近年来随着人工智能、大数据、物联网、云计算等的快速发展，安全趋势和形势的急速变化，原来发布的标准已经不再适用于当前安全要求，从2015年开始，等级保护的安全要求逐步开始制定2.0标准，包括5个部分：安全通用要求...旧标准更偏重于对于防护的要求，而等保2.0标准更适应当前网络安全形势的发展，结合《中华人民共和国网络安全法》中对于持续监测、威胁情报、快速响应类的要求提出了具体的落地措施。...我们总说等级保护有五个规定动作，即定级、备案、建设整改、等级测评和监督检查，2.0时代，等保的内涵已大为丰富和完善。...控制措施分类结构的变化 等保2.0由旧标准的10个分类调整为8个分类，分别为： 分别为： 技术部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全； 管理部分：安全策略和管理制度、安全管理机构和人员...标准控制点和要求项的变化 等保2.0在控制点要求上并没有明显增加，通过合并整合后相对旧标准略有缩减。
所以，决定结合即将实施的等保2.0（以下简称“等2”或“新标准”）标准的通用部分，做一下分析，给出一些个人建议，以供前端和后端人员参考。...而且，做安全也不要太局限于技术层面，管理其实更为重要，这就是为何等保中有技术也有管理的原因。...本篇算是开个头，把之前安全管理中心的东西贴过来（不然内容太少了，不好意思发），各位也可以直接去看那篇文章：《等保2.0安全管理中心要求解读》（请点击底部【阅读原文】观看）。...系统管理员的权限控制（这里只从技术层面来说，不展开讲流程管理的内容），要求只允许特定的命令或操作界面来管理，并对操作进行审计。...安全管理员主要负责安全策略的配置，参数设置，安全标记（非强制要求），授权以及安全配置检查和保存等。这里只提了部分要求的内容，实际中企业安全部门要管的事情很多。
2.0 本文尝试从《网络安全法》的角度介绍关键信息基础设施和等级保护安全工作的核心，同时对等保 2.0通用安全部分的变化进行分析和解读，旨在让大家了解等级保护制度的重要性和新标准的变化。...等保2.0的变化 去年比较火的大概是《GDPR》，今年比较火的好像是《等保 2.0》，小道消息可能4月有望发布，不过现在已是4月底了，可能要推迟。...本文重点放在等保2.0中三级系统要求的变化。 测评分数变化 以前的等保测评分数及格线是60分，近几年个别省份将分数线提高到70分，据传闻互金类系统要90分。...同样是听说，等保2.0新的及格线是75以上。 结构的变化，先看新标准安全通用要求和旧版的变化： ? 控制大项从原来的10项，改为8项，其实就是合并了数据和应用、机构和人员。 要求项的变化 ?...等保2.0技术要求的变化 再来看看细节的变化，由于没有实际项目案例，外加标准没正式发布，这里只是以最终稿版本来对比，另外篇幅问题，只对通用要求部分进行简要分析。
等保2.0与1.0的区别 GB17859-1999《计算机信息系统安全保护等级划分准则》的区别 1.0时代 2.0时代 三点： 正式更名为网络安全等级保护标准； 横向拓展了对于云计算、移动互联网、物联网...、工业控制系统的安全要求； 纵向扩展了对等级保护测评机构的规范管理 定级要求 重新对部分内容的顺序作了调整，从整体显得更加的合理。...增加了新的内容跟流程，例如扩展了定级的对象，包括基础信息网络、工业控制系统、云计算平台、物联网、其他信息系统，大数据等，新增加的流程为“定级工作一般流程”，并对旧版本“定级一般流程”更名为“定级方法流程...定级要求标准 新增“定级流程” 定级对象 重新对定级对象进行调整，并进行相应的介绍。2。0定级对象分为基础信息网络、信息系统和其他信息系统。...对于大型的工业控制系统，可以根据系统功能，控制对象和生产厂商等因素划分为多个定级对象。 物联网： 物联网应作为一个整体对象定级，主要包括移动终端、移动应用、无线网络以及相关应用系统等。
