政務(wù)終端安全配置標(biāo)準(zhǔn)cgdcc的背景

政務(wù)終端安全配置標(biāo)準(zhǔn)cgdcc的背景

一、我國(guó)終端安全的現(xiàn)狀隨著政府計(jì)算機(jī)科學(xué)進(jìn)程的加快，網(wǎng)絡(luò)安全網(wǎng)絡(luò)環(huán)境變得越來(lái)越復(fù)雜，安全形勢(shì)也越來(lái)越嚴(yán)重。敏感信息泄露、政府網(wǎng)站被篡改、非法用戶入侵、惡意軟件攻擊等安全事件屢見不鮮,如何保障電子政務(wù)網(wǎng)絡(luò)安全的問(wèn)題已引起政府部門的高度重視。傳統(tǒng)的安全網(wǎng)關(guān)、防火墻、VPN等技術(shù)已經(jīng)不能徹底有效地保障政務(wù)網(wǎng)絡(luò)的安全,為了尋求解決之道,我們不得不從傳統(tǒng)的安全邊界中解放出來(lái)。據(jù)2009年有關(guān)資料統(tǒng)計(jì),政府和企事業(yè)網(wǎng)絡(luò)的安全事件有80%源自終端問(wèn)題。終端已成為新的安全邊界,終端安全問(wèn)題已成為中國(guó)乃至全球所面臨的新挑戰(zhàn)。國(guó)外很多國(guó)家已經(jīng)開始研究并實(shí)施相應(yīng)的標(biāo)準(zhǔn)來(lái)提升終端的安全水平。聯(lián)邦桌面核心配置計(jì)劃(FDCC)是由美國(guó)聯(lián)邦預(yù)算管理辦公室(OMB)和美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)共同負(fù)責(zé)研制并由美國(guó)聯(lián)邦政府強(qiáng)制執(zhí)行的桌面計(jì)算機(jī)安全配置標(biāo)準(zhǔn),旨在提高美國(guó)聯(lián)邦政府所使用Windows的安全性,并使聯(lián)邦政府桌面計(jì)算機(jī)的安全管理實(shí)現(xiàn)標(biāo)準(zhǔn)化和自動(dòng)化。自美國(guó)2007年實(shí)施該配置計(jì)劃以來(lái),美國(guó)政府終端安全性得到了很大程度的提升,政府網(wǎng)絡(luò)的運(yùn)維成本大大減少,運(yùn)維效率也得到了很大的改善。與此同時(shí),英國(guó)也加強(qiáng)了重要基礎(chǔ)設(shè)施的終端安全,制定了《國(guó)家信息保障戰(zhàn)略》,啟動(dòng)了windows配置計(jì)劃。國(guó)家信息中心為了加強(qiáng)政務(wù)終端的安全性,提高桌面系統(tǒng)一致性,降低運(yùn)維成本,在我國(guó)率先開始研制符合我國(guó)國(guó)情的政務(wù)終端安全核心配置標(biāo)準(zhǔn)(CGDCC)。2008年,國(guó)家信息中心與微軟(中國(guó))有限公司簽訂了信息安全合作協(xié)議(SCP),開展FDCC研究和轉(zhuǎn)化應(yīng)用研究。2010年,國(guó)家信息中心與微軟公司簽署了合作發(fā)展CGDCC備忘錄,在對(duì)CGDCC的應(yīng)用與推廣方面建立了更進(jìn)一步的合作關(guān)系。到目前為止,CGDCC標(biāo)準(zhǔn)草案已經(jīng)完成,相關(guān)部署工具也已進(jìn)入測(cè)試階段,為下一步的應(yīng)用推廣奠定了良好的基礎(chǔ)。二、政務(wù)終端安全核心配置標(biāo)準(zhǔn)目前,我國(guó)政務(wù)終端安全需求主要集中在以下幾個(gè)方面:(1)身份認(rèn)證,防止非法用戶遠(yuǎn)程盜用終端;(2)訪問(wèn)控制,防止用戶越權(quán)操作;(3)特權(quán)管理,防止用戶濫用權(quán)限;(4)審計(jì),提供安全可追究性;(5)免疫機(jī)制,包括防火墻軟件管理;(6)文件機(jī)密性保證,如文件加密;(7)網(wǎng)絡(luò)安全管理,如加密傳輸;(8)軟件管理,增強(qiáng)常用軟件的安全機(jī)能;(9)設(shè)備管理,如移動(dòng)存儲(chǔ)介質(zhì)的管理等。