DB35/T 1745-2018 电子政务外网应用安全保障技术规范

ICS：35.240.01

M67

DB35

福建省地方标准

DB35/T1745—2018

电子政务外网应用安全保障技术规范

TechnologicalStandardsonApplicationSecurityofE-Government

Extranet

2018-02-05发布2018-05-05实施

福建省质量技术监督局发布

DB35/T1745—2018

目次

前言.................................................................................II

引言................................................................................III

1范围................................................................................1

2规范性引用文件......................................................................1

3术语与定义..........................................................................1

4缩略语..............................................................................2

5安全目标............................................................................3

6第二级安全保障要求..................................................................3

6.1物理安全......................................................................3

6.2网络安全......................................................................3

6.3主机安全......................................................................5

6.4应用安全......................................................................6

6.5数据安全及备份恢复...........................................................12

6.6安全管理.....................................................................12

7第三级安全保障要求.................................................................13

7.1物理安全.....................................................................13

7.2网络安全.....................................................................13

7.3主机安全.....................................................................14

7.4应用安全.....................................................................15

7.5数据安全及备份恢复...........................................................21

7.6安全管理.....................................................................22

附录A（资料性附录）政务外网架构及安全域划分..........................................23

I

DB35/T1745—2018

前言

本规范按照GB/T1.1—2009《标准化工作导则第1部分：标准的结构和编写》所规定的编写格式

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本规范由福建省网络与信息安全测评中心提出,由福建省信息化标准化技术委员会归口。

本规范起草单位：福建六壬网安股份有限公司、福建省网络与信息安全测评中心、福建省网络计算

与智能信息处理重点实验室。

本规范主要起草人：郭文忠、王琦、高松涛、康仲生、蔡滨海、陈羽中、刘延华、钟尚平、陈旺茂、

林子忠、林崟。

II

DB35/T1745—2018

引言

为保障福建省电子政务外网相关业务应用系统安全稳定运行，规范省电子政务外网业务应用系统安

全建设行为，避免建设中出现重复建设、错误建设等情况，参照《关于加强信息安全保障工作的意见》、

《电子政务信息安全等级保护实施指南》等国家标准和文件，为提高应用电子政务外网信息的安全性、

完整性、可用性、可控性与可审查性以及综合安全防范能力，为电子政务外网应用安全提供技术指导，

特制定本规范。

III

DB35/T1745—2018

电子政务外网应用安全保障技术规范

1范围

本规范规定了福建省电子政务外网应用安全的术语和定义、缩略语、安全目标、第二级及第三级

安全保障技术要求。

本规范适用于福建省电子政务外网的应用与管理。

2规范性引用文件

下列文件对本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

GB17859计算机信息系统安全保护等级划分准则

GB/T22239—2008信息系统安全等级保护基本要求

GB/T22240—2008信息安全技术信息系统安全等级保护定级指南

GB/T25058—2010信息安全技术信息系统安全等级保护实施指南

GB/T25069—2010信息安全技术术语

3术语与定义

下列术语和定义适用于本规范。

3.1

电子政务外网安全体系securitysystemforelectronicgovernmentexternalnetwork

电子政务建设网络环境下的安全模型、技术、结构及其关系的总体构架。

3.2

逻辑隔离logicisolation

逻辑隔离是一种不同网络间的安全防护措施，被隔离的两端仍然存在物理上数据通道连线。

3.3

公用网络区publicnetworkarea

公用网络区采用统一分配公共IP地址，是实现各部门、各地区互联互通，为跨地区、跨部门的业

务应用提供数据共享与交换的网络支撑平台。

3.4

专用网络区privatenetworkarea

1

DB35/T1745—2018

依托国家政务外网基础设施，为特定需求的部门或业务设置VPN区域，主要满足部门横向、纵向

业务的需要，实现部委、省、地(市)和县端到端业务和数据的互联互通，实现与其他业务之间的逻辑

隔离。

3.5

互联网接入区internetaccessarea

是各级政务部门通过逻辑隔离安全接入互联网的网络区域，满足各级政务部门访问互联网的需

要。同时也是移动办公的公务人员通过政务外网数字证书，经网关认证后安全接入政务外网的途径。

3.6

文件数据filedata

主要指办公文档、文本文档、视频文件、图片文件、图纸文件等。

3.7

请求命令与响应数据requestandresponsedata

基于服务器之间一方发送的请求数据和另一方返回的响应数据所形成的应用交互协议数据，这里

主要指应用服务器与数据库服务器之间、应用服务器与文件服务器之间的请求命令与响应数据。

3.8

信息摆渡informationferry

信息传输时，信息先由信息源所在的网络一端传输至中间缓存区域，同时物理断开中间缓存区域

与信息目的地所在网络的连接；随后在信道上物理断开信息源所在网络与中间缓存区域的连接，接通

中间缓存区域与信息目的所在网络的传输信道，将信息传输至信息目的地所在网络。在任一时刻，中

间缓存区域只与一端网络相连。

3.9

网闸gap

一种信息安全隔离设备，位于两个不同物理网络或安全域之间，通过协议转换的手段，以信息摆

渡的方式实现数据交换。

3.10

单向光闸unilateralopticalgap

结合网闸技术和光传输技术的一种信息安全隔离设备，其特性是利用光的单向传播特性进行信息

传输，确保信息在物理传导上的单向性，同时具有网闸的协议转换手段和信息摆渡方式。

4缩略语

下列缩略语适用于本文件。

DNS:域名系统(DomainNameSystem)

DKIM:域密钥识别邮件(DomainKeysIdentifiedMail)

FTP:文件传输协议(FileTransferProtocol)

HTTP:超文本传送协议(HypertextTransportProtocol)

HTTP(S):基于SSL的HTTP(HTTPOverSSL)

2

DB35/T1745—2018

ISP:互联网服务提供商(InternetServiceProvider)

IMAP:邮件访问协议(InternetMailAccessProtocol)

POP3:邮局协议版本3(PostOfficeProtocol—Version3)

PIN:个人标识密码(PersonalIdentificationNumber)

SSH:安全外壳协议(SecureShell)

SMTP:简单邮件传输协议(SimpleMailTransferProtocol)

SPF:发送方策略框架(SenderPolicyFramework)

SM2:商密2(ShangMi2)

SM9:商密9(ShangMi9)

SQL:结构化查询语言(StructuredQueryLanguage)

SSL:安全套接层(SecureSocketsLayer)

VPN:虚拟专用网络(VirtualPrivateNetwork)

XSS:跨站脚本攻击(CrossSiteScripting)

5安全目标

5.1合理管理和分配网络资源，防止滥用网络资源导致网络瘫痪；

5.2抵御病毒、恶意代码等对信息系统发起的恶意破坏和攻击，保障网络系统硬件、软件稳定运行；

5.3提高入侵防范能力及系统可用性，降低应用服务中断的安全风险；

5.4强化数据安全管控措施，降低敏感信息泄露的安全风险；

5.5保护重要数据的存储与传输安全，防止数据被篡改，建立数据备份机制和提高容灾能力；

5.6构建统一的安全管理与监控机制，统一配置、调控整个网络的安全问题，提高安全预警能力，加

强安全应急事件的处理能力，实现网络与信息安全的可控性；

5.7建立认证体系保障网络行为的真实可信以及可审查性，并建立基于角色的访问控制机制。

6第二级安全保障要求

6.1物理安全

物理安全措施应符合GB/T22239—2008中“6.1.1物理安全”的要求。

6.2网络安全

网络安全措施应符合GB/T22239—2008中“6.1.2网络安全”的要求。

6.2.1安全域划分

福建省电子政务外网二级应用系统涉及公用网络区、互联网接入区及专用网络区三个网络区,安

全域的划分详见附录A。

6.2.2公用网络区

跨域交换技术

.1公用业务服务器应采用统一规划的IP地址，保证跨部门、跨地区业务的交换与共享；

3

DB35/T1745—2018

.2应根据所部署系统的重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并

按照管理和控制要求为各子网、网段分配地址段；

.3应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵时候优先保

护重要业务的畅通；

.4根据业务需要选择数据交换流向，防止安全级别较高的数据信息向安全级别较低的区域流

动；

.5支持对跨域数据安全交换的行为、安全事件和交换内容等进行安全审计；

.6当公用网络区的主机、服务器需要从互联网接入区和专用网络区获取数据时，可采用防火

墙、路由控制、网闸、数字证书等相关设备或技术措施。

边界安全策略

.1公用网络区与互联网接入区之间采用VPN技术进行逻辑隔离，二个区域的数据和系统不能直

接访问；

.2公用网络区与专用网接入区之间采用VPN技术进行逻辑隔离，二个区域的数据和系统不能直

接访问；

.3通过互联网或其他公众通信网络对公用网络区的信息系统进行远程访问时，可采用VPN网

关、信道加密，以及数字证书、IP地址绑定、审计等安全措施；

.4应仅允许公用网络区用户及单位内部用户终端访问指定的应用服务及端口，如开放

80(HTTP服务)、443(HTTPS服务)，关闭其他端口，无特殊需要，禁止开放；

.5应对进出公用网络区的数据流进行监控、分析和审计。

6.2.3互联网接入区

跨域交换技术

.1根据业务需要可选择数据交换流向，防止安全级别较高的数据信息向安全级别较低的区域

流动；

.2当互联网接入区的主机、服务器需要从公用网络区获取数据时，应采用防火墙、路由控制、

网闸、数字证书等相关安全措施；

.3支持对跨域数据安全交换的行为、安全事件和交换内容等进行安全审计。

边界安全策略

.1互联网接入区与公用网络区之间采用VPN技术进行逻辑隔离，二个区域的数据和系统不能直

接访问；

.2互联网接入区与互联网提供商(ISP)互联时，在互联网出入口应部署防火墙、入侵检测、防

DDOS攻击、防病毒等安全防护设备；

.3应仅允许互联网用户及单位内部普通用户终端访问指定的服务和端口，关闭其他端口，无

特殊需要，禁止开放；

.4应对互联网接入区出入口实施流量控制、行为审计、入侵检测等检测与管理工作。

6.2.4专用网络区

跨域交换技术

.1专用网络区内业务数据流向禁止安全级别较高的数据信息向安全级别较低的区域流动；

.2支持对跨域数据安全交换的行为、安全事件和交换内容等进行安全审计；

4

DB35/T1745—2018

.3对不同安全级别的数据增加标签，并控制所有非该安全级别的主体对其进行读写访问，以

继续保持不同安全域间的数据隔离；

.4当专用网络区的主机、服务器需要从公用网络区获取数据时，应采用防火墙、路由控制、

网闸、数字证书等相关设备或技术措施。

边界安全策略

.1在接入边界处设置网关或防火墙等边界访问控制设备，防止非法用户业务流的进入；

.2专用网络区与公用网络区之间采用VPN技术进行逻辑隔离，二个区域的数据和系统不能直接

访问；

.3通过互联网或其他公众通信网络接入VPN时，应采用政务外网数字证书、加密传输、安全网

关等安全技术措施；

.4应仅允许接入VPN用户或终端访问指定的应用服务及端口，如开放80(HTTP服务)、

443(HTTPS服务)，关闭其他端口，无特殊需要，禁止开放；

.5应对进出专用网络区的数据流进行监控、分析和审计；

.6非本部门的用户不能直接访问这个区域的数据和信息系统。

6.3主机安全

主机安全措施应符合GB/T22239—2008中“6.1.3主机安全”的要求。

6.3.1系统设置

最小化安装

操作系统和数据库系统遵循最小化安装原则，仅安装业务所需的服务、组件和软件等。

身份鉴定

.1可采用用户名/口令等鉴别机制实现服务器操作系统及数据库系统的身份鉴别；

.2口令应由大小写字母、数字及特殊字符组成，普通用户的口令长度不短于8个字符，系统

管理员用户的口令长度不短于10个字符，且每6个月至少修改一次；

.3应采取措施防范口令暴力破解攻击，可采用设置登录延时、限制最大登录失败次数、锁定

帐号等措施。

访问控制

.1针对服务器操作系统及数据库系统应设置用户访问控制策略,至少分为系统管理员（只能

对系统进行维护）、安全管理员（只能进行策略配置和安全设置）、安全审计员（只能维护审计信息）

等，为不同用户授予其完成各自承担任务所需的最小权限，限制超级管理员等默认角色或用户的访问

权限；

.2应及时清除服务器操作系统及数据库系统中的无用帐号、默认账号，不应出现多人共用同

一个系统账号的情况；

.3应限制网站Web服务器、数据库服务器等重要服务器的远程管理；

.4服务器操作系统及数据库系统需要远程进行管理时，采用SSH等安全方式实现；

.5应仅开启业务所需的最少服务及端口。

5

DB35/T1745—2018

安全审计

.1应实现服务器操作系统及数