信息安全等级保护检测项及测试方法总结
本文档依据 GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》及 GB/T 28448-2012《信息安全技术 信息系统安全等级保护测评要求》，系统梳理了三级信息系统等级保护的全部检测项（控制点）及其测试方法。
总体说明
等级保护三级测评共涵盖10个安全类，分为技术安全（5类）和管理安全（5类）。
测评方法包括：访谈(I)、文档审查(D)、配置检查(C)、工具测试(T)、实地察看(V)。
| 安全类 |
类型 |
控制点数量（三级） |
主要测评方法 |
| 物理安全 |
技术安全 |
10个控制点 |
实地察看(V)、文档审查(D)、访谈(I) |
| 网络安全 |
技术安全 |
7个控制点 |
配置检查(C)、工具测试(T)、访谈(I) |
| 主机安全 |
技术安全 |
7个控制点 |
配置检查(C)、工具测试(T) |
| 应用安全 |
技术安全 |
8个控制点 |
配置检查(C)、工具测试(T)、访谈(I) |
| 数据安全及备份恢复 |
技术安全 |
3个控制点 |
配置检查(C)、文档审查(D) |
| 安全管理制度 |
管理安全 |
3个控制点 |
文档审查(D)、访谈(I) |
| 安全管理机构 |
管理安全 |
5个控制点 |
访谈(I)、文档审查(D) |
| 人员安全管理 |
管理安全 |
5个控制点 |
访谈(I)、文档审查(D) |
| 系统建设管理 |
管理安全 |
11个控制点 |
文档审查(D)、访谈(I) |
| 系统运维管理 |
管理安全 |
13个控制点 |
文档审查(D)、访谈(I)、配置检查(C) |
第一部分：物理安全
测评对象：数据中心机房、网络机房等物理环境。主要测评方法：实地察看、文档审查、访谈。
1.1 物理位置的选择（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内 |
V: 实地察看机房所在建筑，检查建筑结构是否具备防震、防风和防雨能力 |
G3 |
| b) |
机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁 |
V: 查看机房所在楼层位置，确认是否避开高层、地下室及用水设备下层/隔壁 |
G3 |
1.2 物理访问控制（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
机房出入口应安排专人值守，控制、鉴别和记录进入的人员 |
V: 检查机房出入口值守情况，查看值守记录 / I: 访谈机房管理员值守制度 |
G3 |
| b) |
需进入机房的外来访人员应经过申请和审批流程，并限制和监控其活动范围 |
D: 检查外来人员审批流程文件、审批记录 / V: 查看是否有监控覆盖 |
G3 |
| c) |
应对机房划分区域进行管理，区域和区域之间设置物理隔离装置 |
V: 查看机房区域划分，检查区域间是否有物理隔离措施 |
G3 |
1.3 防盗窃和防破坏（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应将主要设备放置在机房内 |
V: 查看主要网络设备、服务器是否放置在机房内 |
G3 |
| b) |
应将设备或主要部件进行固定，并设置明显的不易除去的标记 |
V: 检查设备是否固定，是否贴有资产标签/标记 |
G3 |
| c) |
应将通信线缆铺设在隐蔽处，可铺设在地下或管道中 |
V: 检查通信线缆铺设方式 |
G3 |
| d) |
应设置机房防盗报警系统或视频监控系统 |
V: 检查是否安装防盗报警系统或视频监控系统 / D: 检查系统运行记录 |
G3 |
| e) |
应对机房设置监控报警系统 |
V: 检查机房是否部署监控报警系统 / D: 检查监控记录 |
G3 |
1.4 防雷击（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
机房建筑应设置避雷装置 |
V: 检查机房建筑是否安装避雷装置 / D: 检查防雷检测报告 |
G3 |
| b) |
应设置防雷保安器，防止感应雷 |
V: 检查是否安装防雷保安器 / D: 检查设备清单及安装记录 |
G3 |
1.5 防火（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火 |
V: 检查火灾自动消防系统安装情况 / D: 检查消防系统检测报告和维护记录 |
G3 |
| b) |
机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料 |
V: 检查机房建筑材料耐火等级 |
G3 |
| c) |
机房应采取区域隔离防火措施，将重要设备与其他设备隔离开 |
V: 检查机房区域隔离防火措施 |
G3 |
1.6 防水和防潮（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
水管安装不得穿过机房屋顶和活动地板下 |
V: 检查机房内水管安装情况 |
G3 |
| b) |
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透 |
V: 检查机房窗户、屋顶、墙壁是否有防雨水渗透措施 |
G3 |
| c) |
应采取措施防止机房内水蒸气结露和地下积水的转移与渗透 |
V: 检查机房是否有防结露和防积水措施 |
G3 |
| d) |
应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警 |
V: 检查是否配备防水检测和报警设备 / D: 检查设备运行记录 |
G3 |
1.7 防静电（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
主要设备应采用必要的接地防静电措施 |
V: 检查设备是否做防静电接地 |
G3 |
| b) |
机房应采用防静电地板 |
V: 检查机房是否铺设防静电地板 |
G3 |
1.8 温湿度控制（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
机房应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内 |
V: 检查精密空调安装情况和温湿度计数值 / D: 检查温湿度监测记录 |
G3 |
1.9 电力供应（A3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应在机房供电线路上配置稳压器和过电压防护设备 |
V: 检查供电线路上是否配置稳压器和过电压防护设备 |
A3 |
| b) |
应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求 |
V: 检查UPS设备配置及供电时间 / D: 检查UPS维护记录 |
A3 |
| c) |
应设置冗余或并行的电力电缆线路为计算机系统供电 |
