從被測單位的視角論述網絡安全等級保護制度的重要性

◆何金軍

從被測單位的視角論述網絡安全等級保護制度的重要性

◆何金軍

（上海市網絡技術綜合應用研究所 上海 200336）

本文從被測評單位的角度，以事件驅動安全，從網頁篡改、數據泄漏、業務中斷及勒索病毒四類常見的安全事件考慮，結合網絡安全等級保護2.0的基本要求，概述標準中的哪些要求可在很大程度上降低常見安全事件發生的可能性，體現出實施等級保護制度、等級保護測評的重要性及必要性。

網頁防篡改；數據防泄漏；業務防中斷；系統防勒索；等級保護2.0

隨著信息安全事件的頻繁發生，個人信息安全意識的提升以及網絡安全法的實施，使得網絡安全等級保護制度得到強有力的支撐。從法律層面要求網絡安全運營者需結合系統情況實施等級測評。針對不同行業的被測評單位，其安全防護需求主要集中在網頁防篡改、數據防泄漏、業務防中斷及系統防勒索四個方面，任一方面的事件一旦發生，都會造成一定程度的經濟上、名譽上甚至政治上的影響。

現場測評時，常能聽到一些說等級保護測評是一種形式、不具有實質性意義的聲音。殊不知，等級保護制度可提升公司管理層對安全的重視程度，加大安全防護建設的投入，推動系統運行環境的安全。下面針對被測評單位所關注的點及等級保護2.0基本要求中對應的要求項進行概述[1]。

1 安全防護點概述

針對企事業單位所關注的安全防護點，下面簡要介紹網頁防篡改、數據防泄漏、業務防中斷及系統防勒索等四個防護點。

1.1 網頁防篡改

網頁防篡改的目的是保證網站內容的完整性、真實性，維護單位的形象及利益。網頁被篡改的原因可能是在系統開發、部署維護過程中的疏忽，使得應用系統存在網頁可能被篡改的脆弱性。常見的脆弱點如：權限未實現分級管理、安裝帶后門的程序、未對交互的參數進行過濾、敏感信息明文傳輸、系統后臺弱口令等。惡意攻擊者可以利用常見的脆弱點進行網站掛馬、暗鏈植入、信息篡改、非法上傳數據等方式破壞。而在網頁防篡改安全防護方面，大多數的單位會部署專業的網頁防篡改產品、Web應用防火墻或云平臺提供的防篡改服務。

1.2 數據防泄漏

數據防泄漏的目的是防止數據被非法泄露，保證數據的機密性。數據泄露通常意味著個人信息的丟失、商業機密等的泄露，這樣的安全事件往往會造成嚴重的后果，不僅使公司在經濟上遭受巨大損失，更在名譽方面造成惡劣影響。在安全防護方面，常用的數據防泄漏（DLP）措施包括數據加密、數字水印、秘密分割等技術。發生數據泄露的原因多種多樣，主要的泄露方式及措施如下[2]：

（1）使用過程中數據的泄露。如屏幕拍攝外傳、復印打印、內部人員泄密等方式泄漏數據，常用的措施如水印技術、內容過濾、數據加密、權限控制、秘密分割等。

（2）傳輸過程中數據的泄露。如攻擊者通過竊聽、嗅探等方式進行數據獲取，通常采用數據加密技術的VPN和秘密分割技術的VPN進行防護。

（3）存儲過程中數據的泄露。如服務器中的數據任意下載、存儲介質丟失、被盜、外送維修等方式泄露，常通過秘密分割和數據加密的方式進行防范。

1.3 業務防中斷

業務防中斷的目的是保證生產業務正常運行，保障業務功能的可用性。業務的中斷，對企事業單位而言不僅造成經濟損失，在某些行業還可能擾亂社會秩序，特別是關鍵信息基礎設施運行的中斷。造成業務中斷的脆弱點主要有機房使用單路市電、備份數據恢復失敗導致數據不可用、DDoS攻擊、帶寬或系統性能不能滿足業務高峰需要等。典型的例子如2015年12月發生的烏克蘭斷電事件。

1.4 系統防勒索

系統防勒索的目的是保證系統的可用性，防止系統被勒索病毒對文件或系統加密。勒索病毒是隨著虛擬數字貨幣的發展而廣泛傳播的，它常通過垃圾郵件、惡意程序、網站掛馬等方式快速傳播。用戶一旦中了勒索病毒將造成特別嚴重的后果，使得日常工作無法開展，重要數據被加密，一般需要支付類似比特幣的虛擬貨幣才可解密。典型事件如WannaCry勒索病毒實際，該勒索病毒自2017年5月12日在全球蔓延之后，不同變種的勒索病毒被不法分子惡意傳播，感染勒索病毒的機器，多數是未按照等級保護要求進行安全加固的終端或服務器。

2 等級保護2.0中對應的防護點要求

等級保護2.0相對于等級保護1.0強調的是構建具有主動免疫防護能力的縱深防御體系。通過建立安全管理中心及具備可信驗證功能的系統可實現惡意攻擊者從外進不了系統邊界防護內、未授權用戶獲取不了重要敏感信息、竊取的信息經加密處理了看不懂、系統和信息的完整性不被破壞、系統工作中斷不了和攻擊者的非法行為不可抵賴的防護效果[3]。基于可信計算技術在一定程度能夠滿足上述四個安全防護點的要求，但可信計算技術在民用領域的應用目前還是處于推廣階段，應用較少。除了可信驗證部分，等級保護2.0標準還有其他要求能降低安全事件發生的風險。下面針對等級保護2.0三級測評要求中除可信計算方面的要求，概述與網頁防篡改、數據防泄漏、業務防中斷及系統防勒索直接相關的要求及可采取的防護措施。

（1）在網頁防篡改方面

根據等級保護2.0標準中的要求項，可以從訪問控制、入侵防范、數據完整性、自行軟件開發和外包軟件開發幾個控制點進行規范。在訪問控制方面，要求管理員依據業務授予用戶所需的管理權限，特權賬號權限分離，并建立操作、安全和審計管理賬號，實現三權分立，避免共用賬號，以便于安全事件溯源。在入侵防范方面，數據交互過程需驗證數據的有效性，可有效防止SQL注入、XSS等常見漏洞。在數據完整性方面，應用系統、產品設備等連接訪問采用HTTPS或SSH加密方式，采用如MD5等校驗碼對傳輸及存儲過程中數據的完整性進行校驗。在自身和外包軟件開發方面，對內外部開發人員均進行編碼規范，開發過程及部署前進行安全測試，且要求開發和測試人員分離，同時在軟件安裝前進行惡意代碼掃描或源碼審計，防止后門或維護鉤子的存在。

（2）在數據防泄漏方面

在數據防泄漏方面，主要是保障鑒別數據、重要業務數據和重要個人信息等數據在傳輸和存儲過程中的保密性。為保證傳輸過程中的保密性，通常使用HTTPS、SSH、VPN等加密方式訪問連接。為保證存儲過程中的保密性，常對數據進行MD5 DES或RSA算法等處理后保存，最好是能夠對重要敏感數據分割保存。在管理上，嚴控設備維護管理流程，存儲介質等帶出工作環境前應將數據加密處理，存儲介質報廢或重用前進行物理銷毀和多次重寫覆蓋處理。

（3）在業務防中斷方面

等級保護2.0標準中在業務防中斷方面的要求主要體現在電力供應、數據備份恢復、應急預案管理三個控制點。在電力供應上，要求機房設計時采用雙路市電或采用不同變電站供電的并行供電線路，配備系統相關設備滿載負荷運行時可持續至少15分鐘的UPS不間斷電源及備用蓄電池；配備柴油發電機，同時定期進行帶載測試，并與石油公司簽署一個合理時間范圍內送油的協議。在數據備份恢復上，要求系統構建時采用冗余方式設計部署，采取熱備、集群、負載均衡等措施保證系統的高可用性；對業務數據、鑒別信息等重要數據進行定期的本地備份并進行恢復測試，同時提供重要數據異地實時備份措施，防止地震、火災等因素。在應急預案管理方面，制定如斷電、服務器故障、備份恢復測試失敗、病毒、木馬等應急處理及恢復流程，定期審查應急預案，并要求每年都對應急預案進行至少一次的培訓與演練。

（4）在系統防勒索方面

在系統防勒索方面，技術上主要體現在惡意代碼和垃圾郵件防范、入侵防范、集中管控三個控制點。在惡意代碼和垃圾郵件防范方面，要求系統邊界部署網絡防惡意代碼設備或云上購買相應安全服務，部署安全郵件網關，惡意郵件檢測設備或反垃圾郵件服務，安裝殺毒軟件，及時更新惡意代碼特征庫。在入侵防范上，要求系統相關設備、服務器等遵循最小安裝原則，關閉不必要的服務如遠程桌面、FTP服務、telnet服務等，關閉系統默認共享，關閉135、137、139、445等高危端口。對病毒特征庫、漏洞補丁等進行統一管理，及時升級特征庫及補丁更新。管理上則要求內部人員增加安全防范意識，慎重點擊不明來源郵件的相關附件、鏈接等，同時防止非授權設備接入系統環境，非得接入外部設備時，需進行授權審批，并在接入前對外部設備進行惡意代碼檢測。

3 結語

沒有網絡安全就沒有國家安全，文章從被測評單位的角度著重講述了不同行業不同單位現階段主要關注的安全防護點，針對相應的安全事件，對比等級保護2.0標準中相對應的要求項，充分體現等級保護制度、等級保護測評的重要性及必要性，表明系統具有一定的防護能力，降低類似事件的發生。此外，通過等級保護測評是否合規，并不代表系統是安全的，它只是提升系統安全性的一種監督管理措施。

[1]國家市場監督管理總局、中國國家標準化管理委員會.GB/T 22239-2019信息安全技術網絡安全等級保護基本要求[S].北京：中國標準出版社，2019.

[2]徐云峰.幾種常用的數據安全防泄漏技術[N]. 中華讀書報，2019-07-10（017）.

[3]沈昌祥.用主動免疫可信計算3.0筑牢網絡安全防線營造清朗的網絡空間[J].信息安全研究，2018，4（04）：282-302.