等保2.0建设根基要求（技术部门）解读（上）

作者：8827太阳集团 2020-08-26

等保2.0根基要求技术部门，，，，，，，，以四级为例，，，，，，，，安全物理环境、安全通讯网络、安全区域天堑的节造点逐项解读内容如下：

1.安全物理环境

1.1 物理地位选择

a) 机房场地应选择在拥有防震、防风和防雨等能力的构筑内；；；；；；

b) 机房场地应预防设在构筑物的顶层或地下室，，，，，，，，不然应加强防水和防潮措施。。。。。

解读：准则上机房不得位于顶层/地下室，，，，，，，，不然必要采取铺设防水涂料，，，，，，，，成立防水层保�；；；；；さ仁┕ご胧�，，，，，，，，加强防水能力。。。。。技术上可增长环境动力监控系统的漏水检测职能，，，，，，，，自动对漏水报警。。。。。

1.2 物理接见节造

a) 机房出入口应配置电子门禁系统，，，，，，，，节造、甄别和纪录进入的人员；；；；；；

b) 沉要区域应配置第二路电子门禁系统，，，，，，，，节造、甄别和纪录进入的人员。。。。。

解读：机房应有结构设计（如下图：机房平面图所示），，，，，，，，内部划分为缓冲区、设备区。。。。。门口配置电子门禁和防盗门，，，，，，，，内部部署视频监控、红表报警等防盗报警设备。。。。。�；；；；；撼迩舳涎∪》阑鹱柿�，，，，，，，，起到安保两全防火隔离作用。。。。。�；；；；；撼迩谔峁┏志�/短期运维人员使用的运维终端等设备，，，，，，，，门口配置静电开释铜球。。。。。设备区属于沉要区域，，，，，，，，内部署服务器、网络安全设备等关键设备，，，，，，，，设备区出入口配置第二路电子门禁系统，，，，，，，，起到节造、甄别和纪录进入的人员主张。。。。。内部机柜前后通路部署摄像头，，，，，，，，监控通路物理安全。。。。。设备区内还部署机房空和谐无管网式三氟丙烷气体灭火装置。。。。。

图 1机房平面图

1.3 防偷窃和防粉碎

a) 应将设备或重要部件进行固定，，，，，，，，并设置显著的不易除去的标识；；；；；；

b) 应将通讯线缆铺设在荫蔽安全处；；；；；；

c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统。。。。。

解读：机房内所有设备和线缆依照统一体式打标签，，，，，，，，标签使用黄色标签纸，，，，，，，，用标签打印机打印出，，，，，，，，预防手写或涂改。。。。。并将标签粘贴于设备表讲显著处（通常粘贴在前面板或上面板）。。。。。具体设备和线缆标签体式如下：

机房内所有设备统一粘贴设备信息标签，，，，，，，，范例体式为：

所有设备网络接口/端口统一粘贴接口/端口标签，，，，，，，，体式为：

所有通讯线缆均部署在线槽及架空铺设在机房桥架等荫蔽处，，，，，，，，机房缓冲区、设备区均部署红表报警系统及视频监控系统，，，，，，，，红表报警系统的警报端设置在大楼保安室，，，，，，，，一旦产生安全事务，，，，，，，，由安全人员第一功夫接警措置。。。。。在机柜通路处，，，，，，，，增设摄像头视频覆盖。。。。。视频监控服务器位于机房设备区，，，，，，，，视频监控纪录保留6个月。。。。。

1.4 防雷击

a) 应将各类机柜、设施和设备等通过接地系统安全接地；；；；；；

b) 应采取措施预防感应雷，，，，，，，，例如设置防雷保安器或过压保�；；；；；ぷ爸玫�。。。。。

解读：设备区的所有机柜和设备都有安全地线，，，，，，，，电源选取UPS，，，，，，，，自带稳压及过压保�；；；；；ぷ爸�，，，，，，，，可有效预防电压震荡及感应雷对信息设备的粉碎。。。。。

