标准搜索结果: 'GB/T 36958-2018'
| 标准编号 | GB/T 36958-2018 (GB/T36958-2018) | | 中文名称 | 信息安全技术 网络安全等级保护安全管理中心技术要求 | | 英文名称 | Information security technology -- Technical requirements of security management center for classified protection of cybersecurity | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 30,380 | | 发布日期 | 2018-12-28 | | 实施日期 | 2019-07-01 | | 起草单位 | 中国电子科技集团公司第十五研究所(信息产业信息安全测评中心)、公安部第三研究所、公安部第一研究所、网神信息技术(北京)股份有限公司 | | 归口单位 | 全国信息安全标准化技术委员会(SAC/TC 260) | | 提出机构 | 全国信息安全标准化技术委员会(SAC/TC 260) | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | GB/T 36958-2018
Information security technology -- Technical requirements of security management center for classified protection of cybersecurity
ICS 35.040
L80
中华人民共和国国家标准
信息安全技术 网络安全等级保护
安全管理中心技术要求
2018-12-28发布
2019-07-01实施
国 家 市 场 监 督 管 理 总 局
中国国家标准化管理委员会 发 布
目次
前言 Ⅰ
引言 Ⅱ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 1
5 安全管理中心概述 2
5.1 总体说明 2
5.2 功能描述 3
6 第二级安全管理中心技术要求 3
6.1 功能要求 3
6.2 接口要求 7
6.3 自身安全要求 7
7 第三级安全管理中心技术要求 8
7.1 功能要求 8
7.2 接口要求 13
7.3 自身安全要求 13
8 第四级安全管理中心技术要求 15
8.1 功能要求 15
8.2 接口要求 21
8.3 自身安全要求 21
9 第五级安全管理中心技术要求 23
10 跨定级系统安全管理中心技术要求 23
附录A(规范性附录) 安全管理中心与网络安全等级保护对象等级对应关系 24
附录B(规范性附录) 安全管理中心技术要求分级表 25
附录C(资料性附录) 归一化安全事件属性 27
前言
本标准按照GB/T 1.1-2009给出的规则起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。
本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本标准起草单位:中国电子科技集团公司第十五研究所(信息产业信息安全测评中心)、公安部第三
研究所、公安部第一研究所、网神信息技术(北京)股份有限公司。
本标准主要起草人:霍珊珊、任卫红、刘健、张益、董晶晶、刘凯明、郑国刚、陶源、陈广勇、李秋香、
卢青、王刚。
引 言
本标准从安全管理中心的功能、接口、自身安全等方面,对GB/T 25070中提出的安全管理中心及
其安全技术和机制进行了进一步规范,提出了通用的安全技术要求,指导安全厂商和用户依据本标准要
求设计和建设安全管理中心。为清晰表示每一个安全级别比较低一级安全级别的安全技术要求的增加
和增强,从第二级安全管理中心的技术要求开始,每一级新增部分用“黑体”表示。
安全管理中心是对网络安全等级保护对象的安全策略及安全计算环境、安全区域边界和安全通信
网络上的安全机制实施统一管理的平台或区域,是网络安全等级保护对象安全防御体系的重要组成部
分,涉及系统管理、安全管理、审计管理等方面。
信息安全技术 网络安全等级保护
安全管理中心技术要求
1 范围
本标准规定了网络安全等级保护安全管理中心的技术要求。
本标准适用于指导安全厂商和运营使用单位依据本标准要求设计、建设和运营安全管理中心。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 5271.8 信息技术 词汇 第8部分:安全
GB 17859-1999 计算机信息系统 安全保护等级划分准则
GB/T 25069 信息安全技术 术语
GB/T 25070 信息安全技术 信息系统等级保护安全设计技术要求
3 术语和定义
GB 17859-1999、GB/T 5271.8、GB/T 25069和GB/T 25070界定的以及下列术语和定义适用于
