【正文】 一組通用要求，使各種相對(duì)獨(dú)立的安全性評(píng)估結(jié)果具有可比性。這些相關(guān)的政策法規(guī)包括了可能約束信息系統(tǒng)在進(jìn)行安全體系建立和使用信息的安全方面的國(guó)家法律法規(guī)和政策。 16 / 92 . 調(diào)查對(duì)象 管理人員 調(diào)查內(nèi)容 ： 關(guān)于 XXXXX 現(xiàn)有的管理體系和網(wǎng)絡(luò)安全策略，并且知道現(xiàn)在安全組織的人員情況，為 XXXXXX 公司的工程師提交現(xiàn)階段的網(wǎng)絡(luò)安全方面的規(guī)章制度，能夠清楚了解現(xiàn)在安全策略的執(zhí)行情況等。 其他工作人員 調(diào)查內(nèi)容 ： 對(duì)以上人員不能回答的調(diào)查表中涉及的問(wèn)題，要找其他相關(guān)的工作人員進(jìn)行補(bǔ)充，已達(dá)到能夠完全對(duì) XXXXX 的網(wǎng)絡(luò)安全情況徹底了解的目的。但是在該活動(dòng)之后，策劃已經(jīng)基本上都傳達(dá)給了大眾，所以資產(chǎn)價(jià)值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護(hù)意義。但是，對(duì)于某些服務(wù)資產(chǎn)，完整性 20 / 92 和機(jī)密性也可能成為重要的保護(hù)對(duì)象。 Domino 服務(wù) Domino Lotus Domino Notes 系統(tǒng)是一種群件應(yīng)用，它綜合了數(shù)據(jù)庫(kù)、各種應(yīng)用于一身，專(zhuān)門(mén)分類(lèi)，包括 Domino郵件服務(wù)、 Domino WWW 服 務(wù)、 Domino 名字服務(wù)、以及在 Domino 之上開(kāi)發(fā)的其它應(yīng)用服務(wù)。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。通常采用加密函數(shù)和散列函數(shù)來(lái)保證數(shù)據(jù)的完整性。 上述算式表達(dá)的背后含義是：三個(gè)屬性值每相差一，則影響相差兩倍，以此來(lái)體現(xiàn)最高賦值屬性的主導(dǎo)作用。 b) 評(píng)估結(jié)果判定 所有的驗(yàn)證項(xiàng)目均為肯定回答，才能判定機(jī)房安全符合要求。 . 網(wǎng)絡(luò)安全 . 網(wǎng)絡(luò)邊界安全 a) 評(píng)估方式 1) 評(píng)估者應(yīng)查驗(yàn)文檔，確認(rèn)系統(tǒng)有清晰的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，網(wǎng)絡(luò)邊界明確； 2) 評(píng)估者應(yīng)觀察系統(tǒng)的實(shí)際結(jié)構(gòu)與當(dāng)前有效的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)一致，不存在網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖上未明確標(biāo)識(shí)的多余設(shè)備和網(wǎng)絡(luò)連接，評(píng)估者應(yīng)采用工具或人工方式注重驗(yàn)證可疑的移動(dòng)和便攜設(shè)備接入、可疑的撥入撥出方式、可疑的無(wú)線連接方式或者其他可能的方式； 3) 評(píng)估者應(yīng)驗(yàn)證系統(tǒng)內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的連接點(diǎn)處布置了網(wǎng)絡(luò)訪問(wèn)控制設(shè)備，沒(méi)有其他旁路方式； 4) 評(píng)估者應(yīng)驗(yàn)證網(wǎng)絡(luò)訪問(wèn)控制設(shè)備實(shí)現(xiàn)了基于口令的身份鑒別 ； 5) 評(píng)估者應(yīng)通過(guò)多種技術(shù)工具對(duì)網(wǎng)絡(luò)訪問(wèn)控制設(shè)備進(jìn)行脆弱性探測(cè)，確認(rèn)其能抵御常見(jiàn)的基于操作系統(tǒng)和網(wǎng)絡(luò)協(xié)議的攻擊，整個(gè)測(cè)試中沒(méi)有發(fā)現(xiàn)明顯的脆弱性； 6) 評(píng)估者應(yīng)查驗(yàn)文檔并實(shí)際驗(yàn)證，確認(rèn)網(wǎng)絡(luò)訪問(wèn)控制設(shè)備具有安全審計(jì)功能； 7) 評(píng)估者應(yīng)驗(yàn)證，系統(tǒng)網(wǎng)絡(luò)邊界布置了網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒等設(shè)施； 8) 評(píng)估者應(yīng)查驗(yàn)文檔和實(shí)際驗(yàn)證，確認(rèn)網(wǎng)絡(luò)訪問(wèn)控制設(shè)備、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒設(shè)備等邊界保護(hù)設(shè)備當(dāng)前的有效策略與組織確定的安全策略是一致的（或沒(méi)有發(fā)現(xiàn)明 27 / 92 顯的差異）； 9) 評(píng)估者應(yīng)驗(yàn)證并查驗(yàn)文檔，確認(rèn)網(wǎng)絡(luò)訪 問(wèn)控制設(shè)備、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)和網(wǎng)關(guān)防病毒設(shè)施有連續(xù)工作的歷史記錄和相應(yīng)的處理結(jié)果等記錄。如果有否定回答，評(píng)估者可進(jìn)一步判斷是缺少設(shè)施（設(shè)施不全），設(shè)施存在缺陷或運(yùn)行管理存在缺陷，并加以記錄。 25 / 92 . 物理安全 . 