信息安全風險評估實施報告

1111單位：1111系統(tǒng)安全項目信息安全風險評估報告報告編寫人：日期:版本號:第一版本日期第二版本日期1概述 41.1項目背景 41.2工作方法 41.3評估范圍 41.4基本信息 52業(yè)務(wù)系統(tǒng)分析 52.1業(yè)務(wù)系統(tǒng)職能 52.2網(wǎng)絡(luò)拓撲結(jié)構(gòu) 52.3邊界數(shù)據(jù)流向 53資產(chǎn)分析 63.1信息資產(chǎn)分析 63.1.1信息資產(chǎn)識別概述 63.1.2信息資產(chǎn)識別 64威脅分析 7 7 9 9 5.2.1網(wǎng)絡(luò)平臺脆弱性分析 6.3資產(chǎn)風險列表 7.2.1安全措施 207.2.3操作系統(tǒng) 218制定及確認 22在本次安全風險評測中將主要采用的評測方法包括：人工評測；工具評測；1.3評估范圍評估工作配合人員圖表1業(yè)務(wù)系統(tǒng)拓撲結(jié)構(gòu)圖數(shù)據(jù)流向雙向3.1信息資產(chǎn)分析高3中2低1資產(chǎn)中中資產(chǎn)高高中中中軟件資產(chǎn)操作系庫和應(yīng)用軟件高高高高高(2)內(nèi)部威脅：主要來自內(nèi)部人員的惡意攻擊、無作為或操作失誤、越權(quán)因素影響：1)資產(chǎn)的吸引力；2)資產(chǎn)轉(zhuǎn)化成報酬的容易程度；3)威脅的技術(shù)力量；4)脆弱性被利用的難易程度。高3黑客攻擊、惡意代碼和病毒等完全不可控出現(xiàn)的頻率較高(或≥1次/月);或在大多數(shù)情況下很有可能會發(fā)生；或可中2物理攻擊、內(nèi)部人員的操作失誤、惡意代碼和病毒等一定的可控性出現(xiàn)的頻率中等(或>1次/半年);或在某種情況下可能會發(fā)生；或被證實低1內(nèi)部人員的操作失誤、惡意出現(xiàn)的頻率較小；或一般不太可能發(fā)生；或沒有被能性行為抵賴身份假冒非法用戶冒充合法用戶進行操作的可能性非法用戶對系統(tǒng)密碼分析的可能性安全漏洞非法用戶利用系統(tǒng)漏洞侵入系統(tǒng)的可能性非法用戶利用拒絕服務(wù)手段攻擊系統(tǒng)的可能性惡意代碼竊聽數(shù)據(jù)非法用戶通過竊聽等手段盜取重要數(shù)據(jù)的可能性非法用戶利用社交等手段獲取重要信息的可能性意外故障系統(tǒng)的組件發(fā)生意外故障的可能性系統(tǒng)合法用戶系統(tǒng)管理員和其他授權(quán)用戶行為抵賴系統(tǒng)非法用戶身份假冒安全漏洞惡意代碼竊聽數(shù)據(jù)系統(tǒng)組件意外故障122231312211122231312211122231312211112111311211112111311211112111311211112111311211112221311211被各種安全威脅利用來侵害一個組織機構(gòu)內(nèi)的有關(guān)資產(chǎn)及這些資產(chǎn)所支持的業(yè)高3很容易被攻擊者利用，會對系統(tǒng)造成極大損害；中2脆弱項雖然對系統(tǒng)安全有一定影響，但其被利用需要一定難度；低1脆弱項被利用后會對系統(tǒng)產(chǎn)生有限影響；排列：V30001.未對super密碼加密高V30002.未進行用戶權(quán)限設(shè)置高V30003.未對VTY的訪問限制中未進行登陸超時設(shè)置中V30005.未禁用FTP服務(wù)中V30006.未進行日志審計中V30007.未對VTY的數(shù)量限制低脆弱性編V22001.中V22002.低不記錄登錄失敗事件低5.2.3脆弱性掃描結(jié)果分析是否網(wǎng)絡(luò)設(shè)備與防火墻是網(wǎng)絡(luò)設(shè)備與防火墻是solaris系統(tǒng)、solaris應(yīng)用是solaris系統(tǒng)、solaris應(yīng)用是solaris系統(tǒng)、solaris應(yīng)用是solaris系統(tǒng)、solaris應(yīng)用是是是是編號OpenSSHS/Key遠程信息泄露漏洞中V22005.