有进一步的要求，要求程度增加了，所有三级对于a）、b）、c)为a）*、b）*、c)*。
4.1.2 网络安全
网络安全为信息系统在网络环境的安全运行提供支持。一方面，确保网络设备的安全运行，提供有效的网络服务，另一方面，确保在网上传输数据的保密性、完整性和可用性等。由于网络环境是抵御外部攻击的第一道防线，因此必须进行各方面的防护。对网络安全的保护，主要关注两个方面：共享和安全。开放的网络环境便利了各种资源之间的流动、共享，但同时也打开了“罪恶”的大门。因此，必须在二者之间寻找恰当的平衡点，使得在尽可能安全的情况下实现最大程度的资源共享，这是我们实现网络安全的理想目标。
网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等，具体的
控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备登录控制、网络备份与恢复等八个控制点。
不同等级的基本要求在网络安全方面所体现的不同如3.1节和3.2节所描述的一样，在
三个方面都有所体现。
一级网络安全要求：主要提供网络安全运行的基本保障，包括网络结构能够基本满足业
务运行需要，网络边界处对进出的数据包头进行基本过滤等访问控制措施。
二级网络安全要求：不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力
要满足业务极限时的需要。对网络边界的访问控制粒度进一步增强。同时，加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点。对网络设备的防护不仅局限于简单的身份鉴别，同时对标识和鉴别信息都有了相应的要求。
三级网络安全要求：对网络处理能力增加了“优先级”考虑，保证重要主机能够在网络
拥堵时仍能够正常运行；网络边界的访问控制扩展到应用层，网络边界的其他防护措施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等。网络设备的防护手段要求两种身份鉴别技术综合使用。
四级网络安全要求：对网络边界的访问控制做出了更为严格的要求，禁止远程拨号访问，
不允许数据带通用协议通过；边界的其他防护措施也加强了要求。网络安全审计着眼于全局，做到集中审计分析，以便得到更多的综合信息。网络设备的防护，在身份鉴别手段上除要求两种技术外，其中一种鉴别技术必须是不可伪造的，进一步加强了对网络设备的防护。
下表表明了网络安全在控制点逐级变化的特点：
表14 网络安全层面控制点的逐级变化
序号 1 2 3 控制点 网络结构安全 网络访问控制 网络安全审计 一级 * * 二级 * * * 三级 * * * 四级 * * * 21
4 5 6 7 8 边界完整性保护 网络入侵防范 网络恶意代码防范 网络设备登录控制 网络备份与恢复 合计 * * 3 * * * * 7 * * * * * 8 * * * * * 8 另外两个特点（要求项增加和要求项强度增强）将在以下控制点描述时具体展开。 1. 结构安全
在对网络安全实现全方位保护之前，首先应关注整个网络的资源分布、架构是否合理。
只有结构安全了，才能在其上实现各种技术功能，达到网络安全保护的目的。通常，一个机构是由多个业务部门组成，各部门的地位、重要性不同，部门所要处理的信息重要性也不同，因此，需要对整个网络进行子网划分。
该控制点主要从网段划分、资源（带宽、处理能力）保证、优先处理等方面来要求。其
在不同级别主要表现为：
一级：要求网络资源方面能够为网络的正常运行提供基本的保障。
二级：在一级要求的基础上，要求网络资源能够满足业务高峰的需要，同时应以网段形
式分隔不同部门的系统。
三级：除二级要求外，增加了“处理优先级”考虑，以保证重要主机能够正常运行。 四级：与三级要求基本相同。 具体见下表15： 要求项 项目 合计 一级 a)－c) 3 二级 a)* b)*- d) 7+ 三级 a)*b)*c)*—g) 7+ 四级 a)*—g) 7+ 在二级，a) b)控制点在网络资源（设备处理能力、带宽）加强了力度，不仅要求满足基本的业务需要，更应满足业务高峰时的网络正常运行。因此，a) b)项在强度上都有所增强。
在三级，a) b)控制点在第二级要求的“关键网络设备”、“接入网络和核心网络”的基础上在网络范围上增加了，要求“”主要网络设备“、“网络各个部分的带宽”，因此，a) b)项在强度上都有所增强。
在四级，a)控制点在三级要求的基础上，要求“网络设备”，范围上又增加了要求，因此，a) 项在强度上有所增强。
2. 访问控制
对于网络而言，最重要的一道安全防线就是边界，边界上汇聚了所有流经网络的数据流，
22
必须对其进行有效的监视和控制。所谓边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间的连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。有连接，必有数据间的流动，因此在边界处，重要的就是对流经的数据（或者称进出网络）进行严格的访问控制。按照一定的规则允许或拒绝数据的流入、流出。
如果说，网络访问控制是从数据的角度对网络中流动的数据进行控制，那么，拨号访问控制则是从用户的角度对远程访问网络的用户进行控制。对用户的访问控制，同样应按照一定的控制规则来允许或拒绝用户的访问。
该控制点在不同级别主要表现为：
