等保2.0标准个人解读（三）：安全区域边界 – 作者:宇宸de研究室

本控制项也是等保 2.0 标准的新增内容，主要关注网络环境安全，相比旧标准除了可信验证要求外，其他部分和网络安全相似，同属三重防护之一。

等保2.0标准个人解读系列文章

等保2.0标准个人解读（一）：新坑开放

等保2.0标准个人解读（二）：安全通信网络

标准原文

8.1.3  安全区域边界

8.1.3.1  边界防护 a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信； b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制； c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制； d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。 8.1.3.2  访问控制 a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力； e) 应对进出网络的 数据流实现基于应用协议和应用内容的访问控制。 8.1.3.3  入侵防范 a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为； c) 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析； d) 当检测到攻击行为时，记录攻击源 IP 、攻击类型、攻击 目标 、攻击时间，在发生严重入侵事件时应提供报警。 8.1.3.4  恶意代码和垃圾邮件防范 a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新； b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和 更新。 8.1.3.5  安全审计 a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 8.1.3.6  可信验证 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

主要检查点

边界防护

其实按照以前的旧标准来看，本控制项的部分内容还是属于网络安全的范畴，当前等保2.0 标准中因为重要性将其单独提出结合一些新的要求，形成的 安全区域边界这样一个控制项。

本控制点要求主要是网络层面边界安全的防护能力的检查。共 4 个要求项，可以说只要是做过边界防护工作的企业环境一般都会满足基本要求，在不深入解析的情况下。比如，企业网络边界部署下一代防火墙（包含 IDPS 和 WAF 功能，省去一部分投入预算），根据业务设置合理的 ACL 策略，那么从合规的角度，已经满足一大半的要求了。不过要注意一点，策略和防护必须做双向的，不能再以传统的方法来部署，由内而外的威胁也在逐渐常态化，不能说只考虑别人攻我，我去攻别人就不是安全该管的事了，这种思维就过于偏激和危险了。

对于内部生产网和办公网（也包括管理网在内），建议也在边界设置安全策略，对于未授权设备的接入进行认证和授权，可以部署防火墙或者采用带外管理的方式（堡垒机也可以）来实现。

此外，对于内网人员私接外网的情况必须引起高度重视，此类行为一则难以被及时发现，二则存在极大风险，一定要做好管控工作。常见的就是，员工用手机开热点，机器上开无线或插网卡，这种方式想第一时间发现除非有人举报或者每台机器有相关检测能力的 agent实时反馈到监控平台（后者实践可能性较小），一旦将病毒带入内网，就是一次重大安全事故。某行业企业大面积中招勒索，其实就是内部人员安全意识淡薄，从内部引入病毒，使得边界部署的各种防护设备如同摆设一般，此类问题一定要格外重视，首先从管理层面做好教育和宣传工作，配合技术手段来合理管控。

最后就是无线网络的管理，一般来说大多企业还是将其与生产、办公网络等隔离的，因为大多无线网络是提供互联网访问的。但也有企业内外网均能访问，如果企业自身有信心做好管控也不是不可以，若非如此并不建议。对于无线网络接入的设备必须通过认证和授权，一般来说会由 AC 来进行控制。这里标准要求的还是比较基础的，很容易实现，但是从安全角度来说，要看是什么内部网络，比如生产网，核心业务网，管理网络，不建议接入无线网络，若是办公网或公共网络可以按照要求所说进行权限分配后允许接入，可考虑采用mac+ip 绑定的方式，再经过局域网身份认证后允许内网访问即可。

对于未授权设备私联内网，和内部用户私联外网的检测怎么做？这里提供一些可参考的建议。

（1）基于数据监听

通过旁路监听、分析网络内部的数据包进行检测，适合有公共网络出口的网络（如互联网），其原理是依靠分析数据包包头及传输协议的某些特殊字段来进行判断和区分随身WIFI接入、智能手机接入以及NAT设备接入，如：

