二级-02网络安全测评记录 V2.0概要
等保2.0测评表-设备和计算安全-服务器
23 24 资源控制 25 26
a) 应限制单个用户或进程对 系统资源的最大使用限度； b) 应提供重要节点设备的硬 件冗余，保证系统的可用性； c) 应对重要节点进行监视， 包括监视CPU、硬盘、内存等 资源的使用情况； d) 应能够对重要节点的服务 水平降低到预先规定的最小值 进行检测和报警。
19 入侵防范 20 21
22
恶意代码防范
d) 应能发现可能存在的漏 洞，并在经过充分测试评估 后，及时修补漏洞； e) 应能够检测到对重要节点 进行入侵的行为，并在发生严 重入侵事件时提供报警。 a) 应采用免受恶意代码攻击 的技术措施或可信验证机制对 系统程序、应用程序和重要配 置文件/参数进行可信执行验 证，并在检测到其完整性受到 破坏时采取恢复措施。
符合情况
备注
4
5 6 7 8
访问控制
访问控制 9 10 11
服务器
12
安全审计
13
服务器
14 15 16 17 18
安全审计
入侵防范
a) 应启用安全审计功能，审 计覆盖到每个用户，对重要的 用户行为和重要安全事件进行 审计； b) 审计记录应包括事件的日 期和时间、用户、事件类型、 事件是否成功及其他与审计相 关的信息； c) 应对审计记录进行保护， 定期备份，避免受到未预期的 删除、修改或覆盖等； d) 应确保审计记录的留存时 间符合法律法规要求； e) 应对审计进程进行保护， 防止未经授权的中断。 a) 应遵循最小安装的原则， 仅安装需要的组件和应用程序 。 b) 应关闭不需要的系统服务 、默认共享和高危端口； c) 应通过设定终端接入方式 或网络地址范围对通过网络进 行管理的管理终端进行限制；
序号 1
测评对象
二级等级保护测评内容
安全审计 安全审计 网络设备防 护 网络设备防 护 网络设备防 护 网络设备防 护 网络设备防 护 网络设备防 护
控制项
a) b) a) b) c) d) e) f) 应对网络系统中的网络设备运行状况、网络流量、用户行成功及其他与审计相关的信息 应对登录网络设备的用户进行身份鉴别 应对网络设备的管理员登录地址进行限制 网络设备用户的标识应唯一 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听
2023-网络安全等级2-1
网络安全等级2网络安全等级是指对互联网和信息系统的安全需求进行分类、分级的方法，以便于制定安全防护措施和评估安全等级是否达标。
其中，网络安全等级2是指需要采取一定的措施，防范网络攻击、恶意代码和信息泄露的安全等级。
接下来，我们将围绕网络安全等级2，分步骤阐述如何保障安全。
一、建立安全意识建立安全意识是实现网络安全等级2的基础。
对于个人和单位而言，了解网络安全的基本知识和防范策略十分重要。
应该加强人员的安全教育和培训，提高他们的安全意识，使他们充分认识到安全威胁和风险，并定期组织演练，提高应急处置能力。
二、采用有效的密码管理在网络安全等级2中，密码管理是非常重要的一环。
管理员应建立一个强密码策略，并要求用户定期更换密码，确保密码强度，并实行访问控制，控制用户的特权级别。
同时，不要将密码设置得过于简单，并采用加密技术保护敏感信息。
对于重要的账号可以采用二次验证等方式提高账号的安全性。
三、采用安全技术防火墙、入侵检测系统、加密、访问控制等安全技术可以有效地保护网络安全。
在网络安全等级2中，应该采用高阶安全技术，加强网络边界防御，实施全面安全管理和监测，确保网络和系统的安全性和稳定性。
四、加强安全备份和恢复针对网络的恶意攻击、病毒和其他突发事件，加强数据备份和恢复可以保证重要数据的安全。
应该定期备份重要数据，并将备份数据储存在不同地点，以防止数据灾难发生。
五、定期的安全评估定期的安全评估可以及时发现网络中存在的安全隐患，分析风险，并采取相应的安全措施。
内部或外部应该定期进行安全测试、漏洞扫描和安全评估，识别和纠正网络安全漏洞，为网络安全提供保障。
