一些安全扫描工具
術語表
| 術語 | 定義 |
| 敏感數據 | 敏感數據的具體范圍取決于產品具體的應用場景，產品應根據風險進行分析和判斷。典型的敏感數據包括口令、銀行帳號、大批量個人數據、用戶通信內容和密鑰等。一類如果丟失或者泄漏，會對數據的所有者造成負面影響的數據。 |
| 原始通信內容 | 通信雙方（只要其中一方涉及自然人）之間的實際通信內容，包括語音類、短信/彩信類、傳真類、數據業務（如即時消息、Email、視頻通信、網頁瀏覽等）類等 |
| 合法監聽敏感信息 | 指合法監聽相關的事件信息，如監聽目標（通信參與方）、監聽時間、通信時間、通信時長等，不包括通信內容 |
| 個人數據 | 指直接通過該數據或者結合該數據與其他的信息，可以識別出自然人的信息。 |
| 匿名化? | 指對個人數據進行的更改（例如單向散列、截短、替換等，如需保留個人數據真實值與替換值之間的對應關系，可以使用對稱加密或映射表方式，但密鑰/映射表必須由運營商控制），使原來有關個人的信息不再能歸屬到一個可識別的自然人，或推理這種歸屬需要耗費過多、不相稱的時間、費用和精力。來源：《德國個人數據保護法》 |
| 安全刪除 | 指對數據刪除之后不可恢復，或者恢復需要付出過多、不相稱的時間、費用和精力。例如：對RAM（內存）用新的數據覆蓋或下電；對磁盤分區進行低格、對磁盤文件重寫三次或以上、對磁盤進行消磁、粉碎；對CD進行物理粉碎等。來源：參考德國合作項目顧問建議 |
| 未公開接口 | 可繞過系統安全機制（認證、權限控制、日志記錄等）對系統或數據進行訪問的功能（如客戶無法管理的固定口令/隱藏賬號機制、不記錄日志的非查詢操作等）及產品資料中未向客戶公開的命令/外部接口（如隱藏命令/參數、隱藏端口等接入方式） |
| 遠程訪問 | 通過Internet或局域網遠距離訪問設備的接入方式 |
| 受限公開 | 對于涉及產品知識產權、高危操作、可外部調用的內部接口等不期望向所有客戶人員公開的內容，不在正式發布的面向所有客戶的產品資料中公開，僅主動向客戶/政府特定人員公開或僅在客戶要求時再公開（與客戶簽署保密協議），以規避因實現細節過度公開而導致的安全風險。在正式發布的面向客戶的產品資料中需注明受限公開資料的獲取方式/途徑。 |
| 增值服務 | 歐盟2002年58號文——任何要求對數據流（traffic data）或數據流以外的位置數據進行處理的服務，不包括為了必要的通信傳輸和計費目的所需要處理的數據流。 |
| 操作員帳號 | 業務系統分配給局方或者廠家人員用于對本業務系統進行業務運作、系統管理以及維護的帳號，如營業廳操作員的帳號等。 |
| SSL 協議 | SSL(Secure Socket Layer) 位于應用層和傳輸層之間，它可以為任何基于TCP 等可靠連接的應用層協議提供安全性保證。 SSL 的全稱是 “Secure Sockets Layer”，中文名為 “ 安全套接層協議層 ” 。 SSL協議指定了一種在應用程序協議（如 HTTP、 Telenet、NMTP 和 FTP等）和 TCP/IP 協議之間提供數據安全性分層的機制，它為 TCP/IP連接提供數據加密、服務器認證、消息完整性以及可選的客戶機認證。 |
| TLS 協議 | TLS 協議設計的具體目標是解決兩個通信實體之間的數據的保密性和完整性等，總體目標是為了在因特網上統一SSL 的標準。因此，在協議構成方面，TLS幾乎與SSL協議一樣，主要分為TLS 記錄協議與TLS握手協議。TLS記錄協議與 SSL 記錄協議基本一致，字段的內容也基本相同。TLS記錄協議也有4種類型的客戶：握手協議、警告協議、改變密碼規格協議和應用數據協議等。為了便于TLS 的擴展，TLS記錄協議還支持額外的記錄類型。 |
| SSH協議 | SSH(the Secure Shell), 是一個很流行的、強大的、基于軟件的網絡安全工具。任何時候，只要電腦向網絡上發送數據，SSH都會自動加密。當接受到數據時，SSH會自動解密。 |
| SNMP | 簡單網絡管理協議（SNMP：Simple Network Management Protocol）是由互聯網工程任務組（IETF：Internet Engineering Task Force ）定義的一套網絡管理協議。該協議基于簡單網關監視協議（SGMP：Simple Gateway Monitor Protocol）。利用SNMP，一個管理工作站可以遠程管理所有支持這種協議的網絡設備，包括監視網絡狀態、修改網絡設備配置、接收網絡事件警告等,SNMPv3是在SNMPv2基礎之上增加、完善了安全和管理機制. |
| IPSec | IPSec 是一套用來通過公共IP網絡進行安全通訊的協議格式，它包括數據格式協議、密鑰交換和加密算法等 |
| SFTP | sftp是Secure File Transfer Protocol的縮寫，安全文件傳送協議。可以為傳輸文件提供一種安全的加密方法。 |
?
