集團(tuán)企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估技術(shù)方案

集團(tuán)企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估技術(shù)方案概述項(xiàng)目背景近年來，隨著信息化技術(shù)越來越深入和廣泛的應(yīng)用，信息安全的風(fēng)險(xiǎn)日益加大，國(guó)家和各行業(yè)主管機(jī)構(gòu)都對(duì)防范信息安全風(fēng)險(xiǎn)非常重視。國(guó)家信息化領(lǐng)導(dǎo)小組頒發(fā)的GB/T-20984-2007《信息安全技術(shù)-信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》系列標(biāo)準(zhǔn)文件對(duì)我國(guó)信息安全保障工作做出原則性戰(zhàn)略性的規(guī)定，要求堅(jiān)持積極防御、綜合防范的方針，全面提高信息安全防護(hù)能力，重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全，經(jīng)過多年左右的努力，基本形成國(guó)家信息安全保障體系。2017年6月，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式實(shí)施，網(wǎng)絡(luò)安全已經(jīng)提高到了一個(gè)前所未有的高度。在“第三十八條關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測(cè)評(píng)估，并將檢測(cè)評(píng)估情況和改進(jìn)措施報(bào)送相關(guān)負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門?！庇纱丝梢?，風(fēng)險(xiǎn)評(píng)估工作是當(dāng)下重點(diǎn)保護(hù)對(duì)象及開展工作建設(shè)的重中之重。為進(jìn)一步保障XXX公司的信息化安全，降低信息安全風(fēng)險(xiǎn)，XXX公司擬于今年在xx我司（天津）科技有限公司（以下簡(jiǎn)稱“xx我司”）的協(xié)助下，對(duì)本公司的XXX系統(tǒng)實(shí)施信息安全風(fēng)險(xiǎn)評(píng)估工作，為該業(yè)務(wù)系統(tǒng)穩(wěn)定運(yùn)行提供安全保障。項(xiàng)目目標(biāo)通過實(shí)施整體信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)（包括安全技術(shù)和管理評(píng)估、互聯(lián)網(wǎng)應(yīng)用滲透測(cè)試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)）提高XXX系統(tǒng)的安全性和可靠性，并在緊急情況下對(duì)提供緊急安全事件響應(yīng)支持，控制并降低來自于互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)。通過本次信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)項(xiàng)目，可以達(dá)到以下主要目標(biāo)：通過安全風(fēng)險(xiǎn)評(píng)估，得到該系統(tǒng)的整體安全現(xiàn)狀；通過滲透測(cè)試和安全技術(shù)評(píng)估，分析XXX系統(tǒng)存在的各類技術(shù)性安全缺陷，并進(jìn)行整改；通過管理體系評(píng)估，發(fā)現(xiàn)在風(fēng)險(xiǎn)管理、安全策略和內(nèi)部控制等方面存在的問題并加以改進(jìn)；通過安全加固和策略體系改進(jìn)，全方位的提升XXX系統(tǒng)的信息安全管理水平。項(xiàng)目?jī)?nèi)容本次整體信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的內(nèi)容可以分為幾個(gè)部分：信息安全風(fēng)險(xiǎn)評(píng)估信息資產(chǎn)調(diào)查調(diào)查和統(tǒng)計(jì)XXX系統(tǒng)所包含的信息資產(chǎn)（包含物理環(huán)境、終端、網(wǎng)絡(luò)設(shè)備、主機(jī)、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)流程等），明確其現(xiàn)有狀況、配置情況和管理情況。如主機(jī)系統(tǒng)，需要明確其平臺(tái)、版本、補(bǔ)丁等基本情況外，還需明確開放端口、服務(wù)和進(jìn)程等配置管理信息。并對(duì)所有信息資產(chǎn)按照一定標(biāo)準(zhǔn)進(jìn)行資產(chǎn)賦值?，F(xiàn)有安全系統(tǒng)調(diào)查工作包括明確現(xiàn)有安全設(shè)備(包括防火墻、防病毒系統(tǒng)、入侵檢測(cè)系統(tǒng)、安全掃描系統(tǒng)、帳號(hào)口令集中管理系統(tǒng)、域控制服務(wù)器等)的部署情況和使用情況；同時(shí)了解在建網(wǎng)絡(luò)與信息安全建設(shè)項(xiàng)目，使之服從統(tǒng)一部署原則。安全風(fēng)險(xiǎn)評(píng)估根據(jù)XXX系統(tǒng)現(xiàn)有的安全標(biāo)準(zhǔn)規(guī)范和業(yè)務(wù)對(duì)安全的要求，分析主機(jī)、網(wǎng)絡(luò)及安全設(shè)備面臨的威脅，評(píng)估現(xiàn)有系統(tǒng)的存在的弱點(diǎn)，明確所有信息系統(tǒng)面臨的安全風(fēng)險(xiǎn)和隱患。應(yīng)用系統(tǒng)滲透測(cè)試通過黑客或白客方式對(duì)指定的Internet業(yè)務(wù)系統(tǒng)進(jìn)行滲透攻擊，發(fā)現(xiàn)該系統(tǒng)存在的安全隱患，并提出解決措施。信息系統(tǒng)安全加固安全加固和優(yōu)化服務(wù)是實(shí)現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。通過使用該項(xiàng)服務(wù)，將在系統(tǒng)的網(wǎng)絡(luò)層、主機(jī)層和應(yīng)用層等層次建立符合安全需求的安全狀態(tài)，并以此作為保證該信息系統(tǒng)安全的起點(diǎn)。安全策略體系整改通過對(duì)現(xiàn)有安全體系策略制度的審閱、解讀和差距性分析，對(duì)現(xiàn)有安全管理制度和內(nèi)控制度進(jìn)行改善，使之能夠完全符合當(dāng)前國(guó)內(nèi)相關(guān)控制標(biāo)準(zhǔn)的要求，并向相關(guān)的國(guó)際化標(biāo)準(zhǔn)看齊。項(xiàng)目設(shè)計(jì)原則符合性原則：符合國(guó)家等級(jí)化保護(hù)體系指出的積極防御、綜合防范的方針和等級(jí)保護(hù)的原則。標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國(guó)內(nèi)或國(guó)際的相關(guān)標(biāo)準(zhǔn)進(jìn)行；規(guī)范性原則：服務(wù)工作中的過程和文檔，具有很好的規(guī)范性，可以便于項(xiàng)目的跟蹤和控制；可控性原則：方法和過程在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要按照進(jìn)度表進(jìn)度的安排，保證甲方對(duì)于服務(wù)工作的可控性；整體性原則：安全服務(wù)的范圍和內(nèi)容整體全面，包括安全涉及的各個(gè)層面（應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人員等），避免由于遺漏造成未來的安全隱患；最小影響原則：安全服務(wù)中的工作盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能對(duì)現(xiàn)網(wǎng)的運(yùn)行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響；保密性原則：對(duì)過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用此數(shù)據(jù)進(jìn)行任何侵害甲方的行為，否則甲方有權(quán)追究乙方的責(zé)任。甲方有權(quán)要求乙方在服務(wù)結(jié)束之后銷毀所有和本項(xiàng)目有關(guān)的數(shù)據(jù)和文檔。項(xiàng)目范圍本項(xiàng)目選擇XXX公司的XXX系統(tǒng)作為服務(wù)對(duì)象。文件和法律法規(guī)國(guó)內(nèi)政策與標(biāo)準(zhǔn)：《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)）；《關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見》2006年1月國(guó)家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；《關(guān)于印發(fā)《信息安全風(fēng)險(xiǎn)評(píng)估指南》的通知》2006年2月國(guó)信辦（國(guó)信辦綜[2006]9號(hào)）；GB/T-20984-2007《信息安全技術(shù)-信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》《中華人民共和國(guó)網(wǎng)絡(luò)安全法》中央網(wǎng)信辦《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》國(guó)際政策與標(biāo)準(zhǔn)：ISO/IEC27001信息安全管理體系標(biāo)準(zhǔn)COSO/COBIT內(nèi)控和信息技術(shù)控制框架ISO/IECTR13335Series,GuidelinesforthemanagementofITSecurity(CMITS)，1996-2001NISTSP800Series,ComputerSecuritySpecialPublications，1991-2005本項(xiàng)目的理解對(duì)項(xiàng)目目標(biāo)的理解安全風(fēng)險(xiǎn)評(píng)估工作是信息安全體系運(yùn)作體系中風(fēng)險(xiǎn)管理的重要組成部分，通過周期性的安全風(fēng)險(xiǎn)評(píng)估工作發(fā)現(xiàn)公司的安全現(xiàn)狀，為公司安全建設(shè)和安全加固提供數(shù)據(jù)基礎(chǔ)。綜上所述，本期項(xiàng)目的目標(biāo)是：通過安全評(píng)估的技術(shù)手段，盡可能發(fā)現(xiàn)和定位XXX系統(tǒng)存在的安全風(fēng)險(xiǎn)，為安全加固、系統(tǒng)整改及應(yīng)急響應(yīng)提供依據(jù)和技術(shù)指導(dǎo)，降低整體的安全風(fēng)險(xiǎn)。對(duì)項(xiàng)目特點(diǎn)的理解通過上面對(duì)本項(xiàng)目目標(biāo)的分析，本期深度安全風(fēng)險(xiǎn)評(píng)估工作存在如下特點(diǎn)：要求高：由于XXX公司業(yè)務(wù)的快速增長(zhǎng)，對(duì)信息安全的要求越來越高，所以要比以前采用更加規(guī)范的項(xiàng)目管理要求；本次評(píng)估的技術(shù)深度和廣度，都要強(qiáng)于以前的項(xiàng)目及同行業(yè)的要求（多個(gè)系統(tǒng)的應(yīng)用分析）；采用的技術(shù)標(biāo)準(zhǔn)，是當(dāng)前最新、最及時(shí)的，相比歷史評(píng)估工作和同行業(yè)類似工作的技術(shù)要求是最高的；技術(shù)與管理并重：由于面臨的外部威脅的壓力和影響力比以往要大很多，所以本次項(xiàng)目更加側(cè)重于通過外部滲透測(cè)試的方法，發(fā)現(xiàn)從外部的威脅和影響（尤其是從外部Internet進(jìn)行滲透測(cè)試）；本次項(xiàng)目滲透測(cè)試涉及的系統(tǒng)范圍更廣，而且更深地分析通過“信任關(guān)系”發(fā)生的滲透，從而發(fā)現(xiàn)“木桶原理”中的“最短那塊板”；更加側(cè)重于應(yīng)用系統(tǒng)自身特點(diǎn)的安全評(píng)估：綜合分析業(yè)務(wù)和管理層（數(shù)據(jù)流，角色權(quán)限…）；應(yīng)用層（數(shù)據(jù)庫(kù)，中間件）；系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出的安全風(fēng)險(xiǎn)更加有針對(duì)性；各應(yīng)用系統(tǒng)有不同的特點(diǎn)，在本次項(xiàng)目中要結(jié)合不同部門、不同系統(tǒng)特點(diǎn)進(jìn)行相應(yīng)的應(yīng)用系統(tǒng)安全評(píng)估；更加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)的可行性：本次項(xiàng)目在實(shí)施過程中安排了時(shí)間，對(duì)發(fā)現(xiàn)的問題進(jìn)行及時(shí)地講解和答疑；對(duì)發(fā)現(xiàn)的問題提出的解決方案，和系統(tǒng)管理員及時(shí)溝通，并協(xié)助進(jìn)行講解和培訓(xùn)，對(duì)不能直接解決的，提出綜合解決、降低風(fēng)險(xiǎn)的方案。項(xiàng)目總體方法與流程概述風(fēng)險(xiǎn)管理（RiskManagement）旨在對(duì)潛在機(jī)會(huì)和不利影響進(jìn)行有效管理的文化、程序和結(jié)構(gòu)。風(fēng)險(xiǎn)管理是良好管理的一個(gè)組成部分，它用一種將損失減小到最低程度而使商業(yè)機(jī)會(huì)達(dá)到最大限度的方式，對(duì)與機(jī)構(gòu)的任何活動(dòng)、功能和過程相關(guān)的風(fēng)險(xiǎn)進(jìn)行環(huán)境建立、鑒定、分析、評(píng)價(jià)、處理、監(jiān)控和信息交流。風(fēng)險(xiǎn)管理過程（RiskManagementProcess）是指系統(tǒng)地將管理方針、程序和結(jié)構(gòu)應(yīng)用于風(fēng)險(xiǎn)的環(huán)境建立、鑒定、分析、評(píng)價(jià)、處理、監(jiān)控和信息交流等過程任務(wù)。在信息安全領(lǐng)域，同樣適用于風(fēng)險(xiǎn)管理的理念和方法論。在當(dāng)前信息技術(shù)得到普遍應(yīng)用，并且很多成為關(guān)鍵業(yè)務(wù)系統(tǒng)的環(huán)境下，企業(yè)或組織的信息安全風(fēng)險(xiǎn)很大，而且普遍缺乏有效的控制和管理，但過度的風(fēng)險(xiǎn)管理，無疑會(huì)導(dǎo)致大量的金錢和人力的花費(fèi)、以及工作效率的嚴(yán)重降低。所以，如何適度和有效地進(jìn)行信息安全的風(fēng)險(xiǎn)的管理和控制，成為了一項(xiàng)迫切和重要的任務(wù)。