網(wǎng)絡(luò)安全等級保護(hù)測評要求(等保測評的流程)

等級保護(hù)測評主要測什么

安全技術(shù)測評：安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心。

安全管理測評：安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。

網(wǎng)絡(luò)安全等級保護(hù)測評要求，等級保護(hù)測評有哪些技術(shù)類型？

等?；疽蟮娜N技術(shù)類型（S/A/G）

S：保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理過程中不被泄漏、破壞和免受未授權(quán)修改的信息安全類要求；物理訪問控制、邊界完整性檢查、身份鑒別、通信完整性、保密性等；

A：保護(hù)系統(tǒng)連續(xù)正常的運(yùn)行，免受對系統(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用的服務(wù)保證類要求；電力供應(yīng)、資源控制、軟件容錯(cuò)等

G：通用安全保護(hù)類要求。技術(shù)類中的安全審計(jì)、管理制度等

等保測評的流程

等級保護(hù)2.0的工作流程包括定級、備案、建設(shè)整改、等級測評。

1.測評準(zhǔn)備階段：合同保密協(xié)議簽署，定級報(bào)告，備案表，測評方案，檢測表準(zhǔn)備。

系統(tǒng)備案（填備案表，如下兩份）

向市級公安機(jī)關(guān)主管部門提交材料:《信息系統(tǒng)安全等級保護(hù)定級報(bào)告》,《信息系統(tǒng)安全等級保護(hù)備案表》

2、調(diào)研與方案編制：業(yè)務(wù)調(diào)研、資產(chǎn)調(diào)研與確認(rèn)、掃描方案編制測評機(jī)構(gòu)成立項(xiàng)目組后，工作人員到被檢測的單位進(jìn)行調(diào)研，了解被測評系統(tǒng)，并整理出相關(guān)的材料，達(dá)成共識(shí)后以便開展接下來的測評工作。

3、現(xiàn)場測評：測評工具準(zhǔn)備、現(xiàn)場測評準(zhǔn)備、脆弱性檢測、安全技術(shù)測評、安全管理測評進(jìn)入檢測階段后，測評機(jī)構(gòu)項(xiàng)目組成員根據(jù)之前整理好的材料完成測評工作。

測評方法：1.訪談，查看（了解環(huán)境）2.配置核查（看標(biāo)準(zhǔn)配置文件是否配置正確）3.安全測試：漏洞檢測（針對web），滲透測試（以繞開被測評項(xiàng)目為目的，從而獲取信息文件，進(jìn)行測評被測評項(xiàng)目的安全性）4.測評工具：等保工具箱，應(yīng)用掃描器，主機(jī)掃描，協(xié)議分析，嗅探，木馬，日志分析。

判定依據(jù)：（等保2.0）測評采用通用安全要求+擴(kuò)展安全要求形式，兩部分均通過才允許測評通過。

了解高危風(fēng)險(xiǎn)的高危漏洞有哪些：勒索病毒入侵，文件上傳漏洞，SQL注入，XSS跨站腳本，Struts2遠(yuǎn)程命令執(zhí)行漏洞，Java反程序化遠(yuǎn)程命令執(zhí)行漏洞，弱口令等。

4、測評報(bào)告：綜合分析與結(jié)論、測評報(bào)告編制測評結(jié)束后，測評機(jī)構(gòu)會(huì)根據(jù)測評的實(shí)際情況生成等級測評報(bào)告和安全建議報(bào)告

整改建設(shè)（優(yōu)化建議）

網(wǎng)絡(luò)安全：構(gòu)架，訪問控制缺陷，網(wǎng)絡(luò)層防護(hù)嚴(yán)重不足

應(yīng)用安全：網(wǎng)絡(luò)安全功能嚴(yán)重缺失，代碼層未考慮安全機(jī)制（可能存在注入漏洞）

數(shù)據(jù)安全：無數(shù)據(jù)備份，核心設(shè)備，鏈路缺少冗余（壞一個(gè)地方，全網(wǎng)癱瘓）

安全整改:（需要用戶配合事項(xiàng)）

應(yīng)用安全：設(shè)備采購，程序二次開發(fā)，配置變更

安全管理：制度更新，流程規(guī)范化

主機(jī)安全：策略變更，備份恢復(fù)

網(wǎng)絡(luò)安全：設(shè)備采購，策略變更，區(qū)域劃分

注：低成本整改項(xiàng)優(yōu)先整改，高危風(fēng)險(xiǎn)必須整改（要得到用戶授權(quán)），中低危酌情整改（會(huì)影響系統(tǒng)得分）