信息安全等级评测师课堂笔记
信息安全工程师教程学习笔记(二)
信息安全工程师教程学习笔记（二）全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。
官方教材《信息安全工程师教程》及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记，供大家参考学习。
网络钓鱼网络钓鱼（Phishing，与钓鱼的英语fishing发音相近，又名钓鱼法或钓鱼式攻击）是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号ID、ATM PIN码或信用卡详细信息）的一种攻击方式。
最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。
它是“社会工程攻击”的一种形式。
网络钓鱼是一种在线身份盗窃方式。
定义网络钓鱼（Phishing）攻击者利用欺骗性的电子邮件和伪造的Web站点来进行网络诈骗活动，受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。
诈骗者通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。
危害中国互联网络信息中心联合国家互联网应急中心发布的《2009年中国网民网络信息安全状况调查报告》显示，2009年有超过九成网民遇到过网络钓鱼，在遭遇过网络钓鱼事件的网民中，4500万网民蒙受了经济损失，占网民总数11.9%。
网络钓鱼给网民造成的损失已达76亿元。
案例早期的案例主要在美国发生，但随着亚洲地区的因特网服务日渐普遍，有关攻击亦开始在亚洲各地出现。
从外观看，与真正的银行网站无异，但却在用户以为是真正的银行网站而使用网络银行等服务时将用户的账号及密码窃取，从而使用户蒙受损失。
防止在这类网站受害的最好办法就是记住正宗网站的网址，并当链接到一个银行网站时，对网址进行仔细对比。
在2003年，于香港亦有多宗案例，指有网站假冒并尚未开设网上银行服务的银行，利用虚假的网站引诱客户在网上进行转帐，但其实把资金转往网站开设者的户口内。
信息安全工程师重点笔记
信息安全工程师重点笔记好吧，今天咱们聊聊信息安全工程师的事儿。
听着是不是感觉有点高大上？“信息安全”，那不是让人一听就想起什么黑客大战、密码破解之类的东西吗？其实吧，这个职业并不像它的名字那样神秘或者复杂，反而是咱们日常生活中无时无刻不在发生的事儿。
你在网上买个衣服，支付的时候是不是心里有点小担心，万一账号被盗怎么办？你用手机刷个朋友圈，突然弹出个“系统升级”的提示，你会不会心里嘀咕一下，敢不敢按下去？没错，这些看似琐碎的小事，背后其实都有信息安全工程师在默默守护。
想象一下，如果没有他们，咱们的一切网络行为就像没有防护的“纸船”在海上漂，一不小心就会被大浪吞没。
信息安全工程师，这个职位听着复杂，但其实他们的工作就两个字：“防御”。
没错，就是防！大家想象一下，咱们生活的这个“网络世界”就像是一个五花八门的“游乐园”，里面有游乐设施、餐饮区、商店，甚至还有各种神秘的“怪物”和“不速之客”。
信息安全工程师就像是园区的“守门员”，但这个守门员可不是什么普通的保安。
他们不仅要帮你保卫个人隐私、信息安全，还得时刻关注那些想潜入园区捣乱的“黑客”。
一旦发现问题，立马出手，第一时间封堵。
听着是不是很酷？其实这些“看得见”的部分，都是工程师日复一日琢磨出来的“技术活”。
但真正令人佩服的是，很多时候他们的工作是“看不见”的。
你在网上购买东西，顺利完成支付，享受着购物的乐趣，但你知道吗？你的银行卡信息早就被加密过，连最强大的黑客也不容易从数据中抓取到一丁点儿有用的东西。
要做到这一点，可不是谁都能轻松搞定的。
再说说那些高大上的“漏洞修复”。
大家听到漏洞这个词，脑袋里可能会浮现出一种“破洞”的感觉。
其实这个漏洞，就是网络世界里存在的一些“缝隙”。
这些缝隙可能是系统设计的瑕疵，也可能是程序员疏忽大意的结果。
黑客就像是那些专门找缝隙下手的小偷。
