安全服务.新系统上线前安全评估服务

（1）安全评估介绍

在新信息系统上线或进行关键调整之前，进行全面的安全评估至关重要。这项服务旨在审查物理环境、网络设备、操作系统、中间件、数据库等多个层面的安全配置合规性。基于评估结果，我们将出具详尽的《安全评估报告》，并为应用系统厂商提供风险控制、加固和修复的专业建议。

安全评估的覆盖面非常广泛，它包括网络信息系统的所有关键部分，从物理基础设施到网络架构，再到应用程序、数据库、服务器和网络安全设备的安全性。评估还将包括对安全产品和技术的当前使用情况，以及管理框架的健全性进行审视。此外，管理风险、整体安全风险以及应用系统自身的安全性能也将在评估过程中得到特别关注。

为了确保评估结果的准确性和全面性，我们采用专业工具扫描、人工评估以及渗透测试相结合的方式。这种方法能够全面识别应用系统所处环境中存在的潜在威胁，并基于这些威胁确定所需达到的系统安全目标，以确保应用系统能够抵御预期的安全风险。

（2）安全评估流程

安全评估主要分为资产评估、威胁评估、脆弱性评估、风险综合分析、风险处置计划、安全评估验收

资产评估

资产分类与识别是组织进行有效资产管理的基础步骤，它涵盖了对主机设备、网络设备、数据库系统、应用系统、文档资产以及人员资产等各类资产的全面识别。这一过程不仅是对资产进行简单的分类，更重要的是对每类资产进行细致的价值评估，从而更深入地了解其潜在价值、利用现状、维护状态和管理水平。通过资产识别与分类赋值，组织可以清晰地认识到不同资产的保护价值及其所需的保护层次。这有助于组织更合理地利用现有资产，提高资产管理效率，同时也为制定更有针对性的资产保护策略提供了依据。此外，了解各类资产的潜在价值还有助于组织在投入新资产时做出更具策略性的决策，确保资源的最优化分配和使用。

威胁评估：

 威胁评估是一个全面而系统的过程，专注于对已识别威胁的详尽分类与分析。其主要目标是深入挖掘系统可能遭遇的潜在风险因素。通过分析这些威胁，我们能更精确地把握其本质、起源和潜在影响，为风险管理和制定应对策略提供数据支持。威胁评估帮助我们明确系统的弱点和潜在威胁，进而提高系统的安全性和稳定性。

脆弱性评估：

 技术脆弱性评估专注于系统的物理环境、网络架构、应用软件和业务流程等层面。我们采用多种手段进行评估，包括使用专业工具扫描、依据检查表进行手动检查、模拟攻击的渗透测试，以及通过访谈收集专家意见。这些方法帮助我们识别并量化技术脆弱性，更准确地评估系统安全状况。管理脆弱性评估则关注组织的安全管理体系，包括安全政策、管理结构、人员管理、建设管理和运维管理等。通过管理访谈和文档审查，我们深入了解组织的安全管理现状，识别并量化管理脆弱性。

风险综合分析：

 这一步骤涉及对当前安全风险的分析，包括风险计算、处理和选择安全控制措施。根据风险值进行排序，决定风险处理方式和安全控制措施。

风险处置计划：

 对于不可接受的风险，需要制定详尽的风险处理计划，该计划基于脆弱性和威胁源定制。计划应详细说明为弥补脆弱性、减少潜在损失或降低安全事件可能性而采取的新安全措施，包括预期效果、实施条件、进度安排和责任部门。

在选择安全措施时，需综合考虑组织资源、预算、环境、人员、时间、法律、技术可行性和组织文化等限制因素。管理措施作为技术措施的补充，共同提升整体安全水平。选择和实施安全措施时，应参考国家和行业标准，确保其有效性和合规性。新安全措施部署后，应进行再评估，验证措施是否有效降低残余风险。如果风险仍不可接受，需进一步权衡，考虑是否接受风险或增加额外措施。这一决策过程需考虑组织的长期目标、风险承受能力和资源投入。

安全基线加固服务

制定安全基线标准，对服务器进行安全加固。从身份鉴别、访问控制、安全审计、防病毒防恶意代码等方面对操作系统进行基本的安全加固，使服务器具有基本的安全防护能力，能抵御对操作系统的直接攻击，能在发生攻击时限制影响范围。

完善系统内部安全机制。改善系统的内部安全性机制可以提高Unux操作系统的内部性能，并防止缓冲区溢出攻击。这是预防攻击的最恶意，也是最困难的方法，但是这些改进需要系统管理员的丰富经验和技能。但是，许多要求很高安全性的Unux系统仍然需要它。

添加新的访问控制功能。Linux内核2.3版尝试将访问控制列表引入文件系统，以便可以将访问控制详细添加到前三种类型的机制（所有者，组等）中。

安装陷阱和圆珠笔。称为陷阱的程序是一种可以在激活后触发警报事件的软件，而配置单元是旨在欺骗访问尝试并触发特殊警报的陷阱。通过设置陷阱和蜂蜜程序，系统会在发生登录事件时迅速提醒。在许多大型网络中，通常执行特殊的陷阱过程。