1、喧嚣ICS 35.040 L 80 中华人民共和国国家标准GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求Information security technology一Technique requirement for network vulnerability scanners EE - BEE- 川川川川川川QUHHHHHHHHH牛inU HHHHHHHHHHnu -ttttEnU HHHHHHHHnu 闹闹闹闹啤啤啤啤咱A哇EE-EEEB-i EE-EE今中4t4 Ea-nhu 川川川川HHHHHnu- | . | 2006-12-01实施2006-05-31发布
2、中华人民共和国国家质量监督检验检疫总局也世中国国家标准化管理委员会&叩GB/T 20278-2006 目次前言.1 引言. II 1 范围. 2 规范性引用文件-3 术语和定义4 缩略语和记法约定-4.1 缩略语4.2 记法约定-5 网络脆弱性扫描产品分级-5. 1 基本型5.2 增强型6 使用环境.7 功能要求7.1 基本型网络脆弱性扫描产品功能组件-7.2 自身安全要求7.3 安全功能要求.4 7.4 管理要求.8 7.5 安装与操作控制.7.6 增强型网络脆弱性扫描产品功能组件.7.7 增强型网络脆弱性扫描产品扩展功能要求.10 8 性能要求108. 1 速度108.2 稳定性和容错性.
3、10 8.3 漏洞发现能力.10 8.4 误报率.10 8. 5 漏报率.109 保证要求.9.1 基本型.9.2 增强型12附录A(资料性附录)网络脆弱性扫描产品介绍A.1 脆弱性扫描技术MA.2 网络脆弱性扫描产品简介A.3 体系结构参考文献.18 图A.1网络脆弱性扫描产品的系统基本组成表1基本型网络脆弱性扫描产品功能要求表2增强型网络脆弱性扫描产品功能要求.前言本标准的附录A是资料性附录。本标准由全国信息安全标准化技术委员会提出并归口。本标准由北京中科网威信息技术有限公司、公安部十一局负责起草。本标准主要起草人:肖江、陆驿、杨威、赵德芳、刘兵、丁宇征。GB/T 20278-2006 I
4、 GB/T 20278-2006 百|网络脆弱性扫描是检查网络安全性能的一种重要技术手段，其原理是对目标网络系统及设备可能存在的已知网络脆弱性进行逐项检测，确定存在的安全隐患及危险程度，并提出解决建议。E GB/T 20278一2006信息安全技术网络脆弱性扫描产品技术要求1 范围本标准规定了采用传输控制协议和网际协议(TCP/IP)的网络脆弱性扫描产品的技术要求，提出网络脆弱性扫描产品实现的安全目标及环境，给出产品基本功能、增强功能和安全保证要求。本标准适用于通过网络对系统和设备进行脆弱性扫描的安全产品的研制、生产和认证。本标准不适用于专门对数据库系统进行脆弱性扫描的产品。2 规范性引用文件
5、下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适合于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB/T 5271. 8-2001信息技术词汇第8部分:安全(idtISO/IEC 2382-8 :1 998) 3 术语和定义GB/T 527 1. 8-2001 确立的以及下列术语和定义适用于本标准。3. 1 扫描scan 使用脆弱性扫描产品进行探测，找到网络中的主机系统存在的安全隐患的过程。3.2 威胁threat 可能对网络系统和设备或
6、网络所有者造成损害的事故的潜在原因。3.3 脆弱性vulnerability 网络系统和设备中能被利用并造成危害的弱点。3.4 宿主机local host 运行网络脆弱性扫描产品的计算机。3.5 目标主机target host 网络脆弱性扫描产品对其进行风险分析的计算机。3.6 网络脆弱性扫描network vulnerability scan 通过网络远程检测目标网络系统安全隐患的探测过程，它对网络系统和设备进行安全脆弱性检测和分析，从而发现可能被入侵者利用的漏洞，并采取一定的防范和补救措施。3. 7 网络脆弱性扫描产晶network vulnerability scanner 能够完成网络
