网络安全评估模版

《网络安全评估模版》由会员分享，可在线阅读，更多相关《网络安全评估模版（17页珍藏版）》请在金锄头文库上搜索。

1、唐山师范学院校园网安全检测与评估在 * 上的关于 * 的网络安全评估实验报告第一部分 描述给出评估实验的背景。 包括目前国内外的研究现状， 技术手段的等 等。内容不少于 200 字。第二部分 目标可参考如下内容进行修改。在项目评估阶段， 为了充分了解企业专用网络信息系统的当前安 全状况（安全隐患），因此需要对网络系统进行安全状况分析。经我 系安全小组和该企业信息中心的双方确认， 对如下被选定的项目进行 评估。管理制度的评估物理安全的评估 计算机系统安全评估 网络与通信安全的评估 日志与统计安全的评估 安全保障措施的评估 总体评估然后对其中的安全弱点进行分析， 并写出报告， 作为提高该企业网络

2、系统整体安全性的重要参考依据。第三部分 需求及现状经过实践调查， 具体给出待评估网络的安全需求。 没有调查就没有发 言权。再简要给出待评估网络的的安全现状。第四部分 评估步骤根据评估内容选择以下内容， 完善本小组的评估步骤， 详细撰写评 估报告，不少于 700 字。一、管理制度 管理制度是否健全是做好网络安全的有力保障，包括机房管理制度、 文档设备管理制度、管理人员培训制度、系统使用管理制度等。1、评估说明 首先做好评估时间、评估地点、评估方式的详细说明。不同的时间评 估时间，即使评估地点、评估方式相同也会有不同的测试结果；同样 不同的评估方式，相同的时间、地点结果也大不相同。所以在评估之 前

3、一定要对这些方面进行详细地说明。2、评估内容评估内容包含以下几个方面，机房管理制度、文档设备管理制度、管 理人员培训制度、系统使用管理制度等，可以通过类似下面的表格进 行记录。编号项目安全风险详细说明高中低1中心机房2文档管理3系统维护4设备使用5管理人员培训6客户 意见记录用户意见，并让用户签名。3、评估分析报告对公司的信息网络系统的各项管理制度进行细致的评估， 并对各项评 估的结果进行详细地分析，找出原因。说明存在哪些漏洞，比如由于 公司网络信息系统刚刚建立，各项管理规章制度均没有健全，为今后 的管理留下了隐患，网络系统的管理上存在许多漏洞。4、建议提出初步的意见，如健全各种管理规章制度。

4、当然具体的意见要在加 固时提出。二、物理安全物理安全是信息系统安全的基础，我们将依据实体安全国家标准，将 实施过程确定为以下检测与优化项目。1、评估说明与管理制度的评估说明类似，例如：评估时间：2003年03月29日上午评估地点：中心机房评估方式：人工分析2、评估内容编号项目安全风险详细说明高中低1场地安全位置/楼层防盗2机房环境温度/湿度电磁/噪声防尘/静电震动3建筑防火防雷围墙门禁4设备可靠性5辐射控制与防泄露6通讯线路安全性7动力电源空调8灾难预防与恢复物理安全一般包括场地安全、机房环境、建筑物安全、设备可靠性、 辐射控制与防泄漏、通讯线路安全性、动力安全性、灾难预防与恢复 措施等几方面

5、。可参考如下表格进行：9客户 意 见记录用户意见，并让用户签名。3、评估分析报告通过对公司各节点的实地考察测量，看是否存在以下不安全因素。 l场地安全措施是否得当。l建筑物安全措施是否完善。l机房环境好坏。l网络设备的可靠性。l辐射控制安全性有没有考虑。l通讯线路的安全性。l动力可靠性。l灾难预防与恢复的能力。4、建议计算机机房的设计或改建应符合 GB2887 GB9361和GJB322等现行的 国家标准。除参照上述有关标准外，还应注意满足下述各条要求：（1）机房主体结构应具有与其功能相适应的耐久性、抗震性和耐火 等级。变形缝和伸缩缝不应穿过主机房；（2）机房应设置相应的火灾报警和灭火系统；（

6、3）机房应设置疏散照明设备和安全出口标志；（4）机房应采用专用的空调设备，若与其它系统共用时，应确保空调效果，采取防火隔离措施。长期连续运行的计算机系统应有备用空 调。空调的制冷能力，要留有一定的余量（宜取15%-20%）（5）计算机的专用空调设备应与计算机联控，保证做到开机前先送风，停机后再停风；（6）机房应根据供电网的质量及计算机设备的要求，采用电源质量 改善措施和隔离防护措施，如滤波、稳压、稳频及不间断电源系统等。（7）计算机系统中使用的设备应符合 GB4943中规定的要求，并是经 过安全检查的合格产品。三、计算机系统安全性平台安全泛指操作系统和通用基础服务安全，主要用于防范黑客攻击 手

7、段，目前市场上大多数安全产品均限于解决平台安全， 我们以通用 信息安全评估准则为依据，确定平台安全实施过程包括以下内容：1、评估说明与管理制度的评估说明类似，例如：评估时间：2003年03月30日评估地点：中心机房评估方式：软件检测（sss、x-scan等）和人工分析2、评估内容在这里分别对 proxy server/web server/ printer server等各服务器，进行扫描检测，并作详细记录。可参考如下表格：编号项目安全风险详细说明高中低1操作系 统漏洞Unix系统Windows系统2检测网络协议数据安全介质与载体安 全保护数据访问控制数据完整性数据可用性数据监控和审 计数据存

