OWASP应用安全评估组：等级保护-应用安全要求对照表
等级保护各级别安全要求(含扩展项)
第四级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信网网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全管理理中心心 安全建设管理理 安全运维管理理 安全物理理环境
第二二级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信网网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全建设管理理 安全运维管理理 安全物理理环境
第三级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信Байду номын сангаас网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全管理理中心心 安全建设管理理 安全运维管理理 安全物理理环境
安全区域边界
移动互联完全扩展 要求
安全计算环境
安全建设管理理 安全运维 安全物理理环境
信息安全等级保护各级对比表
目录1概述 (2)1.1 背景介绍 (2)1.2 主要作用及特点 (2)1.3 与其他标准的关系 (3)1.4 框架结构 (3)2描述模型 (4)2.1 总体描述 (4)2.2 保护对象 (5)2.3 安全保护能力 (5)2.4 安全要求 (7)3逐级增强的特点 (8)3.1 增强原则 (8)3.2 总体描述 (9)3.3 控制点增加 (10)3.4 要求项增加 (10)3.5 控制强度增强 (11)4各级安全要求 (12)4.1 技术要求 (12)4.1.1 物理安全 (12)4.1.2 网络安全 (18)4.1.3 主机安全 (23)4.1.4 应用安全 (28)4.1.5 数据安全及备份恢复 (34)4.2 管理要求 (37)4.2.1 安全管理制度 (37)4.2.2 安全管理机构 (39)4.2.3 人员安全管理 (42)4.2.4 系统建设管理 (46)4.2.5 系统运维管理 (51)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。
网络安全等级保护2.0-通用要求-表格版
网络安全等级保护基本要求第1部分：安全通用要求一、技术要求:二、管理要求的管理职责件报告和后期恢复的管理职责等；c) 应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训不同的处理程序和报告程序。
应急预案管理/ a) 应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容；b) 应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障；c) 应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练a) 应规定统一的应急预案框架，并在此框架下制定不同事件的应急预案，包括启动预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；b) ；c) ；d) 应定期对原有的应急预案重新评估，修订完善。
a) ；b) ；c) ；d) ；外包运维管理/ a) 应确保外包运维服务商的选择符合国家的有关规定；b) 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容a) ；b) ；c) 应确保选择的外包运维服务商在技术和管理方面均具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确；d) 应在与外包运维服务商签订的协议中明确所有相关的安全要求。
如可能涉及对敏感信息的访问、处理、存储要求，对IT基础设施中断服务的应急保障要求等。
a) ；b) ；c) ；d) ；。
等级保护2.0基本要求二级三级对比表(二)通用管理要求
f)应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制；
g)应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。
ý
þ
5
外包软件开发
a)应在软件交付前检测其中可能存在的恶意
代码；
þ
þ
b)应保证开发单位提供软件设计文档和使用
c)应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管
理。
ý
þ
3
介质管理
a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管
理，并根据存档介质的目录清单定期盘点；
þ
þ
b)应对介质在物理传输过程中的人员选择、
