XXX安全服務(wù)方案可編輯范本

XXX安全服務(wù)方案受控：C級(jí)杭州迪普科技股份有限公司版權(quán)所有，侵權(quán)必究Allrightsreserved第89頁(yè)，共89頁(yè)受控：C級(jí)項(xiàng)目編號(hào)：DPteｃh—YNDW—AQＦＷ－20１7XXX安全服務(wù)方案杭州迪普科技股份有限公司ＨaｎgｚｈｏuDＰTeｃｈＴechnoｌogiesＣo.，Ltd年月目錄ＴO(shè)C＼ｏ”1-3”＼ｈ\z\uHYPERLIＮK\l”_Toc4８230７984"1?項(xiàng)目概述?PAＧEREF_Tｏc4823079８4\h6HYPERLＩＮK\l＂＿Ｔｏｃ4８２3０７９８５”2?遵循原則 PAGＥREF＿Ｔoc４82３079８５\h6HYＰERLINＫ\ｌ"_Ｔoc482307986”３ 推薦服務(wù)內(nèi)容?PAＧＥREＦ_Toc482307986\h7HYPＥＲＬIＮK\l”_Tｏc482３０7９８７”4 服務(wù)詳細(xì)介紹?PＡＧEREＦ_Ｔｏc48２3079８7\h8HYPEＲＬIＮK\l”_Tｏc４82307988”4。１ 網(wǎng)站安全監(jiān)控?PAGEREF_Ｔoｃ４82307988\h8HYPEＲＬINＫ\l＂＿Ｔoc48２307989”4.1.1?服務(wù)簡(jiǎn)介 ＰAＧEREF_Ｔoc4８23０7989\ｈ9HYＰERLINK＼l”_Toc４８230７990"4.１。2 服務(wù)功能 ７990\h11HYＰEＲLINＫ4。1.３?服務(wù)特點(diǎn) PAGＥRＥF＿Toc48230７991＼h14HＹPERLINK\l”_Toc４８２30７992"4。1。4 輸出成果 PＡGEREＦ_Toc48２3０7992\h15HＹＰERLINＫ\l”＿Toc48230７993”4。２ 滲透測(cè)試服務(wù) PAGＥREＦ_Ｔｏc482３07９93＼ｈ15HYPERＬＩNK\l＂＿Toｃ48230７９９9"4.2。1 測(cè)試方法?ＰAGEＲEF_Tｏｃ4823079９9\ｈ16HYPERＬINＫ4。2。2?測(cè)試內(nèi)容?PAGEＲＥF_Toc4823０８０00\ｈ17HYＰERＬINK\l＂_Toｃ4８２３08001”4。2。３?實(shí)施步驟?PＡGＥREＦ_Toc4８２3080０1＼ｈ18ＨＹＰＥRＬＩNK４.3.4?輸出成果 ＰAGＥＲEF_Tｏc48２3０8００8\h３8ＨYPERＬIＮＫ\ｌ＂_Ｔoc4８２３08009"４.4?安全巡檢服務(wù) PAGEREF＿Ｔoc482３08009＼h38ＨYＰERＬＩNK\ｌ”_Toｃ４823080１0"4。4。1 服務(wù)內(nèi)容 PＡGEＲEＦ_Toc482308０10\h38ＨＹPERLINＫ\l”_Tｏｃ482308011"４。４.2?輸出成果 PＡGＥRＥF_Ｔoc４82308０1１\h39HYPERLINK\l”_Tｏc482308012”４.4。3 服務(wù)收益 PAGEREF＿Tｏc482308０1２\h39HＹＰERＬINＫ4。4.4 服務(wù)頻率 PＡGEREF_Ｔoc48２30８０１3＼h3９HYPＥRＬINＫ\l＂_Toc482３０8014＂4．5?安全加固服務(wù)?PAＧEREF_Ｔoc4８230801４＼ｈ40ＨＹPERＬINK\l”_Toc482３0８015”４。５.１ 加固內(nèi)容?PAGＥＲEF_Tｏc482３08０1５\ｈ40ＨYPＥRLINK＼l"_Tｏc4８230８016"4.5。２ 加固流程?PＡGEREＦ_Toc4823０80１6＼ｈ42HYＰERLＩＮＫ4．5．3 輸出成果 ８2308017＼h46HYPERLＩNK４。5.5?服務(wù)頻率 PＡGEREF_Tｏc48２３０8０19\h4７ＨYPERLINK＼ｌ”＿Toc48２３0８０20”4。6 應(yīng)急響應(yīng)服務(wù) PＡGＥREF_Toｃ482308０20\ｈ47HYPERLINK＼l”_Toc4８2３08０２1”４．6。１ 服務(wù)內(nèi)容 PAGEREF_Ｔoｃ482３0８021\h48ＨYPERLINＫ\ｌ"_Ｔｏc4823０８022"4。6。2?輸出成果?PＡGＥＲEF＿Toc48２３0802２\ｈ49HＹPERLIＮK\l”_Ｔoｃ482308023”4。6。3?服務(wù)收益?ＰAGＥREF_Ｔoｃ48230802３\ｈ４9HYPERLINＫ\l”_Tｏc48２３０80２４”4。6。4?服務(wù)頻率 PAGＥＲＥF_Ｔoc4８2３08024＼h50HYPERLＩNK＼l”＿Ｔｏc４82３08025"4.７ 新系統(tǒng)入網(wǎng)安全評(píng)估?PＡGEＲEＦ_Toc４82308０２5\h50ＨYＰＥＲＬINK\l”_Toc482308026"4．7。1?評(píng)估內(nèi)容?PAＧEREF＿Ｔoc4８230８０２6\ｈ51HYPＥRLINＫ4.7.4 服務(wù)頻率 ＰAGＥREF_Ｔoc482３０8029\h53HYＰEＲＬINK4.8?安全攻防演練培訓(xùn) PAGEREＦ_Tｏc482３０８030\h5３HYPERＬINK＼l"_Toc４8２308０31”4。8。1?培訓(xùn)課程?ＰＡGEREＦ_Ｔoｃ４823０8０３1\h54HＹPEＲLINK4.8.4 培訓(xùn)優(yōu)勢(shì) PAGEＲEF_Toc4823０80３4\h6２HＹPERLINK\l”_Toｃ482308035＂4.9?重要時(shí)期安全保障 ＰAGEREF_Tｏc４8230８03５\ｈ6３ＨＹPERLIＮＫ\ｌ"_Toc4８２3080３6＂４.9.1 現(xiàn)場(chǎng)值守?PＡGEREＦ＿Tｏc482308０3６\h６3HYPERLINＫ\l”_Tｏc４82３080３７”4.９。2?預(yù)案制定?PＡＧEＲＥF_Tｏｃ４82308037\h64HYPERLINK＼l”_Toc48230８038＂４。9。３?應(yīng)急處理?PAGＥREF_Tｏｃ４82308０38＼h64HＹＰEＲLIＮK7。２?組織結(jié)構(gòu)圖?PAＧＥREF_Toc4823080４４\h68HYPERＬINK７.3．１?日常溝通、記錄和備忘錄?PAGERＥF_Toc4823080４6\h６9ＨYPＥRLINK＼ｌ"_Toc48２３080４7”７.3。2?報(bào)告?PAＧEREＦ_Tｏｃ48230804７＼h69HYPＥＲLINK\l”＿Toc48230８０4８＂７.3。3?會(huì)議 PAGEREＦ_Ｔｏc482308048\ｈ69HYPＥRLINＫ\ｌ＂_Tｏc48２3０8０４９"7。４?項(xiàng)目實(shí)施質(zhì)量保證?PＡGEREF_Tｏｃ4８23080４9＼h７0HYＰＥＲＬINK\ｌ"_Tｏc４８２3０805０”7。4.1?項(xiàng)目執(zhí)行人員的質(zhì)量職責(zé)?PAGEREF_Toｃ48230805０＼h71_Toc48２3０８052＂7.5?系統(tǒng)安全及風(fēng)險(xiǎn)規(guī)避方案?PAGＥREF_Tｏc４８23080５2\h７４HYPERＬINK\l”＿Toｃ4８2３0805３"７.5。1?項(xiàng)目實(shí)施工具?PAGERＥF＿Ｔoc4８2３0805３\h74HYPERLＩNK\ｌ"_Toc4８2３0805４"７．5。2?項(xiàng)目實(shí)施策略?ＰAＧERＥF_Toc4823０8０54＼h74HYＰEＲＬＩNＫ\ｌ”_Ｔoc4８2308０５5”7.5.３?項(xiàng)目實(shí)施中的配合 PAGEREＦ_Toc４８2３08055＼h75ＨYPERＬＩNK\l”＿Toc4８2３０8056＂8 保密承諾?PAGＥＲEF_Tｏc4823０8０56＼ｈ７6HYPERLIＮK\ｌ"＿Ｔｏc4８2３0805７"8.1?保密協(xié)議?PAGＥREF_Toc4823０805７\h7６HＹＰERLINK\l”_Toc48２308058"8。1。1 保密協(xié)議的必要性 PAＧＥREF_Toc4823080５８\h７6HYPERLIＮK\ｌ"_Ｔoc4823０８059＂8.1.2 保密條款?PAGＥRＥF＿Toc4823080５9\h76HYＰERLINK\l"_Ｔｏc48２3080６0”8。1。3?違約責(zé)任 ＰＡGEＲＥF_Ｔｏc48２３08０6０＼h77HYPＥRLINK\l”＿Toｃ４82３080６1”8．2 項(xiàng)目實(shí)施人員專項(xiàng)保密承諾?PAGEREＦ_Toc4８2308061\ｈ７8HYPＥRLIＮK＼l"_Ｔｏｃ４８23０８06２”8.2.１?保密承諾的必要性?PAGEREF_Ｔoc4823０８062\ｈ７8HYPERＬINK\ｌ"_Ｔｏc4８2３08０63”8.2．２?保密內(nèi)容和范圍?PAＧERＥF_Tｏc482308０6３＼ｈ７8HYPERLINK＼l"_Toc48２30８064"8.２。3 保密責(zé)任?ＰAGEREF＿Toc4８2308064\h78HYPERLINK\ｌ＂_Ｔoc4８23０8065"9 迪普科技簡(jiǎn)介 PAＧＥREF_Toｃ4８230８065\h７9HYPERLINK＼ｌ"＿Toｃ48230８06６”9。１?公司介紹 PAＧEＲEF_Toｃ482３０８066\ｈ7９HYＰERLＩNK\l＂_Ｔoｃ482３0８06７"9．２ 服務(wù)資質(zhì) PAGEＲEF_Toc4８２３０８0６7\h８０HYＰERLINK\ｌ"_Ｔoc482３08068"９.2。1?國(guó)內(nèi)最高的信息安全服務(wù)二級(jí)資質(zhì)?PAGERＥF_Ｔoc482308０68\h8０ＨYPERＬＩNK\l”_Ｔoc4８2３0８069”9.2。2?中國(guó)通信企業(yè)協(xié)會(huì)風(fēng)險(xiǎn)評(píng)估資質(zhì) PＡGEＲEF_Toc48２3080６９\ｈ82ＨYPERLＩNＫ＼ｌ”_Toc48２308070”9.2。3?ISO2７001信息安全管理體系認(rèn)證 ＰＡＧEREＦ＿Toｃ48２３０80７０\h８３HYPERLIＮK\l”_Toｃ48230807１"9。2。4 國(guó)家信息安全漏洞庫(kù)支撐單位 ＰAGEREF_Ｔoc4８2308071＼h84HYPERLＩＮK\l”_Toc4８23０８072”9.2．5?中國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全威脅治理聯(lián)盟成員單位?PAGEREF_Toｃ482308072\h84HYPERLＩNK\l＂＿Ｔｏc482３080７3"9.2。６ ISO９00１認(rèn)證?PAＧEＲＥＦ_Tｏｃ４82３08073＼h８５HYPＥRLINＫ\l"_Toｃ４8２３0807４”９。２。7 ISO140０1認(rèn)證?PAGERＥF_Toc48２３0８0７4\ｈ８６HYPＥRLＩＮＫ\l”_Toc48２3０８075"9。2。8 部分漏洞提交證明 PAGＥREF_Toc482３08075\h8６HYＰEＲLIＮK\l”＿Toｃ4８230807６"9。3?服務(wù)優(yōu)勢(shì)?４８2308０７6＼h88HＹPERLＩNK＼l"_Toc482308078"9．3。1?信息安全監(jiān)管機(jī)構(gòu)高度認(rèn)可?ＰAＧＥREF_Toc48２30807８\h８8ＨYPEＲLINＫ\l＂＿Toc482３08079"9。3。2?強(qiáng)大的漏洞挖掘研究能力 ＰAGEREF＿Toc4823０８０7９\h88HYPＥRLＩＮK\l"_Ｔoc48２３0８０８0＂9。３.3 專業(yè)的安全咨詢服務(wù)團(tuán)隊(duì)?ＰAGEＲＥF_Ｔｏc４82３０8080\h８8ＨYPＥＲLIＮK\l”_Toc48２30８081"9。3。4 國(guó)家重大會(huì)議活動(dòng)首選安全保障團(tuán)隊(duì) PAGEREF_Tｏc48２30８081\h89項(xiàng)目概述近年來(lái)，隨著棱鏡門(mén)事件的爆發(fā),網(wǎng)絡(luò)和信息安全受到前所未有的關(guān)注。20１4年中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組的成立，習(xí)近平主席“沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全”等指示的提出，無(wú)不表明網(wǎng)絡(luò)與信息安全工作已經(jīng)上升至國(guó)家戰(zhàn)略安全層面.在這種形勢(shì)下，網(wǎng)絡(luò)安全的重要性被提到了前所未有的高度。在ＸXX中,如果網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)被黑客攻擊，頁(yè)面被得法自發(fā)、敏感信息被竊取,其影響將難以估計(jì)。同時(shí),20１7。６.1既將實(shí)行的網(wǎng)絡(luò)安全法中，規(guī)定將對(duì)出現(xiàn)安全事件的組織負(fù)責(zé)人進(jìn)行處罰。隨著安全技術(shù)的發(fā)展,各行業(yè)的網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng),必將成為黑客或反動(dòng)勢(shì)力的攻擊目標(biāo).種種跡象表明，如果網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)存在安全漏洞，將非常容易導(dǎo)致被攻擊者非法入侵，并對(duì)敏感數(shù)據(jù)進(jìn)行非法竊取、篡改、刪除等操作.編寫(xiě)本方案的目的，是希望通過(guò)迪普科技長(zhǎng)期從事網(wǎng)絡(luò)安全、網(wǎng)站安全、安全服務(wù)工作的經(jīng)驗(yàn),以及對(duì)黑客攻擊過(guò)程的深入理解,為XXX的網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)提供全方位的安全防護(hù)建議,并為XXＸ的安全運(yùn)行保駕護(hù)航。遵循原則本次為XXＸ提供的安全服務(wù)，全程遵循以下原則。先進(jìn)性原則安全服務(wù)和形成的規(guī)劃方案，在路線上應(yīng)與業(yè)界的主流發(fā)展趨勢(shì)相一致，保證依據(jù)此方案進(jìn)行安全防護(hù)的XXX具備先進(jìn)性.標(biāo)準(zhǔn)性原則安全服務(wù)和產(chǎn)品的選擇，按照國(guó)家安全管理、安全控制、安全規(guī)程為參考依據(jù)。實(shí)用性原則具備多層次、多角度、全方位、立體化的安全保護(hù)功能.各種安全技術(shù)措施盡顯其長(zhǎng),相互補(bǔ)充.當(dāng)某一種或某一層保護(hù)失效時(shí),其它仍可起到保護(hù)作用?？煽匦栽瓌t安全服務(wù)和安全規(guī)劃的技術(shù)和解決方案，涉及的工程實(shí)施應(yīng)具有可控性。系統(tǒng)性、均衡性、綜合性研究原則安全服務(wù)從全系統(tǒng)出發(fā),綜合分析各種安全風(fēng)險(xiǎn),采取相應(yīng)的安全措施，并根據(jù)風(fēng)險(xiǎn)的大小，采取不同強(qiáng)度的安全措施，提供具有最優(yōu)的性能價(jià)格比的安全解決方案?？尚行?、可靠性原則技術(shù)和解決方案，需在保證網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)正常運(yùn)轉(zhuǎn)的前提下,提供最優(yōu)安全保障.可擴(kuò)展性原則良好的可擴(kuò)展性,能適應(yīng)安全技術(shù)的快速發(fā)展和更新，能隨著安全需求的變化而變化，充分保證投資的效益。推薦服務(wù)內(nèi)容根據(jù)國(guó)家監(jiān)管機(jī)構(gòu)要求以及XＸＸ安全需求,我們推薦以下服務(wù)內(nèi)容。序號(hào)服務(wù)內(nèi)容服務(wù)描述服務(wù)方式1網(wǎng)站安全監(jiān)控對(duì)XXX指定的網(wǎng)站進(jìn)行7*2４小時(shí)安全監(jiān)控,并提供監(jiān)控日?qǐng)?bào)、周報(bào)、月報(bào),在網(wǎng)站出現(xiàn)異常情況時(shí)(被攻擊、篡改、掛馬）,進(jìn)行實(shí)時(shí)告警。遠(yuǎn)程2滲透測(cè)試服務(wù)通過(guò)人工方式，模擬黑客攻擊方法，對(duì)XXX的網(wǎng)站進(jìn)行非破壞性質(zhì)的安全測(cè)試,查找應(yīng)用層面漏洞并給出對(duì)應(yīng)的修復(fù)建議。遠(yuǎn)程/現(xiàn)場(chǎng)3網(wǎng)絡(luò)安全評(píng)估評(píng)估XＸX的網(wǎng)絡(luò)拓?fù)浼軜?gòu)、安全域規(guī)劃、邊界防護(hù)、安全防護(hù)措施、核心設(shè)備安全配置、設(shè)備脆弱性等，從而全面評(píng)估網(wǎng)絡(luò)的安全現(xiàn)狀，查找安全隱患。現(xiàn)場(chǎng)4安全巡檢服務(wù)定期對(duì)XXX的業(yè)務(wù)系統(tǒng)進(jìn)行安全漏洞檢測(cè)、基線配置核查、安全日志審計(jì)，評(píng)估業(yè)務(wù)系統(tǒng)的安全現(xiàn)狀，如果存在安全風(fēng)險(xiǎn)，則提供對(duì)應(yīng)的整改建議。現(xiàn)場(chǎng)5安全加固服務(wù)對(duì)安全巡檢發(fā)現(xiàn)的漏洞進(jìn)行修復(fù)、配置隱患進(jìn)行優(yōu)化的過(guò)程.加固內(nèi)容包括但不限于系統(tǒng)補(bǔ)丁、防火墻、防病毒、危險(xiǎn)服務(wù)、共享、自動(dòng)播放、密碼安全。遠(yuǎn)程/現(xiàn)場(chǎng)６應(yīng)急響應(yīng)服務(wù)當(dāng)XXX的網(wǎng)站或服務(wù)器遭受黑客入侵攻擊時(shí)，第一時(shí)間對(duì)入侵事件進(jìn)行分析、檢測(cè)、抑制、處理,查找入侵來(lái)源并恢復(fù)系統(tǒng)正常運(yùn)行。遠(yuǎn)程/現(xiàn)場(chǎng)７新系統(tǒng)入網(wǎng)安全評(píng)估在新系統(tǒng)入網(wǎng)前,對(duì)其進(jìn)行全面的安全評(píng)估，包括滲透測(cè)試、漏洞檢測(cè)、基線核查,評(píng)估新系統(tǒng)的安全狀況,查找不符合安全要求的配置項(xiàng)以及安全風(fēng)險(xiǎn)點(diǎn)。遠(yuǎn)程／現(xiàn)場(chǎng)8安全攻防演練培訓(xùn)為XXX提供一個(gè)理論結(jié)合實(shí)際、可以實(shí)戰(zhàn)演練、場(chǎng)景真實(shí)逼真的安全攻防培訓(xùn),從而真正提升受訓(xùn)人員的安全技術(shù)和實(shí)際動(dòng)手能力?，F(xiàn)場(chǎng)9重要時(shí)期安全保障在重要時(shí)期（如重大會(huì)議、重大節(jié)假日）,我司派出安全攻防經(jīng)驗(yàn)豐富的安全專家,進(jìn)駐用戶現(xiàn)場(chǎng),對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行現(xiàn)場(chǎng)安全值守和保障。現(xiàn)場(chǎng)服務(wù)詳細(xì)介紹下面,對(duì)每項(xiàng)服務(wù)內(nèi)容,進(jìn)行詳細(xì)說(shuō)明。網(wǎng)站安全監(jiān)控隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展,網(wǎng)站攻擊的門(mén)檻不斷降低。各類型網(wǎng)站受到的安全威脅越來(lái)越多，為形象、各Ｗeb應(yīng)用系統(tǒng)的正常使用。應(yīng)實(shí)現(xiàn)以下基本安全需求:監(jiān)控網(wǎng)站頁(yè)面內(nèi)容完整、不被篡改；監(jiān)控網(wǎng)站存在的ＳQＬ注入、XSＳ、非法訪問(wèn)、信息泄露等應(yīng)用層漏洞,從而提前解決潛在風(fēng)險(xiǎn);監(jiān)控網(wǎng)站，防止網(wǎng)站掛馬而導(dǎo)致的客戶滿意度損失；監(jiān)控網(wǎng)站是否存在敏感信息,對(duì)于網(wǎng)站的敏感信息內(nèi)容自行配制告警功能,方便管理者及時(shí)了解到發(fā)生的安全事件,可根據(jù)量化的標(biāo)準(zhǔn)，對(duì)網(wǎng)站的安全事件嚴(yán)重程度進(jìn)行不同形式的告警,杜絕可能存在的政治風(fēng)險(xiǎn)和聲譽(yù)損失；監(jiān)控網(wǎng)站是否被釣魚(yú),導(dǎo)致相關(guān)的名譽(yù)損失。服務(wù)簡(jiǎn)介WＥＢ網(wǎng)站安全監(jiān)控平臺(tái)安全監(jiān)控系統(tǒng)是迪普科技根據(jù)“云”的理念研發(fā)出的一款全天候Web監(jiān)測(cè)系統(tǒng).WＥB網(wǎng)站安全監(jiān)控平臺(tái)監(jiān)控系統(tǒng)基于PＡAS(Pｌaｔfｏｒm—As–Ａ-Servｉcｅ）模式，通過(guò)部署于各信息節(jié)點(diǎn)的監(jiān)測(cè)引擎對(duì)客戶指定的網(wǎng)站(WEB應(yīng)用)進(jìn)行可用率和站點(diǎn)安全性檢測(cè),以保障客戶網(wǎng)站業(yè)務(wù)持續(xù)性，從而向客戶提供網(wǎng)站安全的保障。服務(wù)功能被動(dòng)防御被動(dòng)防御主要提供如下服務(wù):網(wǎng)站異常推送無(wú)需時(shí)時(shí)刻刻緊盯著網(wǎng)站，也無(wú)需改變?nèi)魏尉W(wǎng)絡(luò)的部署，也不需專門(mén)的人員進(jìn)行安全設(shè)備維護(hù)及分析日志,一旦Web出現(xiàn)任何異常行為，迪普科技WEB網(wǎng)站安全監(jiān)控平臺(tái)會(huì)自動(dòng)把異常推送到云端，然后在云端進(jìn)行分析檢測(cè).您完全不用擔(dān)心找不到異常的解決辦法,WEB網(wǎng)站安全監(jiān)控平臺(tái)會(huì)幫你完成這一系列繁雜的任務(wù)。預(yù)警服務(wù)每一個(gè)用戶所發(fā)生的異常行為都會(huì)在推送到云端分析結(jié)束后保留在云端特征庫(kù)中,一旦該異常再次發(fā)生，異常比對(duì)后,云端幾乎可無(wú)間隔預(yù)警。也就是說(shuō)我們的用戶越多，ＷＥB網(wǎng)站安全監(jiān)控平臺(tái)全方位立體式的監(jiān)控就越完善，您的網(wǎng)站也越加安全。專業(yè)團(tuán)隊(duì)Ｗeｂ異常原因根據(jù)系統(tǒng)環(huán)境,人員等各種因素各式各樣。在遇到云端無(wú)法解決的情況下，我們專業(yè)團(tuán)隊(duì)會(huì)在第一時(shí)間通知您，并提供解決方案。系統(tǒng)報(bào)表每日監(jiān)測(cè)后網(wǎng)站性能等監(jiān)測(cè)指標(biāo)都可以隨時(shí)生成相應(yīng)的報(bào)表,方便您的查閱。您無(wú)需在去找人進(jìn)行參數(shù)整理等重復(fù)性工作,解決大量的人力重復(fù)勞動(dòng).主動(dòng)掃描主動(dòng)掃描主要提供如下服務(wù):網(wǎng)站性能監(jiān)控性能監(jiān)控主要對(duì)服務(wù)器性能、網(wǎng)站訪問(wèn)可用率、延遲、故障時(shí)間的一個(gè)持續(xù)評(píng)測(cè)。是主動(dòng)掃描中基礎(chǔ)模塊之一，它能更準(zhǔn)確的讓您清楚每天網(wǎng)站運(yùn)行的狀態(tài)。檢測(cè)功能:有效的監(jiān)測(cè)網(wǎng)站實(shí)時(shí)的可用率，更加直觀的表現(xiàn)出網(wǎng)站的性能;統(tǒng)計(jì)網(wǎng)站的故障時(shí)間,可有效的查出故障時(shí)間段,針對(duì)性解決網(wǎng)站故障；網(wǎng)站性能分析，根據(jù)監(jiān)測(cè)結(jié)果智能分析出網(wǎng)站可能出現(xiàn)的異常情況。網(wǎng)站篡改檢測(cè)網(wǎng)站防線攻破后,入侵者會(huì)對(duì)網(wǎng)站的頁(yè)面內(nèi)容進(jìn)行篡改，發(fā)布一些危害網(wǎng)站正常運(yùn)行的言論，從對(duì)網(wǎng)站形象帶來(lái)巨大負(fù)面影響.檢測(cè)功能：有效防止掛黑鏈,避免影響網(wǎng)站優(yōu)化，導(dǎo)致排名下降；及時(shí)發(fā)現(xiàn)留后門(mén)，預(yù)防網(wǎng)站二次入侵；第一時(shí)間發(fā)現(xiàn)惡意修改的虛假信息,避免誤導(dǎo)用戶;時(shí)刻檢測(cè)惡意代碼植入,避免網(wǎng)站被殺軟警報(bào)屏蔽;避免主頁(yè)被篡改,減少聲譽(yù)損失,避免網(wǎng)站服務(wù)中斷.網(wǎng)站掛馬監(jiān)控掛馬檢測(cè)模塊采用大規(guī)模、分布式、動(dòng)態(tài)行為檢測(cè)和靜態(tài)檢測(cè)相結(jié)合的掛馬識(shí)別方式,能夠準(zhǔn)確判斷出網(wǎng)站的掛馬頁(yè)面,并及時(shí)發(fā)出警報(bào),可以有效維護(hù)網(wǎng)站安全和利益。同時(shí)，通過(guò)高級(jí)木馬檢測(cè)服務(wù)，用戶可指定監(jiān)控間隔周期、監(jiān)控頁(yè)面深度、報(bào)警方式等參數(shù),更好的滿足用戶需求。檢測(cè)功能:檢測(cè)ifrａmｅ框架掛馬,讓您及時(shí)清理,避免成為木馬散布點(diǎn);檢測(cè)script掛馬，避免通過(guò)scｒipt的調(diào)用來(lái)掛馬；檢測(cè)圖片偽裝掛馬,讓您及時(shí)處理，避免網(wǎng)頁(yè)被殺軟報(bào)警;檢測(cè)網(wǎng)頁(yè)漏洞,讓您及時(shí)修復(fù)，預(yù)防被掛馬;實(shí)時(shí)監(jiān)控網(wǎng)站掛馬情況,讓您及時(shí)處理掛馬問(wèn)題。網(wǎng)站敏感詞監(jiān)控敏感詞監(jiān)控主要是針對(duì)網(wǎng)站敏感詞的一個(gè)檢測(cè)過(guò)濾，它能準(zhǔn)確的檢測(cè)出你在其管理平臺(tái)中設(shè)立的敏感詞。一旦發(fā)現(xiàn)存在某個(gè)頁(yè)面中，WＥB網(wǎng)站安全監(jiān)控平臺(tái)會(huì)主動(dòng)提醒您。檢測(cè)功能:檢測(cè)網(wǎng)頁(yè)源碼中敏感詞出現(xiàn);檢測(cè)數(shù)據(jù)庫(kù)中敏感詞出現(xiàn)；統(tǒng)計(jì)敏感詞出現(xiàn)次數(shù),定位到具體代碼數(shù)據(jù)。