信息安全测评期末总结

第一篇：信息安全测评期末总结

信息安全工程与测评实践报告

（总结报告）

姓 名 班 级 学 号 完成日期

一、实验目的

1． 使用各种工具对目标网页进行漏洞扫描和渗透测试。

2． 了解扫描原来，熟悉扫描操作，掌握各种工具的特点和不足。3． 学会在不同场合使用最适合的工具。

二、实验工具

本学期的实验中，我使用了多种不同风格扫描工具，其中包括了Nmap、PortScan、X-Scan、SuperScan等端口扫描工具，Wireshark等抓包软件以及百度杀毒这种针对本机的保护软件。

三、实验内容

实验中，我更倾向于扫描目标网站的端口信息，其中，我最为喜欢的是Nmap扫描工具，它的功能应当是我所使用的扫描工具中最为强大的，可以使用不同的命令使用不同的扫描方式以得到自己所需要的扫描结果。它的主界面如下所示：

在该图片中，我已经使用了 –sS –sU –T4 –top-ports 61.135.169.125 命令对IP地址61.135.169.125进行端口扫描，也得出了该IP的2个开放端口80和443，以及它们所提供的服务即它们的作用。同时，这个命令中，-sS表示使用TCP SYN方式扫描TCP端口，-sU表示扫描UDP端口。-T4指定扫描过程使用的时序，可以使用的时序共有6个级别即0-5，级别越高，扫描速度越快，但是也容易被防火墙或IDS检测到并屏蔽掉。另外，61.135.169.125即百度。

而在我使用的扫描工具中，有一款老而弥坚的，那就是PortScan，在使用它同样对百度网站进行扫描的过程中，它的操作比Nmap简单了很多。

这是它的主界面：

很明显，这款工具还有其他一些功能，但我们在这里只要使用它的端口扫描功能，也就是Scan Ports标签下的内容。很明显的看出来，只需要输入目标IP就能对其进行扫描。另外提一句，PortScan的默认扫描端口是从1到65535。扫描结果是这样的：

同样可以扫描出2个开放的端口即80和443。然而在实际使用中，我也明显的发现了它的不足，它的扫描速度相对于Nmap而言差距是十分明显的，而且扫描结果的惊喜程度上是远逊于Nmap的。

在实验使用的所有端口扫描工具中，Nmap的表现无疑是十分突出的，但是还有一款扫描工具也是十分的强大，那就是X-Scan。

X-Scan是国内最著名的综合扫描器之一，它完全免费，是不需要安装的绿色软件、界面支持中文和英文两种语言、包括图形界面和命令行方式。主要由国内著名的民间黑客组织“安全焦点”完成，从2000年的内部测试版X-Scan V0.2到目前的最新版本X-Scan 3.3-cn都凝聚了国内众多黑客的心血。最值得一提的是，X-Scan把扫描报告和安全焦点网站相连接，对扫描到的每个漏洞进行“风险等级”评估，并提供漏洞描述、漏洞溢出程序，方便网管测试、修补漏洞。

在实际使用中，它给出的风险评估等级报告是最震撼我的，它把扫描的结果直接进行了分析，并给出了结果，令人一眼就能看懂，下面是我对我自己的电脑进行扫描获得的扫描报告：

而这只是详尽的报告中的一部分，因而我认为，X-Scan是一款十分值得推荐的工具，它强大的性能、多种多样的功能以及详尽的报告分析都决定了它将成为收人欢迎的扫描工具，也更适合网络安全管理员使用。

另外，SuperScan也是一款性能强大的扫描工具，但是它的主界面的确是有点复杂了：

幸好在执行简单的扫描任务时，所需要使用到的模块并不太多，只要IP、Scan type模块就可以了，在无视其他模块的情况下，它的操作还是毕竟简单的。就同样对百度进行扫描而言，在IP模块输入IP地址后，再在Scan type模块下改变扫描模式到All list ports from 1 65535。最后单击Start也就可以开始扫描了，当然了，这只是这款软件的简单使用，在今后若有需要也应当对它进行更深入的了解和学习。

总而言之，SuperScan功能强大，但是，在扫描的时候，一定要考虑到网络的承受能力和对目标计算机的影响。

最后在这里介绍下对百度杀毒的使用感觉，总而言之就是傻瓜式操作，它只会告诉你存在什么危险，并提供选择是否解决这个问题。虽然这十分的方便，也非常适合电脑小白的使用，也能完成它应当完成的任务，但是对于我们这些从事或者正在学习这方面的人而言，是不适合的，我们应当去了解而非傻瓜式的解决。

这也就说明上面这些扫描工具的强大性，毕竟它们还能对本机进行扫描，能加深对自己电脑的了解，并及时了解存在的安全隐患并通过自己的努力去解决这些安全隐患，也能完善自己在这方面的技巧。

四、实验总结

在使用过这么多的扫描软件完成作业之后，我也用他们对自己的电脑进行了扫描，主要是使用X-Scan，通过它给出的风险评估报告上看到的结果真的是吓了我一跳，平常使用360安全卫士等进行扫描时给出的结果总是不存在风险，但是通过专业扫描软件的所扫描出来的危险因素真是多到吓人。这也展现了这些扫描软件的强大之处，然而我们应当使用它们进行安全测试，防范于未然，而非将它们当作一种工具手段。也就是正确的使用它们。

