等級保護2.0第二級數據中心安全防護產(chǎn)品性能指標參考
等級保護2.0第二級數據中心安全防護產(chǎn)品性能指標參考
一、 防火墻類(lèi)
1、 web應用防火墻（推薦要求）
WEB 網(wǎng)站訪(fǎng)問(wèn)防護專(zhuān)用安全設備，具備 WEB 訪(fǎng)問(wèn)控制、
WEB 網(wǎng)絡(luò )數據分析等基本功能。具備對 SQL 注入、跨站、 掃描器掃描、 信息泄露、 文件傳輸攻擊、操作系統命令注入、目錄遍歷、異常發(fā)現、webshell 攻擊檢測、 盜鏈行為、 拒絕服務(wù)攻擊防護、 網(wǎng)頁(yè)防篡改、 身份認證、日志審計等 14 項安全功能。
2、 數據庫防火墻（推薦要求）
數據庫訪(fǎng)問(wèn)控制和安全審計專(zhuān)用設備。
①具備數據庫審計、數據庫訪(fǎng)問(wèn)控制、數據庫訪(fǎng)問(wèn)檢測與過(guò)濾、數據庫服務(wù)發(fā)現、脫敏數據發(fā)現、數據庫狀態(tài)和性能監控、數據庫管理員特權管控等功能。
②支持橋接、網(wǎng)關(guān)和混合接入方式，基于安全等級標記的訪(fǎng)問(wèn)控制策略和雙機熱備功能，保障連續服務(wù)能力。
3、 網(wǎng)絡(luò )防火墻（必須 具備 其中3 項功能、 支持 3 種訪(fǎng)問(wèn)控制類(lèi)型）
網(wǎng)絡(luò )邊界防護和訪(fǎng)問(wèn)控制的專(zhuān)用設備。
①具備訪(fǎng)問(wèn)控制、入侵防御、病毒防御、應用識別、WEB 防護、負載均衡、流量管控、身份認證、數據防泄露等 9 項功能。
②支持區域訪(fǎng)問(wèn)控制、數據包訪(fǎng)問(wèn)控制（例如基于IP、端口、網(wǎng)絡(luò )協(xié)議訪(fǎng)問(wèn)的數據包）、會(huì )話(huà)訪(fǎng)問(wèn)控制、信息內容過(guò)濾訪(fǎng)問(wèn)控制、應用識別訪(fǎng)問(wèn)控制等 5 種訪(fǎng)問(wèn)控制類(lèi)型。
二、 安全審計設備類(lèi)
1、 網(wǎng)絡(luò )安全審計（必須滿(mǎn)足全部要求）
記錄網(wǎng)絡(luò )行為并進(jìn)行審計和異常行為發(fā)現的專(zhuān)用安全設備。
①對網(wǎng)絡(luò )系統中的網(wǎng)絡(luò )設備運行狀況、網(wǎng)絡(luò )流量、用戶(hù)行為等進(jìn)行日志記錄。
②審計記錄包括事件的時(shí)間和日期、用戶(hù)、事件類(lèi)型、事件是否成功及其它與審計相關(guān)的信息。
③能夠對記錄數據進(jìn)行分析，生成審計報表。
2、 數據庫審計（必須滿(mǎn)足全部要求）
監控數據庫系統的用戶(hù)操作日志、數據庫活動(dòng)、預警的專(zhuān)用設備。
①具備數據庫操作記錄的查詢(xún)、保護、備份、分析、審計、實(shí)時(shí)監控、風(fēng)險報警和操作過(guò)程回放等功能。
②支持監控中心報警、短信報警、郵件報警、 Syslog
報警等報警方式。
3、 運維審計（必須滿(mǎn)足全部要求）
數據中心運維操作審計及預警的專(zhuān)用設備。
①具備資源授權、運維監控、運維操作審計、審計報表、違規操作實(shí)時(shí)告警與阻斷、會(huì )話(huà)審計與回放等功能。
②支持基于用戶(hù)、運維協(xié)議、目標主機、運維時(shí)間段（年、月、日、時(shí)間）等授權策略組合。
③支持運維用戶(hù)、運維客戶(hù)端地址、資源地址、協(xié)議、開(kāi)始時(shí)間等實(shí)時(shí)監控信息項。
4、 主機安全審計（必須滿(mǎn)足全部要求）
記錄主機操作的審計設備。
①支持重要用戶(hù)行為、系統資源的異常使用和重要系統命令的使用等系統內重要事件審計。
