風(fēng)險評估方案

1、一、風(fēng)險評估準備：確定評估范圍、組織評估小組、評估目標、評估工具和評估方法。二、風(fēng)險因素識別：資產(chǎn)識別、威脅識別、脆弱點識別三、風(fēng)險評估方法：采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透 性測試等。資產(chǎn)評估(1)資產(chǎn)識別：硬 件 資 產(chǎn)應(yīng)用 系統(tǒng)資產(chǎn)名稱資產(chǎn)編號維護人型號配 置購機年 限整體負 荷重要性程 度網(wǎng)絡(luò) 系統(tǒng)資產(chǎn)名稱資產(chǎn)編號維護人型號配 置購機年 限整體負 荷重要性程 度文檔和數(shù)據(jù)資產(chǎn)名稱責(zé)任人備份形式存儲形 式重要性 程度備注人力資產(chǎn)識 別崗位崗位描述姓名備注業(yè)務(wù)應(yīng)用資產(chǎn)名稱設(shè)計容量系統(tǒng)負荷廠商服 務(wù)能力重要性 程度物理環(huán)境資產(chǎn)名稱適用范圍 描述適用年限整體負 荷

2、重要性 程度(2)資產(chǎn)賦值:硬 件 資 產(chǎn)應(yīng)用 系統(tǒng)資產(chǎn)名稱機密性完整性可用性重要性 程度備注網(wǎng)絡(luò) 系統(tǒng)資產(chǎn)名稱機密性完整性可用性重要性 程度備注文檔和數(shù)據(jù)資產(chǎn)名稱機密性完整性可用性重要性 程度備注軟件資產(chǎn)名稱機密性完整性可用性重要性 程度備注物理環(huán)境資產(chǎn)名稱機密性完整性可用性重要性 程度備注資產(chǎn)評估機密性、完整性、可用性的賦值通過調(diào)查問卷來實現(xiàn)機密性是否能夠容納具有不同密鑰長度的各種加密機制？是否保證SOAR肖息級的機密性？加密簽名數(shù)據(jù)時，其摘要值是否被加密？(如果沒有加密攻擊者可以借此推測明文，使得加密數(shù)據(jù)被破壞)？是否保證網(wǎng)絡(luò)傳輸層的機密性？完整性是否為加密后的數(shù)據(jù)再采用簽名以確保初始化

3、矢量的完整性不被破壞？(加密算法中使用的初始化矢量雖然可以解決為給定密鑰和數(shù)據(jù)創(chuàng)建相同密文的安全問題，但初始化矢量本身也可能被修改，使上述問題再次出現(xiàn)。)是否采用的多種簽名格式？可用性加密的工具對遞歸深度或請求使用資源數(shù)量是否做限制？選擇采用的合適的預(yù)防措施以免受任何潛在的拒絕服務(wù)的攻擊。(3)重要性程度的賦值：應(yīng)用頭腦風(fēng)暴法，即根據(jù)風(fēng)險預(yù)測和風(fēng)險識別的目的和要求，組成專家組，通過會議 形式讓大家暢所欲言，而后對各位專家的意見進行匯總、綜合，以得出最后的結(jié)論。次缶、第心/古 c erirc 機密性，c完整性，c可用性11資廣評估值=Roundlog 2 2+2+2機密性C ( 0.4),完整性

4、C ( 0.4),可用性C ( 0.4),資產(chǎn)評估值C ( 0.4)威脅評估威脅的確定：1 .通過對應(yīng)用系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、文檔和數(shù)據(jù)、軟件、物理環(huán)境設(shè)計調(diào)查問卷，根據(jù)答案的 匯總進行確定如:網(wǎng)絡(luò) 層次身份 鑒別自主 訪問 控制標記強制 訪問 控制數(shù)據(jù) 流控 制安全W數(shù)據(jù) 完整 性數(shù)據(jù) 保密 性可信 路徑抗抵 賴網(wǎng)絡(luò) 安全 監(jiān)控網(wǎng)絡(luò)安全功能基本要求:身份鑒別：用戶識別1、在SSF實施所要求的動作之前，是否對提出該動作要求的用戶進行標識？2、所標識用戶在信息系統(tǒng)生存周期內(nèi)是否具有唯一性？3、對用戶標識信息的管理、維護是否可被非授權(quán)地訪問、修改或刪除？用戶鑒別1、在SSF實施所要求的動作之前，是否對提

