【文章內(nèi)容簡介】 絕風(fēng)險(xiǎn)，而且風(fēng)險(xiǎn)降低得越多，所需的成本就越高。因此，在系統(tǒng)中就總是有殘余風(fēng)險(xiǎn)（RR）的存在，這樣，系統(tǒng)安全需求的確定實(shí)際上也是對余留風(fēng)險(xiǎn)及其接受程度的確定。. 風(fēng)險(xiǎn)分析方法模型在安全風(fēng)險(xiǎn)分析方法模型中提供了風(fēng)險(xiǎn)計(jì)算的方法，通過兩個(gè)因素：威脅級別、威脅發(fā)生的概率，通過風(fēng)險(xiǎn)評估矩陣得出安全風(fēng)險(xiǎn)。威脅識別資產(chǎn)識別脆弱性識別威脅頻率資產(chǎn)價(jià)值脆弱點(diǎn)嚴(yán)重程度安全事件造成的損失安全事件可能性風(fēng)險(xiǎn)值圖 2 風(fēng)險(xiǎn)分析原理圖.. . . ..學(xué)習(xí)參考風(fēng)險(xiǎn)分析中要涉及資產(chǎn)、威脅、脆弱性三個(gè)基本要素。每個(gè)要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性可以是威脅主體、影響對象、出現(xiàn)頻率、動(dòng)機(jī)等；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。風(fēng)險(xiǎn)分析的主要內(nèi)容為：a） 對資產(chǎn)進(jìn)行識別，并對資產(chǎn)的價(jià)值進(jìn)行賦值；b） 對威脅進(jìn)行識別，描述威脅的屬性，并對威脅出現(xiàn)的頻率賦值；c） 對脆弱性進(jìn)行識別，并對具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值；d） 根據(jù)威脅及威脅利用脆弱性的難易程度判斷安全事件發(fā)生的可能性；e） 根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用的資產(chǎn)的價(jià)值計(jì)算安全事件造成的損失；f） 根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失，計(jì)算安全事件一旦發(fā)生對組織的影響，即風(fēng)險(xiǎn)值。. 風(fēng)險(xiǎn)評估采用方法風(fēng)險(xiǎn)評估常用方法如下：? 調(diào)查訪談物理安全訪談表、人員安全訪談表、網(wǎng)絡(luò)安全訪談表、系統(tǒng)安全訪談表等等；? 工具掃描網(wǎng)絡(luò)安全掃描、應(yīng)用安全掃描、系統(tǒng)安全掃描等等；? 人工檢查操作系統(tǒng) checklist、數(shù)據(jù)庫 checklist、網(wǎng)絡(luò)設(shè)備 checklist 等等；? 滲透測試由專業(yè)滲透測試工程師模擬黑客攻擊方式對網(wǎng)絡(luò)與信息系統(tǒng)進(jìn)行非破壞性漏泀驗(yàn)證性測試；? 文檔查閱管理制度查閱、管理策略查閱、安全指導(dǎo)方針查閱等等。.. . . ..學(xué)習(xí)參考. 風(fēng)險(xiǎn)評估使用工具本次項(xiàng)目，用到的部分評估工具列出如下表：表格 3 評估工具列表工具類別 工具名稱 工具說明天鏡網(wǎng)絡(luò)漏洞掃描系統(tǒng)啟明星辰公司自主產(chǎn)權(quán)的大規(guī)模網(wǎng)絡(luò)漏洞掃描系統(tǒng)，可掃描端口服務(wù)信息、漏洞信息、用戶信息，并可鑒別系統(tǒng)類型。網(wǎng)絡(luò)漏洞掃描工具Nessus世界范圍內(nèi)廣泛使用的免費(fèi)網(wǎng)絡(luò)端口掃描、系統(tǒng)類型鑒別和漏洞掃描工具入侵檢測工具天闐網(wǎng)絡(luò)入侵檢測系統(tǒng)入侵檢測系統(tǒng)作為實(shí)時(shí)的檢測工具，是安全威脅信息收集過程中的一種重要手段，分析網(wǎng)絡(luò)的安全運(yùn)行狀況，發(fā)覺配置和運(yùn)行中的隱患，其數(shù)據(jù)是網(wǎng)絡(luò)整體安全的重要參考依據(jù)Solaris（TM）Security ToolkitSun公司官方提供的本地控制臺審計(jì)工具包Linux Security Audit Tools（LSAT）Linux系統(tǒng)的本地控制臺審計(jì)工具包Win 系統(tǒng)安全審計(jì)工具包啟明星辰收集整理的多種針對性的Win 系統(tǒng)安全審計(jì)工具的集合Check Rootkits多種unix和類unix平臺的后門檢測工具本地控制臺安全審計(jì)工具路由交換防火墻安全審計(jì)工具包啟明星辰整理定制的工具包，通過SNMP、Tel、HTTP、CDP、RIP等協(xié)議對網(wǎng)絡(luò)設(shè)備進(jìn)行安全審計(jì).. . . ..學(xué)習(xí)參考第 4 章 風(fēng)險(xiǎn)評估實(shí)施流程我們將整個(gè)項(xiàng)目的實(shí)施內(nèi)容分為 7 個(gè)階段。從項(xiàng)目啟動(dòng)階段到項(xiàng)目驗(yàn)收整個(gè)項(xiàng)目實(shí)施過程，我們用 WBS 圖中完整地描述了整個(gè)項(xiàng)目實(shí)施過程的重要工作任務(wù)。階 段 1 ： 服 務(wù) 啟 動(dòng) 階 段 2 ： 資 產(chǎn) 評 估 階 段 3 ： 威 脅 評 估 階 段 4 ： 脆 弱 性 評 估 階 段 5 ： 風(fēng) 險(xiǎn) 分 析 階 段 6 ： 處 置 計(jì) 劃 階 段 7 ： 服 務(wù) 驗(yàn) 收項(xiàng) 目 實(shí) 施 風(fēng) 險(xiǎn) 及 規(guī) 避 措 施服 務(wù) 管 理 （ 服 務(wù) 組 織 結(jié) 構(gòu) 、 實(shí) 施 計(jì) 劃 、 質(zhì) 量 管 理 、 保 密 控 制 ）資 產(chǎn) 識 別資 產(chǎn) 分 類資 產(chǎn) 清 單資 產(chǎn) 分 析資 產(chǎn) 賦 值威 脅 識 別威 脅 分 類范 圍 確 定系 統(tǒng) 調(diào) 研制 定 計(jì) 劃報(bào) 告 提 交成 果 匯 報(bào)服 務(wù) 驗(yàn) 收威 脅 分 析威 脅 賦 值獲 得 支 持技 術(shù) 脆 弱 識 別管 理 脆 弱 識 別控 制 措 施 識 別脆 弱 性 分 析脆 弱 性 賦 值《 資 產(chǎn) 評 估 報(bào) 告 》《 服 務(wù) 實(shí) 施 計(jì) 劃 》 《 威 脅 評 估 報(bào) 告 》 《 脆 弱 性 評 估 報(bào) 告 》 《 風(fēng) 險(xiǎn) 評 估 報(bào) 告 》 《 風(fēng) 險(xiǎn) 處 置 計(jì) 劃 》 《 服 務(wù) 驗(yàn) 收 報(bào) 告 》風(fēng) 險(xiǎn) 綜 合 識 別風(fēng) 險(xiǎn) 模 型 計(jì) 算風(fēng) 險(xiǎn) 接 收 準(zhǔn) 則風(fēng) 險(xiǎn) 綜 合 評 價(jià)安 全 目 標(biāo) 確 定安 全 措 施 選 擇實(shí) 施 內(nèi) 容 安 排制 定 處 置 計(jì) 劃圖 3 項(xiàng)目實(shí)施流程圖. 