《等級保護基本要求》

所需設備

物理訪問控制（G3）

d) 重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。

電子門禁系統(tǒng)

防盜竊和防破壞（G3）

e) 應利用光、電等技術設置機房防盜報警系統(tǒng)；

f) 應對機房設置監(jiān)控報警系統(tǒng)。

機房防盜報警系統(tǒng)

監(jiān)控報警系統(tǒng)

防火（G3）

a) 機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；

火災自動消防系統(tǒng)

防水和防潮（G3）

d) 應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。

水敏感檢測設備

溫濕度控制（G3）

機房應設置溫、濕度自動調節(jié)設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。

機房專用空調

電力供應（A3）

d) 應建立備用供電系統(tǒng)

UPS或備用發(fā)電機

結構安全（G3）

b) 應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要；

g) 應按照對業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡發(fā)生擁堵的時候優(yōu)先保護  重要主機。

負載均衡

訪問控制（G3）

a) 應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能  

b) 應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級

c) 應對進出網(wǎng)絡的信息內容進行過濾，實現(xiàn)對應用層 HTTP、FTP、TELNET、SMTP、POP3 等協(xié)議命令級的控制  

防火墻

（網(wǎng)站系統(tǒng)，需部署web應用防火墻、防篡改系統(tǒng)）

邊界完整性檢查（S3）

a) 應能夠對非授權設備私自聯(lián)到內部網(wǎng)絡的行為進行檢查，準確定出位置，并對其進行有效阻斷；

b) 應能夠對內部網(wǎng)絡用戶私自聯(lián)到外部網(wǎng)絡的行為進行檢查，準確定出位置，并對其進行有效阻  斷

準入準出設備

入侵防范（G3）

a) 應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP 碎片攻擊和網(wǎng)絡蠕蟲攻擊等；

b) 當檢測到攻擊行為時，記錄攻擊源 IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警。

IDS（或IPS）

惡意代碼防范（G3）

a) 應在網(wǎng)絡邊界處對惡意代碼進行檢測和清除；

b) 應維護惡意代碼庫的升級和檢測系統(tǒng)的更新。

防病毒網(wǎng)關（或UTM、防火墻集成模塊）

安全審計（G3）

a) 應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄；

b) 審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信  息；

c) 應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；

d) 應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等

安全審計（G3）

a) 審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；

b) 審計內容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內重要的安  全相關事件； c) 審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；

d) 應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；

e) 應保護審計進程，避免受到未預期的中斷；

f) 應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等

日志審計系統(tǒng)

數(shù)據(jù)庫審計系統(tǒng)

日志服務器

惡意代碼防范（G3）

a) 應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；

b) 主機防惡意代碼產(chǎn)品應具有與網(wǎng)絡防惡意代碼產(chǎn)品不同的惡意代碼庫；

c) 應支持防惡意代碼的統(tǒng)一管理。

網(wǎng)絡版殺毒軟件

資源控制（A3）

c) 應對重要服務器進行監(jiān)視，包括監(jiān)視服務器的CPU、硬盤、內存、網(wǎng)絡等資源的使用情況；

d) 應限制單個用戶對系統(tǒng)資源的最大或最小使用限度；

e) 應能夠對系統(tǒng)的服務水平降低到預先規(guī)定的最小值進行檢測和報警。

運維管理系統(tǒng)

網(wǎng)絡設備防護（G3）

d) 主要網(wǎng)絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；

身份鑒別（S3）

f) 應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別

身份鑒別（S3）

b) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別；

堡壘機+UKey認證

備份和恢復（A3）

a) 應提供本地數(shù)據(jù)備份與恢復功能，完全數(shù)據(jù)備份至少每天一次，備份介質場外存放；

b) 應提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡將關鍵數(shù)據(jù)定時批量傳送至備用場地；

數(shù)據(jù)備份系統(tǒng)

異地容災

網(wǎng)絡安全管理（G3）

d) 應定期對網(wǎng)絡系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡系統(tǒng)安全漏洞進行及時的修補；

系統(tǒng)安全管理（G3）

b) 應定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補；

漏洞掃描設備