GB/T 30278-2024 网络安全技术 政务计算机终端核心配置规范

ICS35.030
CCS L80
中华人民共和国国家标准
GB/T30278—2024
代替GB/T30278—2013、GB/T35283—2017
网络安全技术
政务计算机终端核心配置规范
Cybersecuritytechnology—
Governmentclientcomputercoreconfigurationspecifications
2024-11-28发布2025-06-01实施
国家市场监督管理总局
国家标准化管理委员会发布

目 次
前言………………………………………………………………………………………………………… Ⅲ
引言………………………………………………………………………………………………………… Ⅳ
1 范围……………………………………………………………………………………………………… 1
2 规范性引用文件………………………………………………………………………………………… 1
3 术语和定义……………………………………………………………………………………………… 1
4 缩略语…………………………………………………………………………………………………… 2
5 概述……………………………………………………………………………………………………… 2
6 配置要求………………………………………………………………………………………………… 3
6.1 BIOS配置要求……………………………………………………………………………………… 3
6.2 操作系统配置要求………………………………………………………………………………… 4
6.3 办公软件配置要求………………………………………………………………………………… 6
6.4 浏览器配置要求…………………………………………………………………………………… 6
6.5 电子邮件客户端配置要求………………………………………………………………………… 6
6.6 安全防护软件配置要求…………………………………………………………………………… 7
6.7 即时通信软件配置要求…………………………………………………………………………… 7
7 自动化部署及监测要求………………………………………………………………………………… 8
7.1 自动化部署及监测平台逻辑架构………………………………………………………………… 8
7.2 配置编辑功能要求………………………………………………………………………………… 8
7.3 配置验证功能要求………………………………………………………………………………… 9
7.4 配置部署功能要求………………………………………………………………………………… 9
7.5 配置监测功能要求………………………………………………………………………………… 9
8 实施流程………………………………………………………………………………………………… 10
9 配置要求证实方法……………………………………………………………………………………… 12
10 自动化部署及监测要求证实方法…………………………………………………………………… 21
附录A (规范性) 核心配置基线包……………………………………………………………………… 22
附录B(资料性) BIOS访问控制配置示例…………………………………………………………… 25
附录C(资料性) 操作系统身份鉴别配置示例………………………………………………………… 27
参考文献…………………………………………………………………………………………………… 32

前 言
本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定
起草。
本文件代替GB/T30278—2013《信息安全技术 政务计算机终端核心配置规范》和GB/T35283—
2017《信息安全技术 计算机终端核心配置基线结构规范》。本文件以GB/T30278—2013为基础,纳
入GB/T35283—2017的相关内容。与GB/T30278—2013、GB/T35283—2017相比,除结构调整和编
辑性改动外,主要技术变化如下:
———增加了即时通信软件,5个安全控制点(见5.1,5.2);
———增加了身份鉴别、访问控制、可信验证、数据保密性的配置要求(见6.1);
———增加了可信验证、数据保密性、数据备份回复、个人信息保护、应用管控、数据发送控制的配置
要求(见6.2);
———增加了访问控制、入侵防范、个人信息保护、剩余信息保护、数据发送控制的配置要求(见6.4);
———增加了即时通信软件配置要求(见6.7);
———增加了配置要求证实方法和自动化部署及监测要求证实方法(见9章,10章);
———增加了规范性引用文件ISO/IEC18180:2013替代自定义基线配置自动化文件格式(见附
录A)。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归口。
本文件起草单位:神州网信技术有限公司、国家信息中心、麒麟软件有限公司、华为技术有限公司、
北京天融信网络安全技术有限公司、长扬科技(北京)股份有限公司、统信软件技术有限公司、电子政务
云技术应用国家工程实验室、中国电子技术标准化研究院、联想(北京)有限公司、北京升鑫网络科技有
限公司、中科信息安全共性技术国家工程研究中心有限公司、阿里云计算有限公司、郑州信大捷安信息
技术股份有限公司、北京奇虎科技有限公司、三六零科技集团有限公司、西安邮电大学、昆仑太科(北京)
技术股份有限公司、北京神州绿盟科技有限公司、奇安信科技集团股份有限公司、西安交大捷普网络科
技有限公司、北京中科微澜科技有限公司、浪潮(山东)计算机科技有限公司、吉林信息安全测评中心、
北京北信源软件股份有限公司、北京山石网科信息技术有限公司、深圳市能信安科技股份有限公司、
启明星辰信息技术集团股份有限公司、国家保密科技测评中心、国网新疆电力有限公司电力科学研究
院、大唐高鸿信安(浙江)信息科技有限公司、工业和信息化部电子第五研究所、安天科技集团股份有限
公司、中国软件评测中心(工业和信息化部软件与集成电路促进中心)、北京邮电大学、联通(四川)产业
互联网有限公司。
本文件主要起草人:张建军、刘蓓、杨尚欣、孟亚平、陈韵然、王强、战茅、董军平、王震、桂耀、张宇、
安高峰、赵华、何雪林、许涛、闫桂勋、李占伟、朱华、李汝鑫、刘俊、孙亮、何建锋、卞建超、程度、胡建勋、
龙勤、刘为华、姚一楠、张志磊、李富钦、廖百成、张勇、李德全、华昌、安锦程、郭维、白欣璐、李岩、刘占丰、
杨泳、赵勇、梁桂铅、李德庆、马进、贾楠、刘博、马玮、刘海洁、柴思跃、张生华、张雷、周润松、郭盈、马向亮、
李诗婧、张涛。
本文件及其所代替文件的历次版本发布情况为:
———GB/T30278—2013;
———GB/T35283—2017;
———本次为第一次修订。

引 言
政务计算机终端核心配置规范是为了保障政务部门计算机安全,降低因配置不当导致系统出现安
全漏洞的风险,为政务计算机建立安全基线,指导安全配置基线在政务办公环境中部署应用。
本文件以GB/T22239—2019《信息安全技术 网络安全等级保护基本要求》的三级安全要求为安
全配置基线,以政务计算机上常用的七类软件为本文件的核心配置范围,对核心配置范围内的软件提出
安全配置要求,指导软件供应商、安全厂商根据要求制定核心配置基线,指导政务部门对计算机完成核
心配置基线的部署与监测工作。用户参考本文件保护政务终端数据时,根据政务终端数据分类分级标
准选择遵照本文件,或基于本文件降低、增强配置基线。GB/T30278—2013发布实施已十余年,这期
间政务计算机终端安全基线概念受到越来越广泛的重视,政务办公环境和计算机技术都发生了变化。
首先,政务办公环境随着计算机技术变化呈现同类型软件多样化、安全配置复杂化,原有标准定义的基
线格式难以应对。其次,计算机软硬件技术进步,基于生物识别技术、可信计算技术等的广泛使用,计算
机安全技术不断发展。鉴于此,有必要适时修订完善GB/T30278和GB/T35283,以不断适应政务环
境的新变化以及安全基线的新需求。

