等级保护测评_应用安全
等级保护测评
测评的目的和意义
• 测评的目的是确保信息系统符合国家信息安全等级保护要求， 提高信息系统的安全性，预防和减少信息安全事件的发生，保 障信息系统的稳定运行和数据的保密性、完整性、可用性。
行业自律
随着网络安全意识的不断提高，行业自律机制将逐渐完善 ，企业将更加注重自身的信息安全建设，等级保护测评工 作将更加普及和深入。
谢谢您的聆听
THANKS
02
等级保护测评流程
确定测评对象与目标
确定测评对象
确定待测评的系统或网络，明确其范围 和目标，了解其业务需求和安全需求。
VS
制定测评目标
根据测评对象的业务需求和安全需求，制 定具体的测评目标，包括保障系统或网络 的安全性、可靠性、可用性等。
开展测评工作
制定测评计划
01
根据测评目标，制定具体的测评计划，包括测评内容
制定测评计划
制定详细的测评计划，包括测 评时间、人员、工具等。
确定测评对象和范围
明确需要进行等级保护测评的 对象和范围。
确定测评指标
根据相关标准和规范，确定测 评的具体指标和要求。
实施测评
按照测评计划，采用适当的工 具和方法对测评对象进行实际 测试和评估。
安全控制测评
身份认证与访问控制
检查是否采用多因素身份认证、访问控制 策略是否合理等。
数据传输与存储安全
检查数据传输和存储是否采用加密等安全 措施，确保数据不被泄露或篡改。
网络架构安全
评估网络架构是否合理，是否能够抵御外 部攻击等。
网络安全等级保护测评
网络安全等级保护测评
网络安全等级保护测评是一项重要的安全措施。
它旨在评估网络系统的安全性，并根据评估结果对其进行级别保护。
网络安全等级保护测评的过程中，需要通过对网络系统进行全面检测和分析，确定其存在的安全隐患和问题，并提出相应的解决方案。
在进行网络安全等级保护测评时，可采用以下几个步骤：
1. 安全需求分析：首先，需要明确网络系统的安全需求，包括数据保密性、完整性、可用性等方面。
根据需求确定测评的范围和目标。
2. 安全测评准备：准备工作包括确定测评的时间、地点、人员等资源，并制定详细的测评计划，明确测评的方法、流程和评估指标。
3. 安全测评执行：执行测评活动，包括对网络系统进行漏洞扫描、安全配置审计、安全策略检查等。
同时，对系统中的身份认证、访问控制、日志审计等关键安全控制进行细致检查。
4. 安全测评分析：对测评结果进行分析，确定系统中存在的安全问题和风险。
根据问题的严重程度和影响范围，给出相应的等级保护建议。
5. 安全测评报告：编写测评报告，对测评过程、结果和建议进行详细描述。
报告应该清晰、准确地反映系统中存在的问题，
并给出具体的解决方案。
6. 安全测评改进：根据测评结果和建议，对网络系统进行相应的安全改进。
改进包括修补系统漏洞、加强身份认证、优化访问控制等方面。
通过网络安全等级保护测评，可以及时发现和解决网络系统中存在的安全问题，提升系统的整体安全等级，保护重要信息的安全。
同时，测评结果和建议可以作为制定安全策略和规范的依据，指导网络系统的安全管理和运维工作。
2023年等级保护测评2.0技术要求
2023年等保2.0测评技术要求
一、技术要求：
1.供应商应把握和理解国家对该类项目的具体要求，对等级保护
2.0相关政策标准本身有较深的认识。
2.供应商组建的测评组须至少配备4名测评师，测评组长应为高级测评师。
测评组至少包括1名高级测评师和1名中级测评师。
3.供应商应具有完善的工作流程，有计划、按步骤地开展测评工作，保证测评活动的每个环节都得到有效的控制。
4.供应商应具有完善的应急流程，具有快速应急响应服务，以保证在整个项目过程中不影响中心信息系统的正常运行。
5.供应商应具有完善的测评方案，包括物理安全、主机安全、网络安全、应用安全、数据备份与恢复、管理安全等。
6.供应商在等级保护项目中必须提交国家规定格式和标准的等级保护测评报告，并以此作为验收标准。
7.供应商应具有良好的质量控制的能力和质量管理体系，具备GB/T19001系列/ISO9001系列管理体系认证，其范围包含信息安全技术咨询服务和等级保护测评服务。
等级保护三级测评要求
等级保护三级测评要求等级保护三级测评要求主要包括以下几个方面：1. 物理安全：机房应区域划分至少分为主机房和监控区两个部分；机房应配备电子门禁系统、防盗报警系统、监控系统；机房不应该有窗户，应配备专用的气体灭火、ups供电系统。