V: 检查是否具备冗余电力电缆线路 |
A3 |
1.10 电磁防护（S3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应采用接地方式防止外界电磁干扰和设备寄生耦合干扰 |
V: 检查设备接地情况和电磁防护措施 |
S3 |
| b) |
电源线和通信线缆应隔离铺设，避免互相干扰 |
V: 检查线缆铺设方式是否做隔离 |
S3 |
| c) |
应对关键设备和磁介质实施电磁屏蔽 |
V: 检查是否配备电磁屏蔽柜或屏蔽措施 |
S3 |
第二部分：网络安全
测评对象：网络设备（路由器、交换机、防火墙等）及网络结构。主要测评方法：配置检查、工具测试、访谈。
2.1 结构安全（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要 |
C: 查看设备CPU、内存使用率 / T: 使用性能监控工具监测高峰期负载 |
G3 |
| b) |
应保证网络各个部分的带宽满足业务高峰期需要 |
C: 检查带宽配置 / T: 使用流量监控工具测试网络带宽 |
G3 |
| c) |
应在业务终端与业务服务器之间进行路由控制建立安全的访问路径 |
C: 检查路由器/防火墙路由策略和访问控制配置 |
G3 |
| d) |
应绘制与当前运行情况相符的网络拓扑结构图 |
D: 检查网络拓扑图与实际网络结构一致性 |
G3 |
| e) |
应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段 |
C: 登录核心交换机检查VLAN划分 / C: 检查IP地址段分配策略 |
G3 |
| f) |
应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段 |
C: 检查重要网段部署位置 / C: 检查网段间隔离手段（防火墙/VLAN ACL） |
G3 |
| g) |
应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性 |
V: 检查是否具备冗余通信线路、双机热备等 / C: 检查设备冗余配置 |
G3 |
2.2 访问控制（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应在网络边界部署访问控制设备，启用访问控制功能 |
V: 确认边界是否部署防火墙等访问控制设备 / C: 检查设备是否启用 |
G3 |
| b) |
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级 |
C: 检查防火墙访问控制规则，确认是否配置到端口级别 |
G3 |
| c) |
应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制 |
C: 检查是否部署应用层防火墙或WAF / T: 测试协议命令级过滤效果 |
G3 |
| d) |
应在会话非活跃一定时间或会话结束后终止网络连接 |
C: 检查防火墙会话超时配置 / T: 测试空闲会话是否自动断开 |
G3 |
| e) |
应限制网络最大流量数及网络连接数 |
C: 检查防火墙/路由器流量限制和连接数限制配置 |
G3 |
| f) |
重要网段应采取技术手段防止地址欺骗 |
C: 检查是否启用MAC地址绑定、ARP防护等防地址欺骗措施 |
G3 |
| g) |
应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户 |
C: 检查网络准入控制系统配置 / 检查用户级别的访问控制策略 |
G3 |
| h) |
应限制具有拨号访问权限的用户数量 |
C: 检查拨号访问配置和用户数量限制 |
G3 |
2.3 安全审计（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录 |
C: 登录网络设备检查是否开启日志功能 / C: 检查日志服务器或日志审计系统配置 |
G3 |
| b) |
审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息 |
C: 查看实际日志记录内容，确认字段完整性 / 检查是否包含IP地址、源端口、时间戳等 |
G3 |
| c) |
应能够根据记录数据进行分析，并生成审计报表 |
C: 检查日志审计系统是否具备报表生成功能 / 尝试生成一份审计报表 |
G3 |
| d) |
应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等 |
C: 检查日志存储保护措施 / 检查日志是否通过syslog发送到日志服务器或日志审计系统 / 确认日志保存时间至少6个月 |
G3 |
2.4 边界完整性检查（S3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断 |
C: 检查是否部署非法外联检测或网络准入控制系统 / T: 模拟非授权设备接入测试阻断效果 |
S3 |
| b) |
应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断 |
C: 检查是否部署上网行为管理系统 / 检查非法外联检测策略配置 |
S3 |
2.5 入侵防范（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等 |
V: 检查是否部署IDS/IPS设备 / C: 检查入侵检测策略配置 / T: 使用渗透测试工具验证检测能力 |
G3 |
| b) |
当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警 |
C: 查看IDS/IPS日志记录，确认包含完整攻击信息 / C: 检查告警配置和通知方式 |
G3 |
2.6 恶意代码防范（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应在网络边界处对恶意代码进行检测和清除 |
V: 检查是否部署防病毒网关/UTM / C: 检查病毒库更新状态 / T: 测试EICAR测试文件是否能被检测 |
G3 |
| b) |
应维护恶意代码库的升级和检测系统的更新 |
C: 检查病毒库更新策略和最近更新时间 |
G3 |
2.7 网络设备防护（G3）
| 测评项 |
测评要求 |
测试/检查方法 |
等级 |
| a) |
应对登录网络设备的用户进行身份鉴别 |
C: 登录网络设备检查是否需要用户名密码 / 检查是否存在空口令账户 |
G3 |
| b) |
应对网络设备的管理员登录地址进行限制 |
C: 检查是否配置了允许管理登录的IP地址白名单 |
G3 |
| c) |
网络设备用户的标识应唯一 |
C: 检查网络设备用户列表，确认是否存在重复用户名 |
G3 |
| d) |
主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别 |
