某科技股份有限公司安全服务方案

1、67/67受控：C级项目编号：DPtech-YNDW-AQFW-2017XXX安全服务方案迪普科技股份Hangzhou DPTech Technologies Co., Ltd年月目 录 TOC o 1-3 h z u HYPERLINK l _Toc482307984 1项目概述 PAGEREF _Toc482307984 h 6 HYPERLINK l _Toc482307985 2遵循原则 PAGEREF _Toc482307985 h 6 HYPERLINK l _Toc482307986 3推荐服务容 PAGEREF _Toc482307986 h 7 HYPERLINK l _To

2、c482307987 4服务详细介绍 PAGEREF _Toc482307987 h 8 HYPERLINK l _Toc482307988 4.1安全监控 PAGEREF _Toc482307988 h 8 HYPERLINK l _Toc482307989 4.1.1服务简介 PAGEREF _Toc482307989 h 9 HYPERLINK l _Toc482307990 4.1.2服务功能 PAGEREF _Toc482307990 h 11 HYPERLINK l _Toc482307991 4.1.3服务特点 PAGEREF _Toc482307991 h 14 HYPERLI

3、NK l _Toc482307992 4.1.4输出成果 PAGEREF _Toc482307992 h 15 HYPERLINK l _Toc482307993 4.2渗透测试服务 PAGEREF _Toc482307993 h 15 HYPERLINK l _Toc482307999 4.2.1测试方法 PAGEREF _Toc482307999 h 16 HYPERLINK l _Toc482308000 4.2.2测试容 PAGEREF _Toc482308000 h 17 HYPERLINK l _Toc482308001 4.2.3实施步骤 PAGEREF _Toc48230800

4、1 h 18 HYPERLINK l _Toc482308002 4.2.4输出成果 PAGEREF _Toc482308002 h 21 HYPERLINK l _Toc482308003 4.2.5服务收益 PAGEREF _Toc482308003 h 21 HYPERLINK l _Toc482308004 4.3网络安全评估 PAGEREF _Toc482308004 h 21 HYPERLINK l _Toc482308005 4.3.1评估容 PAGEREF _Toc482308005 h 22 HYPERLINK l _Toc482308006 4.3.2评估方法 PAGERE

5、F _Toc482308006 h 26 HYPERLINK l _Toc482308007 4.3.3实施步骤 PAGEREF _Toc482308007 h 28 HYPERLINK l _Toc482308008 4.3.4输出成果 PAGEREF _Toc482308008 h 38 HYPERLINK l _Toc482308009 4.4安全巡检服务 PAGEREF _Toc482308009 h 38 HYPERLINK l _Toc482308010 4.4.1服务容 PAGEREF _Toc482308010 h 38 HYPERLINK l _Toc482308011 4.

6、4.2输出成果 PAGEREF _Toc482308011 h 39 HYPERLINK l _Toc482308012 4.4.3服务收益 PAGEREF _Toc482308012 h 39 HYPERLINK l _Toc482308013 4.4.4服务频率 PAGEREF _Toc482308013 h 39 HYPERLINK l _Toc482308014 4.5安全加固服务 PAGEREF _Toc482308014 h 40 HYPERLINK l _Toc482308015 4.5.1加固容 PAGEREF _Toc482308015 h 40 HYPERLINK l _T

7、oc482308016 4.5.2加固流程 PAGEREF _Toc482308016 h 42 HYPERLINK l _Toc482308017 4.5.3输出成果 PAGEREF _Toc482308017 h 46 HYPERLINK l _Toc482308018 4.5.4服务收益 PAGEREF _Toc482308018 h 47 HYPERLINK l _Toc482308019 4.5.5服务频率 PAGEREF _Toc482308019 h 47 HYPERLINK l _Toc482308020 4.6应急响应服务 PAGEREF _Toc482308020 h 47

8、 HYPERLINK l _Toc482308021 4.6.1服务容 PAGEREF _Toc482308021 h 48 HYPERLINK l _Toc482308022 4.6.2输出成果 PAGEREF _Toc482308022 h 49 HYPERLINK l _Toc482308023 4.6.3服务收益 PAGEREF _Toc482308023 h 49 HYPERLINK l _Toc482308024 4.6.4服务频率 PAGEREF _Toc482308024 h 50 HYPERLINK l _Toc482308025 4.7新系统入网安全评估 PAGEREF _

9、Toc482308025 h 50 HYPERLINK l _Toc482308026 4.7.1评估容 PAGEREF _Toc482308026 h 51 HYPERLINK l _Toc482308027 4.7.2输出成果 PAGEREF _Toc482308027 h 52 HYPERLINK l _Toc482308028 4.7.3服务收益 PAGEREF _Toc482308028 h 53 HYPERLINK l _Toc482308029 4.7.4服务频率 PAGEREF _Toc482308029 h 53 HYPERLINK l _Toc482308030 4.8安全

10、攻防演练培训 PAGEREF _Toc482308030 h 53 HYPERLINK l _Toc482308031 4.8.1培训课程 PAGEREF _Toc482308031 h 54 HYPERLINK l _Toc482308032 4.8.2培训流程 PAGEREF _Toc482308032 h 61 HYPERLINK l _Toc482308033 4.8.3培训考核 PAGEREF _Toc482308033 h 62 HYPERLINK l _Toc482308034 4.8.4培训优势 PAGEREF _Toc482308034 h 62 HYPERLINK l _T

