【文章內(nèi)容簡介】 旦發(fā)生，將對資產(chǎn)甚至是整個系統(tǒng)都將造成一定的影響。因此資產(chǎn)的評 估是風險評估的一個重要的步驟，它被確定和估 價的準確性將影響著下一步 所有因素的評估。 本項目中資產(chǎn)評估的主要工作就是對 XX 電廠二次系統(tǒng) 風險評估范圍內(nèi)的資產(chǎn)進行識別，確定所有的評估對象，然后根據(jù)評估的資產(chǎn)在業(yè)務和應用流程中的重要程度為資產(chǎn)進行估價。 . 資產(chǎn)識別 . 評估資產(chǎn)編號規(guī)則 編號規(guī)則為：設備位置 + 設備類型 + 序號。其中： ? 設備位置： A 代表物理位置一； B 代表物理位置二；依此類推。 ? 設備類型： H 代表服務器； N 代表網(wǎng)絡設備； T 代表終端設備； S 代表存儲設備； O 代表其它設備。 ? 設備 序號：以三位數(shù)字 XXX 表示，從 001 開始累加。 . 服務器 提供服務器資產(chǎn)數(shù)據(jù) 清單。 編號 IP 地址 操作系統(tǒng) 應用軟件 存儲業(yè)務數(shù)據(jù) 應用說明 AH001 HPUX DOMINO 郵件 郵件服務器 169。 版權(quán)所有 第 7 頁 . 網(wǎng)絡設備 提供 網(wǎng)絡設備 資產(chǎn)數(shù)據(jù)清單。 編號 IP 地址 設備型號 版本 應用說明 AN001 華為 NE16 中心接入 AN002 華為 3680 撥號， ddn . 終端設備 提供 終端設備 資產(chǎn)數(shù)據(jù)清單。 編號 IP 地址 物理位置 AT001 業(yè)務支援中心 . 資產(chǎn)估價方法 在識別出所有信息資產(chǎn)后，接著是為每項資產(chǎn)賦予價值。我們將資產(chǎn)的權(quán)值分為 0－ 4 五個級別，由低到高代表資產(chǎn)的重要等級。資產(chǎn)估價是一個主觀的過程，資產(chǎn)估價不是以資產(chǎn)的賬面價格來衡量的，而是指其相對價值。在對資產(chǎn)進行估價時，不僅要考慮資產(chǎn)的成本價格，更重要的是考慮資產(chǎn)對于組織的商務的重要性，即根據(jù)資產(chǎn)損失所引發(fā)的潛在的商務影響來決定。為確保資產(chǎn)估價時的一致性和準確性， XX 公司 按照上述原則，建立了一套資產(chǎn)價值尺度，即資產(chǎn)評估準則，以明確如何對資產(chǎn)進行賦值。 資產(chǎn)估價的 過程也就是資產(chǎn)影響分析的過程。影響就是由人為或突發(fā)性引起的安全事件對資產(chǎn)破壞的后果。這一后果可能毀滅某些資產(chǎn)，危及信息系統(tǒng)并使其喪失機密性、完整性、可用性，最終還會造成經(jīng)濟損失、市場份額或公司形象的破壞。特別重要的是，即使每一次影響引起的損失并不大，但長期積累的眾多 169。 版權(quán)所有 第 8 頁 意外事件的影響總和亦可造成嚴重損失。一般情況下，影響主要從以下幾方面來考慮（具體請參見附錄 A 《資產(chǎn) 評估 準則》）： ? 經(jīng)濟損失 ? 業(yè)務影響 ? 系統(tǒng)破壞 ? 信譽影響 ? 商機泄露 ? 法律責任 ? 人身安全 ? 公共秩序 ? 商業(yè)利益 . 