GB/T 25068.2-2020.Information technology-Security techniques-Network security-Part 2: Guidelines for the design and implementation of network security.
1范围
GB/T 25068.2为组织给出了计划.设计、实施和记录网络安全的指南。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
ISO/IEC 7498(所有部分)信息技术 开放系统互连 基本参考模型(Information technology-Open systemns interconnection- Basic reference model)
ISO/IEC 27000 : 2009信息技术 安全技术 信息安全管理体系概 述和词汇(Information technology-Security techniques-Information security management systems-Overview and vocabulary)
ISO/IEC 27001:2005信息技术 安全技术信息安 全管理体系要求( Information technology-Security techniques- Information security management systems-Requirements)
ISO/1EC 27002:2005信息技术安全技术 信息安 全管理实用规则(Information technology-Security techniques-Code of practice for information security management)

ICS35.040
中华人民共和国国家标准
GB/T25068.2—2020/ISO/IEC27033-2:2012代替GB/T25068.2—2012
安全技术
信息技术
网络安全
第2部分：网络安全设计和实现指南InformationtechnologySecuritytechniquesNetworksecurity-Part 2: Guidelines for the design and implementation of network securit（ISO/IEC27033-2:2012,IDT）
2020-11-19发布
国家市场监督管理总局
国家标准化管理委员会
2021-06-01实施
GB/T25068.2—2020/IS0/IEC27033-2:2012目
规范性引用文件
术语和定义
缩略语
文档结构
网络安全设计准备
资产识别免费标准下载网bzxz
需求收集
需求审查
现有设计和实施的审查
网络安全设计
设计原理
设计核验
网络安全实现
网络组件选择标准
产品或供应商的选择标准
网络管理
日志、监视和事件响应
测试计划与测试实施
附录A（资料性附录）
附录B（资料性附录）
附录C（资料性附录）
参考文献
本部分安全控制部分与ISO/IEC27001：2005、ISO/IEC27002:2005相关章条号的交叉引用.
文档模板示例
ITU-TX.805框架和ISO/1EC27001:2005控制要素的映射-rrKaeerKa-
GB/T25068.2—2020/ISO/IEC27033-2:2012言
GB/T25068《信息技术安全技术网络安全》目前分为以下5部分：第1部分：综述和概念；
第2部分：网络安全设计和实现指南；一一第3部分：参考网络场景一一风险、设计技术和控制要素：一第4部分：使用安全网关的网间通信安全保护；第5部分：使用虚拟专用网的跨网通信安全保护。本部分为GB/T25068的第2部分。本部分按照GB/T1.1一2009给出的规则起草。本部分代替GB/T25068.2—2012信息技术安全技术IT网络安全第2部分：网络安全体系结构》，与GB/T25068.2—2012相比，主要技术变化如下：删除了“网络安全参考体系结构”“安全维”安全层”“安全面”“安全威胁”“对安全维应用于安全层所实现目标的描述”等内容，增加了“文档结构”“网络安全设计准备”网络安全设计\“网络安全实现”等内容（见第5章～第8章，2012年版的第5章～第10章）；修改了第1章范围的内容（见第1章，2012年版的第1章）；删除了规范性引用文件GB/T9387.2-1995的引用，增加了ISO/IEC27000：2009、ISO/IEC270012005