设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14488] 2019-08-19_等保2.0标准个人解读（二）：安全通 ...
返回列表 发新帖
查看: 7|回复: 0

[14488] 2019-08-19_等保2.0标准个人解读（二）：安全通信网络

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 16:40:51 | 显示全部楼层 |阅读模式
2019-08-19_等保2.0标准个人解读（二）：安全通信网络 等 保 2 . 0 标 准 个 人 解 读 （ 二 ） ： 安 全 通 信 网 络 宇 宸   F r e e B u f   2 0 1 9 - 0 8 - 1 9 本 控 制 项 和 旧 标 准 中 的 网 络 安 全 类 似 ， 主 要 关 注 网 络 架 构 通 信 传 输 及 可 信 验 证 ， 相 比 较 而 言 简 化 了 一 些 ， 属 于 本 控 制 项 和 旧 标 准 中 的 网 络 安 全 类 似 ， 主 要 关 注 网 络 架 构 通 信 传 输 及 可 信 验 证 ， 相 比 较 而 言 简 化 了 一 些 ， 属 于 三 重 防 护 之 一 。 三 重 防 护 之 一 。 标 准 原 文 标 准 原 文 |   8 . 1 . 2   安 全 通 信 网 络   |   |   - - -   |   |   8 . 1 . 2 . 1   网 络 架 构 网 络 架 构   a )   应 保 证 网 络 设 备 的 业 务 处 理 能 力 满 足 业 务 高 峰 期 需 要 ； b )   应 保 证 网 络 各 个 部 分 的 带 宽 满 足 业 务 高 峰 期 需 要 ； c )   应 划 分 不 同 的 网 络 区 域 ， 并 按 照 方 便 管 理 和 控 制 的 原 则 为 各 网 络 区 域 分 配 地 址 ； d )   应 避 免 将 重 要 网 络 区 域 部 署 在 边 界 处 ， 重 要 网 络 区 域 与 其 他 网 络 区 域 之 间 应 采 取 可 靠 的 技 术 隔 离 手 段 ； e )   应 提 供 通 信 线 路 、 关 键 网 络 设 备 和 关 键 计 算 设 备 的 硬 件 冗 余 ， 保 证 系 统 的 可 用 性 。 8 . 1 . 2 . 2   通 信 传 输 通 信 传 输   a )   应 采 用 校 验 技 术 或 密 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 ； b )   应 采 用 密 码 技 术 保 证 通 信 过 程 中 数 据 的 保 密 性 。 8 . 1 . 2 . 3   可 信 验 证 可 信 验 证   可 基 于 可 信 根 对 通 信 设 备 的 系 统 引 导 程 序 、 系 统 程 序 、 重 要 配 置 参 数 和 通 信 应 用 程 序 等 进 行 可 信 验 证 ， 并 在 应 用 程 序 的 关 键 执 行 环 节 进 行 动 态 可 信 验 证 ， 在 检 测 到 其 可 信 性 受 到 破 坏 后 进 行 报 警 ， 并 将 验 证 结 果 形 成 审 计 记 录 送 至 安 全 管 理 中 心 。 | 主 要 检 查 点 主 要 检 查 点 网 络 架 构 网 络 架 构 对 于 高 峰 期 带 宽 保 障 是 要 在 当 初 规 划 设 计 网 络 时 就 需 要 考 虑 好 ， 同 时 也 要 考 虑 安 全 域 以 及 I P 段 的 分 配 和 预 留 。 国 外 对 这 方 面 ， 通 常 还 会 做 业 务 影 响 分 析 （ B I A ， B u s i n e s s   I m p a c t   A n a l y s i s ） ， 不 过 公 司 越 大 做 起 来 越 复 杂 ， 能 做 得 起 B I A 的 往 往 都 不 是 普 通 企 业 。 此 外 ， 要 进 行 压 力 测 试 ， 做 好 带 宽 的 冗 余 。 