精华内容
下载资源
问答
  • 安全测评
    2021-07-06 09:44:08

    一、网络安全测评概述

    1、测评依据

    (1)法律法规

    《中华人民共和国网络安全法》(2017年6月1日实施)
    《网络安全等级保护条例》(征求意见稿)
    《信息安全等级保护管理办法》(公通字[2007]43号)

    (2)技术标准

    《网络安全等级保护定级指南》(报批稿)
    《网络安全等级保护基本要求》(GB/T22239-2019)
    《网络安全等级保护测评要求》(GB/T28448-2019)
    《网络安全等级保护测评过程指南》(GB/T28449-2018)

    二、测评实施

    1、网络全局性测评

    (1)安全通信网络

    1.网络架构

    【标准条款】

    a)应保证网络设备的业务处理能力满足业务高峰期需要;
    b)应保证网络各个部分的带宽满足业务高峰期需要
    c)应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址
    d)应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段
    e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。
    
    2.通信传输

    【标准条款】

    a)应釆用校验技术或密码技术保证通信过程中数据的完整性
    b)应采用密码技术保证通信过程中数据的保密性。
    
    3.可信验证

    【标准条款】

    可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。
    

    (2)安全区域边界

    1.边界防护

    【标准条款】

    a)应保证跨越边界的访问和数据流通过边界设备提供的受控接日进行通信;
    b)应能够对非授权设备私自联到内部网络的行为进行检查或限制;
    c)应能够对内部用户非授权联到外部双络的行头进行检查或限制;
    d)应限制无线网络的使用, 保证无线网络通过受控的边界设备接入内部网络。
    
    2.访问控制

    【标准条款】

    a)应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信;
    b)应删除多余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化;
    c)应对源地址、 目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包进出;
    d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力;
    e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。
    
    3.入侵防范

    【标准条款】

    a)应在关键网络节点处检测、 防止或限制从外部发起的网络攻击行为;
    b)应在关键网络节点处检测、 防上或限制从内部发起的网络攻击行为;
    c)应采取技术措施对网络行为进行分析,实现对网络攻击特别是新型网络攻击行为的分析;
    d)当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目标、攻击时间,在发生严重入侵事件时应提供报警;
    
    4.恶意代码和垃圾邮件防范

    【标准条款】

    a)应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新;
    b)应在关键网络节点处对垃圾邮件进行检测和防护,并维护垃圾邮件防护机制的升级和更新;
    
    5.安全审计

    【标准条款】

    a)应在网络边界、重要网络节点进行安全审计审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
    b)审计记录应句括事性的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
    c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
    d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析;
    
    6.可信验证
    核查是否基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证。
    

    (3)安全管理中心

    1.系统管理
    a)应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计;
    b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。
    
    2.审计管理
    a)应对审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全审计操作,并对这些操作进行审计;
    b)应通过审计管理员对审计记录应进行分析,并根据分析结果进行处理,包括根据安全审计策略对审计记录进行存储、管理和查询等。
    
    3.安全管理
    a)应对安全管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全管理操作,并对这些操作进行审计;
     b)应通过安全管理员对系统中的安全策略进行配置,包括安全参数的设置,主体、客体进行统一安全标记,对主体进行授权,配置可信验证策略等。
    
    4.集中管控
    要求在网络中划分特定的安全管理区域(带外管理区),使用安全方式对网络中安全设备或安全组件进行远程管理。
    对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测,进行集中存储和集中分析。
    要求对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理,对网络中发生的各类安全事件进行识别、报警和分析。
    

    2、设备/系统类测评

    (1)安全计算环境

    1.身份鉴别

    【标准条款】

    a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
    b)要求系统具有一定的登录控制功能;
    c)当进行远程管理时,应采取必要措施防止鉴别信息在双络传输过程中被窃听;
    d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现;
    
    2.访问控制

    【标准条款】

    a)应对登录的用户分配账户和权限;
    b)应重命名或册除默认账户,修改默认账户的默认口令;
    c)应及时删除或停用多余的、过期的账户,避免共享账户的存在;
    d)应授子管理用户所需的最小权限,实现管理用户的权限分离;
    e)应由授权主体配置访问控制策略, 访问控制策略规定主体对客体的访问规购;
    f)访问控制的粒度应达到主体为用户级或进程级客体为文件、数据库表级;
    g)对重要信息资源设置敏感标记,决定主体以佰种权限对客体进行操作,实现强制访问控制;
    
