变电站辅助设备集中监控系统系统上线前安全评估服务技术规范-通用技术规范.pdfVIP

变电站辅助设备集中监控系统系统上线前

安全评估服务

技术规范

（通用部分）

目录

1总则3

1.1一般性要求3

1.2技术文件3

2技术和性能要求3

2.1系统上线前安全评估服务介绍3

2.2系统上线前安全评估服务内容4

1总则

1.1一般性要求

投标人应满足如下要求：

1.1.1投标人应委托国家信息安全等级保护工作协调小组办公室及国

家能源局推荐的信息安全测评机构对本项目进行安全评估。

1.1.2投标人委托的认证机构应具有中国信息安全认证中心颁发的

《信息安全风险评估服务资质》一级及以上。

1.2技术文件

供方提供的检测报告应有中文版本，且至少应满足以下要求：

（1）检测报告原件1套；

（2）检测报告复印件1套

2技术和性能要求

2.1系统上线前安全评估服务介绍

通常，对于业务系统的安全评估，可分为上线前安全评估和在线

安全评估两种方式。上线前检测是针对某系统在正式投运之前，完成

现场部署后，依据相关标准、文件要求，对系统的安全功能设置、安

全防护手段、安全漏洞等方面进行评估。新系统在上线前进行安全评

估，不论是风险、技术难度、整改及可操作性等方面都有较大优势。

同时，政策法规也要求，新系统在入网前，必须进行安全风险评估。

新系统上线安全评估，包括渗透测试、漏洞检测、基线核查，从

而评估新系统的安全状况，查找不符合安全要求的配置项以及安全风

险点。

2.2系统上线前安全评估服务内容

2.2.1网络整体分析

对新上线系统所处网络环境进行整体分析，包括网络结构、架构、

区域、边界等方面，查看被测对象是否存在网络结构不合理、网络分

区不规范、网络边界模糊不清以及整体网络架构有缺陷等问题。

同时，从网络整体层面对被查系统网络与第三方系统边界、与非

业务系统边界、与互联网边界、与纵向上/下级网络边界等安全防护

措施是否到位，是否满足国家及电力行业相关网络安全防护要求。

2.2.2基线核查

对新系统进行安全基线核查，查找新系统操作系统层面的安全配

置隐患、安全配置风险，完成后给出详细的安全基线核查报告，报告

中包括安全配置建议。

基线核查的内容主要包括安全配置检测，包括但不限于账号、口

令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。

基线核查的主要范围包括对被测系统所要部署的物理环境、网络、

操作系统业务应用及数据方面的核查，其中，网络环境/网络设备以

及操作系统的基线核查涉及内容较多。

网络环境核查主要内容包括：

A)身份认证

模拟远程登录网络设备，使用密码暴力破解工具检测设备口令的

强度及是否启用了登录失败处理功能。查看设备的安全策略，确定是

否设置了合理的密码策略保护网络设备的账户安全。用网络嗅探工具

测试网络设备身份鉴别数据传输的必威体育官网网址性。

B)访问控制

保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰

期需要。

C)边界完整性检查

尝试使用终端设备接入被测网络，看能否成功，并且查看网络设

备日志或相关的安全平台能否记录接入信息并进行阻断。

D)入侵防范

在网络边界处尝试以下攻击行为：端口扫描、强力攻击、木马后

门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