【儀表網 行業標準】近日，由上海辰銳信息科技公司 、公安部第三研究所 、中國科學院軟件研究所 、中國網絡安全審查技術與認證中心 、國家工業信息安全發展研究中心等單位起草， TC260(全國信息安全標準化技術委員會)歸口的國家標準計劃《信息安全技術 安全運維系統技術規范》征求意見稿已編制完成，現公開征求意見。
隨著網絡技術的迅速發展，網絡環境變得日趨復雜，特別是重要信息系統和關鍵信息基礎設施中的資產數量和類型均急劇增長。誤操作、違規運維操作可能會直接導致這些重要業務系統的宕機、數據丟失等風險，對安全運維的規范化管理已和外部安全防護同等重要。安全運維系統已廣泛應用于各行業信息化內控管理，隨著云、工控等應用場景和安全產品的發展，運維管理和審計的范疇和技術形態都有了新的變化，云安全運維、便攜式移動運維、工控運維等新形態和新特性不斷呈現。此外，近年來相關法律法規及行業規范對于系統的運維管理提出了諸多合規要求：網絡安全法對于網絡運營者、網絡服務提供者提出了制定內網操作規程、持續提供安全維護、采取技術措施保障網絡安全穩定運行、留存相關網絡日志不少于六個月等安全保護義務；ISO 27001 標準中要求組織必須記錄用戶訪問、意外和信息安全事件的日志，并保留一定期限，以便為安全事件的調查和取證；國家網絡安全等級保護要求中對重要信息系統、云租戶業務應用系統等保護對象的集中身份認證、運維操作審計和細粒度的權限管控也提出了諸多要求。安全運維系統由于其安全功能屬性，成為系統的核心安全管控樞紐，存儲著資產管理賬號、具備重要資源的訪問權限等，一旦其自身存在安全短板將會為重要信息系統和關鍵信息基礎設施引入極大的安全風險。
因此，本標準的制定一方面支撐安全運維系統的規范化管理，同時也緊密貼合重要信息系統及關鍵信息基礎設施安全運維和資產內控管理的合規性需求，為等保和關基相關要求的技術實現規范化提供重要參考，降低運維管理安全風險。
本文件按照GB/T 1.1-2020《標準化工作導則 第1部分：標準化文件的結構和起草規則》的規定起草。
本文件規定了網絡運維訪問控制、運維審計、安全管理等安全運維系統安全功能要求、自身安全要求、安全保障要求及測試評價方法。本文件適用于安全運維系統的設計、開發、測試與評價。
安全技術要求：
1.基本級安全技術要求
1.1 安全功能要求
1.1.1 運維用戶管理
產品應支持對運維用戶進行管理：
a) 運維用戶賬戶增加、刪除；
b) 運維用戶安全屬性定義，包括但不限于賬戶、用戶姓名、聯系電話、口令等；
c) 支持本地運維用戶賬戶分組管理。
1.1.2 運維對象管理
產品應支持對運維對象進行管理：
a) 運維對象增加、刪除、修改；
b) 運維對象安全屬性定義，包括但不限于運維對象資產類別、IP 地址、運維服務協議、運維對象賬戶及口令等；
c) 支持運維對象分類管理。
1.1.3 網絡通信協議支持
產品應至少支持以下運維服務協議對運維對象進行網絡運維：
a) TELNET、SSH；
b) RDP、VNC。
告警：
1.告警內容
產品應依據告警策略對運維用戶的違規操作進行告警，告警信息應至少包括：
a) 操作時間；
b) 運維用戶；
c) 源地址；
d) 運維對象；
e) 運維服務協議；
f) 事件描述；
g) 觸發的策略等。
2.告警方式
產品應支持屏幕告警、短信或郵件告警方式進行告警。
3.遠程訪問加密
應采取措施保證網絡運維通道的數據傳輸保密性和完整性。
遠程管理安全：
遠程管理安全的測試方法與預期結果如下：
a) 測試方法：
1) 若產品采用網絡遠程方式管理，利用網絡抓包工具，截獲產品網絡管理數據，檢查管理數據是否非明文傳輸；
2) 設置遠程管理的主機地址范圍，分別在設定的地址范圍內、外嘗試對產品進行遠程管理；
3) 若產品形態為硬件，部署網管軟件，嘗試對產品運行狀態進行監測；
4) 若產品形態為硬件，檢查是否提供獨立的管理接口，運維業務接口上是否開放了管理服務；
5) 若產品形態為軟件，首先在一臺具有雙網卡的服務器上，然后部署被測產品，檢查是否支持管理接口與業務接口分離方式部署。
b) 預期結果：
1) 管理數據非明文傳輸；
2) 設定的地址范圍內主機能夠對被測產品進行遠程管理，范圍外的地址無法訪問；
3) 網管軟件能夠監測被測產品的CPU、內存、存儲的資源使用情況；
4) 產品具有獨立的管理接口，且運維業務接口上未開放管理服務；
5) 支持通過必要的配置，實現管理接口和運維業務接口分離。
c) 結果判定：
實際測評結果與相關預期結果一致則判定為符合，其他情況判定為不符合。
更多詳情請見附件。
所有評論僅代表網友意見，與本站立場無關。