标准编号:	GB/T 36627-2018
中文名称:	信息安全技术 网络安全等级保护测试评估技术指南
英文名称:	Information security technology—Testing and evaluation technical guide for classified cybersecurity protection
中标分类:	L80    数据加密
行业分类:	GB    国家标准
ICS分类:	35.040 35.040    字符集和信息编码 35.040
发布机构:	国家市场监督管理总局 国家标准化管理委员会
发布日期:	2018-09-17
实施日期:	2019-4-1
标准状态:	valid
翻译语言:	英文
文件格式:	PDF
中文字符数:	17000 字
翻译价格(元):	330.0
交付时间:	付款后 1 个工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This standard is developed in accordance with the rules given in GB/T 1.1-2009. Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this document shall not be responsible for identifying any or all such patent rights. This standard was proposed by and is under the jurisdiction of the National Technical Committee on Information Security of Standardization Administration of China (SAC/TC 260). Introduction The testing and evaluation process of classified cybersecurity protection consists of four basic activities: testing and evaluation preparation activity, scheme development activity, on-site testing and evaluation activity and report development activity. This standard provides guidance for the selection and implementation of testing and evaluation technology involved in the program preparation activity and on-site testing and evaluation activity. The testing and evaluation standards related to classified cybersecurity protection mainly include GB/T 22239, GB/T 28448 and GB/T 28449, etc. Among them, GB/T 22239 is the basic standard for the testing and evaluation of classified cybersecurity protection. GB/T 28448 puts forward the testing and evaluation requirements for different cybersecurity classes according to the requirements specified in GB/T 22239. GB/T 28449 mainly specifies the testing and evaluation process of classified cybersecurity protection. The difference between this standard and GB/T 28448 and GB/T 28449 is that GB/T 28448 mainly describes the specific requirements and process for testing and evaluation of target of classified protection at all levels, while GB/T 28449 mainly puts forward guidance on the activities, work tasks and input/output products of each task for testing and evaluation of classified cybersecurity protection, and does not involve specific testing methods and technologies. This standard clearly classifies and defines the relevant testing and evaluation technologies in the testing and evaluation of classified cybersecurity protection, systematically summarizes and expounds the technical methods of testing and evaluation, outlines the elements of technical security testing and evaluation, focuses on the realization functions and principles of specific technologies, and puts forward suggestions for use. Therefore, this standard can be used as a supplement to GB/T 28448 and GB/T 28449 when applied to the testing and evaluation of classified cybersecurity protection. Information security technology - Testing and evaluation technical guide for classified cybersecurity protection 1 Scope This standard gives the classification and definition of relevant testing and evaluation technologies in the testing and evaluation of classified cybersecurity protection (hereinafter referred to as "classified testing and evaluation"), puts forward the elements and principles of technical testing and evaluation, and puts forward suggestions on the analysis and application of testing and evaluation results. This standard is applicable to the classified testing and evaluation for target of classified cybersecurity protection (hereinafter referred to as "target of classified protection") carried out by testing and evaluation institutions, and the security evaluation on the status of target of classified protection carried out by the competent departments and operating units of target of classified protection. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB 17859-1999 Classified criteria for security protection of computer information system GB/T 25069-2010 Information security technology - Glossary 3 Terms, definitions and abbreviations 3.1 Terms and definitions For the purposes of this document, the terms and definitions given in GB 17859-1999 and GB/T 25069-2010 and the following apply. 3.1.1 dictionary attack a type of attack that trying words or phrases in user-defined dictionaries one by one while cracking passwords 3.1.2 file integrity checking by establishing a file verification database, calculate and store the verification of each reserved file, and recalculate the stored verification to compare the current value with the stored value, thereby identifying whether the file has been modified 3.1.3 network sniffer a passive technology that monitors network communication and decoding protocols and checks information headers and payloads concerned, which is also a target recognition and analysis technology 3.1.4 rule set a set of rules used to compare network traffic or system activity to determine response measures, e.g. sending or denying a packet, creating an alert, or allowing a system event 3.1.5 target