商用防火墻產品如下：

• NetScreen：由三位留美的清華學子創建，其防火墻和VPN產品無論從性能指標還是質量上都位居世界前列。其防火墻產品的具體功能特性為：擁有專用的操作系統ScreenOS、擁有專門優化的硬件增強技術、集成VPN、靈活的流量管理、基于ASIC的訪問策略的執行、管理簡單快捷。

• CheckPoint：CheckPoint公司是全球首屈一指的互聯網安全解決方案供應商，是Internet安全領域的全球領先企業，在全球VPN及防火墻市場上居于領導地位。

• Fortinet：Fortinet是新一代網絡實時安全防御網關的技術引領者。首家推出基于ASIC硬件體系結構的FortiGate防火墻。該系列產品已獲得國際計算機安全協會實驗室的防病毒、IPSec、NIDS和防火墻四項認證證書，是全球唯一同時擁有這四項證書的廠家。

• WatchGuard：WatchGuard公司是全球排名前五位的專業生產防火墻的公司之一。WatchGuard公司以生產即插即用Internet安全設備“Firebox”系列和相應的服務器安全軟件而聞名于世。WatchGuard在全球首創了專用安全系統；首家將應用層安全結合到防火墻系統中；首創了可全面升級的整合安全網關；首創可全面升級的統一威脅管理（UTM）產品。

• 安氏：安氏是一家以技術著稱的專業信息安全公司，它成功開發了全新一代安全管理解決方案——安全運行中心（Security Operation Center, 簡稱SOC）。安氏公司在電信、金融等行業率先推出了整體信息安全管理方案，其主要產品是“領信”系列安全產品。

• 天融信：天融信公司于1996年推出了中國第一套自主版權的防火墻產品，具有填補國內空白的重要意義。隨后幾年又推出了VPN、IDS、過濾網關、安全審計、安全管理等一系列安全相關產品。2001年組織并構建了TOPSEC聯動協議安全標準，提出了一套集各類安全產品和集中管理、集中審計為一體的TOPSEC安全解決方案。又于2004年底率先提出“可信網絡架構（TNA）”，強化可信安全管理在安全建設中的核心地位，通過全局安全管理，實現多層次的積極防御和綜合防范。

• 東軟：東軟是中國領先的軟件與解決方案提供商。東軟的NetEye防火墻(FW)產品采用獨創的基于狀態包過濾的“流過濾”體系結構，保證了從數據鏈路層到應用層的完全高性能過濾，并可以進行應用級插件的及時升級和安全威脅的有效防護，實現網絡安全的動態保障。

在涉密信息系統監管方面需要注意以下問題：

• 領導重視，建立機制：涉密信息系統分級保護工作是一項復雜的系統工程，涉及單位內部的保密、信息化、業務工作、密碼、保衛和人事等部門。各相關部門只有密切合作、統籌實施，才能保障整個工作的順利進行。這就要求涉密信息系統的建設使用單位領導高度重視此項工作，組建強有力的領導班子，建立起確保措施到位、人員到位、資金到位的分級保護工作組織保障體系，形成強有力的工作機制。

• 把握方法，遵循流程：涉密信息系統分級保護工作包括系統定級、方案設計、工程實施、系統測評、系統審批、日常管理、測評與檢查和系統廢止八個環節，貫穿于涉密信息系統的整個生命周期之中，是對涉密信息系統進行的全過程保密管理。因此，涉密信息系統建設使用單位應該按照“規范定密，準確定級；依照標準，同步建設；突出重點，確保核心；明確責任，加強監督”的原則，遵循分級保護工作的基本流程，突出重點環節，強化過程管理。

• 了解政策，掌握標準：涉密信息系統分級保護是指涉密信息系統的建設使用單位根據分級保護管理辦法和有關標準，對涉密信息系統分等級實施保護。因此，涉密信息系統建設使用單位必須充分了解分級保護工作方面的政策要求，并熟練掌握和運用涉密信息系統分級保護的標準。

• 合理分域，準確定級：涉密信息系統分級保護是以系統所處理信息的最高密級來確定安全等級的，在合理劃分安全域邊界安全可控的情況下，各安全域可根據涉密等級單獨定級，實施“分域分級防護”的策略，從而降低系統建設成本和管理風險。

