什么是安全评估,安全加固，最好能举点实例

定义　　(Safety assessment ) 网络安全评估又叫安全评价。 　　一个组织的信息系统经常会面临内部和外部威胁的风险。 随着黑客技术的日趋先进，没有这些黑客技术的经验与知识很难充分保护您的系统。 安全评估利用大量安全性行业经验和漏洞扫描的最先进技术，从内部和外部两个角度，对企业信息系统进行全面的评估。[1] 　　由于各种平台、应用、连接与变更的速度和有限的资源组合在一起，因此采取所有必要措施保护组织的资产比以往任何时候都困难。环境越复杂，就越需要这种措施和控制来保证组织业务流程的连续性。 　　安全评估分狭义和广义二种。狭义指对一个具有特定功能的工作系统中固有的或潜在的危险及其严重程度所进行的分析与评估，并以既定指数、等级或概率值作出定量的表示，最后根据定量值的大小决定采取预防或防护对策。广义指利用系统工程原理和方法对拟建或已有工程、系统可能存在的危险性及其可能产生的后果进行综合评价和预测，并根据可能导致的事故风险的大小，提出相应的安全对策措施，以达到工程、系统安全的过程。安全评估又称风险评估、危险评估，或称安全评价、风险评价和危险评价。安全评估目标　　在项目评估阶段，为了充分了解企业专用网络信息系统的当前安全状况（安全隐患），因此需要对网络系统进行安全状况分析。经我系安全小组和该企业信息中心的双方确认，对如下被选定的项目进行评估。 　　 管理制度的评估 　　 物理安全的评估 　　 计算机系统安全评估 　　 网络与通信安全的评估 　　 日志与统计安全的评估 　　 安全保障措施的评估 　　 总体评估安全加固安全加固概述 网络与应用系统加固和优化服务是实现客户信息系统安全的关键环节。通过使用该项服务，将在客户信息系统的网络层、主机层和应用层等层次建立符合客户安全需求的安全状态，并以此作为保证客户信息系统安全的起点。网络与应用系统加固的对象，往往存在以下安全问题：1. 安装、配置不符合安全需求；2. 参数配置错误；3. 使用、维护不符合安全需求；4. 系统完整性被破坏；5. 被注入木马程序；6. 帐户/口令问题；7. 安全漏洞没有及时修补；8. 应用服务和应用程序滥用；9. 应用程序开发存在安全问题等。 网络与应用系统加固和优化服务的目的是通过对主机和网络设备所存在安全问题执行以下操作： 1. 正确的安装；2. 安装最新和全部OS和应用软件的安全补丁；3. 操作系统和应用软件的安全配置；4. 系统安全风险防范；5. 提供系统使用和维护建议；6. 系统功能测试；7. 系统安全风险测试；8. 系统完整性备份；9. 必要时重建系统等。 上述工作的结果决定了网络与应用系统加固和优化的流程、实施的内容、步骤和复杂程度。具体说，则可以归纳为：1. 明确加固目标也就确定系统在做过加固和优化后，达到的安全级别,通常不同环境下的系统对安全级别的要求不同,由此采用的加固方案也不同. 明确加固目标的结果必须能够明确做加固和优化的系统如何在功能性与安全性之间寻求平衡，即加固后能达到的安全程度可以满足用户需求。2. 明确系统运行状况的内容包括: a) 系统的具体用途,即明确系统在工作环境下所必需开放的端口和服务等。b) 系统上运行的应用系统及其正常所必需的服务。c) 我们是从网络扫描及人工评估里来收集系统的运行状况的。3. 明确加固风险:网络与应用系统加固是有一定风险的,一般可能的风险包括停机、应用程序不能正常使用、最严重的情况是系统被破坏无法使用。这些风险一般是由于系统运行状况调查不清导致，也有因为加固方案的代价分析不准确，误操作引起。因此在加固前做好系统备份是非常重要的。 4. 系统备份：备份内容包括：文件系统、关键数据、配置信息、口令、用户权限、等内容；最好做系统全备份以便快速恢复。加固和优化流程概述 网络与应用系统加固和优化的流程主要由以下四个环节构成：1. 状态调查对系统的状态调查的过程主要是导入以下服务的结果：a) 系统安全需求分析b) 系统安全策略制订c) 系统安全风险评估(网络扫描和人工评估) 对于新建的系统而言，主要是导入系统安全需求分析和系统安全策略制订这两项服务的结果。在导入上述服务的结果后，应确定被加固系统的安全级别，即确定被加固系统所能达到的安全程度。同时，也必须在分析上述服务结果的基础上确定对网络与应用系统加固和优化的代价。2. 制订加固方案制订加固方案的主要内容是根据系统状态调查所产生的结果制订对系统实施加固和优化的内容、步骤和时间表3. 实施加固对系统实施加固和优化主要内容包含以下两个方面：a) 对系统进行加固b) 对系统进行测试对系统进行测试的目的是检验在对系统使是安全加固后，系统在安全性和功能性上是否能够满足客户的需求。上述两个方面的工作是一个反复的过程，即，每完成一个加固或优化步骤后就要测试系统的功能性要求和安全性要求是否满足客户需求；如果其中一方面的要求不能满足，该加固步骤就要重新进行。对有些系统会存在加固失败的情况，如果发生加固失败，则根据客户的选择，要么放弃加固，要么重建系统。4. 生成加固报告加固报告是向用户提供完成网络与应用系统加固和优化服务后的最终报告。其中包含以下内容：a) 加固过程的完整记录b) 有关系统安全管理方面的建议或解决方案c) 对加固系统安全审计结果

安全评估：

通过工具扫描、人工检测、人工询问的多样化的方式，找出被评估系统的弱点、面临的威胁情况，并结合资产的等级情况等，分析系统存在的安全风险并进行风险管理。

实行的手段

使用的评估工具

安全加固：

安全加固的目标是进行降低风险，坚持风险最大化，威胁最小化的原则，因为威胁总是存在的，加固的原则就是尽量将不确定因素控制在可接受的程度。

安全加固一般的流程：