國內(nèi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估市場和技術(shù)操作-全文預(yù)覽
【正文】 因?yàn)槊鞔_資產(chǎn)后才能有效進(jìn)行后續(xù)的威脅與弱點(diǎn)評估，否則容易導(dǎo)致事倍功半。在藍(lán)圖階段中需要召開藍(lán)圖會(huì)議，在會(huì)議結(jié)束后，必須在雙方認(rèn)可的基礎(chǔ)上制訂并簽署項(xiàng)目藍(lán)圖，后續(xù)一切工作嚴(yán)格按藍(lán)圖進(jìn)行。我們在這里列出了五個(gè)模塊：前期交流、初步方案、投標(biāo)方案、答標(biāo)文檔和參考報(bào)價(jià)。6. 實(shí)施過程簡述 定義階段實(shí)際上是售前工作的延續(xù)，即明確項(xiàng)目范圍，清晰界定用戶的需求。 風(fēng)險(xiǎn)控制行動(dòng)列表粒度較粗，與企業(yè)后續(xù)安全建設(shè)的實(shí)際工作有一定距離。進(jìn)行風(fēng)險(xiǎn)分析(process 7) 與創(chuàng)建威脅統(tǒng)計(jì)中的威脅視圖相對應(yīng)，在這里需要標(biāo)識(shí)出威脅可能造成的影響。二是能夠通過分析資產(chǎn)的威脅，創(chuàng)建重要資產(chǎn)及資產(chǎn)面臨威脅的全局視圖。作為參考，這里給出一份sans提供的。3. BS7799和OCTAVE BS7799的優(yōu)勢和弱點(diǎn)要初步了解BS7799，我覺得從兩個(gè)角度入手了解BS7799的安全管理流程，也就是建立信息安全管理體系的方法和步驟 系統(tǒng)了解BS7799中提到的10類127個(gè)控制項(xiàng)的內(nèi)容 并且能夠在此基礎(chǔ)上針對不同行業(yè)選擇(甚至新增)控制項(xiàng)。 部份低端廠商的評估模式部份低端評估廠商在市場上不但存在，而且有很大的生存空間。因此被從國內(nèi)安全廠商的第一梯隊(duì)擠出。安全服務(wù)和風(fēng)險(xiǎn)評估方面，聯(lián)想介入市場比較遲，但由有幾位掌握方面論和攻擊滲透的安氏員工的加盟(由此也可見安氏的方法論積累很不錯(cuò)。華為的評估與其它安全公司的評估側(cè)重點(diǎn)略有不同，更側(cè)重于網(wǎng)絡(luò)架構(gòu)和應(yīng)用評估(可能是他們這方面的人才更多的緣故)。僅以防火墻市場為例，華為曾經(jīng)因?yàn)橐x擇合作伙伴，廣邀防火墻廠商進(jìn)行產(chǎn)品測試，對各種產(chǎn)品的功能、性能指標(biāo)、技術(shù)特點(diǎn)都了如指掌。風(fēng)險(xiǎn)評估是對前五者的綜合，其中的安全措施估計(jì)是自己增加的。比較嚴(yán)謹(jǐn)。需要指出的是安絡(luò)科技，公司不大，但歷經(jīng)風(fēng)雨，還能夠在行業(yè)中有一定位置。他們較為注重方案、咨詢建議等經(jīng)驗(yàn)的可復(fù)用，當(dāng)然，這同時(shí)也容易造成他們考慮問題簡單化，對小客戶容易用大企業(yè)的方案來裁剪套用。個(gè)人理解，2001年前后，ISONE的評估在國內(nèi)較為領(lǐng)先，一方面是他們與國外公司的溝通較密切，另外其高管層對風(fēng)險(xiǎn)評估、BS7799比較重視。在每次較大的評估項(xiàng)目中他們一般都要求有所突破。據(jù)說是較好的安全評估過程輔助工具。業(yè)務(wù)參與性弱、解決方案可操作性差往往也是高要求的用戶對風(fēng)險(xiǎn)評估隊(duì)伍批評較多的地方，但從啟明星辰近期在幾家大型客戶那里的操作來看，較受客戶好評。