主机测评调查迷你主机测评

主机是信息系统处理流程的起点和终点，是信息产生、存储和处理的载体，是应用服务程序的运行中心和数据处理中心。当前，针对主机的攻击事件层出不穷，攻击手段多种多样。从缓冲区溢出攻击、口令破解到恶意代码攻击；从用户身份伪造、非法提升权限到重要数据完整性破坏；从外部攻击到内部破坏；主机成为当前安全攻防过程中的关键环节。

主机安全旨在保证主机在数据存储和处理的保密性、完整性、可用性，它是保证信息系统安全的基础，直接影响信息系统的整体安全。主机安全通常由操作系统、数据库管理系统等自身安全配置、相关安全软件及设备等来实现。主机安全测评则主要依据相关安全要求通过访谈、现场检查、测试等方式对主机进行安全符合性评估，它是保障主机安全的重要方式之
一。

（1）《GB−计算机信息系统安全等级保护划分准则》：是我国信息安全测评的基础类标准之
一，描述了计算机信息系统安全保护技术能力等级的划分。

（2）《GB/T信息技术安全技术信息技术安全性评估准则》等同采用国际标准ISO/IEC：（简称CC），是评估信息技术产品和系统安全特性的基础标准。

（3）《GB/T−信息安全技术信息系统安全等级保护基本要求》（简称《基本要求》）和《GB/T−信息安全技术信息系统安全等级保护测评要求》（以下简称《测评要求》）是国家信息安全等级保护管理制度中针对信息系统安全开展等级测评工作的重要依据。

《基本要求》针对信息系统的不同安全等级对主机安全提出不同的基本要求。《测评要求》阐述了《基本要求》中各要求项的具体测评方法、步骤和判断依据等，用来评定各级信息系统的安全保护措施是否符合《基本要求》。依据《测评要求》，测评过程需要针对主机操作系统、虚拟化软件、数据库管理系统等测评对象，从身份鉴别、安全标记、访问控制等方面分别进行测评，主要框架如下图所示。

从测评对象角度来看，主机安全测评应覆盖主机上可能存在的主要系统软件，如操作系统、数据库管理系统、虚拟化软件等。

（1）操作系统直接与硬件设备打交道，处于软件系统的底层，是基础的软件系统。操作系统的安全性起着至关重要的基础作用，缺少操作系统的基础安全特性，主机的安全性就无从可谈。

（2）数据库系统是信息系统中用于存储和管理数据的软件系统，信息系统中的信息加工与处理通常都围绕数据库系统这个中心进行。数据库的安全程度直接影响着数据乃至整个信息系统安全保护措施的有效性。

（3）虚拟化软件是近年来随着云计算技术发展而应用越来越广泛的基础性主机软件，其安全性直接影响到基于云计算信息系统的总体安全性，但在当前的主机安全测评中往往被忽略。

（1）身份鉴别：从身份鉴别方式、口令复杂度、鉴别信息传输机密性、登录失败处理措施等方面对主机安全性进行测评。

（3）访问控制：从访问控制主客体、访问控制策略、访问控制粒度等方面对主机安全性进行测评。

（5）安全审计：从审计的策略、范围、内容、记录、进程保护、日志保护等方面对主机安全性进行测评。

（6）剩余信息保护：主要对鉴别信息、系统文件、目录和数据库记录等客体存储空间的剩余信息保护情况进行测评。

（1）访谈是指测评人员通过引导信息系统相关人员进行有目的的（有针对性的）交流以帮助测评人员理解、澄清或取得证据的过程。主机安全访谈主要由测评人员与被测评主机的系统管理员、安全管理员、安全审计员、主机使用人员等针对主机测评所要求的访谈内容进行询问和调查，并根据访谈收集的信息进行主机安全性的分析判断。

（2）检查是指测评人员通过测评对象（如制度文档、各类设备、安全配置）进行观察、查验、分析以帮助测评人员理解、澄清或取得证据的过程。主机安全现场检查主要是基于访谈调研情况，依据主机安全现场检查表单和作业指导书，对信息系统中的主机安全状况进行实地核查。其中，主要包括2个方面：一是对所提供的主机安全相关技术文档资料进行检查分析；二是针对主机安全配置要求，登录各个相关主机，运用主机操作指令和工具进行安全现状数据的提取和分析。对于大型业务系统而言，由于主机数量繁多，实际执行时由于时间和人力投入有限，可采用抽查的方式进行现场检查。

（3）测试是指测评人员使用预定的方法/工具使测评对象（各类设备或安全配置）产生特定的结果，以将运行结果与预期的结果进行比对的过程。主机安全测试主要包括主机漏洞扫描、主机安全基线检测和主机渗透测试等3种方式。主机漏洞扫描主要针对被测评的主机实现操作系统脆弱性扫描，重要文件、目录脆弱性扫描，浏览器脆弱性扫描，Web服务脆弱性扫描，其他通用服务脆弱性扫描，用户、组、注册表脆弱性扫描，文件共享脆弱性扫描，数据库脆弱性扫描等安全测试工作；主机安全基线检测主要对被测评的主机进行安全配置检查，检查主机操作系统、数据库、虚拟化软件等是否符合用户的安全基线要求；主机渗透测试完全模拟黑客可能使用的攻击技术和漏洞发现技术，对被测评的主机做深入的安全探测，以发现主机所存在的安全问题。

在上述测评方式的基础上，应开展综合的结果分析，即将访谈结果、现场检查结果与测试结果进行汇总，对获得的各类信息进行综合分析，通过各类测评结果之间的相互印证，判断结果的正确性，避免由于人为疏漏以及测试工具自身缺陷导致的测评结果错误。

（1）主机自身提供的检测工具：包括系统命令、系统自带工具等，如ping