報告編號： XXXXXXXX 測測 評評 報報 告告 系統名稱：系統名稱： XX 被測單位：被測單位： XX 測評單位：測評單位： xx 信息安全技術有限公司 報告時間：報告時間： 信息系統等級測評基本信息表 信息系統信息系統 系統名稱系統名稱安全保護等級安全保護等級 備案證明編號備案證明編號測評結論測評結論 被測單位被測單位 單位名稱單位名稱 單位地址單位地址郵政編碼郵政編碼 姓 名職務/職稱 所屬部門辦公電話聯聯 系系 人人 移動電話電子郵件 測評單位測評單位 單位名稱單位名稱xx 信息安全技術有限公司單位代碼單位代碼 通信地址通信地址鄭郵政編碼郵政編碼 1 姓 名職務/職稱總經理 所屬部門辦公電話 0 聯聯 系系 人人 移動電話電子郵件 編 制 人編制日期 20 -06-30 審 核 人審核日期 20 -06-30 審核批準審核批準 批 準 人批準日期 20 -06-30 聲 明 本次測評由 XX 委托 xx 信息安全技術有限公司負責實施。項目組人員：XX。 本報告是 XX 的等級測評報告。 本報告測評結論的有效性建立在被測評單位提供相關證據的真實性基礎之上。 本報告中給出的測評結論僅對被測信息系統當時的安全狀態有效。當測評工作完成后， 由于信息系統發生變更而涉及到的系統構成組件（或子系統）都應重新進行等級測評，本報 告不再適用。 本報告中給出的測評結論不能作為對信息系統內部署的相關系統構成組件（或產品）的 測評結論。 在任何情況下，若需引用本報告中的測評結果或結論都應保持其原有的意義，不得對相 關內容擅自進行增加、修改和偽造或掩蓋事實。 xx 信息安全技術有限公司(蓋章) 20 年 6 月 目 錄 報告摘要1 第 1 章測評項目概述3 1.1 測評目的3 1.2 測評依據3 1.3 測評過程3 1.4 報告分發范圍5 第 2 章被測信息系統情況6 2.1 網絡結構6 2.2 系統構成7 2.2.1業務應用軟件.7 2.2.2主機/存儲設備7 2.2.3網絡互聯設備.8 2.2.4安全設備.8 2.2.5安全相關人員.8 2.2.6安全管理文檔.8 第 3 章等級測評范圍與方法11 3.1 測評指標11 3.1.1基本指標.11 3.1.2特殊指標.12 3.2 測評對象12 3.2.1測評對象選擇方法.12 3.2.2測評對象選擇結果.12 3.3 測評方法15 第 4 章單元測評17 4.1 物理安全17 4.1.1結果記錄.17 4.1.2匯總與分析.24 4.2 網絡安全25 4.2.1結果記錄.25 4.2.2匯總與分析.36 4.3 主機安全（操作系統）38 4.3.1結果記錄.38 4.3.2匯總與分析.52 4.4 主機安全（數據庫）55 4.4.1結果記錄.55 4.4.2匯總與分析.61 4.5 應用安全62 4.5.1結果記錄.62 4.5.2匯總與分析.71 I 4.6 數據安全及備份恢復73 4.6.1結果記錄.73 4.7 安全管理制度77 4.7.1結果記錄.77 4.7.2匯總與分析.79 4.8 安全管理機構80 4.8.1結果記錄.80 4.8.2匯總與分析.84 4.9 人員安全管理85 4.9.1結果記錄.85 4.9.2匯總與分析.88 4.10系統建設管理89 4.10.1 結果記錄.89 4.10.2 匯總與分析.99 4.11系統運維管理100 4.11.1 結果記錄.100 4.11.2 匯總與分析.115 第 5 章整體測評117 5.1 安全控制間安全測評117 5.2 層面間安全測評118 5.3 區域間安全測評118 5.4 關聯互補分析119 5.4.1物理安全互補分析.119 5.4.2網絡安全互補分析.119 5.4.3主機安全互補分析.121 5.4.4數據安全互補分析.122 5.4.5應用安全互補分析.123 5.4.6安全管理互補分析.125 第 6 章測評結果匯總127 第 7 章風險分析與評價131 7.1 信息資產賦值131 7.2 威脅分析132 7.3 風險分析136 第 8 章等級測評結論138 第 9 章安全建設整改建議139 9.1 物理安全139 9.2 網絡安全139 9.3 主機安全139 9.4 應用系統140 9.5 安全管理140 II 表索引 表 1-1 測評任務表.4 表 2-1 業務應用軟件7 表 2-2 主機/存儲設備 7 表 2-3 網絡互連設備表.8 表 2-4 安全設備.8 表 2-5 安全相關人員.9 表 2-6 安全管理文檔.9 表 3-1 基本指標.12 表 3-3 機房.13 表 3-4 網絡互連設備.13 表 3-5 安全設備.14 表 3-6 主機操作系統/數據庫管理系統（存儲） .14 表 3-7 業務庫應用軟件.14 表 3-8 訪談人員.14 表 3-9 安全管理文檔.15 表 4-1 物理位置的選擇.19 表 4-2 物理訪問控制.20 表 4-3 防盜竊和防破壞.20 表 4-4 防雷擊22 表 4-5 防火.22 表 4-6 防水和防潮.23 表 4-7 防靜電.24 表 4-8 溫濕度控制24 表 4-9 電力供應25 表 4-10 電磁防護26 表 4-11 物理安全方面的單項測評結果.27 表 4-12 結構安全.27 表 4-13 網絡訪問控制.29 表 4-14 安全審計.31 表 4-15 邊界完整性檢查33 表 4-16 網絡入侵防范.33 