2. 网络安全：应绘制与当前运行情况相符合的拓扑图；交换机、防火墙等设备配置应符合要求，例如应进行Vlan划分并各Vlan逻辑隔离，应配置Qos流量控制策略，应配备访问控制策略，重要网络设备和服务器应进行IP/MAC绑定等；应配备网络审计设备、入侵检测或防御设备。
交换机和防火墙的身份鉴别机制要满足等保要求，例如用户名密码复杂度策略，登录访问失败处理机制、用户角色和权限控制等；网络链路、核心网络设备和安全设备，需要提供冗余性设计。
3. 主机安全：服务器的自身配置应符合要求，例如身份鉴别机制、访问控制机制、安全审计机制、防病毒等，必要时可购买第三方的主机和数据库审计设备；服务器应具有冗余性，例如需要双机热备或集群部署等；服务器和重要网络设备需要在上线前进行漏洞扫描评估，不应有中高级别以上的漏洞；应配备专用的日志服务器保存主机、数据库的审计日志。
4. 应用安全：应用自身的功能应符合等保要求，例如身份鉴别机制、审计日志、通信和存储加密等；应用处应考虑部署网页防篡改设备；应用的安全评估，应不存在中高级风险以上的漏洞；应用系统产生的日志应保存至专用的日志服务器。
5. 数据安全备份：应提供数据的本地备份机制，每天备份至本地，且场外存放；如系统中存在核心关键数据，应提供异地数据备份功能，通过网络等将数据传输至异地进行备份。
请注意，等级保护三级的要求可能会根据具体政策和标准有所调整。
在实际操作中，建议您参照国家政策和标准文件，并与专业的网络安全团队进行合作，以确保满足等级保护三级的要求。
等级保护测评项目测评方案
数据安全及备份恢复
数据加密
应对敏感数据进行加密存储和传输，确保数据在传输过程中的安 全性。
数据备份
应定期备份重要数据，包括数据库、文件等，以防止数据丢失和损 坏。
数据恢复
应具备快速恢复数据的能力，确保在发生故障或攻击时能够及时恢 复数据。
CHAPTER 05
测评工具和技术
测评工具介绍
工具名称： 等级保护测评工具
可度量性：该技术可以为每个评估项目提供具体的数值 ，方便进行比较和分析。
CHAPTER 06
总结与展望
项目总结
测评范围
明确测评的范围和内容，包括被测评单位的基本情况、测评的时 间和地点等。
测评方法
采用了多种方法和技术进行测评，包括问卷调查、实地考察、数据 分析和专家评估等。
测评结果
根据测评数据和信息，对被测评单位的等级保护工作进行了综合评 估，并给出了相应的等级和建议。
等级保护测评项目测评 方案
汇报人：
2023-12-01
CONTENTS 目录
• 项目背景 • 测评方案 • 测评流程 • 测评标准 • 测评工具和技术 • 总结与展望
CHAPTER 01
项目背景
测评目标
确定信息系统安全等 级保护符合度
指导安全防护措施的 优化和升级
发现信息系统安全隐 患和薄弱环节
现场勘查
勘查受测单位网络拓扑结构
核实网络设备的型号、配置参数、连接关系等信息。
勘查受测单位主机设备
核实操作系统、应用程序、数据库、中间件等信息。
勘查受测单位安全设施
包括视频监控、门禁系统、入侵检测系统等安全设施。
数据处理
01
数据清洗
去除重复数据、错误数据等无用数 据。
渗透测试在网络安全等级保护测评中的应用
渗透测试在网络安全等级保护测评中的应用摘要：随着互联网技术的迅猛发展，网络安全问题日益严重，给各行各业带来了巨大的风险和威胁。
为了更好地评估网络的安全性，提高其等级保护能力，渗透测试作为一种重要的测试手段被广泛应用于网络安全等级测评中。
本论文旨在探讨渗透测试在网络安全等级保护测评中的应用，期望整体网络环境变得更加安全，最大程度上提高整体网络安全水平。
关键词：渗透测试；网络安全；等级测评1概念1.1渗透测试定义渗透测试是指通过模拟真实黑客攻击的方式，对目标网络进行全面、系统地安全评估，以发现潜在的安全漏洞和弱点。
渗透测试具有一定的难度和复杂性，需要具备深入理解网络安全知识和技术，并具备黑客攻击手段和技术。
渗透测试通常包括信息收集、漏洞探测、攻击和取证等步骤，通过仿真真实攻击场景，评估目标网络的抵抗攻击能力，从而提供安全建议和改进措施，以增强网络的安全防护能力。
1.2渗透测试基本原理渗透测试是网络安全等级保护测评中的一种重要手段。
其基本原理是通过模拟真实黑客攻击的方式对目标网络进行全面、系统地安全评估，以发现潜在的安全漏洞和弱点。
渗透测试通过模拟各种攻击手段，评估网络的抵抗攻击能力，并发现网络中的潜在漏洞和弱点。
通过渗透测试，网络管理员可以及时修补漏洞并完善安全策略，提高网络的安全等级保护能力。
渗透测试还可以评估网络设备和安全系统的性能，为网络安全等级保护提供依据。
