【正文】 （ 3）資料審查確認：評估小組成員將對形成的風險分析 報告和整改建議進行審查確認。此階段所采用的方法包括： （ 1）會議：召集評估小組成員進行風險分析會議。 通過分析上面所評估的數(shù)據(jù)，進行風險值計算，確定風險等級，確認高風險因素，提出整改意見。 此階段所采用的方法包括： （ 1）利用漏洞掃描工具進行掃描； （ 2）滲透測試； （ 3）各類檢查列表。 進行全局性的評估，它也包括了技術和管理方面的內容。 從技術、管理和策略三個方面進行脆弱性評估，其中在技術 方面主要是通過遠程和本地兩種方式進行系統(tǒng)掃描、對網(wǎng)絡設備 和主機等進行適當?shù)娜斯こ椴椤﹃P鍵外網(wǎng)服務主機進行遠程滲 透測試。評估小組成員與規(guī)劃編寫人員及項目建設人員進行訪談交流。通過檢查不同來源的日志文件發(fā)現(xiàn)曾經(jīng)發(fā)生過的威脅，獲取威脅信息。使用 IDS，通過對網(wǎng)絡流量進行不間斷的分析，從中發(fā)現(xiàn)攻擊、入侵或非法訪問等行為。形成 《 威脅列表 》 。 3． 識別并評 估威 脅 。確定關鍵資產，詳細識別關鍵資產的安全屬性，并對關鍵資產的重要性進行賦值，形成 《 系統(tǒng)重要信息資產評估報告 》 。對資產的保密性、完整性和可用性這三個安全屬性分別賦值，根據(jù)三個安全屬性的權值計算資產的價值。 在劃定的評估范圍內，以網(wǎng)絡拓撲結構圖的業(yè)務系統(tǒng)為主線，列出所有網(wǎng)絡上的物理資產、軟件資產和數(shù)據(jù)資產，形成一個信息資產的清單。 具體步驟如下： 1． 風險評 估的準 備 工作。 實驗環(huán)境：具體網(wǎng)絡信息系統(tǒng)環(huán)境。 T1～ T7 中 表 815 安全控制措施選擇 編寫 信息安全 風險評 估 報 告 最后，編寫記錄 信息系統(tǒng)風險評估過程得到的所有結果 的風險評估報告，完成對本系統(tǒng)的風險評估。 T1～ T7 中 M15 對通信線路進行定期的檢查并記錄。 T7 中 M13 制定操作層面的管理制度。 T1～ T7 高 M11 對用戶文件制定統(tǒng)一的完整性保護策略，并使用有效工具進行完整性約束。 T1～ T7 高 M9 制定合理的資源分配策略，包括：最大并發(fā)連接數(shù)，最小并發(fā)連接數(shù)，單個用戶會話數(shù)量等。 T T7 高 M7 制定具體的安全事件處理制度。 T1～ T7 高 M5 對內、外網(wǎng)的服務器默認配置進行必要的更改。 T1～ T7 高 M3 對所屬的服務器和主機進行安全配置檢查，并重新配置安全策略。 編號 控制措施 對應控制目標 優(yōu)先級 M1 制定具體科室負責信息安全工作，明確人員及其分工。 表 813 風險控制需求分析表 風險 控制目 標 依據(jù) 《 風險接受等級劃分表 》 （表 812）、 《 風險控制需求分析表 》 （表 813），確定風險控制目標， 如表 814所示。 R4 保障網(wǎng)站信息的正常發(fā)布。 R2 保障 XXXX系統(tǒng)外網(wǎng)的正常運行。 資產 ID0 資產名稱 威脅 脆弱性 風險 等級 是否可 接受 A01 路由器 1 未授權訪問 Cisco未設置密碼 2 是 漏洞利用 CISCO IOS界面被 IPv4數(shù)據(jù)包阻塞 3 是 A02 路由器 2 未授權訪問 沒有制定訪問控制策略 3 是 操作失誤或維護錯誤 安裝與維護缺乏管理 3 是 A03 交換機 1 漏洞利用 日志及管理功能未啟用 3 是 A04 交換機 2 漏洞利用 CSCdz39284 3 是 CSCdw33027 3 是 A05 交換機 3 漏洞利用 CSCds04747 4 否 沒有配備 Service Password Encryption服務 4 否 A06 防火墻 1 操作失誤或維護錯誤 安裝與維護缺乏管理 4 否 缺少操作規(guī)程和職責管理 4 否 A07 防火墻 2 未授權訪問 防火墻開放端口增加 3 是 防火墻關鍵模塊失效 2 是 A08 防火墻 3 原發(fā)抵賴 未啟用日志功能 4 否 A09 病毒服務器 惡意代碼或病毒 操作系統(tǒng)補丁未安裝 4 否 硬件故障 設備不穩(wěn)定 3 是 未授權訪問 操作系統(tǒng)的口令策略沒有啟用 4 否 木馬后門攻擊 操作系統(tǒng)開放多余服務 3 是 ?表 812 風險接受等級劃分表 資產 ID0 資產名稱 威脅 脆弱性 風險 等級 是否可 接受 A10 數(shù)據(jù)服務器 操作失誤或維護錯誤 缺少操作規(guī)程和職責管理 4 否 未授權訪問 存在弱口令 5 否 惡意代碼或病毒 操作系統(tǒng)補丁未安裝 4 否 權限濫用 沒有訪問控制措施 4 否 A11 應用服務器 操作失誤或維護錯誤 缺少操作規(guī)程和職責管理 4 否 未授權訪問 存在弱口令 5 否 惡意代碼或病毒 操作系統(tǒng)補丁未安裝 4 否 漏洞利用 Tel漏洞 4 否 可以通過 SMB連接注冊表 5 否 A12 PC1 惡意代碼或病毒 操作系統(tǒng)補丁未安裝 4 否 數(shù)據(jù)篡改 使用 NetBIOS探測 Windows主機信息 4 否 A13 PC2 惡意代碼或病毒 木馬和后門 4 否 數(shù)據(jù)篡改 SMB shares access 3 是 竊密 弱口令 5 否 A14 UPS 硬件故障 設備不穩(wěn)定 4 否 A15 空調 硬件故障 設備不穩(wěn)定 3 是 風險控制需求分析 按照系統(tǒng)的風險等級接受程度，通過對本信息系統(tǒng)技術層面的安全功能、組織層面的安全控制和管理層面的安全對策進行分析描述，形成已有安全措施的需求分析結果，如表 813所示。 內容依據(jù)風險評估結果，假設風險等級在 4級以上不可接受，通過分析，發(fā)現(xiàn)有 21個不可接受風險。所有計算結果如表 810所示。根據(jù)風險矩陣表 725，計算風險風險值。 資產 威脅 威脅 頻率 脆弱性 嚴重 程度 路由器 1 未授權訪問 2 Cisco未設置密碼 3 漏洞利用 5 CISCO IOS界面被 IPv4數(shù)據(jù)包阻塞 3 路由器 2 未授權訪問 2 沒有制定訪問控制策略 4 操作失誤或 維護錯誤 2 安裝與維護缺乏管理 4 交換機 1 漏洞利用 5 日志及管理功能未啟用 3 交換機 2 漏洞利用 5 CSCdz39284 3 CSCdw33027 3 交換機 3 漏洞利用 5 CSCds04747 4 沒有配備 Service Password Encryption服務 4 防火墻 1 操作失誤或 維護錯誤 2