資產(chǎn)估價結(jié)果 根據(jù) XX 電廠二次系統(tǒng) 評估信 息資產(chǎn)及其影響調(diào)查結(jié)果，結(jié)合關(guān)鍵服務器、網(wǎng)絡設備和終端設備的重要程度，確定不同類別的資產(chǎn)評估結(jié)果如下： 所有評估 資產(chǎn)估價 表 物理資產(chǎn) 編號 資產(chǎn)名稱 IP 地址 應用說明 破壞后可能 造成的影響 權(quán)值 四 . 威脅評估 . 概述 威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。作為風險評估的重要因素，威脅是一個客觀存在的事物，無論對于多么安全的信息系統(tǒng)而言，它總一定存在。威脅可能源于對系統(tǒng)直接或間接的攻擊，例如信息泄露、篡改、刪除 等， 169。 版權(quán)所有 第 9 頁 在機密性、完整性或可用性等方面造成損害。威脅可能源 于意外的 、 或有預謀的事件。一般來說，威脅總是要利用系統(tǒng)、應用服務的弱點才可能成功地對資產(chǎn)造成 損害 。從宏觀上講，威脅按照安全事件的性質(zhì)可以分為人為錯誤、非授權(quán)蓄意行為、不可抗力、以及設施 /設備錯誤等；按照威脅的主體可以分為 系統(tǒng)合法用戶、系統(tǒng)非法用戶、系統(tǒng)組件和物理環(huán)境四種類型。 首先識別出對 XX 電廠二次系統(tǒng) 需要保護的每一項關(guān)鍵資產(chǎn)的主要威脅，即根據(jù)資產(chǎn)所處的環(huán)境條件和資產(chǎn)以前遭受威脅損害的情況進行判斷。一項資產(chǎn)可能面臨著多個威脅，同樣一個威脅可能對不同的資產(chǎn)有不同的表現(xiàn)形式，也就可能造成不同程度的影響。識別主 要是找出威脅由誰或什么事物引發(fā)以及威脅影響的資產(chǎn)是什么，即確定威脅的主體和客體。其次對每種威脅的屬性（即威脅的嚴重程度和威脅發(fā)生的可能性）進行調(diào)查和分析，最終通過為各屬性賦相對值的方式為其估價。 在本項目中，確定威脅的屬性是威脅評估的重要環(huán)節(jié)， XX 公司 根據(jù)行業(yè)經(jīng)驗的基礎上對搜集的 XX 電廠二次系統(tǒng) 歷史安全事件的統(tǒng)計數(shù)據(jù)進行了判斷，并通過問卷調(diào)查的方式對 XX 電廠二次系統(tǒng) 的相關(guān)網(wǎng)絡系統(tǒng)管理員、安全管理員進行了調(diào)查，最終獲取了大量的威脅發(fā)生的頻率或概率的第一手數(shù)據(jù)。 . 威脅的類別 根據(jù) XX 電廠二次系統(tǒng) 的具體情況，結(jié)合 XX 電廠二次系統(tǒng) 歷年來在信息安全方面發(fā)生過的事件記錄及其發(fā)展趨勢調(diào)查，本次風險評估將對如下十五種安全威脅進行考慮。威脅的主體包括：系統(tǒng)合法用戶、系統(tǒng)非法用戶、系統(tǒng)組件和物理環(huán)境。 下面分別對這些威脅及其可能發(fā)生的各種情形進行簡單描述。 （本次評估需要作適合用戶環(huán)境和應用的下述描述） 169。 版權(quán)所有 第 10 頁 表 41 主要威脅列表 . 威脅評估方法 威脅的評估主要是對威脅的嚴重性和威脅的可能性的評估，兩者取值均為相對等級 0－ 4， 4 為最嚴重或最可能。威脅的嚴重性是指威脅可能造成的最嚴重的影響，比較容易理解和確定。而威脅的可能性是考慮威脅發(fā)生的概率，比較難以判斷， XX 公司 在威脅發(fā)生的可能性時主要考慮如下因素的影響： ? 資 產(chǎn)的吸引力 ? 資產(chǎn)轉(zhuǎn)化成報酬的容易程度 ? 威脅的技術(shù)力量和成熟手段 ? 脆弱性被利用的難易程度 ? 