Generalsecuritytestingmethodsforcriti電信終端產業協會發布I 1 1 1 1 2 3 3 3 6 7 本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。海諾基亞貝爾股份有限公司、聯想（北京）有1網絡關鍵設備安全通用檢測方法本文件適用于網絡關鍵設備的檢測，還可用于指凡是不注日期的引用文件，其最新版本（包括所有的修改單）GB40050-2021網絡關鍵設備安全GB/T39680-2020信息安全技術服務器安全技術要求和4縮略語ASCII：美國信息交換標準代碼（AmericanStandardCodeforInformationInterchange）HTTP：超文本傳輸協議（HyperTextTransferProtocIPv4：互聯網通信協議第四版（InternetProIPv6：互聯網通信協議第六版（InternetProMAC：媒體訪問控制（MediaAccessControl）MD5：消息摘要算法（MessageDigestAlgorithmMNTP：網絡時間協議(NetworkTimeProtocol)SNMP：簡單網絡管理協議（SimpleNetworkManagementPro2TCP：傳輸控制協議(TransmissionControlProUDP：用戶數據報協議(UserDatagramProtocoWEB：全球廣域網（WorldWideWeb）于連接數據模擬測試儀與被測設備，實現二者之間網絡數據或工業控制數據的互通。32)檢查設備的主要部件是否具備唯一性標識，主要部應對預裝軟件、補丁包/升級包的不同版本進行唯一2)軟件唯一性標識可以是分配的唯一版本號、軟件哈希值等標識信息中的一個4網絡關鍵設備整機應支持主備切換功能或關鍵部件應支持冗余功能。網絡關鍵設備應至少通過設備冗余和自動切換功能（整機注：路由器、交換機常見的支持冗余功能的關鍵部件：主控板卡、交換網板、電源模塊、風扇模塊等。服務器常3)查看數據流量或輸入輸出控制是否自動切換到備用設備設備冗余和自動切換功能（部件56典型的漏洞掃描方式包括系統漏洞掃描、WEB應用漏洞掃描等，掃描應覆蓋具有網絡通信功能利用系統漏洞掃描工具通過具有網絡通信功能的各類接口分別對被測設備系統進行掃描），），72)廠商提供具有管理員權限的賬號，用于登錄設使用兩個不同的惡意程序掃描工具對被測設備預裝軟件、補丁包/升級包進行掃描，查看是否3)廠商說明中應明確不存在未聲明的2)被測設備不存在未聲明的功能和訪問接口（含遠程8更新操作安全功能安全要求見GB40050-20215.4c）。更新操作，實施更新操作的用戶需經過二次鑒別，支持用戶選擇是否進行更新，對更新操作進行二次確認或9軟件更新防篡改功能安全要求見GB4002)修改廠商提供的預裝軟件更新包并嘗試更新，檢查是否可以完2)檢查更新過程中有無提示更新過程開2)具備更新過程開始提示信息和更新過1)i：若被測設備存在默認口令，則使用默認賬號口令安全——口令復雜度、口令顯示安全要求見GB40050-20215.5b）常見的口令字符類型示例：包含數字、小寫字母、大寫字母、標點符號、特殊符號中的至少兩類；常見的口服務器安全檢測方法參見GB/T39680-20206服務器安全檢測預期結果參見GB/T39680-20206查中的至少一項。口令復雜度要求長度不少于8位，口令字符類型檢查要求至少包含2種不同類型字符，常見的字符類型包括數字、大小寫字母、特殊字注：常見的防范用戶鑒別信息猜解攻擊的安全策略或安全功能包括默認開啟口令復雜度檢查功能、限制連續的非應支持啟用安全策略或具備安全功能，以防止用戶登錄后會話空閑時間2）廠商提供所有身份鑒別信息安全存儲、安全傳1)按照廠商提供的說明材料生成用戶身途，應支持用戶關閉默認開啟的服務和對應2)設備運行于默認狀態，默認狀態為設備出廠設置時的與廠商提供的說明材料內容一致、是否僅開啟必要的服務2)設備運行于默認狀態，默認狀態為設備出廠設置時的3)廠商提供設備非默認開放端口和服務對應關1）分別添加或使用不同權限等級的兩個用戶user1、user2；作；user2支持涉及設備安全的重要功能如補丁管理、固件管理、應提供日志信息本地存儲功能。