时间：2022-12-19 07:00:56
序论：在您撰写网络安全评估报告时，参考他人的优秀作品可以开阔视野，小编为您整理的7篇范文，希望这些建议能够激发您的创作热情，引导您走向新的创作高度。
根据国内一些网络安全研究机构的资料，国内大部分的ISP、ICP、IT 公司、政府、教育和科研机构等都没有精力对网络安全进行必要的人力和物力投入；很多重要站点的管理员都是Internet 的新手，一些操作系统如UNIX，在那些有经验的系统管理员的配置下尚且有缺陷，在这些新手的操作中更是漏洞百出。很多服务器至少有三种以上的漏洞可以使入侵者获取系统的最高控制权。
为了使广大用户对自己的网络系统安全现状有一个清醒的认识，同时提高对信息安全概念的了解和认识，强化网络系统安全性能，首创网络近日向用户推出免费安全扫描服务活动。
评估主机范围
Capitalnet技术支持中心在开展此次活动之前得到了客户的书面授权。活动中，根据客户提供的IP地址，并按照客户指定的时间，对包括网络设备和应用服务器等在内的主机系统进行安全评估。
评估时间和方式
此次活动持续两个月时间，由7月1日开始，到8月31日结束。在活动期间，首创网络技术支持中心安全产品组的专家们在与用户达成共识的前提下，利用专业的安全评估工具，对客户网络信息系统中的重点环节进行了全方位的安全扫描，并根据扫描结果产生了安全评估报告，提交给客户。客户可以根据这一安全评估报告充分了解自己信息系统的安全情况，进而采取相应的安全应对措施，从而提高网络系统安全性。
评估单位分布
此次评估活动共收到IP地址93个，分别来自不同行业的34家单位。这些单位分别属于多种行业部门。
评估主机分类
93个IP地址基本代表93台主机，分别为各个单位提供不同的信息化应用。如：WEB、Datebase、Mail等常见应用和防火墙等特殊应用。
评估漏洞分布
在93台主机提供的各种信息应用中，都存在这样或那样的漏洞，此次评估都漏洞的风险分为三种：高风险漏洞、中风险漏洞、低风险漏洞。
参照标准为：
高风险漏洞代表该漏洞可以使攻击者可以得到该主机的最高权限或中断网络服务；
中风险漏洞代表该漏洞可以获取主机信息，有助于攻击者进一步攻击，或存在潜在致命漏洞；
低风险漏洞代表该漏洞会间接影响系统服务的正常运行。
评估漏洞类型
本次扫描活动主要采用了三星信息安全公司的安全评估工具SecuiScan，但为了真实反映客户的漏洞存在情况，也结合了其它著名的安全评估工具，为俄罗斯著名安全评估软件Shadow Security Scanner和著名的自由软件Nessus。在工具评估后，根据提供的分析报告来人工检查证实漏洞的真实性，并在不破坏客户主机正常运行的情况下得出令客户信服的评估结果。
评估发现，很多存在漏洞的主机都是一些常见的配置错误和已经公布的漏洞，而且针对这些漏洞的攻击工具很容易被恶意的攻击者获取。这些漏洞分布如下图：
评估漏洞说明
1. 弱口令攻击：不少网站的管理员账号密码、ftp 账号密码、Sql 账号密码等都使用很简单的或是很容易猜测到的字母或数字，利用现有的家用PIII 机器配合编写恰当的破解软件足以在短时间内轻松破解，一旦口令被破解，网站就意味着被攻破。
2. Unicode 编码漏洞攻击：对于Windows NT4.0 和Windows 2000 来说都存在有该漏洞，利用该漏洞远程用户可以在服务器上以匿名账号来执行程序或命令，从而轻易就可达到遍历硬盘、删除文件、更换主页和提升权限等目的，实施方法简单，仅仅拥有一个浏览器就可实施。
3. ASP 源码泄漏和MS SQL Server 攻击：通过向web 服务器请求精心构造的特殊的url 就可以看到不应该看到的asp 程序的全部或部分源代码，进而取得诸如MS SQL Server 的管理员sa 的密码，再利用存储过程xp_cmdshell 就可远程以SYSTEM 账号在服务器上任意执行程序或命令，事实上，MS SQL Server 默认安装的管理员sa 的密码为空，并且大多数系统管理员的确没有重新设定为新的复杂密码，这直接就留下了严重的安全隐患。
4. IIS 缓冲溢出攻击：对于IIS4.0 和IIS5.0 来说都存在有严重的缓冲溢出漏洞，利用该漏洞远程用户可以以具有管理员权限的SYSTEM 账号在服务器上任意执行程序或命令，极具危险性。实施较为复杂，但是可以获得这种攻击的傻瓜攻击软件。这种攻击主要存在于Windows NT 和2000 系统中。
5. BIND 缓冲溢出攻击：在最新版本的Bind 以前的版本中都存在有严重的缓冲溢出漏洞，可以导致远程用户直接以root 权限在服务器上执行程序或命令，极具危险性。但由于操作和实施较为复杂，一般也为黑客高手所用。这种攻击主要存在于Linux、BSDI 和Solaris 等系统中。
6. 其他攻击手法：还有利用Send- mail、Local Printer、CGI、Virus、Trojan、DOS、DDOS 等漏洞攻击的手段，但在这次评估活动中表现的不是非常明显。
整体安全评估报告
主机系统的安全评估主要在于分析主机系统存在的安全弱点和确定可能存在的威胁和风险，并且针对这些弱点、威胁和风险提出解决方案。
主机存在安全弱点
安全弱点和信息资产紧密相连，它可能被威胁利用、引起资产损失或伤害。但是，安全弱点本身不会造成损失，它只是一种条件或环境、可能导致被威胁利用而造成资产损失。安全弱点的出现有各种原因，例如可能是软件开发过程中的质量问题，也可能是系统管理员配置方面的，也可能是管理方面的。但是，它们的共同特性就是给攻击者提供了对主机系统或者其他信息系统进行攻击的机会。
经过对这些主机系统和防火墙的扫描记录分析，我们发现目前该网络中的主机系统主要弱点集中在以下几个方面：
1 ．系统自身存在的弱点
对于商业UNIX 系统的补丁更新不及时，没有安全配置过，系统还是运行在默认的安装状态非常危险。对NT/2000 的服务器系统，虽然补丁更新的比及时，但是配置上存在很大安全隐患，用户的密码口令的强度非常低很多还在使用默认的弱口令，网络攻击者可以非常轻易的接管整个服务器。另外存在IPC＄这样的匿名共享会泄露很多服务器的敏感信息。
2 ．系统管理存在的弱点