第二篇：国家信息安全测评

国家信息安全测评

信息安全服务资质申请指南

（风险评估一级）

©版权2014—中国信息安全测评中心

2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

目录

目录 2 引言 3

一、认定依据................................................................................................................................4

二、级别划分................................................................................................................................4三、一级资质要求........................................................................................................................4

3.1 基本资格要求...................................................................................................................5 3.2 基本能力要求...................................................................................................................5

3.2.1 组织与管理要求.....................................................................................................5 3.2.2 技术能力要求.........................................................................................................5 3.2.3 人员构成与素质要求.............................................................................................6 3.2.4 设备、设施与环境要求.........................................................................................6 3.2.5 规模与资产要求.....................................................................................................6 3.2.6 业绩要求.................................................................................................................6 3.3 安全风险评估过程能力要求...........................................................................................6 3.4 项目和组织过程能力要求...............................................................................................7

四、资质认定................................................................................................................................8

4.1认定流程图........................................................................................................................8 4.2申请阶段.............................................................................................................................9 4.3资格审查阶段.....................................................................................................................9 4.4能力测评阶段.....................................................................................................................9

4.4.1静态评估..................................................................................................................9 4.4.2现场审核................................................................................................................10 4.4.3综合评定................................................................................................................10 4.4.4资质审定................................................................................................................10 4.5证书发放阶段...................................................................................................................10

五、监督、维持和升级..............................................................................................................11

六、处置......................................................................................................................................11

七、争议、投诉与申诉..............................................................................................................11

八、获证组织档案......................................................................................................................12

九、费用及周期..........................................................................................................................12

十、联系方式..............................................................................................................................13

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

引言

中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和风险评估的安全性进行测试与评估。对信息安全服务和人员的资质进行审核与评价。

中国信息安全测评中心的主要职能是：

1.为信息技术安全性提供测评服务； 2.信息安全漏洞分析； 3.信息安全风险评估；

4.信息技术产品、信息系统和风险评估安全测试与评估； 5.信息安全服务和信息安全人员资质测评； 6.信息安全技术咨询、风险评估监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

本指南适用于所有向CNITSEC申请信息安全服务资质（风险评估一级）的境内外组织。

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

一、认定依据

信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的资格状况、技术实力和信息安全风险评估实施过程质量保证能力等方面的具体衡量和评价。

信息安全服务（风险评估类）资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全服务资质（风险评估类）具体要求，在对申请组织的基本资格、技术实力、信息安全风险评估服务能力以及安全风险评估项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

二、级别划分

信息安全服务（风险评估类）资质认定是对信息安全风险评估服务提供者的综合实力的客观评价和确认，信息安全服务（风险评估类）资质级别反映了信息安全风险评估服务提供者从事信息安全风险评估服务保障能力的成熟程度。资质级别划分的主要依据包括：基本资格与基本能力要求、安全风险评估过程能力要求、项目与组织管理能力要求和其他补充要求等。

信息安全服务资质分为五个级别，由一级到五级依次递增，一级是最基本级别，五级为最高级别。

一级：基本执行级 二级：计划跟踪级 三级：充分定义级 四级：量化控制级 五级：持续改进级三、一级资质要求

申请信息安全服务（风险评估一级）资质的组织需要在基本资格和基本能力、发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

安全风险评估过程能力和项目与组织过程能力等几个方面符合《信息安全服务资质具体要求（风险评估一级）》的规定。

3.1 基本资格要求

申请信息安全服务（风险评估一级）资质的组织必须是一个独立的实体，具有工商行政管理部门颁发的营业执照，并遵守国家现行法律法规。

3.2 基本能力要求 3.2.1 组织与管理要求

1.必须拥有健全的组织和管理体系，为持续的信息安全风险评估服务提供保障；

2.必须具有专业从事信息安全风险评估服务的队伍和相应的质量保证； 3.与安全风险评估服务相关的所有成员要签订保密合同，并遵守有关法律法规。

3.2.2 技术能力要求

1.了解信息系统技术的最新动向，有能力掌握信息系统的最新技术； 2.具有不断的技术更新能力；

3.具有对信息系统的状况进行调研、分析和描述的能力；

4.具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析能力；

5.具有对信息系统的资产及其影响进行识别、分析和评估的能力； 6.具有对信息系统的脆弱性进行识别分析和评估的能力； 7.具有根据信息安全风险的结果提出应对安全措施的能力； 8.具有应用国际国内最新信息安全风险评估方法的能力； 9.有跟踪、了解、掌握、应用国际、国家和行业标准的能力。