打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。
þ
þ
d)应制定重要设备的配置和操作手册，依据
手册对设备进行安全配置和优化配置等；
þ
þ
e)应详细记录运维操作日志，包括日常巡检
工作、运行维护记录、参数的设置和修改等内容。
þ
þ
f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为；
g)应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志，操作结束后应同步更新配置信息库；
案实施测试验收，形成测试验收报告；
þ
þ
b)应进行上线前的安全性测试，并出具安全测试报告。安全测试报告应包含密码应用安全性测试相关内容。
þ
þ
8
系统交付
a)应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；
网络安全等级保护-基本要求-安全通用要求-防护级别对照表
\
27
9.数据备份恢复
应提供重要数据的本地数据备份和恢复功能。
28
10.剩余信息保护
\
29
11.个人信息保护
\
30 1.5 安全管理中心 1.系统管理
\
31
2.审计管理
\
32
集中管控
\
34 1.6 安全管理制度 1.安全策略
35
2.管理制度
\ 应建立日常管理活动中常用的安全管理制度。
\
56
10.服务供应商选择
57 1.10 安全运维管理 1.环境管理
a)应确保服务供应商的选择符合国家的有关规 定； b)应与选定的服务供应商签订与安全相关的协 议，明确约定相关责任。
a)应指定专门的部门或人员负责机房安全，对 机房出入进行管理，定期对机房供配电、空调 、温湿度控制、消防等设施进行维护管理； b)应对机房的安全管理作出规定，包括物理访 问、物品进出和环境安全等方面。
技术要求 序号
1.1 安全物理环境 1.物理位置选择
1
2.物理访问控制
2
3.防盗窃和防破坏
3
4.防雷击
4
5.防火
第一级
\
机房出入口应安排专人值守或配置电子门禁系 统，控制、鉴别和记录进入的人员。 应将设备或主要部件进行固定，并设置明显的 不易除去的标识。 应将各类机柜、设施和设备等通过接地系统安 全接地
a)应对登录的用户分配账户和权限；
b)应重命名或删除默认账户，修改默认账户的
20
2.访问控制
默认口令；
c)应及时删除或停用多余的、过期的账户，避
免共享账户的存在。
21
3.安全审计
\
等级保护和风险评估模板
等级保护和风险评估模板然而我国目前档案信息安全保障体系构建主要依赖于信息安全技术，且缺乏有效的安全管理和安全监督机制，档案信息系统随时存在安全风险，只有通过科学、有效的管理和规范才能构建真正的档案信息安全保障体系。
国际国内普遍采用制定法规标准来加强和规范信息安全保障体系建设。
国际标准有ISO/IEC17799、ISO/IEC27000系列等信息安全管理和风险评估标准。
国内2023年由公安部和国家保密局等四家单位印发了《信息安全等级保护管理办法》（公通字[2023]43号），全国信息安全标准化技术委员会制订了《GB/T22239-2023信息系统安全等级保护基本要求》、《GB/T20984-2023信息安全风险评估规范》等标准，以保障我国信息安全，从此也真正在全国范围内拉开了我国信息安全等级保护和风险评估的序幕。
档案信息安全保障体系构建也应依据相应的法规标准。
一、基于信息安全风险评估的档案信息安全保障体系构架2003年中共中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号，简称“27号文件”），提出“坚持积极防御、综合防范”的方针。
同时，27号文件还提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。
”27号文件是我国构建国家信息安全保障体系的“宪法性”文件，主要强调了信息安全保障需主动防御而非事后堵漏洞；需从管理、技术和法规多方面开展而非单靠技术；需以系统工程的思想而非简单地构建安全保障体系；需以信息安全风险评估与等级保护作为建设国家信息安全保障体系的基本制度。
“积极防御，就是强调以安全保发展、在发展中求安全，不是被动地就安全抓安全；综合防范，就是综合运用行政、法律、技术等多种手段，强调国家、企业和个人共同的责任，各个部门齐抓共管，用系统工程的思路，用体系建设的思路来抓信息安全。
等级保护2.0基本要求二级三级对比表格
1通用技术要求安全物理环境需要知足切合项的，不需要知足切合项的或许空序号名称详细要求2级3级1物理地点的a) 机房场所应选择在拥有防震、防风和防雨等能选择力的建筑内；b) 机房场所应防止设在建筑物的顶层或地下室，2物理接见控制不然应增强防水和防潮举措。
机房进出口应安排专人值守或配置电子门禁系统，控制、鉴识和记录进入的人员。
机房进出口应配置电子门禁系统，控制、鉴识和记录进入的人员。
3防偷窃和防a) 应将设备或主要零件进行固定，并设置显然的损坏不易除掉的表记；b)应将通讯线缆铺设在隐蔽安全处。
