一站式电子元器件采购平台

华强商城公众号

一站式电子元器件采购平台

口袋里的移动库存

华强商城移动APP

口袋里的移动库存

元器件移动商城,随时随地采购

华强商城M站

元器件移动商城,随时随地采购

半导体行业观察第一站!

芯八哥公众号

半导体行业观察第一站!

专注电子产业链,坚持深度原创

华强微电子公众号

专注电子产业链,
坚持深度原创

电子元器件原材料采购信息平台

华强电子网公众号

电子元器件原材料采购
信息平台

浪潮信息与中国网安中心联合发布《服务器安全新国标合规实践白皮书》

来源:美通社 发布时间:2022-01-12

摘要: 北京2022年1月12日 / / -- 日前,浪潮电子信息产业股份有限公司(简称浪潮信息)、中国网络安全审查技术与认证中心(简称中国网安中心)联合发布了《服务器安全新国标合规实践白皮书》(简称《...

北京2022年1月12日 / / -- 日前,浪潮电子信息产业股份有限公司(简称浪潮信息)、中国网络安全审查技术与认证中心(简称中国网安中心)联合发布了《服务器安全新国标合规实践白皮书》(简称《白皮书》)。《白皮书》指出,服务器产品面临的安全威胁复杂多样,需要从硬件、固件等多个层面进行安全防护,以实现保密性、完整性、可用性及不可抵赖性的安全目标。

近年来,云计算、大数据、移动互联网、物联网等新技术的广泛使用为行业发展注入了新的动力,但随之而来的还有更加复杂的网络安全问题,有效抵御安全威胁面临较大的挑战。

服务器作为信息化的基石,关系到网络安全的根本,2021年7月1日,服务器安全新国标《GB/T 39680-2020信息安全技术 服务器安全技术要求和测评准则》正式实施。当月,浪潮英信服务器获得了中国网络安全审查技术与认证中心颁发的IT产品信息安全认证证书,是行业内首家通过该认证的服务器产品。该认证依据的标准即为《GB/T 39680-2020信息安全技术 服务器安全技术要求和测评准则》。

新标准在原有相关要求基础上,重点加强了固件安全及自身安全管理相关的安全技术要求。浪潮服务器针对相关要求进行了重点设计,通过芯片写保护、安全启动、数字签名、备份恢复等技术减少固件被破坏或被篡改的风险,通过身份标识、访问控制、日志审计、安全加固等技术减少固件自身服务漏洞被利用造成的风险。

在固件程序安全方面,浪潮服务器通过对CPU及PCH芯片进行安全配置来保护BIOS(基本输入输出系统)存储区不被恶意篡改,同时保证服务器启动过程的完整性;BMC(基板管理控制器)在更新或升级相关固件时,通过数字签名技术保证固件文件的完整性,防止使用嵌入恶意代码的非官方版本镜像进行滥刷或误刷;在固件恢复方面,BMC及BIOS固件均通过双镜像方式支持自动备份恢复。

在固件自身服务的安全性方面,浪潮服务器BMC支持唯一标识的本地用户访问控制管理,支持默认密码修改及提示、密码复杂度及有效期设置,以提高身份鉴别功能的防护能力;BMC采用基于角色的本地用户精细化管理,默认支持“管理员”、“操作员”、“普通用户”角色,仅授予所需的最小访问权限,不允许修改其权限;BMC审计日志仅管理员权限用户可进行配置和查看,以防止非预期的改动。

《白皮书》中,浪潮信息将以上实践经验进行归纳总结,从硬件、固件、配套软件等层面给出了安全架构设计参考。


《白皮书》还对服务器安全提出了几点建议:组织应通过研发阶段安全保障活动,降低研发过程中引入安全风险的几率;安全建设应伴随产品生命周期的整个过程,通过一系列的组织、流程、工具、能力建设来支撑落地,并在实践过程中不断优化提升;此外,安全除了由产品自身安全能力来保障,还需要用户的积极配合,以使相关安全能力能够被正确的理解、部署及运转。

声明:本文观点仅代表作者本人,不代表华强商城的观点和立场。如有侵权或者其他问题,请联系本站修改或删除。

微信扫一扫,一键转发

关注“华强商城“微信公众号

相关阅读
调查问卷

请问您是:

您希望看到什么内容: