【文章內(nèi)容簡介】 統(tǒng)在一段時間內(nèi)監(jiān)視網(wǎng)絡(luò)上的安全事件來獲得數(shù)據(jù)4滲透測試通過滲透測試方法來測試弱點，證實威脅5安全策略文檔分析安全策略文檔分析6安全審計依照IS017799,通過一套審計問題列表問答的方式來分析弱點7事件記錄對已有歷史安全事件記錄進行分析 威脅評估手段216。 歷史事件審計216。 網(wǎng)絡(luò)威脅評估216。 系統(tǒng)威脅評估216。 業(yè)務(wù)威脅評估 威脅評估實例某資產(chǎn)（服務(wù)類）面臨攻擊和訪問類威脅；同時存在遠程緩沖區(qū)溢出弱點，該弱點可以導(dǎo)致遠程攻擊者直接獲得服務(wù)所在宿主機的超級用戶權(quán)限；該弱點的利用程序（Exploit）于互聯(lián)網(wǎng)上面發(fā)表已經(jīng)多個星期，幾乎可以認(rèn)為所有攻擊者都可以得到該利用程序；該攻擊利用程序運行簡單，可以認(rèn)為大多數(shù)攻擊者都可以成功地執(zhí)行該利用程序；該資產(chǎn)當(dāng)前的安全控制中，沒有對該弱點的保護；所以可以認(rèn)為該資產(chǎn)面臨的威脅的影響為VH（資產(chǎn)全部損失）、可能性為H（非常有可能）。整體上，資產(chǎn)處于高度威脅之中。 影響與可能性分析風(fēng)險也存在兩個屬性：后果（Consequence）和可能性（Likelihood）。最終風(fēng)險對稅務(wù)系統(tǒng)的影響，也就是對風(fēng)險的評估賦值是對上述兩個屬性權(quán)衡作用的結(jié)果。不同的資產(chǎn)面臨的主要威脅各不相同。而隨著威脅可以利用的、資產(chǎn)存在的弱點數(shù)量的增加會增加風(fēng)險的可能性，隨著弱點類別的提高會增加該資產(chǎn)面臨風(fēng)險的后果。在許多情況下，某資產(chǎn)風(fēng)險的可能性是面臨的威脅的可能性和資產(chǎn)存在的脆弱性的函數(shù)，而風(fēng)險的后果是資產(chǎn)的價值和威脅的影響的函數(shù)。目前采用的算式如下：風(fēng)險值 = 資產(chǎn)價值威脅影響威脅可能性資產(chǎn)弱點等級從資產(chǎn)面臨的若干個子風(fēng)險中，評估者從自己的經(jīng)驗出發(fā)得出該資產(chǎn)面臨的整體風(fēng)險。 系統(tǒng)分析 系統(tǒng)結(jié)構(gòu)及邊界網(wǎng)絡(luò)結(jié)構(gòu)分析是風(fēng)險評估中對業(yè)務(wù)系統(tǒng)安全性進行全面了解的基礎(chǔ)，一個業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)是整個業(yè)務(wù)系統(tǒng)的承載基礎(chǔ)，及時發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)存在的安全性、網(wǎng)絡(luò)負載問題，網(wǎng)絡(luò)設(shè)備存在的安全性，抗攻擊的問題是整個業(yè)務(wù)系統(tǒng)評估的重要環(huán)節(jié)。對評估對象的物理網(wǎng)絡(luò)結(jié)構(gòu)，邏輯網(wǎng)絡(luò)結(jié)構(gòu)及網(wǎng)絡(luò)的關(guān)鍵設(shè)備進行評估（基本信息包括網(wǎng)絡(luò)帶寬、協(xié)議、硬件、因特網(wǎng)接入、地理分布方式和網(wǎng)絡(luò)管理），發(fā)現(xiàn)存在的安全性、合理性、使用效率等方面的問題。結(jié)合業(yè)務(wù)體系、系統(tǒng)體系結(jié)構(gòu)來檢查邏輯網(wǎng)絡(luò)結(jié)構(gòu)，物理網(wǎng)絡(luò)組成以及網(wǎng)絡(luò)關(guān)鍵設(shè)備等，對于保持網(wǎng)絡(luò)安全是非常重要的。