◆何金軍

從被測單位的視角論述網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的重要性

◆何金軍

（上海市網(wǎng)絡(luò)技術(shù)綜合應(yīng)用研究所 上海 200336）

本文從被測評(píng)單位的角度，以事件驅(qū)動(dòng)安全，從網(wǎng)頁篡改、數(shù)據(jù)泄漏、業(yè)務(wù)中斷及勒索病毒四類常見的安全事件考慮，結(jié)合網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0的基本要求，概述標(biāo)準(zhǔn)中的哪些要求可在很大程度上降低常見安全事件發(fā)生的可能性，體現(xiàn)出實(shí)施等級(jí)保護(hù)制度、等級(jí)保護(hù)測評(píng)的重要性及必要性。

網(wǎng)頁防篡改；數(shù)據(jù)防泄漏；業(yè)務(wù)防中斷；系統(tǒng)防勒索；等級(jí)保護(hù)2.0

隨著信息安全事件的頻繁發(fā)生，個(gè)人信息安全意識(shí)的提升以及網(wǎng)絡(luò)安全法的實(shí)施，使得網(wǎng)絡(luò)安全等級(jí)保護(hù)制度得到強(qiáng)有力的支撐。從法律層面要求網(wǎng)絡(luò)安全運(yùn)營者需結(jié)合系統(tǒng)情況實(shí)施等級(jí)測評(píng)。針對(duì)不同行業(yè)的被測評(píng)單位，其安全防護(hù)需求主要集中在網(wǎng)頁防篡改、數(shù)據(jù)防泄漏、業(yè)務(wù)防中斷及系統(tǒng)防勒索四個(gè)方面，任一方面的事件一旦發(fā)生，都會(huì)造成一定程度的經(jīng)濟(jì)上、名譽(yù)上甚至政治上的影響。

現(xiàn)場測評(píng)時(shí)，常能聽到一些說等級(jí)保護(hù)測評(píng)是一種形式、不具有實(shí)質(zhì)性意義的聲音。殊不知，等級(jí)保護(hù)制度可提升公司管理層對(duì)安全的重視程度，加大安全防護(hù)建設(shè)的投入，推動(dòng)系統(tǒng)運(yùn)行環(huán)境的安全。下面針對(duì)被測評(píng)單位所關(guān)注的點(diǎn)及等級(jí)保護(hù)2.0基本要求中對(duì)應(yīng)的要求項(xiàng)進(jìn)行概述[1]。

1 安全防護(hù)點(diǎn)概述

針對(duì)企事業(yè)單位所關(guān)注的安全防護(hù)點(diǎn)，下面簡要介紹網(wǎng)頁防篡改、數(shù)據(jù)防泄漏、業(yè)務(wù)防中斷及系統(tǒng)防勒索等四個(gè)防護(hù)點(diǎn)。

1.1 網(wǎng)頁防篡改

網(wǎng)頁防篡改的目的是保證網(wǎng)站內(nèi)容的完整性、真實(shí)性，維護(hù)單位的形象及利益。網(wǎng)頁被篡改的原因可能是在系統(tǒng)開發(fā)、部署維護(hù)過程中的疏忽，使得應(yīng)用系統(tǒng)存在網(wǎng)頁可能被篡改的脆弱性。常見的脆弱點(diǎn)如：權(quán)限未實(shí)現(xiàn)分級(jí)管理、安裝帶后門的程序、未對(duì)交互的參數(shù)進(jìn)行過濾、敏感信息明文傳輸、系統(tǒng)后臺(tái)弱口令等。惡意攻擊者可以利用常見的脆弱點(diǎn)進(jìn)行網(wǎng)站掛馬、暗鏈植入、信息篡改、非法上傳數(shù)據(jù)等方式破壞。而在網(wǎng)頁防篡改安全防護(hù)方面，大多數(shù)的單位會(huì)部署專業(yè)的網(wǎng)頁防篡改產(chǎn)品、Web應(yīng)用防火墻或云平臺(tái)提供的防篡改服務(wù)。