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

3.2.3 人员构成与素质要求

1.具有充足的人力资源和合理的人员结构；

2.所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识；

3.有相对稳定的从事信息安全风险评估服务的技术队伍；

4.技术骨干人员应系统地掌握信息系统安全基础理论和核心技术，并有足够的专业工作经验；

5.必须有2名以上(含2名)专职的注册信息安全专业人员(CISP)。

3.2.4 设备、设施与环境要求

1.具有固定的工作场所和良好的工作环境；

2.具有实施信息安全风险评估服务的相关工具和设备。

3.2.5 规模与资产要求

1.有足够的注册资金和充足的流动资金；

2.具有与所申请安全服务业务范围、承担的安全风险评估规模相适应的服务体系；

3.有足够的人员从事直接与信息安全风险评估服务相关的活动。

3.2.6 业绩要求

1.应有从事信息安全风险评估服务的经验；

2.近3年内在信息安全风险评估服务方面，没有出现验收未通过的情况。

3.3 安全风险评估过程能力要求

安全风险评估过程能力是评价信息安全风险评估服务专业水平高低的标志。申请组织应能实施以下6个安全风险评估过程域： 1.风险评估准备

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

2.评估系统资产的影响； 3.评估系统存在的脆弱性； 4.评估系统面临的安全威胁； 5.评估系统已有的安全措施； 6.评估系统的安全风险。

3.4 项目和组织过程能力要求

项目和组织过程能力是评价信息安全风险评估服务规范性和质量保证成熟度标志。

申请组织应能实施以下6个项目和组织过程域： 1.质量保证； 2.管理项目风险； 3.规划技术活动； 4.监控技术活动；

5.提供不断发展的技能和知识； 6.与供应商协调。

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

四、资质认定

4.1认定流程图

申请委托人申请不受理形式化审查申请阶段资格审查阶段受理决定受理静态评估现场审核限期整改综合评定不通过综合评定通过资质审定不通过发证决定抽样检查通过证书发放不予发证能力测评阶段证书发放阶段公告证后监督证后监督阶段

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

4.2申请阶段

申请组织应首先到CNITSEC网站（http://www.xiexiebang.comITSEC，同时提交申请费。在向CNITSEC递交申请书前，须逐项检查所填报的材料的完整性和正确性。

4.3资格审查阶段

CNITSEC接到正式申请书及相关资料以及申请费后，根据所提交的资料进行资格审查，以确认申请单位是否满足资质的基本资格要求，提交资料是否完整。

资格审查包括对申请单位所提交资料进行的形式化审查以及对申请单位的进一步调查和沟通。如果资格审查阶段发现有不符合要求的内容，CNITSEC将要求申请组织补充资料等。

当通过资格审查阶段后，CNITSEC将与申请组织签订合同，正式受理该申请，并通知相关费用的缴纳事宜等。

4.4能力测评阶段

当申请组织通过资格审查并缴纳了相关费用后，资质申请进入能力测评阶段。

能力测评阶段包括静态评估、现场审核、综合评定和资质审定四个步骤。

4.4.1静态评估

静态评估是对申请组织资料进行符合性审查，是对申请组织的信息安全风险评估服务能力做出基本判断，初步确定申请组织的信息安全风险评估服务能力水 发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

平状况，为现场审核做准备。如果在静态评估阶段发现申请组织的信息安全风险评估能力不能满足资质要求，将要求申请组织进行整改，待整改完成达到后进入现场审核阶段。

4.4.2现场审核

现场审核是对申请组织从事信息安全风险评估服务的综合能力（包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面）进行核实和确认。

通过静态评估后，CNITSEC将与申请组织沟通现场审核事宜，安排审核组进行现场审核。

现场审核若发现需整改的不符合项，审核组将对申请组织提出限期整改的要求，并对整改效果进行验证。

4.4.3综合评定

在综合评定阶段，将依据静态评估和现场审核结果，对申请组织的基本资格、基本能力、信息安全风险评估服务能力以及资质所要求的其他内容进行综合评定，出具综合评定报告。

对评定结果不符合的，CNITSEC将要求申请组织限期整改。申请组织完成整改并向CNITSEC提交整改报告后，CNITSEC将对整改结果进行验证，整改仍不符合的，将不能通过能力测评。逾期未整改的，视作整改不符合。

4.4.4资质审定

根据综合评定的报告，CNITSEC技术委员会将组织技术专家对申请组织的信息安全风险评估服务资质进行审查，并最终做出是否通过的决定。

4.5证书发放阶段

资质审定通过后，CNITSEC将进行资质证书的制作、审批和发放，并在网站、报刊杂志等媒体上公布获证组织的相关信息。

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

五、监督、维持和升级

获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全风险评估过程能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。

证书在三年有效期内实行年确认制度，每三年进行一次维持换证。获证后，每年在证书签发之日前30天内，获证组织要向CNITSEC提交调查表，并到CNITSEC办理年检。CNITSEC年检中发现获证组织不符合资质认定要求的，将要求其限期整改，整改后仍不合格，CNITSEC将暂停或取消证书。

在证书有效期届满前90天内，由获证组织提出维持换证申请。CNITSEC将依据信息安全服务资质维持有关政策进行评审，以确定获证组织符合信息安全风险评估服务能力一级资质要求的持续性。

若获证组织相关资料变动时，须及时通知CNITSEC，并申请更改。若获证组织实体发生变化，需要进行资质证书的转移，可到CNITSEC网站（http://www.xiexiebang.comITSEC申请二级资质。

