信息安全工程师(79)网络安全测评概况

一、定义与目的

       网络安全测评是指参照一定的标准规范要求,通过一系列的技术、管理方法,获取评估对象的网络安全状况信息,并对其给出相应的网络安全情况综合判定。其对象主要为信息系统的组成要素或信息系统自身。网络安全测评的目的是为了提高信息系统的安全防护能力,减少网络安全风险,确保公民个人信息安全以及国家关键信息基础设施的安全稳定运行。

二、发展背景

       随着信息技术的快速发展,网络安全问题日益突出。为了应对网络安全威胁,各国纷纷加强网络安全管理,制定了一系列网络安全标准和规范。网络安全测评作为其中的重要环节,通过科学的方法和工具对信息系统进行安全评估,为信息系统的安全防护提供有力支持。

三、测评类型

     网络安全测评可以根据不同的分类方式进行划分,主要包括以下几种类型:

  1. 基于测评目标分类

    • 网络信息系统安全等级测评:根据网络安全等级保护2.0标准,对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估。主要检测、评估信息系统在安全技术、安全管理等方面是否符合安全等级要求,并提出整改建议。
    • 网络信息系统安全验收测评:根据用户申请的项目验收目标、范围,结合建设方案的实现目标、考核指标,对项目实施状况进行安全测试和评估,评价该项目是否满足安全验收要求中的各项安全技术指标、安全考核目标。
    • 网络信息系统安全风险测评:从风险管理角度,评估系统面临的威胁、脆弱性导致安全事件的可能性,并提出针对性的抵御威胁的方法措施,将风险控制在可接受范围内。
  2. 基于测评内容分类

    • 技术安全测评:对信息系统的物理环境、通信网络、区域边界、计算环境、管理中心等技术层面进行安全性评估。
    • 管理安全测评:对信息系统的安全管理制度、机构、人员、建设管理、运维管理等方面进行评估。
  3. 基于实施方式分类

    • 安全功能检测:对安全功能实现状况进行评估,检查安全功能是否满足目标、设计要求。
    • 安全管理检测:检查分析管理要素、机制的安全状况,评估安全管理是否满足信息系统的安全管理要求。
    • 代码安全审查:对定制开发的应用程序源代码进行静态安全扫描、审查,识别可能导致安全问题的编码缺陷和漏洞。
    • 安全渗透测试:模拟黑客对目标系统进行渗透测试,以发现潜在的安全漏洞。
    • 信息系统攻击测试:根据用户提出的各种攻击性测试要求(如DoS、恶意代码攻击),对应用系统的抗攻击能力进行测试。

四、测评流程与内容

     网络安全测评的流程通常包括以下几个阶段:

  1. 测评准备:明确测评对象,开展风险评估,制定安全保护方案,编制测评文档等。
  2. 测评实施:根据测评方案,对信息系统进行技术检测和管理评估。技术检测包括物理安全、网络安全、主机安全、应用安全、数据安全等方面的测评;管理评估包括安全管理制度、机构、人员、操作规程等方面的评估。
  3. 测评报告:根据测评结果,编制测评报告,提出整改建议。
  4. 整改与复测:被测单位根据测评报告中的整改建议进行整改,整改完成后由测评机构进行复测,确保整改措施得到有效实施。

五、测评技术与工具

     网络安全测评过程中常用的技术与工具包括:

  1. 漏洞扫描:使用网络安全漏洞扫描器、主机安全漏洞扫描器、数据库安全漏洞扫描器、Web应用安全漏洞扫描器等工具,获取测评对象的安全漏洞信息。
  2. 安全渗透测试:利用Metasploit、Nmap、Aircrack-ng等工具,模拟攻击者对测评对象进行安全攻击,以发现系统中的安全风险。
  3. 代码安全审查:对源代码/二进制代码进行安全符合性检查,典型代码安全缺陷类型包括缓冲区溢出、代码注入、跨站脚本、输入验证、API误用等。
  4. 协议分析:使用TCPDump、Wireshark等工具,检测协议安全性,监测网络数据流量,检测网络中的异常流量、攻击流量以及其他安全风险。
  5. 性能测试:利用性能监测工具(如操作系统自带工具)、Apache JMeter(开源)、LoadRunner(商业)、SmartBits(商业)等,评估性能状况,检查测评对象的承载性能压力/安全对性能的影响。