• 把握關鍵，確保安全：涉密信息系統分級保護就是要從實際出發，綜合平衡安全成本和風險，優化信息安全資源的配置，突出重點，確保國家秘密的安全。在方案設計和工程實施中，應解決好以下關鍵技術與管理措施：安全保密產品選擇；物理隔離與違規外聯監控；安全域邊界防護與控制；身份鑒別與訪問控制；密級標識與密碼保護措施；電磁泄漏發射防護；系統安全保密管理。

信息安全保障的最終目標是保障信息系統實現組織機構的使命。信息安全的根本目標是保障信息的安全，具體地說就是保證信息的機密性、完整性、可用性、真實性、實用性和占用性。前三項被稱為 CIA 三要素。

• 第1個要素：C-機密性

  “機密性“也稱“保密性“，這個要素從如何保護數據和信息角度出發，避免外部入侵和防止內部威脅，通過安全控制手段保證信息不泄露給未經授權的進程、應用或主體。

• 第2個要素：I –完整性

  信息安全的完整性指，要保證系統和數據不受未授權者修改或不因為系統故障而遭受數據丟失的能力；信息和數據只能由有權限的人進行修改；值得強調的是，這個要素不僅僅針對數據，也包括了系統環境中所有的硬件、操作系統和應用程序。在實現自動化的系統中，可以用CRC方法來校驗數據的完整性，不過CRC一般用于非故意行為引起的數據錯誤，對于惡意的篡改的數據，特別是敏感且需要保密的數據，需要采用密碼校驗法來驗證。

• 第3個要素：A –可用性

  可用性指授權人員在工作和項目開發中，能順利訪問和使用相關的業務和項目數據，正常使用系統和應用程序。其業務環境和系統對于未授權的人員一律拒絕訪問。

  可用性也針對系統和物理環境的高可用性而言。因為物理環境、信息系統環境和管理方法的不完善都會引起數據破壞、系統無法登錄、應用程序不能使用的情況，造成業務開發和運維的停滯、不可用。

• 第4個要素：** Authenticity-可認證性**

  數據和信息的訪問、傳輸和交換必須經過身份鑒別和申明。可認證性可以認為是完整性的擴展，并和可用性緊密結合。

• ** 第5個要素：Non-repudiation – 不可抵賴性**

  “不可抵賴性”在網絡環境中指信息交換的雙方不能否認其在交換過程中發送或接受信息的行為和發生時間。這個安全要素保證了信息在傳輸中不被復制或篡改。”

  “不可抵賴性”通過“身份驗證”+“數字簽名”來實現。數字簽名，顧名思義是通過技術手段在計算機或服務器上對數據文件進行簽名，用于鑒別數字信息，驗證數據發送方的身份，從而保證數據的完整性和不可抵賴性。

• ** 第6個要素：Utility -實用性**

  實用性，指的是訪問資源是可用的，可用的資源才是有價值的。很明顯，這是一個體現業務特性的安全要素，因為只有數據和信息還在有價值期間，對它的安全保護才是最有意思的。

WAF有以下典型特點：

• 多檢查點：WAF模塊對同一個請求，可以在從請求到響應的過程中設置多個檢查點，組合檢測（通常的WAF只能設置一個檢查點）；比如某一條規則在請求（Request）中設置了檢查點，同時還可以在該請求的其他位置或響應（Response）中設置檢查點。

• 惡意域名指向攔截網關攔截未登記域名：如果服務器配置不當，有可能會正常響應請求，對公司的聲譽造成影響。所以，當非法域名指向過來的時候，應該拒絕響應，只響應已登記的域名，未登記的域名會拒絕訪問。

• 任意后端Web服務器適配：WAF模塊不需要在被保護的目標服務器上安裝任何組件或私有Agent，后端業務可使用任何類型的Web服務器（包括但不限于Apache、Nginx、IIS、NodeJS、Resin等）。

