網(wǎng)絡安全測評培訓教程

第一部分  基本思想和方法
第1章  安全測評概述 3
1．1  安全測評在網(wǎng)絡安全保障體系中的作用 3
1．1．1  信息安全概述 3
1．1．2  信息安全保障體系 6
1．1．3  安全測評的作用 14
1．2  安全測評基本概念 15
1．2．1  國內(nèi)外信息安全測評發(fā)展狀況 15
1．2．2  信息安全測評技術 17
1．2．3  信息安全測評方法 22
1．2．4  信息安全測評要求 25
1．2．5  信息安全測評流程 25
1．3  本章小結 29
第2章  信息安全合規(guī)性與標準要求 30
2．1  信息系統(tǒng)安全合規(guī)性 32
2．1．1  保密檢查 32
2．1．2  信息安全等級保護 33
2．1．3  信息安全風險評估 35
2．2  信息技術產(chǎn)品及信息安全產(chǎn)品合規(guī)性 36
2．2．1  安全保密產(chǎn)品檢測 37
2．2．2  商用密碼產(chǎn)品銷售許可 37
2．2．3  計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可 40
2．2．4  政府采購強制認證 42
2．3  本章小結 46
第二部分  主要技術和實施流程
第3章  數(shù)據(jù)安全測評 49
3．1  數(shù)據(jù)安全測評方法 49
3．1．1  數(shù)據(jù)完整性測評方法 50
3．1．2  數(shù)據(jù)保密性測評方法 50
3．1．3  數(shù)據(jù)災備能力測評方法 51
3．2  數(shù)據(jù)安全測評的實施 52
3．2．1  數(shù)據(jù)完整性測評的實施 52
3．2．2  數(shù)據(jù)保密性測評的實施 53
3．2．3  數(shù)據(jù)災備能力測評的實施 54
3．3  本章小結 54
第4章  主機安全測評 56
4．1  主機安全測評方法 56
4．1．1  主機安全測評依據(jù) 56
4．1．2  主機安全測評對象及內(nèi)容 57
4．1．3  主機安全測評方式 58
4．1．4  主機安全測評工具 59
4．2  主機安全測評的實施 59
4．2．1  Windows服務器操作系統(tǒng)的測評實施 60
4．2．2  Windows終端操作系統(tǒng)的測評實施 64
4．2．3  Linux操作系統(tǒng)的測評實施 65
4．2．4  Mac OS X系統(tǒng)的測評實施 68
4．2．5  iOS系統(tǒng)的測評實施 69
4．2．6  Android系統(tǒng)的測評實施 70
4．2．7  Oracle系統(tǒng)的測評實施 70
4．2．8  SQL Server系統(tǒng)的測評實施 73
4．2．9  虛擬化軟件的測評實施 75
4．3  本章小結 77
第5章  網(wǎng)絡安全測評 79
5．1  網(wǎng)絡安全測評方法 79
5．1．1  網(wǎng)絡安全測評依據(jù) 79
5．1．2  網(wǎng)絡安全測評對象及內(nèi)容 79
5．1．3  網(wǎng)絡安全測評方式 81
5．1．4  網(wǎng)絡安全測評工具 81
5．2  網(wǎng)絡安全測評的實施 82
5．2．1  網(wǎng)絡結構安全測評 83
5．2．2  網(wǎng)絡訪問控制機制測評 84
5．2．3  網(wǎng)絡安全審計機制測評 85
5．2．4  邊界完整性機制測評 86
5．2．5  網(wǎng)絡入侵防范機制測評 86
5．2．6  惡意代碼防范機制測評 87
5．2．7  網(wǎng)絡設備防護機制測評 87
5．3  本章小結 88
第三部分  主要方法與內(nèi)容
第6章  威脅識別 91
6．1  威脅概述 91
6．2  威脅識別的諸方面 91
6．2．1  基于來源的威脅分類 91
6．2．2  基于表現(xiàn)形式的威脅分類 92
6．2．3  威脅賦值方法 93
6．3  威脅識別案例分析 93
6．3．1  案例1某省SDH環(huán)網(wǎng)的威脅識別 95
6．3．2  案例2某IP承載網(wǎng)節(jié)點的威脅識別 95
6．4  本章小結 96
第7章  脆弱性識別 97
7．1  脆弱性概述 97
7．1．1  脆弱性的相關要素 97
7．1．2  信息系統(tǒng)的脆弱性 98
7．1．3  脆弱性識別 99
7．2  脆弱性識別的諸方面 99
7．2．1  脆弱性發(fā)現(xiàn) 99
7．2．2  脆弱性分類 100
7．2．3  脆弱性驗證 101
7．2．4  脆弱性賦值 101
7．3  脆弱性識別案例分析 102
7．3．1  系統(tǒng)介紹 102
7．3．2  資產(chǎn)識別 104
7．3．3  技術脆弱性識別及賦值 105
7．3．4  管理脆弱性識別及賦值 107
7．3．5  脆弱性驗證 108
7．3．6  脆弱性識別輸出報告 114
7．4   本章小結 114
第8章  風險評估 115
8．1  風險評估原理 115
8．2  風險評估實施流程 116
8．2．1  風險評估準備 117
8．2．2  資產(chǎn)識別 117
8．2．3  威脅識別 117
8．2．4  脆弱性識別 118
8．2．5  已有安全措施確認 119
8．2．6  風險分析 119
8．3  風險評估實踐 122
8．4  本章小結 124
第四部分  案例及國外最新進展
第9章  安全測評案例 127
9．1  安全測評工具 127
9．1．1  網(wǎng)絡數(shù)據(jù)分析工具 127
9．1．2  端口探測和指紋識別工具 128
9．1．3  漏洞掃描工具 128
9．1．4  滲透測試工具 129
9．1．5  Web應用安全測評工具 130
9．2  Web安全測評案例 131
9．2．1  Web安全測評概述 131
9．2．2  Web安全測評實施過程 131
9．2．3  Web安全滲透測試 134
9．3  移動支付與互聯(lián)網(wǎng)金融安全測評案例 141
9．3．1  集成電路與芯片安全測試案例 141
9．3．2  金融IC卡、金融EMV標準 148
9．3．3  二維碼及動態(tài)二維碼安全風險 152
9．3．4  USB Key安全風險及測評案例 155
9．3．5  OTP安全風險及測評案例 157
9．4  本章小結 158
第10章  信息安全測評新領域 159
10．1  云計算環(huán)境安全測評 159
10．1．1  云計算環(huán)境的安全風險和需求 159
10．1．2  云計算環(huán)境的安全標準 160
10．1．3  云計算環(huán)境的測評內(nèi)容和指標 161
10．2  工業(yè)控制系統(tǒng)安全測評 163
10．2．1  工業(yè)控制系統(tǒng)簡介 163
10．2．2  工業(yè)控制系統(tǒng)的特點和安全風險 163
10．2．3  工業(yè)控制系統(tǒng)的測評內(nèi)容和方法 165
10．3  移動安全測評 166
10．3．1  移動應用的安全風險 167
10．3．2  移動應用的安全測評方法 169
10．4  本章小結 172