【正文】 為保護自身和其它信息資產(chǎn)而建立的保護措施，例如防火墻訪問控制服務(wù)、入侵檢測服務(wù)、認證、審計、顧問等。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用（例如合同等）秘密Private由和數(shù)據(jù)局網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施顧問服務(wù)項目相關(guān)的公司和數(shù)據(jù)局成員使用機密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按銷毀但是，這樣的分類并不能反映在數(shù)據(jù)資產(chǎn)的全部安全屬性，所以在本次安全服務(wù)項目中，將采取對數(shù)據(jù)類資產(chǎn)直接賦值的方法來進行。通常是通過加密技術(shù)（cryptography）來實現(xiàn)保密性。根據(jù)資產(chǎn)可用性屬性的不同，將它分為5個不同的等級，分別對應(yīng)資產(chǎn)在可用性方面的價值或者在可用性方面受到損失時對資產(chǎn)價值的影響：賦值含義解釋4Very High可用性價值非常關(guān)鍵，具有致命性的潛在影響3High可用性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium可用性價值中等，潛在影響重大，但可以彌補1Low可用性價值較低，潛在影響可以忍受，較容易彌補0Negligible可用性價值或潛在影響可以忽略l 資產(chǎn)價值（Asset Value）資產(chǎn)價值用于反映某個資產(chǎn)作為一個整體的價值，綜合了機密性、完整性和可用性三個屬性。人為因素包括有意因素和無意因素。根據(jù)評估范圍和層次劃分，可將威脅評估列為以下矩陣：傳輸數(shù)據(jù)…其他網(wǎng)絡(luò)層系統(tǒng)層（主機、數(shù)據(jù)庫）應(yīng)用層管理層（策略、制度）l 網(wǎng)絡(luò)層安全威脅網(wǎng)絡(luò)層是網(wǎng)絡(luò)入侵者進攻信息系統(tǒng)的渠道和通路，許多安全問題都集中體現(xiàn)在網(wǎng)絡(luò)的安全方面。操作系統(tǒng)的安全是網(wǎng)絡(luò)系統(tǒng)信息安全的基礎(chǔ)，應(yīng)用系統(tǒng)要獲得運行的高可靠性和保證信息的完整性、機密性、可用性和可控性，依賴于安全操作系統(tǒng)提供的系統(tǒng)軟件基礎(chǔ)。數(shù)據(jù)庫的安全隱患集中表現(xiàn)在系統(tǒng)認證口令強度不夠；非授權(quán)登錄攻擊；操作日志被刪除；缺少數(shù)據(jù)冗余備份；不安全的默認配置；病毒攻擊；數(shù)據(jù)庫系統(tǒng)自身存在BUG，未及時更新補丁等。外部人員攻擊外部人員利用信息系統(tǒng)的脆弱性，對網(wǎng)絡(luò)和系統(tǒng)的機密性、完整性和可用性進行破壞，以獲取利益或炫耀能力。黑客攻擊技術(shù)利用黑客工具和技術(shù)，例如偵察、密碼猜測攻擊、緩沖區(qū)溢出攻擊、安裝后門、嗅探、偽造和欺騙、拒絕服務(wù)攻擊等手段對信息系統(tǒng)進行攻擊和入侵。其中灰色部分為可能不存在的威脅（根據(jù)實際環(huán)境而確定）。 資產(chǎn)轉(zhuǎn)化成利益的容易程度，包括財務(wù)的利益，黑客獲得運算能力很強和大帶寬的主機使用等利益。弱點是資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標(biāo)的損害。 網(wǎng)絡(luò)安全脆弱性評估216。 網(wǎng)絡(luò)傳輸加密：根據(jù)業(yè)務(wù)系統(tǒng)的特點選擇對業(yè)務(wù)數(shù)據(jù)是否進行傳輸加密；對于網(wǎng)絡(luò)設(shè)備認證過程中敏感的信息進行加密。 