安全专家解读  

“过等保”，其实不难！

6月1日《网络安全法》正式实施，安全等级保护制度成为衡量“安全预防做得是否到位”的重要衡量指标。对于企业来说，等保是一个安全管理的“必过标杆”。您可能会认为过等保是一个非常艰巨，需要各方沟通的过程。看完阿里云安全专家易鑫的答疑，你会发现“过等保”，其实没有那么难。 

《网络安全等级保护基本要求》重点解读

1网络与通信安全

2设备与计算安全

3应用和数据安全

4安全管理策略

 

网络架构：应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；

访问控制：应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；

通信传输：应采用校验码技术或加解密技术保证通信过程中数据的完整性； 边界防护：应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信；

入侵防范：应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警；

安全审计：应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 

条款解读： 

1. 根据服务器角色和重要性，对网络进行安全域划分； 

2. 在内外网的安全域边界设置访问控制策略，并要求配置到具体的端口；

3. 在网络边界处应当部署入侵防范手段，防御并记录入侵行为；

4. 对网络中的用户行为日志和安全事件信息进行记录和审计； 

应对策略： 

推荐使用阿里云的VPC和安全组对网络进行安全域划分并进行合理的访问控制；Web应用防火墙防范网络入侵；态势感知的日志功能对用户行为日志和安全事件进行记录分析和审计；对于经常面临DDoS威胁系统，还可使用DDoS高防进行异常流量过滤和清洗。 

云上等保合规 

合规责任共担

等保合规生态

 

合规责任共担

阿里云平台与云上租户系统分别定级和测评；

阿里云平台测评结论可供租户系统测评时复用；

阿里云可提供

阿里云平台等保备案证明

阿里云测评报告关键页

阿里云云盾销售许可证

阿里云部分测评项说明

责任分担详解

阿里云是全国唯一一家参与和通过云计算等保标准试点示范的云服务商；公共云、电子政务云通过等级保护三级备案和测评；金融云通过等级保护四级的备案和测评；

根据监管部门明确的结论复用原则，阿里云上的租户系统通过等级保护测评时，物理安全、部分网络安全和安全管理的结论可以复用，阿里云可提供说明；

阿里云平台完备的安全技术和管理架构，以及阿里云提供的云盾安全防护体系，更有利于租户通过等级保护测评。 

等保实施流程

1STEP1 系统定级

2STEP2 系统备案

3STEP3 建设整改

4STEP4 等级测评

5STEP5 监督检查

信息系统运营使用单位按照《信息安全等级保护管理办法》和《网络安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草《网络安全等级保护定级报告》；三级以上系统，定级结论需要进行专家评审。

