网络安全等级保护测评要求 第1部分：安全通用要求
第三级测评要求 三、设备和计算安全
3.1 身份鉴别
3.1.1 测评单元（L3-ECS1-01）
a) 测评指标
应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
3.1.2 测评单元（L3-ECS1-02）
a) 测评指标
应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
3.1.3 测评单元（L3-ECS1-03）
a) 测评指标
当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。
3.1.4 测评单元（L3-ECS1-04）
a) 测评指标
应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。
3.2 访问控制
3.2.1 测评单元（L3-ECS1-05）
a) 测评指标
应对登录的用户分配账号和权限。
3.2.2 测评单元（L3-ECS1-06）
a) 测评指标
应重命名默认账号或修改默认口令。
3.2.3 测评单元（L3-ECS1-07）
a) 测评指标
应及时删除或停用多余的、过期的账号，避免共享账号的存在。
3.2.4 测评单元（L3-ECS1-08）
a) 测评指标
应授予管理用户所需的最小权限，实现管理用户的权限分离。
3.2.5 测评单元（L3-ECS1-09）
a) 测评指标
应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
3.2.6 测评单元（L3-ECS1-10）
a) 测评指标
访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。
3.2.7 测评单元（L3-ECS1-11）
a) 测评指标
应对敏感信息资源设置安全标记，并控制主体对有安全标记信息资源的访问。
3.3 安全审计
3.3.1 测评单元（L3-ECS1-12）
a) 测评指标
应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
3.3.2 测评单元（L3-ECS1-13）
a) 测评指标
审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
3.3.3 测评单元（L3-ECS1-14）
a) 测评指标
应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
3.3.4 测评单元（L3-ECS1-15）
a) 测评指标
应对审计进程进行保护，防止未经授权的中断。
3.3.5 测评单元（L3-ECS1-16）
a) 测评指标
审计记录产生时的时间应由系统范围内唯一确定的时钟产生，以确保审计分析的正确性。
3.4 入侵防范
3.4.1 测评单元（L3-ECS1-17）
a) 测评指标
应遵循最小安装的原则，仅安装需要的组件和应用程序。
3.4.2 测评单元（L3-ECS1-18）
a) 测评指标
应关闭不需要的系统服务、默认共享和高危端口。
3.4.3 测评单元（L3-ECS1-19）
a) 测评指标
应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。
3.4.4 测评单元（L3-ECS1-20）
a) 测评指标
应能发现可能存在的漏洞，并在经过充分测试评估后，及时修补漏洞。
3.4.5 测评单元（L3-ECS1-21）
a) 测评指标
应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
3.5 恶意代码防范
3.5.1 测评单元（L3-ECS1-22）
a) 测评指标
应采用免受恶意代码攻击的技术措施或采用可信计算技术建立从系统到应用的信任链，实现系统运行过程中重要程序或文件完整性检测，并在检测到破坏后进行恢复。
3.6 资源控制
3.6.1 测评单元（L3-ECS1-23）
a) 测评指标
应限制单个用户或进程对系统资源的最大使用限度。
3.6.2 测评单元（L3-ECS1-24）
a) 测评指标
应提供重要节点设备的硬件冗余，保证系统的可用性。
3.6.3 测评单元（L3-ECS1-25）
a) 测评指标
应对重要节点进行监视，包括监视CPU、硬盘、内存等资源的使用情况。
3.6.4 测评单元（L3-ECS1-26）
a) 测评指标
应能够对重要节点的服务水平降低到预先规定的最小值进行检测和报警。
等保2.0里的设备和计算安全结合了原先的主机安全和应用安全，此次2.0要求中主要多了几点：1、访问控制的粒度要求更严格细化，要求达到主体为用户级或进程级，客体为文件、数据库表级；2、和网络与通信安全一样要求建立统一的时间源，以后网络内部要配置时间同步服务器（NTP）；3、在恶意代码防范里增加了可信计算技术的应用，意味着可信计算就可以不安装主机防恶意代码软件？另外取消了对主机防恶意代码的统一管理要求，主机与网络层防病毒的异构也取消了；4、明确了对主机及应用的硬件冗余要求，1.0说的是数据处理系统的冗余，冗余的要求越来越高，链路、网络设备、安全设备、计算设备及备份都需要。