你以为所有的门窗都锁好了，结果人家就从你没注意到的小窗户悄悄溜进来了。
这个时候，信息安全工程师的任务就来了，他们得把这些漏洞一一修补，防止那些“窃贼”再次找上门。
信息安全工程师教程学习笔记
信息安全工程师教程学习笔记（一）全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。
官方教材《信息安全工程师教程》及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记，供大家参考学习。
网站安全威胁网站安全问题原因何在？总结种种形式，目前网站安全存在以下威胁：服务器系统漏洞利用系统漏洞是网站遭受攻击的最常见攻击方式。
网站是基于计算机网络的，而计算机运行又是少不了操作系统的。
操作系统的漏洞会直接影响到网站的安全，一个小小的系统漏洞可能就是让系统瘫痪，比如常见的有缓冲区溢出漏洞、iis漏洞、以及第三方软件漏洞等。
注意：虚拟机用户注意了，请选择稳定、安全的空间，这个尤为重要！网站程序设计缺陷网站设计，往往只考虑业务功能和正常情况下的稳定，考虑满足用户应用，如何实现业务需求。
很少考虑网站应用开发过程中所存在的漏洞，这些漏洞在不关注安全代码设计的人员眼里几乎不可见，大多数网站设计开发者、网站维护人员对网站攻防技术的了解甚少；在正常使用过程中，即便存在安全漏洞，正常的使用者并不会察觉。
网站源程序代码的安全也对整个网站的安全起到举足轻重的作用。
若代码漏洞危害严重，攻击者通过相应的攻击很容易拿到系统的最高权限，那时整个网站也在其掌握之中，因此代码的安全性至关重要。
目前由于代码编写的不严谨而引发的漏洞很多，最为流行攻击方法示意图如下：（1）注入漏洞攻击（2）上传漏洞攻击（3）CGI漏洞攻击（4）XSS攻击（5）构造入侵（6）社会工程学（7）管理疏忽安全意识薄弱很多人都认为，部署防火墙、IDS、IPS、防毒墙等基于网络的安全产品后，通过SSL加密网络、服务器、网站都是安全的。
实事上并不是如此，基于应用层的攻击如SQL注入、跨站脚本、构造入侵这种特征不唯一的网站攻击，就是通过80端口进行的，并且攻击者是通过正常GET、POST等正常方式提交，来达到攻击的效果，基于特征匹配技术防御攻击，不能精确阻断攻击，防火墙是无法拦截的。
信息安全工程师教程学习笔记(二)(1)
信息安全工程师教程学习笔记（二）全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。
官方教材《信息安全工程师教程》及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记，供大家参考学习。
漏洞攻击国内外黑客组织或者个人为牟取利益窃取和篡改网络信息，已成为不争的事实，在不断给单位和个人造成经济损失的同时，我们也应该注意到这些威胁大多是基于Web网站发起的攻击，在给我们造成不可挽回的损失前，我们有必要给大家介绍几种常见的网站漏洞，以及这些漏洞的防范方法，目的是帮助广大网站管理者理清安全防范思绪，找到当前的防范重点，最大程度地避免或减少威胁带来的损失。
1.SQL语句漏洞也就是SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。
有效防范手段：对于SQL注入问题的一般处理方法是账户最小权限原则。
以下几种方法推荐使用：对用户输入信息进行必要检查；对一些特殊字符进行转换或者过滤；使用强数据类型；限制用户输入的长度；需要注意：这些检查要放在server运行，client提交的任何东西都是不可信的。
使用存储过程，如果一定要使用SQL语句，那么请用标准的方式组建SQL 语句。
比如可以利用parameters对象，避免用字符串直接拼SQL命令。
当SQL 运行出错时，不要把数据库返回的错误信息全部显示给用户，错误信息经常会透露一些数据库设计的细节。
2.网站挂马挂马就是在别人电脑里面(或是网站服务器)里植入木马程序，以盗取一些信息或者控制被挂马的电脑做一些不法的勾当（如攻击网站，传播病毒，删除资料等）。
网页挂马就是在网页的源代码中加入一些代码，利用漏洞实现自动下载木马到机器里。
