文档介绍：.
编号：
网络平安防护检查报告
数据中心
测评单位：
报告日期：
目录第1章系统概况2
网络构造2
管理制度2第2的位置及危害程度扣除相应分值。各类平安隐患的扣分值如表3-2所示。
表3-2风险评估平安隐患扣分表[注1]:重要设备包括外网隔离设备、部平安域划分设备、互联网直联设备、
平安隐患类型
重要设备【注11
其它设备
高危漏洞【注21
中危漏洞【注21
弱口令
其它平安隐患【注31
网络业务核心设备。
[注2]:中高危漏洞以国外权威的CVE漏洞库和国家互联网应急中心VD漏洞库为根本判断依据；对于高危Web平安隐患，以国际上公认的开放式Web应
用程序平安工程〔OWASPOpenWebApplicationSecurityProje〕t确定最新的Top10中所列的WEB平安隐患判断作为判断依据
［注3］：其它平安隐患指可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络平安事件的隐患。
2、二次扣分
在一次扣分剩余得分的根底上，依据网络单元是否已被攻击入侵或发现的平安隐患是否可被技术检测单位利用，进展二次扣分。具体扣分步骤如下：
如通过技术检测，发现网络单元中存在恶意代码，或已被入侵而企业尚未发现并处置，扣除一次扣分后剩余得分的40%。
如通过技术检测，从网络单元外获取网络单元设备的管理员权限或获取网络单元数据库信息，扣除一次扣分后剩余得分的40%。
如通过技术检测，从网络单元获取设备的管理员权限或获取数据库信息，扣除一次扣分后剩余得分的20%。
最后剩余分数即为风险评估得分。
分为符合性评测和平安风险评估两局部，符合性评测具体容为：业务平安、网络平安、主机平安、中间件平安、平安域边界平安、集中运维平安管控系统平安、灾难备份及恢复、管理平安、第三方效劳平安状况。
平安风险评估主要通过技术检测发现网络单元是否存在中高危平安漏洞、弱
口令，以及可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络平安事件的隐患，检测是否存在恶意代码或企业尚未知晓的入侵痕迹，检测是否可以获取设备的管理员权限、数据库等。
表41:网络架构测试对象
序号
测试对象
描述
1
IDC
检测系统网络架构的合理性
表32:IDC网络设备列表
设备名称
型号
IP地址
核心路由器
表43:IDC网管系统主机列表表44:IDC网管系统列表
主机名称
型号
IP地址
系统软件
用途
数据库效劳
器
Windows2003
数据库效劳器
应用效劳器
Windows2003
应用效劳器
通讯效劳器
Windows2003
通讯效劳器
主机名称
型号
IP地址
系统软件
用途
流量效劳器
Windows2003
流量效劳器
业务/门户管
理效劳器
Windows2003
业务/门户管理效劳器
系统名称
主要功能
IDC综合运营管理系统
选择从互联网和网区域的测试点模拟外部用户与部托管用户进展渗透测试，并从互联网、托管用户区的测试点进展***。
该测试围涉及IDC平安管理审核，主要容包括：平安管理制度、平安管理机构、人员平安管理、平安建立管理、平安运维管理、灾难备份、应急预案等相关制度管理文档。
第4章符合性评测结果本次符合性评分主要依据网络单元符合性评测表的符合情况得分，其中每个
评测项对应分值，由100分除以符合性评测表中评测项总数所得。本次对IDC系统符合性检测项数为89项，单项分值为（100/89）。
序
号
检查容
检查点
评测
结果
分值
实际
扣分
说明
1
应按照合同保证IDC用户业务的平安；
是否按照合同要求保证IDC用户业务平安
符合
0
与用户签署相关协议，合同中对网络平安及业务平安进展相关描述和约定。但目前客户没有提出过单独的业务平安要求
序
号
检查容
检查点
评测
结果
分值
实际
扣分
说明
5
审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
审计记录是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
符合
0
IDC网络设备syslog审计日志存储在本机中，日志记录信息包含事件的日