5、出該動作要求的用戶進行鑒別？2、是否檢測并防止使用偽造或復(fù)制的鑒別數(shù)據(jù)3、能否提供一次性使用鑒別數(shù)據(jù)操作的鑒別機制？4、能否提供不同的鑒別機制？根據(jù)所描述的多種鑒別機制如何提供鑒別的規(guī)則？5、能否規(guī)定需要重新鑒別用戶的事件？用戶-主體 綁定對一個已識別和鑒別的用戶，是否通過用戶-主體綁定將該用戶與該主體相關(guān)聯(lián)？自主訪問控制:訪問控制策略1、是否按確定的自主訪問控制安全策略實現(xiàn)主體與客體建操作的控制？2、是否有多個自主訪問控制安全策略，且多個策略獨立命名？訪問控制功能1、能否在安全屬性或命名的安全屬性組的客體上執(zhí)行訪問控制SFR2、在基于安全屬性的允許主體對客體訪問的規(guī)則的基礎(chǔ)上，能否允許主體對

6、客體的訪問？3、在基于安全屬性的拒絕主體對客體訪問的規(guī)則的基礎(chǔ)上，能否拒絕主體對客體的訪問？訪問控制范圍1、每個確定的自主訪問控制，SSF是否覆蓋網(wǎng)絡(luò)系統(tǒng)中所定義的主體、客體及其之間的操作？2、每個確定的自主訪問控制， 操作？SSF是否覆蓋網(wǎng)絡(luò)系統(tǒng)中所有的主體、客體及其之間的訪問控制粒度1、網(wǎng)絡(luò)系統(tǒng)中自主訪問控制粒度為粗粒度 /中粒度/細粒度？標記:主體標記1、是否為強制訪問控制的主體指定敏感標記？客體標記2、是否為強制訪問控制的客體指定敏感標記？標記完整性敏感標記能否準確表示特定主體或客體的訪問控制屬性？有標記信息 的輸出1、將一客體信息輸出到一個具有多級安全的I/O設(shè)備時，與客體有關(guān)的敏感

7、標記也可輸出？2、對于單級安全設(shè)備，授權(quán)用戶能否可靠地實現(xiàn)指定的安全級的信息通信？強制訪問控制訪問控制策略2、是否為強制訪問控制的主體指定敏感標記？客體標記2、是否為強制訪問控制的客體指定敏感標記？標記完整性敏感標記能否準確表示特定主體或客體的訪問控制屬性？有標記信息 的輸出3、將一客體信息輸出到一個具有多級安全的I/O設(shè)備時，與客體有關(guān)的敏感標記也可輸出？4、對于單級安全設(shè)備，授權(quán)用戶能否可靠地實現(xiàn)指定的安全級的信息通信？用戶數(shù)據(jù)完整性存儲數(shù)據(jù)的完整性1、是否對基于用戶屬性的所有客體，對用戶數(shù)據(jù)進行完整性檢測？2、當(dāng)檢測到完整性錯誤時，能否采取必要的恢復(fù)、審計或報警措施？傳輸數(shù)據(jù)的完整性1、

