等级保护测评教案分析.ppt

作业指导书开发—主机系统（举例） AIX：登录次数和连接超时 输入命令：more /etc/security/login.cfg检查密码策略的设置，查看参数logintimes（登录次数）设定情况。 输入命令：egrep‘TMOUT|TIMEOUT|timeout’/etc/profile检查登录超时设置，查看参数TIMEOUT设定情况。 4.4.4作业指导书开发 小结 第一部分 等级保护测评基础 第二部分 等级保护测评要求 第三部分 等级保护测评项目管理 第四部分 等级保护测评探讨 a) 客观性和公正性原则 测评工作虽然不能完全摆脱个人主张或判断,但测评人员应当在没有偏见和最小主观判断情形下,按照测评双方相互认可的测评方案,基于明确定义的测评方法和过程,实施测评活动。 b) 经济性和可重用性原则 基于测评成本和工作复杂性考虑,鼓励测评工作重用以前的测评结果,包括商业安全产品测评结果 和信息系统先前的安全测评结果。所有重用的结果,都应基于这些结果还能适用于目前的系统,能反映 目前系统的安全状态。 c) 可重复性和可再现性原则 无论谁执行测评,依照同样的要求,使用同样的方法,对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评 者重复执行相同测评的结果的一致性。 d) 符合性原则 测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。 * * 密码算法标准是整个网络信任体系标准的基础，安全机制标准是密码技术在构建网络信任体系过程中的一种应用策略。证书认证系统（主要指PKI/PMI）是构建网络信任体系的主要形式。 公钥和属性证书框架、数字证书格式、证书管理管理协议、证书认证系统密码及相关技术规范、特定权限管理中心技术规范是证书认证系统的主体基础标准； PKI组件最小互操作规范、在线证书状态协议、时间戳规范、证书认证机构运营管理规范、证书策略与认证业务描述规范等是证书认证系统重要配套标准； * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。 * 典型网络攻击示例 黑客尝试使用admin’—作为用户名登陆 即猜测存在名为admin的管理员用户 成功登陆系统，黑客可以随意读取邮件、下载文件等操作。 2.6.3应用系统的指标选取 在《基本要求》中的位置 “应用安全”的所有指标，对于应用平台软件等则从中选择部分指标； “数据安全及备份恢复”中的部分指标，对于三级信息系统，在应用安全中，主要检查“数据完整性”、“数据保密性”和“备份和恢复”第一和第二项； 应结合管理的要求，如“应根据开发需求检测软件质量”、“应要求开发单位提供软件源代码，并审查软件中可能存在的后门”，加强应用系统的源代码安全性。 * * 2.6.4应用测评的特点 安全功能和配置检查并重 和数据库、操作系统等成熟产品不同，应用系统现场测评除检查安全配置外，还需验证相关安全功能是否正确 应用测评中不确定因素较多 业务和数据流程不同，需根据业务和数据特点确定范围 应用系统安全漏洞发现困难，很难消除代码级的安全隐患 测评范围较广，分析较为困难 应用系统测评包括应用平台（如IIS等）的测评，且和其他层面关联较大 2.6.5应用测评的方法（1） 通过访谈，了解安全措施的实施情况 * 和其他成熟产品不同，应用系统只有在充分了解其部署情况后，才能明确测评的范围和对象，分析其系统的脆弱性和面临的主要安全威胁，有针对性的进行检查和测试。--右图是一个手机支