、ISO/IEC27002：2005、ISO/IEC27005：2011、ISO/IEC7498（所有部分）、ISO/IEC27033-1的引用（见第2章，2012年版的第2章）；一删除了第3章的术语和定义，修改了引导语（见第3章，2012年版的第3章）；删除了“ASP\“ATM\“DHCP\“DNS\“DS-3”“Ipsec\“MD5\\Megaco/H.248”\MPLS”\OAM&P\\OSI\“POP\\PSTN\\PVC\\QoS\\SHA-1\\SIP\\SNMP\\SONET\“SS7”“SSL\\VLAN”等缩略语，增加了“IPS\\POC\\RADIUS”\SMS\\TACACS\\TFTP”等缩略语（见第4章，2012年版的第4章）。本部分使用翻译法等同采用ISO/IEC27033-2：2012《信息技术安全技术网络安全第2部分：网络安全设计和实现指南》。与本部分中规范性引用的国际文件有一致性对应关系的我国文件如下：GB/T9387（所有部分）
分），IDTJ；
GB/T22080—2016
2013,IDT);
GB/T22081—2016
GB/T25068.12020
27033-1:2015,IDT);
GB/T29246—2017
27000:2016,IDT);
GB/T31722—2015
开放系统互连
基本参考模型[ISO/IEC7498（所有部信息技术
信息技术
信息技术
信息技术
信息技术
信息技术
安全技术
安全技术
要求（ISO/IEC27001：
信息安全管理体系
信息安全控制实践指南（ISO/IEC27002：2013，安全技术
安全技术
安全技术
网络安全第1部分：综述和概念（ISO/IEC信息安全管理体系概述和词汇（IS()/IEC信息安全风险管理（ISO/IEC27005：20081
rKaeerkAca-
GB/T25068.2-—2020/IS0/IEC27033-2:2012本部分由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本部分起草单位：黑龙江省网络空间研究中心，中国电子技术标准化研究所、北京安天网络安全技术有限公司、杭州安恒信息技术有限公司、哈尔滨理工大学、西安西电捷通无线网络通信股份有限公司，本部分主要起草人：曲家兴、方舟、谷俊涛、张宏国、李锐、宋雪、马遥、王大萌、吴琼、树彬、刘佳、姜国春、冯亚娜、张弘、司丹、张驰、于海宁。本部分所代替标准的历次版本发布情况为：GB/T25068.2—2012
-riKaeerkca-
1范围
GB/T25068.2—2020/ISO/IEC27033-2;2012信息技术安全技术网络安全
第2部分：网络安全设计和实现指南GB/T25068的本部分为组织给出了计划、设计、实施和记录网络安全的指南。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO/IEC7498（所有部分）信息技术开放系统互连基本参考模型（InformationtechnologyOpen systems interconnection-Basic referencemodel)ISO/IEC27000：2009信息技术安全技术信息安全管理体系概述和词汇（Informationtechnology—Security techniques-Information security management systemsOverview and vocabu-lary)
ISO/TEC27001：2005信息技术安全技术信息安全管理体系要求（InformationtechnologySecuritytechniques-Informationsecuritymanagementsystems-Requirements)IS0/IEC270022005信息技术安全技术信息安全管理实用规则（InformationtechnologySecurity techniquesCode of practice for information security management)ISO/IEC27005：2011信息技术安全技术信息安全风险管理（Informationtechnology—Secu-ritytechniquesInformation security riskmanagement)ISO/IEC27033-1信息技术安全技术网络安全第1部分：综述和概念（Informationtechnology-Securitytechniques—-Network security--Part:(verview and concepts)3术语和定义