1）用IP包的TTL字段变化检测标准的NAT接入设备。

2）用IP包的ID标识的跳变来确认用户私接的设备台数。

3）用HTTP协议中的User-Agent字段来检测私接上网的智能设备。

4）根据随身WIFI和免费WIFI的后门，来识别随身WIFI。

优点：

1）能够比较准确发现部分智能手机以及随身WIFI接入，主要跟监听数据包的覆盖范围相关；

2）能够比较准确识别NAT接入设备，并对通过NAT接入的数量进行统计。

缺点：

1）监听数据的覆盖范围决定其检测范围，存在漏报，适合有公共出口链路的网络，不适合作为检查工具使用；

2）因受限于检测技术，存在误报的可能；

3）主要是以检测为主，基本不具备针对源头的阻断控制能力。

深信服的上网行为管理系统就是采用此类技术，部署位置大多在互联网出口处，可以限制私接WIFI设备无法访问互联网，但无法控制WIFI设备私自接入内部网络。

（2）基于客户端代理

通过在终端桌面系统安装客户端代理来监管无线网络的使用，主要是针对终端自身无线网卡、私接无线WIFI以及使用免费无线WIFI的监管。

优点：

1）检测时间短，能够快速发现上述使用无线网络的违规行为，不会产生误报；

2）响应速度快，可以对上述违规使用无线网络的行为进行快速阻断控制。

缺点：

1）无法针对未安装客户端代理的终端桌面系统进行管控；

2）无法针对无线路由设备的私接进行监管，因为此类设备无法安装客户端代理；

3）实施和维护的工作量大，因客户端代理容易被卸载等原因，影响整体监管效果，容易产生漏报。

北信源的桌面管理系统就是采用此类技术，部署在终端PC上，可以限制使用无线网卡、随身WIFI以及免费WIFI，但无法限制私接无线路由设备。

（3）基于网络扫描

主要是通过ICMP、SNMP、TCP以及UDP扫描技术，借鉴操作系统指纹识别技术形成本地的协议特征库，以此判断目标机是否是NAT接入设备、智能手机设备、随身WIFI接入设备和免费WIFI接入设备等。

优点：

1）能够比较准确发现部分智能手机以及随身WIFI接入，覆盖范围跟扫描范围相关，适合大中型网络，可作为检查和管理工具使用；

2）能够比较准确识别经NAT接入的路由设备；

3）能够准确识别无线AP接入，并提供无线AP的SSID号。

4）结合交换机端口定位技术可以对违规接入设备进行网络定位和阻断控制。

缺点：

因采用远程网络扫描机制，存在漏报和误报可能。

访问控制

本控制点没有较明显的变化，基本还是针对访问策略的要求。首先对于ACL（以ACL为代表，大多访问控制策略还是基于它来做的），一般来说会根据业务和需求进行设置不同区域和地址段的访问，也包括端口在内。这里应该做些什么呢？首先要明白，要求的是边界或区域间的设备，不是所有设备，因此不要扩大范围。

 一般来说制定好ACL后，会在末尾添加deny any any（虽然有些设备上是默认自动加入的），这是等保2.0标准中提出的要求，即默认情况下除允许通信外受控接口拒绝所有通信；使用扩展ACL的情况下，必然会包含五元组的内容（源地址、目的地址、源端口、目的端口和协议），所以这点也没什么问题，当然如果偷懒使用简单ACL的需要及时更新一下。

 对于无效和多余的访问控制规则，或者禁用、或者删除。我们在设计控制规则的时候也应采用简单优化的原则，尽可能简洁有效。好比应用中的算法，越简单资源利用越少的算法才是最优的。有些企业的设备，运维人员经常变更或者业务需求不断变更，会产生很多访问规则，久而久之访问控制规则数量庞大，哪条有用哪条没用不得而知，也不敢轻易去删除，因为不知道会不会影响业务，从而导致浪费设备和带宽资源，网络经常出现高延迟现象。针对此类问题，等保2.0标准提出明确要求，那么企业就要制定人员合理有效管理配置规则。对于新设备还好，老设备已存在上述现象的，需要运维人员多投入一些经历，理清业务逻辑，如果可能可以做一下BIA，对于等保2.0标准中新的要求项，必然会成为检查测评工作的重点。