六、处置

获证组织存在违规行为时，CNITSEC有权视组织违规情节轻重予以以下处置：警告、限期整改、暂停证书、取消证书。

七、争议、投诉与申诉

对CNITSEC所作的评审、复查、处置等决定有异议时，可向CNITSEC提出书面申诉。CNITSEC将会责成与所申诉、投诉事项无利益相关的人员进行调查，CNITSEC在调查基础上做出结论。

发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

获证组织应妥善处理因自身行为而发生的投诉，保留记录并采取措施防止问题的再发生。CNITSEC将在必要时查阅获证组织的申诉/投诉记录。

八、获证组织档案

CNITSEC将对每个获证组织建立专项档案，所有资料将保存10年以上。

九、费用及周期

信息安全服务资质认定收费划分为如下四个部分：

（一）申请费：2000元

（二）测评费：3000元/人日

（三）审定与注册费（含证书费）：3000元

（四）年金（含标志使用费）：5000元/年

未获得安全工程类服务资质的机构，首次申请风险评估资质（一级）费用： 2000（申请费）＋3000×3×2(三人二日测评费)+3000（审定与注册费）+15000（三年年金）＝38000元。

未获得安全工程类服务资质的机构，风险评估资质（一级）维持费用： 2000（申请费）＋3000×2×2.5(二人二日半测评费)+3000（审定与注册费）+5000（三年年金）＝35000元。

已获得安全工程类服务资质的机构，申请风险评估资质（一级）费用（首次申请和维持）：

2000（申请费）＋3000×3×0.5(三人二日测评费)+3000（审定与注册费）=9500元

已获得安全工程类服务资质的机构申请风险评估资质时不再重复收取年金。

申请组织还应承担因现场审核活动审核组成员所发生的交通和食宿费用。

从受理到颁发证书的周期为四个月，但由于申请方原因（如，资料补充需要的时间等）造成的时间延误不计算在内。发布日期：2014年5月1日

中国信息安全测评中心(CNITSEC)信息安全服务资质申请指南（安全风险评估一级）

十、联系方式

名 称：中国信息安全测评中心 资质评估处 地 址：中国北京市海淀区上地西路8号院1号楼 邮 编：100085 传 真：010－82341100 咨询电话：

资质受理： 010－82341582、010－82341568 证后管理： 010－82341553

发布日期：2014年5月1日

第三篇：信息安全等级测评实施细则(稿)

信息安全等级保护等级测评实施细则

第一章 总则

第一条【目的】为加强信息安全等级测评机构建设和管理，规范等级测评活动，保障信息安全等级保护制度的贯彻落实，根据《信息安全等级保护管理办法》等有关规范制订本实施细则。

第二条【适用范围】本细则适用于等级测评机构、测评人员和测评活动的规范管理。

第三条【等级测评定义】等级测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。

第四条【测评机构定义】测评机构是经有关部门能力认可，经有关部门推荐，在一定范围内从事信息系统安全等级测评等工作的专业技术机构。

第五条【基本原则】测评机构应当按照有关规定和统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模版出具测评报告。

第六条【保密要求】测评机构和测评人员应当遵守《国家保密法》的规定，保守在测评活动中知悉的国家秘密、商业秘密、敏感信息和个人隐私等。

第七条【管理体制】测评机构应当接受各级信息安全等级保护协调（领导）小组和公安网安部门的监督管理，并接受有关部门的业务管理和技术指导。

第二章 测评机构

第八条【总体要求】测评机构分为地区性、行业性测评机构，按照属地管理和行业管理相结合的原则进行建设和管理。

第九条【职责分工】国家信息安全等级保护协调小组办公室主管等级测评机构的建设和管理工作，指导行业等级测评机构的建设和管理工作，并委托专门的技术能力审验机构对测评机构的技术能力进行评估、审查并确认。

各省（区、市）等级保护协调（领导）小组办公室负责本地等级测评机构的建设管理工作。

第十条【基本条件】申请成为等级测评机构的单位（以下简称申请单位）应当具备以下基本条件：

（一）在中华人民共和国境内注册成立（港澳台地区除外）；

（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；

（三）产权关系明晰，注册资金100万元以上；

（四）从事信息系统检测评估相关工作两年以上；

（五）单位法人及主要工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；

（六）具有胜任等级测评工作的专业技术人员和管理人员，大学本科（含）以上学历所占比例不低于80%。其中测评技术人员不少于10人；

（七）具备必要的办公环境、设备、设施及完备的安全管理制度；

（八）对国家安全、社会秩序、公共利益不构成威胁;

（九）应当具备的其他条件。

第十一条【申请提交】地方申请单位应向属地省（区、市）等级保护协调（领导）小组办公室提交申请，行业申请单位向国家信息安全等级保护工作协调小组办公室提交申请，并填写申请书，申请成为等级测评机构。

