網路安全總體要求a類口令安全

A. 簡述網路安全的相關評估標准.

1 我國評價標准

1999年10月經過國家質量技術監督局批准發布的《計算機信息系統安全保護等級劃分准則》將計算機安全保護劃分為以下5個級別。
l 第1級為用戶自主保護級（GB1安全級）：它的安全保護機制使用戶具備自主安全保護的能力，保護用戶的信息免受非法的讀寫破壞。
l 第2級為系統審計保護級（GB2安全級）：除具備第一級所有的安全保護功能外，要求創建和維護訪問的審計跟蹤記錄，使所有的用戶對自己的行為的合法性負責。
l 第3級為安全標記保護級（GB3安全級）：除繼承前一個級別的安全功能外，還要求以訪問對象標記的安全級別限制訪問者的訪問許可權，實現對訪問對象的強制保護。
l 第4級為結構化保護級（GB4安全級）：在繼承前面安全級別安全功能的基礎上，將安全保護機制劃分為關鍵部分和非關鍵部分，對關鍵部分直接控制訪問者對訪問對象的存取，從而加強系統的抗滲透能力。
l 第5級為訪問驗證保護級（GB5安全級）：這一個級別特別增設了訪問驗證功能，負責仲裁訪問者對訪問對象的所有訪問活動。
我國是國際標准化組織的成員國，信息安全標准化工作在各方面的努力下正在積極開展之中。從20世紀80年代中期開始，自主制定和採用了一批相應的信息安全標准。但是，應該承認，標準的制定需要較為廣泛的應用經驗和較為深入的研究背景。這兩方面的差距，使我國的信息安全標准化工作與國際已有的工作相比，覆蓋的范圍還不夠大，宏觀和微觀的指導作用也有待進一步提高。
2 國際評價標准

根據美國國防部開發的計算機安全標准——可信任計算機標准評價准則（Trusted Computer Standards Evaluation Criteria，TCSEC），即網路安全橙皮書，一些計算機安全級別被用來評價一個計算機系統的安全性。
自從1985年橙皮書成為美國國防部的標准以來，就一直沒有改變過，多年以來一直是評估多用戶主機和小型操作系統的主要方法。其他子系統（如資料庫和網路）也一直用橙皮書來解釋評估。橙皮書把安全的級別從低到高分成4個類別：D類、C類、B類和A類，每類又分幾個級別，如表1-1所示。
表 安全 級 別
類 別
級 別
名 稱
主 要 特 征
D
D
低級保護
沒有安全保護
C
C1
自主安全保護
自主存儲控制
C2
受控存儲控制
單獨的可查性，安全標識
B
B1
標識的安全保護
強制存取控制，安全標識
B2
結構化保護
面向安全的體系結構，較好的抗滲透能力
B3
安全區域
存取監控、高抗滲透能力
A
A
驗證設計
形式化的最高級描述和驗證
D級是最低的安全級別，擁有這個級別的操作系統就像一個門戶大開的房子，任何人都可以自由進出，是完全不可信任的。對於硬體來說，沒有任何保護措施，操作系統容易受到損害，沒有系統訪問限制和數據訪問限制，任何人不需任何賬戶都可以進入系統，不受任何限制可以訪問他人的數據文件。屬於這個級別的操作系統有DOS和Windows 98等。
C1是C類的一個安全子級。C1又稱選擇性安全保護（Discretionary Security Protection）系統，它描述了一個典型的用在UNIX系統上安全級別。這種級別的系統對硬體又有某種程度的保護，如用戶擁有注冊賬號和口令，系統通過賬號和口令來識別用戶是否合法，並決定用戶對程序和信息擁有什麼樣的訪問權，但硬體受到損害的可能性仍然存在。
用戶擁有的訪問權是指對文件和目標的訪問權。文件的擁有者和超級用戶可以改變文件的訪問屬性，從而對不同的用戶授予不通的訪問許可權。
C2級除了包含C1級的特徵外，應該具有訪問控制環境（Controlled Access Environment）權力。該環境具有進一步限制用戶執行某些命令或者訪問某些文件的許可權，而且還加入了身份認證等級。另外，系統對發生的事情加以審計，並寫入日誌中，如什麼時候開機，哪個用戶在什麼時候從什麼地方登錄，等等，這樣通過查看日誌，就可以發現入侵的痕跡，如多次登錄失敗，也可以大致推測出可能有人想入侵系統。審計除了可以記錄下系統管理員執行的活動以外，還加入了身份認證級別，這樣就可以知道誰在執行這些命令。審計的缺點在於它需要額外的處理時間和磁碟空間。
使用附加身份驗證就可以讓一個C2級系統用戶在不是超級用戶的情況下有權執行系統管理任務。授權分級使系統管理員能夠給用戶分組，授予他們訪問某些程序的許可權或訪問特定的目錄。能夠達到C2級別的常見操作系統有如下幾種：
（1）UNIX系統；
（2）Novell 3.X或者更高版本；
（3）Windows NT，Windows 2000和Windows 2003。
B級中有三個級別，B1級即標志安全保護（Labeled Security Protection），是支持多級安全（例如：秘密和絕密）的第一個級別，這個級別說明處於強制性訪問控制之下的對象，系統不允許文件的擁有者改變其許可許可權。
安全級別存在秘密和絕密級別，這種安全級別的計算機系統一般在政府機構中，比如國防部和國家安全局的計算機系統。
B2級，又叫結構保護（Structured Protection）級別，它要求計算機系統中所有的對象都要加上標簽，而且給設備（磁碟、磁帶和終端）分配單個或者多個安全級別。
B3級，又叫做安全域（Security Domain）級別，使用安裝硬體的方式來加強域的安全，例如，內存管理硬體用於保護安全域免遭無授權訪問或更改其他安全域的對象。該級別也要求用戶通過一條可信任途徑連接到系統上。
A級，又稱驗證設計（Verified Design）級別，是當前橙皮書的最高級別，它包含了一個嚴格的設計、控制和驗證過程。該級別包含較低級別的所有的安全特性。
安全級別設計必須從數學角度上進行驗證，而且必須進行秘密通道和可信任分布分析。可信任分布（Trusted Distribution）的含義是：硬體和軟體在物理傳輸過程中已經受到保護，以防止破壞安全系統。橙皮書也存在不足，TCSEC是針對孤立計算機系統，特別是小型機和主機系統。假設有一定的物理保障，該標准適合政府和軍隊，不適合企業，這個模型是靜態的。

