面向基于漏洞检测的安全产品优化测试方案研究.pdfVIP

面向基于漏洞检测的安全产品优化测试方案研究 李玮 (中国移动通信集团设计院有限公司，北京 100080) 摘 要 传统面向基于漏洞检测的安全产品的测试方法虽然涵盖了几乎全部的功能和性能要点，但却存在着成本高、 周期长等不足，严重滞后了此类安全产品的上线部署。本文详细介绍了一种新型的测试方案，在严格遵从测 试原则的前提下，从中挑选了准确性、完备性和及时性、方便性、可用性、可靠性5个关键内容进行优化性测 试；不仅精简了此类产品的测试内容、缩短了测试周期、降低了测试费用，还可以推广至其他类似的应用层 安全产品测试工作。 关键词 漏洞检测安全产品；安全漏洞；优化测试；准确率 中图分类号 TN918 文献标识码 A 文章编号 1008—5599(2013)07—004904 1 引言 页漏洞扫描设备、基线检查设备等漏洞检测类设备来检 测所辖设备 自身的安全性 ；相应地，此类安全产品的测 伴随着 IT技术和互联网应用的蓬勃发展，针对企 试和选择也越来越受到各方重视。 业和个人的相关安全威胁也 日益凸显。除了攻击手段的 多样化、智能化和普遍化等外在原因，大量的安全漏洞 2 产品选择与测试原则 也使得安全环境进一步恶化。 所谓安全漏洞 (Vulnerability)，就是存在于系统 在林林总总的漏洞检测类安全产品的选择中，各方 内的弱点或缺陷，使得系统对一个特定的威胁攻击或危 不仅希望掌握漏洞扫描等设备的工作原理、核心技术， 险事件敏感。安全漏洞的出现和存在，既有客观天然的 更加看重实际的使用效果或者入网前的测试结果。虽然 原因，如代码失误、环境变化等；也有主观后天的原因， 已经有较为成熟的测试组织流程，测试机构也在不断加 如配置问题、管理缺乏等。 大测试投入，但目前面向基于漏洞检测的安全产品的多 面对愈演愈烈的漏洞威胁和层出不穷的公告和修补 数测试方法并没有形成科学的理论，已经滞后了此类安 建议，电信运营商、政府机构、科研企业等安全敏感度 全产品在整个安全体系中发挥本应具有的作用。 高的单位，在采用常规的 “顶盔贯甲”安全思路来部署 总的来看，虽然业内还缺乏成熟的测试方法论对整 各类安全防护设备进行被动防御的同时，也在逐渐使用 个测试予以指导，但是对于一般安全产品的测试工作， “强身健体”的思路、使用系统漏洞扫描设备、Web网 应该把握以下几个原则 ： 收稿日期 ：2叭5O5—20 · 2013年 第7期 · 49 (1)确保准确 ：产品测试的根本目的就是对参评设 (1)全面测试，即测试覆盖了被测产品所有的功能 备进行横向的技术比较，从中挑选出功能完备、性能优 点和性能点。显而易见，全面测试的优势在于可以彻底 良、满足生产运维需要的产品。因此，无论采用何种测 全面了解被测产品的情况 ；但是最大的问题在于测试内 试方法，最终都要确保测试结果能够真实反映出设备的 容多、周期长和投入大。如果采用全面测试的方法，按 优点、不足、特性等。 照业内通常的经验，一类安全产品总共投入的人工量即 (2)防止作弊 ：设备提供商为提高测试成绩，很多 达到1200人 日，如果把租用测试仪表的费用考虑进去， 会提前对设备的功能和性能进行优化，以取巧的手段换 仅一项测试的直接费用就达 170多万元。这显然不符合 取高分。例如，对于应用层安全设备，由于受到体系架 性价比优的测试原则。另外，测试结果过于繁杂也不利 构和组件配置等方面的影响，一般设备性能指标和综合 于参测产品之间的综合比较。 准确率是反比的。换而言之，如果测试环境不能保证将 (2)优化测试，即在前面 (1)提到的测试全集中 某几个指标同步测试，就有可能给被测厂家一定的操作 选择有代表性