综上所述，网络安全等级2需要采取一系列的措施，从多个角度保障网络和系统的安全性。
通过加强安全意识、采用密码管理、安全技术和备份等策略，可以有效地抵御网络攻击和恶意软件的侵袭，保护重要的数据和资产，确保企业、个人在网络世界中的安全。
(完整版)等保2.0测评表-设备和计算安全-网络设备
删除、修改或覆盖等；
15
d) 应确保审计记录的留存时 间符合法律法规要求；
16
e) 应对审计进程进行保护， 防止未经授权的中断。
a) 应采用免受恶意代码攻击
的技术措施或可信验证机制对
17
恶意代码防范
系统程序、应用程序和重要配 置文件/参数进行可信执行验
证，并在检测到其完整性受到
破坏时采取恢
符合情况 备注
网络设备
a) 应启用安全审计功能，审
12
安全审计
计覆盖到每个用户，对重要的 用户行为和重要安全事件进行
审计； b) 审计记录应包括事件的日
13
期和时间、用户、事件类型、 事件是否成功及其他与审计相
关的信息； c) 应对审计记录进行保护，
14
安全审计
定期备份，避免受到未预期的
a) 应限制单个用户或进程对 系统资源的最大使用限度；
19
b) 应提供重要节点设备的硬 件冗余，保证系统的可用性；
资源控制
c) 应对重要节点进行监视，
20
包括监视CPU、硬盘、内存等
资源的使用情况；
d) 应能够对重要节点的服务
21
水平降低到预先规定的最小值
进行检测和报警。
确认人: 确认时间:
序号 1
测评对象
测评指标
2 身份鉴别
3
4
5
访问控制
6
7
8 访问控制
9
10
11
网络设备
控制项
结果记录
a) 应对登录的用户进行身份
标识和鉴别，身份标识具有唯
一性，身份鉴别信息具有复杂
度要求并定期更换；
b) 应具有登录失败处理功 能，应配置并启用结束会话、 限制非法登录次数和当登录连 接超时自动退出等相关措施；
等级保护测评二级要求
等级保护测评二级要求一、物理安全1.物理访问控制：应能够根据需要控制不同区域之间的访问，并能够实现对重要区域或设备进行物理保护，如设置门禁系统、视频监控等。
2.物理安全审计：应能够对重要区域或设备的物理安全事件进行审计记录，如对进出重要区域的人员进行记录，对重要设备的操作进行记录等。
二、网络安全1.网络架构安全：应能够根据系统等级保护二级的要求，设计合理的网络架构，包括拓扑结构、设备选型、区域划分等，以确保网络的安全性和可用性。
2.网络安全管理：应能够制定并执行有效的网络安全管理策略和规定，以确保网络的安全性和可用性。
三、主机安全1.主机系统安全：应能够对主机系统进行安全配置，如用户管理、访问控制、安全审计等，以确保主机系统的安全性和可用性。
2.防病毒与防恶意软件：应能够安装并更新防病毒软件和防恶意软件，以防止病毒和恶意软件的入侵。
四、数据库安全1.数据库系统安全：应能够对数据库系统进行安全配置，如用户管理、访问控制、审计等，以确保数据库系统的安全性和可用性。
2.数据备份与恢复：应能够制定并执行有效的数据备份与恢复计划，以确保数据的完整性和可用性。
五、应用安全1.应用系统安全：应能够根据系统等级保护二级的要求，设计应用系统的安全架构，包括输入输出验证、访问控制、加密解密等，以确保应用系统的安全性和可用性。
2.数据传输安全：应能够采取措施保证数据传输的安全性，如加密传输、完整性校验等。
六、数据安全及备份恢复1.数据安全：应能够采取措施保证数据的机密性、完整性、可用性等，如加密存储、备份恢复等。
2.数据备份与恢复：应能够制定并执行有效的数据备份与恢复计划，以确保数据的完整性和可用性。
七、安全管理1.安全组织与规划：应能够建立完善的安全组织架构和规章制度，明确各级人员的职责和权限，确保信息安全的全面管理和控制。
2.安全培训与意识提升：应能够定期开展安全培训和意识提升活动，提高员工的安全意识和技能水平。
信息安全技术—网络安全等级保护测评要求
谢谢观看