客戶訪談：通過客戶訪談，顧問可以從技術(shù)、管理、策略等角度更深層次地了解網(wǎng)絡(luò)系統(tǒng)相關(guān)的安全要素，挖掘出信息系統(tǒng)背后存在的風(fēng)險。 主機系統(tǒng)安全脆弱性評估主機系統(tǒng)的安全目標(biāo)是保障主機平臺系統(tǒng)高效、優(yōu)質(zhì)運行，滿足業(yè)務(wù)系統(tǒng)的求，防止主機和系統(tǒng)遭受外部和內(nèi)部的破壞和濫用，避免和降低由于主機和系統(tǒng)的問題對業(yè)務(wù)系統(tǒng)的損害；協(xié)助應(yīng)用進行訪問控制和安全審計。 工具掃描：通過評估工具對主機、應(yīng)用程序和數(shù)據(jù)庫進行掃描。專家評估是根據(jù)最新的安全檢查核對表內(nèi)容，逐項檢查系統(tǒng)的各項配置和運行狀態(tài)。應(yīng)用軟件評估的標(biāo)準主要包括：216。216。 文檔的收集和審閱：評估者通過審閱收集的被評估應(yīng)用軟件的文檔，掌握該評估應(yīng)用軟件的基本情況，然后確定評估范圍和并在檢查表中初步選擇和回答適用問題。 數(shù)據(jù)機密性：數(shù)據(jù)要分級保護，重要的數(shù)據(jù)要采用加密措施、嚴格進行訪問控制、安全審計，有良好的授權(quán)體系。 安全策略標(biāo)準：制定和推行信息安全策略，提供管理指導(dǎo)，保證信息安全；管理層應(yīng)制定一個明確的安全策略方向，并通過在整個組織中發(fā)布和維護信息安全策略，表明自己對信息安全的支持和保護責(zé)任。 物理環(huán)境安全標(biāo)準：防止對機房和辦公場所以及信息資產(chǎn)的非法訪問和破壞，防止資產(chǎn)流失、受損或毀壞以及業(yè)務(wù)中斷，防止信息或信息處理設(shè)施受損或被盜，提供設(shè)備正常運行所必的電源、溫度、濕度、防水、防塵等運行環(huán)境。 業(yè)務(wù)連續(xù)性安全標(biāo)準：防止業(yè)務(wù)活動中斷，保證重要業(yè)務(wù)流程不受重大故障和災(zāi)難的影響；應(yīng)該實施業(yè)務(wù)連續(xù)性管理程序，預(yù)防和恢復(fù)控制相結(jié)合，將災(zāi)難和安全故障造成的影響降低到可以接受的水平；應(yīng)該制定和實施應(yīng)急計劃，確保能夠在的時間內(nèi)恢復(fù)業(yè)務(wù)流程。一般為不能直接利用產(chǎn)生超級用戶權(quán)限獲取，機密系統(tǒng)文件讀寫，系統(tǒng)崩潰等影響的216。安全風(fēng)險評估流程見下圖： 安全風(fēng)險分析風(fēng)險是一種潛在可能性，是指某個威脅利用弱點引起某項資產(chǎn)或一組資產(chǎn)的損害，從而直接地或間接地引起企業(yè)或機構(gòu)的損害。建議的風(fēng)險處置措施一般如下所示：：在某些情況下，可以決定不繼續(xù)進行可能產(chǎn)生風(fēng)險的活動來回避風(fēng)險。決策者可以在繼續(xù)處置要的成本和風(fēng)險之間進行抉擇。 對現(xiàn)有信息系統(tǒng)資源的影響網(wǎng)絡(luò)掃描評估以網(wǎng)絡(luò)為基礎(chǔ)進行，掃描控制臺通過網(wǎng)絡(luò)對被評估對象進行安全評估，因此這種掃描方式主要消耗一定的網(wǎng)絡(luò)帶寬資源，并對被評估的對象消耗很小一部分的網(wǎng)絡(luò)連接的資源，對于其他的資源沒有特殊的。 系統(tǒng)補丁216。 其它人工評估只對被評估對象進行運行狀態(tài)和配置檢查，因此不會對現(xiàn)有信息系統(tǒng)上的其他設(shè)備和資源帶來任何影響，而對被評估對象的資源占用也小于工具評估。 