然而，渗透测试也面临技术复杂和测试时间长等挑战。
在应用渗透测试进行网络安全等级保护测评时，需要综合考虑测试的可行性和效果，并采取适当的测试方法和策略。
1.3网络安全等级保护测评的概念和意义网络安全等级保护测评是对网络进行全面测评，确定其安全等级，并提出相应的安全保护措施。
在互联网技术快速发展的背景下，网络安全问题日益严重，对各行各业带来了巨大的风险和威胁。
因此，进行网络安全等级测评具有重要的意义。
首先，网络安全等级保护测评可以全面评估网络的安全性，帮助组织和企业了解自身的网络安全状况。
等级保护测评考试真题汇总(简答题部分)
等级保护测评考试（简答题部分）应用：1、基本要求中，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些？答：三级比二级增加的要求项有：应提供对重要信息资源设置敏感标记的功能；应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。
2、在应用安全测评中，如何理解安全审计的“a）应该覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计”？主机：1、在主机测评前期调研活动中，收集信息的内容（至少写出六项）？在选择主机测评对象时应该注意哪些要点？（10分）答：至少需要收集服务器主机的设备名称、型号、操作系统、IP地址、安装的应用软件情况、主要的业务情况、重要程度、是否热备等信息。
测评对象选择时应该注意重要性、代表性、完整性、安全性、共享性五大原则。
2、主机常见评测的问题？答：①检测用户的安全防范意识，检查主机的管理文档。
②网络服务的配置。
③安装有漏洞的软件包。
④缺省配置。
⑤不打补丁或补丁不全。
⑥网络安全敏感信息的泄露。
7缺乏安全防范体系。
⑧信息资产不明，缺乏分类的处理。
⑨安全管理信息单一，缺乏单一的分析和管理平台。
3、数据库常见威胁有哪些？针对于工具测试需要注意哪些内容？答：①非授权访问、特权提升、SQL注入针对漏洞进行攻击、绕过访问控制进行非授权访问等。
②工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。
测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段等等。
接入系统的设备、工具和IP地址等配置要经过被测系统相关人员确认。
对于测试过程可能造成的对目标系统的网络流量及主机性能等方面的影响，要事先告知被测系统相关人员对于测试过程中的关键步骤、重要证据要及时利用抓图工具取证。
对于测试过程中出现的异常情况要及时记录，需要被测方人员确认被测系统状态正常并签字后离场。
4、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计的内容是什么？答：①巨型、大型、中型、小型、微型计算机和单片机。
等级保护测评指导书----应用部分
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
APACHE 检 测 用例表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
Tomcat 检 测 用例表
应用 (可 使用 的渗 透工 具为 Doma in、 pang olin )
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
重要
S2 S3
作
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
IIS 检 查 用 例 表
APACHE 检 测 用例表
c) 应提供用户身份标识唯
一和鉴别信息复杂度检查 功能，保证应用系统中不 存在重复用户身份标识，
重要
S2 S3
身份鉴别信息不易被冒用
Tomcat 检 测 用例表
身份鉴 别(S1、 S2、S3)
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
安全审 计（G2 、G3）
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
c) 审计记录的内容至少应
包括事件的日期、时间、 发起者信息、类型、描述
等级保护测评考试真题汇总(简答题部分)
