网络安全法和网络安全等级保护2.0

这不是一本普通的法条汇编，而是数字时代网络安全治理的“实操指南”。它由公安网安部门指导编写，精准打通了《网络安全法》的法律底线与等保2.0的技术标准，将抽象的安全义务转化为定级、备案、整改、测评、监督全流程的可执行动作。全书覆盖云、大数据、工业控制等新场景，既为政企单位划定了合规红线，也为基层执法提供了清晰标尺。它让网络安全从“被动救火”转向“主动防御”，从“软要求”变成“硬约束”，是每一位网络安全从业者和管理者的案头必备书。

（公众号：幽兰出谷）《网络安全法和网络安全等级保护2.0》书评： 常见网络钓鱼手法及其防范 〇、本书主要内容简介 这本书主要是对《网络安全法》和网络安全等级保护方面的内容进行阐述，内容相对比较专业。如果只是简单罗列本书的内容，书评会显得比较枯燥，这里加入一些普适性较强的内容。 一、社会工程：针对人们的心理和行为进行欺骗 社会工程通过欺骗或诱导受害者犯错，获取重要的私人信息、系统访问权、重要数据和虚拟财产等[2]。它往往利用的是人性的本能反应、好奇心、贪欲、信任等特点，令人防不胜防。 二、社会工程之网络钓鱼的常见手段 2.1钓鱼攻击 通过前期信息收集，搭建邮件服务器，包装邮件主题，使用免杀马（一种能逃过杀毒软件检测的木马病毒），通过邮件投递的方式，诱导目标点击。 2.2鱼叉攻击 通过投诉业务对投诉部门的处理人员开展钓鱼，将免杀马伪装成投诉附件，诱导客服人员人员点击。 2.3社交钓鱼 利用微信、脉脉等社交工具采用人员招聘或其它主题，吸引目标人员点击发送的招聘要求。 2.4社工欺骗 通过伪装成脉脉工作人员、保险工作人员等可信赖人员，利用小礼品作为诱惑，并借此下载未知来源的APP小程序并进行扫码登记，从而泄露个人的敏感信息。 三、网络钓鱼的防范 3.1技防 （1）多层邮件网关制定规则，对恶意文件进行甄别。鉴于有些不明邮件过于狡猾，受害者一打开即中招，建议遇到类似情况，收件人千万别打开不明邮件，直接删除即可。 （2）运维专用终端，内外网隔离。内外网隔离通常使用的是价格昂贵的网闸，这方面有一定实力的企业才能做到。 （3）上网行为管理，白名/灰名单机制。这也需要依赖相应的上网行为管理设备才能实现。 （4）终端杀毒和EDR（Endpoint Detection and Response，终端检测与响应），发现异常行为进行检测。这方面个人就是安装杀毒软件，及时更新病毒库，并定期查杀病毒。 （5）零信任，双因素及动态验证机制。有些设备的登录不仅需要电脑端输入账号密码，还需要手机端安装相应的APP，以及进行手机端验证，这就提升了安全性。 （6）采用全流量设备、DNS监控设备，从流量层对攻击行为进行识别。流量监测价格昂贵，理论上学习认识即可。 （7）基于态势感知系统，终端进行威胁建模，发现异常攻击行为。有些单位会建立态势感知系统，现在这方面系统的设计也很人性化，适合初学者了解学习。 3.2管防 （1）业务终端和互联网终端分离。实际上就是内外网隔离，内部业务终端设备（比如电脑、手机）不能上外网。 （2）终端进行严格准入控制。比如一些企业的保密机制度，还有就是保密机只能进不能出（只能把U盘文件复制进保密机，而不能从保密机复制出文件到U盘）。 （3）终端机器上禁止存放明文存放敏感信息。禁止明文放置密码，这方面许多单位个人图方便，还是会有一个文件专门存放这些账号密码。 （4）终端设备与其它区域进行严格访问控制，按需开发访问端口。这方面可以使用ACL（访问控制协议）来实现。 3.3人防 （1）通过安全意识培训，增强人员安全意识，锻炼人的防骗能力。网络安全的较量，最终还是人的较量。 （2）举出一些身边亲人、朋友、同事中招的案例，让大家觉得网络钓鱼就在我们身边，不可大意。 （3）让大家认识到，尽量别用自己的生日、姓名拼音、手机号码等容易让人猜到的字符代号作为自己账号的密码。