IS0/IEC7498（所有部分）、ISO/IEC27000：2009、ISO/TEC27001：2005、ISO/IEC27002：2005、ISO/IEC27005：2011和ISO/TEC27033-1界定的术语和定义适用于本文件，4缩略语
下列缩略语适用于本文件。
IPS：人侵防御系统（IntrusionPreventionSystem）P(C：概念证明(Proofof Concept)RADIUS：远程认证拨号用户服务（RemoteAuthenticationDial-InUserService）RAS：远程访间服务（RemoteAccessService）SMS：简单消息服务（SimpleMessageService）SMTP：筒单邮件传输协议（SimpleMailTransferProtocol）TACACS：终端访问控制器访间控制系统（TerminalAccessControllerAccess-ControlSystem）1
-riKacerKAca-
GB/T25068.2—2020/IS0/IEC27033-2:2012TFTP：简单文件传输协议（TrivialFileTransferProtocol)TLS：传输层安全协议（TransportLayerSecurity）文档结构
本部分的结构包括
一网络安全设计准备：
.概述
资产识别：
·需求收集；
·需求审查，
现有的设计和实施的审查。
一网络安全设计：
概述：
设计原则；
设计核验。
一网络安全实现：
概述；
网络组件的选择标准；
产品或供应商的选择标准；
网络管理：
日志、监视和事件响应；
文档；
测试计划和实施测试；
核验。
6网络安全设计准备
网络安全的目标是促进能够提高组织业务流程的信息流，阻止降低组织业务流程的信息流。网络安全设计与实现的准备工作包括如下阶段：资产识别；
需求收集；
需求审查；
技术选择和技术约束的评估；
现有设计和实施的评估。
这些阶段宜形成早期的文档，该文档包括：后续设计与实施阶段的所有输人。6.2资产识别
对任何网络来说，资产识别是确定信息安全风险的首要步骤。有些资产如果被不适当地泄露、修改或失效，将会影响组织的业务流程，这样的资产都需要保护。需要保护的资产包括物理资产（服务器、交换机、路由器等）和逻辑资产（配置设置，可执行代码、数据等）。作为持续性计划/灾难恢复风险分析的一部分，资产登记宜提前执行。需要解决如下间题：2
-rrKaeerkAca-
GB/T25068.22020/ISO/1EC27033-2:2012一需要保护的不同类型的网络设备和设施分组有哪些：一需要保护的不同类型的网络活动有哪些：一需要保护哪些信息资产和信息处理能力：一一信息资产存储于信息系统架构的哪个位置。可识别的资产包括安全支持管理、控制和用户流量所需的资产，以及网络基础设施、服务和应用程序正常生效的功能，这就包括主机、路由器、防火墙等设备，接口（内部和外部），信息存储/处理和使用的协议。基础设施资产的保护仅是网络安全设计目标的一部分。最终目标是保护商业资产，例如信息和业务流程。
6.3需求收集
6.3.1法律和监管需求
宜收集和审查法律监管对当地与网络功能的要求，以保证这些要求在网络设计中得到满足。宜特别注意跨管辖或监管边界的信息流。在这种情况下，需要记录边界两侧的要求。6.3.2业务需求
组织的业务流程和数据分类类型决定了其访间需求。网络宜配置成这样：对于适当授权的用户能够访向信息资产，并且阻止其他的访问。信息访问通常和一些服务相关，这些服务可建立在开放端口（例如TCP端口80的HTTP服务）、特定主机（如example.org，IP地址为10.11.12.13），特定主机组（例如172.128.97.64/24子网）或特定的网络接口设备（如MAC地址为10：00：00：01：02：03的接口）。该组织需要识别哪些是向他人提供的服务、哪些是由他人提供的服务以及哪些是内部服务。6.3.3性能要求
流量数据能够记录通信线路、服务器和安全网关/防火墙的配置，以便实现用户所期望的高水平服务一一没有“过度配置”以及相关不必要的成本。宜收集的信息诸如现有通信连接的速度，任何位于第三方路由器的配置/容量，每个链接充许访向的用户数（并发访问和访问的用户数量），所需的最小，单均和最大用户连接时间，可访问的授权用户身份，网页点击次数，数据库访问的点击率，未来一年和三/五年的增长预期，以及是否需要窗口登录。可使用电信表（排队）理论来确定所需端口、信道的数量，特别是援号链路上的端口和信道。宜对性能要求进行审查·排除疑问，性能标准要求需满足已经确认的技术架构和相关的技术安全架构。
