在等級保護2.0標準“安全通信網(wǎng)絡(luò)”中主要包括“通信網(wǎng)絡(luò)結(jié)構(gòu)”、“通信傳輸”和“可信驗證”三個控制點。其中，通信網(wǎng)絡(luò)結(jié)構(gòu)的核心要求是：1、網(wǎng)絡(luò)帶寬合適，且核心設(shè)備的處理能力要和帶寬匹配；2、網(wǎng)絡(luò)層要劃分安全區(qū)域，且各區(qū)域之間有相應(yīng)的防護措施；3、整個網(wǎng)絡(luò)設(shè)計要考慮冗余問題。而通信傳輸?shù)暮诵囊笫牵?/span>保障數(shù)據(jù)傳輸?shù)耐暾院捅Ｃ苄浴?/span>因此，《高風(fēng)險判定指引》在“安全通信網(wǎng)絡(luò)”方面圍繞以上核心問題展開。

此外，筆者在編制過程中，不少測評機構(gòu)和專家提出：對于互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限等情況，將難以保證邊界防護的有效性；一旦發(fā)生安全攻擊事件，又不能及時開展應(yīng)急處置，存在較大安全隱患。《高風(fēng)險判定指引》對以上意見予以采納。

《網(wǎng)絡(luò)安全等級保護測評高風(fēng)險判定指引》——通信網(wǎng)絡(luò)篇

安全通信網(wǎng)絡(luò)

1  網(wǎng)絡(luò)架構(gòu)

1.1    網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力

對應(yīng)要求：應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。

判例內(nèi)容：對可用性要求較高的系統(tǒng)，網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力不足，高峰時可能導(dǎo)致設(shè)備宕機或服務(wù)中斷，影響金融秩序或引發(fā)群體事件，若無任何技術(shù)應(yīng)對措施，可判定為高風(fēng)險。

適用范圍：對可用性要求較高的3級及以上系統(tǒng)。

滿足條件（同時）：

1、3級及以上系統(tǒng)；

2、系統(tǒng)可用性要求較高；

3、核心網(wǎng)絡(luò)設(shè)備性能無法滿足高峰期需求，存在業(yè)務(wù)中斷隱患，如業(yè)務(wù)高峰期，核心設(shè)備性能指標平均達到80%以上。

補償措施：針對設(shè)備宕機或服務(wù)中斷制定了應(yīng)急預(yù)案并落實執(zhí)行，可酌情降低風(fēng)險等級。

整改建議：建議更換性能滿足業(yè)務(wù)高峰期需要的設(shè)備，并合理預(yù)計業(yè)務(wù)增長，制定合適的擴容計劃。

1.2    網(wǎng)絡(luò)區(qū)域劃分

對應(yīng)要求：應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址。

判例內(nèi)容：應(yīng)按照不同網(wǎng)絡(luò)的功能、重要程度進行網(wǎng)絡(luò)區(qū)域劃分，如存在重要區(qū)域與非重要網(wǎng)絡(luò)在同一子網(wǎng)或網(wǎng)段的，可判定為高風(fēng)險。

適用范圍：所有系統(tǒng)。

滿足條件（任意條件）：

1、涉及資金類交易的支付類系統(tǒng)與辦公網(wǎng)同一網(wǎng)段；

2、面向互聯(lián)網(wǎng)提供服務(wù)的系統(tǒng)與內(nèi)部系統(tǒng)同一網(wǎng)段；

3、重要核心網(wǎng)絡(luò)區(qū)域與非重要網(wǎng)絡(luò)在同一網(wǎng)段。

補償措施：無。

整改建議：建議根據(jù)各工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)絡(luò)區(qū)域，并做好各區(qū)域之間的訪問控制措施。

1.3    網(wǎng)絡(luò)訪問控制設(shè)備不可控

對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。

判例內(nèi)容：互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限，且無其他邊界防護措施的，難以保證邊界防護的有效性，也無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時調(diào)整訪問控制策略，可判定為高風(fēng)險。

