2023专业技能等级认定网络安全测试与防护工程师.docx

《2023专业技能等级认定网络安全测试与防护工程师.docx》由会员分享，可在线阅读，更多相关《2023专业技能等级认定网络安全测试与防护工程师.docx（17页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、专业技能等级认定网络安全检测与防护工程师目次前言III1 范围12 规范性引用文件13 术语和定义14 专业技能概况24.1 专业技能名称24.2 专业技能定义24.3 面向技能岗位群24.4 专业技能等级24.5 专业技能特征24.6 普通受教育程度24.7 专业技能培训要求24.8 专业技能考核要求34.9 证书有效期45 专业技能基本要求45.1 职业道德45.2 基础知识46 专业技能等级要求46.1 基本要求46.2 初级46.3 中级56.4 高级67 相关知识对照88 权 重表118.1 理论知识权重118.2 专业技能权重119 证书11附录 A（资料性） 申请考试认证对象建议

2、12参考文献13 表 1 培训学时2表 2 初级、中级、高级专业技能等级理论和技能考试满分分值3表 3 初级、中级、高级的理论考试和技能考试时间3表 4 网络安全检测与防护工程师（初级）专业技能等级要求4表 5 网络安全检测与防护工程师（中级）专业技能等级要求5表 6 网络安全检测与防护工程师（高级）专业技能等级要求6I 表 7 不同技能等级（初级、中级、高级）相关知识对照9表 8 理论知识权重表11表 9 专业技能权重表11II 专业技能等级认定网络安全检测与防护工程师1 范围本文件规定了网络安全检测与防护工程师专业技能等级认定的专业技能概况、专业技能基本要求、专业技能等级要求、相关知识对照

3、、权重表、证书。 本文件适用于网络安全检测与防护工程师专业技能等级认定的培训和考核。 2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 20984 信息安全技术 信息安全风险评估方法 GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求GB/T 27203 合格评定 用于人员认证的人员能力词汇 GB/T 29246-2017 信息技术 安全技术信息安全管理体系 概述和词汇T/SCCF 001 专业水平职业资格认定

4、 通用服务规范 3 术语和定义GB/T 27203、GB/T 29246-2017界定的以及下列术语和定义适用于本文件。 3.1 3.1网络安全 cybersecurity通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。 来源：GB/T 22239-2019中3.1 3.2 3.2风险评估 risk assessment风险识别、风险分析和风险评价的整个过程。 来源：GB/T 29246-2017,2.71 注： 本文件专指信息安全风险评估。 3.3 3.3攻击 attack企图破坏、泄露

5、、篡改、损伤、窃取、未授权访问或未授权使用资产的行为。 来源：GB/T 29246-2017,2.3 3.4 3.4渗透测试 penetration test是一项在信息系统上进行的授权模拟攻击，旨在对其安全性进行评估，是为了证明安全防御按照预期计划正常运行而提供的一种机制。 9 4 专业技能概况4.1 专业技能名称网络安全检测与防护工程师。 4.2 专业技能定义应用网络安全检测工具，识别信息系统脆弱性并对其进行安全加固，以提升信息系统防御能力为目标的工程技术人员。 4.3 面向技能岗位群主要面向数字化转型的企事业单位、政府以及教学机构等，从事网络安全相关工作，包括但不限于网络安全运营、网络安

6、全运维、网络安全监测预警、网络安全应急响应、网络安全渗透测试、Web安全、网络安全病毒分析、网络安全服务、网络安全事件溯源与取证、网络安全相关培训教师等岗位。 4.4 专业技能等级本专业技能共设三个等级，分别为初级、中级、高级。 4.5 专业技能特征具有一定的学习、分析、推理和判断能力，具有一定的表达能力、计算能力。 4.6 普通受教育程度最低正规教育宜中专毕业或以上，或相当文化程度。 4.7 专业技能培训要求4.7.1 培训期限网络安全检测与防护工程师应按照本文件的要求参加有关课程培训，完成规定学时，取得学时证明， 初级、中级、高级的推荐培训学时见表1所示。 表1培训学时人员级别 最低培训学

7、时（推荐） 初级 24标准学时 中级 64标准学时 高级 128标准学时 4.7.2 培训教师4.7.2.1 承担网络安全检测与防护工程师（初级、中级）理论知识或专业能力培训任务的人员，应已获得网络安全检测与防护工程师（中级）及以上专业技能等级证书，或具有相关专业中级及以上职称。 4.7.2.2 承担网络安全检测与防护工程师（高级）理论知识或专业能力培训任务的人员，应已获得网络安全检测与防护工程师（高级）专业技能等级证书，或具有相关专业高级职称。 4.7.2.3 培训教师应符合以下类型： a) 认证讲师； b) 企业在职工程师/高级工程师； c) 院校教师。 4.7.3 培训场所设备培训场所设

8、备类型应最少包括： a) 个人计算机； b) 服务器； c) 网络设备； d) 网络安全设备； e) 网络安全检测工具； f) 显示设备。 4.7.4 培训教材培训教材应与技能等级相配套： a) 通用教材 b) 专业教材 网络安全检测与防护工程师实战（初级）； 网络安全检测与防护工程师实战（中级）； 网络安全检测与防护工程师实战（高级）。 4.8 专业技能考核要求4.8.1 申报条件原则上，任何人员经过学会组织的网络安全检测与防护工程师（初级、中级、高级）专业技能等级认证考试，且考核通过，都可申请由四川省计算机学会颁发的对应级别的网络安全检测与防护工程师（初级、中级、高级）专业技能等级证书。

9、4.8.2 考核方式a) 考试应包括理论考试和技能考试两部分，满分 100 分； b) 初级、中级、高级网络安全检测与防护工程师的理论考试和技能考试分数见表 2 所示； 表2初级、中级、高级专业技能等级理论和技能考试满分分值专业技能等级 理论考试满分分值 技能考试满分分值 备注 初级 70 30 中级 50 50 高级 30 70 c) 理论考试试题形式包括但不限于选择题、填空题、简答题，可采取上机考试方式； d) 技能考试应对提供场景数据包进行分析并提交分析报告； e) 理论考试与技能考试的总分合格标准为 70 分，初级技能考试成绩占比不得低于 18 分，中级和高级技能考试成绩占比不得低于

10、42 分。 4.8.3 监考人员、考评人员与考生配比理论知识考试监考人员与考生配比不低于1:15，且每个考场不少于2名监考人员；专业能力考核中考评人员为3人（含）以上单数。 4.8.4 考核时间初级、中级、高级的理论考试和技能考试时间见表3所示。 表3初级、中级、高级的理论考试和技能考试时间专业技能等级 理论考试时间（分钟） 技能考试时间（分钟） 备注 初级 60 60 中级 60 90 高级 60 120 注： 技能考试时间是推荐时间，可根据实际情况调整。 4.8.5 考核场所设备理论知识考试和专业技能考试所需场地为标准教室或线上平台，必备的考核仪器设备包括计算机、网络、软件及相关硬件设备。

11、 4.9 证书有效期证书有效期为长期。 5 专业技能基本要求5.1 职业道德a) 遵守法律，保守秘密； b) 尊重科学，客观公正； c) 爱党爱国，恪守职责； d) 爱岗敬业，服务大众。 5.2 基础知识5.2.1 网络基础知识a) 开放系统互连通信参考模型知识； b) TCP/IP 模型知识； c) 网络设备知识。 5.2.2 操作系统知识a) Windows 知识； b) Linux 知识。 6 专业技能等级要求6.1 基本要求本文件对初级、中级、高级三个等级的专业能力要求和相关知识要求依次递进，高级别涵盖低级别的要求。 6.2 初级网络安全检测与防护工程师（初级）专业技能等级要求见表4所

12、示。 表4网络安全检测与防护工程师（初级）专业技能等级要求工作领域 工作任务 专业技能要求 相关知识要求 1 项目需求分析 1.1 用户需求分析 1.1.1 能阅读项目需求文档。 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护知识（注1） 1.1.3 信息安全风险评估知识（注2） 2 项目准备 2.1 项目授权获取 2.1.1 能阅读项目授权文档，理解工作范围和内容。 2.1.1 项目范围知识 2.2 项目执行方案编制 2.2.1 能阅读项目执行方案，能理解方案中要求的工作项。 2.2.1 测试环境部署方法 2.3 渗透测试工具 2.3.1 能熟练部署Web安全测