最新CISP课堂笔记-1
CISP课堂笔记信息安全测评体系介绍●测试／检验：按照规定的程序，为确定给定的产品、材料、设备、生物组织、物理现象、工艺或服务的一种或多种特性的技术操作●评估：对测试／检验产生的数据进行分析、形成结论的技术活动●认证：是指第三方依据程序对产品、过程或服务符合规定的要求给予书面保证（证书），用于评价产品质量和企业质量管理水平●信息系统评估通用准则（CC for Information）国际标准ISO/IEC 15408GB idt 18336●TCSEC升级FC，1992年12月公布引入了“保护轮廓PP”这一重要概●FC引入了PP（用户需求），CEM通用测评方法、TOE评估对象、ST安全目标●1993年开始，1996年出现V1.0，1998年出现V2.0，1999年5月，成为ISO 15408●CC主要思想和框架取自FC和ITSEC●1998年10月，国家质量技术监督局授权成立“中国国家信息安全测评中心”●2001年5月，中编办根据党中央、国务院有关领导的指示精神，正式行文（中编办[2001]51号），批准成立“中国信息安全产品测评认证中心”，英文简称为CNITSEC。
●信息安全测评认证两种方法：“质量过程核查”“评估活动评价”●信息安全测评认证三种阶段：准备阶段、评估阶段、认证阶段。
●国际：ISO(国际标准化组织) SC27 WG1:信息安全有关的需求、服务和指南WG2:信息安全技术和机制；WG3:信息安全评估标准；●各国信息安全测评认证体系负责机构美国国家信息保证联盟（NIAP）负责管理和运行美国的信息安全测评认证体系 英国通信电子安全局（CESG）负责管理和运行英国的信息安全测评认证体系澳大利亚国防情报总局（DSD）负责管理和运行澳大利亚的信息安全测评认证体系 加拿大通信安全机构（CSE）负责管理和运行加拿大的信息安全测评认证体系德国信息安全局（GISA）负责管理和运行德国的信息安全测评认证体系法国信息系统安全局（SCSSI）负责管理和运行法国的信息安全测评认证体系●信息安全测评认证的范围：信息技术产品安全性测评认证网络信息系统安全性测评认证信息安全服务单位资质测评认证信息安全服务人员资质测评认证信息安全工程测评认证●信息安全认证业务的范围：信息安全技术的产品（TOE）信息系统的认证信息安全服务提供商资质的认证信息安全专业人员资质认证●CC的结构：第一部分简介和一般介绍第二部分安全功能需求第三部分安全保障需求●评估项目按3人/日:EAL3级（含）以上分级评估将进行现场核查。
信息安全工程师教程学习笔记
信息安全工程师教程学习笔记在当今数字化的时代，信息安全已经成为了至关重要的领域。
无论是个人隐私、企业机密还是国家安全，都依赖于有效的信息安全防护。
为了提升自己在这一领域的知识和技能，我深入学习了信息安全工程师教程，以下是我的学习笔记。
一、信息安全基础信息安全的概念首先需要清晰明确。
它不仅仅是防止信息被未经授权的访问、篡改或泄露，还包括确保信息的可用性、完整性和保密性。
可用性意味着信息在需要时能够被合法用户及时获取和使用；完整性保证信息在存储、传输和处理过程中不被意外或恶意地修改；保密性则确保只有授权的人员能够访问敏感信息。
密码学是信息安全的核心基础之一。
对称加密算法如 AES，加密和解密使用相同的密钥，效率高但密钥管理复杂；非对称加密算法如RSA，使用公钥和私钥，安全性更高但计算开销大。
哈希函数用于验证数据的完整性，常见的有 MD5 和 SHA 系列。
数字签名基于非对称加密，用于验证消息的来源和完整性。
二、网络安全网络攻击手段多种多样，常见的有 DDoS 攻击、SQL 注入、跨站脚本攻击（XSS）等。
DDoS 攻击通过大量的请求使目标服务器瘫痪；SQL 注入利用网站数据库漏洞获取敏感信息；XSS 则通过在网页中嵌入恶意脚本窃取用户数据。
防火墙是网络安全的第一道防线，它可以基于包过滤、状态检测等技术控制网络流量。
入侵检测系统（IDS）和入侵防御系统（IPS）能够实时监测和阻止入侵行为。
VPN 技术通过加密隧道保障远程访问的安全。
三、操作系统安全操作系统的安全配置至关重要。
