信息安全風(fēng)險評估報告-資料下載頁
2025-08-03 09:15本頁面
【正文】 續(xù)性管理安全策略和技術(shù) 技術(shù)符合性檢驗(yàn) 有，定期進(jìn)行技術(shù)審查以確保符合安全實(shí)現(xiàn)標(biāo)準(zhǔn)無 脆弱性識別脆弱性識別序號資產(chǎn)編號 操作錯誤濫用授權(quán)行為抵賴身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽數(shù)據(jù)社會工程意外故障通信中斷1. N001 1 2 1 2 3 1 3 1 1 1 1 12. N002 1 2 1 2 3 1 3 1 1 1 1 13. N003 1 2 1 2 3 1 3 1 1 1 1 14. H001 1 1 2 1 1 1 2 1 1 1 1 15. H002 1 1 2 1 1 1 2 1 1 1 1 16. H003 1 1 2 1 1 1 2 1 1 1 1 17. H004 1 1 2 1 1 1 2 1 1 1 1 18. D001 1 1 2 1 1 1 2 1 1 1 1 16 風(fēng)險分析風(fēng)險分析 風(fēng)險分析概述風(fēng)險分析概述風(fēng)險是指特定的威脅利用資產(chǎn)的一種或一組脆弱性，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。風(fēng)險只能預(yù)防、避免、降低、轉(zhuǎn)移和接受，但不可能完全被消滅。在這個過程中，將根據(jù)上面評估的結(jié)果，選擇適當(dāng)?shù)娘L(fēng)險計(jì)算方法或工具確定風(fēng)險的大小與風(fēng)險等級，即對每一業(yè)務(wù)系統(tǒng)的資產(chǎn)因遭受泄露、修改、不可用和破壞所帶來的任何影響做出一個風(fēng)險測量的列表，以便識別與選擇適當(dāng)和正確的風(fēng)險控制策略，這也將是策劃信息安全體系架構(gòu)的重要步驟。 資產(chǎn)風(fēng)險分布資產(chǎn)風(fēng)險分布圖表 2 資產(chǎn)風(fēng)險分布圖 資產(chǎn)風(fēng)險列表資產(chǎn)風(fēng)險列表根據(jù)風(fēng)險的計(jì)算公式函數(shù)：R=f(A，T，V)=f(Ia,L(Va,T))，其中 R 代表風(fēng)險，A 代表資產(chǎn)的估價，T 代表威脅，V 代表脆弱性。我們得出下表：序號資產(chǎn)編號 操作錯誤濫用授權(quán)行為抵賴身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽數(shù)據(jù)社會工程意外故障通信中斷1. N001 3 12 6 12 27 3 27 6 6 3 3 32. N002 3 12 6 12 27 3 27 6 6 3 3 33. N003 3 12 6 12 27 3 27 6 6 3 3 34. H001 3 3 12 3 3 3 18 3 6 3 3 35. H002 3 3 12 3 3 3 18 3 6 3 3 36. H003 3 3 12 3 3 3 18 3 6 3 3 37. H004 3 3 12 3 3 3 18 3 6 3 3 38. D001 3 3 12 6 6 3 18 3 3 6 3 37 系統(tǒng)安全加固建議系統(tǒng)安全加固建議 管理類建議管理類建議編號 脆弱性描述 安全加固建議1. 缺少明確的復(fù)核制度 在安全體系中完善復(fù)核制度，明確執(zhí)行方法2.與外部安全機(jī)構(gòu)的合作較少，對最新的安全動態(tài)和系統(tǒng)現(xiàn)狀的了解不足，不能及時響應(yīng)最新的安全問題加強(qiáng)與安全服務(wù)商的合作，定期開展培訓(xùn)和系統(tǒng)風(fēng)險評估與加固工作3. 在對設(shè)備和系統(tǒng)的維護(hù)管理中缺少強(qiáng)制使用身份認(rèn)證和通訊加密的要求 采用 SSH 等非明文傳輸?shù)墓芾砉ぞ撸⒂谜J(rèn)證系統(tǒng) 技術(shù)類建議技術(shù)類建議 安全安全 措施措施編號 脆弱性描述 安全加固建議1. 