下载文档原格式
（三）云计算风险指标体系建立过程云计算风险指标的建立通过以下三个步骤：第一步：从知网上检索2008年至2018年研究云计算的风险因素的论文、文献等资料，提取出影响云计算风险因素的关键词，形成一个云计算风险影响因素的集合，作为最初的理论依据。
第二步：对云计算影响因素的集合进行数理统计，列出各个不同的影响因素，并统计出现的频数。
选择出现频数较多的风险因素，剔除出现频数较低的风险因素。
第三步：最后把出现次数较多的风险因素列为影响云计算的风险指标。
（四）云计算风险因素分类根据上面的方法，用知网输入关键词检索2008年至2018年关于云计算风险的论文，并择优选择了15篇，并对15篇论文里的风险因素进行归纳汇总，得出影响云计算的风险因素及对应的频数，设置筛选条件为大于等于5次，最终得到了22个风险因素。
为了便于后面的分析评估，根据风险因素的性质，把22个风险因素划分为4大类风险。
最后把影响云计算风险的因素分为4个一级指标22个二级指标。
分别是技术类风险、管理类风险、法律类风险、其他类风险。
其中技术类风险又包括数据加密风险、数据隔离风险、数据删除风险、虚拟化漏洞风险、网络监管风险、身份验证风险、访问控制风险、传输过程中数据保护风险、黑客攻击风险；管理类风险包括密钥管理风险、数据备份风险、审查支持风险、操作失误风险、内部人员风险、云服务被迫中止风险；法律类风险包括法律遵从风险、法律差异风险、法律责任风险、强迫披露风险；其它类风险包括云服务锁定风险、数据迁移风险、软件升级风险。
建立了风险指标体系如见图1:图1云计算风险指标体系三、云计算风险评估（一）云计算风险因素指标打分模型对于已经构建好的指标体系，如何通过评估指标来衡量云计算整体的风险大小，这需要一个量化的风险指标。
下面我们就构建一个打分模型来计算云计算真实的风险。
上面构建的指标体系一共分为4个一级指标和22个二级指标。
首先我们对每个一级指标从三个方面进行打分，分别是资产重要程度、对象的脆弱性和外部威胁等三个方面。
等级保护2.0和密评要求-概述说明以及解释1.引言1.1 概述概述部分的内容可以包括以下内容：概述部分旨在介绍文章的背景和主要内容，为读者提供一个整体的了解和把握。
本文将重点介绍等级保护2.0和密评要求这两个话题。
在当今信息安全的背景下，等级保护2.0成为了一种重要手段，可以有效保护信息系统的安全性。
等级保护2.0的出现是对传统等级保护的升级和完善，它不仅具备更高的安全性能，还可以适应当前多样化的安全需求。
本文将介绍等级保护2.0的基本概念、特点以及它在不同领域的应用。
与等级保护2.0密切相关的还有密评要求，它是对信息系统安全保护的一种具体要求和规范。
密评要求的重要性在于它为实施等级保护2.0提供了具体的指导和标准，保证了安全防护措施的有效性和合理性。
本文将详细介绍密评要求的定义、重要性、内容以及实施过程。
通过对等级保护2.0和密评要求的深入研究，我们可以更好地了解如何保护信息系统的安全，提高系统对各种威胁的抵御能力。
同时，我们也要认识到等级保护2.0和密评要求的局限性，不断探索未来的发展方向，并为信息系统的安全提供更好的保障。
在本文的结论部分，我们将对等级保护2.0和密评要求进行评价和总结，并展望未来的发展方向。
通过本文的阅读，读者将能够更全面地了解等级保护2.0和密评要求，为信息安全保护提供有益的参考和指导。
1.2 文章结构本文按照以下结构进行撰写:引言部分首先概述了本文的主要内容，然后给出了文章的结构和目的。
最后总结了整篇文章的要点。
接下来的第2节将详细介绍等级保护2.0。
首先会对等级保护2.0进行一个简单的介绍，包括其定义和基本概念。
然后会详细讨论等级保护2.0的特点，包括其在安全领域的应用和发展趋势。
接着会分析等级保护2.0的优势，与传统的等级保护相比进行对比。
最后会介绍等级保护2.0在各个应用领域中的具体应用案例。
第3节将专门讨论密评要求。
首先会给出对密评的定义，解释密评的含义和作用。
国家标准《信息安全技术网络安全等级保护安全设计技术要求第1部分：通用设计要求》（征求意见稿）编制说明一、工作简况1.1任务来源《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》是国家标准化管理委员会 2014年下达的信息安全国家标准制定项目，国标计划号为：GB/T 25070.1-2010，由公安部第一研究所承担，参与单位包括北京工业大学、北京中软华泰信息技术有限责任公司、中国电子信息产业集团有限公司第六研究所、工业和信息化部电信研究院、阿里云计算技术有限公司、公安部第三研究所、中国信息安全测评中心、国家信息技术安全研究中心、浙江中烟工业有限责任公司、中央电视台、北京江南天安科技有限公司、华为技术有限公司、浪潮电子信息产业股份有限公司、浪潮集团、北京启明星辰信息安全技术有限公司。
1.2主要工作过程1)准备阶段2014年3月，在公安部11局的统一领导下，公安部第一研究所同协作单位共同成立标准编写项目组。
