‘壹’ 简述网络安全的相关评估标准.
1 我国评价标准
1999年10月经过国家质量技术监督局批准发布的《计算机信息系统安全保护等级划分准则》将计算机安全保护划分为以下5个级别。
l 第1级为用户自主保护级（GB1安全级）：它的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破坏。
l 第2级为系统审计保护级（GB2安全级）：除具备第一级所有的安全保护功能外，要求创建和维护访问的审计跟踪记录，使所有的用户对自己的行为的合法性负责。
l 第3级为安全标记保护级（GB3安全级）：除继承前一个级别的安全功能外，还要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制保护。
l 第4级为结构化保护级（GB4安全级）：在继承前面安全级别安全功能的基础上，将安全保护机制划分为关键部分和非关键部分，对关键部分直接控制访问者对访问对象的存取，从而加强系统的抗渗透能力。
l 第5级为访问验证保护级（GB5安全级）：这一个级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。
我国是国际标准化组织的成员国，信息安全标准化工作在各方面的努力下正在积极开展之中。从20世纪80年代中期开始，自主制定和采用了一批相应的信息安全标准。但是，应该承认，标准的制定需要较为广泛的应用经验和较为深入的研究背景。这两方面的差距，使我国的信息安全标准化工作与国际已有的工作相比，覆盖的范围还不够大，宏观和微观的指导作用也有待进一步提高。
2 国际评价标准
根据美国国防部开发的计算机安全标准——可信任计算机标准评价准则（Trusted Computer Standards Evaluation Criteria，TCSEC），即网络安全橙皮书，一些计算机安全级别被用来评价一个计算机系统的安全性。
自从1985年橙皮书成为美国国防部的标准以来，就一直没有改变过，多年以来一直是评估多用户主机和小型操作系统的主要方法。其他子系统（如数据库和网络）也一直用橙皮书来解释评估。橙皮书把安全的级别从低到高分成4个类别：D类、C类、B类和A类，每类又分几个级别，如表1-1所示。
表 安全 级 别
类 别
级 别
名 称
主 要 特 征
D
D
低级保护
没有安全保护
C
C1
自主安全保护
自主存储控制
C2
受控存储控制
单独的可查性，安全标识
B
B1
标识的安全保护
强制存取控制，安全标识
B2
结构化保护
面向安全的体系结构，较好的抗渗透能力
B3
安全区域
存取监控、高抗渗透能力
A
A
验证设计
形式化的最高级描述和验证
D级是最低的安全级别，拥有这个级别的操作系统就像一个门户大开的房子，任何人都可以自由进出，是完全不可信任的。对于硬件来说，没有任何保护措施，操作系统容易受到损害，没有系统访问限制和数据访问限制，任何人不需任何账户都可以进入系统，不受任何限制可以访问他人的数据文件。属于这个级别的操作系统有DOS和Windows 98等。
C1是C类的一个安全子级。C1又称选择性安全保护（Discretionary Security Protection）系统，它描述了一个典型的用在UNIX系统上安全级别。这种级别的系统对硬件又有某种程度的保护，如用户拥有注册账号和口令，系统通过账号和口令来识别用户是否合法，并决定用户对程序和信息拥有什么样的访问权，但硬件受到损害的可能性仍然存在。
用户拥有的访问权是指对文件和目标的访问权。文件的拥有者和超级用户可以改变文件的访问属性，从而对不同的用户授予不通的访问权限。
C2级除了包含C1级的特征外，应该具有访问控制环境（Controlled Access Environment）权力。该环境具有进一步限制用户执行某些命令或者访问某些文件的权限，而且还加入了身份认证等级。另外，系统对发生的事情加以审计，并写入日志中，如什么时候开机，哪个用户在什么时候从什么地方登录，等等，这样通过查看日志，就可以发现入侵的痕迹，如多次登录失败，也可以大致推测出可能有人想入侵系统。审计除了可以记录下系统管理员执行的活动以外，还加入了身份认证级别，这样就可以知道谁在执行这些命令。审计的缺点在于它需要额外的处理时间和磁盘空间。
使用附加身份验证就可以让一个C2级系统用户在不是超级用户的情况下有权执行系统管理任务。授权分级使系统管理员能够给用户分组，授予他们访问某些程序的权限或访问特定的目录。能够达到C2级别的常见操作系统有如下几种：
（1）UNIX系统；
（2）Novell 3.X或者更高版本；
（3）Windows NT，Windows 2000和Windows 2003。
B级中有三个级别，B1级即标志安全保护（Labeled Security Protection），是支持多级安全（例如：秘密和绝密）的第一个级别，这个级别说明处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。
安全级别存在秘密和绝密级别，这种安全级别的计算机系统一般在政府机构中，比如国防部和国家安全局的计算机系统。
B2级，又叫结构保护（Structured Protection）级别，它要求计算机系统中所有的对象都要加上标签，而且给设备（磁盘、磁带和终端）分配单个或者多个安全级别。
B3级，又叫做安全域（Security Domain）级别，使用安装硬件的方式来加强域的安全，例如，内存管理硬件用于保护安全域免遭无授权访问或更改其他安全域的对象。该级别也要求用户通过一条可信任途径连接到系统上。
A级，又称验证设计（Verified Design）级别，是当前橙皮书的最高级别，它包含了一个严格的设计、控制和验证过程。该级别包含较低级别的所有的安全特性。
