等級保護測評管理系統的研究與設計

譚 可

（中國鐵路昆明局集團有限公司 信息化處，昆明 650011）

信息安全等級保護是對信息和信息載體按照重要性等級分級別進行保護的一種方式[1]。信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查5個階段。近年來，國內眾多從事網絡安全的工作人員及學者對等級保護測評工作進行了廣泛研究，對測評平臺及測評指標量化方法進行了設計[2]，提出了一系列適用于不同行業的測評方法和工作模式建議[3-7]，但缺乏一套完整的測評全流程管理信息系統。本文結合中國鐵路昆明局集團有限公司、某電網公司在等級保護測評工作中的經驗及前人所做研究，旨在設計一套集成度高、涵蓋面廣、功能齊備、標準統一、評判精準、可自動運行的等級保護測評管理系統。該系統可對等級保護測評工作提供全方位的過程管理，實現測評過程中標準統一、快速檢測、自動評判等功能，有望應用于各行業的信息安全等級保護工作中，提升等級保護測評的效率及質量。

1 等級保護測評管理系統的必要性

信息安全等級保護是我國規范信息安全管理工作的一項重要制度，而等級保護測評是整個等級保護工作中的重點和難點[8]。測評工作在開展過程中耗時、耗力，對測評人員專業技能要求較高，測評結果容易主觀化。學者專家及專業測評機構研究設計了部分安全評估算法或測評工具箱，但測評結果及數據很大程度上難以共享及深度挖掘。研究設計等級保護測評管理系統可有效節約人力、規范測評流程、統一測評標準，對數量眾多、規模龐大、結構復雜的多個信息系統同時開展測評，兼顧測評的高效和全面細致，可極大地提升測評質量。

2 等級保護測評管理系統設計

2.1 架構設計

移動等級保護測評管理系統主要包括安全信息收集平臺和測評系統[9]，系統結構如圖1所示。

圖1 等級保護測評管理系統架構

2.2 安全信息收集平臺

對信息系統進行安全測試，必須借助第三方軟件，如漏洞掃描、基線掃描、等級保護工具箱、數據庫安全評估、中間件安全評估等工具。由于各測試工具及使用方法千差萬別、測試結果格式不統一、使得測試結果數據難以共享，降低了工作效率。安全信息收集平臺通過按需、易擴展的方式集成統一的相關安全工具，構建一個可對安全配置、軟件漏洞、主機病毒與木馬檢測、網站惡意代碼檢查、安全代碼審計、安全日志分析等安全信息收集的平臺[10-11]。

平臺主要功能包括：測評工具管理、安全數據收集與存儲、安全信息分析、報表管理等，系統功能如圖2所示。

圖2 安全信息收集平臺系統功能

2.2.1 測評工具管理

對安全評估工具進行統一管理并實現工具的自動化調用，包含網站安全與惡意代碼檢查工具、數據庫安全檢查工具、網絡設備配置檢查工具、主機配置檢查工具、系統漏洞掃描工具、弱口令檢查工具、病毒與木馬檢查工具等。安全評估工具支持手動導入和自動采集安全配置信息兩種方式，采用科學的方法，對測評結果、風險等提供定量的安全評價，并能自定義評價算法。每個測評工具可對檢測出來的問題提供弱點或漏洞詳細描述、并提出修補及整改建議。

（1）網站安全與惡意代碼檢查工具

實現對信息系統的Web安全檢查，支持對SQL注入、XSS跨站腳本、偽造跨站點請求、網頁木馬、隱藏字段、表單繞過、AJAX注入、弱配置、敏感信息泄漏、HI-JACK 攻擊、弱口令、Xpath注入、LDAP 注入、框架注入、操作系統命令注入、Flash源代碼泄漏、Flash跨域攻擊、Cookies注入、敏感文件、第三方軟件、其他各類CGI等漏洞進行掃描。對網站代碼的安全進行檢查，支持.asp、.aspx、.php、.jsp、.css等文件格式檢查，支持自定義文件后綴格式，異性、變異WebShell后門代碼檢查，支持關鍵惡意特征碼定位等掃描策略。

（2）數據庫安全檢查工具

實現對 Oracle、Sybase、DB2、Informix、My-SQL、SQL Server等主流數據庫系統進行安全檢查，檢查的內容主要包含了不安全配置、安全策略、補丁升級、權限分配、訪問控制、弱口令等。

（3）網絡設備配置檢查工具

支持檢查網絡設備賬戶的安全策略信息，包含口令長度、復雜度、定期更換、登錄失敗、鎖定次數等，支持檢查安全審計策略，包含事件類型、SYSLOG服務器，支持檢查不必要的服務和端口（如TELNET、FTP、SNMP、HTTP），支持SNMP、SSH 服務、版本信息等檢查。

（4）主機配置檢查工具

實現對Linux系統信息、硬件信息、異常服務、安全策略、帳戶信息、服務信息、系統補丁、活動端口、用戶權限、審計策略、SNMP信息、SSH信息、資源控制等配置項進行安全檢查；對Windows系統信息、硬件信息、系統開機啟動項、異常服務、安全策略、帳戶信息、審計策略、系統補丁、進程掃描、軟件安裝、活動端口、用戶權限、安全選項、組策略、運行保護、瀏覽器上網記錄、USB使用記錄等眾多配置項進行安全檢查。

（5）系統漏洞掃描工具

實現對Microsoft Windows XP/2003/Vista/2008/7、Sun Solaris、HP Unix、IBM AIX、IRIX、Linux、BSD等操作系統進行漏洞掃描，以及Web、FTP、電子郵件等應用系統，Office、Apache等常用軟件漏洞掃描。同時也可以對網絡設備進行漏洞掃描。可以自動統計總體漏洞數量、統計不同操作系統類型的主機數量、統計所有開發端口、可用帳戶等信息。

（6）弱口令檢查工具

實現應用程序協議的弱口令檢查，如SMB、RDP、TELNET、SSH、Pop3、FTP 、SQL Server、Oracle、My SQL等應用程序協議。

（7）病毒與木馬檢查工具

實現對操作系統的關鍵機制，如系統服務、內存、注冊表、啟動進程；檢測操作系統的安全模型，包括訪問控制、特權和審計；反饋系統安全配置、文件訪問，驅動、引導等系統深度進行流氓軟件、蠕蟲病毒、其它惡意程序的檢查工作。實現系統中的木馬程序、Rootkit、間諜程序等木馬檢查，提取操作系統的關鍵機制，如系統服務、內存、注冊表、啟動進程；檢測操作系統的安全模型，包括訪問控制、特權和審計；反饋系統安全配置、文件訪問，驅動、引導等系統深度信息進行檢查。

2.2.2 安全數據收集與存儲

通過對測評工具的控制，對每個自動化安全測評工具掃描的結果進行解析，按類型存儲到數據庫。也可以手動導入安全信息數據，并對數據進行解析、分類存儲。

2.2.3 安全信息分析

安全信息收集平臺可將部分已收集的格式化安全信息數據進行量化及綜合分析，得出更直觀準確的測評結論，提供數據接口給測評系統使用。以安全風險量化分析為例：

風險值 = R（A，T，V）= R（L（Ta，Vb），F（Ia，Va））。

其中，R表示安全風險計算函數，A表示資產，T表示威脅，V表示脆弱性，Ta表示威脅出現的頻率，Ia表示安全事件所作用的資產價值，Va表示脆弱性嚴重程度，Vb表示存在的脆弱性，L表示威脅利用資產存在的脆弱性導致安全事件發生的可能性，F表示安全事件發生后產生的損失。風險值計算包含以下3個關鍵環節。

（1）安全事件發生的可能性 = L（威脅出現頻率，脆弱性）= L（Ta，Vb）；在具體評估中，應綜合攻擊者技術能力（專業技術程度、攻擊設備等）、脆弱性被利用的難易程度（可訪問時間、設計和操作知識公開程度等）、資產吸引力等因素來判斷安全事件發生的可能性。

（2）安全事件的損失 = F（資產價值，脆弱性嚴重程度）= F（Ia，Va）；部分安全事件發生造成的損失不僅僅是針對該資產本身，還可能影響其提供業務的連續性。不同安全事件對整體造成的影響也是不一樣的，在計算某個安全事件的損失時，應將對整體的影響也考慮在內。

（3）計算風險值：風險值 = R（安全事件發生的可能性，安全事件的損失）= R（L（Ta，Vb），F（Ia，Va））。

2.3 測評系統

系統主要包括項目管理、資產管理、測評指標管理、移動測評、等級保護測評管理、安全態勢分析、外部接口等模塊。

2.3.1 項目管理模塊

將等級保護測評工作流程固化，提供測評任務配置、測評跟蹤、測評結果統計、風險量化分析、報告編制等功能，實現測評任務從創建、實施到關閉的整個生命周期管理，將以往的人工審計工作轉變成自動化的測試,并自動生成各類報告。系統可按時間、機構、類型等類別查看、跟蹤各測評項目的編號、名稱、負責人、狀態等相關屬性[9]。

2.3.2 資產管理模塊

對被測單位的信息系統資產進行統一的類別劃分、登記等綜合管理；實現資產的登記和分類，支持手工錄入或自動探測，或與第三方系統運維機構獲取資產管理的基礎信息。

2.3.3 測評指標管理模塊

測評指標隨著標準級別（國標、行標、企標、測評單位內部）變化所帶來的差異，可分為國家原創、行業增強、行業原創、企業增強、企業原創、測評機構增強、測評機構原創等7大類。測評指標庫架構如圖3所示。

圖3 測評指標庫架構

測評指標內容應盡可能細化、詳盡，以身份鑒別指標為例，測評內容應至少包括：標識、鑒別、密碼復雜度、密碼長度、密碼更換周期、弱口令、非法登錄次數及失敗處理、賬戶鎖定時間、加密傳輸、操作系統用戶唯一等多個測評指標項。

測評指標管理模塊可以對指標進行添加、刪除、導入導出、篩選查詢等,可對指標屬性進行橫向擴展，對指標層次進行縱向擴展。對不同行業、不同系統開展測評時，可以選取最匹配該行業標準的指標進行精準測評。

2.3.4 移動測評子系統

隨著便攜式移動設備越來越廣泛的應用，在等級保護測評管理系統中使用移動客戶端協助測評，可極大地提高測評效率、規范現評流程。測評人員通過移動客戶端在等級保護測評管理系統中領取相應任務，并對測評工作和進度進行實時或離線同步，完成測評工作的全流程控制。移動客戶端通過現場錄音、拍照取證等功能與人工測評緊密結合，完成現場測評；同時可控制安全信息收集平臺，發送指令進行安全配置信息、安全漏洞收集，安全日志分析等操作。移動測評完成后，移動客戶端連接到等級保護測評管理系統網絡，把數據同步到系統中。測評過程中，移動客戶端通過加密等多種手段，對終端安全及數據安全進行嚴格的控制。移動測評子系統業務流程如圖4所示。

2.3.5 等級保護測評管理

圖4 移動測評子系統業務流程

等級保護測評管理，可按照測評的標準流程，協助測評人員完成以下測評工作。

（1）信息收集與分析。包括：上傳收集資料，測評對象選取，測評方案編制，上傳測評方案，填寫分工信息等。

（2）現場測評實施。測評人員按安全域進行現場測評，并將現場測評結果導入系統。

（3）測評報告編寫。建立信息系統安全測試歷史數據庫,提供全方位的數據分析，按需求生成多樣化的報表，主要包括：總體技術指標，管理水平，測評結果匯總表，匯總圖，問題匯總表，風險評價，測評結論，安全整改建議等。整個測評工作流程如圖5所示。

圖5 等級保護測評工作流程

2.3.6 安全態勢分析模塊

信息系統經過多次安全測評、復測后，會產生大量信息安全數據，通過對這些數據進行深入的挖掘和分析，研究安全態勢模型，可直觀展現信息系統運行、單位安全管理等重要環節的安全態勢[12]。安全態勢分析模塊主要包含以下功能：對等級保護測評結果進行數據清洗、規范和匯總，使其具備統一分析的基礎；對安全制度、人員管理、建設管理、運維制度、網絡安全態勢、物理環境安全態勢、數據安全態勢、主機安全態勢、應用系統安全態勢等重要安全指標進行綜合分析研判，通過圖表等形式直觀展示。

2.3.7 外部接口模塊

提供包括應用安全掃描、主機系統漏洞掃描、數據庫安全掃描等工具的接口模塊,實現對外部工具的直接調用和對工具生成的報告的直接導入。通過外部掃描數據導入分析功能，提供一個漏洞驅動的事件分析引擎,對等級保護的測評項與掃描結果作對比分析,有效地實現測評結果數據共享,極大地減少測評人員的工作量。

3 結束語

本文提出的等級保護測評管理系統利用安全信息自動化采集技術，集成各類安全評估工具，可實現測評過程的有效管理、測評工作的有序開展、測試標準的高度統一、測評指標的自動判斷、測評結果的客觀分析、測評報告的自動生成等。研究成果在某公安網絡與信息安全實驗室、某電網信息安全實驗室進行應用，達到了縮短項目管理、技術檢測、結果統計、報告生成等環節用時的目的，明顯地提高了測評質量。