某信息系統(tǒng)安全風(fēng)險(xiǎn)分析與評(píng)估報(bào)告模板[公開(kāi)(編輯修改稿)
2025-08-28 21:51 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 途徑等多種屬性來(lái)描述。造成威脅的因素可分為人為因素和環(huán)境因素。威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害；也可能是偶發(fā)的或蓄意的事件。下表為本次評(píng)估可能涉及到的威脅分類(lèi)。種類(lèi)描述威脅子類(lèi)軟硬件故障對(duì)業(yè)務(wù)實(shí)施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷等問(wèn)題設(shè)備硬件故障、傳輸設(shè)備故障、存儲(chǔ)媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫(kù)軟件故障、開(kāi)發(fā)環(huán)境故障等物理環(huán)境影響對(duì)信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問(wèn)題和自然災(zāi)害斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲(chóng)害、電磁干擾、洪災(zāi)、火災(zāi)、地震等無(wú)作為或操作失誤應(yīng)該執(zhí)行而沒(méi)有執(zhí)行相應(yīng)的操作，或無(wú)意執(zhí)行了錯(cuò)誤的操作維護(hù)錯(cuò)誤、操作失誤等管理不到位安全管理無(wú)法落實(shí)或不到位，從而破壞信息系統(tǒng)正常有序運(yùn)行管理制度和策略不完善、管理流程缺失、職責(zé)不明確、監(jiān)督控管機(jī)制不健全等惡意代碼故意在計(jì)算機(jī)系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼病毒、木馬、蠕蟲(chóng)、惡意程序、間諜軟件、竊聽(tīng)軟件等越權(quán)或?yàn)E用通過(guò)采用一些措施，超越自己的權(quán)限訪問(wèn)了本來(lái)無(wú)權(quán)訪問(wèn)的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為非授權(quán)訪問(wèn)網(wǎng)絡(luò)資源、非授權(quán)訪問(wèn)系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄漏XX信息等網(wǎng)絡(luò)攻擊利用工具和技術(shù)通過(guò)網(wǎng)絡(luò)對(duì)信息系統(tǒng)進(jìn)行攻擊和入侵網(wǎng)絡(luò)探測(cè)和信息采集、漏洞探測(cè)、嗅探（賬號(hào)、口令、權(quán)限等）、用戶身份偽造和欺騙、用戶或業(yè)務(wù)數(shù)據(jù)的竊取和破壞、系統(tǒng)運(yùn)行的控制和破壞等物理攻擊通過(guò)物理接觸造成對(duì)軟件、硬件和數(shù)據(jù)的破壞物理接觸、物理破壞、盜竊等泄密信息泄露給不應(yīng)了解的他人內(nèi)部信息泄漏、外部信息泄漏等篡改非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息等抵賴不承認(rèn)受到的信息和所作的操作和交易原發(fā)抵賴、接收抵賴、第三方抵賴等判斷威脅出現(xiàn)的頻率是威脅賦值的重要內(nèi)容。本次評(píng)估綜合考慮了以下三個(gè)方面，以形成在評(píng)估環(huán)境中各種威脅出現(xiàn)的頻率。216。 以往《月度運(yùn)行報(bào)告》中出現(xiàn)過(guò)的威脅及其頻率；216。 實(shí)際環(huán)境中通過(guò)檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率；這里對(duì)威脅出現(xiàn)的頻率進(jìn)行等級(jí)化處理，不同等級(jí)分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。等級(jí)標(biāo)識(shí)定義5很高出現(xiàn)的頻率很高(≧1次/周)；或在大多數(shù)情況下幾乎不可避免；或可以證實(shí)經(jīng)常發(fā)生4高出現(xiàn)的頻率較高(≧1次/月)；或在大多數(shù)情況下很有可能發(fā)生；或可以證實(shí)多次發(fā)生過(guò)3中等出現(xiàn)的頻率中等(≧1次/半年)；或在某種情況下可能會(huì)發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過(guò)2低出現(xiàn)的頻率較低；或一般不太可能發(fā)生；或沒(méi)有被證實(shí)發(fā)生過(guò)1很低威脅幾乎不可能發(fā)生；僅可能在非常罕見(jiàn)和例外的情況下發(fā)生6 脆弱性識(shí)別脆弱性是可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的薄弱環(huán)節(jié)，即脆弱性是資產(chǎn)本身存在的，如果沒(méi)有被相應(yīng)的威脅利用，單純的脆弱性本身不會(huì)對(duì)資產(chǎn)造成損害。而且如果系統(tǒng)足夠強(qiáng)健，嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件的發(fā)生，并造成損失。威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。本次評(píng)估以XX為標(biāo)準(zhǔn)，從技術(shù)和管理兩個(gè)方面對(duì)XX廠XX信息系統(tǒng)內(nèi)的資產(chǎn)對(duì)象進(jìn)行脆弱性識(shí)別。脆弱性按照標(biāo)準(zhǔn)中的測(cè)評(píng)項(xiàng)進(jìn)行分類(lèi)。這里根據(jù)脆弱性對(duì)資產(chǎn)的暴露程度、技術(shù)實(shí)現(xiàn)的難易程度、流行程度等，采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。脆弱性賦值是以等級(jí)進(jìn)行劃分的，不同的等級(jí)代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級(jí)數(shù)值越大，脆弱性嚴(yán)重程度越高。等級(jí)標(biāo)識(shí)定義5很高如果被威脅利用，將對(duì)資產(chǎn)造成完全損害4高如果被威脅利用，將對(duì)資產(chǎn)造成重大損害3中等如果被威脅利用，將對(duì)資產(chǎn)造成一般損害2低如果被威脅利用，將對(duì)資產(chǎn)造成較小損害1很低如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略通過(guò)查看瑞星管理控制臺(tái)，了解系統(tǒng)內(nèi)病毒木馬爆發(fā)的情況。其中，2015年5月和6月的爆發(fā)情況如下表所示。時(shí)間段感染次數(shù)（次）受感染主機(jī)數(shù)（臺(tái)）2015年5月26891192015年6月2674117使用中科網(wǎng)威漏洞掃描系統(tǒng)，對(duì)XX廠XX信息系統(tǒng)內(nèi)的服務(wù)器、用戶終端、網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程安全評(píng)估。216。 服務(wù)器掃描結(jié)果服務(wù)器區(qū)網(wǎng)段共掃描主機(jī)27臺(tái)，其中高度危險(xiǎn)主機(jī)14臺(tái)，七臺(tái)存有緊急漏洞，比較危險(xiǎn)主機(jī)13臺(tái)，比較安全主機(jī)0臺(tái)，非
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1