控制策略设置访问 控制策略设置访问
控制规则,默认情况 控制规则，默认情
下除允许通信外受 况下除允许通信外
控接口拒绝所有通 受控接口拒绝所有
信;
通信;
a)应在网络边界或区 城之间根据访问控 制策略设置访问控 制规则,默认情况下 除允许通信外受控 接口拒绝所有通信;
9.1. 3.4 恶 意 代 码
应在关键网络节点 n)应在关键网络节 a)应在关键网络节点 处对恶意代码进行 点处对恶意代码进 处对恶意代码进行 检测和清除.并维护 行检测和清除,并维 检测和清除,并维护 恶意代码防护机制 护恶意代码防护机 恶意代码防护机制 的升级和更新。 制的升级和更新; 的升级和更新;
限制从内部发起的 制从内部发起的网
9.1.
网络攻击行为;
络攻击行ቤተ መጻሕፍቲ ባይዱ;
3.3
c)应采取技术措施 c)应采取技术措施对
入
对网络行为进行分 网络行为进行分析,
侵
析,实现对网络攻击 实现对网络攻击特
防
特别是新型网络攻 别是新型网络攻击
范
击行为的分析;
行为的分析;
d) 当检测到攻击行 d) 当检测到攻击行 为时，记录攻击源 为时,记录攻击源IP . IP ,攻击类型、攻击 攻击类型、攻击目 目标、攻击时间,在 标.攻击时间，在发 发生严重入侵事件 生严重人侵事件时 时应提供报警。 应提供报警。
计
c)应对审计记录进 c) 应对审计记录进
行保护,定期备份,避 行保护,定期备份,避
免受到未预期的删 免受到未预期的删
除、修改或覆盖等; 除.修改或覆盖等。
计
c)应对审计记录进 d) 应能对远程访问
行保护,定期备份,避 的用户行为、访间
免受到未预期的删 互联网的用户行为
除、修改或覆盖等 等单独进行行为审
9.1. 3.5 安 全 审
b)审计记录应包括 事件的日期和时间 、用户,事件类型,事 件是否成功及其他 与审计相关的信息;
b)审计记录应包括 事件的日期和时间 、用户.事件类型、 事件是否成功及其 他与审计相关的信 息;
b)审计记录应包括事 件的日期和时间、 用户.事件类型.事件 是否成功及其他与 审计相关的信息;