18.1 概況
1）概念
：指參照一定的標準規範要求，透過一系列的技術和管理方法，獲取評估物件的網路安全狀況資訊，對其給出相應的網路安全情況綜合判定。
網路安全測評物件通常包括資訊系統的組成要素或資訊系統自身。
2）發展
- 1983年，美國國防部頒佈《可信計算機系統評估準則 TCSEC》
- 1991年，歐洲釋出《資訊科技安全評估準則 ITSEC》
- 1993年，美國發布《資訊科技安全評估聯邦準則 FC》
- 1996年，六國七方提出《資訊科技安全評價通用準則 CC 1.0版》
- 1998年，六國七方釋出 CC 2.0 版
- 1999年，ISO 接受CC作為國際標準 ISO/IEC 15408 標準
- 1995年，英國制定《資訊保安管理要求》，後續演變成 ISO/IEC 27001
- 1999年，我國發布《計算機資訊系統安全保護等級劃分準則 GB 17859-1999》
- 2001年，參考 ISO/IEC 15408，我國發布《資訊科技 安全技術 資訊科技安全性評估準則 GB/T 18336-2001》
- 2008年，我國建立了自成體系的資訊系統安全等級保護標準
18.2 型別
1）基於目標分類
1.安全等級測評
：是測評機構依據國家網路安全等級保護相關法律法規，按照有關管理規範和技術標準，對非涉及國家秘密的網路資訊系統的安全等級保護狀況進行檢測評估的活動。網路資訊系統安全等級測評主要檢測和評估資訊系統在安全技術、安全管理等方面是否符合已確定的安全等級的要求;對於尚未符合要求的資訊系統，分析和評估其潛在威脅、薄弱環節以及現有安全防護措施，綜合考慮資訊系統的重要性和麵臨的安全威脅等因素，提出相應的整改建議，並在系統整改後進行復測確認，以確保網路資訊系統的安全保護措施符合相應安全等級的基本安全要求。
2.驗收測評
：是依據相關政策檔案要求，遵循公開、公平和公正原則，根據使用者申請的專案驗收目標和驗收範圍，結合專案安全建設方案的實現目標和考核指標，對專案實施狀況進行安全測試和評估，評價該專案是否滿足安全驗收要求中的各項安全技術指標和安全考核目標，為系統整體驗收和下一步的安全規劃提供參考依據。
3.風險測評
：是從風險管理角度，評估系統面臨的威脅以及脆弱性導致安全事件的可能性，並結合安全事件所涉及的資產價值來判斷安全事件一旦發生對系統造成的影響，提出有針對性的抵禦威脅的方法措施，將風險控制在可接受的範圍內，達到系統穩定執行的目的，為保證資訊系統的安全建設、穩定執行提供技術參考。
網路資訊系統安全風險測評從技術和管理兩方面進行，主要內容包括系統調查、資產分析、威脅分析、技術及管理脆弱性分析、安全功能測試、風險分析等，出具風險評估報告，提出安全建議。
2）基於內容分類
依據網路資訊系統構成的要素，網路安全測評可分成兩大型別:技術安全測評和管理安全測評。其中，技術安全測評主要包括物理環境、網路通訊、作業系統、資料庫系統、應用系統資料及儲存系統等相關技術方面的安全性測試和評估。管理安全測評主要包括管理機構、管理制度、管理流程、人員管理、系統建設、系統運維等方面的安全性評估。
3）基於實施方式分類
1.安全功能檢測
安全功能檢測依據網路資訊系統的安全目標和設計要求，對資訊系統的安全功能實現狀況進行評估，檢查安全功能是否滿足目標和設計要求。
安全功能符合性檢測的主要依據有:《資訊保安技術 資訊系統等級保護安全設計技術要求》(GB/T25070-2010)、《資訊保安技術 資訊系統通用安全技術要求》(GB/T20271-2006)、網路資訊保安最佳實踐、網路資訊系統專案安全需求說明書等。
主要方法是:訪談調研、現場査看、文件審查、社會工程、漏洞掃描、滲透測試、形式化分析驗證等。
2.安全管理檢測
安全管理檢測依據網路資訊系統的管理目標，檢查分析管理要素及機制的安全狀況，評估安全管理是否滿足資訊系統的安全管理目標要求。
主要方法是:訪談調研、現場檢視、文件審查、安全基線對比、社會工程等。
3.程式碼安全審查
程式碼安全審查是對定製開發的應用程式原始碼進行靜態安全掃描和審查，識別可能導致安全問題的編碼缺陷和漏洞的過程。
4.安全滲透測試
透過模擬駭客對目標系統進行滲透測試，發現、分析並驗證其存在的主機安全漏洞、敏感資訊洩露、SOL注入漏洞、跨站指令碼漏洞及弱口令等安全隱患，評估系統抗攻擊能力，提出安全加固建議。
5.資訊系統攻擊測試
根據使用者提出的各種攻擊性測試要求，分析應用系統現有防護裝置及技術，確定攻擊測試方案和測試內容;採用專用的測試裝置及測試軟體對應用系統的抗攻擊能力進行測試，出具相應測試報告。測試指標包括:防禦攻擊的種類與能力，如拒絕服務攻擊、惡意程式碼攻擊等。
4）基於測評物件保密性分類
1.涉密資訊系統測評
涉密資訊系統測評是依據國家保密標準，從風險評估的角度，運用科學的分析方法和有效的技術手段，透過對涉密資訊系統所面臨的威脅及其存在的脆弱性進行分析，發現系統存在的安全保密隱患和風險，同時提出有針對性的防護策略和保障措施，為國家保密工作部門對涉密資訊系統的行政審批提供科學的依據。
2.非涉密資訊系統測評
非涉密資訊系統測評是依據公開的國家資訊保安標準、行業標準、資訊保安規範或業務資訊保安需求，利用網路資訊保安技術方法和工具，分析資訊系統面臨的網路安全威脅及存在的安全隱患，綜合給出網路安全狀況評估和改進建議，以指導相關部門的資訊保安建設和保障工作。
18.3 流程及內容
1）流程與內容
主要包括技術安全測評、管理安全測評。其中，技術安全測評的主要內容有安全物理環境、安全通訊網路、安全區域邊界、安全計算環境、安全管理中心:管理安全測評的主要內容有安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理。
2）滲透測試流程與內容
網路安全滲透測試的過程可分為委託受理、準備、實施、綜合評估和結題五個階段
18.4 技術與工具
1）漏洞掃描
2）安全滲透測試
黑河模型
白盒模型
灰盒模型
3）程式碼安全審查
4）協議分析
型別關鍵字
傳輸方向關鍵字
協議關鍵字
5）效能測試
效能檢測工具
Apache JMeter
LoadRunner
SmartBits
18.5 質量管理與標準
1）測評質量管理
網路安全測評質量管理是測評可信的基礎性工作，網路安全測評質量管理工作主要包括測評機構建立質量管理體系、測評實施人員管理、測評實施裝置管理、測評實施方法管理、測評實施檔案控制、測評非符合性工作控制、體系執行監督、持續改進。
2）測評標準
資訊系統安全等級保護測評標準
產品測評標準
資訊保安風險評估標準
密碼應用安全
工業控制系統資訊保安防護能力評估