②支持記錄事件的日期、時(shí)間、類(lèi)型、主體標識、客體標識和結果等。
三、 系統加固設備類(lèi)
1、 漏洞掃描設備（推薦要求）
檢測與發(fā)現系統漏洞的專(zhuān)用設備。
①具備資產(chǎn)管理、漏洞管理、掃描策略配置、漏洞掃描和報表管理等 5 項功能。
②支持 CVE、 CNNVD、 CNCVE、 CNVD、 BUGTRAQ 等 5 種漏洞庫編號，按照國家新發(fā)布的漏洞及時(shí)更新。
③產(chǎn)品掃描信息支持主機信息、用戶(hù)信息、服務(wù)信息、漏洞信息等 4 種內容。
④支持掃描操作系統、網(wǎng)絡(luò )設備、虛擬化設備、數據庫、移動(dòng)設備、應用系統等 6 類(lèi)系統和設備。
⑤支持主機探測、端口掃描、弱口令掃描、多主機掃描、多線(xiàn)程掃描、口令猜解等 6 種掃描方式。
⑥支持 SNMP trap、 郵件、 短信、 Syslog 等 4 種告警方式。
2、 WEB 漏洞掃描設備（推薦要求）
檢測與發(fā)現醫院 WEB 網(wǎng)站漏洞的專(zhuān)用設備。
①具備資產(chǎn)管理、漏洞管理、掃描策略配置、漏洞掃描和報表管理等功能。
②支持 SQL 注入、 Cookie 注入、跨站腳本攻擊、敏感信息泄露等漏洞檢測能力。
③支持 Cookie、 Form、 Basic、 NTLM 等登錄認證方式。
④支持 SNMP trap、郵件、短信、 syslog 等告警方式。
四、 數據加固設備類(lèi)
1、 網(wǎng)絡(luò )防泄露設備（推薦要求）
防止通過(guò)網(wǎng)絡(luò )傳輸泄露敏感/關(guān)鍵信息的專(zhuān)用設備。
①具備識別能力（協(xié)議識別、應用識別、文件識別、內容識別、 異常行為識別）、響應能力、策略管理、報表與審計等 4 項功能。
②支持 HTTP、 HTTPS、 FTP、 SMTP、 POP3 等 5 種協(xié)議識別。
③支持識別加密文件、壓縮文件、圖片文件、非Windows 文件、未知文件、自定義文件等 6 種文件類(lèi)型。
④支持文檔多層嵌套方式逃避檢測、文件多層壓縮逃避檢測、郵件密送、修改文件擴展名、圖片嵌入敏感文檔、拷貝文檔部分內容泄露敏感信息、少量多次泄露敏感信息、文檔頁(yè)眉頁(yè)腳隱藏敏感信息、敏感信息標識為隱藏段落等 9 種常見(jiàn)異常行為識別方式。
⑤支持文件內容、發(fā)送者、接收者、文件特征、通訊協(xié)議等 5 種條件策略配置。
2、 存儲數據防泄露設備（推薦要求）
發(fā)現和處理存儲系統敏感數據的專(zhuān)用防泄露設備。
①具備敏感數據發(fā)現、發(fā)現的敏感數據展示、敏感數據隔離等 3 項功能。
②支持在文件服務(wù)器、數據庫、協(xié)作平臺、 Web 站點(diǎn)、臺式機、 移動(dòng)終端等 6 種系統的敏感數據發(fā)現。
③支持非結構化數據指紋檢測、結構化數據指紋檢測、機器學(xué)習特征提取與檢測、關(guān)鍵內容描述、正則、數據符等 6 種檢測技術(shù)。
3、 數據庫加密設備（推薦要求）
加密醫院數據庫和發(fā)現數據庫風(fēng)險的專(zhuān)用設備。
①具備系統管理、加解密引擎管理、數據庫透明加密管理、數據庫狀態(tài)監控、數據庫風(fēng)險掃描等 5 項功能。
②支持動(dòng)態(tài)加解密、密文索引、多級密鑰等技術(shù)。
4、 郵件加密設備（推薦要求）
郵件加密和郵件服務(wù)器安全防護的專(zhuān)用設備。
①具備郵件加密、安全防御、 郵件傳輸代理、日志審計等 4 項功能。
②支持附件加密、郵件替換、郵件附件備份、附件鏈接下載管理、防止機密信息外泄、第三方證書(shū)認證加密、網(wǎng)關(guān)-網(wǎng)關(guān)加密等 7 種郵件加密方式。