1.5 防火

a) 机房应设置火警自动消防系统，，，，，，，，可能自动检测火情、自动报警，，，，，，，，并自动灭火；；；；；；

b) 机房及有关的工作房间和辅助房应采器拥有耐火等级的构筑资料；；；；；；

c) 应对机房划分区域进行治理，，，，，，，，区域和区域之间设置隔离防火措施。。。。。

解读：机房内设置早期火警预警系统，，，，，，，，通过与环境动力监控系吐洫动，，，，，，，，可自动发现并通过七氟丙烷气体自动消防灭火，，，，，，，，自动向节造台声光信号报警及治理员手机短信报警。。。。。

机房区域划分为缓冲区和设备区，，，，，，，，按分区治理，，，，，，，，区域之间选取防火资料的隔断，，，，，，，，起到物理隔离和防火隔离双沉职能。。。。。

1.6 防水和防潮

a) 应采取措施预防雨水通过机房窗户、屋顶和墙壁渗入；；；；；；

b) 应采取措施预防机房内水蒸气结露和地下积水的转移与渗入；；；；；；

c) 应装置对水敏感的检测仪表或元件，，，，，，，，对机房进行防水检测和报警。。。。。

解读：机房内窗户需持久关关，，，，，，，，并在边缘搁置遇水变色的检测试纸，，，，，，，，定期放哨机房。。。。。此表，，，，，，，，机房地板低洼处部署漏水检测线，，，，，，，，可对漏水及凝固水自动报警。。。。。通知治理员实时措置。。。。。�；；；；；烤芸盏鞯ザ澜ㄉ枇嘶厮酆头浪�，，，，，，，，预防凝固水表溢到机房地板。。。。。此表，，，，，，，，机房施工时，，，，，，，，已做防水处置工艺。。。。。

1.7 防静电

a) 应选取防静电地板或地面并选取必要的接地防静电措施；；；；；；

b) 应采取措施预防静电的产生，，，，，，，，例如选取静电解除器、佩带防静电手环等。。。。。

解读：机房地面选取防静电地板，，，，，，，，机房出入口装置有静电解除铜球，，，，，，，，进入人员可提前开释静电。。。。。�；；；；；撼迩旃滥谟蟹谰驳缡只�，，，，，，，，可进一步解除及预防人体静电的产生。。。。。

1.8 温湿度节造

应设置温湿度自动调节设施，，，，，，，，使机房温湿度的变动在设备运行所允许的领域之内。。。。。

解读：机房内部署机房空调，，，，，，，，24幼时运行，，，，，，，，设置温度为24度恒温（或其他合理温度区间）。。。。。浚�？？？盏髂谥米刺嗫�，，，，，，，，可自动监测运行状态，，，，，，，，如出现设备故障可自动声音报警，，，，，，，，并通过环境动力监控系统报警。。。。。

1.9 电力供给

a) 应在机房供电线路上配置稳压器和过电压防护设备；；；；；；

b) 应提供短期的备用电力供给，，，，，，，，至少满足设备在断电情况下的正常运行要求；；；；；；

c) 应设置冗余或并行的电力电缆线路为推算机系统供电；；；；；；

d) 应提供给急供电设施。。。。。

解读：机房供电线路上部署UPS短期供电装置，，，，，，，，蕴含UPS主机和配置电池，，，，，，，，电池组支持机房全数设备30分钟电力供给，，，，，，，，可应对一时短期断电。。。。。

机房供电如有前提，，，，，，，，可接两路市电，，，，，，，，或者柴油发电机组，，，，，，，，实现冗余供电。。。。。

1.10 电磁防护

a) 电源线和通讯线缆应隔离铺设，，，，，，，，预防互有关扰；；；；；；

b) 应对关键设备或关键区域执行电磁屏蔽。。。。。

解读：项目中弱电线缆执行综合集成布线工程，，，，，，，，所有电源线与通讯线缆均分隔铺设，，，，，，，，并且，，，，，，，，本项目所有垂直子系统布线均选取光纤，，，，，，，，水平子系统选取超六类线缆。。。。。确保了数据通讯不会被电力线缆电磁滋扰。。。。。