对 于 如 今 的 企 业 来 说 ， 无 论 是 带 宽 还 是 性 能 ， 基 本 都 能 够 完 全 满 足 高 峰 期 的 需 求 ， 可 能 有 问 题 的 是 没 有 做 好 S L A 或 业 务 优 先 级 资 源 分 配 。 在 高 峰 期 ， 某 些 部 门 的 资 源 存 在 无 法 保 障 的 情 况 ， 这 点 需 要 引 起 注 意 。 关 键 业 务 区 （ 生 产 网 ） 和 管 理 区 ， 要 避 免 划 分 在 网 络 边 界 ， 现 在 大 多 情 况 下 都 不 会 这 样 部 署 。 安 全 域 间 的 隔 离 ， 或 者 用 防 火 墙 、 网 闸 ， 或 者 A C L 来 做 即 可 。 此 外 线 路 冗 余 、 关 键 节 点 冗 余 ， 都 是 说 了 很 多 年 的 基 本 操 作 ， 该 做 的 还 是 要
做 ， 不 能 偷 懒 。 总 体 来 看 ， 通 传 统 安 全 要 求 差 不 多 ， 没 有 提 出 某 些 新 的 要 求 ， 大 部 分 A 类 机 房 的 网 络 结 构 基 本 可 以 满 足 。 通 信 传 输 通 信 传 输   本 控 制 点 的 完 整 性 校 验 没 有 提 到 是 要 达 到 怎 样 的 水 平 ， 那 么 采 用 最 基 本 的 C R C 和 奇 偶 校 验 是 不 是 也 算 完 整 性 校 验 ， 传 输 后 利 用 哈 希 校 验 文 件 是 否 也 是 可 以 。 测 评 要 求 中 没 有 明 确 给 出 定 论 。 通 常 的 H T T P S 、 V P N 这 类 加 密 传 输 协 议 中 自 带 加 密 和 完 整 性 校 验 ， 所 以 通 常 传 输 加 密 和 完 整 性 校 验 是 一 体 的 。 T i p ： 完 整 性 - 哈 希 校 验 哈 希 是 一 种 不 可 逆 的 映 射 ， 可 以 将 数 据 经 过 哈 希 算 法 计 算 得 到 一 个 哈 希 值 ， 而 无 法 再 将 该 哈 希 值 反 映 射 得 到 原 始 的 数 据 。 一 般 来 说 ， 不 同 的 数 据 得 到 的 哈 希 值 是 不 同 的 ， 但 也 有 极 少 的 可 能 会 出 现 碰 撞 ， 但 这 种 概 率 极 小 。 在 网 络 数 据 完 整 性 校 验 中 使 用 的 哈 希 算 法 通 常 包 括 ： M D 5 、 S H A 。 数 据 完 整 性 校 验 数 据 完 整 性 校 验 一 般 使 用 哈 希 算 法 和 密 钥 对 数 据 进 行 哈 希 得 到 数 据 的 一 个 哈 希 值 ， 然 后 将 该 哈 希 值 和 数 据 一 块 发 送 给 对 方 ， 对 方 收 到 数 据 之 后 ， 对 数 据 使 用 相 同 的 哈 希 算 法 和 密 钥 进 行 哈 希 得 到 哈 希 值 ， 如 果 得 到 的 哈 希 值 和 对 方 发 过 来 的 相 同 ， 那 么 就 说 明 数 据 没 有 经 过 篡 改 。 （ S h a 2 5 6 + R S A ） 有 人 可 能 会 想 ， 常 用 的 哈 希 算 法 就 几 类 ， 假 设 窃 听 者 截 获 了 数 据 ， 修 改 了 数 据 区 的 某 些 字 节 ， 然 后 再 用 哈 希 算 法 进 行 再 一 次 哈 希 得 到 新 的 哈 希 值 ， 放 入 数 据 包 中 哈 希 值 的 位 置 传 给 接 收 者 ， 接 收 者 收 到 之 后 ， 对 数 据 进 行 哈 希 ， 得 到 的 哈 希 值 就 是 窃 听 者 发 过 来 的 那 个 哈 希 值 。 从 而 窃 听 者 实 现 了 虽 然 没 有 获 取 信 息 ， 但 是 破 坏 了 信 息 的 目 的 。 这 就 是 为 什 么 需 要 在 哈 希 的 时 候 使 用 密 钥 ： 通 信 双 方 进 行 身 份 认 证 之 后 ， 交 换 密 钥 ， 包 括 对 称 性 加 密 的 密 钥 ， 哈 希 算 法 的 密 钥 ， 还 有 其 他 . . . .   