專利名稱：一種閉環(huán)式信息系統(tǒng)安全等級測評工具的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種安全等級測評工具，特別涉及一種用于計算機信息安全領(lǐng)域，信息系統(tǒng)安全自動化測評的閉環(huán)式信息系統(tǒng)安全等級測評工具。
背景技術(shù)：
隨著信息技術(shù)的迅猛發(fā)展和廣泛應(yīng)用，網(wǎng)絡(luò)與信息系統(tǒng)的基礎(chǔ)性、全局性作用日益增強，、言息網(wǎng)絡(luò)已成為國家和社會發(fā)展新的重要戰(zhàn)略資源。黨中央、國務(wù)院始終高度重視信息安全問題，明確指出信息安全保障工作要"實行信息安全等級保護"，提高我國計算機信息系統(tǒng)安全保護水平，以確保社會政治穩(wěn)定和經(jīng)濟建設(shè)的順利進行。
作為信息安全等級保護工作承上啟下的關(guān)鍵環(huán)節(jié)之一，安全等級測評承擔著評判信息系統(tǒng)安全現(xiàn)狀是否達標的重要任務(wù)，是相關(guān)單位開展等級保護建設(shè)、整改和監(jiān)督檢查的重要參照。同時，安全等級測評也是一項涉及范圍廣、知識密集、工作強度大的專業(yè)技術(shù)活動。因此，目前迫切需要一種自動化的測評工具系統(tǒng)來規(guī)范和簡化等級測評活動，保證安全等級測評的質(zhì)量和效果。
在全國開展的信息安全等級保護試點工作的經(jīng)驗表明，自動化的安全等級測評工具是確保安全等級測評活動在全國范圍內(nèi)展開的基礎(chǔ)和保障。因此，專用安全等級測評工具必將成為信息系統(tǒng)的運營使用單位、信息安全服務(wù)機構(gòu)、信息安全測評機構(gòu)、重要行業(yè)的主管部門以及國家有關(guān)信息安全監(jiān)管部門的必備工具，有效的規(guī)范和統(tǒng)一等級測評活動，是信息系統(tǒng)安全等級保護工作不可或缺的保障之一。 ，
從技術(shù)角度看，安全等級測評是基于《信息安全技術(shù)信息系統(tǒng)安全等級
保護基本要求》(GB/T 22239)的符合性測評，技術(shù)指標涉及主機操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、網(wǎng)絡(luò)操作系統(tǒng)和應(yīng)用軟件等。從實施角度看，安全等級測評包括符合性檢查、結(jié)果數(shù)據(jù)收集和綜合分析等步驟；同時，測評的目標設(shè)備類型復(fù)雜，包括承載應(yīng)用服務(wù)的服務(wù)器以及負責數(shù)據(jù)轉(zhuǎn)發(fā)和訪問控制的網(wǎng)絡(luò)互聯(lián)與安全設(shè)備等。
目前，國內(nèi)的信息系統(tǒng)安全測評活動以風險評估為主，由測評人員根據(jù)經(jīng)驗完成手工配置核査，并結(jié)合漏洞掃描和滲透測試的結(jié)果進行人工綜合分析獲得測評結(jié)果。人工方式對專業(yè)技術(shù)人員的嚴重依賴導致測評效率較低且難以大
規(guī)模推廣；而漏洞掃描工具由于采用了單點接入以及詢問-應(yīng)答的掃描模式，僅提供單鏈路工作模式，適用于能夠反饋掃描器"詢問"的信息系統(tǒng)/部件，不適用于提供數(shù)據(jù)轉(zhuǎn)發(fā)服務(wù)的信息/部件(如網(wǎng)絡(luò)互連設(shè)備)。國外的安全組織對信息系統(tǒng)安全測評自動化的確究開始的比較早，但是成果主要集中在對結(jié)果數(shù)據(jù)的分析方法上，對原始數(shù)據(jù)的收集還是依賴調(diào)查表格
發(fā)明內(nèi)容
，
本發(fā)明的目的在于提供一種閉環(huán)式信息系統(tǒng)安全等級測評工具，克服現(xiàn)有工具系統(tǒng)單鏈路工作模式導致的局限性，支持針對復(fù)雜信息系統(tǒng)的等級測評。
為實現(xiàn)上述發(fā)明目的，本發(fā)明所解決的技術(shù)問題可以采用以下技術(shù)方案來實現(xiàn)
一種閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，它包括一用于驅(qū)動所述測評工具牆塊對被測信息系統(tǒng)進行綜合分析與評價，從而得出安全等級測評結(jié)論的測評控制模塊；及一包含有各種工具模塊的測評工具模塊；
所述測評工具模塊上設(shè)置有測評驅(qū)動接口和結(jié)果收集接口 ，所述測評工具模塊通過測評驅(qū)動接口和結(jié)果收集接口與所述被測信息系統(tǒng)連接。
