1、第一章第一章 信息系统安全测评概述信息系统安全测评概述主要内容主要内容1.1 信息系统安全发展历程1.2相关概念1.3 信息系统安全测评作用1.4 信息安全标准组织1.5 国外重要信息安全测评标准1.6 我国信息安全测评标准1.7 信息系统安全等级保护工作1.8 信息系统安全测评的理论问题1.1 1.1 信息安全发展历程信息安全发展历程阶段阶段时间时间主要特征主要特征信息安全测评标准发展信息安全测评标准发展通信保密通信保密20世纪40-70年代以解决数据的安全传输，强调信息的机密性、完整性、可用性无计算机安全计算机安全20世纪70-80年代强调基于访问控制策略的安全操作系统安全可信计算机系统评
2、估准则TCSEC出现网络安全网络安全20世纪90年代主要威胁来自于网络入侵破坏等，主要采用防火墙、入侵检测、防病毒、漏洞扫描等工具来防范和保证信息安全信息技术安全评估准则ITSEC 信息安全保障信息安全保障20世纪90年代末强调风险管理，技术和管理并重可信计算机系统评估准则（CC）信息安全管理实施细则BS7799GB/T17859计算机信息系统安全防护等级划分准则网络空间安全网络空间安全21世纪涉及计算机、网络、云环境、工控系统等多层次多维度安全问题，具有整体性；安全问题的动态性和高复杂性；安全问题具有共通性、国际化的趋势。我国GB/T 18336-2001信息技术安全性评估准则及等级保护系列
3、标准1.2 1.2 相关概念相关概念1.2.1信息系统安全信息系统安全1、信息系统信息系统：信息系统不仅仅描述的是计算机软硬件，网络和通信设备，更是人和管理制度等的综合。2、信息、信息安全安全：信息的机密性、完整性、可用性、可控性、抗抵赖。3、信息系统、信息系统安全安全：广义的信息系统安全是从技术和管理两个方面能够保证信息及其所处环境的安全。1.2 1.2 相关概念相关概念1.2.2信息系统安全管理信息系统安全管理1.信息安全管理概念信息安全管理概念信息系统安全管理是指为了实现信息系统的安全目标，对信息系统的资产进行计划、组织、指挥、协调和控制的一系列活动。信息系统安全管理的被管对象是系统的资
4、产，包括人员、软件、硬件、信息等。同时包括信息安全目标、信息系统安全组织架构和信息系统安全策略规则等1.2 1.2 相关概念相关概念2、信息系统安全管理基本方法、信息系统安全管理基本方法信息安全管理基本方法有风险管理和过程方法两种。在风险管理中，风险评估是信息安全管理的基础，风险处理是信息系统安全管理的核心，控制措施是管理风险的具体手段。1.2 1.2 相关概念相关概念3、信息系统安全管理实施、信息系统安全管理实施1）信息安全管理体系2）信息安全等级保护信息安全管理体系（ISMS）是一种常见的全面、系统的信息安全管理方法。根据计算机信息系统安全保护等级划分规则，计算机系统安全保护能力分为五个等
5、级，分别是：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。1.2 1.2 相关概念相关概念1.2.3信息系统安全保障信息系统安全保障1、信息安全保障技术框架、信息安全保障技术框架1.2 1.2 相关概念相关概念2、信息系统安全保障模型、信息系统安全保障模型信息系统安全保障定义为：在信息系统的整个生命周期中，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障 系统实现组织机构的使命。1.3 1.3 信息系统安全测评信息系统安全测评作用作用 信息系统安全测
6、评，是一种合规性检测和评估活动，主要针对信息系统中可能存在的技术、管理等安全隐患，逐项对照标准进行一一检测，并根据检测结果，分析评估出该系统的安全状况。根据其薄弱环节和潜在威胁等提出加固及整改建议，其测评对象是信息系统，其测评目的是为了防范并降低系统安全风险，测评的依据是测评标准。1.3 1.3 信息系统安全测评信息系统安全测评作用作用1、信息安全测评是信息安全保障工作方法的重要组成2、信息安全测评是保障信息安全的首道防线3、信息安全测评对信息安全建设起到规范性作用4、信息系统安全测评是实现风险管理的重要手段生命周期中阶段不同生命周期中阶段不同目的不同目的不同风险评估风险评估贯穿于整个信息系统
7、安全工程生命周期为了发现系统中存在的风险，从而给出信息系统安全建设的相关建议；安全测评安全测评从信息系统建设完毕到废弃之间检验已建设完成的系统中的残余风险是否符合相关标准要求，为系统准入提供依据。风险评估和安全测评的不同风险评估和安全测评的不同1.4 1.4 信息安全标准组织信息安全标准组织1、国际标准化组织、国际标准化组织ISOl ISO成立于1947年，是最大的非政府性标准化专门机构，其成员由来自世界上100多个国家标准化团体组成。l ISO通过下设的技术委员会TC（Technology Committee）,分技术委员会SC（Sub Committee）,工作组WG（Working Gr
8、oup）和特别工作组来开展活动。l 与信息安全测评相关的重要标准有：ISO/IEC 15408信息技术 信息安全-IT安全的评估准则1.4 1.4 信息安全标准组织信息安全标准组织2、ISO/IECJTC1SC27l 国际电工委员会IEC（International Electrotechnical Commission）该组织成立于1906年。l 在ISO/IEC JTC1 SC27是联合技术委员会下专门从事信息安全标准化的分技术委员会，其前身是数据加密分技术委员会（SC20）。主要从事信息技术安全的一般方法和技术的标准化工作，是信息安全领域中最具代表性的国际标准化组织。l SC27下设信息
9、安全管理体系工作组WG1、密码与安全机制工作组WG2、安全评估准则工作组WG3、安全控制与服务工作组WG4和身份管理与隐私技术工作组WG5。l ISO/IEC 15408信息技术 信息安全-IT安全的评估准则就是该联合技术委员会制定的。1.4 1.4 信息安全标准组织信息安全标准组织3、美国国家标准协会、美国国家标准协会ANSIl 美国国家标准学会（American National Standards Institute，简称ANSI）成立于1918年，ANSI实际上已成为美国国家标准化中心。l ANSI的技术委员会美国国家信息科技标准委员会负责信息技术。l 分技术委员会T4专门负责IT 安
10、全技术标准化工作，对口JTC1的SC27。4、美国国家标准与技术研究院、美国国家标准与技术研究院NISTl 负责联邦政府非密敏感信息，制定的标准和规范称为FIPS（Federation Information Processing Standards）。l 从1970年代NIST公布数据加密标准DES开始，NIST制定了一系列信息安全方面的标准，如NIST SP800系列等。1.4 1.4 信息安全标准组织信息安全标准组织5、电气和电子工程师协会、电气和电子工程师协会IEEEl 电气和电子工程师协会是一个国际性的电子技术与信息科学工程师的协会，是目前全球最大的非营利性专业技术学会。l 它主要提
11、出了关于局域网、广域网安全方面的标准和公钥密码标准。从1990年IEEE成立802.11“无线局域网工作组”以来，在无线通信及安全方面做了大量工作。6、中国国家标准化管理委员会、中国国家标准化管理委员会l 中国国家标准化管理委员会是我国最高级别的国家标准机构。l 其下设有全国信息安全标准化技术委员会，简称信安标委，TC260），由国家标准化委员会直接领导。1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准1.5.1TCSECl 1983年由美国国家计算机安全中心（NCSC）公布的“可信计算机系统评估准则”（TCSEC），于1985年被作为美国国防部标准(DoD5200.28-ST
12、D)发布实施。l TCSEC对开发、测试和使用可信计算机系统有三方面的作用：一是作为测试标准，提供计算机系统可靠性测评准则；二是可作为可信西算计系统开发的安全要求；三十作为系统集成的工程规范。l TCSEC将计算机系统的安全划分为4个等级（由下到上分别是D、C、B、A）、7个级别（D1，C1，C2，B1，B2，B3，A），评估等级从低到高安全要求逐步增多。1.5.2ITSEC1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准1991年，欧洲共同体委员会以英、法、德、荷兰四个国家为代表，共同制定了欧洲统一的安全评估标准ITSEC，适用于军队、政府商业等部门。ITSEC定义了从E0级
13、(不满足品质)到E6级(形式化验证)的7个安全等级。l E0级：该级别表示不充分的安全保证。l E1级：该级别必须有一个安全目标和一个对产品或系统的体系结构设计的非形式化的描述，还需要有功能测试，以表明是否达到安全目标。l E2级：除了E1级的要求外，还必须对详细的设计有非形式化描述。另外，功能测试的证据必须被评估，必须有配置控制系统和认可的分配过程。l E3级：除了E2级的要求外，不仅要评估与安全机制相对应的源代码和硬件设计图，还要评估测试这些机制的证据。l E4级：除了E3级的要求外，必须有支持安全目标的安全策略的基本形式模型。用半形式说明安全加强功能、体系结构和详细的设计、l E5级：除
14、了E4级的要求外，在详细的设计和源代码或硬件设计图之间有紧密的对应关系。l E6级：除了E5级的要求外，必须正式说明安全加强功能和体系结构设计，使其与安全策略的基本形式模型一致。1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准1.5.3CCl 在美国的TCSEC、欧洲的ITSEC、加拿大的CTCPEC、美国的FC等信息安全准则的基础上，由6个国家7方（美国国家安全局和国家技术标准研究所、加、英、法、德、荷）共同提出了“信息技术安全评价通用准则CC标准。l CC标准主要分为简介和一般模型、安全功能要求、安全保证要求三部分。l CC中常用的三个术语分别是评估对象TOE（Target
15、 of Evaluation），保护轮廓PP（Protection Profile）和安全目标ST（Security Target）。1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准lTOE：评估对象TOE就是被评估的产品或系统，包括信息技术产品、系统或子系统，如防火墙、计算机网络、密码模块等，以及相关管理员指南、用户指南、设计方案等文档。lPP：类似用户的需求，PP主要包括：需保护的对象；确定安全环境；TOE的安全目的；IT安全要求；基本原理等。是为了满足安全目标而提出的一整套相对应的功能和保证的需求，在标准体系
16、中PP相当于产品标准。PP与某个具体的TOE无关，它定义的是用户对这类 TOE的安全需求。lST：相当于产品和系统的实现方案。针对具体TOE而言，是某一款产品对某一PP要求的具体实现。包括该TOE的安全要求和用于满足安全要求的特定安全功能和保证措施。ST包括的技术要求和保证措施可以直接引用该TOE 所属产品或系统类的PP。CC中定义了以下7个评估保证级：(1)评估保证级1(EAL1)功能测试；(2)评估保证级2(EAL2)结构测试；(3)评估保证级3(EAL3)系统地测试和检查；(4)评估保证级4(EAL4)系统地设计、测试和复查；(5)评估保证级5(EAL5)半形式化设计和测试；(6)评估保
17、证级6(EAL6)半形式化验证的设计和测试；(7)评估保证级7(EAL7)形式化验证的设计和测试。1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准CCTCSEC-DEAL1-EAL2C1EAL3C2EAL4B1EAL5B2EAL6B3EAL7A1CC与与TCSEC 等级的对比等级的对比1.5 1.5 国外重要信息安全测评标准国外重要信息安全测评标准1.6 1.6 我国信息安全测评我国信息安全测评标准标准我国的信息安全标准体系大致分为基础标准，技术与机制标准、管理标准、测评标准、密码技术标准和保密技术标准六大类。l 基础标准为其他标准制定提供支撑的公用标准，包括安全术语、体系结构
18、、模型和框架标准四个子类。l 技术与机制标准包括标识与鉴别、授权与访问控制、实体管理和物理安全标准四个子类。l 管理标准包括管理基础标准、管理要求标准、管理支撑技术标准和工程与服务管理标准四个子类。l 密码技术标准包括基础标准、技术标准和管理标准三个子类。l 保密技术标准包括技术标准和管理标准两个子类。l 测评标准包括测评基础标准、产品测评标准和系统测评标准三个子类。l 这六大类标准之间相互有关联，比如测评标准也涉及到基础标准、管理标准等其他标准的内容。1.6 1.6 我国信息安全测评我国信息安全测评标准标准国内外信息安全测评标准发展演化关系图国内外信息安全测评标准发展演化关系图1.6.1GB
19、/T18336l 2001年颁布了GB/T 18336信息技术安全性评估准则。l 2008年，修订后的GB/T 18336包括3部分:GB/T 18336.1-2008信息技术安全性评估准则第一部分：简介和一般模型；GB/T 18336.1-2008信息技术安全性评估准则第二部分：安全功能要求；GB/T 18336.1-2008信息技术安全性评估准则第三部分：安全保证要求。l GB/T 18336.1-2008信息技术安全性评估准则等同于美国CC标准，也等同于ISO15408信息技术-安全技术IT评估准则。l GB/T 18336是测评标准类中的测评基础标准子类中的重要标准。该标准也定义了与C
20、C相同的三个概念：评估对象TOE（Target of Evaluation），保护轮廓PP（Protection Profile）和安全目标ST（Security Target）1.6 1.6 我国信息安全测评我国信息安全测评标准标准1.6 1.6 我国信息安全测评我国信息安全测评标准标准1.6.2GB/T20274l GB/T 20274信息系统安全保障评估框架是测评标准类中的测评基础标准子类中的重要标准。l 该标准是GB/T 18336在信息系统评估领域的扩展和补充。l 该标准包括四个部分：GB/T 20274.1-2006信息系统安全保障评估框架 第一部分：简介和一般模型、GB/T 20
21、274.2-2006信息系统安全保障评估框架 第二部分：技术保障、GB/T 20274.3-2006信息系统安全保障评估框架 第三部分：管理保障、GB/T 20274.4-2006信息系统安全保障评估框架 第四部分：工程保障。1.6 1.6 我国信息安全测评我国信息安全测评标准标准1.6.3信息系统安全等级保护测评标准信息系统安全等级保护测评标准 为了规范我国信息安全等级保护工作，全国信息安全标准化技术委员会和公安部信息系统安全标准化技术委员会以及其他单位组织制定了信息安全等级保护工作系列标准，形成了信息安全等级保护标准体系。信息安全等级保护标准体系是围绕信息系统预备、定级、建设、测评、整改的
22、生命周期来设计的。1）等级划分）等级划分1999年，我国制定并颁布了带有法律效力的强制性国家标准GB 17859-1999计算机信息系统安全保护等级划分准则。3）建设）建设在信息系统安全等级保护安全建设/整改阶段，主要有GB/T 22239-2008信息系统安全等级保护基本要求，GB/T25070-2010信息系统等级保护安全设计技术要求，GB/T 20271-2008信息系统通用安全技术要求，GB/T20269-2006信息系统安全管理要求，GB/T20282-2006信息系统安全工程管理要求等五部标准组成。1.6 1.6 我国信息安全测评我国信息安全测评标准标准2）定级）定级标准主要有GB
23、/T22240-2008信息系统安全等级保护定级指南，该标准规定了定级的依据、对象、流程、方法及等级变更等内容。1.6 1.6 我国信息安全测评我国信息安全测评标准标准4）测评）测评l 2012年颁布了与信息系统安全测评相关的GB/T 28448信息系统安全等级保护测评要求和GB/T 28449信息系统安全等级保护测评过程指南。l GB/T 28448信息系统安全等级保护测评要求主要规定了对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统安全等级保护状况进行安全测试评估的具体要求，该标准略去对第五级信息系统进行单元测评的具体内容要求。l GB/T 28449信息系统安全等级保护测
24、评过程指南该标准规定了对信息系统实施安全等级保护测评工作的具体测评流程及流程中每个步骤的具体任务，l 分级保护是针对涉密信息系统，根据其涉密等级以及涉密信息系统的重要性，遭到破坏后对国计民生造成的危害性，以及涉密信息系统必须达到的安全保护水平等划分将其划分为秘密级、机密级和绝密级三个等级，在建设、运行等各个环节按照其涉密等级实行分级保护。l 国家保密测评中心是我国唯一的涉密信息系统安全保密测评机构。国家保密测评中心隶属于国家保密局，在各省市下设国家保密测评分中心，专门负责对涉密信息系统进行安全测评。l 国家保密局专门对涉密信息系统如何进行分级保护制定了一系列的管理办法和技术标准，即BMB系列标
25、准，信息系统分级保护测评的依据是BMB标准。1.6.4 信息系统安全分级保护测评标准1.6 1.6 我国信息安全测评我国信息安全测评标准标准1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作 1.7.1等级保护等级保护概念概念1、基本概念、基本概念 信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护是提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展
26、的一项基本制度。1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作2、核心核心内涵内涵 国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。在国家统一政策指导下，各单位、各部门依法开展等级保护工作，有关职能部门对信息安全等级保护工作实施监督管理。实行信息安全等级保护，是在信息安全保障工作中国家意志的体现，具有明显的强制性。3、等级等级划分划分受侵害的客体受侵害的客体对客体的侵害程度对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的公民、法人和其他组织的合法权益合法权益第一级
27、第二级第三级社会秩序、公共利益社会秩序、公共利益第二级第三级第四级国家安全国家安全第三级第四级第五级安全保护等级参考表安全保护等级参考表1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作4、等级等级监管监管l 第一级依照国家管理规范和技术标准进行自主保护；l 第二级在信息安全监管职能部门指导下依照国家管理规范和技术标准进行自主保护；l 第三级依照国家管理规范和技术标准进行自主保护，信息安全监管职能部门对其进行监督、检查；l 第四级依照国家管理规范和技术标准进行自主保护，信息安全监管职能部门对其进行强制监督、检查；l 第五级依照国家管理规范和技术标准进行自主保护，国家指定专门部门、
28、专门机构进行专门监督。1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作5、等级等级保护的五目标保护的五目标通过实施信息安全等级保护，信息系统达到五方面目标：一是信息系统安全管理水平明显提高；二是信息系统安全防范能力明显增强；三是信息系统安全隐患和安全事故明显减少；四是有效保障信息化健康发展；五是有效维护国家安全、社会秩序和公共利益。6、等级等级保护制度特点保护制度特点一是紧迫性，信息安全滞后于信息化发展，重要信息系统的安全保障需求迫切。二是全面性，内容涉及广泛，各单位各部门落实。三是基础性，等级保护是国家的一项基本制度、基本国策。四是强制性，要求公安机关等监管部门进行监督、检查
29、、指导等级保护工作。五是规范性，国家出台系列政策和标准，保障等级保护工作的开展。1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作1.7.2工作角色和职责工作角色和职责l 国家监管部门l 等级保护协调工作小组l 信息系统主管部门l 信息系统运营、使用单位l 信息安全服务机构l 信息安全等级测评机构l 信息安全产品供应商l 信息安全等级保护专家组1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作1.7.3工作环节工作环节l定级l备案l建设整改l等级测评l监督检查1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作1.7.4工作实施过程的基本要求工作实施过程
30、的基本要求 各单位、各部门的重要信息系统要按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求完成等级保护的定级、备案、整改、测评等工作。l 准确定级l 严格审批l 及时备案l 认真整改l 科学测评1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作1.7.5实施等级保护的基本原则实施等级保护的基本原则l 明确责任，共同保护。l 依照标准，自行保护。l 同步建设，动态调整。l 指导监督，重点保护。1.7 1.7 信息系统安全等级保护信息系统安全等级保护工作工作1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题l 信息系统安全测评包括两部分内容，一部分是测，一
31、部分评。l“测”主要将被测系统对照标准进行合规性检查。l“评”主要是根据“测”的结果或证据，进一步分析评价系统目前所处的安全状态。其难点在于怎样将“测”过程中所获得所有证据或结论组合起来，分析其相互关联，去除评价时的主观性和不确定性，得到较为客观准确的结论1.8.1“测测”的理论问题的理论问题1、测评指标体系的建立、测评指标体系的建立l 测评指标是从不同侧面刻画被测信息系统所具有特征。l 指标体系是由若干个相互关联的测评指标所组成的集合，指标之间的相对重要程度由指标权重来描述。l 指标及指标体系的建立是进行预测或评价研究的前提和基础，它将测评对象按照其属性或特征的某一方面标识分解成为具有行为化
32、、可操作化的结构，并对指标体系中每一构成元素（即指标）赋予相应权重的过程。权重是指标对总测评目标的重要度。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题在建立指标体系时一般要遵循以下原则：l 系统性原则：能够全面反映被测评系统的综合情况。l 简单性原则：在能满足测评要求的基础上，应尽量减少指标个数，突出主要指标，避免指标之间相互重叠关联。l 客观性原则：指标的含义尽量明确，尽量避免主观观念的影响。l 可测性原则：指标便于实际测评、度量，可操作性强。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题评估指标体系的确立过程。第一步，要进行信息系统及测评目标的分析。其
33、目的是从整体上对系统的环境、特征、关键点进行把握，确立测评的目标层次结构。第二步，进行系统特征属性分析，确定系统测评指标。对系统各组成要素的特点进行分析，确定与之相适应的指标，指标可以分为定性的、定量的；也可以分为静态的和动态的。第三步，确定测评指标体系结构。根据系统的测评目标及各项构成测评指标，确立指标体系结构。常见的测评指标体系结构如网络型测评指标体系结构，递阶层次型测评指标体系结构。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题第四步，确定测评指标信息来源、权重分析及归一化处理。测评指标结果的信息来源一般有
34、：专家咨询，实地检测，统计分析，主观估计等。权重分析即对测评指标的重要性进行量化处理。归一化是综合评估的前提，是指标间相互比较的基础。第五步，形成初步的测评指标体系：上述四步后可形成初步的测评指标体系。第六步，专家咨询，实践检验。在形成初步的测评指标体系后，广泛咨询专家意见，在实践中进一步的检验、反馈和修改。2、测评指标处理方法、测评指标处理方法l 指标简化：简化后的测评指标仍然要与原始的信息系统测评目标一致，通过简化可进一步突出测评的重点内容，去除不必要和重复工作，在能够保障信息系统测评结论正确和精度的条件下，简化测评内容，提高测评指标的可操作性。l 指标值规范化：不同指标的测评结果数值大小
35、可能差别较大，所以要进行归一化处理，把指标的数值均变换到0,1区间之内l 指标权重赋值：在综合的过程中，设计到各测评指标的相互重要程度问题，即指标权重的问题。为了体现不同测评指标在测评体系中的作用、地位及重要程度，在指标体系确定后，必须对各个指标赋于不同权重。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题3、漏洞分析查找与渗透测试、漏洞分析查找与渗透测试1）漏洞分析和渗透测试2）渗透测试的阶段第一阶段：探查阶段第二阶段：漏洞分析第三阶段：渗透阶段渗透测试范围包括内网测试、外网测试和网监测试。3）渗透测试方法分类主机操作系统渗透、数据库系统渗透、应用系统渗透、网络设备渗透1.8
36、1.8信息系统安全测评的理论信息系统安全测评的理论问题问题1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题4）渗透测试的主要方法l 信息收集l 端口扫描l 权限提升l 溢出测试l SQL注入l Cookie利用l 后门程序检查1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题1.8.2“评评”的理论问题的理论问题1、多属性评估方法、多属性评估方法l 加权：加权法就是对每个指标进行归一化处理，得到指标值，并为不同指标设定权重后，将某个指标的权重与其指标值相乘后得到该指标的评估值，再将所有指标的评估值累加。由于测评指标复杂，各指标之间存在各种关联。指标实际上就是系统某
37、个属性的特征，因此评估结果的计算实际上是一个多属性评估问题。l 层次分析法：层次分析法（AHP）是一种定性和定量结合的多指标评估方法，该方法测评人员对测评指标的主观判断进行量化，是一种运用较广的方法2、概率评估方法、概率评估方法典型的概率评估方法包括故障树、攻击树、贝叶斯网络等。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题l 故障树：使用故障树模型对攻击者的入侵行为进行建模，在描述入侵、标识入侵和正确检测入侵三个部分作分析。故障树模型一般用于定量分析评估主机的安全性，其根节点一般用来描述主机内部故障，能够发现主机系统中可能存在的攻击路径。但是故障树仅适用于对小规模系统的安全
38、分析。1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题l 攻击树：攻击树与故障树类似，也是用树形结构来描述系统所面临的安全威胁和系统可能受到的多种攻击。但是，与故障树不同的是，其根节点代表被攻击的目标，叶节点表示达成攻击目标的方法。攻击树在结构上存在优势，可以用来计算攻击目标可达概率内容。与故障树相同，也不适合大规模系统分析。l 贝叶斯网络贝叶斯网是一种因果关系网，适用于表达和分析系统的不确定性和风险概率，因此，将贝叶斯网络运用在评估中，其优点是适合从不完全、不精确或不确定的测评信息中做出推理。但其缺点是贝叶斯网的构建较为困难，其节点的概率值较难获得。1.81.8信息系统安全测
39、评的理论信息系统安全测评的理论问题问题3、多元统计评估（因子分析、聚类等）、多元统计评估（因子分析、聚类等）多元统计评估是利用统计学方法，将淹没于大规模原始数据中的重要信息提取出来，其思路是将多个相互关系复杂的变量综合为互相独立的少数变量，这种简化方法要求简化后系统不损失关键信息，并能简明扼要地把握系统的本质特征，分析出系统的内在规律。l 因子分析：因子分析是指研究从变量群中提取共性因子的统计技术。因子分析可在许多变量中找出隐藏的具有代表性的因子。将相同本质的变量归入一个因子，可减少变量的数目，还可检验变量间关系的假设1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题l 聚类分析
40、：聚类分析的中心思想是将相似元素归位一类。聚类分析将个体或对象进行分类，使得同一类中的对象之间的相似性比与其他类的对象的相似性更强，目的在于使类间对象的同质性最大化，并使得类与类间对象的异质性最大化。在安全测评中最常使用的是系统聚类法中的距离分析法1.81.8信息系统安全测评的理论信息系统安全测评的理论问题问题4、不确定评估方法、不确定评估方法l模糊评估法l隶属云评估方法l粗糙集方法lD-S证据理论l及灰度方法1.9 1.9 小结小结l 信息安全发展到一定阶段后，逐步认识到仅仅靠防御和保护以及简单的修补漏洞这些手段难以从根本上解决安全问题，信息系统的安全必须从体系结构整体的高度开展研究，构建以
41、风险管理为决策基础，“安全、可靠、可控”的信息安全保障体系。而信息安全保障体系的构建是以风险分析、控制措施和效用测评为基础。l 信息系统安全测评的对象是信息系统，测评的目的是检测目前的信息系统其安全状况是达到一定防护要求l 信息安全技术和信息安全管理是要保证信息系统安全的一体两面。1.9 1.9 小结小结l 目前开展最多的是信息系统安全等级保护测评和信息系统安全分级保护测评。其中分保测评属于涉密系统测评，其测评标准和内容均属于保密范围；等保测评主要针对不涉密的重要信息系统开展l“测”重点在依照标准对被测系统进行合规性检查，包含了很多具体工程性的实践内容；而“评”重点在于根据“测”的结果或证据，进一步分析评价系统目前所处的安全状态。l 信息安全测评是保障信息系统安全的重要一环。信息安全测评是一种合规性检查，根据标准，从信息安全技术和信息安全管理两大方面进行检测、评估信息系统目前的安全状况。风险评估与安全测评是信息系统安全工程生命周期中不同阶段、不同目的的安全评价活动，二者不能等同，但互为补充。
