基于阿里云的应用系统三级等保1.0测评总结

秒速五厘米 2023-10-09 12:38 14阅读 0赞

### 背景 ###

由于政策的要求，我们的应用系统需要过信息系统安全等级保护第三级（简称三级等保）。在编写本文时，我们的三级等保已经通过，所以本文是对三级等保测评的一次总结。分享给大家，希望能够帮助有需要的人。

我们的应用系统是基于阿里云部署的，阿里云作为云平台，本身通过了三级等保测评。所以与阿里云相关（物理安全、中间件安全）的测评都不需要重复进行，只需要提供阿里云的三级等保测评报告就可以。因此我们的三级等保测评可以转化为：阿里云三级等保报告+应用系统测评+安全管理规范三部分内容。本文着重对应用系统的测评要求进行描述。

### 一、应用系统测评要求 ###

#### 1、登录校验 ####

使用账号+静态密码+4位验证码进行登录验证。

#### 2、密码复杂度 ####

八位以上，大小写+特殊字符+数字，加盐，采用两次md5加密。

#### 3、密码更换 ####

要求用户密码每3个月更换一次，更新的口令5次内不能重复。

#### 4、登录失败策略 ####

当日连续登录失败 5 次则锁定账户，第二天再登录。登录成功则清空失败次数。

#### 5、退出 ####

提供退出功能，由用户主动操作退出系统。

#### 6、超时退出 ####

提供超时退出功能，在指定的时间后，系统自动退出。

#### 7、并发会话限制 ####

对单个帐户的多重并发会话进行限制，禁止同一用户同时登录系统。

#### 8、访问控制 ####

对系统中的每个请求资源进行权限控制，只有用户该权限的用户才可以访问资源，禁止越权操作。

#### 9、权限分离 ####

信息系统根据业务需求划分不同角色(管理员、审计员、业务员)，应根据最小原则进行授权，对特权用户进行权限分离，实现各用户间形成相互制约关系，如录入与审核分离，操作与监督分离等。

#### 10、数据有效性校验 ####

在数据输入界面提供数据有效性检验功能。

#### 11、审计功能 ####

对系统的重要安全事件(包括用户登陆、用户注册、重要业务数据操作等行为)进行记录，形成审计日志。审计日志包括事件发生的日期和时间、触发事件的主体、事件的类型、事件成功或失败、事件请求的来源、事件的结果等，并提供导出功能。  
审计日志由审计员进行操作，其他人员无法操作。禁止提供修改、删除审计日志的功能，禁止提供终端审计进程的功能。

#### 12、HTTPS通信 ####

采用HTTPS加密通信方式对数据通信完整性进行保护。

#### 13、并发数控制 ####

对应用系统的并发数进行限制，超出限制后应进行报警通知。

#### 14、系统相关文档 ####

需求说明文档、概要设计文档、详细设计文档、用户手册等。

#### 15、安全防护 ####

通过购买阿里云安全组件或者自主安装的方式实现安全防护。包括ECS服务器、负载均衡器、云数据库RDS、云堡垒机、WEB应用防火墙、云盾证书、clamav（防病毒）等。

### 二、安全管理规范 ###

包含安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等。

### 三、参考资料 ###

[GBT 22239-2008 信息安全技术 信息系统安全等级保护基本要求.pdf][GBT 22239-2008 _ _.pdf]

文章内容仅代表个人观点，如有不正之处，欢迎批评指正，谢谢大家。

[GBT 22239-2008 _ _.pdf]: https://download.csdn.net/download/hajunma/11239621

发表评论取消回复

表情：

评论列表（有 0 条评论，14人围观）

还没有评论，来说两句吧...

相关阅读

相关信息管理系统三级等保的一些要求

一、前言在做一些互联网系统或面向互联网的系统时，需要进行备案，需要满足网络信息安全维护规章及有关规章制度要求，才能发布到互联网。所以在做系统的需求分析时，往往需要把信息

喜欢ヅ旅行/ 2024年03月24日 19:51/ 0 赞/ 22 阅读

相关等保三级--管理要求

目录管理要求安全管理制度 1.1管理制度（G3） 1.2制定和发布（G3） 1.3评审和修订（G3） 2.安全管理机构 2.1岗位设置（G3） 2.2人员配

痛定思痛。/ 2023年10月14日 22:51/ 0 赞/ 60 阅读

相关等保测评高风险判定——第一章物理环境篇

等保测评高风险判定——第一章物理环境篇安全物理环境二级及以上系统高风险判定 1.1机房出入口访问控制措施缺失要求项:机房出入口应配置电子门禁系统,控

╰+攻爆jí腚メ/ 2023年01月03日 04:08/ 0 赞/ 89 阅读

相关等保2.0测评：VMware ESXI

从上世纪学术界提出虚拟化的理论以来，在IT行业中，虚拟化技术正在从日趋成熟的主流的服务器虚拟化、存储虚拟化技术蔓延到网络的各个角落。这里我们实际做测评的时候，也发现客户上云的趋

迷南。/ 2022年10月23日 12:48/ 0 赞/ 1280 阅读

相关 oracle的等保,Oracle等保测评相关指令

Oracle用户管理: sql\Plus create user 用户名 identified by 密码; //创建用户 grant 权限(dba=管理员，resour

布满荆棘的人生/ 2022年10月21日 12:58/ 0 赞/ 145 阅读

相关基于阿里云的一般性系统安全措施介绍

文章大纲 1. 基于阿里云的典型生产环境安全架构简介 1.1 网络安全 1.2 主机安全 1.3数据库安全 1

今天药忘吃喽~/ 2022年09月10日 06:10/ 0 赞/ 117 阅读

相关阿里前端测评

一时心血来潮，投了阿里的前端工程师，结果才刚开始投就被一道测评题搞焉了。 ▍写在前面先是在【校园招】看到阿里巴巴的校园招聘，查看了一下它的岗位要求。 ![70][

怼烎@/ 2022年05月17日 07:38/ 0 赞/ 157 阅读

相关等保2.0 三级检查明细

<table> <tbody> <tr> <td style="text-align:center;vertical-align:middle;width:9

短命女/ 2022年01月25日 23:13/ 0 赞/ 174 阅读

相关阿里云、华为云、百度云等比较

几个朋友的亲身经历，也期望国内毛蟹厂家可以捉的更加好！阿里云功能：对LINUX支持很好，有基本的小区防火墙，5个快照管理，有自定义镜像管理。价格：最低7

小灰灰/ 2021年12月20日 07:15/ 0 赞/ 305 阅读

相关 Oracle应用之安全等保加密存储

业务场景：在做安全等保问题，需要将原来保存的用户明文密码改成md5加密的密文密码，数据库是Oracle的首先Oracle要管理员账号登录才可以调md5函数，具体函数是DBM

小灰灰/ 2021年09月19日 22:14/ 0 赞/ 169 阅读