在本發(fā)明的一個實施例中，所述閉環(huán)式信息系統(tǒng)安全等級測評工具處于單鏈路直連工作模式時，所述測評工具模塊的測評驅(qū)動接口與被測信息系統(tǒng)的目標設(shè)備的對應(yīng)接口直接連接，通過所述測評驅(qū)動接口發(fā)送測評用例數(shù)據(jù)以及收集測評結(jié)果數(shù)據(jù)。
在本發(fā)明的一個實施例中，所述閉環(huán)式信息系統(tǒng)安全等級測評工具處于閉環(huán)工作模式時，所述測評工具模塊的測評驅(qū)動接口與結(jié)果收集接口分別連接到被測信息系統(tǒng)的兩側(cè)的邊界設(shè)備上，通過所述測評驅(qū)動接口發(fā)送測評用例數(shù)據(jù)，通過所述結(jié)果收集端口收集測評結(jié)果數(shù)據(jù)。在本發(fā)明的一個實施例中，所述測評控制模塊包括一用于驅(qū)動所述測評工具模塊中的工具模塊進行測評的測評管理模塊和一存儲測評所需的事實型知識和方法類知識并用于支持所述測評管理模塊完成測評決策的測評知識庫。
在本發(fā)明的一個實施例中，所述測評工具模塊包括但不限于信息收集器、安全漏洞掃描儀、滲透測試工具、網(wǎng)絡(luò)嗅探分析器、性能測試儀。
在本發(fā)明的一個實施例中，所述測評驅(qū)動接口為RJ-45以太網(wǎng)接口、 SC光纖接口或者802.1 lx無線接口其中之一或之間的組合。
在本發(fā)明的一個實施例中，所述結(jié)果收集接口為RJ-45以太網(wǎng)接口、 SC光纖接口或者802.11x無線接口'其中之一或之間的組合。
本發(fā)明的一種閉環(huán)式信息系統(tǒng)安全等級測評工具，所述測評工具模塊采用配備測評驅(qū)動接口和結(jié)果收集接口的雙接口設(shè)計，有效克服了己有工具系統(tǒng)在結(jié)果收集方面的局限，既實現(xiàn)閉環(huán)工作模式，又兼容常見的單鏈路直連工作模式支持針對復(fù)雜信息系統(tǒng)的等級測評，促進了信息系統(tǒng)安全等級測評的自動化和規(guī)范化，實現(xiàn)本發(fā)明的目的。


圖1為本發(fā)明的閉環(huán)式信息系統(tǒng)安全等級測評工具的結(jié)構(gòu)示意圖2為本發(fā)明的閉環(huán)式信m系統(tǒng)安全等級測評工具的單鏈路直連工作模式
的示意圖3為本發(fā)明的閉環(huán)式信息系統(tǒng)安全等級測評工具的閉環(huán)工作模式的示意圖； ^
圖4為本發(fā)明的閉環(huán)式信息系統(tǒng)安全等級測評工具的WEB服務(wù)器測評的示意圖5為本發(fā)明的閉環(huán)式信息系統(tǒng)安全等級測評工具的步進式測評的示意圖。
具體實施方式
'
為了使本發(fā)明實現(xiàn)的技術(shù)手段、創(chuàng)作特征、達成目的與功效易于明白了解，下面結(jié)合具體圖示，進一步闡述本發(fā)明。
5如圖l所示， 一種閉環(huán)式信息系統(tǒng)安全等級測評工具l，它包括 一測評控制模塊10及一測評工具模塊20;測評控制模塊10包括一測評管理模塊11和一測評知識庫12;測評工具模塊20上設(shè)置有測評驅(qū)動接口 21和結(jié)果收集接
口 22，測評工具模塊20通過測評驅(qū)動接口 21和結(jié)果收集接口 22與被測信息系統(tǒng)3連接。
測評控制模塊10為基于X86架構(gòu)的工控機系統(tǒng)，運行測評管理模塊11和測評知識庫12;測評管理模塊11是閉環(huán)式信息系統(tǒng)安全等級測評工具1的測評邏輯驅(qū)動部件。在實施測評時，測評管理模塊11在測評知識庫12的支持下完成測評決策(如測評對象及指標選擇、測評強度的確定、測評方法與工具的選擇等)，生成測評用例并通過測評驅(qū)動端口21作用于被測信息系統(tǒng)3;測評用例執(zhí)行結(jié)束后，測評管理模塊11通過結(jié)果收集端口22 (或測評驅(qū)動端口21)收集結(jié)果數(shù)據(jù)，并基于測評知識庫12提供的算法進行綜合分析與評價，從而得出信息系統(tǒng)安全等級測評結(jié)論。
測評知識庫12存儲了等級測評自動化所需的事實型知識和方法類知識；其中，事實型知識包含測評對象知識、模板類知識和作業(yè)指導書等，方法類知識包括對象選擇方法、測評結(jié)論評價方法等。