表 4-17 惡意代碼.34 表 4-18 網絡設備防護.35 表 4-19 結構安全方面的單項測評結果.38 表 4-20 網絡訪問控制方面的單項測評結果.39 表 4-21 安全審計方面的單項測評結果.39 表 4-22 邊界完整性檢查方面的單項測評結果.39 表 4-23 網絡入侵防范方面的單項測評結果.40 表 4-24 惡意代碼防范方面的單項測評結果.40 表 4-25 網絡設備防護方面的單項測評結果.40 III 表 4-26 身份鑒別的選擇.41 表 4-27 訪問控制43 表 4-28 安全審計46 表 4-29 剩余信息保護.49 表 4-30 入侵防范.50 表 4-31 惡意代碼防范.51 表 4-32 資源控制.52 表 4-33 身份鑒別方面的單項測評結果.55 表 4-34 訪問控制方面的單項測評結果.55 表 4-35 安全審計方面的單項測評結果.56 表 4-36 剩余信息保護方面的單項測評結果.56 表 4-37 入侵防范方面的單項測評結果.56 表 4-38 惡意代碼防范方面的單項測評結果.57 表 4-39 資源控制方面的單項測評結果.57 表 4-40 身份鑒別58 表 4-41 訪問控制.59 表 4-42 安全審計.61 表 4-43 資源控制62 表 4-44 身份鑒別方面的單項測評結果.63 表 4-45 訪問控制方面的單項測評結果.64 表 4-46 安全審計方面的單項測評結果.64 表 4-47 資源控制方面的單項測評結果.64 表 4-48 身份鑒別.65 表 4-49 訪問控制.66 表 4-50 安全審計.67 表 4-51 剩余信息保護.69 表 4-52 通信完整性.69 表 4-53 通信保密性70 表 4-54 抗抵賴.70 表 4-55 軟件容錯.71 表 4-56 資源控制.72 表 4-57 身份鑒別單項測評結論.74 表 4-58 訪問控制單項測評結論.74 表 4-59 安全審計單項測評結論.74 表 4-60 剩余信息保護單項測評結論.75 表 4-61 通信完整性單項測評結論.75 表 4-62 通信保密性單項測評結論.75 表 4-63 抗抵賴單項測評結論.76 表 4-64 軟件容錯單項測評結論.76 表 4-65 資源控制單項測評結論.77 表 4-66 數據完整性.77 表 4-67 數據保密性.78 表 4-68 備份和恢復.78 表 4-69 數據完整性方面的單項測評結果.80 IV 表 4-70 數據保密性方面的單項測評結果.80 表 4-71 數據備份與恢復方面的單項測評結果.80 表 4-72 管理制度.81 表 4-73 制定和發布.82 表 4-74 評審和修訂.83 表 4-75 安全管理制度方面的單項測評結果.83 表 4-76 崗位設置.84 表 4-77 人員配備.85 表 4-78 授權和審批.85 表 4-79 溝通和合作.86 表 4-80 審核和檢查.87 表 4-81 安全管理機構方面的單項測評結果.88 表 4-82 人員錄用.89 表 4-83 人員離崗.90 表 4-84 人員考核.91 表 4-85 安全意識教育和培訓.91 表 4-86 外部人員訪問管理.92 表 4-87 人員安全管理方面的單項測評結果.93 表 4-88 系統定級.93 表 4-89 安全方案設計.94 表 4-90 產品采購和使用.96 表 4-91 自行軟件開發.97 表 4-92 外包軟件開發.98 表 4-93 工程實施98 表 4-94 測試驗收.99 表 4-95 系統交付100 表 4-96 系統備案.101 表 4-97 等級測評.102 表 4-98 安全服務商選擇103 表 4-99 系統建設管理方面的單項測評結果.104 表 4-100 環境管理.105 表 4-101 資產管理.106 表 4-102 介質管理.107 表 4-103 設備管理.108 表 4-104 監控管理和安全管理中心.109 表 4-105 網絡安全管理.110 表 4-106 系統安全管理.111 表 4-107 惡意代碼防范管理.113 表 4-108 密碼管理.114 表 4-109 變更管理.114 表 4-110 備份與恢復管理.115 表 4-111 安全事件處理.116 表 4-112 應急預案管理.118 表 4-113 系統建設管理方面的單項測評結果.119 V 表 5-1 物理安全互補分析.123 表 5-2 網絡安全互補分析.123 表 5-3 主機安全互補分析.125 表 5-4 數據安全互補分析.126 表 5-5 應用安全互補分析.128 表 5-6 安全管理互補分析.129 表 6-1 測評結果匯總.132 表 7-1 信息資產賦值.136 表 7-2 資產賦值.137 表 7-3 信息安全威脅分析.137 表 7-4 風險分析.141 VI 圖索引 圖 2-1 XX 總體架構圖.6 第 0 頁 /共 146 頁 報告摘要 本次測評的對象是 XX，該系統向企業用戶和社會渠道提供車輛信息服務，基 于 XX 業務信息包含：運輸企業信息、運輸企業車輛信息、從業人員信息、危險品 車輛電子運單信息、車輛時時狀態信息。該系統是對運輸企業營運車輛的時時監控， 運輸企業可通過該系統設置形式速度、行駛區域對車輛進行管制，對違章行駛的車 輛進行及時通知、及時制止。