算機與網(wǎng)技術論壇應用安全改造的要點與難點李陽(上海三零衛(wèi)士信息安全有限公司,上海200000[摘要]基于等級保護應用安全的要求,結合應用安全咨詢經(jīng)驗,分析了應用安全主要問題點,針對性的從應用安全功能和應用安全場景兩大維度提出了應用安全改造的要點,剖析了應用安全改造整個過程中主要的難點,并明確了應用安全改造后的驗證的重要性。[關鍵詞]應用安全改造等級保護安全功能安全場景中圖分類號:TN91508文獻標識碼:A文章編號:1008-1739(2015)16-73-3ain Points and Difficulties of Application Security reformLI Yang(Shanghai 30wish Information Security Co, Ltd, Shanghai 200000, ChinAbstract: Based on the requirement of classified protection application security, combined with application security consultingexperience, analyze the main problems, from the application security function and security scenario, put forward the main points of theapplication security reform, analyze the main difficulties in the whole process, and made clear the importance of the application securityverification after reformingKey words: application security; level protection; safety function; security scenario1引言2應用安全主要問題點結合近幾年等級保護咨詢和客戶單位的等級測評結果分等級保護機制促進了信息系統(tǒng)的安全保障,在應用安全而如何進行應用安全改造成了系統(tǒng)安全責任單位應用安全保下9個現(xiàn)狀,可發(fā)現(xiàn)當前應用安全的問題點主要集中在以析應用安層面,提出了具體的基本要求,也明確了詳細的測評指標身份鑒別,未實現(xiàn)雙因素身份鑒別機制和登錄失敗處理功障的薄弱環(huán)節(jié),缺乏系統(tǒng)性的應用安全改造指導建議。同時應用開發(fā)商在面對已發(fā)現(xiàn)的應用安全風險和不足點時,也缺應用安全改造方向,在進行應用安全改造時,無法有效的判訪問控制,對重要信息資源未設置敏感標記及嚴格控制用戶相關操作;斷應用安全改造的可行性和價值,加上多種新型應用環(huán)境的安全審計,僅實現(xiàn)用戶登錄登出操作記錄,未實現(xiàn)用戶大出現(xiàn),進一步加大了應用安全改造的難點和深度。本文為本人容性操作的審計報表憑借近些年有關網(wǎng)絡信息安全方面的咨詢經(jīng)驗,尤其是等級剩余信息保護,未有效進行空間釋放及信息清除保護建設與整改的經(jīng)歷,結合對等級保護基本要求中應用安通信完整性,未采用密碼技術保證通信過程中數(shù)據(jù)的完整全層面的深度理解,分析總結出有關應用安全改造的要點和難點,尤其在改造要點方面針對主要問題點逐一展開安全功通信保密性,未實現(xiàn)對整個報文及會話過程加密能的實現(xiàn)論述。整篇文章可供安全責任單位、應用開發(fā)商及安抗抵賴方面,未實現(xiàn)有關數(shù)據(jù)原發(fā)和接接收的數(shù)據(jù)原發(fā)證全咨詢機構等單位在應用安全改造環(huán)節(jié)時參考。據(jù)的功能軟件容錯定稿日期:2015-07-26TH中國煤化工時,應用系統(tǒng)無CNMHG技術論壇算機與網(wǎng)絡資源控制,缺乏對應用系統(tǒng)的最大并發(fā)會話連接數(shù)、單個操作,保證應用系統(tǒng)按照安全策略進行了合理、正確的訪間控賬戶的多重并發(fā)會話數(shù)以及一個時間段內(nèi)可能的并發(fā)會話連制配置接數(shù)的限制;對資源分配未設置最大限額和最小限額;未實現(xiàn)3.1.3安全審計根據(jù)服務優(yōu)先級分配系統(tǒng)資源。為了保持對應用系統(tǒng)的運行情況以及系統(tǒng)用戶行為的跟蹤,以便事后追蹤分析,安全審計功能實現(xiàn)必不可少。