数据安全测评技术
1. 信息安全最本质最核心的部分 P36
数据安全始终都是信息安全最本质、最核心的部分。
2. 数据安全的三个属性 P37
完整性、保密性、可用性。
在测评一个信息系统的数据安全时，国家标准要求从“数据完整性”、“数据保密性”和“数据备份与恢复”三个环节来考虑。
3. 怎样对数据安全进行测评 P37
访谈：指测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。
检查：指测评人员通过对测评对象进行观察、查验和分析等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。
测试：指测评人员通过对测评对象按照预定的方法/工具使其产生特定的行为等活动，然后查看、分析输出结果，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。
4. 无损测试 P37
测试过程一定要注意无损测试，也就是不能影响被测系统的正常工作，也不能留下任何后患。
5. 信息系统定级 P38
（书上有错误）
整体定级：一个信息系统分为若干子系统，如果所有子系统中最高被定为第3级，那么整个信息系统的安全级别就是第3级。
主机安全测评技术
1. 主机安全测评的对象 P63
测评的对象不仅仅是各种型号的计算机（包括软、硬件），还包括管理和使用计算机的人员。
测评的对象是“人-机合一”系统。
2. 主机身份鉴别现场检查（文档检查） P68
仅第1项：文档检查。
检查服务器操作系统和数据库管理系统身份鉴别功能是否具有《操作系统安全技术要求》和《数据库管理系统安全技术要求》第二级以上或TCSEC C2级以上的测试报告。
检查时，主要通过检查当初项目建设的招投/标文件来验证是否达到要求。
3. 口令替换 P69
对于第3级安全等级的主机而言，口令替换记录应该显示出该被检主机至少 每月进行了一次口令替换。
4. 主机安全检查和测试的区别 P68-95
检查有测试没有的测评项：剩余信息保护，入侵防范，恶意代码，资源控制。
所有测评项
主机安全现场检查：身份鉴别，自主访问控制，强制访问控制，安全审计，剩余信息保护，入侵防范，恶意代码，资源控制。
主机安全测试：身份鉴别，自主访问控制，强制访问控制，安全审计。
网络安全测评技术
1. 假设每个主机都是安全的，那么由这些主机构成的网络是安全的吗？ P98
不是。
2. 网络安全测评要求 P99
要从管理和技术两个层面。
要人-机合一。
既要防外，又要防内。
3. 网络安全测评要求中要关注的8个方面 P99
（1）结构安全和网段划分：既要防外，又要防内。
（2）网络访问控制：设置各种网络设备端口。
（3）拨号访问控制：规定对单个用户拨号访问的检查，查看网络内每一个用户是否有权使用拨号访问设备。
（4）网络安全审计：与主机类似。
（5）边界完整性检查：设置边防检查站对边界来往人员进行管理检查，对形形色色的非法越境人员进行监控。
（6）网络入侵防范：与主机类似。
（7）恶意代码防范：与主机类似。
（8）网络设备防护：与主机“身份鉴别”类似。
应用安全测评技术
1. 信息高速公路 P142
“信息高速公路”建设的基础设施——数据、主机和网络；
在“信息高速公路”上行驶的各种车辆和人员——应用系统。
2. 应用安全测评的9个环节 P143
（1）身份鉴别
（2）访问控制
（3）安全审计
（4）剩余信息保护
（5）通信完整性
（6）通信保密性
（7）抗抵赖 ※新的测评项
（8）软件容错 ※新的测评项
（9）资源控制
3. 应用安全访谈调研对象 P143
与前面进行的访谈调研略有不同的是，这次的访谈对象不仅包括信息系统的各级管理和技术人员，还包括 应用系统的使用人员和开发商。