該系統以省集中結構模式，負責各地市以及相關企業 及部門車輛批量數據的采集、集中存儲，相關企業和部門的查詢等。各車輛運營相 關企業和單位可以通過網絡與平臺進行數據交換，滿足各企業和地市平臺向省平臺 進行數據交換的需求。 根據定級報告，XX 的業務信息安全保護等級為第三級，系統服務安全保護等 級為第三級，安全保護等級第三級。 本次測評工作大致分為準備階段、現場實施階段、報告分析編寫階段，歷時 10 天左右；投入人員 4 人。測評內容涵蓋等級保護安全技術要求的 5 個層面和安 全管理要求的 5 個方面，涉及測評分類 73 類。 本次測評結果表明被測系統的信息安全保障架構已經初具規模。被測系統的信 息安全技術措施已基本到位，在技術上已從物理、網絡、主機和應用等層面形成了 架構比較合理、設備比較齊全、措施比較到位的安全防范技術體系。被測系統的信 息安全管理機制已初步形成，在安全管理上已基本能夠做到策略明確、制度完善、 組織嚴密、人員職責清晰、操作規程化、運行維護常態化、初步形成了長期、有效 的安全管理機制。 本次測評也發現被測系統存在一些安全問題，主要包括： 1、 網絡邊界未部署入侵檢測設備； 2、 未采用兩種鑒別技術對管理用戶身份進行鑒別。 針對被測系統存在的安全問題，結合等級保護三級相關要求，提出以下整改建 議： 1、 應在網絡邊界部署入侵檢測設備，如 IDS。 2、 應采用兩種或兩種以上組合的鑒別技術對管理用戶身份進行鑒別。 第 1 頁 /共 146 頁 通過本次測評可以看出，被測系統基本能夠滿足 GB/T 22239-2008 信息安 全技術 信息系統安全等級保護基本要求第三級的要求。因此，本次 XX 的等級測 評結論為：基本符合。 測評結果符合率為：82.15%。 第 2 頁 /共 146 頁 第 1 章 測評項目概述 1.1 測評目的 根據 XX 定級結果情況，從信息安全技術 信息系統安全等級保護基本要 求 （GB/T 22239-2008）中選擇相應等級的測評指標，結合 XX 的構成特點，確 定具體的測評對象，制定測評方案，通過訪談、檢查和測試等方式判斷其安全 技術和安全管理的各個方面對測評指標的符合程度，判斷被測系統的安全保護 能力是否滿足國家信息系統安全等級保護要求。 1.2 測評依據 1)信息安全技術 信息系統安全等級保護基本要求 （GB/T 22239- 2008） 2)信息安全技術 信息系統安全等級保護測評要求 （報批稿） 3)信息安全技術 信息系統安全等級保護實施指南 （報批稿） 4)信息安全技術 信息系統安全等級保護定級指南 （GB/T 22240- 2008） 5)計算機信息系統安全保護等級劃分準則 （GB17859-1999） 1.3 測評過程 等保測評工作流程分為三個階段：測評準備階段、現場實施階段以及報告 分析編寫階段。 1)準備階段 準備階段主要包括：現場調研，制定評估工作方案，人員、設備調配，技 術準備，保密教育等工作。 2)現場實施階段 依據工作方案，完成現場檢測與數據采集工作。 3)等保符合性評估與編寫等保方案階段 第 3 頁 /共 146 頁 根據檢測結果，通過定量計算、綜合分析，對被檢測系統做出全面評估， 編寫相關報告，組織專家審議。 本次項目現場工作日程安排：上午 9:00-12:00、下午 13:00-17:30。項目 進度參照計劃安排實施，根據實際情況進行合理調整。若有變更和調整，將由 雙方協商討論最終確認，并由質量管理員（QA）進行跟蹤記錄，做到項目切實 可行的可控性。本次項目整體周期為 10 天，具體工作時間安排如下表 1-1： 表 1-1 測評任務表 序號序號測評階段測評階段實施內容實施內容 實施時間（工作日）實施時間（工作日） 1. 測評準備階 段 1.項目啟動，等級測評項目確定后 雙方成立測評項目組； 2.雙方協同梳理信息系統基本要素， xx 信息安全技術有限公司獲取 XX 信息系統基本要素和定級情況； 3.工具和表單準備； 20 .6.18-20 .6.19 物理安全測評； 20 .6.20 上午 管理安全測評； 20 .6.20 上午 網絡安全測評； 20 .6.20 上午 主機安全測評； 20 .6.20 下午 2. 現場測評階 段 應用安全測評； 20 .6.20 下午 對現場測評收集的數據進行分析； 20 .6.21 3. 報告編制階 段 針對數據分析結果，從信息系統 測評單項、單元和整體情況以及 系統風險分析等方面進行考慮， 20 .6.22-20 .6.25 第 4 頁 /共 146 頁 序號序號測評階段測評階段實施內容實施內容 實施時間（工作日）實施時間（工作日） 形成最終測評報告和整改建議書； 對測評報告和整改建議書進行內 部評審，并提交給 XX。 4.整改階段 由 XX 組織相關技術人員及廠商 進行整改工作，xx 信息安全技術 有限公司提供技術支持。 20 .6.26-20 .6.27 5.復測階段 整改完畢后，進行復測，并重新 進行風險分析，修改初測報告形 成最終測試報告。并提交給 XX。 20 .6.28-20 .6.29 6. 項目驗收階 段 項目成果提交驗收 20 .630 1.4 報告分發范圍 依據項目要求，本次測評交付等級測評報告一式三份，分別提交測評委托 單位（兩份） 、測評實施單位留存。 第 5 頁 /共 146 頁 第 2 章 被測信息系統情況 本次測評的對象是 XX。