c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。
4防雷击应将各种机柜、设备和设备等经过接地系统安全接地。
b)应采纳举措防备感觉雷，比如设置防雷保安器或过压保护装置等。
5防火a)机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；b)机房及有关的工作房间和协助房应采纳拥有耐火等级的建筑资料。
c)应付机房区分地区进行管理，地区和地区之间设置隔绝防火举措。
6防水和防潮a) 应采纳举措防备雨水经过机房窗户、屋顶和墙壁浸透；b) 应采纳举措防备机房内水蒸气结露和地下积水的转移与浸透。
c)应安装对水敏感的检测仪表或元件，对机房进7防静电行防水检测和报警。
应采纳防静电地板或地面并采纳必需的接地防静电举措。
b)应采纳举措防备静电的产生，比如采纳静电消除器、佩带防静电手环等。
8湿温度控制应设置温湿度自动调理设备，使机房温湿度的变化在设备运转所同意的范围以内。
9电力供给a) 应在机房供电线路上配置稳压器和过电压防备设备；b)应供给短期的备用电力供给，起码知足设备在断电状况下的正常运转要求。
c)应设置冗余或并行的电力电缆线路为计算机系统供电。
10电磁防备a) 电源线和通讯线缆应隔绝铺设，防止相互扰乱。
b)应付重点设备实行电磁障蔽。
安全通讯网络序号名称详细要求2级3级a)应保证网络设备的业务办理能力知足业务顶峰期需要；b)应保证网络各个部分的带宽知足业务顶峰期需要；c)应区分不一样的网络地区，并依照方便管理和控制的原则为各网络地区分派地址；1网络架构d)应防止将重要网络地区部署在界限处，重要网络地区与其余网络地区之间应采纳靠谱的技术隔绝手段e)应供给通讯线路、重点网络设备和重点计算设备的硬件冗余，保证系统的可用性。
2019版网络安全等级保护二级三级四级对照表
网络和系统安 全管理
网络和系统安 全管理
网络和系统安 全管理
网络和系统安 全管理
网络和系统安 全管理
网络和系统安 全管理
网络和系统安 全管理
标识
定义
应采取必要的措施识别安全漏洞和隐患，对
G 发现的安全漏洞和隐患及时进行修补或评估
可能的影响后进行修补
G
应定期展开安全测评，形成安全测评报告， 采取措施应对发现的安全问题
安全运维管理 环境管理
标识
定义
应指定专门的部门或人员负责机房安全，对
G 机房出入进行管理，定期对机房供配电、空
调温湿度控制、消防等设施进行维护管理
一级 l
环境管理
G
应对机房的安全管理作出规定，包括对物理 服务、物品进出和环境安全等方面
l
环境管理 环境管理 资产管理 资产管理 资产管理 介质管理
介质管理 设备维护管理
记录和维护
一级 一级 一级
l
物联网安全 感知节点管理
感知节点管理
四级 应对感知节点设备、网关节点设备入库、存 储、部署、携带、维修、丢失和报废等过程 做出明确规定，并进行全程管理 应加强对感知节点设备、网关节点设备部署 环境的保密性管理，包括负责检查和维护的 人员的调离工作岗位应立即交还相关检查工 具和检查维护记录
G
应规定备份信息的备份方式、备份频度、存 储介质、保存期等
l l 一级
l l
l l 二级 l l
l l l
l l
l
l
l
l
三级
四级
应定期验证防范恶意代码攻 应定期验证防范恶意代码攻
击的技术措施的有效性 击的技术措施的有效性
安全评估分数参考
安全评估分数参考安全评估分数是按照一定的标准对系统、应用或者组织进行安全性评估的结果。
评估结果通常以分数形式表示，分数越高表示安全性越好，分数越低表示安全性越差。
具体的安全评估分数参考可以根据不同的标准和评估方法而有所差异。
以下是一些常见的参考标准：1. OWASP Top 10：OWASP（Open Web Application Security Project）是一个致力于Web应用安全的国际组织，他们发布了一份关于Web应用安全的常见漏洞清单，称为OWASP Top 10。
安全评估可以参考OWASP Top 10中的漏洞数量和等级来进行评估。
2. CVSS（Common Vulnerability Scoring System）：CVSS是一种广泛使用的漏洞评估方法，用于对漏洞的严重程度进行评估，包括身份验证、访问控制、数据保护等多个方面。
评估结果以0-10的分数表示，分数越高表示漏洞越严重。
3. ISO 27001：ISO 27001是一种国际标准，用于评估和管理信息安全风险。
该标准定义了一系列控制措施，包括物理安全、网络安全、人员安全等方面。
评估结果可以按照ISO 27001的控制措施来评估，得到一个综合分数。
4. NIST Cybersecurity Framework：NIST（National Institute of Standards and Technology）是美国国家标准与技术研究所，他们发布了一份关于网络安全框架的指南，包括识别、保护、检测、应对和恢复等五个方面。
评估结果可以参考这份框架来进行评估，得到一个综合分数。
