一些安全扫描工具

术语表

术语	定义
敏感数据	敏感数据的具体范围取决于产品具体的应用场景，产品应根据风险进行分析和判断。典型的敏感数据包括口令、银行帐号、大批量个人数据、用户通信内容和密钥等。一类如果丢失或者泄漏，会对数据的所有者造成负面影响的数据。 本基线定义的“敏感数据”包括但不限于：口令、通行码、密钥、证书、License、隐私数据（如短消息的内容）、授权凭据、个人数据（如姓名、住址、电话等）、金融数据等。在程序文件、配置文件、日志文件、备份文件及数据库中都有可能包含敏感数据。
原始通信内容	通信双方（只要其中一方涉及自然人）之间的实际通信内容，包括语音类、短信/彩信类、传真类、数据业务（如即时消息、Email、视频通信、网页浏览等）类等
合法监听敏感信息	指合法监听相关的事件信息，如监听目标（通信参与方）、监听时间、通信时间、通信时长等，不包括通信内容
个人数据	指直接通过该数据或者结合该数据与其他的信息，可以识别出自然人的信息。
匿名化	指对个人数据进行的更改（例如单向散列、截短、替换等，如需保留个人数据真实值与替换值之间的对应关系，可以使用对称加密或映射表方式，但密钥/映射表必须由运营商控制），使原来有关个人的信息不再能归属到一个可识别的自然人，或推理这种归属需要耗费过多、不相称的时间、费用和精力。来源：《德国个人数据保护法》
安全删除	指对数据删除之后不可恢复，或者恢复需要付出过多、不相称的时间、费用和精力。例如：对RAM（内存）用新的数据覆盖或下电；对磁盘分区进行低格、对磁盘文件重写三次或以上、对磁盘进行消磁、粉碎；对CD进行物理粉碎等。来源：参考德国合作项目顾问建议
未公开接口	可绕过系统安全机制（认证、权限控制、日志记录等）对系统或数据进行访问的功能（如客户无法管理的固定口令/隐藏账号机制、不记录日志的非查询操作等）及产品资料中未向客户公开的命令/外部接口（如隐藏命令/参数、隐藏端口等接入方式）
远程访问	通过Internet或局域网远距离访问设备的接入方式
受限公开	对于涉及产品知识产权、高危操作、可外部调用的内部接口等不期望向所有客户人员公开的内容，不在正式发布的面向所有客户的产品资料中公开，仅主动向客户/政府特定人员公开或仅在客户要求时再公开（与客户签署保密协议），以规避因实现细节过度公开而导致的安全风险。在正式发布的面向客户的产品资料中需注明受限公开资料的获取方式/途径。
增值服务	欧盟2002年58号文——任何要求对数据流（traffic data）或数据流以外的位置数据进行处理的服务，不包括为了必要的通信传输和计费目的所需要处理的数据流。
操作员帐号	业务系统分配给局方或者厂家人员用于对本业务系统进行业务运作、系统管理以及维护的帐号，如营业厅操作员的帐号等。

SSL 协议	SSL(Secure Socket Layer) 位于应用层和传输层之间，它可以为任何基于TCP 等可靠连接的应用层协议提供安全性保证。 SSL 协议实现的安全机制包括： 1、 数据传输的机密性：利用对称密钥算法对传输的数据进行加密。 2、 身份认证机制：基于证书利用数字签名方法对服务器和客户端进行身份验证，其中客户端的身份认证是可选的。 3、 消息完整性验证：消息传输过程中使用基于MD5 或 SHA的 MAC 算法来检验消息的完整性。 SSL 的全称是 “Secure Sockets Layer”，中文名为 “ 安全套接层协议层 ” 。 SSL协议指定了一种在应用程序协议（如 HTTP、 Telenet、NMTP 和 FTP等）和 TCP/IP 协议之间提供数据安全性分层的机制，它为 TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。
TLS 协议	TLS 协议设计的具体目标是解决两个通信实体之间的数据的保密性和完整性等，总体目标是为了在因特网上统一SSL 的标准。因此，在协议构成方面，TLS几乎与SSL协议一样，主要分为TLS 记录协议与TLS握手协议。TLS记录协议与 SSL 记录协议基本一致，字段的内容也基本相同。TLS记录协议也有4种类型的客户：握手协议、警告协议、改变密码规格协议和应用数据协议等。为了便于TLS 的扩展，TLS记录协议还支持额外的记录类型。 TLS 建立会话协商的参数、握手协议过程等与SSL 一致。TLS:（TLS：Transport Layer Security Protocol） 安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。该协议由两层组成：TLS 记录协议（TLS Record）和TLS 握手协议（TLS Handshake）。较低的层为TLS 记录协议，位于某个可靠的传输协议（例如TCP）上面。 TLS 记录协议提供的连接安全性具有两个基本特性
SSH协议	SSH(the Secure Shell), 是一个很流行的、强大的、基于软件的网络安全工具。任何时候，只要电脑向网络上发送数据，SSH都会自动加密。当接受到数据时，SSH会自动解密。
SNMP	简单网络管理协议（SNMP：Simple Network Management Protocol）是由互联网工程任务组（IETF：Internet Engineering Task Force ）定义的一套网络管理协议。该协议基于简单网关监视协议（SGMP：Simple Gateway Monitor Protocol）。利用SNMP，一个管理工作站可以远程管理所有支持这种协议的网络设备，包括监视网络状态、修改网络设备配置、接收网络事件警告等,SNMPv3是在SNMPv2基础之上增加、完善了安全和管理机制.
IPSec	IPSec 是一套用来通过公共IP网络进行安全通讯的协议格式，它包括数据格式协议、密钥交换和加密算法等
SFTP	sftp是Secure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的加密方法。