7、脆弱性扫描功能的产品。GB/T 20278-2006 3.8 误报false positives 报告了不存在的脆弱性。3.9 漏报false negatives 没有报告出实际存在的脆弱性。3. 10 旗标banner 由应用程序发送的一段讯息，通常包括欢、4 缩略语和记法约定4. 1 缩略语CGI CVE DNS DOS FTP IDS IP NETBIOS NFS POP RPC 5MB SNMP TCP UDP 4.2 记法约定本标准对网络脆弱性A可求，对于增强型产品的要求，标5 网络脆弱性扫描产品分级5. 1 基本型该级的网络脆弱性扫描产品应具备7.1及9.1中规定的基本功能要求和保
8、证要求。5.2 增强型该级的网络脆弱性扫描产品除满足基本型产品各项要求外，还必须符合7.7及9.2中规定的扩展功能和保证要求。6 使用环境宿主机与目标主机应处于连通状态，且宿主机应满足网络脆弱性扫描产品的软硬件配置要求。2 7 功能要求7. 1 基本型网络脆弱性扫描产晶功能组件基本型网络脆弱性扫描产品的功能组件由表1所列项目组成。功能分类自身安全要求管理使用7.2 7.2.1 身份鉴别只有授权管理员7.2.2 适用限制网络脆弱性扫描产品)17.2.3 敏感信息保护表1基本型网络脆弱性扫描产品功能要求功能组件身份鉴别G/T 20278-2006 策略定制时，一些敏感信息对用户口令进行加密存储。自
9、息的机密性和完整性，例如7.2.4 软件使用记录对软件的以下使用应有完整的日志记录，便于审计跟踪和分析:a) 管理员登录;b) 扫描操作过程;c) 扫描结果分析处理;d) 产品升级;e) 其他使用。7.2.5 扫描数据包标记网络脆弱性扫描产品扫描数据包应具备厂商自身特征，并将特征公开。3 G/T 20278-2006 7.2.6 扫描结果安全应采取相应措施来保证扫描结果的机密性和完整性，扫描结果应能够导人、导出及删除。7.3 安全功能要求7.3. 1 脆弱性扫描7.3. 1. 1 浏览器脆弱性检查和浏览器安全相关的信息和配置，发现危险或不合理的配置，并提出相应的安全性建议。检查项目应包括:a)
10、 浏览器版本号。b) 浏览器安全设置，包括:1) ActiveX控件和插件;2) Cookies设置;3) ava权限设置;4) 脚本设置;5) 下载设置p6) 用户登录验证设置;7) 其他设置。c) 其他由于操作系统或软件未升级带来的安全隐患。7.3.1.2 邮件服务脆弱性检查使用了POP3、SMTP等电子邮件相关协议的服务程序的安全问题，检查项目应包括:a) 服务程序旗标、版本号。b) 服务程序本身的脆弱性:1) 设计错误;2) 对输入缺乏合法性检查;3) 不能正确处理异常情况。c) 服务器的危险或错误配置:1) 是否允许EXPN和VRFY命令;2) 是否允许邮件转发p3) 其他安全配置。
11、d) 其他由于操作系统或软件未升级带来的安全隐患。7.3. 1. 3 FTP服务脆弱性4 检查使用了FTP协议的服务程序的安全问题，检查项目应包括ta) 服务程序旗标、版本号。b) 服务程序本身的脆弱性:1) 设计错误;2) 对输入缺乏合法性检查;3) 不能正确处理异常情况。c) 服务器的危险或错误配置:1) 是否允许匿名登录;2) 是否使用了默认口令;3) 是否允许危险命令;的其他安全配置。d) 其他由于操作系统或软件未升级带来的安全隐患。GB/T 20278-2006 7.3.1.4 Web服务脆弱性检查使用了HTTP协议的服务程序的安全问题，检查项目应包括:a) 服务程序旗标、版本号。b
