1范围
本文件规定了XX省电子政务外网终端设备接入的基础框架和要求。
本文件适用于指导XX省电子政务外网建设运维单位终端设备接入的规划、建设和管理工作，也可作为电子政务外网管理部门指导、监督和检查的依据。
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件，不注日期的引用文件，其最新版本（包括所有的修改单）适用于木文件。
本文件没有规范性引用文件。
3术语和定义
下列术语和定义适用于本文件。
3.1
办公终端
指接入政务外网并访问政务外网公共区业务的办公终端，包括台式微型计算机系统、便携微型计算机系统、瘦客户机系统或虚拟终端系统等。
3.2
移动终端
指在移动业务中使用的，基于互联网进行通信，从电子政务外网安全接入区接入的智能终端设备，包括手机、PAD等通用终端和专用终端设备。 3.3
服务终端
指接入政务外网的不具备常规操作系统的服务型终端，包括门禁、网络打印机、摄像头、视频会议终端等。
3.4
终端安全隔离
同一终端、同一时间只能访问一个网络区域，且应实现网络隔离、会话隔离和数据隔离。
3.5
沙箱
一种虚拟化系统程序，允许在该系统内运行浏览器、办公软件等应用程序，用户可使用沙箱中的应用程序访问业务，业务数据在沙箱中运行、加密存储并与本地环境隔离。
3.6
桌面云
一种基于云计算的桌面交付模式。在该模式下，通过将计算机桌面进行虚拟化，把个人计算环境集中存储于数据中心，为用户提供按需分配快速交付的桌面，用户使用终端设备通过网络访问该桌面。
4缩略语
下列缩略语适用于本文件。
CA：证书颁发机构（CertificateAuthority）
MAC：媒体接入控制（MediaAccessControl）
IP：网际互联协议（InternetProtocol）
5办公终端接入安全管控技术要求
5.1终端准入控制
5.1.1身份认证
身份认证包括：
a）接入政务外网的用户终端应具备唯一标识,唯一标识的信息应至少包括使用者信息和终端设备信息，并实现用户与终端实名绑定，以便后续审计溯源；
b）应支持账户口令认证、CA证书认证、扫码认证、短信认证、生物识别等身份认证方式，用户终端接入政务外网应使用双因素进行身份认证： c）当用户终端接入政务外网时，应采取措施保证鉴别信息在传输和存储过程中的安全；
d）口令应至少由8位字符组成，包含字母、数字和特殊字符等三种以上类型，并定期进行口令更换；
e）可支持单点登录，避免重复认证。
5.1.2安全检查
终端接入政务外网之前，应通过安全接入检查，不符合要求的终端不允许接入政务外网，至少可以检查以下内容：
a）检查终端是否安装运行了防病毒软件；
b）检查终端是否存在弱口令账户；
c）检查终端是否运行了恶意进程或软件；
d）检查终端是否存在未修复的高危漏洞。
6.1.3资源访问控制
a）终端接入政务外网时，应至少实现基于用户的资源访问控制，并实现最小授权；
b）可对终端环境进行持续检测和评估，根据评估情况动态调整其权限。
5.2终端安全隔离
办公终端存在访问多个网络的情况下，应当满足以下要求：
a）支持网络隔离,确保终端获得准入授权后通过安全隧道访问政务外网，不能同时访问其他网络;
b）支持会话隔离，确保每个终端访问政务外网时采用唯一会话，可通过添加有效期内唯一的会话状态信息来实现；
c）对于敏感的业务数据访问，可采用沙箱、桌面云等技术实现办公终端数据隔离，防止终端数据泄露。
5.3终端安全防护
5.3.1基本要求
应对终端进行恶意代码防范、终端入侵防护、非法外联控制、安全基线检查、漏洞检测修复、数据安全防护、终端软件/补丁、资产管理等。
接入政务外网的用户终端应安装病毒与恶意代码防护软件，并及时更新病毒与恶意代码库，以防止系统破坏、数据窃取，本项要求包括：
a）至少支持对终端磁盘、终端内存、终端引导区、移动存储介质等位置进行病毒检测；
b）至少支持对文件感染型病毒、宏病毒、蠕虫、木马程序、间谍软件、脚本恶意程序、后门程序、僵尸程序、软件等恶意代码进行检测：
c）对检测到的病毒进行处理，至少包括阻止、删除、隔离、清除还原；
d）及时完成病毒库更新。
