。

其对象主要为信息系统的组成要素或信息系统自身。

网络安全测评的目的是为了提高…一、定义与目的

网络安全测评是指参照一定的标准规范要求通过一系列的技术、管理方法获取评估对象的网络安全状况信息并对其给出相应的网络安全情况综合判定。

其对象主要为信息系统的组成要素或信息系统自身。

网络安全测评的目的是为了提高信息系统的安全防护能力减少网络安全风险确保公民个人信息安全以及国家关键信息基础设施的安全稳定运行。

二、发展背景

随着信息技术的快速发展网络安全问题日益突出。

为了应对网络安全威胁各国纷纷加强网络安全管理制定了一系列网络安全标准和规范。

网络安全测评作为其中的重要环节通过科学的方法和工具对信息系统进行安全评估为信息系统的安全防护提供有力支持。

三、测评类型

网络安全测评可以根据不同的分类方式进行划分主要包括以下几种类型

基于测评目标分类

网络信息系统安全等级测评根据网络安全等级保护2.0标准对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估。

主要检测、评估信息系统在安全技术、安全管理等方面是否符合安全等级要求并提出整改建议。

网络信息系统安全验收测评根据用户申请的项目验收目标、范围结合建设方案的实现目标、考核指标对项目实施状况进行安全测试和评估评价该项目是否满足安全验收要求中的各项安全技术指标、安全考核目标。

网络信息系统安全风险测评从风险管理角度评估系统面临的威胁、脆弱性导致安全事件的可能性并提出针对性的抵御威胁的方法措施将风险控制在可接受范围内。

基于测评内容分类

技术安全测评对信息系统的物理环境、通信网络、区域边界、计算环境、管理中心等技术层面进行安全性评估。

管理安全测评对信息系统的安全管理制度、机构、人员、建设管理、运维管理等方面进行评估。

基于实施方式分类

安全功能检测对安全功能实现状况进行评估检查安全功能是否满足目标、设计要求。

安全管理检测检查分析管理要素、机制的安全状况评估安全管理是否满足信息系统的安全管理要求。

代码安全审查对定制开发的应用程序源代码进行静态安全扫描、审查识别可能导致安全问题的编码缺陷和漏洞。

安全渗透测试模拟黑客对目标系统进行渗透测试以发现潜在的安全漏洞。

信息系统攻击测试根据用户提出的各种攻击性测试要求如DoS、恶意代码攻击对应用系统的抗攻击能力进行测试。

四、测评流程与内容

测评准备明确测评对象开展风险评估制定安全保护方案编制测评文档等。

测评实施根据测评方案对信息系统进行技术检测和管理评估。

技术检测包括物理安全、网络安全、主机安全、应用安全、数据安全等方面的测评管理评估包括安全管理制度、机构、人员、操作规程等方面的评估。

测评报告根据测评结果编制测评报告提出整改建议。

整改与复测被测单位根据测评报告中的整改建议进行整改整改完成后由测评机构进行复测确保整改措施得到有效实施。

五、测评技术与工具

漏洞扫描使用网络安全漏洞扫描器、主机安全漏洞扫描器、数据库安全漏洞扫描器、Web应用安全漏洞扫描器等工具获取测评对象的安全漏洞信息。

安全渗透测试利用Metasploit、Nmap、Aircrack-ng等工具模拟攻击者对测评对象进行安全攻击以发现系统中的安全风险。

代码安全审查对源代码/二进制代码进行安全符合性检查典型代码安全缺陷类型包括缓冲区溢出、代码注入、跨站脚本、输入验证、API误用等。

协议分析使用TCPDump、Wireshark等工具检测协议安全性监测网络数据流量检测网络中的异常流量、攻击流量以及其他安全风险。

性能测试利用性能监测工具如操作系统自带工具、Apache

JMeter开源、LoadRunner商业、SmartBits商业等评估性能状况检查测评对象的承载性能压力/安全对性能的影响。

六、测评质量管理

9000等质量管理体系标准我国则有中国合格评定国家认可委员会CNAS等权威机构对网络安全测评机构进行认可和监管。

此外网络安全测评还需遵循一系列标准和规范如信息系统安全等级保护测评标准、产品测评标准、信息安全风险评估标准等。

综上所述网络安全测评是确保信息系统安全性的重要手段。

通过科学的方法和工具对信息系统进行安全评估可以及时发现并消除安全隐患提高信息系统的安全防护能力。

世间万物没有对错