【专题连载】等级保护测评师 | 简答题(九） - 新鲜讯息

安小圈

第663期

等保测评师 · 考试

1. 题目

整体测评的主要工作是什么？主要输出内容是什么？（6分）答案

整体测评任务的主要工作主要是针对那些部分符合和不符合要求的测评项展开综合分析，包括安全控制间、区域间/层面间的安全测评，根据综合分析结果修正安全问题风险等级。（3分）；
本任务中涉及到的输出内容为整体测评结果描述及修正后的安全问题汇总。（3分）

详解

2. 题目

开展云安全等级测评时，不同云计算服务模式下云服务商和云租户的测评对象包括什么？（15分）答案

对于IaaS服务模式：云服务商的责任对象主要包括基础架构层硬件、虚拟化以及云服务层的防护；云租户的责任对象包括虚拟机、数据库、中间件、业务应用和数据的安全防护；（5分）
对于PaaS服务模式：云服务商的责任对象主要包括基础架构层硬件、虚拟化以及云服务层、虚拟机、数据库的安全防护，云租户责任主要为软件开发平台中间件以及应用和数据的安全防护。（5分）
对于SaaS服务模式：云服务商的责任对象包括基础架构层硬件、虚拟化以及云服务层、虚拟机、数据库、中间件、业务应用的安全防护。云租户仅需关心业务应用相关的安全配置、用户访问、用户账户以及数据安全的防护。（5分）

详解

3. 题目

用户将大量数据交予云端处理的同时，面临较大的安全风险，云数据主要面临的安全威胁有哪些？结合网络安全等级保护云计算扩展要求，简述应如何保证云计算数据安全？（以第三级为例）（14分）答案云端数据主要面临的安全威胁有：数据泄露、非法访问以及数据破坏或丢失。（2分）网络安全等级保护云计算扩展要求中，为保证数据安全应考虑下列内容：（每个要点2分）（1）制定访问控制策略，限制非法访问；（2）操作系统侧加固，防止非法恶意攻击；（3）备份数据，防止数据意外丢失；（4）客户数据、个人信息不出境；（5）保证数据在传输和存储过程中的完整性；（6）残留数据完全清除，防止剩余信息泄露。（合理总结控制点和测评项内容也可）

详解

4. 题目

请结合日常等级保护测评等相关安全服务工作，简要叙述一位合格的中级测评师应具备怎样的能力。（16分）答案（每个要点2分）1熟悉网络安全等级保护相关政策、法规；2正确理解网络安全标准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展；3掌握信息安全基础知识，熟悉信息安全测评方法，具有信息安全技术研究的基础和实践经验；4具有较丰富的项目管理经验，熟悉测评项目的工作流程和质量管理方法，具有较强的组织协调和沟通能力；5能够独立开发测评指导书，熟悉测评指导书的开发、版本控制和评审流程；6能够根据信息系统的特点，编制测评方案、确定测评对象、测评指标和测评方法；7具有综合分析和判断能力，能够根据测评报告模板要求编制测评报告，能够整体把握测评报告结论的客观性和准确性，具备较强的文字表达能力；8了解等级保护各个工作环节的相关要求，能够对测评中发现的问题，提出合理化的整改建议。

详解

5. 题目

请简述测评指导书开发的主要步骤和内容。答案（1）确定测评对象首先应明确测评对象，包括测评对象的厂家、型号、系统版本等，通过这些信息能够唯一确定某具体的系统组件。（2）选择测评指标选择测评指标时，应首先从定级对象的安全保护等级（简称“对象等级”）出发，根据其业务信息安全保护等级和系统服务安全保护等级从《基本要求》中选择相应安全保护等级和层面的S/A/G三类安全要求构成备选测评指标集合。其次，若测评对象为主机、网络互联设备、网络安全设备或业务应用系统，应进一步区分备选测评指标，去除整体性安全要求和不适用于该测评对象的安全要求，筛选出适用于层面内所有对象以及特定于该测评对象的安全要求以构成最终的测评指标集合。整体性安全要求则放入独立的安全整体测评指导书中。（3）分解/量化测评指标出于灵活性和适用性的考虑，《基本要求》中的某些条款描述比较宽泛。为保证测评指导书的可操作性，有必要结合定级对象的具体情况对测评指标进行分解和量化，从而实现其可测评的目的。确定的测评对象和可测评的测评指标结合在一起形成具体的测评内容，构成了测评指导书的基础。（4）确定测评实施测评实施是测评指导书的核心内容，由测评方法、操作步骤和结果记录三部分组成。测评方法（访谈、核查或测试）和操作步骤由测评对象所属目标定级对象的安全保护等级决定，体现与该安全保护等级相对应的测评强度，决定测评人员及委托方对测评结果的信任程度。（5）确定预期结果预期结果是测评实施结果记录取值范围中“正确”的那一个，即如果结果记录与预期结果相同，则表明测评对象在该项测评指标上满足《基本要求》。（6）验证测评指导书针对选定测评对象（非逻辑）的所有测评实施进行专家评审，或在仿真环境中的相同（或相近）设备上进行验证，检验测试步骤及预期结果的正确性，并依据验证结果改进或接受测评实施。（7）形成测评指导书汇总并整理选定测评对象的测评指标、测评实施和预期结果，形成特定测评对象的测评指导书。

