所有網路安全評估標准

❶ 國際和國內的網路安全評價標准

計算機網路安全

編者按："千里之提，潰於蟻穴"。配置再完善的防火牆、功能 再強大的入侵檢測系統、結構再復雜的系統密碼也擋不住內部人員從網管背後的一瞥。"微軟被黑案"的事例證明，當前企業網路最大的安全漏洞來自內部管理的不嚴密。因此網路安全，重在管理。那麼如何管理呢？請仔細研讀下文。
網路安全的重要性及現狀

隨著計算機網路的普及和發展，我們的生活和工作都越來越依賴於網路。與此相關的網路安全問題也隨之凸現出來，並逐漸成為企業網路應用所面臨的主要問題。那麼網路安全這一要領是如何提到人們的議事日程中來的呢？

1. 網路安全的概念的發展過程

網路發展的早期，人們更多地強調網路的方便性和可用性，而忽略了網路的安全性。當網路僅僅用來傳送一般性信息的時候，當網路的覆蓋面積僅僅限於一幢大樓、一個校園的時候，安全問題並沒有突出地表現出來。但是，當在網路上運行關鍵性的如銀行業務等，當企業的主要業務運行在網路上，當政府部門的活動正日益網路化的時候，計算機網路安全就成為一個不容忽視的問題。

隨著技術的發展，網路克服了地理上的限制，把分布在一個地區、一個國家，甚至全球的分支機構聯系起來。它們使用公共的傳輸信道傳遞敏感的業務信息，通過一定的方式可以直接或間接地使用某個機構的私有網路。組織和部門的私有網路也因業務需要不可避免地與外部公眾網直接或間接地聯系起來，以上因素使得網路運行環境更加復雜、分布地域更加廣泛、用途更加多樣化，從而造成網路的可控制性急劇降低，安全性變差。

隨著組織和部門對網路依賴性的增強，一個相對較小的網路也突出地表現出一定的安全問題，尤其是當組織的部門的網路就要面對來自外部網路的各種安全威脅，即使是網路自身利益沒有明確的安全要求，也可能由於被攻擊者利用而帶來不必要的法律糾紛。網路黑客的攻擊、網路病毒的泛濫和各種網路業務的安全要求已經構成了對網路安全的迫切需求。

2. 解決網路安全的首要任務

但是，上面的現狀僅僅是問題的一個方面，當人們把過多的注意力投向黑客攻擊和網路病毒所帶來的安全問題的時候，卻不知道內部是引發安全問題的根源，正所謂"禍起蕭牆"。國內外多家安全權威機構統計表明，大約有七八成的安全事件完全或部分地由內部引發。在一定程度上，外部的安全問題可以通過購置一定的安全產品來解決，但是，大多數的外部安全問題是由內部管理不善、配置不當和不必要的信息泄露引起的。因此，建立組織的部門的網路安全體系是解決網路安全的首要任務。

網路安全存在的主要問題

任何一種單一的技術或產品者無法滿足無法滿足網路對安全的要求，只有將技術和管理有機結合起來，從控制整個網路安全建設、運行和維護的全過程角度入手，才能提高網路的整體安全水平。

無論是內部安全問題還是外部安全問題，歸結起來一般有以下幾個方面：

1. 網路建設單位、管理人員和技術人員缺乏安全防範意識，從而就不可能採取主動的安全 措施加以防範，完全處於被動挨打的位置。

2. 組織和部門的有關人員對網路的安全現狀不明確，不知道或不清楚網路存在的安全隱 患，從而失去了防禦攻擊的先機。

3. 組織和部門的計算機網路安全防範沒有形成完整的、組織化的體系結構，其缺陷給攻擊 者以可乘之機。

4. 組織和部門的計算機網路沒有建立完善的管理體系，從而導致安全體系和安全控制措施 不能充分有效地發揮效能。業務活動中存在安全疏漏，造成不必要的信息泄露，給攻擊者以收集敏感信息的機會。

5. 網路安全管理人員和技術有員缺乏必要的專業安全知識，不能安全地配置和管理網路， 不能及時發現已經存在的和隨時可能出現的安全問題，對突發的安全事件不能作出積極、有序和有效的反應。

網路安全管理體系的建立

實現網路安全的過程是復雜的。這個復雜的過程需要嚴格有效的管理才能保證整個過程的有效性，才能保證安全控制措施有效地發揮其效能，從而確保實現預期的安全目標。因此，建立組織的安全管理體系是網路安全的核心。我們要從系統工程的角度構建網路的安全體系結構，把組織和部門的所有安全措施和過程通過管理的手段融合為一個有機的整體。安全體系結構由許多靜態的安全控制措施和動態的安全分析過程組成。

1. 安全需求分析 "知已知彼，百戰不殆"。只有明了自己的安全需求才能有針對性地構建適合於自己的安全體系結構，從而有效地保證網路系統的安全。

2. 安全風險管理 安全風險管理是對安全需求分析結果中存在的安全威脅和業務安全需求進行風險評估，以組織和部門可以接受的投資，實現最大限度的安全。風險評估為制定組織和部門的安全策略和構架安全體系結構提供直接的依據。

3. 制定安全策略 根據組織和部門的安全需求和風險評估的結論，制定組織和部門的計算機網路安全策略。

4. 定期安全審核 安全審核的首要任務是審核組織的安全策略是否被有效地和正確地執行。其次，由於網路安全是一個動態的過程，組織和部門的計算機網路的配置可能經常變化，因此組織和部門對安全的需求也會發生變化，組織的安全策略需要進行相應地調整。為了在發生變化時，安全策略和控制措施能夠及時反映這種變化，必須進行定期安全審核。 5. 外部支持 計算機網路安全同必要的外部支持是分不開的。通過專業的安全服務機構的支持，將使網路安全體系更加完善，並可以得到更新的安全資訊，為計算機網路安全提供安全預警。

6. 計算機網路安全管理 安全管理是計算機網路安全的重要環節，也是計算機網路安全體系結構的基礎性組成部分。通過恰當的管理活動，規范組織的各項業務活動，使網路有序地進行，是獲取安全的重要條件。

❷ 網路安全評估主要有哪些項目

網路安全評估，也稱為網路評估、風險評估、網路風險評估、安全風險評估。一般情況下，它包括以下幾個方面：
網路資產評估、網路架構評估、網路脆弱性評估、數據流評估、應用系統評估、終端主機評估、物理安全評估、管理安全評估，一共8個方面。

成都優創信安，專業的網路和信息安全服務提供商。

❸ 信息安全評估標准將計算機系統有幾個級別

依照安全性從高到低劃分為 A，B，C，D四個等級，其中這些安全等級不是線性的，而是指數級上升的。

幾年前，美國國防部為計算機安全的不同級別制訂了4個准則。橙皮書（正式名稱為可信任計算機標准評估標准）包括計算機安全級別的分類。看一下這些分類可以了解在一些系統中固有的各種安全風險，並能掌握如何減少或排除這些風險。

1、D1 級
這是計算機安全的最低一級。整個計算機系統是不可信任的，硬體和操作系統很容易被侵襲。D1級計算機系統標准規定對用戶沒有驗證，也就是任何人都可以使用該計算機系統而不會有任何障礙。系統不要求用戶進行登記（要求用戶提供用戶名）或口令保護（要求用戶提供唯一字元串來進行訪問）。任何人都可以坐在計算機前並開始使用它。
D1級的計算機系統包括：
MS-Dos
MS-Windows3.xe及Windows95(不在工作組方式中）
Apple的System7.x

2、C1 級
C1級系統要求硬體有一定的安全機制（如硬體帶鎖裝置和需要鑰匙才能使用計算機等），用戶在使用前必須登錄到系統。C1級系統還要求具有完全訪問控制的能力，經應當允許系統管理員為一些程序或數據設立訪問許可許可權。C1級防護不足之處在於用戶直接訪問操作系統的根。C1級不能控制進入系統的用戶的訪問級別，所以用戶可以將系統的數據任意移走。
常見的C1級兼容計算機系統如下所列：
UNIX 系統
XENIX
Novell3.x或更高版本
Windows NT

3、C2 級
C2級在C1級的某些不足之處加強了幾個特性，C2級引進了受控訪問環境（用戶許可權級別）的增強特性。這一特性不僅以用戶許可權為基礎，還進一步限制了用戶執行某些系統指令。授權分級使系統管理員能夠分用戶分組，授予他們訪問某些程序的許可權或訪問分級目錄。另一方面，用戶許可權以個人為單位授權用戶對某一程序所在目錄的訪問。如果其他程序和數據也在同一目錄下，那麼用戶也將自動得到訪問這些信息的許可權。C2級系統還採用了系統審計。審計特性跟蹤所有的「安全事件」，如登錄（成功和失敗的），以及系統管理員的工作，如改變用戶訪問和口令。
常見的C2級操作系統有：
UNIX 系統
XENIX
Novell3.x或更高版本
Windows NT

❹ 簡述網路安全的相關評估標准.

