网络安全工程师参考题（软考-信息安全工程师学习笔记-第18章网络安全测评技术与标准）

网络安全测评概况网络安全测评概念：指参照一定的标准规范要求，通过一系列的技术和管理方法，获取评估对象的网络安全状况信息，对其给出相应的网络安全情况综合判定，我来为大家科普一下关于网络安全工程师参考题?下面希望有你要的答案，我们一起来看看吧!

网络安全工程师参考题

网络安全测评概况

网络安全测评概念：指参照一定的标准规范要求，通过一系列的技术和管理方法，获取评估对象的网络安全状况信息，对其给出相应的网络安全情况综合判定。

网络安全测评类型

基于测评目标分类：

1.网络信息系统安全等级测评：对非涉及国家秘密的网络信息系统的安全等级保护状况进行检测评估的活动，目前采用网络安全等级2.0标准。

2.网络信息系统安全验收测评：根据用户申请的项目验收目标和范围。

3.网络信息系统安全风险测评：是从风险管理的角度，评估系统面临的威胁以及脆弱性导致安全事件的可能性，将风险控制在可接受的范围内，从技术和管理两方面进行，出具风险评估报告，提出安全建议。

基于测评内容分类：技术安全测评和管理安全测评

基于实施方式分类：

1.安全功能检测：对系统的安全功能实现状况进行评估，检查安全功能是否满足目标和设计要求。

2.安全管理检测：检查分析管理要素及机制的安全状况，评估安全管理是否满足信息系统的安全管理目标要求。

3.代码安全审查：对定制开发的应用程序源代码进行静态安全扫描审查，识别可能导致安全问题的编码缺陷和漏洞的过程。

4.安全渗透测试：通过模拟黑客对目标系统进行渗透测试。

5.信息攻击测试：采用专用的测试设备及测试软件对应用系统的抗攻击能力进行测试。

基于测评对象保密性分类：涉密信息系统测评、非涉密信息系统测评

网络安全测评流程与内容

网络安全等级测评主要包括技术测评和管理测评。技术测评内容有：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。管理安全测评内容：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

网络安全等级测评过程包括测评准备活动、方案编制活动、现场测评活动和报告编制活动。

网络安全渗透测试流程与内容：委托受理、准备、实施、综合评估、结题。

网络安全测评技术与工具

漏洞扫描：常用的工具有网络安全漏洞扫描器、主机安全扫描器、数据库安全扫描器、WEB应用安全扫描器。

安全渗透测试：黑盒测试、白盒测试、灰盒测试。

代码安全审查：对测评对象的源代码或二进制代码进行安全符合性检查，典型的代码安全缺陷类型有缓冲区溢出、代码流入、跨站脚本、输入验证、API误用、密码管理、配置错误、危险函数等。

协议分析：用于检测协议的安全性，工具有TCPDump、Wireshark

性能测试：用于评估测评对象的性能状况，检查测评对象的承载性能压力或安全对性能的影响。

网络安全测评质量管理与标准

网络安全测评质量管理：是测评可信的基础性工作。主要包括：测评机构建立质量管理体系、测评实施人员管理、测评实施设备管理、测评实施方法管理、测评实施文件控制、测评非符合性工作控制、体系运行监督、持续改进。

,