另外，確定關(guān)鍵網(wǎng)絡(luò)拓撲，對于成功地實施基于網(wǎng)絡(luò)的風(fēng)險管理方案是很關(guān)鍵的。網(wǎng)絡(luò)結(jié)構(gòu)分析能夠做到：216。 改善網(wǎng)絡(luò)性能和利用率,使之滿足業(yè)務(wù)系統(tǒng)需要；216。 提供有關(guān)擴充網(wǎng)絡(luò)、增加IT投資和提高網(wǎng)絡(luò)穩(wěn)定性的信息；216。 幫助用戶降低風(fēng)險,改善網(wǎng)絡(luò)運行效率,提高網(wǎng)絡(luò)的穩(wěn)定性；216。 確保網(wǎng)絡(luò)系統(tǒng)的安全運行；216。 對網(wǎng)絡(luò)環(huán)境、性能、故障和配置進行檢查。 信息的敏感度評估信息是一種重要的無形資產(chǎn)，它與有形資產(chǎn)一起構(gòu)成資產(chǎn)的全體。對于信息資產(chǎn)的保護首先需要進行分級處理，即按信息的敏感度來劃分。因此，信息的敏感度評估可以大致劃分為如下步驟：216。 調(diào)查是否對數(shù)據(jù)根據(jù)其敏感程度進行了必要的分級；216。 分級是否合理；216。 不同敏感程度的數(shù)據(jù)是否得到了適當(dāng)?shù)谋Ｗo；216。 是否定義了數(shù)據(jù)泄漏或破壞的事后處理措施。 調(diào)查問卷的結(jié)構(gòu)調(diào)查問卷包括三部分：封面目錄，問題和注釋。調(diào)查系統(tǒng)可以從描述被評估的主要應(yīng)用程序和通用支持系統(tǒng)或一組相互關(guān)聯(lián)的系統(tǒng)開始。 調(diào)查系統(tǒng)控制所有完成的調(diào)查問卷都應(yīng)該根據(jù)機構(gòu)政策決定的敏感性程度來評論，處理和控制。要注意到的是，包含在完成調(diào)查問卷中的信息能很容易描述一個系統(tǒng)或是一組系統(tǒng)容易受到攻擊的地方。 系統(tǒng)確認(rèn)調(diào)查問卷的封面是由被評估系統(tǒng)的名稱和主題開始的。如NIST特別出版物SP 80018中所提到的，每一個主要應(yīng)用程序或普遍支持系統(tǒng)都應(yīng)該被安排一個唯一的名稱/標(biāo)志符。為每一個系統(tǒng)安排唯一的標(biāo)志符確立與系統(tǒng)相適應(yīng)的安全需要，還有助于分配的資源能夠被充分的利用。在很多情況下，主要應(yīng)用程序和一般支持系統(tǒng)包括互相關(guān)聯(lián)的系統(tǒng)?；ハ嚓P(guān)聯(lián)的系統(tǒng)都應(yīng)該被列出來。一旦評估完成，就應(yīng)該做一個關(guān)于邊界控制是否起作用的判定，并且把它記錄在封皮目錄中。邊界控制是評估的一部分，如果邊界控制不合適，對于相互關(guān)聯(lián)系統(tǒng)的評估也會不合適。在系統(tǒng)名稱和題目下面的橫線上需要評估員寫上系統(tǒng)類型（普遍支持還是主要應(yīng)用）。 目的和評估者信息評估的目的和對象應(yīng)該是確定的。例如，評估進行的很多細節(jié)檢查要得到一個高級別的系統(tǒng)安全指示或是為了完善行動計劃增強系統(tǒng)的徹底性和可信度。名字，題目和從事評估的機構(gòu)也要被列出來，機構(gòu)應(yīng)該重新制定相應(yīng)的替代頁。評估開始和完成時候的數(shù)據(jù)也要列出來。完成評估所需要的時間是可變的。完成評估所需要的資源和時間取決于系統(tǒng)的大小和復(fù)雜程度，系統(tǒng)和用戶數(shù)據(jù)的親和性，以及評估員可以利用多少信息進行評估。例如，一個系統(tǒng)進行了廣泛的測試，認(rèn)證，和證據(jù)資源的自我評估，在以后的評估中就可以很容易把他作為主線使用和服務(wù)。如果一個系統(tǒng)只經(jīng)過有限的測試和只有很少的證據(jù)資源，完成調(diào)查系統(tǒng)則需要更長的時間。 信息的決定性由程序員和系統(tǒng)所有者決定的信息敏感級別應(yīng)該在調(diào)查表單中的表格形成文件。