of testing and evaluation the target of different testing and evaluation methods in classified testing and evaluation, mainly involving related information systems, supporting system files, devices, facilities and personnel, etc. 3.2 Abbreviations For the purposes of this document, the following abbreviations apply. CNVD: China National Vulnerability Database DNS: Domain Name System DDoS: Distributed Denial of Service ICMP: Internet Control Message Protocol IDS: Intrusion Detection Systems IPS: Intrusion Prevention System MAC: Media Access Control SSH: Secure Shell SSID: Service Set Identifier SQL: Structured Query Language VPN: Virtual Private Network 4 General 4.1 Technology classification Testing and evaluation technologies that can be used for classified testing and evaluation are divided into the following three categories: a) Checking technology: the testing and evaluation technology to check information systems, supporting system documents, devices and facilities, and discover security vulnerabilities in relevant procedures and policies. Manual modes are usually adopted, mainly including document checking, log checking, rule set checking, system configuration checking, file integrity checking, password checking, etc. b) Identification and analysis technology: the testing and evaluation technology to identify systems, ports, services and potential security vulnerabilities. These technologies can be implemented manually or with automated tools, mainly including network sniffer, network port and service identification, vulnerability scanning, wireless scanning, etc. c) Vulnerability validation technology: the testing and evaluation technology to verify the existence of vulnerabilities. Based on the results of checking, target identification and analysis, targeted manual execution or use of automated tools, mainly including password cracking, penetration testing, remote access testing, etc., are used to verify the possible security vulnerabilities and obtain evidence. 4.2 Technology selection When selecting and determining the technical methods to be used for classified testing and evaluation activities, the factors to be considered mainly include but are not limited to the target of testing and evaluation, applicability of the testing and evaluation technology, and possible security risks that the testing and evaluation technology may be introduced to target of testing and evaluation, so as to select the appropriate technical methods. When the selected technical method may affect the target of testing and evaluation in the implementation process, it is appropriate to give priority to testing the non-production system with the same configuration as the production system of the target of testing and evaluation, testing during non-business operation time or testing only using risk-controlled technical methods during business operation time, so as to minimize the impact on the business of the target of testing and evaluation. The testing and evaluation results generated after the implementation of technology testing and evaluation can be used for threat analysis of targets of testing and evaluation, proposing suggestions for improvement and generation of result reports, etc. See Annex A for details. 5 Requirements for classified testing and evaluation 5.1 Checking technology 5.1.1 Document checking The main function of document checking is to evaluate the technical accuracy and integrity of its policies and procedures based on documents provided by the operation unit of the target of classified protection. The following evaluation elements can be considered when performing document checking: a) Targets of checking, including security policies, architecture and requirements, standard operating procedures, system security plans and authorization permits, technical specifications for system interconnection, event response plans, etc., to ensure the accuracy and integrity of the technology; b) Checking the integrity of documents such as security policies, architecture and requirements, standard operating procedures, system security plans and authorization permits, technical specifications for system interconnection, event response plans, etc., and confirming the consistency between the implementation of the tested party's security measures and the system documents by checking the execution records and corresponding forms; c) Finding defects and weaknesses that may lead to omission or improper implementation of security control measures; d) Verifying whether the documents of the target of testing and evaluation are consistent with the standards, laws and regulations for classified cybersecurity protection, and searching for defective or outdated policies; e) The results of document checking can be used to adjust other testing technologies. For example, when the password management policy specifies minimum password length and complexity requirements, this information shall be used to configure password cracking tools to improve password cracking efficiency.