C: 检查是否启用双因子认证（如堡垒机+动态口令/USB Key） |
G3 |
| e) |
身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换 |
C: 检查网络设备密码策略配置（长度、复杂度、更换周期） |
G3 |
| f) |
应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施 |
C: 检查登录失败锁定策略配置 / 检查会话超时配置 |
G3 |
| g) |
当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听 |
C: 检查远程管理是否采用SSH（非Telnet）、HTTPS（非HTTP）等加密协议 |
G3 |
| h) |
应实现设备特权用户的权限分离 |
C: 检查网络设备是否配置了不同权限级别的用户（如分级分权管理） |
G3 |
第三部分：主机安全
测评对象：操作系统（Linux/Windows）、数据库管理系统。按单个服务器/终端分别进行测评。
3.1 身份鉴别（S3）
| 测评项 |
测评要求 |
Windows 测试方法 |
Linux 测试方法 |
等级 |
| a) |
应对登录操作系统和数据库系统的用户进行身份标识和鉴别 |
运行 control userpasswords2，检查是否勾选"要使用本机，用户必须输入用户名和密码" |
cat /etc/passwd 检查口令字段不为空 / cat /etc/shadow 检查密码哈希字段 |
S3 |
| b) |
操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换 |
secpol.msc → 账户策略 → 密码策略：检查"密码必须符合复杂性要求"是否启用、密码长度最小值、密码最长使用期限 |
cat /etc/login.defs 检查 PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_MIN_LEN / cat /etc/pam.d/system-auth（CentOS）或 cat /etc/pam.d/common-password（Ubuntu）检查 pam_cracklib.so 参数（minlen, dcredit, ucredit, lcredit, ocredit） |
S3 |
| c) |
应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 |
secpol.msc → 账户策略 → 账户锁定策略：检查账户锁定阈值、账户锁定时间、重置账户锁定计数器时间 |
CentOS: cat /etc/pam.d/system-auth \| grep pam_tally2 / Ubuntu: 检查 pam_tally2 配置 |
S3 |
| d) |
当对服务器进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听 |
检查是否禁用Telnet服务 / 确认使用RDP(3389)加密传输或SSH |
检查是否禁用Telnet服务 / 确认使用SSH协议进行远程管理 |
S3 |
| e) |
应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性 |
lusrmgr.msc 检查用户列表确认无重复用户名 |
cat /etc/passwd 检查用户名列表，确认无重复uid |
S3 |
| f) |
应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别 |
检查是否采用USB Key、动态口令、生物识别等双因子认证 |
检查是否采用堡垒机+双因子认证 |
S3 |
3.2 访问控制（S3）
| 测评项 |
测评要求 |
Windows 测试方法 |
Linux 测试方法 |
等级 |
| a) |
应启用访问控制功能，依据安全策略控制用户对资源的访问 |
检查文件系统是否为NTFS / 检查共享文件夹权限设置 |
ls -l 检查关键文件和目录权限 / 检查是否启用SELinux（getenforce） |
S3 |
| b) |
应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限 |
lusrmgr.msc 检查 Administrators 组用户数量 / 检查是否设置不同级别的管理员账户 |
检查 /etc/sudoers 文件配置 / 检查 wheel 组用户 / 检查是否有普通用户拥有 root 权限 |
S3 |
| c) |
应实现操作系统和数据库系统特权用户的权限分离 |
检查 administrator 账户的权限分配 / 确认操作系统和数据库各自独立管理 |
检查是否区分 root 用户和 sudo 用户 / 检查是否有非必要的特权账户 |
S3 |
| d) |
应严格限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令 |
检查 Administrator 是否已重命名 / 检查 Guest 账户是否已禁用 |
检查 root 是否仅允许本地登录 / 检查是否禁用不必要的默认账户 |
S3 |
| e) |
应及时删除多余的、过期的账户，避免共享账户的存在 |
lusrmgr.msc 检查是否存在不使用的账户 / 检查是否存在多人共用同一账户 |
cat /etc/passwd 检查是否存在不使用的账户 / lastlog 检查账户最后登录时间 |
S3 |
3.3 安全审计（G3）
| 测评项 |
测评要求 |
Windows 测试方法 |
Linux 测试方法 |
等级 |
| a) |
审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户 |
secpol.msc → 本地策略 → 审核策略：检查是否全部开启审核策略（审核登录事件、审核账户管理、审核目录服务访问、审核特权使用、审核系统事件等） |
service auditd status（CentOS默认开启）/ Ubuntu: sudo apt-get install auditd / service rsyslog status |
G3 |
| b) |
审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等 |
检查审核策略列表中的具体项目是否完整 |
CentOS: cat /etc/rsyslog.conf \| grep -E "messages\|secure" / auditctl -s（查看审计状态）/ auditctl -l（查看审计规则） |
G3 |
| c) |
审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等 |
eventvwr.msc 打开事件查看器 / 检查安全日志中记录的信息是否完整 |
cat /var/log/messages / cat /var/log/secure（CentOS）/ cat /var/log/auth.log（Ubuntu） / cat /var/log/audit/audit.log |
G3 |
| d) |
应能够根据记录数据进行分析，并生成审计报表 |
检查是否使用日志审计系统 / 确认能否生成审计报表 |
检查是否使用日志审计系统或 syslog 服务器 |
G3 |
| e) |
应保护审计进程，避免受到未预期的中断 |
检查审核策略和审计进程是否受保护 / 检查非管理员用户能否关闭审计 |
检查 auditd 进程是否受保护 / 检查日志文件是否只有 root 可写 |
G3 |
| f) |
应保护审计记录，避免受到未预期的删除、修改或覆盖等 |
检查安全日志文件访问权限 / 确认日志是否已发送到日志服务器 |
ls -l /var/log/messages /var/log/secure /var/log/audit/audit.log / 检查日志保存周期是否≥6个月 |
G3 |
3.4 剩余信息保护（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应保证操作系统和数据库系统用户的鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中 |
检查是否启用"不显示上次登录用户名"（Windows: secpol.msc → 安全选项 → 交互式登录：不显示上次登录用户名）/ 检查是否配置了内存和磁盘清除策略 |
S3 |
| b) |
应确保系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除 |
检查文件删除后的空间清理策略 / 检查是否使用安全删除工具 |
S3 |
3.5 入侵防范（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警 |
V: 检查是否部署主机入侵检测系统（HIDS）/安骑士/态势感知等 / T: 使用漏洞扫描工具进行扫描，查看是否存在高危漏洞 / 检查补丁更新状态 |
G3 |
| b) |
应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施 |
C: 检查是否启用文件完整性检测 / Windows: 检查是否配置 Windows Defender / Linux: 检查是否部署 Tripwire/AIDE 等文件完整性检测工具 |
G3 |
| c) |
操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序 |
C: Windows: 程序和功能中检查安装的组件 / Linux: rpm -qa 或 dpkg -l 检查安装的软件包 |
G3 |
3.6 恶意代码防范（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库 |
V: 检查是否安装杀毒软件（Windows: 360/瑞星等; Linux: ClamAV等）/ C: 检查病毒库更新时间是否在最近7天内 |
G3 |
| b) |
主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库 |
C: 检查主机防病毒软件与网络防病毒网关是否使用不同的病毒库 |
G3 |
| c) |
应支持防恶意代码的统一管理 |
C: 检查是否通过企业版防病毒控制台统一管理所有主机 |
G3 |
3.7 资源控制（A3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应通过设定终端接入方式、网络地址范围等条件限制终端登录 |
C: 检查是否限制登录终端的接入方式和IP地址范围 / Linux: cat /etc/hosts.allow /etc/hosts.deny / 检查SSH配置中 AllowUsers/DenyUsers 选项 |
A3 |
| b) |
应根据安全策略设置登录终端的操作超时锁定 |
C: Windows: 检查屏幕保护程序设置（等待时间+恢复时显示登录屏幕）/ Linux: echo $TMOUT 检查超时设置 |
A3 |
| c) |
应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况 |
C: 检查是否部署服务器监控系统（Zabbix/云监控等）/ 检查是否设置资源使用阈值告警 |
A3 |
| d) |
应限制单个用户对系统资源的最大或最小使用限度 |
C: 检查系统资源配置（CPU、内存、磁盘配额限制）/ 检查是否设置用户的资源使用限额 |
A3 |
| e) |
应能够对系统的服务水平降低到预先规定的最小值进行检测和报警 |
C: 检查监控系统是否配置了性能下降告警 / 检查SLA监控和告警机制 |
A3 |
第四部分：应用安全
测评对象：业务应用系统（按单个应用软件分别测评）。
4.1 身份鉴别（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应提供专用的登录控制模块对登录用户进行身份标识和鉴别 |
C: 测试应用系统登录功能，确认需要用户名和密码 / 确认是否提供独立的登录认证模块 |
S3 |
| b) |
应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别 |
C: 检查是否实现双因子认证（如密码+短信验证码、密码+USB Key、密码+动态口令等） |
S3 |
| c) |
应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用 |
C: 尝试创建重复用户名测试唯一性 / 检查密码复杂度要求（长度≥8位，包含字母、数字、特殊字符组合） |
S3 |
| d) |
应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 |
C: 使用错误密码连续登录，测试是否存在锁定机制 / 检查登录失败次数限制和锁定时间设置 |
S3 |
| e) |
应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数 |
C: 综合检查以上所有功能是否启用并正确配置 |
S3 |
4.2 访问控制（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问 |
C: 以不同权限用户登录，测试能否访问无权限的功能和资源 |
S3 |
| b) |
访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作 |
C: 检查系统的权限模型是否覆盖所有用户角色和资源 |
S3 |
| c) |