階段 1：項(xiàng)目啟動(dòng)階段此階段是項(xiàng)目的啟動(dòng)和計(jì)劃階段，是項(xiàng)目實(shí)施階段的開始，對項(xiàng)目整個(gè)過程的實(shí)施工作與項(xiàng)目管理工作都非常重要。. 階段目標(biāo)在此階段的主要工作目標(biāo)是召開評估項(xiàng)目啟動(dòng)會(huì)議，并就項(xiàng)目組的工作方式、日常流程、工作計(jì)劃、交付件藍(lán)圖進(jìn)行溝通和確認(rèn)。. 階段步驟評估項(xiàng)目啟動(dòng)階段，是整個(gè)項(xiàng)目過程中，對項(xiàng)目的有效性的一種保證。實(shí)施風(fēng)險(xiǎn)評估是一種戰(zhàn)略性的考慮，其結(jié)果將受到組織的業(yè)務(wù)戰(zhàn)略、業(yè)務(wù)流程、.. . . ..學(xué)習(xí)參考安全需求、系統(tǒng)規(guī)模和結(jié)構(gòu)等方面的影響。步驟一：項(xiàng)目組織，確定雙方項(xiàng)目組織結(jié)構(gòu)及人員分工。步驟二：召開項(xiàng)目啟動(dòng)會(huì)，包括項(xiàng)目中需要落實(shí)內(nèi)容：a) 獲得支持和配合；b) 確定項(xiàng)目的目標(biāo)；c) 確定項(xiàng)目的內(nèi)容；d) 組建項(xiàng)目服務(wù)團(tuán)隊(duì)；e) 對項(xiàng)目的對象、范圍進(jìn)行調(diào)研并確認(rèn)；f) 宣貫風(fēng)險(xiǎn)評估方法和評估思想；g) 建立項(xiàng)目組的工作場所和環(huán)境；h) 確定項(xiàng)目組的工作流程，包括文檔交付流程、項(xiàng)目更改流程等；i) 確定項(xiàng)目組的工作方式，包括指定接口人，保密方式，資料保管和備份方式等。步驟三：確定各個(gè)細(xì)節(jié)后，項(xiàng)目啟動(dòng)完成，進(jìn)入項(xiàng)目實(shí)施階段。. 階段輸出本階段完成后輸出如下文件：? 《項(xiàng)目實(shí)施計(jì)劃》? 《項(xiàng)目啟動(dòng)會(huì)議紀(jì)要》? 《項(xiàng)目藍(lán)圖》? 《保密協(xié)議書》? 《項(xiàng)目組織結(jié)構(gòu)和人員職責(zé)》? 《項(xiàng)目范圍確認(rèn)書》? 《培訓(xùn)計(jì)劃》 （針對風(fēng)險(xiǎn)評估知識宣貫實(shí)施方法）. 階段 2：資產(chǎn)評估階段保護(hù)資產(chǎn)免受安全威脅是本項(xiàng)目實(shí)施的根本目標(biāo)。要做好這項(xiàng)工作，首先需要詳細(xì)了解資產(chǎn)分類與管理的詳細(xì)情況。.. . . ..學(xué)習(xí)參考. 階段目標(biāo)資產(chǎn)識別的目的就是要對系統(tǒng)的相關(guān)資產(chǎn)做潛在價(jià)值分析，了解其資產(chǎn)利用、維護(hù)和管理現(xiàn)狀。明確各類資產(chǎn)具備的保護(hù)價(jià)值和需要的保護(hù)層次，從而使企業(yè)能夠更合理的利用現(xiàn)有資產(chǎn)，更有效地進(jìn)行資產(chǎn)管理，更有針對性的進(jìn)行資產(chǎn)保護(hù)，最具策略性的進(jìn)行新的資產(chǎn)投入。. 階段步驟階段一：根據(jù)項(xiàng)目范圍進(jìn)行資產(chǎn)分類與識別，包括主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)、文檔資產(chǎn)、人員資產(chǎn)等等。