信息系统安全测评教程

目 录
第1章 信息系统安全测评概述 1
1.1 信息安全发展历程 1
1.2 相关概念 2
1.2.1 信息系统安全 2
1.2.2 信息系统安全管理 3
1.2.3 信息系统安全保障 5
1.3 信息系统安全测评作用 7
1.4 信息安全标准组织 10
1.5 国外重要信息安全测评标准 11
1.5.1 TCSEC 11
1.5.2 ITSEC 12
1.5.3 CC标准 13
1.6 我国信息安全测评标准 14
1.6.1 GB/T 18336《信息技术安全性评估准则》 15
1.6.2 GB/T 20274《信息系统安全保障评估框架》 15
1.6.3 信息系统安全等级保护测评标准 15
1.6.4 信息系统安全分级保护测评标准 16
1.7 信息系统安全等级保护工作 17
1.7.1 等级保护概念 17
1.7.2 工作角色和职责 19
1.7.3 工作环节 20
1.7.4 工作实施过程的基本要求 21
1.7.5 实施等级保护的基本原则 23
1.8 信息系统安全测评的理论问题 23
1.8.1 “测”的理论问题 23
1.8.2 “评”的理论问题 27
1.9 小结 29
第2章 信息系统安全通用要求 31
2.1 安全基本要求 31
2.1.1 背景介绍 31
2.1.2 体系架构 31
2.1.3 作用和特点 33
2.1.4 等级保护2.0时代 33
2.2 信息系统安全等级保护基本要求 35
2.2.1 指标数量 35
2.2.2 指标要求 35
2.2.3 不同保护等级的控制点对比 36
2.3 网络安全等级保护安全通用要求 37
2.3.1 技术要求 37
2.3.2 管理要求 43
2.3.3 安全通用基本要求项分布 49
第3章 信息系统安全扩展要求 51
3.1 云计算 51
3.1.1 云计算信息系统概述 51
3.1.2 云计算平台面临的安全威胁 52
3.1.3 云计算安全扩展要求 53
3.1.4 安全扩展要求项分布 57
3.2 移动互联网 58
3.2.1 移动互联网系统概述 58
3.2.2 移动互联网安全威胁 59
3.2.3 移动互联安全扩展要求 60
3.2.4 安全扩展要求项分布 62
3.3 物联网 63
3.3.1 物联网系统概述 63
3.3.2 物联网对等级测评技术的影响 64
3.3.3 物联网安全扩展要求 65
3.3.4 安全扩展要求项分布 67
3.4 工业控制系统 67
3.4.1 工业控制系统概述 67
3.4.2 工业控制系统安全现状 70
3.4.3 工业控制系统安全扩展要求概述 71
3.4.4 工业控制系统安全扩展要求 76
3.4.5 安全扩展要求项分布 79
第4章 信息系统安全测评方法 80
4.1 测评流程及方法 80
4.1.1 测评流程 80
4.1.2 测评方法 81
4.2 测评对象及内容 82
4.2.1 技术层安全测评对象及内容 83
4.2.2 管理层安全测评对象及内容 87
4.2.3 不同安全等级的测评对象 91
4.2.4 不同安全等级测评指标对比 93
4.2.5 不同安全等级测评强度对比 94
4.3 测评工具与接入测试 95
4.3.1 测评工具 95
4.3.2 漏洞扫描工具 96
4.3.3 协议分析工具 100
4.3.4 渗透测试工具 100
4.3.5 性能测试工具 101
4.3.6 日志分析工具 102
4.3.7 代码审计工具 103
4.3.8 接入测试 104
4.4 信息系统安全测评风险分析与规避 105
4.4.1 风险分析 105
4.4.2 风险规避 105
4.5 常见问题及处置建议 106
4.5.1 测评对象选择 106
4.5.2 测评方案编写 107
4.5.3 测评行为管理 107
第5章 信息系统安全测评技术 108
5.1 检查技术 108
5.1.1 网络和通信安全 108
5.1.2 设备和计算安全 116
5.1.3 应用和数据安全 127
5.2 目标识别和分析技术 130
5.2.1 网络嗅探 130
5.2.2 网络端口和服务识别 131
5.2.3 漏洞扫描 133
5.3 目标漏洞验证技术 139
5.3.1 密码破解 139
5.3.2 渗透测试 144
5.3.3 性能测试 147
第6章 信息系统安全测评实施与分析 150
6.1 测评实施 150
6.1.1 测评实施准备 151
6.1.2 现场测评和记录 153
6.1.3 结果确认 156
6.2 测评项结果分析与量化 157
6.2.1 基本概念间的关系 157
6.2.2 单对象单测评项量化 157
6.2.3 测评项权重赋值 158
6.2.4 控制点分析与量化 159
6.2.5 问题严重程度值计算 160
6.2.6 修正后的严重程度值和符合程度的计算 160
6.2.7 系统整体测评计算 162
6.2.8 系统安全保障情况得分计算 164
6.2.9 安全问题风险评估 165
6.2.10 等级测评结论的结果判定 165
6.3 风险评估结果分析与量化 166
6.3.1 基本概念间的关系 166
6.3.2 资产识别与分析 167
6.3.3 威胁识别与分析 171
6.3.4 脆弱性识别与分析 174
6.3.5 风险分析 175
第7章 信息系统安全测评案例分析 177
7.1 测评报告模板与分析 177
7.1.1 等级保护测评报告结构分析 177
7.1.2 风险评估报告结构分析 181
7.2 等级保护测评案例 184
7.2.1 重要信息系统介绍 184
7.2.2 等级测评工作组和过程计划 184
7.2.3 等级测评工作所需资料 185
7.2.4 测评对象 187
7.2.5 单元测评结果 188
7.2.6 整体测评结果 190
7.2.7 总体安全状况分析 191
7.2.8 等级测评结论 192
7.3 风险评估测评案例 192
7.3.1 电子政务系统基本情况介绍 192
7.3.2 风险评估工作概述 193
7.3.3 风险评估所需资料 194
7.3.4 评估对象的管理和技术措施表 196
7.3.5 资产识别与分析 197
7.3.6 威胁识别与分析 199
7.3.7 脆弱性识别与分析 201
7.3.8 风险分析结果 202
7.4 测评报告撰写注意事项 205
7.4.1 等级保护测评注意事项 205
7.4.2 风险评估注意事项 205
附录A 第三级信息系统测评项权重赋值表 207
附录B.1 等级保护案例控制点符合情况汇总表 220
附录B.2 等级保护案例安全问题汇总表 223
附录B.3 等级保护案例修正因子（0.9）汇总表 226
附录B.4 等级保护案例安全层面得分汇总表 231
附录B.5 等级保护案例风险评估汇总表 233
附录C.1 风险评估案例基于等级保护的威胁数据采集表 236
附录C.2 风险评估案例威胁源分析表 238
附录C.3 风险评估案例威胁源行为分析表 241
附录C.4 风险评估案例威胁能量分析表 243
附录C.5 风险评估案例威胁赋值表 245
附录C.6 风险评估案例威胁和资产对应表 247
附录C.7 风险评估案例脆弱性分析赋值表 248
附录C.8 风险评估案例 251
附录C.9 基于脆弱性的风险排名表 253
参考文献 255