網(wǎng)絡(luò)安全測(cè)試能力（團(tuán)隊(duì)）評(píng)價(jià)規(guī)范

3網(wǎng)絡(luò)安全測(cè)試能力（團(tuán)隊(duì)）評(píng)價(jià)規(guī)范本文件規(guī)定了網(wǎng)絡(luò)安全測(cè)試團(tuán)隊(duì)能力的評(píng)定原則、團(tuán)隊(duì)人員組成、團(tuán)隊(duì)的分級(jí)、評(píng)價(jià)指標(biāo)、團(tuán)隊(duì)的認(rèn)證等要求。本文件適用于認(rèn)證機(jī)構(gòu)對(duì)網(wǎng)絡(luò)安全攻防測(cè)試團(tuán)隊(duì)進(jìn)行認(rèn)證，可作為網(wǎng)絡(luò)安全攻防測(cè)試服務(wù)需方選擇團(tuán)隊(duì)的評(píng)估依據(jù)，另外，也可為網(wǎng)絡(luò)安全攻防測(cè)試團(tuán)隊(duì)提高自身能力提供指導(dǎo)。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。3術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。3.1網(wǎng)絡(luò)安全攻防團(tuán)隊(duì)cybersecurityattackanddefenseteam由主要從事網(wǎng)絡(luò)安全攻防測(cè)試人員以攻方和防守方的形式組成的團(tuán)隊(duì)。3.2攻防演練offensiveanddefensivedrills基于預(yù)設(shè)的網(wǎng)絡(luò)信息系統(tǒng)保護(hù)目標(biāo)，以網(wǎng)絡(luò)安全滲透（攻擊）和網(wǎng)絡(luò)安全防范（防守）為主要手段，采用攻防雙方對(duì)抗方式組織的網(wǎng)絡(luò)安全防范演習(xí)和訓(xùn)練活動(dòng)。3.3PWNpwn通過(guò)程序本身的漏洞，編寫(xiě)利用腳本破解程序拿到主機(jī)權(quán)限的形式。在CTF比賽中代表著溢出類(lèi)的題目，其中常見(jiàn)類(lèi)型的溢出漏洞有棧溢出、堆溢出。3.4CTFcapturetheflag即奪旗比賽，在網(wǎng)絡(luò)安全領(lǐng)域中指的是網(wǎng)絡(luò)安全技術(shù)人員之間進(jìn)行技術(shù)競(jìng)技的一種比賽形式。參賽4隊(duì)伍通過(guò)互聯(lián)網(wǎng)，以在線環(huán)境交互或文件離線分析方式，解決網(wǎng)絡(luò)安全技術(shù)挑戰(zhàn)并獲取相應(yīng)分值。比賽結(jié)果根據(jù)選手所獲總分和花費(fèi)時(shí)間多少來(lái)排名。包括解題模式(Jeopardy)、攻防模式(AWD)，還有混合模式(Mix)賽制。3.5解題模式j(luò)eopardymode在解題模式CTF賽制中，參賽隊(duì)伍可以通過(guò)互聯(lián)網(wǎng)或者現(xiàn)場(chǎng)網(wǎng)絡(luò)參與，這種模式的CTF競(jìng)賽以解決網(wǎng)移動(dòng)、二進(jìn)制、PWN提權(quán)、雜項(xiàng)等。3.6攻防模式attackwithdefensemode在攻防模式CTF賽制中，參賽隊(duì)伍在網(wǎng)絡(luò)空間互相進(jìn)行攻擊和防守，挖掘網(wǎng)絡(luò)服務(wù)漏洞并攻擊對(duì)手服務(wù)來(lái)得分，修補(bǔ)自身服務(wù)漏洞進(jìn)行防御來(lái)避免丟分。攻防模式CTF賽制可以實(shí)時(shí)通過(guò)得分反映出比賽情最終也以得分直接分出勝負(fù)。