在上一(yī)期等保2.0基本要求解讀系列（一(yī)）中(zhōng)，我(wǒ)(wǒ)們圍繞等級保護2.0在網絡安全部分(fēn)的條款變化以及由此帶來的影響進行了詳細的闡述和分(fēn)析。本篇我(wǒ)(wǒ)們将以等級保護三級爲基礎，針對等級保護2.0中(zhōng)安全計算環境部分(fēn)進行解讀。

再次回顧等級保護2.0的整體(tǐ)變化，整體(tǐ)結構從物(wù)理安全、網絡安全、主機安全、應用安全、數據安全變成安全物(wù)理環境、安全通信網絡、安全區域邊界、安全計算環境和安全管理中(zhōng)心，其中(zhōng)原等級保護1.0中(zhōng)的“主機安全”部分(fēn)整合到“安全計算環境”中(zhōng)。

1條款對比詳解

在身份鑒别這一(yī)小(xiǎo)節中(zhōng)首先弱化了系統的概念，提出标識的唯一(yī)性，将原等級保護1.0中(zhōng)老舊(jiù)條款的e）删除。同時對雙因子認證進行了加強，強調“口令、密碼技術、生(shēng)物(wù)技術的組合鑒别，要求其中(zhōng)一(yī)種至少應使用密碼技術來實現”

高風險強調

在身份鑒别這部分(fēn)要求中(zhōng)，設備存在弱口令，遠程管理無防護和缺少雙因子認證均是高危風險項。

對企業、安全廠家、系統集成商(shāng)提出的要求：

1)  集成商(shāng)進行業務應用軟件設計時，應考慮業務應用系統在“用戶名”+“口令”的基礎上進一(yī)步實現通過密碼技術對登錄用戶的身份進行鑒别，同時應避免業務應用系統的弱口令問題；

 

2)  集成商(shāng)進行業務應用軟件設計時，應充分(fēn)考慮用戶權限的控制以及用戶在登錄失敗後的處理機制；

3)  企業在業務運營期間不可通過不可控的網絡環境進行遠程管理，容易被監聽(tīng)，造成數據的洩露，甚至篡改；

 

4)  安全廠家在進行安全産品選用時，應采用具有兩種或以上的組合鑒别方式的安全防護軟件對登錄系統的管理用戶進行身份鑒别。滿足本地身份認證和第三方遠程身份認證雙因子驗證要求。

訪問控制

在訪問控制這一(yī)小(xiǎo)節中(zhōng)，主要是将原等級保護1.0中(zhōng)的條款進行了完善，強調“強制訪問控制”，明确授權主體(tǐ)可以通過配置策略規定對客體(tǐ)的訪問規則，控制粒度等。

高風險強調

要求項中(zhōng)，未重命名或删除默認賬戶，未修改默認賬戶的默認口令屬于高風險項。
對企業、安全廠家、系統集成商(shāng)提出的要求：

1)  集成商(shāng)進行業務應用軟件設計時，應充分(fēn)考慮用戶權限的控制以及用戶在登錄失敗後的處理機制，确保業務應用系統不存在訪問控制失效的情況；

 

2)  企業或集成商(shāng)在進行系統配置時，應爲用戶分(fēn)配賬戶和權限，删除或重命名默認賬戶及默認口令，删除過期、多餘和共享的賬戶；

  

  3)  安全廠家在進行安全産品選用時，應采用符合強制訪問控制要求的安全防護軟件對主機、系統進行防護，可以有效的降低高風險項的風險等級。

安全審計

在安全審計這一(yī)小(xiǎo)節中(zhōng)，主要是将一(yī)些過于老舊(jiù)的條款進行了删除，将原等級保護1.0中(zhōng)的a）b）d）條款删除，整合爲“啓用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行爲和重要安全事件進行審計”。審計記錄中(zhōng)删除“主體(tǐ)标識、客體(tǐ)标識和結果等”并改爲“事件是否成功及其他與審計相關的信息”，增加對審計記錄的“定期備份”。

高風險強調

要求項中(zhōng)，未啓用安全審計功能，審計覆蓋到每個用戶，未對重要的用戶行爲和重要安全事件未進行審計屬于高風險項。對企業、安全廠家、系統集成商(shāng)提出的要求：

1)  對集成商(shāng)而言，業務應用系統軟件的安全審計能力至關重要，需要能夠對重要用戶操作、行爲進行日志(zhì)審計，并且審計的範圍不僅僅是針對前端用戶，也要針對後端用戶；

2)  對企業來說，在基礎建設時應該在重要核心設備、操作系統、數據庫性能允許的前提下(xià)，開(kāi)啓用戶操作類和安全事件的審計策略，并在安全運營的過程中(zhōng)對策略的開(kāi)啓定期檢查；

3)  安全廠家在進行安全審計産品選用時，應采用可以覆蓋到每個用戶并可對重要的用戶行爲和重要安全事件進行審計的産品。可利用日志(zhì)審計系統實現對日志(zhì)的審計分(fēn)析并生(shēng)産報表，通過堡壘機來實現對第三方運維操作的審計。

