应用安全改造的要点与难点

算机与网技术论坛应用安全改造的要点与难点李阳(上海三零卫士信息安全有限公司,上海200000[摘要]基于等级保护应用安全的要求,结合应用安全咨询经验,分析了应用安全主要问题点,针对性的从应用安全功能和应用安全场景两大维度提出了应用安全改造的要点,剖析了应用安全改造整个过程中主要的难点,并明确了应用安全改造后的验证的重要性。[关键词]应用安全改造等级保护安全功能安全场景中图分类号:TN91508文献标识码:A文章编号:1008-1739(2015)16-73-3ain Points and Difficulties of Application Security reformLI Yang(Shanghai 30wish Information Security Co, Ltd, Shanghai 200000, ChinAbstract: Based on the requirement of classified protection application security, combined with application security consultingexperience, analyze the main problems, from the application security function and security scenario, put forward the main points of theapplication security reform, analyze the main difficulties in the whole process, and made clear the importance of the application securityverification after reformingKey words: application security; level protection; safety function; security scenario1引言2应用安全主要问题点结合近几年等级保护咨询和客户单位的等级测评结果分等级保护机制促进了信息系统的安全保障,在应用安全而如何进行应用安全改造成了系统安全责任单位应用安全保下9个现状,可发现当前应用安全的问题点主要集中在以析应用安层面,提出了具体的基本要求,也明确了详细的测评指标身份鉴别,未实现双因素身份鉴别机制和登录失败处理功障的薄弱环节,缺乏系统性的应用安全改造指导建议。同时应用开发商在面对已发现的应用安全风险和不足点时,也缺应用安全改造方向,在进行应用安全改造时,无法有效的判访问控制,对重要信息资源未设置敏感标记及严格控制用户相关操作;断应用安全改造的可行性和价值,加上多种新型应用环境的安全审计,仅实现用户登录登出操作记录,未实现用户大出现,进一步加大了应用安全改造的难点和深度。本文为本人容性操作的审计报表凭借近些年有关网络信息安全方面的咨询经验,尤其是等级剩余信息保护,未有效进行空间释放及信息清除保护建设与整改的经历,结合对等级保护基本要求中应用安通信完整性,未采用密码技术保证通信过程中数据的完整全层面的深度理解,分析总结出有关应用安全改造的要点和难点,尤其在改造要点方面针对主要问题点逐一展开安全功通信保密性,未实现对整个报文及会话过程加密能的实现论述。整篇文章可供安全责任单位、应用开发商及安抗抵赖方面,未实现有关数据原发和接接收的数据原发证全咨询机构等单位在应用安全改造环节时参考。据的功能软件容错定稿日期:2015-07-26TH中国煤化工时,应用系统无CNMHG技术论坛算机与网络资源控制,缺乏对应用系统的最大并发会话连接数、单个操作,保证应用系统按照安全策略进行了合理、正确的访间控账户的多重并发会话数以及一个时间段内可能的并发会话连制配置接数的限制;对资源分配未设置最大限额和最小限额;未实现3.1.3安全审计根据服务优先级分配系统资源。为了保持对应用系统的运行情况以及系统用户行为的跟踪,以便事后追踪分析,安全审计功能实现必不可少。然而应3应用安全改造要点用系统开发时,基本上都不会开发应用系统自身的日志及审计功能模块,用来对应用用户的各种行为、操作进行记录和审应用系统面临的风险是来自多方面的,不仅来自于应用计,或者对应用用户仅记录登录、登出等登录信息。而且目前软件自身、所依托的支撑平合(包括服务器操作系统、网络平市场上的安全审计类产品,大部分都是针对网络、操作系统和台和支撑软件等),在客户端、应用协议等方面,风险也是无所数据库这类标准件、成熟产品的,针对个性化很强的应用系统不在的;加之移动应用、云服务等新技术的诞生与发展,进的安全审计功能的产品极少。故在应用安全改造时,应用系统步诱发新的风险。应用安全的改造已从早期的安全功能实现,的审计功能的实现尤为重要逐渐转变成体系性的集安全功能、安全场景于一体的安全再3.14剩余信息保护建设。为防止存储在硬盘、内存或缓冲区中的信息被非法授权3.1应用安全功能的访问,应用系统必须加强硬盘、内存或缓冲区中剩余信息的应用安全应能从需求、设计、编码、测试以及发行等各个保护。同时,应用系统必须将文件、目录和数据库记录等资源阶段加强安全性考虑,尽可能避免和消除漏洞,即建设单位应清除后才能分配给其他用户。明确安全需求,包括系统本身的业务需求、国家政策、标准、行对内存中剩余信息保护的重点是,在释放内存前,将内存业规范等合规性要求,并将安全需求传达给应用开发商,应用中存储的信息删除,即将内存清空或者写入随机的无关信息开发商在知晓相关安全需求的基础上,基于软件安全开发硬盘中剩余信息保护的重点是,在删除文件前,将对文件中存型,进行软件的安全开发。储的信息进行删除,即将文件的存储空间清空或者写人随机而应用安全改造,实际上也是应用安全需求一安全设计的无关信息。