3.6.4  安全评估的主要技术

针对安全评估可以采用一系列技术措施以保证评估过程的接口统一和高效，其中包括数据采集和分析、量化评估、安全检测及安全评估分析技术等。

1．数据采集和分析技术

数据采集和分析技术是信息系统测评的基础，数据采集技术一般分为两种，即调查问卷技术和工具测试技术。调查问卷技术可以采集较软性的数据，比如有关信息系统的制度、管理和安全功能方面的数据；工具测试技术则用于采集技术数据，比如用拓扑分析工具收集信息系统的拓扑结构、利用漏洞扫描器收集信息系统的漏洞信息，以及利用电磁泄漏测试工具收集系统的物理电磁泄漏数据等。通过这两种技术的结合，才能全面收集有关信息系统的各种数据与信息。

2．量化评估技术

量化评估的计算规则应该根据测评项目所属问题之间的关系而定，考虑到测评问题之间存在的复杂相关性，采取简化的模型。即认为测评问题之间相互独立，采用加权和的方法来对之进行处理。这虽然会对测评精度有一定的影响，但不会影响到测评的准确性。

3．安全检测技术

检测方法一般有技术和安全检测两种，技术检测法主要是利用工具来发现系统和网络在技术上存在的安全问题，即通过与扫描检测、入侵检测、防窃听性能测试、密码检测、物理隔离检测及频谱检测等相应工具与程序得到检测报告。其中主要利用扫描检测工具，它可以检测发现系统或网络中存在的漏洞及脆弱性；安全检测法包括功能验证、漏洞扫描、模拟攻击试验及侦听技术等。

4．安全评估分析技术

安全评估分析技术采用的整体风险分析方法为“威胁树工程法”，其基本要点是围绕信息的“机密性”、“完整性”、“可用性”及“可控性”4个最基本的安全需求。针对每一类信息子系统构建相应的信息流程模型，然后以该模型为出发点，详细分析系统中可能存在并针对信息4个安全需求的潜在威胁和后果，为后面安全采取措施提供基本依据。

 　　返回目录：信息系统工程监理中的测试要求与方法技术

编辑推荐：信息系统监理师信息网络系统建设监理汇总

信息系统监理师信息应用系统建设监理汇总

 信息系统监理师考试  　 

信息系统监理师考纲  　信息系统监理师考试培训