剩餘信息保護

在剩餘信息保護這一(yī)小(xiǎo)節沒有明顯的變化，主要是将“操作系統和數據庫系統用戶”和“無論這些信息是存放(fàng)在硬盤上還是在内存中(zhōng)”等限制性條件進行了删除，将“系統内的文件、目錄和數據庫記錄等資(zī)源所在的存儲空間”改爲“存有敏感數據的存儲空間”。

高風險強調

應保證鑒别信息所在的存儲空間被釋放(fàng)或重新分(fēn)配前得到完全清除，該項爲高風險項。如果身份鑒别信息釋放(fàng)或清除機制存在缺陷，如在清除身份鑒别信息後，仍能進行訪問資(zī)源的操作，屬于高風險。
對企業、安全廠家、系統集成商(shāng)提出的要求：企業或集成商(shāng)在服務器上啓用基于操作系統本身的剩餘信息保護功能。

入侵防範

在入侵防範這一(yī)小(xiǎo)節中(zhōng)，将a）和b）進行了整合，“重要服務器”改爲“重要節點”，新增d）和e），要求系統可以對數據進行有效性檢驗，同時可以發現系統存在的已知(zhī)漏洞，在驗證後可以進行修補。

高風險強調

不必要的服務、端口未關閉；管理終端管控無措施均屬于高危風險項目。
對企業、安全廠家、系統集成商(shāng)提出的要求：

1)  企業或集成商(shāng)在進行系統安裝時，遵循最小(xiǎo)安裝原則，僅安裝業務應用程序及相關的組件；

 

2)  企業或集成商(shāng)進行應用軟件開(kāi)發時，需要考慮應用軟件本身對數據的符合性進行檢驗，确保通過人機接口或通信接口收到的數據内容符合系統應用的要求；

 

3)  企業或集成商(shāng)在選擇主機安全防護軟件時除了要考慮主機安全防護軟件的安全功能以外(wài)，還要考慮與實際業務場景結合的問題，能夠有效的幫助業主解決實際痛點。工(gōng)業現場大(dà)部分(fēn)現場運維人員(yuán)對安全知(zhī)之甚少，很難嚴格按照等級保護要求将安全配置一(yī)一(yī)完善，所以選擇的主機安全防護軟件應可以通過最簡單的配置來滿足等級保護的要求；

 

4)  解決安全漏洞最直接的辦法是更新補丁，但對于工(gōng)業控制系統而言，打補丁的動作越謹慎越好，避免由于更新補丁而影響到生(shēng)産業務。該條款需要企業委托第三方工(gōng)控安全廠家對系統進行漏洞的掃描，發現可能存在的已知(zhī)漏洞，根據不同的風險等級形成報告，企業或集成商(shāng)根據報告在離(lí)線環境經過測試評估無誤後對漏洞進行修補。

在惡意代碼防範這一(yī)小(xiǎo)節将a)、b）、c）進行了整合，同時提出了主動免疫可信驗證機制，即“文件加載執行控制”的“白(bái)名單”技術。

高風險強調

未安裝防惡意代碼軟件，并進行統一(yī)管理，無法防止來自于外(wài)部的病毒、惡意代碼入侵，爲高風險項。

對企業、安全廠家、系統集成商(shāng)提出的要求：
工(gōng)業現場惡意代碼防範一(yī)直是用戶的痛點，受制于工(gōng)業現場環境，殺毒軟件無法在工(gōng)業環境内發揮作用。誤殺、漏殺、占用資(zī)源、無法升級等問題一(yī)直被诟病。所以在工(gōng)業場景中(zhōng)應該選擇采用白(bái)名單機制的安全防護軟件。

資(zī)源控制

資(zī)源控制這一(yī)小(xiǎo)節整體(tǐ)進行了删減，将部分(fēn)内容整合到集中(zhōng)管控章節。

2整合内容詳解

将原等級保護1.0數據安全内容整合到安全計算環境中(zhōng)，如下(xià)圖所示：

高風險強調

數據傳輸完整性保護和保密性保護，針對不同的業務場景，如業務場景對數據傳輸的完整性要求高，未采取相應措施，則爲高風險；如業務場景對數據傳輸保密性要求高，未采取相應措施，則爲高風險。數據存儲完整性保護和保密性保護，針對不同的業務場景，如業務場景對數據存儲的完整性要求高，未采取相應措施，則爲高風險；如業務場景對數據存儲保密性要求高，未采取相應措施，則爲高風險。

對企業、安全廠家、系統集成商(shāng)提出的要求：在工(gōng)業現場大(dà)部分(fēn)的場景對于數據傳輸、存儲完整性要求要高于數據傳輸、存儲保密性要求。對于系統集成商(shāng)在應用通過密碼技術來保證傳輸數據的完整性，并在服務器端對數據有效性進行驗證。在工(gōng)業現場關鍵服務器、工(gōng)作站内存儲的業務軟件及配置文件的完整性和可用性是至關重要的，一(yī)旦其完整性遭到破壞，直接影響現場生(shēng)産任務。所以對于安全廠家提出的要求就是其安全防護軟件應可以通過訪問控制功能，對存儲的數據、配置文件進行完整性保護，避免遭到非法破壞。企業應建立異地備份中(zhōng)心，同時形成數據備份制度，定期進行現場的關鍵數據、配置文件的備份。 （以上信息來源于：威努特工(gōng)控安全）