1 范围
本文件明确了政务计算机终端核心配置对象和配置范围,规定了配置要求、自动化部署及监测要
求,提供了配置要求和自动化部署及监测要求的证实方法。
本文件适用于政务计算机终端的核心配置技术实施和测试验证工作。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文必不可少的条款。其中,注日期的引用文
件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于
本文件。
GB/T22239—2019 信息安全技术 网络安全等级保护基本要求
GB/T25069—2022 信息安全技术 术语
GB/T25100—2010 信息与文献 都柏林核心元数据元素集
GB/T25647—2010 电子政务术语
GB/T40692—2021 政务信息系统定义和范围
ISO/IEC18180:2013 信息技术 可扩展配置清单描述格式规范[Informationtechnology—SpecificationfortheExtensibleConfigurationChecklistDescriptionFormat(
XCCDF)]
3 术语和定义
GB/T22239—2019、GB/T25069—2022、GB/T25647—2010和GB/T40692—2021界定的以及
下列术语和定义适用于本文件。
3.1
政务计算机终端 governmentclientcomputer
支撑政务部门开展业务工作的计算机终端。
注:如桌面计算机、便携式计算机和虚拟桌面等。
3.2
核心配置 coreconfiguration
对核心配置项(3.3)进行参数设置的过程。
注:通过核心配置限制或禁止存在安全隐患或漏洞的功能,启用或加强安全保护功能,来增强计算机抵抗安全风险
的能力。
3.3
核心配置项 coreconfigurationitem
影响政务计算机终端系统或软件安全的关键参数配置项。
注:核心配置项类型包括开关项、枚举项、区间项和复合项。
1
GB/T30278—2024
3.4
核心配置项基值 coreconfigurationitembasevalue
按照配置要求对核心配置项设置的参数值。
3.5
核心配置基线 coreconfigurationbaseline
能满足计算机安全基本要求的一组核心配置项基值(3.4)构成的集合。
3.6
核心配置清单 coreconfigurationlist
由配置要求列项构成的一种列表,对核心配置项属性的形式描述。
3.7
核心配置基线包 coreconfigurationbaselinepackage
为实现核心配置基线(3.5)自动化部署而制定的一种具有特定语法格式的核心配置数据文件。
4 缩略语
下列缩略语适用于本文件。
BIOS:基本输入输出系统(BasicInputOutputSystem)
URI:统一资源标识符(UniformResourceIdentifier)
XCCDF:可扩展配置检查表描述格式(ExtensibleConfigurationChecklistDescriptionFormat)
XML:可扩展标记语言(ExtensibleMarkupLanguage)
5 概述
5.1 核心配置对象与范围
核心配置对象包括:连接到互联网、政务网络的政务计算机终端。
核心配置范围包括:BIOS、计算机操作系统、办公软件、浏览器、电子邮件客户端、安全防护软件、即
时通信软件。
注:其中办公软件包括文档软件、表格软件、演示软件等,安全防护软件包括杀毒软件、审计软件和防火墙软件等。
5.2 安全控制点
依据GB/T22239—2019中8.1.4和8.3.3等章节对于第三级安全计算环境的要求,表1 列出安全
控制点,第6章将依据安全控制点提出配置要求。
表1 安全控制点列表
安全控制点描述
身份鉴别包括账户登录和凭证管理
访问控制包括账户管理和权限分配
安全审计包括账户行为审计和资源访问审计
入侵防范包括对组件的保护功能开启、应用程序的更新升级
恶意代码防范包括杀毒软件的安装、升级和病毒查杀管理
可信验证包括可信验证配置和应用程序白名单管理
2
GB/T30278—2024
表1 安全控制点列表(续)
安全控制点描述
数据完整性包括对终端上数据的完整性保存、传输的配置
数据保密性包括对终端上数据的保密性保存、传输的配置
数据备份恢复包括本地数据备份、异地实时备份和热冗余配置
剩余信息保护包括临时文件、历史文件和虚拟文件管理
个人信息保护包括对个人信息的收集、使用和展示的配置
应用管控包括对应用安全性的配置和应用申请权限的配置
5.3 部署与实施
第8章给出了核心配置实施的流程指导,依据该章实施核心配置基线部署工作时,可根据终端规模
选择手动部署或自动化部署。核心配置基线包见附录A。
选择手动部署时,见附录B、附录C的编制核心配置清单,经内部审核后根据此清单对目标配置对
象进行人工逐项赋值并定期检查核心配置项。
对于有一定规模的政务终端核心配置应用场景,需要配备自动化部署及监测平台,协助完成核心配
置的编辑、验证、部署和监测工作。第7章给出了自动化部署及检测平台的功能要求。用户需按附录A
将核心配置清单落实为核心配置基线包,附录B给出了将配置要求落实为核心配置清单的示例,附录C
给出了将核心配置清单落实为基线配置文件的示例。
6 配置要求
6.1 BIOS配置要求
6.1.1 身份鉴别
身份鉴别配置要求包括:
a) 应启动身份鉴别机制,并设置符合安全策略的BIOS口令长度、复杂度;
b) 应限制连续登录失败次数,达到登录尝试次数后中止本次启动。
6.1.2 访问控制
访问控制配置要求包括:
a) 应默认关闭定时开机、远程模式控制开机等开机模式;
b) 在启用管理员账户和普通用户账户时,管理员账户应配置启动顺序,并设置优先从本地磁盘启
动,普通用户仅能查看启动顺序。
注:附录B给出了BIOS的访问控制配置示例。
6.1.3 可信验证
可信验证配置要求包括:
a) 应默认开启可信根模块和可信验证功能;
b) 应启用对BIOS自身的可信验证功能。
3
GB/T30278—2024
6.1.4 数据保密性
数据保密性配置要求包括:
a) 在硬件支持的条件下,应配置硬盘访问口令;
b) 在硬件支持的条件下,应启用硬盘加密功能。
6.2 操作系统配置要求
6.2.1 身份鉴别
身份鉴别配置要求包括:
a) 账户登录时,应启动身份验证机制,限制连续登录失败次数,连续多次登录失败后应锁定账户;
b) 应配置远程网络认证策略,选择安全的身份鉴别协议、密码保护技术,如具有防重放、防暴力破
解等机制;
c) 应启用账户鉴别数据存储安全配置,保护账户鉴别数据的存储安全;
d) 使用基于口令鉴别登录用户身份时,应配置符合安全策略的口令长度、复杂度、有效期并选择
合适的口令加密算法,应提示用户修改默认口令、禁止不设置口令;
e) 可配置启用基于数字证书技术的身份鉴别功能;
f) 可配置通过动态口令、生物特征识别等安全技术作为身份鉴别依据,包括但不限于:动态口令、
指纹、人脸、声纹、虹膜、指静脉等生物特征识别。
注:附录C给出了身份鉴别配置示例。
6.2.2 访问控制
访问控制配置要求包括:
a) 应禁用非必需账户、及时删除过期账户,给必需账户分配必要的最小权限集,例如禁用匿名账
户(Anonymous)、来宾账户(Guest)、产品支持账户(Support),默认禁用管理员账户(Administrator
、root),为普通用户设置最小访问权限;
b) 应根据账户权限范围限制对文件、硬件、驱动、内存和进程等重要资源的访问权限;
c) 应默认禁止非管理员账户权限提升操作;
d) 应默认关闭对互联网提供服务接口,默认禁止使用互联网远程协助服务。
6.2.3 安全审计
安全审计配置要求包括:
a) 应启用账户安全日志,记录账户的创建、更改、删除、启用、禁用和重命名等操作,记录账户登录
和注销、凭据验证、权限分配及变更、账户配置变更等操作;
b) 应启用系统日志,记录开关机信息,关键系统组件、程序的可信验证结果、网络连接日志,对系
统资源的访问及操作异常信息等。
6.2.4 入侵防范
入侵防范配置要求包括:
a) 应禁止移动存储介质中的可执行程序、脚本等自动运行;
b) 应启用对系统组件数据的自我保护功能,例如:数据执行保护(DataExecutionPrevention,