8、储与备 份安全3客户 意 见记录用户意见，并让用户签名。3、评估分析报告计算机系统的安全评估主要在于分析计算机系统存在的安全弱点和 确定可能存在的威胁和风险，并且针对这些弱点、威胁和风险提出解 决方案。（1）计算机系统存在的安全弱点安全弱点和信息资产紧密相连，它可能被威胁利用、引起资产损失或 伤害。但是，安全弱点本身不会造成损失，它只是一种条件或环境、 可能导致被威胁利用而造成资产损失。安全弱点的出现有各种原因， 例如可能是软件开发过程中的质量问题， 也可能是系统管理员配置方 面的，也可能是管理方面的。但是，它们的共同特性就是给攻击者提 供了对主机系统或者其他信息系统攻击的机会。经过对这些计算

9、机系统和防火墙的扫描记录分析，我们发现目前该公司网络中的计算机系统主要弱点集中在以下几个方面： 系统自身存在弱点对于商业windows2000 server系统的补丁更新不及时，没有安全配 置过，系统还是运行在默认的安装状态非常危险。有的win2000服务器系统，虽然补丁更新的比较及时，但是配置上存 在很大安全隐患，用户的密码口令的强度非常低很多还在使用默认的 弱口令，网络攻击者可以非常轻易的接管整个服务器。另外存在 ipc$这样的匿名共享会泄漏很多服务器的敏感信息。 系统管理存在弱点在系统管理上缺乏统一的管理策略，比如缺乏对用户轮廓文件（profile ）的支持。 数据库系统的弱点数据库系统

10、的用户权限和执行外部系统指令是该系统最大的安全弱 点，由于未对数据库做明显的安全措施， 望进一步对数据库做最新的 升级补丁。 来自周边机器的威胁手工测试发现部分周边机器明显存在严重安全漏洞， 来自周边机器的 安全弱点（比如可能是用同样的密码等等） 可能是影响网络的最大威 胁。（2）主机存在的威胁和风险安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因 素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因 素。人为因素包括有意的和无意的因素。 环境因素包括自然界的不可 抗力因素和其他物理因素。安全风险则是一种可能性，是指某个威胁利用弱点引起某项信息资产 或一组信息资产的损害，从而

11、直接地或间接地引起企业或机构的损害 的可能性。（3）数据的安全性包括SCSI热插拔硬盘没有安全锁，人员杂，硬盘很容易取走；数据 的存储的冗余备份机制；数据的访问工作组方式，是否需验证；有没 有备份措施，硬盘损坏能不能恢复。4、建议（1）主机安全系统增强配置Win2000安全增强配置Service Pack 和 Hot-fixes更新最新的Service Pack以及检查目前微软 站点的hot-fixes 公告栏。基本配置管理对win2000中那些易造成安全隐患的缺省配置 重新设置，诸如：系统引导时间设置为 0秒、 从登陆对话框中删除关机按钮等。文件系统配置对涉及到文件系统的安全漏洞进行修补或是

12、修改配置，诸如：采用NTFS文件名禁止8.3 文件名格式等。账号管理配置对涉及到用户帐号的安全隐患通过配置或修补消除，诸如：设置口令长度、检查用户帐号、 组成员关系和特权等。网络管理配置通过对易造成安全隐患的系统网络配置进行 安全基本配置，诸如：锁定管理员的网络连接， 检查网络共享情况或去除TCP/IP中的NetBIOS绑定等。系统日志配置配置相应的系统日志，检查相应的安全事件， 诸如：审核成功/失败的登陆/注销等。安全工具配置利用某些安全工具增强系统的安全性，诸如： 运行syskey工具为sam数据库提供其他额外 的安全措施等。病毒和木马保护利用查杀毒软件清除主机系统病毒， 冋时利用 各种手

13、段发现并清除系统中的木马程序。IIS系统安全配置通过对win2000系统提供的IIS服务进行安全 配置，提高整个主机系统的安全性，诸如：设 置恰当的授权方式，禁用或删除不需要的CO组件等。其他服务安全配置针对系统需要提供的其他服务，进行安全配 置，诸如：DNS,Mail等等。（2） MS-SQI服务器安全管理和配置建议更改用户弱口令；安装最新的SQL服务器补丁 SP3尽可能删除所有数据库中的Guest账号；在服务器的特性中，设定比较高 的审计等级；限制只有sysadmin的等级用户才可以进行 CmdExe（任 务；选择更强的认证方式；设定合适的数据库备份策略；设定确切的 扩展存贮进程权限；设定

14、statement权限；设定合适的组、用户权限; 设定允许进行连接的主机范围；限制对 sa用户的访问，分散用户权 限。 支持多种验证方式。（3）媒体管理与安全要求媒体分类根据媒体上记录内容将媒体分为 A、B、C三种基本类别。A类媒体：媒体上的记录内容对系统、设备功能来说是最重要的，不 能替代的，毁坏后不能立即恢复的。B类媒体：媒体上的记录内容在不影响系统主要功能的前提下可能进 行复制，但这些数据记录复制过程较困难或价格较昂贵。C类媒体：媒体上的记录内容在系统调试及应用过程中容易得到的。 媒体的保护要求保留在机房内的媒体数量应是系统有效运行所需的最小数量。A、B类媒体应放入防火，防水，防震，防潮、防腐蚀、防静电及防 电磁场的保护设备中， 且必须作备份， 像主服务器必须有备份域服务 器。C类媒体应放在密闭金属文件箱或柜中。A B类