網(wǎng)跨站釣魚(yú)檢測(cè)跨站釣魚(yú)檢測(cè)模塊通過(guò)靜態(tài)分析技術(shù)與虛擬機(jī)沙箱行為檢測(cè)技術(shù)相結(jié)合,對(duì)網(wǎng)站進(jìn)行跨站釣魚(yú)檢測(cè)，能在最快的時(shí)間內(nèi)完成跨站檢測(cè)。檢測(cè)功能：檢測(cè)ifraｍe框架跨站釣魚(yú)；檢測(cè)scｒipt跨站釣魚(yú)，避免通過(guò)sｃｒipt的調(diào)用來(lái)跨站釣魚(yú);檢測(cè)ｉmg跨站釣魚(yú);對(duì)頁(yè)面的中的鏈接域名進(jìn)行監(jiān)測(cè)，保障用戶訪問(wèn)的域名正確性。服務(wù)特點(diǎn)易操作用戶只需要登錄我們的平臺(tái),在其授權(quán)管理后，設(shè)置網(wǎng)站所需要監(jiān)控的項(xiàng)目。迪普科技本著“以人為本”理念,在產(chǎn)品設(shè)計(jì)時(shí)非常注重用戶體驗(yàn)，您只需要簡(jiǎn)單的幾步操作既可完成整個(gè)網(wǎng)站的監(jiān)控。同時(shí)產(chǎn)品中擁有豐富的幫助文檔,即使您沒(méi)有接觸過(guò)類似產(chǎn)品，在幫助文檔的指引下也可以順利的完成操作?？梢栽诠芾砥脚_(tái)中根據(jù)您設(shè)置對(duì)網(wǎng)站安全情況進(jìn)行日?qǐng)?bào)、周報(bào)、月報(bào)的報(bào)告通告,并通過(guò)郵件及時(shí)通知您。智能管理主動(dòng)掃描模式,被動(dòng)防御模式主動(dòng)掃描模式可主動(dòng)更深入的測(cè)查出網(wǎng)站所存在的安全隱患,可主動(dòng)發(fā)現(xiàn)各種網(wǎng)頁(yè)掛馬、敏感詞的出現(xiàn)、以及網(wǎng)站實(shí)時(shí)性能的一個(gè)總體分析.您可隨意調(diào)整掃描模式,達(dá)到預(yù)期效果。被動(dòng)防御模式可全天候監(jiān)測(cè)網(wǎng)站異常，并在異常出現(xiàn)第一時(shí)間預(yù)警通您。節(jié)省投資與管理成本提供３65*7＊24全天候的在線木馬監(jiān)測(cè)服務(wù)，讓您的站點(diǎn)每一分鐘都在監(jiān)控中。大大節(jié)省您在安全設(shè)備采購(gòu)的投資,并且您無(wú)需親自動(dòng)手操作各種安全設(shè)備，避免在使用設(shè)備過(guò)程中的繁瑣,節(jié)省您的時(shí)間和精力。訂閱故障統(tǒng)計(jì)報(bào)告站點(diǎn)安全情況可根據(jù)用戶需求進(jìn)行訂閱,讓用戶能夠了解到行業(yè)內(nèi)、地域內(nèi)站點(diǎn)的安全情況，及時(shí)做好維護(hù)升級(jí),避免不必要的損失。輸出成果網(wǎng)站安全監(jiān)控的輸出成果如下：《ＸＸX網(wǎng)站安全監(jiān)控周報(bào)》《XＸＸ網(wǎng)站安全監(jiān)控月報(bào)》滲透測(cè)試服務(wù)滲透測(cè)試服務(wù),是在ＸＸX授權(quán)的前提下，以模擬黑客攻擊的方式,對(duì)ＸＸX網(wǎng)站的安全漏洞、安全隱患進(jìn)行全面檢測(cè),最終目標(biāo)是查找網(wǎng)站的安全漏洞、評(píng)估網(wǎng)站的安全狀態(tài)、提供漏洞修復(fù)建議。在滲透過(guò)程中,我們會(huì)采用業(yè)界領(lǐng)先的漏洞檢測(cè)技術(shù)、攻擊技術(shù)、攻擊工具和迪普安全團(tuán)隊(duì)編寫(xiě)的腳本.過(guò)程分為四步:計(jì)劃與準(zhǔn)備、信息收集、實(shí)施滲透、輸出報(bào)告。計(jì)劃與準(zhǔn)備階段主要是根據(jù)網(wǎng)站反饋的內(nèi)容制定項(xiàng)目實(shí)施方案與計(jì)劃；信息收集與實(shí)施滲透是項(xiàng)目的實(shí)施階段，輸出報(bào)告主要是匯總和評(píng)估項(xiàng)目中發(fā)現(xiàn)的安全威脅,并輸出文檔。測(cè)試方法我司提供的滲透測(cè)試服務(wù)，采用的測(cè)試方法如下.信息搜集信息探測(cè)階段包括信息收集,端口、服務(wù)掃描,計(jì)算機(jī)漏洞檢測(cè)，此階段主要做滲透前的踩點(diǎn)用.使用工具:Ｍaltegｏ，搜集管理員email、teｌ、常用id，網(wǎng)絡(luò)拓?fù)涞龋危韆p,端口、服務(wù)掃描,弱口令破解，系統(tǒng)信息探測(cè)X-scan,端口、服務(wù)掃描，弱口令破解，系統(tǒng)信息探測(cè)Ｐ0f，系統(tǒng)識(shí)別Appｓcan,Web漏洞檢測(cè)程序WＶS，Wｅｂ漏洞檢測(cè)程序W3AF,Web漏洞檢測(cè)程序Scanner1000，迪普科技開(kāi)發(fā)的漏洞檢測(cè)產(chǎn)品，支持系統(tǒng)漏洞檢測(cè),Web漏洞檢測(cè)等一系列功能端口掃描通過(guò)對(duì)目標(biāo)地址的TＣＰ／ＵＤP端口掃描，確定其所開(kāi)放的服務(wù)的數(shù)量和類型，這是所有滲透測(cè)試的基礎(chǔ)。通過(guò)端口掃描，可以基本確定一個(gè)系統(tǒng)的基本信息,結(jié)合安全工程師的經(jīng)驗(yàn)可以確定其可能存在以及被利用的安全弱點(diǎn)，為進(jìn)行深層次的滲透提供依據(jù)?？诹畈聹y(cè)口令猜測(cè)也是一種出現(xiàn)概率很高的風(fēng)險(xiǎn),幾乎不需要任何攻擊工具，利用一個(gè)簡(jiǎn)單的暴力攻擊程序和一個(gè)比較完善的字典,就可以猜測(cè)口令。對(duì)一個(gè)系統(tǒng)賬號(hào)的猜測(cè)通常包括兩個(gè)方面:首先是對(duì)用戶名的猜測(cè),其次是對(duì)密碼的猜測(cè)。腳本測(cè)試腳本測(cè)試專門(mén)針對(duì)Wｅｂ服務(wù)器進(jìn)行。根據(jù)最新的技術(shù)統(tǒng)計(jì),腳本安全弱點(diǎn)為當(dāng)前Web系統(tǒng)尤其存在動(dòng)態(tài)內(nèi)容的Web系統(tǒng)存在的主要比較嚴(yán)重的安全弱點(diǎn)之一。利用腳本相關(guān)弱點(diǎn)輕則可以獲取系統(tǒng)其他目錄的訪問(wèn)權(quán)限,重則將有可能取得系統(tǒng)的控制權(quán)限。因此對(duì)于含有動(dòng)態(tài)頁(yè)面的Ｗｅb系統(tǒng),腳本測(cè)試將是必不可少的一個(gè)環(huán)節(jié).Hydｒａ，暴力破解工具，支持Saｍba，F(xiàn)TＰ,POP3,IＭAP,Tｅlnet,ＨTTＰＡuｔｈ,ＬDAＰ，NNTP，MySQＬ,VNC,ICQ，Sockｓ５，ＰCNFS,Cisco等多種協(xié)議的暴力破解Ｍetａsplｏit,溢出程序利用平臺(tái)菜刀，Wｅbsheｌｌ功力工具Ｐｗdump７,讀取系統(tǒng)HASＨCain，內(nèi)網(wǎng)snｉffｅr工具Dｉsnｉff,ｌinuｘ下嗅探工具人工滲透人工滲透，主要針對(duì)系統(tǒng)的業(yè)務(wù)邏輯漏洞進(jìn)行安全測(cè)試，利用業(yè)務(wù)邏輯漏洞查找可準(zhǔn)確、切實(shí)的找出業(yè)務(wù)中存在的安全隱患,避免被惡意用戶利用,對(duì)系統(tǒng)造成重大損失。測(cè)試內(nèi)容對(duì)XＸX網(wǎng)站的滲透測(cè)試，除使用產(chǎn)品和工具掃描外,更重要的需要進(jìn)行人工滲透，滲透內(nèi)容包括但不限于以下項(xiàng)，且需要對(duì)發(fā)現(xiàn)的漏洞進(jìn)行驗(yàn)證和利用.序號(hào)滲透測(cè)試大項(xiàng)滲透測(cè)試小項(xiàng)１配置管理備份測(cè)試、HTTP方法測(cè)試、傳輸安全２身份鑒別用戶注冊(cè)、賬戶權(quán)限、賬戶枚舉、弱口令3認(rèn)證授權(quán)認(rèn)證繞過(guò)、目錄遍歷、授權(quán)繞過(guò)、權(quán)限提升4會(huì)話管理超時(shí)測(cè)試、會(huì)話管理繞過(guò)測(cè)試、會(huì)話令牌泄露測(cè)試、跨站點(diǎn)請(qǐng)求偽造CSRF測(cè)試５輸入驗(yàn)證SQL注入、代碼注入、命令執(zhí)行注入、跨站腳本XSS6錯(cuò)誤處理錯(cuò)誤碼分析、棧追蹤分析7業(yè)務(wù)邏輯數(shù)據(jù)驗(yàn)證、請(qǐng)求偽造、完整性、次數(shù)限制、上傳測(cè)試實(shí)施步驟根據(jù)黑客入侵的過(guò)程,并結(jié)合滲透測(cè)試的要求,我司滲透測(cè)試的實(shí)施步驟如下.計(jì)劃與準(zhǔn)備階段工作目標(biāo)計(jì)劃與準(zhǔn)備階段，需要明確滲透測(cè)試的實(shí)施范圍與測(cè)試對(duì)象，制定實(shí)施方法與方案,并制定詳細(xì)的實(shí)施計(jì)劃,為滲透測(cè)試的順利進(jìn)行,作重要準(zhǔn)備。滲透測(cè)試的實(shí)施,將按照方案和計(jì)劃進(jìn)行。工作內(nèi)容計(jì)劃與準(zhǔn)備階段的工作,主要是對(duì)滲透測(cè)試實(shí)施舉行研討會(huì),討論滲透測(cè)試操作思路,說(shuō)明滲透測(cè)試的實(shí)施范圍和測(cè)試對(duì)象，然后根據(jù)研討內(nèi)容制定相應(yīng)得實(shí)施方案與計(jì)劃。由領(lǐng)導(dǎo)審核批準(zhǔn)實(shí)施方案與計(jì)劃，項(xiàng)目組根據(jù)實(shí)際情況的需要,會(huì)對(duì)實(shí)施方案與計(jì)劃進(jìn)行一定的調(diào)整。實(shí)施計(jì)劃序號(hào)任務(wù)名稱工作內(nèi)容計(jì)劃時(shí)間１滲透測(cè)試研討會(huì)討論滲透測(cè)試的工作思路，說(shuō)明測(cè)試范圍、測(cè)試目標(biāo)對(duì)象、實(shí)施方式以及實(shí)施人員和大致的時(shí)間計(jì)劃2制定滲透測(cè)試實(shí)施方案與計(jì)劃根據(jù)研討會(huì)的討論內(nèi)容,制定相應(yīng)的滲透測(cè)試實(shí)施方案和實(shí)施計(jì)劃3提交滲透測(cè)試實(shí)施方案與計(jì)劃提交滲透測(cè)試實(shí)施方案與計(jì)劃4審核與確認(rèn)滲透測(cè)試實(shí)施方案與計(jì)劃項(xiàng)目組提交滲透測(cè)試實(shí)施方案與計(jì)劃，由領(lǐng)導(dǎo)進(jìn)行審核確認(rèn)，提出相應(yīng)的意見(jiàn)與建議5修正實(shí)施方案與計(jì)劃根據(jù)領(lǐng)導(dǎo)審核意見(jiàn)和建議,對(duì)實(shí)施方案與計(jì)劃進(jìn)行相應(yīng)的修正信息收集階段工作目標(biāo)信息收集是所有入侵攻擊的前奏和基礎(chǔ)。通過(guò)信息收集分析,攻擊者可以有針對(duì)性地制定入侵攻擊的方法策略,提高入侵的成功率、減小暴露或被發(fā)現(xiàn)的機(jī)率。因此以模擬黑客攻擊方式進(jìn)行的滲透測(cè)試,也以信息收集為第一個(gè)實(shí)施的階段過(guò)程。工作內(nèi)容信息收集階段的工作內(nèi)容是對(duì)目標(biāo)所在的整個(gè)ＩP網(wǎng)段進(jìn)行掃描探測(cè)與手工查閱。通過(guò)對(duì)目標(biāo)地址的TＣP/UＤＰ端口掃描，確定其所開(kāi)放的服務(wù)的數(shù)量和類型,這是所有滲透性測(cè)試的基礎(chǔ)。通過(guò)信息探測(cè)漏洞檢測(cè),可以基本確定一個(gè)系統(tǒng)的基本信息，結(jié)合安全工程師的經(jīng)驗(yàn)可以確定其可能存在以及被利用的安全弱點(diǎn),為進(jìn)行深層次的滲透提供依據(jù)。并且用手工的方式對(duì)應(yīng)用、網(wǎng)頁(yè)等內(nèi)容進(jìn)行一些信息查看。實(shí)施計(jì)劃序號(hào)任務(wù)名稱工作內(nèi)容計(jì)劃時(shí)間1滲透測(cè)試變更流程與變更操作根據(jù)滲透測(cè)試的需要,進(jìn)行相應(yīng)的變更２信息收集階段實(shí)施操作按照實(shí)施方案,進(jìn)行信息收集階段實(shí)施操作滲透實(shí)施階段輸出報(bào)告階段工作目標(biāo)本階段為根據(jù)滲透測(cè)試得出的結(jié)果，進(jìn)行匯總分析，輸出《滲透測(cè)試報(bào)告》.工作內(nèi)容編寫(xiě)、整理滲透測(cè)試報(bào)告。實(shí)施計(jì)劃序號(hào)任務(wù)名稱工作內(nèi)容計(jì)劃時(shí)間1編寫(xiě)滲透測(cè)試報(bào)告對(duì)滲透測(cè)試得出的結(jié)果進(jìn)行分析，并輸出報(bào)告輸出成果滲透測(cè)試的輸出成果如下:《ＸXX滲透測(cè)試服務(wù)報(bào)告》《XXX滲透測(cè)試服務(wù)復(fù)測(cè)報(bào)告》服務(wù)收益對(duì)網(wǎng)站進(jìn)行滲透測(cè)試,可為ＸXX帶來(lái)如下收益:評(píng)估網(wǎng)站中存在的安全隱患、安全隱患;發(fā)現(xiàn)網(wǎng)站存在的深層次安全隱患;驗(yàn)證網(wǎng)站現(xiàn)有安全措施的防護(hù)強(qiáng)度；評(píng)估網(wǎng)站被入侵的可能性,并在入侵者發(fā)起攻擊前封堵可能被利用的攻擊途徑.