Foreword i Introduction ii 1 Scope 2 Normative references 3 Terms, definitions and abbreviations 3.1 Terms and definitions 3.2 Abbreviations 4 General 4.1 Technology classification 4.2 Technology selection 5 Requirements for classified testing and evaluation 5.1 Checking technology 5.1.1 Document checking 5.1.2 Log checking 5.1.3 Rule set checking 5.1.4 Configuration checking 5.1.5 File integrity checking 5.1.6 Password checking 5.2 Identification and analysis technology 5.2.1 Network sniffer 5.2.2 Network port and service identification 5.2.3 Vulnerability scanning 5.2.4 Wireless scanning 5.3 Vulnerability validation technology 5.3.1 Password cracking 5.3.2 Penetration test 5.3.3 Remote access testing Annex A (Informative) Post-testing and evaluation activities Annex B (Informative) Description of concepts related to penetration testing Bibliography

信息安全技术 网络安全等级保护测试评估技术指南 1 范围 本标准给出了网络安全等级保护测评（以下简称“等级测评”）中的相关测评技术的分类和定义，提出了技术性测试评估的要素、原则等，并对测评结果的分析和应用提出建议。 本标准适用于测评机构对网络安全等级保护对象（以下简称“等级保护对象”）开展等级测评工作，以及等级保护对象的主管部门及运营使用单位对等级保护对象安全等级保护状况开展安全评估。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB 17859—1999 计算机信息系统安全保护等级划分准则 GB/T 25069—2010 信息安全技术 术语 3 术语和定义、缩略语 3.1 术语和定义 GB 17859—1999及GB/T 25069—2010界定的以及下列术语和定义适用于本文件。 3.1.1 字典式攻击 dictionary attack 在破解口令时，逐一尝试用户自定义词典中的单词或短语的攻击方式。 3.1.2 文件完整性检查 file integrity checking 通过建立文件校验数据库，计算、存储每一个保留文件的校验，将已存储的校验重新计算以比较当前值和存储值，从而识别文件是否被修改。 3.1.3 网络嗅探 network sniffer 一种监视网络通信、解码协议，并对关注的信息头部和有效载荷进行检查的被动技术，同时也是一种目标识别和分析技术。 3.1.4 规则集 rule set 一种用于比较网络流量或系统活动以决定响应措施（如发送或拒绝一个数据包，创建一个告警，或允许一个系统事件）的规则的集合。 3.1.5 测评对象 target of testing and evaluation 等级测评过程中不同测评方法作用的对象，主要涉及相关信息系统、配套制度文档、设备设施及人员等。 3.2 缩略语 下列缩略语适用于本文件。 CNVD：国家信息安全漏洞共享平台(China National Vulnerability Database) DNS：域名系统(Domain Name System) DDoS：分布式拒绝服务(Distributed Denial of Service) ICMP：Internet控制报文协议(Internet Control Message Protocol) IDS：入侵检测系统(Intrusion Detection Systems) IPS：入侵防御系统(Intrusion Prevention System) MAC：介质访问控制(Media Access Control) SSH：安全外壳协议(Secure Shell) SSID：服务集标识(Service Set Identifier) SQL：结构化查询语言(Structured Query Language) VPN：虚拟专用网络(Virtual Private Network) 4 概述 4.1 技术分类 可用于等级测评的测评技术分成以下三类： a） 检查技术：检查信息系统、配套制度文档、设备设施，并发现相关规程和策略中安全漏洞的测评技术。