信息安全等级保护测评中网络安全现场测评方法研究

◆宫 平

信息安全等级保护测评中网络安全现场测评方法研究

◆宫 平

（长春市博鸿科技服务有限责任公司 吉林 130000）

在我国，保障信息安全的基本制度、策略以及方法是信息安全等级保护，而网络安全现场测评是信息安全等级保护项目测评中的难点，本文提出了基于用户访问路径的网络测评对象确定和原始数据的分析迭代恢复网络拓扑图结构方法，有效地解决了网络现场测评中普遍存在的技术资料不全、被测评方技术人员能力有限、被测评方技术人员配合不足等问题，可以高效、准确、完整地获取被测评网络原始数据，确保测评项目能够及时、高质量的实施，希望对相关人士有所帮助。

信息安全；等级保护；网络安全；现场测评

0 前言

现阶段，国家针对信息安全等级保护制定出了一些制度、方针以及标准，并且在进行标准建设的过程中建立了相对完整的体系，国家针对信息安全等级保护测评要求颁布了标准：GB-T28488-2012《信息系统安全等级保护测评要求》，这一标准对信息安全等级保护测评技术提出了相应要求，提供了测评人员获取证据的途径和方法，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。鉴于网络状态的复杂性和现场情况的特殊性，一般情况下现场测评过程中测评人员将不能严格按照标准的流程实施，这给现场测评带来比较大的难度和不确定性。本文将结合作者在信息安全等级测评工作实践中对网络安全现场测评实施进行分析和总结，力图找出快速、高效、完整的获取网络现场安全配置和安全状态原始数据的现场测评方法。

1 网络现场安全测评遇到的困难

1.1 变更管理的缺失，网络拓扑图与现场网络拓扑不一致

通常情况下被测评单位在建设的时候都有相对完整的技术资料，也会绘制出较完整的网络拓扑图，但是随着时间的不断推移，无论是增加网络节点、增加网络出口，还是改变网络区域、调整业务应用，这些都会导致网络拓扑发生变化。如果信息系统业主单位没有严格的变更管理制度支持，这些变化将不能很好地体现在技术文档上，加上技术管理人员变更，技术交接存在漏洞，这一问题将变得更加突出。

1.2 网络管理员对网络掌握不够，配合能力和水平有限

网络技术维护工作外包是很多信息系统业主单位广泛采用的信息系统维护方式，由于业主方技术管理人员多为非专职或技术能力所限，过分依赖外包单位技术人员的情况普遍存在，而业主方对外包维护方在管理制度和制度执行上的管理缺失，造成一旦与外包单位终止服务或外包单位维护技术人员的更换将严重影响业主单位对网络的管理，给网络安全测评带来严重的困难。

1.3 网络拓扑自动化检测工具局限性

目前，在网络测评中广泛使用了自动化生成工具，但是由于自动化检测工具的不足，不能很好地反映网络的真实情况。通常自动化工具基于ICMP、SNMP、RIP、OSPF协议，很多网络为了保证网络安全性，关闭了网络设备协议的响应，这时候自动检测仪器就不能生成网络拓扑，也不能够检测，并且工作模式处于透明化。除此之外自动化设备也不能够穿透某段安全设备，以网闸、应用防火墙等为主。

在开展现场测试评估的过程中，倘若对象是非常重要的信息系统或者工业控制系统，用户或测评机构为了避免自动化检测工具在测评过程中给系统引入安全风险，在不具备生产系统离线或建立模拟系统的情况下是不能接入自动化检测工具的。

2 信息安全等级保护测评中网络安全现场测评方法

在GBT 28449-2012 《信息系统安全等级保护测评过程指南》中规定了信息安全测试评估方法，包括访谈、检查以及测试等，检查以文档审查，配置核查以及对实际地形进行察看为主。本文的目的不在于对标准所规定的这些测评方法的否定，而在于旨在对这些测评方法在网络安全现场测评活动中进行进一步细化和完善，使其更富有操作性，效率更高，配置核查将是本文研究的主要内容。

如前述所述，网络现场安全测评存在困难，所以在访谈和文档核查中获取网络信息的真实性、一致性有严重的缺陷，配置核查将是确保获取网络基本安全配置和安全状态数据一致性的主要手段。

2.1 确定测评对象

在实际的情况下，如果网络拓扑图不相一致，特别是用户业务系统较多，网络系统复杂情况下，确定测评对象比较困难。为此，本文提出基于用户访问路径的确定网络测评对象方法。

基于用户访问路径的网络测评对象确定方法基本思路是将不相同类型用户接入区域用户接入点作为起点，将业务系统中的应用服务器的位置设置成终点，按照顺序将网关设备纳入访问路径中，所有路径上面的网关设备组成网络网关设备路径，把访问路径上面的所有网关设备作为测评对象，还应该将不相同路径上面的公共节点进行合并。

网关类设备类型包括：防火墙、路由器、交换机、上网行为管理、入侵防御系统、数据安全隔离网闸等，部分网关类设备工作在透明模式（OSI二层），这里凡是串接的设备都暂且归于网关类设备。

2.2 测评对象配置和状态数据的获取

（1）命令行管理方式设备的数据获取

获取的数据类型：设备版本号、命令配置文件、路由表、接口状态（活动、吞吐）、日志状态、MAC地址表，这类数据主要是通过执行命令行命令的方式进行获取的，采用的形式是文本文件。在具体的操作过程中应该先对测评操作指导书进行编制，用列表形式对指导书中的每一种设备可能用到命令进行表示，这样作为测评工作人员只需要按照列表上的顺序对命令执行就可以；然后对终端进行开启，记录屏幕显示数据，将输出存为文本文件，这样可以保证现场的测评效率。

（2）WEB界面管理方式设备数获取

由于WEB管理方式的设备厂商比较多，设置方式多种多样，需要测评人员做选取。这里获取的数据有：版本号、授权情况、运行状态；接口配置和启用情况、工作方式、路由表、MAC地址表、资源定义、访问控制策略、访问控制策略引用、攻击防护的配置、管理参数配置、日志记录等。为了提高效率，在获取此类数据时采用截图方式，多数以图片形式存在，部分设备支持日志文件或策略规则导出功能，即可以相应格式文件存储。

（3）旁路安全设备及数据获取

基于迭代过程的网络拓扑图验证流程，当链路路径端点为非业务计算类设备时，可确定出旁路设备，一般旁路类安全设备包括：入侵防御系统、数据库审计系统、网络审计系统、病毒服务器、日志服务器、安全管理中心等。

旁路类设备安全策略配置和安全状态数据的获取主要是为了获取设备的版本号和各特征库版本信息防护启用配置、日志配置信息等，其中旁路设备绝大多数都是采用WEB方式或者用专门使用管理的软件方式进行管理，通常这种类型设备的数据在采集过程中通过截图形式进行传输。

2.3 信息安全风险评估框架及流程

信息安全风险评估就是从风险管理的角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地保障信息安全提供科学依据。

（1）风险分析原理

风险分析中要涉及资产、威胁、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产价值;威胁的属性可以是威胁主体、影响对象、出现频率、动机等;脆弱性的属性是资产弱点的严重程度。风险分析的主要内容为：

①对资产进行识别，并对资产的价值进行赋值;

②对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值;

③对脆弱性进行识别，并对具体资产的脆弱性的严重程度进行赋值;

④根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性;

⑤根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失;

⑥根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生时的影响，即风险值。

（2）实施流程

风险评估的实施流程如图1所示：

图1 风险评估的实施流程示意图

3 结束语

综上所述，在信息安全等级保护测评项目实施过程中网络安全测评是一大难点，而网络拓扑图是进行网络安全测评的前提条件，所以要对测评对象进行正确选择，这样就能确保测评结果的可靠性和安全性。

[1]陈雪鸿，叶世超，石聪聪.浅谈工业控制系统信息安全等级保护定级工作[J].自动化博览，2015(05)：66-70.

[2]李文兢，谢翠萍.大型信息系统网络安全测评的关键技术分析[J].信息通信，2016(02)：140-141.

[3]靳英伯.信息安全等级保护模型评测平台的设计与实现[D].济南：山东大学，2017(23)：245-246.