大型信息系统网络安全测评的关键技术分析new

《大型信息系统网络安全测评的关键技术分析new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据2012年第2期(总第118期)信息通信INFORMATION&COMMnmiICATIoNS2012(Sum．No118)大型信息系统网络安全测评的关键技术分析李文兢1谢翠萍2(1．广东机电职业技术学院广东广州510515；2．广东医学院广东东莞523000)摘要：大型信息系统的安全性日益成为关系国家安全和社会秩序的重要因素。本文详细介绍国家在信息安全方面相关的政策标准、测评的流程及测评的主要内容，并结合笔者在公安部全国信息安全测评试点工作中的实践经验详细分析其中各项测评内容所涉及的关键技术，为对大型信息系统网络安全测评工作的开展

2、提供了很好的思路。关键词：网络安全；安全测评；等级保护中图分类号：TP393．08文献标识码：A文章编号：1673．113l(2012}02．0140-02近年来，随着我国信息化发展的逐步深入，我们对信息系统的依赖越来越强，国家信息基础设施和重要信息系统能否安全正常的运行直接关系到国家安全和社会秩序。但是大型信息系统的安全保障体系建设是一个极为复杂的工作，为大型组织设计一套完整和有效的安全体系一直是个世界性的难题。一些行业性机构或大型企业的信息系统应用众多、结构复杂、覆盖地域广阔、涉及的行政部门和人员众多；系统面临着各种性质的安全威胁，间谍

3、、黑客、病毒蠕虫、木后门、非法的合作伙伴、本地维护的第三方、内部员工等；安全保障要求的内容极为广泛，从物理安全、网络安全、系统安全、应用安全一直到安全管理、安全组织建设等等，凡是涉及到影响正常运行的和业务连续性的都可以认为是信息安全问题。l国内的政策及发展面对严峻的形势和严重的问题，如何解决大型信息系统的信息安全问题，是摆在我国信息化建设人员面前的重大关键问题。美国及西方发达国家为了抵御信息网络的脆弱性和安全威胁，制定了一系列强化信息网络安全建设的政策和标准，其中一个很重要思想就是按照安全保护强度划分不同的安全等级，以指导不同领域的信息安全

4、工作。经过我国信息安全领域有关部门和专家学者的多年研究，在借鉴国外先进经验和结合我国国情的基础上，提出了分等级保护的策略来解决我国信息网络安全问题，依据国家规定的等级划分标准，设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。2003年，中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》(27号文)中，己将信息安全等级保护作为国家信息安全保障工作的重中之重。2004年，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发了《关于信息安全等级保护工

5、作的实施意见》(66号文)。从2006年1月由全国各级公安机关组织开展了全国范围内各行业、企业信息系统的基础信息调研工作，并先后出台了GB／T22240．2008《信息系统安全保护等级定级指南》、GB／T22239．2008《信息系统安全等级保护基本要求》等指导性文件。Ⅲ2信息系统安全体系简介信息系统的基本安全要求分为基本技术要求和基本管理要求两大类。技术类安全要求与信息系统提供的技术安全机制有关，主要通过在信息系统中部署软硬件并正确地配置其安全功能来实现；管理类安全要求与信息系统中各种角色参140与的活动有关，主要通过控制各种角色的活动，

6、从政策、制度、规范、流程以及记录等方面做出规定来实现吐从目前我国目前的信息安全建设情况及整个安全体系建设过程来看，网络安全都是信息安全体系中核心内容之一。目前大多数在公安机关备案的较为重要的信息系统均为3级。下面就以3级系统的安全性测评为例说明大型信息系统网络安全测评其中所涉及的测评技术的分析。3信息系统的网络安全测评的主要内容对信息系统网络安全进行测试评估，应包括两个方面的内容：一是单元测评，单元测评以安全控制为基本工作单位组织描述，包括测评指标、测评实施和结果判定三部分，主要测评国家标准GB／T22239-2008所要求的基本安全控制在

7、信息系统中的实施配置情况；二是整体测评，主要测评分析信息系统的整体安全性。单元测评包含的内容涉及到信息系统安全技术和安全管理上的各个安全控制措施。整体测评在单元测评的基础上，对信息系统开展整体测评。可以进一步分析信息系统的整体安全性。整体测评主要包括安全控制间、层面问和区域间相互作用的安全测评以及系统结构的安全测评等。信息系统网络安全性主要包括结构安全、安全审计、边界完整性检查、入侵防范、恶意代码防范、访问控制、设备防护等方厩。下面将按照以上所涉及的几个方面详细展开说明其测评所涉及到的关键性技术内容。3．1结构安全结构安全是网络安全测评检查

8、的重点，网络结构是否合理直接关系到信息系统的整体安全。结构安全的测评内容包括：(1)保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。具体检查方法为：访谈网络管理员