6.4需求审查
当前的性能和任何计划的技术网络架构的变化都需要进行审查，并和开发中的技术安全架构进行比较以发现不兼容之处。这些不兼容之处都需要重新审查并且进行适当的架构调整。在审查过程中收集到的信息宜至少包括以下内容：一正在使用的网络连接类型的识别；一安全风险的确定
一制定技术安全体系架构和安全控制的需求列表：使用的网络协议；
在网络各个层面使用的网络应用。信息的收集宜考患网络性能。宜获得相关网络体系结构的详细信息，并对此进行审查，以便为接下来的过程步骤提供必要的理解和衔接。尽早明确这些内容，确定相关的安全需求识别标准、识别控制区域、审查安全体系结构的技术选项并决定哪些宜被采纳，可获得更高效更可行的安全解决方案。例如3
HKaeerKAca-
GB/T25068.2—2020/ISO/IEC27033-22012由于位置的关系，建立所有网络连接只能集中通过一个管道，那么对于选定的地点来说，针对多种不同通道所设置的允余连接的安全控制，就是无用无效的。其他控制也要设身处地考虑，才能找到保护网络连接的最优方式。
在早期阶段，如果当前架构下尚未实现能被接受的安全解决方案，则宜为网络和应用架构预留出时间，以使对这些架构进行审查和必要的修改。6.5现有设计和实施的审查
现有安全控制审查宜依据安全风险评估和臂理审查的结果来进行。安全风险评价的结果可指明被评估风险相应的安全控制需求。需对当前网络安全架构进行差距分析，以确定现有的网络安全体系结构中还有哪些问题还未解决。
网络安全体系结构宜包括现有的网络控制以及任何遗漏和新的安全控制。7网络安全设计
7.1概述
网络安全体系结构限制了不同信任城之间的数据流量。信任域之间最明显边界是一个组织内部网络和外部世界之间的接口。任何规模的组织，都会在可被识别和控制的内部信任域之间确立边界。网络安全体系结构包括：组织或行业内部网络与外界之间接口的措述，反映上述6，4中提到的审查要求，并解决如何保护组织免受IS0/1EC27033-1中描述的常见风险和弱点的攻击7.2提供了最佳实践设计指南，ISO/IEC27033-4及之后部分给出了针对当前和未来特定网络技术的网络安全体系结构指南，以及在特定场景下组织的设计指南。ISO/1EC27033-3给出了一个组织所需的特定网络场景的指南，
需求调研过程中形成的技术设定宜形成文档，例如：一只有授权访间的IP宜被允许通信（防火墙通常支持IP通信·如果允许并人其他协议，可能会造成管理困难)；
一一如果需要引人非IP协议，宜视其为处于安全体系架构之外或利用隧道技术的协议来实现接人。
网络安全体系结构通常包含服务，包括但不限于：身份验证和授权L密码、令牌、智能卡、证书、RAS/RADIUS/终端访问控制系统（TACACS+）等：
逻辑访问控制（单点登录、基于访问控制的角色、可信数据库、应用程序控制、防火墙、代理设备等）：
安全审计和核查（审计日志、审计日志分析设备、人侵检测设施写一次读多次（WORM）设备等)；
存储清理/安全删除（可控“擦除“设施）；安全测试（脆弱性扫描、网络监听、渗透测试等）；安全的开发环境（独立开发和测试环境、免编译器等）：一软件变更控制（配置管理软件、版本控制等）：一安全软件部署［数字签名、安全套接层（SSL）协议，TLS协议（RFC5246）等]：安全维护和可用性（良好的备份/恢复设施、恢复、聚类、数据仓库、多样性通信等）；传输安全[传输加密的使用、扩频技术、无线局域网（WLAN）、虚拟专用网/外联网］。4
-iiKaeerkAca
7.2设计原理
7.2.1概述
GB/T25068.2—2020/ISO/IEC27033-2:2012设计失败是与网络安全体系结构相关的常见风险，是由不好的设计，对业务连续计划缺少适当的考虑或设计无法对当前或未来风险等级做出响应等引发。覆盖所有已识别的安全控制和业务需求是开发安全体系架构的必要条件。通用的网络安全设计实践大多包括这些要素。IS0/1EC27033-4及之后的部分详细介绍了网络技术安全体系架构最佳实践的设计与实现。关于最佳实践实施的更多详细指导可参阅其他出版物。
以下各条提供了在考虑网络安全体系结构时需遵循的设计最佳实践的一般指导。7.2.2纵深防御
