访问控制策略V1.0
访问控制策略
访问控制策略
一、定义
访问控制策略（Access Control Policy，简称ACP）是一种统一的、通用的、可操作的控制机制，用来描述系统资源访问的规则、权限和控制机制，它规定了访问信息系统、网络、资源或服务的用户，其访问行为的原则、权限和安全措施等内容。
二、用途
1、访问控制策略可以被用在信息安全中，它为系统的访问安全提供具体的指导意见和框架，为访问权限的管理提供帮助；
2、同时，ACP还可以用于保护系统的隐私，避免未经许可的人员访问系统中的敏感信息；
3、访问控制策略还可以用于减少安全漏洞，管理系统安全的威胁，通过设定安全的权限，以保护系统的安全。
三、特点
1、访问控制策略是一种通用的机制，可以应用于不同的访问环境；
2、可以指定不同级别的访问权限，能够对用户的访问进行有效的控制；
3、访问控制策略可以增加安全管理的灵活性，有助于保护系统的安全性；
4、同时，它还可以根据不同的访问环境对用户进行认证，以确保用户的安全性。
chap3：访问控制策略
MAC模型
读
绝密级
写
秘密级
保密性
完整性
机密级
写
无秘级
读
安全策略
保障信息完整性策略
级别低的主体可以读高级别客体的信息（不保密）， 级别低的主体不能写高级别的客体（保障信息完整性）
保障信息机密性策略
级别低的主体可以写高级别客体的信息（不保障信息 完整性），级别低的主体不可以读高级别的客体（保 密）
与数据式样无关。
2019/8/15
37
保护系统的访问矩阵模型
访问矩阵模型是描述保护系统的一种有效手段，能够应用 在以下方面： 1. 为研究提供框架：可为安全理论研究提供一个基础，允许 研究者把注意力集中在问题突出的特型上，毋需顾及实现细 节； 2. 用作设计工具：即用于概括在构造的系统的实现目标，以 指导设计； 3. 证明“设计与实现”的正确性工具：因为模型是形式化的， 允许做出形式断言并对其进行改进； 4. 用作教育工具：形式化模型免去了自然语言陈述的模糊性， 同时它不反映系统的细节，容易理解其实质； 5. 用作比较和评估的工具。
（4）允许系统的管理者询问系统的注册项和开关 系统，但不允许读或修改用户的帐号信息
（5）允许一个审计员读系统中的任何数据，但不 允许修改任何事情
系统需要添加出纳员、分行管理者、顾客、系统 管理者和审计员角色所对应的用户，按照角色的 权限对用于进行访问控制。
常用操作系统中 的访问控制
国际安全标准
MEM1 MEM2 File1 File2 File3 File4
User1 r,w,e
o,r,e
User2
等保三级2.0与1.0对比
定级和备案
安全方案设计
产品采购和使 用 自行软件开发
安全建设管理 外包软件开发 工程实施 测试验收 系统交付 等级测评 服务供应商选 择 环境管理
资产管理 介质管理 设备维护管理
漏洞和风险管 理 网络和系统安 全管理
安全运维管理 恶意代码防范 管理 配置管理 密码管理 变更管理 备份与恢复管 理 安全事件处置
测评类
网络安全等级保护（等保V2.0）
测评项
物理位置选择 物理访问控制 防盗窃和防破 坏
防雷击
防火 物理和环境安全
防水和防潮
防静电 温湿度控制
电力供应
电磁防护
网络架构
通信传输 边界防护
访问控制 网络和通信安全
入侵防范 恶意代码防范
安全审计
集中管控 身份鉴别 访问控制
设备和计算安全 安全审计 入侵防范 恶意代码防范 资源控制 身份鉴别
a) 当通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话； b) 应能够对系统的最大并发会话连接数进行限制； c) 应能够对单个账号的多重并发会话进行限制； d) 应能够对并发进程的每个进程占用的资源分配最大限额。 a) 应采用校验码技术或加解密技术保证重要数据在传输过程中的完整性； b) 应采用校验码技术或加解密技术保证重要数据在存储过程中的完整性。 a) 应采用加解密技术保证重要数据在传输过程中的保密性； b) 应采用加解密技术保证重要数据在存储过程中的保密性。 a) 应提供重要数据的本地数据备份与恢复功能； b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； c) 应提供重要数据处理系统的热冗余，保证系统的高可用性。 a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除； b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。 a) 应仅采集和保存业务必需的用户个人信息； b) 应禁止未授权访问和使用用户个人信息。
