控制点
2.
通信传输为等级保护对象在网络环境的安全运行提供支持。为了防止数据被篡改或泄露，确保在网络中传输数据的保密性、完整性和可用性等。本层面重点针对在网络中传输的数据是否具有完整性校验；数据是否采用加密等安全措施来保障数据的完整性和保密性。
a)*
安全要求：应采用校验技术或密码技术保证通信过程中数据的完整性。
要求解读：为了防止数据在通信过程中被修改或破坏，应采用校验技术或密码技术保证通信过程中数据的完整性，这些数据包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
检查方法
1.检查是否在数据传输过程中使用校验技术或密码技术来保证其完整性。
2.测试验证设备或组件是否保证通信过程中数据的完整性。例如使用File ChecksumIntegrity Verifier、SigCheck等工具对数据进行完整性校验。
测评对象
校验或密码技术、数据完整性
期望结果
1.对鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息数据等采用校验技术或密码技术保证通信过程中数据的完整性；
2.File ChecksumIntegrity Verifier 计算数据的散列值，验证数据的完整性。
高风险判定
满足以下条件即可判定为高风险：
网络层或应用层无任何重要数据（如交易类数据、操作指令数据等）传输完整性保护措施，一旦数据遭到篡改，将对系统或个人造成重大影响。
补偿因素：
对于重要数据在可控网络中传输的情况，可从已采用的网络管控措施、遭受数据篡改的可能性等角度进行综合风险分析，酌情判定风险等级。
b)**
安全要求：应采用密码技术保证通信过程中数据的保密性。
要求解读：根据实际情况和安全防护要求，为了防止信息被窃听，应采取技术手段对通信过程中的敏感信息字段或整个报文加密，可采用对称加密、非对称加密等方式实现数据的保密性。
检查方法
1.检查是否在通信过程中采取保密措施，具体采用哪些技术措施。
2.应测试验证在通信过程中是否对敏感信息字段或整个报文进行加密，可使用Sniffer、Wireshark等测试工具通过流量镜像等方式抓取网络中的数据，验证数据是否加密。
测评对象
通信保密措施
期望结果
1.对鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息数据等采用密码技术保证通信过程中数据的保密性；
2.Sniffer、Wireshark可以监视到信息的传送，但是显示的是加密报文。
高风险判定
满足以下条件即可判定为高风险：
鉴别信息、个人敏感信息或重要业务敏感信息等以明文方式在不可控网络环境中传输。
补偿因素：
1.使用多种身份鉴别技术、限定管理地址等措施，获得的鉴别信息无法直接登陆应用系统或设备，可根据实际措施效果，酌情判定风险等级。
2.可从被测对象的作用、重要程度以及信息泄露后对整个系统或个人产生的影响等角度进行综合风险分析，酌情判定风险等级。
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...