信息安全風(fēng)險(xiǎn)評估報(bào)告(編輯修改稿)
2024-08-30 09:15 本頁面
【文章內(nèi)容簡介】 ..............................171 概述概述 項(xiàng)目背景項(xiàng)目背景為了切實(shí)提高各系統(tǒng)的安全保障水平，更好地促進(jìn)各系統(tǒng)的安全建設(shè)工作，提升奧運(yùn)保障能力，需要增強(qiáng)對于網(wǎng)運(yùn)中心各系統(tǒng)的安全風(fēng)險(xiǎn)控制，發(fā)現(xiàn)系統(tǒng)安全風(fēng)險(xiǎn)并及時糾正。根據(jù)網(wǎng)絡(luò)與信息安全建設(shè)規(guī)劃，為了提高各系統(tǒng)的安全保障和運(yùn)營水平，現(xiàn)提出系統(tǒng)安全加固與服務(wù)項(xiàng)目。 工作方法工作方法在本次安全風(fēng)險(xiǎn)評測中將主要采用的評測方法包括：? ?人工評測；? ?工具評測；? ?調(diào)查問卷；? ?顧問訪談。 評估范圍評估范圍此次系統(tǒng)測評的范圍主要針對該業(yè)務(wù)系統(tǒng)所涉及的服務(wù)器、應(yīng)用、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端等資產(chǎn)。主要涉及以下方面：1) 業(yè)務(wù)系統(tǒng)的應(yīng)用環(huán)境， ；2) 網(wǎng)絡(luò)及其主要基礎(chǔ)設(shè)施，例如路由器、交換機(jī)等；3) 安全保護(hù)措施和設(shè)備，例如防火墻、IDS 等；4) 信息安全管理體系（ISMS） 基本信息基本信息被評估系統(tǒng)名稱 xx 系統(tǒng)業(yè)務(wù)系統(tǒng)負(fù)責(zé)人評估工作配合人員2 業(yè)務(wù)系統(tǒng)分析業(yè)務(wù)系統(tǒng)分析 業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng) 職能職能 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖表 1 業(yè)務(wù)系統(tǒng)拓?fù)浣Y(jié)構(gòu)圖 邊界數(shù)據(jù)流向邊界數(shù)據(jù)流向編號 邊界名稱 邊界類型 路徑系統(tǒng) 發(fā)起方 數(shù)據(jù)流向 現(xiàn)有安全措施1. MDN 系統(tǒng)類 MDN 本系統(tǒng)/對端系統(tǒng) 雙向 系統(tǒng)架構(gòu)隔離3 資產(chǎn)分析資產(chǎn)分析 信息資產(chǎn)分析信息資產(chǎn)分析 信息資產(chǎn)識別概述信息資產(chǎn)識別概述資產(chǎn)是風(fēng)險(xiǎn)評估的最終評估對象。在一個全面的風(fēng)險(xiǎn)評估中，風(fēng)險(xiǎn)的所有重要因素都緊緊圍繞著資產(chǎn)為中心，威脅、脆弱性以及風(fēng)險(xiǎn)都是針對資產(chǎn)而客觀存在的。威脅利用資產(chǎn)自身的脆弱性使得安全事件的發(fā)生成為可能，從而形成了風(fēng)險(xiǎn)。這些安全事件一旦發(fā)生，將對資產(chǎn)甚至是整個系統(tǒng)都將造成一定的影響。資產(chǎn)被定義為對組織具有價值的信息或資源，資產(chǎn)識別的目標(biāo)就是識別出資產(chǎn)的價值，風(fēng)險(xiǎn)評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟(jì)價值來衡量，而是由資產(chǎn)在其安全屬性——機(jī)密性、完整性和可用性上的達(dá)成程度或者其安全屬性未達(dá)成時所造成的影響程度來決定的。資產(chǎn)估價等級 賦值高 3中 2低 1 信息資產(chǎn)識別信息資產(chǎn)識別資產(chǎn)組資產(chǎn)分類組號 資產(chǎn)編號 具體資產(chǎn)IP 地址/名稱資產(chǎn)估價等級H001 sun ultra60 中H002 sun ultra60 中H003 sun ultra60 高服務(wù)器 1.H004 sun ultra60 高N001 華為 3680E 中N002 華為 3680E 中物理資產(chǎn) 網(wǎng)絡(luò)設(shè)備 2.N003 華為 S2022 中H001 Solaris 高H002 Solaris 高H003 Solaris 高3.H004 Solaris 高軟件資產(chǎn)操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用軟件4. D001 Sybase 高4 威脅分析威脅分析 威脅分析概述威脅分析概述威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。