等保2.0标准个⼈解读（四）：安全计算环境
本控制项主要关注主机和应⽤安全，但更多的是侧重应⽤安全，属于三重防护之⼀。可以说是融合了主机安全、应⽤安全和备份恢复的内容，原⽂中要求较多。
标准原⽂
8.1.4 安全计算环境
8.1.4.1 ⾝份鉴别
a) 应对登录的⽤户进⾏⾝份标识和鉴别，⾝份标识具有唯⼀性，⾝份鉴别信息具有复杂度要求并定期更换；
b) 应具有登录失败处理功能，应配置并启⽤结束会话、限制⾮法登录次数和当登录连接超时⾃动退出等相关措施；
c) 当进⾏远程管理时，应采取必要措施防⽌鉴别信息在⽹络传输过程中被窃听；
a神死亡原因是什么d) 应采⽤⼝令、密码技术、⽣物技术等两种或两种以上组合的鉴别技术对⽤户进⾏⾝份鉴别，且其中⼀种鉴别技术⾄少应使⽤密码技术来实现。
8.1.4.2 访问控制
a) 应对登录的⽤户分配账户和权限；
b) 应重命名或删除默认账户，修改默认账户的默认⼝令；
c) 应及时删除或停⽤多余的、过期的账户，避免共享账户的存在；
d) 应授予管理⽤户所需的最⼩权限，实现管理⽤户的权限分离；
e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
f) 访问控制的粒度应达到主体为⽤户级或进程级，客体为⽂件、数据库表级；
g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
8.1.4.3 安全审计
a) 应启⽤安全审计功能，审计覆盖到每个⽤户，对重要的⽤户⾏为和重要安全事件进⾏审计；李金铭
b) 审计记录应包括事件的⽇期和时间、⽤户、事件类型、事件是否成功及其他与审计相关的信息；
c) 应对审计记录进⾏保护，定期备份，避免受到未预期的删除、修改或覆盖等；
d) 应对审计进程进⾏保护，防⽌未经授权的中断。
8.1.4.4 ⼊侵防范惟有相思似春
a) 应遵循最⼩安装的原则，仅安装需要的组件和应⽤程序；
b) 应关闭不需要的系统服务、默认共享和⾼危端⼝；
c) 应通过设定终端接⼊⽅式或⽹络地址范围对通过⽹络进⾏管理的管理终端进⾏限制；
d) 应提供数据有效性检验功能，保证通过⼈机接⼝输⼊或通过通信接⼝输⼊的内容符合系统设定要求；
e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；
f) 应能够检测到对重要节点进⾏⼊侵的⾏为，并在发⽣严重⼊侵事件时提供报警。
8.1.4.5 恶意代码防范
应采⽤免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别⼊侵和病毒⾏为，并将其有效阻断。
8.1.4.6 可信验证
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应⽤程序等进⾏可信验证，并在应⽤程序的关键执⾏环节进⾏动态可信验证，在检测到其可信性受到破坏后进⾏报警，并将验证结果形成审计记录送⾄安全管理中⼼。
8.1.4.7 数据完整性
a) 应采⽤校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个⼈信息等；
b) 应采⽤校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个⼈信息等。
8.1.4.8 数据保密性
a) 应采⽤密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个⼈信息等；
b) 应采⽤密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个⼈信息等。
8.1.4.9 数据备份恢复
黄贯中的老婆是谁a) 应提供重要数据的本地数据备份与恢复功能；
b) 应提供异地实时备份功能，利⽤通信⽹络将重要数据实时备份⾄备份场地；