11、oc482308035 4.9重要时期安全保障 PAGEREF _Toc482308035 h 63 HYPERLINK l _Toc482308036 4.9.1现场值守 PAGEREF _Toc482308036 h 63 HYPERLINK l _Toc482308037 4.9.2预案制定 PAGEREF _Toc482308037 h 64 HYPERLINK l _Toc482308038 4.9.3应急处理 PAGEREF _Toc482308038 h 64 HYPERLINK l _Toc482308039 4.9.4输出成果 PAGEREF _Toc482308039 h

12、65 HYPERLINK l _Toc482308040 5服务配套工具 PAGEREF _Toc482308040 h 65 HYPERLINK l _Toc482308041 6项目投资估算 PAGEREF _Toc482308041 h 66 HYPERLINK l _Toc482308042 7项目管理方案 PAGEREF _Toc482308042 h 67 HYPERLINK l _Toc482308043 7.1项目管理方法 PAGEREF _Toc482308043 h 67 HYPERLINK l _Toc482308044 7.2组织结构图 PAGEREF _Toc4823

13、08044 h 68 HYPERLINK l _Toc482308045 7.3项目沟通 PAGEREF _Toc482308045 h 69 HYPERLINK l _Toc482308046 7.3.1日常沟通、记录和备忘录 PAGEREF _Toc482308046 h 69 HYPERLINK l _Toc482308047 7.3.2报告 PAGEREF _Toc482308047 h 69 HYPERLINK l _Toc482308048 7.3.3会议 PAGEREF _Toc482308048 h 69 HYPERLINK l _Toc482308049 7.4项目实施质量保

14、证 PAGEREF _Toc482308049 h 70 HYPERLINK l _Toc482308050 7.4.1项目执行人员的质量职责 PAGEREF _Toc482308050 h 71 HYPERLINK l _Toc482308051 7.4.2安全服务质量保证 PAGEREF _Toc482308051 h 71 HYPERLINK l _Toc482308052 7.5系统安全与风险规避方案 PAGEREF _Toc482308052 h 74 HYPERLINK l _Toc482308053 7.5.1项目实施工具 PAGEREF _Toc482308053 h 74 H

15、YPERLINK l _Toc482308054 7.5.2项目实施策略 PAGEREF _Toc482308054 h 74 HYPERLINK l _Toc482308055 7.5.3项目实施中的配合 PAGEREF _Toc482308055 h 75 HYPERLINK l _Toc482308056 8承诺 PAGEREF _Toc482308056 h 76 HYPERLINK l _Toc482308057 8.1协议 PAGEREF _Toc482308057 h 76 HYPERLINK l _Toc482308058 8.1.1协议的必要性 PAGEREF _Toc482

16、308058 h 76 HYPERLINK l _Toc482308059 8.1.2条款 PAGEREF _Toc482308059 h 76 HYPERLINK l _Toc482308060 8.1.3违约责任 PAGEREF _Toc482308060 h 77 HYPERLINK l _Toc482308061 8.2项目实施人员专项承诺 PAGEREF _Toc482308061 h 78 HYPERLINK l _Toc482308062 8.2.1承诺的必要性 PAGEREF _Toc482308062 h 78 HYPERLINK l _Toc482308063 8.2.2容

17、和围 PAGEREF _Toc482308063 h 78 HYPERLINK l _Toc482308064 8.2.3责任 PAGEREF _Toc482308064 h 78 HYPERLINK l _Toc482308065 9迪普科技简介 PAGEREF _Toc482308065 h 79 HYPERLINK l _Toc482308066 9.1公司介绍 PAGEREF _Toc482308066 h 79 HYPERLINK l _Toc482308067 9.2服务资质 PAGEREF _Toc482308067 h 80 HYPERLINK l _Toc482308068

18、9.2.1国最高的信息安全服务二级资质 PAGEREF _Toc482308068 h 80 HYPERLINK l _Toc482308069 9.2.2中国通信企业协会风险评估资质 PAGEREF _Toc482308069 h 82 HYPERLINK l _Toc482308070 9.2.3ISO 27001信息安全管理体系认证 PAGEREF _Toc482308070 h 83 HYPERLINK l _Toc482308071 9.2.4国家信息安全漏洞库支撑单位 PAGEREF _Toc482308071 h 84 HYPERLINK l _Toc482308072 9.2.