程序內(nèi)存兩次釋放漏洞中OpenSSH復(fù)制塊遠程拒絕服務(wù)漏洞中項目有無是否傳達到相關(guān)員工有無是否有復(fù)核制度無明確的復(fù)核制度狀不符合，貫徹不力項目有無與外部安全機構(gòu)的合作合作較少足，不能及時響應(yīng)最新的安全問題問安全訪問控制外來人員參觀機房需同無保密合同有無資產(chǎn)分類資產(chǎn)清單和描述有無資產(chǎn)分類無崗位和資源工作職責有無崗位劃分劃分明確無能力要求有，對人員基本能力無無培訓(xùn)定期培訓(xùn)公司定期培訓(xùn)，無針對本系統(tǒng)的培訓(xùn)該業(yè)務(wù)系統(tǒng)的實際情況，缺少針對性安全意識員工安全意識比較強無明確規(guī)定無有無糾正機制有糾正機制無運行管和職責無安全事故管理責任有完整流程，并作相無內(nèi)務(wù)處理有詳細的備份計劃無無故障記錄有無問控制網(wǎng)絡(luò)訪問控制外聯(lián)用戶控制無網(wǎng)絡(luò)路由控制有，統(tǒng)一做的無網(wǎng)絡(luò)連接控制有無網(wǎng)絡(luò)隔離控制無訪問控制未授權(quán)用戶威項目口令管理有無無無數(shù)據(jù)庫系統(tǒng)訪問控制用戶權(quán)限控制有無訪問權(quán)限控制有無口令控制有無日常維護無網(wǎng)絡(luò)監(jiān)控有，統(tǒng)一部署的無有無系統(tǒng)日志有無續(xù)性管核心服務(wù)器數(shù)據(jù)庫有無有無無有無無沒有采取收集證據(jù)的方式來維護自己的利益自身利益可能受到損失安全策略安全策略并經(jīng)常被審查，集團下發(fā)的一些東西無有，定期進行技術(shù)審查以確保符合安全實無5.4脆弱性識別序號身份假冒密碼分析拒絕服務(wù)1212313111121231311111121231311111112111211111112111211111112111211111112111211111112111211111代表資產(chǎn)的估價，T代表威脅，V代表脆弱性。我們得出下表：363663333636633336366333333333633333333363333333336333333333633333663336337系統(tǒng)安全加固建議缺少明確的復(fù)核制度與外部安全機構(gòu)的合作較少，對最新不能及時響應(yīng)最新的安全問題訓(xùn)和系統(tǒng)風險評估與加固工作制使用身份認證和通訊加密的要求啟用認證系統(tǒng)系統(tǒng)邊界缺少安全防護措施出口鏈路中增加防火墻進行訪問控制和安全隔離系統(tǒng)邊界出口缺少冗余措施出口鏈路中增加鏈路冗余，減少發(fā)生通或者對關(guān)鍵設(shè)備做冷備內(nèi)部骨干鏈路與核心設(shè)備之間缺少冗余措施或者對關(guān)鍵設(shè)備做冷備系統(tǒng)的內(nèi)部網(wǎng)絡(luò)中缺少入侵檢測技術(shù)系統(tǒng)中缺少對流量做監(jiān)控的技術(shù)手段V30001.未對super密碼加密對super密碼進行加密V30002.未進行用戶權(quán)限設(shè)置設(shè)置用戶權(quán)限可能會導(dǎo)致部分用戶權(quán)限不適當V30003.未對VTY的訪問限制設(shè)置VTY訪問限制可能限制某些用戶無法訪問未進行登錄超時設(shè)置設(shè)置登錄超時時間確定超時時間未禁用FTP服務(wù)禁用FTP服務(wù)未進行日志審計需要日志收集服務(wù)響行露漏洞安裝相應(yīng)的補丁用有影響程序內(nèi)存兩次釋放漏洞安裝相應(yīng)的補丁