5.3.3终端入侵防护
终端入侵防护包括：
a）支持终端基本信息、终端事件记录、终端变更记录等信息的采集，并至少保存6个月；
b）能发现钓鱼邮件攻击、劫持、暴力破解、端口扫描等终端入侵行为，并支持入侵行为溯源取证。
5.3.4非法外联控制
终端连接政务外网时，应能检测终端通过无线热点、双网卡、非法网关连接互联网的行为，并应对该行为进行告警和阻断。
5.3.5安全基线检查
接入政务外网的终端应通过安全检查策略配置，识别与基线不符的配置项，并提供相应安全整改建议，木项要求包括：
a）支持对终端网络环境进行检查，并根据检查结果进行加固；
b）支持终端安全检查，如终端安全策略检查、软件安全检查、补丁安装检查、防病毒软件检查、默认共享检查等，并根据检查结果进行加固。
5.3.6漏洞检测修复
及时通过检测发现办公终端存在的漏洞，并提供修复建议，本项要求包括：
a）支持对操作系统等对象进行安全扫描,及时发现终端操作系统等存在的漏洞,并提供修复建议;
b）可识别终端操作系统开放的端口及服务，及时发现高危端口或服务存在的安全漏洞，并提供修复建议；
c）对终端存在的漏洞进行补丁修复。
5.3.7数据安全防护
数据安全防护包括：
a）对支持对通过邮件、即时通信、网盘、移动存储介质等通道泄露数据的行为进行控制，防止政务敏感数据外泄；
b）支持业务数据通信访问加密保护，防止政务数据外泄，且支持国密算法；
c）对剪贴、截屏等数据外泄行为进行控制；
d）对用户拍照、截屏等行为进行审计溯源；
e）可支持文件追踪，一旦泄露可追踪溯源。
5.3.8终端软件管理
提供政务终端软件资产、软件分发、软件安装卸载、软件使用的管理能力，本项要求包括：
a）办公终端应仅安装必须的组件和应用程序,并可通过黑白名单管控防止恶意进程或恶意软件在办公终端运行；
b）支持软件分发、卸载、升级管理，可支持手动、自动安装；
c）支持客户端自我保护，禁止停止、修改、删除客户端。
对终端补丁进行统一管理，本项要求包括：
a）支持从厂商官方途径获取补丁修复信息，整合生成补丁库；
b）支持自动、手动补丁导入，导入补丁原则不能直接与互联网连通；
c）支持补丁分发、补丁安装等补丁管理。
5.3.10终端资产管理
终端资产管理包括：
a）针对接入政务外网的用户终端，应发现、识别政务外网中终端软硬件资产，形成资产清单，至少包括终端硬件、终端操作系统、终端软件等；
b）支持对设备硬件信息变化情况进行监控并可预警；
c）对移动存储介质进行管理，可支持移动存储介质注册使用、外来移动存储介质禁用等。
6.3.11终端精准阻断
终端精准阻断包括：
a）针对接入政务外网的终端应具备响应处置能力，能对失陷终端进行精准处置，包括查杀、阻断;
b）对于NAT场景下，应能够基于会话进行精准阻断。
6移动终端接入安全管控技术要求
6.1终端准入控制
6.1.1身份认证
身份认证包括：
a）接入政务外网的用户终端应具备唯一标识,唯一标识的信息应至少包括使用者信息和终端设备信息，并实现用户与终端实名绑定，以便后续审计溯源；
b）支持账户口令认证、CA证书认证、扫码认证、短信认证、生物识别等身份认证方式，用户终端接入政务外网应使用双因素进行身份认证：
c）当用户终端接入政务外网时，应采取措施保证鉴别信息在传输和存储过程中的安全；
d）口令应至少由8位字符组成，包含字母、数字和特殊字符等三种以上类型，并定期进行口令更换；
e）可支持单点登录，避免重复认证。
6.1.2安全检查
终端接入政务外网之前，应通过安全接入检查，不符合要求的终端不允许接入政务外网，至少可以检查以下内容：
a）能检查终端是否安装和运行了必备应用；
b）能检查终端是否安装和运行了恶意应用。
6.1.3资源访问控制
可移动存储设备资源访问控制包括：
a）终端接入政务外网时，应至少实现基于用户的资源访问控制，并实现最小授权；
b）可对终端环境进行持续检测和评估，根据评估情况动态调整其权限。
1.2终端安全隔离
移动终端存在访问多个网络的情况下，应当满足以下要求：
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议