用户账号和权限管理要严格，避免权限过高导致的安全风险。
定期更新系统补丁，修复已知的安全漏洞。
关闭不必要的服务和端口，减少攻击面。
Windows 和 Linux 是常见的操作系统，它们在安全机制上有各自的特点。
Windows 的用户账户控制（UAC）可以防止未经授权的更改，而 Linux 的 SELinux 提供了更细粒度的访问控制。
信息安全工程师教程学习笔记(八)
信息安全工程师教程学习笔记（八）全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。
官方教材《信息安全工程师教程》及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记之Internet协议，供大家参考学习。
Internet协议（Internet Protocol）。
Internet协议是一个协议簇的总称，其本身并不是任何协议。
一般有文件传输协议、电子邮件协议、超文本传输协议、通信协议等。
产生原因IP协议是用于将多个包交换网络连接起来的，它在源地址和目的地址之前传送一种称之为数据包的东西，它还提供对数据大小的重新组装功能，以适应不同网络对包大小的要求。
范围IP的责任就是把数据从源传送到目的地。
它不负责保证传送可靠性，流控制，包顺序和其它对于主机到主机协议来说很普通的服务。
接口这个协议由主机到主机协议调用，而此协议负责调用本地网络协议将数据报传送以下一个网关或目的主机。
例如TCP可以调用IP协议，在调用时传送目的地址和源地址作为参数，IP形成数据报并调用本地网络（协议）接口传送数据报。
操作IP实现两个基本功能：寻址和分段。
IP可以根据数据报报头中包括的目的地址将数据报传送到目的地址，在此过程中IP负责选择传送的道路，这种选择道路称为路由功能。
如果有些网络内只能传送小数据报，IP可以将数据报重新组装并在报头域内注明。
IP模块中包括这些基本功能，这些模块存在于网络中的每台主机和网关上，而且这些模块（特别在网关上）有路由选择和其它服务功能。
对IP来说，数据报之间没有什么联系，对IP不好说什么连接或逻辑链路。
IP使用四个关键技术提供服务：服务类型，生存时间，选项和报头校验码。
服务类型指希望得到的服务质量。
服务类型是一个参数集，这些参数是Internet 能够提供服务的代表。
这种服务类型由网关使用，用于在特定的网络，或是用于下下一个要经过的网络，或是下一个要对这个数据报进行路由的网关上选择实际的传送参数。
信息安全工程师教程学习笔记(九).doc
信息安全工程师教程学习笔记(九)信息安全工程师教程学习笔记（九）全国计算机技术与软件专业技术资格（水平）考试，这门新开的信息安全工程师分属该考试“信息系统”专业，位处中级资格。
官方教材信息安全工程师教程及考试大纲于7月1日出版，希赛小编整理了信息安全工程师教程学习笔记之计算机网络体系结构，供大家参考学习。
计算机的网络结构可以从网络体系结构，网络组织和网络配置三个方面来描述，网络组织是从网络的物理结构和网络的实现两方面来描述计算机网络，网络配置是从网络应用方面来描述计算机网络的布局，硬件、软件和通信线路来描述计算机网络，网络体系结构是从功能上来描述计算机网络结构。
网络协议是计算机网络必不可少的，一个完整的计算机网络需要有一套复杂的协议集合，组织复杂的计算机网络协议的最好方式就是层次模型。
而将计算机网络层次模型和各层协议的集合定义为计算机网络体系结构（Network Architecture）。
计算机网络由多个互连的结点组成，结点之间要不断地交换数据和控制信息，要做到有条不紊地交换数据，每个结点就必须遵守一整套合理而严谨的结构化管理体系·计算机网络就是按照高度结构化设计方法采用功能分层原理来实现的，即计算机网络体系结构的内容。
通常所说的计算机网络体系结构，即在世界范围内统一协议，制定软件标准和硬件标准，并将计算机网络及其部件所应完成的功能精确定义，从而使不同的计算机能够在相同功能中进行信息对接。
组成结构一、计算机系统和终端计算机系统和终端提供网络服务界面。
地域集中的多个独立终端可通过一个终端控制器连入网络。
