【儀表網(wǎng) 行業(yè)標(biāo)準(zhǔn)】近日，由上海辰銳信息科技公司 、公安部第三研究所 、中國(guó)科學(xué)院軟件研究所 、中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心 、國(guó)家工業(yè)信息安全發(fā)展研究中心等單位起草， TC260(全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì))歸口的國(guó)家標(biāo)準(zhǔn)計(jì)劃《信息安全技術(shù) 安全運(yùn)維系統(tǒng)技術(shù)規(guī)范》征求意見(jiàn)稿已編制完成，現(xiàn)公開(kāi)征求意見(jiàn)。
 

　　隨著網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，網(wǎng)絡(luò)環(huán)境變得日趨復(fù)雜，特別是重要信息系統(tǒng)和關(guān)鍵信息基礎(chǔ)設(shè)施中的資產(chǎn)數(shù)量和類(lèi)型均急劇增長(zhǎng)。誤操作、違規(guī)運(yùn)維操作可能會(huì)直接導(dǎo)致這些重要業(yè)務(wù)系統(tǒng)的宕機(jī)、數(shù)據(jù)丟失等風(fēng)險(xiǎn)，對(duì)安全運(yùn)維的規(guī)范化管理已和外部安全防護(hù)同等重要。安全運(yùn)維系統(tǒng)已廣泛應(yīng)用于各行業(yè)信息化內(nèi)控管理，隨著云、工控等應(yīng)用場(chǎng)景和安全產(chǎn)品的發(fā)展，運(yùn)維管理和審計(jì)的范疇和技術(shù)形態(tài)都有了新的變化，云安全運(yùn)維、便攜式移動(dòng)運(yùn)維、工控運(yùn)維等新形態(tài)和新特性不斷呈現(xiàn)。此外，近年來(lái)相關(guān)法律法規(guī)及行業(yè)規(guī)范對(duì)于系統(tǒng)的運(yùn)維管理提出了諸多合規(guī)要求：網(wǎng)絡(luò)安全法對(duì)于網(wǎng)絡(luò)運(yùn)營(yíng)者、網(wǎng)絡(luò)服務(wù)提供者提出了制定內(nèi)網(wǎng)操作規(guī)程、持續(xù)提供安全維護(hù)、采取技術(shù)措施保障網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行、留存相關(guān)網(wǎng)絡(luò)日志不少于六個(gè)月等安全保護(hù)義務(wù)；ISO 27001 標(biāo)準(zhǔn)中要求組織必須記錄用戶訪問(wèn)、意外和信息安全事件的日志，并保留一定期限，以便為安全事件的調(diào)查和取證；國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)要求中對(duì)重要信息系統(tǒng)、云租戶業(yè)務(wù)應(yīng)用系統(tǒng)等保護(hù)對(duì)象的集中身份認(rèn)證、運(yùn)維操作審計(jì)和細(xì)粒度的權(quán)限管控也提出了諸多要求。安全運(yùn)維系統(tǒng)由于其安全功能屬性，成為系統(tǒng)的核心安全管控樞紐，存儲(chǔ)著資產(chǎn)管理賬號(hào)、具備重要資源的訪問(wèn)權(quán)限等，一旦其自身存在安全短板將會(huì)為重要信息系統(tǒng)和關(guān)鍵信息基礎(chǔ)設(shè)施引入極大的安全風(fēng)險(xiǎn)。
 

　　因此，本標(biāo)準(zhǔn)的制定一方面支撐安全運(yùn)維系統(tǒng)的規(guī)范化管理，同時(shí)也緊密貼合重要信息系統(tǒng)及關(guān)鍵信息基礎(chǔ)設(shè)施安全運(yùn)維和資產(chǎn)內(nèi)控管理的合規(guī)性需求，為等保和關(guān)基相關(guān)要求的技術(shù)實(shí)現(xiàn)規(guī)范化提供重要參考，降低運(yùn)維管理安全風(fēng)險(xiǎn)。
 

　　本文件按照GB/T 1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則 第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。
 

　　本文件規(guī)定了網(wǎng)絡(luò)運(yùn)維訪問(wèn)控制、運(yùn)維審計(jì)、安全管理等安全運(yùn)維系統(tǒng)安全功能要求、自身安全要求、安全保障要求及測(cè)試評(píng)價(jià)方法。本文件適用于安全運(yùn)維系統(tǒng)的設(shè)計(jì)、開(kāi)發(fā)、測(cè)試與評(píng)價(jià)。
 