在系统管理上缺乏统一的管理策略，比如缺乏对用户轮廓文件（Profile ）的支持。在系统中存在空口令的Guest 组的用户，这些用户有的是系统默认的Guest用户，有的是IIS 和SQL 服务器的默认安装用户。这些用户有些是被系统禁用的，如Guest ，有些则没有，没有被禁用的这些账号可能被利用进入系统。
3 ．数据库系统的弱点
数据库系统的用户权限和执行外部系统指令是该系统最大的安全弱点，由于未对数据库做明显的安全措施，望进一步对数据库做最新的升级补丁。
4 ．来自周边机器的威胁
手工测试发现部分周边机器明显存在严重安全漏洞，来自周边机器的安全弱点（比如可能使用同样的密码等等）可能是影响网络的最大威胁。
主机存在的威胁和风险
安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素包括有意的和无意的因素。环境因素包括自然界的不可抗力因素和其它物理因素。威胁可能源于对企业信息直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威胁也可能源于偶发的、或蓄意的事件。一般来说，威胁总是要利用企业网络中的系统、应用或服务的弱点才可能成功地对资产造成伤害。因此威胁分析是围绕信息系统的可用性、保密性、完整性、可控性、可审查性、抗抵赖性进行的。
安全风险则是一种可能性，是指某个威胁利用弱点引起某项信息资产或一组信息资产的损害，从而直接地或间接地引起企业或机构的损害的可能性。
在这次评估中，主机系统存在的威胁和及其产生的安全风险主要有以下几个方面：
1. 针对主机的攻击威胁
包括针对Windows NT 系统及其开放的系统服务的安全弱点攻击威胁，攻击者可能由此获取系统的信息资源或者对系统信息进行破坏。
2. 针对数据库的攻击威胁
包括在对数据库系统的攻击行为，包括非法获取、篡改、删除数据库信息资源和进行其他形式的服务攻击。
3. 管理不当所引起的安全威胁
包括由于用户管理策略不当使得攻击者可能获取某一级别的用户的访问权限，并由此提升用户权限，造成用户权限的滥用和信息资源的泄漏、损毁等；由于采用远程管理而引发的威胁；缺乏足够的安全审计致使对安全事件不敏感，无法发现攻击行为等。
4. 配置不当所引起的安全威胁
包括在主机系统上开放了未做安全防范的服务如IPC＄共享所造成的安全威胁等。
网络安全建议
建议把提供网络服务的程序升级到最新版本，关注网络安全通告，或由首创为客户提供全面、周到、专业的网络安全服务。
总 结
此次活动历时两个月时间，为34家客户的93台主机提供了全面的安全扫描服务，并将最终的扫描结果提供给了客户。
通过此次活动，我们发现所有的客户主机都或多或少存在着各种风险度的安全漏洞，安全现状不容乐观。其实在这些客户所暴露出来的漏洞中，绝大多数都是已经有了解决办法的，只要做一些简单的升级或安装补丁就可以解决。另外，我们还发现，有的客户使用了一些安全产品，但却由于使用不当，反而引入了更多的安全漏洞。另外，客户的信息系统普遍也缺乏良好合理的安全规划和管理，从而使得其自身的系统对外呈现了很多本不应该出现的漏洞，给外界入侵提供了便利的条件。
我们认为出现这样的问题主要有这样一些原因：
客户普遍还缺乏安全意识，不知道自己其实面临很大的危险；专业知识不够，不知如何解决安全问题；对安全产品的选择、使用和设置不当；没有合理的安全管理策略和机制。
针对这样一些原因，有些相对容易解决，有些则要困难一些。在首创网络通过自身的努力，在信息安全领域里不断追求更高的技术水准和服务水准，力争在竞争日益激烈的今天，面对不断复杂的信息安全形势，从容面对，为客户提供更加完美的产品和服务。
（本报告由首创网络提供，内容有删节）
“首创网络安全调查”带来的启示
本刊记者 曹 玫
近日，首创网络针对我国企
业网络安全现状，对来自
34个不同行业用户的93台主机的网络信息系统进行了抽样调查，结果是100%的用户的主机都存在不同程度的安全问题。这个数字不能不让我们吃惊，网络现状让人担扰。
随着企业信息化、电子政务的进一步推进，对网络安全的要求与过去已不可同日而语。但信息化在我国刚刚起步，企业对网络安全的意识和认知尚待培育。
本刊记者就首创的网络安全评估活动采访了中国国家信息安全测评认证中心计算机测评中心常务副主任翁正军女士，她认为：“首创这次的评估活动值得肯定。这类的网络安全评估如果经常性的进行，对用户了解自身的安全风险非常有益”
另外，翁女士还提醒道：“针对网络和系统的脆弱性评估，有可能对被测系统造成损害。当然，不一定是测试本身的问题，而是被测系统太脆弱。但是不管怎么样，都要让用户事先知道风险的存在，并且通过恰当的安排尽力回避这些风险”。
安全意识 携手培育
网络安全是“三分技术，七分管理”，从首创的报告中可以看出，造成网络漏洞的原因基本上是管理的忽视和疏漏。
已认识到IT系统重要性的大型企业和跨国企业，虽有一些机房和系统的不很细化的管理制度，但大部分也只限于书面文字的约束而已，没有强有力的监督实施手段和相应的管理人员；大部分的中小企业甚至没有把网络安全提升到管理的层面，还只是停留在购买一些低端的安全设备上，当然对于国内的中小企业采取何种安全模式仍是专家和安全服务提供商们争论的热点问题。
管理问题追溯其根源，还是企业的意识问题，安全意识的加强和培育是需要政府或行业主管单位、安全厂商和用户自身共同努力来实现的。
如政府和行业主管要加大政策和法令的宣传力度，改变政策和相关标准滞后的现状，一方面，用户有相关的政策和标准来衡量网络安全厂商提供给他们的产品和服务是否符合国家标准，做到有据可依。另一方面，安全厂商有了相关条例和行业标准，在为用户构建网络平台和生产安全产品时，把各种安全隐患降减到最小程度，做到了有法必依。
安全厂商在培育用户的安全意识方面，毫无疑问，充当着主力军的角色，目前，我国的网络安全意识尚处于萌芽阶段，因此对用户意识的培育应属于安全厂商市场战略和规划的一部分，只有大家共同把这块蛋糕做大，网络安全广阔的市场才会在短时间内形成规模。
从用户自身的角度来讲，“船到江心才补漏”是需要付出不可估量的代价的，网络数据的迅速增长，单靠一些低端的安全设备已远远难以维护系统和网络安全。总的来说，要改善和加强管理力度,必须提高企业的安全意识.
网络测试 谨慎评估
做安全测试，一定要做非常细化的风险评估策略，首先要确定企业哪些资源需要保护，并根据保护成本与如果事件发生前不采取行动需付出的代价之间的平衡制定评估方案，检测后要确定企业具体环境下到底存在哪些安全漏洞和安全隐患，一旦这些漏洞被黑客利用会造成哪些风险和破坏。
最后综合对各种风险因素的评价，明确网络系统的安全现状，确定网络系统中安全的最薄弱环节，从而改进网络的安全性能。所以检测之前与之后的评估是非常重要的。全面的网络系统的漏洞评估应该包括对网络的漏洞评估、对系统主机的漏洞评估以及对数据库系统的漏洞评估三个方面。首创的安全评估属于对系统主机的漏洞的评估，测试的安全风险相对要小一些。
测试不是目的，制定相应的安全策略并彻底解决用户存在的安全问题，才是我们的愿望。
首创的安全测试为我们敲醒了警钟，加强安全意识已成为企业高层迫切需要正确对待的问题。
企业信息安全意识有待觉醒
本刊记者 陈 慧
为了解客户的安全现状，并
提高客户的安全意识，首
创网络在7月1日到8月31日为期两个月的时间内为34家客户的93台主机提供了免费远程安全扫描服务。提交的报告结果表明，这些客户所有的业务部门都或多或少存在着安全漏洞，其中高风险漏洞占42%，中风险漏洞占28%，低风险漏洞达30%。可见这些客户的信息安全现状令人堪忧。
面对安全漏洞，
视而不见还是立即行动
“此次扫描主要是针对黑客的攻击行为，”首创网络安全产品经理钟博向记者介绍说，“我们选择这种远程的网络扫描的服务活动比较容易开展，类似于黑客攻击的第一个阶段，还未涉及到内部攻击。”在发现客户漏洞之后，首创还可以针对客户的要求为其提供相应的修补、加固和优化服务、专门的培训和分析，以及远程管理和紧急响应等多种全方位的安全服务。
在首创网络扫描过程中发现的网络安全漏洞主要涉及到底层的操作系统平台和应用系统两个方面。漏洞可能是操作系统带来的，比如采用Windows操作系统平台的企业漏洞特别多；也有可能是应用系统本身的问题，比如数据库、Web系统和ERP应用软件等等。在应用系统方面，数据库的漏洞比较多，其中又以SQL Server数据库的漏洞为甚。对于操作系统的漏洞，大多可通过从网上下载补丁程序的方法加以解决，有些客户没有下载补丁程序，因而容易被攻击。也有客户把用户访问口令设成了空的，也容易被攻击。这些漏洞本都很容易避免，之所以出现，主要因为应用和管理人员本身安全意识淡薄所导致。
被扫描的首创网络的IDC和专线客户，都是经常使用IT设备和网络应用的，其中，本身业务系统与安全结合不是很紧密的客户比较容易产生安全漏洞，比如媒体的网站、制造业企业的网站等。在首创网络的整个扫描服务期间中就出现过这样的情况。一家传媒机构的网站被黑客攻击，其主页被篡改了。客户要求首创对其遭到攻击的主机进行扫描，了解其被攻击的原因。通过扫描，发现主要原因在于这个传媒机构把操作系统装好之后，采取了默认配置，并没有做安全性增强方面的考虑和设置，其主机上的漏洞都是一些很常见也很容易弥补的。此外，制造业企业涉及到CRM和ERP这样的系统。总部与分支机构之间经常有大量机密的数据需要交互，对于这样的企业，如果不做好全面的安全规划并采取相应的安全手段，也容易对外暴露很多安全漏洞。
面对送过来的扫描结果和漏洞分析，客户的反应五花八门：有的客户一接到扫描的结果，发现自己的网络安全存在这么多的问题，非常着急，立刻要求首创为其提供相应的解决方案；有的客户要求首创帮助把漏洞堵上；也有客户说，卖我们一个防火墙吧；还有客户没有反应，好像在忙着理顺自己的网络，无暇顾及安全问题。
安全防范，投入多少并采取哪些手段
有两个问题需要企业考虑清楚，一是企业要保护的信息到底值得投入多少；二是采取什么手段。网络时代，企业要连接到互联网上与外部沟通。任何企业无论大小，总是有些信息是不希望被外界知道的，每一个企业都有必要采取一定的手段保护自己的信息，防止被别人窃取、篡改或者破坏。那么企业值得投入多少人力、物力和财力保护信息安全？
第一条 为加强对具有舆论属性或社会动员能力的互联网信息服务和相关新技术新应用的安全管理，规范互联网信息服务活动，维护国家安全、社会秩序和公共利益，根据《中华人民共和国网络安全法》《互联网信息服务管理办法》《计算机信息网络国际联网安全保护管理办法》，制订本规定。
第二条 本规定所称具有舆论属性或社会动员能力的互联网信息服务，包括下列情形：
（一）开办论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序等信息服务或者附设相应功能；
（二）开办提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的其他互联网信息服务。
第三条 互联网信息服务提供者具有下列情形之一的，应当依照本规定自行开展安全评估，并对评估结果负责：
（一）具有舆论属性或社会动员能力的信息服务上线，或者信息服务增设相关功能的；
（二）使用新技术新应用，使信息服务的功能属性、技术实现方式、基础资源配置等发生重大变更，导致舆论属性或者社会动员能力发生重大变化的；
（三）用户规模显著增加，导致信息服务的舆论属性或者社会动员能力发生重大变化的；
（四）发生违法有害信息传播扩散，表明已有安全措施难以有效防控网络安全风险的；
（五）地市级以上网信部门或者公安机关书面通知需要进行安全评估的其他情形。
第四条 互联网信息服务提供者可以自行实施安全评估，也可以委托第三方安全评估机构实施。
第五条 互联网信息服务提供者开展安全评估，应当对信息服务和新技术新应用的合法性，落实法律、行政法规、部门规章和标准规定的安全措施的有效性，防控安全风险的有效性等情况进行全面评估，并重点评估下列内容：
（一）确定与所提供服务相适应的安全管理负责人、信息审核人员或者建立安全管理机构的情况；
（二）用户真实身份核验以及注册信息留存措施；
（三）对用户的账号、操作时间、操作类型、网络源地址和目标地址、网络源端口、客户端硬件特征等日志信息，以及用户信息记录的留存措施；
（四）对用户账号和通讯群组名称、昵称、简介、备注、标识，信息、转发、评论和通讯群组等服务功能中违法有害信息的防范处置和有关记录保存措施；
（五）个人信息保护以及防范违法有害信息传播扩散、社会动员功能失控风险的技术措施；
（六）建立投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关投诉和举报的情况；
（七）建立为网信部门依法履行互联网信息服务监督管理职责提供技术、数据支持和协助的工作机制的情况；
（八）建立为公安机关、国家安全机关依法维护国家安全和查处违法犯罪提供技术、数据支持和协助的工作机制的情况。
第六条 互联网信息服务提供者在安全评估中发现存在安全隐患的，应当及时整改，直至消除相关安全隐患。
经过安全评估，符合法律、行政法规、部门规章和标准的，应当形成安全评估报告。安全评估报告应当包括下列内容：
（一）互联网信息服务的功能、服务范围、软硬件设施、部署位置等基本情况和相关证照获取情况；
（二）安全管理制度和技术措施落实情况及风险防控效果；