12、) 服务程序本身的脆弱性:1) 设计错误;2) 对输入缺乏合法性检查;3) 不能正确处理异常情况。c) 服务器上运行的脚本及CGI程序的脆弱性。d) 服务器的危险或错误配置:1) 文件属性错误;2) 目录属性错误;3) 其他安全配置。e) 其他由于操作系统或软件未升级带来的安全隐患。7.3.1.5 DNS服务脆弱性检查DNS服务的安全问题，检查项目应包括:a) 服务程序旗标、版本号。b) 服务程序本身的脆弱性:1) 设计错误;2) 对输入缺乏合法性检查;3) 不能正确处理异常情况。c) 其他由于操作系统或软件未升级带来的安全隐患。7.3.1.6 其他已知TCP/IP服务脆弱性检查其他使用了TC
13、P/IP协议的服务程序的安全问题，检查项目应包括:a) 服务程序的旗标、版本号;b) 服务程序本身的脆弱性:1) 设计错误;2) 对输入缺乏合法性检查;3) 不能正确处理异常情况。c) 服务程序的错误配置。7.3. 1. 7 RPC服务的脆弱性检查使用了RPC协议的服务程序的安全问题，检查是否开启了危险的RPC服务。7.3. 1. 8 NIS服务的脆弱性检查使用了NIS协议的服务程序的安全问题，检查是否开启了危险的NIS服务。7.3.1.9 SNMP服务的脆弱性SNMP服务的脆弱性包括:a) SNMP口令脆弱性检查。b) 检查SNMP服务是否导致下列的系统敏感信息泄露:1) TCP端口表;2)
14、 UDP端口表;3) 存储设备信息;4) 服务列表;5) 共享目录;6) 进程列表;5 GB/T 20278-2006 7) 路由表;8) 软件安装信息;9) 设备表;10) 网络接口设备表;11) 用户名列表。c) 其他相关检查。飞/hu d) 口令长度小于5，且只采用英2) 次策p设置:账号登录;核账号管理;核系统事件;核特权使用;3) 一一账号长时间未登录;一一账号失败的登录次数过多;-一一账号密码永不过期气一一账号口令长期未改变;账号禁用。b) 操作系统版本和补丁安装情况检查。c) 其他相关检查。7.3. 1. 12 木马检查常见木马使用的默认端口是否开启，并对扫描得到的开启端口进行测
15、试分析，对未知服务和已6 GB/T 20278-2006 知木马做出警告。7.3.1.13 NT服务检查Windows操作系统服务开启情况，检查项目应包括:a ) 将当前启动的NT服务列表与用户定义的己知NT服务列表相比较，给出未知NT服务列表;b) 检查是否启动了具有一定危险性的NT服务。7.3. 1. 14 NFS服务脆弱性检查NFS服务相关的脆弱性。7.3.3.3 网络其他信，画网络脆弱性扫描产品3a) 系统硬件信息;b) 系统软件配置信息;c ) 系统网络配置信息;d) 共享目录信息;e ) 系统运行状态信息。7.3.4 端口和服务扫描7.3.4.1 RPC端口获取运行的RPC服务及其
16、所在的RPC端口信息。7.3.4.2 TCP端口扫描所有TCP端口，检查其是否开启。7.3.1.16 DOS攻击脆言使用实际攻击手地&7.3.1. 17 文件共检查使用的对己知四)S攻击的抵御能力。、，。d) 7.3.3. 1 操作耶h网络脆弱性7 GB/T 20278-2006 7.3.4.3 UDP端口扫描所有UDP端口，检查其是否开启。7.3.4.4 端口协议分析就扫描得到的已开启的TCP/UDP端口，应能判断相应端口对应的服务或使用的协议。7.3.4.5 NT服务获取启动的NT服务列表。7.4 管理要求7.4. 1 管理员访问7.4. 1. 1 授权管理员网络脆弱性扫描产品应确保只有授
17、权管理员才能使用所有网络脆弱性扫描产品功能，包括对普通管理员的授权。7.4.1.2 普通管理员由授权管理员基于角色的管理给予普通管理员最低程序的许可来完成任务，即只允许普通管理员部分具有配置或使用网络脆弱性扫描产品的能力。7.4. 1. 3 审计员由授权管理员基于角色的管理给予审计员最低程序的许可来完成任务，即只允许审计员部分具有查看审计日志的能力。7.4.2 扫描结果分析处理a) 从扫描结果数据库形成报告，包括:1) 脆弱性报告，包括各脆弱点的详细信息、补救建议等，补救建议应确保其合理性和可用性。2) 可对目标主机扫描后的信息获取结果生成相应的报告。3) 脆弱性分析报告，包括:一一目标的风险
