蘭長亮

長春市博鴻科技服務(wù)有限責(zé)任公司 吉林長春 130000

1 課題研究背景

隨著網(wǎng)絡(luò)技術(shù)與人類生產(chǎn)、生活的深度結(jié)合，網(wǎng)絡(luò)空間已成為世界各國自身發(fā)展的重要戰(zhàn)略資源之一，各大國已逐漸將網(wǎng)絡(luò)和網(wǎng)絡(luò)空間當(dāng)作謀求自身發(fā)展戰(zhàn)略優(yōu)勢的重要博弈戰(zhàn)場。作為未來國家戰(zhàn)略能力發(fā)展的重要組成部分，美、英、日等國已相繼完成本國網(wǎng)絡(luò)空間安全戰(zhàn)略的制定，確保未來能夠優(yōu)先發(fā)展自身的網(wǎng)絡(luò)空間能力。進(jìn)入21世紀(jì)以來，我國綜合國力穩(wěn)步增強(qiáng)，信息技術(shù)與社會生產(chǎn)的結(jié)合也越來越緊密，“互聯(lián)網(wǎng)+”戰(zhàn)略的提出和實施保證了信息技術(shù)與傳統(tǒng)行業(yè)、新興行業(yè)的深度結(jié)合，同時也將逐漸加深我國社會生產(chǎn)、生活對網(wǎng)絡(luò)的依賴程度。在此背景下，一旦國家關(guān)鍵信息基礎(chǔ)設(shè)施遭到不法份子攻擊，極易造成國家各種信息甚至敏感信息的丟失，導(dǎo)致社會秩序產(chǎn)生混亂、危及大眾利益，甚至破壞國家安定和社會和諧[1]。

《中華人民共和國網(wǎng)絡(luò)安全法》的正式實施，標(biāo)志著國家網(wǎng)絡(luò)安全等級保護(hù)制度進(jìn)入2.0時代，而《網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T22239-2019）和《網(wǎng)絡(luò)安全等級保護(hù)測評要求》（GB/T28448-2019）等國家標(biāo)準(zhǔn)于2019年12月1日正式實施。網(wǎng)絡(luò)安全等級保護(hù)工作涉及定級備案、建設(shè)整改、等級測評和監(jiān)督檢查等環(huán)節(jié)，其中等級測評是一個重要環(huán)節(jié)，等級測評是依據(jù)網(wǎng)絡(luò)安全等級保護(hù)的國家標(biāo)準(zhǔn)或行業(yè)標(biāo)準(zhǔn)，采用定性或定量的方法判斷等級保護(hù)對象所實現(xiàn)的安全控制措施的有效性，綜合評判等級保護(hù)對象是否具備國家要求的安全保護(hù)能力。網(wǎng)絡(luò)安全等級保護(hù)2.0時代，國家網(wǎng)絡(luò)安全等級保護(hù)標(biāo)準(zhǔn)結(jié)構(gòu)和內(nèi)容的變化，尤其和等級測評環(huán)節(jié)有關(guān)的變化，帶來了等級測評產(chǎn)生結(jié)論的變化，而如何通過定量計算方法合理準(zhǔn)確地反映等級保護(hù)對象的安全保護(hù)狀況和具有的安全保護(hù)能力，一直是安全等級測評探索的方向。

2 等級保護(hù)基本要求結(jié)構(gòu)

基本要求結(jié)構(gòu)特點：

GB/T22239-2019采用了新的結(jié)構(gòu)和分類。安全要求分為安全通用要求和安全擴(kuò)展要求，無論是安全通用要求還是安全擴(kuò)展要求，之下都細(xì)分安全技術(shù)要求和安全管理要求。其中，技術(shù)要求包括“安全物理環(huán)境氣“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”、“安全計算環(huán)境”和“安全管理中心”；管理要求包括“安全管理制度”、“安全管理機(jī)構(gòu)”、“安全管理人員”、“安全建設(shè)管理”和“安全運維管理”。

每個大類下進(jìn)一步細(xì)分為控制點，每個控制點之下是具體的要求項。例如，“安全物理環(huán)境”大類下細(xì)分為“物理位置的選擇”、“物理訪問控制”、“防盜竊和防破壞”、“瞞擊”、“防火”、“防水和躺”、“防靜電溫濕度控制”、“電力供應(yīng)”和“電磁防護(hù)”控制點。