8、是否對被傳輸?shù)挠脩魯?shù)據(jù)進行檢測？2、數(shù)據(jù)交換恢復(fù)若沒有可恢復(fù)復(fù)件，能否向源可信IT系統(tǒng)提供反饋信息？處理數(shù)據(jù)的完整性對信息系統(tǒng)處理中的數(shù)據(jù)，能否通過“回退”進行完整性保護？用戶數(shù)據(jù)保密性存儲數(shù)據(jù)的保密性1、是否對存儲在SSC內(nèi)的用戶數(shù)據(jù)進行保密性保護？傳輸數(shù)據(jù)的保密性1、是否對在SSC內(nèi)的用戶數(shù)據(jù)進行保密性保護？客體安全重用1、將安全控制范圍之內(nèi)的某個子集的客體資源分配給某一用戶或進程時，是否會泄 露該客體中的原有信息？2、將安全控制范圍之內(nèi)的所有客體資源分配給某一用戶或進程時，是否會泄露該客 體中的原有信息？如：調(diào)查問卷題目Uffi是否提供注冊服務(wù)機制?只提供點到點的認證服務(wù)還是提供端到端的

9、認證服務(wù)？是否更新現(xiàn)有的身份識別以符合最新 Web艮務(wù)安全規(guī)范？授權(quán)對訪問資源提供大粒度的訪問控制還是小粒度的訪問控制？是否更新現(xiàn)有接入控制安全策略以滿足服務(wù)安全規(guī)范？認證成功之后，是否在運行時根據(jù)資源訪問權(quán)限列表來檢查服務(wù)請求者的訪問級別？審計性管理員是否可以在生命周期的不同時刻追蹤并找出服務(wù)請求？哪些技術(shù)提供了不可否認性的一個關(guān)鍵元素？不可否認性是否支持不可否認性？（不可否認性使得用戶能夠證明事務(wù)是在擁有合法證書的情況下進行的。）是否包含時間戳、序列號、有效期、消息相關(guān)等元素，并進行簽名從而保證消息的唯一性（當(dāng)緩存這些信息時，可以檢測出重放攻擊）？2 .通過工具進行掃描（1） 收費威脅掃描

10、工具（內(nèi)網(wǎng)威脅發(fā)現(xiàn)解決方案）核心技術(shù)包括：已知病毒掃描、變種和加殼惡意程序掃描、惡意程序行為分析 引擎、網(wǎng)絡(luò)蠕蟲病毒掃描、網(wǎng)頁信譽服務(wù)能解決的問題：惡意程序?qū)崟r分析系統(tǒng)、惡意程序的深度分析、惡意程序的處 置建議可得出的結(jié)論：總體風(fēng)險等級、感染源統(tǒng)計、威脅統(tǒng)計、潛在風(fēng)險（2） 免費掃描工具：1. Nmap網(wǎng)絡(luò)安全診斷和掃描工具，進行端口掃描，是一款開放源代碼的網(wǎng)絡(luò) 探測和安全審核的工具，它的設(shè)計目標是快速地掃描大型網(wǎng)絡(luò)。2. Nikto Web服務(wù)器漏洞掃描工具，Nikto是一款開源的（GPD網(wǎng)頁服務(wù)器掃 描器，它可以對網(wǎng)頁服務(wù)器進行全面的多種掃描。掃描項和插件可以自動更新?；赪hisker/

11、libwhisker完成其底層功能。這是一款非常棒的工具，但其軟件本身并不經(jīng)常更新，最新和最危險的可能檢測不到。3. X-scan、ISS、Nessus 漏洞掃描工具 說明：眾多的自動化掃描工具當(dāng)中，Nessus是最值得稱贊的。它基于 C/S架構(gòu)、插件結(jié)構(gòu)的自動化掃描工具，可以免費使用，在線升級并隨時獲取國內(nèi)外安全 高手編寫的最新漏洞的掃描插件。目前Nessus的插件個數(shù)已經(jīng)超過 14000個,而且這個數(shù)量正在急速上升，因為幾乎全世界的安全人員都在使用這個工具， 其中有很多黑客會向 Nessus提供自己編寫的插件。因此，使用 Nessus進行掃 描就像是全世界的頂尖安全人員都在用他們的技術(shù)在幫