如果一個機構(gòu)設(shè)計了它們自己的判定系統(tǒng)的決定性或敏感性的方法，就要用機構(gòu)的決定性或敏感性的類型代替表格。文件敏感性程度的建立前提是支持高風(fēng)險操作系統(tǒng)要比支持低風(fēng)險操作系統(tǒng)有更多的嚴(yán)格控制。 利用問卷調(diào)查結(jié)果 調(diào)查問卷分析完成評估的人員也可以處理對完成的調(diào)查問卷的分析工作。和系統(tǒng)很類似，支持文件、評估結(jié)果和評估者下一步要做的也是一個總結(jié)了調(diào)查結(jié)果的分析。一個集中的機構(gòu)，比如說，一個信息系統(tǒng)安全程序辦公室也可以處理對存在的支持文件的分析工作。分析結(jié)果將寫在行動計劃中，而且為了反映每一個控制對象和手法的決策，也應(yīng)該創(chuàng)建或是更新系統(tǒng)安全計劃。 行動計劃一個決定性因素是如何被應(yīng)用的，也就是說，具體步驟的記錄、設(shè)備的安裝調(diào)試和人員的培訓(xùn)都應(yīng)該被納入到行動計劃的檔案管理中。行動計劃必須包括計劃數(shù)據(jù)、資源分配和補充的復(fù)查以保證修改后的行動能起作用。在找出系統(tǒng)弱點的行動計劃的狀況和資源需要等方面，還需要遵循以前管理員的經(jīng)驗。 綜合風(fēng)險分析從風(fēng)險的定義可以看出，風(fēng)險評估的策略是首先選定某項資產(chǎn)、評估資產(chǎn)價值、挖掘并評估資產(chǎn)面臨的威脅、挖掘并評估資產(chǎn)存在的弱點、評估該資產(chǎn)的風(fēng)險、進而得出整個評估目標(biāo)的風(fēng)險。安全風(fēng)險評估需要明確：216。 需要保護的資源；216。 保護這些資源免除哪些威脅；216。 威脅方；216。 威脅的可能性；216。 威脅所造成的（直接）損失；216。 消除威脅所需消耗的資源。風(fēng)險模型如下： 風(fēng)險分析矩陣可以根據(jù)風(fēng)險信息和數(shù)據(jù)，對風(fēng)險分析予以不同程度的改進。視情況而定，風(fēng)險分析可以是定性分析、半定量分析或定量分析，或者是這些分析的結(jié)合。如果按遞升次序?qū)⑦@些分析的復(fù)雜性和成本加以排列的話，將會是：定性分析、半定量、定量分析。通常，定性分析往往首先被采用，以得到風(fēng)險程度的總的提示。采用下面的賦值矩陣來獲得最終的風(fēng)險表11 風(fēng)險程度和措施數(shù)值符號含義建議處置、措施備注128256E極度風(fēng)險要求立即采取措施：避免？轉(zhuǎn)移？減??？需要具體資產(chǎn)信息64127H高風(fēng)險需要高級管理部門的注意：避免？轉(zhuǎn)移？減小？需要具體資產(chǎn)信息463M中等風(fēng)險必須規(guī)定管理責(zé)任：避免？接受？轉(zhuǎn)移？減?。啃枰唧w資產(chǎn)信息03L低風(fēng)險用日常程序處理：避免？接受？轉(zhuǎn)移？減小？需要具體資產(chǎn)信息 風(fēng)險評估層面216。 技術(shù)風(fēng)險評估216。 資產(chǎn)風(fēng)險評估216。 系統(tǒng)風(fēng)險評估216。 業(yè)務(wù)風(fēng)險評估216。 管理風(fēng)險評估 風(fēng)險評估實例IOS （服務(wù)類）經(jīng)過資產(chǎn)評估被賦值（：很高價值）；面臨的威脅為：未授權(quán)的惡意的路由更新,路由更新欺詐；存在較高等級弱點（3）：BGP和ISIS沒有進行neighbour authentication；綜合各種因素，威脅可能性被賦值為（2）；威脅的影響被賦值為（3）；按照前述算法可以得出：風(fēng)險值＝ x x x 3=風(fēng)險后果= x =風(fēng)險可能性= x 3=6整體風(fēng)險最終被賦值：，從前面的風(fēng)險矩陣可以查得該資產(chǎn)處于高風(fēng)險之中。