（三）安全评估结论；
（四）其他应当说明的相关情况。
第七条 互联网信息服务提供者应当将安全评估报告通过全国互联网安全管理服务平台提交所在地地市级以上网信部门和公安机关。
具有本规定第三条第一项、第二项情形的，互联网信息服务提供者应当在信息服务、新技术新应用上线或者功能增设前提交安全评估报告；具有本规定第三条第三、四、五项情形的，应当自相关情形发生之日起30个工作日内提交安全评估报告。
第八条 地市级以上网信部门和公安机关应当依据各自职责对安全评估报告进行书面审查。
发现安全评估报告内容、项目缺失，或者安全评估方法明显不当的，应当责令互联网信息服务提供者限期重新评估。
发现安全评估报告内容不清的，可以责令互联网信息服务提供者补充说明。
第九条 网信部门和公安机关根据对安全评估报告的书面审查情况，认为有必要的，应当依据各自职责对互联网信息服务提供者开展现场检查。
网信部门和公安机关开展现场检查原则上应当联合实施，不得干扰互联网信息服务提供者正常的业务活动。
第十条 对存在较大安全风险、可能影响国家安全、社会秩序和公共利益的互联网信息服务，省级以上网信部门和公安机关应当组织专家进行评审，必要时可以会同属地相关部门开展现场检查。
第十一条 网信部门和公安机关开展现场检查，应当依照有关法律、行政法规、部门规章的规定进行。
第十二条 网信部门和公安机关应当建立监测管理制度，加强网络安全风险管理，督促互联网信息服务提供者依法履行网络安全义务。
发现具有舆论属性或社会动员能力的互联网信息服务提供者未按本规定开展安全评估的，网信部门和公安机关应当通知其按本规定开展安全评估。
第十三条 网信部门和公安机关发现具有舆论属性或社会动员能力的互联网信息服务提供者拒不按照本规定开展安全评估的，应当通过全国互联网安全管理服务平台向公众提示该互联网信息服务存在安全风险，并依照各自职责对该互联网信息服务实施监督检查，发现存在违法行为的，应当依法处理。
第十四条 网信部门统筹协调具有舆论属性或社会动员能力的互联网信息服务安全评估工作，公安机关的安全评估工作情况定期通报网信部门。
第十五条 网信部门、公安机关及其工作人员对在履行职责中知悉的国家秘密、商业秘密和个人信息应当严格保密，不得泄露、出售或者非法向他人提供。
第一条 为加强对具有舆论属性或社会动员能力的互联网信息服务和相关新技术新应用的安全管理，规范互联网信息服务活动，维护国家安全、社会秩序和公共利益，根据《中华人民共和国网络安全法》《互联网信息服务管理办法》《计算机信息网络国际联网安全保护管理办法》，制订本规定。
第二条 本规定所称具有舆论属性或社会动员能力的互联网信息服务，包括下列情形：
（一）开办论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序等信息服务或者附设相应功能；
（二）开办提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的其他互联网信息服务。
第三条 互联网信息服务提供者具有下列情形之一的，应当依照本规定自行开展安全评估，并对评估结果负责：
（一）具有舆论属性或社会动员能力的信息服务上线，或者信息服务增设相关功能的；
（二）使用新技术新应用，使信息服务的功能属性、技术实现方式、基础资源配置等发生重大变更，导致舆论属性或者社会动员能力发生重大变化的；
（三）用户规模显著增加，导致信息服务的舆论属性或者社会动员能力发生重大变化的；
（四）发生违法有害信息传播扩散，表明已有安全措施难以有效防控网络安全风险的；
（五）地市级以上网信部门或者公安机关书面通知需要进行安全评估的其他情形。
第四条 互联网信息服务提供者可以自行实施安全评估，也可以委托第三方安全评估机构实施。
第五条 互联网信息服务提供者开展安全评估，应当对信息服务和新技术新应用的合法性，落实法律、行政法规、部门规章和标准规定的安全措施的有效性，防控安全风险的有效性等情况进行全面评估，并重点评估下列内容：
（一）确定与所提供服务相适应的安全管理负责人、信息审核人员或者建立安全管理机构的情况；
（二）用户真实身份核验以及注册信息留存措施；
（三）对用户的账号、操作时间、操作类型、网络源地址和目标地址、网络源端口、客户端硬件特征等日志信息，以及用户信息记录的留存措施；
（四）对用户账号和通讯群组名称、昵称、简介、备注、标识，信息、转发、评论和通讯群组等服务功能中违法有害信息的防范处置和有关记录保存措施；
（五）个人信息保护以及防范违法有害信息传播扩散、社会动员功能失控风险的技术措施；
（六）建立投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关投诉和举报的情况；
（七）建立为网信部门依法履行互联网信息服务监督管理职责提供技术、数据支持和协助的工作机制的情况；
（八）建立为公安机关、国家安全机关依法维护国家安全和查处违法犯罪提供技术、数据支持和协助的工作机制的情况。
第六条 互联网信息服务提供者在安全评估中发现存在安全隐患的，应当及时整改，直至消除相关安全隐患。
经过安全评估，符合法律、行政法规、部门规章和标准的，应当形成安全评估报告。安全评估报告应当包括下列内容：
（一）互联网信息服务的功能、服务范围、软硬件设施、部署位置等基本情况和相关证照获取情况；
（二）安全管理制度和技术措施落实情况及风险防控效果；
（三）安全评估结论；
（四）其他应当说明的相关情况。
第七条 互联网信息服务提供者应当将安全评估报告通过全国互联网安全管理服务平台提交所在地地市级以上网信部门和公安机关。
具有本规定第三条第一项、第二项情形的，互联网信息服务提供者应当在信息服务、新技术新应用上线或者功能增设前提交安全评估报告；具有本规定第三条第三、四、五项情形的，应当自相关情形发生之日起30个工作日内提交安全评估报告。
第八条 地市级以上网信部门和公安机关应当依据各自职责对安全评估报告进行书面审查。
发现安全评估报告内容、项目缺失，或者安全评估方法明显不当的，应当责令互联网信息服务提供者限期重新评估。
发现安全评估报告内容不清的，可以责令互联网信息服务提供者补充说明。
第九条 网信部门和公安机关根据对安全评估报告的书面审查情况，认为有必要的，应当依据各自职责对互联网信息服务提供者开展现场检查。
网信部门和公安机关开展现场检查原则上应当联合实施，不得干扰互联网信息服务提供者正常的业务活动。
第十条 对存在较大安全风险、可能影响国家安全、社会秩序和公共利益的互联网信息服务，省级以上网信部门和公安机关应当组织专家进行评审，必要时可以会同属地相关部门开展现场检查。
第十一条 网信部门和公安机关开展现场检查，应当依照有关法律、行政法规、部门规章的规定进行。
第十二条 网信部门和公安机关应当建立监测管理制度，加强网络安全风险管理，督促互联网信息服务提供者依法履行网络安全义务。
发现具有舆论属性或社会动员能力的互联网信息服务提供者未按本规定开展安全评估的，网信部门和公安机关应当通知其按本规定开展安全评估。
