基本介绍

对国内外信息技术产品的安全性进行测评，其中包括各类信息安全产品如防火墙、入侵监测、安全审计、网络隔离、VPN、智能卡、卡终端、安全管理等，以及各类非安全专用IT产品如操作系统、数据库、交换机、路由器、应用软件等。

根据测评依据及测评内容，分为：信息安全产品分级评估、信息安全产品认定测评、信息技术产品自主原创测评、源代码安全风险评估、选型测试、定制测试。信息技术产品分级评估是指依据国家标准GB/T 18336—2015《信息技术 安 全技术 信息技术安全评估准则》通过对信息 技术产品的整个生命周期，包括技术、开发、管理、交付等部分进行全面的安全 性评估和测试，验证产品的保密性、完整性和可用性程度，确定产品对其预期应 用而言是否足够安全，以及在使用中隐含的安全风险是否可以容忍，产品是否满 足相应评估保障级的要求。

业务范围

具有安全功能的信息技术产品，如：防火墙、IDS/IPS、智能卡、芯片、USBKey、 扫描器、安全审计、数据库、操作系统等。 目前受理的级别包括：EAL1、EAL2、EAL3、EAL4、EAL5、EAL6、EAL7 及相 应增强级，如EAL3+、EAL4+、EAL5+。

工业控制系统产品测评

工业控制系统产品测评是对工业控制系统中的各类产品进行功能性及安全性测试，包括控制类产品（即工业控制设备）和安全类产品（工业安全设备）。其中控制类产品包括可编程控制器（PLC）、离散控制系统（DCS）、远程终端单元（RTU）、智能电子设备（IED）、各行业控制系统等用于生产控制的产品；安全类产品包括工业防火墙、工业安全网关、工业异常监测系统、工业应用软件漏洞扫描产品等用于工业环境安全防护的产品。根据测评依据及测评内容，工业控制系统产品测评类型包含标准测试、选型测试和定制测试等

渗透测试

渗透测试是指测试人员尽可能完整地模拟攻击者使用的漏洞发现技术和攻击手段，从攻击者的角度对目标网络、系统、主机应用的安全性作深入的非破坏性的探测， 发现系统最脆弱环节的过程。渗透测试通常能以非常明显、直观的结果来反映出系统的安全现状，其目的是能够让管理人员直观地知道自己网络所面临的问题。渗透测试为了不对测试目标造成破坏、损害或篡改，对于某些可能会对测试对象造成负面影响的攻击方法和手段，在渗透测试中不予使用，具体包括：社会工程学、分布式拒绝服务攻击、散布病毒（包括木马、恶意代码等）、对即时通讯工具的攻击、网络钓鱼等。

CNNVD兼容性服务

CNNVD兼容性服务是测评中心面向国内外信息安全从业单位，对其产品、系统、服务等涉及到的漏洞信息进行CNNVD兼容性审评估与认证的服务，并及时、 准确、广泛的开展涵盖以漏洞信息为核心的各类数据资源的合作与研究服务。使在我国范围内的信息安全产品、系统和服务在漏洞信息方面能够使用统一的规范命名 和标准化描述，并最优化的共享我国信息安全漏洞等相关数据资源，最大程度上减少各信息安全从业单位在信息安全漏洞资源方面的人力物力投入，从国家层面加强 和规范我国对漏洞信息的共享与服务能力

软件源代码漏洞分析服务

软件源代码漏洞分析服务是指对软件源代码安全性进行全面分析，查找源代码中存在的安全缺陷和隐患，并对这些安全缺陷和隐患进行深入剖析，综合评估其可能造成的安全风险，最终给出修复建议的过程。

源代码是软件的“原材料”，对源代码进行安全分析意味着守住了软件安全最关键的安全防线之一。通过本项业务可以帮助用户从根源上减少30%~70%的软件 安全问题。只有源代码中的安全缺陷得以及早消除，最终形成的软件产品才能具备较高的安全性，有效降低整体业务系统的安全风险

软件安全保障测评

软件安全保障测评服务是指对软件的整个开发生命周期进行全面、综合分析，查找需求、设计、实现等各个阶段中存在的安全缺陷和隐患，并对这些安全缺陷和隐患 进行深入分析，给出修复建议，在确认这些安全问题修改完善后，最终综合评定其安全保障级别的过程。测评中心将对通过安全保障测评的软件颁发相应的等级证 书，用以证明软件的安全水平。