Juniper网络安全防火墙设备快速安装手册_V1.0(SSH-5,SSH-140,netscreen)
Juniper网络安全防火墙设备快速安装手册V1.02007-4目录1、前言 (4)1.1、J UNIPER防火墙配置概述 (4)1.2、J UNIPER防火墙管理配置的基本信息 (4)1.3、J UNIPER防火墙的常用功能 (5)2、JUNIPER防火墙三种部署模式及基本配置 (6)2.1、NAT模式 (6)2.2、R OUTE-路由模式 (7)2.3、透明模式 (8)2.4、基于向导方式的NAT/R OUTE模式下的基本配置 (8)2.5、基于非向导方式的NAT/R OUTE模式下的基本配置 (17)2.5.1、NS-5GT NAT/Route模式下的基本配置 (18)2.5.2、NS-25-208 NAT/Route模式下的基本配置 (19)2.6、基于非向导方式的透明模式下的基本配置 (20)3、JUNIPER防火墙几种常用功能的配置 (21)3.1、MIP的配置 (21)3.1.1、使用Web浏览器方式配置MIP (22)3.1.2、使用命令行方式配置MIP (24)3.2、VIP的配置 (24)3.2.1、使用Web浏览器方式配置VIP (25)3.2.2、使用命令行方式配置VIP (26)3.3、DIP的配置 (27)3.3.1、使用Web浏览器方式配置DIP (27)3.3.2、使用命令行方式配置DIP (29)4、JUNIPER防火墙IPSEC VPN的配置 (29)4.1、站点间IPS EC VPN配置：STAIC IP-TO-STAIC IP (29)4.1.1、使用Web浏览器方式配置 (30)4.1.2、使用命令行方式配置 (34)4.2、站点间IPS EC VPN配置：STAIC IP-TO-DYNAMIC IP (36)4.2.1、使用Web浏览器方式配置 (37)4.2.1、使用命令行方式配置 (40)5、JUNIPER中低端防火墙的UTM功能配置 (42)5.1、防病毒功能的设置 (43)5.1.1、Scan Manager的设置 (43)5.1.2、Profile的设置 (44)5.1.3、防病毒profile在安全策略中的引用 (46)5.2、防垃圾邮件功能的设置 (48)5.2.1、Action 设置 (49)5.2.2、White List与Black List的设置 (49)5.2.3、防垃圾邮件功能的引用 (51)5.3、WEB/URL过滤功能的设置 (51)5.3.1、转发URL过滤请求到外置URL过滤服务器 (51)5.3.2、使用内置的URL过滤引擎进行URL过滤 (53)5.3.3、手动添加过滤项 (54)5.4、深层检测功能的设置 (58)5.4.1、设置DI攻击特征库自动更新 (58)5.4.2、深层检测（DI）的引用 (59)6、JUNIPER防火墙的HA（高可用性）配置 (61)6.1、使用W EB浏览器方式配置 (62)6.2、使用命令行方式配置 (64)7、JUNIPER防火墙一些实用工具 (65)7.1、防火墙配置文件的导出和导入 (65)7.1.1、配置文件的导出 (66)7.1.2、配置文件的导入 (66)7.2、防火墙软件（S CREEN OS）更新 (67)7.3、防火墙恢复密码及出厂配置的方法 (68)8、JUNIPER防火墙的一些概念 (68)关于本手册的使用：① 本手册更多的从实际使用的角度去编写，如果涉及到的一些概念上的东西表述不够透彻、清晰，请使用者自行去找一些资料查证；② 本手册在编写的过程中对需要使用者特别注的地方，都有“注”标识，请大家仔细阅读相关内容；对于粗体、红、蓝色标注的地方也需要多注意；③ 本着技术共享的原则，我们编写了该手册，希望对在销售、使用Juniper防火墙的相应技术人员有所帮助1、前言我们制作本安装手册的目的是使初次接触Juniper网络安全防火墙设备（在本安装手册中简称为“Juniper防火墙”）的工程技术人员，可以通过此安装手册完成对Juniper防火墙基本功能的实现和应用。