等级保护测评考试（简答题部分）应用：1、基本要求中，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些？答：三级比二级增加的要求项有：应提供对重要信息资源设置敏感标记的功能；应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。
2、在应用安全测评中，如何理解安全审计的“a）应该覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计”？主机：1、在主机测评前期调研活动中，收集信息的内容（至少写出六项）？在选择主机测评对象时应该注意哪些要点？（10分）答：至少需要收集服务器主机的设备名称、型号、操作系统、IP地址、安装的应用软件情况、主要的业务情况、重要程度、是否热备等信息。
测评对象选择时应该注意重要性、代表性、完整性、安全性、共享性五大原则。
2、主机常见评测的问题？答：①检测用户的安全防范意识，检查主机的管理文档。
②网络服务的配置。
③安装有漏洞的软件包。
④缺省配置。
⑤不打补丁或补丁不全。
⑥网络安全敏感信息的泄露。
7缺乏安全防范体系。
⑧信息资产不明，缺乏分类的处理。
⑨安全管理信息单一，缺乏单一的分析和管理平台。
3、数据库常见威胁有哪些？针对于工具测试需要注意哪些内容？答：①非授权访问、特权提升、SQL注入针对漏洞进行攻击、绕过访问控制进行非授权访问等。
②工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。
测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段等等。
接入系统的设备、工具和IP地址等配置要经过被测系统相关人员确认。
对于测试过程可能造成的对目标系统的网络流量及主机性能等方面的影响，要事先告知被测系统相关人员对于测试过程中的关键步骤、重要证据要及时利用抓图工具取证。
对于测试过程中出现的异常情况要及时记录，需要被测方人员确认被测系统状态正常并签字后离场。
4、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计的内容是什么？答：①巨型、大型、中型、小型、微型计算机和单片机。
等级保护 应用和数据库安全测评 黄洪-数据库
1
前言—背景介绍
前言—常见威胁（一）
前言—常见威胁（二）
前言—攻击实例
前言—指标选取
在《基本要求》中的位置
，数据库的测评一个部分数据库的测评
指标是从“主机安全”和
中根据数据库的特点映射
得到的。
内容目录
1.身份鉴别
5.备份和恢复
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
身份鉴别
内容目录
2.访问控制
5.备份和恢复
访问控制
访问控制
访问控制
访问控制
访问控制
访问控制
访问控制
访问控制
访问控制
内容目录
3.安全审计
5.备份和恢复
安全审计
安全审计
安全审计
安全审计
安全审计
安全审计
安全审计
安全审计
d)应能够根据记录数据进行分析，并生成审计报表
安全审计
安全审计
安全审计
内容目录
4.资源控制
5.备份和恢复
资源控制
资源控制
资源控制
资源控制
内容目录
5.备份和恢复。
移动App安全及等级保护测评研究
栏目编辑：梁丽雯 E-mail:liven_01@移动App安全及等级保护测评研究■ 中国人民银行怀化市中心支行 唐 明随着移动互联网的快速发展，手机、Pad等移动终端用户呈爆发式增长。
截至2016年12月，我国移动智能终端规模突破13.7亿台，相当于人均拥有一部移动终端设备。
伴随移动终端的发展，更加丰富多样的移动App 应用极大方便了用户的工作和生活，但是其信息安全面临极其严峻的考验。
山寨App泛滥，隐私泄露、恶意扣费、流量损失等事件屡有发生，严重影响了程序的正常使用以及使用者的正常生活和工作。
为了适应新技术的发展，加强对采用移动互联技术的等级保护对象的安全防护，指导测评人员对采用移动互联技术的等级保护对象进行测试评估，国家标准化管理委员正在开展《信息安全技术网络安全等级保护测评要求》第3部分：移动互联安全扩展要求标准的制定。
笔者根据即将出台的等级保护要求，结合自身对移动App及移动设备的了解，对如何提高移动App的安全、切实保障信息安全提出几点意见和建议。
