三级等保-应用安全要求
序
三级等保的技术要求包括物理、网络、主机、应用、数据5个方面。 其中物理、网络、主机、数据等可以通过购买相应的云产品解决，包括SSL证书、云防火墙、Web应用防火墙、云安全中心、数据库审计、堡垒机、服务器、云数据库RDS等。 本文主要介绍应用方面的技术要求。在应用方面主要包括以下几方面：
身份鉴别
- 1.对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
建议用户口令应在8位以上，并采取大小写字母+数字+特殊组合方式，同时要求用户对口令定期更换，更换周期为3-6个月； - 2.具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
建议设置登录失败处理功能，登录失败大于5次锁定账户20分钟，账户登录30分钟未操作系统自动退出； - 3.进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；
建议采用https安全协议传输数据 或 采用SM2、SM4、RSA等安全密码技术对用户密码进行加密传输。 - 4.采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
建议采用用户密码+证书或令牌等的鉴别方式进行身份鉴别，或通过限制应用系统管理员登录地址，也可降低风险
访问控制
- 1.对登录的用户分配账户和权限；
建议系统由管理员账户为不同的用户分配不同的账户，用户不可访问未授权的功能。 - 2.重命名或删除默认账户，修改默认账户的默认口令；
建议重命名或删除默认账户，修改默认账户的默认口令。 - 3.授予管理用户所需的最小权限，实现管理用户的权限分离；
建议设置系统管理员、安全管理员、审计管理员，管理员所需的权限皆为最小（例如：审计管理员只有日志模块管理权限、安全管理员只有安全参数配置模块权限），实现管理用户的权限分离。
安全审计
- 1.启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
建议提供日志审计功能，包括登录日志、操作日志，对用户登录、配置操作等行为进行审计，审计功能覆盖到每个用户。 - 2.对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
建议审计记录无法通过应用系统进行删除或修改，采取保护措施对审计记录进行保护，采取技术措施对审计记录进行定期备份，备份策略能保证审计记录存储半年以上。
入侵防范
- 1.提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；
建议系统限制上传的文件大小和类型、通过正则表达式等方式对非法敏感字符进行限制。 - 2.能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；
建议管理员通过漏扫工具定期对应用网址进行漏洞扫描，发现问题及时整改。
数据完整性
- 1.采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
建议采用SM3、sha512等安全密码技术保证重要数据在存储过程中的完整性。
数据保密性
- 1.采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
建议采用SM2、SM4等安全密码技术保证重要数据在存储过程中的保密性。
数据备份恢复
- 1.提供重要数据的本地数据备份与恢复功能.
建议系统提供了本地数据备份功能，备份数据可直接导入恢复。 - 2.提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地.
建议对重要数据进行实时异地备份，例如：同城生产中心与备份中心间距30KM，不同城300KM。 - 3.提供重要数据处理系统的热冗余，保证系统的高可用性。
建议应用服务器和数据库服务器采用热备、集群、负载均衡等方式部署，保证系统高可用性。
剩余信息保护
- 1.保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。
建议应用系统采取cookie/session过期等对用户登录信息进行及时清除，退出登录后需要重新验证。 - 2.保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。
建议应用系统采取临时文件删除、函数调用置空等措施对硬盘或内存中的敏感数据进行及时清除，退出登录后无法继续访问。
联系我们
1024创新实验室-主任：卓大，混迹于各个技术圈，研究过计算机，熟悉点 java，略懂点前端。
1024创新实验室 致力于成为中原领先、国内一流的技术团队， 以AI+数字化为驱动，用技术为产业互联网提供无限可能， 业务如下:
- 教育领域（高职院校数字化、就业创业大数据平台、继续教育平台；在线教育系统、视频直播、题库等，包含：医学、应急管理、成考、专升本等）
- 供应链领域（网络货运平台、大宗贸易进销存ERP、物流管理TMS、B2B电商、仓储WMS、AI提效等）
- 中医领域（诊所数字化管理、互联网医院、AI辅助诊疗、中医适宜技术、在线云问诊、空中药房等）
- AI+软件领域（软件定制外包、开源技术、数据大屏、国产化改造、技术升级换代、人员外包、技术顾问、技术培训等）
 |  |  |  |
| 加微信： 卓大 拉你入群，一起学习 | 公众号 ：六边形工程师 分享：赚钱、代码、生活 | 请 “1024创新实验室” 烩面里加肉 咖啡配胡辣汤,提神又饱腹 | 抖音 : 六边形工程师 直播：赚钱、代码、中医 |