網(wǎng)絡(luò)安全等級(jí)保護(hù)制度是國(guó)家信息安全保障工作的基本制度、基本策略和基本方法，是促進(jìn)信息化健康發(fā)展，維護(hù)國(guó)家安全、社會(huì)秩序和公共利益的根本保障。沒(méi)有網(wǎng)絡(luò)安全，就沒(méi)有國(guó)家安全。《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第二十一條明確指出：國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問(wèn)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改，將網(wǎng)絡(luò)安全等級(jí)保護(hù)上升到法律高度。網(wǎng)絡(luò)安全等級(jí)保護(hù)工作不僅是保障重要信息系統(tǒng)安全的重大措施，也是一項(xiàng)事關(guān)國(guó)家安全、社會(huì)穩(wěn)定、國(guó)家利益的重要任務(wù)。
為組織各單位、各部門(mén)開(kāi)展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作，公安部和標(biāo)準(zhǔn)化工作部門(mén)組織制定了網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的一系列標(biāo)準(zhǔn)，形成網(wǎng)絡(luò)安全等級(jí)保護(hù)標(biāo)準(zhǔn)體系，為開(kāi)展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作提供了標(biāo)準(zhǔn)保障。而且，為適應(yīng)新技術(shù)的發(fā)展，滿足云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)和工控領(lǐng)域信息系統(tǒng)的等級(jí)保護(hù)工作的需要，由公安部牽頭組織開(kāi)展了信息技術(shù)新領(lǐng)域等級(jí)保護(hù)重點(diǎn)標(biāo)準(zhǔn)申報(bào)國(guó)家標(biāo)準(zhǔn)的工作，等級(jí)保護(hù)于2019年12月1日正式進(jìn)入2.0時(shí)代，這為貫徹落實(shí)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、實(shí)現(xiàn)國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略目標(biāo)奠定了基礎(chǔ)。等級(jí)保護(hù)2.0版本增加了對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)新應(yīng)用的全覆蓋，定級(jí)對(duì)象更為廣泛，包含信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算平臺(tái)、大數(shù)據(jù)平臺(tái)、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動(dòng)互聯(lián)技術(shù)的網(wǎng)絡(luò)等。
自從1994年國(guó)務(wù)院147號(hào)令第一次提出等級(jí)保護(hù)的概念以來(lái)，等級(jí)保護(hù)工作得到政府、金融、教育、能源等各行各業(yè)的廣泛認(rèn)可。公安機(jī)關(guān)、行業(yè)主管部門(mén)、信息系統(tǒng)運(yùn)營(yíng)使用單位、網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)機(jī)構(gòu)等成為網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的執(zhí)行主體，其中公安機(jī)關(guān)主要承擔(dān)監(jiān)督檢查工作，同時(shí)負(fù)責(zé)管理測(cè)評(píng)機(jī)構(gòu)以及各單位的系統(tǒng)定級(jí)備案；網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)機(jī)構(gòu)主要承擔(dān)系統(tǒng)測(cè)評(píng)工作；信息系統(tǒng)運(yùn)營(yíng)使用單位對(duì)系統(tǒng)安全負(fù)主要責(zé)任，負(fù)責(zé)定級(jí)、備案、建設(shè)整改。而且，隨著云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)、邊緣計(jì)算技術(shù)的快速發(fā)展，人類進(jìn)入以大數(shù)據(jù)、萬(wàn)物互聯(lián)及人工智能 為特點(diǎn)的新時(shí)代，新型應(yīng)用不斷涌現(xiàn)，企業(yè)越來(lái)越多的業(yè)務(wù)轉(zhuǎn)移到網(wǎng)絡(luò)平臺(tái)，核心業(yè)務(wù)的正常運(yùn)營(yíng)離不開(kāi)安全可靠的信息系統(tǒng)支撐。結(jié)合近些年的工作實(shí)踐，在國(guó)家出版基金的支持下，編寫(xiě)了這本書(shū)。