项目中的关键设备是指服务器、存储、加密机，，，，，，，，均部署在屏蔽机柜中，，，，，，，，或选取屏蔽机房，，，，，，，，以满足关键设备或关键区域电磁屏蔽有关要求。。。。。

2. 安全通讯网络

2.1 网络架构

a) 应保障网络设备的业务处置能力满足业务顶峰期必要；；；；；；

b) 应保障网络各个部门的带宽满足业务顶峰期必要；；；；；；

c) 应划分分歧的网络区域，，，，，，，，并依照方便治理和节造的准则为各网络区域分配地址；；；；；；

d) 应预防将沉要网络区域部署在天堑处，，，，，，，，沉要网络区域与其他网络区域之间应采取靠得住的技术隔离伎俩；；；；；；

e) 应提供通讯线路、关键网络设备和关键推算设备的硬件冗余，，，，，，，，保障系统的可用性；；；；；；

f) 应依照业务服务的沉要水平分配带宽，，，，，，，，优先保险沉要业务。。。。。

解读：所有网络设备，，，，，，，，蕴含互换机和路由器，，，，，，，，查问年机能日志，，，，，，，，若是全数日志设备机能开销均低于60%，，，，，，，，则满足网络设备的业务处置能力满足业务顶峰期必要的要求。。。。。若是设备机能开销高于60%，，，，，，，，或出现系统宕机后异常启动纪录，，，，，，，，则需更换为更高机能的网络设备。。。。。网络各个部门的带宽机能以网络丢包时延及带宽速度为重要技术指标，，，，，，，，可通过测试发现是否满足业务顶峰需要，，，，，，，，若是不满足需要，，，，，，，，可通过集成布线工程执行，，，，，，，，用光纤代替双绞线满足带宽要求。。。。。对于特定业务所需的大带宽，，，，，，，，可通过双链路设计共同链路负载平衡设备，，，，，，，，满足业务顶峰期需要。。。。。

网络区域划分应凭据沉要性、部门等成分划分分歧的区域网络。。。。。网络拓扑设计依照分歧职能，，，，，，，，分歧沉要水平分分辨域治理准则，，，，，，，，划分为多个安全域。。。。。沉要网络区域与其他网络区域之间应采取技术隔离伎俩，，，，，，，，如网闸、防火墙等共同接见节造列表。。。。。分歧安全域的IP地址规划分歧（分歧网段），，，，，，，，依照方便治理和节造的准则为各网络区域分配地址举例如下：（以192.168.17.0为基础网络地址，，，，，，，，8个部门，，，，，，，，每个部门30台终端设计，，，，，，，，共240个地址）

表格 1IP地址规划表

此表，，，，，，，，关键区域设备（如多链路汇聚处）的网络设备、安全设备和关键推算设备，，，，，，，，通讯链路蹬爪采取主备或双活等方式，，，，，，，，保险系统可用性。。。。。网络设备（如路由器、互换机等）应依照业务沉要水平，，，，，，，，支持并启用QoS等带宽节造战术。。。。。

2.2 通讯传输

a) 应选取密码技术保障通讯过程中数据的齐全性；；；；；；

b) 应选取密码技术保障通讯过程中数据的保密性；；；；；；

c) 应在通讯前基于密码技术对通讯的双方进行验证或认证；；；；；；

d) 应基于硬件密码模浚�？？？槎猿烈ㄑ豆探忻苈朐怂愫兔茉恐卫�。。。。。

解读：远程通讯传输将选取切合国度密码治理局商用密码技术尺度的加密机设备。。。。。所用加密机基于国密算法，，，，，，，，切合选取密码技术保险通讯过程中数据的齐全性与保密性。。。。。加密机自身通讯成立过程也切合通讯前基于密码技术对通讯的双方的认证要求，，，，，，，，自身治理职能满足基于硬件密码模浚�？？？槎猿烈ㄑ豆探忻苈朐怂愫兔茉恐卫�。。。。。