GB/T22239-2019安全通用要求部分10大分類下的控制點和要求項統(tǒng)計如表1和表2所示。

不同級別的等級保護(hù)對象，安全大分類均相同,但是每一大類下有不同數(shù)量的控制點，每一控制點下有不同數(shù)量的要求項。

級等級保護(hù)對象的測評指標(biāo)細(xì)分如表3所示。

等級測評過程中需要將測評指標(biāo)映射到測評對象上，由于測評指標(biāo)采用的是分類形式，不同類別的測評指標(biāo)將會對應(yīng)不同的測評對象。例如，“安全物理環(huán)境”類測評指標(biāo)映射的測評對象是“機(jī)房”；“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”類測評指標(biāo)映射的測評對象是“整體網(wǎng)絡(luò)”；“安全計算環(huán)境”類測評指標(biāo)映射的測評核是“網(wǎng)絡(luò)設(shè)備”、“安全設(shè)備服務(wù)器設(shè)備氣“終端設(shè)備”、“業(yè)務(wù)應(yīng)用系統(tǒng)”和“數(shù)據(jù)對象”等；“安全管理中心”類測評指標(biāo)映射的測評對象是“整體管控”；“安全管理制度”、“安全管理機(jī)構(gòu)”、“安全管理人員”、“安全建設(shè)管理”和“安全運維管理”類測評指標(biāo)刪的測評對象是“管理體系”[2]。

表1 安全通用要求安全控制點數(shù)量統(tǒng)計

表2 安全通用要求安全要求項數(shù)量統(tǒng)計

3 等級測評結(jié)論產(chǎn)生方法

3.1 等級測評的基本原理

《網(wǎng)絡(luò)安全等級保護(hù)測評過程指南》（GB/T28449-2018）明確開展等級測評的工作流程，等級測評分為測評準(zhǔn)備、方案編制、現(xiàn)場測評及報告編制4個活動階段，其中在報告編制階段，涉及等級測評結(jié)論的產(chǎn)生。GB/T28449-2018描述了等級測評結(jié)論的產(chǎn)生需要經(jīng)過單項測評、單元測評、整體測評、安全問題風(fēng)險分析和等級測評結(jié)論形成等過程，其中不乏定量計算的相關(guān)要求，GB/T28449-2018并沒有給出具體的定量計算方法。在測評結(jié)論的產(chǎn)生過程中，測評指標(biāo)和測評對象是影響最終測評結(jié)論的重要因素。測評指標(biāo)是等級測評中使用的具體檢查項，GB/T28448-2019標(biāo)準(zhǔn)規(guī)定了不同級別的測評指標(biāo)（要求項），測評對象是等級測評中具體的被檢查對象，而不同技術(shù)特點和規(guī)模大小的等級保護(hù)對象的測評對象有所差異。依據(jù)新的網(wǎng)絡(luò)安全等級保護(hù)標(biāo)準(zhǔn)，在等級測評時需要針對等級保護(hù)對象的安全保護(hù)等級和技術(shù)應(yīng)用特點形成針對性的測評指標(biāo)，包括安全通用要求和安全擴(kuò)展要求指標(biāo)。由于大量的等級保護(hù)對象會基于安全通用要求指標(biāo)進(jìn)行測評，本文主要探討安全通用要求指標(biāo)下的定量計算方法。

表3 第二級等級保護(hù)對象安全通用要求測評指標(biāo)

3.2 測評結(jié)論的產(chǎn)生方法

根據(jù)GB/T28449-2018，等級測評結(jié)論的產(chǎn)生包括單項測評結(jié)論和最終等級測評結(jié)論的產(chǎn)生，二者之間存在強(qiáng)烈的依賴關(guān)系。單項測評結(jié)論和等級測評結(jié)論產(chǎn)生規(guī)則如下。

（1）單項測評結(jié)論。針對每個測評指標(biāo)，如果該測評指標(biāo)所對抗的威脅不存在，則該測評指標(biāo)為不適用項；否則獲取該測評指標(biāo)的測評證據(jù)。如果測評證據(jù)表明與預(yù)期測評結(jié)果一致，則判定該測評指標(biāo)單項測評結(jié)果為符合。如果測評證據(jù)表明與預(yù)期測評結(jié)果不一致，判定該測評指標(biāo)的單項測評結(jié)果為不符合；否則判定該測評指標(biāo)的單項測評結(jié)果為部分符合。

