等級保護安全計算環境下的測評方法研究

馬曉波

摘 要 隨著《網絡安全法》的推廣，各企事業單位對網絡安全的重視程度越來越高。為順應多形態、多業態網絡安全新技術、新形勢，信息安全技術——網絡安全等級保護基本要求（GB/T 22239-2019）和信息安全技術——網絡安全等級保護測評要求（GB/T 28448-2019）應運而生。本文旨在針對上述標準中的重點條款進行分析，提出具有可操作性的測評方法。

關鍵詞 網絡安全法;等級保護;測評方法

引言

等級保護進入 2.0 時代，2.0 的核心思想便是“一個中心、三重防護”的理念。三重防護重點強調由外及內的保護，相對于邊界外不可控的安全風險，邊界內的安全計算環境包括網絡設備、安全設備、服務器和終端、應用系統、移動終端管理、業務數據等等。

在實際測評現場環境，客戶遇到了標準條款無法理解、無法操作、無法落地的困惑，本文重點強調基本要求的解讀以及測評方法得案例說明。

1服務器的重點條款測評方法

（1）應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換。

要求解讀：（以 linux 為例）

Linux 系統的用戶鑒別過程：系統管理員為用戶建立一個賬戶并為其指定一個口令，用戶使用指定的口令登錄后重新配置自己的口令，這樣用戶就具備了一個私有口令。etc/passwd 文件中記錄用戶的屬性信息，包括用戶名、密碼、用戶標識、組標識等信息。現在的 Linux 系統中口令不再直接保存在/etc/passwd 文件中，通常將 passwd 文件中的口令字段使用一個“x”來代替，將/etc/shadow 作為真正的口令文件，用于保存包括個人口令在內的數據。

Linux 中的/etc/login.defs 是登錄程序的配置文件。如果/etc/pam.d/system-auth 文件里有相同的選項，則以/etc/pam.d/system-auth 里的設置為準，也就是說/etc/pam.d/system-auth 的配置優先級高于/etc/login.defs。

Linux 系統具有調用 PAM 的應用程序認證用戶，其中一個重要的文件便是/etc/pam.d/system-auth（在 Redhat、CentOS 系統上）或/etc/pam.d/common-passwd（在 Debian、Ubuntu 系統上）。/etc/pam.d/system-auth 或/etc/pam.d/common-passwd 中的配置優先級高于其他地方的配置。

測評方法：

1）訪談系統管理員系統用戶是否已設置密碼，并查看登錄過程中系統賬戶是否使用了密碼進行驗證登錄。

2）以有權限的賬戶身份登錄操作系統后，使用命令 more 查看/etc/shadow 文件，核查系統是否存在空口令賬戶。

3）使用命令 more 查看/etc/login.defs 文件，查看是否設置密碼長度和定期更換要求。

#more /etc/login.defs 使用命令 more 查看/etc/pam.d/system-auth 文件，查看密碼長度和復雜度要求。

（2）應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。

要求解讀：

對于第三級及以上的操作系統要求采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。

測評方法：

訪談和核查系統管理員在登錄操作系統的過程中使用了哪些身份鑒別方法，是否采用了兩種或兩種以上組合的鑒別技術，如口令、數字證書 Ukey、令牌、指紋等，是否有一種鑒別方法在鑒別過程中使用了密碼技術。

具體案例如下：

符合要求的密碼技術鑒別技術，比如有基于 RSA 算法的數字證書，基于 SM2 算法的數字證書（安可環境適配的多），基于 keycenter 算法 AES-128 動態口令令牌等;算法并非只要求國密算法，國外算法也可以。

需要注意一點的是：符合要求的堡壘主機，這要看第二種具體什么鑒別機制，是軟證書，還有又一重靜態口令，還是用到密碼技術的鑒別方法[1]。

手機驗證碼，是隨機數發送，挑戰應答還是OTP，OTP有的是基于密碼技術的，比如 keycenter，但可以肯定的是大多數驗證碼不符合要求。

（3）應對重要主體和客體設置安全標記，并控制主體對有安全標記信息資源的訪問。

要求解讀：

敏感標記是由強認證的安全管理員進行設置的，通過對重要信息資源設置敏感標記，決定主體以何種權限對客體進行操作，實現強制訪問控制。安全增強型Linux（Security-Enhanced Linux）簡稱 SELinux，是一個 Linux 內核模塊。2.6 及以上版本的 Linux 內核都已經集成了 SELinux 模塊，在使用 SELinux 的操作系統中，決定一個資源是否能夠被訪問的因素除了用戶的權限（讀、寫、執行）外， 還需要判斷每一類進程是否擁有對某一類資源的訪問權限，這種權限管理機制的主體是進程，也稱為強制訪問控制（MAC）。

測評方法：

以有相應權限的身份登錄進入 Linux，使用 more 查看/etc/selinux/config 文件中的 SELINUX 參數的設定。

SELINUX 有三種工作模式，分別是：

enforcing：強制模式。違反 SELinux 規則的行為將阻止并記錄到日志中，表示使用 SELinux。

permissive：寬容模式。違反 SELinux 規則的行為只會記錄到日志中，一般為調試用，表示使用 SELinux。

disabled：關閉 SELinux，使用 SELinux。

2結束語

在面對等保保護2.0標準時，著重強調了一個中心三重防護的理念，重視技術，補充短板，更加接近用戶生產環境，將好的實際案例和方法帶進等級保護基本要求中來，而反過來等級保護基本要求也在一定程度上引領行業發展方向。

參考文獻

[1] 吳齊躍，王永琦.云計算環境下信息安全等級保護測評研究[J].中國教育信息化，2016，（11）：13-17.