從上述電子政務(wù)安全需求分析出發(fā),依據(jù)計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)相關(guān)要求,借鑒現(xiàn)有國(guó)家信息安全標(biāo)準(zhǔn)制定成果,國(guó)家信息中心經(jīng)過(guò)大量的研究工作,制定了政務(wù)終端安全核心配置標(biāo)準(zhǔn)(CGDCC)。CGDCC是介于計(jì)算機(jī)硬件設(shè)備管理和業(yè)務(wù)應(yīng)用軟件管理之間,主要針對(duì)操作系統(tǒng)、瀏覽器、辦公軟件、郵件系統(tǒng)和其他常用軟件制定相關(guān)的安全配置,對(duì)終端進(jìn)行安全和性能雙層加固。其功能主要表現(xiàn)在以下幾個(gè)方面:(1)加強(qiáng)系統(tǒng)安全,包括密碼管理、身份認(rèn)證、系統(tǒng)審核等;(2)杜絕安全隱患,包括禁用高危服務(wù)和端口、禁止非法程序腳本執(zhí)行、禁止非授權(quán)程序安裝等;(3)限制非法操作,包括用戶權(quán)限管理和進(jìn)程內(nèi)存配額管理等;(4)啟用安全保護(hù),包括進(jìn)行數(shù)字簽名和進(jìn)程保護(hù)等;(5)減低資源浪費(fèi),包括系統(tǒng)空間的占用管理等。由此,政務(wù)終端安全核心配置標(biāo)準(zhǔn)框架從總體上可分為三大類:(1)管理要求類:主要根據(jù)安全需求制定終端所要達(dá)到的要求,包括政務(wù)終端安全核心配置規(guī)范和政務(wù)終端等級(jí)保護(hù)安全配置要求;(2)技術(shù)指標(biāo)類。主要為各配置項(xiàng)設(shè)定具體內(nèi)容,通過(guò)不同的策略值滿足不同層次的要求,包括操作系統(tǒng)安全基線、瀏覽器安全基線、辦公軟件安全基線、郵件系統(tǒng)安全基線和常用軟件安全基線五部分內(nèi)容;(3)應(yīng)用支撐類。主要為了增強(qiáng)標(biāo)準(zhǔn)的實(shí)用性和可用性,制定了相關(guān)的要求規(guī)范,內(nèi)容包括政務(wù)終端安全核心配置目錄、政務(wù)終端安全配置格式規(guī)范和政務(wù)終端安全配置實(shí)施指南。在上述每一大類的基礎(chǔ)上,可按照標(biāo)準(zhǔn)所涉及的主要內(nèi)容再進(jìn)行細(xì)分。政務(wù)終端安全核心配置標(biāo)準(zhǔn)框架如圖1所示。三、標(biāo)準(zhǔn)c內(nèi)容根據(jù)上述政務(wù)終端核心安全配置框架中所涉及的各個(gè)標(biāo)準(zhǔn),以下分別對(duì)其主要內(nèi)容進(jìn)行介紹。(一)制定統(tǒng)一的安全策略針對(duì)目前流行的Windows操作系統(tǒng)所面臨的安全現(xiàn)狀,對(duì)影響政務(wù)終端安全的主要配置對(duì)象制定統(tǒng)一的安全策略,提高終端的整體安全性能,從而減少整個(gè)政務(wù)網(wǎng)絡(luò)的安全隱患。根據(jù)安全配置對(duì)象的不同,政務(wù)終端安全核心配置規(guī)范將終端安全核心配置分為以下三類:賬戶管理配置此類安全配置用于保護(hù)用戶的登錄信息,增加賬戶信息被竊取的復(fù)雜度。配置的安全策略主要包括賬戶策略和密碼策略。聯(lián)合系統(tǒng)降低風(fēng)險(xiǎn)的方法,提高風(fēng)險(xiǎn)此類配置有利于加固操作系統(tǒng)自身的安全性,降低由于權(quán)限、漏洞、監(jiān)控等問(wèn)題帶來(lái)的風(fēng)險(xiǎn)。