| 方案目的

      运用科学的方法和手段，从技术方面发现××信息系统所面临的威胁及其存在的脆弱性，综合考虑信息系统的重要性、涉密程度和面临的信息安全风险等因素，提出有针对性的处置措施及改造方案，及时消除隐患以防范和规避信息安全风险，将风险控制在可接受的水平。

安全服务的解决方案包括但不限于以下内容：

1、安全态势分析及漏洞扫描评估服务

2、基线扫描服务

3、渗透测试服务

4、攻防演练服务

|  方案流程

      安全服务包括现状调研、安全要求分析、风险评估、业务风险暴露面分析、信息安全建设规划和信息安全管理体系设计等环境和步骤。

| 漏洞扫面风险评估

扫面评估范围

      根据客户整体业务需求，漏洞扫描评估的范围主要为客户业务信息系统，具体包括其相关的主机系统、网络系统、应用系统、数据系统等方面。

评估方式与步骤

      我们的评估方式将主要采取工具评估的方法对范围内的设备、主机以及网络进行扫描检测，来发现其存在的弱点和威胁。

      具体做法为：工程师应该按照漏洞扫描方案依次、有步骤地对信息系统中的网络设备、应用服务器和其它服务器进行漏洞检查。针对检测出来的弱点及其威胁，制定出相应的控制措施。进而划分出等级，逐级做出相应的紧急事件服务响应。整个评估活动的原则要按照一定的次序，做到不遗漏，不重复。其步骤可以参照如下方面：

1、选择评估次序，可以采用重要到次要、中心至边界或者次要到重要、边界至中心的次序；

2、运用安全风险分析工具进行服务器漏洞扫描分析；

3、运用工具检查各服务器及网络设备开启的服务情况；

风险规避

      为保证客户业务连续性，需要对漏洞扫描评估进行一定的评估风险认识及其分析。

      各种评估方法都或多或少的会对系统造成一定影响，因为大部分评估工具都采用的是模拟攻击的方法进行评估，所以有时可能会造成比较严重的后果，如系统停机、服务中止等。工具扫描能够带来应用、网络以及系统层面不同程度的影响，比如：

1、应用层面上的主机运行速度慢，影响其正常运行。

2、网络层面进行扫描，有时会出现网络流量急剧增大，可能容易造成网络风暴，从而会影响整个网络性能及其业务。

3、系统层面进行扫描时，可能会造成系统业务的中断，严重时也可能会导致整个系统的崩溃，造成业务完全不能应用。

      基于上述，我们应在与客户主要负责人进行协商，认识评估的风险，确定使用漏洞扫描的办法。在正确使用工具扫描时，极力降低扫描对网络和被评估设备的正常使用。

在漏洞扫描过程中，一旦由于系统、网络、主机固有故障隐患、漏洞引起系统、网络、主机故障，漏洞扫描设备将立即从接入点断开，停止相关的扫描，同时联系客户相关责任人进行应急响应处理。

交付物

1、《信息系统漏洞扫描报告》

2、《信息系统漏洞修复建议防疫》

| 基线安全检查

检查目标

     安全配置核查对象包括：网络设备、安全设备、主机操作系统、中间件、数据库、WEB站点和桌面终端操作系统等几大类，覆盖范围包括业务专网、外联网和互联网。 

检查工具

1、自动化工具

       安全检查脚本，或者全自动基线安全检查设备

2、人工安全评估Checklist

       在项目实施过程中采用相关评估Checklist标准：操作系统安全评估Checklist，中间件安全评估Checklist，数据库安全评估Checklist，网络／安全设备安全评估Checklist。

服务流程

     目前我公司基线安全检查服务通过“自动化工具配合人工检查”方式来完成。配置核查的大致流程图如下：（蓝色为人工完成部分，绿色主要采用自动化工具辅助人工完成部分）

     自动化工作目前采用主流的安全配置核查系统或检查脚本工具两种方式，安全配置核查系统通过远程登录检查的方式工作，可以完成绝大部分设备的检查，但针对物理隔离或网络隔离的设备就可以使用检查脚本工具来补充完成检查工作。

     人工检查主要参考安全配置核查基线来进行人工的检查，主要包括网络设备安全配置基线、安全设备安全配置基线、操作系统安全配置基线、数据库安全配置基线、中间件安全配置基线等。

交付物

针对客户的配置核查服务，结合信息系统实际情况主要产生诸如以下交付物成果：

1、《信息系统配置核查报告》。

2、《信息系统配置核查整改建议》。

安全评估风险规避措施

1、脚本使用前进行病毒扫描；

2、脚本不要经过未经扫描的移动介质传递；

3、脚本生成文档加密保存；

4、减少安全配置核查系统并行任务；

5、选择业务闲时执行安全配置核查系统任务；

6、敏感信息加密保存，禁止带离信息从设备上清除。

7、业务出现异常时，立即停止自动化检查工具。按照原始配置记录文件恢复配置，并进行业务测试。

| 渗透测试

测试目的

      渗透测试目的通过模拟黑客对目标系统进行渗透测试，发现并分析其存在的主机远程安全、敏感信息泄露、SQL注入漏洞、跨站脚本漏洞及弱口令等安全隐患，评估系统抗攻击能力，提出安全加固建议。

测试原则

渗透工作中严格遵循以下原则：

（1）规范性原则：渗透性测试方案的设计和实施应依据行业、国家、国际的相关规范进行；

（2）可控性原则：在保证测试质量的前提下，按计划进度执行。安全评估的工具、方法和过程要在双方认可的范围之内合法进行；

（3）低影响原则：渗透性测试工作应避免影响系统和网络的正常运行，不能对正常运行的系统和网络构成破坏和停止；

（4）保密原则：渗透性测试的过程和结果应严格保密。

       整个渗透过程就是不断地进行信息收集、分析和权限提升等一系列操作的过程。渗透测试的工作流程如下图所示，其中每一个步骤又有三个部分组成：操作、响应和结果分析。                                                          

渗透测试方法

      渗透测试的基本方法主要包括工具扫描和人工分析两种方法，如成功获得目标系统本地权限，还可进行一定程度的本地分析工作。

本次渗透测试工作完全通过互联网远程测试完成。在整个渗透测试过程当中，渗透测试人员在不了解网络结构、不了解服务器信息的情况下进行专业测试，具体方法以人工分析为主，工具扫描为辅。