測評工具模塊20為采用開放架構(gòu)設(shè)計的測評工具集合，支持基于軟件接口的輕量模塊安裝和基于硬件接口的標準組件安裝，分別支持市售主流測評工具以及專用測評工具的集成；在本發(fā)明中，測評工具模塊20集成的測評工具包括但不限于信息收集器、安全漏洞掃描儀、滲透測試工具、網(wǎng)絡(luò)嗅探分析器、性能測試儀等。
在本發(fā)明Z閉環(huán)式信息系統(tǒng)安全等級測評工具1分采用雙接口設(shè)計，通過配備測評驅(qū)動接口 21和結(jié)果收集接口 22來實現(xiàn)閉環(huán)工作模式，支持針對業(yè)務(wù)模式為數(shù)據(jù)轉(zhuǎn)發(fā)的信息系統(tǒng)實施的安全測評，或者針對縱深防御路徑實施的步進式安全測評，同時兼容常見的單鏈路直連工作模式。
如圖2所示，在本發(fā)明的中，閉環(huán)式信息系統(tǒng)安全等級測評工具1處于單鏈路直連工作模式時，單鏈路直連工作模式主要應(yīng)用于針對業(yè)務(wù)模式為挑戰(zhàn)-應(yīng)答的信息系統(tǒng)實施的安全測i,;測評工具模塊20的測評驅(qū)動接口 21與被測信息系統(tǒng)3的目標設(shè)備的對應(yīng)接口直接連接，通過測評驅(qū)動接口 21發(fā)送測評用例數(shù)據(jù)以及收集測評結(jié)果數(shù)據(jù)。
如圖3所示，在本發(fā)明中，'閉環(huán)式信息系統(tǒng)安全等級測評工具1處于閉環(huán) 工作模式時，閉環(huán)工作模式應(yīng)用于針對業(yè)務(wù)模式為數(shù)據(jù)轉(zhuǎn)發(fā)的信息系統(tǒng)實施的 安全測評，或者針對縱深防御路徑實施的步進式安全測評；測評工具模塊20 的測評驅(qū)動接口 21與結(jié)果收集接口 22分別連接到被測信息系統(tǒng)3的兩側(cè)的邊 界設(shè)備上，通過測評驅(qū)動接口21發(fā)送測評用例數(shù)據(jù)，通過結(jié)果收集端口22收 集測評結(jié)果數(shù)據(jù)。
鑒于被測信息系統(tǒng)3網(wǎng)絡(luò)傳輸介質(zhì)的復(fù)雜性，本發(fā)明通過集成不同的網(wǎng)絡(luò) 接口模塊來實現(xiàn)工具系統(tǒng)對以太網(wǎng)絡(luò)、光纖網(wǎng)絡(luò)和無線網(wǎng)絡(luò)的支持，保證工具 系統(tǒng)的兼容性和使用范圍；在本發(fā)明中，測評驅(qū)動接口 21為RJ-45以太網(wǎng)接 口、 SC光纖接口或者802.11x無線接口其中之一或之間的組合；在本發(fā)明中， 結(jié)果收集接口 22為RJ-45以太網(wǎng)接口、 SC光纖接口或者802.11x無線接口其 中之一或之間的組合。
本發(fā)明的閉環(huán)式信息系統(tǒng)安全等級測評工具1為不同安全保護等級的信 息系統(tǒng)提供標準符合性測評。典型的測評場景如圖4和圖5所示。
如圖4所示，針對WEB服務(wù)器的安全測評，閉環(huán)式信息系統(tǒng)安全等級測 評工具1工作在單鏈路直連方式下，連接方法如圖中所示，閉環(huán)式信息系統(tǒng)安 全等級測評工具1的測評驅(qū)動接口 21并聯(lián)接入防火墻的外網(wǎng)接口；在該工作 模式中，測評人員完成測評參數(shù)初始化后，后續(xù)的測試步驟將在測評管理模塊 11和測評知識庫12的控制下自'動執(zhí)行，測評用例的激勵數(shù)據(jù)的發(fā)送和反饋數(shù) 據(jù)的收集由測評驅(qū)動接口 21獨立完成，收集的測評結(jié)果由測評管理模塊11調(diào) 用測評知識庫12中的算法進行分析和計算，形成測評結(jié)論。
如圖5所示，針對從防火墻到核心服務(wù)器的縱深防御路徑的安全性測評， 閉環(huán)式信息系統(tǒng)安全等級測評工具1工作在閉環(huán)工作模式下，通過將測評驅(qū)動 接口 21并聯(lián)接入防火墻外網(wǎng)口，并分別將結(jié)果收集端口 22并聯(lián)接入防火墻內(nèi) 側(cè)接口以及核心服務(wù)器前端相連接，實現(xiàn)設(shè)備組合的步進式安全測評；在該工 作模式中，測評人員完成測評參數(shù)初始化后，后續(xù)的測試步驟將在測評管理模 塊11和測評知識庫12的控制下自動執(zhí)行，測評管理模塊11首先生成測評用 例，并通過測評驅(qū)動接口 21發(fā)&激勵數(shù)據(jù)；通過結(jié)果收集接口 22接收作用于被測信息系統(tǒng)3 (或部件)后生成的反饋數(shù)據(jù)；調(diào)用測評知識庫12中的算法對 相關(guān)數(shù)據(jù)進行分析和計算，形成測評結(jié)論。