在 哈 希 的 时 候 用 上 哈 希 密 钥 ， 而 窃 听 者 没 有 哈 希 的 密 钥 ， 因 此 他 最 后 伪 造 的 哈 希 值 是 无 法 通 过 检 验 的 。 T i p ： 保 密 性 - H T T P S H T T P S 其 实 由 两 部 分 组 成 ： H T T P   +   S S L   /   T L S ， 即 在 H T T P   上 添 加 了 一 层 处 理 加 密 信 息 的 模 块 。 服 务 端 和 客 户 端 的 信 息 传 输 都 会 通 过 T L S 进 行 加 密 ， 所 以 传 输 的 数 据 都 是 加 密 后 的 数 据 。 具 体 是 如 何 进 行 加 密 ， 解 密 ， 验 证 的 ， 如 下 图 。
1 .   客 户 端 发 起 客 户 端 发 起 H T T P S 请 求 请 求 用 户 在 浏 览 器 里 输 入 一 个 h t t p s 网 址 ， 然 后 连 接 到 s e r v e r 的   4 4 3 端 口 。 2 .   服 务 端 的 配 置 服 务 端 的 配 置 采 用 H T T P S 协 议 的 服 务 器 必 须 要 有 一 套 数 字 证 书 ， 可 以 自 己 制 作 ， 也 可 以 向 组 织 申 请 。 区 别 在 于 自 己 颁 发 的 证 书 需 要 客 户 端 验 证 通 过 ， 才 可 以 继 续 访 问 ， 而 使 用 受 信 任 的 公 司 申 请 的 证 书 则 不 会 弹 出 提 示 页 面 。 这 套 证 书 就 是 一 对 公 钥 和 私 钥 。 3 .   传 送 证 书 传 送 证 书 这 个 证 书 其 实 就 是 公 钥 ， 只 是 包 含 了 很 多 信 息 ， 如 证 书 的 颁 发 机 构 ， 过 期 时 间 等 。 4 .   客 户 端 解 析 证 书 客 户 端 解 析 证 书 这 部 分 工 作 由 客 户 端 的 T L S 来 完 成 的 ， 首 先 会 验 证 公 钥 是 否 有 效 ， 比 如 颁 发 机 构 ， 过 期 时 间 等 ， 如 果 发 现 异 常 ， 则 会 弹 出 一 个 警 告 框 ， 提 示 证 书 存 在 问 题 。 如 果 证 书 没 有 问 题 ， 那 么 就 生 成 一 个 随 机 值 。 然 后 用 证 书 对 该 随 机 值 进 行 加 密 。 正 如 上 面 所 述 ， 把 随 机 值 加 密 ， 这 样 除 非 有 私 钥 ， 不 然 看 不 到 被 加 密 的 内 容 。 5 .   传 送 加 密 信 息 传 送 加 密 信 息 这 部 分 传 送 的 是 用 证 书 加 密 后 的 随 机 值 ， 目 的 就 是 让 服 务 端 得 到 这 个 随 机 值 ， 以 后 客 户 端 和 服 务 端 的 通 信 就 可 以 通 过 该 值 来 进 行 加 密 解 密 。 6 .   服 务 端 解 密 信 息 服 务 端 解 密 信 息 服 务 端 用 私 钥 解 密 后 ， 得 到 了 客 户 端 传 过 来 的 随 机 值 ( 私 钥 ) ， 然 后 把 内 容 通 过 该 值 进 行 对 称 加 密 。 所 谓 对 称 加 密 就 是 ： 将 信 息 和 私 钥 通 过 某 种 算 法 混 合 在 一 起 ， 这 样 除 非 知 道 私 钥 ， 否 则 无 法 获 取 内 容 ， 而 正 好 客 户 端 和 服 务 端 都 知 道 这 个 私 钥 ， 所 以 只 要 加 密 算 法 够 强 大 ， 私 钥 够 复 杂 ， 数 据 就 足 够 安 全 。 7 .   传 输 加 密 后 的 信 息 传 输 加 密 后 的 信 息 信 息 是 服 务 端 用 私 钥 加 密 后 的 信 息 ， 可 以 在 客 户 端 被 还 原 。
