2019年06月19日
在建立安全標(biāo)準(zhǔn)時(shí)，通過保證測試方法覆蓋多個(gè)場景，來確保設(shè)備在所有環(huán)境中都能正常運(yùn)行非常重要。
網(wǎng)絡(luò)由很多定義標(biāo)準(zhǔn)不同的部分組成。這些標(biāo)準(zhǔn)有助于解決從安全性到性能和可用性相關(guān)的網(wǎng)絡(luò)問題。
開放標(biāo)準(zhǔn)是一種公開可用的標(biāo)準(zhǔn)，人們可以通過多種方式使用它來為網(wǎng)絡(luò)部署安全解決方案。人們通過閱讀開放安全標(biāo)準(zhǔn)來了解一項(xiàng)技術(shù)如何有助于解決網(wǎng)絡(luò)安全問題。開放標(biāo)準(zhǔn)的執(zhí)行者可以創(chuàng)建解決方案來解決已有的安全問題。網(wǎng)絡(luò)運(yùn)營商通過閱讀這些標(biāo)準(zhǔn)來了解不同的實(shí)踐如何協(xié)同工作，從而形成一個(gè)完整的安全解決方案。
這些網(wǎng)絡(luò)解決方案通常出自不同的地方，這導(dǎo)致出現(xiàn)了各種測試流程和方法來確保網(wǎng)絡(luò)組件支持用戶的所有安全和性能需求。由于大多數(shù)標(biāo)準(zhǔn)也是開放的，所以測試方法也是開放的。但通常情況并非如此，雖然應(yīng)該如此。
有關(guān)開放安全測試標(biāo)準(zhǔn)的案例
經(jīng)常聽到的反對開放測試標(biāo)準(zhǔn)的觀點(diǎn)是，網(wǎng)絡(luò)組件工程師可以看到測試并根據(jù)已知的標(biāo)準(zhǔn)創(chuàng)建解決方案。這看起來像是在作弊，因?yàn)闇y試題目是已知的，網(wǎng)絡(luò)運(yùn)營商可以設(shè)計(jì)他們的產(chǎn)品來通過測試。如果測試完全覆蓋了網(wǎng)絡(luò)運(yùn)營商想要的安全功能，那么他們是否知道測試內(nèi)容并不重要。測試的結(jié)果將是一個(gè)網(wǎng)絡(luò)組件完全符合測試用例。通過創(chuàng)建一個(gè)開放的測試環(huán)境，網(wǎng)絡(luò)組件工程師可以建立一個(gè)滿足網(wǎng)絡(luò)運(yùn)營商需求的解決方案。
在建立安全標(biāo)準(zhǔn)時(shí)，保證測試方法覆蓋多個(gè)場景，以確保設(shè)備在所有環(huán)境中都能正常運(yùn)行非常重要。至于安全測試方法，可能需要隨機(jī)化輸入?yún)?shù)來覆蓋所有用例，用來檢測出那些只是調(diào)整設(shè)備性能以滿足測試用例需求而不是實(shí)際需求的設(shè)備。例如在測試防火墻是否能檢測到CVEs時(shí)，運(yùn)行一個(gè)包含漏洞的流量組合非常重要，這樣才能確保設(shè)備能在各種情況下都能檢測到攻擊并阻止攻擊。
開放測試標(biāo)準(zhǔn)的另一個(gè)優(yōu)點(diǎn)是，用戶和網(wǎng)絡(luò)運(yùn)營商能夠了解什么是安全測試以及如何去執(zhí)行測試。操作人員可以通過了解現(xiàn)在使用的安全測試用例，來確認(rèn)測試是否滿足特定的需求。如果不滿足，他們可以進(jìn)行其他測試。
建立反饋循環(huán)
如果有組織機(jī)構(gòu)負(fù)責(zé)維護(hù)該標(biāo)準(zhǔn)，那么運(yùn)營商可以通過信息反饋查漏補(bǔ)缺，這樣將來網(wǎng)絡(luò)運(yùn)營商就不必進(jìn)行額外的測試了。了解如何對網(wǎng)絡(luò)組件進(jìn)行測試還可以讓網(wǎng)絡(luò)運(yùn)營商和用戶更好地理解測試結(jié)果，因?yàn)闇y試結(jié)果本身往往無法提供有關(guān)測試條件的足夠背景信息。 例如，了解一個(gè)設(shè)備是否在沒有負(fù)載時(shí)通過了安全測試，但在有負(fù)載時(shí)卻沒有檢測到攻擊非常重要。
比較來自不同網(wǎng)絡(luò)供應(yīng)商的安全測試報(bào)告也非常重要。這樣可以提高測試方法的透明度，優(yōu)化決策過程。開放測試標(biāo)準(zhǔn)提供了一個(gè)能夠進(jìn)行比較的機(jī)會。例如，在安全性能測試中，防火墻的帶寬測試結(jié)果會根據(jù)啟用的安全功能不同發(fā)生很大變化。如果沒有開放標(biāo)準(zhǔn)明確這些信息，用戶可能對著兩份不同執(zhí)行結(jié)果報(bào)告，而不理解結(jié)果的不同取決于啟用了哪些功能。
安全標(biāo)準(zhǔn)的執(zhí)行者可以通過開放測試標(biāo)準(zhǔn)更好地了解網(wǎng)絡(luò)運(yùn)營商感興趣的測試內(nèi)容。網(wǎng)絡(luò)運(yùn)營商則可以通過開放標(biāo)準(zhǔn)測試進(jìn)行比較，使網(wǎng)絡(luò)決策變得更加容易。
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運(yùn)維平臺建設(shè)、動漫設(shè)計(jì)、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個(gè)視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務(wù)商。