GB/T 28448-2019 《信息安全技术 网络安全等级保护测评要求》之安全通信网络测评解读

文章目录

• 前言
• 一、网络架构
• 二、通信传输
• 三、可信验证
• 总结

---

前言

前期我们对GB/T 28448-2019《信息安全技术网络与数据安全等级保护测评要求》中三级测评要求的安全测评通用要求的第一项内容进行了阐释。下期我们将对通用要求的第二项内容进行详细解析。

---

一、网络架构

8.1.2.1 网络架构

8.1.2.1.1 测评单元（L3-CNS1-01 ）

该测评单元包括以下要求:
a）测评指标:应保证网络设备的业务处理能力满足业务高峰期需要。
b）测评对象:路由器、交换机、无线接入设备和防火墙等提供网络通信功能的设备或相关组件。
c）测评实施包括以下内容：
1）应核查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率是否满足需要;
2）应核查网络设备是否从未出现过因设备性能问题导致的宕机情况;
3）应测试验证设备是否满足业务高峰期需求。
d）单元判定:如果1)~3)均为肯定,则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

在业务高峰期的主要网络设备中，建议将CPU内存的最大使用率控制在不超过70%以内。各品牌网络设备的查询命令有所差异。例如，在华为系列交换机中可以通过"command: display cpu-usage"这一指令显示其运行状态，在思科系列交换机上则采用"command: show processes cpu"这一指令获取运行信息。其他品牌也遵循这一原则。当具备SOA或综合网管系统时，则可以通过这些管理平台查询主要设备的资源利用情况

为了核查近期设备系统是否存在断电或重启问题，请参考相关告警日志内容。若发现曾发生此类问题，请进一步了解具体情况；另外一种方法是根据设备运行时间长短来评估其是否出现断电或重启现象。

在业务高峰期,系统的最大承载量不得超过其处理容量的70%。其中,系统处理容量主要包含CPU计算能力和内存资源等各项基础配置参数

8.1.2.1.2 测评单元（L3-CNS1-02）

该测评单元包括以下要求:
a）测评指标:应保证网络各个部分的带宽满足业务高峰期需要。
b）测评对象:综合网管 系统等。
c） 测评实施包括以下内容:
1）应核查综合网管系统各通信链路带宽是否满足高峰时段的业务流量需要;
2）应测试验证网络带宽是否满足业务高峰期需求。
d） 单元判定:如果1)和2)均为肯定，则符合本测评单元指标要求,否则不符合或部分符合本测评单元指标要求。

建议访谈管理员高峰时段的网络流量使用情况，并评估以下几点：是否需要部署相应的流量控制设备以管理关键业务系统的网络带宽；以及在相关设备上启用QoS配置设置以实现对网络各部分的有效管理与分配。对于关键节点位置，请考虑部署专门的流量监控系统以确保实时监测网络流量状况；同时，在这些节点位置配置相应的QoS策略设置以便于实现对关键业务系统的高效管理与优化。

2）测试验证（采用网页测试或软件自动化测试方案）对网络各组成部分进行性能评估工作，并确保在业务高峰时段网络传输效率能够得到充分验证；要求各通信链路在高峰时段的数据流量不应超过其理论传输容量的70%。

8.1.2.1.3 测评单元（L3-CNS1-03 ）

该测评单元包括以下要求:
a）测评指标:应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址。
b）测评对象:路由器、交换机、无线接人设备和防火墙等提供网络通信功能的设备或相关组件。
c）测评实施包括以下内容:
1）应核查是否依据重要性、部门等因素划分不同的网络区域;
2）应核查相关网络设备配置信息,验证划分的网络区域是否与划分原则一致。
d）单元判定:如果1)和2)均为肯定,则符合本测评单元指标要求,否则不符合或部分符合本测评单元指标要求。

有必要与网络管理员讨论并了解其是否依据部门工作职能、等级保护对象的重要程度以及应用系统级别的具体情况，并结合区域安全防护要求来确认其是否按照相关标准对VLAN进行了划分。

并执行网络设备配置信息的核对工作，并确认划分的网络区域是否符合划分原则的要求。

8.1.2.1.4 测评单元（L3-CNS1-04 ）

该测评单元包括以下要求:
a）测评指标:应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
b）测评对象:网络拓扑。
c）测评实施包括以下内容:
1）应核查网络拓扑图是否与实际网络运行环境一致;
2）应核查重要网络区域是否未部署在网络边界处;
3）应核查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段,如网闸、防火墙和设备访问控制列表(ACL)等。
d）单元判定:如果1)~3)均为肯定,则符合本测评单元指标要求,否则不符合或部分符合本测评单元指标要求。

核查网络运行环境与拓扑图的一致性；若发现不一致，则需及时更新拓扑图

核查关键业务网络区域（通常包括核心数据处理和存储设施）是否设置于网络边界位置

3）需核查重要网络区域与其他网络区域之间是否采用了可靠的网络安全防护措施,例如常见的安全防护措施包括但不限于路由器防火墙、入侵检测系统（IDS）、访问控制列表（ACL）以及基于IP的安全策略等。例如，在实际应用中，通常会检查内部网络与外部网络之间的安全防护配置情况。

