2023年信息安全等级测评师培训教程初级学习笔记.pdf

《2023年信息安全等级测评师培训教程初级学习笔记.pdf》由会员分享，可在线阅读，更多相关《2023年信息安全等级测评师培训教程初级学习笔记.pdf（54页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第一章网络安全测评1.1 网络全局1.1.1结构安全a）应保证重要网络设备的业务解决能力有冗余空间，满足业务高峰期需要b）应保证网络各个部分的带宽满足业务高峰期需要；c）应在业务终端与业务服务器之间进行路由控制建立安全的访问途径；d）应绘制与当前运营情况相符的网络拓扑结构图；e）应根据各部分的工作职能、重要性和所涉及信息的重要限度等因素，划分不同的子网和网段，并按照方便管理和控制的原则为各子网、网段分派地址段f）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采用可靠的技术隔离手段g）应按照对业务服务的重要顺序来制定带宽分派优先级别，保证在网络发生拥堵时优先保护重

2、要主机。1.1.2 边界完整性检查a）应可以对非授权设备私自联到内部网络的行为进行检查，准拟定位，并对其进行有效阻断；技术手段:网络接入控制，关闭网络设备未使用的端口、IP/MA C 地址绑定等管理措施;进入机房全程陪同、红外视频监控等b）应可以对内部网络用户私自联到外部网络的行为进行检查，准拟定位，并对其进行有效阻断;1.1.3入侵防范a）应在网络边界处监视以下袭击行为：端口扫描、强力袭击、木马后门袭击、拒绝服务袭击、缓冲区溢出袭击、IP碎片袭击和网络蠕虫袭击等；b）当检测到袭击行为时，记录袭击源I P、袭击类型、袭击目的、袭击时间，在发生严重入侵事件时应提供报警1.1.4 恶意代码防范a）

3、应在网络边界处对恶意代码进行检测和清除；b）应维护恶意代码库的升级和检测系统的更新1.2 路由器1.2.1访问控制a）应在网络边界处部署访问控制设备，启用访问控制功能；可以起访问控制功能的设备有：网闸、防火墙、路由器和三层路由互换机等b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；c）应对进出网络的信息内容进行过滤，实现相应用层HTT P,FTP,TELNET,SMTP,POP3等协议命令级的控制d）应在会话处在非活跃一定期间或会话结束后终止网络连接；e）应限制网络最大流量数及网络连接数；路由器可根据IP地址、端口、协议来限制应用数据流的最大流量；根据IP地址

4、来限制网络连接数路由器的带宽策略一般采用分层的带宽管理机制，管理员可以通过设立细粒度的带宽策略，对数据报文做带宽限制和优先级别设定，还可以通过源地址、目的地址、用户和协议4个方面来限制带宽f）重要网段应采用技术手段防止地址欺骗地址欺骗中的地址可以使M AC地址，也可以使IP地址。目前发生比较多的是ARP地址欺骗,ARP 地址欺骗是 MAC 地址欺骗的一种。A RP（Ad dre ss Reso 1 u t ion Pr o t o col,地址解析协议）是一个位于TCP/IP协议栈中的低层协议，负责将某个I P地址解析成相应的MAC地址。ARP欺骗分为2种，一种是对网络设备ARP表的欺骗，另一

5、种是对内网PC的网关欺骗。解决方法：1在网络设备中把所有PC的IP-M A C输入到一个静态表中，这 叫I P-MAC绑定；2.在内网所有P C上设立网关的静态ARP信息，这叫PC IP-MAC绑定。一般规定2个工作都要做，称 为IP-MAC双向绑定g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户h）应限制具有拨号访问权限的用户数量1.2.2 安全审计a）应对网络系统中的网络设备运营状况、网络流量、用户行为等进行日记记录；b）审计记录应涉及：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c）应可以根据记录数据进行分析，并

6、生成审计报表；d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等;1.2.3网络设备防护a）应对登陆网络设备的用户进行身份鉴别；一 一用户登录路由器的方式涉及：&1 运用控制台端口（Conso通过串口进行本地连接登录；&2运用辅助端口（AUX）通过MODEM进行远程拨号连接登录&3运用虚拟终端（VTY）通过TCP/I P网络进行远程登录无论哪一种登录方式，都需要对用户身份进行鉴别，口令是路由器用来防止非授权访问的常用手段，是路由器安全的一部分。一 一需要加强对路由器口令的管理，涉及口令的设立和存储，最佳的口令存储方式是保存在TACACS+或RADIUS认证服务器上。检查方法：1）在特