第十三条 网信部门和公安机关发现具有舆论属性或社会动员能力的互联网信息服务提供者拒不按照本规定开展安全评估的，应当通过全国互联网安全管理服务平台向公众提示该互联网信息服务存在安全风险，并依照各自职责对该互联网信息服务实施监督检查，发现存在违法行为的，应当依法处理。
第十四条 网信部门统筹协调具有舆论属性或社会动员能力的互联网信息服务安全评估工作，公安机关的安全评估工作情况定期通报网信部门。
第十五条 网信部门、公安机关及其工作人员对在履行职责中知悉的国家秘密、商业秘密和个人信息应当严格保密，不得泄露、出售或者非法向他人提供。
1．1系统功能
在网络安全态势感知系统中，网络服务评估系统的数据源是最重要的数据源之一。一方面，它能向上层管理者提供目标网络的安全态势评估。另一方面，服务数据源为其它传感器(Log传感器、SNMP传感器、Netflow传感器)的数据分析提供参考和依据［1］。
1．2主要功能
(1)风险评估，根据国家安全标准并利用测试系统的数据和主要的风险评估模型，获取系统数据，定义系统风险，并提出应对措施［2］。
(2)安全态势评估与预测，利用得到的安全测试数据，按照预测、随机和综合量化模型，对信息系统作出安全态势评估与预测，指出存在的安全隐患并提出安全解决方案。
(3)建立数据库支撑，包括评估模型库、专家知识库、标准规范库等。
(4)输出基于图表样式和数据文件格式的评估结果。
2系统组成和总体架构
2．1系统组成
网络安全评估系统态势评估系统是在Windows7平台下，采用C++builder2007开发的。它的数据交互是通过核心数据库来运行的，为了使评估的计算速度和读写数据库数据更快，应将子系统与核心数据库安装在同一机器上。子系统之间的数据交互方式分别为项目数据交互和结果数据交互。前者分发采用移动存储的形式进行，而后者的提交获取是通过核心数据库运行。
2．2总体架构
系统包括人机交互界面、控制管理、数据整合、漏洞扫描、安全态势评估和预测、本地数据库等六个模块组成。网络安全评估系统中的漏洞扫描部分采用插件技术设计总体架构。扫描目标和主控台是漏洞扫描子系统的主要部分，后者是漏洞扫描子系统运行的中心，主控台主要是在用户打开系统之后，通过操作界面与用户进行交流，按照用户下达的命令及调用测试引擎对网络上的主机进行漏洞测试，测试完成后调取所占用的资源，并取得扫描结果，最后形成网络安全测试评估报告，通过这个测试，有利于管理人员发现主机有可能会被黑客利用的漏洞，在这些薄弱区被黑客攻击之前对其进行加强整固，从而提高主机网络系统的安全性。
3系统工作流程
本系统首先从管理控制子系统获取评估任务文件［3］，然后根据任务信息从中心数据库获取测试子系统的测试数据，再对这些数据进行融合(加权、去重)，接着根据评估标准、评估模型和支撑数据库进行评估［4］，评估得到网络信息系统的安全风险、安全态势，并对网络信息系统的安全态势进行预测，最后将评估结果进行可视化展示，并生成相关评估报告，以帮助用户进行最终的决策［5］。
4系统部分模块设计
4．1网络主机存活性识别的设计
“存活”是用于表述网络主机状态［6］，在网络安全评估系统中存活性识别流程对存活主机识别采用的方法是基于ARP协议。它的原理是当主机或路由器正在寻找另外主机或路由器在此网络上的物理地址的时候，就发出ARP查询分组。由于发送站不知道接收站的物理地址，查询便开始进行网络广播。所有在网络上的主机和路由器都会接收和处理分组，但仅有意图中的接收者才会发现它的IP地址，并响应分组。
4．2网络主机开放端口/服务扫描设计
端口是计算机与外界通讯交流的出口［7］，软件领域的端口一般指网络中面向连接服务的通信协议端口，是一种抽象的软件结构，包括一些数据结构和FO(基本输入输出)缓冲区［8］。
4．3网络安全评估系统的实现
该实现主要有三个功能，分别是打开、执行和退出系统［9］。打开是指打开系统分发的评估任务，显示任务的具体信息;执行任务指的是把检测数据融合，存入数据库;退出系统是指关闭系统。然后用户在进行扫描前可以进行选择扫描哪些项，对自己的扫描范围进行设置。进入扫描后，界面左边可以显示扫描选项，即用户选中的需要扫描的项［10］。界面右边显示扫描进程。扫描结束后，用户可以点击“生成报告”，系统生成用户的网络安全评估系统检测报告，最终评定目标主机的安全等级［11］。
5结束语
(1)系统研究还不够全面和深入。网络安全态势评估是一门新技术［12］，很多问题如规划和结构还没有解决。很多工作仅限于理论，设计方面存在争论，没有统一的安全态势评估系统模型［13］。
(2)网络安全状况评估没有一致的衡量标准。网络安全是一个全面统一的概念［14］，而网络安全态势的衡量到现在还没有一个全面的衡量机制［15］。这就导致现在还没有遵守的标准，无法判断方法的优劣。
【 关键词 】 网络安全；评估；漏洞扫描
The Research of Network Security Evaluation
Wu Guo-qiang
(Institute of Geophysics, China Earthquake Administration Beijing 100085)
【 Abstract 】 at present, the network has brought great change to people's life, work and study. People in the enjoyment of the Internet brought not only convenience but also security influence. Due to the network with the sharing of resources, widely distributed and open features, to cyber criminals had to take advantage of the machine, to the society and the individual has brought incalculable harm. The network hacker attacks to network bu the use of network management and technical flaws, on the network security evaluation, targeted to network repair job, can fundamentally solve the problem of network security hidden danger, will put an end to. In the existing application level basis, establish and improve the network security assessment system for network, normal, safe and stable operation is of great value in the practical application.
