等级保护测评 - 江西诚韬信息技术有限公司

安全服务智能化运营运维架构

等级保护测评
2017年6月1日，《中华人民共和国网络安全法》正式实施。第二十一条明确规定，“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务”。确定了信息系统单位 “谁主管谁负责，谁经营谁负责”的信息安全保障责任制。《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），遵循《网络安全等级保护基本要求》（GB/T 22239-2019）等技术标准，明确了等级保护是我国开展网络安全保障工作的基本制度、基本国策和基本方法，确定了系统定级、备案、等级测评、安全建设整改、监督检查等工作流程及要求，为开展网络安全等级保护工作提供了规范保障，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。公司作为等级保护测评机构，严格按照等级保护的要求协助用户完成等级保护测评工作。
安全培训
信息安全从安全意识的培养，防御技术的创新发展，到业务安全的深入理解等方面确定了“教育培训”的重要地位。
公司凭借多年的技术沉淀及对用户业务的动态深入理解，准确为客户提供安全意识培训、安全管理培训、安全技术培训、安全认证培训、定制专项培训等服务。
公司依托公安部第三研究所、国家计算机入侵和防病毒研究中心，开展CCSS安全认证培训，为网络安全服务人员建立统一的能力评估标准，并为政府、企事业单位培训具备专业安全技术服务能力的高质量人才。
安全咨询
1、等保建设咨询
协助用户完成等级保护自测评并给出自测评报告，协助用户完成等级保护各个阶段建设确保用户严格按照等级保护的过程规划并建设自己的安全保障体系。
2、安全规划咨询
针对用户现状进行调研分析和需求分析，参考国内外信息安全体系模型，在明确用户信息安全建设目标的前提下，建立符合用户的信息安全保障体系框架。
3、数据安全咨询
提供敏感数据分级分类、控制机制和基于数据生成、传输、存储销毁全生命周期的安全咨询服务。
4、行业合规咨询
依据行业监管要求结合用户实际需求，通过提供合规性咨询调研设计，最终达到国家和上级监管机构的要求。

风险评估
安全评估服务参照国家及行业安全标准，以安全建设为出发点，利用大量的网络安全行业经验和先进的漏洞扫描技术，从内部和外部两个角度对企业信息系统进行全面的评估。帮助客户了解客观真实的自身网络系统安全现状及面临的安全风险，并为客户提供风险规避建议。通过全局的脆弱性评估、威胁评估和风险评估，掌握通过信息摸排、渗透测试、基线核查等手段对信息系统安全风险状况提出风险处置建议和风险评估报告。
安全运维
安全运维服务是指客户通过引入专业信息安全服务团队来保障自身信息系统的稳定安全运行，通过服务提高客户信息系统的整体安全等级，为保证业务的健康发展和提升核心竞争力提供坚实的基础保障。
安全运维服务包括安全评估、安全监控、安全巡检、故障处理、系统检查、系统升级、漏洞扫描、渗透测试、安全加固、备份管理、安全培训、安全管理制度等。
漏洞扫描
采用专业安全扫描工具与人工检查相结合的方式，对客户网络进行定期扫描，发现主机操作系统、网络设备、数据库、弱口令、开放的高危端口、安全设备自身存在的安全漏洞等提出安全加固建议。

攻击面梳理
1、资产基础信息识别
通过工具及人工服务相结合的模式，对相关系统进行资产情报的搜集，梳理出资产的IP、端口信息、主机应用、各类指纹信息等资产详情。
2、业务关系梳理
通过系统自动获取网络中的流量信息，判断各类网络资产之间的业务数据流量关系。
3、资产发现服务
以工具和人工分析相结合的方式，对用户单位资产进行检查发现服务，及时发现暴露在互联网上的信息资产，并进行安全扫描，协助用户梳理资产。
应急响应
1、应急响应预案
公司协助客户进行应急预案的制定，规范应急响应流程和管理，提高客户处置网络与信息安全突发事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大程度地预防和减少网络与信息安全突发事件及其造成的损害，保障信息资产安全。
2、应急响应服务
公司在客户遇到安全威胁事件后，迅速采取措施和行动，以最快速恢复系统数据的保密性、完整性和可用性，阻止和降低安全威胁事件带来的严重性影响。遇到重大或突发事件后所采取的措施和行动包括：硬件、产品、网络、配置等方面的故障，也包括各类安全事件如：黑客攻击、木马病毒、异常流量、 Web攻击等对已发生安全事件进行高效响应、处置、恢复。
渗透测试
1、系统渗透测试
模拟黑客常使用的攻击和漏洞发现技术，对目标信息系统进行渗透测试安全验证，发现逻辑性更强、更深层次的弱点，让管理者能够直观了解自己网络和系统安全状况。
2、网站渗透测试
针对网站站点业务数据进行远程灰盒测试，对网站系统的站群模拟真实黑客攻击，有效验证系统现有安全项目的安全防护强度，直接了解资产的安全风,险，及时发现在开发、运维、管理等方面存在的技术短板。
3、应用渗透测试
基于应用系统的黑盒渗透测试服务，依据系统业务系统类型，进行包括但不限于SQL注入、XSS (跨站脚本)、CRLF注入、代码执行、目录遍历、文件包含、输入验证、脆弱权限的目录和危险的HTTP方法等测试服务。