需要注意的是，安全评估分数只是评估结果的一种表达方式，它只能作为参考，并不能完全代表系统或应用的安全性。
评估结果可能受到评估方法、评估工具和评估人员的不同而有所差异，因此在评估过程中需要综合考虑多个因素，并根据具体情况做出相应的决策。
安全评估分级表
安全评估分级表
尽管我无法提供具体的安全评估分级表，但下面是一般在安全评估中常见的一些安全分级：
1. 高风险：指存在严重安全漏洞或风险的系统或设备，即使是随机的攻击也可能导致重大破坏或数据泄露。
2. 中等风险：指存在一些安全漏洞或风险的系统或设备，而这些漏洞或风险在被攻击时可能导致某些损害或数据泄露。
3. 低风险：指可能存在一些安全漏洞或风险，但这些漏洞或风险对系统的整体安全性影响较小，攻击者难以利用这些漏洞或风险入侵系统。
这只是一种常见的分级方式，具体的评估分级可能会根据不同情况、行业和需求而有所不同。
在实际评估中，通常会定义更加详细的分级标准，从而更准确地评估和分类安全风险。
OWASP应用安全评估组：等级保护-应用安全要求对照表
不做要求 不做要求 不做要求 不做要求 不做要求 不做要求 不做要求 应采用约定通信会话 方式的方法 不做要求 不做要求
不做要求
不做要求
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口 输入的数据格式或长度符合系统设定要求。
要求
不做要求
在故障发生时。。
不做要求
不做要求
当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方 应能够自动结束会话； 应能够对应用系统的最大并发会话连接数进行限制；
不做要求
不做要求 应提供访问控制功能 控制用户组/用户对系 统功能和用户数据的 访问
访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间 的操作；
不做要求
应由授权主体配置访问控制策略，并严格限制默认用户的访问权限。
要求
应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间 形成相互制约的关系
不做要求
应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统 中不存在重复用户身份标识，身份鉴别信息不易被冒用。
不做要求
应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自 动退出等措施。
要求
应启用身份鉴别和登录失败处理功能，并根据安全策略配置相关参数
要求
应启用用户身份标识唯一性检查、用户身份鉴别信息复杂度检，并 根据安全策略配置相关参数
不做要求
应具有对重要信息资源设置敏感标记的功能；
不做要求
应依据安全策略严格控制用户对敏感标记重要信息资源的操作。
不做要求
不做要求
不做要求 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进 行审计； 应保证无法单独中断审计进程。 应保证无法删除、修改或覆盖审计记录。 审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描 述和结果等。 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能 。 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得 到完全清除，无论这些信息是存放在硬盘上还是内存中。 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释 放或重新分配给其他用户前得到完全清楚。 应保证通信过程中数据的完整性。 在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化 验证； 应在通信过程中进行加密。 应具有在请求的情况下为数据的原发者或接收者提供数据原发证据的 功能。 应具有在请求的情况下为数据的原发者或接收者提供数据接收证据的 功能。
等级保护应用安全与OWASPTop10
等级保护应用安全与OWASPTop10
等级保护应用安全与OWASP Top10
蒙家晓;陈华军;蒋屹新;袁小凯
【期刊名称】《信息网络安全》
【年(卷),期】2013(000)0z1
【摘要】应用系统是信息安全等级保护测评的核心对象，直接面对用户，受到的安全威胁最大。
OWASP Top10是指应用系统的十大安全风险。
文章从信息安全等级保护的角度，对OWASP T op10进行研讨分析，整理OWASP T op10与等级保护应用安全测评控制点之间的关系，探讨OWASP测试方法在等级保护应用安全测评中的使用。
【总页数】3页(81-83)
【关键词】等级保护;OWASP;应用安全
【作者】蒙家晓;陈华军;蒋屹新;袁小凯