【 Keywords 】 network security; assessment; vulnerability scanning
0 引言
随着网络用户的增多，人们对网络的依赖性越来越严重，网络已经成为人们生活中不可分割的一部分，但是，受到网络危害的人数也在逐年增加。据不完全统计，我国超过一半以上的企事业单位受到过网络安全事故的危害，而且这个数字还在逐年增加。其网络安全的危害主要表现在：黑客攻击、木马侵袭和病毒传染等。
当前，我国的信息化安全建设也随着技术的发展不断进步，但是，由于网络资源共享和分布不均匀的特性及相关法律不健全的影响，让众多网络用户受到网络危害及损失之后，其个人名誉和财产无法得到有效地保护。因此，加强自身网络的安全建设，及时有效地网络系统进行评估，是十分有必要的。
1 模型和算法
网络安全评估主要从物理安全、究全控制、管理安全、数据安全和技术安全几个层次进行评估。当前，社会上存在的评估系统，都是从某个方面入手进行评估验证，只把握住了局部问题，而没有从全局出发，缺乏必要的合理性和科学性。综合国内外准则和技术指标，都是仅仅规定了体系和框架，对于具体的安全扫描操作没有给出具体的步骤和过程。为了能够设计出更加完善的网络安全评估系统，给出定性的安全保护策略和安全评级，首先需要做的是确定其评估模型。
1.1 评估模型分类
（1）定性评估方法
该方法的特点是预见性。模型在没有建立以前，就要确定其漏洞及其危害性。对于漏洞的分析主要通过三个方面进行：一是性质和成区（查看具体由操作系统、应用软件和端口哪一方面引起）；二是危害程度（越级访问、远程控制、非法窃取、非法访问、远程欺骗和拒绝服务）；三是漏洞级别（一般、严重和非常严重）。
该评估模型的优点是实现简单、操作方便，最大的不足之处就是主观性强，需要研发人员对网络安全有足够的经验和水平并且尽可能地多采集相关的信息。其代表方法有历史比较法、因素分析法和德菲尔法等。
（2）定量的评估方法
该方法主要是通过判断影响网络安全的数值来进行的。其优点是客观公正、科学，其缺点是由于要进行大量的数据比较，其实现相对复杂。其代表的方法有决策树法、因子分解法和聚类分析法等。
（3）综合的评估方法
该方法是结合了前两种方法的优点，其代表的方法有模糊数学法、威胁树法和层次分析法等。
（4）基于模型的评估方法
该方法是目前最有效的方法，它所基于的模型都是建立在成熟的模型的基础之上，所以设计简单、发现漏洞的效率高、易发现未知的攻击模式和脆弱的系统等，能够从全局上对网络进行评估。当前，它所基于的模型主要有故障树模型、信息流模型、访问控制模型和基于角色的访问控制模型等。
1.2 评估模型理论
什么是NKS？NKS的英文全名是A New Kind of Science，2002年，著名的数学软件Mathematica的设计者Wolfram出版了一本书就叫这个名字，专门研究各种简单程序，例如细胞自动机、图灵机、替代系统等等，并得出了丰富的结论，他把这门科学叫做NKS。
评估模型建立的是一种层次化的网络质量度量方法NKS，其主要的评估要素由一系列小的质量要素（:物理安全、技术安全、管理安全和管理策略等）组成，而小的质量要素又是由网络安全评估衡量标准（脆弱性、漏洞和各种弱口令等）组成，标准又通过安全度量元（脆弱性情况、漏洞严重程度和弱口令复杂度等）的特性来完成。通过一层层的递进关系，来准确地评估出确切的评估要素值。
1.3 评估算法
在网络安全评估中，只有通过具体的值才能在计算机中得到体现，一般度量值有两种类型，分别是逻辑型和数值型。逻辑型相对比较简单，只需要根据对应的值进行逻辑判断即可；而数值型则需要通过复杂的数值计算才能够得出具体的判定层次。
在此我们对数值型进行简要的介绍。
首先，将评估要素设成两元关系的集合，第一个参数代表评估的结果，第二个表示其结果在整个网络中所起到的权重值。每一个模型所进行数值计算都是不同的，但不管哪一个，一般都通过采用以下几个要素组合来取得最终的结果，它们是专家库、关系方程、概率分析和权重等。
2 网络安全评估系统组成和功能
在上面理论的基础之上，我们设计出NKS网络安全评估系统，以确保整个网络的安全和对潜在威胁的及时发现。
2.1 系统组成简介
整个系统主要由四个模块组成，分别是评估结果管理模块、安全性检测与评估报告生成模块、系统设置模块和附加功能模块。其结构图如图1所示。
（1）评估结果管理模块
模块主要体现在结果的显示和历史记录的查询上面，由搜索扫描记录、删除扫描记录和显示评估结果组成。
（2）安全性检测与评估报告生成模块
在整个系统中，所有功能及模块都是围绕该模块而运行，它是系统的核心。它首先进行主机存活性识别操作，假如该主机处于活跃状态，那么将对其操作系统进行探测，然后依次进行端口/服务扫描、漏洞扫描和弱口令探测等一系列活动，最后通过安全评估算法的合理运算，生成评估报告。
（3）系统设置及插件配置模块
从系统的角度出发，为了保证合法用户的正确使用，防止非法用户的入侵，必须设置必要的账户进行管理，合法用户可以通过账户进行系统的管理。其主要的功能有添加、删除账户及修改密码等。插件配置子程序主要完成端口扫描、漏洞扫描和弱口令扫描等。
（4）附加功能模块
提供SQL可注入性检测功能的实现。
2.2 功能介绍
该系统的主要功能体现在九个方面。（1）目标主机存活性探测。通过远程对目标主机的存活性进行探测。其具体的要求是速度尽可能地快、正确率尽可能高和穿越防火墙的能力尽可能地强。（2）网络拓扑发现。能够描述出目标主机所在的网络拓扑图。其具体的要求是图形显示网络拓扑和区别各种网络设备。（3）操作系统识别。能够查出目标主机上所具体使用的操作系统的版本相关信息。其具体的要求是通过TCL/IP协议实现。（4）弱口令探测。能够查出目标主机上常用的SQL数据库、FTP和WEB服务的常用口令。（5）开放端口/服务扫描。要求是通过TCP、UDP端口进行扫描。（6）漏洞扫描。它能够对所有的Windows操作系统和部分Linux操作系统进行分析，并对数据库和文档进行集成。（7）木马检查。（8）生成报告。其要求是要以文本和网页两种形式表现出来，并且报告要针对管理员和一般用户进行区分。（9）用户管理。其具体的要求是能够添加、删除用户，并且对用户的密码进行修改主，并且用户的界面要尽可能地人性化。
3 网络安全评估系统详细设计
根据以上的介绍，我们根据网络安全评估系统的功能，对其主要的功能模块进行实现。
3.1 获取远程本机的基本信息
要获取本机的网络安全评估指数，首先要确定其本地的基本信息，如网卡的MAC地址、IP所属的网络段和操作系统基本信息等参数。
3.2 开放端口的判断
端口的开放程度对主机的安全性影响巨大，如何判断该机的哪些端口开放，哪些没有开放，在整个系统的运行中是十分必要的。我们可以通过往某个端口发送其固定数据，看是否接收，来进行判断，其具体的代码如下：
4 总结
针对网络安全展开讨论，首先详细分析了网络安全的模型和算法，对网络安全评估的几种常用方法进行了比较，其次分析了网络安全评估系统的组成和功能，并给出了具体的模块结构图，最后对整个系统的具体实现进行详细的描述，重点介绍了主机常用信息的获取和端口开放的判断，对于其它的内容由于篇幅所限，在此并没有给出。
参考文献
[1] 许晓.应用系统的安全威胁及其防护.信息化研究，2009.