18、等级评估报告;将扫描脆弱点按严重程度分级，并明确标出;一一同一目标多次扫描形成的趋势分析报告;多个目标扫描后的结果的总体报告;对关键的网络脆弱性扫描信息可生成摘要报告;针对主机间进行比较的结果生成报告。b) 扫描结果写入数据库。c) 扫描结果可导人、导出和删除。d) 可按照不同的分类定制报告。e) 报告可输出成标准格式，至少包括HTML、RTF、PDF等格式。f) 提供全面灵活的扫描结果数据库浏览功能。7.4.3 扫描策略定制a) 能够使用目标的已知账号和口令对目标进行更有效的扫描;b) 定制扫描项目及属性，形成计划任务等策略;c) 具有完整的日志及审计功能;d) 提供方便的定制策略的方法(如
19、:定时启动等)。7.4.4 扫描对象的安全性7.4.4.1 报警功能在开始扫描前宿主机应向目标主机发送一个警告信息，提示该主机将要接受扫描测试，以避免网络脆弱性扫描产品被入侵者用作网络入侵工具。7.4.4.2 对目标系统所在网络性能的影响扫描应不影响网络的正常工作，允许网络性能的少量降低。8 GB/T 20278-2006 7.4.4.3 对目标系统的影晌网络脆弱性扫描产品应在脆弱性探测的强度和深度上提供一定的控制手段，以避免对被扫描系统造成严重危害。扫描宜避免影响目标系统的正常工作，宜避免使用攻击方法进行测试;在必要时使用DOS等攻击测试手段，测试开始前要给用户明确的提示，说明该类测试的危害
20、并要求用户进行确认。7.4.5 升级能力a) 网络脆弱性扫描产品应能根据技术的发展进行升级和更新。产品体系结构的设计应有利于产品的升级操作。b) 对网络脆弱性扫描产品的升级操作应遵循方便性、及时性和自动化原则。c) 对网络安全漏洞扫描产品至少可进行手动升级操作，更新漏洞特征库。7.5 安装与操作控制a) 安装与操作时应确保对网络脆弱性扫描产品的安装、管理、操作都是安全可控的pb) 网络脆弱性扫描产品扫描过程应可随时停止，并且能断点保存，随时恢复;c) 网络脆弱性扫描产品扫描过程中，应提供键盘锁定功能和屏幕保护功能。7.6 增强型网络脆弱性扫描产晶功能组件增强型网络脆弱性扫描产品的功能要求由表2
21、所列项目组成，其中标记为斜体的项目为增强型网络脆弱性扫描产品所应满足的扩展技术要求。表2增强型网络脆弱性扫描产晶功能要求功能分类功能组件身份鉴别自身安全要求适用限制敏感信息保护使用记录脆弱性扫描网络旁路检查安全功能要求信息获取端口和服务扫描脆弱性修补性能要求速度稳定性和容错性管理员访问扫描结果分析处理管理要求扫描策略定制扫描对象的安全性升级能力使用要求安装与操作控制智能化互动接口互动性要求与IDS产品的互动与防火墙产品的互动与其他应用程序之间的互动9 GB/T 20278-2006 7.7 增强型网络脆弱性扫描产品扩展功能要求7. 7. 1 身份鉴别只有授权管理员才能使用网络脆弱性扫描产品的完
22、整功能，对于授权管理员、普通管理员至少采用一种身份鉴别方式(例如:用户名和口令)对其进行身份鉴别。且底层设计上应留有接口，方便更换身份鉴别方式。7.7.2 脆弱性修补增强型网络脆弱性扫描产品应能对发现的脆弱性进行修补，脆弱性描述应与通用的脆弱性描述(例如:CVE、CNCVE等)兼容，脆弱性修补应满足下列要求:a)应针对不同的操作系统类型些特帷媳彦补方法;b) 提供的脆弱性修补方法应癖保有效。7.7.4.1 互动接网络脆弱性8 性能要求8.2 稳定性和窑错性b) 扫描进度不应停滞不前。8.3 漏洞发现能力，可为其他类型安全网络脆弱性扫描产品的技术文档应给出系统能够扫描的漏洞数目，并针对漏洞给出详
23、细描述。8.4 误报率网络脆弱性扫描产品的技术文档应标明该系统的误报率，并指明所使用的测试方法、测试工具、测试环境和测试步骤。8.5 漏报率网络脆弱性扫描产品的技术文档应标明该系统的漏报率，并指明所使用的测试方法、测试工具、测试环境和测试步骤。10 GB/T 20278-2006 9 保证要求9. 1 基本型9. 1. 1 配置管理a) 开发者应为网络脆弱性扫描产品的不同版本提供惟一的标识;b ) 开发者应针对不同用户提供惟一的授权标识;c) 要求配置项应有惟一的标识。9. 1. 2 安全功能开发过程d) 9. 1. 2. 2 表示对a) 开发者品安全功能与其外部接口;、，JtD 接口的目的与
