【资料名称】：电信运营商的Web网站安全评估

【资料作者】：张高山, 杜雪涛, 张晨

【资料日期】：201301

【资料语言】：中文

【资料格式】：DOC/DOCX

【资料目录和简介】：

运营商已经部署了大量面向互联网的Web 网站，
这些网站系统或承载着企业的核心业务、或代表了企业
的品牌形象、或维护着大量的客户隐私数据，这些已经
成为运营商最重要的信息资产。然而，随着黑客攻击
的趋势逐渐由传统的网络层转向Web 层，根据CVE、
OWASP 等权威安全机构的统计，Web 网站的安全攻击
Web 安全评估同样遵守信息安全风险评估准则：
（1）标准性原则：风险评估工作的指导性原则，指
遵循通信行业相关标准开展系统的安全风险评估工作。
（2）可控性原则：在评估过程中，应保证参与评估
的人员、使用的技术和工具、评估过程都是可控的。
（3）完备性原则：严格按照被评估方提供的评估范
围进行全面的评估。
（4）最小影响原则：从项目管理层面和工具技术层
面，将评估工作对系统正常运行的可能影响降低到最低
限度，不会对被评估网络上的业务运行产生显著影响。
（5）保密原则：评估方应与被评估的网络和业务运
营商签署相关的保密协议和非侵害性协议，以保障被评
估方的利益。
2.2 安全评估框架
2.2.1 Web 网站通用逻辑架构
Web 网站的通用逻辑架构主要包括Web 网站系统、
外部系统和客户端3 部分组成，如图1 所示。
图1