一级：主要在网络边界处对经过的数据进行包头信息的过滤，以控制数据的进出网络，
对用户进行基本的访问控制。
二级：在一级要求的基础上，对数据的过滤增强为根据会话信息进行过滤，对用户访问
粒度进一步细化，由用户组到单个用户，同时限制拨号访问的用户数量。
三级：在二级要求的基础上，将过滤的力度扩展到应用层，即根据应用的不同而过滤，
对设备接入网络进行了一定的限制。
四级：对数据本身所带的协议进行了禁止，同时根据数据的敏感标记允许或拒绝数据通
过，并禁止远程拨号访问。
具体见下表16： 要求项 项目 合计 一级 a)b)c) 3 二级 a)b)c)*-d) 4+ 三级 a)b)*—h) 8+ 四级 a)—d) 4 二级与一级相比，在对数据的过滤上由一级包头信息过滤增强为对会话信息的过滤，过滤的粒度增强，使得网络访问控制的强度增强。另外，在四级，该控制点的要求项较三级减少，原因是在四级做出了更高的要求，禁止数据带任何协议流经网络，这样在很大程度上缩减了其他要求。
对用户访问粒度的变化（由用户组到单个用户）是该要求项的主要特点。其次，随着级别的增加，对拨号用户的数量有了一定的限制，到四级则是禁止用户拨号访问，因此，在四级，虽要求项减少，但强度已达最高。 3. 安全审计
如果将安全审计仅仅理解为“日志记录”功能，那么目前大多数的操作系统、网络设备
都有不同程度的日志功能。但是实际上仅这些日志根本不能保障系统的安全，也无法满足事后的追踪取证。安全审计并非日志功能的简单改进，也并非等同于入侵检测。
网络安全审计重点包括的方面：对网络流量监测以及对异常流量的识别和报警、网络设
备运行情况的监测等。通过对以上方面的记录分析，形成报表，并在一定情况下发出报警、
23
阻断等动作。其次，对安全审计记录的管理也是其中的一方面。由于各个网络产品产生的安全事件记录格式也不统一，难以进行综合分析，因此，集中审计已成为网络安全审计发展的必然趋势。
该控制点在不同级别主要表现为： 一级：无此要求。
二级：要求对网络设备运行、网络流量等基本情况进行记录。
三级：除二级要求外，要求对形成的记录能够分析、形成报表。同时对审计记录提出了
保护要求。
四级：除三级要求外，要求设置审计跟踪极限阈值，并做到集中审计。 具体见下表17： 要求项 项目 合计 4. 边界完整性检查
虽然网络采取了防火墙、IDS等有效的技术手段对边界进行了防护，但如果内网用户在
一级 N/A 0 二级 a) b） 2 三级 a)—d) 4 四级 a)－f） 6 边界处通过其他手段接入内网（如无线网卡、双网卡、modem拨号上网），这些边界防御则形同虚设。因此，必须在全网中对网络的连接状态进行监控，准确定位并能及时报警和阻断。
该控制点在不同级别主要表现为： 一级：无此要求。
二级：能够检测到内部的非法联出情况。
三级：在二级的基础上，能检测到非授权设备私自外联，而且能够准确定位并阻断。 四级：与三级要求相同。 具体见下表18： 要求项 项目 合计 一级 N/A 0 二级 a) 1 三级 a)—b)* 2+ 四级 a)－b） 2 在三级，b)项是二级中的增强项，要求不但能够检测到，而且能够准确定位并阻断。 5. 入侵防范
网络访问控制在网络安全中起到大门警卫的作用，对进出的数据进行规则匹配，是网络
安全的第一道闸门。但其也有局限性，它只能对进出网络的数据进行分析，对网络内部发生的事件则无能为力。基于网络的入侵检测，被认为是防火墙之后的第二道安全闸门，它主要是监视所在网段内的各种数据包，对每一个数据包或可疑数据包进行分析，如果数据包与内置的规则吻合，入侵检测系统就会记录事件的各种信息，并发出警报。
该控制点在不同级别主要表现为：
24
一级：无此要求。
二级：能够检测常见攻击的发生。
三级：在二级要求的基础上，不仅能够检测，并能发出报警。
四级：在三级要求的基础上，防范能力增强，做到检测、报警并自动采取相应动作阻断
等。
具体见下表19： 要求项 项目 合计 一级 N/A 0 二级 a) 1 三级 a)—b) 2 四级 a)－b)* 2+ 四级要求较三级，在强度上增强，当检测到入侵事件时，不仅要求能够发出报警，并能够自动采取相应动作，这对入侵检测系统的要求就比较高。 6. 恶意代码防范
目前，对恶意代码的防范已是全方位、立体防护的概念。根据对恶意代码引入的源头进
行分析，可以得出，随着互联网的不断发展，从网络上引入到本地的恶意代码占绝大多数。因此，在网络边界处对恶意代码进行防范是整个防范工作的重点。部署了相应的网络防病毒产品后，并不代表“万事大吉”了，根据统计，平均每个月有300种新的病毒被发现，如果产品恶意代码库跟不上这一速度，其实际检测效率可能会大大降低，因此，必须及时地、自动更新产品中的恶意代码定义。这种更新必须非常频繁，且对用户透明。
该控制点在不同级别主要表现为： 一级：无此要求。 二级：无此要求。
三级：要求能够在网络边界处防范恶意代码，并保持代码库的及时更新。 四级：与三级要求相同。 具体见下表20： 要求项 项目 合计 7. 网络设备防护
对网络安全的防护，除了对网络结构、网络边界部署相应的安全措施外，另外一个重要
一级 N/A 0 二级 N/A 0 三级 a)－b） 2 四级 a)－b） 2 的方面就是对实现这些控制要求的网络设备的保护。通过登录网络设备对各种参数进行配置、修改等，都直接影响网络安全功能的发挥。因此，网络设备的防护主要是对用户登录前后的行为进行控制。
该控制点在不同级别主要表现为：
一级：对网络设备要求基本的登录鉴别措施。
25