15827631206
行业动态 更多+
联系我们 / CONTACT
拆解等保二级对边界防护、访问控制、日志审计的要求
根据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019，即“等保2.0”）以及相关行业实践资料，等保二级对边界防护、访问控制、日志审计三大方面有明确的技术控制要求。以下是对这三类要求的逐项拆解与说明：
一、边界防护（安全区域边界）
核心目标：
防止未授权访问跨越网络边界，保障不同安全域之间的隔离。
具体要求（依据 GB/T 22239-2019 第7.1.3节）：
边界设备受控接口
所有跨边界的通信必须通过边界防护设备（如防火墙）提供的受控接口进行。
不得存在绕过边界设备的直连通道。
关键节点部署防护措施
在互联网出口、DMZ区与内网之间等关键位置部署防火墙或下一代防火墙（NGFW）。
防火墙应具备**访问控制、入侵防御（IPS）、防病毒（AV）**等能力（虽非强制，但推荐以满足综合防护）。
恶意代码防范
在边界处应对HTTP、FTP、SMTP等协议流量进行恶意代码检测与清除。
需定期更新病毒库/特征库。
入侵行为监控
应在关键网络节点（如边界）监视网络攻击行为，可采用IDS/IPS实现。
区域划分与隔离
网络应划分为多个安全区域（如办公网、业务网、DMZ、运维管理区等）。
重要区域不得部署在网络边界，且与其他区域间需有可靠技术隔离手段（如防火墙策略）。
二、访问控制
核心目标：
确保用户和系统只能访问其被授权的资源，遵循最小权限原则。
具体要求（分网络层与主机层）：
（1）网络层访问控制（7.1.3.2）
默认拒绝策略：除明确允许的通信外，所有跨边界流量默认拒绝。
规则精细化：访问控制规则应基于源/目的IP、源/目的端口、协议类型进行检查。
会话状态感知：应能根据会话状态信息（如TCP连接状态）动态允许/拒绝流量。
策略优化：定期清理无效或冗余规则，保持ACL最小化。
（2）主机/系统层访问控制（7.1.4.2）
账户与权限分配：为每个登录用户分配唯一账户和最小必要权限。
默认账户处理：
重命名或删除系统默认账户（如admin、root）；
修改默认口令，设置强密码策略。
账户生命周期管理：
及时停用或删除多余、过期账户；
禁止共享账户（一人一账号）。
权限分离：管理用户权限应分离（如系统管理员、审计管理员、安全管理员职责分离）。
三、日志审计（安全审计）
核心目标：
记录关键操作与安全事件，支持事后追溯与合规验证。
具体要求（7.1.3.5 + 7.1.4.3）：
（1）审计覆盖范围
审计应覆盖每个用户，包括普通用户和管理员。
对重要用户行为（如登录、权限变更、配置修改）和重要安全事件（如失败登录、策略变更、入侵告警）进行记录。
（2）审计内容要素
每条审计记录应包含：
事件发生日期和时间；
操作用户身份；
事件类型（如登录、删除、修改）；
事件是否成功；
其他与审计相关的上下文信息（如源IP、操作对象）。
（3）审计日志保护
防止篡改/删除：日志应存储在受保护的系统中，仅授权人员可访问。
定期备份：应制定备份策略，确保日志留存不少于180天（行业惯例，虽标准未明写天数，但测评通常要求≥6个月）。
集中管理（推荐）：通过日志审计系统或SIEM平台统一收集、分析网络设备、主机、安全设备的日志。
总结：等保二级三大核心控制对照表
| 控制类别 | 关键要求 | 常见实现方式 |
|---|---|---|
| 边界防护 | 受控接口、区域隔离、入侵监控、恶意代码检测 | 防火墙、NGFW、IDS/IPS、防病毒网关 |
| 访问控制 | 默认拒绝、最小权限、账户唯一、禁用默认账户、权限分离 | 防火墙ACL、主机认证系统、堡垒机、账号管理制度 |
| 日志审计 | 全用户覆盖、记录关键事件、含时间/用户/结果、日志保护与备份 | 日志审计系统、SIEM、设备本地日志+集中备份 |
✅ 提示：等保二级虽为“指导保护”级别，但若测评得分低于70分，或存在高危漏洞未整改，仍无法通过。因此，上述控制项需真实部署并有效运行，而非仅文档应付。