安全检测方案

安

全

检

测方

案

二零零八年四月

目录

一.目的2

二. 项目实施时间和地点3

2.1 项目实施时间3

2.2 项目实施地点3

三.项目具体实施方法3

3.1 重点评估具体内容4

3.2 评估项目总体流程7

3.3 具体流程举例8

五. 双方及设备厂商项目组成人员9

六. 项目实施质量控制10

6.1 过程控制10

七. 项目实施时间进度表11

八．项目管理文档模版12

8.1 会议纪要模版12

8.2 工程开工通知单模版13

8.3 事故记录表模版13

8.4工程实施记录表14

九. 项目文档管理要求15

十一. 工程验收16

11.1正式验收要项17

11.2验收流程17

一.目的

为保障客户网络、业务系统、数据库等安全稳定的运行，****对客户业务系统及相关支撑系统进行全面的安全检测。安全检测分两次进行，第一次安排在六

月中旬，第二次安排在七月上旬。在每次安全检测完毕由****提供《业务系统安全检测报告》和《业务系统安全漏洞修复方案》，并指导客户相关人员对业务系统及相关支撑系统进行安全修复或整改。

安全检测是对客户业务系统及相关支撑系统进行安全风险分析和评估，主要检测有以下几方面：

1、网络规划与布局的安全性评估；

2、网络基础设施安全性与稳定性评估；

3、边界防御设施与接入安全性评估；

4、服务器主机系统安全性与稳定性评估；

5．数据库安全性评估；

6．业务系统安全性评估。

第一次安全检测是对客户业务系统及相关支撑系统进行全面的安全检测和安全漏洞修复。第二次安全检测是在第一次的基础上再次对对客户业务系统及相关支撑系统进行安全检测，找出没有修复的安全漏洞和还存在的安全漏洞。

二. 项目实施时间和地点

2.1 项目实施时间

*********

2.2 项目实施地点

*********

三.项目具体实施方法

安全评估指的是对网络系统进行安全风险分析和评估。选取在业务系统、网络服务、主机操作系统平台、网络规划与布局、数据库等方面作为安全评估的对象。

风险评估是网络安全重要的一环，在这里主要是以安全检测、扫描和风险评

估技术来实现，以预先发现信息系统中存在的安全隐患，并及时解决问题。评估能使网络系统具有预先识别和防X风险的功能。风险评估系统用于评估和管理网络、防火墙、WEB服务器、应用服务器及数据库存在的安全风险和漏洞，企业安全管理员可以根据安全评估报告优化主机和网络设备的安全策略配置，进一步提高安全性。

3.1 重点评估具体内容

1、网络规划与布局的安全性评估

✓网络拓扑规划分析

✓网络流量分析

✓网络逻辑结构分析

⏹子网/VLAN的合理划分分析

⏹域和工作组划分安全分析

⏹数据广播域分离分析

⏹IP地址规划分析

⏹共享资源架设效率分析

⏹网络访问控制分析

⏹VPN系统安全分析

2、网络基础设施安全性与稳定性评估

◆路由器安全配置

◆交换机安全配置

◆拨号服务器安全配置

◆防火墙安全配置

◆设备口令审计

◆设备开放服务安全审计

◆网管软件安全性审计

◆设备固件或OS安全分析

◆设备访问控制列表分析

◆设备稳定性测试分析(各种DoS拒绝服务测试)

3、服务器主机系统安全性与稳定性评估

◆服务器主机操作系统内核、版本及补丁审计

◆服务器主机操作系统通用/默认应用程序安全性审计

◆服务器主机后门检测

◆服务器主机漏洞检测

◆服务器主机安全配置审计

◆服务器主机用户权限审计

◆服务器主机口令审计

◆服务器主机文件系统安全性审计

4、数据库系统安全性评估

◆Oracle/MSSQL数据库系统用户权限审计

◆Oracle/MSSQL数据库系统口令审计

◆Oracle/MSSQL数据库系统数据同步或热备份机制可靠性审计

◆Oracle/MSSQL数据库系统存储进程安全机制审计

◆Oracle/MSSQL数据库日志审计分析

◆Oracle/MSSQL数据库系统灾难处理及预防安全机制审计

◆Oracle/MSSQL数据库系统与前台接口安全访问控制机制审计

5、边界防御设施与接入安全性评估

◆生产系统跨域访问需求分析

◆防火墙安全策略审计

◆(外网发起)生产网远程入侵整体测试

◆接入节点主机安全性测试

◆分支机构网络边界安全性模拟攻击测试

6.、业务系统安全性评估

◆业务系统支撑软件安全评估，如Apache、oss

◆业务系统重要部分代码检测

◆业务系统口令审计

◆业务系统数据传输XX性检测

◆业务系统权限划分

◆业务系统数据备份安全性

◆业务系统数据同步安全性

安全评估主要通过以下二种方式进行：

主要方式为工具扫描和人工分析。下面列表介绍NS在平台层次实施过程中用到的部分工具和手段：

人工分析

安全检测的内容涉及：

远程越权存取

系统后门及木马程序

拒绝服务(Denial of Service)

CGI（通用网关接口）或ASP、JSP和其它动态网页程序的安全性

防火墙(FireWall)设置

文件传输服务安全性

密码安全性

操作系统内核的安全性

网络协议和配置的安全性