24、方法，适当的时抽象的安全功能表整L细化。9. 1. 3. 1功a) 开川b)测、，LU 2) 3) 在安全处理环境中应进行控制的功能和权限;的所有对与网络脆弱性扫描产品的安全操作有关的用户行为的假设;5) 所有受管理员控制的安全参数，如果可能，应指明安全值;6) 每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变;7) 所有与系统管理员有关的IT环境的安全要求。c) 管理员指南应与为评估而提供的其他所有文件保持一致。9. 1. 4. 2 用户指南a) 开发者应提供用户指南。11 GB/T 20278-2006 b) 用户指南应说明以下内容:1) 网络脆弱性扫描产
25、品的非管理用户可使用的安全功能和接口;2) 网络脆弱性扫描产品提供给用户的安全功能和接口的用法;3) 用户可获取但应受安全处理环境控制的所有功能和权限;的网络脆弱性扫描产品安全操作中用户所应承担的职责;5) 与用户有关的IT环境的所有安全要求。c) 用户指南应与为评估而提供的其他所有文件保持一致。9.1.5 交付与运行a) 开发者应提供文档说明网络脆弱性扫描产品的安装、生成和启动的过程;b) 上述过程中不应向非产品使用者提供网络拓扑信息。9.1.6 生命周期支持a) 开发者应提供开发安全文件。b) 开发安全文件应描述在网络脆弱性扫描产品的开发环境中，为保护网络脆弱性扫描产品设计和实现的机密性和
26、完整性，而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在网络脆弱性扫描产品的开发和维护过程中执行安全措施的证据。9.2 增强型9.2. 1 配置管理9. 2. 1. 1 授权机制a) 开发者应使用配置管理系统并提供配置管理文档，为网络脆弱性扫描产品的不同版本提供惟一的标识。b) 配置管理系统应对所有的配置项作出惟一的标识，并保证只有经过授权才能修改配置项。c) 配置管理文槌应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述;在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。d) 配置管理文档还应描述
27、对配置项给出惟一标识的方法，并提供所有的配置项得到有效地维护的证据。9.2. 1. 2 配置管理范围a) 开发者应提供配置管理文档;b) 配置管理文档应说明配置管理系统至少能跟踪:网络脆弱性扫描产品实现表示、设计文档、测试文挡、用户文档、管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。9.2.2 安全功能开发过程9.2.2.1 功能设计a) 功能设计应当使用非形式化风格来描述网络脆弱性扫描产品安全功能与其外部接口Fb) 功能设计应当是内在一致的;c) 功能设计应当描述使用所有外部网络脆弱性扫描产品安全功能接口的目的与方法，适当的时候，要提供结果影响例外情况和出错信息的细节;d)
28、 功能设计应当完整地表示网络脆弱性扫描产品安全功能。9.2.2.2 高层设计12 a) 开发者应提供网络脆弱性扫描产品安全功能的高层设计。b) 高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强网络脆弱性扫描产品安全功能的子系统和其他子系统分开。对于每一个安全功能子系统，高层设计应描述其提供G/T 20278-2006 的安全功能，标识其所有接口以及哪些接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情况和出错信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、