应由授权主体配置访问控制策略，并严格限制默认账户的访问权限 |
C: 检查是否由管理员进行权限配置 / 检查默认账户权限是否已被最小化 |
S3 |
| d) |
应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系 |
C: 检查是否实现了角色分离（如操作员、审核员、管理员三权分立）/ 检查权限分配是否遵循最小权限原则 |
S3 |
| e) |
应具有对重要信息资源设置敏感标记的功能 |
C: 检查系统是否支持资源敏感标记并据此进行访问控制 |
S3 |
| f) |
应依据安全策略严格控制用户对有敏感标记重要信息资源的操作 |
C: 检查敏感标记资源的访问控制策略是否正确实施 |
S3 |
4.3 安全审计（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计 |
C: 检查系统是否记录用户登录、关键操作、权限变更等日志 |
G3 |
| b) |
应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录 |
C: 尝试以非管理员权限删除/修改日志 / 检查审计日志的写入权限 |
G3 |
| c) |
审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等 |
C: 查看审计日志记录的内容是否完整（含IP、时间戳、操作内容、结果等） |
G3 |
| d) |
应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能 |
C: 检查系统是否提供日志查询、统计分析和报表生成功能 |
G3 |
4.4 剩余信息保护（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除 |
C: 退出登录后，尝试用浏览器的后退功能检查是否能回到已登录状态 / 检查是否清除了 session/cookie 中的认证信息 |
S3 |
| b) |
应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除 |
C: 检查应用系统在删除数据或释放资源时是否做彻底清除 |
S3 |
4.5 通信完整性（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应采用密码技术保证通信过程中数据的完整性 |
T: 使用协议分析工具抓包，检查通信数据是否使用校验码或加密技术保证完整性 / 检查是否使用 HTTPS、数字签名等 |
S3 |
4.6 通信保密性（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证 |
T: 检查 SSL/TLS 握手协议配置 / 检查证书是否有效 |
S3 |
| b) |
应对通信过程中的整个报文或会话过程进行加密 |
T: 使用协议分析工具抓包，检查传输数据是否加密（HTTPS/SSL/TLS）/ 确认未使用 HTTP 明文传输 |
S3 |
4.7 抗抵赖（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能 |
C: 检查系统是否具备数字签名、操作日志防篡改等可追溯性验证 |
S3 |
| b) |
应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能 |
C: 检查系统是否记录数据接收确认信息 / 是否支持电子回执/签收功能 |
S3 |
4.8 软件容错（A3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求 |
C: 输入超长数据、特殊字符等测试输入校验 / 检查是否存在 SQL 注入、XSS 等输入验证漏洞 |
A3 |
| b) |
应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复 |
C: 检查系统是否具备自动保存、断点续传等功能 / 测试异常场景下的数据保护机制 |
A3 |
第五部分：数据安全及备份恢复
测评对象：系统管理数据、鉴别信息、重要业务数据的存储和传输安全，以及备份恢复机制。
5.1 数据完整性（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施 |
C: 检查传输过程中是否使用校验码（如 MD5/SHA）或加密技术 / T: 使用协议分析工具验证数据传输完整性保护 |
S3 |
| b) |
应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施 |
C: 检查数据库/文件系统是否配置完整性校验 / 检查备份数据的完整性验证机制 |
S3 |
5.2 数据保密性（S3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性 |
C: 检查关键数据传输是否采用加密方式（SSL/TLS/VPN）/ T: 抓包分析确认数据已加密 |
S3 |
| b) |
应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性 |
C: 检查数据库敏感字段是否加密存储 / 检查密码存储是否使用 hash+salt / 检查磁盘是否启用加密 |
S3 |
5.3 备份和恢复（A3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放 |
D: 检查备份策略文档 / C: 检查备份任务执行记录和备份日志 / V: 检查备份介质存放位置 |
A3 |
| b) |
应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地 |
C: 检查异地备份配置和同步策略 / D: 检查异地备份记录和恢复测试报告 / 确认异地备份的网络传输是否加密 |
A3 |
| c) |
应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障 |
C: 检查网络设备是否采用双机热备 / 检查服务器是否采用集群/负载均衡 / 检查通信线路是否冗余 |
A3 |
| d) |
应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性 |
V: 检查关键设备是否配置冗余 / D: 检查设备冗余方案文档 |
A3 |
第六部分：安全管理制度
测评对象：制度文件体系。主要测评方法：文档审查、访谈。
6.1 管理制度（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等 |
D: 检查信息安全总体方针和政策性文件 / I: 访谈安全主管对总体方针的理解 |
G3 |
| b) |
应对安全管理活动中的各类管理内容建立安全管理制度 |
D: 检查安全管理制度清单，是否覆盖物理、网络、主机系统、数据、应用、管理等层面 |
G3 |