階段二：進(jìn)行資產(chǎn)識別，分類并賦值。. 階段方法表格 4 資產(chǎn)評估方法項(xiàng)目名稱 資產(chǎn)分類調(diào)查簡要描述 采集資產(chǎn)信息，進(jìn)行資產(chǎn)分類，劃分資產(chǎn)重要級別及賦值；達(dá)成目標(biāo)采集資產(chǎn)信息，進(jìn)行資產(chǎn)分類，劃分資產(chǎn)重要級別及賦值；進(jìn)一步明確評估的范圍和重點(diǎn)。主要內(nèi)容? 采集資產(chǎn)信息，獲取資產(chǎn)清單；? 進(jìn)行資產(chǎn)分類劃分；? 確定資產(chǎn)的重要級別，對資產(chǎn)進(jìn)行賦值。實(shí)現(xiàn)方式? 調(diào)查。? 填表式調(diào)查。? 《資產(chǎn)調(diào)查表》 ，包含計(jì)算機(jī)設(shè)備、通訊設(shè)備、存儲(chǔ)及保障設(shè)備、信息、軟件等。? 交流。? 審閱已有的針對資產(chǎn)的安全管理規(guī)章、制度。.. . . ..學(xué)習(xí)參考? 與高級主管、業(yè)務(wù)人員、網(wǎng)絡(luò)管理員（系統(tǒng)管理員）等進(jìn)行交流。工作條件 23 人工作環(huán)境，2 臺筆記本，電源和網(wǎng)絡(luò)環(huán)境，某單位人員和資料配合。工作結(jié)果 資產(chǎn)類別、資產(chǎn)重要級別。參加人員依據(jù)現(xiàn)場狀況，啟明星辰全體評估人員在某單位業(yè)務(wù)系統(tǒng)相關(guān)技術(shù)和管理人員的配合下進(jìn)行資產(chǎn)分類調(diào)查。. 階段輸出本階段完成后輸出文檔如下：? 《資產(chǎn)詳細(xì)清單》? 《資產(chǎn)賦值列表》. 階段 3：威脅評估威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。作為風(fēng)險(xiǎn)評估的重要因素，威脅是一個(gè)客觀存在的事物，無論對于多么安全的信息系統(tǒng)，它都存在。為全面、準(zhǔn)確地了解系統(tǒng)所面臨的各種威脅，需采用威脅分析方法。 . 階段目標(biāo)通過威脅分析，找出系統(tǒng)目前存在的潛在風(fēng)險(xiǎn)因素，并進(jìn)行統(tǒng)計(jì)，賦值，以便于列出風(fēng)險(xiǎn)。. 階段步驟威脅識別采用人工審計(jì)、安全策略文檔審閱、人員面談、入侵檢測系統(tǒng)收集的信息和人工分析。步驟一：把已經(jīng)發(fā)現(xiàn)的威脅進(jìn)行分類；步驟二：把發(fā)現(xiàn)的威脅事件進(jìn)行分析。.. . . ..學(xué)習(xí)參考. 階段方法表格 3 威脅調(diào)查評估項(xiàng)目名稱 威脅調(diào)查評估簡要描述 使用技術(shù)手段分析信息系統(tǒng)可能面臨的所有安全威脅和風(fēng)險(xiǎn)。達(dá)成目標(biāo)全面了解掌握信息系統(tǒng)可能面臨的所有安全威脅和風(fēng)險(xiǎn)。對威脅進(jìn)行賦值并確定威脅等級。主要內(nèi)容? 被動(dòng)攻擊威脅與風(fēng)險(xiǎn)：網(wǎng)絡(luò)通信數(shù)據(jù)被監(jiān)聽、口令等敏感信息被截獲等。? 主動(dòng)攻擊威脅與風(fēng)險(xiǎn)：掃描目標(biāo)主機(jī)、拒絕服務(wù)攻擊、利用協(xié)議、軟件、系統(tǒng)故障、漏洞插入或執(zhí)行惡意代碼（如：特洛依木馬、病毒、后門等） 、越權(quán)訪問、篡改數(shù)據(jù)、偽裝、重放所截獲的數(shù)據(jù)等。? 