GA/T 1788.2—2021前端设备分类分级与表1判定矩阵解读

简介面向公安视频图像信息系统的设计、制造、检验与安全测评人员提供GA/T 1788.2—2021《公安视频图像信息系统安全技术要求 第2部分前端设备》的规范正文可用于理解前端设备分类分级、安全能力等级及合规核对要点。压缩包内共1个PDF文件约278KB单文件结构便于检索条款、引用条文和随查随用。标准按传输方式区分有线与无线前端设备按应用场景划分采集类、接入类、交互类按安全能力分为通用型、增强型Ⅰ、增强型Ⅱ并围绕物理安全、身份鉴别、访问控制、入侵防范、数据安全、证书和密钥管理、日志安全、无线交互类设备管控等提出要求附有设备类别与安全要求对应表。已有110人学习适合方案编制、产品设计、检测认证和项目验收时作为案头参考。1. 一份 2021 年底就生效的行业标准为什么现在被反复翻出来看GA/T 1788.2—2021《公安视频图像信息系统安全技术要求 第 2 部分前端设备》在 2021 年 7 月 20 日发布、同年 12 月 1 日实施是 GA/T 1788 四个部分里唯一直接管到摄像机、编码器、无线图传这一层的文件配套的是第 1 部分通用要求、第 3 部分安全交互、第 4 部分安全管理平台。它不算新但最近被翻出来的频率明显变高一批项目在做前端设备替换采购文件里开始出现“通用型 / 增强型Ⅰ / 增强型Ⅱ”这样的字样而不少做集成的团队手里只有一份目录没读过表 1。真正值得关注的不是标准文本本身而是它把“前端”从一个硬件名词变成了一个需要出具安全能力证明的对象。以前前端设备的选型只看清晰度、码率、夜视效果和点位密度现在多了一条横轴这台设备在哪一档、要满足哪些条款、由谁出证明。这条横轴一加进来采购清单、报价结构、检测流程全都要跟着调整。2. 分类与分级一台前端设备到底该按哪一档做拿到这份标准的人第一反应通常是直接翻到第 5 章看技术要求然后被表 1 那一大片实心圆点和横杠劝退。顺序其实反了。表 1 不是让你从条款倒推设备而是让你先把设备放进一个坐标系里——横轴是它怎么连、干什么用纵轴是它能扛住多少攻击。坐标定错了后面每一条都对不上返工是从第一步开始的。2.1 两类传输、五类场景、三级安全能力按第 4 章的规定前端设备先按传输方式分成两半有线前端设备和无线前端设备。判断依据不是“有没有天线”而是“是否基于无线通信技术完成接入、传输及使用”。这句话把无线图传、移动布控终端、无线网桥都圈了进去也把一些带 Wi-Fi 调试口但主干走网线的设备留在了有线那一侧。有线这一半再按应用场景分采集类和接入类无线这一半多一类采集类、接入类、交互类。采集类是把光信号变成图像数据的那一端摄像机、抓拍单元、热成像都属于这一类接入类是把多路采集侧汇聚起来再往上送的设备编码器、接入网关、光端机在这里交互类是无线侧特有的指能和人或者业务系统双向交互的终端。第三个数是安全能力等级分通用型、增强型Ⅰ、增强型Ⅱ。这一维跟硬件性能没关系说的是设备在密码模块、数字证书、数据保护、可管控性上能做到什么程度。4.3 还有一句容易被跳过的补充增强型无线前端设备可以通过纵向安全防护系统接入公安视频图像信息系统。这句话等于给无线侧留了一条合规路径同时也意味着这条路径上的设备必须达到增强型。维度取值判断口径传输方式有线 / 无线是否基于无线通信技术完成接入、传输及使用应用场景有线采集类、接入类无线采集类、接入类、交互类设备在链路中的实际角色不是产品品类名安全能力通用型 / 增强型Ⅰ / 增强型Ⅱ密码模块、证书、数据保护、可管控能力的档位三个维度组合起来才是完整档位比如“无线交互类增强型Ⅱ”和“有线采集类通用型”两者的要求清单差得很远。实际项目里出问题十有八九是把“类”和“级”当成一回事或者干脆只报一个“增强型”就算交差。2.2 表 1 不是清单是一张“要不要做”的判定矩阵表 1 横向是档位列纵向是条款号格子里三种符号● 表示应满足○ 表示宜满足— 表示不需要满足。它的作用不是罗列要求而是回答一个很具体的问题我这一档到底要满足哪几条。摘几行出来看得更清楚。条款要求要点矩阵里的分布5.3.1.1唯一电子身份标识全部档位 ●5.3.1.2密码模块不可更改的唯一标识仅带密码模块的增强型 ●5.3.1.4基于数字证书的设备身份认证仅增强型 ●5.4.2采集类支持专用工具集中设置口令仅采集类 ●5.4.6设置最大会话数量仅增强型Ⅱ ●5.5.6信令校验失败等事件检测仅增强型 ●5.6.3重点区域视频流符合 GB 35114 C 级仅增强型 ●5.8.2日志保存 180d 或 Syslog 上传全部档位 ○5.9.1—5.9.8无线交互类设备管控仅无线交互类增强型 ●5.10.2按无线相关标准与业务系统交互仅无线增强型 ●读这张矩阵有个技巧把 ●○— 当成三档预算而不是三种合格线。● 是必须花钱做的○ 是可以用架构换的— 是明确可以不做的。项目里最容易超支的地方不是漏做了 ●而是把 ○ 当 ● 做——在摄像机上堆本地存储去凑日志留存天数成本比在平台侧收日志高出一截效果还更差。反过来也有另一种浪费把 — 当成“没要求”直接忽略。矩阵里的横杠是有边界的它表示这一档不需要满足该条款不表示这类设备可以不做这件事。