配置內(nèi)容主要包括審核策略、安全選項(xiàng)、用戶權(quán)限分配、事件日志。危害情況的控制終端組件主要加強(qiáng)用戶安裝的軟硬件管理,對(duì)可能造成危害的情況實(shí)施控制或者限制使用范圍。主要包括IE管理、附件管理、電源管理、顯示管理、聊天工具、會(huì)話、終端服務(wù)、網(wǎng)絡(luò)會(huì)議、遠(yuǎn)程協(xié)助、網(wǎng)絡(luò)通信等配置內(nèi)容。(二)安全核心配置目錄參照CCE(CommonConfigurationEnumeration)格式,列出《政務(wù)終端安全核心配置目錄》。此目錄將與《政務(wù)終端安全核心配置規(guī)范》保持一致。內(nèi)容包括編號(hào)、策略配置名稱、配置值和功能描述。其中,編號(hào)由5位組成,最高位代表策略類別,包括賬戶管理、終端組件和系統(tǒng)安全;千位和百位用來(lái)表示每一大類中的小類;十位和個(gè)位用來(lái)編號(hào)小類中的每條策略。表1是《政務(wù)終端安全核心配置目錄》的一個(gè)例子。(三)檢查和檢查配置的版本信息《政務(wù)終端安全核心配置描述格式規(guī)范》用來(lái)規(guī)定描述安全配置的格式,以XML語(yǔ)言的樹形結(jié)構(gòu)來(lái)描述數(shù)據(jù),主要由四部分內(nèi)容組成:Versioncontrol、Settinggroup、Check和Document。VersionControl描述了安全配置的版本信息,比如PublisherID、Revisionnumber等。Settinggroup主要對(duì)基線所有的配置進(jìn)行分組,Setting的具體信息同時(shí)也列在此部分。Setting部分主要包括Content、DiscoveryInfo、Policy、ADMLDefinition、SupportOn、ExportInfo等信息。Check定義了檢查哪個(gè)配置值以及它的標(biāo)準(zhǔn)值,包括三個(gè)元素:SettingRef、ExistentialRule和ValidationRules。其中,SettingRef說(shuō)明對(duì)哪個(gè)Setting進(jìn)行檢查,ExistentialRule說(shuō)明如何檢查這個(gè)Setting的存在,ValidationRules說(shuō)明如何檢查這個(gè)Setting的期望值。Document定義了配置的相關(guān)解釋。(四)操作系統(tǒng)安全基線根據(jù)網(wǎng)絡(luò)和信息系統(tǒng)等級(jí)保護(hù)的要求,《政務(wù)終端操作系統(tǒng)安全基線》規(guī)定政務(wù)終端操作系統(tǒng)至少要達(dá)到的安全配置,從而保證政務(wù)終端既安全又具備較好使用性能?！墩?wù)終端操作系統(tǒng)安全基線》研制內(nèi)容主要包括:WindowsXP安全基線、Vista安全基線和Windows7安全基線。政務(wù)終端操作系統(tǒng)安全基線分類結(jié)構(gòu)如圖2所示。操作系統(tǒng)安全基線分為五個(gè)級(jí)別:用戶自主保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、機(jī)構(gòu)化保護(hù)級(jí)、訪問(wèn)驗(yàn)證保護(hù)級(jí)。在每一個(gè)等保級(jí)別中,根據(jù)終端設(shè)備的不同,本標(biāo)準(zhǔn)將操作系統(tǒng)安全基線分為臺(tái)式機(jī)和筆記本兩類。具體內(nèi)容如下:(1)臺(tái)式機(jī)安全基線主要內(nèi)容包括Windows防火墻、系統(tǒng)配置、Windows組件、本地策略、安全特性;(2)筆記本安全基線主要內(nèi)容包括Windows防火墻、系統(tǒng)配置、Windows組件、遠(yuǎn)程桌面會(huì)話和安全特性配置。