某通信公司網(wǎng)絡(luò)信息安全培訓(xùn)課程(參考版)
2025-01-09 00:37本頁面
【正文】 利用好風(fēng)險評估，確保網(wǎng)絡(luò)信息安全！ Thank You! 謝謝觀看 /歡迎下載 BY FAITH I MEAN A VISION OF GOOD ONE CHERISHES AND THE ENTHUSIASM THAT PUSHES ONE TO SEEK ITS FULFILLMENT REGARDLESS OF OBSTACLES. BY FAITH I BY FAITH 。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 平臺工作流程 專家人工挖掘未知漏洞 驗證 漏洞庫 掃描策略 漏洞掃描 驗證 手工驗證 自動驗證 評估 SOC/EMOS/ISMP 修復(fù) 基線規(guī)范 配置核查 二次評估 ?采用掃描后進一步驗證的順序，逐級確定漏洞的真實性 ?采用模塊化的設(shè)計，方便的進行工具集的拓展和延伸 ?自動化的手段與人工參與相結(jié)合 ?通過對配置安全性和漏洞檢驗更加準(zhǔn)確的定位安全風(fēng)險 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 攻防平臺的先進性保障 充分發(fā)揮研究院預(yù)研優(yōu)勢 研究院作為中國移動新技術(shù)的研究單位具備對規(guī)范的先期評估的優(yōu)勢，在規(guī)范研究階段就開始了對風(fēng)險的分析和論證 與制造廠家交流和共同探索過程中，對產(chǎn)品的開發(fā)過程進行了風(fēng)險控制 入網(wǎng)前的漏洞挖掘工作可以充分分析新技術(shù)中的實現(xiàn)漏洞和配置脆弱性 形成自動化的工具便于一線運維人員的日常評估檢查 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險分析在規(guī)范制定和系統(tǒng)上線中的體現(xiàn) 殘余 風(fēng)險 評 估 措施 選擇 威 脅 分析 安全 論證 安全 規(guī) 范 產(chǎn) 品 安全 測試 安全 測試論證 部分 存在不可接受風(fēng)險 產(chǎn)品入網(wǎng)測試 對應(yīng)規(guī)范要求 安全分析 論證 部分 會簽 對規(guī)范中安全部分內(nèi)容進行最終的審查控制 通過郵件方式進行預(yù)審 研究院研發(fā)流程 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 總結(jié) 風(fēng)險評估是指導(dǎo)網(wǎng)絡(luò)與信息安全規(guī)劃建設(shè)的有效手段，通過對風(fēng)險的評價確定風(fēng)險的價值，從而進行適度合理的保護 信息系統(tǒng)風(fēng)險評估中主觀性是不可避免的，我們所要做的是盡量減少人為主觀性。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 目標(biāo)定位 目標(biāo)定位 提供一個實驗室攻防演練、系統(tǒng)入網(wǎng)檢查和安全評估工具 提供一個面向基層運維人員的、對于重要業(yè)務(wù)系統(tǒng)提供自動化安全評估 /檢查以及脆弱性驗證的平臺。 今年，集團安全工作的指導(dǎo)思想是“預(yù)防為主，及時發(fā)現(xiàn)，快速響應(yīng)，確?；謴?fù)”，為貫徹該思想，在攻防平臺（一期）基礎(chǔ)上，我們開始“安全漏洞及配置聯(lián)動系統(tǒng)研發(fā)”（即攻防平臺二期）項目。 攻防平臺 去年，研究院開展了安全攻防平臺（一期）的研發(fā)工作。 新網(wǎng)絡(luò)業(yè)務(wù)上線前，需要在實驗室對基本的攻擊手法進行檢驗。為此，研究院從去年開始每年滾動立項進行攻防平臺的開發(fā)項目。 以上是《信息安全風(fēng)險評估指南》的主要內(nèi)容 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 中國移動風(fēng)險自評估將向何處發(fā)展？ 風(fēng)險自評估（ FUTURE？） 將風(fēng)險評估和改進融入到業(yè)務(wù)系統(tǒng)設(shè)計、產(chǎn)品開發(fā)、入網(wǎng)測試和運維工作中去，這是我們安全工作的目標(biāo)。自評估為主，自評估和檢查評估相互結(jié)合、互為補充。如在網(wǎng)絡(luò)與信息系統(tǒng)規(guī)劃設(shè)計階段，應(yīng)通過信息安全風(fēng)險評估進一步明確安全需求和安全目標(biāo)。