信息安全等级保护攻略

　　《信息安全等级保护攻略》主要内容包括信息系统安全等级保护的定级备案、相关技术、等级保护实施、测评及应用实例等。以第三级系统安全保护为主线，从技术和管理方面介绍信息系统按照合理等级进行防护的方法、定级及备案方法、基本物理环境安全检测和评估方法、网络安全测评方法、主机和数据安全测评方法、应用系统安全测评方法、安全管理测评方法。同时，以第三级以上信息系统为例介绍渗透测试及渗透测试编制，并用具体的实例详细地阐述信息系统安全等级保护定级备案及测评的全过程。
　　《信息安全等级保护攻略》适合高等院校信息安全专业研究生和高年级本科生阅读，也可供从事相关工作的技术人员和对信息安全感兴趣的读者阅读参考。

　　谢冬青，男，汉族，博士，教授，博士生导师，广州大学计算机科学与教育软件学院院长，广州市移动互联网安全与容灾重点实验室主任。研究方向为网络安全，主讲离散数学、现代密码学、计算机网络安全技术等课程。主持了国家863项目、国家自然科学基金、国家科技攻关计划、教育部重点科研项目、广东省科技计划重点项目等40余项，获省部级科技进步奖二等奖1项、三等奖2项。发表学术论文120余篇，出版专著、教材4部，受理国家发明专利11项，完成信息安全等级保护测评项目20余项。
　　
　　黄海，男，汉族，博士，广东第二师范学院计算机科学系教师。研究方向为算法分析、网络安全。主讲数据结构、计算机网络、网络安全等课程。近5年来，主持和参加广东省优秀青年创新人才项目、NSFC-广东联合基金、广州市属高校科研项目等，发表学术论文10余篇，教学研究论文4篇。有丰富的信息安全等级保护测评经验。

序言

第1章 信息安全等级保护政策法规
§1．1 信息安全等级保护基本要求
§1．1．1 信息系统安全保护等级
§1．1．2 基本技术要求和基本管理要求
§1．1．3 信息系统的基本要求
§1．2 信息安全等级保护实施指南
§1．2．1 等级保护的实施
§1．2．2 信息系统定级
§1．2．3 总体安全规划
§1．2．4 安全设计与实施
§1．2．5 安全运行与维护
§1．2．6 信息系统终止
§1．3 信息安全等级保护定级指南
§1．4 信息安全等级保护测评要求
§1．4．1 测评原则
§1．4．2 测评内容
§1．4．3 测评力度
§1．4．4 结果重用
§1．4．5 信息系统单元测评

第2章 信息安全等级保护技术
§2．1 信息系统网络技术
§2．1．1 技术基础
§2．1．2 网络应用
§2．1．3 研究现状及趋势
§2．2 信息系统密码学技术
§2．2．1 对称密码体制
§2．2．2 非对称密码体制
§2．2．3 Hash函数
§2．2．4 数字签名
§2．2．5 数字信封
§2．3 PKI公钥基础安全设施
§2．3．1 网络信息安全需求
§2．3．2 PKI公钥基础安全设施及其应用框架
§2．4 操作系统
§2．4．1 发展历程
§2．4．2 类型
§2．4．3 主要功能
§2．4．4 系统结构
§2．5 信息系统工程技术
§2．5．1 建模和规划
§2．5．2 工程管理
§2．5．3 工程监理
§2．5．4 风险管理

第3章 信息安全等级保护实施
§3．1 物理机房实施
§3．1．1 物理机房环境安全
§3．1．2 机房设备安全
§3．1．3 记录介质安全
§3．2 网络架构设计与实施
§3．2．1 网络安全功能分层分级要求
§3．2．2 网络的规划设计
§3．3 设备安全配置
§3．3．1 身份鉴别
§3．3．2 自主访问控制
§3．3．3 标记
§3．3．4 强制访问控制和数据流控制
§3．3．5 安全审计
§3．3．6 用户数据完整性
§3．3．7 用户数据保密性和可信路径
§3．3．8 抗抵赖
§3．3．9 网络安全监控
§3．4 安全策略设计与实施
§3．4．1 信息系统安全管理的内容
§3．4．2 信息系统安全管理的建立
§3．4．3 信息系统安全管理的过程
§3．4．4 信息系统安全管理的实施

