资源描述：
《信息安全评估体系在网站安全评估上的应用_信息安全_基础信息化_16》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、信息安全评估体系在网站安全评估上的应用_信息安全_基础信息化 1引言 网站安全事件的有关报道屡见不鲜,遭受损失触目惊心,已经成为应用电子商务的一个关注的话题,日益引起人们的重视,相关研究越来越多,而这些研究主要是针对网站建设本身的质量或绩效来考虑的,往往局限于某种或某类网站的特殊性来考虑的,缺乏一个统一性、标准性和过程可操作性,给网站安全建设留下太多隐患。为此,为了更大的适合性,本文的讨论前提是在通用硬件基础上,以信息安全评估体系为基础,构建一个网站安全评估的过程性模型,为网站安全建设服务。 2网站安全 2.1网站安全概念 网站安全是指构建一个可以抵御安
2、全风险的网站以支持电子商务的正常运行。 网站安全就是要达到站点信息的机密性,完整性,可用性,抗抵赖性和可控性。 2.2为现有站点引入安全原则 对现有站点引入安全原则就是对实际站点进行审查和分析,这项工作的起点是标识风险。对现有的应用和过程进行检查,确定已经存在那些风险和缺陷,然后对每个风险进行详细考察,以作出修补和调整以降低风险。 一旦有了缺陷报告,就需要对每个缺陷确定风险排序,并且优先处理风险大的缺陷。 3信息系统安全评估体系 3.1几种系统安全体系 (1)TCSECTCSEC(TRUSTEDCOMPUTERSYSTEMEVALUATIONCR
3、ITERIA)正式名为“可信计算机系统标准评估准则”),俗称黄皮书,由美国国防部1983年颁布,1985年正式实行,后来又颁布一些标准作为补充。TCSEC已经成为信息安全界的经典,起到了可信安全产品测试评估的开篇里程碑作用。 (2)ITSECITSEC(InformationTechnologySecurityEvaluationCriteria)即欧洲信息技术评估准则,是1991年由欧洲四国(英,法,德,荷)联合颁布的,最初目的是防止美国的TCSEC标准垄断。 (3)CTCPEC与FCCTCPEC(CanadianTrustedComputerProductEva
4、luationCriteria)即“加拿大可信计算机产品评价准则”,是加拿大于1993年发布的。 FC(FederalCriteria)即美国联邦准则,是美国在对TCSEC进行修改补充并吸收TCSEC优点的基础上于1991年发布的。FC是对TCSEC的升级,并引入了“保护轮廓”(PP)的概念。每个轮廓都包括功能、开发保证和评价三部分。FC充分吸取了ITSEC和CTCPEC的优点,在美国的政府、民间和商业领域得到广泛应用。 (4)CC(commonCriteria)面对各种标准分争的情形,需要有一个通用的准则来规范。在这种情形下1993年6月,以上标准的制定国家共同起
5、草了一份通用准则(CC),并将CC推广为国际标准。CC发布的目的是建立一个各国都能接受的通用的安全评价准则,国家与国家之间可以通过签订互认协议来决定相互接受的认可级别,这样能使基础性安全产品在通过CC准则评价并得到许可进入国际市场时,不需要再作评价。 3.2几种安全体系之间的关系 以上各种安全体系,根据时间、内容及其相关性,可以用图1来具体说明。 4基于CC国际标准的网站安全评估 4.1网站安全等级评估工具的工作原理 根据CC国际标准,一般来说,信息安全产品等级评估工具系统由3大部分组成:评测服务器、评测数据库和客户端浏览器。评测服务器作为WEB服务器,
6、将WEB信息返回给客户端浏览器,同时评测服务器从数据库提取评测内容,然后根据内容向待检测系统发出测试数据,待检测系统将结果返回给评测服务器,然后评测服务器将结果写入数据库服务器,同时返回给客户端的浏览器(如图2)。 4.2网站安全等级评估工具及其使用 信息安全产品等级评估工具通常采用B/S+数据库的机构体系,由总控模块和9个子工具模块组成,9个子工具分别完成对9个模块的安全性能评估,总控模块将各个子工具模块连成一个统一的协调的整体并进行系统的维护和管理。 对一个网站安全的评估需要评测以下几个方面:操作系统,数据库,防火墙,路由器,交换机,入侵检测,漏洞扫描,WE
7、B服务,邮件服务,如图3所示。 注意我们讨论的前提是在通用硬件基础上,所以整个评估过程都很少涉及硬件的具体内容,下文亦是建立在这个基础上的。 4.3流程描述 网站安全等级评估过程概括为是基于信息库和知识库的推理评估过程。评估信息库汇集了分析和检测所形成的指标,它是进行网站安全评估的客观依据,知识库包含典型的评估模型,是安全评估的基础。而推理器则给出关于被测对象的一个客观、全面的安全评估报告及建议,如图4所示。 4.4建立评估模型 分析方法:定性与定量相结合的方法。定性分析是研究“有没有”,“是不
