產生評估原因
在現在的網際網路社會，在針對信息基礎設施和應用程式的滲透測試進行過績效管理之後，越來越認識到技術測試和提供信息安全保障的重要性。
這是一種純粹的技術評估方法學，他會讓人們對現今的公共網路所面臨的威脅、所存在的漏洞及漏洞披露方式有一個更為深刻的理解。在系統安全領域，所進行的數以萬計的滲透測試的目的是“識別被測系統的技術漏洞，以便糾正這些漏洞或者降低由這些漏洞所帶來的風險”。對於為什麼要進行滲透測試而言，這是一個清晰、簡明但也是錯誤的理由。
會逐漸認識到，大多數情況下漏洞及其披露緣於系統管理不善、沒有及時打補丁、弱口令策略、不完善的存取控制機制，等等。因此，進行滲透測試的主要原因和目的應該是識別和糾正系統管理過程的失效，正是這種失效導致了系統漏洞的出現，並在滲透測試的過程中被披露出來。最常見的系統管理過程失效包括：
* 系統軟體配置的失效
* 應用程式軟體配置的失效
* 軟體維護的失效
* 用戶管理和系統管理的失效
評估所需解決的問題
不幸的是，很多IT安全顧問僅僅提供特定測試所發現問題的詳細列表，但從來不嘗試進行更高層次的分析，以便回答“為什麼會存在這些問題”。缺乏對那些系統管理失效（系統管理失效是引發測試中所發現的問題的本質原因）的識別和糾正所帶來的後果是：在六個月之後，當IT安全顧問再一次對信息系統進行測試之後，新的問題又會出現。
如果一位負責信息系統安全的專業人員，評估別人所負責管理的網路，他將會有效地列出了敵手所可能採用的攻擊技術和工具；
如果為客戶進行安全評估的顧問，那些可能引發系統漏洞的管理過程失效是至關重要的。
某一專業網路安全評估公司曾經為一個大型的國際客戶進行過一系列的滲透測試，該客戶的業務系統是多區域性的，所執行的IT安全策略是集中發布、分區域執行的。評估公司把測試得到的技術結果映射到了如下的一些管理範疇：
作業系統配置 由於不正確地配置作業系統軟體所引發的漏洞
軟體維護 由於未對已知漏洞打補丁而引發的漏洞
口令/存取（訪問）控制 由於不遵守口令策略和不正確的存取控制設定引發的漏洞
惡意軟體 存在惡意軟體（木馬、蠕蟲等）或至少有其存在的跡象
危險的服務存在有漏洞的或易被攻擊者滲透的服務或進程
應用程式配置 由於應用程式配置不當引發的漏洞
根據評估所得到的結果，計算出了由安全評估過程所得到的安全漏洞數的平均值
（以整個組織的每一百台被測系統為基數單位）
如圖所示：
根據管理範疇劃分的平均漏洞數在進行上述平均漏洞數的計算之後，為對整個組織內不同區域的信息安全狀況進行分析，又對每個區域記憶體在的系統漏洞數和整個組織存在漏洞的均值進行了比較。結果是很明顯的，如下圖所示：
（在均值以上被認為是“壞的”，說明該區域存在的漏洞高於整個組織的漏洞均值）。
各區域漏洞與整個組織漏洞均值的比較上圖中給出了由於各個區域所採取的安全管理措施不同而產生的可辨別的、可量化的漏洞差別。例如，區域3的IT管理者顯然沒有執行有效的軟體維護和口令/存取控制管理措施，而區域1的IT管理者則沒有從其所管理的系統中去除不必要的服務。
要注意的重要一點是，應該把漏洞及其披露劃歸到不同的範疇，並且以一種新的視角來對其進行研究。可以形成出一份全面地總結歸檔了較低層面技術問題的技術報告，但在根本性的高層管理失效問題解決之前，網路的安全性並不會得到真正的提高，同時相同的漏洞及其變種以後仍然會出現。
實做與分析