根據(jù)終端使用方式的不同,操作系統(tǒng)安全基線又可分為域環(huán)境和用戶環(huán)境兩類。具體內(nèi)容如下:(1)域環(huán)境安全基線主要內(nèi)容有賬戶策略和安全選項(xiàng);(2)用戶環(huán)境安全基線主要內(nèi)容有Windows組件、IE配置、管理員模式、Internet控制面板和安全頁(yè)。(五)主要用戶安全管理《政務(wù)終端瀏覽器軟件安全基線》規(guī)定在政務(wù)終端上使用的上網(wǎng)瀏覽器至少要達(dá)到的安全配置。主要配置內(nèi)容包括:瀏覽器權(quán)限管理、瀏覽歷史記錄管理、互聯(lián)網(wǎng)控制面板管理、高級(jí)頁(yè)管理、安全頁(yè)中的互聯(lián)網(wǎng)域和限制站點(diǎn)域管理以及安全屬性管理等。涉及的主要瀏覽器包括:IE、Firefox、世界之窗、QQ瀏覽器等。(六)保證基本的安全性為了減少政務(wù)終端辦公軟件使用時(shí)給終端帶來(lái)的風(fēng)險(xiǎn),《政務(wù)終端辦公軟件安全基線》規(guī)定了常用辦公軟件的安全配置要求,保證其基本的安全性。政務(wù)終端辦公軟件安全基線主要涉及MicrosoftOffice和WPS系列辦公軟件?！墩?wù)終端辦公軟件安全基線》對(duì)Word、Access、Excel、PowerPoint等辦公軟件的文件加密處理、打開或存儲(chǔ)文件格式管理、信任模式控制管理、超級(jí)鏈接管理、不可信文件處理、升級(jí)管理和宏控制等方面進(jìn)行配置限定。(七)政務(wù)終端電話系統(tǒng)安全保障《政務(wù)終端郵件系統(tǒng)軟件安全基線》規(guī)定了郵件系統(tǒng)安全配置的最低要求,從而降低了郵件系統(tǒng)對(duì)政務(wù)終端所造成的安全風(fēng)險(xiǎn)。《政務(wù)終端郵件系統(tǒng)軟件安全基線》規(guī)范的內(nèi)容包括:附件管理、自動(dòng)下載附件管理、可信郵件的自動(dòng)查收管理、設(shè)定信任等級(jí)、密碼的管理、郵件許可權(quán)的變更、可下載附件安全管理、郵件內(nèi)容連接控制、郵件加密、對(duì)Internet或Intranet圖片下載管理、默認(rèn)設(shè)置失敗后的安全設(shè)置、上載附件的限制管理、宏的安全設(shè)置、S/MIME的URL認(rèn)證,等等。(八)軟件安全配置為了加強(qiáng)終端常用軟件的安全管理,減少終端的安全威脅,《政務(wù)終端常用軟件安全基線》規(guī)定了通信軟件、下載軟件、應(yīng)用軟件的安全配置。通信軟件包括MSN、QQ;下載軟件包括BT、Flashget、迅雷;應(yīng)用軟件包括:Mediaplayer、Moviemaker。配置有以下幾個(gè)方面:使用權(quán)限管理、開機(jī)自動(dòng)啟動(dòng)管理、流量控制、更新管理、自動(dòng)下載管理等。(九)政務(wù)終端等級(jí)保護(hù)要求依據(jù)《GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》和《GA/T709-2007信息系統(tǒng)安全等級(jí)保護(hù)基本模型》,針對(duì)五種安全保護(hù)等級(jí),《政務(wù)終端等級(jí)保護(hù)安全配置要求》從物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全和應(yīng)用安全四個(gè)層面對(duì)政務(wù)終端安全核心配置提出等級(jí)保護(hù)要求。(十)安全目標(biāo)配置《政務(wù)終端安全核心配置實(shí)施指南》從標(biāo)準(zhǔn)的研制、驗(yàn)證、管理、分發(fā)、部署、檢測(cè)六個(gè)方面,系統(tǒng)地描述政務(wù)終端安全核心配置標(biāo)準(zhǔn)的實(shí)施過(guò)程(參見圖3)。