• 只針對HTTP和HTTPS的請求進行異常檢測：阻斷不符合請求的訪問，并且嚴格的限制HTTP協議中沒有完全限制的規則。以此來減少被攻擊的范圍。

• 建立安全規則庫，嚴格的控制輸入驗證：以安全規則來判斷應用數據是否異常，如有異常直接阻斷。以此來有效的防止網頁篡改的可能性。

堡壘機要給用戶授權方法如下：

1. 使用管理員賬號登陸堡壘機控制臺；

2. 進入用戶類型添加頁面，單擊新建，在新建用戶類型彈窗中，填寫類型名稱并保存，退回用戶管理界面；

   

3. 找到需要授權的用戶，單擊用戶進入授權頁面；

4. 單擊綁定按鈕，選擇剛才新建的用戶類型，然后添加到組織結構中，單擊確定按鈕即可完成授權，或者在工作組下添加或者新建用戶后，用戶按照已綁定到工作組下的策略限制，對工作組下綁定的資源進行登錄使用。

   

• TCP

傳輸控制協議（TCP，Transmission Control Protocol）是一種面向連接的、可靠的、基于字節流的傳輸層通信協議。

• UDP

Internet 協議集支持一個無連接的傳輸協議，該協議稱為用戶數據報協議（UDP，User Datagram Protocol）。UDP 為應用程序提供了一種無需建立連接就可以發送封裝的 IP 數據包的方法。

• ICMP

ICMP（Internet Control Message Protocol）Internet控制報文協議。它是TCP/IP協議簇的一個子協議，用于在IP主機、路由器之間傳遞控制消息。控制消息是指網絡通不通、主機是否可達、路由是否可用等網絡本身的消息。這些控制消息雖然并不傳輸用戶數據，但是對于用戶數據的傳遞起著重要的作用。

• IGMP

Internet 組管理協議稱為IGMP協議（Internet Group Management Protocol），是因特網協議家族中的一個組播協議。該協議運行在主機和組播路由器之間。IGMP協議共有三個版本，即IGMPv1、v2 和v3。

常見的請求方式包括：

• GET： 用于請求訪問已經被URI（統一資源標識符）識別的資源，可以通過URL傳參給服務器；

• POST：用于傳輸信息給服務器，主要功能與GET方法類似，但一般推薦使用POST方式；

• PUT： 傳輸文件，報文主體中包含文件內容，保存到對應URI位置；

• HEAD： 獲得報文首部，與GET方法類似，只是不返回報文主體，一般用于驗證URI是否有效；

• DELETE：刪除文件，與PUT方法相反，刪除對應URI位置的文件；

• OPTIONS：查詢相應URI支持的HTTP方法。

JWT攻擊的九種手法：

• 空加密算法

  JWT支持使用空加密算法，可以在header中指定alg為None，這樣的話，只要把signature設置為空（即不添加signature字段），提交到服務器，任何token都可以通過服務器的驗證。空加密算法的設計初衷是用于調試的，但是如果某天開發人員腦闊瓦特了，在生產環境中開啟了空加密算法，缺少簽名算法，jwt保證信息不被篡改的功能就失效了。攻擊者只需要把alg字段設置為None，就可以在payload中構造身份信息，偽造用戶身份。

• 修改RSA加密算法為HMAC

  JWT中最常用的兩種算法為HMAC和RSA。HMAC是密鑰相關的哈希運算消息認證碼（Hash-based Message Authentication Code）的縮寫，它是一種對稱加密算法，使用相同的密鑰對傳輸信息進行加解密。RSA則是一種非對稱加密算法，使用私鑰加密明文，公鑰解密密文。在HMAC和RSA算法中，都是使用私鑰對signature字段進行簽名，只有拿到了加密時使用的私鑰，才有可能偽造token。