鄰近攻擊威脅與風(fēng)險(xiǎn)：毀壞設(shè)備和線路、竊取存儲(chǔ)介質(zhì)、偷窺口令等。? 分發(fā)攻擊威脅與風(fēng)險(xiǎn)：在設(shè)備制造、安裝、維護(hù)過程中，在設(shè)備上設(shè)置隱藏的后門或攻擊途徑、? 內(nèi)部攻擊威脅與風(fēng)險(xiǎn)：惡意修改數(shù)據(jù)和安全機(jī)制配置參數(shù)、惡意建立未授權(quán)連接、惡意的物理損壞和破壞、無意的數(shù)據(jù)損壞和破壞。實(shí)現(xiàn)方式? 調(diào)查交流? 工具檢測? 人工檢測工作條件 23 人工作環(huán)境，2 臺筆記本，電源和網(wǎng)絡(luò)環(huán)境，某單位人員和資料配合工作結(jié)果 根據(jù)分析結(jié)果列出系統(tǒng)所面臨的威脅，對威脅賦值并確定威脅級別參加人員 啟明星辰評估小組，網(wǎng)絡(luò)管理人員、系統(tǒng)管理人員. 階段輸出本階段完成主要輸出文檔如下：? 《威脅調(diào)查表》? 《威脅賦值列表》.. . . ..學(xué)習(xí)參考. 階段 4：脆弱性評估脆弱性是對一個(gè)或多個(gè)資產(chǎn)弱點(diǎn)的總稱，脆弱性評估是對技術(shù)脆弱性和管理脆性進(jìn)行識別和賦值的過程。. 階段目標(biāo)技術(shù)脆弱性主要是采用工具掃描、人工檢查（checklist） 、滲透測試、訪談等方式對物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、 、應(yīng)用軟件、業(yè)務(wù)流程等進(jìn)行脆弱性識別并賦值。管理脆弱性主要是通過管理訪談、文檔查閱等方式對安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、安全建設(shè)管理、安全運(yùn)維管理等進(jìn)行脆弱性識別并賦值。. 實(shí)施步驟脆弱性識別步驟主要是通過技術(shù)脆弱性和管理脆弱性來進(jìn)行識別。. 技術(shù)脆弱性. 物理環(huán)境評估物理安全是一切系統(tǒng)安全的基礎(chǔ)。對物理安全的評估將從機(jī)房選址、建設(shè)；員工、外來訪問者進(jìn)入機(jī)房的權(quán)限控制；機(jī)房的報(bào)警、電子監(jiān)控以及防火、防水、防靜電、防雷擊、防鼠害、防輻射、防盜竊、火災(zāi)報(bào)警及消防措施、內(nèi)部裝修、供配電系統(tǒng)等方面進(jìn)行。表格 6 物理安全評估項(xiàng)目名稱 物理安全評估簡要描述 分析物理安全是否滿足相關(guān)的安全標(biāo)準(zhǔn)。達(dá)成目標(biāo) 準(zhǔn)確把握物理安全中的安全隱患，提出安全建議。主要內(nèi)容 ? 評估環(huán)境安全：機(jī)房選址、建設(shè)、防火、防水、防靜電、防雷擊、防鼠.. . . ..學(xué)習(xí)參考害、防輻射、防盜竊、火災(zāi)報(bào)警及消防措施、內(nèi)部裝修、供配電系統(tǒng)是否滿足相關(guān)國家標(biāo)準(zhǔn)；內(nèi)部及外來人員對機(jī)房的訪問權(quán)限控制；安全審查及管理制度。? 評估設(shè)備安全：門控系統(tǒng)、網(wǎng)絡(luò)專用設(shè)備（路由器，交換機(jī)等）和主機(jī)設(shè)備（終端計(jì)算機(jī)，打印機(jī)、服務(wù)器等） 。設(shè)備安全主要包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)、維修、報(bào)廢等；設(shè)備冗余備