信息安全技術(shù) 網(wǎng)站身份和系統(tǒng)安全要求與評估方法-編制說明

任務(wù)來源《信息安全技術(shù)網(wǎng)站可信評估指標(biāo)》是國家標(biāo)準(zhǔn)化管理委員會(huì)2013年下達(dá)的信息安全國家標(biāo)準(zhǔn)制定項(xiàng)目，國標(biāo)計(jì)劃號為：20130332-T-469，由中國電子技術(shù)標(biāo)準(zhǔn)化研究院主要負(fù)責(zé)起草，北龍中網(wǎng)(北京)、上海格爾科技發(fā)展有限公司、百度在線、奇虎科技、金山網(wǎng)絡(luò)、騰訊科技、北京天威誠信、上海CA、河南CA、CFCA、北京CA、中國信息安全認(rèn)證中心、無線網(wǎng)絡(luò)安全技術(shù)國家工程實(shí)驗(yàn)室、四川大學(xué)計(jì)算機(jī)學(xué)院網(wǎng)絡(luò)與可信計(jì)算研究所等單位共同參與該標(biāo)準(zhǔn)的起草工作。編制原則近年來，互聯(lián)網(wǎng)應(yīng)用的迅速普及，各種網(wǎng)站得到發(fā)展，但由此產(chǎn)生的網(wǎng)站信任問題也逐漸突出和嚴(yán)重。大量的假冒網(wǎng)站和釣魚網(wǎng)站的出現(xiàn)已嚴(yán)重影響了我國網(wǎng)站的健康發(fā)展，很多的網(wǎng)民被假冒網(wǎng)站和釣魚網(wǎng)站欺詐過，每年造成巨大的經(jīng)濟(jì)損失，這引發(fā)了互聯(lián)網(wǎng)的誠信危機(jī)，也對社會(huì)和經(jīng)濟(jì)的發(fā)展造成了一定負(fù)面的影響。本標(biāo)準(zhǔn)規(guī)定網(wǎng)站可信評估指標(biāo)與評估方法，使得網(wǎng)站標(biāo)識頒發(fā)機(jī)構(gòu)可以評估網(wǎng)站的身份真實(shí)性與系統(tǒng)安全，互聯(lián)網(wǎng)各終端軟件廠商（瀏覽器、搜索引擎、微博、安全軟件和即時(shí)通訊軟件等）可查詢標(biāo)識頒發(fā)機(jī)構(gòu)驗(yàn)證的網(wǎng)站標(biāo)識信息，并以適當(dāng)?shù)姆绞秸故窘o網(wǎng)民，以實(shí)現(xiàn)對網(wǎng)民上網(wǎng)行為的保護(hù)，幫助網(wǎng)民有效甄別真假網(wǎng)站，凈化網(wǎng)絡(luò)環(huán)境。因此本標(biāo)準(zhǔn)制定時(shí)遵循以下原則：特點(diǎn)突出：重點(diǎn)從網(wǎng)站面臨的身份真實(shí)性以及遭受的典型安全威脅出發(fā)，提出網(wǎng)站身份以及系統(tǒng)安全相關(guān)評估指標(biāo)、防護(hù)技術(shù)要求等。綜合防護(hù)：從身份和系統(tǒng)安全的物理層、網(wǎng)絡(luò)層、主機(jī)層、數(shù)據(jù)層、網(wǎng)站層、攻擊防范、安全監(jiān)控與應(yīng)急響應(yīng)等全方位提出安全技術(shù)要求。適度控制：從網(wǎng)站的類別、訪問量、注冊用戶數(shù)以及業(yè)務(wù)重要度出發(fā)，針對有不同安全防護(hù)需求的網(wǎng)站規(guī)定了基本、增強(qiáng)兩級安全保護(hù)強(qiáng)度的技術(shù)要求。評估指導(dǎo)：給出符合網(wǎng)站建設(shè)、運(yùn)維需求的評估指導(dǎo)，評估對系統(tǒng)建設(shè)方、開發(fā)方、運(yùn)維方的具體落實(shí)情況。三、主要工作過程1、2012年，承擔(dān)了全國信安標(biāo)委信息安全專項(xiàng)預(yù)編制項(xiàng)目《網(wǎng)站可信評估指標(biāo)》，調(diào)研國際網(wǎng)站可信評估指標(biāo)與國內(nèi)網(wǎng)絡(luò)可信評估實(shí)際應(yīng)用需求和管理需求，調(diào)研市場上已有的網(wǎng)站可信核驗(yàn)服務(wù)等。2、2012年2月，中國電子技術(shù)標(biāo)準(zhǔn)化研究院、北龍中網(wǎng)和上海格爾、百度在線、奇虎360、金山網(wǎng)絡(luò)、騰訊科技、北京天威誠信、上海CA、河南CA、CFCA、北京CA等共同組成標(biāo)準(zhǔn)編制組，召開該標(biāo)準(zhǔn)編制啟動(dòng)工作會(huì)議。會(huì)上，對標(biāo)準(zhǔn)編制的組織形式及任務(wù)分工進(jìn)行了安排。3、2012年3月至8月，標(biāo)準(zhǔn)編制組完成了國家標(biāo)準(zhǔn)《信息安全技術(shù)網(wǎng)站可信評估指標(biāo)》（草案）。4、2012年8月30-31日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項(xiàng)目組工作會(huì)議，對草案文本進(jìn)行了討論。5、2012年9月，編制組根據(jù)意見反饋情況，對草案文本進(jìn)行了修改完善。6、2012年9月19日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)試點(diǎn)工作部署研討會(huì)，討論和布置試點(diǎn)工作。7、于2013年1月17日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項(xiàng)目組工作會(huì)議，進(jìn)一步完善了標(biāo)準(zhǔn)文本。8、2013年6月6日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項(xiàng)目組工作會(huì)議，討論標(biāo)準(zhǔn)草案，并明確下階段工作任務(wù)。9、2014年8月7日在西安召開網(wǎng)站可信標(biāo)準(zhǔn)項(xiàng)目組工作會(huì)議，來自陜西省網(wǎng)絡(luò)與信息安全測評中心相關(guān)領(lǐng)導(dǎo)、專家及產(chǎn)業(yè)界代表等20余人參加了此次會(huì)議，進(jìn)一步完善了標(biāo)準(zhǔn)文本。10、2015年7月28日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項(xiàng)目組工作會(huì)議，討論標(biāo)準(zhǔn)草案，并明確下階段工作任務(wù)。11、2016年5月11日標(biāo)準(zhǔn)研制工作組在北京組織召開了標(biāo)準(zhǔn)草案專家討論會(huì)，經(jīng)過專家討論，進(jìn)一步完善了標(biāo)準(zhǔn)文本。12、2016年12月22日信安標(biāo)委WG7工作組在北京組織召開了標(biāo)準(zhǔn)草案評審會(huì)，經(jīng)過專家質(zhì)詢和討論，通過評審。13、2016年12月至今，對文本進(jìn)行了修改完善，形成了征求意見稿。四、標(biāo)準(zhǔn)的主要內(nèi)容本標(biāo)準(zhǔn)規(guī)定了網(wǎng)站身份和系統(tǒng)安全評估指標(biāo)、評估要求與評估方法，包括網(wǎng)站基本級要求、網(wǎng)站增強(qiáng)級要求、評估方法、評估結(jié)果展示和撤銷等內(nèi)容。本標(biāo)準(zhǔn)適用于國內(nèi)所有合法接入的互聯(lián)網(wǎng)網(wǎng)站。本標(biāo)準(zhǔn)主要框架如下：前言 引言 1范圍 2規(guī)范性引用文件 3術(shù)語和定義 4縮略語 5評估指標(biāo) 6網(wǎng)站基本級要求 6.1身份要求 6.2系統(tǒng)安全要求 7網(wǎng)站增強(qiáng)級要求 7.1身份要求 7.2系統(tǒng)安全要求 8網(wǎng)站基本級評估方法 8.1身份真實(shí)性評估 8.2系統(tǒng)安全評估 9網(wǎng)站增強(qiáng)級評估方法 9.1身份真實(shí)性評估 9.2系統(tǒng)安全評估 10評估結(jié)果展示 11評估結(jié)果撤銷 附錄A（資料性附錄）評估流程示例 A.1評估準(zhǔn)備 A.2評估階段 網(wǎng)站可信評估指標(biāo)可分為網(wǎng)站身份層、系統(tǒng)安全層。