新坑开放：等保2.0标准个人解读（一）

*文中个人观点，仅供参考，不代表官方意见。

引言

从事安全合规工作多年，经常会有同事或朋友过来问我一些标准中的点，比如后端实施的一些工程师和项目经理比较关心的是测评中要求项的测评方法和测评点、如何给客户解释此项，如何整改才算合规；也有前端销售和售前，问我能不能对合规的内容详细给他们讲讲，最好结合产品和服务，或者培训一下，他们关心的是如何将合规的东西结合产品或服务灌输给客户，因为几年来国家对网络安全的要求越来越严格，企业对安全也是越来越重视，不管是为了应付监管还是为了保障业务，安全合规可以说是企业安全的基线，必须要做没有商量。所以，决定结合即将实施的等保2.0（以下简称“等2”或“新标准”）标准的通用部分，做一下分析，给出一些个人建议，以供前端和后端人员参考。

标准的东西其实不是硬性规定，其具备灵活性，同样一条标准可以通过不同方式来实现，完全可以结合企业自身环境特点来应对，我一直以来的原则是做好安全的过程中顺便将合规一起做掉，而不是为了应付检查而被动的去对标标准做合规。而且，做安全也不要太局限于技术层面，管理其实更为重要，这就是为何等保中有技术也有管理的原因。

本指南（说指南其实有点过，先这么叫，后边再改）适用对象包括：甲方企业IT相关部门、乙方信息安全相关企业、第三方合规研究部门。

说实话，新标准由很多新的要求项需要多方研究，结合一些技术细节而后才能进行解读，所以后续进展估计会比较慢。本篇算是开个头，把之前安全管理中心的东西贴过来（不然内容太少了，不好意思发），各位也可以直接去看那篇文章：《等保2.0安全管理中心要求解读》。

为了方便索引，统一用一个账号更新。本着分享和讨论的原则，希望大家多提问题和建议，一起研究，毕竟新的东西需要大家一起来完善。

后续会不定期更新，望各位多多支持。

正文

安全管理中心部分解读

本控制项为等级保护标准技术部分核心，名称虽像管理部分，但实则归为技术部分。本控制项主要包括系统管理、审计管理、安全管理和集中管控四个控制点，其中的集中管控可以说是重中之重，主要都是围绕它来展开的。

标准原文

主要的检查点如下：

系统、审计、安全管理

为何将这三部分放到一起来讲？从标准的要求项可以看出，描述上基本一致，只是针对三个岗位分别来说的。此处的三个岗位并不是网络安全中常说的三员，这里没有加入网络管理员，而是把审计管理员加了进来，可以看出新标准对审计的重视程度。

系统管理员身份鉴别（也适用于审计和安全管理员），说起来可以是大事也可以是小事，标准没具体说要如何来鉴别，按照对标准的理解来看，最起码要做到的就是双因子（或称双因素）验证，这是最基本的，即账户密码方式算一种（也可以像手机这种针对唯一设备的随机验证码）、堡垒机算一种、4A认证授权算一种、指纹和面部等生物识别算一种、声控算一种、身份密钥（可插拔U-Key或是卡片）算一种，诸如此类的选其中两种组合。但是，跳板机登陆后再用管理员身份登录系统，这种不算双因子验证，这是同一种鉴别方式用了两次，不要混淆双因子验证的含义。

系统管理员的权限控制（这里只从技术层面来说，不展开讲流程管理的内容），要求只允许特定的命令或操作界面来管理，并对操作进行审计。两点要求，至于特定命令这条，理解有些出入，也许适用一些定制化的自研系统，不过，这里用的是“或”，也就是说只要有后台登录界面供管理员登录，不要随便就能进入后台即可，而且管理员所有操作都要记录，可以查询。

另外一项要求则是，对于系统的一些关键性操作（参考原文），都要由系统管理员来操作，这就意味着只有管理员有权限做这些操作，而且管理员账户通常只有一个，其他用户没有相应权限进行此类操作。这点在系统开发时就要针对性设计，尤其对于外包的系统。

