國(guó)內(nèi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估市場(chǎng)與技術(shù)操作(已修改)
2025-08-11 21:45 本頁(yè)面
【正文】 國(guó)內(nèi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估市場(chǎng)與技術(shù)操作吳魯加 04/19/2004 個(gè)人主頁(yè)：：版本控制 04/01/2004 文檔創(chuàng)建，包含大量示例文件內(nèi)部發(fā)布 04/19/2004 刪除部份敏感信息，增加國(guó)內(nèi)市場(chǎng)分析、BS7799和OCTAVE概述后，對(duì)外發(fā)布近兩年網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估漸漸為人們所重視，不少大型企業(yè)尤其是運(yùn)營(yíng)商、金融業(yè)都請(qǐng)了專業(yè)公司進(jìn)行評(píng)估。本文提出作者個(gè)人對(duì)國(guó)內(nèi)安全風(fēng)險(xiǎn)評(píng)估操作的一些評(píng)價(jià)，并試圖闡述作者所理解的，可裁剪、易操作的風(fēng)險(xiǎn)評(píng)估方式。由于內(nèi)容與商業(yè)公司有關(guān)，因此不可避免會(huì)涉及部份商業(yè)利益，在文中作者盡量隱去可能產(chǎn)生直接利害關(guān)系的文字，并聲明所有評(píng)價(jià)純屬個(gè)人觀點(diǎn)，如果你有不同意見，歡迎來函探討。1. 什么是風(fēng)險(xiǎn)評(píng)估說起風(fēng)險(xiǎn)評(píng)估，大家腦海中首先浮現(xiàn)的可能是：風(fēng)險(xiǎn)、資產(chǎn)、影響、威脅、弱點(diǎn)等一連串的術(shù)語(yǔ)，這些術(shù)語(yǔ)看起來并不難理解，但一旦綜合考慮就會(huì)象繞口令般組合。比如風(fēng)險(xiǎn)，用ISO/IEC TR 133351:1996中的定義可以解釋為： 特定威脅利用某個(gè)(些)資產(chǎn)的弱點(diǎn)，造成資產(chǎn)損失或破壞的潛在可能性。為了幫助理解，我們舉一個(gè)下里巴人的例子：我口袋里有100塊錢，因?yàn)榇蝾?，被小偷偷走了，搞得晚上沒飯吃。用風(fēng)險(xiǎn)評(píng)估的觀點(diǎn)來描述這個(gè)案例，我們可以對(duì)這些概念作如下理解：風(fēng)險(xiǎn) = 錢被偷走資產(chǎn) = 100塊錢影響 = 晚上沒飯吃威脅 = 小偷弱點(diǎn) = 打瞌睡回到陽(yáng)春白雪來，假設(shè)這么個(gè)案例：某證券公司的數(shù)據(jù)庫(kù)服務(wù)器因?yàn)榇嬖赗PC DCOM的漏洞，遭到入侵者攻擊，被迫中斷3天。讓我們嘗試做一道小學(xué)時(shí)常做的連線題，把左右兩邊相對(duì)應(yīng)的內(nèi)容用線段連接起來：風(fēng)險(xiǎn) RPC DCOM漏洞資產(chǎn) 服務(wù)器遭到入侵影響 數(shù)據(jù)庫(kù)服務(wù)器威脅 入侵者弱點(diǎn) 中斷三天如果這道題對(duì)你沒什么難度，那么恭喜你，你已經(jīng)和國(guó)內(nèi)大多數(shù)風(fēng)險(xiǎn)評(píng)估的操作者差不多站在同一個(gè)起跑線上了。2. 國(guó)內(nèi)現(xiàn)有風(fēng)險(xiǎn)評(píng)估操作模式 評(píng)估市場(chǎng)和競(jìng)爭(zhēng)分析如果按照高、中、低端簡(jiǎn)單對(duì)國(guó)內(nèi)的風(fēng)險(xiǎn)評(píng)估市場(chǎng)進(jìn)行分類，那么我們可以很清晰地看到，幾類市場(chǎng)的操作方式完全不同。國(guó)內(nèi)高端市場(chǎng)主要被如IBM(普華永道)、畢馬威這樣類型會(huì)計(jì)師事務(wù)所類型的公司占領(lǐng)，往往網(wǎng)絡(luò)安全評(píng)估就涵蓋在他們的整個(gè)審計(jì)體系之下。