網(wǎng)站身份評估指標(biāo)包括網(wǎng)站名稱、網(wǎng)站IP地址、域名所有權(quán)屬、網(wǎng)站經(jīng)營者身份證明信息等。網(wǎng)站系統(tǒng)安全評估指標(biāo)包括Web網(wǎng)站安全、數(shù)據(jù)安全、主機(jī)安全、網(wǎng)絡(luò)邊界安全、物理安全、綜合防護(hù)等。根據(jù)上述評估指標(biāo)，需要針對構(gòu)成網(wǎng)站系統(tǒng)的各層面提出安全要求，并采取相應(yīng)的技術(shù)措施。標(biāo)準(zhǔn)中提出了網(wǎng)站身份要求，為了應(yīng)對日益嚴(yán)峻的流量劫持、數(shù)據(jù)泄漏、釣魚欺詐等安全問題，網(wǎng)站經(jīng)營者應(yīng)向核驗(yàn)機(jī)構(gòu)證明其真實(shí)身份，應(yīng)提供的信息包括但不限于：網(wǎng)站名稱、ICP備案信息、網(wǎng)站IP地址、域名所有權(quán)屬、組織機(jī)構(gòu)代碼、工商登記信息、身份證明信息等。由于構(gòu)成網(wǎng)站系統(tǒng)的物理層、網(wǎng)絡(luò)層、主機(jī)層、數(shù)據(jù)層、網(wǎng)站層中的任何一層存在脆弱性，都可能導(dǎo)致網(wǎng)站出現(xiàn)內(nèi)容篡改、服務(wù)中斷、信息泄露及惡意控制等安全風(fēng)險(xiǎn)。為了實(shí)現(xiàn)上述安全目標(biāo)，需要針對構(gòu)成網(wǎng)站系統(tǒng)的各層面存在的脆弱性提出安全要求，并采取相應(yīng)的技術(shù)措施，包括木馬掃描、安全監(jiān)控、應(yīng)急響應(yīng)等。本標(biāo)準(zhǔn)中的網(wǎng)站身份和系統(tǒng)安全評估可劃分為基本級、增強(qiáng)級兩個(gè)等級。各評估單位可依據(jù)網(wǎng)站的類別、訪問量、注冊用戶數(shù)和業(yè)務(wù)重要度選擇相應(yīng)級別的要求進(jìn)行評估，見表1。其中，滿足任意一項(xiàng)級別選擇指標(biāo)要求的網(wǎng)站均宜選擇增強(qiáng)級要求與評估。網(wǎng)站評估級別選擇方法級別選擇因素級別選擇指標(biāo)適用的評估級別類別交易類網(wǎng)站是增強(qiáng)級否基本級訪問量有效日均訪問次數(shù)≥20萬PV是增強(qiáng)級否基本級注冊用戶數(shù)累計(jì)注冊用戶總數(shù)≥50萬是增強(qiáng)級否基本級業(yè)務(wù)重要度網(wǎng)站受到破壞后，會(huì)對社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害或者對國家安全造成損害；或按照GB/T22240要求安全保護(hù)等級級別定為三級以上(含三級)的網(wǎng)站是增強(qiáng)級否基本級有效日均訪問次數(shù)應(yīng)避免重復(fù)統(tǒng)計(jì)同一訪問源在短時(shí)間內(nèi)進(jìn)行的多次訪問。標(biāo)準(zhǔn)中基本級及增強(qiáng)級系統(tǒng)安全技術(shù)要求的區(qū)別如下表2所示：基本級及增強(qiáng)級系統(tǒng)安全技術(shù)要求的區(qū)別類一般級增強(qiáng)級運(yùn)行支撐無分開部署要求網(wǎng)站系統(tǒng)的Web應(yīng)用程序與數(shù)據(jù)庫系統(tǒng)應(yīng)部署在不同的獨(dú)立物理服務(wù)器或虛擬服務(wù)器上無負(fù)載均衡要求保障負(fù)載均衡需求物理安全符合GB/T22239-2008中第二級基本要求的物理安全要求符合GB/T22239-2008中第三級基本要求的物理安全要求網(wǎng)絡(luò)邊界安全無地址綁定要求應(yīng)僅允許指定的IP地址訪問網(wǎng)站服務(wù)器提供的內(nèi)容管理、系統(tǒng)管理等服務(wù)和端口。