信創網絡安全測評

李琨 丁慶行

（中國軟件評測中心 北京市 100048）

2020年3月初，中共中央政治局常務委員會召開會議提出，加快5G 網絡、人工智能、物聯網、工業互聯網為代表的新型基礎設施建設進度，緊接著，3月6日，工信部積極響應，召開5G 發展專題會，“新基建”成了公眾關注的熱點。然而，這些新興技術能夠得到發展，現在乃至未來都離不開信息技術應用創新這一基石。近幾年，我國一直大力發展人工智能、物聯網、云計算、5G 網絡技術等新興技術。但是，信息技術的發展與新興技術的超前步伐相比，顯然相對滯后，特別中美貿易戰發生以后，將這一問題更加徹底地顯化了出來，這也成了推動我國信創行業發展的一個動因[1]。

近年來，在黨和國家的大力支持下，我國CPU、操作系統、數據庫等自主產品快速發展，云計算、大數據等新一代信息技術快速普及，對我國信創行業的發展提供了有力的支撐。自2014年2月27日成立中央網絡安全和信息化領導小組以來，以習近平同志為核心的黨中央、國務院,明確提出了“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化”的建設口號，通過加大對國產信息化設備建設力度,大力扶持國產信息化產品、設備,在資金、政策等多個方面加快推進我國信息化設備的國產化[2]。

1 信創網絡安全發展現狀及存在的問題

《中華人民共和國網絡安全法》和《網絡安全審查辦法》的出臺，將網絡安全提升至國家安全戰略層面，對信息系統，尤其是關鍵信息基礎設施的安全防護建設提出了更為系統和全面的要求。受技術發展水平、產業生態影響，國產化基礎軟硬件、網絡設備和安全專用產品的性能、可靠性、成熟度與傳統商用產品仍存在一定的差距，因此，僅通過部署相關安全產品來提升信創網絡安全的防護能力有著較大的實施難度。

2 信創網絡安全測評思路和內容

安全測評是信創網絡工程必不可少的支撐，構建一個全面的安全測評，為信創行業的發展保駕護航，也是信創行業發展的重要組成部分。

面對新技術新應用發展帶來的信息系統安全威脅，需要從多層級、多維度建設安全體系，從底層設施到上層應用，從外部防御到內部安全，形成完善的系統網絡防護安全體系。因此，信創網絡安全測評不僅要涉及系統的基礎軟硬件設施，還應對運行在上面的信息系統提出進一步的要求。通過深度檢測系統存在的網絡安全問題和漏洞隱患，檢驗信息系統安全措施的有效性，確認系統安全現狀與國家相關要求的差距，為全面提升信創項目的安全防護水平提供參考和依據，有針對性的落實和加強信息系統安全措施，確保信息系統正常、安全的持續運行。

本文從等級保護測評、滲透測試、源代碼審計、風險評估四個方面介紹信創網絡安全測評。

2.1 信創網絡安全測評思路

《中華人民共和國網絡安全法》的頒布將網絡安全等級保護制度作為網絡運營者必須履行的義務以法律的形式進行了強制規定。等級保護測評涵蓋了信息系統的基礎設施、應用、數據等諸多方面[3,4]。作為最基礎，最全面的安全防護措施，等級保護測評是提高信息系統的信息安全防護能力，降低系統被各種攻擊的風險建立的第一道防護屏障。

如果說等級保護測評是信息系統最基礎的第一道防護屏障，那么滲透測試就是更深層次的安全防護措施，通過模擬惡意黑客的攻擊方法，對被測系統存在的漏洞進行現場或遠程的滲透性測試與驗證，對系統的任何弱點、技術缺陷或漏洞進行主動分析，找到系統中存在的脆弱點，并提出相應的加固建議，從而提升系統整體安全防護能力。

滲透測試是從外到內的發現問題，而源代碼安全審計則是從內部發現源代碼出現的安全漏洞，構建安全的代碼，提高源代碼的可靠性，提高應用系統自身安全防護能力。源代碼安全審計是對系統的源代碼和軟件架構的安全性、可靠性進行全面的安全檢查，目的在于充分挖掘代碼中存在的安全缺陷以及規范性缺陷，從而讓開發人員了解其開發的應用系統可能會面臨的威脅，指導開發人員正確修復程序缺陷。從而提高源代碼的質量，從底層保障應用系統本身的安全，從早期降低應用系統的開發成本。

風險評估是依據有關信息安全技術與管理標準，對信息系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。它要評估資產面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結合安全事件所涉及的資產價值來判斷安全事件一旦發生對組織造成的影響[5]。通過風險評估項目的實施，對信息系統的重要資產、資產所面臨的威脅、資產存在的脆弱性、已采取的防護措施等進行分析，對所采用的安全控制措施的有效性進行檢測，綜合分析、判斷安全事件發生的概率以及可能造成的損失，判斷信息系統面臨的安全風險，提出風險管理建議，為系統安全保護措施的改進提供參考依據。

2.2 信創網絡安全測評內容

2.2.1 等級保護測評

依據《GB/T 22239-2019 信息安全技術 網絡安全等級保護基本要求》、《GB/T 28448-2019 信息安全技術 網絡安全等級保護測評要求》以及信創測評要求等標準，對信創項目所涉及的所有備案系統開展等級保護測評。

等級保護測評內容包括安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心、安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理十個方面的安全通用要求和系統對應的安全擴展要求，技術層面以“一個中心，三重防護”為依據進行劃分，管理層面以“三個要素，兩項活動”為依據進行劃分[2]。具體對應情況如圖1所示。

圖1：等級保護測評控制措施的分類結構圖

圖2：源代碼審計流程

圖3：風險值計算流程圖

通過訪談、文檔檢查、實地察看、配置核查、工具測試等方法，針對標準的每項具體要求，從微觀角度展開，深入分析信息系統與相應等級要求之間的差距，并從宏觀角度對各方面單元檢測的結果進行驗證、分析和整體評價，確認信息系統的整體安全防護能力有無缺失，是否能夠對抗相應等級的安全威脅，識別目前信息系統所采取的安全措施與所備案的信息安全保護等級標準要求之間的差距，并及時提出安全整改建議為安全整改提供依據，同時在項目整改過程中提供相應的咨詢服務及支持，協助解決問題。

信創等級保護測評與傳統等級測評相比，存在設備新、平臺新、應用新的特點。首先，信創網絡設備、安全設備現階段使用范圍較小，對信創設備的安全策略及功能還不熟悉，需要進行研究和驗證；其次，信創云平臺系統、大數據系統需要與項目內各個廠商的軟件進行適配和兼容，安全性尤為重要，需要加強測評并進行多方面驗證；最后，信創系統需要針對不同的主流瀏覽器進行適配開發，有些還采用了國產中間件，所以要加強滲透測試和源代碼審計，及時發現可能存在的漏洞。

針對云平臺系統、大數據系統等，除依據《網絡安全等級保護測評要求》中的安全通用要求指標和安全擴展要求指標進行測評外，還應結合系統的自身特點開展測評。

（1）需要對云平臺系統中的鏡像進行測評，確保提供加固的操作系統鏡像。傳統模式下若服務器未進行妥善的安全加固，影響往往只是少數幾臺服務器，但在云計算環境，一個鏡像會被大量復制，將會造成大量服務器都存在相同的安全漏洞。

（2）云平臺測評要全面。部分云計算環境存在OpenStack 平臺和kubernetes 平臺，分別提供云計算管理和容器管理服務，也需要作為測評對象進行測評。

（3）關注云平臺租戶、用戶權限是否合理。有些部委信創項目涉及的司局及其應用系統眾多，要合理劃分云租戶、各系統用戶權限，能體現各應用系統主管單位對相應應用的網絡安全責任。

（4）在大數據系統中，要根據選取的重要業務數據和重要個人信息，對數據采集、數據傳輸、數據存儲、數據使用、數據銷毀、數據安全管理等環節的安全防護措施進行測評。

2.2.2 滲透測試

通過模擬黑客對指定的應用系統進行滲透測試，發現分析并驗證其存在的安全漏洞、敏感信息泄露、SQL 注入漏洞、XSS 跨站腳本漏洞和弱口令等安全隱患，評估系統抗攻擊能力，提出安全加固建議。

測試內容包括但不限于以下8 個子類：配置管理測試、業務邏輯測試、認證測試、授權測試、會話管理測試、數據驗證測試、拒絕服務測試、Web 服務測試。

測試方法包括：端口掃描、漏洞掃描、拓撲發現、口令破解、本地或遠程溢出等。

針對應用系統的滲透測試采取兩種類型：

第一種類型：互聯網滲透測試，通過互聯網發起遠程攻擊，比其他類型的滲透測試更能說明漏洞的嚴重性；

第二種類型：內網滲透測試，通過接入內部網絡發起內部攻擊，主要針對信息系統的后臺管理系統進行測試。

2.2.3 源代碼安全審計

源代碼審計由具備豐富編碼經驗并對安全編碼原則及應用安全具有深刻理解的安全服務人員對系統的源代碼和軟件架構的安全性、可靠性進行全面的安全檢查。如圖2所示，為源代碼審計流程。

源代碼審計的目的在于充分挖掘當前代碼中存在的安全缺陷以及規范性缺陷，搜索違背安全編碼規則和指導原則的情況，從而讓開發人員了解其開發的應用系統可能會面臨的威脅，并指導開發人員正確修復程序缺陷。

源代碼審計采用源代碼分析工具對系統源代碼的安全性進行測試，識別、定位代碼存在的安全漏洞，如代碼對標準的遵循、可讀性，代碼的邏輯表達的正確性，代碼結構的合理性等方面。通過分析，可以發現各種違背程序編寫標準的問題，主要包括源代碼設計、錯誤處理不當、直接對象引用、API 濫用、資源濫用等。

雖然源代碼安全審計中，工具的作用很重要，但更重要的是測試實施人員的能力，不管使用何種源代碼審計工具，都必須充分了解測試原理，靈活掌握和使用工具，并能進行分析。

2.2.4 風險評估

風險評估將按照《GB/T20984-2007 信息安全技術 信息安全風險評估規范》分析項目可能面臨的安全威脅、弱點、風險，并提出安全風險的整改措施，盡可能的將發現的安全風險進行有效處理。

根據對被評估系統進行調研和定性分析的結果，對系統資產進行保密性、完整性和可用性賦值。根據調研結果對系統威脅源的動機、出現頻率進行分析，并對威脅進行分類和賦值。按照等級保護測評要求分析重要資產的技術脆弱性，并通過滲透測試、漏洞掃描等評估被測系統的安全性，綜合三者對被評估系統的技術脆弱性進行評估并賦值。以系統技術脆弱性賦值原則為參考，綜合考慮系統管理制度和管理人員安排，定性分析系統重要資產的管理脆弱性并賦值。分別對系統的資產、威脅和脆弱性三要素的屬性進行關聯分析，按照《GB/T20984-2007 信息安全技術 信息安全風險評估規范》標準中定義的相乘法推導出系統風險值，如圖3所示。

根據推導出的風險值進行等級化處理，并進行綜合統計和評價，形成項目的總體安全評估結果，依據《GB/T 22239-2019 信息安全技術 網絡安全等級保護基本要求》提出安全風險的整改措施。

2.3 信創網絡安全測評建議

2.3.1 硬件兼容與基線配置統一

信創項目會涉及到多個不同廠商的網絡設備、安全設備、服務器等基礎軟硬件設施，尤其是在云平臺的建設過程中，異構硬件管理已經是一種常態，不同廠商的設備和不同版本的主機存在一定的兼容性問題，在異構的過程中，應進行適配，通過統一的接口進行數據交換和資源調度，適配后應記錄所有設備的安全配置基線，并在設備調整或變更時保持一致，對于不同區域的同種類型設備間也必須保持相同的安全基線配置。

2.3.2 預先做好應用系統源代碼的安全審計

在保證基礎軟硬件環境的穩定性與安全性的同時，要建立系統開發源代碼的漏洞問題處理機制，本著“早發現，早糾正”的原則，在系統上線運行前，應進行源代碼安全審計，盡早發現代碼中存在的安全隱患，并及時整改。針對多系統的信創項目，若所有系統都開發完成時再進行源代碼的審計，工作量無疑是龐大的，屆時發現問題再進行整改，很有可能會“牽一發而動全身”。因此，在工程實施中，應該本著開發一個、驗證一個、成熟一個、上線一個的原則，穩步實施。

2.3.3 重視問題的發現與管理

在信創項目的實施過程中，會出現許多亟待解決的問題，由于工程實施人員結構的復雜，問題處理流程可能會出現較大差異，問題的發現、定位與解決的效率，決定著工程實施進度的快慢，如何形成一個快速的問題響應機制，構建一個問題集中定位與處理的統一管控平臺，至關重要。

3 結束語

信創產品自身的適配性、兼容性、安全性、穩定性對云平臺、大數據、微服務、中臺等新模式新技術的支撐能力缺乏成熟案例，同時，等保2.0 對信息系統的安全防護要求提出了全新要求，更增加了安全防護的技術復雜性和測評復雜性，為全面提升新創網絡安全管理和技術防護能力，加快推動國產信息化技術、設備、產品、系統等方面的完善與創新，迫切需要安全測評必須貫穿項目建設始終，通過事前培訓引導、事中方案評審、事后測評確保系統安全達標，可靠運行。信創產業的發展不是簡單的產品替換，而是與國家信息化行業生態鏈信息相關；不僅帶動了產業的發展升級與經濟轉型，更提升了綜合國力，掌握信息化主動權。