比如 5.5.6 在通用型上是横杠但如果项目后续要升级到增强型这条迟早要补上早做规划比事后返工便宜得多。2.3 无线接入类和交互类没有通用型这个空缺是刻意的表 1 里有线采集、有线接入、无线采集都有通用型一列无线接入和无线交互只有增强型Ⅰ和增强型Ⅱ。也就是说一台设备只要踏进无线接入或无线交互这两个场景最低档就是增强型Ⅰ不存在“先用通用型过渡”这个选项。这个设计不难理解。无线链路把“物理边界”这件事取消了设备的暴露面从一根网线变成整片空口通用型那套以口令和端口控制为主的能力撑不住。从行业角度看这是整份标准里信号最强的一处无线侧不设低门槛入口进场就是增强型起步。对做选型的人来说这意味着无线类项目的成本结构跟有线完全不是一回事。有线可以先铺通用型、重点点位升增强型用点位密度换预算无线这边从第一台设备开始就得按增强型Ⅰ的物料清单报价密码模块、证书、日志存储、接入认证一项都省不掉。报价阶段漏掉任何一项后面都是补差价和改方案这类坑在项目复盘里出现频率很高。3. 逐条拆从物理安全到日志哪些是真门槛第 5 章一共 9 组要求总体要求、物理安全、身份鉴别、访问控制、入侵防范、数据安全、证书和密钥管理、日志安全再加上无线交互类管控和无线承载业务这两组只对无线侧生效的条款。逐条读下来会发现真正吃功夫的不是加密算法而是那些看起来最琐碎的管理类条款——默认账户、锁定策略、超时时间、日志字段。这些恰恰是检测时最容易被翻出来的。3.1 身份鉴别与访问控制一台设备两个身份三处容易掉链子5.3.1.1 要求前端设备具有唯一电子身份标识采用 GB/T 28181 或 GA/T 1400 协议传输的编码规则还得按对应标准走。5.3.1.2 是加码项带密码模块的设备密码模块里要有一个不可更改的唯一电子身份标识编码规则按 GB 35114—2017 附录 B。这是两套身份一套在业务协议层一套在密码层不能互相顶替也不能只做一套就宣称“有唯一标识”。5.3.1.3 是整组里信息量最大的一条。设备接入时、采集类连接接入类时采用基于口令的数字摘要认证口令要具备复杂度控制、定期更换、加密传输和存储的能力并且要和账号不同用动态口令的认证流程按 GM/T 0021走 GB/T 28181 的按该标准 9.1走 GA/T 1400 的按 GA/T 1400.4—2017 的 7.2.1 和 7.3.1用 HTTP 访问的要支持安全模式比如 Digest 认证或 WSSE 认证。“口令应和账号不同”这一句是实测里最常翻车的地方。很多设备的出厂配置就是账号口令同名改了口令没改账号或者改完又被恢复出厂设置带回去了。这条不满足后面做多少加密都是白搭。5.3.2 讲鉴别失败处理连续失败 5 次后锁定该账号不低于 5 分钟并且支持对失败次数和锁定时长的设置锁定后要能通过至少一种方式解锁比如由更高权限用户操作。5.3.3 讲超时通信会话要能设置最大超时时间可修改的只能由已授权用户设定超时时间内无操作会话终止再操作重新鉴别。访问控制侧的要求更细。5.4.1 要求首次登录时重命名或删除默认账户删不掉的要改默认口令5.4.3 要求支持删除或停用多余、过期账户禁止共享账户5.4.4 要求授予管理类用户最小权限并实现权限分离5.4.5 要求访问控制粒度至少包括 IP、MAC 等属性5.4.7 和 5.4.8 分别禁止非授权用户访问系统文件、对设备上的软件进行配置或变更5.4.9 是协议白名单用户通过系统访问前端设备时设备只接收基于 GB/T 28181、GA/T 1400 或 GB 35114 的协议访问5.4.10 管的是绕过平台直连设备的情况只接收特定 IP 或基于外设的访问。把这些条款落成可执行的检查项比对着文档逐条打勾要靠谱得多。下面这段脚本把 5.3 和 5.4 里几个能自动判定的点抽了出来。# 把 GA/T 1788.2—2021 的 5.3.1.3、5.3.2.1、5.3.3.1 转成可执行自查 import re def check_credential_policy(cfg: dict) - list[str]: errs [] # 5.3.1.3口令不得与账号相同且需有复杂度控制 if cfg[password] cfg[account]: errs.append(口令与账号相同违反 5.3.1.3) classes sum(bool(re.search(p, cfg[password])) for p in [r[a-z], r[A-Z], r\d, r[^A-Za-z0-9]]) if classes cfg[min_classes]: errs.append(f字符类别只命中 {classes} 类低于项目阈值) # 5.3.2.1连续失败 5 次后锁定时长不低于 5 min if cfg[fail_threshold] 5: errs.append(连续失败阈值大于 5不满足 5.3.2.1) if cfg[ p a hrefhttps://download.csdn.net/download/weixin_43787854/85185386 stylecolor:#ec7500;font-size:14px; 本文还有配套的精品资源点击获取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p