DEP)模式;
c) 应启用登录账户超时锁定功能,并设置唤醒口令;
4
GB/T30278—2024
d) 应关闭不必要的服务和端口;
e) 应配置最小安装原则,仅安装必要的系统组件和程序;
f) 应开启操作系统安全补丁在线自动更新功能。
6.2.5 可信验证
可信验证配置要求包括:
a) 操作系统安装后第一次初始化时,应启用并初始化可信根设备;
b) 每次启动、重启、休眠唤醒应启用对系统重要组件、配置参数等进行静态或动态的可信验证;
c) 系统应屏蔽特定的指令,避免可信根设备和设备内的数据被不恰当地设置、重置和读写,被非
平台角色获取平台权限;
d) 系统应开启可信根的抗字典攻击保护功能。
6.2.6 数据保密性
操作系统应开启基于密码技术的数据保护功能,保证政务终端上数据的保密性,例如:业务数据、系
统数据、日志数据。
6.2.7 数据备份恢复
应启用操作系统数据和用户数据的备份与恢复功能。
6.2.8 剩余信息保护
剩余信息保护配置要求包括:
a) 应禁止剪贴板存储信息与远程计算机共享;
b) 关闭系统时,应清除虚拟内存页面文件;
c) 断开会话时,应清除临时文件夹;
d) 系统应配置定期清理临时文件。
6.2.9 个人信息保护
个人信息保护配置要求包括:
a) 应配置禁止未授权访问和使用个人信息;
b) 应配置仅采集和存储必需的个人信息;
c) 应配置系统使用个人信息前询问用户。
6.2.10 应用管控
应用管控配置要求包括:
a) 应只允许通过安全认证的应用软件安装和运行,例如经过数字签名的软件;
b) 应限制应用软件的访问权限,禁止未授权应用软件访问终端信息,修改终端资源配置,收集、修
改、传输或删除终端数据。
6.2.11 数据发送控制
数据发送控制配置要求包括:
a) 对于本地计算机个人及用户信息数据,应配置禁止发送到境外区域;
b) 对于系统运行数据(业务数据、日志数据、遥测数据等),应配置禁止发送到境外区域。
5
GB/T30278—2024
6.3 办公软件配置要求
办公软件配置要求包括:
a) 应配置仅采集和存储必需的个人信息;
b) 应配置软件使用个人信息前询问用户;
c) 应禁止加载未签名插件;
d) 应配置禁止将用户数据发送到境外;
e) 应限用未数字签名的宏、脚本程序;
f) 应默认禁止网上下载联机图片和模板等资源,默认禁止访问超链接;
g) 协同办公场景下应默认启用加密传输协议;
h) 应开启办公软件安全补丁在线自动更新。
6.4 浏览器配置要求
6.4.1 访问控制
访问控制配置要求包括:
a) 应默认开启浏览器的沙箱模式或安全模式;
b) 应默认开启浏览器内网页使用麦克风、摄像头、地址位置等访问权限的提示,并经过用户允许
后才可使用;
c) 应默认阻止加载未签名、不安全的第三方组件,例如:控件、插件、扩展程序;
d) 应默认开启追踪保护等隐私保护功能。
6.4.2 入侵防范
入侵防范配置要求包括:
a) 若浏览器具备自我保护功能,应默认开启自我保护,防止非法软件侵害浏览器的运行安全;
b) 应开启下载安全扫描,阻止不安全的下载和执行;
c) 应开启浏览器软件安全补丁在线自动更新功能。
6.4.3 个人信息保护
个人信息保护配置要求包括:
a) 应默认关闭浏览器输入框自动关联功能;
b) 应设置浏览器在用户知情同意前提下最小限度收集个人信息。
6.4.4 剩余信息保护
应配置关闭网页时自动删除数据缓存文件(Cookie文件)、下载记录、访问网站历史记录和临时文
件,并清除其他缓存内容。
6.4.5 数据发送控制
应关闭软件内组件发送数据(用户数据、业务数据、日志数据、遥测数据等)到境外的功能。
6.5 电子邮件客户端配置要求
电子邮件客户端配置要求包括:
6
GB/T30278—2024
a) 应配置启动客户端后需输入用户名密码才能查看邮件内容;
b) 应禁止直接运行附件中存在安全隐患的文件类型;
c) 应禁止直接打开邮件中的超链接;
d) 对本地存储的邮件数据应开启加密功能;
e) 应配置邮件的数字签名验签和加解密功能;
f) 应开启加密传输协议收发邮件;
g) 应启用垃圾邮件过滤功能;
h) 应配置在删除登录的邮箱账户后清理该账户缓存数据。
6.6 安全防护软件配置要求
安全防护软件配置要求包括:
a) 应启用安全审计功能,对每个用户行为和安全事件进行审计;
b) 应启用对审计记录的保护功能;
c) 应开启自我保护功能,防止自身被恶意破坏;
d) 应开启对终端计算机的实时保护功能;
e) 应设置及时升级安全防护软件,开启自动更新特征库等功能;
f) 应设置定期进行安全扫描功能,发现恶意文件等立即隔离并提醒用户执行后续操作;
g) 若环境允许且安全防护软件支持,可开启云查杀功能。
6.7 即时通信软件配置要求
6.7.1 身份鉴别
身份鉴别配置要求如下:
a) 应默认开启多次身份鉴别失败后的账户锁定功能;
b) 应默认开启口令安全性控制策略,包括口令长度、字符组成等,避免使用含有账号信息的口令
及常见口令;
c) 应默认开启定期更改口令的策略。
6.7.2 访问控制
访问控制配置要求如下:
a) 应默认开启访问第三方业务资源的权限控制策略。
b) 应默认开启即时通信软件调用麦克风、摄像头、地址位置等访问权限的提示,并经过用户允许
后才可访问。
6.7.3 数据完整性和保密性
数据完整性和保密性配置要求如下:
a) 应默认开启数据传输过程中的数据加密能力;
b) 应禁止以明文形式将口令存储在系统中;
c) 若软件具有安全水印功能时,应默认开启该功能,显示位置宜包括:“聊天会话”“通讯录”等,显
示内容宜包括“身份标识码”“姓名”“日期”等;
d) 应默认开启本地磁盘中缓存数据加密的配置。
7
GB/T30278—2024
7 自动化部署及监测要求
7.1 自动化部署及监测平台逻辑架构
自动化部署及监测平台由4个基本功能组件构成,分别是配置编辑模块、配置验证模块、配置部署
模块和配置监测模块,如图1所示。其中,配置编辑模块主要用于将核心配置清单(简称配置清单)转换
成核心配置基线包;配置验证模块用于对核心配置基线包进行验证和测试,生成可部署的配置基线包;
配置部署模块用于对核心配置基线包进行自动化部署;配置监测模块用于对核心配置状态进行自动
监测。
图1 自动化部署及监测平台逻辑框架图
7.2 配置编辑功能要求
配置编辑功能用来生成核心配置基线包,安全管理员依照配置要求制定配置清单,并对其进行转换
和处理,生成可编辑、解析、分发和部署的核心配置基线包。配置编辑功能应包括基线包生成器和基线
包编辑器两个部件。
配置编辑功能要求如下:
a) 基线包生成器主要用于生成原始的核心配置基线包,可根据清单内容逐项录入或由清单模板
8
GB/T30278—2024
自动录入;
b) 基线包编辑器主要用于修改核心配置基线包中的配置项的基值,并可进行添加、修改、合并、删
除等编辑操作。
7.3 配置验证功能要求
配置验证功能用于验证核心配置基线包的有效性、适用性和兼容性,保证所要部署的配置基线包的
实施效果和安全。
配置验证功能要求如下。
a) 有效性测试可采用人工测试与工具测试相结合的方法,验证核心配置基线包是否生效。具体
要求包括:
1) 核心配置部署前,自动收集测试终端的脆弱性情况;
2) 核心配置部署后,检测核心配置项的实际赋值是否与基值相一致;
3) 对测试终端进行渗透测试,检验核心配置项是否发挥安全作用。
b) 兼容性测试用于测试核心配置项之间的兼容性,解决终端核心配置项之间的冲突问题。具体
要求包括:
1) 支持核心配置项的分析对比,找出有冲突的核心配置项;
2) 可修改存在兼容性问题的核心配置项。
c) 适用性测试用于评估核心配置基线对终端应用环境的影响,包括功能影响、性能影响、系统异
常风险等。具体要求包括:
1) 收集测试终端软硬件环境信息,识别操作系统版本,以及已安装的应用程序;
2) 针对具体的配置项,检查其影响范围,识别出受其影响的软件清单及其原因;
3) 识别异常现象,追溯其产生的原因,定位相关配置项;
4) 支持多用户环境下的适用性测试,支持常用软件和业务应用软件的适用性测试。
7.4 配置部署功能要求
配置部署功能可进行核心配置基线包管理、分发和部署执行,由基线包管理组件、基线包分发组件
和配置执行组件三个部分组成。
配置部署功能要求如下:
a) 基线包管理组件应具备核心配置基线包挂载、内容查看、网络分发,以及基线包更新和删除等
功能;
b) 基线包分发组件可将基线包按照IP区域定向分发到客户端,可采用服务器推送和客户端下载
相结合的分发模式;
c) 配置执行组件应能自动解析配置基线包赋值方法,并对配置项进行参数赋值,赋值前应对被配
置项或配置文件进行备份,然后执行赋值过程。
7.5 配置监测功能要求
配置监测功能是安全管理员掌握被配置终端核心配置状况的一个重要手段,应至少包含安装在终
端上的配置状态收集器、配置状态上报组件和部署在服务器上的配置状态分析器、配置状态图展示平台
等组件。
配置监测功能要求如下:
a) 配置状态收集器根据安全策略收集终端的核心配置项参数设置情况;
b) 配置状态上报系统用于将收集的配置状态上传至服务器;
c) 配置状态分析器用于对上报的配置状态与核心配置基线进行比对和统计分析;
9
GB/T30278—2024
d) 配置状态图展示平台通过图、表等展示手段输出配置状态分析结果。
8 实施流程
8.1 实施流程框架
政务计算机终端核心配置实施流程主要包括实施准备、基线制定、测试验证、配置部署、配置检查和
例外处理等六个阶段,如图2所示。
图2 核心配置实施流程图
8.2 实施准备
根据政务部门实际需求做好需求分析与调研工作、指定总体实施方案、提供组织保障,工作内容
如下。
a) 需求分析与调研:通过调研网络终端的分布、软硬件资产配备及应用情况,分析政务部门安全
目标和安全需求,从而确定实施终端核心配置的目标、范围和要求,并评估核心配置实施可能
带来的风险。
b) 制定总体实施方案:制定政务部门实施终端核心配置总体工作计划,指导后续工作开展,方案
的主要内容包括:
1) 工作计划:各阶段的具体工作计划,包括工作内容、工作形式、工作成果等内容;
2) 进度计划:核心配置实施的时间进度安排;
3) 平台搭建技术方案:规模应用条件下,依据第7章搭建配置自动化部署及监测平台,制定
平台建设技术方案,并在实施前完成平台搭建工作。
c) 提供组织保障:组建由领导层、管理层、相关业务骨干和安全技术人员构成的实施团队,必要
时,可聘请相关专业的技术专家和技术骨干组成专家小组,指导实施过程。组织核心配置技术
10
GB/T30278—2024
培训和安全教育,制定核心配置管理制度和工作流程,明确工作职责和任务,得到政务部门最
高管理者的支持和批准,必要时签署个人保密协议。
8.3 基线制定
根据政务部门确定的配置要求,制定核心配置清单,并利用核心配置自动化部署及监测平台生成核
心配置基线包,工作内容如下。
a) 制定核心配置清单:在第6章提出的配置要求的基础上,制定符合政务部门安全目标和安全要
求的核心配置清单。B.2和C.2列举了BIOS访问控制和操作系统身份鉴别配置清单示例。
b) 生成核心配置基线包:将清单内容逐项录入基线包生成器或者利用清单模板自动录入,可生成
原始的核心配置基线包,然后在此基础上进一步筛选配置项或者调节配置项基值,生成用于部
署的核心配置基线包,如B.3和C.3。
8.4 验证测试
本节主要目标是验证测试核心配置基线包的有效性、适用性和兼容性,降低首次部署核心配置基线
引发新安全风险的概率,工作内容如下。
a) 搭建测试环境:从验证核心配置基线包的有效性、适用性及兼容性的需求出发,搭建验证测试
环境。主要部署必要的硬件设备和测试工具软件,模拟终端的实际运行环境。
b) 验证测试过程:利用核心配置自动化部署及监测平台的配置验证模块分别进行核心配置有效
性、适用性和兼容性验证测试,记录测试结果,定位存在问题的核心配置项。
c) 调整配置:对存在有效性、适用性或兼容性问题的核心配置项参数进行修改和调整,重新生成
用于部署的核心配置基线包。原则上配置项的赋值不应低于基值。
8.5 配置部署
本节主要完成核心配置基线包的分发和本地执行工作,工作内容如下。
a) 配置分发:通过核心配置自动化部署及监测平台在划定的网络范围内,自动分发核心配置基线
包。可面向不同安全域,不同IP地址段,或者不同部门进行定向分发。
b) 配置执行:利用配置部署模块的客户端,或以手工方式,或镜像方式在本地计算机终端执行核
心配置项赋值过程。一般部署核心配置基线包前,可备份当前计算机终端的配置状态,以便部
署过程中出现问题时可及时恢复。
8.6 配置检查
核心配置部署完成后定期进行配置状态检查是保证终端始终处于安全状态的重要手段。本环节工
作重点是进行核心配置合规性检查,并及时纠正存在偏差的配置项参数值,工作内容如下。
a) 合规性检查:合规性检查主要检查终端核心配置状态是否达到核心配置基线要求,可定期(如
每月或每周一次)进行检查,或者通过部署核心配置监测模块进行实时监测,以保证终端核心
配置状态达标。
b) 纠正配置偏差:核心配置部署完成后,在实际运行过程中配置项值可能因软硬件环境变化、系
统调试需要,或人为原因等发生改变,使终端当前配置与配置项基值存在偏差,一般是低于配
置项基值。此情况下,应及时纠正配置偏差。
8.7 例外处理
政务部门首次部署核心配置基线时,宜充分考虑不同终端在软硬件资产配备方面的差异性。包括
但不限于个别终端的操作系统版本过低,不适用部署核心配置基线,或者软硬件不兼容情况等,均应作
11
GB/T30278—2024
为例外处理。本环节主要包括做好审批备案和制定整改计划工作,工作内容如下。
a) 审批备案:例外主要分如下三种情况。
1) 无法部署核心配置基线。
2) 可部分部署。
3) 需调低某些核心配置项值后进行部署。
安全管理员应及时将例外终端软硬件环境信息、例外原因、处理方法等报告领导层进行审
批备案。经过审批的例外终端可暂时不部署或部分部署核心配置基线,或者允许某些核
心配置项值暂时低于核心配置项基值进行部署。
b) 整改计划:例外处理是一种临时性处理措施,应制定针对例外终端的有效整改计划,包括整改
期限,整改措施,相关责任人等。整改计划经领导层审批后由管理层负责监督执行。
9 配置要求证实方法
9.1 BIOS配置要求证实方法
9.1.1 身份鉴别
身份鉴别要求的证实方法如下。
a) 证实方法:
1) 检查BIOS身份鉴别机制是否启用,尝试设置不满足BIOS口令长度、复杂度要求的口令;
2) 检查连续登录失败次数超过设定阈值时是否中止本次启动。
b) 预期结果:
1) BIOS身份鉴别机制已启用,尝试设置不满足BIOS口令长度、复杂度要求的口令失败;
2) 连续登录失败次数超过设定阈值时BIOS中止本次启动。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.1.2 访问控制
访问控制要求的证实方法如下。
a) 证实方法:
1) 检查定时开机、远程模式控制开机等开机模式是否默认关闭;
2) 在启用管理员账户和普通用户账户时,登录管理员账户查看是否配置启动顺序,并设置优
先从本地磁盘启动,登录普通用户检查是否仅能查看启动顺序。
b) 预期结果:
1) 定时开机、远程模式控制开机等开机模式已默认禁止使用;
2) 管理员账户已配置启动顺序,并设置优先从本地磁盘启动,普通用户仅能查看启动顺序。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.1.3 可信验证
可信验证要求的证实方法如下。
a) 证实方法:
1) 检查是否默认开启可信根模块和可信验证功能;
2) 检查对BIOS自身的可信验证功能是否启用。
b) 预期结果:
1) 已默认启用可信根模块,开启可信验证功能;
12
GB/T30278—2024
2) 已启用BIOS自身的可信验证功能。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.1.4 数据保密性
数据保密性要求的证实方法如下。
a) 证实方法:
1) 在硬件支持的条件下,检查是否配置硬盘访问口令;
2) 在硬件支持的条件下,检查是否启用硬盘加密功能。
b) 预期结果:
1) 在硬件支持的条件下,已配置硬盘访问口令;
2) 在硬件支持的条件下,已启用硬盘加密功能。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2 操作系统配置要求证实方法
9.2.1 身份鉴别
身份鉴别要求的证实方法如下。
a) 证实方法:
1) 检查账户身份验证机制是否启用、是否配置登录失败重试次数,尝试连续登录失败超过设
定阈值时是否锁定账户;
2) 检查远程网络认证策略项是否启用并选择了安全身份鉴别协议、密码保护技术,采用网络
数据包分析等技术,验证是否经过身份鉴别协议、密码技术保护来往数据;
3) 检查账户鉴别数据存储相关的安全配置是否启用,是否可通过本地、网络渠道另存为、修
改等技术手段获取、修改用户鉴别数据和用户身份数据;
4) 检查系统口令长度、复杂度、有效期、加密算法的配置项是否启用并合理设置,当有默认口
令时,是否提示用户修改默认口令,尝试不设置口令时是否提示设置失败;
5) 尝试配置使用基于数字证书技术的智能卡鉴别登录用户身份、登录系统,查看能否支持并
登录成功;
6) 当计算机终端有用于身份鉴别的生物特征识别设备时,检查生物特征识别设备是否默认
启用。
b) 预期结果:
1) 账户身份验证机制启用,连续登录失败超过设定阈值时账户锁定;
2) 远程网络认证策略项已启用并选择了安全身份鉴别协议、密码保护技术,网络数据包分析
结果为来往数据包受安全身份鉴别协议、密码技术保护;
3) 账户鉴别数据存储相关的安全配置已启用,通过本地、网络渠道的另存为、修改等技术手
段无法获取、修改用户鉴别数据和用户身份数据;
4) 已启用系统口令长度、复杂度、有效期、加密算法的配置并设置适当值,当用户使用默认口
令登录时提示用户修改默认口令,用户尝试清空或不设置口令时系统给出适当的禁止
提示;
5) 尝试使用智能卡登录操作系统,能成功登录系统;
6) 当计算机终端有用于身份鉴别的生物特征识别设备时,设备已默认启用。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
13
GB/T30278—2024
9.2.2 访问控制
访问控制要求的证实方法如下。
a) 证实方法:
1) 检查系统账户配置,与应配置账户对比,是否存在非必需账户[例如:匿名账户(Anonymous)
、来宾账户(Guest)、产品支持账户(Support)]和过期多余账户;检查默认登录账户
是否为管理员账户,检查系统所有账户权限配置,是否存在与其身份不符的访问权限;
2) 检查系统现有账户对系统资源的权限配置,如:文件、硬件、驱动、内存、进程等,是否存在
与其身份不符的访问权限;
3) 检查非管理员账户是否可进行未授权的账户权限提升操作;
4) 检查系统是否默认关闭对互联网提供服务的接口,是否默认关闭互联网远程协助服务。
b) 预期结果:
1) 系统中只存在必要账户,无过期账户;管理员账户非默认登录账户,所有账户权限与其身
份相符,未分配超出角色范围的访问权限;
2) 系统现有账户对系统资源的权限配置与其身份相符,未分配超出其角色范围的访问权限;
3) 非管理员账户不可进行非授权的账户权限提升操作;
4) 系统默认关闭了对互联网提供服务的接口,默认关闭了互联网远程协助服务。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.3 安全审计
安全审计要求的证实方法如下。
a) 证实方法:
1) 检查账户安全日志是否启用,检查账户安全日志里是否记录了以下的各项操作:账户的创
建、更改、删除、启用、禁用、重命名、账户登录和注销、凭据验证等;
2) 检查系统日志是否启用,检查系统日志是否记录了以下的各项信息:系统登录和注销信
息、关键系统组件、程序的可信验证结果、网络连接日志和对系统资源的访问及操作异常
信息等。
b) 预期结果:
1) 账户安全日志启用,且记录了账户安全日志中的各项操作;
2) 系统日志启用,且记录了系统日志中的各项信息。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.4 入侵防范
入侵防范要求的证实方法如下。
a) 证实方法:
1) 将存储有可自动运行的存储介质插入系统,查看介质中的程序是否自动运行;
2) 检查系统组件数据的自我保护功能是否启用;
3) 检测系统是否适当设置账户超时锁定时间;检查超时后是否锁定屏幕;唤醒时,是否需要
输入唤醒口令;
4) 使用系统自带或第三方工具检查操作系统是否开启了不必要的服务和端口;
5) 检测系统中是否安装有不必要的系统组件和程序;
6) 检查最新的安全补丁是否更新。
b) 预期结果:
14
GB/T30278—2024
1) 移动存储介质内程序未自动运行;
2) 已启用对系统组件数据的自我保护功能;
3) 系统超出空闲设定时间后,能锁定当前用户;系统被唤醒时,要求输入唤醒口令;
4) 系统仅开启了必要的服务和端口;
5) 系统满足配置最小安装原则,仅安装有必要的系统组件和程序;
6) 最新的安全补丁已更新。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.5 可信验证
可信验证要求的证实方法如下。
a) 证实方法:
1) 操作系统初始化后,登录操作系统,查看可信根设备是否完成初始化;
2) 使用操作系统工具或第三方工具获取可信根的动态或静态验证结果;
3) 执行平台权限指令(例如:TCM2_PP_Commands),查看指令执行结果;
4) 在可信根中创建加密对象后,使用不同错误的口令重复尝试打开加密对象。
b) 预期结果:
1) 登录操作系统查看,系统显示当前终端计算机上可信根设备已就绪;
2) 根据工具获取的可信验证结果判定系统是否启用动态或静态验证,若无其他故障干扰
时,无可信验证结果判定为未启用;
3) 平台权限命令执行失败;
4) 在超过尝试次数上限后,执行命令返回“对象已锁定”等近似表述的结果。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.6 数据保密性
数据保密性要求的证实方法如下。
a) 证实方法:
检查是否启用数据保护功能,使用磁盘数据恢复软件尝试恢复被加密的数据。
b) 预期结果:
数据保护功能启用且磁盘数据恢复软件无法识别被加密数据。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.7 数据备份恢复
数据备份恢复要求的证实方法如下。
a) 证实方法:
检查操作系统数据和用户数据的备份与恢复功能配置项是否配置、启用;执行数据备份、恢复
操作,确认是否能将操作系统数据和用户数据成功备份,是否能将操作系统和用户备份的数据
重新恢复。
b) 预期结果:
操作系统数据和用户数据备份与恢复功能配置项已配置启用;执行数据备份操作,操作系统数
据和用户数据能成功备份;执行恢复操作,能成功恢复操作系统数据和用户备份数据;
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.8 剩余信息保护
剩余信息保护要求的证实方法如下。
15
GB/T30278—2024
a) 证实方法:
1) 在系统运行期间,检查是否可通过远程计算机访问并获取剪切板存储信息;
2) 系统关闭后,检查计算机存储中是否保留有虚拟内存页面文件;
3) 系统会话断开后,检查系统临时文件夹区域中是否留有相应信息;
4) 检查系统配置中是否设置了定期清理临时文件夹,并且在设定时间过后,检查系统临时文
件夹是否被清理。
b) 预期结果:
1) 在系统运行期间,用户无法通过远程计算机访问并获取剪切板存储信息;
2) 系统关闭后,计算机存储中的虚拟内存页面文件已经被删除;
3) 系统会话断开后,系统临时文件夹被清空;
4) 系统启用了定期清理临时文件夹功能,并设置了间隔时间,在设定时间过后,系统临时文
件夹被清理。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.9 个人信息保护
个人信息保护要求的证实方法如下。
a) 证实方法:
1) 检查是否配置禁止未授权访问和使用个人信息;
2) 检查是否配置仅采集和存储必需的个人信息;
3) 检查系统使用个人信息时是否询问用户。
b) 预期结果:
1) 已配置禁止未授权访问和使用个人信息;
2) 已配置仅采集和存储必需的个人信息;
3) 系统使用个人信息前,提示用户同意或拒绝。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.10 应用管控
应用管控要求的证实方法如下。
