006黎水林老师课件等级测评师培训网络安全外发006

内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
11
检查内容
检查内容以等级保护基本要求三级为例，按照基本要求
7个控制点33个要求项进行检查。
一、结构安全
（7项）
二、访问控制
（8项）
三、安全审计
（4项）
四、边界完整性检查 （2项）
五、入侵防范
二、访问控制 （8项） 访问控制是网络测评检查中的核心部分，涉及
外连线路、网络设备、安全设备等信息。 根据调研结果，进行初步分析判断。 明确边界设备、核心设备及其他重要设备，确
定检查范围。
8
检查范围
注意事项 考虑设备的重要程度可以采用抽取的方式。 不能出现遗漏，避免出现脆弱点。 最终需要在测评方案中与用户明确检查范围－
网络设备、安全设备列表。
9
10
信息安全等级测评师培训
网络安全测评
公安部信息安全等级保护评估中心 2015年3月
1
内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
2
标准概述
《信息安全等级保护管理办法》（公通字[2007]43号） 按照以下相关标准开展等级保护工作： 《信息系统安全等级保护定级指南》（GB/T22240-
g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络 发生拥堵的时候优先保护重要主机。
条款理解 为了保证重要业务服务的连续性，应按照对业务服务的重要次序来指定
带宽分配优先级别，从而保证在网络发生拥堵的时候优先保护重要 主机。 检查方法 访谈网络管理员，依据实际应用系统状况，是否进行了带宽优先级分配 。
冗余空间。 检查方法 访谈网络管理员，询问主要网络设备的性能及业务高峰流量。 访谈网络管理员，询问采用何种手段对网络设备进行监控。
14结构Βιβλιοθήκη 全b)应保证网络各个部分的带宽满足业务高峰期需要； 条款理解 对网络各个部分进行分配带宽，从而保证在业务高峰期业务服务的连
续性。 检查方法 询问当前网络各部分的带宽是否满足业务高峰需要。 如果无法满足业务高峰期需要，则需进行带宽分配。检查主要网络设
21
结构安全
以CISCO IOS为例，检查配置文件中是否存在类似如下配置
项：
policy-map bar
class voice
priority percent 10
class data
bandwidth percent 30
class video
bandwidth percent 20
22
访问控制
router ospf 100 （动态）
17
结构安全
d)应绘制与当前运行情况相符的网络拓扑结构图； 条款理解 为了便于网络管理，应绘制与当前运行情况相符的网络拓扑结构图。
当网络拓扑结构发生改变时，应及时更新。 检查方法 检查网络拓扑图，查看其与当前运行情况是否一致。
18
结构安全
e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素， 划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网 段分配地址段；
理解标准：理解标准中涉及网络部分的每项基 本要求。
明确目的：检查的最终目的是判断该信息系统 的网络安全综合防护能力，如抗攻击能力、防 病毒能力等等，不是单一的设备检查。
分阶段进行：共划分为4个阶段，测评准备、 方案编制、现场测评、分析及报告编制。
7
检查范围
确定检查范围，细化检查项。 通过前期调研获取被测系统的网络结构拓扑、
条款理解 根据实际情况和区域安全防护要求，应在主要网络设备上进行VLAN划
分或子网划分。 不同VLAN内的报文在传输时是相互隔离的。如果不同VLAN要进行通
信，则需要通过路由器或三层交换机等三层设备实现。
19
结构安全
f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要 网段与其他网段之间采取可靠的技术隔离手段；
全。
16
结构安全
检查方法
检查边界设备和主要网络设备，查看是否进行了路由控
制建立安全的访问路径。
以CISCO IOS为例，输入命令：show running-
config
检查配置文件中应当存在类似如下配置项：
ip route 192.168.1.0 255.255.255.0
192.168.1.193 （静态）
条款理解 为了保证信息系统的安全，应避免将重要网段部署在网络边界处且直接
连接外部信息系统，防止来自外部信息系统的攻击。 在重要网段和其它网段之间配置安全策略进行访问控制。 检查方法 检查网络拓扑结构，查看是否将重要网段部署在网络边界处，重要网段
和其它网段之间是否配置安全策略进行访问控制。
20
结构安全
（2项）
六、恶意代码防范 （2项）
七、网络设备防护 （8项）
12
检查内容
一、结构安全 （７项） 结构安全是网络安全测评检查的重点，网络结
构是否合理直接关系到信息系统的整体安全。 条款解读
13
结构安全
a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰 期需要；
条款理解 为了保证信息系统的高可用性，主要网络设备的业务处理能力应具备
等级保护基本要求三级网络安全方面涵盖哪些 内容？
共包含7个控制点33个要求项，涉及到网络安 全中的结构安全、安全审计、边界完整性检查 、入侵防范、恶意代码防范、访问控制、网络 设备防护等方面。
5
内容目录
1. 前 言 2. 检 查 范 围 3. 检 查 内 容 4. 现 场 测 评 步 骤
6
检查范围
2008） 《信息系统安全等级保护基本要求》（GB/T22239-
2008） 《信息系统安全等级保护测评要求》（GB/T 28448-
2012）
3
标准概述
基本要求中网络安全的控制点与要求项各级分布:
级别 第一级 第二级 第三级 第四级
控制点 3 6 7 7
要求项 9 18 33 32
4
标准概述
备是否进行带宽分配。
15
结构安全
c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 条款理解 静态路由是指由网络管理员手工配置的路由信息。动态路由是指路由器
能够自动地建立自己的路由表。 路由器之间的路由信息交换是基于路由协议实现的，如OSPF路由协议
是一种典型的链路状态的路由协议。 如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安