等级保护2.0 三级-Linux 测评指导书V1.0
知识星球：网络安全等级保护交流
文件中的 SELINUX 参数的设定
1.1.3 安全审计
测评项： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全 事件进行审计； 测评方法： 1)以 root 身份登录进入 Linux, 查看服务进程 2)若运行了安全审计服务，则查看安全审计的守护进程是否正常 # ps -ef|grep auditd 3)若未开启系统安全审计功能，则确认是否部署了第三方安全审计工具 4)以 root 身份登录进入 Linux 查看安全事件配置: #gerep“@priv-ops" /etc/audit/filter.conf .... more/etc/audit/audit.rules ..... 测评项： b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息； 测评方法： 1）以有相应权限的身份登录进入 Linux,使用命令"ausearch-ts today ”，其 中，-ts 指定时间后的 log,或命令"tail -20 /var/log/audit/audit.log“查 看审计日志 测评项： c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； 测评方法： 1）访谈审计记录的存储、备份和保护的措施，是否将操作系统日志定时发送 到日志服务器上等，并使用 sylog 方式或 smp 方式将日志发送到日志服务器。 2）如果部署了日志服务器,登录日志服务器查看操作系统的日志是否在收集的
知识星球：网络安全等级保护交流
范围内 测评项： d) 应对审计进程进行保护，防止未经授权的中断。 测评方法： 1)访谈对审计进程监控和保护的措施 2)测试使用非安全审计员中断审计进程，查看审计进程的访问权限是否设置合 理。 3)查看是否有第三方系统对被测操作系统的审计进程进行监控和保护
第四章 防火墙访问控制列表v1
第四章防火墙访问控制列表v1.0 幻灯片 1包过滤指在网络层对每一个数据包进行检查，根据配置的安全策略来转发或拒绝数据包。
包过滤防火墙的基本原理是：通过配置ACL（Access Control List，访问控制列表）实施数据包的过滤。
实施过滤主要是基于数据包中的源/目的IP 地址、源/目的端口号、IP 标识和报文传递的方向等信息。
访问控制列表定义的数据流在防火墙上的处理规则，防火墙根据规则对数据流进行处理。
因此，访问控制列表的核心作用是：根据定义的规则对经过防火墙的流量进行筛选，由关键字确定筛选出的流量如何进行下一步操作。
在防火墙应用中，访问控制列表是对经过防火墙的数据流进行网络安全访问的基本手段，决定了后续的应用数据流是否被处理。
访问控制列表根据通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流。
ACL 能够通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流，是包过滤、NAT、IPSec、QoS、策略路由等应用的基础。
访问控制列表的使用：1、访问控制列表可以用于防火墙2、访问控制列表可以用于Qos(Quality of Service)，对数据流量进行控制3、在DCC中，访问控制列表还可用来规定触发拨号的条件4、访问控制列表还可以用于地址转换5、在配置路由策略时，可以利用访问控制列表来作路由信息的过滤包过滤包过滤作为一种网络安全保护机制，用于控制在两个不同安全级别的网络之间流入和流出网络的数据。
在防火墙转发数据包时，先检查包头信息（例如包的源地址/目的地址、源端口/目的端口和上层协议等），然后与设定的规则进行比较，根据比较的结果决定对该数据包进行转发还是丢弃处理。
地址转换NAT（Network Address Translation）是将数据报报头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。
第三方安全管理办法(V1.0)
公司公司第三方管理办法
（V1.0）
公司有限公司
二〇一一年十一月
目录
第一章总则 (3)
第二章组织与职责 (3)
第三章第三方公司及人员管理 (4)
第四章第三方安全域及防护要求 (6)
第五章第三方接入管理 (7)
第六章第三方帐号及权限管理 (8)
第七章第三方系统安全管理 (9)
第九章第三方信息安全审核、监督与检查 (11)
第十章附则 (13)
第一章总则
第一条为了加强对第三方合作伙伴、人员、系统的安全管理，防止引入第三方给公司带来的安全风险，特制定本管理办法。
第二条本办法适用于公司有限公司各部门、省客户服务中心、各市分公司（以下简称：各单位）。
第三条本办法所指第三方包括第三方公司、第三方系统、第三方人员：
（一）第三方公司是指向公司公司提供服务的外部公
司。
（二）第三方系统是指为公司公司服务或与公司公司
合作运营的系统。
这些系统可能不在公司公司机房内，但
能通过接口与公司公司的系统发生数据交互。
（三）第三方人员是指为公司公司提供开发、测试、运
维等服务或参与合作运营系统管理的非公司公司人员。
第四条对第三方公司的信息安全管理应遵循如下原则：“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责”的原则。
第二章组织与职责
第五条公司公司第三方安全管理责任部门为对口合作（包括。
SANGFOR_AF_白皮书V1.0-1108
深信服下一代防火墙NGAF技术白皮书深信服科技有限公司二零一一年八月目录1.概述 (3)2. 为什么需要下一代防火墙 (3)2.1网络发展的趋势使防火墙以及传统方案失效 (3)2.2替代性方案能否弥补 (4)2.2.1“打补丁式的方案” (4)2.2.2 UTM统一威胁管理 (4)3.下一代防火墙的诞生与价值 (4)3.1Gantner定义下一代防火墙 (4)3.2深信服下一代应用防火墙—NGAF (5)4.产品功能特点 (6)4.1更精细的应用层安全控制 (6)4.1.1可视化应用识别 (7)4.1.2多种用户识别方式 (7)4.1.3一体化应用访问控制策略 (8)4.1.4基于应用的流量管理 (9)4.2更全面的内容级安全防护 (10)4.2.1灰度威胁关联分析技术 (10)4.2.2基于攻击过程的服务器保护 (12)4.2.3强化的WEB安全防护 (13)4.2.4完整的终端安全保护 (14)4.3更高性能的应用层处理能力 (15)4.3.1单次解析架构 (15)4.3.2多核并行处理技术 (16)4.4更完整的安全防护方案 (16)5.关于深信服 (17)1.概述防火墙自诞生以来，在网络安全防御系统中就建立了不可替代的地位。
作为边界网络安全的第一道关卡防火墙经历了包过滤技术、代理技术和状态监视技术的技术革命，通过ACL 访问控制策略、NAT地址转换策略以及抗网络攻击策略有效的阻断了一切未被明确允许的包通过，保护了网络的安全。
防火墙就像故宫的城墙，对进出防火墙的一切数据包进行检查，保证合法数据包能够进入网络访问合法资源同时防止非法人员通过非法手段进入网络或干扰网络的正常运行。
防火墙技术在当时被堪称完美！随着时代的变迁，故宫的城墙已黯然失色，失去了它原有的防御能力。
同样防火墙在面对网络的高速发展，应用的不断增多的时代也失去了它不可替代的地位。
自2009年10月Gartner提出“Defining the Next-Generation Firewall”一文，重新定义下一代防火墙，下一代防火墙的概念在业内便得到了普遍的认可。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
北京华胜天成科技股份有限公司
管理体系文件Array
2009年03月01日发布2009年03月01日生效
目录
1 目的 (1)
2 适用范围 (1)
3 术语表 (1)
4 访问控制方针 (1)
4.1 通用方针 (1)
4.2 网络访问控制 (2)
4.2.1 网络区域划分 (2)
4.2.2 网络区域隔离 (2)
4.3 身份授予与鉴别 (2)
4.3.1 账户管理 (2)
4.4 外部信息交换控制 (3)
4.4.1 公开信息披露 (3)
4.4.2 外部信息交换 (3)
5 相关过程、模板、指导、检查表 (3)
1目的
访问控制方针旨在基于华胜天成的业务需求，为信息资产的访问控制制定方针原则。
各信息安全控制措施的选择和实施，以及信息安全管理规定的编写，应依据本方针进行。
2适用范围