第4章 信息安全等级保护定级备案
§4．1 信息安全等级保护定级
§4．1．1 信息安全等级保护定级划分标准
§4．1．2 信息安全等级保护定级工作的主要工作措施
§4．1．3 信息安全等级保护定级的确定
§4．2 信息安全等级保护备案
§4．2．1 信息系统备案与受理
§4．2．2 公安机关受理备案要求
§4．2．3 对定级不准及不备案情况的处理

第5章 物理安全测评
§5．1 物理安全概述
§5．1．1 信息系统与信息系统物理安全
§5．1．2 信息系统物理资产要素
§5．1．3 物理安全威胁
§5．1．4 物理安全等级划分说明
§5．2 物理安全测评实施要点
§5．3 物理安全测评的内容

第6章 网络安全测评
§6．1 网络安全测评概述
§6．2 网络安全检查范围
§6．3 网络安全检查内容
§6．4 网络安全现场测评步骤
§6．4．1 网络全局现场测评
§6．4．2 路由设备安全测评
§6．4．3 交换设备安全测评
§6．4．4 网络安全设备安全测评

第7章 主机与数据库安全测评
§7．1 操作系统测评
§7．1．1 操作系统测评内容
§7．1．2 操作系统测评步骤
§7．2 数据库系统钡4评
§7．2．1 数据库系统测评内容
§7．2．2 数据库系统测评步骤

第8章 应用安全测评
§8．1 应用系统基础知识
§8．1．1 应用系统基本概念
§8．1．2 应用系统结构
§8．1．3 应用系统常见安全隐患
§8．2 应用安全测评流程
§8．3 N立用安全测评任务
§8．3．1 测评准备阶段
§8．3．2 方案编制阶段
§8．3．3 现场测评阶段
§8．3．4 分析与报告编制阶段

第9章 管理安全测评
§9．1 安全管理制度
§9．1．1 管理制度
§9．1．2 制定和发布
§9．1．3 评审和修订
§9．2 安全管理机构
§9．2．1 岗位设置
§9．2．2 人员配备
§9．2．3 授权和审批
§9．2．4 勾通和合作
§9．2．5 审核和检查
§9．3 人员安全管理
§9．3．1 人员录用
§9．3．2 人员离岗
§9．3．3 人员考核
§9．3．4 安全意识教育和培训
§9．3．5 外部人员访问管理
§9．4 系统建设管理
§9．4．1 系统定级
§9．4．2 安全方案设计
§9．4．3 产品采购和使用
§9．4．4 自行软件开发
§9．4．5 外包软件开发
§9．4．6 工程实施
§9．4．7 测试验收
§9．4．8 系统交付
§9．4．9 系统备案
§9．4．10 等级测评
§9．4．11 安全服务商选择
§9．5 系统运维管理
§9．5．1 环境管理
§9．5．2 资产管理
§9．5．3 介质管理
§9．5．4 设备管理
§9．5．5 监控管理和安全管理中心
§9．5．6 网络安全管理
§9．5．7 系统安全管理
§9．5．8 恶意代码防范管理
§9．5．9 密码管理
§9．5．10 变更管理
§9．5．11 备份与恢复管理
§9．5．12 安全事件处置
§9．5．13 应急预案管理

第10章 工具测试
§10．1 工具测试准备
§10．1．1 收集信息
§10．1．2 规划接入点
§10．1．3 编制指导书
§10．2 工具测试实施
§10．2．1 SQL注入
§10．2．2 缓冲区溢出
§10．2．3 跨站脚本攻击