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 國信辦 [2023]5號文件指出： 信息安全 風(fēng)險評估應(yīng)貫穿于網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)運行的全過程。 在對于不可接受的風(fēng)險選擇適當(dāng)安全措施后，為確保安全措施的有效性，可進行再評估，以判斷實施安全措施后的殘余風(fēng)險是否已經(jīng)降低到可接受的水平。 風(fēng)險處理計劃 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 對不可接受的風(fēng)險應(yīng)根據(jù)導(dǎo)致該風(fēng)險的脆弱性制定風(fēng)險處理計劃。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 系統(tǒng)管理者應(yīng)綜合考慮風(fēng)險控制成本與風(fēng)險造成的影響，提出一個可接受風(fēng)險范圍。 風(fēng)險分析原理圖 威 脅 出 現(xiàn)的 頻 率脆 弱 性 嚴(yán)重 程 度資 產(chǎn) 價 值風(fēng) 險 值威 脅 識 別脆 弱 性識 別資 產(chǎn) 識 別安 全 事 件的 可 能 性安 全 事 件損 失風(fēng) 險 處 理計 劃風(fēng) 險 評 估準(zhǔn) 備風(fēng) 險 分 析已 有 安 全措 施 確 認(rèn)存 在 的 脆弱 性中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險分析原理的形式化范式： 風(fēng)險值 =R（ A， T， V） = R(L(T， V)， F(Ia， Va )) 其中， R表示安全風(fēng)險計算函數(shù)； A表示資產(chǎn)； T表示威脅； V表示脆弱性； Ia表示安全事件所作用的資產(chǎn)重要程度；Va表示脆弱性嚴(yán)重程度； L表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性； F表示安全事件發(fā)生后產(chǎn)生的損失。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）風(fēng)險計算 2）風(fēng)險等級 3）風(fēng)險處理計劃 風(fēng)險分析階段的主要任務(wù) 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險計算 在完成了資產(chǎn)識別 、 威脅識別 、 脆弱性識別 ， 以及對已有安全措施確認(rèn)后 ， 應(yīng)采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性 。 脆弱性賦值 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 脆弱性等級 等級 標(biāo)識 定義 5 很高 如果被威脅利用，將對資產(chǎn)造成完全損害 4 高 如果被威脅利用，將對資產(chǎn)造成重大損害 3 中等 如果被威脅利用，將對資產(chǎn)造成一般損害 2 低 如果被威脅利用，將對資產(chǎn)造成較小損害 1 很低 如果被威脅利用，對資產(chǎn)造成的損害可以忽略 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 已有安全措施的確認(rèn) 在識別脆弱性的同時 ， 評估人員應(yīng)對已采取的安全措施的有效性進行確認(rèn) ， 即安全措施是否真正地降低了系統(tǒng)的脆弱性 ， 抵御了威脅 。 管理脆弱性 技術(shù)管理 物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護、業(yè)務(wù)連續(xù)性。 應(yīng)用中間件 主要從協(xié)議安全以及交易完整性和數(shù)據(jù)完整性等方面進行識別。 系統(tǒng)軟件 （包括操作系統(tǒng) 及系統(tǒng)服務(wù)） 從物理保護、用戶賬號、口令策略、資源共享、事件審計、訪問控制、新系統(tǒng)配置（初始化）、注冊表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進行識別。 脆弱性主要識別內(nèi)容 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 類型 識別對象 識別內(nèi)容 技術(shù)脆弱性 物理環(huán)境 從機房場地、機
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1