（叼着旱烟杆，翘起二郎腿往竹椅上一瘫）哎哟喂，这可比咱田埂上的野蒿子还扎手！咱这半吊子文化人，翻开书就像刘姥姥进大观园——满纸都是"云平台""物联网"，看得俺这老花眼直冒金星。（猛嘬一口烟，烟圈在昏暗的堂屋里打转）不过咱庄稼汉最讲究个"看人挑担不吃力"，且听老汉给您编段《村口网络安全记》，保准比《西厢记》还热闹！ 第一折·老槐树下说端倪 （摇着蒲扇踱步）话说那年开春，村口王老妇家新买的智能手机总在半夜唱戏，把全村的狗都惊得汪汪叫。她男人急得直跺脚："莫不是招了啥黄大仙？"（突然拍大腿）要我说呐，这哪是黄皮子作祟？分明是有人学了《西游记》里黑熊精的法术，隔着网线就偷摸钻进人家炕头！（从裤兜掏出皱巴巴的书皮）就这"网络安全法"，好比给每家每户的篱笆墙装了铁蒺藜，管他啥妖魔鬼怪，一概挡在村外头！ （翻到"等级保护"章节，眯眼念叨）"等保2.0？莫不是给咱庄稼排个辈分？"（突然眼睛发亮）有了！这就好比咱种地分三六九等—— - 一级防护：就像咱家腌酸菜的陶缸，盖上木盖子防耗子 - 三级防护：得学村东头李屠户的肉铺，白天黑夜都点着马灯 - 五级防护？嚯！那得是县太爷的粮仓，三步一岗五步一哨！（拍案叫绝）这书里说的"一个中心三重防护"，可不就是教人修个铜墙铁壁的八卦阵？ 第二折·田间地头话攻防 （扛着锄头往田里走，嘴里念念有词） _"云平台好比天上飘的棉花糖，看着软和实则暗藏玄机； 物联网就像田垄间的牵线木偶，一个不对付就全乱了套。"_ （突然蹲下揪草）您瞅这"安全通用要求"，分明是教人把庄稼地收拾利索： - 地头要扎篱笆（物理安全） - 水渠得清淤泥（网络安全） - 看田的狗子不能打盹（日志审计）（猛抬头望天）要我说呐，这"可信验证"就跟咱挑西瓜似的——得拍三下听响儿，看纹路辨熟度，保准坏瓜进不了地头！ 第三折·月下对饮论道 （与隔壁赵秀才蹲在磨盘上喝烧酒） 秀才兄："听说那'关键信息基础设施'，比咱村后山的古槐树还金贵？" 老汉我："何止！那得供着三牲五果，早晚三炷香伺候着。书里说遭了贼，轻则罚款重则蹲大牢，比咱庄稼欠收还遭罪！" （突然拍腿大笑）哈哈！这"应急响应预案"，倒像是教人备着三十六路逃生法—— - 火灾来了走东门 - 洪水来了爬西墙 - 黄鼠狼来叼鸡崽，撒把秕谷引它上房梁！（仰脖灌酒）要我说，这"数据备份"就像咱腌咸菜，多备几坛子准没错。哪天乌云压城下黑雨，咱也能从地窖里掏出热乎的菜帮子！ 尾声·老农抒怀 （摸着书脊上的烫金ISBN，眯眼望向晚霞） _"莫道书生空议论，网络安全系万家。 等保廿章虽晦涩，护得炊烟绕村斜。"_ （把书往草垛里一塞）甭管它啥"三同步""四要素"，咱庄稼人就记两句： - 网络不是法外之地，撒野就得挨鞭子 - 安全不是纸上谈兵，防患须在未雨时（突然扯着嗓子喊）翠花！把你家WiFi密码改成"zhuangjia123"，省得让二流子蹭网偷看咱晒腊肉！ （烟袋锅在石头上磕得火星四溅）这书评咱就说到这儿，若说得不周全，列位看官多担待——毕竟老汉我，不过是拿锄头的手想握鼠标，拿秧苗的手要编代码，难免露怯！（摇摇头，消失在暮色中的田埂上）

网络安全行业国家法律法规要求，所有人需要了解，避免违法而不自知，安全从业者更需要清楚，指导工作日常。

太多理念类的内容，读起来很枯燥，内容也有点旧了😃

详细解读了，网络安全法，可以看看

本书出版于2017年10月，恰《网络安全法》刚发布，但关于等保2.0的配套制度和标准都还没有出台，所以作者这本书所写等保2.0对于当下参考价值很有限，推荐看作者的另一本书《网络空间安全与关键信息基础设施安全》。 《网络安全法》是网络安全领域的基本大法，《网络安全法》规定我国实行网络安全等级保护制度，并对关键信息基础设施实行重点保护。近年来，等保2.0的配套标准已经陆续出台，但等保和关保条例以及关保配套制度仍然迟迟未有进一步消息，信息网络安全仍有很多工作要做。

偏重行政管理方面，技术管理偏少

这是用来查的，直接阅读能枯燥死，哈哈

有法可依 有法必依 违法必究 执法必严！