本書(shū)對(duì)等級(jí)保護(hù)的基礎(chǔ)理論以及應(yīng)用進(jìn)行闡述，圍繞等保規(guī)定動(dòng)作進(jìn)行詳細(xì)說(shuō)明，尤其是網(wǎng)絡(luò)安全等級(jí)保護(hù)的基本要求、測(cè)評(píng)要求，同時(shí)提供與等級(jí)保護(hù)工作相關(guān)的工具及知識(shí)庫(kù)。本書(shū)是一本系統(tǒng)化、全面化介紹網(wǎng)絡(luò)安全等級(jí)保護(hù)理論及應(yīng)用的書(shū)籍，便于網(wǎng)絡(luò)空間安全從業(yè)人員了解等級(jí)保護(hù)工作的必要性及重要意義，掌握等級(jí)保護(hù)政策及標(biāo)準(zhǔn)體系，學(xué)習(xí)等級(jí)保護(hù)測(cè)評(píng)的基本知識(shí)，指導(dǎo)信息安全專業(yè)相關(guān)人員實(shí)現(xiàn)更好的安全保障。
本書(shū)第1章從常見(jiàn)信息系統(tǒng)技術(shù)架構(gòu)的安全需求出發(fā)，引出信息安全評(píng)估的必要性及框架，包括信息安全評(píng)估的發(fā)展演化、評(píng)估模型及要素等，進(jìn)一步介紹網(wǎng)絡(luò)安全等級(jí)保護(hù)理論體系，給出等級(jí)測(cè)評(píng)理論研究進(jìn)展及發(fā)展趨勢(shì)。第2章為等級(jí)保護(hù)的基礎(chǔ)理論及核心模型，介紹PDCA過(guò)程模型、IATF保護(hù)框架、P2DR動(dòng)態(tài)防御模型、風(fēng)險(xiǎn)評(píng)估理論、層次分析法和本體論，并介紹理論模型與等保工作的結(jié)合。第3章介紹等級(jí)保護(hù)的信息系統(tǒng)安全定級(jí)與備案，這是等級(jí)保護(hù)的首要環(huán)節(jié)，包括安全等級(jí)劃分的含義、定級(jí)原則與方法以及系統(tǒng)備案含義與流程等。第4章為網(wǎng)絡(luò)安全等級(jí)保護(hù)的基本要求，是等級(jí)測(cè)評(píng)機(jī)構(gòu)判定信息系統(tǒng)是否符合等級(jí)保護(hù)要求的依據(jù)，對(duì)通用要求和新型應(yīng)用系統(tǒng)的擴(kuò)展要求進(jìn)行解讀。第5章介紹被測(cè)對(duì)象系統(tǒng)的采集技術(shù)，包括信息踩點(diǎn)、端口掃描、操作系統(tǒng)識(shí)別技術(shù)以及基本信息調(diào)查表，這是測(cè)評(píng)對(duì)象選擇、測(cè)試工具接入以及開(kāi)發(fā)測(cè)評(píng)指導(dǎo)書(shū)的基礎(chǔ)知識(shí)。第6章介紹安全漏洞檢測(cè)及滲透測(cè)試技術(shù)，包括主動(dòng)模擬攻擊式、主動(dòng)查詢式、被動(dòng)監(jiān)聽(tīng)式等多種漏洞檢測(cè)技術(shù)，以及Web滲透測(cè)試。漏洞檢測(cè)與滲透測(cè)試是等級(jí)測(cè)評(píng)工作中必不可少的活動(dòng)，通過(guò)滲透測(cè)試技術(shù)驗(yàn)證掃描發(fā)現(xiàn)漏洞的有效性。第7章為脆弱性關(guān)聯(lián)分析技術(shù)，即攻擊圖生成技術(shù)及應(yīng)用，包括攻擊圖概念、類型、生成工具及分析方法，并將等級(jí)測(cè)評(píng)的單風(fēng)險(xiǎn)點(diǎn)分析拓展到孤立風(fēng)險(xiǎn)點(diǎn)的關(guān)聯(lián)分析。第8章為等級(jí)測(cè)評(píng)相關(guān)工具及知識(shí)庫(kù)，介紹應(yīng)用、主機(jī)、數(shù)據(jù)庫(kù)、源碼、滲透測(cè)試、App等不同層次的安全漏洞檢測(cè)工具，還介紹了國(guó)內(nèi)外主流的漏洞知識(shí)庫(kù)，諸如CVE、CNVD等，本章內(nèi)容為等級(jí)測(cè)評(píng)工作提供支撐。第9章為等級(jí)保護(hù)測(cè)評(píng)的典型應(yīng)用，介紹了測(cè)評(píng)對(duì)象選擇原則、測(cè)評(píng)指標(biāo)的確定方法、漏洞掃描測(cè)試點(diǎn)的確定等，對(duì)云租戶、工業(yè)控制系統(tǒng)的測(cè)評(píng)關(guān)鍵技術(shù)點(diǎn)進(jìn)行詳細(xì)介紹，幫助讀者掌握等級(jí)測(cè)評(píng)實(shí)施方法，將等級(jí)測(cè)評(píng)理論方法應(yīng)用于實(shí)踐中。第10章分析等級(jí)測(cè)評(píng)面臨的挑戰(zhàn)，尤其是新型系統(tǒng)的測(cè)評(píng)標(biāo)準(zhǔn)及測(cè)評(píng)能力有待完善、面向新型技術(shù)的安全測(cè)評(píng)規(guī)范缺失以及新型智能算法帶來(lái)的隱私問(wèn)題，最后展望等級(jí)測(cè)評(píng)的未來(lái)發(fā)展趨勢(shì)。
本書(shū)既可作為信息系統(tǒng)安全管理人員、等級(jí)測(cè)評(píng)機(jī)構(gòu)人員的技術(shù)參考書(shū)，也可作為高等院校網(wǎng)絡(luò)空間安全及相關(guān)專業(yè)的本科生和研究生教