系統(tǒng)邊界缺少安全防護(hù)措施 出口鏈路中增加防火墻進(jìn)行訪問控制和安全隔離2. 系統(tǒng)邊界出口缺少冗余措施出口鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險。或者對關(guān)鍵設(shè)備做冷備3. 內(nèi)部骨干鏈路與核心設(shè)備之間缺少冗余措施骨干鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險?；蛘邔﹃P(guān)鍵設(shè)備做冷備4. 系統(tǒng)的內(nèi)部網(wǎng)絡(luò)中缺少入侵檢測技術(shù)手段 在內(nèi)部核心交換處部署 IDS 設(shè)備5. 系統(tǒng)中缺少對流量做監(jiān)控的技術(shù)手段 在關(guān)鍵鏈路或核心交換處增加流量監(jiān)控設(shè)備 網(wǎng)絡(luò)平臺網(wǎng)絡(luò)平臺華為交換機(jī)、路由器設(shè)備加固建議：脆弱性編號 脆弱性描述 安全加固建議 加固風(fēng)險 /條件V30001. 未對 super 密碼加密 對 super 密碼進(jìn)行加密 低風(fēng)險V30002. 未進(jìn)行用戶權(quán)限設(shè)置 設(shè)置用戶權(quán)限 可能會導(dǎo)致部分用戶權(quán)限不適當(dāng)V30003. 未對 VTY 的訪問限制 設(shè)置 VTY 訪問限制 可能限制某些用戶無法訪問V30004. 未進(jìn)行登錄超時設(shè)置 設(shè)置登錄超時時間 確定超時時間V30005. 未禁用 FTP 服務(wù) 禁用 FTP 服務(wù) 確定不需要 FTPV30006. 未進(jìn)行日志審計(jì) 進(jìn)行日志審計(jì) 需要日志收集服務(wù)器，對設(shè)備性能有影響 操作系統(tǒng)操作系統(tǒng)Solaris 操作系統(tǒng)安全加固，下面按照嚴(yán)重程度高、中的順序排列：脆弱性編號 脆弱性描述 安全加固建議 加固風(fēng)險/條件V22022.存在可能無用的組 刪除無用的組刪除某些組可能導(dǎo)致某些應(yīng)用無法正常運(yùn)行V22022 OpenSSH S/Key 遠(yuǎn)程信息泄露漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會對應(yīng)用有影響V22022 OpenSSH GSSAPI 信號處理程序內(nèi)存兩次釋放漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會對應(yīng)用有影響V22022 OpenSSH 復(fù)制塊遠(yuǎn)程拒絕服務(wù)漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會對應(yīng)用有影響8 附錄附錄 A：脆弱性編號規(guī)則：脆弱性編號規(guī)則脆弱性編號形式為：Vnnxxx，例如：V10001。脆弱性編號從 001 開始從小到大順序編號。對象類別編號按預(yù)先定義的清單編寫，具體如下：nn 代表對象類別10 Windows 操作系統(tǒng)20 Linux 操作系統(tǒng)21 AIX 操作系統(tǒng)22 Solaris 操作系統(tǒng)23 HP UNIX 操作系統(tǒng)30 網(wǎng)絡(luò)交換路由設(shè)備31 防火墻系統(tǒng)32 安全隔離網(wǎng)閘33 IDS 入侵檢測系統(tǒng)34 網(wǎng)絡(luò)安全審計(jì)系統(tǒng)35 網(wǎng)絡(luò)防病毒系統(tǒng)40 MS SQL 數(shù)據(jù)庫系統(tǒng)41 Oracle 數(shù)據(jù)庫系統(tǒng)42 MySQL 脆弱性編號43 Informix 數(shù)據(jù)庫系統(tǒng)50 IIS 服務(wù)器51 Web Logic 服務(wù)器60 應(yīng)用
試題試卷相關(guān)推薦
鄂ICP備17016276號-1