信息安全工程师(79)网络安全测评概况

一、定义与目的

       网络安全测评是指参照一定的标准规范要求,通过一系列的技术、管理方法,获取评估对象的网络安全状况信息,并对其给出相应的网络安全情况综合判定。其对象主要为信息系统的组成要素或信息系统自身。网络安全测评的目的是为了提高信息系统的安全防护能力,减少网络安全风险,确保公民个人信息安全以及国家关键信息基础设施的安全稳定运行。

二、发展背景

       随着信息技术的快速发展,网络安全问题日益突出。为了应对网络安全威胁,各国纷纷加强网络安全管理,制定了一系列网络安全标准和规范。网络安全测评作为其中的重要环节,通过科学的方法和工具对信息系统进行安全评估,为信息系统的安全防护提供有力支持。

三、测评类型

     网络安全测评可以根据不同的分类方式进行划分,主要包括以下几种类型:

  1. 基于测评目标分类

    • 网络信息系统安全等级测评:根据网络安全等级保护2.0标准,对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估。主要检测、评估信息系统在安全技术、安全管理等方面是否符合安全等级要求,并提出整改建议。
    • 网络信息系统安全验收测评:根据用户申请的项目验收目标、范围,结合建设方案的实现目标、考核指标,对项目实施状况进行安全测试和评估,评价该项目是否满足安全验收要求中的各项安全技术指标、安全考核目标。
    • 网络信息系统安全风险测评:从风险管理角度,评估系统面临的威胁、脆弱性导致安全事件的可能性,并提出针对性的抵御威胁的方法措施,将风险控制在可接受范围内。
  2. 基于测评内容分类

    • 技术安全测评:对信息系统的物理环境、通信网络、区域边界、计算环境、管理中心等技术层面进行安全性评估。
    • 管理安全测评:对信息系统的安全管理制度、机构、人员、建设管理、运维管理等方面进行评估。
  3. 基于实施方式分类

    • 安全功能检测:对安全功能实现状况进行评估,检查安全功能是否满足目标、设计要求。
    • 安全管理检测:检查分析管理要素、机制的安全状况,评估安全管理是否满足信息系统的安全管理要求。
    • 代码安全审查:对定制开发的应用程序源代码进行静态安全扫描、审查,识别可能导致安全问题的编码缺陷和漏洞。
    • 安全渗透测试:模拟黑客对目标系统进行渗透测试,以发现潜在的安全漏洞。
    • 信息系统攻击测试:根据用户提出的各种攻击性测试要求(如DoS、恶意代码攻击),对应用系统的抗攻击能力进行测试。

四、测评流程与内容

     网络安全测评的流程通常包括以下几个阶段:

  1. 测评准备:明确测评对象,开展风险评估,制定安全保护方案,编制测评文档等。
  2. 测评实施:根据测评方案,对信息系统进行技术检测和管理评估。技术检测包括物理安全、网络安全、主机安全、应用安全、数据安全等方面的测评;管理评估包括安全管理制度、机构、人员、操作规程等方面的评估。
  3. 测评报告:根据测评结果,编制测评报告,提出整改建议。
  4. 整改与复测:被测单位根据测评报告中的整改建议进行整改,整改完成后由测评机构进行复测,确保整改措施得到有效实施。

五、测评技术与工具

     网络安全测评过程中常用的技术与工具包括:

  1. 漏洞扫描:使用网络安全漏洞扫描器、主机安全漏洞扫描器、数据库安全漏洞扫描器、Web应用安全漏洞扫描器等工具,获取测评对象的安全漏洞信息。
  2. 安全渗透测试:利用Metasploit、Nmap、Aircrack-ng等工具,模拟攻击者对测评对象进行安全攻击,以发现系统中的安全风险。
  3. 代码安全审查:对源代码/二进制代码进行安全符合性检查,典型代码安全缺陷类型包括缓冲区溢出、代码注入、跨站脚本、输入验证、API误用等。
  4. 协议分析:使用TCPDump、Wireshark等工具,检测协议安全性,监测网络数据流量,检测网络中的异常流量、攻击流量以及其他安全风险。
  5. 性能测试:利用性能监测工具(如操作系统自带工具)、Apache JMeter(开源)、LoadRunner(商业)、SmartBits(商业)等,评估性能状况,检查测评对象的承载性能压力/安全对性能的影响。

