xxx公司滲透測(cè)試方案(已修改)
2025-05-15 00:59 本頁(yè)面
【正文】 XXX滲透測(cè)試方案■ 文檔編號(hào)■ 密級(jí)■ 版本編號(hào)■ 日期！ ■ 版本變更記錄時(shí)間版本說明修改人■ 適用性聲明本文檔是（以下簡(jiǎn)稱“某某”）為XXX（以下簡(jiǎn)稱“XXX”）提交的滲透測(cè)試方案，供XXX的項(xiàng)目相關(guān)人員閱讀。目錄一. 概述 1 項(xiàng)目背景 1 實(shí)施目的 1 服務(wù)目標(biāo) 2二. 遠(yuǎn)程滲透測(cè)試介紹 3 滲透測(cè)試原理 3 滲透測(cè)試流程 3 滲透測(cè)試的風(fēng)險(xiǎn)規(guī)避 6 滲透測(cè)試的收益 7 滲透工具介紹 7 系統(tǒng)自帶工具 8 自由軟件和滲透測(cè)試工具 8三. 項(xiàng)目實(shí)施計(jì)劃 10 方案制定 10 信息收集 11 測(cè)試實(shí)施 11 報(bào)告輸出 15 安全復(fù)查 15四. 交付成果 16五. 某某滲透測(cè)試的優(yōu)勢(shì) 16附錄A 某某公司簡(jiǎn)介 19 I 一. 概述 項(xiàng)目背景XXX成立于1992年，注冊(cè)資金7億元，具有中國(guó)房地產(chǎn)開發(fā)企業(yè)一級(jí)資質(zhì)，總資產(chǎn)300多億元，是一個(gè)涵蓋房地產(chǎn)開發(fā)、商業(yè)管理、物業(yè)管理、商貿(mào)代理、綜合投資業(yè)務(wù)的大型集團(tuán)企業(yè)。多年來，XXX信息系統(tǒng)的發(fā)展與信息化的建設(shè)密不可分，并且通過領(lǐng)導(dǎo)重視、業(yè)務(wù)需求、自身努力已經(jīng)將信息化程度提高到一定的水平。但近年來針對(duì)XXX信息系統(tǒng)的安全事件時(shí)有發(fā)生，網(wǎng)絡(luò)面臨的安全威脅日益嚴(yán)重。隨著業(yè)務(wù)需求不斷地增加、網(wǎng)絡(luò)結(jié)構(gòu)日趨復(fù)雜，信息系統(tǒng)面臨的安全威脅、威脅的主體及其動(dòng)機(jī)和能力、威脅的客體等方面都變得更加復(fù)雜和難于控制。XXX信息系統(tǒng)的建設(shè)是由業(yè)務(wù)系統(tǒng)的驅(qū)動(dòng)建設(shè)而成的，初始的網(wǎng)絡(luò)建設(shè)大多沒有統(tǒng)一的安全規(guī)劃，而業(yè)務(wù)系統(tǒng)的業(yè)務(wù)特性、安全需求和等級(jí)、使用的對(duì)象、面對(duì)的威脅和風(fēng)險(xiǎn)各不相同。在支持業(yè)務(wù)不斷發(fā)展的前提下，如何保證系統(tǒng)的安全性是一個(gè)巨大的挑戰(zhàn)，對(duì)系統(tǒng)進(jìn)行區(qū)域劃分，進(jìn)行層次化、有重點(diǎn)的保護(hù)是保證系統(tǒng)和信息安全的有效手段，信息安全體系化的建設(shè)與開展迫在眉睫。 實(shí)施目的信息安全越來越成為保障企業(yè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行的重要元素。XXX信息系統(tǒng)經(jīng)過多年的實(shí)踐和摸索，已經(jīng)初具規(guī)模，在技術(shù)上、產(chǎn)品方面取得了很大的成就，但隨著企業(yè)面臨的安全威脅不斷變化，單純地靠產(chǎn)品來解決各類信息安全問題已經(jīng)不能滿足XXX的實(shí)際安全需求。從根本上解決目前企業(yè)所面臨的信息安全難題，只靠技術(shù)和產(chǎn)品是不夠的，服務(wù)將直接影響到解決各類安全問題的效果。對(duì)于已經(jīng)實(shí)施了安全防護(hù)措施（安全產(chǎn)品、安全服務(wù)）或者即將實(shí)施安全防護(hù)措施的XXX而言，明確網(wǎng)絡(luò)當(dāng)前的安全現(xiàn)狀對(duì)下一步的安全建設(shè)具有重大的指導(dǎo)意義。所以本次項(xiàng)目的目的是通過遠(yuǎn)程滲透測(cè)試全面檢測(cè)XXX信息系統(tǒng)目前存在安全隱患，為下一步信息安全建設(shè)提供依據(jù)。我們相信，憑借某某多年的安全技術(shù)積累和豐富的安全服務(wù)項(xiàng)目經(jīng)驗(yàn)，能夠圓滿的完成本次安全服務(wù)項(xiàng)目。同時(shí)，我們也希望能繼續(xù)保持和XXX在信息安全項(xiàng)目上長(zhǎng)期的合作，共同為XXX信息系統(tǒng)的安全建設(shè)貢獻(xiàn)力量。 服務(wù)目標(biāo)某某在本次XXX信息安全服務(wù)項(xiàng)目中將達(dá)到以下的目標(biāo)：n 通過遠(yuǎn)程滲透測(cè)試全面檢測(cè)XXX信息系統(tǒng)直接暴露在互聯(lián)網(wǎng)上的安全隱患，并提供實(shí)際可行的安全修復(fù)建議。 二. 遠(yuǎn)程滲透測(cè)試介紹 滲透測(cè)試原理滲透測(cè)試過程主要依據(jù)某某安全專家已經(jīng)掌握的安全漏洞信息，模擬黑客的真實(shí)攻擊方法對(duì)系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試。這里，所有的滲透測(cè)試行為將在客戶的書面明確授權(quán)和監(jiān)督下進(jìn)行。 滲透測(cè)試流程方案制定某某獲取到XXX的書面授權(quán)許可后，才進(jìn)行滲透測(cè)試的實(shí)施。并且將實(shí)施范圍、方法、時(shí)間、人員等具體的方案與XXX進(jìn)行交流，并得到XXX的認(rèn)同。在測(cè)試實(shí)施之前，某某會(huì)做到讓XXX對(duì)滲透測(cè)試過程和風(fēng)險(xiǎn)的知曉，使隨后的正式測(cè)試流程都在XXX的控制下。信息收集這包括：操作系統(tǒng)類型指紋收集；網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分析；端口掃描和目標(biāo)系統(tǒng)提供的服務(wù)識(shí)別等?？梢圆捎靡恍┥虡I(yè)安全評(píng)估系統(tǒng)（如：ISS、極光等）；免費(fèi)的檢測(cè)工具（NESSUS、Nmap等）進(jìn)行收集。測(cè)試實(shí)施在規(guī)避防火墻、入侵檢測(cè)、防毒軟件等安全產(chǎn)品監(jiān)控
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1