金融行业三级信息系统物理安全测评指导书

密级：机密

信息安全等级保护测评指导书

物理安全测评指导书

XXX公司

2013.05

保密申明

本安全方案包含了来自XXX可靠、权威的信息，此信息仅供XXX的信息安

全等级保护测评项目使用，接受本指导书即表示同意对其内容保密，并且未经

XXX书面请求和书面认可，不得向外界复制，泄露或散布此方案。如果你不是

有意接受者，请注意对本方案内容的任何形式的泄露、复制或散布都是被禁止

的。

信息系统安全课程实验指导书

学生姓名指导教师所属系部专业班级计算机科学与技术学院信息管理教研室《信息系统安全》课程实验指导书

实验1 信息系统安全性能管理一、实验名称：信息系统安全性能管理二、实验目的：掌握任务管理器、事件查看器的基本操作三、实验课时：2课时四、实验步骤： 1、任务管理器的使用 (1) 关闭应用程序 a. 结束正在执行的任务调出任务管理器的方法有按Ctrl+Alt+Del或Ctrl+Shift+Esc三个组合键。另外在不是紧急调出任务管理器的情况下我们还可以用右键单击任务栏上的空白处，然后单击“任务管理器”，这样同样可以打开任务管理器。 b. 关闭不必要的进程右击“任务栏” →任务管理器→进程，除了以下八个基本进程以外其他能关闭的进程都将其关闭以提升电脑自身的运转速率。 Csrss.exe：这是子系统服务器进程，负责控制Windows创建或删除线程以及16位的虚拟DOS环境。 System Idle Process：这个进程是作为单线程运行在每个处理器上，并在系统不处理其它线程的时候分派处理器的时间。 Smss.exe：这是一个会话管理子系统，负责启动用户会话。 Services.exe：系统服务的管理工具。 Lsass.exe：本地的安全授权服务。 Explorer.exe：资源管理器(这个进程不能结束，若不小心结束了可打开资源管理器，在文件中选择新建任务，把这一项添加即可)。 Spoolsv.exe：管理缓冲区中的打印和传真作业。 Svchost.exe：系统启动的时候，Svchost.exe将检查注册表中的位置来创建需要加载的服务列表，如果多个Svchost.exe同时运行，则表明当前有多组服务处于活动状态；多个DLL文件正在调用它。

信息安全技术信息系统安全等级保护测评要求.doc

信息安全技术信息系统安全等级保护基本要求引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括： ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南； ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求； ——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。信息系统安全等级保护测评要求 1 范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。本标准略去对第五级信息系统进行单元测评的具体内容要求。本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8 信息技术词汇第8部分：安全 GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 3 术语和定义 GB/T 5271.8和GB/T 22239-2008所确立的以及下列术语和定义适用于本标准。

信息安全测评服务简介

信息安全测评和服务 1信息安全风险评估对客户单位所有信息系统进行风险评估，每半年评估一次，评估后出具详细的评估报告。评估范围为所有业务系统及相关的网络安全资产，内容具体包括： (1)漏洞扫描：通过工具对网络系统内的操作系统、数据库和网站程序进行自动化扫描，发现各种可能遭到黑客利用的各种隐患，包括：端口扫描，漏洞扫描，密码破解，攻击测试等。 (2)操作系统核查：核查操作系统补丁安装、进程、端口、服务、用户、策略、权限、审计、内核、恶意程序等内容，对用户当前采取的风险控制措施和管理手段的效果进行评估，在针对性、有效性、集成特性、标准特性、可管理特性、可规划特性等六个方面进行评估。 (3)数据库核查：主要是对数据库管理系统的权限、口令、数据备份与恢复等方面进行核查。 (4)网络及安全设备核查：网络及安全设备核查主要是针对网络及安全设备的访问控制策略进行检查，确定是否开放了网站服务以外的多余服务。 (5)病毒木马检查：通过多种方式对机器内异常进程、端口进行分析，判断是