• 爆破密鑰

  JWT的密鑰爆破需要在一定的前提下進行：

  知悉JWT使用的加密算法

  一段有效的、已簽名的token

  簽名用的密鑰不復雜（弱密鑰）

  所以其實JWT密鑰爆破的局限性很大。簡單的字母數字組合都是可以爆破的，但是密鑰位數稍微長一點或者更復雜一點的話，爆破時間就會需要很久。

• 修改KID參數

  kid是jwt header中的一個可選參數，全稱是key ID，它用于指定加密算法的密鑰。因為該參數可以由用戶輸入，所以也可能造成一些安全問題。

• 任意文件讀取

  kid參數用于讀取密鑰文件，但系統并不會知道用戶想要讀取的到底是不是密鑰文件，所以，如果在沒有對參數進行過濾的前提下，攻擊者是可以讀取到系統的任意文件的。

• SQL注入

  kid也可以從數據庫中提取數據，這時候就有可能造成SQL注入攻擊，通過構造SQL語句來獲取數據或者是繞過signature的驗證。

• 命令注入

  對kid參數過濾不嚴也可能會出現命令注入問題，但是利用條件比較苛刻。如果服務器后端使用的是Ruby，在讀取密鑰文件時使用了open函數，通過構造參數就可能造成命令注入。對于其他的語言，例如php，如果代碼中使用的是exec或者是system來讀取密鑰文件，那么同樣也可以造成命令注入，當然這個可能性就比較小了。

• 修改JKU/X5U參數

  JKU的全稱是”JSON Web Key Set URL”，用于指定一組用于驗證令牌的密鑰的URL。類似于kid，JKU也可以由用戶指定輸入數據，如果沒有經過嚴格過濾，就可以指定一組自定義的密鑰文件，并指定web應用使用該組密鑰來驗證token。X5U則以URI的形式數允許攻擊者指定用于驗證令牌的公鑰證書或證書鏈，與JKU的攻擊利用方式類似。

• 信息泄露

  JWT保證的是數據傳輸過程中的完整性而不是機密性。由于payload是使用base64url編碼的，所以相當于明文傳輸，如果在payload中攜帶了敏感信息（如存放密鑰對的文件路徑），單獨對payload部分進行base64url解碼，就可以讀取到payload中攜帶的信息。

應用安全是：

• 應用安全要求構建安全的應用軟件，并在應用軟件的需求、設計、編碼、測試、運行以及廢棄等全生命周期的每一個階段加強安全防護。

• 所謂應用安全，簡單地說，是保護應用系統、應用程序的安全。應用安全也是信息安全的一部分，主要內容包括應用程序運行安全和應用資源安全兩方面。為了保障應用安全，需要加強應用系統在安全性方面的設計和配置，防止在運行過程中發生應用系統不穩定、不可靠和資源被非法訪問、篡改等安全事件。

• 對應用資源安全防護來講，應用安全的目標很明確：一是合法用戶能夠通過安全策略合法地訪問業務資源；二是不讓攻擊者訪問、篡改任何受保護的資源。因此，應用安全不僅僅強調開發安全的應用系統，同時也應該強調應用系統的安全部署和安全運維。安全部署主要指設計和部署應用系統的安全環境，如，應用系統部署的操作系統安全，應用系統的網絡邊界防護和應用系統的內部網絡安全等；安全運維主要是指應用系統在運行維護過程中的安全保護，如應用系統安全狀態監控、系統登錄安全，以及系統應急響應處置等。

數據加密技術可以分為兩類：

• 對稱加密技術：

  又指共享密鑰加密技術，指的是數據信息的傳輸者與接收者需要憑相同的密鑰加密、解密數據。應用此類技術前需要雙方協商確定密鑰，然后再進行數據信息的加密傳輸，在雙方無泄露密鑰的情況下，能夠充分的保障數據信息傳輸全過程的安全可靠性。

  目前對稱加密技術的應用范圍已經越來越廣，而目前常見的數據加密算法包括DES、AES 和 IDEA 三種，其各有不同的優勢。

• 非對稱加密技術：

  又指公鑰加密，其應用是建立在密鑰交換協議基礎上的。在應用非對稱加密技術的過程中信息傳輸者和接收者的加密密鑰、解密密鑰不同，兩者在通信之前并不需要事先交換密鑰，以此來消除 安全隱患，保障數據信息傳輸的安全性。

  此類加密技術的數據加密算法有RSA、Diffie-Hellman、EIGamal 和橢圓曲線三種類型，能夠實現對象已知所有密碼攻擊的有效抵御，所以應用也十分廣泛。此外，除開計算的安全防護外，當前非對稱性加密技術在身份認證、數據完整性炎癥、數字證書和簽名等多個領域當中均實現了廣泛且有效的應用。