 

程序帐号	由程序使用的帐号，例如在某程序中实现SFTP自动传输文件的功能，那么在这段程序中使用的、为了实现SFTP自动登录的帐号即为程序帐号。
最终用户帐号	属于业务范畴的帐户，如手机号、eMail用户帐号等。
身份认证	验证用户身份的真实性。认证方法有基于用户所知道的、基于用户所拥有的、基于用户个人特征。 常见的用户身份认证有：口令认证、智能卡认证、动态口令认证、数字证书认证、生物特征认证等。
加密协议	FTP、HTTP、Telnet协议都是以明文传输的应用层协议，传输过程中存在被窃听的安全隐患，SFTP/FTPS、HTTPS、SSH是分别与之对应的加密应用层协议。
初始密钥	用来导出主密钥的密钥。一般为操作员输入或者写死在代码中，写死在代码中时必须遵循本基线中“密钥管理”相关的要求。公司开发的加密库，其中包含了密钥导出函数：PKCS5-deriveKey(…)，可以直接调用该函数导出加密的密钥。Java中请参考类 PBEKeySpec。
主密钥	用来加密（使用对称算法）工作密钥的密钥。一般是使用密钥导出算法对初始密钥进行计算而得出。某些场景下，主密钥就是工作密钥，但一般不建议。
工作密钥	用来加密（使用对称算法或者 HMAC 算法）业务中敏感数据的密钥。一般是随机生成的。某些场景下，是由用户/操作员输入、然后使用密钥导出算法计算得到。

范围、目标和任务

 

Ø 工作范围：所有合作产品版本。

Ø 工作目标：版本在交付华为验收时，均能满足产品安全规范的要求。

Ø 工作任务：所有合作产品版本需根据安全规范，在需求、设计、开发、测试、发布阶段落实安全要求，确保满足华为产品网络安全规范的要求。

 

•    合作方应根据安全要求，将安全作为产品需求的一部分纳入产品规划。

•    合作 方应对产品在需求、设计、开发、测试、发布等环节对研发文档（包括但不限于需求文档、系统设计文档、详细设计文档、测试方案、测试用例、产品手册、版本变更记录、特性变更记录）、工具（包括但不限于编程工具、编译工具、测试工具、配置管理工具）、源码、变更（包括但不限于需求变更、设计变更、方案变更、版本变更）、产品版本（包括但不限于系统软件版本管理、硬件版本管理、其它配套件版本管理）等要有清晰的记录和管理，以确保可追溯性。

    合作方应在编码阶段进行代码安全扫描，解决高风险的代码安全问题；应提供通信矩阵并说明所有开放端口的用途，测试阶段进行病毒扫描、端口扫描、漏洞扫描和Web安全测试。

软件安全：业务流程维度措施

维度	措施	要求	计划完成时间
前端	发包时在工作任务书（SOW）中明确网络安全部分质量目标及验收标准，以及必做的规范动作。	合作公司应根据SOW中明确的网络安全目标及安全规范进行开发和维护。	例行操作
后端	验收准入条件中增加网络安全要求； 验收环节增加安全部分验收，确定供应商是否达成SOW中的网络安全标准，并检查相关输出件	合作公司在提交版本进行验收前应进行自检，确保达到网络安全标准的验收准入条件。	例行操作
公司测评	制定并发布网络安全成熟度评价标准，结合标准对合作公司进行定期测评	合作公司需建立自己的产品安全体系，设置安全工程师的角色，培养员工的安全设计、安全开发、安全测试能力	2012年6月底前提交培养计划，8月底之前汇报安全体系建立进展情况
稽核	对外包项目进行抽查，审计网络安全要求落实执行情况	半年度例行稽核

 

软件安全：业务流程维度措施

 

工具分类	工具名称	工具类型	供应商
端口扫描*	Nmap	免费工具	/
系统层漏洞扫描*	Nessus	商用工具	Nessus
Web安全扫描*	APPSCAN	商用工具	IBM
协议畸形报文测试	Codenomicon	商用工具	Codenomicon
协议畸形报文测试	HUTAF xDefend	自研工具	华为中研测试工具部
代码安全审计	Coverity Integrity Center	商用工具	Coverity
代码安全审计	Fortify SCA	商用工具	Fortify
防病毒软件	OfficeScan	商用工具	趋势科技
数据库安全测试	NGSSQuirreL	商用工具	NGSsoftware