二、通信处理机通信处理机也叫通信控制器或前端处理机，是计算机网络中完成通信控制的专用计算机，通常由小型机、微机或带有CPU的专用设备充当。
在广域网中，采用专门的计算机充当通信处理机在局域网中，由于通信控制功能比较简单，所以没有专门的通信处理机，而是在计算机中插入一个网络适配器（网卡）来控制通信。
软考信息安全工程师培训笔记 1(1.1 信息安全概念)
软考信息安全工程师培训笔记一（1.1 信息安全概念）第1章：信息安全基础1.1 信息安全概念一.大纲要求1.1 了解网络空间的概念、网络空间安全学科的内涵、网络空间安全学科的主要研究方向与研究内容二.思维导图三.备考知识要点1.网络空间（Cyberspace）是信息环境中的一个全球域，由独立且互相依存的IT基础设施和网络组成，包括互联网，电信网，计算机系统，以及嵌入式处理器和控制器。
2.网络空间安全学科内涵：网络空间安全学科是研究信息获取，信息存储，信息传输和信息处理领域中信息安全保障问题的一门新兴学科。
2015年6月，国务院学位委员会和教育部正式增设网络空间安全一级学科。
3.信息安全的属性主要包含：信息的保密性：信息不被未授权者知晓的属性。
信息的完整性：信息是正确的，真实的，未被篡改的，完整无缺的属性。
信息的可用性：信息可以随时正常使用的属性。
4.信息系统安全可以划分为以下四个层次：设备安全，数据安全，内容安全，行为安全。
其中数据安全即是传统的信息安全。
设备安全：稳定性，可靠性，可用性。
数据安全：秘密性，完整性，可用性。
(静态安全)数据的秘密性：数据不被未授权者知晓的属性数据的完整性：数据是正确的、真实的、未被篡改的、完整无缺的属性数据的可用性：数据是随时可正常使用的属性内容安全：政治上健康，符合国家法律法规，符合中华民族优良道德规范；广义上还包括信息内容保密，知识产权保护，信息隐藏和隐私保护等诸多方面。
行为安全：秘密性，完整性，可控性。
(动态安全)信息系统的设备安全是信息系统安全的首要问题，是信息系统安全的物质基础，除了硬件设备外，软件系统也是一种设备。
信息系统设备稳定可靠地工作是第一位的安全。
数据安全：采取措施确保数据免受未授权的泄露，篡改和毁坏。
内容安全：信息安全在政治上健康，符合法律法规，符合优良道德规范层次上的要求，还包括信息内容保密，知识产权保护，信息隐藏和隐私保护等诸多方面。
行为安全：数据安全本质上是一种静态的安全，行为安全是一种动态安全，行为体现在过程和结果之中。
信息安全工程师教程学习笔记(一)
信息安全工程师教程学习笔记(一)信息安全工程师教程学习笔记(一)（下）（四）入侵检测系统（IDS）入侵检测系统（Intrusion Detection System，简称IDS）是一种用于监测和分析计算机网络中的异常和非法活动的安全设备。
IDS的主要功能是及时发现和响应网络中的入侵行为，并提供相关报告和警告信息，帮助网络管理员及时采取应对措施保护系统安全。
常见的IDS分类：1. 主机IDS（HIDS）：主要针对单个主机进行入侵检测，通过监视主机的系统日志、文件变动、进程活动等方式来识别异常行为。
2. 网络IDS（NIDS）：主要对网络流量进行监测和分析，通过对网络数据包的解析和比对来识别入侵行为。
3. 混合IDS（Hybrid IDS）：结合了主机IDS和网络IDS的特点，既可以监测主机行为，也可以分析网络流量。
IDS的部署策略：1. 网络入侵检测系统：将IDS直接部署在网络中，监测网络流量，可以对整个局域网或互联网进行监测和分析，具有较高的检测效率。
2. 基于主机的入侵检测系统：将IDS安装在需要保护的主机上，监测主机操作系统和应用程序的行为，可以更准确地监测主机上的入侵行为。
IDS的工作原理：1. 收集信息：IDS会收集来自网络流量、系统日志、文件变动等的信息，用于检测和分析。
2. 分析信息：IDS会对收集到的信息进行筛选和分析，通过特定的规则和算法来识别出异常和非法行为。
3. 发出警报：当IDS发现入侵行为时，会在管理控制台上生成相应的警报信息，并通知管理员采取相应的措施。
