阿里云客户等级保护测评说明-控制点责任说明(物理、网络、管理)

阿里云客户等级保护测评说明安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展物理安全物理位置的选择a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。机房所在大楼具有防震、防雨和防风能力，并通过了机房专业验收，提供了《机房验收报告》。阿里云该项测评得分5分。物理安全物理访问控制a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员。进入园区需要到保安部登记，然后在传达室登记并领取胸牌，然后进入机房有两道电子门禁系统，用于控制、鉴别和记录人员。阿里云该项测评得分5分。物理安全物理访问控制b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。进入机房的来访人员有申请和审批流程：来访人员身份证号、姓名报给阿里云相关负责人审批（邮件），审批通过后，相关负责人邮件/电话通知机房相关人员，登记后由驻场机房管理员陪同进入机房。阿里云该项测评得分5分。物理安全防盗窃和防破坏a)应将主要设备放置在机房内。主要部件以及固定在机架上，并有资产标签且定期盘点。阿里云该项测评得分5分。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展物理安全防盗窃和防破坏b)应将设备或主要部件进行固定，并设置明显的不易除去的标记。查看主要设备或设备的主要部件设备固定情况：通过螺丝固定在机柜上；具有明显的不易除去的标记；标签类型：资产纸质标签；阿里云该项测评得分5分。物理安全防盗窃和防破坏c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。电源线、通信线缆通过机柜顶部桥架隔离铺设，并且电源线缆强弱电也是隔离。阿里云该项测评得分5分。物理安全防盗窃和防破坏d)应对介质分类标识，存储在介质库或档案室中。存储介质进行了分类标识管理；介质存储地点：存储仓库；阿里云该项测评得分5分。物理安全防盗窃和防破坏e)主机房应安装必要的防盗报警设施。机房设置了视频监控报警系统，7*24无死角监控，监控室24小时有专人值守。阿里云该项测评得分5分。物理安全防雷击a)机房建筑应设置避雷装置。机房建筑具有防雷措施，措施：大楼顶部避雷圈；阿里云该项测评得分5分。物理安全防雷击b)机房应设置交流电源地线。机房配电设置了防浪涌模块。阿里云该项测评得分5分。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展物理安全防火a)机房应设置灭火设备和火灾自动报警系统。机房设置了七氟丙烷自动消防系统，自动检测火情、自动报警，并自动灭火；七氟丙烷有专门的钢瓶间存放，并且有人工操作的二氧化碳气体灭火设施。阿里云该项测评得分5分。物理安全防水和防潮a)水管安装，不得穿过机房屋顶和活动地板下。机房周围无水管安装，未在机房屋顶和活动地板安装水管。阿里云该项测评得分5分。物理安全防水和防潮b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。机房设有漏水检测带，通过人工巡检和远程监控结合的方式检测积水和渗透。阿里云该项测评得分5分。物理安全防水和防潮c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。机房设置了漏水传感器，通过艾默生监控系统可以进行防水检测和报警。阿里云该项测评得分5分。物理安全防静电a)关键设备应采用必要的接地防静电措施。机房安装了防静电地板，主要设备采用了必要的接地防静电措施。阿里云该项测评得分5分。物理安全温湿度控制a)机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。机房部署了多台精密空调，能够实现自动调节温湿度，机房温度控制在18-25度之间，湿度保持在60%-70%之间。阿里云该项测评得分5分。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展物理安全电力供应a)应在机房供电线路上配置稳压器和过电压防护设备。机房供电线路上配置了稳压器和过电压防护设备。阿里云该项测评得分5分。物理安全电力供应b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。机房配备了UPS，满载情况下可以提供临时供电。阿里云该项测评得分5分。物理安全电磁防护a)电源线和通信线缆应隔离铺设，避免互相干扰。电源线、通信线缆通过机柜顶部桥架隔离铺设，并且电源线缆强弱电也是隔离。阿里云该项测评得分5分。网络安全结构安全a)应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要阿里云客户没有使用实体网络设备，在VPC环境下，采用的是虚拟网络设备（虚拟路由、虚拟交换机），阿里云的虚拟网络设备采用的是分布式系统提供，根据阿里云业务需求（不是客户的业务需求，是阿里云平台总体业务的需求）进行容量扩充，不会造成客户“网络设备”的处理性能瓶颈。该项在阿里云平台自身的测评中，实体网络的物理交换机和路由器的能力是经过测评阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展的，可以查看该项的测评得分，但因阿里云实体交换机、路由器型号、配置信息涉及到平台的供应链保密信息，以及出于安全因素考虑（平台的硬件设备型号、固件版本不应大规模想客户透露，防止来自黑客的针对性APT攻击，这也是确保平台的实体网络安全，从而确保客户的系统安全），不便把完整的测评结构披露。网络安全结构安全b)应保证接入网络和核心网络的带宽满足业务高峰期需要该项应测评阿里云客户购买的ECS公网带宽是否满足其业务高峰需求。因阿里云为全国多ISPBGP接入的网络，带宽上不会成为阿里云客户带宽瓶颈。