建議立即采取措施，進行“避免/轉(zhuǎn)移/減小”等風(fēng)險處置。 ISO 17799十個域216。 安全策略216。 安全組織216。 資產(chǎn)分類和控制216。 人員安全216。 物理與環(huán)境的安全216。 通訊與操作的安全216。 訪問控制216。 系統(tǒng)開發(fā)與維護216。 業(yè)務(wù)連續(xù)性管理216。 遵循性 可交付的文檔 信息網(wǎng)絡(luò)《遠程風(fēng)險評估報告》，包括以下內(nèi)容：1）網(wǎng)絡(luò)及系統(tǒng)漏洞統(tǒng)計歸納分析，按設(shè)備種類（網(wǎng)絡(luò)設(shè)備、服務(wù)器、其他主機）進行歸納，并給出圖形化的分析結(jié)果，并按IP地址給出具體的漏洞列表。2）給出詳細的漏洞信息描述，包含所有已知漏洞的名稱、描述、風(fēng)險級別、演變過程、受影響系統(tǒng)、危害、詳細的解決辦法和操作步驟等?！侗镜仫L(fēng)險評估報告》，包括以下內(nèi)容：1）資產(chǎn)評估，至少包含以下資產(chǎn)的評估：信息資產(chǎn)、物質(zhì)資產(chǎn)、軟件資產(chǎn)、服務(wù)、設(shè)備、人員。2）漏洞評估，至少包括以下方面的漏洞分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。3）威脅評估，至少包括以下方面的威脅分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管實現(xiàn)方式、主機系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。4）風(fēng)險評估，說明風(fēng)險計算方法，至少包括以下方面的風(fēng)險分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管實現(xiàn)方式、主機系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。《安全策略建議》：根據(jù)網(wǎng)絡(luò)安全現(xiàn)狀，提供安全策略建議，要求至少包括如下方面的建議：人員組織、安全管理（包括工程建設(shè)期間）、訪問控制、網(wǎng)絡(luò)管理、數(shù)據(jù)安全、緊急響應(yīng)。并說明策略制訂、修改的依據(jù)，供稅務(wù)系統(tǒng)參考。《安全解決方案建議》：對現(xiàn)有網(wǎng)絡(luò)系統(tǒng)提出全面的安全解決方案建議，至少包括如下方面：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理（包括工程建設(shè)期間）制度、安全策略。要求對所建議的方案進行投資估算，并說明所提供方案對現(xiàn)有網(wǎng)絡(luò)的改動情況，對服務(wù)和性能的影響程度。如需使用安全產(chǎn)品，請描述所需產(chǎn)品的功能和性能要求，但不能限定產(chǎn)品的廠家和型號。 文檔一覽216。 《資產(chǎn)評估部分》216。 《漏洞評估部分》216。 《威脅評估部分》216。 《風(fēng)險評估部分》216。 《安全策略建議部分》216。 《安全解決方案部分》4 風(fēng)險評估過程風(fēng)險評估的過程是圍繞三個方面來展開，經(jīng)歷調(diào)查與分析、數(shù)據(jù)/信息收集與處理、撰寫評估報告三個階段。此外，風(fēng)險評估通常還包括一個非常重要的跟進過程，在這個過程中根據(jù)風(fēng)險評估的結(jié)果給出安全建設(shè)方面的建議并監(jiān)督執(zhí)行。 評估過程評估過程分為3個階段共8個過程。 階段1：提取基于資產(chǎn)的威脅概況確定高級管理層的認(rèn)識（P1）目的：明確稅務(wù)系統(tǒng)高層管理人員對稅務(wù)系統(tǒng)重要資產(chǎn)的認(rèn)識，對資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護措施以及和保護該資產(chǎn)相關(guān)的問題。