一、移动App新版等级保护测评防护要点从新版等级保护关于移动互联安全扩展要求征求意见稿来看，新标准（征求意见稿）要求采用移动互联技术的等级保护对象应作为一个整体对象定级，移动终端、移动应用和无线网络等要素不单独定级，与采用移动互联技术等级保护对象的应用环境和应用对象一起定级。
为加强移动互联的安全管理，新标准（征求意见稿）在传统等级保护的基础上，在技术层面上重点针对移动终端、App应用和无线网络在物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全4个方面进行扩展安全要求，在管理层摘要：随着移动互联网的快速发展，丰富多彩的移动终端特别是移动App应用极大方便了用户的工作和生活，但是其信息安全面临极其严峻的现实考验。
国家标准化管理委员会目前正在修订等级保护相关要求，将增加移动互联安全扩展要求。
笔者根据即将出台的等级保护要求，结合自身对移动App及移动设备的了解，对如何提高移动App 的安全、切实保障信息安全提出几点意见和建议。
等级保护测评-安全测评通用要求
一．安全物理环境1 物理位置选择测评单元(L3-PES1-01)该测评单元包括以下要求：a) 测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。
b) 测评对象：记录类文档和机房。
c) 测评实施包括以下内容：1) 应核查所在建筑物是否具有建筑物抗震设防审批文档；2) 应核查机房是否不存在雨水渗漏；3) 应核查门窗是否不存在因风导致的尘土严重；4) 应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。
d) 单元判定：如果1)~4)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元(L3-PES1-02)该测评单元包括以下要求：a) 测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
b) 测评对象：机房。
c) 测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。
d) 单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 物理访问控制测评单元(L3-PES1-03)该测评单元包括以下要求：a) 测评指标：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
b) 测评对象：机房电子门禁系统。
c) 测评实施包括以下内容：1) 应核查出入口是否配置电子门禁系统；2) 应核查电子门禁系统是否可以鉴别、记录进入的人员信息。
d) 单元判定：如果1)和2) 均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
3 防盗窃和防破坏测评单元(L3-PES1-04)该测评单元包括以下要求：a) 测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
b) 测评对象：机房设备或主要部件。
c) 测评实施包括以下内容：1) 应核查机房内设备或主要部件是否固定；2) 应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。
d) 单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
等级保护测评试题
一、单选题1、下列不属于网络安全测试范畴的是（C）A．结构安全B.便捷完整性检查C.剩余信息保护D.网络设备防护2、下列关于安全审计的内容说法中错误的是（D）应对网络系统中的网络设备运行情况、网络流量、用户行为等进行日志记录审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息应能够根据记录数据进行分析，并生成审计报表为了节约存储空间，审计记录可以随意删除、修改或覆盖在思科路由器中，为实现超时10分钟后自动断开连接，实现的命令应为下列哪一个（A）exec-timeout 10 0 B. exec-timeout 0 10 C. idle-timeout 10 0 D. idle-timeout 0 10用于发现攻击目标（A）ping扫描B.操作系统扫描C.端口扫描D.漏洞扫描ping扫描：用于发现攻击目标操作系统识别扫描：对目标主机运行的操作系统进行识别端口扫描：用于查看攻击目标处于监听或运行状态的。