3.7通過(guò)多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)構(gòu)建的對(duì)真實(shí)網(wǎng)絡(luò)世界平行仿真的多層次，多路徑的靶場(chǎng)場(chǎng)景，完成特定任務(wù)，并按完成時(shí)間和過(guò)程積分排名。4評(píng)定原則4.1自愿原則在團(tuán)隊(duì)及成員自愿的基礎(chǔ)上開(kāi)展等級(jí)評(píng)定工作。4.2公開(kāi)原則團(tuán)隊(duì)的等級(jí)評(píng)定規(guī)則公開(kāi)透明。4.3公平原則采用統(tǒng)一、中立、持平的評(píng)定規(guī)則，以保證評(píng)定的公平性。4.4公正原則評(píng)定的過(guò)程及其結(jié)果不受任何方的影響。5團(tuán)隊(duì)人員組成5團(tuán)隊(duì)可按網(wǎng)絡(luò)安全攻防與應(yīng)急實(shí)戰(zhàn)演練、CTF奪旗賽（解題模式、攻防模式、混合模式）靶場(chǎng)演練等賽事組成人員。5.1網(wǎng)絡(luò)安全攻防與應(yīng)急實(shí)戰(zhàn)演練由3-5名成員組成，可由滲透測(cè)試、WEB安全、社會(huì)工程學(xué)等專(zhuān)業(yè)人員組成。5.2解題模式(Jeopardy)由3-6名成員組成，可由WEB、逆向、取證、隱寫(xiě)、密碼、移動(dòng)、二進(jìn)制、流量數(shù)據(jù)分析、提權(quán)、漏洞挖掘等人員組成。5.3攻防模式(AWD)由3-5名成員組成，可由若干名攻擊和防守人員組成，一般需具備代碼審計(jì)、攻擊腳本編寫(xiě)、提權(quán)、后門(mén)維持、基線加固、流量監(jiān)測(cè)、應(yīng)急處置等能力的人員。5.4靶場(chǎng)演練(ISW)由4名以內(nèi)成員構(gòu)成，需要具備綜合網(wǎng)絡(luò)安全滲透測(cè)試能力。利用各種網(wǎng)絡(luò)安全技能，發(fā)現(xiàn)路徑，實(shí)現(xiàn)角色任務(wù)。6團(tuán)隊(duì)的分級(jí)團(tuán)隊(duì)等級(jí)分為一星級(jí)、二星級(jí)、三星級(jí)、四星級(jí)、五星級(jí)。一星級(jí)級(jí)別最低，五星級(jí)級(jí)別最高。具體的團(tuán)隊(duì)等級(jí)評(píng)定參見(jiàn)附錄A。7團(tuán)隊(duì)評(píng)價(jià)指標(biāo)7.1基本條件基本條件是評(píng)定團(tuán)隊(duì)等級(jí)的起評(píng)條件，申請(qǐng)等級(jí)認(rèn)證的團(tuán)隊(duì)所有人員應(yīng)擁護(hù)中國(guó)共產(chǎn)黨的領(lǐng)導(dǎo)，擁護(hù)中國(guó)特色社會(huì)主義制度；應(yīng)具有中華人民共和國(guó)國(guó)籍，長(zhǎng)期在境內(nèi)居住，無(wú)境外永久居留權(quán)；應(yīng)遵守相關(guān)法律法規(guī)的規(guī)定，無(wú)犯罪記錄。團(tuán)隊(duì)人員還應(yīng)具備攻防對(duì)抗、滲透測(cè)試等網(wǎng)絡(luò)安全專(zhuān)業(yè)領(lǐng)域相關(guān)的經(jīng)驗(yàn)。7.2管理制度要求團(tuán)隊(duì)?wèi)?yīng)由中國(guó)境內(nèi)合法注冊(cè)的企、事業(yè)單位或社會(huì)團(tuán)體等組織批準(zhǔn)成立，該組織承擔(dān)對(duì)團(tuán)隊(duì)運(yùn)作的管理責(zé)任。團(tuán)隊(duì)?wèi)?yīng)具備人員及資產(chǎn)管理制度，技能合作訓(xùn)練、安全教育制度，漏洞攻擊、滲透測(cè)試等方面的技能培訓(xùn)制度。