最后，还要求了应用层的访问控制能力，对四到七层的数据有能力进行限制，一般来说是对应WAF（NGFW也具备这类功能）的一些功能，难度不大。但是要注意这里提到的“和应用内容的访问控制”，这就扩展到了敏感信息保护和信息安全的领域（敏感文字、黄赌毒内容等），从个人的理解来看，首先基本的数据访问权限能力都能做到，此外除了具备安全防护能力外，网络中还应具备一定的内容过滤功能，比如一些新闻、媒体类的企业，进出数据流中可能包含一些敏感内容，对于这些文字或图片进行基本的控制是必要的。

插一句无关的话题，从本人的了解，大多数自媒体企业（一线的媒体网站）对于内容安全还是基于人工来做的，第一遍通过机器过滤进行筛选，第二遍由人工团队进行审核，第三遍由人工进行二次审核，之后才会进行发布。

信安标准中对内容安全有明确规定，等保2.0标准中只是提了一下，感觉更多的还是偏向于安全层面的访问控制（即内容访问和修改权限），内容过滤可能是我过虑了，也可能是过于引申出来的检查点，这里作为一个参考即可，企业只要拥有WAF一类的设备，对于访问控制这部分的要求应该没什么问题。

入侵防范+恶意代码和垃圾邮件防范

将这两个控制点放到一起，因为都是防入侵范畴的。先说入侵防范部分，等保2.0标准中强调东西双向检测和防护，其实和旧标准差不多，只是强调在关键网络节点（网络边界、区域间、重要区域边界等）检测和策略要双向应用，发现攻击能够对其进行限制（报警、阻断等），这点提到的是检测能力。接着就是安全响应能力，由于当前态势感知和机器学习完成度不是很高（SOAR也目前不靠谱），所以更多的还是要人来处理，即安全应急响应团队。一般来说检测都是靠设备或软件来实现，响应靠人。等保2.0标准中对安全事件分析要求也有所提升，特别是对新型攻击（APT、0day、社工等）的分析能力，这点可以说是可大可小的，企业根据自身实力和情况来决定。最起码的，无论自建团队还是外包第三方，对于突发安全事件要有能够检测的能力、响应处置能力、溯源分析能力；如果有能力，可以布置蜜网系统、团队内具备逆向分析人员、漏洞挖掘人员。本着不应付、不追求完美的态度，把安全做到位就好。

接下来说下恶意代码和垃圾邮件，至于关键网络节点的恶意代码检测，说实话更多的应该是象征性的，将代码安全寄希望于设备扫描和特征匹配，目前来看效果不太好，因此人工代码审计服务拥有较好的市场份额。但有总比没有好这是肯定的，区域边界部署安全设备不管怎么说还能起到一定的防护作用。从合规角度来说，只要边界部署安全设备即可。

垃圾邮件防范涉及的就多了一点，以前垃圾邮件只是为了打广告做宣传，现在的垃圾邮件恶意满满，各种木马、钓鱼花样百出，逐渐成为需要重点关注的安全风险点。

从安全角度，可将邮件过滤分为无害垃圾邮件过滤和有害恶意邮件过滤。

无害垃圾邮件包括：

(1)收件人事先没有提出要求或者同意接收的广告、电子刊物、各种形式的宣传品等宣传性的电子邮件；

(2)含有欺诈信息的电子邮件。

无害垃圾邮件本身不包含恶意程序。

有害恶意邮件指带有恶意链接和攻击程序的电子邮件，包括：

(1)携带病毒木马程序的恶意电子邮件(隐藏在附件)；

(2)含有钓鱼链接的诱骗电子邮件(隐藏在正文或附件)。

电子邮件攻击的多样性，决定了邮件安全防护手段的多元化。

从技术发展看，邮件安全防护技术分为四代。第一代垃圾邮件网关对无害垃圾邮件进行过滤，以邮件来源、邮件头部数据和内容过滤为主要技术手段，通过静态特征识别和关键字匹配技术识别垃圾邮件。二十世纪九十年代第一例病毒邮件出现后，能够识别有害恶意程序的病毒邮件网关成为邮件安全防护的主流技术；第二代病毒邮件网关通过样本比对、脚本分析、附件检查技术进行恶意邮件的分析和识别；随着邮件应用的日益广泛，钓鱼攻击者开始使用电子邮件作为URL钓鱼、账号密码欺骗的载体，第三代邮件安全网关应运而生。第三代邮件安全网关在前两代来源过滤、内容过滤、特征识别、恶意程序监测技术基础上，增加了多样化的图片分析、URL监测和行为分析技术，能够通过分析邮件内容、链接、附件、图片，识别邮件恶意攻击意图和行为。

近几年，针对电子邮件的攻击，技术手段越来越专业化。APT攻击、ATO攻击、BEC攻击、免杀木马病毒和0DAY漏洞利用等新型攻击手段层出不穷，传统邮件过滤技术很难检测，为此设计实现了新一代智能恶意邮件监测与溯源系统（即第四代邮件安全防护技术）。系统融合了邮件的动态分析、沙箱运行、行为建模、行为意图分析、威胁情报分析、大数据分析建模等智能化监测手段进行电子邮件的深度监测，能够识别、溯源复杂的电子邮件攻击行为。

涉及检测过滤技术包括：协议会话信息监测、邮件头信息监测、URL链接过滤、邮件内容过滤、邮件附件过滤、恶意邮件溯源。这里参考了一篇论文，有兴趣的可以看看，对于恶意邮件防范的一些思路：《恶意邮件智能监测与溯源技术研究》。

安全审计

这里必须说明一下，之前一位做等保测评的朋友和我讨论过，猜测应该是当时标准排版印刷时出现失误，将安全区域边界-安全审计部分三级和四级的要求向搞反了，各位如果可以查看标准原文，8.1.3.5安全审计要求共4项，而9.1.3.5安全审计要求共3项，通常来说这是不太可能的，四级系统的同一个控制点要求项少于三级系统，希望后续官方会对此进行说明解释。

安全审计基本每个控制点都会有，只要注意做好日志留存工作即可。这里重点关注的是网络边界、重要节点（安全设备、核心设备、汇聚层设备等）的日志记录。对于日志的完整性和保密性也是依旧，避免被修改、专人保管、做好场外备份、做好保密工作等等。此外，等保2.0标准还要求对远程访问用户、访问互联网的用户行为进行单独审计和数据分析，这点是新要求。先说一下怎么理解，因为是安全区域边界，那么所涉及到的设备肯定只有安全设备和网络设备，不涉及主机和应用，远程访问用户基本就是远程登录设备进行维护（或者是搞事情的黑客），既然可以远程登录那么一定是可以访问互联网的，属于特殊权限用户（按照正常来说，关键节点设备不允许远程登录，除非有特殊需要才会开通权限，而且也是要通过VPN-跳板机-堡垒机-设备这样的顺序登录）。对于此类用户要单独审计，记录其操作和访问日志，而且对于记录能够进行分析，对于这点不是很理解，分析什么，检查的重点是什么。从测评要求中看到测评对象是上网行为管理系统，而且提到互联网访问的用户行为，那么理解起来可能就容易了一些，就是针对用户上网行为和远程访问行为的检测和限制。那么问题来了，这是安全区域边界，从头到尾提到的都是网络关键节点，突然又转到用户行为管理上，感觉此项要求放到后边安全计算环境可能会更好一些。那么合规的点就很清晰了，上网行为管理设备，保留好用户日志就可以了。

可信验证

略。

最后

本控制点偏重点对安全运营能力提出要求，对于企业来说边界安全规划应做到：

网络边界、区域间和重点区域边界部署NGFW或具备等效功能的安全设备

安全设备策略有效，除业务需要外关闭其他多余访问权限，ACL最小化原则，使用标准或扩展ACL，删除多余无用规则

具备东西双向检测、报警和阻断能力，具备安全事件应急响应能力，其中包括应对和溯源能力

各边界部署的安全设备具备恶意代码检测和邮件过滤模块，开启自动升级

对关键节点设备全用户覆盖审计，日志留存6个月以上，做好日志保护和备份工作

配备上网行为管理设备或等效功能设备

题外话

今天翻Gartner官网，看到一篇CISO写的文章，觉得蛮有意思，顺道翻译二次加工一下，各位可以看看，没准有用。

老板绝壁会问的5个安全问题

安全主管要汇报给董事会一些他们关心的、对他们有意义的事。除了个人的喜好和担忧之外，董事会通常还关心三件事：

收益/目标：营业或非营业收入和提高非收益任务目标

费用：避免未来成本开销和降低运营费用

风险：财务、市场、安全合规、创新、品牌及名誉

权衡性问题

我们100%安全么？你能保证么？

问题分析

像这样的问题通常是由董事会成员提出的，他们并不真正了解安全及其对业务的影响。并不存在100%的安全。CISO的工作是识别风险最高的领域，并根据业务需求分配有限的资源来管理它们。

如何回怼

可以这样开头：“考虑到威胁环境的不断变化，不太可能消除所有信息风险的来源。我的角色是实施控制来管控风险。随着业务的增长，我们必须不断重新评估什么样的风险状态是适当的。我们的目标是建立一个可持续的项目，在保护与经营业务之间取得平衡。”

情景类问题

其他公司什么情况？X公司都出来什么事？我们公司现在相比之下情况如何？

问题分析

董事会成员将面临安全报告、文章、博客和监管机构要求他们了解风险的压力。他们总会问别人在做什么，尤其是同行公司。他们想知道“大环境”是什么样的，以及他们如何与被人比较。 

如何回怼

要避免猜测其他公司安全问题的根本原因，可以这样说:“在获得更多信息之前，我不想对X公司的事件进行猜测，但当我知道更多信息时，我会继续跟进了解情况。”考虑讨论一系列更广泛的安全事件应对措施，比如确定一个类似的风险点，制定如何修复或更新业务连续性计划。

风险类问题

你知道公司都有哪些风险么？有没有什么问题让你睡不好觉？

问题分析

董事会知道接受风险是一种选择(如果他们不接受，那就是你将要面临的挑战)。他们想知道公司的风险是否得到了控制。CISO应准备好解释公司的风险承受能力，以确保风险管理决策的制定。

如何回怼

如果说一切良好，没什么让自己睡不安稳的事情。那只能对你说：“英雄一路走好。”

解释风险管理决策对业务的影响，并确保你的立场有理有据。后半部分至关重要，因为董事会是根据风险承受能力做出决策的。任何超出容忍水平的风险都需要采取补救措施，要使其在容忍范围内。这并不一定要求在短时间内发生巨大的改变，要当心不必要的过度反应。审计委员会将寻求保证，确保重大风险得到充分管理，在某些情况下采取微妙的长期持续性改进办法可能比较适当。

平台类问题

公司的资源配置是否得当？我们（安全上）的花销是否足够了？为什么花了这么多钱？

问题分析

董事会希望得到保证，确保安全和风险管理部门的负责人不会止步不前。董事会成员希望了解量化分析和ROI（投资回报率）。

如何回怼

众所周知，信息安全里搞定量分析和ROI那就是自寻死路，所以不要主动去搞什么安全工作的量化收益汇报。

使用一种平衡计分卡（BSC）的方法，其中顶层表达业务期望，并使用一个简单的允许/拒绝机制说明组织针对这些期望的绩效。尽可能多地用业务业绩而不是技术来解释期望。绩效的基础是使用一系列客观标准对安全进行评估的度量。

安全事件问题

这（安全事故）是怎么搞的？我觉得你能管控住的！到底怎么回事？

问题分析

当一个事件或事故已经发生，并且董事会已经知道或者CISO正在通知他们时，就会被问到这类问题。

如何回怼

如果你是事件当事人或负责人，那么第一时间不是甩锅，而是做事，最快抑制，最大程度止损。当然，某些特殊环境的公司可能不太样。

安全事件是不可避免的，所以要实事求是。分享你所知道的和你正在做的事情，找出你目前不知道的。简而言之，承认已发生的安全事件，提供对业务影响的细节汇报，概述需要解决的风险点，并提供缓解计划。在董事会面前，不要把一个选择作为最终选择。安全与风险的监督责任仍由安全主管承担，但最终责任必须由董事会/执行层承担。

*本文作者：宇宸默安，转载须注明来自FreeBuf.COM

来源：freebuf.com 2019-09-02 13:30:32 by: 宇宸de研究室