最新网络安全防护检查报告模板.docx
- 文档编号:25603945
- 上传时间:2023-06-10
- 格式:DOCX
- 页数:50
- 大小:726.84KB
最新网络安全防护检查报告模板.docx
《最新网络安全防护检查报告模板.docx》由会员分享,可在线阅读,更多相关《最新网络安全防护检查报告模板.docx(50页珍藏版)》请在冰豆网上搜索。
最新网络安全防护检查报告模板
编号:
网络安全防护检查报告
数据中心
测评单位:
报告日期:
所依据的标准和规范有:
Ø《YD/T2584-2021互联网数据中心IDC安全防护要求》
Ø《YD/T2585-2021互联网数据中心IDC安全防护检测要求》
Ø《YD/T2669—2021第三方安全服务能力评定准则》
Ø《网络和系统安全防护检查评分方法》
Ø《2021年度通信网络安全防护符合性评测表-互联网数据中心IDC》
还参考标准
ØYD/T1754-2021《电信和互联网物理环境安全等级保护要求》
ØYD/T1755—2021《电信和互联网物理环境安全等级保护检测要求》
ØYD/T1756—2021《电信和互联网管理安全等级保护要求》
ØGB/T20274信息系统安全保障评估框架
ØGB/T20984—2007《信息安全风险评估规范》
第1章系统概况
IDC由负责管理和维护,其中各室配备了数名工程师,负责IDC设备硬、软件维护,数据制作,故障处理、信息安全保障、机房环境动力设备和空调设备维护.
1.1网络结构
图21:
IDC网络拓扑图
1.2管理制度
1.组织架构
2.
信息安全工作组
网络安全工作组
具体职能部门
网络与信息安全工作小组
图23:
IDC信息安全管理机构
3.岗位权责分工
现有的管理制度、规范及工作表单有:
●《IDC机房信息安全管理制度规范》
●《IDC机房管理办法》
●《IDC灾难备份与恢复管理办法》
●《网络安全防护演练与总结》
●《集团客户业务故障处理管理程序》
●《互联网与基础数据网通信保障应急预案》
●《IDC网络应急预案》
●《关于调整公司跨部门组织机构及有关领导的通知》
●《网络信息安全考核管理办法》
●《通信网络运行维护规程公共分册—数据备份制度》
●《省分公司转职信息安全人员职责》
●《通信网络运行维护规程IP网设备篇》
●《城域网BAS、SR设备配置规范》
●《IP地址管理办法》
●《互联网网络安全应急预案处理细则》
●《互联网网络安全应急预案处理预案(2021修订版)》
第2章评测方法和工具
2.1测试方式
●检查
通过对测试对象进行观察、查验、分析等活动,获取证据以证明保护措施是否有效的一种方法。
●测试
通过对测试对象按照预定的方法/工具使其产生特定的响应等活动,查看、分析测试对象的响应输出结果,获取证据以证明保护措施是否有效的一种方法。
2.2测试工具
主要使用到的测试工具有:
扫描工具、渗透测试工具、抓包工具、漏洞利用验证工具等。
具体描述如下表:
表31:
测试工具
序号
工具名称
工具描述
1
绿盟漏洞扫描系统
脆弱性扫描
2
科莱网络协议分析工具
脆弱性扫描
3
Nmap
端口扫描
4
BurpSuite
WEB渗透集成工具
2.3评分方法
分为符合性检测和风险评估两部分工作。
网络单元安全防护检测评分=符合性评测得分×60%+风险评估得分×40%.其中符合性评测评分和风险评估评分均采用百分制。
2.3.1符合性评测评分方法
符合性评测评分依据网络单元符合性评测表中所列制度、措施的符合情况计分,其中每个评测项对应分值,由100分除以符合性评测表中评测项总数所得。
2.3.2风险评估评分方法
网络单元风险评估首先基于技术检测中发现的安全隐患的数量、位置、危害程度进行一次扣分;然后依据发现的安全隐患是否可被技术检测单位利用进行二次扣分。
风险评估评分流程具体如下。
1、一次扣分
在技术检测时,每发现一个安全隐患,根据其所处的位置及危害程度扣除相应分值。
各类安全隐患的扣分值如表3—2所示。
表3—2风险评估安全隐患扣分表
安全隐患类型
重要设备【注1】
其它设备
高危漏洞【注2】
中危漏洞【注2】
弱口令
其它安全隐患【注3】
[注1]:
重要设备包括内外网隔离设备、内部安全域划分设备、互联网直联设备、网络业务核心设备。
[注2]:
中高危漏洞以国内外权威的CVE漏洞库和国家互联网应急中心CNVD漏洞库为基本判断依据;对于高危Web安全隐患,以国际上公认的开放式Web应用程序安全项目(OWASP,OpenWebApplicationSecurityProject)确定最新的Top10中所列的WEB安全隐患判断作为判断依据。
[注3]:
其它安全隐患指可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络安全事件的隐患.