一般的數據加密可以在通信的三個層次來實現:

• 鏈路加密

  對于在兩個網絡節點間的某一次通信鏈路,鏈路加密能為網上傳輸的數據提供安全證。對于鏈路加密(又稱在線加密),所有消息在被傳輸之前進行加密,在每一個節點對接收到消息進行解密,然后先使用下一個鏈路的密鑰對消息進行加密,再進行傳輸。在到達目的地之前,一條消息可能要經過許多通信鏈路的傳輸。

  由于在每一個中間傳輸節點消息均被解密后重新進行加密,因此,包括路由信息在內的鏈路上的所有數據均以密文形式出現。這樣,鏈路加密就掩蓋了被傳輸消息的源點與終點。由于填充技術的使用以及填充字符在不需要傳輸數據的情況下就可以進行加密,這使得消息的頻率和長度特性得以掩蓋,從而可以防止對通信業務進行分析。

  盡管鏈路加密在計算機網絡環境中使用得相當普遍,但它并非沒有問題。鏈路加密通常用在點對點的同步或異步線路上,它要求先對在鏈路兩端的加密設備進行同步,然后使用一種鏈模式對鏈路上傳輸的數據進行加密。這就給網絡的性能和可管理性帶來了副作用。

  在線路/信號經常不通的海外或衛星網絡中,鏈路上的加密設備需要頻繁地進行同步,帶來的后果是數據丟失或重傳。另一方面,即使僅一小部分數據需要進行加密,也會使得所有傳輸數據被加密。

  在一個網絡節點,鏈路加密僅在通信鏈路上提供安全性,消息以明文形式存在,因此所有節點在物理上必須是安全的,否則就會泄漏明文內容。然而保證每一個節點的安全性需要較高的費用,為每一個節點提供加密硬件設備和一個安全的物理環境所需要的費用由以下幾部分組成:保護節點物理安全的雇員開銷,為確保安全策略和程序的正確執行而進行審計時的費用,以及為防止安全性被破壞時帶來損失而參加保險的費用。

  在傳統的加密算法中,用于解密消息的密鑰與用于加密的密鑰是相同的,該密鑰必須被秘密保存,并按一定規則進行變化。這樣,密鑰分配在鏈路加密系統中就成了一個問題,因為每一個節點必須存儲與其相連接的所有鏈路的加密密鑰,這就需要對密鑰進行物理傳送或者建立專用網絡設施。而網絡節點地理分布的廣闊性使得這一過程變得復雜,同時增加了密鑰連續分配時的費用。

• 節點加密

  盡管節點加密能給網絡數據提供較高的安全性,但它在操作方式上與鏈路加密是類似的:兩者均在通信鏈路上為傳輸的消息提供安全性;都在中間節點先對消息進行解密,然后進行加密。因為要對所有傳輸的數據進行加密,所以加密過程對用戶是透明的。

  然而,與鏈路加密不同,節點加密不允許消息在網絡節點以明文形式存在,它先把收到的消息進行解密,然后采用另一個不同的密鑰進行加密,這一過程是在節點上的一個安全模塊中進行。

  節點加密要求報頭和路由信息以明文形式傳輸,以便中間節點能得到如何處理消息的信息。因此這種方法對于防止攻擊者分析通信業務是脆弱的。

• 端到端加密

  端到端加密允許數據在從源點到終點的傳輸過程中始終以密文形式存在。采用端到端加密,消息在被傳輸時到達終點之前不進行解密,因為消息在整個傳輸過程中均受到保護,所以即使有節點被損壞也不會使消息泄露。

  端到端加密系統的價格便宜些,并且與鏈路加密和節點加密相比更可靠,更容易設計、實現和維護。端到端加密還避免了其它加密系統所固有的同步問題,因為每個報文包均是獨立被加密的,所以一個報文包所發生的傳輸錯誤不會影響后續的報文包。此外,從用戶對安全需求的直覺上講,端到端加密更自然些。單個用戶可能會選用這種加密方法,以便不影響網絡上的其他用戶,此方法只需要源和目的節點是保密的即可。