19、5中国互联网网络安全威胁治理联盟成员单位 PAGEREF _Toc482308072 h 84 HYPERLINK l _Toc482308073 9.2.6ISO9001认证 PAGEREF _Toc482308073 h 85 HYPERLINK l _Toc482308074 9.2.7ISO14001认证 PAGEREF _Toc482308074 h 86 HYPERLINK l _Toc482308075 9.2.8部分漏洞提交证明 PAGEREF _Toc482308075 h 86 HYPERLINK l _Toc482308076 9.3服务优势 PAGEREF _Toc48

20、2308076 h 88 HYPERLINK l _Toc482308078 9.3.1信息安全监管机构高度认可 PAGEREF _Toc482308078 h 88 HYPERLINK l _Toc482308079 9.3.2强大的漏洞挖掘研究能力 PAGEREF _Toc482308079 h 88 HYPERLINK l _Toc482308080 9.3.3专业的安全咨询服务团队 PAGEREF _Toc482308080 h 88 HYPERLINK l _Toc482308081 9.3.4国家重大会议活动首选安全保障团队 PAGEREF _Toc482308081 h 89项目

21、概述近年来，随着棱镜门事件的爆发，网络和信息安全受到前所未有的关注。2014年中央网络安全和信息化领导小组的成立，主席“没有网络安全就没有国家安全”等指示的提出，无不表明网络与信息安全工作已经上升至国家战略安全层面。在这种形势下，网络安全的重要性被提到了前所未有的高度。在XXX中，如果网络和业务系统被黑客攻击，页面被得法自发、敏感信息被窃取，其影响将难以估计。同时，2017.6.1既将实行的网络安全法中，规定将对出现安全事件的组织负责人进行处罚。随着安全技术的发展，各行业的网络和业务系统，必将成为黑客或反动势力的攻击目标。种种迹象表明，如果网络和业务系统存在安全漏洞，将非常容易导致被攻击者非法

22、入侵，并对敏感数据进行非法窃取、篡改、删除等操作。编写本方案的目的，是希望通过迪普科技长期从事网络安全、安全、安全服务工作的经验，以与对黑客攻击过程的深入理解，为XXX的网络和业务系统提供全方位的安全防护建议，并为XXX的安全运行保驾护航。遵循原则本次为XXX提供的安全服务，全程遵循以下原则。先进性原则安全服务和形成的规划方案，在路线上应与业界的主流发展趋势相一致，保证依据此方案进行安全防护的XXX具备先进性。标准性原则安全服务和产品的选择，按照国家安全管理、安全控制、安全规程为参考依据。实用性原则具备多层次、多角度、全方位、立体化的安全保护功能。各种安全技术措施尽显其长，相互补充。当某一种或

23、某一层保护失效时，其它仍可起到保护作用。可控性原则安全服务和安全规划的技术和解决方案，涉与的工程实施应具有可控性。系统性、均衡性、综合性研究原则安全服务从全系统出发，综合分析各种安全风险，采取相应的安全措施，并根据风险的大小，采取不同强度的安全措施，提供具有最优的性能价格比的安全解决方案。可行性、可靠性原则技术和解决方案，需在保证网络和业务系统正常运转的前提下，提供最优安全保障。可扩展性原则良好的可扩展性，能适应安全技术的快速发展和更新，能随着安全需求的变化而变化，充分保证投资的效益。推荐服务容根据国家监管机构要求以与XXX安全需求，我们推荐以下服务容。序号服务容服务描述服务方式1安全监控对X

24、XX指定的进行7*24小时安全监控，并提供监控日报、周报、月报，在出现异常情况时（被攻击、篡改、挂马），进行实时告警。远程2渗透测试服务通过人工方式，模拟黑客攻击方法，对XXX的进行非破坏性质的安全测试，查找应用层面漏洞并给出对应的修复建议。远程/现场3网络安全评估评估XXX的网络拓扑架构、安全域规划、边界防护、安全防护措施、核心设备安全配置、设备脆弱性等，从而全面评估网络的安全现状，查找安全隐患。现场4安全巡检服务定期对XXX的业务系统进行安全漏洞检测、基线配置核查、安全日志审计，评估业务系统的安全现状，如果存在安全风险，则提供对应的整改建议。现场5安全加固服务对安全巡检发现的漏洞进行修复、

25、配置隐患进行优化的过程。加固容包括但不限于系统补丁、防火墙、防病毒、危险服务、共享、自动播放、密码安全。远程/现场6应急响应服务当XXX的或服务器遭受黑客入侵攻击时，第一时间对入侵事件进行分析、检测、抑制、处理，查找入侵来源并恢复系统正常运行。远程/现场7新系统入网安全评估在新系统入网前，对其进行全面的安全评估，包括渗透测试、漏洞检测、基线核查，评估新系统的安全状况，查找不符合安全要求的配置项以与安全风险点。远程/现场8安全攻防演练培训为XXX提供一个理论结合实际、可以实战演练、场景真实逼真的安全攻防培训，从而真正提升受训人员的安全技术和实际动手能力。现场9重要时期安全保障在重要时期（如重大会

26、议、重大节假日），我司派出安全攻防经验丰富的安全专家，进驻用户现场，对业务系统进行现场安全值守和保障。现场服务详细介绍下面，对每项服务容，进行详细说明。安全监控随着互联网技术的快速发展，攻击的门槛不断降低。各类型受到的安全威胁越来越多，为形象、各Web应用系统的正常使用。应实现以下基本安全需求: 监控页面容完整、不被篡改；监控存在的SQL注入、XSS、非法访问、信息泄露等应用层漏洞，从而提前解决潜在风险；监控，防止挂马而导致的客户满意度损失；监控是否存在敏感信息，对于的敏感信息容自行配制告警功能，方便管理者与时了解到发生的安全事件，可根据量化的标准，对的安全事件严重程度进行不同形式的告警，杜绝

27、可能存在的政治风险和声誉损失；监控是否被钓鱼，导致相关的名誉损失。服务简介WEB安全监控平台安全监控系统是迪普科技根据“云”的理念研发出的一款全天候Web监测系统。WEB安全监控平台监控系统基于PAAS（Platform-AsA-Service）模式，通过部署于各信息节点的监测引擎对客户指定的（WEB应用）进行可用率和站点安全性检测，以保障客户业务持续性，从而向客户提供安全的保障。服务功能被动防御被动防御主要提供如下服务：异常推送无需时时刻刻紧盯着，也无需改变任何网络的部署，也不需专门的人员进行安全设备维护与分析日志，一旦Web出现任何异常行为，迪普科技WEB安全监控平台会自动把异常推送到云端

28、，然后在云端进行分析检测。您完全不用担心找不到异常的解决办法，WEB安全监控平台会帮你完成这一系列繁杂的任务。预警服务每一个用户所发生的异常行为都会在推送到云端分析结束后保留在云端特征库中，一旦该异常再次发生，异常比对后，云端几乎可无间隔预警。也就是说我们的用户越多，WEB安全监控平台全方位立体式的监控就越完善，您的也越加安全。专业团队Web异常原因根据系统环境，人员等各种因素各式各样。在遇到云端无法解决的情况下，我们专业团队会在第一时间通知您，并提供解决方案。系统报表每日监测后性能等监测指标都可以随时生成相应的报表，方便您的查阅。您无需在去找人进行参数整理等重复性工作，解决大量的人力重复劳动

29、。主动扫描主动扫描主要提供如下服务：性能监控性能监控主要对服务器性能、访问可用率、延迟、故障时间的一个持续评测。是主动扫描中基础模块之一，它能更准确的让您清楚每天运行的状态。检测功能：有效的监测实时的可用率，更加直观的表现出的性能；统计的故障时间，可有效的查出故障时间段，针对性解决故障；性能分析，根据监测结果智能分析出可能出现的异常情况。篡改检测防线攻破后，入侵者会对的页面容进行篡改，发布一些危害正常运行的言论，从对形象带来巨大负面影响。检测功能:有效防止挂黑链，避免影响优化，导致排名下降；与时发现留后门，预防二次入侵；第一时间发现恶意修改的虚假信息，避免误导用户；时刻检测恶意代码植入，避免被

30、杀软警报屏蔽；避免主页被篡改，减少声誉损失，避免服务中断。挂马监控挂马检测模块采用大规模、分布式、动态行为检测和静态检测相结合的挂马识别方式，能够准确判断出的挂马页面，并与时发出警报，可以有效维护安全和利益。同时，通过高级木马检测服务，用户可指定监控间隔周期、监控页面深度、报警方式等参数，更好的满足用户需求。检测功能:检测iframe框架挂马，让您与时清理，避免成为木马散布点；检测script挂马，避免通过script的调用来挂马；检测图片伪装挂马，让您与时处理，避免网页被杀软报警；检测网页漏洞，让您与时修复，预防被挂马；实时监控挂马情况，让您与时处理挂马问题。敏感词监控敏感词监控主要是针对敏

31、感词的一个检测过滤，它能准确的检测出你在其管理平台中设立的敏感词。一旦发现存在某个页面中，WEB安全监控平台会主动提醒您。检测功能:检测网页源码中敏感词出现；检测数据库中敏感词出现；统计敏感词出现次数，定位到具体代码数据。网跨站钓鱼检测跨站钓鱼检测模块通过静态分析技术与虚拟机沙箱行为检测技术相结合，对进行跨站钓鱼检测，能在最快的时间完成跨站检测。检测功能：检测iframe框架跨站钓鱼；检测script跨站钓鱼，避免通过script的调用来跨站钓鱼；检测img跨站钓鱼；对页面的中的域名进行监测，保障用户访问的域名正确性。服务特点易操作用户只需要登录我们的平台，在其授权管理后，设置所需要监控的项目

32、。迪普科技本着“以人为本”理念，在产品设计时非常注重用户体验，您只需要简单的几步操作既可完成整个的监控。同时产品中拥有丰富的帮助文档，即使您没有接触过类似产品，在帮助文档的指引下也可以顺利的完成操作。可以在管理平台中根据您设置对安全情况进行日报、周报、月报的报告通告，并通过与时通知您。智能管理主动扫描模式，被动防御模式主动扫描模式可主动更深入的测查出所存在的安全隐患，可主动发现各种网页挂马、敏感词的出现、以与实时性能的一个总体分析。您可随意调整扫描模式，达到预期效果。被动防御模式可全天候监测异常，并在异常出现第一时间预警通您。节省投资与管理成本提供365*7*24全天候的在线木马监测服务，让您

33、的站点每一分钟都在监控中。 大大节省您在安全设备采购的投资，并且您无需亲自动手操作各种安全设备，避免在使用设备过程中的繁琐，节省您的时间和精力。订阅故障统计报告站点安全情况可根据用户需求进行订阅，让用户能够了解到行业、地域站点的安全情况，与时做好维护升级，避免不必要的损失。输出成果安全监控的输出成果如下：XXX安全监控周报XXX安全监控月报渗透测试服务渗透测试服务，是在XXX授权的前提下，以模拟黑客攻击的方式，对XXX的安全漏洞、安全隐患进行全面检测，最终目标是查找的安全漏洞、评估的安全状态、提供漏洞修复建议。在渗透过程中，我们会采用业界领先的漏洞检测技术、攻击技术、攻击工具和迪普安全团队编写

34、的脚本。过程分为四步：计划与准备、信息收集、实施渗透、输出报告。计划与准备阶段主要是根据反馈的容制定项目实施方案与计划；信息收集与实施渗透是项目的实施阶段，输出报告主要是汇总和评估项目中发现的安全威胁，并输出文档。测试方法我司提供的渗透测试服务，采用的测试方法如下。信息搜集信息探测阶段包括信息收集，端口、服务扫描，计算机漏洞检测，此阶段主要做渗透前的踩点用。使用工具：Maltego ，搜集管理员email、tel、常用id，网络拓扑等Nmap ，端口、服务扫描，弱口令破解，系统信息探测X-scan ，端口、服务扫描，弱口令破解，系统信息探测P0f ，系统识别Appscan ，Web漏洞检测程序

35、WVS ，Web漏洞检测程序W3AF ，Web漏洞检测程序Scanner1000 ，迪普科技开发的漏洞检测产品，支持系统漏洞检测，Web漏洞检测等一系列功能端口扫描通过对目标地址的TCP/UDP端口扫描，确定其所开放的服务的数量和类型，这是所有渗透测试的基础。通过端口扫描，可以基本确定一个系统的基本信息，结合安全工程师的经验可以确定其可能存在以与被利用的安全弱点，为进行深层次的渗透提供依据。 口令猜测口令猜测也是一种出现概率很高的风险，几乎不需要任何攻击工具，利用一个简单的暴力攻击程序和一个比较完善的字典，就可以猜测口令。 对一个系统账号的猜测通常包括两个方面：首先是对用户名的猜测，其次是对密

36、码的猜测。 脚本测试脚本测试专门针对Web服务器进行。根据最新的技术统计，脚本安全弱点为当前Web系统尤其存在动态容的Web系统存在的主要比较严重的安全弱点之一。利用脚本相关弱点轻则可以获取系统其他目录的访问权限，重则将有可能取得系统的控制权限。因此对于含有动态页面的Web系统，脚本测试将是必不可少的一个环节。 Hydra ，暴力破解工具，支持Samba, FTP, POP3, IMAP, Telnet, Auth, LDAP, NNTP, MySQL, VNC, ICQ, Socks5, PCNFS, Cisco等多种协议的暴力破解Metasploit ，溢出程序利用平台菜刀 ，Webshe

37、ll功力工具Pwdump7 ，读取系统HASHCain ，网sniffer工具Disniff ，linux下嗅探工具人工渗透人工渗透，主要针对系统的业务逻辑漏洞进行安全测试，利用业务逻辑漏洞查找可准确、切实的找出业务中存在的安全隐患，避免被恶意用户利用，对系统造成重大损失。测试容对XXX的渗透测试，除使用产品和工具扫描外，更重要的需要进行人工渗透，渗透容包括但不限于以下项，且需要对发现的漏洞进行验证和利用。序号渗透测试大项渗透测试小项1配置管理备份测试、 方法测试、传输安全2身份鉴别用户注册、账户权限、账户枚举、弱口令3认证授权认证绕过、目录遍历、授权绕过、权限提升4会话管理超时测试、会话管理

38、绕过测试、会话令牌泄露测试、跨站点请求伪造CSRF测试5输入验证SQL注入、代码注入、命令执行注入、跨站脚本XSS6错误处理错误码分析、栈追踪分析7业务逻辑数据验证、请求伪造、完整性、次数限制、上传测试实施步骤根据黑客入侵的过程，并结合渗透测试的要求，我司渗透测试的实施步骤如下。计划与准备阶段工作目标计划与准备阶段，需要明确渗透测试的实施围与测试对象，制定实施方法与方案，并制定详细的实施计划，为渗透测试的顺利进行，作重要准备。渗透测试的实施，将按照方案和计划进行。工作容计划与准备阶段的工作，主要是对渗透测试实施举行研讨会，讨论渗透测试操作思路，说明渗透测试的实施围和测试对象，然后根据研讨容制定

39、相应得实施方案与计划。由领导审核批准实施方案与计划，项目组根据实际情况的需要，会对实施方案与计划进行一定的调整。实施计划序号任务名称工作容计划时间1渗透测试研讨会讨论渗透测试的工作思路，说明测试围、测试目标对象、实施方式以与实施人员和大致的时间计划2制定渗透测试实施方案与计划根据研讨会的讨论容，制定相应的渗透测试实施方案和实施计划3提交渗透测试实施方案与计划提交渗透测试实施方案与计划4审核与确认渗透测试实施方案与计划项目组提交渗透测试实施方案与计划，由领导进行审核确认，提出相应的意见与建议5修正实施方案与计划根据领导审核意见和建议，对实施方案与计划进行相应的修正信息收集阶段工作目标信息收集是所

40、有入侵攻击的前奏和基础。通过信息收集分析，攻击者可以有针对性地制定入侵攻击的方法策略，提高入侵的成功率、减小暴露或被发现的机率。因此以模拟黑客攻击方式进行的渗透测试，也以信息收集为第一个实施的阶段过程。工作容信息收集阶段的工作容是对目标所在的整个IP网段进行扫描探测与手工查阅。通过对目标地址的TCP/UDP端口扫描，确定其所开放的服务的数量和类型，这是所有渗透性测试的基础。通过信息探测漏洞检测，可以基本确定一个系统的基本信息，结合安全工程师的经验可以确定其可能存在以与被利用的安全弱点，为进行深层次的渗透提供依据。并且用手工的方式对应用、网页等容进行一些信息查看。实施计划序号任务名称工作容计划时

41、间1渗透测试变更流程与变更操作根据渗透测试的需要，进行相应的变更2信息收集阶段实施操作按照实施方案，进行信息收集阶段实施操作渗透实施阶段输出报告阶段工作目标本阶段为根据渗透测试得出的结果，进行汇总分析，输出渗透测试报告。工作容编写、整理渗透测试报告。实施计划序号任务名称工作容计划时间1编写渗透测试报告对渗透测试得出的结果进行分析，并输出报告输出成果渗透测试的输出成果如下：XXX渗透测试服务报告XXX渗透测试服务复测报告服务收益对进行渗透测试，可为XXX带来如下收益：评估中存在的安全隐患、安全隐患； 发现存在的深层次安全隐患； 验证现有安全措施的防护强度； 评估被入侵的可能性，并在入侵者发起攻击

42、前封堵可能被利用的攻击途径。网络安全评估网络安全评估是对网络和业务系统的安全漏洞、安全隐患、安全风险，进行探测、识别、控制、消除的全过程，它从风险管理角度，运用科学的方法和手段，系统地分析网络与应用系统所面临的威胁与其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。网络安全评估的容，包括网络拓扑架构、安全域规划、边界防护、安全防护措施、核心设备安全配置、设备脆弱性等，从而全面评估网络的安全现状，查找安全隐患。评估容资产评估概述信息资产的识别可以确定评估的对象，是整个安全服务工作的基础。并且，本阶段可以帮助XXX实现信息资产识别和整理，完成一份完

43、整和最新的信息资产清单，对XXX的信息资产管理工作会有所帮助。目标完成一份完整和最新的信息资产清单。过程描述首先识别信息资产，完成所有重要信息资产的清单。按照资产性质和业务类型等可以分成若干资产类，一般分为数据，软件，服务，硬件，设备和文档等。根据不同的项目目标与项目特点，重点识别的资产类别会有所不同，在通常的项目中，一般数据、软件和服务为重点。架构安全评估概述对网络结构，逻辑网络结构与网络的关键设备进行评估，发现存在的安全性方面的问题。结合业务体系、系统体系等结构的检查逻辑网络，由什么物理网络组成以与网络的关键设备的位置所在对于保持网络的安全是非常重要的。另外，鉴定关键网络拓扑，对于成功地实

44、施一个基于网络的风险管理方案是非常关键的。基本信息包括网络带宽，协议，硬件（例如：交换机，路由器等）Internet接入，地理分布方式和网络管理。目标发现网络结构存在的安全性问题。过程描述1.网络拓扑分析拓扑结构合理性分析，可扩展性分析，例如网络中重要节点的链路是否有冗余。2.安全域评估对XXX网络进行全面了解，查看安全域是否有划分，安全域的划分是否合理，安全域间是否有相应的安全防护措施，并提出对应的改进方案。对于信息系统的安全，除了自身的安全检测外，还需要考虑与其他系统进行对接的接口安全，即边界安全。划分安全域并对其进行安全防护，将有效保障系统与对接系统的安全。所以，安全域评估是架构评估中的

45、重中之重，我司将对XXX的安全域进行详细的分析与划分，并提出对应的措施，以保障对接应用系统的边界安全，有效保障应用系统的安全运行。3.边界接入评估对边界接入进行全面调研分析，对各种接入情况进行安全风险评估，与非信任网络间互访的安全管理，提出改进方案。边界接入评估，也能有效促进系统与其他系统的对接接口安全。4.访问控制情况调查评估在相关的网络隔离点，是否有恰当的访问控制规则设立，是否被有效的执行。5.接入/连接方式的安全性评估各个接入节点部分是否具备安全措施保障，是否被正确配置和执行。6.信任网络之间的安全性评估信任网络或者不信任网络之间是否有控制，控制本身带来的安全程度以与是否有可以绕过控制的

46、途径。7.网络架构管理评估网络体系架构是如何进行管理的，是否有良好的机制和制度保障网络架构本身不被改变，没有非法的不符合安全策略的架构改变。8.网络设备认证管理评估是否有集中的设备认证管理机制，是否被正确的配置和执行。9.网络的高可用性和可靠性评估网络建设中是否良好的考虑了网络的高可用性和可靠性问题，是否被正确使用和良好的配置，是否有机制保障不被修改。配置安全评估概述对网络与安全设备的配置进行检查，对IP地址分配是否正确、VLAN划分是否合理，路由协议、安全策略是否合理等多方面进行分析，网络配置是整个网络安全的基础。目标发现网络设备配置存在的不合理与安全性问题。过程描述1.路由协议评估分析所采

47、用的路由协议，是否存在配置漏洞，冗余路由配置情况，路由协议的信任关系问题。2.安全策略评估分析配置中是否采用安全相关配置，系统的安全策略是否存在，以与是否和业务系统相互吻合。3.协议选择评估对网络管理相关协议的分析整理；对业务应用相关协议的分析整理。XXX业务系统本身业务服务所采用的相关协议，以与由此而带来的相关的网络支撑设备。4.访问控制情况调查评估在相关的网络隔离点，是否有恰当的访问控制规则设立，是否被有效的执行。5.VLAN划分评估分析XXX网络中VLAN划分是否合理，相应设备上的VLAN配置是否正确，IP地址是否分配正确。6.安全配置均衡性分析安全配置本身是否具有不合理的配置或者弱点存

48、在。7.网络的高可用性和可靠性评估网络建设中是否良好的考虑了网络的高可用性和可靠性问题，是否被正确使用和良好的配置，是否有机制保障不被修改。设备漏洞扫描概述为了充分了解XXX当前网络存在的安全隐患，采用迪普综合漏洞评估扫描工具对XXX的网络进行全面扫描，检查其网络设备的弱点，识别被入侵者用来非法进入网络的漏洞。目标通过对XXX的网络设备的扫描，发现目前XXX网络设备存在的技术性安全漏洞。同时，也为安全加固工作提供依据。过程描述首先，确定扫描围，主要针对重要信息资产和抽样网段。然后提交扫描方案和扫描申请，明确扫描执行人员和时间安排。采用迪普综合漏洞评估扫描工具对网络进行全面扫描，检查其网络设备的

49、弱点，识别被入侵者用来非法进入网络的漏洞。评估方法资料收集现状资料收集是现状调研重要的信息来源。项目组向业务管理部门和信息系统的负责人收集了网络拓扑图、IP地址规划表、设备配置等资料，为全面评估XXX三套网络的安全状况提供了数据依据。现场访谈项目组对XXX三套网络的维护人员，进行了现场访谈。针对访谈对象在信息安全管理和执行信息安全控制中所扮演的角色，有重点的了解了信息安全管理现状与信息安全基础设施建设情况。通过现场访谈，项目组能够获取三套网络安全现状的第一手资料，并可验证之前收集到的资料，从而提高其准确度和完整性。现场勘查对用户网络进行现场检查，查找可能存在的安全隐患和漏洞，如物理机房安全评估

50、，安全意识标语检查等。调研问卷给用户单位员工下发信息安全调查问卷，根据员工填写的结果，了解用户网络安全意识、安全方针、安全培训、安全应急等情况。漏洞扫描漏洞扫描是指使用基于网络的安全弱点扫描工具，根据其置的漏洞测试方法、扫描策略，从网络中对扫描对象进行一系列的安全检查，从而发现可能存在的安全漏洞、安全隐患。使用漏洞扫描工具可以实现远程自动化扫描，降低安全评估的工作量，并能根据需求输出评估结果或者报表。在对三套网络进行安全评估时，我们采用我司自己的漏洞扫描系统，对网络设备、安全设备进行漏洞扫描，能够有效评估XXX三套的安全状况。综合分析综合分析，是指对上述所有方法获得的相关信息，以与发现被评估对

51、象所存在的安全缺陷和风险，进行综合分析。评估人员分析和整理通过上述过程中所收集的各项信息，查找系统与相关的评估对象之间的相互关联、相互配合中所存在的缺陷和安全风险，并与安全管理人员核实所收集的信息是否真实反映了网络的真实安全情况，核实有疑问的信息。实施步骤安全风险评估项目的流程，一般划分为5个阶段：项目计划-资料收集-现场评估-数据分析-评估报告，如下。现场评估数据分析评估报告明确评估范围和目标制定项目计划、计划讨论项目计划资产赋值、漏洞扫描控制台审计、安全访谈渗透测试、数据流分析弱点分析、威胁分析可能性分析、影响分析风险识别弱点评估报告风险评估报告安全修复建议资料收集资产调查表、网络拓扑安全

52、调研表、其他信息具体实施步骤如下：风险评估准备确定风险评估目标明确开展本次风险评估所期望获得的目标。确定风险评估围明确本次风险评估的具体围，避免后期不必要的工作的开展。组建项目实施团队组建风险评估实施团队，包括项目经理、实施工程师、质量监督人员在，实施团队提前准备好评估所需要的表格、文档、检测工具等各项准备工作。进行项目系统调研系统调研为风险评估依据和方法的选择、评估容的实施奠定基础，调研容包括：业务战略与管理制度主要的业务功能和要求网络结构与网络环境，包括部连接和外部连接系统边界主要的硬件、软件数据和信息其他制定风险评估方案指定风险评估方案，用于指导实施工作的开展，容包括（但不仅限于）：团队

53、组织：包括评估团队成员、组织结构、角色、责任等容工作计划：包括工作容，工作形式，工作成果等容项目进度：项目实施的时间进度安排资产识别资产分类资产被划分为不同的类别，在进行评估时可根据不同的资产分类使用不同的评估策略。依据资产的使用特点与部署方式，可将资产分为以下几个类别：主机设备包括各类服务器、工作站、PC机等。主要针对主机设备上安装的操作系统（如AIX、WINDOWS）、数据库系统（如ORACLE、DB2）、应用服务软件（如IIS、APACHE）与相关的配置信息进行评估。网络设备包括路由器、交换机、四层交换设备、拨号设备等各种网络设备。评估时主要对这些网络设备的配置、部署方式、拓扑结构等方面

54、进行分析。安全产品包括各种安全设备，如防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、安全审计系统、漏洞扫描系统、防病毒系统、安全隔离系统、防拒绝服务攻击设备、VPN等安全设备与产品。评估时主要分析安全设备的配置参数与自身的安全性。应用系统 包括组织的核心业务和办公系统，如业务管理系统、财务管理系统、办公自动化系统等。资产调研资产调查利用了资产调查表，包括资产名称、硬件型号、IP地址、操作系统与版本、应用程序与版本、部署位置、管理人员等信息。资产属性说 明资产名称记录该资产的名称用途描述描述该资产的主要功能与用途硬件型号资产的具体型号，如CISCO 6509IP地址资产的IP地址IP数

55、量该资产同时具备的IP地址数量操作系统与版本填写设备的OS或IOS版本号，如windows 2000 server应用程序与版本填写该资产上运行的应用程序，包括数据库和应用软件安装地点填写该资产所属的地理位置所属业务填写该资产所属的业务所属系统填写该资产所属的系统管理员填写该资产的管理员备注其他需说明的问题，例如是否采用双机热备资产赋值通过分析资产的各种属性，进而对资产进行安全价值分析。资产赋值是为资产与其支撑的业务系统从安全角度量化价值的行为。资产的价值可以从性、完整性、可用性等角度衡量。可参考的资产赋值方法，如下表所示。级别定义性( C )完整性( I )可用性( A )5属于绝密信息，完

56、全不允许泄漏，只有组织高层可以接触完全不允许出现变更，必须采用实时检测机制基本不允许中断，可靠性达到99.9999%4属于信息，不允许泄漏，组织中层以上可以接触不允许出现变更，应采用实时检测机制可短时间中断，可靠性达到99.99%3属于秘密信息，不允许泄漏，业务相关人员可以接触不允许出现变更，应采用检测机制中断时间小于1天，可靠性达到99.9%2属于部信息，组织部人员可以接触，可小围公开允许出现小围的不一致，并在短时间更正中断时间小于1天，可靠性达到99%1属于公开信息基本没有要求，不一致时可在一定时间更正对故障时间基本没有要求威胁识别威胁分类依据下表分类标准对威胁进行分类。种类威胁子类软硬件

57、故障设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障等物理环境影响断电、静电、灰尘、潮湿、温度、虫害、电磁干扰、火灾、地震等无作为或操作失误维护错误、操作失误等管理不到位管理制度和策略不完善、管理规程缺失、职责不明确等恶意代码病毒、木马、蠕虫、恶意软件等越权或滥用非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置等网络攻击网络探测和信息采集、漏洞探测、嗅探等物理攻击物理接触、物理破坏、盗窃等泄密部信息泄露、外部信息泄露等篡改篡改网络配置信息、篡改系统配置信息等抵赖原发抵赖、接受抵赖、第三方抵赖等威胁赋值根据经验或有关统计来判断威胁出现的频率，

58、从以下三个方面来考虑：以往安全事件报告中出现过的威胁与其频率的统计；实际环境过检测工具以与各种日志发现的威胁与其频率的统计；近一两年来国际组织发布的对于整个社会或特定行业的威胁与其频率统计，以与发布的威胁预警。对威胁出现的频率进行等级量化处理，不同等级分别代表威胁出现的频率高低，等级数值越大，威胁出现的频率越高。等级标识定义5很高出现频率很高，或在大多数情况下几乎不可避免；或可证实经常发生过4高出现频率较高，或在大多数情况下很有可能发生，或可以证实多次发生过3中等出现的频率中等，或在某种情况下可能会发生，或被正式曾经发生过2低出现的频率较小，或一般不太可能发生；或没有被证实发生过1很低威胁几乎

59、不可能发生脆弱性识别脆弱性识别类型识别对象识别容技术脆弱性物理环境从机房场地、防火、配电、防静电、电磁防护等方面识别网络结构从网络结构设计、边界防护、外部访问控制策略、部访问控制策略、网络设备安全配置等方便识别系统软件从补丁安装、物理保护、用户账户、口令策略、资源共享、事件审计、访问控制等方面识别应用中间件从协议安全、交易完整性、数据完整性等方面识别应用系统从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问空知、系统开发与维护、业务连续性等方面进行识别组织管理从策略安全、组织安全、资产分类与控制、人员安

60、全、符合性等方面进行识别脆弱性赋值等级标识定义5很高如果被威胁利用，将对资产造成完全损害4高如果被威胁利用，将对资产造成重大损害3中等如果被威胁利用，将对资产造成一般损害2低如果被威胁利用，将对资产造成较小损害1很低如果被威胁利用，将对资产造成的损害可以忽略已有安全措施确认对已有的安全措施进行确认，包括预防性安全措施与保护性安全措施。风险分析我司的风险定义与风险分类方法主要参考ISO 17799：2005，个别分类的名称进行了调整，风险级别定义标准参考ISO 13335，风险计算矩阵参考AS/NZS 4360：2004。根据ISO 13335的定义，风险指的是特定威胁利用某一资产或一组资产的脆