信息系统安全测评教程

本书包括7章内容，分别为：概述，信息系统安全测评标准，信息系统安全合规性测评关键技术，测评实施与分析，信息系统安全测评案例分析，信息系统安全测评技术新进展。本书以基于等级保护的重要信息安全测评等作为学习对象，要求学生熟练将安全技术应用到重要信息系统中，并能够提供规范化的系统测评技术文档。

第1章 信息系统安全测评概述 1
1．1 信息安全发展历程 1
1．2 相关概念 2
1．2．1 信息系统安全 2
1．2．2 信息系统安全管理 3
1．2．3 信息系统安全保障 5
1．3 信息系统安全测评作用 7
1．4 信息安全标准组织 10
1．5 国外重要信息安全测评标准 11
1．5．1 TCSEC 11
1．5．2 ITSEC 12
1．5．3 CC标准 13
1．6 我国信息安全测评标准 14
1．6．1 GB/T 18336《信息技术安全性评估准则》 15
1．6．2 GB/T 20274《信息系统安全保障评估框架》 15
1．6．3 信息系统安全等级保护测评标准 15
1．6．4 信息系统安全分级保护测评标准 16
1．7 信息系统安全等级保护工作 17
1．7．1 等级保护概念 17
1．7．2 工作角色和职责 19
1．7．3 工作环节 20
1．7．4 工作实施过程的基本要求 21
1．7．5 实施等级保护的基本原则 23
1．8 信息系统安全测评的理论问题 23
1．8．1 “测”的理论问题 23
1．8．2 “评”的理论问题 27
1．9 小结 29
第2章 信息系统安全通用要求 31
2．1 安全基本要求 31
2．1．1 背景介绍 31
2．1．2 体系架构 31
2．1．3 作用和特点 33
2．1．4 等级保护2．0时代 33
2．2 信息系统安全等级保护基本要求 35
2．2．1 指标数量 35
2．2．2 指标要求 35
2．2．3 不同保护等级的控制点对比 36
2．3 网络安全等级保护安全通用要求 37
2．3．1 技术要求 37
2．3．2 管理要求 43
2．3．3 安全通用基本要求项分布 49
第3章 信息系统安全扩展要求 51
3．1 云计算 51
3．1．1 云计算信息系统概述 51
3．1．2 云计算平台面临的安全威胁 52
3．1．3 云计算安全扩展要求 53
3．1．4 安全扩展要求项分布 57
3．2 移动互联网 58
3．2．1 移动互联网系统概述 58
3．2．2 移动互联网安全威胁 59
3．2．3 移动互联安全扩展要求 60
3．2．4 安全扩展要求项分布 62
3．3 物联网 63
3．3．1 物联网系统概述 63
3．3．2 物联网对等级测评技术的影响 64
3．3．3 物联网安全扩展要求 65
3．3．4 安全扩展要求项分布 67
3．4 工业控制系统 67
3．4．1 工业控制系统概述 67
3．4．2 工业控制系统安全现状 70
3．4．3 工业控制系统安全扩展要求概述 71
3．4．4 工业控制系统安全扩展要求 76
3．4．5 安全扩展要求项分布 79
第4章 信息系统安全测评方法 80
4．1 测评流程及方法 80
4．1．1 测评流程 80
4．1．2 测评方法 81
4．2 测评对象及内容 82
4．2．1 技术层安全测评对象及内容 83
4．2．2 管理层安全测评对象及内容 87
4．2．3 不同安全等级的测评对象 91
4．2．4 不同安全等级测评指标对比 93
4．2．5 不同安全等级测评强度对比 94
4．3 测评工具与接入测试 95
4．3．1 测评工具 95
4．3．2 漏洞扫描工具 96
4．3．3 协议分析工具 100
4．3．4 渗透测试工具 100
4．3．5 性能测试工具 101
4．3．6 日志分析工具 102
4．3．7 代码审计工具 103
4．3．8 接入测试 104
4．4 信息系统安全测评风险分析与规避 105
4．4．1 风险分析 105
4．4．2 风险规避 105
4．5 常见问题及处置建议 106
4．5．1 测评对象选择 106
4．5．2 测评方案编写 107
4．5．3 测评行为管理 107
第5章 信息系统安全测评技术 108
5．1 检查技术 108
5．1．1 网络和通信安全 108
5．1．2 设备和计算安全 116
5．1．3 应用和数据安全 127
5．2 目标识别和分析技术 130
5．2．1 网络嗅探 130
5．2．2 网络端口和服务识别 131
5．2．3 漏洞扫描 133
5．3 目标漏洞验证技术 139
5．3．1 密码破解 139
5．3．2 渗透测试 144
5．3．3 性能测试 147
第6章 信息系统安全测评实施与分析 150
6．1 测评实施 150
6．1．1 测评实施准备 151
6．1．2 现场测评和记录 153
6．1．3 结果确认 156
6．2 测评项结果分析与量化 157
6．2．1 基本概念间的关系 157
6．2．2 单对象单测评项量化 157
6．2．3 测评项权重赋值 158
6．2．4 控制点分析与量化 159
6．2．5 问题严重程度值计算 160
6．2．6 修正后的严重程度值和符合程度的计算 160
6．2．7 系统整体测评计算 162
6．2．8 系统安全保障情况得分计算 164
6．2．9 安全问题风险评估 165
6．2．10 等级测评结论的结果判定 165
6．3 风险评估结果分析与量化 166
6．3．1 基本概念间的关系 166
6．3．2 资产识别与分析 167
6．3．3 威胁识别与分析 171
6．3．4 脆弱性识别与分析 174
6．3．5 风险分析 175
第7章 信息系统安全测评案例分析 177
7．1 测评报告模板与分析 177
7．1．1 等级保护测评报告结构分析 177
7．1．2 风险评估报告结构分析 181
7．2 等级保护测评案例 184
7．2．1 重要信息系统介绍 184
7．2．2 等级测评工作组和过程计划 184
7．2．3 等级测评工作所需资料 185
7．2．4 测评对象 187
7．2．5 单元测评结果 188
7．2．6 整体测评结果 190
7．2．7 总体安全状况分析 191
7．2．8 等级测评结论 192
7．3 风险评估测评案例 192
7．3．1 电子政务系统基本情况介绍 192
7．3．2 风险评估工作概述 193
7．3．3 风险评估所需资料 194
7．3．4 评估对象的管理和技术措施表 196
7．3．5 资产识别与分析 197
7．3．6 威胁识别与分析 199
7．3．7 脆弱性识别与分析 201
7．3．8 风险分析结果 202
7．4 测评报告撰写注意事项 205
7．4．1 等级保护测评注意事项 205
7．4．2 风险评估注意事项 205
附录A 第三级信息系统测评项权重赋值表 207
附录B．1 等级保护案例控制点符合情况汇总表 220
附录B．2 等级保护案例安全问题汇总表 223
附录B．3 等级保护案例修正因子（0．9）汇总表 226
附录B．4 等级保护案例安全层面得分汇总表 231
附录B．5 等级保护案例风险评估汇总表 233
附录C．1 风险评估案例基于等级保护的威胁数据采集表 236
附录C．2 风险评估案例威胁源分析表 238
附录C．3 风险评估案例威胁源行为分析表 241
附录C．4 风险评估案例威胁能量分析表 243
附录C．5 风险评估案例威胁赋值表 245
附录C．6 风险评估案例威胁和资产对应表 247
附录C．7 风险评估案例脆弱性分析赋值表 248
附录C．8 风险评估案例 251
附录C．9 基于脆弱性的风险排名表 253
参考文献 255

前 言

2017年6月1日，《中华人民共和国网络安全法》（本书简称《网络安全法》）正式实施。《网络安全法》是我国网络空间安全的第一部网络安全基本大法，为今后网络安全工作的顺利开展给出了法律约束和指导。《网络安全法》第二十一条确定“国家实行网络安全等级保护制度”。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。因此，网络安全等级保护制度从信息安全保障工作的一项基本制度上升为国家法律。

自《网络安全法》出台以后，国家将信息系统安全等级保护变更为网络安全等级保护，后继配套的法律、法规会陆续出台。网络安全等级保护的基本要求主要从技术和管理两个层面展开。根据信息系统重要程度及受损害后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素划分，我国把信息系统安全保护等级分为五级，从低到高分别是第一级、第二级、第三级、第四级、第五级。国家信息系统安全保护等级越高，信息系统的安全保护能力也就越强。

网络安全等级保护的基本要求，是在传统信息系统安全等级保护基本要求的基础上，针对移动互联网、云计算、大数据、物联网和工业控制等新技术、新应用领域，加入了扩展的安全要求。为了便于网络运营者按照网络安全等级要求进行信息系统建设，国家出台GB/T22239《网络安全等级保护基本要求》，采取“1+X”的保护要求，其中，“1”是指安全通用要求，“X”随着技术的发展而进行扩展。目前主要包括云计算安全扩展要求、移动互联网安全扩展要求、物联网安全扩展要求、工业控制安全扩展要求和大数据安全扩展要求。《网络安全等级保护基本要求》提出了各级信息系统应当具备的安全保护能力，并从技术和管理两方面提出了相应的措施，为信息系统建设单位和运营使用单位在系统安全建设中提供参照。

网络安全测评是衡量等级保护制度落实的有利抓手和标尺。《网络安全法》第三十一条规定“国家关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护”。第三十八条确定“关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估”，因此，如何确定信息系统建设单位和运营使用单位是否按照所定等级开展系统安全合规性建设，对应等级的安全保护保护能力是否满足，信息系统安全防护能力是否有效，这就需要对信息系统进行安全测评。为了便于等级保护测评工作的开展，国家出台GB/T 28448《信息安全技术网络安全等级保护测评要求》、GB/T 28449《信息安全技术网络安全等级保护测评过程指南》，指导测评机构、测评人员、运行维护技术人员、安全服务人员、技术咨询人员等开展信息安全等级保护测评工作。以网络安全等级保护送审稿中的三级系统测评基本通用要求为例，共涉及232项指标，上千个检查要点内容。为了便于信息系统安全相关人员开展工作，本书编者依据多年的技术研究和教学工作经验编写了本书。

本书共7章，围绕信息系统安全测评的全过程展开。

第1章信息系统安全测评概述，主要讲述信息安全相关概念、信息安全管理和保障、信息安全测评标准、信息安全等级保护、信息安全测评中的理论问题。

第2章信息系统安全通用要求，包括信息系统安全等级保护基本要求和网络安全等级保护安全通用要求。

第3章信息系统安全扩展要求，基于网络安全等级保护标准的送审稿，从概述、安全威胁、安全扩展要求角度介绍云计算、物联网、移动互联网和工业控制系统。

第4章信息系统安全测评方法，主要介绍测评流程、测评对象、测评工具、测评风险规避和常见测评问题。

第5章信息系统安全测评技术，主要从检查技术、目标识别和分析技术、目标漏洞验证技术三个角度，围绕常见的测评对象给出技术检查指导。

第6章信息系统安全测评实施与分析，基于等级保护测评，给出测评项结果分析与量化、风险评估结果分析与量化的实施过程。

第7章信息系统安全测评案例分析，主要帮助读者形成完整的测评报告，从等级保护测评报告和风险评估报告两个角度给出案例分析。

本书在实施分析和案例分析上，尽管采用的是信息系统安全等级保护标准，但是等级保护测评的核心并没有发生变化，信息系统测评的方法、策略、流程还是一样的。

本书编写由中原工学院信息系统测评技术课程组完成，得到河南省“网络工程专业教学团队”的资助。夏冰主编统稿并负责第6章的编写；潘恒负责第1章的编写；刘伎昭负责第2章的编写；倪亮和刘伎昭共同完成第3章；郑秋生、李向东共同完成第4章和第5章部分编写；冯国朋负责第5章的编写。夏冰、河南金鑫信息安全等级技术测评有限公司的蔡学锋，河南工业和信息化职业学院的杜昊凡共同完成第7章案例分析及附录的编写。在编写过程中，河南省网络安全保卫总队的王志奇调研员为本书的编写提供建设性的意见，在此表示感谢。

本书由河南省信息安全等级保护工作协调小组办公室组织编写。在编写过程中，得到了河南省公安厅网络安全保护总队的指导，得到了计算机信息系统安全评估河南省工程实验室、郑州市计算机网络安全评估重点实验室的研究支持和资金支持，得到了河南金鑫信息安全等级技术测评有限公司的技术支持。在出版过程中，电子工业出版社章海涛编辑做了大量协调工作，在此表示感谢。

由于作者水平有限，安全测评体系庞大复杂，书中无法包含全部要点且错误在所难免，欢迎读者批评指正。

作 者