六、测评质量管理

       网络安全测评质量管理是测评可信的基础性工作。国际上有ISO 9000等质量管理体系标准,我国则有中国合格评定国家认可委员会(CNAS)等权威机构对网络安全测评机构进行认可和监管。此外,网络安全测评还需遵循一系列标准和规范,如信息系统安全等级保护测评标准、产品测评标准、信息安全风险评估标准等。

总结

       综上所述,网络安全测评是确保信息系统安全性的重要手段。通过科学的方法和工具对信息系统进行安全评估,可以及时发现并消除安全隐患,提高信息系统的安全防护能力。

 结语   

世间万物没有对错

对错都在你的一念之间

!!!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/4882.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

Windows 系统上配置 SSH 密钥验证,实现无密码登录

Windows 系统上配置 SSH 密钥验证,实现无密码登录 在日常工作中,使用密码登录远程云服务器往往让人感到繁琐。云服务器的密码通常较长,难以记忆,每次登录都需要反复输入,既不便捷也影响效率。此外,由于网络…

俯仰 (pitch) 偏摆 (yaw) 翻滚 (roll)

pitch():俯仰,将物体绕X轴旋转(localRotationX) yaw():航向,将物体绕Y轴旋转(localRotationY) roll():横滚,将物体绕Z轴旋转(localRotationZ&…

es数据同步(仅供自己参考)

数据同步的问题分析: 当MySQL进行增删改查的时候,数据库的数据有所改变,这个时候需要修改es中的索引库的值,这个时候就涉及到了数据同步的问题 解决方法: 1、同步方法: 当服务对MySQL进行增删改的时候&…

从0开始学习Linux——Yum工具

往期目录: 从0开始学习Linux——简介&安装 从0开始学习Linux——搭建属于自己的Linux虚拟机 从0开始学习Linux——文本编辑器 上一个章节我们简单了解了Linux中常用的一些文本编辑器,本次教程我们将学习yum工具。 一、Yum简介 Yum(全名…

高级AI记录笔记(一)

学习位置 B站位置:红豆丨泥 UE AI 教程原作者Youtube位置:https://youtu.be/-t3PbGRazKg?siRVoaBr4476k88gct素材自备 提前将动画素材准备好 斧头蓝图 斧头武器插槽 混合空间 就是改了一下第三人称模版的动画蓝图 行为树中不用Wait实现攻击完…

ffmpeg的下载与安装

废话不多说, 下载地址,得找官网,不然得注意是不是有夹带私活。 FFmpeg 这个是目前的最新版本; 下载的时候看下自己要的版本,我的是Windows10; 解压后的版本长这样: 接下来进行环境变量的配置&…

【http协议笔记】-- 浏览器简单分析get、post请求

环境:为了了解http协议的交互方式,使用edge浏览器简单分析协议内容,给刚入门的小伙伴分享一下,方便大家学习。 以菜鸟教程的网站为例子: 分析post: 请求url: 请求参数: 请求相应&a…

SpringBoot【实用篇】- 热部署

文章目录 目标:1.手动启动热部署2.自动启动热部署4.禁用热部署 目标: 手动启动热部署自动启动热部署热部署范围配置关闭热部署 1.手动启动热部署 当我们没有热部署的时候,我们必须在代码修改完后再重启程序,程序才会同步你修改的信息。如果我们想快速查…

vue3相对vue2有哪些改变?

https://blog.csdn.net/weixin_44475093/article/details/112386778 https://blog.csdn.net/userDengDeng/article/details/114941956 一、vue3的新特性: 1、速度更快 vue3相比vue2 重写了虚拟Dom实现编译模板的优化更高效的组件初始化undate性能提高1.3~2倍SSR速度…

