ICS 35.040 L 80 国； 中华人民共和国国家标准 GB/T 36958-2018 信息安全技术 网络安全等级保护 安全管理中心技术要求 Information security technology-Technical requirements of security management center for classified protection of cybersecuriy 2019-07-01 实施 2018-12-28 发布 国家市场监督管理总局啦舍 中国国家标准化管理委员会 ＆叩 GB/T 36958-2018 目 次 l 引言 …………………………………........……………………………………………………............. n 1 范围 ………………·· 2 规范性引用文件 ……………………·· 3 术语和定义 ………………… 4 缩略语 ………………..... . ..……………………………………..... . …………………………·……… 1 5 安全管理中心概述 …………………· 5.1 总体说明 5. 2 功能描述 …………………………………………………………………………………………… 2 第 二级安全管理中心技术要求 · 6 6.1 功能要求 6. 2 接口要求 6. 3 自身安全要求 …………………………………………………………………………………........…. 7 ……………………………………………………………………………………… 7 第 三级安全管理中心技术要求 ………………………………………………………………………… 8 7 7.1 功能要求 …………………………………………………………………………………........…. 7. 2 接口要求 …………………………………………………………………………………………… 1 3 7. 3 自身安全要求 ……………………………………………………………………………………… 13 第四级安全管理 中 心技术要求 …………………………………........……………………………… · 8 8 15 8.1 功能要求 …………………………………………………………………………………………… 1 5 8. 2 接口要求 …………………………………………………………………………………….... . …· 21 8. 3 自身安全要求 ……………………………………………………………………………………… 21 9 10 第五级安全管理 中 心技术要求 …………………………………·· 跨定级系统安全管理中 心 技术要求 ……………. . ......……………………………………………· 23 附录 A （规范性附录） 安全管理中心与网络安 全等级 保护对象等级对应关系 ……………………… 24 附录 B （规范性附录） 安全管理中心技术要求分级表 …………....... . ………………·· 附录 c （资料性附录） 归 一化安全事件属性 ………………………………………. .. ... . .……………· 27 GB/T 36958-2018 接口要求 6.2 第三方插件／代理接口协议要求 6.2.1 安全管理中心应支 持 SNMP Tra p、 Sys log 、 We b Service 等常规接口 和 自定义接口以及第 三 方的插 件或者代理的接口实现各组件之间、与第 三方平台之间的数据交换 。 接口安全要求 6.2.2 接口安全要求应满足 以下 要 求： a) 采用安全的接口协议 ， 保证接口之间交互数据的完整性 ； b) 采用加密技术实现接口之间 交互数据的保密性 。 自身安全要求 6.3 身份鉴别 6.3.1 安全管理中心控制台的管理员身份鉴别应满足以 下要求： a) 提供专用的登录控制模块对管理员进行身份标识和鉴别 ； b) 提供管理员用户身份标识唯一 和鉴别信息复杂度检查功能，保证不存在重复用户身份标识，身 份鉴别信息不 易被冒用 ； c) 6.3.2 提供登 录 失败处理功能 ， 可采取结束会话、限 制非法登录次数和自动退出等措施 。 访问控制 安全管理中心控制台的访问控制应满足以 下要求 ： a) 提供自主访问控制功能，依据安全策略控制管理员对各功能的访问； b) 自主访问控制的覆盖范围应包括所有管理员 、 功能及它们 之间的操作； c) 由授权管理员配置访问控制策略 ，并禁 止 默认账户的访问 。 6.3.3 安全审计 安全管理中心控制台的安全审计应满足以下要求 ： a) 提供覆盖到每个管理员的安全审计功能，记录所有管理员对重要操作和安全事件进行审 计 ； b) 保证无法单独中断审 计进程，无法删 除、修改或覆盖审 计记 录 ； c) 审计记录的内容至少 应包括事件的日期、时间、发起者信息、类型、描述和结果等 ； d) 提供对审计记录数据进行统计、查询的功能 。 6.3.4 软件窑错 安全管理 中 心控制台的软件容错应提供数据有效性检验功能 ， 保证通过人机接口输入或通过接口 输入的数据格式或长度符合系统设定要求 。 