XX信息系統(tǒng)安全風(fēng)險分析與評估報告模板(公開)

XX信息系統(tǒng)安全風(fēng)險分析與評估報告模板(公開)第2頁共22頁說明文字：大致內(nèi)容如此，根據(jù)具體情況增刪XXXX信息系統(tǒng)安全風(fēng)險評估報告二〇一五年七月目錄1 評估工作概述 31.1評估目標(biāo) 31.2評估組織 31.3評估對象 31.3.1業(yè)務(wù)職能與組織結(jié)構(gòu) 31.3.2系統(tǒng)定級 61.3.3物理環(huán)境 61.3.4網(wǎng)絡(luò)結(jié)構(gòu) 91.3.5安全保密措施 121.3.6重要XX部門、部位 132 評估依據(jù)和標(biāo)準(zhǔn) 133 評估方案 144 資產(chǎn)識別 154.1資產(chǎn)重要性等級定義 154.2資產(chǎn)分類 164.2.1服務(wù)器情況列表 164.2.2交換機(jī)情況列表 194.2.3用戶終端和XX單機(jī) 194.2.4特種設(shè)備 204.2.5軟件平臺 204.2.6安全保密設(shè)備 204.2.7應(yīng)用系統(tǒng)情況列表 284.2.8試運(yùn)行應(yīng)用系統(tǒng)情況列表 295 威脅識別 305.1威脅分類 305.2威脅賦值 316 脆弱性識別 336.1脆弱性識別內(nèi)容 336.2脆弱性賦值 336.3脆弱性專向檢測 346.3.1病毒木馬專項檢查 346.3.2網(wǎng)絡(luò)掃描專項測試 347 風(fēng)險分析 448 風(fēng)險統(tǒng)計 489 評估結(jié)論 4810 整改建議 48評估工作概述2015年7月7-9日，由XX部門組織相關(guān)人員對XX信息系統(tǒng)進(jìn)行了安全風(fēng)險評估。本報告的評估結(jié)論僅針對xx廠XX信息系統(tǒng)本次安全風(fēng)險評估時的狀況。1.1評估目標(biāo)本次評估工作依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對xx廠XX信息系統(tǒng)及由其處理、傳輸和存儲的信息的安全屬性進(jìn)行評估，分析該XX信息系統(tǒng)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、用戶終端及支撐平臺等資產(chǎn)在日常運(yùn)行、管理過程中面臨的威脅、存在的脆弱性以及由此帶來的安全風(fēng)險，為將安全風(fēng)險控制在可接受的水平，最大限度地保障該XX信息系統(tǒng)的信息安全保密提供指導(dǎo)依據(jù)。1.2評估組織本次風(fēng)險評估由XX信息系統(tǒng)管理領(lǐng)導(dǎo)小組負(fù)責(zé)組織。由xx部門現(xiàn)場開展本次評估工作，XX業(yè)務(wù)部門相關(guān)人員進(jìn)行配合。1.3評估對象1.3.1業(yè)務(wù)職能與組織結(jié)構(gòu)Xx1.3.2系統(tǒng)定級Xx廠XX信息系統(tǒng)經(jīng)xx批準(zhǔn)同意，按照所處理XX信息的最高密級定為機(jī)密級，采用增強(qiáng)保護(hù)要求進(jìn)行保護(hù)。1.3.3物理環(huán)境XX1.3.4網(wǎng)絡(luò)結(jié)構(gòu)圖1、組織機(jī)構(gòu)圖圖2周邊物理環(huán)境圖3、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖1.3.5安全保密措施XX廠XX信息系統(tǒng)配備了防火墻、網(wǎng)絡(luò)入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、主機(jī)監(jiān)控與審計系統(tǒng)、XX計算機(jī)及移動存儲介質(zhì)保密管理系統(tǒng)（“三合一”系統(tǒng)）、中孚信息消除工具、打印安全監(jiān)控與審計系統(tǒng)、安全郵件、網(wǎng)間文件交換系統(tǒng)、防計算機(jī)病毒軟件、線路傳導(dǎo)干擾器、一級電磁干擾器、紅黑電源濾波隔離插座等安全保密產(chǎn)品。身份鑒別口令認(rèn)證，復(fù)雜度，密碼長度等符合要求否？XX便攜式計算機(jī)、XX單機(jī)和XX數(shù)據(jù)中轉(zhuǎn)單機(jī)采用用戶名與口令相結(jié)合的方式進(jìn)行身份鑒別。1.3.6重要XX部門、部位XX廠XX信息系統(tǒng)保密要害部門為2個，保密要害部位為5個，具體情況如下表所示。