浅析信息安全方法中的测、评、估、审、查、量.PDFVIP

专家视角 浅析信息安全方法中的 测、评、估、审、查、量 安全咨询部 白雷 关键词：安全测评风险评估信息安全安全度量 摘要：本文通过对国内、国外流行的信息安全方法进行梳理与分析，浅析从不同角度对信息安全的理解， 对信息系统的安全测试、产品与系统的安全性测评、信息安全风险评估、安全审计、安全检查与信息安全度 量等概念进行对比，进一步解析信息安全相关的最佳实践类方法、基本要求类方法、通用准则类方法和合规 审计类方法，阐述信息安全的观念与发展方向。 引言 一、信息安全的测与评 就短短几十年信息安全方法发展的历史来研究，对以下几个词 最初阶段面对信息安全问题，凭直观的思路归纳起来总是沿两 汇的理解运用贯穿于信息安全实践之中，对这些方法的深入 个方向：“验对”与“识错”。 解析可以使我们更好地把握信息安全方法的变化趋势与发展态势。 �•验对：检验与证明信息安全对象是不是正确的，所有方面都 本文就个人的认识浅析在信息安全实践中安全方法的认知与运用。 对了就是安全了。 �•测：试验、测试（test） �•识错：测试发现信息安全对象中的错误，并通过各种手段修 �•评：评价、比选（evaluate） 复错误，以达到安全的状态。 �•估：估计、估算（assess） 测的思想来源于识错的部分，由于运营的信息系统中的错误、 �•审：审核、审计（audit） 问题与漏洞总是难以完全避免的，这归因于技术的局限、能力的缺失、 �•查：检查、查验（check、inspect） 偶然因素。所以尽可能地发现问题并加以改进是一个非常有效的解决 �•量：测量、度量（Metric） 安全问题的方法。典型的测的方法包括： 3 专家视角 �•渗透测试 (penetration test) ：一般 即国际标准ISO15408 information technology – security techniques – evaluation criteria 认为渗透测试是通过模拟恶意黑客的攻击方 for IT security，它的本质是对保护对象（即TOE）定义一组通用的安全要求与控制全集， 法，来评估计算机网络与应用系统安全的一 从而形成一个广泛认可的通用集合。实际评的时候要针对某一类产品（如防火墙、服务器、 种技术测试方法。 操作系统等）生成一个适用性的指标子集也即指标体系，称为保护轮廓（PP ：Protection 因为没有百分之百安全的系统，所以识 Profile），PP 通常适用于作为产品或系统的安全标准。对一个特定对象如一台防火墙评的时 错的方法理论上是一种发散的方法，它的结 候是要依据安全指标生成一组实际安全目标（即ST ：security target），ST 可以生成实际的 果总是不会收敛的，这类方法并不具有完备 安全测试项目的。 性。一个信息系统，即使只是一个操作系统 软件也不可能穷尽所有缺陷。以微软为例， 它的任何一款Windows 软件在其整个生命 周期中从没有停止过发行软件的安全补丁， 即使像X P 这样已经下市的软件，安全补丁 仍然是大问题。而这是一个普遍的规律。总 之，安全识错的工作通常会贯穿信息系统的 整个生命周期。 引入评的方法可以弥补测的方法的不完 图1 信息安全的通用准则类方法 全性，所以我国很早就建立起安全测评方法 评的方法是用于对信息产品或系统进行验对的，而关于评的内容，CC 中分为安全功能 为核心工作的中国信息安全测评中心（china 要求、安全保证要求和安全评价要求三类，评价的结果分为七个评估保证等级（Evaluation information technology secur