2.3 可信验证

应采器拥有网络可信衔接保�；；；；；ぶ澳艿南低橙砑蛴涤邢嘤χ澳艿男畔⒓际醪�，，，，，，，，在设备衔接网络时，，，，，，，，对源和指标进行平台身份甄别、执行法式及其所有执行环节的执行资源进行可信验证。。。。。浚�？？？苫诳尚鸥酝ㄑ渡璞傅南低呈璧挤ㄊ健⑾低撤ㄊ健⒊烈渲貌问屯ㄑ独梅ㄊ降冉锌尚叛橹�，，，，，，，，并在利用法式的所有执行环节进行动态可信验证，，，，，，，，在检测到其可信性受到粉碎后进行报警，，，，，，，，并将验证了局形成审计纪录送至安全治理中心，，，，，，，，并进行动态关联感知。。。。。

解读：可信技术软件或硬件为选配。。。。。

3.安全区域天堑

3.1 天堑防护

a) 应保障逾越天堑的接见和数据流通过天堑设备提供的受控接口进行通讯；；；；；；

b) 应可能对非授权设备私下联到内部网络的行为进行查抄或限度；；；；；；

c) 应可能对内部用户非授权联到表部网络的行为进行查抄或限度；；；；；；

d) 应限度无线网络的使用，，，，，，，，保障无线网络通过受控的天堑设备接入内部网络；；；；；；

e) 应可能在发现非授权设备私下联到内部网络的行为或内部用户非授权联到表部网络的行为时，，，，，，，，对其进行有效阻断；；；；；；

f) 应选取可信验证机造对接入到网络中的设备进行可信验证，，，，，，，，保障接入网络的设备真实可信。。。。。

解读：各安全域天堑需部署防火墙，，，，，，，，确保浚�？？Ｓ庠教烨到蛹褪萘鞫纪ü阑鹎绞芸亟涌谕ㄑ�。。。。。防火墙设置必要的接见节造战术，，，，，，，，未明确的通讯统一回绝。。。。。对于非授权设备私下联到内部网络的行为，，，，，，，，即犯法内联行为，，，，，，，，部署“网络犯法接入查抄系统”（也可部署“网络准入系统NAC”），，，，，，，，查抄系统选取旁路部署方式，，，，，，，，基于B/S架构，，，，，，，，可自动探测各类犯法内联行为，，，，，，，，蕴含但不限于：随身WiFi接入检测、无线AP接入检测、以NAT方式接入的路由设备检测、网络共享检测、VMWare虚机检测、违规使用Window8操作系统检测、违规使用Window10操作系统检测、违规路由检测以及犯法IP接入检测。。。。。针对上述违规内联行为，，，，，，，，可识此外设备类型蕴含：自动发现和鉴别网络中存在终端PC、网络设备、服务器类设备、网络打印机、网络摄像机等。。。。。不仅能够通过互换机端口急剧定位产生违规行为的主机，，，，，，，，还能急剧阻断违规主机与网络的衔接（处置方式蕴含发送邮件通知和互换机端口自动阻断），，，，，，，，此表还具备IP追踪审计等其他附加职能。。。。。

针对内部用户非授权联到表部网络的行为，，，，，，，，即犯法表联，，，，，，，，相比违规内联，，，，，，，，违规方式更多，，，，，，，，例如以下几种违规方式：

情景一：用户将PC网卡切换到表网有线网络衔接，，，，，，，，此时若是用户将网卡设置改为表网模式(手动分配IP或DHCP分配IP)，，，，，，，，PC将能直接接见互联网。。。。。

情景二：用户将PC衔接到可接见表网的无线网络，，，，，，，，此时若是用户将无线网卡IP改为表网配置，，，，，，，，PC也将能直接接见互联网。。。。。

情景三：用户将可共享网络的智能手机插到PC上充电，，，，，，，，此时若是用户开启了手机共享上网职能，，，，，，，，PC将会通过智能手机的数据网络接见互联网。。。。。