該系統到目前為止包含業務有：運輸企業信息、 運輸企業車輛信息、從業人員信息、危險品車輛電子運單信息、車輛時時狀態 信息。 網絡結構 1、根據目前實際情況繪制了 XX 網絡總體架構圖如下： 圖 2-1 XX 總體架構圖 從目前調研中了解到，整個信息系統的網絡系統邊界設備可定為 2 臺神州 數碼 DCFW-1800E-4G 防火墻和 2 臺神州數碼 DCS-4500-26T 交換機。神州數 碼 DCS-4500-26T 交換機外聯的其它系統都劃分為外部網絡部分，而神州數碼 DCFW-1800E-4G 防火墻以內部分包括與各地市互聯的部分都可歸為中心的內 部網絡，與中間業務系統相關的省監控中心網絡邊界部分和內部網絡部分都是 等級保護定級的范圍和對象。 基于 XX 業務信息包含：運輸企業信息、運輸企業車輛信息、從業人員信息、 危險品車輛電子運單信息、車輛時時狀態信息。該系統以省集中結構模式，負 責各地市以及相關企業及部門車輛批量數據的采集、集中存儲，相關企業和部 門的查詢等。 第 6 頁 /共 146 頁 2.2 系統構成 2.2.1 業務應用軟件 表 2-1 業務應用軟件 序號序號軟件名稱軟件名稱主要功能主要功能重要程度重要程度 1 2.2.2 主機/存儲設備 表 2-2 主機/存儲設備 序序 號號 設備名稱設備名稱操作系統操作系統/數據庫管理系統數據庫管理系統功能功能重要程度重要程度 1 2 3 4 5 6 7 第 7 頁 /共 146 頁 2.2.3 網絡互聯設備 表 2-3 網絡互連設備表 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1 2 3 4 2.2.4 安全設備 表 2-4 安全設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1 2 2.2.5 安全相關人員 表 2-5 安全相關人員 序號序號姓名姓名崗位崗位/ /角色角色聯系方式聯系方式 1 2 3 4 2.2.6 安全管理文檔 表 2-6 安全管理文檔 1 2 3 4 5 第 8 頁 /共 146 頁 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 第 9 頁 /共 146 頁 第 3 章 等級測評范圍與方法 測評指標 測評指標包括基本指標和特殊指標兩部分。 3.1.1 基本指標 依據信息系統確定的業務信息安全保護等級和系統服務安全保護等級，選 擇信息安全技術 信息系統安全等級保護基本要求中對應級別的安全要求作 為等級測評的基本指標。 表 3-1 基本指標 測評指標測評指標 數量數量 技術技術/管理管理安全類安全類S 類類 (3 級級) A 類類 (3 級級) G 類類 (3 級級) 小計小計 物理安全342532 網絡安全203133 主機安全1551232 應用安全169631 安全技術 數據安全4408 安全管理制度001111 安全管理機構002020 人員安全管理001616 系統建設管理004545 安全管理 系統運維管理006262 合 計 290（控制點） 第 10 頁 /共 146 頁 3.1.2 特殊指標 被測信息系統無特殊安全要求，測評指標均按照信息安全技術 信息系統 安全等級保護基本要求中所包含的安全要求選取。 3.2 測評對象 3.2.1 測評對象選擇方法 由于被評估單位信息資產種類、數量多，在一段時間內不可能逐一進行全 面檢測，本次檢測采用抽樣方法進行，其目的是確定技術脆弱性檢測的重點對 象和目標。抽樣檢測的對象和目標必須要能代表信息系統的安全現狀，否則評 估結果就會偏離實際情況。對 XX 資產抽樣時遵循了典型性、全面性兩原則。 具體如下： 1)典型性原則：對同一應用中軟件配置完全相同的資產抽樣部分資產。 2)全面性原則：對 XX 中每一類資產都要抽樣。 3.2.2 測評對象選擇結果 1)機房 表 3-2 機房 序號序號機房名稱機房名稱物理位置物理位置 1XX金水東路樞紐樓 1 樓 2)網絡互聯設備 表 3-3 網絡互連設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1核心主路由器路由很高 2核心主交換機 IT 服務域核心主 交換機 很高 3)安全設備 第 11 頁 /共 146 頁 表 3-4 安全設備 序號序號設備名稱設備名稱用用 途途重要程度重要程度 1主防火墻IT 服務域主防火墻很高 4)主機操作系統/數據庫管理系統（存儲） 表 3-5 主機操作系統/數據庫管理系統（存儲） 序序 號號 設備名稱設備名稱 操作系統操作系統/數據庫管理系數據庫管理系 統統 功能功能 重要程重要程 度度 1 數據庫服務器 A Windows Server 2008/ SQL Server 2008 系統基礎數據存 儲 很高 3中心服務器 AWindows Server 2008 數據交互服務系 統 很高 5應用服務器 AWindows Server 2008提供 WEB 服務很高 5)業務應用軟件 表 3-6 業務應用軟件 序號序號軟件名稱軟件名稱主要功能主要功能重要程度重要程度 1XX向企業用戶和社會渠道提供車輛信息服務很高 6)訪談人員 表 3-7 訪談人員 序號序號姓名姓名崗位崗位/ /角色角色聯系方式聯系方式 1張柯管理安2王衛平管理安3王廣祥 網絡安全、數據安全、物理安 全4楊根祥數據安全、應用安全、主機第 12 頁 /共 146 頁 序號序號姓名姓名崗位崗位/ /角色角色聯系方式聯系方式 全 7)安全管理文檔 表 3-8 安全管理文檔 1. XX 信息系統安 全防護總體方案 根據信息系統自身的情況，統一考慮安全保障體系 的總體安全策略、安全技術框架、安全管理策略、 總體建設規劃和詳細設計方案的文件。 