安全评估报告模板v0.1.doc

- 1 - / 9
　　 　 　 　 　　　 　　 　 　 　 　　 　 　 　 　 　 　
xxｘ
安全评估报告
- 1 - / 9
　　 　 　 　 　　　 　　 　 　 　 　　 　 　 　 　 　 　
xxｘ
安全评估报告
文档时间:201２/1２／xｘ
- 2 - / 9
目 录
安全评估方案简介
本次安全评估的对象为学校行政职能部门对外提供网络服务的所有主机（除去使用教育网段以外IＰ的部门产业处和成教、网络教育学院)。评估过程主要分为以下几个步骤:
扫描工具扫描
在网络安全体系的建设中，安全扫描工具花费低,效果好,见效快，与网络的运行相对独立,安装运行简单,可以大规模减少安全管理员的手工劳动,有利于保持全网安全政策的统一和稳定，是进行风险分析的有力工具。安全扫描技术基本上也可分为基于主机的和基于网络的两种,前者主要关注软件所在主机上的风险与漏洞,而后者则是通过网络远程探测其他主机的安全风险与漏洞。利用扫描工具是为了使我们对校园网从结构上得到一个清晰的认识,便于我们确定每一台主机在网络中所处的位置,利于后面对他们所面临的威胁和压力进行具体的分析,针对他们所提供的各种服务提出相应的加固意见。
人工安全检查
系统扫描是利用安全评估工具对绝大多数评估范围内的主机,网络设备等方面进行漏洞的扫描。但是，评估范围内的网络设备安全策略的弱点和部分主机的安全配置错误等并不能被扫描器全面发现，因此有必要对评估工具扫描范围之外的系统和设备进行手工检查。
渗透测试
渗透测试是指在获取用户授权后,通过真实模拟黑客使用的工具，分析方法来进行实际的漏洞发现和利用的安全测试方法。这种测试方法可以非常有效的发现最严重的安全漏洞,尤其是与全面的代码审计相比,其使用的时间更短,也更有效率。在测试过程中,我们将利用一些已知的漏洞信息在测试对象上加以验证,以确定测试对象是否存在此类漏洞。并可以根据相应的漏洞发布时间、社会熟知程度等推断测试对象的安全管理水平，同时进行弱口令的验证。通过对某些重点服务器进行准确，全面的测试,可以发现系统最脆弱的环节,以便对危害性严重的漏洞及时修补,以免后患。
- 3 - / 9
压力测试和负载测试
使用LoａdRunｎer(预测系统行为和性能的负载测试工具),通过以模拟大量用户实施并发负载及实时性能监测的方式来确认和查找网络服务器性能问题，LｏadＲuｎner能够对整个网络架构进行测试,压力测试只针对访问量较大的网站做测试。在性能分析过程中,我们将采用多种手段对目标进行负载测试、强度测试和容量测试等。对目标的抗攻击能力进行评级，未达到要求的给出改进意见。
安全策略评估
安全策略是对整个网络在安全方面，详细的策略性描述,它是目前改善整个校园网络安全的建设性意见和建议。不同的网络需要不同的策略,它必须包括整个网络中与安全密切相关的问题,并确定相应的防护手段和实施办法,就是针对整个校园网络的一份相对可行的安全策略。