网络和通信安全之通信信道的选择

1.1网络和通信安全层面的测评对象识别与确定

背景：
       信息系统一般通过网络技术来实现与外界的互联互通，GB/T 39786《信息安全技术信息系统密码应用基本要求》规定了信息系统在网络和通信安全层面的密码应用技术要求，这些要求涉及到通信的主体（通信双方）、信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备、组件和产品。

1.2如何确定网络和通信安全层面的测评对象？

解答：
       网络和通信安全层面的测评对象主要是针对跨网络访问的通信信道，这里的跨网络访问指的是从不受保护的网络区域访问被测系统。

       可以从通信主体和网络类型两个方面来确定网络和通信安全层面的测评对象：
     （1）网络类型：这里主要依据网络之间是否相对独立进行分类，如互联网、政务外网、企业专网等；
     （2）通信主体：指的是参与通信的各方，典型的如客户端与服务端。例如，PC机上运行的浏览器与服务器上运行的web服务系统，移动智能终端上运行的APP与服务器上运行的应用系统；也可以是服务端与服务端，例如，IPSec VPN与IPSec VPN之间。

【场景示例】
      下面以一个具体场景来描述测评对象的确定过程。
       在一个信息系统中，通常应用包括前台应用系统和后台管理系统；系统运行的网络环境通常包括互联网、政务外网和办公内网，其中，办公内网也属于政务外网。该信息系统网络通信情况描述如下。
       (1) 用户可以从互联网、政务外网、办公内网，使用非国密浏览器或国密浏览器通过HTTPS协议访问前台应用系统；
       (2) 管理员可以从办公内网或使用VPN客户端通过内网SSL VPN接入办公内网后，再使用国密浏览器通过HTTPS协议访问后台管理系统；
       (3) 系统管理员可以从互联网先登录运维SSL VPN后，再通过堡垒机对服务器、密码产品等设备进行运维；
       (4) 信息系统可以通过IPSec VPN调用外部的密码资源（例如政务外网的数据加密服务）。
针对此场景，根据通信主体，梳理出对应的网络类型，形成以下表格。

        根据上述表格描述，即可确定此信息系统网络和通信安全层面的测评对象。表中的每个元素表示通信主体可在某种网络类型下进行通信，例如表格第二行第二列表示：用户可在互联网和政务外网环境使用国密浏览器访问前台应用系统。由此可确定的两个测评对象为：互联网国密浏览器与前台应用系统之间的通信信道、政务外网国密浏览器与前台应用系统之间的通信信道。
       根据以上的方法，此信息系统网络和通信安全层面的测评对象确定如下：

       看到这里小编想大多数人已经对简单系统的信道判断有了一定的了解，但实际生活中，信息系统部署在不同的环境中如：IDC机房、运营商机房或云服务提供商机房，在不同环境下会引申出不同的通信信道，下面将根据具体情况进行分析。

1.3被测系统与第三方电子认证服务相关系统之间的通信信道

       当被测系统使用第三方电子认证服务机构提供的认证服务完成系统功能时，被测系统与第三方电子认证服务相关系统之间的通信信道是否需要纳入测评范围？

解答：
       如果被测系统与第三方电子认证服务相关系统之间的通信信道经过了不可控的网络环境（比如互联网等），该条通信信道应该纳入“网络和通信安全”层面的测评对象进行测评。

       读到这里可能有的小伙伴对这条信道有争议，那小编也是心存疑惑，到底如何理解呢？小编在B站也请教了相关行业的大佬，希望对小伙伴们有所帮助，具体如下：

      小编在这里理解的是，被测系统需要跟CA机构的服务器进行通信的时候，此时被测系统与CA机构的通信就要纳入通信信道进行测评。

1.4若被测系统为独立的内网系统，且不允许跨网络边界进行远程运维，是否可认为在网络和通信安全层面是没有测评对象？

解答：
       这类情况下还需要确定网络边界环境及网络内部的安全性，再行决定。网络和通信安全层面的测评对象的选择，不仅仅以系统属于的网络环境是内网还是外网进行区分，应以系统所在的网络边界环境，以及网络内部通信是否安全作为网络和通信层面是否需要测评的标准。

1.5针对双活机房之间通信的通信链路，是否可作为网络和通信层面的一条通信信道？

解答：
       因重要业务数据、重要个人信息等数据会在双活机房之间进行传输，双活机房之间的通信链路无论是通过运营商专线还是采用物理裸光纤进行数据通信，均应将该通信信道作为测评对象并参照GM/T 0115《信息系统密码应用测评要求》进行测评。对于双活机房之间的通信链路是物理传输的裸光纤的情况，若不将该通信信道作为网络和通信安全层面的测评对象，则应在密码应用方案中详
细说明该通信链路的实际情况并经自行评估或密评机构审定后按实际情况处理。其中，通信链路的实际情况包括但不限于自建或租用情况、传输数据的方式、传输数据的内容、链路的物理位置和节点受控情况等。

1.6跨网络边界的系统之间的交互，如果通信主体不在其责任范围之内，此通信信道是否需要纳入测评范围？

       例如，被测系统与外部系统通过前置机建立通信信道，前置机部署在被测系统内且不归属于被测系统责任单位，此通信信道是否需要纳入测评范围？比如医保系统与银行系统有业务往来，医保系统外联出口处放置银行前置机，作为与银行系统交互的中间设备，银行前置机与银行系统之间搭建了通信信道。

解答：
       跨网络边界的系统之间的交互所搭建的通信信道，无论通信主体是否属于被测系统，该通信信道都应纳入“网络和通信安全”层面的测评对象进行测评。比如医保系统与银行系统有业务往来，医保系统前放置银行前置机，由银行前置机跟医保系统交互，再由银行前置机与银行系统搭建通信信道。如图11-1所示：

       该图中，银行前置机归属于银行系统责任单位，则在测评医保系统时，在“网络和通信安全”层面也需要测评“系统间的通信信道”（图中所示）。

1.7远程管理通道

       提到远程管理通道，有的小伙伴可能就有疑问了，远程管理通道安全不是设备和计算层面的指标，那跟网络和通信安全有什么关系呢，下面小编来分析一下。

       在设备和计算层面的测评对象包括：通用设备（及其操作系统、数据库管理系统）、网络及安全设备、密码设备、各类虚拟设备以及提供相应密码功能的密码产品。需要注意若存在管理通道
跨越边界的情况，需在网络和通信安全层面梳理一条远程管理数据传输通道作为测评对象。

       那此处如何理解呢？小编在这里认为：首先运维人员在运维设备时，有些设备数量多，分布范围广泛（跨省、跨云等情况），那么此时运维的工作量太大，所以一般会单独建立一条专门用来运维设备的信道，例如：运维人员通过互联网使用VPN进行拨号来接入内网，然后通过内网访问不同设备的IP进行运维。该信道就叫做远程管理通道。反之。如果只是在网络内部对设备进行管理，则不必将远程管理通道列为网络和通信安全层面的测评对象。

        既然如此那会不会出现第三种情况呢？

       答案是有的。若系统未部署SSL VPN，管理员可在互联网直接访问堡垒机对设备进行管理，在网络和通信安全层面、设备和计算安全层面“远程管理通道安全”测评单元均可将访问堡垒机的信息传输通道作为测评对象。

1.8应用和数据安全层面是否会有网络和通信安全层面的测评对象呢？

       背景：

       大量应用系统的身份鉴别使用第三方提供的身份认证服务（此处特指第三方身份认证服务为已单独等保定级的系统）。例如，采用政务集约化建设模式，应用系统用户由第三方（包括统一身份认证平台等）提供的身份认证服务进行身份鉴别。此外，某些应用系统在与其他系统对接时也存在身份鉴别的需求。

       在上述情况中， 如果存在跨网络区域调用的情况，还需要考虑被测系统与第三方身份认证服务系统之间的“网络和通信安全层面”的测评。

小编总结了一个相关案例，供小伙伴们参考：

        互联网用户终端需要通过部署在自治区政务云的统一身份认证系统进行身份鉴别，才能访问政务外网云上部署的系统。

       根据上述背景可知，第一条通信信道为：互联网用户终端与部署在自治区政务云的统一身份认证系统之间的通信；第二条通信信道为：统一身份认证系统与政务外网上的信息系统之间的通信信道。

1.9跨网络调用密码资源实现相应密码功能的测评要点

背景：
       信息系统跨网络边界调用密码资源实现其密码应用安全需求时，通常存在两种场景：一是调用主体与密码资源部署在同一机房内，但在不同的网络区域，如部署于互联网区的业务应用系统调用部署于政务外网区的密码资源；二是密码资源与调用主体部署于不同机房，如某地建立统一密码服务平台为该区域内的所有信息系统提供密码应用支撑，统一密码服务平台与信息系统并非在同一个机房中部署，信息系统机房与统一密码服务平台机房之间建立安全通信信道进行数据传输。

问题：
        针对于跨网络边界调用密码资源的情况，在测评时应重点关注哪些问题？

解答：
       GM/T 0115-2021《信息系统密码应用测评要求》在网络和通信安全层面的测评对象为“信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备或组件、密码产品”。被测信息系统跨网络边界调用密码资源（如服务器密码机、统一密码服务平台等）时，该调用通道应作
为网络和通信安全层面的测评对象进行“身份鉴别”“通信数据完整性”、“通信过程中重要数据的机密性”、“网络边界访问控制信息的完整性”等指标的测评。

       另外，在涉及密码资源调用的技术指标测评时，针对密钥管理安全（K），除关注密码产品/密码服务的合规性、密钥生命周期管理机制的安全性外，还应关注具体密码资源调用时的鉴别与访问控制机制，即核实密码资源（如密码服务平台）和具体密码功能是否被授权的合法实体访问和调用。

1.10面向公众等网站的测评

 背景：

       政务信息公开网站、门户网站等面向公众的信息系统，具有内容可以公开、任何人都可以访问的特点，相应指标的测评需要进行额外的考量。

 问题：
        面向公众、信息可公开的信息系统，需要重点关注哪些内容？

 解答：

       首先，需要确定哪些人员可以访问该信息系统。除了面向公众用户之外，信息系统一般需要管理员对该系统进行管理，管理员的身份鉴别、传输通道安全等显然需要与一般信息系统一样，遵循相应的测评指标进行测评。（小编认为，对于管理员而言这是一条管理的通信信道，因为网站需要有人维护和更新内容，需要保护网站信息传输完整性不被篡改。）
       其次，对于公众用户而言，仍需要对网站进行身份鉴别（比如防止钓鱼网站），并对其内容的完整性进行保护；一般情况下还需要对用户访问网站产生的隐私数据（如访问情况、隐私行为等）进行保护，因此仍然需要测评公众用户相关的网络和通信安全层面“身份鉴别”“通信数据完整性”“通信过程中重要数据的机密性”等指标。（小编认为，对于公众用户而言，该信道的存在是为了防止钓鱼网站等对用户的不法侵害，保护用户的合法权益，有必要进行安全防护。）

       以上是小编的个人总结，如有不妥，欢迎留言纠正。