【導(dǎo)讀】本文件中出現(xiàn)的全部?jī)?nèi)容，除另有特別注明，版權(quán)均屬北京XXXXXX公司所有。北京XXXXXX公司安全服務(wù)事業(yè)部負(fù)責(zé)對(duì)本文檔的解釋。如果你不是有意接受者，請(qǐng)注意對(duì)這份文件內(nèi)容的任。何形式的泄露、復(fù)制或散布都是被禁止的。

　　

【正文】 WWW、 SMTP、 POP FTP、 MRPII、 DNS、呼叫中心、內(nèi)部文件服務(wù)、內(nèi)部 BBS、網(wǎng)絡(luò)連接等 數(shù)據(jù)（電子媒介） Data 源代碼、各種數(shù)據(jù)資料、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊(cè)等 軟件 Software 應(yīng)用軟件、系統(tǒng)軟件、開發(fā)工具和資源庫等 硬件 Hardware 計(jì)算機(jī)硬件、路由器、交換機(jī)、程控交換機(jī)、布線等 文檔（紙質(zhì)） Document 文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃 設(shè)備 Facility 電源、空調(diào)、食品柜、文件柜等 人員 HR 各級(jí)雇員和雇主、合同方雇員 其它 Other 企業(yè)形象，客戶關(guān)系等 下面重點(diǎn)描述服務(wù)、數(shù)據(jù)和軟件等三種與網(wǎng)絡(luò)安全最為直接相關(guān)的信息資產(chǎn)類別。 . 服務(wù) 服務(wù)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)運(yùn)行管理、商業(yè)業(yè)務(wù)實(shí)現(xiàn)等形式存在。屬于需 要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。 通常服務(wù)類資產(chǎn)最為需要保護(hù)的安全屬性是可用性。但是，對(duì)于某些服務(wù)資產(chǎn)，完整性 20 / 92 和機(jī)密性也可能成為重要的保護(hù)對(duì)象。例如通常的門戶站點(diǎn)的新聞瀏覽、計(jì)算環(huán)境等的可用性最為重要。但是，完整性也同樣重要，門戶站點(diǎn)的主頁被修改，造成的損失也可能是災(zāi)難性的。另外，對(duì)于重要的軟件下載服務(wù)，完整性也同樣重要。例如，著名安全軟件 TCPWrapper作者的站點(diǎn)被入侵，軟件被植入木馬程序后被廣泛下載使用，造成非常重大的影響和損失。 服務(wù)分為以下幾個(gè)子類： 簡(jiǎn)稱 解釋 /舉例 NT 操作系統(tǒng) NT 微軟的操作 系統(tǒng)各個(gè)版本，提供公眾計(jì)算環(huán)境和應(yīng)用運(yùn)行平臺(tái)。 Unix 操作系統(tǒng) Unix 包括各種 Unix 版本，例如 Solaris， AIX， HPUX，Linux， FreeBSD 等，提供公眾計(jì)算環(huán)境和應(yīng)用運(yùn)行平臺(tái)。 數(shù)據(jù)庫 DB 包括各種商業(yè)數(shù)據(jù)庫產(chǎn)品，例如 Oracle， Sybase，SQL Server 等，為其它應(yīng)用提供開發(fā)和運(yùn)行平臺(tái)。 Domino 服務(wù) Domino Lotus Domino Notes 系統(tǒng)是一種群件應(yīng)用，它綜合了數(shù)據(jù)庫、各種應(yīng)用于一身，專門分類，包括 Domino郵件服務(wù)、 Domino WWW 服 務(wù)、 Domino 名字服務(wù)、以及在 Domino 之上開發(fā)的其它應(yīng)用服務(wù)。 通用服務(wù) GEN 包括 DNS、 WWW、 FTP、 SMTP、 POP打印、文件服務(wù)等，它們一般使用通用軟件產(chǎn)品（ offtheshelf）實(shí)現(xiàn) MIS MIS 企業(yè)為提高效率而開發(fā)的管理信息系統(tǒng)（ MIS），它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù)。如果該系統(tǒng)建立在 Domino 基礎(chǔ)之上，則將其歸為Domino 服務(wù)子類。 網(wǎng)絡(luò)服務(wù) NET 各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 安全服務(wù) SEC 為保護(hù)自身和其它信息資產(chǎn)而建立的保護(hù)措 施，例如防火墻訪問控制服務(wù)、入侵檢測(cè)服務(wù)、認(rèn)證、審計(jì)、顧問等。 21 / 92 . 數(shù)據(jù) 數(shù)據(jù)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識(shí)產(chǎn)權(quán)、競(jìng)爭(zhēng)優(yōu)勢(shì)、商業(yè)秘密的載體。屬于需要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。 通常，數(shù)據(jù)類資產(chǎn)需要保護(hù)的安全屬性是機(jī)密性。