情景四：用户将USB接口的无线网卡插到PC上，，，，，，，，在进行相应配置后，，，，，，，，PC也将能直接接见互联网。。。。。

上述情景是比力常见的违规表联情景，，，，，，，，由于内网终端通常是PC或虚构桌面，，，，，，，，因而，，，，，，，，解决违规表联问题，，，，，，，，可通过部署“内网安全治理系统”（也可部署“网络准入系统NAC”）实现，，，，，，，，该系统基于C/S架构，，，，，，，，将客户端直接部署在内网终端上，，，，，，，，可自动探测并组织违规表联行为，，，，，，，，可能对终端的犯法表联行为进行监控和告警，，，，，，，，一旦探测发现终端产生犯法表联行为，，，，，，，，即可凭据系统设定措置方式，，，，，，，，进行审计、告警、断开网络等肆意组合方式（如下图所示），，，，，，，，直至犯法表联行为遏制后才会解除。。。。。报警及审计方式多种可选，，，，，，，，告警方式蕴含：终端提醒，，，，，，，，上汇报警事务及电子邮件告警，，，，，，，，支持同时对多个用户发送告警信息。。。。。

图2 违规表联产品阻断图

针对内网无线网络，，，，，，，，应从规模和网络防护角度限度使用。。。。。首先明确无线网络的利用场景，，，，，，，，以及接入无线网络的必要性。。。。。其次，，，，，，，，确定必要接入的区域领域和接入部门人员。。。。。再次，，，，，，，，对于确需使用无线网络的区域，，，，，，，，装置无线网络同时，，，，，，，，要做好无线网络网络防护建设，，，，，，，，从拓扑设计和建设上，，，，，，，，无线AP或无线路由器的上联端口要接入防火墙受控端口，，，，，，，，并以防火墙为天堑，，，，，，，，与其他网络区域做隔离。。。。。如下图所示：

图3 无线网络防护（红色边框内）

3.2 接见节造

a) 应在网络天堑或区域之间凭据接见节造战术设置接见节造规定，，，，，，，，默认情况下除允许通讯表受控接口回绝所有通讯；；；；；；

b) 应删除有余或无效的接见节造规定，，，，，，，，优化接见节造列表，，，，，，，，并保障接见节造规定数量最幼化；；；；；；

c) 应凭据区域天堑安全节造战术，，，，，，，，通过查抄数据包的源地址、主张地址、传输层和谈、源端口、主张端口和和谈、要求的服务等进行查抄，，，，，，，，以允许/回绝数据包进出受保�；；；；；さ那蛱烨担�；；；；；

d) 应能凭据会话状态信息为进出数据流提供明确的允许/回绝接见的能力；；；；；；

e) 应在网络天堑通过通讯和谈转换或通讯和谈隔离等方式进行数据互换。。。。。

解读：在网络区域天堑部署防火墙（或UTM、下一代防火墙），，，，，，，，凭据总体网络接见节造战术（体此刻治理文档），，，，，，，，在防火墙（或UTM、下一代防火墙）中设置精简且必要的接见节造规定（可借助FLowEye产品的流量监控职能，，，，，，，，梳理出精简且必要的接见节造规定），，，，，，，，默认情况下除允许通讯表受控接口回绝所有通讯。。。。。接见节造规定对数据包的源地址、主张地址、传输层和谈、源端口、主张端口和和谈、要求的服务等进行查抄。。。。。

在网络与网络天堑处，，，，，，，，通常部署双向网闸，，，，，，，，将数据与通用和谈剥离，，，，，，，，通过网闸的私有和谈进行安全数据摆渡。。。。。实现跨网安全数据互换。。。。。