《XX系統(tǒng)網(wǎng)絡(luò)安全漏洞掃描報告》采用認可的安全漏洞掃描設(shè)備對專業(yè)網(wǎng)絡(luò)的網(wǎng)絡(luò)進行脆弱性安全檢查和分析，提供原始掃描報告以及漏洞對應(yīng)表。15分鐘30分鐘1小時嚴重某個業(yè)務(wù)部分不可用，某個區(qū)域出現(xiàn)流量嚴重異常或癱瘓，網(wǎng)站訪問速度嚴重變慢等。滲透測試提供滲透測試報告。報告應(yīng)采用數(shù)字和圖表的方式向系統(tǒng)管理人員和系統(tǒng)維護人員提供了宏觀的風(fēng)險分布狀況。 系統(tǒng)備份及恢復(fù)216。人工評估主要是依靠具有豐富經(jīng)驗的安全專家來進行的。 掃描評估方案的制定為將掃描評估對信息系統(tǒng)的影響減低到最小，并取得較好的掃描評估效果，在掃描之前制定符合實際要的掃描評估方案顯得十分重要，方案將從工具選擇、評估對象選擇、評估時間、評估人員、報告數(shù)據(jù)形式、系統(tǒng)備份和風(fēng)險規(guī)避和應(yīng)對等方面來保證掃描評估的可靠運行。手段包括合同、保險安排、合伙、資產(chǎn)轉(zhuǎn)移等。尊照的處置原則見下表：數(shù)值符號含義建議處置方法備注65125H高風(fēng)險要高級管理部門的注意：避免？轉(zhuǎn)移？減小？要具體資產(chǎn)信息3565M中等風(fēng)險規(guī)定管理責(zé)任：避免？接受？轉(zhuǎn)移？減??？要具體資產(chǎn)信息135L低風(fēng)險用日常程序處理：避免？接受？轉(zhuǎn)移？減??？要具體資產(chǎn)信息選擇處置措施的原則是權(quán)衡利弊：權(quán)衡每種選擇的成本與其得到的利益。 安全風(fēng)險評估技術(shù)根據(jù)實踐經(jīng)驗，要結(jié)合多種安全評估方法才能盡可能深入的了解評估對象的安全現(xiàn)狀。216。 系統(tǒng)開發(fā)維護安全標(biāo)準：保證在開發(fā)和維護網(wǎng)絡(luò)應(yīng)用系統(tǒng)過程的安全。 人員安全標(biāo)準：降低設(shè)施誤操作、偷竊或濫用等方面的人為風(fēng)險，切實遵守安全策略，最大限度降低由于事故和故障而遭受的損失，對此類事故進行監(jiān)控并吸取教訓(xùn)。 安全管理脆弱性評估安全管理的目標(biāo)是確保建立了完備的、標(biāo)準化的管理程序并遵照安全管理程序進行安全運作。 數(shù)據(jù)安全脆弱性評估數(shù)據(jù)安全目標(biāo)是：保證數(shù)據(jù)的機密性、完整性和可用性，避免數(shù)據(jù)的泄密、破壞、竄改、丟失。這些問題大致包括以下內(nèi)容：網(wǎng)絡(luò)架構(gòu)、主機平臺、專用模塊、應(yīng)用軟件、安全功能、安全保證。216。例如日志被毀壞篡改或刪除，計費數(shù)據(jù)被刪除，遭受DOS攻擊，系統(tǒng)被監(jiān)聽，控制或安裝后門等。 專家評估（安全基線分析）：依據(jù)對主機平臺的標(biāo)準化的安全審計列表（安全基線），檢查和分析主機系統(tǒng)平臺存在的安全問題。 系統(tǒng)訪問控制和審計：對系統(tǒng)進行有效訪問控制和日志審計。216。 網(wǎng)絡(luò)設(shè)備的安全配置：設(shè)備沒有已知的漏洞，設(shè)備正確安全配置。 基礎(chǔ)網(wǎng)絡(luò)架構(gòu)：網(wǎng)絡(luò)整體拓撲結(jié)構(gòu)設(shè)計合理；安全區(qū)域劃分符合業(yè)務(wù)系統(tǒng)；選擇安全的路由方式；對周邊網(wǎng)絡(luò)接入進行安全控制和冗余設(shè)計；對網(wǎng)絡(luò)流量進行監(jiān)控和管理；對網(wǎng)絡(luò)設(shè)備和鏈路進行冗余設(shè)計。