序號名稱位置所屬部門部位性質(zhì)防護(hù)措施監(jiān)控門控紅外報警評估依據(jù)和標(biāo)準(zhǔn)《武器裝備科研生產(chǎn)單位三級保密資格評分標(biāo)準(zhǔn)》評估方案本次風(fēng)險評估采用文檔審閱、人員問詢、脆弱性掃描和現(xiàn)場查驗等風(fēng)險評估方法。（1）文檔審閱：了解XX信息系統(tǒng)的基本情況、2015年上半年發(fā)生的變化，問題項的整改情況，確定后續(xù)查驗的重點(diǎn)。審閱的文檔材料主要包括：安全審計報告與審計報告、例行檢查記錄、工作和審批記錄。（2）人員問詢：對XX信息系統(tǒng)管理人員和部分用戶（包括行政管理人員和技術(shù)人員）進(jìn)行了問詢，評估XX信息系統(tǒng)的管理者和使用者對自身保密職責(zé)的知悉情況，以及理解相關(guān)制度和標(biāo)準(zhǔn)并落實到日常工作中的情況。（3）脆弱性掃描：通過使用中科網(wǎng)威網(wǎng)絡(luò)漏洞掃描系統(tǒng)對XX廠XX信息系統(tǒng)進(jìn)行脆弱性掃描，收集服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)庫的安全漏洞。（4）現(xiàn)場查驗：評估規(guī)章制度的建設(shè)和執(zhí)行情況；評估部分服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)和安全保密設(shè)備的安全保密防護(hù)情況；評估系統(tǒng)的物理安全和電磁泄漏發(fā)射防護(hù)情況。資產(chǎn)識別資產(chǎn)是對組織具有價值的信息或資源。機(jī)密性、完整性和可用性是評價資產(chǎn)的三個安全屬性。風(fēng)險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟(jì)價值來衡量，而是由資產(chǎn)在這三個安全屬性上的達(dá)成程度或者其安全屬性未達(dá)成時所造成的影響程度來決定的。安全屬性達(dá)成程度的不同將使資產(chǎn)具有不同的價值，而資產(chǎn)面臨的威脅、存在的脆弱性、以及已采用的安全措施都將對資產(chǎn)安全屬性的達(dá)成程度產(chǎn)生影響。為此，必須對XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)進(jìn)行識別。4.1資產(chǎn)重要性等級定義資產(chǎn)的重要性等級依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級綜合評定后得出。本次評估將XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)劃分為五級，級別越高表示資產(chǎn)越重要。不同等級的資產(chǎn)重要性的綜合描述如下表所示。等級標(biāo)識描述5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴(yán)重的損失4高重要，其安全屬性破壞后可能對組織造成比較嚴(yán)重的損失3中等比較重要，其安全屬性破壞后可能對組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對組織造成較低的損失1很低不重要，其安全屬性破壞后可能對組織造成很小的損失，甚至忽略不計4.2資產(chǎn)分類根據(jù)XX廠資產(chǎn)的表現(xiàn)形式，首先將資產(chǎn)分為服務(wù)器、交換機(jī)、用戶終端（含網(wǎng)絡(luò)打印機(jī)）和XX單機(jī)（含XX筆記本電腦）、特種設(shè)備、軟件平臺、安全保密設(shè)備和應(yīng)用系統(tǒng)七個大類。然后，根據(jù)4.1節(jié)的定義，對不同資產(chǎn)的重要性等級進(jìn)行賦值。