否是木马或病毒，研究相关行为，并进行查杀。 (6)渗透测试：模拟黑客的各种攻击手段，对评估过程中发现的漏洞安全隐患进行攻击测试，评估其危害程度，主要有：弱口令、本地权限提升、远程溢出、数据库查询等。测评次数不低于两次，在有重大安全漏洞或隐患出现时，及时采取有针对性的渗透测试。 2、信息安全加固针对评估的结果，协助客户单位对应用系统中存在的安全隐患进行安全加固。加固内容包括：操作系统安全加固；基本安全配置检测和优化密码系统安全检测和增强系统后门检测提供访问控制策略和安全工具增强远程维护的安全性文件系统完整性审计增强的系统日志分析系统升级与补丁安装 (1)网络设备安全加固；严格的防控控制措施安全审计合理的vlan划分不必要的IOS服务或潜在的安全问题路由安全抵抗拒绝服务的网络攻击和流量控制广播限制 (2)网络安全设备安全加固；防火墙的部署位置、区域划分 IDS、漏洞扫描系统的部署、VPN网关部署安全设备的安全防护措施配置加固

信息安全测评工具

信息安全等级保护测评工具选用指引一、必须配置测试工具（一）漏洞扫描探测工具。 1.网络安全漏洞扫描系统。 2.数据库安全扫描系统。（二）木马检查工具。 1.专用木马检查工具。 2.进程查看与分析工具。二、选用配置测试工具（一）漏洞扫描探测工具。应用安全漏洞扫描工具。（二）软件代码安全分析类。软件代码安全分析工具。（三）安全攻击仿真工具（四）网络协议分析工具（五）系统性能压力测试工具 1.网络性能压力测试工具 2.应用软件性能压力测试工具（六）网络拓扑生成工具（七）物理安全测试工具 1.接地电阻测试仪 2.电磁屏蔽性能测试仪（八）渗透测试工具集（九）安全配置检查工具集（十）等级保护测评管理工具综合工具：漏洞扫描器：极光、Nessus、SSS等；安全基线检测工具（配置审计等）：能够检查信息系统中的主机操作系统、数据库、网络设备等；渗透测试相关工具：踩点、扫描、入侵涉及到的工具等；主机：sysinspector、Metasploit、木马查杀工具、操作系统信息采集与分析工具(Win,Unix)、日志分析工具、数据取证工具（涉密）；网络：Nipper（网络设备配置分析）、SolarWinds、Omnipeek、laptop（无线检测工具）；应用：AppScan、Webinspect、FotifySCA、Sql injection tools、挂马检测工具、webravor等。

信息安全测评工具五大网络安全评估工具 1.Wireshark Wireshark（原名Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是截取网络封包，并尽可能显示出最为详细的网络封包资料。工作流程（1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。（2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。（3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。（4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。（5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。（6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。（7）重组数据。Wireshark的重组功能，可以重组一个会话中不同数据包的信息，或者是一个重组一个完整的图片或文件。由于传输的文件往往较大，所以信息分布在多个数据包中。为了能够查看到整个图片或文件，这时候就需要使用重组数据的方法来实现。 Wireshark特性： ?支持UNIX和Windows平台 ?在接口实时捕捉包 ?能详细显示包的详细协议信息 ?可以打开/保存捕捉的包 ?可以导入导出其他捕捉程序支持的包数据格式 ?可以通过多种方式过滤包 ?多种方式查找包 ?通过过滤以多种色彩显示包 ?创建多种统计分析 Wireshark不是入侵侦测系统（Intrusion Detection System,IDS）。对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。然而，仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark 不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。Wireshark本身也不会送出封包至网络上。 Wireshark不能提供如下功能： ?Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。 ?Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark

信息系统安全测评工具

信息系统安全测评工具一、测评工具分类一）安全测试工具 1、脆弱性扫描工具脆弱性扫描工具又称安全扫描器或漏洞扫描仪，是目前应用比较广泛的安全测试工具之一，主要用于识别网络、操作系统、数据库、应用的脆弱性，给出修补建议。 1）基于网络的扫描工具：通过网络实现扫描，可以看作是一钟漏洞信息收集工具，根据不同漏洞的特征，构造网络数据包，发给网络中的一个或多个目标，以判断某个特定的漏洞是否存在，能够检测防火墙、IDS等网络层设备的错误配置或者链接到网络中的网络服务器的关键漏洞。常用工具：天镜脆弱性扫描与管理系统、极光远程安全评估系统、榕基网络隐患扫描系统、Nessus和Nmap等。 2）基于主机的扫描工具：通常在目标系统上安装一个代理（Agent）或者是服务（Services）,以便能够访问所有的主机文件与进程，这也使得基于主机的漏洞扫描器能够扫描更多系统层面的漏洞。常用工具：微软基线安全分析器、日志分析工具和木马查杀工具等。 3）数据库安全扫描工具：通过授权或非授权模式，自动、深入地识别数据库系统中存在的多种安全隐患，包括数据库的鉴别、授权、认证、配置等一系列安全问题，也可识别数据库系统中潜在的弱点，并依据内置的知识库对违背和不遵循数据库安全性策略的做法推荐修正措施。常用工具：安信通数据库安全扫描工具、明鉴数据库弱点扫描器等商业产品，还有oscanner、Mysqlweak等专项审核工具。 4）Web应用安全扫描工具：通过构造多种形式的Web访问请求，远程访问目标应用特定端口的服务，记录反馈信息，并与内置的漏洞库进行匹配，判断确认Web应用程序中的安全缺陷，确认Web应用程序遭受恶意攻击的危险。常用工具：AppScan、WebRavor、WebInspect、Acunetix Web Vulnerability Scanner、N-Stealth 等。 2、渗透测试工具渗透测试需要以脆弱性扫描工具扫描的结果为基础信息，结合专用的渗透测试工具开展模拟探测和入侵，判断被非法访问者利用的可能性，从而进一步判断已知的脆弱性是否真正会给系统或网络带来影响。常用工具：流光（Fluxay）、Pangolin、Canvas、SQLMap、SQLIer、SQL Power Injector和SQLNinja等。 3、静态分析工具静态程序分析是指使用自动化或半自动化工具软件对程序源代码进行检查，以分析程序行为的技术，广泛应用于程序的正确性检查、安全缺陷检测、程序优化等。常用工具：FortifySCA、Checkmark CxSuite、IBM Rational AppScan Source Edition、PC-Lint、KlocWork公司的K7，以及其他的开源软件及商业软件。二）测评辅助工具测评辅助工具主要实现对原始数据的采集、现状分析和趋势分析等单项功能，其输出结果可作为了解被测系统某方面特性或现状、进一步开展相关安全测试的输入，也可以直接作为系统安全评估的技术依据。 1、性能测试工具性能测试工具是通过自动化手段模拟多种正常、峰值以及异常负载条件来对系统或网络

教育系统信息网络安全员培训课程

教育系统信息网络安全员培训课程表-1 1.每位学员准备大1寸彩照3张（照片背面用园珠笔签名） 2.每位学员填写一份安全员培训登记表 3.讲课教师见附件

计算机信息网络安全员培训教师简介 1、许瑜：男，市网警支队民警，职称讲师。 2、瞿栋栋：男，深圳市网安计算机安全检测技术有限公司IT运维管理部副总监，多年致力于信息安全行业，先后参与深圳政府、基金、证券、银行等各类行业信息安全咨询、信息安全管理与规划、信息安全服务项目等。具有丰富的安全顾问咨询经验，多年的应急处置经验，对于黑客的攻击手段与各类黑客工具有较深入的研究，熟练掌握主流应用防火墙，防火墙、IDS、漏洞扫描器等安全产品的应用。深圳市计算机安全应急服务中心高级工程师，深圳市计算机网络安全培训中心讲师，广东安证司法鉴定所取证师。国家网络与信息安全信息通报中心深圳地区技术支持人。 3、李丽萍：女，深圳网安检测测评部测评经理，主要负责等保测评、风险评估等相关工作。证书：信息安全等级保护中级测评师、CISP、270001信息安全管理体系认证。曾主持和参与过深圳地铁、市公安局等级保护测评项目、招商银行及各地区分行测评项目、平安集团等保测评项目、多个证券、基金、期货公司测评项目以及医疗、教育行业测评项目。深圳市计算机网络安全培训中心特聘教师。 4、杨凯敏：男，电子数据取证工程师，获得EnCase、Magnet、Cellebrite 取证设备认证工程师及认证讲师，曾受邀到中国公安大学、江苏警官学院等公安院校授课，参加全国“美亚杯”电子数据取证竞赛并获得个人赛名次二等奖，对于介质取证、网络取证、终端安全有着深刻的理解和丰富的实战经验。深圳市计算机网络安全培训中心特聘讲师。

