【正文】 的使用部門以及網(wǎng)絡(luò)結(jié)構(gòu)的管理部門研發(fā)部的主要工作人員對評估范圍內(nèi)的資產(chǎn)進行了逐項分析，比對財務(wù)資產(chǎn)清單，結(jié)合系統(tǒng)運行現(xiàn)狀，識別出評估范圍內(nèi)的信息資產(chǎn)，形成了資產(chǎn)識別表；參考《資產(chǎn)重要性程度判斷準則》為每個資產(chǎn)進行了重要性程度賦值。資產(chǎn)識別小組依據(jù)《信息安全技術(shù) 信息安全風險評估規(guī)范（GB/T209842007）》對于保密性、可用性、完整性的定義及資產(chǎn)賦值表，對重要資產(chǎn)進行了賦值制作重要資產(chǎn)賦值表。威脅風險值計算步驟是：1　 由威脅和脆弱性確定安全事件發(fā)生的可能性；2　 由資產(chǎn)和脆弱性確定安全事件的損失；3　 由安全事件發(fā)生的可能性和安全事件的損失確定風險值。是狼就要練好牙，是羊就要練好腿。拼一個春夏秋冬！贏一個無悔人生！早安！—————獻給所有努力的人.學(xué)習好幫手。不奮斗就是每天都很容易，可一年一年越來越難。 不可接收風險劃分經(jīng)風險分析小組確定并經(jīng)項目負責人批準，我們設(shè)定威脅風險值大于等11或資產(chǎn)威脅風險值大于等于55的風險都屬于不可接受風險。 在脆弱性識別過程中我們使用的掃描工具包括A公司的B型漏洞掃描器、應(yīng)用層漏洞掃描器。 硬件資產(chǎn)識別表資產(chǎn)識別表 硬件資產(chǎn)序號資產(chǎn)名稱資產(chǎn)編號責任人應(yīng)用描述重要性程度備注部門1核心路由器S001張三核心路由5Cisco 7206研發(fā)部2核心交換機S002張三核心交換機5Cisco 6509研發(fā)部3數(shù)據(jù)中心交換機S003張三交換機5Nexus 7000研發(fā)部4匯聚交換機S004張三交換機2Cisco3560研發(fā)部5接入交換機S005張三交換機2Cisco2960研發(fā)部6無線APS006張三無線接入點3Cisco AIR系列研發(fā)部7服務(wù)器S007張三服務(wù)器5浪潮天梭研發(fā)部8個人PCS008張三PC3聯(lián)想揚天研發(fā)部9磁盤陣列S009張三磁盤組5華為OceanStor研發(fā)部10移動硬盤S010張三移動硬盤3希捷Backup研發(fā)部11U盤S011張三U盤2研發(fā)部12光纖S012張三光纖1研發(fā)部13雙絞線S013張三雙絞線1研發(fā)部14UPSS014張三UPS4研發(fā)部15PDU電源分配器S015張三PDU電源分配器4研發(fā)部16精密空調(diào)S016張三精密空調(diào)3研發(fā)部17打印機S017張三打印機2研發(fā)部18投影儀S018張三投影儀1研發(fā)部19液晶顯示器S019張三液晶顯示器1研發(fā)部20防火墻S020張三連接各分部3研發(fā)部 軟件資產(chǎn)識別表資產(chǎn)識別表 軟件資產(chǎn)序號資產(chǎn)名稱描述重要性程度備注部門1Windows系統(tǒng)200XP2研發(fā)部2Linux系統(tǒng)5研發(fā)部3MySQL數(shù)據(jù)庫5研發(fā)部4Vmware虛擬化軟件74研發(fā)部5Apache軟件5研發(fā)部6Squid代理服務(wù)器軟件2研發(fā)部7Cacti監(jiān)控軟件3研發(fā)部8WPS office2研發(fā)部9福昕PDF2研發(fā)部10Eclipse2研發(fā)部11Memcached緩存服務(wù)器2研發(fā)部12Maven項目管理工具4研發(fā)部13Svn版本管理工具4研發(fā)部 服務(wù)資產(chǎn)識別表資產(chǎn)識別表 