服務(wù)器安全無高強(qiáng)度鑒別方式要求對遠(yuǎn)程管理的系統(tǒng)管理員采用數(shù)字證書等高強(qiáng)度鑒別方式管理終端安全無接入身份認(rèn)證要求采取技術(shù)措施對接入的管理終端進(jìn)行身份認(rèn)證，身份認(rèn)證通過后方可接入和使用網(wǎng)絡(luò)資源；Web應(yīng)用安全提供用戶名/口令身份鑒別身份鑒別功能要求高于一般級域名安全無解析監(jiān)控要求對域名解析的正確性進(jìn)行監(jiān)控內(nèi)容安全與數(shù)據(jù)安全無內(nèi)容過濾要求可提供技術(shù)手段輔助進(jìn)行網(wǎng)站發(fā)布內(nèi)容的過濾定期備份要求除一般級要求外，要求對關(guān)鍵業(yè)務(wù)數(shù)據(jù)提供異地備份功能，并實(shí)施備份恢復(fù)演練攻擊防范無培訓(xùn)要求加強(qiáng)物理安全、人員意識教育和培訓(xùn)以及制定安全策略、事件響應(yīng)計(jì)劃等控制措施，防御社會(huì)工程攻擊安全監(jiān)控與應(yīng)急響應(yīng)利用網(wǎng)站狀態(tài)監(jiān)控系統(tǒng)或人工監(jiān)控的方式，監(jiān)測網(wǎng)站的運(yùn)行狀態(tài)，對網(wǎng)站異常狀況進(jìn)行報(bào)警和處置對網(wǎng)站異常狀況進(jìn)行實(shí)時(shí)報(bào)警和處置利用木馬監(jiān)控系統(tǒng)或第三方安全服務(wù)，能及時(shí)發(fā)現(xiàn)網(wǎng)站掛馬事件并迅速處理。對網(wǎng)站掛馬情況進(jìn)行實(shí)時(shí)監(jiān)測和處置利用網(wǎng)頁防篡改系統(tǒng)、人工方式或第三方安全服務(wù)，能及時(shí)發(fā)現(xiàn)網(wǎng)站篡改事件并迅速處理。對網(wǎng)站篡改事件進(jìn)行實(shí)時(shí)監(jiān)控和處置五、與相關(guān)法律法規(guī)及國家有關(guān)規(guī)定、國內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)提出了一個(gè)網(wǎng)站身份和系統(tǒng)安全的評估指標(biāo)、評估要求與評估方法，規(guī)定了標(biāo)識頒發(fā)機(jī)構(gòu)在評估有關(guān)網(wǎng)站時(shí)應(yīng)遵循的評估標(biāo)準(zhǔn)，包括網(wǎng)站基本級要求、網(wǎng)站增強(qiáng)級要求、評估方法、評估結(jié)果展示和撤銷等內(nèi)容。本標(biāo)準(zhǔn)對于網(wǎng)站的評估項(xiàng)建立、評估流程、評估結(jié)果的展示等具有十分重要的參考意義，從而推動(dòng)網(wǎng)站信任體系的建立。重大分歧意見的處理經(jīng)過和依據(jù)詳見標(biāo)準(zhǔn)意見匯總處理表。國家標(biāo)準(zhǔn)作為強(qiáng)制性國家標(biāo)準(zhǔn)或推薦性國家標(biāo)準(zhǔn)的建議建議本標(biāo)準(zhǔn)作為推薦性國家標(biāo)準(zhǔn)發(fā)布實(shí)施。貫徹國家標(biāo)準(zhǔn)的要求和措施建議（包括組織措施、技術(shù)措施、過渡辦法等內(nèi)容）本標(biāo)準(zhǔn)主要用于通過標(biāo)準(zhǔn)化的形式將有關(guān)網(wǎng)站身份驗(yàn)證和系統(tǒng)安全等內(nèi)容進(jìn)行規(guī)范，有助于促進(jìn)和規(guī)范當(dāng)前國內(nèi)網(wǎng)站身份驗(yàn)證與系統(tǒng)安全工作的推進(jìn)和管理