信息安全技術(shù) 網(wǎng)站身份和系統(tǒng)安全要求與評估方法-編制說明

任務(wù)來源《信息安全技術(shù)網(wǎng)站可信評估指標(biāo)》是國家標(biāo)準(zhǔn)化管理委員會2013年下達的信息安全國家標(biāo)準(zhǔn)制定項目，國標(biāo)計劃號為：20130332-T-469，由中國電子技術(shù)標(biāo)準(zhǔn)化研究院主要負責(zé)起草，北龍中網(wǎng)(北京)、上海格爾科技發(fā)展有限公司、百度在線、奇虎科技、金山網(wǎng)絡(luò)、騰訊科技、北京天威誠信、上海CA、河南CA、CFCA、北京CA、中國信息安全認證中心、無線網(wǎng)絡(luò)安全技術(shù)國家工程實驗室、四川大學(xué)計算機學(xué)院網(wǎng)絡(luò)與可信計算研究所等單位共同參與該標(biāo)準(zhǔn)的起草工作。編制原則近年來，互聯(lián)網(wǎng)應(yīng)用的迅速普及，各種網(wǎng)站得到發(fā)展，但由此產(chǎn)生的網(wǎng)站信任問題也逐漸突出和嚴(yán)重。大量的假冒網(wǎng)站和釣魚網(wǎng)站的出現(xiàn)已嚴(yán)重影響了我國網(wǎng)站的健康發(fā)展，很多的網(wǎng)民被假冒網(wǎng)站和釣魚網(wǎng)站欺詐過，每年造成巨大的經(jīng)濟損失，這引發(fā)了互聯(lián)網(wǎng)的誠信危機，也對社會和經(jīng)濟的發(fā)展造成了一定負面的影響。本標(biāo)準(zhǔn)規(guī)定網(wǎng)站可信評估指標(biāo)與評估方法，使得網(wǎng)站標(biāo)識頒發(fā)機構(gòu)可以評估網(wǎng)站的身份真實性與系統(tǒng)安全，互聯(lián)網(wǎng)各終端軟件廠商（瀏覽器、搜索引擎、微博、安全軟件和即時通訊軟件等）可查詢標(biāo)識頒發(fā)機構(gòu)驗證的網(wǎng)站標(biāo)識信息，并以適當(dāng)?shù)姆绞秸故窘o網(wǎng)民，以實現(xiàn)對網(wǎng)民上網(wǎng)行為的保護，幫助網(wǎng)民有效甄別真假網(wǎng)站，凈化網(wǎng)絡(luò)環(huán)境。因此本標(biāo)準(zhǔn)制定時遵循以下原則：特點突出：重點從網(wǎng)站面臨的身份真實性以及遭受的典型安全威脅出發(fā)，提出網(wǎng)站身份以及系統(tǒng)安全相關(guān)評估指標(biāo)、防護技術(shù)要求等。綜合防護：從身份和系統(tǒng)安全的物理層、網(wǎng)絡(luò)層、主機層、數(shù)據(jù)層、網(wǎng)站層、攻擊防范、安全監(jiān)控與應(yīng)急響應(yīng)等全方位提出安全技術(shù)要求。適度控制：從網(wǎng)站的類別、訪問量、注冊用戶數(shù)以及業(yè)務(wù)重要度出發(fā)，針對有不同安全防護需求的網(wǎng)站規(guī)定了基本、增強兩級安全保護強度的技術(shù)要求。評估指導(dǎo)：給出符合網(wǎng)站建設(shè)、運維需求的評估指導(dǎo)，評估對系統(tǒng)建設(shè)方、開發(fā)方、運維方的具體落實情況。三、主要工作過程1、2012年，承擔(dān)了全國信安標(biāo)委信息安全專項預(yù)編制項目《網(wǎng)站可信評估指標(biāo)》，調(diào)研國際網(wǎng)站可信評估指標(biāo)與國內(nèi)網(wǎng)絡(luò)可信評估實際應(yīng)用需求和管理需求，調(diào)研市場上已有的網(wǎng)站可信核驗服務(wù)等。2、2012年2月，中國電子技術(shù)標(biāo)準(zhǔn)化研究院、北龍中網(wǎng)和上海格爾、百度在線、奇虎360、金山網(wǎng)絡(luò)、騰訊科技、北京天威誠信、上海CA、河南CA、CFCA、北京CA等共同組成標(biāo)準(zhǔn)編制組，召開該標(biāo)準(zhǔn)編制啟動工作會議。會上，對標(biāo)準(zhǔn)編制的組織形式及任務(wù)分工進行了安排。3、2012年3月至8月，標(biāo)準(zhǔn)編制組完成了國家標(biāo)準(zhǔn)《信息安全技術(shù)網(wǎng)站可信評估指標(biāo)》（草案）。4、2012年8月30-31日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項目組工作會議，對草案文本進行了討論。5、2012年9月，編制組根據(jù)意見反饋情況，對草案文本進行了修改完善。6、2012年9月19日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)試點工作部署研討會，討論和布置試點工作。