信息安全 安全方案設計-文庫吧
2025-06-18 12:48 本頁面
【正文】 特別重要 信息安全概論 第 16 章 安全方案設計 3 根據以上資產分析依據，就可以給資產賦值。從而成為方案設計的一個量化依據。 . 漏洞分析 在分析了資產價值之后，就要對信息網絡的脆弱性進行分析評估。如果信息網絡沒有漏洞可供攻擊者利用，則認為信息網絡是安全的。然而，實際的信息網絡總有脆弱點存在。而且有些脆弱點是是無法避免的，如，很多服務端口必須開通，為合法訪問者提供服務的同時也為攻擊者提供了通路。漏洞掃描的目的就是確認信 息系統(tǒng)具體存在什么漏洞。這種，通過制定信息系統(tǒng)存在的漏洞的類別和風險級別來指導采取的防范措施。漏洞掃描的有關內容在“脆弱性分析”一章一做了介紹。但在具體應用時，應制定相應的脆弱性分析結果表，如表 所示。 表 漏洞分析結果樣表 被評估對象 掃描工具 漏洞名稱 /編號 漏洞描述 漏洞風險級別 * 應對措施 WWW 服務器 ISS Saner 安裝補丁包 Email 服務器 數(shù)據庫服務器 路由器 … * 表中漏洞風險級別分 3 級： 1低 2中 3高 該表的條目可根據需要自行增減，樣表 只是描述了主要的要素，其中，被評估對象可以是網絡設備（如路由器），也可以是主機設備（如服務器），可以是操作系統(tǒng)，也可以是具體應用；掃描工具有多種，根據實際情況選用；漏洞名稱和編號常采用 CVE 公布的規(guī)范，有些尚未列入 CVE 的漏洞可暫給一個臨時編號；漏洞描述部分是對響應漏洞的情況簡單的說明，如，存在什么版本的系統(tǒng)中等；風險級別是反映漏洞可能導致的危險的評價，初略地分為高、中、低三個級別；應對措施是指已供認的措施（ 如安裝補丁程序）和本方案中必須自行提出的防范措施等。 漏洞評估要定期進行。 . 威脅分析 安全方案的最終是為了阻止威脅，保護信息安全，因此，在方案設計中，必須先分析被保護系統(tǒng)面臨的威脅種類和來源，提出相應的技術措施。 有關威脅分析的一般知識在“安全脆弱性分析”一章中已介紹。這里從實際應用的角度進行方法分析。針對具體的應用系統(tǒng)，必須先劃定保護的邊界，然后分析來自保護邊界內外的威脅，做出相應的威脅分析和對策表，如表 所示。 信息安全概論 第 16 章 安全方案設計 4 表 威脅分析和對策表 被保護邊界 可能面臨的威脅 可能造成的損失 應對措 施 Inter 接口 對外服務接口 PSTN 撥號接口 Extra 接口 WAN 接口 子網接口 重要服務器 … 在表中，可以根據被保護網絡的具體狀況，分析保護邊界和威脅，然后采取保護措施。 . 標準和政策分析 信息安全既是技術問題，也是管理問題。作為技術問題，必須遵照相應的技術標準，而作為管理問題，則要符合國家的相關政策。 因此在方案設計時進行標準和政策分析，制定相應的表格，如表 和 。 表 標準分析表 標準名稱 標準類別 標準主要要求 方案采納條款 GB17859 評估標準 將信息系統(tǒng)安全分為 5級 采用第 3 級要求 CC 評估標準 安全功能和保障 方案設計采用PP/ST 模式 ISO17799 安全管理 對具體的系統(tǒng)管理提出了技術要求 參照技術要點 … 表 政策要求分析表
公司管理相關推薦
鄂ICP備17016276號-1