依据GB/T 39786 -2021《信息安全技术 信息系统密码应用基本要求》针对等保三级系统要求：
设备和计算层面：
a）应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；
b）远程管理设备时，应采用密码技术建立安全的信息传输通道；
c）宜采用密码技术保证系统资源访问控制信息的完整性；
d）宜采用密码技术保证设备中的重要信息资源安全标记的完整性；
e）宜采用密码技术保证日志记录的完整性；
f ）宜采用密码技术对重要可执行程序进行完整性保护 ，并对其来源进行真实性验证；
前 期 说 明
现 场 测 评
接下来我们以常见的设备和计算层面的测评对象为例，来进行现场测评的取证和相关记录的文字描述：堡垒机、通用服务器（应用服务器、数据库服务器）、数据库管理系统、密码产品(IPSec/SSL VPN（安全认证网关）、服务器密码机）
以三级系统为例：
测评对象 身份鉴别
堡垒机 记录描述：
经访谈运维人员：运维人员进行运维管理时，使用XXXX的动态令牌登录堡垒机对系统的相关资产设备进行运维管理。
经实地查看及工具测试：运维人员使用XXX的国密动态令牌登录堡垒机，动态令牌采用XXXX的 XXXX 型号，动态口令每间隔60秒刷新一次，是基于时间同步技术的动态令牌身份认证设备，通过此种认证方式实现运维人员的身份鉴别。
综上所述：运维人员通过国密动态令牌实现登录用户身份的真实性保护，密码算法符合国密算法要求，密钥管理合规。
证据截图：
✔堡垒机实物图（在物理和环境层面进行测评时注意留证据，有最好）
✔堡垒机登录界面
✔动态令牌实物图片
✔动态令牌商用密码产品认证证书
✔时间超时验证截图
✔基于时间同步技术代码片段（如果有更好）
应用服务器 记录描述：
经访谈系统相关运维人员：系统的应用服务器、数据库服务器、数据库管理系统使用堡垒进行统一运维管理。
经实地查看配置：系统的应用服务器、数据库服务器、数据库管理系统通过堡垒机进行统一运维管理，运维人员通过动态令牌登录堡垒机后，使用用户名加口令的方式登录到各个设备。
综上所述：被测系统的应用服务器、数据库服务器、数据库管理系统未使用密码实现登录设备人员的身份鉴别和真实性保护。
证据截图：
✔应用服务器、数据库服务器、数据库管理系统实物图（在物理和环境层面进行测评时注意留证据，有最好，注意：数据库管理系统的部署位置，方便后期取证）
✔堡垒机统一运维应用服务器、数据库服务器、数据库管理系统截图
✔应用服务器登录截图
✔数据库服务器登录截图
✔数据库管理系统登录截图
说明：一般情况下通用服务器（应用服务器、数据库服务器）、数据库管理系统均采用用户名口令的方式登录，在这里通过堡垒机登录后再对设备进行统一运维是为了缓解身份鉴别的高风险。
数据库服务器 数据库管理系统 IPSec/SSL VPN(安全认证网关) 记录描述：
经访谈系统相关运维人员：运维人员通过智能密码钥匙（Ukey）登录IPSec/SSL VPN（安全认证网关）。
经实地查看配置：被测系统的IPSec/SSL VPN（安全认证网关）部署在XXX环境下，通过智能密码钥匙（Ukey）进行登录，其中智能密码钥匙(Ukey)和IPSec/SSL VPN（安全认证网关）均具有商用密码产品认证证书。
经工具测试：运维人员所使用的智能密码钥匙（Ukey）采用基于算法标识为“1.2.156.10197.1.501”，对应签名算法为SM3withSM2的数字证书实现运维人员的身份鉴别和真实性验证，且证书在有效期内。
综上所述：IPSec/SSL VPN（安全认证网关）通过智能密码钥匙(Ukey)采用基于SM3withSM2的签名算法的数字证书实现登录设备用户的真实性保护，其密码算法合规、密码管理安全。
证据截图：
✔智能密码钥匙（Ukey）实物图
✔智能密码钥匙（Ukey）商用密码产品认证证书
✔IPSec/SSL VPN(安全认证网关)实物图
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
✔数字证书颁发者合规性截图（国密局网站面行政审批目录）
✔数字证书验证截图（包括但不限于证书链验证、证书有效期验证、签名算法验证）
说明：这里指的IPSec/SSL VPN（安全认证网关）是服务器端，注意：B/S架构和C/S架构的区别。
服务器密码机 记录描述：
经访谈系统相关运维人员：运维人员使用智能密码钥匙（UKey）登录服务器密码机。
经配置检查：服务器密码机的登录过程采用挑战/应答机制：1）服务密码机接收客户端请求后生成一个随机数并传输给前台客户端；前台客户端收到随机数，识别插入的智能密码钥匙序列号，使用存储于智能密码钥匙中的私钥并采用基于SM2算法的数字签名技术对随机数进行数字签名；2）前台客户端将生成的签名值传输给服务器密码机；服务器密码机使用该随机数与存储于服务器密码机中的智能密码钥匙公钥进行验签操作；
经工具测试：使用wireshark工具抓取用户通过智能密码钥匙登入时的通信流量包，用户使用智能密码钥匙登入时，服务器密码机向前台客户端传输的随机数，前台客户端向服务器密码机传输的签名值。
综上所述：：运维人员登入服务器密码机时，采用基于SM2算法的数字签名技术实现登录用户身份的真实性保护，其密码算法合规、密钥管理安全。
证据截图：
✔智能密码钥匙（Ukey）实物图
✔智能密码钥匙（Ukey）商用密码产品认证证书
✔服务器密码机实物图
✔服务器密码机商用密码产品认证证书
✔服务器密码机获取随机数代码
✔前台客户端识别智能密码钥匙进行数字签名实现代码
✔服务器密码机验签功能实现代码截图
✔服务器密码机存储SM2密钥对
✔传输的随机数信息
✔传输的签名值信息
.......... ..........
测评对象 远程管理通道安全 堡垒机 记录描述：
经访谈系统相关运维人员：堡垒机设备的远程管理通道由HTTPS协议建立。
经实地查看和工具测试：运维人员对堡垒机进行远程运维时，远程管理通道通过HTTPS协议建立，使用Wiresahrk工具抓取运维人员远程运维堡垒机的通信数据流量包，分析可知其通信协议为TLS1.2协议，分析该协议的握手阶段，导出流量包中的数字证书，可知该数字证书采用sha256RSA（2048bits）的签名算法，且证书由XXXCA公司颁发，证书在有效期内；该协议采用基于TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384的算法套件实现远程管理中通信数据的机密性和完整性保护。
综上所述：运维人员在远程管理堡垒机设备时采用了密码技术实现远程管理通道的安全性保护，但所采用的密码算法不合规、密钥管理不安全。
证据截图：
✔HTTPS协议建立截图
✔TLS1.2协议证据截图
✔数字证书颁发者合规性截图（国密局网站面行政审批目录）
✔数字证书验证截图（包括但不限于证书链验证、证书有效期验证、签名算法验证）
✔算法套件截图
应用服务器 记录描述：
经访谈系统相关运维人员：系统的应用服务器、数据库服务器、数据库管理系统由堡垒机进行运维管理，远程管理通道由SSH协议建立。
经实地查看和工具测试：运维人员通过堡垒机使用SSH2.0协议远程运维应用服务器、数据库服务器、数据库管理系统，利用Wireshark抓取远程运维设备时的通信数据流量包，分析可知其通信过程使用的通信协议为SSH2.0协议，导出该数字流量包可知该协议使用chacha20-poly1305算法套件实现对通信数据的机密性和完整性保护。
综上所述：运维远程运维管理应用服务器、数据库服务器、数据库管理系统时使用SSH2.0协议保证了远程管理通道安全，但密码算法不合规、密钥管理不安全。
证据截图：
✔SSH协议版本（运维应用服务器SSH协议版本、运维数据库服务器SSH协议版本、运维数据库管理系统SSH协议版本）
✔SSH协议算法套件（同上，三个设备的算法套件）
说明：一般情况下数据库管理系统部署在数据库服务器上。
数据库服务器 数据库管理系统 IPSec/SSL VPN(安全认证网关) 记录描述：
经访谈系统相关运维人员：运维人员使用HTTPS协议访问IPSec/SSL VPN(安全认证网关)服务器端。
经实地查看和工具测试：利用Wireshark工具抓取运维通过HTTPS协议访问IPSec/SSL VPN(安全认证网关)的数据流量包，分析可知其通信过程通过TLS1.2协议建立远程管理通道，采用基于sha256RSA（2048bit）的数字证书实现远程管理通道通信实体的身份鉴别和真实性保护，使用TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384的算法套件实现远程管理通道通信数据的机密性和完整性保护。
综上所述：运维人员远程管理IPSec/SSL VPN(安全认证网关)设备时，通过TLS1.2协议保证了远程管理通道安全，但密码算法不合规，密钥管理安全。
证据截图：
✔HTTPS协议建立截图
✔TLS1.2协议证据截图
✔数字证书颁发者合规性截图（国密局网站面行政审批目录）
✔数字证书验证截图（包括但不限于证书链验证、证书有效期验证、签名算法验证）
✔算法套件截图
说明：在这里记录描述中省略了数字证书的描述。
服务器密码机 服务器密码机仅本地运维，不做远程管理，此项不适用。
.......... ..........
测评对象 系统资源访问控制信息完整性
重要信息资源安全标记完整性
日志记录完整性
重要可执行程序完整性、重要可执行程序来源真实性
堡垒机 不符合
不适用 不符合
不符合 证据截图：
✔堡垒机系统资源访问控制信息截图
证据截图：
✔堡垒机系统日志记录截图
应用服务器 不符合
不适用 不符合
不符合 证据截图：
✔应用服务器资源访问控制信息截图
证据截图：
✔应用服务器日志记录截图
数据库服务器 不符合
不适用 不符合
不符合 证据截图：
✔数据库服务器资源访问控制信息截图
证据截图：
✔数据库服务器日志记录截图
数据库管理系统 不符合
不适用 不符合
不符合 证据截图：
✔数据库管理系统资源访问控制信息截图
证据截图：
✔数据库管理系统日志记录截图
IPSec/SSL VPN(安全认证网关) 符合
不适用 符合
符合
证据截图：
✔IPSec/SSL VPN(安全认证网关)资源访问控制信息截图
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
证据截图：
✔IPSec/SSL VPN(安全认证网关)日志记录截图
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
证据截图：
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
服务器密码机 符合
不适用 符合
符合
证据截图：
✔服务器密码机资源访问控制信息截图
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
证据截图：
✔服务器密码机日志记录截图
✔IPSec/SSL VPN(安全认证网关)商用密码产品认证证书
证据截图：
✔服务器密码机商用密码产品认证证书
.......... .......... 不适用 .......... ..........
说明：由于系统的复杂性和应用场景不同，在这里仅列举了（堡垒机、应用服务器、数据库服务器、数据库管理系统、IPSec/SSL VPN(安全认证网关)、服务器密码机）现场测评时需要注意的点，后期会不定时更新其他设备的测评记录。
发表评论 取消回复