服務(wù)資產(chǎn)序號資產(chǎn)名稱描述重要性程度備注部門1DNS服務(wù)3研發(fā)部2DHCP服務(wù)2研發(fā)部3FTP服務(wù)2研發(fā)部4HTTP服務(wù)2研發(fā)部5SNMP服務(wù)2研發(fā)部6NFS服務(wù)2研發(fā)部7VPN服務(wù)3研發(fā)部8郵件服務(wù)3研發(fā)部9ERP企業(yè)資源計劃系統(tǒng)2SA研發(fā)部10HR系統(tǒng)2用友研發(fā)部11CRM客戶關(guān)系管理系統(tǒng)2金蝶研發(fā)部12OA辦公自動化系統(tǒng)5研發(fā)部 文檔和數(shù)據(jù)資產(chǎn)識別表資產(chǎn)識別表 文檔和數(shù)據(jù)序號資產(chǎn)名稱責任人應(yīng)用描述存儲形式備份形式重要性程度備注部門1網(wǎng)絡(luò)結(jié)構(gòu)相關(guān)技術(shù)資料張三資料紙版、電子版電子備份5研發(fā)部 人力資產(chǎn)識別表資產(chǎn)識別表 人力資源序號崗位崗位描述姓名重要性程度備注部門1網(wǎng)絡(luò)管理員網(wǎng)絡(luò)管理員張三5研發(fā)部2網(wǎng)絡(luò)管理員網(wǎng)絡(luò)管理員李四5研發(fā)部 物理環(huán)境資產(chǎn)識別表資產(chǎn)識別表 物理環(huán)境序號資產(chǎn)名稱使用范圍描述重要性程度備注部門1總機房主要設(shè)備的機房4研發(fā)部 重要資產(chǎn)的確定及三性賦值資產(chǎn)識別小組組織研發(fā)部工作人員，依據(jù)資產(chǎn)對主要業(yè)務(wù)、運作及聲譽影響程度設(shè)定本單位重要資產(chǎn)的判定標準為：資產(chǎn)重要性程度值大于等于3。該網(wǎng)絡(luò)結(jié)構(gòu)是在公司成立初期建立的，建設(shè)目標是便于公司成員進行內(nèi)部交流和與外界進行通信，并且管理部門能方便的進行管理。n 財務(wù)部門業(yè)務(wù)：協(xié)助研發(fā)部門的人員完成風險評估工作。通過軟件或安全手段對客戶端的計算機加以保護，記錄用戶對客戶端計算機中關(guān)鍵目錄和文件的操作，使企業(yè)有手段對用戶在客戶端計算機的使用情況進行追蹤，防范外來計算機的侵入而造成破壞。企業(yè)分為財務(wù)部門和業(yè)務(wù)部門，需要他們之間相互隔離。DMZ內(nèi)主要有各類的服務(wù)器， 。所以，加強內(nèi)部網(wǎng)絡(luò)安全管理，特別是用戶帳戶管理，如帳戶密碼、臨時帳戶、過期帳戶和權(quán)限等方面的管理非常必要了。（4）只要不上網(wǎng)就不會中毒雖然不少病毒是通過網(wǎng)頁傳播的，但像聊天接發(fā)郵件同樣是病毒傳播的主要途徑，而且盜版光盤以及U盤等也會存在著病毒。（2）安裝了最新的殺毒軟件就不怕病毒了安裝殺毒軟件的目的是為了預(yù)防病毒的入侵和查殺系統(tǒng)中已感染的計算機病毒，但這并不能保證就沒有病毒入侵了，因為殺毒軟件查殺某一病毒的能力總是滯后于該病毒的出現(xiàn)。防火墻是一種隔離控制技術(shù)，可 以作為不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的出入口。（6）備份數(shù)據(jù)和存儲媒體的損壞、丟失。（2）網(wǎng)絡(luò)黑客的攻擊。公司有一個局域網(wǎng)，約100臺計算機，服務(wù)器的操作系統(tǒng)是 Linux,客戶機的操作系統(tǒng)是 Windows XP，在工作組的模式下一人一機辦公。包括主機設(shè)備、存儲設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、計算機外設(shè)、可移動設(shè)備、移動存儲介質(zhì)、布線系統(tǒng)等。網(wǎng)絡(luò)拓撲：傳輸介質(zhì)互連各種設(shè)備的物理布局。東升公司了解到，就發(fā)展現(xiàn)狀來看，我國目前的信息產(chǎn)業(yè)呈現(xiàn)出發(fā)展迅速、規(guī)模龐大、競爭激烈、產(chǎn)業(yè)集中度高、信息化程度高、國際化趨勢顯著等特點。 