等保测评技术方案（三）

（五）工具测试

1.测评工具

       主要使用到的测评工具有：漏洞扫描探测、检查、软件代码安全分析类、系统性能压力测试、物理安全测试等。

2.风险和规避措施

2.1.操作系统和常见应用漏洞扫描

在使用扫描器对目标系统扫描的过程中，可能会出现以下的风险：

1)占用带宽（风险不高）。

2)进程、系统崩溃。由于目标系统的多样性及脆弱性，或是目标系统上某些特殊服务本身存在的缺陷，对扫描器发送的探测包或者渗透测试工具发出的测试数据不能正常响应，可能会出现系统崩溃或程序进程的崩溃。

3)登录界面锁死。扫描器可以对某些常用应用程序（系统登录、FTP，Telnet，SNMP，SSH，WebLogic）的登录口令进行弱口令猜测验证，如果目标系统对登录失败次数进行了限制，尝试登录次数超过限定次数系统可能会锁死登录界面。

风险规避方法：

1)根据目标系统的网络、应用状况，调整扫描测试时间段，采取避峰扫描。

2)对扫描器扫描策略进行配置，适当调整扫描器的并发任务数和扫描的强度，可使减少扫描器工作时占用的带宽，降低对目标系统影响。

3)根据目标系统及目标系统上运行的应用程序，通过与测评委托方相关人员协商，定制针对本系统测试的扫描插件、端口等配置，尽量合理设置扫描强度，降低目标系统或进程崩溃的风险。

4)如目标系统对登录某些相关程序的尝试次数进行了限制，在进行扫描时，可屏蔽暴力猜解功能，以避免登录界面锁死的情况发生。

2.2.WEB应用漏洞扫描

在使用WEB应用漏洞扫描器对目标系统扫描的过程中，可能会存在以下的风险：

占用带宽（风险不高）。

登录界面锁死。WEB应用漏洞扫描会对登录页面进行弱口令猜测，猜测过程可能会造成应用系统某些帐号锁死。

风险规避方法：

根据目标系统的网络、应用状况，调整扫描测试时间段，采取避峰扫描。

如目标系统对登录某些相关程序的尝试次数进行了限制，在进行扫描时，可屏蔽暴力猜解功能，以避免登录界面锁死的情况发生。

3.工具测试接入点说明

       为了发挥测评工具的作用，达到测评的目的，各种测评工具需要接入到被测评的信息系统网络多处，并需要配置恰当的网络IP地址。测试工具接入到网络不同接入点后，在该点需要执行的具体操作详见工具测试作业指导书。

（六）系统整体测评内容

       信息系统的安全控制集成到信息系统后，会在层面内、层面间和区域间产生连接、交互、依赖、协同等相互关联关系，使信息系统的整体安全功能与信息系统的结构密切相关，在整体上呈现出一种集成特性。这些集成特性在安全控制的工作单元中是没有完全体现。因此，在安全控制测评的基础上，有必要对集成系统和运行环境进行整体测评。

1.安全控制间安全测评

       安全控制间安全测评主要对同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用进行测评，同时，也包括对《基本要求》的要求项与同一区域、同一层面上的非《基本要求》要求的安全控制之间的安全测评。依据不同层面对系统进行划分，分类分析各个层面中安全控制间存在的关联作用，从系统层面上分析考察单元测评中确定的不符合项对系统整体安全保护能力的影响，及不符合项整改的必要性。例如：

       在安全物理环境层面中，物理访问控制与防盗窃和防破坏两个控制点之间具有增强的关系，通常可以通过物理层面上的物理访问控制来增强其安全防盗窃功能等。在安全通信网络和安全区域边界层面中，网络访问控制和边界完整性检查两个控制点之间具有互补和削弱的关系，通常来讲，通过进行边界完整性检查可以检查发现网络访问控制被旁路的可能性。

2.层面间安全测评

       层面间安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。在进行层面间安全测评时，可以考虑不同层面的两个不同安全控制，也可以同时考虑两个以上不同安全控制的相互作用。对于系统不同层面间相配合的保护措施，需要结合不同层面的安全控制点分析其相互之间存在的关联作用，从而确定某些不符合项对系统整体安全保护能力的影响。例如：

       如网络设备防护不符合要求（口令强度不够），该测评项为不符合项，如果网络设备的防护只允许本地登录管理或者限制只能在相应区域内的管理主机上进行网络设备管理，则有可能通过物理安全的访问控制来加强网络设备自身安全防护能力（身份鉴别部分）。

3.区域间安全测评

       区域间安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。一般边界区域都会和内部某个或某些区域之间发生数据交换；内部不同区域之间也可能因为业务的需要而发生数据交换，需要重点测评这些区域之间的关联作用。

4.系统结构安全测评

       系统结构安全测评主要考虑信息系统整体结构的安全性和整体安全防范的合理性。系统结构安全测评的测评范围是整个信息系统，包括被测系统与其他信息系统系统边界之间的安全测评。信息系统整体结构的安全性主要是指从安全的角度，分析信息系统整体结构的安全性（从安全角度看系统）。整体安全防范的合理性主要是指从系统的角度，分析信息系统安全防范的合理性（以系统的观点看安全防范（体系））。

       从系统整体结构层面分析系统的安全防范能力，对于外部安全威胁的防范主要可以从物理环境保护、系统网络访问控制和系统外联边界控制等几个方面考虑：在物理环境层面上，确保系统所在的中心机房的物理安全和物理访问控制，严格限制非法人员直接进入机房环境或非法设备通过机房环境直接连入系统；在系统网络层面上，保证系统网络访问控制能力，限制设备访问，防范非法设备从内部接入系统；在系统外联边界上，通过各种防护手段（防火墙、路由控制等）和限制外联的通路（只存在与其它可控安全系统的连接，不存在直接接入Internet或拨号连出的情况），增强系统的安全保护能力。这几个方面的保护措施相结合，可以对系统进行综合保护，从而确保系统内部安全。整体安全防范的合理性，基于目前部署的安全体系，分析安全设备（如防火墙、防病毒）和安全配置（如访问控制列表）在目前系统中部署是否合理，是否符合成本－效益原则，是否存在重复投资和冗余配置，是否在启用安全措施的同时对系统性能和实际业务需求带来较大负面影响。