4.2.1服務(wù)器情況列表序號類型品牌型號用途IP地址IP地址類型資產(chǎn)重要性等級服務(wù)器服務(wù)器服務(wù)器4.2.2交換機(jī)情況列表序號類型交換機(jī)型號數(shù)量用途資產(chǎn)重要性等級1交換機(jī)2交換機(jī)3交換機(jī)交換機(jī)4.2.3用戶終端和XX單機(jī)序號類型廠家、型號數(shù)量用途資產(chǎn)重要性等級1用戶終端22中間轉(zhuǎn)換機(jī)33XX筆記本電腦34.2.4特種設(shè)備序號類型廠家、型號數(shù)量用途資產(chǎn)重要性等級1數(shù)控機(jī)床24考勤設(shè)備14.2.5軟件平臺序號軟件名稱廠家、版本運(yùn)行該軟件的設(shè)備用途安裝位置資產(chǎn)重要性等級——3Windows2003Server——Windows2008Server——6SQLServer數(shù)據(jù)庫——7Oracle數(shù)據(jù)庫——OSCAR數(shù)據(jù)庫——4.2.6安全保密設(shè)備序號設(shè)備名稱廠家和型號用途安裝位置和數(shù)量策略設(shè)置證書1防火墻2防病毒軟件3防病毒軟件4防病毒軟件5入侵檢測系統(tǒng)6漏洞掃描系統(tǒng)7USB移動存儲介質(zhì)使用管理系統(tǒng)8主機(jī)監(jiān)控與審計9微機(jī)視頻信息保護(hù)系統(tǒng)10紅黑電源隔離插座11線路傳導(dǎo)干擾器4.2.7應(yīng)用系統(tǒng)情況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權(quán)限設(shè)置情況資產(chǎn)重要性等級1OA系統(tǒng)54.2.8試運(yùn)行應(yīng)用系統(tǒng)情況列表序號系統(tǒng)名稱密級安裝位置用途用戶范圍訪問權(quán)限設(shè)置情況資產(chǎn)重要性等級1525325324威脅識別5.1威脅分類威脅是可能導(dǎo)致對系統(tǒng)或組織危害的不希望事故的潛在起因。威脅可以通過威脅主體、資源、動機(jī)和途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環(huán)境因素。威脅作用形式可以是對信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害；也可能是偶發(fā)的或蓄意的事件。下表為本次評估可能涉及到的威脅分類。種類描述威脅子類軟硬件故障對業(yè)務(wù)實施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷等問題設(shè)備硬件故障、傳輸設(shè)備故障、存儲媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫軟件故障、開發(fā)環(huán)境故障等物理環(huán)境影響對信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問題和自然災(zāi)害斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災(zāi)、火災(zāi)、地震等無作為或操作失誤應(yīng)該執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無意執(zhí)行了錯誤的操作維護(hù)錯誤、操作失誤等管理不到位安全管理無法落實或不到位，從而破壞信息系統(tǒng)正常有序運(yùn)行管理制度和策略不完善、管理流程缺失、職責(zé)不明確、監(jiān)督控管機(jī)制不健全等惡意代碼故意在計算機(jī)系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼病毒、木馬、蠕蟲、惡意程序、間諜軟件、竊聽軟件等越權(quán)或濫用通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為非授權(quán)訪問網(wǎng)絡(luò)資源、非授權(quán)訪問系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄漏XX信息等網(wǎng)絡(luò)攻擊利用工具和技術(shù)通過網(wǎng)絡(luò)對信息系統(tǒng)進(jìn)行攻擊和入侵網(wǎng)絡(luò)探測和信息采集、漏洞探測、嗅探（賬號、口令、權(quán)限等）、用戶身份偽造和欺騙、用戶或業(yè)務(wù)數(shù)據(jù)的竊取和破壞、系統(tǒng)運(yùn)行的控制和破壞等物理攻擊通過物理接觸造成對軟件、硬件和數(shù)據(jù)的破壞物理接觸、物理破壞、盜竊等泄密信息泄露給不應(yīng)了解的他人內(nèi)部信息泄漏、外部信息泄漏等篡改非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息等抵賴不承認(rèn)受到的信息和所作的操作和交易原發(fā)抵賴、接收抵賴、第三方抵賴等5.2威脅賦值判斷威脅出現(xiàn)的頻率是威脅賦值的重要內(nèi)容。本次評估綜合考慮了以下三個方面，以形成在評估環(huán)境中各種威脅出現(xiàn)的頻率。