4. 相应措施：根据IDS发出的警报信息，网络管理员可以采取相应的措施，如封锁黑名单IP、修复漏洞、更新安全策略等。
IDS的优势和不足：优势：1. 及时发现入侵行为：IDS可以实时监测和分析网络流量和系统日志，及时发现入侵行为，提高系统安全性。
2. 快速响应和应对：IDS可以通过警报信息及时通知管理员，使其快速响应并采取相应的措施，增强系统的抵御能力。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.网络安全测评1.1网络全局1.1.1结构安全1.应该保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；//硬件要达标,也就是硬件的性能不能局限于刚好够用的地步2.应该保证网络的各个部分的带宽满足业务高峰期需要；//带宽要达标3.应在业务终端与服务器之间进行路由控制，简历安全的访问路径；//传输过程中的信息要加密，节点和节点之间要进行认证，例如OSPF的认证：检测方法：Cisco show ru& display cu4.绘制与当前运行状况相符合的网络拓扑结构图；5.根据各个部门工作智能，重要性和所涉及信息的重要程度等一些因素，划分不同的子网或者网段，并按照方便管理和控制的原则为各子网，网段分配地址段；// 划分VLAN最合适,检测方法： Cisco show vlan Huawei display vlan all6.避免将重要的网段不是在网络边界处且直接连接到外部信息系统，重要网段与其他网段之间采取可靠的技术手段隔离；//重要网段与其他网段之间采用访问控制策略，安全区域边界处要采用防火墙，网闸等设备7.按照对业务的重要次序来指定带宽的分配优先级别，保证在网络发生拥堵时优先保护重要主机；//有防火墙是否存在策略带宽配置，边界网络设备是否存在相关策略配置（仅仅在边界进行检查？）1.1.2边界完整性检查1．能够应对非授权的设备私自连接到内部网络的行为进行检查，能够做到准确定位，并能够对其进行有效阻断；//防止外部未经授权的设备进来2．应该能够对内部网络用户私自连接到外部网络的行为进行检查，能够做到准确定位，并对其进行有效的阻断；//防止内部设备绕过安全设备出去1.1.3入侵防范1.应该在网络边界处监视以下行为的攻击：端口扫描，强力攻击，木马后门攻击，拒绝服务攻击，缓冲区溢出攻击，IP碎片攻击和网络蠕虫攻击//边界网关处是否部署了相应的设备，部署的设备是否能够完成上述功能2.当检测到攻击行为时，能够记录攻击源IP，攻击类型，攻击目的，攻击时间，在发生严重入侵事件时应该提供报警；//边界网关处事都部署了包含入侵防范功能的设备，如果部署了，是否能够完成上述功能1.1.4恶意代码防范1.应该在网络边界处对恶意代码进行检查和清除；//网络中应该有防恶意代码的产品，可以是防病毒网关，可以是包含防病毒模块的多功能安全网关，也可以是网络版的防病毒系统产品2.维护恶意代码库的升级和检测系统升级；//应该能够更新自己的代码库文件1.2路由器1.2.1访问控制1．应在网络边界部署访问控制设备，启用访问控制功能；//路由器本身就具有访问控制功能，看看是否开启了，如果在网络边界处单独布置了其他访问控制的产品，那就更好了2．应能根据会话状态的信息为数据流提供明确的允许/拒绝访问的能力，控制力度为端口级；//要求ACL为扩展的ACL，检测：showip access-list & displayaclconfig all依据安全策略，下列的服务建议关闭：3．应对进出网络的信息内容进行过滤，实现对应用层HTTP，FTP，TELNET，SMTP，POP3等协议命令级的控制；//网络中如果部署了防火墙，这个一般要在防火墙上实现4．应该在会话处于非活跃一段时间后自动终止连接；//防止无用的连接占用较多的资源，也就是会话超时自动退出5．应该限制网络最大流量数及网络连接数；//根据IP地址，端口，协议来限制应用数据流的最大带宽，从而保证业务带宽不被占用，如果网络中有防火墙，一般要在防火墙上面实现6．