其他綜合因素 威脅主體 威脅類別 威脅描述 系 統(tǒng) 合 法 用 戶（包括系統(tǒng)管理員和其他授權(quán)用戶） 操作錯誤 合法用戶工作失誤或疏忽的可能性 濫用授權(quán) 合法用戶利用自己的權(quán)限故意或非故意破壞系統(tǒng)的可能性 行為抵賴 合法用戶對自己操作行為否認的 可能性 系 統(tǒng) 非 法 用 戶（包括權(quán)限較低用戶和外部攻擊者） 身份假冒 非法用戶冒充合法用戶進行操作的可能性 密碼分析 非法用戶對系統(tǒng)密碼分析的可能性 安全漏洞 非法用戶利用系統(tǒng)漏洞侵入系統(tǒng)的可能性 拒絕服務 非法用戶利用拒絕服務手段攻擊系統(tǒng)的可能性 惡意代碼 病毒、特洛伊木馬、蠕蟲、邏輯炸彈等感染的可能性 竊聽數(shù)據(jù) 非法用戶通過竊聽等手段盜取重要數(shù)據(jù)的可能性 物理破壞 非法用戶利用各種手段對資產(chǎn)物理破壞的可能性 社會工程 非法用戶利用社會工程等手段獲取重要信息的可能性 系統(tǒng)組件 意外故障 系統(tǒng)的硬件、軟件發(fā)生意外故障的可能性 通信中斷 數(shù)據(jù)通信傳輸過程中發(fā)生意外中斷的可能性 物理環(huán)境 電源中斷 電源發(fā)生中斷的可能性 災難 火災、水災、雷擊、鼠害、地震等發(fā)生的可能性 169。 版權(quán)所有 第 11 頁 各屬性評估準則參照如下列表： 賦值 簡稱 說明 4 VH 不可避免（ 90%） 3 H 非常有可能（ 70% ~ 90%） 2 M 可能（ 20% ~ 70%） 1 L 可能性很?。?20%） 0 N 不可能（ ~0%） 表 42 威脅可能性賦值參考表 賦值 簡稱 說明 4 VH 資產(chǎn)全部損失，或資產(chǎn)已不可用（ 75%） 3 H 資產(chǎn)遭受重大損失（ 50% ~ 75%） 2 M 資產(chǎn)遭受明顯損 失（ 25% ~ 50%） 1 L 損失可忍受（ 25%） 0 N 損失可忽略（ ~0%） 表 43 威脅嚴重性賦值參考表 威脅可能性屬性非常難以度量，它依賴于具體的資產(chǎn)、弱點。而影響也依賴于具體資產(chǎn)的價值、分類屬性。并且，這兩個屬性都和時間有關(guān)系，也就是說，具體的威脅評估結(jié)果會隨著時間的變動而需要重新審核。在威脅評估中，評估者的專家經(jīng)驗非常重要。 . 威脅評估結(jié)果 根據(jù) XX 電廠二次系統(tǒng) 系統(tǒng)管理員、維護工程師的問卷調(diào)查結(jié)果，結(jié)合眾多方面的專家經(jīng)驗，對威脅的評估結(jié)果見下表。 . 威脅嚴重性評估結(jié)果 威脅嚴重性評 估表 169。 版權(quán)所有 第 12 頁 . 威脅可能性評估結(jié)果 威脅可能性評估表 五 . 脆弱性評估 . 概述 脆弱性是指資產(chǎn)或資產(chǎn)組中能被威脅所利用的弱點，它包括物理環(huán)境、組織機構(gòu)、業(yè)務流程、人員、管理、硬件、軟件及通訊設施等各個方面，這些都可能被各種安全威脅利用來侵害一個組織機構(gòu)內(nèi)的有關(guān)資產(chǎn)及這些資產(chǎn)所支持的業(yè)務系統(tǒng)。這些表現(xiàn)出來的各種安全薄弱環(huán)節(jié)自身并不會造成什么危害，它們只有在被各種安全威脅利用后才可能造成相應的危害。那些沒有安全威脅的弱點可以不需要實施安全保護措施，但它們必須記錄下來以確保當情況、條件有所變化時能隨之加以改變。需要注意的是不