国家标准 GB/T31506一2015 信息安全技术政府门户网站系统安全技术指南 nformationseeuritytechnology一 Securitytechnologguidelinesforwebportalsystemmofgovermmenmt 2015-05-15发布 2016-01-01实施国家质量监督检验检疫总局发布国家标准化管理委员会国家标准
GB/I31506一2015 目次前言引言范围规范性引用文件术语和定义缩略语概述逻辑结构及运行模式 5.1 5.2安全目标及防护措施基本级安全技术措施运行支撑 6.1 6.2物理安全 6.3边界安全服务器安全 6.4 6.5管理终端安全 6.6web应用安全域名安全 1l 6.7 6.8内容发布及数据安全 6.9攻击防范 6.10安全监控与应急响应 12 增强级安全技术措施 13 运行支撑 n. 13 7.3物理安全 14 7.3边界安全 15 7.4服务器安全 16 7管理终淌安全 1 7.6web应用安全 18 7.7域名安全 20 7.8内容发布及数据安全 2 7.9攻击防范 22 7.10安全监控与应急响应 22 24 附录A(规范性附录高级安全技术措施
GB/T31506一2015 前言本标准按照GB/T1.1一2009给出的规则起草本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口本标准起草单位:北京信息安全测评中心、信息安全研究院有限公司、首都之窗运营管理中心本标准主要起草人:刘海峰、钱秀槟、左晓栋、张晓梅、闵京华、赵章界、李晨肠、李媛、梁博、王春佳、胡冰、李毒、陈萍、王赫 m
GB/I31506一2015 引言由于网站具有面向互联网提供信息服务的特点,带有多种动机的攻击者可能会利用互联网网站的开放性和交互性进行漏洞探测,进而实施非授权访问,页面篡改、信息窃取或拒绝服务攻击政府门户网站系统由于其代表政府的特殊属性,与普通网站相比更容易遭到来自互联网的攻击为了提高政府网站包括防篡改,防泄露、防中断,防恶意控制在内的综合安全防范能力,为各类政府机构保障网站安全提供技术指导,特制定本标准
GB/I31506一2015 信息安全技术政府门户网站系统安全技术指南范围本标准给出了政府门户网站系统安全技术控制措施本标准适用于指导政府部门开展门户网站系统安全技术防范工作,也可作为对政府门户网站系统实施安全检查的依据规范性引用文件下列文件对于本文件的应用是必不可少的凡是注日期的引用文件,仅注日期的版本适用于本文件凡是不注日期的引用文件,其最新版本包括所有的修改单)适用于本文件 GB/T2887一2011计算机场地通用规范信息安全技术信息系统安全等级保护基本要求 GB/T222392008 信息安全技术信息系统安全等级保护定级指南 GB/T222402008 GB/T250692010信息安全技术术语 GB/T50174一2008电子信息系统机房设计规范术语和定义 GB/T25069-2010界定的以及下列的术语和定义适用于本文件 3.1 政府门户网站wehprtalofermmemt 政府机构利用互联网发布政务信息,提供在线服务、开展互动交流等而建立的网站,包括为用户提供展示和交互功能的页面及生成和处理页面的应用程序、中间件等 3.2 政府门户网站系统webportalsystemofgovernment 政府门户网站及支撑其运行的物理环境、网络环境、服务器操作系统和数据库系统等 3.3 网站用户 usersofwebsite 网站的访问者,既包括来自外部,访问获取网站资源的前台用户,也包括负责网站系统管理,内容管理的后台用户缩略语下列缩略语适用于本文件 Protocol ARP;地址接卸协议(AddressResolution UnitD CPU,中央处理器(CentrnllProcesing DNS域名系统(DomainNameSystenm)
GB/I31506一2015 FTP;文件传输协议(FileTransferProtocol < ransferProtocolD HTTP:超文本传输协议(Hypertext ternetDataCenter IDC:互联网数据中心(Imt IP:互联网协议(InternetProtocolD IS;互联网信息服务(InternetlnformationServices) MAC;介质访问控制层(MediaAccessControl OA:办公自动化(OfficeAutomation PV;页面浏览量(PageView sQL;结构化查询语言(StrueturedQueryLanguage) ssH.安全外壳协议(SecureshelD UPS;不间断电源(UninterruptiblePowerSystem VLAN;虚拟局域网(VirtualLocalAreaNetwork VPN;虚拟专用网(VirtualPrivateNetwork WWW:万维网(WorldWideWeb 概述 5.1逻辑结构及运行模式 5.1.1政府门户网站系统逻辑结构政府门户网站系统主要面向互联网履行社会管理、公共服务职能,提供信息发布、在线服务,互动交流等服务,可根据功能需要通过指定的方式与OA系统,审批系统等政府部门其他业务系统交换数据政府门户网站系统逻辑结构如图1所示系统中,公众、企业、团体等用户通过互联网访问页面展示子系统的信息发布,在线服务,互动交流等服务,管理用户使用专用的管理终端从本地网络或通过在互联网上建立可信的VPN安全通道等方式访问内容管理及系统管理子系统,并对相关设备进行维护网站数据处理子系统用于实现网站系统相关数据的存储及管理管理终端公众企业团体可信路径互联网互联网边界业各类业务页面展示系统内容管理本地网络安数据处理管理终端政府门户网站系统图1政府门户网站系统逻辑结构示意图政府门户网站系统为互联网用户提供交互服务,系统与互联网之间存在互联网边界;与部署在本地网络不同安全域中的其他业务系统及终端进行交互,系统与本地网络之间存在安全域边界;与本地网络
GB/T31506一2015 中的其他业务系统交互特定数据,系统与本地其他业务系统之间存在业务边界 5.1.2政府门户网站系统组成结构政府门户网站系统由门户网站及支撑其运行的物理环境、网络环境、服务器操作系统和数据库系统等构成,并与OA等其他业务系统之间存在数据交互的接口系统组成结构可分为物理层、网络层、主机层、数据层和网站层五个层面,如图2所示网站系统网站应用程序信息发布、在线服务、互动交流等内容管理、系统管理网站数锯信息发布及审核数据、在线事数蜗、公众参与数据、后台管理数据等接口审服务器及管理终端网站服务器的送作系统和数据库以及用于信息发布、教件设管理的各类终刚网络通信局域网其他网络互联网物理环境地理位置、机房、硬件设备、办公场所、档案室设备间等图2政府门户网站系统组成结构图 5.1.3政府门户网站系统的常见运行模式根据政府门户网站系统的实际运行情况,可分为以下三种主要运行模式 a)自建自管模式:单位自行设立网站服务器并组织管理主机托管模式:单位将网站服务器委托专业的运营机构或互联网数据中心(IC)来管理 b 主机租用模式单位未设立网站服务器,租用运营商的服务器或虚拟服务器 c 5.2安全目标及防护措施 5.2.1安全目标政府门户网站系统由于其代表政府的特殊属性,与普通网站相比更容易遭到来自互联网的攻击攻击者为了破坏政府形象、干扰政府工作秩序或窃取政府门户网站的敏感信息,采用web应用攻击、拒绝服务攻击、暴力破解攻击、上传恶意木马等方式,实现篡改网页,中断服务、窃取信息,控制网站等攻击目标因此,政府门户网站系统的安全防护工作应重点实现以下目标提升网页防篡改及监测、恢复能力.降低网页被篡改的安全风险 a b提高人侵防范能力及系统可用性,降低网站服务中断的安全风险; 强化数据安全管控措施,降低网站敏感信息泄露的安全风险; c D 构建纵深防御体系,降低网站被恶意控制的安全风险
GB/I31506一2015 5.2.2安全技术措施概述由于构成政府门户网站系统的物理层,网络层,主机层,数据层、网站层中的任何一层存在脆弱性都可能导致政府门户网站出现内容篡改、服务中断、信息泄露及恶意控制等安全风险为了实现上述安全目标,既需要针对构成网站系统的各层面存在的脆弱性提出安全控制措施也需要针对政府门户网站系统提出综合性的安全控制措施表1给出了政府门户网站系统的主要安全技术措施类别,具体安全技术措施详见第行章和第7章表1政府门户网站系统安全技术措施网站系统安全技术措施层面防护整体防护 Web应用安全网站层域名安全数据层内容发布及数据安全服务器安全运行支撑攻击防范安全监控应急响应主机层管理终端安全网络层边界安全物理层物理安全 5.2.3安全技术措施级别选择本标准中的政府门户网站系统安全技术措施按其保障强度可划分为基本级安全技术措施、增强级安全技术措施两个等级各单位可依据政府门户网站系统的行政级别,访问量,注册用户数和业务重要度选择相应强度级别的安全技术措施,见表2 其中,满足任意一条级别选择指标要求的政府门户网站系统均宜选择增强级安全技术措施集对于安全需求更高的政府门户网站系统,在实施增强措施的基础上,应按附录A中的高级安全技术措施进一步加强防护在本标准的安全技术措施描述中的粗体字表示较低等级安全技术措施中未出现或较高等级安全技术措施中加强的内容表2政府门户网站系统安全技术措施级别选择方法级别选择因素级别选择指标适用的安全技术措施级别是增强级安全技术措施集行政级别部委网站或省级网站基本级安全技术措施集是增强级安全技术措施集访问量有效日均访问次数>20万PV 否基本级安全技术措施集是增强级安全技术措施集注册用户数累计注册用户总数>50万否基本级安全技术措施集在线办事程度较高且网站受到破坏增强级安全技术措施集是后,会对社会秩序和公共利益造成严重损害或者对国家安全造成业务重要度损害; 或按照(GB/T22240要求安全保护等基本级安全技术措施集否级级别定为三级以上(含三级)的网站注:有效日均访问次数应避免重复统计同一访问源在短时间内进行的多次访问
GB/T31506一2015 基本级安全技术措施 6.1运行支撑 6.1.1运行模式本项措施包括政府门户网站系统可选用自建自管、主机托管或虚拟主机等各种模式建设运行 a b政府门户网站系统如采用主机托管或虚拟主机方式建设运行,应优先选择由当地政府集中建设的数据中心如采用主机托管或主机租用模式,应选择在物理安全.,网络安全,主机安全等方面符合本标准基本级要求或GB/T22239中第二级基本要求的数据中心; 政府门户网站系统采用主机托管或虚拟主机方式运行时,网站系统的主管单位应明确本单位和数据中心双方的安全责任边界,建立对网站系统运行环境、安全技术措施运行情况的监督机制 6.1.2网站部署本项措施包括 a政府门户网站系统的web应用程序应部署在独立的物理服务器或虚拟服务器上; b)同一政府门户网站系统的web应用程序与数据库系统应部署在不同的物理服务器或虚拟服务器上政府门户网站系统采用虚拟主机方式运行时,不应与非政务信息系统共用物理服务器 C 6.1.3边界确定本项措施包括 a)明确政府门户网站系统与互联网之间的访问需求,以确定网络边界， b)明确政府门户网站系统与其他业务系统之间的访问需求,以确定安全域边界; o如政府门户网站系统与其他业务系统存在数据交互,明确数据交互发生的业务边界(如发生交互的功能模块),并明确交互数据的性质和类型 6.1.4资源保障 6.1.4.1性能保障本项措施包括应分析政府门户网站系统的性能需求,从网络带宽、服务器的处理能力,应用程序的并发处理能力等方面对网站性能予以保障; 政府门户网站系统对外提供服务的互联网独享带宽不宜低于2Mbit/s 共享带宽条件下,网 b 站互联网出口HTTP协议带宽不宜低于2Mbit/s; 如政府门户网站系统访问量较大或提供在线视频等服务,可以依据网站的日均页面访问量次)及业务高峰期(包括日高峰及高峰日)访问量酌情调整出口带宽 6.1.4.2设备冗余部署应为支撑政府门户网站系统运转的关键设备提供硬件冗余措施,关键设备包括但不限于出口路由器、核心交换机、应用及数据库服务器等
GB/I31506一2015 6.1.4.3电力保障可采用配备UPs等供电措施为政府门户网站系统提供短期备用电力 6.2物理安全 6.2.1物理位置选择不应使用境外机构提供或位于境外的物理服务器或虚拟主机 6.2.2物理环境控制本项措施包括: a政府门户网站系统关键设备所在机柜柜门应上锁 b 机房等重要区域应配置电子门禁系统,以便控制,鉴别和记录人员出人; e)需要进人机房对政府门户网站系统进行操作时,应由网站安全责任人或其指定的专人陪同; 机房场地在防火、防水、防震、防盗、防尘、防静电、防雷,防电磁、监控,温湿度控制等方面应符 D 合GB/T22239-2008中第二级基本要求的物理安全要求机房场地安全要求可参考 GB/T50174一2008,GB/T2887一2011等国家标准中的相应要求 6.2.3传输线路保护本项措施包括应采用有效方法防范对信息传输线路的物理接触,如;将通信线缆铺设在地下或管道内等隐蔽处,以防止传输过程中的数据篡改、干扰以及对线缆的物理破坏; b电源线和通信线缆宜隔离铺设,避免互相干扰 6.3 边界安全 6.3.1互联网边界安全 6.3.1.1边界隔离方式应在政府门户网站系统与互联网之间的网络边界处部署防火墙等边界隔离设备,并配置合理的边界访问控制策略,实现网站系统与互联网之间的逻辑隔离 6.3.1.2边界防护策略本项措施包括; 互联网边界隔离设备的默认过滤策略应设置为禁止任意访问 a b 应仅允许互联网用户及单位内部普通用户终端访问网站服务器提供的HTTP服务等指定的服务和端口 e)应限制网站系统中的服务器主动访问互联网 d)应仅允许指定的IP地址访问网站服务器提供的内容管理、系统管理等服务和端口; e)应限制网站系统中的服务器主动访问单位内部网络,仅允许访问单位内部网络提供的指定交互业务、补丁更新、病毒库升级等服务 6.3.1.3地址转换网站相关服务器应使用私有IP地址,通过边界防火墙或路由器实现私有IP地址与互联网IP地址
