《信息安全系统等级测评师培训教程(初级)》学习笔记.doc

word信息安全等级测评师培训教程〔初级〕目录信息安全等级测评师培训教程〔初级〕 2第1章 网络安全测评 31.1 网络全局 31.2 路由器 41.3 交换机 71.4 防火墙 81.5 入侵检测/防御系统 9第2章 主机安全测评 102.1 操作系统测评 102.2 数据库系统测评 16第3章 应用安全测评 173.1 身份鉴别 173.2 访问控制 173.3 安全审计 173.4 剩余信息保护 173.5 通信完整性 183.6 通信某某性 183.7 抗抵赖 183.8 软件容错 183.9 资源控制 18第4章 数据安全测评 194.1 数据完整性 194.2 数据某某性 194.3 备份和恢复 19第五章 物理安全 195.1 物理位置的选择〔G3〕 19物理访问控制〔G3〕 195.3 防盗窃和防破坏〔G3〕 205.4 防雷击〔G3〕 205.5 防火〔G3〕 20防水和防潮〔G3〕 20防静电〔G3〕 215.8 温湿度控制〔G3〕 21第六章 安全管理测评 22安全管理制度 22安全管理机构 23人员安全管理 24系统建设管理 26系统运维管理 29第7章 工具测试 33附录A 信息安全技术 35A.1 标识与鉴别 35A.2 访问控制 36A.3 密码技术 38A.4 安全审计和监控 39A.5 恶意代码防X 41A.6 备份与恢复 41A.7 Web安全防护 42A.8 终端安全 43附录B 网络攻击技术 44B.1 网络攻击概述 44B.2 网络攻击过程 45PS 48Ps1子网掩码 48计算方式 49表示方法 52地址判断 53运算示例 53信息安全等级测评师培训教程〔初级〕本书主要以三级系统S3A3G3测评为例标记说明：保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求〔简记为S〕；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求〔简记为A〕；通用安全保护类要求〔简记为G〕后面的数字3是说S、A、G三类的要符合等保的三级要求，比如S3就是要达到S类的3级标准其中G是通用要求，G的级别为S、A中最高的数字级别通过不同的组合，得到系统的最终等级。

安全保护等级信息系统定级结果的组合Ⅰ级S1A1G1Ⅱ级S1A2G2，S2A2G2，S2A1G2Ⅲ级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3Ⅳ级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4Ⅴ级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5第1章 网络安全测评1.1 网络全局1.1.1 结构安全〔G3〕a〕应保证主要网络设备的业务处理能力有冗余空间，满足业务顶峰期需要b〕应保证网络各个局部的带宽满足业务顶峰期需要；c〕应在业务终端与业务服务器之间进展路由控制建立安全的访问路径；d〕应绘制与当前运行情况相符的网络拓扑结构图；e〕应根据各局部的工作职能、重要性和所涉与信息的重要程度等因素，划分不同的子网和网段，并按照方便管理和控制的原如此为各子网、网段分配地址段f〕应防止将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段〔在网络边界处部署：防火墙、网闸、或边界网络设备配置并启用acl〕g〕应按照对业务服务的重要次序来制定带宽分配优先级别，保证在网络发生拥堵时优先保护重要主机。

〔检查防火墙是否存在策略带宽配置〕注释：1〕静态路由是指由网络管理员手工配置的路由信息，当网络的拓扑结构或链路的状态发 生变化 时，网络管理员需要手工修改路由表中相关的静态路由信息 2〕动态路由是指路由器能够自动地建立自己的路由表，并且能够根据实际情况的变化适时的进展调 整动态路由机制的运作依赖路由的两个根本功能：对路由表的维护和路由器之间适时的路由信 息交换路由器之间的信息交换是基于路由协议实现的，如ospf路由协议是一种典型的链路状态 路由协议，它通过路由器之间通告网络接口的状态，来建立链路状态数据库，生成最短路径树， 每个OSPF路由器使用这些最短路径构造路由表如果使用动态路由协议应配置使用路由协议认证 功能，保证网络路由安全 3〕vlan是一种通过将局域网内的设备逻辑而不是物理划分成不同子网从而实现虚拟工作组的新技术 不同vlan内的报文在传输时是相互隔离的如果不同vlan要进展通信，如此需要通过路由器或三层交 换机等三层设备实现 思科 华为 4〕是否存在路由协议认证：show running-config display current-configuration 查看vlan划分情况： show vlan display vlan all1.1.2 边界完整性检查〔S3〕a〕应能够对非授权设备私自联到内部网络的行为进展检查，准确定位，并对其进展有效阻断；技术手段：网络接入控制，关闭网络设备未使用的端口、IP/MAC地址绑定等管理措施：进入机房全程陪同、红外视频监控等b〕应能够对内部网络用户私自联到外部网络的行为进展检查，准确定位，并对其进展有效阻断；〔方法：非法外联监控功能、非法外联软件〕1.1.3 入侵防X〔G3〕a〕应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；〔入侵防X的技术：入侵检测系统IDS，包含入侵防X模块的多功能安全网关UTM〕b〕当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警〔报警方式：短信、、声光报警等〕.注释： 1〕入侵检测的分类：主动入侵检测、被动入侵检测。