脆弱性評估主要的工作是對弱點進行識別和賦值。 過去一年或兩年來國際機構(gòu)（如FBI）發(fā)布的對于整個社會或特定行業(yè)安全威脅發(fā)生頻率的統(tǒng)計數(shù)據(jù)均值。威脅發(fā)生的可能性受下列兩個因素的影響：216。進一步，可能性和損失可以被賦予一個數(shù)值，來表示該屬性。惡意代碼和病毒具有自我復(fù)制、自我傳播能力，對信息系統(tǒng)構(gòu)成破壞的程序代碼。惡意內(nèi)部人員不滿的或有預(yù)謀的內(nèi)部人員對信息系統(tǒng)進行惡意破壞；采用自主的或內(nèi)外勾結(jié)的方式盜竊機密信息或進行篡改，獲取利益。應(yīng)用層安全依賴于網(wǎng)絡(luò)層、操作系統(tǒng)和數(shù)據(jù)庫的安全的支持，因此，在采購商業(yè)化軟件組件時盡量選用成熟的通用產(chǎn)品和最新版本；委托第三方開發(fā)軟件時，其按信息系統(tǒng)安全等級和軟件項目的進行模塊化設(shè)計，避免必要的功能冗余以及軟件過長過大，切實作好系統(tǒng)測試和試用，減少軟件設(shè)計中的疏忽可能留下安全漏洞和系統(tǒng)內(nèi)部邏輯混亂；系統(tǒng)投入運行后，及時更新補丁。另一方面，系統(tǒng)管理員或使用人員對復(fù)雜的操作系統(tǒng)和其自身的安全機制了解不夠，配置不當(dāng)，計算機病毒等也會造成的安全隱患。但是有相當(dāng)一部分威脅發(fā)生時，由于未能造成后果，或者沒有意識到，而被安全管理人員忽略。 威脅評估安全威脅是一種對系統(tǒng)、組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件。一個具有可用性的網(wǎng)絡(luò)信息服務(wù)系統(tǒng)應(yīng)當(dāng)能夠在攻擊發(fā)生后及時正確地恢復(fù)。對信息資產(chǎn)進行賦值的目的是為了更好地反映資產(chǎn)的價值，以便于進一步考察資產(chǎn)相關(guān)的弱點、威脅和風(fēng)險屬性，并進行量化。企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性（Sensitiv ity）來進行，與機密性非常類似。如果該系統(tǒng)建立在Domino基礎(chǔ)之上，則將其歸為Domino服務(wù)子類。但是，完整性也同樣重要，門戶站點的主頁被修改，造成的損失也可能是災(zāi)難性的。因此在本方案定義的評估工作內(nèi)容，其中信息資產(chǎn)（Information Assets）的界定和賦值是整個階段（現(xiàn)場測試和評估階段）的前提，是信息資產(chǎn)抽樣的基礎(chǔ)和重要依據(jù)。 《物理環(huán)境調(diào)查表》216。 應(yīng)用系統(tǒng)調(diào)查216。 物理的和環(huán)境的安全 216。l 備份管理員調(diào)查系統(tǒng)備份情況，能夠獨立操作系統(tǒng)備份工作，其中包括備份時所采用的備份方式、備份介質(zhì)、備份策略、備份設(shè)備、備份時間、備份所使用的軟件情況以及備份的存放等情況。在澳大利亞和新西蘭國家標(biāo)準《風(fēng)險管理Risk Management》（AS/NZS 4360:1999）中描述了風(fēng)險管理過程，如下圖所示： 安全風(fēng)險評估方案 資產(chǎn)調(diào)查與賦值 求調(diào)查求調(diào)查是整個安全評估服務(wù)的基礎(chǔ)。一般來說，安全風(fēng)險的降低（即安全水平的提升）和相應(yīng)的開銷不是線性的關(guān)系，如圖所示。 