2022年信息安全工程师考试知识点（三十六）：信息系统安全测评

希赛小编为考生整理了2022年信息安全工程师考试知识点（三十六）：信息系统安全测评，希望对大家备考信息安全工程师考试会有帮助。

信息系统安全测评

【考法分析】

本知识点主要是对信息系统安全测评相关内容的考查。

【要点分析】

1．信息系统安全是指对信息系统及其处理的信息采取适当的安全保障措施，防止未授权的访问、使用、泄露、中断、修改、破坏，从而确保信息系统及其信息的机密性、完整性和可用性，保证信息系统功能的正确实现。

2．信息系统安全测评是依据信息安全测评的要求，在风险评估的基础上，对在信息系统生命周期中采取的技术类、管理类、过程类和人员类的安全保证措施进行测评和检查。

3．信息系统是由信息技术系统以及包含了人、管理、环境的运行环境组成。对信息系统的安全保障的评估，首先需要根据信息系统运行环境及相关的信息系统安全保障需求进行描述，信息系统安全测评准则提供了对安全保障需求描述的公共语音、结构和方法，这就是信息系统安全保障要求（ISPP）；然后就可以依据信息安全保障要求（ISPP）编制满足用户需求的信息系统安全保障方案（ISST）对信息系统安全保障要求（ISPP）的负荷情况进行评估，并在整个信息系统生命周期中对信息系统安全保障方案的执行情况和执行能力进行评估，最终确定组织机构的信息系统安全保障能力的级别。

4．信息系统安全测评的基本原则：① 标准型原则；② 关键业务原则；③ 可控性原则。

5．根据机密性、完整性和可用性特征以及信息和信息系统价值，可以将信息系统划分为5类；一般将信息系统的威胁分为7级。

6．模糊测试（Fuzzing）是一种黑盒测试技术，它将大量的畸形数据输入到目标程序中，通过监测程序的异常来发现被测试程序中可能存在安全漏洞。模糊测试的思想相对较简单直观，易于实现自动化，并且运用其发掘软件安全漏洞，从漏洞发现到重现和定位漏洞比较容易，不存在漏洞误报，目前正广泛应用于对文件格式、网络协议、Web程序、环境变量和COM对象等的安全测试中。模糊测试技术是一种发掘安全漏洞的有效方法。

7．模糊测试是一种基于去屑注入的自动化测试技术，没有具体的执行规则，旨在预测软件中可能存在的错误以及什么样的输入疯狗出发错误。与基于源代码的白盒测试相比，模糊测试的测试对象是二进制目标文件。

8．完整的模糊测试都要经历以下几个基本的阶段：识别目标 → 识别输入 → 生产模糊测试数据 → 执行模糊测试数据 → 监视异常 → 确定可利用性。

9．模糊器划分为随机模糊器、基于变异的模糊器和基于生成技术的模糊器。

10．为了避免产生大量的无效的测试数据，基于变异的模糊器使用样本文件来得到畸形数据集合。

11．基于生成技术的模糊器是当前应用范围最广的一类模糊器。

12．目前模糊测试对象主要有以下五类：① 环境变量和参数；② Web应用程序和服务器；③ 文件格式；④ 网络协议；⑤ Web浏览器。

13．模糊测试的优点：第一，模糊测试不需要程序的源代码即可发现问题。第二，模糊测试不受限于被测系统的内部实现细节和复杂程度。第三，使用模糊测试的可复用性较好，一个测试用例可适用于多种产品。

14．模糊测试有两个关键的操作：产生畸形数据和观察应用程序是否出现异常。但进行两个操作时存在如下问题：首先，目前理论上还未出现能成熟、优化生成畸形数据的方式。其次，需要有一个监控器观察应用程序是否出现异常。

15．代码审计工具帮助软件开发团队快速查找、定位、修复和管理软件代码安全问题。

16．静态代码★分析是软件缺陷检测的重要方法，是指在不执行程序的情况下，以程序源代码、可执行文件序列或高级语言中的中间代码等为对象，通过预先定义属性规约，自动地检查目标代码对属性规约的违反情况。

17．安全代码审计的第一步就是对每一个源代码文件的所有者分配权限、相关所有文件等建立一个数据库；下一步就是明确评审优先级。

18．从方法论的角度出发，宏观来看代码审计的主要方法可分为自顶向下、自底向上和两者结合的三种方法。

19．代码静态分析采用的方法★主要有模式匹配、定理证明、模型检测。

20．模式匹配主要步骤是依据统计及经验，定义和抽象缺陷及错误特征，对目标代码采用行走检查、模式匹配等方法过滤已知缺陷。

21．定理证明是代码形式化验证的重要技术，也属于静态代码分析的范畴。定理证明技术是将软件系统和性质都用逻辑方法来规约，通过基于公里和推理规则组成的形式系统，以定理证明的方法来证明软件系统是否具备所期望的关键性质。

22．模型检测是今年来研究的热点。该技术是通过搜索待验证软件系统模型的有穷状态空间来检验系统的行为是否具备预期性质的一种有穷状态系统自动验证技术。

23．信息系统安全评测由三个阶段组成：① 安全评估阶段；② 安全认证阶段；③ 持续监督阶段。

24．信息系统安全评估阶段按工作内容又划分几个子阶段：静态评估阶段、现场检测阶段、综合安全评估阶段。

25．在静态评估阶段信息系统资产所有者提出申请，与系统评估方签署协议，所有者提交文档，所有者为主提出评估对象的保护轮廓。

26．在现场检测阶段，评估项目组前往信息系统运行现场进行实地检测。

27．在综合安全评估阶段，现场检测工作结束后，项目组对检测数据和结果进行分析，完成《信息系统安全现场核查报告》及《信息系统安全测试报告》。

28．通过安全评估的信息系统将进入安全认证阶段，首先信息系统需要试运行6个月，评估机构将派出工作人员进行复审，并向认证委员会出示复审报告。认证委员会依据前面各个阶段报告做出认证决定，认证机构将对通过认证的信息系统签发认证证书。

29．认证监督阶段的三方面工作：① 配置管理和控制；② 对安全保证措施的监督检查；③ 认证监督决定。

【备考点拨】

了解并理解相关知识点内容。