信息安全风险评估方案学习资料

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而

信息系统安全等级保护测评过程指南

信息安全技术信息系统安全等级保护测评过程指南引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括： ——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南； ——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求； ——GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南； ——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。信息安全技术信息系统安全等级保护测评过程指南 1范围

本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。 2规范性引用文件下列文件中的条款通过在本标准中的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。 GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007]43号） 3术语和定义 GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及下列的术语和定义适用于本标准。 3.1

重要信息系统安全测评合同(等保评测)

重要信息系统安全测评同书项目名称：__________________________________________ 委托方（甲方）：____________________________________ 承担方（乙方）：____________________________________ 签订地点：__________________________________________ 签订时间：年月日

重要信息系统安全测评合同书委托方（甲方）：_____________________________________________________ 地址： _________________________________________________________ 电话： ________________________ 传真：_________________________ 受托方（乙方）：_____________________________________________________ 地址: _________________________________________________________ 电话： _______________________ 传真： __________________________ 本合同甲方委托乙方就进行重要信息系统安全测评的专项技术服务,并支付相应的技术服务报酬。双方经过平等协商，在真实、充分地表达各自意愿的基础上，根据《中华人民共和国合同法》的规定，达成如下协议，并由双方共同恪守。第一条责任和义务甲方的责任和义务 1、甲方按本合同约定的服务项目要求，向乙方提供真实、可靠、完整的技术资料、数据和有关证件。自本协议生效后，甲方保证 ___________ 个工作日内按照安全评价的要求提供全部有关资料； 2、甲方提供的所有相关资料如需乙方退还，乙方在验证原件后，甲方需向乙方提供复印件，并加盖公章； 3、甲方提供涉密技术资料、数据、商务资料时应向乙方明示，并加盖“保密”鉴章； 4、为使乙方顺利开展工作，甲方应指定现场接待人员和技术人员，协助乙方进行现场勘察，并为乙方提供现场有关书面资料； 5、甲方应为乙方及相关人员的现场考察提供方便； 6 甲方应指派有关人员按时参加评测有关本的会议。

网络与信息安全技术课程设计指导

潍坊科技学院网络安全技术及应用课程设计指导书 2018年10月9日

.课程设计目的本实践环节是网络安全类专业重要的必修实践课程，主要要求学生掌握网络安全相关的原理和技术以及在网络安全实践中的应用。本课程设计的目的如下。 1)培养学生掌握文献检索、资料查询及运用现代网络技术获取网络安全相关知识和网络的基本方法； 2)使学生在真正理解和掌握网络安全的相关理论知识基础上，动手编写安全程序，通过系统和网络的安全性设计，加密算法、计算机病毒、恶意代码的分析与设计等实践锻炼，解决一些实际网络安全应用问题，同时了解本专业的前沿发展现状和趋势； 3)使学生具备设计和实施网络安全相关实验的能力以及相应的程序设计能力，具备对实验结果进行分析，进而进行安全设计、分析、配置和管理的能力。二.课程设计题目 (一)定题部分任选下列一个项目进行，查阅相关文献、了解相关的系统，要求完成系统需求规约文档、系统分析模型文档、系统设计模型文档、系统测试设计文档、系统编码和测试报告。以下题目任选，但是要达到工作量和代码量的要求，如果不能达到，可以融合几部分的内容。一些功能如果有其他的方法实现，也可以不按照指导书的要求。此外，还可以对常用的安全软件的功能延伸和改进。自由选题不能设计一些不良程序，比如游戏类，不过可以设计监控，限制玩游戏的程序。 1、局域网网络侦听和数据包截取工具文档要求系统分析，包括问题的描述、需求确定、系统要完成的主要功能、解决的实际问题系统设计，包括系统的逻辑模型、模块划分、处理过程等系统实现，按照系统设计的结构分模块实现，要求给出程序的功能说明程序实现要求