安全编码一安全测试等阶段的又一次周期性实现;同时,软对剩余信息的清除是会对应用系统的性能造成影响的,件的安全漏洞可以在软件开发生命周期的任何阶段被引入相对于写入垃圾数据的方式,清空存储区或者文件的方式对因此在应用安全改造过程中,安全开发意识应贯穿整个应用能的影响更3.1.5通信完整性合等级保护三级应用安全主要问题点,可分析出当前为防止数据传输时被篡改,应用系统应实现通讯双方利应用安全开发应主要关注以下方面。用密码算法(如利用Hash函数计算通信数据的散列值,并用3.1.1身份鉴别非对称加密算法对散列值进行加解密)来保证通信过程数据对登录的用户进行身份鉴别,确保只有通过验证的的用的完整性。户才能在系统规定的权限内进行操作。当前最常见的应用双3.1.6通信保密性因素身份鉴别通常采用用户名/口令与CA认证组合身份认为防止发生通信过程中的信息泄露,在通信双方建立连证实现。CA认证作为身份鉴别机制,对应用安全身份验证起接之前,应用系统应利用密码技术进行会话初始化验证。对到了显著的作用。同时,为了防止非授权用户对应用系统用户通信过程加密的范围为整个报文或会话过程。即,需要改进开的身份鉴别信息进行暴力猜测,应用系统需实现登录失败发架构,服务器与客户端的数据传输不要使用明文方式或易理功能,如采取结束会话,限制非法登录次数,当登录连接超破解方式;使用加密通讯方式,如B/S架构的应用系统,使用htps协议,而不要使用htp协议;必要时,使用专业加密机3.1.2访问控制类设备应用系统的访问控制能力,是保证应用系统合法地使用4应用安全改造难点的重要措施。通过安全策略,控制用户对客体的访问权限。尤其重要信息资源,如应用系统中的身份证号、手机号等信息,41应用安全改中国煤化工须进行敏感标记,控制用户对有敏感标记重要信息资源的应用开发安CNMHG安全开发模算机与网络「技术论坛型、安全管理流程),应用安全改造能力低下,甚至不凊楚如何系统风险评估的结果报告等结果,以及应用安全改造过程中改善所面临的应用安全问题。尤其是软件开发人员大多数仅所发现的整改初期未意识到的问题,从而整体上把握应用安会进行软件功能的实现,不知道如何将安全需求、安全要求和全改造的完善性编程方法相结合。应用安全改造后的验证最好的方式是进行新一轮的应用4.2应用安全改造推动力薄弱安全检测,即基于等级保护要求第三极的应用安全要求进行应用安全的改造成本相比新建应用的成本,在大多数情应用系统的安全实现差距再分析,同时结合应用漏洞扫描、渗况下,显得较高,应用需求方和应用开发商均觉得应用安全改透测试以及应用安全评估进行全方面的检测,叫以评估应用安造的意义不如待新版系统升级时一并考虑,便导致目前很多全改造的成果。应用需求方知晓当前所面临的安全问题,但基于成本效益原则,暂不处理,让应用系统继续暴露在当前的网络环境中存6结束语在严重的安全隐患4.3应用行业的特殊性要求本文指明了等级保护应用安全改造的要点和难点,提出每个行业都有其自身的特殊性要求,对于应用开发商来从身份鉴别、访间控制、安全审计剩余信息保护通信完整说,对行业所具有的特殊性很可能把握不足,或者对个别行业性、通信保密性、抗抵赖、软件容错、资源控制等安全功能展开改造;站在应用安全保证的基础上,分析出应用安全改造水平分析不透彻,必然会对应用安全的改造造成一定的难度。如医疗卫生行业应用系统涉及病患者诊疗等强隐私性的敏感信差异推动力薄别,行业特朱性、持续性等主要难点;并提出应息,因此它在可靠性、稳定性、安全性等性能上比其他行业更用安全改造验证的重要性,有效保障了应用安全改造闭环的为重要参考文献5应用安全改造后的验证]GB/T25070-2010信息系统等级保护安全设计技术要求验证应用安全改造成功与否是应用安全整个改造环节中(2GB/T22392008信息安全技术信息系统安全等级保护不可或缺的一部分,不应该仅仅根据系统整改环节明确的应基本要求S用安全整改计划中所确认的整改内容,还应结合不当初的安3GA/T712-207信息安全技术应用软件系统安全等级保全测评报告中的应用安全部分的内容、应用扫描漏洞报告和护通用测试指南SJD. Power客户满意度啁查富上施乐连续6年蝉联榜首近日,全球市场信息服务机构 J D. Power亚太公司发布和服务帮助客户创造更多价值了“2015日本彩色复印机客户满意度指数调查”和“2015日本此次报告是JD. Power亚太公司于今年5月在日本进行彩色打印机客户满意度指数调査”报告。调查结果显示,富土的年度调查成果。调查主要面向日本国內30人以上规模的企施乐株式会社以绝对优势高居榜首,这是富士施乐连续第6业。针对彩色复印机和彩色打印机的调查分别收到了6,688份咩联客户满意度调查冠军。和2,396份有效回复。JD. Power目前还未在日本以外的其他在此次调查中,富士施乐在“产品”和“销售代表及装机服市场进行该调查。”两项直接影响整体客户满意度分数权重的指标上均获得长期以来,富士施乐秉承“客户至上”的原则不断努力提了最高分升客户满意度,并获得了市场和各国客户的好评。在JD富土施乐始终视客户满意为企业经营的基础。早在201 Power亚太公司的《日本I解决方案供应商客户满意度调查》年,富士施乐便制定了《客户满意行动指南》,这不仅使令每位中,富士施乐连续三年蝉联第一。同时,在《日经电脑》2013直接面对客户的销售,甚至连研发部门以及总部的所有员工2014年发布的“客户满意度调查”中,富士施乐连续两年获得都能为实现客户满意而努力行动。∏T咨询/上游设计服务类排名第一。值得一提的是,富士施乐富士施乐将继续为客户提供具有行业最高美誉度的产有限公司自2012TH中国煤化工度第品,并致力于成为客户最信赖的合作伙伴,以最优的解决方案CNMHG(王进)