適用范圍：所有系統(tǒng)。

滿足條件（同時）：

1、互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限；

2、無其他任何有效訪問控制措施；

3、無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時調(diào)整訪問控制策略。

補償措施：無。

整改建議：建議部署自有的邊界訪問控制設(shè)備或租用有管理權(quán)限的邊界訪問控制設(shè)備，且對相關(guān)設(shè)備進行合理配置。

1.4    互聯(lián)網(wǎng)邊界訪問控制

對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。

判例內(nèi)容：互聯(lián)網(wǎng)出口無任何訪問控制措施，或訪問控制措施配置失效，存在較大安全隱患，可判定為高風(fēng)險。

適用范圍：所有系統(tǒng)。

滿足條件（任意條件）：

1、互聯(lián)網(wǎng)出口無任何訪問控制措施。

2、互聯(lián)網(wǎng)出口訪問控制措施配置不當，存在較大安全隱患。

3、互聯(lián)網(wǎng)出口訪問控制措施配置失效，無法起到相關(guān)控制功能。

補償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報告，可視為等效措施，判符合。如通過路由器、交換機或者帶ACL功能的負載均衡器等設(shè)備實現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險等級。

整改建議：建議在互聯(lián)網(wǎng)出口部署專用的訪問控制設(shè)備，并合理配置相關(guān)控制策略，確?？刂拼胧┯行?。

1.5    不同區(qū)域邊界訪問控制

對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。

判例內(nèi)容：辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施，辦公環(huán)境任意網(wǎng)絡(luò)接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò)設(shè)備進行管理，可判定為高風(fēng)險。

適用范圍：所有系統(tǒng)。

滿足條件（同時）：

1、辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施；

2、辦公環(huán)境任意網(wǎng)絡(luò)接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò)設(shè)備進行管理。

補償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報告，可視為等效措施，判符合。如通過路由器、交換機或者帶ACL功能的負載均衡器等設(shè)備實現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險等級。

整改建議：建議不同網(wǎng)絡(luò)區(qū)域間應(yīng)部署訪問控制設(shè)備，并合理配置訪問控制策略，確?？刂拼胧┯行?。

1.6    關(guān)鍵線路、設(shè)備冗余

對應(yīng)要求：應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計算設(shè)備的硬件冗余，保證系統(tǒng)的可用性。

判例內(nèi)容：對可用性要求較高的系統(tǒng)，若網(wǎng)絡(luò)鏈路為單鏈路，核心網(wǎng)絡(luò)節(jié)點、核心網(wǎng)絡(luò)設(shè)備或關(guān)鍵計算設(shè)備無冗余設(shè)計，一旦出現(xiàn)故障，可能導(dǎo)致業(yè)務(wù)中斷，可判定為高風(fēng)險。

適用范圍：對可用性要求較高的3級及以上系統(tǒng)。

滿足條件（同時）：

1、3級及以上系統(tǒng)；

2、系統(tǒng)可用性要求較高；

3、關(guān)鍵鏈路、核心網(wǎng)絡(luò)設(shè)備或關(guān)鍵計算設(shè)備無任何無冗余措施，存在單點故障。

補償措施：

1、如系統(tǒng)采取多數(shù)據(jù)中心部署，或有應(yīng)用級災(zāi)備環(huán)境，能在生產(chǎn)環(huán)境出現(xiàn)故障情況下提供服務(wù)的，可酌情降低風(fēng)險等級。

2、對于系統(tǒng)可用性要求不高的其他3級系統(tǒng)，如無冗余措施，可酌情降低風(fēng)險等級。

3、如核心安全設(shè)備采用并聯(lián)方式部署，對安全防護能力有影響，但不會形成單點故障，也不會造成重大安全隱患的，可酌情降低風(fēng)險等級。
整改建議：建議關(guān)鍵網(wǎng)絡(luò)鏈路、核心網(wǎng)絡(luò)設(shè)備、關(guān)鍵計算設(shè)備采用冗余設(shè)計和部署（如采用熱備、負載均衡等部署方式），保證系統(tǒng)的高可用性。