GB/I31506一2015 之间的地址转换 6.3.2安全域边界安全 6.3.2.1边界隔离方式应采用在交换设备上划分VL.AN或部署安全域边界防火墙等方式实现政府门户网站系统所在安全域与其他业务系统所在安全域之间的逻辑隔离 6.3.2.2边界防护策略本项措施包括安全域逻辑隔离设备的默认过谴策略应设置为禁止任意访问 a b明确各安全域之间的实际访问需求,合理配置相应的安全域边界过滤策略 6.3.3业务边界安全本项措施包括 a)宜建立网站应用程序与其他业务系统交互的数据列表,规范交互数据的内容及格式; b)宜采用身份鉴别访问控制,加密传输和加密存储等安全措施确保业务数据交互过程的安全性 6.4服务器安全 6.4.1系统设置 6.4.1.1最小化安装操作系统和数据库系统宜遵循最小安装原则,仅安装业务必需的服务、组件和软件等 6.4.1.2身份鉴别本项措施包括 a)可采用用户名/口令等鉴别机制实现服务器操作系统及数据库系统的身份鉴别口令应由大小写字母、数字及特殊字符组成,普通用户的口令长度不宜短于8个字符,系统管 b 理员用户的口令长度不宜短于10个字符,且每半年至少修改一次应采取措施防范口令暴力破解攻击,可采用设置登录延时、限制最大失败登录次数、锁定账号等措施 6.4.1.3访问控制本项措施包括: 针对服务器操作系统及数据库系统应设置必要的用户访问控制策略,为不同用户授予其完成 a 各自承担任务所需的最小权限,限制超级管理员等默认角色或用户的访问权限应及时清除服务器操作系统及数据库系统中的无用账号、默认账号,不应出现多人共用同一个系统账号的情况应限制网站web服务器,数据库服务器等重要服务器的远程管理; d)服务器操作系统及数据库系统需要远程进行管理时,宜采用SSH等安全方式实现应仅开启业务所需的最少服务及端口
GB/I31506一2015 6.4.1.4安全审计本项措施包括: 应实现服务器操作系统及数据库系统的安全审计,对系统远程管理、账号登录,策略更改,对象 a 访问、服务访问、系统事件、账户管理等行为及www,FTP等重要服务访问进行审计,并设置审计日志文件大小的值以及达到值的处理方式(覆写、自动转存等); b针对安全审计记录及审计策略设置必要的访问控制以避免未授权的删除、修改或覆盖等; e)审计记录应独立保存,保存时间不少于90d 6.4.2系统更新本项措施包括 a)应统一采购,部署正版软件以及相关服务,并定期开展系统漏洞扫描工作 b)应通过操作系统软件、数据库系统软件官方网站或其他合法渠道获得补丁程序,并在补丁程序通过安全测试后及时更新 6.5管理终端安全 6.5.1连接控制 6.5.1.1外联控制配置本项措施包括应对管理终端的远程登录IP地址及MAC地址进行限制 a b)可设置并启用管理终端的外联控制策略,对管理终端未经授权的外联行为进行监测和处置 6.5.1.2移动存储介质接入安全配置设置并启用管理终端的移动存储介质接人安全策略,检验移动存储介质的合法性,并对接人的移动存储介质进行恶意代码扫描 6.5.2系统配置 6.5.2.1操作系统配置本项措施包括: a)操作系统各类账号的口令应由大小写字母、数字及特殊字符组成,普通账号的口令长度不宜短于6个字符,系统管理员账号的口令长度不宜短于8个字符口令生存周期宜设置为不长于180d,限制口令修改频度和使用周期; b 关闭操作系统默认共享,对于必须开启的共享文件夹应明确文件夹的共享权限,并在不再使用 C 时及时关闭关闭操作系统的自动播放功能; dD 设置并启用系统有口令保护的屏幕保护程序,屏幕保护的等待时间不宜长于5min e 设置并启用主机防火墙,根据网站管理需求,设置端口协议等访问控制策略,非授权用户不应 f 远程访问管理终端 6.5.2.2软件安装配置本项措施包括
GB/T31506一2015 a)统一采购正版或合法软件以及相关服务,建立软件资产清单,安装和配置前宜进行安全审核; b)设置并启用软件进程监测策略,对违反策略的行为进行处置; 可对软件的增加、修改、删除等软件变更情况进行审计,审计信息应包括日期、时间,来源、用户、操作及结果等要素,审计数据至少保存90d,并确保数据的保存独立于管理终端 6.5.3系统更新本项措施包括: 可定期进行管理终端软件安全漏洞扫描,及时评估和修补已经发布的软件安全漏洞 a b)在实施关键漏洞的修补前,应从操作系统软件官方网站或其他合法渠道获得补丁程序,并在补丁程序通过安全测试后及时更新 6.6Web应用安全 6.6.1 安全功能设计 6.6.1.1身份鉴别本项措施包括网站对浏览用户可不进行鉴别,对前台注册用户、后台内容管理用户及系统管理用户应采用用户名/口令等身份鉴别机制实现用户身份鉴别,并启用验证码机制各用户口令应由大小写字母、数字及特殊字符组成,前台注册用户的口令长度不宜少于8个字 b 符,后台内容管理用户及系统管理用户的口令长度不宜短于10个字符,且每半年至少修改 -次; 应设置网站用户登录超时重鉴别,连续登录失败尝试次数闯值等措施 6.6.1.2访问控制本项措施包括 a)应提供访问控制功能,授予网站用户为完成各自承担任务所需的最小权限,限制默认角色或用户的访问权限 b应实现系统管理用户、内容编辑用户及内容审核用户等特权用户的权限分离 6.6.1.3安全审计本项措施包括应提供安全审计功能,包括: a 针对前台用户的注册,登录、关键业务操作等行为进行日志记录,内容包括但不限于用户" 姓名、手机号码、注册时间、注册地址、登录时间登录地址、操作用户信息、操作时间、操作内容及操作结果等; 针对后台内容管理用户的登录、网站内容编辑,审核及发布等行为进行日志记录,内容包括但不限于用户登录时间、登录地址以及编辑、审核及发布等行为发生时的用户信息、时间、地址、内容和结果等; 针对系统管理用户的登录、账号及权限管理等系统管理操作进行日志记录,内容包括但不限于网站用户登录时间、登录地址以及管理操作对象、操作内容、操作结果等 b)宜设置日志文件的大小及达到阂值的操作方式; 应对安全审计记录及审计策略设置必要的访问控制以避免未授权的删除、修改或覆盖等; d 审计记录应独立保存,保存时间不少于90d.