8 .   客 户 端 解 密 信 息 客 户 端 解 密 信 息 客 户 端 用 之 前 生 成 的 私 钥 解 密 服 务 端 传 来 的 信 息 ， 获 取 解 密 后 的 内 容 。 整 个 过 程 第 三 方 即 使 监 听 到 了 数 据 ， 也 无 法 获 取 内 容 。 S S L 的 位 置 的 位 置 S S L 介 于 应 用 层 和 T C P 层 之 间 （ 之 前 特 意 研 究 过 ， 各 有 各 的 说 法 ， 最 后 把 S S L   归 为 在 应 用 层 和 传 输 层 之 间 比 较 恰 当 ， 而 不 是 只 工 作 在 某 一 层 ） 。 应 用 层 数 据 不 再 直 接 传 递 给 传 输 层 ， 而 是 传 递 给 S S L 层 ， S S L 层 对 从 应 用 层 收 到 的 数 据 进 行 加 密 ， 并 增 加 自 己 的   S S L 头 。 R S A 性 能 是 非 常 低 的 ， 原 因 在 于 寻 找 大 素 数 、 大 数 计 算 、 数 据 分 割 需 要 耗 费 很 多 的 C P U 周 期 ， 所 以 一 般 的 H T T P S   连 接 只 在 第 一 次 握 手 时 使 用 非 对 称 加 密 ， 通 过 握 手 交 换 对 称 加 密 密 钥 ， 在 之 后 的 通 信 采 用 对 称 加 密 方 式 。 H T T P S 在 传 输 数 据 之 前 需 要 客 户 端 （ 浏 览 器 ） 与 服 务 端 （ 网 站 ） 之 间 进 行 一 次 握 手 ， 在 握 手 过 程 中 将 确 立 双 方 加 密 传 输 数 据 的 密 码 信 息 。 T L S / S S L 协 议 不 仅 仅 是 一 套 加 密 传 输 的 协 议 ， 更 是 一 件 经 过 艺 术 家 精 心 设 计 的 艺 术 品 ， T L S / S S L 中 使 用 了 非 对 称 加 密 ， 对 称 加 密 以 及 H A S H 算 法 。 握 手 过 程 的 具 体 描 述 如 下 ： 1 .   浏 览 器 将 自 己 支 持 的 一 套 加 密 规 则 发 送 给 网 站 。   2 .   网 站 从 中 选 出 一 组 加 密 算 法 与 H A S H 算 法 ， 并 将 自 己 的 身 份 信 息 以 证 书 的 形 式 发 回 给 浏 览 器 。 证 书 里 面 包 含 了 网 站 地 址 ， 加 密 公 钥 ， 以 及 证 书 的 颁 发 机 构 等 信 息 。   3 .   浏 览 器 获 得 网 站 证 书 之 后 浏 览 器 要 做 以 下 工 作 ：   a )   验 证 证 书 的 合 法 性 （ 颁 发 证 书 的 机 构 是 否 合 法 ， 证 书 中 包 含 的 网 站 地 址 是 否 与 正 在 访 问 的 地 址 一 致 等 ） ， 如 果 证 书 受 信 任 ， 则 浏 览 器 栏 里 面 会 显 示 一 个 小 锁 头 ， 否 则 会 给 出 证 书 不 受 信 的 提 示 。 b )   如 果 证 书 受 信 任 ， 或 者 是 用 户 接 受 了 不 受 信 的 证 书 ， 浏 览 器 会 生 成 一 串 随 机 数 的 密 码 ， 并 用 证 书 中 提 供 的 公 钥 加 密 。 c )   使 用 约 定 好 的 H A S H 算 法 计 算 握 手 消 息 ， 并 使 用 生 成 的 随 机 数 对 消 息 进 行 加 密 ， 最 后 将 之 前 生 成 的 所 有 信 息 发 送 给 网 站 。   4 .   网 站 接 收 浏 览 器 发 来 的 数 据 之 后 要 做 以 下 的 操 作 ：  
a )   使 用 自 己 的 私 钥 将 信 息 解 密 取 出 密 码 ， 使 用 密 码 解 密 浏 览 器 发 来 的 握 手 消 息 ， 并 验 证 H A S H 是 否 与 浏 览 器 发 来 的 一 致 。   b )   使 用 密 码 加 密 一 段 握 手 消 息 ， 发 送 给 浏 览 器 。   5 .   浏 览 器 解 密 并 计 算 握 手 消 息 的 H A S H ， 如 果 与 服 务 端 发 来 的 H A S H 一 致 ， 此 时 握 手 过 程 结 束 ， 之 后 所 有 的 通 信 数 据 将 由 之 前 浏 览 器 生 成 的 随 机 密 码 并 利 用 对 称 加 密 算 法 进 行 加 密 。 