下面的描述即是闡明風(fēng)險(xiǎn)評(píng)估過程的理念和方法論，以作為xx我司安全服務(wù)的標(biāo)準(zhǔn)方法論和理論基礎(chǔ)，指導(dǎo)和規(guī)范xx我司的安全風(fēng)險(xiǎn)安全服務(wù)工作。安全模型參考在澳大利亞和新西蘭國(guó)家標(biāo)準(zhǔn)《風(fēng)險(xiǎn)管理RiskManagement》（AS/NZS4360:1999）中描述了風(fēng)險(xiǎn)管理過程，如下圖所示：在國(guó)際標(biāo)準(zhǔn)ISO13335中，安全模型如下圖所示，特點(diǎn)是以風(fēng)險(xiǎn)為核心。在國(guó)際標(biāo)準(zhǔn)中，安全模型如下圖所示，其特點(diǎn)是強(qiáng)調(diào)了模型的對(duì)抗性和動(dòng)態(tài)性?？梢钥闯?，安全模型中的核心要素都是資產(chǎn)、弱點(diǎn)、威脅、風(fēng)險(xiǎn)、安全措施等，各要素之間的關(guān)系也基本類似，只是描述和關(guān)注的角度不同。風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估模型在安全評(píng)估服務(wù)中，xx我司參照上述兩個(gè)安全模型，根據(jù)自己的工程實(shí)踐，建立了自己的風(fēng)險(xiǎn)評(píng)估模型，描述如下：在xx我司的風(fēng)險(xiǎn)評(píng)估模型中，主要包含信息資產(chǎn)，弱點(diǎn)/脆弱性、威脅和風(fēng)險(xiǎn)四個(gè)要素。每個(gè)要素有各自的屬性，信息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)被威脅利用后對(duì)資產(chǎn)帶來的影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性，風(fēng)險(xiǎn)的屬性是風(fēng)險(xiǎn)發(fā)生的路徑。因此，xx我司風(fēng)險(xiǎn)評(píng)估的過程是：對(duì)信息資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)賦值；識(shí)別信息資產(chǎn)的脆弱性（弱點(diǎn)/漏洞），并對(duì)弱點(diǎn)的嚴(yán)重程度賦值；對(duì)威脅進(jìn)行分析，并對(duì)威脅發(fā)生的可能性賦值；綜合分析資產(chǎn)價(jià)值、資產(chǎn)的脆弱性和威脅發(fā)生的可能性，得到信息資產(chǎn)的風(fēng)險(xiǎn)發(fā)生的路徑和級(jí)別，并對(duì)風(fēng)險(xiǎn)進(jìn)行處置，選擇合適的控制措施。總體工作流程圖根據(jù)安全風(fēng)險(xiǎn)評(píng)估模型，xx我司安全風(fēng)險(xiǎn)評(píng)估的總體工作流程如下圖：在評(píng)估過程中首先要進(jìn)行全網(wǎng)的資產(chǎn)調(diào)查，識(shí)別的內(nèi)容包括：“信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織結(jié)構(gòu)及物理環(huán)境；然后進(jìn)行應(yīng)用系統(tǒng)安全目標(biāo)的識(shí)別和分析；以及通過安全評(píng)估的“業(yè)務(wù)系統(tǒng)評(píng)估”、“滲透測(cè)試”、“網(wǎng)絡(luò)架構(gòu)評(píng)估”、“IT設(shè)備弱點(diǎn)評(píng)估”、“應(yīng)用安全評(píng)估”、“安全管理評(píng)估”、“物理安全評(píng)估”各項(xiàng)內(nèi)容獲取“安全現(xiàn)狀”(包括：安全威脅)、“安全弱點(diǎn)”。最后通過各系統(tǒng)、子系統(tǒng)的安全目標(biāo)和其“安全現(xiàn)狀”、“安全弱點(diǎn)”的對(duì)比分析，得到安全現(xiàn)狀和解決方案。本項(xiàng)目采用的安全風(fēng)險(xiǎn)評(píng)估方法本次項(xiàng)目由于側(cè)重點(diǎn)于技術(shù)問題的發(fā)現(xiàn)，并指導(dǎo)今后的安全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；根據(jù)本次項(xiàng)目的特點(diǎn)，準(zhǔn)備采用如下三種安全風(fēng)險(xiǎn)評(píng)估的方法，主要針對(duì)非重點(diǎn)系統(tǒng)、重點(diǎn)系統(tǒng)網(wǎng)絡(luò)類、重點(diǎn)系統(tǒng)計(jì)算類；非重點(diǎn)系統(tǒng)的IT設(shè)備弱點(diǎn)評(píng)估如下圖所示：本評(píng)估主要目標(biāo)是為IT設(shè)備的弱點(diǎn)提供安全加固的指導(dǎo)和依據(jù)，主要涉及“主機(jī)系統(tǒng)弱點(diǎn)評(píng)估”；“網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估”；“安全設(shè)備弱點(diǎn)評(píng)估”。主機(jī)系統(tǒng)弱點(diǎn)評(píng)估采用人工現(xiàn)場(chǎng)檢查和工具掃描兩種方式；網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估和安全設(shè)備弱點(diǎn)評(píng)估，對(duì)能夠?qū)С雠渲眯畔ⅰ⒉⑴渲眯畔⒖勺R(shí)別分析的，采用后臺(tái)人工分析方式；對(duì)不能導(dǎo)出配置信息、或配置信息不可識(shí)別分析的，采用人工現(xiàn)場(chǎng)檢查方式。評(píng)估的結(jié)果，是體現(xiàn)各單點(diǎn)資產(chǎn)的弱點(diǎn)狀況，以及綜合的統(tǒng)計(jì)分析報(bào)告，主要為指導(dǎo)單點(diǎn)設(shè)備的安全加固工作。網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)的安全評(píng)估如下圖所示：網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)是公司主要承載各業(yè)務(wù)的基礎(chǔ)平臺(tái)，其評(píng)估的目標(biāo)不僅是發(fā)現(xiàn)現(xiàn)存系統(tǒng)的問題，指導(dǎo)安全加固和系統(tǒng)整改的工作和依據(jù)；而且還要根據(jù)業(yè)務(wù)發(fā)展需要，為網(wǎng)絡(luò)建設(shè)提供安全保障的規(guī)劃依據(jù)。本安全評(píng)估包含：“IT設(shè)備弱點(diǎn)評(píng)估；網(wǎng)絡(luò)架構(gòu)安全評(píng)估和滲透測(cè)試”，其中IT設(shè)備弱點(diǎn)評(píng)估和前面的一致。網(wǎng)絡(luò)架構(gòu)安全評(píng)估包括：網(wǎng)絡(luò)現(xiàn)狀安全合理性分析以及隨業(yè)務(wù)發(fā)展需要的網(wǎng)絡(luò)安全需求分析，主要采用的方法是：后臺(tái)分析（對(duì)網(wǎng)絡(luò)拓?fù)洹⑾嚓P(guān)技術(shù)文檔、訪問控制等配置信息分析）、現(xiàn)場(chǎng)設(shè)備檢查（對(duì)網(wǎng)絡(luò)設(shè)備或網(wǎng)管系統(tǒng)的安全狀況查看）、系統(tǒng)管理員的顧問訪談（網(wǎng)絡(luò)現(xiàn)狀存在的問題、網(wǎng)絡(luò)安全事件、業(yè)務(wù)發(fā)展對(duì)網(wǎng)絡(luò)的影響及假設(shè)）、主管領(lǐng)導(dǎo)的顧問訪談（業(yè)務(wù)發(fā)展對(duì)網(wǎng)絡(luò)安全的要求）；滲透測(cè)試，主要采用嗅探及入侵的手法，分析從外部越權(quán)進(jìn)入本系統(tǒng)的路徑和可能性，以及可越權(quán)訪問接入本網(wǎng)絡(luò)系統(tǒng)的系統(tǒng)范圍和影響。注：如無特殊需要，不采用DOS等惡意攻擊手段。本評(píng)估的結(jié)果，除體現(xiàn)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；還可為系統(tǒng)整改，劃分安全域以及未來網(wǎng)絡(luò)規(guī)劃提供參考；同時(shí)由于公司涉及網(wǎng)絡(luò)類系統(tǒng)之間是有強(qiáng)的關(guān)聯(lián)，最后要綜合分析各網(wǎng)絡(luò)類系統(tǒng)和應(yīng)用系統(tǒng)的關(guān)聯(lián)性，設(shè)計(jì)全網(wǎng)的網(wǎng)絡(luò)安全解決方案建議。應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)的安全評(píng)估如下圖所示：應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)是公司各獨(dú)立的業(yè)務(wù)單元，包括完整的主機(jī)、網(wǎng)絡(luò)、應(yīng)用各項(xiàng)內(nèi)容；其評(píng)估的目標(biāo)是從深度上（業(yè)務(wù)管理層<數(shù)據(jù)流，用戶角色權(quán)限…>；應(yīng)用層<數(shù)據(jù)庫(kù)，中間件>）；到廣度上系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出全面的安全風(fēng)險(xiǎn)分析報(bào)告。本安全評(píng)估包含：“IT設(shè)備弱點(diǎn)評(píng)估；網(wǎng)絡(luò)架構(gòu)安全評(píng)估；應(yīng)用系統(tǒng)安全評(píng)估和滲透測(cè)試”，其中IT設(shè)備弱點(diǎn)評(píng)估和前面一致。網(wǎng)絡(luò)架構(gòu)安全評(píng)估主要從網(wǎng)絡(luò)結(jié)構(gòu)上分析其應(yīng)用系統(tǒng)安全域劃分的合理性及訪問控制策略的符合性，具體方法和前面一致。應(yīng)用系統(tǒng)安全評(píng)估，主要包括：對(duì)業(yè)務(wù)邏輯和數(shù)據(jù)流的安全分析；對(duì)應(yīng)用平臺(tái)的安全分析。主要方法是：后臺(tái)分析（對(duì)業(yè)務(wù)系統(tǒng)設(shè)計(jì)、運(yùn)行相關(guān)技術(shù)文檔）、現(xiàn)場(chǎng)設(shè)備檢查（對(duì)應(yīng)用平臺(tái)和數(shù)據(jù)庫(kù)進(jìn)行安全狀況查看）、源代碼評(píng)估（對(duì)部分關(guān)鍵流程的代碼進(jìn)行分析）、系統(tǒng)管理員的顧問訪談（現(xiàn)狀存在的問題、安全事件、業(yè)務(wù)發(fā)展的影響及假設(shè)）。滲透測(cè)試，主要采用入侵和角色提升的手法，分析從外部越權(quán)侵入本系統(tǒng)的路徑和可能性；以及模擬不同用戶角色提升權(quán)限，進(jìn)行數(shù)據(jù)篡改或越權(quán)訪問的可能性分析。本評(píng)估的結(jié)果，除體現(xiàn)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；重點(diǎn)為系統(tǒng)整改，安全域劃分以及系統(tǒng)開發(fā)提供參考。技術(shù)難點(diǎn)和關(guān)鍵突破在進(jìn)行安全風(fēng)險(xiǎn)評(píng)估的過程中，由于其規(guī)模龐大，信息系統(tǒng)復(fù)雜，業(yè)務(wù)系統(tǒng)的特性和安全屬性存在巨大差異，因此對(duì)于評(píng)估標(biāo)準(zhǔn)的選擇，以及評(píng)估成果的適用性都提出了巨大的挑戰(zhàn)。評(píng)估指標(biāo)的定制面臨困難：安全沒有定制化的適用的安全指標(biāo)，造成評(píng)估結(jié)果不可信一般在安全評(píng)估時(shí)，評(píng)估服務(wù)提供者因?yàn)樵谠u(píng)估前并不熟悉和理解被評(píng)估方的業(yè)務(wù)特性和安全特性，所以不能定制非常適用的評(píng)估標(biāo)準(zhǔn)指標(biāo)，也就是說沒有非常適用，反映被評(píng)估對(duì)象特性的評(píng)估標(biāo)準(zhǔn)，一般都采用國(guó)際或國(guó)家標(biāo)準(zhǔn)。雖然國(guó)際或國(guó)家標(biāo)準(zhǔn)適用于所有信息系統(tǒng)，但其適用廣泛性原因，評(píng)估標(biāo)準(zhǔn)比較籠統(tǒng)，不反映行業(yè)特性和企業(yè)特性。這樣，因?yàn)槿狈m用的評(píng)估標(biāo)準(zhǔn)，造成的評(píng)估結(jié)果可用性差，也缺乏針對(duì)性，不能反映業(yè)務(wù)特性和行業(yè)特性。尤其是如果服務(wù)提供者對(duì)客戶首次評(píng)估，存在評(píng)估質(zhì)量較低的風(fēng)險(xiǎn)，這是評(píng)估服務(wù)業(yè)務(wù)一個(gè)多年存在的難題，很難解決。通常情況下，評(píng)估質(zhì)量取決于評(píng)估服務(wù)提供者和評(píng)估顧問的經(jīng)驗(yàn)是否豐富，是否非常熟悉被評(píng)估者的業(yè)務(wù)特性和行業(yè)特性。解決方法：在評(píng)估前設(shè)計(jì)行業(yè)安全評(píng)估指標(biāo)，并在評(píng)估開始階段盡可能的定制能否準(zhǔn)確定制行業(yè)安全評(píng)估指標(biāo)，即行業(yè)評(píng)估標(biāo)準(zhǔn)是評(píng)估項(xiàng)目能否成功的關(guān)鍵環(huán)節(jié)之一，它對(duì)評(píng)估結(jié)果的適用性和真實(shí)性起著關(guān)鍵作用。在作評(píng)估前，我們根據(jù)多年對(duì)不同行業(yè)的豐富評(píng)估經(jīng)驗(yàn)和深刻理解，根據(jù)不同的行業(yè)業(yè)務(wù)特性和安全要求特性的理解，總結(jié)出反映行業(yè)特性的安全要求，設(shè)計(jì)出針對(duì)不同行業(yè)的安全對(duì)策指標(biāo)體系，再細(xì)化成不同行業(yè)的安全評(píng)估指標(biāo)。強(qiáng)調(diào)評(píng)估成果的適用性面臨困難：評(píng)估成果和建議難以實(shí)施，技術(shù)和管理難以有效融合，缺乏抗打擊能力和可控性信息安全問題包含管理方面問題、技術(shù)方面問題以及兩者的交叉，它從來都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、業(yè)務(wù)流程和操作流程的改變而改變?，F(xiàn)有的安全防護(hù)措施大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，單純部署安全產(chǎn)品是一種靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是是片面的。一旦單點(diǎn)防護(hù)措施被突破、繞過或失效，整個(gè)安全保障將會(huì)失效，威脅將影響到整個(gè)信息系統(tǒng)。評(píng)估成果中解決方案在設(shè)計(jì)過程中需要系統(tǒng)化的全面考慮，避免單點(diǎn)考慮，形成系統(tǒng)化措施。解決方案：強(qiáng)調(diào)多重深度保障和抗打擊能力，強(qiáng)調(diào)評(píng)估成果的可用性27號(hào)文件提出“堅(jiān)持積極防御、綜合防范的方針”，《美國(guó)國(guó)家安全戰(zhàn)略》中指出，國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施的“這些關(guān)鍵功能遭到的任何破壞或操縱必須控制在歷時(shí)短、頻率小、可控、地域上可隔離以及對(duì)利益損害最小這樣一個(gè)規(guī)模上”。兩者都強(qiáng)調(diào)了抗打擊能力和可控性，這就要求采用多層保護(hù)的深度防御策略，實(shí)現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單點(diǎn)突破。xx我司在輸出評(píng)估結(jié)果時(shí)，會(huì)將管理手段和安全技術(shù)緊密結(jié)合，充分吸收業(yè)務(wù)特性，建立一個(gè)適用性強(qiáng)、可行性強(qiáng)并具有多重深度保障手段的防護(hù)網(wǎng)絡(luò)。信息資產(chǎn)調(diào)查和賦值信息資產(chǎn)概述資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別具有不同的價(jià)值屬性和存在特點(diǎn)，存在的弱點(diǎn)、面臨的威脅、需要進(jìn)行的保護(hù)和安全控制都各不相同。為此，有必要對(duì)企業(yè)、機(jī)構(gòu)中的信息資產(chǎn)進(jìn)行科學(xué)識(shí)別，以便于進(jìn)行后期的信息資產(chǎn)抽樣、制定風(fēng)險(xiǎn)評(píng)估策略、分析安全功能需求等活動(dòng)。雖然信息資產(chǎn)具有非常廣泛的含義，但這里將信息資產(chǎn)定義如下：信息資產(chǎn)是指組織的信息系統(tǒng)、其提供的服務(wù)以及處理的數(shù)據(jù)。信息資產(chǎn)分類參照GB20984對(duì)信息資產(chǎn)的描述和定義，結(jié)合安全評(píng)估的經(jīng)驗(yàn)，將信息資產(chǎn)按照下面的方法進(jìn)行分類：類別解釋/示例網(wǎng)絡(luò)設(shè)備一臺(tái)或一組互備的網(wǎng)絡(luò)設(shè)備，包括網(wǎng)絡(luò)設(shè)備中的硬件，IOS，配置文件數(shù)據(jù)及其提供的網(wǎng)絡(luò)服務(wù)。包括路由器、交換機(jī)、RAS等，防火墻、IDS等安全設(shè)備除外。服務(wù)器一臺(tái)或一組服務(wù)器，包括服務(wù)器硬件、運(yùn)行于其上的OS、通用應(yīng)用、服務(wù)，數(shù)據(jù)庫(kù)、磁盤陣列等。工作站客戶端用機(jī)、個(gè)人用機(jī)等。安全設(shè)備作為安全用途的硬件和軟件,如:防火墻、IDS、AV等。存儲(chǔ)設(shè)備提供存儲(chǔ)用途的硬件和軟件，如：磁盤陣列等。業(yè)務(wù)系統(tǒng)指組織為其應(yīng)用而開發(fā)或購(gòu)買的各類應(yīng)用軟件及其提供的業(yè)務(wù)服務(wù)。應(yīng)用平臺(tái)軟件主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫(kù)WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括數(shù)據(jù)庫(kù)數(shù)據(jù)、存放于硬盤上的文件、代碼；財(cái)務(wù)數(shù)據(jù)及書面報(bào)告等。組織和人員指和安全相關(guān)的組織和人員，包括各級(jí)安全組織，安全人員、各級(jí)管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等物理環(huán)境指支持IT系統(tǒng)運(yùn)行的基礎(chǔ)物理設(shè)施，如：機(jī)房、空調(diào)、UPS、監(jiān)控器等。網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備是指構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的設(shè)備，軟件和介質(zhì)。包括路由器、交換機(jī)、通信終端和網(wǎng)關(guān)以及網(wǎng)絡(luò)設(shè)備控制臺(tái)等硬件設(shè)施和軟件系統(tǒng)，為了更清晰地區(qū)別資產(chǎn)的安全屬性，網(wǎng)絡(luò)設(shè)備類資產(chǎn)不包括防火墻、VPN、網(wǎng)絡(luò)入侵檢測(cè)等網(wǎng)絡(luò)安全產(chǎn)品。服務(wù)器服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件的計(jì)算環(huán)境。包括大型機(jī)、小型機(jī)、Unix服務(wù)器、Windows服務(wù)器、移動(dòng)計(jì)算設(shè)備、應(yīng)用加密機(jī)和磁盤陣列等計(jì)算設(shè)備硬件及其操作系統(tǒng)、數(shù)據(jù)庫(kù)。除此之外，行業(yè)特殊的設(shè)備，例如銀行的ATM等，也屬于主機(jī)系統(tǒng)。同一臺(tái)主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對(duì)工作站、移動(dòng)計(jì)算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。工作站工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件客戶端軟件的計(jì)算環(huán)境和OA系統(tǒng)中個(gè)人用機(jī)。同一臺(tái)主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對(duì)工作站、移動(dòng)計(jì)算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。安全設(shè)備安全設(shè)備主要指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護(hù)用途的硬件設(shè)施和軟件系統(tǒng)，包括：防火墻、VPN、網(wǎng)絡(luò)入侵檢測(cè)、網(wǎng)閘、防病毒系統(tǒng)以及相關(guān)系統(tǒng)的控制臺(tái)軟硬件設(shè)施。存儲(chǔ)設(shè)備存儲(chǔ)設(shè)備主要指在信息系統(tǒng)中用作數(shù)據(jù)存儲(chǔ)用途的硬件設(shè)施和軟件系統(tǒng)，并均能接入到網(wǎng)絡(luò)中的信息資產(chǎn)。包括：DAS、NAS、SAN等軟硬件設(shè)施。業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng)主要指為業(yè)務(wù)生產(chǎn)、管理支撐及辦公等業(yè)務(wù)需求提供服務(wù)的軟件系統(tǒng)，此類資產(chǎn)在信息資產(chǎn)中占有非常重要的地位。本項(xiàng)目所指的業(yè)務(wù)系統(tǒng)是指獨(dú)立應(yīng)用、運(yùn)作的系統(tǒng)，例如短消息業(yè)務(wù)系統(tǒng)、MISC系統(tǒng)、辦公自動(dòng)化系統(tǒng)、管理信息系統(tǒng)等，網(wǎng)管系統(tǒng)等。業(yè)務(wù)系統(tǒng)屬于需要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。業(yè)務(wù)系統(tǒng)作為獨(dú)立的資產(chǎn)存在的同時(shí)，對(duì)于其他資產(chǎn)又存在如下關(guān)系：作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在其資產(chǎn)賦值時(shí)，作為考慮的因素。應(yīng)用平臺(tái)軟件主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫(kù)WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；通常將其所代表的安全屬性落實(shí)到如下部分來體現(xiàn)：應(yīng)用平臺(tái)軟件作為“服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出，在進(jìn)行資產(chǎn)賦值和弱點(diǎn)的時(shí)候，作為考慮的因素。數(shù)據(jù)及文檔數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括源代碼、數(shù)據(jù)庫(kù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、客戶數(shù)據(jù)、各種數(shù)據(jù)資料、系統(tǒng)文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊(cè)等。數(shù)據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識(shí)產(chǎn)權(quán)、競(jìng)爭(zhēng)優(yōu)勢(shì)、商業(yè)秘密的載體。屬于需要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。通常，數(shù)據(jù)及文檔類資產(chǎn)需要保護(hù)的安全屬性是機(jī)密性。例如，公司的財(cái)務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機(jī)密性的數(shù)據(jù)。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。企業(yè)內(nèi)部對(duì)于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性（Sensitivity）來進(jìn)行，與機(jī)密性非常類似。例如，下表是常用的一種數(shù)據(jù)分類方法：簡(jiǎn)稱解釋/舉例公開Public不需要任何保密機(jī)制和措施，可以公開使用（例如產(chǎn)品發(fā)表新聞等）。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用（例如合同等）秘密Private由和項(xiàng)目相關(guān)公司和客戶公司成員使用機(jī)密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時(shí)間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀但是，由于數(shù)據(jù)及文檔數(shù)量巨大，且對(duì)其分類存在巨大的偏差和困難，通常將其所代表的安全屬性落實(shí)到如下部分來體現(xiàn)：作為“服務(wù)器、工作站、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在進(jìn)行資產(chǎn)賦值和弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。作為“組織和人員”資產(chǎn)的屬性之一列出。在進(jìn)行弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。組織和人員主要指企業(yè)與信息相關(guān)的人員和組織，包括各級(jí)安全組織，安全人員、各級(jí)管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等與被評(píng)估信息系統(tǒng)相關(guān)人員和組織。組織和人員作為獨(dú)立的資產(chǎn)存在進(jìn)行識(shí)別，但不對(duì)其進(jìn)行資產(chǎn)賦值，對(duì)其安全性因素的考慮如下：作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。物理環(huán)境主要指支持信息系統(tǒng)運(yùn)行的環(huán)境的非IT類的設(shè)備，主要包括機(jī)房、UPS、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等。此處一般屬于物理安全的問題，主要的設(shè)備一般集中在機(jī)房?jī)?nèi)，所以評(píng)估時(shí)應(yīng)重點(diǎn)考慮機(jī)房提供的環(huán)境安全。物理環(huán)境與其他資產(chǎn)存在如下關(guān)系：物理位置作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在其弱點(diǎn)及威脅評(píng)估時(shí)，作為考慮的因素。資產(chǎn)識(shí)別過程繪制拓?fù)鋱D資產(chǎn)識(shí)別的首要步驟是繪制拓?fù)鋱D。在拓?fù)鋱D中盡可能真實(shí)地描繪拓?fù)鋱D。一般來說，拓?fù)鋱D越詳細(xì)，資產(chǎn)識(shí)別的精度也就越高。如果系統(tǒng)非常復(fù)雜，一張拓?fù)鋱D很難描述清楚，則應(yīng)采用多張拓?fù)鋱D。在安全咨詢項(xiàng)目中，顧問應(yīng)要求用戶首先提供用戶事先拓?fù)鋱D。并以此為基礎(chǔ)改成標(biāo)準(zhǔn)化的拓?fù)鋱D。確定業(yè)務(wù)系統(tǒng)繪制拓?fù)鋱D以后，通過訪談等方式，確定業(yè)務(wù)系統(tǒng)，且識(shí)別業(yè)務(wù)系統(tǒng)的功能類型。確定第一層保護(hù)對(duì)象框架根據(jù)業(yè)務(wù)系統(tǒng)的各服務(wù)功能，對(duì)劃分出第一層保護(hù)對(duì)象框架，劃分的原則：根據(jù)業(yè)務(wù)的類型：比如是生產(chǎn)業(yè)務(wù)，管理支撐業(yè)務(wù)，還是辦公業(yè)務(wù)等。根據(jù)業(yè)務(wù)的重要性：比如核心區(qū)域，非核心區(qū)域等。劃分出存在哪些外部區(qū)域確定第二層保護(hù)對(duì)象框架第二層保護(hù)對(duì)象框架在第一層的區(qū)域內(nèi)劃分，劃分原則：通常依據(jù)業(yè)務(wù)系統(tǒng)及其提供的功能特性順序識(shí)別資產(chǎn)識(shí)別出系統(tǒng)級(jí)保護(hù)對(duì)象框架后，才真正開始進(jìn)行資產(chǎn)識(shí)別。在這一階段，根據(jù)信息資產(chǎn)的種類來進(jìn)行識(shí)別。并將其歸屬入相應(yīng)的保護(hù)對(duì)象框架，或在過程中創(chuàng)建下一級(jí)保護(hù)對(duì)象框架。