GB/I31506一2015 6.6.1.4资源管控本项措施包括: 应根据网站访问需求限制最大并发会话连接数; a b 如用户在一段时间内未作任何操作,网站应自动结束当前会话 6.6.2源代码安全本项措施包括: 在网站需求设计阶段,应制定源代码安全编写规范,约束特定语言相关的编程规则,并对应用程序代码存在的常见安全缺陷提出规范要求,包括但不限于表3所示编码安全要求 b在网站开发阶段,应遵循制定的源代码安全编写规范,并在网站投人使用前委托第三方专业机构对网站应用程序源代码进行全面的安全审查表3政府门户网站编码安全要求示例基本级类别具体措施集中验证所有的输人信息,用户输人的数据不应被直接用到程序的逻辑中;在程序中清晰界定输人输出处理规范可信和不可信数据的边界,当数据要从不可信的区域进人可信区域时需使用验证逻辑进行判断校验来自客户端的任何数据,并在服务器端进行安全验证;传输敏感信息时,采用加密措施" web技术规范构造通用的错误提示信息,限制用户短时间内重复访问的次数文件系统规范限制应用程序文件及临时文件的访问权限;对来自文件系统的所有值进行合适的输人验证网络系统规范网络的任何数据进行校验,确保数据包的大小和内容与预期要求相符对来自正确的使用参数化的结构化查询语句,数据不应指向改变的方法;对来自数据库的数据进行数据库规范验证,确保其格式正确且能够安全的使用根据操作的重要程度划分日志等级,保证日志记录的一致性;日志文件应独立保存于应用程日志处理规范序目录外,使用严格的访问权限控制日志文件使用经过国家有关部门批准的、符合相关国家政策与标准的密码算法;无用私密信息的存活密码技术规范时间宜尽量缩短;尽量少的共享私密信息,不应在客户端长期保存秘密信息鉴别信息在网络中加密传输,不应在源代码中明文存储和显示;谨慎给出认证反馈信息,限制认证技术规范个账号连续失败登录的次数并有相应的处理措随等使用统一的口令策略,使用安全的方法存储和传输口令;不应在源代码中存储口令;在注册登口 1令管理规范录时启用验证码机制随机数规范使用一种生成代价小并满足安全需求的随机数生成方法来生成应用程序需要的随机数 6.6.3系统更新本项措施包括 a)应定期针对应用程序或代码,web应用服务器(如IIs,Apache等),FTP等网络应用程序进行漏洞扫描,及时修补存在的安全漏洞 b)当应用程序的版本需要变更时,应经过验证、审核及批准,并保存相应记录 10o
GB/I31506一2015 6.7域名安全 6.7.1域名注册管理本项措施包括应选择主管部门批准的域名注册服务机构进行域名注册和域名托管,并进行域名信息报备 a b)应遵循国家有关监督审批流程开展域名变更,解析地址变更等工作; e)应使用“.gov.cen”、“.政务.cn”或“.政务”等域名 6.7.2域名信息管理本项措施包括应指定专人对域名信息进行管理,妥善保存域名系统或第三方域名托管平台的用户名及口令 a 信息,口令应由大小写字母、数字及特殊字符组成,长度不宜短于8个字符,且每半年至少修改次; b)应规范域名信息的变更管理,当域名信息需要变化时,应经审核批准后,由指定专人负责实施并及时记录 6.7.3域名系统安全本项措施包括 a)采用安全的操作系统平台和域名解析软件,并关注软件商发布的最新安全漏洞,定期升级软件系统; b不应以超级管理员身份运行域名解析服务; 应确保域名解析服务的独立性,运行域名解析服务的服务器上不应同时开启其他端口的服务 d) 修改域名服务器的相关配置文件,隐藏域名解析服务软件的版本信息和服务器信息; 限制区域传输,依据安全策略限制在不同域名解析服务器之间的数据同步; e f 应关闭递归查询功能,避免因向外部的域名服务器发送查询请求而遭受地址欺骗攻击; g应关闭线索查找功能,避免因此引发的欺骗攻击; h)提供域名服务的安全审计功能,并定期分析和备份DNs服务日志 6.8内容发布及数据安全 6.8.1 内容发布安全本项措施包括政务门户网站内容管理模块应提供内容审核功能,并提供网站内容编辑与审核发布权限分离 a 的功能; b)政务门户网站应仅面向经身份验证的注册用户提供信息发布功能，且提供信息经审核人员审核后才能发布的功能选项 6.8.2数据安全 6.8.2.1网页防篡改根据网站规模和信息发布方式选择相应的网页防篡改产品,至少对网站关键的静态页面(首页)和动态页面进行监控和保护 6.8.2.2数据加密本项措施包括 11
GB/I31506一2015 针对掌握公民、法人及其他组织的个人信息及隐私的政府门户网站系统,个人信息及隐私信息在远程传输过程中宜采用加密措施进行保护 b)政府门户网站系统的各类用户鉴别信息、关键配置参数、重要业务数据等敏感信息(文件),在远程传输及本地存储过程中宜采用加密措施进行保护; 政府门户网站系统与其他业务系统进行数据交互时,宜限定数据交互的格式,并采用密码技术保证传输数据的机密性和完整性 6.8.2.3备份恢复针对政府门户网站系统的应用程序、系统数据(用户信息、发布信息等),配置数据(网站应用操作系统、数据库及网络、安全设备的配置信息等)及审计日志等宜定期进行备份,至少每周进行一次完全备份,并至少6个月实施一次备份恢复演练 6.9攻击防范 6.9.1恶意代码防范本项措施包括 a)在网络边界、服务器、管理终端等处应采取恶意代码防范措施,实行统一有效的恶意代码防范软件机制,并及时更新恶意代码防范软件版本和恶意代码特征库,对恶意代码进行实时检测和清除; 将安装于服务器及管理终端的恶意代码防范软件设置为开机自动启动,定期对所有本地存储介质进行安全扫描,及时对接人介质及其文件进行安全扫描; 宜对恶意代码防范软件的运行状态进行监测,并对关闭进程或修改配置的行为进行监测 6.9.2入侵防范本项措施包括: 可针对信息系统中的安全事件进行实时监控,监测和阻断端口扫描、强力攻击、木马后门攻击 a 拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,并监测和阻断目录遍历攻击等web服务器漏洞攻击行为以及sQL注人、跨站脚本攻击等网站自身漏洞攻击行为在特定的时间、地点、事件环境条件下,可通过加强物理安全、人员意识教育和培训完善安全 b 策略、事件响应计划等措施防御社会工程类攻击行为 6.10安全监控与应急响应 6.10.1网站状态监控本项措施包括 a)应利用网站状态监控系统或人工监控的方式,实时监测政府门户网站的运行状态,对网站异常状况进行实时报警和处置网站页面监测深度宜不少于主页访问路径下的第2层，应利用网络管理系统或人工监控的方式,实时监测重要服务器和数据库系统的运行状态及 CPU、内存、硬盘等资源的使用情况,并对异常情况进行报警和处置应定期对网站应用程序,操作系统及数据库、管理终端进行全面扫描,根据扫描结果判断网站存在的安全风险,及时调整监测策略 6.10.2网站挂马监控应利用木马监控系统或第三方安全服务等方式及时发现并处置网站挂马事件 12
