等级保护检查工具箱技术白皮书

等级保护检查工具箱 技术白皮书国家信息技术安全研究中心2011年06月版权声明本技术白皮书是国家信息技术安全研究中心“网探”系列安全产品的描述，与内容相关的权利归国家信息技术安全研究中心所有。

白皮书中的任何内容未经本中心许可，不得转印、复制。

目录1前言 (1)2系统概述 (3)3系统组成 (5)4产品功能 (6)5产品特点 (7)6应用部署 (13)7用户收益 (14)8关于中心 (15)1 前言随着信息技术的迅速发展，社会对信息化的依赖程度越来越高，网络与信息系统的安全问题也更加突出，为保障基础网络和重要信息系统安全，更好地维护国家安全与社会秩序，我国推出了等级保护制度，自1994年国务院颁布《中华人民共和国计算机信息系统安全保护条例》以来，等级保护相关工作大致经过了起步、发展及推行三个阶段，颁布《中华人民共和国计算机信息系统安全保护条例》、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66 号）、《电子政务信息安全等级保护实施指南（试行）》（国信办25号文）、《信息系统安全保护等级定级指南》（公信安［2005］1431号）等多项国家或部门级法令制度及管理办法，并制定《计算机信息系统安全保护等级划分准则》（GB-T 17859-1999）、《计算机信息系统安全等级保护操作系统技术要求》（GA 388-2002）、《计算机信息系统安全等级保护数据库管理系统技术要求》（GA/T 389-2002）、《计算机信息系统安全等级保护通用技术要求》（GA/T 390-2002）、《计算机信息系统安全等级保护管理要求》（GA 391-2002）等多组国家或行业信息安全标准，配合并支持国家信息安全等级保护制度的落实工作。

国家信息技术安全研究中心是国内最早从事等级保护专业测评的机构之一，提供权威的评测结论及建议，在国家信息安全等级保护工作开展至今的时间里，参与大部分相关标准的制定及具体项目实施等工作。

2008年8月，国家发改委、公安部和国家保密局联合发文，明确非涉密信息系统的信息安全风险评估，由国家信息技术安全研究中心以及中国信息安全测评中心、公安部信息安全等级保护评估中心等三家专业测评机构承担。

自此，伴随信息安全等级保护工作广泛推行，中心承担的测评任务逐年增加，对落实国家信息安全保护工作的意义和贡献也愈加重大。

伴随着信息安全等级保护工作不断广泛推行，信息系统等级保护测评工作存在诸多亟待解决的问题：●检查对象复杂、项目庞大、业务领域多，检查任务不能快速高效完成；●需要安全检查和管理的专业知识和能力，人员素质直接影响检查质量；●保证工作效率高前提下，需要确保检查质量不能下降；●需要项目管理和协同处理的专业知识和能力；●需要安全测评检查和安全管理的知识和能力；●“等保检查和测评工作”不具备平台化、常态化、工具化。

在这种业务背景下，有必要建设一套既适合中心执行等级保护测评检查任务，便于对相关任务实施集中管理，提高执行效率和质量，同时适合被评估单位进行自我评估的系统，有助于实现等级保护工作落实的有效性及高效性。

2 系统概述等级保护检查工具箱主要是依据等级保护国家标准及行业标准，融入了中心多年积累的专业检查方法和工具集合，设计研发的等级保护检查工具，可对多项目汇总统一管理、多任务协同处理，可将检查结果自动汇总分析、按要求生成各类检测报告，可以指导并协助检查检查人员或自检查人员快速、高效开展信息安全等级保护检查工作，提升工作效率的同时，提高检查检查的工作质量。

●更好更有效地落实等级保护工作等级保护不仅提升企事业单位信息安全保护能力，使企事业单位更好的服务于社会的基础保障，更是关系到公民、法人和其他组织的合法权益以及社会秩序和公共利益，保护国家安全的重要内容，工具箱的建设可以更好更有效的落实信息安全等级保护制度。

●提升等级保护检查工作效率当前的等级保护检查已经形成了一定的工作流程，但是仍然主要依据检查人员的手动操作来完成和完善每个阶段甚至每个步骤的测试工作，过程中使用的各种文档模板、检查记录、检查结果、检查手段都是离散的存储在检查人员手中，没有形成统一的自动化标准管理模式。

这种状况不但制约着现场检查的工作效率，同时也造成没有统一标准使检查结果呈现不确定性。

工具箱建设完成后可以通过检查流程功能，实现检查步骤、模板、工具自动化管理，辅助并监督工作执行，提升工作效率。

●提高等级保护检查工作质量通过工具箱控制检查流程，对检查中间记录、结果进行全程的监控、管理，减少了人为因素对项目的影响，在提升工作效率的同时，提高检查的工作质量,也为检查工作的质量管理提供了依据。

●集中管理等级保护检查项目通过工具箱可以将检查工作中执行的任务进行集中管理，不但可以进行项目内的集中管理，对项目组不同成员不同阶段的工作底稿及成果提供统一管理，而且可以实现项目间集中管理，以及同一单位不同业务系统、不同级别系统之间的交叉管理。

●扩展知识库积累检查经验工具箱集成了等级保护专家知识库，包含等级保护相关的标准、案例、经验信息，为检查人员执行现场检查工作提供有效的支持。

此外，工具箱的专家知识库具有扩展功能，可以依据专家经验和实施方案的不断改进优化进行补充和完善。

●持续提升检查能力检查结束后，工具箱可以作为被检查单位跟踪开展以及记录后续相关工作的重要平台，提升被检查单位等级保护管理水平，有利于被检查单位信息安全水平的持续提升。