等保2.0标准个人解读（一）：新坑开放 等保2.0标准个人解读（二）：安全通信网络 等保2.0标准个人解读（三）：安全区域边界 将物理安全控制项放在最后，主要原因有两个方面。...从等保2.0标准的要求项来看，和旧标准基本没有区别（只有细微变化），可以完全参照等保1.0来做，这里我会结合等保1.0和等保2.0的要求，对物理安全进行解读，不同于之前章节，还会对等保1.0和等保2.0...2 物理访问控制 等保2.0：（4条简化为1条） 机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。...等保1.0中第一条要求机房内无论何处不可以有走水的管道，包括机房周边墙体。但是在等保2.0中删除了本项要求。...等保2.0中第三条和第二条类似，目前都会由系统统一控制。
本控制项和旧标准中的网络安全类似，主要关注网络架构通信传输及可信验证，相比较而言简化了一些，属于三重防护之一。...标准原文 | 8.1.2 安全通信网络 | | --- | | 8.1.2.1 网络架构 a) 应保证网络设备的业务处理能力满足业务高峰期需要；b) 应保证网络各个部分的带宽满足业务高峰期需要；c)...客户端解密信息 客户端用之前生成的私钥解密服务端传来的信息，获取解密后的内容。整个过程第三方即使监听到了数据，也无法获取内容。...本控制项总得来说偏向于网络的架构设计，主要在前期需求和设计阶段，相比旧标准简化了一部分内容。属于运维方向的安全要求，对象主要是甲方和第三方运维。...最后 等保2.0三级安全通信网络部分内容相比以前的网络安全有大幅减少，一方面删除了重复的要求向，一方面分散到其他的控制项中，实际上系统整体安全要求并没有减少。
1、等保初衷：从各行各业的开展等保来看，基于网络安全的初心开展等保的单位企业少之又少，而绝大都是单位企业都是政策要求，其中具体又可以细分为 1）行业主管部门要求开展等保，比如电力行业和金融行业，这两个行业都有文件要求开展等保...2）寻找背锅侠，部分政府单位对等保不感冒，但是被等保机构销售忽悠后以为做的等保就可以给自己上一道“保险”，纯粹为了事后找等保机构给自己背锅。...标准体系方面 等吧2.0标准发布以来，笔者认为，等保2.0系列标准既有进步的一方面，同时又存在一些问题。...这也就是为什么等保2.0出台后，很多厂家均发布了一些基础版套餐、标准版套餐和豪华版套餐等等文章，让很多客户单位慢慢被认为等保测评就是花钱买设备，而国家推行等保测评的初衷却不甚了解。...目前很多客户单位也在学习等保2.0系列标准，但是很多标准测评机构都无法解释，如何给客户解释。
下面小编将给大家介绍一下最新的网络安全等保基本要求（定级、设计与测评方面的变化将在后续文章中介绍）与原标准相比发生了什么变化。 ?...二、新旧标准变化内容 1．名称的变化 将原来的信息系统安全等级保护相关标准名称更改为信息安全等级保护，再更名为网络安全等级保护相关标准，与《中华人民共和国网络安全法》保持一致。...5．环境安全扩展了哪些要求 针对云计算环境安全扩展要求主要增加的内容包括：“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择”、“云计算环境管理”等。...对移动互联环境主要增加的内容包括：“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”、“移动应用软件开发”等。...对物联网环境主要增加的内容包括：“感知节点的物理防护”、“感知节点设备安全”、“感知网关节点设备安全”、“感知节点的管理”、“数据融合处理”等。