a) 证实方法:
1) 检查未通过安全认证的软件是否可安装和运行;
2) 检查应用软件的访问权限,非授权应用软件对指定数据读、写、删除行为结果。
b) 预期结果:
1) 未通过安全认证的软件不可安装和运行;
2) 应用访问位置、摄像头等设备时提示用户选择是否允许,未授权软件无法对指定数据读、
写、删除。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.2.11 数据发送控制
数据发送控制要求的证实方法如下。
a) 证实方法:
1) 采用网络数据包分析等技术手段检查系统是否将个人及用户信息数据发送到境外区域;
2) 采用网络数据包分析等技术手段检查系统是否将运行中非必需的数据(业务数据、日志数
据、遥测数据等)发送到境外区域。
16
GB/T30278—2024
b) 预期结果:
1) 未发现个人及用户信息数据被系统发送到境外区域;
2) 未发现系统运行中非必需的数据被发送到境外区域。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.3 办公软件配置要求证实方法
办公软件配置要求的证实方法如下。
a) 证实方法:
1) 检查是否配置仅采集和存储必需的个人信息;
2) 检查软件使用个人信息时是否询问用户;
3) 尝试加载未签名插件;
4) 采用网络数据包分析等技术手段检查软件是否将用户数据发送到境外;
5) 检查是否限用无数字签名的宏、脚本程序,并尝试运行未签名的宏、脚本程序;
6) 尝试在软件内下载联机图片和模板等资源,尝试访问超链接行为;
7) 采用网络数据包分析等技术手段检查协同办公场景下来往数据包是否采用加密传输
协议;
8) 检查最新的安全补丁是否更新。
b) 预期结果:
1) 已配置仅采集和存储必需的个人信息;
2) 软件使用个人信息前,提示用户同意或拒绝;
3) 尝试加载未签名插件失败;
4) 采用网络数据包分析等技术手段未发现软件将用户数据发送到境外的行为;
5) 已配置限用无数字签名的宏、脚本程序,尝试运行未签名的宏、脚本程序失败;
6) 软件内下载联机图片和模板等资源失败,超链接访问失败;
7) 协作场景来往的网络数据包受加密传输协议保护;
8) 最新安全补丁已更新。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.4 浏览器配置要求证实方法
9.4.1 访问控制
访问控制要求的证实方法如下。
a) 证实方法:
1) 启动浏览器,查看是否处于沙箱模式或安全模式;
2) 检查浏览器内网页访问麦克风、摄像头、地址位置信息等是否有提示,用户允许/拒绝后网
页反馈信息;
3) 尝试为浏览器加载未签名、不安全的第三方组件,检查浏览器是否进行阻止;
4) 访问收集个人浏览数据行为的网站,检查浏览器是否有禁止收集并提醒。
b) 预期结果:
1) 启动浏览器后,默认进入沙箱模式或安全模式;
2) 浏览器提示用户是否允许访问,用户允许后可访问,否则拒绝访问;
3) 浏览器阻止加载未签名、不安全的第三方组件;
4) 浏览器阻止网站收集个人浏览数据行为。
17
GB/T30278—2024
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.4.2 入侵防范
入侵防范要求的证实方法如下。
a) 证实方法:
1) 若浏览器具备自我保护功能,使用第三方工具对正在运行的浏览器进行安全侵害(内存数
据、代码修改等),检查浏览器是否可正常运行;
2) 使用浏览器下载预备好的恶意可执行文件,检查是否进行安全扫描,并阻止不安全的文件
下载和运行;
3) 检查浏览器软件安全补丁版本与官网最新版本是否一致。
b) 预期结果:
1) 若浏览器具备自我保护功能,浏览器开启自我保护,可防止非法软件侵害浏览器的运行;
2) 浏览器下载文件可进行安全扫描,成功阻止不安全的文件下载和运行;
3) 浏览器软件安全补丁与官网浏览器版本一致。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.4.3 个人信息保护
个人信息保护要求的证实方法如下。
a) 证实方法:
1) 启动浏览器地址栏中输入网址并有提交操作,关闭浏览器,再次启动浏览器并访问该网
址,检查是否能自动关联该网址;
2) 检查浏览器安装时是否有用户服务协议、隐私政策等提示信息,并查看完整的服务协议和
隐私政策。
b) 预期结果:
1) 浏览器地址栏未自动关联之前的已访问网址;
2) 安装浏览器时提示用户服务协议、隐私政策,并可阅读完整条款。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.4.4 剩余信息保护
剩余信息保护要求的证实方法如下。
a) 证实方法:
关闭浏览器并重启浏览器,查看浏览器是否存在访问记录和下载文件的历史记录和临时文件。
b) 预期结果:
浏览器无Cookie文件、下载记录、访问网站历史记录和临时文件。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.4.5 数据发送控制
数据发送控制要求的证实方法如下。
a) 证实方法:
采用网络数据包分析等技术手段检查浏览器组件是否将数据(用户数据、业务数据、日志数据、
遥测数据等)发送到境外区域。
b) 预期结果:
采用网络数据包分析等技术手段未发现浏览器组件将数据发送到境外区域。
18
GB/T30278—2024
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.5 电子邮件客户端配置要求证实方法
电子邮件客户端配置要求的证实方法如下。
a) 证实方法:
1) 在电子邮件客户端登录账户,关闭并重新启动电子邮件客户端,检查是否需要输入账户
密码;
2) 尝试运行邮件中具有安全隐患的文件类型附件(例如可执行程序、脚本、宏);
3) 尝试打开邮件中的超链接;
4) 使用文本分析等工具或技术,尝试打开本地存储的邮件数据文件;
5) 检查是否开启邮件的数字签名验签,检查是否开启邮件加解密功能;
6) 采用网络数据包分析等技术手段检查来往数据包是否采用加密传输协议;
7) 检查电子邮件客户端是否启用并合理设置垃圾邮件过滤功能;
8) 检查被删除账户是否存在内存和硬盘等缓存数据。
b) 预期结果:
1) 重启后,电子邮件客户端等待用户输入账户密码;
2) 运行邮件中具有安全隐患的文件类型附件失败;
3) 打开邮件中的超链接失败;
4) 使用文本分析等工具或技术,尝试打开本地存储的邮件数据文件,文件内容加密,不可
读取;
5) 邮件的数字签名验签、邮件加解密功能已开启;
6) 采用网络数据包分析等技术手段检查来往数据包,数据包受加密传输协议保护;
7) 电子邮件客户端启用并合理设置垃圾邮件过滤功能;
8) 被删除账户内存和硬盘等缓存数据被清理。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.6 安全防护软件配置要求证实方法
安全防护软件配置要求的证实方法如下。
a) 证实方法:
1) 检查配置项,确认是否启用安全审计功能,查看安全日志,确认包含用户行为和安全事件
审计记录;
2) 尝试对审计记录执行增、删、改操作,并查看操作结果;
3) 检查自我保护配置项是否默认开启,尝试修改(更改、覆盖、替换、删除等)软件(组件、配置
项、数据等),确认是否会被阻止或修改失败;
4) 在确保验证环境安全、安全防护软件版本最新的条件下,将恶意代码复制到终端计算
机,查看安全软件行为;
5) 检查是否开启软件自动升级功能,是否开启特征库自动更新功能;
6) 检查是否设置了定期进行安全扫描的功能,发现恶意文件等时是否能立即隔离并提醒用
户执行后续操作;
7) 若IT环境允许、安全防护软件支持,检查云查杀功能是否开启。
b) 预期结果:
1) 安全审计功能已启用,用户行为和安全事件被记录在安全日志中;
2) 执行对审计记录的增、删、改操作失败;
19
GB/T30278—2024
3) 自我保护配置项默认开启,修改软件行为被阻止或修改失败;
4) 安全软件阻止恶意代码运行并向用户报告信息;
5) 软件开启了自动升级功能,开启特征库自动更新功能;