信息系统安全等级测评工具

文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持. [文档信息] [版本变更记录] [文档送呈] 目录 1 产品背景及概述 ................................................ 错误!未定义书签。 1.1 产品背景.................................................... 错误!未定义书签。 1.2 产品概述.................................................... 错误!未定义书签。 2 产品目标及策略 ................................................ 错误!未定义书签。 2.1 产品目标.................................................... 错误!未定义书签。 2.2 产品策略.................................................... 错误!未定义书签。 3 产品执行标准.................................................... 错误!未定义书签。 4 产品说明 ........................................................... 错误!未定义书签。 5 结论 .................................................................. 错误!未定义书签。 I文档收集于互联网，如有不妥请联系删除.

信息系统安全评测与风险评估试题及答案.doc

信息系统安全评测与风险评估试题姓名分数一：填空题（36分） 1.信息安全评测实际上蕴含着丰富的思想内涵，严肃的（），严谨的（），严格的（）以及极具魅力的评测技巧，是一个科学和艺术圆满结合的领域。 2.在评测一个信息系统的数据安全时，国家标准要求从数据完整性，数据（）性和数据的（）与恢复三个环节来考虑。 3.资产分类的方法较多，大体归纳为2种，一种是“自然形态”，即按照系统组成成分和服务内容来分类，如分成“数据，软件（），服务（），其他”六大类，还可以按照“信息形态”将资产分为“信息，（）和（）三大类。 4.资产识别包括资产分类和（）两个环节。 5.威胁的识别可以分为重点识别和（） 6．脆弱性识别分为脆弱性发现（）脆弱性验证和（） 7.风险的三个要素是资产（）和（） 8.应急响应计划应包含准则，（）预防和预警机制（）（）和附件6个基本要素。

二：问答题：（64分） 1.什么是安全域？目前中国划分安全域的方法大致有哪些？（10 分） 2.数据安全评测是主要应用哪三种方法进行评测？你如何理解？（10分）

3.国家标准中把主机评测分为哪八个环节？你如何理解？（10 分） 4.什么是资产和资产价值？什么是威胁和威胁识别？什么是脆弱性？（14分）

5.什么是风险评估？如何进行风险计算？（20分）答案一：填空题答案： 1.科学精神工作作风 2.保密性备份 3.硬件人员信息载体和信息环境 4.资产赋值 5.全面识别 6.脆弱性分类脆弱性赋值 7.脆弱性威胁 8.角色及职责应急响应流程二：问答题答案： 1.安全域是将一个大型信息系统中具有某种相似性的子系统聚集在一起。目前，中国划分安全域的方法大致归纳有资产价值相似性安全域，业务应用相似性安全域，安全需求相似性安全域和安全威胁相似性安全域。 2.国家标准中要求信息安全评测工程师使用“访谈”，“检查”和“测

信息系统安全等级测评工具自测版

信息系统安全等级测评工具【自测版】产品规格说明书（PSI ） Product Specification Instructions 公安部第三研究所文档编码 CRBJ-PMD-PSI 项目管理号 1001-GFCSP-Tech

[文档信息] [版本变更记录] [文档送呈]

目录 1 产品背景及概述 (1) 1.1 产品背景 (1) 1.2 产品概述 (3) 2 产品目标及策略 (4) 2.1 产品目标 (4) 2.2 产品策略 (4) 3 产品执行标准 (5) 4 产品说明 (6) 5 结论 (8)