重要网络应该采取技术手段防止地址欺骗；//ARP欺骗，解决方法：把网络中的所有设备都输入到一个静态表中，这叫IP-MAC绑定;或者在内网的所有PC上设置网关的静态ARP信息，这叫PC IP-MAC绑定，一般这两个都做，叫做IP-MAC的双向绑定7．应该按照用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；//限制用户对一些敏感受控资源的访问，验证：show crypto isakmp policy | show crypto ipsec transform-set | show ipaccess-list8．应该限制具有拨号访问权限的用户数量；//对通过远程采用拨号方式或通过其他方式连入单位内网的用户，路由器等相关设备应提供限制具有拨号访问权限的用户数量的相关功能，验证：show run & dis dialer1.2.2安全审计1.应对网络系统中的网络设备运行状况，网络流量，用户行为等进行日志记录；//默认情况下，路由器的这个服务处于启动状态，验证：show logging & dis cu2.审计记录应该包括：事件的日期和时间，用户，事件类型，事件是否成功等相关信息；//思科华为路由器开启日志功能就可以实现3.应能够根据记录数据进行分析，并生成审计报表；//使用什么手段实现了审计记录数据的分析和报表生成4.应对审计记录进行保护，避免受到未预期的删除，修改或者覆盖；//要备份日志记录，验证：show logging & dis cu1.2.3网络设备保护1.应该对登录网络设备的用户进行身份鉴别；//身份鉴别，也就是要有密码，vty的密码，enable的密码 con 0 的密码..,验证：show run & dis cu2.应对网络设备的管理员登录地址进行限制；//利用ACL等对登录到该设备的人员范围进行控制，验证：show run & dis cu3.网络设备用户的表示应该唯一；//本意是不能有多人公用一个帐号，这样方便出现问题的时候进行追溯,show run & dis cu4.主要网络设备应对同一用户选择两种或者两种以上组合鉴别技术来进行身份鉴别；//感觉好像是多次的认证5.身份鉴别信息应该具有不易被冒用的特点，口令应该具有复杂度要求并且定期更换；//网络中或者是服务器上的密码存储应该采用密文存储：show run & dis cu6.应该具有登录失败处理的能力，可采取结束会话，限制非法登录次数和当网络登录连接超时的时候自动退出等措施；//也就是超时自动退出，输入多少次错误的密码后自动冻结帐号一段时间：show run & dis cu7.当网络设备进行远程管理时，应该采取必要措施防止鉴别信息在网络传输的过程中被窃听；//建议采用一些安全带的协议，ssh，https等8.应该实现设备特权用户的权限分离；1.3交换机1.3.1访问控制1.应在网络边界部署访问控制设备，启用访问控制功能；2.应能根据会话状态的信息为数据流提供明确的允许/拒绝访问的能力，控制力度为端口级；3.应对进出网络的信息内容进行过滤，实现对应用层HTTP，FTP，TELNET，SMTP，POP3等协议命令级的控制；4.应该在会话处于非活跃一段时间后自动终止连接；5.应该限制网络最大流量数及网络连接数；6.重要网络应该采取技术手段防止地址欺骗；7.应该按照用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；8.应该限制具有拨号访问权限的用户数量；1.3.2安全审计1.应对网络系统中的网络设备运行状况，网络流量，用户行为等进行日志记录；2.审计记录应该包括：事件的日期和时间，用户，事件类型，事件是否成功等相关信息；3.应能够根据记录数据进行分析，并生成审计报表；4.应对审计记录进行保护，避免受到未预期的删除，修改或者覆盖；1.3.3网络设备的保护1.应该对登录网络设备的用户进行身份鉴别；2.应对网络设备的管理员登录地址进行限制；//利用ACL等对登录到该设备的人员范围进行控制；3.网络设备用户的表示应该唯一；//本意是不能有多人公用一个帐号，这样方便出现问题的时候进行追溯4.主要网络设备应对同一用户选择两种或者两种以上组合鉴别技术来进行身份鉴别；//感觉好像是多次的认证5.身份鉴别信息应该具有不易被冒用的特点，口令应该具有复杂度要求并且定期更换；6.应该具有登录失败处理的能力，可采取结束会话，限制非法登录次数和当网络登录连接超时的时候自动退出等措施；7.当网络设备进行远程管理时，应该采取必要措施防止鉴别信息在网络传输的过程中被窃听；//建议采用一些安全带的协议，ssh，https等8.应该实现设备特权用户的权限分离；1.4防火墙防火墙的要求完全和路由交换机完全一样。