信息資產(chǎn)分類整體圖網(wǎng)絡(luò)設(shè)備服務(wù)器網(wǎng)絡(luò)設(shè)備服務(wù)器工作站安全設(shè)備存儲(chǔ)設(shè)備組織和人員業(yè)務(wù)系統(tǒng)信息資產(chǎn)調(diào)查表屬性描述資產(chǎn)名稱在一個(gè)業(yè)務(wù)系統(tǒng)中不能重名資產(chǎn)編號(hào)全局唯一資產(chǎn)類型資產(chǎn)的類別屬性包括服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等資產(chǎn)子類型子類型是對(duì)類型的進(jìn)一步說明，例如網(wǎng)絡(luò)設(shè)備中的路由器、交換機(jī)等操作系統(tǒng)類型設(shè)備所承載的系統(tǒng)的類型，例如包括windows2000,windows2003,hp-unix,aix,solaris等操作系統(tǒng)版本號(hào)各類操作系統(tǒng)的版本，例如solaris2.8，8.0等操作系統(tǒng)補(bǔ)丁各類操作系統(tǒng)的安全補(bǔ)丁信息應(yīng)用軟件平臺(tái)應(yīng)用系統(tǒng)所需的應(yīng)用軟件，例如WEB、J2EE等應(yīng)用平臺(tái)軟件版本應(yīng)用軟件所對(duì)應(yīng)的相應(yīng)版本。應(yīng)用平臺(tái)軟件補(bǔ)丁應(yīng)用軟件廠商發(fā)布的安全補(bǔ)丁。設(shè)備型號(hào)網(wǎng)絡(luò)、服務(wù)器、工作站等的硬件設(shè)備型號(hào)設(shè)備工作方式硬件、系統(tǒng)之間的工作方式，例如熱備、冷備、負(fù)載均衡等用途信息資產(chǎn)的主要功能。資產(chǎn)所在地理位置信息資產(chǎn)所處的地域、機(jī)房和機(jī)柜等資產(chǎn)所在業(yè)務(wù)系統(tǒng)和部門信息資產(chǎn)所屬的業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬的部門名稱資產(chǎn)責(zé)任人信息資產(chǎn)在登記過程中的責(zé)任人。資產(chǎn)維護(hù)人維護(hù)信息資產(chǎn)的人員名稱資產(chǎn)安全三性安全屬性，機(jī)密性、完整性和可用性資產(chǎn)創(chuàng)建時(shí)間信息資產(chǎn)入網(wǎng)的時(shí)間資產(chǎn)最后修改時(shí)間信息資產(chǎn)功能修改、人員變換等信息更換的最后時(shí)間資產(chǎn)最后修改人信息資產(chǎn)功能修改、人員變換等信息更換的修改人員名稱保護(hù)對(duì)象框架一般來說，信息系統(tǒng)的資產(chǎn)數(shù)量十分龐大，為了更好的研究其計(jì)算機(jī)安全問題，還需要從龐大的信息資產(chǎn)中提煉出保護(hù)對(duì)象。保護(hù)對(duì)象框架是指以結(jié)構(gòu)化的方法表達(dá)信息系統(tǒng)的框架模型。所謂結(jié)構(gòu)化是指通過特定的結(jié)構(gòu)將問題拆分成子問題的迭代方法。例如“魚刺圖”或“問題樹”。結(jié)構(gòu)化方法包括以下幾條基本原則：充分覆蓋所有子問題的總和必須覆蓋原問題。如果不能充分覆蓋，那么解決問題的方法就可能出現(xiàn)遺漏，嚴(yán)重影響本方法的可行性?；ゲ恢丿B所有子問題都不允許出現(xiàn)重復(fù)，類似以下的情況不應(yīng)出現(xiàn)在一個(gè)框架中：兩個(gè)不同的子問題其實(shí)是同一個(gè)子問題的兩種表述；某一個(gè)子問題其實(shí)是另外兩個(gè)問題或多個(gè)問題的合并；不可再細(xì)分所有子問題都必須細(xì)分到不能再被細(xì)分。當(dāng)一個(gè)問題經(jīng)過框架分析后，所有不可再細(xì)分的子問題構(gòu)成了一個(gè)“框架”。保護(hù)對(duì)象的主要作用為：有助于信息資產(chǎn)識(shí)別的全面性。在列舉信息資產(chǎn)時(shí)，保護(hù)對(duì)象框架有助于識(shí)別者系統(tǒng)的進(jìn)行思考；從資產(chǎn)安全估價(jià)到區(qū)域的安全性賦值，有助于降低風(fēng)險(xiǎn)分析的難度，同時(shí)確保風(fēng)險(xiǎn)分析的有效性。保護(hù)對(duì)象框架內(nèi)容保護(hù)對(duì)象框架主要包括計(jì)算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施四部分；計(jì)算區(qū)域還可作為下一級(jí)保護(hù)對(duì)象，向下細(xì)分為下一級(jí)計(jì)算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施。1）計(jì)算區(qū)域計(jì)算區(qū)域是指由相同功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來源的一組信息系統(tǒng)組成。同一計(jì)算區(qū)域內(nèi)的信息資產(chǎn)在安全性上具有較強(qiáng)的同質(zhì)性。計(jì)算區(qū)域還可以按照安全性能進(jìn)一步細(xì)分，直至到安全性完全同質(zhì)。2）網(wǎng)絡(luò)及基礎(chǔ)設(shè)施網(wǎng)絡(luò)及基礎(chǔ)設(shè)施是指相同功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來源的一組網(wǎng)絡(luò)系統(tǒng)組成。通常包括路由器，交換機(jī)和防火墻等提供網(wǎng)路服務(wù)的局域網(wǎng)和廣域網(wǎng)。3）邊界邊界是指兩個(gè)區(qū)域或兩組區(qū)域之間的隔離功能集。邊界是一組功能集合，包括訪問控制，身份認(rèn)證等。4）支撐性基礎(chǔ)設(shè)施支撐性基礎(chǔ)設(shè)施是指在區(qū)域內(nèi)提供安全保障功能的功能集。支撐性基礎(chǔ)設(shè)施是一組功能集合，包括入侵檢測(cè)、審計(jì)及計(jì)算機(jī)病毒防護(hù)等。保護(hù)對(duì)象和信息資產(chǎn)保護(hù)對(duì)象框架就是信息系統(tǒng)的真實(shí)模型，計(jì)算區(qū)域、網(wǎng)絡(luò)與基礎(chǔ)設(shè)施作為保護(hù)對(duì)象框架的兩類基本元素，分別對(duì)應(yīng)了不同信息資產(chǎn)的集合。計(jì)算區(qū)域：對(duì)應(yīng)信息資產(chǎn)，通常包括：工作站、存儲(chǔ)設(shè)備，服務(wù)器，安全設(shè)備（不具有訪問控制及邊界隔離功能）；當(dāng)計(jì)算區(qū)域作為一級(jí)保護(hù)對(duì)象框架時(shí)，應(yīng)按照保護(hù)對(duì)象框架的思路向下繼續(xù)分解。網(wǎng)絡(luò)與基礎(chǔ)設(shè)施：對(duì)應(yīng)信息資產(chǎn)，通常包括：網(wǎng)絡(luò)設(shè)備，安全設(shè)備（具有訪問控制及邊界隔離功能）。邊界：對(duì)應(yīng)信息資產(chǎn)，通常包括:網(wǎng)絡(luò)設(shè)備(具有訪問控制及邊界隔離的功能模塊)，安全設(shè)備（具有訪問控制及邊界隔離功能）。支撐性基礎(chǔ)設(shè)施：對(duì)應(yīng)信息資產(chǎn)，通常包括：安全設(shè)備（不具有訪問控制及邊界隔離功能）如上信息資產(chǎn)和保護(hù)對(duì)象框架的關(guān)系，都為各類信息資產(chǎn)的一個(gè)或多個(gè)屬性。對(duì)于業(yè)務(wù)系統(tǒng)資產(chǎn)來說，在確立保護(hù)對(duì)象框架時(shí)，可以將其作為一個(gè)獨(dú)立的保護(hù)對(duì)象來看待。對(duì)于組織和人員資產(chǎn)，通過業(yè)務(wù)系統(tǒng)的屬性和相應(yīng)的保護(hù)對(duì)象框架相關(guān)聯(lián)。信息資產(chǎn)賦值信息資產(chǎn)識(shí)別完成后，形成了一個(gè)信息資產(chǎn)的清單，但對(duì)于大型組織來說，信息資產(chǎn)數(shù)目十分龐大，所以需要確認(rèn)資產(chǎn)的價(jià)值和重要性，重點(diǎn)保護(hù)關(guān)鍵的、重要的資產(chǎn)，并便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn)、威脅和風(fēng)險(xiǎn)屬性，并進(jìn)行量化，因此需要對(duì)資產(chǎn)進(jìn)行估價(jià)。安全風(fēng)險(xiǎn)評(píng)估中所指的信息資產(chǎn)價(jià)值有別于資產(chǎn)的帳面價(jià)值和重置價(jià)值，而是指資產(chǎn)在安全方面的相對(duì)價(jià)值。本文中所指的信息資產(chǎn)價(jià)值全部都表示相對(duì)價(jià)值。在本文中，信息資產(chǎn)的安全價(jià)值主要是指其機(jī)密性、完整性和可用性。資產(chǎn)的安全價(jià)值具有很強(qiáng)的時(shí)間特性，所以應(yīng)該根據(jù)時(shí)間變化的頻度制定資產(chǎn)相關(guān)的評(píng)估和安全策略的頻度。例如，某公司重要的市場(chǎng)活動(dòng)策劃方案（數(shù)據(jù)資產(chǎn)），在活動(dòng)開始之前，為達(dá)成市場(chǎng)目標(biāo)，需要對(duì)該數(shù)據(jù)資產(chǎn)進(jìn)行機(jī)密性、完整性和可用性方面的保護(hù)。但是在該活動(dòng)之后，策劃已經(jīng)基本上都傳達(dá)給了大眾，所以資產(chǎn)價(jià)值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護(hù)意義。信息資產(chǎn)估價(jià)方法信息資產(chǎn)估價(jià)的方法有定性、半定量、定量三種，鑒于定量估價(jià)的巨大工作量和技術(shù)難度，所以采用定性估價(jià)的方法。信息資產(chǎn)分別具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。通過考察三種不同安全屬性，可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的定性的數(shù)值。在信息資產(chǎn)估價(jià)時(shí)，主要對(duì)資產(chǎn)的這三個(gè)安全屬性分別賦予價(jià)值，以此反映出信息資產(chǎn)的價(jià)值。機(jī)密性、完整性和可用性的定義如下：保密性：確保只有經(jīng)過授權(quán)的人才能訪問信息；完整性：保護(hù)信息和信息的處理方法準(zhǔn)確而完整；可用性：確保經(jīng)過授權(quán)的用戶在需要時(shí)可以訪問信息并使用相關(guān)信息資產(chǎn)。對(duì)安全屬性賦值時(shí)主要考慮的是對(duì)整個(gè)評(píng)估體影響和損害，然后按照下面的賦值標(biāo)準(zhǔn)來衡量。這里整個(gè)評(píng)估體是指本次評(píng)估的主體，包含本次評(píng)估范圍內(nèi)的所有信息資產(chǎn)。下面描述信息資產(chǎn)賦值時(shí)采用的標(biāo)準(zhǔn)。要求顧問在評(píng)估工作中，嚴(yán)格依照賦值標(biāo)準(zhǔn)進(jìn)行賦值，并且所有顧問對(duì)賦值標(biāo)準(zhǔn)的理解應(yīng)該達(dá)成一致，以避免賦值的隨意性和不一致性，從而避免降低評(píng)估工作的質(zhì)量。半定量化的資產(chǎn)賦值在分析資產(chǎn)的安全性價(jià)值時(shí)，分析其真實(shí)數(shù)值非常困難，因此在本項(xiàng)目中我們采用半定量化的方式，即資產(chǎn)價(jià)值等級(jí)劃分。在本項(xiàng)目中，我們對(duì)于所有資產(chǎn)的機(jī)密性、完整性和可用性價(jià)值，均劃分為5級(jí)。其中5代表資產(chǎn)安全性價(jià)值最高，1代表資產(chǎn)性價(jià)值最低。采用這種方法，使得資產(chǎn)賦值簡(jiǎn)便易行，同時(shí)也體現(xiàn)了不同資產(chǎn)之間安全價(jià)值的差距。其缺點(diǎn)是由于缺乏統(tǒng)一準(zhǔn)則，對(duì)于每項(xiàng)資產(chǎn)，其機(jī)密性、完整性和可用性三者之間價(jià)值是不可比的。也就是說，如果一項(xiàng)資產(chǎn)的機(jī)密性和可用性賦值都是4，并不意味該資產(chǎn)的機(jī)密性和可用性價(jià)值相同。資產(chǎn)賦值方法采用5級(jí)標(biāo)準(zhǔn)，較好地反映了資產(chǎn)價(jià)值的差異，但對(duì)于用戶和顧問來說，在為某一項(xiàng)資產(chǎn)的機(jī)密性、完整性或可用性價(jià)值賦值時(shí)，仍然很難在相鄰的兩個(gè)數(shù)值之間作出選擇。為此，本項(xiàng)目中提出了一套方法，通過將機(jī)密性、完整性和可用性的每個(gè)值分解為兩個(gè)相乘的指標(biāo)，而每個(gè)指標(biāo)均分為三級(jí)。從而得出五級(jí)安全價(jià)值。V={Vc,Vi,Va} 資產(chǎn)的安全價(jià)值由機(jī)密性價(jià)值、完整性價(jià)值和可用性價(jià)值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個(gè)安全性價(jià)值分別分解為兩個(gè)相乘的指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個(gè)指標(biāo)（三級(jí)）賦值，然后查上表得出價(jià)值（五級(jí)）。機(jī)密性賦值Vc（資產(chǎn)的機(jī)密性價(jià)值）是指該資產(chǎn)被暴露時(shí)對(duì)組織造成的損害，因此資產(chǎn)的機(jī)密性價(jià)值可分解為以下兩個(gè)指標(biāo)：Xc=資產(chǎn)被暴露時(shí)與所造成最嚴(yán)重后果之間的關(guān)系；Yc＝后果對(duì)組織的最嚴(yán)重?fù)p害程度；Vc=Xc*YcXc（資產(chǎn)被暴露時(shí)與造成后果之間的關(guān)系）可分為下述三級(jí)：直接產(chǎn)生后果：即當(dāng)資產(chǎn)被暴露時(shí)，后果既已發(fā)生。例如，組織的商業(yè)秘密，要求密級(jí)的涉密信息，這些信息一旦被暴露，后果隨之發(fā)生，無法挽回。容易產(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果非常容易發(fā)生。例如當(dāng)操作系統(tǒng)的超級(jí)用戶口令失密時(shí)，如果獲知者無惡意，后果可能不會(huì)發(fā)生，但是如果獲知者具有惡意，那么后果非常容易發(fā)生?？赡墚a(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果有可能會(huì)發(fā)生，但離后果發(fā)生仍存在一定距離。例如某客戶端軟件被盜用，在沒有得到服務(wù)器驗(yàn)證口令之前，后果仍未造成。Yc（后果對(duì)組織的損害程度）包括下述三種情況：嚴(yán)重?fù)p害：例如引起法律糾份、造成聲譽(yù)下降或帶來嚴(yán)重的經(jīng)濟(jì)損失；中等損害：例如局部范圍內(nèi)的聲譽(yù)下降或明顯的經(jīng)濟(jì)損失；輕度損害：例如輕微的經(jīng)濟(jì)損失。