1产品背景及概述 1.1 产品背景随着信息技术的迅猛发展和广泛应用，特别是我国国民经济和社会信息化进程的全面加快，网络与信息系统的基础性、全局性作用日益增强，信息网络已成为国家和社会发展新的重要战略资源。党中央、国务院始终高度重视信息安全问题，多次指示公安部会同有关部委制定有效措施，切实加强管理，提高我国计算机信息系统安全保护水平，以确保社会政治稳定和经济建设的顺利进行。 2003年8月，国家信息化领导小组关于加强信息安全保障工作的意见（中办发[2003]27号）明确指出信息安全保障工作要“实行信息安全等级保护”。信息安全等级保护制度已经成为我国信息安全保护工作的基本国策，实行信息安全等级保护具有重大的现实和战略意义。为了进一步推动等级保护工作的进展，公安部、国家保密局、国家密码管理委员会办公室和国务院信息化工作办公室于2004年联合下发了《关于信息安全等级保护工作的实施意见》，明确指出要在三年内在全国范围内推广等级保护制度。为了规范和指导各地的等级保护工作，公安部、全国信息安全标准化技术委员会委托公安部信息安全等级保护评估中心（以下简称评估中心）制定了一系列等级保护相关标准和文件。目前，国家推荐标准《信息系统安全保护等级定级指南》、《信息系统安全等级保护基本要求》和《信息系统安全等级保护实施指南》已经完成报批稿，《信息系统安全等级保护测评准则》已经完

信息安全等级测评师模拟试题五

中卫科技信息安全等级测评师考试一、判断题（10×1=10分） 1、动态路由是网络管理员手工配置的路由信息，也可由路器自动地建立并且能够根据实际情况的变化适时地进行调整。（×） 2、星型网络拓扑结构中，对中心设备的性能要求比较高。（√） 3、访问控制就是防止未授权用户访问系统资源。（√） 4、考虑到经济成本，在机房安装过录像监控之后，可不再布置报警系统。（×） 5、审计日志的主要功能是可以对安全事件进行追踪和发现入侵行为降低安全事件的发生。（√） 6、在三级信息系统中，每个系统默认账户和口令原则上都是要进行修改的（√） 7、剩余信息保护是三级系统比二级系统新增内容。（√） 8、权限如果分配不合理，有可能会造成安全事件无从查找。（√） 9、三级信息系统中，为了数据的完整性，我们可以采用CRC的校验码措施（×） 10、在进行信息安全测试中，我们一般不需要自己动手进行测试。（√）二、单项选择题（15×2.5=30分） 1、测评单位开展工作的政策依据是（ C ） A.公通字[2004] 66号 B.公信安[2008] 736 C.公信安[2010] 303号 D发改高技[2008]2071 2、当信息系统受到，破坏后我们首先要确定是否侵害客体。( B ) A.公民、法人其他组织的合法权益 B.国家安全 C.社会秩序、公共利益 3、cisco的配置通过什么协议备份( A ) A.ftp B.tftp C.telnet D.ssh

4、哪项不是开展主机工具测试所必须了解的信息( D ) A.操作系统 B.应用 C.ip D.物理位置 5、三级系统主机安全的访问控制有（ B ）个检查项。 A、6 B、7 C、8 D、9 6、某公司现有260台计算机，把子网掩码设计成多少最合适（ A ） A.255.255.254.0 B.255.255.168.0 C. 255.255.0.0 D.255.255.255.0 7、数据传输过程中不被篡改和修改的特性，是属性。（ B ） A.保密性 B.完整性 C.可靠性 D.可用性 8、向有限的空间输入超长的字符串是哪一种攻击手段？ ( A ) A、缓冲区溢出 B、网络监听 C、拒绝服务 D、IP欺骗 9、关于备份冗余以下说法错误的是（ D ） A.三级信息系统应在异地建立备份站点 B.信息系统线路要有冗余 C.数据库服务器应冗余配置 D.应用软件应进行备份安装 10、下列不属于应用层的协议是（ C ） A.FTP B.TELNET C.SSL D.POP3 三、多项选择题（10×2=20分） 1、常见的数据备份有哪些形式（ ABC ） A、完全备份 B、差异备份 C、增量备份 D、日志备份 2、下列属于双因子认证的是（ AD ） A.口令和虹膜扫描 B.令牌和门卡 C.两次输入密码 D. 门卡和笔记（迹）