[2] 崔孝林.网络安全评估系统的设计与实现.安徽:中国科学技术大学，2009.
[3] 邢栩嘉,林闯,蒋屹立.计算机系统脆弱性评估研究.计算机学报，2004.
[4] 陈冬雨.趋势科技安全威胁评估报告.计算机安全,2009.
关键词：网络安全；风险评估；实施流程
中图文分类号：TP393.08文献标识码：A文章编号：1009-3044(2008)29-0366-02
Research on Network Security Risk Assessment Appraisal Flow
XING Zhi-jun
(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)
Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.
Key words： network security;risk assessment;appraisal flow
1 引言
网络安全风险评估就是通过对计算机网络系统的安全状况进行安全性分析，及时发现并指出存在的安全漏洞，以保证系统的安全。网络安全风险评估在网络安全技术中具有重要的地位，其基本原理是采用多种方法对网络系统可能存在的已知安全漏洞进行检测，找出可能被黑客利用的安全隐患，并根据检测结果向系统管理员提供详细可靠的安全分析报告与漏洞修补建议，以便及早采取措施，保护系统信息资源。
风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。对信息系统进行风险评估，首先应确保风险分析的内容与范围应该覆盖信息系统的整个体系，应包括：系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分析、信息系统弱点漏洞分析等。
2 风险评估的准备
风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。机构对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受到机构的业务需求及战略目标、文化、业务流程、安全要求、规模和结构的影响。不同机构对于风险评估的实施过程可能存在不同的要求，因此在风险评估的准备阶段，应该完成以下工作。
1） 确定风险评估的目标
首先应该明确风险评估的目标，为风险评估的过程提供导向。支持机构的信息、系统、应用软件和网络是机构重要的资产。资产的机密性、完整信和可用性对于维持竞争优势、获利能力、法规要求和一个机构的形象是必要的。机构要面对来自四面八方日益增长的安全威胁。一个机构的系统、应用软件和网络可能是严重威胁的目标。同时，由于机构的信息化程度不断提高，对基于信息系统和服务技术的依赖日益增加，一个机构则可能出现更多的脆弱性。机构的风险评估的目标基本上来源于机构业务持续发展的需要、满足相关方的要求、满足法律法规的要求等方面。
2） 确定风险评估的范围
机构进行风险评估可能是由于自身业务要求及战略目标的要求、相关方的要求或者其他原因。因此应根据上述具体原因确定分险评估范围。范围可能是机构全部的信息和信息系统，可能是单独的信息系统，可能是机构的关键业务流程，也可能是客户的知识产权。
3） 建立适当的组织结构
在风险评估过程中，机构应建立适当的组织结构，以支持整个过程的推进，如成立由管理层、相关业务骨干、IT技术人员等组成的风险评估小组。组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估的目标、范围。
4） 建立系统型的风险评估方法
风险评估方法应考虑评估的范围、目的、时间、效果、机构文化、人员素质以及具体开展的程度等因素来确定，使之能够与机构的环境和安全要求相适应。
5） 获得最高管理者对风险评估策划的批准
上述所有内容应得到机构的最高管理者的批准，并对管理层和员工进行传达。由于风险评估活动涉及单位的不同领域和人员，需要多方面的协调，必要的、充分的准备是风险评估成功的关键。因此，评估前期准备工作中还应签订合同和机密协议以及选择评估模式。
3 信息资产识别
资产是企业、机构直接赋予了价值因而需要保护的东西，它可能是以多种形式存在的，无形的、有形的，硬件、软件，文档、代码，或者服务、企业形象等。在一般的评估体中，资产大多属于不同的信息系统，如OA系统、网管系统、业务生产系统等，而且对于提供多种业务的机构，业务生产系统的数量还可能会很多。
资产赋值是对资产安全价值的估价，不是以资产的帐面价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是要考虑资产对于机构业务的安全重要性，即由资产损失所引发的潜在的影响来决定。为确保资产估价时的一致性和准确定，机构应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。资产赋值包括机密性赋值、完整性赋值和可用性赋值。
4 威胁识别
安全威胁是一种对机构及其资产构成潜在破坏的可能性因素或者时间。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。
5 脆弱性识别
脆弱性评估也称为弱点评估，是风险评估中的重要内容。弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。
6 已有安全措施的确认
机构应对已采取的控制措施进行识别并对控制措施的有效性进行确认，将有效的安全控制措施继续保持，以避免不必要的工作和费用，防止控制措施的重复实施。对于那些被认为不适当的控制应核查是否应被取消，或者用更合适的控制代替。安全控制可以分为预防性控制措施和保护性控制措施两种。预防性控制措施可以降低威胁发生的可能性和减少安全脆弱性；而保护性控制措施可以减少因威胁发生所造成的影响。
7 风险识别
根据策划的机构，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估，在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。
8 风险评估结果记录
根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写。评估报告是风险评估结果的记录文件，是机构实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，因此，报告必须做到有据可查，报告内容一般主要包括风险评估范围、风险计算方法、安全问题归纳以及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、参与风险描述等。
由于信息系统及其所在环境的不断变化，在信息系统的运行过程中，绝对安全的措施是不存在的。攻击者不断有新的方法绕过或扰乱系统中的安全措施，系统的变化会带来新的脆弱点，实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性的对信息系统安全进行重新评估。
参考文献：
[1] Solomon D A, Russinovich M E. Inside Microsoft Windows 2000[M]. Microsoft Press, 2000.
关键词：网络安全；风险评估；安全措施
中图分类号：TP393文献标识码：A 文章编号：1009-3044(2008)06-11012-01
A Survey of Network Security Risk Assessment
CHEN Jun-wei
(Dept. of Computer, Nanjing University of Posts and Telecommunications, Nanjing 210003,China)
Abstract：To assess the security condition of a network system, is one of the most important technologies in security area. In this paper, we will point out the shortcomings of the present security guard, in the discussion of the standards and measures of existing risk assessment, and propose methods and directions which are beneficial in perfecting the assessment systems.