13、试工具。 2.3.2 能按照工作任务要求完成配置。 2.3.1 渗透测试辅助工具的安装和部署方法 2.3.2 Web渗透测试工具的操作方法（注33 项目实施 3.1 项目实施准备 3.1.1 能按系统/子系统调研和收集信3.1.1 信息收集的操作方法 工作领域 工作任务 专业技能要求 相关知识要求 息资产项。 3.1.2 能编制信息资产清单。 3.1.2 Web安全常规漏洞知识（注4） 3.1.3 Web安全加固知识 3.2 系统安全检测 3.2.1 能按照需求对系统进行脆弱性检测。 3.2.2 能按照模板编制测试用例。 3.2.3 能按照渗透测试流程对系统进行测试。 3.2.1 渗透测试流程

14、 3.2.2 Web渗透测试工具的操作方法（注33.3 系统安全加固 3.3.1 能对常规Web安全漏洞进行加固。3.3.1 中间件安全加固方法（注5） 3.3.2 Web安全加固方法（注6） 3.3.3 数据库加固方法（注7） 3.4 网络安全事件应急响应预案编制 3.4.1 理解应急响应流程。 3.4.1 应急响应规程 3.4.2 基于网络安全类设备的告警信息知识（注8） 3.5 报告编制 3.5.1 能按照规范编制系统检测报告。 3.5.1 项目检测报告规范 3.5.2 第三方测评报告知识 4 项目结项 4.1 项目总结 4.1.1 能阅读项目总结报告。 4.1.1 项目总结报告规范 注

15、1：网络安全等级保护知识宜按照GB/T 22239-2019要求。注2：信息安全风险评估知识宜按照GB/T 20984要求。 注3：Web渗透测试工具应包含BurpSuite、综合测试工具（AWVS/Zap)、注入工具（SQLMap）等。 注4：Web安全常规漏洞应包含SQL注入、XSS漏洞、文件上传漏洞、SSRF、CSRF、未授权访问、业务逻辑漏洞等。注5：中间件安全加固应包含Apache、Weblogic、Struts2等。 注6：Web安全加固方法应包含注入漏洞加固、文件上传漏洞加固等。 注7：数据库加固方法应包含MySQL安全配置，SQL Server 安全配置等。注8：网络安全类设备

16、包括WAF、IPS、IDS、态势感知系统等。 6.3 中级网络安全检测与防护工程师（中级）专业技能等级要求见表5所示。 表5网络安全检测与防护工程师（中级）专业技能等级要求工作领域 工作任务 专业技能要求 相关知识要求 1 项目需求分析 1.1 用户需求分析 1.1.1 能阅读项目需求文档。 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护（注1） 1.1.3 信息安全风险评估知识（注2） 2 项目准备 2.1 项目授权获取 2.1.1 能根据客户方需求编制项目授权文档。 2.1.1 项目范围知识 2.2 项目执行方案编制 2.2.1 能根据需求编制项目执行方案。

17、2.2.1 测试环境部署方法 2.3 渗透测试工具 2.3.1 能熟练部署主流渗透测试工具。 2.3.2 能按照工作任务要求完成配置。 2.3.1 渗透测试辅助工具的安装和部署知识 2.3.2 Web渗透测试工具的进阶操作方法（注3） 2.3.3 内网渗透测试工具的操作方法（注4） 3 项目实施 3.1 项目实施准备 3.1.1 能按系统/子系统调研和收集信息资产项。 3.1.2 能编制信息资产清单。 3.1.3 能按项目类型（风险评估或渗透测试）完整梳理项目关键任务。 3.1.1 信息收集的操作方法 3.1.2 信息资产清单文档规范 3.1.3 网络安全常规漏洞知识 3.1.4 网络安全加固

18、知识 3.2 系统安全检测 3.2.1 能按照项目执行方案对系统进行脆弱性检测。 3.2.2 能按照模板编制测试用例。 3.2.3 能按照项目执行方案对系统进行3.2.1 渗透测试流程 3.2.2 Web安全漏洞进阶知识（注5） 3.2.3 内网渗透知识（注6） 3.2.4 操作系统漏洞利用方法（注7） 工作领域 工作任务 专业技能要求 相关知识要求 渗透测试。 3.2.4 能对测试结果进行验证。 3.2.5 中间件漏洞利用方法（注8） 3.3 系统安全加固 3.3.1 能根据需求以及设备告警信息、系统日志等进行漏洞的溯源分析。3.3.2 能应用正确方法对漏洞进行安全加固。 3.3.1 中间件