8.1.2.1.5 测评单元（L3-CNS1-05）

该测评单元包含若干要求项:
a) 测试指标:需确保通信线路、关键网络设备和关键计算设备均具备硬件冗余配置,以实现系统的高可靠性。
b) 测试对象:主要面向网络管理员与网络架构师。
c) 测试实施:应确认关键网络设备、安全设备及关键计算设备均配备有主备或双活等硬件冗余配置,同时通信线路也需满足冗余要求。
d) 单元判定:若上述测试实施结果达标,则可判定为符合本测评单元的技术标准要求;反之则不符合。

注

二、通信传输

8.1.2.2 通信传输

8.1.2.2.1 测评单元（L3-CNS1-06 ）

该测评单元包括以下要求:
a）测评指标:应采用校验技术或密码技术保证通信过程中数据的完整性。
b）测评对象:提供校验技术或密码技术功能的设备或组件。
c）测评实施包括以下内容:
1）应核查是否在数据传输过程中使用校验技术或密码技术来保证其完整性;
2）应测试验证密码技术设备或组件能否保证通信过程中数据的完整性。
d）单元判定:如果1)和2)均为肯定,则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

1）评估数据传输过程中是否采用了校验技术和密码技术以确保其完整性；
2）数据传输过程中的完整性主要由协议（如TLS和SSH）来保障；
3）利用MAC（消息校验码）这一机制确保了整个数据报文的完整性和加密性；
4）由此可见，在评估过程中若采用TLS/SSL和SSH协议作为标准，则默认情况下这些协议能够满足传输过程中的完整性需求。

评估密码技术设备或组件是否能确保通信过程中的数据完整性。
可直接利用MD5校验器来对比发送端和接收端文件的SHA1值。
如果两者的一致性相同，则确认通过了完整性测试；反之则未通过。
通常情况下，默认采用加密协议即可确保通信过程中的数据完整性和安全性。
这些关键信息通常涉及重要的身份识别信息、核心业务记录以及审计追踪资料等核心内容。

这里的测试思路分为两个方面：首先需考察是否存在相关设备和技术以确保数据传输过程的完整性；其次需验证上述措施是否奏效

8.1.2.2.2 评估单元（L3-CNS1-07）

该评估单元包含以下要求:

a) 评估指标:为确保通信过程中的数据保密性,应当采用密码技术手段;

b) 评估对象:具备提供密码技术功能的设备或组件;

c) 评估实施包括以下方面:

1）需核查通信过程中是否采取了保密措施,具体采用了哪些技术手段;

2）需测试通信过程中的数据加密情况;

d) 单元判定标准:如果上述1）和2）均满足条件,则符合本评估单元的要求;否则,判定为不符合条件或部分符合要求。

1）需确认通信过程中是否存在保密措施，并明确采用了哪些防护手段；
2）评估数据传输的安全性时应重点关注以下几点：首先检查是否存在使用TLS/SSL或SSH等加密协议的情况；其次，在B/S架构中通常通过查看网站域名是否为https开头来判断安全性；若满足这些条件，则说明当前系统符合安全要求。

为确保通信安全，在传输过程中必须确认数据是否进行了加密处理；在实际操作中，若无法确保所有报文都已加密，则需特别关注那些包含敏感信息的字段；常用工具包括Wireshark和Sniffer等软件包，在抓包过程中可选择捕获特定端口上的流量或使用流量镜像功能来分析数据状态；当采用HTTPS或其他类似协议时，默认的数据传输将满足保密性要求。

这里的测试方案分为两个步骤：第一步是考察是否存在相应的设备或技术来确保数据的保密性；第二步是评估这些保密性措施是否能够有效实施。

针对数据传输过程中的完整性与保密性的实现及其验证，在之前的论述中已有详尽阐述；因此在此仅做简要概述，请您翻阅先前的文章以获取更多细节信息

三、可信验证

8.1.2.3 可信验证

8.1.2.3.1 测评单元（L3-CNS1-08）

该测评单元包括以下要求:
a）测评指标:可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。
b）测评对象:提供可信验证的设备或组件、提供集中审计功能的系统。
c）测评实施包括以下内容:
1）应核查是否基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证;
2）应核查是否在应用程序的关键执行环节进行动态可信验证;
3）应测试验证当检测到通信设备的可信性受到破坏后是否进行报警;
4）应测试验证结果是否以审计记录的形式送至安全管理中心。
d）单元判定:如果1)~4)均为肯定，则符合本测评单元指标要求,否则不符合或部分符合本测评单元指标要求。

评估路由器、交换机等所有相关通信设备的可信硬件状态，并核查是否存在可信根芯片配置；若具备可信根芯片或可信硬件特征，则满足条件。

对应用程序启动过程进行审查时，请确认其是否基于可信基础对引导程序、关键组件以及重要配置参数进行持续的可信度评估。如果存在符合条件的情况，则满足要求。

3）检查通信设备的可信性受到破坏后是否进行报警，如果有报警，则符合;

需对测试验证结果进行核实确认其是否已按照审计记录的形式提交至安全管理系统中

总结

---

本期主要对GB/T 28448-2019标准中三级系统的安全通信网络测评进行了初步介绍，在此过程中如有不当之处，请随时提出宝贵意见。下期则会深入探讨关于安全区域边界的问题。

——————————————-----------------——