信息系统安全评测与风险评估试题及答案

信息系统安全评测与风险评估试题及答案公司内部编号：（GOOD-TMMT-MMUT-UUPTY-UUYY-DTTI-

4.什么是资产和资产价值什么是威胁和威胁识别什么是脆弱性（14分） 5.什么是风险评估如何进行风险计算（20分）答案一：填空题答案： 1.科学精神工作作风 2.保密性备份 3.硬件人员信息载体和信息环境 4.资产赋值 5.全面识别 6.脆弱性分类脆弱性赋值 7.脆弱性威胁 8.角色及职责应急响应流程二：问答题答案： 1.安全域是将一个大型信息系统中具有某种相似性的子系统聚集在一起。目前，中国划分安全域的方法大致归纳有资产价值相似性安全域，业务应用相似性安全域，安全需求相似性安全域和安全威胁相似性安全域。 2.国家标准中要求信息安全评测工程师使用“访谈”，“检查”和“测试”这三种方法进行评测。访谈：指评测人员通过与信息系统有关人员进行交流，讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。检查：指评测人员通过对测评对象进行观察，检查和分析等活动，获取证据证明信息系统安全等级保护措施是否有效的一种方法。

信息系统安全等级保护测评报告

报告编号：（-16-1303-01）信息系统安全等级测评报告

说明：一、每个备案信息系统单独出具测评报告。二、测评报告编号为四组数据。各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公 +安机关颁发的信息系统备案证明（或备案回执）上获得。第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。第二组为年份，由2位数字组成。例如09代表2009年。第三组为测评机构代码，由四位数字组成。前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。90为国防科工局，91为电监会，92为教育部。后两位为公安机关或行业主管部门推荐的测评机构顺序号。第四组为本年度信息系统测评次数，由两位构成。例如02表示该信息系统本年度测评2次。

信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。

声明本报告是票务系统的安全等级测评报告。本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。

软件安全风险评估

1概述 1.1安全评估目的随着信息化的发展，政府部门、金融机构、企事业单位等对信息系统依赖程度的日益增强，信息安全问题受到普遍关注。对信息系统软件进行安全测评，综合分析系统测试过程中有关现场核查、技术测试以及安全管理体系评估的结果，对其软件系统安全要求符合性和安全保障能力作出综合评价，提出相关改进建议，并在系统整改后进行复测确认。以确保信息系统的安全保护措施符合相应安全等级的基本安全要求。根据最新的统计结果，超过70%的安全漏洞出现在应用层而不是网络层。而且不只发生在操作系统或者web浏览器，而发生在各种应用程序中-特别是关键的业务系统中。因此，有必要针对xxx系统应用软件进行安全风险评估，根据评估结果，预先采取防范措施，预防或缓解各种可能出现的信息数据安全风险。 1.2安全评估要求 XXXXXXXX 2软件安全评估具体需求 2.1安全评估指导原则软件安全风险评估作为一项目标明确的项目，应分为以下五个阶段，每个阶段有不同的任务需要完成。 1、启动和范围确定：在安全相关软件的合同或任务书中应提出软件安全性分析的范围和要求。实施方明确责任，管理者检查必备的资源（包括人员、技术、基础设施和时间安排），确保软件安全性分析的开展； 2、策划：软件安全性分析管理者应制定安全性分析计划，该计划可作为所属软件过程或活动的计划的一部分。

