网络安全等级保护“能力验证”：配置核查（Linux系统）

前言

作为测评机构一定会知道每年会举行“能力验证”活动，申请认可和获准认可的合格评定机构通过参加能力验证活动（包括 CNAS 组织实施或承认的能力验证计划、测评机构间比对和测量审核）证明其技术能力。之前的线上会议也表明了对测评机构能力建设方面的意见，在会议中说到机构的最高水平不代表机构的真实测评水平，因为机构派来参加能力验证的一般都是经验老道的测评师，所以表面上看起来没啥问题，真实测评中可能会存在很多问题。另外也采取了措施，比如相同人员相隔一年内无法参加能力验证，而且后续还有可能从“团队模式”的情况转化为“单人模式”。

在我看来，“能力验证”就是监管测评机构测评技术方面的一次考试，通过了这场考试，才代表有技术能力从事这测评工作。

2019能力验证

去年应该是由于疫情的原因，没有举办能力验证。笔者有幸参加了2019能力验证，这里就聊一聊自己的一些感悟和他们出题的考察点吧。

一、概述

这边看一下官方给出的概述

二、测评能力验证内容

2019年能力验证分3个考察内容：

1. 测评对象和测评指标选取

2. 配置检查

3. 渗透测试

一般3个人一组进行能力验证，上午测评方面，下午渗透方面。我这边是测评方面，做的是配置核查，这里就写一下我当时的测评情况。

2.1 样品系统环境

本次能力验证配置检查所用样品系统环境由 1 台 Linux 服务器、 1 台 Windows服务器、 1 台 NTP 服务器组成。

2.2 拓扑图结构

 

2.3 测评对象范围及配置说明

 

2.4 配置检查内容

针对模拟系统中的 Windows 和 Linux 服务器操作系统， 开展安全计算环境（操作系统）方面的配置检查和验证测试 。这里我就以Linux系统为代表，针对本次考察内容来聊一聊。

首先，先看一下我们最终要提交的配置检查结果报告单。

 

上面“注意事项”中，明确表明了测评记录要详实足够支撑结果判定。下面就看看具体操作系统中配置是如何的，将违反条款标准或安全策略的点要写清楚。我这里就不一一描述结果记录该怎么写了，这里主要讨论该条款中的得分点，答出它预设的问题点才算得分，其余的内容其实不算得分点。

1）身份鉴别