2、二次扣分
在一次扣分剩余得分的基础上,依据网络单元是否已被攻击入侵或发现的安全隐患是否可被技术检测单位利用,进行二次扣分.具体扣分步骤如下:
如通过技术检测,发现网络单元中存在恶意代码,或已被入侵而企业尚未发现并处置,扣除一次扣分后剩余得分的40%.
如通过技术检测,从网络单元外获取网络单元内设备的管理员权限或获取网络单元内数据库信息,扣除一次扣分后剩余得分的40%。
如通过技术检测,从网络单元内获取设备的管理员权限或获取数据库信息,扣除一次扣分后剩余得分的20%。
最后剩余分数即为风险评估得分.
第3章测试内容
3.1测试内容概述
分为符合性评测和安全风险评估两部分,符合性评测具体内容为:
业务安全、网络安全、主机安全、中间件安全、安全域边界安全、集中运维安全管控系统安全、灾难备份及恢复、管理安全、第三方服务安全状况。
安全风险评估主要通过技术检测发现网络单元内是否存在中高危安全漏洞、弱口令,以及可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络安全事件的隐患,检测是否存在恶意代码或企业尚未知晓的入侵痕迹,检测是否可以获取设备的管理员权限、数据库等.
表41:
网络架构测试对象
序号
测试对象
描述
1
IDC
检测系统网络架构的合理性
表42:
IDC网络设备列表
设备名称
型号
IP地址
核心路由器
表43:
IDC网管系统主机列表
主机名称
型号
IP地址
系统软件
用途
数据库服务器
Windows2003
数据库服务器
应用服务器
Windows2003
应用服务器
通讯服务器
Windows2003
通讯服务器
流量服务器
Windows2003
流量服务器
业务/门户管理服务器
Windows2003
业务/门户管理服务器
表44:
IDC网管系统列表
系统名称
主要功能
IDC综合运营管理系统
3.2扫描和渗透测试接入点
选择从互联网和内网区域的测试点模拟外部用户与内部托管用户进行渗透测试,并从互联网、托管用户区的测试点进行漏洞扫描。
3.3通信网络安全管理审核
该测试范围涉及IDC安全管理审核,主要内容包括:
安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理、灾难备份、应急预案等相关制度管理文档。
第4章符合性评测结果
本次符合性评分主要依据网络单元符合性评测表的符合情况得分,其中每个评测项对应分值,由100分除以符合性评测表中评测项总数所得。
本次对IDC系统符合性检测项数为89项,单项分值为(100/89)1.12分。
4.1业务安全
序号
检查内容
检查点
评测
结果
分值
实际
扣分
说明
1
应按照合同保证IDC用户业务的安全;
是否按照合同要求保证IDC用户业务安全
符合
1。
12
0
与用户签署相关协议,合同中对网络安全及业务安全进行相关描述和约定。
但目前客户没有提出过单独的业务安全要求
4.2网络安全
序号
检查内容
检查点
评测
结果
分值
实际
扣分
说明
5
审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息.