19、安全加固方法（注9） 3.3.2 Web安全加固方法（注10） 3.3.3 数据库加固方法（注11） 3.3.4 主机安全加固方法（注12） 3.3.5 网络设备安全加固方法（注13） 3.4 网络安全事件应急响应预案编制 3.4.1 理解应急响应流程。 3.4.1 应急响应规程 3.4.2 基于主机应急响应操作方法 3.4.3 基于Web应用的应急响应操作方法 3.4.4 基于网络安全类设备的告警信息分析方法（注14） 3.5 报告编制 3.5.1 能按照规范编制系统检测报告。 3.5.2 能编制系统安全加固报告。 3.5.1 项目检测报告规范 3.5.2 第三方测评报告知识 4 项目结项

20、4.1 项目总结 4.1.1 能按规范编制项目总结报告。 4.1.2 能按规范归档项目过程文件。 4.1.1 项目总结报告规范 4.1.2 项目文档管理规范 注1：网络安全等级保护知识宜按照GB/T 22239-2019要求。注2：信息安全风险评估知识宜按照GB/T 20984要求。 注3：Web渗透测试工具应包含BurpSuite、综合测试工具（AWVS/Zap)、注入工具（SQLMap）、冰蝎、AWVS等。注4：内网渗透测试工具应包含Metasploit、端口扫描工具等。 注5：Web安全漏洞应包含SQL注入、XSS漏洞、文件上传、SSRF、CSRF、未授权访问、业务逻辑漏洞、漏洞组合利用

21、等。 注6：内网渗透知识应包含信息探测、口令暴力破解等。 注7：操作系统漏洞利用方法应包含Windows 桌面系统/Windows Server系列、Linux操作系统等。 注8：中间件或框架漏洞应包含struts2-046 远程代码执行 （ CVE-2017-5638 ） 、 Log4j2 远程命令执行（CVE-2021-44228）、tomcat 文件上传 (CVE-2017-12615)、CVE-2017-10271 WebLogic XMLDecoder反序列化漏洞、JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）、shiro 反序列化 （CVE-2016-44

22、37）、solr 远程 命 令 执 行 (CVE-2019-17558) 、 elasticsearch 代 码 执 行 (CVE-2014-3120) 、 enkins 命 令 执 行（CVE-2018-1000861）等。 注9：中间件安全加固应包含Apache、Weblogic、Struts2等。 注10：Web安全加固应包含注入漏洞加固、文件上传漏洞加固等。 注11：数据库加固方法应包含MySQL安全配置，SQL Server 安全配置等。注12：主机安全加固方法应包含账户安全策略、防火墙策略等。 注13：网络设备安全加固方法应包含防火墙安全配置、入侵检测系统的配置与管理等。 注14：

23、网络安全类设备包括WAF、IPS、IDS、态势感知系统等。 6.4 高级网络安全检测与防护工程师（高级）专业技能等级要求见表6所示。 表6网络安全检测与防护工程师（高级）专业技能等级要求工作领域 工作任务 专业技能要求 相关知识要求 1 项目需求分析 1.1 用户需求分析 1.1.1 能对项目技术文件、业务流程和业务目标进行整体分析，确定项目关键需求点。 1.1.2 能根据项目需求编制项目需求规格说明书。 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护知识（注1） 1.1.3 信息安全风险评估知识（注2） 1.1.4 信息安全工程和信息安全管理相关知识（参考文献3

24、） 1.1.5 工业控制系统能力评估相关国家标准和政策（参考文献4） 1.1.6 需求调研方法 1.1.7 需求分析方法与规范 2 项目准备 2.1 项目授权获取 2.1.1 能根据客户方需求编制项目授权文档 2.1.1 项目范围知识 2.1.2 授权文档规范 工作领域 工作任务 专业技能要求 相关知识要求 2.2 项目执行方案编制 2.2.1 能根据需求设计项目技术架构、选择测评方法和工具 2.2.2 能根据需求编制项目执行方案 2.2.1 测试环境部署方法 2.2.2 项目执行方案文档规范 2.2.3 项目管理知识 2.3 渗透测试工具 2.3.2 能熟练部署主流渗透测试工具 2.3.3