通常采用手动方式，主要包括文档检查、日志检查、规则集检查、系统配置检查、文件完整性检查、密码检查等。 b） 识别和分析技术：识别系统、端口、服务以及潜在安全性漏洞的测评技术。这些技术可以手动执行，也可使用自动化的工具，主要包括网络嗅探、网络端口和服务识别、漏洞扫描、无线扫描等。 c） 漏洞验证技术：验证漏洞存在性的测评技术。基于检查、目标识别和分析结果，针对性地采取手动执行或使用自动化的工具，主要包括口令破解、渗透测试、远程访问测试等，对可能存在的安全漏洞进行验证确认，获得证据。 4.2 技术选择 当选择和确定用于等级测评活动的技术方法时，考虑的因素主要包括但不限于测评对象、测评技术适用性、测评技术对测评对象可能引入的安全风险，以选择合适的技术方法。 当所选择的技术方法在实施过程中可能对测评对象产生影响时，宜优先考虑对与测评对象的生产系统相同配置的非生产系统进行测试，在非业务运营时间进行测试或在业务运营时间仅使用风险可控的技术方法进行测试，以尽量减少对测评对象业务的影响。 实施技术测评后产生的测评结果可用于对测评对象进行威胁分析、改进建议的提出及结果报告的生成等，具体参见附录A。 5 等级测评要求 5.1 检查技术 5.1.1 文档检查 文档检查的主要功能是基于等级保护对象运营单位提供的文档，评价其策略和规程的技术准确性和完整性。进行文档检查时，可考虑以下评估要素： a） 检查对象包括安全策略、体系结构和要求、标准作业程序、系统安全计划和授权许可、系统互连的技术规范、事件响应计划等，确保技术的准确性和完整性； b） 检查安全策略、体系结构和要求、标准作业程序、系统安全计划和授权许可、系统互连的技术规范、事件响应计划等文档的完整性，通过检查执行记录和相应表单，确认被测方安全措施的实施与制度文档的一致性； c） 发现可能导致遗漏或不恰当地实施安全控制措施的缺陷和弱点； d） 验证测评对象的文档是否与网络安全等级保护标准、法规相符合，查找有缺陷或已过时的策略； e） 文档检查的结果可用于调整其他的测试技术，例如，当口令管理策略规定了最小口令长度和复杂度要求的时候，该信息应可用于配置口令破解工具，以提高口令破解效率。 5.1.2 日志检查 日志检查的主要功能是验证安全控制措施是否记录了测评对象的信息系统、设备设施的使用、配置和修改的历史记录等适当信息，等级保护对象的运营使用单位是否坚持了日志管理策略，并且能够发现潜在的问题和违反安全策略的情况。进行日志检查时，可考虑以下评估要素： a） 认证服务器或系统日志，包括成功或失败的认证尝试； b） 操作系统日志，包括系统和服务的启动、关闭，未授权软件的安装，文件访问，安全策略变更，账户变更（例如账户创建和删除、账户权限分配）以及权限使用等信息； c） IDS/IPS日志，包括恶意行为和不恰当使用； d） 防火墙、交换机和路由器日志，包括影响内部设备的出站连接（如僵尸程序、木马、间谍软件等），以及未授权连接的尝试和不恰当使用； e） 应用日志，包括未授权的连接尝试、账号变更、权限使用，以及应用程序或数据库的使用信息等； f） 防病毒日志，包括病毒查杀、感染日志，以及升级失败、软件过期等其他事件； g） 其他安全日志，如补丁管理等，应记录已知漏洞的服务和应用等信息； h） 网络运行状态、网络安全事件相关日志，留存时间不少于6个月。 5.1.3 规则集检查 规则集检查的主要功能是发现基于规则集的安全控制措施的漏洞，检查对象包括网络设备、安全设备、数据库、操作系统及应用系统的访问控制列表、策略集，三级及以上等级保护对象还应包括强制访问控制机制。进行规则集检查时，可考虑以下评估要素和评估原则： a） 路由访问控制列表： 1） 每一条规则都应是有效的（例如，因临时需求而设定的规则，在不需要的时候应立刻移除）； 2） 应只允许策略授权的流量通过，其他所有的流量默认禁止。 b） 访问控制设备策略集： 1） 应采用默认禁止策略； 2） 应实施最小权限访问，例如限定可信的IP地址或端口； 3） 特定规则应在一般规则之前被触发； 4） 仅开放必要的端口，以增强周边安全； 5） 防止流量绕过测评对象的安全防御措施。 