网站信息安全二级等保要求

在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施。
7
资源控制
当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；
应能够对应用系统的最大并发会话连接数进行限制；
应能够对单个帐户的多重并发会话进行限制。
8
其他
系统提供安全手段防止非授权用户的非法侵入、攻击
序号
测评指标
二级要求
1
身份鉴别
应提供专用的登录控制模块对登录用户进行身份标识和鉴别；
应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；
应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；
应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数；
系统具备独立审计员角色，审计员可按时段导出审计记录，其他角色不能查看、导出审计记录。
4
通信完整性
应采用校验码技术保证通信过程中数据的完整性；
5
通信保密性
在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；
应对通信过程中的敏感信息字段进行加密。
6
软件容错
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；
提供本地用户登录时首次强制修改密码功能，登录失败后的解锁时间能进行定制
提供的所有系统日志能要求兼容syslog格式，在本地记录的同时可推送至syslog日志服务器
系统内仅设一个超级管理员，可以将所有权限分配给指定帐号（除修改超级管理员权限和密码），管理员不能修改同级同权管理员的权限及密码。
系统内不能含有任何模拟用户登录的后门程序及模组
3
安全审计
应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事Байду номын сангаас进行审计；
应保证无法删除、修改或覆盖审计记录；
审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等；
对口令长度、复杂度和定期修改进行设定要求，必须使用唯一一套帐号标识。
2
访问控制
应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；
访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；
应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；
应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；
系统需具备来访域名的主机头识别控制功能，仅提供对正确域名访问的响应，对域名盗链拒绝响应
提供的产品（包括中间件）不能包含已被发现的漏洞
防止可模仿特定攻击形式如hi’or 1=1--）等造成的安全隐患
能够备份和恢复系统及数据，备份策略粒度可细化，并提供恢复验证的测试环境
中标人在完成本项目的部署后需使用学校已有的Symantec NBU备份工具为本项目的数据库做好有计划的完整、差异和增量备份工作