第十二条【申请材料】申请单位在申请时应提供以下材料，并对申请材料的真实性负责。

（一）《信息安全等级保护测评机构申请书》；

（二）当地公安网安部门的推荐意见；

（三）营业执照及其他注册证明文件；

（四）《内设组织机构与岗位设置情况表》；

（五）《工作人员基本情况表》、证明材料和声明；

（六）《办公场地、设备与设施情况表》；

（七）《安全测评设备、工具配备情况表》；

（八）信息系统安全测评能力报告；

（九）保密管理、项目管理、质量管理、人员管理和培训教育等相关管理文件；

（十）需要提供的其他材料。

第十三条【初审】省级（含）以上等级保护协调（领导）小组办公室收到申请材料后，应在30日内完成初审。

第十四条【技术能力审验】初审通过的，由技术能力审验机构评估、审查并确认申请单位的技术能力。

技术能力审验周期最长为一个月。审验期满前，技术能力审验机构应向等级保护协调（领导）小组办公室出具审验意见，并加盖专门印章。

第十五条【核准】省级（含）以上等级保护协调（领导）

小组办公室对通过技术能力审验的申请单位进行复核，并出具核准意见。

第十六条【目录公布】测评机构实行目录管理。各省级信息安全等级保护协调（领导）小组办公室公布本地等级测评机构目录，并向国家信息安全等级保护工作协调小组办公室备案。国家信息安全等级保护工作协调小组办公室公布《全国信息安全等级测评机构目录》。

第十七条【业务范围】测评机构应当在规定的业务范围内开展测评业务。

（一）地方测评机构在本地开展测评业务，行业测评机构在行业内开展测评业务。行业测评机构在地方开展测评业务前，应与本地等级保护协调（领导）小组办公室协调；

（二）承担有关部门委托的安全测评专项任务；

（三）配合当地公安网安部门对信息系统进行监督、检查；

（四）开展风险评估、信息安全培训、咨询服务和信息安全工程监理；

（五）为当地信息安全等级保护工作提供技术支持和服务；

（六）其他有关文件规定的职责任务。

第十八条【禁止行为】测评机构不得从事下列活动：

（一）承担信息系统安全建设整改工作；

（二）将等级测评任务分包、外包；

（三）信息安全产品开发、营销和信息系统集成活动；

（四）限定被测评单位购买、使用其指定的信息安全产品；

（五）未经许可占有、使用有关测评信息、资料及数据文件；

（六）其他可能影响测评客观、公正的活动。第十九条【风险告知】在开展测评过程中，对可能影响信息系统正常运行的，测评机构应当事先告知被测评单位，并协助其采取相应的预防措施。

第二十条【人员管理】测评机构应当建立完备的人员档案，严格履行人员录用、考核、离岗等程序，对进入重要信息系统进行测评的人员，应该进行背景审查，确保人员可靠。

第二十一条【制度管理】测评机构应当建立并落实保密管理、项目管理、质量管理、人员管理、培训教育等管理制度。

第二十二条【能力建设】测评机构要加强技术能力和管理能力建设，应在测评机构推荐目录公布后两年内至少通过一项实验室或检查机构资质认定。

第三章 人员管理

第二十三条【人员要求】测评人员应遵守国家有关法律法规、技术标准和测评人员行为准则，认真履行本细则规定 的责任和义务，为用户提供安全、客观、公正的测评服务，保证测评的质量和效果。

第二十四条【个人声明】测评人员应当提供本人社会背景、工作经历和奖惩情况的证明材料，声明相关材料的真实性并承担法律责任。

第二十五条【持证上岗】测评人员上岗前应接受培训，培训合格的由测评机构颁发上岗证。测评人员持证上岗。

第二十六条【分级管理】测评机构技术人员实行分级管理，由低到高分为初级等级测评师、中级等级测评师和高级等级测评师。

测评技术人员应当接受专门业务培训，考试合格的获得等级测评师证书。

第二十七条【培训与考试】国家信息安全等级保护协调小组办公室制定并公布培训计划，指定专门培训机构具体承担等级测评师的培训、考试工作。专门培训机构向考试合格的人员颁发等级测评师证书。

第二十八条【证书管理】专门培训机构依据等级测评师证书管理办法办理证书的审核、颁发、建档、公布、查询、年审、换发和撤销，并向省级以上等级保护工作协调小组办公室备案。

第二十九条【备案】行业测评机构每年应将本单位等级测评师培训、获证情况向国家信息安全等级保护工作协调小组办公室备案。

地方测评机构每年应将本单位等级测评师培训、获证情况向本省（区市）等级保护协调（领导）小组办公室备案。

各地等级保护协调（领导）小组办公室每年应将本地等级测评师培训、获证情况向国家等级保护协调小组办公室备案。

第三十条【年审管理】等级测评师实行年审制度。专门培训机构对等级测评师每年进行一次年审，并将年审结果报等级保护协调（领导）小组办公室。

对未通过年审的等级测评师，测评机构应暂停其开展测评工作。专门培训机构应对年审不通过的等级测评师开展培训。

第三十一条【变更告知】等级测评机构的主要管理人员和技术人员工作变动的，应及时到等级保护协调（领导）小组办公室变更备案。

第三十二条【人员法律责任】测评人员在测评工作中具有徇私舞弊、收受贿赂等违反有关法律法规行为的，应由专门培训机构撤销违规人员等级测评师证书，并按照有关规定进行处罚。

第四章 测评活动

第三十三条【用户要求】信息系统运营使用单位应当选择《等级测评机构推荐目录》中的等级测评机构，定期对信息系统开展等级测评，并加强对测评过程的监督管理。

第三十四条【整改前测评】信息系统安全建设整改前，信息系统运营使用单位可以选择测评机构进行等级测评，掌握信息系统安全状况，排查系统安全隐患和薄弱环节，明确安全建设整改需求。