B. 保監會關於網路安全的規定

以下解答摘自谷安天下咨詢顧問發表的相關文章！
一、信息安全管理體系已解決的保險公司信息安全問題
保險行業通過信息安全技術的實施，信息安全管理制度的實施，解決了大量具有普遍性的信息安全問題，並形成了行業在信息安全管理方面的特色和管理優勢。概要如下：
建立了比較詳盡的在安全策略，並且總公司的各項IT制度會直接下放到各級分支機構。
在安全組織方面，結合保監會建立「網路安全工作小組」的要求，成立的信息安全組織，由公司的主要領導擔任組長及副組長，組員由主要業務部門、人力資源部門、稽核部門及信息技術部門等部門組成。
在物理環境方面，機房建設按國家A類機房標准建設，符合國家的有關標准；機房實現授權出入管理，出入計算機機房有嚴格的審批程序和出入記錄，物理環境的防火、防水、空調、電力等基本達到安全要求。
建立了較合理的總公司與分支機構的網路基礎架構，網路核心交換機與路由器雙機容錯；公司重要的廣域網接入專用線路都有冗餘。
對網站採用了網頁防篡改技術並定期進行檢查，員工訪問互聯網進行了分級限制，外來人員訪問互聯網有專用網段。
對員工PC集中防病毒管理、集中補丁管理，定期對重要主機與網路設備進行安全檢查。
在計算機信息系統開發、管理與應用上有相對比較清晰和明確的職責分工的要求，在核心業務系統的設計、開發、測試環境基本能做到主機環境的分離，軟體源代碼通過版本控制器集中進行管理。
重要業務系統和數據均有良好的備份措施，特別是進行了數據異地存放等工作。
IT人員責任心強，工作勤勉，在超負荷的工作狀態下能基本維持系統正常運行。
二、信息安全管理體系正在解決的保險公司信息安全問題
當前保險行業信息安全現狀還有許多待改進與提高的地方，與國際標准和最佳信息安全實踐相比，還存在著一定的差距，特別是分支機構在資產管理、物理與環境安全、人力資源管理、通信與操作管理、訪問控制、軟體開發等方面還需付出較大的努力。
以下對信息安全管理體系正在解決的保險行業信息安全方面的主要表現在以下幾個方面：
信息安全投入
IT規劃
資產管理
人力資源安全
物理與環境安全
通信與操作管理
訪問控制
信息系統獲得、開發與維護
信息安全事件管理

擴展閱讀：【保險】怎麼買，哪個好，手把手教你避開保險的這些"坑"