【作者单位】南方电网科学研究院有限责任公司，广东广州510080;南方电网科学研究院有限责任公司，广东广州510080;南方电网科学研究院有限责任公司，广东广州510080;南方电网科学研究院有限责任公司，广东广州510080【正文语种】中文
【中图分类】TP309
【相关文献】
1.由OWASP Top10 2013看Web应用安全发展新趋势 [J], 杨天识; 陆莹
2.从等级保护方面分析云计算的信息安全风险与应用安全 [J], 申璁
3.基于OWASP风险模型的信息安全等级保护Web应用安全量化评分准则[J], 才华。
网络安全等级保护2.0-通用要求-表格版(精编文档).doc
【最新整理，下载后即可编辑】
网络安全等级保护基本要求第1部分：安全通用要求
一、技术要求:
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
二、管理要求
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】
【最新整理，下载后即可编辑】。
信息安全等级保护各级对比表
信息安全等级保护各级对比表目录1概述 (6)1.1背景介绍61.2主要作用及特点71.3与其他标准的关系91.4框架结构112描述模型 (12)2.1总体描述122.2保护对象142.3安全保护能力152.4安全要求213逐级增强的特点 (25)3.1增强原则253.2总体描述263.3控制点增加283.4要求项增加303.5控制强度增强334各级安全要求 (36)4.1技术要求364.1.1物理安全364.1.2网络安全4.1.3主机安全684.1.4应用安全834.1.5数据安全及备份恢复994.2管理要求 1064.2.1安全管理制度1064.2.2安全管理机构1144.2.3人员安全管理1234.2.4系统建设管理1324.2.5系统运维管理本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。
依据此要求，《基本要求》列入了首批需完成的6个标准之一。
1.2主要作用及特点1.主要作用《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：a)为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。
等级保护各级设计技术要求对比表
应记录系统的相关安全事件。审 计记录包括安全事件的主题、客 体、时间、类型和结果等内容。 应提供审计记录查询、分类、分 析和存储保护；能对特定安全事 件进行报警，终止违例进程 等；确保审计记录不被破坏或 非授权访问以及防止审计记录 丢失等。应为安全管理中心提 供接口；对不能由系统独立处理 的安全事件，提供由授权主体调 用的接口。 应采用密码等技术支持的完整 应采用密码等技术支持的完整性 性校验机制，检验存储和处理的 校验机制，检验存储和处理的用 用户数据的完整性，以发现其完 户数据的完整性，以发现其完整 整性是否被破坏，且在其受到破 性是否被破坏，且在其受到破坏 坏时能对重要数据进行恢复。 时能对重要数据进行恢复。 应采用密码等技术支持的保密性 保护机制，对在安全计算环境中 存储和处理的用户数据进行保密 性保护。 应采用具有安全客体复用功能的 系统软件或具有相应功能信息技 术产品，对用户使用的客体资 源，在这些客体资源重新分配 前，对其原使用者的信息进行清 除，以确保信息不被泄露。 应采用密码等技术支持的保密性 保护机制，对在安全计算环境中 存储和处理的用户数据进行保密 性保护。 应采用安全客体复用功能的系统 软件或具有相应功能信息技术产 品，对用户使用的客体资源，在 这些客体资源重新分配前，对其 原使用者的信息进行清除，以确 保信息不被泄露。
可根据区域边界安全控制策 略，通过检查数据包的源地址 、目的地址、传输层协议和请 求的服务等，确定是否允许该 数据包通过该区域边界。 应在安全区域边界设置审计机 制，并由安全管理中心统一管 理。 应在安全区域边界设置防恶意 代码网关，由安全管理中心管 理。 应在区域边界设置探测器，探 测非法外联等行为，并及时报 告安全管理中心。 应在安全通信网络设置审计机 制，由安全管理中心管理。 可采用由密码等技术支持的完 整性校验机制，以实现通信网 络数据传输完整性保护。 可采用由密码等技术支持的保 密性保护机制，以实现通信网 络数据传输保密性保护。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
不做要求
不做要求 应提供访问控制功能 控制用户组/用户对系 统功能和用户数据的 访问
访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间 的操作；
不做要求
应由授权主体配置访问控制策略，并严格限制默认用户的访问权限。
要求
应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间 形成相互制约的关系
不做要求
0.1
等保二级 要求 等保三级 要求
不做要求
要求