③支持 DNS 反向解析、 SMTP 攻擊防御、 SMTP 連接限制、 SMTP 字典攻擊、 SMTP 密碼防猜機制、 POP 攻擊防御、IMAP 攻擊防御、 DNS 攻擊防御等 8 種安全防御方式。
④支持郵件中繼控制、多臺 AD 服務(wù)器輪詢(xún)、 SMTP認證控制、郵件交換、假冒 Postmaster 攻擊防護等 5 種MTA 功能。
五、 入侵防范設備類(lèi)
1、 入侵防御設備（必須具備 3 項功能、 支持 2 種入侵防御技術(shù)、 支持 2 種抗拒絕服務(wù)技術(shù)）
對網(wǎng)絡(luò )數據流量進(jìn)行深度檢測、實(shí)時(shí)分析，并對網(wǎng)絡(luò )中的攻擊行為進(jìn)行主動(dòng)防御的專(zhuān)用設備。
①具備深層檢測、內容識別、即時(shí)偵測、主動(dòng)防御、無(wú)線(xiàn)攻擊防御、抗拒絕服務(wù)、日志審計、身份認證等 9項功能。
②支持攻擊行為記錄（包括攻擊源 IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間等）、協(xié)議分析、模式識別、異常流量監視、統計閥值、實(shí)時(shí)阻斷攻擊等 6 種入侵防御技術(shù)。
③支持流量檢測與清洗（流量型 DDoS 攻擊防御、應用型 DDoS 攻擊防御、 DoS 攻擊防御、非法協(xié)議攻擊防御、常用攻擊工具防御等）、流量牽引和回注等 2 種抗拒絕服務(wù)技術(shù)。
2、 入侵檢測設備（滿(mǎn)足一級要求）
通過(guò)對網(wǎng)絡(luò )上的數據包作為數據源，監聽(tīng)所保護網(wǎng)絡(luò )內的所有數據包并進(jìn)行分析，從而發(fā)現異常行為的入侵檢測系統。
參照《信息安全技術(shù)網(wǎng)絡(luò )入侵檢測系統技術(shù)要求和測評方法》 [GBT20275-2013]將網(wǎng)絡(luò )入侵檢測系統技術(shù)要求分為一級、二級、三級。
3、 網(wǎng)絡(luò )準入控制設備（推薦要求）
屏蔽不安全的設備和人員接入網(wǎng)絡(luò )，規范用戶(hù)接入網(wǎng)絡(luò )行為的專(zhuān)用設備。
①具備網(wǎng)絡(luò )準入身份認證、合規性健康檢查、終端接入管理（包括：PC、移動(dòng)終端等）、用戶(hù)管理、準入規則管理、高可用性、日志審計等 7 項功能。
②支持 pap、 chap、 md5、 tls、 peap 等 5 種網(wǎng)絡(luò )準入身份認證方法。
4、 防病毒網(wǎng)關(guān)設備（具備 3 項功能。支持 3 種病毒過(guò)濾方法）
病毒防御網(wǎng)關(guān)化的專(zhuān)業(yè)設備。
①具備病毒過(guò)濾、內容過(guò)濾、反垃圾郵件、日志審計、身份認證、高可用等 6 項功能。
②支持流殺毒、文件型殺毒、常用協(xié)議端口病毒掃描、 IPv4 和 IPv6 雙協(xié)議棧的病毒過(guò)濾、病毒隔離等 5 種病毒過(guò)濾方法。
5、 網(wǎng)絡(luò )安全入侵防范（推薦要求）
①在網(wǎng)絡(luò )邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區溢出攻擊、IP 碎片攻擊和網(wǎng)絡(luò )蠕蟲(chóng)攻擊等；
②當檢測到攻擊行為時(shí)，記錄攻擊源 IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴重入侵事件時(shí)應提供報警。
6、 主機入侵防范（推薦要求）
①能夠檢測到對重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源 IP、 攻擊的類(lèi)型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生入侵事件時(shí)提供報警。
