洞见：并非作弊 开放测试标准可提高安全性

在建立安全标准时，通过保证测试方法覆盖多个场景，来确保设备在所有环境中都能正常运行非常重要。

网络由很多定义标准不同的部分组成。这些标准有助于解决从安全性到性能和可用性相关的网络问题。

开放标准是一种公开可用的标准，人们可以通过多种方式使用它来为网络部署安全解决方案。人们通过阅读开放安全标准来了解一项技术如何有助于解决网络安全问题。开放标准的执行者可以创建解决方案来解决已有的安全问题。网络运营商通过阅读这些标准来了解不同的实践如何协同工作，从而形成一个完整的安全解决方案。

这些网络解决方案通常出自不同的地方，这导致出现了各种测试流程和方法来确保网络组件支持用户的所有安全和性能需求。由于大多数标准也是开放的，所以测试方法也是开放的。但通常情况并非如此，虽然应该如此。

有关开放安全测试标准的案例

经常听到的反对开放测试标准的观点是，网络组件工程师可以看到测试并根据已知的标准创建解决方案。这看起来像是在作弊，因为测试题目是已知的，网络运营商可以设计他们的产品来通过测试。如果测试完全覆盖了网络运营商想要的安全功能，那么他们是否知道测试内容并不重要。测试的结果将是一个网络组件完全符合测试用例。通过创建一个开放的测试环境，网络组件工程师可以建立一个满足网络运营商需求的解决方案。

在建立安全标准时，保证测试方法覆盖多个场景，以确保设备在所有环境中都能正常运行非常重要。至于安全测试方法，可能需要随机化输入参数来覆盖所有用例，用来检测出那些只是调整设备性能以满足测试用例需求而不是实际需求的设备。例如在测试防火墙是否能检测到CVEs时，运行一个包含漏洞的流量组合非常重要，这样才能确保设备能在各种情况下都能检测到攻击并阻止攻击。

开放测试标准的另一个优点是，用户和网络运营商能够了解什么是安全测试以及如何去执行测试。操作人员可以通过了解现在使用的安全测试用例，来确认测试是否满足特定的需求。如果不满足，他们可以进行其他测试。

建立反馈循环

如果有组织机构负责维护该标准，那么运营商可以通过信息反馈查漏补缺，这样将来网络运营商就不必进行额外的测试了。了解如何对网络组件进行测试还可以让网络运营商和用户更好地理解测试结果，因为测试结果本身往往无法提供有关测试条件的足够背景信息。 例如，了解一个设备是否在没有负载时通过了安全测试，但在有负载时却没有检测到攻击非常重要。

比较来自不同网络供应商的安全测试报告也非常重要。这样可以提高测试方法的透明度，优化决策过程。开放测试标准提供了一个能够进行比较的机会。例如，在安全性能测试中，防火墙的带宽测试结果会根据启用的安全功能不同发生很大变化。如果没有开放标准明确这些信息，用户可能对着两份不同执行结果报告，而不理解结果的不同取决于启用了哪些功能。

安全标准的执行者可以通过开放测试标准更好地了解网络运营商感兴趣的测试内容。网络运营商则可以通过开放标准测试进行比较，使网络决策变得更加容易。

【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

（编辑：威海站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!