1.5IDSIDS的要求完全和路由交换机完全一样。
2.主机安全测评2.1操作系统测评2.1.1身份鉴别1.应对登录操作系统和数据库系统的用户进行身份表示和鉴别；//登录阶段要有密码保护机制，例如window的登录界面；linux用户密码的保存路径：/etc/shadow2.操作系统和数据库系统管理用户身份鉴别信息应该具有不易被冒用的特点，口令应该具有复杂度要求并且定期更换；//口令最好要定期更换，并且应该具有一定的复杂度，例如数字+大小写字母+符号之类的使用more /etc/login.defs查看linux下的文件内容及其各自含义PASS_MAX_DAYS 90 #登录密码有效期90天PASS_MIN_DAYS 0 #登录密码最短修改时间PASS_MIN_LEN 8 #登录密码的最小长度8位PASS_WARN_AGE 7 #登录密码过期提前7天提示修改FALL_DELAY 10 #登录错误时等待时间10秒FALLOG_ENAB yes #登录错误记录到日志SYSLOG_SU_ENAB yes #当限定超级用户管理日志时使用SYSLOG_SG_ENAB yes #当限定超级用户组管理日志时使用MD5_CRYPT_ENAB yes #当使用md5为密码的加密方法时使用3.启用登录失败处理功能，可采取结束会话，限制非法登录次数和自动退出等措施；//window下直接测试错误次数；linux下记录/etc/pam.d/system-auth文件中是否存在account required /lib.security.pam_tally.so deny=5 no_magic_root reset …4.当对服务器进行远程管理时，应该采取必要措施，防止信息在网络传输过程中被窃听；//linux下查看：1.首先查看是否安装ssh的相应包：rpm –aq | grep ssh或者查看是否运行了该服务：service –status-all | grepsshd 2.如果已经安装则看相应端口是否打开：netstat –an|grep 22 3.若有SSH，则查看是否还有Telnet 方式进行远程连接：serivce –status-all|grep running5.应为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性；//linux下 cat /etc/passwd6.应采取两种或者两种以上的认证对管理员用户进行鉴别；2.1.2访问控制1.实现操作系统和数据库系统特权用户的权限分离；2.应该启用访问控制功能，依据安全策略控制用户对资源的访问；//Linux下使用ls–l 文件名命令查看重要文件和目录权限设置是否合理，例如 ls –l /etc/passwd #744 (默认存在问题的账户，/etc/passwd文件权限为666)3.应该严格限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令；//默认账户建议禁止，建议默认账户重命名；linux下查看 cat /etc/shadow,用户名前有#号，表示已经被禁用4.及时删除多余的，过期的账户，避免共享账户的存在；5.应对重要的资源设置敏感标记；//cat /etc/passwd6.应该根据安全策略严格控制用户对有敏感标记重要信息资源的操作；2.1.3安全审计1.审计范围应覆盖到服务器和重要客户端上的每个操作系统和数据库用户；2.审计内容应该包括重要的用户行为，系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；3.审计的记录应该包括时间的日期，时间，类型。