运营单位：确定安全保护等级，编写定级报告

阿里云：协调第三方机构为运营单位提供辅导服务

咨询或测评机构：辅导运营单位准备定级报告；组织专家评审（三级） 

安全合规架构 

基础合规架构

增强合规架构

增强合规架构

全面满足等保合规技术要求；

帮助您建立完整的安全技术架构，形成安全纵深防御；

等保基本要求

物理和环境安全

网络和通信安全

设备和计算安全

应用和数据安全

主要云产品

 高防IP 

 WAF 

 安骑士 

 态势感知 

 DB审计 

 堡垒机 

 证书 

 先知 

 安全管家 

物理和环境安全：包括机房供电、温湿度控制、防风防雨防雷措施等，可直接复用阿里云的测评结论；

网络和通信安全：包括网络架构、边界防护、访问控制、入侵防范、通信加密等；

设备和计算安全：包括入侵防范、恶意代码防范、身份鉴别、访问控制、集中管控和安全审计等；

应用和数据安全：包括安全审计、数据完整性和保密性

限时优惠 立即购买  

方案优势 

一站式等保测评服务 

甄选并联合各地服务质量优异的咨询和测评机构，提供一站式、全流程合规，大大降低运营单位投入

避免多点沟通和重复工作，减少运营单位投入

效率大大提高，最快两周完成测评

阿里云提供云上安全和合规更佳实践

平台合规助力租户合规 

金融云通过等保四级，公共云通过等保三级，显著提高租户在阿里云上系统的测评分数

阿里云金融云平台通过等保四级备案和测评

阿里云公共云平台通过等保三级备案和测评

平台的高等级合规显著提高租户测评分数

完备的安全防护体系 

通过完备的云盾安全架构，运营单位可以在阿里云上找到对应的产品，完成对不符合项的整改，全面满足等保要求

攻击防护：高防IP、Web应用防火墙、安骑士

安全审计：态势感知、堡垒机、数据库审计

数据加密与安全管理：证书服务、安全管家、先知 

基础等保合规解决方案 

 基础等保合规产品组合 

Web应用防火墙（高级版）：防入侵、防篡改，CC高级防护；

安骑士（专业版）：漏洞管理；基线检查；入侵检测；

态势感知（专业版）：实时监控、漏洞扫描、webshell检测、威胁分析；

证书服务（Globalsign OV通配符）:加密功能,对申请者做严格的身份审核验证,提供可信身份证明

限时优惠 立即购买 

 数据库审计（专业版） 

合规达成：满足外部审计对审计数据内容增量备份和存储时长要求，满足网络安全法对日志数据存储的要求

全量审计：支持对RDS云数据库、ECS自建数据库的审计，最大程度的满足云上用户数据库审计需求

快速识别：可实现99%+的应用关联审计、完整的SQL解析、精确的协议分析

高效分析：每秒万次入库、海量存储、亿级数据秒级响应

专业版支持3个数据库实例

限时优惠 立即购买 

 堡垒机（企业版） 

审计合规：满足《萨班斯法案》、金融监管、《等级保护》的审计要求

高效易用：管理界面简洁易用，可快捷同步当前云帐号中的ECS列表

多协议支持：支持SSH、Windows远程桌面、SFTP等常见运维协议

追溯回放：追溯运维操作的的故障，在线回放操作的记录

企业版支持100资产，100并发会话

限时优惠 立即购买 

 先知 . 等保合规服务 

专业：阿里云联合各省市有资质的等保测评中心，为您提供专业测评服务。

省心：帮助云上、云下企业快速过等保。您只需要一键申请，剩下的事情交给阿里云。

现场服务：等保测评中心为您量身定制测评方案，现场进行测评

一站式：就测评中发现的安全问题，阿里云为您提供一站式的安全解决方案。

立即申请 

增强等保合规解决方案 

 增强等保合规产品组合 

Web应用防火墙（企业版）：专业版所有功能；Oday补丁防御、防信息泄露

安骑士（企业版）：专业版所有功能；增强漏洞管理

态势感知（企业版）：专业版所有功能；支持https、ATP识别

证书服务（Globalsign OV通配符）:加密功能,对申请者做严格的身份审核验证,提供可信身份证明

DDoS高防（三线）：全业务支持、防御游戏CC攻击、网站CC攻击

安全管家（企业版）：全方位安全托管、漏洞管理和风险评估

先知安全众测：全面发现业务漏洞及风险

限时优惠 立即购买 

 数据库审计（高级版） 

合规达成：满足外部审计对审计数据内容增量备份和存储时长要求，满足网络安全法对日志数据存储的要求

全量审计：支持对RDS云数据库、ECS自建数据库的审计，最大程度的满足云上用户数据库审计需求

快速识别：可实现99%+的应用关联审计、完整的SQL解析、精确的协议分析

高效分析：每秒万次入库、海量存储、亿级数据秒级响应

高级版支持5个数据库实例

限时优惠 立即购买 

 堡垒机（旗舰版） 

审计合规：满足《萨班斯法案》、金融监管、《等级保护》的审计要求

高效易用：管理界面简洁易用，可快捷同步当前云帐号中的ECS列表

多协议支持：支持SSH、Windows远程桌面、SFTP等常见运维协议

追溯回放：追溯运维操作的的故障，在线回放操作的记录

旗舰版支持无限资产，1000并发会话

限时优惠 立即购买 

 先知 . 等保合规服务 

专业：阿里云联合各省市有资质的等保测评中心，为您提供专业测评服务。

省心：帮助云上、云下企业快速过等保。您只需要一键申请，剩下的事情交给阿里云。

现场服务：等保测评中心为您量身定制测评方案，现场进行测评

一站式：就测评中发现的安全问题，阿里云为您提供一站式的安全解决方案。

立即申请  

成功案例 

智融集团专注于以人工智能为核心的新金融技术，旗下包含为非传统金融机构目标人群提供小额周转的金融服务APP“用钱宝”，基于机器学习及大数据计算的人工智能风控引擎“I.C.E.”，以及信贷过程管理体系“慧诚帮帮PaaS”三大业务版块。  

DDOS

WAF

AEGIS

CAS

SAS

XIANZHI

智融集团 

北京闪银奇异是中国第一家互联网信用评估公司，其开发的Wecash闪银奇异是目前国内先进的大数据信用评估平台。Wecash闪银是中国首家互联网信用评估平台，依托数据挖掘分析和机器学习技术，实现快速精准的信用评估。  

DDOS

WAF

AEGIS

CAS

SAS

闪银奇异 

北京乐钱金融信息服务有限公司致力于中小微企业债发行中介以及大型企业融资方案设计，为投资人提供互联网金融中介信息服务，并通过OFC（在线理财咨询师）模式，向高净值会员提供非标准化的资本市场投资服务。 

 DDOS

AEGIS

CAS

SAS

乐钱 

全球影像网以医疗影像的采集、传输、云存储为基础，满足医院远程会诊、双向转诊，医生移动阅片、远程影像诊断/示教、远程视频问诊等一系列医疗综合应用需求，为当下“看病难、看病贵”等社会问题提供解决之道。 

DDOS

WAF

AEGIS

SAS

全球影像