GB/T31506一2015 6.10.3网站内容篡改监控应利用网页防篡改系统、人工自检或第三方安全服务等方式及时发现网站篡改事件并迅速处理 6.10.4应急响应本项措施包括: 政府单位可根据其门户网站系统的具体特点,并按照《国家突发公共事件总体应急预案X国家网络与信息安全事件应急预案》等文件要求,制定应急响应预案应急响应预案应包含总则、角色及职责,预防和预警机制、响应分级、处置流程及保障措施等内容应综合分析各类安全事件可能造成的影响,破坏程度和恢复周期等多方面因素,有针对性地制定、维护网站不同事件的应急预案,每两年至少开展各类典型安全事件的应急演练一次; 可建立应急值班制度,工作时间内安排专人8h值班 8h工作时间以外,安排专人通过电话、邮件等方式进行监控遇到重大节日或敏感时期,应安排24h值班,并定期进行信息报送信息安全事件发生时,应按照应急预案的要求及时组织应急处置并记录增强级安全技术措施 7.1 运行支撑 7.1.1运行模式本项措施包括政府门户网站系统宜采用自建自管模式建设运行,也可选择由政府集中建设的数据中心以主 a 机托管或虚拟主机的方式建设运行; b)政府门户网站系统如采用主机托管或虚拟主机方式建设运行,应优先选择由当地政府集中建设的数据中心如采用主机托管或主机租用模式,应选择在物理安全、网络安全、主机安全等方面符合本标准基本级要求或GB/T22239中第三级基本要求的数据中心; 政府门户网站系统采用主机托管或虚拟主机方式运行时,网站系统的主管单位应明确本单位和数据中心双方的安全责任边界,建立对网站系统运行环境、安全技术措施运行情况的监督机制 7.1.2网站部署本项措施包括: 政府门户网站的web应用程序应部署在独立的物理服务器或虚拟服务器上; b)同一政府门户网站系统的web应用程序与数据库系统应部署在不同的物理服务器或虚拟服务器上; 政府门户网站系统采用虚拟主机方式运行时,不应与非政务信息系统共用物理服务器; c d政府门户网站系统的数据库应与其他数据库分开部署,对于共用数据库管理系统的,应通过设置数据库管理系统的身份鉴别、权限控制功能等方式,实现网站系统的数据库与其他应用的数据库系统之间的安全隔离 7.1.3边界确定本项措施包括: 明确政府门户网站系统与互联网等网络之间的访问需求,以确定网络边界; a 13
GB/I31506一2015 b明确政府门户网站系统与其他业务系统之间的访问需求,以确定安全域边界，若政府门户网站系统与其他业务系统存在数据交互,明确数据交互发生的业务边界(如发生交互的功能模块),并明确交互数据的性质和类型 7.1.4资源保障 7.1.4.1性能保障本项措施包括: 应分析政府门户网站系统的性能需求,从网络带宽、负载均衡、服务器的处理能力、应用程序的 a 并发处理能力等方面对网站性能予以保障; b)政府门户网站系统对外提供服务的互联网独享带宽不宜低于5Mbit/s;共享带宽条件下,网站互联网出口HTTP协议带宽不宜低于5Mbit/s; 若政府门户网站系统访问量较大或提供在线视频等服务,可以依据网站的日均页面访问屋次)及业务高峰期包括日高峰及高峰日)访问量酌情调整出口带宽对于业务量较大,单台服务器难以支撑的政府门户网站系统,可采用部署负载均衡设备、分布式部署等方式实现链路和主机层面的负载均衡,链路层面至少应实现多条互联网接入链路之间的负载均衡,主机层面至少应实现多应用服务器之间、多数据库服务器之间的负载均衡 7.1.4.2链路和设备冗余部署本项措施包括 a)应至少部署2条由不同互联网接入服务商提供的互联网接入链路 b)应为支撑政府门户网站系统运转的关键设备提供硬件冗余措施,关键设备包括但不限于出口路由器、核心交换机、应用及数据库服务器等 7.1.4.3电力保障应采取双路市电供电,并采用配备UPs等措施为系统提供短期备用电力,对于业务连续性要求更高的政府门户网站系统,可采用备用发电机等供电措施 7.2物理安全 7.2.1物理位置选择不应使用境外机构提供的或位于境外的物理服务器或虚拟主机 7.2.2物理环境控制本项措施包括 a)政府门户网站系统关键设备所在机柜柜门应上锁 b 机房等重要区域应配置电子门禁系统,以便控制、鉴别和记录人员出人; e需要进人机房对政府门户网站系统进行操作时,应由网站安全责任人或其指定的专人陪同; d)机房场地在防火、防水、防震、防盗、防尘、防静电、防雷、防电磁、监控、温湿度控制电磁屏蔽等方面应符合GB/T22239一2008中第三级基本要求的物理安全要求机房场地安全要求可参考GB/T50174一2008,GB/T2887一2011等国家标准中的相应要求 7.2.3传输线路保护本项措施包括 14
GB/T31506一2015 应采用有效方法防范对信息传输线路的物理接触,如;将通信线缆铺设在地下或管道内等隐蔽处,以防止传输过程中的数据篡改、干扰以及对线缆的物理破坏 b电源线和通信线缆宜隔离铺设,避免互相干扰 7.3边界安全 7.3.1互联网边界安全 7.3.1.1边界隔离方式应在政府门户网站系统与互联网的网络边界处部署防火墙等边界隔离设备,并配置合理的边界访问控制策略,实现网站系统与互联网之间的逻辑隔离 7.3.1.2边界防护策略本项措施包括 a) 互联网边界隔离设备的默认过滤策略应设置为禁止任意访问 )应仅允许互联网用户及单位内部普通用户终躺切同网站服务器提供的HrP服务等指定的服务和端口应限制政府门户网站系统中的服务器主动访问互联网; 应仅允许指定的IP地址访问网站服务器提供的内容管理、系统管理等指定的服务和端口; 应限制政府门户网站系统中的服务器主动访问单位内部网络.仅允许访问单位内部网络提供的指定交互业务、补丁更新、病毒库升级等服务; 在会话处于非活跃状态5min后或会话结束后宜终止网络连接应限制边界隔离设备的远程管理方式若需要采用远程管理方式时,宜采用sSSs等加密方式进行设备的远程管理,并适当增加边界隔离设备系统管理员账号鉴别口令的强度和更新频率，或采用数字证书等高强度鉴别方式 7.3.1.3地址绑定及转换本项糟能包 a)应对重要服务器采取IP地址/MAC地址绑定措施,以防范地址欺骗; b网站相关服务器应使用私有IP地址,通过边界防火墙或路由器实现私有IP地址与互联网IP 地址之间的地址转换 7.3.2安全域边界安全 7.3.2.1边界隔离方式应采用在交换设备上划分VLAN或部署安全域边界防火墙等方式实现政府门户网站系统所在安全域与其他业务系统所在安全域之间的逻辑隔离 7.3.2.2边界防护策略本项措施包括 a)安全域逻辑隔离设备的默认过滤策略应设置为禁止任意访问 b 明确各安全域之间的实际访问需求,合理配置相应的安全域边界过滤策略 7.3.3业务边界安全应建立网站应用程序与其他业务系统交互的数据列表,规范交互数据的内容及格式 15