审计记录是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
符合
1。
12
0
IDC内网络设备syslog审计日志存储在本机中,日志记录信息包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
4.3主机安全
序号
评测内容
评测项
评测
结果
分值
实际扣分
说明
1
应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
是否对登录操作系统和数据库系统的用户进行身份标识和鉴别
符合
1。
12
0
操作系统和数据库系统自身实现对用户的身份标识和鉴别功能
4.4中间件安全
序号
检查内容
检查点
评测
结果
分值
实际
扣分
说明
1
”应实现操作系统和中间件用户的权限分离,中间件应使用独立用户;应实现中间件用户和互联网数据中心IDC应用程序用户的权限分离"
是否实现操作系统和中间件用户的权限分离,中间件是否使用独立用户
不适用
N/A
N/A
网管系统使用CS架构,无中间件
4.5安全域边界安全
序号
检查内容
检查点
评测
结果
分值
实际
扣分
说明
6
启用其它设备(主机隔离等)进行安全边界划分、隔离的应尽量实现严格的访问控制策略
查看配置并技术检测验证访问控制措施
符合
1。
12
0
使用交换机ACL规则进行访问控制
4.6集中运维安全管控系统安全
序号
评测内容
评测项
评测
结果
分值
实际扣分
说明
1
互联网数据中心(IDC)集中运维安全管控系统应与提供互联网数据中心(IDC)各种服务的互联网数据中心(IDC)基础设施隔离,应部署在不同网络区域,网络边界处设备应按不同互联网数据中心(IDC)业务需求实施访问控制策略,应只开放管理所必须的服务及端口,避免开放较大的IP地址段及服务;
通过技术测试检验IDC集中运维安全管控系统与IDC基础设施的网络隔离是否符合安全策略
符合
1。
12
0
使用独立网络区域,在E8080E上进行访问控制策略,不允许其他网络对网管区域进行访问
4.7灾难备份及恢复
序号
评测内容
评测项
评测
结果
分值
实际扣分
说明
2
互联网数据中心IDC网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案的相关要求。
互联网数据中心IDC网络灾难演练恢复时间是否满足行业管理和企业应急预案的相关要求
符合
1.12
0
定期进行各项演练,按客户重要程度不同在一定时间内恢复,满足要求
4.8管理安全
序号
评测内容
评测项
评测
结果
分值
实际扣分
说明
1
至少覆盖但不限于安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等管理方面;
是否包含至少安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等内容
符合
1.12
0
制定了相应管理制度,包含安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等内容
4
IDC应有介质存取、验证和转储管理制度,确保备份数据授权
IDC是否有介质存取、验证和转储管理制度,确保备份数据授权
符合
1。
12
0
制定了《IDC灾难备份与恢复管理办法》规定了相应内容
4.9第三方服务安全
序号
评测内容
评测项
评测
结果
分值
实际扣分
说明
1
应确保安全服务商的选择符合国家的有关规定;
是否将通过中国通信企业协会通信网络安全服务能力评定列为外部安全服务提供商招标条件之一
符合
1。
12
0
由提供风险评估的第三方服务,符合相应要求。
第5章风险评估结果
本次章节评分主要依据《网络和系统安全防护检查评分方法》,对技术检测中发现的安全隐患的数量、位置、危害程度进行扣分。
5.1存在的安全隐患
1.网管系统监控终端192.168存在的主机弱口令,可直接登录系统
网管系统监控终端192.168存在的主机弱口令PC/000,可直接登录系统获取系统权限导致服务器受控,详见附录B。
危害程度:
弱口令
所处位置:
其他设备
扣分:
1分
建议:
提示用户修改初始口令,口令应具有一定复杂度。
第6章综合评分
6.1符合性得分
本次测试对IDC系统进行符合项检测,共检测89项,每项分值为1.12(100/89),其中项不符合要求,符合性得分为分。
6.2风险评估
本次主要通过系统\应用层扫描、手工核查、内外网渗透对IDC系统进行安全风险评估,共发现2个安全隐患:
第一次扣分情况如下:
100—5=95分
安全隐患利用第二次扣分:
通过技术检测,从网络单元内获取服务器192。
168。
2.11的管理员权限,导致服务器受控,扣除一次扣分后剩余得分的20%。
6.3综合得分
对IDC系统的68项符合性评测和存在的安全隐患进行评估,IDC系统网络单元安全防护检测评分为:
附录A设备扫描记录
表A-1信息汇总表
IP地址
操作系统
漏洞风险值
配置风险值
总风险值
危险程度
192.168。
2.12
Windows
2
无
2
非常安全
Windows
2
无
2
非常安全
192。
168。
2.11
Windows
2
无
2
非常安全
山西大学学生对计算机安全的认识程度的调查
亲爱的同学:
您好!
首先谢谢您配合我们做此次的调查,此调查目的在于通过对用户网络行为的调查,了解和分析山西大学学生对计算机安全的认识和重视程度,我们承诺此调查只做学术研究,一定严格保护被访者隐私.希望能够得到您的协助,
得到较为准确的数据.填写问卷时请您在相应的选项中用黄色笔标出,如下例所示,再次感谢您的合作!
