信息安全風(fēng)險(xiǎn)評(píng)估報(bào)告-資料下載頁(yè)
2025-08-03 09:15本頁(yè)面
【正文】 續(xù)性管理安全策略和技術(shù) 技術(shù)符合性檢驗(yàn) 有，定期進(jìn)行技術(shù)審查以確保符合安全實(shí)現(xiàn)標(biāo)準(zhǔn)無(wú) 脆弱性識(shí)別脆弱性識(shí)別序號(hào)資產(chǎn)編號(hào) 操作錯(cuò)誤濫用授權(quán)行為抵賴(lài)身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽(tīng)數(shù)據(jù)社會(huì)工程意外故障通信中斷1. N001 1 2 1 2 3 1 3 1 1 1 1 12. N002 1 2 1 2 3 1 3 1 1 1 1 13. N003 1 2 1 2 3 1 3 1 1 1 1 14. H001 1 1 2 1 1 1 2 1 1 1 1 15. H002 1 1 2 1 1 1 2 1 1 1 1 16. H003 1 1 2 1 1 1 2 1 1 1 1 17. H004 1 1 2 1 1 1 2 1 1 1 1 18. D001 1 1 2 1 1 1 2 1 1 1 1 16 風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)分析概述風(fēng)險(xiǎn)分析概述風(fēng)險(xiǎn)是指特定的威脅利用資產(chǎn)的一種或一組脆弱性，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。風(fēng)險(xiǎn)只能預(yù)防、避免、降低、轉(zhuǎn)移和接受，但不可能完全被消滅。在這個(gè)過(guò)程中，將根據(jù)上面評(píng)估的結(jié)果，選擇適當(dāng)?shù)娘L(fēng)險(xiǎn)計(jì)算方法或工具確定風(fēng)險(xiǎn)的大小與風(fēng)險(xiǎn)等級(jí)，即對(duì)每一業(yè)務(wù)系統(tǒng)的資產(chǎn)因遭受泄露、修改、不可用和破壞所帶來(lái)的任何影響做出一個(gè)風(fēng)險(xiǎn)測(cè)量的列表，以便識(shí)別與選擇適當(dāng)和正確的風(fēng)險(xiǎn)控制策略，這也將是策劃信息安全體系架構(gòu)的重要步驟。 資產(chǎn)風(fēng)險(xiǎn)分布資產(chǎn)風(fēng)險(xiǎn)分布圖表 2 資產(chǎn)風(fēng)險(xiǎn)分布圖 資產(chǎn)風(fēng)險(xiǎn)列表資產(chǎn)風(fēng)險(xiǎn)列表根據(jù)風(fēng)險(xiǎn)的計(jì)算公式函數(shù)：R=f(A，T，V)=f(Ia,L(Va,T))，其中 R 代表風(fēng)險(xiǎn)，A 代表資產(chǎn)的估價(jià)，T 代表威脅，V 代表脆弱性。我們得出下表：序號(hào)資產(chǎn)編號(hào) 操作錯(cuò)誤濫用授權(quán)行為抵賴(lài)身份假冒密碼分析安全漏洞拒絕服務(wù)惡意代碼竊聽(tīng)數(shù)據(jù)社會(huì)工程意外故障通信中斷1. N001 3 12 6 12 27 3 27 6 6 3 3 32. N002 3 12 6 12 27 3 27 6 6 3 3 33. N003 3 12 6 12 27 3 27 6 6 3 3 34. H001 3 3 12 3 3 3 18 3 6 3 3 35. H002 3 3 12 3 3 3 18 3 6 3 3 36. H003 3 3 12 3 3 3 18 3 6 3 3 37. H004 3 3 12 3 3 3 18 3 6 3 3 38. D001 3 3 12 6 6 3 18 3 3 6 3 37 系統(tǒng)安全加固建議系統(tǒng)安全加固建議 管理類(lèi)建議管理類(lèi)建議編號(hào) 脆弱性描述 安全加固建議1. 缺少明確的復(fù)核制度 在安全體系中完善復(fù)核制度，明確執(zhí)行方法2.與外部安全機(jī)構(gòu)的合作較少，對(duì)最新的安全動(dòng)態(tài)和系統(tǒng)現(xiàn)狀的了解不足，不能及時(shí)響應(yīng)最新的安全問(wèn)題加強(qiáng)與安全服務(wù)商的合作，定期開(kāi)展培訓(xùn)和系統(tǒng)風(fēng)險(xiǎn)評(píng)估與加固工作3. 在對(duì)設(shè)備和系統(tǒng)的維護(hù)管理中缺少?gòu)?qiáng)制使用身份認(rèn)證和通訊加密的要求 采用 SSH 等非明文傳輸?shù)墓芾砉ぞ?，并啟用認(rèn)證系統(tǒng) 技術(shù)類(lèi)建議技術(shù)類(lèi)建議 安全安全 措施措施編號(hào) 脆弱性描述 安全加固建議1. 