此外，團(tuán)隊(duì)須接受網(wǎng)絡(luò)安全行業(yè)主管部門(mén)的監(jiān)管，遵紀(jì)守法，行為合規(guī)，不得違背6社會(huì)公序良俗。7.3能力要求團(tuán)隊(duì)成員獲得國(guó)家級(jí)或省級(jí)網(wǎng)絡(luò)安全相關(guān)認(rèn)證證書(shū)、能力證書(shū)、榮譽(yù)證書(shū)（廳局級(jí)及以上政府部門(mén)發(fā)放的網(wǎng)絡(luò)安全相關(guān)的嘉獎(jiǎng)證書(shū)）等。7.4實(shí)戰(zhàn)經(jīng)驗(yàn)團(tuán)隊(duì)?wèi)?yīng)有相關(guān)實(shí)戰(zhàn)比賽經(jīng)驗(yàn)，如實(shí)戰(zhàn)演練，CTF類(lèi)競(jìng)賽，職業(yè)技能競(jìng)賽，其它重大創(chuàng)新競(jìng)賽或演練7.5業(yè)績(jī)獎(jiǎng)項(xiàng)過(guò)去2年內(nèi)，團(tuán)隊(duì)在相關(guān)比賽中獲得榮譽(yù)獎(jiǎng)項(xiàng)，可根據(jù)業(yè)績(jī)獎(jiǎng)項(xiàng)對(duì)團(tuán)隊(duì)進(jìn)行等級(jí)評(píng)定。8團(tuán)隊(duì)的認(rèn)證團(tuán)隊(duì)的等級(jí)認(rèn)證主要對(duì)基本條件、管理制度要求、能力要求、實(shí)戰(zhàn)經(jīng)驗(yàn)等指標(biāo)進(jìn)行評(píng)價(jià)，符合要求的團(tuán)隊(duì)可進(jìn)行等級(jí)認(rèn)證，頒發(fā)認(rèn)證證書(shū)。認(rèn)證證書(shū)有效期為：2年。有效期內(nèi)每年應(yīng)進(jìn)行年審以確保團(tuán)隊(duì)符合等級(jí)要求，不滿足年審要求的團(tuán)隊(duì)將受到黃牌警告，有嚴(yán)重問(wèn)題的將取消認(rèn)定證書(shū)。有效期滿或人員調(diào)整后應(yīng)進(jìn)行延期評(píng)審或重新等級(jí)認(rèn)定，根據(jù)認(rèn)定結(jié)果調(diào)整等級(jí)。9團(tuán)隊(duì)評(píng)價(jià)方法9.1指標(biāo)與賦分團(tuán)隊(duì)評(píng)價(jià)指標(biāo)總賦分為100分。各項(xiàng)評(píng)價(jià)內(nèi)容賦分分別為：基本要求評(píng)價(jià)10分，管理制度要求評(píng)價(jià)15分，能力要求評(píng)價(jià)25分，實(shí)戰(zhàn)經(jīng)驗(yàn)評(píng)價(jià)20分，業(yè)績(jī)獎(jiǎng)項(xiàng)評(píng)價(jià)30分。評(píng)價(jià)計(jì)分細(xì)則見(jiàn)附錄A。9.2分?jǐn)?shù)計(jì)算總體評(píng)價(jià)分應(yīng)按公式（1）計(jì)算：S=A+B+C+D+E 式中：S一一總體評(píng)價(jià)分；A一一基本要求評(píng)價(jià)；B一一管理制度要求評(píng)價(jià)；C一一能力要求評(píng)價(jià)；D一一實(shí)戰(zhàn)經(jīng)驗(yàn)評(píng)價(jià)；E一一業(yè)績(jī)獎(jiǎng)項(xiàng)評(píng)價(jià)。