路由器工作在（C）应用层 B.链接层 C.网络层 D.传输层防火墙通过____控制来阻塞邮件附件中的病毒。
（A）数据控制 B.连接控制控制 D.协议控制与mask 属于同一网段的主机IP地址是（B）8、查看路由器上所有保存在flash中的配置数据应在特权模式下输入命令：（A）running-config buffers C. show starup-config memory9、路由器命令“Router（config）#access-list 1 permit 的含义是：（B）A．不允许源地址为的分组通过，如果分组不匹配，则结束B．允许源地址为的分组通过，如果分组不匹配，则结束C．不允许目的地址为的分组通过，如果分组不匹配，则结束D．允许目的地址为的分组通过，如果分组不匹配，则检查下一条语句。
10、配置如下两条访问控制列表：access-list 1 permit access-list 2 permit 访问列表1和2，所控制的地址范围关系是（A）A．1和2的范围相同的范围在2之内的范围在1之内和2没有包含关系11、网络隔离技术的目标是确保把有害的攻击隔离，在保证可信网络内信息不外泄的前提下，完成网络间数据的安全交换，下列隔离技术中，安全性最好的是（D）A．多重安全网关B.防火墙隔离D.物理隔离12、Windows系统默认Terminal Services服务所开发的端口为（D）A．2113、在命令模式下，如何查看Windows系统所开放的服务端口（B）A．NETSTAT –AN –AN14、某人在操作系统中的账户名为LEO，他离职一年后，其账户虽然已经禁用，但是依然保留在系统中，类似于LEO的账户属于以下种类型（A）A．过期账户 B.多余账户 C.共享账户 D.以上都不是15、在Linux系统中要禁止root用户远程登录访问编辑/etc/security/user文件，在root相中制定FALSE 作为（B）的值A．login16、OSPF使用什么来计算到目的网络的开销（A）A．带宽 B.带宽和跳数 C.可靠性 D.负载和可靠性17、依据GB/T 22239-2008，三级信息系统在应用安全层面说过对通讯完整性的要求是（C）A．应采用约定通信会话方式的方法保证通信过程中数据的完整性B．应采用校验码技术保证通信过程中数据的完整性C．应采用密码技术保证通信过程中数据的完整性D．第三级信息系统在应用层面上没有对通信完整性的要求18、依据GB/T 22239-2008，三级信息系统应对以下哪些数据实现存储保密性（D）A．系统管理数据B.鉴别信息C.重要业务数据D.以上都是19、依据GB/T 22239-2008，以下哪些条不是三级信息系统对备份和恢复的要求（A）A．应根据本地数据备份与恢复功能，重要信息数据备份至少每天一次，备份介质场外存放B．应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地C．应该用冗余技术设计网络拓扑结构，避免关键节点存在单点故障D．应提供主要网络设备，通信线路和数据处理系统的硬件冗余，保证系统的高可用性20、在oracle中查看其是否开启审计功能的SQL语句是（B）A．show parmeterB．select value from v$ parameter where name=’audit_trail’21、以下哪些不属于工具测试的流程（C）A．规划工具测试接入点 B.制定《工具测试作业指导书》C．查看主机安全策略 D.测试结果整理22、cisco的配置通过什么协议备份（B）A．ftp23、交换机收到未知源地址的帧时：（B）A．广播所有相连的地址B.丢弃C.修改源地址转发D……..24、功能测试不能实现以下哪个功能（D）A．漏洞 B.补丁 C.口令策略 D.全网访问控制策略25、等保3级别中，恶意代码应该在___进行检测和清除（B）A．内网 B.网络边界 C.主机D………26、_____是作为抵抗外部人员攻击的最后防线（A）A．主机安全 B.网络安全…………….27、按照等保要求，第几级开始增加“抗抵赖性”要求（C）A．一 B.二 C.三 D.四28、哪项不是开展主机工具测试所必须了解的信息（D）A．操作系统 B.应用 D.物理位置29、查询sql server中是否存在弱口令的sql语句是（A）A．select name from xx_logins where password is null30、Linux查看目录权限的命令（B）A．ls –a –l –a –l31、win2000中审核账户登录是审核（C）A．用户登录或退出本地计算机 B.管理员创建添加删除用户账户C．用户申请域控制登录验证 D.日志记录管理32、下面属于被动网络攻击的是（D）A．物理破坏 B.重放 C.拒绝服务 D.口令嗅探33、《基本要求》三级系统中，要求对网络设备进行登录失败处理功能。
