回复“河南等保1116”中获得“网络设备安全性评估指南”翻译版

英国的供应链网络安全评估

CISA发布漏洞修补决策树模型

美国NSA发布：防范软件内存安全问题指南

最常见的20种网络安全攻击类型

网络安全等级保护：信息系统安全运维管理指南思维导图

《网络数据分类分级要求》（征求意见稿）思维导图

关基保护：关键信息基础设施安全保护要求的一点杂感

2023 年应该注意的10种网络攻击类型

澳大利亚：网络安全原则

卡内基梅隆大学：缓解内部威胁的常识指南

主题

安全期望值

重要原因

评价：安全申报

评估：客户或第三方抽查

评估：客户或第三方实验室测试

V.A:产品生命周期管理

V.A:

总体目标

供应商的产品在产品的整个生命周期内都得到适当的支持。

提供供应商对产品进行成熟管理的信心，在支持的生命周期内接收更新和安全关键修复产品。

作为安全声明的一部分，供应商描述了如何支持产品。

-

-

V.A.1:

产品生命周期流程

供应商清楚地标识了每个产品的生命周期。

供应商应制定生命周期终止政策，详细说明产品在销售终止后将支持多长时间。

提供在给定日期之前支持产品的信心。此外，供应商的支持日期适用于全球，这意味着供应商可能会在此期间继续投资于产品维护。

供应商在安全声明中描述其产品的生命周期。

对于产品线中的每个版本，供应商会在适用时立即在其网站上发布终止销售日期。生命周期终止政策应详细说明在宣布销售终止日期后，产品将获得多长时间的支持以及以支持何种方式。此信息的位置在安全声明中引用。

查看产品发布历史记录。了解供应商如何使组件保持最新状态。

-

V.A.2:

软件维护

每个产品都在其发布的生命周期中进行维护。此维护至少涵盖产品的安全修复程序。

确保产品可以针对产品在其支持的生命周期内发现的安全问题进行修补。

供应商清楚地描述了他们将如何支持产品在其生命周期内，包括他们将在每个支持类下提供哪些支持。

查看显示应用于产品的安全修补程序历史记录的记录，包括解决任何未解决漏洞的路线图。

为客户选择的产品选择已知漏洞的示例，并检查如何以及何时根据供应商的策略修补这些漏洞。（见V.A.7）。

测试产品以验证设备不再容易受到漏洞或漏洞变体的影响。

.A.3:

软件版本控制

每个产品都有一个版本控制的代码存储库，用于记录每个代码修改。此审核日志将详细说明：

-修改、添加或删除了哪些代码

-为什么进行更改

-谁做出了改变

-进行更改时

-已发布的代码已内置哪个版本的代码产品。

为了提供信心，供应商可以准确跟踪产品中部署的代码。这对于有效调查供应链攻击至关重要。

供应商描述了他们如何维护其代码库的完整性。

供应商演示如何基于正常流程进行更改，以及如何拒绝通过其他方式进行更改。

探索更改并验证是否遵循了流程。

V.A.4:

软件版本

每个产品都经过严格的软件发布周期，包括在发布版本以正式发布之前进行内部测试。如果软件不符合下面详述的安全工程要求，则不会发布软件。每个产品都应由独立的第三方定期进行外部测试。

此要求的存在是为了提供供应商测试其软件版本并验证其内部安全工程流程是否已得到遵循的信心。

测试还应确保不会重新引入以前解决的安全漏洞。

供应商描述其软件发布周期，包括门和执行的测试。

查看生成和测试过程。

查看针对客户选择的产品线和版本执行的测试。检查测试工具是否配置正确并查看测试结果。验证是否包含测试以检查以前解决的漏洞和问题。

供应商证明由于任何失败的测试而正确修复了问题。

通过在客户或第三方的实验室中重复测试来检查一组供应商测试结果的准确性。

V.A.5:

开发流程和功能开发

该产品有一个主要发布系列。

新版本的分叉被最小化。必要时，客户特定的功能作为可选模块提供。

在标准开发路线图期间，任何新功能都会引入主产品线。

此要求的存在是为了让他们确信供应商正在向他们提供产品的正式发布版本，以便他们知道可以使用常规支持路由在产品的整个生命周期内获得支持。

供应商极不可能正确支持特定于功能的产品版本的激增。

安全声明描述了供应商的开发过程，包括如何以及何时发布新产品版本，以及如何将版本数保持在可管理的水平。

V.A.6:

国际发布和分叉

供应商为每个产品维护一个全局版本行。其他版本的数量最少（理想情况下没有）。

此要求的存在是为了提供产品受到全球支持的信心，并且发现的任何问题都可以轻松缓解。

供应商极不可能正确支持客户特定产品版本的激增。

供应商发布其产品的所有已发布版本的详细信息，包括二进制哈希。预计此信息将在供应商的网站上提供。

供应商在其安全声明中引用其公开的产品版本列表。

供应商描述产品的完整发布系列，包括创建每个版本的原因。

根据供应商发布的信息或其他方式，测试供应商提供的产品版本是否为“全局”版本，并具有匹配的二进制哈希。

V.A.7:

工具、软件和库的使用

对产品内部和产品开发中使用的第三方工具（例如代码编译器）、软件组件和软件库进行清点。上述任何对供应商软件的安全性至关重要的内容都将在其整个生命周期内进行维护。

不支持的工具、软件组件、软件或库不太可能使用现代安全功能。如果暴露，它们可能会导致已知漏洞嵌入到产品中。

必须修补产品关键安全保护中的漏洞，以最大程度地减少漏洞利用的影响。

安全声明描述了如何维护第三方软件组件，明确说明何时（如果有）在任何产品版本中包含不支持的组件，并说明理由。

对于客户选择的产品，供应商提供对产品安全至关重要的第三方组件列表（例如，通过接口公开的组件）。验证这些组件是否仍处于主动维护状态，并且产品生命周期内是否有支持计划。

扫描产品界面以清点已知的第三方工具，并确定它们是否正在维护。

检查产品以验证供应商的组件列表是否准确。

V.A.8:

软件文档

供应商提供最新且技术上准确的文档以及产品的新版本。本文档至少应详细说明如何安全地配置、管理和更新产品。

这为客户提供了所需的信息，以帮助他们在网络中的整个生命周期内安全地部署和管理产品，并独立评估该配置的安全性。

这有助于减少客户在供应商上的持续依赖。

安全声明承诺向客户发布产品文档。

使用文档，设置、操作、配置和更新产品，而无需供应商的支持。