信息安全测评

• 信息安全测评的科学精神
  • 怀疑、批判、创新、求实、协作
• 信息安全测评的科学方法
  • 信息安全测评工作最主要的方法：
    • 系统科学/系统工程
  • 系统还原论
    • 使用分析、分解的方法和演绎、精确的数学工具，对分解后的最小部件进行定量的刻画，然后又回过头来逐级叠加，形成对系统整体的定量描述。
    • 缺点：
      • 学科分割、“只见树木不见森林”
  • 复杂系统论
    • 定性分析和定量计算向结合的现代系统科学思想，欧洲的“复杂巨系统理论”、美国的“复杂性理论”、中国的“开发的复杂巨系统理论”。
  • 系统科学的含义
    • 从事测评的不是一个人，而是一个团队，对团队的组织和管理要有系统科学方法，以保证测评质量。
    • 测评对象往往不是一个单一软件或硬件，而是一个复杂、庞大其不断变化的信息系统，本身具有“自组织、自演化”的系统科学特征。
    • 测评过程中要贯彻“人机合一”的系统科学思想。

      

• 信息安全测评的贯标思想
  • 贯标：
    • 测评人员在测评活动中严格遵循相关标准的行为。
  • 贯彻国家有关信息安全测评标准的过程，是体现一名测评工程师“工程规范与艺术创造”完美结合的过程。
  • 工程规范——国家标准指明了一个信息系统所要达到的各项安全指标，这是测评工作的基线和基准，是最基本的要求。
  • 艺术创造——信息系统结构各异，工程师需要在有关标准的要求下，精心设计各种测评案例来验证一个信息系统是否达到相应安全标准的创造性过程。
  • 拟按照金融行业信息安全等级保护测评标准，对客户关键业务系统平台进行定级、备案及符合性测评。
• 信息安全标准化组织
  • 标准化组织：
    • 制定标准规范的权威机构
  • 国际标准化组织
    • ISO（InternationalOrganization for Standardization）国际标准化组织
      • 主要工作是制定国际标准，协调世界范围内的标准化工作，组织各成员国和技术委员会进行信息交流，以及与其他国际性组织进行合作，共同研究标准化问题。
    • IEC 国际电工委员会
      • 世界上最早的专业国际标准化组织。在信息安全标准方面，IEC成立了涉及电信、电子系统、信息技术和电磁兼容等方面的委员会，并制定相关国际标准
    • ITU国际电信联盟
      • 主要负责研究通信系统安全标准。
    • IETF Internet工程任务组
      • 主要任务是负责互联网相关技术规范的研发和制定。
  • 国外标准化组织：
    • NIST 美国国家标准和技术委员会
      • 主要标准：NIST SP 800
    • BSI 英国标准标准协会
      • 主要标准：BS7799
  • 国内标准化组织
    • CITS 全国信息技术安全标准化技术委员会
      • 负责信息和通信安全的通用框架、方法、技术和机制的标准化，归口管理国内、外对应的标准化工作。
      • 其技术安全标准范围包括：开发的安全结构体系、各种安全信息交换的语义规则、有关的应用程序接口，以及本书所依据的各种安全测评标准。
• 为何测评
  • 信息系统面临的风险以及风险有多高将直接影响到这些复杂系统的应用范围和使用寿命。为此各国均出台了一系列相关标准规范，以确保这些信息系统具备同一的安全质量，而测评工程师的首要职责，就是在测评过程中贯彻这些安全标准。
  • 测评的目的就是要贯彻国家标准规范，保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求。
  • 60年代，美军建成计算机信息系统---C3I系统。
  • 1970年，美国国防科学委员会提出制定一个关于军用计算机信息系统的安全评价标准，以此来统一衡量重要信息系统的安全工程质量。
  • 1985年，正式公布“可信计算机系统评价准则”（TCSEC），俗称“橙皮书”。该准则是全球第一个计算机系统安全评估的正式标准，具有划时代的意义。
  • TCSEC将计算机系统的安全划分为4个等级、7个级别。
    • (最小保护)D1级：
      • 该级的计算机系统除了物理上的安全设施外没有任何安全措施，任何人只要启动系统就可以访问系统的资源和数据，如DOS，Windows的低版本均是这一类(指不符合安全要求的系统，不能在多用户环境中处理敏感信息)。