第三十五条【整改后测评】信息系统安全建设整改后，信息系统运营使用单位应当再选择测评机构进行等级测评，检测系统安全保护状况与标准要求的符合性，进一步查找安全隐患和问题，并进行风险分析，为进一步整改提供依据。

第三十六条【定期测评】第三级以上（含）信息系统应当每年至少进行一次等级测评，测评完成后，信息系统运营使用单位应及时向受理备案的公安机关提交测评报告。

第三十七条【测评机构规范】测评机构应建立规范的质量管理体系，依据《信息系统安全等级保护测评要求》等标准规范对信息系统进行测评，按照公安部制订的信息系统安全等级测评报告格式编制测评报告。

第三十八条【测评费用】测评机构应当参照国家信息化工程建设项目人工计费标准合理收取测评服务费用。为防止恶意竞争，影响测评质量，测评机构开展测评业务收费应当不低于最低收费限额。

第三十九条【安全责任】测评机构应当针对等级测评工作制定保密管理规范，明确保密岗位与职责，定期对工作人员进行保密教育，与其签订《保密责任书》，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

第五章 监督管理

第四十条【监管主体】各级等级保护协调（领导）小组办公室对等级测评机构、测评人员、测评活动等进行监督、检查，处理对测评机构的投诉。

第四十一条【年审】各级等级保护工作协调（领导）小组办公室对备案的测评机构及测评人员实施年审管理，每年对测评机构的能力和工作进行审核、审查，并公布审核、审查结果。

第四十二条【机构违规】测评机构违反规定，情节轻微的，由等级保护协调领导机构办公室责令其限期改正或予以通报、警告。

测评机构出现以下情况之一的，按照相应规定和程序，由等级保护协调（领导）机构决定撤销其测评机构资格并及时向社会公告。

（一）违反法律、法规并被起诉的；

（二）发生重大泄密事件的；

（三）运营管理不规范，严重影响测评质量，经整改仍无法达到要求的；

（四）与被测评单位共同隐瞒在安全评估过程中发现的安全漏洞，未按要求写入评估报告的；

（五）在评估过程中弄虚作假，编造安全评估报告的；

（六）不履行规定的责任和义务，经通报批评、警告仍不改正的；

（七）测评机构成立后一年内不开展测评业务的；

（八）由于自身原因主动提出退出的；

（九）连续两次年审未通过的；

（十）违反其他有关规定的。

第四十三条【争议处理】测评机构应当严格遵循申诉、投诉及争议处理制度，妥善处理争议事件，及时采取纠正和改进措施。

第四十四条【监督自身要求】各级等级保护协调（领导）小组办公室应严格依照本细则的有关规定，按照公平、公正的原则开展监督检查工作。

第四十五条【变更】测评机构性质、经营（业务）范围、隶属关系、法定代表人等重要事项发生变化的，应在30日内向等级保护协调（领导）机构办理变更手续。

第四篇：信息安全等级保护测评

TopSec可信等级体系 天融信等级保护方案

Hacker.cn 更新时间:08-03-27 09:37 来源:硅谷动力 作者:中安网

1.等级保护概述

1.1为什么要实行等级保护？

信息系统与社会组织体系是具有对应关系的，而这些组织体系是分层次和级别的，因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求，这就需要对信息系统进行分级、分区域、分阶段进行保护，这是做好国家信息安全的必要条件。

1.2等级保护的政策文件

信息安全等级保护工作非常重要，为此从2003年开始国家发布了一系列政策文件，具体如下：

2003年9月，中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号），这是我国第一个信息安全保障工作的纲领性文件，战略目标为经过五年努力，基本形成国家信息安全保障体系，实行等级保护制度。

2004年11月，四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。2005年9月，国信办文件，《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）：基本原理、定级方法、安全规划与设计、实施与运营、大型复杂电子政务系统等级保护过程。

2005年，公安部标准：《等级保护安全要求》、《等级保护定级指南》、《等级保护实施指南》、《等级保护测评准则》。

2006年1月，四部委会签《关于印发《信息安全等级保护管理办法的通知》（公通字[2006]7号）。

1.3 等级保护的管理结构－北京为例

等级保护的实施和落实离不开各级管理机构的指导和监督，这在等级保护的相关文件中已经得到了规定，下面以北京市为例来说明管理机构的组成和职责，具体如下图所示：

1.4等级保护理论的技术演进

在等级保护理论被提出以后，经过相关部门的努力工作，逐渐提出了一系列原则、技术和框架，已经具备实施等级保护工作的基础条件了，其具体演进过程如下图所示：

1.5等级保护的基本需求

一个机构要实施等级保护，需要基本需求。由于等级保护是国家推动的旨在规范安全工作的基本工作制度，因此各级组织在这方面就存在如下需求：

（1）政策要求－符合等级保护的要求。系统符合《基本要求》中相应级别的指标，符合《测评准则》中的要求。

（2）实际需求－适应客户实际情况。适应业务特性与安全要求的差异性，可工程化实施。

1.6基本安全要求的结构

对系统进行定级后，需要通过努力达到相应等级的基本安全要求，在总体上分为技术要求和管理要求，技术上又分为物理安全、网络安全、主机安全、应用安全、数据安全，在管理要求中又分为安全管理机构、安全管理制度等5项，具体如下图所示：

