安全評估及滲透測試-

市場需求
參考标準
評估内容
交付産物(wù)
适用群體(tǐ)
客戶收益

市場需求

在信息系統上線階段，由于部分(fēn)機構僅注重系統功能和性能測試，對安全方面沒有進行安全評估測試，導緻信息系統帶着安全風險上線部署運行，給後期運維和機構業務開(kāi)展帶來風險。因此，目前國内重要行業、重要企業和機構的信息系統上線時，有關監管機構以及企業内的IT部門，都要求進行上線前的安全評估，通過後才能部署運行。

在信息系統運行階段，各類機構中(zhōng)也存在着大(dà)量信息系統及其賴以運行的基礎網絡、處理的數據和信息，由于其可能存在的技術漏洞和脆弱性，以及信息安全管理中(zhōng)潛在的薄弱環節，從而導緻不同程度的信息安全風險。引起機構業務風險和聲譽的降低。因此，機構需要定期進行信息安全風險評估，并及時開(kāi)展風險處置。

安全評估是信息系統安全的基礎性工(gōng)作。它是傳統的風險理論和方法在信息系統中(zhōng)的運用，能夠科學地分(fēn)析和理解信息與信息系統在保密性、完整性、可用性等方面所面臨的風險，并在風險的減少、轉移和規避等風險控制方法之間做出決策的過程。

安全評估将導出信息系統的安全需求。持續的安全評估工(gōng)作成爲檢查信息系統本身安全保密狀況的有力手段，并通過行政手段對信息系統産生(shēng)積極影響，促進企業加強信息安全建設。

參考标準

《信息安全技術信息安全風險評估方法》

GB/T 31509-2015《信息安全技術信息安全風險評估實施指南(nán)》

評估内容

分(fēn)析準備階段
确定項目評估範圍，調研客戶管理制度、主要業務系統和業務系統功能、網絡結構與網絡環境。
現狀評估階段
通過信息系統資(zī)産識别，調研已有安全措施，确立組織的安全策略等活動，對信息系統進行詳細的全面摸底，并完成信息資(zī)産列表和資(zī)産價值賦值。
威脅評估
從物(wù)理、網絡、主機、數據、應用五個層面分(fēn)析信息資(zī)産可能面臨的威脅及手段，評估威脅産生(shēng)的範圍和影響力，并進行賦值分(fēn)析和列表。
脆弱性評估
面向信息資(zī)産，采用諸如安全訪談與檢查、系統漏洞掃描、WEB漏洞掃描、系統安全配置參數核查等多種脆弱性發現技術，充分(fēn)發現信息系統的技術弱點、行爲弱點和管理弱點，并進行專家解讀和賦值，形成信息資(zī)産脆弱性清單和脆弱性賦值。
風險分(fēn)析階段
通過量化信息資(zī)産價值、脆弱性和威脅，采用标準風險度量計算方法計算風險，并根據風險量化值分(fēn)級排序，獲得信息系統風險等級清單，進行信息安全風險象限分(fēn)析。
風險處置階段
在充分(fēn)認知(zhī)和度量信息系統風險的基礎上，結合經驗分(fēn)析，形成權威的安全評估報告，并對信息系統的風險處置給出專家意見。

交付産物(wù)

《信息系統資(zī)産賦值表》《信息資(zī)産威脅列表》《信息資(zī)産脆弱性列表》《漏洞掃描分(fēn)析報告》《滲透測試分(fēn)析報告》《信息安全風險評估報告》《信息安全風險處置計劃》

适用群體(tǐ)

新建信息系統上線時，需了解安全狀态是否符合預期；
需要第三方評估報告證明自身安全建設有效性；
需要對信息系統安全水平進行專家診斷，識别梳理信息資(zī)産、了解安全現狀和風險、與主流通用标準、先進安全技術是否具有差距性、獲得安全風險規避措施建議。

客戶收益

信息系統安全防護獲得專家級診斷，充分(fēn)認知(zhī)信息安全現狀
全面梳理和摸底信息資(zī)産，得到詳細信息資(zī)産列表、重要程度評價和賦值
掌握信息安全面臨威脅、存在的脆弱性和風險
獲得信息安全風險處置建議
獲得權威第三方公平、公證的信息系統安全評估報告

市場需求
評估内容
用戶收益

市場需求

目前，大(dà)部分(fēn)的機構都針對信息安全采取了防護措施，但是這些措施到底是否真實有效，機構中(zhōng)的信息安全工(gōng)作人員(yuán)很難做出正确評估，迫切需要通過滲透測試，獨立檢測機構中(zhōng)信息安全策略的正确性和信息系統及基礎環境的風險，幫助用戶對目前機構中(zhōng)的網絡、系統、應用的缺陷有相對直觀的認識和了解，并提供有價值的測試報告，提供給管理層評估。

評估内容

滲透測試需要服務人員(yuán)盡可能完整的模拟黑客使用的漏洞發現技術和攻擊手段，從攻擊者的角度對目标網絡、系統、主機應用的安全性作爲深入的非破壞性的探測，發現系統最脆弱的環節。滲透測試能夠以非常明顯、直觀的結果反映出系統的安全現狀，其目的是能夠讓管理人員(yuán)直觀的了解自己網絡和系統所面臨的問題。

網絡方面
針對該系統所在網絡層進行網絡拓撲的探測、路由測試、防火(huǒ)牆規則試探、規避測試、入侵檢測規則試探、規避測試、無線網安全、不同網段Vlan之間的滲透、端口掃描等存在漏洞的發現和通過漏洞利用來驗證此種威脅可能帶來的損失或後果，并提供避免或防範此類威脅、風險或漏洞的具體(tǐ)改進或加固措施。
了解更多
系統方面
通過采用适當的測試手段，發現測試目标在系統識别、服務識别、身份認證、數據庫接口模塊、系統漏洞檢測以及驗證等方面存在的安全隐患，并給出該種隐患可能帶來的損失或後果，并提供避免或防範此類威脅、風險或漏洞的具體(tǐ)改進或加固措施。
了解更多
應用方面
通過采用适當測試手段，發現測試目标在系統認證及授權、代碼審查、被信任系統的測試、文件接口模塊、應急流程測試、信息安全、報警響應等方面存在的安全漏洞,演示再現利用該漏洞可能造成的客戶資(zī)金損失，提供避免或防範此類威脅、風險或漏洞的具體(tǐ)改進或加固措施。
了解更多
實施準備
1、滲透測試方案及計劃;
2、滲透測試方案的風險規避。
信息搜集
1、域名及IP分(fēn)布;
2、網絡拓撲、設備及操作系統;
3、端口及服務;
4、應用系統情況;
5、最新漏洞情況;
6、其他信息。
滲透實施
1、獲取目标系統權限;
2、利用漏洞或後門木馬植入，獲取控制;
3、跳闆滲透，進一(yī)步擴展攻擊成果;
4、獲取敏感信息數據和資(zī)源。