    • (自主保护类)C1级：
      • 具有自主访问控制机制、用户登录时需要进行身份鉴别。
    • (自主保护类)C2级：
      • 具有审计和验证机制(对TCB-可信计算基进行建立和维护操作，防止外部人员修改)。
    • (强制安全保护类)B1级：
      • 引入强制访问控制机制，能够对主体和客体的安全标记进行管理。
    • (强制自主保护类)B2级：
      • 具有形式化的安全模型，着重强调实际评价的手段，能够对隐通道进行限制。(主要是对存储隐通道)
    • (强制自主保护类)B3级：
      • 具有硬件支持的安全域分离措施，从而保证安全域中软件和硬件的完整性，提供可信通道。对时间隐通道的限制。
    • (强制自主保护类)A1级：
      • 要求对安全模型作形式化的证明，对隐通道作形式化的分析，有可靠的发行安装过程。
  • TCSEC基本思想
    • 基础，可信计算基（TCB）是构建安全大厦的基石。然后在TCB的基础上逐步构建信息系统整体的安全。
    • 粒度，每一个安全级别都继承了上一个级别的所有安全机制，并逐步增强，因此安全控制粒度越来越细。
    • 费效比，安全级别逐步增强的同时，安全代价也快速提高。
  • 中国的计算机安全等级保护标准
    • 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
    • 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
    • 第三级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
    • 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
    • 第五级，等级保护对象受到破坏后，会对国家安全造成特别严重损害。
  • 怎样评价信息系统受到破坏后的损害
    • 国家标准对每一个级别的信息系统均作了详细的测评要求，称为测评项。这些测评项覆盖了安全管理、安全技术等不同领域，这些测评项所组成的集合，是每一个确定安全等级的信息系统应该达到的安全基线。
    • 测评师应当按照国家标准中的每个测评项对一个信息系统进行逐项检查，即贯标。
  • 安全域
    • 将一个大型信息系统中具有某种相似性的子系统“聚集”在一起。
    • 资产价值相似性安全域：
      • 指同一个安全区域内的信息资产应具有相近的资产价值。
        • 如一个信息系统数据中心，其各类数据服务器具有类似的资产价值。
    • 业务应用相似性安全域：
      • 指同一个安全区域内的信息系统的业务应用或系统功能相似。
        • 一个银行的各个支行，其信息系统的业务应用均非常类似。
    • 安全需求相似性安全域：
      • 指同一个安全区域内的信息资产应具有相似的机密性要求、完整性要求和可用性要求。
        • 如国家重要部门的办公系统，在安全需求方面具有相似性。
    • 安全威胁相似性安全域：
      • 指同一个安全区域内的信息资产应处在相似的安全风险环境中，面临相似的威胁。
        • 如各个企事业单位的门户网站均面临来自Internet的安全威胁。
• 为何测评
  • 按照相似性划分安全域的优点：
    • 同一套安全防护设备可以保护安全域中的各个子系统，从而节约安全投入的成本要求。
    • 同一个安全域内的各个子系统可以充分发挥互联互通、信息资源共享的优点。
    • 不同的安全域之间可以形成多层次配置、纵深防御的安全体系。
  • 信息安全测评定义：
    • 指测评人员在系统工程思想的指导下，遵照国家有关标准、规范和流程，通过设计各种测评案例，对一个信息系统的安全性能和功能进行“标准符合性”论证的过程。
  • 测评过程中主要关心的问题：
    • 系统设计方案是否遵循国家有关标准；
    • 系统设计方案是否得到严格的执行；
    • 系统建成后是否达到设计方案的要求；
    • 系统是否出现方案中未指明的错误。
  • 信息系统生命周期四个阶段：