應提供本地日志存儲空間耗盡處理）；記錄剩余存儲空間低于閾值的告警；如設備支持循環覆蓋，生了日志覆蓋，且應是最新產生的日志對最早產生的日志進行覆2）廠商提供具備對日志不同操作權限的賬號，并說明不注：網絡關鍵設備使用的常見的通信協議包括IPv4/IPv6、TCP、UDP等基礎通信協議，SNMP、SSH、HTTP等網絡管應與《3GPPTS33.117Catalogueofgeneralsecu“4.4.4Robustnessandfuzz配置被測設備，開啟時間同步功能（如NT），被測設備支持使用NTP或其他方式實現時廠商提供被測設備支持的所有協議以及不存在未聲明的私有協議的2)廠商提供說明材料，說明存儲在被測設備上的敏感數據類型及4)管理員權限，系統維護權限賬戶為授權賬戶可以刪除日志信3)授權賬戶可以成功刪除系統中存儲的配置文件，刪除前應支持對刪除操設計和開發環節風險識別安全要求見GB40050-20216.1a）。應在設備設計和開發環節識別安全風險，制定安注：設備設計和開發環節的常見安全風險包括開發環境的安全風險、第三方組件引入的安全風險、開發人員導致1)廠商提供說明材料，說明在設備設計和開發環第三方組件引入的安全風險、開發人員導致的安設備安全設計和開發操作規程安全要求見GB40050-20216.1b）。應建立設備安全設計和開發操作規程，保障安全策略落實到設計和開發的整個過程。配置管理及變更安全要求見GB40050-20216.1c）。2)確認已發生的變更情況，查看廠商提供的3)廠商提供防范第三方關鍵部件、固件或軟件可能引入的安全風設備安全測試安全要求見GB40050-20216.1g）。安全缺陷與漏洞的修復和補救安全要求見GB40050-20216.1h）。應對已發現的安全缺陷、漏洞等安全問題進行修復，或提供補生產和交付環節風險識別安全要求見GB40050-20216.2a）。應在設備生產和交付環節識別安全風險，制定安注：生產和交付環節的常見安全風險包括自制或采購的組件被篡改、偽造等風險，生產環境存在的安全風險、設1)廠商提供說明材料，說明在設備生產和交付環1)說明材料中明確體現了設備在生產和交付環節的主要安全風險，自制或采購的組件被篡1)應建立并實施規范的設備生產流程，2)廠商提供說明材料，說明已采取措施防范自制或采購的組件被篡改、偽4)廠商提供為用戶提供驗證所交付設備完整性的工具或方1)查看廠商提供的說明材料，確認是否4)查看廠商提供的為用戶提供驗證所交付設備完整性的3)廠商留存了準確一致的預裝軟件安裝前的完1)廠商提供的設備服務與默認端口號的映射關系說明材料明確描述默認開放的端口信息及信的私有協議并說明其用途，確認是否說明私有協議不存在所聲明范圍之外的用途。2)廠商在交付前發現的漏洞具備補救措漏洞補救措施可以是漏洞修復補丁、升級包、技術方1)廠商提供說明材料，說明在運行環節存在2)廠商提供說明材料，說明對設備進行維護時引入的安全風險及相應1)說明材料中明確體現了設備在運行環節的主要2)說明材料中明確體現了對設備進行維護時引入的主要安全風險，并且明確相應的安全策安全事件的應急響應安全要求見GB40050-20216.3b）。應建立并執行針對設備安全事件的應急響應機制和流程，并為應急處置配備相應的資源。1)查看廠商提供的說明材料，確認是否建立針對漏洞補救措施可以是漏洞修復補丁、升級包、技術方補丁包/升級包的完整性、來源真實性進行驗證安全要求見GB40050-20216.3f）。應為用戶提供對補丁包/升級包的完整性、來源真實性進行驗1)廠商提供說明材料，說明為用戶提供的對補丁包/升級包的完整性、1)廠商提供說明材料，說明為用戶提供的對補丁包/升級包的完整性、1)檢查廠商提供的說明材料，確認是否包含為用戶提供的對補丁包/升1)說明材料中明確包含為用戶提供的對補丁包/升級包的完整性、來源1)應為用戶提供對廢棄（或退役）設備中關鍵部3)對于維修后再銷售