6.3.5 资源控制 安全管理中心控制台的资源投制应满足以下要求 ： a) 对管理员登录 地址范围进行限制 ； b) 当管理员在一 段时间内未作任何动作 ， 应能够自动结束会话 ； c) 能够对最大井友会话连接数进行限制 ； d) 提供对自身运行状态的监测，应能够对服务水平降低到预先规定的最小值进行检测和报警 。 7 GB/T 36958-2018 入僵防范 6.3.6 安全管理中心控制台的入侵防范应满足以下要求 ： a) 能够检测到对各服务器、网络设备和安全设备进行入侵的行为 ； b) 能够通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制； c) 服务器操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务 器等方式保持各组件的补丁及时得到更新； 应关闭不需要的各组件系统服务和高危端口 。 d) 数据安全 6.3. 7 安全管理中心控制台的数据安全应满足以下要求 ： 7 a) 能够检测到管理数据和鉴别信息在传输和存储过程中完整性受到破坏； b) 采用密码技术或其他保护措施实现管理数据和鉴别信息的数据传输和存储保密性 。 第二级安全管理中心技术要求 功能要求 7.1 7. 1. 1 系统管理要求 7. 1.1.1 用户身份管理 用户身份管理应满足以下要求 ： a) 能够对被管理对象环境中的主体进行标识； b) 能够采用两种或两种以上组合的鉴别技术对用户进行身份鉴别； c) 能够对被管理对象的系统管理员进行身份鉴别，并对身份标识及鉴别信息进行复杂度检查； d) 在物联网系统中 ， 应通过被管理对象的系统管理员对感知设备、感知层 网关等进行统一身份标 识管理 。 7.1.1.2 7.1.1.2.1 数据保护 数据保密性 数据保密性应满足 以下要求 ： a) 在安全管理中心与被管理对象之间建立连接之前， 应 利用密码技术进行会话初始化验证； b) 应 使用密码技术对安全管理中心与被管理对象之间通信过程中的整个报文或会话过程进行机 密性保护； c) 7. 1.1 .2.2 应 采用力II 密或其他保护措施实现被管理对象的鉴别信息、配置管理数据的存储保密性 。 数据 完整 性 数据完整性应满足以下要求： a) 能够检测到被管理对象鉴别信息、配置管理数据在传输过程中完整性受到破坏，并在检测 到完 整性错误 时 采取必要的恢复措施； b) 能够检测到被管理对象鉴别信息、配置管理数据在存储过程中完整性受 到破坏， 并在检测到完 整性错误 时 采取必要的恢复措施 。 8 GB/T 36958-2018 7.1. 1.2.3 数据备份与恢复 数据备份与恢复应满足以 下 要求 ： a) 提供数据本地备份与恢复功能 ，完全数据备份至少每天一次 ， 备份介质场外存放 ； b) 备份数据应至少包含安全管理中心采集的原始数据、 主／害身份标识数据、主／害体安全标记数 c) 在云计算平台中，应提供查询云服务客户数据及备份存储位置的方式， 云计算平台的运维应在 据、 主／客体配置管理数据、安全管理中心自身审计数据等； 中华人民共和国境内，禁止从境外对境内云计算平台的运维 。 7.1.1.2.4 剩余信息保护 剩余信息保护应保证主体和害体的鉴别信息所在的存储空间被释放或再分配给其他主体前得到完 全清除 ， 无论这些信息是存般在硬盘上还是在内存中 。 7.1.1.3 7.1.1.3.1 安全事件管理 安全事件采集 安全事件采集应满足以下要求： a) 支持安全事件监测采集功能，及时发现和采集发生的安全事件； b) 能够对安全事件进行归 一 化处理 ，将不同来源、不同格式、不同内容组成的原始 事 件转换成标 准的 事件格式； c) 安全事件的内容应包括日期、时间、主体标识、客体标识、类型、结果、 IP 地址、端口等信息； d) 安全事件采集的范围应涵盖主机设备、网络设备、数据库、安全设备、各类中间件、机房环境控 制系统等 ； e) 能够对采集的安全事件原始数据的集中存储 。 注： 安全事件的属性可参考附录 c . 7.1.1.3.2 安全事件告警 安全事件告警应满足以 下要求： a) 具备告警功能，在发现异常时可根据预先设定的闽值产生告警； b) 在产生告警时，应能够触发预先设定的事件分析规则，执行预定义的告警晌应动作 ， 如：控制台 对话中匡告警、 控制台告 警 音、电子邮件告 警、 孚机短信告 警、 创建工单、通过 Syslog 或 SNMP Trap 发布告警事件等； c) 7.1.1.3.3 具有对高频度发生的相同安全事件进行合并告警 ， 避免出现告警凤暴的能力 。 安全事件晌应 安全事件响应应满足以下要求 ： a) 能够提供工单管理的功能，支持基于告警响应动作创建工单的流转流程； b) 能够提供安全通告功能 ，可 以创建或导人安全 风险通告，通告中应包括通告内容、描述信息、 CVE 编号、影响的操作系统等； c) 7.1.1.3.4 能够根据通告提示 的安全风险影响的操作系统，提供受 影响的被保护资产列表 。 事件关联分析 事件关联分析应满足以下要求： 9