渗透测试与等保测试区别_渗透测试与等保

等级保护常见问题和解答

答：等级保护是公安部第三研究为响应国务院147号令而牵头制定的信息安全标准和规范，全称《信息安全等级保护》。等级保护截止目前为止分为两个版本，等级保护1.0和等级保护2.0，基本内容要求分别参考GB/T 22239-2008和GB/T 22239-2019，由此可见等级保护1.0是从2008年开始实施的，而等级保护2.0是从2019年开始实施的。

  等保2.0之后都是由专家进行定级，也就是在当地公安网监部门进行等保备案的时候进行定级评估。一般遵循如下原则：

答：等保的指标项参考基本要求项GBT 22239和测评项 GBT 28448；原则上可以通过配置和自身调整实现的基本要求项和测评项就不需要额外购买软硬件来弥补，如果实在消耗人力和资源过大和无法通过自身资源调整实现，那最快最使用的方式就是购买第三方软硬件和服务来实现该项的要求。

答：等级保护的范围是全国所有非涉密系统，无论系统在内网还是互联网，都需要做等保。

答：等级保护是以信息系统为整体，而不是以公司或部门。

  比如有一个公司有10个信息系统，那么除去不重要的，还有5个。

a、有两个信息系统之间存在较多的数据之间的交互，则可以以一个整体做等保；

b、如有较少的数据交互或不存在交互，则建议单独定级。

答：等保二级每两年一次，没有明确的标准说明，一般都是建议每两年做一次。

等保三级每年都需做一次，参考见《信息安全等级保护管理办法》(公通字[2007]43号)，又称43号文第十四条明确规定。

  国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行网络安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

  如果你的信息系统没做等保，那被攻击了，造成一定影响了，首先是你没履行网络安全义务，其次是黑客犯法，两者都将收到严惩。

  关键信息基础设施简称“关保”，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

  等级保护与关键信息基础设施保护的区别在于，“关保”是在网络安全等级保护制度的基础上，实行重点保护。《中华人民共和国网络安全法》第三章第二节规定了关键信息基础设施的运行安全，包括关键信息基础设施的范围、保护的主要内容等。

  目前“关保”的基本要求、测评指南、高风险判例等均已完成，相关工作已启动。等保的受众范围比关保要广泛，通常要做关保建设的主体都要做等保建设，而要做等保建设的不一定要做关保建设，关保建设是针对重要行业和领域的，是基于等保之上进行重点保护的。

  《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。

  等级保护工作是保障我国网络安全的基本动作，目前各单位需按照所在行业及保护对象重要程度，依据网络安全法及相关部门要求，按照“同步规划、同步建设、同步使用”的原则，开展等级保护工作。

  一个二级或三级的系统整体持续周期1-2个月。

  现场测评周期一般1周左右，具体时间还要根据信息系统数量及信息系统的规模，以及测评方与被测评方的配合情况等有所增减。

  小规模安全整改（管理制度、策略配置技术整改）2-3周，出具报告时间1-2周。

  目前各地根据各自省份或城市的情况，还存在单独规定测评实施周期的情况，一般是签订测评合同之日起3-6个月必须出具测评报告。

  等级保护工作属于属地化管理，测评收费非全国统一价，测评费用每个省都有一个参考报价标准。因业务系统规模大小及是否涉及扩展功能测试不同总体测评费用也有所差异。

如某省的参考报价为：二级系统测评费5万，三级系统测评费9万。

  等级保护采用备案与测评机制而非认证机制，不存在包过的说法，盲目采纳服务商包过的产品与服务套餐往往不是最高性价比的方案。网络运营者可结合自身实际安全需求与等保测评预期得分，咨询专业的第三方安全咨询服务机构来开展等建设工作。

  测评后无合格证书。等级保护采用备案与测评机制而非认证机制，在属地网安备案后可获得《信息系统安全等级保护备案证明》，测评工作完成后会收到具有法律效率的“测评报告（至少要加盖测评机构公章和测评专用章）”。

  全国各省网警管理有所差异，一般提交备案流程后，如资料完备，顺利通过审核后15个工作日即可拿到备案证明。

  等级保护2.0测评结果包括得分与结论评价；得分为百分制，及格线为70分；结论评价分为优、良、中、差四个等级。

  不同公司作为两个独立承担法律的主体单位，必须明确唯一的备案主体，不能算一个系统。同一单位的业务系统，如确实经过改造，入口、后台、业务关联性、重要程度等符合《GB/T 22240-2020 信息系统安全 网络安全等级保护定级指南》要求可以算作一个系统。

  选择有测评资质的测评公司，优先考虑本地测评公司。可参照中国网络安全等级保护网（ djbh.net ）的《全国网络安全等级保护测评机构推荐目录》选中几家进行邀请投标，同时关注该网站公布的国家网络安全等级保护工作协调小组办公室的不定期整改公告中是否涉及相关测评公司。