②能夠對重要程序的完整性進(jìn)行檢測，并在檢測到完整性受到破壞后具有恢復的措施。
7、 主機惡意代碼防范（推薦要求）
①應用防惡意代碼軟件， 及時(shí)更新防惡意代碼軟件板本和惡意代碼庫。
②支持防惡意代碼的統一管理。
8、 網(wǎng)頁(yè)防篡改（推薦要求）
用于醫院保護網(wǎng)站文件，防止網(wǎng)站篡改。
①具備網(wǎng)站攻擊過(guò)濾、網(wǎng)站文件訪(fǎng)問(wèn)控制、網(wǎng)站安全校驗、網(wǎng)站攻擊事件告警、網(wǎng)站安全管理策略、網(wǎng)站備份、網(wǎng)站同步、網(wǎng)站自動(dòng)恢復、網(wǎng)站服務(wù)器可靠性監測、網(wǎng)站審計日志等 10 項功能。
②網(wǎng)站同步過(guò)程支持文件加密傳輸技術(shù)、完整性校驗、文件檢索、快速傳輸技術(shù)等 4 種技術(shù)。
六、 身份認證系統
1、 統一身份管理（推薦要求）
對醫院內所有應用實(shí)現統一的用戶(hù)信息存儲、認證和管理的系統。
①具備單點(diǎn)登錄、用戶(hù)身份信息管理、用戶(hù)管理規則庫、用戶(hù)訪(fǎng)問(wèn)權限設置、權限規則庫、用戶(hù)與權限的適配管理、系統審計、第三方應用系統接口調用獲取權限等 8項功能。
②實(shí)現多業(yè)務(wù)系統的統一認證， 支持數字證書(shū)、動(dòng)態(tài)口令、靜態(tài)口令、 Windows 域認證、通行碼認證、指紋認證、人臉識別等 7 種認證方式。
2、 電子認證服務(wù)（推薦要求）
用于發(fā)放并管理所有參與醫院網(wǎng)上業(yè)務(wù)的實(shí)體所需的數字證書(shū)。
①具備數字證書(shū)的申請、審核、簽發(fā)、查詢(xún)、發(fā)布、證書(shū)吊銷(xiāo)列表的簽發(fā)、查詢(xún)、發(fā)布等 8 項數字證書(shū)全生命周期管理功能。
②支持國密系列標準。
③支持交叉認證、 數據備份/恢復、 日志審計管理等 3項系統管理功能。
3、 用戶(hù)身份鑒別（滿(mǎn)足第一項要求）
數據中心服務(wù)器操作系統和數據庫管理系統提供鑒別機制，保證用戶(hù)身份安全可信， 支持用戶(hù)標識和用戶(hù)鑒別。
①支持受控的口令或具有相應安全強度的其他機制進(jìn)行用戶(hù)身份鑒別，并對鑒別數據進(jìn)行保密性和完整性保護。
②支持兩種或兩種以上的組合機制進(jìn)行用戶(hù)身份鑒別，并對鑒別數據進(jìn)行保密性和完整性保護。
4、 個(gè)人隱私保護（推薦要求）
患者隱私數據存儲于數據庫，具備隱私數據（敏感）數據防泄露能力。
①具備隱私數據字段級加密保護功能，并能提供第三方服務(wù)接口，支持動(dòng)態(tài)脫敏和動(dòng)態(tài)加密數據保護功能。
②支持代理、網(wǎng)關(guān)和混合接入方式，基于安全等級標記的數據標簽技術(shù)和雙機熱備功能，保障連續服務(wù)能力。
5、 網(wǎng)絡(luò )設備身份鑒別（推薦要求）
①支持登錄網(wǎng)絡(luò )設備的用戶(hù)進(jìn)行身份、 地址、 標識進(jìn)行管理。
②支持兩種或以上組合的鑒別技術(shù)進(jìn)行身份鑒別。
③支持口令復雜度、 定期更換、 失敗處理、 結束會(huì )話(huà)、限制非法登錄次數、 登錄連接超時(shí)自動(dòng)退等 6 項安全功能。
6、 主機身份鑒別（推薦要求）
①對登錄操作系統和數據庫系統的用戶(hù)進(jìn)行身份標識和鑒別。
②支持兩種或以上組合的鑒別技術(shù)進(jìn)行身份鑒別。
③支持口令復雜度、 定期更換、 失敗處理、 結束會(huì )話(huà)、限制非法登錄次數、 登錄連接超時(shí)自動(dòng)退等 6 項安全功能。