2014年11月19日，国家标准计划《信息安全技术—网络安全等级保护测评要求》（-T-469）下达，项目周期 12个月，由TC260（全国信息安全标准化技术委员会）归口上报及执行，主管部门为国家标准化管理委员会。全 国标准信息公共服务平台显示，该计划已完成网上公示、起草、征求意见、审查、批准、发布工作。
2019年5月10日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）由中华人 民共和国国家市场监督管理总局、中国国家标准化管理委员会发布。
2019年12月1日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）实施，全 部代替国家标准《信息安全技术—信息系统安全等级保护测评要求》（GB/T28448-2012）。
国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）依据中国国家标准《标准化 工作导则第1部分：标准的结构和编写规则》（GB/T 1.1-2009）规则起草。
《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）与《信息安全技术—信息系统安全等 级保护测评要求》（GB/T28448-2012）相比，主要变化如下：
主要起草单位：公安部第三研究所（公安部信息安全等级保护评估中心、国家信息中心、北京大学、成都科 来软件有限公司、北京鼎普科技股份有限公司、北京梆梆安全科技有限公司、中国电子科技集团公司第十五研究 所（信息产业信息安全测评中心）、北京信息安全测评中心、全球能源互联网研究院、中国电力科学研究院、国 电南京自动化股份有限公司、中国电子信息产业集团公司第六研究所、启明星辰信息技术集团股份有限公司、华 普科工（北京）有限公司、中国电子技术标准化研究院、中国科学院信息工程研究所（信息安全国家重点实验 室）、新华三技术有限公司、中国移动通信集团有限公司、北京微步在线科技有限公司、北京迅达云成科技有限 公司、公安部第一研究所、国家能源局信息中心（电力行业信息安全等级保护测评中心）、北京卓识网安技术股 份有限公司、南京南瑞集团公司、南方电网科学研究院、工业和信息化部计算机与微电子发展研究中心（中国软 件评测中心）、北京烽云互联科技有限公司。
网络安全研讨会记录表格式
网络安全研讨会记录表格式日期：[日期]地点：[地点]参会人员：1. [姓名]2. [姓名]3. [姓名]4. [姓名]5. [姓名]议题及内容：1. 网络安全意识培训- 演讲人：[姓名]- 内容概要：网络安全的基本概念和意义，常见网络安全威胁及防范措施2. 公司网络安全现状分析- 演讲人：[姓名]- 内容概要：公司网络安全风险评估，已经采取的安全措施以及待改进的方面3. 最新网络安全威胁和攻击方式- 演讲人：[姓名]- 内容概要：介绍最新的网络安全威胁，如勒索软件、钓鱼网站等，并分享如何应对这些攻击4. 网络安全管理与合规性要求- 演讲人：[姓名]- 内容概要：讨论网络安全管理的最佳实践，以及公司在合规方面需要遵守的法规和标准5. 保护个人隐私和数据安全- 演讲人：[姓名]- 内容概要：介绍个人隐私保护的重要性，以及如何保护个人信息和数据安全结论及建议：- 加强员工的网络安全意识培训，提高对网络安全威胁的认识和预防能力- 完善公司网络安全措施，对现有安全风险进行有效管理和控制- 持续关注最新的网络安全威胁和攻击方式，并采取相应的安全措施进行防范- 遵守相关的法规和标准，确保公司网络安全管理与合规性- 强调员工个人隐私保护意识，加强对个人信息和数据安全的保护措施下一步行动计划：- 制定网络安全培训计划，安排员工参加相关培训- 对公司网络安全进行全面的风险评估，修订安全措施并制定改进计划- 建立网络安全监测和报警机制，及时发现并应对新的安全威胁- 持续更新公司网络安全制度和操作规范，确保合规性- 完善员工个人信息和数据安全保护方案，加强安全意识培养。
二甲评审中的网络安全等二级评审资料