1.2 數(shù)據(jù)防泄漏

數(shù)據(jù)防泄漏的目的是防止數(shù)據(jù)被非法泄露，保證數(shù)據(jù)的機(jī)密性。數(shù)據(jù)泄露通常意味著個(gè)人信息的丟失、商業(yè)機(jī)密等的泄露，這樣的安全事件往往會(huì)造成嚴(yán)重的后果，不僅使公司在經(jīng)濟(jì)上遭受巨大損失，更在名譽(yù)方面造成惡劣影響。在安全防護(hù)方面，常用的數(shù)據(jù)防泄漏（DLP）措施包括數(shù)據(jù)加密、數(shù)字水印、秘密分割等技術(shù)。發(fā)生數(shù)據(jù)泄露的原因多種多樣，主要的泄露方式及措施如下[2]：

（1）使用過程中數(shù)據(jù)的泄露。如屏幕拍攝外傳、復(fù)印打印、內(nèi)部人員泄密等方式泄漏數(shù)據(jù)，常用的措施如水印技術(shù)、內(nèi)容過濾、數(shù)據(jù)加密、權(quán)限控制、秘密分割等。

（2）傳輸過程中數(shù)據(jù)的泄露。如攻擊者通過竊聽、嗅探等方式進(jìn)行數(shù)據(jù)獲取，通常采用數(shù)據(jù)加密技術(shù)的VPN和秘密分割技術(shù)的VPN進(jìn)行防護(hù)。

（3）存儲(chǔ)過程中數(shù)據(jù)的泄露。如服務(wù)器中的數(shù)據(jù)任意下載、存儲(chǔ)介質(zhì)丟失、被盜、外送維修等方式泄露，常通過秘密分割和數(shù)據(jù)加密的方式進(jìn)行防范。

1.3 業(yè)務(wù)防中斷

業(yè)務(wù)防中斷的目的是保證生產(chǎn)業(yè)務(wù)正常運(yùn)行，保障業(yè)務(wù)功能的可用性。業(yè)務(wù)的中斷，對(duì)企事業(yè)單位而言不僅造成經(jīng)濟(jì)損失，在某些行業(yè)還可能擾亂社會(huì)秩序，特別是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行的中斷。造成業(yè)務(wù)中斷的脆弱點(diǎn)主要有機(jī)房使用單路市電、備份數(shù)據(jù)恢復(fù)失敗導(dǎo)致數(shù)據(jù)不可用、DDoS攻擊、帶寬或系統(tǒng)性能不能滿足業(yè)務(wù)高峰需要等。典型的例子如2015年12月發(fā)生的烏克蘭斷電事件。

1.4 系統(tǒng)防勒索

系統(tǒng)防勒索的目的是保證系統(tǒng)的可用性，防止系統(tǒng)被勒索病毒對(duì)文件或系統(tǒng)加密。勒索病毒是隨著虛擬數(shù)字貨幣的發(fā)展而廣泛傳播的，它常通過垃圾郵件、惡意程序、網(wǎng)站掛馬等方式快速傳播。用戶一旦中了勒索病毒將造成特別嚴(yán)重的后果，使得日常工作無法開展，重要數(shù)據(jù)被加密，一般需要支付類似比特幣的虛擬貨幣才可解密。典型事件如WannaCry勒索病毒實(shí)際，該勒索病毒自2017年5月12日在全球蔓延之后，不同變種的勒索病毒被不法分子惡意傳播，感染勒索病毒的機(jī)器，多數(shù)是未按照等級(jí)保護(hù)要求進(jìn)行安全加固的終端或服務(wù)器。

2 等級(jí)保護(hù)2.0中對(duì)應(yīng)的防護(hù)點(diǎn)要求

等級(jí)保護(hù)2.0相對(duì)于等級(jí)保護(hù)1.0強(qiáng)調(diào)的是構(gòu)建具有主動(dòng)免疫防護(hù)能力的縱深防御體系。通過建立安全管理中心及具備可信驗(yàn)證功能的系統(tǒng)可實(shí)現(xiàn)惡意攻擊者從外進(jìn)不了系統(tǒng)邊界防護(hù)內(nèi)、未授權(quán)用戶獲取不了重要敏感信息、竊取的信息經(jīng)加密處理了看不懂、系統(tǒng)和信息的完整性不被破壞、系統(tǒng)工作中斷不了和攻擊者的非法行為不可抵賴的防護(hù)效果[3]?；诳尚庞?jì)算技術(shù)在一定程度能夠滿足上述四個(gè)安全防護(hù)點(diǎn)的要求，但可信計(jì)算技術(shù)在民用領(lǐng)域的應(yīng)用目前還是處于推廣階段，應(yīng)用較少。除了可信驗(yàn)證部分，等級(jí)保護(hù)2.0標(biāo)準(zhǔn)還有其他要求能降低安全事件發(fā)生的風(fēng)險(xiǎn)。下面針對(duì)等級(jí)保護(hù)2.0三級(jí)測評(píng)要求中除可信計(jì)算方面的要求，概述與網(wǎng)頁防篡改、數(shù)據(jù)防泄漏、業(yè)務(wù)防中斷及系統(tǒng)防勒索直接相關(guān)的要求及可采取的防護(hù)措施。

（1）在網(wǎng)頁防篡改方面

根據(jù)等級(jí)保護(hù)2.0標(biāo)準(zhǔn)中的要求項(xiàng)，可以從訪問控制、入侵防范、數(shù)據(jù)完整性、自行軟件開發(fā)和外包軟件開發(fā)幾個(gè)控制點(diǎn)進(jìn)行規(guī)范。在訪問控制方面，要求管理員依據(jù)業(yè)務(wù)授予用戶所需的管理權(quán)限，特權(quán)賬號(hào)權(quán)限分離，并建立操作、安全和審計(jì)管理賬號(hào)，實(shí)現(xiàn)三權(quán)分立，避免共用賬號(hào)，以便于安全事件溯源。在入侵防范方面，數(shù)據(jù)交互過程需驗(yàn)證數(shù)據(jù)的有效性，可有效防止SQL注入、XSS等常見漏洞。在數(shù)據(jù)完整性方面，應(yīng)用系統(tǒng)、產(chǎn)品設(shè)備等連接訪問采用HTTPS或SSH加密方式，采用如MD5等校驗(yàn)碼對(duì)傳輸及存儲(chǔ)過程中數(shù)據(jù)的完整性進(jìn)行校驗(yàn)。在自身和外包軟件開發(fā)方面，對(duì)內(nèi)外部開發(fā)人員均進(jìn)行編碼規(guī)范，開發(fā)過程及部署前進(jìn)行安全測試，且要求開發(fā)和測試人員分離，同時(shí)在軟件安裝前進(jìn)行惡意代碼掃描或源碼審計(jì)，防止后門或維護(hù)鉤子的存在。

（2）在數(shù)據(jù)防泄漏方面

在數(shù)據(jù)防泄漏方面，主要是保障鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等數(shù)據(jù)在傳輸和存儲(chǔ)過程中的保密性。為保證傳輸過程中的保密性，通常使用HTTPS、SSH、VPN等加密方式訪問連接。為保證存儲(chǔ)過程中的保密性，常對(duì)數(shù)據(jù)進(jìn)行MD5 DES或RSA算法等處理后保存，最好是能夠?qū)χ匾舾袛?shù)據(jù)分割保存。在管理上，嚴(yán)控設(shè)備維護(hù)管理流程，存儲(chǔ)介質(zhì)等帶出工作環(huán)境前應(yīng)將數(shù)據(jù)加密處理，存儲(chǔ)介質(zhì)報(bào)廢或重用前進(jìn)行物理銷毀和多次重寫覆蓋處理。

（3）在業(yè)務(wù)防中斷方面

等級(jí)保護(hù)2.0標(biāo)準(zhǔn)中在業(yè)務(wù)防中斷方面的要求主要體現(xiàn)在電力供應(yīng)、數(shù)據(jù)備份恢復(fù)、應(yīng)急預(yù)案管理三個(gè)控制點(diǎn)。在電力供應(yīng)上，要求機(jī)房設(shè)計(jì)時(shí)采用雙路市電或采用不同變電站供電的并行供電線路，配備系統(tǒng)相關(guān)設(shè)備滿載負(fù)荷運(yùn)行時(shí)可持續(xù)至少15分鐘的UPS不間斷電源及備用蓄電池；配備柴油發(fā)電機(jī)，同時(shí)定期進(jìn)行帶載測試，并與石油公司簽署一個(gè)合理時(shí)間范圍內(nèi)送油的協(xié)議。在數(shù)據(jù)備份恢復(fù)上，要求系統(tǒng)構(gòu)建時(shí)采用冗余方式設(shè)計(jì)部署，采取熱備、集群、負(fù)載均衡等措施保證系統(tǒng)的高可用性；對(duì)業(yè)務(wù)數(shù)據(jù)、鑒別信息等重要數(shù)據(jù)進(jìn)行定期的本地備份并進(jìn)行恢復(fù)測試，同時(shí)提供重要數(shù)據(jù)異地實(shí)時(shí)備份措施，防止地震、火災(zāi)等因素。在應(yīng)急預(yù)案管理方面，制定如斷電、服務(wù)器故障、備份恢復(fù)測試失敗、病毒、木馬等應(yīng)急處理及恢復(fù)流程，定期審查應(yīng)急預(yù)案，并要求每年都對(duì)應(yīng)急預(yù)案進(jìn)行至少一次的培訓(xùn)與演練。

（4）在系統(tǒng)防勒索方面

在系統(tǒng)防勒索方面，技術(shù)上主要體現(xiàn)在惡意代碼和垃圾郵件防范、入侵防范、集中管控三個(gè)控制點(diǎn)。在惡意代碼和垃圾郵件防范方面，要求系統(tǒng)邊界部署網(wǎng)絡(luò)防惡意代碼設(shè)備或云上購買相應(yīng)安全服務(wù)，部署安全郵件網(wǎng)關(guān)，惡意郵件檢測設(shè)備或反垃圾郵件服務(wù)，安裝殺毒軟件，及時(shí)更新惡意代碼特征庫。在入侵防范上，要求系統(tǒng)相關(guān)設(shè)備、服務(wù)器等遵循最小安裝原則，關(guān)閉不必要的服務(wù)如遠(yuǎn)程桌面、FTP服務(wù)、telnet服務(wù)等，關(guān)閉系統(tǒng)默認(rèn)共享，關(guān)閉135、137、139、445等高危端口。對(duì)病毒特征庫、漏洞補(bǔ)丁等進(jìn)行統(tǒng)一管理，及時(shí)升級(jí)特征庫及補(bǔ)丁更新。管理上則要求內(nèi)部人員增加安全防范意識(shí)，慎重點(diǎn)擊不明來源郵件的相關(guān)附件、鏈接等，同時(shí)防止非授權(quán)設(shè)備接入系統(tǒng)環(huán)境，非得接入外部設(shè)備時(shí)，需進(jìn)行授權(quán)審批，并在接入前對(duì)外部設(shè)備進(jìn)行惡意代碼檢測。

3 結(jié)語

沒有網(wǎng)絡(luò)安全就沒有國家安全，文章從被測評(píng)單位的角度著重講述了不同行業(yè)不同單位現(xiàn)階段主要關(guān)注的安全防護(hù)點(diǎn)，針對(duì)相應(yīng)的安全事件，對(duì)比等級(jí)保護(hù)2.0標(biāo)準(zhǔn)中相對(duì)應(yīng)的要求項(xiàng)，充分體現(xiàn)等級(jí)保護(hù)制度、等級(jí)保護(hù)測評(píng)的重要性及必要性，表明系統(tǒng)具有一定的防護(hù)能力，降低類似事件的發(fā)生。此外，通過等級(jí)保護(hù)測評(píng)是否合規(guī)，并不代表系統(tǒng)是安全的，它只是提升系統(tǒng)安全性的一種監(jiān)督管理措施。

[1]國家市場監(jiān)督管理總局、中國國家標(biāo)準(zhǔn)化管理委員會(huì).GB/T 22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求[S].北京：中國標(biāo)準(zhǔn)出版社，2019.

[2]徐云峰.幾種常用的數(shù)據(jù)安全防泄漏技術(shù)[N]. 中華讀書報(bào)，2019-07-10（017）.

[3]沈昌祥.用主動(dòng)免疫可信計(jì)算3.0筑牢網(wǎng)絡(luò)安全防線營造清朗的網(wǎng)絡(luò)空間[J].信息安全研究，2018，4（04）：282-302.