Generalsecuritytestingmethodsforcriti電信終端產(chǎn)業(yè)協(xié)會發(fā)布I 1 1 1 1 2 3 3 3 6 7 本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔識別專利的責任。海諾基亞貝爾股份有限公司、聯(lián)想（北京）有1網(wǎng)絡關(guān)鍵設備安全通用檢測方法本文件適用于網(wǎng)絡關(guān)鍵設備的檢測，還可用于指凡是不注日期的引用文件，其最新版本（包括所有的修改單）GB40050-2021網(wǎng)絡關(guān)鍵設備安全GB/T39680-2020信息安全技術(shù)服務器安全技術(shù)要求和4縮略語ASCII：美國信息交換標準代碼（AmericanStandardCodeforInformationInterchange）HTTP：超文本傳輸協(xié)議（HyperTextTransferProtocIPv4：互聯(lián)網(wǎng)通信協(xié)議第四版（InternetProIPv6：互聯(lián)網(wǎng)通信協(xié)議第六版（InternetProMAC：媒體訪問控制（MediaAccessControl）MD5：消息摘要算法（MessageDigestAlgorithmMNTP：網(wǎng)絡時間協(xié)議(NetworkTimeProtocol)SNMP：簡單網(wǎng)絡管理協(xié)議（SimpleNetworkManagementPro2TCP：傳輸控制協(xié)議(TransmissionControlProUDP：用戶數(shù)據(jù)報協(xié)議(UserDatagramProtocoWEB：全球廣域網(wǎng)（WorldWideWeb）于連接數(shù)據(jù)模擬測試儀與被測設備，實現(xiàn)二者之間網(wǎng)絡數(shù)據(jù)或工業(yè)控制數(shù)據(jù)的互通。32)檢查設備的主要部件是否具備唯一性標識，主要部應對預裝軟件、補丁包/升級包的不同版本進行唯一2)軟件唯一性標識可以是分配的唯一版本號、軟件哈希值等標識信息中的一個4網(wǎng)絡關(guān)鍵設備整機應支持主備切換功能或關(guān)鍵部件應支持冗余功能。網(wǎng)絡關(guān)鍵設備應至少通過設備冗余和自動切換功能（整機注：路由器、交換機常見的支持冗余功能的關(guān)鍵部件：主控板卡、交換網(wǎng)板、電源模塊、風扇模塊等。服務器常3)查看數(shù)據(jù)流量或輸入輸出控制是否自動切換到備用設備設備冗余和自動切換功能（部件56典型的漏洞掃描方式包括系統(tǒng)漏洞掃描、WEB應用漏洞掃描等，掃描應覆蓋具有網(wǎng)絡通信功能利用系統(tǒng)漏洞掃描工具通過具有網(wǎng)絡通信功能的各類接口分別對被測設備系統(tǒng)進行掃描），），72)廠商提供具有管理員權(quán)限的賬號，用于登錄設使用兩個不同的惡意程序掃描工具對被測設備預裝軟件、補丁包/升級包進行掃描，查看是否3)廠商說明中應明確不存在未聲明的2)被測設備不存在未聲明的功能和訪問接口（含遠程8更新操作安全功能安全要求見GB40050-20215.4c）。更新操作，實施更新操作的用戶需經(jīng)過二次鑒別，支持用戶選擇是否進行更新，對更新操作進行二次確認或9軟件更新防篡改功能安全要求見GB4002)修改廠商提供的預裝軟件更新包并嘗試更新，檢查是否可以完2)檢查更新過程中有無提示更新過程開2)具備更新過程開始提示信息和更新過1)i：若被測設備存在默認口令，則使用默認賬號口令安全——口令復雜度、口令顯示安全要求見GB40050-20215.5b）常見的口令字符類型示例：包含數(shù)字、小寫字母、大寫字母、標點符號、特殊符號中的至少兩類；常見的口服務器安全檢測方法參見GB/T39680-20206服務器安全檢測預期結(jié)果參見GB/T39680-20206查中的至少一項?？诹顝碗s度要求長度不少于8位，口令字符類型檢查要求至少包含2種不同類型字符，常見的字符類型包括數(shù)字、大小寫字母、特殊字注：常見的防范用戶鑒別信息猜解攻擊的安全策略或安全功能包括默認開啟口令復雜度檢查功能、限制連續(xù)的非應支持啟用安全策略或具備安全功能，以防止用戶登錄后會話空閑時間2）廠商提供所有身份鑒別信息安全存儲、安全傳1)按照廠商提供的說明材料生成用戶身途，應支持用戶關(guān)閉默認開啟的服務和對應2)設備運行于默認狀態(tài)，默認狀態(tài)為設備出廠設置時的與廠商提供的說明材料內(nèi)容一致、是否僅開啟必要的服務2)設備運行于默認狀態(tài)，默認狀態(tài)為設備出廠設置時的3)廠商提供設備非默認開放端口和服務對應關(guān)1）分別添加或使用不同權(quán)限等級的兩個用戶user1、user2；作；user2支持涉及設備安全的重要功能如補丁管理、固件管理、應提供日志信息本地存儲功能。