IIS应用安全测评指导书
1.查看网站日志文件的内容，确认是否包含措施要求的内容。
2.“网站”-“启用日志记录”-“属性”-“高级”查看日志记录的字段。
日志记录包含测评要求的字段。
审计报表
访谈
询问系统管理员，IIS的日志是否定期进行专门的分析和审计，如果有，查看报表的内容。
管理员定期查看IIS的日志，并有检查报告。
特定事件，实时报警
手工检查
对于有保密要求的系统，在浏览器地址栏输入https://服务器ip来确认是否启用了ssl加密功能。
根据需要，决定是否开启ssl功能。
密码算法合规
访谈
询问系统管理员目前IIS使用的是哪种加密强度的算法，应抛弃使用
SSL v2和加密强度较低的算法。
应使用高强度的加密算法。
5
软件容错
状态监测能力
访谈：访谈系统管理员，是否对系统错误页面进行了自定义；手工检查：执行命令
进行访问超时设置。
资源限额
手工检查：查看/usr/local/apache/conf/httpd.conf文件中
MaxRequestsPerChild的配置，查看是否进行了访问限制。
存在对apache使用系统资源的限制。
多种方式限制终端登录
访谈：询问系统管理员，是否对网站资源按照用户身份、IP地址、
访谈询问系统管理员，配置文件和网站文件是否有备份策略，查看备份文件。
应对配置文件和网站文件进行定期备份，并检查备份文件的有效性。
访谈访谈系统管理员，目前是否对特定事件指定实时报警方式（如声音、EMAIL、短信等），并查看对应措施。
应具有实时监控和报警手段，且可以演示。
审计记录保护
访谈
询问系统管理员，IIS的日志是否定期进行备份，以防止日志被覆盖、修改或删除等。
信息系统安全等级保护测评报告
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
等级保护测评方案
等级保护测评方案引言等级保护是一种信息安全管理方法，旨在根据信息系统的重要性和其支持的业务需求来定义相应的安全保护级别。
等级保护测评是评估信息系统按照等级保护要求实施的程度与其安全保护需求的匹配程度。
本文档旨在提出一个详细的等级保护测评方案，以确保信息系统的安全保护达到相应的等级要求。
1. 背景任何组织或者企业在使用信息系统时都面临着各种安全威胁，包括未经授权的访问、数据泄露、业务中断等。
等级保护作为一种评估信息系统安全水平和风险级别的方法，为组织提供了制定相应的安全保护措施的依据。
等级保护测评方案将有助于确保信息系统按照等级保护要求进行合理的安全保护。
2. 测评目标等级保护测评的目标是评估信息系统在不同等级保护要求下的安全保护实施程度，并提供改进建议和措施，以确保系统的安全性和合规性。
具体目标包括： - 评估信息系统的等级保护需求 - 评估信息系统按照等级保护要求实施的程度 - 识别信息系统存在的安全风险和薄弱环节 - 提出合理的安全保护改进建议和措施 - 确保信息系统的安全性和合规性3. 测评流程等级保护测评的流程如下所示：步骤一：准备•确定测评的信息系统范围和等级保护要求•收集信息系统的相关文档和资料，包括安全策略、安全架构、安全操作手册等步骤二：需求确认和分析•确认信息系统的业务需求和安全要求•根据等级保护要求，定义信息系统的安全保护级别和相应的测评指标步骤三：测评准备•制定测评计划和时间表•配置相关的测评工具和设备•建立测试环境和样本数据步骤四：测评执行•根据测评指标和要求，对信息系统进行全面的安全测评•包括对系统的安全设计、访问控制、身份认证、数据保护等方面进行评估步骤五：结果分析和报告编写•分析测评结果，识别存在的安全风险和薄弱环节•编写测评报告，包括系统安全评估、改进建议和措施等步骤六：改进建议和措施实施•根据测评报告提出的改进建议和措施，制定合理的安全保护改进计划•实施相应的改进建议和措施，提升信息系统的安全性和合规性4. 测评指标根据等级保护要求，测评指标主要包括以下几个方面： - 安全策略和政策的制定和执行情况 - 系统的安全设计和架构 - 访问控制和权限管理的实施情况 - 用户身份认证和访问控制的强度 - 数据保护和加密的实施情况 - 安全监测和审计的有效性5. 测评结果分析通过对测评结果的分析，可以识别信息系统存在的安全风险和薄弱环节，进而提出合理的改进建议和措施。