2. XX 項目過程管 理辦法 工程實施方面的管理制度，明確說明實施過程的控 制方法和人員要求。 3. XX 人員行為規 范 公司員工行為準則的書面規定。 4. 辦公室環境管 理規定 規范辦公環境人員行為，包括工作人員調離辦公室 應立即交還該辦公室鑰匙、不在辦公區接待來訪人 員、工作人員離開座位應確保終端計算機退出登錄 狀態和桌面上沒有包含敏感信息的紙檔文件等。 5. XX 資產管理辦 法 對公司給系統相關的資產清單，包括資產責任部門、 重要程度和所處位置等內容給出明確的管理規范。 6. XX 存儲介質使 用和管理辦法 介質安全管理制度，對介質的存放環境、使用、維 護和銷毀等方面作出規定。 7. 設備使用管理 規程 對設備的使用過程進行規范化管理。 8. XX 終端系統管 理規定 對終端計算機、工作站、便攜機、系統和網絡等設 備的操作和使用進行規范化管理，按操作規程實現 主要設備（包括備份和冗余設備）的啟動/停止、加 電/斷電等操作。 9. 網絡安全管理 規程 對網絡安全配置、安全策略、升級與補丁、口令更 新周期等方面作出規定。 第 13 頁 /共 146 頁 10. XX 信息網絡接 入規范 公司網絡連接相關規定。 11. XX 運行維護管 理規定 對系統安全策略、安全配置、日志管理和日常操作 流程等方面作出具體規定。 12. XX 管理信息網 病毒防護規定 對防惡意代碼軟件的授權使用、惡意代碼庫升級、 定期匯報等作出明確規定。 13. XX 信息系統數 據備份管理規定 備份與恢復管理相關的安全管理制度，對備份信息 的備份方式、備份頻度、存儲介質和保存期等進行 規范。 14. XX 網絡與信息 安全管理辦法 包括安全事件報告和處置管理制度，明確安全事件 的類型，規定安全事件的現場處理、事件報告和后 期恢復的管理職責等。 15. 保密性協議評 審規程 關于保密協議評的審相關規定。 16. 人力資源管理 規程 人力資源管理。 17. 信息安全事件 管理程序 系統運維過程中的安全事件報告和處置管理制度， 規定安全事件的現場處理、事件報告和后期恢復的 管理職責。 18. 信息安全培訓 規程 對各類人員進行安全意識教育、崗位技能培訓和相 關安全技術培訓的相關規定及要求。 19. 對外信息發布 管理規程 信息發布管理辦法。 20. 第三方服務管 理規程 對第三方服務的管理及要求。 21. 軟件安裝管理 規程 軟件安裝相關要求。 22.軟件開發過程軟件開發管理制度，明確說明開發過程的控制方法 第 14 頁 /共 146 頁 信息安全管理規 程 和人員行為準則。 3.3 測評方法 安全測評的主要方法有：訪談、檢查和測試。 1)訪談 訪談是指測評人員通過與信息系統有關人員（個人/群體）進行交流、討論 等活動，獲取相關證據以證明信息系統安全保護措施是否有效落實的一種方法。 在訪談范圍上，應基本覆蓋所有的安全相關人員類型，在數量上可以抽樣。 2)檢查 檢查是指測評人員通過對測評對象進行觀察、查驗、分析等活動，獲取相 關證據以證明信息系統安全保護措施是否有效實施的一種方法。在檢查范圍上， 應基本覆蓋所有的對象種類（設備、文檔、機制等） ，數量上可以抽樣。 3)測試 測試是指測評人員針對測評對象按照預定的方法/工具使其產生特定的響應， 通過查看和分析響應的輸出結果，獲取證據以證明信息系統安全保護措施是否 得以有效實施的一種方法。在測試范圍上，應基本覆蓋不同類型的機制，在數 量上可以抽樣。 第 15 頁 /共 146 頁 第 4 章 單元測評 本次單元測評主要依據信息安全技術 信息系統安全等級保護基本要求 的要求對物理安全、網絡安全、主機安全、應用安全、數據安全及備份恢復、 安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理 等方面做出判定。 物理安全 4.1.1 結果記錄 被測系統所在的機房，通過物理位置選擇、物理訪問控制、防盜竊和防破 壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護 十個安全控制點進行測評，判斷測評結果與相對應要求之間的符合性。 物理位置的選擇 表 4-1 物理位置的選擇 要求點要求點 a) 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內；機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內； 測評對象測評對象現狀現狀符合性符合性 XX 機房位于 XX，機房和辦公場地具有防震， 防風和防雨等能力。 符合符合 要求點要求點 b) 機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層 或隔壁或隔壁,如果不可避免，應采取有效防水措施。如果不可避免，應采取有效防水措施。 測評對象測評對象現狀現狀符合性符合性 XX機房位于 XX，下層和隔壁無用水設備。