應提供本地日志存儲空間耗盡處理）；記錄剩余存儲空間低于閾值的告警；如設備支持循環(huán)覆蓋，生了日志覆蓋，且應是最新產(chǎn)生的日志對最早產(chǎn)生的日志進行覆2）廠商提供具備對日志不同操作權(quán)限的賬號，并說明不注：網(wǎng)絡關(guān)鍵設備使用的常見的通信協(xié)議包括IPv4/IPv6、TCP、UDP等基礎通信協(xié)議，SNMP、SSH、HTTP等網(wǎng)絡管應與《3GPPTS33.117Catalogueofgeneralsecu“4.4.4Robustnessandfuzz配置被測設備，開啟時間同步功能（如NT），被測設備支持使用NTP或其他方式實現(xiàn)時廠商提供被測設備支持的所有協(xié)議以及不存在未聲明的私有協(xié)議的2)廠商提供說明材料，說明存儲在被測設備上的敏感數(shù)據(jù)類型及4)管理員權(quán)限，系統(tǒng)維護權(quán)限賬戶為授權(quán)賬戶可以刪除日志信3)授權(quán)賬戶可以成功刪除系統(tǒng)中存儲的配置文件，刪除前應支持對刪除操設計和開發(fā)環(huán)節(jié)風險識別安全要求見GB40050-20216.1a）。應在設備設計和開發(fā)環(huán)節(jié)識別安全風險，制定安注：設備設計和開發(fā)環(huán)節(jié)的常見安全風險包括開發(fā)環(huán)境的安全風險、第三方組件引入的安全風險、開發(fā)人員導致1)廠商提供說明材料，說明在設備設計和開發(fā)環(huán)第三方組件引入的安全風險、開發(fā)人員導致的安設備安全設計和開發(fā)操作規(guī)程安全要求見GB40050-20216.1b）。應建立設備安全設計和開發(fā)操作規(guī)程，保障安全策略落實到設計和開發(fā)的整個過程。配置管理及變更安全要求見GB40050-20216.1c）。2)確認已發(fā)生的變更情況，查看廠商提供的3)廠商提供防范第三方關(guān)鍵部件、固件或軟件可能引入的安全風設備安全測試安全要求見GB40050-20216.1g）。安全缺陷與漏洞的修復和補救安全要求見GB40050-20216.1h）。應對已發(fā)現(xiàn)的安全缺陷、漏洞等安全問題進行修復，或提供補生產(chǎn)和交付環(huán)節(jié)風險識別安全要求見GB40050-20216.2a）。應在設備生產(chǎn)和交付環(huán)節(jié)識別安全風險，制定安注：生產(chǎn)和交付環(huán)節(jié)的常見安全風險包括自制或采購的組件被篡改、偽造等風險，生產(chǎn)環(huán)境存在的安全風險、設1)廠商提供說明材料，說明在設備生產(chǎn)和交付環(huán)1)說明材料中明確體現(xiàn)了設備在生產(chǎn)和交付環(huán)節(jié)的主要安全風險，自制或采購的組件被篡1)應建立并實施規(guī)范的設備生產(chǎn)流程，2)廠商提供說明材料，說明已采取措施防范自制或采購的組件被篡改、偽4)廠商提供為用戶提供驗證所交付設備完整性的工具或方1)查看廠商提供的說明材料，確認是否4)查看廠商提供的為用戶提供驗證所交付設備完整性的3)廠商留存了準確一致的預裝軟件安裝前的完1)廠商提供的設備服務與默認端口號的映射關(guān)系說明材料明確描述默認開放的端口信息及信的私有協(xié)議并說明其用途，確認是否說明私有協(xié)議不存在所聲明范圍之外的用途。2)廠商在交付前發(fā)現(xiàn)的漏洞具備補救措漏洞補救措施可以是漏洞修復補丁、升級包、技術(shù)方1)廠商提供說明材料，說明在運行環(huán)節(jié)存在2)廠商提供說明材料，說明對設備進行維護時引入的安全風險及相應1)說明材料中明確體現(xiàn)了設備在運行環(huán)節(jié)的主要2)說明材料中明確體現(xiàn)了對設備進行維護時引入的主要安全風險，并且明確相應的安全策安全事件的應急響應安全要求見GB40050-20216.3b）。應建立并執(zhí)行針對設備安全事件的應急響應機制和流程，并為應急處置配備相應的資源。1)查看廠商提供的說明材料，確認是否建立針對漏洞補救措施可以是漏洞修復補丁、升級包、技術(shù)方補丁包/升級包的完整性、來源真實性進行驗證安全要求見GB40050-20216.3f）。應為用戶提供對補丁包/升級包的完整性、來源真實性進行驗1)廠商提供說明材料，說明為用戶提供的對補丁包/升級包的完整性、1)廠商提供說明材料，說明為用戶提供的對補丁包/升級包的完整性、1)檢查廠商提供的說明材料，確認是否包含為用戶提供的對補丁包/升1)說明材料中明確包含為用戶提供的對補丁包/升級包的完整性、來源1)應為用戶提供對廢棄（或退役）設備中關(guān)鍵部3)對于維修后再銷售