详解

6. 题目

对于第三级保护对象，安全通信网络分类中网络架构控制点的测评实施内容包括哪些内容？（20分）答案（每个要点2分）（1）检查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率是否满足需要；（2）检查网络设备是否从未出现过因设备性能问题导致的宕机情况；（3）检查综合网管系统各通信链路带宽是否满足高峰时段的业务流量需要；（4）测试验证设备、网络带宽是否满足业务高峰期需要；（5）检查是否依据重要性、部门等因素划分不同的网络区域；（6）检查相关网络设备配置信息，安装划分的网络区域是否与划分原则一致；（7）检查网络拓扑图是否与实际网络运行环境一致；（8）检查重要网络区域是否未部署在网络边界处；（9）检查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段，如网闸、防火墙和设备访问控制列表（ACL）等；（10）检查是否有关键网络设备、安全设备和关键计算设备的硬件冗余（主备或双活等）和通信线路冗余。

详解答案均依据GB/T28448-2019《信息安全技术网络安全等级保护测评要求》中网络架构控制点要求项的测评实施内容。

7. 题目

对于第三级系统，请结合安全通信网络的网络结构控制点、安全区域边界的边界访问、访问控制控制点，列举5种可以判“高风险”的场景。（10分）答案（答对以下要点中5个，每个2分）a）对可用性要求较高的系统，网络设备的业务处理能力不足，高峰时可能导致设备宕机或服务中断，影响金融秩序或引发群体事件，若无任何技术应对措施，可判定为高风险。b）应按不同网络的功能、重要程度划分网络区域，如重要区域与非重要区域在同一子网或网段，可判定为高风险。例如承载业务系统的生产网络与办公网络在同一子网或网段、面向互联网提供服务的服务器区与内部网络区域在同一子网或网段等。c）互联网边界访问控制设备无管理权限，且无其他边界防护措施的，难以保证边界防护有效性，也无法根据业务需要或安全事件及时调整访问控制策略，可判定为高风险。d）互联网出口无任何访问控制措施，或访问控制措施配置失效，存在较大安全隐患，可判定为高风险。e）办公网与生产网之间无访问控制措施，办公环境任意网络接入均可对核心生产服务器和网络设备进行管理，可判定为高风险。f）对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或关键计算设备无冗余设计，一旦出现故障可能导致业务中断，可判定为高风险。g）非授权设备能够直接接入重要网络区域（如服务器区、管理网段等），且无任何告警、限制、阻断措施，也无其他降低风险的控制措施，可判定为高风险。h）对于重要核心管理终端、业务终端等关键设备，如无法对非授权联到外部网络的行为进行检查或限制，或内部人员可旁路、绕过边界访问控制设备私自外联互联网，且无其他降低风险的控制措施，可判定为高风险。i）内部核心网络与无线网络互联，且之间无任何管控措施，一旦非授权接入无线网络即可访问内部核心网络区域，存在较大安全隐患，可判定为高风险。j）与互联网互连的系统，边界处如无专用的访问控制设备或配置了全通策略，可判定为高风险。

详解

8. 题目

请简述等级测评中整体测评结果的分析方法并举例说明。（10分）答案（1分）整体测评任务的主要工作是针对部分符合和不符合的测评要求项展开综合分析，包括安全控制间、区域间、层面间的安全测评，根据综合分析结果修正安全问题风险等级。（3分）安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。安全功能上的增强和补充可以使两个不同强度、不同等级的安全控制发挥更强的综合效能，使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。例如，机房未安装防盗报警设施，但有24小时专人值守，可以做到安全控制间的弥补。（3分）层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。安全功能上的增强和补充可以使两个不同层面上的安全控制发挥更强的综合效能，使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。例如，主机层Windows操作系统服务器未设置登录失败限制，但服务器只允许在机房本地登录，且机房有24小时专人值守，可以做到层面间弥补。（3分）区域间的安全测评主要考虑互连互通（包括物理和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。例如，服务器区和运维办公区之间，在运维办公区对服务器进行远程操作必须通过堡垒机，而堡垒机能够对运维人员远程服务器的操作行为进行全程记录，同时堡垒机实现了三权分立（分配独立安全审计员角色），能够从一定程度上弥补主机层面未分配审计员角色所带来的能力缺失。

详解