以上顯示和描述了本發(fā)明的基本原理和主要特征和本發(fā)明的優(yōu)點。本行業(yè) 的技術(shù)人員應(yīng)該了解，本發(fā)明不受上述實施例的限制，上述實施例和說明書中 描述的只是說明本發(fā)明的原理，在不脫離本發(fā)明精神和范圍的前提下，本發(fā)明 還會有各種變化和改進，這些變化和改進都落入要求保護的本發(fā)明范圍內(nèi)，本 發(fā)明要求保護范圍由所附的權(quán)利要求書及其等效物界定。
權(quán)利要求
1、一種閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，它包括一用于驅(qū)動所述測評工具模塊對被測信息系統(tǒng)進行綜合分析與評價，從而得出安全等級測評結(jié)論的測評控制模塊；及一包含有各種工具模塊的測評工具模塊；所述測評工具模塊上設(shè)置有測評驅(qū)動接口和結(jié)果收集接口，所述測評工具模塊通過測評驅(qū)動接口和結(jié)果收集接口與所述被測信息系統(tǒng)連接。
2、 如權(quán)利要求1所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述閉環(huán)式信息系統(tǒng)安全等級測評工具處于單鏈路直連工作模式時，所述測評工具模塊的測評驅(qū)動接口與被測信息系統(tǒng)的目標設(shè)備的對應(yīng)接口直接連接，通過所述測評驅(qū)動接口發(fā)送測評用例數(shù)據(jù)以及收集測評結(jié)果數(shù)據(jù)。
3、 如權(quán)利要求l所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述閉環(huán)式信息系統(tǒng)安全等級測評工具處于閉環(huán)工作模式時，所述測評工具模塊的測評驅(qū)動接口與結(jié)果收集接口分別連接到被測信息系統(tǒng)的兩側(cè)的邊界設(shè)備上，通過所述測評驅(qū)動接口發(fā)送測評用例數(shù)據(jù)，通過所述結(jié)果收集端口收集測評結(jié)果數(shù)據(jù)。'
4、 如權(quán)利要求l所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述測評控制模塊包括一用于驅(qū)動所述測評工具模塊中的工具模塊進行測評的測評管理模塊和一存儲測評所需的事實型知識和方法類知識并用于支持所述測評管理模塊完成測評決策的測評知識庫。
5、 如權(quán)利要求l所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述測評工具模塊包括但不限于信息收集器、安全漏洞掃描儀、滲透測試工具、網(wǎng)絡(luò)嗅探分析器、性能測試儀。
6、 如權(quán)利要求l所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述測評驅(qū)動接口為RJ-45以太網(wǎng)接口 、 SC光纖接口或者802.11x無線接口其中之一或之間的組合。
7、 如權(quán)利要求l所述的閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，所述結(jié)果收集接口為RJ-45以太網(wǎng)接口 、 SC光纖接口或者802.1 lx無線接口其中之一或之間的組合。
全文摘要
本發(fā)明提供一種閉環(huán)式信息系統(tǒng)安全等級測評工具，其特征在于，它包括一測評控制模塊；及一測評工具模塊；所述測評工具模塊上設(shè)置有測評驅(qū)動接口和結(jié)果收集接口，所述測評工具模塊通過測評驅(qū)動接口和結(jié)果收集接口與所述被測信息系統(tǒng)連接；所述測評工具模塊采用配備測評驅(qū)動接口和結(jié)果收集接口的雙接口設(shè)計，有效克服了已有工具系統(tǒng)在結(jié)果收集方面的局限，既實現(xiàn)閉環(huán)工作模式，又兼容常見的單鏈路直連工作模式支持針對復(fù)雜信息系統(tǒng)的等級測評，促進了信息系統(tǒng)安全等級測評的自動化和規(guī)范化，實現(xiàn)本發(fā)明的目的。
文檔編號H04L12/24GK101562535SQ20091005178
公開日2009年10月21日 申請日期2009年5月22日 優(yōu)先權(quán)日2009年5月22日
發(fā)明者朱建平, 明 李, 波 金 申請人:公安部第三研究所