完整性賦值Vi（資產(chǎn)的完整性價(jià)值）是指該資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)對(duì)組織造成損害，因此資產(chǎn)的完整性價(jià)值可分解為以下兩個(gè)指標(biāo)：Xi=資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)與所造成最嚴(yán)重后果之間的關(guān)系；Yi＝后果對(duì)組織的最嚴(yán)重?fù)p害程度；Vi=Xi*YiXi（資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)與造成后果之間的關(guān)系）可分為下述三級(jí)：直接產(chǎn)生后果：即當(dāng)資產(chǎn)不準(zhǔn)確或被篡改時(shí)，后果既已發(fā)生。例如，數(shù)據(jù)庫(kù)中的交易記錄。容易產(chǎn)生后果：當(dāng)資產(chǎn)不準(zhǔn)確或被篡改時(shí)，后果非常容易發(fā)生。例如當(dāng)應(yīng)用軟件的流程被篡改?？赡墚a(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果有可能會(huì)發(fā)生，例如操作系統(tǒng)被種入木馬等。Yc（后果對(duì)組織的損害程度）包括下述三種情況：嚴(yán)重?fù)p害：例如引起法律糾份、造成聲譽(yù)下降或帶來嚴(yán)重的經(jīng)濟(jì)損失；中等損害：例如局部范圍內(nèi)的聲譽(yù)下降或明顯的經(jīng)濟(jì)損失；輕度損害：例如輕微的經(jīng)濟(jì)損失?？捎眯再x值Va（資產(chǎn)的可用性價(jià)值）是指當(dāng)某一項(xiàng)資產(chǎn)完全不可用時(shí)對(duì)業(yè)務(wù)系統(tǒng)所造成的后果。它可被分解為以下兩個(gè)指標(biāo)：Xa＝資產(chǎn)不可用時(shí)對(duì)某個(gè)業(yè)務(wù)的影響Ya＝該業(yè)務(wù)系統(tǒng)的關(guān)鍵性程度Va=Xa*YaXa（資產(chǎn)不可用時(shí)對(duì)某個(gè)業(yè)務(wù)的影響）可分為下述三級(jí)：整體不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)即不可用。例如，服務(wù)器當(dāng)機(jī)，主干網(wǎng)絡(luò)癱瘓等。局部不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)局部不可用。例如局部網(wǎng)絡(luò)癱瘓，網(wǎng)絡(luò)阻塞等。個(gè)體不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)的某個(gè)或某幾個(gè)客戶不可用，例如終端故障，客戶機(jī)當(dāng)機(jī)等。Ya（該業(yè)務(wù)系統(tǒng)的關(guān)鍵性程度）包括下述三種情況：核心業(yè)務(wù)系統(tǒng)；關(guān)鍵業(yè)務(wù)系統(tǒng)；一般業(yè)務(wù)系統(tǒng)。采用5級(jí)標(biāo)準(zhǔn)，較好地反映了資產(chǎn)價(jià)值的差異，但對(duì)于用戶和顧問來說，在為某一項(xiàng)資產(chǎn)的機(jī)密性、完整性或可用性價(jià)值賦值時(shí)，仍然很難在相鄰的兩個(gè)數(shù)值之間作出選擇。為此，本項(xiàng)目中提出了一套方法，通過將機(jī)密性、完整性和可用性的每個(gè)值分解為兩個(gè)相乘的指標(biāo)，而每個(gè)指標(biāo)均分為三級(jí)。從而得出五級(jí)安全價(jià)值。V={Vc,Vi,Va} 資產(chǎn)的安全價(jià)值由機(jī)密性價(jià)值、完整性價(jià)值和可用性價(jià)值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個(gè)安全性價(jià)值分別分解為兩個(gè)相乘的指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個(gè)指標(biāo)（三級(jí)）賦值，然后查上表得出價(jià)值（五級(jí)）。賦值工作操作方法指南首先對(duì)各資產(chǎn)賦值通過對(duì)各資產(chǎn)賦值，我們可以獲得在同一個(gè)區(qū)域內(nèi)核心資產(chǎn)。對(duì)保護(hù)對(duì)象框架賦值在資產(chǎn)識(shí)別和賦值過程中，最大的障礙在于資產(chǎn)數(shù)量過多、過雜，得不到全局、宏觀的分析。通過對(duì)保護(hù)對(duì)象框架進(jìn)行賦值，可以同一層保護(hù)對(duì)象框架內(nèi)的核心保護(hù)對(duì)象框架。保護(hù)對(duì)象框架賦值除了要考慮其所屬資產(chǎn)的價(jià)值，還要綜合考慮到其框架內(nèi)業(yè)務(wù)系統(tǒng)、數(shù)據(jù)及文檔、組織和人員、物理環(huán)境等因素。業(yè)務(wù)系統(tǒng)的資產(chǎn)賦值與其映射的保護(hù)對(duì)象一致。賦值標(biāo)準(zhǔn)的理解資產(chǎn)賦值時(shí)，賦值的原則是這個(gè)資產(chǎn)或資產(chǎn)組在某個(gè)安全屬性方面的價(jià)值或者在安全屬性方面受到損失和破壞時(shí)對(duì)整個(gè)評(píng)估體的影響和損害，安全屬性指機(jī)密性、完整性和可用性。理解賦值標(biāo)準(zhǔn)時(shí)，這個(gè)安全屬性價(jià)值非常關(guān)鍵，對(duì)整個(gè)評(píng)估體具有致命性的潛在影響或無法接受、特別不愿接受的影響和損害，符合這樣的描述時(shí)表明這個(gè)安全屬性值為4，其余類推。這里整個(gè)評(píng)估體是指本次評(píng)估的主體，可能是評(píng)估范圍內(nèi)的所有信息資產(chǎn)組成的系統(tǒng)，如ERP信息系統(tǒng)；也可能是一個(gè)部門，如IT部門；也可能時(shí)整個(gè)企業(yè)或組織。賦值時(shí)考慮的是對(duì)整個(gè)評(píng)估體的影響，注意不要擴(kuò)大到整個(gè)企業(yè)或集團(tuán)，也不要縮小到部門。顧問在工作中，開始一般不要直接問客戶應(yīng)該賦值為幾，應(yīng)該是問客戶這個(gè)安全屬性完全損害或破壞時(shí)，對(duì)企業(yè)的影響如何，對(duì)關(guān)鍵業(yè)務(wù)的影響如何，企業(yè)的接受程度如何，然后根據(jù)影響程度按照賦值標(biāo)準(zhǔn)自己來判斷應(yīng)該賦值為幾。當(dāng)然，隨著賦值工作的進(jìn)行，當(dāng)客戶完全理解賦值標(biāo)準(zhǔn)后可以由客戶進(jìn)行判斷，顧問如有疑問進(jìn)行詳細(xì)詢問和修正。獨(dú)立資產(chǎn)按照賦值標(biāo)準(zhǔn)來理解，對(duì)資產(chǎn)組需要考慮組中所有資產(chǎn)的安全屬性，然后綜合起來作為一個(gè)整體的概念來賦值。選擇訪談對(duì)象的原則賦值時(shí)，選擇訪談對(duì)象的原則是找具有企業(yè)整體概念，又清楚各個(gè)具體資產(chǎn)的情況的人?？梢哉乙粋€(gè)知道所有情況的人，也可以找?guī)讉€(gè)人。人員選擇時(shí)一般選擇中層干部，具有一定企業(yè)整體概念，又熟悉具體工作。如果選擇多人，一般資產(chǎn)可以找安全主管或網(wǎng)管主管，業(yè)務(wù)系統(tǒng)的資產(chǎn)找業(yè)務(wù)部門主管或維護(hù)主管。對(duì)于一個(gè)資產(chǎn)的價(jià)值，可能不同的人理解會(huì)不一樣，賦出來也不同，因?yàn)檫@個(gè)資產(chǎn)對(duì)不同的人具有不同的意義，但從效率來講，一個(gè)資產(chǎn)的賦值最好找一個(gè)人來訪談，不推薦找一組不同性質(zhì)和級(jí)別的人來訪談，再把結(jié)果綜合，所以選擇訪談對(duì)象要比較謹(jǐn)慎，盡可能按照上述的原則找到合適的人。賦值本來就是個(gè)定性分析，允許存在一個(gè)粒度的誤差，但如果顧問覺得有明顯疑問或較大誤差，也可以找其他人來核實(shí)。在只找一個(gè)人來訪談時(shí)，為了避免太大的誤差和明顯錯(cuò)誤，影響整個(gè)項(xiàng)目的質(zhì)量，一般最后賦值結(jié)束后，要把結(jié)果向?qū)Ψ降捻?xiàng)目經(jīng)理核實(shí)，需要對(duì)方確認(rèn)。此步工作不能省略。賦值訪談時(shí)應(yīng)向?qū)Ψ秸f明，考慮影響的出發(fā)點(diǎn)應(yīng)是對(duì)整個(gè)評(píng)估體，使之站在對(duì)整個(gè)評(píng)估體的高度來。IT設(shè)備評(píng)估IT設(shè)備評(píng)估是所有系統(tǒng)都要進(jìn)行的，也是非重點(diǎn)系統(tǒng)安全評(píng)估的主要內(nèi)容，業(yè)務(wù)系統(tǒng)的正常運(yùn)行不僅僅需要高效的網(wǎng)絡(luò)傳輸和交換，還需要主機(jī)、服務(wù)器的良好運(yùn)轉(zhuǎn)，也需要足夠的安全保證。通過IT設(shè)備安全評(píng)估，發(fā)現(xiàn)系統(tǒng)的風(fēng)險(xiǎn)點(diǎn)和脆弱性，為設(shè)備安全加固提供指導(dǎo)和依據(jù)，從而提高系統(tǒng)安全狀況，保障業(yè)務(wù)系統(tǒng)的高性能、高可靠性、高可用性、高效率運(yùn)行。IT設(shè)備評(píng)估內(nèi)容包括：主機(jī)操作系統(tǒng)弱點(diǎn)評(píng)估、網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估、安全設(shè)備弱點(diǎn)評(píng)估。評(píng)估的過程IT設(shè)備評(píng)估的評(píng)估過程，根據(jù)內(nèi)容和方法分為兩種：現(xiàn)場(chǎng)操作的評(píng)估過程；后臺(tái)分析的評(píng)估過程?，F(xiàn)場(chǎng)操作的評(píng)估過程現(xiàn)場(chǎng)操作的評(píng)估過程，主要針對(duì)：主機(jī)操作系統(tǒng)人工評(píng)估、工具掃描、網(wǎng)絡(luò)及安全設(shè)備需要的現(xiàn)場(chǎng)評(píng)估工作，下圖是“現(xiàn)場(chǎng)操作評(píng)估過程的流程圖”：安全顧問根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員，以及風(fēng)險(xiǎn)規(guī)避措施建議等。部門安全管理員和涉及系統(tǒng)的管理員最終確定具體的評(píng)估時(shí)間，并做好評(píng)估準(zhǔn)備工作。評(píng)估時(shí)間通知項(xiàng)目負(fù)責(zé)人，如有必要正式發(fā)文。安全顧問進(jìn)行現(xiàn)場(chǎng)實(shí)施評(píng)估，如有必要，在現(xiàn)場(chǎng)之間和相關(guān)人員溝通評(píng)估發(fā)現(xiàn)的問題；現(xiàn)場(chǎng)全部評(píng)估工作完成后，確認(rèn)該現(xiàn)場(chǎng)評(píng)估工作結(jié)束（如有必要，系統(tǒng)管理員可及時(shí)檢查系統(tǒng)的可用性是否存在問題）?，F(xiàn)場(chǎng)評(píng)估后，安全顧問進(jìn)行后臺(tái)數(shù)據(jù)分析，完成評(píng)估分析報(bào)告，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項(xiàng)目負(fù)責(zé)人確認(rèn)評(píng)估報(bào)告，評(píng)估結(jié)束。后臺(tái)分析的評(píng)估過程后臺(tái)分析的評(píng)估過程，主要針對(duì)：網(wǎng)絡(luò)及安全設(shè)備配置信息可以后臺(tái)進(jìn)行分析的評(píng)估工作，下圖是“后臺(tái)分析評(píng)估過程的流程圖”：安全顧問根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員等。部門安全管理員和涉及系統(tǒng)的管理員在一周內(nèi)提交申請(qǐng)?jiān)u估設(shè)備的配置信息給安全顧問。安全顧問進(jìn)行后臺(tái)配置分析，如有必要，和相關(guān)人員溝通評(píng)估發(fā)現(xiàn)的問題；如有必要，進(jìn)行現(xiàn)場(chǎng)評(píng)估設(shè)備的檢查。安全顧問完成評(píng)估分析報(bào)告，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項(xiàng)目負(fù)責(zé)人確認(rèn)評(píng)估報(bào)告，評(píng)估結(jié)束。評(píng)估的方法本次的安全評(píng)估主要是依靠xx我司具有多年豐富經(jīng)驗(yàn)的安全專家來進(jìn)行的。我們依據(jù)xx我司公司經(jīng)多年實(shí)踐檢驗(yàn)而積累下來的，在業(yè)內(nèi)領(lǐng)先的安全檢查方案，在得到XXX公司有關(guān)工作人員的授權(quán)并在有關(guān)人員的監(jiān)督下實(shí)施。評(píng)估將根據(jù)被評(píng)估系統(tǒng)的不同情況，選擇以下幾種方式進(jìn)行：主機(jī)系統(tǒng)評(píng)估方法工具掃描的方法：使用XXX公司提供的ISSInternetScanner安全漏洞掃描工具對(duì)主機(jī)進(jìn)行掃描，掃描評(píng)估主要是根據(jù)已有的安全漏洞知識(shí)庫(kù)，模擬黑客的攻擊方法，檢測(cè)網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)等各種信息資產(chǎn)所存在的安全隱患和漏洞。工具掃描主要依靠帶有安全漏洞知識(shí)庫(kù)的網(wǎng)絡(luò)安全掃描工具對(duì)信息資產(chǎn)進(jìn)行基于網(wǎng)絡(luò)層面安全掃描，其特點(diǎn)是能對(duì)被評(píng)估目標(biāo)進(jìn)行覆蓋面廣泛的安全漏洞查找，并且評(píng)估環(huán)境與被評(píng)估對(duì)象在線運(yùn)行的環(huán)境完全一致，能較真實(shí)地反映主機(jī)系統(tǒng)所存在的安全問題。專家評(píng)估（安全基線分析）方法：依據(jù)xx我司對(duì)主機(jī)平臺(tái)的標(biāo)準(zhǔn)化的安全審計(jì)列表（安全基線），檢查和分析主機(jī)系統(tǒng)平臺(tái)存在的安全問題。根據(jù)xx我司最新的安全檢查核對(duì)表內(nèi)容，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)。核對(duì)表內(nèi)容根據(jù)最新漏洞發(fā)現(xiàn)、客戶不同的系統(tǒng)和運(yùn)行環(huán)境、以及專家的經(jīng)驗(yàn)知識(shí)而制定，它主要包括有以下幾個(gè)方面：安全配置檢查：系統(tǒng)管理和維護(hù)的正常配置，合理配置，及優(yōu)化配置。