周密的網路安全評估與分析，是可靠，有效的安全防護措施制定的必要前提。網路風險分析應該在網路系統，應用程式或信息資料庫的設計階段進行，這樣可以從設計開始就明確安全需求，確認潛在的損失。因為在設計階段實現安全控制要遠比在網路系統運行後採取同樣的控制要節約的多。即使認為當前的網路系統分析建立的十分完善，在建立安全防護時，風險分析還是會發現一些潛在的安全問題。
網路系統的安全性取決於網路系統最薄弱的環節，任何疏忽的地方都可能成為黑客攻擊點，導致網路系統受到很大的威脅，最有效的方法是定期對網路系統進行安全性分析，及時發現並修正存在的弱點和漏洞，保證網路系統的安全性。
一個全面的風險分析包括：
物理層安全風險分析
鏈路層安全風險分析
網路層（包含傳輸層）安全風險分析
作業系統安全風險分析
套用層安全風險分析
管理的安全風險分析
典型的黑客攻擊手段
目前的網路系統問題包括：
系統開放了不必要的服務
口令弱
軟體的版本本身的漏洞
Web伺服器的配置問題
檔案共享不合適-netbios、netware
NT伺服器的配置問題
防火牆的配置與路由器的訪問控制表的配置問題
信息泄露-Telnet旗標、Finger、SNMP、SMTP
信任關係-rlogin、rsh、rexec
檢測類似BO、NetBus等特洛伊木馬
遠程訪問不安全
網路系統風險分析的方式：
問卷調查
訪談
文檔審查
黑盒測試
作業系統的漏洞檢查和分析
網路服務的安全漏洞和隱患的檢查和分析
抗攻擊測試
綜合審計報告
其中最要的就是利用漏洞掃描系統對網路系統進行掃描分析。
掃描分析功能主要包括：
弱點漏洞檢測
運行服務檢測
用戶信息檢測
口令安全性檢測
檔案系統安全性檢測
以一個網路安全性評估分析軟體為基礎，通過用實踐性的方法掃描分析網路系統，檢查報告系統存在的弱點和漏洞，建議補救措施和安全策略，針對具體情況實施完善的安全方案，根據掃描的結果配置修改網路系統，保障網路系統的安全運行。
基於網路安全分析系統的網路結構圖：
基於網路安全分析系統的網路結構圖網路安全評估指標體系研究的意義
網路安全評估指標體系是網路安全評估體系的重要組成部分。網路安全評估指標是網路安全評估的工具，是反映評估對象安全屬性的指示標誌；網路安全評估指標體系則是根據評估目標和評估內容的要求構建的一組反映網路安全水平的相關指標，據以蒐集評估對象的有關信息資料，反映評估對象的網路安全的基本面貌、素質和水平。
隨著信息通信技術的演進和發展，網路信息安全的內涵需要不斷地延伸，從最初的信息保密性發展到信息的完整性、可用性、可控性和不可否認性，進而又發展為“攻（攻擊）、防（防範）、測（檢測）、控（控制）、管（管理）、評（評估）”等多方面的基礎理論和實施技術。網路信息安全風險評估則是進行網路信息安全管理和安全保障的基礎和手段，是網路信息提供者、使用者判定安全風險級別的過程，也是應否實施額外的安全控制以進一步降低安全風險的依據。
加強信息安全保障工作的總體要求和主要原則，並對信息安全保障工作做了全面部署。其中信息安全風險評估是信息安全保障的重要基礎性工作之一。
電信網路作為國民經濟的基礎設施，與國民經濟各領域的聯繫日益緊密，網路安全問題對整個國民經濟信息化進程有著舉足輕重的戰略作用。電信網網路安全作為國家信息安全的一個重要組成部分，要與國家信息安全總體要求和總體部署保持一致，要堅持積極防禦、綜合防範的方針，提高網路防護能力和風險識別能力，加強網路安全評估體系的研究。