主动入侵检测：在攻击的同时检测到它会查找的攻击模式或命令，并阻止这些命令的执行被动入侵检测：攻击之后的检测只有通过检查日志文件，攻击才得以根据日志信息进展复查和再现 2〕多功能安全网关的功能：防火墙、虚拟防火墙、入侵检测和防御、防病毒、防垃圾、p2p流量控 制、URL过滤等功能1.1.4 恶意代码防X〔G3〕a〕应在网络边界处对恶意代码进展检测和去除；〔防恶意代码产品：防病毒网关、包含防病毒模块的多功能安全网关、网络版防病毒系统等〕b〕应维护恶意代码库的升级和检测系统的更新〔更新方式：自动远程更新、手动远程更新、手动本地更新等〕1.2 路由器1.2.1 访问控制〔G3〕a〕应在网络边界处部署访问控制设备，启用访问控制功能；能够起访问控制功能的设备有：网闸、防火墙、路由器和三层路由交换机等b〕应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；〔路由器通过配置合理的访问控制列表ACL〕c〕应对进出网络的信息内容进展过滤，实现对应用层, FTP, TELNET, SMTP, POP3等协议命令级的控制〔一般实现方式：防火墙〕d〕应在会话处于非活跃一定时间或会话完毕后终止网络连接；当恶意用户进展网络攻击时，有时会发起大量会话连接，建立会话后长时间保持状态连接，从而占用大量网络资源，最终将网络资源耗尽的情况。

因此应在会话终止或长时间无响应的情况下终止网络连接，释放被占用网络资源，保证业务可以被正常访问一般在防火墙上实现e〕应限制网络最大流量数与网络连接数；〔一般在防火墙上实现〕路由器可根据IP地址、端口、协议来限制应用数据流的最大流量；根据IP地址来限制网络连接数，从而保证业务带宽不被占用，业务系统可以对外正常提供服务路由器的带宽策略一般采用分层的带宽管理机制，管理员可以通过设置细粒度的带宽策略，对数据报文做带宽限制和优先级别设定，还可以通过源地址、目的地址、用户和协议4个方面来限制带宽show running-config display acl config al2f〕重要网段应采取技术手段防止地址欺骗地址欺骗中的地址可以使MAC地址，也可以使IP地址目前发生比拟多的是ARP地址欺骗，ARP地址欺骗是MAC地址欺骗的一种ARP〔Address Resolution Protocol，地址解析协议〕是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址ARP欺骗分为2种，一种是对网络设备ARP表的欺骗，另一种是对内网PC的网关欺骗。

解决方法：1在网络设备中把所有PC的IP-MAC输入到一个静态表中，这叫IP-MAC绑定；2.在内网所有PC上设置网关的静态ARP信息，这叫PC IP-MAC绑定一般要求2个工作都要做，称为IP-MAC双向绑定思科Show ip arp 华为display arpg〕应按用户和系统之间的允许访问规如此，决定允许或拒绝用户对受控系统进展资源访问，控制粒度为单个用户通过配置用户、用户组，并结合访问控制规如此可以实现对认证成功的用户允许访问受控资源show crypto isakmp policy；show crypto ipsec transform-set；show ip access-list Display ipsech〕应限制具有拨号访问权限的用户数量show running-config display dialer1.2.2 安全审计〔G3〕a〕应对网络系统中的网络设备运行状况、网络流量、用户行为等进展日志记录；b〕审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功与其他与审计相关的信息；c〕应能够根据记录数据进展分析，并生成审计报表；d〕应对审计记录进展保护，防止受到未预期的删除、修改或覆盖等；注释：查看日志记录情况：show logging display current-configuration1.2.3 网络设备防护a〕应对登陆网络设备的用户进展身份鉴别；——用户登录路由器的方式包括：&1 利用控制台端口〔Console〕通过串口进展本地连接登录；&2 利用辅助端口〔AUX〕通过MODEM进展远程拨号连接登录&3 利用虚拟终端〔VTY〕通过TCP/IP网络进展远程登录——无论哪一种登录方式，都需要对用户身份进展鉴别，口令是路由器用来防止非授权访问的常用手段，是路由器安全的一局部。

——需要加强对路由器口令的管理，包括口令的设置和存储，最好的口令存储方式是保存在TACACS+或RADIUS认证服务器上检查方法：思科1） 在特权模式下输入命令show running-config会输出该路由器相关配置信息2） 检查配置信息中是否存在类似如下的配置信息Line vty 0 4 〔虚拟终端〕Login Password xxxxxLine aux 0 〔辅助端口〕LoginPassword xxxxxxLine con 0 〔控制台端口〕LoginPassword xxxxx3）。