25、能按照工作任务要求完成配置 2.3.1 渗透测试辅助工具的安装和部署知识 2.3.2 Web渗透测试工具的进阶操作方法（注3） 2.3.3 内网渗透测试工具的进阶操作方法（注4） 2.3.4 系统提权工具的操作方法 3 项目实施 3.1 项目实施准备 3.1.1 能按系统/子系统调研和收集信息资产项 3.1.2 能编制完整规范的信息资产清单 3.1.3 能按项目类型（风险评估或渗透测试）完整梳理项目关键任务 3.1.4 能准确定义项目边界 3.1.5 能够准确识别关键业务 3.1.1 信息收集的操作方法 3.1.2 信息资产清单文档规范 3.1.3 网络安全漏洞进阶知识 3.1.4 安全加固进

26、阶知识 3.1.5 系统目标URL、IP、端口、中间件危险框架、网络段划分、告警信息日志、网络安全运维管理制度等知识 3.2 系统安全检测 3.2.1 能按照项目执行方案对系统进行脆弱性检测 3.2.2 能编制测试用例 3.2.3 能按照项目执行方案对系统进行渗透测试 3.2.4 能对测试结果进行验证 3.2.1 渗透测试流程 3.2.2 Web安全漏洞进阶知识（注5） 3.2.3 内网渗透进阶知识（注6） 3.2.4 操作系统漏洞利用方法（注7） 3.2.5 中间件漏洞利用方法（注8） 3.2.6 免杀技术知识（注9） 3.3 系统安全加固 3.3.1 能根据需求以及设备告警信息、系统日志等

27、进行漏洞的溯源分析 3.3.2 能应用正确方法对漏洞进行安全加固 3.3.1 中间件安全加固方法（注10） 3.3.2 Web安全加固方法（注11） 3.3.3 数据库加固方法（注12） 3.3.4 主机安全加固方法（注13） 3.3.5 网络设备安全加固方法（注14） 3.3.6 操作系统安全加固方法 3.3.7 其他安全加固规程方法 3.4 网络安全事件应急响应预案编制 3.4.1 能够区分应急响应等级 3.4.2 能够按照要求制定应急响应预案 3.4.1 应急响应规程 3.4.2 基于主机应急响应操作方法 3.4.3 基于Web应用的应急响应操作方法 3.4.4 基于网络设备的应急响应操

28、作方法 3.4.5 基于网络安全类设备的告警信息分析方法（注15） 3.5 报告编制 3.5.1 能按照规范编制系统检测报告 3.5.2 能编制系统安全加固报告 3.5.1 项目检测报告规范 3.5.2 第三方测评报告知识 4 项目结项 4.1 项目总结 4.1.1 能按规范编制项目总结报告 4.1.2 能按规范归档项目过程文件 4.1.1 项目总结报告规范 4.1.2 项目文档管理规范 注1：网络安全等级保护知识宜按照GB/T 22239-2019要求。注2：信息安全风险评估知识宜按照GB/T 20984要求。 注3：Web渗透测试工具应包含BurpSuite、综合测试工具（AWVS/Zap

29、)、注入工具（SQLMap）、冰蝎、AWVS等。注4：内网渗透测试工具应包含Metasploit、端口扫描工具、Socks代理（frp）、Metasploit等。 注5：Web安全漏洞知识应包含SQL注入、XSS漏洞、文件上传、SSRF、CSRF、未授权访问、业务逻辑漏洞、漏洞组合利用等。 注6：内网渗透知识应包含信息探测、口令暴力破解、socks代理知识、域控安全、域内横向移动等。注7：操作系统漏洞利用方法应包含Windows 桌面系统/Windows Server系列、Linux操作系统等。 注8：中间件或框架漏洞应包含struts2-046 远程代码执行 （ CVE-2017-5638

30、） 、 Log4j2 远程命令执行（CVE-2021-44228）、tomcat 文件上传 (CVE-2017-12615)、CVE-2017-10271 WebLogic XMLDecoder反序列化漏洞、JBoss 5.x/6.x 反序列化漏洞（CVE-2017-12149）、shiro 反序列化 （CVE-2016-4437）、solr 远程 命 令 执 行 (CVE-2019-17558) 、 elasticsearch 代 码 执 行 (CVE-2014-3120) 、 enkins 命 令 执 行（CVE-2018-1000861）等。 工作领域 工作任务 专业技能要求 相关知识要