例:
1。
1您是否自己拥有电脑?
a是b否
12您的电脑是否联网?
a是b否
1.用户网络行为
1。
1您是否自己拥有电脑?
a是b否
12您的电脑是否联网?
a是b否
1.3您使用的网速?
a很快b一般c慢d很慢
1。
4您的网络服务费用-——-—元/小时?
a很贵b合理c便宜d
1.5您的网络应用主要:
a学习b娱乐c购物d社交e其他
1.6网络学习的每周时间小时数?
a5小时以下b5~10小时c10~15小时d15小时以上
1。
7纯粹娱乐每周时间(看电影,视频,打游戏)?
a5小时以下b5~10小时c10~15小时d15小时以上
1.8是否购买虚拟货币(如游戏币)?
a是b否
1。
9网络购物每年次数?
a0b5次一下c5~10次d10次以上
1.10支付方式?
a网上银行b货到付款c支付宝d邮局汇款e其他
1.11网络交友沟通软件在线(或隐身)每周时间小时?
a5小时以下b5~10小时c10~15小时d15小时以上
1。
12您的主要网络应用场所:
a私人电脑;b同学电脑c学校实验室电脑;d公用网吧
1.13您的网络支付的安全保护措施?
a登录密码b支付密码c网银证书d银行口令卡或U盾e其他
2.用户对计算机安全的认识重视程度.
2.1您是否遇到过网络安全问题?
(a有b没有)?
2.2如果有,次数在____之间?
a三次以下b3~7次c7~10次d10次以上
2。
3遇到过哪种主要的网络安全问题:
a出现病毒感染特征;
b需要杀毒软件处理;
c系统变慢在适当时间重装系统;
d系统立刻崩溃无硬件损坏重装系统;
eU盘文件丢失(无法恢复,通过专业人员帮助恢复);
f游戏账号密码丢失;
g网上支付账号密码出现问题;
h不属于上面任一种,添加问题
2。
4您对安装网络安全软件是否必要的看法
a非常必要b必要c不太必要d没必要
否定的原因:
a没有遇到过问题
b不想承担费用
c怕寻找免费软件麻烦
d怕安装影响系统运行变慢
e网络管理者没有强制要求
必要原因:
a自愿安装
b接收网络服务商的建议安装免费或付费安全软件
c网络管理者要求
2。
5您所安装的安全软件产品:
a360软件b瑞星杀毒软件c卡巴斯基软件d其他___
2.6您所使用的安全产品是否免费?
a是b否
2。
7您能接受的收费额的最高额度是多少?
a50以下b50~100元c300以下d300以上
2。
8您的网络应用年平均时间?
a<150hb150—300c300-400hd〉400h
调查到此结束,谢谢您的合作!
第7章******
第8章网络安全自查报告
按照***卫计委发【***】*号文件通知精神,我院领导高度重视,成立以主管院长***为组长,副院长***为副组长,其他科室部门负责人为成员网络安全领导工作小组,召开相关科室负责人会议,深入学习和认真贯彻落实文件精神,充分认识到开展网络与信息安全自查工作的重要性和必要性,对自查工作做了详细部署,由主管院长负责安排信息安全自查工作,并就自查中发现的问题认真做好相关记录,及时整改,完善。
现将我院信息安全工作自查情况汇报如下:
一、网络安全管理:
我院的网络分为互联网和院内局域网,两网络实现物理隔离,以确保两网能够独立、安全、高效运行。
重点抓好“三大安全”排查。
网络安全:
包括网络结构、密码管理、IP管理、互联网行为管理等;网络结构包括网络结构合理,网络连接的稳定性,网络设备(交换机、路由器、等)的稳定性。
互联网和院内局域网均施行固定IP地址,由医院统一分配、管理,不允许私自添加新IP,未经分配的IP均无法实现上网.