2 通信傳輸

2.1    傳輸完整性保護

對應(yīng)要求：應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。

判例內(nèi)容：對數(shù)據(jù)傳輸完整性要求較高的系統(tǒng)，數(shù)據(jù)在網(wǎng)絡(luò)層傳輸無完整性保護措施，一旦數(shù)據(jù)遭到篡改，可能造成財產(chǎn)損失的，可判定為高風(fēng)險。

適用范圍：對數(shù)據(jù)傳輸完整性要求較高的3級及以上系統(tǒng)。

滿足條件（同時）：

1、3級及以上系統(tǒng)；

2、系統(tǒng)數(shù)據(jù)傳輸完整性要求較高；

3、數(shù)據(jù)在網(wǎng)絡(luò)層傳輸無任何完整性保護措施。

補償措施：如應(yīng)用層提供完整性校驗等措施，或采用可信網(wǎng)絡(luò)傳輸，可酌情降低風(fēng)險等級。

整改建議：建議采用校驗技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。

2.2    傳輸保密性保護

對應(yīng)要求：應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。

判例內(nèi)容：口令、密鑰等重要敏感信息在網(wǎng)絡(luò)中明文傳輸，可判定為高風(fēng)險。

適用范圍：3級及以上系統(tǒng)。

滿足條件（同時）：

1、3級及以上系統(tǒng)；

2、設(shè)備、主機、數(shù)據(jù)庫、應(yīng)用等口令、密鑰等重要敏感信息在網(wǎng)絡(luò)中明文傳輸；

3、該網(wǎng)絡(luò)管控措施不到位，存在口令被竊取并遠程登錄的風(fēng)險。

補償措施：

1、如網(wǎng)絡(luò)接入管控較好且網(wǎng)絡(luò)環(huán)境為內(nèi)網(wǎng)封閉可控環(huán)境，確保密碼被竊取難度較大，或使用多因素等措施確保即使密碼被竊取也無法進行管理，可酌情降低風(fēng)險等級。

2、如業(yè)務(wù)形態(tài)上必須使用遠程Internet訪問的相關(guān)設(shè)備，設(shè)備采用多因素認證，且嚴格限制管理地址的，可酌情降低風(fēng)險等級。
整改建議：建議相關(guān)設(shè)備開啟SSH或HTTPS協(xié)議或創(chuàng)建加密通道，通過這些加密方式傳輸敏感信息。

附表:

注①《網(wǎng)絡(luò)安全等級保護測評高風(fēng)險判定指引》由中關(guān)村信息安全測評聯(lián)盟組織，上海市信息安全測評認證中心主筆，杭州安信檢測技術(shù)有限公司、江蘇金盾檢測技術(shù)有限公司、深圳市網(wǎng)安計算機安全檢測技術(shù)有限公司、合肥天帷信息安全技術(shù)有限公司、山東新潮信息技術(shù)有限公司、成都安美勤信息技術(shù)股份有限公司、甘肅安信信息安全技術(shù)有限公司、江蘇駿安信息測評認證有限公司、安徽祥盾信息科技有限公司等機構(gòu)共同參與。

注②適用范圍：本指引適用于網(wǎng)絡(luò)安全等級保護測評活動、安全檢查等工作。信息系統(tǒng)建設(shè)單位亦可參考本指引描述的案例編制系統(tǒng)安全需求。

注③在判定過程中，使用者應(yīng)知曉《高風(fēng)險判定指引》是基于“一般場景”假設(shè)的編制思路。在具體風(fēng)險判定中，應(yīng)根據(jù)被測對象的實際情況來綜合確定該風(fēng)險嚴重程度是否為“高”。如初步符合“適用范圍”、“需滿足的條件”后，還需根據(jù)“補償措施”所引申的方向思考是否可降低風(fēng)險嚴重程度；鼓勵根據(jù)實際情況對于補償措施中未涉及但確實能起到降低風(fēng)險等級的安全措施進行深入分析。

（來源于安全測評聯(lián)盟）