6) 软件设置了定期安全扫描功能,发现恶意文件等时,立即隔离并提醒用户执行后续操作;
7) IT环境允许、安全防护软件支持前提下,云查杀功能已启用。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.7 即时通信软件配置要求证实方法
9.7.1 身份鉴别
身份鉴别要求的证实方法如下。
a) 证实方法:
1) 检查连续登录失败次数超过设定阈值时是否锁定账户;
2) 设置或更改口令时,尝试输入不满足口令长度、复杂度要求的口令;
3) 检查超过更改口令周期要求后,是否会提示更改口令。
b) 预期结果:
1) 连续登录失败次数超过设定阈值时账户被锁定;
2) 设置或更改口令失败,提示重新输入;
3) 超过更改口令周期要求后,提示更改口令。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.7.2 访问控制
访问控制要求的证实方法如下。
a) 证实方法:
1) 尝试访问第三方业务资源,检查是否有控制措施;
2) 检查软件访问麦克风、摄像头、地址位置信息等是否有提示,用户允许/拒绝后软件反馈
信息。
b) 预期结果:
1) 访问第三方业务资源时有明确的用户提示,经过用户提示后才能继续访问。
2) 弹出提示框,询问用户是否允许访问,用户允许后可访问,否则拒绝访问。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
9.7.3 数据完整性和保密性
数据完整性和保密性要求的证实方法如下。
a) 证实方法:
1) 采用网络数据包分析等技术手段检查来往数据包是否采用加密传输协议;
2) 采用文本分析工具或技术分析软件的口令信息是否以明文形式存储在客户端;
3) 若软件具有安全水印功能时,默认配置下,查看关键界面是否显示水印(例如“聊天会话”
“通讯录”等界面);
4) 采用文本分析工具或技术分析软件的本地磁盘缓存数据,查看加密情况。
b) 预期结果:
1) 分析结果为:来往数据包受加密传输协议保护;
2) 分析结果为:客户端存储的口令信息受密码技术保护;
20
GB/T30278—2024
3) 若软件具有安全水印功能,可在关键界面看到水印信息;
4) 分析结果为:本地磁盘缓存数据受密码技术保护。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
10 自动化部署及监测要求证实方法
10.1 配置编辑功能
配置编辑功能的证实方法如下:
a) 证实方法:检查配置编辑功能是否具有基线包生成器和基线包编辑器,并具有要求中的功能;
b) 预期结果:配置编辑功能具有基线包生成器和基线包编辑器,具有添加、修改、合并、删除等
功能;
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
10.2 配置验证功能
配置验证功能的证实方法如下:
a) 证实方法:
1) 检查是否根据要求完成有效性测试并记录测试结果;
2) 检查是否根据要求完成兼容性测试并记录测试结果;
3) 检查是否根据要求完成适用性测试并形成测试结果。
b) 预期结果:
1) 完成有效性测试并记录测试结果;
2) 完成兼容性测试并记录测试结果;
3) 完成适用性测试并形成测试结果。
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
10.3 配置部署功能
配置部署功能的证实方法如下:
a) 证实方法:检查配置部署功能是否具有基线包管理组件、基线包分发组件和配置执行组件,并
具有核心配置基线包管理、分发和部署执行功能;
b) 预期结果:配置部署功能具有基线包管理组件、基线包分发组件和配置执行组件,并具有核心
配置基线包管理、分发和部署执行功能;
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
10.4 配置监测功能
配置监测功能的证实方法如下:
a) 证实方法:检查配置监测功能是否包含安装在终端上的配置状态收集器、配置状态上报组件和
部署在服务器上的配置状态分析器、配置状态图展示平台;
b) 预期结果:配置监测功能包含安装在终端上的配置状态收集器、配置状态上报组件和部署在服
务器上的配置状态分析器、配置状态图展示平台;
c) 结果判定:上述预期结果均满足判定为符合,其他情况判定为不符合。
21
GB/T30278—2024
附 录 A
(规范性)
核心配置基线包
A.1 概述
核心配置基线包包括如下文件,其中基线配置文件不可或缺,说明文件和基线配置工具两项可根据
具体情况选择包含如下内容。
a) 说明文件:说明当前核心配置基线包内容、注意事项、操作流程等。
b) 基线配置工具:用于当前基线包配置的专用工具或工具集。
c) 基线配置文件:用于对相关配置项及其取值进行规范性标记的文件,以实现自动化部署及
监测。
基线配置文件按照ISO/IEC18180:2013编写,采用可扩展配置检查表描述格式(XCCDF)描述核
心配置基准,使用到的XCCDF元素包括:、、、<xccdf:
value>和。
除非本文件中另有说明,ISO/IEC18180:2013XCCDF标准中其他可选元素都可由核心配置基线
包开发者自行决定是否包含。
A.2 XCCDF元素通用要求
XCCDF 元素、、、和<xccdf:
Group>,应符合以下要求:
a) 提供至少一个元素;
b) 提供至少一个元素。
A.3 元素
元素应满足以下要求。
a) 元素具有@xml:lang属性。
b) 元素具有@id属性,同一产品安全配置基准的各个修订版本具有相同的
@id属性值。
c) 元素表示基准文件的当前版本,同一产品安全配置基准的各个修订版本具有
不同的元素值,该值表示修订顺序,用以确定从原始基准开始的更新历史:
1) 元素的@time属性定义了基线配置文件时间戳;
2) 元素的@update属性用于指定获得基准更新的URI。
d) 元素表示基准文件的当前状态:
1) 以草案形式发布的文件的对应值为“draft”;
2) 正式发布文件的对应值为“accepted”;
3) @date属性为状态更改的日期(YYYY-MM-DD),该属性可选。
e) 提供元素,并至少包含表A.1中的都柏林核心元数据元素,见表A.1。如果
提供额外的都柏林核心元数据元素,应在表格要求的元素序列之后添加。都柏林核心元数据
元素按照GB/T25100—2010。
22
GB/T30278—2024
表A.1 中使用的都柏林核心元数据元素
都柏林核心元数据使用描述
基准创建者(个人、组织、机构)
基准发行者(个人、组织、机构)
基准创建贡献者(个人、组织、机构)
指示本基准的来源URI,可以是基准发布路径URL (UniformResourceLocator),统一资源
定位器或组织标识
A.4 元素
元素是可选项,基线配置文件内容通常包含一个或多个元素。
A.5 元素
每一个安全配置基准文档中应包含一个或多个元素,该元素可嵌套使用,表示安全
配置基准文档中规范条目之间的组织归类关系。
A.6 元素
A.6.1 元素要求
元素中应包含一个或多个元素或元素。
A.6.2 元素要求
元素用于标明目标系统基于当前的规则()所要进行的具体检查内容。
对元素提出如下要求:
1) 应包含0或1个元素。
2) 如果不包含元素,则应包含至少一个
元素。
3) 和元素不应同时出现。
A.6.3 元素要求
用于表达复杂的检查逻辑,通常情况下不必使用
元素。
元素内应包含元素,自身也可嵌套使
用,但每一次使用都应携带布尔逻辑参数,用于标明元素内的检查项之间的关
系,比如:
<xccdf:complex-checkoperator="or">
<xccdf:checksystem="xxx">
<xccdf:check-content-refhref="xxx.xml"name="xxx">
</xccdf:check-content-refhref="xxx.xml"name="xxx"></xccdf:checksystem="xxx"></xccdf:complex-checkoperator="or">
<xccdf:complex-checkoperator="and">
<xccdf:checksystem="xxx">