GB/I31506一2015 b宜采用身份鉴别访问控制、加密传输及加密存储等安全措施确保业务数据交互过程的安全性 7.4服务器安全 7.4.1系统选用可选择安全操作系统或根据网站系统性能,可用性、安全要求等需求对操作系统进行定制(包括;内核、服务、应用、端口等),或借助第三方机构对操作系统和数据库系统进行安全加固 7.4.2系统设置 7.4.2.1最小化安装操作系统和数据库系统宜遵循最小安装原则,仅安装应用必需的服务、组件、软件等 7.4.2.2身份鉴别本项措施包括: a)可采用用户名/口令等鉴别机制实现服务器操作系统及数据库系统的身份鉴别; 口令应由大小写字母、数字及特殊字符组成普通用户的口令长度不宜短于10个字符,系统 b 管理员用户的口令长度不宜短于12个字符,且每三个月至少修改一次应采取措施防范口令暴力破解攻击,宜设置登录延时、限制最大失败登录次数、锁定账号等措施 7.4.2.3访问控制本项措施包括 a)针对服务器操作系统及数据库系统宜设置必要的访问控制,为不同用户授予其完成各自承担任务所需的最小权限,并在不同用户之间形成权限相互制约关系,限制超级管理员等默认角色或用户的访问权限; 及时清除操作系统及数据库系统的无用账号,默认账号,不应出现多人共用同一个系统账号的 b 情况应限制web服务器、数据库服务器等重要服务器的远程管理，服务器操作系统及数据库系统需要远程进行管理时,宜采用SSH等安全方式进行,并对远程 d 管理的系统管理员采用数字证书等高强度鉴别方式宜开启业务所需的最少服务及端口 7.4.2.4安全审计本项措施包括应实现服务器操作系统及数据库系统的安全审计,对系统远程管理、账号登录、策略更改,对象访问服务访问、系统事件,账户管理等行为及www,FTP等重要服务访问进行审计,并设置审计日志文件大小的阔值以及达到阔值的处理方式覆写、自动转存等) 指定独立的安全审计员负责管理审计日志,针对安全审计记录及审计策略设置必要的访问控 b 制以避免未授权的删除、修改或覆盖等，审计记录应保存于专用的日志服务器上,保存时间不宜少于180d 7.4.3系统更新本项措施包括 16
GB/T31506一2015 a)应统一采购、部署正版软件以及相关服务,并定期开展系统漏洞扫描工作; b)应通过操作系统软件,数据系统软件官方网站或其他合法渠道获得补丁程序,并在补丁程序通过安全测试后,利用升级服务器统一,及时实行系统补丁更新和版本升级 7.5管理终端安全 7.5.1连接控制 7.5.1.1连接控制策略本项措施包括 a)应采取技术措施对接入的内容管理终端及网站主机和网络管理终端应进行身份认证,身份认证通过后方可接入和使用网络资源 b应采取技术措施自动对接入的管理终端实行安全状态检查,对未通过安全状态检查的管理终端需经修复后方可接入在关键网络设备上绑定接入管理终端的NMIAC地址,提高针对ARP欺骗类网络攻击的防范能力; D 管理终端不座以无线方式接入办公网及网站系统所在安全域 7.5.1.2外联控制配置本项措施包括 a)应对管理终端的远程登录IP地址及MAC地址进行限制设置并启用管理终端的外联控制策略,对管理终端未经授权的外联行为进行监测和处置; b 设置并启用管理终端外联控制策略,未经授权不应通过任何形式连接外部网络,不应使用USB 接口为手机等外部设备充电,并对管理终端未经授权的外联行为进行监测和处置 7.5.1.3移动存储介质接入安全配置设置并启用管理终端的移动存储介质接人安全策略,检验移动存储介质的合法性,并对接人的移动存储介质进行恶意代码扫描 7.5.2系统配置 7.5.2.1操作系统配置本项措施包括操作系统各类账号的口令宜由大小写字母,数字及特殊字符组成,普通账号的口令长度不宜短 a 于8个字符,系统管理员账号的口令长度不宜短于10个字符; b)口令生存周期策略宜设置为不长于90d,限制口令修改频度和使用周期应关闭操作系统默认共享,对于必须开启的共享文件夹应明确文件夹的共享权限,并在不再使用时及时关闭 d应关闭系统的自动播放功能; 应设置并启用系统有口令保护的屏幕保护程序,屏幕保护的等待时间不长于5min; e) f 可设置并启用主机防火墙,根据网站管理需求,设置端口,协议等访问控制策略,非授权用户不应远程访问管理终端 7.5.2.2软件安装配置本项措施包括 17
GB/I31506一2015 a)统一采购正版或合法软件以及相关服务,建立软件资产清单,安装和配置前宜进行安全审核; b)设置并启用软件进程监测策略,对违反策略的行为进行处置; 可对软件的增加、修改、删除等软件变更情况进行审计,审计信息应包括日期、时间,来源、用户,操作及结果等要素,审计数据至少保存60d,并确保数据的保存独立于管理终端 7.5.3系统更新本项措施包括: 应定期对管理终端软件进行安全漏洞扫描,及时评估和修补已经发布的软件安全漏洞 a b)应设置升级服务器对软件安全漏洞进行集中管理,在实施关键漏洞的修补前,宜通过升级服务器从操作系统软件官方网站或其他合法渠道获得补丁程序,在通过安全测试后集中修补 7.6Web应用安全 7.6.1 安全功能设计 7.6.1.1身份鉴别本项措施包括网站对浏览用户可不进行鉴别,对前台注册用户、后台内容管理用户及系统管理用户等不同类型的用户宜设置不同强度的鉴别机制 b)前台注册用户应至少采用用户名/口令机制进行身份鉴别并启用验证码机制,口令应由大小写字母、数字及特殊字符组成,口令长度不宜少于10个字符,且每三个月至少更新一次; 选择高强度认证方式的前台注册用户,后台内容管理用户及系统管理用户宜采用两种或两种以上组合的鉴别技术实现用户身份鉴别(动态口令、生物认证、数字证书等),口令长度不宜少于 12个字符,且每三个月至少修改一次应针对各类网站用户启用登录超时重鉴别、连续登录失败尝试次数闵值等措施 D 7.6.1.2访问控制本项措施包括 a)应提供访问控制功能,授予网站用户为完成各自承担任务所需的最小权限,限制默认角色或用户的访问权限 b应实现系统管理用户、内容编辑用户、内容审核用户等特权用户的权限分离 7.6.1.3安全审计本项措施包括应提供安全审计功能,包括: a 针对前台用户的注册,登录,关健业务操作等行为进行日志记录,内容包括但不限于用户姓名手机号码、注册时间、注册地址、登录时间、登录地址、操作用户信息、操作时间、操作内容及操作结果等; 针对后台内容管理用户的登录、网站内容编辑、审核及发布等行为进行日志记录,内容包括但不限于用户登录时间、登录地址以及编辑,审核及发布等行为发生时的用户信息、时间,地址、内容和结果等; 针对系统管理用户的登录、账号及权限管理等系统管理操作进行日志记录,内容包括但不限于网站用户登录时间、登录地址以及管理操作对象、操作内容,操作结果等 b宜定期监测安全审计日志记录,针对关键业务操作应进行实时监测和处置; 18