c) 应提供重要数据处理系统的热冗余，保证系统的⾼可⽤性。
8.1.4.10 剩余信息保护
a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；
b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。
8.1.4.11 个⼈信息保护
a) 应仅采集和保存业务必需的⽤户个⼈信息；
b) 应禁⽌未授权访问和⾮法使⽤⽤户个⼈信息。
主要检查点如下：
标准中⼏个反复重复的控制点：⾝份鉴别、访问控制、安全审计、⼊侵防范、恶意代码防范，其实要求基本类似，只是针对的对象不同，这⾥是应⽤系统的防护能⼒要求。对于重复的部分就不再展开了。
郭京飞武林外传⾝份鉴别
应⽤系统后台管理中，对于⾝份要具备⼏个功能：
⾝份唯⼀性，具备⾃动去重检验
对密码复杂度有强制性应⽤功能
具备登录失败功能
远程接⼊采⽤加密传输
具备两种以上⾝份鉴别⽅式
前四项都是常规要求，只是针对应⽤系统⽽⾔，主要是最后⼀项，对于应⽤系统的⾝份鉴别，⽬前常
⽤的⽅式是密码+⾝份验证服务器，或者配合验证码，如果安全级别⾼也可以配合移动key，从实现上来讲没有什么难度，需要注意的是等保2.0标准中明确要求两种以上⾝份鉴别⽅式必须要包括密码技术在内。补充说明⼀点，先登录跳板机再登录系统或是利⽤VPN拨号再登⼊系统，这种不算两种⾝份鉴别⽅式，只能算两重⾝份鉴别（账户密码⽅式验证2次）。
访问控制
等保2.0标准新提出的要求项要特别注意⼀下。对于默认账户，通常是超管账号、具备⼀定权限的管理账户，这次必须要重命名（通常是指设备、后台的admin，像root这类不太适合修改的除外），不可以使⽤系统默认名和默认⼝令，系统后台要具备强制第⼀次登陆修改默认⼝令的功能，对于所有账户，包括普通⽤户和管理权限⽤户。⽽对于多余、⽆效、长期不⽤的账户要及时删除，建议每⽉或每季度针对⽆⽤账户进⾏⼀次清理，此外不能存在共享⽤户，即⼀个账户多⼈或多部门使⽤，这样不便于审计，出现事故⽆法准确定位故障点，不能进⾏追责。金城武是哪国人
关于权限管理部分，⾸先就是最⼩权限原则，给需要相应权限的⽤户对应功能权限，不过分赋权。针对不同岗位的⼈员账户，功能不能过于集中，保障管理⽤户的权限分离。⽐如，负责审计的⽤户只给予查询、读取⼀类权限，安全管理账户不具备运维的权限，运维没有安全的权限。⽽对于超管⽤户，要先审批，经上层同意再使⽤，明确要做的操作和步骤，附带恢复⽅案的申请，这样的流程是⽐较安
全的。另⼀个⽅⾯就是要注意越权漏洞的产⽣，同级别⽤户可查看其它⽤户信息，或越级查看其它⽤户信息。要求中没明确提出，但属于引申⼀层的问题点，也是现在普遍存在的⽐较危险的逻辑漏洞。
权限管理提出了主体、客体的概念，借鉴了⼀些通⽤数据保护条例（General Data ProtectionRegulation，简称GDPR）的内容，其实主要强调的是数据安全问题。客体的访问权限应该由其所有者（即主体）来指定，如允许谁或什么级别的主体访问什么级别的客体，还有对于客体的分类也应由主体来确定。等保2.0标准新要求提出这类客体的访问控制策略必须由主体来配置。⽽对于访问控制的颗粒度主体层⾯要达到⽤户级或进程级，客体层⾯要达到⽂件、数据库表级，从这⾥就可以看出所说的主体、客体指的是什么了。此处要分两个层⾯来看，⾸先是应⽤系统⾃⾝的访问控制颗粒度，必须满⾜以上要求，⽽且能够为⽤户提供该功能模块；⽽对于⽤户来说，本项作为建议，不是强制要求。
本控制点的最后⼀条（数据标记），在旧标准中⼀直存在，也⼀直是扣分项，好多企业⽆法证明能够提供此项功能。但在当前的环境下，⼤数据技术已经逐步⾛向成熟，数据⽣命周期的最基本步骤就是数据分级分类，因此数据标记已成为必然。
这⾥推荐⼀篇关于⼈⼯智能数据标记的⽂章，常见的数据标记类型：谈谈⼈⼯智能数据标注那些事⼉
