國內(nèi)網(wǎng)絡(luò)安全風(fēng)險評估市場與技術(shù)操作(編輯修改稿)
2025-08-26 21:45 本頁面
【文章內(nèi)容簡介】 白客測試、安全問卷、顧問訪談。使我印象深刻的是，他們對方案中大多數(shù)項目都有比較嚴(yán)格的過程說明、參與人員說明、主要評估方式、輸入、輸出、參考規(guī)范和標(biāo)準(zhǔn)。比較嚴(yán)謹(jǐn)。 亞信科技有著深厚運(yùn)營商行業(yè)的優(yōu)勢，其曾經(jīng)的子公司瑪賽有過相當(dāng)不錯的成績。從他們的幾個方案中分析，亞信對風(fēng)險評估的研究并不深入，僅是簡單抄了一堆基本風(fēng)險評估法、詳細(xì)風(fēng)險評估法、綜合風(fēng)險評估法等的概念。他們的評估分為六大部份：資產(chǎn)、脆弱性、威脅、影響、安全措施評估、風(fēng)險評估。風(fēng)險評估是對前五者的綜合，其中的安全措施估計是自己增加的。我理解起來整體思路感覺比較混亂。 華為華為的部份合作風(fēng)格一直令人左右為難……他們有龐大而有力的銷售隊伍、運(yùn)營商方面良好的合作背景，這些都誘惑著其它廠商與之合作。但華為的高速發(fā)展和發(fā)展過程的調(diào)整，卻往往令合作伙伴有些進(jìn)退維谷。僅以防火墻市場為例，華為曾經(jīng)因?yàn)橐x擇合作伙伴，廣邀防火墻廠商進(jìn)行產(chǎn)品測試，對各種產(chǎn)品的功能、性能指標(biāo)、技術(shù)特點(diǎn)都了如指掌。但2003年華為推出了自己的防火墻產(chǎn)品。2003年可以說是華為將安全由內(nèi)部建設(shè)轉(zhuǎn)向往外部推動的轉(zhuǎn)折年。原因或許是他們發(fā)現(xiàn)他們的主要客戶運(yùn)營商已經(jīng)把安全門檻提高了，與其很費(fèi)勁地邁這個門檻，不如在自已的產(chǎn)品和集成基礎(chǔ)上造一個高門檻。華為的評估與其它安全公司的評估側(cè)重點(diǎn)略有不同，更側(cè)重于網(wǎng)絡(luò)架構(gòu)和應(yīng)用評估(可能是他們這方面的人才更多的緣故)。2003年市場上也略有斬獲。 聯(lián)想聯(lián)想的網(wǎng)絡(luò)安全事業(yè)部和他們網(wǎng)御系列的安全產(chǎn)品一直令我很迷惑──為什么聯(lián)想投資一方面注資綠盟科技，另一方面卻自己力圖創(chuàng)立安全產(chǎn)品和服務(wù)品牌？從目前的情形來看，網(wǎng)御防火墻已經(jīng)在市場上取得不錯的銷售成績，網(wǎng)御入侵檢測也初露頭角。但筆者個人測試，這兩款安全產(chǎn)品從功能、性能上來說都遠(yuǎn)離聯(lián)想的大廠商風(fēng)范。安全服務(wù)和風(fēng)險評估方面，聯(lián)想介入市場比較遲，但由有幾位掌握方面論和攻擊滲透的安氏員工的加盟(由此也可見安氏的方法論積累很不錯。))，他們很快站在前人的基礎(chǔ)上號稱有了一套自己的標(biāo)準(zhǔn)方法和操作流程。 安絡(luò)科技安絡(luò)科技創(chuàng)立伊始，在國內(nèi)的網(wǎng)絡(luò)安全界有比較高的知名度。但多年來始終偏安于深圳，失去了飛速增長的機(jī)會。因此被從國內(nèi)安全廠商的第一梯隊擠出。在他們的很多方案中，同時包括了評估建議書和中長期安全規(guī)劃建議。他們的遠(yuǎn)程風(fēng)險評估乏善可陳，本地風(fēng)險評估分得很細(xì)，包括實(shí)施安全、平臺安全、數(shù)據(jù)安全、通信安全、應(yīng)用安全、運(yùn)行安全、管理安全的評估。但在可操作性方面下的功夫還不夠。 部份低端廠商的評估模式部份低端評估廠商在市場上不但存在，而且有很大的生存空間。他們的目標(biāo)客戶群體是小型企業(yè)。不會為評估花費(fèi)太多的精力和金錢，安全也只需要簡單達(dá)到某一基線即可。通常這些廠商的做法快速簡潔：漏洞掃描 遠(yuǎn)程掃描報告抽樣人工審計 人工審計報告抽樣病毒掃描與查殺 病毒監(jiān)測報告之后就可以坐地分金了，這種操作模式僅需要少數(shù)技術(shù)骨干就能很好地進(jìn)行。3. BS7799和OCTAVE BS7799的優(yōu)勢和弱點(diǎn)要初步了解BS7799，我覺得從兩個角度入手了解BS7799的安全管理流程，也就是建立信息安全管理體系的方法和步驟 系統(tǒng)了解BS7799中提到的10類127個控制項的內(nèi)容 并且能夠在此基礎(chǔ)上針對不同行業(yè)選擇(甚至新增)控制項。就如最近移動集團(tuán)提出的NISS(網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn))一樣。 個人感覺BS7799的最大缺陷就在于可操作性不強(qiáng)，如果僅僅按BS7799的要求操作(類似ISO9000的評審)，有可能最終達(dá)不到初始的安全目標(biāo)。這或許也是BS7799和ISO17799呼聲很高，但實(shí)際應(yīng)用或者通過評審的企業(yè)并不多的原因之一。作為參考，這里給出一份sans提供的BS7799檢查列表。 OCTAVE的有效補(bǔ)充所謂OCTAVE，實(shí)際上是Operationally Critical Threat, Asset, and Vulnerability Evaluation的縮寫，指的是可操作的關(guān)鍵威脅、資產(chǎn)和弱點(diǎn)評估。在我的理解中，OCTAVE首先強(qiáng)調(diào)的是O，其次是C，也就是說，它最注重可操作性，其次對關(guān)鍵性很關(guān)注，把握80/20原則 :)簡單描述我理解OCTAVE的幾個重點(diǎn)(實(shí)際上在OCTAVE中的每個環(huán)節(jié)都是不可忽視的，這里所說的幾個重點(diǎn)是我認(rèn)為OCTAVE較好、或者評估過程中比較關(guān)鍵的部份環(huán)節(jié))：過程控制(整體) OCTAVE將整體網(wǎng)絡(luò)安全風(fēng)險評估過程分為三個階段九個環(huán)節(jié)，分別是：階段一：建立基于資產(chǎn)的威脅配置文件01. 標(biāo)識高層管理知識02. 標(biāo)識業(yè)務(wù)區(qū)域知識03. 標(biāo)識一般員工知識04. 建立威脅配置文件階段二：標(biāo)識基礎(chǔ)結(jié)構(gòu)的弱點(diǎn)
研究報告相關(guān)推薦
鄂ICP備17016276號-1