9.3等級(jí)標(biāo)準(zhǔn)總體評(píng)價(jià)分在45分及以上的，可獲取一星級(jí)團(tuán)隊(duì)認(rèn)證證書(shū)；總體評(píng)價(jià)分在55分及以上的，可獲取二星級(jí)團(tuán)隊(duì)認(rèn)證證書(shū)；總體評(píng)價(jià)分在65分及以上的，可獲取三星級(jí)團(tuán)隊(duì)認(rèn)證證書(shū)；總體評(píng)價(jià)分在75分及以上的，可獲取四星級(jí)團(tuán)隊(duì)認(rèn)證證書(shū)；總體評(píng)價(jià)分在90分及以上的，可獲取五星級(jí)團(tuán)隊(duì)認(rèn)證證書(shū)。8（規(guī)范性附錄）評(píng)價(jià)計(jì)分細(xì)則評(píng)價(jià)項(xiàng)目分值評(píng)價(jià)內(nèi)容評(píng)價(jià)指標(biāo)及賦分基本要求評(píng)價(jià)擁護(hù)中國(guó)共產(chǎn)黨的領(lǐng)導(dǎo)及中國(guó)特色社會(huì)主義制度具有中華人民共和國(guó)國(guó)籍，長(zhǎng)期在境內(nèi)居住，無(wú)境外永久居留權(quán)無(wú)犯罪記錄遵守相關(guān)法律法規(guī)的規(guī)定管理制度要求評(píng)價(jià)團(tuán)隊(duì)管理制度制度一般1分制度較好2分制度完善2.5分專(zhuān)業(yè)的技能培訓(xùn)制度制度一般1分制度較好2分制度完善2.5分有合作訓(xùn)練及安全教育記錄4~10次8分能力要求評(píng)價(jià)獲得國(guó)家級(jí)或省級(jí)網(wǎng)絡(luò)安全相關(guān)認(rèn)證證書(shū)、能力證書(shū)、榮譽(yù)證書(shū)（廳局級(jí)及以上政府部門(mén)發(fā)放的網(wǎng)絡(luò)安全相關(guān)的嘉獎(jiǎng)證書(shū)）等2人獲證5分3人及以上獲證10分不同獲證人員的證書(shū)類(lèi)別方向單一類(lèi)別3分兩種類(lèi)別5分三種類(lèi)別8分四種以上類(lèi)別10分9評(píng)價(jià)項(xiàng)目分值評(píng)價(jià)內(nèi)容評(píng)價(jià)指標(biāo)及賦分實(shí)戰(zhàn)經(jīng)驗(yàn)評(píng)價(jià)（超過(guò)20分以計(jì)）成員參加過(guò)實(shí)戰(zhàn)職業(yè)技能競(jìng)賽，其它重大創(chuàng)新競(jìng)賽或演練等（如有決賽，則按進(jìn)入決賽計(jì)）A類(lèi)賽10分/次B類(lèi)賽8分/次C類(lèi)賽5分/次參加賽事頻次（如有決賽，則按進(jìn)入決賽且得分計(jì)）5次以上10分業(yè)績(jī)獎(jiǎng)項(xiàng)評(píng)價(jià)（超過(guò)35分以計(jì)）演練類(lèi)獲得一等獎(jiǎng)或等同于相關(guān)級(jí)別的獎(jiǎng)項(xiàng)或榮譽(yù)[2]A類(lèi)賽30分/次B類(lèi)賽25分/次C類(lèi)賽20分/次演練類(lèi)獲得二等獎(jiǎng)或競(jìng)賽類(lèi)獲得一等獎(jiǎng)或等同于相關(guān)級(jí)別的獎(jiǎng)項(xiàng)或榮譽(yù)；A類(lèi)賽25分/次B類(lèi)賽20分/次C類(lèi)賽15分/次演練類(lèi)獲得三等獎(jiǎng)或競(jìng)賽類(lèi)獲得二等獎(jiǎng)或等同于相關(guān)級(jí)別的獎(jiǎng)項(xiàng)或榮譽(yù)；A類(lèi)賽20分/次C類(lèi)賽10分/次競(jìng)賽類(lèi)獲得三等獎(jiǎng)或等同于相關(guān)級(jí)別的獎(jiǎng)項(xiàng)或榮譽(yù)；A類(lèi)賽15分/次C類(lèi)賽5分/次備注：[1]賽事級(jí)別：A類(lèi)賽：賽事主辦方或指導(dǎo)單位級(jí)別為國(guó)家級(jí)，或賽事規(guī)模為5000人以上；B類(lèi)賽