主要检查点 边界防护 其实按照以前的旧标准来看，本控制项的部分内容还是属于网络安全的范畴，当前等保2.0 标准中因为重要性将其单独提出结合一些新的要求，形成的 安全区域边界这样一个控制项。...一般来说制定好ACL后，会在末尾添加deny any any（虽然有些设备上是默认自动加入的），这是等保2.0标准中提出的要求，即默认情况下除允许通信外受控接口拒绝所有通信；使用扩展ACL的情况下，必然会包含五元组的内容...针对此类问题，等保2.0标准提出明确要求，那么企业就要制定人员合理有效管理配置规则。...信安标准中对内容安全有明确规定，等保2.0标准中只是提了一下，感觉更多的还是偏向于安全层面的访问控制（即内容访问和修改权限），内容过滤可能是我过虑了，也可能是过于引申出来的检查点，这里作为一个参考即可，...此外，等保2.0标准还要求对远程访问用户、访问互联网的用户行为进行单独审计和数据分析，这点是新要求。
/etc/securetty值类型：①tty：终端 ②pts：伪终端 ③console：当前的控制台 ④vc：visual console虚拟控制台 ⑤vt：虚拟终端 ⑥hvc ⑦hvsi ⑧xvc等...查看是否启用默认账户，检查/etc/passwd文件对不启用的用户是否nologin或以#号标注 2.应检查是否已修改默认账户的默认密码，查看是否存在如：root/root，oracle/oracle等用户
username 设置密码永不过期 chage -M 90 username 设置密码过期时间为90天 二、 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施...4.远程登录失败处理功能 上面只是限制了从终端登陆，如果想限制ssh远程的话， 要改的是/etc/pam.d/sshd这个文件，添加的内容跟上面一样！
等保2.0时代，将根据信息技术的发展应用和网络安全的态势，不断地丰富制度的内涵、拓展保护范围、完善监管措施，逐步健全网络安全等级保护制度政策、标准和支撑体系。...3、等级保护工作内容持续扩展 在定级、备案、建设整改、等级测评和监督检查等规定动作基础上，2.0时代风险评估、安全监测、通报预警事件调查、数据防护、灾难备份，应急处置、自主可控、供应链安全、效果评价、综治考核等这些与网络安全密切相关的措施都将全部纳入到等级保护制度并加以实施...4、等级保护体系将进行重大升级 2.0时代，主管部门将继续制定出台一系列政策法规和技术标准，形成运转顺畅的工作机制。...在现有体系基础上，建立完善等级保护政策体系，标准体系，测评体系，技术体系服务体系，关键技术研究体系和训练教育训练体系等等。 什么是个人敏感数据？ 第一种族或民族出身。...第六基因数据（新）， 第七经处理可识别特定个人的生物识别数据（新） 在个人信息安全上的要求是一致的，以三级等保为例，其中对于个人信息的要求有：
等保2.0概述 2019年5月13日，国家市场监督管理总局、国家标准化管理委员会召开新闻发布会，等保2.0相关的《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求...》等国家标准正式发布，将于2019年12月1日开始实施。...关于三级等保的技术要求 GBT22239-2019等保2.0基本要求分技术要求与管理要求。...以下加粗字段为等保三级与二级的区别，需重点关注。...等保二级与三级区别 等保二级测评项为 135 项 等保三级测评项为 211 项（不含云计算、物联网、工控 扩展项） ?
