信息系統(tǒng)安全與保密-第3章-文庫吧
2025-02-08 14:04 本頁面
【正文】 4 控制臺 中 3 供電設(shè)備 高 4 投影幕 低 2 空調(diào) 中 3 網(wǎng)絡(luò)電纜及接口 低 2 軟件 系統(tǒng)軟件 中 3 課件播放軟件 中 3 應(yīng)用軟件 中 3 殺毒軟件 低 2 信息 多媒體課件 低 2 演示程序 低 2 人員 課室管理人員 中 3 技術(shù)支持人員 中 3 安全保衛(wèi)人員 低 2 附：案例分析 通過分析多媒體教學(xué)系統(tǒng)在硬件、軟件信息、有關(guān)人員等方面的資產(chǎn)信息，并考察這些資產(chǎn)的價值以及對信息系統(tǒng)的關(guān)鍵程度。 經(jīng)識別與分析后，有關(guān)資產(chǎn)及其關(guān)鍵程度如表所示。 威脅識別與重要性評估 一項資產(chǎn)可能面臨多個威脅，而一個威脅也可能 對不同的資產(chǎn)造成影響。 確認引發(fā)威脅的人或事物，即威脅源或威脅代理 關(guān)鍵環(huán)節(jié) 評估威脅發(fā)生的可能性（頻率或概率） 動 機 能 力 人 員 利 用 網(wǎng) 絡(luò) 訪 問 的 威 脅 樹 系 統(tǒng) 故 障 威 脅 樹 等級 標識 定 義 1 很低 威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生 2 低 威脅出現(xiàn)的頻率較小，一般不太可能發(fā)生，也沒有被證實發(fā)生過 3 中 威脅出現(xiàn)的頻率中等，在某種情況下可能會發(fā)生或被證實曾經(jīng)發(fā)生過 4 高 威脅出現(xiàn)的頻率較高，在大多數(shù)情況下很有可能會發(fā)生或者可以證實多次發(fā)生 5 很高 威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可以證實經(jīng)常發(fā)生過 表 2 威脅賦值表 ? 通過對上述各類資產(chǎn)面臨的主要安全威脅進行分析，并依據(jù)其出現(xiàn)的可能性大小對各類威脅進行評估，結(jié)果如下表所示。 威脅類型 威脅表現(xiàn)形式 評估等級 自然威脅 地震 、颶風(fēng) 、火山 、洪水、海嘯 、泥石流、暴風(fēng)雪 、雪崩 、雷電等 很低 1 環(huán)境威脅 供電中斷 中 3 火災(zāi)、供水故障、污染、極端溫度或濕度 低 2 系統(tǒng)威脅 電腦、投影儀硬件故障 低 2 網(wǎng)絡(luò)故障 中 3 系統(tǒng)軟件、應(yīng)用軟件故障、課件播放軟件故障 高 4 惡意代碼 很高 5 人員威脅 盜竊 高 4 物理硬件故意破壞 中 3 誤操作 很高 5 疾病或其他原因?qū)е虏荒芗皶r到崗 中 3 脆弱性檢測與被利用可能性評估 脆弱性是指信息系統(tǒng)中的缺陷或弱點。 技術(shù)性弱點 如系統(tǒng)漏洞 操作性弱點 配置中的缺陷 管理性弱點 規(guī)章制度不足 可借助漏洞掃描工具等方法進行識別與評估??！ 脆弱點識別內(nèi)容表 ? 脆弱點識別，應(yīng)對針對已識別人每一類資產(chǎn)，考慮可能存在的脆弱點，它包括技術(shù)脆弱點與管理脆弱點 ? 本例中由于技術(shù)問題簡單，因而主要表現(xiàn)為管理方面的脆弱性。為提高效率 ? 脆弱點識別還應(yīng)結(jié)合威脅識別的結(jié)果，重點考察可能導(dǎo)致安全事件的威脅 脆弱點對，在脆弱點識別后，再依據(jù)脆弱點的嚴重程度對脆弱點進行評估。評估結(jié)果如下表所示。 可能威脅 脆弱點 評估等級 供電中斷 沒有備用電源 高 4 盜竊、物理破壞 安全保衛(wèi)機制不健全 很高 5 疾病或其他原因?qū)е虏荒芗皶r到崗 課室鑰匙管理人員無“備份” 高 4 多媒體技術(shù)支持人員無“備份” 高 4 誤操作 老師對多媒體課室使用注意事項不熟悉 很高 5 火災(zāi) 未部署防火設(shè)施 很高 5 極端溫度及濕度 未安裝空調(diào)及除濕設(shè)備 高 4 軟件故障 軟件的安裝與卸載權(quán)限管理機制不嚴 高 4 惡意代碼 殺毒軟件不能及時升級 低 2 自然威脅 硬件物理保護不夠 很高 5 硬件故障 硬件使用壽命有限或其他原因 高 4 控制措施識別與效力評估 識別現(xiàn)有安全控制措施，分析安全措施的效力， 確定威脅利用弱點的實際可能性。 (1)威懾性：可降低蓄意攻擊
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1