實(shí)施指南將規(guī)范標(biāo)準(zhǔn)的實(shí)施過(guò)程,提高標(biāo)準(zhǔn)的可用性和適用性。四、部署安全配置研發(fā)過(guò)程政務(wù)終端安全核心配置規(guī)范驗(yàn)證實(shí)施環(huán)境主要由政務(wù)終端模擬應(yīng)用環(huán)境和標(biāo)準(zhǔn)配套實(shí)施工具及驗(yàn)證工具組成,可支持標(biāo)準(zhǔn)研制,可驗(yàn)證由各版本操作系統(tǒng)、不同系統(tǒng)組件以及各種常用應(yīng)用軟件及其構(gòu)成的終端應(yīng)用場(chǎng)景下的標(biāo)準(zhǔn)應(yīng)用效果。整個(gè)驗(yàn)證過(guò)程可實(shí)現(xiàn)安全核心配置的統(tǒng)一制定、自動(dòng)部署、測(cè)試和報(bào)告。標(biāo)準(zhǔn)驗(yàn)證環(huán)境邏輯部署結(jié)構(gòu)如圖4所示。標(biāo)準(zhǔn)驗(yàn)證環(huán)境主要?jiǎng)澐譃閮蓚€(gè)區(qū):標(biāo)準(zhǔn)研究區(qū)和標(biāo)準(zhǔn)驗(yàn)證測(cè)試區(qū)。其中,研究區(qū)主要供研究人員和測(cè)試人員開展終端安全核心配置的研究、測(cè)試工作。該區(qū)的工作機(jī)上部署安全配置編輯工具、安全配置兼容性測(cè)試工具以及安全配置效果檢查工具等。標(biāo)準(zhǔn)驗(yàn)證測(cè)試區(qū)主要供測(cè)試人員和管理人員開展標(biāo)準(zhǔn)有效性、可用性和適用性驗(yàn)證等安全性能測(cè)試。該區(qū)部署驗(yàn)證服務(wù)器,安全配置數(shù)據(jù)庫(kù)服務(wù)器,模擬網(wǎng)絡(luò)攻擊主機(jī),一批測(cè)試終端以及必需的網(wǎng)絡(luò)設(shè)備及安全設(shè)備,如路由器、防火墻等:(1)驗(yàn)證服務(wù)器上部署安全配置部署工具(服務(wù)器端)、安全配置部署狀態(tài)報(bào)告工具(服務(wù)器端)和安全基線符合性測(cè)試工具,可部署終端安全核心配置,可查看終端部署情況和安全配置執(zhí)行情況,以驗(yàn)證標(biāo)準(zhǔn)的可行性。(2)安全配置數(shù)據(jù)庫(kù)服務(wù)器負(fù)責(zé)存儲(chǔ)所有終端安全配置狀態(tài)數(shù)據(jù)、安全核心配置數(shù)據(jù)、以及安全基線數(shù)據(jù)等,以供驗(yàn)證服務(wù)器查詢調(diào)用,數(shù)據(jù)庫(kù)按照《政務(wù)終端安全配置目錄》標(biāo)準(zhǔn)構(gòu)建;(3)模擬攻擊服務(wù)器上主要部署安全配置效果檢查工具,如掃描工具、滲透測(cè)試工具、遠(yuǎn)程連接工具等主要驗(yàn)證安全配置的有效性;(4)測(cè)試終端上主要部署安全配置部署工具(客戶端)、安全配置部署狀態(tài)報(bào)告工具(客戶端)、安全基線符合性測(cè)試工具(客戶端)、終端適用性評(píng)估工具、安全配置兼容性測(cè)試工具和安全配置效果檢查手工工具等;并分別部署WindowsXP、Vista、Windows7等操作系統(tǒng),以及主流辦公軟件、瀏覽器軟件、郵件系統(tǒng)、常見軟件及業(yè)務(wù)應(yīng)用軟件等。支持標(biāo)準(zhǔn)應(yīng)用效果驗(yàn)證、終端適用性測(cè)試評(píng)估、以及終端安全性測(cè)試驗(yàn)證。五、下一步工作重點(diǎn)目前,政務(wù)終端安全核心配置(CGDCC)標(biāo)準(zhǔn)立項(xiàng)和相關(guān)工具的開發(fā)等工作已經(jīng)基本完成,并進(jìn)入了標(biāo)準(zhǔn)驗(yàn)證部署階段,這為以后的應(yīng)用和改