背景說明隨著IT產(chǎn)業(yè)規(guī)模的不斷擴大，專業(yè)門類的日益齊全，技術(shù)水平的顯著提升，如今我國已經(jīng)成為了全球主要的電子信息產(chǎn)品生產(chǎn)消費和出口大國。 定義安全評估：利用系統(tǒng)工程原理和方法對擬建或已有工程、系統(tǒng)可能存在的危險性及其可能產(chǎn)生的后果進行綜合評價和預(yù)測，并根據(jù)可能導(dǎo)致的事故風險的大小，提出相應(yīng)的安全對策措施，以達到工程、系統(tǒng)安全的過程。我們主要識別的是各種與業(yè)務(wù)相關(guān)的IT物理設(shè)備或使用的硬件設(shè)施，用于安裝已識別的軟件、存放有已識別的數(shù)據(jù)資產(chǎn)或?qū)Σ块T業(yè)務(wù)有支持作用。2 公司網(wǎng)絡(luò)方案分析 公司網(wǎng)絡(luò)現(xiàn)狀分析 公司背景東升網(wǎng)絡(luò)有限公司是一家有100名員工的中小型網(wǎng)絡(luò)公司，主要以手機應(yīng)用開發(fā)為主營項目的軟件企業(yè)。 公司網(wǎng)絡(luò)的主要安全隱患現(xiàn)在網(wǎng)絡(luò)安全系統(tǒng)所要防范的不再僅是病毒感染，更多的是基于網(wǎng)絡(luò)的非法入侵、攻擊和訪問，同時公司網(wǎng)絡(luò)安全隱患的來源有內(nèi)、外網(wǎng)之分，很多情況下內(nèi)部網(wǎng)絡(luò)安全威脅要遠遠大于外部網(wǎng)絡(luò)，因為內(nèi)部中實施入侵和攻擊更加容易，公司網(wǎng)絡(luò)安全威脅的主要來源主要包括：（1） 病毒、木馬和惡意軟件的入侵。（5）外網(wǎng)的非法入侵。以下是有關(guān)安全的六大誤解：（1） 安裝防火墻就安全了防火墻主要用來執(zhí)行 兩個網(wǎng)絡(luò)之間的訪問控制策略，它能限制被保護的網(wǎng)絡(luò)與互聯(lián)網(wǎng)絡(luò)之間，或者 與其他網(wǎng)絡(luò)之間進行的信息存取、傳遞操作。防火墻的原理是“防外不防內(nèi)”，對內(nèi)部網(wǎng)絡(luò)的訪問不進行任何阻撓，而事實上， 企業(yè)網(wǎng)絡(luò)安全事件絕大部分還是源于企業(yè)內(nèi)部。同時對于整個網(wǎng)絡(luò)，管理非常方便，對于單機版是不可能做到的。（6）網(wǎng)絡(luò)安全主要來自外部基于內(nèi)部的網(wǎng)絡(luò)攻擊更加容易，不需要借助于其他的網(wǎng)絡(luò)連接方式，就可以直接在內(nèi)部網(wǎng)絡(luò)中實施攻擊。 。3 需求分析 公司網(wǎng)絡(luò)安全需求東升網(wǎng)絡(luò)有限公司根據(jù)業(yè)務(wù)發(fā)展需求，建設(shè)一個小型的企業(yè)網(wǎng)，有Web、Mail等服務(wù)器和辦公區(qū)客戶機。 需求分析通過了解東升網(wǎng)絡(luò)公司的需求與現(xiàn)狀，為實現(xiàn)東升網(wǎng)絡(luò)公司的網(wǎng)絡(luò)安全建設(shè)實施網(wǎng)絡(luò)系統(tǒng)改造，提高企業(yè)網(wǎng)絡(luò)系統(tǒng)運行的穩(wěn)定性，保證企業(yè)各種設(shè)計信息的安全性，避免圖紙、文檔的丟失和外泄。n 銷售部門業(yè)務(wù)：協(xié)助研發(fā)部門的人員完成風險評估工作。 評估范圍本次評估為我公司的網(wǎng)絡(luò)結(jié)構(gòu)。資產(chǎn)識別和賦值結(jié)果記錄在資產(chǎn)識別表中。 硬件重要資產(chǎn)賦值表重要資產(chǎn)賦值表 硬件資產(chǎn)序號資產(chǎn)名稱責任人應(yīng)用描述機密性等級完整性等級可用性等級重要性程度部門1核心路由器張三核心路由5455研發(fā)部2核心交換機張三核心交換機5455研發(fā)部3數(shù)據(jù)中心交換機張三交換機555