例如，公司的財(cái)務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機(jī)密性的數(shù)據(jù)。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。 企業(yè)內(nèi)部對(duì)于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性（ Sensitivity）來進(jìn)行，與機(jī)密性非常類似。例如，下表是常用的一種數(shù)據(jù)分類方法： 簡(jiǎn)稱 解釋 /舉例 公開 Public 不需要任何保密機(jī)制和措施，可以公開使用（例如產(chǎn)品發(fā)表新聞等）。 內(nèi)部 Internal 公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用（例如合同等） 秘密 Private 由和數(shù)據(jù)局網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施顧問服務(wù)項(xiàng)目相關(guān)的公司和數(shù)據(jù)局成員使用 機(jī)密 Confidential 只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時(shí)間內(nèi)受到控制 絕密 Secret 非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀 但是，這樣的分類并不能反映在數(shù)據(jù)資產(chǎn)的全部安全屬性。 所以，在本次安全服務(wù)項(xiàng)目中，將采取對(duì)數(shù)據(jù)類資產(chǎn)直接賦值的方法來進(jìn)行。 . 軟件 軟件是現(xiàn)代企業(yè)中最為重要的固定資產(chǎn)之一，與企業(yè)的硬件資產(chǎn)一起構(gòu)成了企業(yè)的服務(wù)資產(chǎn)以及整個(gè)的網(wǎng)絡(luò)信息環(huán)境。一般情況下，軟件資產(chǎn)與所在媒體的硬件的價(jià)值，也不依賴于媒體而存在，而是經(jīng)常體現(xiàn)在軟件本身的許可證、序列號(hào)、軟件伴隨的服務(wù)等無形資產(chǎn)上面。 按照軟件所處的層次和功能，可以將軟件資產(chǎn)分為以下子類： 22 / 92 簡(jiǎn)稱 解釋 /舉例 系統(tǒng) OS 各種操作系統(tǒng)及其各種外掛平臺(tái)，例如 Windows 2020，RichWin 等 應(yīng)用軟件 APP 各種應(yīng) 用類軟件，例如 MS Office，財(cái)務(wù)軟件， MIS 等 開發(fā)環(huán)境 DEV 各種開發(fā)環(huán)境類軟件，例如 MSDN， JAVA開發(fā)環(huán)境、 Delphi等 數(shù)據(jù)庫 DB 各種數(shù)據(jù)庫類軟件，例如 Oracle， DB2， Sybase 等 工具類 TOOL 例如 Winzip， Ghost 等 . 信息資產(chǎn)賦值 信息資產(chǎn)分別具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。通過考察三種不同安全屬性，可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的數(shù)值。對(duì)信息資產(chǎn)進(jìn)行 賦值的目的是為了更好地反映資產(chǎn)的價(jià)值，以便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn)、威脅和風(fēng)險(xiǎn)屬性，并進(jìn)行量化。 . 機(jī)密性（ Confidentiality） 保密性是指只有授權(quán)用戶才可以訪問數(shù)據(jù)信息，用于防止未授權(quán)用戶訪問或復(fù)制數(shù)據(jù)。通常是通過加密技術(shù)（ cryptography）來實(shí)現(xiàn)保密性。 根據(jù)資產(chǎn)機(jī)密性屬性的不同，將它分為 5 個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在機(jī)密性方面的價(jià)值或者在機(jī)密性方面受到損失時(shí)對(duì)資產(chǎn)價(jià)值的影響。賦值方法參照下表： 賦值 含義 解釋 4 Very High 機(jī)密性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 3 High 機(jī)密性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 2 Medium 機(jī)密性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 1 Low 機(jī)密性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 0 Negligible 機(jī)密性價(jià)值或潛在影響可以忽略 23 / 92 . 完整性（ Integrity） 完整性是指信息不被非法修改、刪除、插入虛假信息，以及防止非法生成消息或重發(fā)，用于對(duì)抗破壞通信和重發(fā)的威脅。