例如系統(tǒng)目錄權(quán)限，帳號(hào)管理策略，文件系統(tǒng)配置，進(jìn)程通信管理等。安全機(jī)制檢查：安全機(jī)制的使用和正常配置，合理配置，及優(yōu)化配置。例如日志及審計(jì)、備份與恢復(fù)，簽名與校驗(yàn)，加密與通信，特殊授權(quán)及訪問控制等。入侵追查及事后取證：檢查與發(fā)現(xiàn)系統(tǒng)入侵，攻擊或其它危害，盡可能追查及取證。例如日志被毀壞篡改或刪除，計(jì)費(fèi)數(shù)據(jù)被刪除，遭受DOS攻擊，系統(tǒng)被監(jiān)聽，控制或安裝后門等。網(wǎng)絡(luò)及安全設(shè)備評(píng)估方法專家評(píng)估（安全基線分析）方法：依據(jù)xx我司對(duì)網(wǎng)絡(luò)和安全設(shè)備的標(biāo)準(zhǔn)化安全審計(jì)列表（安全基線），檢查和分析網(wǎng)絡(luò)及安全設(shè)備存在的安全問題。根據(jù)xx我司最新的安全檢查核對(duì)表內(nèi)容，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)。核對(duì)表內(nèi)容根據(jù)最新漏洞發(fā)現(xiàn)、客戶不同的系統(tǒng)和運(yùn)行環(huán)境、以及專家的經(jīng)驗(yàn)知識(shí)而制定；可采用后臺(tái)配置檢查或現(xiàn)場(chǎng)登錄設(shè)備配置查看兩種方式。顧問訪談?lì)檰栐L談在安全顧問咨詢服務(wù)中處于不可替代的關(guān)鍵地位，目前尚沒有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全體現(xiàn)出來，通過進(jìn)行面對(duì)面或電話訪談，顧問會(huì)將自己的經(jīng)驗(yàn)體現(xiàn)于網(wǎng)絡(luò)安全脆弱性評(píng)估中。評(píng)估的內(nèi)容主機(jī)系統(tǒng)評(píng)估主要內(nèi)容主機(jī)系統(tǒng)的安全目標(biāo)是保障主機(jī)平臺(tái)系統(tǒng)高效、優(yōu)質(zhì)運(yùn)行，滿足業(yè)務(wù)系統(tǒng)的需求，防止主機(jī)和系統(tǒng)遭受外部和內(nèi)部的破壞和濫用，避免和降低由于主機(jī)和系統(tǒng)的問題對(duì)業(yè)務(wù)系統(tǒng)的損害；協(xié)助應(yīng)用進(jìn)行訪問控制和安全審計(jì)。主機(jī)系統(tǒng)安全評(píng)估主要包括如下內(nèi)容：系統(tǒng)安全管理：嚴(yán)格管理系統(tǒng)帳戶、有效控制系統(tǒng)服務(wù)，優(yōu)化系統(tǒng)的安全配置，啟用系統(tǒng)必要的安全控制措施,避免系統(tǒng)發(fā)生故障或遭受攻擊；系統(tǒng)資源控制：系統(tǒng)的補(bǔ)丁管理、文件和目錄管理等安全配置；系統(tǒng)冗余：根據(jù)業(yè)務(wù)需要對(duì)系統(tǒng)進(jìn)行冗余設(shè)計(jì)；系統(tǒng)訪問控制和審計(jì)：對(duì)系統(tǒng)進(jìn)行有效訪問控制和日志審計(jì)。主機(jī)系統(tǒng)安全評(píng)估將進(jìn)行如下幾個(gè)方面的檢查：系統(tǒng)補(bǔ)丁系統(tǒng)賬號(hào)文件系統(tǒng)網(wǎng)絡(luò)及服務(wù)系統(tǒng)配置文件NFS或其它文件系統(tǒng)共享審計(jì)及日志系統(tǒng)備份及恢復(fù)應(yīng)用系統(tǒng)其它網(wǎng)絡(luò)及安全設(shè)備評(píng)估主要內(nèi)容網(wǎng)絡(luò)及安全設(shè)備評(píng)估的目標(biāo)是發(fā)現(xiàn)網(wǎng)絡(luò)設(shè)備或安全設(shè)備存在的弱點(diǎn)，防止網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部的攻擊和濫用。主要檢查設(shè)備是否存在已知的漏洞，設(shè)備的安全配置是否正確。網(wǎng)絡(luò)及安全設(shè)備評(píng)估將主要涉及到以下幾個(gè)方面的內(nèi)容：關(guān)閉不必要的服務(wù)禁止CDP(CiscoDiscoveryProtocol)禁止TCP、UDPSmall服務(wù)禁止Finger服務(wù)禁止NTP服務(wù)禁止BOOTp服務(wù)（路由器適用）禁止IPSourceRouting禁止IPDirectedBroadcast（路由器和三層交換機(jī)適用）啟用servicepassword-encryption關(guān)閉WINS和DNS服務(wù)關(guān)閉ARP-Proxy服務(wù)登錄要求和帳號(hào)管理采用enablesecret設(shè)置密碼采用認(rèn)證設(shè)置exec-timeout（5分鐘及以內(nèi)）采用訪問控制措施，限制可登錄的源地址關(guān)閉HTTP服務(wù)遠(yuǎn)程登錄采用加密傳輸（SSH）采用多用戶分權(quán)管理SNMP協(xié)議設(shè)置和日志審計(jì)設(shè)置SNMP讀寫密碼更改SNMP協(xié)議端口限制SNMP發(fā)起連接源地址開啟日志審計(jì)功能其它安全要求禁止從網(wǎng)絡(luò)啟動(dòng)和自動(dòng)從網(wǎng)絡(luò)下載初始配置文件。禁止未使用或空閑的端口符合banner的設(shè)置要求符合設(shè)備提示符的設(shè)置要求啟用源地址路由檢查（路由器適用）VTP設(shè)置密碼（交換機(jī)適用）評(píng)估的風(fēng)險(xiǎn)和應(yīng)對(duì)工具掃描風(fēng)險(xiǎn)分析采用ISSInternetScanner作為掃描工具，ISSInternetScanner是業(yè)界上最優(yōu)秀的網(wǎng)絡(luò)掃描器，通過掃描引擎發(fā)送掃描探測(cè)數(shù)據(jù)包，獲取遠(yuǎn)程主機(jī)設(shè)備的安全漏洞。發(fā)送的數(shù)據(jù)包會(huì)占用網(wǎng)絡(luò)資源，通常百兆網(wǎng)絡(luò)占用3－5%的帶寬資源，目標(biāo)主機(jī)設(shè)備由于需要響應(yīng)探測(cè)數(shù)據(jù)包，會(huì)占用目標(biāo)主機(jī)設(shè)備的資源，例如CPU和內(nèi)存資源。特別是，InternetScanner可以發(fā)送DOS攻擊探測(cè)數(shù)據(jù)包，如果目標(biāo)主機(jī)設(shè)備存在該漏洞，掃描過程中可能會(huì)宕機(jī)。主機(jī)人工評(píng)估風(fēng)險(xiǎn)分析人工評(píng)估采用安全檢查列表，評(píng)估過程中，對(duì)目標(biāo)主機(jī)設(shè)備逐一按照安全檢查列表進(jìn)行檢查。人工評(píng)估只是查看目標(biāo)主機(jī)設(shè)備的配置信息，不會(huì)對(duì)目標(biāo)主機(jī)設(shè)備進(jìn)行修改操作，主要存在的安全風(fēng)險(xiǎn)是檢查操作帶來的安全風(fēng)險(xiǎn)，例如運(yùn)行命令、操作界面帶來的安全風(fēng)險(xiǎn)。主機(jī)系統(tǒng)弱點(diǎn)評(píng)估的工具掃描過程，盡量避免使用含有拒絕服務(wù)類型的掃描方式，而主要采用人工檢查的方法來發(fā)現(xiàn)系統(tǒng)可能存在的拒絕服務(wù)漏洞。在掃描過程中如果出現(xiàn)被評(píng)估系統(tǒng)沒有響應(yīng)的情況，應(yīng)當(dāng)立即停止掃描工作，與配合的工作人員一起分析情況，在確定原因后，并正確恢復(fù)系統(tǒng)，采取必要的預(yù)防措施（比如調(diào)整掃描策略等）后，才可以繼續(xù)進(jìn)行。網(wǎng)絡(luò)設(shè)備配置檢查和網(wǎng)絡(luò)拓?fù)浞治鲋粚?duì)被評(píng)估對(duì)象進(jìn)行運(yùn)行狀態(tài)和配置檢查，因此不會(huì)對(duì)現(xiàn)有信息系統(tǒng)上的其他設(shè)備和資源帶來任何影響。評(píng)估成員會(huì)與系統(tǒng)管理員保持良好溝通，隨時(shí)協(xié)商解決出現(xiàn)的各種難題。并且在評(píng)估完成時(shí)，由相關(guān)的管理人員對(duì)被評(píng)估主機(jī)系統(tǒng)的狀態(tài)進(jìn)行確認(rèn)，保證評(píng)估后系統(tǒng)運(yùn)行正常。網(wǎng)絡(luò)設(shè)備安全風(fēng)險(xiǎn)評(píng)估通過有針對(duì)性的安全評(píng)估，發(fā)現(xiàn)現(xiàn)存網(wǎng)絡(luò)類系統(tǒng)的安全風(fēng)險(xiǎn)點(diǎn)和脆弱性，防止網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部的攻擊和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問題對(duì)業(yè)務(wù)系統(tǒng)造成損害的風(fēng)險(xiǎn)；同時(shí)，也要從業(yè)務(wù)發(fā)展的角度分析網(wǎng)絡(luò)類系統(tǒng)及公司整個(gè)網(wǎng)絡(luò)建設(shè)的安全規(guī)劃建議；從而提高網(wǎng)絡(luò)系統(tǒng)的健壯指數(shù)和安全指數(shù)。評(píng)估過程描述網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)的評(píng)估過程，包括“后臺(tái)安全評(píng)估階段”、“現(xiàn)場(chǎng)安全評(píng)估階段”、“報(bào)告階段”；下圖是“網(wǎng)絡(luò)類系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估過程的流程圖”：安全顧問根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員等。部門安全管理員和涉及系統(tǒng)的管理員在一周內(nèi)提交申請(qǐng)所需網(wǎng)絡(luò)配置文件和網(wǎng)絡(luò)拓?fù)鋱D等文件給安全顧問。安全顧問進(jìn)行后臺(tái)配置分析，并根據(jù)初步分析的結(jié)果，提出“現(xiàn)場(chǎng)評(píng)估、滲透測(cè)試、安全訪談”的申請(qǐng)，并執(zhí)行相應(yīng)現(xiàn)場(chǎng)工作。最后，綜合前面評(píng)估的數(shù)據(jù)信息，分析提出該網(wǎng)絡(luò)類系統(tǒng)風(fēng)險(xiǎn)評(píng)估報(bào)告和解決方案；結(jié)合與統(tǒng)管理員和主管領(lǐng)導(dǎo)訪談的業(yè)務(wù)發(fā)展，從網(wǎng)絡(luò)架構(gòu)合理性、網(wǎng)絡(luò)設(shè)備安全策略配置等方面提出公司整體網(wǎng)絡(luò)安全解決方案。評(píng)估流程說明流程名稱網(wǎng)絡(luò)類系統(tǒng)風(fēng)險(xiǎn)評(píng)估流程流程編碼流程負(fù)責(zé)人網(wǎng)絡(luò)類系統(tǒng)評(píng)估組流程起點(diǎn)：評(píng)估對(duì)象/范圍/方法的確定流程目的：對(duì)網(wǎng)絡(luò)類系統(tǒng)存在的風(fēng)險(xiǎn)進(jìn)行評(píng)估流程終點(diǎn)：整體評(píng)估報(bào)告提交編號(hào)階段步驟操作描述操作人員1啟動(dòng)階段安全要求設(shè)計(jì)網(wǎng)絡(luò)類系統(tǒng)評(píng)估組，明確提出提交《網(wǎng)絡(luò)類系統(tǒng)評(píng)估對(duì)象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估方法說明》；《網(wǎng)絡(luò)類系統(tǒng)評(píng)估對(duì)象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估方法說明》；是指導(dǎo)整個(gè)評(píng)估過程的重要文檔，必需經(jīng)過系統(tǒng)管理員和主管領(lǐng)導(dǎo)的確認(rèn)。網(wǎng)絡(luò)類系統(tǒng)評(píng)估組系統(tǒng)管理員主管領(lǐng)導(dǎo)2準(zhǔn)備階段資料提交網(wǎng)絡(luò)設(shè)備配置和網(wǎng)絡(luò)拓?fù)涫蔷W(wǎng)絡(luò)類系統(tǒng)評(píng)估組進(jìn)行綜合安全分析的基礎(chǔ)條件之一如網(wǎng)絡(luò)設(shè)備配置和網(wǎng)絡(luò)拓?fù)湮茨軡M足綜合安全分析的要求，系統(tǒng)管理員負(fù)責(zé)提交其他補(bǔ)充材料。網(wǎng)絡(luò)類系統(tǒng)評(píng)估組系統(tǒng)管理員3實(shí)施階段配置檢查滲透測(cè)試配置檢查以人工檢查為主，對(duì)關(guān)鍵配置條目整理后提交專家評(píng)估進(jìn)行要求進(jìn)行；滲透測(cè)試中由網(wǎng)絡(luò)骨干中的合法IP發(fā)起，采用掃描、嗅探、人工侵入等多種手段，主要考察與網(wǎng)絡(luò)類系統(tǒng)連接的各系統(tǒng)健壯度。網(wǎng)絡(luò)類系統(tǒng)評(píng)估組系統(tǒng)管理員4收尾階段人工訪談以實(shí)施階段的對(duì)網(wǎng)絡(luò)現(xiàn)狀的相關(guān)評(píng)估結(jié)果為基礎(chǔ)，從網(wǎng)絡(luò)架構(gòu)合理性、網(wǎng)絡(luò)設(shè)備安全配置思路等角度進(jìn)行系統(tǒng)管理員的人工訪談；以相關(guān)評(píng)估結(jié)果為基礎(chǔ)，結(jié)合系統(tǒng)未來發(fā)展態(tài)勢(shì)，針對(duì)現(xiàn)有系統(tǒng)的容量、帶寬、冗余度等多個(gè)參考指標(biāo)進(jìn)行主管領(lǐng)導(dǎo)的人工訪談。了解系統(tǒng)發(fā)展建設(shè)方向和目標(biāo)，對(duì)系統(tǒng)未來可能存在的安全問題進(jìn)行的訪談和討論。網(wǎng)絡(luò)類系統(tǒng)評(píng)估組系統(tǒng)管理員主管領(lǐng)導(dǎo)

