基于推理模型的等級保護2.0自動化測評系統

張 雨，趙 慧，楊茂深，劉 昊

(中國航天科工集團第二研究院 七〇六所，北京 100854)

0 引 言

為適應現階段網絡安全形勢的發展要求，2019年正式發布和實行《GB/T 22239—2019 信息系統安全等級保護基本要求》[1]，這標志著等級保護制度進入2.0時代。等級保護2.0系列標準對各級信息系統安全提出了新的要求，等級保護測評過程也需依據新標準實施。根據等級保護測評要求規定，測評工作需由專業測評機構內具有測評資格的人員持證執行，因此存在測評任務多、測評人員緊缺、測評周期長等困難[2]。為了提升測評效率，亟需提高等級保護測評系統的自動化水平。

目前等級保護測評系統主要包含兩種類型：等級保護測評管理系統[3-5]和等級保護測評工具箱[6，7]。等級保護測評管理系統提供等級保護測評階段文檔和過程管控服務，具備等級保護工作管理、系統管理、數據統計與分析等功能[8]。等級保護測評工具箱則提供等級保護測評流程的向導功能，引導測評人員按照規定的檢測流程執行，并提供技術檢查工具協助檢查，本文主要側重對后者的研究。目前測評工具箱多面向專業的等級保護測評人員，對使用者的專業要求較高。有的工具箱提供自動化測評輔助工具，但需要測評人員熟悉使用流程和分析方法，并對結果進行人工研判，自動化程度較低。

針對等級保護測評系統當前存在的問題，深入分析等級保護2.0測評要求，本文提出一種基于推理模型的等級保護2.0自動化測評系統(簡稱：自動化等保測評系統)，規范和優化等級保護測評標準建模，構建等級保護測評知識庫，提高等級保護測評的自動化水平，為信息系統建設者等非專業測評人員提供信息系統一鍵式自動化測評的自查服務。

1 等級保護2.0測評

網絡安全等級保護2.0標準體系架構如圖1所示。

圖1 等級保護2.0相關標準體系架構

本文主要研究等級保護測評技術，重點分析GB/T 28448—2019《信息安全技術 網絡安全等級保護測評要求》[9](簡稱：測評要求)和GB/T 28449—2012《信息安全技術 信息系統安全等級保護測評過程指南》(簡稱：測評過程指南)。這兩個標準分別規定了等保測評的內容和方法，定義了等保測評的主要活動和任務[10]。

等保測評由測評師根據“測評要求”和“測評過程指南”執行，分析匯總測評結果中存在的不符合項或部分符合項，分析安全問題被威脅利用的可能性，判斷其被威脅利用后對業務系統安全造成的影響，綜合評價后形成測評結論，測評結論包括符合、基本符合和不符合[11]。等保測評工作處于信息系統建設后期，目前面臨測評周期長、測評過程復雜、測評效率低下等問題，存在等保測評階段發現問題后系統調整成本高等隱患，亟需研制自動化等保測評系統，簡化測評過程操作的復雜性，方便信息系統建設人員在建設過程中開展安全等級自測工作，并根據自測結果及時調整系統建設，提高企業信息系統等保測評的通過率。

2 CAE證據推理模型

聲明-論證-證據(claim-argument-evidence，CAE)模型是一種證據推理模型[12]，簡稱CAE模型，它包括聲明、論據、證據三大組成要素，層次結構如圖2所示，該模型具有較強的層次性和結構性，被廣泛應用于信息系統測評過程。

圖2 CAE模型層次結構

證據(Evidence)是指直接收集到的具體事實，位于模型的最底層，用來支持上層的論證。在測評過程中，一般采用實際測試結果作為證據。

論證(Argument)是證據經過某些分析和推理所形成的結果，是聯系證據和聲明的橋梁。在測評過程中，該要素表現為評估過程。

聲明(Claim)可看作是對命題真假的判定。根據命題復雜度不同，聲明可進一步細分為多個子聲明(Subclaim)，以支撐總命題各方面的“真”或“假”。在測評系統中，通常用聲明來判定某安全防護措施是否有效。

由CAE模型的層次結構圖可知，聲明可由證據經過論證直接得到，也可由證據經過論證得到子聲明，再由子聲明間接得到聲明。

3 自動化等保測評系統架構

針對等保測評過程存在的效率低下問題，本文提出一種基于推理模型的自動化等保測評系統，應用CAE模型通過自頂向下和自底向上結合的方法對等保2.0測評標準進行建模，構建等級保護知識庫，自動執行測評過程，形成測評報告，提高等保測評的自動化水平。

自動化等保測評系統由測評任務管理、測評過程執行以及測評結果展示組成，提供一鍵式服務，降低了對系統使用者的專業知識要求。該系統可部署在便攜計算設備上，與被測系統/設備直接連接，執行本地離線測評；也可部署在信息服務中心，通過網絡連接被測系統/設備，執行遠程在線測評。

