希賽小編為考生整理了2022年信息安全工程師考試知識點（三十六）：信息系統安全測評，希望對大家備考信息安全工程師考試會有幫助。

信息系統安全測評

【考法分析】

本知識點主要是對信息系統安全測評相關內容的考查。

【要點分析】

1．信息系統安全是指對信息系統及其處理的信息采取適當的安全保障措施，防止未授權的訪問、使用、泄露、中斷、修改、破壞，從而確保信息系統及其信息的機密性、完整性和可用性，保證信息系統功能的正確實現。

2．信息系統安全測評是依據信息安全測評的要求，在風險評估的基礎上，對在信息系統生命周期中采取的技術類、管理類、過程類和人員類的安全保證措施進行測評和檢查。

3．信息系統是由信息技術系統以及包含了人、管理、環境的運行環境組成。對信息系統的安全保障的評估，首先需要根據信息系統運行環境及相關的信息系統安全保障需求進行描述，信息系統安全測評準則提供了對安全保障需求描述的公共語音、結構和方法，這就是信息系統安全保障要求（ISPP）；然后就可以依據信息安全保障要求（ISPP）編制滿足用戶需求的信息系統安全保障方案（ISST）對信息系統安全保障要求（ISPP）的負荷情況進行評估，并在整個信息系統生命周期中對信息系統安全保障方案的執行情況和執行能力進行評估，最終確定組織機構的信息系統安全保障能力的級別。

4．信息系統安全測評的基本原則：① 標準型原則；② 關鍵業務原則；③ 可控性原則。

5．根據機密性、完整性和可用性特征以及信息和信息系統價值，可以將信息系統劃分為5類；一般將信息系統的威脅分為7級。

6．模糊測試（Fuzzing）是一種黑盒測試技術，它將大量的畸形數據輸入到目標程序中，通過監測程序的異常來發現被測試程序中可能存在安全漏洞。模糊測試的思想相對較簡單直觀，易于實現自動化，并且運用其發掘軟件安全漏洞，從漏洞發現到重現和定位漏洞比較容易，不存在漏洞誤報，目前正廣泛應用于對文件格式、網絡協議、Web程序、環境變量和COM對象等的安全測試中。模糊測試技術是一種發掘安全漏洞的有效方法。

7．模糊測試是一種基于去屑注入的自動化測試技術，沒有具體的執行規則，旨在預測軟件中可能存在的錯誤以及什么樣的輸入瘋狗出發錯誤。與基于源代碼的白盒測試相比，模糊測試的測試對象是二進制目標文件。

8．完整的模糊測試都要經歷以下幾個基本的階段：識別目標 → 識別輸入 → 生產模糊測試數據 → 執行模糊測試數據 → 監視異常 → 確定可利用性。

9．模糊器劃分為隨機模糊器、基于變異的模糊器和基于生成技術的模糊器。

10．為了避免產生大量的無效的測試數據，基于變異的模糊器使用樣本文件來得到畸形數據集合。

11．基于生成技術的模糊器是當前應用范圍最廣的一類模糊器。

12．目前模糊測試對象主要有以下五類：① 環境變量和參數；② Web應用程序和服務器；③ 文件格式；④ 網絡協議；⑤ Web瀏覽器。

13．模糊測試的優點：第一，模糊測試不需要程序的源代碼即可發現問題。第二，模糊測試不受限于被測系統的內部實現細節和復雜程度。第三，使用模糊測試的可復用性較好，一個測試用例可適用于多種產品。

14．模糊測試有兩個關鍵的操作：產生畸形數據和觀察應用程序是否出現異常。但進行兩個操作時存在如下問題：首先，目前理論上還未出現能成熟、優化生成畸形數據的方式。其次，需要有一個監控器觀察應用程序是否出現異常。

15．代碼審計工具幫助軟件開發團隊快速查找、定位、修復和管理軟件代碼安全問題。

16．靜態代碼★分析是軟件缺陷檢測的重要方法，是指在不執行程序的情況下，以程序源代碼、可執行文件序列或高級語言中的中間代碼等為對象，通過預先定義屬性規約，自動地檢查目標代碼對屬性規約的違反情況。

17．安全代碼審計的第一步就是對每一個源代碼文件的所有者分配權限、相關所有文件等建立一個數據庫；下一步就是明確評審優先級。

18．從方法論的角度出發，宏觀來看代碼審計的主要方法可分為自頂向下、自底向上和兩者結合的三種方法。

19．代碼靜態分析采用的方法★主要有模式匹配、定理證明、模型檢測。

20．模式匹配主要步驟是依據統計及經驗，定義和抽象缺陷及錯誤特征，對目標代碼采用行走檢查、模式匹配等方法過濾已知缺陷。

21．定理證明是代碼形式化驗證的重要技術，也屬于靜態代碼分析的范疇。定理證明技術是將軟件系統和性質都用邏輯方法來規約，通過基于公里和推理規則組成的形式系統，以定理證明的方法來證明軟件系統是否具備所期望的關鍵性質。

22．模型檢測是今年來研究的熱點。該技術是通過搜索待驗證軟件系統模型的有窮狀態空間來檢驗系統的行為是否具備預期性質的一種有窮狀態系統自動驗證技術。

23．信息系統安全評測由三個階段組成：① 安全評估階段；② 安全認證階段；③ 持續監督階段。

24．信息系統安全評估階段按工作內容又劃分幾個子階段：靜態評估階段、現場檢測階段、綜合安全評估階段。

25．在靜態評估階段信息系統資產所有者提出申請，與系統評估方簽署協議，所有者提交文檔，所有者為主提出評估對象的保護輪廓。

26．在現場檢測階段，評估項目組前往信息系統運行現場進行實地檢測。

27．在綜合安全評估階段，現場檢測工作結束后，項目組對檢測數據和結果進行分析，完成《信息系統安全現場核查報告》及《信息系統安全測試報告》。

28．通過安全評估的信息系統將進入安全認證階段，首先信息系統需要試運行6個月，評估機構將派出工作人員進行復審，并向認證委員會出示復審報告。認證委員會依據前面各個階段報告做出認證決定，認證機構將對通過認證的信息系統簽發認證證書。

29．認證監督階段的三方面工作：① 配置管理和控制；② 對安全保證措施的監督檢查；③ 認證監督決定。

【備考點撥】

了解并理解相關知識點內容。