29、固件和软件，并且支持由这些硬件、固件或软件所实现的保护机制。9.2.2.3 低层设计a) 开发者应提供网络脆弱性扫描产品安全功能的低层设计。b) 低层设计应是非形式化、内在一致的。在描述网络脆弱性扫描产品安全功能时，低层设计应采用模块术语，说明每一个安全功能模块的目的，并标识安全功能模块的所有接口和安全功能模块可为外部所见的接口，以及安全功能模块所有接口的目的与方法，适当时，还应提供接口的作用、例外情况和错误信息的细节。c) 低层设计还应包括以下内容:1) 以安全功能性术语及模块的依赖性术语，定义模块间的相互关系;2) 说明如何提供每一个安全策略的强化功能p3) 说明如何将网络脆弱性扫描产品加
30、强安全策略的模块和其他模块分离开。9.2.2.4 表示对应性a) 开发者应在网络脆弱性扫描产品安全功能表示的所有相邻对之间提供对应性分析;b) 对于网络脆弱性扫描产品安全功能表示的每个相邻对，分析应阐明:较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完整地细化。9.2.3 测试9.2.3.1 功能测试a) 开发者应测试安全功能，将结果文档化并提供测试文档。b) 测试文档应包括测试计划、测试过程、测试报告。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况，这些概况包括对其他测试结果的顺序依赖性。测试报告的内
31、容包括预期的测试结果和实际测试结果。9.2.3.2 覆盖分析a) 开发者应提供测试覆盖的分析结果;b) 测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的，且该对应是完整的。9.2.3.3 深度a) 开发者应提供测试探度的分析;b) 在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计是一致的。9.2.3.4 独立性测试开发者应提供证据证明，开发者提供的网络脆弱性扫描产品经过独立的第三方测试并通过。9.2.4 指导性文档9.2.4.1 管理员指南a) 开发者应提供系统管理员使用的管理员指南。b) 管理员指南应说明以下内容:1)
32、 网络脆弱性扫描产品管理员可以使用的管理功能和接口;2) 怎样安全地管理网络脆弱性扫描产品;3) 在安全处理环境中应进行控制的功能和权限;的所有对与网络脆弱性扫描产品的安全操作有关的用户行为的假设;5) 所有受管理员控制的安全参数，如果可能，应指明安全值;13 GB/T 20278-2006 的每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变;7) 所有与系统管理员有关的IT环境的安全要求。c) 管理员指南应与为评估而提供的其他所有文件保持一致。9. 2.4.2 用户指南a ) 开发者应提供用户指南。b) 用户指南应说明以下内容:1) 网络脆弱性扫描产品的非管
33、理用户可使用的安全功能和接口;9. 2.5 脆弱性评定9. 2.5.1 指南检查a) 开发者应提供9.2. 5.2 脆弱性a) 开发者应分析并提b) 对每一条9. 2. 6.2 安装生成开发者应提供文档说明网珊岳9.2.7 生命周期支持9.2.7.1 开发安全a) 开发者应提供开发安全文件;种功能进行b ) 开发安全文件应描述在网络脆弱性扫描产品的开发环境中，为保护网络脆弱性扫描产品设计和实现的机密性和完整性，而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在网络脆弱性扫描产品的开发和维护过程中执行安全措施的证据。9.2.7.2 生命周期模型a) 开发者应建立