  端到端加密系統通常不允許對消息的目的地址進行加密,這是因為每一個消息所經過的節點都要用此地址來確定如何傳輸消息。由于這種加密方法不能掩蓋被傳輸消息的源點與終點,因此它對于防止攻擊者分析通信業務是脆弱的。

應用安全是：

• 應用安全要求構建安全的應用軟件，并在應用軟件的需求、設計、編碼、測試、運行以及廢棄等全生命周期的每一個階段加強安全防護。

• 所謂應用安全，簡單地說，是保護應用系統、應用程序的安全。應用安全也是信息安全的一部分，主要內容包括應用程序運行安全和應用資源安全兩方面。為了保障應用安全，需要加強應用系統在安全性方面的設計和配置，防止在運行過程中發生應用系統不穩定、不可靠和資源被非法訪問、篡改等安全事件。

• 對應用資源安全防護來講，應用安全的目標很明確：一是合法用戶能夠通過安全策略合法地訪問業務資源；二是不讓攻擊者訪問、篡改任何受保護的資源。因此，應用安全不僅僅強調開發安全的應用系統，同時也應該強調應用系統的安全部署和安全運維。安全部署主要指設計和部署應用系統的安全環境，如，應用系統部署的操作系統安全，應用系統的網絡邊界防護和應用系統的內部網絡安全等；安全運維主要是指應用系統在運行維護過程中的安全保護，如應用系統安全狀態監控、系統登錄安全，以及系統應急響應處置等。

1. H3C SecPath F1020

2. H3C F1000-S-G3

3. H3C F100-C-G3

4. H3C SecPath F1000-AK145

5. H3C SecPath F1000-S-AI

6. H3C SecPath F1000-AK115

7. H3C F100-E-G3

8. H3C F1000-C-G3

9. H3C SecPath F100-C-G2

10. H3C SecPath F1000-AK135

11. H3C SecPath F1000-C

12. H3C SecPath F1000-AK125

13. H3C F100-S-G3

14. H3C SecPath F1070

15. H3C SecPath F1030

16. H3C SecPath F1000-AK108

17. H3C SecPath F100-S-G

18. H3C SecPath F1050

19. H3C SecPath F5030

20. H3C SecPath F1080

21. H3C SecPath F100-M-G

22. H3C F100-C-A5

23. H3C SecPath F1010

24. H3C SecPath F1000-AK109

運行時應用自我保護技術有以下安全挑戰：

• 真實的攻擊難以識別。每個應用程序有其自己獨特的漏洞，并且只能被特殊的攻擊所利用。對于某個應用來說完全無害的HTTP請求，對于另一個應用而言可能會造成毀滅性打擊。同時，“在線（onthewire）”的數據可能與它在應用中所顯示的不同（被稱為“阻抗不匹配”問題）。

• 現代應用程序（特別是API）使用復雜的格式，如JSON、XML、序列化對象和自定義二進制格式。這些請求使用除了HTTP之外的各種協議，包括WebSocket，它是由瀏覽器中的JavaScript、富客戶端、移動應用和許多其他源產生的。

• 傳統的技術防御沒有效果。WAF通過在HTTP流量到達應用服務器之前對其進行分析，完全獨立于應用而運作。盡管絕大部分的大型組織都有WAF，但其中許多企業并沒有專業的團隊對其進行必要的調整和維護，使其只處于“日志模式”。

• 軟件正在快速發展，容器、IaaS、PaaS、虛擬機和彈性環境都在經歷爆炸性增長。這些技術使得應用程序和API可以快速部署，但同時會將代碼暴露給新的漏洞。DevOps也迅速加快了整合、部署和交付的速度，因此確保在快速發展階段的軟件安全的過程變得更加復雜。

• 技術飛速發展，導致應用程序和軟件面臨的安全問題越來越多，單純靠某一種技術已經無法將其解決，無論使用哪種方法，最終的結果都是將Web應用防火墻與應用程序的運行時環境綁定在一起。所以技術飛速發展也給RASP技術帶來巨大挑戰。

