網(wǎng)絡(luò)安全等級保護制度是國家信息安全保障工作的基本制度、基本策略和基本方法，是促進信息化健康發(fā)展，維護國家安全、社會秩序和公共利益的根本保障。沒有網(wǎng)絡(luò)安全，就沒有國家安全。《中華人民共和國網(wǎng)絡(luò)安全法》第二十一條明確指出：國家實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)運營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護制度的要求，履行下列安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改，將網(wǎng)絡(luò)安全等級保護上升到法律高度。網(wǎng)絡(luò)安全等級保護工作不僅是保障重要信息系統(tǒng)安全的重大措施，也是一項事關(guān)國家安全、社會穩(wěn)定、國家利益的重要任務(wù)。
為組織各單位、各部門開展網(wǎng)絡(luò)安全等級保護工作，公安部和標(biāo)準(zhǔn)化工作部門組織制定了網(wǎng)絡(luò)安全等級保護工作的一系列標(biāo)準(zhǔn)，形成網(wǎng)絡(luò)安全等級保護標(biāo)準(zhǔn)體系，為開展網(wǎng)絡(luò)安全等級保護工作提供了標(biāo)準(zhǔn)保障。而且，為適應(yīng)新技術(shù)的發(fā)展，滿足云計算、物聯(lián)網(wǎng)、移動互聯(lián)和工控領(lǐng)域信息系統(tǒng)的等級保護工作的需要，由公安部牽頭組織開展了信息技術(shù)新領(lǐng)域等級保護重點標(biāo)準(zhǔn)申報國家標(biāo)準(zhǔn)的工作，等級保護于2019年12月1日正式進入2.0時代，這為貫徹落實《中華人民共和國網(wǎng)絡(luò)安全法》、實現(xiàn)國家網(wǎng)絡(luò)安全戰(zhàn)略目標(biāo)奠定了基礎(chǔ)。等級保護2.0版本增加了對云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)新應(yīng)用的全覆蓋，定級對象更為廣泛，包含信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動互聯(lián)技術(shù)的網(wǎng)絡(luò)等。
自從1994年國務(wù)院147號令第一次提出等級保護的概念以來，等級保護工作得到政府、金融、教育、能源等各行各業(yè)的廣泛認(rèn)可。公安機關(guān)、行業(yè)主管部門、信息系統(tǒng)運營使用單位、網(wǎng)絡(luò)安全等級測評機構(gòu)等成為網(wǎng)絡(luò)安全等級保護工作的執(zhí)行主體，其中公安機關(guān)主要承擔(dān)監(jiān)督檢查工作，同時負責(zé)管理測評機構(gòu)以及各單位的系統(tǒng)定級備案；網(wǎng)絡(luò)安全等級測評機構(gòu)主要承擔(dān)系統(tǒng)測評工作；信息系統(tǒng)運營使用單位對系統(tǒng)安全負主要責(zé)任，負責(zé)定級、備案、建設(shè)整改。而且，隨著云計算、物聯(lián)網(wǎng)、移動互聯(lián)、邊緣計算技術(shù)的快速發(fā)展，人類進入以大數(shù)據(jù)、萬物互聯(lián)及人工智能 為特點的新時代，新型應(yīng)用不斷涌現(xiàn)，企業(yè)越來越多的業(yè)務(wù)轉(zhuǎn)移到網(wǎng)絡(luò)平臺，核心業(yè)務(wù)的正常運營離不開安全可靠的信息系統(tǒng)支撐。結(jié)合近些年的工作實踐，在國家出版基金的支持下，編寫了這本書。
本書對等級保護的基礎(chǔ)理論以及應(yīng)用進行闡述，圍繞等保規(guī)定動作進行詳細說明，尤其是網(wǎng)絡(luò)安全等級保護的基本要求、測評要求，同時提供與等級保護工作相關(guān)的工具及知識庫。本書是一本系統(tǒng)化、全面化介紹網(wǎng)絡(luò)安全等級保護理論及應(yīng)用的書籍，便于網(wǎng)絡(luò)空間安全從業(yè)人員了解等級保護工作的必要性及重要意義，掌握等級保護政策及標(biāo)準(zhǔn)體系，學(xué)習(xí)等級保護測評的基本知識，指導(dǎo)信息安全專業(yè)相關(guān)人員實現(xiàn)更好的安全保障。
本書第1章從常見信息系統(tǒng)技術(shù)架構(gòu)的安全需求出發(fā)，引出信息安全評估的必要性及框架，包括信息安全評估的發(fā)展演化、評估模型及要素等，進一步介紹網(wǎng)絡(luò)安全等級保護理論體系，給出等級測評理論研究進展及發(fā)展趨勢。第2章為等級保護的基礎(chǔ)理論及核心模型，介紹PDCA過程模型、IATF保護框架、P2DR動態(tài)防御模型、風(fēng)險評估理論、層次分析法和本體論，并介紹理論模型與等保工作的結(jié)合。第3章介紹等級保護的信息系統(tǒng)安全定級與備案，這是等級保護的首要環(huán)節(jié)，包括安全等級劃分的含義、定級原則與方法以及系統(tǒng)備案含義與流程等。第4章為網(wǎng)絡(luò)安全等級保護的基本要求，是等級測評機構(gòu)判定信息系統(tǒng)是否符合等級保護要求的依據(jù)，對通用要求和新型應(yīng)用系統(tǒng)的擴展要求進行解讀。第5章介紹被測對象系統(tǒng)的采集技術(shù)，包括信息踩點、端口掃描、操作系統(tǒng)識別技術(shù)以及基本信息調(diào)查表，這是測評對象選擇、測試工具接入以及開發(fā)測評指導(dǎo)書的基礎(chǔ)知識。第6章介紹安全漏洞檢測及滲透測試技術(shù)，包括主動模擬攻擊式、主動查詢式、被動監(jiān)聽式等多種漏洞檢測技術(shù)，以及Web滲透測試。漏洞檢測與滲透測試是等級測評工作中必不可少的活動，通過滲透測試技術(shù)驗證掃描發(fā)現(xiàn)漏洞的有效性。第7章為脆弱性關(guān)聯(lián)分析技術(shù)，即攻擊圖生成技術(shù)及應(yīng)用，包括攻擊圖概念、類型、生成工具及分析方法，并將等級測評的單風(fēng)險點分析拓展到孤立風(fēng)險點的關(guān)聯(lián)分析。第8章為等級測評相關(guān)工具及知識庫，介紹應(yīng)用、主機、數(shù)據(jù)庫、源碼、滲透測試、App等不同層次的安全漏洞檢測工具，還介紹了國內(nèi)外主流的漏洞知識庫，諸如CVE、CNVD等，本章內(nèi)容為等級測評工作提供支撐。第9章為等級保護測評的典型應(yīng)用，介紹了測評對象選擇原則、測評指標(biāo)的確定方法、漏洞掃描測試點的確定等，對云租戶、工業(yè)控制系統(tǒng)的測評關(guān)鍵技術(shù)點進行詳細介紹，幫助讀者掌握等級測評實施方法，將等級測評理論方法應(yīng)用于實踐中。第10章分析等級測評面臨的挑戰(zhàn)，尤其是新型系統(tǒng)的測評標(biāo)準(zhǔn)及測評能力有待完善、面向新型技術(shù)的安全測評規(guī)范缺失以及新型智能算法帶來的隱私問題，最后展望等級測評的未來發(fā)展趨勢。
本書既可作為信息系統(tǒng)安全管理人員、等級測評機構(gòu)人員的技術(shù)參考書，也可作為高等院校網(wǎng)絡(luò)空間安全及相關(guān)專業(yè)的本科生和研究生教