但由于信息的時(shí)效性，未能確認(rèn)當(dāng)前文中所進(jìn)行的表述與分析就代表著各家企業(yè)的最新評估發(fā)展?fàn)顟B(tài)。2. 國內(nèi)現(xiàn)有風(fēng)險(xiǎn)評估操作模式 評估市場和競爭分析如果按照高、中、低端簡單對國內(nèi)的風(fēng)險(xiǎn)評估市場進(jìn)行分類，那么我們可以很清晰地看到，幾類市場的操作方式完全不同。比如風(fēng)險(xiǎn)，用ISO/IEC TR 133351:1996中的定義可以解釋為： 特定威脅利用某個(gè)(些)資產(chǎn)的弱點(diǎn)，造成資產(chǎn)損失或破壞的潛在可能性。國內(nèi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估市場與技術(shù)操作04/19/2004 個(gè)人主頁： 網(wǎng)絡(luò)日志： 版本控制 04/01/2004 文檔創(chuàng)建，包含大量示例文件內(nèi)部發(fā)布 04/19/2004 刪除部份敏感信息，增加國內(nèi)市場分析、BS7799和OCTAVE概述后，對外發(fā)布近兩年網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估漸漸為人們所重視，不少大型企業(yè)尤其是運(yùn)營商、金融業(yè)都請了專業(yè)公司進(jìn)行評估。1. 什么是風(fēng)險(xiǎn)評估說起風(fēng)險(xiǎn)評估，大家腦海中首先浮現(xiàn)的可能是：風(fēng)險(xiǎn)、資產(chǎn)、影響、威脅、弱點(diǎn)等一連串的術(shù)語，這些術(shù)語看起來并不難理解，但一旦綜合考慮就會(huì)象繞口令般組合。讓我們嘗試做一道小學(xué)時(shí)常做的連線題，把左右兩邊相對應(yīng)的內(nèi)容用線段連接起來：風(fēng)險(xiǎn) RPC DCOM漏洞資產(chǎn) 服務(wù)器遭到入侵影響 數(shù)據(jù)庫服務(wù)器威脅 入侵者弱點(diǎn) 中斷三天如果這道題對你沒什么難度，那么恭喜你，你已經(jīng)和國內(nèi)大多數(shù)風(fēng)險(xiǎn)評估的操作者差不多站在同一個(gè)起跑線上了。 主要中端廠商的評估模式分析以下分析中的數(shù)據(jù)來源為筆者在從事網(wǎng)絡(luò)安全評估實(shí)踐時(shí)通過各種渠道獲得。下圖是啟明星辰的幻燈片中摘錄的，他們評估發(fā)展的歷程，在每個(gè)臺(tái)階上有該階段所經(jīng)過的項(xiàng)目名稱，出于安全原因隱去。 信息庫：名稱不詳，能夠直接導(dǎo)入天鏡、Nessus、ISS等掃描器的掃描結(jié)果并生成報(bào)告。變化較快 這可以說既是優(yōu)點(diǎn)，也是缺點(diǎn)。下圖是他們一份講稿中的評估流程描述：我對綠盟科技風(fēng)險(xiǎn)評估方法的總體評價(jià)是：它是專業(yè)的系統(tǒng)和網(wǎng)絡(luò)安全評估，不是信息安全評估，具體有如下幾點(diǎn)：項(xiàng)目可操作性強(qiáng) 管理評估存在不足，風(fēng)險(xiǎn)計(jì)算方式不夠科學(xué) 技術(shù)弱點(diǎn)把握精確 安氏安氏在國內(nèi)較早從事網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估項(xiàng)目的操作，做過較大的評估項(xiàng)目(包括顧問咨詢
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1