符合符合 物理訪問控制 表 4-2 物理訪問控制 第 16 頁 /共 146 頁 要求點要求點 a) 機房各出入口應安排專人值守，控制、鑒別和記錄進入的人員；機房各出入口應安排專人值守，控制、鑒別和記錄進入的人員； 測評對象測評對象現狀現狀符合性符合性 XX104 機房出入口未安排專人值守。不符合不符合 要求點要求點 b) 需進入機房的來訪人員應經過申請和審批流程，并限制和監控其活需進入機房的來訪人員應經過申請和審批流程，并限制和監控其活 動范圍；動范圍； 測評對象測評對象現狀現狀符合性符合性 XX 來訪人員需經過嚴格和審批流程才能進 入機房，并有專人陪同，限制和監控其 活動范圍。 符合符合 要求點要求點 c) 應對機房劃分區域進行管理，區域和區域之間應用物理方式隔斷，在應對機房劃分區域進行管理，區域和區域之間應用物理方式隔斷，在 重要區域前設置交付或安裝等過渡區域；重要區域前設置交付或安裝等過渡區域； 測評對象測評對象現狀現狀符合性符合性 XX 機房劃分為；設備間，配電間，消防間， 監控室等，各區域間物理隔離。 符合符合 要求點要求點 d) 重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。 測評對象測評對象現狀現狀符合性符合性 XX 機房配置電子門禁系統，對進出機房人 員進行控制記錄。 符合符合 防盜竊和防破壞 表 4-3 防盜竊和防破壞 要求點要求點 a) 應將主要設備放置在機房內；應將主要設備放置在機房內； 測評對象測評對象現狀現狀符合性符合性 第 17 頁 /共 146 頁 XX 服務器、交換機等主要設備放置在機房 可控范圍內。 符合符合 要求點要求點 b) 應將設備或主要部件進行固定，并設置明顯的不易除去的標記；應將設備或主要部件進行固定，并設置明顯的不易除去的標記； 測評對象測評對象現狀現狀符合性符合性 XX 設備和主要部件固定牢靠，并設置標簽 等標記。 符合符合 要求點要求點 c) 應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中；應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中； 測評對象測評對象現狀現狀符合性符合性 XX 通信線纜鋪設在機房機柜頂部走線槽內。 符合符合 要求點要求點 d) 應對介質分類標識，存儲在介質庫或檔案室中；應對介質分類標識，存儲在介質庫或檔案室中； 測評對象測評對象現狀現狀符合性符合性 XX對介質分類標識，并存儲在檔案柜內。符合符合 要求點要求點 e) 應利用光、電等技術設置機房防盜報警系統；應利用光、電等技術設置機房防盜報警系統； 測評對象測評對象現狀現狀符合性符合性 XX機房內設置防盜報警系統。符合符合 要求點要求點 f) 應對機房設置監控報警系統。應對機房設置監控報警系統。 測評對象測評對象現狀現狀符合性符合性 XX機房采用視頻監控報警系統。符合符合 第 18 頁 /共 146 頁 防雷擊 表 4-4 防雷擊 要求點要求點 a) 機房建筑應設置避雷裝置；機房建筑應設置避雷裝置； 測評對象測評對象現狀現狀符合性符合性 XX XX 設置避雷裝置，采用三級防雷標準。 符合符合 要求點要求點 b) 應設置防雷保安器，防止感應雷；應設置防雷保安器，防止感應雷； 測評對象測評對象現狀現狀符合性符合性 XX 電源經過配電柜接入，安裝了防雷保安 器，防止感應雷。 符合符合 要求點要求點 c) 機房應設置交流電源地線。機房應設置交流電源地線。 測評對象測評對象現狀現狀符合性符合性 XX機房設置有交流電源接地。符合符合 防火 表 4-5 防火 要求點要求點 a) 機房應設置火災自動消防系統，能夠自動檢測火情、自動報警，并自機房應設置火災自動消防系統，能夠自動檢測火情、自動報警，并自 動滅火；動滅火； 測評對象測評對象現狀現狀符合性符合性 XX 機房設置了火災自動消防系統，能夠自 動檢測火情，自動報警，并自動滅火。 符合符合 要求點要求點 b) 機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料； 測評對象測評對象現狀現狀符合性符合性 第 19 頁 /共 146 頁 XXXX 采用了具有耐火等級的建筑材料。符合符合 要求點要求點 c) 機房應采取區域隔離防火措施，將重要設備與其他設備隔離開。機房應采取區域隔離防火措施，將重要設備與其他設備隔離開。 測評對象測評對象現狀現狀符合性符合性 XX 機房采用區域劃分管理，區域與區域之 間采用了有效的物理隔離措施。 符合符合 防水和防潮 表 4-6 防水和防潮 要求點要求點 a) 主機房盡量避開水源，與主機房無關的給排水管道不得穿過主機房主機房盡量避開水源，與主機房無關的給排水管道不得穿過主機房, 與主機房相關的給排水管道必須有可靠的防滲漏措施；與主機房相關的給排水管道必須有可靠的防滲漏措施； 測評對象測評對象現狀現狀符合性符合性 XX 機房屋頂無水管通過，進行了有效的防 滲漏處理。 符合符合 要求點要求點 b) 應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透； 測評對象測評對象現狀現狀符合性符合性 XX 機房窗體未封閉，未發現明顯漏水，滲 透和返潮現象。 