對(duì)于網(wǎng)絡(luò)信息服務(wù)而言，數(shù)據(jù)完整性的重要性有時(shí)高于保密性。通常采用加密函數(shù)和散列函數(shù)來保證數(shù)據(jù)的完整性。 根據(jù)資產(chǎn)完整性屬 性的不同，將它分為 5 個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在完整性方面的價(jià)值或者在完整性方面受到損失時(shí)對(duì)資產(chǎn)價(jià)值的影響： 賦值 含義 解釋 4 Very High 完整性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 3 High 完整性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 2 Medium 完整性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 1 Low 完整性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 0 Negligible 完整性價(jià)值或潛在影響可以忽略 . 可用性（ Availability） 可用性是指合法用戶可以 不受干擾地使用各種資源。一個(gè)具有可用性的網(wǎng)絡(luò)信息服務(wù)系統(tǒng)應(yīng)當(dāng)能夠在攻擊發(fā)生后及時(shí)正確地恢復(fù)。一般通過加強(qiáng)系統(tǒng)的管理和設(shè)計(jì)來提高可用性。 根據(jù)資產(chǎn)可用性屬性的不同，將它分為 5 個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在可用性方面的價(jià)值或者在可用性方面受到損失時(shí)對(duì)資產(chǎn)價(jià)值的影響： 賦值 含義 解釋 4 Very High 可用性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 3 High 可用性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 2 Medium 可用性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 1 Low 可用性價(jià)值較 低，潛在影響可以忍受，較容易彌補(bǔ) 0 Negligible 可用性價(jià)值或潛在影響可以忽略 24 / 92 . 資產(chǎn)價(jià)值（ Asset Value） 資產(chǎn)價(jià)值用于反映某個(gè)資產(chǎn)作為一個(gè)整體的價(jià)值，綜合了機(jī)密性、完整性和可用性三個(gè)屬性。 通常，考察實(shí)際經(jīng)驗(yàn)，三個(gè)安全屬性中最高的一個(gè)對(duì)最終的資產(chǎn)價(jià)值影響最大。換而言之，整體安全屬性的賦值并不隨著三個(gè)屬性值的增加而線性增加，較高的屬性值具有較大的權(quán)重。 為此，在本項(xiàng)目中使用下面的公式來計(jì)算資產(chǎn)價(jià)值賦值： Asset Value = Round1{Log2[(2Conf+2Int+2Avail)/3]} 其中， Conf 代表機(jī)密性賦值； Int 代表完整性賦值； Avail 代表可用性賦值； Round1{}表示四舍五入處理，保留一位小數(shù)； Log2[]表示取以 2 為底的對(duì)數(shù)。 上述算式表達(dá)的背后含義是：三個(gè)屬性值每相差一，則影響相差兩倍，以此來體現(xiàn)最高賦值屬性的主導(dǎo)作用。 這里需要聲明的是：該算式屬于經(jīng)驗(yàn)算式，使用與否、使用的方式都由評(píng)估者根據(jù)經(jīng)驗(yàn)來決定。 五 . 安全類別Ⅱ級(jí)評(píng)估內(nèi)容 下面從物理安全、網(wǎng)絡(luò)安全、節(jié)點(diǎn)安全、應(yīng)用與數(shù)據(jù)安全等方面，提出對(duì)本級(jí)信息系統(tǒng)進(jìn)行安全評(píng)估的具體方式和評(píng)判原則。 . 安全技術(shù)評(píng)估 本級(jí)的評(píng)估內(nèi)容，要求基于更強(qiáng)的身份鑒別措施實(shí)施更細(xì)粒度的自主訪問控制，較強(qiáng)的網(wǎng)絡(luò)邊界保護(hù)能力，對(duì)系統(tǒng)的安全配置和脆弱性修補(bǔ)提出較高的要求，對(duì)安全審計(jì)提出了初步的要求，以實(shí)現(xiàn)必要的安全監(jiān)督措施。 25 / 92 . 物理安全 . 機(jī)房出入 參見安全管理評(píng)估中有關(guān)機(jī)房管理部分的評(píng)估內(nèi)容。 . 機(jī)房安全 a) 評(píng)估方式 1) 評(píng)估者應(yīng)觀察和檢驗(yàn)機(jī)房環(huán)境條件和有關(guān)設(shè)施、設(shè)備的記錄，判斷機(jī)房物理環(huán)境是否符合實(shí)施指南中有關(guān)溫度、電源、防火、防水以及防雷等方面的技術(shù)要求。并作詳細(xì)記錄。特別對(duì)穩(wěn)壓供電、服裝防靜電和電磁防護(hù)的驗(yàn)證； 2) 評(píng)估者應(yīng)詢問 和查驗(yàn)有關(guān)文檔，確認(rèn)其有符合國(guó)家有關(guān)要求的書面證明材料； 3) 評(píng)估者應(yīng)觀察并驗(yàn)證機(jī)房的運(yùn)行狀態(tài)良好。 