網(wǎng)絡(luò)安全測評培訓(xùn)教程

第一部分  基本思想和方法
第1章  安全測評概述 3
1．1  安全測評在網(wǎng)絡(luò)安全保障體系中的作用 3
1．1．1  信息安全概述 3
1．1．2  信息安全保障體系 6
1．1．3  安全測評的作用 14
1．2  安全測評基本概念 15
1．2．1  國內(nèi)外信息安全測評發(fā)展?fàn)顩r 15
1．2．2  信息安全測評技術(shù) 17
1．2．3  信息安全測評方法 22
1．2．4  信息安全測評要求 25
1．2．5  信息安全測評流程 25
1．3  本章小結(jié) 29
第2章  信息安全合規(guī)性與標(biāo)準(zhǔn)要求 30
2．1  信息系統(tǒng)安全合規(guī)性 32
2．1．1  保密檢查 32
2．1．2  信息安全等級保護(hù) 33
2．1．3  信息安全風(fēng)險(xiǎn)評估 35
2．2  信息技術(shù)產(chǎn)品及信息安全產(chǎn)品合規(guī)性 36
2．2．1  安全保密產(chǎn)品檢測 37
2．2．2  商用密碼產(chǎn)品銷售許可 37
2．2．3  計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可 40
2．2．4  政府采購強(qiáng)制認(rèn)證 42
2．3  本章小結(jié) 46
第二部分  主要技術(shù)和實(shí)施流程
第3章  數(shù)據(jù)安全測評 49
3．1  數(shù)據(jù)安全測評方法 49
3．1．1  數(shù)據(jù)完整性測評方法 50
3．1．2  數(shù)據(jù)保密性測評方法 50
3．1．3  數(shù)據(jù)災(zāi)備能力測評方法 51
3．2  數(shù)據(jù)安全測評的實(shí)施 52
3．2．1  數(shù)據(jù)完整性測評的實(shí)施 52
3．2．2  數(shù)據(jù)保密性測評的實(shí)施 53
3．2．3  數(shù)據(jù)災(zāi)備能力測評的實(shí)施 54
3．3  本章小結(jié) 54
第4章  主機(jī)安全測評 56
4．1  主機(jī)安全測評方法 56
4．1．1  主機(jī)安全測評依據(jù) 56
4．1．2  主機(jī)安全測評對象及內(nèi)容 57
4．1．3  主機(jī)安全測評方式 58
4．1．4  主機(jī)安全測評工具 59
4．2  主機(jī)安全測評的實(shí)施 59
4．2．1  Windows服務(wù)器操作系統(tǒng)的測評實(shí)施 60
4．2．2  Windows終端操作系統(tǒng)的測評實(shí)施 64
4．2．3  Linux操作系統(tǒng)的測評實(shí)施 65
4．2．4  Mac OS X系統(tǒng)的測評實(shí)施 68
4．2．5  iOS系統(tǒng)的測評實(shí)施 69
4．2．6  Android系統(tǒng)的測評實(shí)施 70
4．2．7  Oracle系統(tǒng)的測評實(shí)施 70
4．2．8  SQL Server系統(tǒng)的測評實(shí)施 73
4．2．9  虛擬化軟件的測評實(shí)施 75
4．3  本章小結(jié) 77
第5章  網(wǎng)絡(luò)安全測評 79
5．1  網(wǎng)絡(luò)安全測評方法 79
5．1．1  網(wǎng)絡(luò)安全測評依據(jù) 79
5．1．2  網(wǎng)絡(luò)安全測評對象及內(nèi)容 79
5．1．3  網(wǎng)絡(luò)安全測評方式 81
5．1．4  網(wǎng)絡(luò)安全測評工具 81
5．2  網(wǎng)絡(luò)安全測評的實(shí)施 82
5．2．1  網(wǎng)絡(luò)結(jié)構(gòu)安全測評 83
5．2．2  網(wǎng)絡(luò)訪問控制機(jī)制測評 84
5．2．3  網(wǎng)絡(luò)安全審計(jì)機(jī)制測評 85
5．2．4  邊界完整性機(jī)制測評 86
5．2．5  網(wǎng)絡(luò)入侵防范機(jī)制測評 86
5．2．6  惡意代碼防范機(jī)制測評 87