二、数据库安全管理:
我院目前运行的数据库为********数据库,是医院诊疗、划价、收费、查询、统计等各项业务能够正常进行的基础,为确保医院各项业务正常、高效运行,数据库安全管理是极为有必要的。
数据库容灾备份是数据库安全管理中极为重要的一部分,是数据库有效、安全运行的最后保障,也是保障数据库信息能够长期保存的有效措施。
我院采用的备份类型为完全备份,系统管理员手动将数据库中数据备份到移动硬盘上。
三、软件管理:
目前我院在运行的软件主要分为三类:
********管理信息系统、常用办公软件和杀毒软件。
*******管理信息系统是我院日常业务中最主要的软件,是保障医院诊疗活动正常进行的基础,自上线以来,运行很稳定,未出现过重大安全问题,并根据业务需要,不断更新充实。
对于新入职的员工,上岗前会进行一次培训,常用办公软件均由医院信息系统管理人员统一安装,维护。
杀毒软件是保障电脑系统防病毒、防木马、防篡改、防瘫痪、防攻击、防泄密的有效工具.所有电脑,均安装了杀毒软件(360安全卫士、360杀毒等),以保证杀毒软件的防御能力始终保持在很高的水平。
三、应急处置:
我院********管理信息系统服务器运行安全、稳定,我院并配备了发电机,可以保证在断电情况下,可维持服务器正常运行.虽然******管理信息系统长期以来,运行良好,服务器未发生过长时间宕机时间,但医院仍然制定了应急处置预案,并对收费操作员和护士进行过培训,如果医院出现大面积、长时间停电情况,新益华系统无法正常运行,将临时开始手工收费、记账、发药,以确保诊疗活动能够正常、有序地进行,待到系统恢复正常工作时,再补打发票、补记收费项目.
总体来说,我院的网络与信息安全工作做得很成功的,从未发生过重大的安全事故,各系统运转稳定,各项业务能够正常运行.但自查中也发现了不足之处,如目前医院信息技术人员少,信息安全力量有限;信息安全意识还不够,个别科室缺乏维护信息安全的主动性和自觉性。
今后要加强信息技术人员的培养,更进一步提高信息安全技术水平;加强全院职工的信息安全教育,提高维护信息安全的主动性和自觉性;加大对医院信息化建设投入,提升计算机设备配臵,进一步提高工作效率和系统运行的安全性.
*******
网络安全课程设计报告撰写格式与要求
一、课程设计报告格式要求
1、采用统一的封面。
2、打印要求用A4纸;页边距要求如下:
页边距上下各为2.5厘米,左右边距各为2.5厘米;行间距取固定值(设置值为18磅);字符间距为默认值(缩放100%,间距:
标准)。
二、报告内容要求
针对某一公司,企业内部安全状况进行分析,给出信息安全方面的建议,并给出具体的实施方案。
某校园网络安全
某银行办公局域网的安全实施方案
某中小企业网络安全设计
课程设计报告内容包括:
课程设计任务与要求、总体方案、方案设计与分析、所需仪器设备与元器件、设计实现与调试、收获体会、参考资料等方面内容。
计算机与信息工程学院
《网络安全课程设计》报告
(2021/2021学年第二学期)
课程设计名称宾馆管理网络设计
专业计算机科学与技术
班级13计科(信息)
学号08060119
姓名张奥然
成绩类别
成绩
个人考勤(20)
实践成绩(40)
总结报告(40)
总成绩(100)
等级制成绩
2021年5月10日
目录(四号黑体)
目录根据word生成(小四宋体)
一、目标与要求(四号黑体)
1。
1课程目标与意义(小四黑体)
通过本次课程设计,充分锻炼操作设备的能力,熟悉设备环境,练习操作技巧。
为今后成为网络管理员起到奠基的作用,在学习过程中具有一定的意义。
力争在整个课程设计的阶段,认真体会框架设计的思想,完成为宾馆的局域网设置.,大力夯实自己的专业基础,加强基本知识和基本技能,充分投入到项目设计的实际应用中来吗,为日后的学习和将来的就业做好充分的准备.(内容为小四宋体,行距固定值18磅)
1。
2课程内容与要求
利用服务器,路由器,交换机完成小型局域网设计。
在设计中,利用所学的网络知识配置外部及内部的框架,复习并充实自己的网络知识与能力。
熟悉路由器和交换机的工作原理,调试方法,内部组织结构,连接及配置方法,以及IP地址的设置和使用。
1。
3设计与实验方式
在计算机上设计模拟的网络拓扑结构,并进行小型的测试.在利用实际的模块进行操作,完成实验。
以确保系统的稳定性和可行性。
二、选题需求分析
2。
1选题来源与意义
选题:
宾馆管理网络设计
随着网络时代的日益发展和计算机技术的日益普及,宾馆的管理也逐渐趋于网络化,由于其自身的特殊结构,宾馆的网络拓扑设计显得尤为重要,结构设计的巧妙可以使整体的管理变得容易。
随着信息技术的飞速发展,网络在人类的工作和生活中的作用与日俱增。
传统的商务活动在与互联网结合后,网络技术为商务活动在时间和空间上提供了极大便利,诞生了
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 最新 网络安全 防护 检查 报告 模板
![提示](https://static.bdocx.com/images/bang_tan.gif)