| c) |
应对要求管理人员或操作人员执行的日常管理操作建立操作规程 |
D: 检查是否具有系统维护手册、用户操作规程等 |
G3 |
| d) |
应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系 |
I: 访谈安全主管，询问制度体系构成和评审周期 / D: 检查制度体系评审记录 |
G3 |
6.2 制定和发布（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应指定或授权专门的部门或人员负责安全管理制度的制定 |
I: 访谈安全主管，询问制度由谁统一制定 / D: 检查制度制定分工文件 |
G3 |
| b) |
安全管理制度应具有统一的格式，并进行版本控制 |
D: 检查制度文档格式是否统一 / 检查版本标识和管理记录 |
G3 |
| c) |
应组织相关人员对制定的安全管理制度进行论证和审定 |
D: 检查管理制度评审记录和论证审定意见 |
G3 |
| d) |
安全管理制度应通过正式、有效的方式发布 |
D: 检查制度发布文件、发布记录 / 检查是否有管理层签字或盖章 |
G3 |
| e) |
安全管理制度应注明发布范围，并对收发文进行登记 |
D: 检查制度文档的发布范围注明情况 / 检查收发文登记记录 |
G3 |
6.3 评审和修订（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定 |
D: 检查制度评审记录 / 确认每个制度文档有相应负责人或负责部门 |
G3 |
| b) |
应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订 |
D: 检查制度修订记录 / 检查修订间隔是否符合规定 |
G3 |
| c) |
当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，应对安全管理制度进行检查、审定和修订 |
I: 访谈安全主管，确认在重大变更时是否及时修订制度 / D: 检查对应的修订记录 |
G3 |
第七部分：安全管理机构
测评对象：组织架构与人员配置。主要测评方法：访谈、文档审查。
7.1 岗位设置（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责 |
I: 访谈安全主管，确认是否有专职安全管理机构 / D: 检查组织架构文件和岗位职责说明书 |
G3 |
| b) |
应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责 |
I: 访谈各岗位人员对自身职责的了解 / D: 检查岗位职责定义文件 |
G3 |
| c) |
应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权 |
D: 检查信息安全领导小组/委员会成立文件 / 确认最高领导是否由单位主管领导担任 |
G3 |
| d) |
应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求 |
D: 检查部门和岗位职责分工文件 / 检查是否包含技能要求 |
G3 |
7.2 人员配备（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应配备一定数量的系统管理员、网络管理员、安全管理员等 |
I: 确认各岗位人员配备情况 / D: 检查人员配备记录 |
G3 |
| b) |
应配备专职安全管理员，不可兼任 |
I: 确认安全管理员是否专职 / 确认是否兼任其他管理岗位 |
G3 |
| c) |
关键事务岗位应配备多人共同管理 |
I: 确认关键岗位（系统管理员、安全审计员等）是否多人管理 / 确认是否实现职责分离 |
G3 |
7.3 授权和审批（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等 |
D: 检查授权审批制度文件 / 确认是否明确了审批事项、部门和批准人 |
G3 |
| b) |
应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度 |
D: 检查各项审批程序文件 / 检查审批记录是否符合程序要求 |
G3 |
| c) |
应定期对审批记录进行审查，及时发现需进行更新和补办的审批事项 |
D: 检查审批记录审查记录 / 确认是否存在审批缺失事项 |
G3 |
7.4 沟通和合作（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题 |
D: 检查会议记录和沟通协调记录 / I: 访谈各管理人员沟通机制 |
G3 |
| b) |
应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通 |
D: 检查与外部机构的合作协议和沟通记录 |
G3 |
| c) |
应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息 |
D: 检查外联单位联系列表 |
G3 |
7.5 审核和检查（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
安全管理员应负责定期进行安全检查，检查内容包括系统日常运行安全、系统漏洞和数据备份等 |
D: 检查安全检查记录 / I: 访谈安全管理员检查频次和内容 |
G3 |
| b) |
应由内部人员或上级单位定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等 |
D: 检查全面安全检查报告 / 确认检查内容和频次 |
G3 |
| c) |
应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报 |
D: 检查安全检查表格和检查报告 / 检查是否通报检查结果 |
G3 |
第八部分：人员安全管理
测评对象：人员管理流程。主要测评方法：访谈、文档审查。
8.1 人员录用（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应指定或授权专门的部门或人员负责人员录用 |
I: 确认是否有专门部门负责人员录用 |
G3 |
| b) |
应严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核 |
D: 检查人员录用流程文件 / 检查被录用人员的审查和考核记录 |
G3 |
| c) |
应签署保密协议 |
D: 检查保密协议签署记录 |
G3 |
| d) |
应从内部人员中选拔从事关键岗位的人员，并签署岗位安全协议 |
D: 检查关键岗位人员选拔记录和岗位安全协议 |
G3 |
8.2 人员离岗（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应严格规范人员离岗过程，及时终止离岗员工的所有访问权限 |
