網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求分為技術(shù)要求和管理要求，其中技術(shù)要求包括安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境和安全管理中心;管理要求包括安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理和安全運(yùn)維管理。

安全通用要求——安全計(jì)算環(huán)境(第三級(jí))這一安全類共包括11個(gè)控制點(diǎn)，每個(gè)控制點(diǎn)包含的條款數(shù)如下表。

鑒別與訪問控制是信息安全領(lǐng)域重要的基礎(chǔ)知識(shí)之一。信息系統(tǒng)中要想實(shí)現(xiàn)安全目標(biāo)， 達(dá)到一定的防護(hù)水平，必須具備有效的鑒別與訪問控制機(jī)制。常見的安全訪問路徑：

網(wǎng)絡(luò)安全等級(jí)保護(hù)通用要求安全計(jì)算環(huán)境之身份鑒別：

要求項(xiàng)

a) 應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換;

b) 應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施;

c)當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽;

d)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。

適用保護(hù)對(duì)象

網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器(操作系統(tǒng)、數(shù)據(jù)庫、中間件)、終端(操作系統(tǒng))、業(yè)務(wù)應(yīng)用系統(tǒng)、系統(tǒng)管理軟件等

條款導(dǎo)讀

登錄用戶與系統(tǒng)間建立聯(lián)系，本地用戶必須請(qǐng)求本地登錄進(jìn)行認(rèn)證，遠(yuǎn)程用戶必須請(qǐng)求遠(yuǎn)程登錄進(jìn)行認(rèn)證。身份認(rèn)證是實(shí)體安全防護(hù)的第一道防線，條款a)要求對(duì)實(shí)體的登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別，標(biāo)識(shí)是實(shí)體身份的一種計(jì)算機(jī)表達(dá)，鑒別是將實(shí)體標(biāo)識(shí)和實(shí)體聯(lián)系在一起的過程。

身份鑒別的類型有下列三種：

單項(xiàng)鑒別：用戶在實(shí)體上注冊(cè)時(shí)，用戶僅須被實(shí)體鑒別，通常是用戶發(fā)送用戶名和口令給實(shí)體，實(shí)體對(duì)收到的用戶名和口令進(jìn)行驗(yàn)證，確認(rèn)用戶名和口令由合法用戶發(fā)出;

雙向鑒別是一種相互鑒別，其過程在單向鑒別的基礎(chǔ)上還要增加兩個(gè)步驟，如服務(wù)器向客戶發(fā)送服務(wù)器名和口令，客戶確認(rèn)服務(wù)器身份的合法性;

第三方鑒別，每個(gè)用戶或?qū)嶓w向可信第三方發(fā)送身份標(biāo)識(shí)和口令，第三方用于存儲(chǔ)、驗(yàn)證標(biāo)識(shí)和鑒別信息。

身份鑒別方式實(shí)體所知、實(shí)體所有和實(shí)體特征三種。

實(shí)體所知，即實(shí)體所知道的，如目前廣泛采用的使用用戶名和口令進(jìn)行登錄驗(yàn)證，條款a)要求登錄實(shí)體的用戶名具有唯一性，并提高口令強(qiáng)度：配置口令復(fù)雜度和定期更換口令，條款b)要求阻止口令被重復(fù)嘗試的可能，使用口令登錄嘗試達(dá)到一定次數(shù)的賬戶鎖定一段時(shí)間或由管理員解鎖，以及當(dāng)用戶連接到實(shí)體后，配置相關(guān)措施保證登錄連接超時(shí)后自動(dòng)退出;條款c)要求在遠(yuǎn)程管理時(shí)，為防止口令嗅探攻擊，對(duì)傳輸中的口令進(jìn)行加密保護(hù)。

實(shí)體所有，即實(shí)體所擁有的物品，如鑰匙、IC卡等，條款a)要求用于鑒別的物品應(yīng)具有唯一性，不會(huì)被復(fù)制;

實(shí)體特征，即利用實(shí)體特征鑒別系統(tǒng)完成對(duì)實(shí)體的認(rèn)證。實(shí)體特征鑒別系統(tǒng)通常由信息采集和信息識(shí)別兩個(gè)部分組成，信息采集通過光學(xué)、 聲學(xué)、紅外等傳感器作為采集設(shè)施，采集待鑒別的用戶的生物特征(如指紋、虹膜等)和行為特征(聲音、筆記、步態(tài)等)，然后交給信息識(shí)別部分與預(yù)先采集并存儲(chǔ)在數(shù)據(jù)庫中的用戶生物特征進(jìn)行比對(duì)，根據(jù)比對(duì)的結(jié)果驗(yàn)證是否通過驗(yàn)證。

使用兩種身份鑒別方式的組合(雙因素鑒別)是常用的多因素鑒別形式，條款d)要求采用采用兩種或兩種以上的鑒別方式對(duì)用戶進(jìn)行身份鑒別，且其中一種鑒別方式基于密碼技術(shù)的鑒別機(jī)制，雙因素鑒別是使用實(shí)體所知、實(shí)體所有和實(shí)體特征三種鑒別方式中的兩種或兩種以上對(duì)同一實(shí)體進(jìn)行認(rèn)證，且其中一種認(rèn)證方式必須基于密碼技術(shù)，如用戶名和口令認(rèn)證(實(shí)體所知)+基于密碼技術(shù)的UKey(實(shí)體所有)為典型的雙因素認(rèn)證方式。

注：二次認(rèn)證或兩種鑒別方式對(duì)不同的實(shí)體認(rèn)證均不等于雙因素認(rèn)證。

安全防護(hù)措施