3.3 入侵防备

a) 应在关键网络节点处检测、预防或限度从表部提议的网络攻击行为；；；；；；

b) 应在关键网络节点处检测、预防或限度从内部提议的网络攻击行为；；；；；；

c) 应采取技术措施对网络行为进行分析，，，，，，，，实现对网络攻击出格是新型网络攻击行为的分析；；；；；；

d) 当检测到攻击行为时，，，，，，，，纪录攻击源IP、攻击类型、攻击指标、攻击功夫，，，，，，，，在产生严沉入侵事务时应提供报警。。。。。

解读：在网络拓扑设计中，，，，，，，，在网络主干链路上串行部署IPS，，，，，，，，在主题互换机旁路部署IDS，，，，，，，，可实此刻关键网络节点处检测、预防或限度从表部提议的网络攻击行为。。。。。在终端用户域汇聚互换机（或接入互换机）旁边部署IPS，，，，，，，，可实此刻关键网络节点处检测、预防或限度从内部提议的网络攻击行为。。。。。在网络接入域部署IPS及DAC、Floweye、APT（部署见下图所示），，，，，，，，Floweye和APT能够依附DAC（威胁谍报中心）发现APT攻击并报警，，，，，，，，联动IPS自动天生阻断战术，，，，，，，，全自动阻断APT攻击，，，，，，，，并天生报警信息和日志信息。。。。。有效预防和阻断网络攻击出格是新型网络攻击行为。。。。。上述产品在检测到攻击时，，，，，，，，会提供攻击源IP、攻击类型等根基审计信息，，，，，，，，以及具备遭逢严沉入侵时自动报警职能。。。。。

图4 未知威胁攻击防御（见红色布景区域）

3.4 恶意代码和垃圾邮件防备

a) 应在关键网络节点处对恶意代码进行检测和断根，，，，，，，，并守护恶意代码防护机造的升级和更新；；；；；；

b) 应在关键网络节点处对垃圾邮件进行检测和防护，，，，，，，，并守护垃圾邮件防护机造的升级和更新。。。。。

解读：在网络主干链路上部署防病毒网关（防毒墙），，，，，，，，可对网络传布盛行的木马、病毒、恶意软件等进行检测和断根。。。。。终端共同网络版杀毒软件，，，，，，，，形成网络和终端全方位恶意代码检测和断根。。。。。定期（一个月）对防病毒软件和防病毒网关的病毒库及软件版本进行实时更新和升级。。。。。

在网络主干链路上部署反垃圾邮件网关，，，，，，，，可对垃圾邮件进行检测和防护。。。。。

3.5 安全审计

a) 应在网络天堑、沉要网络节点进行安全审计，，，，，，，，审计覆盖到每个用户，，，，，，，，对沉要的用户行为和沉要安全事务进行审计；；；；；；

b) 审计纪录应蕴含事务的日期和功夫、用户、事务类型、事务是否成功及其他与审计有关的信息；；；；；；

c) 应对审计纪录进行保�；；；；；�，，，，，，，，定期备份，，，，，，，，预防受到未预期的删除、批改或覆盖等。。。。。

解读：在网络主题互换机旁路部署网络审计（或网络审计+综合日志审计），，，，，，，，在数据库服务器所衔接的互换机旁路部署数据库审计，，，，，，，，可满足内网全流量、全用户、全事务安全审计要求。。。。。并对审计日志进行备份。。。。。

3.6 可信验证

可基于可信根对天堑设备的系统疏导法式、系统法式、沉要配置参数和天堑防护利用法式等进行可信验证，，，，，，，，并在利用法式的所有执行环节进行动态可信验证，，，，，，，，在检测到其可信性受到粉碎后进行报警，，，，，，，，并将验证了局形成审计纪录送至安全治理中心，，，，，，，，并进行动态关联感知。。。。。

解读：可信验证为可选项。。。。。产品自身配置可信推算板卡，，，，，，，，满足可信验证要求。。。。。

急剧链接

国度尺度
工作流程
深度解读
解决规划
安全产品推荐
网络安全等级保�；；；；；ね�

8827太阳集团

网络安全防护

网络安全检测

利用安全

数据安全

安全治理

云安全

工控安全

移动及终端安全

密码利用安全

大模型利用安全

专业安全服务

安全运营中心

知白学院

威胁谍报中心

安全传递

钻研汇报

安全团队

渠路系统

售后服务

升级布告

软件升级

公司概况

新闻动态

技术专题

人才招聘

投资者关系

资源中心

联系8827太阳集团

等级保�；；；；；ぷㄌ