网络安全等二级技术准备清单(2级系统) 1.总体准备: 系统网络拓扑图,要求与实际系统一致,及时更新 上机检查(抽查):核心网络设备(交换机、路由、防火墙)、服务器主机 2.检查重点: 身份鉴别:复杂度,唯一性,非法登录次数,超时处理措施 访问控制:网络边界部署访问控制设备,控制粒度:网段级、单个用户,修改默认账户,删除多余过期账户,权限分离,最小权限原则,尽量
避免Telnet,限制登录网络设备网段 入侵防范:网络层:网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和
网络蠕虫攻击等。 主机:最小安装(包括系统服务)的原则,及时更新。 安全审计:网络设备运行状况、网络流量、用户行为等进行日志记录;内容:事件日期、时间、发起者信息、类型、描述和结果等,审计记录无
法删除、修改或覆盖。 恶意代码防范:及时更新,统一管理(规定和记录) 备份和恢复:对重要信息进行备份,关键网络设备、通信线路和数据处理系统硬件冗余 应用系统容错性:输入有效性检查:数据格式或长度,故障和恢复 3.相关记录* 设备运行情况记录,定期维护核查记录、更新升级记录、备份和介质管理记录、安全事件记录等。
文档准备清单(G2管理) 1.总体性工作文件:信息安全等级保护工作的文件、信息安全工作规划或实施方案
书面明确安全管理机构(信息安全领导小组,责任部门,人员),落实信息安全责任信息安全建设规划(按照国家标准或行业标准建设安全设施,落实安全措施,行业、部门信息安全等级保护行业标准规范)
2.定级、备案材料(新建信息系统是否在规划、设计阶段确定安全保护等级并备案)
3.基本安全管理制度 □机房安全管理制度 □网络安全管理制度 □系统运行维护管理制度 □系统安全风险管理制度 □资产和设备管理制度 □数据及信息安全管理制度 □用户管理制度 □备份与恢复管理制度 □密码管理制度 □安全审计管理制度 □岗位和人员管理制度 □技术测评管理制度(包括监督措施) □信息安全产品采购、使用管理制度 □安全事件报告和处置管理制度,信息系统安全应急处置预案 □教育培训制度 □自查和整改的规定 4.岗位职责说明书、责任承诺书 □系统管理员□网络管理员□安全管理员□安全审计员 5.记录文件: □定期组织开展应急处置演练 □定期开展信息安全知识和技能培训 □自查和整改的方案和记录 (□等级测评监督记录) 6.资质证明: 信息安全产品、生产单位相关证明: □产品生产单位营业执照 □产品版权或专利证书 □产品或生产单位的相关声明或证明材料 □计算机信息系统安全专用产品销售许可证 (国外信息安全产品的,是否经主管部门批准,并请有关单位对产品进行专门技术检测)测评机构相关证明:
等级保护现场测评记录表 二级
d） 应与从事关键岗位的人员签署保密协议。
（G2）负责人员录用；
b） 应规范人员录用过程,对被录
试验收结果，形成测试验收报告；
c） 应组织相关部门和相关人员对系统测试验收报告进行审定，并Array提供技术支持和服务承诺,必要的
与其签订服务合同。
商 选择(G2)合国家的有关规定;
b） 应与选定的安全服务商签订
使用的行为。
（G2）清单，包括资产责任部门、重要
程度、所处位置等内容；
型、采购、发放和领用等过程进
行规范化管理；
c） 应对终端计算机、工作站、便
携机、系统和网络等设备的操作
（G2）(包括备份和冗余设备）、线路等
指定专门的部门或人员定期进行
均得到授权和批准。
份；
d） 应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏Array f） 应定期对运行数据和审计日志进行分析,以便及时发现异常行为。
志管理和日常操作流程等方面作出规定；
e） 应依据操作手册对系统进行维护,详细记录操作日志,包括重要
急预案培训，应急预案的培训至少每年举办一次。
信息安全等级保护二级测评控制点
访谈，检查，测试。
应用系统管理员，应用系统。
70.