31、求 注9：免杀技术知识应包括利用免杀工具，采用加密、混淆，增加冗余操作策略等注10：中间件安全加固应包含Apache、Weblogic、Struts2等。 注11：Web安全加固方法应包含注入漏洞加固、文件上传漏洞加固等。 注12：数据库加固方法应包含MySQL安全配置，SQL Server 安全配置等。注13：主机安全加固方法应包含账户安全策略、防火墙策略等。 注14：网络设备安全加固方法应包含防火墙安全配置、入侵检测系统的配置与管理等。 注15：网络安全类设备包括WAF、IPS、IDS、态势感知系统等。 7 相关知识对照不同技能等级（初级、中级、高级）相关知识对照见表7所示。 表7不同技能

32、等级（初级、中级、高级）相关知识对照工作领域 工作任务 知识分类 网络安全检测与防护工程师知识要求 初级 中级 高级 前置准备 前置知识 基础知识 1 职业道德知识 2 网络基础知识（开放系统互连通信参考模型知识、TCP/IP模型知识、网络设备知识） 3 操作系统知识（Windows知识、Linux知识） 1 项目需求分析 1.1 用户需求分析 需求分析必备知识 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护知识（注1） 1.1.3 信息安全风险评估知识（注2） 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护（注1） 1.1.3 信息

33、安全风险评估知识（注2） 1.1.1 信息安全风险评估相关国家标准和政策 1.1.2 网络安全等级保护知识（注11.1.3 信息安全风险评估知识（注21.1.4 信息安全工程和信息安全管理相关知识 1.1.5 工业控制系统能力评估相关国家标准和政策 1.1.6 需求调研方法 1.1.7 需求分析方法与规范 2 项目准备 2.1 项目授权获取 项目授权知识 2.1.1 项目范围知识 2.1.1 项目范围知识 2.1.1 项目范围知识 2.1.2 授权文档规范 2.2 项目执行方案编制 项目方案知识 2.2.1 测试环境部署方法 2.2.1 测试环境部署方法 2.2.1 测试环境部署方法 2.2.

34、2 项目执行方案文档规范 2.2.3 项目管理知识 2.3 渗透测试工具 渗透测试工具知识 2.3.1 渗透测试辅助工具的安装和部署方法 2.3.2 Web渗透测试工具的操作方法（注3） 2.3.1 渗透测试辅助工具的安装和部署知识 2.3.2 Web渗透测试工具的进阶操作方法（注3） 2.3.3 内网渗透测试工具的操作方法（注4） 2.3.1 渗透测试辅助工具的安装和部署知识 2.3.2 Web渗透测试工具的进阶操作方法（注3） 2.3.3 内网渗透测试工具的进阶操作方法（注4） 2.3.4 系统提权工具的操作方法 3 项目实施 3.1 项目实施准备 项目实施准备知识 3.1.1 信息收集的

35、操作方法 3.1.2 Web安全常规漏洞知识（注4） 3.1.3 Web安全加固知识 3.1.1 信息收集的操作方法 3.1.2 信息资产清单文档规范 3.1.3 网络安全常规漏洞知识 3.1.4 网络安全加固知识 3.1.1 信息收集的操作方法 3.1.2 信息资产清单文档规范 3.1.3 网络安全漏洞进阶知识 3.1.4 安全加固进阶知识 3.1.5 系统目标URL、IP、端口、中间件、危险框架、网络段划分、告警信息日志、网络安全运维管理制度等9 10工作领域 工作任务 知识分类 网络安全检测与防护工程师知识要求 初级 中级 高级 知识 3.2 系统安全检测 系统安全检测知识 3.2.1

36、渗透测试流程 3.2.2 Web渗透测试工具的操作方法（注3） 3.2.1 渗透测试流程 3.2.2 Web安全漏洞进阶知识（注5）3.2.3 内网渗透知识（注6） 3.2.4 操作系统漏洞利用方法（注7） 3.2.5 中间件漏洞利用方法（注8）3.2.1 渗透测试流程 3.2.2 Web安全漏洞进阶知识（注53.2.3 内网渗透进阶知识（注6） 3.2.4 操作系统漏洞利用方法（注73.2.5 中间件漏洞利用方法（注8）3.2.6 免杀技术知识（注9） 3.3 系统安全加固 系统安全加固知识 3.3.1 中间件安全加固方法（注5） 3.3.2 Web安全加固方法（注6）3.3.3 数据库加固