2）调研阶段标准起草组成立以后，项目组收集了大量国内外相关标准，进行了研讨，对信息安全的模型、威胁和脆弱性进行了充分讨论。
同时项目组参考了国内等级保护相关标准，为了真实了解行业内的安全要求，项目组也对行业内的企事业单位进行了调研。
3）编写阶段2014年4月，标准起草组组织了多次内部研讨会议，邀请了来自国内相关领域著名的专家、学者开展交流与研讨，确定了标准的总体技术框架、核心内容。
标准起草组按照分工，对标准各部分进行了编写，形成了《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》（草案）。
4）首次征求专家意见2014年4月，公安部11局组织业内专家对标准初稿进行了研讨，专家对标准范围、内容、格式等进行了详细讨论，提出了很多宝贵意见。
项目组根据专家意见，对标准进行了修改。
5）第二次征求专家意见2014年9、10月，公安部11局组织业内专家对标准初稿再次进行了研讨，专家再次对标准范围、内容、格式等进行了详细讨论，提出了宝贵意见。
等级保护2.0——云计算安全扩展要求（上）概述云计算安全扩展要求是在安全通⽤要求的基础上针对云计算的特点提出特殊保护要求。
也就是说，在云计算环境中为了满⾜等保2.0的保准要求，既要满⾜安全通⽤要求，也要满⾜针对云计算提出的特殊保护要求。
云计算安全扩展要求也分为技术要求和管理要求两⼤类。
安全物理环境云计算安全扩展要求安全物理环境中的基础设施位置要求云计算基础设施位于中国境内。
这是对提供云计算服务的云服务商提出的要求，由于在云计算环境中，数据的实际存储位置往往是不受客户控制的，客户的数据可能存储在境外数据中⼼，这就改变了数据和业务的司法管辖关系，需要注意的是，有些国家的政府可能依据本国法律要求云服务商提供可以访问这些数据中⼼的途径，甚⾄要求云服务商提供位于他国数据中⼼的数据。
这使得客户的业务和数据隐私安全不能得到有效的保障。
安全通信⽹络——⽹络架构应保证云计算平台不承载⾼于其安全保护等级的业务应⽤系统】解读：云计算环境中云服务商提供的云平台与客户的业务系统是需要分别单独定级的，那么云计算平台的等级保护等级必然不能低于其承载的客户业务系统的安全保护等级。
【应实现不同云客户虚拟⽹络之间的隔离】解读：除私有云外，整个云计算平台是由多个客户共享的，因此云服务商提供的云计算平台应具备隔离不同客户系统的能⼒，使得客户的虚拟⽹络在逻辑上实现独享。
【应具有根据云服务客户业务需求提供通信传输、边界防护、⼊侵防范等安全机制的能⼒】解读：云服务商在保证云计算平台达到相应等级的安全防护⽔平外，还应将相应的安全防护机制提供给客户。
【应具有根据云服务客户业务需求⾃主设置安全策略的能⼒，包括定义访问路径、选择安全组件、配置安全策略】解读：客户的业务系统也是根据其对应的安全保护级别来部署安全防护措施，因此云计算平台应将相应的安全能⼒提供给客户，使⽤户可以根据需求进⾏⾃主选择、部署、配置。
【应提供开放接⼝或开放性安全服务，允许云服务客户接⼊第三⽅安全产品或在云计算平台选择第三⽅安全服务】解读：这⾥是对云计算平台的兼容性提出的要求，有些客户可能根据其特殊的安全需求，需要引⼊云平台提供的安全防护之外的安全技术或产品，云计算平台应提供相应的开放接⼝供产品或服务的接⼊。
云计算安全扩展要求一．安全物理环境基础设施位置应保证云计算基础设施位千中国境内。
二．安全通信网络网络架构本项要求包括：a) 应保证云计算平台不承载高千其安全保护等级的业务应用系统；b) 应实现不同云服务客户虚拟网络之间的隔离；c) 应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力；d) 应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访间路径、选择安全组件、配置安全策略；e) 应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。
三．安全区域边界1 访问控制本项要求包括：a) 应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；b) 应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。
2 入侵防范本项要求包括：a) 应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；b) 应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；c) 应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流最；d) 应在检测到网络攻击行为、异常流量情况时进行告警。