GB/T31506一2015 应指定独立的安全审计员负责管理审计日志,并设置日志文件的大小以及达到闵值的操作方式; d针对安全审计记录及审计策略宜设置必要的访问控制,避免未授权的删除、修改或覆盖等; 审计记录应保存于专用的日志服务器上,保存时间不少于180d. e 7.6.1.4资源管控本项措施包括: 应根据网站访问需求限制最大并发会话连接数 a b如用户在一段时间内未作任何操作,网站应自动结束当前会话 7.6.2源代码安全本项措施包括 a)源代码安全应贯穿网站系统的整个生命周期 b在网站需求设计阶段,可制定源代码安全编写规范,约束特定语言相关的编程规则,并对应用程序代码存在的常见安全缺陷提出规范要求,包括但不限于表4所述编码安全要求在网站开发阶段应遵循制定的源代码安全编写规范,在单元测试期间和开发完成后可实施代码安全性测试,并在网站投人使用前委托第三方专业机构对网站应用程序源代码进行全面的安全审查在网站运行阶段,定期对网站进行渗透性测试,并在网站程序更新后及时进行源代码安全检查在网站废弃阶段,应彻底删除程序源代码,避免代码遭到非授权访问表4政府门户网站编码要求示例(增强级类别具体措施集中验证所有的输人信息,用户输人的数据不应被直接用到程序的逻辑中;在程序中清晰界定输人输出处理规范可信和不可信数据的边界,当数据要从不可信的区域进人可信区域时需使用验证逻辑进行判断校验来自客户端的任何数据,并在服务器端进行安全验证;传输敏感信息时,采用加密措施 web技术规范构造通用的错误提示信息,限制用户短时间内重复访问的次数文件系统规范限制应用程序文件及临时文件的访问权限;对来自文件系统的所有值进行合适的输人验证对来自网络的任何数据进行校验,确保数据包的大小和内容与预期要求相符网络系统规范正确的使用参数化的结构化查询语句,数据不应指向改变的方法;对来自数据库的数据进行数据库规范验证,确保其格式正确且能够安全的使用根据操作的重要程度划分日志等级,保证日志记录的一致性;日志文件应独立保存,使用严格日志处理规范的访问权限控制日志文件使用经过国家有关部门批准的.符合相关国家政策与标准的密码算法;无用私密信息的存活密码技术规范时间宜尽量缩短;尽量少的共享私密信息,不应在客户端长期保存秘密信息使用动态口令,生物认证及数字证书等较强的强身份鉴别方式;鉴别信息在网络中加密传输不应在源代码中明文存储和显示;谨慎给出认证反馈信息,限制一个账号连续失败登录的次认证技术规范数并有相应的处理措施等使用统一的口令策略,使用安全的方法存储和传输口令;不应在源代码中存储口令;在注册登口令管理规范录时使用验证码机制随机数规范使用一种生成代价小并满足安全需求的随机数生成方法来生成应用程序需要的随机数 19
GB/I31506一2015 7.6.3系统更新本项措施包括: 应定期针对应用程序或代码、web应用服务器(如IIS,Apache等)、FTP等网络应用程序进行 a 漏洞扫描,及时修补存在的安全漏洞; 当应用程序的版本需要变更时宜经过审核批准,并保存相应记录 b 7.7 域名安全 7.7.1域名注册管理本项措施包括 a)应选择主管部门批准的域名注册服务机构进行域名注册和域名托管,并进行域名信息报备; b)应遵循国家有关监督审批流程开展域名变更、解析地址变更等工作; 应使用“,gow.cn”“,政务.cen"或"“,政务”等域名 7.7.2域名信息管理本项措施包括宜指定专人对域名信息进行管理,妥善保存域名系统或第三方域名托管平台的用户名及口令 a 信息,口令应由大小写字母、数字及特殊字符组成,长度不宜短于10个字符,且每三个月至少修改一次应规范域名信息的变更管理,当域名信息需要变化时,经审核批准后,由指定专人负责实施并及时记录 7.7.3域名系统安全 7.7.3.1域名系统安全配置本项措施包括: a)应至少启用一台辅助域名服务器实现域名服务的冗余备份; b)不应以超级管理员身份运行域名解析服务; 应关闭递归查询功能,避免因向外部的DNs发送查询请求遭受地址欺骗攻击;关闭线索查找功能,避免因此引发的欺骗攻击; 应确保域名解析服务的独立性,运行域名解析服务的服务器上不应同时开启其他端口的服务采用安全的操作系统平台和域名解析软件,并关注软件商发布的最新安全漏洞,定期升级软件 o 系统; 修改域名服务器的相关配置文件,隐藏域名解析服务软件的版本信息和服务器信息限制区域传输,根据安全策略限制在不同域名解析服务器之间的数据同步,针对域名解析服务器之间必要的数据同步应采用加密通道的方式实现; 提供域名服务的安全审计功能,定期分析和备份DNS服务日志 7.7.3.2域名系统安全监控可对域名解析的正确性、域名服务器边界网络设备的流量及数据包进行监控,以发现可能的恶意攻击 20
GB/I31506一2015 7.8内容发布及数据安全 7.8.1 内容发布安全本项措施包括 a)政府门户网站内容管理模块应提供内容审核功能,并提供网站内容编辑与审核发布权限分离的功能; b政府门户网站应仅面向经身份验证的注册用户提供信息发布功能,且提供信息经审核人员审核后才能发布的功能选项可提供技术手段辅助进行网站发布内容的过滤 7.8.2数据安全 7.8.2.1网页防篡改可根据网站规模和信息发布方式选择相应的网页防篡改产品,对网站所有静态页面和动态页面进行监控和保护 7.8.2.2数据传输加密本项措施包括 a)针对掌握公民、法人及其他组织的个人信息及隐私的政府门户网站系统,个人信息及隐私信息在远程传输过程中应采用加密措施进行保护网站的各类用户鉴别信息、关键配置参数,重要业务数据等敏感信息(文件),在远程传输过程中应采用加密措施进行保护; 政府门户网站系统与其他业务系统进行数据交互时,宜限定数据交互的格式,并采用密码技术保证传输数据的保密性和完整性 7.8.2.3数据存储加密本项措施包括针对掌握公民,法人及其他组织的个人信息及隐私的政府门户网站系统,个人信息及隐私在本地存储介质和数据库中应加密存储; b)政府门户网站系统的各类用户鉴别信息在本地存储介质和数据库中应加密存储 7.8.2.4抗抵赖系统可提供基于审计日志电子签章等技术的抗抵赖功能,产生和储存对发送信息和接收到信息的相关证据 7.8.2.5 备份恢复本项措施包括针对政府门户网站系统的应用程序,系统数据(用户信息、,发布信息等),配置数据(网站应用 a 操作系统.数招库及网络,发全设备的配饿信息等)及市计日志等官定期进行备份,至少每周进行一次完全备份,并至少3个月实随一次备份恢复演练" 针对内容发布、在线办事等网站关键业务的重要数据、个人信息及隐私信息,可采取异地数据 b 备份措施.将关键数据定时批量传送至备用场地 21