| 程序帳號 | 由程序使用的帳號，例如在某程序中實現SFTP自動傳輸文件的功能，那么在這段程序中使用的、為了實現SFTP自動登錄的帳號即為程序帳號。 |
| 最終用戶帳號 | 屬于業務范疇的帳戶，如手機號、eMail用戶帳號等。 |
| 身份認證 | 驗證用戶身份的真實性。認證方法有基于用戶所知道的、基于用戶所擁有的、基于用戶個人特征。 |
| 加密協議 | FTP、HTTP、Telnet協議都是以明文傳輸的應用層協議，傳輸過程中存在被竊聽的安全隱患，SFTP/FTPS、HTTPS、SSH是分別與之對應的加密應用層協議。 |
| 初始密鑰 | 用來導出主密鑰的密鑰。一般為操作員輸入或者寫死在代碼中，寫死在代碼中時必須遵循本基線中“密鑰管理”相關的要求。公司開發的加密庫，其中包含了密鑰導出函數：PKCS5-deriveKey(…)，可以直接調用該函數導出加密的密鑰。Java中請參考類 PBEKeySpec。 |
| 主密鑰 | 用來加密（使用對稱算法）工作密鑰的密鑰。一般是使用密鑰導出算法對初始密鑰進行計算而得出。某些場景下，主密鑰就是工作密鑰，但一般不建議。 |
| 工作密鑰 | 用來加密（使用對稱算法或者 HMAC 算法）業務中敏感數據的密鑰。一般是隨機生成的。某些場景下，是由用戶/操作員輸入、然后使用密鑰導出算法計算得到。 |
范圍、目標和任務
?
?工作范圍：所有合作產品版本。 ?工作目標：版本在交付華為驗收時，均能滿足產品安全規范的要求。 ?工作任務：所有合作產品版本需根據安全規范，在需求、設計、開發、測試、發布階段落實安全要求，確保滿足華為產品網絡安全規范的要求。?
?合作方應根據安全要求，將安全作為產品需求的一部分納入產品規劃。 ?合作方應對產品在需求、設計、開發、測試、發布等環節對研發文檔（包括但不限于需求文檔、系統設計文檔、詳細設計文檔、測試方案、測試用例、產品手冊、版本變更記錄、特性變更記錄）、工具（包括但不限于編程工具、編譯工具、測試工具、配置管理工具）、源碼、變更（包括但不限于需求變更、設計變更、方案變更、版本變更）、產品版本（包括但不限于系統軟件版本管理、硬件版本管理、其它配套件版本管理）等要有清晰的記錄和管理，以確保可追溯性。??? 合作方應在編碼階段進行代碼安全掃描，解決高風險的代碼安全問題；應提供通信矩陣并說明所有開放端口的用途，測試階段進行病毒掃描、端口掃描、漏洞掃描和Web安全測試。
軟件安全：業務流程維度措施
| 維度 | 措施 | 要求 | 計劃完成時間 |
| 前端 | 發包時在工作任務書（SOW）中明確網絡安全部分質量目標及驗收標準，以及必做的規范動作。 | 合作公司應根據SOW中明確的網絡安全目標及安全規范進行開發和維護。 | 例行操作 |
| 后端 | 驗收準入條件中增加網絡安全要求； 驗收環節增加安全部分驗收，確定供應商是否達成SOW中的網絡安全標準，并檢查相關輸出件 | 合作公司在提交版本進行驗收前應進行自檢，確保達到網絡安全標準的驗收準入條件。 | 例行操作 |
| 公司測評 | 制定并發布網絡安全成熟度評價標準，結合標準對合作公司進行定期測評 | 合作公司需建立自己的產品安全體系，設置安全工程師的角色，培養員工的安全設計、安全開發、安全測試能力 | 2012年6月底前提交培養計劃，8月底之前匯報安全體系建立進展情況 |
| 稽核 | 對外包項目進行抽查，審計網絡安全要求落實執行情況 | 半年度例行稽核 |
?
軟件安全：業務流程維度措施
?
| 工具分類 | 工具名稱 | 工具類型 | 供應商 |
| 端口掃描* | Nmap | 免費工具 | / |
| 系統層漏洞掃描* | Nessus | 商用工具 | Nessus |
| Web安全掃描* | APPSCAN | 商用工具 | IBM |
| 協議畸形報文測試 | Codenomicon | 商用工具 | Codenomicon |
| 協議畸形報文測試 | HUTAF xDefend | 自研工具 | 華為中研測試工具部 |
| 代碼安全審計 | Coverity Integrity Center | 商用工具 | Coverity |
| 代碼安全審計 | Fortify SCA | 商用工具 | Fortify |
| 防病毒軟件 | OfficeScan | 商用工具 | 趨勢科技 |
| 數據庫安全測試 | NGSSQuirreL | 商用工具 | NGSsoftware |
總結
- 上一篇： PreferenceActivity
- 下一篇： 开发人员最常用的 10 大容器安全工具