C. 計算機網路安全等級分為哪些

1、D1級
這是計算機安全的最低一級。整個計算機系統是不可信任的，硬體和操作系統很容易被侵襲。D1級計算機系統標准規定對用戶沒有驗證，也就是任何人都可以使用該計算機系統而不會有任何障礙。系統不要求用戶進行登記或口令保護。任何人都可以坐在計算機前並開始使用它。
2、C1級
C1級系統要求硬體有一定的安全機制，用戶在使用前必須登錄到系統。C1級系統還要求具有完全訪問控制的能力，經應當允許系統管理員為一些程序或數據設立訪問許可許可權。C1級防護不足之處在於用戶直接訪問操作系統的根。C1級不能控制進入系統的用戶訪問級別，所以用戶可以將系統的數據任意移走。
3、C2級
C2級在C1級的某些不足之處加強了幾個特性，C2級引進了受控訪問環境的增強特性。這一特性不僅以用戶許可權為基礎，還進一步限制了用戶執行某些系統指令。授權分級使系統管理員能夠分用戶分組，授予他們訪問某些程序的許可權或訪問分級目錄。另一方面，用戶許可權以個人為單位授權用戶對某一程序所在目錄的訪問。如果其他程序和數據也在同一目錄下，那麼用戶也將自動得到訪問這些信息的許可權。C2級系統還採用了系統審計。
4、B1級
B1級系統支持多級安全，多級是指這一安全保護安裝在不同級別的系統中，它對敏感信息提供更高級的保護。比如安全級別可以分為解密、保密和絕密級別。
5、B2級
這一級別稱為結構化的保護。B2級安全要求計算機系統中所有對象加標簽，而且給設備分配安全級別。如用戶可以訪問一台工作站，但可能不允許訪問裝有人員工資資料的磁碟子系統。
6、B3級
B3級要求用戶工作站或終端通過可信任途徑連接網路系統，這一級必須採用硬體來保護安全系統的存儲區。
7、A級
這是橙皮書中最高的安全級別，這一級有時也被稱為驗證設計。與前面提到的各級級別一樣，這一級包括它下面各級的所有特性。A級還附加一個安全系統受監視的設計要求，合格的安全個體必須分析並通過這一設計。另外，必須採用嚴格的形式化方法來驗證該系統的安全性。而且在A級，所有構成系統的部件的來源必須安全保證，這些安全措施還必須擔保在銷售過程中這些部件不受損害。

D. 網路安全分為幾個級別

網路安全分為四個級別，詳情如下：

1、系統安全

運行系統安全即保證信息處理和傳輸系統的安全。它側重於保證系統正常運行。

2、網路的安全

網路上系統信息的安全。包括用戶口令鑒別，用戶存取許可權控制，數據存取許可權、方式控制，安全審計。安全問題跟踩。計算機病毒防治，數據加密等。

3、信息傳播安全

網路上信息傳播安全，即信息傳播後果的安全，包括信息過濾等。它側重於防止和控制由非法、有害的信息進行傳播所產生的後果，避免公用網路上大雲自由傳翰的信息失控。

4、信息內容安全

網路上信息內容的安全。它側重於保護信息的保密性、真實性和完整性。

(4)網路安全總體要求a類口令安全擴展閱讀

網路安全的影響因素：

自然災害、意外事故；計算機犯罪； 人為行為，比如使用不當，安全意識差等；黑客」 行為：由於黑客的入侵或侵擾，比如非法訪問、拒絕服務計算機病毒、非法連接等；內部泄密；外部泄密；信息丟失；電子諜報，比如信息流量分析、信息竊取等。

網路協議中的缺陷，例如TCP/IP協議的安全問題等等。網路安全威脅主要包括兩類：滲入威脅和植入威脅。滲入威脅主要有：假冒、旁路控制、授權侵犯。

E. 計算機機房安全等級的劃分標準是什麼

計算機機房安全等級的劃分標準是使用性質、管理要求及其在經濟和社會中的重要性，劃分為A、B、C三級。

A級為最高級別，主要指涉及國計民生的機房設計。其電子信息系統運行中斷將造成重大的經濟損或公共場所秩序嚴重混亂。像國家氣象台；國家級信息中心、計算中心；重要的軍事指揮部門；大中城市的機場、廣播電台、電視台、應急指揮中心；銀行總行等屬A級機房。

B級為電子信息系統運行中斷將造成一定的社會秩序混亂和世談察一定的侍判經濟損失的機房。科研院所；高等院校；三級醫院；大中城市的氣象台、信息中心、疾病預防與控制中心、電力調度中心、交通（鐵路、公路、水運）指揮調度中心；國際會議中心；國際體育比賽場館；省部級以上政府辦公樓等屬B級機房。

A級或B級范圍之外的電子信息系統機房為C級。

(5)網路安全總體要求a類口令安全擴展閱讀

機房涵蓋了建築裝修、供電、照明、防雷、接地、UPS不間斷電源、精密空調、環境監測、火災報警及滅火、門禁、防盜、閉路監視、綜合布線和系統集成等技術。

機房的種類繁多，根據功能的不同大致分為：計算機機房或稱信息網路機房(網路交換機、伺服器群、程式控制交換機等)，其特點是面積較大，電源和空調不允許中斷，是綜合布線和信息化網路設搜茄備的核心。