应能够对系统的最大并发会话连接数进行限制。
71.
应能够对单个帐户的多重并发会话进行限制。
数据完整性
72.
应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。
访谈，检查。
访谈，检查。
物理安全负责人，机房维护人员，机房设施（供电线路，稳压器，过电压防护设备，短期备用电源设备），电力供应安全设计/验收文档，检查和维护记录。
18.
应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求。
电磁防护
19.
电源线和通信线缆应隔离铺设，避免互相干扰。
访谈，检查。
物理安全负责人，机房维护人员，机房设施，电磁防护设计/验收文档。
应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施。
36.
当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
主机安全
身份鉴别
37.
应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
访谈，检查，测试。
系统管理员，数据库管理员，服务器操作系统、数据库，服务器操作系统文档，数据库管理系统文档。
2.
机房出入口应安排专人值守，控制、鉴别和记录进入的人员。
访谈，检查。
物理安全负责人，机房值守人员，机房，机房安全管理制度，值守记录，进入机房的登记记录，来访人员进入机房的审批记录。
3.
需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。
防盗窃和防破坏
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
文件编号 CDJX-DJCP-
-002
文件版本 V2.0
编写 钱平
校对 胥滔
审核 朱光剑
修订次数 2
打印份数 控制状态 是否装订 归档部门
信息系统安全等级保护测评 附件2 网络安全测评记录（S2A2G2级）
单位名称: 系统名称:
测试时间 年 月 日- 月 日 目 录 一、网络安全测评记录判定 ............................................................ 1 二、网络拓扑结构（必须画出） .................................................... 6 三、路由、交换设备（资产识别） ................................................ 7 四、网络安全设备（资产识别） .................................................... 8 五、交换机测评记录 ...................................... 错误！未定义书签。 六、路由器测评记录 ...................................... 错误！未定义书签。 七、网络安全设备测评记录 .......................... 错误！未定义书签。 网络安全测评记录（二级）
第1页 共32页 一、 网络安全测评记录判定 类别 序号 测评项 测评实施 结果记录 符合情况 结果 情况记录 符合 不符合
结构安全(G2) 1 a) 应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； 1) 应访谈网络管理员，询问主要网络设备的性能以及目前业务高峰流量情况； 通 过：□ 不通过：□ 不适用：□ 2 b) 应保证接入网络和核心网络的带宽满足业务高峰期需要； 1) 应检查网络设计或验收文档，查看是否有主要网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈等方面的设计或描述； 通 过：□ 不通过：□ 不适用：□
3 c) 应绘制与当前运行情况相符的网络拓扑结构图
1) 应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致； 通 过：□
不通过：□ 不适用：□ 网络安全测评记录（三级）
第2页 共32页 类别 序号 测评项 测评实施 结果记录 符合情况 结果 情况记录 符合 不符合
4 d) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段 1)查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段； 通 过：□ 不通过：□ 不适用：□
访问控制(G2)
5 a) 应在网络边界部署访问控制设备，启用访问控制功能；
1) 应访谈安全管理员，询问网络访问控制措施有哪些；