证据需求

根据业务内容的要求，申请方需提交的证据包括：

● 分级评估申请书 

● 分级文档（注：见《分级文档编写指南》）

● 评估对象（TOE）

● 实现安全功能的源代码（注：EAL4级及以上需此项）

业务流程图

信息技术产品分级评估流程主要分为受理阶段、预评估阶段、评估阶段、注 册阶段等四个阶段。

1） 受理阶段

申请方向测评中心提出分级评估申请。由受理人员对申请方提交的申请书进 行审核。如果未通过审核，受理部门会根据提交材料的实际情况提出反馈意见， 申请方应根据反馈意见进行补充或修改。通过审核后，执行受理审批流程，申请 方签订测评协议、交纳测评费用。

2） 预评估阶段

受理完成后，申请方应提交符合测评要求的产品。确认收到产品后，评估组 人员通知申请方评估工作正式启动，并将需申请方配合的相关事宜一并告知，同 时，评估组人员先对文档材料进行技术审核，来判定提交的材料内容是否符合要 求。如果未通过审核，评估人员会根据提交材料的实际情况提出反馈意见，申请 方应根据反馈意见进行补充或修改，并提交修改后的文档。通过审核后，评估组 人员根据申请的级别制定评估方案。

3） 评估阶段

评估方案制定完成后，评估组人员根据方案，严格遵照评估进度开展评估工 作，必要时可要求申请方提供技术支持，及配合完成有关操作。评估中出现的属 于申请方的问题，评估组出具观察报告交由申请方签字确认。 在测评过程中如发现被测产品存在技术问题，申请方可选择进行回归测试或 者主动放弃合同权益。如进行回归测试，则申请方在收到回归测试通知单后应及 时反馈。回归测试需要申请方承担额外的费用，具体费用根据发现问题的复杂或 难易程度等核算工作量来收取。 评估组人员根据各评估内容的评估结果，进行综合评定，并出具评估技术报 告，该报告将作为产品是否通过分级评估的直接依据。 评估报告交由专家评审组进行评审，通过后进入下一阶段。

4） 注册阶段

通过评估的产品，测评中心对其进行注册及颁发证书，并将结果公布于测评 中心的网站和杂志。 证书有效期为3年，在证书有效期届满前，由申请方向测评中心重新提出分 级评估申请。通过评估的产品，测评中心将为其颁发新的证书。

评估内容

评估内容主要包括评估活动、安全性测试、现场核查共三个方面。

1）评估活动主要包括：

● 安全目标评估

● 开发活动评估

● 指导性文档评估

● 生命周期支持评估，包括配置管理、交付、开发安全、生命周期定义 等

● 测试评估 

● 脆弱性评定评估

GB/T 18336—2015第3部分对各个保障级别所需的文档内容有严格的要求， 随着分级评估保障级别的增加，所需提交的文档所包含的内容就越全面，同时对 每个文档内容的要求也越高。

2) 安全性测试主要包括：

● 独立性测试：为了验证被评估产品所提供的安全功能是否能够正确实 现，评估者从申请方提供的测试文档中抽取一定数量的测试用例，并 经重新设计后来完成对安全功能的验证性测试操作。

● 穿透性测试：评估者通过实施穿透性测试，验证被评估产品在预期环 境下是否存在明显的可被利用的脆弱性，从而威胁产品及其保护资产 的安全。

● 安全性能测试：对于存在性能测试需求的产品，评估者参考RFC2544、 RFC3511 等标准和规范，对被评估产品实施安全性能测试。

3) 现场核查主要包括：

● 核查配置管理、交付、开发安全。现场核查的形式包括文档证据审查、 实际环境审查以及与有关人员交流。EAL3级（含）以上分级评估将进 行现场核查。现场核查约在评估过程进行至70%左右时进行。

评估时间

评估开始时间为申请方接到项目启动通知单的时间，评估结束时间为信息安 全实验室出具评估技术报告的时间。 一般情况下，常规信息技术产品的评估参考时间如下：

● EAL1：20个工作日

● EAL2：40个工作日

● EAL3：60个工作日

● EAL4：90个工作日

● EAL5：120个工作日

 评估费用

根据申请的保障级别、产品的复杂程度等方面核定工作量，确定评估费用。

证书展示

分级评估业务的输出：评估技术报告、测评证书。

信息技术产品安全测评服务

业务专线 18927411650

软件与信息安全产品检测

信息安全产品认证