安全管理中心测评项

安全管理中心

系统管理

应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；

应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份恢复等。

【解读和说明】  

      本控制点主要对系统管理员自身及其职能进行了约束。为了实现系统管理功能，需要对系统管理员进行身份认证并严格限制系统管理员账户的管理权限，所有系统管理操作仅由系统管理员完成。系统管理员的主要职责是对系统资源进行配置、控制和管理等，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。

所有系统管理员进行系统登录时都需要经过身份认证，以确保系统管理员账户不会被非法使用。同时，需要严格限制管理员的管理权限，仅给予管理员完成相关工作所需的最小权限，其管理权限、操作权限需要与审计管理员和安全管理员的管理权限、操作权限形成制约。        

系统管理员只允许通过特定的命令（startup、shutdown等被授权的命令）或操作界面（如 HTTPS等）进行系统管理操作。管理内容包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。所有系统管理操作全部需要进行审计，审计措施需要提供存储、管理和查询等功能，相关审计记录需保存至少6个月。

严禁多个用户使用统一账户或一个用户使用多个账户，以防止当系统发生问题后由于多人共享账户，无法精确定位恶意操作或误操作的具体责任人；

严格限制人员对系统管理平台的访问，限制维护人员对数据信息的访问能力及范围，保证信息资源不被非法使用和访问；

系统管理平台启用操作审计功能，针对敏感指令进行阻断相应或触发审核操作，对没有通过审核的敏感指令进行拦截；

严禁仅使用口令登录系统管理平台，在执行主机重启、口令修改、会话创建、快照回滚和磁盘更换等重要操作时，需要使用双因素身份鉴别，确保访问者身份的合法性；

系统管理平台进行严格权限和授权管理控制，以实现细粒度的命令级授权策略，并基于最小权限原则，实现集中有序的运维操作管理。

审计管理

应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；

应通过审计管理员对审计记录应进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行；

【解读和说明】    

    本控制点主要针对审计管理员自身及其职能进行了约束。为了实现审计管理功能，需要对审计管理员进行身份认证并严格限制 审计管理员账户的管理权限，所有的审计管理操作仅由审计管理员完成。审计管理员主要职责是对系统的审计数据进行查询、统计 和分析对系统用户行为进行监测和报警，对发现的安全事件或违反安全策略的行为及时告警并采取必要的应对措施。        

所有审计管理行为都需要经过身份认证，以确保审计管理员账户没有被非法使用。同时需要严格限制审计管理员的管理权限， 仅授予审计管理员完成相关工作所需的最小权限，其管理权限、操作权限需要与系统管理员和安全管理员的管理权限、操作权限形 成制约。        

所有审计管理操作仅由审计管理员完成。审计管理员仅允许通过特定方式进行审计管理操作，如通过使用口令、证书等身份鉴 别技术进行合法授权后，通过特定的命令（SSH）或操作界面（HTTPS）进行安全审计操作，对所有操作进行详细记录。保证至少6个 月的全流量、全操作日志可查询；保证审计记录有备份并有完整性保护措施等。

安全管理

应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计；

应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。

【解读和说明】        

本控制点主要对安全管理员自身及其职能进行了约束。为了实现安全管理功能，需要对安全管理员进行身份认证并严格限制安全管理员账户的管 理权限，所有安全管理操作仅由安全管理员完成。安全管理员的主要职责是对系统的安全策略和安全配置进行统一管理，并对相关安全事件进行集中 检测、分析和管理。        

所有安全管理行为都需要经过身份认证，以确保安全管理员账户没有被非法使用。同时应严格限制安全管理员的管理权限，仅授予安全管理员完 成相关工作所需的最小权限，其管理权限、操作权限应与系统管理员和审计管理员的管理权限、操作权限形成相互制约。        

