安全测试方案
工具评估最突出的优点是评估工作可由软件来自动进行，速度快，效率高。工具评估部分将采用基于网络、基于主机、基于数据库的扫描软件来分别进行。
为将扫描评估对信息系统的影响减低到最小，并取得较好的扫描评估效果，在扫描之前制定符合实际需要的扫描评估方案显得十分重要，方案将从工具选择、评估对象选择、评估时间、评估人员、报告数据形式、系统备份和风险规避和应对等方面来保证扫描评估的可靠运行。
在对系统进行安全扫描之后将得到主机安全扫描评估记录，该文档将作为整体评估服务的一个重要来源和依据。
网络扫描评估以网络为基础进行，扫描控制台通过网络对被评估对象进行安全评估，因此这种扫描方式主要消耗一定的网络带宽资源，并对被评估的对象消耗很小一部分的网络连接的资源，对于其他的资源没有特殊的要求。实际的使用情况表明，网络扫描对网络资源和被评估系统的资源占用在3%-5%之间，并且可以通过修改、配置一定的扫描策略来使这些资源消耗降低至最小。
在扫描过程中尽量避免使用含有拒绝服务类型的扫描方式，而主要采用人工检查的方法来发现系统可能存在的拒绝服务漏洞。
在扫描过程中如果出现被评估系统没有响应的情况，应当立即停止扫描工作，与配合的工作人员一起分析情况，在确定原因后，并正确恢复系统，采取必要的预防措施（比如调整扫描策略等）后，才可以继续进行。
工具扫描因为其固定的模板，适用的范围，特定的运行环境，以及它的缺乏智能性等诸多因素，因而有着很大的局限性；而人工评估与工具扫描相结合，可以完成许多工具所无法完成的事情，从而得出全面的、客观的评估结果。
通常会抽取部分服务器系统作为代表来进行人工评估。人工评估主要是依靠具有丰富经验的安全专家来进行的。在得到有关工作人员的授权并在有关人员的监督下对服务器系统进行如下几个方面的检查：
- 确认系统是否已被入侵过
- 检查可能存在的后门
- 系统补丁
- 系统账号
- 文件系统
- 网络及服务
- 系统配置文件
- NFS或其它文件系统共享
- 审计及日志
- 系统备份及恢复
- 应用系统
- 其它
人工评估只对被评估对象进行运行状态和配置检查，因此不会对现有信息系统上的其他设备和资源带来任何影响，而对被评估对象的资源占用也小于工具评估。人工评估完成后将产生人工评估报告，也将作为整体的安全评估报告的一个重要的来源和依据。
