第5章 网络安全测评技术

边界完整性检查
网络入侵防范
• 有了访问控制为什么还需要网络入侵防范？ • 网络访问控制在网络安全中起到大门警卫的作用， 是第一道阀门。只能对进出网络的数据进行分析， 对网络内部发生的事件则无能为力。 • 基于网络的入侵检测，被认为是防火墙之后的第二 道安全阀门，主要监视所在网段内的各种数据包， 对每个数据包或可以数据包进行分析，如果数据包 与内置规则吻合，就会记录事件的各种信息，并发 出警报。
4、网络安全审计访谈
• 第3级安全测评要求对网络安全的网络安全审计访 谈共1项 • 应访谈审计员，询问边界和主要网络设备是否开 启安全审计功能，审计内容包括哪些？询问审计 记录的主要内容有哪些，对审计记录的处理方式 有哪些？
5、边界完整性访谈
• 第3级安全测评要求对网络安全的边界完整性访谈 共 1项 • 应访谈安全管理员，询问是否对内部用户私自连 接到外部网络的行为及非授权设备私自连接到网 络的行为进行监控。
• 检查步骤： • 查看防火墙检测RPC和UDP等协议的端口信息（包 过滤和代理网关都不支持此类端口），有一项”启 动流量控制“。 • 检查结论：防火墙上没有设置根据会话状态信息对 数据流进行控制功能。因此该项检查未能通过。
• （2）检查边界网络设备，查看其是否对进出网络 的信息内容进行过滤，以实现对应用层HTTP、 FTP、Telnet、SMTP和POP3等协议命令级的控 制。 • 检查目标：如上 • 检查对象：”天网“系统中心机房 • 技术路线：目前业界能够实现对应用层协议命令 级控制的设备有防火墙和路由设备等。”天网“ 信息系统采用的是防火墙。
6、网络入侵防范访谈
• 第3级安全测评要求对网络安全的网络入侵防范访 谈共1项 • 应访谈安全管理员，询问网络入侵防范措施有哪 些，是否有专门设备对网络入侵进行防范；询问 网络入侵防范规则库的升级方式。
7、网络恶意代码防范访谈
• 第3级安全测评要求对网络安全的网络恶意代码防 范访谈共1项 • 应访谈安全管理员，询问网络恶意代码防范措施 是什么，询问恶意代码库的更新策略。
• 检查结论：该三层交换机配置了静态的安全控制 路由，并且通过命令追踪发现该路由是可以追踪 并可以控制的。因此该项检查符合要求。
• （5）检查边界和主要网络设备，查看重要网段是 否采取了技术隔离手段与其他网段隔离。 • 检查目标：如上 • 检查对象：”天网“系统中心机房 • 技术路线：目前业界常用的隔离手段分为网闸、 防火墙、应用网关、认证隔离设备和交换设备五 种、”天网“系统中使用的是防火墙。
2、网络访问控制访谈
• 第3级安全测评要求对网络安全的网络访问控制访 谈共2项 • （1）应访谈安全管理员，询问网络访问控制措施 有哪些，询问访问控制策略的设计原则是什么？ • （2）应检查边界网络设备，查看其是否根据会话 状态信息对数据流进行了控制。
3、拨号访问控制访谈
• 第3级安全测评要求对网络安全的拨号访问控制访 谈共1项 • 应访谈安全管理员，询问是否允许拨号访问网络； 询问拨号访问控制的策略是什么，采取什么技术手 段实现拨号访问控制（防火墙/路由器），拨号访问 用户的权限分配原则是什么？
• 检查步骤： ①检查防火墙设备，其重要网段是否与其他网段直 接连接。 ②查看防火墙设备，是否设置了特别规则使重要网 段与其他网段的通信都得到严格隔离 ③检查边界和主要网络设备，查看重要网段是否采 取了技术隔离手段与其他网段隔离。 ④检查过程中所绘制的网络边界如图P131 图5.5. 检查结论：系统的重要网段和网络边界处，均设置 了防火墙设备，以防止与危险网段的直接连接， 符合检查要求。
网络安全测评的要点
二、网络安全测评点
• （一）访谈 • （二）检查 • （三）测试
（一）网络安全访谈调研
• 第3级安全测评要求对网络安全的访谈分为8类13 项。
1、结构安全与网段划分访谈
• 第3级安全测评要求对网络安全的结构安全与网段划 分访谈共四项。 • （1）应访谈网络管理员，询问边界和主要网络设备 的性能以及目前业务高峰流量的情况。 • （2）应访谈网络管理员，询问网段划分情况以及划 分的原则；需要重要网段有哪些？其具体的部署位 置，与其他网段的隔离措施有哪些？ • （3）应访谈网络管理员，询问网络的带宽情况；询 问网络中带宽控制情况以及带宽分配的原则。 • （4）应访谈网络管理员，询问网络设备的路由控制 策略有哪些，这些策略设计的目的？
拨号访问控制
• 什么是拨号访问控制？ • 网络访问控制是从数据的角度对网络中流动的数 据进行控制；拨号访问控制就是从用户的角度对 远程访问网络的用户进行控制。对用户的访问控 制，同样应按照一定的控制规则来允许或拒绝用 户的访问。 • 怎样进行拨号访问控制？
三级访问控制
• 主要在网络边界处对经过的数据进行包头信息的过 滤，以控制数据的进出网络，对用户进行基本的访 问控制。（1级） • 对数据的过滤增强为根据会话信息进行过滤，对用 户访问粒度进一步细化，由用户组到单个用户，同 时限制拨号访问的用户数量（2级） • 将过滤力度扩展DOA应用层，即根据应用的不同而 过滤，对设备接入网络进行了一定的限制（3级）
• （2）检查网络设计/验收文档，查看是否有边界 和主要网络设备业务处理能力、网络接入及核心 网络的带宽是否满足业务高峰期的需要，以及不 存在带宽瓶颈等方面的设计或描述。
• (3)检查网络设计/验收文档，查看是否记有根据各 部门的工作职能、重要性和所设计信息的安全程 度等因素，划分不同的子网或网段，并按照方便 管理和控制的原则为各子网和网段分配地址段的 设计或描述。
• 通常，一个机构由很多部门组成，各部门的地位、重 要性不同，部门所要处理的信息重要性也不同，因此 需要对整个网络进行子网划分。
• 三级结构安全包含的内容 • 要求网络资源能够为网络的正常运行提供基本的 保障（1级） • 要求网络资源能够满足业务高峰的需要，同时应 以网段形式分隔不同部门的系统（2级） • 与1、2级相比，增加了“处理优先级”考虑：要 求“主要网络设备”、“网络各个部分的带宽” ，不仅要求满足基本的业务需要，更应满足业务 高峰时网络正常运行，以保证重要主机能够正常 与运行。（3级）
8、网络设备防护访谈
• 第3级安全测评要求对网络安全的网络设备防护访 谈共2项 • （1）应访谈网络管理员，询问对主要网络设备的 防护措施有哪些；询问对主要网络设备的登录和 验证方式做过何种特定配置，询问对远程管理的 设备是否采取措施防止鉴别信息被泄露，询问对 网络特权用户的权限如何进行分配。 • （2）应访谈网络管理员，询问网络设备的口令策 略是什么？
• 检查方案： 技术路线：可以通过三种方法得到网络拓扑图 检查步骤： ①用拓扑扫描工具得到当前网络运行拓扑图。 ②然后将该拓扑结构域设计文档中原有的拓扑规划 结构进行比较。在比较的同时也要核对被测单位 制定的网络安全策略是否在网络拓扑结构中得以 体现。 检查结论：通过对用户提供的网络拓扑图与现场检 查的结果相比对，可知设计时的拓扑图与现场拓 扑图相同，因此符合检查要求。
第5章 网络安全测评技术
2014年10月8日星期三
要点
• 网络安全测评有几个环节？ • 与主机安全的测评手段有何异同？ • 国家标准对于网络安全测评的要求有哪些？
一、网络安全的控制点
• 网络安全保障的两个对象 • 1）服务安全：确保网络设备的安全运行，提供有 效的网络服务 • 2）数据安全：确保在网络上传输数据的保密性、 完整性和可用性
• （6）检查边界和主要网络设备，查看是否配置了 对带宽进行控制的功能，这些功能能否保证在网 络发生拥堵的时候优先保护重要业务。 • 检查目标：如上 • 检查对象：“天网”系统中心机房 • 技术路线：目前业界常用的带宽控制功能（如路 由、交换设备上的Qos功能配置情况、专门的带 宽管理设备的配置策略）分为边界网关、边界防 火墙、交换设备和认证隔离设备四种。“天网” 信息系统使用三层交换机，并且通过其管理系统 查看端口的速率控制设置情况。
• 网络环境是抵御内外攻击的第一道防线，一共安 排了7个控制点： • 结构安全与网段划分 • 访问控制（网络访问控制、拨号访问控制） • 网络安全审计 • 边界完整性检查 • 网络入侵防范 • 恶意代码防范 • 网络设备防范
纵横防御
结构安全与网段划分
• 在对网络安全实现全方位保护之前，首先应该关注网 络的资源分布、架构是否合理、只有结构安全了，才 能在其上实现各种技术功能，达到网络安全保护的目 的。
（二）网络安全现场检查
• 主要是测评工程师对测评系统各型网络设备以及 相关文档资料进行检查。 • 第3级安全测评要求对网络安全的现场检查共有8 类26项。
1、结构安全与网段划分现场检查
• 第3级安全测评要求对网络安全的结构安全与网段 划分检查共6项 • （1）应检查网络拓扑图，查看其与当前运行情况 是否一致。 • 检查目标：如上 • 检查对象：“天网”系统中心机房
网络访问控制
• 网络访问控制的意义何在？ • 对网络而言，最重要的一道安全防线就是边界， 边界上汇聚了所有流经网络的数据流，必须对其 进行有效的监视和控制。 • 何谓边界？ • 所谓边界即是采用不同安全策略的两个网络连接 处，比如用户网络和互联网之间的连接、用户内 部网络不同部门之间的连接等。 • 有连接就有数据间的流动，因此在边界处重要的 是对流经的数据进行严格访问控制。按照一定规 则允许或拒绝数据的流入、流出。 • 用什么方法控制边界？
网络安全审计
• 不仅仅是“日志记录” • 不等同于入侵检测 • 网络安全审计重点包括：对网络流量监测以及对 异常流量的识别和报警、网络设备运行情况的监 测等。通过对以上方面的记录分析，形成报表， 并在一定情况下发出警报、阻断等动作。
三级网络安全审计
• 要求对网络设备运行、网络流量等基本情况进行 记录（2级） • 要求对形成的记录能够分析、形成报表、同事对 审计记录提出了保护要求。（3级）
• （4）应检查边界和主要网络设备，查看是否体现 了路由控制策略（如静态路由）以建立安全的访 问路径。 • 检查目标：如上 • 检查对象：“天网”系统中心机房 • 技术路线：业界常用的路由控制手段为边界网关 、边界防火墙、交换设备和认证隔离设备等。” 天网“主要需要查看路由控制配置。
• 检查步骤： ①查看路由控制策略是否把重要网段和不安全网段 直接连接在一起，如果连接在一起说明没有建立 安全分访问路径，从而说明该配置策略不合理。 ②查看路由控制策略是否可以使重要网段之间连通 ，如果没有连通说明配置策略没有建立必要的访 问路径，从而说明该配置策略不合理。路由策略 可以在交换机管理界面中的“routing ”中查看 ③使用路由追踪命令“tracert”检查网络内部访问 路径是否安全可控。
• 检查步骤： ①连接三层交换机 ②检查该交换机管理系统端口的“速率限制“。 • 检查结论：现场检查表明，该三层交换机上没有 设置对带宽的限制和管理。因此，该项检查未能 通过。
2.网络访问控制现场检查
• 第3级安全测评要求对网络访问控制现场检查共有 5项。 • （1）检查边界网络设备，查看其是否根据会话状 态信息对数据流进行了控制。 • 检查目标：如上 • 检查对象：”天网“系统中心机房 • 技术路线：目前常见的能够根据会话状态信息进 行控制的设备有防火墙和路由设备。
三级网络入侵防范包含？
• 能够检测常见攻击的发生（2级） • 不仅能够检测，并能发出警报（3级）
恶意代码防范
• 目前，对恶意代码的防范已经是全方位、立体防护的 概念。 • 在网络边界处对恶意代码进行防范是整个防范工作的 重点。 • 不紧部署相应的网络防病毒产品，还要及时更新。 • 平均每个月有300种新病毒被发现。
三级恶意代码防范包含？
• 要求能够在网络边界处防范恶意代码，并保存代 码库的及时更新（3级）
网络Biblioteka Baidu备防护
对登录网络设备各种参数进行配置、修改。 三级网络设备防护包含？ 对网络设备要求基本的登录鉴别措施（1级） 对登录要求进一步增强，提出了鉴别标识唯一、鉴 别信息复杂等要求（2级） • 提出了两种以上鉴别技术的组合来实现身份鉴别， 同时提出特权用户权限分离（3级） • • • •