34、生命周期模型并提供生命周期定义文档。b ) 在生命周期定义文档中，应描述用于开发和维护网络脆弱性扫描产品的模型。为了对网络脆14 GB/T 20278-2006 弱性扫描产品开发和维护进行必要的控制，该模型应提供相应的支持。9.2.7.3 工具和技术a) 开发者应标识用于开发网络脆弱性扫描产品的工具，并对开发工具中己选择的依赖实现的选项文挡化Fb) 在开发工具文档中，应明确定义所有用于实现的开发工具和实现中每个语句的含义，以及所有基于实现的选项的含义。15 GB/T 20278-2006 附录A(资料性附录)网络脆弱性扫描产晶介绍.l 脆弱性扫描技术脆弱性扫描技术是一类重要的网络安全技术。脆弱
35、性扫描技术与防火墙、入侵检测等技术互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员可以了解网络的安全配置和运行的应用服务，及时发现安全漏洞，评估网络风险等级。网络管理员可以根据扫描的结果修补网络安全漏洞和系统中的错误配置，在黑客攻击前进行防范。脆弱性扫描是一种主动的防范措施。脆弱性扫描技术主要分为两类:主机脆弱性扫描技术和网络脆弱性扫描技术。网络脆弱性扫描技术主要针对网络系统和设备中不合适的设置、脆弱的口令以及其他同安全规则抵触的对象，通过网络进行检查和提出补救方法等;而主机脆弱性扫描技术则是直接在被扫描主机上对主机系统进行扫描并记录系统的反应，从而发现其中的漏洞，并提出补救方
36、法。本标准针对采用了网络脆弱性扫描技术的产品提出相关技术要求。.2 网络脆弱性扫描产品简介网络脆弱性扫描产品的功能是对计算机系统和网络设备进行安全评估分析，即进行安全相关的检查，发现其漏洞和脆弱性，对系统的安全状况进行评估、风险分析、安全趋势分析，对发现的问题提出解决方案和建议，从而提高网络系统安全性能。.3 体系结构. 3.1 系统组成系统的基本组成由囚个模块构成，模块间的关系如图A.l所示。分布式系统由一个以上扫描引擎和其他三个模块组成。圈.l网络脆弱性扫描产晶的系统基本组成.3.2 界面界面部分主要完成以下的功能za) 负责接受并处理用户输入、定制扫描策略、开始和终止扫描、定制评估分析报
37、告等;b) 显示系统工作状态。. 3. 3 扫描引擎扫描引擎部分主要完成以下的功能:16 GB/T 20278-2006 a) 响应界面指令;b) 读取扫描策略数据库，并依此制定执行方案;c) 执行扫描方案，启动扫描进程和线程，并进行调度管理pd) 将扫描结果存档保存。A.3.4 结果评估分析结果评估分析部分主要完成以下的功能za) 读取数据库中扫描结果信息;b) 形成结果报告。A.3.5 数据库数据库部分主要完成以下的功能za) 存放扫描结果、定制策略内容、脆弱性描述及其解决方法pb) 提供数据查询、管理功能。17 GB/T 20278一2006参考文献GB/T 9387.2-1995信息处
38、理系统开放系统互连基本参考模型第2部分:安全体系结构Cidt ISO 7498-2: 1989) GB/T 17859-1999 计算机信息系统安全保护等级划分准则GB/T 18336. 1-2001 信息技术安全技术信息技术安全性评估准则第1部分:简介和一般模型(idtISO/IEC 15408-1 :1 999) GB/T 18336. 2一2001信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求(idtISO/IEC 15408-2: 1999) GB/T 18336.3-2001 信息技术安全技术信息技术安全性评估准则第3部分:安全保证要求(idtISO/IEC 15408-3: 1999) 18 CON-hNONH阁。华人民共和国家标准信息安全技术网络脆弱性扫描产晶技术要求GB/丁20278-2006国由* 中国标准出版社出版发行北京复兴门外三里河北街16号邮政编码:100045网址电话:6852394668517548 中国标准出版社秦皇岛印刷厂印刷各地新华书店经销晤印张1.5字数37千字2006年10月第一次印刷开本880X 1230 1/16 2006年10月第一版 定价14.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话:(010)68533533书号:155066 1-28009