　　安全技術(shù)要求：
 

　　1.基本級(jí)安全技術(shù)要求
 

　　1.1 安全功能要求
 

　　1.1.1 運(yùn)維用戶管理
 

　　產(chǎn)品應(yīng)支持對(duì)運(yùn)維用戶進(jìn)行管理：
 

　　a) 運(yùn)維用戶賬戶增加、刪除；
 

　　b) 運(yùn)維用戶安全屬性定義，包括但不限于賬戶、用戶姓名、聯(lián)系電話、口令等；
 

　　c) 支持本地運(yùn)維用戶賬戶分組管理。
 

　　1.1.2 運(yùn)維對(duì)象管理
 

　　產(chǎn)品應(yīng)支持對(duì)運(yùn)維對(duì)象進(jìn)行管理：
 

　　a) 運(yùn)維對(duì)象增加、刪除、修改；
 

　　b) 運(yùn)維對(duì)象安全屬性定義，包括但不限于運(yùn)維對(duì)象資產(chǎn)類(lèi)別、IP 地址、運(yùn)維服務(wù)協(xié)議、運(yùn)維對(duì)象賬戶及口令等；
 

　　c) 支持運(yùn)維對(duì)象分類(lèi)管理。
 

　　1.1.3 網(wǎng)絡(luò)通信協(xié)議支持
 

　　產(chǎn)品應(yīng)至少支持以下運(yùn)維服務(wù)協(xié)議對(duì)運(yùn)維對(duì)象進(jìn)行網(wǎng)絡(luò)運(yùn)維：
 

　　a) TELNET、SSH；
 

　　b) RDP、VNC。
 

　　告警：
 

　　1.告警內(nèi)容
 

　　產(chǎn)品應(yīng)依據(jù)告警策略對(duì)運(yùn)維用戶的違規(guī)操作進(jìn)行告警，告警信息應(yīng)至少包括：
 

　　a) 操作時(shí)間；
 

　　b) 運(yùn)維用戶；
 

　　c) 源地址；
 

　　d) 運(yùn)維對(duì)象；
 

　　e) 運(yùn)維服務(wù)協(xié)議；
 

　　f) 事件描述；
 

　　g) 觸發(fā)的策略等。
 

　　2.告警方式
 

　　產(chǎn)品應(yīng)支持屏幕告警、短信或郵件告警方式進(jìn)行告警。
 

　　3.遠(yuǎn)程訪問(wèn)加密
 

　　應(yīng)采取措施保證網(wǎng)絡(luò)運(yùn)維通道的數(shù)據(jù)傳輸保密性和完整性。
 

　　遠(yuǎn)程管理安全：
 

　　遠(yuǎn)程管理安全的測(cè)試方法與預(yù)期結(jié)果如下：
 

　　a) 測(cè)試方法：
 

　　1) 若產(chǎn)品采用網(wǎng)絡(luò)遠(yuǎn)程方式管理，利用網(wǎng)絡(luò)抓包工具，截獲產(chǎn)品網(wǎng)絡(luò)管理數(shù)據(jù)，檢查管理數(shù)據(jù)是否非明文傳輸；
 

　　2) 設(shè)置遠(yuǎn)程管理的主機(jī)地址范圍，分別在設(shè)定的地址范圍內(nèi)、外嘗試對(duì)產(chǎn)品進(jìn)行遠(yuǎn)程管理；
 

　　3) 若產(chǎn)品形態(tài)為硬件，部署網(wǎng)管軟件，嘗試對(duì)產(chǎn)品運(yùn)行狀態(tài)進(jìn)行監(jiān)測(cè)；
 

　　4) 若產(chǎn)品形態(tài)為硬件，檢查是否提供獨(dú)立的管理接口，運(yùn)維業(yè)務(wù)接口上是否開(kāi)放了管理服務(wù)；
 

　　5) 若產(chǎn)品形態(tài)為軟件，首先在一臺(tái)具有雙網(wǎng)卡的服務(wù)器上，然后部署被測(cè)產(chǎn)品，檢查是否支持管理接口與業(yè)務(wù)接口分離方式部署。
 

　　b) 預(yù)期結(jié)果：
 

　　1) 管理數(shù)據(jù)非明文傳輸；
 

　　2) 設(shè)定的地址范圍內(nèi)主機(jī)能夠?qū)Ρ粶y(cè)產(chǎn)品進(jìn)行遠(yuǎn)程管理，范圍外的地址無(wú)法訪問(wèn)；
 

　　3) 網(wǎng)管軟件能夠監(jiān)測(cè)被測(cè)產(chǎn)品的CPU、內(nèi)存、存儲(chǔ)的資源使用情況；
 

　　4) 產(chǎn)品具有獨(dú)立的管理接口，且運(yùn)維業(yè)務(wù)接口上未開(kāi)放管理服務(wù)；
 

　　5) 支持通過(guò)必要的配置，實(shí)現(xiàn)管理接口和運(yùn)維業(yè)務(wù)接口分離。
 

　　c) 結(jié)果判定：
 

　　實(shí)際測(cè)評(píng)結(jié)果與相關(guān)預(yù)期結(jié)果一致則判定為符合，其他情況判定為不符合。
 

　　更多詳情請(qǐng)見(jiàn)附件。