以往《月度運(yùn)行報告》中出現(xiàn)過的威脅及其頻率；實際環(huán)境中通過檢測工具以及各種日志發(fā)現(xiàn)的威脅及其頻率；這里對威脅出現(xiàn)的頻率進(jìn)行等級化處理，不同等級分別代表威脅出現(xiàn)的頻率的高低。等級數(shù)值越大，威脅出現(xiàn)的頻率越高。等級標(biāo)識定義5很高出現(xiàn)的頻率很高(≧1次/周)；或在大多數(shù)情況下幾乎不可避免；或可以證實經(jīng)常發(fā)生4高出現(xiàn)的頻率較高(≧1次/月)；或在大多數(shù)情況下很有可能發(fā)生；或可以證實多次發(fā)生過3中等出現(xiàn)的頻率中等(≧1次/半年)；或在某種情況下可能會發(fā)生；或被證實曾經(jīng)發(fā)生過2低出現(xiàn)的頻率較低；或一般不太可能發(fā)生；或沒有被證實發(fā)生過1很低威脅幾乎不可能發(fā)生；僅可能在非常罕見和例外的情況下發(fā)生脆弱性識別6.1脆弱性識別內(nèi)容脆弱性是可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的薄弱環(huán)節(jié)，即脆弱性是資產(chǎn)本身存在的，如果沒有被相應(yīng)的威脅利用，單純的脆弱性本身不會對資產(chǎn)造成損害。而且如果系統(tǒng)足夠強(qiáng)健，嚴(yán)重的威脅也不會導(dǎo)致安全事件的發(fā)生，并造成損失。威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。本次評估以XX為標(biāo)準(zhǔn)，從技術(shù)和管理兩個方面對XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)對象進(jìn)行脆弱性識別。脆弱性按照標(biāo)準(zhǔn)中的測評項進(jìn)行分類。6.2脆弱性賦值這里根據(jù)脆弱性對資產(chǎn)的暴露程度、技術(shù)實現(xiàn)的難易程度、流行程度等，采用等級方式對已識別的脆弱性的嚴(yán)重程度進(jìn)行賦值。脆弱性賦值是以等級進(jìn)行劃分的，不同的等級代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級數(shù)值越大，脆弱性嚴(yán)重程度越高。等級標(biāo)識定義5很高如果被威脅利用，將對資產(chǎn)造成完全損害4高如果被威脅利用，將對資產(chǎn)造成重大損害3中等如果被威脅利用，將對資產(chǎn)造成一般損害2低如果被威脅利用，將對資產(chǎn)造成較小損害1很低如果被威脅利用，將對資產(chǎn)造成的損害可以忽略6.3脆弱性專向檢測6.3.1病毒木馬專項檢查通過查看瑞星管理控制臺，了解系統(tǒng)內(nèi)病毒木馬爆發(fā)的情況。其中，2015年5月和6月的爆發(fā)情況如下表所示。時間段感染次數(shù)（次）受感染主機(jī)數(shù)（臺）2015年5月26891192015年6月26741176.3.2網(wǎng)絡(luò)掃描專項測試使用中科網(wǎng)威漏洞掃描系統(tǒng)，對XX廠XX信息系統(tǒng)內(nèi)的服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程安全評估。服務(wù)器掃描結(jié)果服務(wù)器區(qū)網(wǎng)段共掃描主機(jī)27臺，其中高度危險主機(jī)14臺，七臺存有緊急漏洞，比較危險主機(jī)13臺，比較安全主機(jī)0臺，非常安全主機(jī)0臺。IP地址操作系統(tǒng)所在域漏洞數(shù)高危數(shù)危險等級危險值本次遠(yuǎn)程評估共掃描到的前五漏洞，如下表所示。編號漏洞名稱危險等級出現(xiàn)次數(shù)1MicrosoftIISWebDAV遠(yuǎn)程認(rèn)證繞過漏洞緊急32Oracletnslsnr未設(shè)置口令高級43ICMP時間戳檢測中級244DCE服務(wù)器列舉低級235開放的tcp端口檢測信息27用戶終端掃描結(jié)果用戶終端和部分設(shè)備共掃描了主機(jī)數(shù)567臺，其中高度危險主機(jī)5臺，比較安全主機(jī)562臺，部分結(jié)果見下表。IP地址操作系統(tǒng)所在域漏洞數(shù)高危數(shù)危險等級危險值本次掃描到的前五漏洞，如下表所示。