信息安全工程师（79）网络安全测评概况

news2024/11/24 14:40:42

一、定义与目的

网络安全测评是指参照一定的标准规范要求，通过一系列的技术、管理方法，获取评估对象的网络安全状况信息，并对其给出相应的网络安全情况综合判定。其对象主要为信息系统的组成要素或信息系统自身。网络安全测评的目的是为了提高信息系统的安全防护能力，减少网络安全风险，确保公民个人信息安全以及国家关键信息基础设施的安全稳定运行。

二、发展背景

随着信息技术的快速发展，网络安全问题日益突出。为了应对网络安全威胁，各国纷纷加强网络安全管理，制定了一系列网络安全标准和规范。网络安全测评作为其中的重要环节，通过科学的方法和工具对信息系统进行安全评估，为信息系统的安全防护提供有力支持。

三、测评类型

网络安全测评可以根据不同的分类方式进行划分，主要包括以下几种类型：

基于测评目标分类：

网络信息系统安全等级测评：根据网络安全等级保护2.0标准，对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估。主要检测、评估信息系统在安全技术、安全管理等方面是否符合安全等级要求，并提出整改建议。
网络信息系统安全验收测评：根据用户申请的项目验收目标、范围，结合建设方案的实现目标、考核指标，对项目实施状况进行安全测试和评估，评价该项目是否满足安全验收要求中的各项安全技术指标、安全考核目标。
网络信息系统安全风险测评：从风险管理角度，评估系统面临的威胁、脆弱性导致安全事件的可能性，并提出针对性的抵御威胁的方法措施，将风险控制在可接受范围内。

基于测评内容分类：

技术安全测评：对信息系统的物理环境、通信网络、区域边界、计算环境、管理中心等技术层面进行安全性评估。
管理安全测评：对信息系统的安全管理制度、机构、人员、建设管理、运维管理等方面进行评估。

基于实施方式分类：

安全功能检测：对安全功能实现状况进行评估，检查安全功能是否满足目标、设计要求。
安全管理检测：检查分析管理要素、机制的安全状况，评估安全管理是否满足信息系统的安全管理要求。
代码安全审查：对定制开发的应用程序源代码进行静态安全扫描、审查，识别可能导致安全问题的编码缺陷和漏洞。
安全渗透测试：模拟黑客对目标系统进行渗透测试，以发现潜在的安全漏洞。
信息系统攻击测试：根据用户提出的各种攻击性测试要求（如DoS、恶意代码攻击），对应用系统的抗攻击能力进行测试。

四、测评流程与内容

网络安全测评的流程通常包括以下几个阶段：

测评准备：明确测评对象，开展风险评估，制定安全保护方案，编制测评文档等。
测评实施：根据测评方案，对信息系统进行技术检测和管理评估。技术检测包括物理安全、网络安全、主机安全、应用安全、数据安全等方面的测评；管理评估包括安全管理制度、机构、人员、操作规程等方面的评估。
测评报告：根据测评结果，编制测评报告，提出整改建议。
整改与复测：被测单位根据测评报告中的整改建议进行整改，整改完成后由测评机构进行复测，确保整改措施得到有效实施。

五、测评技术与工具

网络安全测评过程中常用的技术与工具包括：

漏洞扫描：使用网络安全漏洞扫描器、主机安全漏洞扫描器、数据库安全漏洞扫描器、Web应用安全漏洞扫描器等工具，获取测评对象的安全漏洞信息。
安全渗透测试：利用Metasploit、Nmap、Aircrack-ng等工具，模拟攻击者对测评对象进行安全攻击，以发现系统中的安全风险。
代码安全审查：对源代码/二进制代码进行安全符合性检查，典型代码安全缺陷类型包括缓冲区溢出、代码注入、跨站脚本、输入验证、API误用等。
协议分析：使用TCPDump、Wireshark等工具，检测协议安全性，监测网络数据流量，检测网络中的异常流量、攻击流量以及其他安全风险。
性能测试：利用性能监测工具（如操作系统自带工具）、Apache JMeter（开源）、LoadRunner（商业）、SmartBits（商业）等，评估性能状况，检查测评对象的承载性能压力/安全对性能的影响。