七、 訪(fǎng)問(wèn)控制系統
1、 上網(wǎng)行為管理（推薦要求）
用于醫院互聯(lián)網(wǎng)的安全管理。
①具備上網(wǎng)人員管理、上網(wǎng)瀏覽管理、上網(wǎng)外發(fā)管理、上網(wǎng)應用管理、上網(wǎng)流量管理、上網(wǎng)行為分析、上網(wǎng)隱私保護、風(fēng)險集中告警等 8 項功能。
②支持 IP/MAC 識別方式、用戶(hù)名/密碼認證方式、與已有認證系統的聯(lián)合單點(diǎn)登錄方式等 3 種上網(wǎng)人員身份管理方式。
③支持對主流即時(shí)通訊軟件外發(fā)內容的關(guān)鍵字識別、記錄、阻斷等 3 項操作。
2、 虛擬化安全防護（推薦要求）
提供虛擬化網(wǎng)絡(luò )邊界防護的專(zhuān)用軟件防火墻。
①具備訪(fǎng)問(wèn)控制、入侵防范、病毒過(guò)濾、應用識別、抗拒絕服務(wù)、 網(wǎng)絡(luò )防護、日志審計、身份認證等 8 項功能。
②支持網(wǎng)絡(luò )訪(fǎng)問(wèn)控制、權限控制、目錄級安全控制、屬性安全控制、服務(wù)器安全控制等 5 種訪(fǎng)問(wèn)控制方法。
八、 安全管理系統
1、 文檔安全管理（推薦要求）
用于醫院核心信息資產(chǎn)有意或無(wú)意泄露防護的管理系統。
①具備文檔加密、文檔安全策略（權限控管、使用次數、文檔生命期限、打印自定義水印等）、 身份認證、使用追蹤、 離線(xiàn)管理、文檔操作審計等 6 項功能。
②支持對電子文檔進(jìn)行細粒度的權限控制， 包括只讀、打印、修改、復制等 4 種權限控制。
③支持對文檔的閱讀、編輯、刪除、打印、外發(fā)、授權等 6 種動(dòng)作進(jìn)行詳細的日志審計。
2、 日志審計系統（滿(mǎn)足全部要求，日志存儲時(shí)間大于等于6個(gè)月）
記錄、分析和處理用戶(hù)操作行為的系統。
①具備日志記錄、用戶(hù)重要操作日志記錄、日志查詢(xún)、日志保護、日志備份、日志分析模型、日志審計報告等項功能。
②支持用戶(hù)名稱(chēng)、操作日期和時(shí)間、操作類(lèi)型、是否成功、合規審計等項日志審計內容。
③支持數據分析，并生成審計報表。
3、 資產(chǎn)風(fēng)險管理（推薦要求）
基于醫院網(wǎng)絡(luò )環(huán)境, 構建醫院網(wǎng)絡(luò )資產(chǎn)基礎信息庫，能整體和動(dòng)態(tài)發(fā)現網(wǎng)絡(luò )安全風(fēng)險的管理系統。
①具備實(shí)時(shí)評估網(wǎng)絡(luò )安全風(fēng)險、驗證重要風(fēng)險點(diǎn)、評估風(fēng)險影響范圍、網(wǎng)絡(luò )安全持續監控、風(fēng)險通報和威脅預警、風(fēng)險分析結果可視化、風(fēng)險處理等 7 項功能。
②支持信息系統、承載業(yè)務(wù)、網(wǎng)絡(luò )設備、安全設備、服務(wù)器設備、終端設備、軟件、數據、存儲等 9 種資產(chǎn)信息庫內容。
③支持表格、指示燈、 3D 圖表、雷達圖、拓撲圖、熱度圖等 6 種風(fēng)險可視化結果展示方式。
4、 統一安全管理（推薦要求）
對醫院各類(lèi)網(wǎng)絡(luò )安全安全事件的監控、分析和管理的信息系統。
①具備資產(chǎn)管理、資產(chǎn)風(fēng)險管理、網(wǎng)絡(luò )安全事件采集、網(wǎng)絡(luò )安全事件分析、網(wǎng)絡(luò )安全事件分析模型、實(shí)時(shí)安全監測、分析結果可視化、安全運營(yíng)決策和處置服務(wù)等 8 項功能。
②基于數據分析模型， 支持表格、指示燈、 3D 圖表、雷達圖、拓撲圖、熱度圖等 6 種可視化結果展示方式。