组织不能仅从一个视角来看待网络安全，需通过一种整体分层方法来进行综合考虑。安全宜全面覆盖所有网络层。采用分层方法的网络安全体系结构就称为纵深防御。安全组件是一个集策略、设计、管理和技术于一体的组合。每一个组织都需要确定需求，并设计一个基于这些需求的纵深防御。许多移动设备有USB和网络连接，以及无线功能。这些设备可以移动自组网（Ad-hoc）方式连接到内部网络或内部系统，如果这是在设备的无线连接打开和未加密的情况下完成的，这些设备可能成为内部网络上的恶意无线接入点，从而绕过周边控制，宜采取严格措施，以限制不安全的移动设备连接到网络，并宜为检测恶意无线接人点而执行日常的无线信道扫描。所有无线接入点宜位手非军事区内。内部网络的无线接入点宜有产格的连接设置：最强的安全保护措施（在可能的情况下设置WPA2)，使用MAC地址过滤以限制有设备连接到已授权的设备。ISO/IEC27033-3提供了更多关于移动通信技术和相关控制风险的细节。纵深防御原则体现了通过多个安全控制或安全技术的帮助以减少风险的用法，风险是来自于被破坏或被规避的防御组件。例如，当防火墙和同一环境中的服务器上已经有病毒保护时，可在单个工作站上安装防病毒软件。来自多个供应商的不同的安全产品可能被部暑用来防御网络中的不同的潜在载体，帮助防止任何一个防御出现短板，以防可能导致更大范围的失效，这种防御方法被称为“分层方法”。图1显示了边界安全，基础设施安全，主机安全，应用程序安全和数据安全。所有的层都是为了保护数据。
基础设施
应用程序
图1纵深防御
基于分层方法的安全解决方案是灵活和可度量的，该解决方案适用于组织的安全需求。7.2.3网络分区
网络分区指将不同敏感度等级（不同风险容忍度和敏感度）的系统资源置于不同的安全分区，在系统内创建了一种方法，即在系统的特定区域内，只使用执行任务所必需的数据（例如，只有在互联网上提HKaeerKAca-
GB/T25068.2—2020/ISO/IEC27033-2:2012服务的服务器才在公共DNS上注册）。安全网关（专用防火墙设备、IPS设备中的防火墙功能，以及网络路由器和交换机中的访问控制列表)就是用来保证所需的网络流量，限制不必要的网络流量。有了适当的布局和配置，安全网关有助于创建安全架构，将网络基础设施划分为安全区域并控制它之间的通信。如何布局和配置安全网关详见IS()/1EC27033-4.划分原则体现出以下网络安全设计规则：一一不同敏感度的网络宜设在不同的安全区！·为外网提供服务（例如互联网）的设备和计算机系统宜位于不同的区域（非军事区一DMZ）内网设备和计算机系统则无需进行分区：战略资产宜设在专用安全区；
。低信任级别的设备和计算机系统，如远程访问服务器和无线网络接入点宜设在专用安全区。
一不同类型的网络宜位于不同的安全区：用户工作站宜同服务器位于不同的安全区；网络和安全管理系统宜设在专用安全区：在开发阶段的系统宜同产品系统位于不同的区域。7.2.4弹性设计
网络安全设计宜包括几层的元余，以防备单点故障并最大限度地提高网络基础设施的可用性。这包括使用穴余接口、备份模块、待机装备和拓扑完余路径。此外，设计还使用了一组富功能设置，以使网络对攻击和网络故障具有更强的抵抗力。7.2.5场景
对网络环境的审查，通常围绕与已定义的网络风险、设计考量和控制要素等特征相关的特定网络场景和相关的“技术”主题。对于审查技术安全架构/设计选项，选择和记录与首选技术安全架构/设计的相关安全控制来说，这些信息是非常有用的ISO/IEC27033-3引用了此类场景，对每个场景的安全风险和安全设计技术与控制要素提供了详细的指导，以应对这些风险。
7.2.6模型和框架
安全系统工程组件包括安全模型或框架的选择、使用和制定。安全模型通常关注通过访问控制实现的保密性或信息完整性，其中一些是正式定义的，另一些是非正式定义的典型的安全模型聚焦于进入过程的保密性或信息的完整性，其中一些被正式定义和其他被非正式的定义。
安全框架通常为组织提供一种如何形成安全系统大纲的方法，框架的实例是ITU-TX.805。ITUTX.800系列的首要框架是ITU-TX.805，其适用于终端到终端的网络安全机制，为此，X.805定义了安全维度的概念，这些维度包括工具容器、技术、标准、法规、程序等。这些维度涵盖了安全的方方面面。X.805定义了一个避免允余安全的机制，通过识别某一层（特指在X.805中的层）的能力来保护另一个层，从而降低了安全解决方案的整体成本。X.805是一个通用的安全框架且不提供任何特定信息系统或组件的规范。相反，它指定了安全规则和目标的安全功能，以促进终端到终端的网络安全。附录C提供了ITU-TX.805如何在ISO/TEC27001：2005控制支持下进行应用，7.3设计核验
已完成的网络安全设计的核验工作宜由适当级别的管理人员验收。6