12、助我們檢查網(wǎng)絡(luò)中的缺 陷。可得出的結(jié)論：漏洞信息摘要、漏洞的詳細描述、解決方案、風(fēng)險系數(shù)（3） 免費風(fēng)險評估系統(tǒng)ASSE例美國國家標準及時協(xié)會 NIST發(fā)布的一個可用于安全風(fēng)險自我評估的軟 件工具，采用典型的基于知識的分析方法，通過問卷形式自動完成信息技術(shù)系 統(tǒng)的自我安全評估，由此了解系統(tǒng)的安全現(xiàn)狀，并提出相對的對策。ASSETF 載地址：其他常用風(fēng)險評估系統(tǒng)：名稱RISKASSETBDSSCORACOBRACRAMMRA/SYSRiskWatc h體系 結(jié)構(gòu)單機單機單機單機C/S單機單機單機所用專家系基于知識一專家過程式專家過程式過程式專家系統(tǒng)方法統(tǒng)系統(tǒng)

13、算法系統(tǒng)算法算法定性/士旦 立,甲一定性/定M定性/士旦 加,甲一定性/定性/定士旦 加,甲一定性/定士旦 立,甲一結(jié)合4 縣 7E M4 縣 7E M量結(jié)合量結(jié)合結(jié)合結(jié)合數(shù)據(jù)調(diào)查文調(diào)查問卷調(diào)查調(diào)查文:調(diào)查過程過程調(diào)查文件采集件問卷件文件方式輸出決行：提供控制安全決策支結(jié)果結(jié)果報風(fēng)險等風(fēng)險分析結(jié)果持信息目標和建防護持信息報告、告、風(fēng)險級、控制綜合報告議措施風(fēng)險等級措施列表等級風(fēng)險等級風(fēng)險等級劃分:風(fēng)險值900極高54900 風(fēng)險值700高43700 風(fēng)險值500中32500 風(fēng)險值300低21300 風(fēng)險值極低10脆弱性評估文檔審計手動進行審計和分析(1) 日志的檢查和分析通過對日志的查詢和分

14、析，快速對潛在的系統(tǒng)入侵做出記錄和預(yù)測，對發(fā)生的 安全問題進行及時總結(jié)。1 .關(guān)鍵網(wǎng)絡(luò)、安全和服務(wù)器日志進行備份2 .定期對關(guān)鍵網(wǎng)絡(luò)、安全設(shè)備和服務(wù)器日志進行檢查和分析，形成記錄(2) 權(quán)限和口令管理1 .對關(guān)鍵設(shè)備按最新安全訪問原則設(shè)置訪問控制權(quán)限，并及時清理冗余系統(tǒng)用 戶，正確分配用戶權(quán)限2 .建立口令管理制度，定期修改操作系統(tǒng)、數(shù)據(jù)庫及應(yīng)用系統(tǒng)管理員口令，并有 相關(guān)記錄3 .登錄口令修改頻率不低于每月一次4 .登錄口令長度的限制，并采用數(shù)字、字母、符號混排的方式。5 .采取限制IP登錄的管理措施。(3) 實時監(jiān)控記錄1 .對服務(wù)器、主干網(wǎng)絡(luò)設(shè)備的性能，進行24小時實時監(jiān)控的記錄進行檢查。2 .對服務(wù)器、主干網(wǎng)絡(luò)設(shè)備的運行情況，對實時監(jiān)控的記錄進行檢查。3 .對網(wǎng)絡(luò)流量、網(wǎng)站內(nèi)容進行實時監(jiān)控，對實時監(jiān)控的記錄進行檢查。利用安全審計和文檔安全工具綠盟、天融信均有安全審計查閱工具?？蓪崿F(xiàn)的功能：1、審計查閱：提供從審計記錄中讀取信息的能力2、有限審計查閱：審計查閱工具應(yīng)禁止具有讀訪問權(quán)限以外的用戶讀取審計 信息3、可選審計查閱：審計查閱工具應(yīng)具有根據(jù)準則來選擇要查閱的審計數(shù)據(jù)的 功能，并根據(jù)某種邏輯關(guān)系的標準提供對審計數(shù)據(jù)進行搜索、分類、排序 的能力。模擬滲