編號漏洞名稱危險等級出現(xiàn)次數(shù)1MicrosoftWindowsSMB存在多個漏洞允許遠(yuǎn)程執(zhí)行代碼緊急22MySQL5.x未指明的緩沖區(qū)溢出漏洞高級23PHP存在多個緩沖區(qū)溢出漏洞高級14OracleMySQL'TEMPORARYInnoDB'數(shù)據(jù)表拒絕服務(wù)漏洞中級25MySQL存在多個漏洞中級2風(fēng)險分析序號資產(chǎn)對象脆弱性類型脆弱性描述威脅風(fēng)險標(biāo)識電源隔離防護(hù)裝置電磁泄漏發(fā)射防護(hù)個別用戶終端與黑設(shè)備共用紅黑電源濾波隔離插座，部分XX網(wǎng)絡(luò)線路與技防、電話線路間隔距離不足存在電磁泄漏的風(fēng)險中等高中高服務(wù)器操作系統(tǒng)安全、數(shù)據(jù)庫安全部分XX服務(wù)器應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁程序未安裝完全，存在高風(fēng)險漏洞黑客可利用系統(tǒng)漏洞入侵、控制服務(wù)器，獲取重要信息高設(shè)備安全、介質(zhì)安全、安全審計、設(shè)備數(shù)據(jù)接口、違規(guī)外聯(lián)監(jiān)控部分服務(wù)器未安裝主機(jī)監(jiān)控與審計系統(tǒng)、移動存儲介質(zhì)使用管理系統(tǒng)和違規(guī)外聯(lián)監(jiān)控系統(tǒng)服務(wù)器管理員可非授權(quán)使用設(shè)備數(shù)據(jù)接口、未注冊介質(zhì)、非法外部連接高用戶終端（含網(wǎng)絡(luò)打印機(jī)）計算機(jī)病毒與惡意代碼防護(hù)部分XX用戶終端存在病毒、木馬事件報告病毒、木馬可導(dǎo)致系統(tǒng)、網(wǎng)絡(luò)癱瘓，竊取用戶數(shù)據(jù)中低操作系統(tǒng)安全、數(shù)據(jù)庫安全部分用戶終端和網(wǎng)絡(luò)打印機(jī)操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁未安裝完全，有高風(fēng)險漏洞；個別用戶終端開放多余服務(wù)攻擊者可利用系統(tǒng)漏洞入侵、控制用戶終端，獲取重要信息中等防火墻日志服務(wù)器日志審計日志服務(wù)器運(yùn)行不穩(wěn)定，日志不全無法查看防火墻日志，無法進(jìn)行審計中等打印機(jī)輸出控制部分用戶未按文件密級進(jìn)行打印輸出，存在高密低打現(xiàn)象存在輸出文件失控的風(fēng)險中等打印機(jī)輸出控制部分打印機(jī)與安裝部門屬同一地址段，且開放SNMP服務(wù)存在非審批打印的風(fēng)險中等中等XX筆記本電腦設(shè)備數(shù)據(jù)接口XX筆記本電腦無法審計打印和光盤刻錄事件存在非授權(quán)導(dǎo)出XX信息的風(fēng)險中低顯示輸出保密要害部門中的個別XX單機(jī)對窗擺放，且未采用其他防護(hù)措施（如拉窗簾），不能防止顯示輸出內(nèi)容被非授權(quán)獲取存在顯示輸出內(nèi)容被非授權(quán)獲取的風(fēng)險低中等風(fēng)險統(tǒng)計XX廠XX信息系統(tǒng)安全風(fēng)險評估共識別出安全風(fēng)險13個，其中：高風(fēng)險2個，中高風(fēng)險1個，中等風(fēng)險3個，中低風(fēng)險3個，低風(fēng)險4個。評估結(jié)論經(jīng)過各方面的評估XX廠XX信息系統(tǒng)基本上是安全的，基本符合分級保護(hù)國家保密標(biāo)準(zhǔn)的要求。但依然存在部分風(fēng)險，需從組織、管理和技術(shù)等多方面進(jìn)行補(bǔ)充和完善，并加強(qiáng)教育培訓(xùn)，提高人員意識和相關(guān)技能，規(guī)范其行為，從根本上確保信息安全。整改建議個別用戶終端視頻干擾儀、紅黑電源濾波隔離插座使用不符合要求。問題描述： 個別用戶終端與黑設(shè)備（非XX計算機(jī)、飲水機(jī)等）共用紅黑電源濾波隔離插座，存在電磁泄漏的風(fēng)險。整改建議：對問題部門提出警告，加強(qiáng)對紅黑電源濾波隔離插座使用的監(jiān)管力度。個別XX單機(jī)對窗擺放，且未采用其他防護(hù)措施問題描述保密要害部門中的個別XX單機(jī)對窗擺放，且未采用其他防護(hù)措施（如拉窗簾），存在顯示輸出內(nèi)容被非授權(quán)獲取的風(fēng)險。整改建議對窗和對玻璃墻擺放的用戶終端加裝防護(hù)措施，并加強(qiáng)教育培訓(xùn)，提高人員保密意識。部分服務(wù)器應(yīng)用程序、數(shù)據(jù)庫補(bǔ)丁程序未安裝完全，存在高風(fēng)險漏洞問題描述XX等服務(wù)器的ORA