这 里 浏 览 器 与 网 站 互 相 发 送 加 密 的 握 手 消 息 并 验 证 ， 目 的 是 为 了 保 证 双 方 都 获 得 了 一 致 的 密 码 ， 并 且 可 以 正 常 的 加 密 解 密 数 据 ， 为 后 续 真 正 数 据 的 传 输 做 一 次 测 试 。 另 外 ， H T T P S 一 般 使 用 的 加 密 与 H A S H 算 法 如 下 ： 非 对 称 加 密 算 法 ： R S A ， D S A / D S S 对 称 加 密 算 法 ： A E S ， R C 4 ， 3 D E S H A S H 算 法 ： M D 5 ， S H A 1 ， S H A 2 5 6 总 结 一 下 总 结 一 下 服 务 器   用 R S A 生 成 公 钥 和 私 钥 ； 把 公 钥 放 在 证 书 里 发 送 给 客 户 端 ， 私 钥 自 己 保 存 ； 客 户 端 首 先 向 一 个 权 威 的 服 务 器 检 查 证 书 的 合 法 性 ， 如 果 证 书 合 法 ， 客 户 端 产 生 一 段 随 机 数 ， 这 个 随 机 数 就 作 为 通 信 的 密 钥 ， 我 们 称 之 为 对 称 密 钥 ， 用 公 钥 加 密 这 段 随 机 数 ， 然 后 发 送 到 服 务 器 ； 服 务 器 用 密 钥 解 密 获 取 对 称 密 钥 ， 然 后 ， 双 方 以 对 称 密 钥 进 行 加 密 解 密 通 信 。 总 之 ， H T T P S 、 T L S 、 V P N 都 可 以 ， 通 常 加 密 传 输 协 议 都 会 校 验 文 件 的 完 整 性 ， 完 整 性 与 保 密 性 校 验 兼 备 . 可 信 验 证 可 信 验 证 这 部 分 内 容 ， 全 篇 都 是 一 个 方 向 ， 不 强 求 ， 能 做 到 最 好 （ 后 文 中 将 不 再 进 行 解 释 ） 。 看 下 官 方 对 可 信 验 证 的 测 评 解 释 ： 可 基 于 可 信 根 对 通 信 设 备 的 系 统 引 导 程 序 、 系 统 程 序 、 重 要 配 登 参 数 和 通 信 应 用 程 序 等 进 行 可 信 验 证 ， 并 在 应 用 程 序 的 关 键 执 行 环 节 进 行 动 态 可 信 验 证 ， 在 检 测 到 其 可 信 性 受 到 破 坏 后 进 行 报 警 ， 并 将 验 证 结 果 形 成 审 计 记 录 送 至 安 全 管 理 中 心 。 本 控 制 项 总 得 来 说 偏 向 于 网 络 的 架 构 设 计 ， 主 要 在 前 期 需 求 和 设 计 阶 段 ， 相 比 旧 标 准 简 化 了 一 部 分 内 容 。 属 于 运 维 方 向 的 安 全 要 求 ， 对 象 主 要 是 甲 方 和 第 三 方 运 维 。 最 后 最 后 等 保 2 . 0 三 级 安 全 通 信 网 络 部 分 内 容 相 比 以 前 的 网 络 安 全 有 大 幅 减 少 ， 一 方 面 删 除 了 重 复 的 要 求 向 ， 一 方 面 分 散 到 其 他 的 控 制 项 中 ， 实 际 上 系 统 整 体 安 全 要 求 并 没 有 减 少 。 从 总 体 来 看 ， 个 人 感 觉 管 理 层 面 加 强 了 ， 技 术 层 面 有 略 微 的 削 弱 ， 但 对 于 新 技 术 ， 新 流 程 提 出 要 求 ， 主 要 讲 求 技 术 与 管 理 相 结 合 来 做 好 企 业 安 全 。 * 本 文 作 者 ： 本 文 作 者 ： 宇 宸 默 安 ， 转 载 请 注 明 来 自 宇 宸 默 安 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-2 22:35 , Processed in 0.526328 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表