本文件。
3.1
采集网络环境中的主机操作系统、数据库系统、网络设备、安全设备等各监测对象上的安全事件、脆
弱性以及相关配置及其状态信息的接口。
3.2
采集器 colector
从网络安全等级保护对象或其所在区域上收集网络安全源数据和事件信息的组件。
3.3
对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络的安全机制实施统一管理
的平台或区域。
注:修改 GB/T 25070-2010定义3.6。
4 缩略语
下列缩略语适用于本文件。
IP 互联网协议(InternetProtocol)
5 安全管理中心概述
5.1 总体说明
安全管理中心作为对网络安全等级保护对象的安全策略及安全计算环境、安全区域边界和安全通
信网络的安全机制实施统一管理的系统平台,实现统一管理、统一监控、统一审计、综合分析和协同防
护。本标准将安全管理中心技术要求分为功能要求、接口要求和自身安全要求三个大类(如图1所示)。
其中,功能要求从系统管理、安全管理和审计管理三个方面提出具体要求;接口要求对安全管理中心涉
及到的接口协议和接口安全提出具体要求;自身安全要求对安全管理中心自身安全功能提出具体要求。
依据GB/T 25070的定义,第二级及第二级以上的定级系统安全保护环境需要设置安全管理中心,
称为第二级安全管理中心、第三级安全管理中心、第四级安全管理中心和第五级安全管理中心。安全管
理中心等级与网络安全等级保护对象等级的关系见附录A,在附录B中,以表格形式列举了第二级、第
三级、第四级的差异。
图1 安全管理中心技术要求框架图
安全管理中心作为一个系统区域(如图2所示),主要负责系统的安全运行维护管理,其边界通常为
安全管理自身区域的网络边界访问控制设备,与被管理的网络设备区域、服务器区域进行安全配置数据
交互,完成整个系统环境安全策略和安全运维的统一管理。
图2 安全管理中心模型图
5.2 功能描述
系统管理主要通过管理员对系统的资源和运行进行配置、控制和管理,包括用户身份管理、系统资
源配置、系统加载和启动、系统运行的异常处理以及支持管理本地和异地灾难备份与恢复等。
安全管理主要通过安全管理员对系统中的主体、客体进行统一标记,对主体进行授权,配置一致的
安全策略,并确保标记、授权和安全策略的数据完整性。
审计管理主要通过安全审计员对分布在系统各个组成部分的安全审计机制进行集中管理,包括根
据安全审计策略对审计记录进行分类,提供按时间段开启和关闭相应类型的安全审计机制,对各类审计
记录进行存储、管理和查询等。安全审计员对审计记录进行分析,并根据分析结果进行及时处理。
6 第二级安全管理中心技术要求
6.1 功能要求
6.1.1 系统管理要求
6.1.1.1 用户身份管理
用户身份管理应满足以下要求:
a) 能够对被管理对象的系统管理员进行身份鉴别,并对身份标识及鉴别信息进行复杂度检查;
b) 在物联网系统中,应通过被管理对象的系统管理员对感知设备、感知层网关等进行统一身份标
识管理。
6.1.1.2 数据保护
6.1.1.2.1 数据保密性
数据保密性应满足以下要求:
a) 在安全管理中心与被管理对象之间建立连接之前,可利用密码技术进行会话初始化验证;
b) 可使用密码技术对安全管理中心与被管理对象之间通信过程中的整个报文或会话过程进行机
密性保护;
c) 可采用加密或其他保护措施实现被管理对象的鉴别信息、配置管理数据的存储保密性。
6.1.1.2.2 数据完整性
数据完整性应满足以下要求:
a) 能够检测到被管理对象鉴别信息、配置管理数据在传输过程中完整性受到破坏;
b) 能够检测到被管理对象鉴别信息、配置管理数据在存储过程中完整性受到破坏。
6.1.1.2.3 数据备份与恢复
数据备份与恢复应满足以下要求:
a) 提供数据本地备份与恢复功能,增量数据备份至少每天一次,备份介质场外存放;
b) 备份数据应至少包含安全管理中心采集的原始数据、主/客体配置管理数据、安全管理中心自
身审计数据等;
c) 在云计算平台中,应提供查询云服务客户数据及备份存储位置的方式。
6.1.1.3 安全事件管理
6.1.1.3.1 安全事件采集
安全事件采集应满足以下要求:
a) 支持安全事件监测采集功能,及时发现和采集发生的安全事件;
b) 能够对安全事件进行归一化处理,将不同来源、不同格式、不同内容组成的原始事件转换成标
准的事件格式;
c) 安全事件的内容应包括日期、时间、主体标识、客体标识、类型、结果、IP地址、端口等信息;
d) 安全事件采集的范围应涵盖主机设备、网络设备、数据库、安全设备、各类中间件、机房环境控
制系统等;
e) 能够对采集的安全事件原始数据的集中存储。
注:安全事件的属性可参考附录C。
6.1.1.3.2 安全事件告警
安全事件告警应具备告警功能,在发现异常时可根据预先设定的阈值产生告警。
6.1.1.3.3 安全事件响应
安全事件响应应满足以下要求:
a) 能够提供工单管理的功能,支持基于告警响应动作创建工单的流转流程;
b) 能够提供安全通告功能,可以创建或导入安全风险通告,通告中应包括通告内容、描述信息、
CVE编号、影响的操作系统等;
c) 能够根据通告提示的安全风险影响的操作系统,提供受影响的被保护资产列表。
6.1.1.3.4 统计分析报表
统计分析报表应满足以下要求:
a) 能够按照时间、事件类型等条件对安全事件进行查询;
b) 能够提供统计分析和报表生成功能。
6.1.1.4 风险管理
6.1.1.4.1 资产管理
资产管理应满足以下要求:
a) 实现对被管理对象资产的管理,提供资产的添加、修改、删除、查询与统计功能;
b) 资产管理信息应包含资产名称、资产IP地址、资产类型、资产责任人、资产业务价值以及资产
的机密性、完整性、可用性赋值等资产属性;
c) 支持资产属性的自定义;
d) 支持手工录入资产记录或基于指定模板的批量资产导入。
6.1.1.4.2 威胁管理
威胁管理应满足以下要求:
a) 具备预定义的安全威胁分类;
b) 支持自定义安全威胁分类,如将已发生的安全事件对应的威胁设置为资产面临的威胁。
6.1.1.4.3 脆弱性管理
脆弱性管理应允许创建并维护资产脆弱性列表,支持脆弱性列表的合并及更新。
6.1.1.4.4 风险分析
风险分析应满足以下要求:
a) 能够根据资产的业务价值、资产当前的脆弱性及资产面临的安全威胁,计算目标资产的安全
风险;
b) 安全风险的计算周期和计算公式能够根据部署环境的实际需要通过修改配置的方式进行相应
调整;
c) 安全管理系统能够以图形化的方式展现当前资产的风险级别、当前风险的排名统计等。
6.1.1.5 资源监控
6.1.1.5.1 可用性监测
可用性监测应满足以下要求:
a) 支持通过监测网络设备、安全设备、主机操作系统、数据库、中间件、应用系统等重要性能指标,
实时了解其可用性状态;
b) 支持对关键指标(如:CPU使用率、内存使用率、磁盘使用率、进程占用资源、交换分区、网络流
量等方面)设置阈值,触发阈值时产生告警。
6.1.1.5.2 网络拓扑监测
网络拓扑监测应满足以下要求:
a) 支持对网络拓扑图进行在线编辑,允许手工添加或删除监测节点或链路;
b) 能够展现当前网络环境中关键设备(包括网络设备、安全设备、服务器主机等)和链路的运行状
态,如网络流量、网络协议统计分析等指标。
6.1.2 审计管理要求
6.1.2.1 审计策略集中管理
审计策略集中管理应能够查看主机操作系统、数据库系统、网络设备、安全设备的审计策略配置情
况,包括策略是否开启、参数设施是否符合安全策略等。
6.1.2.2 审计数据集中管理
6.1.2.2.1 审计数据采集
审计数据采集应满足以下要求:
a) 能够实现审计数据的归一化处理,内容应涵盖日期、时间、主体标识、客体标识、类型、结果、IP
地址、端口等信息;
b) 支持设定查询条件进行审计数据查询;
c) 支持对各种审计数据按规则进行过滤处理;
d) 支持对数据采集信息按照特定规则进行合并。
6.1.2.2.2 审计数据采集对象
审计数据采集对象应满足以下要求:
a) 支持对网络设备(如交换机、路由器、流量管理、负载均衡等网络基础设备)的审计数据采集;
b) 支持对主机设备(如服务器操作系统等应用支撑平台和桌面电脑、笔记本电脑、手持终端等终
端用户访问信息系统所使用的设备)的审计数据采集;
c) 支持对数据库的审计数据采集;
d) 支持对安全设备(如防火墙、入侵监测系统、抗拒绝服务攻击设备、防病毒系统、应用安全审计
系统、访问控制系统等与信息系统安全防护相关的各种系统和设备)的审计数据采集;
e) 支持对各类中间件的审计数据采集;
f) 支持对机房环境控制系统(如空调、温度、湿度控制、消防设备、门禁系统等)的审计数据采集;
g) 在云计算平台中,应对云服务器、云数据库、云存储等云服务的创建、删除等操作行为进行
审计;
h) 在工业控制系统中,应对工业控制现场控制设备、网络安全设备、网络设备、服务器、操作站等
设备的网络安全监控和报警、网络安全日志信息进行集中管理。
6.1.2.2.3 审计数据采集方式
审计数据采集方式应满足以下要求:
a) 支持通过如Syslog、SNMP等协议采集各种系统或设备上的审计数据;
b) 通过统一接口,接收被管理对象的安全审计数据。
6.2 接口要求
6.2.1 第三方插件/代理接口协议要求
安全管理中心应支持SNMPTrap、Syslog、WebService等常规接口和自定义接口以及第三方的插
件或者代理的接口实现各组件之间、与第三方平台之间的数据交换。
6.2.2 接口安全要求
接口安全要求应满足以下要求:
a) 采用安全的接口协议,保证接口之间交互数据的完整性;
b) 采用加密技术实现接口之间交互数据的保密性。
6.3 自身安全要求
6.3.1 身份鉴别
安全管理中心控制台的管理员身份鉴别应满足以下要求:
a) 提供专用的登录控制模块对管理员进行身份标识和鉴别;