GB/I31506一2015 7.9攻击防范 7.9.1恶意代码防范本项措施包括应在网络边界服务器,管理终端等处采取恶意代码防范措施,实行统一有效的恶意代码防范软件机制,并及时更新恶意代码防范软件版本和恶意代码特征库,对恶意代码进行实时检测和清除; b)将安装于服务器及管理终端的恶意代码防范软件设置为开机自动启动,定期对所有本地存储介质进行安全扫描,及时对接人介质及其文件进行安全扫描应对恶意代码防范软件的运行状态进行监测,并对关闭进程或修改配置的行为进行监测 7.9.2入侵防范本项措施包插" 应针对信息系统中的安全事件进行实时监控，监测和阻断端口扫描,强力攻击、木马后门攻击 a 拒绝服务攻击、缓冲区溢出攻击、,IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,并监测和阻断目录遍历攻击等web服务器漏洞攻击行为以及sQL注人、跨站脚本攻击等网站自身漏洞攻击行为 b)在特定的时间,地点,事件环境条件下,可加强物理安全,人员意识教育和培训以及制定安全策略、事件响应计划等控制措施防御社会工程攻击行为 7.10安全监控与应急响应 7.10.1网站状态监控本项措施包括可利用网站状态监控系统或人工方式,实时监测政府门户网站的运行状态,对网站异常状况进行实时报警和处置网站页面监测深度不宜少于主页访问路径下的第2层; 应利用网络管理系统或人工监控的方式,实时监测重要服务器和数据库系统的运行状态及 b CPU,内存,硬盘等资源的使用情况,并对异常情况进行报警和处置应定期对网站应用程序、操作系统及数据库、管理终端进行全面扫描,根据扫描结果判断网站存在的安全风险,及时调整监测策略 7.10.2网站挂马监控应利用木马监控系统或第三方安全服务等方式对网站挂马情况进行实时监测和处置 7.10.3网站内容篡改监控应利用网页防篡改系统并综合采用人工自检方式或第三方安全服务等方式,对网站内容篡改情况进行实时监测和处置 7.10.4应急响应本项措施包括: 政府单位可根据其门户网站系统具体特点,并按照《国家突发公共事件总体应急预案X国家网络与信息安全事件应急预案》等文件要求,制定应急响应预案应急响应预案应包含总则,角色及职责、预防和预警机制、响应分级、处置流程及保障措施等内容; 心
GB/T31506一2015 可综合分析各类安全事件可能造成的影响,破坏程度和恢复周期等多方面因素,有针对性地制定、维护不同事件应急预案,每年至少开展各类典型安全事件的应急演练一次; 可建立应急值班制度,工作时间内安排专人8h值班;8h工作时间外,安排专人通过电话、邮件等方式进行监控遇到重大节日或敏感时期,应安排24h值班,并定期进行信息报送信息安全事件发生时,应按照应急预案的要求及时组织应急处置并记录 23
GB/I31506一2015 附录A 规范性附录高级安全技术措施 A.1物理安全本项措施包括 a)机房出入口及重要区域宜配置电子门禁系统,以便控制、鉴别和记录人员出人:; b 重要区域的活动行为宜进行实时监视和记录 c 关键区域应避免外部人员访问 A.2服务器安全本项措施包括 a 针对服务器操作系统及数据库系统宜采用两种或两种以上组合的鉴别技术实现用户身份鉴别动态口令,数字证书等); b)针对服务器操作系统及数据库系统宜进行集中审计,确保系统时钟与时钟服务器保持同步 A.3接入控制不应使用便携式或移动式设备作为政府门户网站系统的内容管理终端 A.4web应用安全本项措施包括应用系统宜避免默认角色或用户的访问权限; a b应用系统应提供集中安全审计功能,确保系统时钟与时钟服务器保持同步 A.5数据安全本项糟能包 a)针对重要通信过程应采用基于硬件化的设备实现加解密运算和密钥管理 b针对网站的应用程序、系统数据(用户信息、发布信息等)及配置数据(网站应,操作系统、数据库及网络、安全设备的配置信息等)等应进行定期备份及恢复,至少每周进行一次完全备份,并至少3个月实施一次备份恢复演练; 针对内容发布、在线办事等网站业务关键数据、个人信息及隐私信息,可提供异地实时数据备份功能,将关键数据实时传送至备用场地根据网站的备份技术要求,制定相应的灾难恢复计划,并对计划进行测试,测试内容包括运行系统恢复、人员协调、通信连接等;并根据测试结果,对不适用的规定进行修改或更新 24
GB/T31506一2015 A.6攻击防范应对信息系统中的安全事件进行实时监控,监测和自动阻断端口扫描,强力攻击,木马后门攻击、拒绝服务攻击、缓冲区溢出攻击,IP碎片攻击和网络蠕虫攻击等常见的网络攻击行为,并监测和自动阻断目录遍历攻击等web服务器漏洞攻击行为以及sQL注人,跨站脚本攻击等网站自身漏洞攻击行为 A.7应急响应应急预案应随着网站的变更进行重新评估、修订和完善

信息安全技术政府门户网站系统安全技术指南GB/T31506-2015

随着信息技术的迅猛发展，政府门户网站已经成为政务公开、政民互动、服务公众的重要窗口，也成为各类黑客攻击的主要目标。因此，保障政府门户网站的信息安全至关重要。

信息安全技术在政府门户网站中的应用

政府门户网站需要采取一系列措施来保障信息安全，例如：

网络拓扑设计：通过科学的网络拓扑结构，限制内外网之间的数据流动，防止非法入侵和信息泄露。
身份认证与访问控制：采用合适的身份认证方式，保证用户身份合法性；对不同级别的用户实施访问控制，防止信息泄露。
数据加密：对重要的数据进行加密处理，保证数据传输和存储的安全性。
漏洞管理与安全审计：及时发现和修补系统漏洞，对网站进行安全审计，提高系统安全性。

GB/T31506-2015 系统安全技术指南

GB/T31506-2015是国家标准化管理委员会发布的《信息技术系统安全技术指南》中的一个重要分支标准，主要适用于政府门户网站、电子政务、电子商务等信息系统的安全建设和维护。该标准包括以下内容：

系统安全设计：包括系统安全需求、安全设计原则、安全设计方案等。
身份认证：包括用户身份认证技术、身份管理等。
访问控制：包括权限控制、访问控制策略、资源访问控制等。
数据保护与加密：包括数据备份与恢复、加密算法、数字证书等。
安全审计与监控：包括日志管理、安全审计、事件响应等。

GB/T31506-2015为政府门户网站的信息安全提供了科学、规范的技术指南，对于政府门户网站的信息安全工作具有重要的指导意义。

结论

保障政府门户网站的信息安全是一项长期而复杂的任务，需要从技术、管理等多个方面来实现。而GB/T31506-2015则为政府门户网站的信息安全建设提供了科学、规范的技术指南，有助于促进政府门户网站的信息安全水平不断提高。