【文章內(nèi)容簡介】 擬化“滲透檢測模塊amp。檢測工具”，提供對上線信息系統(tǒng)的滲透性測試是在允許和可控的范圍內(nèi)，采取可控的，不造成不可彌補損失的黑客入侵手法，對信息系統(tǒng)發(fā)起真正攻擊。目的是檢測是否可以侵入信息系統(tǒng)并獲取機密信息，進(jìn)而完善信息系統(tǒng)的安全性檢測。通過直觀的結(jié)果來反映出新上線的信息系統(tǒng)存在的最脆弱點。滲透檢測模塊能夠快速提供需要的各種滲透方式使用的操作系統(tǒng)環(huán)境，以及滲透工具，便于檢測工程師能夠快速隊信息系統(tǒng)進(jìn)行各種滲透的安全性檢測。 針對信息系統(tǒng)漏掃的安全性檢測在信息系統(tǒng)安全評測實驗室中，部署了領(lǐng)信網(wǎng)絡(luò)掃描器產(chǎn)品，使用領(lǐng)信網(wǎng)絡(luò)掃描器Scanner對新上線信息系統(tǒng)進(jìn)行全面的漏洞掃面檢測，并提供全面的漏洞掃描檢測報告，確保新上線的信息系統(tǒng)不存在漏洞性的安全隱患； 功能性檢測業(yè)務(wù)建設(shè)在信息系統(tǒng)安全評測實驗室建設(shè)中，需要對新上線的信息系統(tǒng)進(jìn)行嚴(yán)格的功能測試，確保新信息系統(tǒng)的完全滿足業(yè)務(wù)需要，并且在功能指標(biāo)上符合設(shè)計要求；對信息系統(tǒng)進(jìn)行功能性檢測時，需要信息系統(tǒng)安全評測實驗室能夠快速提供信息系統(tǒng)需要的各種功能測試環(huán)境，測試信息系統(tǒng)在各種業(yè)務(wù)環(huán)境中功能使用情況，根據(jù)信息系統(tǒng)的測試規(guī)范，嚴(yán)格測試信息系統(tǒng)的各個功能模塊；功能性測試的重點是快速準(zhǔn)備各種需要的測試環(huán)境，要求實驗室中的測試環(huán)境模塊能夠根據(jù)測試規(guī)范的要求，提供需要的測試環(huán)境，包含功能測試用的操作系統(tǒng)，功能性測試用工具軟件 性能檢測業(yè)務(wù)建設(shè)在信息系統(tǒng)安全評測實驗室建設(shè)中，需要對新上線的信息系統(tǒng)進(jìn)行性能指標(biāo)檢測的業(yè)務(wù)建設(shè)，能夠?qū)ι暇€信息系統(tǒng)進(jìn)行標(biāo)準(zhǔn)化的性能檢測，評定；性能檢測模塊可以提供針對上線信息系統(tǒng)的各種性能指標(biāo)的檢測，提供各種性能測試工具，以及自動化測試環(huán)境，根據(jù)信息系統(tǒng)設(shè)定的各種性能指標(biāo)進(jìn)行檢測。 SG186業(yè)務(wù)應(yīng)用運維測試業(yè)務(wù)建設(shè)在信息系統(tǒng)安全評測實驗室建設(shè)中，可以對SG186業(yè)務(wù)應(yīng)用運維進(jìn)行模擬測試，為SG186業(yè)務(wù)的正常維護，管理提供參考；測試模塊針對SG186業(yè)務(wù)的測試需要提供各種模擬的測試工具，測試環(huán)境，能夠?qū)G186業(yè)務(wù)提供全面的測試，評估； 信息系統(tǒng)安全評測實驗室擴展業(yè)務(wù)建設(shè)在信息系統(tǒng)安全評測實驗室建設(shè)中，在滿足初期建設(shè)業(yè)務(wù)的需求后，還需要信息系統(tǒng)安全評測實驗室能夠開展信息系統(tǒng)安全性測試的深入研究，逐步掌握針對網(wǎng)絡(luò)、防火墻、Web應(yīng)用系統(tǒng)、數(shù)據(jù)庫、中間件、操作系統(tǒng)等多個應(yīng)用層面的安全性評測技術(shù)。 網(wǎng)絡(luò)架構(gòu)的安全性評測發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)存在的安全性、網(wǎng)絡(luò)負(fù)載問題，網(wǎng)絡(luò)設(shè)備存在的安全性，抗攻擊的問題。檢查網(wǎng)絡(luò)管理員是否有清晰的網(wǎng)絡(luò)拓?fù)鋱D，網(wǎng)絡(luò)管理員是否熟悉網(wǎng)絡(luò)設(shè)備的部署情況，分析網(wǎng)絡(luò)拓?fù)鋱D與實際的網(wǎng)絡(luò)結(jié)構(gòu)的是否存在差異情況，檢查網(wǎng)絡(luò)拓?fù)渥兏目刂瞥绦?，網(wǎng)絡(luò)拓?fù)鋱D的維護管理情況等。檢查網(wǎng)絡(luò)根據(jù)業(yè)務(wù)和安全需求的分段情況，是否采用了防火墻和網(wǎng)關(guān)來加強不同網(wǎng)段間的訪問控制，了解網(wǎng)絡(luò)的地址管理和IP地址規(guī)劃的原則和方法，了解網(wǎng)絡(luò)中出口的情況，每個出口的保護方式等。通過對上述內(nèi)容的檢查了解，對網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)合理性進(jìn)行分析。 網(wǎng)絡(luò)安全設(shè)備的安全性評測 網(wǎng)絡(luò)設(shè)備是保障一個系統(tǒng)邊界安全的有利工具，但是過分的依賴于網(wǎng)絡(luò)設(shè)備理論上提供的功能，將會導(dǎo)致無法正確判斷系統(tǒng)的威脅情況，和信任過度的問題。我們有必要為網(wǎng)絡(luò)設(shè)備自身的安全性和是否有效保護了被保護系統(tǒng)，做一個評測以達(dá)到真正起到保護的目的。另外，網(wǎng)絡(luò)設(shè)備由于被保護系統(tǒng)的復(fù)雜性和管理員的自身面對的系統(tǒng)較為復(fù)雜，配置未必合理，容易為入侵者提供入侵通道。有必要為網(wǎng)絡(luò)設(shè)備存在的這些問題提供一種安全解決方案，而針對網(wǎng)絡(luò)設(shè)備的安全評測將是一種有效的手段。網(wǎng)絡(luò)設(shè)備安全包含：216。 交換機；216。 路由器；216。 防火墻；216。 其它網(wǎng)絡(luò)設(shè)備。 Web 應(yīng)用安全的弱點評測通過對WEB應(yīng)用的弱點進(jìn)行評測，發(fā)現(xiàn)應(yīng)用軟件中存在的安全隱患（包括安全功能設(shè)計、安全弱點、以及安全部署中的弱點等） 數(shù)據(jù)庫的安全性評測完整，全面發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)中數(shù)據(jù)庫的漏洞和安全隱患，主要評測的內(nèi)容如下：216。 數(shù)據(jù)庫用戶名和密碼管理178。 用戶權(quán)限設(shè)置178。 密碼策略設(shè)置178。 冗余賬號的管理216。 數(shù)據(jù)庫訪問控制178。 訪問IP地址的控制178。 通訊安全配置216。 登錄認(rèn)證方式216。 數(shù)據(jù)的安全178。 敏感信息的存儲方式178。 數(shù)據(jù)庫備份178。 數(shù)據(jù)庫存儲介質(zhì)安全178。 傳輸加密216。 安全漏洞檢查216。 補丁管理216。 數(shù)據(jù)庫的安全審計178。 登錄日志審計178。 操作日志審計 通用應(yīng)用（中間件）服務(wù)的弱點評測通用應(yīng)用中間件的安全關(guān)乎整個業(yè)務(wù)系統(tǒng)的安全,、apache、ftp、weblogic等相關(guān)通用的應(yīng)用軟件進(jìn)行安全評測。評測主要包含補丁管理、最大安全性原則、用戶管理、權(quán)限管理、日志安全管理等進(jìn)行分析。 操作系統(tǒng)主機的安全性評測操作系統(tǒng)主機的安全評測的對象包含計算機硬件系統(tǒng)、操作系統(tǒng)；操作系統(tǒng)的安全性評測不包含非附屬于操作系統(tǒng)的軟件產(chǎn)品（如微軟的SQL SERVER）的安全評測。操作系統(tǒng)的安全性評測范圍：216。 應(yīng)用服務(wù)器；216。 客戶機（用戶終端機）。 信息系統(tǒng)安全評測實驗室及人員建設(shè)信息系統(tǒng)安全評測實驗室作為一個專業(yè)性很強的技術(shù)評測實驗室，需要一支專業(yè)化高素質(zhì)的信息人才隊伍，同時也需要一個健全的組織機構(gòu)，明確各崗位的職責(zé)。信息系統(tǒng)安全評測實驗室在省公司科技信息部的領(lǐng)導(dǎo)下開展檢測工作。信息系統(tǒng)安全評測實驗室按照初期開展的業(yè)務(wù)不同，暫分為網(wǎng)絡(luò)安全組和系統(tǒng)評測組兩個工作組，其中信息系統(tǒng)評測組又分為功能、性能、安全和擴展業(yè)務(wù)等4個小組，其中擴展業(yè)務(wù)組是為準(zhǔn)備信息系統(tǒng)安全評測實驗室二期建設(shè)提前設(shè)置的小組，此小組能夠提供信息系統(tǒng)安全評測實驗室二期業(yè)務(wù)的建設(shè)，拓展。信息系統(tǒng)安全評測實驗室的組織結(jié)構(gòu)如圖下圖所示：信息系統(tǒng)安全評測實驗室組織結(jié)構(gòu)圖 信息系統(tǒng)安全評測實驗室場地建設(shè)信息系統(tǒng)安全評測實驗室場地擬定在XXXX機房，根據(jù)機房搬遷計劃，定于XXXX年XX月底完成信息系統(tǒng)安全評測實驗室的機房搬遷。結(jié)合實際情況，準(zhǔn)備實驗室場地的建設(shè)方案： 信息系統(tǒng)安全評測實驗室制度建設(shè)針對信息系統(tǒng)安全評測實驗室的實際情況，制定一套規(guī)范的管理制度，確保信息系統(tǒng)安全評測實驗室的各項工作有條不紊的開展。主要管理制度如表所示：序號主要管理制度管理制度內(nèi)容1崗位責(zé)任制度崗位責(zé)任制度內(nèi)容是每個崗位的職責(zé)、任務(wù)、目標(biāo)等內(nèi)容具體化；作用是明確責(zé)任，提高效率，保證工作質(zhì)量，獎罰有據(jù)。2員工培訓(xùn)制度員工培訓(xùn)制度主要包括員工入職培訓(xùn)和員工的技能培訓(xùn)。作用是引導(dǎo)新員工熟知工作流程、基本業(yè)務(wù)，確定自身工作職責(zé)，初步掌握基本技能；促使老員工技能不斷提升。3設(shè)備管理制度設(shè)備管理制度包括設(shè)備運行管理制度、設(shè)備缺陷管理制度和設(shè)備檢修管理制度；作用是科學(xué)地管理好中心的設(shè)備，使設(shè)備的維護管理工作有組織、有計劃、有標(biāo)準(zhǔn)地進(jìn)行。4資料管理制度資料管理制度包括機房檔案資料管理，日常工作記錄、報表、報告管理，技術(shù)資料管理。作用是方便對各種資料進(jìn)行收集、統(tǒng)計、整理、分類、歸檔、保管、使用。5安全管理制度安全管理制度包括實驗室的防火防盜、電源安全、設(shè)備安全管理、核心資料的保密。作用是加強中心的安全管理，明確各部門和人員的安全工作責(zé)任，將安全工作落到實處。6質(zhì)量管理制度質(zhì)量管理制度包括質(zhì)量管理體系，質(zhì)量