c） 强制访问控制机制： 1） 强制访问控制策略应具有一致性，系统中各个安全子集应具有一致的主、客体安全标记和相同的访问规则； 2） 以文件形式存储和操作的用户数据，在操作系统的支持下，应实现文件级粒度的强制访问控制； 3） 以数据库形式存储和操作的用户数据，在数据库管理系统的支持下，应实现表/记录、字段级粒度的强制访问控制； 4） 检查强制访问控制的范围，应限定在已定义的主体与客体中。 5.1.4 配置检查 配置检查的主要功能是通过检查测评对象的安全策略设置和安全配置文件，评价测评对象安全策略配置的强度，以及验证测评对象安全策略配置与测评对象安全加固策略的符合程度。进行配置检查时，可考虑以下评估要素： a） 依据安全策略进行加固或配置； b） 仅开放必要的服务和应用； c） 用户账号的唯一性标识和口令复杂度设置； d） 开启必要的审计策略，设置备份策略； e） 合理设置文件访问权限； f） 三级及以上等级保护对象中敏感信息资源主、客体的安全标记： 1） 由系统安全员创建主体（如用户）、客体（如数据）的安全标记； 2） 实施相同强制访问控制安全策略的主、客体，应标以相同的安全标记； 3） 检查标记的范围，应扩展到测评对象中的所有主体与客体。 5.1.5 文件完整性检查 文件完整性检查的主要功能是识别系统文件等重要文件的未授权变更。进行文件完整性检查时，可考虑以下评估要素： a） 采用哈希或数字签名等手段，保证重要文件的完整性； b） 采用基准样本与重要文件进行比对的方式，实现重要文件的完整性校验； c） 采用部署基于主机的IDS设备，实现对重要文件完整性破坏的告警。 5.1.6 密码检查 密码检查的主要功能是对测评对象中采用的密码技术或产品进行安全性检查。进行密码检查时，可考虑以下评估原则： a） 所提供的密码算法相关功能符合国家密码主管部门的有关规定； b） 所使用的密钥长度符合等级保护对象行业主管部门的有关规定。 5.2 识别和分析技术 5.2.1 网络嗅探 网络嗅探的主要功能是通过捕捉和重放网络流量，收集、识别网络中活动的设备、操作系统和协议、来授权和不恰当的行为等信息。进行网络嗅探时，可考虑以下评估要素和评估原则： a） 监控网络流量，记录活动主机的IP地址，并报告网络中发现的操作系统信息； b） 识别主机之间的联系，包括哪些主机相互通信，其通信的频率和所产生的流量的协议类型； c） 通过自动化工具向常用的端口发送多种类型的网络数据包（如ICMP pings），分析网络主机的响应，并与操作系统和网络服务的数据包的已知特征相比较，识别主机所运行的操作系统、端口及端口的状态。 d） 在网络边界处部署网络嗅探器，用以评估进出网络的流量； e） 在防火墙后端部署网络嗅探器，用以评估准确过滤流量的规则集； f） 在IDS/IPS后端部署网络嗅探器，用以确定特征码是否被触发并得到适当的响应； g） 在重要操作系统和应用程序前端部署网络嗅探器，用以评估用户活动； h） 在具体网段上部署网络嗅探器，用以验证加密协议的有效性。 5.2.2 网络端口和服务识别 网络端口和服务识别的主要功能是识别活动设备上开放的端口、相关服务与应用程序。进行网络端口和服务识别时，可考虑以下评估要素和评估原则： a） 对主机及存在潜在漏洞的端口进行识别，并用于确定渗透性测试的目标； b） 在从网络边界外执行扫描时，应使用含分离、复制、重叠、乱序和定时技术的工具，并利用工具改变数据包，让数据包融入正常流量中，使数据包避开IDS/IPS检测的同时穿越防火墙； c） 应尽量减少扫描工具对网络运行的干扰，如选择端口扫描的时间。 5.2.3 漏洞扫描 漏洞扫描的主要功能是针对主机和开放端口识别已知漏洞、提供建议降低漏洞风险；同时，有助于识别过时的软件版本、缺失的补丁和错误配置，并验证其与机构安全策略的一致性。进行漏洞扫描时，可考虑以下评估要素和评估原则： a） 识别漏洞相关信息，包含漏洞名称、类型、漏洞描述、风险等级、修复建议等内容； b） 通过工具识别结合人工分析的方式，对发现的漏洞进行关联分析，从而准确判断漏洞的风险等级； c） 漏洞扫描前，扫描设备应更新升级至最新的漏洞库，以确保能识别最新的漏洞； d） 依据漏洞扫描工具的漏洞分析原理（如特征库匹配、攻击探测等），谨慎选择扫描策略，防止引起测评对象故障； e） 使用漏洞扫描设备时应对扫描线程数、流量进行限制，以降低测评对测评对象产生的风险。 5.2.4 无线扫描 无线扫描的主要功能是识别被测环境中没有物理连接（如网络电缆或外围电缆）情况下使一个或多个设备实现通信的方式，帮助机构评估、分析无线技术对扫描对象所带来的安全风险。