联网系统通用安全评测的标准化进展及解决方案

赵　蓓， 杜雪涛， 薛　姗， 吴日切夫（中国移动通信集团设计院有限公司，北京 100080）

联网系统通用安全评测的标准化进展及解决方案

赵蓓， 杜雪涛， 薛姗， 吴日切夫
（中国移动通信集团设计院有限公司，北京 100080）

本文跟踪了国内外信息系统安全评测标准的研究进展和特点，提出了联网系统通用能力技术要求和全面评测规范相结合的解决方案，有效提高联网系统安全评测的全面性和高效性。

通用安全能力； 安全评测； 评测规范

随着移动互联网的迅猛发展，越来越多的通信企业的各类系统与设备可以从互联网直接访问和维护。在带来便利性的同时，也存在一定的安全风险。从全球网络安全态势看，网络攻击日益组织化、自动化和趋利化。通信行业所负责国家级通信基础设施和所承载的海量用户信息成为黑客的天然攻击焦点。历年第三方信息安全监测组织公布的相关安全问题数据中，电信业相关联网系统和设备的安全风险也居高不下。这些漏洞中甚至包括一些对系统和业务有重大危害的高危漏洞。

联网系统和设备的安全风险具有通用性，因此有必要对联网系统的安全问题进行全面和深入的研究。提高联网系统的安全能力，需要从规划、开发、建设、维护和管理等一系列方面全面进行，系统安全评测是安全管控的关键节点。通过对联网系统和设备的通用安全性进行技术评测，发现安全短板是提升通信企业系统与网络的安全能力的有效方法。

1　信息系统安全评测标准化进展

信息系统的安全防护能力指信息系统能够抵抗内、外部恶意人员对信息系统的攻击和破坏，一直以来信息系统安全防护能力的建设和评测都是安全研究的重点。国内外标准组织发布和更新相关规范，指导信息系统的安全防护能力的提高。

在这些相关安全规范和标准中，以国际标准化组织的ISO/IEC 27000，美国国家标准与技术研究院的NIST SP800等系列标准具有典型指导意义。

1.1ISO/IEC 27000系列

ISO/IEC 27000标准是国际标准化组织专门为信息安全管理体系建立的一系列相关标准的称呼，已经预留了ISO/ IEC 27000到ISO/IEC 27059共 60个标准号，到目前为止，正式发布的信息安全管理体系 （ISMS）标准有8个，其中两个已经转化成国家标准。

ISO/IEC 27000系列标准基本可以分为四部分。第一部分是要求和支持性指南，是信息安全管理体系的基础和基本要求；第二部分是有关认证认可和审核的指南，面向认证机构和审核人员；第三部分是面向专门行业的信息安全管理要求，如金融业、电信业或者专门应用于某个具体的安全域；第四部分是应用于健康行业的标准ISO 27799，以及一些处于研究阶段，如供应链安全、存储安全等。

收稿日期：2015-09-08

图1　ISO/IEC 27001控制结构

ISO/IEC 27000系列已发布的标准中，对信息系统安全能力评测密切相关的包括：

ISO/IEC 27002：2013是《信息技术 安全技术 信息安全管理实用规则》，是ISO/IEC 27000系列最核心的两个标准之一。它从信息安全管理的最佳实践提出控制目标和措施。

ISO/IEC 27003是《信息安全管理体系实施指南》，该标准给出了ISMS实施的关键成功因素，按照PDCA的模型，明确了计划、实施、检查、纠正每个阶段的活动内容和详细指南。

ISO/IEC 27005是《信息安全风险管理》，该标准描述了信息安全风险管理的要求，可以用于风险评估，识别安全需求，可以用于风险评估，识别安全需求，支撑信息安全管理体系的建立和维持。

ISO/IEC 27001控制结构如图1所示。

1.2NIST SP800系列

美国国家标准与技术研究院（NIST）发布的一系列关于信息安全的技术指南文件，NIST SP800系列已经出版了100多本同信息安全相关的正式文件， 形成了从规划、风险管理、安全意识培训和教育以及安全控制措施的一整套信息安全管理体系。虽然 NIST SP800系列并不作为正式法定标准，但在实际工作中，已经成为美国和国际安全界广泛认可的事实标准和权威指南。

NIST SP800系列共分为访问控制、认证认可&安全评估、系统&通信保护、系统&信息完整性、系统&服务获取等17个族，每个族下面包含各自系列的相关规范。其中，与系统安全能力要求与评测密切相关的包括：

SP800-53《联邦信息系统安全控制措施评估指南》，该指南描述了信息系统安全控制措施， 为不同级别的系统推荐了不同强度的安全控制集（包括管理、技术和运行类）。为帮助机构对它们的信息系统选择合适的安全控制集。

SP800-115《信息安全评估与测试技术指南》，描述了机构在进行评估时可能用到的技术测试、检测方法和相关技术，为评估人员在系统和网络上关于执行和潜在影响提供了深刻的理解。

SP800—128《信息系统安全配置管理指南》，为负责管理和执行联邦信息系统计算环境安全的机构提供指南，包括信息的处理、存储和通过外部或者面向服务的计算环境（如云计算环境提供者）进行传输的安全。

1.3CCSA "电信网和互联网安全防护体系"系列

中国通信标准化协会（CCSA）发布了“电信网和互联网安全防护体系”系列标准，从技术和管理两个方面分析电信网和互联网存在的脆弱性，在设备等级保护定级的基础上，规定了电信网和互联网安全防护工作的要求，即安全防护要求和安全防护检测要求。