符合符合 要求點要求點 c) 應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透；應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透； 測評對象測評對象現狀現狀符合性符合性 XX 采用精密空調進行溫，濕度控制，防止 水蒸氣凝露；采取地漏措施防止地下積 水轉移與滲透。 符合符合 要求點要求點 d) 應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。 第 20 頁 /共 146 頁 測評對象測評對象現狀現狀符合性符合性 XX機房安裝有進水報警裝置。符合符合 防靜電 表 4-7 防靜電 要求點要求點 a) 主要設備應采用必要的接地防靜電措施；主要設備應采用必要的接地防靜電措施； 測評對象測評對象現狀現狀符合性符合性 XX 采用了機柜接地防靜電措施，所有機柜 外殼都接地連接。 符合符合 要求點要求點 b) 機房應采用防靜電地板。機房應采用防靜電地板。 測評對象測評對象現狀現狀符合性符合性 XX機房未采用防靜電地板。 不符合不符合 溫濕度控制 表 4-8 溫濕度控制 要求點要求點 a) 機房應設置溫、濕度自動調節設施，使機房溫、濕度的變化在設備運機房應設置溫、濕度自動調節設施，使機房溫、濕度的變化在設備運 行所允許的范圍之內。行所允許的范圍之內。 測評對象測評對象現狀現狀符合性符合性 XX 機房配置了恒溫恒濕空調機組，溫度控 制在 20左右，不超過 25，濕度保持 在 50左右且有個簡易的溫度濕度測量 儀，顯示測評時溫度為 20，濕度為 44.5。 符合符合 第 21 頁 /共 146 頁 電力供應 表 4-9 電力供應 要求點要求點 a) 應在機房供電線路上配置穩壓器和過電壓防護設備；應在機房供電線路上配置穩壓器和過電壓防護設備； 測評對象測評對象現狀現狀符合性符合性 XX 機房供電線路都通過 UPS 進入機房， UPS 具有穩壓和過壓防護功能。 符合符合 要求點要求點 b) 應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正 常運行要求；常運行要求； 測評對象測評對象現狀現狀符合性符合性 XX采用 UPS 提供短期備用電力供應。符合符合 要求點要求點 c) 設置冗余或并行的電力電纜線路為計算機系統供電，輸入電源應采用設置冗余或并行的電力電纜線路為計算機系統供電，輸入電源應采用 雙路自動切換供電方式；雙路自動切換供電方式； 測評對象測評對象現狀現狀符合性符合性 XX 機房電力供應進行雙回路電源設置，并 且每年會對雙路供電切換測試。 符合符合 要求點要求點 d) 應建立備用供電系統。應建立備用供電系統。 測評對象測評對象現狀現狀符合性符合性 XX 設置有備用供電系統，機房有雙回路電 源，有 UPS 備用供電。 符合符合 第 22 頁 /共 146 頁 0電磁防護 表 4-10 電磁防護 要求點要求點 a) 電源線和通信線纜應隔離鋪設，避免互相干擾；電源線和通信線纜應隔離鋪設，避免互相干擾； 測評對象測評對象現狀現狀符合性符合性 XX 電源線和通信線纜隔離鋪設，避免互相 干擾。 符合符合 要求點要求點 b) 應采用接地方式防止外界電磁干擾和設備寄生耦合干擾；應采用接地方式防止外界電磁干擾和設備寄生耦合干擾； 測評對象測評對象現狀現狀符合性符合性 XX 采用接地方式防止外界電磁干擾和設備 寄生耦合干擾。 符合符合 要求點要求點 c) 應對關鍵設備和磁介質實施電磁屏蔽。應對關鍵設備和磁介質實施電磁屏蔽。 測評對象測評對象現狀現狀符合性符合性 XX 未對關鍵設備和磁介質實施電磁屏蔽防 護措施，所有磁介質儲存在設備內，不 需場外存放。 不適用不適用 4.1.2 匯總與分析 根據對 XX 的現場安全測評記錄，針對 XX 在物理安全方面的“物理位置 選擇” 、 “物理訪問控制” 、 “防盜竊和防破壞” 、 “防雷擊” 、 “防火” 、 “防水和防 潮” 、 “防靜電” 、 “溫濕度控制” 、 “電力供應”和“電磁防護”等測評指標，分 析后判斷出與其相對應的各測評項的測評結果，具體如下表所示。 表 4-11 物理安全方面的單項測評結果 測評項測評項序號序號 測評對象測評對象 a)b)c)d)e)f) 第 23 頁 /共 146 頁 1 物理位置選擇 2 物理訪問控制 3 防盜竊和防破壞 4 防雷擊 5 防火 6 防水和防潮 7 防靜電 8 溫濕度控制 9 電力供應 10 電磁防護 XX N/A 注：“”表示符合，“”表示不符合，“”表示部分符合，“N/A”表示 不適用，“”表示該項控制類無此項 4.2 網絡安全 4.2.1 結果記錄 網絡依照安全等級保護三級要求進行全測評，現場測評包括了結構安全、 網絡訪問控制、安全審計、邊界完整性檢查、網絡入侵防范、惡意代碼、網絡 設備防護等方面的內容。 結構安全 表 4-12 結構安全 要求點要求點 a)：應保證主要網絡設備的業務處理能力具備冗余空間，滿足業務高峰：應保證主要網絡設備的業務處理能力具備冗余空間，滿足業務高峰 期需要；期需要； 測評對象測評對象現狀現狀符合性符合性 第 24 頁 /共 146 頁 網絡拓撲結構 查看邊界設備和主要網絡設備，其性能指標（如 CPU 利用率等）能夠滿足目前業務高峰流量情況。