数据库概论实验一

声明:著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。 本文章对数据库概论实验一_求出一箱(每箱装100个)零件的重量 并将输出结果-CSDN博客文章浏览阅读2.7k次,点赞4次,收藏25次。实验数据库,表…

绿色能源发展关键:优化风电运维体系

根据QYResearch调研团队最新发布的《全球风电运维市场报告2023-2029》显示,预计到2029年,全球风电运维市场的规模将攀升至307.8亿美元,并且在接下来的几年里,其年复合增长率(CAGR)将达到12.5%。 上述图表及…

gerrit 搭建遇到的问题

1、启动Apache,端口被占用 : AH00072: make sock: could not bind to address (0S 10048)通常每个套接字地址(协议/网络地址/端口)只允许使用一次。: AH00072: make sock: could not bind to address 0.0.0.:443 a AH00451: no listening sockets available, shutti…

栈和队列相关题 , 用队列实现栈, 用栈实现队列 ,设计循环队列 C/C++双版本

文章目录 1.用队列实现栈2.用栈实现队列3. 设计循环队列 1.用队列实现栈 225. 用队列实现栈 思路: 使用两个队列,始终保持一个队列为空。 当我们需要进行压栈操作时,将数据压入不为空的队列中(若两个都为空,则随便压…

关于STM32在代码中的而GPIO里面的寄存器(ODR等)不需要宏定义的问题

1.GPIO为什么需要宏定义地址 在 STM32 这样的微控制器中,硬件寄存器的地址是固定的并且特定于每个外设(比如 GPIOA、GPIOB 等)。为了方便代码访问这些硬件寄存器,我们通常会使用宏定义来指定每个外设的基地址。这样做有几个理由&a…

kimi智能助手,5大高阶玩法,95%的人还不知道

01 智能搜索:精准定位,一键获取最佳答案 Kimi,作为您的AI助手,拥有卓越的网络搜索能力。 我们能够迅速穿梭于信息海洋,为您筛选出五篇精选网络文章,并提供直接的网址链接。 Kimi的总结能力同样出色,特别适合那些追求效率、不愿深陷长篇文章的用户。 02 PDF速读:快速把…

关于数学建模的一些介绍

为了更好了解世界,我们可以通过数学来描述许多特定的现象,而数学模型就是现实世界的理想化,不过它永远不能完全精确地表示现实世界。 在这篇文章中,我将介绍一些数学建模的基本概念以及相应的基础知识,而关于更具体的…

远翔升压恒流芯片FP7209X与FP7209M什么区别?做以下应用市场摄影补光灯、便携灯、智能家居(调光)市场、太阳能、车灯、洗墙灯、舞台灯必看!

一,概述 FP7209是台湾远翔一款非同步升压LED驱动IC,封装有2种,分别是SOP-8L(EP), TSSOP-14L(EP)。控制外部开关NMOS。 输入低启动电压2.8V,可支持单节锂电池供电。工作电压5V,VFB反馈电压0.25V,反馈电压低…

算法日记 18 day 二叉树

最后三题,二叉树就结束啦!!! 题目:修剪二叉搜索树 669. 修剪二叉搜索树 - 力扣(LeetCode) 给你二叉搜索树的根节点 root ,同时给定最小边界low 和最大边界 high。通过修剪二叉搜索树…

hashcat使用

0.介绍 Hashcat 软件是一款非常强大的、开源的、号称世界上最快的密码破解软件,配合强大的字典,可以破译超过百分之九十的密码。Hashcat 目前支持各类公开算法高达240类,市面上公开的密码加密算法基本都支持,有 Microsoft LM 哈希…

mysql 安装 windows

新版安装 新版本安装 如果出现initializing database无法安装 则用我当前版本传送门 如MySQL 安装时没有developer default 选项 解决方法传送门 如果上述还不行 可以选择full 汉化下载 传送门