    3.安全审计

    【标准条款】

    a)应启用安全审计功能,审计覆盖到每个用户对重要的用户行为和重要安全事件进行审计;
    b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
    
    4.入侵防范

    【标准条款】

    a)应遵循最小安装的原则,仅安装需要的组件和应用程序(主要测评对象是主机层);
    b)对访问系统的登录地址进行限制,避免未授权的访问;
    c)应能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞;
    d)应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警;
    
    5.数据备份恢复

    【标准条款】

    a)应提供重要数据的本地数据备份与恢复功能;
    b)应提供异地实时备份功能,利用通信网络将重要数据实时备份至备份场地;
    c)应提供重要数据处理系统的热冗余, 保证系统 的高可用性;
    
    更多相关内容
  • 等保二级、三级测评指导书、差距评估表、等级保护234权重赋值表 测评报告模板 配置核查报告模板 差距评估报告模板 整改计划及整改报告模板 项目管理模板 系统定级与备案模板 测评报告模板等全套标准化模板及...
  • 信创网络安全测评.pdf

    2021-09-19 23:16:01
    信创网络安全测评.pdf
  • DB31_T 272-2008 计算机信息系统安全测评通用技术规范
  • 网络安全测评机构能力建设研究.pdf
  • 信息系统安全测评.pdf

    2022-05-26 03:46:26
    信息系统安全测评.pdf信息系统安全测评.pdf信息系统安全测评.pdf信息系统安全测评.pdf信息系统安全测评.pdf
  • 信息化项目安全测评申请书-上海信息安全测评认证中心.doc
  • 等级保护-物理安全(机房)等级保护测评作业指导书
  • 测评指导书是主机安全对于 Linux 操作系统身份鉴别、访问控制、安全审计、剩余信息保护、备份与恢复安全配置要求,对 Linux 操作系统主机的安 全配置审计作起到指导性作用。
  • 等保测评收费依据。中关村信息安全测评联盟等级测评项目收费指导意见(试行)(2016)
  • 应用程序的安全问题越来越得到大家的重视,软件一旦出现安全漏洞就会给用户和企业带来严重的影响,为了将软件安全问题的后果降到最低,我们都需要进行软件安全测评,软件安全测评的内容有哪些,如何选择软件安全测评...

    应用程序的安全问题越来越得到大家的重视,软件一旦出现安全漏洞就会给用户和企业带来严重的影响,为了将软件安全问题的后果降到最低,我们都需要进行软件安全测评,软件安全测评的内容有哪些,如何选择软件安全测评机构呢?下面一航软件测评的小编来告诉大家。
    为什么要进行软件安全测试?
    软件安全测试是软件测试的重要组成部分,它预测系统中的敏感性并努力保护其数据和资源免受可能的入侵者的侵害。
    潜在安全漏洞的后果是重大的:法律责任、收入损失、客户信任损失和信誉受损。安全测试保证了组织的声誉、客户的信心、敏感数据的隐私以及不可避免的信任。
    在安全测试的过程中,主要有四个重点需要考虑:
    网络安全
    系统软件安全
    客户端应用程序安全
    服务器端应用程序安全
    网络犯罪分子非常具有创新性,并且不断想出更新和先进的方法来侵入系统和应用程序。单纯的安全测试过程很少是测试应用程序真正安全程度的唯一方法。但是,强烈建议将安全测试包含在标准应用程序生命周期中。在一个充斥着黑客的世界里,信任因素对消费者起着巨大的作用。
    在这里插入图片描述
    挑战
    与安全测试相关的挑战有很多:
    需要对大量代码行进行适当测试,以便在较短的测试周期中发现敏感性
    了解整个应用生态系统的端到端知识是一个先决条件,该生态系统包括跨表示、数据层、逻辑以及相关威胁和漏洞的众多平台
    使用基于工具的扫描方法导致的误报和误报过多
    对经过认证和认证并拥有道德黑客技能的测试专业人员存在内在需求
    显然缺乏应对新兴技术所需的指导方针和安全标准
    综上所述
    大多数企业缺乏的是一个可以完全专注于执行安全和其他关键形式的软件测评机构,例如数字、云、自动化、软件、性能、大数据等。因此,许多应用程序未经彻底测试就在市场上推出。这导致了对纯粹的软件测评机构的迫切需求,他们可以提供所需的集中测试方法。
    一航软件测评提供的安全测试服务包括由全面的报告和仪表板维护的深入安全分析,以及针对可能发现的任何问题的补救措施。一航软件测评在云上和本地的移动应用程序、Web 应用程序、Web 服务和软件产品的安全测试方面也拥有卓越的专业知识。同时一航软件测评也是国家授权的第三方软件测评机构,具备相应的软件检测认证资质,出具的软件测试报告全国通用。

    展开全文
  • 自己辛辛苦苦整理的报告,有排版和目录啥的。大致地整理了一下信息安全测评的一般方法和流程。供大家参考学习。
  • 网络安全测评
  • 智能网联汽车信息安全评测白皮书(印刷版).pdf
  • ## 目的 评估服务端软件的安全性 ...# 评测项目说明 【核心代码】安装在【操作系统】中, 【操作系统】安装在【服务器】上, 【服务器】接入【网络】中 所以,除了【核心代码】的自身安全(网络安

    ## 目的
    评估服务端软件的安全性
    记录下各种应用的版本信息,方便后续维护

    # 名称含义
    【服务器】物理服务器/逻辑服务器(虚拟机等)
    【核心代码】实际处理业务的程序代码
    【核心代码相关第三方程序】如:apache/nginx/tomcat/Weblogic/MySQL/Oracle等
    【核心代码无关第三方程序】如:远程管理(SSH)/文件共享等


    # 评测项目说明
    【核心代码】安装在【操作系统】中,
    【操作系统】安装在【服务器】上,
    【服务器】接入【网络】中

    所以,除了【核心代码】的自身安全(网络安全部分,代码安全部分,数据安全部分)外还应考虑
    【核心代码】所在平台系统的安全(服务器物理安全,操作系统安全)以及
    同操作系统上其他软件对【核心代码】的安全影响。

    【核心代码无关第三方程序】安全评测结果为的是突出【核心代码 无关程序】对【核心代码】安全的影响,
    【核心代码无关第三方程序】评测结果0分,表示不对【核心代码】构成威胁。
    【核心代码无关第三方程序】评测结果负分,表示对【核心代码】构成威胁(根据负分大小看出威胁大小)
    【核心代码无关第三方程序】评测结果正分,表示对【核心代码】有保护作用(根据正分大小看出保护作用大小,指对特定应用进行保护的程序,对整个系统都进行保护的程序归到【系统安全】【安全防护软件】项)

    ## 评测套路
    本标准以【服务器】为单位进行评测。
    多个【服务器】需要对每个【服务器】进行评测。评测结果可以汇总,可以独立。
    根据评测结果可选择生成安全指标(多个维度/五个维度/二个维度)进行对比。

    # 多个维度
    >服务器物理安全得分
    >服务器系统安全得分
    >核心代码1自身安全得分
    >......
    >核心代码n自身安全得分
    >核心代码相关第三方程序1安全得分
    >......
    >核心代码相关第三方程序n安全得分
    >核心代码无关第三方程序1安全得分
    >......
    >核心代码无关第三方程序n安全得分

    # 五个维度:
    1 服务器物理安全得分
    2 服务器系统安全得分
    3 核心代码自身安全得分(合并多个核心代码得分,取最低分)
    4 核心代码相关第三方程序安全得分(合并多个相关第三方程序得分,取最低分)
    5 核心代码无关第三方程序安全得分(合并多个无关第三方程序得分,取最低分)

    # 二个维度
    1 服务器安全得分(合并:服务器物理安全,服务器系统安全,核心代码无关第三方程序安全)
    2 核心代码安全得分(合并:核心代码自身安全,核心代码相关第三方程序安全)

     

     

    测评结果表(excel,内含很多批注,需要在excel软件里查看)嗯......怎么上传excel文件。。。

    服务端软件安全测评及实施指南评分标准评测说明评测得分得分/满分
    服务器
    (物理或逻辑上的独立服务器)
    系统平台物理安全物理位置标准机房(有空调、UPS、监控、门禁等基础设施,只有授权人员可以接触服务器)1安放在公司标准机房中12/2
    公共场所(非授权人员也可以接触到服务器)0
    磁盘存储类型普通硬盘04快600G硬盘组RAID101
    RAID(多选一)RAID00
    (多选一)RAID11
    (多选一)RAID51
    (多选一)RAID101
    系统安全本地登录口令(黑客密码字典无匹配)1强密码13/4
    (黑客密码字典匹配)0
    (客户端系统当服务器用且不设置登录密码)-1
    安全防护软件且开启(如 Linux:SELinux / Windows:360 等)1SELinux开启强制模式1
    无或关闭(性能问题或已有其他安全防护措施的情况下可以关闭)0
    系统备份无备份0系统无备份0
    本地备份/异地备份1
    本地
    漏洞/病毒/木马
    检查
    已全部修补 1系统更新至最新1
    在当前环境下可被利用漏洞1高危-2
    中危-1
    低危0
    在当前环境下可被利用漏洞2高危-2
    中危-1
    低危0
    核心代码1
    (根据实际情况
    增减检测项目)
    网络安全部分外部网络安全
    (从外部到达网卡)
    防火墙无相关规则0防火墙使用DNAT,只开放服务器8080端口到外网
    防火墙策略限制,只允许中国地区IP访问服务器8080端口"
    内网无限制
    未使用VPN
    无其他安全设备
    12/3
    有相关规则1
    路由器/交换机无相关规则0
    有相关规则1
    VPN0
    1
    其他安全设备无相关规则0
    有相关规则1
    系统网络安全
    (从网卡进入系统)
    系统防火墙(允许/拒绝 进入系统)关闭0系统防火墙开启:
    允许任意地址访问本机8080端口
    1
    有规则限制1
    系统路由(允许/拒绝 离开系统)默认路由0
    静态路由1
    程序网络安全
    (从系统转给程序)
    程序侦听(允许/拒绝 进入程序)127.0.0.11使用0.0.0.0侦听全部网卡
    程序内部无源地址限制
    0
    X.X.X.X0
    0.0.0.00
    程序内部过滤(允许/拒绝 接受请求)无限制0
    有限制1
    程序安全部分程序运行权限普通用户1程序以普通用户XXX权限运行14/5
    特权用户0
    程序功能授权无验证0用户请求中必须含KEY才能使用服务
    KEY复杂不易破解
    1
    有验证 (密码/KEY/账号密码验证)1
    0
    错误尝试限制无限制0无限制0
    有限制1
    代码安全测试
    (代码审计/漏洞扫描)
    未发现可被利用的已知漏洞1用XXX工具未发现漏洞1
    在当前环境下可被利用漏洞1高危-2
    中危-1
    低危0
    在当前环境下可被利用漏洞2高危-2
    中危-1
    低危0
    程序日志记录异常请求有记录1程序日志文件有记录1
    无记录0
    数据安全部分数据在服务端传输过程安全(防被盗和篡改)有加密1明文传输00/3
    无加密(普通数据)0
    无加密(重要数据)-1
    本地存储安全(防被盗、篡改和丢失)有加密1数据以文本格式明文存放在本地,数据重要性不高0
    无加密(普通数据)0
    无加密(重要数据)-1
    加密备份1明文备份,数据重要性不高0
    明文备份(普通数据)0
    明文备份(重要数据)-1
    无备份-1
    核心代码2网络安全部分       
    程序安全部分      
    数据安全部分      
    核心代码
    相关第三方程序1
    apache/nginx/tomcat/Weblogic/等
    网络安全部分       
    程序安全部分      
    数据安全部分      
    核心代码
    相关第三方程序2
    MySQL/Oracle/等
    网络安全部分       
    程序安全部分      
    数据安全部分      
    核心代码
    无关程序第三方程序1
    远程管理
    网络安全部分       
    程序安全部分      
    数据安全部分      
    核心代码
    无关程序第三方程序2
    共享文件
    网络安全部分       
    程序安全部分      
    数据安全部分      

     

     

     

    展开全文
  • 主机安全测评指标 一主机安全测评指标 测评项 技术要求 应对登录操作系统和数据库系统的用户进行身份标识和鉴别 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点口令应有复杂度要求并定期更换 应启用...
  • 信息安全测评

    2021-10-28 09:31:15
    信息安全测评的科学精神 怀疑、批判、创新、求实、协作 信息安全测评的科学方法 信息安全测评工作最主要的方法: 系统科学/系统工程 系统还原论 使用分析、分解的方法和演绎、精确的数学工具,对分解后...
    • 信息安全测评的科学精神
      • 怀疑、批判、创新、求实、协作
    • 信息安全测评的科学方法
      • 信息安全测评工作最主要的方法:
        • 系统科学/系统工程
      • 系统还原论
        • 使用分析、分解的方法和演绎、精确的数学工具,对分解后的最小部件进行定量的刻画,然后又回过头来逐级叠加,形成对系统整体的定量描述。
        • 缺点:
          • 学科分割、“只见树木不见森林”
      • 复杂系统论
        • 定性分析和定量计算向结合的现代系统科学思想,欧洲的“复杂巨系统理论”、美国的“复杂性理论”、中国的“开发的复杂巨系统理论”。
      • 系统科学的含义
        • 从事测评的不是一个人,而是一个团队,对团队的组织和管理要有系统科学方法,以保证测评质量。
        • 测评对象往往不是一个单一软件或硬件,而是一个复杂、庞大其不断变化的信息系统,本身具有“自组织、自演化”的系统科学特征。
        • 测评过程中要贯彻“人机合一”的系统科学思想。

    • 信息安全测评的贯标思想
      • 贯标:
        • 测评人员在测评活动中严格遵循相关标准的行为。
      • 贯彻国家有关信息安全测评标准的过程,是体现一名测评工程师“工程规范与艺术创造”完美结合的过程。
      • 工程规范——国家标准指明了一个信息系统所要达到的各项安全指标,这是测评工作的基线和基准,是最基本的要求。
      • 艺术创造——信息系统结构各异,工程师需要在有关标准的要求下,精心设计各种测评案例来验证一个信息系统是否达到相应安全标准的创造性过程。
      • 拟按照金融行业信息安全等级保护测评标准,对客户关键业务系统平台进行定级、备案及符合性测评。
    • 信息安全标准化组织
      • 标准化组织:
        • 制定标准规范的权威机构
      • 国际标准化组织
        • ISO(InternationalOrganization for Standardization)国际标准化组织
          • 主要工作是制定国际标准,协调世界范围内的标准化工作,组织各成员国和技术委员会进行信息交流,以及与其他国际性组织进行合作,共同研究标准化问题。
        • IEC 国际电工委员会
          • 世界上最早的专业国际标准化组织。在信息安全标准方面,IEC成立了涉及电信、电子系统、信息技术和电磁兼容等方面的委员会,并制定相关国际标准
        • ITU国际电信联盟
          • 主要负责研究通信系统安全标准。
        • IETF Internet工程任务组
          • 主要任务是负责互联网相关技术规范的研发和制定。
      • 国外标准化组织:
        • NIST 美国国家标准和技术委员会
          • 主要标准:NIST SP 800
        • BSI 英国标准标准协会
          • 主要标准:BS7799
      • 国内标准化组织
        • CITS 全国信息技术安全标准化技术委员会
          • 负责信息和通信安全的通用框架、方法、技术和机制的标准化,归口管理国内、外对应的标准化工作。
          • 其技术安全标准范围包括:开发的安全结构体系、各种安全信息交换的语义规则、有关的应用程序接口,以及本书所依据的各种安全测评标准。
    • 为何测评
      • 信息系统面临的风险以及风险有多高将直接影响到这些复杂系统的应用范围和使用寿命。为此各国均出台了一系列相关标准规范,以确保这些信息系统具备同一的安全质量,而测评工程师的首要职责,就是在测评过程中贯彻这些安全标准。
      • 测评的目的就是要贯彻国家标准规范,保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求。
      • 60年代,美军建成计算机信息系统---C3I系统。
      • 1970年,美国国防科学委员会提出制定一个关于军用计算机信息系统的安全评价标准,以此来统一衡量重要信息系统的安全工程质量。
      • 1985年,正式公布“可信计算机系统评价准则”(TCSEC),俗称“橙皮书”。该准则是全球第一个计算机系统安全评估的正式标准,具有划时代的意义。
      • TCSEC将计算机系统的安全划分为4个等级、7个级别。
        • (最小保护)D1级:
          • 该级的计算机系统除了物理上的安全设施外没有任何安全措施,任何人只要启动系统就可以访问系统的资源和数据,如DOS,Windows的低版本均是这一类(指不符合安全要求的系统,不能在多用户环境中处理敏感信息)。
        • (自主保护类)C1级:
          • 具有自主访问控制机制、用户登录时需要进行身份鉴别。
        • (自主保护类)C2级:
          • 具有审计和验证机制(对TCB-可信计算基进行建立和维护操作,防止外部人员修改)。
        • (强制安全保护类)B1级:
          • 引入强制访问控制机制,能够对主体和客体的安全标记进行管理。
        • (强制自主保护类)B2级:
          • 具有形式化的安全模型,着重强调实际评价的手段,能够对隐通道进行限制。(主要是对存储隐通道)
        • (强制自主保护类)B3级:
          • 具有硬件支持的安全域分离措施,从而保证安全域中软件和硬件的完整性,提供可信通道。对时间隐通道的限制。
        • (强制自主保护类)A1级:
          • 要求对安全模型作形式化的证明,对隐通道作形式化的分析,有可靠的发行安装过程。
      • TCSEC基本思想
        • 基础,可信计算基(TCB)是构建安全大厦的基石。然后在TCB的基础上逐步构建信息系统整体的安全。
        • 粒度,每一个安全级别都继承了上一个级别的所有安全机制,并逐步增强,因此安全控制粒度越来越细。
        • 费效比,安全级别逐步增强的同时,安全代价也快速提高。
      • 中国的计算机安全等级保护标准
        • 第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。
        • 第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。
        • 第三级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成特别严重损害,或者对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。
        • 第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。
        • 第五级,等级保护对象受到破坏后,会对国家安全造成特别严重损害。
      • 怎样评价信息系统受到破坏后的损害
        • 国家标准对每一个级别的信息系统均作了详细的测评要求,称为测评项。这些测评项覆盖了安全管理、安全技术等不同领域,这些测评项所组成的集合,是每一个确定安全等级的信息系统应该达到的安全基线。
        • 测评师应当按照国家标准中的每个测评项对一个信息系统进行逐项检查,即贯标。
      • 安全域
        • 将一个大型信息系统中具有某种相似性的子系统“聚集”在一起。
        • 资产价值相似性安全域:
          • 指同一个安全区域内的信息资产应具有相近的资产价值。
            • 如一个信息系统数据中心,其各类数据服务器具有类似的资产价值。
        • 业务应用相似性安全域:
          • 指同一个安全区域内的信息系统的业务应用或系统功能相似。
            • 一个银行的各个支行,其信息系统的业务应用均非常类似。
        • 安全需求相似性安全域:
          • 指同一个安全区域内的信息资产应具有相似的机密性要求、完整性要求和可用性要求。
            • 如国家重要部门的办公系统,在安全需求方面具有相似性。
        • 安全威胁相似性安全域:
          • 指同一个安全区域内的信息资产应处在相似的安全风险环境中,面临相似的威胁。
            • 如各个企事业单位的门户网站均面临来自Internet的安全威胁。
    • 为何测评
      • 按照相似性划分安全域的优点:
        • 同一套安全防护设备可以保护安全域中的各个子系统,从而节约安全投入的成本要求。
        • 同一个安全域内的各个子系统可以充分发挥互联互通、信息资源共享的优点。
        • 不同的安全域之间可以形成多层次配置、纵深防御的安全体系。
      • 信息安全测评定义:
        • 指测评人员在系统工程思想的指导下,遵照国家有关标准、规范和流程,通过设计各种测评案例,对一个信息系统的安全性能和功能进行“标准符合性”论证的过程。
      • 测评过程中主要关心的问题:
        • 系统设计方案是否遵循国家有关标准;
        • 系统设计方案是否得到严格的执行;
        • 系统建成后是否达到设计方案的要求;
        • 系统是否出现方案中未指明的错误。
      • 信息系统生命周期四个阶段:

      • 测评根据不同要求而不相同(以体检为例);
      • 本书所涉及信息系统是指那些具有专业用途的网络,这里主要是指中国各企事业单位的专用网络,如政府、金融、银行、交通、医疗、能源、学校、企业等开展业务工作时使用的网络;
      • 内网:
        • 指与Internet(公网)之间采取了“可靠的技术隔离手段”(指物理隔离)的企事业机构专用网络。
          • 如:政府内部办公网络、银行内部OA系统,企业财务系统等。
        • 可以把内网与“3级以及3级以上网络”划等号。
      • 外网:
        • 指与Internet相连(应具有一定的安全防护措施),并对外提供服务的企事业机构的专用网络。
          • 如:政府门户网站、网上银行,社保网、校园网等。
      • 外网测评特点

        • 与Internet相连,存在某种安全保护机制,如“非军事区” DMZ;
        • 保护内网,防止Internet上的各种攻击,并将它作为跳板去威胁内网。测评重点是:外网抵御Internet上各种攻击的能力和水平。
        • 提供服务。测评重点是:如何保证自身提供服务的连续性。
        • 对内保护、对外服务

      • 内网测评特点

        • Internet采用了“更安全”的隔离技术手段;
        • 内外网“绝对”隔离——网闸或者物理隔离;
        • 内部防御(防火墙、IDS、漏洞扫描、安全审计、防病毒)
      • 内网测评需要注意的问题:
        • 内网安全模型测评。对内网及其各个子系统的设计方案和建设、运维情况进行“符合性”测评。重点是测评各个子系统或安全域的等级划分是否符合国家有关标准要求和设计要求。
        • 内网安全技术测评。按照国家标准对内网中各种型号的安全设备、服务器、网络设备和终端进行技术测评。
        • 内网安全管理测评。 按照国家标准对内网的各种管理制度、管理人员和管理机构进行测评。
    • 谁来测评
      • 国家信息系统安全等级保护测评工作的形式是“委托测评”,信息安全风险评估则既可以采用“委托测评”,也可以采用“自评估/测评”。
      • 资质:
        • 国家负责有关资质审核的权威机构是“中国合格评定国家认可委员会”。
      • 专业测评机构的优点:
        • 出具的测评报告具有权威性。
        • 在信息安全领域造诣较高,能够及时跟踪并解决复杂的安全问题。
        • 国家或行业主管部门通过专业机构的测评工作,可以对整体的安全防护能力有一个可靠、统一的掌握。
      • 专业测评机构存在的问题:
        • 组建时间短,人力资源不足。
        • 对一般安全事故(也就是对国家和社会影响不大,对某企事业单位有较大影响)的响应,不能“如君所愿”。
        • 建设周期较长,花费较大。
    • 如何准备测评
      • 用户想测评机构提交测试申请书(表)