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全结构安全c)应绘制与当前运行情况相符的网络拓扑结构图该项应测评的是阿里云客户是否根据云上虚拟资源的情况，绘制逻辑的拓扑图，以及该逻辑拓扑图与云上资源互联关系、网络ACL（VPC配置、安全组规阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展则配置等）的对应关系，不应测试的是阿里云平台自身的物理网络拓扑。阿里云平台的物理网络拓扑涉及到整个云平台，出于信息安全保密原因，也不便向所有客户规模披露。网络安全结构安全d)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段该项应测试的是阿里云客户是否根据业务情况、系统情况、安全需求在云上虚拟网络合理的利用VPC的策略、安全组策略，或自行采购的虚拟防火墙进行规则配置，实现虚拟网络里的区域划分和区域之间的网络访问控制。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全入侵防范a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等该项应测试阿里云客户是否采用了云盾或安全生态中的虚拟安全防护设备，并配置相应的规则，进行网络入侵防范。阿里云提供了基础的云盾DDOS防护（免费版本有一定的阈值限制），应查阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展看客户的阈值配置（PPS、QPS、并发等）是否合理。应查看客户的WAF是否开启。应申请对客户的应用系统开展漏扫、渗透测试，验证客户的安全防护是否生效。网络安全访问控制a)应在网络边界部署访问控制设备，启用访问控制功能该项应测试客户是否采购了虚拟防火墙，或在VPC、安全组规则进行了合理配置，或在SLB上进行了映射关系的合理配置，实现了网络边界的访问控制。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全访问控制b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级该项应测试客户是否采购了虚拟防火墙，或在VPC、安全组规则进行了合理配置，或在SLB上进行了映射关系的合理配置，实现了网络边界的访问控制。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展网络安全访问控制c)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户该项应测试客户是否采购了虚拟防火墙，或在VPC、安全组规则进行了合理配置，或在SLB上进行了映射关系的合理配置，实现了网络边界的访问控制。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全访问控制d)应限制具有拨号访问权限的用户数量该项应测试客户是否在云上架设了VPN，是否对VPN进行了合理配置达到测评项要求。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全边界完整性检查a)应能够对内部网络用户私自联到外部网络的行为进行检查该项应测试客户的办公网络的准入情况，或测评客户的VPC、安全组规则，是否对ECS外联的规则设置合理得当，防止ECS在WEB应用层被入侵后，用WebShell进行反弹连接，进一步入侵系统。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全安全审计a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录阿里云提供了云监控范围，应测评阿里云客户是否对网络流量进行了监控，阈值、告警是否配置得当。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展网络安全安全审计b)审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息阿里云提供了安全审计服务，应测评客户是否采用，对云上的虚拟资源（包括VPC、安全组配置）开展了审计。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全网络设备防护a)应对登录网络设备的用户进行身份鉴别阿里云提供了访问控制服务，可以对客户登录的云资源的权限进行严格的主子账号分权和身份鉴别（包括二次验证），应测评客户是否采用，和合理配置策略。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全网络设备防护b)应对网络设备的管理员登录地址进行限制阿里云提供了访问控制服务，可以对客户登录的云资源的权限进行严格的主子账号分权和身份鉴别（包括二次验证），应测评客户是否采用，和合理配置策略。在公共云上，客户连接阿里云平台都是通过互联网，因此此项与传统场景下的网络运维有所区别。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说明阿里云测评得分/测评需要客户测评机构开展网络安全网络设备防护c)网络设备用户的标识应唯一应查看客户的访问控制服务的启用及配置是否合理，子账号与客户负责对网络安全策略（VPC、安全组）的人员是否有唯一对应关系。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全网络设备防护d)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换应测评客户如何管理云账号的，包括子账号，检查其密码策略及口令定期更换情况。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。网络安全网络设备防护e)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施阿里云的对云账号的登录失败处理进行了风控策略，包括5次尝试失败锁定，以及严格的解锁流程，对高危操作还要求二次验证（如短信验证码）。且客户可以根据需求配置是否采用动态口令TOKEN进行二次验证。阿里云控制台设置了登录超时的会话，时间默认30分钟。阿里云该项测评得分5分，但该项应测评客户的虚拟网络情况。安全层面安全控制点内容阿里云测评情况/需要客户测评机构测评的说