輸入輸出說明輸入、輸出步驟編號(hào)輸入人員輸入內(nèi)容輸出內(nèi)容接收人員1網(wǎng)絡(luò)類系統(tǒng)評(píng)估組《網(wǎng)絡(luò)類系統(tǒng)評(píng)估對(duì)象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估方法說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估對(duì)象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估方法說明》確認(rèn)表系統(tǒng)管理員主管領(lǐng)導(dǎo)2系統(tǒng)管理員《系統(tǒng)網(wǎng)絡(luò)設(shè)備配置》；《系統(tǒng)網(wǎng)絡(luò)拓?fù)洹罚弧对O(shè)備配置評(píng)估報(bào)告》《網(wǎng)絡(luò)拓?fù)浒踩u(píng)估意見》網(wǎng)絡(luò)類系統(tǒng)評(píng)估組3網(wǎng)絡(luò)類系統(tǒng)評(píng)估組系統(tǒng)管理員《設(shè)備檢查申請(qǐng)》，《滲透測(cè)試方案》；方案評(píng)審意見系統(tǒng)管理員4網(wǎng)絡(luò)類系統(tǒng)評(píng)估組《設(shè)備配置評(píng)估報(bào)告》《網(wǎng)絡(luò)拓?fù)浒踩u(píng)估意見》《設(shè)備配置人工檢查結(jié)果》《滲透測(cè)試結(jié)果分析報(bào)告》其他相關(guān)評(píng)估結(jié)果網(wǎng)絡(luò)類系統(tǒng)整體評(píng)估報(bào)告系統(tǒng)管理員主管領(lǐng)導(dǎo)北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司第57頁(yè)共93頁(yè)評(píng)估的方法本次的安全評(píng)估主要是依靠xx我司具有多年豐富經(jīng)驗(yàn)的安全專家來進(jìn)行的。我們依據(jù)xx我司公司經(jīng)多年實(shí)踐檢驗(yàn)而積累下來的，在業(yè)內(nèi)領(lǐng)先的安全檢查方案，在得到XXX公司有關(guān)工作人員的授權(quán)并在有關(guān)人員的監(jiān)督下實(shí)施。評(píng)估將根據(jù)被評(píng)估系統(tǒng)的不同情況，選擇以下幾種方式進(jìn)行：IT設(shè)備安全評(píng)估方法詳細(xì)參見“IT設(shè)備評(píng)估”中的“評(píng)估的方法”，主要包括：工具掃描主機(jī)系統(tǒng)專家評(píng)估（安全基線分析）網(wǎng)絡(luò)和安全設(shè)備專家評(píng)估安全訪談網(wǎng)絡(luò)架構(gòu)安全的評(píng)估方法專家分析方法：依據(jù)xx我司對(duì)網(wǎng)絡(luò)架構(gòu)的成熟度安全審計(jì)列表（安全基線），檢查和分析網(wǎng)絡(luò)架構(gòu)存在的安全問題，但網(wǎng)絡(luò)架構(gòu)安全評(píng)估，更加側(cè)重顧問個(gè)人的經(jīng)驗(yàn)，目前尚沒有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全量化，所以存在一定個(gè)人主觀判斷的偏差。顧問訪談?lì)檰栐L談在安全顧問咨詢服務(wù)中處于不可替代的關(guān)鍵地位，目前尚沒有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全體現(xiàn)出來，通過進(jìn)行面對(duì)面或電話訪談，顧問會(huì)將自己的經(jīng)驗(yàn)體現(xiàn)于網(wǎng)絡(luò)安全脆弱性評(píng)估中，顧問訪談涉及針對(duì)系統(tǒng)管理員的訪談及其業(yè)務(wù)主管的訪談。滲透測(cè)試的評(píng)估方法主要依據(jù)已經(jīng)發(fā)現(xiàn)的安全漏洞，模擬入侵者的攻擊方法對(duì)系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試；以人工滲透為主，輔助以攻擊工具的使用，這樣保證了整個(gè)滲透測(cè)試過程都在可以控制和調(diào)整的范圍之內(nèi)；滲透測(cè)試需要投入的人力資源較大、對(duì)測(cè)試者的專業(yè)技能要求很高（滲透測(cè)試報(bào)告的價(jià)值直接依賴于測(cè)試者的專業(yè)機(jī)能），但是非常準(zhǔn)確，可以發(fā)現(xiàn)邏輯性更強(qiáng)、更深層次的弱點(diǎn)評(píng)估的內(nèi)容IT設(shè)備安全的主要內(nèi)容詳細(xì)參見“IT設(shè)備評(píng)估”中的“評(píng)估的內(nèi)容”，主要包括：主機(jī)系統(tǒng)評(píng)估網(wǎng)絡(luò)及安全設(shè)備評(píng)估網(wǎng)絡(luò)架構(gòu)安全評(píng)估的主要內(nèi)容網(wǎng)絡(luò)安全的目標(biāo)是保障網(wǎng)絡(luò)和通信系統(tǒng)高效、優(yōu)質(zhì)運(yùn)行，滿足業(yè)務(wù)系統(tǒng)的需求；防止網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部的攻擊和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問題對(duì)業(yè)務(wù)系統(tǒng)造成損害的風(fēng)險(xiǎn)；屏蔽系統(tǒng)和應(yīng)用的安全弱點(diǎn)；協(xié)助系統(tǒng)和應(yīng)用進(jìn)行訪問控制和安全審計(jì)。網(wǎng)絡(luò)評(píng)估主要評(píng)估標(biāo)準(zhǔn)如下：基礎(chǔ)網(wǎng)絡(luò)架構(gòu)的評(píng)估標(biāo)準(zhǔn)：網(wǎng)絡(luò)整體拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)合理；安全區(qū)域劃分符合業(yè)務(wù)系統(tǒng)要求；選擇安全的路由方式；對(duì)周邊網(wǎng)絡(luò)接入進(jìn)行安全控制和冗余設(shè)計(jì)；對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)控和管理；對(duì)網(wǎng)絡(luò)設(shè)備和鏈路進(jìn)行冗余設(shè)計(jì)。網(wǎng)絡(luò)傳輸加密的評(píng)估標(biāo)準(zhǔn)：根據(jù)業(yè)務(wù)系統(tǒng)的特點(diǎn)選擇對(duì)業(yè)務(wù)數(shù)據(jù)是否進(jìn)行傳輸加密；對(duì)于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感的信息進(jìn)行加密。訪問控制和網(wǎng)絡(luò)審計(jì)的評(píng)估標(biāo)準(zhǔn)：對(duì)網(wǎng)絡(luò)的內(nèi)部及外部邊界進(jìn)行有效訪問控制；對(duì)網(wǎng)絡(luò)實(shí)施漏洞評(píng)估；進(jìn)行網(wǎng)絡(luò)日志審計(jì)并統(tǒng)一日志時(shí)間基準(zhǔn)線。網(wǎng)絡(luò)安全管理的評(píng)估標(biāo)準(zhǔn)：采用安全的網(wǎng)絡(luò)管理協(xié)議；建立網(wǎng)絡(luò)安全事件響應(yīng)體系；對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行安全管理。網(wǎng)絡(luò)及安全設(shè)備評(píng)估將主要涉及到以下幾個(gè)方面的內(nèi)容：網(wǎng)絡(luò)拓?fù)渫負(fù)浣Y(jié)構(gòu)合理性分析、可擴(kuò)展性分析。路由協(xié)議對(duì)網(wǎng)絡(luò)設(shè)備目前所采用的路由協(xié)議評(píng)價(jià)，是否存在配置漏洞，冗余路由配置情況，路由協(xié)議的信任關(guān)系問題。接入方式對(duì)周邊接入的全面了解，對(duì)各種接入情況進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，與非信任網(wǎng)絡(luò)間互訪的安全管理，提出改進(jìn)方案。協(xié)議選擇對(duì)網(wǎng)絡(luò)管理相關(guān)協(xié)議的分析整理；對(duì)業(yè)務(wù)應(yīng)用相關(guān)協(xié)議的分析整理。對(duì)承載業(yè)務(wù)系統(tǒng)本身業(yè)務(wù)服務(wù)所采用的相關(guān)協(xié)議，以及由此而帶來的相關(guān)的網(wǎng)絡(luò)支撐設(shè)備。流量分析流量管理目標(biāo)，服務(wù)品質(zhì)保障（QoS）措施評(píng)價(jià)。系統(tǒng)bug的檢查處理機(jī)制。系統(tǒng)管理人員接收到或者發(fā)現(xiàn)相關(guān)業(yè)務(wù)系統(tǒng)產(chǎn)生的BUG的時(shí)候，是否有一個(gè)流程可以處理。安全事件緊急響應(yīng)措施：網(wǎng)絡(luò)防黑常用配置的資料整理、分類和準(zhǔn)備；網(wǎng)絡(luò)故障的分析手段的資料整理、分類和準(zhǔn)備。安全審計(jì)制度和實(shí)施情況調(diào)查針對(duì)網(wǎng)絡(luò)架構(gòu)中可能出現(xiàn)的安全問題，以及其中是否被正確執(zhí)行審計(jì)情況。密碼和身份認(rèn)證手段調(diào)查和評(píng)估網(wǎng)絡(luò)服務(wù)本身提供的密碼和身份認(rèn)證手段，系統(tǒng)是否還要其它密碼和身份認(rèn)證體系。數(shù)據(jù)加密傳輸可能造成信息泄漏的地方是否有敏感數(shù)據(jù)加密措施。訪問控制情況調(diào)查在相關(guān)的網(wǎng)絡(luò)隔離點(diǎn)，是否有恰當(dāng)?shù)脑L問控制規(guī)則設(shè)立，是否被有效的執(zhí)行。漏洞評(píng)估和入侵檢測(cè)機(jī)制是否有漏洞的定期評(píng)估機(jī)制和入侵檢測(cè)和記錄系統(tǒng)的機(jī)制。安全策略和安全制度分析系統(tǒng)的安全策略是否存在，以及是否和業(yè)務(wù)系統(tǒng)相互吻合，有無合理的安全制度作為保障。安全配置均衡性分析（弱點(diǎn)分析）安全配置本身是否具有不合理的配置或者弱點(diǎn)存在。接入/連接方式的安全性各個(gè)接入節(jié)點(diǎn)部分是否具備安全措施保障，是否被正確配置和執(zhí)行。信任網(wǎng)絡(luò)之間的安全性信任網(wǎng)絡(luò)或者不信任網(wǎng)絡(luò)之間是否有控制，控制本身帶來的安全程度以及是否有可以繞過控制的途徑。網(wǎng)絡(luò)節(jié)點(diǎn)的安全性各個(gè)獨(dú)立的網(wǎng)絡(luò)節(jié)點(diǎn)是否有良好的安全控制，是否被正確配置和使用。網(wǎng)絡(luò)架構(gòu)管理網(wǎng)絡(luò)體系架構(gòu)是如何進(jìn)行管理的，是否有良好的機(jī)制和制度保障網(wǎng)絡(luò)架構(gòu)本身不被改變，沒有非法的不符合安全策略的架構(gòu)改變。網(wǎng)絡(luò)設(shè)備認(rèn)證管理是否有集中的設(shè)備認(rèn)證管理機(jī)制，是否被正確的配置和執(zhí)行。網(wǎng)絡(luò)的高可用性和可靠性網(wǎng)絡(luò)建設(shè)中是否良好的考慮了網(wǎng)絡(luò)的高可用性和可靠性問題，是否被正確使用和良好的配置，是否有機(jī)制保障不被修改。評(píng)估的風(fēng)險(xiǎn)和應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備配置檢查和網(wǎng)絡(luò)拓?fù)浞治鲋粚?duì)被評(píng)估對(duì)象進(jìn)行運(yùn)行狀態(tài)和配置檢查，因此不會(huì)對(duì)現(xiàn)有信息系統(tǒng)上的其他設(shè)備和資源帶來任何影響。滲透測(cè)試過程的最大的風(fēng)險(xiǎn)在于測(cè)試過程中對(duì)業(yè)務(wù)產(chǎn)生影響，為此我們?cè)诒卷?xiàng)目采取以下措施來減小風(fēng)險(xiǎn)：在滲透測(cè)試中不使用含有拒絕服務(wù)的測(cè)試策略；滲透測(cè)試時(shí)間盡量安排在業(yè)務(wù)量不大的時(shí)段或者晚上；在滲透測(cè)試過程中如果出現(xiàn)被評(píng)估系統(tǒng)沒有響應(yīng)的情況，應(yīng)當(dāng)立即停止測(cè)試工作，與工作人員一起分析情況，在確定原因后，并待正確恢復(fù)系統(tǒng)，采取必要的預(yù)防措施（比如調(diào)整測(cè)試策略等）之后，才可以繼續(xù)進(jìn)行。xx我司網(wǎng)絡(luò)系統(tǒng)評(píng)估組成員會(huì)與系統(tǒng)管理員保持良好溝通。隨時(shí)協(xié)商解決出現(xiàn)的各種難題。并且在評(píng)估完成時(shí)，由相關(guān)的管理人員對(duì)被評(píng)估主機(jī)系統(tǒng)的狀態(tài)進(jìn)行確認(rèn)，保證評(píng)估后主機(jī)系統(tǒng)運(yùn)行正常。應(yīng)用系統(tǒng)和管理安全風(fēng)險(xiǎn)評(píng)估對(duì)于重點(diǎn)業(yè)務(wù)系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估是本項(xiàng)目中的工作重點(diǎn)，所使用的評(píng)估方法及評(píng)估深度均要比非重點(diǎn)業(yè)務(wù)系統(tǒng)更加深入和全面。重點(diǎn)應(yīng)用系統(tǒng)是需要高性能、高可靠和高可用性，而一項(xiàng)網(wǎng)絡(luò)數(shù)據(jù)業(yè)務(wù)的正常運(yùn)行，不僅僅需要高效的網(wǎng)絡(luò)傳輸和交換，還需要主機(jī)、服務(wù)器的及時(shí)處理以及數(shù)據(jù)庫(kù)系統(tǒng)的良好運(yùn)轉(zhuǎn)，也需要足夠的安全保證。針對(duì)重點(diǎn)應(yīng)用系統(tǒng)的安全評(píng)估是保證網(wǎng)絡(luò)高性能、高可靠性、高可用性、高效率運(yùn)轉(zhuǎn)的基本手段。重點(diǎn)應(yīng)用系統(tǒng)的健壯指數(shù)和安全指數(shù)越大說明它的生命力就越強(qiáng)，它所能夠承載的信息量就越大。一個(gè)健壯、安全的應(yīng)用系統(tǒng)是保證業(yè)務(wù)運(yùn)行和應(yīng)用的必要前提。在整個(gè)的應(yīng)用系統(tǒng)中，網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)傳輸、網(wǎng)絡(luò)交換、業(yè)務(wù)應(yīng)用、數(shù)據(jù)交換、數(shù)據(jù)庫(kù)運(yùn)行、應(yīng)用程序運(yùn)行、安全措施、備份措施、管理措施、主機(jī)/服務(wù)器處理、客戶端處理等等，這一系列的元素都是相互關(guān)聯(lián)和相互影響的，這些元素之間的關(guān)系往往是比較復(fù)雜的，“牽一發(fā)而動(dòng)全身”，每一項(xiàng)元素的性能下降或者受到安全威脅，都將對(duì)整個(gè)應(yīng)用系統(tǒng)造成影響，尤其是對(duì)于那些處于關(guān)鍵地位的元素更是不允許性能下降和存在安全隱患。因此，必然導(dǎo)致應(yīng)用系統(tǒng)需要進(jìn)行全面的安全評(píng)估。