1.分类标注：就是我们常见的打标签。⼀般是从既定的标签中选择数据对应的标签，是封闭**。⼀张
图就可以有很多分类/标签：成⼈、⼥、黄种⼈、长发等。对于⽂字，可以标注主语、谓语、宾语，名词动词等。
图1.4-1 安全标记⽰例-分类标注
2.标框标注：机器视觉中的标框标注，很容易理解，就是框选要检测的对象。如⼈脸识别，⾸先要先把⼈脸的位置确定下来。⾏⼈识别。
图1.4-2 安全标记⽰例-标框标注
3.区域标注：相⽐于标框标注，区域标注要求更加精确。边缘可以是柔性的。如⾃动驾驶中的道路识别。
图1.4-3 安全标记⽰例-区域标注
4.描点标注：⼀些对于特征要求细致的应⽤中常常需要描点标注。⼈脸识别、⾻骼识别等。
图1.4-4 安全标记⽰例-描点标注
5.其他标注：标注的类型除了上⾯⼏种常见，还有很多个性化的。根据不同的需求则需要不同的标注。如⾃动摘要，就需要标注⽂章的主要观点，这时候的标注严格上就不属于上⾯的任何⼀种了。（或则你把它归为分类也是可以的，只是标注主要观点就没有这么客观的标准，如果是标注苹果估计⼤多数⼈标注的结果都差不多。）
看过之后，是不是标记也没想象中那么难，⽆法理解，其实就是简简单单的⼀件事。建议在系统设计的时候就加⼊数据⽣命周期的概念，以免后期产⽣海量数据要进⾏数据管理，那⼯作量也是海量的。
安全审计
等保2.0标准中应⽤系统的审计有些变化，第⼀条和旧标准有所不同。这⾥多说⼏句，这么多年来，还有很多⼈不理解审计和⽇志，开始我也觉得就是⼀回事，经过⼤量实际项⽬和查阅资料现在理解了，不过也仅代表个⼈观点。先来看下对审计的定义：
审计是由国家授权或接受委托的专职机构和⼈员，依照国家法规、审计准则和会计理论，运⽤专门的⽅法，对被审计单位的财政、财务收⽀、经营管理活动及其相关资料的真实性、正确性、合规性、合法性、效益性进⾏审查和监督，评价经济责任，鉴证经济业务，⽤以维护财经法纪、改善经营管理、提⾼经济效益的⼀项独⽴性的经济监督活动。
再来看看对于安全审计的定义：
安全审计是指由专业审计⼈员根据有关的法律法规、财产所有者的委托和管理当局的授权，对计算机⽹络环境下的有关活动或⾏为进⾏系统的、独⽴的检查验证，并作出相应评价。安全审计(security audit)是通过测试公司信息系统对⼀套确定标准的符合程度来评估其安全性的系统⽅法。
审计是⼀种操作，例如⽤户登录、操作、访问客体，这些都需要提交⽤户发送请求，经系统确认⾝份和权限后允许其进⾏相应操作，⽽审计后会产⽣结果，其结果便是⽇志。这么解释，⼤家应该就能理解什么是审计，什么是⽇志了吧。
那么接着说正题，系统必须具备审计功能，⽽且要覆盖到每⼀个⽤户，按照等保2.0标准新要求来看，不是记录所有操作，⽽是重要⾏为和重要安全事件，⽽这个重要如何定义，官⽅没有给出明确说明。这⾥的建议是，对于⽤户重要⾏为，⾄少应包括：登录、登出、查询、修改、删除、创建等记录了；对于重要安全事件，安全相关⽇志全留存吧，相⽐流量⽇志这点内容好多了，因为你也⽆法确定哪个事件可能造成严重影响，⼲脆全保存好了，只要保证6个⽉的周期，问题不⼤。⽽对于⽇志记录的元组，⼀般都会涉及，不⽤额外去追求细致，只要能够帮助分析问题和溯源即可，不必追求完美。
最后是和旧标准⼀样的记录管理⼯作，也是很多企业容易忽略的⼀件事。往往审计和⽇志都有了，⽽且也⾜够6个⽉，但就是放在⽇志服务器，需要了去审计平台查查，不⽤时就堆在那⾥。其实对于⽇志管理，⼀直都是有明确要求的，第⼀是定期场外备份，如果做得到位还会异地备份；第⼆是保证⽇志完整性，也就是要确保留存的⽇志没有被修改或删除，也不能出现损坏⽆法读取的情况，这就需要额外的⼈来做这项⼯作。定期备份，场外保存，专⼈管理，没有审批不能随便查看⽇志记录。
如果企业由于各种原因不能保证上述⽇志相关⼯作，那么建议可以把⽇志服务器做成双机，除了本机
保存外，在存储上也额外同步⼀份，但前提是企业已经配备了这样的设备。⼀般来说，建议采⽤⽐较简单⽽有效的⽅法。
⼊侵防范