等保2.0标准技术要求浅析与初步实践思考

2019-10-15蔺旭冉

网络安全技术与应用 2019年10期

◆蔺旭冉

◆蔺旭冉

（核工业计算机应用研究所北京 100048）

等保2.0新标准的正式发布，标志着我国的非涉密网络安全基本防护框架，从政策到标准体系层面都迈入了2.0时代。为更好地应对新形势、新风险和新需求，本文通过对新标准中的技术要求进行分析和研究，总结三级要求技术要点，并结合企业工作实际进行了部分要求的初步实践思考，为后续更全面和深入地开展网络安全能力建设工作提供参考。

网络安全；等保2.0；可信计算；安全管理平台

在全球网络安全形势日趋严峻、国家高度重视的新形势下，我们的信息化和网络安全建设按照等保1.0标准体系要求虽已取得快速发展，但仍然面临着网络安全威胁快速增大、新技术广泛应用导致安全风险隐患增多等问题和不足。等保2.0新标准的适时推出，为主动防护工作开展及时提供指导，可更好地践行国家网络安全战略，满足工业智能制造和数字化运营的发展需要。

本文尝试对等保2.0新标准变化和技术要求进行理解研究，并在此基础上总结初步实践经验，为后续更全面和深入地开展网络安全能力建设工作提供参考。

1 标准变化

相比旧标准体系，新标准统一了基本要求与设计要求的安全框架（通信网络、区域边界、计算环境），充分体现“一个中心，三重防护”的纵深防御思路，强化可信计算安全技术要求应用。主要变化和改进点浅析如下：

1.1 从“信息系统”调整为定级对象

定级对象包括原有的基础信息网络和信息系统，扩展云计算平台、大数据平台、物联网和工业控制系统等新技术应用对象。

1.2 安全要求调整为通用和扩展要求

安全通用要求针对共性化保护需求提出，不管等级保护对象形态如何，必须满足响应保护等级的要求。安全扩展要求针对云计算、移动互联、物联网和工业控制系统等个性化保护需求提出，对应特定技术或特定的应用场景。

1.3 可信验证技术落实到每个等级的需求中

要求针对计算资源构建保护环境：一级是系统引导程序与系统程序、二级是重要配置参数与应用程序+审计记录、三级是应用程序重要执行环节、四级是应用程序所有执行环节。

1.4 统一安全技术规划思路

通过确定保护对象边界划分安全需求，按照纵深防御设计物理环境、通信网络、网络边界、主机设备、应用和数据多层级的技术防护措施，通过安全管理中心实现安全检测、日常管理、事件处置和分析取证的集中化管控，框架如图1所示。

图1 安全管理中心框架图

2 技术要点

新标准的技术要求“从面到点”提出安全要求，定义更精确、内涵更丰富。结合工作实际，初步研究和理解三级要求的主要技术要点如下。

2.1 通用要求

2.1.1通信网络

（1）合理规划网络安全域、地址分配、网络性能和带宽冗余；

（2）对通信设备进行可信验证；

（3）采用传输加密措施。

2.1.2 网络边界

（1）内外网的网络界边界设置访问控制策略，配置到具体端口；

（2）网络边界处应当部署入侵防范手段，防御并记录攻击或异常行为，加强垃圾邮件防护；

（3）对网络内部用户的行为日志和安全事件信息进行记录和审计；

（4）设立安全管理区域，对安全设备、网络设备和服务器等进行集中管理；

（5）对边界设备进行可信验证。

2.1.3 主机设备

（1）避免账号共享、防止弱口令、记录和审计运维操作行为是主机设备安全的基本要求；

（2）采取身份鉴别、堡垒主机等必要的安全手段保证系统层安全，防范对主机设备的攻击行为。

2.1.4 应用和数据

（1）应用是具体业务的直接实现，不具有网络和系统相对标准化的特点。大部分应用本身的身份鉴别、访问控制和操作审计等功能，都难以用第三方产品来替代实现，主要依托系统自身的安全设计与实现；

（2）对于数据的完整性和保密性，除了在其他层面进行安全防护以外，应用层加密是最为有效的方法；

（3）数据异地备份是实现业务连续最基础的技术保障措施。

2.2 扩展要求

2.2.1 云计算扩展

（1）自运营或租赁方式的云计算基础设施、用户数据均应在境内；

（2）加强租户安全保障，具备安全组件选择、安全策略配置、攻击监测预警和运维审计等安全管控能力。

2.2.2 移动互联扩展

（1）无线区域边界要求采用国密算法的无线接入认证网关，具备对非授权接入的阻断能力；

（2）应对移动终端和应用进行安全管控，包括APP的安全认证客户端管控和APP开发商的认证管理等。

2.2.3 物联网扩展

（1）关注感知点的环境影响，包括避免干扰、具备长时间供电能力等；

（2）计算环境方面应对感知节点授权接入、网关节点管控能力和数据管理等方面进行防护强化。

2.2.4 工业控制扩展

（1）要求在工业控制系统与其他系统之间采取单向隔离措施，通过数字证书认证、传输加密和接入控制等措施提高通信网络和区域边界的安全管控；

（2）加强控制设备安全防护和管理，包括取消控制设备上无须外设与连接，运维控制设备需要专用设备，控制设备上线前需要安全检测等。

3 实践思考

通过对等保2.0标准的初步分析研究，结合日常网络安全建设和运营管理实践工作中发现的风险隐患，对照新标准的变化和技术要求要点，针对如何提高后续的技术防护能力，提出以下几点实践思考。

实际在安全运维工作过程中，经常存在内部管理网络与互联网等外部网络不受控连接，访问控制策略粗放并缺少攻击监测和防御手段等隐患和不足。须通过单向网闸管控内外部网络的连接，最小化允许网络访问的控制策略，部署攻击行为监测并建立相应的分析处置机制等措施，确保网络边界严格可控，具备网络信息系统安全可控的基本条件。

主机层面的安全防护措施必须落实在承载系统上线前完成，如操作系统安全加固、补丁更新、账户权限管控、日志审计、安全防护产品部署等，避免为保障业务可用性在上线后难以配置和执行。

结合已开展的各项等级保护测评及网络安全风险自评估所发现问题和相关工作经验，业务应用核心的软件系统往往会存在较大的安全漏洞和缺陷，其安全基础较差且难以在上线期间进行修补和整改。须整体强化各类业务应用软件安全基础管控，逐步建立上线前软件源码安全审查和检测机制，降低系统“带病上线”风险，提高基础安全能力。

可立足于现有网络安全防护基础，构建主动防御体系和机制，建立企业网络安全管理平台作为未来安全运维主要工作基础。依托安全管理平台可持续进行网络安全动态检测和集中分析，综合评估潜在安全威胁并加以预防，整体提高监测分析处置效率和能力，有效降低网络安全事件发生的可能性，并实现对安全风险和事件的预测。