然而應3應用安全改造要點用系統(tǒng)開發(fā)時,基本上都不會開發(fā)應用系統(tǒng)自身的日志及審計功能模塊,用來對應用用戶的各種行為、操作進行記錄和審應用系統(tǒng)面臨的風險是來自多方面的,不僅來自于應用計,或者對應用用戶僅記錄登錄、登出等登錄信息。而且目前軟件自身、所依托的支撐平合(包括服務器操作系統(tǒng)、網(wǎng)絡平市場上的安全審計類產(chǎn)品,大部分都是針對網(wǎng)絡、操作系統(tǒng)和臺和支撐軟件等),在客戶端、應用協(xié)議等方面,風險也是無所數(shù)據(jù)庫這類標準件、成熟產(chǎn)品的,針對個性化很強的應用系統(tǒng)不在的;加之移動應用、云服務等新技術的誕生與發(fā)展,進的安全審計功能的產(chǎn)品極少。故在應用安全改造時,應用系統(tǒng)步誘發(fā)新的風險。應用安全的改造已從早期的安全功能實現(xiàn),的審計功能的實現(xiàn)尤為重要逐漸轉(zhuǎn)變成體系性的集安全功能、安全場景于一體的安全再3.14剩余信息保護建設。為防止存儲在硬盤、內(nèi)存或緩沖區(qū)中的信息被非法授權3.1應用安全功能的訪問,應用系統(tǒng)必須加強硬盤、內(nèi)存或緩沖區(qū)中剩余信息的應用安全應能從需求、設計、編碼、測試以及發(fā)行等各個保護。同時,應用系統(tǒng)必須將文件、目錄和數(shù)據(jù)庫記錄等資源階段加強安全性考慮,盡可能避免和消除漏洞,即建設單位應清除后才能分配給其他用戶。明確安全需求,包括系統(tǒng)本身的業(yè)務需求、國家政策、標準、行對內(nèi)存中剩余信息保護的重點是,在釋放內(nèi)存前,將內(nèi)存業(yè)規(guī)范等合規(guī)性要求,并將安全需求傳達給應用開發(fā)商,應用中存儲的信息刪除,即將內(nèi)存清空或者寫入隨機的無關信息開發(fā)商在知曉相關安全需求的基礎上,基于軟件安全開發(fā)硬盤中剩余信息保護的重點是,在刪除文件前,將對文件中存型,進行軟件的安全開發(fā)。儲的信息進行刪除,即將文件的存儲空間清空或者寫人隨機而應用安全改造,實際上也是應用安全需求一安全設計的無關信息。安全編碼一安全測試等階段的又一次周期性實現(xiàn);同時,軟對剩余信息的清除是會對應用系統(tǒng)的性能造成影響的,件的安全漏洞可以在軟件開發(fā)生命周期的任何階段被引入相對于寫入垃圾數(shù)據(jù)的方式,清空存儲區(qū)或者文件的方式對因此在應用安全改造過程中,安全開發(fā)意識應貫穿整個應用能的影響更3.1.5通信完整性合等級保護三級應用安全主要問題點,可分析出當前為防止數(shù)據(jù)傳輸時被篡改,應用系統(tǒng)應實現(xiàn)通訊雙方利應用安全開發(fā)應主要關注以下方面。用密碼算法(如利用Hash函數(shù)計算通信數(shù)據(jù)的散列值,并用3.1.1身份鑒別非對稱加密算法對散列值進行加解密)來保證通信過程數(shù)據(jù)對登錄的用戶進行身份鑒別,確保只有通過驗證的的用的完整性。戶才能在系統(tǒng)規(guī)定的權限內(nèi)進行操作。當前最常見的應用雙3.1.6通信保密性因素身份鑒別通常采用用戶名/口令與CA認證組合身份認為防止發(fā)生通信過程中的信息泄露,在通信雙方建立連證實現(xiàn)。CA認證作為身份鑒別機制,對應用安全身份驗證起接之前,應用系統(tǒng)應利用密碼技術進行會話初始化驗證。對到了顯著的作用。同時,為了防止非授權用戶對應用系統(tǒng)用戶通信過程加密的范圍為整個報文或會話過程。即,需要改進開的身份鑒別信息進行暴力猜測,應用系統(tǒng)需實現(xiàn)登錄失敗發(fā)架構,服務器與客戶端的數(shù)據(jù)傳輸不要使用明文方式或易理功能,如采取結束會話,限制非法登錄次數(shù),當?shù)卿涍B接超破解方式;使用加密通訊方式,如B/S架構的應用系統(tǒng),使用htps協(xié)議,而不要使用htp協(xié)議;必要時,使用專業(yè)加密機3.1.2訪問控制類設備應用系統(tǒng)的訪問控制能力,是保證應用系統(tǒng)合法地使用4應用安全改造難點的重要措施。通過安全策略,控制用戶對客體的訪問權限。尤其重要信息資源,如應用系統(tǒng)中的身份證號、手機號等信息,41應用安全改中國煤化工須進行敏感標記,控制用戶對有敏感標記重要信息資源的應用開發(fā)安CNMHG安全開發(fā)模算機與網(wǎng)絡「技術論壇型、安全管理流程),應用安全改造能力低下,甚至不凊楚如何系統(tǒng)風險評估的結果報告等結果,以及應用安全改造過程中改善所面臨的應用安全問題。