作為風(fēng)險(xiǎn)評估的重要因素，威脅是一個客觀存在的事物，無論對于多么安全的信息系統(tǒng)都存在。威脅可能源于對系統(tǒng)直接或間接的攻擊，例如信息泄漏、篡改、刪除等，在機(jī)密性、完整性或可用性等方面造成損害；威脅也可能源于偶發(fā)的、或蓄意的事件。按照威脅產(chǎn)生的來源，可以分為外部威脅和內(nèi)部威脅：（1）外部威脅：來自不可控網(wǎng)絡(luò)的外部攻擊，主要指移動的 CMNET、其它電信運(yùn)營商的 Inter 互聯(lián)網(wǎng)，以及第三方的攻擊，其中互聯(lián)網(wǎng)的威脅主要是黑客攻擊、蠕蟲病毒等，而第三方的威脅主要是越權(quán)或?yàn)E用、泄密、篡改、惡意代碼或病毒等。（2）內(nèi)部威脅：主要來自內(nèi)部人員的惡意攻擊、無作為或操作失誤、越權(quán)或?yàn)E用、泄密、篡改等。另外，由于管理不規(guī)范導(dǎo)致各支撐系統(tǒng)之間的終端混用，也帶來病毒泛濫的潛在威脅。對每種威脅發(fā)生的可能性進(jìn)行分析，最終為其賦一個相對等級值，將根據(jù)經(jīng)驗(yàn)、有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來判斷威脅發(fā)生的頻率或者概率。威脅發(fā)生的可能性受下列因素影響：1) 資產(chǎn)的吸引力；2) 資產(chǎn)轉(zhuǎn)化成報(bào)酬的容易程度；3) 威脅的技術(shù)力量；4) 脆弱性被利用的難易程度。下面是威脅標(biāo)識對應(yīng)表：威脅等級賦值 可能帶來的威脅 可控性 發(fā)生頻度高3黑客攻擊、惡意代碼和病毒等完全不可控出現(xiàn)的頻率較高（或≥ 1 次/月） ；或在大多數(shù)情況下很有可能會發(fā)生；或可以證實(shí)多次發(fā)生過。中2 物理攻擊、內(nèi)部人員的操作失誤、惡意代碼和病毒等一定的可控性出現(xiàn)的頻率中等（或 1 次/半年） ；或在某種情況下可能會發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過。低1 內(nèi)部人員的操作失誤、惡意代碼和病毒等較大的可控性出現(xiàn)的頻率較??；或一般不太可能發(fā)生；或沒有被證實(shí)發(fā)生過。 威脅分類威脅分類下面是針對威脅分類對威脅途徑的描述，其中不包括物理威脅：威脅種類 威脅途徑操作錯誤 合法用戶工作失誤或疏忽的可能性濫用授權(quán) 合法用戶利用自己的權(quán)限故意或非故意破壞系統(tǒng)的可能性行為抵賴 合法用戶對自己操作行為否認(rèn)的可能性身份假冒 非法用戶冒充合法用戶進(jìn)行操作的可能性密碼分析 非法用戶對系統(tǒng)密碼分析的可能性安全漏洞 非法用戶利用系統(tǒng)漏洞侵入系統(tǒng)的可能性拒絕服務(wù) 非法用戶利用拒絕服務(wù)手段攻擊系統(tǒng)的可能性惡意代碼 病毒、特洛伊木馬、蠕蟲、邏輯炸彈等感染的可能性竊聽數(shù)據(jù) 非法用戶通過竊聽等手段盜取重要數(shù)據(jù)的可能性社會工程 非法用戶利用社交等手段獲取重要信息的可能性意外故障 系統(tǒng)的組件發(fā)生意外故障的可能性通信中斷 數(shù)據(jù)通信傳輸過程中發(fā)生意外中斷的可能性 威脅主體威脅主體下面對威脅來源從威脅主體的角度進(jìn)行了威脅等級分析：威脅主體 面臨的威脅操作錯誤濫用授權(quán)系統(tǒng)合法用戶（系統(tǒng)管理員和其他授權(quán)用戶）行為抵賴身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽數(shù)據(jù)系統(tǒng)非法用戶（權(quán)限較低用戶和外部攻擊者）社會工程意外故障系統(tǒng)組件通信中斷 威脅識別威脅識別序號資產(chǎn)編號 操作錯誤濫用授權(quán)行為抵賴身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽數(shù)據(jù)社會工程意外故障通信中斷1.
試題試卷相關(guān)推薦
鄂ICP備17016276號-1