基礎(chǔ)設(shè)備安全評估解決方案 安全風(fēng)險評估方法論 概述風(fēng)險管理（Risk Management）旨在對潛在機會和不利影響進行有效管理的文化、程序和結(jié)構(gòu)。能快速實現(xiàn)組織軟件安全策略。 安全查詢規(guī)則清晰且完全公開實現(xiàn)規(guī)則定義清晰，并完全公開所有規(guī)則的定義和實現(xiàn)讓用戶清楚知道工具如何去定義風(fēng)險、如何去查找風(fēng)險，透明各種語言風(fēng)險。安裝一次，即可審計Java代碼、C/C++代碼、.NET代碼JSP、JavaSript、VBSript、 .、C 、 、 VBASP 、Perl、Apex VisualForce,Android、OWASP ESAPI、MISRA、和ObjectiveC (iOS)…等各種語言代碼，并且不管這些代碼是在windows平臺、Linux平臺或者其它平臺的。其無與倫比的準確性和方便的企業(yè)部署和實施的特性贏得了全球眾多客戶的青睞。要人工去分辨出其中的真假，主要存在的問題：– False positive（誤報）– False negative（漏報）出現(xiàn)上述問題的原因是：在作靜態(tài)分析時，要先描繪出代碼所有的路徑，然后去對每種路徑上的變量作計算，并比較。應(yīng)用系統(tǒng)的安全性能，一方面立足于系統(tǒng)安全方案的分析與設(shè)計，而另一方面同樣也取決于系統(tǒng)實現(xiàn)過程中是否存在安全性缺陷。備發(fā)起滲透前。用戶監(jiān)控 項目中合理溝通在項目實施過程中，確定不同階段的測試人員以及客戶方的配合人員，建立之前作一次完整的系統(tǒng)備份或者關(guān)閉正在進行的操作，以便在系統(tǒng)發(fā)生災(zāi)難后及時恢復(fù)。軟件等。 風(fēng)險規(guī)避措施滲透測試過程中可能對業(yè)務(wù)產(chǎn)生影響，可以采取以下措施來減小風(fēng)險： 時間選擇 DDoS攻擊分布式拒絕服務(wù)(DDoS:Distributed Denial of Service)攻擊指借助于客戶/服務(wù)器技術(shù)，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標(biāo)發(fā)動DDoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。在Web腳本及應(yīng)用測試中，可能要檢查的部份包括： 216。 檢測頁面隱藏字段網(wǎng)站應(yīng)用系統(tǒng)常采用隱藏字段存儲信息。 審查識別允許惡意用戶啟動攻擊的不良代碼技術(shù)；216。攻擊階段是滲透測試的實際實施階段，在這一階段根據(jù)前面得到的信息對目標(biāo)進行攻擊嘗試，嘗試獲取目標(biāo)的一定權(quán)限。預(yù)攻擊階段主要是為了收集獲取信息，從中發(fā)現(xiàn)突破口，進行進一步攻擊決策。（5） 從整體上把握組織或企業(yè)的信息安全現(xiàn)狀滲透測試和工具掃描可以很好的互相補充。（1） 協(xié)助用戶發(fā)現(xiàn)組織中的安全最短木板人工滲透測試和工具掃描可以很好的互相補充。具體服務(wù)內(nèi)容詳見以下正文。（2） 標(biāo)準性原則：服務(wù)方案的設(shè)計與實施依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準進行；（3） 規(guī)范性原則：服務(wù)提供商的工作中的過程和文檔，具有嚴格的規(guī)范性，可以便于項目的跟蹤和控制；（4） 可控性原則：服務(wù)用的工具、方法和過程要在雙方認可的范圍之內(nèi)，服務(wù)的進度要跟上進度表的安排，保證求方對于服務(wù)工作的可控性；（5） 整體性原則：服務(wù)的范圍和內(nèi)容當(dāng)整體全面，包括安全涉及的各個層面，避免由于遺漏