b) 評(píng)估結(jié)果判定 所有的驗(yàn)證項(xiàng)目均為肯定回答，才能判定機(jī)房安全符合要求。如果有否定回答，評(píng)估者可進(jìn)一步判斷是缺少設(shè)施（設(shè)施不全），設(shè)施存在缺陷或運(yùn)行管理存在缺陷，并加以記錄。 . 設(shè)備安全 a) 評(píng)估方法 1) 評(píng)估者應(yīng)檢查機(jī)房環(huán)境條件及防盜設(shè)施的安裝情況，判斷能否滿足機(jī)房對(duì)于設(shè)備安全的要求； 2) 評(píng)估者應(yīng)驗(yàn)證機(jī)房防盜設(shè)施及報(bào)警裝置的有效性； 3) 評(píng)估者應(yīng)檢查設(shè)備的標(biāo)記與管理辦法的一致性。 b) 評(píng)估結(jié) 果判定 1) 所有的驗(yàn)證項(xiàng)目均為肯定回答，才能判定設(shè)備安全符合要求。如果有否定回答，評(píng)估者可進(jìn)一步判斷是缺少設(shè)施（設(shè)施不全），設(shè)施存在缺陷或運(yùn)行管理存在缺陷，并加以記錄。 26 / 92 . 介質(zhì)安全 內(nèi)容參見本級(jí)管理部分相應(yīng)章節(jié)。 . 通訊線路安全 a) 評(píng)估方式 1) 評(píng)估者應(yīng)詢問并查驗(yàn)機(jī)房建設(shè)的書面材料，確認(rèn)系統(tǒng)設(shè)計(jì)時(shí)考慮了干擾與輻射的影響，對(duì)于不可避免的干擾采取了通信線路的良好屏蔽； 2) 評(píng)估者應(yīng)詢問并驗(yàn)證有關(guān)措施的有效性，確認(rèn)通信線路的暢通。 b) 評(píng)估結(jié)果判定 1) 所有的驗(yàn)證項(xiàng)目均為肯定回答，才能判定通信線路安全符 合要求。 . 網(wǎng)絡(luò)安全 . 網(wǎng)絡(luò)邊界安全 a) 評(píng)估方式 1) 評(píng)估者應(yīng)查驗(yàn)文檔，確認(rèn)系統(tǒng)有清晰的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，網(wǎng)絡(luò)邊界明確； 2) 評(píng)估者應(yīng)觀察系統(tǒng)的實(shí)際結(jié)構(gòu)與當(dāng)前有效的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)一致，不存在網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖上未明確標(biāo)識(shí)的多余設(shè)備和網(wǎng)絡(luò)連接，評(píng)估者應(yīng)采用工具或人工方式注重驗(yàn)證可疑的移動(dòng)和便攜設(shè)備接入、可疑的撥入撥出方式、可疑的無線連接方式或者其他可能的方式； 3) 評(píng)估者應(yīng)驗(yàn)證系統(tǒng)內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的連接點(diǎn)處布置了網(wǎng)絡(luò)訪問控制設(shè)備，沒有其他旁路方式； 4) 評(píng)估者應(yīng)驗(yàn)證網(wǎng)絡(luò)訪問控制設(shè)備實(shí)現(xiàn)了基于口令的身份鑒別 ； 5) 評(píng)估者應(yīng)通過多種技術(shù)工具對(duì)網(wǎng)絡(luò)訪問控制設(shè)備進(jìn)行脆弱性探測(cè)，確認(rèn)其能抵御常見的基于操作系統(tǒng)和網(wǎng)絡(luò)協(xié)議的攻擊，整個(gè)測(cè)試中沒有發(fā)現(xiàn)明顯的脆弱性； 6) 評(píng)估者應(yīng)查驗(yàn)文檔并實(shí)際驗(yàn)證，確認(rèn)網(wǎng)絡(luò)訪問控制設(shè)備具有安全審計(jì)功能； 7) 評(píng)估者應(yīng)驗(yàn)證，系統(tǒng)網(wǎng)絡(luò)邊界布置了網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒等設(shè)施； 8) 評(píng)估者應(yīng)查驗(yàn)文檔和實(shí)際驗(yàn)證，確認(rèn)網(wǎng)絡(luò)訪問控制設(shè)備、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒設(shè)備等邊界保護(hù)設(shè)備當(dāng)前的有效策略與組織確定的安全策略是一致的（或沒有發(fā)現(xiàn)明 27 / 92 顯的差異）； 9) 評(píng)估者應(yīng)驗(yàn)證并查驗(yàn)文檔，確認(rèn)網(wǎng)絡(luò)訪 問控制設(shè)備、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒設(shè)施有連續(xù)工作的歷史記錄和相應(yīng)的處理結(jié)果等記錄。 b) 評(píng)估結(jié)果判定 1) 所有的驗(yàn)證項(xiàng)目均為肯定回答，才能判定網(wǎng)絡(luò)邊界安全符合要求。