等保二级-安全技术-应用系统
3、检查总体规划/设计文档，查看其是否有系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前是否完全清除的描述:
否□是□
测试结果：□符合□部分符合□不符合
备注：
1、如果测试记录2-3缺少相关材料，则该项为否定；
2、测试记录2-3项全部符合即视为符合
测试类别
等级测评（二级）
否□是□
测试结果：□符合□部分符合□不符合
备注：
测试记录2-8项全部符合即视为符合
测试类别
等级测评（二级）
测试对象
安全技术
测 试 类
应用安全
测 试 项
剩余信息保护
测试要求：
1.应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；
2.应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
4.审计记录应受到保护避免受到未预期的删除、修改或覆盖等
测试记录：
1、访谈安全审计员，询问应用系统是否设置安全审计:
否□是□
○应用系统对事件进行审计的选择要求和策略是什么:
○对审计日志的处理方式有:
2、检查重要应用系统，查看其当前审计范围是否覆盖到每个用户:
否□是□
3、检查重要应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、自主访问控制的所有操作记录、重要用户行为（如用超级用户命令改变用户身份，删除系统表）、重要系统命令的使用（如删除客体）等:
测试记录：
1、访谈系统管理员，询问系统是否采取措施保证对存储介质中的残余信息进行删除（无论这些信息是存放在硬盘上还是在内存中）:
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一．应用系统安全测评指导书1.应用系统安全测评
访谈：
专门的登陆控制模块进行身份鉴别手工检查：
1.查看登陆控制模块
2.验证登陆控制模块功能是否正确。
1.认证方式应该为混合认证方式
2.本身操作系统用户也必须输入密码才能登陆。
访谈：
1.是否有专门的模块或选项，是否有相关参数需要配置
2.功能验证。
访谈：
1.登录失败处理的功能(如结束会话、限制非法登陆次数，当连接超时，自动退出等)，查看是否启用配置。
2.应根据应用系统使用的登录失败处理方式，采用如下测试方法之一或全部进行测试：
a.以错误的用户名或密码登录系统查看系统的反应
b.以超过系统规定的非法登录次数登陆系统查看系统的反应
c.当登陆系统连接超时查看系统的反应。
访谈：
1.是否有访问控制策略配置功能，以该授权主体身份登录系统，进行验证
2.以不具有修改访问控制策略权限的用户登录系统，试图修改访问控制策略，查看是否成功
3.系统是否有默认用户，是否限制了默认用户的访问权限
4.测试应用系统是对默认账户合法/非法操作进行限制。
访谈：
1.最小授权、相互制约
2.用户职责分配的权限是否与其职责相符
3.不同账户的权限是否分离并形成制约关系
4.测试越权访问，能否成功。
访谈：
1.功能是否满足并验证。
1.系统管理员是否依据安全策略对目标系统进行了正确的配置
2.进行验证。
访谈：
1.询问安全审计员，审记策略是什么；
2.检查应用系统的审记策略，查看审记策略是否覆盖到每个用户，是否对系统异常等事件进行审计
3.确认审计功能是否全面、详细。
访谈：
1.检查应用系统是否提供专门的审计工具
2.应用系统审计报表功能
访谈：
1.询问应用系统审计方式，测试审计功能健壮性
2.验证审计功能
3.审计记录恢复功能。
2.IIS应用安全测评
访谈：
询问系统管理员，配置文件和网站文件是否有备份策略查看备份文件。
3.Apache应用安全测评
手工检查：1.使用命令查看apache的日志文件
#cat /usr/local/apache/logs/access_log和#cat
/usr/local/apache/logs/error_log，确认日志文件是否包含了措施要求的内
容
访谈：
访谈系统管理员是否对系统错误页面进行了自定义；
手工检查：
执行命令#grep ErrorDocument /usr/local/apache/httpd.conf，确认是否有自定义错误页面的配置。