六、测评质量管理

       网络安全测评质量管理是测评可信的基础性工作。国际上有ISO 9000等质量管理体系标准,我国则有中国合格评定国家认可委员会(CNAS)等权威机构对网络安全测评机构进行认可和监管。此外,网络安全测评还需遵循一系列标准和规范,如信息系统安全等级保护测评标准、产品测评标准、信息安全风险评估标准等。

总结

       综上所述,网络安全测评是确保信息系统安全性的重要手段。通过科学的方法和工具对信息系统进行安全评估,可以及时发现并消除安全隐患,提高信息系统的安全防护能力。

 结语   

世间万物没有对错

对错都在你的一念之间

!!!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/913747.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

【Leecode】Leecode刷题之路第46天之全排列

题目出处 46-全排列-题目出处 题目描述 个人解法 思路: todo代码示例:(Java) todo复杂度分析 todo官方解法 46-全排列-官方解法 预备知识 回溯法:一种通过探索所有可能的候选解来找出所有的解的算法。如果候选解…

机器学习—选择激活函数

可以为神经网络中的不同神经元选择激活函数,我们将从如何为输出层选择它的一些指导开始,事实证明,取决于目标标签或地面真相标签y是什么,对于输出层的激活函数,将有一个相当自然的选择,然后看看激活函数的选…

97_api_intro_imagerecognition_pdf2word

通用 PDF OCR 到 Word API 数据接口 文件处理,OCR,PDF 高可用图像识别引擎,基于机器学习,超精准识别率。 1. 产品功能 通用识别接口;支持中英文等多语言字符混合识别;formdata 格式 PDF 文件流传参&#xf…

不适合的学习方法

文章目录 不适合的学习方法1. 纯粹死记硬背2. 过度依赖单一资料3. 线性学习4. 被动学习5. 一次性学习6. 忽视实践7. 缺乏目标导向8. 过度依赖技术9. 忽视个人学习风格10. 过于频繁的切换 结论 以下是关于不适合的学习方法的更详细描述,包括额外的内容和相关公式&…

刷题笔记——栈和队列互相冒充

刷题笔记——栈和队列互相冒充 5.3 用队列实现栈两队列实现栈一个队列实现栈 5.4 用栈实现队列两栈实现队列push栈和pop栈一个栈实现队列 5.3 用队列实现栈 原OJ题:225. 用队列实现栈 - 力扣(LeetCode) 两队列实现栈 入栈的实现 选非空的…

Mysql基础 01 数据与sql

文章目录 一、基本概念二、mysql的常用命令三、sql规范四、数据类型五、SQL语句 一、基本概念 数据库(database,DB):存储数据的仓库。 数据库管理系统软件(Database Management System,DBMS):是一种操作和管理数据库的大型软件。常见的DBMS有oracle、s…

5G NR:各物理信道的DMRS配置

DMRS简介 在5G中,DMRS(DeModulation Reference Signal)广泛存在于各个重要的物理信道当中,如下行的PBCH,PDCCH和PDSCH,以及上行的PUCCH和PUSCH。其最为重要的作用就是相干解调(Coherence Demodu…

从零开始:利用Portainer CE和cpolar搭建NextCloud私有云存储

文章目录 前言1. 在PortainerCE中创建NextCloud容器2. 公网远程访问本地NextCloud容器2.1 内网穿透工具安装3.2 创建远程连接公网地址 3. 固定NextCloud私有云盘公网地址 前言 本文将介绍如何在本地利用Portainer CE的可视化界面创建NextCloud私有云盘容器,并通过c…

第三十七章 Vue之编程式导航及跳转传参

目录 一、编程式导航跳转方式 1.1. path 路径跳转 1.1.1. 使用方式 1.1.2. 完整代码 1.1.2.1. main.js 1.1.2.2. App.vue 1.1.2.3. index.js 1.1.2.4. Home.vue 1.1.2.5. Search.vue 1.2. name 命名路由跳转 1.2.1. 使用方式 1.2.2. 完整代码 1.2.2.1. main.js 1…

人工智能(AI)和机器学习(ML)技术学习流程

目录 人工智能(AI)和机器学习(ML)技术 自然语言处理(NLP): Word2Vec: Seq2Seq(Sequence-to-Sequence): Transformer: 范式、架构和自注意力: 多头注意力: 预训练、微调、提示工程和模型压缩: 上下文学习、思维链、全量微调、量化、剪枝: 思维树、思维…

升级改进策略:鸡只图像分割

鸡只图像分割系统源码&数据集分享 [yolov8-seg-rtdetr&yolov8-seg-p2等50全套改进创新点发刊_一键训练教程_Web前端展示] 1.研究背景与意义 项目参考ILSVRC ImageNet Large Scale Visual Recognition Challenge 项目来源AAAI Global Al lnnovation C…

1.62亿元!812个项目立项!上海市2024年度“科技创新行动计划”自然科学基金项目立项

本期精选SCI&EI ●IEEE 1区TOP 计算机类(含CCF); ●EI快刊:最快1周录用! 知网(CNKI)、谷歌学术期刊 ●7天录用-检索(100%录用),1周上线; 免费稿件评估 免费匹配期…

软件设计师下午题UML15分

一、涉及到的图及对应关系 二、例题 1.用例图和类图的例题 解析及答案 2.状态图和类图的例题 3.通信图和类图例题 例题

如何找到养生生活视频素材?推荐几个优秀网站

今天,我们来聊一个实用的话题,那就是如何找到优质的养生视频素材。作为自媒体创作者,高质量的视频素材对内容制作至关重要。不论你是刚入行的新手,还是已经积累了一定粉丝的大V,找到合适的养生视频素材都能帮助你更好地…

书生大模型第四期闯关任务与笔记

书生大模型第四期闯关任务与笔记 入门岛第一关 Linux闯关任务:完成SSH连接与端口映射并运行hello_world.py笔记与过程SSH端口映射linux文件管理命令linux进程管理命令 第二关 Python闯关任务:Leetcode 383(笔记中提交代码与leetcode提交通过截图)闯关任务…

Zabbix 7 最新版本安装 Rocky Linux 8

前言 本实验主要在Rocky Linux 中安装Zabbix,其他centos8、Debian、Ubuntu、Alma Linux都可以安装,就是在中间件有点不同。Nginx就要配置一下,官网给的教程也算是很规范的,就是在MySQL上要自己安装,他没有告诉我们&am…

Odoo:免费开源的钢铁冶金行业ERP管理系统

文 / 开源智造 Odoo亚太金牌服务 简介 Odoo免费开源ERP集成计质量设备大宗原料采购,备件设材全生命周期,多业务模式货控销售,全要素追溯单品,无人值守计量物流,大宗贸易交易和精细化成本管理等方案;覆盖…

刷题强训(day05) -- 游游的you、腐烂的苹果、孩子们的游戏(圆圈中最后剩下的数)

目录 1、游游的you 1.1 题目 1.2 思路 1.3 代码实现 2、腐烂的苹果 2.1 题目 2.2 思路 2.3 代码实现 3、孩子们的游戏(圆圈中最后剩下的数) 3.1 题目 3.2 思路 3.3 代码实现 3.3.1 环形链表 ​编辑3.3.2 动态规划 ​编辑 1、游游的you 1.1 题目 1.2 思路 根据题…

Java | Leetcode Java题解之第546题移除盒子

题目: 题解: class Solution {int[][][] dp;public int removeBoxes(int[] boxes) {int length boxes.length;dp new int[length][length][length];return calculatePoints(boxes, 0, length - 1, 0);}public int calculatePoints(int[] boxes, int l…

精华帖分享|历史波动率和已实现波动率纠缠研究

本文来源于量化小论坛公共讨论区板块精华帖,作者为期权罗,发布于2023年11月24日。 以下为精华帖正文: 01 思路由来 波动率研究有很多学术化得研究成果,比较枯燥/难,最近结合波动率继续交易了段时间,一是开…