视频监控联网信息安全自动化漏洞扫描技术规范.docxVIP

1

视频监控联网信息安全自动化漏洞扫描技术规范

1范围

本文件规定了视频监控联网信息安全自动化漏洞扫描技术规范,包括技术路线、部署要求、功能要求、性能要求、安全要求和管理要求。

本文件适用于视频监控联网设备、网络信息安全测试,包括但不限于智慧交通、城市安全、公共卫生及家庭生活等视频监控联网信息安全的自动化漏洞扫描。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件；不注日期的引用文件,其最新版本（包括所有的修改单）适用于本文件。

GB/T5271.1—2000信息技术词汇第1部分:基本术语

GB/T37954—2019信息安全技术工业控制系统漏洞检测产品技术要求及测试评价方法YD/T3463—2019漏洞扫描系统通用技术要求

YD/T3492—2019视频监控系统网络安全技术要求

3术语和定义、缩略语

3.1术语和定义

下列术语和定义适用于本文件。

3.1.1

漏洞vulnerability

资产中能被威胁所利用的弱点。

[来源:GB/T37954—2019,3.1]

3.1.2

漏洞扫描系统vulnerabilityscanningsystem

一种针对安全漏洞开展主动检测的系统,可依据一定的策略,对目标系统进行安全漏洞的扫描,发现安全漏洞、验证安全漏洞并提出相应的改进意见。

[来源:YD/T3463—2019,2.1.1]

3.1.3

视频监控系统videosurveillancesystem

由前端采集、传输、存储、管理、显示等组成,利用视频技术探测、监视设防区域并实时显示、记录现场图像的电子系统或网络。

[来源:YD/T3492—2019,3.1.1]

2

3.1.4

固件firmware

功能上独立于主存储器,通常存储在只读存储器（ROM）中的指令和相关数据的有序集。

[来源:GB/T5271.1—2000,01.01.09]

3.1.5

可视化visualization

利用计算机图形学和图像处理技术,将数据转换成图形或图像在屏幕上显示出来,并进行交互处理的理论、方法和技术。

[来源:YD/T3463—2019,2.1.4]

3.2缩略语

下列缩略语适用于本文件。

CNNVD:中国国家信息安全漏洞库（ChinaNationalVulneraBilityDataBaseofInformationsecuri-ty）

CNVD:国家信息安全漏洞共享平台（ChinaNationalVulneraBilityDataBase）

CVE:公共漏洞和暴露（CommonVulneraBilitiesExposures）

DVR:数字式录像机（DigitalVideoRecorder）

NVR:网络视频录像机（NetworkVideoRecorder）

4技术路线

通过接入目标系统网络,提取视频监控设备信息,并行执行固件漏洞检测、网络协议漏洞检测、业务交互内容漏洞检测的三大检测内容,最终分析检测数据并输出可视化结果及漏洞扫描报告。技术路线图见图1。

图1技术路线图

3

5部署要求

部署模式应符合YD/T3463—2019第3章的要求。

6功能要求

6.1支持协议

支持协议类型包括TCP/IP、UDP、RTSP、SOAP、UPNP、ONVIF等。

6.2策略配置

6.2.1配置向导

扫描策略应支持可视化配置，包括但不限于以下内容：

a）任务信息的可视化，如任务名称、任务ID等；

B）扫描范围的可视化，如单一设备、多设备、多网段、连续IP节点等；

c）扫描周期的可视化，如仅一次、每周、每月或精确至具体时间等；

d）扫描方式的可视化，如全自动识别、人工增强等；

e）扫描目标的可视化，如摄像头设备、DVR/NVR、视频监控管理平台等。应支持针对常见厂商、

架构的摄像头以及支撑摄像头运行的上下游设备做检测，做到对视频专网内设备的全覆盖。注1：全自动识别指视频监控联网自动化漏洞扫描系统自动探测摄像头设备信息，并自动进行漏洞分析。

注2：人工增强指在系统自动探测的基础上，根据用户自主补充的摄像头设备信息，进行增强化的扫描与分析。

6.2.2策略优化

扫描策略应支持结合摄像头指纹特征等信息