网络安全测评

一、网络安全测评技术与工具

4-1 漏洞扫描

4-2 安全渗透测试

1. 黑盒模型（只需要提供测试目标地址，授权团队从测试点进行测试）
2. 白盒模型（提供尽可能详细的目标对象信息，制定方案，进行高级别渗透）
3. 灰盒模型（提供部分测试对象信息，根据获取的信息，模拟不同级别的威胁者进行渗透，适用于手机银行和代码安全测试）

4-3 代码安全审查

• 代码安全缺陷：缓冲区溢出、代码注入、跨站脚本、输入验证、API误用、密码管理、配置错误、危险函数
• 规范：CERT C/C++/Java 安全编码标准、ISO/IEC TR 24772、CWE、OWASP TOP 10

4-4 协议分析（考点：※※※※※※）

TCPDump 过滤器关键字：

1. 类型关键字（host、net、port）
2. 传输方向关键字（src、dst、dst or src、dst and src）
3. 协议关键字（FDDI、IP、ARP、RARP、TCP、UDP）
4. 与、或、非

4-5 性能测试

1. 性能监测工具（任务管理器、ping、traceroute、UnixBench）
2. Apache JMeter
3. LoadRunner
4. SmartBits

二、网络安全测评类型

2-1 基于测评目标分类

1. 网络信息系统安全等级测评（依据网络安全等级保护2.0标准，对非涉及国家秘密的网络信息系统的等级保护状况进行检测评估）
2. 网络信息系统安全验收测评（根据验收目标和验收范围，结合实现目标和考核指标，进行安全测试和评估）
3. 网络信息系统安全风险测评（技术+管理，内容：系统调查、资产分析、威胁分析、技术及管理脆弱性分析、安全功能测试、风险分析，出具风险评估报告，提出安全建议）

2-2 基于测评内容分类

• 技术安全测评：物理环境、网络通信、操作系统、数据库系统、应用系统、存储系统
• 管理安全测评：管理机构、管理制度、管理流程、人员管理、系统建设、系统运维

2-3 基于实施方式分类

1. 安全功能检测（访谈调研、现场查看、文档审查、社会工程、漏洞扫描、渗透测试、形式化分析）
2. 安全管理检测（访谈调研、现场查看、文档审查、安全基线对比、社会工程）
3. 代码安全审查（静态安全扫描、审查）
4. 安全渗透测试（验证主机安全漏洞、敏感信息泄露、SQL注入漏洞、跨站脚本漏洞、弱口令漏洞）
5. 信息系统攻击测试（指标：防御攻击的种类与能力）

2-4 基于测评对象保密性分类

1. 涉密信息系统测评
2. 非涉密信息系统测评