網(wǎng)絡(luò)安全評(píng)估網(wǎng)絡(luò)安全評(píng)估是對(duì)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)的安全漏洞、安全隱患、安全風(fēng)險(xiǎn),進(jìn)行探測(cè)、識(shí)別、控制、消除的全過(guò)程,它從風(fēng)險(xiǎn)管理角度,運(yùn)用科學(xué)的方法和手段,系統(tǒng)地分析網(wǎng)絡(luò)與應(yīng)用系統(tǒng)所面臨的威脅及其存在的脆弱性,評(píng)估安全事件一旦發(fā)生可能造成的危害程度,提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。網(wǎng)絡(luò)安全評(píng)估的內(nèi)容，包括網(wǎng)絡(luò)拓?fù)浼軜?gòu)、安全域規(guī)劃、邊界防護(hù)、安全防護(hù)措施、核心設(shè)備安全配置、設(shè)備脆弱性等,從而全面評(píng)估網(wǎng)絡(luò)的安全現(xiàn)狀,查找安全隱患。評(píng)估內(nèi)容資產(chǎn)評(píng)估概述信息資產(chǎn)的識(shí)別可以確定評(píng)估的對(duì)象，是整個(gè)安全服務(wù)工作的基礎(chǔ)。并且，本階段可以幫助XXX實(shí)現(xiàn)信息資產(chǎn)識(shí)別和整理,完成一份完整和最新的信息資產(chǎn)清單，對(duì)XXＸ的信息資產(chǎn)管理工作會(huì)有所幫助。目標(biāo)完成一份完整和最新的信息資產(chǎn)清單。過(guò)程描述首先識(shí)別信息資產(chǎn)，完成所有重要信息資產(chǎn)的清單。按照資產(chǎn)性質(zhì)和業(yè)務(wù)類型等可以分成若干資產(chǎn)類,一般分為數(shù)據(jù),軟件,服務(wù)，硬件，設(shè)備和文檔等．根據(jù)不同的項(xiàng)目目標(biāo)與項(xiàng)目特點(diǎn),重點(diǎn)識(shí)別的資產(chǎn)類別會(huì)有所不同,在通常的項(xiàng)目中,一般數(shù)據(jù)、軟件和服務(wù)為重點(diǎn)。架構(gòu)安全評(píng)估概述對(duì)網(wǎng)絡(luò)結(jié)構(gòu)，邏輯網(wǎng)絡(luò)結(jié)構(gòu)及網(wǎng)絡(luò)的關(guān)鍵設(shè)備進(jìn)行評(píng)估，發(fā)現(xiàn)存在的安全性方面的問(wèn)題.結(jié)合業(yè)務(wù)體系、系統(tǒng)體系等結(jié)構(gòu)的檢查邏輯網(wǎng)絡(luò),由什么物理網(wǎng)絡(luò)組成以及網(wǎng)絡(luò)的關(guān)鍵設(shè)備的位置所在對(duì)于保持網(wǎng)絡(luò)的安全是非常重要的。另外,鑒定關(guān)鍵網(wǎng)絡(luò)拓?fù)?，?duì)于成功地實(shí)施一個(gè)基于網(wǎng)絡(luò)的風(fēng)險(xiǎn)管理方案是非常關(guān)鍵的。基本信息包括網(wǎng)絡(luò)帶寬,協(xié)議,硬件(例如:交換機(jī),路由器等）Ｉnｔernet接入,地理分布方式和網(wǎng)絡(luò)管理。目標(biāo)發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)存在的安全性問(wèn)題。過(guò)程描述1。網(wǎng)絡(luò)拓?fù)浞治鐾負(fù)浣Y(jié)構(gòu)合理性分析,可擴(kuò)展性分析,例如網(wǎng)絡(luò)中重要節(jié)點(diǎn)的鏈路是否有冗余。2。安全域評(píng)估對(duì)XXX網(wǎng)絡(luò)進(jìn)行全面了解,查看安全域是否有劃分,安全域的劃分是否合理,安全域間是否有相應(yīng)的安全防護(hù)措施，并提出對(duì)應(yīng)的改進(jìn)方案。對(duì)于信息系統(tǒng)的安全,除了自身的安全檢測(cè)外,還需要考慮與其他系統(tǒng)進(jìn)行對(duì)接的接口安全,即邊界安全。劃分安全域并對(duì)其進(jìn)行安全防護(hù),將有效保障系統(tǒng)與對(duì)接系統(tǒng)的安全。所以，安全域評(píng)估是架構(gòu)評(píng)估中的重中之重,我司將對(duì)XXＸ的安全域進(jìn)行詳細(xì)的分析與劃分,并提出對(duì)應(yīng)的措施,以保障對(duì)接應(yīng)用系統(tǒng)的邊界安全，有效保障應(yīng)用系統(tǒng)的安全運(yùn)行。3。邊界接入評(píng)估對(duì)邊界接入進(jìn)行全面調(diào)研分析,對(duì)各種接入情況進(jìn)行安全風(fēng)險(xiǎn)評(píng)估,與非信任網(wǎng)絡(luò)間互訪的安全管理,提出改進(jìn)方案。邊界接入評(píng)估，也能有效促進(jìn)系統(tǒng)與其他系統(tǒng)的對(duì)接接口安全。4。訪問(wèn)控制情況調(diào)查評(píng)估在相關(guān)的網(wǎng)絡(luò)隔離點(diǎn),是否有恰當(dāng)?shù)脑L問(wèn)控制規(guī)則設(shè)立，是否被有效的執(zhí)行。5.接入/連接方式的安全性評(píng)估各個(gè)接入節(jié)點(diǎn)部分是否具備安全措施保障,是否被正確配置和執(zhí)行。6。信任網(wǎng)絡(luò)之間的安全性評(píng)估信任網(wǎng)絡(luò)或者不信任網(wǎng)絡(luò)之間是否有控制，控制本身帶來(lái)的安全程度以及是否有可以繞過(guò)控制的途徑.７。網(wǎng)絡(luò)架構(gòu)管理評(píng)估網(wǎng)絡(luò)體系架構(gòu)是如何進(jìn)行管理的，是否有良好的機(jī)制和制度保障網(wǎng)絡(luò)架構(gòu)本身不被改變，沒(méi)有非法的不符合安全策略的架構(gòu)改變。8。網(wǎng)絡(luò)設(shè)備認(rèn)證管理評(píng)估是否有集中的設(shè)備認(rèn)證管理機(jī)制,是否被正確的配置和執(zhí)行。９.網(wǎng)絡(luò)的高可用性和可靠性評(píng)估網(wǎng)絡(luò)建設(shè)中是否良好的考慮了網(wǎng)絡(luò)的高可用性和可靠性問(wèn)題,是否被正確使用和良好的配置,是否有機(jī)制保障不被修改。配置安全評(píng)估概述對(duì)網(wǎng)絡(luò)及安全設(shè)備的配置進(jìn)行檢查,對(duì)ＩP地址分配是否正確、VＬＡN劃分是否合理,路由協(xié)議、安全策略是否合理等多方面進(jìn)行分析，網(wǎng)絡(luò)配置是整個(gè)網(wǎng)絡(luò)安全的基礎(chǔ)。目標(biāo)發(fā)現(xiàn)網(wǎng)絡(luò)設(shè)備配置存在的不合理及安全性問(wèn)題。過(guò)程描述1。路由協(xié)議評(píng)估分析所采用的路由協(xié)議,是否存在配置漏洞,冗余路由配置情況，路由協(xié)議的信任關(guān)系問(wèn)題.2.安全策略評(píng)估分析配置中是否采用安全相關(guān)配置，系統(tǒng)的安全策略是否存在,以及是否和業(yè)務(wù)系統(tǒng)相互吻合。3.協(xié)議選擇評(píng)估對(duì)網(wǎng)絡(luò)管理相關(guān)協(xié)議的分析整理；對(duì)業(yè)務(wù)應(yīng)用相關(guān)協(xié)議的分析整理。XXX業(yè)務(wù)系統(tǒng)本身業(yè)務(wù)服務(wù)所采用的相關(guān)協(xié)議,以及由此而帶來(lái)的相關(guān)的網(wǎng)絡(luò)支撐設(shè)備。4。訪問(wèn)控制情況調(diào)查評(píng)估在相關(guān)的網(wǎng)絡(luò)隔離點(diǎn)，是否有恰當(dāng)?shù)脑L問(wèn)控制規(guī)則設(shè)立,是否被有效的執(zhí)行。5。VLAＮ劃分評(píng)估分析XXＸ網(wǎng)絡(luò)中VLAN劃分是否合理，相應(yīng)設(shè)備上的VLAN配置是否正確，ＩP地址是否分配正確．６。安全配置均衡性分析安全配置本身是否具有不合理的配置或者弱點(diǎn)存在.7.網(wǎng)絡(luò)的高可用性和可靠性評(píng)估網(wǎng)絡(luò)建設(shè)中是否良好的考慮了網(wǎng)絡(luò)的高可用性和可靠性問(wèn)題，是否被正確使用和良好的配置，是否有機(jī)制保障不被修改。設(shè)備漏洞掃描概述為了充分了解XXX當(dāng)前網(wǎng)絡(luò)存在的安全隱患,采用迪普綜合漏洞評(píng)估掃描工具對(duì)XXＸ的網(wǎng)絡(luò)進(jìn)行全面掃描，檢查其網(wǎng)絡(luò)設(shè)備的弱點(diǎn),識(shí)別被入侵者用來(lái)非法進(jìn)入網(wǎng)絡(luò)的漏洞。目標(biāo)通過(guò)對(duì)XXX的網(wǎng)絡(luò)設(shè)備的掃描，發(fā)現(xiàn)目前XXX網(wǎng)絡(luò)設(shè)備存在的技術(shù)性安全漏洞。同時(shí),也為安全加固工作提供依據(jù)。過(guò)程描述首先，確定掃描范圍,主要針對(duì)重要信息資產(chǎn)和抽樣網(wǎng)段。然后提交掃描方案和掃描申請(qǐng),明確掃描執(zhí)行人員和時(shí)間安排。采用迪普綜合漏洞評(píng)估掃描工具對(duì)網(wǎng)絡(luò)進(jìn)行全面掃描,檢查其網(wǎng)絡(luò)設(shè)備的弱點(diǎn)，識(shí)別被入侵者用來(lái)非法進(jìn)入網(wǎng)絡(luò)的漏洞。評(píng)估方法資料收集現(xiàn)狀資料收集是現(xiàn)狀調(diào)研重要的信息來(lái)源.項(xiàng)目組向業(yè)務(wù)管理部門(mén)和信息系統(tǒng)的負(fù)責(zé)人收集了網(wǎng)絡(luò)拓?fù)鋱D、IP地址規(guī)劃表、設(shè)備配置等資料,為全面評(píng)估XXX三套網(wǎng)絡(luò)的安全狀況提供了數(shù)據(jù)依據(jù)?，F(xiàn)場(chǎng)訪談項(xiàng)目組對(duì)XXＸ三套網(wǎng)絡(luò)的維護(hù)人員,進(jìn)行了現(xiàn)場(chǎng)訪談。針對(duì)訪談對(duì)象在信息安全管理和執(zhí)行信息安全控制中所扮演的角色，有重點(diǎn)的了解了信息安全管理現(xiàn)狀及信息安全基礎(chǔ)設(shè)施建設(shè)情況。通過(guò)現(xiàn)場(chǎng)訪談,項(xiàng)目組能夠獲取三套網(wǎng)絡(luò)安全現(xiàn)狀的第一手資料，并可驗(yàn)證之前收集到的資料,從而提高其準(zhǔn)確度和完整性?，F(xiàn)場(chǎng)勘查對(duì)用戶網(wǎng)絡(luò)進(jìn)行現(xiàn)場(chǎng)檢查,查找可能存在的安全隱患和漏洞,如物理機(jī)房安全評(píng)估，安全意識(shí)標(biāo)語(yǔ)檢查等。調(diào)研問(wèn)卷給用戶單位員工下發(fā)信息安全調(diào)查問(wèn)卷,根據(jù)員工填寫(xiě)的結(jié)果，了解用戶網(wǎng)絡(luò)安全意識(shí)、安全方針、安全培訓(xùn)、安全應(yīng)急等情況。漏洞掃描漏洞掃描是指使用基于網(wǎng)絡(luò)的安全弱點(diǎn)掃描工具，根據(jù)其內(nèi)置的漏洞測(cè)試方法、掃描策略,從網(wǎng)絡(luò)中對(duì)掃描對(duì)象進(jìn)行一系列的安全檢查,從而發(fā)現(xiàn)可能存在的安全漏洞、安全隱患。使用漏洞掃描工具可以實(shí)現(xiàn)遠(yuǎn)程自動(dòng)化掃描,降低安全評(píng)估的工作量,并能根據(jù)需求輸出評(píng)估結(jié)果或者報(bào)表.在對(duì)三套網(wǎng)絡(luò)進(jìn)行安全評(píng)估時(shí),我們采用我司自己的漏洞掃描系統(tǒng),對(duì)網(wǎng)絡(luò)設(shè)備、安全設(shè)備進(jìn)行漏洞掃描，能夠有效評(píng)估XＸX三套的安全狀況。綜合分析綜合分析,是指對(duì)上述所有方法獲得的相關(guān)信息,以及發(fā)現(xiàn)被評(píng)估對(duì)象所存在的安全缺陷和風(fēng)險(xiǎn),進(jìn)行綜合分析．評(píng)估人員分析和整理通過(guò)上述過(guò)程中所收集的各項(xiàng)信息，查找系統(tǒng)及相關(guān)的評(píng)估對(duì)象之間的相互關(guān)聯(lián)、相互配合中所存在的缺陷和安全風(fēng)險(xiǎn),并與安全管理人員核實(shí)所收集的信息是否真實(shí)反映了網(wǎng)絡(luò)的真實(shí)安全情況，核實(shí)有疑問(wèn)的信息。