37、方法（注7） 3.3.1 中间件安全加固方法（注9）3.3.2 Web安全加固方法（注10） 3.3.3 数据库加固方法（注11） 3.3.4 主机安全加固方法（注12）3.3.5 网络设备安全加固方法（注13） 3.3.1 中间件安全加固方法（注103.3.2 Web安全加固方法（注11） 3.3.3 数据库加固方法（注12） 3.3.4 主机安全加固方法（注13） 3.3.5 网络设备安全加固方法（注14） 3.3.6 操作系统安全加固方法 3.3.7 其他安全加固规程方法 3.4 网络安全事件应急响应预案编制 网络安全事件应急响应预案知识 3.4.1 应急响应规程 3.4.2 基于网络安

38、全类设备的告警信息知识（注8） 3.4.1 应急响应规程 3.4.2 基于主机应急响应操作方法 3.4.3 基于Web应用的应急响应操作方法 3.4.4 基于网络安全类设备的告警信息分析方法（注14） 3.4.1 应急响应规程 3.4.2 基于主机应急响应操作方法 3.4.3 基于Web应用的应急响应操作方法 3.4.4 基于网络设备的应急响应操作方法 3.4.5 基于网络安全类设备的告警信息分析方法（注15） 3.5 报告编制 项目报告知识 3.5.1 项目检测报告规范 3.5.2 第三方测评报告知识 3.5.1 项目检测报告规范 3.5.2 第三方测评报告知识 3.5.1 项目检测报告规范

39、 3.5.2 第三方测评报告知识 4 项目结项 4.1 项目总结 项目总结知识 4.1.1 项目总结报告规范 4.1.1 项目总结报告规范 4.1.2 项目文档管理规范 4.1.1 项目总结报告规范 4.1.2 项目文档管理规范 注： 初级、中级、高级中的注分别见表3、表4、表5。 ） 8 权重表8.1 8.1理论知识权重理论知识权重见表8所示。 表8理论知识权重表类别 理论知识项 初级 （%） 中级 （%） 高级 （%） 基本要求 基础知识 10 5 2 相关知识要求 需求分析必备知识 / / 2 项目授权知识 / / / 项目方案知识 / / 2 渗透测试工具知识 14 5 2 项目实施准

40、备知识 14 10 2 系统安全检测知识 14 10 6 系统安全加固知识 14 15 6 网络安全事件应急响应预案知识 4 5 6 项目报告知识 / / 2 合计 70 50 30 8.2 8.2专业技能权重专业技能权重见表9所示。 表9专业技能权重表类别 技能项 初级 （%） 中级 （%） 高级 （%） 专业技能要求 用户需求分析 / / 7 项目授权获取 / 2 2 项目执行方案编制 / 3 7 渗透测试工具 9 10 7 项目实施准备 9 10 7 系统安全检测 9 10 7 系统安全加固 2 5 12 网络安全事件应急响应预案 / 5 7 报告编制 1 3 7 项目总结 / 2 7

41、合计 30 50 70 9 证书9.1 专业技能等级证书样式应符合 T/SCCF 001 中对证书样式的要求。 9.2 可根据合作权威机构的情况，选择证书上盖单一公章或多个公章的形式。 9.3 盖单一公章指仅有本证书的归口单位四川省计算机学会盖章。 9.4 多个公章指除了本证书归口单位四川省计算机学会盖章外，可根据情况加盖1 家或2 家机构公章，对专业技能等级进行联合权威认证。 11 AA 附 录 A（资料性）申请考试认证对象建议单位类型 对象 认证级别建议 初级 中级 高级 中职学校 从事网络安全教学专业教师 高职高专 二三年级学生（非网络安全专业） 高职高专 二三年级学生（网络安全及其相关专业） 本科院校 三四年级学生（非网络安全专业） 本科院校 三四年级学生（网络安全及其相关专业） 企事业单位 专业从事网络安全运维人员 企事业单位 从事网络安全相关岗位人员 注： “”表示建议，“”表示非常建议 12