该系列标准根据电信网和互联网全程全网的特点，分为固定通信网、移动通信网、互联网、增值业务网、非核心生产单元等类别，目前已发布44个标准。其中，互联网包括经营性互联网信息服务单位、互联网接入服务单位等。增值业务网包括消息网、智能网等业务平台以及业务管理平台。

该系列标准根据不同系统的备案等级，制订了不同的防护要求和检测要求，满足了相关部委的安全要求。从历年的安全案例看，互联网渗透有“一点突破，全网皆失”的特点，只有全面提升攻击暴露面设备和系统的安全能力，才能够保障电信网络的整体安全。

2　联网系统通用安全能力技术方案

通过对联网系统和设备的通用安全风险进行分析，并对这些安全风险进行归纳和总结，从网络结构、设备、平台及软件和应用系统等角度对联网系统应具备的通用安全能力提出技术要求，从而在设计和维护中尽量避免或降低安全风险。同时，制定全面明确的风险评测方案，避免联网系统带病运行，为通信服务及业务的安全性和持续性提供保障。

2.1安全模型

从联网系统及设备所涉及的各类软硬件资源出发，依据不同类型资源的耦合度，将其划分为4个层次：网络、设备、平台及软件和系统。通用安全能力模型各层次的的主要组成部分如图2所示。

图2　通用安全能力模型

网络结构安全：联网系统服务器需部署在精心设计的网络安全域，并采取适当的安全措施。

设备安全：网络设备应进行安全配置，以便保护联网系统的安全。

平台及软件安全：联网系统在开发中使用的软件平台和第三方组件，这些平台和组件中的漏洞将直接影响到联网系统的安全性。

应用系统安全：应用系统软件应具备足够的安全措施，保护联网系统业务和数据的安全性。

2.2技术要求

2.2.1网络结构安全

网络结构安全指在网络拓扑、安全域方面具备相应的安全能力，根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能划分及其重要性等因素分区部署。建立与网络拓扑设计相同的实际网络架构，并对网络设备的运行状态进行监控；网络结构安全从网络拓扑、安全域方面进行安全评估，重点评估物理链路、数据路径、流量控制、安全域划分及隔离防护策略等信息安全技术要求。

2.2.2设备安全

设备安全能力要求主要包括：进行适当的账号和口令安全管理，以及账号授权管理；适当配置设备日志功能，记录用户对设备的操作以及相关安全事件，并保证日志的安全性；保障设备传输协议安全以及设备控制界面/接口的安全；主机操作系统应进行安全配置，定期系统安全维护，并安装杀毒软件；主机系统应避免安装其它威胁系统安全的软件。

2.2.3平台及软件安全

平台及软件从软件架构上可以分为Web软件、中间件、第三方组件、数据库等。其中，第三方组件包括在线编辑器、Web框架以及其它第三方组件。对采用的软件平台及第三方组件应登记并定期跟踪相关的漏洞通告，依据官方建议采取相应处置措施并修补漏洞。数据库安全应从数据库版本，数据库权限管理，数据库账号口令、数据库访问控制、常见数据库漏洞、数据库日志等6个方面加强安全控制措施。

2.2.4应用系统安全

应用系统安全主要包括账户及口令安全、权限控制、会话管理3个方面的安全技术要求。

（1）账户及口令安全：包括操作系统账户、Web系统账户、第三方系统账户等，重点评测这些账户的口令复杂度、登录页面安全性、登录错误次数限制等。

（2）权限控制：包括访问控制、WAP鉴权、上传目录权限和短信接口滥用等。

（3）会话管理：包括会话超时、会话终止、会话标识管理等。

2.3评测规范

联网系统的安全能力评测中，比较突出的问题就是过分依赖自动化测试工具。如果主要使用自动化测试工具完成评测，测试的全面性和深度都会有一定欠缺。仅提供安全能力的技术要求，还不能够帮助安全人员完成全面的安全能力评测。通过对当前安全漏洞和检测方法的总结，提供适当的评测规范将对联网系统的安全能力提升起到积极作用。评测规范对各类技术要求涉及的安全漏洞的测试方法进行了详细的描述，主要涉及的评测方法包括3个方面。

（1） 自动化评测工具可以完成的评测项，推荐主流评测工具完成。

（2）需要手工完成的评测项，给出具体的评测步骤，保证仅具有计算机基础知识的人员可以根据评测步骤描述完成评测项。

（3）需要在工具的辅助下进行半自动测试的评测项，提供典型评测思路，指导评测人员更加全面的完成评测。

3　总结

联网系统涉及到电信企业的业务和基础设施，暴露在黑客等恶意人员的攻击面下，有效提高联网系统的安全能力，才能保障电信业务的持续稳定开展。本文介绍了对国内外相关标准和规范的进展和特点，提出了通用安全能力评测方案，通过建立全面的技术要求，并结合精细化的评测规范，对保护联网系统的安全性有着特别重要的意义。

［1］ 张震， 张洪刚. 面向电信运营商的系统漏洞分级体系研究［J］. 电信工程技术与标准化， 2010，23（9）：35-38.

［2］ 严霄凤， 高炽扬. 美国联邦信息安全风险管理框架及其相关标准研究［J］. 信息安全与通信保密， 2009，（2）：13-16.

The standardization progress and solution of security assessment of networking system

ZHAO Bei， DU Xue-tao， XUE Shan， WU Ri-qiefu
（China Mobile Group Design Institute Co.， Ltd.， Beijing 100080， China）

This paper tracked the research progress and characteristics of information system security evaluation standards at home and abroad. The general technical requirements and comprehensive evaluation standard is put forward， so that the network system security evaluation and effi ciency is comprehensively improved.

general security capability； security assessment； evaluate pecifi cation

TN918

A

1008-5599（2015）12-0050-04