然而由于重點(diǎn)應(yīng)用系統(tǒng)的復(fù)雜性，使用傳統(tǒng)的風(fēng)險(xiǎn)評(píng)估方法已經(jīng)無法準(zhǔn)確、清晰地描述和評(píng)估業(yè)務(wù)系統(tǒng)的風(fēng)險(xiǎn)，因此我們引入了UML來描述應(yīng)用系統(tǒng)威脅場(chǎng)景和業(yè)務(wù)系統(tǒng)的信息流，引入了故障樹來分析各種威脅場(chǎng)景所能夠造成的后果。下面是一個(gè)網(wǎng)上支付系統(tǒng)的基本認(rèn)證過程，以及其相關(guān)的威脅場(chǎng)景。正常情況下的網(wǎng)絡(luò)支付場(chǎng)景網(wǎng)絡(luò)支付的威脅場(chǎng)景將上述網(wǎng)絡(luò)支付過程的正常支付場(chǎng)景與威脅場(chǎng)景相結(jié)合，就可以得到整個(gè)支付過程所面臨的真實(shí)安全狀況。評(píng)估過程描述應(yīng)用類重點(diǎn)系統(tǒng)的評(píng)估，主要工作包括以下幾個(gè)方面：識(shí)別安全目標(biāo)IT設(shè)備弱點(diǎn)評(píng)估網(wǎng)絡(luò)架構(gòu)安全評(píng)估應(yīng)用系統(tǒng)安全評(píng)估滲透測(cè)試根據(jù)以上工作內(nèi)容，其具體工作流程如下圖所示：應(yīng)用系統(tǒng)評(píng)估流程圖安全顧問根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員等。部門安全管理員和涉及系統(tǒng)的管理員在一周內(nèi)對(duì)評(píng)估申請(qǐng)進(jìn)行確認(rèn)。安全顧問提出“現(xiàn)場(chǎng)評(píng)估、滲透測(cè)試、安全訪談、業(yè)務(wù)系統(tǒng)材料”等現(xiàn)場(chǎng)工作的申請(qǐng)。部門安全管理員和涉及系統(tǒng)的管理員在確認(rèn)現(xiàn)場(chǎng)工作申請(qǐng)后，由涉及系統(tǒng)的管理員確認(rèn)現(xiàn)場(chǎng)計(jì)劃，并準(zhǔn)備業(yè)務(wù)系統(tǒng)相關(guān)資料。安全顧問根據(jù)計(jì)劃執(zhí)行現(xiàn)場(chǎng)評(píng)估及安全訪談。最后，綜合前面評(píng)估的數(shù)據(jù)信息，分析提出該業(yè)務(wù)系統(tǒng)風(fēng)險(xiǎn)評(píng)估報(bào)告和解決方案；結(jié)合與管理員和主管領(lǐng)導(dǎo)訪談的業(yè)務(wù)發(fā)展，從IT設(shè)備安全配置、網(wǎng)絡(luò)架構(gòu)合理性、應(yīng)用系統(tǒng)安全狀況等方面提出業(yè)務(wù)系統(tǒng)整體網(wǎng)絡(luò)安全解決方案。評(píng)估流程說明針對(duì)應(yīng)用計(jì)算類的重點(diǎn)系統(tǒng)安全評(píng)估流程，各階段工作如下表：流程名稱應(yīng)用計(jì)算類系統(tǒng)風(fēng)險(xiǎn)評(píng)估流程流程編碼流程負(fù)責(zé)人應(yīng)用計(jì)算類系統(tǒng)評(píng)估組流程起點(diǎn)：評(píng)估對(duì)象/范圍/方法的確定流程目的：對(duì)應(yīng)用計(jì)算類系統(tǒng)存在的風(fēng)險(xiǎn)進(jìn)行評(píng)估流程終點(diǎn)：整體評(píng)估報(bào)告提交編號(hào)階段操作描述操作人員1準(zhǔn)備階段應(yīng)用計(jì)算類系統(tǒng)評(píng)估組，明確提出提交《應(yīng)用計(jì)算類系統(tǒng)評(píng)估對(duì)象及范圍說明》《應(yīng)用計(jì)算類系統(tǒng)評(píng)估方法說明》；《應(yīng)用計(jì)算類系統(tǒng)評(píng)估對(duì)象及范圍說明》《應(yīng)用計(jì)算類系統(tǒng)評(píng)估方法說明》是指導(dǎo)整個(gè)評(píng)估過程的重要文檔，必需經(jīng)過安全管理員及系統(tǒng)管理員的確認(rèn)。應(yīng)用計(jì)算類系統(tǒng)評(píng)估組部門安全管理員系統(tǒng)管理員2現(xiàn)場(chǎng)實(shí)施申請(qǐng)階段提交《現(xiàn)場(chǎng)評(píng)估申請(qǐng)表》《滲透測(cè)試申請(qǐng)表》《安全訪談申請(qǐng)表》《業(yè)務(wù)系統(tǒng)材料申請(qǐng)表》部門安全管理員對(duì)各項(xiàng)申請(qǐng)進(jìn)行確認(rèn)系統(tǒng)管理員確認(rèn)現(xiàn)場(chǎng)實(shí)施計(jì)劃后，進(jìn)行相關(guān)實(shí)施準(zhǔn)備。以及準(zhǔn)備業(yè)務(wù)系統(tǒng)相關(guān)材料xx我司項(xiàng)目組收到申請(qǐng)確認(rèn)后，通知項(xiàng)目負(fù)責(zé)人根據(jù)實(shí)際情況，由項(xiàng)目負(fù)責(zé)人進(jìn)行正式的發(fā)文，以啟動(dòng)現(xiàn)場(chǎng)實(shí)施應(yīng)用計(jì)算類系統(tǒng)評(píng)估組部門安全管理員系統(tǒng)管理員項(xiàng)目負(fù)責(zé)人3現(xiàn)場(chǎng)實(shí)施階段xx我司項(xiàng)目組開始現(xiàn)場(chǎng)實(shí)施工作，評(píng)估IT系統(tǒng)、網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)系統(tǒng)、安全訪談以及滲透測(cè)試根據(jù)實(shí)際情況，各項(xiàng)工作可能并行進(jìn)行現(xiàn)場(chǎng)工作實(shí)施完畢后，由系統(tǒng)管理員對(duì)現(xiàn)場(chǎng)評(píng)估工作進(jìn)行確認(rèn)，由業(yè)務(wù)主管對(duì)相關(guān)的業(yè)務(wù)訪談內(nèi)容進(jìn)行確認(rèn)應(yīng)用計(jì)算類系統(tǒng)評(píng)估組系統(tǒng)管理員業(yè)務(wù)主管4報(bào)告階段xx我司項(xiàng)目組進(jìn)行綜合分析，形成針對(duì)該業(yè)務(wù)系統(tǒng)的安全評(píng)估報(bào)告應(yīng)用計(jì)算類系統(tǒng)評(píng)估組5再培訓(xùn)階段針對(duì)安全評(píng)估結(jié)果，xx我司項(xiàng)目組針對(duì)安全管理員及業(yè)務(wù)系統(tǒng)管理員進(jìn)行答疑xx我司提交最終的安全評(píng)估報(bào)告給中項(xiàng)目負(fù)責(zé)人，由其確認(rèn)后輸出最終的安全評(píng)估結(jié)果應(yīng)用計(jì)算類系統(tǒng)評(píng)估組部門安全管理員系統(tǒng)管理員項(xiàng)目負(fù)責(zé)人輸入輸出說明輸入、輸出步驟編號(hào)輸入人員輸入內(nèi)容輸出內(nèi)容接收人員1應(yīng)用計(jì)算類系統(tǒng)評(píng)估組《應(yīng)用計(jì)算類系統(tǒng)評(píng)估對(duì)象及范圍說明》《應(yīng)用計(jì)算類系統(tǒng)評(píng)估方法說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估對(duì)象及范圍說明》《網(wǎng)絡(luò)類系統(tǒng)評(píng)估方法說明》確認(rèn)表系統(tǒng)管理員安全管理員2應(yīng)用計(jì)算類系統(tǒng)評(píng)估組《現(xiàn)場(chǎng)評(píng)估申請(qǐng)表》《滲透測(cè)試申請(qǐng)表》《安全訪談申請(qǐng)表》《業(yè)務(wù)系統(tǒng)材料申請(qǐng)表》《現(xiàn)場(chǎng)評(píng)估申請(qǐng)表》《滲透測(cè)試申請(qǐng)表》《安全訪談申請(qǐng)表》《業(yè)務(wù)系統(tǒng)材料申請(qǐng)表》確認(rèn)表網(wǎng)絡(luò)類系統(tǒng)評(píng)估組3應(yīng)用計(jì)算類系統(tǒng)評(píng)估組系統(tǒng)管理員《設(shè)備評(píng)估計(jì)劃》，《安全訪談?dòng)?jì)劃》，《業(yè)務(wù)評(píng)估計(jì)劃》，《滲透測(cè)試方案》；《現(xiàn)場(chǎng)評(píng)估工作確認(rèn)表》《安全訪談確認(rèn)表》系統(tǒng)管理員安全管理員業(yè)務(wù)主管4應(yīng)用計(jì)算類系統(tǒng)評(píng)估組《設(shè)備配置評(píng)估報(bào)告》《網(wǎng)絡(luò)拓?fù)浒踩u(píng)估意見》《業(yè)務(wù)系統(tǒng)評(píng)估報(bào)告》《滲透測(cè)試結(jié)果分析報(bào)告》安全訪談結(jié)果其他相關(guān)評(píng)估結(jié)果《系統(tǒng)整體評(píng)估報(bào)告》系統(tǒng)管理員安全管理員項(xiàng)目負(fù)責(zé)人5應(yīng)用計(jì)算類系統(tǒng)評(píng)估組《系統(tǒng)整體評(píng)估報(bào)告》初稿《系統(tǒng)整體評(píng)估報(bào)告》終稿系統(tǒng)管理員安全管理員項(xiàng)目負(fù)責(zé)人評(píng)估方法本次的安全評(píng)估主要是依靠xx我司具有多年豐富經(jīng)驗(yàn)的安全專家來進(jìn)行的。我們依據(jù)xx我司公司經(jīng)多年實(shí)踐檢驗(yàn)而積累下來的，在業(yè)內(nèi)領(lǐng)先的安全檢查方案，在得到XXX公司有關(guān)工作人員的授權(quán)并在有關(guān)人員的監(jiān)督下實(shí)施。評(píng)估將根據(jù)被評(píng)估系統(tǒng)的不同情況，選擇以下幾種方式進(jìn)行：IT支撐設(shè)備弱點(diǎn)評(píng)估IT支撐設(shè)備弱點(diǎn)評(píng)估方法詳細(xì)參見“IT設(shè)備評(píng)估”中的“評(píng)估的方法”，主要包括：工具掃描主機(jī)系統(tǒng)專家評(píng)估（安全基線分析）網(wǎng)絡(luò)和安全設(shè)備專家評(píng)估安全訪談網(wǎng)絡(luò)架構(gòu)安全的評(píng)估方法網(wǎng)絡(luò)架構(gòu)安全評(píng)估方法詳細(xì)參見“網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估”中的“網(wǎng)絡(luò)架構(gòu)安全評(píng)估方法”，主要包括專家分析方法：顧問訪談應(yīng)用系統(tǒng)安全評(píng)估方法數(shù)據(jù)庫(kù)中間件專家評(píng)估（安全基線分析）依據(jù)xx我司對(duì)數(shù)據(jù)庫(kù)及中間件平臺(tái)的標(biāo)準(zhǔn)化的安全審計(jì)列表（安全基線），檢查和分析數(shù)據(jù)庫(kù)及中間件平臺(tái)存在的安全問題。根據(jù)xx我司最新的安全檢查核對(duì)表內(nèi)容，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)。業(yè)務(wù)系統(tǒng)專家分析方法：依據(jù)xx我司業(yè)務(wù)系統(tǒng)的邏輯流程、數(shù)據(jù)流向，檢查和分析整個(gè)業(yè)務(wù)過程中存在的安全問題，本部分更加側(cè)重顧問個(gè)人的經(jīng)驗(yàn)，目前尚沒有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全量化，所以存在一定個(gè)人主觀判斷的偏差。顧問訪談在本部分的安全評(píng)估過程中，xx我司的項(xiàng)目組的顧問將根據(jù)多年從事安全工作的經(jīng)驗(yàn)，針對(duì)系統(tǒng)中涉及的業(yè)務(wù)流程、應(yīng)用系統(tǒng)等問題制定問題列表，同系統(tǒng)的相關(guān)人員進(jìn)行面對(duì)面的訪談，了解現(xiàn)有業(yè)務(wù)流程的構(gòu)建、運(yùn)行、維護(hù)、應(yīng)用系統(tǒng)等情況。顧問訪談中的主要依據(jù)是根據(jù)xx我司多位安全專家在多次安全顧問中總結(jié)的安全評(píng)估問題列表。顧問訪談在安全顧問咨詢服務(wù)中處于不可替代的關(guān)鍵地位，目前尚沒有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全體現(xiàn)出來，通過進(jìn)行面對(duì)面或電話訪談，顧問會(huì)將自己的經(jīng)驗(yàn)體現(xiàn)于應(yīng)用系統(tǒng)評(píng)估中，顧問訪談涉及針對(duì)系統(tǒng)管理員的訪談及其業(yè)務(wù)主管的訪談。滲透測(cè)試的評(píng)估方法主要依據(jù)已經(jīng)發(fā)現(xiàn)的安全漏洞，模擬入侵者的攻擊方法對(duì)系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試；以人工滲透為主，輔助以攻擊工具的使用，這樣保證了整個(gè)滲透測(cè)試過程都在可以控制和調(diào)整的范圍之內(nèi)；滲透測(cè)試需要投入的人力資源較大、對(duì)測(cè)試者的專業(yè)技能要求很高（滲透測(cè)試報(bào)告的價(jià)值直接依賴于測(cè)試者的專業(yè)機(jī)能），但是非常準(zhǔn)確，可以發(fā)現(xiàn)邏輯性更強(qiáng)、更深層次的弱點(diǎn)評(píng)估內(nèi)容安全目標(biāo)識(shí)別應(yīng)用系統(tǒng)評(píng)估的第一步是應(yīng)該了解應(yīng)用系統(tǒng)可能的安全目標(biāo)。通常情況下，對(duì)一個(gè)應(yīng)用系統(tǒng)的安全目標(biāo)識(shí)別應(yīng)該包含基本信息、應(yīng)用系統(tǒng)概況、應(yīng)用系統(tǒng)分析幾個(gè)方面。基本業(yè)務(wù)信息基本信息從如下幾個(gè)方面入手進(jìn)行分析：識(shí)別信息：應(yīng)用系統(tǒng)是否能夠保護(hù)用戶的識(shí)別信息不被濫用？例如：移動(dòng)用戶的信息被盜取用于其它非法用途；應(yīng)用系統(tǒng)是否有足夠的控制手段和技術(shù)確保用戶識(shí)別信息的有效性？例如：網(wǎng)上銀行使用的數(shù)字證書等。信譽(yù)：應(yīng)用系統(tǒng)發(fā)生異常情況以及遭到攻擊造成的商業(yè)信譽(yù)的損失；經(jīng)濟(jì)：對(duì)于應(yīng)用系統(tǒng)，如果發(fā)生攻擊或者其它安全時(shí)間造成的直接和潛在的經(jīng)濟(jì)損失。例如：通常情況下論壇之類的業(yè)務(wù)系統(tǒng)遭到攻擊后，受到的經(jīng)濟(jì)損失遠(yuǎn)遠(yuǎn)小于網(wǎng)上銀行發(fā)生類似事件所受到的損失；隱私：應(yīng)用系統(tǒng)需要保護(hù)的用戶數(shù)據(jù)。例如：一個(gè)論壇系統(tǒng)通常會(huì)公開用戶的注冊(cè)信息，而大多數(shù)國(guó)家的網(wǎng)上報(bào)稅系統(tǒng)是不允許公開用戶的