通 过：□
不通过：□ 不适用：□
2) 应对网络访问控制措施进行
渗透测试，可通过采用多种渗透测试技术，验证网络访问控制措施是否不存在明显的弱点；
通 过：□ 不通过：□ 不适用：□
6 b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级； 1) 应检查边界网络设备，查看其是否根据会话状态信息对数据流进行控制，控制粒度是否为网段级；
通 过：□ 不通过：□ 不适用：□
7 c) 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户； 1) 应测试边界网络设备，可通过试图访问未授权的资源，验证访问控制措施对未授权的访问行为的控制是否有效，控制粒度是否为单个用户； 通 过：□ 不通过：□ 不适用：□ 网络安全测评记录（三级）
第3页 共32页 类别 序号 测评项 测评实施 结果记录 符合情况 结果 情况记录 符合 不符合
8 d) 应限制具有拨号访问权限的用户数量
1) 应检查边界网络设备查看其是否限制具有拨号访问权限的用户数量； 通 过：□
不通过：□ 不适用：□
安全审计(G2)
9 a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； 1) 应检查边界和主要网络设备，查看审计策略是否包含网络系统中的网络设备运行状况、网络流量、用户行为等；
通 过：□ 不通过：□ 不适用：□
10 b) 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
1) 应检查边界和主要网络设备，查看事件审计记录是否包括：事件的日期和时间、用户、事件类型、事件成功情况，及其他与审计相关的信息； 通 过：□ 不通过：□ 不适用：□
边界完整性检查(S3) 11 a) 应能够对非授权设备私自联到内部网络的行为进行检查；
1) 应访谈安全管理员，询问是否对内部用户私自接入到内部网络的行为进行监控； 通 过：□ 不通过：□ 不适用：□
2) 应测试边界完整性检查设备，测试是否能够对非授权设备私自接入内部网络的行为进行检查； 通 过：□
不通过：□ 不适用：□ 网络安全测评记录（三级）
第4页 共32页 类别 序号 测评项 测评实施 结果记录 符合情况 结果 情况记录 符合 不符合
入侵防范(G2) 12 a) 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等
1) 应访谈安全管理员，询问网络入侵防范措施有哪些，是否有专门设备对网络入侵进行防范； 通 过：□ 不通过：□ 不适用：□
2) 应检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；
通 过：□ 不通过：□ 不适用：□
3) 应测试网络入侵防范设备，验证其报警策略是否有效；
通 过：□
不通过：□ 不适用：□
网络设备防护(G2)
13 a) 应对登录网络设备的用户进行身份鉴别； 1) 应访谈网络管理员，询问主要网络设备的防护措施有哪些
通 过：□
不通过：□ 不适用：□
14 b) 应对网络设备的管理员登录地址进行限制；
1)应检查边界和主要网络设备，查看是否对边界和主要网络设备的管理员登录地址进行限制 通 过：□
不通过：□ 不适用：□
15 c) 网络设备用户的标识应唯一； 1)应检查边界和主要网络设备用户的标识应唯一
通 过：□
不通过：□ 不适用：□ 网络安全测评记录（三级）
第5页 共32页 类别 序号 测评项 测评实施 结果记录 符合情况 结果 情况记录 符合 不符合
16 e) 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；
1) 应检查边界和主要网络设备，查看是否配置了登录用户身份鉴别功能，口令设置是否有复杂度和定期修改要求；
通 过：□ 不通过：□ 不适用：□
2) 应访谈网络管理员，询问网络设备的口令策略是什么；
通 过：□
不通过：□ 不适用：□
17 f) 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；
1) 应检查边界和主要网络设备，查看是否配置了鉴别失败处理功能； 通 过：□ 不通过：□ 不适用：□
2)查看是否设置网络登录连接超时，并自动退出
通 过：□
不通过：□ 不适用：□
18 g) 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听； 1) 应检查边界和主要网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；
通 过：□ 不通过：□ 不适用：□
测评人员（签字）： 结果确认（签字）： 测评日期： 网络安全测评记录（三级）
第6页 共32页 二、网络拓扑结构（必须画出）