2.等级保护实施中的困难与出路

由于等级保护制度还处于探讨阶段，目前来看，尚存在如下困难：

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统，否则：

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

c)各系统安全单独建设，将造成分散、重复和低水平

2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

3.管理难度太大，管理成本高

4.大型客户最关注的关键要求指标超出《基本要求》规定

针对上述问题，在下面几小节分别给出了坚决办法。

2.1安全体系设计方法

需求分析－1

问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

需求：从组织整体出发，综合考核所有系统

方法：引入体系设计方法

2.2保护对象框架设计方法

需求分析－2

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求

方法：引入保护对象框架设计方法

保护对象框架－政府行业

保护对象框架－电信行业

保护对象框架－银行业

2.3安全平台的设计与建设方法

需求分析－3

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

c)各系统安全单独建设，将造成分散、重复和低水平

需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平

方法：引入安全平台的设计与建设方法

平台定义：为系统提供互操作性及其服务的环境

2.4建立安全运行体系

需求分析－4

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

c)各系统安全单独建设，将造成分散、重复和低水平

2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

需求：建立长效机制，建立可持续运行、发展和完善的体系

方法：建立安全运行体系

2.5安全运维工作过程

需求分析－5

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

c)各系统安全单独建设，将造成分散、重复和低水平

2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

3.管理难度太大，管理成本高

需求：需要高水平、自动化的安全管理工具

方法：TSM安全管理平台

2.6 TNA可信网络架构模型

需求分析－6

1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统

a)各系统单独保护，将冲突和割裂，形成信息孤岛

b)复杂大系统的分解和差异性安全要求描述很困难

c)各系统安全单独建设，将造成分散、重复和低水平

2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善

3.管理难度太大，管理成本高

4.大型客户最关注的关键指标超出《基本要求》规定

需求：在《基本要求》基础上提出更强的措施，满足客户最关注的指标

方法：引入可信计算的理念，提供可信网络架构

3.总体解决方案－TopSec可信等级体系

按照上面解决等级保护目前困难的方法，总体解决方案就是建立TopSec可信等级体系：

遵照国家等级保护制度、满足客户实际需求，采用等级化、体系化和可信保障相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。

实施后状态：一套持续运行、涵盖所有安全内容的安全保障体系，是企业或组织安全工作所追求的最终目标

特质：

等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求

整体性：结构化，内容全面，可持续发展和完善，持续运行

针对性：针对实际情况，符合业务特性和发展战略

3.1可信等级体系设计方法

3.2信息安全保障体系总体框架

3.3体系设计的成果

安全组织体系

安全策略体系

安全技术体系

安全运行体系

3.4安全体系的实现

4.成功案例

某国有大型企业已经采用了我们的可信等级体系，取得了良好的效果。

第五篇：《网络信息安全》期末复习总结

《网络信息安全》期末复习要点

信息安全的任务是保障信息存储、传输、处理等过程中的安全，具体的有： 机密性；完整性；不可抵赖性；可用性。

网络信息安全系统的三要素:安全服务（安全任务）、安全机制和安全应用域。

网络安全防范体系层次：根据网络的应用现状和网络的结构，安全防范体系的层次可划分为：物理层安全、系统层安全、网络层安全、应用层安全、安全管理。

网络信息安全的技术：密码技术，身份认证，数字签名，防火墙，入侵检测，漏洞扫描。

数字签名就是附加在数据单元的一些数据，或是对数据单元所作的密码变换。这种数据或变换云允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性，并保护数据，防止被人进行伪造。

基本要求：签名是可信的；签名不可伪造；签名不可重用，签名是文件的一部分，不能移到别的文件上去；简明的文件事不可改变的，在文件上签名就不能改变；签名是不可抵赖的。

目前使用最多的数字签名有两类：一类是 使用对称密码系统和需要仲裁者的签名方案；还有一类是基于公开秘钥体制的数字签名。

签名的过程：1发送者产生文件的单向散列值；2发送者用私人密钥对散列加密，以实现对文件的签名；3发送者将文件盒散列签名发送给接受者；4接受者根据发送者发送的文件产生文件的单向散列值，然后用数字签名算法对散列值运算，同时用发送者的公开密钥对签名的散列解密，签名的散列值语气产生的散列值匹配，则签名有效。

公钥基础设施PKI 主要的功能组件包括认证机构，证书库，证书撤销，密钥备份和恢复，自动密钥更新，秘钥历史档案，交叉认证，支持不可否认，时间戳，客户端软件等。

PKI从根本上来说，只提供三种主要的核心服务，即认证，完整性，机密性。认证：指向一个实体确认另一份实体确实就是用户自己；完整性：指向一个实体确保数据没有被有意或则无意的修改。机密性：指向一个实体确保除了接受者，无人能够读懂数据的关键部分。