3、执行和控制：管理者应监控由软件安全性分析计划规定的任务的执行。管理者应控制安全性分析进展并对发现的问题进行调查、分析和解决（解决方案有可能导致计划变更）。 4、评审和评价：管理者应对安全性分析及其输出的软件产品进行评价，以便使软件安全性分析达到目标，完成计划。 5、结束：管理者应根据合同或任务书中的准则，确定各项软件安全性分析任务是否完成，并核查软件安全性分析中产生的产品和记录是否完整。 2.2安全评估主要任务根据安全评估指导原则，为尽量发现系统的安全漏洞，提高系统的安全标准，在具体的软件安全评估过程中，应该包含但不限于以下七项任务： 2.2.1软件需求安全性分析需要对分配给软件的系统级安全性需求进行分析，规定软件的安全性需求，保证规定必要的软件安全功能和软件安全完整性。评测人员需要根据软件安全性分析准备的结果和系统的初步结构设计文档，包括系统分配的软件需求、接口需求，完成对系统安全性需求的映射，以安全相关性分析和对软件需求的安全性评价。通过需求安全性分析，才能够对软件在系统中的安全性需求作出一个综合性的评价，更好地提交对后续的软件设计和测试的建议。 2.2.2软件结构设计安全性分析需要评价软件结构设计的安全性，以保证软件安全功能的完整性。从安全角度讲，软件结构设计是制定软件基本安全性策略的阶段，因为这一阶段负责定义主要软件部件，以及它们如何交互，如何获得所要求的属性，特别是安全完整性，是软件安全性需求在结构定义中实现的阶段。对结构设计进行安全性分析需要将全部软件安全性需求综合到软件的体系结构设计中，确定结构中与安全性相关的部分，并评价结构设计的安全性。

信息安全等级测评师(初级技术)简答题复习课程

1、《基本要求》，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些？答：三级比二级增加的要求项有：应提供对重要信息资源设置敏感标记的功能；应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。 2、在主机测试前期调研活动中，收集信息的内容（至少写出六项）？在选择主机测评对象时应该注意哪些要点？答：至少需要收集服务器主机的设备名称、型号、所属网络区域、操作系统版本、IP地址、安装的应用软件名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门。测评对象选择时应该注意重要性、代表性、完整性、安全性、共享性五大原则。 3、《基本要求》中，对于三级信息系统，网络安全层面应采取哪些安全技术措施？画出图并进行描述（不考虑安全加固）。答：网络层面需要考虑结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码防范、网络设备防护、数据备份与恢复。

4、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计内容是什么？答：1、巨型、大型、中型、小型、微型计算机及单片机。 2、Windows，Linux,Sun Solaris,IBM AIX,HP-UX等等。 3、结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护。 4、a、应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。 b、审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。 c、应能够根据记录数据进行分析，并生成审计报表。 d、应对审计记录进行保护、避免受到未预期的删除、修改或覆盖等。 5、数据库常见威胁有哪些？针对于工具测试需要注意哪些内容？答：（1）非授权访问、特权提升、SQL注入、针对漏洞进行攻击、绕过访问控制进行非授权访问等。（2）工具测试接入测试设备前，首先要有被测系统人员确定测试条件是否具备。测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段等等。接入系统的设备、工具的IP地址等配置要经过被测系统相关人员确认。对于测试过程中可能造成的对目标系统的网络流量及主机性能等等方面的影响（例如口令探测可能会造成的账号锁定等情况），要事先告知被测系统相关人员。对于测试过程中的关键步骤、重要证据，要及时利用抓图等取证工具进行取证。对于测试过程中出现的异常情况（服务器出现故障、网络中断等等）要及时记录。测试结束后，需要被测方人员确认被测系统状态正常并签字后离场。 6、回答工具测试接入点的原则，及注意事项？答：工具测试接入点的原则：首要原则是不影响目标系统正常运行的前提下严格按照方案选定范围进行测试。 1）由低级别系统向高级别系统探测； 2）同一系统同等重要程度功能区域之间要相互探测； 3）有较低重要程度区域向较高重要程度区域探测； 4）由外链接口向系统内部探测； 5）跨网络隔离设备（包括网络设备和安全设备）要分段探测。注意事项: 1)工具测试介入测试设备之前，首先要有被测系统人员确定测试条件是否具备。测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段，等等。 2)接入系统的设备、工具的ip地址等配置要经过被测系统相关人员确认。 3)对于测试过程中可能造成的对目标系统的网络流量及主机性能方面的影响（例如口令探测可能会造成的账号锁定等情况），要事先告知被测系统相关人员。