1 我國評價標准

1999年10月經過國家質量技術監督局批准發布的《計算機信息系統安全保護等級劃分准則》將計算機安全保護劃分為以下5個級別。
l 第1級為用戶自主保護級（GB1安全級）：它的安全保護機制使用戶具備自主安全保護的能力，保護用戶的信息免受非法的讀寫破壞。
l 第2級為系統審計保護級（GB2安全級）：除具備第一級所有的安全保護功能外，要求創建和維護訪問的審計跟蹤記錄，使所有的用戶對自己的行為的合法性負責。
l 第3級為安全標記保護級（GB3安全級）：除繼承前一個級別的安全功能外，還要求以訪問對象標記的安全級別限制訪問者的訪問許可權，實現對訪問對象的強制保護。
l 第4級為結構化保護級（GB4安全級）：在繼承前面安全級別安全功能的基礎上，將安全保護機制劃分為關鍵部分和非關鍵部分，對關鍵部分直接控制訪問者對訪問對象的存取，從而加強系統的抗滲透能力。
l 第5級為訪問驗證保護級（GB5安全級）：這一個級別特別增設了訪問驗證功能，負責仲裁訪問者對訪問對象的所有訪問活動。
我國是國際標准化組織的成員國，信息安全標准化工作在各方面的努力下正在積極開展之中。從20世紀80年代中期開始，自主制定和採用了一批相應的信息安全標准。但是，應該承認，標準的制定需要較為廣泛的應用經驗和較為深入的研究背景。這兩方面的差距，使我國的信息安全標准化工作與國際已有的工作相比，覆蓋的范圍還不夠大，宏觀和微觀的指導作用也有待進一步提高。
2 國際評價標准

根據美國國防部開發的計算機安全標准——可信任計算機標准評價准則（Trusted Computer Standards Evaluation Criteria，TCSEC），即網路安全橙皮書，一些計算機安全級別被用來評價一個計算機系統的安全性。
自從1985年橙皮書成為美國國防部的標准以來，就一直沒有改變過，多年以來一直是評估多用戶主機和小型操作系統的主要方法。其他子系統（如資料庫和網路）也一直用橙皮書來解釋評估。橙皮書把安全的級別從低到高分成4個類別：D類、C類、B類和A類，每類又分幾個級別，如表1-1所示。
表 安全 級 別
類 別
級 別
名 稱
主 要 特 征
D
D
低級保護
沒有安全保護
C
C1
自主安全保護
自主存儲控制
C2
受控存儲控制
單獨的可查性，安全標識
B
B1
標識的安全保護
強制存取控制，安全標識
B2
結構化保護
面向安全的體系結構，較好的抗滲透能力
B3
安全區域
存取監控、高抗滲透能力
A
A
驗證設計
形式化的最高級描述和驗證
D級是最低的安全級別，擁有這個級別的操作系統就像一個門戶大開的房子，任何人都可以自由進出，是完全不可信任的。對於硬體來說，沒有任何保護措施，操作系統容易受到損害，沒有系統訪問限制和數據訪問限制，任何人不需任何賬戶都可以進入系統，不受任何限制可以訪問他人的數據文件。屬於這個級別的操作系統有DOS和Windows 98等。
C1是C類的一個安全子級。C1又稱選擇性安全保護（Discretionary Security Protection）系統，它描述了一個典型的用在UNIX系統上安全級別。這種級別的系統對硬體又有某種程度的保護，如用戶擁有注冊賬號和口令，系統通過賬號和口令來識別用戶是否合法，並決定用戶對程序和信息擁有什麼樣的訪問權，但硬體受到損害的可能性仍然存在。
用戶擁有的訪問權是指對文件和目標的訪問權。文件的擁有者和超級用戶可以改變文件的訪問屬性，從而對不同的用戶授予不通的訪問許可權。
C2級除了包含C1級的特徵外，應該具有訪問控制環境（Controlled Access Environment）權力。該環境具有進一步限制用戶執行某些命令或者訪問某些文件的許可權，而且還加入了身份認證等級。另外，系統對發生的事情加以審計，並寫入日誌中，如什麼時候開機，哪個用戶在什麼時候從什麼地方登錄，等等，這樣通過查看日誌，就可以發現入侵的痕跡，如多次登錄失敗，也可以大致推測出可能有人想入侵系統。審計除了可以記錄下系統管理員執行的活動以外，還加入了身份認證級別，這樣就可以知道誰在執行這些命令。審計的缺點在於它需要額外的處理時間和磁碟空間。
使用附加身份驗證就可以讓一個C2級系統用戶在不是超級用戶的情況下有權執行系統管理任務。授權分級使系統管理員能夠給用戶分組，授予他們訪問某些程序的許可權或訪問特定的目錄。能夠達到C2級別的常見操作系統有如下幾種：
（1）UNIX系統；
（2）Novell 3.X或者更高版本；
（3）Windows NT，Windows 2000和Windows 2003。
B級中有三個級別，B1級即標志安全保護（Labeled Security Protection），是支持多級安全（例如：秘密和絕密）的第一個級別，這個級別說明處於強制性訪問控制之下的對象，系統不允許文件的擁有者改變其許可許可權。
安全級別存在秘密和絕密級別，這種安全級別的計算機系統一般在政府機構中，比如國防部和國家安全局的計算機系統。
B2級，又叫結構保護（Structured Protection）級別，它要求計算機系統中所有的對象都要加上標簽，而且給設備（磁碟、磁帶和終端）分配單個或者多個安全級別。
B3級，又叫做安全域（Security Domain）級別，使用安裝硬體的方式來加強域的安全，例如，內存管理硬體用於保護安全域免遭無授權訪問或更改其他安全域的對象。該級別也要求用戶通過一條可信任途徑連接到系統上。
A級，又稱驗證設計（Verified Design）級別，是當前橙皮書的最高級別，它包含了一個嚴格的設計、控制和驗證過程。該級別包含較低級別的所有的安全特性。
安全級別設計必須從數學角度上進行驗證，而且必須進行秘密通道和可信任分布分析。可信任分布（Trusted Distribution）的含義是：硬體和軟體在物理傳輸過程中已經受到保護，以防止破壞安全系統。橙皮書也存在不足，TCSEC是針對孤立計算機系統，特別是小型機和主機系統。假設有一定的物理保障，該標准適合政府和軍隊，不適合企業，這個模型是靜態的。

