國(guó)內(nèi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估市場(chǎng)與技術(shù)操作(編輯修改稿)
2025-08-26 21:45 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 白客測(cè)試、安全問卷、顧問訪談。使我印象深刻的是，他們對(duì)方案中大多數(shù)項(xiàng)目都有比較嚴(yán)格的過程說明、參與人員說明、主要評(píng)估方式、輸入、輸出、參考規(guī)范和標(biāo)準(zhǔn)。比較嚴(yán)謹(jǐn)。 亞信科技有著深厚運(yùn)營(yíng)商行業(yè)的優(yōu)勢(shì)，其曾經(jīng)的子公司瑪賽有過相當(dāng)不錯(cuò)的成績(jī)。從他們的幾個(gè)方案中分析，亞信對(duì)風(fēng)險(xiǎn)評(píng)估的研究并不深入，僅是簡(jiǎn)單抄了一堆基本風(fēng)險(xiǎn)評(píng)估法、詳細(xì)風(fēng)險(xiǎn)評(píng)估法、綜合風(fēng)險(xiǎn)評(píng)估法等的概念。他們的評(píng)估分為六大部份：資產(chǎn)、脆弱性、威脅、影響、安全措施評(píng)估、風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估是對(duì)前五者的綜合，其中的安全措施估計(jì)是自己增加的。我理解起來整體思路感覺比較混亂。 華為華為的部份合作風(fēng)格一直令人左右為難……他們有龐大而有力的銷售隊(duì)伍、運(yùn)營(yíng)商方面良好的合作背景，這些都誘惑著其它廠商與之合作。但華為的高速發(fā)展和發(fā)展過程的調(diào)整，卻往往令合作伙伴有些進(jìn)退維谷。僅以防火墻市場(chǎng)為例，華為曾經(jīng)因?yàn)橐x擇合作伙伴，廣邀防火墻廠商進(jìn)行產(chǎn)品測(cè)試，對(duì)各種產(chǎn)品的功能、性能指標(biāo)、技術(shù)特點(diǎn)都了如指掌。但2003年華為推出了自己的防火墻產(chǎn)品。2003年可以說是華為將安全由內(nèi)部建設(shè)轉(zhuǎn)向往外部推動(dòng)的轉(zhuǎn)折年。原因或許是他們發(fā)現(xiàn)他們的主要客戶運(yùn)營(yíng)商已經(jīng)把安全門檻提高了，與其很費(fèi)勁地邁這個(gè)門檻，不如在自已的產(chǎn)品和集成基礎(chǔ)上造一個(gè)高門檻。華為的評(píng)估與其它安全公司的評(píng)估側(cè)重點(diǎn)略有不同，更側(cè)重于網(wǎng)絡(luò)架構(gòu)和應(yīng)用評(píng)估(可能是他們這方面的人才更多的緣故)。2003年市場(chǎng)上也略有斬獲。 聯(lián)想聯(lián)想的網(wǎng)絡(luò)安全事業(yè)部和他們網(wǎng)御系列的安全產(chǎn)品一直令我很迷惑──為什么聯(lián)想投資一方面注資綠盟科技，另一方面卻自己力圖創(chuàng)立安全產(chǎn)品和服務(wù)品牌？從目前的情形來看，網(wǎng)御防火墻已經(jīng)在市場(chǎng)上取得不錯(cuò)的銷售成績(jī)，網(wǎng)御入侵檢測(cè)也初露頭角。但筆者個(gè)人測(cè)試，這兩款安全產(chǎn)品從功能、性能上來說都遠(yuǎn)離聯(lián)想的大廠商風(fēng)范。安全服務(wù)和風(fēng)險(xiǎn)評(píng)估方面，聯(lián)想介入市場(chǎng)比較遲，但由有幾位掌握方面論和攻擊滲透的安氏員工的加盟(由此也可見安氏的方法論積累很不錯(cuò)。))，他們很快站在前人的基礎(chǔ)上號(hào)稱有了一套自己的標(biāo)準(zhǔn)方法和操作流程。 安絡(luò)科技安絡(luò)科技創(chuàng)立伊始，在國(guó)內(nèi)的網(wǎng)絡(luò)安全界有比較高的知名度。但多年來始終偏安于深圳，失去了飛速增長(zhǎng)的機(jī)會(huì)。因此被從國(guó)內(nèi)安全廠商的第一梯隊(duì)擠出。在他們的很多方案中，同時(shí)包括了評(píng)估建議書和中長(zhǎng)期安全規(guī)劃建議。他們的遠(yuǎn)程風(fēng)險(xiǎn)評(píng)估乏善可陳，本地風(fēng)險(xiǎn)評(píng)估分得很細(xì)，包括實(shí)施安全、平臺(tái)安全、數(shù)據(jù)安全、通信安全、應(yīng)用安全、運(yùn)行安全、管理安全的評(píng)估。但在可操作性方面下的功夫還不夠。 部份低端廠商的評(píng)估模式部份低端評(píng)估廠商在市場(chǎng)上不但存在，而且有很大的生存空間。他們的目標(biāo)客戶群體是小型企業(yè)。不會(huì)為評(píng)估花費(fèi)太多的精力和金錢，安全也只需要簡(jiǎn)單達(dá)到某一基線即可。通常這些廠商的做法快速簡(jiǎn)潔：漏洞掃描 遠(yuǎn)程掃描報(bào)告抽樣人工審計(jì) 人工審計(jì)報(bào)告抽樣病毒掃描與查殺 病毒監(jiān)測(cè)報(bào)告之后就可以坐地分金了，這種操作模式僅需要少數(shù)技術(shù)骨干就能很好地進(jìn)行。3. BS7799和OCTAVE BS7799的優(yōu)勢(shì)和弱點(diǎn)要初步了解BS7799，我覺得從兩個(gè)角度入手了解BS7799的安全管理流程，也就是建立信息安全管理體系的方法和步驟 系統(tǒng)了解BS7799中提到的10類127個(gè)控制項(xiàng)的內(nèi)容 并且能夠在此基礎(chǔ)上針對(duì)不同行業(yè)選擇(甚至新增)控制項(xiàng)。就如最近移動(dòng)集團(tuán)提出的NISS(網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn))一樣。 個(gè)人感覺BS7799的最大缺陷就在于可操作性不強(qiáng)，如果僅僅按BS7799的要求操作(類似ISO9000的評(píng)審)，有可能最終達(dá)不到初始的安全目標(biāo)。這或許也是BS7799和ISO17799呼聲很高，但實(shí)際應(yīng)用或者通過評(píng)審的企業(yè)并不多的原因之一。作為參考，這里給出一份sans提供的BS7799檢查列表。 OCTAVE的有效補(bǔ)充所謂OCTAVE，實(shí)際上是Operationally Critical Threat, Asset, and Vulnerability Evaluation的縮寫，指的是可操作的關(guān)鍵威脅、資產(chǎn)和弱點(diǎn)評(píng)估。在我的理解中，OCTAVE首先強(qiáng)調(diào)的是O，其次是C，也就是說，它最注重可操作性，其次對(duì)關(guān)鍵性很關(guān)注，把握80/20原則 :)簡(jiǎn)單描述我理解OCTAVE的幾個(gè)重點(diǎn)(實(shí)際上在OCTAVE中的每個(gè)環(huán)節(jié)都是不可忽視的，這里所說的幾個(gè)重點(diǎn)是我認(rèn)為OCTAVE較好、或者評(píng)估過程中比較關(guān)鍵的部份環(huán)節(jié))：過程控制(整體) OCTAVE將整體網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估過程分為三個(gè)階段九個(gè)環(huán)節(jié)，分別是：階段一：建立基于資產(chǎn)的威脅配置文件01. 標(biāo)識(shí)高層管理知識(shí)02. 標(biāo)識(shí)業(yè)務(wù)區(qū)域知識(shí)03. 標(biāo)識(shí)一般員工知識(shí)04. 建立威脅配置文件階段二：標(biāo)識(shí)基礎(chǔ)結(jié)構(gòu)的弱點(diǎn)
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1