自動化等保測評系統架構如圖3所示，由測評管理引擎、測評任務生成引擎、測評執行管理引擎、測評結果采集引擎、合規判定引擎和各類知識庫組成。

圖3 自動化等保測評系統架構

測評管理引擎負責提供可視化的測評過程管理配置服務。為管理員用戶提供各類知識庫的維護等后臺資源統一配置服務；為普通用戶提供測評任務建立、測評流程執行和測評報告查看等服務。

測評任務生成引擎實現測評任務的構建。根據用戶配置的測評任務目標生成任務信息，包括任務名稱、執行時間、測評項細則等，明確測評范圍。

測評執行管理引擎負責自動化執行測評任務。從測評任務生成引擎接收任務并提取測評項；從知識庫中查詢測評項對應的測評方法；根據測評方法中指定的測評工具/腳本，完成目標測評工具的調度、加載與執行。

測評結果采集引擎收集測評任務中各測試項對應測試工具/腳本的檢測結果，對其進行過濾、去冗、歸一化等處理后，保存到測評結果庫中，供后續分析使用。

合規判定引擎從測評結果庫中提取測試結果，并與等級保護知識庫中的指導文件進行比對，判斷其是否符合相應測評項的要求，形成最終的測評報告，保存在測評報告庫中。

測評管理引擎作為管理前端，與測評任務生成引擎、測評執行管理引擎和合規判定引擎通過管理接口進行互聯互通，完成測評配置管理、測評流程管理和測評結果展示。

等級保護知識庫作為自動化測評系統的核心，是網絡安全等級保護2.0體系的相關政策標準、作業指導書、實施經驗、專家知識和分析模型程序化處理后的專用知識庫，在測評任務構建、測評任務執行和測評結果判定階段均起到關鍵作用，等級保護知識庫的構建至關重要。本文采用CAE推理模型對等級保護知識庫進行層次劃分和建模，并利用其對測評結果進行科學評估。

4 基于CAE推理模型的自動化等保測評

4.1 基于CAE模型的等級保護知識庫構建

等級保護2.0測評主要分為兩大類：安全技術測評和安全管理測評[13]。安全技術測評包括：安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心；安全管理測評包括：安全管理制度、安全管理機構、安全管理人員、安全建設管理和安全運維管理[14]。這些測評類別可進一步細分為不同的測評層面、測評單元、測評項，并且每一個測評項都有其對應的測評對象、測評方法和結果判定要求。每一個測評項對應一個獨立的工作單元，其組成如下：

(1)測評方式

測評人員對測評內容實施測評的方式方法。包括訪談、檢查和測試。

(2)測評對象

測評過程中涉及到的信息系統組成，包括人員、設備、文檔等。

(3)測評方法

測評具體的實施方法，其中包含執行過程的要求。

(4)結果判定要求

對測評結果進行符合性判定的原則。

測評項可認為是等保測評中的最小組成單元，每個測評項都有對應的測評方式、測評對象、測評方法、結果判定要求。測評類別、測評層面、測評單元、測評項擁有明確的層次結構關系，每一種測評類別都由一個或多個最小測評項組成。當測評項的測評對象是人員、文檔、物理環境等情況時，其等保符合性的判定具有一定的主觀因素，機械式地自動化測評難以為測評對象給出準確的測評結果，因此本文提出的自動化等保測評系統僅針對能依賴測評工具給出準確測評結果的測評項集合。

在等級保護知識庫構建過程中，依據CAE推理模型自上而下分解等保知識，實現知識庫的金字塔結構，等級保護知識分解過程如圖4所示。將等保測評過程依據的相關政策標準、作業指導書、實施經驗、專家知識等進行整理歸類，并按照測評等級、測評類、測評層面、測評單元、測評項等屬性進行自頂向下的分解，根據CAE模型中聲明-論據-證據的層次結構，建立測評項與測評方法的包含關系、測評方法與關聯測評工具/腳本的映射關系等，將每個測評項具體化為一個與測評工具相關的測試步驟集，以便進行程序化處理。在自動化等保測評系統中，等級保護知識庫是鏈接測評任務生成引擎與測評執行管理引擎的橋梁，實現了用戶定制測評任務向自動化測評工具集的轉換。

圖4 基于CAE模型的等級保護知識庫建模結構

在等保測評結果評估過程中，依據CAE推理模型自底而上實現等保測評結果的自動化評估，形成測評結論，等保測評評估過程如圖4所示。依據等級保護知識庫中測評等級、測評層面、測評單元、測評項的層次結構，每層都有各自對應判定準則。根據CAE推理模型中“證據-論證-聲明”等邏輯推理順序，自底向上逐層評估、判定，最終得出系統等級的判定結果。與知識庫構建過程相反，等保測評評估過程實現了測評工具/腳本的直接運行結果向用戶定制測評任務判定結果的自動化轉換。

基于CAE推理模型的自動化等保測評系統一方面依賴CAE模型的組織架構關聯等級保護指導書、專家知識、各類安全測試工具和腳本，自頂向下將各類知識分解為基本的等保測評項，構建等級保護2.0專用知識庫；另一方面自底向上匯集各測試工具/腳本的直接測試結果，進行推理、判定，形成系統最終的等級評估結果。

4.2 基于CAE模型的等保測評流程

CAE推理模型不僅在等級保護知識庫構建過程中起到了骨架支撐作用，在系統測評過程中同樣起著橋梁作用，有序引導測試任務、測試項、測試方法、測試工具、測試結果的選擇與執行，等保測評過程結構如圖5所示，確保了測評任務生成、測評執行管理、測評結果采集和合規判定等幾個關鍵過程的有序組織與關聯。

圖5 基于CAE模型的等保測評過程結構

在測評任務生成階段，確認等保測評目標，根據等級保護知識庫關聯生成目標相關測評項、測評方法等，用戶可最終確定需要執行的測評項。測評執行管理階段根據指定的測評項關聯自動化測評工具/腳本，根據用戶設定的測評時間和輸入的必要參數自動執行測評過程，形成測評結果。某一測評項可能關聯多個測評工具/腳本的測評結果，系統將各測評結果進行關鍵信息提取、去冗，歸一化處理后，進行統一存儲。最終，合規判定階段將根據測評任務和知識庫生成判定基線，提取各測評結果，與基線進行比對，并形成最終的等級評估結果，該等級評估結果僅代表當前測評任務的判定結果，最終等保測評結論還需結合現場審查和訪談結果綜合研判后確定。

4.2.1 測評任務生成引擎

測評任務生成引擎依據CAE模型中“聲明->子聲明->論證->證據”的分解順序，對用戶輸入的測評需求按照測評類別、測評層面、測評單元、測評項的順序進行分解，選擇并確定可通過測試工具/腳本自動測試的測評項集，組成測評任務，保存到測評任務庫中。測評任務包含任務編號、名稱、測評等級、測評項等信息。

測評任務生成引擎由測評任務制定、測評模板管理模塊和測評任務庫等部分組成。測評任務制定模塊確定生成測評任務信息；測評模板管理模塊實現測評任務模板的添加、更新和刪除等操作；測評任務庫實現對測評任務的持久化存儲。各模塊協同工作，構建測評任務模型。

測評任務庫存儲有測評任務模板、已生成的測評任務集。在接收到用戶測評需求后，測評任務生成引擎首先對測評需求進行初步分解，提取測評等級和測評對象，然后檢索測評任務庫，檢查是否存在同類需求的測評任務，如果存在，則直接提取該任務，傳遞給測評執行管理引擎；否則根據CAE模型對測評需求作詳盡分解，分解成細粒度的測評項，然后根據測評任務模板將分解得到的測評項組織成具有統一格式的測評任務，保存到測評任務庫中，供后續同類設備測評使用，同時傳遞給測評執行管理引擎繼續后續的測評流程。

4.2.2 測評執行管理引擎

測評執行管理引擎結合測評任務生成引擎傳遞的測評任務和系統構建的等級保護知識庫，檢索對應的測評方法；并根據各測評方法，搜尋最佳測評工具/腳本，加載并執行，獲得測評結果，傳遞給測評結果采集引擎。

測評執行管理引擎由測評方案規劃、測評工具調度、工具鏈調度、資源管理模塊和測評方法庫、測評工具/腳本庫等部分組成。測評方案規劃模塊分析測評任務中的測評項關聯生成測評方法；測評工具調度模塊實現對測評工具/腳本的調度、加載、執行等操作；工具鏈調度模塊完成一系列工具/腳本的關聯操作，如串行、并行、參數和結果傳遞等；資源管理模塊實現對測評工具、腳本的添加、刪除或對測評工具與測評方法的映射關系進行修改；測評方法庫存儲具體的測評方法信息，如測評步驟、測評工具/腳本編號等；測評工具/腳本庫存儲測評工具相關信息，如名稱、位置、簡介、功能、關聯測評項等。

首先，當測評執行管理引擎接收到測評任務后，根據測評任務模板進行解析，提取各測評項；然后依次根據測評項的關鍵字檢索等級保護知識庫，獲得測評項對應的測評方法編號，在測評方法庫中提取具體的測評方法。

其次，測評執行引擎根據測評方法搜尋具體的測評工具或腳本并加載。對測評方法進行解析，提取預定義的測評工具或腳本，并對測評資源進行統一調度、加載，并以測評任務為單位，構建測評工具鏈，以方便一鍵式測評的執行。

最后，測評執行管理引擎執行一鍵式測評，并將結果傳遞給測評結果采集引擎。在測評執行引擎加載所有所需的測評工具/腳本后，將提示用戶是否執行，用戶可選擇一鍵式全自動執行，也可自定義執行。當用戶選擇一鍵式自動執行時，測評執行管理引擎根據加載的測評工具鏈對待測組件或信息系統依次執行各測評項，并將結果傳遞給測評結果采集引擎。

測評執行管理引擎涉及的知識庫主要是測評方法庫，其中定義了測評方法與測評工具/腳本的映射關系。不同領域相同測評項的測評需求側重點也會存在差異，這需要測評方法與測評工具的映射同步更新。管理員可通過測評管理引擎提供的人機交互界面，動態更新測評工具集、測評方法，以及測評方法與測評工具的映射關系，以提高測評的準確性。

4.2.3 測評結果采集引擎

測評結果采集引擎作用于CAE模型的證據層，主要負責收集各測試工具/腳本的執行結果，并對其進行過濾、去冗、歸一化處理，轉換成統一格式的測評結果。其實質是對證據進行采集和解析，將各個測評工具/腳本的結果進行規范化的處理，并且與各個測評項進行關聯，為后續合規判定提供證據支撐。

測評結果采集引擎由測評原始結果采集、測評結果解析過濾、測評結果歸一化處理模塊和測評結果庫等部分組成。測評原始結果采集模塊負責原始結果的匯總存儲；測評結果解析過濾模塊完成對測評結果中關鍵信息的提取；測評結果歸一化處理模塊實現測評結果格式的統一；測評結果庫存儲處理后測評結果，為用戶查詢和合規判定引擎利用提供對外數據服務接口。

首先，測評結果采集引擎接收各測評工具/腳本發送的測評結果，以測評任務為依據進行分類，緩存在哈希桶中，以提高后續的數據處理效率。其次，引擎對所有測評結果進行過濾、去冗處理，刪除失敗、錯誤、冗余的結果數據，提高采用數據的有效性。最后，引擎對各測評工具反饋的測試結果進行歸一化處理，提取有效信息，根據預定義的測評結果格式進行填寫，并保存到測評結果庫中。測評結果庫中的測評結果與等級保護知識庫中的測評知識一一對應，用戶可通過測評管理引擎查看并下載歸一化后的測評結果。

4.2.4 合規判定引擎

合規判定引擎利用歸一化后的測評結果證據進行信息系統等級評估。根據CAE模型自底向上的系統評估方法，合規判定引擎經歷多次“證據->論證->聲明”的迭代，基于OpenSCAP框架[15]最終形成系統的等級評估結果。

合規判定引擎由測評判定基線生成、測評結果格式轉換、合規判定、測評報告管理模塊和測評報告庫等部分組成。測評判定基線模塊根據知識庫形成測評判定基線，生成XCCDF文件；測評結果格式轉換模塊將歸一化的測評結果轉換為OpenSCAP框架中的OVAL格式；合規判定模塊完成測評結果與判定基線的比對；測評報告管理模塊實現生成、修改、刪除測評報告等操作；測評報告庫存儲系統生成的測評報告。

首先，合規判定引擎以測評任務為檢索關鍵詞，從測評結果庫中提取歸一化的各測評結果，并依次對照等級保護知識庫中相應測評項的判定準則，確定其與等保標準的符合性；

其次，依賴CAE模型建立的測評項與測評單元、測評層面、測評類別關系，以及等級保護知識庫中各測評層的判定準則，實現從測評項到測評單元，再以測評單元為證據，自底向上遞推的方式逐層論證測評層面、測評類別，最終得到測評任務對應的等級判定結果，生成測評報告并保存到測評報告庫中。用戶可通過測評管理引擎查看并下載測評報告，系統提供測評報告的導出與打印服務。

5 結束語

隨著等級保護2.0系列標準的頒布和實施，信息系統安全等級保護測評日益受到重視。在信息系統規模不斷擴大的同時，信息系統安全等級保護測評的自動化需求也不斷增加。為了方便信息系統管理人員的安全自查工作，降低對安全測評人員的專業水平要求，提高系統測評人員的工作效率，本文提出了基于推理模型的等級保護2.0自動化測評系統，深入闡述基于CAE推理模型的等級保護知識庫構建過程和自動化等級保護測評流程。本系統支持對等級保護知識庫、測評資源的統一管理，具有較高的資源利用率，可支持多個測評任務并行執行；同時系統支持一鍵式自動測評，測評過程無需人工干預，具有較高的測評效率，可滿足當前日益龐大的信息系統等保測評需求。