中端市場(chǎng)上則盤踞著國(guó)內(nèi)外大多數(shù)較有實(shí)力的網(wǎng)絡(luò)安全公司，其中包括較早提出安全評(píng)估并且在運(yùn)營(yíng)商市場(chǎng)有比較好的實(shí)踐的安氏、有作風(fēng)穩(wěn)健但卻一步一個(gè)腳印打下大片疆土的啟明星辰、也有異軍突起極具競(jìng)爭(zhēng)力的綠盟科技……低端廠商則數(shù)量龐大，往往只是通過簡(jiǎn)單的漏洞掃描、病毒查殺等方式操作。 主要中端廠商的評(píng)估模式分析以下分析中的數(shù)據(jù)來源為筆者在從事網(wǎng)絡(luò)安全評(píng)估實(shí)踐時(shí)通過各種渠道獲得。但由于信息的時(shí)效性，未能確認(rèn)當(dāng)前文中所進(jìn)行的表述與分析就代表著各家企業(yè)的最新評(píng)估發(fā)展?fàn)顟B(tài)。希望讀者自行鑒別。 啟明星辰啟明星辰2002年之前始終比較低調(diào)，但風(fēng)險(xiǎn)評(píng)估項(xiàng)目從最初對(duì)某證券公司進(jìn)行的純粹漏洞掃描、人工審計(jì)、滲透測(cè)試這種類型的純技術(shù)操作到套用BS7799到采用OCTAVE方法再到最終形成自己的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的方法論、操作模型，有很多專業(yè)人員付出了大量勞動(dòng)。下圖是啟明星辰的幻燈片中摘錄的，他們?cè)u(píng)估發(fā)展的歷程，在每個(gè)臺(tái)階上有該階段所經(jīng)過的項(xiàng)目名稱，出于安全原因隱去。業(yè)務(wù)參與性弱、解決方案可操作性差往往也是高要求的用戶對(duì)風(fēng)險(xiǎn)評(píng)估隊(duì)伍批評(píng)較多的地方，但從啟明星辰近期在幾家大型客戶那里的操作來看，較受客戶好評(píng)。啟明星辰有較多在風(fēng)險(xiǎn)評(píng)估中可以應(yīng)用的工具：天鏡評(píng)估版：掃描器，有專門用于風(fēng)險(xiǎn)評(píng)估的版本。 天清：又名SRC，指Security Risk Manage，基于ISO17799的量化、可視化的評(píng)估工具。 信息庫(kù)：名稱不詳，能夠直接導(dǎo)入天鏡、Nessus、ISS等掃描器的掃描結(jié)果并生成報(bào)告。據(jù)說是較好的安全評(píng)估過程輔助工具。 本地評(píng)估軟件包。 我理解的啟明星辰風(fēng)險(xiǎn)評(píng)估特點(diǎn)為：博采眾長(zhǎng) 這一方面與啟明星辰參與部份安全行業(yè)國(guó)家標(biāo)準(zhǔn)的制訂有關(guān)，另一方面則是他們有著較多高學(xué)歷員工，對(duì)高端咨詢類型的提煉、深化抓得比較好，對(duì)評(píng)估要求看得透徹，寫得清楚。變化較快 這可以說既是優(yōu)點(diǎn)，也是缺點(diǎn)。在每次較大的評(píng)估項(xiàng)目中他們一般都要求有所突破。這逼著他們?nèi)?chuàng)新，但同時(shí)也導(dǎo)致評(píng)估的方法論很容易有變動(dòng)。 綠盟科技綠盟科技從最初參與中國(guó)電信評(píng)估項(xiàng)目開始走進(jìn)安全評(píng)估領(lǐng)域，挾其強(qiáng)大的系統(tǒng)研究技術(shù)優(yōu)勢(shì)進(jìn)入市場(chǎng)。下圖是他們一份講稿中的評(píng)估流程描述：我對(duì)綠盟科技風(fēng)險(xiǎn)評(píng)估方法的總體評(píng)價(jià)是：它是專業(yè)的系統(tǒng)和網(wǎng)絡(luò)安全評(píng)估，不是信息安全評(píng)估，具體有如下幾點(diǎn)：項(xiàng)目可操作性強(qiáng) 管理評(píng)估存在不足，風(fēng)險(xiǎn)計(jì)算方式不夠科學(xué) 技術(shù)弱點(diǎn)把握精確 安氏
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1