Key words:Network security; risk assessment; security measures
1 引言
频频发生的信息安全事件正在日益引起全球的关注，列举的近年来的网络突发事件，不难发现，强化提升网络安全风险评估意识、强化信息安全保障为当务之急。所谓风险评估，是指网络安全防御中的一项重要技术，它的原理是，根据已知的安全漏洞知识库，对目标可能存在的安全隐患进行逐项检查。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。完成一个信息安全系统的设计与实施并不足以代表该信息安全事务的完结。随着新技术、新应用的不断出现，以及所导致的信息技术环境的转变，信息安全工作人员要不断地评估当前的安全威胁，并不断对当前系统中的安全性产生认知。
2 网络安全风险评估的现状
2.1 风险评估的必要性
有人说安全产品就是保障网络安全的基础，但有了安全产品，不等于用户可以高枕无忧地应用网络。产品是没有生命的，需要人来管理与维护，这样才能最大程度地发挥其效能。病毒和黑客可谓无孔不入，时时伺机进攻。这就更要求对安全产品及时升级，不断完善，实时检测，不断补漏。网络安全并不是仅仅依靠网络安全产品就能解决的，它需要合适的安全体系和合理的安全产品组合，需要根据网络及网络用户的情况和需求规划、设计和实施一定的安全策略。通常，在一个企业中，对安全技术了如指掌的人员不多，大多技术人员停留在对安全产品的一般使用上，如果安全系统出现故障或者黑客攻击引发网络瘫痪，他们将束手无策。这时他们需要的是安全服务。而安全评估，便是安全服务的重要前期工作。网络信息安全，需要不断评估方可安全威胁。
2.2 安全评估的目标、原则及内容
安全评估的目标通常包括：确定可能对资产造成危害的威胁；通过对历史资料和专家的经验确定威胁实施的可能性；对可能受到威胁影响的资产确定其价值、敏感性和严重性，以及相应的级别，确定哪些资产是最重要的；准确了解企业网的网络和系统安全现状；明晰企业网的安全需求；制定网络和系统的安全策略；制定网络和系统的安全解决方案；指导企业网未来的建设和投入；通过项目实施和培训，培养用户自己的安全队伍。而在安全评估中必须遵循以下原则：标准性原则、可控性原则、整体性原则、最小影响原则、保密性原则。
安全评估的内容包括专业安全评估服务和主机系统加固服务。专业安全评估服务对目标系统通过工具扫描和人工检查，进行专业安全的技术评定，并根据评估结果提供评估报告。
目标系统主要是主流UNIX及NT系统，主流数据库系统，以及主流的网络设备。使用扫描工具对目标系统进行扫描，提供原始评估报告或由专业安全工程师提供人工分析报告。或是人工检查安全配置检查、安全机制检查、入侵追查及事后取证等内容。而主机系统加固服务是根据专业安全评估结果，制定相应的系统加固方案，针对不同目标系统，通过打补丁、修改安全配置、增加安全机制等方法，合理进行安全性加强。
系统加固报告服务选择使用该服务包，必须以选择ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出加固报告。系统加固报告增强服务选择使用该服务包，必须以选择ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出系统加固报告，并将系统加固报告、加固步骤、所需补丁程序以光盘形式提交客户。系统加固实施服务选择使用该服务包，必须以选择 ISMR/SSMR/HME服务包为前提，针对评估分析报告，提出系统加固报告，并将系统加固报告、加固步骤、所需补丁程序以光盘形式提交客户，并由专业安全工程师实施加固工作。
3 网络安全风险评估系统
讨论安全评定的前提在于企业已经具有了较为完备的安全策略，这项工作主要检测当前的安全策略是否被良好的执行，从而发现系统中的不安全因素。当前计算机世界应用的主流网络协议是TCP/IP，而该协议族并没有内置任何安全机制。这意味着基于网络的应用程序必须被非常好的保护，网络安全评定的主要目标就是为修补全部的安全问题提供指导。
评定网络安全性的首要工作是了解网络拓扑结构，拓扑描述文档并不总能反映最新的网络状态，进行一些实际的检测是非常必要的。最简单的，可以通过Trackroute工具进行网络拓扑发现，但是一些网络节点可能会禁止Trackroute流量的通过。在了解了网络拓扑之后，应该获知所有计算机的网络地址和机器名。对于可以访问的计算机，还应该了解其正在运行的端口，这可以通过很多流行的端口发现工具实现。当对整个网络的架构获得了足够的认知以后，就可以针对所运行的网络协议和正在使用的端口发现网络层面的安全脆弱点了。通常使用的方法是对协议和端口所存在的安全漏洞逐项进行测试。
安全领域的很多专家都提出边界防御已经无法满足今天的要求，为了提高安全防御的质量，除了在网络边界防范外部攻击之外，还应该在网络内部对各种访问进行监控和管理。企业组织每天都会从信息应用环境中获得大量的数据，包括系统日志、防火墙日志、入侵检测报警等。是否能够从这些信息中有效的识别出安全风险，是风险管理中重要一环。目前的技术手段主要被应用于信息的收集、识别和分析，也有很多厂商开发出了整合式的安全信息管理平台，可以实现所有系统模块的信息整合与联动。
数据作为信息系统的核心价值，被直接攻击和盗取数据将对用户产生极大的危害。正因为如此，数据系统极易受到攻击。对数据库平台来说，应该验证是否能够从远程进行访问，是否存在默认用户名密码，密码的强度是否达到策略要求等。而除了数据库平台之外，数据管理机制也应该被仔细评估。不同级别的备份措施乃至完整的灾难备份机制都应该进行有效的验证，不但要检验其是否存在安全问题，还要确认其有效性。大部分数据管理产品都附带了足够的功能进行安全设定和数据验证，利用这些功能可以很好的完成安全评定工作并有效的与安全策略管理相集成。攻击者的一个非常重要目的在于无需授权访问某些应用，而这往往是获得系统权限和数据的跳板。事实上大部分的安全漏洞都来自于应用层面，这使得应用程序的安全评定成为整个工作体系中相当重要的一个部分。与更加规程化的面向体系底层的安全评定相比，应用安全评定需要工作人员具有丰富的安全知识和坚实的技术技能。
4 结束语
目前我国信息系统安全风险评估工作，在测试数据采集和处理方面缺乏实用的技术和工具的支持，已经成为制约我国风险评估水平的重要因素。需要研究用于评价信息安全评估效用的理论和方法，总结出一套适用于我国国情的信息安全效用评价体系，以保证信息安全风险评估结果准确可靠，可以为风险管理活动提供有价值的参考；加强我国信息安全风险评估队伍建设，促使我国信息安全评估水平得到持续改进。
参考文献：
[1] 陈晓苏，朱国胜，肖道举.TCP/IP协议族的安全架构[N].华中科技大学学报,2001，32-34.
[2] 贾颖禾.国务院信息化工作办公室网络与信息安全组.信息安全风险评估[J].网络安全技术与应用，2004(7)，21-24.
[3] 刘恒,信息安全风险评估挑战[R],信息安全风险评估与信息安全保障体系建设研讨会,2004.10.12.
[4] [美]Thomas A Wadlow.网络安全实施方法.潇湘工作室译.北京:人民邮电出版社，2000.
[5] 张卫清,王以群.网络安全与网络安全文化[J].情报杂志,2006(1)，40-45
[6] 赵战生,信息安全风险评估[R],第全国计算机学术交流会,2004.7.3.