参考文献
附录A 信息系统安全等级保护定级备案表
附录B 信息系统安全等级保护定级报告
附录C ×××有限公司信息系统等级保护差距测评结果分析

　　《信息安全等级保护攻略》：
　　（2）形成评价指标和评估方案。根据各个信息系统的安全保护等级从信息系统安全等级保护基本要求中选择相应等级的指标，形成评价指标。根据评价指标，结合确定的具体对象制定可以操作的评估方案，评估方案可以包含：管理状况评估表格、网络状况评估表格、网络设备（含安全设备）评估表格、主机设备评估表格、主要设备安全测试方案、重要操作的作业指导书。
　　（3）现状与评价指标对比。通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术和安全管理方面的评估，判断安全技术和安全管理的各个方面与评价指标的符合程度，给出判断结论。整理和分析不符合的评价指标，确定信息系统安全保护的基本需求。主要结果是基本安全需求。
　　2）额外／特殊安全需求的确定
　　此项的目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基本要求的部分或具有特殊安全保护要求的部分，采用需求分析／风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性，提出信息系统的特殊安全保护需求。参与机构有信息系统运营、使用单位及信息安全服务机构。本项主要依据包括信息系统详细描述文件、信息系统安全保护等级定级报告、信息系统相关的其他文档。
　　确定特殊安全需求可以采用目前成熟或流行的需求分析／风险分析方法，或者采用下面介绍的活动。
　　（1）重要资产的分析。明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。
　　（2）重要资产安全弱点评估。检查或判断上述重要部件可能存在的弱点，包括技术和管理方面的弱点，分析安全弱点被利用的可能性。
　　（3）重要资产面临威胁评估。分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，分析威胁发生的可能性或概率。
　　（4）综合风险分析。分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性。按照重要资产的排序和风险的排序确定安全保护的要求。主要结果是重要资产的特殊保护要求。
　　3）形成安全需求分析报告
　　此项的目标是总结基本安全需求和特殊安全需求，形成安全需求分析报告。参与机构有信息系统运营、使用单位及信息安全服务机构。本项主要依据包括信息系统详细描述文件、信息系统安全保护等级定级报告、基本安全需求及重要资产的特殊保护要求。
　　此项主要包括：完成安全需求分析报告。根据基本安全需求和特殊的安全保护需求等形成安全需求分析报告。
　　安全需求分析报告可以包含：信息系统描述、安全管理状况、安全技术状况、存在的不足和可能的风险、安全需求描述。
　　主要结果：安全需求分析报告。
　　3.总体安全设计
　　1）总体安全策略设计
　　此项的目标是形成机构纲领性的安全策略文件，包括确定安全方针，制定安全策略，以便结合等级保护基本要求和安全保护特殊要求，构建机构信息系统的安全技术体系结构和安全管理体系结构。参与机构有信息系统运营、使用单位及信息安全服务机构。本项主要依据包括信息系统详细描述文件、信息系统安全保护等级定级报告、安全需求分析报告。
　　此项主要包括以下子活动内容：
　　（1）确定安全方针。形成机构最高层次的安全方针文件，阐明安全工作的使命和意愿，定义信息安全的总体目标，规定信息安全责任机构和职责，建立安全工作运行模式，等等。
　　（2）制定安全策略。形成机构高层次的安全策略文件，说明安全工作的主要策略，包括安全组织机构划分策略、业务系统分级策略、数据信息分级策略、子系统互连策略、信息流控制策略等。
　　主要结果：总体安全策略文件。
　　2）安全技术体系结构设计
　　此项的目标是根据信息系统安全等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，提出系统需要实现的安全技术措施，形成机构特定的系统安全技术体系结构，用以指导信息系统分等级保护的具体实现。参与机构有信息系统运营、使用单位、信息安全服务机构。本项主要依据包括：信息系统详细描述文件、信息系统安全保护等级定级报告、安全需求分析报告、信息系统安全等级保护基本要求。
　　……