國內(nèi)網(wǎng)絡(luò)安全風險評估市場與技術(shù)操作-全文預覽
【正文】 因為明確資產(chǎn)后才能有效進行后續(xù)的威脅與弱點評估，否則容易導致事倍功半。在藍圖階段中需要召開藍圖會議，在會議結(jié)束后，必須在雙方認可的基礎(chǔ)上制訂并簽署項目藍圖，后續(xù)一切工作嚴格按藍圖進行。我們在這里列出了五個模塊：前期交流、初步方案、投標方案、答標文檔和參考報價。6. 實施過程簡述 定義階段實際上是售前工作的延續(xù)，即明確項目范圍，清晰界定用戶的需求。 風險控制行動列表粒度較粗，與企業(yè)后續(xù)安全建設(shè)的實際工作有一定距離。進行風險分析(process 7) 與創(chuàng)建威脅統(tǒng)計中的威脅視圖相對應(yīng)，在這里需要標識出威脅可能造成的影響。二是能夠通過分析資產(chǎn)的威脅，創(chuàng)建重要資產(chǎn)及資產(chǎn)面臨威脅的全局視圖。作為參考，這里給出一份sans提供的BS7799檢查列表。3. BS7799和OCTAVE BS7799的優(yōu)勢和弱點要初步了解BS7799，我覺得從兩個角度入手了解BS7799的安全管理流程，也就是建立信息安全管理體系的方法和步驟 系統(tǒng)了解BS7799中提到的10類127個控制項的內(nèi)容 并且能夠在此基礎(chǔ)上針對不同行業(yè)選擇(甚至新增)控制項。 部份低端廠商的評估模式部份低端評估廠商在市場上不但存在，而且有很大的生存空間。因此被從國內(nèi)安全廠商的第一梯隊擠出。安全服務(wù)和風險評估方面，聯(lián)想介入市場比較遲，但由有幾位掌握方面論和攻擊滲透的安氏員工的加盟(由此也可見安氏的方法論積累很不錯。華為的評估與其它安全公司的評估側(cè)重點略有不同，更側(cè)重于網(wǎng)絡(luò)架構(gòu)和應(yīng)用評估(可能是他們這方面的人才更多的緣故)。僅以防火墻市場為例，華為曾經(jīng)因為要選擇合作伙伴，廣邀防火墻廠商進行產(chǎn)品測試，對各種產(chǎn)品的功能、性能指標、技術(shù)特點都了如指掌。風險評估是對前五者的綜合，其中的安全措施估計是自己增加的。比較嚴謹。需要指出的是安絡(luò)科技，公司不大，但歷經(jīng)風雨，還能夠在行業(yè)中有一定位置。他們較為注重方案、咨詢建議等經(jīng)驗的可復用，當然，這同時也容易造成他們考慮問題簡單化，對小客戶容易用大企業(yè)的方案來裁剪套用。個人理解，2001年前后，ISONE的評估在國內(nèi)較為領(lǐng)先，一方面是他們與國外公司的溝通較密切，另外其高管層對風險評估、BS7799比較重視。在每次較大的評估項目中他們一般都要求有所突破。據(jù)說是較好的安全評估過程輔助工具。業(yè)務(wù)參與性弱、解決方案可操作性差往往也是高要求的用戶對風險評估隊伍批評較多的地方，但從啟明星辰近期在幾家大型客戶那里的操作來看，較受客戶好評。但由于信息的時效性，未能確認當前文中所進行的表述與分析就代表著各家企業(yè)的最新評估發(fā)展狀態(tài)。2. 國內(nèi)現(xiàn)有風險評估操作模式 評估市場和競爭分析如果按照高、中、低端簡單對國內(nèi)的風險評估市場進行分類，那么我們可以很清晰地看到，幾類市場的操作方式完全不同。比如風險，用ISO/IEC TR 133351:1996中的定義可以解釋為： 特定威脅利用某個(些)資產(chǎn)的弱點，造成資產(chǎn)損失或破壞的潛在可能性。國內(nèi)網(wǎng)絡(luò)安全風險評估市場與技術(shù)操作吳魯加 04/19/2004 個人主頁：：版本控制 04/01/2004 文檔創(chuàng)建，包含大量示例文件內(nèi)部發(fā)布 04/19/2004 刪除部份敏感信息，增加國內(nèi)市場分析、BS7799和OCTAVE概述后，對外發(fā)布近兩年網(wǎng)絡(luò)安全風險評估漸漸為人們所重視，不少大型企業(yè)尤其是運營商、金融業(yè)都請了專業(yè)公司進行評估。1. 什么是風險評估說起風險評估，大家腦海中首先浮現(xiàn)的可能是：風險、資產(chǎn)、影響、威脅、弱點等一連串的術(shù)語，這些術(shù)語看起來并不難理解，但一旦綜合考慮就會象繞口令般組合。讓我們嘗試做一道小學時常做的連線題，把左右兩邊相對應(yīng)的內(nèi)容用線段連接起來：風險 RPC DCOM漏洞資產(chǎn) 服務(wù)器遭到入侵影響 數(shù)據(jù)庫服務(wù)器威脅 入侵者弱點 中斷三天如果這道題對你沒什么難度，那么恭喜你，你已經(jīng)和國內(nèi)大多數(shù)風險評估的操作者差不多站在同一個起跑線上了。 主要中端廠商的評估模式分析以下分析中的數(shù)據(jù)來源為筆者在從事網(wǎng)絡(luò)安全評估實踐時通過各種渠道獲得。下圖是啟明星辰的幻燈片中摘錄的，他們評估發(fā)展的歷程，在每個臺階上有該階段所經(jīng)過的項目名稱，出于安全原因隱去。 信息庫：名稱不詳，能夠直接導入天鏡、Nessus、ISS等掃描器的掃描結(jié)果并生成報告。變化較快 這可以說既是優(yōu)點，也是缺點。下圖是他們一份講稿中的評估流程描述：我對綠盟科技風險評估方法的總體評價是：它是專業(yè)的系統(tǒng)和網(wǎng)絡(luò)安全評估，不是信息安全評估，具體有如下幾點：項目可操作性強 管理評估存在不足，風險計算方式不夠科學 技術(shù)弱點把握精確 安氏安氏在國內(nèi)較早從事網(wǎng)絡(luò)安全風險評估項目的操作，做過較大的評估項目(包括顧問咨詢)有
研究報告相關(guān)推薦
鄂ICP備17016276號-1