信息安全等級保護測評中網絡安全現場測評方法研究

◆宮 平

信息安全等級保護測評中網絡安全現場測評方法研究

◆宮 平

（長春市博鴻科技服務有限責任公司 吉林 130000）

在我國，保障信息安全的基本制度、策略以及方法是信息安全等級保護，而網絡安全現場測評是信息安全等級保護項目測評中的難點，本文提出了基于用戶訪問路徑的網絡測評對象確定和原始數據的分析迭代恢復網絡拓撲圖結構方法，有效地解決了網絡現場測評中普遍存在的技術資料不全、被測評方技術人員能力有限、被測評方技術人員配合不足等問題，可以高效、準確、完整地獲取被測評網絡原始數據，確保測評項目能夠及時、高質量的實施，希望對相關人士有所幫助。

信息安全；等級保護；網絡安全；現場測評

0 前言

現階段，國家針對信息安全等級保護制定出了一些制度、方針以及標準，并且在進行標準建設的過程中建立了相對完整的體系，國家針對信息安全等級保護測評要求頒布了標準：GB-T28488-2012《信息系統安全等級保護測評要求》，這一標準對信息安全等級保護測評技術提出了相應要求，提供了測評人員獲取證據的途徑和方法，用以指導測評人員從信息安全等級保護的角度對信息系統進行測試評估。鑒于網絡狀態的復雜性和現場情況的特殊性，一般情況下現場測評過程中測評人員將不能嚴格按照標準的流程實施，這給現場測評帶來比較大的難度和不確定性。本文將結合作者在信息安全等級測評工作實踐中對網絡安全現場測評實施進行分析和總結，力圖找出快速、高效、完整的獲取網絡現場安全配置和安全狀態原始數據的現場測評方法。

1 網絡現場安全測評遇到的困難

1.1 變更管理的缺失，網絡拓撲圖與現場網絡拓撲不一致

通常情況下被測評單位在建設的時候都有相對完整的技術資料，也會繪制出較完整的網絡拓撲圖，但是隨著時間的不斷推移，無論是增加網絡節點、增加網絡出口，還是改變網絡區域、調整業務應用，這些都會導致網絡拓撲發生變化。如果信息系統業主單位沒有嚴格的變更管理制度支持，這些變化將不能很好地體現在技術文檔上，加上技術管理人員變更，技術交接存在漏洞，這一問題將變得更加突出。

1.2 網絡管理員對網絡掌握不夠，配合能力和水平有限

網絡技術維護工作外包是很多信息系統業主單位廣泛采用的信息系統維護方式，由于業主方技術管理人員多為非專職或技術能力所限，過分依賴外包單位技術人員的情況普遍存在，而業主方對外包維護方在管理制度和制度執行上的管理缺失，造成一旦與外包單位終止服務或外包單位維護技術人員的更換將嚴重影響業主單位對網絡的管理，給網絡安全測評帶來嚴重的困難。

1.3 網絡拓撲自動化檢測工具局限性

目前，在網絡測評中廣泛使用了自動化生成工具，但是由于自動化檢測工具的不足，不能很好地反映網絡的真實情況。通常自動化工具基于ICMP、SNMP、RIP、OSPF協議，很多網絡為了保證網絡安全性，關閉了網絡設備協議的響應，這時候自動檢測儀器就不能生成網絡拓撲，也不能夠檢測，并且工作模式處于透明化。除此之外自動化設備也不能夠穿透某段安全設備，以網閘、應用防火墻等為主。

在開展現場測試評估的過程中，倘若對象是非常重要的信息系統或者工業控制系統，用戶或測評機構為了避免自動化檢測工具在測評過程中給系統引入安全風險，在不具備生產系統離線或建立模擬系統的情況下是不能接入自動化檢測工具的。

2 信息安全等級保護測評中網絡安全現場測評方法

在GBT 28449-2012 《信息系統安全等級保護測評過程指南》中規定了信息安全測試評估方法，包括訪談、檢查以及測試等，檢查以文檔審查，配置核查以及對實際地形進行察看為主。本文的目的不在于對標準所規定的這些測評方法的否定，而在于旨在對這些測評方法在網絡安全現場測評活動中進行進一步細化和完善，使其更富有操作性，效率更高，配置核查將是本文研究的主要內容。

如前述所述，網絡現場安全測評存在困難，所以在訪談和文檔核查中獲取網絡信息的真實性、一致性有嚴重的缺陷，配置核查將是確保獲取網絡基本安全配置和安全狀態數據一致性的主要手段。

2.1 確定測評對象

在實際的情況下，如果網絡拓撲圖不相一致，特別是用戶業務系統較多，網絡系統復雜情況下，確定測評對象比較困難。為此，本文提出基于用戶訪問路徑的確定網絡測評對象方法。

基于用戶訪問路徑的網絡測評對象確定方法基本思路是將不相同類型用戶接入區域用戶接入點作為起點，將業務系統中的應用服務器的位置設置成終點，按照順序將網關設備納入訪問路徑中，所有路徑上面的網關設備組成網絡網關設備路徑，把訪問路徑上面的所有網關設備作為測評對象，還應該將不相同路徑上面的公共節點進行合并。

網關類設備類型包括：防火墻、路由器、交換機、上網行為管理、入侵防御系統、數據安全隔離網閘等，部分網關類設備工作在透明模式（OSI二層），這里凡是串接的設備都暫且歸于網關類設備。

2.2 測評對象配置和狀態數據的獲取

（1）命令行管理方式設備的數據獲取

獲取的數據類型：設備版本號、命令配置文件、路由表、接口狀態（活動、吞吐）、日志狀態、MAC地址表，這類數據主要是通過執行命令行命令的方式進行獲取的，采用的形式是文本文件。在具體的操作過程中應該先對測評操作指導書進行編制，用列表形式對指導書中的每一種設備可能用到命令進行表示，這樣作為測評工作人員只需要按照列表上的順序對命令執行就可以；然后對終端進行開啟，記錄屏幕顯示數據，將輸出存為文本文件，這樣可以保證現場的測評效率。

（2）WEB界面管理方式設備數獲取

由于WEB管理方式的設備廠商比較多，設置方式多種多樣，需要測評人員做選取。這里獲取的數據有：版本號、授權情況、運行狀態；接口配置和啟用情況、工作方式、路由表、MAC地址表、資源定義、訪問控制策略、訪問控制策略引用、攻擊防護的配置、管理參數配置、日志記錄等。為了提高效率，在獲取此類數據時采用截圖方式，多數以圖片形式存在，部分設備支持日志文件或策略規則導出功能，即可以相應格式文件存儲。

（3）旁路安全設備及數據獲取

基于迭代過程的網絡拓撲圖驗證流程，當鏈路路徑端點為非業務計算類設備時，可確定出旁路設備，一般旁路類安全設備包括：入侵防御系統、數據庫審計系統、網絡審計系統、病毒服務器、日志服務器、安全管理中心等。

旁路類設備安全策略配置和安全狀態數據的獲取主要是為了獲取設備的版本號和各特征庫版本信息防護啟用配置、日志配置信息等，其中旁路設備絕大多數都是采用WEB方式或者用專門使用管理的軟件方式進行管理，通常這種類型設備的數據在采集過程中通過截圖形式進行傳輸。

2.3 信息安全風險評估框架及流程

信息安全風險評估就是從風險管理的角度，運用科學的方法和手段，系統地分析信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，為防范和化解信息安全風險，將風險控制在可接受的水平，最大限度地保障信息安全提供科學依據。

（1）風險分析原理

風險分析中要涉及資產、威脅、脆弱性三個基本要素。每個要素有各自的屬性，資產的屬性是資產價值;威脅的屬性可以是威脅主體、影響對象、出現頻率、動機等;脆弱性的屬性是資產弱點的嚴重程度。風險分析的主要內容為：

①對資產進行識別，并對資產的價值進行賦值;

②對威脅進行識別，描述威脅的屬性，并對威脅出現的頻率賦值;

③對脆弱性進行識別，并對具體資產的脆弱性的嚴重程度進行賦值;

④根據威脅及威脅利用脆弱性的難易程度判斷安全事件發生的可能性;

⑤根據脆弱性的嚴重程度及安全事件所作用的資產的價值計算安全事件的損失;

⑥根據安全事件發生的可能性以及安全事件出現后的損失，計算安全事件一旦發生時的影響，即風險值。

（2）實施流程

風險評估的實施流程如圖1所示：

圖1 風險評估的實施流程示意圖

3 結束語

綜上所述，在信息安全等級保護測評項目實施過程中網絡安全測評是一大難點，而網絡拓撲圖是進行網絡安全測評的前提條件，所以要對測評對象進行正確選擇，這樣就能確保測評結果的可靠性和安全性。

[1]陳雪鴻，葉世超，石聰聰.淺談工業控制系統信息安全等級保護定級工作[J].自動化博覽，2015(05)：66-70.

[2]李文兢，謝翠萍.大型信息系統網絡安全測評的關鍵技術分析[J].信息通信，2016(02)：140-141.

[3]靳英伯.信息安全等級保護模型評測平臺的設計與實現[D].濟南：山東大學，2017(23)：245-246.