7、于2013年1月17日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項目組工作會議，進一步完善了標(biāo)準(zhǔn)文本。8、2013年6月6日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項目組工作會議，討論標(biāo)準(zhǔn)草案，并明確下階段工作任務(wù)。9、2014年8月7日在西安召開網(wǎng)站可信標(biāo)準(zhǔn)項目組工作會議，來自陜西省網(wǎng)絡(luò)與信息安全測評中心相關(guān)領(lǐng)導(dǎo)、專家及產(chǎn)業(yè)界代表等20余人參加了此次會議，進一步完善了標(biāo)準(zhǔn)文本。10、2015年7月28日在北京召開網(wǎng)站可信標(biāo)準(zhǔn)項目組工作會議，討論標(biāo)準(zhǔn)草案，并明確下階段工作任務(wù)。11、2016年5月11日標(biāo)準(zhǔn)研制工作組在北京組織召開了標(biāo)準(zhǔn)草案專家討論會，經(jīng)過專家討論，進一步完善了標(biāo)準(zhǔn)文本。12、2016年12月22日信安標(biāo)委WG7工作組在北京組織召開了標(biāo)準(zhǔn)草案評審會，經(jīng)過專家質(zhì)詢和討論，通過評審。13、2016年12月至今，對文本進行了修改完善，形成了征求意見稿。四、標(biāo)準(zhǔn)的主要內(nèi)容本標(biāo)準(zhǔn)規(guī)定了網(wǎng)站身份和系統(tǒng)安全評估指標(biāo)、評估要求與評估方法，包括網(wǎng)站基本級要求、網(wǎng)站增強級要求、評估方法、評估結(jié)果展示和撤銷等內(nèi)容。本標(biāo)準(zhǔn)適用于國內(nèi)所有合法接入的互聯(lián)網(wǎng)網(wǎng)站。本標(biāo)準(zhǔn)主要框架如下：前言 引言 1范圍 2規(guī)范性引用文件 3術(shù)語和定義 4縮略語 5評估指標(biāo) 6網(wǎng)站基本級要求 6.1身份要求 6.2系統(tǒng)安全要求 7網(wǎng)站增強級要求 7.1身份要求 7.2系統(tǒng)安全要求 8網(wǎng)站基本級評估方法 8.1身份真實性評估 8.2系統(tǒng)安全評估 9網(wǎng)站增強級評估方法 9.1身份真實性評估 9.2系統(tǒng)安全評估 10評估結(jié)果展示 11評估結(jié)果撤銷 附錄A（資料性附錄）評估流程示例 A.1評估準(zhǔn)備 A.2評估階段 網(wǎng)站可信評估指標(biāo)可分為網(wǎng)站身份層、系統(tǒng)安全層。網(wǎng)站身份評估指標(biāo)包括網(wǎng)站名稱、網(wǎng)站IP地址、域名所有權(quán)屬、網(wǎng)站經(jīng)營者身份證明信息等。網(wǎng)站系統(tǒng)安全評估指標(biāo)包括Web網(wǎng)站安全、數(shù)據(jù)安全、主機安全、網(wǎng)絡(luò)邊界安全、物理安全、綜合防護等。根據(jù)上述評估指標(biāo)，需要針對構(gòu)成網(wǎng)站系統(tǒng)的各層面提出安全要求，并采取相應(yīng)的技術(shù)措施。標(biāo)準(zhǔn)中提出了網(wǎng)站身份要求，為了應(yīng)對日益嚴(yán)峻的流量劫持、數(shù)據(jù)泄漏、釣魚欺詐等安全問題，網(wǎng)站經(jīng)營者應(yīng)向核驗機構(gòu)證明其真實身份，應(yīng)提供的信息包括但不限于：網(wǎng)站名稱、ICP備案信息、網(wǎng)站IP地址、域名所有權(quán)屬、組織機構(gòu)代碼、工商登記信息、身份證明信息等。由于構(gòu)成網(wǎng)站系統(tǒng)的物理層、網(wǎng)絡(luò)層、主機層、數(shù)據(jù)層、網(wǎng)站層中的任何一層存在脆弱性，都可能導(dǎo)致網(wǎng)站出現(xiàn)內(nèi)容篡改、服務(wù)中斷、信息泄露及惡意控制等安全風(fēng)險。為了實現(xiàn)上述安全目標(biāo)，需要針對構(gòu)成網(wǎng)站系統(tǒng)的各層面存在的脆弱性提出安全要求，并采取相應(yīng)的技術(shù)措施，包括木馬掃描、安全監(jiān)控、應(yīng)急響應(yīng)等。本標(biāo)準(zhǔn)中的網(wǎng)站身份和系統(tǒng)安全評估可劃分為基本級、增強級兩個等級。各評估單位可依據(jù)網(wǎng)站的類別、訪問量、注冊用戶數(shù)和業(yè)務(wù)重要度選擇相應(yīng)級別的要求進行評估，見表1。其中，滿足任意一項級別選擇指標(biāo)要求的網(wǎng)站均宜選擇增強級要求與評估。