本文为joshua317原创文章,转载请注明：转载自joshua317博客 https://www.joshua317.com/article/123
2019年5月13日等保2.0正式发布，这是继2008年发布等保1.0十余年来继网络安全法实施后的一次重大升级。等保2.0在等保1.0的基础上，更加注重全方位主动防御、安全可信、动态感知和全面审计。...工控角度等保2.0有哪些变化呢？ 01、总体结构上的区别 结构上由原来的安全要求变到现在的安全通用要求加安全扩展要求。...打开百度App，看更多图片 02、等保对象变化 等保对象由原来的信息系统过渡到现在的网络和信息系统，统称为等级保护对象。...除此之外，等级保护的合格线也从60分提升到现在的75分，这对于等保建设来说要求变得越来越严格。 根据等保2.0的要求，工业控制系统需要同时满足通用要求和扩展要求两部分。...相关内容推荐：等保2.0与大数据安全
01 高标准严要求，四级认证显实力 此次测评，基本框架包含了技术和管理两个核心维度，并具体分为物理和环境安全、网络和通信安全、设备和计算安全多个模块。...腾讯云TStack还可以为客户定制等保合规的整改意见，指导客户进行安全服务的选型与部署，助力用户更加高效省心过等保。...02 等保1.0到2.0 ，云平台成重头戏 等保，全称是网络安全等级保护制度标准，是国家法律确定的规范，对企业等组织的信息安全有着重要保护作用。...早在2017年6月1号，等保1.0已经发布，随着大数据、云计算、人工智能的不断发展，国家网络与信息安全发展也在向更严格、更全面的“等保2.0”逐步过渡。...等保2.0于5月13日正式发布，计划于2019年12月1日正式实施。等保2.0将重点保护监管对象，由原来的传统系统，扩展到云平台与大数据平台。
一、说明 本篇文章主要说一说windows系统中身份鉴别控制点中相关测评项的相关内容和理解，a、b测评项都比较基础和简单（但很繁琐），而c、d测评项则涉及到一点点密码方面的知识。...“密码必须符合复杂性要求”，其具体内容如下： ? 从上图可以看出，启用了这个选项，口令就快要达到要求了（口令长度要求未达标）。...具体关于RDP协议的内容这里就不说了，大家有兴趣的话可以看看这篇文章：https://www.doc88.com/p-1834979646606.html 所以这里要选择SSL才能符合要求，其余两个选项均不符合...这里我在等保测评：CentOS登录失败参数详解和双因素认证这篇文章中也说到过，这里换个角度说一说基础的知识。 6.1....所以实际测评的时候，对于这一项，只要不让其成为高风险即可，比如用堡垒机等方式（具体看高风险判定指引里的内容）。
一、说明 本篇文章主要说一说SQLServer数据库安全审计控制点的相关内容和理解。...错误日志大概记录的内容： 2.1 日志自动记录的信息大概有如下： (1) SQL SERVER 的启动参数，以及认证模式，内存分配模式。 (2) 每个数据库是否能够被正常打开。如果不能，原因是什么?...错误日志可以配置的内容有： ? ? 从上面可以得知，SQLServer默认虽然开启着错误日志，对一部分事件进行了记录。...另外，这里应该也要判断下日志中的日期和时间是否准确，SqlServer日志中的时间应该是引用的本机时间，所以就要看一看数据库所在的操作系统是否做了这方面的措施，具体哪些措施可以看：等保测评2.0：Windows...五、测评项c c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； 5.1. 要求1 也即仅某些账户可删除、修改审计记录。
一、说明 本篇文章主要说一说oracle数据库中身份鉴别控制点中测评项a的相关内容和理解。...那么只要oracle数据库中建立一个名为opscv的账户并给与基础权限（连接权限等），用户在登录操作系统中的cv后，可以直接使用sqlplus /或sqlplus / as normal（两个命令是一个意思...，就应该直接在数据库中查看校验函数的内容，而不是去查看utlpwdmg.sql文件。...在这里，使用的是verify_function_11G，由于其内容我没有修改过，所以和utlpwdmg.sql中所定义的是一样的： ?...顺序取字符串来对比： u不等于a，differ的值加1，为1 s不等于d，differ加1，为2 最后循环4次结束，differ为4， 如果最后differ小于3，则未通过校验，大于等3，则通过校验。
说明 本篇文章主要说一下应用测评中身份鉴别控制点中b、c、d测评项的相关知识点和理解，以及高风险判定方面的内容。 注：下文的应用系统不特别指都就默认为属于B/S架构。 2....密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。...测评项b b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； 3.1....或者你也可以看一看加载的Js文件的内容，前端进行加密一般都引用网上写好的Js文件，从这里也可以进行判断。 大概率来说，如果前端加密，一般都是使用md5算法计算出口令的hash值，然后再进行传输。...谷歌验证器 其实和等保测评2.0：Oracle身份鉴别（下）中5.2节介绍的认证方式差不多，谷歌验证码生成的时间间隔是一般是30s。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