（2）等級測評結(jié)論。根據(jù)單項測評結(jié)果和風(fēng)險評估結(jié)果，計算等級保護(hù)對象綜合得分，并得出等級測評結(jié)論。等級測評結(jié)論分為3種情況為符合、基本符合和不符合。如果綜合得分為100分，則為符合；如果綜合得分不低于閾值且沒有高等級安全風(fēng)險問題，則為基本符合；如果存在高等級安全風(fēng)險問題或者綜合得分低于閾值，則為不符合。

3.3 結(jié)論產(chǎn)生的定量計算原理

網(wǎng)根據(jù)等級保護(hù)對象的級別確定測評指標(biāo)，同時根據(jù)級別選擇合適種類和數(shù)量的測評對象，將測評指標(biāo)映射到具體的測評對象上，是等級測評產(chǎn)生正確結(jié)論的前提。根據(jù)GB/T28449-2018和GB/T28448-2019，不同級別的等級保護(hù)對象測評指標(biāo)不同，抽查的測評對象的種類和數(shù)量也不同，而具體的定量計算方法根據(jù)不同的應(yīng)用場景也有所不同。等級保護(hù)對象的最終測評結(jié)論取決于測評指標(biāo)、測評對象和計算方式。假設(shè)V是等級保護(hù)對象的最終綜合得分，則：

其中，x是測評指標(biāo)，y是測評對象，z是計算方法。x={一級測評指標(biāo)集合|二級測評指標(biāo)集合|三級測評指標(biāo)集合|四級測評指標(biāo)集合|……}，y={測評對象集合1|測評對象集合2|測評對象集合3|測評對象集合4|……}，z={計算方法1|計算方2|計算方法3|計算方法4|……}x隨等級保護(hù)對象的級別變化，不同級別有不同數(shù)量的測評指標(biāo)。例如，安全保護(hù)等級為第二級（S2A2）的對象，對應(yīng)的安全通用要求測評指標(biāo)為135個；安全保護(hù)等級為第三級（S3A3）的對象，對應(yīng)的安全通用要求測評指標(biāo)為212個。y隨抽查的具體測評對象數(shù)量變化。例如，安全保護(hù)等級為第二級的對象，需要抽查的測評對象包括物理機(jī)房、網(wǎng)絡(luò)整體、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備和終端設(shè)備等共15個；安全保護(hù)等級為第三級的對象，需要抽查的測評對象包括物理機(jī)房、網(wǎng)絡(luò)整體、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備、終端設(shè)備、安全管理平臺和安全管理體系等30個。z隨使用的計算方法變化，根據(jù)場景和需要可以采用不同的計算方法，如算術(shù)平均法、加權(quán)平均法、修正加權(quán)平均法、特定計算方法等。

4 等級測評定量計算方法

4.1 測評指標(biāo)和測評對象的關(guān)系

測評指標(biāo)是GB/T22239-2019中提出的要求項?；疽笾邪踩ㄓ靡蟛糠衷诮Y(jié)構(gòu)上分為類、控制點和要求項。其中，類表示大分類，控制點表示每個大類下的關(guān)鍵控制要素，要求項表示每個控制要素下的具體控制要求。例如，安全物理環(huán)境大類中的“物理訪問控制”是一個控制點，而“機(jī)房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員”是此控制點下的具體要求項。要求項構(gòu)成了等級測評中的測評指標(biāo)。

測評對象是GB/T22239-2019中提出的要求項的實現(xiàn)對象。等級保護(hù)對象可以由網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備、終端設(shè)備、系統(tǒng)軟件、應(yīng)用軟件、各類數(shù)據(jù)、管理體系、組織架構(gòu)、各類人員等組件組成，各類安全機(jī)制或措施需要在這些組件上落實。這些組成部件構(gòu)成了等級測評中的測評對象。測評指標(biāo)和測評對象之間存在較為復(fù)雜的映射關(guān)系。某些測評指標(biāo)映射的測評對象可能只有一個，而某些測評指標(biāo)映射的測評對象可能為多個。例如，“網(wǎng)絡(luò)架構(gòu)”中的測評指標(biāo)“c)應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址”，對應(yīng)的測評對象是整體網(wǎng)絡(luò)結(jié)構(gòu)；“身份鑒別”中的測評指標(biāo)“a)應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換”，對應(yīng)的測評對象可能是多臺設(shè)備。某個測評指標(biāo)可能需要檢查多個測評對象，而某個測評對象可能需要被檢查多個測評指標(biāo)。

4.2 不同角度的測評結(jié)論計算考慮

每個測評指標(biāo)需要在構(gòu)成系統(tǒng)的測評對象上落地并實現(xiàn)，判斷等級保護(hù)對象是否符合標(biāo)準(zhǔn)要求，即等級測評的結(jié)論產(chǎn)生可以從兩個角度分析。其一是判斷每個測評指標(biāo)是否在特定的測評對象上實現(xiàn)，即驗證測評指標(biāo)在每個測評對象上是否符合；其二是每個測評對象是否都實現(xiàn)了需要的安全要求項，即驗證測評對象針對每個測評指標(biāo)是否符合。兩種分析方法，計算和匯總最終得分的思路如下所示?；跍y評指標(biāo)的匯總：最后得分（測評指標(biāo)匯總）V=∑測評指標(biāo)得分{∑測評對象得分}?；跍y評對象的匯總：最后得分（測評對象匯總）V=∑測評對象得分{∑測評指標(biāo)得分}。需要了解每個測評指標(biāo)的得分情況時，可以使用基于測評指標(biāo)的匯總方式，先計算每個測評指標(biāo)在所有測評對象上的實現(xiàn)情況，得到每個測評指標(biāo)的得分，然后匯總計算所有測評指標(biāo)得分，獲得最終得分；需要了解每個測評對象的得分情況時，可以使用基于測評對象的匯總方式，計算每個測評對象對所有測評指標(biāo)的落實情況，然后匯總計算所有測評對象的得分，獲得最終得分[3]。

4.3 基于測評對象的計算方法

測評對象的結(jié)果為：

等級測評的最終結(jié)果為：

組合公式為：

4.4 定量計算方法使用案例

（1）案例一。假設(shè)等級測評某個二級系統(tǒng)，測評指標(biāo)共有10個，測評對象共有5個，測評指標(biāo)權(quán)重相同，測評對象權(quán)重也相同，測評數(shù)據(jù)如表4所示。

Oi(aj)表示測評對象oi在測評指標(biāo)aj上的得分賦值，利用公式（4）計算結(jié)果為：

（2）案例二。假設(shè)等級測評某個二級系統(tǒng)，測評指標(biāo)共有10個，測評對象共有5個，測評對象權(quán)重分別為p1,p2,p3,p4,p5，測評指標(biāo)的權(quán)重分別為w1,w2,…,w10，測評數(shù)據(jù)如表5所示。

Oi(aj)表示測評對象oi在測評指標(biāo)aj上的得分賦值：

測評指標(biāo)和測評對象的權(quán)重賦值為：

利用公式（5）計算結(jié)果為：

通過以上案例分析可知：①當(dāng)測評指標(biāo)不分權(quán)重，測評對象也不分權(quán)重時，基于測評對象的定量計算和基于測評指標(biāo)的定量計算，計算結(jié)果完全相同。②當(dāng)測評指標(biāo)和測評對象均有權(quán)重時，基于測評對象的定量計算和基于測評指標(biāo)的定量計算，計算結(jié)果會有差異。

5 網(wǎng)絡(luò)和通信安全測評

5.1 網(wǎng)絡(luò)安全等級保護(hù)測評

網(wǎng)絡(luò)安全等級保測評工作，是測評機(jī)構(gòu)按照國家標(biāo)準(zhǔn)和規(guī)范化流程對與網(wǎng)絡(luò)安全相關(guān)的各環(huán)節(jié)進(jìn)行測評和分析，從而發(fā)現(xiàn)網(wǎng)絡(luò)中信息系統(tǒng)以及數(shù)據(jù)資源是否存在功能缺陷或配置不安全等方面的問題。等保測評工作與一般的安全測評和風(fēng)險評估不同，除進(jìn)行“風(fēng)險評估”外，還包括了“標(biāo)準(zhǔn)符合性評判工作”。等保測評2.0工作具體包括兩方面：①單項測評，針對相關(guān)標(biāo)準(zhǔn)每一項安全要求進(jìn)行可重復(fù)及可再現(xiàn)性測評；②整體測評，在單項測評基礎(chǔ)上進(jìn)行安全控制點、安全控制點間以及層面間進(jìn)行整體安全保護(hù)能力測評。其中單項測評工作又包括兩方面：①技術(shù)測評，從技術(shù)角度對“物理和環(huán)境安全”“網(wǎng)絡(luò)和通信安全”“設(shè)備和計算安全”及“應(yīng)用和數(shù)據(jù)安全”等四方面進(jìn)行測評；②管理測評，從管理角度對“安全策略和管理制度”“安全管理機(jī)構(gòu)和人員”“安全建設(shè)管理”及“安全運維管理”等四方面進(jìn)行測評。網(wǎng)絡(luò)安全等級保護(hù)測評框架如圖1所示。

表4 案例一測評數(shù)據(jù)

表5 案例二測評數(shù)據(jù)

5.2 網(wǎng)絡(luò)和通信安全測評

（1）控制點的變化。網(wǎng)絡(luò)和通信安全測評屬等保測評技術(shù)層面的安全檢測，是等保測評實際工作中的重要環(huán)節(jié)。根據(jù)新修版《要求》中的標(biāo)準(zhǔn)，網(wǎng)絡(luò)和通信安全測評在安全通用要求部分對控制點訂，進(jìn)一步加強(qiáng)了對網(wǎng)絡(luò)整體安全保護(hù)的要求，確定了新的控制點。

相比于舊版標(biāo)準(zhǔn)，新修版《要求》在網(wǎng)絡(luò)和通信安全層面的主要變化有：①對舊版“入侵防范”“訪問控制”以及“惡意代碼和垃圾郵件防范”3個控制點的要求進(jìn)行了重新修訂；②新增了“通信傳輸”“邊界防護(hù)”和“集中管控”3個控制點，并將舊版標(biāo)準(zhǔn)中的“邊界完整性檢查”與新版標(biāo)準(zhǔn)的“邊界防護(hù)”控制點進(jìn)行了融合；③提出了更高的設(shè)備冗余要求，并將舊版中的“結(jié)構(gòu)安全”控制點改名為“網(wǎng)絡(luò)架構(gòu)”；④采用新版標(biāo)準(zhǔn)“設(shè)備和計算安全”控制點要求，對舊版標(biāo)準(zhǔn)中的“網(wǎng)絡(luò)設(shè)備防護(hù)”控制點要求進(jìn)行替換[4]。

（2）重要控制點測評。

①通信傳輸。在“通信傳輸”控制點方面新版《要求》提出了兩點標(biāo)準(zhǔn)：a.確保通信過程中的各類數(shù)據(jù)信息完整性，引入校驗技術(shù)和密碼技術(shù)；b.確保通信過程中的各類數(shù)據(jù)信息保密性，引入密碼技術(shù)。本研究認(rèn)為：a.對一般網(wǎng)絡(luò)設(shè)備如路由器、交換機(jī)等而言，具有傳輸層網(wǎng)絡(luò)連接加密功能的SSH協(xié)議比TELNET協(xié)議等明文傳輸方式進(jìn)行遠(yuǎn)程管理的安全性更高；b.對防火墻等安全設(shè)備而言，加入了SSL協(xié)議的HTTPS協(xié)議比HTTP協(xié)議等明文傳輸方式進(jìn)行遠(yuǎn)程管理的安全性更高。實際的網(wǎng)絡(luò)和通信安全測評工作中，可按照通信傳輸控制點測評。

②邊界防護(hù)。為保證網(wǎng)絡(luò)的邊界安全，避免網(wǎng)絡(luò)中出現(xiàn)非法接入或外聯(lián)現(xiàn)象，同時實現(xiàn)對無線網(wǎng)絡(luò)的接入控制，在“邊界防護(hù)”控制點方面新修版《要求》提出了四點標(biāo)準(zhǔn)：①跨越邊界的訪問和數(shù)據(jù)流在進(jìn)行通信時，要確保通過了邊界設(shè)備提供的受控接口；②要能夠限制或檢查某些非授權(quán)設(shè)備私自連接內(nèi)部網(wǎng)絡(luò)；③要能夠限制或檢查某些內(nèi)部用戶采用非授權(quán)的方式連接外部網(wǎng)絡(luò)；④對無線網(wǎng)絡(luò)進(jìn)行一定限制，確保在接入內(nèi)部網(wǎng)絡(luò)時通過了受控的邊界設(shè)備。

研究認(rèn)為，通信網(wǎng)絡(luò)中可引入類似無線嗅探器等設(shè)備對網(wǎng)絡(luò)中的無線熱點進(jìn)行檢測，可及時甄別出網(wǎng)絡(luò)中的無線熱點是否非法，從而防止未授權(quán)設(shè)備利用該類熱點進(jìn)入內(nèi)部網(wǎng)絡(luò)。實際測評工作中可按照如下步驟對邊界防護(hù)控制點進(jìn)行測評。

對于非法接入行為：

第一，核實通信網(wǎng)絡(luò)是否采用了網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)；第二，通過網(wǎng)絡(luò)管理員驗證網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)有效性；第三，核實是否將未使用端口斷開或關(guān)閉；第四，核實通信網(wǎng)絡(luò)中的設(shè)備是否進(jìn)行了IP/MAC地址綁定。

對于非法外聯(lián)行為：

核實系統(tǒng)是否部署了非授權(quán)用戶外聯(lián)網(wǎng)絡(luò)控制技術(shù)；第二，核實系統(tǒng)是否禁止雙網(wǎng)卡、Modem等端口使用。無線網(wǎng)絡(luò)測評步驟如圖2所示。

③訪問控制。為實現(xiàn)對系統(tǒng)網(wǎng)絡(luò)訪問的細(xì)粒度控制，保證內(nèi)部網(wǎng)絡(luò)不受攻擊，在“訪問控制”控制點方面新版《要求》提出了五點標(biāo)準(zhǔn)：a.設(shè)置訪問控制規(guī)則，網(wǎng)絡(luò)邊界或區(qū)域之間的受控接口無法進(jìn)行任何通信；b.優(yōu)化訪問控制列表，篩除系統(tǒng)中的無效或多余訪問控制規(guī)則至數(shù)量最低；c.系統(tǒng)各環(huán)節(jié)進(jìn)行檢查，按照允許／拒絕形式的數(shù)據(jù)包進(jìn)出；d.有明確的允許／拒絕訪問能力，能夠根據(jù)系統(tǒng)會話信息對數(shù)據(jù)流進(jìn)行控制，控制粒度為端口級；e.能夠根據(jù)應(yīng)用協(xié)議和內(nèi)容對數(shù)據(jù)流進(jìn)行控制，控制粒度為端口級。實際測評工作中可按照如下步驟對“訪問控制”控制點進(jìn)行測評。

對于網(wǎng)閘、防火墻、路由器以及三層路由交換機(jī)等訪問控制設(shè)備：第一，核實網(wǎng)絡(luò)中是否配置訪問控制設(shè)備；第二，核實系統(tǒng)中是否配置了適合自身業(yè)務(wù)需求的訪問控制規(guī)則；第三，核實系統(tǒng)中是否確保訪問控制規(guī)則最優(yōu)化；第四，核實訪問控制設(shè)備中的最后一條安全策略是否為“拒絕所有網(wǎng)絡(luò)通信”。此外，隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，海量應(yīng)用公用幾個端口或協(xié)議的情況已越來越普遍，原有的IP地址／端口號的傳統(tǒng)防火墻已無法針對不同的應(yīng)用采取相應(yīng)的訪問控制策略，必須引入應(yīng)用協(xié)議和內(nèi)容更加先進(jìn)的防火墻。為應(yīng)對該類問題，滿足新版標(biāo)準(zhǔn)中的相關(guān)要求，今后的“訪問控制”控制點實際測評中，應(yīng)采取相應(yīng)措施對企業(yè)網(wǎng)絡(luò)系統(tǒng)中是否在關(guān)鍵節(jié)點處部署了新式防火墻以及防火墻中是否部署了相應(yīng)的訪問控制策略進(jìn)行核實。

④入侵防范。為防止系統(tǒng)受到攻擊，并主動分析網(wǎng)絡(luò)中出現(xiàn)的新型攻擊行為，在“入侵防范”控制點方面新版《要求》提出了3點標(biāo)準(zhǔn)：a.部署關(guān)鍵網(wǎng)絡(luò)節(jié)點檢測設(shè)備，防止出現(xiàn)從外部或內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊；b.部署網(wǎng)絡(luò)攻擊行為分析設(shè)備，及時掌握新型網(wǎng)絡(luò)攻擊行為規(guī)律；c.當(dāng)網(wǎng)絡(luò)受到攻擊時，應(yīng)及時對攻擊源IP、攻擊類型、攻擊目的、攻擊時間進(jìn)行記錄，并提供自行報警功能。實際測評工作可對“入侵防范”控制點進(jìn)行測評。此外，在實際測評工作中，應(yīng)首先核實網(wǎng)絡(luò)中部署的組件是否正常工作，其次要核實部署的相關(guān)組件規(guī)則庫是否為最新[5]。

⑤惡意代碼和垃圾郵件防范。為保證內(nèi)部網(wǎng)絡(luò)安全，阻止惡意代碼及垃圾郵件進(jìn)入，在“惡意代碼和垃圾郵件防范”控制點方面新版《要求》提出了兩點標(biāo)準(zhǔn)：a.在關(guān)鍵網(wǎng)絡(luò)節(jié)點處部署惡意代碼防護(hù)機(jī)制，及時檢測并清除惡意代碼；b.在關(guān)鍵節(jié)點處部署垃圾郵件防護(hù)機(jī)制，及時檢測并清除垃圾郵件。實際測評工作中可按照如下步驟對“惡意代碼和垃圾郵件防范”控制點進(jìn)行測評。

對于惡意代碼：第一，核實系統(tǒng)是否于關(guān)鍵節(jié)點處部署了惡意代碼防護(hù)機(jī)制；第二，核實惡意代碼防護(hù)機(jī)制是否正常運行；第三，核實惡意代碼防護(hù)機(jī)制特征庫數(shù)據(jù)是否最新；第四，網(wǎng)絡(luò)和通信層面的惡意代碼防范是否與設(shè)備和計算層面的惡意代碼防范協(xié)同工作；第五，若系統(tǒng)要求較高的實時性，則應(yīng)采取其他方式進(jìn)行惡意代碼防護(hù)。對于垃圾郵件：第一，確認(rèn)郵件系統(tǒng)為單位自建或購買第三方服務(wù)；第二，若單位郵件系統(tǒng)為自建系統(tǒng)，則核實系統(tǒng)是否于關(guān)鍵節(jié)點處部署了垃圾郵件防護(hù)機(jī)制；第三，核實系統(tǒng)中垃圾郵件防護(hù)機(jī)制是否正常運行；第四，核實系統(tǒng)中垃圾郵件防護(hù)機(jī)制特征庫數(shù)據(jù)是否最新。若單位郵件系統(tǒng)為購買的第三方服務(wù)，則應(yīng)協(xié)調(diào)服務(wù)提供方配合進(jìn)行安全測評工作，其他內(nèi)容不變。

6 結(jié)語

研究主要對最新版等保測評標(biāo)準(zhǔn)中的網(wǎng)絡(luò)和通信安全測評進(jìn)行了研究。通過對通信傳輸、邊界防護(hù)、訪問控制、入侵防范、惡意代碼和垃圾郵件防范等控制點的變化情況及具體測評方法進(jìn)行分析，總結(jié)出了最適合測評工作人員使用的測評流程，為等保2.0時代的網(wǎng)絡(luò)安全等級保護(hù)測評工作提供了借鑒。但是，由于新版評測標(biāo)準(zhǔn)剛公布不久，文章尚未對“物理和環(huán)境”“設(shè)備和計算安全”及“應(yīng)用和數(shù)據(jù)安全”等方面進(jìn)行分析，也還未從管理角度對測評工作進(jìn)行研究。等保2.0時代，《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》具有更強(qiáng)的時效性、易用性，也具有更強(qiáng)的可操作性，對其進(jìn)行深入分析將會大大提高等保測評工作的工作質(zhì)量和工作效率[6]。