人員：風(fēng)險評估小組以及稅務(wù)系統(tǒng)高層管理人員確定運作管理層的認(rèn)識（P2）目的：明確稅務(wù)系統(tǒng)運作管理人員對稅務(wù)系統(tǒng)重要資產(chǎn)的認(rèn)識，對資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護措施以及和保護該資產(chǎn)相關(guān)的問題。人員：風(fēng)險評估小組以及稅務(wù)系統(tǒng)運作管理人員確定全體人員的認(rèn)識（P3）目的：明確稅務(wù)系統(tǒng)工作人員對稅務(wù)系統(tǒng)重要資產(chǎn)的認(rèn)識，對資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護措施以及和保護該資產(chǎn)相關(guān)的問題。人員：風(fēng)險評估小組以抽選的稅務(wù)系統(tǒng)人員代表建立威脅輪廓（P4）目的：根據(jù)階段1－3明確稅務(wù)系統(tǒng)的關(guān)鍵資產(chǎn)，描述關(guān)鍵資產(chǎn)的安全需求，標(biāo)識關(guān)鍵資產(chǎn)面臨的威脅。人員：風(fēng)險評估小組 階段2：確定基礎(chǔ)設(shè)施漏洞找出關(guān)鍵組件（P5）目的：識別和劃分需要評估的基礎(chǔ)資產(chǎn)的類別，并從每個類別中抽樣選擇一個或多個基礎(chǔ)資產(chǎn)，然后選用適當(dāng)?shù)姆椒ê陀行У墓ぞ邔ζ溥M行脆弱性評估。人員：風(fēng)險評估小組以及稅務(wù)系統(tǒng)信息中心和業(yè)務(wù)部門技術(shù)人員。評估關(guān)鍵組件（P6）目的：識別技術(shù)上的脆弱性，并對結(jié)果進行總結(jié)和概括。人員：風(fēng)險評估小組以及稅務(wù)系統(tǒng)信息中心和業(yè)務(wù)部門技術(shù)人員。 階段3：制訂安全策略和計劃實施風(fēng)險分析（P7）目的：定義威脅產(chǎn)生的影響（標(biāo)識風(fēng)險），制定評估標(biāo)準(zhǔn)，對每個風(fēng)險進行分級（高、中、低）。人員：風(fēng)險評估小組制訂保護策略（P8）目的：為稅務(wù)系統(tǒng)制定保護策略，降低關(guān)鍵資產(chǎn)風(fēng)險的方案，以及短期內(nèi)的措施清單。人員：風(fēng)險評估小組 各階段的一般過程 調(diào)查與分析調(diào)查與分析是參與風(fēng)險評估的雙方就資產(chǎn)、弱點、威脅達成一致認(rèn)識的重要手段。調(diào)查與分析需要花費大量的時間用于確認(rèn)相關(guān)信息，因此，合理利用調(diào)查問卷可以事半功倍。 數(shù)據(jù)/信息收集與處理在評估過程中，有大量的數(shù)據(jù)需要以合理的結(jié)構(gòu)存儲并利用自動化的工具來處理。安全信息庫是進行數(shù)據(jù)/信息收集與處理的一種非常有效的工具。 撰寫評估報告在正確地處理各種評估數(shù)據(jù)的基礎(chǔ)上，根據(jù)統(tǒng)計與分析的初步結(jié)果，利用風(fēng)險計算矩陣計算各資產(chǎn)的風(fēng)險值以及整個系統(tǒng)的綜合風(fēng)險值。撰寫評估報告需要在這種定量分析的基礎(chǔ)上找出風(fēng)險的屬性之間的關(guān)系，陳述綜合分析結(jié)果。 風(fēng)險控制風(fēng)險控制的目的是保護資產(chǎn)，提高稅務(wù)系統(tǒng)的業(yè)務(wù)連續(xù)性和價值，達到稅務(wù)系統(tǒng)的安全目標(biāo)和業(yè)務(wù)目標(biāo)。風(fēng)險控制可能需要付出一定代價或者增加成本。 風(fēng)險控制的方式風(fēng)險控制的方式有