實(shí)施步驟安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的流程，一般劃分為5個(gè)階段：項(xiàng)目計(jì)劃-〉資料收集—〉現(xiàn)場(chǎng)評(píng)估—>數(shù)據(jù)分析—〉評(píng)估報(bào)告，如下?，F(xiàn)場(chǎng)評(píng)估現(xiàn)場(chǎng)評(píng)估數(shù)據(jù)分析評(píng)估報(bào)告明確評(píng)估范圍和目標(biāo)制定項(xiàng)目計(jì)劃、計(jì)劃討論項(xiàng)目計(jì)劃資產(chǎn)賦值、漏洞掃描控制臺(tái)審計(jì)、安全訪談滲透測(cè)試、數(shù)據(jù)流分析弱點(diǎn)分析、威脅分析可能性分析、影響分析風(fēng)險(xiǎn)識(shí)別弱點(diǎn)評(píng)估報(bào)告風(fēng)險(xiǎn)評(píng)估報(bào)告安全修復(fù)建議資料收集資產(chǎn)調(diào)查表、網(wǎng)絡(luò)拓?fù)浒踩{(diào)研表、其他信息具體實(shí)施步驟如下：風(fēng)險(xiǎn)評(píng)估準(zhǔn)備確定風(fēng)險(xiǎn)評(píng)估目標(biāo)明確開(kāi)展本次風(fēng)險(xiǎn)評(píng)估所期望獲得的目標(biāo).確定風(fēng)險(xiǎn)評(píng)估范圍明確本次風(fēng)險(xiǎn)評(píng)估的具體范圍，避免后期不必要的工作的開(kāi)展。組建項(xiàng)目實(shí)施團(tuán)隊(duì)組建風(fēng)險(xiǎn)評(píng)估實(shí)施團(tuán)隊(duì)，包括項(xiàng)目經(jīng)理、實(shí)施工程師、質(zhì)量監(jiān)督人員在內(nèi),實(shí)施團(tuán)隊(duì)提前準(zhǔn)備好評(píng)估所需要的表格、文檔、檢測(cè)工具等各項(xiàng)準(zhǔn)備工作.進(jìn)行項(xiàng)目系統(tǒng)調(diào)研系統(tǒng)調(diào)研為風(fēng)險(xiǎn)評(píng)估依據(jù)和方法的選擇、評(píng)估內(nèi)容的實(shí)施奠定基礎(chǔ),調(diào)研內(nèi)容包括:業(yè)務(wù)戰(zhàn)略及管理制度主要的業(yè)務(wù)功能和要求網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境,包括內(nèi)部連接和外部連接系統(tǒng)邊界主要的硬件、軟件數(shù)據(jù)和信息其他制定風(fēng)險(xiǎn)評(píng)估方案指定風(fēng)險(xiǎn)評(píng)估方案,用于指導(dǎo)實(shí)施工作的開(kāi)展，內(nèi)容包括（但不僅限于）:團(tuán)隊(duì)組織:包括評(píng)估團(tuán)隊(duì)成員、組織結(jié)構(gòu)、角色、責(zé)任等內(nèi)容工作計(jì)劃:包括工作內(nèi)容，工作形式,工作成果等內(nèi)容項(xiàng)目進(jìn)度：項(xiàng)目實(shí)施的時(shí)間進(jìn)度安排資產(chǎn)識(shí)別資產(chǎn)分類資產(chǎn)被劃分為不同的類別,在進(jìn)行評(píng)估時(shí)可根據(jù)不同的資產(chǎn)分類使用不同的評(píng)估策略.依據(jù)資產(chǎn)的使用特點(diǎn)及部署方式，可將資產(chǎn)分為以下幾個(gè)類別:主機(jī)設(shè)備包括各類服務(wù)器、工作站、PC機(jī)等。主要針對(duì)主機(jī)設(shè)備上安裝的操作系統(tǒng)（如AIX、WINDOＷS)、數(shù)據(jù)庫(kù)系統(tǒng)（如OＲＡCLE、DＢ2）、應(yīng)用服務(wù)軟件(如IIS、APAＣHE)及相關(guān)的配置信息進(jìn)行評(píng)估。網(wǎng)絡(luò)設(shè)備包括路由器、交換機(jī)、四層交換設(shè)備、撥號(hào)設(shè)備等各種網(wǎng)絡(luò)設(shè)備。評(píng)估時(shí)主要對(duì)這些網(wǎng)絡(luò)設(shè)備的配置、部署方式、拓?fù)浣Y(jié)構(gòu)等方面進(jìn)行分析。安全產(chǎn)品包括各種安全設(shè)備,如防火墻、入侵檢測(cè)系統(tǒng)（IDS)、入侵防御系統(tǒng)(IPS）、安全審計(jì)系統(tǒng)、漏洞掃描系統(tǒng)、防病毒系統(tǒng)、安全隔離系統(tǒng)、防拒絕服務(wù)攻擊設(shè)備、VＰN等安全設(shè)備及產(chǎn)品。評(píng)估時(shí)主要分析安全設(shè)備的配置參數(shù)及自身的安全性.應(yīng)用系統(tǒng)包括組織的核心業(yè)務(wù)和辦公系統(tǒng),如業(yè)務(wù)管理系統(tǒng)、財(cái)務(wù)管理系統(tǒng)、辦公自動(dòng)化系統(tǒng)等。資產(chǎn)調(diào)研資產(chǎn)調(diào)查利用了資產(chǎn)調(diào)查表，包括資產(chǎn)名稱、硬件型號(hào)、IP地址、操作系統(tǒng)及版本、應(yīng)用程序及版本、部署位置、管理人員等信息。資產(chǎn)屬性說(shuō)明資產(chǎn)名稱記錄該資產(chǎn)的名稱用途描述描述該資產(chǎn)的主要功能及用途硬件型號(hào)資產(chǎn)的具體型號(hào)，如CIＳCO６5０9ＩP地址資產(chǎn)的IP地址IP數(shù)量該資產(chǎn)同時(shí)具備的IP地址數(shù)量操作系統(tǒng)及版本填寫(xiě)設(shè)備的OS或IOＳ版本號(hào),如ｗindｏwｓ２000ｓeｒvｅr應(yīng)用程序及版本填寫(xiě)該資產(chǎn)上運(yùn)行的應(yīng)用程序,包括數(shù)據(jù)庫(kù)和應(yīng)用軟件安裝地點(diǎn)填寫(xiě)該資產(chǎn)所屬的地理位置所屬業(yè)務(wù)填寫(xiě)該資產(chǎn)所屬的業(yè)務(wù)所屬系統(tǒng)填寫(xiě)該資產(chǎn)所屬的系統(tǒng)管理員填寫(xiě)該資產(chǎn)的管理員備注其他需說(shuō)明的問(wèn)題，例如是否采用雙機(jī)熱備資產(chǎn)賦值通過(guò)分析資產(chǎn)的各種屬性,進(jìn)而對(duì)資產(chǎn)進(jìn)行安全價(jià)值分析.資產(chǎn)賦值是為資產(chǎn)及其支撐的業(yè)務(wù)系統(tǒng)從安全角度量化價(jià)值的行為。資產(chǎn)的價(jià)值可以從保密性、完整性、可用性等角度衡量?？蓞⒖嫉馁Y產(chǎn)賦值方法，如下表所示。級(jí)別定義保密性(C）完整性(I）可用性(A)5屬于絕密信息,完全不允許泄漏,只有組織高層可以接觸完全不允許出現(xiàn)變更,必須采用實(shí)時(shí)檢測(cè)機(jī)制基本不允許中斷，可靠性達(dá)到99.９999%４屬于機(jī)密信息，不允許泄漏，組織中層以上可以接觸不允許出現(xiàn)變更，應(yīng)采用實(shí)時(shí)檢測(cè)機(jī)制可短時(shí)間中斷,可靠性達(dá)到99.9９%3屬于秘密信息,不允許泄漏，業(yè)務(wù)相關(guān)人員可以接觸不允許出現(xiàn)變更，應(yīng)采用檢測(cè)機(jī)制中斷時(shí)間小于1天，可靠性達(dá)到９9。9％2屬于內(nèi)部信息，組織內(nèi)部人員可以接觸,可小范圍公開(kāi)允許出現(xiàn)小范圍的不一致,并在短時(shí)間內(nèi)更正中斷時(shí)間小于1天，可靠性達(dá)到９９%1屬于公開(kāi)信息基本沒(méi)有要求,不一致時(shí)可在一定時(shí)間內(nèi)更正對(duì)故障時(shí)間基本沒(méi)有要求威脅識(shí)別威脅分類依據(jù)下表分類標(biāo)準(zhǔn)對(duì)威脅進(jìn)行分類。種類威脅子類軟硬件故障設(shè)備硬件故障、傳輸設(shè)備故障、存儲(chǔ)媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫(kù)軟件故障等物理環(huán)境影響斷電、靜電、灰塵、潮濕、溫度、蟲(chóng)害、電磁干擾、火災(zāi)、地震等無(wú)作為或操作失誤維護(hù)錯(cuò)誤、操作失誤等管理不到位管理制度和策略不完善、管理規(guī)程缺失、職責(zé)不明確等惡意代碼病毒、木馬、蠕蟲(chóng)、惡意軟件等越權(quán)或?yàn)E用非授權(quán)訪問(wèn)網(wǎng)絡(luò)資源、非授權(quán)訪問(wèn)系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置等網(wǎng)絡(luò)攻擊網(wǎng)絡(luò)探測(cè)和信息采集、漏洞探測(cè)、嗅探等物理攻擊物理接觸、物理破壞、盜竊等泄密內(nèi)部信息泄露、外部信息泄露等篡改篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息等抵賴原發(fā)抵賴、接受抵賴、第三方抵賴等威脅賦值根據(jù)經(jīng)驗(yàn)或有關(guān)統(tǒng)計(jì)來(lái)判斷威脅出現(xiàn)的頻率,從以下三個(gè)方面來(lái)考慮:以往安全事件報(bào)告中出現(xiàn)過(guò)的威脅及其頻率的統(tǒng)計(jì);實(shí)際環(huán)境中通過(guò)檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì);近一兩年來(lái)國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。對(duì)威脅出現(xiàn)的頻率進(jìn)行等級(jí)量化處理,不同等級(jí)分別代表威脅出現(xiàn)的頻率高低，等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高．等級(jí)標(biāo)識(shí)定義5很高出現(xiàn)頻率很高，或在大多數(shù)情況下幾乎不可避免；或可證實(shí)經(jīng)常發(fā)生過(guò)４高出現(xiàn)頻率較高,或在大多數(shù)情況下很有可能發(fā)生,或可以證實(shí)多次發(fā)生過(guò)3中等出現(xiàn)的頻率中等,或在某種情況下可能會(huì)發(fā)生,或被正式曾經(jīng)發(fā)生過(guò)２低出現(xiàn)的頻率較小，或一般不太可能發(fā)生；或沒(méi)有被證實(shí)發(fā)生過(guò)1很低威脅幾乎不可能發(fā)生脆弱性識(shí)別脆弱性識(shí)別類型識(shí)別對(duì)象識(shí)別內(nèi)容技術(shù)脆弱性物理環(huán)境從機(jī)房場(chǎng)地、防火、配電、防靜電、電磁防護(hù)等方面識(shí)別網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界防護(hù)、外部訪問(wèn)控制策略、內(nèi)部訪問(wèn)控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方便識(shí)別系統(tǒng)軟件從補(bǔ)丁安裝、物理保護(hù)、用戶賬戶、口令策略、資源共享、事件審計(jì)、訪問(wèn)控制等方面識(shí)別應(yīng)用中間件從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面識(shí)別應(yīng)用系統(tǒng)從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問(wèn)控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別管理脆弱性技術(shù)管理從物理和環(huán)境安全、通信與操作管理、訪問(wèn)空知、系統(tǒng)開(kāi)發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別組織管理從策略安全、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識(shí)別脆弱性賦值等級(jí)標(biāo)識(shí)定義5很高如果被威脅利用,將對(duì)資產(chǎn)造成完全損害4高如果被威脅利用,將對(duì)資產(chǎn)造成重大損害3中等如果被威脅利用,將對(duì)資產(chǎn)造成一般損害2低如果被威脅利用,將對(duì)資產(chǎn)造成較小損害1很低如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略已有安全措施確認(rèn)對(duì)已有的安全措施進(jìn)行確認(rèn),包括預(yù)防性安全措施及保護(hù)性安全措施.風(fēng)險(xiǎn)分析我司的風(fēng)險(xiǎn)定義及風(fēng)險(xiǎn)分類方法主要參考ISO177９9：2005,個(gè)別分類的名稱進(jìn)行了調(diào)整，風(fēng)險(xiǎn)級(jí)別定義標(biāo)準(zhǔn)參考ISO13335，風(fēng)險(xiǎn)計(jì)算矩陣參考AS/NZＳ4360:200４.根據(jù)ＩSO13３３５的定義,風(fēng)險(xiǎn)指的是特定威脅利用某一資產(chǎn)或一組資產(chǎn)的脆弱性，從而對(duì)組織產(chǎn)生損害的可能性。因此，為了確定風(fēng)險(xiǎn)級(jí)別，首先需要?jiǎng)?chuàng)建不同級(jí)別影響（損害)和可能性的定義,然后基于不同級(jí)別的影響和可能性定義，創(chuàng)建不同級(jí)別的風(fēng)險(xiǎn)定義．影響級(jí)別定義根據(jù)我司的最佳實(shí)踐,最終確定影響級(jí)別定義如下：影響級(jí)別影響描述５因缺乏相應(yīng)的措施,導(dǎo)致該風(fēng)險(xiǎn)發(fā)生時(shí),對(duì)ＸＸＸ的業(yè)務(wù)及運(yùn)營(yíng)具有極其嚴(yán)重的影響.4因缺乏相應(yīng)的措施,導(dǎo)致該風(fēng)險(xiǎn)發(fā)生時(shí)，對(duì)XＸX的業(yè)務(wù)及運(yùn)營(yíng)具有嚴(yán)重的影響。3因缺乏相應(yīng)的措施，導(dǎo)致該風(fēng)險(xiǎn)發(fā)生時(shí),對(duì)ＸXX的業(yè)務(wù)及運(yùn)營(yíng)具有一定的影響。2因缺乏相應(yīng)的措施,導(dǎo)致該風(fēng)險(xiǎn)發(fā)生時(shí),對(duì)ＸXＸ的業(yè)務(wù)及運(yùn)營(yíng)具有輕微影響.１因缺乏相應(yīng)的措施，導(dǎo)致該風(fēng)險(xiǎn)發(fā)生時(shí)，對(duì)XXX的業(yè)務(wù)及運(yùn)營(yíng)基本沒(méi)有影響?？赡苄约?jí)別定義可能性級(jí)別定義如下:可能性級(jí)別可能性描述5幾乎肯定發(fā)生：預(yù)期在大多數(shù)情況下發(fā)生,不可避免;或者可以證實(shí)經(jīng)常發(fā)生.4非常有可能發(fā)生:在大多數(shù)情況下,很有可能會(huì)發(fā)生；或者可以證實(shí)發(fā)生過(guò)。３發(fā)生的可能性較大：在某些情況下，很可能會(huì)發(fā)生。2有可能發(fā)生:在某種情況下或某個(gè)時(shí)間，可能會(huì)發(fā)生。1基本不可能發(fā)生：發(fā)生的可能性很小,不太可能。風(fēng)險(xiǎn)級(jí)別矩陣基于以上定義，創(chuàng)建的風(fēng)險(xiǎn)級(jí)別矩陣如下圖所示。影響可能性123455中高高極高極高４中中高高極高3低低中高高2極低低低中高1極低極低低中高（來(lái)源參考：AＳ/ＮZS436０:20０4)輸出成果網(wǎng)絡(luò)安全評(píng)估的輸出成果如下:《XXX網(wǎng)絡(luò)安全評(píng)估報(bào)告》《ＸXX網(wǎng)絡(luò)設(shè)備資產(chǎn)表》《ＸXＸ網(wǎng)絡(luò)設(shè)備漏洞掃描報(bào)告》《XＸＸ網(wǎng)絡(luò)設(shè)備配置分析報(bào)告》安全巡檢服務(wù)信息安全是動(dòng)態(tài)的,隨著時(shí)間的變化會(huì)不斷暴露出新的安全漏洞、惡意軟件、攻擊手段,新些將打打破現(xiàn)有信息安全的平衡.安全風(fēng)險(xiǎn)管理是一個(gè)持續(xù)性的過(guò)程,安全巡檢服務(wù)是安全風(fēng)險(xiǎn)管理過(guò)程中的重要組成部分．迪普科技的安全巡檢服務(wù),是指定期對(duì)用戶網(wǎng)站進(jìn)行的安全檢測(cè),檢測(cè)完成后提供全面的巡檢服務(wù)報(bào)告,給出存在的安全風(fēng)險(xiǎn)并提供對(duì)應(yīng)的修復(fù)建議。我們的安全巡檢服務(wù),包括安全漏洞評(píng)估、安全基線核查、安全日志審計(jì)。服務(wù)內(nèi)容安全漏洞評(píng)估采用迪普科技Ｓcanner設(shè)備及國(guó)際上著名的漏洞掃描工具，對(duì)XＸX網(wǎng)站進(jìn)行漏洞掃描,查找網(wǎng)站上存在的安全漏洞，完成后給出詳細(xì)的漏洞掃描報(bào)告,報(bào)告中包括漏洞修復(fù)建議。安全基線核查采用迪普科技的Ｓcanneｒ設(shè)備,對(duì)XXＸ網(wǎng)站進(jìn)行安全基線核查，查找網(wǎng)站操作系統(tǒng)層面的安全配置隱患、安全配置風(fēng)險(xiǎn)，完成后給出詳細(xì)的安全基線核查報(bào)告,報(bào)告中包括安全配置建議.安全日志審計(jì)對(duì)防火墻、IPS、WＡＦ等產(chǎn)生的安全日志進(jìn)行收集，綜合對(duì)這些日志進(jìn)行關(guān)聯(lián)分析，從多個(gè)維度對(duì)目標(biāo)的運(yùn)行狀態(tài)進(jìn)行分析,得出一段時(shí)間內(nèi)目標(biāo)系統(tǒng)及相關(guān)設(shè)備的安全運(yùn)行狀態(tài)。輸出成果安全巡檢服務(wù)的主要輸出成果如下：《XＸＸ安全巡檢服務(wù)報(bào)告》《XXＸ網(wǎng)站漏洞掃描報(bào)告》《XＸX網(wǎng)站基線核查報(bào)告》《XXX網(wǎng)站日志分析報(bào)告》服務(wù)收益安全巡檢服務(wù)，可為XXX帶來(lái)如下收益:有效發(fā)現(xiàn)網(wǎng)站中存在的安全漏洞、安全配置隱患、安全風(fēng)險(xiǎn)，為安全加固提供事實(shí)依據(jù)。周期性檢查,促進(jìn)ＩＳMS信息安全管理體系和PＤCA在實(shí)際工作中的執(zhí)行,確保設(shè)備和系統(tǒng)的持續(xù)、安全、穩(wěn)定運(yùn)行。服務(wù)頻率對(duì)ＸXＸ網(wǎng)站的安全巡檢，建設(shè)每季度1次,全年共４次.安全加固服務(wù)為了有效保障網(wǎng)絡(luò)的安全運(yùn)行,在對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、網(wǎng)絡(luò)設(shè)備、安全設(shè)備進(jìn)行安全檢測(cè)后，，需要對(duì)發(fā)現(xiàn)的安全風(fēng)險(xiǎn)進(jìn)行修復(fù)。安全加固服務(wù)，是指根據(jù)安全加固列表,對(duì)目標(biāo)系統(tǒng)的安全漏洞對(duì)進(jìn)行修復(fù)、配置隱患進(jìn)行優(yōu)化的過(guò)程。加固內(nèi)容包括但不限于系統(tǒng)補(bǔ)丁、防火墻、防病毒、危險(xiǎn)服務(wù)、共享、自動(dòng)播放、密碼安全.安全加固是保證設(shè)備和系統(tǒng)安全運(yùn)行的關(guān)鍵防護(hù)措施,通常情況下,操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、網(wǎng)絡(luò)設(shè)備、安全設(shè)備,都需要進(jìn)行安全加固。加固內(nèi)容操作系統(tǒng)加固內(nèi)容我司可進(jìn)行安全加固的操作系統(tǒng)包括Winｄoｗｓ、Ｌinｕx、AIＸ、HP-Uｎｉｘ、Ｓolariｓ。操作系統(tǒng)的加固內(nèi)容如下表所示,詳細(xì)的加固列表可參見(jiàn)我司的操作系統(tǒng)安全加固規(guī)范。序號(hào)加固大項(xiàng)加固小項(xiàng)１賬號(hào)管理和認(rèn)證授權(quán)賬號(hào)、口令、授權(quán)、關(guān)機(jī)設(shè)置２協(xié)議安全配置IP協(xié)議安全、防火墻、SYＮ攻擊防護(hù)3服務(wù)和共享配置系統(tǒng)服務(wù)、默認(rèn)共享、共享權(quán)限4日志安全配置日志審核策略、日志文件設(shè)置5其它安全配置空閑超時(shí)設(shè)置、自動(dòng)播放、啟動(dòng)項(xiàng)、數(shù)據(jù)執(zhí)行保護(hù)數(shù)據(jù)庫(kù)安全加固我司可進(jìn)行安全加固的數(shù)據(jù)庫(kù)系統(tǒng)包括Ｏraclｅ、SＱLServer、DB２。數(shù)據(jù)庫(kù)的加固內(nèi)容如下表所示,詳細(xì)的加固列表可參見(jiàn)我司的數(shù)據(jù)庫(kù)安全加固規(guī)范。序號(hào)加固大項(xiàng)加固小項(xiàng)1賬號(hào)管理和認(rèn)證授權(quán)賬號(hào)、口令2通信協(xié)議安全網(wǎng)絡(luò)數(shù)據(jù)傳輸安全、信任IP設(shè)置3日志安全配置數(shù)據(jù)庫(kù)審核策略、數(shù)據(jù)庫(kù)日志文件設(shè)置4其它安全配置連接超時(shí)設(shè)置、監(jiān)聽(tīng)器密碼中間件安全加固我司可進(jìn)行安全加固的中間件系統(tǒng)包括Tomcat、Apａchｅ、WebLoｇic、WebSｐｈeｒe。中間件系統(tǒng)的加固內(nèi)容如下表所示，詳細(xì)的加固列表可參見(jiàn)我司的中間件安全加固規(guī)范。序號(hào)加固大項(xiàng)加固小項(xiàng)1賬號(hào)管理和認(rèn)證授權(quán)賬號(hào)、口令2通信協(xié)議安全啟用https傳輸、更改tomcat默認(rèn)端口3日志安全配置日志記錄設(shè)置4其它安全配置登錄超時(shí)、錯(cuò)誤重定向、禁止顯示文件網(wǎng)絡(luò)設(shè)備安全加固我司可進(jìn)行安全加固的網(wǎng)絡(luò)設(shè)備包括主流廠商的路由器、交換機(jī)。網(wǎng)絡(luò)設(shè)備的加固內(nèi)容如下表所示,詳細(xì)的加固列表可參見(jiàn)我司的網(wǎng)絡(luò)設(shè)備安全加固規(guī)范.序號(hào)加固大項(xiàng)加固小項(xiàng)1賬號(hào)管理和認(rèn)證授權(quán)賬號(hào)管理、登錄安全要求、認(rèn)證授權(quán)2通信協(xié)議安全SＮMP協(xié)議安全、路由協(xié)議安全、ＩP協(xié)議安全3日志安全配置日志記錄設(shè)置4其它安全配置關(guān)閉不必要的服務(wù)、端口安全設(shè)備安全加固我司可進(jìn)行安全加固的安全設(shè)備是主流廠商的防火墻,如Jｕniper、天融信、CｉscoASA等.安全設(shè)備的加固內(nèi)容如下表所示,具體的加固列表可參見(jiàn)我司的安全設(shè)備安全加固規(guī)范.序號(hào)加固大項(xiàng)加固小項(xiàng)１賬號(hào)管理和認(rèn)證授權(quán)賬號(hào)、口令、授權(quán)2訪問(wèn)控制安全安全策略、遠(yuǎn)程管理3日志安全配置啟用本地日志、啟用遠(yuǎn)程日志４增強(qiáng)安全要求限定管理IP、更改默認(rèn)Banner、設(shè)備自身安全設(shè)置加固流程前期準(zhǔn)備成立項(xiàng)目組成立由多方人員組成的安全加固項(xiàng)目組,協(xié)調(diào)處理本項(xiàng)目的開(kāi)展和實(shí)施。項(xiàng)目組成員包括:我公司安全加固人員用戶方安全管理員用戶方系統(tǒng)管理員系統(tǒng)設(shè)備維護(hù)廠商加固目標(biāo)確認(rèn)確認(rèn)本次安全加固項(xiàng)目的目標(biāo)、范圍、ＩP地址和其他相關(guān)信息。加固目標(biāo)信息收集確認(rèn)加固目標(biāo)后，收集加固目標(biāo)的以下信息,為評(píng)估安全加固的風(fēng)險(xiǎn)做準(zhǔn)備.加固目標(biāo)的操作系統(tǒng)類型,補(bǔ)丁升級(jí)情況;加固目標(biāo)的應(yīng)用環(huán)境,包括應(yīng)用系統(tǒng)及相關(guān)權(quán)限;加固目標(biāo)的運(yùn)行環(huán)境,包括網(wǎng)絡(luò)環(huán)境及其它訪問(wèn)關(guān)系;加固目標(biāo)的重要系統(tǒng)配置文件、配置信息。同時(shí),根據(jù)前期的安全風(fēng)險(xiǎn)評(píng)估報(bào)告,收集并分析加固目標(biāo)的漏洞信息。加固前漏洞掃描(一次評(píng)估）如果前期有安全風(fēng)險(xiǎn)評(píng)估報(bào)告,與用戶協(xié)商后，此步驟可省略.如果前期沒(méi)有相關(guān)的風(fēng)險(xiǎn)評(píng)估報(bào)告,則需要對(duì)加固目標(biāo)進(jìn)行漏洞掃描,以查找加固目標(biāo)存在的安全漏洞和隱患.方案制定安全加固方案根據(jù)收集的信息制定合理的加固方案,包括時(shí)間安排、流程、操作方法等.風(fēng)險(xiǎn)規(guī)避方案為防止加固可能引起的不良后果,因此需要制定回退方案和應(yīng)急方案，回退方案用于加固導(dǎo)致系統(tǒng)不可用時(shí)將系統(tǒng)回退到加固前的狀態(tài)，應(yīng)急方案用于處理其他不可控的情況（包括加固失敗后無(wú)法回退）。方案協(xié)商審核由安全加固項(xiàng)目組成員一起對(duì)提交的加固方案和風(fēng)險(xiǎn)規(guī)避方案進(jìn)行研討,確認(rèn)每項(xiàng)加固措施和操作方法的可行性,分析安全風(fēng)險(xiǎn)，提出改進(jìn)建議,完善實(shí)施方案.加固方案測(cè)試對(duì)于重要的系統(tǒng)或比較危險(xiǎn)的加固操作，可以進(jìn)行加固測(cè)試，通過(guò)加固測(cè)試后才能在被加固設(shè)備上進(jìn)行操作，加固測(cè)試包括:補(bǔ)丁測(cè)試加固方案測(cè)試加固方案修正實(shí)際操作時(shí)可以選擇同樣目的的不同加固方法同時(shí)進(jìn)行測(cè)試,根據(jù)測(cè)試結(jié)果選擇最優(yōu)的加固方法。加固方案報(bào)批將最終的實(shí)施方案提交給用戶方負(fù)責(zé)領(lǐng)導(dǎo)人,進(jìn)行方案報(bào)批，報(bào)批通過(guò)后才能正式實(shí)施。加固實(shí)施資源準(zhǔn)備準(zhǔn)備加固規(guī)范準(zhǔn)備加固手冊(cè)收集相關(guān)補(bǔ)丁收集升級(jí)軟件系統(tǒng)備份對(duì)于重要的系統(tǒng),為了能夠在加固失敗的情況下快速回退或恢復(fù)系統(tǒng),必須在事前進(jìn)行相應(yīng)的備份，備份內(nèi)容包括且不僅限于重要系統(tǒng)的備份、重要配置的備份、重要數(shù)據(jù)的備份。加固實(shí)施根據(jù)對(duì)應(yīng)的安全加固列表,對(duì)系統(tǒng)和設(shè)備進(jìn)行實(shí)施具體的安全加固操作.系統(tǒng)可用性確認(rèn)加固完成后，與用戶方人員一起，確認(rèn)系統(tǒng)、設(shè)備、應(yīng)用的可用性，并觀察一段時(shí)間,待確認(rèn)正常運(yùn)行后，加固人員才可以離開(kāi)現(xiàn)場(chǎng)。加固后漏洞掃描(二次評(píng)估)為確保加固有效,在加固全部完成后,對(duì)加固范圍的系統(tǒng)和設(shè)備再進(jìn)行一次漏洞掃描,以對(duì)加固效果進(jìn)行檢驗(yàn)。匯總匯報(bào)安全加固報(bào)告整理并編寫(xiě)安全加固過(guò)程中的報(bào)告,并提交給用戶。報(bào)告大致如下，但根據(jù)項(xiàng)目的不同，報(bào)告可能存在差異.主要報(bào)告:安全加固匯總報(bào)告安全加固實(shí)施方案次要報(bào)告一次評(píng)估報(bào)告二次評(píng)估報(bào)告ＸXX系統(tǒng)安全加固報(bào)告系統(tǒng)回退方案系統(tǒng)應(yīng)急方案過(guò)程記錄文檔將安全加固過(guò)程中,記錄的所有文檔提交給用戶，下表是安全加固過(guò)程中的記錄表。安全加固過(guò)程記錄系統(tǒng)類型□操作系統(tǒng)□數(shù)據(jù)庫(kù)□中間件□網(wǎng)絡(luò)設(shè)備□安全設(shè)備IP地址系統(tǒng)版本加固人員加固時(shí)間存在的主要安全漏洞和風(fēng)險(xiǎn)安全加固實(shí)施成果遺留問(wèn)題及建議安全優(yōu)化建議安全加固后,我司為用戶提供的安全建議或解決方案.項(xiàng)目匯報(bào)總結(jié)編寫(xiě)匯報(bào)材料,對(duì)安全加固項(xiàng)目進(jìn)行匯報(bào)和總結(jié)。輸出成果安全加固服務(wù)的主要輸出成果如下:《XXX安全加固匯總報(bào)告》(包括加固前后漏洞對(duì)比)《ＸXX系統(tǒng)安全加固報(bào)告》《XXX加固前漏洞掃描報(bào)告》《XXＸ加固后漏洞掃描報(bào)告》《XXX應(yīng)急及回退方案》服務(wù)收益系統(tǒng)安全加固服務(wù)，可為客戶帶來(lái)如下收益:有效修復(fù)、減少系統(tǒng)中存在的高、中危漏洞，降低安全漏洞和隱患帶來(lái)的安全風(fēng)險(xiǎn)．有效提升系統(tǒng)自身的安全防護(hù)能力．最大程度保障系統(tǒng)的持續(xù)、安全、穩(wěn)定運(yùn)行.服務(wù)頻率通常情況下,每年進(jìn)行一次安全加固服務(wù)。發(fā)布重大安全漏洞時(shí)，也需要立即進(jìn)行安全加固。應(yīng)急響應(yīng)服務(wù)應(yīng)急響應(yīng)服務(wù)是為滿足企業(yè)發(fā)生安全事件，需要緊急解決問(wèn)題的情況而提供的一項(xiàng)安全服務(wù)。當(dāng)企業(yè)發(fā)生黑客入侵、系統(tǒng)崩潰或其它影響業(yè)務(wù)正常運(yùn)行的安全事件時(shí)，迪普科技安全專家會(huì)在第一時(shí)間對(duì)安全事件進(jìn)行應(yīng)急響應(yīng)處理，使企業(yè)的網(wǎng)絡(luò)應(yīng)用系統(tǒng)在最短時(shí)間內(nèi)恢復(fù)正常運(yùn)行,幫助企業(yè)查找入侵來(lái)源,為企業(yè)挽回或減少經(jīng)濟(jì)損失.對(duì)安全事件進(jìn)行應(yīng)急響應(yīng)處理后，我們將提供詳細(xì)的應(yīng)急響應(yīng)報(bào)告，報(bào)告中將還原入侵過(guò)程,同時(shí)給出對(duì)應(yīng)的解決方案。服務(wù)內(nèi)容安全事件應(yīng)急響應(yīng)服務(wù)期限內(nèi)，提供７×２４小時(shí)的遠(yuǎn)程安全應(yīng)急響應(yīng),接到客戶安全事件通知后,立即以遠(yuǎn)程方式對(duì)安全事件進(jìn)行分析、抑制、溯源,如果遠(yuǎn)程無(wú)法進(jìn)行應(yīng)急，則指派經(jīng)驗(yàn)豐富的安全服務(wù)工程師,趕到用戶現(xiàn)場(chǎng)進(jìn)行應(yīng)急處理.最大程度降低安全事件對(duì)客戶帶來(lái)的損失.迪普科技的安全應(yīng)急響應(yīng),包括以下服務(wù)內(nèi)容。判定安全事件類型從網(wǎng)絡(luò)流量、系統(tǒng)和IDS日志記錄、桌面日志中判斷安全事件類型。查明安全事件原因,確定安全事件的威脅和破壞的嚴(yán)重程度。查明安全事件原因，確定安全事件的威脅和破壞的嚴(yán)重程度。抑制事態(tài)發(fā)展抑制事態(tài)發(fā)展是為了將事故的損害降低到最小化。在這一步中,通常會(huì)將受影響系統(tǒng)和服務(wù)隔離。這一點(diǎn)對(duì)保持系統(tǒng)的可用性是非常重要的。排除系統(tǒng)故障針對(duì)發(fā)現(xiàn)的安全事件來(lái)源,排除潛在的隱患,消除安全威脅，徹底解決安全問(wèn)題?；謴?fù)信息系統(tǒng)正常操作在根除問(wèn)題后，將已經(jīng)被攻擊設(shè)備或由于事故造成的系統(tǒng)損壞做恢復(fù)性工作,使網(wǎng)絡(luò)系統(tǒng)能在盡可能短的時(shí)間內(nèi)恢復(fù)正常的網(wǎng)絡(luò)服務(wù)?？蛻粜畔⑾到y(tǒng)安全加固對(duì)系統(tǒng)中發(fā)現(xiàn)的漏洞進(jìn)行安全加固，消除安全隱患。重新評(píng)估客戶信息系統(tǒng)的安全性能重新評(píng)價(jià)客戶系統(tǒng)的安全特性，確保在一定的時(shí)間范圍內(nèi)，不發(fā)生同類的安全事件.安全態(tài)勢(shì)監(jiān)控定期跟蹤國(guó)內(nèi)外的安全漏洞發(fā)布平臺(tái)(如CNCERＴ、CＮＶD、烏云)，及時(shí)發(fā)現(xiàn)新近出現(xiàn)的安全漏洞,通過(guò)電話、郵箱等方式,及時(shí)向客戶通告最新的針對(duì)業(yè)務(wù)的（或具有重大影響的）安全漏洞、安全病毒、安全攻擊、安全技術(shù)等安全態(tài)勢(shì)信息,并提供有參考意義的安全防護(hù)建議,保證客戶信息安全工作的前瞻性和預(yù)判性。建立應(yīng)急響應(yīng)預(yù)案迪普科技會(huì)根據(jù)客戶的信息安全組織和信息安全現(xiàn)狀,結(jié)合客戶業(yè)務(wù)系統(tǒng)的特點(diǎn),分析業(yè)務(wù)系統(tǒng)可能會(huì)發(fā)生的安全事件類別以及可能造成的影響范圍、嚴(yán)重程度等,和客戶一起,建立相應(yīng)的應(yīng)急響應(yīng)預(yù)案，并指導(dǎo)客戶對(duì)預(yù)案進(jìn)行演練。通過(guò)建立應(yīng)急響應(yīng)預(yù)案,可以在安全事件發(fā)生前進(jìn)行演練防患于未然,當(dāng)安全事件發(fā)生時(shí),可根據(jù)預(yù)案進(jìn)行快速響應(yīng),從而在最短的時(shí)間內(nèi)找到安全事件源頭，恢復(fù)系統(tǒng)的正常運(yùn)行。輸出成果應(yīng)急響應(yīng)服務(wù)的輸出成果如下:《ＸXX業(yè)務(wù)系統(tǒng)安全事件應(yīng)急預(yù)案》《ＸXX業(yè)務(wù)系統(tǒng)安全事件應(yīng)急響應(yīng)報(bào)告》服務(wù)收益應(yīng)急響應(yīng)服務(wù),可為XXX帶來(lái)如下收益:還原攻擊事件，收集由于安全故障造成的入侵記錄、破壞情況、直接損失情況等證據(jù)。提升安全事件處理效率,及時(shí)解決安全故障,恢復(fù)系統(tǒng)正常運(yùn)行，盡可能挽回或減少安全事件帶來(lái)的損失.對(duì)安全故障發(fā)生的系統(tǒng)作安全檢查和清理，保證信息系統(tǒng)安全.彌補(bǔ)安全故障發(fā)生系統(tǒng)上的安全漏洞，加強(qiáng)安全保護(hù)措施，防止類似事件的再次發(fā)生。服務(wù)頻率出現(xiàn)安全事件時(shí)，立即進(jìn)行應(yīng)急響應(yīng)。新系統(tǒng)入網(wǎng)安全評(píng)估通常,對(duì)于業(yè)務(wù)系統(tǒng)的安全評(píng)估,可分為入網(wǎng)前安全評(píng)估和在線安全評(píng)估兩種方式,從業(yè)務(wù)系統(tǒng)的角度出發(fā),兩種方式的影響分析如下．評(píng)估方式評(píng)估影響入網(wǎng)前安全評(píng)估在線安全評(píng)估風(fēng)險(xiǎn)較小,無(wú)業(yè)務(wù)壓力大，有業(yè)務(wù)壓力技術(shù)難度小大，影響在線業(yè)務(wù)整改成本較小,整改由開(kāi)發(fā)商承擔(dān)大,需要立項(xiàng)整改可操作性強(qiáng)較弱新系統(tǒng)在入網(wǎng)前進(jìn)行安全評(píng)估，不論是風(fēng)險(xiǎn)、技術(shù)難度、整改及可操作性等方面都有較大優(yōu)勢(shì)。同時(shí),政策法規(guī)也要求,新系統(tǒng)在入網(wǎng)前，必須進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。新系統(tǒng)入網(wǎng)安全評(píng)估,包括滲透測(cè)試、漏洞檢測(cè)、基線核查,從而評(píng)估新系統(tǒng)的安全狀況,查找不符合安全要求的配置項(xiàng)以及安全風(fēng)險(xiǎn)點(diǎn)。評(píng)估內(nèi)容滲透測(cè)試模擬黑客攻擊的方式，對(duì)新系統(tǒng)應(yīng)用層面的安全漏洞進(jìn)行全面檢測(cè),查找應(yīng)用層面的安全隱患和隱患,評(píng)估新系統(tǒng)的安全狀態(tài)并提供漏洞修復(fù)建議。滲透測(cè)試,除使用產(chǎn)品和工具掃描外,更重要的需要進(jìn)行人工滲透，滲透內(nèi)容包括但不限于以下項(xiàng),且需要對(duì)發(fā)現(xiàn)的漏洞進(jìn)行驗(yàn)證和利用。序號(hào)滲透測(cè)試大項(xiàng)滲透測(cè)試小項(xiàng)1配置管理備份測(cè)試、ＨTTP方法測(cè)試、傳輸安全２身份鑒別用戶注冊(cè)、賬戶權(quán)限、賬戶枚舉、弱口令3認(rèn)證授權(quán)認(rèn)證繞過(guò)、目錄遍歷、授權(quán)繞過(guò)、權(quán)限提升４會(huì)話管理超時(shí)測(cè)試、會(huì)話管理繞過(guò)測(cè)試、會(huì)話令牌泄露測(cè)試、跨站點(diǎn)請(qǐng)求偽造CSRF測(cè)試5輸入驗(yàn)證SQL注入、代碼注入、命令執(zhí)行注入、跨站腳本XSS6錯(cuò)誤處理錯(cuò)誤碼分析、棧追蹤分析7業(yè)務(wù)邏輯數(shù)據(jù)驗(yàn)證、請(qǐng)求偽造、完整性、次數(shù)限制、上傳測(cè)試漏洞檢測(cè)對(duì)新系統(tǒng)進(jìn)行系統(tǒng)漏洞檢測(cè)，包括操作系統(tǒng)漏洞檢測(cè)、數(shù)據(jù)庫(kù)漏洞檢測(cè)、中間件漏洞檢測(cè)，并給出漏洞修復(fù)建議。操作系統(tǒng)漏洞檢測(cè)采用DPteｃｈScanner漏洞掃描系統(tǒng),對(duì)新建系統(tǒng)的所有操作操作系統(tǒng)進(jìn)行安全漏洞檢測(cè)，查找操作系統(tǒng)中的安全隱患和安全隱患,并給出對(duì)應(yīng)的漏洞修復(fù)建議。數(shù)據(jù)庫(kù)漏洞檢測(cè)采用DPtｅchＳｃａnner漏洞掃描系統(tǒng)，對(duì)新建系統(tǒng)的所有數(shù)據(jù)庫(kù)進(jìn)行安全漏洞檢測(cè),查找數(shù)據(jù)庫(kù)中的安全隱患和安全隱患,并給出對(duì)應(yīng)的漏洞修復(fù)建議.中間件漏洞檢測(cè)采用DＰtechScannｅr漏洞掃描系統(tǒng)，對(duì)新建系統(tǒng)的所有中間件進(jìn)行安全漏洞檢測(cè)，查找中間件的安全隱患和安全隱患，并給出對(duì)應(yīng)的漏洞修復(fù)建議。基線核查對(duì)新系統(tǒng)進(jìn)行安全基線核查,查找新系統(tǒng)操作系統(tǒng)層面的安全配置隱患、安全配置風(fēng)險(xiǎn),完成后給出詳細(xì)的安全基線核查報(bào)告，報(bào)告中包括安全配置建議.基線核查的內(nèi)容主要包括安全配置檢測(cè),包括但不限于賬號(hào)、口令、授權(quán)、日志、IP通信等方面內(nèi)容,反映了系統(tǒng)自身的安全脆弱性。安全配置方面與系統(tǒng)的相關(guān)性非常大,同一個(gè)配置項(xiàng)在不同業(yè)務(wù)環(huán)境中的安全配置要求是不一樣的,如在WEB系統(tǒng)邊界防火墻中需要開(kāi)啟HTＴP通信，但一個(gè)ＷAP網(wǎng)關(guān)邊界就沒(méi)有這樣的需求，因此在設(shè)計(jì)業(yè)務(wù)系統(tǒng)安全基線的時(shí)候,安全配置是一個(gè)關(guān)注的重點(diǎn)。輸出成果新系統(tǒng)入網(wǎng)安全評(píng)估的主要輸出成果如下:《XXＸＸＸ系統(tǒng)入網(wǎng)安全評(píng)估滲透測(cè)試報(bào)告》《XXXXＸ系統(tǒng)入網(wǎng)安全評(píng)估漏洞檢測(cè)報(bào)告》《XＸXXＸ系統(tǒng)入網(wǎng)安全評(píng)估基線核查報(bào)告》服務(wù)收益新系統(tǒng)入網(wǎng)安全評(píng)估，可為XＸX帶來(lái)如下收益：查找新系統(tǒng)應(yīng)用及代碼面的安全漏洞和安全隱患,評(píng)估新系統(tǒng)被入侵的可能性，并在入侵者發(fā)起攻擊前封堵可能被利用的攻擊途徑。查找新系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件的安全漏洞和安全隱患,并給出對(duì)應(yīng)的修復(fù)建議。發(fā)現(xiàn)新系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件配置層面的安全隱患，分析被入侵的可能性。服務(wù)頻率新系統(tǒng)入網(wǎng)前進(jìn)行.安全攻防演練培訓(xùn)安全問(wèn)題“三分技術(shù)、七分管理”，作為安全管理的主要執(zhí)行者—人員，在面臨信息安全威脅的嚴(yán)峻挑戰(zhàn)時(shí)，提高安全意識(shí)和安全技能，成為了一項(xiàng)必要的工作。然而,掌握信息安全技術(shù)對(duì)人員的實(shí)踐要求很強(qiáng),目前市面上大部分安全培訓(xùn)均偏重于理論,很難有效提升受訓(xùn)人員的技術(shù)水平。我們的攻防演練培訓(xùn),可以為用戶提供一個(gè)理論結(jié)合實(shí)際的、可上機(jī)演練實(shí)踐的、可放心操作動(dòng)手、場(chǎng)景真實(shí)生動(dòng)逼真的網(wǎng)絡(luò)安全攻防實(shí)驗(yàn)環(huán)境,從而提升受訓(xùn)人員的技術(shù)和動(dòng)手能力,對(duì)于進(jìn)行網(wǎng)絡(luò)信息安全建設(shè)和培養(yǎng)合格的網(wǎng)絡(luò)信息安全技術(shù)人才具有重要的意義。攻防演練培訓(xùn)的內(nèi)容主要包括黑客攻擊技術(shù)、攻擊手法,培訓(xùn)過(guò)程中，受訓(xùn)人員現(xiàn)場(chǎng)進(jìn)行攻擊演練。培訓(xùn)課程綜合安全知識(shí)點(diǎn)專題類別子類知識(shí)點(diǎn)名稱課程類型綜合安全知識(shí)點(diǎn)介紹安全各層面知識(shí)點(diǎn)培訓(xùn)網(wǎng)絡(luò)安全理論知識(shí)系統(tǒng)安全理論知識(shí)終端安全理論知識(shí)應(yīng)用安全理論知識(shí)滲透攻防理論知識(shí)WＥB滲透流程理論知識(shí)常見(jiàn)攻擊技術(shù)與防護(hù)培訓(xùn)網(wǎng)絡(luò)對(duì)抗概述理論知識(shí)網(wǎng)絡(luò)安全問(wèn)題分析理論知識(shí)網(wǎng)絡(luò)偵察技術(shù)理論知識(shí)網(wǎng)絡(luò)掃描技術(shù)理論知識(shí)口令攻擊技術(shù)理論知識(shí)緩沖區(qū)溢出攻擊理論知識(shí)拒絕服務(wù)攻擊理論知識(shí)計(jì)算機(jī)病毒理論知識(shí)木馬攻擊技術(shù)理論知識(shí)社會(huì)工程學(xué)攻擊技術(shù)理論知識(shí)無(wú)線網(wǎng)絡(luò)安全破解與防御理論知識(shí)主機(jī)系統(tǒng)攻防專題類別子類知識(shí)點(diǎn)名稱課程類型主機(jī)系統(tǒng)攻防專題ｗiｎdows漏洞MS—08067實(shí)踐驗(yàn)證型ＭＳ-12０20實(shí)踐驗(yàn)證型MＳ-1４0５8實(shí)踐驗(yàn)證型linuｘ漏洞bash破殼漏洞實(shí)踐操作型Liｎux內(nèi)核提權(quán)實(shí)踐操作型Liｎux遠(yuǎn)程溢出實(shí)踐操作型unix漏洞ｓolaris遠(yuǎn)程溢出實(shí)踐操作型主機(jī)通用加固規(guī)范Windowｓ通用加固規(guī)范操作手冊(cè)Linux通用加固規(guī)范操作手冊(cè)Solａrｉs通用加固規(guī)范操作手冊(cè)HP-UＮＩＸ通用加固規(guī)范操作手冊(cè)Ａix通用加固規(guī)范操作手冊(cè)中間件系統(tǒng)攻防專題類別子類知識(shí)點(diǎn)名稱課程類型中間件系統(tǒng)攻防專題常見(jiàn)中間件安全配置實(shí)驗(yàn)Toｍcat安全配置實(shí)驗(yàn)實(shí)踐操作型Ａpacｈe安全配置實(shí)驗(yàn)實(shí)踐操作型IIS安全配置實(shí)驗(yàn)實(shí)踐操作型中間件通用加固實(shí)際操作Apａche通用加固規(guī)范操作手冊(cè)ＩIS通用加固規(guī)范操作手冊(cè)Jｂosｓ通用加固規(guī)范操作手冊(cè)Jetｔy通用加固規(guī)范操作手冊(cè)Nginｘ通用加固規(guī)范操作手冊(cè)Tｏｍcat通用加固規(guī)范操作手冊(cè)Toxedｏ通用加固規(guī)范操作手冊(cè)Weｂlogic通用加固規(guī)范操作手冊(cè)Weｂsphere通用加固規(guī)范操作手冊(cè)常見(jiàn)服務(wù)器中間件入侵實(shí)例常見(jiàn)中間件弱口令及拿weｂsheｌl方法漏洞實(shí)戰(zhàn)型漏洞利用操作手冊(cè)-strust２漏洞實(shí)例漏洞實(shí)戰(zhàn)型數(shù)據(jù)庫(kù)系統(tǒng)攻防專題類別子類知識(shí)點(diǎn)名稱課程類型數(shù)據(jù)庫(kù)系統(tǒng)攻防專題數(shù)據(jù)庫(kù)通用加固實(shí)際操作Sqlserveｒ通用加固規(guī)范操作手冊(cè)Mｙsｑl通用加固規(guī)范操作手冊(cè)Ｏraｃle-unｉx通用加固規(guī)范操作手冊(cè)InfｏrMix通用加固規(guī)范操作手冊(cè)PｏstgreSQL通用加固規(guī)范操作手冊(cè)常見(jiàn)數(shù)據(jù)庫(kù)安全配置實(shí)驗(yàn)Myｓql安全配置實(shí)驗(yàn)實(shí)踐操作型Sqlservｅｒ安全配置實(shí)驗(yàn)實(shí)踐操作型應(yīng)用系統(tǒng)攻防專題類別子類知識(shí)點(diǎn)名稱課程類型應(yīng)用攻防常見(jiàn)Wｅb十大漏洞分析講解(基于OWAＳＰMutｉllidａｅ漏洞環(huán)境)SQＬ注入實(shí)踐操作型失效的身份認(rèn)證和會(huì)話管理實(shí)踐操作型XSＳ跨站實(shí)踐操作型不安全的直接對(duì)象引用實(shí)踐操作型安全配置錯(cuò)誤實(shí)踐操作型敏感信息泄漏實(shí)踐操作型功能級(jí)訪問(wèn)控制缺失實(shí)踐操作型跨站請(qǐng)求偽造實(shí)踐操作型使用含有已知漏洞的組件實(shí)踐操作型未驗(yàn)證的重定向和轉(zhuǎn)發(fā)實(shí)踐操作型網(wǎng)絡(luò)攻防專題類別子類知識(shí)點(diǎn)名稱課程類型網(wǎng)絡(luò)攻防專題網(wǎng)絡(luò)安全攻防實(shí)戰(zhàn)有線－IP地址沖突實(shí)踐操作型有線—DＨCP攻擊實(shí)踐操作型有線—AＲＰ攻擊實(shí)踐操作型安全設(shè)備－Firewａll理論知識(shí)型安全設(shè)備-IPS／IDＳ理論知識(shí)型安全設(shè)備—WAＦ理論知識(shí)型安全設(shè)備—Scaｎner理論知識(shí)型安全設(shè)備—Guarｄ理論知識(shí)型網(wǎng)絡(luò)設(shè)備-交換機(jī)理論知識(shí)型網(wǎng)絡(luò)設(shè)備－路由器理論知識(shí)型網(wǎng)絡(luò)設(shè)備-無(wú)線ＡP理論知識(shí)型iｐ分類-IPv4—私網(wǎng)理論知識(shí)型iｐ分類-IPv４－公網(wǎng)理論知識(shí)型ip分類—IＰv6理論知識(shí)型vlan理論知識(shí)型路由協(xié)議－IGP—靜態(tài)路由理論知識(shí)型路由協(xié)議—IGP-OSPF理論知識(shí)型路由協(xié)議—ＩＧP-RIＰ理論知識(shí)型路由協(xié)議—ＥＧP—BＧP-IＢGP理論知識(shí)型路由協(xié)議-EＧP—BGＰ－ＥBGP理論知識(shí)型訪問(wèn)控制理論知識(shí)型ＮAT理論知識(shí)型VPＮ-SＳLVPＮ理論知識(shí)型ＶＰN-IＰSecVPＮ理論知識(shí)型VＰN－L2TＰVPN理論知識(shí)型網(wǎng)絡(luò)安全設(shè)計(jì)－安全域劃分操作指導(dǎo)型網(wǎng)絡(luò)安全設(shè)計(jì)－等級(jí)保護(hù)操作指導(dǎo)型安全基線—路由操作指導(dǎo)型安全基線—交換操作指導(dǎo)型網(wǎng)絡(luò)設(shè)備加固網(wǎng)絡(luò)設(shè)備安全基線Cisｃo路由器／交換機(jī)安全基線配置規(guī)范操作手冊(cè)Ciｓｃｏ防火墻安全基線配置規(guī)范操作手冊(cè)華為網(wǎng)絡(luò)設(shè)備安全基線配置規(guī)范操作手冊(cè)中興路由器/交換機(jī)安全基線配置規(guī)范操作手冊(cè)H3Ｃ交換機(jī)安全基線配置規(guī)范操作手冊(cè)RＡDWARE安全基線配置規(guī)范操作手冊(cè)Junipｅr(NetScｒｅｅｎ系列)防火墻安全基線配置規(guī)范操作手冊(cè)Fortｉｇatｅ飛塔防火墻安全基線配置規(guī)范操作手冊(cè)無(wú)線攻防專題類別子類知識(shí)點(diǎn)名稱課程類型無(wú)線攻防專題無(wú)線網(wǎng)絡(luò)安全攻防無(wú)線密碼破解（wep,wpa破解)實(shí)踐操作型無(wú)線攻防—技能必備實(shí)踐操作型無(wú)線D。Ｏ.S攻擊實(shí)踐操作型滲透測(cè)試——無(wú)線破解入侵局域網(wǎng)實(shí)踐操作型滲透測(cè)試-—無(wú)線網(wǎng)關(guān)密碼爆破DＮＳ劫持仿冒網(wǎng)站實(shí)踐操作型滲透測(cè)試——內(nèi)網(wǎng)無(wú)線嗅探+內(nèi)容抓取并還原（aｒｐ＋dｒiftｎeｔ)實(shí)踐操作型主流工具使用專題類別子類知識(shí)點(diǎn)名稱課程類型主流工具課程網(wǎng)絡(luò)掃描Nmap操作手冊(cè)實(shí)踐操作型流量分析wiｒeｓhark操作手冊(cè)實(shí)踐操作型密碼攻擊ｊohn操作手冊(cè)實(shí)踐操作型ｈyｄｒａ操作手冊(cè)實(shí)踐操作型ＷCE操作手冊(cè)（針對(duì)ｗinｄｏｗs賬戶及域密碼)實(shí)踐操作型mimｉkａt(yī)z操作手冊(cè)（針對(duì)windows賬戶及域密碼)實(shí)踐操作型嗅探欺騙Cａin操作手冊(cè)實(shí)踐操作型Iｎtｅrｃepｔer操作手冊(cè)實(shí)踐操作型漏洞掃描Nessus操作手冊(cè)實(shí)踐操作型漏洞利用Ｍetasploｉt操作手冊(cè)—msfclｉ結(jié)合bａsｈshelｌ自定義攻擊實(shí)踐操作型WEB攻擊WEＢ攻防—BeEF操作手冊(cè)實(shí)踐操作型WEＢ攻防—Ｗ３AＦ操作手冊(cè)實(shí)踐操作型WEB攻防-Niktｏ操作手冊(cè)實(shí)踐操作型WEＢ攻防-WebＣruisｅr掃描工具操作手冊(cè)實(shí)踐操作型WEB攻防－SQLMＡP工具操作手冊(cè)實(shí)踐操作型WEB攻防—Ｂurｐsuite工具操作手冊(cè)實(shí)踐操作型WEB攻防-firefox漏洞測(cè)試插件操作手冊(cè)實(shí)踐操作型WＥＢ攻防—caidao操作手冊(cè)實(shí)踐操作型WＥＢ攻防—各種