❺ 網路安全評估的介紹

《網路安全評估》在現在的互聯網社會，在針對信息基礎設施和應用程序的滲透測試進行過績效管理之後，越來越認識到技術測試和提供信息安全保障的重要性。

❻ 請問網路安全方面的標准有哪些

前幾天我朋友的電腦中了病毒，病毒感染了很多EXE文件，修復難度很大，無奈只好格式化掉，損失慘重。我的電腦很少中毒，至少在我知道的情況下我的電腦沒用中過毒。消滅病毒的難度是很大的，但做好預防工作卻是非常容易的。下面是我的一些做法，個人認為做好下面的措施，電腦中毒機會的就會是微乎其微，這些措施只針對Windows操作系統。
1、必須安裝防火牆和殺毒軟體

不管你是怎樣的高手，這兩種軟體還是需要安裝的。雖然在面對新病毒時，殺毒軟體會變得手足無措，倒不如自己上網找殺毒辦法。但有一個殺毒軟體就是多了一道屏障，不管這道屏障有多高或多矮，始終是利大於弊的。殺毒軟體我用的是金山毒霸，我覺得不錯，建議安裝金山毒霸！

防火牆也是必須要安裝的，同時最好還安裝一些監測網路進程的程序，時刻監視有無惡意程序在進行非法操作。

另外，一些流氓軟體專殺也是非常有用的，比如360安全衛士，金山清理專家等。

2、為Administrator用戶降權

在Windows操作系統里，Administrator是最高級的用戶，在正常的登陸模式是無法看到的，因此很容易忽略由Administrator用戶帶來的安全問題。

Administrator用戶的初始密碼是空的，如果沒用安裝防火牆，黑客很容易通過Administrator帳戶進入你的電腦。這時做什麼都已經為時已晚了。

事實上，這並不是降權，是創建一個偽造的，無實際權利的Administrator用戶。

具體操作如下，先以一個非Administrator的管理員帳戶登陸windows，然後打開：控制面板-管理工具-計算機管理-本地用戶和組-用戶，刪除Administrator用戶，再創建一個新的Administrator用戶，右擊設置密碼，密碼有多復雜就多復雜，讓其隸屬於最低級別的用戶組，並在屬性里勾選帳戶已停用。如圖1所示。

這樣，即使別人破解了你的Administrator帳戶，進入後也發現只是一個沒用實權的帳戶。

3、禁止所有磁碟自動運行

如今U盤病毒盛行，稍不小心就會導致「格盤」。U盤病毒一般的運行機制是通過雙擊盤符自動運行，因此，禁用所有磁碟的自動運行是一種相當有效的預防手段。

具體的操作過程是：運行輸入gpedit.msc-->用戶配置-->管理模板-->系統，雙擊右側列表裡的關閉自動播放，選擇「所有驅動器」，然後選擇「已啟動」。確定退出。

4、不雙擊U盤

如果你沒用禁止所有磁碟自動運行，又或者你在別人的計算機上使用U盤，最好不要雙擊U盤。這很容易觸發U盤病毒，最好的方法是先用殺毒軟體掃描。

U盤里的病毒一般清除方法是，通過資源管理器進去看看U盤里有無autorun.inf文件，通常是隱藏的。刪除autorun.inf文件以及它所指向的程序，然後重新拔插U盤。

5、經常檢查開機啟動項

經常在運行里輸入msconfig查看啟動項，發現有異常的馬上在網上找資料，看看是不是病毒。當然，你不一定要用msconfig，超級兔子等軟體也是非常不錯的。如圖2所示。

6、經常備份重要數據

一些重要的數據，必須經常備份，例如重要的圖片、個人信息等等。我大概一個月會刻錄一次重要的資料，以防萬一。

7、使用GHOST

經常使用Ghost備份操作系統盤，遇到嚴重問題時直接恢復整個系統盤，這是懶人的做法，懶得找病毒的隱藏地，但同時也是高效快捷的方法。問題是你必須經常使用Ghost進行備份，不然你恢復系統盤也會有所損失，至少損失了最近安裝的程序(的注冊信息)。

8、隱私文件要加密

使用一些加密程序加密那些你認為不能暴露於公眾的文件，網上有很多這樣的免費軟體。不要以為隱藏了文件就行，隱藏只是一種自欺欺人的方式，加密了，即使你有類似「陳冠希」的照片也不會太危險。

9、使用Google

之所以推薦使用Google不是因為我對Google的偏愛，而是Google搜索里提供的網站安全信息提示。當搜索結果的某網頁里含有病毒或木馬時，Google會給出提示。

10、使用Firefox

Firefox不是萬能的，但總比IE好，相比起IE，使用Firefox能有效地降低中毒幾率。

11、使用復雜的密碼

這是老生常談的話題了，但還有很多人使用簡單的數字密碼，例如生日、身份證號等等，這是極容易被猜測的。「放心，我的生日只有我的朋友知道」，誰說你的朋友一定不會窺看你的隱私？

12、不要告訴任何人你的密碼

在聊天工具里告訴別人你的密碼你將面臨4種風險：

A、你的電腦可能被掛馬，密碼被竊取了。

B、聊天工具提供商也有可能竊取你的密碼。

C、聊天對方有可能利用你對他的信任去做不誠實的行為。

D、聊天對方的電腦中毒了，你的密碼被竊取。

13、不要隨便接收文件

尤其是在QQ里，別人發來文件，不要二話不說就接收，這是很危險的。一定要問清楚別人發的是什麼東西，是不是他主動發的。接收後也不要馬上運行，先用殺毒軟體掃描一遍。

❼ 國家支持什麼參與網路安全國家標准

國家支持企業、研究機構、高等學校、網路相關行業組織參與網路安全國家標准、行業標準的制定。

《中華人民共和國網路安全法》第十五條明確規定：

國家建立和完善網路安全標准體系。國務院標准化行政主管部門和國務院其他有關部門根據各自的職責，組織制定並適時修訂有關網路安全管理以及網路產品、服務和運行安全的國家標准、行業標准。

國家支持企業、研究機構、高等學校、網路相關行業組織參與網路安全國家標准、行業標準的制定。

第十五條、第十六條、第十七條、第十八條和第二十條分別倡導企業、高校和科研單位、網路相關行業組織等參與網路安全國家標准、行業標准制定，研究開發網路安全技術，為社會提供網路安全認證、檢測和風險評估等安全服務，開發網路數據安全保護和利用技術，以及培養網路安全人才等。

這些法條集中表達了一個主旨：鼓勵網路安全領域的技術發展和進步，以更好地促進網路安全、健康運行。

(7)所有網路安全評估標准擴展閱讀

「沒有網路安全就沒有國家安全。」當網路走進了千家萬戶，當網信事業蓬勃發展，當我國的網民數量和電子商務總量位居全球第一，網路安全顯然已經成為天大的事。

2016年4月，習近平總書記在網路安全和信息化工作座談會上指出，「網路空間是億萬民眾共同的精神家園，網路空間天朗氣清、生態良好，符合人民利益。」

在此精神的指導下，我國始終高度重視網路安全建設，黨的十八大以來，先後制定發布網路安全國家標准289項，持續開展的「凈網」「劍網」「清源」「護苗」等系列專項治理行動成果顯著，連續六年組織實施的「網路安全宣傳周」更是深入人心，以上這些務實有力的舉措，不斷凈化著網路空間，切實維護了網民的合法權益。

❽ 查閱網路安全評估與漏洞掃描的相關要求

研之成理
關注
計算機網路檢測和評估標准,網路安全檢測與評估技術 轉載
2021-06-18 11:55:53

研之成理

碼齡3年

關注
《網路安全檢測與評估技術》由會員分享，可在線閱讀，更多相關《網路安全檢測與評估技術(52頁珍藏版)》請在裝配圖網上搜索。

1、第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 第 7章 網 絡 安 全 檢 測 與 評 估 技 術 內 容 提 要 ：網 絡 安 全 漏 洞 網 絡 安 全 評 估 標 准網 絡 安 全 評 估 方 法網 絡 安 全 檢 測 評 估 系 統 簡 介小 結 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 7.1 網 絡 安 全 漏 洞 1. 網 絡 安 全 漏 洞 威 脅( 1) 安 全 漏 洞 的 定 義 漏 洞 是 在 硬 件 、 軟 件 、 協 議 的 具 體 實 現 或系 統 安 全 策 略 上 存 在 的 缺 陷 ， 可 以 使 攻 擊 者 在未 授 權 的 情 況 。

2、下 訪 問 或 破 壞 系 統 。 漏 洞 的 產 生 有 其 必 然 性 ， 這 是 因 為 軟 件 的正 確 性 通 常 是 通 過 檢 測 來 保 障 的 。 而 「檢 測 只能 發 現 錯 誤 ， 證 明 錯 誤 的 存 在 ， 不 能 證 明 錯 誤的 不 存 在 」 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 2) 安 全 威 脅 的 定 義 安 全 威 脅 是 指 所 有 能 夠 對 計 算 機 網 絡 信 息系 統 的 網 絡 服 務 和 網 絡 信 息 的 機 密 性 、 可 用 性和 完 整 性 產 生 阻 礙 、 破 壞 或 中。

3、 斷 的 各 種 因 素 。安 全 威 脅 可 以 分 為 人 為 安 全 威 脅 和 非 人 為 安 全威 脅 兩 大 類 。 安 全 威 脅 與 安 全 漏 洞 密 切 相 關 ，安 全 漏 洞 的 可 度 量 性 使 得 人 們 對 系 統 安 全 的 潛在 影 響 有 了 更 加 直 觀 的 認 識 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 可 以 按 照 風 險 等 級 對 安 全 漏 洞 進 行 歸 類 ， 表7-1， 7-2， 7-3對 漏 洞 分 類 方 法 進 行 了 描 述 。 返 回 本 章 首 頁 表 7-1 漏 洞 威 脅 等。

4、 級 分 類嚴 重 度 等 級 影 響 度低 嚴 重 度 : 漏 洞 難 以利 用 ， 並 且 潛 在 的 損失 較 少 。 1 低 影 響 度 : 漏 洞 的 影 響 較 低 ， 不 會 產 生 連帶 的 其 他 安 全 漏 洞 。中 等 嚴 重 度 : 漏 洞 難以 利 用 ， 但 是 潛 在 的損 失 較 大 ， 或 者 漏 洞易 於 利 用 ， 但 是 潛 在的 損 失 較 少 。 2 中 等 影 響 度 : 漏 洞 可 能 影 響 系 統 的 一 個 或多 個 模 塊 ， 該 漏 洞 的 利 用 可 能 會 導 致 其 他漏 洞 可 利 用 。高 嚴 重 度 : 漏 洞 易 於利 用。

5、 ， 並 且 潛 在 的 損失 較 大 。 3 高 影 響 度 : 漏 洞 影 響 系 統 的 大 部 分 模 塊 ，並 且 該 漏 洞 的 利 用 顯 著 增 加 其 他 漏 洞 的 可利 用 性 。 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 返 回 本 章 首 頁 表 7-2 漏 洞 威 脅 綜 合 等 級 分 類嚴 重等 級 影 響 等 級1 2 31 1 2 32 2 3 43 3 4 5 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 表 7-3 漏 洞 威 脅 等 級 分 類 描 述等 級 描 述1 低 影 響 度 ， 低 嚴 重 度2 低 影 響 度 ， 中。

6、 等 嚴 重 度 ； 中 等 影 響 度 ， 低 嚴 重 度 3 低 影 響 度 ， 高 嚴 重 度 ； 高 影 響 度 ， 低 嚴 重 度 ； 中 等 影 響 度 ， 中 等 嚴 重 度4 中 等 影 響 度 ， 高 嚴 重 度 ； 高 影 響 度 ， 中 等 嚴 重 度5 高 影 響 度 ， 高 嚴 重 度 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 2. 網 絡 安 全 漏 洞 的 分 類 方 法按 漏 洞 可 能 對 系 統 造 成 的 直 接 威 脅 分 類按 漏 洞 的 成 因 分 類 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 。

7、1) 按 漏 洞 可 能 對 系 統 造 成 的 直 接 威 脅 分 類 可 以 分 為 ： 遠 程 管 理 員 權 限 ； 本 地 管 理 員 權 限 ； 普 通用 戶 訪 問 權 限 ； 權 限 提 升 ； 讀 取 受 限 文 件 ；遠 程 拒 絕 服 務 ； 本 地 拒 絕 服 務 ； 遠 程 非 授 權文 件 存 取 ； 口 令 恢 復 ； 欺 騙 ； 服 務 器 信 息 泄露 ； 其 它 漏 洞 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 2) 按 漏 洞 的 成 因 分 類 可 以 分 為 ： 輸 入 驗 證 錯 誤 類 ； 訪 問 驗 。

8、證 錯 誤 類 ； 競 爭 條件 類 ； 意 外 情 況 處 置 錯 誤 類 ； 設 計 錯 誤 類 ； 配置 錯 誤 類 ； 環 境 錯 誤 類 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 3. 網 絡 安 全 漏 洞 探 測 技 術 按 照 網 絡 安 全 漏 洞 的 可 利 用 方 式 來 劃 分 ，漏 洞 探 測 技 術 可 以 分 為 ： 信 息 型 漏 洞 探 測 和 攻擊 型 漏 洞 探 測 兩 種 。 按 照 漏 洞 探 測 的 技 術 特 征 ， 又 可 以 劃 分 為 ：基 於 應 用 的 探 測 技 術 、 基 於 主 機 的 探 。

9、測 技 術 、基 於 目 標 的 探 測 技 術 和 基 於 網 絡 的 探 測 技 術 等 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 1) 信 息 型 漏 洞 探 測 技 術 信 息 型 漏 洞 探 測 技 術 就 是 通 過 探 測 目 標的 型 號 、 運 行 的 操 作 系 統 版 本 及 補 丁 安 裝 情況 、 配 置 情 況 、 運 行 服 務 及 其 服 務 程 序 版 本等 信 息 確 定 目 標 存 在 的 安 全 漏 洞 的 探 測 技 術 。 該 技 術 具 有 實 現 方 便 、 對 目 標 不 產 生 破壞 性 影 響 。

10、的 特 點 。 其 不 足 之 處 是 對 於 具 體 某個 漏 洞 存 在 與 否 ， 難 以 做 出 確 定 性 的 結 論 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 為 提 高 信 息 型 漏 洞 探 測 技 術 的 准 確 率 和 效率 ， 許 多 改 進 措 施 也 不 斷 地 被 引 入 :順 序 掃 描 技 術多 重 服 務 檢 測 技 術 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 2) 攻 擊 型 漏 洞 探 測 技 術 模 擬 攻 擊 是 最 直 接 的 漏 洞 探 測 技 術 ， 其 探測 。

11、結 果 的 准 確 率 也 是 最 高 的 。 該 探 測 技 術 的 主 要 思 想 是 模 擬 網 絡 入 侵 的一 般 過 程 ， 對 目 標 系 統 進 行 無 惡 意 攻 擊 嘗 試 ，若 攻 擊 成 功 則 表 明 相 應 安 全 漏 洞 必 然 存 在 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ( 3) 漏 洞 探 測 技 術 按 其 技 術 特 征 可 分 為 ：基 於 應 用 的 檢 測 技 術 基 於 主 機 的 檢 測 技 術基 於 目 標 的 漏 洞 檢 測 技 術基 於 網 絡 的 檢 測 技 術 返 回 本 章 首 頁 第 。

12、七 章 網 絡 安 全 檢 測 與 評 估 技 術 7.2 網 絡 安 全 評 估 標 准 1. 網 絡 安 全 評 估 標 准 的 發 展 歷 程( 1) 首 創 而 孤 立 的 階 段( 2) 普 及 而 分 散 的 階 段( 3) 集 中 統 一 階 段 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 返 回 本 章 首 頁圖 7-1 測 評 標 准 的 發 展 演 變 歷 程 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 返 回 本 章 首 頁 表 7-7 各 標 准 的 等 級 劃 分 對 照 表CC TCSEC FC ITSEC CTCPE。

13、C GB17859-1999 D E0 T0 EAL1 T1 1： 用 戶 自 主 保 護EAL2 C1 E1 T2 2： 系 統 審 計 保 護EAL3 C2 T1 E2 T3 3： 安 全 標 記 保 護EAL4 B1 T2 E3 T4 4： 結 構 變 化 保 護 T3 T4 EAL5 B2 T5 E4 T5 5： 訪 問 驗 證 保 護 EAL6 B3 T6 E5 T6 EAL7 A T7 E6 T7 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 2. TCSEC、 ITSEC和 CC的 基 本 構 成 ( 1) TCSEC的 基 本 構 成 TCSEC主 要 由 以 下 四。

14、 個 方 面 進 行 描 述 ：安 全 策 略 模 型 ( Security Policy Model)可 追 究 性 ( Accountability)保 證 ( Assurance)文 檔 ( Documentation) 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 返 回 本 章 首 頁 TCSEC的 安 全 級 別類 別 級 別 名 稱 主 要 特 征A A 驗 證 設 計 形 式 化 的 最 高 級 描 述 和 驗 證 形 式 化 的隱 蔽 通 道 分 析 非 形 式 化 的 代 碼 對 應 證明B B3 安 全 區 域 訪 問 控 制 高 抗 滲。

15、 透 能 力B2 結 構 化 保 護 形 式 化 模 型 /隱 通 道 約 束 面 向 安 全 的 體系 結 構 較 好 的 抗 滲 透 能 力B1 標 識 的 安 全 保 護 強 訪 問 控 制 安 全 標 識C C2 受 控 制 的 訪 問 控制 單 獨 的 可 追 究 性 廣 泛 的 審 計 蹤 跡C1 自 主 安 全 保 護 自 主 訪 問 控 制 D D 低 級 保 護 相 當 於 無 安 全 功 能 的 個 人 微 機 TCSEC根 據 所 采 用 的 安 全 策 略 、 系 統 所 具 備 的 安 全 功 能將 系 統 分 為 四 類 七 個 安 全 級 別 。 第 七 章 網 。

16、絡 安 全 檢 測 與 評 估 技 術 ( 2) ITSEC的 基 本 構 成 ITSEC也 定 義 了 7個 安 全 級 別 ， 即 : E6： 形 式 化 驗 證 ；E5： 形 式 化 分 析 ；E4： 半 形 式 化 分 析 ；E3： 數 字 化 測 試 分 析 ；E2： 數 字 化 測 試 ；E1： 功 能 測 試 ；E0： 不 能 充 分 滿 足 保 證 。 返 回 本 章 首 頁 第 七 章 網 絡 安 全 檢 測 與 評 估 技 術 ITSEC的 安 全 功 能 分 類 為 ： 標 識 與 鑒 別 、訪 問 控 制 、 可 追 究 性

❾ 信息網路安全評估的方法

信息網路安全發展的時間是比較短的，所以，存在的問題還是比較多的、下面一起來看看信息網路安全風險評估的方法。
方法/步驟
1/6 分步閱讀
定製適合的評估方法

在之前會有很多的評估方法，當我們需要評估的時候，應該將那些案例作為參考。然後，根據自己產品的特點，制定出適合的評估方法。

2/6
制定完整的框架

在做信息網路安全風險評估的時候，不只是要評估存在的風險，也是需要為管理提供一個基礎的依據，整理出相關的數據。應該為產品設計一個1到2年的設計框架，這樣才有一個基礎的保證。

3/6
對用戶的需求進行評估

不同的用戶會有不用的需求，同時就會存在不同的風險，想要查找出風險，就需要和用戶進行必要的溝通。多與用戶溝通，對風險的評估有很大的幫助。

4/6
細致的分析

現在大多數的企業的系統都是比較復雜的，同時風險也是越來越隱蔽，越來越多的。所以，有必要對此進行一個細致深度的評估。找出了風險了以後，還需要找出為什麼會存在風險，並找到解決方法。

5/6
系統的管理

對於評估信息網路安全風險並不是一個人就可以完成的，需要擁有一個專業的團隊才可以及時有效的應對。擁有專業知識的團隊是評估風險的一個保障、

6/6
計劃好評估過程

在評估的時候一般是有前期，中期，後期這三個評估的過程的。在每一個過程都需要做不同的事情。同時也需要對風險評估有一個重要的認識，才可以准確的評估出風險。