9.2 系統安全評估

9.2 系統安全評估

9.2.1　物理安全

本項評估方法與結果判定如下：
a) 評估方法
檢查其機房場地在防火、防水、防震、溫濕度控制等方面是否符合GB/T 22239—2008中第三級基本要求的物理安全要求。
b) 結果判定

9.2.2　網絡邊界安全

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站系統與互聯網之間的網絡邊界處是否部署防火墻等邊界隔離設備，是否實現網站系統與互聯網之間的邏輯隔離；
2) 檢查網站系統安全域與其他安全域之間是否配置相應的安全域邊界過濾策略；
3) 驗證互聯網用戶和內部用戶僅能訪問網站服務器提供的HTTP服務等指定的服務和端口，嘗試訪問其它服務和端口；
4) 驗證是否僅允許指定的IP地址訪問網站系統提供的內容管理、系統管理等重要服務和端口，嘗試其它IP地址是否能訪問。
b) 結果判定
如果能夠滿足以下全部預期結果，則符合本項要求，否則不符合或部分符合本項要求：
1) 網站系統與互聯網已實現邏輯隔離；
2) 網站系統已配置相應的邊界過濾策略；
3) 互聯網用戶和內部用戶僅能訪問指定的服務和端口；

9.2.3　服務器安全

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站服務器的操作系統和數據庫系統是否遵循最小安裝原則，是否僅安裝業務必需的軟件、服務和組件等；
2) 驗證服務器操作系統及數據庫系統是否對登錄用戶進行身份標識和鑒別；
3) 驗證服務器操作系統及數據庫系統是否具有用戶登錄失敗處理功能，是否配置并啟用登錄失敗后結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施；
4) 檢查服務器是否設置必要的用戶訪問控制策略，是否為用戶授予其所需的最小權限；
5) 檢查服務器操作系統及數據庫系統中是否存在默認口令、無用賬號；
6) 檢查網站Web服務器、數據庫服務器等重要服務器的遠程管理方式，驗證是否采用SSH等安全方式實現服務器的遠程管理，驗證對遠程管理的管理員是否采用數字證書等高強度鑒別方式；
7) 驗證服務器操作系統及數據庫系統是否僅開啟業務所需的最少服務及端口，嘗試訪問其它服務和端口；
8) 驗證服務器操作系統及數據庫系統是否具有安全審計功能，是否對用戶的登錄和注銷、系統開關機、重要服務訪問和核心配置變更等操作進行日志記錄；
9) 驗證安全審計日志及審計策略是否設置必要的訪問控制，嘗試未授權的刪除或修改審計日志及審計策略等。
b) 結果判定

9.2.4　管理終端安全

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查是否對接入的管理終端采取技術措施進行身份鑒別，是否身份鑒別通過后方可接入和使用網絡資源；
2) 檢查管理終端是否設置端口、協議等訪問控制策略，嘗試是否能非授權遠程訪問管理終端；
3) 驗證管理終端是否設置并啟用移動存儲介質接入安全策略，嘗試插入外來移動存儲介質，驗證是否啟動安全檢驗程序；
4) 驗證是否存在長期設置的共享目錄，短期的共享文件是否明確共享權限；
5) 驗證管理終端對軟件的增加、修改、刪除等變更情況是否具有日志審計功能，查看審計信息是否包括時間、用戶、操作及結果等要素；
6) 驗證管理終端是否定期進行軟件安全漏洞掃描，是否及時評估和修補已知的軟件安全漏洞。
b) 結果判定
如果能夠滿足以下全部預期結果，則符合本項要求，否則不符合或部分符合本項要求：
1) 應在使用網絡資源前進行身份鑒別；
2) 能阻止非授權遠程訪問；
3) 能啟用安全程序對移動存儲介質進行檢驗；
4) 應正確設置文件共享功能；
5) 能對軟件變更情況產生審計日志，并記錄時間、用戶、操作及結果等要素；

9.2.5　Web應用安全

本項評估方法與結果判定如下：
a) 評估方法
1) 驗證網站是否對注冊用戶采用數字證書等不同強度的身份鑒別機制；
2) 驗證網站是否具有注冊用戶登錄失敗處理功能，是否配置并啟用登錄失敗后結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施；
3) 驗證網站是否提供訪問控制功能，是否授予網站用戶所需的最小權限；
4) 驗證網站是否提供安全審計功能，是否對用戶的注冊、登錄和注銷、關鍵業務操作等行為進行日志記錄；
5) 驗證安全審計日志及審計策略是否設置必要的訪問控制，嘗試未授權的刪除或修改審計日志及審計策略等；
6) 驗證網站是否根據實際訪問需求限制用戶最大并發會話連接數；
7) 嘗試用戶在一段時間內未作任何操作，驗證網站是否自動結束當前會話；
8) 驗證網站是否定期針對Web應用程序、運行環境等進行漏洞掃描，是否及時修補已知的安全漏洞。
b) 結果判定

