安全评估服务内容

专业信息安全评估服务

1、信息资产的界定

2、信息资产的赋值

3、资产弱点的评估

4、资产面临威胁的评估

5、现有安全措施的评估

5、安全弱点综合分析

6、安全威胁综合分析

7、安全风险综合分析

评估包括技术评估、业务评估、管理流程评估三个层面；技术评估层面包括人工评估和采用安全工具进行扫描、渗透测试等手段。业务和管理流程评估侧重于人工访谈和调查。

主机安全评估服务

专业主机安全评估服务

服务目标：

专业主机安全评估服务对目标系统通过工具扫描和人工检查，进行专业安全的技术评定，并根据评估结果提供评估报告。

系统类型：

目标系统主要是主流UNIX及NT系统（包括Solaris、AIX、IRIX、HP-UX、RedHat-linux、*BSD、NT4.0、W2K），主流数据库系统（包括Oracle、SQL Server、Sybase、MySQL、Informix），以及主流的网络设备（包括CISCO、华为、防火墙设备和其它设备）。

由于软件设计编制上的疏漏，或者体系结构上的天然缺陷，使得计算机系统中存在着种种的安全漏洞，为黑客入侵了提供方便之门。防范黑客的最好的方法是在黑客找到你的漏洞并加以利用之前找到并修补漏洞。随着计算机技术的不断发展，新的安全漏洞不断出现。所以必须对最新发现的漏洞进行修补，并定期进行检测，要永远领先黑客一步。安全检测和评估就是对安全漏洞进行检测包括网络 (防火墙、路由器等)、各种平台的系统及其应用服务（WEB、Email、DNS、数据库等）的安全漏洞检测。在第一时间给用户提供安全漏洞的完善分析，并提出相应的修补解决方案，从而提高信息网络风险控制水平。

应客户的要求，我们可以对网络和主机系统进行全面的安全探测扫描、系统安全评估、系统安全检测。可以从黑客的角度去全面检测客户整个网络系统存在的客观隐患，能准确发现易于遭受攻击的薄弱环节，整个的检测体系由几种系统组成，是一套完整的安全专家检测实战工具。这种以攻为守的特点决定了检测范围覆盖了技术和非技术的漏洞缺陷。其主要内容包括：

•静态网络安全风险分析与评估；

•网络拓扑结构安全性分析；

•网络拓扑结构是否满足安全需求；

•内外服务器的安全策略；

•内部网络的安全域范围划分。

•防火墙系统的安全性分析；

•防火墙口令强度分析；

•防火墙安全策略分析；

•防火墙日志分析。

•操作系统和服务器系统的安全性分析；

•操作系统的版本及其补丁分析；

•服务器的版本及其补丁分析；

• IIS的系统设置，用户管理，访问规则的风险评估；

•提供各种网络服务软件的版本，补丁及其配置文件；

•相关日志分析，检查可疑操作及行为；

•检测系统后门程序。

•网络设备的安全性分析；

•路由器的口令强度分析；

•交换机的划分区域分析；

•拨号设备的安全策略分析；

•加密设备的安全性分析；

•数据备份的安全性分析；

•防恶意代码的安全性分析；

•系统处理病毒的有效性分析；

•系统处理特洛伊木马的有效性分析。

•提供分析报告和安全建议；

•系统漏洞和网络漏洞扫描及安全检测；

•系统安全检测；

•系统帐号检测；

•组帐号检测；

•系统日志检测；

•主机信任关系检测；

•系统配置文件检测；

•关键系统文件的基线检测；

•口令强度检测；

•系统安全漏洞检测；

•系统脆弱性分析；

•有控制的渗透检测；

•日志文件检查；

•提供分析报告及安全建议。

•网络安全检测；

•端口扫描测试；

•拒绝服务攻击测试；

• Web 扫描和攻击测试；

•口令强度猜测；

•针对 Ftp 、 Sendmail 、 Telnet 、 Rpc 、 NFS 等网络服务攻击测试；

•提供分析报告和安全建议。

对于各操作系统及应用程序存在的漏洞，我们保证检测出所有已发现的漏洞；对于一些客户的特殊应用和要求，其风险等级要求也很特殊的，我们在与客户协商的基础上进行相关的安全风险评估。

扫描及原始报告服务

使用扫描工具对目标系统进行扫描，提供原始评估报告（工具自带）。

扫描及人工分析报告服务

使用扫描工具对目标系统进行扫描，由安氏专业安全工程师提供人工分析报告。

人工评估服务

人工检查如下内容

· 安全配置检查

系统管理和维护的正常配置，合理配置，及优化配置。

例如系统目录权限，帐号管理策略，文件系统配置，进程通信管理等。· 安全机制检查

安全机制的使用和正常配置，合理配置，及优化配置。

例如日志及审计、备份与恢复，签名与校验，加密与通信，特殊授权及

访问控制等。

· 入侵追查及事后取证

检查与发现系统入侵，攻击或其它危害，尽可能追查及取证。

例如日志被毁坏篡改或删除，计费数据被删除，遭受DOS攻击，系统被监

听，控制或安装后门等。