    

  • 测评根据不同要求而不相同（以体检为例）；
  • 本书所涉及信息系统是指那些具有专业用途的网络，这里主要是指中国各企事业单位的专用网络，如政府、金融、银行、交通、医疗、能源、学校、企业等开展业务工作时使用的网络；
  • 内网：
    • 指与Internet（公网）之间采取了“可靠的技术隔离手段”（指物理隔离）的企事业机构专用网络。
      • 如：政府内部办公网络、银行内部OA系统，企业财务系统等。
    • 可以把内网与“3级以及3级以上网络”划等号。
  • 外网：
    • 指与Internet相连（应具有一定的安全防护措施），并对外提供服务的企事业机构的专用网络。
      • 如：政府门户网站、网上银行，社保网、校园网等。
  • 外网测评特点

    

    • 与Internet相连，存在某种安全保护机制，如“非军事区” DMZ；
    • 保护内网，防止Internet上的各种攻击，并将它作为跳板去威胁内网。测评重点是：外网抵御Internet上各种攻击的能力和水平。
    • 提供服务。测评重点是：如何保证自身提供服务的连续性。
    • 对内保护、对外服务

      

  • 内网测评特点

    

    • Internet采用了“更安全”的隔离技术手段；
    • 内外网“绝对”隔离——网闸或者物理隔离；
    • 内部防御（防火墙、IDS、漏洞扫描、安全审计、防病毒）
  • 内网测评需要注意的问题：
    • 内网安全模型测评。对内网及其各个子系统的设计方案和建设、运维情况进行“符合性”测评。重点是测评各个子系统或安全域的等级划分是否符合国家有关标准要求和设计要求。
    • 内网安全技术测评。按照国家标准对内网中各种型号的安全设备、服务器、网络设备和终端进行技术测评。
    • 内网安全管理测评。 按照国家标准对内网的各种管理制度、管理人员和管理机构进行测评。
• 谁来测评
  • 国家信息系统安全等级保护测评工作的形式是“委托测评”，信息安全风险评估则既可以采用“委托测评”，也可以采用“自评估/测评”。
  • 资质：
    • 国家负责有关资质审核的权威机构是“中国合格评定国家认可委员会”。
  • 专业测评机构的优点：
    • 出具的测评报告具有权威性。
    • 在信息安全领域造诣较高，能够及时跟踪并解决复杂的安全问题。
    • 国家或行业主管部门通过专业机构的测评工作，可以对整体的安全防护能力有一个可靠、统一的掌握。
  • 专业测评机构存在的问题：
    • 组建时间短，人力资源不足。
    • 对一般安全事故（也就是对国家和社会影响不大，对某企事业单位有较大影响）的响应，不能“如君所愿”。
    • 建设周期较长，花费较大。
• 如何准备测评
  • 用户想测评机构提交测试申请书（表）

    

  • 测评机构对用户提交的资料进行初步审核后，决定是否接受其测评申请。
  • 测评机构对资料进行必要的审核后，与用户签署安全服务协议书（合同）（p24 图）。
  • 该协议书对甲乙双方的权责利均有明确规定，是保证测评质量的法律性文件。
  • 服务协议（SLA）：
    • 指申请测评的用户（甲方）与测评机构（乙方）签署的具有法律效应的文件。 SLA规定了甲乙双方在这次测评活动中的权利、责任、义务。
  • 保密协议：
    • 指申请测评的用户（甲方）与测评机构（乙方）签署的具有法律效应的文件。 保密协议规定了甲乙双方在这次测评活动中保守对方业务、技术和工作等秘密的承诺。
  • “保密内容与范围”：包括被测单位的业务秘密、敏感数据等，由甲方提供。同样包括测评机构的工作秘密，如测试方法和测试工具等，由乙方提供。
  • 工作计划是保证测评质量必不可少的步骤，也是一个测评机构正规化、标准化服务的重要体现。
  • 是测评机构承担此次测评任务的工作指导书。
  • 达到让用户了解测评工作各个环节的目的，以获得用户对测评机构的认可。
  • 工作流程
    • 工作目标 等级2、3级等。
    • 工作范围 测评对象，系统边界。
    • 工作重点 测评优先级排序。
    • 进度安排 “甘特图” 。
    • 保障措施 测评任务圆满完成的前提条件。
    • 约束条件 风险。
    • 计划审批 工作计划甲乙双方主管负责人批准。
    • 测评依据 标准。
    • 术语和名次缩写。
  • 测评案例 “天网工程”
    • “天网”集政府内部办公，政府部门协同办公（G2G），政府面向企业办公（G2E），政府面向社会公众服务（G2P）等功能于一身。
    • G2G 内网
      • 政府之间协同办公。
      • 公务如：旧房改造工程---涉及财政局、国土资源局、社会和劳动保障局、建设委员会、林业局等政府下设部门。
    • G2E 外网
      • 政府面向企业的服务。
      • 公务如：外资企业开办需要办理相关手续，涉及的政府部门---工商管理局、地方税务局、信息产业局、公安局、教育局等等。
    • G2P 外网
      • 政府向社会公众服务。
      • 公务如：投诉某家医院，给市长公开信箱---批件转发市人大，卫生局、劳动与社会保障局、政府新闻办等相关部门。
• 本章小结
  • 信息安全测评5w+h的内涵
    • why、when、which、who、what、how
  • 中国信息安全测评的主要标准
    • 可信计算机系统评价准则（TCSEC）
    • 信息系统安全等级
  • 信息安全等级保护的定级方法
    • 按计算机信息系统遭受到破坏后给个人、机构、社会和国家带来的不同影响程度，将信息安全等级划分为5个不同的安全级别。
  • 安全域的四种划分方法
    • 资产价值相似性安全域
    • 业务应用相似性安全域
    • 安全需求相似性安全域
    • 安全威胁相似性安全域
  • 安全域划分的优点
    • 同一套安全防护设备可以保护安全域中的各个子系统，从而节约安全投入的成本。
    • 同一个安全域内的各个子系统可以充分发挥互联互通、信息资源共享的优点。
    • 不同的安全域之间可以形成多层次配置、纵深防御的安全体系。
  • 信息安全测评的定义
    • 指测评人员在系统工程思想的指导下，遵照国家有关标准、规范和流程，通过设计各种测评案例，对一个信息系统的安全性能和功能进行“标准符合性”论证的过程。