系統(tǒng)邊界缺少安全防護(hù)措施 出口鏈路中增加防火墻進(jìn)行訪(fǎng)問(wèn)控制和安全隔離2. 系統(tǒng)邊界出口缺少冗余措施出口鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險(xiǎn)?；蛘邔?duì)關(guān)鍵設(shè)備做冷備3. 內(nèi)部骨干鏈路與核心設(shè)備之間缺少冗余措施骨干鏈路中增加鏈路冗余，減少發(fā)生通訊故障的風(fēng)險(xiǎn)?；蛘邔?duì)關(guān)鍵設(shè)備做冷備4. 系統(tǒng)的內(nèi)部網(wǎng)絡(luò)中缺少入侵檢測(cè)技術(shù)手段 在內(nèi)部核心交換處部署 IDS 設(shè)備5. 系統(tǒng)中缺少對(duì)流量做監(jiān)控的技術(shù)手段 在關(guān)鍵鏈路或核心交換處增加流量監(jiān)控設(shè)備 網(wǎng)絡(luò)平臺(tái)網(wǎng)絡(luò)平臺(tái)華為交換機(jī)、路由器設(shè)備加固建議：脆弱性編號(hào) 脆弱性描述 安全加固建議 加固風(fēng)險(xiǎn) /條件V30001. 未對(duì) super 密碼加密 對(duì) super 密碼進(jìn)行加密 低風(fēng)險(xiǎn)V30002. 未進(jìn)行用戶(hù)權(quán)限設(shè)置 設(shè)置用戶(hù)權(quán)限 可能會(huì)導(dǎo)致部分用戶(hù)權(quán)限不適當(dāng)V30003. 未對(duì) VTY 的訪(fǎng)問(wèn)限制 設(shè)置 VTY 訪(fǎng)問(wèn)限制 可能限制某些用戶(hù)無(wú)法訪(fǎng)問(wèn)V30004. 未進(jìn)行登錄超時(shí)設(shè)置 設(shè)置登錄超時(shí)時(shí)間 確定超時(shí)時(shí)間V30005. 未禁用 FTP 服務(wù) 禁用 FTP 服務(wù) 確定不需要 FTPV30006. 未進(jìn)行日志審計(jì) 進(jìn)行日志審計(jì) 需要日志收集服務(wù)器，對(duì)設(shè)備性能有影響 操作系統(tǒng)操作系統(tǒng)Solaris 操作系統(tǒng)安全加固，下面按照嚴(yán)重程度高、中的順序排列：脆弱性編號(hào) 脆弱性描述 安全加固建議 加固風(fēng)險(xiǎn)/條件V22022.存在可能無(wú)用的組 刪除無(wú)用的組刪除某些組可能導(dǎo)致某些應(yīng)用無(wú)法正常運(yùn)行V22022 OpenSSH S/Key 遠(yuǎn)程信息泄露漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會(huì)對(duì)應(yīng)用有影響V22022 OpenSSH GSSAPI 信號(hào)處理程序內(nèi)存兩次釋放漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會(huì)對(duì)應(yīng)用有影響V22022 OpenSSH 復(fù)制塊遠(yuǎn)程拒絕服務(wù)漏洞 安裝相應(yīng)的補(bǔ)丁某些補(bǔ)丁可能會(huì)對(duì)應(yīng)用有影響8 附錄附錄 A：脆弱性編號(hào)規(guī)則：脆弱性編號(hào)規(guī)則脆弱性編號(hào)形式為：Vnnxxx，例如：V10001。脆弱性編號(hào)從 001 開(kāi)始從小到大順序編號(hào)。對(duì)象類(lèi)別編號(hào)按預(yù)先定義的清單編寫(xiě)，具體如下：nn 代表對(duì)象類(lèi)別10 Windows 操作系統(tǒng)20 Linux 操作系統(tǒng)21 AIX 操作系統(tǒng)22 Solaris 操作系統(tǒng)23 HP UNIX 操作系統(tǒng)30 網(wǎng)絡(luò)交換路由設(shè)備31 防火墻系統(tǒng)32 安全隔離網(wǎng)閘33 IDS 入侵檢測(cè)系統(tǒng)34 網(wǎng)絡(luò)安全審計(jì)系統(tǒng)35 網(wǎng)絡(luò)防病毒系統(tǒng)40 MS SQL 數(shù)據(jù)庫(kù)系統(tǒng)41 Oracle 數(shù)據(jù)庫(kù)系統(tǒng)42 MySQL 脆弱性編號(hào)43 Informix 數(shù)據(jù)庫(kù)系統(tǒng)50 IIS 服務(wù)器51 Web Logic 服務(wù)器60 應(yīng)用
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1