网络安全等级保护“能力验证”：配置核查（Linux系统）

作为测评机构一定会知道每年会举行“能力验证”活动，申请认可和获准认可的合格评定机构通过参加能力验证活动（包括 CNAS 组织实施或承认的能力验证计划、测评机构间比对和测量审核）证明其技术能力。之前的线上会议也表明了对测评机构能力建设方面的意见，在会议中说到机构的最高水平不代表机构的真实测评水平，因为机构派来参加能力验证的一般都是经验老道的测评师，所以表面上看起来没啥问题，真实测评中可能会存在很多问题。另外也采取了措施，比如相同人员相隔一年内无法参加能力验证，而且后续还有可能从“团队模式”的情况转化为“单人模式”。 在我看来，“能力验证”就是监管测评机构测评技术方面的一次考试，通过了这场考试，才代表有技术能力从事这测评工作。 网络安全等级保护“能力验证”是合格评定机构证明其技术能力的重要途径，主要通过CNAS组织的能力验证计划、测评机构间比对和测量审核来进行。这项活动旨在确保测评机构的实际技术水平，避免只依赖经验丰富的测评师而忽视其他人员的技能提升。为避免同一测评师连续参与，规定了人员间隔参与规则，并可能将团队模式转变为单人模式，以更真实地反映测评能力。 2019年的能力验证包含了配置检查和渗透测试两个部分，以三人为一组进行，上午进行测评，下午进行渗透测试。配置检查主要针对Linux和Windows服务器的操作系统，特别是Linux系统的安全计算环境。在Linux系统中，测评内容包括身份鉴别、登录失败处理功能以及远程管理时的鉴别信息安全。 1）身份鉴别： a) 对登录用户的身份标识和鉴别要求具有唯一性和复杂度。这涉及到配置文件如/etc/pam.d/system-auth、/etc/shadow和/etc/login.defs，检查密码复杂度策略、口令最长使用期限等。在实际检查中，可能发现口令复杂度未配置，口令最长使用期限不符合要求，以及PASS_MIN_LEN值不正确。 b) 需要检查登录失败处理功能是否启用，包括结束会话、限制非法登录次数和超时自动退出。这涉及/etc/pam.d/system-auth、/etc/pam.d/sshd以及TMOUT设置。在检查过程中，可能会发现本地登录未配置登录失败处理，而SSH登录已经限制了失败次数，但root账户的SSH登录已被禁止，需在结果中特别说明。 2）登录失败处理： 在Linux系统中，登录失败处理功能可以通过PAM模块进行配置，例如pam_tally2.so。此外，TMOUT变量用于设置登录超时自动退出的时间。检查过程中，需要确认这些设置是否符合安全策略，以及root账户的特殊处理。 3）远程管理的鉴别信息保护： 在进行远程管理时，鉴别信息的安全尤为重要。需要检查SSH配置文件/etc/ssh/sshd_config，确保已采取措施防止鉴别信息在网络传输过程中被截取，例如启用加密和密钥交换协议，限制root账户的远程SSH登录等。 通过这样的配置核查，测评机构能够展示其在网络安全等级保护方面的专业技能，确保在真实测评中能准确识别和解决潜在的安全问题。只有通过能力验证，机构才能证明其具备提供可靠网络安全评估服务的技术实力。