尤其是軟件開發(fā)人員大多數(shù)僅所發(fā)現(xiàn)的整改初期未意識到的問題,從而整體上把握應用安會進行軟件功能的實現(xiàn),不知道如何將安全需求、安全要求和全改造的完善性編程方法相結合。應用安全改造后的驗證最好的方式是進行新一輪的應用4.2應用安全改造推動力薄弱安全檢測,即基于等級保護要求第三極的應用安全要求進行應用安全的改造成本相比新建應用的成本,在大多數(shù)情應用系統(tǒng)的安全實現(xiàn)差距再分析,同時結合應用漏洞掃描、滲況下,顯得較高,應用需求方和應用開發(fā)商均覺得應用安全改透測試以及應用安全評估進行全方面的檢測,叫以評估應用安造的意義不如待新版系統(tǒng)升級時一并考慮,便導致目前很多全改造的成果。應用需求方知曉當前所面臨的安全問題,但基于成本效益原則,暫不處理,讓應用系統(tǒng)繼續(xù)暴露在當前的網(wǎng)絡環(huán)境中存6結束語在嚴重的安全隱患4.3應用行業(yè)的特殊性要求本文指明了等級保護應用安全改造的要點和難點,提出每個行業(yè)都有其自身的特殊性要求,對于應用開發(fā)商來從身份鑒別、訪間控制、安全審計剩余信息保護通信完整說,對行業(yè)所具有的特殊性很可能把握不足,或者對個別行業(yè)性、通信保密性、抗抵賴、軟件容錯、資源控制等安全功能展開改造;站在應用安全保證的基礎上,分析出應用安全改造水平分析不透徹,必然會對應用安全的改造造成一定的難度。如醫(yī)療衛(wèi)生行業(yè)應用系統(tǒng)涉及病患者診療等強隱私性的敏感信差異推動力薄別,行業(yè)特朱性、持續(xù)性等主要難點;并提出應息,因此它在可靠性、穩(wěn)定性、安全性等性能上比其他行業(yè)更用安全改造驗證的重要性,有效保障了應用安全改造閉環(huán)的為重要參考文獻5應用安全改造后的驗證]GB/T25070-2010信息系統(tǒng)等級保護安全設計技術要求驗證應用安全改造成功與否是應用安全整個改造環(huán)節(jié)中(2GB/T22392008信息安全技術信息系統(tǒng)安全等級保護不可或缺的一部分,不應該僅僅根據(jù)系統(tǒng)整改環(huán)節(jié)明確的應基本要求S用安全整改計劃中所確認的整改內(nèi)容,還應結合不當初的安3GA/T712-207信息安全技術應用軟件系統(tǒng)安全等級保全測評報告中的應用安全部分的內(nèi)容、應用掃描漏洞報告和護通用測試指南SJD. Power客戶滿意度啁查富上施樂連續(xù)6年蟬聯(lián)榜首近日,全球市場信息服務機構 J D. Power亞太公司發(fā)布和服務幫助客戶創(chuàng)造更多價值了“2015日本彩色復印機客戶滿意度指數(shù)調(diào)查”和“2015日本此次報告是JD. Power亞太公司于今年5月在日本進行彩色打印機客戶滿意度指數(shù)調(diào)査”報告。調(diào)查結果顯示,富土的年度調(diào)查成果。調(diào)查主要面向日本國內(nèi)30人以上規(guī)模的企施樂株式會社以絕對優(yōu)勢高居榜首,這是富士施樂連續(xù)第6業(yè)。針對彩色復印機和彩色打印機的調(diào)查分別收到了6,688份咩聯(lián)客戶滿意度調(diào)查冠軍。和2,396份有效回復。JD. Power目前還未在日本以外的其他在此次調(diào)查中,富士施樂在“產(chǎn)品”和“銷售代表及裝機服市場進行該調(diào)查。”兩項直接影響整體客戶滿意度分數(shù)權重的指標上均獲得長期以來,富士施樂秉承“客戶至上”的原則不斷努力提了最高分升客戶滿意度,并獲得了市場和各國客戶的好評。在JD富土施樂始終視客戶滿意為企業(yè)經(jīng)營的基礎。早在201 Power亞太公司的《日本I解決方案供應商客戶滿意度調(diào)查》年,富士施樂便制定了《客戶滿意行動指南》,這不僅使令每位中,富士施樂連續(xù)三年蟬聯(lián)第一。同時,在《日經(jīng)電腦》2013直接面對客戶的銷售,甚至連研發(fā)部門以及總部的所有員工2014年發(fā)布的“客戶滿意度調(diào)查”中,富士施樂連續(xù)兩年獲得都能為實現(xiàn)客戶滿意而努力行動?！荰咨詢/上游設計服務類排名第一。值得一提的是,富士施樂富士施樂將繼續(xù)為客戶提供具有行業(yè)最高美譽度的產(chǎn)有限公司自2012TH中國煤化工度第品,并致力于成為客戶最信賴的合作伙伴,以最優(yōu)的解決方案CNMHG(王進)