監控機房(電視監視牆、矩陣主機、畫面分割器、硬碟錄像機、防盜報警主機、編/解碼器、樓宇自控、門禁、車庫管理主機房)是有人值守的重要機房；消防機房(火災報警主機、滅火聯動控制台、緊急廣播機櫃等)也是有人值守的重要機房。此外，還有屏蔽機房、衛星電視機房等。

F. 簡述TCSEC安全標準的主要內容

TCSEC標準是計算機系統安全評估的第一個正式標准，具有劃時代的意義。該准則於1970年由美國國防科學委員會提出，並於1985年12月由美國國防部公布。TCSEC最初只是軍用標准，後來延至民用領域。TCSEC將計算機系統的安全劃分為4個等級、7個級別。具體安全等級如下：
1.D安全等級
D類安全等級只包括D1一個級別。D1的安全等級最低。D1系統只為文件和用戶提供安全保護。D1系統最普通的形式是本地操作系統，或者是一個完全沒有保護的網路。
2.C類安全等級
C類安全等級能夠提供審記的保護，並為用戶的行動和責任提供審計能力。C類安全等級可劃分為C1和C2兩類。C1系統的可信任運算基礎體制(Trusted Computing Base，TCB)通過將用戶和數據分開來達到安全的目的。在C1系統中，所有的用戶以同樣的靈敏度來處理數據，即用戶認為C1系統中的所有文檔都具有相同的機密性。C2系統比C1系統加強了可調的審慎控制。在連接到網路上時，C2系統的用戶分別對各自的行為負責。C2系統通過登陸過程、安全事件和資源隔離來增強這種控制。C2系統具有C1系統中所有的安全性特徵。
3.B類安全等級
該等級可分為B1、B2和B3三類。B類系統具有強制性保護功能。強制性保護意味著如果用戶沒有與安全等級相連，系統就不會讓用戶存取對象。B1系統滿足下列要求:系統對網路控制下的每個對象都進行靈敏度標記;系統使用靈敏度標記作為所有強迫訪問控制的基礎;系統在把導入的、非標記的對象放入系統前標記它們;靈敏度標記必須准確地表示其所聯系的對象的安全級別;當系統管理員創建系統或者增加新的通信通道或I/O設備時，管理員必須指定每個通信通道和I/O設備是單級還是多級，並且管理員只能手工改變指定;單級設備並不保持傳輸信息的靈敏度級別;所有直接面向用戶位置的輸出(無論是虛擬的還是物理的)都必須產生標記來指示關於輸出對象的靈敏度;系統必須使用用戶的口令或證明來決定用戶的安全訪問級別;系統必須通過審計來記錄未授權訪問的企圖。B2系統必須滿足B1系統的所有要求。另外，B2系統的管理員必須使用一個明確的、文檔化的安全策略模式作為系統的可信任運算基礎體制。B2系統必須滿足下列要求:系統必須立即通知系統中的每一個用戶所有與之相關的網路連接的改變;只有用戶能夠在可信任通信路徑中進行初始化通信;可信任運算基礎體制能夠支持獨立的操作者和管理員。B3系統必須符合B2系統的所有安全需求。B3系統具有很強的監視委託管理訪問能力和抗干擾能力。B3系統必須設有安全管理員。B3系統應滿足以下要求:除了控制對個別對象的訪問外，B3必須產生一個可讀的安全列表;每個被命名的對象提供對該對象沒有訪問權的用戶列表說明;B3系統在進行任何操作前，要求用戶進行身份驗證;B3系統驗證每個用戶，同時還會發送一個取消訪問的審計跟蹤消息;設計者必須正確區分可信任的通信路徑和其他路徑;可信任的通信基礎體制為每一個被命名的對象建立安全審計跟蹤;可信任的運算基礎體制支持獨立的安全管理。
4.安全級別最高的A系統
目前，A類安全等級只包含A1一個安全類別。A1類與B3類相似，對系統的結構和策略不作特別要求。A1系統的顯著特徵是，系統的設計者必須按照一個正式的設計規范來分析系統。對系統分析後，設計者必須運用核對技術來確保系統符合設計規范。A1系統必須滿足下列要求:系統管理員必須從開發者那裡接收到一個安全策略的正式模型;所有的安裝操作都必須由系統管理員進行;系統管理員進行的每一步安裝操作都必須有正式文檔。這信息安全保障階段，歐洲四國(英、法、德、荷)提出了評價滿足保密性、完整性、可用性要求的信息技術安全評價准則(ITSEC)後，美國又聯合以上諸國和加拿大，並會同國際標准化組織(ISO)共同提出信息技術安全評價的通用准則(CC for ITSEC)，CC已經被五技術發達的國家承認為代替TCSEC的評價安全信息系統的標准。目前，CC已經被採納為國家標准ISO 15408。