Satan勒索病毒于2017年1月首次出現。該勒索病毒進行Windows和Linux雙平臺攻擊，最新版本攻擊成功后，會加密文件并修改文件后綴。除通過RDP暴力破解外，一般還通過多個漏洞傳播。病毒常見后綴為evopro、sick等，傳播方式為“永恒之藍”漏洞、RDP暴力破解、JBOSS系列漏洞、Tomcat系列漏洞、Weblogic組件漏洞等。特征為新變種evopro暫時無法解密，舊變種可解密。

降低計算機病毒或者漏洞危害的措施有以下這些：

• 安裝和維護防病毒軟件：防病毒軟件可識別惡意軟件并保護我們的計算機免受惡意軟件侵害。安裝來自信譽良好的供應商的防病毒軟件是預防和檢測感染的重要步驟。始終直接訪問供應商網站，而不是點擊廣告或電子郵件鏈接。由于攻擊者不斷地制造新病毒和其他形式的惡意代碼，因此保持我們使用的防病毒軟件保持最新非常重要。

• 謹慎使用鏈接和附件：在使用電子郵件和網絡瀏覽器時采取適當的預防措施以降低感染風險。警惕未經請求的電子郵件附件，并在單擊電子郵件鏈接時小心謹慎，即使它們貌似來自我們認識的人。

• 阻止彈出廣告：彈出窗口阻止程序禁用可能包含惡意代碼的窗口。大多數瀏覽器都有一個免費功能，可以啟用它來阻止彈出廣告。

• 使用權限有限的帳戶：瀏覽網頁時，使用權限有限的賬戶是一種很好的安全做法。如果我們確實受到感染，受限權限可防止惡意代碼傳播并升級到管理賬戶。

• 禁用外部媒體自動運行和自動播放功能：禁用自動運行和自動播放功能可防止感染惡意代碼的外部媒體在我們的計算機上自動運行。

• 更改密碼：如果我們認為我們的計算機受到感染，應該及時更改我們的密碼(口令)。這包括可能已緩存在我們的網絡瀏覽器中的任何網站密碼。創建和使用強密碼，使攻擊者難以猜測。

• 保持軟件更新：在我們的計算機上安裝軟件補丁，這樣攻擊者就不會利用已知漏洞。如果可用，請考慮啟用自動更新。

• 資料備份：定期將我們的文檔、照片和重要電子郵件備份到云或外部硬盤驅動器。如果發生感染，我們的信息不會丟失。

• 安裝或啟用防火墻：防火墻可以通過在惡意流量進入我們的計算機之前阻止它來防止某些類型的感染。一些操作系統包括防火墻;如果我們使用的操作系統包含一個防火墻，請啟用它。

• 使用反間諜軟件工具：間諜軟件是一種常見的病毒源，但可以通過使用識別和刪除間諜軟件的程序來最大程度地減少感染。大多數防病毒軟件都包含反間諜軟件選項，確保啟用。

• 監控賬戶：尋找任何未經授權的使用或異常活動，尤其是銀行賬戶。如果我們發現未經授權或異常的活動，請立即聯系我們的賬戶提供商。

• 避免使用公共Wi-Fi：不安全的公共Wi-Fi可能允許攻擊者攔截我們設備的網絡流量并訪問我們的個人信息。

準備階段

項目啟動

· 組建評測項目組。
· 編制項目計劃書。

信息收集分析

· 查閱定級報告、系統描述文件、系統安全設計方案、自查或上次等級測評報告(如果做過資產或等級測評)等資料。
· 根據查閱到的系統情況調整調查表內容。

工具和表單準備

· 調試測評工具。
· 模擬被測系統搭建測評環境。
· 模擬測評。

方案編制階段

測評對象的確定

· 識別被測系統等級。
· 識別被測系統的整體結構。
· 識別被測系統的邊界。

測評指標確定

· 識別被測系統業務信息和系統服務安全保護等級。
· 選擇對應等級的ASG三類安全要求作為測評指標。
注：ASG
A:保護系統連續正常的運行，免受對系統的未授權修改、破壞而導致系統不可用的服務保證類要求;–電力供應、資源控制、軟件容錯等。
S:保護數據在存儲、傳輸、處理過程中不被泄漏、破壞和免受未授權修改的信息安全類要求;–物理訪問控制、邊界完整性檢查、身份鑒別、通信完整性、保密性等。

