文档介绍：编号:
网络安全防护检查报告
数据中心
测评单位:
报告日期:
目录
第1章系统概况 2
1网络结构 2
2管理制度 2
第2章评测方法和工具 4
1测试方式 4
2测试工具 4
3评分方法 5
. 1符合性评测评分方法 5
5
第3章测试内容 8
1测试内容概述 8
9
10
第4章符合性评测结果 11
1业务安全 11
4. 2网络安全 11
4. 3主机安全 12
13
4. 5安全域边界安全 13
4. 6集中运维安全管控系统安全 14
4. 7灾难备份及恢复 15
15
9第三方服务安全 16
第5章风险评估结果 18
1存在的安全隐患 18
第6章综合评分 19
1符合性得分 19
6. 2风险评估 19
6. 3综合得分 19
附录A设备扫描记录 20
所依据的标准和规范有:
m/T 2584-2013互联网数据中心IDC安全防护要求》
(YD/T 2585-2013互联网数据中心IDC安全防护检测要求》
《YD/T 2669-2013第三方安全服务能力评定准则》
《网络和系统安全防护检查评分方法》
IDC》
絵014年度通信网络安全防护符合性评测表-互联网数据中心 还参考标准
YD/T 1754-2008《电信和互联网物理坏境安全等级保护要求》
YD/T 1755-2008《电信和互联网物理坏境安全等级保护检测要求》
YD/T 1756-2008《电信和互联网管理安全等级保护要求》
GB/T 20274信息系统安全保障评估框架
GB/T 20984-2007《信息安全风险评估规范》
第1章系统概况
IDC设备硬、
IDC由 负责管理和维护，其中各室配备了数名工程师，负责
软件维护，数据制作，故障处理、信息安全保障、机房环境动力设备和空调设备维护。
图1-1 : IDC网络拓扑图
1. 1 网络结构
1. 2 管理制度
网络与信息安全工作小组
信息安全工作组
网络安全工作组
具体职能部门
图1-2 : IDC信息安全管理机构
现有的管理制度、规范及工作表单有：
«IDC机房信息安全管理制度规范》
《IDC机房管理办法》
«IDC灾难备份与恢复管理办法》
《网络安全防护演练与总结》
《集团客户业务故障处理管理程序》
《互联网与基础数据网通信保障应急预案》
《IDC网络应急预案》
《关于调整公司跨部门组织机构及有关领导的通知》
«网络信息安全考核管理办法》
《通信网络运行维护规程公共分册-数据备份制度》
《省分公司转职信息安全人员职责》
《通信网络运行维护规程IP网设备篇》
《城域网BAS SR设备配置规范》
《IP地址管理办法》
《互联网网络安全应急预案处理细则》《互联网网络安全应急预案处理预案 （2013修订版）》
第2章评测方法和工具
2. 1 测试方式
检查
通过对测试对彖进行观察、查验、分析等活动，获取证据以证明保护措施是
否有效的一种方法。
测试
通过对测试对彖按照预定的方法/工具使其产生特定的响应等活动，查看、分析测试对象的 响应输出结果，获取证据以证明保护措施是否有效的一种方法。
2. 2 测试工具
主要使用到的测试工具有：扫描工具、渗透测试工具、抓包工具、漏洞利用 验证工具等。 具体描述如下表：
表3-1 :测试工具
序号
工具名称
工具描述
1
绿盟漏洞扫描系统
脆弱性扫描
2
科莱网络协议分析工
具
/、
脆弱性扫描
3
Nmap
端口扫描
4
Burp Suite
WE醪透集成工具
2. 3 评分方法
分为符合性检测和风险评估两部分工作。网络单元安全防护检测评分二符合性评测得分X
60盼风险评估得分X 40%其中符合性评测评分和风险评估评分均 采用百分制。
2. 3. 1 符合性评测评分方法
符合性评测评分依据网络单元符合性评测表中所列制度、措施的符合情况计分，其中每个 评测项对应分值，由100分除以符合性评测表中评测项总数所得。
2. 3. 2 风险评估评分方法
网络单元风险评估首先基于技术检测中发现的安全隐患的数量、 位置、危害
程度进行一次扣分；然后依据发现的安全隐患是否可被技术检测单位利用进行二次扣分。风险评 估评分流程具体如下。
1、一次扣分
在技术检测时，每发现一个安全隐患，根据其所处的位置及危害程度扣除相应分值。各类 安全隐患的扣分值如表3-2所