PKI信任模型：因经CA与CA之间需要相互交流和信任，这就是PKI交互，即PKI信任模型。

PKI信任模型主要有4种模型，即严格层次结构、分布式信任结构、WEB模型、以用户为中心的信任。

PKI严密层次结构：严格层次结构的CA之间存在严格的上下级关系，下级完全听从并执行上级的规定。在这种结构中，信任关系是单向的。只允许上

一级CA给下一级CA或则终端用户颁发证书。

优点：1，具备良好的扩展性；2，很容易找到证书路径 ；3，证书路径处理相对较短；4，根据CA位置，隐性地知道使用限制。

缺点：根节点一旦泄密遗失，PKI崩溃 损失巨大。扩展结构时，部分或所有需要根据情况调整信任点。

IPSec保护IP数据报的安全

IPsec包含三个重要的协议AH、ESP、IKE。

IEK协议负责秘钥管理。

AH为IP数据包提供3种服务（AH只认证不加密），无连接的数据完整性验证（哈希函数产生的校验）、数据源身份认证（添加共享密钥）、防重放攻击（AH报头中的序列号）。

ESP（基本功能是加密）提供AH的三种服务，还包括数据包加密、数据流加密。

解释域（DOI）为使用IKE进行协商的ＳＡ的协议统一分配标识符。IPSec的两种运行模式：传输模式（保护的只是IP的有效负载），隧道模式（保护整个IP数据包）SSL提供Internet通信的安全协议，用于ｗｅｂ浏览器与服务器之间的身份认证和加密数据传输。

SSL由多个协议组成并采用两层体系结构：上层有SSL握手协议、SSL修改密码规格协议和SSL告警协议；往下有SSL记录协议、TCP,UDP.SSL连接：连接时提供恰当类型服务的传输。

SSL回话：ＳＳＬ会话是客户与服务器之间的关联，会话通过握手协议来创建。

SSL握手协议两个阶段：第一阶段用于建立私密性通信信道；第二阶段用于客户认证。

SSL安全电子交易协议）协议目标：SET交易流程：SET中采用了双重签名技术

常用的入侵方法：口令入侵、特洛伊木马术、监听法、Email技术、利用系统漏洞

堆栈、攻击代码、函数调用传递的参数、函数返回地址、函数的局部变量、缓冲区

在函数返回地址位置重复若干次返回地址，在溢出数据中添加前面增加个NOP指令

缓冲溢出原理：借着在程序缓冲区编写超出其长度的代码,造成溢出,从而破坏其堆栈,使程序执行攻击者在程序地址空间中早已安排好的代码,以达到其目的。

避免的方法：

1、强制写正确的代码的方法。

2、通过操作系统使得缓冲区不可执行，从而阻止攻击者殖入攻击代码。

3、利用编译器的边界检查来实现缓冲区的保护。

4、在程序指针失效前进行完整性检查

常用的反病毒技术：特征码技术、实时监听技术、虚拟机技术

防火墙技术只关心端口 源地址 目标地址 数据包头标志位，不关心内容 防火墙一般采用两种技术：数据报过滤和代理服务。IP层，目的地址，端口号，数据的对话协议，数据包头中的标志位

静态包过滤型防火墙（IP层）：依据事先设定的过滤规则，检查数据流的每个数据包，确定是否允许该数据报通过。

优点是：实现逻辑比较简单、对网络性能影响较小、有较强的透明性、与应用层无关、是最快的防火墙。

弱点是：配置时需要对IP、UDP、TCP等各种协议比较了解、容易被地址欺骗、不能提供应用层用户的鉴别服务、允许外部用户直接与内部主机相连。

几种防火墙的对比：

静态包过滤防火墙： 不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

动态包过滤型（状态检测）防火墙：不检查数据区，建立连接状态表，前后报文相关，应用层控制很弱。

应用代理（应用网关）防火墙：不检查IP、TCP报头，不建立连接状态表，网络层保护比较弱。

复合型防火墙：可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细，会话控制较弱。

ＩＤＳ（入侵检测系统）技术：通过对计算机网络或则计算机系统的若干关键点搜集信息并对器进行分析，从中发网络或系统是否违反安全策略的行为和被攻击的迹象。

IDS分类：基于网络的IDS和基于主机的ＩＤＳ

异常检查是通过计算审计数据与一个期望的正常行为描述的模型之间的偏差来判断入侵与否滥用检查（特征匹配检测）是通过扫描审计数据看是否与已知攻击特征来判断入侵与否。

ＩＤＳ检测引擎的常用技术：统计方法、专家系统、神经网络、状态转移分析、Petri网、计算机免疫、Agent技术、其他检测技术。

蜜罐的特点与分类产品型、研究型、低交互型、高交互型

优点： 收集数据保真度高，能收集到新的攻击技术，不需要强大的资源支持，比较简单，不是单一系统而是一个网络缺点： 投入精力和时间，视图有限，不能使用旁路监听等技术对整个网络监控，不能直接防护有漏洞的系统，带来一定的安全风险

蜜罐的主要技术：网络欺骗、端口重定向、报警、数据控制、数据捕获 s-http和https ：S-HTTP协议处于应用层，它是HTTP协议的扩展，它仅适用于HTTP联结上，S-HTTP可提供通信保密、身份识 别、可信赖的信息传输服务及数字签名等。https简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL。