在建立安全標(biāo)準(zhǔn)時，通過保證測試方法覆蓋多個場景，來確保設(shè)備在所有環(huán)境中都能正常運行非常重要。

[[268128]]

網(wǎng)絡(luò)由很多定義標(biāo)準(zhǔn)不同的部分組成。這些標(biāo)準(zhǔn)有助于解決從安全性到性能和可用性相關(guān)的網(wǎng)絡(luò)問題。

開放標(biāo)準(zhǔn)是一種公開可用的標(biāo)準(zhǔn)，人們可以通過多種方式使用它來為網(wǎng)絡(luò)部署安全解決方案。人們通過閱讀開放安全標(biāo)準(zhǔn)來了解一項技術(shù)如何有助于解決網(wǎng)絡(luò)安全問題。開放標(biāo)準(zhǔn)的執(zhí)行者可以創(chuàng)建解決方案來解決已有的安全問題。網(wǎng)絡(luò)運營商通過閱讀這些標(biāo)準(zhǔn)來了解不同的實踐如何協(xié)同工作，從而形成一個完整的安全解決方案。

這些網(wǎng)絡(luò)解決方案通常出自不同的地方，這導(dǎo)致出現(xiàn)了各種測試流程和方法來確保網(wǎng)絡(luò)組件支持用戶的所有安全和性能需求。由于大多數(shù)標(biāo)準(zhǔn)也是開放的，所以測試方法也是開放的。但通常情況并非如此，雖然應(yīng)該如此。

有關(guān)開放安全測試標(biāo)準(zhǔn)的案例

經(jīng)常聽到的反對開放測試標(biāo)準(zhǔn)的觀點是，網(wǎng)絡(luò)組件工程師可以看到測試并根據(jù)已知的標(biāo)準(zhǔn)創(chuàng)建解決方案。這看起來像是在作弊，因為測試題目是已知的，網(wǎng)絡(luò)運營商可以設(shè)計他們的產(chǎn)品來通過測試。如果測試完全覆蓋了網(wǎng)絡(luò)運營商想要的安全功能，那么他們是否知道測試內(nèi)容并不重要。測試的結(jié)果將是一個網(wǎng)絡(luò)組件完全符合測試用例。通過創(chuàng)建一個開放的測試環(huán)境，網(wǎng)絡(luò)組件工程師可以建立一個滿足網(wǎng)絡(luò)運營商需求的解決方案。

在建立安全標(biāo)準(zhǔn)時，保證測試方法覆蓋多個場景，以確保設(shè)備在所有環(huán)境中都能正常運行非常重要。至于安全測試方法，可能需要隨機化輸入?yún)?shù)來覆蓋所有用例，用來檢測出那些只是調(diào)整設(shè)備性能以滿足測試用例需求而不是實際需求的設(shè)備。例如在測試防火墻是否能檢測到CVEs時，運行一個包含漏洞的流量組合非常重要，這樣才能確保設(shè)備能在各種情況下都能檢測到攻擊并阻止攻擊。

開放測試標(biāo)準(zhǔn)的另一個優(yōu)點是，用戶和網(wǎng)絡(luò)運營商能夠了解什么是安全測試以及如何去執(zhí)行測試。操作人員可以通過了解現(xiàn)在使用的安全測試用例，來確認(rèn)測試是否滿足特定的需求。如果不滿足，他們可以進行其他測試。

建立反饋循環(huán)

如果有組織機構(gòu)負(fù)責(zé)維護該標(biāo)準(zhǔn)，那么運營商可以通過信息反饋查漏補缺，這樣將來網(wǎng)絡(luò)運營商就不必進行額外的測試了。了解如何對網(wǎng)絡(luò)組件進行測試還可以讓網(wǎng)絡(luò)運營商和用戶更好地理解測試結(jié)果，因為測試結(jié)果本身往往無法提供有關(guān)測試條件的足夠背景信息。 例如，了解一個設(shè)備是否在沒有負(fù)載時通過了安全測試，但在有負(fù)載時卻沒有檢測到攻擊非常重要。

比較來自不同網(wǎng)絡(luò)供應(yīng)商的安全測試報告也非常重要。這樣可以提高測試方法的透明度，優(yōu)化決策過程。開放測試標(biāo)準(zhǔn)提供了一個能夠進行比較的機會。例如，在安全性能測試中，防火墻的帶寬測試結(jié)果會根據(jù)啟用的安全功能不同發(fā)生很大變化。如果沒有開放標(biāo)準(zhǔn)明確這些信息，用戶可能對著兩份不同執(zhí)行結(jié)果報告，而不理解結(jié)果的不同取決于啟用了哪些功能。

安全標(biāo)準(zhǔn)的執(zhí)行者可以通過開放測試標(biāo)準(zhǔn)更好地了解網(wǎng)絡(luò)運營商感興趣的測試內(nèi)容。網(wǎng)絡(luò)運營商則可以通過開放標(biāo)準(zhǔn)測試進行比較，使網(wǎng)絡(luò)決策變得更加容易。

【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文