5．2．7  網(wǎng)絡(luò)設(shè)備防護(hù)機(jī)制測評 87
5．3  本章小結(jié) 88
第三部分  主要方法與內(nèi)容
第6章  威脅識別 91
6．1  威脅概述 91
6．2  威脅識別的諸方面 91
6．2．1  基于來源的威脅分類 91
6．2．2  基于表現(xiàn)形式的威脅分類 92
6．2．3  威脅賦值方法 93
6．3  威脅識別案例分析 93
6．3．1  案例1某省SDH環(huán)網(wǎng)的威脅識別 95
6．3．2  案例2某IP承載網(wǎng)節(jié)點(diǎn)的威脅識別 95
6．4  本章小結(jié) 96
第7章  脆弱性識別 97
7．1  脆弱性概述 97
7．1．1  脆弱性的相關(guān)要素 97
7．1．2  信息系統(tǒng)的脆弱性 98
7．1．3  脆弱性識別 99
7．2  脆弱性識別的諸方面 99
7．2．1  脆弱性發(fā)現(xiàn) 99
7．2．2  脆弱性分類 100
7．2．3  脆弱性驗(yàn)證 101
7．2．4  脆弱性賦值 101
7．3  脆弱性識別案例分析 102
7．3．1  系統(tǒng)介紹 102
7．3．2  資產(chǎn)識別 104
7．3．3  技術(shù)脆弱性識別及賦值 105
7．3．4  管理脆弱性識別及賦值 107
7．3．5  脆弱性驗(yàn)證 108
7．3．6  脆弱性識別輸出報(bào)告 114
7．4   本章小結(jié) 114
第8章  風(fēng)險(xiǎn)評估 115
8．1  風(fēng)險(xiǎn)評估原理 115
8．2  風(fēng)險(xiǎn)評估實(shí)施流程 116
8．2．1  風(fēng)險(xiǎn)評估準(zhǔn)備 117
8．2．2  資產(chǎn)識別 117
8．2．3  威脅識別 117
8．2．4  脆弱性識別 118
8．2．5  已有安全措施確認(rèn) 119
8．2．6  風(fēng)險(xiǎn)分析 119
8．3  風(fēng)險(xiǎn)評估實(shí)踐 122
8．4  本章小結(jié) 124
第四部分  案例及國外最新進(jìn)展
第9章  安全測評案例 127
9．1  安全測評工具 127
9．1．1  網(wǎng)絡(luò)數(shù)據(jù)分析工具 127
9．1．2  端口探測和指紋識別工具 128
9．1．3  漏洞掃描工具 128
9．1．4  滲透測試工具 129
9．1．5  Web應(yīng)用安全測評工具 130
9．2  Web安全測評案例 131
9．2．1  Web安全測評概述 131
9．2．2  Web安全測評實(shí)施過程 131
9．2．3  Web安全滲透測試 134
9．3  移動支付與互聯(lián)網(wǎng)金融安全測評案例 141
9．3．1  集成電路與芯片安全測試案例 141
9．3．2  金融IC卡、金融EMV標(biāo)準(zhǔn) 148
9．3．3  二維碼及動態(tài)二維碼安全風(fēng)險(xiǎn) 152
9．3．4  USB Key安全風(fēng)險(xiǎn)及測評案例 155
9．3．5  OTP安全風(fēng)險(xiǎn)及測評案例 157
9．4  本章小結(jié) 158
第10章  信息安全測評新領(lǐng)域 159
10．1  云計(jì)算環(huán)境安全測評 159
10．1．1  云計(jì)算環(huán)境的安全風(fēng)險(xiǎn)和需求 159
10．1．2  云計(jì)算環(huán)境的安全標(biāo)準(zhǔn) 160
10．1．3  云計(jì)算環(huán)境的測評內(nèi)容和指標(biāo) 161
10．2  工業(yè)控制系統(tǒng)安全測評 163
10．2．1  工業(yè)控制系統(tǒng)簡介 163
10．2．2  工業(yè)控制系統(tǒng)的特點(diǎn)和安全風(fēng)險(xiǎn) 163
10．2．3  工業(yè)控制系統(tǒng)的測評內(nèi)容和方法 165
10．3  移動安全測評 166
10．3．1  移動應(yīng)用的安全風(fēng)險(xiǎn) 167
10．3．2  移動應(yīng)用的安全測評方法 169
10．4  本章小結(jié) 172