006黎水林老师课件等级测评师培训网络安全 外发006

如果使用动态路由协议应配置使用路由协议认证功能，保证网络 路由安全。
2021/1/5 16
结构安全
检查方法
检查边界设备和主要网络设备，查看是否进行了路由控制建立 安全的访问路径。
以CISCO IOS为例，输入命令：show running-config 检查配置文件中应当存在类似如下配置项：
．．．．．．
2021/1/5 3
标准概述
基本要求中网络安全的控制点与要求项各级分布:
级别 第一级 第二级 第三级 第四级
控制点 3 6 7 7
要求项 9 18 33 32
2021/1/5 4
标准概述
等级保护基本要求三级网络安全方面涵盖哪些 内容？
共包含7个控制点33个要求项，涉及到网络安 全中的结构安全、安全审计、边界完整性检查 、入侵防范、恶意代码防范、访问控制、网络 设备防护等方面。
条款理解
为了保证信息系统的安全，应避免将重要网段部署在网络边界 处且直接连接外部信息系统，防止来自外部信息系统的攻击。
在重要网段和其它网段之间配置安全策略进行访问控制。网段部署在网络边界处， 重要网段和其它网段之间是否配置安全策略进行访问控制。
2021/1/5 20
分阶段进行：共划分为4个阶段，测评准备、方 案编制、现场测评、分析及报告编制。
2021/1/5 7
检查范围
确定检查范围，细化检查项。
通过前期调研获取被测系统的网络结构拓扑、外连 线路、网络设备、安全设备等信息。
根据调研结果，进行初步分析判断。 明确边界设备、核心设备及其他重要设备，确定检
一、结构安全 （７项）
结构安全是网络安全测评检查的重点，网络结构是 否合理直接关系到信息系统的整体安全。
条款解读
2021/1/5 13
结构安全
a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰 期需要；
条款理解
为了保证信息系统的高可用性，主要网络设备的业务处理能力 应具备冗余空间。
2021/1/5 11
检查内容
检查内容以等级保护基本要求三级为例，按照基本要求
7个控制点33个要求项进行检查。
一、结构安全
（7项）
二、访问控制
（8项）
三、安全审计
（4项）
四、边界完整性检查 （2项）
五、入侵防范
（2项）
六、恶意代码防范 （2项）
七、网络设备防护
2021/1/5
（8项）
12
检查内容
检查方法
访谈网络管理员，询问主要网络设备的性能及业务高峰流量。 访谈网络管理员，询问采用何种手段对网络设备进行监控。
2021/1/5 14
结构安全
b)应保证网络各个部分的带宽满足业务高峰期需要；
条款理解
对网络各个部分进行分配带宽，从而保证在业务高峰期业务服 务的连续性。
检查方法
询问当前网络各部分的带宽是否满足业务高峰需要。 如果无法满足业务高峰期需要，则需进行带宽分配。检查主要
条款理解
根据实际情况和区域安全防护要求，应在主要网络设备上进行 VLAN划分或子网划分。
不同VLAN内的报文在传输时是相互隔离的。如果不同VLAN要 进行通信，则需要通过路由器或三层交换机等三层设备实现。
2021/1/5 19
结构安全
f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要 网段与其他网段之间采取可靠的技术隔离手段；
结构安全
g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络 发生拥堵的时候优先保护重要主机。
条款理解
为了保证重要业务服务的连续性，应按照对业务服务的重要次 序来指定带宽分配优先级别，从而保证在网络发生拥堵的时候 优先保护重要主机。
006黎水林老师课件等级测评师培 训网络安全 外发006
内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
2021/1/5 2
标准概述
《信息安全等级保护管理办法》（公通字[2007]43号） 按照以下相关标准开展等级保护工作：
《信息系统安全等级保护定级指南》（GB/T22240-2008） 《信息系统安全等级保护基本要求》（GB/T22239-2008） 《信息系统安全等级保护测评要求》（GB/T 28448-2012） 《信息系统安全等级保护实施指南》（GB/T 25058-2010）
ip route 192.168.1.0 255.255.255.0 192.168.1.193 （静态） router ospf 100 （动态） ip ospf message-digest-key 1 md5 7 XXXXXX（认证码）
2021/1/5 17
结构安全
d)应绘制与当前运行情况相符的网络拓扑结构图；
条款理解
为了便于网络管理，应绘制与当前运行情况相符的网络拓扑结 构图。当网络拓扑结构发生改变时，应及时更新。
检查方法
检查网络拓扑图，查看其与当前运行情况是否一致。
2021/1/5 18
结构安全
e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素， 划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网 段分配地址段；
网络设备是否进行带宽分配。
2021/1/5 15
结构安全
c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；
条款理解
静态路由是指由网络管理员手工配置的路由信息。动态路由是指 路由器能够自动地建立自己的路由表。
路由器之间的路由信息交换是基于路由协议实现的，如OSPF路 由协议是一种典型的链路状态的路由协议。
查范围。
2021/1/5 8
检查范围
注意事项
考虑设备的重要程度可以采用抽取的方式。 不能出现遗漏，避免出现脆弱点。 最终需要在测评方案中与用户明确检查范围－网络
设备、安全设备列表。
2021/1/5 9
内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
2021/1/5 5
内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
2021/1/5 6
检查范围
理解标准：理解标准中涉及网络部分的每项基 本要求。
明确目的：检查的最终目的是判断该信息系统 的网络安全综合防护能力，如抗攻击能力、防 病毒能力等等，不是单一的设备检查。