进行无线扫描时，可考虑以下评估要素和评估原则： a） 识别无线流量中无线设备的关键属性，包括SSID、设备类型、频道、MAC地址、信号强度及传送包的数目； b） 无线扫描设备部署位置的环境要素包括：被扫描设备的位置和范围、使用无线技术进行数据传输的测评对象的安全保护等级和数据重要性，以及扫描环境中无线设备连接和断开的频繁程度以及流量规模； c） 使用安装配置无线分析软件的移动设备，如笔记本电脑、手持设备或专业设备； d） 基于无线安全配置要求，对无线扫描工具进行扫描策略配置，以实现差距分析； e） 适当配置扫描工具的扫描间隔时间，既能捕获数据包，又能有效地扫描每个频段； f） 可通过导入平面图或地图，以协助定位被发现设备的物理位置； g） 对捕获的数据包进行分析，从而识别扫描范围内发现的潜在的恶意设备和未授权的网络连接模式； h） 实施蓝牙扫描时，应覆盖测评对象中部署的支持蓝牙的所有基础设施（如蓝牙接入点）。 5.3 漏洞验证技术 5.3.1 口令破解 口令破解的主要功能是在评估过程中通过采用暴力猜测（密码穷举）、字典攻击等技术手段验证数据库、操作系统、应用系统、设备的管理员口令复杂度。进行口令破解时，可考虑以下评估方法和评估原则： a） 使用字典式攻击方法或采用预先计算好的彩虹表（散列值查找表）进行口令破解尝试； b） 使用混合攻击或暴力破解的方式进行口令破解；混合攻击以字典攻击方法为基础，在字典中增加了数字和符号字符； c） 如测评对象采用带有盐值的加密散列函数时，不宜使用彩虹表方式进行口令破解尝试； d） 使用暴力破解时，可采用分布式执行的方式提高破解的效率。 5.3.2 渗透测试 渗透测试的主要功能是通过模拟恶意黑客的攻击方法，攻击等级保护对象的应用程序、系统或者网络的安全功能，从而验证测评对象弱点、技术缺陷或漏洞的一种评估方法。进行渗透测试时，可考虑以下评估要素和评估原则： a） 通过渗透测试评估确认以下漏洞的存在： 1） 系统/服务类漏洞。由于操作系统、数据库、中间件等为应用系统提供服务或支撑的环境存在缺陷，所导致的安全漏洞，如缓冲区溢出漏洞、堆/栈溢出、内存泄露等，可能造成程序运行失败、系统宕机、重新启动等后果，更为严重的，可以导致程序执行非授权指令，甚至取得系统特权，进而进行各种非法操作。 2） 应用代码类漏洞。由于开发人员编写代码不规范或缺少必要的校验措施，导致应用系统存在安全漏洞，包括SQL注入、跨站脚本、任意上传文件等漏洞；攻击者可利用这些漏洞，对应用系统发起攻击，从而获得数据库中的敏感信息，更为严重的，可以导致服务器被控制。 3） 权限旁路类漏洞。由于对数据访问、功能模块访问控制规则不严或存在缺失，导致攻击者可非授权访问这些数据及功能模块。权限旁路类漏洞通常可分为越权访问及平行权限，越权访问是指低权限用户非授权访问高权限用户的功能模块或数据信息；平行权限是指攻击者利用自身权限的功能模块，非授权访问或操作他人的数据信息。 4） 配置不当类漏洞。由于未对配置文件进行安全加固，仅使用默认配置或配置不合理，所导致的安全风险。如中间件配置支持put方法，可能导致攻击者利用put方法上传木马文件，从而获得服务器控制权。 5） 信息泄露类漏洞。由于系统未对重要数据及信息进行必要的保护，导致攻击者可从泄露的内容中获得有用的信息，从而为进一步攻击提供线索。如源代码泄露、默认错误信息中含有服务器信息/SQL语句等均属于信息泄露类漏洞。 6） 业务逻辑缺陷类漏洞。由于程序逻辑不严或逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误。如果出现这种情况，则用户可以根据业务功能的不同进行任意密码修改、越权访问、非正常金额交易等攻击。 b） 充分考虑等级保护对象面临的安全风险，选择并模拟内部（等级保护对象所在的内部网络）攻击或外部（从互联网、第三方机构等外部网络）攻击。 c） 评估者应制定详细的渗透测试方案，内容包括渗透测试对象、渗透测试风险及规避措施等内容（相关内容参见附录B）。 5.3.3 远程访问测试 远程访问测试的主要功能是评估远程访问方法中的漏洞，发现未授权的接入方式。进行远程访问测试时，可考虑以下评估要素和评估原则： a） 发现除VPN、SSH、远程桌面应用之外是否存在其他的非授权的接入方式。 b） 发现未授权的远程访问服务。通过端口扫描定位经常用于进行远程访问的公开的端口，通过查看运行的进程和安装的应用来手工检测远程访问服务。 c） 检测规则集来查找非法的远程访问路径。评估者应检测远程访问规则集，如VPN网关的规则集，查看其是否存在漏洞或错误的配置，从而导致非授权的访问。 d） 测试远程访问认证机制。可尝试默认的账户和密码或暴力攻击（使用社会工程学的方法重设密码来进行访问），或尝试通过密码找回功能机制来重设密码从而获得访问权限。 e） 监视远程访问通信。可以通过网络嗅探器监视远程访问通信。如果通信未被保护，则可利用这些数据作为远程访问的认证信息，或者将这些数据作为远程访问用户发送或接收的数据。