安全级别设计必须从数学角度上进行验证，而且必须进行秘密通道和可信任分布分析。可信任分布（Trusted Distribution）的含义是：硬件和软件在物理传输过程中已经受到保护，以防止破坏安全系统。橙皮书也存在不足，TCSEC是针对孤立计算机系统，特别是小型机和主机系统。假设有一定的物理保障，该标准适合政府和军队，不适合企业，这个模型是静态的。
‘贰’ 网络安全等级保护2.0国家标准
等级保护2.0标准体系主要标准如下：1.网络安全等级保护条例2.计算机信息系统安全保护等级划分准则3.网络安全等级保护实施指南4.网络安全等级保护定级指南5.网络安全等级保护基本要求6.网络安全等级保护设计技术要求7.网络安全等级保护测评要求8.网络安全等级保护测评过程指南。
第一级（自主保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
第二级（指导保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
第三级（监督保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
第四级（强制保护级），等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；
第五级（专控保护级），等级保护对象受到破坏后，会对国家安全造成特别严重损害
相较于1.0版本，2.0在内容上到底有哪些变化呢？
1.0定级的对象是信息系统，2.0标准的定级的对象扩展至：基础信息网络、云计算平台、物联网、工业控制系统、使用移动互联技术的网络以及大数据平台等多个系统，覆盖面更广。
再者，在系统遭到破坏后，对公民、法人和其他组织的合法权益造成特别严重损害的由原来的最高定为二级改为现在的最高可以定为三级。
最后，等保2.0标准不再强调自主定级，而是强调合理定级，系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，定级更加严格。
总结通过建立安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。 法律依据：《中华人民共和国网络安全法》
第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。
‘叁’ 网络安全等级保护详细解读20标准
随着网络技术的发展，网络安全等级保护已经成为网络安全领域的重要研究课题。为了更好地保护网络安全，安全管理部门制定了20项网络安全等级保护标准，以棚消确保网络安全。本文将对这20项标准进行详细解读，以便更好地保护网络安全。
1.1 网络安全等级保护的定义
网络安全等级保护是指采取技术、管理和组织措施，以确保网络安全的一种安全保护措施。它的目的是确保网络系统的安全性，防止网络系统受到未经授权的访问、破坏和滥用。
1.2 网络安全等级保护的20项标准
网络安全等级保护的20项标准包括：
（1）安全策略：组织应制定安全策略，明确网络安全的目标、责任和范围，并定期审查和更新安全策略。
（2）安全管理：组织应建立安全管理机制，确定安全管理职责，制定安全管理规定，实施安全管理措施，定期审查和更新安全管理机指搭制。
（3）安全审计：组织应定期审计网络安全状况，发现安全漏洞，并采取有效措施消除安全隐患。
（4）安全维护：组织应定期对网络系统进行维护，确保网络系统的正常运行。
（5）安全防护：组织应采取有效的安全防护措施，防止网络系统受到未经授权的访问、破坏和滥用。
（6）安全培训：组织应定期对员工进行安全培训，使员工充分了解网络安全的重要性，并能够正确使用网络系统。
（7）安全检测：组织应定期对网络系统进行安全检测，及时发现安全漏洞，并采取有效措施消除安全隐患。
（8）安全评估：组织应定期对网络系统进行安全评估，评估网络系统的安全性，并采取有效措施提高网络安全性。
（9）安全控制：组织应建立安全控制机制，确定安全控制职责，制定安全控制规定，实施安全控制措施，定期审查和更新安全控制机制。
（10）安全监控：组织应建立安全监控机制，定期监控网络系统的安全状况，及时发现安全漏洞，并采取有效措施消除安全隐患。
（11）安全等级保护：组织应建立安全等级保护机制，确定安全等级保护职责，制定安全等级保护规定，实施安全等级保护措施，定期审查和更新安全等级保护机制。
（12）安全策略实施：组织应定期实施安全策略，确保网络系统的安全性，防止网络系统受到未经授权的访问、破坏和滥用。
（13）安全策略评估：组织应定期评估安全策略，评估安全策略的有效性，并采取有效措施提高安全策略的有效性。
（14）安全策略审计：组织应定期审计安全策略，发现安全漏洞，并采取有效措施消除安全隐患。
（15）安全策略维护：组织应定期对安全策略进行维护，确保安全策略的正常运行。
（16）安全策略防护：组织应采取有效的安全策略防护措施，防止网络系统受到未经授权的访问、破坏和滥用。
（17）安全策略培训：组织应定期对员工进行安全策略培训，使员工充分了解安全策略的重要性，并能够正确使用安全策略。
（18）安全策略检测：组织应定期对安全策略进行检测，及时发现安全漏洞，并采取有效措施消除安全隐患。
（19）安全策略评估：组织应定期对安全策略进行评估，评估安全策略的有效性，并采取有效措施提高安全策略的有效性。
（20）安全策略控制：组织应建立安全策略控制机制，确定安全策略控制职责，制定安全策略控制规定，实施安全策略控制措施，定期审查和更新安全策略控制机制。
2. 网络安全等级保护的重要性
网络安全等级保护的重要性不言而喻，它是确保网络安全的重要手段。网络安全等级保护的20项标准，既可以防止网络系统受到未经授权的访问、破坏和滥用，又可以提高网络系统的安全性，保护网络系统的安全。
网络安全等级保护的20项标准，可以帮助组织建立安全管理机制、安全控制机制、安全等级保护机制链逗知和安全策略控制机制，以确保网络安全。此外，组织还可以通过定期审计、安全检测、安