7、权模式下输入命令sh o w r u n ning.config会输出该路由器相关配置信息2）检查配置信息中是否存在类似如下的配置信息L i ne v t y 0 4（虚拟终端）LoginPa s s word xxxxxLine a ux 0（辅助端口）L oginP a s s word xxxxxxLin e c o n 0（控制台端口）L o g inP a ssword xxx x x3）为特权用户设立口令时，应当使用e n able seer e t命令该命令用于设定具有管理员权限的口令，enab 1 e secret命令采用的是M D 5算法,这种算法比enable pas s

8、w o r d加密算法强，不容易被破解。4）假如设备启用了 A A A认证，则查看配置信息应当存在类似如下配置信息aa a n ew-mo d eltacacs-ser v er host 1 92.168.1.1 s i ngle-conn e ctingta c a cs-se r v e r k e y s h a r e d la a a n ew-mod e Iradius-s erver h o s 1 1 9 2.16 8.1.1r a dius s e r v er k e y shar e d l1 ine v t y 0 4aaa aut h oriza t io n 1

9、oginb）应对网络设备的管理员登录地址进行限制；c）网络设备用户的标记应唯一；d）重要网络设备应对同一用户选择2种或2种以上组合的鉴别技术来进行身份鉴别；双因子鉴别还需要访问者拥有鉴别特性：采用令牌、智能卡、数字证书和生物信息等e）身份鉴别信息应具有不易被冒用的特点,口令应有复杂度规定并定期更换；f）应具有登录失败解决功能，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；g）当对网络设备进行远程管理时，应采用必要措施防止鉴别信息在网络传输过程中被窃听；不应当使用明文传送的Telnet、h t t p服务，应当采用SSH、HTTP S等加密协议等方式来进行交互式管理h）应实

10、现设备特权用户的权限分离;1.3互换机1.3.1 访问控制a）应在网络边界部署访问控制设备，启用访问控制功能；b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级c）应对进出网络的信息内容进行过滤，实现相应用层HTTP、FTP、Te 1 n e t、SMTP、POP3等协议命令级的控制d）应在会话处在非活跃一定期间或会话结束后终止网络连接；e）应限制网络最大流量数及网络连接数互换机可根据I P地址、端口、协议来限制应用数据流的最大流量；根 据I P地址来限制网络连接数互换机的带宽策略一般采用分层的带宽管理机制，管理员可以通过设立细粒度的带宽策略，对数据报文做带宽限制

11、和优先级别设定，还可以通过源地址、目的地址、用户和协议4个方面来限制带宽f）重要网段应采用技术手段防止地址欺骗g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。1.3.2 安全审计a）应对网络系统中的网络设备运营状况、网络流量、用户行为等进行日记记录；b）审计记录应涉及：时间的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c）应可以根据记录数据进行分析，并生成审计报表d）应对审计记录进行保护，避免受到未预期的删除、修改或者覆盖等1.3.3网络设备保护a）应对登陆网络设备的用户进行身份鉴别；b）应对网络设备的管理员登陆地址进行限

12、制c）网络设备用户的标记须唯一d）重要网络设备应对同一用户选择2 种或者2 种以上组合的鉴别技术来进行身份鉴别；e）身份鉴别信息应具有不易被冒用的特点，口令应有复杂度规定并定期更换；f）应具有登录失败解决功能，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；g）当对网络设备进行远程管理时,应采用必要措施防止鉴别信息在网络传输过程中被窃听h）应实现设备特权用户的权限分离1.3.3网络设备防护a）应对登录网络设备的用户进行身份鉴别b）应对网络设备的管理员登录地址进行限制；c）网络设备用户的标记应唯一；d）重要网络设备应对同一用户选择2 种或2 种以上组合的鉴别技术来进行身份鉴别

13、e）身边鉴别信息应当具有不易被冒用的特点，口令应有复杂限度规定并定期更换；f）应具有登录失败解决的功能，可采用结束会话，限制非法登录次数和当网络登录连接超时自动退出的措施；g）当对网络设备进行远程管理时,应采用必要措施防止鉴别信息在网络传输过程中被窃听h）应实现设备特权用户的权限分离1.4防火墙1.4.1 访问控制a）应在网络边界部署访问控制设备,启用访问控制功能；b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；防火墙的安全策略的配置应当根据信息系统的应用进行配置，只允许授权的1 P地址、协议、端口通过,对于没有明确允许通过的数据流默认应当是被严禁的。同时可以

14、通过配置NAT、静态地址映射、IP地址绑定等措施隐藏内部网络信息，以最大限度地保证被保护网络的安全c）应对进出网络的信息内容进行过滤，实现相应用层HTTP,F T P,Telnet,SMTP,POP3等协议命令级的控制d）应在会话处在非活跃一定期间或会话结束后终止网络连接；e）应限制网络最大流量数及网络连接数；f）重要网段应采用技术手段防止地址欺骗g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户h）应限制具有拨号访问权限的用户数量1.4.2 安全审计a）应对网络系统中的网络设备运营状况、网络流量、用户行为等进行日记记录；b）审计记录涉及:事件的

15、日期和时间、用户、事件类型、事件是否成功及其他审计相关的信息；c）应能根据记录数据进行分析，并生成审计报表；d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等;1.4.3 网络设备防护a）应对登录网络设备的用户进行身份鉴别b）应对网络设备的管理员登录地址进行限制；需要对远程管理防火墙的登录地址进行限制，可 以 是 某 一 特 定 的IP地址，也可以来自某子网、地址范围或地址组c）网络设备用户的标记应唯一；d）重要网络设备应对同一用户选择2种或2种以上组合的鉴别技术来进行身份鉴别e）身份鉴别信息应具有不易被冒用的特点，口令应有复杂限度规定并定期更换；f）应具有登录失败解决功能，可采用结

16、束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；g）当对网络设备进行远程管理时，应采用必要措施防止鉴别信息在网络传输过程中被窃听h）应实现设备特权用户的权限分离1.5入侵检测/防御系统1.5.1访问控制a）应在网络边界部署控制设备，启用访问控制；此处的访问控制重要指入侵防御系统具有的访问控制功能，入侵检测系统I D S不具有此功能b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级c）应对进出网络的信息内容进行过滤，实现相应用层H T T P、FTP、Telnet,SMTP.POP 3等协议命令级的控制；d）应在会话处在非活跃一定期间或会话结束后终止网络

17、连接；e）应限制网络最大流量数及网络连接数f）重要网段应采用技术手段防止地址欺骗g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户；h）应限制具有拨号访问权限的用户数量1.5.2安全审计a）应对网络系统中的网络设备进行运营状况、网络流量、用户行为等进行日记记录；b）审计记录应涉及：事件的日期和时间、用户、事件类型、事件是否成功及其他审计相关的信息；c）应可以根据记录数据进行分析，并生成审计报表；d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等；1.5.3 网络设备防护a）应对登录网络设备的用户进行身份鉴别b）应对网络设备的管理员登录地

18、址进行限制；c）网络设备用户的标记应唯一；d）重要网络设备应对同一用户选择2 种或者2 种以上组合的鉴别技术来进行身份鉴别e）身边鉴别信息应具有不易被冒用的特点，口令应有复杂限度规定并定期更换；f）应具有登录失败解决功能，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施h）应实现设备特权用户的权限分离第2章主机安全测评2.1 操作系统测评2.1.1身份鉴别a）应对登录操作系统和数据库系统的用户进行身份标记和鉴别b）操作系统和数据库系统管理用户身份鉴别信息应具有不易被冒用的特点，口令应有复杂度规定并定期更换；W in d o w s O S中查看“本地安全策略一账户策略一密码策

19、略”中的相关项目：1、设立密码历史规定（此设立可保证用户无法复用密码）：242、设立密码最长使用期限:7 0天3、设立密码最短使用期限：2天4、设立最短密码长度：8个字符5、设立密码复杂性规定:启用6,启用密码可逆加密:不启用Linux OS:PASS_MAX_DAYS9 0PASS_MIN_DAYS 0PASS_M IN_L E N 8PASS_WARN_AGE 7登录密码过期提前7天提醒修改FA I L_DELAY 1 0 登录错误时等待时间1 0秒FA I L L 0 G_ENAB YES 登录错误记录到日记FAILLO G _SU _ENAB Y E S当限定超级用户管理日记时使用FA

20、I LLOG_SG_ENABYES当限定超级用户组管理日记时使用MD5 CRYPT E N A B YES当使用m d5为密码的加密方法时使用c）应启用登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等措施d）当对服务器进行远程管理时，应采用必要措施，防止鉴别信息在网络传输过程中被窃听e）应为操作系统和数据库系统的不同用户分派不同的用户名，保证用户名具有唯一性f）应采用2种或2种以上组合的鉴别技术对管理用户进行身份鉴别2.1.2访问控制a）应启用访问控制功能，依据安全策略控制用户对资源的访问；访问控制是安全防范和保护的重要策略，它不仅应用与网络层面，同样也合用于主机层面，它的重要任

21、务是保证系统资源不被非法合用和访问，合用访问控制的目的在于通过限制用户对特定资源的访问来保护系统资源。重要涉及2个方面的内容：文献系统和默认共享文献权限：在win d o w s系统中，重要目录不能对“every on e”账户开放，在权限控制方面,特别要注意文献权限更改后对于应用系统的影响；在L in u x系统中，应坚持Linux系统重要目录的权限设立情况，对于配置文献权限制不能大于64 4,对于可执行文献不能大于7 55。以r。o t身份登录Lin u x,使用Ls-I文献名”查看重要文献和目录权限设立是否合理默认共享：Window s OS的默认共享功能的设计初衷是为了方便网管通过网络

22、对计算机进行远程管理而设的，它的存在依赖于系统服务的“se rve r。为保证系统安全性,通常我们可以将其关闭。L i nuxO S通常不存在默认共享1）在命令模式下输入n et s h are,查看共享2）查看注册表HKEY_ L OCAL_MACHI N ES Y STEMCur r e n t C o n t r ol S e t ControlLsare s t rictanon y mous值是否为0（0 表达共享启动）b）应根据管理用户的角色分派权限,实现管理用户的权限分离，仅授予管理用户所需的最小权限；c）应实现操作系统和数据库系统特权用户的权限分离；d）应严格限制默认账户的访问

23、权限，重命名系统默认账户，修改这些账户的默认口令e）应及时删除多余的、过期的账户，避免共享账户的存在f）应对重要信息资源设立敏感标记；g）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作2.1.3 安全审计a）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；b）审计内容应涉及重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；c）审计记录应涉及事件的日期、时间、类型、主体标记、客体标记和结果等；d）应可以根据记录数据进行分析，并生成审计报表；e）应保护审计进程，避免受到未预期的中断；f）应保护审计记录，避免受到未预期的删除、修改或覆盖等；

24、2.1.4 剩余信息保护a）应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分派给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中b）应保证系统内的文献、目录和数据库记录等资源所在的存储空间，被释放或重新分派给其他用户前得到完全清除;2.1.5入侵防范a）应可以检测到对重要服务器进行入侵的行为，可以记录入侵的源I P,袭击的类型、目的、时间，并在发生严重入侵事件时提供报警；b）应可以对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；c）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设立升级服务器等方式保持系统补丁及时得到更新

25、2.1.6恶意代码防范a）应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库；b）主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库c）应支持防恶意代码的统一管理2.1.7资源控制a）应通过设定终端接入方式、网络地址范围等条件限制终端登录；b）应根据安全策略设立登录终端的操作超时锁定；c）应对重要服务器进行监视，涉及监视服务器的CPU、硬盘、内存、网络等资源的使用情况；d）应限制单个用户对系统资源的最大或最小使用限度；e）应可以对系统的服务水平减少到预先规定的最小值进行检测和报警2.2数据库系统测评2.2.1身份鉴别a）应对登录操作系统和数据库系统的用户进行身份标记和鉴别

26、；b）操作系统和数据库系统管理用户身份标记应具有不易被冒用的特点，口令应有复杂限度规定并定期更换；c）应启用登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等措施d）当对服务器进行远程管理时，应采用必要措施，防止鉴别信息在网络传输过程中被窃听e）应为操作系统和数据库系统的不同用户分派不同的用户名，保证用户名具有唯一性；f）应采用2种或2种以上组合的鉴别技术对管理用户进行身份鉴别2.2.2访问控制a）应启用访问控制功能，依据安全策略控制用户对资源的访问；b）应根据管理用户的角色分派权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；c）应实现操作系统和数据库系统特权用户的权限

27、分离；d）应严格限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令；e）应及时删除多余的、过期的账户，避免共享账户的存在；f）应对重要信息资源设立敏感标记；g）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；2.2.3安全审计a）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;Elb）审计内容应涉及重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件c）审计记录应涉及事件的日期、时间、类型、主体标记、客体标记和结果等d）应能根据记录数据进行分析，并生成审计报表；e）应保护审计进程，避免受到未预期的中断；f）应保护审计记录，

28、避免受到未预期的删除、修改或覆盖等；2.2.4 资源控制a）应通过设定终端接入方式、网络地址范围等条件限制终端登录；b）应根据安全策略设立登录终端的操作超时锁定；c）应限制单个用户对系统资源的最大或最小使用限度第3章应用安全测评3.1 身份鉴别a）应提供专用的登录控制模块对登录用户进行身份标记和鉴别；b）应对同一用户采用2 种或者2 种以上组合的鉴别技术实现用户身份鉴别；c）应提供用户身份标记唯一和鉴别信息复杂度检测功能,保证应用系统中不存在反复用户身份标记，身份鉴别信息不易被冒用；d）应提供登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等措施；e）应启用身份鉴别、用户身份标记唯

29、一性检查、用户身份鉴别信息复杂度检查，以及登录失败解决功能，并根据安全策略配置相关参数；3.2 访问控制a）应提供访问控制功能，依据安全策略控制用户对文献、数据库表等客体的访问;b）访问控制的覆盖范围应涉及与资源访问相关的主体、客体及它们之间的操作;c）应有授权主体配置访问控制策略，并严格限制默认账户的访问权限；d）应授予不同账户为完毕各自承担任务所需的最小权限，并在它们之间形成互相制约的关系；e）应具有对重要信息资源设立敏感标记的功能；f）应根据安全策略严格控制用户对有敏感标记重要信息资源的操作；3.3安全审计a）应提供覆盖到每个用户的安全审计功能，相应用系统重要安全事件进行审计；b）应保证

30、无法单独中断审计进程，无法删除、修改或覆盖审计记录；c）审计记录的内容至少应涉及事件的日期、时间、发起者信息、类型、描述和结果等；d）应提供对审计记录数据进行记录、查询、分析及生成审计报表的功能3.4剩余信息保护a）应保证用户鉴别信息所在的存储空间呗释放或再分派给其他用户前被完全清除，无论这些信息是存放在硬盘上还是在内存中；b）应保证系统内的文献、目录和数据库记录等资源所在的存储空间呗释放或重新分派给其他用户前得到完全清除；3.5通信完整性a）应采用密码技术保证通信过程中的数据的完整性;3.6 通信保密性a）在通信双方建立连接之前，应用系统应运用密码技术进行会话初始化验证；b）应对通信过程中的

31、整个报文或会话过程进行加密；3.7 抗抵赖a）应具有在请求的情况下为数据原发者或接受者提供数据原发证据的功能：b）应具有在请求的情况下为数据原发者或接受者提供数据接受证据的功能；3.8 软件容错a）应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定规定；b）应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统可以进行恢复；3.9 资源控制a）当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方面可以自动结束会话；b）应可以对系统的最大并发会话连接数进行限制；c）应可以对单个账户的多重并发会话进行限制；d）应可以对一个时间段内也许的并发

32、会话连接数进行限制；e）应可以对一个访问账户或一个请求进程占用的资源分派最大限额和最小限额；f）应可以对系统服务水平减少到预先规定的最小值进行检测和报警；g）应提供服务优先级设定功能，并在安装后根据安全策略设定访问账户或请求进程的优先级，根据优先级分派系统资源;第4章数据安全测评4.1 数据完整性a）应可以检测到系统管理数据、鉴别信息和重要业务数据在传输过程中的完整性受到破坏,并在检测到完整性错误时采用必要的恢复措施；b）应可以检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采用必要的恢复措施；4.2 数据保密性a）应采用加密或其他有效措施实现系统管

33、理数据、鉴别信息和重要业务数据传输保密性;b）应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性;4.3 备份和恢复a）应提供本地数据备份与恢复功能，完全数据备份至少天天一次,备份介质场外存放;b）应提供异地数据备份功能，运用通信网络将关键数据定期批量传送至备用场地；c）应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；d）应提供重要网络设备、通信线路和数据解决系统的硬件冗余,保证系统的高可用性第 7 章工具测试7.1 测试目的工具测试，是运用各种测试工具，通过对目的系统的扫描、探测等操作,使其产生特定的响应等活动，查看、分析响应结果，获取证据以证明信息系统安全

34、保护措施是否得以有效实行的一种方法7.2 测试内容运用工具测试，不仅可以直接获取到目的系统自身存在的系统、应用等方面的漏洞，同时，也可以通过在不同的区域接入测试工具所得到的测试结果，判断不同区域之间的访问控制情况。7.3 测试流程7.3.1收集信息1）网络设备目的网络设备的基本信息，如路由器、互换机型号等；需要了解目的系统网络设备的物理端口情况，是否具有接入测试工具的条件；目的网络设备的IP地址2）安全设备目的安全设备的基本信息，比如防火墙,ID S或者特殊安全设备型号等；目的安全设备的IP地址，注意防火墙,ID S等也许工作在透明模式或没有IP地址3）主机目的主机的基本信息,涉及主机操作系统

35、，运营的重要应用等目的主机的IP地址目的主机的重要业务时间段，为选择工具测试时间段做准备4）网络拓扑结果目的系统的网络结果，直接影响到测试时的接入点的设立。需要了解目的系统的网络区域划分，比如应用区，数据库区等；目的系统各个网络设备、安全设备的位置；拟定目的系统不同区域之间的关系，比如区域级别的关系及区域之间的大约业务数据流程。7.3.2 规划接入点工具测试的首要原则是在不影响目的系统正常运营的前提下严格按照方案选定范围进行测试。接入点规划的，基本的、共性的原则：（1）由低档别系统向高级别系统探测；（2）同一系统同等重要限度功能区域之间要互相探测；（3）由较低重要限度区域向较高重要限度区域探测

36、；（4）由外联接口向系统内部探测；（5）跨网络隔离设备（涉及网络设备和安全设备）要分段探测；7.3.3 编 制 工具测试作业指导书 工具测试作业指导书是工具测试顺利进行、测试证据准确获取的重要保证，是对之前各个准备阶段中获取到信息的总结，也是对我们进行现场工具测试的指导文献。7.3.4现场测试现场测试，是工具测试的一个重要实行阶段，也是取得工具测试证据的重要阶段。测试过程中，必须具体记录每一接入点测试的起止时间、接 入 IP 地址（涉及接入设备的IP地址配置,掩码、网管配置等）。假如测试过程中出现异常情况，要及时记录。测试结果要及时整理、保存，重要验证环节要抓图为证，为测试结果的整理准备充足必

37、要的证据。7.3.5结果整理从整理的结果中，可以分析出被测系统中各个被测个体存在的漏洞情况，也可以根据各个接入点测试结果的记录整理，分析出各个区域之间的访问控制策略配置情况。7.4 注意事项1）工具测试接入测试设备之前，一方面要有被测系统人员拟定测试条件是否具有。测试条件涉及被测网络设备、主机、安全设备等是否都在正常运营，测试时间段是否为可测试时间段;2）接入系统的设备、工具的IP地址等配置要通过被测系统相关人员确认3）对于测试过程也许导致的对目的系统的网络流量及主机性能等方面的影响（例如口令探测也许会导致的账号锁定等情况），要事先告知被测系统相关人员。4）对于测试过程中的关键环节、重要证据，

38、要及时运用抓图等取证工具取证.5）对于测试过程中出现的异常情况（服务器出现故障、网络中断等）要及时记录。6）测试结束后,需要被测方人员确认被测系统状态正常并签字后离场。附录A信息安全技术A.1 标记与鉴别A.1.1技术简介标记是指用户（设备）向信息系统（或对等实体）表白其身份的行为;鉴别是指信息系统运用单一或者多重鉴别机制对用户（设备）所声称身份的真实性进行验证的过程1）基于用户所知的信息例如：个人标记号（P I N）,口令等2）基于用户所持有的物品例如:门卡、智能卡、硬件令牌等记忆令牌、智能令牌3）基于用户特性例如：指纹、虹膜、视网膜扫描结果或者其他生物特性等特有信息A.1.2 典型产品1）

39、硬件令牌基于时间的动态令牌:在一定的时间间隔内根据口令计算器（令牌）通过某种算法和其他要素动态生成一个口令，认证端根据相同的算法和要素计算出同一时刻的口令，进行比对。基于挑战应答的令牌：其在实现原理上与时间令牌相似，同样是认证端随机生成挑战数，客户端对其进行加密运算并回传，与认证端相比对。2）数字证书数字证书是由认证中心生成并经认证中心数字签字的，标志网络用户身份信息的一系列数据，用来在网络通信中辨认通信各方的身份。A.2 访问控制A.2.1技术简介1）按访问控制策略划分自主访问控制、强制访问控制、基于角色的访问控制（Role-B a sed Acces s Co n tro 1 ,RBA C

40、）自主访问控制使用自主访问控制机制的系统允许资源所有者（主体）自主决定谁可以访问、如何访问其 资 源（客体）强制访问控制强制访问控制是一种不允许主体干涉的访问控制类型，在强制访问控制机制下,系统内的每一个用户或主体被赋予一个访问标签以表达他对敏感性客体的访问许可级别，同样，系统内的每一个客体也被赋予一个敏感性标签以反映该信息的敏感性级别，系统内的“引用监视器”通过比较主客体相应的标签来决定是否授予一个主体队客体的访问请求。一一主体对客体的访问必须满足以下条件：A 主体的安全级别不低于客体的安全级别；B 主体的类别包含客体的类别基于角色的访问控制（R。1 e-Based Ac c ess Con

41、trol,RB AC）系统定义了各种角色，每种角色可以完毕一定的职能，不同的用户根据其职能和责任被赋予响应的角色，一旦某个用户称为某角色的成员，则此用户可以完毕该角色所具有的职能2）按层面划分网络访问控制重要限制网络设备或主机设备可以与哪些设备建立什么样的连接以及通过网络传输什么样的数据主机访问控制重要是指OS和 DB提供的访问控制功能；它是限制OS或 DB用户或进程可以访问哪些文献系统、系统设备或数据表，以及可以对它们进行哪些访问操作（如读、写、执行等）应用访问控制访问控制往往嵌入应用程序（或中间件）中以提供更细粒度的数据访问控制。通过内置的访问控制模型，应用程序可以限制用户对功能模块和数据

42、的访问，以及对它们可以进行哪些操作等物理访问控制它重要是限制用户对物理环境和设备的物理访问，具体方式有给房间加锁、安装电子门禁系统，以及给设备加上防损设施等A.2.2 典型产品1）互换机网络互换机重要是通过其虚拟局域网（V L A N）功能实现网络访问控制；V L A N 技术是基于链路层和网络层之间的隔离技术三层互换机由于集成了路由模块，也可以通过路由的访问控制列表实现网络访问控制功能，具体实现原理与路由器的实现原理相同2）路由器路由器工作在网络层，重要是通过访问控制列表来实现访问控制功能。访问控制列表是一种基于简朴的包过滤的流向控制技术，在路由器上读取网络层及传输层包头中的信息来源地址、目

43、的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤,从而达成访问控制的目的标准访问控制列表的具体格式为access-1 i st ACL号permit/d e ny host I P例如 ac c ess-l i s t 10 deny 192.16 8.1.1也可以对某个网段进行过滤 acce s s-1 ist 10 d e n y 19 2.168.1.0 0.0.0.2 5 5（将来自192.1 6 8.1.0/2 4的所有计算机数据包进行过滤丢弃）参见P S13）防火墙防火墙是最常见和成熟的网络访问控制产品，它一般部署在网络系统的边界处，属于网络边界的安全保护设备。所谓网络

44、边界是采用不同安全策略的2个网络连接处，比如用户网路和互联网之间连接，和其他业务往来单位的网络连接，用户内网不同部门之间的连接等。根据防火墙的性能和功能,它的访问控制可以达成不同的级别&连接控制，控制哪些应用程序终结点之间可建立连接；&协议控制,控制用户通过一个应用程序可以进行什么操作；&数据控制,防火墙可以控制应用数据流的通过包过滤防火墙根据分组包头源地址、目的地址和端标语、协议类型等标记拟定是否允许数据包通过,所根据的信息来源于I P,TCP或UDP包头。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃应用代理防火墙它作用在应用层，分别与客户端和服务器建立

45、单独的连接，彻底隔断内网与外网的直接通信。它在应用层可以提供强大的数据包内容过滤的功能，重要涉及&阻塞URL地址&关键字过滤&阻止J a v a,Ac t i veX和 Java Script等不安全内容的传输&防止特洛伊木马的传输&防止邮件缓存溢出状态检测防火墙状态检测技术是继“包过滤”技 术 和“应用代理”技术后发展起来的防火墙技术。它在保存了对每个数据包的头部、协议、地址、端口等信息进行分析的基础上，进一步发展了“会话功能”，在每个连接建立时，防火墙会为这个连接构造一个会话状态,里面包含了这个连接数据包的所有信息，以后这个连接都基于这个状态信息进行4）网闸由于防火墙缺少对未知网络协议漏洞

46、导致的安全问题有效解决，并且无法检测基于内容的网络袭击，而互联网上病毒泛滥、信息恐怖、计算机犯罪等威胁H 益严重，由此诞生了基于协议对内容进行检查的产品一一网闸网闸是使用带有多种控制功能的固态开关读写介质连接2 个独立主机系统的信息安全设备。常见的网闸产品重要分为2 类：空气开关型和专用互换通道型。5）安全操作系统或操作系统加固产品A.3密码技术A.3.1技术简介1)对称密钥加密(私钥加密)信息的发送方和接受方用同一个密钥去加密和解密数据。最大优势是加/解密速度快,适合于大数据量进行加密。对称密钥的加密算法有DES,3 DES,AES等(3 S)对于具有n个用户的网络，需要n(n-l)/2个密

47、钥(即C n 2)2)非对称密钥加密(公钥加密)需要使用一对密钥来分别完毕加密和解密操作，一个公开,即公开密钥，另一个由用户自己秘密保存,即私用密钥。信息发送者用公开密钥去加密，而信息接受者用私用密钥去解密。非对称密钥加密算法重要有RSAQSA,和ECC等(AAC)3)单向哈希函数A.3.2 典型产品VPN1)VPN概念2)V P N工作原理3)VPN涉及的关键技术IPSec协议SSL协议4)VP N的应用领域远程访问组建内联网构建外联网A.4 安全审计和监控A.4.1技术简介1）安全审计安全审计功能&记录、跟踪系统运营状况&检测安全事件&对潜在的袭击者起到震慑或警告作用安全审计的分类系统级、

48、应用级和用户级审计系统级审计规定至少可以记录登陆结果（成功和失败）、登录标记、登录尝试的日期和时间，退出的日期和时间，所使用的设备、登录后运营的内容（如用户启动应用的尝试，无论成功或失败）、修改配置文献的请求等；应用级审计跟踪监控和记录诸如打开和关闭数据文献，读取、编辑和删除记录或字段的特定操作以及打印报告之类的用户活动。用户审计跟踪通常记录用户直接启动的所有命令、所有的标记和鉴别尝试和所访问的文献和资源。2）安全监控概念P276A.4.2典型产品安全审计的典型产品是网络安全审计系统（i）,安全监控的典型产品是入侵检测系统（2）和入侵防护系统（3）。1）网络安全审计系统网络安全审计系统提供了一

49、个统一的集中管理平台。对网络中的网络设备、服务器主机、数据库、W eb服务器等通用应用服务系统以及各种特定业务系统在运营过程中产生的日记、消息、状态等信息进行实时采集,在实时分析的基础上，检测各种软硬件系统的运营状态，发现各种异常事件并发出实时告警，并通过可视化的界面和报表向管理人员提供准确、详尽的记录分析数据和异常分析报告，协助管理人员及时发现安全隐患，采用有效措施。涉及网络探测引擎、数据管理中心、审 计 中 心 3 部分2）入侵检测系统（IDS）通常由数据采集部分、数据分析部分、控制台部分以及”记部分几个部分构成，并且这几个部件往往放在不同的主机上。数据采集部分从整个信息系统中获得事件，并

50、向系统的其他部分提供此事件。数据分析部分分析得到的数据，并产生分析结果。控制台部分则是对分析结果做出反映的功能单元，它可以做出切断连接、改变文献属性等强烈反映，也可以只是简朴的报警。日记部分是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简朴的文本文献。数据采集&1 系统和网络日记文献&2目录和文献中的不盼望的改变&3程序执行中的不盼望行为&4 物理形式的入侵信息数据分析目前有3 种技术手段来进行分析（各有什么优缺陷）P280 2 8 1&模 式 匹 配 1实时的入侵&记录分析&完整性分析 事后分析模式匹配：将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发