要求
要求
要求
要求
要求
要求
要求
要求
不做要求 应提供访问控制功 能，依据安全策略控 制用户对文件、数据 库表等客体的访问
要求 应提供访问控制功 能，依据安全策略控 制用户对文件、数据 库表等客体的访问 访问控制的覆盖范围 应包括与资源访问相 关的主体、客体及它 们之间的操作；
等级保护 应用安全对照表
类别 项目
整理人：郝轶 OWASP 应用安全评估QQ交流群：956745
标识管理 身份鉴别
账户策略
权限管理
访问控制
访问控制
标记管理
后台管理
审计方式
审计范围 安全审计
审计保护
审计内容 审计报表 鉴别信息 剩余信息保护 应用数据 通信完整性 通信完整 鉴别保密 通信保密性 传输保密
不做要求
应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统 中不存在重复用户身份标识，身份鉴别信息不易被冒用。
不做要求
应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自 动退出等措施。
要求
应启用身份鉴别和登录失败处理功能，并根据安全策略配置相关参数
要求
应启用用户身份标识唯一性检查、用户身份鉴别信息复杂度检查，并 根据安全策略配置相关参数
不做要求
应具有对重要信息资源设置敏感标记的功能；
不做要求
应依据安全策略严格控制用户对敏感标记重要信息资源的操作。
不做要求
不做要求
不做要求 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进 行审计； 应保证无法单独中断审计进程。 应保证无法删除、修改或覆盖审计记录。 审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描 述和结果等。 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能 。 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得 到完全清除，无论这些信息是存放在硬盘上还是内存中。 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释 放或重新分配给其他用户前得到完全清楚。 应保证通信过程中数据的完整性。 在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化 验证； 应在通信过程中进行加密。 应具有在请求的情况下为数据的原发者或接收者提供数据原发证据的 功能。 应具有在请求的情况下为数据的原发者或接收者提供数据接收证据的 功能。
要求
要求
要求
要求
要求
不做要求
要求
不做要求
要求
不做要求
不做要求
要求 不做要求 要求 要求 不做要求 不做要求 不做要求 应采用校验码技术 要求 应对通信过程中的敏 感信息字段进行加 密； 不做要求 要求 要求 要求 应采用密码技术 要求 应对通信过程中的整 个报文或会话过程进 行加密。 要求 要求 要求
原发证据 抗抵赖 接收证据
输入验证
输出验证
软件容错
状态管理
操作回退
会话管理
资源控制
分配限额
服务管理
等级保护 应用安全对照表V0.1
整理人：郝轶 OWASP 应用安全评估QQ交流群：95674528 指标项 应提供专用的登录控制模块对登录用户进行身份标识和鉴别。 等保一级 要求
应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别 。
不做要求
要求
要求
பைடு நூலகம்
要求
不做要求 在故障发生时，应用 系统应能够继续提供 一部分功能，确保能 够实施必要的措施。
不做要求 应提供自动保护功 能，当故障发生时自 动保护当前所有状 态，保证系统能够恢
不做要求
要求
要求
要求
要求
要求
要求
不做要求
要求
不做要求
要求
不做要求
要求
不做要求
要求
不做要求
不做要求
应能够对单个账户的多重并发会话进行限制。
不做要求
应能够对一个时间段内可能的并发会话连接数进行限制。 应能够对一个访问账户或一个请求进程占用的资源分配最大限额和最 小限额。 应能够对系统服务水平降低到预先规定的最小值进行检测和报警。
不做要求
不做要求
不做要求
应提供服务优先级设定功能，并在安装后根据安全策略设定访问账户 或请求进程的优先级，根据优先级分配系统资源。
不做要求 不做要求 不做要求 不做要求 不做要求 不做要求 不做要求 应采用约定通信会话 方式的方法 不做要求 不做要求
不做要求
不做要求
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口 输入的数据格式或长度符合系统设定要求。
要求
不做要求
在故障发生时。。
不做要求
不做要求
当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方 应能够自动结束会话； 应能够对应用系统的最大并发会话连接数进行限制；