23
GB/T30278—2024
xx

</xccdf:checksystem="xxx"></xccdf:complex-checkoperator="and">

A.7 元素
可包含字符串、布尔值或数字内容,或这些内容的列表。元素可包括允
许的值、默认值和值限制范围的信息。
24
GB/T30278—2024
附 录 B
(资料性)
BIOS访问控制配置示例
B.1 概述
BIOS是计算机终端启动后执行的第一个程序模块,为保证计算机终端启动过程中的安全,以下内
容展示了落实BIOS的安全配置清单和基于安全配置清单产生配置基线包的过程。
B.2 核心配置清单示例
B.2.1 BIOS开机项检查
BIOS开机配置清单如下:
a) 检查是否启动了BIOS管理员账户;
b) 检查是否设置BIOS管理员口令;
c) 关闭定时开机功能;
d) 关闭远程开机功能。
B.2.2 BIOS启动顺序检查
BIOS启动顺序配置清单如下:
a) 当前用户无权限修改启动顺序;
b) 优先从本地硬盘启动。
B.3 核心配置基线包示例
B.3.1 BIOS开机检查项
<xccdf:valueid="xccdf_cgdcc_value_bios_admin_enabled_var"type="boolean"operator="equals">
EnabledBIOSAdministratorAccount
ThisvaluedetermineswhetherBIOSAdminaccountisenabledcheck.1=enabled

1
<xccdf:valueselector="disabled">0</xccdf:valueselector="disabled"></xccdf:valueid="xccdf_cgdcc_value_bios_admin_enabled_var"type="boolean"operator="equals">
<xccdf:valueselector="enabled">1</xccdf:valueselector="enabled">

<xccdf:valueid="xccdf_cgdcc_value_bios_admin_password_not_null_var"type="boolean"
operator="equals">
EnforceBIOSAdministratorPassword
Thisvaluedetermines whetherBIOSimplements Adminpasswordcheck.
1=set

1
<xccdf:valueselector="adminpswd">0</xccdf:valueselector="adminpswd"></xccdf:valueid="xccdf_cgdcc_value_bios_admin_password_not_null_var"type="boolean"
</xccdf:

25
GB/T30278—2024
<xccdf:valueselector="adminpswd">1

<xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_alarm_var"type="boolean"operator="
equals">
DisablePower-onByAlarm Option
Thisvaluedetermineswhethercomputercanbepower-onbyalarm check.
0= disabled

0
<xccdf:valueselector="disabled">0
<xccdf:valueselector="enabled">1

<xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_lan_var"type="boolean"operator="equals">
DisablePower-onByLAN Option
Thisvaluedetermineswhet</xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_lan_var"type="boolean"operator="equals"></xccdf:valueselector="enabled"></xccdf:valueselector="disabled"></xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_alarm_var"type="boolean"operator="
</xccdf:valueselector="adminpswd"></xccdf: