等保测评方案Word文档下载推荐.docx

等保测评方案Word文档下载推荐.docx

《等保测评方案Word文档下载推荐.docx》由会员分享，可在线阅读，更多相关《等保测评方案Word文档下载推荐.docx（37页珍藏版）》请在冰豆网上搜索。

测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。

经济性和可重用性原则

基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。

所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映目前系统的安全状态。

可重复性和可再现性原则无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。

可再现性体现在不同测评者执行相同测评的结果的一致性。

可重复性体现在同一测评者重复执行相同测评的结果的一致性。

符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。

测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。

1.5测评风险

等级测评实施过程中，被测系统可能面临以下风险。

验证测试影响系统正常运行在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。

工具测试影响系统正常运行在现场测评时，会使用一些技术测试工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。

测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。

敏感信息泄漏泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。

2.被测系统描述

2.1被测系统定级情况

1

系统名称

湖南省电子产品检测分析所门户网站信息系统

主管机构

湖南省电子产品检测分析所

系统承载业务情况

业务类型

1生产作业2指挥调度3管理控制

4内部办公5公众服务

9其他

业务描述

信息集成门户，包括信息发布、工作平台综合管理等功能实现

系统服务情况

服务范围

10全国11跨省（区、市）跨个

20全省（区、市）21跨地（市、区）跨个

30地（市、区）内

99其它

服务对象

1单位内部人员2社会公众人员3两者均包括

系统网络平台

覆盖范围

1局域网2城域网3广域网

网络性质

1业务专网2互联网

9其它

系统互联情况

1与其他行业系统连接2与本行业其他单位系统连接

3与本单位其他系统连接

9其它未与单位其它业务系统互联

业务信息安全保护等级

二级

系统服务安全保护等级

信息系统安全保护等级

2.2网络结构

湖南省电子产品检测分析所考勤管理信息系统采用星型结构，使用天融信防火墙做为区域安全隔离防护过滤设备。

区域分为DMZ区，内部局域网，IDC服务器群、外联单位、账务系统网络专区共5个区域，服务器群连接在两台冗余的IDCH3C7506E上，通过IDC天融信防火墙安全连接到其他区域，并连接着IDS提供安全检测；

各电厂通过两台H3CSR8808路由器冗余接入局域网；

外联单位通过CISCO3640和天融信防火墙连接到局域网交换H3C7506E；

外网需要经过入侵防御、两级天融信防火墙、网康流量控制网关、上网行为管理设备、局域网交换H3C7506E、服务器专区防火墙防御访问系统服务器；

所有区域与区域之间界限分明，部署合理，确保了网络的稳定性、安全性与可靠性。

具体网络拓扑结构图如下：

2.3系统构成

业务应用软件构成如下表

序号

软件名称

主要功能

重要程度

门户网站信息系统

门户网站

重要

2

Tomcat

中间件

3

Sqlserver

考勤数据库

关键数据类别如下表

数据类别

所属业务应用

主机/存储设备

业务数据

IBMHS21

主机/存储设备如下表

设备名称

操作系统/数据库管理系统

业务应用软件

应用服务器

Windowsserver2003

数据库服务器

Windowsserver2003/sqlserver

网络互联设备如下表

用途

型号/ip

DW6509

核心交换机

cisco6509

Ip：

10.48.0.1

DW37501-DW37505

1-5楼接入交换机接入交换机

cisco3750

Ip:

10.152.2.201-205

DW4006

对外服务区交换机

CISCO4006ip：

10.152.2.252

4

DW3600（internet）

外部接入路由器

cisco3600

16.168.194.54

5

DW3640

交换机

cisco-3640

10.48.5.1

6

网康流量控制设备

Internet出口流量控制

-

安全设备如下表

型号

IDS

入侵检测设备

启明星辰

IP：

网康上网行为管理

上网行为审计管

理

DW208DW

DW208FW防火墙，

型号：

NetScreen

系统内外隔离

208

10.48.8.22

DW208FW防火墙2

局域网防火墙

10.49.8.22

启明星辰入侵检测

设备

安全相关人员如下表

姓名

岗位/角色

联系方式

陈俊

信息安全主管

--

邹海亮

机房管理员

于国际

网络管理员

孙敏

操作系统管理员

何伟明

数据库管理员

资产管理员

7

吴英杰

应用系统管理员

安全管理文档如下表

文档名称

湖南省电子产品检测分析所信

息网络系统安全管理规定

关于湖南省电子产品检测分析所信

息网络系统安全管理的相关说明

湖南省电子产品检测分析所网

站管理办法

关于湖南省电子产品检测分析所网

站管理的相关说明

湖南省电子产品检测分析所计算机信息系统安全和保密管理办法

关于湖南省电子产品检测分析所计算机信息系统安全和保密管理的相关说明

湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理办法

关于湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理的相关说明

信息安全风险评估管理工作标

准

关于信息安全风险评估管理工作标

信息中心机房管理工作标准

关于信息中心机房管理工作标准

IP地址管理工作标准

关于IP地址管理工作标准

8

第三方人员管理工作标准

关于第三方人员管理工作标准

9

防病毒紧急响应管理工作标准

关于防病毒紧急响应管理工作标准

10

信息系统运行管理工作标准

关于信息系统运行管理工作标准

11

数据网络管理工作标准

关于数据网络管理工作标准

12

通信运行维护管理工作标准

关于通信运行维护管理工作标准

13

信息通信设备巡检管理工作标

关于信息通信设备巡检管理工作标

14

信息通信标准站管理工作标准

关于信息通信标准站管理工作标准

15

信息化项目管理办法

关于信息化项目管理的相关说明

16

信息机房建设技术规范

关于信息机房建设技术规范

17

信息机房运行管理规定

关于信息机房运行管理的相关说明

18

重要应用与数据灾难备份系统

建设导则

关于重要应用与数据灾难备份系统

19

实施指南

20

湖南省电子产品检测分析所计算机信息系统安全和保密管理办法（试行）

21

湖南省电子产品检测分析所涉

密计算机上网管理规定

关于湖南省电子产品检测分析所涉

密计算机上网管理的相关说明

22

信息通信管理手册

关于信息通信管理手册

23

调峰调频在用技术标准（信息部分）

关于调峰调频在用信息部分技术标

24

调峰调频在用技术标准（通信部分）

关于调峰调频在用通信部分技术标

25

湖南省电子产品检测分析所办

公自动化系统应急预案

关于湖南省电子产品检测分析所办

公自动化系统应急预案的相关说明

26

调频发电公司网站管理办法（试行）

关于调频发电公司网站管理的相关

说明

3.测评对象与指标

3.1测评指标

测评指标包括基本指标和特殊指标两项

3.1.1基本指标

被测系统的定级结果为：

安全保护等级为2级，业务信息安全等级为S2，系统服务安全等级为A2；

则该系统的测评指标应包括GB/T22239-200“8技术要求”中的2级通用指标类（G2），3级业务信息安全指标类（S2），2级系统服务安全指标类（A2），以及第2级“管理要求”中的所有指标类。

本次测评的测评

指标情况具体如下表所示

测评指标

技术/管理

层面

类数量

S类（2级）

A类（2级）

G类（2级）

小计

安全技术

物理安全

网络安全

主机安全

应用安全

数据安全

安全管理

安全管理制度

安全管理机构

人员安全管理

系统建设管理

系统运维管理

合计

66

3.1.2特殊指标

根据系统等级保护定级情况及办公业务平台环境，此次测评主要依据等级保护基本要求，不再增加特殊指标

3.2测评对象

测评对象是等级测评的直接工作对象，也是在被测系统中实现特定测评指标所对应的安全功能的具体系统组件，因此，选择测评对象是编制测评方案的必要步骤，也是整个测评工作的重要环节。

恰当选择测评对象的种类和数量是整个等级测评工作能够获取足够证据、了解到被测系统的真实安全保护状况的重要保证。

测评对象的确定一般采用抽查的方法，即：

抽查信息系统中具有代表性的组件作为测评对象。

并且，在测评对象确定任务中应兼顾工作投入与结果产出两者的平衡关系。

3.2.1对象确定原则

在确定测评对象时，需遵循以下原则：

1．恰当性，选择的设备、软件系统等应能满足相应等级的测评强度要求；

2．重要性，应抽查对被测系统来说重要的服务器、数据库和网络设备等；

3．安全性，应抽查对外暴露的网络边界；

4．共享性，应抽查共享设备和数据交换平台/设备；

5．代表性，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统类型。

3.2.2测评对象确定

根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，确定出本次测评的测评对象。

1、物理方面主要是测评屏蔽机房和主机房；

2、网络方面主要测评的设备有：

路由器、交换机、防火墙、IDS、外联检测、

防病毒等。

详细如下表：

功能区域

抽查说明

外联区

DW3600

（internet）

查一台

对外服务器区

对外服务区交换

机

接入区

1-5楼交换机

接入交换机

3、主机方面主要测评的主机服务器（包括数据库服务器）如下表所示

设备信息

应用系统服务器

存储考勤数据

数据与应用系

统部署服务器

IBMPC服务器

查看一台

4、应用方面主要测评的应用系统如下表：

系统描述

考勤业务系统

主要完成对本单

抽查

位员工考勤等业

务

5、安全管理，主要测评对象为与信息安全管理有关的策略、制度、操作规程、运行记录、管理人员、技术人员和相关设备设施等。

4.测评方法及工具

4.1测评方法

本次测评方法分为现场测评方法与风险分析方法。

现场测评一般包括访谈、文档审查、配置检查、工具测试和实地察看五个方面。

访谈测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。

在访谈范围上，不同等级信息系统在测评时有不同的要求，基本覆盖所有的安全相关人员类型，在数量上进行抽样。

具体参照GB/TDDDD-DDDD中的二级要求进行。

文档审查检查《基本要求》中二级规定的必须具有的制度、策略、操作规程等文档是否齐备；

检查是否有完整的制度执行情况记录，如机房出入登记记录、电子记录、高等级系统的关键设备的使用登记记录等。

检查上述文文档之间是否保持一致性，要求有执行过程记录的，过程记录文档的记录内容应与相应的管理制度和文档保持一致，与实际情况保持一致。

配置检查

根据测评结果记录表格内容，利用上机验证的方式检查应用系统、主机系统、数据库系统以及网络设备的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等）；

如果系统在输入无效命令时不能完成其功能，将要对其进行错误测试；

针对网络连接，应对连接规则进行验证。

本次测评配置检查的强度是：

满足《基本要求》中的二级要求，测评其实施

的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性。

工具测试根据测评指导书，利用技术工具针对主机、服务器、关键网络设备、安全设备等设备进行包括基于网络探测和基于主机审计的漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等。

实地查看

根据被测系统的实际情况，测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评是否达到了相应等级的安全要求。

风险分析方法是依据安全事件可能性和安全事件后果对信息系统面临的风险进行分析，分析过程包括：

1）判断信息系统安全保护能力缺失（等级测评结果中的部分符合项和不符合项）被威胁利用导致安全事件发生的可能性，可能性的取值范围为高、中和低；

2）判断安全事件对信息系统业务信息安全和系统服务安全造成的影响程度，影响程度取值范围为高、中和低；

3）综合1）和2）的结果对信息系统面临的风险进行汇总和分等级，风险等级的取值范围为高、中和低；

4）结合信息系统的安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。

4.2测评工具

本次测评涉及的工具有漏洞扫描工具、渗透测评工具集等，主要列表如下：

序

号

名称

功能描述

绿盟远程安全

评估系统

可扫描各类操作系统、网络设备和应用系统和数据库的漏洞

RSASV5.0

网络、主机、操

作系统和数据库漏洞扫描

启明星辰天镜

Web应用漏洞扫描系统

能够扫描WEB网页的漏洞，包括不安全的数据传输、SQL注入、跨站脚本等安全风险，并提供有关风险的解决方案。

CSWS-DZ

WEB漏洞扫描

APPSCAN

7.1

Wireshark

网络嗅探工具

Wireshark1.8.1

网络传输数据

分析

防病毒软件

病毒检查

360杀毒

绿盟配置核查

系统

网络设备、主机、数

据库的安全配置检查

NSFOCUSBVS

V5.0

网络设备、主机、数据库的安全配置检查

4.3工具接入点

本次测评的信息系统为2级信息系统，根据2级信息系统的测评强度要求，在测试的广度上，应基本覆盖不同类型的机制，在数量、范围上可以抽样；

在测试的深度上，应执行功能测试和渗透测试，功能测试可能涉及机制的功能规范、高级设计和操作规程等文档，渗透测试可能涉及机制的所有可用文档，并试图智取进入信息系统等。

针对被测系统的网络边界和测评设备、主机和业务应用系统的情况，需要在被测系统及其互联网络中设置6个测试工具接入点――接入点AM到DM，如图7所示，“接入点”标注表示进行工具测试时，需要从该接入点接入，对应的箭头路线表示工具测试数据的主要流向示意。

5.现场测评实施内容

本次测评的单项测评从技术上的物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面和管理上的安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面分别进行。

5.1物理安全

物理安全测评将通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况。

主要涉及对象为屏蔽机房和主机房。

在内容上，物理安全层面测评实施过程涉及10个测评单元，具体如下表所示：

测评内容描述

物理位置

通过访谈物理安全负责人、检查机房等过程，测评机房等信息系统物理场所

的选择

在位置上是否具有有防震、防风和防雨等安全防范能力

物理访问

通过访谈物理安全负责人，检查机房入口、机房分区域情况等过程，测评信

控制

息系统

防盗窃和

通过访谈物理安全负责人、机房维护人员、资产管理员，检查关键设备、线

防破坏

缆、机房防盗报警、介质防盗窃和防破坏情况

防雷击

通过访谈物理机房负责人，检查机房建筑，测评无极防雷情况

防火

通过访谈物理安全负责人，检查机房等过程，测评物理机房的防火情况

防水和防

通过访谈物理安全负责人、机房维护人员，