所有安全管理操作应仅由安全管理员完成，安全管理员只允许通过特定命令（SSH）或操作界面（HTTPS）进行安全管理操作，并对所有操作进行 详细的记录。        

针对提供集中安全管理功能的系统，要求对安全管理员进行授权，通过安全管理员对安全管理中心进行安全监测，对各安全设备进行策略配置， 其中安全参数的设置包括对主体和客体进行统一安全标记、对主体进行授权并为其配置可信策略等。        

配置可信验证策略，即对计算环境、通信网络和区域边界中计算节点的可信验证功能进行策略配置。可信验证由可信根和可信软件基共同完成， 所以策略配置涉及可信根的策略配置和可信软件基的策略配置，从而实现在管理中心侧由安全管理员进行系统可信验证策略的配置和统一管理。安全 管理中心也是计算节点，其应该具备由可信根支撑的可信验证功能。

集中管控

应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控；

应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理；

应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；

应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；

应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；

应能对网络中发生的各类安全事件进行识别、报警和分析。

【解读和说明】        

本控制点主要明确了安全管理中心在集中管控方面需要具备的安全能力。相关单位需要通过集中管控措施实现对全网中所有 设备或组件的管控，要求相关人员对网络链路、安全设备、网络设备和服务器等设备的运行情况进行集中监测；要求相关人员采 集、汇总、存储各类型设备中的审计数据，并保证审计记录的留存时间符合相关法律法规的要求；要求相关人员对安全策略、恶 意代码、补丁升级等安全相关事项进行集中管理，能够对网络中发生的各类安全事件进行识别、报警和分析。        

为了实现相关单位对全网中所有设备或组件进行集中管控,需要在网络中划分独立的网络区域，用于部署集中管控设备或组件。集中管控措施包括集中监控系统、集中身份认证系统、集中审计系统和集中安全策略管理系统等。        

为了保障网络中数据传输的安全性,需要采用带外管理、独立管理VLAN 和加密的远程访问等安全方式对设备或安全组件进行集中管理。

集中管控

应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控；

应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理；

应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；

应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；

应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；

应能对网络中发生的各类安全事件进行识别、报警和分析。

【解读和说明】        

        为了保障业务系统的正常运行,需要在网络中部署具备运行状态监测功能的系统或设备，如综合网管系统等，对网络链路、网络设备、安全设备、服务器和应用系统的运行状态进行集中实时监控。        

         为了发现网络中潜在的安全风险，相关单位需要部署集中安全管理平台，对基础网络平台及其上运行的各类型设备的审计记录进行收集和存储,同时需要接收来自其他安全管理系统的处理结果或预警信息，实现综合安全分析、事件预警和安全态势感知等。对基础网络平台范围内的各类安全事件进行实时的识别和分析，通过声、光、短信和邮件等方式进行实时报警。安全事件包括有害程序事件、网络攻击事件、信息破坏事件和设备设施故障等。每种分类还包含了具体的安全事件。例如，有害程序事件包括病毒、蠕虫和木马等网络攻击事件包括僵尸网络、混合攻击、网页内嵌恶意代码、拒绝服务攻击、后门攻击漏洞攻击、网络扫描窃听和钓鱼等;信息破坏事件包括网络干扰、信息篡改、身份假冒窃取信息和信息丢失等；软硬件故障及衍生出的新型网络安全事件等。审计记录的存储时间需要符合相关法律法规的要求，目前，《网络安全法》规定审计记录的保存时间不少于6个月。

在安全管理中心部署各类或统一的集中安全策略管理平台，实现对各类型设备或系统安全策略的统一管理，包括防火墙、入侵防御系统（IPS）和应用防火墙（WAF）等；实现对恶意代码防范软件及病毒库的统一升级；实现对各类型系统或设备的补丁升级进行集中管理，包括操作系统及其系统组件等。        

为了保证全网设备或系统时钟一致，建议部署统一时钟源，如GPS 授时、北斗授时或可靠的网络时钟源等，所有设备或系统配置NTP时钟同步服务实现时间同步。时间同步技术使数据产生与处理系统的所有节点具有统一的标准时间，使系统中的各种消息、事件节点和数据等具备逻辑性、协调性及可追溯性。