国际安全标准（CC）
简介和一般模型
#### 基本原理#### 保护轮廓安全功能要求
#### 技术要求安全保证要求
#### 评估保证级别代码静态分析的方法
模式匹配
定理证明
模型检测
没有内存扫描
模糊测试（黑盒测试）
不需要程序源代码
不受限于被测系统内部细节和复杂度
与白盒测试相比，具有更好的适用性
不存在误报
不需要人工进行大量的逆向分析工作
常用的安全渗透测试工具包括
字典生成器
OllyDbg
Backtrack4
常见的源代码安全检查工具
HP Fortify（商业产品）
IBM Rational AppScan Source Edition（商业产品）
Checkmarx（商业产品）
360 代码卫士（商业产品）
PMD（开源）
FindBugs（开源）
等保
用户自主保护级
#### 使用户具备自主安全保护能力系统审计保护级
安全标记保护级
结构化保护级
#### 要求对所有主体和客体进行自主和强制访问控制#### 系统具有相当的抗渗透能力访问验证保护级
#### 满足访问监视器需求军用不对外公开的信息系统的安全等级至少应该属于
三级及三级以上
计算机系统安全级别
D
#### 级别最低的安全级别#### 系统的访问控制没有限制，无需登录就可以访问数据#### DOS、Windows 98C（自由选择性安全保护）
#### C1 选择性保护级#### C2（更强）B
#### B1 标识安全保护#### B2 结构保护级别#### B3 安全域保护级别A（验证设计级）
#### A1我国的标准体系
国家强制标准（GB）
#### 国家推荐性标准（GB/T）#### 国家指导标准（GB/Z）#### 国家实物标准（GSB）行业标准
地方标准（DBXX）
企业标准（Q/XX）
安全管理检测
检查分析管理要素及机制的安全状况
安全功能检测
主要依据是等保 2.0（GB/T 25070-2019）
网安渗透测试
委托受理
#### 用户确定渗透性目标准备
#### 签订授权书并撰写测试方案实施
#### 确定渗透时间，执行渗透方案综合评估
#### 汇总分析渗透数据#### 验证安全威胁场景及影响结题
#### 撰写渗透测试分析报告及安全改进建议