3 安全审计本项要求包括：a) 应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；b) 应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。
四．安全计算环境1 身份鉴别当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
2 访问控制本项要求包括：a) 应保证当虚拟机迁移时，访问控制策略随其迁移；b) 应允许云服务客户设置不同虚拟机之间的访问控制策略。
3 入侵防范本项要求包括：a) 应能检测虚拟机之间的资源隔离失效，并进行告警；b) 应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警；c) 应能够检测恶意代码感染及在虚拟机间蔓延的情况，并进行告警。
绿盟考试题1、国家支持网络运营者之间在网安全信息( )( )( )和( )等方面进行合作，提高网络运营者的安全保障能力。
（）A发布收集分析事故处理B审计转发处置事故处理C收集分析通报应急处置D收集分析管理应急处置2、网络运营者违反《网络安全法》第二十四条第一款规定，未要求用户提供真实身份信息，或者对不提供真实身份信息的用户提供相关服务的，由有关主管部门责令改正；拒不改正或则情节严重的，处()以上，()以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他责任人员处一万以上十万以下罚款。
（）A五万十万B二十万五十万C三万十万D五万五十万3、某个安全管理员正在为他所在的组织选择密码算法，他想选择支持数字签名的算法。
以下哪个满足他的要求？（）A :RSA( 非对称加密算法)B ：DES分组对称加密算法C:MD5(在大多应用环境早已经过时)D:AES：区块加密标准4、绿盟运维安全管理系统OSMS支持审计的图形化远程操作协议不包含以下哪一项？（）A：SecureCRTB:VNCC:X11D:RDP5、有《网络安全法》规定的违法行为的，依照有关法律、行政法规规定计入()，并公示。
（）A个人信用库B人事档案C征信系统D信用档案6、网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或则传输的信息的，应当立即停止传输该信息，采取()等处置措施，防止信息扩散，保存有感记录，并向有关主管部分报告。
（）A撤回B更改C消除D删除7、业务信息安全和系统服务安全收到破坏后，可能产生的危害后果中不包括()（）A:影响行使工作职能B:导致个人财产损失C:导致业务能力下降D:引起法律纠纷8、对发现的漏洞，分析漏洞如何被利用、漏洞被利用后的影响以及修复难度，应该使用什么评分系统来比较这些漏洞指标？（）A:VSSB:NVDC:CVSSD:CVS9、以下哪一个不是散列算法的属性？（）A:他们采取可变长的输入B：很难找到同一散列值的两条信息C:他们需要加密密钥D:他们是不可撤销的解析：知识点：产生一些数据片段(例如消息或会话项)的散列值的算法。
信息通信INFORMATION & COMMUNICATIONS2020年第02期(总第206期)2020(Sum. No 206)基于等保2.0咼校网络安全主动防御体系建设探析裴建廷，于 谦，孙 斌,王金民(潍坊医学院网络信息中心，山东潍坊261053)摘要:文章根据等保2.0的新要求和高校网络现状,从制度体系建设、三级安全防护、主动防御联动、可信计算、安全运维和攻防演练等方面，对高校网络安全主动防御体系建设进行了探析。
关键词：等保2.0;高校网络安全;主动防御体系中图分类号:TP393.08文献标识码:A文章编号：1673-1131(2020)02-0166-02随着《教育信息化2.0行动计划》等相关国家文件的出台，高校顺应信息化发展形势，分别在智慧教学、智慧后勤、智慧管理等方面取得了阶段性成果，但是在建设、管理和使用过程中，仍然存在不同程度校园网安全问题，因此，在高校信息化建设过程中,需要结合网络安全法、等保2.0等法律法规，对校 园网安全同步规划、同步设计、同步建设，才能有效保障高校网络安全、稳定运行。
1新形势下等保2.0特点1994年2月，国务院147号令出台《中华人民共和国计算机信息系统安全保护条例》，从国家层面首次提出“等保”这个概念。
随着近几年来一些新技术如云计算、移动互联、大数据、 物联网、人工智能不断提出和实现，信息技术的业务目标、应 用技术、应用场景等都发生了变化，为顺应新技术的发展，等级保护的相关标准也需要跟上新技术的发M.2019年5月，在 等保1.0的基础上，公安部发布《网络安全等级保护基本要求》(简称“等保2.0”)。
相对于等保1.0,等保2.0主要具有以下新的特点。
1.1基本要求的变化等保2.0,提出由传统的分层防护，向综合防控和集中防护 转变，并提出构建“一个中心，三重防护”的体系框架。
一个中心是指安全管理中心，是将系统管理、审计管理、安全管理和集中管理等进行融合集中管控;三重防护是指安全通信环境、安全区域边界和安全计算环境。
