密评实战之设备和计算安全

设备和计算安全实战测评

1.测评指标

2.测评要求

3.测评证据采集

3.1身份鉴别

       设备和计算安全首先就是要确定测评对象，然后根据测评要求进行取证。设备层面的身份鉴别取证过程基本相同，下面以密码产品为例 。

密码产品，如：服务器密码机、签名验签服务器、IPSec/SSL VPN等

必要取证截图如下：

第一步：查验身份鉴别方式

上图为登录方式截图

上图为智能密码钥匙截图

上图为智能密码钥匙产品证书

通过查验产品和证书信息一致，运维人员使用了智能密码钥匙进行身份鉴别。

第二步：查验密码技术的实现方式

    智能密码钥匙USBkey，使用数字证书进行身份鉴别，导出数字证书，查验证书合规性。

   查验证书的使用者、颁发者、有效期是否合规，上图有效已过期，故身份鉴别机制存在安全风险，不满足测评要求。

   看到这里有细心的小伙伴可能发现该证书的颁发机构不是合规的第三发机构颁发，而是由密码产品的厂商自行签发，那么对于自签证书的合规性该如何判断呢？

  小编这里也咨询了密评方面的专家，得到的答复是“**由于设备在这种特定的环境下，设备的数量有限，接触的人员较少，几乎没有法律责任认定问题，K可以给分”，“如果面向大规模用户，用户和系统之间存在潜在的责任认定风险，就要用第三方电子认证服务”。**

   设备层面大部分是自签证书，如果是合规的第三方CA机构颁发的证书，小编在这里建议：验证一下证书链是否完整，防止证书被伪造。

第三步：在条件允许的环境下，验证证书签名值的有效性。

    在实际密评中，取证往往不是一帆风顺，要尽可能寻找多个证据来进行结论的支持。

3.2远程管理通道安全

    远程管理通道测评，同网络和通信层面的抓包一致，需要对数据包进行分析。

3.2.1通用服务器

找到目标服务器通过wireshark或者TCPdump进行抓包，解释流量得到以下信息：

     上图中可以清晰看到远程运维服务器使用的算法套件，不存在高风险算法，部分符合相关要求，DAK分别为√××。

3.2.2密码产品

    目前小编遇到的密码产品运维大部分为B/S架构，通过浏览器进行图形化界面运维，具体如下：

第一步：抓取流量包

   通过抓包分析，可知密码产品在运维时通过TLSv1.2协议，采用数字证书进行通信实体的身份鉴别。

第二步：导出数字证书，验证证书合规性。（同网络层）

3.3系统资源访问控制信息完整性

    具体问题具体分析，目前小编尚未遇到此类问题，大部分系统不涉及该指标。

    小编给小伙伴一个解决问题的思路：首先密评主要针对的是密码产品，如若进行了相关的密码防护，就去查验保护的方式，比如调用密码机，第一步：先篡改已有数据，看是否有保护机制。如果有防护机制，进行第二步：查找调用的代码截图、加密的接口、密码机的日志记录等信息，验证机制是否匹配。

3.4重要信息资源安全标记完整性

3.5日志记录完整性

3.6重要可执行程序完整性、重要可执行程序来源真实性

   针对3.4、3.5、3.6，查验部署的产品信息是否与商用密码产品认证证书信息一致。

   由于产品特殊，不方便展示，小编网上截取了密码机的截图供大家参考，实际测评中需要查验产品上的标签、标识来验证。

   查验证书和实际使用的产品信息一致，且在有效期内，可判断产品符合要求，能满足身份鉴别需求。

    以上内容是小编的个人经验总结，不妥之处，欢迎留言指正。