系统上线前真的有必要做安全评估吗？二、为什么要做系统上线前安全评估？三、传统的安全评估四、系统上线前安全评估方法论五、安全评估范围：系统上线前真的有必要做安

原标题：系统上线前真的有必要做安全评估吗？
随着信息技术的飞速发展，安全问题逐渐成为目前影响和制约网络应用发展的一个重要因素。传统的信息安全评估服务多在应用系统生命周期的运维阶段开展，对于评估发现的安全隐患，特别是代码问题很难整改，在整改过程中也易导致系统运行故障。
大量用户在自主开发应用系统或委托开发应用系统时，更多的是从业务功能实现和性能方面对应用系统进行验收，缺乏相应的技术手段和能力对交付的应用系统的安全状况进行检验。如果应用系统在上线后由于存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击，会直接影响正常业务运行，甚至造成经济和名誉的损失，再加上有些漏洞涉及代码改写，考虑到业务连续性的要求，这些漏洞几乎无法得到修复。
因此，用户需要一种能够在系统上线前对系统安全状况进行检验的服务，从信息安全的角度对应用系统、集成环境等内容的安全状况进行评估，对发现的问题进行妥善处理，避免将影响系统安全的问题遗留到系统上线后，成为系统安全的隐患。
针对上述需求，天磊卫士自有一套系统上线前安全评估手段，通过针对集成环境的安全漏洞扫描、安全配置检查，针对应用系统的渗透测试、代码审计以及针对应用系统的安全功能审核等三方面五项技术措施，对应用系统的安全状况进行评估。做系统上线前安全评估不仅能够保证集成环境的安全，避免操作系统和数据库缺失安全补丁，存在不当的安全策略以及开启不安全的服务，也能对应用系统的安全状况进行检查，而且从业务功能逻辑上，对应用系统的安全功能进行检查，避免应用系统在安全功能上的缺失。
一、什么是系统上线前安全评估？
系统上线前安全评估是针对应用系统（业务系统）正式投入生产运行之前，利用大量安全性行业经验和先进安全技术相结合的综合分析和评价的一种手段。该手段是天磊卫士为最大化减小生产运行系统可能存在的安全隐患，而设计的一套行之有效、针对性强的风险识别、检测、规避方法。
二、为什么要做系统上线前安全评估？做系统上线前安全评估有以下原因：
1.避免遭受攻击：或因存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击；
2.等保合规：满足《网络信息安全等级保护》合规要求；
3.避免影响单位信誉：不进行系统安全体系建设会流失红利，影响单位信誉或业务正常开展造成经济和名誉的损失；
4.保证安全：安全评估能保证安全控制措施应用在具有最大风险的区域；
5.符合法律法规：满足《中华人民共和国网络安全法》相关要求；
6.重要依据：安全评估结果可作为对单位所实施的安全措施进行优先级排序的重要依据。
三、传统的安全评估1.被动
多是在应用系统生命周期的运维阶段，也就是上线投产后进行的，发现的安全风险难处置，甚至在发生安全事件后才被动的发现相关问题。引出物联网标准是关键；
2.局限
少量委托专业安全厂商进行的安全测试也多局限于渗透测试（黑盒测试）部分；
3.不全面
部分安全意识较高的组织开始尝试在系统上线前进行安全评估，但多数仅使用漏洞扫描工具对操作系统和应用软件层面的漏洞进行简单发现。
四、系统上线前安全评估方法论1.安全漏洞扫描
安全漏洞扫描主要是通过评估工具以本地扫描的方式对评估范围内的主机系统进行安全扫描，从内网和外网两个角度来查找操作系统和数据库等安全对象目标存在的安全风险、漏洞和威胁。本次扫描主要对系统层的安全性进行评估。
该层的安全问题来自网络运行的操作系统和数据库系统等。安全性问题表现在两方面：一是本身的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是安全配置存在问题。
2.安全配置检查
评估操作系统、应用软件的安全配置错误等并不能通过安全扫描工具全面发现，因此有必要在评估工具扫描范围之外进行安全配置的检查。
安全配置检查是对操作系统、应用的脆弱性和安全配置错误等方面进行安全检查的有效手段。主机安全检查包括主机操作系统和常见应用服务两大部分的检查。
3.渗透测试
渗透测试是在获得授权后，通过模拟黑客使用的工具、攻击思路来进行实际的漏洞发现和利用的安全测试方法。这种测试方法可以非常有效的发现安全漏洞，尤其是与全面的代码审计相比，其使用的时间更短，也更有效率。