測試工具接入點確定

· 在測評中，需要使用測試工具進行測試，測試工具可能用到漏洞掃描器、滲透測試工具集、協議分析儀等。
· 確定需要進行測試的測評對象。
· 選擇測試路徑。

測評指導書開發

測評指導書是具體指導測評人員如何進行測評活動的文檔，是現場測評的工具、方法和操作步驟等的詳細描述，是保證測評活動規范的根本。可從已有的測評指導書中選取與測評對象對應的手冊。

測評方案編制

測試方案是等級測評工作實施的基礎，指導等級測評工作的現場實施活動。測評方案應該包括但不局限于:項目概述、測評對象、測評指標、測評內容、測評方法等。

現場評測階段

現場評測階段通過與評測委托單位進行溝通和協調，為現場測評的順利開展打下良好基礎，依據測評方案實施現場測評工作，將測評方案和測評方法等內容具體落實到現場測評活動中。現場測評工作應取得報告編制活動所需的、足夠的證據和資料。

現場評測準備

· 測評委托單位對風險告知書簽字確認，了解測評過程中存在的安全風險，做好相應的應急和備份工作。
· 召開測評現場啟動會，測評機構介紹現場測評工作安排，雙方對測評計劃和測評方案中的測評內容和方法進行溝通。

現場評測和結果記錄

· 依據測評指導書實施測評。
· 記錄測評獲取的證據、資料等信息。

實施測評

訪談

• 訪談是指測評人員通過與信息系統有關人員（個人/群體）進行交流、討論等活動，獲取相關證據以表明信息系統安全保護措施是否有效落實的一種方法。在訪談范圍上，應基本覆蓋所有的安全相關人員類型，在數量上可以抽樣。

檢查

• 檢查是指測評人員通過對測評對象進行觀察、查驗、分析等活動，獲取相關證據以證明信息系統安全保護措施是否有效實施的一種方法。在檢查范圍上，應基本覆蓋所有的對象種類（設備、文檔、機制等），數量上可以抽樣。

測試

• 測試是指測評人員針對測評對象按照預定的方法/工具使其產生特定的響應，通過查看和分析響應的輸出結果，獲取證據以證明信息系統安全保護措施是否得以有效實施的一種方法。在測試范圍上，應基本覆蓋不同類型的機制，在數量上可以抽樣。

結果確認和資料歸還

• 召開現場測評結束會。
• 測評委托單位確認測評過程中獲取的證據和資料的正確性，簽字認可。
• 測評人員歸還借閱的各種資料。

報告編制階段

在現場測評工作結束后，測評機構應對現場測評獲得的測評結果進行匯總分析，形成等級測評結論，并編制測評報告。

單項測評結果判定

• 分析測評項所對抗威脅的存在情況。
• 分析單個測評項對應的多個測評結果的符合情況。

單元測評結果判定

• 匯總每個測評對象在每個測評單元的單項測評結果。

• 判定每個測評對象的單元測評結果。

整體測評

分析不符合和部分符合的測評項與其他測評項(包括單元內、層面間、區域間)之間的關聯關系及對結果的影響情況。

風險分析

判斷整體評測后的單元測評結果匯總中部分符合項或不符合項所產生的安全問題被威脅利用的可能性(取值范圍為高、中、低)。

判斷整體測評后的單元測評結果匯總中部分符合項或不符合項所產生的安全問題被威脅利用后，對被測信息系統的業務信息安全和系統服務安全造成的影響程度，影響程度取值范圍為高、中、低。

結合上兩步結果，對評測信息系統面臨的安全風險進行賦值，風險值的取值范圍為高、中、低。

結合被測信息系統的安全保護等級和對風險分析結果進行評價，即對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益造成的風險。

等級測評結論形成

統計再次匯總后的單項測評結果為部分符合和不符合項的項數，形成等級測評結論。

測評報告編制

測評報告應包括：測評項目概述、被測信息系統情況、等級測評范圍和方法、單元測評、整體測評、測評結果匯總、風險分析和評價、等級測評結論、安全建設整改建議等。