符合符合 要求點要求點 b)：應保證網絡各個部分的帶寬滿足業務高峰期需要；：應保證網絡各個部分的帶寬滿足業務高峰期需要； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 查看邊界設備和主要網絡設備，在主要網絡設備 上進行了寬帶配置，網絡各個部分的帶寬滿足業 務高峰期需求。 符合符合 要求點要求點 c)：應在業務終端與業務服務器之間進行路由控制建立安全的訪問路徑；：應在業務終端與業務服務器之間進行路由控制建立安全的訪問路徑； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 交換機使用靜態路由在業務終端與業務服務器之 間進行路由控制。 符合符合 要求點要求點 d)：應繪制與當前運行情況相符的網絡拓撲結構圖；：應繪制與當前運行情況相符的網絡拓撲結構圖； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構XX 網絡拓撲結構與當前實際網絡環境一致。符合符合 要求點要求點 e)：應根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，：應根據各部門的工作職能、重要性和所涉及信息的重要程度等因素， 劃分不同的子網或網段，并按照方便管理和控制的原則為各子網、網段分配地劃分不同的子網或網段，并按照方便管理和控制的原則為各子網、網段分配地 址段；址段； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 XX 內核心交換機為系統劃分了獨立的 VLAN， 并為其劃分了子網，進行了地址分配。 符合符合 第 25 頁 /共 146 頁 要求點要求點 f)：應避免將重要網段部署在網絡邊界處且直接連接外部信息系統，重：應避免將重要網段部署在網絡邊界處且直接連接外部信息系統，重 要網段與其他網段之間采取可靠的技術隔離手段；要網段與其他網段之間采取可靠的技術隔離手段； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 經查看網絡拓撲結構，重要網段未部署在網絡邊 界處且未直接連接外部信息系統，重要網段和其 他網段之間部署有訪問控制設備進行隔離。 符合符合 要求點要求點 g)：應按照對業務服務的重要次序來指定帶寬分配優先級別，保證在網：應按照對業務服務的重要次序來指定帶寬分配優先級別，保證在網 絡發生擁堵的時候優先保護重要主機。絡發生擁堵的時候優先保護重要主機。 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構未指定帶寬分配的優先級。不符合不符合 網絡訪問控制 表 4-13 網絡訪問控制 要求點要求點 a)：應在網絡邊界部署訪問控制設備，啟用訪問控制功能；：應在網絡邊界部署訪問控制設備，啟用訪問控制功能； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 經查看網絡拓撲結構，在網絡邊界處部署了神州數 碼防火墻并啟用了訪問控制功能。 符合符合 要求點要求點 b)：應能根據會話狀態信息為數據流提供明確的允許：應能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，拒絕訪問的能力， 控制粒度為端口級；控制粒度為端口級； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 查看防火墻配置，在防火墻上設置了訪問控制規則， 訪問控制力度為端口級。 符合符合 第 26 頁 /共 146 頁 要求點要求點 c)：應對進出網絡的信息內容進行過濾，實現對應用層：應對進出網絡的信息內容進行過濾，實現對應用層 HTTP、FTP、TELNET、SMTP、POP3 等協議命令級的控制；等協議命令級的控制； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 查看防火墻配置，對進出網絡的信息內容進行過濾， 遠程登錄的用戶數量是固定的。 符合符合 要求點要求點 d)：應在會話處于非活躍一定時間或會話結束后終止網絡連接；：應在會話處于非活躍一定時間或會話結束后終止網絡連接； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 系統未對 TCP,UDP 會話超時時間進行設置。不符合不符合 要求點要求點 e)：應限制網絡最大流量數及網絡連接數；：應限制網絡最大流量數及網絡連接數； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 路由器上設置了網絡連接數與及最大流量限制。符合符合 要求點要求點 f)：重要網段應采取技術手段防止地址欺騙；：重要網段應采取技術手段防止地址欺騙； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 在交換機與路由器上都設置了 IP/MAC 地址綁定。符合符合 要求點要求點 g)：應按用戶和系統之間的允許訪問規則，決定允許或拒絕用戶對受控：應按用戶和系統之間的允許訪問規則，決定允許或拒絕用戶對受控 系統進行資源訪問，控制粒度為單個用戶；系統進行資源訪問，控制粒度為單個用戶； 測評對象測評對象現狀現狀符合性符合性 網絡拓撲結構 防火墻和交換機已設置了訪問控制列表，明確了允 許/拒絕訪問的網絡段，控制粒度為單個用戶。 符合符合 第 27