網(wǎng)站評估級別選擇方法級別選擇因素級別選擇指標(biāo)適用的評估級別類別交易類網(wǎng)站是增強級否基本級訪問量有效日均訪問次數(shù)≥20萬PV是增強級否基本級注冊用戶數(shù)累計注冊用戶總數(shù)≥50萬是增強級否基本級業(yè)務(wù)重要度網(wǎng)站受到破壞后，會對社會秩序和公共利益造成嚴(yán)重損害或者對國家安全造成損害；或按照GB/T22240要求安全保護等級級別定為三級以上(含三級)的網(wǎng)站是增強級否基本級有效日均訪問次數(shù)應(yīng)避免重復(fù)統(tǒng)計同一訪問源在短時間內(nèi)進行的多次訪問。標(biāo)準(zhǔn)中基本級及增強級系統(tǒng)安全技術(shù)要求的區(qū)別如下表2所示：基本級及增強級系統(tǒng)安全技術(shù)要求的區(qū)別類一般級增強級運行支撐無分開部署要求網(wǎng)站系統(tǒng)的Web應(yīng)用程序與數(shù)據(jù)庫系統(tǒng)應(yīng)部署在不同的獨立物理服務(wù)器或虛擬服務(wù)器上無負載均衡要求保障負載均衡需求物理安全符合GB/T22239-2008中第二級基本要求的物理安全要求符合GB/T22239-2008中第三級基本要求的物理安全要求網(wǎng)絡(luò)邊界安全無地址綁定要求應(yīng)僅允許指定的IP地址訪問網(wǎng)站服務(wù)器提供的內(nèi)容管理、系統(tǒng)管理等服務(wù)和端口。服務(wù)器安全無高強度鑒別方式要求對遠程管理的系統(tǒng)管理員采用數(shù)字證書等高強度鑒別方式管理終端安全無接入身份認證要求采取技術(shù)措施對接入的管理終端進行身份認證，身份認證通過后方可接入和使用網(wǎng)絡(luò)資源；Web應(yīng)用安全提供用戶名/口令身份鑒別身份鑒別功能要求高于一般級域名安全無解析監(jiān)控要求對域名解析的正確性進行監(jiān)控內(nèi)容安全與數(shù)據(jù)安全無內(nèi)容過濾要求可提供技術(shù)手段輔助進行網(wǎng)站發(fā)布內(nèi)容的過濾定期備份要求除一般級要求外，要求對關(guān)鍵業(yè)務(wù)數(shù)據(jù)提供異地備份功能，并實施備份恢復(fù)演練攻擊防范無培訓(xùn)要求加強物理安全、人員意識教育和培訓(xùn)以及制定安全策略、事件響應(yīng)計劃等控制措施，防御社會工程攻擊安全監(jiān)控與應(yīng)急響應(yīng)利用網(wǎng)站狀態(tài)監(jiān)控系統(tǒng)或人工監(jiān)控的方式，監(jiān)測網(wǎng)站的運行狀態(tài)，對網(wǎng)站異常狀況進行報警和處置對網(wǎng)站異常狀況進行實時報警和處置利用木馬監(jiān)控系統(tǒng)或第三方安全服務(wù)，能及時發(fā)現(xiàn)網(wǎng)站掛馬事件并迅速處理。對網(wǎng)站掛馬情況進行實時監(jiān)測和處置利用網(wǎng)頁防篡改系統(tǒng)、人工方式或第三方安全服務(wù)，能及時發(fā)現(xiàn)網(wǎng)站篡改事件并迅速處理。對網(wǎng)站篡改事件進行實時監(jiān)控和處置五、與相關(guān)法律法規(guī)及國家有關(guān)規(guī)定、國內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)提出了一個網(wǎng)站身份和系統(tǒng)安全的評估指標(biāo)、評估要求與評估方法，規(guī)定了標(biāo)識頒發(fā)機構(gòu)在評估有關(guān)網(wǎng)站時應(yīng)遵循的評估標(biāo)準(zhǔn)，包括網(wǎng)站基本級要求、網(wǎng)站增強級要求、評估方法、評估結(jié)果展示和撤銷等內(nèi)容。本標(biāo)準(zhǔn)對于網(wǎng)站的評估項建立、評估流程、評估結(jié)果的展示等具有十分重要的參考意義，從而推動網(wǎng)站信任體系的建立。重大分歧意見的處理經(jīng)過和依據(jù)詳見標(biāo)準(zhǔn)意見匯總處理表。國家標(biāo)準(zhǔn)作為強制性國家標(biāo)準(zhǔn)或推薦性國家標(biāo)準(zhǔn)的建議建議本標(biāo)準(zhǔn)作為推薦性國家標(biāo)準(zhǔn)發(fā)布實施。貫徹國家標(biāo)準(zhǔn)的要求和措施建議（包括組織措施、技術(shù)措施、過渡辦法等內(nèi)容）本標(biāo)準(zhǔn)主要用于通過標(biāo)準(zhǔn)化的形式將有關(guān)網(wǎng)站身份驗證和系統(tǒng)安全等內(nèi)容進行規(guī)范，有助于促進和規(guī)范當(dāng)前國內(nèi)網(wǎng)站身份驗證與系統(tǒng)安全工作的推進和管理