-iKaeerKca-
网络安全实现
GB/T25068.2—2020/ISO/IEC27033-2:2012网络安全宜基于第7章描述的网络安全设计来实现。网络安全的实现步骤主要包括：分区和分块：
网络组件选择标准：
产品或供应商选择标准：
网络管理；
记录、监视和事件响应；
文档：
测试计划与测试实施；
核验。
网络组件选择标准
对于任何安全网络设计而言，都会用到通用组件的组合。这些组件的组合将创建一个技术层面上的网络安全设计，第8章和ISO/IEC27033-3以及之后的部分将讨论下列组件的细节。这些组件形成一定组合，以满足在6.4中所反映的需求这些组件可包括：分区和分块：
安全管理系统（例如监视和配置管理）；基本安全技术，例如身份管理、密码等；网络准人控制设备；
风险前减技术；
边界设备：
网络过滤器，例如防火墙和远程访问设备的内容监测；人侵检测系统/入侵防御系统；
端点保护：
路由器和交换机；
外网连接。
8.3产品或供应商的选择标准
产品选择不宜孤立的进行，宜建立一个与网络安全体系结构设计相关联的选代过程。举例来说，产品选择宜基于以下内容：一产品的技术适用性和优点；
一性能；
协议支持；
弹性；
兼容性；
可扩展性：
网络管理设施；
审计能力；
一致性；
-rrKaeerkAca-
GB/T25068.2-2020/1S0/IEC27033-22012—技术文档：
一维护性；
远程诊断设备：
一逻辑安全：
一通过ISO15408评估（或同等标准）等计划确保安全能力：一供应商的特点（能力、跟踪记录、对质量的承诺、市场地位、规模、对产品定位/组织/财务稳定性/参考和培训设施的综合能力)；按交货时间表交货；
一成本。
8.4，网络管理
网络管理是指网络系统操作、管理、维护和供给网络系统所属的活动、方法、程序和工具：保持网络和网络提供的服务正常平稳运行的操作，包括监测网络，以便手在用户受到影响之前及时发现问题：
跟踪并合理分配网络资源的管理。包括所有处于网络控制下的“管家”服务；一与执行维修和升级有关的维护。例如，当设备更换时、当路由器需要操作系统镜像的补丁程序时、当为网络添加一个的交换机时。维护正和预防措施，以使得网络运行得更好，例如调整设备配置参数。
有意或无意的错误配暨相美的网络组件，会产生重大风险，不仅关系到其可用性，也常常关系到完整性和保密性。
因此解决这些风险的控制是必要的。这种控制可分为组织控制或技术控制。组织控制包括适当任命管理人员、双人操作原则、适当的职责分离，以及为避免出现默认或弱密码所来取的程序和策略。操作控制包括配置和版本控制，以解决或跟踪潜在的错误配置或设备配置变更。技术控制包括使用管理接口和工具提供适当的身份验证、授权和数据保密。技术管理需要大量的与网络相关的组件。安全网关可在本地或远程进行管理·但远程管理宜使用工具来完成，此类工具宜保证具有强身份验证或双身份验证，或至少能够在技术上避免款认或购密码，并且能够尽可能提供完整性和保密性的功能。例如使用加密VPN通道时，适当地配置加密等级或SSH终端仿真。服务器也可在本地或远程管理。服务器对敏感信息进行远程管理时，使用工具宜保证具有强身份验证或双身份验证，或至少能够在技术上避免默认或弱密码，并且能够尽可能提供完整性和保密性的功能基础设施组件，例如交换机和路由器，可从控制台端口进行本地管理，也可从中央管理工作站，通过在线的远程计算机或分布式管理系统上运行的远程终端仿真程序进行远程管理，然而，这些协议是不安全的，除非他们可配置一个对连接进行完全加密的方法。完全加密并含有一个安全文件传输工具的SSH就是安全的远程连接一个典型例子。此外，访向基础设施组件宜由身份验证服务器控制。外包给服务提供商的网络通常有自己的管理系统。他们宜从一个使用安全远程管理方法的中央管理站进行管理，远程管理的方法宜包括使用公钥密码加密和认证。可使用的安全方法例如Telnet、通过VPN隧道的文件传输协议（FTP）或由一个认证服务器控制的SSH许多组织使用简单网络管理协议（SNMP）管理陷阱来直接监视网络：SNMP版本1和版本2有重大风险以致网络存在漏洞或不安全。因此，如果一个组织决定使用SNMP，宜使用版本3以实现完整的安全控制。
8.5日志、监视和事件响应
就如同用安全相关设备保护起来的DMZ一样，位于DMZ的审计服务器也是通过配置所有安全网关系统来实现面向内网和外网的安全。审计服务器不是内部网络域的一部分，宜只能被分配授权管理8
KaeerkAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。