3 系统组成等级保护检查工具箱系统构架图：图：等级保护检查工具箱系统架构图等级保护检查工具箱系统主要由检查准备、单位整体检查、系统检查、检查报告、知识库管理、系统管理等几大功能模块组成。

4 产品功能●检查准备1)可对多个项目/被检查单位进行统一管理；2)可对项目/被检查单位各类资料进行统一管理；3)项目/被检查单位可对多个系统进行特定级别检查；●单位整体检查4)内嵌整体情况调查表，在线编辑、导出；●系统检查管理5)依据被测评/检查系统统一管理系统资产；6)可对系统内资产进行筛选，可对检查项进行筛选；7)可依据所选资产及检查项自动组合，以测评/检查层面、被检查资产为主线生成多个用例，以用例为单位进行任务派发；8)测评/检查人员依据任务单提示进行逐项检查，录入检查结果，将任务单导回到系统；9)系统自动进行结果汇总；●检查报告管理10)依据测评/检查结果逐层进行结果汇总分析；11)以测评/检查要求为主线展现测评/检查结论；12)内置报告模板，输出测评报告和各类检查报告；●知识库管理13)近1100多条测评/检查要求；14)近4000条测评/检查方法；15)近140种资产类型；16)近20种工具类型；5 产品特点等级保护检查流程设计当前的等级保护检查工作已经形成了一定的检查流程，但是仍然主要依据检查人员的手动操作来完成和完善每个阶段甚至每个步骤的测试工作，过程中使用的各种文档模板、检查记录、检查结果、检查手段都是离散的存储在检查人员手中，没有形成统一的自动化标准管理流程。

这种状况不但制约着现场检查的工作效率，同时也造成没有统一标准使检查结果呈现不确定性。

等级保护检查工具箱内嵌完整的可供实践的等级保护检查流程，并结合检查流程实现向导式的检查步骤、模板、工具自动化管理，辅助并监督工作执行，提升工作效率。

等级保护检查流程图：图：等级保护检查流程图●检查指导书开发深入理解各检查项的具体要求后，设计开发了全面的等级保护检查指导书。

检查用例涵盖主流服务器、操作系统及安全设备的检测方法与步骤。

检查用例涵盖6家主流安全设备厂商、8家主流网络设备厂商的产品测试方法，6类常见应用服务与中间件和11种操作系统的检测方法与步骤。

✧分级开发由于信息系统的重要性不同，则系统划分的等级也不相同，那么指导书中各检查测点的要求也不相同，所以我们根据不同等级分别开发了不同的检查指导书，共四个等级，分别对物理层面、网络层面、主机层面、应用层面、数据和备份恢备层面和管理层面作了详细说明。

✧通用与专用相结合无论网络产品、操作系统，或是应用服务与中间件等，由于生产的厂家不同，对相同的检查项，检查时所使用的命令及实施手段会有所不同，比如检查项“c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制”，Checkpoint防火墙实施手段应为“启动客户端软件SmartDashboard，查看security页签下内容”，而Cisco防火墙的实施手段为“使用命令show access-list”。

为常见网络设备、网络安全设备、操作系统、应用服务与中间件等开发了专用的测试用例。

但由于世面上的网络产品、网络安全产品、操作系统、数据库等非常多样化，无法开发出系统所有的测试用例，这就要求开发出一种通用测试用例，当专用测试用例无法使用时，便使用这种通用的测试用例对检查、检查、自检查进行指导。

我们还提供测试用例模版，可以在实际检查、检查、自检查过程中不添加与丰富。

✧方法、过程和预期结果相结合检查指导书不但对检查的实施过程给以详细说明，还对预期应产生的结要给了详细解释，这为系统加固提供了指导意见，并将内容细化到命令级。

检查指书在给出检测内容、方法与检测是结果的同时，又提出了相对应的检测工具。

●等保测评/检查项筛选原则与筛选算法在检查、自查工作中，如何协助测评检查人员快速、高效开展信息安全等级保护测评检查工作，提升工作效率的同时，提高测评检查的工作质量，这是我们需要重点解决的问题。

同时依据不同的安全等级、信息系统类型和信息系统其他安全需求，客观、科学的选取测评/检查项，既突出重点又能够从整体上判断是否符合国家整体的安全要求，保障国家的安全利益；同时也为测评/检查人员提供测评/检查项的筛选方法，避免过度测评检查，造成资源浪费。

因此，根据等级保护相关标准要求，借鉴相关理论知识，通过对等级测评/检查项的分析，提出基于重要性选择的等级保护测评/检查项筛选原则，结合级别之间的差异化分析进行辅助筛选，形成了筛选算法，依据此算法可以按检查项重要性比例进行检查项的筛选，能够智能化的生成检查用例，得到测评检查方案，从而保证检查的独立客观同时也可以简化测评检查人员的实施检查的复杂度，保证检查工作的质量。

✧等保测评/检查项筛选原则重要性原则：有些测评/检查项与系统安全关系非常密切，一旦这些测评检查项不加防护，则更易对系统的安全造成威胁。

代表性原则：检查过程要考虑对控制点的覆盖，等保测评检查从多个侧面、多个角度对系统安全进行考虑，这些侧面就反应在控制点上。

广泛性原则：抽取测评/检查项应按一定比例，抽取测评/检查项的比例建议达到60%，这种选取原则可以对系统的基本安全进行考查。