本方针适用于华胜天成信息安全管理体系范围内的各类型访问控制，包括但不限于：
信息资产访问控制；
权限及密码管理；
网络访问控制；
物理安全访问控制；
应用系统访问控制等。
3术语表
4访问控制方针
访问控制应依据以下两个原则进行：
最小授权原则
当没有明确授予访问权限时，应为禁止访问。
应仅对用户授予他们开展业务活动所必需的访问权限。
需要时获取
访问权限应仅当使用者必须要访问信息时授予。
4.1 通用方针
信息安全的访问控制，应基于分级的原则。
在不同级别之间，应设置访问控制措施；
访问控制角色应进行分离，包括如下角色：
✓访问请求
✓访问授权
✓访问管理
✓访问控制审计；
访问控制应包括如下管理过程：
✓访问控制措施的部署；
✓访问控制权限的申请、审批及授予
✓访问控制权限的回顾及审计
✓访问控制权限的撤销
应对公司内部访问以上级别的信息资产设置访问控制措施；
工作职责范围内的对本部门机密以及内部访问级别的信息资产的访问，不需要特别申请访问权限；
工作职责范围外对任何机密级别的信息资产的访问，需要有信息资产所有者以及信息访问者所在部门直接主管的共同授权；
工作职责范围外对任何内部访问级别的信息资产的访问，需要有信息资产所有者的审批；
对绝密级别的信息资产的访问，需要有信息资产所有者以及信息访问者所在事业部的总经理的共同明确授权；由资产所有者维护访问清单及授权记录，并负责至少三个月按照访问
清单对实际访问权限进行回顾；
访问控制的执行状况，应该由信息安全流程经理组织访问控制权限的审计活动；应基于信息安全事件的发生频率和影响，以及信息资产的等级设定审计的频率；
对物理环境的访问控制，参照《物理环境管理规范》执行；
对信息资产的访问控制，参照《信息资产管理规范》
4.2 网络访问控制
网络区域划分与隔离是进行访问控制的基础，目的是确认并管理企业网络内部边界和外部边界，使各个区域之间相互独立，保证各个区域间的影响最小化。
以下为网络访问控制的
4.2.1网络区域划分
华胜天成所有网络区域应根据其支撑的业务和业务的安全需求进行划分，对于安全需求比较高的敏感区域应进行识别，明确每个区域与其它区域的边界以及企业内部与外部区域的边界。
华胜天成网络区域包括但不限于：
✓公司普通办公网络区域；
✓财务、人事敏感办公网络区域；
✓公司分支机构网络区域；
✓企业软件开发、测试网络环境。
4.2.2网络区域隔离
应根据业务需求对网络区域之间采用不同的手段进行隔离，对于敏感网络区域的边界必须采用足够的技术手段进行防护。
华胜天成敏感区域边界包括但不限于：
✓敏感办公区域与普通办公区域的网络边界；
✓企业内部网络与Internet网络边界；
✓企业内部网络区域与分支机构之间的网络边界；
✓软件开发、测试环境与企业生产系统的网络边界。
4.3 身份授予与鉴别
身份授予与鉴别是对访问企业资源的用户赋予身份并在用户访问资源时进行身份鉴别，目的是保证访问网络系统资源的用户是合法的。
关于身份授予与鉴别政策定义如下：
4.3.1账户管理
应基于不同业务的需求对访问华胜天成资源的用户分别建立用户账户的授予与撤销的管理措施和执行过程。
授予用户的身份应是唯一的，即一个用户账户唯一地对应一个用户，不允许多人共享一个账户。
对任何用户的登录应进行身份鉴别。
身份鉴别的方法应根据用户所处环境的风险确定。
对重要资源的访问保证有足够的口令强度和防攻击能力，用户必须使用符合安全要求的口令，并妥善保护口令。
信息系统的所有者应维护特权账户的清单和对应使用人员，并至少每三个月对特权帐号进行回顾。
4.4 外部信息交换控制
外部信息交换控制政策是防止在与外部进行信息交换不受控，从而造成华胜天成公司的敏感信息泄漏或被篡改。
由于华胜天成是上市公司，任何公开信息的披露，应遵循严格的审批和授权过程。
4.4.1公开信息披露
未经允许，不得将任何公司“内部”及其上级别的信息披露给公司外部人员；
公开信息仅应通过获得授权的部门对外披露；
4.4.2外部信息交换
严禁将“绝密”及其上级别的信息传递给第三方；
若需将“机密”信息与第三方共享，应获得信息所需部门二级经理以及资产所有者的审批。
传递信息前，必须与第三方签订保密协议。
在信息交换过程中，应采取适当的控制措施，保证信息的保密性、完整性不被破坏。
5相关过程、模板、指导、检查表
1)《账号口令安全管理规定》
2)《门禁系统安全管理规定》
3)《信息交换安全策略》。