审计管理员主要职责在于审计分析，具体分析什么要根据企业实际情况，重点是记录的存储、管理和查询，即日志留存和保护工作，这点也是老生常谈，6个月全流量全操作日志，可查询，有备份，有完整性保护，避免被修改等（后边章节中会有解读）。

安全管理员主要负责安全策略的配置，参数设置，安全标记（非强制要求），授权以及安全配置检查和保存等。这里只提了部分要求的内容，实际中企业安全部门要管的事情很多。

总之，集中管控的6点要求主要强调的是具有权限的用户的特权管理及审计工作。为何要强调特权账户管理？做过安全的应该都了解，黑客利用漏洞进来，搞事情之前要提权（远程代码执行漏洞可直接拿到中间件管理权限的除外），拿到管理员权限后才可以为所欲为，因此，对这些账户有必要进行严格的保护。此处是Gartner给出的一些控制建议：

1） 对特权账号的访问控制功能，包括共享账号和应急账号；

2） 监控、记录和审计特权访问操作、命令和动作；

3） 自动地对各种管理类、服务类和应用类账户的密码及其它凭据进行随机化、管理和保管；

4） 为特权指令的执行提供一种安全的单点登录（SSO）机制；

5） 委派、控制和过滤管理员所能执行的特权操作；

6） 隐藏应用和服务的账户，让使用者不用掌握这些账户实际的密码；

7） 具备或者能够集成高可信认证方式，譬如集成MFA（Multi-Factor Authentication，多因子认证）。

本控制点主要适用于甲方管理员日常工作职责，也涵盖系统开发的研发部门或外包服务商，做好三同步工作，设计阶段就把相关合规要求涵盖其中。

集中管控

针对安全设备和安全组件，将其管理接口和数据单独划分到一个区域中，与生产网分离，实现独立且集中的管理。大部分安全设备都具备管理接口，其他功能接口不具备管理功能，也不涉及IP地址，这里要求就是将此类管理接口统一汇总到一个Vlan内（比如所有设备管理口都只能由堡垒机进行登录，堡垒机单独划分在一个管理Vlan中）。

实际应用案例就是带外管理。带外网管是指通过专门的网管通道实现对网络的管理，将网管数据与业务数据分开，为网管数据建立独立通道。在这个通道中，只传输管理数据、统计信息、计费信息等，网管数据与业务数据分离，可以提高网管的效率与可靠性，也有利于提高网管数据的安全性。由于带外网管提供了访问设备的通道，因此可以把通过网络访问设备（Telnet等方式）方式进行严格限制，可以降低网络安全隐患。比如限定特定的IP地址才可以通过Telnet访问设备。大部分的访问均通过带外网管系统进行，可以把整个IT环境设备的访问统一到带外网管系统。与传统的设备管理各自为政不同，通过带外网管可以很容易做到不同用户名登录对应不同设备管理权限，一个IT TEAM可以根据各个人员职责不同进行授权。

了解了上述集中管控理念之后，对接下来的几点也就比较容易理解和实现了。比如安全的信息传输路径（SSH、HTTPS、VPN等）；对链路、设备和服务器运行状况进行监控并能够告警（堡垒机、网络监控平台等）；设备上的审计（日志服务器、日志管理平台等），这里啰嗦一句，不但要有策略配置，而且要合理有效并且为启用状态；策略、恶意代码、补丁升级集中管理（漏洞统一管理平台），至少要包括所述的三者进行集中管控；安全事件的识别、报警和分析（态势感知平台、IDPS、FW等，可以是平台也可以是应急响应团队）。

听起来都放到一起就是SOC，但官方表示并不是建议厂商去推SOC平台，这其中要求的每一项能做到独立的集中管控即可，如果有能力集成到一个大平台那更好。

本控制点偏向日常安全运维，主要包括集中管理区域、策略管理、漏洞管理、日志管理、安全事件管理。单独来看，每项都有对应的产品。建议一步步来建设安全能力，不要一上来就忙着搭建SOC。由于是标准中新增要求项，需要一些时间才会有比较完善的解决方案或产品。

*本文作者：宇宸默安，