  等级保护涉及面广，相关的安全标准、规范、指南还有很多正在编制或修订中。常用的规范标准包括但不限于如下：

  不是。等级保护测评结论为“差”，表示目前该信息系统存在高危风险或整体安全性较差，没有达到相应标准要求。但是这并不代表等级保护工作白做了，即使你拿着不符合的测评报告，主管单位也是承认你们单位今年的等级保护工作已经开展过了，只是目前的问题较多，没达到相应的标准，需要抓紧整改。

  一般情况是备案证明和测评报告，测评报告应加盖测评机构公章和测评专用章。

  要做。业务上云有多种情况，如在公有云、私有云、专有云等不同属性的云上，并采用IaaS、PaaS、SaaS、IDC托管等不同服务，虽然安全责任边界发生了变化，但网络运营者的安全责任不会转移。根据“谁运营谁负责、谁使用谁负责、谁主管谁负责”的原则，应承担网络安全责任进行等级保护工作。

  很多人认为，完成等保测评就万事大吉了。其实，不然。等保测评标准只是基线的要求，通过测评、整改，落实等级保护制度，确实可以规避大部分的安全风险。但是，安全是一个动态而非静止的过程，不是通过一次测评，就可以一劳永逸的。

  企业通过落实等保安全要求，并严格执行各项安全管理的规章制度，基本能做到系统的安全稳定运行。但依然不能百分百保证系统的安全性。因此，要通过等级保护测评工作开展，以“一个中心、三重防护”好“三化六防”等为指导，不断提升网络攻防能力。

  首先，等保的每隔一段时间进行评测的，是一个持续不断的过程；即使投机取巧今年过了，明年后年也还是要进行测评的。

  其次，并没有要求一定要自己购买，只需要提供有相关的服务证明即可，租赁合同也可以的。

  首先声明等保是没有明文规定要求去购买第三方软件和硬件的，第三方的软件和硬件只是作为补偿措施；在应用系统本身无法都满足等保要求的情况下，可以借助一些补偿措施来弥补应用系统上的不足，让应用系统符合等级保护测评项的相关要求。

漏洞扫描： 基本所有级别的等保都建议要进行漏洞扫描

渗透测试： 三级等保要求必须做，二级等保虽然不是强制要求但是首次进行等保建设还是建议先做一次的。

基线核查： 并非等保要求，但是方便去整改；如果在测评之前做了基线核查工作，那么整改起来也会方便很多。

最快也得一周，具体看当地网监部门的审核进度。

等保(等级保护)跟渗透测试有什么关系

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

等级保护分为五个级别：

① 第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益;

② 第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全;

③ 第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害;

④ 第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害;

⑤ 第五级，等级保护对象受到破坏后，会对国家安全造成特别严重损害。

办理等级保护备案的流程是：

一步：定级;（定级是等级保护的首要环节）

二步：备案；（备案是等级保护的核心）

三步：建设整改；（建设整改是等级保护工作落实的关键）

四步：等级测评；（等级测评是评价安全保护状况的方法）

五步：监督检查。（监督检查是保护能力不断提高的保障）

证书案例

等保测评要会web渗透吗

等保测评：也就是信息安全等级保护，是验证信息系统是否满足相应安全保护等级的评估过程。要求网络运营者应当按照网络安全等级保护制度的要求，履行信息系统安全保护义务，保障信息系统免受干扰、破坏或者未经授权的访问，防止信息数据泄露或者被窃取、篡改。

等保测评流程

1.测评准备阶段：合同保密协议签署，定级报告，备案表，测评方案，检测表准备。

系统备案（填备案表，如下两份）

向市级公安机关主管部门提交材料:《信息系统安全等级保护定级报告》,《信息系统安全等级保护备案表》

超详细的等保“测评”攻略来了

2、调研与方案编制：业务调研、资产调研与确认、扫描方案编制测评机构成立项目组后，工作人员到被检测的单位进行调研，了解被测评系统，并整理出相关的材料，达成共识后以便开展接下来的测评工作。

3、现场测评：测评工具准备、现场测评准备、脆弱性检测、安全技术测评、安全管理测评进入检测阶段后，测评机构项目组成员根据之前整理好的材料完成测评工作。

测评方法：

1. 访谈，查看（了解环境）

2. 配置核查（看标准配置文件是否配置正确）

3. 安全测试：漏洞检测（针对web），渗透测试（以绕开被测评项目为目的，从而获取信息文件，进行测评被测评项目的安全性）

4.测评工具：等保工具箱，应用扫描器，主机扫描，协议分析，嗅探，木马，日志分析。

判定依据：（等保2.0）测评采用通用安全要求+扩展安全要求形式，两部分均通过才允许测评通过。

了解高危风险的高危漏洞有哪些：勒索病毒入侵，文件上传漏洞，SQL注入，XSS跨站脚本，Struts2远程命令执行漏洞，Java反程序化远程命令执行漏洞，弱口令等。

4、测评报告：综合分析与结论、测评报告编制测评结束后，测评机构会根据测评的实际情况生成等级测评报告和安全建议报告