9.2.6　域名安全

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站是否在國家主管部門批準的域名注冊服務機構進行域名注冊和托管，是否進行域名信息報備；
2) 檢查網站是否遵循國家相關監督審批流程開展域名變更、解析地址變更等工作，當發生域名信息變更時，是否由指定專人負責實施并及時記錄；
3) 檢查網站是否對域名解析的正確性進行監控，以發現可能的惡意攻擊。
b) 結果判定

9.2.7　內容發布及數據安全

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站內容管理模塊是否提供網站內容編輯與審核發布權限相分離的功能；
2) 驗證網站是否僅向注冊用戶提供信息發布功能，是否具有內容發布前的審核功能；
3) 驗證網站是否提供技術手段輔助進行網站用戶論壇、留言板等信息發布內容的過濾；
4) 驗證網站是否根據規模和信息內容已選擇相應的網頁防篡改產品，是否對網站關鍵的靜態頁面和動態頁面進行監控和保護，嘗試對網站關鍵的頁面內容進行非授權修改；
5) 驗證網站是否保護收集到的個人信息、關鍵配置參數、重要業務數據等，是否在遠程傳輸及本地存儲過程中采用相應安全措施進行安全保護；
6) 驗證網站是否對應用程序、系統數據、配置數據及審計日志等定期進行備份，是否根據網站需求采取異地備份措施，并實施備份恢復演練。
b) 結果判定
如果能夠滿足以下全部預期結果，則符合本項要求，否則不符合或部分符合本項要求：
1) 網站具有內容發布前的審核功能；
2) 網站具有信息發布內容的過濾功能；
3) 非授權用戶無法修改網站頁面；
4) 網站對個人信息與重要數據的傳輸與存儲采取安全措施進行保護；

9.2.8　運行支撐

本項評估方法與結果判定如下：
a) 評估方法
1) 確認網站的運行模式，如采用主機托管或虛擬主機模式建設運行，檢查其數據中心在物理安全、網絡邊界安全、服務器安全等方面是否符合本標準增強級要求或GB/T 22239—2008中第三級基本要求；
2) 確認網站系統的Web應用程序與數據庫系統是否分開部署在不同的獨立物理服務器或虛擬服務器上；
3) 驗證網站系統的應用程序的并發處理能力、服務器的處理能力、網絡帶寬等方面是否滿足性能需求。
b) 結果判定

9.2.9　攻擊防范

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站是否在網絡邊界、服務器、管理終端等處采取惡意代碼防范軟件等措施，是否對企圖進入網站系統的惡意代碼進行有效攔截和清除；
2) 驗證網站是否對惡意代碼防范軟件的運行狀態進行監測，是否對修改配置或關閉進程的行為進行監測；
3) 驗證網站是否及時對接入介質及其文件進行安全掃描；
4) 驗證網站是否針對信息系統中的安全事件進行實時監控，模擬針對網站的端口掃描、拒絕服務攻擊、木馬攻擊、緩沖區溢出攻擊、網絡蠕蟲攻擊、目錄遍歷攻擊、SQL注入、跨站腳本攻擊等常見網絡攻擊行為，驗證是否能監測和阻斷；
5) 驗證網站經營者是否提供人員意識教育和培訓，以防御社會工程攻擊。
b) 結果判定

9.2.10　安全監控與應急響應

本項評估方法與結果判定如下：
a) 評估方法
1) 檢查網站是否利用網站安全監控系統或第三方安全服務等方式，監測網站的運行狀態；對網站觸發停止服務、網站掛馬、網頁篡改等事件，查看是否有對異常狀況進行實時報警和處置；
2) 檢查網站是否根據系統的具體特點已制定應急響應預案，當信息安全事件發生時，是否能按照應急預案的要求及時實施應急響應措施并記錄。
b) 結果判定
如果能夠滿足以下全部預期結果，則符合本項要求，否則不符合或部分符合本項要求：
1) 可以顯示出網站的運行狀態以及出現異常時實時顯示告警信息；
2) 對于報警信息能夠及時給出解釋和建議解決方案；