      • 测评机构对用户提交的资料进行初步审核后,决定是否接受其测评申请。
      • 测评机构对资料进行必要的审核后,与用户签署安全服务协议书(合同)(p24 图)。
      • 该协议书对甲乙双方的权责利均有明确规定,是保证测评质量的法律性文件。
      • 服务协议(SLA):
        • 指申请测评的用户(甲方)与测评机构(乙方)签署的具有法律效应的文件。 SLA规定了甲乙双方在这次测评活动中的权利、责任、义务。
      • 保密协议:
        • 指申请测评的用户(甲方)与测评机构(乙方)签署的具有法律效应的文件。 保密协议规定了甲乙双方在这次测评活动中保守对方业务、技术和工作等秘密的承诺。
      • “保密内容与范围”:包括被测单位的业务秘密、敏感数据等,由甲方提供。同样包括测评机构的工作秘密,如测试方法和测试工具等,由乙方提供。
      • 工作计划是保证测评质量必不可少的步骤,也是一个测评机构正规化、标准化服务的重要体现。
      • 是测评机构承担此次测评任务的工作指导书。
      • 达到让用户了解测评工作各个环节的目的,以获得用户对测评机构的认可。
      • 工作流程
        • 工作目标 等级2、3级等。
        • 工作范围 测评对象,系统边界。
        • 工作重点 测评优先级排序。
        • 进度安排 “甘特图” 。
        • 保障措施 测评任务圆满完成的前提条件。
        • 约束条件 风险。
        • 计划审批 工作计划甲乙双方主管负责人批准。
        • 测评依据 标准。
        • 术语和名次缩写。
      • 测评案例 “天网工程”
        • “天网”集政府内部办公,政府部门协同办公(G2G),政府面向企业办公(G2E),政府面向社会公众服务(G2P)等功能于一身。
        • G2G 内网
          • 政府之间协同办公。
          • 公务如:旧房改造工程---涉及财政局、国土资源局、社会和劳动保障局、建设委员会、林业局等政府下设部门。
        • G2E 外网
          • 政府面向企业的服务。
          • 公务如:外资企业开办需要办理相关手续,涉及的政府部门---工商管理局、地方税务局、信息产业局、公安局、教育局等等。
        • G2P 外网
          • 政府向社会公众服务。
          • 公务如:投诉某家医院,给市长公开信箱---批件转发市人大,卫生局、劳动与社会保障局、政府新闻办等相关部门。
    • 本章小结
      • 信息安全测评5w+h的内涵
        • why、when、which、who、what、how
      • 中国信息安全测评的主要标准
        • 可信计算机系统评价准则(TCSEC)
        • 信息系统安全等级
      • 信息安全等级保护的定级方法
        • 按计算机信息系统遭受到破坏后给个人、机构、社会和国家带来的不同影响程度,将信息安全等级划分为5个不同的安全级别。
      • 安全域的四种划分方法
        • 资产价值相似性安全域
        • 业务应用相似性安全域
        • 安全需求相似性安全域
        • 安全威胁相似性安全域
      • 安全域划分的优点
        • 同一套安全防护设备可以保护安全域中的各个子系统,从而节约安全投入的成本。
        • 同一个安全域内的各个子系统可以充分发挥互联互通、信息资源共享的优点。
        • 不同的安全域之间可以形成多层次配置、纵深防御的安全体系。
      • 信息安全测评的定义
        • 指测评人员在系统工程思想的指导下,遵照国家有关标准、规范和流程,通过设计各种测评案例,对一个信息系统的安全性能和功能进行“标准符合性”论证的过程。
    展开全文
  • 本指导性技术文件适用于指导本地或远程嵌入式测控设备的信息安全测评。典型的电力测控终端设 备有远程传输单元(RTU)、测控智能电子装置、保护智能电子装置、可编程逻辑控制器(PLC)、配网 自动化终端(DTU)、...
  • 按照测评的目标,网络安全测评分为三种: ①网络信息系统安全等级测评:采用网络等级保护2.0标准; ②网络信息系统安全验收测评:评价该项目是否满足安全验收要求中的各项安全技术指标和安全考核目标; ③网络...
  • 数据安全测评指导书.docx
  • 信息安全测评服务解决方案建议书 问题 机遇 对策 蓝图 来自外部机构的抽样检查和咨询覆盖范围有限在时间上和范围上存在盲区 现有模式难以为提供及时全面准确直观的信息安全基础情报 有待进一步构筑实施和完善全面...
  • 应用安全测评表.doc

    2019-07-29 18:52:53
    等级保护评测实际实施指南文档, 技术实施参考指南文档
  • #资源达人分享计划#
  • CAICV, 智能网联汽车信息安全评测白皮书, 2019.pdf
  • 云计算虚拟化安全测评方法研究.pdf
  • PAGE 中国信息安全测评中心 授权培训机构申请书 申请机构 申请日期 中国信息安全测评中心 目 录 TOC \o "1-2" 填表须知 2 一 申请单位基本情况 3 二 申请单位人员情况 5 三 培训场所及设备设施情况 10 四 质量保证 ...
  • 信息系统安全测评.doc

    2022-06-17 14:32:44
    信息系统安全测评 文档准备指南 委托单位(公章): 系统名称: 委托日期: 中国信息安全测评中心 一、文档提交要求 当委托机构正式委托中国信息安全测评中心对其信息系统实施安全测评时,为了使测 评人员在现场测评...
  • 信息系统安全等级保护测评申请书-上海信息安全测评认证中心.pdf信息系统安全等级保护测评申请书-上海信息安全测评认证中心.pdf信息系统安全等级保护测评申请书-上海信息安全测评认证中心.pdf信息系统安全等级保护...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 49,340
精华内容 19,736
关键字:

安全测评

友情链接: ivex43.rar