D: 检查离岗流程文件 / 检查离岗人员权限回收记录 |
G3 |
| b) |
应取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备 |
D: 检查离岗物品交还记录 |
G3 |
| c) |
应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开 |
D: 检查关键岗位人员离岗的保密承诺书 |
G3 |
8.3 人员考核（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应定期对各个岗位的人员进行安全技能及安全认知的考核 |
D: 检查人员考核记录 / 检查考核内容是否包含安全技能和认知 |
G3 |
| b) |
应对关键岗位的人员进行全面、严格的安全审查和技能考核 |
D: 检查关键岗位人员的审查和考核记录 |
G3 |
| c) |
应对考核结果进行记录并保存 |
D: 检查考核记录的保存情况 |
G3 |
8.4 安全意识教育和培训（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施 |
D: 检查安全培训计划和培训记录 |
G3 |
| b) |
应针对不同岗位制定不同的培训计划，对安全基础知识、岗位操作规程等进行培训 |
D: 检查不同岗位的培训计划 |
G3 |
| c) |
应对安全教育和培训的情况和结果进行记录并归档保存 |
D: 检查培训记录和档案 |
G3 |
8.5 外部人员访问管理（G3）
| 测评项 |
测评要求 |
测试方法 |
等级 |
| a) |
应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案 |
D: 检查外部人员访问申请和审批记录 |
G3 |
| b) |
对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定 |
D: 检查外部人员访问管理规定文件 |
G3 |
第九部分：系统建设管理
测评对象：系统全生命周期建设管理。主要测评方法：文档审查、访谈。
| 控制点 |
主要测评项（三级） |
测试方法 |
等级 |
| 9.1 系统定级 |
明确信息系统的边界和安全保护等级；书面说明定级方法和理由；组织专家论证和审定定级结果；确保定级结果经相关部门批准 |
D: 检查定级报告、专家评审意见、审批文件 / I: 访谈相关人员对定级过程的理解 |
G3 |
| 9.2 安全方案设计 |
根据安全保护等级选择基本安全措施并依据风险分析补充调整；指定/授权专门部门对安全建设进行总体规划；制定总体规划和安全设计方案；组织专家评审并经批准 |
D: 检查安全总体方案、安全设计方案 / 检查专家评审意见 |
G3 |
| 9.3 产品采购和使用 |
确保安全产品采购和使用符合国家有关规定；确保密码产品采购和使用符合国家密码主管部门要求；指定或授权专门部门负责采购 |
D: 检查产品采购清单 / 检查安全产品销售许可证 / 检查密码产品安全审查批准文件 |
G3 |
| 9.4 自行软件开发 |
确保开发环境与实际运行环境安全隔离；制定软件开发管理制度；提供软件开发相关文档；对程序资源库的修改进行授权 |
D: 检查开发管理制度 / 检查开发文档和使用指南 / 检查代码修改审批记录 |
G3 |
| 9.5 外包软件开发 |
检测软件质量（恶意代码、后门等）；提供软件设计相关文档和使用指南 |
D: 检查软件质量检测报告 / 检查外包软件开发文档 |
G3 |
| 9.6 工程实施 |
指定/授权专门部门或人员负责工程实施过程管理；制定实施方案控制实施过程；请第三方进行工程监理 |
D: 检查工程实施方案和监理报告 |
G3 |
| 9.7 测试验收 |
进行安全性测试验收；委托第三方测试机构独立测试；出具验收报告 |
D: 检查测试验收报告 / 确认是否有第三方独立测试 |
G3 |
| 9.8 系统交付 |
制定交付清单，指导接收方清点；培训运行维护人员；提供建设过程文档和指导文档 |
D: 检查系统交付清单 / 检查运维人员培训记录 |
G3 |
| 9.9 系统备案 |
向公安机关办理信息系统安全等级保护备案；提交备案表、定级报告等材料 |
D: 检查备案材料（备案单位表、备案系统表、定级报告、备案申报表等）/ 确认是否获取备案证明 |
G3 |
| 9.10 等级测评 |
选择具有资质的测评机构定期开展等级测评；根据测评结果进行整改 |
D: 检查测评报告 / 检查整改落实情况 |
G3 |
| 9.11 安全服务商选择 |
确保安全服务商符合国家有关规定；签订安全责任合同书或保密协议 |
D: 检查安全服务商资质 / 检查安全责任合同/保密协议 |
G3 |
第十部分：系统运维管理
测评对象：系统运行维护过程。主要测评方法：文档审查、访谈、配置检查。
| 控制点 |
主要测评项（三级） |
测试方法 |
等级 |
| 10.1 环境管理 |
指定部门/人员定期维护机房设施；指定部门负责机房安全并配备管理员；建立机房安全管理制度；加强办公环境保密性管理 |
D: 检查机房维护记录、机房管理制度 / I: 访谈机房管理员 |
G3 |
| 10.2 资产管理 |
编制并保存与信息系统相关的资产清单；建立资产安全管理制度，规定资产管理的责任人员或责任部门；对资产进行标识管理；根据资产价值选择对应管理措施 |
D: 检查资产清单和资产管理制度 / V: 检查设备标识 |
G3 |
| 10.3 介质管理 |
确保介质存放在安全环境中；对介质归档和查询进行登记记录；对送出维修或销毁的介质进行净化处理；对重要介质的数据和软件进行加密存储；对重要介质中的数据和软件进行完整性检查；建立介质安全管理制度 |
D: 检查介质管理制度和介质使用记录 / V: 检查介质存放环境 |
G3 |
| 10.4 设备管理 |
对设备进行专人管理；建立设备安全管理制度；对外部接入的设备进行审批和登记；定期检查设备运行状态 |
D: 检查设备管理制度和登记记录 / V: 检查设备管理状况 |
G3 |
| 10.5 监控管理和安全管理中心 |
建立独立的安全管理中心，对通信线路、网络设备等运行状况集中监测；对安全事件进行识别和报警；对分散的安全设备进行集中管理 |
V: 检查是否建立安全管理中心（SOC）/ C: 检查集中监控平台 |
G3 |
| 10.6 网络安全管理 |
指定人员负责网络安全管理；定期检查网络设备配置文件；建立网络安全管理制度；定期更新网络拓扑图 |
D: 检查网络安全管理制度 / C: 检查网络设备配置备份 |
G3 |
| 10.7 系统安全管理 |
根据安全策略配置系统参数；定期对系统进行漏洞扫描和修补；及时安装系统补丁；建立系统安全管理制度；更改系统配置后进行测试 |
D: 检查系统安全管理制度 / C: 检查漏洞扫描记录和补丁更新记录 / T: 进行漏洞扫描验证 |
G3 |
| 10.8 恶意代码防范管理 |
建立恶意代码防范管理制度；定期检查恶意代码库升级情况；定期检查恶意代码查杀记录 |
D: 检查恶意代码防范管理制度 / C: 检查病毒库更新状态 |
G3 |
| 10.9 密码管理 |
建立密码使用管理制度；使用符合国家密码管理规定的密码技术和产品 |
D: 检查密码管理制度 / 检查密码产品资质 |
G3 |
| 10.10 变更管理 |
建立变更管理制度；对重要系统变更进行审批；变更前进行测试；变更后更新相关文档 |
D: 检查变更管理制度和变更审批记录 |
G3 |
| 10.11 备份与恢复管理 |
建立数据备份管理制度；定义备份策略（增量备份/全量备份/异地备份）；定期进行备份恢复测试 |
D: 检查备份管理制度和备份记录 / C: 检查备份任务执行状态 / D: 检查恢复测试报告 |
G3 |
| 10.12 安全事件处置 |
建立安全事件报告和处置管理制度；明确安全事件类型和处置流程；对安全事件进行分析和总结；建立应急预案 |
D: 检查安全事件管理制度和应急预案 / D: 检查安全事件处置记录 |
G3 |
| 10.13 应急预案管理 |
制定总体应急预案框架；针对不同事件制定具体应急预案；定期对应急预案进行培训和演练；定期更新应急预案 |
D: 检查应急预案文档 / D: 检查应急演练记录 |
G3 |
附录：常用测试命令汇总
A.1 Linux 主机测评常用命令
| 命令 |
用途说明 |
cat /etc/passwd |
查看系统用户列表，检查口令字段 |
cat /etc/shadow |
查看用户密码哈希信息 |
cat /etc/login.defs |
查看密码策略（PASS_MAX_DAYS等） |
cat /etc/pam.d/system-auth |
查看 PAM 认证配置（CentOS） |
cat /etc/pam.d/common-password |
查看 PAM 密码策略（Ubuntu/Debian） |
service auditd status |
查看审计进程状态 |
auditctl -s |
查看审计子系统状态 |
auditctl -l |
查看审计规则列表 |
cat /etc/rsyslog.conf |
查看日志服务配置 |
getenforce / sestatus |
查看 SELinux 状态 |
cat /etc/sudoers |
查看 sudo 权限配置 |
lastlog |
查看用户最后登录时间 |
echo $TMOUT |
查看会话超时设置 |
rpm -qa / dpkg -l |
查看已安装软件包列表 |
cat /etc/hosts.allow /etc/hosts.deny |
查看 TCP Wrapper 访问控制 |
ls -l /var/log/ |
查看日志文件权限 |
A.2 Windows 主机测评常用操作
| 操作/路径 |
用途说明 |
secpol.msc → 账户策略 → 密码策略 |
检查密码复杂度、长度、使用期限等策略 |
secpol.msc → 账户策略 → 账户锁定策略 |
检查账户锁定阈值、锁定时间、重置计数器 |
secpol.msc → 本地策略 → 审核策略 |
检查各类审核策略是否启用 |
secpol.msc → 安全选项 |
检查安全选项（不显示上次用户名等） |
eventvwr.msc |
打开事件查看器，查看安全日志详情 |
lusrmgr.msc |
查看本地用户和组 |
control userpasswords2 |
打开用户账户高级设置 |
services.msc |
检查关键服务运行状态 |
| 程序和功能 |
检查已安装的组件和程序 |
| Windows Defender / 杀毒软件 |
检查恶意代码防范状态和库更新时间 |
| 远程桌面(RDP)配置 |
检查远程管理配置（是否禁用3389、是否限制IP等） |
A.3 数据库测评常用操作
| 操作 |
用途说明 |
| SQL Server: 检查 sa 账户状态 |
确认是否禁用默认管理员账户 |
| SQL Server: 检查登录属性-强制实施密码策略 |
确认是否勾选密码策略 |
| SQL Server: 检查 C2 审计跟踪 |
确认是否启用 C2 级审计 |
Oracle: select * from dba_profiles |
查询密码策略配置（FAILED_LOGIN_ATTEMPTS等） |
Oracle: select * from dba_users |
查询用户账户状态 |
Oracle: show parameter audit_trail |
检查审计配置参数 |
MySQL: show variables like "%log%" |
检查日志相关配置 |
MySQL: select * from mysql.user |
查看用户口令字段 |
MySQL: show variables like "general_log%" |
检查通用日志是否开启 |
A.4 网络设备测评常用命令
| 操作 |
用途说明 |
show running-config |
查看当前运行配置（Cisco 类设备） |
display current-configuration |
查看当前运行配置（华为/H3C 类设备） |
show log / display logbuffer |
查看设备日志 |
show users / display users |
查看当前登录用户 |
show access-lists / display acl |
查看访问控制列表配置 |
show logging / display info-center |
查看日志服务器配置 |
show vlan / display vlan |
查看 VLAN 划分 |
show version / display version |
查看设备版本信息 |
| 检查是否启用 SSH（非 Telnet） |
确认远程管理是否加密 |
| 检查管理 IP 限制 |
确认是否限制可管理登录的 IP 地址 |
| 检查 SNMP 配置 |
确认 SNMP community 字符串复杂度 |
参考标准与法规
| 编号 |
名称 |
说明 |
| GB 17859-1999 |
计算机信息系统 安全保护等级划分准则 |
等级划分的基础标准 |
| GB/T 22239-2008 |
信息安全技术 信息系统安全等级保护基本要求 |
检测项的核心依据 |
| GB/T 28448-2012 |
信息安全技术 信息系统安全等级保护测评要求 |
测试方法的详细规范 |
| GB/T 28449-2012 |
信息安全技术 信息系统安全等级保护测评过程指南 |
测评流程规范 |
| GB/T 22240-2008 |
信息安全技术 信息系统安全保护等级定级指南 |
定级依据 |
| GB/T 25058-2010 |
信息安全技术 信息系统安全等级保护实施指南 |
实施指导 |
| 公通字[2007]43号 |
信息安全等级保护管理办法 |
管理要求 |
| 《网络安全法》 |
中华人民共和国网络安全法 |
法律依据 |