機(jī)房出入 參見(jiàn)安全管理評(píng)估中有關(guān)機(jī)房管理部分的評(píng)估內(nèi)容。 根據(jù)資產(chǎn)可用性屬性的不同，將它分為 5 個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在可用性方面的價(jià)值或者在可用性方面受到損失時(shí)對(duì)資產(chǎn)價(jià)值的影響： 賦值 含義 解釋 4 Very High 可用性?xún)r(jià)值非常關(guān)鍵，具有致命性的潛在影響 3 High 可用性?xún)r(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受?chē)?yán)重?fù)p失，難以彌補(bǔ) 2 Medium 可用性?xún)r(jià)值中等，潛在影響重大，但可以彌補(bǔ) 1 Low 可用性?xún)r(jià)值較 低，潛在影響可以忍受，較容易彌補(bǔ) 0 Negligible 可用性?xún)r(jià)值或潛在影響可以忽略 24 / 92 . 資產(chǎn)價(jià)值（ Asset Value） 資產(chǎn)價(jià)值用于反映某個(gè)資產(chǎn)作為一個(gè)整體的價(jià)值，綜合了機(jī)密性、完整性和可用性三個(gè)屬性。通常是通過(guò)加密技術(shù)（ cryptography）來(lái)實(shí)現(xiàn)保密性。 所以，在本次安全服務(wù)項(xiàng)目中，將采取對(duì)數(shù)據(jù)類(lèi)資產(chǎn)直接賦值的方法來(lái)進(jìn)行。 21 / 92 . 數(shù)據(jù) 數(shù)據(jù)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識(shí)產(chǎn)權(quán)、競(jìng)爭(zhēng)優(yōu)勢(shì)、商業(yè)秘密的載體。例如，著名安全軟件 TCPWrapper作者的站點(diǎn)被入侵，軟件被植入木馬程序后被廣泛下載使用，造成非常重大的影響和損失。 . 信息資產(chǎn)分類(lèi) 參照 BS7799 對(duì)信息資產(chǎn)的描述和定義，將信息相關(guān)資產(chǎn)按照下面的分類(lèi)方法： 類(lèi)別 簡(jiǎn)稱(chēng) 解釋 /示例 服務(wù) Service WWW、 SMTP、 POP FTP、 MRPII、 DNS、呼叫中心、內(nèi)部文件服務(wù)、內(nèi)部 BBS、網(wǎng)絡(luò)連接等 數(shù)據(jù)（電子媒介） Data 源代碼、各種數(shù)據(jù)資料、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶(hù)手冊(cè)等 軟件 Software 應(yīng)用軟件、系統(tǒng)軟件、開(kāi)發(fā)工具和資源庫(kù)等 硬件 Hardware 計(jì)算機(jī)硬件、路由器、交換機(jī)、程控交換機(jī)、布線等 文檔（紙質(zhì)） Document 文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃 設(shè)備 Facility 電源、空調(diào)、食品柜、文件柜等 人員 HR 各級(jí)雇員和雇主、合同方雇員 其它 Other 企業(yè)形象，客戶(hù)關(guān)系等 下面重點(diǎn)描述服務(wù)、數(shù)據(jù)和軟件等三種與網(wǎng)絡(luò)安全最為直接相關(guān)的信息資產(chǎn)類(lèi)別。它們分別具有不同的價(jià)值屬性和存在特點(diǎn)，存在的弱點(diǎn)、面臨的威脅、需要進(jìn)行的保護(hù)和安全控制都各不相同。 關(guān)于應(yīng)用服務(wù)的技術(shù)人員 調(diào)查內(nèi)容 ： 安全服務(wù)用戶(hù)需求調(diào)查 用戶(hù)需求調(diào)查總結(jié) 硬件和網(wǎng)絡(luò)系統(tǒng)調(diào)查 操作系統(tǒng)調(diào)查 應(yīng)用系統(tǒng)調(diào)查 防火墻系統(tǒng)調(diào)查 數(shù)據(jù)庫(kù)系統(tǒng)調(diào)查 用戶(hù)其他安全需求 Mail FTP DNS 17 / 92 了解 XXXXX 的重要服務(wù)器以及所使用的重要服務(wù)情況。 四 . 資產(chǎn)調(diào)查與賦值 . 需求調(diào)查 需求調(diào)查是整個(gè)安全服務(wù)的基礎(chǔ)。 ISO13335 首先為風(fēng)險(xiǎn)評(píng)估提供了方法上的支持，并且它所定義的安全概念更加全面化了安全風(fēng)險(xiǎn)評(píng)估考慮的問(wèn)題，使得最終生成的安全評(píng)估方案不但在技術(shù)方面完整而且從管理的角度看也很全面。 SSECMM 將 一個(gè)安全事件分為了三個(gè)組成部分：威脅、脆弱性和影響，并且提供了影響、風(fēng)險(xiǎn)、威脅和脆弱性的具體評(píng)估方法和過(guò)程，進(jìn)一步為安全風(fēng)險(xiǎn)評(píng)估的實(shí)施提供了指導(dǎo)。同時(shí)， SSECMM 在這次項(xiàng)目的安全工程實(shí)施， ISO1540ISO13335 在安全評(píng)估方案的制定等方面都提供了規(guī)范化的指導(dǎo)。XXXXXX 公司實(shí)施的網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用評(píng)估是對(duì) xxxxx 的全面評(píng)估； XXXXXX 公司實(shí)施的人工分析也覆蓋了上述業(yè)務(wù)系統(tǒng)的業(yè)務(wù)流程和相互間的業(yè)務(wù)相關(guān)性和數(shù)據(jù)共享；XXXXXX 公司進(jìn)行的綜合分析和建議將結(jié)合 XXXXXX 公司長(zhǎng)期的信息安全經(jīng)驗(yàn)和相關(guān)的國(guó)際經(jīng)驗(yàn)。 ? XXXXXX 公司的人員安排將在顧問(wèn)服務(wù)的工作說(shuō)明中明確定義并得到雙方的同意、確認(rèn)和簽署。 XXXXXX 公司和參加此次評(píng)估項(xiàng)目的所有項(xiàng)目組成員，都要與甲方簽署相關(guān)的保密協(xié)議和非侵害性協(xié)議。在掃描之后，將掃描系統(tǒng)獲得的報(bào)告匯集成為一個(gè)當(dāng)前系統(tǒng)漏洞評(píng)估報(bào)告，同時(shí)根據(jù)漏洞情況提供加強(qiáng)網(wǎng)絡(luò)安全的建議。 4 / 92 目 錄 一 . 背景 ..................................................................................................................................................................8 . 評(píng)估目標(biāo) ............................................................................................................................................... 8 . 評(píng)估范圍 ............................................................................................................................................... 9 二 . 評(píng)估原則 .........................................................................................................................................................9 . 保密原則 ............................................................................................................................................... 9 . 標(biāo)準(zhǔn)性原則 ........................................................................................................................................ 10 . 可控性原則 ........................................................................................................................................ 10 . 全面性原則 ........................................................................................................................................ 11 . 重點(diǎn)性原則 ........................................................................................................................................ 11 . 最小影響原則 .................................................................................................................................... 12 三 . 評(píng)估標(biāo)準(zhǔn) ...................................................................................................................................................... 12 . 信息安全標(biāo)準(zhǔn) .................................................................................................................................... 12 . BS7799 (ISO/IEC 17799)........................................................................................................... 12 . SSECMM ..................................................................................................................................... 12 . ISO/IEC 15408(GB/T18336)..................................................................................................... 13 . ISO/IEC 13335 ...........................................................................................................