b) 提供管理员用户身份标识唯一和鉴别信息复杂度检查功能,保证不存在重复用户身份标识,身
份鉴别信息不易被冒用;
c) 提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施。
6.3.2 访问控制
安全管理中心控制台的访问控制应满足以下要求:
a) 提供自主访问控制功能,依据安全策略控制管理员对各功能的访问;
b) 自主访问控制的覆盖范围应包括所有管理员、功能及它们之间的操作;
c) 由授权管理员配置访问控制策略,并禁止默认账户的访问。
6.3.3 安全审计
安全管理中心控制台的安全审计应满足以下要求:
a) 提供覆盖到每个管理员的安全审计功能,记录所有管理员对重要操作和安全事件进行审计;
b) 保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;
d) 提供对审计记录数据进行统计、查询的功能。
6.3.4 软件容错
安全管理中心控制台的软件容错应提供数据有效性检验功能,保证通过人机接口输入或通过接口
输入的数据格式或长度符合系统设定要求。
6.3.5 资源控制
安全管理中心控制台的资源控制应满足以下要求:
a) 对管理员登录地址范围进行限制;
b) 当管理员在一段时间内未作任何动作,应能够自动结束会话;
c) 能够对最大并发会话连接数进行限制;
d) 提供对自身运行状态的监测,应能够对服务水平降低到预先规定的最小值进行检测和报警。
6.3.6 入侵防范
安全管理中心控制台的入侵防范应满足以下要求:
a) 能够检测到对各服务器、网络设备和安全设备进行入侵的行为;
b) 能够通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制;
c) 服务器操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务
器等方式保持各组件的补丁及时得到更新;
d) 应关闭不需要的各组件系统服务和高危端口。
6.3.7 数据安全
安全管理中心控制台的数据安全应满足以下要求:
a) 能够检测到管理数据和鉴别信息在传输和存储过程中完整性受到破坏;
b) 采用密码技术或其他保护措施实现管理数据和鉴别信息的数据传输和存储保密性。
7 第三级安全管理中心技术要求
7.1 功能要求
7.1.1 系统管理要求
7.1.1.1 用户身份管理
用户身份管理应满足以下要求:
a) 能够对被管理对象环境中的主体进行标识;
b) 能够采用两种或两种以上组合的鉴别技术对用户进行身份鉴别;
c) 能够对被管理对象的系统管理员进行身份鉴别,并对身份标识及鉴别信息进行复杂度检查;
d) 在物联网系统中,应通过被管理对象的系统管理员对感知设备、感知层网关等进行统一身份标
识管理。
7.1.1.2 数据保护
7.1.1.2.1 数据保密性
数据保密性应满足以下要求:
a) 在安全管理中心与被管理对象之间建立连接之前,应利用密码技术进行会话初始化验证;
b) 应使用密码技术对安全管理中心与被管理对象之间通信过程中的整个报文或会话过程进行机
密性保护;
c) 应采用加密或其他保护措施实现被管理对象的鉴别信息、配置管理数据的存储保密性。
7.1.1.2.2 数据完整性
数据完整性应满足以下要求:
a) 能够检测到被管理对象鉴别信息、配置管理数据在传输过程中完整性受到破坏,并在检测到完
整性错误时采取必要的恢复措施;
b) 能够检测到被管理对象鉴别信息、配置管理数据在存储过程中完整性受到破坏,并在检测到完
整性错误时采取必要的恢复措施。
7.1.1.2.3 数据备份与恢复
数据备份与恢复应满足以下要求:
a) 提供数据本地备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;
b) 备份数据应至少包含安全管理中心采集的原始数据、主/客身份标识数据、主/客体安全标记数
据、主/客体配置管理数据、安全管理中心自身审计数据等;
c) 在云计算平台中,应提供查询云服务客户数据及备份存储位置的方式,云计算平台的运维应在
中华人民共和国境内,禁止从境外对境内云计算平台的运维。
7.1.1.2.4 剩余信息保护
剩余信息保护应保证主体和客体的鉴别信息所在的存储空间被释放或再分配给其他主体前得到完
全清除,无论这些信息是存放在硬盘上还是在内存中。
7.1.1.3 安全事件管理
7.1.1.3.1 安全事件采集
安全事件采集应满足以下要求:
a) 支持安全事件监测采集功能,及时发现和采集发生的安全事件;
b) 能够对安全事件进行归一化处理,将不同来源、不同格式、不同内容组成的原始事件转换成标
准的事件格式;
c) 安全事件的内容应包括日期、时间、主体标识、客体标识、类型、结果、IP地址、端口等信息;
d) 安全事件采集的范围应涵盖主机设备、网络设备、数据库、安全设备、各类中间件、机房环境控
制系统等;
e) 能够对采集的安全事件原始数据的集中存储。
注:安全事件的属性可参考......
|